特許 6903784 車両システム、車両およびこの種の車両システムの動作方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6903784

(24)【登録日】2021年6月25日

(45)【発行日】2021年7月14日

(54)【発明の名称】車両システム、車両およびこの種の車両システムの動作方法

(51)【国際特許分類】

   G06F 9/4401 20180101AFI20210701BHJP

   G06F 9/455 20060101ALI20210701BHJP

【ＦＩ】

   G06F9/4401

   G06F9/455 150

【請求項の数】21

【外国語出願】

【全頁数】21

(21)【出願番号】特願2020-42558(P2020-42558)

(22)【出願日】2020年3月12日

(65)【公開番号】特開2020-149690(P2020-149690A)

(43)【公開日】2020年9月17日

【審査請求日】2020年3月12日

(31)【優先権主張番号】10 2019 203 377.6

(32)【優先日】2019年3月13日

(33)【優先権主張国】DE

(73)【特許権者】

【識別番号】508097870

【氏名又は名称】コンチネンタル オートモーティヴ ゲゼルシャフト ミット ベシュレンクテル ハフツング

【氏名又は名称原語表記】Ｃｏｎｔｉｎｅｎｔａｌ Ａｕｔｏｍｏｔｉｖｅ ＧｍｂＨ

(74)【代理人】

【識別番号】100114890

【弁理士】

【氏名又は名称】アインゼル・フェリックス＝ラインハルト

(74)【代理人】

【識別番号】100098501

【弁理士】

【氏名又は名称】森田 拓

(74)【代理人】

【識別番号】100116403

【弁理士】

【氏名又は名称】前川 純一

(74)【代理人】

【識別番号】100135633

【弁理士】

【氏名又は名称】二宮 浩康

(74)【代理人】

【識別番号】100162880

【弁理士】

【氏名又は名称】上島 類

(72)【発明者】

【氏名】アンドレアス ゴルトマン

(72)【発明者】

【氏名】シュテフェン エーアハート

【審査官】 石川 雄太郎

(56)【参考文献】

【文献】 米国特許出願公開第２０１８／０２２５１４０（ＵＳ，Ａ１）

【文献】 特表２０１４−５３１０９９（ＪＰ，Ａ）

【文献】 特表２００３−５０８６７４（ＪＰ，Ａ）

【文献】 Karthik, S., et al.，Hypervisor based approach for integrated cockpit solutions. ，In 2018 IEEE 8th International Conference on Consumer Electronics-Berlin (ICCE-Berlin)，2018年09月，p. 1-6

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ８／００−８／３８

Ｇ０６Ｆ ８／６０−８／７７

Ｇ０６Ｆ ９／４４−９／４４５

Ｇ０６Ｆ ９／４５１

Ｇ０６Ｆ ９／４５５

(57)【特許請求の範囲】

【請求項1】

車両システム（１，１０）であって、前記車両システムは、
ハードウェアレベル（２）と、
第１のオペレーティングシステム（３）と、
前記ハードウェアレベル（２）上に集積されており、第２のオペレーティングシステム（６）を備える仮想機械と、
ハイパーバイザ（５，１２）とを有しており、前記ハイパーバイザは、前記ハードウェアレベル（２）上の前記仮想機械を動作させるように構成されており、これによって前記第１のオペレーティングシステム（３）と前記第２のオペレーティングシステム（６）とが、前記ハードウェアレベル（２）上で並行して動作可能になる車両システムにおいて、
前記第１のオペレーティングシステム（３）上で、少なくとも１つの第１のアプリケーション（４）が実行可能であり、かつ前記第２のオペレーティングシステム（６）上で、少なくとも１つの第２のアプリケーション（７）が実行可能であり、
前記少なくとも１つの第１のアプリケーション（４）は、前記少なくとも１つの第２のアプリケーション（７）と比べて、より高い安全基準を有しており、
前記第２のオペレーティングシステム（６）は、前記第１のオペレーティングシステム（３）が停止状態の間、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させられるように構築されている
ことを特徴とする車両システム（１，１０）。

【請求項2】

前記車両システム（１，１０）の運転開始時に、前記第１のオペレーティングシステム（３）のリスタートおよび前記第２のオペレーティングシステム（６）の前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードからの起動が実行可能である、請求項１記載の車両システム（１，１０）。

【請求項3】

前記少なくとも１つの第１のアプリケーション（４）および前記少なくとも１つの第２のアプリケーション（７）が含まれており、
前記少なくとも１つの第２のアプリケーション（７）が前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにあるときには、前記少なくとも１つの第１のアプリケーション（４）は停止状態にある、請求項１または２記載の車両システム（１，１０）。

【請求項4】

前記車両システム（１，１０）の運転開始時に、前記少なくとも１つの第１のアプリケーション（４）のリスタートと、前記少なくとも１つの第２のアプリケーション（７）の前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードからの起動とが実行可能である、請求項３記載の車両システム（１，１０）。

【請求項5】

前記ハイパーバイザ（５，１２）は、前記車両システム（１，１０）の運転休止時にオフされるように構築されており、かつ前記車両システム（１，１０）の運転開始時にリスタートされるように構築されている、請求項１から４までのいずれか１項記載の車両システム（１，１０）。

【請求項6】

前記第１のオペレーティングシステム（３）は、前記第２のオペレーティングシステム（６）と比べて、より高い安全基準を有している、請求項１から５までのいずれか１項記載の車両システム（１，１０）。

【請求項7】

前記ハードウェアレベル（２）は、Ｓｙｓｔｅｍ−ｏｎ−Ｃｈｉｐとして構成されている、請求項１から６までのいずれか１項記載の車両システム（１，１０）。

【請求項8】

前記ハードウェアレベル（２）は、動作手段を有しており、
前記ハイパーバイザ（５，１２）は、前記第１のオペレーティングシステム（３）と前記第２のオペレーティングシステム（６）とが相互に無関係に動作可能であるように、前記動作手段を前記第１のオペレーティングシステム（３）上および第２のオペレーティングシステム（６）上に分配するように構築されている、請求項１から７までのいずれか１項記載の車両システム（１，１０）。

【請求項9】

複数の前記動作手段のうちの少なくとも１つの動作手段の区分が実行されるように、前記ハイパーバイザ（５，１２）は構築されており、これは、前記ハイパーバイザ（５，１２）が、前記少なくとも１つの動作手段の第１の部分領域を前記第１のオペレーティングシステム（３）に割り当て、前記少なくとも１つの動作手段の第２の部分領域を前記第２のオペレーティングシステム（６）に割り当てることによって行われる、請求項８記載の車両システム（１，１０）。

【請求項10】

前記ハイパーバイザ（５，１２）は、前記少なくとも１つの第１のアプリケーション（４）および前記少なくとも１つの第２のアプリケーション（７）を、前記ハードウェアレベル（２）上の第１および第２のオペレーティングシステムパーティションにおいて提供するように構築されている、請求項１から９までのいずれか１項記載の車両システム（１，１０）。

【請求項11】

前記車両システム（１０）は、前記第１のオペレーティングシステム（３）を備える第１の仮想機械と、前記第２のオペレーティングシステム（６）を備える第２の仮想機械とを含んでおり、
前記第１の仮想機械および前記第２の仮想機械は前記ハードウェアレベル（２）上に集積されており、これによって、前記第１の仮想機械と前記第２の仮想機械とが並行して前記ハードウェアレベル（２）上で動作可能であり、
前記第１のオペレーティングシステム（３）上で前記少なくとも１つの第１のアプリケーション（４）が実行可能であり、前記第２のオペレーティングシステム（６）上で前記少なくとも１つの第２のアプリケーション（７）が実行可能であり、
前記少なくとも１つの第１のアプリケーションは前記少なくとも１つの第２のアプリケーションと比べて、より高い安全基準を有しており、
前記車両システム（１０）は、ハイパーバイザ（１２）を含んでおり、前記ハイパーバイザは、前記第１の仮想機械と前記第２の仮想機械とが前記ハードウェアレベル（２）上で動作するように構成されており、
前記第２の仮想機械は、前記第１の仮想機械が停止状態の間、前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させられるように構成されている、請求項１から１０までのいずれか１項記載の車両システム（１０）。

【請求項12】

前記ハードウェアレベル（２）は、少なくとも１つの動作手段を含んでおり、
前記ハイパーバイザ（１２）は、複数の前記動作手段のうちの少なくとも１つの動作手段の区分が実行されるように構築されており、これは、前記ハイパーバイザ（１２）が、前記少なくとも１つの動作手段の第１の部分領域を前記第１の仮想機械に割り当て、前記少なくとも１つの動作手段の第２の部分領域を前記第２の仮想機械に割り当てることによって行われる、請求項１１記載の車両システム（１０）。

【請求項13】

前記車両システム（１０）の運転開始時に、前記第１の仮想機械の前記第１のオペレーティングシステム（３）のリスタートと、前記第２の仮想機械の前記第２のオペレーティングシステム（６）の前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードからの起動とが実行可能である、請求項１１または１２記載の車両システム（１０）。

【請求項14】

請求項１から１３までのいずれか１項記載の車両システム（１，１０）を有している、車両。

【請求項15】

前記車両システム（１，１０）は少なくとも１つのコンポーネントを有しており、
前記車両システム（１，１０）は、前記車両システム（１，１０）が前記少なくとも１つのコンポーネントと通信するためのインタフェースを有している、請求項１４記載の車両。

【請求項16】

車両システム（１，１０）の動作方法であって、
前記方法は、
ハードウェアレベル（２）上に第１のオペレーティングシステム（３）を提供するステップと、
前記ハードウェアレベル（２）上にハイパーバイザ（５，１２）を提供するステップと、
第２のオペレーティングシステム（６）を備える仮想機械を前記ハイパーバイザ（５，１２）によって提供するステップであって、これによって、前記第１のオペレーティングシステム（３）と前記第２のオペレーティングシステム（６）とが並行して前記ハードウェアレベル（２）上で動作可能であり、ここで前記第１のオペレーティングシステム（３）上で少なくとも１つの第１のアプリケーション（４）が実行可能であり、前記第２のオペレーティングシステム（６）上で少なくとも１つの第２のアプリケーション（７）が実行可能であり、ここで前記少なくとも１つの第１のアプリケーション（４）は、前記少なくとも１つの第２のアプリケーション（７）と比べて、より高い安全基準を有している、ステップと、
前記第１のオペレーティングシステム（３）が停止状態の間、前記第２のオペレーティングシステム（６）をＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させるステップと
を含んでいる
ことを特徴とする、車両システム（１，１０）の動作方法。

【請求項17】

前記ハードウェアレベル（２）上にハイパーバイザ（１２）を提供するステップと、
前記第１のオペレーティングシステム（３）を備える第１の仮想機械を前記ハイパーバイザ（１２）によって提供するステップと、
前記第２のオペレーティングシステム（６）を備える第２の仮想機械を前記ハイパーバイザ（１２）によって提供するステップであって、これによって、前記第１の仮想機械と前記第２の仮想機械とが並行して前記ハードウェアレベル（２）上で動作可能であり、ここで前記第１のオペレーティングシステム（３）上で少なくとも１つの第１のアプリケーション（４）が実行可能であり、かつ前記第２のオペレーティングシステム（６）上で少なくとも１つの第２のアプリケーション（７）が実行可能であり、ここで、前記少なくとも１つの第１のアプリケーション（４）は、前記少なくとも１つの第２のアプリケーション（７）と比べて、より高い安全基準を有している、ステップと、
前記第１の仮想機械が停止状態の間、前記第２の仮想機械を前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させるステップと
を含んでいる、請求項１６記載の方法。

【請求項18】

動作する車両システム（１，１０）を提供するステップと、
前記第２のオペレーティングシステム（６）を前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させ、前記第１のオペレーティングシステム（３）を終了するステップと
を含んでいる、請求項１６または１７記載の方法。

【請求項19】

停止状態にある前記第１のオペレーティングシステム（３）を提供するステップと、
前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにある前記第２のオペレーティングシステム（６）を提供するステップと、
前記車両システム（１，１０）の運転開始時に、リスタートによって前記第１のオペレーティングシステム（３）を開始するステップと、
前記車両システム（１，１０）の運転開始時に、前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードから前記第２のオペレーティングシステム（６）を開始するステップと
を含んでいる、請求項１８記載の方法。

【請求項20】

動作する車両システム（１，１０）を提供するステップと、
前記少なくとも１つの第２のアプリケーション（７）を前記Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させ、前記少なくとも１つの第１のアプリケーション（４）を終了するステップと
を含んでいる、請求項１６から１９までのいずれか１項記載の方法。

【請求項21】

コンピュータプログラムであって、
前記コンピュータプログラムは、請求項１から１３までのいずれか１項記載の車両システム（１，１０）に請求項１６から２０までのいずれか１項記載のステップを実行させる命令を含んでいる
コンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ハードウェアレベルと、第１のオペレーティングシステムと、第２のオペレーティングシステムを備えた仮想機械と、ハイパーバイザとを含んでいる車両システムに関する。ここで、仮想機械はハードウェアレベル上に集積されており、ハイパーバイザは、ハードウェアレベル上の仮想機械を動作させるように構成されているので、第１のオペレーティングシステムと第２のオペレーティングシステムとがハードウェアレベル上で並行して動作可能である。さらに本発明は車両、この種の車両システムの動作方法およびコンピュータプログラムに関する。

【0002】

多くの車両は、車両システムを含んでおり、これによって車両は、多数の異なるアプリケーション、例えばインフォテインメントシステム機能、例えばオーディオまたはナビゲーション機能を動作させることができる。車両システムを制御するために、ＣＰＵは標準的なオペレーティングシステム、例えばＬｉｎｕｘオペレーティングシステムで動作する。

【0003】

車両システムの開始時に、例えばＬｉｎｕｘオペレーティングシステムを開始するために、ＣＰＵは比較的長い時間を必要とする。したがって、ユーザーは、車両の開始後に所望の機器が自身の運転開始処理を終え、車両システムが使用可能になるまで、長い時間待たなくてはならない。これによって、ユーザーは例えば迅速に、バックカメラの機能または車両内の他の重要なアプリケーションを使用することができなくなる。Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードへ車両システム全体を移行させることによって、より迅速な開始過程を実現することができる。しかし、これによって安全な動作様式が保証されなくなってしまう。

【0004】

独国特許出願公開第１０２０１４２１５４１０号明細書は、車両の車両システムを開示しており、この車両システムは、第１のプロセッサと第２のプロセッサとを備える車載計算機システムとコンピュータ読み出し可能なメモリとを含んでおり、ここで第１のプロセッサはオペレーティングシステムを実行し、第２のプロセッサは車両制御システムと接続されており、コンピュータ読み出し可能なメモリは、第１のプロセッサによって実行可能な指示を格納しており、これによって、車両がオフ状態の間、車載計算機システムが、揮発性のメモリによって、Ｓｕｓｐｅｎｄモードにおいて、スタンバイで動作させられ、選択されたイベントの前のリスタートが遂行可能か否かが確認され、選択されたイベントの前のリスタートが遂行可能であることが確認されると、車載計算機システムのリスタートが実行される。

【0005】

独国特許出願第１１２０１６００１３７７Ｔ５号明細書は、一次ＣＰＵと、周辺機器と、二次ＣＰＵとを備える車載システムを開示しており、一次ＣＰＵは車両内に取り付けられており、汎用オペレーティングシステムで動作し、周辺機器は一次ＣＰＵによって制御され、二次ＣＰＵは、リアルタイムオペレーティングシステムで動作し、ここで二次ＣＰＵは、運転開始時に初期化処理を周辺機器上で実行し、一次ＣＰＵに周辺機器の制御を割り当てる。

【0006】

独国特許出願公開第１０２０１４２２４４８５号明細書は、車両用の車載電源網を開示しており、これは、電流源と少なくとも１つのサンプリング制御装置とを含んでおり、このサンプリング制御装置は、少なくとも１つの別の制御装置および／または少なくとも１つのスイッチングユニットの状態信号を、所定のサイクル時間で刻時してサンプリングするように構成されている。ここで車載電源網は、これが第１の動作状態、いわゆるノーマル動作状態から第２の動作状態、いわゆるスタンバイ動作状態に切り替え可能であるように構成されており、スタンバイ動作状態において、車載電源網が消費するエネルギーはノーマル動作状態の場合と比べて少ない。さらに、車載電源網は、ノーマル動作状態において、スタンバイ動作状態の場合と比べて、より短いサイクル時間で状態信号を検出するように構成されている。ここでサンプリング制御装置は、スタンバイ動作状態において、所定の交換パラメータによって自動的に、サイクル時間が、第１のスタンバイサイクル時間から第２のスタンバイクサイクル時間に変えられるように構成されている。

【0007】

独国特許出願公開第１０２０１２２０５３０１号明細書は、車両における電子的なデータ処理を制御するための計算機アーキテクチャを開示しており、これは、電子的なデータ処理を実行するための計算機装置と、少なくとも２つの仮想機械と、仮想化レイヤーとを有しており、ここで２つの仮想機械のうちの第１の仮想機械は第１のオペレーティングシステムを含んでおり、２つの仮想機械のうちの第２の仮想機械は第２のオペレーティングシステムを含んでおり、仮想化レイヤーは、第１のオペレーティングシステムと第２のオペレーティングシステムとが計算機装置上で並行して動作可能であるように構成されており、ここで第２のオペレーティングシステムは、第１のオペレーティングシステムと比べて、より高い安全性要求を満たす。

【0008】

従来技術に基づいて、本発明の１つの課題は、使用準備に対する待機時間と安全な動作様式とに関して改善されている車両システム、車両および方法を提供することである。

【0009】

上述の課題は、請求項１の特徴部分に記載されている構成を有する車両システムの記述によって、ならびに請求項１４の特徴部分に記載されている構成を有する車両の記述によって解決される。さらに上述の課題は、請求項１６の特徴部分に記載されている構成を有する、車両システムの動作方法の記述によって解決される。さらに上述の課題は、請求項２１の特徴部分に記載されている構成を有するコンピュータプログラムの記述によって解決される。

【0010】

従属請求項には、別の有利な措置が挙げられており、これらは、さらなる利点を得るために、任意に相互に組み合わせ可能である。

【0011】

上述の課題は、車両システムの記述によって解決され、この車両システムは、
ハードウェアレベルと、
第１のオペレーティングシステムと、
ハードウェアレベル上に集積されており、第２のオペレーティングシステムを備える仮想機械と、
ハイパーバイザとを有しており、ハイパーバイザは、ハードウェアレベル上の仮想機械を動作させるように構成されており、これによって第１のオペレーティングシステムと第２のオペレーティングシステムとが、ハードウェアレベル上で並行して動作可能になり、
第１のオペレーティングシステム上で、少なくとも１つの第１のアプリケーションが実行可能であり、かつ第２のオペレーティングシステム上で、少なくとも１つの第２のアプリケーションが実行可能であり、
少なくとも１つの第１のアプリケーションは、少なくとも１つの第２のアプリケーションと比べて、より高い安全基準を有しており、
第２のオペレーティングシステムは、第１のオペレーティングシステムが停止状態の間、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させられるように構築されている。

【0012】

ハードウェアレベルは、しばしば、計算システムまたは計算ユニットとも称され、有利にはプロセッサ、メインメモリならびにインタフェースを含んでいる。

【0013】

ここでハイパーバイザは、その上に仮想機械が構成されているハードウェアレベルと仮想機械との間の抽象化レイヤーとして構成されている。実装は、純粋にハードウェアベースで行われるか、純粋にソフトウェアベースで行われるか、またはこれらの組み合わせによって行われる。ハイパーバイザは特に、仮想機械を提供し、管理するように構成されている。仮想機械は有利には、実際にハードウェア内で存在している計算機または仮説の計算機の計算機アーキテクチャを手本とする。仮想機械のオペレーティングシステムはしばしば、ゲストオペレーティングシステム（ゲストＯＳ）とも称される。ハイパーバイザは通常、１つの物理的な計算機システム上で同時に、複数の仮想機械が動作することを可能にする。ハイパーバイザは仮想化レイヤーとも称され得る。

【0014】

ハイパーバイザはＴｙｐ０、Ｔｙｐ１またはＴｙｐ２のハイパーバイザとして構成されていてよく、かつ第１の仮想機械の他に、例えば別の仮想機械を提供する。

【0015】

Ｔｙｐ１のハイパーバイザは、直接的にハードウェアレベル上に集積されており、必要条件をすべて満たしたオペレーティングシステムを必要としない。仮想機械ならびに例えばメインメモリ、ＣＰＵである、しばしばリソースとも称される動作手段のその割り当ては、動的に最小のオペレーティングシステムによってサポートされる、またはオペレーティングシステムによって全くサポートされない。Ｔｙｐ１のハイパーバイザの代表は、とりわけ、Ｍｉｃｒｏｓｏｆｔ Ｈｙｐｅｒ−ＶまたはＣｉｔｒｉｘ ＸｅｎＳｅｒｖｅｒであり、または組み込みシステムの場合には、Ｓｙｓｇｏｓ ＰｉｋｅＯＳ、Ｇｒｅｅｎ Ｈｉｌｌｓ Ｉｎｔｅｇｒｉｔｙ、Ｆｒｅｅｓｃａｌｅｓ Ｔｏｐａｚである。ハイパーバイザは、複数の仮想機械が同時にハードウェアレベル上で実行可能であるように構築されている。

【0016】

Ｔｙｐ２のハイパーバイザは、必要条件をすべて満たしたメインオペレーティングシステム内に集積される。これは、仮想機械によって要求された動作手段の最終的な割り当てを担う。Ｔｙｐ２のハイパーバイザは、ここから出発して、仮想機械をコントロールする。既知の代表は、ＶＭｗａｒｅ Ｗｏｒｋｓａｔｉｏｎ、ＶｉｒｔｕａｌＢｏｘまたはＬｉｎｕｘ Ｋｅｒｎｅｌ−ｂａｓｅｄ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ（ＫＶＭ）である。

【0017】

Ｔｙｐ０のハイパーバイザは、サポートするオペレーティングシステムを伴わずに、直接的に、ハードウェアレベル上に集積される。

【0018】

高い安全基準を伴う、安全に関連する第１の機能もしくはアプリケーションは、例えば、インストルメント・クラスタアプリケーション、例えば車両における監視機能および制御機能である。クリチカルでない第２のアプリケーション、すなわち、比較的低い安全基準を伴うアプリケーションは、例えば、インフォテインメントシステムアプリケーションによって得られる。インフォテインメントシステムアプリケーションはここで、インフォテインメントシステムの機能に関する。インフォテインメントシステムは例えばカーラジオもしくはマルチメディアシステム、ナビゲーションシステムおよびハンズフリー通話装置を含んでいる。

【0019】

この種のインフォテインメントシステムは通常、ＮＡＮＤメモリユニットを有しており、このＮＡＮＤメモリユニットは、複雑な起動プロセスを必要とする。

【0020】

高い安全基準もしくは低い安全基準を伴うアプリケーションへの分割は、例えばＩＳＯ２６２６２（「Ｒｏａｄ ｖｅｈｉｃｌｅｓ − Ｆｕｎｃｔｉｏｎａｌ ｓａｆｅｔｙ」）、自動車における安全に関連する電気的／電子的なシステムに対するＩＳＯ規格を用いて行われ得る。

【0021】

本発明では、車両システム全体へのＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードの適用は危険であることが識別されている。なぜなら、開始の失敗の確率または定義されていない開始の確率が極めて高いからである。ハードウェアレベルのハードウェア、例えばメモリおよびオペレーティングシステムが永続的にオンにされている状態によって、メモリリークおよびメモリフラグメンテーションが、車両システムの動作に決定的に影響を与えないことが保証される。

【0022】

車両システム全体をＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させる代わりに、システムは次のように区分される。すなわち、第１のオペレーティングシステムが停止状態の間、第２のオペレーティングシステムが、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させられるように構築されているように区分される。ここで、第１のオペレーティングシステム上で少なくとも１つの第１のアプリケーションが実行可能であり、第２のオペレーティングシステム上で少なくとも１つの第２のアプリケーションが実行可能であり、少なくとも１つの第１のアプリケーションは、少なくとも１つの第２のアプリケーションと比べて、より高い安全基準を有している。

【0023】

すなわち、システムのクリチカルでない部分だけが、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させられる。システムのクリチカルな部分は、リスタートされ、これによって、安全な起動および安全な動作が保証される。

【0024】

これによって、特に、その上で、安全に関してクリチカルなアプリケーションが実行されるオペレーティングシステムのロバスト性および迅速な利用可能性が保証され、また、クリチカルでないアプリケーションを伴う、安全に関してクリチカルでないオペレーティングシステムは、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードによって迅速に利用可能になる。これによって、一方では、車両システムの迅速な利用可能性が保証され、他方では、車両システムの安全な動作が保証される。

【0025】

車両システムの電流消費は最小化される。

【0026】

有利には、第１のオペレーティングシステムは、第２のオペレーティングシステムと比べて、より高い安全基準を有している。したがって第１のオペレーティングシステムは、認証可能な、リアルタイム対応の、迅速に起動する、安全に関してクリチカルな機能／アプリケーションに対する第１のオペレーティングシステムとして構成されていてよい。第１のオペレーティングシステムは、例えば、ＡＵＴＯＳＡＲ（ＡＵＴｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ ＡＲｃｈｉｔｅｃｔｕｒｅ）オペレーティングシステムとして構成されていてよい。ここでＡＵＴＯＳＡＲは、電子的な制御機器に対するソフトウェアアーキテクチャである。さらに、第１のオペレーティングシステムは例えば、ＰｉｋｅＯＳとして構成されていてよい。これはリアルタイムオペレーティングシステムであり、分離カーネルに基づく、複数のパーティションタイプを有するハイパーバイザを、多数の別のオペレーティングシステムに対して提供する。ＰｉｋｅＯＳリアルタイムオペレーティングシステムは、認証要求を伴う、安全に関してクリチカルなアプリケーションのために構成されたものである。この種のオペレーティングシステムの他の例はＱＮＸであり、これは所有権を主張できる、ＰＯＳＩＸ対応のＵｎｉｘ系のリアルタイムオペレーティングシステムである。

【0027】

クリチカルでない機能／アプリケーションに対する第２のオペレーティングシステムは例えば、ハイレベルＯＳ（オペレーティングシステム）として構成されている。第２のオペレーティングシステムは例えば、Ｌｉｎｕｘオペレーティングシステム、Ｇｅｎｉｖｉオペレーティングシステム、ＷｉｎｄｏｗｓオペレーティングシステムまたはＡｎｄｒｏｉｄオペレーティングシステムであってよい。

【0028】

有利には、車両システムの運転開始時には、第１のオペレーティングシステムのリスタートおよび第２のオペレーティングシステムのＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードからの起動が実行可能である。

【0029】

有利には、車両システムは、少なくとも１つの第１のアプリケーションおよび少なくとも１つの第２のアプリケーションを含んでおり、ここで、少なくとも１つの第２のアプリケーションがＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにあるときには、少なくとも１つの第１のアプリケーションは停止状態にある。

【0030】

これによって、有利には、車両システムの運転開始時に、少なくとも１つの第１のアプリケーションのリスタートと、少なくとも１つの第２のアプリケーションのＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードからの起動とが実行可能である。これによって、安全に関してクリチカルな第１の１つ／複数のアプリケーションの安全な実行およびクリチカルでない第２の１つ／複数のアプリケーションの迅速な実行が行われる。

【0031】

有利な構成では、ハイパーバイザは、車両システムの運転休止時にオフされ、車両システムの運転開始時にリスタートされるように構築されている。これによって、ハイパーバイザの安全な動作様式が保証され得る。

【0032】

有利には、ハードウェアレベルは、Ｓｙｓｔｅｍ−ｏｎ−Ｃｈｉｐ（ＳｏＣ）として構成されている。有利にはＳｙｓｔｅｍ−ｏｎ−Ｃｈｉｐは、少なくとも１つのマイクロプロセッサと、メインメモリと、インタフェースと、バスとを含んでいる。Ｓｙｓｔｅｍ−ｏｎ−Ｃｈｉｐとは、実質的に、プログラミング可能な電子システムのすべての機能または機能の大部分が、１つのチップ、すなわち半導体基板上の集積回路上に組み込まれていることである。これは、モノリシック集積化とも称される。

【0033】

有利には、ハードウェアレベルは、動作手段を有しており、ここでハイパーバイザは、第１のオペレーティングシステムと第２のオペレーティングシステムとが相互に無関係に動作可能であるように、動作手段を第１のオペレーティングシステム上および第２のオペレーティングシステム上に分配するように構築されている。有利にはハイパーバイザは、次のように構築されている。すなわち、複数の動作手段のうちの少なくとも１つの動作手段の区分が実行されるように構築されている。これは、ハイパーバイザが、少なくとも１つの動作手段の第１の部分領域を第１のオペレーティングシステムに割り当て、少なくとも１つの動作手段の第２の部分領域を第２のオペレーティングシステムに割り当てることによって行われる。さらに、有利には、ハイパーバイザは次のように構築されている。すなわち、少なくとも１つの第１のアプリケーションおよび少なくとも１つの第２のアプリケーションを、ハードウェアレベル上の第１および第２のオペレーティングシステムパーティションにおいて提供するように構築されている。これによって、２つのオペレーティングシステムは同じハードウェアレベル上で動作可能である。これによって、安全に関してクリチカルなアプリケーションとクリチカルでないアプリケーションとが同じハードウェアを利用することができる。

【0034】

有利には、車両システムは、第１のオペレーティングシステムを備える第１の仮想機械と、第２のオペレーティングシステムを備える第２の仮想機械とを含んでおり、ここで第１の仮想機械および第２の仮想機械はハードウェアレベル上に集積されており、これによって、第１の仮想機械と第２の仮想機械とが並行してハードウェアレベル上で動作可能であり、ここで第１のオペレーティングシステム上で少なくとも１つの第１のアプリケーションが実行可能であり、第２のオペレーティングシステム上で少なくとも１つの第２のアプリケーションが実行可能であり、ここで、少なくとも１つの第１のアプリケーションは少なくとも１つの第２のアプリケーションと比べて、より高い安全基準を有している。車両システムは、ハイパーバイザを含んでおり、これは、第１の仮想機械と第２の仮想機械とがハードウェアレベル上で動作するように構成されており、ここで第２の仮想機械は、第１の仮想機械が停止状態の間、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させられるように構成されている。

【0035】

ここではとりわけ、Ｔｙｐ１またはＴｙｐ０のハイパーバイザが使用される。これによって、マルチコアプロセッサの効率的な利用が可能になる。マルチコアは、異なる仮想機械に割り当て可能である。

【0036】

有利には、ハードウェアレベルは、少なくとも１つの動作手段を含んでおり、ここでハイパーバイザは、次のように構築されている。すなわち、複数の動作手段のうちの少なくとも１つの動作手段の区分が実行されるように構築されている。これは、ハイパーバイザが、少なくとも１つの動作手段の第１の部分領域を第１の仮想機械に割り当て、少なくとも１つの動作手段の第２の部分領域を第２の仮想機械に割り当てることによって行われる。これによって、２つの仮想機械が容易に、相互に並行して動作可能になる。

【0037】

別の有利な構成では、車両システムの運転開始時に、第１の仮想機械の第１のオペレーティングシステムのリスタートと、第２の仮想機械の第２のオペレーティングシステムのＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードからの起動とが実行可能である。

【0038】

さらに上述の課題は、上述したような車両システムを有している車両の記述によって解決される。有利な構成では、車両システムは少なくとも１つのコンポーネントを有しており、ここでこの車両システムは、車両システムが少なくとも１つのコンポーネントと通信するためのインタフェースを有している。これらのコンポーネントは、例えば、インフォテインメントシステムまたはドライバーカメラであってよい。

【0039】

さらに、上述の課題は、車両システムの動作方法の記述によって解決され、この方法は、
・ハードウェアレベル上に第１のオペレーティングシステムを提供するステップと、
・ハードウェアレベル上にハイパーバイザを提供するステップと、
・第２のオペレーティングシステムを備える仮想機械をハイパーバイザによって提供するステップであって、これによって、第１のオペレーティングシステムと第２のオペレーティングシステムとが並行してハードウェアレベル上で動作可能であり、ここで第１のオペレーティングシステム上で少なくとも１つの第１のアプリケーションが実行可能であり、第２のオペレーティングシステム上で少なくとも１つの第２のアプリケーションが実行可能であり、ここで少なくとも１つの第１のアプリケーションは、少なくとも１つの第２のアプリケーションと比べて、より高い安全基準を有している、ステップと、
・第１のオペレーティングシステムが停止状態の間、第２のオペレーティングシステムをＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させるステップと
を含んでいる。

【0040】

車両システムのこれらの利点は、方法にも転用可能である。

【0041】

有利には、この方法は、
・ハードウェアレベル上にハイパーバイザを提供するステップと、
・第１のオペレーティングシステムを備える第１の仮想機械をハイパーバイザによって提供するステップと、
・第２のオペレーティングシステムを備える第２の仮想機械をハイパーバイザによって提供するステップであって、これによって、第１の仮想機械と第２の仮想機械とが並行してハードウェアレベル上で動作可能であり、ここで第１のオペレーティングシステム上で少なくとも１つの第１のアプリケーションが実行可能であり、第２のオペレーティングシステム上で少なくとも１つの第２のアプリケーションが実行可能であり、ここで、少なくとも１つの第１のアプリケーションは、少なくとも１つの第２のアプリケーションと比べて、より高い安全基準を有している、ステップと、
・第１の仮想機械が停止状態の間、第２の仮想機械をＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させるステップと
を含んでいる。

【0042】

有利には、この方法は、さらに、
・動作する車両システムを提供するステップと、
・第２のオペレーティングシステムをＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させ、第１のオペレーティングシステムを終了するステップと
を含んでいる。

【0043】

有利にはこの方法はさらに、
・動作する車両システムを提供するステップと、
・第２のオペレーティングシステムをＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させ、第１のオペレーティングシステムを終了するステップと、
・ハイパーバイザを終了し、停止するステップと
を含んでいる。

【0044】

別の有利な構成では、この方法はさらに、
・停止状態にある第１のオペレーティングシステムを提供するステップと、
・Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにある第２のオペレーティングシステムを提供するステップと、
・車両システムの運転開始時に、リスタートによって第１のオペレーティングシステムを開始するステップと、
・車両システムの運転開始時に、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードから第２のオペレーティングシステムを開始するステップと
を含んでいる。

【0045】

別の有利な構成では、この方法はさらに、
・動作する車両システムを提供するステップと、
・少なくとも１つの第１のアプリケーションを終了し、少なくとも１つの第２のアプリケーションをＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させるステップと
を含んでいる。

【0046】

有利には、ハードウェアレベルの少なくとも１つの動作手段の区分は、ハイパーバイザによって、少なくとも１つの動作手段の第１の部分領域を第１のオペレーティングシステムに割り当て、少なくとも１つの動作手段の第２の部分領域を第２のオペレーティングシステムに割り当てることによって行われる。

【0047】

有利にはこの方法は、上述した車両システム上で実施されるように構成されている。

【0048】

さらに、上述の課題は、コンピュータプログラムの記述によって解決され、このコンピュータプログラムは、上述した車両システムに上述したステップを実行させる命令を含んでいる。これによって、この方法を後からでも容易に、これに適した車両内にインストールすることができる。

【0049】

本発明の別の特徴、特性および利点は、添付の図面を参照した後続の説明から明らかになる。

【図面の簡単な説明】

【0050】

【図1】従来技術による第１の車両システム

【図2】従来技術による第２の車両システム

【図3】従来技術による第３の車両システム

【図4】従来技術による起動方法

【図5】第１の本発明の車両システム

【図6】第２の本発明の車両システム

【図7】本発明の起動方法

【0051】

本発明を詳細に、有利な実施例によって図示し、説明するが、本発明は開示される例に制限されない。当業者は、後続の特許請求の範囲によって規定されている本発明の保護範囲を逸脱することなく、本発明の変形を導出することができる。

【0052】

図１は、従来技術による車両システム１００を示している。車両内で使用される車両システム１００は、第１のオペレーティングシステム１０２を有する第１のハードウェアレベル１０１を含んでいる。第１のオペレーティングシステム１０２は、第１の安全に関してクリチカルな機能／アプリケーション１０３用に、すなわち、車両内で高い安全基準を有するアプリケーション用に構成されている。

【0053】

さらに、車両システム１００は、第２のオペレーティングシステム１１２を備える第２のハードウェアレベル１１１を含んでいる。第２のオペレーティングシステム１１２は、第２のクリチカルでない機能／アプリケーション１１３用に、すなわち、車両内で低い安全基準を有するアプリケーション用に構成されている。

【0054】

各ハードウェアレベル１０１、１１１は、ここで有利には、少なくとも１つのマイクロプロセッサ、Ｂｉｏｓ、メインメモリ（ＲＡＭ）および／またはフラッシュメモリ、クロックジェネレータならびに種々のインタフェースおよび複数のバスを含んでいる。

【0055】

さらにハードウェアレベル１０１、１１１は、例えばフラッシュメモリまたはＯＴＰメモリとしての起動メモリユニットもしくはブートＲＯＭメモリを有しており、ここには、起動プロセスを担当するプログラム要素が格納されている。

【0056】

ハードウェアレベル１０１、１１１は相互に物理的に別個にされており、例えば、これらは異なる集積回路上にある。

【0057】

ここで第１のオペレーティングシステム１０２は、安全に関してクリチカルな機能もしくは安全に関してクリチカルなアプリケーション１０３用に構成されており、第２のオペレーティングシステム１１２は、クリチカルでない機能もしくはクリチカルでないアプリケーション１１３用に構成されている。

【0058】

第２のハードウェアレベル１１１は、クリチカルでない機能／アプリケーション１１３用の第２のオペレーティングシステム１１２としてハイレベルＯＳ（オペレーティングシステム）を有している。第２のオペレーティングシステム１１２は例えば、Ｌｉｎｕｘ、Ｇｅｎｉｖｉ、ＷｉｎｄｏｗｓまたはＡｎｄｒｏｉｄであってよい。クリチカルでない機能は例えば、車両インフォテインメントシステムによって提供されている。車両インフォテインメントシステムは、ここでカーラジオもしくはマルチメディアシステム、ナビゲーションシステムおよび／またはハンズフリー通話装置用の機能を有し得る。

【0059】

この種の車両インフォテインメントシステムは通常、複雑な起動プロセスを必要とするＮＡＮＤメモリユニットを有している。

【0060】

第１のハードウェアレベル１０１は、第１のオペレーティングシステム１０２として、安全に関してクリチカルな機能／アプリケーション１０３用の認証可能な、リアルタイム対応の、迅速に起動する、第１のオペレーティングシステム１０２を有している。

【0061】

オペレーティングシステム１０２、１１２およびそのアプリケーション１０３、１１３はこれによって、相互に無関係に実行される。すなわち、オペレーティングシステム１０２、１１２は相互に無関係に動作させられ、さらに運転休止される。

【0062】

車両システム１００の起動は、以下のように行われる：全体的な車両システム１００、すなわちすべての２つのオペレーティングシステム１０２、１１２がリスタートされ、初期化される。すべての、独立したオペレーティングシステム１０２、１１２に対して起動性能が最適化される。

【0063】

図２は、従来技術による車両システム２００の別の例を示している。車両システム２００は、その上にハイパーバイザ（仮想化レイヤー）２０２が載置された、ハードウェアレベル２０１を有している。ハイパーバイザは、ハードウェアレベル２０１上に少なくとも２つの仮想機械を設ける。ここで第１の仮想機械は、安全に関してクリチカルな第１のアプリケーション１０３用の第１のオペレーティングシステム１０２を含んでいる。第１のオペレーティングシステム１０２は、上述したように、認証可能な、リアルタイム対応の、迅速に起動する第１のオペレーティングシステム１０２として構成されていてよい。第１のオペレーティングシステム１０２は、例えば、ＡＵＴＯＳＡＲ（ＡＵＴｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ ＡＲｃｈｉｔｅｃｔｕｒｅ）であってよい。ここでＡＵＴＯＳＡＲは、電子的な制御機器に対するソフトウェアアーキテクチャである。代替的に、第１のオペレーティングシステム１０２はＰｉｋｅＯＳとして構成されていてよい。これは、リアルタイムオペレーティングシステムである。ＰｉｋｅＯＳリアルタイムオペレーティングシステムは、認証要求を伴う、安全に関してクリチカルな第１のアプリケーション１０３のために実現されたものである。さらに、第１の仮想機械は、Ｉ／Ｏドライバならびにリアルタイムスケジューラを含んでいてよい。さらに、第１の仮想機械上で、安全に関してクリチカルな第１のアプリケーション１０３が実行可能である。これは、例えば、比較的高い安全基準を備えたインストルメント・クラスタアプリケーションであり得る。

【0064】

第２の仮想機械は、クリチカルでない第２のアプリケーション１１３用の第２のオペレーティングシステム１１２を有している。これは、例えばハイレベルＯＳ（オペレーティングシステム）、特に例えばＬｉｎｕｘ、Ｇｅｎｉｖｉ、ＷｉｎｄｏｗｓまたはＡｎｄｒｏｉｄである。さらに、第２の仮想機械は、同様に、Ｉ／Ｏドライバならびにスケジューラを含んでいてよい。クリチカルでない第２のアプリケーション１１３は、例えば、低い安全基準を備えるインフォテインメントアプリケーションであってよい。ハイパーバイザ２０２によって、仮想機械ひいては２つのオペレーティングシステム１０２、１１２は、相互にも、車両システム２００のハードウェアレベル２０１からも分離され得る。このために、Ｔｙｐ１またはＴｙｐ０のハイパーバイザが使用される。

【0065】

車両の停止時には、車両システム２００全体が、ＲＡＭ（データメモリ）におけるＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモード（ＳＴＲ）にされる。このようなＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードは、Ｓｔａｎｄｂｙモード（スリープモード）とも称される。これによって、車両システム２００の迅速な利用可能性が得られる。

【0066】

図３は、従来技術による別の車両システム３００を示している。ここでは、ハードウェアレベル２０１が設けられており、この上に、第１の安全に関してクリチカルなアプリケーション１０３用の第１のオペレーティングシステム１０２が直接的に集積されている。第１のオペレーティングシステム１０２は、上述したように、認証可能な、リアルタイム対応の、迅速に起動する第１のオペレーティングシステム１０２として構成され得る。

【0067】

車両システム３００は、ハイパーバイザ３０１を含んでおり、このハイパーバイザは次のように構築されている。すなわち、ハイパーバイザ３０１によって、ハードウェアレベル２０１上に設けられた、第２のクリチカルでないアプリケーション１１３用の第２のオペレーティングシステム１１２を有している仮想機械が、同時に、ハードウェアレベル２０１上で実行可能であるように構築されている。第１のオペレーティングシステム１０２はここで、この仮想機械を作成することができ、この仮想機械の上に第２のオペレーティングシステム１１２がホストされる。第１のオペレーティングシステム１０２は、この種の仮想機械を、例えば、ＡＰＩ（アプリケーションプログラミングインタフェース）を用いて作成することができる。これは例えば、Ｈｙｐｅｒｃａｌｌ−ＡＰＩ（ハイパーコールＡＰＩ）である。このために、Ｔｙｐ２のハイパーバイザが使用される。この種のＴｙｐ２のハイパーバイザは、必要条件をすべて満たした、メインオペレーティングシステム内に集積される。このメインオペレーティングシステムは、仮想機械によって要求される、ＣＰＵ等の動作手段の最終的な割り当てを担う。ハイパーバイザは、これに基づいて、仮想機械をコントロールする。既知の代表はＶＭｗａｒｅ Ｗｏｒｋｓｔａｔｉｏｎ、ＶｉｒｔｕａｌＢｏｘまたはＬｉｎｕｘ Ｋｅｒｎｅｌ−ｂａｓｅｄ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ（ＫＶＭ）である。

【0068】

したがって従来技術による車両システム２００、３００は、１つのメモリを伴う同じハードウェアレベル２０１上で動作する。しかし各アプリケーションは異なるオペレーティングシステムにおいて実行される。すなわち、ＡＳＩＬ（Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ：安全性要求レベル）認定オペレーティングシステム（ＯＳ）、ここでは第１のオペレーティングシステム１０２上のクリチカルな第１のアプリケーション１０３、およびハイレベルオペレーティングシステム（ＯＳ）、ここでは第２のオペレーティングシステム１１２、例えば、Ａｎｄｒｏｉｄ／Ｌｉｎｕｘ／Ｗｉｎｄｏｗｓ上のクリチカルでない第２のアプリケーション１１３であり、ここで分離は、ハイパーバイザ２０２、３０１によって保証される。

【0069】

車両の停止時に、車両システム２００、３００全体が、ＲＡＭ（データメモリ）におけるＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモード（ＳＴＲ）にされる。

【0070】

図４は、従来技術による、車両システム３００の起動方法を示している。

【0071】

すべてのオペレーティングシステム１０２、１１２およびアプリケーション１０３、１１３ならびにハイパーバイザは、ＲＡＭにおけるＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードから取り出される。

【0072】

第１のステップＳ１では、ステップＳ０のもとで提供されたハードウェア２０１上の第１のオペレーティングシステム１０２が、ハードウェアがＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて待機しているＲＡＭから開始される。第１のオペレーティングシステム１０２は例えば、ＡＵＴＯＳＡＲ（ＡＵＴｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ ＡＲｃｈｉｔｅｃｔｕｒｅ）、ＰｉｋｅＯＳ、ＱＮＸ Ｉｎｔｅｇｒｉｔｙとして構成されていてよい。

【0073】

第２のステップＳ２では、第１のオペレーティングシステム１０２上で、ＲＡＭにおいてＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて格納されている、安全に関してクリチカルなアプリケーション１０３が開始される。高い安全基準／安全要求を備えるアプリケーションは例えばインストルメント・クラスタアプリケーションである。これらは、有利には、複合インストルメントに割り当てられる。

【0074】

第３のステップＳ３では、ＲＡＭにおいてＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて格納されている、ハイパーバイザ３０１が開始される。このハイパーバイザは、仮想機械をハードウェアレベル２０１上に設ける。ハイパーバイザ３０１はここでは有利には、第１のオペレーティングシステム１０２内に集積されている、Ｔｙｐ２のハイパーバイザとして構成されている。これは、ハードウェアレベル２０１の動作手段、ＣＰＵ等の割り当てを担う。したがってハイパーバイザ３０１は、動作手段（リソース）を仮想機械に対して割り当てる。これは動作手段を次のように分配する。すなわち、オペレーティングシステムが１つだけしか存在しないかのように、必要な場合には第２のオペレーティングシステム１１２に対してすべてのリソースが利用可能であるように分配する。

【0075】

次に、第４のステップＳ４において、ハードウェアレベル２０１上で、仮想機械において動作させられる第２のオペレーティングシステム１１２、すなわちハイレベルオペレーティングシステム、例えばＬｉｎｕｘ、Ｗｉｎｄｏｗｓ、Ａｎｄｒｏｉｄがハイパーバイザ３０１によって開始される。第２のオペレーティングシステム１１２は、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて格納されているＲＡＭから開始される。

【0076】

第１のオペレーティングシステム１０２と第２のオペレーティングシステム１１２とが相互に分離され、並行して、並んで実行されるように、ハイパーバイザ３０１は構成されている。ハイパーバイザ３０１によって、クリチカルでない第２のアプリケーション１１３が、固有のオペレーティングシステムパーティションにおいて、ハードウェアレベル２０１上に集積される。

【0077】

第５のステップＳ５において、ＲＡＭにおいて、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて格納されているクリチカルでない第２のアプリケーション１１３が開始される。これは例えば、インフォテインメントアプリケーションに属する。

【0078】

したがって、車両システム３００全体が、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて格納されている、システム全体に及ぶＲＡＭからの起動のために開始される。

【0079】

しかし、安全に関してクリチカルなアプリケーション１０３およびそれに属するオペレーティングシステム１０２へのＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードの適用が危険であることが判明している。なぜなら、開始の失敗の確率または定義されていない開始の確率が極めて高いからである。車両システム３００の永続的にオンにされている状態、例えばメモリの永続的にオンにされている状態によって、メモリリークおよびメモリフラグメンテーションが、車両システム３００の動作に決定的に影響を与えないことが保証される。車両システム３００全体にＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードを適用することによって、クリチカルな第１のアプリケーション１０３の信頼性も、クリチカルでない第２のアプリケーション１１３の信頼性も脅かされる。

【0080】

ＲＡＭの内容が起動後に、すなわち、例えば車両および車両システム２００、３００の開始によって欠陥を有するという危険があり、これによって、車両システム３００全体が機能しなくなることがある。さらに、起動から起動へと、メモリリークおよびメモリフラグメンテーションの問題が積み重なる。

【0081】

同じことが、従来技術の車両システム２００に当てはまる。

【0082】

図５は、本発明の車両システム１を示している。車両システム１は、ハードウェアレベル２を含んでいる。これは、有利には少なくとも１つのマイクロプロセッサ、メインメモリ（ＲＡＭ）およびフラッシュメモリ、クロックジェネレータならびに種々のインタフェースおよび複数のバスを含んでいる。さらに、ハードウェアレベル２は、第１のオペレーティングシステム３を含んでいる。第１のオペレーティングシステム３は有利には、認証可能な、リアルタイム対応の、迅速に起動する、Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ（ＡＳＩＬ）の第１のオペレーティングシステム３として構成されている。第１のオペレーティングシステム３は、有利には、自動車内の安全に関連する電気的な／電子的なアプリケーションに対するＩＳＯ規格（「Ｒｏａｄ ｖｅｈｉｃｌｅｓ−Ｆｕｎｃｔｉｏｎａｌ ｓａｆｅｔｙ」）に関して選択される。第１のオペレーティングシステム３上では、有利には、安全に関してクリチカルな、第１のアプリケーション４が実行される。これらは有利には、インストルメント・クラスタアプリケーションとして構成されており、有利には複合インストルメントに割り当てられている。

【0083】

さらに、車両システム１は、仮想機械を設けるハイパーバイザ５を含んでいる。ハイパーバイザ５は有利には、Ｔｙｐ２のハイパーバイザとして構成されている。この種のＴｙｐ２のハイパーバイザは、必要条件をすべて満たしたメインオペレーティングシステム内に集積されている。これは、仮想機械によって要求される、例えばＣＰＵ等の動作手段の最終的な割り当てを担う。ハイパーバイザ５は、これに基づいて、仮想機械をコントロールする。既知の代表はＶＭｗａｒｅ Ｗｏｒｋｓｔａｔｉｏｎ、ＶｉｒｔｕａｌＢｏｘまたはＬｉｎｕｘ Ｋｅｒｎｅｌ−ｂａｓｅｄ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ（ＫＶＭ）である。

【0084】

ハイパーバイザ５は第２のオペレーティングシステム６を備える仮想機械をハードウェアレベル２上に設ける。ここで第１のオペレーティングシステム３上で、第１のアプリケーション４が実行され、第２のオペレーティングシステム６上で第２のアプリケーション７が実行され、ここで第１の、安全に関してクリチカルなアプリケーション４は、第２の、クリチカルでないアプリケーション７と比べて、より高い安全基準を有している。第２の、クリチカルでないアプリケーション７はここで、車両インフォテインメントシステムに割り当てられてよい。

【0085】

これは、第１の、安全に関連するアプリケーション４も、第２の、クリチカルでないアプリケーション７も、ハードウェアレベル２上で、１つの共通のメモリによって実行されることを意味している。ハードウェアレベル２は有利には、マルチコアプロセッサ、すなわち高性能マルチコアシステムを備えるＳｙｓｔｅｍ−ｏｎ−Ｃｈｉｐ（ＳｏＣ）として構成されている。

【0086】

ここで第２のオペレーティングシステム６は、第１のオペレーティングシステム３が停止状態の間、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにおいて動作させられるように構成されている。

【0087】

車両システム１全体をＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードにする代わりに、車両システム１は、ハイパーバイザ５を用いて次のように区分される。すなわち、クリチカルでないアプリケーション７を備える第２のオペレーティングシステム６を含んでいる、車両システム１の第２の部分９だけが、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させられるように区分される。第１の、安全に関連するアプリケーション４およびハイパーバイザ５を備える第１のオペレーティングシステム３を含んでいる、車両システム１の第１の部分８は、リスタートされる。

【0088】

したがって、本発明の車両システム１全体の起動を安全かつ迅速に行うことができる。

【0089】

したがって、第１の、安全に関連するアプリケーション４のロバスト性も、第２のアプリケーション７の迅速な利用可能性も保証される。第２のオペレーティングシステム６の第２のアプリケーション７、例えばインフォテインメント機能はクリチカルではない。すべてのオペレーティングシステム、すなわち第１のオペレーティングシステム３も第２のオペレーティングシステム６も、自身のアプリケーション４、７とともに、本発明の車両システム１において迅速に利用可能である。

【0090】

図６は、別の本発明の車両システム１０を示している。これは同様に、ハードウェアレベル２を含んでいる。さらにハードウェアレベル２上に、ハイパーバイザ１２が載置されている。ハイパーバイザ１２は、Ｔｙｐ１またはＴｙｐ０のハイパーバイザとして構成されている。Ｔｙｐ１のハイパーバイザは直接的に、ハードウェア上に集積され、必要条件をすべて満たしたオペレーティングシステムを必要としない、またはオペレーティングシステムを全く必要としない。仮想機械ならびにリソース（動作手段、例えばメインメモリ）のその割り当ては、動的に、最小のオペレーティングシステムによってサポートされる、またはオペレーティングシステムによって全くサポートされない。代表は、とりわけ、Ｍｉｃｒｏｓｏｆｔ Ｈｙｐｅｒ−ＶまたはＣｉｔｒｉｘ ＸｅｎＳｅｒｖｅｒであり、または組み込みシステムの場合には、Ｓｙｓｇｏｓ ＰｉｋｅＯＳ、Ｇｒｅｅｎ Ｈｉｌｌｓ Ｉｎｔｅｇｒｉｔｙ、Ｆｒｅｅｓｃａｌｅｓ Ｔｏｐａｚである。

【0091】

ハイパーバイザ１２は、第１のオペレーティングシステム３を伴う第１の仮想機械を設ける。第１のオペレーティングシステム３は、上述したように、認証可能な、リアルタイム対応の、迅速に起動するＡｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ（ＡＳＩＬ）の第１のオペレーティングシステム３として構成されていてよい。第１のオペレーティングシステム３上では、第１の、安全に関してクリチカルなアプリケーション４が実行される。

【0092】

ハイパーバイザ１２は、第２のオペレーティングシステム６を伴う第２の仮想機械を設ける。この上では、第２の、クリチカルでないアプリケーション７が実行される。

【0093】

車両システム１０全体をＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させる代わりに、車両システム１０は、ハイパーバイザ１２を用いて次のように区分される。すなわち、第２の仮想機械を含んでいる、車両システム１０の第２の部分１８だけが、Ｓｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードに移行させられるように区分される。安全に関連するアプリケーション４およびハイパーバイザ１２を備える第１のオペレーティングシステム３を含んでいる、車両システム１０の第１の部分１７は、リスタートされる。

【0094】

図７は、本発明の車両システム１（図５）に対する本発明の起動プロセスを示している。ここでは、ステップＡ０において、ハードウェアレベル２（図５）が提供される。

【0095】

はじめに、車両システム１(図５)の第１の部分８(図５)が、いわゆるコールドブートによってリスタートされる。コールドブートでは、車両システムは、停止されている状態から開始され、通常の動作状態に移行させられる。

【0096】

このために、ステップＡ１において、まずは、第１のオペレーティングシステム３（図５）がリスタートされる。

【0097】

次に第２のステップＡ２において、ハイパーバイザ５（図５）がリスタートされる。これは、仮想機械をハードウェアレベル２（図５）上に設ける。

【0098】

次にステップＡ３において、安全に関してクリチカルなアプリケーション４（図５）がリスタートされる。

【0099】

次に、車両システム１(図５)の第２の部分９が、いわゆるウォームブートによって開始される。ここでは、機能／アプリケーションがＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードから取り出される。

【0100】

ステップＡ４ではこのためにまずは、第２のオペレーティングシステム６がＳｕｓｐｅｎｄ−ｔｏ−ＲＡＭモードから取り出される。

【0101】

次のステップＡ５では、次に、クリチカルでないアプリケーション７が開始され、第２のオペレーティングシステム６上で実行される。

【0102】

本発明は、安全に関連するアプリケーションと安全に関連しないアプリケーションとがハイパーバイザ環境で実行されるすべての領域で使用可能である。

【符号の説明】

【0103】

１００ 従来技術による車両システム
１０１ 車両システム１００のハードウェアレベル
１０２ 車両システム１００の第１のオペレーティングシステム
１１１ 車両システム１００の第２のハードウェアレベル
１１２ 車両システム１００の第２のオペレーティングシステム
１０３ 車両システム１００の第１のアプリケーション
１１３ 車両システム１００の第２のアプリケーション
２００ 従来技術による車両システム２００
２０１ 車両システム２００のハードウェアレベル２０１
２０２ 車両システム２００のハイパーバイザ
３００ 従来技術による車両システム
３０１ 車両システム３００のハイパーバイザ
１ 車両システム
２ ハードウェアレベル
３ 第１のオペレーティングシステム
４ 安全に関連するアプリケーション
５ ハイパーバイザ
６ 第２のオペレーティングシステム
７ 第２の、クリチカルでないアプリケーション
８ 第１の部分
９ 第２の部分
１０ 本発明の第２の車両システム
１２ ハイパーバイザ
１７ 第１の部分
１８ 第２の部分
Ｓ，Ａ ステップ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】