JP6632310B2 - 自動化された運転のためのフェールセーフｅ／ｅアーキテクチャ - Google Patents

Description

本発明は、請求項１による２つの計算ユニットを備えたシステム及び請求項１９による運転機能を実施する方法に関している。

従来技術においては、安全性に係るシステムが、エラー発生時に安全な状態に移行することで実現されることは公知である。この安全な状態とは、通常は非機能的であり、例えば無電流システム又は非通電システム等によって特徴付けられる。さらにエラー発生時に計算力に係る冗長性が提供されるシステムも公知である。

フェイルセーフシステムは、エラーが存在していてもまだその機能を維持する特徴がある。公知のアーキテクチャには、例えば
・２ from ３ Voting
・Duo-Duplex Structure
などが挙げられる。

基本的には、ホット・コールド冗長方式の投入も公知である

本発明の課題は、車両における自動化されたタスクを統合的に制御できるシステムを提供することにある。

前記課題は、請求項１に記載された本発明に係るシステム並びに請求項１９に記載された本発明に係る方法によって解決される。

さらに別の実施形態は、従属請求項に記載されている。

前述のシステム及び前述の方法によって得られる利点は、２つの計算ユニットの１つだけがアクチュエータを駆動制御できる点にある。このことは、第１の計算ユニット及び／又は第２の計算ユニット及び／又はアクチュエータを、前記第１の計算ユニットが前記アクチュエータを実効的に駆動制御可能であるのか又は前記第２の計算ユニットが前記アクチュエータを実効的に駆動制御可能であるのかを決定できるように構成することで達成される。

１つの実施形態によれば、第１の計算ユニットの機能が適正な場合には第１の動作状態が活性化されて第１の計算ユニットのみがアクチュエータを実効的に駆動制御可能とされ、第１の計算ユニットの機能障害のもとでは第２の動作状態が活性化されて第２の計算ユニットのみがアクチュエータを駆動制御可能とされる。

１つの実施形態によれば、前記アクチュエータはインターフェースを有しており、前記インターフェースは、前記２つの計算ユニットのいずれに前記アクチュエータへの制御命令の送出を許容させるかを決定している。このようにして、制御命令の送出のための許可を本当に有している計算ユニットだけが、制御命令もアクチュエータに送出し得ることが保証される。それに対してエラーのない動作モードの場合、第１の計算ユニットのみが使用される。第１の計算ユニットに機能障害が生じた場合には、アクチュエータへ制御命令を送出するための権限が第２の計算ユニットに移行する。

このやり方は、特に所定のシステムによって自動化された運転機能が実施される場合に利点となる。この自動化された運転機能とは、例えば自動化された車間距離制御、自動化された速度制御、自動化されたブレーキ制御、又は自動化された車両操舵機構などである。これらの自動化された運転機能は、システムが責任を負っており、運転者はエラーが発生したときに切り戻し段階（“Rueckfallebene”）として使用できないことで特徴付けられる。

フェイルセーフティに関するさらなる改善は、前記第２の計算ユニットを検査方法の実施ができるように改善構成することによって達成される。この検査方法は、例えば第１の計算ユニットが機能可能であるとみなされる第１の動作状態において実施される。これによりこの検査方法は、第２の計算ユニットの検査と第１の計算ユニットの検査の両方を含むことが可能になる。

前記システムのさらなる改善は、前記検査方法が、前記第２の計算ユニットと前記第１の計算ユニットとの間の通信に該当していることによって達成される。すなわち前記第２の計算ユニットは、第１の計算ユニットと第２の計算ユニットとの間の通信が適正に機能しているか否かを検査する。そのことのために例えば前記計算ユニット間で検査データが交換可能であってもよい。

前記システムのさらなる改善は、別の改善構成に従って前記第２の計算ユニットが、所定の検査方法を用いて唯一の適正な機能性を検査することによって達成される。そのことのために第２の計算ユニットが実施する所定のタスクがメモリに格納されていてもよい。その際には当該タスクの適正な結果もメモリに格納され、タスク実行後に第２の計算ユニットによって比較される。

さらなる実施形態によれば、第１の計算ユニットの機能障害が識別されたときに前記システムは、第１の動作状態から第２の動作状態へ切り替えられる。この機能障害は、例えば適切な検査方法を用いて第１の計算ユニット自体によって検査され識別されたものであってもよい。しかしながらさらに前記第２の計算ユニットは、所定の検査方法を用いて第１の計算ユニットの機能障害を検査し識別することが可能である。

前記システムのさらなる改善は、さらなる別の実施形態に従って、前記アクチュエータは、前記第１の計算ユニット及び／又は前記第２の計算ユニットの機能障害が存在する場合に、前記アクチュエータをセーフティ機能又はセーフティポジションに制御できるように構成されることで達成される。この手段を用いることによって、前記第１及び第２の計算ユニットの故障の際に、アクチュエータ自身が例えば別個のアクチュエータ制御機器若しくは別個の電子制御回路を介してセーフティ機能で制御される状況が可能となる。

別の実施形態によれば、２つのアクチュエータ制御機器が設けられており、前記２つのアクチュエータ制御機器は、少なくとも１つのアクチュエータに機能的に接続されている。さらに前記各アクチュエータ制御機器は、前記第１及び第２の計算ユニットを接続するインターフェースを有している。このようにして、アクチュエータ機器の故障に対するさらなる冗長性ないし余裕度が達成される。

さらに別の実施形態によれば、前記第１の計算ユニットと前記第２の計算ユニットを、別個の電子的給電システムに接続させることによって、前記システムのエラーに対する脆弱性が低減される。それにより、給電システムが故障した場合でも、前記２つの計算ユニットの少なくとも１つは引き続き給電されることが保証される。２つの給電システムは、電子制御された搭載電源網の下位ユニットを具現化するものであってもよいし、例えばバッテリー若しくは発電機から給電される完全に分離された給電システムを具現化するものであってもよい。

前記システムのさらなる改善は、さらなる別の実施形態により、前記第１の計算ユニットが、少なくとも適正な機能性を検査する検査方法のための入力データを前記第２の計算ユニットに供給するように構成されることで達成される。それにより、セキュリティのさらなる向上が達成されるようになる。なぜなら、前記入力データは、第２の計算ユニットからではなく、この第２の計算ユニットには依存せずに前記第１の計算ユニットから提供されるからである。それにより、入力データの生成の際の第２の計算ユニットの機能障害に起因するエラーが除外される。

さらなる実施形態によれば、前記第１の計算ユニットは、算出された機能障害のための制御を前記第２の計算ユニットへ伝送するように構成されている。また前記第２の計算ユニットは、同じ制御のための同じ計算を実施するように構成されている。さらに前記第２の計算ユニットは、自身で算出した結果を前記第１の計算ユニットから伝送された制御と比較するように構成されている。この比較の結果に基づいて、前記第１の計算ユニットの機能障害及び／又は前記第２の計算ユニットの機能障害を識別することができる。

前記システムのさらなる改善は、さらなる実施形態により、同じパラメータを冗長的に測定する少なくとも２つのセンサを設けることで達成される。さらに少なくとも前記第１の計算ユニットは前記第１のセンサに接続され、前記第２の計算ユニットは前記第２のセンサに接続されている。それにより、前記パラメータの測定が比較され、１つのセンサないし計算ユニットの機能障害が識別される。

別の実施形態によれば、少なくとも部分的に同じパラメータを測定する複数の冗長的センサが設けられてもよい。この場合前記第１及び第２の計算ユニットは、２つのセンサの交点“Schnittmenge”に接続されている。このようにして少なくとも前記交点のセンサに対し、冗長的に検出されたパラメータの比較ないしは前記計算ユニットによって算出されたパラメータの比較によって、前記交点のパラメータの検査ないしは前記計算ユニットの機能性の検査が実施される。例えば前記第１及び第２の計算ユニットによって冗長的なセンサ対のもとでしか機能障害が検出されない場合には、他のセンサ対が適正な測定値を供給する。それにより機能障害は複数のセンサのもとで局所化される。但し、前記交点のセンサ対の複数のセンサの検査が前記第１及び第２の計算ユニットによって機能障害の示唆をもたらすならば、このことは前記第１の計算ユニット又は前記第２の計算ユニットの機能障害を示唆し得る。

さらなる実施形態によれば、自動化された運転機能の引き渡し要求に対する安全性が向上される。それに対して、自動化された運転機能を実施するための引き渡し要求が、ＨＭＩから別個のインターフェースを介して前記２つの計算ユニットへ引き渡される。前記２つの計算ユニットは、前記運転機能の引き継ぎを相互に別個に前記ＨＭＩに通知するように構成されている。さらに前記ＨＭＩは、前記２つの計算ユニットが適正に機能していることを通知し、かつ、自動化された運転機能が実施可能であることを通知した場合にのみ、自動化された運転機能を前記第１の計算ユニットに引き渡すように構成されている。

前記システムの安全性のさらなる向上は、さらなる実施形態により、前記第１の計算ユニットは、該第１の計算ユニットが自身で機能可能と判断し、さらに前記第２の計算ユニットから当該第２の計算ユニットも機能可能であることに関する情報を受け取っている場合に、前記自動化された運転機能の引き継ぎを前記ＨＭＩに信号通知することによって達成される。さらにこの場合前記第２の計算ユニットも、該第２の計算ユニットが自身で機能可能と判断し、さらに前記第１の計算ユニットから当該第１の計算ユニットも機能可能と判断したことに関する情報を受けている場合に、前記運転機能の引き継ぎを前記ＨＭＩに送信する。このようにして前記第１及び第２の計算ユニットの実際の機能性に関する安全性の向上が、自動化された運転機能の引き継ぎ前に達成される。

その引き継ぎが提案される運転機能は、例えば操舵機能、加速機能、制動機能か又はこれらの機能の組み合わせであってもよい。

前記システムのさらなる改善は、さらなる実施形態により、前記第２の計算ユニットが運転機能を実施している第２の動作状態において、前記第１の計算ユニット自身が再び機能可能であることを示した場合に、前記運転機能の実施は前記第１の計算ユニットに戻される。それにより、前記第１の計算ユニットの一時的な故障をしのいで再び第１の動作状態に移行することが可能になる。これによりさらに堅固なシステムが提供される。

さらに別の実施形態によれば、前記第１の計算ユニットへの運転機能の戻しが、第１の計算ユニットの既定の機能障害及び／又は既定の運転機能に限定される。これにより、第１の計算ユニットの重大な機能障害、すなわち第１の計算ユニットの新たな故障のリスクが高まったり第１の計算ユニットの適正な機能性に関する不確実性がさらに生じる機能障害が排除されるようになる。さらにこの手段を用いることにより、再び適切に機能している第１の計算ユニットへの制御の戻しを、第１の計算ユニットの故障に関してそれほど重要でない運転機能に限定することが可能である。それによりシステムの安全性がさらに高まる。前述の既定の運転機能若しくは既定の機能障害は、第１及び／又は第２の計算ユニットのメモリに格納されている。

次に本発明を図面に基づき詳細に説明する。

本発明によるシステムの第１の実施形態を概略的に示した図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図 本発明によるシステムにおける複数のセンサを備えた計算ユニットの適用に対する様々な実施形態を示した部分図

図１には、提案されたシステムの基本理念が示されている。第１の計算ユニット１は、少なくとも１つのセンサ３と接続を形成している。さらに第１の計算ユニット１は、少なくとも１つのアクチュエータ４と接続を形成する。このアクチュエータ４は、単一のアクチュエータの形態又は複数のアクチュエータの形態又はアクチュエータシステムの形態で構成可能である。さらに第２の計算ユニット２が設けられており、これも少なくとも１つのセンサ３と少なくとも１つのアクチュエータ４との接続を形成している。このセンサは、単一のセンサの形態又は複数のセンサの形態またはセンサシステムの形態で構成可能である。さらに第１及び／又は第２の計算ユニットは、データメモリ１５，１６を有している。さらに第２の計算ユニット２は、インターフェース５を介して第１の計算ユニット部１との接続を形成する。第１の計算ユニット１は、センサ３の信号を検出し、そこから第１のデータメモリ１５内に格納されている少なくとも１つの制御方法に従って制御信号を算出している。この制御信号を用いて第１の計算ユニット１は、アクチュエータ４を駆動制御する。第１の計算ユニット１が適正に機能可能とみなされている第１の動作状態においては、第１の計算ユニット１のみがアクチュエータ４を駆動制御することができる。第２の計算ユニット２は、センサ３にもアクチュエータ４にも接続されているが、しかしながら当該第１の動作状態においてはアクチュエータ４を駆動制御できない。これらの計算ユニット１及び２は、好適には、適切な気密性を有し固有の機械的な境界を有する構造的に独立した制御機器である。

第１の計算ユニット１は、例えば次の条件を満たしている。第１の計算ユニット１は固有のエラーのための良好なエラー識別機能を備えている。それにより、第１の計算ユニット１は、アクチュエータ４に制御信号を送信するときには、制御信号も信頼があり安全であることが保証されるべきである。第１の計算ユニットが確実な制御信号を供給できない場合には、第１の計算ユニットは制御信号を供給すべきではない。フェイルサイレンス機能の旧来の実施では、第１の計算ユニットに機能障害が生じた際にはアクチュエータ４には制御信号が何も出力されないことを意味する。選択された実施形態に応じて、このフェイルサイレンス機能は、アクチュエータ４に転送する別個の適切なエラー信号によって実現することも可能である。この実施形態では、アクチュエータ４は、第１の計算ユニットのエラー信号の入力の際に、第１の計算ユニットの制御信号はもはや実施が許されないことを識別する。さらに第１の計算ユニットは高い可用性を持っているべきであり、つまりエラーや機能障害の発生が非常にまれであることが必要であろう。

第１の計算ユニット１に機能障害が発生した場合、つまりエラーや機能障害が発生した場合には、第２の計算ユニット２が第１の計算ユニット１の機能を引き継ぐ。この目的のために、第２の計算ユニット２は、例えば次の要求を満たすべきである。すなわち第２の計算ユニット２は、第１の計算ユニット１に依存しないように構成されるべきである。つまり物理的に固有の構成要素として構成されるべきである。好ましくはこの第２の計算ユニットは固有のケーシングに挿入され、好適には構造的に分離した例えば他の場所に組み込まれていてもよい。さらにこの第２の計算ユニット２は、第１の計算ユニット１にエラーが発生したときに非常に迅速にかつシームレスに当該第１の計算ユニット１の機能を引き継ぐように構成されていてもよい。

主要な機能経路は、センサ３から第１の計算ユニット１を介してアクチュエータ４に延びている。第１の計算ユニット１はセンサ信号を評価し、その結果として行動を算出する。すなわちアクチュエータ４のための制御信号を算出し、それをアクチュエータ４に転送する。第２の計算ユニット２は、一実施形態では、第１の計算ユニットと同じセンサデータを受け取る。さらなる実施形態では、第２の計算ユニット２は、第１の計算ユニット１のセンサデータの他の部分又は類似の部分又はその一部のみを受け取る。また少なくとも１つのセンサ３への第２の計算ユニット２の接続は、第１の計算ユニット１の接続と同様に行われていてもよい。但し、そこでは多様な接続、例えばデータバスを介した多様な接続が使用されていてもよいし、物理的に分離した伝送チャネルを介した冗長的な接続が使用されていてもよい。

さらに第２の計算ユニット２は第１の計算ユニット１からデータリンク５を介して好ましくはさらなる情報、例えば第１の計算ユニット１がアクチュエータ４に送信したような制御信号を受け取り、及び／又は、第１の計算ユニット１のエラー状態と、例えば以下で例示的に説明するさらなる情報を受け取る。第１の計算ユニット１と第２の計算ユニット２との間のデータ伝送の目的は、第１の計算ユニット１の故障の際に、第２の計算ユニットがアクチュエータ４の制御を迅速かつ可能な限りシームレスに引き継ぐことができるようにすることである。第１の計算ユニット１に機能障害が発生した場合には、当該システムは、第２の動作状態に移行し、第２の計算ユニット２のみがアクチュエータ４に制御信号を送信するか、ないしはアクチュエータ４が第２の計算ユニット２からの制御信号のみ受け取り実行する。この目的のために前記アクチュエータ４は、固有のアクチュエータ制御機器又は少なくとも１つのインターフェースを備え、それらは前記第１及び第２の計算ユニットの制御信号を区別することができる。

図２には、当該システムのさらなる実施形態が示されており、ここではさらに付加的にＨＭＩ６が設けられている。つまり前記計算ユニットと車両の運転者との間にインターフェースが設けられている。このＨＭＩ６は、ヒューマンマシーンインターフェースを表している。このＨＭＩ６は、第１の計算ユニット１と、第２の計算ユニット２と、例えばアクチュエータ４と接続を形成しており、さらにそれらと、データ、情報、信号の交換が可能である。前記ＨＭＩ６は、運転者入力を検出する適切なセンサやディスプレイ、音声出力／音声入力の形態、又は触覚的な信号交換手段の形態で実現されてもよい。

システムから運転者への重要な情報は、運転機能に対する引き継ぎ要求である。この引き継ぎ要求は、第１及び第２の計算ユニット１，２からなるシステムが、運転機能を実施する場合に、特に運転機能が自動化されて、すなわち運転者の影響なしで実施される場合に、システムから運転者にＨＭＩ６を介して出力される。しかしながら、この場合、当該システムは、運転機能を再び運転者に引き渡そうとする。システムから運転者への運転機能の引き渡しに対しては、機能的な理由又はエラーに起因する理由が存在し得る。機能的な理由とは例えば次のようなことにある。すなわち高速道路上だけで当該システムが活性化され、高速道路を離れる前に運転者に信号が送出され、それによって運転者は再び運転機能を引き継ぐか又は当該システムが自動化された運転機能をもはや実施できないことが実現される。一方エラーに起因する理由とは例えば、当該システムが、第１及び／又は第２の計算ユニット１，２またはセンサ３又はアクチュエータ４の内部エラーを検出し、そのため当該システムは低減された運転機能しか実施できないか又は運転機能、特に自動化された運転機能を全く実施できないことにある。このケースにおいても運転者は運転機能を引き継ぐことを要求するか、ないしは当該システムが運転機能をもはや実施できないことが示唆される。

さらに運転者に当該システムの現下の状態に関して情報を提供することは有利である。ここではシステムの潜在的に関係のある複数の付加的情報も存在する。定性的情報は、例えば当該システムが、切り戻し段階にあるのか否か、すなわち運転機能が第１の計算ユニット１ではなく第２の計算ユニット２によって実施される第２の動作状態にあるのか否かであってもよい。このケースは同時にＨＭＩを介した運転者による運転タスクの要求にもなる。さらに例えばセンサ系、計算ユニット１，２又は運転用アクチュエータ系の構成要素の１つにおけるエラー状態に関する情報も有益である。これらの情報もＨＭＩ６を介して運転者に表示させることが可能である。またどのような周辺条件の下で、システムが機能するかないしは自動化された運転機能が実施されるかを、ＨＭＩ６を介して運転者に表示させてもよい。前記周辺条件は、例えば安全性、道路有用性や気象感知に関する情報であってもよい。これらの情報も運転者にとっては関心の高い情報であり得る。また運転者は、アクチュエータ４やセンサ３に関する情報をＨＭＩ６を介して取得することが可能である。さらに運転者にとっては、アクチュエータ４から見て、アクチュエータ４の制御の責任が運転者にあるのかシステムにあるのかを知ることは関心の高いものであり得る。

さらに運転者とシステムとの間で交換するためのさらなる重要な情報は、引き継ぎ要求ないしは運転者引き継ぎにある。前記引き継ぎ要求を用いることにより、運転者は、少なくとも１つの既定の運転機能の制御を引き渡したいことをＨＭＩ６を介してシステムに通知することができる。また運転者引き継ぎを用いることにより、運転者は、目下システムによって実施されている運転機能に関する制御を引き継ぎたいことをシステムに通知することができる。これらの情報は、可能な限り簡単に通知されるべきであり、その際の運転者とシステムとの間の通信は堅固に、すなわちフェールセーフに実行されるべきである。

システムが運転機能を特に自動化して実施する第１の動作状態では、第１の計算ユニット１のみが制御信号をアクチュエータ４のインターフェース７に送信する。この第１の計算ユニット１は、固有の機能障害を識別した場合には、当該第１の計算ユニット１からさらなる制御信号が何もインターフェース７に送出されないように構成されている。第１の計算ユニット１が機能障害を識別した場合には、当該システムは第２の動作状態に移行する。この第２の動作状態では第２の計算ユニット２のみが、制御信号をインターフェース７に送出する。選択された実施形態に依存して、第１の計算ユニット１への運転機能の戻しが、第１の計算ユニット１の既定された機能障害に及び／又は既定された運転機能に限定される。この第１の計算ユニット１の既定された機能障害及び／又は運転機能は、第１のデータメモリ及び／又は第２のデータメモリに格納されている。

第１の動作状態においては、第２の計算ユニット２とアクチュエータ４の間でさらなる通信が行われる。この通信では、少なくとも第２の計算ユニット２とアクチュエータ４との間の通信が機能可能であることが保証されるべきである。また任意にさらなる機能的な通信若しくは検査方法のために使用される通信が、前記第２の計算ユニット２と前記アクチュエータ４との間ないしは前記第２の計算ユニット２と前記インターフェース７との間で行われてもよい。例えば前記アクチュエータ４は、インターフェース７を介して第１の計算ユニット１のエラー状態に関する情報、つまり第１の計算ユニット１の動作状態に関する情報も第２の計算ユニット２に伝送し得る。

１つの実施形態によれば、前記インターフェース７は、どの入力が活性化されるか、すなわちどの計算ユニット１，２が制御信号をインターフェース７に送出することを許容されるかが選択されるように構成されている。別の実施形態によれば、システム設計において、２つの計算ユニット１，２が同時に制御命令をインターフェース７に伝送した場合を第２の計算ユニット２に対するエラーケースとして解釈するように構成されている。インターフェース７のさらなる機能は、どの計算ユニットにアクチュエータ４への制御信号の送出を許容させるのかを、第１若しくは第２の計算ユニット１，２によって決定するのではなく、この決定がインターフェース７によって、すなわちアクチュエータ４側で行われることによって構成されている。このようにして、一方の計算ユニットの機能障害が他方の適正に機能している計算ユニットの制御命令に悪影響を及ぼすことが回避される。

さらに好適には、運転機能に対する責任が運転者にあるのか、又は、第１の計算ユニットが運転機能に対する責任を負っている第１の動作状態にあるのか、又は、第２の計算ユニット２が運転機能に対する責任を負っている第２の動作状態にあるのか、に関する情報が、一貫して当該システム内部に、すなわちＨＭＩ６内、アクチュエータ４内、第１及び第２の計算ユニット１，２内に存在している。例えばインターフェース７は、第１及び／又は第２の計算ユニット１，２の機能障害の存在を識別した場合には、インターフェース７ないしアクチュエータ４がこの情報を直接ＨＭＩ６に転送し、それによって運転者に情報提供するかないしは運転者引き継ぎを要求するように構成されている。この運転者引き継ぎとは、システムによって実施されている運転機能を自身が再び引き継ぐことを運転者が要求することを意味する。

同様にアクティブレベルに関する情報の一貫した確実性にも同じ形態がＨＭＩ６において利用される。例えば運転者に対応する情報「自分はアクティブである」が前記計算ユニット１，２やアクチュエータ４などのさらなる構成要素に明示的に転送されるようにしてもよい。

さらに前記アクチュエータ４は、第１及び／又は第２の計算ユニット１，２の機能障害が識別された場合に、システム遮断パス８を駆動制御するように構成されてもよい。このシステム遮断パス８は、様々な実施形態で存在し得る。例えば定常的な特性量としてアクチュエータ４内部に、例えばアクチュエータ４のデータメモリ内に格納されていてもよい。一例として所定の減速を伴う直進走行のもとで緊急ブレーキ挙動のためのアクチュエータに対する制御命令であってもよい。また可変の特性量として、アクチュエータに対する制御信号が、現下の有効な緊急遮断のために第１の動作状態において第１の計算ユニットから伝送されてもよいし、第２の動作状態において第２の計算ユニットから伝送されてもよい。前述した方法からの組み合わせとして、アクチュエータの制御信号に対して重要な特性量の所定のパラメータのみが設定され、アクチュエータ４において置き換えが実施される。例えば減速、操舵角あるいは操舵角特性曲線など。

別の実施形態では、アクチュエータ４の許容誤差の結合が行われる。アクチュエータ４は、車両のブレーキ、車両のステアリングシステム及び／又は車両の駆動部を制御するために設けられていてもよい。これらのシステムへの安全対策技術上の要求は、運転者支援の周辺事情においてもおそらく異なっている。しかしながら、アクチュエータ自体の少なくとも一部が電気的及び／又は電子的なエラーに対する許容誤差を備えるのであればそれは有利となる。例えばそれは、ＩＳＰまたは電子制御されたブレーキブースタを介したブレーキングの実施であってもよい。

図３は、当該システムの可能なアーキテクチャの別の実施形態を表した部分断面図である。アクチュエータ４は、インターフェース７の他に若しくはさらに付加的に少なくとも１つのアクチュエータ制御機器１７，１８若しくは２つのアクチュエータ制御機器１７，１８を備える。このアクチュエータ制御機器１７，１８は、インターフェース７に統合されていてもよい。第１の計算ユニット１と第２の計算ユニット２は、第１のデータバス９を介して第１のアクチュエータ４に接続され、第２のデータバス１０を介して第２のアクチュエータ１１に接続されている。この第２のアクチュエータ１１は、インターフェース７及び／又はアクチュエータ制御機器を有し、例えば第１のアクチュエータ４と同様に構成されている。したがって各計算ユニット１，２は、制御信号を第１及び第２のアクチュエータ４，１１に送出可能である。選択された実施形態に応じて、これらのアクチュエータ４，１１は冗長的に設けられていてもよい。それにより、緊急時には２つのアクチュエータ４，１１のうちの一方のみが使用される。しかしながら通常の場合は両方のアクチュエータを使用することが可能である。これらの手順は、第１の動作状態においても第２の動作状態においても利用可能である。好ましくは、どの計算ユニット１，２が活性化されているかに関する情報が、関連する全ての構成要素内で存在していることがシステム内で保証される。したがって、運転機能部には責任に関する一貫した情報が常に提供される。

１つの実施形態によれば、第１の計算ユニット１と第２の計算ユニット２は、異なる給電システム１９，２０、すなわち異なる搭載電源網から電流を供給されている。したがって故障に対する安全性のさらなる向上が与えられる。少なくとも２経路の電源網、つまり２つの別個の給電システム１９，２０では、このことは例えばつぎのことによって実現可能である。すなわち一方の経路は第１の計算ユニット１に電流を供給し、他方の経路は第２の計算ユニット２に電流を供給することで実現可能である。さらに第１のアクチュエータ４と第２のアクチュエータ１１も別個の給電システムから電流を供給されてもよい。選択された実施形態に応じて、その他のサブシステムも、例えばＨＭＩ６及び／又はセンサ３ないしはさらなるセンサ系も、別個の給電システム１９，２０から電流を供給されてもよい。これによりさらなる許容誤差の向上がもたらされる。それによって、一方の搭載電源網の経路に支障が生じた場合でも、依然として一貫して機能しているもう一方の経路が使用可能である。

１つの実施形態によれば、第２の計算ユニット２は、第１の計算ユニット１を監視する権限又は第１の計算ユニット１のエラーを検出する権限を有していない実施形態が提供される。但しいずれにせよ第１の計算ユニット１の情報は、第２の計算ユニット２の検査のために利用することが可能である。例えば第１の計算ユニット１は、現下の運転機能を計算し、算出された運転機能若しくはアクチュエータ４のための別の制御信号を第２の計算ユニット２に送信することが可能である。それらの情報は、第２の計算ユニット２によって自身の検査のために使用される。この検査は例えば第２の計算ユニット２が、自身も同じ運転機能を算出したか否かについての検査であってもよいし、自身が第１の計算ユニット１から算出された運転機能を有効とみなすか否かについての検査であってもよい。この運転機能は、例えば１つの道路経過ないし車両走行レーンを追従する車両の移動軌跡の計算におかれていてもよい。第２の計算ユニット２が、当該検査において否定的な結果を受けた場合には、第２の計算ユニット２は第１の計算ユニット１におけるエラーを検出するのではなく、このエラー自体及び機能障害を好ましくはシステム全体の少なくとも第１の計算ユニット１及び／又はＨＭＩ６に通知する。

第１の動作モード中に第２の計算ユニット２の機能障害を検出した場合には、それによって運転機能に対する運転者引き継ぎが運転者によって求められる。しかしながら依然として機能している第１の計算ユニット１の存在があるので、必ずしも運転者による運転機能の迅速な引き継ぎが必要になるわけではない。さらにこのエラーメッセージのディバウンシングが提供されてもよい。それにより第２の計算ユニット２による固有の機能障害に関する複数のエラーメッセージの後で、運転機能を引き継ぐ要求が運転者に送出される。しかしながら第２の計算ユニット２が第２の動作状態中に機能障害を識別した場合には、運転者において運転機能を引き継ぐ要求が直ちに行われる。

第１の計算ユニット１がアクチュエータ４に伝送する制御信号の並列伝送は、さらに第２の計算ユニット２が実際の運転機能の実際の制御信号を得られるという利点も提供する。このようにして、第１の計算ユニット１に機能障害が生じた場合に、第１の計算ユニット１から第２の計算ユニット２への運転機能の可及的にシームレスな引き継ぎが達成可能となる。第２の計算ユニットに対しては、好適にはこれまでの制御信号、特に車両の走行軌跡のこれまでのプランニングが識別される。それにより走行軌跡の可及的に連続した継続が可能となる。このことは例えば車両が運転機能を用いてちょうどカーブを通過しているときには有利である。その際この運転機能は第１の計算ユニット１により実施される。このようにして、第１の計算ユニット１から第２の計算ユニット２への運転機能のショックの少ない引き継ぎを行うことが可能となる。さらに好適には第１の計算ユニット１は、さらなる情報、例えば実際の運転ストラテジやセンサ及び／又はアクチュエータ及び／又は車両の他の内部状態を転送する。

図４には、第１又は第２の計算ユニット１，２を備えたシステムの部分的な区分に対する実施形態が示されている。さらなる構成要素への接続、例えばＨＭＩ６又はアクチュエータ４への接続はここでは示されていない。それらの接続は、例えば図１又は図２の実施形態に相応している。第１の計算ユニット１は、第１のセンサ３と第２のセンサ１２に接続形成されている。第２の計算ユニット２は、第３のセンサ１３と第４のセンサ１４に接続形成されている。選択された実施形態に応じて、各センサは単独で所望の測定信号を生成する状態に機能している。それ故第１及び第２のセンサの連携ないしは第３及び第４のセンサの連携は何も行われていない。代わりにこの実施形態では、これらの冗長的センサの信号の評価に不一致が生じた場合には、センサ系のエラーを推論し、第１及び第２の計算ユニットは、システムの他の構成要素、例えばＨＭＩ６及び／又はアクチュエータ４に相応のエラーを通知する。この実施形態では、これらのセンサは、フェイルセーフティ機能への高い要求を満たすべきであろう。またそれぞれの個々のセンサは、対象識別など安全性に係る評価に関して完全に機能すべきであろう。選択された実施形態に応じて、各センサは複数のさらなるサブセンサから成っていてもよい。それにより１つのセンサ内で、センサ信号のデータの内部連携が行われる。本実施形態では、平均のセンサ信号が対応する計算ユニット１，２に伝送される。また冗長的に設けられたこれらのセンサ３，１２，１３，１４は、それらのエラー特性に関して可能な限り相互依存すべきではない。好ましくは、前記冗長的センサは、異なるセンサ原理に基づく。それにより各チャネルにおいてエラーのマスキング効果が高められ、センサチャネルへの可及的な非依存性が得られる。好ましくは、可及的に多様なセンサ原理及びセンサ評価、例えば周波数の異なる様々なセンサ、例えばステレオビデオセンサ、モノラルビデオセンサ、ライダーセンサ（Lidar-Sensor）、レーダーセンサ、超音波センサ、容量センサなどが望ましい。

図５には、当該システムの部分断面図が示されている。ここでは第１又は第２の計算ユニット１，２のセンサへの接続のみが示されている。さらなる構成要素、例えばＨＭＩ６又はアクチュエータ４への接続はここでは示されていない。それらの接続は、例えば図１又は図２の実施形態に対応している。当該実施形態では、３つのセンサ３，１２，１３だけが設けられている。第１の計算ユニット１は、第１のセンサ３と第２のセンサ１２に接続されている。第２の計算ユニット２は、第３のセンサ１３に接続されている。この実施形態は、技術的に簡単でかつ安価ではあるが、但し第２の計算ユニット２でもはやセンサ信号のオンラインエラー識別は実施できない。第３のセンサ１３の検査若しくは妥当性検査のために、通常動作モード中又は第１の動作中に第１及び／又は第２のセンサ３，１２のデータへのアクセスが可能である。これらのデータは、第１の計算ユニット１から第２の計算ユニット２へ伝送される。好適には図４の実施例で既に説明したように、第１のセンサ３は完全に機能し、前記第２のセンサ１２には依存しない。さらに第３のセンサ１３も完全に機能し、第１及び第２のセンサ３，１２には依存しないように構成されていてもよい。

図６には、第１及び第２の計算ユニット１，２の４つのセンサ３，１２，１３，１４への接続に対するさらなる実施形態が示されている。なお、さらなる構成要素、例えばＨＭＩ６又はアクチュエータ４のようなさらなる構成要素はここでは示されていない。この接続は、例えば図１又は図２の実施形態に相当する。この実施形態では各計算ユニット１，２は、それぞれのセンサ３，１２，１３，１４に接続されている。本実施形態でも前記計算ユニット１，２においてセンサ信号の連携が行われる。また本実施形態では、各センサ自身が既に完全に機能可能であることは必要ない。なぜなら少なくとも２つのセンサが一緒に所望の測定を実施できるだけで十分だからである。

図７には、図６に類似した実施形態が示されているが、但しここでは４つのセンサの代わりに３つのセンサだけが設けられている。図６および図７に示す実施形態は、センサ誤差に対するエラー許容誤差である。

図８には、第１又は第２の計算ユニットの４つのセンサ３，１２，１３，１４への接続に対するさらに別の実施形態が示されている。当該実施形態では、第１の計算ユニット１は、第１、第２、第３のセンサ３，１２，１３に接続されている。また第２の計算ユニット２は、第２、第３、第４のセンサ１２，１３，１４に接続されている。この実施形態では、前記複数のセンサのうちの１つが故障した場合でも良好なエラー識別が可能になる。なぜなら前記第１の計算ユニット１は、前記第２の計算ユニット２に依存することなく第１のセンサのみにアクセスでき、前記第２の計算ユニット２は、前記第１の計算ユニット１に依存することなく第４のセンサ１４のみにアクセスできるからである。

図９にも、第１又は第２の計算ユニット１，２の接続が示されており、ここではセンサの故障へのエラーの非依存性が高められており、当該実施形態では、第１の計算ユニット１は、第１、第２、第３のセンサ３，１２，１３に接続されている。また第２の計算ユニット２は、第２のセンサ１２のみに接続されている。

切り戻し段階の検査
システムの通常の動作中に好適には恒久的な検査方法が第２の計算ユニット２上で実行される。この検査方法は、例えば第２の計算ユニット２に接続されたセンサを検査し、第２の計算ユニット２による制御信号の生成も検査している。この目的のために、相応の制御回路が設けられていてもよい。好適には前記検査方法は、第１の計算ユニット１が機能障害を通知した場合に、短時間でそれを遮断することができるように構成されている。選択された実施形態に応じてこの検査方法の実施は、第２の計算ユニット２の演算能力の５０％以上を必要とする。第２の計算ユニットに対しては、高い適用範囲が検証される。それ故に好適には、時間のかかる大規模な検査方法を実施することができる。さらに上述したように、第１の計算ユニット１のデータを当該検査方法の実施のために利用することも可能である。

引き渡しプロトコル
運転者から第１又は第２の計算ユニット１，２を備えたシステムへ車両の運転機能に関する制御を引き渡す場合に、引き継ぎ要求がＨＭＩ６を介して第１の計算ユニット１及び第２の計算ユニット２に伝送される。この引き渡しは、同じか又は２つの異なる通信チャネルを介して行うことが可能である。相応の通信チャネルは、図１若しくは図２のように構成することが可能である。引き継ぎ要求を受け取った後では、第１及び第２の計算ユニット１，２がそれらの状態とそれらの機能する能力とを例えば車両の動作状態ないしは車両の動作位置に応じて検査する。例えば運転機能の実施、特に自動化された運転機能の実施が、車両の既定の動作状態においてのみ、又は、既定の区域内、例えば高速道路においてのみ機能する。それにより、引き渡しの前に、第１及び第２の計算ユニットによって、当該第１及び第２の計算ユニットが、引き渡しに対する既定の運転機能を現在実行することができるか否かを検査する。前記２つの計算ユニットのうちの少なくとも１つが機能障害を生じている場合には、第１及び第２の計算ユニットは運転機能を実施することはできない。つまり前記２つの計算ユニット１，２の両方が引き渡しに対する既定の運転機能をエラーなしで実施できる場合にのみ、これらの２つの計算ユニットによる引き渡しは行われるべきであろう。

１つの実施形態によれば、最初にＨＭＩ６によって引き渡し要求を受け取った後に、前記２つの計算ユニット１，２は、それらの機能障害と機能性に関する相応の状態を交換する。続いて第１の計算ユニット１が自身にエラーが生じていないことを確認し、さらに第２の計算ユニット２からも当該ユニットがエラーなしで運転機能を実施可能である旨の情報を受け取った場合には、第１の計算ユニット１は例えばＨＭＩ６を介して運転者に運転機能の引き継ぎがＯＫであることを伝達する。同様に第２の計算ユニット２が自身にエラーが生じていないことを確認し、かつ、運転機能を実施することが可能な状態にあり、さらに第２の計算ユニット２が第１の計算ユニット１から当該第１の計算ユニットがエラーなしで運転機能を実施可能である旨の情報を受け取った場合には、第２の計算ユニット２は例えばＨＭＩ６を介して運転者に運転機能の引き継ぎがＯＫであることを伝達する。第１の計算ユニット１及び第２の計算ユニット２からＯＫ情報を受け取った後では、例えばＨＭＩ６は、相応の活性化確認応答を第１の計算ユニット１に送信し、必要に応じてさらなるシステムパート、例えば第２の計算ユニット２やアクチュエータ４及び／又はセンサ３にも送信する。

１つの実施形態によれば、提案されたアーキテクチャは、第２の計算ユニット２によって運転機能が実施される第２の動作モードから第１の動作モードへの切り替えを許容する。第２の動作モードの間に第１の計算ユニット１は、自身が再びエラー無しで機能して、運転機能の実施が可能になったことを検出すると、第１の計算ユニットは相応の引き戻し手順を介して再び運転機能に関する制御を引き継ぐことができる。このことは例えばエラーが第１の計算ユニット１において一時的なものでしかない場合、あるいはエラーが例えば（道路の）穴によってセンサ３で引き起こされ、別の路面状況では再び消滅するような場合に有利である。

前記引き戻し手順には、次のようなステップが含まれていてもよい。すなわち１つの実施形態によれば、第１の計算ユニット１においてエラーが発生した場合に、エラーの分類が実施され、第１の動作状態への後戻りが可能である。それに対しては相応のテーブルがエラーと共にデータメモリに、例えば第２の計算ユニットに格納されてもよい。分類が利用されるときには、第１の動作モードへの後戻りに対するトリガがなされるエラーの場合にのみ引き戻しが可能である。選択された実施形態に応じて、分類においてエラーの種別が決定されてもよい。第１の計算ユニット１におけるその発生の際には第１の動作モードから第１の動作モードへの引き戻しが可能である。さらに前記第１の計算ユニット１と前記第２の計算ユニット２の間で、引き戻しが可能となるエラーを交換するために情報交換が実施されてもよい。

さらにまた第１の計算ユニット１の引き戻し検査が行われてもよい。この検査では、例えば第１の計算ユニット１の完全なリセットと全ての初期化検査の実施が行われてもよい。さらに第１の計算ユニット１から、第２の計算ユニット２及びＨＭＩ６及び好適にはアクチュエータ４へ、第１の計算ユニット１が再び機能可能であることを示すシグナリングが行われてもよい。

さらに第２の計算ユニット２は、第１の計算ユニット１によって運転機能のシームレスな引き継ぎが可能である情報を第１の計算ユニット１に伝送することも可能である。この情報は、例えば第１の動作モードにおいて第１の計算ユニット１から第２の計算ユニット２へ引き渡される情報に相応していてもよい。ここで提案される引き戻し手順によれば、第１の計算ユニット１のエラー発生時の運転者引き継ぎが直ちに要求されるのではなく、所定の、好ましくは比較的長めの時間定数でもって要求され得る。第２の計算ユニットが実際の機能障害の影響に関しても非常に良好で第１の計算ユニット１による影響を受けない場合には、第２の計算ユニット２による継続動作は分単位の領域に十分にあり得る。したがって生じ得る返信や第２の動作モードから第２の動作モードへ移行するための時間は十分である。第１の計算ユニット１が第２の動作モードから第１の動作モードへの移行を成功裡に達成している場合には、再び冗長的でかつ適正に機能可能なシステムが再び存在する。これは、機能制限の枠内においても制約なしで引き続き継続動作が可能である。これらの手順のもとでは、エラー発生後の非常に短い時間内で運転者にエラー情報を提供することは必ずしも必要ではない。

選択された実施形態に応じて、第２の動作モードにおける機能は、第１の動作モードにおける機能と比べて制限がかかっていてもよい。例えば、第２の動作モードにおいては、比較的緩慢な速度、比較的広い間隔、追い越し無し、又は指定された走行レーンの優先（例えば独国では走行レーンが複数あるときには安全のために右側の走行レーンが選択される）等があってもよい。それにより第２の計算ユニット２において付加的な障害が発生した場合の潜在的リスクが低減し、運転者は運転機能を引き継ぐためにより多くの時間を有する。第２の動作モードにおいて第２の計算ユニットが機能障害を有している場合には、例えばＨＭＩ６を介した運転者への相応の表示が必要である。この表示においては、運転者は、自動化された運転機能を直ちに自身で再び引き継ぐことを要求する。

１ 第１の計算ユニット
２ 第２の計算ユニット
３ センサ
４ アクチュエータ
５ インターフェース
６ ＨＭＩ
７ インターフェース
８ システム遮断パス
１２ センサ
１３ センサ
１４ センサ

Claims (20)

1. 第１の計算ユニット（１）と第２の計算ユニット（２）とを備えたシステムであって、
   前記第１の計算ユニット（１）は、少なくとも１つのセンサ（３）及び少なくとも１つのアクチュエータ（４）とコンタクトをとるための第１及び第２のインターフェースを有しており、
   前記第２の計算ユニット（２）は、前記少なくとも１つのセンサ（３）及び前記少なくとも１つのアクチュエータ（４）とコンタクトをとるための第３及び第４のインターフェースを有しており、
   前記第１の計算ユニット（１）及び前記第２の計算ユニット（２）は、第５のインターフェース（５）を介して相互に接続を形成し、
   前記第１の計算ユニット（１）、前記第２の計算ユニット（２）及び前記アクチュエータ（４）のうちの少なくとも１つは、前記第１の計算ユニット（１）又は前記第２の計算ユニット（２）が前記アクチュエータ（４）を実効的に駆動制御可能であるか否かを決定できるように構成されており、
   ＨＭＩ（６）が、自動化された運転機能を実施するための引き継ぎ要求を、前記第１及び第２の計算ユニット（１，２）へ引き渡すように構成されており、前記第１及び第２の計算ユニット（１，２）は、前記運転機能の引き継ぎを相互に別個に前記ＨＭＩ（６）に通知するように構成されており、さらに前記ＨＭＩ（６）は、前記第１及び第２の計算ユニット（１，２）が、適正に機能しかつ前記運転機能が実施可能であることを通知した場合にのみ、前記自動化された運転機能を前記第１の計算ユニット（１）に引き渡し、
   前記第１の計算ユニット（１）は、該第１の計算ユニット（１）が自身で機能可能と判断し、さらに当該第１の計算ユニット（１）が前記第２の計算ユニット（２）から当該第２の計算ユニット（２）も機能可能であることに関する情報を受け取っている場合に、引き継ぎを前記ＨＭＩ（６）に送信し、前記第２の計算ユニット（２）は、該第２の計算ユニット（２）が自身で機能可能と判断し、さらに当該第２の計算ユニット（２）が前記第１の計算ユニット（１）から当該第１の計算ユニット（１）も機能可能と判断したことに関する情報を受けている場合に、引き継ぎを前記ＨＭＩ（６）に送信する、
   ことを特徴とするシステム。
2. 前記アクチュエータ（４）は、第６のインターフェース（７）を有しており、前記第６のインターフェース（７）は、第１又は第２の動作状態に依存して、前記第１の計算ユニット（１）又は前記第２の計算ユニット（２）から運転機能のための制御命令を受け取るか否かを決定し、それによって、前記第１の動作状態においては前記第１の計算ユニット（１）のみが前記アクチュエータ（４）を駆動制御可能とされ、前記第２の動作状態においては前記第２の計算ユニット（２）のみが前記アクチュエータ（４）を駆動制御可能とされる、請求項１記載のシステム。
3. 前記第１の計算ユニット（１）の機能が適正な場合には、第１の動作状態が活性化されて前記第１の計算ユニット（１）のみが前記アクチュエータ（４）を実効的に駆動制御可能とされ、前記第１の計算ユニット（１）の機能障害の場合には、第２の動作状態が活性化されて前記第２の計算ユニット（２）のみが前記アクチュエータ（４）を実効的に駆動制御可能とされる、請求項１又は２記載のシステム。
4. 前記第２の計算ユニット（２）は、１つの検査方法を実施するように構成されている、請求項１から３いずれか１項記載のシステム。
5. 前記第１の動作状態において前記第２の計算ユニット（２）は、１つの検査方法を実施するように構成されている、請求項２から４いずれか１項記載のシステム。
6. 前記検査方法は、前記第２の計算ユニット（２）と前記第１の計算ユニット（１）との間の通信に該当する、請求項５記載のシステム。
7. 前記検査方法は、前記第２の計算ユニット（２）と前記アクチュエータ（４）との間の通信に該当する、請求項５又は６記載のシステム。
8. 前記検査方法は、前記第２の計算ユニット（２）の機能性の検査に該当する、請求項５から７いずれか１項記載のシステム。
9. 前記第２の計算ユニット（２）が運転機能を実施している前記第２の動作状態において、前記第１の計算ユニット（１）が自身で再び機能可能であることを示した場合に、前記運転機能の実施が前記第１の計算ユニット（１）に戻される、請求項２から８いずれか１項記載のシステム。
10. 前記第１の計算ユニット（１）への前記運転機能の実施の戻しは、既定の機能障害及び／又は既定の運転機能に限定される、請求項９記載のシステム。
11. 前記アクチュエータ（４）は、前記第１の計算ユニット（１）及び／又は前記第２の計算ユニット（２）の機能障害が存在する場合に、前記アクチュエータ（４）をセーフティ機能（８）又はセーフティポジションに制御するように構成されている、請求項１から１０いずれか１項記載のシステム。
12. ２つのアクチュエータ制御機器（１７，１８）が設けられており、前記２つのアクチュエータ制御機器（１７，１８）は、前記少なくとも１つのアクチュエータ（４）と接続され、前記各アクチュエータ制御機器（１７，１８）は、前記第１及び第２の計算ユニット（１，２）と接続されている、請求項１から１１いずれか１項記載のシステム。
13. 前記第１及び第２の計算ユニット（１，２）は、別個の給電システム（１９，２０）から電流を供給される、請求項１から１２いずれか１項記載のシステム。
14. 前記第１の計算ユニット（１）は、少なくとも適正な機能性を検査する検査方法のための入力データを前記第２の計算ユニット（２）に供給するように構成されている、請求項１から１３いずれか１項記載のシステム。
15. 前記第１の計算ユニット（１）は、算出された運転機能を前記第２の計算ユニット（２）へ伝送するように構成されており、前記第２の計算ユニット（２）は、同一の運転機能のための計算を実施し、自身で算出した運転機能を前記伝送された運転機能と比較し、該比較に基づいて前記第２の計算ユニット（２）の機能障害を検査する、請求項１から１４いずれか１項記載のシステム。
16. 前記運転機能は、自動化された運転機能である、請求項１５記載のシステム。
17. 同一のパラメータを冗長的に測定する少なくとも２つの第１及び第２のセンサ（３，１２，１３，１４）が設けられており、少なくとも、前記第１の計算ユニット（１）は、前記第１のセンサ（３）と接続され、前記第２の計算ユニット（２）は前記第２のセンサ（１２）と接続されている、請求項１から１６いずれか１項記載のシステム。
18. 前記第１及び第２のセンサ（３，１２，１３，１４）を含む複数のセンサ（３，１２，１３，１４）が設けられており、前記第１及び第２の計算ユニット（１，２）は、前記複数のセンサ（３，１２，１３，１４）と接続を形成し、前記複数のセンサ（３，１２，１３，１４）の全ては、前記計算ユニット（１，２）と接続されている、請求項１７記載のシステム。
19. 前記ＨＭＩ（６）は、自動化された運転機能を実施するための引き継ぎ要求を、別個の第７のインターフェースを介して前記第１及び第２の計算ユニット（１，２）へ引き渡すように構成されている、請求項１記載のシステム。
20. 第１の計算ユニットと第２の計算ユニットとを備えたシステムを動作させる方法であって、
    前記第１の計算ユニットは、少なくとも１つのセンサ（３）及び少なくとも１つのアクチュエータ（４）とコンタクトをとるための第１及び第２のインターフェースを有し、
    前記第２の計算ユニットは、前記少なくとも１つのセンサ（３）及び前記少なくとも１つのアクチュエータ（４）とコンタクトをとるための第３及び第４のインターフェースを有し、
    前記第１の計算ユニット及び前記第２の計算ユニットは、第５のインターフェースを介して相互に接続を形成し、
    前記第１の計算ユニット、前記第２の計算ユニット及び前記アクチュエータ（４）のうちの少なくとも１つは、前記第１の計算ユニット（１）又は前記第２の計算ユニット（２）が前記アクチュエータ（４）を実効的に駆動制御可能であるか否かを決定し、
    ＨＭＩ（６）が、自動化された運転機能を実施するための引き継ぎ要求を、前記第１及び第２の計算ユニット（１，２）へ引き渡すように構成されており、前記第１及び第２の計算ユニット（１，２）は、前記運転機能の引き継ぎを相互に別個に前記ＨＭＩ（６）に通知するように構成されており、さらに前記ＨＭＩ（６）は、前記第１及び第２の計算ユニット（１，２）が、適正に機能しかつ前記運転機能が実施可能であることを通知した場合にのみ、前記自動化された運転機能を前記第１の計算ユニット（１）に引き渡し、
    前記第１の計算ユニット（１）は、該第１の計算ユニット（１）が自身で機能可能と判断し、さらに当該第１の計算ユニット（１）が前記第２の計算ユニット（２）から当該第２の計算ユニット（２）も機能可能であることに関する情報を受け取っている場合に、引き継ぎを前記ＨＭＩ（６）に送信し、前記第２の計算ユニット（２）は、該第２の計算ユニット（２）が自身で機能可能と判断し、さらに当該第２の計算ユニット（２）が前記第１の計算ユニット（１）から当該第１の計算ユニット（１）も機能可能と判断したことに関する情報を受けている場合に、引き継ぎを前記ＨＭＩ（６）に送信する、
    ことを特徴とする方法。

Images