FR3137470A1 - Aircraft flight control system. - Google Patents
Aircraft flight control system. Download PDFInfo
- Publication number
- FR3137470A1 FR3137470A1 FR2206776A FR2206776A FR3137470A1 FR 3137470 A1 FR3137470 A1 FR 3137470A1 FR 2206776 A FR2206776 A FR 2206776A FR 2206776 A FR2206776 A FR 2206776A FR 3137470 A1 FR3137470 A1 FR 3137470A1
- Authority
- FR
- France
- Prior art keywords
- unit
- software
- data
- input
- partitions
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- RZVHIXYEVGDQDX-UHFFFAOYSA-N 9,10-anthraquinone Chemical compound C1=CC=C2C(=O)C3=CC=CC=C3C(=O)C2=C1 RZVHIXYEVGDQDX-UHFFFAOYSA-N 0.000 title claims abstract description 11
- 230000001360 synchronised effect Effects 0.000 claims abstract description 30
- 238000005192 partition Methods 0.000 description 11
- 238000012544 monitoring process Methods 0.000 description 6
- 238000001514 detection method Methods 0.000 description 2
- 206010000117 Abnormal behaviour Diseases 0.000 description 1
- 238000013479 data entry Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B19/00—Programme-control systems
- G05B19/02—Programme-control systems electric
- G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
- G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
- G05B19/0428—Safety, monitoring
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/46—Multiprogramming arrangements
- G06F9/50—Allocation of resources, e.g. of the central processing unit [CPU]
- G06F9/5061—Partitioning or combining of resources
- G06F9/5077—Logical partitioning of resources; Management or configuration of virtualized resources
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Quality & Reliability (AREA)
- Automation & Control Theory (AREA)
- Control Of Position, Course, Altitude, Or Attitude Of Moving Bodies (AREA)
- Aiming, Guidance, Guns With A Light Source, Armor, Camouflage, And Targets (AREA)
Abstract
Système de commande de vol d’un aéronef comprenant un ensemble d’actionneurs de contrôle d’aéronef et un ensemble de calculateurs de commande de vol prévus pour commander les actionneurs de l’ensemble d’actionneurs, chaque calculateur est de type duplex, comprenant une première et deuxième unités de calculs configurées pour mettre en œuvre des partitions logicielles à partir de données d’entrées, caractérisé en ce qu’au moins une donnée d’entrée synchronisée est acquise par une partition logicielle de la première unité de calcul puis transmise à une partition logicielle de la deuxième unité de calcul, les partitions logicielle de la première unité de calcul de la deuxième unité de calcul étant couplées Fig.2Flight control system of an aircraft comprising a set of aircraft control actuators and a set of flight control computers intended to control the actuators of the set of actuators, each computer is of the duplex type, comprising a first and second calculation units configured to implement software partitions from input data, characterized in that at least one synchronized input data is acquired by a software partition of the first calculation unit then transmitted to a software partition of the second calculation unit, the software partitions of the first calculation unit of the second calculation unit being coupled Fig.2
Description
L’invention est relative à un système de commande de vol d’un aéronef, prévu pour contrôler notamment des gouvernes de l’aéronef.The invention relates to a flight control system for an aircraft, designed to control in particular the control surfaces of the aircraft.
Les aéronefs modernes, en particulier les avions de transport, comportent un ensemble de calculateurs de commande de vol qui calculent des ordres de contrôle d’actionneurs de gouvernes de l’aéronef. Ces gouvernes sont par exemple des volets ou des ailerons situés au niveau des ailes de l’aéronef, des gouvernes de profondeur situées par exemple sur un plan horizontal à l’arrière de l’aéronef, une gouverne de direction située sur la dérive, etc. Les calculateurs de commande de vol sont dissimilaires et redondants de telle façon que le système de commande de vol soit robuste à des pannes susceptibles d’affecter certains calculateurs.Modern aircraft, in particular transport aircraft, include a set of flight control computers which calculate control orders for the aircraft's control surface actuators. These control surfaces are for example flaps or ailerons located at the level of the wings of the aircraft, elevators located for example on a horizontal plane at the rear of the aircraft, a direction rudder located on the fin, etc. . The flight control computers are dissimilar and redundant so that the flight control system is robust to failures likely to affect certain computers.
De plus, généralement, une partie des calculateurs sont utilisés en mode commande (COM) et les autres calculateurs sont utilisés en mode moniteur (MON), un calculateur en mode moniteur surveillant le fonctionnement d’un calculateur en mode commande. Les calculateurs sont ainsi répartis selon des couples COM/MON. A l’intérieur d’un couple COM/MON, lorsque le module MON détecte une défaillance du module COM, le module MON désactive le calculateur correspondant à ce couple COM/MON et un autre calculateur est activé à sa place.In addition, generally, part of the computers are used in command mode (COM) and the other computers are used in monitor mode (MON), a computer in monitor mode monitoring the operation of a computer in command mode. The computers are thus distributed according to COM/MON pairs. Within a COM/MON pair, when the MON module detects a failure of the COM module, the MON module deactivates the computer corresponding to this COM/MON pair and another computer is activated in its place.
Ainsi, chacun des calculateurs est de type duplex, c’est-à-dire qu’il comprend deux modules similaires, appelés unité A et unité B, configurés pour contrôler des actionneurs selon un haut niveau d’intégrité. Chaque unité mets en œuvre des partitions logicielles d’un même logiciel. L’unité agissant en mode moniteur surveille l’unité agissant en mode commande de façon à détecter une éventuelle défaillance du couple d’unité A et B.Thus, each of the computers is duplex, that is to say it includes two similar modules, called unit A and unit B, configured to control actuators with a high level of integrity. Each unit implements software partitions of the same software. The unit operating in monitor mode monitors the unit operating in command mode so as to detect a possible failure of the unit pair A and B.
Au sein d'une unité, deux partitions logicielles couplées sont séparées dans l’unité A et l’unité B pour que toute erreur d'une partition ne puisse pas être répercutée sur l'autre, garantissant des opérations de haute intégrité.Within a unit, two coupled software partitions are separated into Unit A and Unit B so that any errors in one partition cannot be passed on to the other, ensuring high integrity operations.
Les partitions logicielles de l’unité A sont liées avec celles de l’unité B.The software partitions of unit A are linked with those of unit B.
La
Des sources redondantes sont utilisées pour faire face aux objectifs de sécurité et s'assurer que tout comportement anormal d'une entrée est détecté, passivé et isolé,There
Redundant sources are used to meet security objectives and ensure that any abnormal behavior of an input is detected, passivated and isolated,
Les sorties, les résultats des calculs de la partition logicielle P1(A), sont relues par la partition logicielle P1(B). Toute divergence confirmée par l'une ou l'autre des partitions conduit les deux partitions jumelées à arrêter et à transférer leurs opérations à une autre paire sur un autre calculateur.The outputs, the results of the calculations of the software partition P1(A), are read back by the software partition P1(B). Any discrepancy confirmed by either partition causes the two paired partitions to stop and transfer their operations to another pair on another computer.
Toute unité du calculateur planifie à l'infini une trame principale (MAF), « major frame » en anglais. Une trame principale (MAF) est composée de plusieurs trames mineures (MIF), « minor frame » en anglais. Chaque trame mineure (MIF) planifie une séquence de partitions de logiciels configurée de manière statique. Chaque trame mineure (MIF) est couplée à une trame mineure (MIF) dans l'unité opposée du même calculateur. Les trames mineures couplées peuvent être décalés d'une durée variable mais limitée.Each unit of the computer plans a major frame (MAF) to infinity. A main frame (MAF) is made up of several minor frames (MIF). Each minor frame (MIF) schedules a statically configured sequence of software partitions. Each minor frame (MIF) is coupled to a minor frame (MIF) in the opposite unit of the same computer. The coupled minor frames can be shifted by a variable but limited duration.
L’unité A et l'unité B sont synchronisées de manière à lancer les partitions P1(A) et P1(B) de manière synchronisée. Le démarrage d’une trame mineure (MAF) pour des partitions couplées (au démarrage de la plate-forme et au redémarrage de la partition) est synchronisé.Unit A and Unit B are synchronized to launch partitions P1(A) and P1(B) synchronously. The start of a minor frame (MAF) for coupled partitions (at platform startup and partition restart) is synchronized.
Le formalisme imposé par des calculateurs de type duplex permet de programmer tout ou partie des partitions de logiciel dans le même sous-cycle.The formalism imposed by duplex type calculators makes it possible to program all or part of the software partitions in the same sub-cycle.
Chaque unité A et B comporte sa propre horloge. Bien que basé sur les même données, l'asynchronisme entre les voies créé des calculs asynchrones, dont les résultats sont différents. Il devient donc difficile et/ou impossible d'effectuer des surveillances de grandes précisions, et les commandes de vol ne peuvent donc pas faire de calcul en temps et complexité très restreint.Each unit A and B has its own clock. Although based on the same data, the asynchronism between the channels creates asynchronous calculations, the results of which are different. It therefore becomes difficult and/or impossible to carry out high-precision monitoring, and the flight controls cannot therefore carry out calculations in very limited time and complexity.
Aujourd’hui, chacune des unités A et B a besoin des données d’entrées nécessaires à la partition logicielle P1(A) ainsi que celles nécessaires à la partition logicielle P1(B) afin de pouvoir effectuer sa fonction de surveillance envers l’autre unité. L’intégralité des données doit donc être acquise une première fois par l’unité A et une deuxième fois par l’unité B.Today, each of the units A and B needs the input data necessary for the software partition P1(A) as well as those necessary for the software partition P1(B) in order to be able to perform its monitoring function towards the other unit. All of the data must therefore be acquired a first time by unit A and a second time by unit B.
L’invention permet de palier à cet inconvénient. Elle concerne un système de commande de vol d’un aéronef comprenant un ensemble d’actionneurs de contrôle d’aéronef et un ensemble de calculateurs de commande de vol prévus pour commander les actionneurs de l’ensemble d’actionneurs, chaque calculateur est de type duplex, comprenant une première et deuxième unités de calculs configurées pour mettre en œuvre des partitions logicielles à partir de données d’entrées, caractérisé en ce qu’au moins une donnée d’entrée synchronisée est acquise par une partition logicielle de la première unité de calcul puis transmise à une partition logicielle de la deuxième unité de calcul, les partitions logicielle de la première unité de calcul de la deuxième unité de calcul étant couplées.The invention makes it possible to overcome this drawback. It relates to a flight control system of an aircraft comprising a set of aircraft control actuators and a set of flight control computers intended to control the actuators of the set of actuators, each computer is of type duplex, comprising a first and second calculation units configured to implement software partitions from input data, characterized in that at least one synchronized input data is acquired by a software partition of the first processing unit calculation then transmitted to a software partition of the second calculation unit, the software partitions of the first calculation unit of the second calculation unit being coupled.
L’invention permet ainsi d’une réduction du nombre d'acquisitions sur un calculateur comportant une unité A et une unité B. Les performances des calculs sont augmentées, permettant par exemple des calculs pour le vol autonome et/ou lois de pilotage hautement performantes. L’invention permet aussi une réduction des erreurs et/ou événements en service.The invention thus allows a reduction in the number of acquisitions on a computer comprising a unit A and a unit B. The performance of the calculations is increased, allowing for example calculations for autonomous flight and/or highly efficient control laws. . The invention also allows a reduction in errors and/or events in service.
L’invention sera mieux comprise à la lecture de la description qui suit et à l’examen des figures annexées.The invention will be better understood on reading the following description and examining the appended figures.
Un calculateur selon l’invention comporte deux unités A et B configurées pour mettre en œuvre des partitions de logiciel P1(A) par l’unité A et des partitions logiciel P1(B) par l’unité B, les partitions logicielles P1(A) et P1(B) étant couplées.A calculator according to the invention comprises two units A and B configured to implement software partitions P1(A) by unit A and software partitions P1(B) by unit B, the software partitions P1(A ) and P1(B) being coupled.
L’acquisition des données d‘entrées (Input 1, Input 2, Input 3) se fait par une seule des deux unités puis est transférée à son unité opposée. Par exemple l’acquisition des données peut se faire par l’unité A puis transférée à l’unité B ou inversement.The acquisition of input data (Input 1, Input 2, Input 3) is done by only one of the two units then is transferred to its opposite unit. For example, data acquisition can be done by unit A then transferred to unit B or vice versa.
Selon un mode de réalisation représenté sur la
Ainsi au moins une donnée acquise par l’unité A est transférée à l’unité B.Thus at least one piece of data acquired by unit A is transferred to unit B.
Les données sont sélectionnées et surveillées par un module de sélection et de surveillance.The data is selected and monitored by a selection and monitoring module.
L’unité A effectue les calculs liés à la partition de logiciel P1(A) à partir des premières et deuxièmes données d’entrées (Input 1 et Input 3).Unit A performs calculations related to software partition P1(A) from the first and second input data (Input 1 and Input 3).
L’unité B effectue les calculs liés à la partition de logiciel P1(B) à partir des premières et troisièmes données d’entrées (Input 2 et Input 3).Unit B performs calculations linked to software partition P1(B) from the first and third input data (Input 2 and Input 3).
Une fois les calculs effectués, un module de contrôle s’assure de la cohérence résultats et approuve ou rejette les données de sorties (Output 1, Output 2) respectives des unités A et B.Once the calculations have been carried out, a control module ensures the consistency of the results and approves or rejects the output data (Output 1, Output 2) respectively from units A and B.
La partition logicielle P1(A) de l’unité A et la partition logicielle P1(B) de l’unité B doivent être préalablement couplées et identifiées comme pouvant être synchrones, c’est-à-dire qu’un échange de données d’entrées est possible.The software partition P1(A) of unit A and the software partition P1(B) of unit B must be previously coupled and identified as capable of being synchronous, that is to say that an exchange of data Entries are possible.
Chaque partition logicielle est identifiée comme étant couplée ou non couplée avec une deuxième partition de logiciel par un identifiant de synchronisation (SYNC/ NON SYNC).Each software partition is identified as being paired or unpaired with a second software partition by a synchronization identifier (SYNC/NON SYNC).
Ainsi chaque partition de logiciel est identifiée comme faisant partie d’un couple ou non.Thus each software partition is identified as part of a pair or not.
Chaque partition de logiciel indique si son entrée analogique (ANI, Analog Input en anglais) est synchrone ou non synchrone, permettant d’indiquer si un transfert synchrone est requis pour cette donnée d’entrée.Each software partition indicates whether its analog input (ANI) is synchronous or non-synchronous, allowing you to indicate whether a synchronous transfer is required for this input data.
Chaque partition de logiciel indique si son entrée logique (DSI, Discret Input en anglais) est synchrone ou non synchrone, permettant d’indiquer si un transfert synchrone est requis pour cette entrée logique.Each software partition indicates whether its discrete input (DSI) is synchronous or non-synchronous, allowing you to indicate whether a synchronous transfer is required for this logic input.
Selon l’invention, les entrées logiques DSI et les entrées analogiques ANI, sont acquises par une unité, par exemple l’unité A, puis transférées à la deuxième unité, par exemple l’unité B.According to the invention, the logic inputs DSI and the analog inputs ANI are acquired by a unit, for example unit A, then transferred to the second unit, for example unit B.
Chaque partition de logiciel indique si les indicateurs de ces entrées numériques (Digital Inputs labels) avec l’un des statuts de synchronisation suivants :Each software partition indicates whether these digital inputs labels have one of the following synchronization statuses:
• Soit "SYNCHRONE"• Either “SYNCHRONOUS”
• Soit, « PRIMAIRE SYNCHRONE »• Or, “SYNCHRONOUS PRIMARY”
• Soit, « SECONDAIRE SYNCHRONE »• Or, “SYNCHRONOUS SECONDARY”
• Soit, "NON SYNCHRONE"• Or, “NON SYNCHRONOUS”
La configuration de chaque donnée est déterminée en fonction du besoin d'intégrité :The configuration of each data is determined according to the need for integrity:
• non synchrone: L’utilisation d’un transfert synchrone n’est pas possible car une latence n’est pas acceptable et/ou la surveillance est faite par les partitions de logiciel.• non-synchronous: Using a synchronous transfer is not possible because latency is not acceptable and/or monitoring is done by software partitions.
• synchrone: la donnée est égale dans les deux partitions couplées.• synchronous: the data is equal in the two coupled partitions.
• synchrone primaire/secondaire: la donnée est égale dans les deux partitions couplées et il est nécessaire de surveiller l’intégrité du transfert.• primary/secondary synchronous: the data is equal in the two coupled partitions and it is necessary to monitor the integrity of the transfer.
Chaque partition de logiciel regarde toutes les données dont elle fait l'acquisition et elle les configure:Each software partition looks at all the data it acquires and configures it:
• non synchrone: elle garde la propriété exclusive de la donnée en question• non-synchronous: it retains exclusive ownership of the data in question
• Synchrone: la chaîne de calcul de la partition de logiciel va se charger de faire l'acquisition de la donnée et de la transférer à la chaîne de calcul opposée. Le tout en assurant que la même donnée est vue par les deux partitions de logiciel couplées.• Synchronous: the calculation chain of the software partition will be responsible for acquiring the data and transferring it to the opposite calculation chain. All while ensuring that the same data is seen by the two coupled software partitions.
• Synchrone primaire/secondaire: la chaîne de calcul de la partition de logiciel va se charger de faire l'acquisition et de la transférer à la chaîne de calcul opposée. Dans chaque chaîne une surveillance est effectuée.• Primary/secondary synchronous: the calculation chain of the software partition will be responsible for making the acquisition and transferring it to the opposite calculation chain. In each chain monitoring is carried out.
Pour assurer la détection des erreurs de configuration :To ensure configuration error detection:
- si un indicateur d’entrée numérique (DGI) est configurée « SYNCHRONOUS SECONDARY X » par une Partition logicielle, alors une seule étiquette DGI sera configurée « SYNCHRONOUS PRIMARY X » dans sa Partition couplée. Toute incohérence est une invalidité de configuration de synchronisation.If a Digital Input Indicator (DGI) is configured “SYNCHRONOUS SECONDARY X” by a Software Partition, then a single DGI label will be configured “SYNCHRONOUS PRIMARY Any inconsistency is a sync configuration invalidity.
- pour une entrée numérique (DGI) configurée « SYNCHRONOUS PRIMARY X » par une partition et « SYNCHRONOUS SECONDARY X » dans sa paire de partitions, les indicateurs d’étiquette doivent correspondre. Toute non-concordance est une invalidité de configuration de synchronisation.For a digital input (DGI) configured "SYNCHRONOUS PRIMARY Any mismatch is a sync configuration invalidity.
Les données synchrones doivent avoir une latence de 5 millisecondes ou 10 millisecondes.Synchronous data should have a latency of 5 milliseconds or 10 milliseconds.
Pour un couple de partitions de logiciels, les données primaires synchrones et les données secondaires synchrones doivent avoir la même classe de latence.For a pair of software partitions, the synchronous primary data and the synchronous secondary data must have the same latency class.
Toute invalidité de configuration de synchronisation empêchera la génération de la partition de logiciel.Any sync configuration invalidity will prevent the software partition from being generated.
Le nombre d'acquisitions effectuées par une partition dans une unité peut ne pas être égal au nombre d'acquisitions effectuées par sa partition jumelée. C'est notamment le cas pour les entrées très critiques pour lesquelles un nombre impair d'acquisitions est préféré afin de permettre le vote majoritaire et le rejet d'une seule entrée fonctionnant en erreur.The number of acquisitions made by a partition in a unit may not equal the number of acquisitions made by its paired partition. This is particularly the case for very critical entries for which an odd number of acquisitions is preferred in order to allow majority voting and the rejection of a single entry operating in error.
Dans le cas de partitions synchronisées, un module de contrôle est configuré pour comparer les données de sorties de l’unité A et de l’unité B avec les données d’entrées. Si la donnée de sortie de l’unité B diffère de l’inverse de la donnée de sortie de l’unité A le module de contrôle identifie une invalidité et rejette le calcul.In the case of synchronized partitions, a control module is configured to compare the output data of unit A and unit B with the input data. If the output data of unit B differs from the inverse of the output data of unit A, the control module identifies an invalidity and rejects the calculation.
Ainsi, l'invention prend en charge la détection des erreurs sur le transfert pour préserver la capacité d'effectuer des opérations de haute criticitéThus, the invention supports the detection of errors on the transfer to preserve the ability to perform high criticality operations
Claims (1)
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR2206776A FR3137470A1 (en) | 2022-07-04 | 2022-07-04 | Aircraft flight control system. |
| FR2307119A FR3137469A1 (en) | 2022-07-04 | 2023-07-04 | Aircraft flight control system. |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR2206776 | 2022-07-04 | ||
| FR2206776A FR3137470A1 (en) | 2022-07-04 | 2022-07-04 | Aircraft flight control system. |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| FR3137470A1 true FR3137470A1 (en) | 2024-01-05 |
Family
ID=88585086
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR2206776A Pending FR3137470A1 (en) | 2022-07-04 | 2022-07-04 | Aircraft flight control system. |
| FR2307119A Pending FR3137469A1 (en) | 2022-07-04 | 2023-07-04 | Aircraft flight control system. |
Family Applications After (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR2307119A Pending FR3137469A1 (en) | 2022-07-04 | 2023-07-04 | Aircraft flight control system. |
Country Status (1)
| Country | Link |
|---|---|
| FR (2) | FR3137470A1 (en) |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7209809B2 (en) * | 2003-10-15 | 2007-04-24 | The Boeing Company | Method and apparatus for obtaining high integrity and availability in multi-channel systems |
| US7047440B1 (en) * | 2004-07-27 | 2006-05-16 | Freydel Lev R | Dual/triple redundant computer system |
| US8499193B2 (en) * | 2010-07-30 | 2013-07-30 | Honeywell International Inc. | Integrated dissimilar high integrity processing |
| FR3064979B1 (en) * | 2017-04-07 | 2019-04-05 | Airbus Operations (S.A.S.) | FLIGHT CONTROL SYSTEM OF AN AIRCRAFT |
| US11155340B2 (en) * | 2019-12-30 | 2021-10-26 | Bae Systems Controls Inc. | Data coherency algorithm to achieve bit-for-bit transmission |
-
2022
- 2022-07-04 FR FR2206776A patent/FR3137470A1/en active Pending
-
2023
- 2023-07-04 FR FR2307119A patent/FR3137469A1/en active Pending
Also Published As
| Publication number | Publication date |
|---|---|
| FR3137469A1 (en) | 2024-01-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP3189380B1 (en) | Two-way architecture with redundant ccdl's | |
| Rushby et al. | Formal verification of algorithms for critical systems | |
| Rushby | Systematic formal verification for fault-tolerant time-triggered algorithms | |
| Dugan et al. | Fault trees and Markov models for reliability analysis of fault-tolerant digital systems | |
| US8321612B2 (en) | Method and device for synchronizing two bus systems by transmission of a time associated trigger signal from one system to another | |
| US7149761B2 (en) | System and method for managing the synchronization of replicated version-managed databases | |
| US7954104B2 (en) | Remote copy storage device system and a remote copy method to prevent overload of communication lines in system using a plurality of remote storage sites | |
| EP2717108B1 (en) | Flight control system using simplex computers and aircraft comprising it | |
| EP3189381B1 (en) | Two channel architecture | |
| CN103294701B (en) | A kind of method that distributed file system and data process | |
| JP5509637B2 (en) | Fault tolerant system | |
| FR2870613A1 (en) | CHECKING SYNCHRONISM OUT OF CHIP | |
| EP1574956A2 (en) | Distributed system using quorum redundancy and method therefor | |
| US4771427A (en) | Equalization in redundant channels | |
| FR3051898A1 (en) | FLIGHT MANAGEMENT ASSEMBLY FOR AN AIRCRAFT AND METHOD OF SECURING OPEN WORLD DATA USING SUCH AN ASSEMBLY | |
| FR3083337A1 (en) | FLIGHT MANAGEMENT ASSEMBLY OF AN AIRCRAFT AND METHOD FOR MONITORING SUCH A FLIGHT MANAGEMENT ASSEMBLY | |
| FR3137470A1 (en) | Aircraft flight control system. | |
| EP2254066A1 (en) | Method supporting the realisation and validation of an avionic platform | |
| FR2947127A1 (en) | SIMULATION OR TEST SYSTEM AND ASSOCIATED METHOD | |
| EP3893081B1 (en) | Method and system for synchronising the computing units of an aircraft | |
| Bonakdarpour et al. | A theory of fault recovery for component-based models | |
| CN109739765B (en) | Test system | |
| Pujari et al. | Two Steps Forward: Evolving Psyche’s Fault Protection Validation Post-Launch Slip | |
| JP2000259505A (en) | Inter-system data backup system and its method | |
| EP4070195B1 (en) | Embarked computer system involving at least one critical service for its safety |