CN102421667A

CN102421667A - 根据集成模块化航空电子设备架构实现的分布式飞行控制系统

Info

Publication number: CN102421667A
Application number: CN2010800206540A
Authority: CN
Inventors: 马克·费韦尔; 阿诺·勒卡尼; 安托万·莫雄; 让-雅克·奥贝尔
Original assignee: Airbus Operations GmbH
Current assignee: Airbus Operations GmbH; Airbus Operations SAS
Priority date: 2009-03-11
Filing date: 2010-03-10
Publication date: 2012-04-18
Anticipated expiration: 2030-03-10
Also published as: US9081372B2; CA2754031A1; BRPI1008968A2; FR2943036A1; FR2943036B1; CN102421667B; CA2754031C; WO2010103233A1; US20120101663A1

Abstract

本发明涉及一种用于飞行器的飞行控制系统，用来基于所述飞行器的驾驶部件和/或传感器提供的信息控制多个用于致动所述飞行器的舵的致动器。所述系统包括用于控制舵的第一致动器集合的主控制系统(SYSTP)和用于控制舵的第二致动器集合的副控制系统(SYSTS)，所述主系统和所述副系统分别由类型不同的独立电源(Ep，Es)供电。

Description

根据集成模块化航空电子设备架构实现的分布式飞行控制系统

技术领域

本发明广义上涉及航空领域中的飞行控制系统。

背景技术

飞行器的飞行控制系统连接驾驶部件(驾驶杆、脚操纵杆等)和空气动力舵。现代航线飞机具有电气类型的飞行控制系统，在这种控制系统中，作用在驾驶部件上的机械动作被转换为模拟信号，该模拟信号被传送给对舵进行操纵的致动器。

图1示出现有技术中已知的中央飞行控制系统100。其中示出了驾驶部件110，例如侧向迷你驾驶杆，其配备有一个或多个传感器115，例如向飞行控制计算机120提供位置信息和/或方向信息的位置传感器和/或角度传感器。计算机120基于从不同的驾驶部件110(包括自动驾驶装置(未示出))接收的信息和/或必要时从飞机传感器150(加速计、陀螺测速仪、惯性中枢)接收的信息来确定要施加给致动器130的飞行控制。这些致动器通常是由伺服阀控制的液压缸，或者是作用在飞行器的空气动力舵140上的电发动机。致动器130和空气动力舵140这两者均装备有分别标识为135和145的传感器。这些传感器向计算机120提供关于致动器的移动部分以及舵的位置和/或方向的情况。例如，传感器135可指示液压缸平移的位置，而传感器145可指示襟翼的方向。

计算机120同时具有控制功能和监测功能。其通过用于传送模拟控制信号的第一线缆133连接至致动器。其还通过第二线缆137和第三线缆147连接至分别用于装备舵本身以及致动器的传感器135和145。因此其能够随时监测致动器的状态，并检验控制是否确实地执行。

实际上，飞行控制系统由多个独立的基本系统构成，其中的每个系统均配置有专属的计算机、专属的传感器与致动器的组合以及专属的线缆网络。

这种飞行控制系统存在一些缺点：需要在计算机之间以及在计算机所控制的致动器和舵之间布置大量线缆。这样的线缆布置加重了飞行器的重量负担并增加了陷于电磁干扰的风险。

为了消除这些缺点，本申请人在法国申请号0850806(未公开)中提出了利用围绕多路复用的通信总线构成的分布式飞行控制系统(或者DFCS(Distribute Flight Control System))。在该DFCS系统中，某些控制功能和监测功能被从中央计算机向位于致动器处的远程终端转移。中央计算机和远程终端之间的控制消息和监测消息在所述多路复用总线上传输。

另外，为了确保高级别的安全性，用分立的电源为飞行控制系统的每个基本系统供电。

图2示出了空客A380的飞行控制系统的总体结构。该飞行控制系统包括分别用SYST1、SYST2、SYST3以及BCM指称的四个独立的基本系统。系统SYST1包括用PRIM1表示的主计算机和用SEC1表示的副计算机。类似地，系统SYST2和SYST3各自包括主计算机(PRIM2、PRIM3)和副计算机(SEC2、SEC3)。控制系统BCM是备用系统。

计算机PRIM1、PRIM2、PRIM3、SEC1、SEC2、SEC3和BCM是专用于飞行控制计算的计算机。主计算机PRIM1、PRIM2和PRIM3的结构均相同。相反，副计算机SEC1、SEC2和SEC3的结构则不同于主计算机的结构。

飞行控制系统可以按照多个模式运行。主计算机允许飞行控制系统以额定模式210(即，控制飞行器的整个控制表面)运行。副计算机以待机模式或者以主导的主计算机的从属模式运行。默认情况下主导计算机为主计算机PRIM1。其将飞行控制发送给所有其它主计算机以及副计算机。

在计算机PRIM1故障的情况下，由计算机PRIM2接替，并且如果后者故障，则轮到PRIM3。当所有主计算机故障时，副计算机按照SEC1、SEC2、SEC3的同一顺序来接替。在模式220下，副计算机实施劣化操作规则，也就是说，比主系统所使用的规则更加鲁棒。此外，与主系统不同，副计算机不允许执行飞机的自动驾驶功能。最后，副计算机根据计算机PRIM1的指令控制飞行器的某些舵；或者在故障的情况下，如果是计算机PRIM1故障，则副计算机根据其它主计算机的指令控制飞行器的某些舵。

计算机BCM(Back-up Control Module，备用控制模块)对应于基本功能230。

系统SYST1和SYST3由第一电源E1供电，第一电源E1例如是变频电压生成器(VFG)。系统SYST2由第二电源E2供电，第二电源E2独立于第一电源E1但类型与第一电源E1相同。最后，控制系统BCM由备用源BPS(Back-up Power Supply，备用电源)供电，BPS源由安装在液压回路上的发电机构成，该液压回路的液体由泵来驱动并且这些泵自身由喷气发动机机械地驱动。

本发明的第一目的是提出一种具有相比于现有技术更简单的集成模块化架构并确保高安全级别的分布式飞行控制系统。本发明的第二目的是在不影响所要求的安全级别的情况下减少飞行控制系统中的计算机的数量。

发明内容

本发明由用于飞行器的飞行控制系统限定，该系统用来根据由飞行器的驾驶部件和/或传感器提供的信息控制多个适用于致动所述飞行器的舵的致动器。该飞行控制系统包括：

-所谓的主控制系统，用于控制所述飞行器的舵的第一致动器集合，包括至少一个计算机，该计算机被称为主计算机，每个主计算机被实现为通用的计算模块的形式并由被称为主电源的电源供电；

-所谓的副控制系统，用于控制所述飞行器的舵的第二致动器集合，所述副系统包括至少一个计算机，该计算机被称为副计算机，每个副计算机被实现为具有专用于飞行控制计算的架构的计算模块即所谓的专用模块的形式，并由被称为副电源的电源供电，所述主电源和所述副电源是独立的并且类型不同。

根据一种实施方式，主控制系统包括分别由第一主电源和第二主电源供电的两个主计算机，所述第一主电源和所述第二主电源是独立的。

有利地，每个主计算机连接至被称为主网络的网络；接入所述主网络的多个第一终端用于获取由第一传感器集合提供的信号；接入所述网络的多个第二终端用于接收所述主计算机的控制并将电指令传送给属于所述第一致动器集合的致动器。

每个主网络包括至少一个网络节点，有利地通过链接把与第一主计算机关联的主网络节点和与第二主计算机关联的主网络节点相连接。

根据一种实施变型，接入主网络的终端的至少一个组被连接至微型交换机，所述微型交换机用于在第一端口上接收由主计算机传送给所述组的至少一个终端的帧，并且在多个第二端口上接收分别由所述组的不同终端传送的帧，所述微型交换机具有在下行链接上的中继器功能和在上行链接上的多路传输器功能。

每个主计算机能够经由其关联的主网络连接至集中器，所述集中器用于接收由多个所述驾驶部件提供的信息，以便多路传输所述信息并把被这样多路传输的信息传送给所述主计算机。

有利地，至少一个主计算机包括至少一个通用模块对，所述通用模块对由控制模块和监测模块构成。

根据主计算机的实施方式的第一变型，所述主计算机包括第一通用模块对和第二通用模块对，如果第一通用模块对故障，则第二对接替控制计算。

根据主计算机的实施方式的第二变型，所述主计算机包括三个独立的通用模块，每个模块基于由驾驶部件和/或传感器提供的信息并行地执行相同的控制计算，对这三个模块获得的控制值进行比较以选择多数模块给出的值。

根据主计算机的实施方式的第三变型，所述主计算机包括由控制模块和监测模块构成的通用模块对以及备用的附加模块，该附加模块可以在所述模块对中的一个或另一个模块故障的情况下被配置为控制模块或监测模块。

与主计算机类似，副计算机可以包括专用模块对，所述专用模块对由控制模块和监测模块构成。

副控制系统还可以包括备用的专用模块，该模块能够在属于专用模块对的一个模块故障的情况下被配置成控制模块或监测模块。

根据副计算机的实施方式的一个变型，所述副计算机包括三个独立的专用模块，每个模块基于由驾驶部件提供的信息并行地执行相同的控制计算，对这三个模块获得的控制值进行比较以选择多数模块给出的值。

副控制系统还可以包括被称为副网络的网络，每个副计算机被连接至该网络，连接至副网络的多个第一终端用于获取由第二传感器集合提供的信号，并且被接入所述副网络的多个第二终端用于接收副计算机的控制并将电指令传送给属于舵的第二致动器集合的致动器，第一传感器集合和第二传感器集合互不相交，并且舵的第一致动器集合和第二致动器集合互不相交。

副控制系统还可以包括被称为备用模块的独立的专用控制模块，该模块既不会因外界干扰失效也不会自己失效，专用模块对以及备用模块共用所述第二副网络。

最后，本发明涉及一种包括如上所述的飞行控制系统的飞行器。

附图说明

通过阅读参照附图说明的本发明的优选实施方式，本发明的其它特征和优点将变得明显。在附图中：

图1示意地示出现有技术中已知的飞行控制系统；

图2示意地示出现有技术中已知的飞行控制系统；

图3A示出根据本发明第一实施方式的飞行控制系统；

图3B示出根据本发明第二实施方式的飞行控制系统；

图4示出根据本发明的主控制系统的示例；

图5示出根据本发明的副控制系统的示例；

图6A和6B示意地示出实现图4的主控制系统的计算模块的两种变型；

图7A和7B示意地示出实现图5的副控制系统的计算模块的两种变型。

具体实施方式

本发明的基本构思在于利用如下系统：至少一个借助于通用计算机实现的、由被称为主电源的至少一个电源供电的主控制系统；以及实现为专用计算机形式并由独立于主电源并且类型与主电源不同的被称为副电源的电源供电的副控制系统。专用计算机指的是具有专用于飞行控制的硬件架构(即，更确切地说，用于飞行控制计算以及相关输入-输出的硬件架构)的计算机。输入-输出尤其允许获得由机载传感器提供的信号以及传输所述飞行控制给舵的致动器。除了专用的副计算机以外，副系统还可以包括随后要说明的同样为专用的备用计算机。

图3A示意地示出根据本发明第一实施方式的飞行控制系统。

飞行控制系统300包括分别由SYSTP和SYSTS标识的两个独立的控制系统。主控制系统SYSTP包括至少一个被标识为PRIM的主计算机、舵的由该计算机控制的第一致动器集合(未示出)以及监测这些致动器和相关的舵的状态的第一传感器集合(未示出)。主计算机通过被称为主网络的网络连接至第一致动器集合和第一传感器集合。

类似地，副系统SYSTS包括至少一个被标识为SEC的副计算机、舵的由该计算机控制的第二致动器集合以及监测这些致动器和相关的舵的状态的第二传感器集合。可选地，副系统还包括备用计算机BCM，其与副计算机共用第二致动器集合和第二传感器集合。副计算机以及必要时的备用计算机借助被称为副网络的网络连接至第二致动器集合和第二传感器集合，副网络独立于主网络并且类型与后者不同。网络的独立指的是主网络的故障不会引起副网络的故障，换言之，分别影响主网络和副网络的故障是独立的事件。网络类型的不同指的是网络按照不同的通信协议工作。例如主网络可以是AFDX(Avionics Full Duplex Switched Ethernet，航空电子全双工交换式以太网)网络，而副网络可以是按照MIL-STD-1553标准由多个场地总线构成。

重要的是应注意第一传感器集合和第二传感器集合有利地互不交叉。同样，第一致动器集合和第二致动器集合互不交叉。

主系统和副系统分别由独立且类型不同的电源Ep和Es供电。独立电源再次指的是其中一个故障不会引起另一个故障。不同的类型指的是产生能量的原理不同。例如，Ep可以是耦接至喷气发动机并根据喷气发动机的转动状态来供应变频电压的发电机VFG(Variable FrequencyGenerator，变频发电机)，Es可以是由发动机机械驱动的永磁体产生器PMG(Permanent Magnet Generator)。一般而言，电源Es被选择得比电源Ep弱。

图3B示意地示出根据本发明第二实施方式的飞行控制系统。

在此，与第一实施方式不同，主控制系统包括连接至类型不同并且独立的电源的多个主计算机。这些主计算机是通用的并且结构相同。该实施方式在主计算机的故障率高于认证机构所要求的故障率时较为优选。事实上，可理解，如果可接受的最大故障率水平为λ并且单独考虑的主计算机的平均故障率为λ₀，则主计算机的数量n应被选择为使得

为了示例的目的，在此示出具有两个主计算机PRIM1和PRIM2的结构，然而很明显本发明通常可以适合任意数量的这种计算机。

如随后将详细解释的那样，计算机PRIM1借助于第一网络连接至第一致动器集合的第一分组并且连接至第一传感器集合的第一分组。同样，计算机PRIM2借助于第二网络连接至第一致动器集合的第二分组并且连接至第一传感器集合的第二分组。因此主网络由第一网络和第二网络构成。

计算机PRIM1和PRIM2各自包括被称为模块COM的控制模块以及被称为模块MON的监测模块。模块COM和MON的结构相同而仅在编程上有所不同。模块COM可以被重新构造成模块MON，反之亦然。模块COM和MON是通用的计算机，在实践中为安装在航空电子机柜的机架中的IMA(Integrated Modular Avionics，集成模块化航空电子)卡，卡中安装有专门的应用软件。

模块COM经由主网络将控制消息传送给致动器(致动器配备有接入至网络的终端)并接收信息或确认的消息。

模块MON同样接收致动器的信息或确认的消息，并检验由模块COM传递的控制消息与由不同的致动器返回给模块COM的信息或确认的消息之间的一致性。

主计算机分别由被标识为Ep1和Ep2的独立电源供电。

可以将附加计算机PRIM3添加至主计算机PRIM1，附加计算机PRIM3的结构与PRIM1相同并由Ep1供电，且能够在PRIM1故障的情况下接替PRIM1。出于相同的理由，可以将附加计算机PRIM4添加至主计算机PRIM2。与计算机PRIM1和PRIM2相同，计算机PRIM3和PRIM4各自均由通用计算机构成，一个用于控制而另一个用于监测。

如已经与图3A和3B相关联地说明的那样，飞行控制系统300还包括副系统SYSTS。系统SYSTS包括一个或多个副计算机，例如两个计算机SEC1、SEC2，并且有利地包括备用计算机BCM。副计算机SEC1、SEC2和备用计算机BCM通过副网络共用第二致动器集合和第二传感器集合。

副计算机SEC1和SEC2各自由模块MON和COM构成，模块MON和COM起的作用与先前描述的用于主系统的模块MON和COM的作用相同。然而，这里的模块被实现为专用计算机的形式。

副计算机对应于在例如如下方面比主计算机的额定模式310更鲁棒的控制模式320：相对于用于主计算机的而言，舵的控制规则被简化并且/或者对指令观察的约束被放宽。此外，副计算机不能接受比如自动驾驶的某些功能。

备用计算机BCM(在具备该备用计算机的情况下)为单通道(monovoie)计算机，也就是说，其由结构与副计算机的模块COM或MON相同的单个模块构成。当主计算机和副计算机失效时(无论是由于故障所致的自动失效还是由驾驶员手动操作的失效)，由备用计算机BCM接替。备用计算机具有既不会因外界干扰失效也不会由于自动测试操作而失效的特点。

副系统SYSTS由独立并且类型与Ep1和Ep2不同的电源Es供电。

图4更准确地示出图3B的实施方式中的主系统SYSTP的结构。

主计算机PRIM1和PRIM2已被其模块COM和MON代表，即PRIM1A和PRIM1B针对计算机PRIM1，并且PRIM2B和PRIM2B针对计算机PRIM2。如上所述，这些模块是安装在航空电子机柜的机架中的通用计算机。如前所述，可以将计算机PRIM3添加至计算机PRIM1，其中计算机PRIM3自身同样包括模块COM、PRIM3A和模块MON、PRIM3B(用虚线表示)。这些模块于是被连接至帧交换机SW₁。同样，可以将附加计算机PRIM4添加至计算机PRIM2，该附加计算机PRIM4包括被分别标识为PRIM4A和PRIM4B的模块COM和模块MON(用虚线表示)。这些模块连接至交换机SW₂。

附加计算机PRIM3和PRIM4可以是备用计算机，并不一定用于执行飞行控制运算。需要时，其还可以被机载的其它系统使用。

将首先说明由第一主计算机PRIM1控制的主系统的部分。

模块PRIM1A和PRIM1B连接至第一网络410(有利地是AFDX网络)。更确切地说，其连接至同样位于航空电子机柜中的第一帧交换机SW₁。交换机SW₁还经由集中器CR₁和CR₂在两个不同端口上接收由驾驶员和副驾驶员的驾驶部件420、430提供的信息。更确切地说，集中器CR₁和CR₂为了交叉监测的目的而多路传输从420和430发出的相同信息。集中器CR₁和CR₂具有通用的架构(IMA)。

一定数量的传感器440(例如用于飞行控制的高级功能的加速计和陀螺测速仪)同样被连接至第一网络410。更确切地说，接入该网络的远程终端获取这些传感器提供的信号，并将相应的数据传送给计算机。在必要的情况下，传感器可以包括所述远程终端并由此直接接入AFDX网络。

模块PRIM1A和PRIM1B接收由驾驶部件420、430以及计算机440提供的信息，同时得出飞行控制(尤其是舵的转向命令)。

在额定运行下，模块PRIM1A将飞行控制传送给连接至第一子网络的不同的致动器(模块PRIM1B仅具有监测作用)。更确切地说，接入第一网络的终端(置于致动器附近)接收PRIM1A的控制并将电指令传送给致动器。

与传感器或致动器相关联的接入终端可以被直接连接至位于航空电子机柜中的例如交换机SW₁的帧交换机。然而为了减少链接的数量和长度，可以设置称之为微型交换机的帧交换设备。微型交换机允许本地处理来自于接入终端的组的帧或者目的地为接入终端的组的帧。更确切地说，微型交换机具备通常连接至AFDX交换机的第一端口和连接至不同接入装置的多个第二端口。在下行链接上(即对于第一端口所接收到的目的地为接入装置的帧而言)，微型交换机起中继器(hub，集线器)的作用，即在所有第二端口上转发在第一端口上输入的帧。接收该帧的接入装置判断它们是否为发送标的，如果不是发送标的则忽略该帧，如果是发送标的则将该帧纳入考虑。在上行链接上(即对于由不同的接入装置发出的帧而言)，微型交换机根据“轮询(round robin)”类型的机制依次检测第二端口并清空它们各自在第一端口上的缓冲区，从而确保带宽的公平分配。

配备有致动器的终端通常包括致动器的控制模块COM以及监测模块MON，监测模块MON负责检验由模块COM发送给致动器的电指令是否与由主计算机的模块传送的控制良好地一致。同一终端的两个模块COM和MON可以被多路复用，以便连接至微型交换机的同一端口、或者连接至同一微型交换机的不同端口、或者连接至不同微型交换机的端口，然而第一种情形允许减少网络的布线。

通常，接入终端将连接至本地微型交换机，除非等待时间的约束迫使直接连接至交换机。有利地，选择AFDX网络的架构使得从主计算机的模块到接入终端不会通过一个以上的交换机和微型交换机。

如图4中所示，第一网络AFDX 410包括微型交换机μSW₁、μSW₃、μSW₅、μSW₇，这些微型交换机分别对应于传感器的第一分组440以及对应于分别控制舵组

和

的致动器分组。在此，组

由第一左副翼

和左空气制动器

构成，组

由右副翼

和右空气制动器

构成，组由左右升降舵

和方向舵RDR₂构成。

有利地，微型交换机μSW₁、μSW₃和μSW₅位于飞行器的中央舱体区域，至于微型交换机μSW₇则位于机身尾部，因此微型交换机位于要使用它们的设备附近，从而减少了布线的数量。

主系统的由PRIM2控制的部分与由PRIM1控制的部分类似，因此不详细重复其说明。

容易注意到模块PRIM2A和PRIM2B被连接至第二网络(在此为网络AFDX 411)。更确切地说，它们被连接至第二帧交换机SW₂(类似于SW₁，SW₂位于航空电子机柜中)。交换机SW₂经由集中器CR₃和CR₄在两个不同端口上接收由驾驶员和副驾驶员的驾驶部件420、430提供的信息。集中器CR₃和CR₄为了交叉监测的目的多路传输从420和430发出的相同信息。集中器CR₃和CR₄具有通用的架构(IMA)。一定数量的传感器441被连接至第二网络AFDX 411。更确切地说，接入至该第二网络的远程终端获取由这些传感器提供的信号并将相应的数据传送给计算机。模块PRIM2A和PRIM2B接收由驾驶部件420、430及由传感器441提供的信息，并在出现舵转向指令的情况下计算飞行控制。在额定运行下，模块PRIM2A把飞行控制传送给连接至第二子网络AFDX的不同的致动器(模块PRIM1B仅具有监测作用)。这些致动器作用于属于三个组

和

的舵。

第二网络AFDX 411包括微型交换机μSW₂、μSW₄、μSW₆、μSW₈，这些微型交换机分别对应于传感器的第二分组441以及对应于舵组

和

在此，第一组

由左空气制动器

构成，第二组由右空气制动器构成，第三组

由方向舵RDR₃、可配平水平面THS₂(Trimmable Horizontal Surface)以及右升降舵构成。有利地，微型交换机μSW₂、μSW₄、μSW₆位于飞行器的中央舱体区域，至于微型交换机μSW₈则位于机身尾部。

重要地，应注意第一网络AFDX和第二网络AFDX可以借助于例如交换机SW₁和SW₂之间的链接相互连接从而形成单个网络。有利地该链接借助光纤OF实现，这允许两个子网络的电去耦。该链接允许模块PRIM1A、PRIM1B、PRIM2A和PRIM2B中的每个在额定模式下利用来自集中器CR₁、CR₂、CR₃、CR₄以及计算机440和441的全部信息。这允许在不同的模块之间执行交叉监测并且在必要时允许加强模块彼此间的替用性。另外，如果主计算机之一故障或者驾驶员使其失效，则其它计算机可以通过获取从所有传感器提供的信息来接手所有舵。此外，如果分别连接至第一和第二网络的两个致动器控制同一舵，则它们可以经由这两个网络间的耦合链接对话，以便使它们的活动相一致而不会在所涉及的舵中产生约束。借助于该耦合链接，可以在不通过中央计算机的情况下在两个致动器间建立对话，从而具有短暂的等待时间。

属于第一和第二网络AFDX的链接可以借助于扭绞电线对、光纤或者这两者的结合传统地来实现，光纤被用于对可能的电磁干扰较敏感的链接。

最后，通常来说第一和/或第二网络AFDX的节点可以为如先前限定的帧交换机(SW)或微型交换机，或者还可以是如图4所示的这两者的结合，其选择尤其根据对网络的流量和等待的约束来进行。

图5示出副控制系统SYSTS的实施例。

在此，副控制系统包括两个副计算机SEC1、SEC2和标识为BCM的备用计算机。副计算机SEC1包括分别用SEC1A和SEC1B标识的模块COM和模块MON。同样，副计算机SEC2包括分别用SEC2A和SEC2B标识的模块COM和模块MON。备用计算机BCM由结构与前述模块COM和MON相同的单个模块构成。计算机SEC1、SEC2和BCM共用多个总线，每个总线对应于对一个舵致动器分组的控制。在当前的情况下设置三个总线B₁、B₂和B₃，其分别对应于副翼舵、空气制动器舵和尾部控制面舵。总线优选地遵循MIL-STD-1553标准。可以考虑其它组织类型的副网络，尤其是副网络可以缩减为单个总线。

在额定运行下，计算机SEC1管理总线B₁、B₂和B₃。在SEC1故障的情况下，计算机SEC2负责计算并变成总线的管理者。如果主系统PRIM1、PRIM2以及计算机SEC1和SEC2故障，则轮到计算机BCM接替对总线的控制，并作为最后的手段来控制飞行器的舵。

传感器540还可以连接至不同的总线，其例如是陀螺测速仪的运动传感器。这些传感器不同于属于主系统的传感器。有利地，这些传感器配备有允许直接耦合至总线B₁、B₂和B₃的数字接口。

计算机SEC1、SEC2和BCM接收驾驶部件的信息，即尤其关于驾驶员和副驾驶员的驾驶室的迷你驾驶杆和脚操纵杆的信息。这些信息被以模拟或数字形式传送给计算机。更确切地说，这些信息是直接由计算机SEC1和SEC2的模块COM和MON的输入/输出卡以及模块BCM的输入/输出卡获得的。

基于驾驶部件的信息(必要时，根据连接至总线的传感器提供的信息)，计算机SEC1和SEC2计算用于致动舵的控制。例如，总线B₁允许控制左副翼

和右副翼

总线B₂允许控制左空气制动器

和右空气制动器

总线B₃允许控制左升降舵方向舵RDR₁和可配平水平面THS₁。

控制舵的致动器是所谓的智能致动器，因为它们能够本地控制其伺服。每个致动器配备有接入MIL-STD-1553网络的终端，该终端具有控制致动器的模块COM和监测模块COM的模块MON。在控制和监测不协调的情况下模块MON可以使模块COM失效。

出于替用性的目的，上述飞行控制系统具有一定数量的冗余计算机。例如，主计算机(可选)PRIM3是PRIM1的冗余，主计算机(可选)PRIM4是PRIM2的冗余。以类似的方式，副计算机SEC2是SEC1的冗余。当主要计算机(PRIM1、PRIM2、SEC1)故障时，备用计算机(PRIM3、PRIM4、SEC2)接替。如已经陈述的那样，每个主要计算机或备用计算机包括两个模块COM和MON，因此每个主系统(SYSTP1、SYSTP2)或副系统需要四个模块。

根据第一变型，用三个独立模块替代两对模块COM和MON，这三个独立模块各自并行地执行相同的控制计算。因此对结果进行比较：在额定运行下，不同的模块之间存在一致；反之，如果这些模块中的一个获得的结果与其它两个模块获得的结果不同，则仅使用与占多数的结果对应的结果。

该变型的优点是相比于前述控制系统减少了模块的数量。因此实际上具有两个主系统SYSTP1和SYSTP2，其分别包括具有三个模块PRIM1A、PRIM1B和PRIM1C的主计算机PRIM1以及同样具有三个模块的主计算机PRIM2。系统SYSTS还具有副计算机SEC以及备用计算机BCM，其中副计算机SEC包括三个模块SEC1A、SEC1B、SEC1C，备用计算机BCM包括单个模块。

根据第二变型，用一对这样的模块和一个附加的备用模块替代两对模块COM和MON，备用模块可以在需要的情况下被配置成模块COM或模块MON以便替代故障模块。该具有通用架构的备用模块不一定非要用于飞行控制计算，而是可以在需要的情况下被机载的其它系统使用。

图6A和6B分别示出图4的结构和第二变型中的结构中的主系统SYSTP的架构。

从图6B可见，在第二变型中，为每个计算机设置单个模块的冗余(用虚线表示)：PRIM1C用于计算机PRIM1，而PRIM2C用于计算机PRIM2。因此相对于图6A(在图6A中冗余涉及整个计算机)具有两个模块的增益。

如果在检测到故障时不能确定是PRIM1的模块COM和MON中的哪个模块故障，则宣布计算机PRIM1故障(如果在检测到故障时不能确定是PRIM2的模块COM和MON中的哪个模块故障，则宣布PRIM2故障)。因此由另一主计算机控制飞行器。

图7A和7B分别示出图5的结构中和第二实施变型的结构中的副控制系统的架构。

从图7B中可见，为计算机SEC设置单个模块的冗余SEC1C，而在图7A中为全部副计算机SEC2A、SEC2B设置冗余，从而具有一个模块的增益。如果不能确定是计算机SEC1的模块MON或COM中的哪个模块故障，则认为整个计算机故障。

应注意主系统与副系统能够采用不同的变型。

图5所示的副系统的实施例采用备用模块BCM。然而，如果利用所谓的“智能”致动器(即，能够直接接收并执行驾驶部件的指令的致动器)，则可以省略该模块。更确切地说，于是当损失主计算机和副计算机时，作用于升降舵和副翼的致动器直接接收迷你驾驶杆的指令并且作用于方向舵的致动器接收脚操纵杆的指令。

在先前描述的实施方式中，驾驶部件的信息被传送给用于主系统SYSTP的集中器CR₁、CR₂、CR₃、CR₄，并且被直接传送给用于副系统SYTS的计算机SEC1、SEC 2、BCM的模块。

根据第一选择，驾驶部件的信息以模拟形式传送给集中器CR₁、CR₂、CR₃、CR₄和SEC1、SEC2的模块。集中器确保模数转换并且经由交换机SW₁和SW₂把如此数字化的信息传送给主计算机的模块。

第二选择与第一选择的不同之处在于驾驶信息并非被直接传送给SEC1、SEC2的模块而是经由专用于飞行控制的集中器SR₁、SR₂、SR₃、SR₄，这些集中器本身确保模数转换。与具有通用硬件的集中器CR₁、CR₂、CR₃、CR₄相反，集中器SR₁、SR₂、SR₃、SR₄具有专用的硬件架构。此外，专用集中器可以使用与通用集中器所用的网络的类型不同的网络(例如通用集中器使用AFDX而专用集中器使用MIL-STD-1553)。

根据第三选择，驾驶信息被以数字形式由驾驶部件直接传送给主计算机和副计算机的模块。因此集中器CR₁、CR₂、CR₃、CR₄和SR₁、SR₂、SR₃、SR₄变成多余的。

根据第四选择，驾驶信息被以模拟形式传送给集中器CR₁、CR₂、CR₃、CR₄，而以数字形式直接传送给计算机SEC1、SEC2和BCM的模块。本领域技术人员应理解在不超出本发明范围的情况下能够想到其它选择。

Claims

1.一种用于飞行器的飞行控制系统，用来基于所述飞行器的驾驶部件和/或传感器提供的信息控制多个用于致动所述飞行器的舵的致动器，其特征在于包括：

-所谓的主控制系统(SYSTP)，用于控制所述飞行器的舵的第一致动器集合，所述主控制系统包括被称为主计算机的至少一个计算机(PRIM，PRIM1，PRIM2)，每个主计算机被实现为通用的计算模块(PRIM1A，PRIM1B，PRIM2A，PRIM2B)的形式，并由被称为主电源的电源(Ep，Ep1，Ep2)供电；

-所谓的副控制系统(SYSTS)，用于控制所述飞行器的舵的第二致动器集合，所述副控制系统包括被称为副计算机的至少一个计算机(SEC1，SEC2)，每个副计算机被实现为具有专用于飞行控制计算的架构的计算模块(SEC1A，SEC1B，SEC2A，SEC2B)即所谓的专用模块的形式，并由被称为副电源的电源(Es)供电，所述主电源和所述副电源是独立的并且类型不同。

2.根据权利要求1所述的飞行控制系统，其特征在于，所述主控制系统(SYSTP)包括分别由第一主电源和第二主电源(Ep1，Ep2)供电的两个主计算机(PRIM1，PRIM2)，所述第一主电源和所述第二主电源是独立的。

3.根据权利要求2所述的飞行控制系统，其特征在于，每个主计算机连接至被称为主网络的网络(410，411)；接入所述主网络的多个第一终端用于获取第一传感器集合(440，441)提供的信号；接入所述网络的多个第二终端用于接收所述主计算机的控制并将电指令传送给属于所述第一致动器集合的致动器。

4.根据权利要求3所述的飞行控制系统，其特征在于，每个主网络包括至少一个网络节点(SW₁，SW₂，μSW₁至μSW₈)，通过链接(OF)把与所述第一主计算机关联的主网络节点(SW₁)和与所述第二主计算机关联的主网络节点(SW₂)相连接。

5.根据权利要求3所述的飞行控制系统，其特征在于，接入所述主网络的终端的至少一个组被连接至微型交换机(μSW₁至μSW₈)，所述微型交换机用于在第一端口上接收由所述主计算机传送给所述组中的至少一个终端的帧，并且在多个第二端口上接收分别由所述组中的不同终端传送的帧，所述微型交换机具有在下行链接上的中继器功能和在上行链接上的多路传输器功能。

6.根据权利要求3到5中任意一项所述的飞行控制系统，其特征在于，每个主计算机经由关联的主网络连接至集中器(CR₁，CR₂)，所述集中器用于接收由多个所述驾驶部件提供的信息，以便多路传输所述信息并把被这样多路传输的信息传送至所述主计算机。

7.根据前述权利要求中的任意一项所述的飞行控制系统，其特征在于，至少一个主计算机(PRIM1，PRIM2)包括至少一个通用模块对((PRIM1A，PRIM1B)；(PRIM2A，PRIM2B))，所述通用模块对由控制模块(COM)和监测模块(MON)构成。

8.根据权利要求7所述的飞行控制系统，其特征在于，所述主计算机(PRIM1)包括第一通用模块对和第二通用模块对，如果所述第一通用模块对(PRIM1A，PRIM1B)发生故障，则所述第二对(PRIM3A，PRIM3B)接替控制计算。

9.根据权利要求7所述的飞行控制系统，其特征在于，所述主计算机(PRIM1)包括三个独立的通用模块(PRIM1A，PRIM1B，PRIM1C)，每个模块基于所述驾驶部件和/或所述传感器提供的信息并行地执行相同的控制计算，对这三个模块获得的控制值进行比较以选择多数模块给出的值。

10.根据权利要求1到6中任意一项所述的飞行控制系统，其特征在于，至少一个主计算机包括由控制模块和监测模块构成的通用模块对以及备用的附加模块，所述备用的附加模块能够在所述模块对中的一个或另一个发生故障的情况下被配置为控制模块或监测模块。

11.根据前述权利要求中任意一项所述的飞行控制系统，其特征在于，至少一个副计算机(SEC1)包括专用模块对((SEC1A，SEC1B))，所述专用模块对由控制模块和监测模块构成。

12.根据权利要求11所述的飞行控制系统，其特征在于，所述副控制系统(SYSTS)还包括备用的专用模块，所述备用的专用模块能够在属于所述专用模块对的一个发生模块故障的情况下被配置成控制模块或监测模块。

13.根据权利要求11所述的飞行控制系统，其特征在于，所述副计算机(SYSTS)包括三个独立的专用模块(SEC1A，SEC1B，SEC1C)，每个模块基于所述驾驶部件提供的信息并行地执行相同的控制计算，对这三个模块获得的控制值进行比较以选择多数模块给出的值。

14.根据权利要求11所述的飞行控制系统，其特征在于，所述副控制系统包括被称为副网络的网络，并且每个副计算机(SEC1，SEC2)被连接至该网络，连接至所述副网络的多个第一终端用于获取由第二传感器集合(540)提供的信号，并且接入所述副网络的多个第二终端用于接收副计算机的控制并将电指令传送给属于舵的第二致动器集合的致动器，所述第一传感器集合和所述第二传感器集合互不相交并且舵的所述第一致动器集合和所述第二致动器集合互不相交。

15.根据权利要求14所述的飞行控制系统，其特征在于，所述副控制系统(SYSTS)还包括被称为备用模块(BCM)的独立的专用控制模块，所述备用模块既不会因外界干扰失效也不会自己失效，所述专用模块对以及所述备用模块共用所述第二副网络。

16.一种飞行器，其特征在于包括根据上述权利要求中的任意一项所述的飞行控制系统。