BRPI0515496B1

BRPI0515496B1 - método e aparelho para proporcionar informações de integridade para usuários de um sistema de navegação global

Info

Publication number: BRPI0515496B1
Application number: BRPI0515496A
Authority: BR
Inventors: Lobert Bruno; L Trautenberg Hans; Abele Marcel; Oehler Veit
Original assignee: Astrium Gmbh; Esa
Priority date: 2004-09-20
Filing date: 2005-09-17
Publication date: 2018-10-16
Also published as: RU2007114789A; WO2006032422A1; SI1792196T1; JP4805936B2; CN101027570A; CY1109804T1; EP1792196B1; US8200430B2; ATE414915T1; PT1792196E; US20080288167A1; RU2381517C2; HK1111467A1; ES2319674T3; JP2008513748A; BRPI0515496A; PL1792196T3; CN101027570B; EP1637899A1; DK1792196T3

Abstract

"método e aparelho para proporcionar informações de integridade para usuários de um sistema de navegação global". a invenção refere-se a um método para proporcionar informações de integridade para usuários de um sistema de navegação global, que compreende vários veículos espaciais, como satélites, transmitindo informações para um dispositivo, para detecção de posição, em que as informações transmitidas compreendem: uma primeira informação do sistema de navegação global sobre a precisão de um sinal em erro espacial, sise, de um veículo espacial defeituoso; e uma segunda informação se o sistema de navegação global classifica o veículo espacial defeituoso como defeituoso ou não. em contraste com os métodos conhecidos para proporcionar informações de integridade em um sistema de navegação global, como galileo que são baseados na consideração de que defeitos podem ser sempre detectados, a invenção é baseada na suposição de quão exato um defeito pode ser detectado. desse modo, o desempenho do sistema de navegação global pode ser melhorado. também nenhuma suposição não encontrada é usada, o que aperfeiçoa a qualidade do serviço.

Description

(54) Título: MÉTODO E APARELHO PARA PROPORCIONAR INFORMAÇÕES DE INTEGRIDADE PARA USUÁRIOS DE UM SISTEMA DE NAVEGAÇÃO GLOBAL (51) lnt.CI.: G01S 1/00 (30) Prioridade Unionista: 20/09/2004 EP 04 022307.5 (73) Titular(es): EUROPEAN SPACE AGENCY (72) Inventor(es): HANS L. TRAUTENBERG; VEIT OEHLER; MARCEL ABELE; BRUNO LOBERT (85) Data do Início da Fase Nacional: 20/03/2007

Relatório Descritivo da Patente de Invenção para MÉTODO E APARELHO PARA PROPORCIONAR INFORMAÇÕES DE INTEGRIDADE PARA USUÁRIOS DE UM SISTEMA DE NAVEGAÇÃO GLOBAL.

Campo da Invenção

A invenção refere-se a um método para proporcionar informações de integridade para usuários de um sistema de navegação global de acordo com a reivindicação 1, um dispositivo para detecção de posição por meio de um sistema de navegação global de acordo com a reivindicação 7, e um método para determinar o risco de integridade de informações disseminadas de veículos espaciais em um sistema de navegação global de acordo com a reivindicação 13.

Antecedentes da Invenção

Em um sistema de navegação global baseado em satélites, a detecção precisa de uma posição específica com relação à terra requer ambas as integridades local e global. Integridade significa, por um lado, a capacidade do sistema de navegação global para avisar aos usuários, dentro de um período de tempo predeterminado, se partes do sistema não devem ser usadas para as suas utilizações determinadas, por outro lado, integridade também significa a confiança que um usuário pode colocar na confiabilidade das informações recebidas do sistema, particularmente, a precisão das informações.

Os avisos são necessários, se sinais de satélite único contêm defeitos. Por exemplo, esses defeitos ocorrem se um sinal de navegação de um satélite for criado no momento errado (erro de correção de relógio ou tempo), ou no lugar errado (órbita de satélite defeituosa). Esses defeitos têm uma influência no comprimento do curso aparente do sinal de um satélite para um receptor e, portanto, têm um forte impacto na precisão da navegação. Os erros de tempo também podem ser considerados como erros de comprimento de curso. Os defeitos ou erros são também chamados como sinal em erro espacial, abreviado SISE. O nome sinal no espaço vem da tarefa de um sistema de navegação global baseado em satélites, ou um sistema de navegação por satélite, que dissemina os sinais no espaço, para pro// piciar uma detecção da posição de um receptor dos sinais.

Os conceitos de integridade conhecidos são baseados na suposição de que é possível detectar, perfeitamente, erros. Os conceitos de integridade não regionais conhecidos são o Sistema de Aumento de Área Ampla (WAAS) e o Serviço de Superposição de Segmento de Navegação Geoestacionário Europeu (EGNOS). Com esses conceitos, considera-se que os erros podem ser sempre detectados. No entanto, essa suposição não é sempre correta e, portanto, a precisão da navegação pode ser reduzida.

Objeto da Invenção

Portanto, é um objetivo da presente invenção propor um método e um aparelho para proporcionar informações de integridade para usuários de um sistema de navegação global, que não são baseados na suposição de que erros podem ser sempre detectados.

Esse objeto é atingido por um método para proporcionar informações de integridade para usuários de um sistema de navegação global, como reivindicado na reivindicação 1, um método para proporcionar informações de integridade para usuário de um sistema de navegação global, de acordo com a reivindicação 1, um dispositivo para detecção de posição por meio de um sistema de navegação global, de acordo com a reivindicação 7, e um método para determinar o risco de integridade de informações disseminadas de veículos espaciais em um sistema de navegação global, de acordo com a reivindicação 13. As concretizações preferidas da invenção são especificadas nas reivindicações dependentes.

Sumário da Invenção

A idéia básica fundamental da invenção é a de disseminar informações sobre a qualidade do sinal em erros espaciais.

A invenção refere-se a um método para proporcionar informações de integridade para usuários de um sistema de navegação global, que compreende vários veículos espaciais, como satélites, transmitindo informações para um dispositivo, para detecção de posição, em que as informações transmitidas compreendem:

uma primeira informação do sistema de navegação global sobre a precisão de um sinal em erro espacial, SISE, de um veículo espacial defeituoso; e uma segunda informação se o sistema de navegação global classifica o veículo espacial defeituoso como defeituoso ou não.

Em contraste com os métodos conhecidos, tais como WAAS ou EGNOS, para proporcionar informações de integridade em um sistema de navegação global, como Galileo, que são baseados na consideração de que defeitos podem ser sempre detectados, a invenção é baseada na suposição de quão exato um defeito pode ser detectado. Desse modo, o desempenho do sistema de navegação global pode ser melhorado. Também nenhuma suposição não encontrada é usada, o que aperfeiçoa a qualidade do serviço.

Em uma concretização da invenção, a informação primária compreende:

informações sobre a qualidade de um sinal no espaço, SIS, difundido pelos veículos espaciais, que é chamado sinal em precisão espacial, SISA; e informações sobre a precisão de um monitoramento do sinal no espaço, SIS, difundido pelos veículos espaciais, por um segmento terrestre do sistema de navegação global, que é chamado sinal em precisão de monitoramento espacial, SISMA.

Além do mais, a segunda informação compreende informações sobre um sinal no espaço, SIS, difundido pelos veículos espaciais, que não deve ser usado, que é chamado sinalizador de integridade, IF.

Tipicamente, uma mensagem de navegação é disseminado para o dispositivo para detecção de posição, que inclui valores do SISA.

Também, uma mensagem de integridade pode ser disseminada para o dispositivo para detecção de posição, que inclui uma tabela contendo um valor da SISMA e um sinalizador de integridade para cada SIS.

Em um sistema de navegação global, como Galileo, as mensagens de navegação e integridade são atualizadas a cada 30 segundos.

De acordo com um outro aspecto, a invenção refere-se a um dispositivo para detecção de posição por meio de um sistema de navegação /3 global, que compreende vários veículos espaciais transmitindo informações para o dispositivo, para determinar a posição do dispositivo no espaço, em que o dispositivo compreende:

um meio receptor para receber uma informação de integridade, proporcionada de acordo com o método inventivo descrito acima;

um meio de processamento para calcular um risco de integridade das primeira e segunda informações recebidas e de outras informações; e um meio de alerta para despertar um alerta, se o risco de integridade calculado for maior que um risco de integridade permitido.

O meio de processamento pode ser adaptado para calcular o risco de integridade para um determinado limite de alerta, que é o ramo de posição permitido máximo, para o qual nenhum alerta tem que se despertado.

Para o cálculo do risco de integridade, deve-se considerar que toda as distribuições usadas para o cálculo são as distribuições gaussianas.

Para obter resultados precisos, as informações adicionais, usadas para o cálculo do risco de integridade, podem compreender:

a geometria relativa entre o dispositivo para detecção de posição e um veículo espacial;

uma base de erros para o sinal no espaço, SIS, incluindo erros de propagação, erros de recepção e erros da difusão do SIS pelos veículos espaciais; e sinalizadores de integridade, IFs.

Para os erros da difusão do SIS pelos veículos espaciais, podese considerar que para um veículo espacial não livre de falha, a distribuição da diferença, entre o erro da difusão do SIS pelos veículos espaciais e um limiar de sinalizador de integridade, é superdemarcada por uma distribuição gaussiana com um sinal de ramo padrão na precisão de monitoramento espacial, SISMA.

O dispositivo pode ser adaptado para calcular o risco de integridade, como a soma do risco de integridade horizontal PintRisk,H θ o risco de integridade vertical Pi_ntRisk,v·

A invenção também refere-se a um método para determinar o risco de integridade das informações disseminadas de veículos espaciais em um sistema de navegação global, que proporciona informações de integrida5 de por meio de um método de acordo com o método inventivo descrito acima, compreendendo as seguintes etapas:

checar se as informações de integridade, recebidas por cada fluxo de dados de integridade, são as informações de integridade geradas pela função de integridade da infra-estrutura terrestre;

selecionar dos fluxos de dados de integridade checados positivamente e redundantes, o fluxo de dados de integridade a ser usado;

determinar das informações de integridade checadas positivas e selecionadas e das informações de navegação, que sinais são válidos;

computar o risco de integridade, no limite de alerta para o perío15 do operacional crítico, no qual apenas os sinais válidos são considerados;

computar o número de veículos espaciais críticos para o período operacional crítico, no qual apenas os veículos espaciais, que proporcionam sinais válidos, são considerados; e gerar um alerta para o usuário, que indica se as informações 20 recebidas devem ser ou não usadas para detecção de posição.

Especialmente, as informações de integridade, geradas pela função de integridade da infra-estrutura terrestre, são assinadas, de modo que podem ser validadas por um receptor.

Outras vantagens e aspectos da invenção vão ficar evidentes da 25 descrição apresentada a seguir das concretizações preferidas da invenção.

Breve Descrição dos Desenhos

A presente invenção vai ser então descrita, por meio de exemplo, com referência aos desenhos em anexo, nos quais:

a Figura 1 mostra o plano de freqüência do sistema de navega30 ção global Galileo;

a Figura 2 mostra os sinais de navegação, usados no Galileo, que suportam os serviços Segurança-de-Vida (SoL);

/<

a Figura 3 ilustra o sinal em precisão espacial (SISA) e o sinal na precisão de monitoramento espacial (SISMA);

a Figura 4 ilustra a alocação de integridade de alto nível no Galileo;

a Figura 5 mostra um diagrama de blocos do ramo de usuário, para calcular um risco de integridade;

a Figura 6 mostra um diagrama de blocos do ramo de falha de disseminação;

a Figura 7 mostra um diagrama de blocos do ramo de falha de disseminação em mais detalhes;

a Figura 8 mostra um diagrama de blocos da alocação de continuidade de nível de topo;

a Figura 9 mostra um diagrama de blocos da perda de alocação de mensagem de integridade;

a Figura 10 mostra um diagrama de blocos, se falha SIS ou alocação de exclusão; e a Figura 11 mostra um fluxograma do algoritmo de aviso de navegação.

Descrição Detalhada das Concretizações Preferidas da invenção

Na descrição a seguir, a invenção é explicada como aplicação em Galileo, que vai ser um sistema de navegação baseado em satélite europeu global, independente.

O componente global de Galileo vai compreender uma constelação de satélites monitorados e controlados por um segmento terrestre, que vai também proporcionar a capacidade de detectar mau funcionamentos do satélite ou do sistema e avisos em tempo real difundidos (mensagens de integridade) para usuário.

O componente global de Galileo vai proporcionar vários serviços de navegação apenas por satélite:

- Serviços abertos (OS) proporcionando navegação & sincronização;

- Serviços Segurança-de-Vida (SoL) proporcionando mensagens />

de integridade, incorporados nas mensagens de dados de navegação de sinais de serviços abertos;

- Serviços comerciais (CS) proporcionando disseminação de sinais de dados e limites comerciais por satélites Galileo; e

- Serviços regulados públicos (PRS) proporcionando navegação & sincronização por meio de sinais de navegação de acesso restrito, independentes.

Outros componentes do sistema Galileo vão proporcionar serviços locais, para aperfeiçoar os desempenhos (por exemplo, integridade) em uma base local.

O sistema Galileo vai também proporcionar suporte para serviços de Busca-e-Salvamento (SAR).

Além disso, o Galileo vai suportar serviços de integridade regional externos (ERIS) por disseminação, por satélites Galileo selecionados, de dados de integridade gerados por provedores de serviços de integridade regionais externos, independentes.

De acordo com os requisitos mais demandantes do serviço SoL, esse vai acionar a alocação de integridade Galileo global. Portanto, as características SoL são resumidas a seguir.

Freqüências e Sinais

Os sinais de navegação Galileo são transmitidos em quatro freqüências, como indicado na Figura 1. As quatro freqüências são E5a, E5b, E6 e L1.

Essas freqüências foram selecionadas das faixas alocadas ao serviço de satélite de navegação por rádio (RNSS) pelos regulamentos de rádio ITU.

Os sinais que suportam o serviço SoL são ilustrados na Figura 2. Infra-estrutura Galileo

O segmento espacial Galileo vão compreender uma constelação de 27 satélites operacionais mais três satélites sobressalentes (inativos) em órbita em órbita em meio terrestre (MEO). Cada satélite operacional vai difundir um conjunto de sinais de navegação conduzindo sincronização de relógio, efeméride, integridade e outros dados, dependendo do sinal particular. Um usuário equipado com um receptor adequado, com boa visibilidade do céu, vai ser capaz de receber em torno de 11 satélites Galileo, para determinar a sua posição dentro de uns poucos metros.

O segmento terrestre Galileo vai controlar a constelação Galileo completa, monitorar a saúde do satélite e transferir dados para difusão subseqüente para usuários, por meio de estações de linha de transmissão entre uma estação terrestre e um satélite de missão (ULS). Os elementos básicos desses dados, tais como sincronização de relógio, efeméride e mensagens de integridade, vai ser calculados das medidas feitas por uma rede mundial das estações de sensores Galileo (GSS).

Categorias de Serviços

A integridade para sistemas de satélites de navegação global é uma medida da confiança, que pode ser colocada na correção das informações de posicionamento, supridas ao usuário pelo receptor.

. A integridade inclui a capacidade de um sistema proporcionar avisos convenientes e válidos aos usuário (alertas). O problema básico em proporcionar integridade para diferentes classes de usuários Galileo é o de determinar o que é considerado como um serviço seguro, pois esse depende do tipo de operação intencionada em cada domínio de aplicação. Os parâmetros apresentados a seguir são usados tradicionalmente para definir se ou não o serviço é seguro para uma determinada operação:

- erro tolerável máximo no domínio de posição, sem proporcionar um aviso, chamado o limite de alerta (AL);

- tempo tolerável máximo entre o limite de alerta sendo excedido e o aviso sendo recebido, chamado o tempo-para-alerta (TTA); e

- probabilidade que um aviso não seja proporcionado dentro do tempo-paraalerta, após o limite de alerta ter sido excedido, chamado o risco de integridade (IR).

Os valores aceitáveis do limite de alerta, tempo-para-alerta e risco de integridade dependem todos da operação intencionada.

O sistema Galileo vai proporcionar um nível de integridade alta3 mente demandante para os seus sinais de navegação. O conceito de integridade global vai acomodar as necessidades de uma variedade de comunidades de usuários requerendo diferentes serviços, em termos de combinações de sinais, e diferentes níveis de integridade em termos de riscos de integridade e limites de alerta.

O serviço SoL vai proporcionar informações de integridade em nível global, com base no monitoramento de sinais de serviços abertos L1 e E5b. O serviço SoL vai propiciar operações em diferentes domínios de aplicação, não apenas transporte (aéreo, terrestre, marítimo e ferroviário), mas também sincronização e outras operações críticas, com uma ampla gama de requisitos, em termos de desempenhos de integridade, que impõem diferentes restrições no nível do sistema.

Os desempenhos de Galileo são especificados no nível de usuário (isto é, desempenhos fim-a-fim), considerando o uso de um receptor adequado (um receptor padrão), sob condições ambientais e operacionais de referência, específicas.

A consulta das comunidades de usuários levou à identificação das seguintes três categorias de requisitos de integridade:

- Nível A: deve cobrir operações requerendo direção horizontal e/ou vertical, com pouco tempo de exposição e com condições dinâmicas muito rigorosas, por exemplo, nas operações de aproximação de domínio da aviação, com direção vertical (APV II); também cobre aplicações ferroviárias (controle/monitoramento de trens) e terrestres;

- Nível B: deve cobrir operações de maior dura, requerendo menor precisão, que, na faixa de domínio da aviação, de a caminho para NPA (aproximação sem precisão); e

- Nível C: deve cobrir operações marítimas, incluindo navegação oceânica, navegação costeira, aproximação de porto, águas restritas e vias aquosas em terra, que podem requerer alta precisão vertical.

A tabela a seguir apresenta a integridade de acionamento relacionada aos requisitos de desempenho para os vários níveis de usuários, bem como mapeamento de sinais de Galileo para essas configurações.

(Q

	Requisitos do nível A	Requisitos do nível B	Requisitos do nível C
Risco de integridade	3.5e-7 por150s	1.0e - 7 por 1 h	1.0e - 5 por 3h
Risco de continuidade	1.0e-5por15s	1.0e - 4 a 1.0e - 8 por 1 h	3.0e - 4 por 3h
Disponibilidade de serviço	99,5%	99,5%	99,5%
TTA	6 s	10s	10s
HAL7VAL	40 m/20m	556 m/NA	25 m/NA
Freqüência dupla, E5a+L1 ou E5b+L1	sim	sim	sim
Freqüência única, L1 ou E5b	não	sim	não
Cobertura	massas terrestres mundiais	global	global

Os requisitos do Nível A foram considerados para o trabalho de elaboração do sistema e acionaram, consequentemente, as alocações do desempenho e dos requisitos do sistema. Deve-se notar que os requisitos do sistema [RD-7] requerem HAL de 12 m.

Fontes de Erros

Os erros afetando a determinação de posição, usando um sistema de navegação por satélite, são a combinação dos seguintes dois fatores:

- os erros afetando cada medida de alcance de satélite individu10 al: esses erros são uma função do tempo de previsão da órbita do satélite e da evolução do relógio, de modo que previsões em curto prazo com altas taxas de atualização vão manter esses erros pequenos; e

- a geometria dos satélites como observada por um determinado usuário: essa geometria é determinística para tempo e local particulares e pode ser computada por cada usuário individual.

A finalidade do mecanismo de integridade para Galileo é garantir que cada usuário individual recebe sinais, que são seguros para sua operação intencionada e é avisado, em tempo devido, se essa condição não pode ser satisfeita em um ponto no tempo. No entanto, o operador do sistema Galileo pode ser considerado responsável por algumas das fontes de erro afetando os usuários. É, portanto, importante identificar as diferentes categorias de fontes de erros e explicar como cada um desses componentes de erro pode ser abordado pelo esquema de integridade global. Há três categorias principais de fontes de erro, apresentadas a seguir.

1. Erros atribuíveis à geração de sinais Galileo: essa categoria inclui todos os erros que resultam das características das freqüências de rádio dos sinais difundidos dos satélites Galileo ou dos dados de navegação contidos nos sinais de radiofreqüência. Os contribuintes principais nessa categoria são os erros de relógio e efeméride e o hardware a bordo do satélite.

2. Os erros devido à propagação de sinais: ao longo do caminho deles, da antena de difusão por satélite para a antena receptora do usuário, o sinal é perturbado por vários fenômenos afetando a sua propagação. Os retardos ionosféricos, os retardos troposféricos, o caminho múltiplo e a interferência de radiofreqüência vão ser os contribuintes principais nessa categoria.

3. Os erros devido ao receptor do usuário: o receptor do usuário vai também contribuir para o desempenho global do sistema. O ruído térmico vai afetar as medidas de faixa no receptor, como vai o nível de potência dos sinais recebidos.

O modo de lidar com a contribuição para a integridade dessas três categorias de erros vai ser muito diferente. Os dados de integridade Galileo vão permitir que os usuários sejam protegidos contra a primeira categoria de erros. A operação em freqüência dupla vai permitir que os usuários corrijam os retardos ionosféricos. A modelagem de erros de propagação vai permitir que os usuários sejam protegidos de erros devido aos retardos troposféricos. A implementação de barreiras no equipamento dos usuários vai proteger os usuários da interferência excessiva de caminhos múltiplos.

XX

Conceito de Integridade Galileo

Rede Terrestre de Monitoramento

De acordo com a infra-estrutura terrestre descrita, consistindo em estações de sensores Galileo (GSSs) e estações de ligação de estação terrestre com satélite (ULS) de missão, uma rede global pode ser usada para monitorar o comportamento do satélite e proporcionar, respectivamente, as informações para o usuário.

As várias GSSs visíveis de cada satélite acionam a rede terrestre e o número correspondente das estações necessárias. As presentes análises dos níveis do sistema mostram que o desempenho de integridade SoL necessário pode ser garantido com uma rede em tomo de 35 GSSs.

Portanto, um bom desempenho é garantido, para originar um conceito de monitoramento de integridade útil.

Conceito de Integridade

Uma primeira e opção típica para proporcionar dados para o usuário, para medidas mais precisas, para originar um conceito de integridade útil, pode ser a transmissão de dados diferenciais, usando a rede GSS global.

De acordo com a invenção, um conceito mais adequado, que é independente da localização do usuário, é para monitorar cada um dos próprios satélites e transmitir o comportamento correspondente (por exemplo, o sinal estimado na precisão espacial ou informações não aprovadas, se alguma coisa está errada com o satélite) para o usuário. Desse modo, o usuário recebe as informações diretas sobre o desempenho estimado de cada satélite (relógio e órbita).

Considerando todas as informações transmitidas, o usuário pode calcular o risco de integridade e decidir se está habilitado a iniciar a sua operação de acordo com a invenção.

SISA, SISMA, Limiar de IF

O Galileo tem a possibilidade de monitorar o sinal no espaço (SIS) dentro do segmento terrestre, usando as medidas das GSSs. Com as posições conhecidas das GSSs, a posição real do veículo espacial (SV), e com essa o erro máximo no alcance (o erro do sinal no espaço, SISE), podem ser estimados.

Se observar-se a previsão da distribuição SISE, considera-se que essa distribuição - não necessariamente gaussiana - pode ser superdemarcada por uma distribuição gaussiana não oblíqua, com o mínimo de ramo padrão, chamado sinal em precisão espacial (SISA). Com essa distribuição, a diferença entre a posição tetradimensional (órbita e relógio) do SV e a posição dimensional prevista na mensagem de navegação é descrita (de acordo com a Figura 3).

A estimativa do SISE é também um processo errôneo. A consideração feita nesse caso é que a distribuição do SISE real, em torno do valor do SISE estimado, pode ser descrita com uma distribuição gaussiana com o ramo padrão, chamado precisão de monitoramento do sinal no espaço (SISMA). A determinação dos valores SISMA é dependente da geometria entre as GSSs disponíveis e os SVs. Desse modo, a diferença entre o SISE real e o SISE estimado pode ser descrita com essa distribuição gaussiana, com o ramo padrão SISMA (de acordo com a Figura 3).

Dentro do conceito de integridade Galileo, o sistema estima o SISE, usando as medidas das GSSs, para detectar os satélites defeituosos. Se o SISE estimado for um satélite maior do que um determinado limiar, o satélite vai ser sinalizado não usar. Mas, se desdiz-se o processo errôneo da estimativa SISE, tem que ser considerado que o SISE estimado de um satélite deve ser menor do que o limiar, enquanto o SISE real efetivo é maior do que o limiar. Nesse caso, é considerada uma detecção errada.

O limiar de sinalização de integridade, TH, tem que ser selecionado de um modo que a probabilidade de um falso alarme é menor do que um limite requerido. Um alarme falso ocorre quando um satélite é sinalizado como não usar, ainda que não seja necessário que isso seja feito. Isso significa, quando o SISE estimado (SISE_est) for maior do que o limiar TH, enquanto o SISE real efetivo é menor do que o limiar TH, vai haver um falso alarme. Função de Alerta de Integridade

A função de integridade de Galileo é o serviço do sistema para proporcionar aos usuários com avisos convenientes, se o sistema não deve ser usado para navegação.

Além do mais, refere-se à confiança que o usuário pode ter nesse serviço. Essa confiança é medida pelo risco de integridade, que é a probabilidade de que o usuário deve ter sido avisado, sem ter sido avisado. Isso é chamado informações enganosas perigosas (HMI).

A função de integridade do sistema proporcionar informações de integridade para os usuários. Contém apenas informações sobre:

- a qualidade do SIS difundido por SVs (isto é, SISA);

- a precisão do monitoramento pelo segmento terrestre da difusão do SIS pelos SVs (isto é, SISMA); e

- a difusão do SIS por SVs, que não devem ser usados (isto é, sinalização de integridade e limiar de sinalização de integridade).

Dessas informações, o usuário pode gerar o seu risco de integridade individual, de acordo com a invenção. O risco de integridade é sempre calculado para um determinado limite de alerta. O limite de alerta é o ramo de posição máximo permitido para o qual nenhum alerta tem que ser promovido. Quando o risco de integridade gerado, no limite de alerta, for maior do que o risco de integridade permitido, o equipamento do usuário deve promover um alerta.

A computação do risco de integridade, no limite de alerta, pode ser simplificada, se todas as distribuições necessárias para a computação puderem ser consideradas como sendo distribuições gaussianas. A abordagem para justificar essa consideração é superdemarcar a distribuição com uma distribuição gaussiana, quando possível e necessário.

Os termos apresentados a seguir, necessários para computar o risco de integridade, no limite de alerta, são explicados de novo.

-SISE:

. SISE é o erro máximo do SIS no domínio da faixa provocado pelo SV, da carga útil do SV e da mensagem de navegação (isto é, dados de efeméride, relógio, etc.).

- SISA:

. Como a distribuição SISE não deve ser uma distribuição gaussiana, a metodologia de superdemarcação é aplicada, para descrever a distribuição SISE com uma distribuição gaussiana de superdemarcação.

. A distribuição SISE é caracterizada pelo SISA, que é uma previsão do ramo padrão mínimo de uma distribuição gaussiana, que superdemarca a distribuição SISE para SIS desprovido de falha.

- SISMA:

. Como o SISE não pode ser medido diretamente, tem-se que estimar o SISE de medidas.

. A estimativa do SISE resulta em um SISE estimado (eSlSE).

. A diferença entre o SISE e o eSlSE tem uma distribuição. Essa distribuição deve ser superdemarcada por uma distribuição gaussiana, com um ramo padrão chamado SISMA. Esse deve ser um valor mínimo do ramo padrão.

- Sinalizador de integridade e limiar de sinalizador de integridade:

. Se o eSlSE para um SIS for maior do que o limiar do sinalizador de integridade para esse SIS, o sinalizador de integridade para esse SIS é ajustado para não estar aprovado.

. O limiar do sinalizador de integridade pode ser computado da distribuição SISE, da distribuição da diferença entre SISE e eSlSE, e da probabilidade de falso alerta.

O usuário computa o seu risco de integridade dos seguintes itens, que são fixos ou difundidos pelo SIS:

- geometria relativa entre o usuário e os SVs;

- uma base de erros para o SIS, que consistem em:

. erros de propagação;

. erros de recepção; e . os erros da difusão do SIS pelos SVs; e

- sinalizadores de integridade.

A geometria relativa entre o usuário e os SVs é calculada da posição estimada do usuário e da efeméride dos SVs.

Para a distribuição dos erros de propagação e recepção, existem modelos acordados. Esses modelos podem ser alimentados por medida adicional do receptor.

Para o erro da difusão do SIS pelos SVs, para os usuário específicos, considera-se que:

- para SVs desprovidos de falha, a distribuição do erro da difusão do SIS pelos SVs é superdemarcada por uma distribuição gaussiana, com ramo padrão do SISA; e

- para SVs não desprovidos de falha, a distribuição da diferença entre o erro da difusão do SIS pelos SVs e o limiar do sinalizador de integridade é superdemarcada por uma distribuição gaussiana, com ramo padrão SISMA.

As informações do sinalizador de integridade são para excluir o SIS da navegação e da solução de integridade.

Disseminação de Integridade

De acordo com o conceito de integridade descrito, as seguintes informações devem ser disseminadas ao usuário:

- mensagem de navegação: além do teor de mensagem de navegação normal, a mensagem vai incluir também os valores do SISA para os satélites e vai ser atualizada a cerca de cada 30 s;

- mensagem de integridade: do mesmo modo que com a mensagem de navegação, a mensagem de integridade vai ser atualizada a cerca de cada 30 s, incluindo a tabela de integridade completa, consistindo do valor SISMA e do IF para cada SIS;

- estado da soma de verificação e da conectividade: o estado da soma de verificação e da conectividade da integridade (como a integridade foi gerada) vai ser atualizado a cerca de cada 1 s; e

- alertas: se necessário, alertas podem ser transmitidos em tempo real (cerca de cada 1 s) para todos os satélites.

Conceito de Integridade do Usuário

Considerações

As considerações feitas para originar a equação de integridade do usuário são resumidas como se segue:

- em um modo desprovido de falha, o SISE real para um satélite é uma distribuição gaussiana média de zero, com um ramo padrão do SISA (SISE~N(O,SISA)). Portanto, o nível de confidência do SISA é considerado como sendo igual a 1;

- em geral, satélites defeituosos vão ser detectados e vão ser sinalizados não usar;

- para cada caso no tempo, um satélite daqueles sinalizados aprovados é considerado como sendo defeituoso, mas não detectado (modo de falha); para esse satélite, o SISE real é distribuído de modo gaussiano, com o valor SISE estimado, SISEest, como o valor de expectativa, e o ramo padrão SISMA (SISE~N(SISE_est,SISMA), isto é, o nível de confidência SISMA é igualmente considerado como igual a 1; mas, como o SISE estimado, SISE^t, não vai ser do conhecimento do usuário, uma estimativa pessimista para o SISE_est é o TH do limiar; portanto, a distribuição para o SISE real de um satélite defeituoso, que não é sinalizado não usar, é gaussiana, com o valor de expectativa TH e o ramo padrão SISMA(SlSE~N(TH,SISMA)); e

- a probabilidade de que mais de um satélite, em cada caso de tempo, seja defeituoso, nas não detectado, é desprezível para a equação do usuário; falhas múltiplas e comuns são alocadas em outro ramo da árvore de integridade, incluindo as falhas do SISA e do SISMA não detectadas (de acordo com 0); portanto, esses eventos não são alocados na equação de integridade do usuário.

Com essas considerações, o usuário é capaz de determinar o risco de integridade da sua solução de posição em qualquer local global. Cálculo do Risco de Integridade do Usuário no AL

De acordo com a invenção, há dois grandes conceitos para calcular a integridade para o usuário:

1. ou pode ser calculado, cuja grandeza de erro tem que ser assumida para ser compatível com um determinado valor de risco de integridade (conceito de nível de proteção); e

2. ou o risco de integridade pode ser diretamente calculado no limite de alerta (AL).

Para o primeiro conceito, alocações fixas têm que ser estabelecidas para cada mecanismo de falha (por exemplo, 2% na horizontal e 98% na vertical, como alocação WAAS) e nível de proteção horizontal (HPL), respectivamente, nível de proteção vertical (VPL) resultam.

Além do mais, as geometrias do usuário que levam a alto HPL são diferentes daquelas que levam a altos valores de VPL. No caso de WAAS, isso não tem que ser considerado, devido ao fato de que 2% são alocados para o caso horizontal. Além do mais, a WAAS foi comparada a requisitos de disponibilidade menos rigorosos de Galileo, de modo que a diminuição em disponibilidade, devido a essa divisão fixa, pode ser tolerada.

No caso de Galileo, quatro mecanismos de falha devem ser considerados: horizontal, vertical e para cada um deles um isento de falha e um erro não detectado.

De acordo com a invenção, o risco de integridade para cada mecanismo de falha pode ser calculado no limite de alerta (AL) e comparar a soma de todas as quatro contribuições com o risco de integridade necessário. Essa abordagem corresponde ao segundo conceito.

Equação de Integridade de Usuário

Como descrito acima em detalhes, as informações disponíveis, no nível de usuário, para computar o risco de integridade são:

- sinalizador de integridade;

- valor do SISA para cada satélite;

- valor do SISMA para cada satélite; e

- limiar via SISA e SISMA.

Uma vez que a distribuição do erro no quadro de referência desejado ser conhecido (distribuições superdemarcadas gaussianas com o SISA, respectivamente, SISMA), em ambas as condições de falha e isenta de falha indicadas para as equações dos usuários, é muito direto deduzir o risco de integridade associado.

Portanto, as distribuições de erro para os casos vertical (distribuição gaussiana unídimensional) e horizontal (distribuição de qui ao quadrado

com dois graus de liberdade) precisam ser derivadas, e o risco de integridade correspondente pode ser computado por análise da integral para ambas as distribuições com os limites estabelecidos (limites de alerta).

O risco de integridade de usuário combinado pode ser calculado por

VÂL

UAL*

V2- cr

JV +Σ,

Λ f 1

H—

1—&r \Y\

JJ

Λ^Γ •Σ (eq.0-1)

Requisitos de Desempenho Básicos

Análises de simulação de volume de serviço (SVS) extensas demonstraram que a integridade necessária global e os desempenhos de disponibilidade podem ser satisfeitos, se os valores SISMA estão abaixo da seguinte especificação para os modos nominal e degradado.

	Modo nominal	Modo degradado
SISA	85 cm	85 cm
SISMA	60 cm	120 cm
Disponibilidade GMS	94,73%	99,96%
Probabilidade de estado SSgt	94,38%	5,33%
Ângulo de elevação de usuário	10°	10°

Assim, o sistema está no modo nominal, se o segmento terrestre for nominal e 0 SSgt for nominal (27 SIS disponíveis), e no modo degradado, se no segmento terrestre AND/OR o SSgt for degradado (26 SIS).

Deve-se ainda realçar que esses requisitos de desempenho básicos precisam ser derivados por Simulações de Volumes de Serviço, com um ângulo de elevação de usuário de 10°. Isso significa que o SIS tem que ser logo usado acima desse ângulo de mascaramento.

Alocação de Desempenho do Sistema

De acordo com o conceito de integridade global, as especificações de integridade, continuidade e disponibilidade necessárias devem ser alocadas no nível do sistema, abaixo dos requisitos do segmento. Essa alocação descendente é tipicamente feita por uso de uma chamada árvore de alocação para cada requisito.

A seguir, a alocação descendente de alto nível para integridade, continuidade e disponibilidade vai ser descrita, considerando o conceito de integridade descrito.

Árvore de Alocação de Integridade

Alocação do Nível de Topo

A equação apresentada acima, para calcular o risco de integridade no nível do usuário, representa os seguintes modos e mecanismos de falha, que podem levar a um evento de integridade.

1. Todos os satélites são do modo livre de falha.

2. O pior satélite que é sinalizado como aprovado (ok) é defeituoso (no limiar com SISMA).

Essa pode ser alocada como contribuição isenta de falha ou HMI DO SIS única para o risco das HMI global específico no domínio de posição. Esse risco do nível de topo diz respeito à provisão de uma solução de posição, sob as condições nas quais a probabilidade das HMI em qualquer período operacional crítico de integridade excede o valor tolerado e o usuário não é avisado dentro da TTA especificada.

Além da equação de integridade do usuário mencionada:

- isenta de falha ou HMI do SIS única: esse evento representa a situação das HMI criada quando todos os sinais usados na solução de posição se comportam nominalmente (estocástico isento de falha) ou, no máximo, um sinal afetado por uma falha não detectada é usado na solução de posição (falha de 1 SIS devido ao sistema); essa falha não inclui o caso de falha do SISA única e falha do SISMA única, porque essa é alocada no ramo falha SIS múltipla descrita abaixo.

outras contribuições ao risco de integridade global, que podem levar a eventos de integridade, são:

- falha de disseminação de integridade devido a efeitos não locais: esse ramo cobre todos os eventos nos quais os erros, na disseminação das informações de integridade, resultam em HMI no domínio de posição; esses eventos podem apenas ocorrer quando pelo menos um SIS está falhando;

- falhas SIS múltiplas: esse ramo representa a condição na qual pelo menos um SIS está falhando, devido à falha de determinação nos dados de navegação ou às falhas dos sinais independentes múltiplos;

- falhas do receptor: a contribuição do receptor não é parte da alocação do sistema e é especificada nos requisitos do sistema, separadamente; no entanto, para um melhor entendimento, é ilustrada nas figuras apresentadas a seguir.

A Figura 4 ilustra a alocação de integridade de alto nível.

Nas seções apresentadas a seguir, os ramos de integridade únicos são sucintamente descritos para detalhar os mecanismos de falha, que são cobertos pela alocação de integridade.

HMI do SIS isenta de falha ou única

O ramo esquerdo é alocado à equação de usuário descrita e é ainda dividida como ilustrado na Figura 5.

Cada parte pode ser diretamente encontrada nas equações de usuários deduzidas (cf. a 0). As duas caixas proteção errada isenta de falha e proteção errada de falha única na seção B, respectivamente, C na Figura 5 no lado esquerdo representam a alocação entre os mecanismos de falha livres de falha e defeituosos horizontais e verticais.

O usuário tem que calcular o seu risco de integridade no limite de alerta e é habilitado a iniciar a sua operação, se o valor calculado estiver abaixo da alocação HMI do SIS isenta de falha ou única (seção A).

Falha de Disseminação

O ramo falha de disseminação de integridade não local cobre todos os eventos, nos quais os erros na disseminação das informações de integridade resultam em HMI no domínio de posição. Esses eventos podem

apenas ocorrer quando pelo menos um SIS falha.

A Figura 6 ilustra a divisão adicional descendente ao nível de segmento para o ramo de falha de disseminação.

Como mencionado acima, esse ramo cobre todos os eventos nos quais HMI no domínio de posição ocorrem de acordo com uma falha na disseminação das informações de integridade. Portanto, representa as situações de risco criadas quando pelo menos um dos SIS usados na estimativa de posição está falhando (1 de 11; 11 é o número máximo de satélites visíveis), e se a disseminação tiver falhado, provocado pelo GMS ou o satélite.

No caso de informações enganosas OSPF (Ml OSPF), a saída OSPF contém informações enganosas (isto é, SISA não demarcado adequadamente pela órbita prevista e precisão do relógio), para um ou mais satélites.

Falhas SIS Múltiplas

O ramo para falhas SIS múltiplas cobre finalmente todos os eventos nos quais as falhas comuns ou independentes múltiplas levam a HMI no domínio de posição. Portanto, esses eventos podem ocorrer se SIS único independente falha simultaneamente, ou se uma falha não detectada para o SISA ou SISMA leva a falhas SIS comuns.

Além do mais, deve-se salientar que esse ramo cobre além das falhas múltiplas, também as falhas comuns para pelo menos um SIS. Desse modo, esse ramo também cobre as falhas no SISA e no SISMA não detectadas, que não estão incluídas na equação do usuário.

A Figura 7 ilustra, em um diagrama de blocos mais detalhado, o ramo de falha de disseminação. A contribuição das HMI na falha no SISA não detectada comum é alocada nas falhas GMS internas, levando à computação OD&TS ou determinação do SISA degradado, de modo que o valor do SISA, para pelo menos um satélite, não está demarcando adequadamente na distribuição SISE no caso isento de falha.

A falha SISMA comum representa as situações de risco, devido aos erros de monitoramento. Esse evento ocorre quando pelo menos um SIS de 11 está falhando e se a determinação SISMA falha, ou se as infor23 mações SISMA são corrompidas, provocado pelo GMS ou o satélite.

Árvore de Alocação de Continuidade

Igualmente com a alocação de integridade, o requisito do sistema para descontinuidade tem que ser alocado no nível do sistema até os segmentos.

Considerações

Para garantir a descontinuidade necessária do serviço de integridade, duas grandes condições precisam ser satisfeitas, no início de um tempo de exposição de continuidade.

- Ligações independentes: pelo menos duas ligações de integridade independentes são recebidas pelo usuário. Isso é necessário para garantir que o usuário receba informações de integridade (alertas) pelo intervalo de continuidade (15 s), ainda que uma ligação falhe (por exemplo, satélite, linha de transmissão entre uma estação terrestre e um satélite ou falha IPF).

- Satélites críticos: não mais do que um número especificado de satélites críticos está presente na geometria atual. Um satélite crítico é definido como um satélite na geometria de usuário atual, cuja perda ou exclusão vai levar incondicionalmente a exceder o limiar de probabilidade das HMI tolerado em qualquer período operacional crítico de integridade. Desse modo, a perda de um satélite crítico vai acarretar a geração de um alerta não usar, de modo que a operação crítica de momento é imediatamente interrompida.

Alocação em Nível de Topo

A Figura 8 ilustra a alocação em nível de topo para a descontinuidade de serviço necessária.

O risco em nível de topo descontinuidade de serviço representa a condição na qual uma operação crítica tem que ser interrompida, devido à ocorrência de um evento de sistema imprevisível no início de uma operação crítica.

Essas condições de descontinuidade críticas são satisfeitas, se ocorrer um dos eventos temidos apresentados a seguir.

- Descontinuidade devido a falha apenas no receptor: descon/3 tinuídade de acordo com uma falha de receptor (igualmente, a alocação de integridade apenas ilustrada para uma configuração completa).

- Descontinuidade devido à perda de mensagem de integridade: esse evento considera a perda da provisão de mensagem de integridade para um usuário, localizado em um local arbitrário dentro do volume de serviço.

- Ml em determinação de navegação: esse evento representa as condições nas quais os sinais enganosos são excluídos da solução de posição (alertas reais). A taxa desses alertas reais é gerada pela probabilidade de ocorrência do evento temido Ml em determinação de navegação, em qualquer período operacional crítico de continuidade, pois a detectabilidade desse evento temido pelo algoritmo IPF é considerada, conservadoramente, como sendo 100%.

- Descontinuidade devido à falha ou exclusão SIS não local: esse evento representa a contribuição de descontinuidade, devido à falhas não locais, que pode provocar, independentemente, à perda ou exclusão de um único sinal, a um ponto no qual a geometria remanescente é insuficiente para manter a probabilidade das HMI abaixo do valor permitido.

A seguir, os ramos para a perda da mensagem de integridade e falha SIS, respectivamente, exclusão, são descritos em mais detalhes, para indicar os eventos cobertos que podem provocar descontinuidade.

Perda de Mensagem de Integridade

O evento temido Descontinuidade devido à perda de mensagem de integridade reflete a perda da provisão de mensagem de integridade para um usuário, localizado em um local arbitrário dentro do volume de serviço. Esse aparece, se a falha de determinação de dados de integridade para satélites múltiplos, ou se a ligação de integridade de integridade redundante, é perdida.

A Figura 9 ilustra a alocação adicional para a mensagem de perda de integridade, até o nível de segmento.

A perda dentro do período operacional crítico da função de determinação de dados de integridade ocorre quando o segmento de missão

Galileo (GMS) falha em proporcionar as informações de integridade, ou o

GMS falha em proporcionar informações de integridade com os desempenhos SISMA necessários.

O ramo à direita é associado com a perda da mensagem de integridade, devido às falhas de ligação.

Pelo menos duas ligações são necessárias no início de uma operação crítica, pois a probabilidade de perder uma ligação, durante uma operação crítica, já é mais alta do que o risco de continuidade total. Se o usuário tiver duas, no início, é habilitado a continuar, mesmo se uma ligação for perdida. As ligações de integridade são independentes, sob a condição que elementos independentes são usados para proporcionar as informações de integridade para o usuário.

Uma ligação de falha pode ocorrer se o GMS falha em fazer a transmissão entre uma estação terrestre e o satélite, ou se a ligação ficar perdida de acordo com as falhas do satélite.

Falha ou Exclusão SIS

O evento temido Descontinuidade devido à falha ou exclusão SIS não local representa a contribuição de descontinuidade, devido a falhas não locais que podem acarretar, independentemente, a perda ou exclusão de sinal único, a um ponto no qual a geometria remanescente é insuficiente para manter a probabilidade das HMI em qualquer 150 s abaixo do valor permitido.

A geometria do usuário, na qual o sistema é declarado disponível, pode conter até seis sinais críticos independentes, que são igualmente críticos para manter a probabilidade das HMI abaixo do valor tolerado. Quando um dos sinais críticos é perdido, a probabilidade das HMI excede o valor especificado e o usuário tem que interromper a sua operação. Isso significa que a contribuição para descontinuidade do serviço tem que ser computada como 6 vezes a taxa de falha, alocada para os sinais únicos independentes.

A Figura 10 ilustra o ramo para falha ou exclusão SIS, que pode levar à descontinuidade de serviço. O conceito de 6 satélites críticos é ilus26 trado abaixo da caixa Descontinuidade devido à falha ou exclusão SIS não local no nível de topo.

O ramo Sinal bom não é usado (alerta falso) reflete a descontinuidade ocorrendo quando um sinal correto é excluído imprevisivelmente, durante uma operação crítica.

O ramo Sinal descendente sinalizado corretamente (alerta real) considera os alertas reais de algoritmo IPF, disparados pelas falhas Ml SIS independentes.

A caixa na qual o Sinal não atinge o receptor é igual à FE Mensagem IF contendo SIS não é recebida, como ilustrado na Figura 9. Disponibilidade

Para o desempenho de disponibilidade média de serviço, a abordagem é definir estados do sistema Galileo adequados e caracterizar a probabilidade para que o sistema fique em cada um dos estados, bem como a disponibilidade de serviço, no nível de usuário, para cada um desses estados. Esse parâmetro é definido como o percentual de tempo na pior localização de usuário, para o qual critérios de disponibilidade específicos são satisfeitos, de modo que um usuário pode tomar uma decisão positiva para iniciar uma operação crítica.

O desempenho de disponibilidade média de serviço é então obtido como a soma da disponibilidade, obtida para cada estado do sistema, ponderada pela probabilidade do estado correspondente. A caracterização do desempenho de disponibilidade média de serviço requer, desse modo, a determinação de ambos os desempenhos probabilísticos, relevantes para eventos imprevisíveis, que determinam as probabilidades de estado e o desempenho da disponibilidade de serviço determinística (previsível), em determinados estados de sistema, dependendo da geometria do sinal.

A determinação dos requisitos de desempenho do serviço de navegação (em termos de integridade, continuidade e disponibilidade) vai ser finalmente obtida por verificação (por estimulação do volume de serviço), que o requisito de disponibilidade médio de 99,5% de serviço SOL específico pode ser satisfeito. Para declarar, em um determinado ponto em tempo e espaço, a disponibilidade de serviço no nível de usuário, ambos os desempenhos de continuidade e integridade devem ser satisfeitos.

Algoritmo de Integridade de Usuário

Disponibilidade de Integridade

Em cada época de fixação de solução de posição, um usuário vai ser habilitado a iniciar uma operação crítica, quando as condições indicadas a seguir são satisfeitas simultaneamente.

- O receptor Galileo é capaz de proporcionar uma solução de navegação.

- O receptor Galileo é capaz de prever o desempenho de integridade e o desempenho de continuidade.

- A probabilidade das HMI, prevista no período operacional crítico seguinte, não excede o valor especificado.

- A probabilidade de descontinuidade de serviço, prevista no período operacional crítico seguinte, não excede o valor especificado.

- A mensagem de integridade é recebida por pelo menos dois caminhos de satélites independentes.

A determinação da disponibilidade de serviço, no nível de usuário, implica que o usuário deve ser capaz de prever, em cada época de fixação de solução de posição, os seus próprios desempenho de integridade e desempenho de continuidade de serviço. Para esse fim, um algoritmo específico é executado dentro do receptor do usuário. Gera as mensagens de saída apresentadas a seguir para o usuário.

- Mensagem de Operação normal, quando as condições mencionadas acima são satisfeitas simultaneamente.

- Mensagem de alerta Não usar, quando a probabilidade das HMI prevista excede o valor especificado, ou nenhuma mensagem de integridade é recebida pelo receptor de usuário. Nesse caso, o usuário vai interromper imediatamente a operação atual, que contribui para a descontinuidade global.

- Mensagem de Não iniciar, quando a não-integridade estiver abaixo do valor especificado, mas o risco de descontinuidade previsto exce28 der ο valor permitido ou uma, e apenas uma, mensagem de integridade for recebida pelo receptor de usuário. Nesse caso, o usuário não vai ser habilitado a iniciar uma operação crítica, mas um usuário, que já tiver iniciado uma operação crítica, é habilitado a terminá-la.

A regra aplicada pelo receptor de usuário, para determinar se o serviço está disponível, em um determinado ponto no tempo, é como apresentada a seguir.

1. A probabilidade das HMI computada está abaixo do valor tolerado.

2. O número de satélites críticos, durante o período operacional crítico de continuidade seguinte, não é maior do que um valor especificado.

Mais detalhes sobre o algoritmo de integridade podem ser encontrados na seção seguinte.

Funcionalidades dos Algoritmos

De acordo com as funcionalidades necessárias, o algoritmo de integridade de usuário tem que proporcionar as funções apresentadas abaixo, em qualquer época.

1. Checar que as informações de integridade, recebidas para cada fluxo de dados de integridade, são as informações de integridade geradas pela função de integridade da infra-estrutura terrestre.

2. Selecionar dos fluxos de dados de integridade checados positivamente e redundantes, o fluxo de dados de integridade a ser usado.

3. Determinar das informações de integridade checadas positivamente e redundantes e das informações de navegação, que sinais são válidos.

4. Computar o risco de integridade, no limite de alerta, para o período operacional crítico; para isso, apenas os sinais válidos são considerados.

5. Computar os vários satélites críticos para o período operacional crítico; para isso, apenas os satélites que proporcionam os sinais válidos são considerados.

6. Gerar os seguintes alertas para o usuário:

- operação normal (o usuário é habilitado a iniciar o uso do sistema para uma operação, bem como continuar a usá-lo para uma operação que já tenha sido iniciada);

- não usar (o usuário não é habilitado a iniciar o uso do sistema para uma operação, bem como tem que descontinuar o uso dele para uma operação que já tenha começado); e

- não iniciar (o usuário não é habilitado a iniciar o uso do sistema para uma operação, mas é deixado continuar a usá-lo para uma operação que já tenha sido iniciada).

Validação de Informações de Integridade

As informações de integridade, geradas pela função de integridade do segmento terrestre, são assinadas (autenticadas), de modo que possam ser validadas pelo receptor de usuário. Essa validação tem que ser conduzida na função de validação de informações de integridade. A validação vai garantir que apenas as informações de integridade, que não foram de modo algum alteradas ou que não foram alteradas durante a disseminação com a probabilidade alocada, vão ser checadas positivamente.

As informações de validação são proporcionadas no fluxo de dados de informações de integridade para o receptor de usuário, em qualquer época, mesmo se nenhuma das outras informações de integridade foi difundida para o usuário. Isso permite que o usuário determine, em qualquer época, se todas as informações de integridade foram ou não recebidas.

A validação vai ser conduzida para cada fluxo de dados de integridade, que o receptor do usuário vai receber durante operação nominal. Há pelo menos dois fluxos de dados independentes que o receptor do usuário recebe.

Seleção das Informações de Integridade

Dos fluxos de dados de informações de integridade checadas positivamente, o receptor do usuário tem que selecionar um fluxo de dados de integridade, que vai ser usado para processamento posterior. Esse vai ser normalmente o mesmo fluxo de dados de integridade usado na época anterior.

As informações de integridade, de um dos outros fluxos de dados checados positivamente, vão ser apenas usadas, se o fluxo de dados de integridade, selecionado na época anterior, não estiver mais disponível, ou se há uma previsão de que o fluxo de dados de integridade, selecionado na época anterior, não vai estar disponível por pelo menos uma época durante o tempo de exposição da integridade.

Se ambos os fluxos são checados positivamente no início da operação, um deles tem que ser selecionado arbitrariamente.

Determinação de Sinais Válidos

Os sinais válidos, que vão ser usados, são todos os sinais que são previstos de serem recebidos acima do ângulo de mascaramento definido, que são recebidos pelo receptor do usuário, e que têm:

1. o mesmo indicador de sinalização de saúde do satélite não ajustado como não saudável;

2. o sinalizador de integridade não ajustado em não usar em um fluxo de dados de integridade selecionado;

3. o sinalizador de integridade não ajustado em não monitorado em um fluxo de dados de integridade selecionado; e

4. o receptor do usuário não tiver detectado quaisquer das seguintes condições:

- AGC em mau estado (faixa estendida);

- PLL não fechado;

- erro de paridade de mensagem de navegação;

- matéria inválida dos dados;

- erro de efeméride (em excentricidade, anomalia média... fora de faixa, sem efeméride recebida,...);

- calendário inválido;

- cão de guarda expirado;

- satélite em má saúde;

- resultados de cheques de integridade SW (soma de verificação SW incorreta);

- correção ionosférica indisponível (para 1 satélite, medidas em

apenas 1 freqüência);

- erros de computações internos (elevação, coordenadas do satélite...);

- modelos de relógios inválidos;

- interferência excessiva (configurável por usuário); e

- caminhos múltiplos excessivos (configurável por usuário). Cálculo do Risco de Integridade

O risco de integridade é computado de acordo com as fórmulas apresentadas na equação de integridade de usuário e de acordo com a árvore de alocação de integridade, apresentadas na seção mencionada acima alocação de desempenho do sistema.

Satélites Críticos

Um satélite crítico é definido como um satélite na geometria de usuário, que é essencial para manter o risco de integridade no limite de alerta abaixo da especificação. Desse modo, tem que haver uma função no receptor do usuário para determinar o número de satélites críticos na geometria do usuário.

O número de satélites críticos é determinado por computação do risco de integridade no limite de alerta, para todas as geometrias de usuário previsíveis, quando está faltando apenas um sinal válido. O número de satélites críticos é o número de satélites que faz com que o risco de integridade, no limite de alerta, seja superior àquele risco de integridade alocado se o satélite for removido.

Algoritmo de Aviso de Navegação

O algoritmo de aviso de navegação vai proporcionar a implementação do conjunto de regras, para decidir se o serviço de navegação com integridade está disponível ou não na época de momento To, bem como prever a sua disponibilidade para o período crítico entrante Tc. Para esse fim, esse algoritmo vai proporcionar três níveis de saída, isto é:

1. mensagem de operação normal ou uso, gue indica gue o serviço de navegação está disponível na época To, e previsto estar disponível no período operacional crítico seguinte, com o nível necessário de de32 sempenho fim-a-fim; nessa condição, o usuário é habilitado a iniciar ou continuar as operações na época To;

2. mensagem de aviso não iniciar, que indica que o sistema está disponível na época To, mas o risco de integridade não é garantido de ser aceitavelmente baixo, no período operacional crítico seguinte; essa mensagem de aviso indica que uma operação critica (por exemplo, aproximação de aeronave) não deve ser iniciada, mas um usuário deve ser habilitado a terminar a sua operação crítica atual; e

3. alerta não usar, que indica que o usuário deve abortar, instantaneamente, a sua operação crítica atual, porque a probabilidade das HMI excede o valor especificado ou a solução PVT (posição, velocidade e tempo) é perdida.

Mensagem operação normal

O algoritmo de aviso de navegação deve ser capaz de gerar, em cada época de fixação de decisão To, uma mensagem de operação normal, quando as seguintes condições são satisfeitas simultaneamente:

1. pelo menos dois fluxos de dados de integridade estão disponíveis no instante To;

2. uma solução de algoritmo PVT está disponível no instante To (na ausência de alerta de algoritmo PVT);

3. uma solução de computação de probabilidade das HMI está disponível no instante To (na ausência de alerta de algoritmo DAS HMI);

4. a probabilidade das HMI em quaisquer 150 s previstos na época To, pelo algoritmo relevante, não exceder o limiar de probabilidade das HMI especificado;

5. for previsto que pelo menos duas mensagens de integridade vão estar continuamente disponíveis durante o período operacional crítico subseqüente; e

6. for previsto que não mais do que 6 satélites são críticos. Mensagem não usar

O algoritmo de aviso de navegação deve ser capaz de gerar, em cada época de fixação de posição To, um alerta para o usuário abortar, ins-

tantaneamente, a operação atual (alerta não usar), se ocorre uma ou mais das seguintes condições (OR):

1. nenhuma mensagem de ligação de integridade estiver disponível na época To, ou for previsto que nenhuma ligação de integridade vai estar disponível em alguma época, durante o período operacional crítico subseqüente;

2. alerta do algoritmo PVT indicando que uma solução PVT não está disponível;

3. alerta do algoritmo de computação de probabilidade das HMI, indicando que a probabilidade das HMI não está disponível; e

4. a probabilidade das HMI em quaisquer 150 s previstos na época To, pelo algoritmo relevante, exceder o limiar de probabilidade das HMI especificado; e

5. Os pelo menos dois alertas de aumento SISMA, um alerta de aumento SISMA múltiplo terem sido enviados, pelo fluxo de dados de integridade, para um satélite, desde o início da operação crítica e a probabilidade das HMI resultante, no limiar de probabilidade das HMI especificado.

Aviso não iniciar

Um aviso não iniciar tem que ser gerado, quando as seguintes condições são satisfeitas simultaneamente, a uma época de fixação de posição determinada (AND):

1. uma solução de algoritmo PVT está disponível no instante To (na ausência de alerta de algoritmo presente);

2. a probabilidade das HMI está disponível no instante To (na ausência de alerta de computação das HMI);

3. se a probabilidade das HMI em quaisquer 150 s previstos na época To, pelo algoritmo relevante, não exceder o limiar de probabilidade das HMI especificado, o algoritmo de aviso de navegação vai ser capaz de gerar uma mensagem não iniciar, quando pelo menos uma das seguintes condições é verificada (OR):

- uma e apenas uma ligação de integridade está disponível em To e prevista para estar disponível pelo período operacional crítico seguinte;

Gj

- o número de satélites críticos não pode ser determinado em To (um alerta de algoritmo de previsão de satélite crítico está presente): e

- mais de seis satélites são críticos, durante o período operacional crítico seguinte.

Fluxograma do Algoritmo

A Figura 11 ilustra o fluxograma completo para o algoritmo de aviso de navegação.

Essa figura resume os eventos que levam aos vários avisos de navegação não usar, não iniciar e operações nominais, incluindo as funcionalidades de algoritmos únicas.

Outros Comentários

De acordo com as especificações para um receptor de usuário padrão e do meio nominal correspondente, o conceito de integridade global descrito garante os desempenhos necessários, para as especificações nominais mencionadas, respectivamente, se o usuário operar no meio correspondente.

Outras barreiras precisam ser implementadas, no nível do usuário, para a proteção contra os fenômenos de locais excessivos (por exemplo, algoritmo RAM), mas isso está fora do âmbito do presente documento. Sumário

A invenção propõe um sistema de navegação por satélite de integridade global e um conceito de integridade, incluindo as capacidades de monitoramento necessárias. Além da capacidade de monitoramento, que vai ser proporcionada pelo sistema, para excluir os satélites defeituosos, o conceito de integridade apresentado considera as capacidades de monitoramento limitadas, que estão presentes em qualquer sistema de integridade, por consideração de um satélite defeituoso, que não é detectado pelo sistema de monitoramento, na computação do risco de integridade no nível de usuário.

Quatro mecanismos de falha foram considerados nas equações de integridade de usuário: horizontal, vertical e, para um deles, um sem falha e um de erro não detectado.

Diferentemente dos atuais conceitos SBAS, nenhuma alocação fixa entre os mecanismos de falha pode ser feita para evitar infra-estruturas terrestres muito complexas. O risco de integridade combinado pode ser calculado diretamente no limite de alerta e pode ser comparado com a especificação correspondente. Esse conceito é incluído na alocação de integridade total, e o impacto do cálculo do risco de integridade combinado foi comparado com a abordagem de alocação fixa típica.

Para garantir a disponibilidade de serviço, um conceito de satélites críticos foi introduzido, no qual o número de satélites críticos é o número de satélites que faz com que o risco de integridade no limite de alerta seja mais alto do que o tratamento com plasma alocado, se esse satélite for removido. Além de outro eventos temidos, a árvore de alocação de continuidade completa foi descrita.

De acordo com o conceito de integridade descrito, o algoritmo de usuário tem que implementar várias funcionalidades, que já foram descritas em detalhes.

Para resumir, um conceito de integridade foi desenvolvido e descrito para a arquitetura Galileo disponível, que é capaz de garantir a integridade e os requisitos de continuidade demandantes, com uma indisponibilidade de 0,5%, que é uma ordem de grandeza superior àquela de outros conceitos SBAS conhecidos (indisponibilidade típica de 5%).

Abreviações

AL - limite de alerta

CS - satélite crítico

ERIS - serviços de integridade regionais externos eSlSE - sinal estimado em erro espacial

FE - evento temido

GSRD - documento de requisito de sistema Galileo

GCS - estação de controle Galileo

GMS - segmento de missão Galileo

GSS - estação de sensor Galileo

HMI - informações enganosas perigosas

HPL - nível de proteção horizontal IF - sinalizador de integridade IR - risco de integridade MEO - órbita terrestre média

Ml - informações enganosas OS - serviço aberto PL - nível de proteção PRS - serviço regulado público PVT - tempo da velocidade da posição

RNSS - serviço via satélite de navegação por rádio SAR - busca e resgate

SBAS - serviço de aumento baseado no espaço

SIS - sinal no espaço

SISA - sinal em precisão espacial

SISE - sinal em erro espacial

SISMA - sinal em precisão de monitoramento espacial SoL - serviço de segurança de vida

SV - veículo espacial

SVS - simulação de volume de serviço

TH - limiar

TTA - tempo para alerta

ULS - estação de linha de transmissão entre a estação terrestre e um satélite VPL - nível de proteção vertical

WAAS - sistema de aumento de área de longa distância

Claims

REIVINDICAÇÕES

1. Método para determinar o risco de integridade de informações de posição disseminadas de veículos espaciais em um sistema de navegação global, compreendendo:

5 receber informação de integridade transmitida pelos ditos veículos espaciais;

calcular um risco de integridade a partir da dita informação de integridade e outras informações; e gerar um alerta se o risco de integridade calculado é maior do 10 que um risco de integridade permitido;

caracterizado pelo fato de que a dita informação de integridade compreende:

informações sobre a qualidade de um sinal no espaço (SIS) difundido pelos veículos espaciais, que é chamada de precisão do sinal no

15 espaço (SISA);

informações sobre a precisão de um monitoramento do sinal no espaço (SIS) difundido pelos veículos espaciais, por um segmento terrestre do sistema de navegação global, que é chamada de precisão de monitoramento do sinal no espaço (SISMA); e

20 informação se o sistema de navegação global classifica o veículo espacial defeituoso como defeituoso ou não; e em que a dita etapa de calcular um risco de integridade compreende diretamente calcular o dito risco de integridade com base na referida precisão do sinal no espaço (SISA) da dita precisão de monitoramento do sinal no

25 espaço (SISMA) e as referida outras informações.
2. Método de acordo com a reivindicação 1, caracterizado pelo fato de que a dita informação de integridade compreende informações sobre um sinal no espaço (SIS), difundido pelos veículos espaciais, que não deve ser usado, que é chamado sinalizador de integridade (IF), o método compre30 endendo ainda levar em conta o dito sinalizador de integridade (IF) para calcular o dito risco de integridade.
3. Método de acordo com qualquer uma das reivindicações 1 ou

Petição 870180062565, de 20/07/2018, pág. 5/12

2, caracterizado pelo fato de que uma mensagem de integridade é disseminada no dispositivo para detecção de posição, que inclui uma tabela contendo um valor do SISMA e um sinalizador de integridade IF para cada SIS, o método compreendendo ainda utilizar a dita tabela para calcular o dito risco

5 de integridade.
4. Método de acordo com qualquer uma das reivindicações anteriores, caracterizado pelo fato de que compreende calcular o risco de integridade, para um determinado limite de alerta, que é o ramo de posição máximo permitido para o qual nenhuma alerta tem que ser emitido.

10 5. Método de acordo com a reivindicação 4, caracterizado pelo fato de que compreende calcular o risco de integridade, como a soma de um risco de integridade em uma direção horizontal, PintRísk,H, e um risco de integridade em uma direção vertical, PintRísK,v.

6. Método de acordo com qualquer uma das reivindicações 4 ou

15 5, caracterizado pelo fato de que compreende calcular o dito risco de integridade para o referido limite de alerta determinado considerando que todas as distribuições usadas para o cálculo são distribuições gaussianas.

7. Método de acordo com qualquer uma das reivindicações precedentes, caracterizado pelo fato de que as outras informações, usadas para

20 o cálculo do risco de integridade, compreendem:

a geometria relativa entre o dispositivo para detecção de posição e um veículo espacial;

uma base de erros para o sinal no espaço (SIS) incluindo erros de propagação, erros de recepção e erros da difusão do SIS pelos veículos

25 espaciais; e sinalizadores de integridade, IFs.

8. Método de acordo com a reivindicação 7, caracterizado por calcular o dito risco de integridade para o dito limite de alerta determinado considerando-se que a distribuição da diferença entre o erro da difusão do

30 SIS pelos veículos espaciais e um limiar de sinalizador de integridade é superdemarcada por uma distribuição gaussiana com um sinal de desvio padrão na precisão de monitoramento espacial (SISMA).

Petição 870180062565, de 20/07/2018, pág. 6/12

9. Método para determinar o risco de integridade de informações disseminadas de veículos espaciais, em um sistema de navegação global, caracterizado pelo fato de que compreende as seguintes etapas:

receber informações de integridade transmitidas por meio dos 5 ditos veículos espaciais, as ditas informações de integridade compreendendo: informações sobre a qualidade de um sinal no espaço (SIS) difundido pelos veículos espaciais, que é chamada de precisão de sinal no espaço (SISA); informações sobre a precisão de um monitoramento do sinal no espaço (SIS) difundido pelos veículos espaciais, por um segmento terrestre do

10 sistema de navegação global, que é chamada de precisão de monitoramento do sinal no espaço (SISMA); e informações se o sistema de navegação global classifica o veículo espacial defeituoso como defeituoso ou não;

checar se as informações de integridade, recebidas por cada fluxo de dados de integridade, são as informações de integridade geradas

15 pela função de integridade da infra-estrutura terrestre;

selecionar dentre os fluxos de dados de integridade checados positivamente e redundantes, o fluxo de dados de integridade a ser usado;

determinar dentre as informações de integridade checadas positivamente e selecionadas e dentre as informações de navegação, quais si20 nais são válidos;

computar o risco de integridade, no limite de alerta para o período operacional crítico, no qual apenas os sinais válidos são considerados; e computar o número de veículos espaciais críticos para o período operacional crítico, no qual apenas os veículos espaciais, que proporcionam

25 sinais válidos, são considerados; e gerar um alerta para o usuário, que indica se as informações recebidas devem ser ou não usadas para detecção de posição.

10. Método de acordo com a reivindicação 9, caracterizado pelo fato de que as informações de integridade, geradas pela função de integri30 dade da infra-estrutura terrestre estão assinadas, de modo que possam ser validadas por um receptor.

11. Dispositivo para detecção de posição por meio de um sistePetição 870180062565, de 20/07/2018, pág. 7/12 ma de navegação global, que compreende vários veículos espaciais transmitindo informações para o dispositivo, para determinar a posição do dispositivo no espaço, que compreende:

um meio receptor para receber uma informação de integridade,
5 transmitida pelos veículos espaciais;

um meio de processamento para calcular um risco de integridade a partir das primeira e segunda informações recebidas e de outras informações; e um meio de alerta para despertar um alerta, se o risco de inte10 gridade calculado for do maior que um risco de integridade permitido;

caracterizado pelo fato de que os ditos meios de processamento são adaptados para calcular o dito risco de integridade por meio de um método como definido em qualquer uma das reivindicações anteriores.

Petição 870180062565, de 20/07/2018, pág. 8/12

1/7