(57)【特許請求の範囲】
【請求項１】
少なくとも１つのエンジンを備える航空機の飛行制御システムの第１の処理ユニット（１、２）によって適用されるスイッチング方法であって、
前記第１の処理ユニット（１、２）が、航空機のエンジンを制御するために、少なくとも１つの第１のアクチュエータを制御するように構成されており、前記第１の処理ユニットは、少なくとも１つの第１のセンサに接続されるようにでき、かつ少なくとも１つの第２のアクチュエータを制御するために構成されていて少なくとも１つの第２のセンサに接続されているように構成される第２の処理ユニット（２、１）に、少なくとも１つのリンク（３、４）を介して接続されるようにでき、前記第１の処理ユニット（１、２）がさらに、第１の処理ユニットと第２の処理ユニットとを接続する前記少なくとも１つのリンク（３、４）の故障の場合に、第１の処理ユニット（１、２）と第２の処理ユニット（２、１）との間のデータのやり取りを保証するバックアップ通信手段（１３、１４）に接続されるように構成されており、前記バックアップ通信手段が、センサもしくはアクチュエータのネットワーク（１３）、および／またはアビオニクス用の機内セキュアネットワーク（１４）を含み、
前記方法が、
第２の処理ユニットに、少なくとも１つの第１のセンサに関連した取得データ、および少なくとも１つの第１のアクチュエータに関連したアクチュエータデータを送るステップと、
第２の処理ユニットから、少なくとも１つの第２のセンサに関連した取得データ、および少なくとも１つの第２のアクチュエータに関連したアクチュエータデータを受信するステップと、
第２の健全性データ項目と呼ばれる、第２の処理ユニット（２、１）の健全性状況に関連した健全性データ項目を受信するステップと、
第１の健全性データ項目と呼ばれる、前記第１の処理ユニット（１、２）の健全性に関連した健全性データ項目を決定するステップと、
前記第２の健全性データ項目および前記第１の健全性データ項目に応じて、前記第１の処理ユニット（１、２）を第１の状態から第２の状態にスイッチするステップと
を含み、
前記送るステップ、取得データを受信するステップ、および健全性データ項目を受信するステップが、前記少なくとも１つのリンクまたは前記バックアップ通信手段を介して適用され、前記状態が、第１の処理ユニット（１、２）が航空機のエンジンの制御を保証するアクティブ状態（１５）、第１の処理ユニット（１、２）が航空機のエンジンの制御を保証しないパッシブ状態（１６）、および第１の処理ユニット（１、２）が第２の処理ユニット（２、１）に、航空機のエンジンを制御するために前記第１のアクチュエータの制御を引き渡すスレーブ状態（１８）の中からの状態であり、
スイッチするステップが、
第１の健全性データ項目から、前記第１の処理ユニット（１、２）の状態に関連した状態データ項目と、エンジンの制御を保証する第１の処理ユニットの能力に関連した第１の処理ユニットの健全性ステータスデータ項目とを決定するステップと、
状態データ項目が、第１の処理ユニット（１）がパッシブ状態（１６）であることを指し示すとき、および
健全性ステータスデータ項目が、
第１の処理ユニットが、第２の処理ユニットと通信することができ、
第１の処理ユニット（１、２）が、エンジンの制御を保証することができず、かつ
第１の処理ユニット（１、２）が、第１のアクチュエータを制御することができる
というステータスを指し示すときに、
前記第１の処理ユニット（１、２）をスレーブ状態（１８）にスイッチするステップと
を含む、方法。
【請求項２】
第２の処理ユニット（２、１）および第１の処理ユニット（１、２）が、第１の双方向デジタルリンク（３）を介して、および第２の双方向デジタルリンク（４）を介して接続され、
第２の処理ユニット（２、１）が、リンク（３、４）のそれぞれの上で第２の健全性データ項目を送信し、
第２の健全性データ項目を受信するステップが、第１のリンク（３）上で第３の健全性データ項目を、および第２のリンク（４）上で第４の冗長健全性データ項目を受信するステップと、前記第３および第４の受信された健全性データの一貫性を検証するステップと、前記検証に応じて、送信された前記第２の健全性データ項目を決定するステップとを含む、
請求項１に記載の方法。
【請求項３】
第２の健全性データ項目を決定するステップが、前記第３および第４の受信された健全性データが一貫しないとき、送信された第２の健全性データ項目が少なくとも２つの連続するフレーム上で受信されたデータから決定される、統合ステップを含む、請求項２に記載の方法。
【請求項４】
第２の健全性データ項目を受信するステップが、前記受信された健全性データ項目の完全性を検証するステップを含む、請求項１から３のいずれか一項に記載の方法。
【請求項５】
第１の健全性データ項目を決定するステップが、前記第１の処理ユニット（１、２）のハードウェアおよびソフトウェアに関連した健全性状況を診断するステップを含む、請求項１から４のいずれか一項に記載の方法。
【請求項６】
スイッチするステップが、
前記第１および第２の健全性データから、前記第１の処理ユニット（１、２）が、その健全性状況が第２の処理ユニット（２、１）の健全性状況よりもよいことを決定する、決定ステップと、
前記第１の処理ユニット（１、２）が、第２の処理ユニット（２、１）がパッシブ状態（１６）にスイッチするのを待ち受ける、待ち受けるステップと、
第１の処理ユニット（１、２）をアクティブ状態（１６）にスイッチするステップと
を含む、請求項１から５のいずれか一項に記載の方法。
【請求項７】
コンピュータプログラムがプロセッサによって実行されるとき、請求項１から６のいずれか一項に記載のスイッチング方法を実行するためのコード命令を含む、コンピュータプログラム製品。
【請求項８】
少なくとも１つのエンジンを備える航空機の飛行制御システムであって、飛行制御システムは、第１の処理ユニットと、第２の処理ユニットと、バックアップ通信手段とを備え、第１の処理ユニットは、航空機のエンジンを制御するために、少なくとも１つの第１のアクチュエータを制御するように構成されており、
前記第１の処理ユニット（１、２）が、少なくとも１つの第１のセンサに接続されるようにでき、かつ少なくとも１つのリンク（３、４）を介して第２の処理ユニット（２、１）に接続されるようにでき、第２の処理ユニットは、少なくとも１つの第２のアクチュエータを制御し、少なくとも１つの第２のセンサに接続されているように構成され、前記第１の処理ユニット（１、２）がさらに、前記バックアップ通信手段（１３、１４）に接続されるように構成され、バックアップ通信手段は、第１の処理ユニットと第２の処理ユニットとを接続する前記少なくとも１つのリンク（３、４）の故障の場合に、第１の処理ユニット（１、２）と第２の処理ユニット（２、１）との間のデータのやり取りを保証するように構成され、前記バックアップ通信手段が、センサもしくはアクチュエータのネットワーク（１３）、および／またはアビオニクス用の機内セキュアネットワーク（１４）を含み、
第２の処理ユニットに、少なくとも１つの第１のセンサに関連した取得データ、および少なくとも１つの第１のアクチュエータに関連したアクチュエータデータを送るための手段と、
第２の処理ユニットから、少なくとも１つの第２のセンサに関連した取得データ、および少なくとも１つの第２のアクチュエータに関連したアクチュエータデータを受信するための手段と、
第２の健全性データ項目と呼ばれる、第２の処理ユニット（２、１）の健全性状況に関連した健全性データ項目を受信するための手段と、
第１の健全性データ項目と呼ばれる、前記第１の処理ユニット（１、２）の健全性に関連した健全性データ項目を決定するための手段と、
前記第２の健全性データ項目および前記第１の健全性データ項目に応じて、前記第１の処理ユニット（１、２）を第１の状態から第２の状態にスイッチするための手段と
を含み、
前記状態が、第１の処理ユニット（１、２）が航空機のエンジンの制御を保証するアクティブ状態（１５）、第１の処理ユニット（１、２）が航空機のエンジンの制御を保証しないパッシブ状態（１６）、および第１の処理ユニット（１、２）が第２の処理ユニット（２、１）に、航空機のエンジンを制御するために前記第１のアクチュエータの制御を引き渡すスレーブ状態（１８）の中からの状態であり、
前記バックアップ通信手段は、
第１の健全性データ項目から、前記第１の処理ユニット（１、２）の状態に関連した状態データ項目と、エンジンの制御を保証する第１の処理ユニットの能力に関連した第１の処理ユニットの健全性ステータスデータ項目とを決定し、
状態データ項目が、第１の処理ユニット（１）がパッシブ状態（１６）であることを指し示すとき、および
健全性ステータスデータ項目が、
第１の処理ユニットが、第２の処理ユニットと通信することができ、
第１の処理ユニット（１、２）が、エンジンの制御を保証することができず、かつ
第１の処理ユニット（１、２）が、第１のアクチュエータを制御することができる
というステータスを指し示すときに、
前記第１の処理ユニット（１、２）をスレーブ状態（１８）にスイッチする、
ようにさらに構成されている、飛行制御システム。
【請求項９】
両方の処理ユニット（１、２）が、第１の双方向デジタルリンク（３）を介して、および第２の双方向デジタルリンク（４）を介して接続され、前記第２のリンク（４）が、第１のリンク（３）に対する冗長であり、前記第１および第２のリンク（３、４）が、相伴ってアクティブになることができる、請求項８に記載の飛行制御システム。
【請求項１０】
第１および第２のリンク（３、４）が、ＣＣＤＬ（「クロスチャネルデータリンク」）リンクである、請求項９に記載の飛行制御システム。
【請求項１１】
機内セキュアネットワーク（１４）が、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット」）またはμＡＦＤＸタイプの、冗長イーサネットネットワークである、請求項８に記載の飛行制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、航空機の飛行制御システムの分野に関する。
【０００２】
本発明は、より詳細には、そのようなシステムの２路アーキテクチャを作り上げる２つの処理ユニット間またはコンピュータ間のスイッチング方法に関する。
【背景技術】
【０００３】
既存の飛行機またはヘリコプターなどの航空機に取り付ける機内（オンボード）飛行制御システムは、航空機のエンジンの制御機能および調整機能を実行して、航空機のエンジンの適正な動作を保証する。そのような機能は、乗客の安全のために重要である。したがって、そのようなシステムは、故障に対する耐性がなければならない。
【０００４】
このために、既存の飛行制御システムは、一般に、２つの処理ユニットまたはコンピュータを含み、それぞれがエンジンの適正な動作を保証することができる。したがって、そのようなシステムは、２路アーキテクチャを作り上げ、そこでは、それぞれのチャネルが、もう一方のチャネルの故障の場合に、前記重要な機能の実行を保証することができる。これらのチャネルの両方の中から、エンジンの制御は、一般に、最もよい健全性状況を有するチャネル、すなわち、より少ない故障または故障の重大性が最も低い程度を有するチャネルに渡される。このチャネルは、アクティブチャネルと呼ばれる。
【０００５】
エンジンの制御機能および調整機能を実行するために、チャネルのそれぞれは、少なくとも１つのアクチュエータを制御することができる。これらのアクチュエータは、故障する恐れがある。アクティブチャネルの１つまたはいくつかのアクチュエータが故障したとき、アクティブチャネルは、もはやエンジンの制御を適正に保証することができないことがある。パッシブチャネルと呼ばれるもう一方のチャネルが、アクティブチャネルの健全性状況と同じくらい最悪の健全性状況にある場合、もはやエンジンの制御を適正に保証することはできない。したがって、２つのチャネルのどちらもエンジンの制御を適正に保証することができず、飛行システムの重要な機能は、もはや保証されないことがある。
【０００６】
したがって、そのアクチュエータのうちの少なくとも１つの故障にもかかわらず、アクティブチャネルに、エンジンの制御を適正に保証する可能性を与える方法の必要性が存在する。
【発明の概要】
【課題を解決するための手段】
【０００７】
したがって、第１の態様によれば、本発明は、少なくとも１つのエンジンを含む航空機の飛行制御システムの、ローカル処理ユニットと呼ばれる第１の処理ユニットによって適用されるスイッチング方法に関し、
前記ローカル処理ユニットは、航空機のエンジンを制御するように、ローカルアクチュエータと呼ばれる少なくとも１つのアクチュエータを制御するために構成されており、かつ少なくとも１つのローカルセンサに接続されるようにでき、かつ少なくとも１つの反対側アクチュエータを制御するために構成されていて少なくとも１つの反対側センサに接続されている反対側処理ユニットと呼ばれる第２の処理ユニットに、少なくとも１つのリンクを介して接続されるようにでき、前記ローカル処理ユニットはさらに、ローカル処理ユニットと反対側処理ユニットとを接続する前記少なくとも１つのリンクの故障の場合に、ローカル処理ユニットと反対側処理ユニットとの間のデータのやり取りを保証する可能性を与える緊急通信手段に接続されるように構成されており、前記緊急通信手段は、センサもしくはアクチュエータのネットワーク、および／またはアビオニクス用の機内セキュアネットワークを含む。
前記方法は、以下のステップを含む：
−  反対側処理ユニットに、少なくとも１つのローカルセンサに関連した取得データ、および少なくとも１つのローカルアクチュエータに関連したアクチュエータデータを送るステップ、
−  反対側処理ユニットから、少なくとも１つの反対側センサに関連した取得データ、および少なくとも１つの反対側アクチュエータに関連したアクチュエータデータを受信するステップ、
−  反対側健全性データ項目と呼ばれる、反対側処理ユニットの健全性状況に関連した健全性データ項目を受信するステップ、
−  前記ローカル処理ユニットの健全性に関連した健全性データ項目から、前記ローカル健全性データ項目を決定するステップ、
−  前記受信された反対側健全性データ項目に応じて、および前記決定されたローカル健全性データ項目に応じて、前記ローカル処理ユニットを第１の状態から第２の状態にスイッチするステップ。
前記送るためのステップ、取得データを受信するためのステップ、および健全性データ項目を受信するためのステップは、前記少なくとも１つのリンクまたは前記緊急通信手段を介して適用され、前記状態は、ローカル処理ユニットが航空機のエンジンの制御を保証するアクティブ状態、ローカル処理ユニットが航空機のエンジンの制御を保証しないパッシブ状態、およびローカル処理ユニットが反対側処理ユニットに、航空機のエンジンの制御のために前記ローカルアクチュエータの制御を譲るスレーブ状態の中からの状態である。
【０００８】
そのような方法は、ローカルアクチュエータの故障にもかかわらずエンジンの制御を適正に保証することができるように、それぞれの処理ユニットに、反対側処理ユニットに接続されたアクチュエータおよびセンサを含む包括的システムの完全なイメージを持たせる可能性を与える。航空機のエンジンを制御することができない処理ユニットはしたがって、そのアクチュエータに、アクティブ状態であるもう一方の処理ユニットへのアクセスを許すことができ、それにより、飛行制御システムは、アクティブ処理ユニットのアクチュエータの１つまたはいくつかの故障にもかかわらず、エンジンの制御を保証することができる。さらに、緊急通信手段の使用は、２路システムの全面的な盲目状態および両方の処理ユニット間の通信の遮断を回避する可能性を与える。最後に、処理ユニット間で情報をやり取りするためのそのようなネットワークの使用は、処理ユニット間の通信手段の冗長レベルを増加させる可能性を与え、処理ユニット間の通信にもっぱら専用の追加的な通信手段の所定位置への設置を要さなくとも、飛行制御システムの動作安全を保障する可能性を与える。
【０００９】
反対側処理ユニットおよびローカル処理ユニットは、一方では第１の双方向デジタルリンクを介して、他方では第２の双方向デジタルリンクを介して接続されており、反対側処理ユニットは、リンクのそれぞれの上で反対側健全性データ項目を送信し、第１の態様による方法からの反対側健全性データ項目を受信するためのステップは、第１のリンク上で第１の反対側健全性データ項目を、および第２のリンク上で第２の冗長反対側健全性データ項目を受信するためのステップと、前記第１および第２の受信された健全性データの一貫性を検証するためのステップと、前記検証ステップに従って、送信された前記反対側健全性データ項目を決定するためのステップとを含むことができる。
【００１０】
これは、処理ユニット間のデータのやり取りの改変をシステムにより検出する能力を強化する可能性を与え、したがって、飛行制御システムの故障の確率を最小化する。
【００１１】
送信された反対側健全性データ項目を決定するためのステップは、前記第１および第２の受信された健全性データが一貫しないとき、送信された反対側健全性データ項目が少なくとも２つの連続するフレーム上で受信されたデータから決定される、統合ステップを含むことができる。
【００１２】
これは、第１のフレームで両方のリンク上で送信されたデータが一貫せず、送信された健全性データ項目の決定を安全なやり方で可能にしないとき、送信された反対側健全性データ項目の決定中のエラーのリスクの最小化を可能にする。
【００１３】
データの送信中、受信されたデータが破損していないことを保証するために、第１の態様による方法の反対側健全性データ項目を受信するためのステップは、前記受信された健全性データ項目の完全性を検証するためのステップを含むことができる。
【００１４】
第１の態様による方法のローカル健全性データ項目を決定するためのステップは、前記ローカル処理ユニットのハードウェアおよびソフトウェアに関連した健全性状況を診断するためのステップを含むことができる。
【００１５】
これは、エンジンの制御を保証するローカル処理ユニットの能力に影響し得る故障の全体の診断を可能にする健全性データ項目を入手する可能性を与える。
【００１６】
第１の態様による方法のスイッチするステップは、以下のステップを含むことができる：
−  ローカル健全性データ項目から、前記ローカル処理ユニットの状態に関連した状態データ項目を決定し、およびエンジンの制御を保証するローカル処理ユニットの能力に関連したローカル処理ユニットの健全性ステータスデータ項目から、決定するためのステップ、ならびに
−  以下のときに、前記ローカル処理ユニットをスレーブ状態にスイッチするためのステップ：
−  状態データ項目が、ローカル処理ユニットがパッシブ状態であることを指し示すとき、および
−  健全性ステータスデータ項目が、以下のステータスを指し示すとき：
・ローカル処理ユニットが、反対側処理ユニットと通信することができる、たとえば、２つの双方向デジタルリンクのうちの少なくとも１つがローカル処理ユニットと反対側処理ユニットとの間の通信を保証する可能性を与える場合、
・ローカル処理ユニットが、エンジンの制御を保証することができない、かつ
・ローカル処理ユニットが、ローカルアクチュエータを制御することができる。
【００１７】
これは、スレーブ状態にスイッチする前に、処理ユニットがエンジンの制御を保証していないこと、処理ユニットがもう一方の処理ユニットに代わってエンジンの制御を保証することができないこと、およびそれに影響する故障が、処理ユニットのアクチュエータにもう一方の処理ユニットへのアクセスを許すのを妨げないことを保証する可能性を与える。
【００１８】
有利かつ非制限的な特徴によれば、第１の態様による方法のスイッチするステップは、以下を含む：
−  前記ローカルおよび反対側健全性データから、前記ローカル処理ユニットが、その健全性状況が反対側処理ユニットの健全性状況よりもよいことを決定する、決定のためのステップ、
−  前記ローカル処理ユニットが、反対側処理ユニットがパッシブ状態にスイッチするのを待ち受ける、待ち受けるステップ、
−  ローカル処理ユニットをアクティブ状態にスイッチするためのステップ。
【００１９】
これは、両方の処理ユニットが同時にアクティブになり、それらのアクチュエータに対して相反するコマンドを送信するリスクを冒すことになる事態に、飛行制御システムが見出されるのを回避する可能性を与える。
【００２０】
第２の態様によれば、本発明は、コンピュータプログラム製品に関し、コンピュータプログラム製品は、このプログラムがプロセッサによって実行されるとき、第１の態様によるスイッチング方法を実行するためのコード命令を含む。
【００２１】
第３の態様によれば、本発明は、航空機のエンジンを制御するように、ローカルアクチュエータと呼ばれる少なくとも１つのアクチュエータを制御するために構成された、少なくとも１つのエンジンを含む航空機の飛行制御システムの処理ユニットに関し、
前記処理ユニット、すなわち前記ローカル処理ユニットは、少なくとも１つのローカルセンサに接続されるようにでき、かつ少なくとも１つの反対側アクチュエータを制御するために構成されていて少なくとも１つの反対側センサに接続されている反対側処理ユニットと呼ばれる第２の処理ユニットに、少なくとも１つのリンクを介して接続されるようにでき、前記ローカル処理ユニットはさらに、ローカル処理ユニットと反対側処理ユニットとを接続する前記少なくとも１つのリンクの故障の場合に、ローカル処理ユニットと反対側処理ユニットとの間のデータのやり取りを保証する可能性を与える緊急スイッチング手段に接続されるように構成されており、前記緊急通信手段は、センサもしくはアクチュエータのネットワーク、および／またはアビオニクス用の機内セキュアネットワークを含み、前記処理ユニットは、以下の手段を含む：
−  反対側処理ユニットに、少なくとも１つのローカルセンサに関連した取得データ、および少なくとも１つのローカルアクチュエータに関連したアクチュエータデータを送るための手段、
−  反対側処理ユニットから、少なくとも１つの反対側センサに関連した取得データ、および少なくとも１つの反対側アクチュエータに関連したアクチュエータデータを受信するための手段、
−  反対側健全性データ項目と呼ばれる、反対側処理ユニットの健全性状況に関連した健全性データ項目を受信するための手段、
−  ローカル健全性データ項目と呼ばれる、前記ローカル処理ユニットの健全性に関連した健全性データ項目を決定するための手段、
−  前記受信された反対側健全性データ項目および前記決定されたローカル健全性データ項目に応じて、前記ローカル処理ユニットを第１の状態から第２の状態にスイッチするための手段。
前記状態は、ローカル処理ユニットが航空機のエンジンの制御を保証するアクティブ状態、ローカル処理ユニットが航空機のエンジンの制御を保証しないパッシブ状態、およびローカル処理ユニットが反対側処理ユニットに、航空機のエンジンを制御するために前記ローカルアクチュエータの制御を引き渡すスレーブ状態の中からの状態である。
【００２２】
第４の態様によれば、本発明は、第３の態様による２つの処理ユニットを含む飛行制御システムに関し、飛行制御システムは、ローカル処理ユニットと反対側処理ユニットとを接続するリンクの故障の場合に、ローカル処理ユニットと反対側処理ユニットとの間のデータのやり取りを保証する可能性を与える緊急通信手段をさらに含み、前記緊急通信手段は、センサもしくはアクチュエータのネットワーク、および／またはアビオニクス用の機内セキュアネットワークを含む。
【００２３】
そのようなコンピュータプログラム製品、処理ユニット、および飛行制御システムは、第１の態様による方法について言及されたものと同じ利点を有する。
【００２４】
両方の処理ユニットは、一方で第１の双方向デジタルリンクを介して、他方で第２の双方向デジタルリンクを介して接続されてよく、前記第２のリンクは、第１のリンクに対する冗長であり、前記第１および第２のリンクは、相伴ってアクティブになることができる。
【００２５】
そのようなシステムは、その嵩を削減しながら、その処理ユニットおよびその通信手段の冗長性によって、ならびに通信リンクの数の最小化によって、故障に対する優れた耐性を有する。
【００２６】
第１および第２のリンクは、ＣＣＤＬリンク（「クロスチャネルデータリンク」（Ｃｒｏｓｓ  Ｃｈａｎｎｅｌ  Ｄａｔａ  Ｌｉｎｋ））であってよい。
【００２７】
そのようなリンクはとりわけ、配線量を制限しながら、知られているシステムの個別のアナログリンクを介してやり取りされる健全性情報よりも複雑な健全性情報のやり取りの可能性を、処理ユニットに与える。
【００２８】
アビオニクス用の機内セキュアネットワークは、たとえば、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット（登録商標）」（Ａｖｉｏｎｉｃｓ  Ｆｕｌｌ  ＤｕｐｌｅＸ  ｓｗｉｔｃｈｅｄ  Ｅｔｈｅｒｎｅｔ））またはμＡＦＤＸタイプの、冗長イーサネットネットワークであってよい。
【００２９】
他の特徴および利点は、続く一実施形態の説明を読むときに明らかになるであろう。本説明は、添付の図面を参照して示される。
【図面の簡単な説明】
【００３０】
【図１】本発明の一実施形態による飛行制御システムを概略的に示す図である。
【図２】本発明の一実施形態による飛行制御システムの２つの処理ユニット間に２つのＣＣＤＬリンクを確立するように意図されたハードウェア手段を概略的に示す図である。
【図３】本発明の一実施形態による飛行制御システムのそれぞれの処理ユニットのＣＣＤＬモジュールの物理的な分離を概略的に示す図である。
【図４】本発明の一実施形態による２つのＣＣＤＬリンクを確立するように意図された処理ユニットのハードウェア手段の分離を概略的に示す図である。
【図５】本発明の一実施形態による飛行制御システムの処理ユニットの状態のグラフである。
【発明を実施するための形態】
【００３１】
本発明の一実施形態は、少なくとも１つのエンジンを含む航空機の、図１に示される飛行制御システムの、ローカル処理ユニットと呼ばれる第１の処理ユニット１によって適用されるスイッチング方法に関する。
【００３２】
飛行制御システムはまた、反対側処理ユニットと呼ばれる第２の処理ユニット２を含む。ローカル処理ユニットは、少なくとも１つのローカルセンサに接続されてよく、かつ少なくとも１つのリンク３、４を介して、それ自体が少なくとも１つの反対側センサに接続された反対側処理ユニットに接続されてよい。処理ユニットの両方が冗長であり、それぞれが航空機のエンジンを制御し、調整するための機能を実行することができる。このために、それぞれの処理ユニットは、航空機のエンジンを制御するように、少なくとも１つのアクチュエータを制御するために構成されている。ローカル処理ユニット１によって制御可能なアクチュエータは、ローカルアクチュエータと呼ばれる。反対側処理ユニットによって制御されてもよいアクチュエータは、反対側アクチュエータと呼ばれる。図１に示されたようなシステムは、したがって、チャネルＡおよびチャネルＢを含む２路アーキテクチャである。
【００３３】
処理ユニット１および２は、いくつかのプロセッサを含む同じマルチプロセッサコンピュータシステムのプロセッサであってよい。外部攻撃に対する飛行制御システムの耐性を強化し、単一の局所的な事象が両方の処理ユニット１および２を動作不能にし得ることを回避するために、両方のチャネルは、別々のケーシングの中に、互いから距離を置いて設置されてよい。そのような構成においては、処理ユニットは、単一のプロセッサ内に組み込まれた実行コアではない。
【００３４】
システムはまた、反対側処理ユニットの健全性状況についての情報などの、処理ユニットのそれぞれの適正な動作のために必須のデータのやり取りを可能にするために、両方の処理ユニットを接続する可能性を与える通信手段を含む。
【００３５】
代替実施形態において、これらの通信手段は、第１の処理ユニット１と第２の処理ユニット２との間に、第１の双方向デジタルリンク３および第２の双方向デジタルリンク４を確立するために構成される。そのようなシステムは、両方の処理ユニット間にいかなる個別のリンクも含まず、それにより、その配線の複雑さ、および通信リンクのうちの１つが故障する確率を制限することが可能になる。
【００３６】
第１のリンク３の故障の場合に両方の処理ユニット間の通信を保証するために、第２のリンク４は、第１のリンク３に対する冗長であり、その逆もまた同様である。そのような冗長性は、両方の処理ユニット間の情報のやり取りの観点から、良好な安全レベルを確約する。
【００３７】
さらに、前記第１および第２のリンクは、相伴ってアクティブになることができる。したがって、冗長リンクが第１のリンクの故障の場合にのみ使用されるシステムとは異なり、本飛行制御システムは、通常の動作の間に、すなわち、２つのリンクのうちの１つにいかなる故障もない場合に、第１のリンク３および第２のリンク４を同時に使用することができ、両方の処理ユニットの間でやり取りされるデータの破損がないことを検証するために、これらのリンクの両方の相伴った使用を利用することができる。
【００３８】
第１の処理ユニット１および第２の処理ユニット２は、両方のリンク３および４を介して処理ユニット間で通信するための手順を、たとえば、プロトコル、イーサネットＩＥＥＥ８０２．３、ＨＤＬＣ、ＳＤＬＣ、またはエラーを検出する、もしくは訂正するための機能を有する任意の他のプロトコルの中から使用することができる。イーサネットリンクはとりわけ、データの完全性を制御するための、およびフローを制御するためのメカニズムの適用によって、高いパフォーマンス、耐雷性および電磁両立性（「ＥＭＣ」）にとりわけ関する大きな環境堅牢性、ならびに高い機能堅牢性を保証することができる。さらに、イーサネットプロトコルは、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット」）またはμＡＦＤＸなどのアビオニクス通信技術、保守技法に一貫した工業基準である。
【００３９】
第１および第２のリンクは、ＣＣＤＬリンク（「クロスチャネルデータリンク」）であってよい。そのようなリンクは、１００マイクロ秒よりも少ない精度で、あらゆるアプリケーションを同期する可能性を与える。そのようなリンクはまた、知られているシステムにおけるようにディスクリートをやり取りすることに代えて、ハードウェアまたはソフトウェアにより組み立てられた健全性情報、システムに有用な情報（取得、ステータスなど）、ならびにオペレーティングシステム（ＯＳ）およびアプリケーションシステム（ＡＳ）の機能データのやり取りを可能にする。
【００４０】
両方の処理ユニットＡとＢとの間のそのようなＣＣＤＬリンクが、図２に示されている。それぞれの処理ユニット１、２は、システム５ａ、５ｂを含み、システム５ａ、５ｂは、第１のＣＣＤＬリンク３を確立するための第１のＣＣＤＬモジュール（ＣＣＤＬＡ）６ａ、６ｂと、第２のＣＣＤＬリンク４を確立するための第２のＣＣＤＬモジュール（ＣＣＤＬＢ）７ａ、７ｂとを含む。そのようなシステムは、オンチップシステム（ＳｏＣ、「システムオンチップ」）として現れてもよいし、または別々のケーシングもしくはＦＰＧＡカードボードに実装されるマイクロプロセッサおよび周辺装置からなってもよい。それぞれのＣＣＤＬモジュールは、物理的な層を通して、そのケーシングの入力／出力インターフェースに接続される。そのような層は、図２に示されるように、たとえば、ハードウェアインターフェースＰｈｙ８ａ、８ｂ、８ｃ、８ｄ、およびトランスフォーマ９ａ、９ｂ、９ｃ、９ｄを含むことができる。
【００４１】
図３に示されるように、それぞれの処理ユニットのＣＣＤＬモジュールは、別個の配置で互いから離されて、システム５ａ、５ｂ上に位置付けられることによって、たとえば、そのそれぞれをオンチップシステムの隅に位置付けることによって、物理的に分離され得る。これは、ＳＥＵタイプ（「シングルイベントアップセット」（Ｓｉｎｇｌｅ  Ｅｖｅｎｔ  Ｕｐｓｅｔ））、またはＭＢＵ（「マルチプルビットアップセット」（Ｍｕｌｔｉｐｌｅ  Ｂｉｔ  Ｕｐｓｅｔ））の改変の場合によくある故障の確率を削減する可能性を与える。
【００４２】
第１の代替形態によれば、それぞれのシステム５ａ、５ｂは、別々の電源によって電力供給される。第２の代替形態によれば、システムは、オンチップシステムの全体に共通の電源１５を含む。それぞれのオンチップシステムは、図４に示されるように、２つの別個のクロック信号１１および１２を通して作動され得る。したがって、それぞれの処理ユニットのＣＣＤＬモジュールは、独立して電力供給されないとはいえ、それらは独立したクロックを通して作動されてよく、それにより、ＣＣＤＬモジュールのうちの１つのクロックの故障がもう一方のＣＣＤＬモジュールに影響するのを防ぐことによって、オンチップシステムの故障に対する耐性を強化する。
【００４３】
それぞれの処理ユニットのＣＣＤＬモジュールは、図２に示されるように、ローカルリアルタイムクロックメカニズム（ＨＴＲまたはＲＴＣ「リアルタイムクロック」）１０ａ、１０ｂを用いて、および同期窓によるメカニズムなどの同期メカニズムを用いて、同期されてよい。したがって、同期の喪失の場合、それぞれの処理ユニットは、そのローカルクロックを用いて動作し、次いで有効信号を受信すると、再び同期する。ローカルクロックメカニズムは、アプリケーションによってプログラム可能であり、そのプログラミングは、ＳＥＵタイプ（「シングルイベントアップセット」）またはＭＢＵ（「マルチプルビットアップセット」）の改変から保護される。ＣＣＤＬリンクは、同期がない場合、またはクロックの喪失の場合でさえ、それでもなお動作し続けることができる。
【００４４】
システムはさらに、緊急通信手段を含むことができ、緊急通信手段は、第１の処理ユニットと第２の処理ユニットとの間のデータのやり取りを保証する可能性を与え、処理ユニット間の通信の切断を回避するように、第１および第２のリンクの故障の場合にもっぱら使用される。
【００４５】
図１に示された第１の実施形態において、これらの緊急通信手段は、センサまたはアクチュエータのネットワーク１３を含むことができる。センサまたはアクチュエータのそのようなネットワークは、例として、スマートセンサまたはアクチュエータ（「スマート−センサ、スマート−アクチュエータ」）のネットワークであってよい。それぞれの処理ユニットはその場合、もはやアナログ方式ではなく、デジタル方式での情報の送信を可能にするＲＳ−４８５タイプのバスを介して、このネットワーク１３に接続されてよい。
【００４６】
図１に示された第２の実施形態において、これらの緊急通信手段は、アビオニクス用のセキュアネットワークオンボード１４を含む。そのような機内セキュアネットワークは、例として、ＡＦＤＸ（「アビオニクス全二重スイッチドイーサネット」）またはμＡＦＤＸなどの、冗長イーサネットネットワークであってよい。そのようなネットワークは、リソースを共有するための手段、フローを分離するための手段、ならびに航空認定のための決定性および要求される可用性を提供する。
【００４７】
処理ユニット間で送信されるデジタル信号は、摂動に影響されやすいことがあり、両方のリモート処理ユニット間で送信されたデータの、完全性を制御するための、および一貫性を制御するためのメカニズムが、所定の位置に設置されてよい。
【００４８】
したがって、それぞれの処理ユニットは、受信されたデータの完全性を検証するための手段を含むことができる。
【００４９】
受信されたデータの完全性を検証するために、それぞれの受信されたフレームの異なるフィールドが検証されてよく、とりわけイーサネットリンクの場合、宛先アドレス、送信元アドレス、フレームのタイプおよび長さ、ＭＡＣデータ、ならびにフィリングデータに関連したフィールドが検証される。フレームは、このフレームの長さがフレームのフィールドの長さにおいて規定された長さと一貫しない場合、またはバイトが整数でない場合に、無効とみなされてよい。フレームはまた、フレームを受信した時に計算された冗長制御（ＣＲＣ、「巡回冗長検査」（Ｃｙｃｌｉｃ  Ｒｅｄｕｎｄａｎｃｙ  Ｃｈｅｃｋ））が、たとえば送信中の干渉に起因したエラーのために、受信されたＣＲＣと対応しない場合に、無効とみなされてよい。
【００５０】
さらに、ローカル処理ユニットおよび反対側処理ユニットが２つの双方向リンクを介して接続されているとき、それぞれの処理ユニットは、第１のリンク上および第２のリンク上両方でのデータ項目の送信に続いて、送信されたフレームの故障または破損がない場合に同じ情報を伝達するはずである両方のリンク上で受信されたデータの一貫性を検証する手段と、実際に送信されたデータ項目を決定するための手段とを含むことができる。両方のリンク上で受信されたデータが一貫しないとき、処理ユニットは、実際に送信されたデータ項目が、少なくとも２つの連続するフレーム上で、オプションでは３つのフレーム上で受信されたデータから決定される、統合ステップを適用することができる。そのような統合はまた、２つの連続したイーサネットデータパケットの受信を隔てる時間期間を延長することによって、たとえば、この時間期間の長さを電磁摂動の時間長よりも長い時間長に設定することによって、達成されてよい。これは、送出されたパケット間のそのような期間を設定するパラメータ（《Ｉｎｔｅｒ  Ｆｒａｍｅ  Ｇａｐ》）を、追加することによって適用され得る。そのような適用は、たとえば、冗長なやり方で送信された２つのイーサネットパケットの破損を回避する可能性を与えることができる。
【００５１】
飛行制御システムの処理ユニットのそれぞれは、図５の状態グラフに示された、以下の状態の中からの状態に見出されてよい：
−  処理ユニットが航空機のエンジンの制御を保証するアクティブ状態（「ＡＣＴＩＶＥ」）１５、
−  処理ユニットが航空機のエンジンの制御を保証せず、しかし他の機能、たとえば診断機能を実行し、オプションで制御システムのもう一方の処理ユニットと通信することができるパッシブ状態（「ＰＡＳＳＩＶＥ」）１６、
−  処理ユニットが非アクティブであり、いかなる機能も実行しないリセット状態（「ＲＥＳＥＴ」）１７、
−  処理ユニットがもう一方の処理ユニットに、航空機のエンジンの制御のためにそのアクチュエータの制御を引き渡すスレーブ状態（「ＳＬＡＶＥ」）１８。
【００５２】
それぞれの処理ユニットが、反対側処理ユニットに接続されたアクチュエータおよびセンサを含む包括的システムの完全な概況を有するために、ローカルアクチュエータの故障にもかかわらずエンジンの制御を正しく保証することができるように、ローカル処理ユニットによって適用されるスイッチング方法は、以下のステップを含む：
−  反対側処理ユニットに、少なくとも１つのローカルセンサに関連した取得データ、および少なくとも１つのローカルアクチュエータに関連したアクチュエータデータを送るステップ、
−  反対側処理ユニットから、少なくとも１つの反対側センサに関連した取得データ、および少なくとも１つの反対側アクチュエータに関連したアクチュエータデータを受信するステップ。
【００５３】
センサに関連したそのような取得データは、センサの場合の例として、そのセンサによって測定された温度を含む温度であってよい。
【００５４】
さらに、ローカル処理ユニット１が、上で説明された４つの状態の中から状態を変えるのを可能にするために、スイッチング方法は、以下のステップを含む：
−  反対側健全性データ項目と呼ばれる、反対側処理ユニット２の健全性状況に関連した、ステータスなどの健全性データ項目を受信するステップ、
−  ローカル健全性データ項目と呼ばれる、前記ローカル処理ユニット１の健全性に関連した健全性データ項目を決定するステップ、
−  前記受信された反対側健全性データ項目および前記決定されたローカル健全性データ項目に応じて、前記ローカル処理ユニット１を第１の状態から第２の状態にスイッチするステップであって、前記第１および第２の状態が、上で説明されたアクティブ、パッシブ、リセット、およびスレーブ状態の中からの状態である、スイッチするステップ。
【００５５】
前記送るためのステップ、取得を受信するためのステップ、および健全性データ項目の受信データは、両方の処理ユニットを接続するリンク３、４を介して、またはリンク３、４のリンクの故障の場合には、緊急通信手段１３、１４を介して適用される。
【００５６】
受信された反対側健全性データ項目は、摂動を受けていることがあり、反対側健全性データ項目を受信するためのステップは、受信されたデータ項目の完全性を検証するためのステップを含むことができる。
【００５７】
さらに、一貫性を検証するためのメカニズムもまた適用されてよく、反対側健全性データ項目が、双方向リンク上で冗長なやり方で送信されるようにできる。反対側健全性データ項目を受信するためのステップはその場合、第１のリンク上で第１の反対側健全性データ項目を、および第２のリンク上で第２の冗長反対側健全性データ項目を受信するためのステップと、前記第１および第２の受信された健全性データの一貫性を検証するためのステップと、前記検証ステップに従って、送信された前記反対側健全性データ項目を決定するためのステップとを含む。代替として、第１のリンク上で受信された第１の反対側健全性データ項目および第２のリンク上で受信された第２の反対側健全性データ項目は、それらの一貫性を検証する前に、完全性の検証にかけてもよい。
【００５８】
２つのリンク上で受信されたデータが一貫しない場合、ローカル処理ユニットは、この健全性データ項目を無視し、新しい反対側健全性データ項目の送信を待ち受けることができる。２つまたはそれ以上の連続する送信中に、両方のリンク上で一貫しないデータを受信する場合、この第１の送信中に受信されたデータがその次の送信中に受信されたデータと同一であれば、ローカル処理ユニットは、反対側処理ユニットの最悪の健全性状況を指し示す受信されたデータ項目を、反対側健全性データ項目として保存的に（ｃｏｎｓｅｒｖａｔｉｖｅｌｙ）保持することができる。そうでない場合、新しい健全性データ項目が一貫して受信されない限り、最後に一貫したやり方で受信された健全性データ項目が保有される。
【００５９】
ローカルまたは反対側健全性データ項目を決定するために、該当する処理ユニットは、そのハードウェア要素およびソフトウェア要素に関連した健全性状況の診断を行う。そのような診断は、異なるモニタリング手段（「モニタリング」）から、またはいくつかのレジスタから入手された情報から確立されてよい。例として、あるレジスタは、処理ユニットのハードウェアの健全性状況を入手する可能性を与え、別のレジスタは、処理ユニットのソフトウェアの健全性状況を入手する可能性を与える。
【００６０】
決定されたローカル健全性データまたは反対側処理ユニットによって送信されたデータはしたがって、チャネルを選択し、全システム診断を確立する可能性を与えるデータである。それらはとりわけ、診断ＣＣＤＬデータ、オペレーティングシステムまたはアプリケーションのステータスのデータ、とりわけセンサまたはアクチュエータのハードウェアの診断データ、ソフトウェアによって生成される機能診断データであってよい。
【００６１】
ローカル処理ユニットは、ローカルまたは反対側健全性データ項目から、対応するローカルまたは反対側処理ユニットが見出されるアクティブ、パッシブ、スレーブ、またはリセットの状態を指し示す状態データ項目、およびエンジンの制御を保証するローカルまたは反対側処理ユニットの能力に関連した健全性ステータスのデータ項目を決定することができる。
【００６２】
一実施形態によれば、それぞれの処理ユニットは、４つの以下のステータスの中から、健全性ステータスを有することができる：
−  処理ユニットがいかなる故障も有さないステータス「ＧＯＯＤ」、
−  処理ユニットが、特定の故障、たとえば、ＣＣＤＬリンクトランスフォーマの破損、または１つのＣＣＤＬリンクからのクロック信号の損失を有するが、それがエンジンの制御を正しく保証するのを妨げることにはならない、ステータス「ＡＣＣＥＰＴＡＢＬＥ」、
−  処理ユニットが、エンジンの制御を正しく保証する可能性を与えるには重大すぎる故障、たとえばプロセッサの故障を有し、しかし、そのアクチュエータを制御する、または反対側処理ユニットと通信するのを妨げることになる材料破壊は有さない、ステータス「ＳＬＡＶＥ」、
−  処理ユニットが、エンジンの制御を正しく保証することができず、処理ユニットがそのアクチュエータを制御するのを妨げる少なくとも１つのハードウェアの故障、たとえば、処理ユニットの全体に影響する電源もしくはクロックの故障、または両方のＣＣＤＬリンクの故障を有する、ステータス「ＢＡＤ」。
【００６３】
ローカル処理ユニットは、上で説明された、反対側健全性データ項目を受信するためのステップ、およびローカル健全性データ項目を決定するためのステップを、規則的な時間インターバルで実行する。状態が変わるべきかどうかを決定するために、ローカル処理ユニットは、ローカル健全性データ項目から、その状態を指し示すローカル状態データ項目、およびその健全性ステータスを指し示すローカルステータスデータ項目を決定する。また、ローカル処理ユニットは、反対側健全性データ項目から、反対側処理ユニットの状態を指し示す反対側状態データ項目、および反対側処理ユニットのステータスを指し示す反対側ステータスデータ項目を決定する。
【００６４】
ローカル処理ユニットは次いで、ローカルステータスデータ項目によって指し示されたその健全性状況の、反対側ステータスデータ項目によって指し示された反対側処理ユニットの健全性状況との比較を行う。
【００６５】
ローカル処理ユニットがアクティブ状態であり、その健全性状況がもう一方の処理ユニットの健全性状況よりもよいままである場合（ＣＴＬ＿ＲＥＱ＝１）、処理ユニットは、アクティブ状態のままであり、エンジンの制御を保証し続ける。
【００６６】
例として、ローカル処理ユニットの健全性状況が反対側処理ユニットの健全性状況よりもよいのは、以下のときである：
−  ローカル処理ユニットが、ステータスＧＯＯＤを有し、反対側処理ユニットが、ステータスＡＣＣＥＰＴＡＢＬＥ、ＳＬＡＶＥ、およびＢＡＤの中からのステータスを有する、
−  ローカル処理ユニットが、ＡＣＣＥＰＴＡＢＬＥステータスを有し、反対側処理ユニットが、ステータスＳＬＡＶＥおよびＢＡＤの中からのステータスを有する。
【００６７】
ローカル処理ユニットがアクティブ状態であり、かつその健全性状況がもう一方の処理ユニットの健全性状況ほどよくなくなる場合（ＣＴＬ＿ＲＥＱ＝０）、ローカル処理ユニットは、パッシブ状態にスイッチして、エンジンの制御を保証するのを止めることになり、エンジンの制御は次いで反対側処理ユニットによって保証される。
【００６８】
例として、ローカル処理ユニットの健全性状況が反対側処理ユニットの健全性状況ほどよくないのは、以下のときである：
−  ローカル処理ユニットが、ＡＣＣＥＰＴＡＢＬＥステータスを有し、反対側処理ユニットが、ＧＯＯＤステータスを有する、または
−  ローカル処理ユニットが、ＳＬＡＶＥステータスを有し、反対側処理ユニットが、ステータスＧＯＯＤおよびＡＣＣＥＰＴＡＢＬＥの中からのステータスを有する、または
−  ローカル処理ユニットが、ＢＡＤステータスを有し、反対側処理ユニットが、ステータスＧＯＯＤおよびＡＣＣＥＰＴＡＢＬＥの中からのステータスを有する。
【００６９】
ローカル処理ユニットがパッシブ状態であり、かつその健全性状況が反対側処理ユニットの健全性状況ほどよくないままである場合（ＣＴＬ＿ＲＥＱ＝０）、処理ユニットは、パッシブ状態のままである。
【００７０】
ローカル処理ユニットがパッシブ状態であり、かつその健全性状況が反対側処理ユニットの健全性状況よりもよくなる場合（ＣＴＬ＿ＲＥＱ＝１）、ローカル処理ユニットは、反対側処理ユニットに代わってエンジンの制御を保証するために、アクティブ状態にスイッチする。パッシブ状態からアクティブ状態へのスイッチングは、アクティブ状態に移ってエンジンの制御を引き継ぐ前に、ローカル処理ユニットが、反対側処理ユニットがパッシブ状態に移るのを待ち受ける（ＯＰＰ＿ＣＨ＿ＳＴＡＴＥ＝０）、待ち受け状態１９を通過することができる。これは、両方の処理ユニットが同時にアクティブになり、それらのアクチュエータに対して相反するコマンドを送信するリスクを冒すことになる事態に、飛行制御システムが見出されるのを回避する可能性を与える。処理ユニットは、反対側処理ユニットがアクティブである限り（ＯＰＰ＿ＣＨ＿ＳＴＡＴＥ＝１）、そのような待ち受け状態１９のままであってよい。この状態から、ローカル処理ユニットがアクティブ状態に移る前に、反対側処理ユニットの健全性状況がローカル処理ユニットの健全性状況よりも再びよくなった場合（ＣＴＬ＿ＲＥＱ＝０）、ローカル処理ユニットは、パッシブ状況に戻ることさえできる。
【００７１】
ローカル処理ユニットがパッシブ状態であり、かつローカルステータスデータ項目が、処理ユニットが「ＳＬＡＶＥ」の健全性ステータスを有することを指し示す場合（リモート  Ｒｅｑ＝１）、ローカル処理ユニットは、上で説明されたスレーブ状態にスイッチすることができる。代替形態によれば、スレーブ状態へのスイッチングはまた、ローカル処理ユニットのアクチュエータへのアクセスを、反対側処理ユニットに要求するための信号を受信することによって条件付けされる。スレーブ状態から、ローカルステータスデータ項目が、処理ユニットが「ＳＬＡＶＥ」の健全性ステータスを有することを指し示すときにのみ（リモート  Ｒｅｑ＝０）、処理ユニットは、パッシブ状態に戻ることができる。
【００７２】
ローカルステータスデータ項目が「ＢＡＤ」健全性ステータスを指し示す場合、ローカル処理ユニットは、その現在の状態にかかわらず、リセット状態にスイッチする。リセットが正常に行われると（ＨＲＥＳＥＴ＿Ｎ  立ち上がりエッジ）、処理ユニットは、再びパッシブ状態に移ることができる。
【００７３】
ローカル処理ユニットおよび反対側処理ユニットが同じ健全性ステータス、ＧＯＯＤまたはＡＣＣＥＰＴＡＢＬＥを有するときの場合、第１の代替形態によれば、それぞれの処理ユニットはその現在の状態、すなわちアクティブまたはパッシブのままであってよい。第２の代替形態によれば、デフォルト処理ユニットに、たとえば第１の処理ユニット１に、エンジンの制御を与えることを提供することが可能であり、その場合、デフォルト処理ユニットが既にアクティブ状態であれば、両方の処理ユニットはその現在の状態のままであり、そうではなく、デフォルト処理ユニットがあらかじめパッシブ状態であった場合は、パッシブ状態からアクティブ状態にスイッチし、その逆もまた同様である。
【００７４】
処理ユニットは、あらかじめ失った機能を回復した場合、ＡＣＣＥＰＴＡＢＬＥステータスからＧＯＯＤステータスへとスイッチすることができるが、ＳＬＡＶＥまたはＢＡＤステータスを有する処理ユニットは、リセットされない限り、ＡＣＣＥＰＴＡＢＬＥまたはＧＯＯＤステータスに再びスイッチすることはできない。
【００７５】
したがって、制御システムのパッシブチャネルは、そのアクチュエータを、よりよい健全性状況にあるアクティブチャネルに対して利用可能にする可能性を与える状態へとスイッチすることができ、それにより、飛行制御システムは、アクティブチャネルのそれ自身のアクチュエータを制御するための能力に影響する故障にもかかわらず、航空機のエンジンの制御を保証し続けることができる。
【図１】
0006484330.tif 000002
【図２】
0006484330.tif 000003
【図３】
0006484330.tif 000004
【図４】
0006484330.tif 000005
【図５】
0006484330.tif 000006