知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-08-30
(45)【発行日】2022-09-07
(54)【発明の名称】冗長システムにおける多重故障のための故障検出
(51)【国際特許分類】
B64C 13/00 20060101AFI20220831BHJP
B64D 25/00 20060101ALI20220831BHJP
B64D 45/00 20060101ALI20220831BHJP
G05B 9/03 20060101ALI20220831BHJP
【ＦＩ】
B64C13/00 B
B64D25/00
B64D45/00 A
G05B9/03
【請求項の数】
13
【外国語出願】
(21)【出願番号】P 2018120531
(22)【出願日】2018-06-26
(65)【公開番号】P2019031272
(43)【公開日】2019-02-28
【審査請求日】2021-06-18
(31)【優先権主張番号】15/637,670
(32)【優先日】2017-06-29
(33)【優先権主張国・地域又は機関】US
(73)【特許権者】
【識別番号】500520743
【氏名又は名称】ザ・ボーイング・カンパニー
【氏名又は名称原語表記】Ｔｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ
(74)【代理人】
【識別番号】110002077
【氏名又は名称】園田・小林弁理士法人
(72)【発明者】
【氏名】松井 元
【審査官】志水 裕司
(56)【参考文献】
【文献】米国特許出願公開第２０１７／００８１０１９（ＵＳ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｂ６４Ｃ １３／００
Ｂ６４Ｃ １９／００
Ｂ６４Ｄ ２５／００
Ｂ６４Ｄ ４５／００
Ｂ６４Ｄ ４７／００
(57)【特許請求の範囲】
【請求項1】
航空機（１０４）のための三重の冗長性を有する制御システム（１０６）を管理する方法であって、第１の計算ユニットの故障（１２２）が以前に生じていた３つの計算ユニットを含むコントローラ（１１２）内の送信計算ユニット（１１８）から、飛行制御電子システム（１１０）において、前記送信計算ユニットによって生成された第１のステータスおよび第１のサイクリック冗長性チェック値と、第２の計算ユニットによって生成された第２のステータスおよび第２のサイクリック冗長性チェック値とを含むメッセージ（１１６）を受信すること、
前記メッセージ（１１６）内の、活動インジケータ（１２４）と、前記送信計算ユニットおよび前記第２の計算ユニットによって生成された前記第１のステータスおよび前記第２のステータスと、前記送信計算ユニットおよび前記第２の計算ユニットによって、各計算ユニットに割り当てられたキー（１３２）を使用して生成された前記第１のサイクリック冗長性チェック値および前記第２のサイクリック冗長性チェック値と、を特定すること、並びに
第２の計算ユニットの故障（１３４）が生じたことを示す前記メッセージ（１１６）内で、ステータス（１２６）において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、のうちの少なくとも１つであるときに、前記コントローラ（１１２）の動作を停止することを含む、方法。
【請求項2】
前記メッセージ（１１６）内の、前記活動インジケータ（１２４）、前記ステータス（１２６）、及び一群の計算ユニット（１２０）内の前記計算ユニットに対する局所的なキー（１４０）を使用して、前記メッセージ（１１６）に対する局所的なサイクリック冗長性チェック値（１３８）を計算することを更に含み、前記メッセージ（１１６）が暗号化されている、請求項１に記載の方法。
【請求項3】
前記活動インジケータ（１２４）を生成すること、及び前記活動インジケータ（１２４）を前記コントローラ（１１２）に送信することを更に含む、請求項１に記載の方法。
【請求項4】
前記第１のサイクリック冗長性チェック値および前記第２のサイクリック冗長性チェック値が、前記活動インジケータ（１２４）に基づいており、さらに、前記第１のステータスまたは前記第２のステータスにそれぞれ基づいている、請求項１に記載の方法。
【請求項5】
前記コントローラ（１１２）が、アクチュエータ、バルブ、サーボモータ、飛行操縦翼面、インフライト娯楽システム、燃料システム、エンジン、環境制御システム、自動操縦装置、又は着陸装置システムのうちの少なくとも１つを制御する、請求項１に記載の方法。
【請求項6】
前記異常が、前記ステータス（１２６）において示され、前記送信計算ユニット（１１８）による故障の自己宣言、前記第２の計算ユニットの故障、又は故障した計算ユニットのシャットダウン状態からの起動のうちの少なくとも１つから選択される、請求項１に記載の方法。
【請求項7】
航空機（１０４）のための三重の冗長性を有する制御システム（１０６）であって、第１の計算ユニットの故障（１２２）が以前に生じていた３つの計算ユニットを含むコントローラ（１１２）内の送信計算ユニット（１１８）から、飛行制御電子システム（１１０）において、前記送信計算ユニットによって生成された第１のステータスおよび第１のサイクリック冗長性チェック値と、第２の計算ユニットによって生成された第２のステータスおよび第２のサイクリック冗長性チェック値とを含むメッセージ（１１６）を受信し、
前記メッセージ（１１６）内の、活動インジケータ（１２４）と、前記送信計算ユニットおよび前記第２の計算ユニットによって生成された前記第１のステータスおよび前記第２のステータスと、前記送信計算ユニットおよび前記第２の計算ユニットによって、各計算ユニットに割り当てられたキー（１３２）を使用して生成された前記第１のサイクリック冗長性チェック値および前記第２のサイクリック冗長性チェック値と、を特定し、
第２の計算ユニットの故障（１３４）が生じたことを示す前記メッセージ（１１６）内で、ステータス（１２６）において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、のうちの少なくとも１つであるときに、前記コントローラ（１１２）の動作を停止するように構成された、飛行制御電子システム（１１０）を備える、制御システム（１０６）。
【請求項8】
前記飛行制御電子システム（１１０）が、前記メッセージ（１１６）内の、前記活動インジケータ（１２４）、前記ステータス（１２６）、及び一群の計算ユニット（１２０）内の前記計算ユニットに対する局所的なキー（１４０）を使用して、前記メッセージ（１１６）に対する局所的なサイクリック冗長性チェック値（１３８）を計算するように構成されており、前記メッセージ（１１６）が暗号化されている、請求項７に記載の制御システム（１０６）。
【請求項9】
前記コントローラ（１１２）が、アクチュエータ、バルブ、サーボモータ、飛行操縦翼面、インフライト娯楽システム、燃料システム、エンジン、環境制御システム（１０６）、自動操縦装置、又は着陸装置システムのうちの少なくとも１つを制御する、請求項７に記載の制御システム（１０６）。
【請求項10】
前記異常が、前記ステータス（１２６）において示され、前記送信計算ユニット（１１８）による故障の自己宣言、前記第２の計算ユニットの故障、又は故障した計算ユニットのシャットダウン状態からの起動のうちの少なくとも１つから選択される、請求項７に記載の制御システム（１０６）。
【請求項11】
航空機（１０４）のための制御システム（１０６）を管理する方法であって、第１の計算ユニットの故障（１２２）が以前に生じていた三重の冗長性のための３つの計算ユニットを含む遠隔電子ユニット（１３６）内の送信計算ユニット（１１８）から、飛行制御電子システム（１１０）において、前記送信計算ユニットによって生成された第１のステータスおよび第１のサイクリック冗長性チェック値と、第２の計算ユニットによって生成された第２のステータスおよび第２のサイクリック冗長性チェック値とを含むメッセージ（１１６）を受信すること、
前記飛行制御電子システム（１１０）によって、前記送信計算ユニット（１１８）および前記第２の計算ユニットに割り当てられたキー（１３２）に基づいて、前記メッセージ（１１６）内の、活動インジケータ（１２４）と、前記送信計算ユニット（１１８）および前記第２の計算ユニットによって生成された前記第１のステータスおよび前記第２のステータスと、前記第１のサイクリック冗長性チェック値および前記第２のサイクリック冗長性チェック値と、を特定すること、並びに
第２の計算ユニットの故障（１３４）が生じたことを示す前記メッセージ（１１６）内で、前記ステータス（１２６）において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、のうちの少なくとも１つであるときに、前記飛行制御電子システム（１１０）によって、前記遠隔電子ユニット（１３６）に対する動作を実行することを含む、方法。
【請求項12】
前記動作が、前記遠隔電子ユニット（１３６）の動作を停止すること、前記遠隔電子ユニット（１３６）内の計算ユニットの動作を停止すること、別の遠隔電子ユニットを起動すること、及び前記遠隔電子ユニット（１３６）を再スタートすることのうちの１つから選択される、請求項１１に記載の方法。
【請求項13】
航空機（１０４）のための三重の冗長性を有する制御システム（１０６）を管理する方法であって、第１の計算ユニットの故障（１２２）が以前に生じていた３つの計算ユニットを含むコントローラ（１１２）内の送信計算ユニット（１１８）から、飛行制御電子システム（１１０）において、前記送信計算ユニットによって生成された第１のステータスおよび第１のエラーチェックデータのミスマッチと、第２の計算ユニットによって生成された第２のステータスおよび第２のエラーチェックデータのミスマッチとを含むメッセージ（１１６）を受信すること、
前記送信計算ユニットおよび前記第２の計算ユニットに割り当てられた一群のキーに基づいて、前記メッセージ（１１６）内の、活動インジケータ（１２４）と、前記送信計算ユニットおよび前記第２の計算ユニットによって生成された前記第１のエラーチェックデータのミスマッチおよび前記第２のエラーチェックデータのミスマッチと、を特定すること、及び
第２の計算ユニットの故障（１３４）が生じたことを示す前記メッセージ（１１６）内で、ステータス（１２６）において異常が示された、活動インジケータのミスマッチが存在する、又はエラーチェックデータのミスマッチが存在する、のうちの少なくとも１つであるときに、前記コントローラ（１１２）の動作を停止することを含む、方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、広くは、航空機に関し、特に、航空機内の冗長システムにおける多重故障のための故障検出に関する。
【背景技術】
【0002】
性能の所望のレベル、更には、安全性の所望のレベルを提供するために、航空機内の多くのシステムには冗長性が実装されている。例えば、航空機のための航空機飛行制御システムは、飛行操縦翼面、アクチュエータ、バルブ、サーボモータ、コントローラ、及び航空機の飛行を制御するために利用される他の構成要素を含む。
【0003】
航空機飛行制御システムは、データ処理アーキテクチャにおいて三重の冗長性を採用し得る。航空機飛行制御システムにおいて制御及び故障検出機能を実行するために、この三重の冗長性が採用される。そのようなシステムでは、３つの個別の計算ユニットが、同一の又はほぼ同一の計算を実行し得る。計算ユニットは、「レーン」とも称される。しばしば、これらのレーンは、通常の状態下で同一の又はほぼ同一の出力を生成することが期待される。そして、それらの計算の出力から選択が行われる。同時に、それらの出力は、通常、故障検出及び分離のために比較される。
【0004】
三重の冗長性システムでは、「１‐フェイルオペラティブ（Fail Operative）」が単一の故障を示し、「２‐フェイルセーフ（Fail Safe）」が二重の故障を示す。この文脈では、「１‐フェイルオペラティブ」が、システム内の３つの冗長レーンのうちの１つが故障したならば、該システムは、動作を継続し、２つの残りのレーンに対して必要な制御信号を提供することを意味する。継続される動作は、しばしば、故障したレーンの検出及びシャットダウンの後に行われる。この継続される動作は、誤った出力の可能性を低減させるやり方で高い統合性を支持し、且つ、高い利用可能性を支持する。結果として、該システムは、単一レーン故障の後に動作を継続することができる。
【0005】
三重の冗長性システムでは、別の１つのレーンが続いて故障したならば、計算システムは、もはや所望の機能を実行するために必要な出力を提供しない。この状況では、該システムが、「２‐フェイルセーフ」の状態に置かれ得る。それは、該システムからの制御出力が、もはや適用されない又は使用されない「フェイルセーフ」状態である。
【0006】
例えば、航空機飛行制御システムにおいて、「１‐フェイルオペラティブ」は、該システムによって制御されるアクチュエータが、単一レーン故障の後に継続して制御され得ることを意味する。アクチュエータが、もはや性能の所望のレベルでシステムによって制御可能でないときに、該システムは、「２‐フェイルセーフ」の状態に置かれ得る。その状態では、該システムが、アクチュエータを制御することができない。この状態では、「バイパスモード」が採用され得る。「バイパスモード」では、アクチュエータが、低い抵抗を伴って、空気負荷によって又は飛行操縦翼面の他のアクチュエータによってバックドライブされ得る。
【0007】
通常、レーン内に実装される電子機器は、複雑であると考えられる。例えば、レーンのための構成要素は、マイクロプロセッサ、デジタル信号プロセッサ（DSP）、フィールドプログラマブルゲートアレイ（FPGA）、又はそれらの何らかの組み合わせを含み得る。結果として、それらが故障することが予期される望ましくない動作又は挙動の全ての潜在的なモードは、望まれるよりも予測することが困難であり得る。
【0008】
更に、レーンによる故障の自己宣言は、完全な故障検出を有すると考えられない。したがって、故障検出は、主として、独立したレーン間の比較に依存する。どのレーンが望ましくない動作を有するかを決定するなどの第１のレーン故障は、検出及び分離することが比較的単純である。この検出は、多数決を使用して実現され得る。
【0009】
レーンの望ましくない動作が検出されたときに、他の２つのレーンがそのレーンのシャットダウンに同意するならば、そのレーンは他の２つのレーンによってシャットダウンされ得る。該システムは、残りの２つのレーンを用いて継続して動作し、したがって、「１‐フェイルオペラティブ」システムを実現し得る。第２のレーン故障も、２つの残りのレーンの間の比較を通じて同様なやり方で対処され得る。
【0010】
２つの残りのレーンのうちの少なくとも一方が、他方のレーンの出力がそれ自身のものとは大幅に異なると決定したならば、全体のシステムが、シャットダウンするか又は不活動状態に置かれ得る。それによって、「２‐フェイルセーフ」システムが実現される。ある場合では、正しい自己宣言をもたらす限定的な故障の場合に対して、三重の冗長システムにおける「２‐フェイルオペラティブ」システムが実現され得る。
【0011】
第１のレーン故障のための故障検出は、比較的単純である。何故ならば、第１のレーン故障の時に、他の２つのレーンが健全だからである。２つの健全なレーンは、故障したレーンをシャットダウンすることに同意することと、そのレーンがシャットダウンした状態で維持されることとの両方において頼りにされ、したがって、完全な故障検出を提供し得る。
【0012】
残りの２つのレーンを有する第２のレーン故障が生じたというときには、状況がより複雑になる。例えば、第２のレーンが故障し、そのレーンが第１の以前に故障したレーンをシャットダウン状態から戻すことに同意する。それによって、第１の以前に故障したレーンは、積極的にその投票に参加する。結果として、２つの故障したレーンが、該システムの制御を引き受け得る。例えば、２つの故障したレーンは、最後の残りの健全なレーンをシャットダウンすることに同意し得る。
【0013】
したがって、少なくとも上述の問題点のうちの幾つかと、起こり得る他の問題点を考慮した方法及び装置を有することが望ましいであろう。例えば、該システムの望ましくない動作を避ける「フェイルセーフ」システムを実現するように第２のレーン故障が管理されるように、制御システムを管理することによって技術的な問題を克服する方法及び装置を有することが望ましいだろう。
【発明の概要】
【0014】
本開示の一実施形態は、航空機のための三重の冗長性を有する制御システムを管理する方法を提供する。該方法は、第１のレーン故障が以前に生じていた３つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信することを含む。該方法は、一群のメッセージ内の、活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値を特定する。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。該方法は、第２のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも１つであるときに、コントローラの動作を停止する。
【0015】
本開示の別の一実施形態は、航空機のための三重の冗長性を有する制御システムを提供する。制御システムは、第１のレーン故障が以前に生じていた３つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信するように構成された飛行制御電子システムを備える。該制御システムは、一群のメッセージ内の、活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値を特定する。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。該制御システムは、第２のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも１つであるときに、コントローラの動作を停止する。
【0016】
本開示の更に別の一実施形態は、航空機のための制御システムを管理する方法を提供する。該方法は、第１のレーン故障が以前に生じていた三重の冗長性のための３つのレーンを含む遠隔電子ユニット内の送信レーンから一群のメッセージを飛行制御電子システムにおいて受信することを含む。該方法は、飛行制御電子システムによって、送信レーンに割り当てられたキーに基づいて、一群のメッセージ内の、活動インジケータ、送信レーンによって生成されたステータス、及びサイクリック冗長性チェック値を特定する。該方法は、飛行制御電子システムによって、第２のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも１つであるときに、遠隔電子ユニットに対して動作を実行する。
【0017】
本開示の更に別の一実施形態は、航空機のための三重の冗長性を有する制御システムを管理する方法を提供する。該方法は、第１のレーン故障が以前に生じていた３つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信することを含む。該方法は、一群のレーンに割り当てられた一群のキーに基づいて、一群のメッセージ内の、一群のレーンによって生成された活動インジケータ及びエラーチェックデータのミスマッチを特定する。該方法は、第２のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はエラーチェックデータのミスマッチが存在する、うちの少なくとも１つであるときに、コントローラの動作を停止する。
【0018】
これらの特性及び機能は、本開示の様々な実施形態で独立して実現することもできるし、以下の説明及び図面に関連してさらなる詳細を理解することができる、さらに別の実施形態において組み合わされてもよい。
【0019】
例示的な実施形態の特徴とされている新規な特徴は、添付の特許請求の範囲に記載されている。しかし、例示的な実施形態並びに好ましい使用モード、さらなる目的及びそれらの特徴は、添付図面を参照しつつ本開示の例示的な実施形態に関する以下の詳細な説明を読むことによって、最もよく理解されるであろう。
【図面の簡単な説明】
【0020】
【図1】例示的な一実施形態による、三重の冗長性環境のブロック図である。
【図2】例示的な一実施形態による、制御システムのブロック図である。
【図3】例示的な一実施形態による、三重の冗長性を有する制御システムを管理するためのプロセスのフローチャートである。
【図4】例示的な一実施形態による、モニタリングレーンのためのプロセスのフローチャートである。
【図5】例示的な一実施形態による、サイクリック冗長性値のミスマッチが存在するか否かを判定するためのプロセスのフローチャートである。
【図6】例示的な一実施形態による、データ処理システムのブロック図である。
【図7】例示的な一実施形態による、航空機製造及び保守方法のブロック図である。
【図8】例示的な一実施形態が実装され得る航空機のブロック図である。
【発明を実施するための形態】
【0021】
例示的な実施形態は、１以上の種々の検討事項を認識し考慮する。例えば、例示的な実施形態は、現在の三重の冗長システムが望まれる程度に効率的に第２のレーンの故障を取り扱うことができ得ないことを認識し考慮する。例えば、例示的な実施形態は、航空機内のシステムの制御を得ることによって望ましくないやり方でレーンを動作させるのは望ましくないことを認識し考慮する。例示的な実施形態は、イベントのシーケンスの追跡を続けるために「グルーロジック（glue‐logic）」を構築するように独立した単純な電子機器が使用され得ることを認識し考慮する。それによって、第２の故障したレーンは、第１の故障したレーンを再起動することができず、最後の残っている健全なレーンが、システムをシャットダウンし該システムを「フェイルセーフ」の状態に置く権限を有し得る。例示的な実施形態は、このアプローチの１つの難しさが、望ましいように機能し得ない複雑なデバイスに依存することなしに、電力サイクルに耐えるイベントのシーケンスのメモリを保持するための機構を含むことを認識し考慮する。
【0022】
したがって、例示的な実施形態は、制御システムを管理するための方法、装置、及びシステムを提供する。航空機のための三重の冗長性を有する制御システムを管理するプロセスが存在する。該プロセスは、第１のレーン故障が以前に生じていた３つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信する。活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値が、メッセージ内で特定される。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。第２のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも１つであるときに、コントローラの動作が停止される。
【0023】
次に図面、特に図１を参照すると、例示的な一実施形態による三重の冗長性環境のブロック図が描かれている。この例示的な実施例では、三重の冗長性環境１００が、航空機１０４の形態を採るプラットフォーム１０２を含み得る。
【0024】
描かれているように、航空機１０４内の制御システム１０６は、システム１０８の動作を制御する。例示的な実施例では、システム１０８が様々な形態を採り得る。例えば、システム１０８は、アクチュエータ、バルブ、サーボモータ、飛行操縦翼面、インフライト娯楽システム、燃料システム、エンジン、環境制御システム、自動操縦装置、着陸装置システム、又は何らかの他の適切な種類のシステムのうちの少なくとも１つから選択され得る。
【0025】
本明細書で使用される場合、列挙されたアイテムと共に使用される「～のうちの少なくとも１つ」という表現は、列挙されたアイテムのうちの１以上の種々の組み合わせが使用されてもよく、また列挙された各アイテムのうちの１つだけが必要とされてもよいということを意味する。換言すると、「～のうちの少なくとも１つ」とは、アイテムの任意の組み合わせ、及び幾つかのアイテムが、列挙された中から使用され得ることを意味するが、列挙されたアイテムの全てが必要となる訳ではないことを意味する。アイテムとは、特定の対象物、物品、またはカテゴリであってよい。
【0026】
例えば、限定するものではないが、「アイテムＡ、アイテムＢ、及びアイテムＣのうちの少なくとも１つ」は、「アイテムＡ」、「アイテムＡとアイテムＢ」、または「アイテムＢ」を含んでいてよい。この例はまた、「アイテムＡとアイテムＢとアイテムＣ」、又は「アイテムＢとアイテムＣ」も含むことができる。これらのアイテムの何れかの組み合わせも、もちろん存在してよい。ある例示的な実施例では、「～のうちの少なくとも１つ」は、限定しないが例として、「２個のアイテムＡと１個のアイテムＢと１０個のアイテムＣ」、「４個のアイテムＢと７個のアイテムＣ」、又は他の適切な組み合わせであってよい。
【0027】
この特定の実施例では、制御システム１０６が、コンピュータシステム１４２内に実装され得る。コンピュータシステム１４２は、物理的なハードウェアシステムであり、１以上のデータ処理システムを含む。２以上のデータ処理システムが存在するときに、これらのデータ処理システムは、通信媒体を使用して互いと通信する。通信媒体は、ネットワークであってもよい。データ処理システムは、コンピュータ、サーバコンピュータ、ライン交換ユニット、タブレット、又は何らかの他の適切なデータ処理システムのうちの少なくとも１つから選択され得る。
【0028】
描かれているように、制御システム１０６は、飛行制御電子システム１１０及びコントローラ１１２を備える。この例示的な実施例では、コントローラ１１２が、飛行操縦翼面１１４の形態を採るシステム１０８を制御する。例示的な実施例では、この制御が、飛行操縦翼面１１４に連結されたアクチュエータをコントローラ１１２が制御する、直接的な制御であり得る。飛行操縦翼面１１４は、種々の形態を採り得る。例えば、飛行操縦翼面１１４は、エルロン、エレベータ、ラダー、スポイラー、フラップ、スラット、エアブレーキ、及び何らかの他の適切な種類の飛行操縦翼面から選択され得る。
【0029】
この例示的な実施例では、飛行制御電子システム１１０が、マスターコントローラ１４６として機能する一方で、コントローラ１１２は、より低いレベルのコントローラである。飛行制御電子システム１１０は、コントローラ１１２に加えて、１以上のコントローラをモニタ及び制御し得る。それらの他のコントローラは、飛行操縦翼面１１４に加えて、航空機１０４のための他の平面制御装置を制御し得る。
【0030】
コントローラ１１２は、飛行操縦翼面１１４に加えて又は代えて、システム１０８内の他のシステム若しくは構成要素又は他のシステムを制御し得る。例えば、システム１０８は、アクチュエータ、バルブ、サーボモータ、インフライト娯楽システム、燃料システム、エンジン、環境制御システム、自動操縦装置、着陸装置システム、又は何らかの他の適切な種類のシステムのうちの少なくとも１つから選択され得る。
【0031】
この例示的な実施例では、飛行制御電子システム１１０が、３つのレーンを含むコントローラ１１２内のレーン１２０内の送信レーン１１８から一群のメッセージ１１６を受信するように構成されている。描かれているように、一群のメッセージ１１６は、暗号化され得る。本明細書で使用される際に、「一群の」は、アイテムに関して使用されるときに、１以上のアイテムを意味する。例えば、「一群のメッセージ１１６」は、１以上のメッセージを意味する。
【0032】
この例示的な実施例では、第１のレーン故障１２２が、コントローラ１１２内で以前に生じていた。制御システム１０６の動作中に、飛行制御電子システム１１０は、一群のメッセージ１１６内の、活動インジケータ１２４、一群のレーン１２０内の各レーンによって生成されたステータス１２６、及び一群のレーン１２０内の各レーンによって生成されたエラーチェックデータ１４４を特定する。一群のレーンは、未だ健全であるか又は性能の所望のレベルで動作していると考えられるレーン１２０である。この例示的な実施例では、エラーチェックデータ１４４は、サイクリック冗長性チェック値１２８の形態を採る。
【0033】
描かれているように、メッセージ１１６のうちの１以上で情報が送信され得る。言い換えると、活動インジケータ１２４、各レーンに対するステータス１２６、及び各レーンに対するサイクリック冗長性チェック値１２８は、単一のメッセージ内に存在し得る。例えば、２つのレーンが起動しているならば、単一のメッセージは、活動インジケータ１２４、２つのステータスメッセージ、及び２つのサイクリック冗長性チェック値を含み得る。
【0034】
描かれているように、一群のレーン１２０内のレーン１３０によって生成されたサイクリック冗長性チェック値１２８は、レーン１３０に割り当てられたキー１３２を使用して生成される。この例示的な実施例では、サイクリック冗長性チェック値１２８が、一群のメッセージ１１６内の活動インジケータ１２４及びステータス１２６に更に基づき得る。
【0035】
この例示的な実施例では、飛行制御電子システム１１０が、一群のメッセージ１１６内の、活動インジケータ１２４、ステータス１２６、一群のレーン１２０内のレーン１３０のための局所的なキー１４０を使用して、一群のメッセージ１１６に対する局所的なサイクリック冗長性チェック値１３８を計算するように構成されている。レーン１３０のための局所的なキー１４０は、飛行制御電子システム１１０に配置されたレーン１３０に割り当てられたキーである。局所的なキー１４０は、これらの例示的な実施例においてサイクリック冗長性チェックを実行するときに、飛行制御電子システム１１０とコントローラ１１２との間で送信されない。
【0036】
飛行制御電子システム１１０は、第２のレーン故障１３４が生じたことを示す、コントローラ１１２内の送信レーン１１８から受信された一群のメッセージ１１６内で、ステータス１２６において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも１つであるときに、コントローラ１１２の動作を停止する。この例示的な実施例では、コントローラ１１２が、遠隔の電子ユニット１３６である。例えば、飛行制御電子システム１１０は、コントローラ１１２から電力を除去することによってコントローラ１１２の動作を停止し得る。
【0037】
制御システム１０６及び制御システム１０６内の種々の構成要素は、ソフトウェア、ハードウェア、ファームウェア、又はそれらの組み合わせの中に実装され得る。ソフトウェアが使用されるときに、制御システム１０６によって実行される動作は、プロセッサユニットなどのハードウェア上で実行されるよう構成されたプログラムコードの中に実装され得る。ファームウェアが使用されるときに、制御システム１０６によって実行される動作は、プロセッサユニット上で実行されるようにプログラムコード及びデータの中に実装され、且つ、固定記憶域に記憶され得る。ハードウェアが採用されるときに、ハードウェアは制御システム１０６内で動作を実施するために動作する回路を含んでいてよい。
【0038】
例示的な実施例において、ハードウェアは、回路システム、集積回路、特定用途向け集積回路（ＡＳＩＣ）、プログラマブル論理デバイス、または、幾つかの動作を実行するよう構成された何らかの他の適切な種類のハードウェアのうちの、少なくとも１つから選択された形態を採り得る。プログラマブル論理デバイスを用いる場合、該デバイスは、幾つかの動作を実施するように構成されてよい。該デバイスは、幾つかの動作を実施するよう、後で再構成されてもよく、または恒久的に構成されてもよい。プログラマブル論理デバイスは、例えば、プログラマブル論理アレイ、プログラマブルアレイ論理、フィールドプログラマブル論理アレイ、フィールドプログラマブルゲートアレイ、及び、他の適切なハードウェア装置を含む。加えて、これらのプロセスは、無機構成要素に組み込まれた有機構成要素に実装されていてもよいし、全てが人間以外の有機構成要素でからなっていてもよい。例えば、これらのプロセスは、有機半導体の回路として実装されていてよい。
【0039】
例示的な一実施例では、制御システムを管理することによって技術的な問題を克服する１以上の技術的な解決策が存在する。それによって、第２のレーン故障は、望ましくないやり方で動作しないシステムを実現するように管理される。結果として、１以上の技術的な解決策は、三重の冗長性システムにおける冗長性のための現在の技術と比較して、コントローラ内のレーンが望ましくないやり方で動作しているときをより効果的に検出するための技術的効果を提供し、そのレーンを管理し得る。
【0040】
更に、１以上の技術的な解決策は、コントローラ１１２などのより低いレベルのコントローラからのデータをモニタして、第２のレーン故障がより低いレベルのコントローラ内で生じたか否かを判定する、飛行制御電子システム１１０などのマスターコントローラを含む。これらの１以上の技術的な解決策では、マスターコントローラが、コントローラ１１２及びコントローラ１１２によって制御されるシステム１０８のうちの少なくとも一方に対する動作を決定し制御する。
【0041】
このやり方では、コントローラがコントローラ内のレーンをモニタ及び制御する現在の制御システムの１以上の問題が低減され得る。例えば、シャットダウンされた以前に故障したレーンが、第２の故障したレーンによって再スタートされ、コントローラ及びコントローラによって制御されるシステムを制御する望ましくないやり方で動作し得る２つのレーンをもたらす状況を避けることができる。
【0042】
結果として、コンピュータシステム１４２は、コンピュータシステム１４２内の制御システム１０６が、第１のレーン故障が生じた後での制御を管理することを可能にする、専用コンピュータシステムとして動作する。特に、制御システム１０６を有さない現在の利用可能な汎用コンピュータシステムと比較して、制御システム１０６は、コンピュータシステム１４２を専用コンピュータシステムへ変換する。
【0043】
図１の三重の冗長性環境１００の図は、例示的な一実施形態が実装され得るやり方に対して物理的又は構造的な限定を課すことを意図するものではない。示されている構成要素に加えて又は代えて、他の構成要素が使用されてもよい。幾つかの構成要素は不要であってよい。更に、一部の機能構成要素を図示するために、ブロックが提示されている。例示的な実施形態で実施されるときに、これらのブロックのうちの１つ以上が、結合されても、分割されても、結合且つ分割されて異なるブロックになってもよい。
【0044】
例えば、例示的な実施例は、航空機１０４の形態を採るプラットフォーム１０２に関して説明されているが、別の例示的な一実施例は、他の種類のプラットフォームに適用されてもよい。例えば、プラットフォーム１０２は、移動式プラットフォーム、固定式プラットフォーム、陸上構造物、水上構造物、及び宇宙構造物であってもよい。より具体的には、プラットフォーム１０２は、水上艦、戦車、人員運搬機、列車、宇宙船、宇宙ステーション、衛星、潜水艦、自動車、発電所、橋、ダム、家屋、製造施設、建造物、及び他の適切なプラットフォームであり得る。
【0045】
別の例示的な一実施例では、エラーチェックデータ１４４が、サイクリック冗長性チェック値１２８とは異なる他の形態を採り得る。例えば、エラーチェックデータ１４４は、パリティビット、チェックサム、水平冗長性チェック値、又はメッセージ、パケット、若しくは情報の他の形態を送信することにおいてエラーをチェックするために使用される他の種類のデータのうちの少なくとも１つから選択され得る。言い換えると、１以上の種類のエラーチェックデータ１４４が使用され得る。
【0046】
別の一実施例として、ステータス１２６が、メッセージ１１６から省略され得る。ある場合では、エラーのチェックが、ステータス１２６を送信することなしに実行され得る。ステータス１２６は、サイクリック冗長性チェック値１２８などのエラーチェックデータ１４４を生成することにおいて使用され得る。この実施例では、異常及びステータスが、サイクリック冗長性チェックのミスマッチを通じて検出され得る。この実施例では、サイクリック冗長性チェック値のミスマッチに対する活動インジケータのミスマッチが存在するときに、異常が存在する。
【0047】
例示的な更に別の一実施例では、送信レーン１１８からのステータス１２６が、エラーチェックデータ１４４なしに送信され得る。この実施例では、活動インジケータのミスマッチが存在することをステータス１２６が示すときに、異常が存在する。
【0048】
更に別の例示的な一実施例では、ステータス１２６が、エラーのチェックなしに送信レーン１１８によって送信され得る。そして、送信レーン１１８以外のレーン１２０内の他のレーンは、ステータス１２６なしにサイクリック冗長性チェック値１２８を生成する。この場合では、活動インジケータのミスマッチが生じるときに、異常が検出される。
【0049】
【0050】
この例示的な実施例では、制御システム２００が、飛行制御電子（FCE）システム２０２及び遠隔電子ユニット（REU）２０４を含む。遠隔電子ユニット２０４は、図１のコントローラ１１２の一例である。
【0051】
描かれているように、遠隔電子ユニット２０４は、３つのレーン、レーン１２０６、レーン２ ２０８、及びレーン３２１０を含む。これらのレーンは、制御システム２００における３重の冗長性を提供する。描かれているように、レーン１２０６は、送信レーン２１２である。送信レーン２１２は、飛行制御電子システム２０２と直接的に通信する。他のレーンは、送信レーン２１２を通じて情報を送信する。
【0052】
この例示的な実施例では、第１のレーン故障が以前に生じていた。描かれているように、レーン３２１０は、故障して動作が停止されてしまった。送信レーン２１２とレーン２２０８は、遠隔電子ユニット２０４内で起動しているレーンである。
【0053】
描かれているように、飛行制御電子システム２０２は、活動インジケータ２１４を生成し、送信レーン２１２及びレーン２２０８に送信する。この例示的な実施例において、活動インジケータ２１４は、活動インジケータ２１４が生成される度に増加する数値である。例示的な実施例では、活動インジケータ２１４が、制御システム２００の動作中に連続的に変化する。遠隔電子ユニット２０４の動作中に大き過ぎる遅延が生じたならば、戻される活動インジケータは、活動インジケータ２１４と合致しないことになる。大き過ぎる遅延の量は、どれだけの遅延が遠隔電子ユニット２０４の望ましくない動作をもたらすかに基づいて選択され得る。
【0054】
レーン２ ２０８は、ステータス２ ２１６を生成する。ステータスは、レーン２２０８が特定する異常を示し得る。この異常は、レーン２ ２０８又は送信レーン２１２に対するものであり得る。レーン２ ２０８は、活動インジケータ２１５、ステータス２ ２１６、及びキー２ ２２０を使用して、サイクリック冗長性チェック値（CRC2）１２８を生成する、サイクリック冗長性チェック（CRC）生成器２３０を有する。キー２ ２２０は、レーン２ ２０８に割り当てられたキーである。レーン２２０８は、送信レーン２１２にメッセージ２２２を送信する。理想的には、活動インジケータ２１５が、活動インジケータ２１４と同じ値を有するべきである。メッセージ２２２は、ステータス２２１６とサイクリック冗長性チェック値１２８を含む。
【0055】
この例示的な実施例では、送信レーン２１２がステータス１２２４を生成する。ステータス１ ２２４は、送信レーン２１２が送信レーン２１２又はレーン２ ２０８に対して特定し得る異常のインジケータを含む。送信レーン２１２は、活動インジケータ２４８、ステータス1 ２２４、及びキー1 ２２８を使用してサイクリック冗長性チェック値（CRC1）２２６を生成する、サイクリック冗長性チェック（CRC）生成器２３２を有する。キー1 ２２８は、送信レーン２１２に割り当てられたキーである。
【0056】
更に、サイクリック冗長性チェック生成器２３２は、サイクリック冗長性チェック生成器２３０から分離した構成要素として示されている。ある例示的な実施例では、これらの２つのブロックが、単一の物理的な構成要素によって生成されるサイクリック冗長性チェック値と組み合され得る。
【0057】
描かれているように、送信レーン２１２は、メッセージ２３４を生成し送信する。この実施例では、メッセージ２３４が、活動インジケータ２４８、ステータス１２２４、サイクリック冗長性チェック値２２６、ステータス２ ２１６、及びサイクリック冗長性チェック値２１８を含む。活動インジケータ２４８は、活動インジケータ２１４と同じであるか又は異なる値であってもよい。
【0058】
メッセージ２３４は、飛行制御電子システム２０２に送信される。描かれているように、メッセージ２３４は、二重のレーン故障モニタ２３６によって処理される。二重のレーン故障モニタ２３６は、遠隔電子ユニット２０４内の第１のレーンが故障したときに動作を開始する。二重の故障モニタ２３６は、メッセージ２３４などの入ってくるメッセージをモニタして、遠隔電子ユニット２０４内の２つの残りのレーン内の１つのレーンが故障したか否かを判定する。
【0059】
二重のレーン故障モニタ２３６は、遠隔電子ユニット２０４内の各レーンによって生成されたステータスを検査して、ステータスの何れかが、送信レーン２１２又はレーン２２０８内で異常又は故障が生じたことを示すか否かを判定する。更に、二重のレーン故障モニタ２３６は、活動インジケータ２１４がメッセージ２３４内の活動インジケータ２４８とマッチしない、活動インジケータのミスマッチもモニタする。
【0060】
サイクリック冗長性チェック値のミスマッチが存在するか否かを判定することにおいて、二重のレーン故障モニタ２３６は、送信レーン２１２に対する局所的なサイクリック冗長性チェック値（LCRC1）２３８、及び、レーン２ ２０８に対する局所的なサイクリック冗長性チェック値（LCRC2）２４０を生成する。これらの値は、局所的なキー１２４４及び局所的なキー２ ２４６などの局所的なキー２４２を使用して生成される。局所的なキー１ ２４４は、キー１ ２２８に対する局所的なキーであり、局所的なキー２２４６は、キー２ ２２０に対する局所的なキーである。
【0061】
これらの局所的なサイクリック冗長性チェック値は、メッセージ２２２内のサイクリック冗長性チェック値と比較されて、サイクリック冗長性チェック値のミスマッチが存在するか否かを判定する。構成要素に対する一部のプロセスが、レーンに対する偽のステータスを生成し得る可能性を低減することにおいて、キーの使用は助けとなる。
【0062】
例示的な実施例では、各レーンが、活動インジケータ２１４を使用して、サイクリック冗長性チェック値を生成する。新しいデータが特定のレーンによってパスされない又はデータがゆっくりとパスされるならば、戻される活動インジケータ、すなわちメッセージ２３４内の活動インジケータ２４８は、活動インジケータ２１４とマッチしないことになる。
【0063】
ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも１つであるときに、第２のレーン故障が存在する。この例示的な実施例では、二重のレーン故障モニタ２３６によって第２のレーン故障が特定されたときに、遠隔電子ユニット２０４から電力が除去される。
【0064】
次に図３を参照すると、例示的な一実施形態による、三重の冗長性を有する制御システムを管理するためのプロセスのフローチャートが描かれている。図３で示されているプロセスは、図１の制御システム１０６内の飛行制御電子システム１１０内に実装され得る。図３で示されている種々の動作は、プログラムコード、ハードウェア、又はそれらの組み合わせとしてデータ処理システム内に実装され、該データ処理システムは、図１のコンピュータシステム１４２などの飛行制御電子システムを実施するために使用され得る。
【0065】
該プロセスは、第１のレーン故障が以前に生じていた３つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信することによって開始する（動作３００）。該方法は、一群のメッセージ内の、活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値を特定する（動作３０２）。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。
【0066】
該プロセスは、第２のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが一群のメッセージ内に存在する、うちの少なくとも１つであるときに、コントローラの動作を停止する（動作３０４）。本プロセスは、その後、終了する。
【0067】
次に図４を参照すると、例示的な一実施形態による、レーンをモニタするためのプロセスのフローチャートが描かれている。図４で示されているプロセスは、図２の制御システム２００内の飛行制御電子システム２０２内に実装され得る。このプロセスは、図２の制御システム２００内の飛行制御電子システム２０２内の二重のレーン故障モニタ２３６内にも実装され得る。図２で示されている種々の動作は、プログラムコード、ハードウェア、又はそれらの組み合わせとしてデータ処理システム内に実装され、該データ処理システムは、図１のコンピュータシステム１４２などの飛行制御電子システムを実施するために使用され得る。
【0068】
該プロセスは、コントローラ内の送信レーンからメッセージを受信することによって開始する（動作４００）。該プロセスは、活動インジケータ、送信レーンからのステータス、第２の動作しているレーンからのステータス、送信レーンによって生成されたサイクリック冗長性チェック値、及び第２の動作しているレーンによって生成されたサイクリック冗長性チェック値を特定する（動作４０２）。該プロセスは、メッセージ内で特定された情報を使用して異常が存在するか否かを判定する（動作４０４）。この例示的な実施例では、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はエラーチェックデータのミスマッチが存在する、うちの１つであるときに、この実施例において異常が存在する。
【0069】
異常が存在するならば、該プロセスは、修正動作を実行し（動作４０６）、その後、本プロセスは終了する。この修正動作は、様々な形態を採り得る。例えば、該プロセスは、コントローラから電力を除去し、コントローラを通信バスから接続解除し、コントローラをシャットダウンし、コントローラをリブートし、又は何らかの他の動作を行い得る。
【0070】
再び動作４０４を参照すると、異常が存在しないならば、該プロセスは、動作４００に戻る。このプロセスでは、コントローラが、コントローラを「フェイルセーフ」モードへ置くための責任から解放される。
【0071】
次に図５を参照すると、例示的な一実施形態による、サイクリック冗長性値のミスマッチが存在するか否かを判定するためのプロセスのフローチャートが描かれている。図５で示されているプロセスは、図１の制御システム１０６内の飛行制御電子システム１１０内に実装され得る。図５で示されている種々の動作は、プログラムコード、ハードウェア、又はそれらの組み合わせとしてデータ処理システム内に実装され、該データ処理システムは、図１のコンピュータシステム１４２などの飛行制御電子システムを実施するために使用され得る。
【0072】
該プロセスは、一群のメッセージ内の、活動インジケータ、ステータス、及び一群のレーン内のあるレーンに対する局所的なキーを使用して、一群のメッセージに対する局所的なサイクリック冗長性チェック値を計算することによって開始する（動作５００）。局所的なキーは、図１の飛行制御電子システム１１０内に配置されるキーである。局所的なキーは、図１で示されている航空機１０４の通常の動作中に、飛行制御電子システム１１０とコントローラ１１２との間の任意の通信において送信されない。
【0073】
該プロセスは、コントローラから受信したメッセージ内のサイクリック冗長性チェック値を特定する（動作５０２）。サイクリック冗長性チェック値と局所的なサイクリック冗長性チェック値との間にマッチが存在するか否かに関して判定が行われる（動作５０４）。マッチが存在しないならば、該プロセスは、ミスマッチが生じたことを示し（動作５０６）、その後、本プロセスは終了する。そうでない場合に、該プロセスは、マッチが存在することを示し（動作５０８）、その後、本プロセスは終了する。
【0074】
図示した種々の実施形態におけるフローチャート及びブロック図は、例示的な一実施形態における、装置及び方法の幾つかの可能な実施態様の構造、機能、及び動作を示している。これに関し、フローチャート又はブロック図内の各ブロックは、モジュール、セグメント、機能、又は動作若しくはステップの一部分のうちの少なくとも１つを表わし得る。例えば、ブロックのうちの１以上は、プログラムコード、ハードウェア、又はプログラムコードとハードウェアの組合せとして実装されてよい。ハードウェア内に実装されたときに、ハードウェアは、例えば、フローチャートまたはブロック図の１以上の動作を実行するように製造又は構成された、集積回路の形態を採り得る。プログラムコードとハードウェアの組み合わせとして実装されたときに、この実装態様は、ファームウェアの形態を採り得る。フローチャート又はブロック図の各ブロックは、種々の動作を実行する専用ハードウェアシステム、又は専用ハードウェアと専用ハードウェアによって実行されるプログラムコードの組み合わせを使用して実装され得る。
【0075】
例示的な一実施形態の幾つかの代替的な実施態様では、ブロック内に記載された１以上の機能は、図中に記載された順序を逸脱して出現し得る。例えば、場合によっては、連続して示される２つのブロックがほぼ同時に実施されること、又は時には含まれる機能に応じてブロックが逆順に実施されることもあり得る。更に、フローチャート又はブロック図に描かれているブロックに加えて、他のブロックが追加されることもある。
【0076】
次に図６を参照すると、例示的な一実施形態による、データ処理システムのブロック図が描かれている。データ処理システム６００を使用して、図１のコンピュータシステム１４２を実行することができる。この例示的な実施例では、データ処理システム６００は通信フレームワーク６０２を含み、これによりプロセッサユニット６０４、メモリ６０６、固定記憶域６０８、通信ユニット６１０、入／出力ユニット６１２、及びディスプレイ６１４間の通信が行われる。この例では、通信フレームワーク６０２は、バスシステムの形態を採り得る。
【0077】
プロセッサユニット６０４は、メモリ６０６に読み込まれてよいソフトウェアに対する指示命令を実行する役割を果たす。プロセッサユニット６０４は、具体的な実装態様に応じて、任意の数のプロセッサであるか、マルチプロセッサコアであるか、又は他の何らかの種類のプロセッサであってよい。
【0078】
メモリ６０６及び固定記憶域６０８は、記憶デバイス６１６の一例である。記憶デバイスは、例えば、限定するものではないが、データ、機能的な形態のプログラムコードなどの情報、又は他の適切な情報のうちの少なくとも１つを一時的に及び／又は永続的に記憶できる、任意のハードウェアである。記憶デバイス６１６は、これらの例示的な実施例では、コンピュータ可読記憶デバイスとも称され得る。これらの実施例で、メモリ６０６は、例えばランダムアクセスメモリ、又は任意の他の適切な揮発性或いは不揮発性の記憶デバイスであってもよい。固定記憶域６０８は、特定の実施態様に応じて様々な形態を採り得る。
【0079】
例えば、固定記憶域６０８は、１以上の構成要素又は装置を含んでいてよい。例えば、固定記憶域６０８は、ハードドライブ、ソリッドステートハードドライブ、フラッシュメモリ、書換え型光学ディスク、書換え可能磁気テープ、又は上述の何らかの組み合わせであってもよい。固定記憶域６０８によって使用される媒体も、着脱可能であってよい。例えば、着脱可能ハードドライブが固定記憶域６０８に使用され得る。
【0080】
これらの例示的な実施例では、通信ユニット６１０が、他のデータ処理システム又は装置との通信を提供する。これらの例示的な実施例では、通信ユニット６１０はネットワークインタフェースカードである。
【0081】
入／出力ユニット６１２は、データ処理システム６００に接続され得る他の装置との間のデータの入出力を可能にする。例えば、入／出力ユニット６１２は、キーボード、マウス、または他の何らかの適切な入力装置のうちの少なくとも１つを通じて、ユーザ入力のための接続を提供し得る。更に、入／出力ユニット６１２は、プリンタに出力を送信し得る。ディスプレイ６１４は、ユーザに情報を表示するための仕組みを提供する。
【0082】
オペレーティングシステム、アプリケーション、又はプログラムのうちの少なくとも１つに対する指示は、通信フレームワーク６０２を介してプロセッサユニット６０４と通信する記憶デバイス６１６内に位置していてもよい。種々の実施形態のプロセスは、メモリ６０６などのメモリの中に含まれ得るコンピュータによって実行される指示を使用して、プロセッサユニット６０４によって実行され得る。
【0083】
これらの指示命令は、プロセッサユニット６０４内のプロセッサによって読み取られ実行され得る、プログラムコード、コンピュータ使用可能プログラムコード、又はコンピュータ可読プログラムコードと呼ばれる。種々の実施形態のプログラムコードは、メモリ６０６又は固定記憶域６０８といった、種々の物理的記憶媒体又はコンピュータ-可読記憶媒体上で具現化され得る。
【0084】
プログラムコード６１８は、選択的に着脱可能であるコンピュータ可読媒体６２０に機能的形態で置かれ、プロセッサユニット６０４によって実行するためにデータ処理システム６００に読み込ませたり、転送したりしてもよい。プログラムコード６１８とコンピュータ-可読媒体６２０は、これらの実施例では、コンピュータプログラム製品６２２を形成する。一実施例では、コンピュータ可読媒体６２０は、コンピュータ可読記憶媒体６２４又はコンピュータ可読信号媒体６２６になり得る。
【0085】
これらの例示的な実施例では、コンピュータ可読記憶媒体６２４は、プログラムコード６１８を伝搬または伝送する媒体というよりは、むしろプログラムコード６１８を記憶するために使用される、物理的記憶装置又は有形記憶装置である。
【0086】
別の態様では、プログラムコード６１８は、コンピュータ可読信号媒体６２６を使用して、データ処理システム６００に伝送され得る。コンピュータ可読信号媒体６２６は、例えば、プログラムコード６１８を包含する伝播されたデータ信号であってもよい。例えば、コンピュータ可読信号媒体６２６は、電磁信号、光信号、又は他の任意の適切な種類の信号のうちの少なくとも１つであってもよい。これらの信号は、無線通信リンク、光ファイバケーブル、同軸ケーブル、電線、または他の任意の好適な種類の通信リンクといった、少なくとも１つの通信リンクを介して伝送され得る。
【0087】
データ処理システム６００に関して図示した種々の構成要素は、種々の実施形態が実行され得るやり方に対して構造的制限を設けることを意図していない。種々の例示の実施形態は、データ処理システム６００に対して図解されている構成要素に対して追加的又は代替的な構成要素を含むデータ処理システム内で実行され得る。図６に示す他の構成要素は、図示の実施例と異なることがある。種々の実施形態は、プログラムコード６１８を実行可能な任意のハードウェアデバイス又はシステムを使用して実行され得る。
【0088】
本開示の例示的な実施形態は、図７に示す航空機の製造及び保守方法７００、及び図８に示す航空機８００に関連して説明され得る。まず図７を参照するに、例示的な実施形態に係る航空機の製造及び保守方法のブロック図が示されている。製造前の段階では、航空機の製造及び保守方法７００は、図８の航空機８００の仕様及び設計７０２と、材料調達７０４とを含み得る。
【0089】
製造段階では、図８の航空機８００の、構成要素及びサブアセンブリの製造７０６とシステムインテグレーション７０８とが行われる。その後、図８の航空機８００は、運航７１２に供されるために、認可及び納品７１０を経てよい。顧客による運航７１２の期間中に、図８の航空機８００には、改造、再構成、改修、及びその他の整備又は保守を含みうる定期的な整備及び保守７１４が予定される。
【0090】
航空機の製造及び保守方法７００の各プロセスは、システムインテグレータ、第三者、事業者、又はこれらの幾つかの組み合わせによって、実施または実行され得る。これらの実施例では、事業者は顧客であってよい。この明細書において、システムインテグレータは、任意の数の航空機製造業者及び主要システム下請業者を含みうるが、それらに限定されるわけではなく、第三者は、任意の数のベンダー、下請業者、及び供給業者を含みうるが、それらに限定されるわけではなく、オペレータは、航空会社、リース会社、軍事団体、サービス機関等であり得る。
【0091】
次に図８を参照すると、例示的な実施形態が実行され得る航空機のブロック図が示されている。この例では、航空機８００は、図７の航空機の製造及び保守方法７００によって製造され、且つ、複数のシステム８０４と内装８０６とを有する機体８０２を含み得る。システム８０４の例は、推進システム８０８、電気システム８１０、油圧システム８１２、及び環境システム８１４のうちの１以上を含む。任意の数の他のシステムが含まれてよい。
【0092】
航空宇宙産業の例が示されているが、種々の例示的な実施形態が、自動車産業といった他の産業に適用されてもよい。本明細書で具現化される装置及び方法は、図7の航空機の製造及び保守方法７００のうちの少なくとも１つの段階で用いられ得る。
【0093】
一実施例では、図７の構成要素及びサブアセンブリの製造７０６で製造される構成要素又はサブアセンブリは、図７の、航空機８００の運航７１２の期間中に製造される構成要素又はサブアセンブリと同様の様態で、作製又は製造され得る。更に別の例では、１以上の装置の実施形態、方法の実施形態、又はこれらの組み合わせを、図７の構成要素及びサブアセンブリの製造７０６並びにシステム組立７０８などの製造段階で、利用することができる。
【0094】
例えば、図１の制御システム１０６及び図２の制御システム２００は、システム８０４内の種々のシステムを制御するために、構成要素及びサブアセンブリの製造７０６又はシステムインテグレーション７０８のうちの少なくとも一方の間に航空機８００内に実装され得る。描かれているように、図１の制御システム１０６及び図２の制御システム２００は、飛行操縦翼面システム８０７、推進システム８０８、電気システム８１０、油圧システム８１２、環境システム８１４、又は航空機８００のための他のシステムのうちの少なくとも１つを制御するために使用され得る。
【0095】
１以上の装置の実施形態、方法の実施形態、又はこれらの組み合わせを、航空機８００の図７における運航７１２、整備及び保守７１４の間、又はその両方の間に利用することができる。幾つかの異なる例示的な実施形態の利用により、航空機８００の組み立てを大幅に効率化すること、航空機８００のコストを削減すること、又は航空機８００の組み立てを大幅に効率化することと、航空機８００のコストを削減することの両方が可能になる。例えば、図１の制御システム１０６及び図２の制御システム２００は、航空機８００の運航７１２中に動作し得る。更に、図１の制御システム１０６及び図２の制御システム２００は、図８の航空機８００が図７の通常の整備及び保守７１４の予定を組まれているときに、新しい構成要素として追加され又は更新され得る。図７の通常の整備及び保守７１４には、修正、再構成、改修、及び他の整備若しくは保守が含まれ得る。
【0096】
したがって、三重の冗長性を有する制御システムを管理するための方法及び装置の１以上の例示的な実施例が提供される。例示的な一実施例では、第２のレーン故障を管理する技術的な効果を提供する技術的な解決策が存在する。例示的な一実施例では、１つの技術的な解決策が、第２のレーン故障の発生を検出し飛行制御電子システムなどのマスターコントローラに報告するために健全なレーンを利用し、そのような故障がコントローラ内で報告されたならば飛行制御電子システムがアクチュエータをシャットダウンすることを可能にする。例示的な実施例では、アクチュエータのシャットダウンが実現され得る例示的な１つの機構としてのコントローラとして機能する遠隔電子ユニットから、電力が除去される。
【0097】
例示的な実施例では、データが１つのレーン、すなわち送信レーンから送信される。この送信レーンは、第２の故障レーンであり得る。飛行制御電子システムなどのマスターコントローラによって、データが受信される。送信レーンによって送信されたデータの解析が、飛行制御電子システムによって使用されて、故障が生じたか否かを判定する。
【0098】
例示的な実施例では、データが、活動インジケータ、ステータス、及びエラーチェックデータのうちの少なくとも１つを含む。この情報は、健全だと想定されていた送信レーンが故障レーンになった場合の保護のために使用され得る。
【0099】
例えば、各レーンは、異常がレーンによって見られたか否かのインジケータを含む「ステータス」を生成する。このステータスは、他のパラメータと共に、送信レーンに送信される。送信レーンは、１以上のメッセージ内の情報を、飛行制御電子システムに送信する。
【0100】
残りの２つのレーンの何れかがステータスを通じて異常を示したら、飛行制御電子システムはアクチュエータをシャットダウンする。そのアクチュエータのためのコントローラから電力を除去することによって、シャットダウンが実行され得る。故障した送信レーンが、この通信経路を妨害する又はデータを破壊することを防ぐために、エラーチェックデータがメッセージ内に含まれる。したがって、飛行制御電子システムは、データ経路が妨害されたか又はデータが破壊されたか否かを検出することができる。
【0101】
種々の例示的な実施形態の説明は、例示及び説明を目的として提示されており、網羅的であること、又は開示された形態の実施形態に限定することは意図されていない。動作又は工程を実施する構成要素が、種々の実施例によって説明される。一実施例においては、構成要素は、記載された動作や工程を実施するように構成され得る。例えば、この構成要素は、実施例において構成要素によって実施されると説明されている動作又は工程を実施する能力をこの構成要素に提供する構造向けの構成又は設計を有しうる。
【0102】
当業者には、多くの修正例及び変形例が明らかであろう。更に、種々の例示的な実施形態によって、他の好ましい実施形態と比較して異なる特徴が提供され得る。飛行制御電子システムからのコマンドに基づいて飛行操縦翼面のアクチュエータを制御する遠隔電子ユニットに関して、例示的な一実施例が説明されてきたが、他の例示的な実施例が、他の制御システムに適用可能であり得る。例えば、ダムのための水門におけるバルブを制御するコントローラ又は利用可能性が重要な何らかの他の種類の三重の冗長性システムに、別の例示的な一実施例が適用され得る。
【0103】
選択された１以上の実施形態は、実施形態の原理、実際の用途を最もよく説明するため、及び他の当業者に対し、様々な実施形態の開示内容と、考慮される特定の用途に適した様々な修正との理解を促すために選択及び記述されている。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】