以下を有する制御用コンピュータシステム:-相互に関して冗長であるように設計される少なくとも2つのモジュール1、2、1001、1002、1003、1004、1021、1071;-少なくとも2つの冗長モジュール1、2、1001、1002、1003、1004、1021、1071の同期状態を監視するための、および、同期エラーを検知するための、少なくとも1つの比較ユニット20、21、91、92、1011、1012;-少なくとも1つの周辺ユニット95、96、1022、1030、1031、...、1038;-少なくとも2つの冗長モジュールへのアクセス、または、少なくとも2つの冗長モジュールによる周辺ユニット95、96、1022、1030、1031、...、1038へのアクセスを許可するか、または、ブロックするために設定される少なくとも1つのスイッチングマトリクス21、1013、1063;および-少なくとも1つの比較ユニット20、21、91、92、1011、1012から信号を受信し、かつ完全に、または選択的に少なくとも2つの冗長モジュールによって少なくとも2つの冗長モジュールへのアクセス、または周辺ユニットへのアクセスを防ぐために、少なくとも1つのスイッチングマトリクス1013、1063を駆動するために設定される、むしろ一般的なエラー処理ユニット44、1080。以下のような請求項1記載の制御用コンピュータシステム:-少なくとも2つの冗長モジュールは、同期して制御プログラムを実行するための少なくとも2つのプロセッサ1、2、1001、1002、1003、1004である;-比較ユニット20、21、91、92、1011、1012は、プロセッサ1、2、1001、1002、1003、1004の同期状態を監視し、かつプロセッサの同期エラーを検知するために使用される;-制御用コンピュータシステムは、少なくとも1つのメモリ5、1020、1021を有する;-少なくとも1つのスイッチングマトリクス21、1013、1063は、許可するために設定されるか、または、メモリおよびプロセッサによる1つ以上の周辺ユニットへのアクセスをブロックする;および-エラー処理ユニット44、1080は、完全に、または選択的に、2つのプロセッサ、または両方のプロセッサ1、2、1001、1002、1003、1004のうちの1つによって、メモリ5、1020、1021、およびまたは、周辺ユニット95、96、1022、1030、1031、...、1038へのアクセスを防ぐために設定される。少なくとも4つのプロセッサを有する、請求項2記載の制御用コンピュータシステム。プロセッサは、シングルプロセッサ、2重のコアのプロセッサペア、またはコアのプロセッサ、またはマルチコアプロセッサであることができる、請求項2、または3記載の制御用コンピュータシステム。少なくとも2つの比較ユニット1011、1012であって、少なくとも2つの比較ユニット1011、1012から信号を受信し、かつ完全に、または選択的にメモリ1020、1021、およびまたは、プロセッサ、またはコア、またはプロセッサペアによる周辺ユニット1022、1030、1031、...、1038へのアクセスを防ぐために少なくとも1つのスイッチングマトリクス1013、1063を駆動するために、エラー処理ユニット1080が設定されるものを有する、請求項4記載の制御用コンピュータシステム。エラーが生じる場合、エラー処理ユニットは、周辺ユニット1022、1030、1031、...、1038へのアクセスが、特に、アクチュエータは、少なくとも1つの欠陥があるプロセッサペア、または1つの欠陥があるプロセッサによって防がれるように、スイッチングマトリクスを駆動するために設定される、請求項2~5のうちの1項記載の制御用コンピュータシステム。周辺ユニット1030、1031、...、1038は、エラー処理ユニット1080によって制御される少なくとも1の周辺のブリッジ1022によって毎時間アクセスされる、請求項2~6のうちの1項記載の制御用コンピュータシステム。少なくとも2つの比較ユニット1011、1012は、プロセッサ例えばプロセッサペア中のプロセッサ1、2、1001、1002、1003、1004に直接接続される、請求項5~7のうちの1項記載の制御用コンピュータシステム。制御用コンピュータシステムは、少なくとも2つの別個のスイッチングマトリクス1013、1063を有し、第2スイッチングマトリクス1063が第2周辺ブリッジ1072および少なくとも1つのメモリ1071に接続されている間に、第1スイッチングマトリクス1013は、第1周辺ブリッジ1022および少なくとも第1メモリ1021に接続される、請求項1~8のうちの1項記載の制御用コンピュータシステム。プロセッサペアにおける第1プロセッサ1001、1003は、第1スイッチングマトリクス1013に接続され、また、プロセッサペアにおける第2プロセッサ1002、1004は、第2スイッチングマトリクス1063に接続される、請求項9記載の制御用コンピュータシステム。データは、第1スイッチングマトリクス1013と第1メモリ1021との間に送信したか、または、比較ユニット1091によって第2スイッチングマトリクス1063と第2メモリ1071との間で送信されたデータ、および、第1スイッチングマトリクス1013と第1周辺のブリッジ1022との間で送信されたデータと比較され、比較ユニット1090によって第2スイッチングマトリクス1063と第2周辺のブリッジ1072との間で送信されたデータと比較される、請求項9または10記載の制御用コンピュータシステム。マルチプレクサ1171、1172、1173、1174は、それぞれプロセッサペアおよびスイッチングマトリクス1013、1063におけるプロセッサ1001、1002、1003、1004間に位置し、マルチプレクサは、プロセッサペアにおける第1プロセッサ1001、1003が、第2スイッチングマトリクス1063とプロセッサペアにおける第2プロセッサ1002、1004とにアクセスすることができるように接続され、回復ユニット1080が、したがってマルチプレクサ1171、1172、1173、1174を制御するとすぐに、第1スイッチングマトリクス1013にアクセスすることができる、請求項10または11記載の制御用コンピュータシステム。少なくとも1つのスイッチングマトリクス1013、1063は、メモリ、または周辺ユニットへのアクセスをブロックし、または、外部の、または内部の、好ましくは、不揮発性メモリにおけるアクセスを記録するために、設定される監視ユニット1014、1064を有する、先行する請求項のうちの1項記載の制御用コンピュータシステム。エラー処理ユニット1080は、直接、間に置かれたスイッチングマトリクス1013、1063なしで、少なくとも2つの比較ユニット1011、1012から信号を受信する、請求項2~13のうちの1項記載の制御用コンピュータシステム。制御用コンピュータシステムは、第1および第2揮発性メモリおよび不揮発性メモリを有し、特に、第1プロセッサペアは、第1揮発性メモリにアクセスし、かつ、第2プロセッサペアは、第2揮発性メモリにアクセスし、さらに、両方のプロセッサペアは、1つの不揮発性メモリにアクセスする、請求項1~14のうちの1項記載の制御用コンピュータシステム。プロセッサペアにおける第1プロセッサ1001、1003は、少なくとも1つのスイッチングマトリクス1013に直接接続され、すなわち、メモリ1020、1021、およびまたは、周辺ユニット1022、1030、1031、...、1038に対して読出書込アクセスを有するとともに、一方、プロセッサペアにおける第2プロセッサ1002、1004は、データに対して読込アクセスだけをすることができ、特に、比較ユニット1011、1012は、直接、プロセッサペアにおける両プロセッサに接続しているプロセッサペアにおける第2プロセッサ1002、1004へのデータへの読取りアクセスのみを送信する、請求項1~15のうちの1項記載の制御用コンピュータシステム。エラー処理ユニット1080は、同期エラーが生じた後、2つまたはそれ以上のプロセッサユニット1、2、1001、1002、1003、1004、または2つの冗長モジュールによる少なくとも1つのテストプログラムの実行を監視し、かつ、テスト結果を評価するために設定され、少なくとも1つの第1マルチプレクサ70、91、またはスイッチングマトリクス1013、1063を構成するために設定される回復制御装置44である、請求項1~16のうちの1項記載の制御用コンピュータシステム。回復制御装置44は、エラータイプに同期エラーを割り当てるように、かつ、エラータイプに基づくテストプログラムを選択するように設定される請求項17記載の制御用コンピュータシステム。回復制御装置44は、テスト結果に基づいて第1マルチプレクサ70、91を構成するために設定される請求項17または18記載の制御用コンピュータシステム。第1周辺ユニット72は、2つのプロセッサ1、2のうちの1つによって自由に駆動することができる共通ユニットであり、制御用コンピュータシステムは、少なくとも2つのさらなる周辺ユニット61、63を有し、さらに、2つの周辺ユニット61、63のうちの一方は、第1プロセッサ1にのみ割り当てられ、かつ、2つの周辺ユニット61、63のうちの他方は、それぞれ割り当てられたプロセッサ1、2によってのみアクセスすることができる個人の周辺ユニットとして第2プロセッサ2にのみ割り当てられる、請求項2~19のうちの1項記載の制御用コンピュータシステム。2つの、さらなる周辺ユニット61、63は、冗長なユニットである請求項20記載の制御用コンピュータシステム。少なくとも2つのプロセッサペア1001および1002、1003および1004、検知するエラーのための少なくとも2つの比較ユニット1011、1012、メモリ、およびまたは、プロセッサまたはプロセッサペアによる少なくとも1つの周辺ユニットへのアクセスを許可するか、またはブロックする少なくとも1つのスイッチングマトリクス1013、1063、少なくともスイッチングマトリクス1013、1063を制御することができる少なくとも1つのエラー処理ユニット1080を有し、プロセッサペアは、エラーなしモードにおける機能を提供するために異なるプログラムを実行することができ、また、エラーが生じる場合、エラーなしのプロセッサペアが、欠陥があるプロセッサペアの少なくともいくつかの機能を仮定する、制御用コンピュータシステムを制御する方法。制御用コンピュータシステムによって駆動された装置の安全性に重大な機能は、エラーの発生と無関係に実行される請求項22記載の方法。エラーが生じるときに、非安全性重大機能は少なくとももはや部分的に提供されない請求項22または23記載の方法。エラーが生じるときに、欠陥があるプロセッサか、またはプロセッサペアによる周辺ユニットへのアクセスは阻まれる、請求項22~24のうちの1項記載の方法。そこではエラーが生じた後、欠陥があるプロセッサペアは診断プログラムを実行する、請求項22~25のうちの1項記載の方法。生じたエラーは、分類され、その区別が、少なくとも、間欠エラーと永久エラーとの間でなされる、請求項26記載の方法。永久エラーが生じた後、欠陥があるプロセッサペアは、永久に非作動化される請求項27記載の方法。欠陥があるプロセッサペアが検知されている永久エラーのない診断プログラムを介して実行した場合、両方のプロセッサペアは、再度、異なるプログラムを実行することができる、請求項27または28記載の方法。エラー処理ユニットは、不揮発性メモリにおけるエラーの発生を記録する、請求項22~29のうちの1項記載の方法。生じたエラーの数、およびまたは、頻度が所定のしきい値を超過する場合、プロセッサペアは、永久に非作動される請求項30記載の方法。ブレーキシステムを制御するか、または規制するために、自動車両における先行する請求項のうちの1つに記載の制御用コンピュータシステムの使用。制御用コンピュータシステムを制御する方法:この方法は以下の有する:-有している制御システムの提供:-少なくとも2台のプロセッサが少なくとも2台のプロセッサ1001および1002、1003および1004においてそれぞれをペアにする、-エラーを検知するための、および各プロセッサペアにおけるプロセッサ1001および1002、1003および1004の同期を監視するための少なくとも1つの比較ユニット1011、1012、-許可する少なくとも1つのスイッチングマトリクス1013、1063、またはメモリ、およびまたは、プロセッサペアにおけるプロセッサによる1つ以上の周辺ユニットへのアクセスをブロックする、そして、-スイッチングマトリクス1013、1063を駆動するための少なくとも1のエラー処理ユニット1080;-1つ以上の周辺ユニット、およびまたは、メモリを駆動するためにプロセッサペア上の第1安全性関連ソフトウェアプログラム、および第2プロセッサペア上で同期して実行する少なくとも第2安全性関連ソフトウェアプログラムを同期して少なくとも実行すること;-比較ユニット1011、1012による各プロセッサペアにおけるプロセッサ1001および1002、1003および1004の同期を監視し、プロセッサペアにおける2台のプロセッサ1001および1002、1003および1004が非同期である場合に、比較ユニット1011、1012による同期エラー信号を出力すること;そして、-同期エラー信号がアウトプットである場合:-プロセッサペアによる、第1安全性関連ソフトウェアプログラム、および第2安全性関連ソフトウェアプログラムの実行の中断、-2つのプロセッサペアのうちの1つが欠陥があるかどうかをチェックするためにテストを実行すること、そして、-エラーなしのプロセッサペアにおける第1安全性関連ソフトウェアプログラムおよび第2安全性関連ソフトウェアプログラムを実行しており、エラー処理ユニット1080によってスイッチングマトリクス1013、1063を駆動して、2つのプロセッサペアのうちの1つが欠陥がある場合、メモリ、およびまたは、このプロセッサペアにおける1台のプロセッサだけが欠陥がある場合、欠陥があるプロセッサペアまたはプロセッサによる1つ以上の周辺ユニットへのアクセスをブロックする。そのテストは、両方のプロセッサペアであって、下記条件の少なくとも1つに遭遇する場合、欠陥があるとプロセッサペアにおけるプロセッサが考えられるものによる少なくとも1つのテストプログラムの同時実行を有し:-プロセッサは、第1の期間T1内のテストプログラムを実行していない、-プロセッサは、成功裡にテストプログラムを実行していない、-第1の期間T1が経過した後、プロセッサは第2の期間T2のために静止状態に変化していない請求項33記載の方法。同期エラーが評価され、または、エラータイプに割り当てられ、少なくとも1つのテストプログラムは、プロセッサをチェックするためにエラータイプに基づいて選択されている、請求項33または34記載の方法。図1は、第1プロセッサ1、および第2プロセッサ2、および、第1マルチプレクサ91、および第2マルチプレクサ92を有する制御用コンピュータシステム、または制御装置を概略的に示す。マルチプレクサ91、92のそれぞれは、図において比較器と称するそれぞれの比較装置を備えた1ユニットを形成する。マルチプレクサ91、92のそれぞれは、それぞれの周辺ユニット95、96に接続され、また、周辺ユニット95、96に自由にアクセスすることを、プロセッサ1および2にとって可能にする。回復制御装置44は、2台の両方のプロセッサ1、2、およびマルチプレクサ95、96に接続される。プロセッサ1、2は、また、プロセッサコアであることができる。図1において例証された太字の矢印は、マルチプレクサ91、92によって、プロセッサ1、2から周辺ユニット95、96に、実際に伝えられたデータのフローを示す。プロセッサ1は、周辺ユニット95と通信し、また、プロセッサ2は、周辺ユニット96と通信し、かつ、後者を制御する。この場合、プロセッサ2、マルチプレクサ/比較器92、および周辺ユニット96が、ブランチBを形成する一方、プロセッサ1、マルチプレクサ/比較器91、および周辺ユニット95は、ブランチAを形成する。しかしながら、一方では、プロセッサ2とマルチプレクサ/比較器91との間で、また、他方では、プロセッサ1とマルチプレクサ/比較器92との間で、細密であるために、クロス通信パスがある。比較器91、92は、プロセッサが、相互に関して同期して作動しているかどうか、すなわち、それらが同時に同じ結果を出力するかどうかをそれぞれ比較する。そうでないならば、同期エラーがある。この場合、プロセッサは、テストされ、また、制御装置は、これに基づいて再構成される。このことは、図2において概略的に例証される。図2において、回復制御装置44によって監視され、かつ評価されるテストが、プロセッサ1が欠陥があることを開示したことが仮定された。この場合、2つのマルチプレクサ91、92は、両方のマルチプレクサ91、92が、プロセッサ1からの出力を無視するように精細であるように再構成される。同時に、マルチプレクサ91は、今度は、プロセッサ2と周辺ユニット95との間の通信を可能にする。プロセッサ2は、今度は、両方ともブランチA、およびブランチBの両方における周辺ユニットを駆動する。プロセッサ2は、既に、比較目的のためのノーマル状態における周辺ユニット95ブランチA用の制御プログラムを実行していたので、この目的のために必ずしも異なったようにプログラムされる必要はない。相違は、それは今やまた、周辺ユニット95に対する書くアクセスを有することのみである。後者は、今、もはやプロセッサ1からの入力を受けないので、比較器の比較機能は、また非作動化される。このことは、比較器91、92が、それ以上のエラー信号を出力しないので、必要である。その結果、周辺ユニット95および周辺ユニット96用の制御プログラムを有する制御用プログラムの実行が、再び継続することができる。このことは、システムの有用性を増加する。テストが、両プロセッサ1、2がエラーがないことを開示した場合には、図1における状態は、再び仮定される。両プロセッサが欠陥がある場合は、システムは、スイッチが切られる。図1および2において示される手順は、特に、冗長であるように設計されていない周辺ユニットにおいて、有利である。図1および2において示されるアーキテクチャは、2つのグループAおよびBへの周辺モジュールの区分を有する。それぞれのグループは、少なくとも1台のプロセッサ1、2と、バス切換えスイッチバスマトリックスバスクロスバーここには図示されていないと、駆動される周辺モジュール95、96とを有する。メモリモジュールは、1つのグループ、または両方のグループにおいて、提供することができる。サイドAは、実際にすなわち、物理的に、プロセッサ1プロセッサAによって常に駆動される。サイドBは、実際に、プロセッサ2プロセッサBによって常に駆動される。周辺モジュール95からのデータは、マルチプレクサ91、92経由でサイドBに横方向に渡すことができる。プロセッサ1は、同様のやり方で、周辺モジュール96からデータを読むことができる。図3は、そこで周辺モジュールと呼ばれる周辺ユニット22が、2台のプロセッサ1および2によって冗長に駆動される実施例を示しており、2台のプロセッサのうちの1台だけが、所定の時に実際にユニット22を駆動する。これは、マルチプレクサ21によって達成される。共通の内部周辺ユニットであることができるさらなる周辺ユニット5、例えば、メモリ5は、マルチプレクサ20を経由して、2台のプロセッサ1、2に接続される。プロセッサ1、2それら自身は、それぞれ、バスマトリックス3、4経由で、マルチプレクサ20、21に接続される。この実施例においても、また、それぞれの比較ユニット比較器を備えたユニット内にあるマルチプレクサ20、21は、コントローラを利用可能にしておくために、エラーの場合には、適切なやり方で構成することができる。1つまたはそれ以上の実施例によれば、コントローラの共同で用いられている領域とコントローラの個人の冗長領域との間の明瞭な分離がある。個人のコンポーネント、またはユニットは、それぞれのプロセッサ1、2に割り当てられ、また、前記プロセッサによってのみ駆動される。個人のコンポーネント図4における2つの周辺ユニット61、62は、好ましくは、可能な限り冗長な個人領域の完全な対称をシミュレートすることができるために、冗長である。財務上の理由で、いくつかのコンポーネント、例えばプログラムメモリは、共同で用いられた領域において正確であるために一度だけ実行することができる。厳密なやり方モードにおいて、2台のプロセッサ1、2は、同期して作動する。他のプロセッサが、厳密なやりかたモードのために、適切な時間goodtimeにデータをすべて受けている間に、共同で用いられたコンポーネント、または周辺ユニットの実際の駆動は、2台の冗長なプロセッサのうちのいずれによっても仮定することができ、特別の時に1台のプロセッサによってのみ実際に実行される。厳密なやり方エラーが検知された後に、それぞれのプロセッサ1、2は、時間間隔T1の間の割り付けられた個人領域において可能な限り作動中のままであるように意図され、アーキテクチャの外側の結果を備えたいかなる安全性関連の機能も実行するようには意図されない。換言すれば、外部効果を有する外部の周辺ユニット、またはコンポーネントの駆動は、特に中断されるintereupted。非冗長コンポーネント要素、例えばプログラムメモリに対する必要なアクセスのために、2台の冗長なプロセッサ1、2用の多重モードは、時間間隔T1において可能になる。それぞれの厳密なエラーは、プログラムシーケンスにおける割り込みを引き起こす。割込みルーチンにおいて、プロセッサ1、2は、相互に独立して、同一のテストプログラムを実行し、また、自律のハードウェア監視モジュール、図において、回復制御装置44によって後のチェックのためのテスト結果を格納する。いくつかのテストプログラムは、エラー状況に由来することができる。例えば、生じたエラーは、分類され、かつエラータイプに割り当てられ、さらに、この割り当ては、それぞれのテストプログラム、またはプログラムを選択するために使用される。それぞれのプロセッサは、回復なしで緩やかに割り込みの実行を終了するように意図される。その背景は、テストプログラムが、割り込みによって開始され、さらに、テストプログラムが終了する後に、プロセッサ1、2は、通常、割り込みのために中断された割り込み制御プログラムを継続することを望む。このことは、防止されるように意図され、さらに、プロセッサ1、2は、その代りに、静止状態に変化するように意図される。このことが起こるかどうかは、また、テストの一部である。それぞれのプロセッサは、自律のハードウェア監視モジュール回復制御装置44によって読むことができるレジスタに、例えば、その状態の特徴を続いて格納するように意図される。時間の期間は、自律のハードウェア監視モジュールのタイマを使用して測定される。この不明瞭な時間ロックアウトモードの外側のの後、冗長なプロセッサは、期間T2の期間の間、アイドリングモード静止状態を有するように意図される。プロセッサが、コンポーネント、例えばメモリモジュール、または周辺モジュールに時間T2の期間においてアクセスする場合、それは、回復制御装置44によって回復処理から自動的に除去される。時間窓T2の後、回復制御装置44は、2台のプロセッサ1、2のテスト結果を、ハードウェアにおいてプリプログラムされた値と比較する。プロセッサのテスト結果が規定された値に相当しない場合、対応するプロセッサは、もはや作動する同期の試みについては考慮されない。したがって、プロセッサ1、2の格納された状態特徴は、また、回復に適切であるに違いない。その結果の肯定的な評価の場合には、回復制御装置44が、割り込みによる厳密なモードへのリターンを引き起こす。1台のプロセッサだけが成功裡にテストをすべて実行した場合には、それは、それに割り当てられた周辺モジュール、およびすべての共同で用いられたコンポーネントを駆動する。この非常モードは、システムの有用性を増加し、さらに、減少した安全レベルで作動する。図4は、図3における実施例に基礎を置く、さらなる実施例を示す。制御装置のアーキテクチャは、2つの個人private領域30および31であって、それらは、領域AおよびB、および共用領域40と呼ばれるものに分割される。個人領域は、物理的に冗長であるモジュール、または周辺ユニット、およびコンポーネントを有している。ハードウェアモジュールの形をしている回復制御装置44は、厳密なエラーの後に同期を確実に回復するために使用される。厳密なエラーが生じる場合には、回復制御装置44は、安全性関連の周辺モジュール、またはユニットへのアクセスをすべて阻止する。これらのユニットは、特に、共通の周辺装置72、例として冗長的に存在する周辺ユニット61および63である。これらは、それぞれの周辺のブリッジ60、71、および62によって接続される。厳密なエラーは、プログラムシーケンスの割り込みを引き起こす。割込みルーチンの以下の実行においては、それぞれのプロセッサ1、2は、それに割り当てられた専有領域に位置し、さらに安全性関連の部分機能を実行しないモジュールだけにアクセスすることができる。さらに、非安全性関連のコンポーネント41、42へのアクセスは、多重モードにおいて可能になることができる。そのようなコンポーネント41、42は、例えば、共用プログラムドメイン42および共通のRAMドメインである。コンポーネント42は、モジュール50であって、マルチプレクサ、コントローラ、および比較器を有するものと、実際のプログラムメモリ51とを有する。コンポーネント41は、モジュール53であって、マルチプレクサ、コントローラ、および比較器を有するものと、RAMとしてここで具体化されるメモリ52とを有している。個人の周辺領域においては、常に、小さなアドレス空間が、適切なプロセッサのテスト目的のために保留される。割込みルーチンは、アーキテクチャ、および、とりわけプロセッサの完全をチェックするために使用される。割り込み実行の終わりに、プロセッサは、テスト目的のために保留されるアドレス領域に計算結果を格納するように意図される。正確な結果は、回復制御装置44に前もって格納される。割込みルーチンは、テストプログラムからなっており、それぞれのテストプログラムは、特別の時間間隔内の正確な結果を供給するように意図される。予め定めた時間の期間の後、回復制御装置44は、プロセッサによって格納された結果の正確さをチェックする。厳密なやり方モードの回復は、回復制御装置44によってチェックされる結果がすべて正確であると推定する。そうでなければ、正確な結果を有するプロセッサだけが、引き続き動作中のアプリケーションに作動中を維持し続ける。割込みルーチンが厳密なモードで作動しないので、モジュール50は、両方のプロセッサ1、2が、多重モードにおけるプログラムメモリ51をアクセスすることができるように構成される。図5は、図1および2の拡張としての実施例を示した。この場合、回復制御装置44は、図4におけるそれに対して同様の方法で作動する。プロセッサ1、2が、厳密なやり方モードの回復のために正確な結果を供給しない場合には、回復制御装置44は、対応する周辺ユニットコントローラ91、または92を構成し、それらは、ここでマルチプレクサおよび比較器を形成し、そのような方法で、それらより下方の周辺モジュール、またはユニット95、96は、他のプロセッサによって駆動される。図5におけるアーキテクチャは、また、2つの冗長なRAMモジュール80、81を有する。厳密なエラーが、RAMにおけるエラーによって引き起こされた場合には、欠陥があるRAMアドレスが、格納される。このアドレスは、割込みルーチンにおいてチェックされる。RAMエラーが修正することができない場合には、回復制御装置44は、影響を受けたサイドA、またはサイドBすなわち、プロセッサ、およびRAMを再度作動中のドライブには統合しない。回復制御装置44は、周辺モジュールであって、それらは以前に今欠陥があるプロセッサ、またはRAMによって駆動されたものは、今、他のサイドのプロセッサによって駆動されることを、続いて保証する。図6は、制御プログラムのシーケンスを概略的に示す。同期エラーが生じた後、それぞれのプロセッサによる、プログラム実行300、500は、割り込みLOLI:厳密な損失割り込みによって中断され、また、それぞれの状態初期の内容は、321、521に格納される。その割り込みは、同時に、ここでハードウェアと呼ばれて、回復制御装置の作動化に結びつく。回復制御装置は、タイマ400を始動する。その後、プロセッサは、ステップ322、522において、回復制御装置によってあらかじめ定められたテストを実行し、テストが終了した後、323、523まで割り込みなしのリターンが、強制的に引き起こされるRFI:割り込みからのリターン。プロセッサは、その後、静止状態に変化するように意図される。回復制御装置は、そのテストが時間の期間T1325、525内に処理されるか、さらには、プロセッサが静止状態401に変化したかどうかをチェックする。あらかじめ定められた時間の期間T2の後に、回復制御装置は、プロセッサがまだ静止状態にあるかどうかを、402、326、526においてチェックする。そのテスト結果は、その後、チェックされる。回復条件404は、テスト結果は、エラーがないということ、それぞれのプロセッサは、時間の期間T1の満了によって静止状態に変化したということ、さらには、プロセッサは、時間の期間T2の満了の後に、なお静止状態にあるということ、である。このことは、両方のプロセッサ用のケースである場合、リカバー割り込みRECOIは、両方のプロセッサ用に、そうでなければエラーなしのプロセッサ用にのみトリガされ、また、初期状態は、回復される341、541。後者のケースにおいては、回復制御装置は、上に説明されたように、制御装置を再構成する。このことは、プログラムの継続によって引き継がれる。図7は、2台のプロセッサ1および2を備えた従来のアーキテクチャを示し、プロセッサ2は、プロセッサ1を監視するために使用される。周辺モジュールおよびすべてのメモリアクセス動作の全駆動は、プロセッサ1によって起こる。このアーキテクチャは、同期の損失に起因するエラー厳密な失敗に対処するには適さない。図8は、2つのグループAおよびBに周辺モジュールの区分を備えた従来のアーキテクチャを示す。それぞれのグループは、少なくとも1台のプロセッサ1、2、バス切換えスイッチバスマトリックス:バスクロスバー3、4、および、周辺モジュール6、7を有する。メモリモジュール5は、1つのグループ、または両方のグループにおいて実行することができ、バイパスモジュール11によって駆動することができる。サイドAは、実際にすなわち、物理的に、プロセッサ1によって、常に駆動される。サイドBは、実際に、プロセッサ2によって、常に駆動される。周辺モジュール6からのデータは、バイパスモジュール10、およびデータ多重変換装置12によってサイドBに横段方向に渡すことができる。プロセッサ1は、同様の方法バイパスモジュール9、およびデータ多重変換装置13経由で周辺モジュール6からデータを読むことができる。このメカニズム、それによってプロセッサは、他のサイドから周辺データを読むことができ、機能は、2台のプロセッサ1および2が、相互に関して同期して厳密なやり方で作動する限りにおいてのみ、作動する。監視は、比較器8によって実行される。プロセッサ1が、例えば、非動作可能の場合、サイドA全体すなわち、こちらサイドの周辺モジュールおよびメモリと一緒には、もはや駆動することができない。このことは、ハイレベルの有用性の貧弱なサポートに帰着する。2台のプロセッサが、もはや同期して作動しない場合、それらはリセットすることができるだけである。多くの安全性関連用途については、同期のエラーの原因が明白に確認されるまで、プロセッサのリセットは許可されない。2台プロセッサ装置は、図1-8と関連して記述された。複数のプロセッサ、またはプロセッサコアを有する制御装置は、制御用コンピュータシステムを使用して以下に記述される。しかしながら、プロセッサ、またはプロセッサコアの数は、特に上述の数に制限されないが、むしろ、必要によれば、任意であることができる。図9は、制御用コンピュータシステム制御装置を示す。前記システムは、2台のプロセッサペア1001および1002またはコア1Aおよび1B、および1003および1004またはコア2Aおよび2B、2つの比較ユニット1011、および1012、スイッチングマトリクス1013これは、また、スイッチング素子と呼ばれる、メモリ1020、および1021、ならびに複数の周辺ユニット1030、1031、...、1038が、接続される周辺のブリッジ1022を有する。それぞれのプロセッサペアは、2台の別個のプロセッサを有することができ、または2つのコアを有するプロセッサであることができる。さらなる実施例においては、望まれるように、プロセッサ、またはコアの数が、また、異なることができる。例えば、相互に関してそれぞれ冗長である2つのコアをそれぞれ有する3台、またはそれ以上のプロセッサを使用することが可能である。原則として、しかしながら、3台のプロセッサは、また、冗長グループを形成するために組合されることができ、制御用コンピュータシステムは、2、3、またはそれ以上のそのようなグループを有することができる。第1プロセッサペアにおいて、プロセッサ1001または、コア1Aは、実際にメモリおよび周辺ユニットのような異なるリソースにアクセスする。比較ユニット1011は、プロセッサ1001および1002からの出力データを比較し、さらに、着信データを両方のプロセッサに渡し、監視プロセッサ1002は、メモリおよび周辺装置に対するアクセスを有しない。両方のプロセッサコア1001および1002は、同一の構造を有しており、また、同期してまたは厳密なやり方モードで作動し、その結果として、比較ユニット1011は、エラーがないときは、それぞれ同一の出力データを受信する。プロセッサペア1003および1004は、対応する構造を有しており;プロセッサ1003は、実際にメモリおよび周辺装置にアクセスし、また、比較ユニット1012は、また、監視プロセッサ1004に着信データを転送する。スイッチングマトリクス1013は、プロセッサにとって、メモリ、または周辺ユニットにアクセスすることを可能にする。周辺ユニットは、毎時間中央周辺ブリッジ1022経由で、都度アクセスされる。エラーがないときは、制御用コンピュータシステムは、このように2つの独立プロセッサに1001、および1003プロセッサコア1A、および2Aを供給する。図10は、この発明による制御用コンピュータシステムの代表的な実施例を示す。図9において示された制御用コンピュータシステムのように、前記システムは、2つのプロセッサペア1001および1002、および1003および1004、2つの比較ユニット1011および1012、スイッチングマトリクス1013、メモリ1020および1021、ならびに、複数の周辺ユニット1030、1031、...、1038が、接続される周辺ブリッジ1022を有する。さらに、この発明による制御用コンピュータシステムは、比較ユニット1011、1012から信号を受信するエラー処理ユニット回復ユニット1080を有する。エラー処理ユニット1080は、個々のプロセッサ1001、1002、1003、1004または、コア1A、1B、2A、2B、またはプロセッサペアによって、メモリ、およびまたは、周辺ユニットに対するアクセスを防ぐために、スイッチングマトリクス1013および周辺ブリッジ1022を駆動することができる。この発明の1つの好ましい実施例において、スイッチングマトリクス1013は、防ぐことができるだけでなく、さらにアクセスを記録することができる監視ユニット1014を有する。比較ユニット1011、1012からの信号は、好ましくは、エラー処理ユニット1080に直接送信され、かつ、スイッチングマトリクス1013を通り過ぎない。回復制御装置に関して既にさらに上述されたように、エラー処理ユニット1080は、エラーの発生の後に適切なやり方で、スイッチングマトリクス1013、または周辺ブリッジ1022を再構成するために設置setupされる。比較エラーが、例えば、プロセッサ1001と1002または、第1プロセッサペアのコア1Aと1Bとの間に生じる場合、エラー処理ユニット1080は、制御信号1110を、スイッチングマトリクス1013および周辺ブリッジ1022に送信する。プロセッサペア1001/1002によるメモリへのアクセスは、その後、防がれるか、または記録され、およびまたは、周辺ユニットへのアクセスは、防がれる。このことは、重大な損害に帰着するかもしれないような、例えば、欠陥があるプロセッサがアクチュエータを駆動することを防ぐ。換言すれば:従来のアーキテクチャは、回復制御装置の機能を仮定するモジュール1080によって拡張する。このモジュール1080は、また、SAM安全性および有用性制御モジュールと呼ばれる。生じたエラーのタイプによって、SAMモジュール1080は、欠陥があるプロセッサに、特別の周辺モジュールおよびRAMメモリにアクセスすることを禁じるために、スイッチング素子スイッチングマトリクス1013の内部において監視ユニット1014を制御する。モジュール比較ユニット1011および1012における比較器が、エラーを検知した場合は、SAMモジュール1080に直ちに通知される。SAMモジュール1080は、影響を受けたプロセッサコア1Aまたは2Aプロセッサ1001、1003が周辺モジュールによってアクチュエータを駆動することができないことを保証するためにエラー信号を使用する。SAMモジュール1080は、スイッチング素子1013、または周辺ブリッジ1022における周辺モジュールに対するアクセスを防止するために制御信号1110を使用することができる。図11は、制御用コンピュータシステムを駆動するための、この発明による方法の代表的な実施例を示し、制御用コンピュータシステムの構造は、図10を使用して記述された構造に対応する。モジュール比較ユニット1011における比較器が、エラー1220を検知する場合、割り込みが、プロセッサペア1A/1B、および2A/2Bの両方のために起きる。プロセッサペア1A/1Bは、タスク1200を出て、割込みルーチンの実行にジャンプする。プロセッサペア1A/1Bが、ステップ1251においてチェックすること、または状態テストを受けさせる前に、ノーマルモード用の状況または内容は、ステップ1250において格納される。質問1252においては、プロセッサペア1A/1Bは、エラーが永久的であるかどうかチェックする。プロセッサペア1A/1Bが、永久エラーを有する場合、このペアは、もはや回復のための考慮に入れられない。ステップ1254において、エラーのタイプが決定され、そして、そのエラーは、不揮発性メモリ、例えば外部EPROMに格納される。ステップ1255において、サインおよび通過エラーのタイムスタンプが格納される。同じ通過エラーが繰り返される場合、ステップ1255において格納されたデータは、繰返し速度を決定するのを支援するように意図される。そのような繰返し速度は、さらなる回復の試み用の意思決定基準として使用することができる。ステップ1256において、プロセッサペア1A/1Bは、回復の試みが起こるように意図されるかどうかについてのSAMモジュール1080からの信号を待つ。割込み信号がトリガされた後、プロセッサペア2A/2Bは、エラーなしのプロセッサペアとして、非常モードに入ることを意図される。プロセッサペア2A/2Bは、先ず初めに、1300において現在実行されているタスクを出て、ノーマルモードステップ1350用の状況を格納する。エラーベースのチェックテストは、ステップ1351において実行される。非常モード用に必要とされたプログラム部分義務的なソフトウェアモジュールだけが、ステップ1352において実行される。これらの必要なプログラム部分は、異なるプロセッサペアに当初割り当てられた、選択されたタスクからなっている。非常モードの間に、プロセッサペア2A/2Bは、回復の試みのための信号がリリースされたかどうかを永久にチェックする。ノーマルモードの回復が、ステップ1353においてリリースされる場合、プロセッサペア2A/2Bは、ステップ1354において回復の試みのためのリリースを待つ。割込み信号がトリガされた後、SAMモジュール1080は、ステップ1401において、欠陥があるプロセッサペア1A/1Bによって安全性関連の周辺モジュールに対するアクセスをすべてブロックする。このステップは、アクチュエータのあらゆる安全でない駆動も回避するように意図される。ノーマルモードの回復が支援されるようには意図されない場合、SAMモジュール1080は、ステップ1402において残り、かつ、駆動は、プロセッサペア2A/2Bによってのみ達成される。そうでなければ、SAMモジュール1080は、ステップ1403において回復の試みのために必要であった条件に設定され、その条件は、エラーを生じたプロセッサペアによって提供されるように意図される。これらの条件は、その後、ステップ1405においてチェックされる。回復条件が満たされている場合、SAMモジュール1080は、すべてのプロセッサペアによって回復の試みを開始する。成功した回復の後、制御用コンピュータシステムの充分な性能は、したがって、再度、利用可能であり、また、非安全性重大な便宜機能も制限なしで再度提供される。回復、特に、チェックして、図6において示されるシーケンスによって実行することができる。1つの実施例によれば、制御用コンピュータシステムの駆動ソフトウェアは、生じるかもしれないエラー、および後者の扱いのための適切なやり方で準備される。駆動ソフトウェアは、少なくとも2つのタイプのソフトウェアモジュールを有する:一方では、義務的なソフトウェアモジュールと、他方では、オプションのソフトウェアモジュールとである。それらのモジュールは、ノーマルモードにおいて両方のプロセッサペア間で分割される。欠陥の場合には、義務的なソフトウェアモジュールまた、非常モジュールと呼ばれるが、残るプロセッサペアによって実行されるが、オプションのソフトウェアモジュールは、実行されないか、または、単にいくぶんのみ実行される。したがって、欠陥を有するプロセッサペアの義務的なソフトウェアモジュールを、また受入れることは、エラーなしのプロセッサペアにとって、また可能である。したがって、周辺機器を駆動するための全く不可欠なソフトウェアモジュールは、冗長度の損失に帰着することなしに実行し続けることができる。オプションのソフトウェアモジュールだけが、実行されないか、または、単に部分的に実行される。しかしながら、このことは、安全性を制限しない。2つのプロセッサペアを有する制御用コンピュータシステムのさらなるアーキテクチャは、図12において示されるように、2つの冗長なスイッチング素子またはスイッチングマトリクス1013、1063を有する。プロセッサコア1Aおよび2Aプロセッサ1001、1003は、スイッチング素子1013経由メモリモジュール1020、1021にアクセスすることができる。プロセッサコア1Bおよび2Bプロセッサ1002、1004は、スイッチング素子1063経由、メモリモジュール1020および1071にアクセスする。メモリモジュール1071が、プロセッサコア1Bおよび2Bにのみ利用可能である間、メモリモジュール1021は、プロセッサコア1Aおよび2Aによってのみ使用することができる。プロセッサコア1Aおよび2A、スイッチング素子1013、およびメモリモジュール1021からなるブロックは、このように、プロセッサコア1Bおよび2B、スイッチング素子1063、およびメモリモジュール1071からなるブロックに対して、完全に対称的冗長である。メモリモジュール1020は、すべてのプロセッサによって読むことができる。ノーマルモードにおいて、プロセッサ1Aおよび1Bは、相互に関して同期して実行され、その結果で、1台のプロセッサが、他方のための監視するメカニズムを形成する。プロセッサコア2Aおよび2Bは、また、対応して同期して作動し、かつ、互いに監視する。監視することは、モジュール比較ユニット1091および1090において実行される比較器を使用して達成される。比較ユニット1091は、冗長なメモリモジュール1021および1071に対するアクセスをすべて監視し、また、比較ユニット1090は、周辺機器に対するアクセスをすべて監視する。このアーキテクチャは、すべての周辺モジュールが冗長であるように、実行することができる。例えば、周辺モジュール1040、1041、...、1048は、周辺モジュール1030、1031、...、1038に関して冗長であることができる。この場合、比較ユニット1090は、単に周辺機器に対するアクセスのための比較器を有することができる。財務上の理由で、多くの周辺モジュールが、しばしば、冗長なやり方では実行されない。この場合、比較ユニット1090は、周辺の比較器に加えて、同期の方法で、非冗長な周辺モジュールから冗長なスイッチング素子1013および1063にデータを転送する追加回路を有する。図13は、この発明による制御用コンピュータシステムの、他の代表的な実施例を示す。この場合、図12に例証されたアーキテクチャは、制御用コンピュータシステムであって、その概念が図10および11を使用して説明されたものによって提供される、電子調整アルゴリズムのよりよい有用性を保証するための概念を支持するために拡張される。マルチプレクサ1171、1172、1173、および1174は、各プロセッサコア1A、2A、1B、2B、および対応するスイッチング素子1013、1063の間に位置するので、プロセッサペアのそれぞれの第2コアは、プロセッサペアの第1コアのデータおよびアドレスバスにアクセスすることができ、また、反対に、ペアにおける第1プロセッサは、第2プロセッサのデータおよびアドレスバスにアクセスすることができる。プロセッサコア1Aがエラーする場合、マルチプレクサ1171は、例えば、冗長なプロセッサコア1Bからのデータがスイッチング素子1013に供給されることを保証する。マルチプレクサ1171、1172、1173および1174は、エラー信号1161、1162が、すべて比較器によって監視されるSAMモジュール1080において制御される。厳密なエラーが検知された後、対応する制御信号1160をスイッチング素子1013および1014における監視ユニット1014および1064、および周辺ブリッジ1022および1072に転送することによって、SAMモジュール1080は、安全性関連コンポーネントに対するアクセスをブロックする。エラー分析後のモードの回復は、適切な場合には、必要な改作によって、図11、18、およびまたは、19において例証されたスキームにしたがって、原則として、達成される。SAMモジュール1080回復制御装置は、さらに周辺機器にアクセスすることから欠陥があるプロセッサ、または、ほかに他のコンポーネントを除外するために、適切なやり方で、スイッチング素子1013、1063、および、マルチプレクサ1171、1172、1173および1174を構成する。このことは、また、他の冗長に設計されたコンポーネント例えば、メモリモジュールを使用して達成される。この場合にはまた、欠陥があるメモリモジュールは、スイッチング素子1013、1063、マルチプレクサ1171、1172、1173、および1174を再構成することによって除外される。図14、15、および16は、それぞれ、図13からのアーキテクチャにおけるこの発明による制御用コンピュータシステムを示し、その場合には、1台、またはそれ以上の永久に欠陥があるプロセッサは、それぞれの場合にスイッチが切られている。残りのプロセッサコアは、それぞれに、周辺機器を駆動し、その場合、必要な、かつ、安全性関連機能が、好ましくは、機能的な、監視するプロセッサをなお有するプロセッサにおいてのみ行なわれる、すなわち、完全なプロセッサペアは、なお、作動する場合、ユーザーは警告される。監視するプロセッサなしのプロセッサは、好ましくは、非安全性重大機能だけを実行する。エラーしたプロセッサコアは、点線を使用して例証される。図14は、例えば、プロセッサコア2Bのエラーだけを示す。プロセッサコア1Aおよび1Bは、なお、冗長であり、かつ、元来は、プロセッサペア2A/2Bによって、実行されたもの有する安全性重大タスク義務的なソフトウェアモジュールをすべて実行する。プロセッサコア2Aは、元来はプロセッサペア1A/1Bによって実行されたオプションのソフトウェアモジュールを有する非安全性関連タスクオプションのソフトウェアモジュールを実行することができる。したがって、安全性関連タスクは、すべて、なお残った冗長なプロセッサペア1A/1Bに転送された。このアプローチの利点は、非常モードプロセッサペア、またはプロセッサペアの個々のコアのエラーに追加の準備プロセッサペアであって、ノーマルモードプロセッサはすべてエラーがないにおいていかなる機能をも実行しないものを供給してはならないということである。エラーが生じるときには、オプションのソフトウェアモジュールの実行だけが制限される。しかしながら、このことは、安全性に適切ではない。図17は、1つの実施例による拡張された2重の冗長度にプロセッサペアを有する制御用コンピュータシステムのさらなるアーキテクチャを示す。図9において例証されたアーキテクチャとは対照的に、プロセッサ1001、1002、1003、1004だけでなく、また、他のコンポーネントも冗長である。例えば、バスマトリクススイッチング素子1013および1063、データメモリ1021および1071は冗長である。この実施例における周辺ブリッジ1022および1072の間の接続は、非冗長な周辺コンポーネントから冗長なペア1A/1B、およびまたは、プロセッサコアの2A/2Bに同期のやり方でデータが送信されることを保証する。図17において示されるアーキテクチャは、SAMモジュール1080、スイッチング素子1171、1172、1173および1174によって拡張される。エラーのタイプによって、SAMモジュール1080は、特別の周辺モジュールおよびRAMメモリにアクセスすることから、欠陥があるプロセッサペア1A/1B、2A/2B、または欠陥があるプロセッサ1A、1B、2A、2Bだけを禁止するために、スイッチング素子1171、1172、1173、および1174と同様にバスマトリクス、またはスイッチング素子1013および1063の内部の監視ユニット1014および1064を駆動する。モジュール比較ユニット1090および1091における比較器が、エラーを検知していた場合、SAMモジュール1080は、直ちに通知される。SAMモジュール1080は、影響を受けたプロセッサペア1A/1B、または2A/2B、または影響を受けたプロセッサ1A、1B、2A、または2Bは、もはや周辺モジュール経由アクチュエータを駆動することができないということを保証するためにエラー信号を使用する。SAMモジュール1080は、バスマトリクス1013および1063、または周辺ブリッジ1022および1072における周辺モジュールへのアクセスを防ぐために制御信号1160を使用することができる。1つの実施例によってエラーが検知された後、図18は、シーケンスの代表的な例証を示す。図17におけるモジュール1090および1091内の比較器が、エラー1220を検知する場合、割り込みが、プロセッサペア1A/1Bおよび2A/2Bの両方のために起きる。プロセッサ1Aおよび1Bは、ステップ1200において厳密なモードを出て、非同期のやり方で割込みルーチンの実行にジャンプする。プロセッサ2Aおよび2Bは、さらにステップ1300において厳密なモードを出て、非同期のやり方で割込みルーチンの実行にジャンプする。各プロセッサは、先ず最初に、動作中のアプリケーションのために必要な状況データまたは内容1250A、1250B、1350A、1350Bを救済する。よい状態の表れとして、すべてのプロセッサ1A、1B、2A、2Bは、SAMモジュール10801250A、1250B、1350A、1350Bの登録に、ディジタルサインであって、SAMモジュール1080によって検知されチェックすることができるものを書込む。プロセッサによって格納されたサインが、正しくないか、または、所定の時間間隔T1の後に存在しない場合、プロセッサは、もはや回復プロセスにおいて考慮に入れられない。この場合、欠陥があるプロセッサによる、メモリモジュールおよび周辺モジュールに対するあらゆるアクセスも阻まれるように、SAMモジュール1080は、スイッチング素子1014、1064、1171、1172、1173、および1174をすべて制御する。エラーパターンは、各タイプのエラーのための、SAMモジュール1080に格納される。残りのプロセッサは、ステップ1251A、1251B、1351A、または1351Bにおける詳細なテストにさらされる。エラーパターンによって、異なるテストが、ソフトウェアおよびまたはハードウェアにおいて実行される。例えば、LBISTロジックビルトインセルフテストの形式で、ハードウェアテストが、特に、重大なエラーのために、および、不明瞭なエラー割り当ての場合に、使用される。ステップ1251A、1251B、1351A、および1351Bにおけるテストの結果は、SAMモジュール1080に格納され、次いで、時間間隔T2の後に評価される。SAMモジュール1080は、プロセッサ、または複数のプロセッサが、欠陥がある、エラーなしのプロセッサだけが回復プロセスで考慮に入れられ続けるように、スイッチング素子1014、1064、1171、1172、1173、および1174を構成することを決定するために集めた結果を使用する。欠陥があるプロセッサは、アクセスを拒否される。図18において例証された手順は、欠陥がある部品が他の冗長モジュールに検知されるように、拡張することができる。基本概念は、安全システムの改善された有用性を保証することができるために2重の冗長度を既存のアーキテクチャのどこにも使用することである。このことは、例えばは冗長なメモリに当てはまる。適切なテスト1251A、1251B、1351A、および1351Bは、2つの冗長なメモリモジュールのどれが欠陥があるかを正確に決定するために、SAMモジュール1080によって使用することができる。冗長なメモリモジュール1021、または1071へのアクセスは、1つのメモリだけが実際に有効なデータを維持され、再正するような方法において、スイッチング素子1014、1064、1171、1172、1173、および1174の構成を使用して、転換することができる。連続する手順は、図11において示されるそれに同様のやり方で行なうことができる。図17において例証されたアーキテクチャは、多数の冗長要素のために図12において示されるアーキテクチャよりエラー許容のより高い自由度を提供する。図19は、エラーが、1つの実施例によって検知された後の、シーケンスの代表的な例証を示す。図10におけるモジュール1011の比較器が、エラー1220を検知する場合、割り込みは、プロセッサペア1A/1Bおよび2A/2Bの両方のために起きる。その手順は、図18におけるそれに似ている。図10において例証されたアーキテクチャについては、ペアにおける冗長なプロセッサは分離することができない。したがって、SAMモジュール1080は、どのプロセッサペアが欠陥があるかを単に決定する。欠陥があるプロセッサペアによるデータアクセスは、すべて適切にスイッチング素子1014を構成することにより阻まれる。その他については、その実行は、図11において示されるそれと似た方法で達成される。図20は、回復の後にスイッチが切られたプロセッサコア2Bを備えた図17からのアーキテクチャを示す。図21は、回復の後にスイッチが切られたプロセッサコア1Bおよび2Bを備えた図17からのアーキテクチャを示す。図22は、回復の後にスイッチが切られたプロセッサコア1A、2Aおよび1Bを備えた図17からのアーキテクチャを示す。この場合、もはや、プロセッサ冗長性はない。しかしながら、例えば、図6、11、18、および19において説明された手順に似たやり方で上に記述されたテストは、欠陥があるプロセッサが、すべて正確に検知され、かつ、周辺機器へのアクセスから除外されることを保証する。図23は、回復の後にスイッチが切られたプロセッサコア1Aおよび2Bを備えた図17からのアーキテクチャを示す。図24は、回復の後にスイッチが切られたデータメモリ21を備えた図17からのアーキテクチャを示す。このアーキテクチャは、それ自身、冗長であるデータメモリ21および71を有しており、その場合には、メモリモジュール1021のエラーの後、後者は、欠陥があるものとして、確実に識別されて、除外した。全体として、ここで記述された制御用コンピュータシステムは、改善されたやり方で安全性関連機能を提供し、確実に欠陥があるコンポーネントを識別し、除外する。1つの実施例は、少なくとも2つのプロセッサペア、エラーを検知するための少なくとも2つの比較ユニット比較器、少なくとも1つのメモリ、少なくとも1つの周辺ユニット、例えば、スイッチングマトリクスの形式であって、プロセッサによるメモリおよび周辺ユニットに対するアクセスを許可するか、またはブロックするものである少なくとも1つのスイッチング素子を有するものであり、好ましくは、共通のエラー処理ユニット回復制御装置;SAMモジュールは、少なくとも2つの比較ユニットから信号を受信し、かつ、完全に、または選択的にプロセッサ、またはプロセッサペアによるメモリ、およびまたは、周辺ユニットに対するアクセスを阻止するために少なくとも1つのスイッチングマトリクスを制御する制御用コンピュータシステム制御装置を提供する。1つの実施例によれば、エラーが生じるときは、周辺ユニットに対するアクセスは、特にアクチュエータが、少なくとも1つの欠陥があるプロセッサペアによって防止される。1つの実施例によれば、周辺ユニットは、エラー処理ユニット回復制御ユニット;SAMモジュールによって制御される周辺ブリッジによって毎回アクセスされる。1つの実施例によれば、少なくとも2つの比較ユニットは、プロセッサペアにおける2台のプロセッサに直接接続される。1つの実施例によれば、比較ユニットは、少なくとも2つの別個のスイッチングマトリクスを有し、第2スイッチングマトリクスが、第2周辺ブリッジおよび少なくとも1つの第2メモリに接続されている間に、第1スイッチングマトリクスは、第1周辺ブリッジおよび少なくとも第1メモリに接続される。1つの実施例によれば、プロセッサペアにおける第1プロセッサは、第1スイッチングマトリクスに接続され、また、プロセッサペアにおける第2プロセッサは、第2スイッチングマトリクスに接続される。1つの実施例によれば、第1スイッチングマトリクスと第1メモリとの間で送信されたデータは、比較ユニットによって第2スイッチングマトリクスと第2メモリとの間で送信されたデータと比較され、そのデータは、第1スイッチングマトリクスと第1周辺ブリッジとの間で送信し、比較ユニットによって第2スイッチングマトリクスと第2周辺ブリッジとの間で送信されたデータと比較される。1つの実施例によれば、マルチプレクサは、それぞれに、プロセッサとスイッチングマトリクスと間に位置し、マルチプレクサは、プロセッサペアにおける第1プロセッサが第2スイッチングマトリクスにアクセスすることができるように接続され、また、エラー処理ユニット回復ユニット、SAMモジュールが、したがってマルチプレクサを制御するとすぐに、プロセッサペアにおける第2プロセッサは、第1スイッチングマトリクスにアクセスすることができる。1つの実施例によれば、少なくとも1つのスイッチングマトリクスは、メモリまたは周辺ユニットへのアクセスをブロックすることができ、または、1つの、外部、または内部の、好ましくは、不揮発性のメモリにおける前記アクセスを記録することができる監視ユニットを有する。1つの実施例によれば、エラー処理ユニットは、間に置かれたスイッチングマトリクスなしの少なくとも2つの比較ユニットから、直接、信号を受信する。1つの実施例によれば、制御用コンピュータシステムは、第1および第2揮発性メモリおよび不揮発性メモリを有し、特に、1つのプロセッサペアは、第1揮発性メモリにアクセスし、さらに第2プロセッサペアは、第2揮発性メモリにアクセスし、さらには、両方のプロセッサペアは、1つの不揮発性メモリにアクセスする。1つの実施例によれば、プロセッサペアにおける第1プロセッサは、少なくとも1つのスイッチングマトリクスに直接接続され、すなわち、プロセッサペアにおける第2プロセッサがデータに対して単に読込アクセス有する間に、メモリ、およびまたは、周辺ユニットに対して読出書込アクセスを有することができ、特に、プロセッサペアにおける両方のプロセッサに直接接続された比較ユニットは、その接続されたプロセッサペアにおける第2プロセッサにデータを送信する。1つの実施例は、少なくとも2つのプロセッサペア、エラーを検知するための少なくとも2つの比較ユニット、プロセッサまたはプロセッサペアによるメモリおよびまたは周辺機器へのアクセスを許可するか、またはブロックする少なくとも1つのスイッチングマトリクス、少なくともスイッチングマトリクスを制御することができる少なくとも1つのエラー処理ユニット、を有する制御用コンピュータシステムを制御するための方法を提供し、その方法は、プロセッサペアが、エラーなしモードの機能を提供するために、異なるプログラムを実行することができるような方法で実行され、そして、エラーが生じる場合、エラーなしのプロセッサペアは、欠陥があるプロセッサペアのいくつかの機能を少なくとも仮定する。1つの実施例によれば、制御用コンピュータによって駆動された装置の安全性に重大な機能は、エラーの発生と無関係に実行される。1つの実施例によれば、エラーが生じるときに、非安全性重大機能は、少なくとももはや部分的に提供されない。1つの実施例によれば、エラーが生じたときに、欠陥があるプロセッサ、またはプロセッサペアによる周辺機器へのアクセスは、ブロックされる。1つの実施例によれば、エラーが生じた後、欠陥があるプロセッサペアは、診断プログラムを実行する。1つの実施例によれば、生じたエラーは、分類され、区別が、少なくとも間欠エラーと永久エラーとの間になされる。1つの実施例によれば、永久エラーが生じた後、欠陥があるプロセッサペアは、永久に非作動化される。1つの実施例によれば、欠陥があるプロセッサペアが、検知されている永久エラーのない診断プログラムを介して実行したときは、両方のプロセッサペアは、再度、異なるプログラムを実行することができる。1つの実施例によれば、エラー処理ユニットは、不揮発性メモリにおけるエラーの発生を記録する。1つの実施例によれば、生じたエラーの数、およびまたは、頻度が、所定のしきい値を超過する場合、プロセッサペアは、永久に非作動化される。1つの実施例によれば、上に記述された制御用コンピュータシステムのうちの1つは、特に、ブレーキシステムを制御するか、または規制するために自動車両において使用することができる。この発明は、この場合に記述された代表的な実施例に限定されないが、むしろ適切に拡張し、かつ修正することができる。以下の請求項は、この発明を一般的に定義するために、第1の、拘束されない試みである。