(57)【要約】      （修正有）【課題】故障および外部攻撃に対する耐性がありながら、配線の量を最小化する、制御システムを提供する。【解決手段】本発明は、第１の処理ユニット１と、第２の処理ユニット２と、第１の処理ユニット１と第２の処理ユニット２との間に第１の２路デジタルリンク３および第２の２路デジタルリンク４を確立するために構成された通信手段とを含む、航空機の飛行制御システムに関し、第２のリンク４は、第１のリンク３に対する冗長であり、第１のリンク３および第２のリンク４は、相伴ってアクティブになることが見込まれ、システムはさらに、第１のリンク３および第２のリンク４における故障の場合に、第１の処理ユニット１と第２の処理ユニット２との間のデータのやり取りを可能にするバックアップ通信手段を含み、バックアップ通信手段は、センサもしくはアクチュエータのアレイ１３、および／またはアビオニクス用のセキュア機内ネットワーク１４を含む。【選択図】図１
2020030815.tif 000002
【特許請求の範囲】
【請求項１】
第１の処理ユニット（１）と、
第２の処理ユニット（２）と、
第１の処理ユニット（１）と第２の処理ユニット（２）との間に、第１の双方向デジタルリンク（３）および第２の双方向デジタルリンク（４）を確立するために構成された通信手段と
を含む、航空機の飛行制御システムであって、
前記第２のリンク（４）が、第１のリンク（３）に対する冗長であり、
前記第１のリンク（３）および第２のリンク（４）が、相伴ってアクティブになることができ、
前記システムがさらに、第１のリンク（３）および第２のリンク（４）の故障の場合に、第１の処理ユニット（１）と第２の処理ユニット（２）との間のデータのやり取りを保証する可能性を与えるバックアップ通信手段を含み、
前記バックアップ通信手段が、センサもしくはアクチュエータのネットワーク（１３）、および／またはアビオニクス用の機内セキュアネットワーク（１４）を含む、
飛行制御システム。
【請求項２】
第１のリンク（３）および第２のリンク（４）が、ＣＣＤＬ（「クロスチャネルデータリンク」）リンクである、請求項１に記載の飛行制御システム。
【請求項３】
機内セキュアネットワーク（１４）が、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット」）またはμＡＦＤＸタイプの、冗長イーサネットネットワークである、請求項１または２に記載の飛行制御システム。
【請求項４】
それぞれの処理ユニット（１、２）が、リンク（３、４）のそれぞれの上で受信されたデータの完全性を検証するための手段を含む、請求項１から３のいずれか一項に記載の飛行制御システム。
【請求項５】
それぞれの処理ユニット（１、２）が、第１のリンク（３）上および第２のリンク（４）上両方でのデータ項目の送信に続いて、第１のリンク（３）上および第２のリンク（４）上で受信されたデータの一貫性を検証するための手段を含む、請求項１から４のいずれか一項に記載の飛行制御システム。
【請求項６】
通信手段が、第１の処理ユニット（１、２）から第２の処理ユニット（２、１）に、第１の処理ユニット（１、２）の健全性に関連したデータを送信するために構成されており、前記システムが、第１の処理ユニットの健全性に関連した送信されたデータおよび第２の処理ユニット（２、１）の健全性に関連したデータに従って、第１の処理ユニット（１、２）および第２の処理ユニット（２、１）の中から、前記航空機のエンジンを制御するための処理ユニットを選択するための手段を含む、請求項１から５のいずれか一項に記載の、航空機の飛行制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の対象は、２つの処理ユニットまたはコンピュータを含み、２路アーキテクチャを形成する、航空機のための飛行制御システムである。
【０００２】
本システムは、最も特には、ヘリコプターエンジンなどの、縮小された規模を持つエンジンに適用される。
【背景技術】
【０００３】
既存の飛行機またはヘリコプターなどの航空機に装備する機内飛行制御システムは、航空機のエンジンを制御するための機能および調整するための機能を実行して、航空機のエンジンの適正な動作を保証する。そのような機能は、乗客の安全のために重要である。したがって、そのようなシステムは、フェールセーフなシステムでなければならない。
【０００４】
このために、既存の飛行制御システムは、一般に、２つの処理ユニットまたはコンピュータを含み、それぞれがエンジンの適正な動作を保証することができる。したがって、そのようなシステムは、２路アーキテクチャを形成し、そこでは、それぞれのチャネルが、もう一方のチャネルの故障の場合に、前記重要な機能の実行を保証することができる。
【０００５】
これらの機能の実行を引き受けるべきかどうかを決定するために、それぞれの処理ユニットが、制御システムのもう一方の処理ユニットと情報を、とりわけ、このもう一方の処理ユニットの健全性状況に関連する情報を、やり取りすることができるべきである。これを行うために、両方の処理ユニットは、一般に、ＣＣＤＬ（「クロスチャネルデータリンク」（Ｃｒｏｓｓ  Ｃｈａｎｅｌ  Ｄａｔａ  Ｌｉｎｋ））リンクなどの、双方向デジタルリンク、または反対方向の２つの単方向リンクを通して接続される。
【０００６】
そのような飛行制御システムのフェールセーフ性を強化するために、制御システムの処理ユニットは、位置的に互いに別々にされて、それにより外部攻撃に対するその影響されやすさを削減するために、２つのリモートケーシングの中に切り離されてよい。さらに、制御システムを、処理ユニット間のデータリンクの故障に対して耐性のあるものにするために、処理ユニットは、民間のファデックでは数の上で１０にも達することがある、いくつかの個別のアナログリンクの形式の追加のリンクを通して接続されてもよい。それでもなお、リンクの数が増加すると、そのうちの１つが欠陥である確率が増加し、配線量が増加し、コンパクトな飛行制御システムを開発することを困難にする。これは、定期旅客機などの大型の航空機のエンジンを制御するための装備品ではあるものの、ヘリコプターエンジンなどの小さな航空機のエンジンの場合には、そのようなコンパクトさが、全体のサイズを収容するための基本原理となる。
【０００７】
したがって、故障および外部攻撃に対する耐性がありながら、配線の量を最小化する、２路アーキテクチャを有する制御システムの必要性が存在する。
【発明の概要】
【課題を解決するための手段】
【０００８】
第１の態様によれば、本発明はそのために以下を含む、航空機の飛行制御システムに関する：
−  第１の処理ユニット、
−  第２の処理ユニット、
−  第１の処理ユニットと第２の処理ユニットとの間に、第１の双方向デジタルリンクおよび第２の双方向デジタルリンクを確立するために構成された通信手段。
前記第２のリンクは、第１のリンクに対する冗長であり、
前記第１のリンクおよび第２のリンクは、相伴ってアクティブになることができ、
前記システムはさらに、第１および第２のリンクの故障の場合に、第１の処理ユニットと第２の処理ユニットとの間のデータのやり取りを保証する可能性を与えるバックアップ通信手段を含み、
前記バックアップ通信手段は、センサもしくはアクチュエータのネットワーク、および／またはアビオニクス用の機内セキュアネットワークを含む。
【０００９】
そのようなシステムは、その嵩を削減しながら、その処理ユニットおよびその通信手段の冗長性によって、ならびに通信リンクの数の最小化によって、故障に対する強い耐性を有する。さらに、バックアップ通信手段は、２路システムの完全な盲目状態および両方の処理ユニット間の通信の遮断を回避する可能性を与える。最後に、処理ユニット間で情報をやり取りするためのそのようなネットワークの使用は、処理ユニット間の通信手段の冗長レベルを増加させる可能性を与え、処理ユニット間の通信にもっぱら専用の追加的な通信手段の所定位置への設置を要さなくとも、飛行制御システムの安全な動作を保障する可能性を与える。
【００１０】
有利かつ非制限的な特徴によれば、第１および第２のリンクは、ＣＣＤＬ（「クロスチャネルデータリンク」（Ｃｒｏｓｓ  Ｃｈａｎｎｅｌ  Ｄａｔａ  Ｌｉｎｋ））リンクであってよい。
【００１１】
そのようなリンクはとりわけ、配線量を制限しながら、知られているシステムの個別のアナログリンクを介してやり取りされる健全性情報よりも複雑な健全性情報をやり取りする可能性を、処理ユニットに与える。
【００１２】
アビオニクス用の機内セキュアネットワークは、たとえば、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット（登録商標）」（Ａｖｉｏｎｉｃｓ  Ｆｕｌｌ  ＤｕｐｌｅＸ  ｓｗｉｔｃｈｅｄ  Ｅｔｈｅｒｎｅｔ））またはμＡＦＤＸタイプの、冗長イーサネットネットワークであってよい。
【００１３】
有利かつ非制限的な特徴によれば、第１の態様による制御システムのそれぞれの処理ユニットは、リンクのそれぞれの上で受信されたデータの完全性を検証するための手段を含む。
【００１４】
これは、データの送信中、受信されたデータが破損していないことを保証する可能性を与える。
【００１５】
その上、それぞれの処理ユニットは、第１のリンク上および第２のリンク上両方でのデータ項目の送信に続いて、第１のリンク上および第２のリンク上で受信されたデータの一貫性を検証するための手段を含むことができる。
【００１６】
これは、処理ユニット間でやり取りされたデータの改変のシステム検出能力を強化する可能性を与え、したがって、飛行制御システムの故障の確率を最小化する。
【００１７】
その上、第１の態様による飛行制御システムの通信手段は、第１の処理ユニットから第２の処理ユニットに、第１の処理ユニットの健全性に関連したデータを送信するために構成されてよく、第１の態様による前記システムはさらに、第１の処理ユニットの健全性に関連した送信されたデータおよび第２の処理ユニットの健全性に関連したデータに従って、第１の処理ユニットおよび第２の処理ユニットの中から、前記航空機のエンジンを制御するための処理ユニットを選択するための手段を含む。
【００１８】
そのようなデータのやり取りにより、最もよい健全性を有するチャネルが常にエンジンの制御を保証することを確約するために、それぞれの処理ユニットが、もう一方の処理ユニットの健全性状況に気付くことが可能になる。
【００１９】
他の特徴および利点は、続く一実施形態の説明を読むときに明らかになるであろう。本説明は、添付の図面を参照して示される。
【図面の簡単な説明】
【００２０】
【図１】本発明の一実施形態による飛行制御システムを概略的に示す図である。
【図２】本発明の一実施形態による飛行制御システムの２つの処理ユニット間に２つのＣＣＤＬリンクを確立するように意図されたハードウェア手段を概略的に示す図である。
【図３】本発明の一実施形態による飛行制御システムのそれぞれの処理ユニットのＣＣＤＬモジュールの物理的な分離を概略的に示す図である。
【図４】本発明の一実施形態による２つのＣＣＤＬリンクを確立するように意図された処理ユニットのハードウェア手段の分離を概略的に示す図である。
【発明を実施するための形態】
【００２１】
図１に示された本発明の一実施形態は、少なくとも１つの第１の処理ユニット１および第２の処理ユニット２を含む、航空機の飛行制御システムに関する。これらの処理ユニットの両方が冗長であり、それぞれが航空機のエンジンを制御し、調整するための機能を実行することができる。図１に示されたようなシステムは、チャネルＡおよびチャネルＢを含む２路アーキテクチャを形成する。
【００２２】
処理ユニット１および２は、いくつかのプロセッサを含む同じマルチプロセッサコンピュータシステムのプロセッサであってよい。外部攻撃に対する飛行制御システムの耐性を強化し、単一の局所的な事象が両方の処理ユニット１および２を中断し得ることを回避するために、両方のチャネルは、別々のケーシングの中に、互いから距離を置いて設置されてよい。そのような構成においては、処理ユニットは、単一のプロセッサ内の組み込まれた実行コアではない。
【００２３】
システムはまた、反対側処理ユニットの健全性状況についての情報などの、処理ユニットのそれぞれの適正な動作に必須のデータのやり取りを可能にするために、両方の処理ユニットの接続を可能にする通信手段を含む。
【００２４】
この２路システムは、第１の処理ユニット１と第２の処理ユニット２との間に、第１の双方向デジタルリンク３および第２の双方向デジタルリンク４を確立するための通信手段が構成されているという点において、知られているシステムと区別される。知られているシステムとは異なり、そのようなシステムは、両方の処理ユニット間にいかなる個別のリンクも含まず、それにより、その配線の複雑さ、および通信リンクのうちの１つが故障する確率を制限する可能性を与える。
【００２５】
第１のリンク３の故障の場合に両方の処理ユニット間の通信を保証するために、第２のリンク４は、第１のリンク３に対する冗長である。そのような冗長性は、両方の処理ユニット間の情報のやり取りの観点から、知られているシステムによって提示されるレベルと同じ安全レベルを確約する。
【００２６】
さらに、前記第１および第２のリンクは、相伴ってアクティブになることができる。したがって、冗長リンクが第１のリンクの故障の場合に一般に使用されない知られているシステムとは異なり、本飛行制御システムは、通常の動作の間に、すなわち、２つのリンクのうちの１つにいかなる故障もない場合に、第１のリンク３および第２のリンク４を同時に使用することができ、両方の処理ユニットの間でやり取りされるデータに破損がないことを検証するために、これらのリンクの両方の相伴った使用を利用することができる。
【００２７】
第１の処理ユニット１および第２の処理ユニット２は、両方のリンク３および４を介して互いに通信するために、プロトコル、イーサネットＩＥＥＥ８０２．３、またはＨＬＤＣもしくはＳＤＬＣ、あるいはエラーを検出する、もしくは訂正するための機能を有する任意の他のプロトコルを使用することができる。イーサネットリンクはとりわけ、データ完全性制御およびフロー制御のメカニズムを適用することによって、高いパフォーマンス、耐雷性および電磁両立性（「ＣＥＭ」）にとりわけ対する優れた環境堅牢性、ならびに高い機能堅牢性を保証する可能性を与える。さらに、イーサネットプロトコルは、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット」）またはμＡＦＤＸなどのアビオニクス通信技術、および保守に一貫した工業基準である。
【００２８】
第１および第２のリンクは、ＣＣＤＬ（「クロスチャネルデータリンク」）リンクであってよい。そのようなリンクは、１００マイクロ秒よりも少ない精度で、それぞれのアプリケーションの同期を可能にする。そのようなリンクはまた、知られているシステムにおけるように個別のデータをやり取りすることに代えて、ハードウェアまたはソフトウェアにより構築された健全性情報、システムのために有用な情報（取得、ステータスなど）、ならびにオペレーティングシステム（ＯＳ、すなわち「Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ」）またはアプリケーションシステム（ＡＳ、すなわち「Ａｐｐｌｉｃａｔｉｏｎ  Ｓｙｓｔｅｍ」）の機能データのやり取りを可能にする。
【００２９】
両方の処理ユニットＡとＢとの間のそのようなＣＣＤＬリンクが、図２に示されている。それぞれの処理ユニット１、２は、システム、たとえば、システムオンチップ（ＳｏＣ）、または別々のケーシングもしくはＦＰＧＡカードに実装されるマイクロプロセッサおよび周辺装置からなるシステム、５ａ、５ｂを含むことができ、システム５ａ、５ｂは、第１のＣＣＤＬリンク３を確立するための第１のＣＣＤＬモジュール（ＣＣＤＬＡ）６ａ、６ｂと、第２のＣＣＤＬリンク４を確立するための第２のＣＣＤＬモジュール（ＣＣＤＬＢ）７ａ、７ｂとを含む。それぞれのＣＣＤＬリンクがそれ自身のモジュールを有するので、ＣＣＤＬリンクのそれぞれの独立性が強化され、両方のＣＣＤＬリンクの同時発生の故障の確率が、それにより削減される。それぞれのＣＣＤＬモジュールは、ハードウェアインターフェースＰｈｙ８ａ、８ｂ、８ｃ、８ｄ、およびトランスフォーマ９ａ、９ｂ、９ｃ、９ｄを介して、そのケーシングの入力／出力インターフェースに接続されることができる。
【００３０】
図３に示されるように、それぞれの処理ユニットのＣＣＤＬモジュールは、互いから遠い別個の配置で、システム５ａ、５ｂ上に位置付けられることによって、たとえば、そのそれぞれをシステムの隅に位置付けることによって、物理的に分離され得る。代替として、これらのＣＣＤＬモジュールは、別個のチップ上に位置付けられてもよい。これにより、ＳＥＵ（「シングルイベントアップセット」（Ｓｉｎｇｌｅ  Ｅｖｅｎｔ  Ｕｐｓｅｔ））、またはＭＢＵ（「マルチプルビットアップセット」（Ｍｕｌｔｉｐｌｅ  Ｂｉｔ  Ｕｐｓｅｔ））タイプの改変の場合によくある故障の確率の削減が可能になる。
【００３１】
第１の代替形態によれば、それぞれのシステム５ａ、５ｂは、別々の電源によって電力供給される。第２の代替形態によれば、システムオンチップの全体に共通の電源１５（「電源」）に加えて、それぞれのシステムオンチップは、図４に示されるように、２つの別個のクロック信号１１および１２で作動され得る。したがって、それぞれの処理ユニットのＣＣＤＬモジュールは、独立して電力供給されないとはいえ、それらは独立したクロックで作動されてよく、それにより、ＣＣＤＬモジュールのうちの１つのクロックの故障がもう一方のＣＣＤＬモジュールに影響し得るのを防ぐことによって、システムオンチップのフェールセーフ性を強化する。
【００３２】
それぞれの処理ユニットのＣＣＤＬモジュールは、ローカルリアルタイムクロックメカニズム（ＨＴＲまたはＲＴＣ「リアルタイムクロック」）１０ａ、１０ｂを用いて、および同期窓メカニズムなどの同期メカニズムを用いて、同期されてよい。したがって、同期喪失の場合、それぞれの処理ユニットは、そのローカルクロックを用いて動作することができ、次いで有効信号を受信すると、再び同期されてよい。ローカルクロックメカニズムは、アプリケーションによってプログラム可能であり、そのプログラミングは、ＳＥＵ（「シングルイベントアップセット」）またはＭＢＵ（「マルチプルビットアップセット」）タイプの改変から保護される。ＣＣＤＬリンクは、同期がない場合、またはクロックの喪失の場合でさえ、それでもなお動作し続けることができる。
【００３３】
システムはさらに、バックアップ通信手段を含むことができ、バックアップ通信手段は、第１の処理ユニットと第２の処理ユニットとの間のデータのやり取りを保証する可能性を与え、処理ユニット間の通信の切断を回避するために、第１および第２のリンクの故障の場合にもっぱら使用される。
【００３４】
図１に示された第１の実施形態において、これらのバックアップ通信手段は、センサまたはアクチュエータのネットワーク１３を含むことができる。センサまたはアクチュエータのそのようなネットワークは、例として、スマートセンサまたはアクチュエータ（「スマート−センサ」、「スマート−アクチュエータ」）のネットワークであってよい。それぞれの処理ユニットはその場合、もはやアナログ方式ではなく、デジタル方式での情報の送信を可能にするＲＳ−４８５タイプのバスを介して、このネットワーク１３に接続されてよい。
【００３５】
図１に示された第２の実施形態において、これらのバックアップ通信手段は、アビオニクス用の機内セキュアネットワーク１４を含む。そのような機内セキュアネットワークは、例として、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット」）またはμＡＦＤＸなどの、冗長イーサネットネットワークであってよい。そのようなネットワークは、リソースを共有するための手段、フローの分離のための手段、ならびに航空認定のための決定性および要求される可用性を提供する。
【００３６】
処理ユニット間で両方の双方向リンクを介して送信されるデジタル信号は、既存のシステムの複数の個別のリンク上で送信される個別のアナログ信号よりも摂動に影響されやすいので、両方のリモート処理ユニット間で送信されたデータの完全性制御および一貫性制御のためのメカニズムが、所定の位置に設置されてよい。
【００３７】
したがって、それぞれの処理ユニットは、双方向リンクのそれぞれを介して受信されたデータの完全性を検証するための手段を含むことができる。受信されたデータの完全性を検証するために、それぞれの受信されたフレームの様々なフィールドが検証されてよく、とりわけイーサネットリンクの場合、宛先アドレス、送信元アドレス、フレームのタイプおよび長さ、ＭＡＣデータ、ならびにフィリングデータに関連したフィールドが検証される。フレームは、このフレームの長さがフレームの長さのフィールドにおける規定された長さと一貫しない場合、またはバイトが整数でない場合に、無効とみなされてよい。フレームはまた、フレームを受信した時に計算された冗長検査（ＣＲＣ、「巡回冗長検査」（Ｃｙｃｌｉｃ  Ｒｅｄｕｎｄａｎｃｙ  Ｃｈｅｃｋ））が、たとえば送信した時の干渉に起因したエラーのために、受信されたＣＲＣと対応しない場合に、無効とみなされてよい。
【００３８】
さらに、それぞれの処理ユニットは、第１のリンク３上および第２のリンク４上両方でのデータ項目の送信に続いて、送信されたフレームの故障または破損がない場合に同じ情報を伝達しなければならない両方のリンク上で受信されたデータの一貫性を検証する手段を含むことができる。
【００３９】
航空機のエンジンの制御を保証することができるように、飛行制御システムは、２つのチャネルのうちの１つに制御を委ねなければならない。このために、それぞれの処理ユニットが、反対側処理ユニットの健全性状況に気付くべきである。これを行うために、システムの通信手段は、第１の処理ユニットから第２の処理ユニットに、第１の処理ユニットの健全性に関連したデータを送信するために構成されており、その逆もまた同様である。
【００４０】
そのような健全性データは、したがって、チャネルの選択、および全システム診断の確立を可能にするデータである。それらは、ＣＣＤＬ診断データ、チャネルスイッチング論理のために要求される信号、オペレーティングシステムまたはアプリケーションのステータスのデータ、とりわけセンサまたはアクチュエータのハードウェア診断データ、ソフトウェアによって入手される機能診断データなどであってよい。
【００４１】
飛行制御システムは、第１の処理ユニットの健全性に関連したデータおよび第２の処理ユニットの健全性に関連したデータに従って、第１および第２の処理ユニットの中から、飛行制御システムのよりよい動作を保証する可能性を与える処理ユニットを、航空機のエンジンを制御するために選択するための手段を含むことができる。
【図１】
2020030815.tif 000003
【図２】
2020030815.tif 000004
【図３】
2020030815.tif 000005
【図４】
2020030815.tif 000006
【手続補正書】
【提出日】令和1年8月6日(2019.8.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１の処理ユニット（１）と、
第２の処理ユニット（２）と、
第１の処理ユニット（１）と第２の処理ユニット（２）との間に、第１の双方向デジタルリンク（３）および第２の双方向デジタルリンク（４）を確立するために構成された通信手段と
を含む、航空機の飛行制御システムであって、
前記第２のリンク（４）が、第１のリンク（３）に対する冗長であり、
前記第１のリンク（３）および第２のリンク（４）が、相伴ってアクティブになることができ、
前記システムがさらに、第１のリンク（３）および第２のリンク（４）の故障の場合に、第１の処理ユニット（１）と第２の処理ユニット（２）との間のデータのやり取りを保証するように構成されているバックアップ通信手段を含み、
前記バックアップ通信手段が、センサもしくはアクチュエータのネットワーク（１３）、および／またはアビオニクス用の機内セキュアネットワーク（１４）を含む、
飛行制御システム。
【請求項２】
第１のリンク（３）および第２のリンク（４）が、ＣＣＤＬ（「クロスチャネルデータリンク」）リンクである、請求項１に記載の飛行制御システム。
【請求項３】
機内セキュアネットワーク（１４）が、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット」）またはμＡＦＤＸタイプの、冗長イーサネットネットワークである、請求項１または２に記載の飛行制御システム。
【請求項４】
それぞれの処理ユニット（１、２）が、リンク（３、４）のそれぞれの上で受信されたデータの完全性を検証するための手段を含む、請求項１から３のいずれか一項に記載の飛行制御システム。
【請求項５】
それぞれの処理ユニット（１、２）が、第１のリンク（３）上および第２のリンク（４）上両方でのデータ項目の送信に続いて、第１のリンク（３）上および第２のリンク（４）上で受信されたデータの一貫性を検証するための手段を含む、請求項１から４のいずれか一項に記載の飛行制御システム。
【請求項６】
通信手段が、第１の処理ユニット（１、２）から第２の処理ユニット（２、１）に、第１の処理ユニット（１、２）の健全性に関連したデータを送信するために構成されており、前記システムが、第１の処理ユニットの健全性に関連した送信されたデータおよび第２の処理ユニット（２、１）の健全性に関連したデータに従って、第１の処理ユニット（１、２）および第２の処理ユニット（２、１）の中から、前記航空機のエンジンを制御するための処理ユニットを選択するための手段を含む、請求項１から５のいずれか一項に記載の、航空機の飛行制御システム。