DE19509150C2

DE19509150C2 - Verfahren zum Steuern und Regeln von Fahrzeug-Bremsanlagen sowie Fahrzeug-Bremsanlage

Info

Publication number: DE19509150C2
Application number: DE1995109150
Authority: DE
Inventors: Thomas Dieckmann
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Teves AG and Co OHG
Priority date: 1995-03-14
Filing date: 1995-03-14
Publication date: 2003-03-27
Anticipated expiration: 2015-03-15
Also published as: DE19509150A1

Description

Die Erfindung betrifft ein Verfahren zum Steuern bzw. Regeln von Fahrzeug-Bremsanlagen mit mindestens zwei Bremskreisen K1 und K2, die jeweils über eine voneinander unabhängige mikroprozessorgesteuerte Steuer-/Regeleinheit µC1 bzw. µC2 verfügen. Darüber hinaus betrifft die Erfindung eine Bremsanlage für Fahrzeuge zur Durchführung des Verfahrens gemäß dem Oberbegriff des Anspruchs 5.

In der Vergangenheit bestanden die Verbindungselemente zwischen Fahrzeugführer und Fahrzeug im wesentlichen aus mechanischen Übertragungsmitteln. Diese bisherigen mechanischen Übertragungsmittel werden zunehmend durch elektrische und sogenannte intelligente Steuer- und Regelorgane ergänzt oder sogar völlig ersetzt.

Mit der fortschreitenden Entlastung des Fahrzeugführers durch neue elektronische Regelsysteme erhöht sich die Fahrsicherheit nur dann, wenn auch die Zuverlässigkeit der elektronischen Funktionen entsprechend gesteigert wird. Dies gilt insbesondere für elektronisch geregelte Bremssysteme.

Zwar muss nicht jede Einschränkung an Zuverlässigkeit zu einem Sicherheitsrisiko führen, d. h. nicht jeder Ausfall führt zu einer Gefährdung. Bei der Entwicklung zukünftiger Bremselektronik gilt es aber, die bisherigen Sicherheitsstandards einzuhalten oder gar zu übertreffen. Ein wegen erhöhter Kompliziertheit der Elektronik erhöhtes Ausfallrisiko muss durch redundante Maßnahmen zu einem Mehr an Sicherheit führen.

Bei der Zuverlässigkeit kann man grundsätzlich zwischen sicherheitsrelevanter und nicht sicherheitsrelevanter Zuverlässigkeit unterscheiden. Ein Mangel an sicherheitsrelevanter Zuverlässigkeit kann stets zu gefährlichen Systemfunktionen führen.

Eine anzustrebende Erhöhung der Sicherheit kann sowohl durch eine allgemeine Erhöhung der Zuverlässigkeit (z. B. der zu verwendenden elektrischen und sonstigen Bauelemente) als auch durch Redundanzen erfolgen. Bei letzteren geht man von der realistischen Erkenntnis aus, dass die Zuverlässigkeit der Bauelemente nicht beliebig gesteigert werden kann.

Bei einer Bremsanlage ist Redundanz durch den Einsatz eines zweiten Bremskreises gegeben. Durch die Verwendung des zweiten Bremskreises erhöht sich zunächst einmal die Wahrscheinlichkeit, dass ein Kreis ausfällt, d. h. die Zuverlässigkeit wird geringer. Andererseits ist aber die Wahrscheinlichkeit, dass beide Bremskreise gleichzeitig versagen und so ein gefährlicher Ausfall entstehen kann, beträchtlich reduziert.

Durch eine Vergrößerung der Redundanz kann deshalb die Sicherheit wirksam erhöht werden. Die Erhöhung der Redundanz ist inzwischen ein unverzichtbares Sicherheitsmerkmal geworden. Allerdings kann die Redundanz aus Kostengründen nicht beliebig weit getrieben werden.

Eine Möglichkeit, die Redundanz zu erhöhen, besteht in der Einführung von "Software-Redundanz". Hierbei wird mit Hilfe mehr oder weniger aufwendiger Selbsttestprogramme eine Ausfallerkennung betrieben. Mit derartigen Programmen können Soll-Ist-Vergleiche durchgeführt und bei Abweichung von vorgegebenen Sollwerten kann u. U. ein Notlaufprogramm in Gang gesetzt werden.

Bei Vorgängen, bei denen kein Sollwert gegeben ist und somit auch kein Soll-Ist-Vergleich durchgeführt werden kann, wäre eine zweite Rechnereinheit, bzw. eine zweite Software erforderlich, um mit Hilfe eines Vergleichs zwischen den beiden Ausgangsdaten Abweichungen der Ausgangsdaten voneinander feststellen zu können. Ein derartiges Bremssystem ist z. B. aus der DE 41 37 124 A1 bekannt. Das vorbekannte Bremssystem weist zwei Mikroprozessoren auf, von denen der erste als Regelungs- Mikroprozessor und der zweite als Überwachungs- Mikroprozessor verwendet wird. Im Betrieb des Bremssystems werden die Signale des Regelungs-Mikroprozessors mit den entsprechenden Signalen des Überwachungs-Mikroprozessors verglichen, wobei bei Nicht-Übereinstimmung ein Fehler klassifiziert wird und eine Stillegung oder Abschaltung erfolgt.

Da bei einer Differenz, d. h. bei einem Fehler in der Elektronik, die Bremsanlage nicht einfach abgeschaltet werden darf, wäre es erforderlich, mit Hilfe einer dritten Rechnereinheit, bzw. mit einem dritten Softwareprogramm festzustellen, welche Rechnereinheit, bzw. welches Softwareprogramm unzuverlässig, d. h. fehlerhaft gearbeitet hat. Dabei würde die dritte Einheit entweder als übergeordnete Entscheidungseinheit oder nach dem demokratischen Prinzip als "Mehrheitsbeschaffer" fungieren.

Bei einem zweikreisigen Bremssystem wären bei dem hier skizzierten Beispiel insgesamt sechs Mikroprozessor einheiten erforderlich. Durch derartige Sicherheitsmaßnahmen würde sich der Aufwand an Mikroprozessoren insgesamt verdreifachen.

Aufgabe der Erfindung ist es, die Sicherheit von elektrisch/elektronisch geregelten Bremskreisen mittels Redundanzen zu vertretbaren Kosten zu erhöhen. Sicherheitsanforderungen, die über das von ABS bekannte Maß hinausgehen, sollen mit neuartigen Rechnerstrukturen erreicht werden.

Im Hinblick auf das eingangs genannte Verfahren wird diese Aufgabe durch den kennzeichnenden Teil des Patentanspruchs 1 gelöst. Bezüglich der Bremsanlage zur Durchführung dieses Verfahrens ist die entsprechende Lösung mit Anspruch 5 gegeben. Weitere vorteilhafte Merkmale ergeben sich aus den Unteransprüchen.

Durch die erfindungsgemäße Anordnung wird es erstmals möglich, die Anzahl der für die Bremssteuerung/Regelung erforderlichen Prozessoren gering zu halten. Mit dem hier realisierten Fail-active-Prinzip ist ein System gegeben, welches - ausgehend von einem sicheren Zustand - aus einer redundanten Anordnung von Prozessoren besteht, die sich selbst überprüfen und regeln können.

Eine Fail-safe-Struktur kann hingegen lediglich einen Fehler feststellen und abschalten. Ein typisches Anwendungsbeispiel für eine Fail-safe-Struktur ist ein Antiblockiersystem. Der sichere Zustand eines defekten Antiblockiersystems ist der abgeschaltete Zustand. D. h.: das System wird lahmgelegt; die ungeregelte Bremsfunktion bleibt erhalten.

Die Bremse an sich hat aber keinen sicheren Zustand. Ein sicherer Zustand ist weder "Bremse abschalten'." noch "Vollbremsung einleiten!". D. h.: die Bremse ist ein System, welches "fail-active" benötigt, denn die Bremse an sich ist kein Hilfssystem, wie z. B. das ABS.

Wie eingangs erwähnt, benötigt man für die Realisierung von "fail-active" jeweils drei Prozessoren. Deren drei Ergebnisse werden miteinander verglichen. Dabei können immer zwei Prozessoren mit ihren Ergebnissen den dritten überstimmen.

Der Gesetzgeber verlangt, jeweils mindestens zwei unabhängige Bremskreise vorzusehen. Zur Realisierung von "fail-active" benötigt man dafür bisher mindestens sechs Prozessoren. Erfindungsgemäß wird nun eine Struktur gebildet, wobei die Hauptsteuer-/Regeleinheiten von nur einer einzigen Kontrolleinheit überwacht werden.

Damit diese Kontrolleinheit fähig ist, beide Einheiten in Echtzeit intermittierend zu überwachen, wird in der Kontrolleinheit mit einfacheren Algorithmen gearbeitet, was mit gewissen Toleranzen vertretbar ist. Bei der Kontrolle ist es ausreichend zu prüfen, ob der Zielbereich stimmt. Es kann nicht überprüft werden, ob die Ergebnisse 100%-ig identisch sind, wie es bei symmetrischer Redundanz erfolgen würde. Deshalb wird ein Toleranzbereich vorgegeben, in dem Übereinstimmung unterstellt wird.

Überschreitet die Abweichung den vorgegebenen Toleranzbereich, so wird auf einen Fehler im betreffenden System geschlossen. In diesem Fall wird ein Datenübertragungskanal geöffnet, der dem anderen Kreis Daten zuspielt.

Da es sich um digitale Informationen handelt, können die beiden Kreise galvanisch voneinander getrennt bleiben. Insofern ist die getrennte Kreisigkeit der Bremsanlage gewährleistet. Eine elektrische Wirkverbindung besteht nicht; es werden lediglich Informationen ausgetauscht. Durch das erfindungsgemäße Verfahren wird der intakte Prozessor dem anderen Kreis zur Verfügung gestellt und sobald der intakte Prozessor nicht voll ausgelastet ist, kann er die vom defekten Kreis übertragenen Informationen verarbeiten und an den defekten Kreis und dem zugehörigen Komparator zwecks Mehrheitsentscheid zurückübertragen. Auf diese Weise kann entschieden werden, welcher der beiden Prozessoren (Haupt- oder Kontroll-Prozessor) defekt ist. In Anbetracht dieser Kenntnisse braucht der diesbezügliche Kreis nicht abgeschaltet zu werden, sondern er kann auf der Basis der Grundfunktionen weiterarbeiten.

Dieses erfinderische Prinzip ist auf alle Bremsaufgaben - inclusive ABS - anwendbar. Die Stromversorgung der Steuer- /Regeleinheiten kann galvanisch getrennt sein. Vorzugsweise ist die Stromversorgung der Kontrolleinheit einem Hauptkreis zugeordnet.

Insgesamt ergibt sich ein einfacher Aufbau mit Fail-active- Verhalten. Die vom Gesetzgeber geforderte Zweikreisigkeit bleibt voll erhalten. Somit können hohe Sicherheits anforderungen erfüllt werden. Dadurch, dass Haupt- und Kontroll-Prozessoren einen unterschiedlichen Aufbau aufweisen, wird die Betriebssicherheit gesteigert.

Im folgenden wird das erfindungsgemäße Verfahren und die zur Durchführung des Verfahrens vorgesehene Steuer- /Regeleinrichtung anhand des in Fig. 1 dargestellten Blockschaltbildes beschrieben.

Bei einer Bremsanlage sind aus Sicherheitsgründen stets mindestens zwei voneinander unabhängig funktionierende Bremskreise (K1) 2 und (K2) 4 vorzusehen. Diese voneinander unabhängig funktionierenden Bremskreise (K1) 2 und (K2) 4 können mit Hilfe der mikroprozessorgesteuerten Steuer- /Regeleinheiten (µC1) 6 und (µC2) 8 voneinander unabhängig gesteuert bzw. geregelt werden.

Außer den beiden mikroprozessorgesteuerten Steuer- /Regeleinheiten (µC1) 6 und (µC2) 8, die jeweils den einzelnen Kreisen (K1) 2 und (K2) 4 zugeordnet sind, gibt es noch eine weitere mikroprozessorgesteuerte Steuer- /Regeleinheit (µC3) 10 als Kontrollrechner. Diese weitere Einheit (µC3) 10 steht sowohl mit der Einheit (µC1) 6 des Kreises (K1) 2 als auch mit der Einheit (µC2) 8 des Kreises (K2) 4 in Wirkverbindung.

Trotz der Verknüpfung der beiden Steuer-/Regeleinheiten (µC1) 6 und (µC2) 8 über den gemeinsamen Kontrollrechner 10 bleiben die beiden Bremskreise (K1) 2 und (K2) 4 voneinander unabhängig.

Die weitere Einheit (µC3) 10, die nach dem Verfahren der sogenannten asymmetrischen Redundanz (Redundanz durch zwei ungleiche Zweige) die beiden Kreise (K1) 2 und (K2) 4 überwacht, wird herangezogen, um eine Fail-safe-Struktur zu erreichen. Zu diesem Zweck erhält die weitere Einheit (µC3) 10 die Eingangsdaten 16 und 18 der beiden Kreise (K1) 2 und (K2) 4 und berechnet intermittierend die zugehörigen Ausgangsdaten 22 und 26.

Da die Ausgangsdaten 20 und 24 der beiden Kreise (K1) 2 und (K2) 4 in Echtzeit überwacht werden sollen, müsste der gemeinsame Kontrollrechner (µC3) 10 über die doppelte Rechnerkapazität verfügen. Um dies zu vermeiden, wird erfindungsgemäß vorgeschlagen, dass im angesprochenen Kontrollrechner (µC3) 10 lediglich vereinfachte Algorithmen ablaufen. So kann die Kapazität des Kontrollrechners 10 in vertretbaren Grenzen gehalten werden.

Zusätzlich zu den mikroprozessorgesteuerten Steuer- /Regeleinheiten (µC1) 6 bzw. (µC2) 8 erhält jeder Kreis (K1) 2 bzw. (K2) 4 einen Baustein "Komparator + Mehrheitsentscheid" 12 bzw. 14 zum Vergleich der Ausgangsdaten 22 des Kontrollrechners (µC3) 10 bezüglich des Kreises (K1) 2 mit den Ausgangsdaten 20 der Einheit (µC1) 6, bzw. zum Vergleich der Ausgangsdaten 26 des Kontrollrechners (µC3) 10 bezüglich des Kreises (K2) 4 mit den Ausgangsdaten 24 der Einheit (µC2) 8.

Durch die Verwendung vereinfachter Algorithmen im Kontrollrechner (µC3) 10 kann es vorkommen, dass die Ausgangsdaten 22 bezüglich des Kreises (K1) 2 bzw. die Ausgangsdaten 26 bezüglich des Kreises (K2) 4 in gewissem Maße von den Ausgangsdaten 20 bzw. 24 der Haupteinheiten (µC1) 6 bzw. (µC2) 8 abweichen. Überschreitet die vom jeweiligen Baustein "Komparator + Mehrheitsentscheid" 12 bzw. 14 festgestellte Abweichung einen bestimmten vorgegebenen Vertrauensbereich, so liegt in dem betreffenden Kreis (K1) 2 bzw. (K2) 4 ein Fehler vor. Bei Kenntnis eines derartig festgestellten Systemfehlers können erste Schritte (z. B. Start eines Notlaufprogramms) eingeleitet werden. Abschaltung eines Kreises (K1) 2 oder (K2) 4 sollte an einem solchen sicherheitsrelevanten Bauteil wie der Bremse jedoch möglichst nicht erfolgen.

Erfindungsgemäß wird in einem solchen Fall eine Fail- active-Struktur gebildet, in der das Bremssystem im gestörten Kreis (K1) 2 bzw. (K2) 4 aktiv bleiben kann und per Mehrheitsentscheid geführt wird. Dazu wird im Fehlerfall vom zugeordneten Baustein "Komparator + Mehrheitsentscheid" 12 bzw. 14 eine elektrische Verbindung (Gate 1) 28 bzw. (Gate 2) 30 geöffnet, über welche die Eingangsdaten 16 bzw. 18 dem Prozessor (µC2) 8 bzw. (µC1) 6 des störungsfreien Kreises (K2) 4 bzw. (K1) 2 auf einer niedrigeren Prioritätsstufe 34 bzw. 32 zur Verfügung gestellt werden.

Die niedrigere Priorität ist derart ausgebildet, dass der funktionsfähige Kreis (K2) 4 bzw. (K1) 2 durch die zusätzlichen Daten 34 bzw. 32 nicht gestört wird und seine Leistungsfähigkeit voll erhalten bleibt. In einer Periode, in der der Prozessor (µC2) 8 bzw. (µC1) 6 jedoch ansonsten nicht voll ausgelastet wäre, werden die Daten 34 bzw. 32 verarbeitet und wieder dem Baustein "Komparator + Mehrheitsentscheid" 12 bzw. 14 des fehlerhaften Kreises (K1) 2 bzw. (K2) 4 übermittelt. Der Baustein "Komparator + Mehrheitsentscheid" 12 bzw. 14 kann nun nicht nur per Mehrheitsentscheid wieder aktiv arbeiten, sondern kann darüber hinaus auch den fehlerhaften Zweig erkennen.

Daraus leitet sich eine Fail-active-Struktur ab, womit die Systemfunktion sowohl bei Ausfall eines Prozessors (µC1) 6 bzw. (µC2) 8 als auch bei Ausfall des Prozessors (µC3) in zwei getrennten Kreisen (K1) 2 bzw. (K2) 4 per Mehrheitsentscheid des Bausteins 12 bzw. 14 aufrechterhalten werden kann.

Bezugszeichenliste

2

Bremskreis K1

4

Bremskreis K2

6

mikroprozessorgesteuerte Steuer-/Regeleinheit µC1

8

mikroprozessorgesteuerte Steuer-/Regeleinheit µC2

10

mikroprozessorgesteuerte Steuer-/Regeleinheit µC3 als Kontrollrechner

12

Baustein "Komparator + Mehrheitsentscheid"

14

Baustein "Komparator + Mehrheitsentscheid"

16

Eingangsdaten des Kreises K1

18

Eingangsdaten des Kreises K2

20

Ausgangsdaten der Einheit µC1

22

Ausgangsdaten des Kontrollrechners µC3 bezüglich des Kreises K1

24

Ausgangsdaten der Einheit µC2

26

Ausgangsdaten des Kontrollrechners µC3 bezüglich des Kreises K2

28

Elektrische Verbindung (Gate 1)

30

Elektrische Verbindung (Gate 2)

32

Eingangsdaten des Kreises K1 auf einer niedrigeren Prioritätsstufe

34

Eingangsdaten des Kreises K2 auf einer niedrigeren Prioritätsstufe

36

von Prozessor µC2 auf einer niedrigeren Prioritätsstufe verarbeitete Daten des Kreises K1

38

von Prozessor µC1 auf einer niedrigeren Prioritätsstufe verarbeitete Daten des Kreises K2

Claims

1. Verfahren zum Steuern bzw. Regeln von Fahrzeug- Bremsanlagen mit mindestens zwei Bremskreisen K1 (2) und K2 (4), die jeweils über eine voneinander unabhängige mikroprozessorgesteuerte Steuer- /Regeleinheit µC1 (6) und µC2 (8) verfügen, dadurch gekennzeichnet,
dass eine weitere mikroprozessorgesteuerte Steuer- /Regeleinheit µC3 (10) als Kontrollrechner vorgesehen ist, die die beiden Steuer-/Regeleinheiten µC1 (6) und µC2 (8) überwacht, wozu sie wechselweise die Eingangsdaten (16, 18) der Kreise K1 (2) und K2 (4) erhält und intermittierend die Ausgangsdaten (22, 26) bezüglich der Kreise K1 (2) und K2 (4) berechnet,
dass jeweils in einem Baustein "Komparator + Mehrheitsentscheid" (12, 14) die Ausgangsdaten (20, 24) der Einheit µC1 (6) bzw. µC2 (8) mit den Ausgangsdaten (22, 26) des Kontrollrechners µC3 (10) bezüglich des Kreises K1 (2) und K2 (4) verglichen werden, und
dass - falls der jeweilige Baustein "Komparator + Mehrheitsentscheid" (12, 14) ein Überschreiten einer vorgegebenen Abweichung feststellt und somit ein Systemfehler vorliegt - bei Kenntnis eines solchen vorliegenden Systemfehlers Maßnahmen, (z. B. Einleitung eines Notlaufprogramms), eingeleitet werden, wobei eine Abschaltung eines Bremskreises K1 (2) bzw. K2 (4) vermieden wird.

2. Verfahren zum Steuern und Regeln nach Anspruch 1, dadurch gekennzeichnet, dass im Fall der Feststellung einer unerlaubten Abweichung eine Fail-active-Struktur gebildet wird, in der das Bremssystem des gestörten Kreises K1 (2) bzw. K2 (4) aktiv bleiben kann und durch Mehrheitsentscheid geführt wird, wozu im Fehlerfall mittels des zugehörigen Komparators (12, 14) eine elektrische Verbindung (Gate 1,28; Gate 2,30) geöffnet wird, über welche dem Prozessor µC2 (8) bzw. µC1 (6) des störungsfreien Kreises (K2 (4); K1 (2)) die Eingangsdaten auf einer niedrigen Prioritätsstufe (32, 34) zur Verfügung gestellt werden.

3. Verfahren zum Steuern und Regeln nach Anspruch 2, dadurch gekennzeichnet, dass die niedrigere Priorität derart ausgebildet ist, dass der funktionsfähige Kreis K2 (4) bzw. K1 (2) durch die zusätzlichen Daten ungestört und mit voller Leistungsfähigkeit erhalten bleibt, jedoch in Perioden, in welchen die Abarbeitung der Daten nicht die Funktion des intakten Bremskreises beeinträchtigt, die Daten verarbeitet und wieder dem Baustein "Komparator + Mehrheitsentscheid" (12, 14) des fehlerhaften Kreises K1 (2) bzw. K2 (4) übermittelt werden, wodurch der Komparator (12, 14) nicht nur per Mehrheitsentscheid wieder aktiv arbeiten, sondern gleichzeitig den fehlerhaften Prozessor als fehlerhaft erkennen kann.

4. Verfahren zum Steuern und Regeln nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in dem Kontrollrechner µC3 (10) zwecks Überwachung in Echtzeit vereinfachte Algorithmen ablaufen.

5. Bremsanlage für Fahrzeuge zur Durchführung des Verfahrens zum Steuern und Regeln nach einem der vorhergehenden Ansprüche, mit mindestens zwei Bremskreisen K1 (2) und K2 (4), die jeweils über eine voneinander unabhängige mikroprozessorgesteuerte Steuer-/Regeleinheit µC1 (6) und µC2 (8) verfügen, gekennzeichnet durch eine weitere mikroprozesorgesteuerte Steuer-/Regeleinheit µC3 (10) als Kontrollrechner, die den Steuer/Regeleinheiten µC1 (6) und µC2 (8) der Bremskreise K1 (2) und K2 (4) zur Überwachung und Beeinflussung zugeordnet ist, sowie durch jeweils einen Baustein "Komparator + Mehrheitsentscheid" (12, 14), die den Bremskreisen K1 (2) und K2 (4) - zwecks Vergleich des Resultats des Kontrollrechners µC3 (10) mit dem der jeweiligen Steuer-/Regeleinheit µC1 (6) bzw. µC2 (8) - zugeordnet sind.

6. Bremsanlage nach Anspruch 5, dadurch gekennzeichnet, dass der Kontrollrechner µC3 (10) zwecks Überwachung der Steuer-/Regeleinheiten µC1 (6) und µC2 (8) in Echtzeit lediglich über vereinfachte Algorithmen verfügt.

7. Bremsanlage nach Anspruch 5 oder 6, gekennzeichnet durch Mittel zur Einleitung von Maßnahmen bei Überschreiten einer vorgegebenen Abweichung der Resultate voneinander (z. B. Einleitung eines Notlaufprogramms).

8. Bremsanlage nach einem der vorhergehenden Ansprüche 5-7, gekennzeichnet durch Bildung einer Fail-active- Struktur, in der das Bremssystem des gestörten Kreises K1 (2) bzw. K2 (4) aktiv bleiben kann, wobei es durch Mehrheitsentscheid führbar ist, indem im Fehlerfall über den Komparator (12, 14) eine elektrische Verbindung (Gate 1(28); Gate 2(30)) vom Eingang des defekten Kreises (K1 (2); K2 (4)) zu dem anderen Kreis (K2 (4); K1 (2)) herstellbar ist, über den die Eingangsdaten des gestörten Kreises (K1 (2); K2 (4)) dem Prozessor der störungsfrei arbeitenden Steuer- /Regeleinheit µC2 (8) bzw. µC1 (6) auf einer niedrigeren Prioritätsstufe (32, 34) verfügbar sind.

9. Bremsanlage nach Anspruch 8, dadurch gekennzeichnet, dass die niedrigere Priorität (32, 34) derart ausgebildet ist, dass der funktionsfähige Kreis (K2 (4); K1 (2)) trotz der zusätzlichen Daten ungestört und seine volle Leistungsfähigkeit erhalten bleibt, jedoch in Perioden, in welchen die Abarbeitung der Daten keine Beeinträchtigung der Funktion darstellt, können die Daten (32, 34) verarbeitet werden und die auf einer niedrigeren Prioritätsstufe verarbeiteten Daten (36, 38) sind wieder dem Baustein (12, 14) des fehlerhaften Kreises (K1 (2); K2 (4)) übermittelbar, wodurch der Komparator (12, 14) nicht nur per Mehrheitsentscheid wieder aktiv arbeiten, sondern gleichzeitig den fehlerhaften Kreis K1 (2) bzw. K2 (4) als fehlerhaft erkennen kann.