(57)【特許請求の範囲】
【請求項１】
少なくとも１つの通信媒体によって相互接続された複数のインテリジェント・ノードを有するフォールト・トレラント分散型インテリジェント制御システムにおいて、前記インテリジェント・ノードの中の１つは、
それぞれが前記通信媒体に接続され、前記通信媒体から受信したインターノード・メッセージに応答してデバイス付勢コマンドを発生する、少なくとも３つの冗長処理要素と、
前記冗長処理要素のそれぞれから第１のデバイス付勢コマンドを受信するように結合された第１の投票手段であって、前記第１のデバイス付勢コマンドの少なくとも２つが前記第１の投票手段によって同等であると判断されるとき第１の付勢信号を発生する第１の投票手段と、
前記冗長処理要素のそれぞれから第２のデバイス付勢コマンドを受信するように結合された第２の投票手段であって、前記第２のデバイス付勢コマンドの少なくとも２つが前記第２の投票手段によって同等であると判断されるとき第２の付勢信号を発生する第２の投票手段と、
前記冗長処理要素のそれぞれから第３のデバイス付勢コマンドを受信するように結合された第３の投票手段であって、前記第３のデバイス付勢コマンドの少なくとも２つが前記第３の投票手段によって同等であると判断されるとき第３の付勢信号を発生する第３の投票手段と、を備えており、
前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、光学的に分離されたスイッチング手段を備え、該スイッチング手段は、
第１端子及び第２端子を有し、対応するデバイス付勢コマンドの第１コマンドに応答する光学的に分離された第１リレーと、
第１端子及び第２端子を有し、対応するデバイス付勢コマンドの第２コマンドに応答する光学的に分離された第２リレーと、
第１端子及び第２端子を有し、対応するデバイス付勢コマンドの第２コマンドに応答する光学的に分離された第３リレーと、
第１端子及び第２端子を有し、対応するデバイス付勢コマンドの第３コマンドに応答する光学的に分離された第４リレーと、を備え、
前記第１リレーの第１端子は前記付勢信号のうち対応する付勢信号を受けるように接続され、
前記第１リレーの第２端子は前記第２リレーの第１端子に接続され、
前記第２リレーの第２端子はデバイス負荷に接続され、
前記第３リレーの第１端子は前記対応する付勢信号を受けるように接続され、
前記第３リレーの第２端子は前記第４リレーの第１端子に接続され、
前記第４リレーの第２端子はデバイス負荷に接続され、更に、
前記第１リレー、前記第２リレー、前記第３リレー、及び前記第４リレーの少なくとも２つの応答が類似しているとき、前記対応する付勢信号が前記デバイス負荷まで通過する経路を提供するダイオードであって、前記ダイオードの第１端子が前記第１リレーの第２端子と前記第２リレーの前記第１端子との接合点に接続され、前記ダイオードの第２端子が、前記第３リレーの第２端子と前記第４リレーの第１端子との接合点に接続されるダイオード、
を備えたインテリジェント・ノード。
【請求項２】
請求項１記載のインテリジェント・ノードにおいて、前記冗長処理要素のそれぞれは、前記通信媒体と通信するトランシーバ手段を備え、該トランシーバ手段は、制御プロセッサ手段に結合され、前記投票手段の中の１つへの及び前記投票手段の中の１つからの情報を処理する、インテリジェント・ノード。
【請求項３】
請求項１記載のインテリジェント・ノードにおいて、前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、前記光学的に分離されたスイッチング手段の性能を試験するビルトイン自己試験手段を備え、前記ビルトイン自己試験手段は、前記第１リレー、前記第２リレー、前記第３リレー、及び前記第４リレーを試験する複数の光学的に分離された受信機手段を備え、前記受信機手段のそれぞれは、故障をモニタするために前記リレーのそれぞれの両端に接続され、前記リレーの対応するものが閉じたことに応答して作動し、前記受信機手段を通して前記デバイス負荷に至る電流経路の一部を提供し、それによって前記受信機手段のそれぞれは動作中作動状態又は不作動状態となり、それを表すそれぞれの信号を発生する、インテリジェント・ノード。
【請求項４】
請求項３記載のインテリジェント・ノードにおいて、前記ビルトイン自己試験手段は、複数の光学的に分離された受信機手段を備え、前記受信機手段のそれぞれは、故障をモニタするために前記前記第１リレー、前記第２リレー、前記第３リレー、及び前記第４リレーの異なるものの両端に接続されている、インテリジェント・ノード。
【請求項５】
請求項４記載のインテリジェント・ノードにおいて、故障をモニタする前記光学的に分離されたスイッチング手段は、前記処理要素による処理のために故障情報を提供する、インテリジェント・ノード。
【請求項６】
請求項４記載のインテリジェント・ノードにおいて、前記通信媒体は光ファイバ・バスを備えている、インテリジェント・ノード。
【請求項７】
請求項６記載のインテリジェント・ノードにおいて、前記光ファイバ・バスは双方向シングル・ファイバ・バスを備えている、インテリジェント・ノード。
【請求項８】
請求項１記載のインテリジェント・ノードにおいて、前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、３つの共通投票ノードの間に分散され、該３つの共通投票ノードは、前記第１リレーを含む投票ノードＡ、前記第２リレー及び第３リレーを含む投票ノードＢ、及び前記第４リレーを含む投票ノードＣからなる、インテリジェント・ノード。
【請求項９】
請求項８記載のインテリジェント・ノードにおいて、前記第１の投票手段は、前記第１の投票ノードＡの第１部分、前記投票ノードＢの第２部分、及び前記投票ノードＣの第３部分からなる、インテリジェント・ノード。
【請求項１０】
請求項８記載のインテリジェント・ノードにおいて、前記第２の投票手段は、前記第１の投票ノードＡの第２部分、前記投票ノードＢの第３部分、及び前記投票ノードＣの第１部分からなる、インテリジェント・ノード。
【請求項１１】
請求項８記載のインテリジェント・ノードにおいて、前記第３の投票手段は、前記投票ノードＡの第３部分、前記投票ノードＢの第１部分、及び前記投票ノードＣの第２部分を備えている、インテリジェント・ノード。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、複数ノードの分散型知能制御システムに関し、更に詳しくは、フォールト・トレラント（ｆａｕｌｔ  ｔｏｌｅｒａｎｔ）な動作のための光学的に分離されたデバイスを備えた投票（ｖｏｔｉｎｇ）ノードに関する。
【０００２】
【従来技術】
従来技術においては、３重（トリプル）投票方式がフォールト・トレランスのために用いられ、機能のアベイラビリティ（可用性）を改善し、安全性を保証して、決定の結果の精度を改善する。３つの冗長プロセッサがパラレルに動作して３つのコマンド信号を発生し３つのコマンド信号が組み合わされて多数決（ｍａｊｏｒｉｔｙ）投票回路になる場合には、これらの３つのコマンド信号の中の２つが等しいことの結果として、プロセッサの中の１つが不正確なコマンド信号を発生する場合であっても、出力コマンド信号がアクテュエータ・デバイスに発生される。これは、３つの処理要素の「多数決投票された出力」と称される。トリプル投票方式は、３つの独立の機能が１つのスレッドに併合されて付勢を提供する場合には脆弱である。３つの回路の併合は、複数の方法で行われる。
【０００３】
第１に、パワー・デバイスに先立って、論理レベルで併合が行われる。この結果として、パワー・デバイスは、シングル・ポイント故障となり、これにより、アベイラビリティと安全性保障とが損なわれる。これによると、また、トリプル回路の中に複数経路の故障が伝搬して戻り、安全性の保証を更に損なう。
【０００４】
第２に、複数のパワー・デバイスは、通常は、これらのデバイスの独立のスイッチングが用いられてフォールト・トレランスを増加させるように、配列される。これはアベイラビリティを増加させるが、故障メカニズムによって、安全ではない状態に至る点で、この方法も、等しく脆弱になる。
【０００５】
第３に、併合は、アクテュエータにおいて投票することにより実行される。これは、アクテュエータが最も支配的な駆動状態（３つの中の２つ）に電子・機械的に依存するように設計される場合に、最も望ましい。この方法によれば、回路分離が与えられ、安全性の保障とアベイラビリティとの両方を最適化する。しかし、不運にも、この方法はコストが高く、体積と重量も大きいので、旧型を更新した（ｒｅｔｒｏｆｉｔ）プログラムでは使えないのが典型的である。本発明は、これらの問題を克服する。
【０００６】
航空機又はそれ以外の臨界的制御の応用例では、電子・機械的なデバイスを制御するコマンドがエラーなしに発せられることを保証することが必要である。例えば、ジェット・エンジンなどのスラスト（推力）反転は、そのように命じられない限り付勢されず、スラスト反転コマンドは、必要な際には、実際に発せられることを、ノードが保証しなければならない。多数決投票されるノードを用いたとしても、依然として、多数決投票回路により誤ったコマンドが発生されることが防止されるようには複数の故障が否定されない心配がある。しかし、ビルトイン型の自己試験能力によって、重要な動作がエラーなしになされる確率は増加する。本発明は、これらの３つの要求を提供する。
【０００７】
【発明が解決すべき課題】
従って、本発明の目的は、電気的ノイズに対する免疫とフォールト閉じ込め（ｃｏｎｔａｉｎｍｅｎｔ）のための光学的に分離されたソリッドステート・デバイスを有するフォールト・トレラントな低コストの投票ノードを提供することである。
【０００８】
本発明の更なる目的は、３重（トリプル）冗長な多数決投票回路の部分を、３つの共通投票ノード回路モジュールの間に分散させることである。
【０００９】
本発明の更なる目的は、光学的に分離されたデバイスを用いてビルトイン型の自己試験（ＢＩＳＴ）を提供して、潜在的な故障の問題を検出し、ＥＭＩ（電磁妨害）や高い強度の放射電磁界（ＨＩＲＦ）環境への感知性を回避するすることである。
【００１０】
本発明の更なる目的は、少なくとも１つの通信媒体によって相互接続された複数の知能ノードを有するフォールト・トレラントな分散型知能制御システムにおいて、フォールト・トレラントな知能投票ノードを提供する方法を提供することである。ただし、ここで、投票ノードは、光学的に分離されたリレーを用いて、フォールト分離とフォールト閉じ込めとを与える。
【００１１】
【課題を解決する手段】
これらの目的は、少なくとも１つの通信媒体によって相互接続された複数の知能ノードを有するフォールト・トレラントな分散型知能制御システムにおいて、前記知能ノードの中の１つは、それぞれが前記通信媒体に接続された少なくとも３つの冗長処理要素と、前記通信媒体から受信され前記冗長処理要素のそれぞれによって処理されたインターノード・メッセージであって、前記処理要素はデバイス付勢コマンドを発生する、インターノード・メッセージと、前記冗長処理要素のそれぞれからの第１のデバイス付勢コマンドに結合された第１の投票手段であって、前記第１のデバイス付勢コマンドの少なくとも２つが前記第１の投票手段によって同等であると判断されるときに第１の付勢信号を発生する第１の投票手段と、前記冗長処理要素のそれぞれからの第２のデバイス付勢コマンドに結合された第２の投票手段であって、前記第２のデバイス付勢コマンドの少なくとも２つが前記第２の投票手段によって同等であると判断されるときに第２の付勢信号を発生する第２の投票手段と、前記冗長処理要素のそれぞれからの第３のデバイス付勢コマンドに結合された第３の投票手段であって、前記第３のデバイス付勢コマンドの少なくとも２つが前記第３の投票手段によって同等であると判断されるときに第３の付勢信号を発生する第３の投票手段と、を備えており、前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、フォールト分離及びフォールト閉じ込めとを提供する光学的に分離されたスイッチング手段を備えている、知能ノードを提供することによって達成される。前記冗長処理要素のそれぞれは、前記通信媒体と通信するトランシーバ手段を備え、前記トランシーバ手段は、制御プロセッサ手段に結合され前記投票ノード手段の中の１つへの及び前記投票ノード手段の中の１つからの情報を処理する。これら３つの投票手段のそれぞれは、前記光学的に分離されたスイッチング手段の性能を試験するビルトイン型自己試験手段を備えている。前記光学的に分離されたスイッチング手段は、複数のソリッドステートな光学的に分離されたリレーを備えている。前記ビルトイン型自己試験手段は、複数の光学的に分離された受信機手段を備え、前記受信機手段のそれぞれは、フォールトをモニタするために前記光学的に分離されたリレーの異なるものの両端に接続されている、知能ノード。フォールトをモニタする前記光学的に分離されたスイッチング手段は、前記処理要素による処理のためにフォールト情報を提供する。前記通信媒体は、双方向シングル光ファイバ・バスを備えている。前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、投票ノードＡ、投票ノードＢ、及び投票ノードＣを備えた３つの共通投票ノードの間で分散された前記光学的に分離されたスイッチング回路を備えている。
【００１２】
これらの目的は、更に、複数の知能ノードを有するフォールト・トレラントな分散型知能制御システムの知能投票ノードであって、それぞれがプロセッサに接続されたトランシーバを備えている３つの冗長処理要素と、前記冗長処理要素の第１のトランシーバに接続された第１の通信媒体と、前記冗長処理要素の第２のトランシーバに接続された第２の通信媒体と、前記冗長処理要素の第３のトランシーバに接続された第３の通信媒体と、前記通信媒体から受信されこのメッセージを受信する前記冗長処理要素によって処理されたインターノード・メッセージであって、前記処理要素の前記プロセッサはデバイス付勢コマンドを発生する、インターノード・メッセージと、前記冗長処理要素のそれぞれからの第１のデバイス付勢コマンドに結合された第１の投票手段であって、前記第１のデバイス付勢コマンドの少なくとも２つが前記第１の投票手段によって同等であると判断されるときに第１の付勢信号を発生する第１の投票手段と、前記冗長処理要素のそれぞれからの第２のデバイス付勢コマンドに結合された第２の投票手段であって、前記第２のデバイス付勢コマンドの少なくとも２つが前記第２の投票手段によって同等であると判断されるときに第２の付勢信号を発生する第２の投票手段と、前記冗長処理要素のそれぞれからの第３のデバイス付勢コマンドに結合された第３の投票手段であって、前記第３のデバイス付勢コマンドの少なくとも２つが前記第３の投票手段によって同等であると判断されるときに第３の付勢信号を発生する第３の投票手段と、を備えており、前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、フォールト分離及びフォールト閉じ込めとを提供する光学的に分離されたスイッチング手段を備えている、知能投票ノードを提供することによって達成される。
【００１３】
前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、前記光学的に分離されたスイッチング手段の性能を試験するビルトイン型自己試験手段を備えている。前記光学的に分離されたスイッチング手段は、複数のソリッドステートな光学的に分離されたリレーを備えている。前記ビルトイン型自己試験手段は、前記光学的に分離されたリレーを試験する複数の光学的に分離された受信機手段を備え、前記受信機手段のそれぞれは、フォールトをモニタするために前記光学的に分離されたリレーの異なるものの両端に接続されている。フォールトをモニタする前記光学的に分離されたスイッチング手段は、前記処理要素による処理のためにフォールト情報を提供する。前記通信媒体は、双方向のシングル光ファイバ・バス又はそれ以外の媒体を備えている。前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれは、投票ノードＡ、投票ノードＢ、及び投票ノードＣを備えた３つの共通投票ノードの間で分散された前記光学的に分離されたスイッチング回路を備えている。前記第１の投票手段は、前記投票ノードＡの第１の部分、前記投票ノードＢの第２の部分、及び前記投票ノードＣの第３の部分を備えている。前記第２の投票手段は、前記投票ノードＡの第２の部分、前記投票ノードＢの第３の部分、及び前記投票ノードＣの第１の部分を備えている。前記第３の投票手段は、前記投票ノードＡの第３の部分、前記投票ノードＢの第１の部分、及び前記投票ノードＣの第２の部分を備えている。
【００１４】
これらの目的は、更に、多数決投票回路であって、第１のコマンド信号に応答して第１の端子及び第２の端子の間に閉回路を提供する第１のリレー手段であって、前記第１の端子は付勢信号に接続されている第１のリレー手段と、第２のコマンド信号に応答して第３の端子及び第４の端子の間に閉回路を提供する第２のリレー手段であって、前記第３の端子は前記第１のリレー手段の前記第２の端子に接続され、前記第４の端子はデバイス負荷に接続されている第２のリレー手段と、第３のコマンド信号に応答して第５の端子及び第６の端子の間に閉回路を提供する第３のリレー手段であって、前記第５の端子は前記付勢信号に接続されている第３のリレー手段と、第４のコマンド信号に応答して第７の端子及び第８の端子の間に閉回路を提供する第４のリレー手段であって、前記第７の端子は前記第３のリレー手段の前記第６の端子に接続され、前記第８の端子は前記デバイス負荷に接続されている第４のリレー手段と、前記第１のコマンド信号、前記第２のコマンド信号、及び前記第３のコマンド信号の所定のアサーション（ａｓｓｅｒｔｉｏｎ）に従って、前記付勢信号が前記デバイス負荷まで通過する経路を提供するダイオード手段であって、前記ダイオード手段のアノード端子は、前記第１のリレー手段の前記第２の端子と前記第２のリレー手段の前記第３の端子との接合点に接続され、前記ダイオード手段のカソード端子は、前記第３のリレー手段の前記第６の端子と前記第４のリレー手段の前記第７の端子との接合点に接続されている、ダイオード手段と、を備えている多数決投票回路を提供することにより達成される。前記第１のリレー手段、前記第２のリレー手段、前記第３のリレー手段、及び前記第４のリレー手段は、光学的に分離されたソリッドステート・リレーを備えている。前記多数決投票回路は、前記第１のリレー手段、前記第２のリレー手段、前記第３のリレー手段、及び前記第４のリレー手段のそれぞれの性能を試験するビルトイン型自己試験手段を備えている。前記ビルトイン型自己試験手段は、前記光学的に分離されたリレーを試験する複数の光学的に分離された受信機手段を備え、前記受信機手段のそれぞれは、フォールトをモニタするために前記光学的に分離されたリレー手段の異なるものの両端に接続されている。
【００１５】
これらの目的は、更に、少なくとも１つの通信媒体によって相互接続された複数の知能ノードを有するフォールト・トレラントな分散型制御システムにおいてフォールト・トレラントな知能投票ノードを提供する方法であって、それぞれが前記通信媒体に接続された少なくとも３つの冗長処理要素を提供するステップと、前記通信媒体からのインターノード・メッセージを受信し、前記インターノード・メッセージを前記冗長処理要素のそれぞれによって処理するステップであって、前記処理要素はデバイス付勢コマンドを発生するステップと、前記冗長処理要素のそれぞれからの第１のデバイス付勢コマンドに結合された第１の投票手段を用いて、前記第１のデバイス付勢コマンドの中の少なくとも２つが前記第１の投票手段によって同等であると判断されるときには、第１の付勢信号を発生するステップと、前記冗長処理要素のそれぞれからの第２のデバイス付勢コマンドに結合された第２の投票手段を用いて、前記第２のデバイス付勢コマンドの中の少なくとも２つが前記第２の投票手段によって同等であると判断されるときには、第２の付勢信号を発生するステップと、前記冗長処理要素のそれぞれからの第３のデバイス付勢コマンドに結合された第３の投票手段を用いて、前記第３のデバイス付勢コマンドの中の少なくとも２つが前記第３の投票手段によって同等であると判断されるときには、第３の付勢信号を発生するステップと、前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれにおける光学的に分離されたスイッチング手段を用いて、フォールト分離とフォールト閉じ込めとを提供するステップと、を含む方法を提供することによって達成される。この方法は、更に、前記第１の投票手段、前記第２の投票手段、及び前記第３の投票手段のそれぞれにおける前記光学的に分離されたスイッチング手段の性能を試験するビルトイン型自己試験手段を提供するステップを更に含む。前記光学的に分離されたスイッチング手段を用いてフォールト分離とフォールト閉じ込めとを提供する前記ステップは、複数のソリッドステートな光学的に分離されたリレーを提供するステップを含む。ビルトイン型自己試験手段を提供する前記ステップは、それぞれがフォールトをモニタするために前記光学的に分離されたリレーの異なるものの両端に接続された複数の光学的に分離された受信機手段を提供するステップを含む。前記複数の知能ノードの前記相互接続は、前記通信媒体の代わりに双方向のシングル・ファイバ・バスを提供するステップを含む。
【００１６】
【実施例】
図１を参照すると、フォールト・トレラントで分散知能型（インテリジェント）光制御（＝ｃｏｎｔｒｏｌ−ｂｙ−ｌｉｇｈｔは、登録商標）システム１０が示されている。このシステム１０は、複数の知能ノード１２、１４、１６、１８、２０を有する通信用の決定性ネットワーク・プロトコルを含む。これらのノード１２〜２０は、それぞれが、好適実施例ではシングル・光ファイバ・リングである１つ又は複数の双方向シリアル・バス２１、２２、２３に接続されている。図１に示されているノードの数は、単に、このシステムの代表例であり、当業者であれば理解するように、特定のシステムの応用例に応じて多数のノード構成も可能である。システム１０は、フォールト・トレラントな光ファイバ・ネットワークに亘って感知及び制御を行う低コストのフォールト・トレラントな光制御（登録商標）分散型知能システムを提供することにより、特に、航空機制御に有用である。システム１０は、分散型のローカル知能ノード１２〜２０を用い、感知又は制御情報が変化するときには常に冗長シリアル・バス２１、２２、２３を亘って通過するメッセージによって、物理的パラメータ及びアクテュエータを感知及び／又は制御する。フォールト・トレラントな動作を達成するためには、２、３、４、又はそれより多くの冗長データ・バスが、重要性（ｃｒｉｔｉｃａｌｉｔｙ）に依存して用いられ、冗長度もまた、航空機制御システムにおけるセンサ／アクテュエータ機能などの重要な機能を行うある知能ノードにおいて、用いられる。シリアル・データ・バスへのノード１２〜２０の結合は、トランシーバ２６1-N によって達成され、トランシーバ２６1-N のそれぞれは、デジタル制御及び通信プロセッサ（ＤＣＣＰ）２８1-N に接続されている。トランシーバとＤＣＣＰとの両方を、処理要素と称する。このシステム１０は、航空機への応用において、現在、航空機のパイロットが一次的及び二次的な飛行制御機能を制御し、モニタし、表示するのに用いている機械的、液圧的、及び電気的な制御を代替し、現在の技術に対して、重量、コスト、安全性、及び性能に関して実質的な利点を与える。このシステム１０は、地上交通、水面船舶及び潜水艦、宇宙船、公益事業（ユーティリティ）、及び産業上のプロセス制御などの、航空機以外のシステムの制御にも応用可能である。この好適実施例におけるデータ・バス媒体は光ファイバを用いて実現されているが、この決定性のネットワーク・プロトコルは、より対線やパワー・ラインなどの他の媒体にも応用できる。
【００１７】
ノード１２はシンプレックス（一重）制御ノードを表し、ノード１４はデュアル（二重）制御ノードを表し、ノード１６は以下で説明するフォールト・トレラントな知能投票装置（ｖｏｔｅｒ）を含むトリプル（三重）制御ノードである。ノード１８は、デジタル・センサ／アクテュエータとインターフェースするフォールト・トレラントでフェール・ファスト（ｆａｉｌ−ｆａｓｔ）の単純なデジタル・ノードであり、ノード２０は、アナログ・センサ／アクテュエータとインターフェースするフォールト・トレラントでフェール・ファストのトリプル・アナログ・ノードである。ノード１８とノード２０とに示されているブロードキャスト・リンクは、バス２１、２２、２３に類似する双方向のシリアル・バスである。ブロードキャスト・リンクの好適実施例は、双方向のフォト・ダイオード６８、７０と、図２のシングル・ファイバ・アナログ・インターフェース６６とを、光学的に分離された電気的インターフェースによって代替する。これにより、ノードのコストが削減されるため、１８又は２０のようなノードのために典型的に用いられるように単一の装置の囲い（エンクロージャ）の中での使用に適している。システム知能をすべてのノードに分散することによって、ネットワーク通信は減少し、故障回復のための自律性は強化され、信頼性は向上する。
【００１８】
光制御（コントロール・バイ・ライト＝登録商標）システム１０の航空機への応用例では、ノード・コンピュータの間の情報の流れは、制御アルゴリズムを航空機に亘って分散させることにより最小化される。通信ネットワークを亘って通過し、航空機の状態、物理パラメータ、及びパイロットのコマンドに対応するグローバル・データ・メッセージの組を設計することも可能になる。個々のノード１２〜２０は、行う機能に応じて、メッセージの与えられた組に同意（ｓｕｂｓｃｒｉｂｅ）する。例えば、スラスト（推力）反転反転装置の制御コンピュータは、航空機が飛行しているかどうか、エンジンの状態、スラスト・レバーの状態、着陸ギアの状態、及び、パイロットがスラスト反転装置の展開（ｄｅｐｌｏｙｍｅｎｔ）を命じたかどうかを指示するメッセージに同意する。スラスト反転装置制御コンピュータは、反転装置システムの状態に対応するデータ・メッセージを公開する。乗員警告コンピュータ又はサブシステムは、次に、スラスト反転装置制御コンピュータによって公開された、及び、ネットワークに亘って分散されている他のコンピュータ及びサブシステムからの状態メッセージに同意する。臨界的な制御機能に対しては、メッセージは、付勢箇所において行為がなされる前に、受信され冗長ネットワークに亘って投票されなければならない。
【００１９】
ＤＣＣＰ２８1-N などのノード・コンピュータは、アクチュエータ上にローカル・ループ・クロージャ（ｃｌｏｓｕｒｅ）を提供するようにプログラムされ得る。アクチュエータを制御するのに要求されるソフトウェアは、アクチュエータに関連させることにより、そして、ネットワーク・プロトコル上で標準化することにより、融通性と環境設定可能性（ｃｏｎｆｉｇｕｒａｂｉｌｉｔｙ）とを強化しながら、成分を航空機に亘ってインターフェースすることがはるかに容易になる。ソフトウェアを分割することは、また、メンテナンス及び認証（ｃｅｒｔｉｆｉｃａｔｉｏｎ）のコストを最小化するのに役立つ。
【００２０】
光制御（登録商標）システム１６は、複数のメッセージ送信機をサポートする光ファイバ・シリアル・データ・バス２１、２２、２３を用いる。バス・ネットワークは、衝突を除去し、同時に、故障の１つの点も導入しないために、分散型の媒体アクセス技術に依存する。衝突のないネットワーク・プロトコルの利点は広く知られており、航空機制御システムやそれ以外の臨界的な制御システムへの応用では、特に望まれる。
【００２１】
トランシーバ２６1-N とバス２１、２２、２３とをカバーするバス・ネットワークは、通信を半二重（ｈａｌｆ  ｄｕｐｌｅｘ）に制限することにより、シングル・ファイバ上の双方向の通信をサポートする。これは、処理ノードをシングル・ファイバに相互接続するコストを減少させるという明らかな利点を有する。それぞれの光ファイバ・トランシーバ２６は、２つの双方向の半二重ポートを有する。これにより、処理要素を環（リング）状に接続することによって大きなネットワークを作成することが可能になる。ネットワーク又はリングの内部のそれぞれのノードは、双方向性で半二重の点相互間（ポイント・ツー・ポイント）のファイバ・リンクによって隣接のノードと接続される。メッセージがネットワークの周囲を伝搬するにつれて、メッセージは各ノード１２〜２０において再発生される。１つのノード又はリンクの故障がネットワークを不能にしてしまうことを防止するために、すべてのメッセージは、リングを亘って両方向に送信され、メッセージを両方向から受信したノードにおいてリングから除去される。この送信方法によって、１つのハードウェア故障又はファイバの切断の際でも、すべてのメッセージがすべての動作ノードに搬送されることが保証される。
【００２２】
光制御（登録商標）システムは、ハードウェア冗長度、ソフトウェア冗長度、時間的（ｔｅｍｐｏｒａｌ）冗長度、及び情報冗長度を含む伝統的なフォールト・トレラント技術の組合せを用いる。飛行臨界機能が、複数の処理要素から構成されるノードを用いて実現される。ハードウェア及びソフトウェア投票装置が、コマンドの有効性を保証するのに用いられる。複数の独立データ・バス２１、２２、２３が、データの有効性を保証するのに用いられる。非同期サンプリング技術が、過渡的なアップセット又は混乱（ｄｉｓｔｕｒｂａｎｃｅ）の影響を軽減するのに用いられる。ソフトウェア設計は、ソフトウェアのフォールト・トレランス技術の当業者には既知である回復ブロックや合理性チェックなどの技術を含む。
【００２３】
ノード１２〜２０におけるＤＣＣＰ２８1-N は、複数のソースから電力を供給され、航空機又はその他のシステムが緊急復帰（ｒｅｖｅｒｓｉｏｎａｒｙ）状態にあるときでも、システム１０が動作することを可能にする。内部的には、ＤＣＣＰ２８1-N は、複数の電源を用いることにより、１つのハードウェア故障の後でも、中断のない動作が可能になる。応用例と実現されている機能の臨界性に応じて、複数のアクチュエータ及びセンサが用いられ得る。
【００２４】
光制御（登録商標）システムは、複数の処理要素に亘ってのソフトウェアの分割を強制し、それによって、容易に定義可能な機能を実現する独立の実行可能なソフトウェアを作成する。すべての独立のルーチンは、的確に定義されたインターフェースを介して、通信する。ソフトウェアの分割によって、ソフトウェアの徹底的な試験が可能になり、より中心化されたシステムでは達成するのにしばしば困難であり高価なレベルの信頼性が得られる。
【００２５】
図２を参照すると、デジタル制御及び通信プロセッサＤＣＣＰ２８と処理要素を形成するトランシーバ２６とが示されている。ＤＣＣＰ２８は、ノード内において、ネットワーク及び応用例に特定の処理を提供し、センサ及び制御デバイスからの入力を処理して、図１に示すようなネットワークに亘って制御情報を伝搬する。ＤＣＣＰ２８は、媒体アクセス制御（ＭＡＣ）プロセッサと、ネットワーク・プロセッサと、アプリケーション・プロセッサとを含む３つのコントローラ５２を有するＶＳＬＩチップ５０を備え、３つのコントローラ５２は、すべて、共通のアドレス及びデータ・バス６０上を、ランダム・アクセス・メモリ（ＲＡＭ）５６と非揮発性のプログラマブル・リード・オンリ・メモリ（ＰＲＯＭ）５８とに、通信する。３つのコントローラ５２は、トランシーバ２６のシングル・ファイバ・コントローラ６４とインターフェースするネットワーク通信ポート５４に結合される。トランシーバ２６及び特に決定性コントローラ７２は、バス・エクステンション６２を介して、バス６０に接続される。ＲＡＭ５６は、ネットワーク・メッセージとプログラム変数との汎用記憶装置を提供する。ＰＲＯＭ５８は、３つのコントローラ５２のためのプログラム及びコンフィギュレーション・データを記憶し、これには、後に説明するが、ネットワーク・バス２１、２２、２３上に優先又は非優先メッセージを開始させる媒体アクセス制御システム・ルーチンを含む。ＶＳＬＩチップ５０の動作は、米国カリフォルニア州パロアルトのＥｃｈｅｌｏｎ社によって出版されている３１５０チップのためのＮｅｕｒｏｎ（登録済）データ・ブック（１９９５年２月）に記載されている。これは、本明細書で援用する。ＶＳＬＩチップ５０は、米国アリゾナ州フィーニックスのＭｏｔｏｒｏｌａ社によって製造される部品番号ＭＣ１４３１５０によって具体化される。ネットワーク通信能力を有する他の同様のマイクロコントローラを用いて、ＶＳＬＩチップ５０を実現することもできる。ＲＡＭは、米国カリフォルニア州サンノゼのＣｙｐｒｅｓｓ  Ｓｅｍｉｃｏｎｄｕｃｔｏｒ社によって製造される部品番号ＣＹ７Ｃ１９９によって具体化される。ＰＲＯＭ５８は、米国カリフォルニア州サンノゼのＡｔｍｅｌ社によって製造され、マサチューセッツ州マールボロのＲａｙｔｈｅｏｎ社によってプログラムされた部品番号ＡＴ２９Ｃ２５６によって具体化される。
【００２６】
図１及び図２を参照すると、トランシーバ２６は、双方向データ・バス２１（及びバス２２、２３）上で、データを受信及び送信する。光ファイバ・データ・バス２１からの及び光ファイバ・データ・バス２１へのデータ・パケットは、好適実施例ではシングル・ファイバ・アナログ・インターフェース（ＳＦＡＩ）６６に結合された双方向フォト・ダイオード６８、７０を介して、又は、別の実施例では、より対線又はそれ以外の媒体トランシーバを介して、又は、２つの光ファイバ・ケーブルが必要にはなるが各ノードとデュアル・ファイバ・アナログ・インターフェースとの間の２つの光ファイバ・ケーブルを要求する別個の送信フォト・ダイオード及び受信フォト・ダイオード又はレーザ・ダイオードを介して、送られる。単一方向のダイオードはより低コストである。ＳＦＡＩ６６は、双方向のフォト・ダイオード６８、７０からの低レベルのアナログ信号をＣＭＯＳ又はＴＴＬレベルに、及びその逆に、変換する。双方向ダイオード６８、７０は、ピンポン・モードで機能することにより、受信機又は送信機のどちらかとして動作する。フォト・ダイオード６８、７０は、また、単一方向にも動作し、それにより、受信だけ又は送信だけの動作にもなる。２つのピンポン・ダイオードにサポートを提供することにより、異なる通信トポロジ、すなわち、リング又は星状構成に、データ転送が生じることが可能になる。ＳＦＡＩ６６は、静ネットワーク状態からパケット検出への迅速なパケット・モード応答を与え、また、送信から受信モード又は受信から送信モードへの最小の回転時間を与える。ＳＦＡＩ６６は、受信モードでは、フォト・ダイオード６８、７０の入力をデジタル信号に変換し、更に、デジタル信号を、送信モードで双方向のフォト・ダイオード６８、７０によって要求される駆動信号に変換する。ＳＦＡＩ６６は、米国マサチューセッツ州マールボロのＲａｙｔｈｅｏｎ社によって製造される部品番号Ｇ６４１８４８−１によって具体化される。双方向フォト・ダイオード６８、７０は、カリフォルニア州サンディエゴのＡＢＢ  Ｈａｆｏ社によって製造されるモデル１Ａ２１２−ＳＭＡ２Ａによって具体化され、光ファイバ・データ・バス２１、２２、２３は、コネチカット州エイボンのＳｐｅｃｔｒａｎ社によって製造される部品番号ＢＦ０４４９９などの光ファイバ・ケーブルによって具体化される。
【００２７】
ＳＦＡＩ６６は、決定性コントローラ（ＤＣ）７２に接続されるシングル・ファイバ・コントローラ（ＳＦＣ）６４に接続される。ＳＦＣ６４は、ＤＣＣＰ２８の通信ポート５４とインターフェースし、ＤＣ７２は、ＤＣＣＰ２８のバス６０、６２とインターフェースする。ＳＦＣ６４とＤＣ７２との組合せは、シングル・ファイバ・コントローラ決定性（ＳＦＣ−Ｄ）７４と称される。ＳＦＣ−Ｄ７４は、光ファイバ・データ・バスを介して、双方的に（半二重）通信する。ＳＦＣ−Ｄ７４は、ＤＣＣＰ２８の競合（ｃｏｎｔｅｎｔｉｏｎ）型のプロトコルを含む決定性ネットワーク・プロトコルの動作に対する制御を提供する。トランシーバ２６1-N は図１で示されるように環状又はリング状のトポロジで動作されるので、ＳＦＣ６４は、反再循環（ａｎｔｉ−ｒｅｃｉｒｃｕｌａｔｉｏｎ）タイマを提供して、データ・パケットがすべてのノード１４〜２０においていったん受け取られるとそれらのデータ・パケットをネットワークから除去することによって、データ・パケットが再循環されることを自動的に防止する。ＳＦＣ６４は、各ノード１４〜２０において、信号の品質を回復して、非対称のハイからロー及びローからハイへの伝搬遅延の結果生じるパルス幅歪み補償を提供する。また、ＳＦＣ６４は、光学的パワー強度の相対的なインプリケーションを提供するパルス幅歪みの大きさを測定することによって、光学的パワーのモニタリングを提供する。ＳＦＣ６４は、信号をＤＣＣＰ２８に送る又は信号を再送信する前に、信号のパルス幅を回復する。
【００２８】
図２及び図３を参照すると、図２は、決定性コントローラ７２がシングル・ファイバ・コントローラ６４に接続され、ＤＣＣＰ２８ともインターフェースすることを示している。ＤＣ７２は、時間スロットと競合に基づく通信との一意的な組合せによって、保証された時間周期におけるネットワーク応答に対する制御を提供する。決定性ネットワーク・プロトコルの使用により、図１の複数のノード１０〜２０がメッセージ衝突の可能性なくデータを送信することが可能になる。メッセージ衝突は、ネットワークがこれらのメッセージを簡潔に束縛され（ｃｏｎｃｉｓｅｌｙ  ｂｏｕｎｄｅｄ）予想可能な態様で搬送することの失敗を結果として生じるので、望ましくない。衝突検出及び／又はメッセージ肯定応答プロトコルを用いて、メッセージ搬送の失敗を検出することができるが、これらの方法は、システム応答時間の保証を提供しない。決定性ネットワーク・プロトコルによれば、システムの設計者は、メッセージ搬送時間に簡潔な上限を設定できる。図３は、メッセージ又はデータ・パケット通信のために使用可能な複数の時間スロット８２を示している。この実施例では、マンチェスタ符号化されたデータ・ストリームが用いられているが、しかし、当業者であれば理解するように、他のライン・プロトコルを用いることもできる。各スロットは、継続時間に関して、１２．８マイクロ秒の倍数であるが、この継続時間は、ネットワークの送信仕様に従って変化し得る。各ノード１２〜２０に対するスロット８２の定義は、システム設計者によって定義される全体のネットワーク時間ラインと矛盾があってはならない。ノードには、複数の時間スロットが割り当てられる。時間スロット第１から第Ｎは、優先スロット８３1〜８３Nであって、ここでは競合はネットワーク・ノード１２〜２０に亘るハードウェアの同期によって回避され、ビーコン信号を用いた周期的な再同期がおこなわれている。次のスロットは、非優先スロット８４であり、ここでは、競合に基づくプロトコルが機能することができる。同期を与えるためには、同期信号をネットワークに亘って送る必要がある。各ノード１２〜２０は、同期信号を送信し、同期信号を検出し、どのノードがこの信号を開始することの担当であるのかの管理を行う。同期信号は、ビーコンと称され、図３の時間スロット８１及び８３で生じ得る。ビーコンは、それに続くデータ・ストリームと同じ媒体に亘って移動され、別個のラインを必要としない。ビーコンを開始するノードは、ビーコン・マスタと称される。時間スロット８２は、ビーコンがリング・ネットワーク・バス２１、２２、２３上で検出される時から測定される。結果として、すべてのノード１２〜２０は厳密に同期がとられ、ただし、例外として、ネットワーク及び発振器の精度の周囲のビーコンの伝搬遅延によって生じるスキューがある。保護帯域（ガードバンド）時間スロット８５によれば、非優先時間スロット８４において遅延して開始された任意のネットワーク・メッセージに対する時間が完了することが可能になる。保護帯域スロット８５の後には、ネットワーク・ビーコン８０の送信のために配分されるビーコン・スロット８６がある。ビーコン・スロット８６は潜在的であり、トランシ��バ２６の状態マシンによって自動的に付加される。ネットワーク・ビーコンは、１つのノードによって周期的に送信され、ネットワーク上のすべてのノード１２〜２０をゆるやかに同期させる。
【００２９】
ビーコン・パターンは、以下の要件を満たすように選ばれる。（ａ）ビーコン・パターンは、判然としていなければならない。すなわち、ネットワーク・メッセージの送信の間に生じることのできないパターンでなければならない。（ｂ）ビーコン・パターンは、デジタル制御及び通信プロセッサ（ＤＣＣＰ）の動作に悪影響を与えてはならない。（ｃ）ビーコン・パターンは、ネットワーク・メッセージのために利用可能な時間を著しく減少させないように比較的短いべきである。この実施例で用いられているマンチェスタ・ライン符号に対しては、これらの要件を満足するように選択されたビーコン・パターンは、次のように定義される。
【００３０】
１．２０００ナノ秒の間、ＴＴＬハイ（ＬＥＤがオン）。
２．４００ナノ秒の間、ＴＴＬロー（ＬＥＤがオフ）。
３．４００ナノ秒の間、ＴＴＬハイ（ＬＥＤがオン）。
４．４００ナノ秒の間、ＴＴＬロー（ＬＥＤがオフ）。
５．４００ナノ秒の間、ＴＴＬハイ（ＬＥＤがオン）。
６．４００ナノ秒の間、ＴＴＬロー（ＬＥＤがオフ）。
７．２４００ナノ秒の間、ＴＴＬハイ（ＬＥＤがオン）。
このパターンは、有効なマンチェスタ符号化されたデータ・ストリームに対する標準に違反しており、非有効マンチェスタ・シーケンスと称される。これは、従って、正常なメッセージ送信と混同されないシーケンスである。このパターンは非有効マンチェスタ・データであるから、ＤＣＣＰ２８は、ビーコンを、メッセージの開始として解釈せず、無視する。ビーコンの６．４マイクロ秒の継続時間（毎秒１．２５メガビットのビット・レートでこのパターンを確立するのに要求される時間）は、ネットワーク・メッセージと比較して短く、毎秒１．２５メガビットのネットワーク上で８ビット周期を表す。異なるビット・レートのネットワーク上では、それに従って、これらの時間がスケールされる。
【００３１】
次に図４を参照すると、トランシーバ２６の決定性制御７２の一部のブロック図が示されている。ビーコン検出器９０が、入力されるネットワーク・データをモニタし、入力データが既に定義されたビーコン・パターンに一致するとビーコン検出９１信号を発生する。ビーコン検出器９０は、当業者には既知である、シフト・レジスタとコンパレータとから構成される。ビーコン検出９１進号は、決定性ネットワーク・プロトコルの全体の動作を制御する状態マシン９２に印加される。状態マシン９２は、以下で説明するように機能する。状態マシンがビーコン要求９３信号を発生するときに、ビーコン発生器９５は、ネットワーク又はバス２１上に、定義されたビーコン・パターン・データを発生する。ビーコン発生器９５は、当業者には既知の、カウンタと論理ゲートとから構成されている。決定性制御７２は、アプリケーション・オフセット・タイマ９４、ビーコン・ウォッチドッグ・タイマ９６、スロット・カウンタ９８、及びビーコンからの時間（ｔｉｍｅ  ｓｉｎｃｅ  ｂｅａｃｏｎ）カウンタ１００から構成される。
【００３２】
アプリケーション・オフセット・タイマ９４は、ビーコンが受信されるたびに状態マシン９２の制御の下でロードされる１６ビットのダウン・カウンタから構成される。ロードされた値は、ＤＣＣＰインターフェース１０２における１６ビットのアプリケーション・オフセット時定数レジスタ１１０によって供給される。このレジスタは、ノード初期化の間に、ＤＣＣＰ２８によってロードされる。ＤＣＣＰインターフェース１０２は、アプリケーション・オフセット・タイマがいつ終了するかをＤＣＣＰ２８が判断することを可能にする１ビットのアプリケーション・オフセット状態レジスタ１１２を与える。これは、ＤＣＣＰ２８のアプリケーション・ソフトウェアと共に用いられ、ビーコン周期当たりメッセージが１回だけ発行されることを保証する。ビーコン周期は、図３に示すように、すべての優先スロット８３1〜８３Nの継続時間と、非優先スロット８４、保護帯域スロット８５、潜在ビーコン・スロット８１の和である。
【００３３】
ビーコン・ウォッチドッグ・タイマは、ビーコン検出器９０によってビーコンが受信されるたびに状態マシン９２の制御の下にロードされる８ビットのダウン・カウンタである。ロードされる値は、ＤＣＣＰインターフェース１０２における８ビットのビーコン・ウォッチドッグ時定数レジスタ１１６によって、供給される。このレジスタは、ノード初期化の間に、ＤＣＣＰ２８によってロードされる。ＤＣＣＰ２８インターフェース１０２は、ビーコン・ウォッチドッグ・タイマ９６がいつ終了するかをＤＣＣＰ２８が判断することを可能にする１ビットのビーコン・ウォッチドッグ状態レジスタ１１８を与える。これにより、ＤＣＣＰ２８が、ネットワーク上のビーコンの損失を検出することが可能になる。ノードと送信周期の保護帯域との間の同期は、ビーコン・マスタ発生ノードが故障したとしても、複数のビーコン周期に対して、ノードの同期が維持されることを可能にするのに十分である。この場合には、ＤＣＣＰ２８におけるソフトウェアは、新たなビーコン・マスタを選択し、これにより、ビーコン発生の責任が保証される。
【００３４】
スロット・カウンタ９８は、ビーコンが受信されるたびに状態マシン９２によってゼロにリセットされる５ビットのアップ・カウンタから構成される。これは、スロットＲＡＭ１０６における３２の位置の中の１つを選択するのに用いられ、状態マシン９２に命じられると、１だけ進む。ビーコンからの時間カウンタ１００は、ビーコンが受信されるたびに状態マシン９２によってゼロにリセットされる１６ビットのアップ・カウンタから構成される。このカウンタ１００は、好適実施例では、７８Ｋｈｚ（１２．８ｕｓｅｃ）のレートでカウントするが、当業者であれば理解するように、このカウンタ・レートは、用いられるデータ・レートに依存して変動する。
【００３５】
スロットＲＡＭ１０６は、ビーコン周期の間にネットワーク・スロット８２の配分を定義するのに用いられる３２ワード×１６ビットのスタティックＲＡＭから構成される。このＲＡＭは、ノード初期化の間に、ＤＣＣＰ２８によってロードされる。ほとんどのエントリに対して、最上位ビットは、スロットがこのノードに配分されているかいないかを指示する。下位の１５ビットは、スロットの終了時間を示し、最下位ビットは１２．８マイクロ秒を表す。図３に示されるように、非優先及び保護帯域スロットの終了時間は、スロット終了時間を表すのに用いられる。スロットＲＡＭへのエントリは、次の通りである。すなわち、（１）優先スロット８３1〜８３Nの終了時間と所有（ｏｗｎｅｒｓｈｉｐ）とを定義する一連の１６ビット・ワード、（２）非優先スロット８４の開始時間を定義する１つの１６ビットの値であって、最後の優先スロットの終了時間と等しいはずの値、（３）非優先スロットの終了時間を定義する１つの１６ビットの値、（４）保護帯域スロットの終了時間を定義する１つの１６ビットの値、である。
【００３６】
マルチプレクサ１０４が、それによってＤＣＣＰ２８が初期化の間にスロットＲＡＭ１０６を直接にアドレス指定する経路を提供する。ＤＣＣＰインターフェース１０２における決定性モード制御レジスタ１２０によって、ＤＣＣＰ２８は、決定性モードの中への入力（エントリ）を命じることが可能になる。決定性モードでない場合には、ＤＣＣＰ２８は、スロットＲＡＭ１０６へのアクセスを有し、初期化を実行する。
【００３７】
比較１０８機能は、スロットＲＡＭ１０６からのスロット終了時間がいつ最後のビーコンからの時間に一致するかを検出し指示する１６ビットのコンパレータ・プラス・ゲート論理から構成される。上述のように、これは、現在のスロットのタイプによって、１５又は１６ビットのどちらかの比較である。
【００３８】
ＤＣＣＰインターフェース１０２は、ＤＣＣＰ２８に、決定性コントローラ７２の機能要素へのアクセスを提供する。これは、アドレス復号化と、ＤＣＣＰ２８がレジスタを読み出し及び書き込むことを可能にして決定性ネットワーク・プロトコルを制御及びモニタするデータ経路論理とを含む。これは、アプリケーション・オフセット・タイマ９４とビーコン・ウォッチドッグ・タイマ９６とを読み出し及び書き込む能力と、決定性モードの中への入力（エントリ）を命じる能力と、（決定性モードでない場合に）スロットＲＡＭ１０４を読みだし及び書き込む能力と、タイマがいつ終了したか及び現在のスロット・タイプは何かを指示する状態レジスタを読み出す能力と、を含む。
【００３９】
各ノード１２〜２０に位置する決定性制御７２は、ＤＣＣＰ２８において動作するアプリケーション符号によって初期化される。この符号は、アプリケーション・オフセット・タイマ９４とビーコン・ウォッチドッグ・タイマ９６との間隔を定義するレジスタの中に書き込む。動作モードと、ノードがビーコン・マスタであるかビーコン・スレーブであるかなどの項目とが、また、このときに、書き込まれる。これは、次に、一連の値を、ネットワーク・スロット８２の配分を定義するスロットＲＡＭ１０４の中に書き込む。いったん初期化が終了すると、ＤＣＣＰ２８は、決定性動作モードのなかへの入力を命じる。決定性動作モードの間には、ＤＣＣＰインターフェース１０２は、もはや、スロットＲＡＭ１０６を修正することはできない。シングル・ファイバ・コントローラ６４と決定性コントローラ７２とは、米国マサチューセッツ州マールボロのＲａｙｔｈｅｏｎ社によって製造される部品番号Ｇ６４９８０６−１である、シングル・ファイバ制御決定性７４と称される１つのチップによって具体化される。
【００４０】
次に図４及び図５を参照すると、図５は、図４の状態マシン９２の流れ図を示しており、それぞれの状態は、１６進数によって識別されている。状態マシン９２は、決定性ネットワーク・プロトコルの動作を制御する。決定性モードに入ると、状態マシン９２は、状態０又はエントリ状態に入る。ビーコン・マスタは、状態Ｄに移動して、そのビーコン発生器９５にビーコン要求を発行し、次に、状態６に進む。他のすべてのノード（ビーコン・スレーブ）は、状態０から直接に状態６に移る。状態６では、すべてのノードが、ビーコン検出指示を待機する。ビーコン・マスタが初期化に失敗したときには、ソフトウェアが処理を行い、バックアップ・ビーコン・マスタがオンしてビーコンを発行する。ビーコン検出は、以下の効果を生じる。すなわち、ａ）状態マシン９２は状態７に強制される（第１のスロットに入る）、ｂ）スロット・カウンタ９８はクリアされる、ｃ）ビーコンからの時間カウンタ１００はクリアされ、カウント・アップを開始する、ｄ）アプリケーション・オフセット・タイマ９４には、その最大間隔がロードされ、カウント・ダウンを開始する、ｅ）ビーコン・ウォッチドッグ・タイマ９６には、その最大間隔がロードされ、カウント・ダウンを開始する。
【００４１】
状態７からは、状態マシン９２は、次の（第１の）スロットがこのノードに配分されている場合には、状態９（イネーブルされた優先スロット）に進み、このノードに配分されていない場合には、状態Ａ（イネーブルされていない（ロックされた）優先スロット）に進む。状態９及びＡでは、スロット・タイプは、「同期スロット」又は「同期ロック」を適切に指示するように設定される。状態マシン９２は、次に、状態２（時間遅延）に進む。
【００４２】
状態２では、状態マシン９２は、この実施例では、１２．８マイクロ秒の間隔が終了するのを待機する。この間隔が終了するたびに、状態マシン９２は、状態３（スロット終了チェック）に進み、そこで、最後のビーコンからの時間と現在のスロットの終了時間とを比較する。これら２つが一致しない場合には、状態マシン９２は状態２に戻り、再度１２．８マイクロ秒を待機する。２つが一致する場合には、現在のスロットは終了する。
【００４３】
状態３からは、状態マシン９２は、以下の経路の中の１つをたどる。
【００４４】
ａ）終了したスロットが優先スロットであり次のスロットもまた優先スロットである場合には、状態マシン９２は、状態４（保護帯域チェック）を通過し、状態５（次のスロットの設定であり、スロット・カウンタが増加される）に至り、更に、状態Ｂ（非優先チェック）に至る。新たなスロットＲＡＭ１０６が前の位置とは異なる時間の値を含むので、状態マシン９２は、状態Ｆ（新たなスロットに入る）に移動する。状態Ｆは、状態７に類似している。状態Ｆからは、状態マシン９２は、スロットの所有に基づいて、状態９又はＡに移動し、以上のプロセスが反復される。
【００４５】
ｂ）終了したスロットが優先スロットであり次のスロットが非優先スロットである場合には、状態マシン９２は、状態４を通過し、状態５（スロット・カウンタが増加される）に至り、更に、状態Ｂに至る。新たなスロットＲＡＭ１０６が前の位置と同じ時間の値を含むので、状態マシン９２は、状態Ｃ（非優先スロットに入る）に移動する。状態Ｃでは、スロット・タイプは、「同期オープン」を指示するように設定される。状態マシン９２は、次に、状態２に移動し、非優先スロットの終了を待機し始める。
【００４６】
ｃ）終了したスロットが非優先スロットである場合には、状態マシン９２は、状態４を通過し、状態５（スロット・カウンタが増加される）に至り、更に、状態Ｅ（保護スロットに入る）に至る。状態Ｅでは、フラグが、保護帯域に入ったことを示すように設定され、スロット・タイプが、「同期ロック」を示すように設定される。状態マシン９２は、次に、状態２に移動し、保護帯域の終了を待機し始める。
【００４７】
ｄ）終了したスロットが保護帯域である場合には、状態マシン９２は、状態４を通過して状態１（ビーコン・スロット遅延）に至る。状態１では、状態マシン９２は、固定された量の時間を待機する。この時間は、スレーブ・ノードに対しては、１２．８マイクロ秒であり、又は、ビーコン・スロットの全体の長さである。スレーブ・ノードは、次に、ビーコンが予測されたように到着すると仮定すると、状態８（ビーコン・ノード・チェック）を通過して、状態７に至る。ビーコンが早く又は遅れて到着した場合には、状態マシン９２は、状態７に強制的に移動されて、再び同期がとられる。マスタは、状態１において、約６．４マイクロ秒待機し、次に、状態８及びＤを通過して、状態６に至り、そこでビーコンを待機する。これによって、マスタがビーコンを発生するのに６．４マイクロ秒必要とするという事実が説明される。ビーコンが発生されすべてのノードによって見られた場合には、すべては、ビーコン検出の時に再び同期がとられ、状態７に至る。ビーコンを何らかの理由で逃す任意のノードは、それ自体を同期させることを試み、発振器の精度の差異だけ誤っているはずである。このようにして、すべてのノードは、ほとんど同じ時に状態７に入る。
【００４８】
上述した状態マシン９２において説明したように、決定性コントローラ７２は、ＤＣＣＰインターフェース１０２に位置する３ビットの制御レジスタを介して、ＤＣＣＰ２８にとって利用可能になるスロット・タイプを提供する。このレジスタは、同期状態レジスタ１１４と称されるが、メッセージが図３に示されるように適切な時間スロットにおいてのみ送信されることを保証するのに用いられる。以下のように、４つのスロット・タイプを定義するのに、２ビットが用いられる。
【００４９】
同期スロット：特定のノードに配分される決定性スロットであり、１つの優先メッセージが送信され得る。
【００５０】
同期ロック：１又は複数の特定のノードには配分されない決定性スロットであり、送信は禁止される。また、保護帯域の間に、すべての送信を回避するのに用いられる。
【００５１】
同期オープン：この状態は、非優先スロット時間の間であり、すべての利用可能な非優先メッセージが送信され得る。
【００５２】
正常（ノーマル）：ネットワークは、非決定性モードで動作している。
【００５３】
第３のビットにより、ＤＣＣＰ２８が、同じタイプの連続するスロットを検出することが可能になる。その理由は、後で述べる。
【００５４】
決定性ネットワーク・プロトコルを用いることにより、システム設計者が、１つのビーコン周期の間に各ノードによる固定された（又は、少なくとも、限界を有する）数のメッセージ送信と、１つのビーコン周期において要求される処理のための最大の実行時間とを定義することが保証される。それぞれのノードには、最大の送信負荷を満たす十分な時間スロットが与えられる。アプリケーション符号は、ＤＣＣＰ２８のアプリケーション制御プロセッサに対して書き込まれ、この限界が超えられないことを保証し、アプリケーション・オフセット・タイマ９４がこの目的のために提供される。このタイマには、ビーコンの受信の際に（又は、ビーコンが予測され受信されないときに）時定数がロードされ、ゼロまでカウントダウンされる。ＤＣＣＰインターフェース１０２は、アプリケーション・オフセット・タイマ９４がいつ終了したかをアプリケーション符号が判断できるレジスタ１１２を提供する。好適な構成は、アプリケーション・オフセット・タイマ９４を最大処理時間より長くビーコン周期より短い値に設定することである。１周期の間に要求される処理を終了した後で、アプリケーション符号は、アプリケーション・オフセット状態レジスタ１１２をポール（ｐｏｌｌ）し、タイマ９４が終了するのを待機する。アプリケーション・オフセット・タイマ９４がいったん終了すると、アプリケーション符号は、次のビーコン周期の間に送信することを望むネットワーク変数を更新する。ネットワーク変数は、更新する行為により、ＤＣＣＰ２８のネットワーク・プロセッサが作用するアプリケーション・バッファの中に、置かれる。ネットワーク・プロセッサは、これらのネットワーク変数をネットワーク上で送信する責任を負う。アプリケーション・オフセット・タイマ９４の状態は、この行為がビーコン周期に１度だけ生じることを確実にするために、クリアされる。アプリケーション符号がそのメッセージの限度を知っていることを保証し、既知の数のメッセージをビーコン周期当たり１度だけ生じさせることにより、ＤＣＣＰ２８のアプリケーション・プロセッサが、結果的にＤＣＣＰ２８のアプリケーション・バッファを溢れさせることになるようなあまりに多くのメッセージを生じることが防止される。
【００５５】
アプリケーション符号は、ノードに配分されている優先スロット８３1〜８３Nの内部か、又は、優先スロットに続く非優先の競合に基づくスロット８４か、のどちらかに、メッセージを送り得る。優先メッセージとして定義されたネットワーク・メッセージは、優先スロットの間に送られ、他方で、他のものは、非優先スロットの間に送られる。
【００５６】
ビーコン・ウォッチドッグ・タイマ９６は、ネットワークを同期させるビーコンの損失を検出するために提供される。このタイマには、ビーコンの受信の際に時定数がロードされ、ゼロまでカウントダウンする。ＤＣＣＰインターフェース１０２は、ビーコン・ウォッチドッグ・タイマ９６がいつ終了したかをアプリケーション符号が判断できるレジスタ１１２を提供する。ビーコンが予想した通りに到着し続けるならば、このタイマは、連続的に再びロードされ、決して終了しない。好適な構成は、ビーコン・ウォッチドッグ・タイマ９６を１つのビーコン周期よりも著しく大きな値に設定することである。ノードは、ビーコンが不存在の場合には同期を維持しようとするので、いくつかの数の失われたビーコンは治癒され得る。システム設計者は、治癒され得る連続して失われたビーコンの数を定義する責任を負う。この限度が基づいているファクタのいくつかは、次の通りである。すなわち、（１）ノード上のクロック源の精度、（２）システム設計者が同期ドリフトに対する各スロットの間に提供することを望む時間の長さ、（３）適切に送信されたビーコンがすべてのノードによっては受信されない（システム環境などのファクタに起因して）蓋然性、（４）システム設計者が、新たなビーコン・マスタを選択することによりビーコン・マスタ・ノードの故障を検出し訂正する速度、などである。
【００５７】
好適な実施例では、アプリケーション符号は、アプリケーション・オフセット・タイマ９４が終了するときには常に、ビーコン・ウォッチドッグ・タイマの状態をチェックし、必要であれば、新たなビーコン・マスタを選択する訂正の行為を開始する。ビーコン・ウォッチドッグ・タイマ９６が終了する場合には、新たなビーコン・マスタの選択はソフトウェアによって達成される。ビーコン・マスタが選択されることが、重要である。選択の方法は、重要ではない。
【００５８】
次に、図６を参照すると、優先又は非優先メッセージを開始する媒体アクセス制御（ＭＡＣ）ソフトウェア・ルーチン１３０の流れ図が示されている。このＭＡＣルーチンは、図２に示されているＤＣＣＰ２８のＰＲＯＭ５８の中に位置する。ＭＡＣは、優先メッセージ１３２又は非優先メッセージ１３３に対するメッセージ・キューをチェックすることにより、開始する１３１。メッセージが送信のために使用可能であれば、ＭＡＣは、同期状態レジスタ１３４、１３７を検査し、使用可能なメッセージの送信が許容される１３５、１３８ことを確認する。送信が許容されれば、メッセージは送られる１３６、１３９。許容されなければ、ＭＡＣは、他方のキューをチェックし、このキューに後で戻る。システム設計者が連続的な優先スロットを同じノードに割り当てることを可能にするためには、スロット・カウンタ９８の最下位ビットもまた、同期状態レジスタ１１４において可読であり、ＭＡＣが同じノード配分を有する新たなスロットを検出することを許容する。ＭＡＣは同期状態レジスタ１１４をポールするので、可変の遅延がスロット時間の最初とメッセージ送信の開始時とから生じる。優先スロットの長さは、メッセージの長さとこの遅延の許容との両方に対応するように設定される。
【００５９】
メッセージは、非優先スロットの間の任意の時間に、ネットワーク・バス２１、２２、２３上を送信され得る。図３に示された保護帯域８５は、ビーコン周期の間に提供されて、非優先スロット８４の最終点において開始されたメッセージがビーコン時間スロット８６の開始よりも前に終了することを保証する。保護帯域スロットの長さは、システムにおける最も大きな非優先メッセージに対応しなければならない。
【００６０】
再び図１を参照すると、ノード１６は、ＤＣＣＰ２８／トランシーバ２６要素の３つのシンプレックス・ノードから構成され、各トランシーバ２６は、データ・バス２１、２２、２３の中の１つに結合される。特に、トランシーバ２６２はデータ・バス２１に結合され、トランシーバ２６３はデータ・バス２２に結合され、トランシーバ２６４はデータ・バス２３に結合されている。３つのＤＣＣＰ２８2、２８3、２８4 からの出力のそれぞれは、３つの知能投票装置３１、３２、３３の中の１つに印加される。投票装置３１〜３３のそれぞれは、投票装置ノード３１〜３３への３つの入力の中の２つが一致する場合には付勢信号を発生する。それぞれの投票装置ノード３１〜３３からの付勢信号は、デバイス ３４1、３４2、３４3を制御するのに用いられ、デバイスのそれぞれは、好適な応用例では、付勢されるべき電気的に制御された液圧弁から成る。
【００６１】
次に図１及び図７を参照すると、投票装置スイッチング回路１４０の回路図が、図７に示されており、２つの部分であるノードＡ、ノードＢ、及びノードＣが含まれている。回路ボードの通例として、各回路ボードは、トランシーバ２６と、ＤＣＣＰ２８と、各投票装置部分１４２、１４４、１４６の中の１つを含む。投票装置スイッチング回路１４０は、第１の回路ボードから部分１４２を、第２の回路ボードから部分１４４を、第３の回路ボードから部分１４６を取ることにより構成されている。３つの独立の投票装置スイッチング回路１４０は、３つの回路ボードから構成され得る。３つのＤＣＣＰ ２８2、２８3、２８4の中の任意の２つは、投票装置スイッチング回路１４０が電圧（Ｖ）をソレノイド１５４に転送するためには、一致しなければならない。投票装置スイッチング回路１４０は、４つの光学的に分離されたリレー１４８〜１５１と図７に示されているようなブリッジ・ダイオード１５２とを用いて実現されている。ダイオード１４７、１５３は、誘導性負荷のターンオフ過渡現象に対する電流経路を提供し、ソレノイド１５４における電圧が電源電圧をスパイクしないことを保証する。３つのノード１４２、１４４、１４６の中の任意の２つがその光学的に分離されたリレー１４８〜１５１を閉じる場合には、電圧（Ｖ）とソレノイド１５４との間の接続がなされる。ブリッジ・ダイオード１５２は、リレー１４８、１５１が閉じるときには、電圧（Ｖ）がソレノイド１５４に至るための接続経路を提供する。ブリッジ・ダイオード１５２は、単一のＤＣＣＰ２８によって制御されるリレー１４９、１５０が閉じるときには、接続経路が完成することを防止する。
【００６２】
３つのノードＡ１４２、ノードＢ１４６、ノードＣ１４４の間のすべての接続は、光学的に分離されたデバイスを用いてなされる。提供されている分離は、それぞれのＤＣＣＰ ２８2、２８3、２８4を、リレーによってスイッチングされる電圧（Ｖ）における故障から保護し、複数のＤＣＣＰを相互から保護する。このようにして、ＤＣＣＰの外部の故障は、この投票装置を損傷しそれを動作不能にするものであっても、ＤＣＣＰを損傷することはなく、ＤＣＣＰが他の機能を行うことを防止する。分離によれば、更に、この投票装置スイッチング回路１４０が、「ハイ・サイド」又は「ロー・サイド」のどちらかのスイッチとして用いられることを可能にする。これ以外の考慮によって要求される場合には、投票装置スイッチング回路１４０は、電圧（Ｖ）とソレノイドとの間か、又は、ソレノイドとグランドとの間かのどちらかに配置することができる。光学的に分離されたリレー１４８〜１５１は、米国カリフォルニア州エル・セグンドのインターナショナル・レクティファイア社によって製造される部品番号ＰＶＤＺ１７２によって具体化される。
【００６３】
次に図７及び図８を参照すると、投票機能を与える光学的に分離されたリレー１４８〜１５１とブリッジ・ダイオード１５２とに加えて、分散型の投票装置スイッチング回路１４０は、性能モニタリングとビルトインされた試験のための機能を含む。これは、ソリッドステートな光学的に分離されたリレー１４８〜１５１の両端の電圧をモニタする光学的に分離された受信機１５６1〜１５６6によって提供される。これらは、図７に示されているように、配列される。光学的に分離された受信機１５６１は、光学的に分離されたリレーＡ１４８の端子１６０、１６１に亘って接続されている。光学的に分離された受信機１５６２は、光学的に分離されたリレーＣ１５１の端子１６８、１６９に亘って接続されている。光学的に分離された受信機１５６３は、光学的に分離されたリレーＢ１１４９の端子１６６、１６７に亘って接続されている。光学的に分離された受信機１５６４は、光学的に分離されたリレーＢ２１５０の端子１６２、１６３に亘って接続されている。光学的に分離された受信機１５６５は、光学的に分離されたリレーＣ１５１の端子１６８、１６９に亘って接続されている。光学的に分離された受信機１５６６は、電源電圧（Ｖ）と、光学的に分離されたリレーＢ２の端子１６２とダイオード１５２の端子１６４と光学的に分離されたリレーＡ１４８の端子１６１との接合点と、に接続されている。これらの受信機は、ソレノイド１５４を付勢するにはかなりの量の電流が要求されるという事実を利用している。光学的に分離された受信機１５６1〜１５６6によって要求される（数ミリアンペアのオーダーの）少量の電流は、システムに影響することなく、ソレノイドを通過し得る。それぞれの光学的に分離された受信機１５６1〜１５６6の回路図は、図８に示されている。抵抗１５７とダイオード１５８との値は、受信機を流れる漏れ電流が受信機を付勢するには十分ではないように選択されている。受信機１５６１〜１５６６は、閉じたリレー１４８〜１５１が電流経路の一部を提供する場合にだけ付勢され得る。
【００６４】
光学的に分離されたリレー１４８〜１５１の最も通常の故障モードは、短絡回路状態に至ることである。光学的に分離された受信機１５６1〜１５６6は、ＤＣＣＰ ２８2、２８3、２８4の中の１つによって制御されるリレーの閉鎖が、受信機１５６1〜１５６6をモニタするビルトイン型の試験ソフトウェアを用いて、残りの２つのＤＣＣＰのそれぞれによって検出され得る。受信機１５６1〜１５６6は、また、図１の知能ノード２０のようなすべての３つのＤＣＣＰ ２８2、２８3、２８4へのアクセスを有する任意のＤＣＣＰ２８によって調整されたリレーの試験を行うのに使用され得る。この試験は、オフライン、又は、システムの要求によってオンラインの背景診断試験として許容される場合に、実行され得る。
【００６５】
次に掲げる表は、投票装置スイッチング回路１４０における潜在的な故障のそれぞれが、提供された光学的に分離された受信機１５６1〜１５６6の機能をモニタすることによってどのように検出されるかを示している。任意の時間に試験可能であるこれらの項目は、すべてのリレーが開いていると予測されるときに、モニタリング・ポイントをチェックすることによって試験され得る。ビルトイン型の自己試験ＢＩＳＴの間に試験可能なこれらの項目は、いくつかのリレーを閉じて、３つすべてのスレッド１４２、１４４、１４６に関係する調整された活動として投票装置スイッチング回路１４０をモニタすることが安全であるときにだけ、試験され得る。これは、飛行前の自己試験／診断の一部として、又は、メンテナンス・モードにおいて、実行されることが期待される。
【００６６】
【表１】
0003827772.tif 000002
【００６７】
以上で、好適実施例の説明を終わる。しかし、本発明概念の精神と範囲とから離れずに、多くの修正や改変が、当業者には明らかであろう。従って、本発明の範囲は、冒頭の特許請求の範囲によってのみ画定されるものとする。
【図面の簡単な説明】
【図１】本発明を用いたフォールト・トレラントな分散型の光による制御（登録商標）システムのブロック図である。
【図２】図１に示されたデジタル制御及び通信プロセッサに結合されたトランシーバのブロック図である。
【図３】ビーコン信号周期の間の決定性プロトコルの時間スロット配列の図解である。
【図４】図２に示されたトランシーバの決定性制御部分の詳細なブロック図である。
【図５】図３に示された状態マシンのブロック図である。
【図６】図２におけるＤＣＣＰのＰＲＯＭにおいて具体化された媒体アクセス・アルゴリズムの流れ図である。
【図７】図１の投票装置ノードにおいて用いられた投票装置スイッチング回路の回路図である。
【図８】図７に示された光学的に分離された受信機の回路図である。
【図１】
0003827772.tif 000003
【図２】
0003827772.tif 000004
【図３】
0003827772.tif 000005
【図４】
0003827772.tif 000006
【図５】
0003827772.tif 000007
【図６】
0003827772.tif 000008
【図７】
0003827772.tif 000009
【図８】
0003827772.tif 000010