DE2529964A1 - Automatisches flugsteuersystem - Google Patents

Description

Automa ti."5 ehe s ^?lugs teue rsys tem

Die Erfindung bezieht sich auf automatische Flussteuersysteme und insbesondere auf ein rechnergesteuertes Zvreikanalsystem, das eine Fehlerbetriebsweise zuläßt.

Übliche bei Auftreten von Fehlern passive automatische Flussteuersysteme erfordern normalerweise zwei redundante Kanäle mit Ciuerkanal-Vergleichsuberwachungseinrichtungen, um das System im Fall eines Fehlers in einem der Kanäle abzuschalten. Übliche m it Fehlerbetriebsv/eise arbeitende Systeme benötigen normalervreise zumindest drei redundante Kanäle mit Querkanal-Yergleichs-Übervrachungseinriehtungen um einen Fehler in einem der Kanäle festzustellen und um den ausgefallenen Kanal abzuschalten. Es ist in der Technik der Flugsteuersysteme dringend erwünscht, entweder die bei einem Ausfall passive oder die Fehlerbetriebscharakteristik beizubehalten, jedoch dieAnzahl der hierfür benötigten Kanäle zu verringern.

Es sLnd Flugsteuersysteme begannt, die einen Digitalrechner in jedem der Kanäle des Systems verwenden, um die Singangsmeßfühlerdaten zu verarbeiten, und entsprechende Steuerfläehen-Steuer-

509834/0455

Signale an Steuer flächen-Servoinechanismen zu liefern. Um jeden Kanal bei einem Ausfall passiv zu machen und um auf diese Weise ein mit Fehlerbetriebsweise arbeitendes Zweikanalsystem zu schaffen, wiesen derartige bekannte automatische Flugsteuersysteme äußere Testsignalquellen und in einem Speicher gespeicherte Testprogramme zur Verarbeitung des Testsignals auf, damit ein vorgegebener Ausgang entsprechend dem Ergebnis des Testprogramms geliefert wurde. Der vorgegebene Ausgang wird dann mit einem Bezugssignal verglichen, um einen Fehler festzustellen. Derartige Testprogramm., verwenden alle Befehle des Rechnerbefehlsvorrates und die Testprogramme werden bei jeder Wiederholung des Betriebsprogramms für das System wiederholt. Bei hochentwickelten Rechnern mit großen Befehlsvorräten wird eine beträchtliche Zeit von dem Rechner benötigt, um das Testprogramm durchzuführen und während diese\^T Zeit führt der Rechner Operationen aus, die nicht mit der hauptsächlichen Funktion der Steuerung des Luftfahrzeuges in Beziehung stehen. Zusätzlich zu der zur Durchführung des Testprogramms benötigten Zeit nimmt dieses Testprogramm wertvollen Speicherraum ein und es sind zusätzliche Schaltungen wie z.B. eine Tc;Stsignalquelle, eine Bezugssignalquelle und eine zugehörige Vergleichseinrichtung erforderlich.

Bei derartigen bekannten Systemen umfassen die Betriebsprogramme tausende oder zehntausende von Befehlsworten, urddie Ausführung eines Programms erfolgt unter der Steuerung eines Programmzählers. Ein Testprogramm bekannter Art kann überprüfen, daß der R-chnerbefehlsvorrat in richtiger V'eise arbeitet wan es kann jedoch nicht feststellen, ob jeder Befehl des Haupt-Flugprogrammes frei von Fehlern ist oder ob der Programmzähler in richtiger V/eise das Betriebsprogramm sowie das Testprogramm ablaufen lassen kann. Daher kann eine fehlerhafte Stufe des Prcgrammzählers, die während des Testprogramms nicht verwendet wird, jedoch während des Betrie bsprogramms benötigt wird, mit einem derartigen Verfahren nicht festgestellt werden oder es wird ein fehlerhaftes Speicherbit in irgendeinem der gespeicherten Befehle des Betriebsprogramms nicht festgestellt, so daß möglicherweise <■ -

509884/0455 '^/m

fähr liehe Systemausfälle auftreten, trenn das Betriebsprogramm ausgeführt wird.

Der Erfindung liegt die Aufgabe zugrunde, ein Plugsteuersystem der eingangs genannten Art zu schaffen, bei dem jeder Fehler sicher erfaßt wird.

Diese Aufgabe wird ausgehend von einem automatischen Flugsteuersystem für ein Luftfahrzeug mit aerodynamischen Steuerflächen und zugehörigen Servoeinrichtungen, die mit den Steuerflächen gekoppelt sind, um diese einzustellen, und mit Meßfühlereinrichtungen zur Lieferung von MeßfühlerSignalen entsprechend den Flugbedingungen, denen das Luftfahrzeug unterworfen ist, erfindungsgemäß dadurch gelöst, daß das System einen Digitalrechner mit Rechnereingangseinrichtungen, die auf die Meß fühler signale ansprechen, Programmspeichereinrichtungen, einen in dem Flugsteuersystem wirksamen Befehlsvorrat und Reohnerausgangseinriehtungen umfaßt, die mit den Servoeinrichtungen zur Zuführung von Steuerflächenbefehlssignalen an diese verbindbar sind, daß der Rechner ein Programm aufweist, das in den Programmspeichereinrichtungen gespeichert ist und eine Anzahl von ersten Programmsegmenten (Aufgabenblöcken) aufweist, die für eine aufeinanderfolgende Ausführung durch den Rechner aufgebaut sind, um den Rechner derart zu steuern, daß die Meßfühlersignale durch aufeinanderfolgendes Durchführen einer Vielzahl ν on Aufgaben verarbeitet werden, um die Steuerflächen-Befehlssignale an die Rechnerausgangseinrichtungen zu liefern, daß das Programm weiterhin eine Anzahl von weitetmProgrammsegmenten (Aufgabenerfüllungsbit-Setzblöcke) aufweist, die jeweils den ersten Programmsegmenten zugeordnet sind, um Aufgabenerfüllungsindizes in dem Rechner in einen Setzzustand entsprechend der Durchführung der Aufgaben zu setzen, daß das Programm ein drittes Programmsegment zur Überprüfung der Indizes auf den Setzzustand aufweist, wodurch die Indizes auf eine Erfüllung der Aufgaben

509884/CH55

überprüft werden, daß das Programm alle Befehle des Vorrates in zumindest einem der ersten, zweiten und dritten Programmsegmente in einer V/eise verwendet, daß zumindest eines der Indizes ungesetzt bleibt, wenn ein Befehl nicht richtig arbeitet, daß das Programm weiterhin ein Fehlerprogrammsegraent einschließt, in das eine Eingabe von dem dritten Programmsegment erfolgt, wenn einer der Indizes ungesetzt bleibt, dai3 das Fehlerprogrammregment Befehle zum otoppen der Ausführung des Programms einschließt, daß ein viertes Programmsogrnent vorgesehen ist, um ein genau definiertes, sich dynamisch änderndes Gültigkeits-ε ehe ma durch Steuerung eines Gültigkel tssclierna-oignals an den Ii^r shnerr.usgangseinrichtungen zu erzeugen, das einen Pegel während einer Ausführung des Programms und einen unterschiedlichen Pegel während einer darauffolgenden Ausführung der Programme zeigt, daß das J ystem weiterhin Einrichtungen zur steuerung einer wiederholten Ausführung des Programms und einen Gültigkeitsechema-Detektor einschließt, der mit den Rechnerausgangseinrichtungen gekoppelt ist, um das Gültigkeitsscherna-Signal zu empfangen und um festzustellen, ob das Gültigkeitsschema-oignal in einem Zustand ist, der von dem genau definierten Zustand während eines Zeitintervalls abweicht, in dem die wiederholten Ausführungen des Programms normalerweise das genau definierte sich dynamisch ändernde Gültigkeitsschema-Signal liefern, und um ein Fehlersignal entsprechend hierzu zu liefern.

Die vorstehend beschriebenen Nachteile der bekannten Flugsteuersysteme werden erfindungsgemäß dadurch vermieden, daß das Betriebsprogramm in eine Vielzahl von Aufgaben unterteilt wird, wobei jedem Aufgaben-Programmsegment ein .Aufgaben-Erfüllun.rcsindex zugeordnet ist. Das Programm weist weiterhin ein Aufgabenerfüllungs-TestJsegment auf, das bestimmt, ob alle Aufgabenerfüllungsindizes nach einer Wiederholung des Programms gesetzt sind. Beim Durchlaufen des Betriebsprogramms werden alle Befehle des BetriebsbefehTsvorrates des Rechners ausgeführt, indem die Befehle zur Bestimmung der Adressen verwendet

509884/0455

ORIGINAL INSPECTED

werden, die den richtigen Programmablauf bestimmen. Somit be- . wirkt ein Fehler in einem Rechnerbefehl, dai3 das Programm einer unnormalen Vi eg verrollt, εο ü~3 nicht alle Aufgacenerfüllun-sindizes gesetzt werden, wenn ein Pehler iiuf tritt und der Rechner zumindest eine teilweise Fähigkeit behalt, seinen Betrieb fortzusetzen, so steuert das Aufgabenerfüllungs-Testprograomsegment bei Peststellung eines ungesetzten Aufgacenerfüllungsindex das Programm in eine Fehlerlogik-Berechnungsroutine, die unteranderem die Ausführung des Programms stoppt. Das Programm sahließt weiterhin ein Segment ein, das ein sieh dynamisch änderndes Gültigkeitsschema entsprechend den kontinuierlichen Wiederholungen des Programms erzeugt. Die Schaltungen des ?lugsteuersystems schließen einen Gülfcigkeitsschema-Detektor ein, der einen statischen oder einen unrichtigen dynamischen Zustand des Gültigkeitsschemas feststellt, was anzeigt, daß der Rechner das Programm nicht mehr ausführt.

Auf diese Weise ist es verständlieh, daß ^ hler unter Einschluß von völligen . usfallen des Rechners selbst durch diese neuartige Kombination des Plugsteuersystems feststellbar sind.

Das Flugsteuersystem kenn weiterhin zusätzliche Merkmale wie z.B. doppelte Daten- und Programmspeichergruppen und eine gewisse redundante Eerechnungsausführung aufweisen, damit sich ein vollständig selbst überwachtes automatisches Flugsteuersystem ergibt, das einen bei Ausfall passiven Einkanalbetrieb und einen Ausfallbetrieb bei zwei Kanälen ermöglicht.

Die Erfindung wird im folgenden anhand von in der Zeichnung dargestellten Ausführungsbeispielen noch näher erläutert.

In der Zeichnung zeigen:

Fig. 1 ein Blockschaltbild einer Ausführungsform eines Kanals des automatischen Flugsteuersystems mit zwei Kanälen;

509884/0455

β -

Fig. 2 ein schematisches BlociEchaltbild, das den Digitalrechner nach Fig. 1 ausführlicher zeigt;

-¹⁷Ie- 3, (bestehend aus den Figg. 3A und 33)

einen Ablauf plan eines Hauptausführungs-Programms, das in dem Programmspeicher des Digitalrechners nach Fig. 2 gespeichert ist;

Fig. 4 (bestehend aus 2 Figuren 4A, 4B) zeigt einen Ablaufplan, der ausführlicher einen Teil der Fig. 3 zeigt;

Fig. 5 (bestehend aus zwei Figuren 5A und 5B) zeigt einen Ablaufplan, der ausführlicher einen weiteren Teil nach Fig. 3 zeigt;

Fig. 6 ein teilweises Blockschaltbild sowie einen Ablaufplan, der eine spezielle Gültigke itsschema-.br zeugungsroutine zeigt,

S09884/045S

— ι -

In Fig.l ist ein schematisches Blockschaltbild eines Kanals,

ist

der als Kanal 1 bezeichnet,,"" des automatischen Zweikanal-Flugsteuersystems dargestellt. Der in Fig. 1 dargestellte Kanal 1 ist seinerseits in einer Weise und aus noch weiter unten zu beschreibenden Gründen in zwei Kanälen organisiert, die als die Kanäle A und P bezeichnet sind. Der zvreite Kanal des Systems, der als Kanal 2 bezeichnet wird, ist identisch zu dem in Fig. dargestellten Kanal.

Der Kanal 1 des automatischen Flugsteuersystems schließt identische Meßfühlersätze IC und 11 ein, von denen der Meßfühlersatz 10 für die Berechnungen im Kanal A und der Meßfühlersatz 11 für die Berechnungen im Kanal B in einer noch zu beschreibenden Weise verwendet wird. Jeder Meßfühlersatz 10, 11 schließt die üblichen Fluglagen-Geschwindigkeits- und Beschleunigungsmeßfühler sowie andere Einrichtungen wie z.B. Steuerhorn-Kraftmeßfühler ein, wie sie üblicherweise bei modernen Düsentransportmaschinen verwendet werden. Diese Meßfühler können Einrichtungen wie z.B. Kurskreisel und Vertikalkreisel, Wendekreisel und Beschleunigungsmesser einschließen. Jeder der Meßfühlersätze 10, 11 kann zusätzlich übliche Funknavigationsgeräte wie z.B. VOR- und ILS-Empfanger und ähnliches einschließen. Die Meßfühlersätze 10, können weiterhin Eingänge von den SteuerflächenTStellungswandlern des Luftfahrzeuges sowie Triebwerksmeßfühler und Eingänge von Einrichtungen wie Funkhöhenmessern und ähnlichem einschließen. Die Meßfühlersätze 10, 11 schließen jeweils die erforderlichen Ergänzungssätze von Meßfühlern ein, die Analogsignale für die Steuerung des Luftfahrzeuges liefern. Es ist verständlich, daß die Meßfühlersatz-Blöcke 10, 11 weiterhin übliche Analogsignal-Verarbeitungsschaltungen zur Aufbereitung der Meßfühlersignale für eine Eingabe in das System einschließen. Derartige Verarbeitungsschaltungen schließen Demodulatoren für Synchro-Daten und ähnliches ein.

Der Kanal 1 des automatischen Flugsteuersystems schließt weiterhin einen zusätzlichen Satz von digitalen Meßfühlern 12 ein. Die Meßfühler 12 können einen üblichen digitalen Flugdatenrechner

509884/0455

zur Lieferung derartiger Parameter, wie Druckhöhe, Cesamtluft_T temperatur und ähnlichem, einschließen. Die digitalen Meßfühler 12 können weiterhin andere Geräte, wie z.B. einen digitalen DME-Empfanger, einschließen.

Die Ausgänge der Analog-rMeßfühlersätze 10 und 11 werden einem üblichen Multiplexer Ij5 über elektrische Leitungsverbindungen 14 bzw. 15 zugeführt. Der Ausgang des Multiplexers 13 wird einem üblichen Analog-/Digitalkonverter iß zugeführt, dessen Ausgang einem weiteren Multiplexer 17 zugeführt wird.

Die Ausgänge der digitalen Meßfühler 12 werden über elektrische Verbindungsleitungen 20 einem digitalen Datenempfänger 21 zugeführt, der Pufferschaltungen zur Einführung der digitalen Daten in das System einschließt. Die digitalen Datenempfänger-Puffer 21 empfangen weiterhin digitale Daten von dem Kanal 2 des automatischen Flugsteuersystems über elektrische Verbindungsleitungen 22. Der Ausgang der digitalen Datenempfängerpuffer 21 wird als ein Eingang dem Multiplexer 17 über Verbindungsleitungen 23 zugeführt .

Der Multiplexer 13 ist von üblicher Art und so aufgebaut, daß er eine Vielzahl von Analogeingängen empfängt und an seinem Ausgang einen ausgewählten Analogeingang liefert. Der Multiplexer 17 ist von üblicher Art und empfängt eine Vielzahl von digitalen Eingängen und liefert einen ausgewählten digitalen Eingang an seinem Ausgang.

Der Ausgang des Multiplexers 17 wird als ein Eingang einem Digitalrechner 24 zugeführt. Der Digitalrechner 24 ist von üblichem Aufbau und ist ein Allzweck-Rechner von mittlerer Integrationsstufe, von dem eine Vielzahl im Handel erhältlich ist und der speziell für eine Echtzeit-Plugdatenanalyse und -steuerung aufgebaut ist. Vorzugsweise kann ein Rechner vom Typ I819 für die gerätemäßige Ausführung des Systems verwendet werden, der im Handel von der Fa. Sperry Flight Systems Division der Sperry Rand Corporation erhältlich ist.

509884/0455 ^#/#

Ein Datenausgang 25 des Re chr-sr- 24 Le¹: als ein Zingsng mit einem üblichen Multiplexer 26 verbunden, der selektiv das JigL^-i-3ignal am Ae ohne rau? gang 25 einem seiner digitalen Ausg-inge 27 un: 30 zuführt. Der Digitalrechner 24 liefert Steuersignale über elektrische Verbindungsleitungen ji zur Steuerung der Multiplexer Vj, 17 und 26. Eine elektrische Verbindung Ie t tur.g j51" von der Leitung 31 steuert den Multiplexer 13 so, daß er selektiv einen seiner Eingänge dem Analog-VDig L ta !konverter Ib zufuhrt, Ir. gleicher We ire steuert eine elektrische Varblndungsle itur.g Jl'' von der Leitung 31 den Multiplexer 17 derart, daß er selektiv einen seiner Eingänge dem Digitalrechner L'l zuführt. Zusätzlich steuert eine elektrische Verbindung leitung j; 1' * ' vc.i der Leitung 3¹I d'Bii Multiplexer derart, daß er selektiv die Digitclnignalf; am Rechne rausgang 25 einem Aev iiiil tiplexerausfjiirige 2J oder 30 zuführt. V/eitere Einzelheiten bezüglich der inneren Anordnung des Digitalrechners 24 und 3eines gespeicherten Prngrai.'.m:, vorder, vreiter unten anhand der folgenden ? it. ure η bescliriebsa.

Der Ausganr }() vcr_ dem Multiplexer 25 ist mit einer VieLzalil von Digits l-/Analogkonve-rterr. 32 verbunden. Der ,-.usgarig % dec Multiplexers 'ϊβ ist eine Gruppe von elektrischen Verbin-dungrsle.'-tui^en, di; eine Vielzahl von selektiv geotsuerton Au?gänger. von d"iu Multi;;lexer 2ό den jeweiligen Dlgital-/A^r--^lo£lcor.vert?rr 32 zuführen, :wodurch diec«¹ selektiv Dater, von de»i Digitr.lrechnerausg^ng "5 er;-:^r-pr~ chend der 2teuernign-ie -^np fan gen, die an d?r tri.^chfjri Verbindungr.leitung 31* ' ' zugeführt 'rsrden.

Die Digital-/Arialog-xionverter 3'2 liefern analogsignale εη die Steuerelektronik 33 für di^ Ee-;lit i^ungve Lr.riciitunger: für die Steueroberflachen, des Luftfahrzeuges, v-oLei. diese Elektronik 33 ihrerseitr: Steuersignale an die Steuerfläohen-Detätigung^einrichtungen >4 liefern. Die Steuertetätigungseinrichtungen ~y\ stellen die schema tisch bei 35 dargestellter, aerodynamischen Steuerflächen des Luftfahrzeuges ein. Die Analogsignale von den Convertern 32 an die 3teuerelel:troi:ik 33 v;erden über elek-

0 9 8 8 4/0455 ORJQiNAL INSPECTED

trische Leitungen 36 geliefert. Es ist verständlich, d?.ß die Bauteile 33» 3^ ur-d 35 schematisoh die übliche vollständige Drei-Achscn-Cteuereinrichtung für die J teuer flächen des Luftfahrzeuges darstellen sollen, wie sie üblicherweise bei modernen DUs er. tr ansportmr:schinen verwendet v/erden. Derartige Einrichtungen können von gu; bekannter elektromechanischer oder elektrohydraulisoher Art sein. Die oteuerbetätigungseinriohtungen y\ stellen sohematisch das gesamte Luftfahrzeug-Steuerflächenbetätigungssystem dar, das bei modernen Düsentransportmaschinen redundant aufgebaut rein k~'""~. und diher einen Eingang 37 von dem (nicht gezeigten) Kanal 2 des automatischen Flugsteuersystems empfängt. Derartige redundanten oteuerbetätigungseinrichtungen und Elektroniken können beispielsweise von der Art sein, wie sie in der US-Patentschrift 3 504 der gleichen Anmelderln beschrieben ist*

Die Ausgänge von den Digital-/Analogkonvertern 32 an den Verbindungslei tun gen 36 v/erden außerdem den Üblichen Plugdirektor-Geräten 40 zugeführt. Die Flugdirektorgeräte 40 liefern optische Befehle an den Piloten über Fluglagen-Direktorinstrumente, wie sie gut bekannt sind.

Die Ausgänge der Digital-/Analogkonverter 32 werden außerdem über ein elektrisches Verbindungskabel 41 als jeweilige Eingänge dem Multiplexer I3 zugeführt. Diese Verbindung ergibt eine Endrückführung in gut bekannter Weise, so daß der Rechner 24 jeden Digital-/Analog-Ausgang von dem Block 32 gegen das zugehörige Signal von dem Rechnerausgang 25 vergleichen kann, wodurch die Betriebsfähigkeit jedes der Digital-/Analogelemente in dem Block 32 überprüft wird. Die EndrUckführungs-Technik ist in der Technik automatischer Flugsteuersysteme gut bekannt und wird vielter unten ausführlicher erläutert.

Erfindungsgemäß speichert der Digitalrechner 24 ein Programm in noch ausführlicher zu beschreibender Weise, das auf die Signale von den Meßfühlern IC, 11 und 12 einwirkt und Ausgang je-

509884/0455 ORDINAL INSPECTED

- ii -

fehle über die Konverter 32 liefert, um die Steuerflächen 35 einzustellen und um den Plugdirektor 40 zu betätigen. Eine (nicht gezeigte) Echtzeit-Taktsteuereinrichtung in dem Rechner 24 steuert eine dauernde Wiederholung des gespeicherten Programms, so daß effektiv eine kontinuierliche Steuerung des Luftfahrzeuges erzielt wird. Wenn das System richtig arbeitet, erzeugt das in dem Rechner 24 gespeicherte Programm ein Gültigkeitsschema, das sich dynamisch entsprechend den kontinuierlichen Ausführungen des Programms ändert. In einer noch zu beschreibenden Weise wird das Gültigkeitsschema am Rechnerausgang 25 erzeugt und geliefert und über den Multiplexer 26 ausgewählt, um einem der Digital-/Analogkonverter 32 zugeführt zu v/erden. Der Ausgang dieses ausgewählten Konverters wird über eine Leitung 42 dem Gültigkeitsschema-Detektor 43 zugeführt. Der Gültigkeitsschema-Detektor 43 ist in üblicher noch zu beschreibender Weise aufgebaut, um Abweichungen des Gültigkeitsschemas von dem Rechner 24 von dem Schema festzustellen, das während eines normalen Betriebes des Systems geliefert wird. Wenn der Rechner 24 nicht mehr das normale Gültigkeitsschema liefert, das den richtigen Systembetrieb anzeigt, so liefert der Gültigkeitsschema-Detektor 43 ein Fehlersignal über eine Leitung 44 an Einschalt-/Abschalt-Verbindungsschaltungen des Systems, wobei die Verbindungsschaltungen 45 übliche und gut bekannte Bauteile eines automatischen Flugsteuersystems sind. Wenn der Gültigkeitsschema-Detektor43 ein Fehlersignal an der elektrischen Verbindungsleitung 44 liefert, das einen Fehler in dem Kanal 1 des Systems anzeigt, so schalten die Verbindungsschaltungen 45 den Kanal 1 ab und setzen die betriebsmäßige Steuerung des Luftfahrzeuges über den Kanal 2 fort.

Das Gültigkeitsschema-Signal an der Leitung 42 wird außerdem als ein Eingang dem Multiplexer 13 zugeführt, um eine Endrückführungs-Überprüfung des zugehörigen Digital-/Analogkonverters in der vorstehend beschriebenen Weise durchzuführen.

Die Ausgänge 27 von dem Multiplexer 26 werden als Eingänge"einem üblichen digitalen Datensender 46 zugeführt, der Digitalsignale

509884/0455

über eine elektrische Verbindungsleitung 47 an die Anzeigeeinrichtungen des Systems sowie an andere Untersysteme des Luftfahrzeuges liefert. Die Signale an der Verbindungsleitung 47 werden außerdem als Eingänge dem Multiplexer 17 zur Endrückführungs-Überwachung in der vorstehend beschriebenen Weise zugeführt. Der digitale Datensender 46 liefert weiterhin digitale Signale an einer elektrischen Verbindungsleitung 50 an den (nicht gezeigten) Kanal 2 des automatischen Plugsteuersystems, so daß in Verbindung mit den vom Kanal 2 auf der Leitung 22 empfangenen Signalen die beiden autonomen Kanäle 1 und 2 des Systems miteinander in Verbindung stehen, beispielsweise zu Zwecken der Signalentzerrung und ähnlichem,Es ist verständlich, daß obwohl diese Verbindung zwischen den Kanälen verwendet wird, jeder Kanal ein autonomer vollständig selbst überwachter Kanal ist, der innere Kanalausfälle feststellen und entsprechend diesen Kanal abschalten kann.

In Fig. 2, in der gleiche Bezugsziffern gleiche Bauteile wie in Fig. 1 bezeichnen, ist der Digitalrechner 24 dargestellt, wobei der grundsätzliche innere Aufbau dieses Rechners gezeigt ist. Der Digitalrechner 24 schließt eine Eingangs-/Ausgangs-(l/O)_ Steuereinheit 51 ein, die die digitalen Eingangssignale von dem Multiplexer 17 nach Fig. 1 empfängt und digitale Ausgangssignale an den Ausgang 25 des Multiplexers 2β nach Fig. 1 liefert. Die I/O-Steuereinheit 51 liefert außerdem die Multiplexer-Steuersignale an der Verbindungsleitung Jl. Der Rechner 24 schließt einen Programmspeicher 52, einen Datenspeicher 55 und eine Recheneinheit 54 sowie eine Steuereinheit 55 ein, die alle über eine Sammelschiene 56 miteinander für eine Zweiwegverbindung verbunden sind. Es ist verständlich, daß der innere Aufbau des Rechners 24 von üblicher Art ist und deshalb nur kurz beschrieben wird, um das Verständnis der Erfindung zu erleichtern.

In dem Programmspeicher 52 ist das Betriebsprogramm für die Durchführung aller Funktionen gespeichert, die für den Kanal 1 des automatischen Flugsteuersystems nach Fig. 1 benötigt werden.

609884/0455

Das Programm ist allgemein in Segmente oder Routinen angeordnet, wie dies schematisch durch die Blöcke 6c bis 80 dargestellt ist. Der ausführliche Aufbau und die Betriebsweise des in dem Programmspeicher 52 gespeicherten Programms wird weiter unten anhand der folgenden Figuren erläutert.

Der Datenspeicher 53 wird zur Speicherung der von dem Programm verwendeten Konstanten verwendet und enthält weiterhin vorgegebene Plätze für die Speicherung der verschiedenen Arten von Daten, die von den Meßfühlern 10, 11 und 12 nach Fig. 1 geliefert werden.

Die Steuereinheit 55 schließt einen Programmzähler 85 und eine Ansahl von Registern ein, von denen eines bei 86 dargestellt ist. Die Recheneinheit 5²t- schließt die Schaltungen zur Durchführung der Rechen- und Logikoperationen für den Rechner 24 ein und schließt weiterhin einen (nicht gezeigten) Akkumulator ein, der einen Akkumulator doppelter Länge zur Durchführung von Rechenoperationen mit doppelter Präzision bilden kann, wie dies in der Rechnertechnik gut bekannt ist. Der eine doppelte Länge aufweisende Akkumulator soll einen oberen Akkumulator (AU) und einen unteren Akkumulator (AL) umfassen. In einer in der Technik gutbekannten Weise holt der Programmzähler 85 aufeinanderfolgend die Befehle des Programms aus dem Programmspeicher 52 und steuert den Rechner 24 so, daß die Befehle durchgeführt werden, wobei nötigenfalls Daten aus dem Datenspeicher 53 geholt werden. Die Kombination der Steuereinheit 55 und der Recheneinheit 54 wird in vielen Fällen als zentrale VerarbeitungEeinheit bezeichnet, die mit der Bezugsziffer 55' beim Digitalrechner 24 bezeichnet ist. Die Recheneinheit 54 wird unter der Steuerung der Steuereinheit 55 verwendet, um die üblichen arithmetischen und logischen Operationen durchzuführen, wie sie das Programm erfordert. Die I/O-Steuereinheit 51 empfängt Daten von dem Multiplexer YJ nach Fig. 1 und liefert Daten an den Multiplexer 26 nach Fig. 1 und zusätzlich liefert sie die Zeitsteuersignale für die Multiplexer 13, 17 und 26 unter der Steuerung der Steuereinheit 55 entspre-

509884/0455

chend der Befehle der Folge-von Programmbefehlen, die in dem Programmspeicher 52 gespeichert sind.

Obwohl der Befehlsvorrat sich allgemein von Rechner zu Rechner unterscheidet, liest der Rechner 24 Befehle für die Eingabe von Daten von adressierten Plätzen in dem Datenspeicher 53 in den Akkumulator- der Recheneinheit 54 ein. Zusätzlich weist der Rechner 24 allgemein eine Klasse von Befehlen zur Speicherung von Daten an adressierten Plätzen in dem Datenspeicher 53 von dem Akkumulator in der Recheneinheit 54 sowie zur Speicherung von Nullen und Konstanten auf. Der Rechner 24 schließt weiterhin eine Klasse von Rechenbefehlen zur Durchführung von Rechenoperationen an in adressierten Plätzen in dem Datenspeicher 53 gespeicherten Daten bezüglich Daten ein, die in dem Akkumulator der Recheneinheit 54 gespeichert sind. Zusätzlich schließt der Rechner 54 eine Klasse von Adressenübertragungsbefehlen ein, die bewirken, daß der Programmzähler 85 die Steuerung auf einen adressierten Platz in dem Programmspeicher 52 überträgt. Diese Befehle werden allgemein als "Sprung"-Befehle bezeichnet und werden insbesondere für den Übergang von einem Hauptprogramm zu einer Subroutine verwendet, die an irgendeiner Stelle in dem Speicher gespeichert ist. Diese Sprungbefehle sind von unbedingter Art, d.h. wenn ein spezieller Sprungbefehl in dem Programm auftritt, wird die Steuerung immer auf die neue Adresse übertragen.

Zusätzlich zu diesen vorstehend beschriebenen Befehlen weist der Rechner 24 weiterhin eine Klasse von bedingten Sprungbefehlen auf, die die Übertragung der Steuerung auf eine festgelegte Adresse bewirken, wenn bestimmte Bedingungen erfüllt sind. Beispielsweise überprüfen die bedingten Sprungbefehle den Inhalt des Akkumulators bezüglich seiner oberen und unteren Teile, um zu bestimmen, ob der Inhalt gleich 0, ungleich 0, positiv oder negativ ist, worauf ein Sprung auf die festgelegte Adresse erfolgt oder auf den nächstfolgenden Befehl entsprechend dem Ergebnis der Überprüfung über-

509884/0455

gegangen wird. Bedingte Übertragungsbefehle werden außerdem zum Vergleich des Inhalts eines adressierten Platzes in dem Datenspeicher 53 mit dem Inhalt des Akkumulators und zur Durchführung des bedingten Sprunges bei Gleichheit, Ungleichheit, weniger als Gleichheit oder größer als Gleichheit bezüglich der beiden Größen verwendet. Der Rechner 24 weist zusätzlich den üblichen Satz von zusätzlichen logischen Befehlen sowie Schiebebefehlen für den Akkumulator auf. Zusätzlich schließt der Befehlsvorrat des Rechners 24 den üblichen Satz von zusätzlichen Eingangs-/Ausgangsbefehlen sowie Unterbrechungsbefehlen ein, die einen Befehl zum Warten auf eine Unterbrechung einschließai, d.h. die die Verarbeitungseinheit in einen Haltezustand bringen, bis die Unterbrechung erfolgt. Der Rechner 24 schließt weiterhin einen (nicht gezeigten) Echtzeittaktgeber ein, der zur Erzeugung von Echtzeitunterbrechungen zur Zeitsteuerung des Programms verwendet wird.

Es ist somit verständlich, daß der Rechner 24 einen Befehlsvorrat aufweist, der es ihm ermöglicht, Daten von den Meßfühlern des automatischen Plugsteuersystems einfzuführen, an diesen Daten Operationen entsprechend den erforderlichen Steuergesetzen durchzuführen und Signale auszugeben, die für die Einstellung der Steueroberflächen des Luftfahrzeuges geeignet sind. Es ist weiterhin verständlich, daß in gewissem Ausmaß der Befehlsvorrat entsprechend der Art und Weise aufgebaut ist, wie das automatische Plugsteuersystem in dem Luftfahrzeug verwendet wird, inldem es eingebaut ist. In größerem Ausmaß wird das spezielle in dem Programmspeicher 52 gespeicherte Programm durch diese Bedingungen und die dynamischen Eigenschaften des speziellen Luftfahrzeuges bestimmt. Es ist Jedoch speziell verständlich, daß das Betriebsprogramm unter der Steuerung des Echtzeit-Taktimpulsgebers dadurch wiederholt werden kann, daß der "Unterbrechungswerte" -Befehl in Kombination mit dem Echtzeit-Taktimpulsgeber verwendet wird. Bei praktischen Düsentransportflugzeug-Steuer anwendungen kann das Betriebsprogramm alle 50 Milli-

509884/0455

Sekunden wiederholt werden, um effektiv eine kontinuierliche Steuerung des Luftfahrzeuges zu erzielen.

V/ie es weiter oben beschrieben wurde, wird der Programmablauf über eine Vielzahl von durchzuführenden Aufgaben geleitet, wie dies allgemein durch die Blöcke 60 bis 76 angedeutet ist und die in dem Programmspeicher 52 gespeichert sind. Während das Programm ausgeführt wird, werden Programmsprünge auf die verschiedenen Subroutinen 77 bis 80 durchgeführt und während dieser Sprünge können die Befehle des Rechnerbefehlsvorrates verwendet werden, um sie auszuführen und sie damit zu testen, um die Adressen festzulegen, an denen die Subroutinen sich befinden. Wenn daher ein Fehler bezüglich dieser Teile des Rechners 24 auftritt, der mit der Ausführung des Befehls verbunden ist, so springt die Steuerung auf einen unnormalen Platz und der Programmablauf erfolgt entlang eines unnormalen Weges. Beispielsweise kann ein Sprungbefehl in Verbindung mit einem Rechenbefehl verwendet werden, der die gewünschte Adresse so manipuliert, daß effektiv das Programm verlorengeht, wenn der verwendete Rechenbefehl ausfallensollte. Dieses Konzept wird weiterhin anhand der Erläuterung der folgenden Figuren verdeutlicht.

Bevor die folgenden Figuren erläutert werden, sollten jedoch die folgenden Maßnahmen in dem Datenspeicher 53 betrachtet werden. Wie es weiter oben erläutert wurde, ist das Betriebsprogramm als eine Vielzahl von durchzuführenden Aufgaben aufgebaut. Entsprechend sind ein oder mehrere Worte in dem Speicher 53 als Aufgabenlistenworte reserviert und jedes Bit dieser Worte stellt eine spezielle Aufgabe dieser Aufgaben dar. Entsprechend ist eine weitere Gruppe von Worten in dem Speicher 53 reserviert, um Aufgabeerfüllungs-Indizes zu liefern, in denen jedes Bit der Aufgabenerfüllungs-Worte die Erfüllung oder Nichterfüllung der zugehörigen Aufgabe darstellt. Die Bitpositionen der AufgabeIlstenworte entsprechen aus Zweckmäßigkeitsgründen den Bitpositionen der zugehörigen Aufgabenerfüllungsworte.

509884/0455

Im folgenden wird anhand von Fig. j5 unter gleichzeitiger Bezugnahme auf die Pigg. 1 und 2 der Haupt-Ausführungsprogrammablaufplan für die Programme erläutert, die in dem Programmspeiaher 52 nach Fig. 2 gespeichert sind. Der Block 90 des Haupt-Ausführungsprograramablaufplans ist als Beginn dieses Ablaufs entsprechend mit dem Auftreten der Echtzeit-Taktsteuerur.terbrechurig gewählt. Der Echtzeit-Taktimpulsgeber ruft das Auftreten einer Unterbrechung am Znde eines vorgegebenen Zeitintervalls von typicoherweise 5C Millisekunden bei moderne^ Düsentrarsportflugzeugen hervor. Die Unterbrechung tritt während der normaler Betriebsweise des Systems unabhängig von dem erreichten 7unkt in dem Programm, d.h. der Position auf dem Haupt-Aus führungsrohr £nimablaufplan auf. Vvenn die Echtzeit-Taktimpuls-ünterbreehurig erfolgt, überträgt die Steuereinheit 55 des Rechners 24 die Steuerung aif einen vorgegebener Platz in dem Programmspeicher 52 der schematisch bei oO angedeutet ist.

Der nächste Block 91 suf dem Programmablaufplan zeigt die Durchführung der Aufgabe S₁, die die Analog-/Digitalei:igänge einleitet. Das dem Ablaufplan-Block 91 entsprechende Programmsegment ist schematisch bei β5 in dem Programmspeicher 52 dargestellt. Zweckmäßigerweise kann die Echtzeit-Unterbrechungseingabe 6C in dem Programmspeicher 52 als der Platz des ersten Befehls für das Programmsegment 65 der Aufgabe s, ausgewählt werden. Alternativ kann der Echtzeit-Unterbrechungseingabe-Platz einen Sprungbefehl enthalten, der die Steuerung auf den ersten Platz des Programmsegmentes 65 der Aufgabe s, übertragen würde. Bei dieser Übertragung kann die Adresse beispielsweise durch Verwendung arithmetischer oder logischer Befehle von dem Befehlsvorrat manipuliert werden, so daß im Fall eines Fehlens der au" diese V/eise verwendeten Befehle die Steuerung auf einen fehlerhaften Platz überläuft, so daß der Programmablauf einem unnormalen Weg folgt.

Das Programmsegment 65 der Aufgabe S₁, wie es durch den Flußdiagramm-Block 91 dargestellt ist, leitet die Erfassung der Daten

./. 509884/0455

von den Meßfühlern 10, 11 und 12 nach Fig. 1 ein. In dem Programmsegment 65 werden Befehle verwendet, die bewirken, daß der Rechner 24 Signale an die Verbindungsleitung 31 liefert, die die Multiplexer 13 und 17 derart steuert, daß die Daten von den richtigen Meßfühlereingängen der Multiplexer an den Rechner 24 übertragen werden. Diese Daten werden über die I/O-Steuereinheit 51 über das Kabel 56 in den Datenspeicher 53 übertragen. Weil der Rechner 24 vorzugsweise als mit direktem Speicherzugriff arbeitende Maschine aufgebaut sein kann, leiten die Signale auf dem Kabel 3I lediglich die Übertragung der Daten ein, die danach auf einer von den Perioden unabhängigen Basis ("cycle steal"-Basis) auftreten wenn das Programm durch das Flußdiagramm hindurch fortgesetzt wird. Dies ist eine übliche und in der Technik der digitalen Rechner gut bekannte Möglichkeit. Die Analog-/ Digital-Eingänge werden am Block 91 eingeleitet und die Zeitsteuerung des Systems ist derart, daß die Übertragung der Daten an dem Punkt in den Berechnungen vollständig ist, an dem sie verwendet v/erden und die Daten sind dann so neu wie möglich.

Nach der Einleitung der Analog-Digital-Eingänge entsprechend dem Block 9I des Hauptausführungs-Programmablaufplans schaltet der Programmzähler 85 (Fig. 2) die Steuerung auf die nächstfolgenden Befehle weiter, die eine Routine zum Setzen des Erfüllungsbits für die Aufgabe s, auf eine binäre EINS liefern, wie dies im Block 92 des Flußdiagramms dargestellt ist. Die Aufgabenerfüllungsbits sind mit Großbuchstaben und Indizes bezeichnet, die den zugehörigen Aufgabenbezeichnungen entsprechen. Bs ist verständlich, daß die tatsächlichen Programmschritte, die bei der Durchführung beispielsweise der Funktionen des Blocks 92 verwendet werden, ohne weiteres als Routinen von Digitalrechner-Programmierern mit normalen Kenntnissen vorbereitet werden und daß diese Funktionen selbstverständlich von dem speziellen Befehlsvorrat und der Programmiersprache der verwendeten Maschine abhängen. Es ist weiterhin verständlich, daß diese Beschreibung

509884/0^55

bezüglich einer bestimmten Wiederholung des Hauptausführungsprogramms erfolgt. Während der vorhergehenden Wiederholung wurden die Aufgabenliste-Bits in einer noch zu beschreibenden V/eise festgelegt und die Aufgabenerfüllungs-Bits wurden alle auf eine binäre NULL gesetzt. Es ist aus dem Vorstehenden verständlich, daß wenn bei der Übertragung zwischen den Blöcken und 91 des Hauptausführungs-Flußdiagramms Befehle des Befehlsvorrates bei der Festlegung der Übertragungsadressierung verwendet wurden und ein Fehler in den auf diese Weise verwendeten Befehlen aufgetreten ist, das Programm einen unnormalen Weg gegangen wäre und den Block 92 nicht erreicht hätte, um das Aufgabenerfüllungsbit S, zu setzen. Wenn während der vorhergehenden Wiederholung des Programms andere Aufgabenerfüllungsbits nicht gesetzt worden wären, so würde dies bei dem nächsten Teil des zu beschreibenden Programms festgestellt.

Bei dem bevorzugten Ausführungsbeispiel der Erfindung sind die durchzuführenden Aufgaben in drei Kategorien unterteilt. Eine Kategorie schließt alle Aufgaben ein, die auf der Basis eines einzigen Kanals ausgeführt werden, d.h. bezogen auf den gesamten Kanal 1 oder den gesamten Kanal 2. Eine weitere Kategorie schließt alle die Aufgaben ein, die auf einer Zweikanalbasis durchgeführt und beispielsweise auf den Kanalteil A des Kanals 1 bezogen sind, viährend die andere Kategorie alle Doppelkanalaufgaben einschließt, die auf den Kanal B bezogen sind.

Die Blöcke 93 bis 98 des Hauptausführungs-Programmablaufplans nach Fig. 3 zeigen die Art und Weise an, wie das Programm bestimmt, daß alle zugeordneten Aufgaben bei der vorhergehenden Wiederholung des Programms erfüllt waren. Wenn das mit dem Bbck 92 des Hauptausführungsprogrammablaufplans bezeichnete Programmsegment durchgeführt ist, so bewirkt der Programmzähler 85 nach Fig. 2 die Übertragung der Steuerung auf das Programmsegment, das auf dem Block 53 des Programmablaufplans bezogen ist. In dem Block 93 werden die Einkanal-Aufgaben auf ihre Erfüllung dadurch überprüft, daß eine EXKLUSIV-ODER-Logikfunktion zwischen

509884/0455

den entsprechenden Bits der Aufgabenlistenworte und denen der Aufgabenerfüllungs-Bitworte durchgeführt wird. Beispielsweise wird die Einbit-Aufgabe s,, die entsprechend dem Block 91 in dem Programmablaufplan durchgeführt wird, logisch mit Hilfe des EXKLUSIV-ODER-Befehls mit dem Aufgabenerfüllungsbit S₁ kombiniert, um eine binäre EINS zu liefern, wenn die Bits gleich sind, während eine binäre NULL geliefert wird, wenn die Bits voneinander abweichen. Auf diese V/eise werden alle Einkanal-Aufgaben s,....s auf ihre Erfüllung überprüft und ein neues Wort IVL wird gebildet. Wenn alle Bits des Wortes M_g eine binäre EINS sind, so sind alle Einkanal-Aufgaben während der vorhergehenden Wiederholung des Programms erfüllt worden. Wenn jedoch eine einzige NULL in dem Wort ist, so wurde zumindest eine Aufgabe während der vorhergehenden Wiederholung nicht erfüllt. Die Art und Weise, wie die Nichterfüllung aller Einkanalaufgaben festgestellt wird und die ArtÜer Einkanalaufgaben wird weiter unten anhand der Figuren j5, 4 und 5 beschrieben.

Nach der Ausbildung des Wortes M₃ geht die Steuereinheit 55 unter der Steuerung des Programmzählers 85 auf den nächstfolgenden Befehl über, um das dem Block 9^ auf dem Hauptausführungs-Programmablaufplan entsprechende Programmsegment einzuführen. In diesem Programmsegment wird das Wort M. berechnet, wobei die Aufgabenliste des Kanals A logisch mit den Aufgabenerfüllungsbits des Kanals A in der Weise verglichen wird, wie sie weiter oben anhand des Blockes 93 beschrieben wurde. Nach der Beendigung der Ausbildung des Wortes M,, geht die Steuerung auf das dem Block 95 zugeordnete Programmsegment über, um das Wort IVL so auszubilden, wie es weiter oben anhand der Blöcke 93 und 9k für die Aufgaben des Kanals B beschrieben wurde.

Nach der Ausführung der Befehle des Blocks 95 wird die Steuerung auf den Block 96 übertragen, in dem eine weiter unten ausführlich anhand von Fig. 4 zu beschreibende Routine durchgeführt wird, um zu bestimmen, ob alle Bits in dem Wort M_A auf eine binäre EINS gesetzt wurden. Wenn das Wort M_A tatsächlich richtig

509884/0455

gesetzt wurde, was eine Erfüllung aller Aufgaben des Kanals A anzeigt, so wird die Steuerung über den mit JA bezeichneten Programmzweig auf den Bloek 97 übertragen, in dem das Wort Hg in einer Weise überprüft wird, die den im Block $6 durchgeführten Überprüfungen ahnIiah ist. Wenn auch das Wort M_n richtig gesetzt ist, was die Erfüllung der Aufgaben des Kanals B anzeigt, so wird die Steuerung auf den Block 98 über den Programmzv/eig übertragen, der mit JA bezeichnet ist. Auch in dem Block 98 werden vergleichbare Untersuchungen an dem V/ort M, durchgeführt, wie dies anhand der vorhergehenden Blöcke 96 und 97 beschrieben wurde und wenn auch das Wort IU in richtiger Weise gesetzt ist, was eine Erfüllung alle der Einkanal-Aufgaben anzeigt, so wird das Programm entlang des zugehörigen Zweiges fortgesetzt, der mit JA bezeichnet ist.

Wenn jedoch eine Aufgabe nicht erfüllt ist, so wird die Programmsteuerung von dem entsprechenden der Untersuchungsblöcke 96 bis 98 entlang des zugehörigen NEIN-Programmzweiges in eine Fehlerlogikroutine 102 übertragen, die zu einem Rechner-Stoppbefehl führt, wie dies im Block I03 angedeutet ist. Die in dem Programmspeieher 52 des Rechners 24 (Fig. 2) für die Blöcke 93 bis 98 gespeicherte Programmierung ist schematisch als das Programmsegment 6l angedeutet. Die Ausfallogik-Berechnungen, die durch die Ablaufplan-Blöcke 102 und 103 angedeutet sind, sind schematisch als in dem Programmspeicher 52 im Segment 62 gespeichert dargestellt. Die spezielle Programmierung für die Ausfallogik-Berechnungen hängt von der speziellen verwendeten Rechenmaschine ab und die Programmierung kann von einem Rechnerprogrammierer leicht abgeleitet werden, damit der Rechner zu einem geordneten Anhalten für das automatische Flugsteuersystem kommt, das er steuert. In dem Ausfallogik-Berechnungsblock 102 werden Routinen verwendet, um die Steuerung auf den richtig arbeitenden Kanal zu übertragen und um Instrumentenbrett-Anzeigen zu liefern, die den Piloten informieren, daß eines der beiden Flugsteuersystem-Kanäle 1, 2 ausgefallen ist und dass es abgeschaltet ist.

509884/0 45

Derartige Ausfall-Anzeigeverfahren und -einrichtungen sind in der Plugs teuer te chnik gut bekannt, so daß sie nicht vielter beschrieben werden sollen.

Wenn nach der Beendigung der Untersuchungen der Ablaufplan-Blöcke 96, 97 und 98 die Programmsteuerung an dem mit JA bezeichneten Zweig des Blockes 98 ankommt, so bedeutet dies, daß das System während der vorhergehenden Wiederholung des Programmes richtig gearbeitet hat und die Steuerung wird auf einen Block 104 übertragen. In diesem Block werden alle Aufgabenlisten, Aufgabenerfüllunnsworte und Aufgaben-Erfüllungs-Testworte zurückgestellt, um die nächste Wiederholung des Programms vorzubereiten, worauf die Programmsteuerung nachfolgend den Programmblock 66 für das Programm der Aufgabe s₂ erreicht, das in dem Programmspeicher 52 gespeichert ist, um die hierin gespeicherten Befehle entsprechend dem Programmablaufblock 105 durchzuführen.

Wenn die Programmsteuerung den Block 105 erreicht, sind alle Analog-/Digitaleingänge, die am Block 91 eingeführt wurden, vervollständigt und in einem vorgegebenen Pufferteil des Datenspeichers 53 (Pig· 2) gespeichert. Die mit dem Block 105 des Programmablaufplans verbundenen Programmbefehle, die bei 66 in dem Programmspeicher 52.gespeichert sind, entnehmen aufeinanderfolgend die Datenworte aus dem Pufferteil des Datenspeichers 53 und führen diese Worte in vorgegebene Plätze in dem Speicher ein, nachdem festgestellt wurde, was die Daten bedeuten. Beispielsweise steuert der Rechner 24 die Multiplexer I3 und 17 nach Fig. 1 so, daß die Daten in den Pufferspeicher in geordneter Weise eingeführt werden, so daß, wenn die Befehle des Blockes IG? ausgeführt werden, die Daten an die richtigen Speicherplätze überführt werden können. Beispielsweise kann das erste Wort für die Längsneigungsänderung, das zweite Wort für die Längsneigungslage und so weiter reserviert sein, und diese Größen haben alle zugeordnete Plätze in dem Datenspeicher 53* so daß sie später entnommen werden können, um daran Berechnungen durchzuführen. Der Block 105 schließt weiterhin Befehle zur maßstab-

509884/0455

lichen Verkleinerung der Daten derart ein, daß sich die richtige maßstäbliche Teilung für die Berechnungen, beispielsweise Bits pro Grad usw. ergeben.

Es ist verständlich, daß der Block 105 als solcher eine ausführende Unter-Routine darstellt, weil die Steuerung häufig auf eine oder mehrere der Vielzahl von Unter-Routinen 77 bis 80 (Fig. 2) verzweigt wird, damit die erforderlichen Berechnungen durchgeführt werden. Nach der Ausführung einer Unter-Routine führt die Steuerung zu dem Punkt in dem Programm zurück, von dem die Abzweigung stattfand, um aufeinanderfolgend das Programm unter der Steuerung des Programmzählers 85 fortzusetzen. Während derartiger Abzweigungspunkte in dem Programm werden die vielfältigen Befehle des Rechner-Befehlsvorrates verwendet, um die Abzweigadressen festzulegen, so daß, sollte ein Befehl fehlen, das Programm nicht auf die richtige Adresse übertragen wird, sondern einem unnormalen Weg folgt, so daß die zugeordneten Aufgaben nicht erfüllt werden. Wenn die zugeordneten Aufgaben nicht erfüllt sind, so werden die zugehörigen Aufgabenerfüllungsbits nicht gesetzt und das Programm tritt in den Fehlerlogikblock 102 ein, wie dies weiter oben beschrieben wurde, um den Rechner zu einem geordneten Anhalten zu bringen, vorausgesetzt, daß der Rechner die Restfähigkeit besitzt, sich so zu verhalten. Ein Beispiel für eine derartige Programmierung, die bewirkt, daß der Programmablauf "verlorengeht" und damit einen Fehler anzeigt, wird weiter'unten beschrieben.

Wenn die von dem Block 105 geforderte Verarbeitung in richtiger Weise durchgeführt wird, bewirkt der Programmzähler 85 (Fig. 2), daß die Steuerung aufeinanderfolgend den Block 106 des Hauptausführungs-Programmablaufplans erreicht, in dem das zugehörige Aufgabenerfüllungsbit S₂ in einer Weise gesetzt wird, die ähnlich der vorstehend anhand der Blöcke 92 des Programmablaufplans beschriebenen ist.

509884/0455

Nach der Durchführung der Befehle, die dem Block 106 zugeordnet sind, geht die Steuerung aufeinanderfolgend auf das Programmsegment 67 in dem Programmspeicher 52 (Fig. 2) über, um die Eingangsüberwachungs-Berechnungsfunktionen für die Aufgabe s, durchzuführen, die durch den Block 107 des Programmablaufplans dargestellt sind. Das Programmsegment 67 für die Aufgabe s-, enthält Befehle zum Vergleich der Ausgänge von unabhängigen identischen Meßfühlern beispielsweise der Meßfühlersätze A und B, die in Fig. 1 als Blöcke 10 und 11 dargestellt sind, um zu bestimmen, ob sie innerhalb einer vorgegebenen Toleranz liegen. Diese Meßfühler-Vergleichsberechnungen sind gut bekannte Funktionen, die normalerweise in üblichen ausfallsicheren oder mit Ausfallbetriebsweise arbeitenden automatischen Flugsteuersystemen durchgeführt werden.

Wie es weiter oben anhand des Blockes 105 beschrieben wurde, werden viele Abzweigungen zu den Subroutinen 77 bis 80 (Fig. 2) vorgenommen, um übliche Berechnungen, wie z.B. Signalfilterung und ähnliches durchzuführen. Wenn eine Abzweigung zu einer Subroutine von einem speziellen Punkt des Programmsegmentes, das durch den Block 107 dargestellt ist, durchgeführt wird, so wird eine Rückkehradresse in üblicher Weise am Ende der Subroutine gespeichert, auf die die Steuerung übertragen wird, damit die Steuerung auf den richtigen Punkt in dem Programm zurückkehren kann. Wenn Befehle des Rechnervorrates in der Abzweigung durchgeführt werden und ausfallen, so tritt die Rückkehradresse niemals auf und das Programm folgt einem unnormalen Weg, so daß es niemals an dem Aufgabenerfüllungspunkt ankommt, an dem das zugehörige Aufgabenerfüllungsbit gesetzt wird. Wenn jedoch das Programm in richtiger Weise das Programmsegment 67 (Fig. 2), das mit der Aufgabe s, verbunden ist, beendet, so bewirkt der Programmzähler 85 (Fig. 2) dann, daß die Steuerung auf dem Block 110. des Hauptausführungs-Programmablaufplans übergeht, in dem das zugehörige Aufgabenerfüllungsbit S, in der V/eise gesetzt wird, wie sie weiter oben anhand des Blockes I06 beschrieben wurde.

509884/0455

Während des richtigen Betriebes des Systems durchläuft die Programmsteuerung aufeinanderfolgend die Blöcke 111, 112, 115 und 114, um die Aufgaben s^ und S₁- zu erfüllen, wodurch die Aufgabenerfüllungsbits S₂, und S^ bei richtiger Durchführung dieser Aufgaben gesetzt werden. Es ist daher verständlich, daß jeweilige Teile des Programmspeichers 52 (Fig. 2) die Befehle zur Durchführung der für diese Blöcke 111 bis 114 benötigten Funktionen enthalten.

Im Block 111 wird die gesamte Verarbeitung durchgeführt, die für die Erzeugung der seriellen digitalen Daten für einen digitalen Empfang oder eine Aussendung von einer digitalen Einrichtung zur anderen und für eine gegenseitige Kanalverbindung mit dem Rechner des Kanals 2 des Systems erforderlich sind. Es ist verständlich, daß der I/O-Steuerblock 51 (Fig. 2) über das Kabel 31 die Multiplexer 17 und 26 so steuert, daß sie Daten von dem digitalen Datenempfänger 21 (Fig. l) empfangen und die Daten über den digitalen Datensender 46 (Fig l) aussenden. Außerdem lenken die dem Block 111 des Hauptausführungs-Programmablaufplans zugeordneten Programmbefehle die Daten in den Datenspeicher 53 unter Verwendung der Recheneinheit 54 ein und aus, und zwar alles unter der Steuerung der Steuereinheit 55, um die notwendigen Datentransformationen für den erforderlichen Datenempfang und die Aussendung durchzuführen. Es ist verständlich, daß die spezielle Verarbeitung von der genauen speziellen gerätemäßigen Ausführung eines speziellen automatischen Flugsteuersystems für ein spezielles Luftfahrzeug abhängt. Die Vorbereitung des Programms für derartige Programmsegmente ist eine übliche Arbeit für normal ausgebildete Programmierer, so daß dies hier nicht weiter beschrieben wird.

Das dem Block 113 zugeordnete Programmsegment liefert Daten-EndrUckführungs- und Überwachungsberechnungen von einer Art, die in der Technik der automatischen Flugsteuersysteme gut bekannt ist. Wie es weiter oben anhand der Fig. 1 beschrieben wurde, wird jeder der Digital-/Analog-Konverterausgänge an dem

509884/0455

Kabel 36 dem Multiplexer 13 zugeführt, so daß die Konverter-Interface-Einrichtungen 16 und 32 sowie die von dem Rechner durchgeführten Eingangs-/Ausgangs-Punktionen auf eine richtige Betriebsweise überprüft werden können. Zusätzlich ist, wie dies weiter oben anhand von Pig. 1 beschrieben wurde, eine End-Rückführungsverbindung von dem digitalen Datensender 46 zum Eingang des Multiplexer YJ vorgesehen, um die Betriebssicherheit dieser Teile in gut bekannter V/eise zu überprüfen. Die in dem Rechner 24 erforderlichen Berechnungen und Vergleiche zur Erzielung dieser Funktionen hängen speziell von den speziellen Meßfühlern und Interface-Einrichtungen ab, die verwendet werden, und das Verfahren ist von üblicher Art, so daß ein spezielles ausführliches Programm für die gerätemäßige Ausführung des Blockes 113 von einem normal ausgebildeten Rechnerprogrammierer leicht geliefert werden kann.

Wenn die Aufgaben S₁, und s,- der jeweiligen Blöcke 111 bzw. in richtiger Weise durchgeführt wurden, so werden die zugehörigen Aufgabenerfüllungsbits Sh und S₁. der jeweiligen Blöcke 112 und 114 in einer Weise gesetzt, die der vorstehend anhand des Blockes 106 beschriebenen ähnlich ist.

Wie es weiter oben erläutert wurde, werden die Berechnungen des automatischen Flugsteuersystems zweimal unter Verwendung getrennter Speichergruppen zur Speicherung der getrennten jedoch identischen Programme für die Berechnungen und mit getrennten Speichergruppen für die diesen Berechnungen zugeordneten Daten durchgeführt. Diese unabhängigen Datengruppen und Berechnungen sowie unabhängige und identische Meßfühlersätze wurden als Kanal A und Kanal B des Kanals 1 des doppelten dedundanten automatischen Flugsteuersystems bezeichnet. Die doppelten Meßfühlersätze waren mit 10 und 11 in Fig. 1 bezeichnet und die doppelten Programmspeichergruppen sind schematisch durch die Blöcke 69 bis 72 bzw. die Blöcke 73 bis 7β dargestellt. Die Dualität der Berechnung und der Speichergruppen ergibt eine vollständige Überprüfung der Speicherbetriebsfähigkeit, bei der der Ausfall selbst eines einzigen Bits des Speichers festge-

509884/0455 '^/#

stellt wird. Die dualen Speichergruppen können bezüglich einander versetzt sein, d.h. die Adressenplätze mit identischer Programmierung sind gegeneinander um eine konstante Anzahl von Plätzen versetzt, wodurch gemeinsame Fehlerbetriebsarten in den Lese-/Schreibschaltungen ä_es Rechners vermieden werden, die anderenfalls einen symmetrischen oder identischen Lese- oder Schreibfehler in beiden Kanälen A und B hervorgerufen hätten.

In Pig. 5 stellen die Blöcke 115 und Ιΐβ alle Berechnungsaufgaben des automatischen Flugsteuersystems des Kanals A bzw. des Kanals E dar, wobei die Aufgaben des Kanals A als die Aufgaben a^, a₂·.. a bezeichnet sind, während die Aufgaben des Kanals B als Aufgaben b,, b₂ b bezeichnet sind. Es ist verständlich, daß

diese identischen Berechnungen für den Kanal A und den Kanal B aufeinanderfolgend durchgeführt werden, wie dies durch den aufeinanderfolgenden Ablauf vom Block 115 zum Block Il6 dargestellt ist. Die Berechnungen des Kanals A, die zu denen des Kanals B identisch sind, werden ausführlicher weiter unten anhand der Fig. 5 beschrieben.

Nach der Durchführung der Berechnungsaufgaben des Kanals A und des Kanals B überträgt die Steuereinheit 55 (Fig. 2) die Steuerung auf den Block 117 für die Aufgabe sg des Hauptausführungs-Programmablaufplans nach Fig. 3· In diesem Block vergleicht ein in dem Programmspeicher 52 (Fig. 2) gespeichertes Programmsegment die Ergebnisse der Berechnungen in dem Kanal A und dem Kanal B, um sicherzustellen, daß sie identisch sind. Wenn eine Identität innerhalb vorgegebener Toleranzen festgestellt wird, geht die Programmsteuerung auf den Block 120 über, in dem das Aufgabenerfüllungsbit Sg in der vorstehend beschriebenen Weise gesetzt wird. Wenn ein Unterschied zwischen den Ausgangsberechnungen an den Blöcken 115 und 116 festgestellt wird, kann der Block 120 durch eine einfache Programmroutine umgangen werden, so daß das Aufgabenerfüllungsbit Sg ungesetzt bleibt oder die Steuerung kann auf die Fehlerlogik-Berechnungen des Blockes

509884/0455

102 überführt werden.

Nach der Beendigung der Berechnungen des Blocks 120 wird die Steuerung auf dem Block 121 übertragen, um die Aufgabe S₇ durchzuführen, bei der Rechner 24 den Multiplexer 2β so steuert, daß er die digitalen Ausgangsdaten von den Ergebnissen der Berechnungen im Kanal A und im Kanal B den Digital-ZAnalogkonvertern 32 zuführt, die ihrerseits die erforderlichen Analogsignale für das System liefern, wie es weiter oben anhand der Fig. 1 erläutert wurde. Das in dem Programmspeicher 52 (Pig. 2) gespeicherte Programmsegment, das dem Programmablauf-Block 121 zugeordnet ist, führt Berechnungen für eine maßstäbliche Veränderung und für eine Datenpackung durch und liefert zusätzlich die diskreten Ausgänge des Systems. Die Datenausgangsübertragung wird durch die Berechnungen in dem Block 121 eingeleitet und diese Datenübertragung setzt sich gleichzeitig mit weiteren Verarbeitungen durch den Rechner 24 in in der Technik gut bekannter Weise fort. Nach erfolgreicher Durchführung der von dem Block 121 geforderten Punktionen geht die Steuerung auf den Block 122 über, in dem das zugehörige Aufgabenerfüllungsbit S₇ infder vorstehend beschriebenen Weise gesetzt wird.

Nach der Beendigung der Berechnungen des Blockes 122 überträgt das Programm die Steuerung auf dem Block 123 für die Aufgabe Sg, in dem Servomodell- und Überwachungsberechnungen durchgeführt werden, um sicherzustellen, daß die Steuerflächen-Servos des Luftfahrzeuges in der richtigen Weise innerhalb einer festgelegten Toleranz arbeiten. Weil die speziellen mathematischen Modelle, die zur Nachbildung des Servobetriebes verwendet werden, von den speziellen Servomechanismen des Luftfahrzeuges abhängen und weil eine derartige Modellbildung und Überwachung in der Technik der automatischen Flugsteuersysteme gut bekannt ist, werden hier keine weiteren Einzelheiten angegeben. Es ist jedoch verständlich, daß bei der Durchführung des zugehörigen

509884/0455

in dem Programmspeicher 52 gespeicherten Programmsegmentes ein Übergang zu und eine Piückkehr von den Subroutinen 77 bis 8C erforderlich ist, wobei während dieser Übertragungen die Befehle des Rechnerbefehlsvorrates in der vorstehend beschriebenen Weise durchgeführt v/erden können. Wenn die Aufgabe So in richtiger V/eise durchgeführt wurde, geht die Programmsteuerung auf den Block 124 über, wenn das zugehörige Aufgabenerfüllungsbit Sp in der vorstehend beschriebenen Weise gesetzt wurde.

Nach der Beendigung der dem Block 124 zugeordneten Berechnungen überträgt der Hauptausführungs-Programmablaufplan die Steuerung auf einen Block 125, in dem die restlichen Einkanal-Aufgaben s_Q,

S_1n....s durchgeführt werden. Wie dies weiter oben beschrieben IU m

wurde, sind die diesen Einzelkanalaufgaben s, bis s zugeordneten Programmsegmente in dem Programmspeicher 52 (Pig. 2) gespeichert und schematisch mit 65 bis 68 bezeichnet. Der Block 125 stellt übrige Aufgaben dar, die von dem Ausführungsprogramm durchgeführt werden müssen, wie z.B. Abtasten der diskreten Eingangswerte auf den Informationsgehalt und Verarbeitung dieser Werte für eine Betriebsartenauswahl, Betriebsartenweiterschaltung, Fehleranzeige und ähnliches. Die Signale für die Luftfahrzeug-Anzeigen werden erzeugt und gespeichert^ um die Wiederholung des Blockes 111 vorzubereiten, in dem digitale Datenausgänge während der nächsten Wiederholung des Hauptausführungs-Programmablaufplans geliefert werden.

Nachdem alle Einkanal-Aufgaben durchgeführt sind und die zugehörigen Aufgabenerfüllungsbits entsprechend dem Block 125 gesetzt sind, geht die Programmsteuerung auf einen Block 126 über, in dem alle Konstanten, die für die verschiedenen Einkanal-Berechnungen verwendet werden, in eine Prüfsumme umgebildet und mit einer Bezugssumme verglichen werden, um Speicherfehler festzustellen. Nachdem der Test in dem Block 126 durchgeführt wurde, wird die Steuerung auf einen Block 127 überführt, um auf die als nächstes auftretende Echtzeit-Unterbrechung zu warten. Die Steuerung geht auf den Platz in dem Programmspeicher 52 über,

509884/0455

der schematisch bei 64 bezeichnet ist und der den richtigen Unterbrechungs-Wartebefehl enthält. Die ■Verarbeitungseinrichtung des Rechners 24 wird dann gestoppt_/ bis die Echtzeit-Taktimpulsunterbrechung zum nächsten Mal auftritt, wobei zu diesem Zeitpunkt die Steuerung auf den Programmspeicherplatz 60 entsprechend dem Startblock 90 des Hauptausführungs-Programmablaufplans übertragen wird. Auf diese V/eise ergibt sich eine kontinuierliche Wiederholung des Ausführungsprogramms, was zu einer effektiven kontinuierlichen Steuerung des Luftfahrzeuges führt.

Es ist aus dem Vorstehenden ersichtlich, daß die Aufgaben aufeinanderfolgend in der in Pig. 3 dargestellten Reihenfolge durchgeführt werden. Die schematisch in dem Programmspeicher 52 nach Fig. 2 dargestellten Programmsegmente 60 bis 80, die den Blöcken nach Fig. 3 entsprechen, sind in der Zeichnung aus Zweckmäßigkeitsgründen angeordnet und es ist verständlich, daß die Reihenfolge, in der die Programmsegmente in der Zeichnung erscheinen, nicht notwendigerweise die Reihenfolge darstellt, in der die Programmsegmente in einem tatsächlichen Speicher gespeichert sind.

Der Hauptausführungs-Programmablaufplan nach Fig. 3 ist dazu bestimmt, eine geordnete Steuerung einer speziellen Art eines modernen Düsentransportflugzeuges zu steuern. Es ist verständlich, daß andere Ausitihrungsprogramm-Anordnungen bei der Durchführung der Erfindung verwendet werden können. Die vorstehende Beschreibung wurde so erläutert, als ob jeder Block nach Fig. 3 während jeder Wiederholung durchlaufen würde. In einem praktischen System ist es nicht notwendig, alle diese Blöcke während jeder Wiederholung zu durchlaufen. Beispielsweise kann es sein, daß einige der Aufgaben nur bei jeder zweiten oder dritten Wiederholung durchgeführt werden müssen. Daher würde eine zusätzliche Programmierung zweckmäßigerweise zwischen den Blöcken 92 und 93

509884/0455

eingefügt, um auf diese Weise den Ausführungs-Programmablauf zu steuern. Diese zusätzliche Programmierung würde die Bits ir. den Aufgabeniistenv;orten setzen, die den Aufgaben entsprechen, die während der derzeitigen Wiederholung durchgeführt werden müssen. Es ist verständlich, daß die in den Blöcken 9J5 bis 95 durchgeführte Logik weiterhin das richtige Ergebnis für die Vf or te I-L,, M_n und IA_n ergibt, weil die ungesetzten Aufgabenlistenbits den ungesetzten Aufgabenerfüllungsbits entsprechen, so daß sich die erforderliche binäre EINS ergibt.

Tn Fig. 4, in der gleiche Bezugsziffern gleiche Blöcke wie in Fig. 3 bezeichnen sind weitere Einzelheiten der Blöcke 96» 97 und 9δ dargestellt. Wie es weiter oben erläutert wurde, werden diese Blöcke des Hauptausführungs-Programmablaufplans zur Überprüfung der Tatsache verwendet, daß der Rechner 24 alle ihm durch das Programm zugeordneten Aufgaben durchgeführt hat. Die Art, wie der Aufgabenerfüllungstest durchgeführt wird, stellt sicher, daß alle bedingten Übertragungs- oder Programmabzweigbefehle des Rechners in richtiger Weise arbeiten. Wie dies durch die Bezeichnungen gezeigt ist, wird der logische Komplementierungsbefehl ebenfalls verwendet und die Funktionsfähigkeit des oberen und unteren Akkumulators wird weiterhin entsprechend der Beschriftung "AU" und "AL" getestet, die die oberen und unteren (nicht gezeigten) Akkumulatorteile der Recheneinheit 54 (Fig. 2) darstellen. Wie es weiter oben erläutert wurde, bewirken die bedingten Übertragungsbefehle eine Programmabzweigung entsprechend der Tatsache, daß der Inhalt des oberen und unteren Akkumulators gleich oder ungleich 0 sowie positiv oder negativ ist. Zusätzlich arbeiten die bedingten Übertragungsbefehle in Unabhängigkeit davon, ob der Inhalt eines adressierten Wortes gleich, ungleich, kleiner oder gleich oder größer als der untere Akkumulator ist. Jeder der bedingten Übertragungsbefehle wird sowohl für die Abzweigungs- und Niehtabzweigungs-Bedingungen ausgeübt, so daß wenn der Programmabiaufplan nach Fig. 4 beendet ist,

509884/0455

alle bedingten Übertragungsfunktionen als in richtiger Weise arbeitend überprüft sind, wobei weiterhin festgestellt wird, daß alle zugeordneten Aufgaben erfüllt wurden. Diese Befehlsvorrats-Ausübung ist erforderlich, weil Einrichtungen wie z.B. Flipflops in dem Rechner 24 als Ergebnis des Vergleichsbefehls gesetzt werden und weil der Zustand des Flipflops die Richtung der Abzweigung bestimmt. Wenn die allen logischen Übertragungsbefehlen zugeordneten Flipflops oder die zugehörige Logik ausfallen sollte, so kann der Fehler zu einem fehlerhaften Abzweigbefehl in dem Programm führen. Das heißt, daß wenn die Aufgabenerfüllungs-Überprüfungsworte M^, IVL und M_g mit den Kriterien, die durch die Beschriftung in den Blöcken nach Fig. 4 angedeutet s ind, verglichen werden und ein Fehler auftritt, die Abzweigbefehle das Programm zur Fehlerroutine-Adresse lenken sollten. Wenn jedoch ein Fehler in den Rechnerschaltungen auftreten sollte, die dem Vergleichszustand zugeordnet sind, würde eine Abzweigung in der falschen Richtung erfolgen, was einen unrichtigen Gültigkeitszustand anzeigt. Aus diesem Grunde werden alle Abzweigbefehle in beiden Richtungen ausgeübt, um einen endgültigen Aufgabenerfüllungs-*tJberprüfungspunkt in dem Programm am Block zu erreichen. Es ist verständlich, daß der Programmablaufplan nach Fig. 4 entsprechend dem speziellen bedingten Übertragungsbefehlsvorrat des speziellen verwendeten Rechners abgeändert werden könnte. Es ist weiterhin verständlich, daß die verschiedenen Vi or te M«, IYL und M„ sowie ihre Komplemente zu den oberen und unteren Akkumulatoren übertragen v/erden müssen, wie dies durch die Bezeichnungen angezeigt ist, und zwar mit Hilfe geeigneter Dateneingabebefehle von dem Rechnerbefehlsvorrat.

Der Programmablauf plan nach Fig. 4 besteht aus Blöcken 1J50 bis 154 zusätzlich zu den Blöcken 102, 103 und 104, die identisch zu den in gleicher Weise bezifferten Blöcken nach Fig. j5 sind. Es .ist verständlich, daß der Block 96 nach Flg. 3 aus den Blöcken bis 141 nach Fig. 4 besteht, daß der Block 97 nach Fig. 3

509884/045B

aus den Blöcken 142 bis 152 nach Pig. 4 besteht und daß der Block 98 nach Pig. 3 aus den Blöcken I53 und 154 nach Fig. besteht. Die Eingabe in den Block IJO erfolgt vom Block 95 nach Fig. 3 und nach der Komplementierung des Wortes M_A und nach Übertragung des Komplementes an den oberen Akkumulator verwendet das Programm den bedingten Übertragungsbefehl, um überzuspringen, wenn der Inhalt des oberen Akkumulators gleich 0 ist. Weil im Normalbetrieb alle Bits des Wortes M_A (sowie die der Worte IL· und M₀) gleich EINS sein sollten, sollte das Komplement gleich 0 sein und die Steuerung springt auf den nächsten Block I3I über. Wenn jedoch ein Fehler auftritt und das Komplement von I-L nicht gleich 0 ist, so erfolgt dieser Sprungnicht und die darauffolgenden Befehle übertragen die Steuerung auf die Fehlerlogik-Berechnungen 102. In der gleichen erläuterten V/eise werden alle bedingten Übertragungsbefehle des Rechners 24 auf einen richtigen Betrieb überprüft.

Ss ist verständlich, daßtei dem speziellen bevorzugten Ausführungsbeipiel des automatischen Flugsteuersystems, bei dem der Rechner die der Fig. 4 zugeordnete Programmierung durchführt, alle Aufgaben festgelegt sind und bei jedem Berechnungszyklus durchgeführt werden müssen. Somit ist jedes Aufgabenlistenwort eine feste Konstante, wobei alle EINSEN die zu erfüllende Aufgabe bezeichnen.

Es wird besondere Aufmerksamkeit auf die Blöcke 147 und 154 gelenkt, bei denen eine 0 im Viort M hinzuaddiert wird. V/eil der spezielle in einem bevorzugten Auführungsbeispiel der Erfindung verwendete Rechner eine mit dem EINER-KOMPLEMENT arbeitende Maschine ist, ist der Zustand, bei dem das Wort M nur aus EINSEN besteht, äquivalent zum Zustand -0 und die Addition von +0 zu -0 ergibt +0. Die speziellen logischen Befehle der Maschine erkennen lediglich +0. Dies erklärt die Notwendigkeit der Blöcke 147 und 154 nach Fig. 4.

509884/CH5S

"^ ' 252996Λ

Wie es weiter oben beschrieben wurde, zeigen die Blöcke 115 und 116 nach Fig. ]5 die Kanal-A-und Kanal-B-Berechnungen des Systems. In Fig. 5 ist ein ausführlicher Programmablaufplan für die Berechnungen des Kanals A gezeigt, wobei die Berechnungen d es Kanals B hierzu identisch sina^?Berechnungsausführungen für den Kanal A umfassen den Teil des Programmsystems, der tatsächlich die automatischen Flugsteuersystem-Berechnungen durchführt. Die Steuerung wird von dem Block 114 nach Fig. 3 den Block ΐβθ für die Aufgabe a.. übertragen, wobei das zugehörige Programmsegment schematisch als bei 69 in dem Programmspeicher 52 (Fig. 2) gespeichert dargestellt ist. Dieses Programmsegment überträgt die Daten, die an vorgegebenen Plätzen während des Betriebes des Blockes 105 nach Fig. 3 in der vorstehend erläuterten Weise untergebracht wurden, an den Berechnungsteil des Programmsystems, wobei die Daten beispielsweise unter Verwendung von Filterroutinen vorbereitet und bezüglich den vergleichbaren Berechnungen von dem Teil des Kanals 2 des automatischen Flugsteuersystems angeglichen werden. VJie es vorstehend beschrieben wurde, können mehrere Übertragungen von und zur Subroutine 77 bis 80 zur Schaffung der Vorbereitungs- und Ängleichfunktionen unter Verwendung der Befehle von dem Rechnerbefehlsvorrat durchgeführt werden, um die Übertragungsadressen zu manipulieren, so daß sichergestellt ist, daß wenn die auf diese Weise verwendeten Befehle nicht richtig arbeiten, das Programm in einen unnormalen Weg eintritt und das zugehörige Aufgabenerfüllungsbit nicht setzt. Während des Normalbetriebs wird, nachdem die in dem Block löO geforderten Funktionen durchgeführt werden, die Steuerung auf einen Block Ιοί übertragen, in dem ein Aufgabenerfüllungsbit A, gesetzt wird, das der Erfüllung der Aufgabe a^ entspricht. Das Verfahren zum Setzen des Aufgabenerfüllungsbits ist ähnlich zu dem, wie es vreiter oben anhand der Fig. 3 beschrieben wurde.

Nach der Durchführung der dem Block I6I zugeordneten Befehle überträgt die Steuereinheit 55 (Fig. 2) die Steuerung auf einen Block 162 für eine Aufgabe a_?, wobei das zugehörige Programm-

509884/045S

segment schematisch als bei 70 in dem Programmspeicher 52 (Fig. 2) gespeichert dargestellt ist. Die Zustandsabschätzungs-Berechnungen kombinieren die in der oben beschriebenen Weise verarbeiteten Daten unter Verwendung bekannter Filtertechniken, um die besten Zustandsabschätzungen zu erzielen, die in dem darauffolgenden Steuergesetz- und anderen Flugsteuer-und Lenkungs-Berechnungen vervjendet werden. Die Zustandsabschätzungs-Filterung ist in der Technik automatischer Flugsteuersysteme gut bekannt und ein Beispiel hierfür ist die übliche komplementäre Filterung. Nachdem die Zustandsabschätzungs-Berechnungen durchgeführt vrurden, wird die Steuerung auf einen Block l6j5 übertragen, in dem das zugehörige Aufgabenerfüllun~sbit A₂ gesetzt wird.

Nachdem die Daten verarbeitet worden sind und die besten Abschätzungen dieser Daten berechnet wurden, ist das Programmsystem dann bereit, die Berechnungen zur Steuerung und Lenkung des Luftfahrzeuges durchzuführen. Wie es in der Technik automatischer Flugsteuersysteme gut bekannt ist, werden vorbereitete und eingerückte Betriebsarten bei den verschiedenen Flugbetriebszuständen des Luftfahrzeuges verwendet. Entsprechend werden für die Querneigungs-Längsneigungs- und Gierachsen sowie für die Vorschub-Betriebsweisen und ähnliches vorbereitete und eingekuppelte Berechnungen selektiv entsprechend den vorhandenen Bedingungen des Luftfahrzeuges und den von dem Betriebsartenwähler eingeschalteten Betriebsarten des automatischen Flugsteuersystems durchgeführt, wobei diese Betriebsarten die geeigneten Steuergesetz-Berechnungen zur Durchführung der gewünschten Luftfahrzeugsteuerung einschließen.

Nachdem die für den Block 1β5 nach Fig. 5 erforderlichen Berechnungen durchgeführt sind, wird die Steuerung auf einen Zustandsblock 164 für den vcafoereiteten (armed) Querneigungsbetriebsartenzustand übertragen. In diesem Block wird eine Variable i auf eine Zahl von 1 bis k entsprechend der durchzuführenden 'Vbrbereitungs-Q.uerneigungsberechnungen eingesetzt.

509884/04SS

Die Variable i wird entsprechend dem Betriebsartenwähler des automatischen Plugsteuersystems in Verbindung mit dem existierenden Betriebszustand des Luftfahrzeuges eingestellt. Das Programm wählt einen der vielen Wege der passenden Vorbereitungs-Querneigungsbetriebsartenberechnungen entsprechend dem Aufgabenauswahlkode aus, der der Variablen i zugeordnet ist. Die Programmsteuerung wird vom Block l6k auf einen Block 1Ö5 übertragen, von dem aus die geeignete Vorbaraitun^-Querneigungsberechnungs-Subroutine eingeführt wird. Die VoÄEreitongs-Querneigungs-Berechnungssubroutinen sind bei 166, 1Ö7 und 170 auf dem Ablaufplan der Berechnungen des Kanals A dargestellt. Nach der Beendigung jeder der Vorbereiüxgs-Querneigungs-Berechnungssubroutinen wird eine Veränderliche j eingesetzt, die gleich dem Viert der Variablen i ist, die den Eintritt in die spezielle Vabereiturg3Querne igungsber e chnungssubrou tine steuerte. Diese Blöcke sind mit 171, 172 und 173 auf dem Ausführungs-Ablaufplan für die Berechnungen des Kanals A dargestellt.

Unabhängig von dem Weg, der durch die Vorbereitungs-Qu erne igung sberechnungen genommen wird, führt die Steuerung auf einen Block 174 zurück, in dem die Eingangsvariable i und die Ausgangsvariable j auf Gültigkeit verglichen werden. Der Vergleich wird dadurch durchgeführt, daß i durch j dividiert wird, wodurch zusätzlich der Dividierbefehl des Rechner-Befehlsvorrates überprüft wird. Wenn die Prüfung des Blocks 174 fehlerhaft ist, so wird der nächste Block 175 umgangen und die Steuerung geht auf einen Block I76 über. Wenn die Prüfung unter normalen Betriebsbedingungen des Systems jedoch erfolgreich ist, geht die Steuerung auf den Block 175 über, in dem das Aufgabenerfüllungsbit Α-, entsprechend der erfolgreichen Beendigung der Aufgabe a, gesetzt wird, die sich auf die Vorbaue!tungs-Querneigungsberechnungen bezieht. Ein ähnliches Verfahren wird anhand des Blockes 176 durchgeführt, in dem die Variable i für die eingeschaltete Querneigungsbetriebsweise auf eine Zahl von 1 bis L gesetzt wird, so daß bei Erreichen des Blockes 177 die Steuerung über die richtige eingeschaltete Querneigungsberech-

•^A 509884/045$

nunss-Subroutine weitergeleitet werden kann, wobei diese 3ubroutinen mit l80, l8l und 182 bezeichnet sind. In einer V/eise, die der vorstehend anhand der Blöcke 171 bis 173 beschriebenen ähnlich ist, setzen die Blöcke l8j5, 184 und I85 eine Ausgangsvariable j, wie dies durch die Bezeichnung gezeigt ist,, entsprechend der eingeschalteten Querneigungsberechnungssubroutine, die durchgeführt wird. Unabhängig von dem Weg, der durch die eingeschalteten Querneigungsberechnungen gewählt wird, erreicht die Steuerung einen Block I86, in dem die Logik feststellt, ob die richtige Aufgabe durchgeführt wurde, in dem überprüft wird, ob der Aufgabenerfüllungskode j gleich dem Aufgabenauswahlkode i gleich ist. In dem Block I86 wird diese Überprüfung durchgeführt, so daß die Betriebsfähigkeit des Multiplizierbefehls des Befehlsvorrates des Rechners überprüft wird. In einer VJeise, die der vorstehend anhand der Blöcke 174 und 175 beschriebenen ähnlich ist, bewirkt ein fehlerhaftes Ergebnis der Überprüfung des Blockes l86, daß der Aufgabenerfüllungsblock 187 umgangen wird, während eine richtige Betriebsweise das Setzen des Aufgabenerfüllungsbits Aj, bewirkt.

Nachdem die Steuerung die Blöcke I86 und 187 durchlaufen hat, wird ein Block I90 erreicht, der eine ähnliche Programmablaufplan-Programmieranordnung für die übrigen Betriebsarten des Systems, wie z.B. Längsneigungsbetriebsarten, Vorschubbetriebsarten, Gierbetriebsarten und ähnliches darstellt.

Die Steuerung geht dann vom Block 190 auf den Block I9I über, in dem alle Innenschleifen-Berechnungen und ähnliches für das automatische Flugsteuersystem durchgeführt werden. Die Innenschleifen-Berechnungen beziehen sich auf die grundlegende Lagenstabilisation des Luftfahrzeuges im Gegensatz zu den Lenkungsoder Befehlsberechnungen, die in der vorstehend beschriebenen Weise durchgeführt werden. Die Innenschleifen-Berechnungen werden von und zu Subroutinen für die grundsätzlichen Querneigungs-Längsneigungs- und Gier-Stabilisierungsgleichungen für das Luftfahrzeug übertragen, um vorhandene Lagen entspre-

509884/0455

chend der Winkelbewegungs- und Geschwind igkeitssignale zu steuern und zu halten, die entsprechend den geeigneten Gleichungen gefiltert und kombiniert werden, um Steuersignale für die Steuerflächen des Luftfahrzeuges zu erzeugen. Jede der in dem Bleck 191 dargestellten Aufgaben weist ein zugehöriges Aufgabenerfüllungsbit auf, das in der vorstehend beschriebenen 'Jeise gesetzt wird.

Nach der Durchführung der durch den Block 191 geforderter. Gleichungen überträgt der Programmzähler S5 der ,Steuereinheit 55 (Fig. 2) die Steuerung auf einen Block I92, in dem ein Mehrpegel-Gültigkeitsschema-Signal erzeugt wird. E* ist veseitlich, daß sich dieses Schema dynamisch ändert und es wird durch Änderung des Zustandes des Ausgangssignals an einer Leitung 193 für jede Wiederholung des Ausführungsprogramms erzeugt, ν/εηη somit die Punktion des Rechners gestoppt würde, beispielsweise durch Eintreten in den Fehlerlogik-Berechnungsblock 102 nach Fig. 3 oder bei einem vollständigen Ausfall des Rechners, bei dem er unfähig 1st, Befehle auszuführen, so würde das Signal an der Leitung 193 einen statischen Zustand beibehalten. Dieser statische Zustand kann von dem GUltigkeitsschema-Detektor 4;5 in der vorstehend anhand Fig. 1 beschriebenen V/eise festgestellt werden. Es Jsb verständlich, daß das sich dynamisch ändernde Gültigkeitsschema in bezug auf die Amplitude, die Impulsbreite oder beides geändert werden kann, um die oben beschriebene Fehlererkennungsfunktion zu erzielen. Aus Zweckmäßigkeitsgründen wird das bevorzugte AusfUhrungsbeispiel jedoch anhand einer Änderung der Amplitude des Gültigkeitsschemas beschrieben.

Ein spezielles Beispiel für die Erzeugung des Gültigkeitsschema-Signals ist in Fig. 6 gezeigt. In Fig. β wird ein mit D bezeichnetes Rechnerwort verwendet, um eine Rechteckschwingung mit der Amplitude ¹¹A" und der Breite ¹¹T" zu liefern, das eine Periode von 2T aufweist, wobei T die Wiederholzeit des Programms ist. Die Steuerung wird von dem Block I9I in Fig. 5 auf einen Blo-ck 200 übertragen, der den Zustand der

509884/ 0 455 ^#/·

ORiGlK-AL INSPECTED

Variablen D untersucht. Wenn D während einer speziellen Wiederholung gleich 1 ist, so wird D in einem Block 201 auf 0 gesetzt. Wenn jedoch D während einer Wiederholung gleich 0 ist, so wird D in einem Block 202 in den entgegengesetzten Zustand gesetzt. Der endgültige Zustand der Variablen D während der Wiederholung wird dem Ausgang in einem Block 203 zur Leitung 195 zugeführt, die die Variable D im Schaltungsteil des Systems nach Fig. 1 zuführt. Es ist somit verständlich, daß wenn das Programm wiederholt wird, die Amplitude der Veränderlichen D von 0 auf 1 geändert wird, und wenn dieser sich ändernde Binärzustand von dem zugehörigen Digital-/Analogkonverter im Block 32 (Fig. l), dessen Ausgang der Leitung 42 (Fig. l) zugeführt wira, ^jso wird ' eine Rechtsekschwingung mit der Amplitude A und der Dauer T erzeugt. Wie dies weiter oben ausgeführt wurde, bleibt, wenn der Rechner dauernd die Ausführung des Ausführungsprogramms unterbricht, das Signal an der Leitung 193 auf einem statischen Zustand, was den Fehler anzeigt. Das Gültigkeitssignal wird einer Rechteckschwingungs-Überwachungseinrichtung 204 zugeführt, die in diesem speziellen Beispiel den Gültigkeitsschema-Detektor nach Fig. 1 darstellt. Die Rechteckschwingungs-Überwachungseinrichtung weist einen üblichen Aufbau auf und ist aus Amplitudendiskriminatorschaltungen, monostabilen Multivibrator-Zeitgebern und einfachen logischen Netzwerken aufgebaut, um festzustellen, ob das Rechteckschwingungssignal nicht mehr langer geliefert wird, sondern daß ein statisches, ein Fehler anzeigendes Signal stattdessen von dem Rechner 24 (Fig. 1) geliefert wird.

Es ist zu erkennen, daß in einer Fehlerbetriebsweise des Rechners 24 das Gültigkeitsschema-Signal nicht notwendigerweise einen statischen Zustand aufweisen muß, sondern daß es einen Fehler dadurch aufweisen kann, daß es anders aussieht als das genau definierte sich dynamisch ändernde Signal. Der Rechner 24 kann derart ausfallen, daß das GUltigkeitsschema einen unrichtigen dynamischen Zustand aufweist, wie z.B. einen Zustand, der einem Rauschen ähnelt.

509884/0455

Entsprechend ausfallsicherer und ausfall-betriebsfähiger Techniken werden zwei derartige überwachungseinrichtungen 204 verwendet, so daß ein gültiges Signal nur dann geliefert wird, wenn jede der Überwachungseinrichtungen einen gültigen Signalausgang liefert.

Es ist verständlich, daß beim Betrieb des Systems nach Fig. 1 entsprechend dem HauptausfUhrungs-Programmablaufplan der Block 125 nach Fig. 2 Zugriff zu den Ergebnissen der vcrbeiöiteten und eingeschalteten Berechnungen nach Fig. 5 aufweist und zusammen mit dem Betriebsartenwähler des automatischen Flugsteuersystems die Betriebsartenfortschalt- und RUckschaltfunktionen für das System durchführt. Wenn das automatische Flugsteuersystem sich in einer ausgeschalteten Betriebsweise befindet, besteht einer der möglichen Wege für die vorbereiteten und eingeschalteten Berechnungen nach Fig. 5 iⁿ einem Weg, bei dem keine Operationen durchgeführt werden. Beispielsweise wird bezüglich des Blockes 176 nach Fig. 5 bei abgeschaltetem automatischem Flugsteuersystem i = 1 gesetzt, was keine Quernelgungsbetriebsart anzeigt, In gleicher Weise wird bei eingeschaltetem automatischem Flugsteuersystem i = 2 für die Localizer-Erfassungsbetriebsweise gesetzt und i kann auf 3 für die Steuerkurshaltebetriebsweise gesetzt werden usw.

Aus der vorstehenden Beschreibung des bevorzugten Ausführungsbeispiels der Erfindung ist zu erkennen, daß das automatische Flugsteuersystem nach Fig. 1 durch einen Echtzeit-Taktgeber in dem Rechner 24 gesteuert wird, um kontinuierlich den Hauptausführungs-Programmablaufplan nach Fig. 3 auszuführen, wodurch kontinuierlich die Meßfühlersignale von den Blöcken 10, 11 und 12 an den Eingang übertragen werden, die Signale entsprechend dem Berechnungsausführungs-Programmplan nach Fig. 5 verarbeitet werden und diese Signale den Steuerflächen-Steuerbetätigungseinrichtungen des Luftfahrzeuges über die Digital-Analog-Konverter des Systems zugeführt werden. Das Programm ist in Aufgaben angeordnet, die durchgeführt werden müssen, wobei zuge-

509884/0455 ^m/'

hörige Aufgabenerfüllungsindizes bei erfolgreicher Durchführung der Aufgaben gesetzt werden. Die Befehle des Rechnerbefehlsvorrates, die bei der Programmierung für das Luftfahrzeug verwendet werden, werden über das gesamte Programm eingestreut, um die Abzweigadressierung zu steuern, so daß ein fehler in dem Befehlsvorrat dadurch festgestellt wird, daß der Programmablauf einen unnormalen Weg nimmt, so daß nicht alle der Aufgabenerfüllungsindizes gesetzt v/erden. Zusätzlich schließt das Programm ein dynamisches Gültigkeitsschema-Generatorprogrammsegment ein, das ein normales Ausgangssignal nur dann liefert, wenn der Rechner kontinuierlich das Hauptausführungsprogramm ausführt. Wenn der Rechner die Ausführung des Programms unterbricht, entweder auf Grund eines Eintretens in die Fehlerlogik-Berechnungen 102 oder auf Grund eines vollständigen Ausfalls des Rechners 24, so stellt eine äußere Überwachungseinrichtung 43 (204 in Pig. 6) das unnormale Gültigkeitsschema-Signal fest und schaltet den ausgefallenen Kanal ab.

Vorstehend wurden Beispiele für die neuartige Programmiertechnik gegeben, die bewirkt, daß das Programm einen unnormalen Weg verfolgt, d.h. "verlorengeht". Weitere Beispiele einer derartigen einen Fehler feststellenden Betriebsprogrammierung werden im folgenden speziell anhand des oben erwähnten Rechners vom Typ I819 beschrieben, wobei verständlich ist, daß ähnliche Techniken ohne weiteres auf automatische Flugsteuersysteme angewandt werden können, die andere Rechnerkonstruktionen vertuenden. Die Beispiele werden anhand der Steuergesetz-Berechnungen beschrieben, die entsprechend der Blöcke II5 und 116 nach Fig. ;5 durchgeführt werden, wie sie ausführlicher in Fig. 5 gezeigt sind.

Viie es allgemein weiter oben beschrieben warde, verwendet der Rechner 24 doppelte Speichergruppen, die als Gruppe 1 und Gruppe bezeichnet sind, wobei die Speicherplätze in jeder Gruppe Okfcal-Adressenbezeichnungen aufweisen. Beispielsweise bezeichnet die Adresse 2-0662 den Speicherplatz 0662 in der Speichergruppe 2.

509884/0455

In einem speziellen Rechner ist der Programnizähler 85 nach Fig. 2 mit dem mnemonischen P bezeichnet und die Indexregister des Rechners 24 werden allgemein mnemonisch als B bezeichnet. Allgemein weist ein Befehlswort des Ilechners 24 einen Befehlsteil (Operationskode) und einen Operandenteil auf. Der Befehlsteil und der Operandenteil können sowohl oktal zur Lieferung der tatsächlichen binären, in dem Speicher gespeicherten Bezeichnung als auch mnemonisch bezeichnet sein, wie dies bei maschinenorientierten Programmsprachen üblich ist. Der Operandenteil des Befehlswortes wird mnemonisch als Y bezeichnet, was allgemein eine Adresse im Speicher bezeichnet und der Inhalt dieses Adressenplatzes wird mit (Y) bezeichnet. In dieser Art verwendete Klammern deuten den Inhalt des zugehörigen Elementes an. Beispielsweise bezeichnet (P) den Inhalt des Programmzählers 85«

In den folgenden Beispielen werden die folgenden Punktionen durchgeführt. Bei den Berechnungen des Kanals A oder des Kanals B, den Blöcken II5 bzw. Ho des Hauptausführungsprogramms nach Pig. wird ein Steuergesetz verwendet, das einen I.ängsneigungsschritt Δθ berechnet, der eine Punktion des Q,uerneigungswinkels 0, des Gewichts V/, des Klappenausschlags S^ und j(V/V)dt ist. Eine Subroutine, wie sie schematisch bei 77 "bis 80 in Fig. 2 gezeigt ist und die als TBETLC (Theta-Aüftriebsbefehl) bezeichnet ist, liefert diese Berechnung, Nachdem die THETLC-Routine aufgerufen und verwendet wurde, kehrt die Steuerung zu der Adresse zurück, die gespeichert wurde, als die Subroutine begonnen wurde.

Das Indexregister B ist mit einer Zahl gesetzt, die einer Bezeichnung für eine ^rtv©j&eEreitete" Betriebsart entspricht. Jeder Querneigungsbetriebsweise, die vorbereitet wurde und die auf die Erfüllung zusätzlicher Kriterien wartet, um das Einschalten durchzuführen, ist eine eindeutige Ziffer zugeordnet, die ROLAIB genannt wird und die am Speicherplatz 2-4]527 gespeichert ist.

Wie es bei Rechnern .der beschriebenen Art üblich ist, sind

509884/0455

Kennzeichenplätze eingefügt. RAPSIB ist ein Kennzeichen für einen ersten Durchgang, das beim Setzen eine spezielle Einleitung während des ersten Durchganges der Subroutine anfordert, die die Erfüllung der "vorbereiteten" Kriterien überprüft. Nach der Beendigung der Einleitungsaufgabe wird das Kennzeichen rückgesetzt, so daß bei darauffolgenden Durchgängen in der Subroutine zur Überprüfung der "vorbereiteten" Kriterien die Einleitung nicht durchgeführt wird.

AROLIB ist die erste Adresse der Tabelle von Adressen von Subroutinen, die die Kriterien überprüfen, die den Übergang von einer vorbereiteten Q,uerneigungsbetriebsart in eine eingeschaltete Betriebsart ermöglichen. Die Indexziffer, die in dem Indexregister B gespeichert ist, "wandelt AROLIB in eine Tabelle von Adressen um, wobei das Indexregister B vorher durch die Peststellung gesetzt wurde, welche spezielle Querneigungsbetriebsart vorbereitet wurde, wobei auf den Block l64 nach Fig. 5 bezug genommen wird. Eine spezielle Adresse für jede vorbereitete Betriebsart definiert daher eine unterschiedliche Subroutine zur Überprüfung des Einschaltkriteriums.

Allgemein sind fünf Befehle in den speziellen Operationen als Beispiel angegeben, die bei der Durchführung dieser Befehle verwendet werden und es können auch weitere Befehle des Befehlsvorrates verwendet werden. Beispielsweise überträgt der Rückkehr-Sprungbefehl (RTB) mit der Oktalbezeichnung 76 den Inhalt (P)+l nach Y und überträgt Y+l nach P. Der indirekte Sprungbefehl (UP) mit der Oktalbezeichnung 55 überträgt (Y) nach P. Der Befehl (ENTB) zum Laden von B mit (Y) mit der Oktalbezeichnung 32 überträgt (Y) in das Indexregister B. Der Befehl (ENTAL) zur Eingabe von (Y) in AL, der die Oktalbezeichnung aufweist, überträgt (Y) in den unteren Akkumulator AL. Der durch das Indexregister B modifizierte indirekte Rückkehr-Sprungbefehl (IRJPB) der oktal mit 31 bezeichnet ist, überträgt (B)+l nach (Y) und (Y)+1 nach P, wobei (B) dem Operanden hinzuaddiert wird.

509884/0455

Es ist verständlich, daß bei diesen speziellen angegebenen Beispielen der Rechner 24 Befehls- und Datenworte mit 18 Bit und Indexregisterworte mit 12 Bit verwendet. In Zuordnung zu den vorstehend beschriebenen Punktionen zeigt die folgende Tabelle die speziellen Befehle, die an den speziellen Plätzen in dem Programmspeicher 52 (Fig. 2) gespeichert sind, und zwar zusammen mit der resultierenden Antwort des Rechners 24.

509884/0455

Platz	Befehl	Befehlsoperand	Rechnerantwort Punktion des Befehls
2-0662 2-40 60 2-40XY	76 4057 • · · · 55 '4057	RJP' THETLC ♦ · · IJP1THETLC	THETLC ist eine Subroutine im Platz 2-4057 gehe zum Platz 2-4057 speichere (P+l) = O663 in 4057 setze P auf Y+l = 4057+1 = 4060 Ausführung von THETLIC beginnt bei 4o6o setze P-Register auf In halt gespeichert im Platz 2-4057... <3as heißt 2-0663
2-O663	32 4^27	ΞΝΤΒ'ROLAIB	sezte B (Index)-Register auf den Wert der im Platz 2-4327 (ROLAIB) gespeichert ist
berechnet einen Längsneigungsschritt ΔΘ, der eine Punktion des Quernei gungswinkels 0, des Gewichts,V/, des Klappenausschlages S^ und ( (V/V)dt ist. * J THETLC-Subroutine beendet THETLC-Subroutine und befiehlt Rückkehr zur Adresse, die gespeichert war als Subroutine begonnen wurde.
Das Indexregister ist auf eine Zahl gesetzt, die einer Vorbereitungs- Betriebs ar tbezeichnung entspricht. Irgende ine Querne igungsbe triebswe ise s die vorbereitet wurde und die die Er füllung zusätzlicher Kriterien erwar tet, um die Einschaltung durchzufüh ren, ist einer eindeutigen Zahl zuge ordnet, die als ROLAIB bezeichnet V7ird (Platz 2-4327) .

N) CO CO

Ill 2-0664

in ο to

12 4335

ENTAL'RAPSIB

gebe in den unteren Akkumulator den Inhalt des Platzes 2-4335 (RAPSIB) ein.

RAPSIB ist ein Kennzeichen für einen ersten Durchgang... wenn es gesetzt wird fordert es eine spezielle Einleitung während· des ersten Durchganges der Subroutine» die die Erfüllung der "vorbereiteten" Kriterien überprüft. Nach Beendigung der Einleitungsaufgabe wird das Kennzeichen rückgesetzt, so daß bei darauffolgenden Durchgängen in der Subroutine zur Überprüfung der vorbereiteten Kriterien die Einleitung nicht durchgeführt v:ird.

IV 2 O665

5175

IRJPB'AROLIB

gehe zum Platz 5175+B

(ARCLIB+B)

dieser Platz enthält

eine Adresse...

rufe diese Adresse M

speichere den nächsten

Platz des F-Rcgisters

(P+l), der 2-0β66 in der

Adresse M ist.

"M" ist eine Adresse,

deren Inhalt "M-NAfIE"

ist.

Setze P auf M+l

Ausführung der "K-NAME"-

Subroutine beginnt am

Platz M+l

AROLIB ist die erste Adresse der Tabelle der Adresse der Subroutine, die die Kriterien prüfen, die den Übergang von der Vorbereitungs-Querneigungsbetriebsweise zur eingeschalteten Betriebsweise freigeben. Die in dem Indexregister B gespeicherte Indexzahl wandelt AROLIB in eine Adressentabelle Uin. B wurde vorher durch die Erkennung der speziellen Querneigungsbetriebsart, die "vorbereitet" wurde, gesetzt. Eine spezielle Adresse für jede vorbereitete Betriebsart definiert daher eine unterschiedliche Subroutine zur Überprüfung der EJnschaltkriterien.

Bezüglich der Fehler, die unterBezugnahme auf den Abschnitt I der Tabelle auftreten können, wird angenommen, daß der Befehl an der Stelle 2-0662 keine Ausführung bewirkt, d.h. die (nicht gezeigte) Rechnerbefehls-Dekodiereinrichtung betrachtet den Befehl als einen Befehl, der keinenVorgang erfordert. Dies führt dazu, daß die Subroutine TIIETLC nicht aufgerufen wird, so daß e ine Aufgabe nicht durchgeführt wird und ein Aufgabenerfüllungsbit nicht gesetzt wird.

Ein weiterer Fehler kann auftreten, wenn der Befehl im Speicherplatz 2-0662, der 764057 sein sollte, irrtümlicherweise gleich 764017 ist, weil ein einzelnes Bit an dem Speicherplatz nicht auf eine 1 gesetzt werden kann. Die l8 Bit-Ziffer 764057 (Oktal) ist in Binärform:

111110100000101111 = 764057 111110100000001111 = 764017

wobei das unterstrichene Bit das fehlerhafte Bit darstellt. Der Rechner 24 versucht dann, Befehle in der folgenden Weise auszuführen. Der Programmzähler 85 geht zum Platz 2-0662, wo er den Rückkehrsprung (RJP)-Befehl (76), jedoch eine fehlerhafte Adresse 4017 anstelle der richtigen Adresse 4057 findet. Die gewünschte Subroutine THETLC ist in dem Programmspeicher 52 (Fig. 2) gespeichert und beginnt am Platz 4057. Der Rechner führt den Rückkehrsprungbefehl (76) dadurch aus, daß er den Inhalt des Programmzählers 85 um 1 weitergeschaltet (P+l) = 2-0662 + 1 = 2-O663 an der fehlerhaften Adresse 4017 speichert. Der Programmzähler wird dann auf Y+l = 4017 + 1 = 4020 gesetzt (übliche Rechner-Oktalarithmetik). So beginnt der Rechner die Ausführung am Platz 4020, doch ist dies nicht die THETLC-Subroutine sondern eine andere Subroutine.

Das Programm ist nun "verlorengegangen" und der normale Fluß dieses Programms wurde gestört. Es bestehen zwei alternative Wege, die das Programm nehmen kann. Die fehlerhafte eingeführte

509884/0455

Subroutine kann in Vorwärtsrichtung oder Rüclcwärtsrichtung des normalen Programmflusses austreten. Wenn es in Vorwärtsrichtung von dem Aufrufplatz 2-0662 austritt, so bildet die Programmfolge eine Schleife und wird wiederholt ausgeführt, bis der Zeitsteuerzyüus entsprechend der weiter oben beschriebenen Echtzeit-Unterbrechung abläuft. Wenn die fehlerhafte Subroutine in Rückwärtsrichtung austritt, wird ein großer Teil des Programms übersprungen. In jedem Fall ergibt sich eine Anzahl von Aufgaben, die nicht erfüllt werden und die zugehörigen Aufgabenerfüllungsbits wurden nicht gesetzt.

Bei einer anderen FehlermöglichkeIt anhand des Abschnittes II der vorstehenden Tabelle sei ein Fehler in dem Indexregister B angenommen, beispielsweise die Unfähigkeit, ein Bit in dem Register B rückzusetzen. So ist das Indexregister B mit der Größe ROLAIB gesetzt, das der Inhalt des Platzes 4^27 ist. Es sei angenommen, daß ROLAIB (oder der Inhalt des Platzes 4j527) 0 ist, daß jedoch eines der Bits des Indexregisters B im binären EINS-Zustand festhängt. Daher liefert das Indexregister statt einer 12 Bitzahl, die gleich:

000 000 000 000

die Zahl 100 000 .000 000 = 4000 Oktal.

Wie es aus dem Abschnitt IV der vorstehenden Tabelle zu erkennen ist, wird der in das B-Register eingesetzte Wert dazu verwendet, die Adresse einer Subroutine zu finden. In diesem Abschnitt IV der Tabelle wird das Programm zum Platz 5175+B (tatsächlich 2-5175* was den Platz 5175 in der Speichergruppe bedeutet) gelenkt. Wenn (B) in richtiger Weise gleich 0 wäre, so würde die Steuerung auf den Platz 2-5175 übergegangen sein, um die Adresse M zu finden. Auf Grund des fehlerhaften Wertes InB geht die Steuerung auf 2-5175+4000 = 31175 (Oktal) über. An diesem fehlerhaften Platz Jl175 versucht das Programm fehlerhafterweise die Adresse JK zu lesen. Der Befehl speichert die

509884/0455

nächste Zählung des P-Zählers 85 (P+l) an dieser fehlerhaften Adresse M (Inhalt von 31175). Das Programm setzt dann den P-Zähler 85 auf M+l. Daher beginnt die Ausführung an der fehlerhaften M+1-Adresse.

Ein Fehler dieser Art kann die Programmausführung auf irgendeinen Platz des Speichers innerhalb der Adressiermöglichkeiten des P-Zählers 85 überführen. Bei einer tatsächlichen Ausführung des vorstehend beschriebenen bevorzugten Ausführungsbeispiels der Erfindung wurde die Auswirkung dieses beschriebenen speziellen Fehlers durch das Programmverfolgt, das tatsächlich die Programmsteuerung auf den Platz 31175 lenkte. Dieser fehlerhafte Platz wurde tatsächlich zxr Speicherung einer Steuervariablen verwendet. Daher war die Adresse M der Wert dieser Variablen. V/eil in der speziellen auftretenden Situation diese Variable üblicherweise in der Nähe von 0 lag und unter der Annahme, daß zum Zeitpunkt des Fehlers M = 0 war, würde der Platz 00000 den Inhalt 20666 aufweisen, während der Platz 00001 den Inhalt 300505 aufweisen würde, wobei die am Platz 00001 beginnende Ausführung das Programm in eine Fehlerroutine überführen würde. Dies erfolgt, weil bei dem speziellen verwendeten Rechner die niedrigen Speicheradressen indirekte Rückkehrsprünge auf Systemfehlerroutinen enthalten, die ihrerseits die Maschine stoppen. Daher war die Routine in 0505 von dieser Art und die Maschine würde in eine Fehlerroutine eingetreten sein, was einen Fehler anzeigt, worauf die Maschine gestoppt würde. In dem beschriebenen speziellen Ausführungsbeispiel enthalten nicht benutzte Speicherplätze Nullen, die als Fehlerkodes verwendet werden, die indirekt dasselbe Ergebnis hervorrufen (d.h. eine fehlerhafte Unterbrechung bewirkt einen Übergang auf eine Systemfehler-Routine). Wenn das Ausführungsprogramm auf einen aktiven Bereich des Programmspeichers überführt werden würde, so würden die Fehlerbetriebsweise-Vorgänge auftreten, wie dies weiter oben in dem Beispiel anhand eines Speieherbit-Fehlers beschrieben wurde.

Bezüglich der Fehleransprecheigenschaften des Rechners 24 auf einen Indexregisterfehler in der vorstehend beschriebenen Weise

509884/0455

würde das Programm "verlorengehen" wenn ein arithmetischer Befehl falsch sein sollte. Beispielsweise könnte der vorstehend anhand des Indexregisters beschriebene Fehler aufgetreten sein, wenn der ADD-Befehl nicht richtig arbeiten würde. Der durch B modifizierte indirekte Rückkehrsprungbefehl (IETPB) nach Abschnitt IV der vorstehenden Tabelle wird unter Verwendung der Recheneinheit 5^-j der ADD-Einrichtung und der zugehörigen Routine ausgeführt, um den Inhalt des B-Indexregisters 86 (Fig. 2) zur Adresse hinzuzuaddieren, die von dem indirekten Rückkehrsprungbefehl angefordert wird. So sollte im Abschnitt IV der vorstehenden Tabelle der Rechner 24 die folgende Addition durchführen: 2-S175+B. Wenn die Addition nicht in rictiiger Weise durchgeführt wird, so vrird das Programm in der vorstehend beschriebenen V/eise zu einer fehlerhaften Adresse gelenkt wenn der Inhalt des Indexregisters B falsch sein würde. Das Programm wird daher(auf eine von drei Bereichen gelenkt. Das Programm kann in einen Bereich an einen tieferen Platz als seinem Ausgangsplatz eintreten, so daß das Programm eine Schleife bildet und ".festhängt" und dieser Fehler vrird schließlich bei der nächsten auftretenden Echtzeit-Unterbrechung und bei der Überprüfung der Aufgabenerfüllungsbits in der vorstehend beschriebenen Weise festgestellt. Alternativ term das Programm in einen Bereich an einem höheren Platz als seinem Ausgan^splatz eintreten und es überspringt daher Programmsegmente, die die Aufgabenerfüllun-sbits setzen, so daß der Aufgabenerfüllungs-Test den Fehler feststellt. Das Programm kann weiterhin in einen Bereich eintreten, an dem es in fehlerhafte Routinen überführt wird, die den Rechner stoppen und einen Fehler anzeigen, wie dies vielter oben beschrieben wurde.

Aus dem Vorstehenden ist zu erkennen, daß ein vollständig überwachtes automatisches Flugsteuersystem unter Verwendung eines einzigen Digitalrechners und geeigneter Interface-Meßfühler und Elektroniken in jedem der beiden Kanäle des Systems erzielt wird. Auf Grund der neuartigen beschriebenen Schaltungs- und Programm-

509884/0455

überwachungstechniken ist eine lOO^ige Fehlererkennungsmöglichkeit sichergestellt, auf die ein sicheres Absehalten eines ausgefallenen Kanals folgt. Zwei derartige Kanäle, die gleichzeitig arbeiten, ergeben eine Fehlerbetriebsmöglichkeit, d.h. eine Möglichkeit bei Ausfall eines Kanals einen vollen Betrieb aufrechtzuerhalten, während lediglich ein derartiger Kanal bei Betätigung des automatischen Plugsteuersystems "Fehlerausfalls"-Betriebseigenschaften, d.h. also Betriebseigenschaften mit Peststellung eines Fehlers ergibt. Auf Grund der beschriebenen Schaltungs- und Programmtechniken ist sichergestellt, daß kein Fehler oder eine Geräteanomalie übersehen wird, und zwar unter Einschluß irgendeiner fehlerhaften Funktion in der Fähigkeit des Rechners, Befehle auszuführen. Die Fehlererkennungsfähigkeiten des vorstehend beschriebenen Systems wirken sich bis auf ein einziges fehlerhaftes Bit in einem gespeicherten Programm von Tausenden von V/orten aus. Der vorstehend beschriebene Aufbau des Programms ist derart, daß Fehler irgendeiner Art in dem Befehlsvorrat des Digitalrechners eine unrichtige Verzweigung des Programmablaufs bewirken. Wenn der Programmablauf nicht in der festgelegten Weise fortschreitet, so wird dies sowohl durch das Rechnerprogramm festgestellt, das das B'ehlen einer richtigen Folge .von Aufgabenerfüllungsindizes feststellt, sowie durch eine äußere Sehaltungsüberwachungseinrichtung, die einen Fehler in einem dynamischen Signalschema feststellt, das nur dann richtig ist, wenn der Rechner seine festgelegten Aufgaben in richtiger Weise durchführt. Zusätzlich zu diesen Überwachungstechniken wird eine Rechnerredundanz in dem gespeicherten Programm verwendet, um Fehler in einzelnen Bits des Datenspeicherteils des Rechnerspeichers festzustellen. So wird der kontinuierlich erneuerte Wert eines gemessenen Steuerparameters an zwei Speicherplätzen gespeichert und die Steuergesetz-Berechnungen unter Verwendung dieses Meßfühlerausganges werden zweimal berechnet und die Ergebnisse verglichen, um die Unversehrtheit des Datenflusses und der Speicherung zu bestätigen. Es sind jedoch keine Vergleichsüberwachungseinrichtungen zwischen den

509884/0455

Rechnern der beiden Kanäle erforderlich, wie sie bei üblichen Fehlerausfällsystemen verwendet werden, weil lediglich ein Rechner benötigt wird, um die gewünschte Überwachungsfähigkeit zur Peststellung irgendeines Gerätefehlers zu erzielen.

Das vorstehend beschriebene System stellt den ausgefallenen Kanal im Fall eines Rechnerfehlers fest und s.chaltet diesen ab. Zwei grundlegende Arten von Ausfällen dss Rechners sind möglich, d.h. die Maschine kann einen Teil oder ihren gesamten Informationsinhalt verlieren. Wenn der Rechner seinen gesamten Informationsinhalt verliert, ist er nicht mehr in der Lage, ein Gültigkeitsschema-Signal zu erzeugen, so daß dieser Zustand von außen festgestellt wird und das System abgeschaltet vrird. Wenn der Rechner nur einen teilweisen Informationsinhaltsverlust erleidet, kann dieser Verlust intern von dem Rechner selbst festgestellt werden. So behält auf Grund des oben beschriebenen Aufbaus des Programmsystems der Rechner die Fähigkeit, einen Teilverlust seines Informationsinhaltes festzustellen. Es gibt allgemein zwei Gründe für einen teilweisen Verlust des Informationsinhaltes des Rechners. Die zentrale Verarbeitungseinheit kann ausfallen, wodurch bewirkt wird, daß ein spezieller Befehl oder eine Klasse von Befehlen in falscher V/eise arbeitet. Ein Speicheroder Speicheradressierfehler kann bewirken, daß ein spezieller Speicherplatz oder eine Klasse von Speicherplätzen flasche Daten oder Befehle enthält. Zusammenfassend und, wie dies weiter oben beschrieben wurde, werden die folgenden Techniken verwendet, um einen teilweisen Verlust des Informationsinhaltes und der Verarbeitungsfähigkeit festzustellen:

1. Kritische Berechnungen werden doppelt durchgeführt, so daß sich ein ±m wesentlichen perfektes Speicherprtifsystem ergibt. Diese Technik wird in der Hauptsache dazu verwendet, alle zugehörigen speziellen Speicherfehler oder andere Berechnungsanomalien festzustellen.

509884/0455

2. Eine Aufgabenlisten-Überprüfung wird verwendet, um sicherzustellen, daß das Programm wie vorgeschrieber abläuft, d.h. es wird überprüft, daß der Hauptprogrammablauf einer festgelegten Weise befolgt wird.

3. Die vorstehend beschriebene neuartige Programmierte chnik wird verwendet, die die korrekten Ergebnisse erzielen muß, damit der Programmablauf in richtiger Weise fortgesetzt wird. Durch Verwendung dieser Technik kann sichergestellt werden, daß jeder von dem Programm verwendete Befehl in allgemeinem Sinn richtig ausgeführt wird. Diese Programmiertechnik erzwingt die Feststellung von unnormalen Bedingungen auf Grund der Verwendung der Technik, die vorstehend unter Punkt 2 beschrieben wirde. Diese Programmiertechnik ist dadurch gekennzeichnet, daß es dazu führt, daß das Programm "verlorengeht". Wenn dies passiert, kann der Rechner versuchen, Programme auszuführen, wo keine Speicher vorhanden sind, so daß der Rechner nicht mehr richtig arbeiten kann. Allgemein besteht diese Technik des "Verlorengehens" darin, daß sich das Programm verzweigt wenn es sich nicht verzweigen sollte und daß es nicht verzweigt, wenn es sich verzweigen sollte, oder daß es auf eine nicht festgelegte Adresse abzweigt. Diese Technik kann weiterhin so charakterisiert werden, daß sie das Programm zwingt, nur dann den richtigen Programmablauf zu verfolgen, wenn alle Befehle richtig arbeiten. Durch Verwendung dieser neuartigen Programmiertechnik in Kombination mit dem Aufgabenlisten-Prüfverfahren, das im Funkt 2 diskutiert wurde, überprüft das Programm die richtige Ausführung des Rechnerbefehlsvorrates und die verschiedenen Rechnerschaltungselemente, wie z.B. die Rechenbefehle, die Eingabebefehle, die Speicherbefehle, die bedingten und unbedingten Übertragungsbefehle, die logischen Befehle, die Schiebebefehle, die Registerübertragungsbefehle

509884/045$

und die für die Programmierung zugänglichen Register.

4. Eine Prüfsumme wird an allen Konstanten durchgeführt, die von den Berechnungen verwendet v/erden, die auf einer Zinlcanalbasis durchgeführt werden. Diese Technik weist eine extrem hohe Wahrscheinlichkeit der Feststellung von Speicherausfällen auf, die den Einkanal-Xonstanten zugeordnet sind.

5. Das Programm ist in dem Sechnerspeicher in doppelten Cpeichergruppen in der vorstehend "beschriebenen Weise organisiert, so daß Speicheradressierfehler leicht feststellbar sind. Diese Technik stellt in Verbindung mit den vorstehend beschriebenen Techniken sicher, daß alle venerischen Epeicheradressierfehler festgestellt werden.

Die vorstehend beschriebene neuartige Programmiertechnik zur Ausführung des Rechnerbefehlsvorrates und der Verwendung der Befehle zur Manipulation von Verzweigungsadressen derart, daß wenn ein Befehl fehlerhaft sein sollte, der Programmablauf einen unnormalen Weg verfolgt und das festgelegte Programm nicht vervollständigen kann, steht im Gegensatz zu der Programmierphilosophie, die in der bekannten Technik verwendet wird, bei der fehlertolerierende Rechner bekannt sind, bei denen die Programmierung so ausgelegt ist, daß wenn ein Fehler auftritt, eine Verzweigung in alternative Wege erfolgt, um das Programm zu beenden. Beim Araneldimgsgegenstand ist das Programm so aufgebaut, daß wenn ein derartiger Fehler auftriitt, das Programm "verlorengeht¹*, so daß der Fehler feststellbar ist xmd geeignete Abschaltverfahren durchgeführt werden können.

festgestellt Auf diese Weise kann zusamme nge faß ti werden, daß zum ersten Mal

ein mit Fehlerbetriebsweise arbeitendes automatisches Doppel-

S09884/045S

Kanal-Plugsteuersystem geschaffen wurde, das einen einzigen Digitalrechner in jedem Kanal verwendet und das in modernen Luftfahrzeugen verwendbar ist.

Patentansprüche:

509884/0455

Claims (1)

1. Automatisches ^lugsteuersystem für ein Luftfahrzeug mit aerodynamischen steuerflächen und zugehörigen oervoeinrichtungen, die mit den Steuerflächen gekoppelt sind, um diese einzustellen, und mit Meßfühlereinrichtungen zur Lieferung von Heßfühlersignalen entsprechend den Flugbedingungen, denen das Luftfahrzeug unterworfen ist, dadurch gekennzeichnet, daß das System einen Digitalrechner (24) mit Rechnereingangseinrichtungen (51) j die auf die Meßfühlersignale ansprechen, Programmspeichereinrichtungen (52), einen in dem Plugsteuersystem wirksamen Befehlsvorrat und Rechnerausgangseinrichtungen (51) umfaßt, die mit den Servoeinrichtungen (34) zur Zuführung von Steuerflächenbefehlssignalen an diese verbindbar sind, daß der Rechner (24) ein Programm (F.ig. 3» ^> 5) aufweist, das in den Programmspeichereinrichtungen gespeichert ist und eine Anzahl von ersten Programmsegmenten (Aufgabenblöcken) aufweist, die für eine aufeinanderfolgende Ausführung durch den Rechner aufgebaut sind, um den Rechner derart zu steuern, daß die Meßfühlersignale durch aufeinanderfolgendes Durchführen einer Vielzahl von Aufgaben verarbeitet werden, um die Steuerflächen-Befehlssignale an die Rechnerausgangseinrichtungen zu liefern, daß das Programm weiterhin eine Vielzahl von zweiten Programmsegmenten (Aufgabenerfüllungsbit-Setzblöcke) aufweist, die jeweils den ersten Programmsegmenten zugeordnet sind, um Aufgabenerfüllungsindizes in dem Rechner in einen Setzzustand entsprechend der Durchführung der Aufgaben zu setzen, daß das Programm ein drittes Programmsegment (93* 98) zur Überprüfung der Indizes auf den Setzzustand aufweist, wodurch die Indizes auf eine Erfüllung der Aufgaben überprüft werden, daß das Programm alle Befehle des Vorrates in zumindest einem der ersten, zweiten und dritten Programmseg-

   509884/0455

   mente in einer Weise verwendet, daß zumindest eines der Indizes ungesetzt bleibt, wenn ein Befehl nicht richtig arbeitet, daß das Programm weiterhin ein Fehlerprogrammsegment (102, 103) einschließt, in das eine Eingabe von dem dritten Programmsegment erfolgt, wenn einer der Indizes ungesetzt bleibt, daß das Fehlerprogrammsegment Befehle (103) zum Stoppen der Ausführung des Programms einschließt, daß ein viertes Programmsegment (200 bis 203) vorgesehen ist, um ein genau definiertes sich dynamisch änderndes GUltigkeitsschema durch Steuerung eines Gültigkeitsschema-Signals an den Rechnerausgangseinrichtungen zu erzeugen das einen Pegel während einer Ausführung des Programms und einen unterschiedlichen Pegel während einer darauffolgenden Ausführung des Programms zeigt, daß das System weiterhin Einrichtungen (60, 64) zur Steuerung einer wiederholten Ausführung des Programms und einen Gültigkeitsschema-Detektor (43) einschließt, der mit den Rechnerausgangseinrichtungen (51) gekoppelt ist, um das Gültigkeitsschema-Signal zu empfangen und um festzustellen, ob das Gültigkeitsschema-Signal in einem Zustand ist, der von dem genau definierter, Zustand während eines Zeitintervalls abweicht, in dem die wiederholten Ausführungen des Programms normalerweise das genau definierte sich dynamisch ändernde Gültigkeitsschema-Signal liefern und um ein Fehlersignal entsprechend hierzu zu liefern.

   2. Flugsteuersystem nach Anspruch 1 mit zwei Kanälen, dadurch gekennzeichnet, daß jeder Kanal Meßfühlereinrichtungen (10, 11) zur Lieferung von Meßfühlersignalen entsprechend der Flugbedingungen des Luftfahrzeuges aufweist.

   3. Flugsteuersystem nach Anspruch 1 oder 2, dadurch g e k e η η zeichnet, daß die Programmsegmente als Ausführungsprogramm mit Programm-Subroutinen und Verbindungsbefehlen aufgebaut sind, die die Übertragung bzw. Übergänge zwischen

   50988 4/0455

   dem Ausführungsprogramm und den Subroutinen steuern und daß die zugehörigen Übertragungsadressen unter Verwendung der Befehle des Befehlsvorrats verwendet werden, um zu bewirken, daß das Programm einen unnormalen Weg bei Ausfall eines der auf diese V/eise verwendeten Befehle verfolgt, so daß zumindet einer der Indizes ungesetzt bleibt.

   Flugsteuersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Befehlsvorrat einen Befehl zum Warten auf eine Unterbrechung einschließt und daß die Einrichtungen (βθ, 64) zur Steuerung wiederholter Ausführungen des Programms Echtzeit-Taktsteuereinrichtungen und ein Programmsegment (127) in dem Programm einschließen, das auf die Echtzeit-Taktsteuereinrichtungen anspricht, um den Rechner derart zu steuern, daß er auf eine Echtzeit-Unterbrechung wartet.

   Flugsteuersystem nach einem der vorhergehenden Ansprüche, dadurch gekennze ichne t, daß die Programmspeichereinrichtung Doppel-Programmspeichergruppen umfaßt, daß die Vielzahl von ersten Programmsegmenten (Aufgabenblöcken) in einer der Programmspeichergruppen gespeichert ist und daß eine Vielzahl von zu den ersten Programmsegmenten identischen Programmsegmenten in der anderen Prograramspeichergruppe gespeichert ist, so daß eine Berechnungsredundanz erzielt wird, um die richtige Betriebsweise der Programmspeichereinrichtungen zu testen.

   Flugsteuersystem nach Anspruch 5, dadurch gekennzeichnet, daß der Rechner (24) weiterhin doppelte Datenspeichergruppen zur Speicherung identischer Sätze von Meßfühlersignalen zur Verarbeitung dieser Signale durch die ersten Programmsegmente (Aufgabenblocke) bzw. die identischen Prograssnsegsiente einschließt, so daß eine Datenspeicherredundanz zur Überprüfung der richtigen Betriebsweise der Datenspeichergruppen erzielt wird.

   509884/0455

   7. Flugsteuersystem nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß der Rechner (24) Lese-/Schreibschaltungseinrichtungen einschließt, die den Programmspeichereinrichtungen zugeordnet sind, wobei die ersten Programmsegmente und die identischen Programmsegmente jeweils in den doppelten Programmspeichergruppen in versetzter Weise bezüglich der Adressenplätze zueinander gespeichert sind, so daß die richtige Betriebsweise der Lese-/Sehreibschaltungseinrie'htungen überprüfbar ist.

   8. Flugsteuersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichne t, daß der Rechner (24) eine Rechner-Eingangs-ZAusgangs-Steuereinheit (51) einschließt, die die Rechnereingangseinrichtungen und die Rechnerausgangseinrichtungen einschließt, um Steuersignale an Rechnereingangsund Ausgangskopplungseinrichtungen {1J>, 16, 17j 26, 32) zu liefern.

   9. Flugsteuersystem nach Anspruch 8, dadurch gekennzeichnet, daß die Rechnereingangs-Kopplungseinrichtungen Eingangsmultiplexer (1J>, 17), die zum Empfang der Meßfühlersignale von den MeßfUhlereinrichtungen (10, 11) angeschaltet sind und die zum Empfang der Steuersignale von der Eingangs-/Ausgangs-Steuereinheit (51) angeschaltet sind und einen Multiplexerausgang aufweisen, um selektiv die Meßfühlersignale dem Kultiplexerausgang entsprechend den Steuersigna1enzuzuführen, und Analog-/Digitalkonvertereinrichtungen (ΐβ) umfassen, die mit dem Multiplexerausgang verbunden sind, um die selektiv zugeführten Meßfühlersignale in Digitalform zur Zuführung an die Rechnereingangseinrichtungen umzuwandeln.

   10. Flugsteuersystem nach Anspruch 9, dadurch gekennzeichnet, daß die Rechnerausgangskopplungseinrichtungen mit den Rechnerausgangseinrichtungen gekoppelte MuI-tiplexereinrichtungen (26), die zum Empfang der Steuersig-

   509884/0455

   nale von der Singangs-/Ausgangseinheit (51) angeschaltet sind und eine Vielzahl von Multiplexerausgängen zur selektiven Ankopplung der Rechnerausgangseinrichtungen an die Anzahl von Multiplexerausgängen entsprechend den 3teuersignalen aufweisen und eine Anzahl von Digital-/Analogkonvertereinrichtungen (;52) umfassen, die mit der Anzahl von Multiplexerausgängen jeweils zur Umwandlung der Steuerflächen-Befehlssignale von den Rechnerausgangseinrichtungen vom Digitalformat in Analogforrnat gekoppelt sind, um diese an die Steuerflächenservoeinrichtungen (24) zu leiten.

   11. Plugsteuersystem nach Anspruch 10, gekennzeichnet durch Einrichtungen (²H), die die Digital-/Analog-Konvertereinrichtungen (^2) mit den Eingangsmultiplexereinrichtungen (17) koppeln, um die Steuerflächen-Befehlssignale in Analogformat diesen Multiplexereinrichtungen zur SndrückfUhrungsüberprüfung der richtigen Betriebsweise der Digital-/Analogkonvertereinrichtungen zuzuführen.

   12. Flugsteuersystem nach Anspruch β oder 7.» dadurch g e ic e η η ze i chne t , daß die Aufgabenerfüllungsindizes jeweils die Bits eines in dem Datenspeicher gespeicherten Wortes umfassen,

   15. Flugsteuersystem nach einem der vorhergehenden Ansprüche, dadurch gekennze ichne t, daJ der unterschiedliche Zustand des Gültigkeitsschema-Signals das Verbleiben in einem statischen Zustand umfaßt.

   14. Flugsteuersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der unterschiedliche Zustand des Gültigkeitsschema-Signals das Ansprechen in einem unrichtigen dynamischen Zustand umfaßt.

   509884/0455