用于机动车的用户界面的控制装置和用于使用于用户界面的控制装置运行的方法与流程

1.本发明涉及一种用于机动车的用户界面的控制装置，其包括片上系统，片上系统具有至少一个主处理器和可由片上系统使用的闪存装置，其中，片上系统包括使第一虚拟机和第二虚拟机生效的虚拟机监视器，其中，第一虚拟机构造用于执行至少一个尤其与机动车的驾驶运行相关的第一功能，并且第二虚拟机构造用于执行至少一个第二功能，尤其是用于用户的信息娱乐功能，其中，用于至少一个第一功能的至少一个可用性要求和/或安全要求和/或稳定性要求和/或驾驶就绪要求高于用于至少一个第二功能的这些要求。此外，本发明还涉及一种机动车和一种用于运行用于机动车的用户界面的控制装置的方法。


背景技术：

2.在现代的机动车中，具体地在其控制架构中越来越频繁地规定，将大量功能集成到各个控制装置中，即车辆计算机中，其也被称为“高性能计算平台”(hcp)。因此一方面，通过使用协同和资源共享实现成本优点，另一方面增加灵活性。关于与机动车的乘员、尤其是驾驶员的交互，即用户界面，尤其建议使用共同的驾驶舱hcp作为用户界面的控制装置，该驾驶舱hcp一方面提供信息娱乐/娱乐功能，但另一方面也提供通过产生相应的与驾驶相关的内容/警告指示来支持机动车本身的驾驶的功能，所述内容/警告指示然后例如可以在组合仪表中和/或在抬头显示器上和/或通过机动车的音频系统输出。这种控制装置的与驾驶运行、尤其是机动车的普遍的驾驶就绪相关的功能还包括与倒车摄像机相关的功能、空调系统的操作等。因此，除了术语驾驶舱hcp或驾驶舱控制装置之外，这种用于机动车的用户界面的控制装置也可以总体上被称为用户输入/输出控制装置。
3.然而，这种方法意味着，将功能集成到通用的驾驶舱控制装置中，这些功能在机动车的稳定性、安全性和驾驶就绪方面具有极其矛盾的要求。虽然用于信息娱乐功能的稳定性和安全性的要求是较低的，但对于与驾驶和机动车相关的功能来说，这些要求是非常高的。相应地，信息娱乐/娱乐功能是不需要的，以便建立机动车的驾驶就绪，尽管在与驾驶运行和机动车相关的领域中存在特定的功能组，其对于驾驶就绪是必不可少的。附加地，在这样集成到通用的控制装置的情况下出现的问题是，例如由于使用开放式的操作系统、如“android automotive”来执行信息娱乐功能，在信息娱乐/娱乐区域中出现故障的概率明显高于与驾驶运行和机动车相关的功能。
4.为了实现这种通用的驾驶舱hcp，即用户界面的控制装置已经提出的是，使用管理两个虚拟机、即用于具有关于早期的可用性和稳定性、安全性和机动车的驾驶就绪的要求的功能的第一虚拟机(sys_partition)和第二虚拟机(ivi_partition)的虚拟机监视器，第二虚拟机提供与信息娱乐(包括娱乐)相关的第二功能。众所周知，虚拟机监视器在此将通用的硬件资源的虚拟化提供至两个虚拟机，其也包括对通常设置为闪存装置的存储介质的访问。
5.在该上下文中的特殊的问题通过使用开放式的信息娱乐或娱乐操作系统、例如“android automotive”产生。例如在提供并且使用来自第三方提供商的应用软件之后，与传统的信息娱乐或娱乐系统相比，连接的闪存装置(通常是ufs、emmc或ssd)损坏的概率明显增加，对于这些应用软件来说不能够控制闪存访问。此外例如，与传统的信息娱乐或娱乐系统相比，“android automotive”平台本身需要更多的闪存写入过程。
6.为此，越来越多的应用情况应该集成到机动车的现代的信息娱乐或娱乐系统中，其也需要比传统的应用情况更多的闪存访问量。这样的应用情况例如包括音乐和视频流、在线导航应用、仪表板摄像机的使用等。此外，在开放式的操作系统中，总是存在恶意的应用进入信息娱乐或娱乐系统的风险，恶意的应用产生特别大量的闪存访问、尤其是删除和写入访问，以便破坏控制装置。
7.在具有128gb-ufs闪存模块的示例中，1000次删除/写入周期和每天30gb的写入访问量导致估计的12年的平均使用寿命，这在太小的回旋余地中涵盖机动车的尤其10至15年的使用寿命，这尤其涉及与驾驶运行和机动车本身相关的领域中的功能。
8.为了通过软件应用使闪存装置受负载，例如参见tao zang等人的文章“apps can quickly destroy your mobile
‘
s flash:why they don’t,and how to keep it that way(应用软件可以快速摧毁手机的闪存：为什么它们并未这样做，以及如何保持这种状态)”，mobisys 2019年，韩国首尔，session 4：taming your apps(第四节：改进你的应用)。
9.在现有技术中，已经提出了延长闪存的使用寿命的方法。在上述的计算示例中考虑的其中一种方法是所谓的“闪存磨损均衡”(“flash wear leveling”)。磨损均衡是一种延长不同的可删除的存储介质(尤其是闪存)的使用寿命的技术。在该关系中的构思是布置数据，即将删除过程和重写过程均匀分布在整个介质上。
10.另外的可想到的用于延长闪存装置使用寿命的方法是使用slc(“single-level cell”)技术、即存储单元。在存储单元中分别存储仅一个位(bit)。这与当前的高集成度技术不同，所述高集成度技术通常使用mlc(“multi-level cell”，每个存储单元两位)或tlc(“tripie-level cell”，每个存储单元三位)。在由于较低的数据密度形成明显更高的成本之后，slc技术的使用带来明显更高的可负载性，并且预计消除机动车中的讨论的寿命问题，但目前尚未被考虑。
11.也可想到的是，使用sd卡作为附加的存储介质。但是，在机动车中添加sd卡插槽会产生附加的成本并且需要专门的结构空间。为此，sd卡的内存访问时间明显低于嵌入式闪存的内存访问时间。
12.此外提出的是，通过访问监控器来监控对闪存的存储器访问，以便能够必要时向用户提供控制干预和/或指示。然而证实的是，仅这种监控活动并不能充分防止闪存的磨损，从而在机动车的使用寿命期间，在用于机动车中的用户界面的控制装置中仍然总是可能出现故障。
13.wo 2015/103 376 a1公开了一种具有多个用户界面操作域的车辆。该文献公开了一种用于与车辆的用户表面集成的计算机系统，其具有带有至少一个多核处理器的计算系统。计算系统设置用于，为第一访客操作系统和第二访客操作系统提供虚拟化。第一访客操作系统配置用于高度可靠的运行，其中，虚拟化防止第二访客操作系统的措施影响第一访客操作系统的高度可靠的运行。
14.us 2017/0 021 839 a1公开了用于汽车功能的算法控制的方法和系统。在那里的
系统包括具有虚拟机监视器的多核片上系统，该虚拟机监视器为片上系统上的多个核提供多核同步功能。
15.us 2017/0 039 084 a1涉及一种作为片上系统的扩展的高级的驾驶辅助系统(adas)。虚拟机监视器可以提供不同的虚拟机，其例如可以包括adas服务器、用于至少对于安全关键的adas功能的虚拟机和用于非关键的安全功能的虚拟机。
16.de 10 2011 122 344 a1涉及一种用于管理机动车的驾驶辅助装置的闪存中的数据的方法。闪存包括至少一个第一和第二存储器扇区，在其中存储有数据。数据包括关键数据和非关键数据，关键数据的缺失会导致驾驶辅助装置的故障，其中，所有关键数据至少存储在存储器扇区之一中。


技术实现要素：

17.本发明的目的是，允许用于将与驾驶运行相关的功能和信息娱乐功能集成在具有通用的闪存入口的通用的基于虚拟机监视器的系统上的可能性，这确保了与驾驶运行和机动车相关的功能在机动车的使用寿命内的可用性。
18.为了实现该目的，在开头提到的类型的控制装置中根据本发明规定，闪存装置具有至少两个能独立运行的、形成自己的存储区域的闪存单元，其中，闪存单元中的第一闪存单元包含所有为了启动控制装置所需的数据(尤其是引导加载程序)、使虚拟机监视器生效的软件装置、第一虚拟机的所有的软件装置(其实现第一功能)和第二虚拟机的基础软件、尤其是操作系统和操作系统的框架，而第二闪存单元包含第二虚拟机的应用软件装置(其实现第二功能)。
19.根据本发明，因此提出了一种控制系统，具体地是分离式的驾驶舱/信息娱乐控制系统，其具有片上系统(system on a chip，soc)和闪存装置的两个闪存单元，闪存单元分别与片上系统连接。片上系统包括虚拟机监视器例如作为固件，其产生并且运行虚拟机，并且提供片上系统资源、例如主处理器(主cpu)、i/o等的虚拟化。此外，第一和第二闪存单元相对于虚拟机的虚拟化也由虚拟机监视器控制。
20.通过提供第一闪存单元和第二闪存单元提供可独立响应的存储段，这些存储段也在其运行中是相互独立的，从而可以通过用于控制装置的必要的存储信息的有针对性的分配提供长寿命的闪存单元，其足以用于进一步运行控制装置并且提供闪存单元，在该闪存单元中存在更早的故障的危险，但该闪存单元不会质疑控制装置作为整体的功能性。因此建议不仅将对于启动控制装置所需的所有数据、尤其是引导加载程序，而且将使虚拟机监视器生效的软件装置、第一虚拟机的所有软件装置和第二虚拟机的基础软件、尤其是操作系统和操作系统的框架存储在第一闪存单元上。以该方式不仅确保启动是可能的，虚拟机监视器是激活的，并且提供两个虚拟机，而且还确保第一虚拟机的所有尤其与机动车的驾驶运行相关的并且相应必须满足高的可用性要求/安全要求/稳定性要求/驾驶就绪要求的第一功能被安全地提供，而第二虚拟机的对闪存要求高的应用软件装置及其所需的数据设置在第二闪存单元上。这意味着，第二闪存单元可以任意使用和占用，因为它的损坏仅涉及舒适功能，尤其是信息娱乐的舒适功能，机动车的通常必要的运行、尤其是与驾驶运行相关的功能(在没有这些功能的情况下，机动车尤其是不能驾驶的)仍然可以通过第一闪存单元获得。换言之，可以说选择要存储的信息的分配，从而使得控制装置在有和没有使用第二闪
存单元的情况下都是可引导和可运行的。
21.因此，本发明尤其能够实现，允许执行满足较低的要求的第二功能，所述第二功能通过第二闪存单元中的第二虚拟机的应用软件装置(其然而明显更强地使闪存受负载)实现，而没有破坏提出更高的要求的、尤其与机动车的运行相关的或必要的第一功能或使其闪存单元承受更大的危险，遭受损坏。因此，包括信息功能和娱乐功能的信息娱乐功能尤其可以在开放式的应用平台、如“android automotive”上与分配给机动车的驾驶运行的功能平行地在同一计算平台上被执行，而不会损坏与机动车的驾驶运行相关的第一功能的使用寿命，即使当不能够防止用于信息娱乐功能(第二功能)的闪存例如由于第三方应用软件的行为，由于特定的应用情况的性质和/或由于恶意的应用软件的故障而明显更早地遭受损坏时。
22.在此，本发明的一个有利的扩展方案规定，与用于第二闪存单元中的尤其完全的第二功能相比，给安装有根据本发明的控制装置的机动车分配用于第一闪存单元中的功能的不同的更长的保修期。例如，用于第一闪存单元中的功能的保修期可以对应于整个机动车的保修期，并且第二闪存单元中的功能的保修期可以是更短的，例如对应于第二闪存单元的预期的使用寿命。换言之，本发明允许用于机动车的营销变型方案，在机动车中，信息娱乐平台以比其他的车辆功能更短的保修期被出售。在该关系中要指出的是，在将“android automotive”用于第二虚拟机本身时，如果该操作系统及其应用软件装置不会导致第二闪存单元的损坏，那么机动车内的“android automotive”的使用寿命在android硬件仅支持几年后受到限制。
23.在该情况下还要指出的是，例如linux和/或qnx可以被考虑作为用于第一虚拟机的操作系统。通常，在本发明的范围内，信息娱乐还应该涉及娱乐和/或信息提供。
24.在本发明的一个具体的设计方案中可以规定，将闪存单元实现为独立的闪存模块。在该情况下，存在两个独立的结构单元，这两个结构单元分别可以包括自身的控制器和自己的存储区域。在此通常要说明的是，在本发明的范围内完全可想到的是，集成地构造闪存装置和片上系统，然而也设置具有片上系统与(单独存在的)闪存单元之间的相应的连接的其他的设计方案。使用单独的闪存模块具有以下优点，即可以使用最终普遍可用的、已经存在的结构单元。
25.然而，在本发明的扩展方案中也可想到的是，闪存装置的两个闪存单元在单个闪存模块或单个闪存结构单元中实现，其中，在一个闪存结构单元中实现包括第一闪存区和第二闪存区的第一闪存单元和第二闪存单元，其中尤其设置两个存储控制器，即针对每个闪存区设置一个存储控制器，以便实现相互独立的闪存单元。尤其还可以实现两个独立的闪存磨损均衡区，一个用于第一闪存区而一个用于第二闪存区。
26.闪存装置的闪存单元通常可以以基本上已知的设计或标准存在，从而尤其可以规定，闪存单元以通用闪存存储格式(ufs格式)存在和/或作为固态盘(ssd)和/或作为嵌入式多媒体卡(emmc)存在。
27.刚好在机动车中的应用中，片上系统通常还具有附加硬件模块(除了主处理器(主cpu)之外)、例如数字信号处理器(dsp)、图形处理器(gpu)等。为了在第二闪存单元的故障的情况下也允许片上系统以及控制装置的安全的完整的运行，本发明的一个有利的扩展方案规定，第一闪存单元附加地包含至少一个用于运行片上系统的至少一个附加硬件模块的
软件装置，尤其是用于数字信号处理器和/或gpu。这种附加硬件模块通常也被称为“ip”。相应的软件装置可以至少部分构造用于在至少一个附加硬件模块上运行。因此，即使在没有第二闪存单元的情况下也确保片上系统的可运行性。
28.在本发明的有利的扩展方案中可以规定，片上系统尤其在引导过程期间构造用于检测第二闪存单元的可用性，并且构造用于在不可用的情况下执行至少一个措施。这种对第二闪存单元的不可用性的检测一方面是有用的，因为当再次搜索第二闪存单元时可以避免引导过程的将来的延迟，并且在不再尝试访问第二闪存单元后可以确保控制装置的无故障的运行。相应地，措施可以包括在引导和/或重新配置第二虚拟机时将来跳过可用性检测。此外，措施还可以包括向用户发出指示。以该方式确保稳定的、无延迟的运行。
29.如已经提到的那样，第二功能通常至少部分包括通过其运行具有所使用的闪存的比第一功能和必要时其他的第二功能更强的磨损的那些。在制造商方面，即在机动车的制造商方面尤其已经可以提供应用软件装置，其通常被称为oem软件或oem应用程序，其中，防止闪存的相应高的磨损。这意味着，这种第二功能原则上也可以通过第一闪存单元实施，这使制造商灵活地将第二虚拟机的特定的oem功能作为应用软件装置存储在第一闪存单元上，并且因此即使第二闪存单元发生故障时也保持可用。备选地也可想到的是，仅当第二闪存单元发生故障时，将这种特殊的应用软件装置和进而特定的第二功能存储并且因此提供在第一闪存单元上。
30.因此，本发明的一个特别有利的设计方案相应规定，至少一个在制造商方面提供的用于第二虚拟机的基础软件装置附加地存储在第一闪存单元中，和/或为基础软件装置预留存储空间。在所提到的第二情况下，基础软件装置最初设置在第二闪存单元中并且在那里运行。换言之，这意味着，即使在第二闪存单元发生故障时，oem应用程序的一定的基本装备、即至少一个基础软件装置保持可用，从而尤其特定的信息娱乐功能(其属于机动车的基本装备)此外可以通过机动车的用户使用。
31.相应地，至少一个基础软件装置可以选自包括用于接收(和再现)无线电发射机的无线电应用、媒体播放功能和用于至少一个可联接的移动设备的投影模式功能的组件。用于第二功能的应用软件装置例如包括导航应用、流应用、气象服务、新闻服务和/或电话服务(电话应用程序)。必要时，电话应用程序也可以用作基础软件装置。仅应通过第二闪存单元使用的其他的第二功能是例如由机动车的用户首先安装的第三方软件装置。
32.在此，将投影模式功能用作基础软件装置被认为是特别有利的。在例如被称为“apple car play”和“android auto”的投影模式(“projection mode”)中，在联接的移动设备(例如智能手机)上运行的应用软件装置(“app”)可以在机动车的用户界面上提供用户表面，从而可以通过机动车的显示设备示出说话的应用软件装置的信息，和/或可以通过机动车的输入装置获取用户输入。在第二闪存单元发生故障的情况下，此外作为基础软件装置提供的投影模式能够为用户实现一种备用解决方案，该用户现在可以例如通过联接的移动设备继续实现另外的信息娱乐功能，尤其是在机动车方面现在被省去的第二功能，并且因此能够进行至少部分的更换。
33.在该情况下还应注意的是，如开头已经阐述的那样，第一功能例如可以针对车辆功能的运行或用户侧的控制和/或机动车的状态信息和/或与驾驶运行相关的机动车功能的再现。例如，第一功能可以涉及仪表板/仪表盘、组合仪表的运行、警告指示的输出、倒车
摄像机的使用和/或空调系统的操作。
34.在本发明的一个特别有利的扩展方案中，当为基础软件装置预留存储空间并且构造片上系统以检测第二闪存单元的可用性时可以规定，在第二闪存单元的不可用的情况下和在为至少一个基础软件装置预留的存储空间的情况下，片上系统构造用于将基础软件装置存储在预留的存储空间中。这意味着，总是当尤其在启动控制装置的情况下确定第二闪存单元是不可用的时，将至少一个基础软件装置存储在预留的存储空间中。同时在此，如有必要，可以重新配置第二虚拟机，使得基础软件装置也可以在其新的存储位置处被找到。
35.在该情况下特别有利的是，预留的存储空间仍然可以有意义地被使用，只要它对于至少一个基础软件装置不是必需的。因此，本发明的一个特别有利的、具体的扩展方案可以规定，片上系统构造用于使用预留的存储空间，该预留的存储空间用于在制造商方面提供的、在需要时被使用的、尤其是被第二虚拟机的软件装置(其存储在第二闪存单元上)重写的数据库。换言之，预留的存储空间(reserved headroom)可以可选地与第一闪存单元上的其他的内容叠加，例如与在制造商方面被控制的数据库、例如由oem软件装置使用的导航数据库和/或语音输出数据库叠加，oem软件装置然而不属于至少一个基础软件装置并且设置在第二闪存单元上。随着第二闪存单元的取消，这些数据库也不再需要在第一闪存单元上，从而其可以容易地被至少一个基础软件装置重写。以该方式能够连续使用可用的存储空间，而不会产生第一闪存单元的太大的磨损的风险，因为预留的存储空间用于不太使闪存受负载的数据。
36.片上系统此外可以构造用于通过机动车的无线接口、尤其是移动无线电接口自动调用至少一个基础软件装置。例如，可以通过移动网络访问制造商方面的后端计算装置、例如在互联网中存在的服务器，从而在机动车的正常的驾驶运行期间，可以将至少一个基础软件装置存储在第一闪存单元中。备选地，当然也可想到其他的设计方案，例如通过诊断或车间入口、例如在车间停留时的存储。
37.在有利的扩展方案中，第一闪存单元还可以包含用于至少一个诊断功能和/或至少一个配置功能和/或在制造商方面提供的数据库和/或可信执行环境(tee/trust os)的软件装置。以该方式，控制装置例如在与诊断接头连接时、例如在带端部(bandende)处或稍后在访问车间时也可以提供与机动车的配置或诊断相关的功能。在制造商方面提供的数据库(oem数据库)已经被提及，并且例如可以包括导航数据库和/或语音输出数据库，并且可以特别优选存储在所描述的预留的存储空间中。
38.在本发明的一个特别优选的设计方案中，片上系统可以构造用于将闪存磨损均衡应用于闪存装置上。以该方式，通过写入和删除访问的尽可能的均衡化，添加用于延长使用寿命的另外的建立的可能性。
39.除了控制装置之外，本发明还涉及一种具有至少一个根据本发明的控制装置的机动车。尤其地，控制装置是所谓的驾驶舱控制装置，其以第一虚拟机的形式提供与驾驶运行相关的第一功能，并且以第二虚拟机的形式提供信息娱乐功能作为第二功能。关于根据本发明的控制装置的所有实施方案可以类似地传输至根据本发明的机动车，利用该机动车同样可以获得已经提到的优点。
40.最后，本发明还涉及一种用于运行用于机动车的用户界面的控制装置的方法，其中，控制装置具有片上系统，该片上系统具有至少一个主处理器和可由片上系统使用的闪
存装置，其中，片上系统包括使第一虚拟机和第二虚拟机生效的虚拟机监视器，其中，第一虚拟机构造用于执行至少一个尤其与机动车的驾驶运行相关的第一功能，并且第二虚拟机构造用于执行至少一个第二功能、尤其是用于用户的信息娱乐功能，其中尤其地，用于至少一个第一功能的至少一个可用性要求和/或安全要求和/或稳定性要求和/或驾驶就绪要求高于用于至少一个第二功能的这些要求，其特征在于，闪存装置具有至少两个可独立运行的、形成自己的存储区域的闪存单元，其中，闪存单元中的第一闪存单元用于所有为了启动控制装置所需的数据(尤其是引导加载程序)，此外用于使虚拟机监视器生效的软件装置，用于第一虚拟机的所有软件装置，并且用于第二虚拟机的基础软件，尤其是操作系统和操作系统的框架，而第二闪存单元用于第二虚拟机的应用软件装置。关于根据本发明的控制装置和根据本发明的机动车的所有说明也可以转移到根据本发明的方法中，从而也可以由此获得已经提到的优点。
41.在此，在该情况下还应注意的是，例如，在使用“android automotive”或其他的基于unix的操作系统时，用于第二虚拟机的基础架构软件例如包括内核和相关的框架，其提供另外的服务、尤其与图形和/或音频相关的另外的服务。
附图说明
42.本发明的其他的优点和细节由以下描述的实施例并且根据附图得出。
43.在此：
44.图1示出了根据本发明的控制装置的架构，并且
45.图2示出了根据本发明的机动车的原理图。
具体实施方式
46.图1示出了根据本发明的用于机动车的用户界面的控制装置1的架构，其也可以被称为驾驶舱hcp。控制装置1包括片上系统2，其当前包括主处理器3(主cpu)。片上系统还可以包括附加硬件模块4、例如数字信号处理器5和gpu 6。
47.控制装置1还包括闪存装置7，其具有第一闪存单元8和第二闪存单元9。闪存单元8、9分别于片上系统2连接。在所示的实施例中，闪存单元8、9设置为分别独立的闪存模块、即独立的结构单元；然而也可想到的是，使用唯一的具有两个彼此独立的闪存区的闪存结构单元。
48.在运行中，片上系统2和闪存装置7的资源通过虚拟机监视器10管理并且虚拟化，当前用于使第一虚拟机11和第二虚拟机12生效。第一虚拟机11执行与机动车的驾驶运行相关的第一功能，即例如组合仪表的控制、警告的输出等。尤其地，第一功能中的至少一部分必须完成机动车的驾驶就绪。这些第一功能、驾驶舱控制装置的经典的功能在早期的可用性、稳健性和安全性方面具有很高的要求，并且至少部分对于机动车的驾驶就绪是必需的。
49.相反，第二虚拟机12执行信息娱乐功能、即与信息输出和/或娱乐相关的功能作为第二功能，第二功能在早期的可用性、稳定性和安全性方面具有明显更低的要求。为了机动车的驾驶就绪，它们不是必需的。然而，第二功能尤其是作为第三方提供商软件装置和/或在使用开放式的操作系统时可以包括对闪存的大量访问，尤其是删除和写入访问，这意味着，闪存通过第二功能中的至少一部分导致的磨损明显高于在第一功能的情况下的模式。
这也尤其是由于在第二虚拟机12中向用户提供自己安装应用软件装置、例如有问题的第三方提供商软件装置(除了在制造商方面提供的oem软件装置以外)的可能性。
50.根据本发明的控制单元仍然允许共同用于第一和第二功能，其中，能够提供第一功能(以及由基础软件装置提供的一些第二功能)，其具有比有问题的第二功能明显更长的使用寿命和进而保修期。为此，相应使用将闪存装置7划分成可以彼此独立运行的闪存单元8、9。
51.因此，当前，以下元件存储在第一闪存单元8中：引导加载程序、用于虚拟机监视器10的软件(尤其是包括固件)、用于运行附加硬件模块4的软件装置(尤其是还包括固件)、第一虚拟机11的所有软件装置、第二虚拟机12的基础软件装置(当前尤其是内核和操作系统的框架)，以及在专门预留的将在下面更详细地阐述的存储空间13中在制造商方面提供的数据库(当前包括导航数据库和语音输出数据库)。在第二闪存单元9中存储有所有的、包括在制造商方面提供的应用软件装置(oem软件)和第三方提供商软件装置的应用软件装置，即所有实现第二功能的应用软件装置。
52.当前，在此存储在第二闪存单元9中的第二功能(导航系统和必要时与媒体相关的软件)也访问预留的存储空间13中的在制造商方面提供的上述的数据库。
53.基于闪存单元9中的与控制装置1的基本功能无关的应用软件装置，控制单元1、尤其是片上系统2因此可以在具有和没有第二闪存单元9的可用性的情况下被引导和运行。然而，当前，片上系统2在引导过程期间也构造用于检测第二闪存单元9的可用性。如果确定基于通过第二功能的至少一部分导致的太长常见的、太强的负载，第二闪存单元9例如由于损坏不再是可用的，那么当前采取不同的措施。一方面，第二闪存单元9被标记为不再可用，从而将来不再发生相应的检测，其可能减慢引导过程。此外，向用户输出指示，该指示尤其描述信息娱乐功能的限制。然而最后，在确定第二闪存单元9不可用时，用于第二虚拟机12的多个基础软件装置被装载到预留的存储空间13中，当前通过移动网络、即“over the air”无线地被装载到预留的存储空间13中。当前，这些基础软件装置包括投影模式功能、用于接收无线电发射机的无线电应用和媒体播放功能。通过投影模式功能，可以针对至少一个可联接的移动设备(例如智能手机)实施投影模式，该投影模式能够例如作为对被省去的第二功能的替代经由机动车的用户界面来操作已联接的移动设备的“应用软件”。换言之，在第一闪存单元8的预留的存储空间13中的现在不再需要的在制造商方面提供的数据库利用基础软件装置被重写。
54.在此，在该情况下应该注意的是，本发明的实施例也是可以想到的，其中，至少一个基础软件装置基本上已经存储在第一闪存单元8中，即固定设置在那里，而剩余的用于实现第二功能的应用软件装置存储在第二闪存单元9中。
55.闪存单元8、9可以在ufs格式中、作为ssd和/或emmc存在。此外，在本发明的范围内可选地还可以规定，用于至少一个诊断功能和/或至少一个配置功能和/或可信执行环境的软件装置此外存储在第一闪存单元8中。
56.在任何情况下，即也在该实施例中，片上系统2然而构造用于将闪存磨损均衡应用于闪存装置7、即闪存单元8、9中的每个。这意味着，通过相应地控制闪存单元8、9来实现各个存储单元的均匀的使用，只要这是可能的。
57.最后，图2示出了根据本发明的机动车14的原理图。机动车当前包括组合仪表15和
设置在中控台的区域中的操作装置16作为用户界面的一部分，尤其包括可以触摸屏，其中，每个输入/输出装置15、16可以不仅用于与驾驶运行相关的功能(第一功能)和信息娱乐功能(第二功能)。为了至少控制该用户界面，机动车14具有根据本发明的控制装置1。该控制装置在其他方面也与机动车14的移动无线电接口17连接，以便不仅能够尤其从互联网调用不同的数据、例如用于第二功能的流数据等，而且还能够在第二闪存单元9发生故障的情况下下载用于第二虚拟机12的基础软件装置，并且将其存储在预留的存储空间13中。