【事件の表示】
　特願２００２−５７３２７７「分配された安全上重要なシステムのコンポーネントの駆動方法」拒絶査定不服審判事件〔平成１４年　９月２６日国際公開、ＷＯ０２／７４５９６、平成１６年　６月２４日国内公表、特表２００４−５１８５７８〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
　
１．手続の経緯
　
　本願は、２００２年３月１４日（パリ条約による優先権主張外国庁受理　２００１年３月１５日　（ＤＥ）ドイツ連邦共和国）を国際出願日とする特許出願であって、平成２２年３月２６日（起案日）付けで拒絶査定がなされ、これに対し、平成２２年７月３０日に拒絶査定不服審判の請求がなされたものである。
　
２．本願発明
　
　本願の請求項１ないし８に係る発明は、平成２０年７月８日付け手続補正により補正された明細書及び図面の記載からみて、その特許請求の範囲の請求項１ないし８に記載された事項により特定されるとおりのものであると認められるところ、その請求項１に係る発明（以下、「本願発明」という。）は、次のとおりのものである。
　
　「【請求項１】　分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１）である，車両内のＸ−バイ−ワイヤ−システムのコンポーネント（Ａｋｔ＿１）の駆動方法であって，その場合に前記コンポーネント（Ａｋｔ＿１）は，前記コンポーネント（Ａｋｔ＿１）に対応付けられた，少なくとも１つの第１のマイクロコンピュータシステム（Ｐ＿１）を有する第１の駆動モジュール（Ｒ＿１）によって駆動され，かつ前記コンポーネント（Ａｋｔ＿１）の駆動は以下のステップを有する：
　ａ）前記第１のマイクロコンピュータシステム（Ｐ＿１）によって少なくとも１つの入力信号（Ｅ＿１）に従って前記コンポーネント（Ａｋｔ＿１）のための少なくとも１つの駆動信号（Ａ＿１１）を求め；
　ｂ）少なくとも１つの論理的な駆動信号（Ａ＿１ｍ）を求め，その場合に前記少なくとも１つの論理的な駆動信号（Ａ＿１ｍ）は少なくとも部分的に，前記第１のマイクロコンピュータシステム（Ｐ＿１）に依存しない監視ユニットによって，前記少なくとも１つの入力信号（Ｅ＿１）に従って求められ；
　ｃ）前記少なくとも１つの駆動信号（Ａ＿１１）を少なくとも１つの論理的な駆動信号（Ａ＿１２）と比較し；
　ｄ）前記比較の結果に従って少なくとも１つのイネーブル信号（Ｆ＿１）を求め；かつ
　ｅ）前記少なくとも１つのイネーブル信号（Ｆ＿１）が予め設定可能な値を有する場合に，前記少なくとも１つの駆動信号（Ａ＿１１）又はそれに依存する少なくとも１つの信号を，前記コンポーネント（Ａｋｔ＿１）へ供給する；
前記方法において，
　前記安全上重要なシステムは，前記第１のマイクロコンピュータシステム（Ｐ＿１）の他に，データ伝送の目的で前記第１のマイクロコンピュータシステム（Ｐ＿１）と接続されている，少なくとも１つの他のマイクロコンピュータシステム（Ｐ＿ｍ）を有しており，その場合に前記ステップｂ）からｄ）の少なくとも１つのステップが，前記他のマイクロコンピュータシステム（Ｐ＿ｍ）の少なくとも１つにおいて実施される，
　ことを特徴とする分配された安全上重要なシステムのコンポーネントの駆動方法。」
　
３．引用刊行物とその記載事項
　
　これに対して、原査定の拒絶の理由に引用された、本願の優先日前に頒布された刊行物及びその記載事項は次のとおりである。
　
　刊行物１　国際公開第９８／４９０３８号（これに対応する日本国内での公表特許公報である特表２００１-５２２３３１号公報を訳文とする。）
　
　上記刊行物１（国際公開第９８／４９０３８号）には、「CIRCUIT CONFIGURATION FOR A MOTOR VEHICLE CONTROL SYSTEM」に関して、図面とともに次の記載がある（なお、ドイツ語のウムラウト等の記号は正確に表記されていない。また、訳文には適宜（イ’−１）などの段落番号を付し、下付の添字は半角で表記した）。
　
　（ア）「Die Erfindung bezieht sich auf eine Schaltungsanordnung, die ganz allgemein fur ein Kraftfahrzeugregelungssystem und insbesondere fur sicherheitskritische Regelungen, wie ABS, ASR, ASMS, Brake-by-wire, Fahrwerksregelungen etc., vorgesehen ist. 」（１ページ３〜７行）
　（ア’）本発明は、自動車制御系、特にＡＢＳ、ＴＣＳ、ＡＳＭＳ、ブレーキバイワイヤ、サスペンションコントロールシステム等のような安全上重要な制御系のための回路装置に関する。（４ページ３〜５行）
　
　（イ）「Ein Beispiel fur eine Schaltungsanordnung oder ein Microprozessorsystem zur Steuerung und Uberwachung einer blockiergeschutzten Fahrzeugbremsanlage ist aus der DE 32 34 637 C2 bekannt. Es werden die Eingangsdaten zwei identisch programmierten Microcomputern parallel zugefuhrt und synchron verarbeitet. Die Ausgangssignale und Zwischensignale der beiden Microcomputern werden mit Hilfe von redundanten Vergleichern auf Ubereinstimmung gepruft. Wenn die Signale voneinander abweichen, wird uber eine ebenfalls redundant ausgelegte Schaltung die Regelung abgeschaltet. 
Nach einem anderen, aus der DE 41 37 124 A1 bekannten System, werden die Eingangsdaten ebenfalls zwei Microcomputern parallel zugefuhrt, von denen jedoch nur einer die vollstandige, aufwendige Signalverarbeitung ausfuhrt. Der zweite Microcomputer dient vornehmlich zur Uberwachung, weshalb die Eingangssignale mit Hilfe vereinfachter Regelalgorithmen und vereinfachter Regelpilosophie weiterverarbeitet werden konnen. Die vereinfachte Datenverarbeitung reicht zur Erzeugung von Signalen aus, die durch Vergleich mit den in dem aufwendigeren Microcomputer verarbeiteten Signalen Ruckschlusse auf den ordnungsgemassen Betrieb des Systems zulassen. Durch die Verwendung eines Pruf-Microcomputers geringerer Leistungsfahigkeit lasst sich der Herstellungsaufwand im Vergleich zu einem System mit zwei vollstandigen, aufwendigen Microcomputern gleicher Leistung reduzieren. 
Aus der DE 43 41 082 A1 ist bereits ein Mikroprozessorsystem bekannt, das insbesondere fur das Regelsystem einer blockiergeschutzten Bremsanlage vorgesehen ist. Dieses bekannte System, das auf einem einzigen Chip untergebracht werden kann, enthalt zwei Zentraleinheiten, in denen die Eingangsdaten parallel verarbeitet werden. Die Festwert- und die Schreib-Lese-Speicher, die an die beiden Zentraleinheiten angeschlossen sind, enthalten zusatzliche Speicherplatze fur Prufinformationen und umfassen jeweils einen Generator zur Erzeugung von Prufinformationen. Die Ausgangssignale eines der beiden Zentraleinheiten werden zur Erzeugung der Steuersignale weiterverarbeitet, wahrend die andere als passive Zentraleinheit lediglich zur Uberwachung der aktiven Zentraleinheit dient. 
Schliesslich ist aus der DE 195 29 434 A1 ein Mikroprozessorsystem bekannt, bei dem auf einem oder auf mehreren Chips zwei synchron betriebene Zentraleinheiten angeordnet sind, die die gleichen Eingangsinformationen erhalten und das gleiche Programm abarbeiten. Die beiden Zentraleinheiten sind uber separate Bus-Systeme an die Festwert- und an die Schreib-Lese-Speicher sowie an Eingabe- und Ausgabeeinheiten angeschlossen. Die Bus-Systeme sind untereinander durch Bypasse verbunden, die den beiden Zentraleinheiten ein gemeinsames Lesen und Abarbeiten der zur Verfugung stehenden Daten, einschliesslich der Prufdaten oder Redundanzdaten, und der Befehle ermoglichen. Dieses bekannte, auf redundante Datenverarbeitung beruhende System ermoglicht eine Einsparung von Speicherplatzen, was wiederum zu einer Reduzierung des Herstellungsaufwandes fuhrt. 
Alle vorgenannten Systeme beruhen grundsatzlich auf dem Vergleich redundant verarbeiteter Daten und der Erzeugung eines Fehlersignals, wenn Abweichungen zwischen den Datenverarbeitungsergebnissen oder -zwischenergebnissen auftreten. Bei Fehlererkennung, d. h. bei Auftreten eines Fehlers oder Ausfall eines Systems, wird dann die Regelung abgeschaltet. In keinem Fall ist eine Notlauffunktion, namlich eine Fortsetzung der Regelung nach dem Auftreten des Fehlers, moglich, weil bei der beschriebenen Art der Fehlererkennung nicht festgestellt werden kann, welches System noch intakt ist. Eine Notlauffunktion auf Basis solcher bekannten Schaltungen ware grundsatzlich nur durch Verdoppelung der redundanten Systeme in Verbindung mit einem Identifizieren und Abschalten der Fehlerquelle denkbar.」（２ページ１行〜４ページ２行）
　（イ’−１）アンチロックコントロール式車両ブレーキ装置を制御および監視するための回路装置またはマイクロプロセッサ装置の一例がドイツ連邦共和国特許第３２３４６３７号公報によって知られている。入力データは同じようにプログラミングされた２個のマイクロコンピュータに平行に供給され、同期的に処理される。両マイクロコンピュータの出力信号と中間信号は冗長的な比較によって一致しているかどうか検査される。信号が互いに異なっていると、同様に冗長的に設計された回路によって制御装置が切断される。
　（イ’−２）ドイツ連邦共和国特許出願公開第４１３７１２４号公報によって知られている他のシステムでは、入力データが２個のマイクロコンピュータに平行に供給される。しかし、このマイクロコンピュータの一方だけが高いコストの完備した信号処理部を備えている。第２のマイクロコンピュータは特に監視の働きをする。従って、入力信号は簡単化された制御アルゴリズムと簡単化された制御理念によって処理することができる。簡単化されたデータ処理部は、コストの高いマイクロコンピュータで処理された信号と比較することによってシステムの規定通りの動作を推測することができる信号を発生するために充分である。能力の小さな検査用マイクロコンピュータを使用することにより、コストが高く完備した同じ出力の２個のマイクロコンピュータを備えたシステムと比較して、製作コストを低減することができる。
　（イ’−３）ドイツ連邦共和国特許出願公開第４３４１０８２号公報により、特にアンチロックコントロール式ブレーキ装置の制御システムのためのマイクロプロセッサ装置が知られている。１個のチップに収容可能なこの公知のマイクロプロセッサ装置は、入力データを平行に処理する２つの中央ユニットを備えている。両中央ユニットに接続された読出し専用メモリと随時書込み読出しメモリは、検査情報のための付加的な記憶場所を有し、それぞれ検査情報を発生するためのジェネレータを備えている。一方の中央ユニットの出力信号は制御信号を発生するために更に処理され、受動的な中央ユニットとしての他方の中央ユニットは、能動的な中央ユニットを監視するためにのみ役立つ。
　（イ’−４）ドイツ連邦共和国特許出願公開第１９５２９４３４号公報により、同期動作する２個の中央ユニットが１個または複数のチップに配置されたマイクロプロセッサ装置が知られている。この中央ユニットは同じ入力信号を受け取り、同じプログラムを実行する。両中央ユニットは別個のバスシステムを介して読出し専用メモリおよび随時書込み読出しメモリと入出力ユニットに接続されている。バスシステムはバイパスによって互いに接続されている。このバイパスにより、両中央ユニットは、検査データまたは冗長的データを含む供されるデータと命令を一緒に読取りおよび実行することができる。冗長的なデータ処理に基づくこの公知のシステムは、記憶場所を節約することができる。これは製作コストを低減することになる。
　（イ’−５）上記のすべてのシステムは基本的には、冗長的に処理されたデータを比較することと、データ処理結果またはデータ処理中間結果に偏差が発生するときにエラー信号を発生することに基づいている。エラー認識時、すなわちシステムのエラーまたは故障の発生時に、制御が切断される。緊急時動作モード、すなわちエラーが発生した後の制御の継続は全く不可能である。なぜなら、上述のエラーの認識の場合、どのシステムが正常であるかが識別できないからである。このような公知の回路に基づく緊急時動作モードは基本的には、エラー源の識別および切断と関連して、冗長的なシステムを２倍にすることによってのみ可能である。（４ページ１９行〜６ページ７行）
　
　（ウ）「Der vorliegenden Erfindung liegt nun die Aufgabe zugrunde, eine Schaltungsanordnung zu entwickeln, die im Vergleich zu den beschriebenen bekannten Verfahren hochstens geringen Mehraufwand erfordert und die dennoch beim Auftreten eines Fehlers einen Ubergang in eine Notlauffunktion zulasst. 
Es hat sich herausgestellt, dass diese Aufgabe durch die im Anspruch 1 beschriebene Schaltungsanordnung gelost werden kann. Nach den kennzeichnenden Merkmalen der Erfindung ist die Schaltungsanordnung zwei- oder mehrkreisig aufgebaut, wobei jeder Kreis ein komplettes Mikroprozessorsystem enthalt, welches die Eingangsdaten oder Eingangsinformationen verarbeitet und bei Auftreten eines Fehlers ein Fehlererkennungssignal liefert; bei Fehlererkennung erfolgt dann ein Ubergang in eine Notlauffunktion. 
Nach einem besonders vorteilhaften Ausfuhrungsbeispiel der Erfindung werden in jedem Mikroprozessorsystem die Eingangsdaten dieses Systems redundant verarbeitet und die Datenverarbeitungsergebnisse oder Zwischenergebnisse verglichen, und es wird beim Auftreten von Abweichungen zwischen den Ergebnissen das Fehlererkennungssignal erzeugt. 
Die erfindungsgemasse Schaltungsanordnung lasst sich sehr einfach auf Basis bekannter Schaltungen, z. B. der zuvor geschilderten bekannten Systeme oder Schaltungen, die ein Fehlererkennungssignal liefern, realisieren. Wichtig ist, dass nicht nur das Auftreten eines Fehlers signalisiert wird, sondern dass auch erkennbar ist, welches System oder welcher Kreis fehlerbehaftet bzw. weiterhin intakt ist.」（４ページ４行〜３３行）
　（ウ’−１）本発明の根底をなす課題は、上記方法と比較して、追加コストが少なくて済み、それにもかかわらずエラーの発生時に緊急時動作モードに移行することができる回路装置を開発することである。
　（ウ’−２）この課題は請求項１記載の回路装置によって解決されることが判った。本発明の特徴によれば、回路装置が双対回路または多重回路構造であり、各々の回路が完備したマイクロプロセッサ装置を含み、このマイクロプロセッサ装置が入力データまたは入力情報を処理し、エラーの発生時にエラー認識信号を供給し、そしてエラー認識時に緊急時動作モードへの移行が行われる。
　（ウ’−３）本発明の特に有利な実施形によれば、各々のマイクロプロセッサ装置が入力データまたは入力情報を冗長的に処理し、データ処理結果および／またはデータ処理中間結果を比較し、結果の間に偏差が生じたときに、エラー認識信号を発生する。
　（ウ’−４）本発明による回路装置は、公知の回路、例えばエラー認識信号を供給する前述の公知のスシテムまたは回路に基づいて、非常に簡単に実施可能である。エラーの発生を信号化するだけでなく、どのシステムまたはどの回路がエラーを有するかまたは正常であるかを認識できることが重要である。（６ページ８行〜２３行）
　
　（エ）「Aus der beigefugten Abbildung, die in schematisch vereinfachter Darstellung die wichtigsten Komponenten einer Schaltungsanordnung nach der Erfindung wiedergibt, und aus der folgenden Erlauterung gehen weitere Einzelheiten der Erfindung sowie der prinzipielle Aufbau und die Wirkungsweise einer Schaltungsanordnung nach der Erfindung hervor. 
Die dargestellte Schaltungsanordnung ist beispielsweise zur Steuerung und Regelung einer blockiergeschutzten Kraftfahrzeug-Bremsanlage und insbesondere einer rein elektrischen, nach dem Brake-by-Wire-Konzept aufgebauten Bremsanlage geeignet. Eine Abschaltung der Elektronik und Ruckfall in eine (hydraulische oder mechanische) Grundfunktion ist bei solchen Bremsanlagen, die rein elektrisch funktionieren, prinzipbedingt nicht moglich. Beim Auftreten eines Fehlers ist folglich eine Notlauffunktion, die eine weitere Bremsbetatigung zulasst, unbedingt notwendig. 
Die wiedergegebene Schaltungsanordnung besteht im Prinzip aus zwei vollstandigen, voneinander unabhangigen Kreisen I, II mit den Mikroprozessorsystemen 1, 2, zu denen jeweils auch eine Eingangsdaten oder Eingangsinformationen aufnehmende und erfassende Schaltung 3, 4 sowie eine die Ausgangssignale der Mikroprozessorsysteme 1, 2 auswertende Aktuatorbetatigung 5, 6 gehoren. Ein weiterer, nicht verzichtbarer Bestandteil der erfindungsgemassen Schaltungsanordnung ist die individuelle Energieversorgung 7, 8, die hier als Zufuhrungsleitung zu den einzelnen Komponenten der beiden dargestellten Kreise I, II oder Mikroprozessorsystemen 1, 2 durch gestrichelte Doppellinie symbolisiert ist. 
Die zusammen einen Kreis I, II bildenden Komponenten der erfindungsgemassen Schaltungsanordnung sind in der Abbildung durch einen strich-punktierten Rahmen zusammengefasst. Jeder Kreis I, II enthalt ein komplettes Mikroprozessorsystem, einschliesslich der Peripherie. Zum Kreis I gehoren folglich die Komponenten 1, 3, ein Umschalter 9 und die Energieversorgung 7, zum Kreis II die Komponenten 2, 4, ein Umschalter 10 und die Energieversorgung 8. Bei einer Bremsanlage werden zweckmassigerweise die beiden Kreise I, II jeweils zur Steuerung der Bremsen einer Fahrzeugdiagonalen zugeordnet. 
Bei einer Kraftfahrzeug-Bremsanlage liefern die Radsensoren die wichtigsten Eingangsgrossen des Regelungssystems. Folglich dienen die Eingangsschaltungen 3, 4 zur Erfassung der Radsensordaten. Als Aktuatoren kommen Ventile oder, bei einem Brake-by-wire-Konzept, Elektromotoren, die die einzelnen Radbremsen betatigen, in Frage. Zur Versorgung mit elektrischer Energie konnen die Quellen 7, 8 sogar aus getrennten Fahrzeug-Batterien UB1, UB2 oder aus getrennten Batteriezellen versorgt werden. 
Die Signalwege oder Datenwege von den Mikroprozessorsystemen 1 und 2 zu den zugehorigen Aktuatorbetatigungen 5, 6 fuhren nach der Darstellung jeweils uber einen der Umschalter 9, 10. In der Ruhestellung des Umschalters ist die Verbindung von dem Mikroprozessorsystem 1, 2 zu der zugehorigen Aktuatorbetatigung 5, 6 geschlossen. Beim Auftreten eines Fehlererkennungssignals FAIL, das der fehlerbehaftete Kreis bzw. das Mikroprozessorsystem 1 oder 11, in dem der Fehler auftritt, ausgibt, wird der Umschalter 9 oder 10 in seine zweite Schaltposition umgelegt, in der die Ansteuerung der Aktuatoren des defekten Kreises I oder II von dem intakten Kreis II oder I ubernommen wird. Werden dem intakten Mikroprozessorsystem alle Eingangsdaten zugefuhrt, kann auch nach der Umlegung des Umschalters 9 oder 10 und damit nach dem Ubergang in die Notlauffunktion die Bremsenbetatigung uneingeschrankt fortgesetzt werden. 
Die Anschlusse S1 bis S4 der Signalerfassung 3, 4 symbolisieren die Eingange zur Aufnahme der Radsensordaten. Ein Eingang Pd dient bei einem Brake-by-wire-Konzept zur Entgegennahme der Bremspedal-Betatigungsdaten. 
Ein eindeutiges Fehlererkennungssignal lasst sich bekanntlich bei Verwendung eines Mikroprozessorsystems mit redundanter Signalverarbeitung durch Vergleich der Datenverarbeitungsergebnisse oder -zwischenergebnisse erzeugen. Beim Vorliegen eines Fehlers ist die Ubereinstimmung nicht mehr gegeben. Dieses Signal wird erfindungsgemass zum Umschalten in die Notlauffunktion ausgewertet. 
Die zu den Kreisen I, II gehorenden Mikroprozessorsysteme 1, 2 sind durch eine Kommunikation-Einrichtung 11 miteinander verbunden. Uber diesen Weg besteht ein Datenaustausch, der sicherstellt, dass alle Eingangsdaten und auch Zwischenergebnisse der Datenverarbeitung in beiden Mikroprozessorsystemen 1, 2 verarbeitet und ausgewertet werden konnen. Ist eine solche Kommunikations-Einrichtung vorhanden,genugt es, den beiden Eingangsdaten-Erfassungseinrichtungen 3, 4 nur die fur den jeweiligen Kreis I oder II benotigten Daten zuzufuhren. Uber diese Kommunikations-Einrichtung 11 konnen ausserdem in bekannter Weise vielfaltige Uberwachungsmassnahmen realisiert werden. 
Ein wesentlicher Vorteil der erfindungsgemassen Schaltungsanordnung besteht darin, dass diese aus zwei gleichartigen Kreisen I, II mit redundanter Datenverarbeitung besteht. Jeder Kreis I oder II kann fur ein Regelungssystem eingesetzt werden, bei dem im Fehlerfall bei Abschaltung der Elektronik oder der Aktuatorbetatigung eine mechanische oder hydraulische Notlauffunktion gegeben ist. Bei dem beschriebenen Ausfuhrungsbeispiel der Erfindung, das ein elektrisch zweikreisiges System I, II darstellt, wird beim Auftreten eines Fehlers entweder ein Kreis I oder II abgeschaltet oder die Aktuatorbetatigung dieses Kreises von dem intakten Kreis ubernommen. Beide Massnahmen fuhren zu einer Notlauffunktion; die erste Massnahme zu einer Notlauffunktion unter Inkaufnahme eine Bremswegverlangerung etc., wahrend die zweite Massnahme die Bremsenfunktion uneingeschrankt aufrechterhalt und lediglich die Funktionssicherheit beim (relativ unwahrscheinlichen) Auftreten noch weiterer Fehler beeintrachtigt und damit das Sicherheitsniveau reduziert. 
Es ist grundsatzlich auch moglich, die Ubernahme der Aktuatorbetatigung als Folge einer Fehlererkennung auf besonders kritische Regelungsfunktionen zu beschranken. Dies ist insbesondere dann zweckmassig, wenn die beschriebene Schaltungsanordnung eine Kombination mehrerer, sicherheitskritischer und weniger sicherheitskritischer Regelungssysteme oder Regelungsfunktionen umfasst. Wahrend des Notlaufs sollte dann zumindest eine konventionelle oder Standardbremsfunktion gewahrleistet sein. 
Das Betatigen der Umschalter 9, 10, die durch Hardware- aber auch durch Software realisiert werden konnen, setzt die Fehlererkennung und Identifikation der Fehlerquelle oder des Fehlerortes voraus. Grundsatzlich ist es moglich, das Umschalten von einer Majoritatsentscheidung abhangig zu machen, wenn die Datenverarbeitung auf mehr als zwei (redundanten) Wegen erfolgt. Im beschriebenen Beispiel werden in jedem der beiden Mikroprozessorsystemen 1, 2 die Daten redundant verarbeitet, so dass jedes System allein zur Fehlererkennung und -signalisierung in der Lage ist. Es genugt zu wissen, in welchem Kreis oder Mikroprozessorsystem der Fehler auftritt.」（６ページ１行〜９ページ２８行）
　（エ’−１）本発明による回路装置の重要な構成要素を概略的に示す添付の図と、次の説明から、本発明の他の細部と、本発明による回路装置の原理的な構造および作用が明らかになる。
　（エ’−２）図示した回路装置は例えばアンチロックコントロール式自動車ブレーキ装置と、特にブレーキバイワイヤ方式に従って構成された純電気式ブレーキ装置の制御と調整のために適している。このような純電気式に機能するブレーキ装置の場合、電子装置の切断と、（液圧的または機械的）基本機能への逆戻りは原理上不可能である。従って、エラーの発生時には、他のブレーキ操作を可能にする緊急時動作モードが必ず必要である。
　（エ’−３）図示した回路装置は原理的には、マイクロプロセッサ装置１，２を備えた互いに独立した２つの完全な回路Ｉ，ＩＩからなっている。この回路にはそれぞれ、入力データまたは入力情報を受け取って記録する回路３，４と、マイクロプロセッサ装置１，２の出力信号を評価するアクチュエータ操作部５，６が含まれている。本発明による回路装置の省略不可能な他の構成部品は、個別的なエネルギー供給部７，８である。このエネルギー供給部はここでは、図示した両回路Ｉ，ＩＩまたはマイクロプロセッサ装置１，２の個々の構成要素への供給導体として、二重破線で示してある。
　（エ’−４）一緒に回路Ｉ，ＩＩを形成する本発明による回路装置の構成要素は、図において、一点鎖線の枠内にまとめてある。各々の回路Ｉ，ＩＩは周辺装置を含む完全なマイクロプロセッサ装置を備えている。従って、回路Ｉには、構成要素１，３と切換器（コミュテータ）９とエネルギー供給部７が所属し、回路ＩＩには構成要素２，４と切換器１０とエネルギー供給部８が所属する。ブレーキ装置の場合には、両回路Ｉ，ＩＩがそれぞれブレーキを制御するために車両ダイヤゴナル制御装置に付設されている。
　（エ’−５）自動車ブレーキ装置の場合には、車輪センサが制御系の最も重要な入力変数を供給する。従って、入力回路３，４は車輪センサデータを記録する働きをする。
アクチュエータとしては、弁あるいはブレーキバイワイヤ方式の場合には、個々の車輪ブレーキを操作する電動機が適している。電気エネルギーを供給するために、別個の車両バッテリＵB1，ＵB2または分離されたバッテリセルから、電源７，８に電気が供給される。
　（エ’−６）マイクロプロセッサ装置１，２から所属のアクチュエータ操作部５，６に至る信号経路またはデータ経路は図示ではそれぞれ、切換器９，１０を経て案内されている。切換器の静止位置では、所属のアクチュエータ操作部５，６に対するマイクロプロセッサ装置１，２の接続部が閉じている。故障した回路またはエラーが発生したマイクロプロセッサ装置ＩまたはＩＩから出るエラー認識識信号ＦＡＩＬが発生すると、切換器９または１０はその第２の接続位置に切換えられる。この接続位置では、欠陥のある回路ＩまたはＩＩのアクチュエータの制御が、正常な回路ＩＩまたはＩによって行われる。すべての入力データが正常なマイクロプロセッサ装置に供給されると、切換器９または１０の切換え後でも、ひいては緊急時動作モードへの移行後でも、ブレーキ操作は制約されずに続けることが可能である。
　（エ’−７）信号検出器３，４のポートＳ１〜Ｓ４は、車輪センサデータの受け取りのための入口を示している。入口Ｐｄはブレーキバイワイヤ方式の場合にはブレーキペダル操作データを受け取るために使用される。
　（エ’−８）冗長的な信号処理を行うマイクロプロセッサ装置が使用される場合には、公知のごとく、データ処理結果またはデータ処理中間結果を比較することによって、明確なエラー認識信号を発生することができる。エラーが存在する場合には、一致（相関）がもはや行われない。この信号は本発明に従い、緊急時動作モードへの切換えのために評価される。
　（エ’−９）回路Ｉ，ＩＩに所属するマイクロプロセッサ装置１，２は通信ユニット１１によって互いに接続されている。この経路を介してデータ交換が行われる。このデータ交換により、すべての入力データとデータ処理の中間結果が、両マイクロプロセッサ装置１，２で処理および評価可能である。この通信装置１１を介して更に、公知のごとく、いろいろな監視手段を実施することができる。
　（エ’−１０）本発明による回路装置の重要な利点は、この回路装置が冗長的なデータ処理を行う同種の２個の回路Ｉ，ＩＩからなっていることにある。各々の回路ＩまたはＩＩは、エラーの場合において電子装置またはアクチュエータ操作部の切断の際機械的または液圧的緊急時動作モードが行われる制御系に使用可能である。電気系なデュアル（双対）回路系Ｉ，ＩＩである本発明の上記の実施の形態の場合には、エラーの発生時に、回路ＩまたはＩＩが切断されるかまたはこの回路のアクチュエータ操作が正常な回路によって行われる。両手段は緊急時動作モードに導く。第１の手段は制動距離延長等を甘受しながら緊急時動作モードにもたらされる。第２の手段はブレーキング機能を制限しないで維持し、（比較的に起こりそうにない）他のエラー発生時に信頼性だけが損なわれ、それによって安全レベルが低下する。
　（エ’−１１）基本的には、エラー認識の結果、重要な制御機能へのアクチュエータ操作の移行を制限することも可能である。これは特に、上記の回路装置が安全上重要な制御系または制御機能と安全上あまり重要でない制御系または制御機能を複数組み合わせたものを有するときに合目的である。そして緊急時には、少なくとも一般的なブレーキング機能あるいは標準ブレーキング機能を補償すべきである。
　（エ’−１２）ハードウェアによってもソフトウェアによっても実施可能である切換器９，１０の操作は、エラー認識とエラー源またはエラー個所の識別を前提としている。基本的には、データ処理が２つ以上の（冗長的な）経路で行われるときに、多数決に依存して切換えを行うことができる。上記実施の形態では、両マイクロプロセッサ装置１，２の各々においてデータが冗長的に処理されるので、この各マイクロプロセッサ装置は単独でエラー認識およびエラー信号化を行うことができる。どの回路またはマイクロプロセッサ装置でエラーが発生したかを知るのに充分である。（７ページ１５行〜１０ページ５行）
　
　そうすると、上記記載事項（ア）〜（エ）及び図面の記載からみて、上記刊行物１には次の発明（以下、「刊行物１発明」という。）が記載されているものと認められる。
　
　「マイクロプロセッサ装置１，２を備えた制御系のための互いに独立した２つの完全な回路Ｉ，ＩＩがそれぞれブレーキバイワイヤ方式のブレーキを制御するために付設された安全上重要な車両ダイヤゴナル制御装置の車輪ブレーキのアクチュエータ操作部５，６を操作する方法であって、回路Ｉ，ＩＩのマイクロプロセッサ装置１，２の出力信号によって操作されるアクチュエータ操作部５，６は、以下のステップを有する：
　ａ’）車輪センサデータを入力回路３に記録し、マイクロプロセッサ装置１によってアクチュエータ操作部５を操作する出力信号を求め、
　ｂ’）回路Ｉ，ＩＩに所属するマイクロプロセッサ装置１，２は通信ユニット１１によって互いに接続され、この経路を介してデータ交換が行われることにより、すべての入力データとデータ処理の中間結果が、両マイクロプロセッサ装置１，２で処理および評価可能であり、この通信装置１１を介して更に、いろいろな監視手段を実施することができ；
　ｃ’）冗長的なデータ処理を行う同種の２個の回路Ｉ，ＩＩは、回路ＩまたはＩＩがエラーの場合にアクチュエータ操作部５との切断が行われるか、正常な回路によってアクチュエータ操作が行われ；
　ｄ’）各々のマイクロプロセッサ装置１，２が入力データまたは入力情報を冗長的に処理し、データ処理結果および／またはデータ処理中間結果を比較し、結果の間に偏差が生じたときに、エラー認識信号ＦＡＩＬを発生してアクチュエータ操作部５に至る切換器９に送る；
アクチュエータ操作部５，６を操作する方法において、
　上記安全上重要な制御系は、マイクロプロセッサ装置１の他に通信ユニット１１によって接続されたマイクロプロセッサ装置２を有し、
　上記通信装置１１を介してデータ交換が行われることにより、いろいろな監視手段を実施することができる、
　安全上重要な車両ダイヤゴナル制御装置の車輪ブレーキのアクチュエータ操作部５，６を操作する方法。」
　
４．発明の対比
　
（１）一致点
　本願発明と刊行物１発明とを対比すると、刊行物１発明の「マイクロプロセッサ装置１，２を備えた制御系のための互いに独立した２つの完全な回路Ｉ，ＩＩがそれぞれブレーキバイワイヤ方式のブレーキを制御するために付設された安全上重要な車両ダイヤゴナル制御装置」は、車両の対角線状のブレーキを制御を意味することからみて、本願発明の「車両内のＸ−バイ−ワイヤ−システム」に相当し、以下同様に、「車輪ブレーキのアクチュエータ操作部５，６」は「分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１）」又は「コンポーネント（Ａｋｔ＿１）」に相当するから、刊行物１発明の「マイクロプロセッサ装置１，２を備えた制御系のための互いに独立した２つの完全な回路Ｉ，ＩＩがそれぞれブレーキを制御するために付設された安全上重要な車両ダイヤゴナル制御装置の車輪ブレーキのアクチュエータ操作部５，６を操作する方法であって」は、実質的に、本願発明の「分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１）である，車両内のＸ−バイ−ワイヤ−システムのコンポーネント（Ａｋｔ＿１）の駆動方法であって」に相当する。
　刊行物１発明の「回路Ｉ，ＩＩのマイクロプロセッサ装置１，２」は、少なくとも一つのマイクロプロセッサ装置１又は２がアクチュエータ操作部５又は６に対応づけられて操作されるという機能からみて、本願発明の「前記コンポーネント（Ａｋｔ＿１）に対応付けられた，少なくとも１つの第１のマイクロコンピュータシステム（Ｐ＿１）」に相当するから、刊行物１発明の「回路Ｉ，ＩＩのマイクロプロセッサ装置１，２の出力信号によって操作されるアクチュエータ操作部５，６は、以下のステップを有する」は、実質的に、本願発明の「その場合に前記コンポーネント（Ａｋｔ＿１）は，前記コンポーネント（Ａｋｔ＿１）に対応付けられた，少なくとも１つの第１のマイクロコンピュータシステム（Ｐ＿１）を有する第１の駆動モジュール（Ｒ＿１）によって駆動され，かつ前記コンポーネント（Ａｋｔ＿１）の駆動は以下のステップを有する」に相当する。
　刊行物１発明の「ａ’）車輪センサデータを入力回路３に記録し、マイクロプロセッサ装置１によってアクチュエータ操作部５を操作する出力信号を求め」は、「車輪センサデータ」が入力信号に相当し、「出力信号」が駆動信号に相当するものであるから、実質的に、本願発明の「ａ）前記第１のマイクロコンピュータシステム（Ｐ＿１）によって少なくとも１つの入力信号（Ｅ＿１）に従って前記コンポーネント（Ａｋｔ＿１）のための少なくとも１つの駆動信号（Ａ＿１１）を求め」に相当する。
　さらに、刊行物１発明の「ｂ’）回路Ｉ，ＩＩに所属するマイクロプロセッサ装置１，２は通信ユニット１１によって互いに接続され、この経路を介してデータ交換が行われることにより、すべての入力データとデータ処理の中間結果が、両マイクロプロセッサ装置１，２で処理および評価可能であり、この通信装置１１を介して更に、いろいろな監視手段を実施することができ」は、冗長的なデータ処理を行う同種の２個の回路Ｉ，ＩＩが通信ユニット１１によって互いに接続されてデータ交換が行われることにより、監視をすることができるものであるから、実質的に、本願発明の「ｂ）少なくとも１つの論理的な駆動信号（Ａ＿１ｍ）を求め，その場合に前記少なくとも１つの論理的な駆動信号（Ａ＿１ｍ）は少なくとも部分的に，前記第１のマイクロコンピュータシステム（Ｐ＿１）に依存しない監視ユニットによって，前記少なくとも１つの入力信号（Ｅ＿１）に従って求められ」に相当する。
　また、刊行物１発明の「上記安全上重要な制御系は、マイクロプロセッサ装置１の他に通信ユニット１１によって接続されたマイクロプロセッサ装置２を有し」は、その機能からみて、実質的に、本願発明の「前記安全上重要なシステムは，前記第１のマイクロコンピュータシステム（Ｐ＿１）の他に，データ伝送の目的で前記第１のマイクロコンピュータシステム（Ｐ＿１）と接続されている，少なくとも１つの他のマイクロコンピュータシステム（Ｐ＿ｍ）を有しており」に相当する。
　刊行物１発明の「安全上重要な車両ダイヤゴナル制御装置の車輪ブレーキのアクチュエータ操作部５，６を操作する方法」は、その機能からみて、本願発明の「分配された安全上重要なシステムのコンポーネントの駆動方法」に相当する。
　
　したがって、両者は、本願発明の表記にならえば、
　「分配された安全上重要なシステムのコンポーネントである，車両内のＸ−バイ−ワイヤ−システムのコンポーネントの駆動方法であって，その場合に前記コンポーネントは，前記コンポーネントに対応付けられた，少なくとも１つの第１のマイクロコンピュータシステムを有する第１の駆動モジュールによって駆動され，かつ前記コンポーネントの駆動は以下のステップを有する：
　ａ）前記第１のマイクロコンピュータシステムによって少なくとも１つの入力信号に従って前記コンポーネントのための少なくとも１つの駆動信号を求め；
　ｂ）少なくとも１つの論理的な駆動信号を求め，その場合に前記少なくとも１つの論理的な駆動信号は少なくとも部分的に，前記第１のマイクロコンピュータシステムに依存しない監視ユニットによって，前記少なくとも１つの入力信号に従って求められ、
　前記安全上重要なシステムは，前記第１のマイクロコンピュータシステムの他に，データ伝送の目的で前記第１のマイクロコンピュータシステムと接続されている，少なくとも１つの他のマイクロコンピュータシステムを有している，分配された安全上重要なシステムのコンポーネントの駆動方法。」である点において一致している。
　
（２）相違点
　一方、両者の相違点は、以下のとおりである。
　
［相違点１］
　本願発明は、「ｃ）前記少なくとも１つの駆動信号（Ａ＿１１）を少なくとも１つの論理的な駆動信号（Ａ＿１２）と比較し；
　ｄ）前記比較の結果に従って少なくとも１つのイネーブル信号（Ｆ＿１）を求め；かつ
　ｅ）前記少なくとも１つのイネーブル信号（Ｆ＿１）が予め設定可能な値を有する場合に，前記少なくとも１つの駆動信号（Ａ＿１１）又はそれに依存する少なくとも１つの信号を，前記コンポーネント（Ａｋｔ＿１）へ供給する；
前記方法において，」
　「その場合に前記ステップｂ）からｄ）の少なくとも１つのステップが，前記他のマイクロコンピュータシステム（Ｐ＿ｍ）の少なくとも１つにおいて実施される」のに対し、
　刊行物１発明では「ｃ’）冗長的なデータ処理を行う同種の２個の回路Ｉ，ＩＩは、回路ＩまたはＩＩがエラーの場合にアクチュエータ操作部５との切断が行われるか、正常な回路によってアクチュエータ操作が行われ；
　ｄ’）各々のマイクロプロセッサ装置１，２が入力データまたは入力情報を冗長的に処理し、データ処理結果および／またはデータ処理中間結果を比較し、結果の間に偏差が生じたときに、エラー認識信号ＦＡＩＬを発生してアクチュエータ操作部５に至る切換器９に送る；
アクチュエータ操作部５，６を操作する方法において、」
　「上記通信装置１１を介してデータ交換が行われることにより、いろいろな監視手段を実施することができる」ものである点。
　
５．当審の判断
　
（１）相違点１について
　本願発明と刊行物１発明とは、安全上重要なシステムであるブレーキなどのアクチュエータ又はコンポーネントを制御する車両内のＸ−バイ−ワイヤ−システムを冗長化することにより、システムの一部に何らかの障害が発生した場合でも安全を確保するための一定の機能を維持するようにした点において軌を一にするものである。そして、上記冗長化の手段として、共通の入力信号を２つのコンピュータに入力し、一方のコンピュータの制御を他方のコンピュータによって監視する安全上重要なシステムのコンポーネントの駆動方法は、刊行物１発明が実質的に有している構成であるのみならず、上記記載事項（イ：イ’−１、イ’−２、イ’−３、イ’−４）にも例示されているように周知事項である。
　刊行物１発明は、各々独自の駆動機能を有する別の回路Ｉ及びＩＩを有しており、上記ステップｂ’）又はｃ’）に関するエラー認識に係るデータ処理は、少なくとも上記他のマイクロコンピュータシステムに相当するシステムにおいて実施することができるものである。仮に、回路Ｉ及びＩＩの一方がエラー検知のために冗長に設けられた同一の回路であるとしても、上記エラー検知の機能を有する監視ユニットを別体として独立して設けて冗長化するか、他の独自の機能を有するマイクロコンピュータシステムに上記エラー検知のための機能を持たせて冗長化するかは設計事項にすぎないから、当該エラー検知のための監視ユニットを、単に、他のマイクロコンピュータシステムに設けることは当業者が容易に推考できたことである。
　さらに、本願発明は、上記監視ユニットがエラー検知する手段として、
「ｄ）前記比較の結果に従って少なくとも１つのイネーブル信号（Ｆ＿１）を求め；かつ
　ｅ）前記少なくとも１つのイネーブル信号（Ｆ＿１）が予め設定可能な値を有する場合に，前記少なくとも１つの駆動信号（Ａ＿１１）又はそれに依存する少なくとも１つの信号を，前記コンポーネント（Ａｋｔ＿１）へ供給する」ものであることを特定しているが、どのような設定により上記コンポーネントに信号を供給するかを決めておくことは、当業者が制御の態様に応じて適宜決定できる設計事項にすぎない。
　したがって、刊行物１発明に適宜設計変更を加えて上記相違点１に係る本願発明の構成とすることは、当業者が容易に想到し得たことである。
　
（２）本願発明の効果について
　本願発明が奏する「別体の監視ユニットを省略し，その代わりに監視ユニットの課題を，元来よりシステム内に設置されている，分配された安全上重要なシステムのユニットによって実施させる」（明細書の段落【００１０】）といった効果は、刊行物１に記載された発明から当業者が予測できるものである。
　
（３）審判請求人の主張について
　審判請求人は、平成２２年７月３０日付け審判請求書において、上記１つの他のマイクロコンピュータシステムは、「エラー検知のために冗長な回路を設けるわけでなく、独自の機能を有する他のマイクロコンピュータシステム（Ｐｍ）を利用する」ものであることを根拠に、「本願発明は、ある１つのマイクロコンピュータシステム（Ｐ１）に関するエラー検知のために冗長な回路を設けるわけでなく、独自の機能を有する他のマイクロコンピュータシステム（Ｐｍ）を利用するため、引用文献１に記載のシステムより全体システムを単純化することが可能です。」と主張している。
　しかしながら、本願発明は、「前記第１のマイクロコンピュータシステム（Ｐ＿１）に依存しない監視ユニットによって」と特定され、「前記方法において」以下の構成においても、「
前記ステップｂ）からｄ）の少なくとも１つのステップが(審決注：下線を付加）
　また、審判請求人は、上記審判請求書において、「引用文献１（審決注：上記「刊行物１」に相当する。）の７ページ中部には、エラー発生の場合は、切換装置が作動し、エラーが発生した回路による制御は中断され、エラーのない回路がその制御を引き受けることが開示されております。引用文献１の８ページには、発明の重要長所は、冗長なデータ処理を行う２つの同一の回路（Ｉ，ＩＩ）を有することであると開示されております。更に、請求項１にも、第１及び第２マイクロプロセッサシステムが入力信号に対して冗長にデータ処理を行うと開示されております。即ち、引用文献１に開示の回路Ｉ及びＩＩは、各々独自の駆動機能を有する別の回路ではなく、エラー検知のために冗長に設けられた同一の回路であることが明らかであります。」（審判請求書（４−１）の項参照）と主張しているが、上記刊行物１に記載された互いに独立した２つの完全な回路Ｉ，ＩＩは、それぞれ、車輪ブレーキのアクチュエータ操作部５，６を操作するものであることが記載され、図１から、上記完全な回路Ｉ，ＩＩがそれぞれアクチュエータ操作部５，６を持っていることが看取でき、上記記載事項（エ：エ’−６）にも「切換器の静止位置では、所属のアクチュエータ操作部５，６に対するマイクロプロセッサ装置１，２の接続部が閉じている。」と記載されているものであるから、審判請求人の「引用文献１に開示の回路Ｉ及びＩＩは、各々独自の駆動機能を有する別の回路ではなく、エラー検知のために冗長に設けられた同一の回路である」との主張は根拠がない。
　よって、審判請求人の主張は、いずれも採用できない。
　
（４）まとめ
　したがって、本願発明は、刊行物１に記載された発明及び上記周知事項に基づいて当業者が容易に発明をすることができたものである。
　
６．むすび
　
　以上のとおり、本願発明、すなわち、本願の請求項１に係る発明は、刊行物１に記載された発明及び上記周知事項に基づいて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　そして、本願の請求項１に係る発明が特許を受けることができないものである以上、本願の請求項２ないし請求項８に係る発明について検討するまでもなく、本願は拒絶すべきものである。
　よって、結論のとおり審決する。