JP4309296B2 - エラー・トレラント・コンピュータ制御システム、同システムを備える車両および同システムを備える航空機 - Google Patents

Description

本発明は、例えば車両またはその他の重要装置を制御するために使用できるエラー・トレラント・コンピュータ制御システム、同システムを備える車両および同システムを備える航空機に関する。

人間の生活の多様な用途においてコンピュータ・システムの重要性が増していくのにつれて、故障は傷害または死傷を含めて悲惨な結果を生じる可能性があるので、その信頼性がますます重要になっている。このようなコンピュータ・システムの例は、列車案内または航空機制御システムなど車両案内または制御システム並びに医療システムである。

電子コンピュータの典型的な「平均故障間隔」は１０⁴時間程度であり、これは重大な用途にとっては受諾できないほど高い頻度である。従って、これまで、信頼性を増すために、並行する冗長動作で数台のコンピュータを使用することが一般的な方法であった。

従来の冗長システムは、一般的に言ってネットワークにおいてデータ・ソースとして作用する複数台のコンピュータを使用する。ネットワークは複数の通信リンクによって構成され、その各々が、１台のコンピュータを例えば航空機のフラップ用のアクチュエータなどデータ受信装置と接続する。コンピュータはフラップの操作用のコマンドを含むデータ・アイテムを生成する。フラップは、全てのデータ・アイテムを受信して、例えば中央値を決定することによってエラー（フォールト）・トレラント・データ・アイテムを生成するためにこれらを結合する。

このタイプのシステムは、通信リンクが故障するとデータ・アイテムを伝送することができない。これを克服するために、これまでは付加的な通信リンクを使ってコンピュータを相互接続することが勧められていた。ある所定のコンピュータとデータ受信装置の間の通信リンクが故障していることが判明した場合、このコンピュータからのデータ・アイテムは、他のコンピュータ及び代替通信リンクにルートが変更される。このタイプのシステムは多数のコンピュータ及びデータ受信装置そしてさらに多数の通信リンクを含む可能性があるので、通信リンクの故障時にデータ・アイテムのルートを変更するために必要なステップは、かなり複雑になる可能性がある。また、あらゆる考えうる故障及びルーティング再構成のためにシステムを分析しテストすることは、不可能ではないとしても、非常に込み入ってコスト高になる。

従って、本発明が解決しようとする課題は、実施、分析及びテストがより容易でしかも故障のリスクを低く抑える上述のタイプの方法及びシステムを提供することである。

この課題は、特許請求の範囲に記載される独立項に従った方法及びシステムによって解決される。

従って、本発明によれば、データは交換アセンブリのアウトプットから受信通信リンクに送られる。交換アセンブリは、複数のインプットを有し、その各々がデータ・ソースまたは別のアウトプットに接続される。交換アセンブリは、少なくとも２つの異なる受信通信リンクを通じて各データ・ソースを各データ受信装置に接続することができる。システム全体は、任意の所定のデータ受信装置が少なくとも２つの受信通信リンクを通じて同一のデータ・アイテムを受信するように、少なくとも２つの異なる受信通信リンクの各々を通じてあらゆるデータ・アイテムを任意の所定のデータ・ソースから前記の所定のデータ受信装置に送るのに適する。

正常な動作においては、各データ受信装置は、別個の通信リンクを通じてあらゆるデータ・アイテムを少なくとも２回受信する。このために付加的な帯域が必要であるとしても、1つの通信リンクに故障が生じた場合データ・アイテムのルート変更を行う必要がない、すなわち故障が生じたとき情報の流れをアレンジしなおす必要がないという利点があり、システムをより信頼できるものにし、分析及びテストをより容易にする。システムが処理できる故障がどのような種類のものかを予測することは容易であり、潜在的故障の起こり得る全ての組み合わせをテストする必要がない。

望ましい実施形態においては、交換アセンブリは、複数の交換ユニットに分割され、各交換ユニットは少なくとも２つの交換通信リンクを通じて他の交換ユニットに接続され、また各データ受信装置は少なくとも２つの異なる交換ユニットに接続される。このように交換アセンブリを細分することによって、交換ユニットのうち１つが故障しても、改良された性能が与えられる。望ましい実施形態においては、各データ・ソースに厳密に１つの交換ユニットが帰属し、各交換ユニットの１つのインプットがそのデータ・ソースの１つのアウトプットに接続されることが望ましい。

さらに望ましい実施形態においては、反復するタイム・ウィンドウが各データ・ソースに帰属する同期伝送方式が使用される。各タイム・ウィンドウにおいて、交換アセンブリは、全ての受信通信リンクをそのタイム・ウィンドウに帰属するデータ・ソースに接続する。この場合にも、必要な帯域が増加するが、システムを単純に保つのに役立つ。さらに、各データ・ソースはそのデータ・ウィンドウ中しか通信リンクへのアクセス権を持たないので、欠陥データ・ソースが受信通信リンクを連続的に妨害するのを防ぐ。交換アセンブリが上述の通り接続される交換ユニットに分割される場合、交換通信リンクの妨害を防止するために同じ方式を使用することができる。

別の望ましい実施形態においては、各データ・ソースに一意のキーが帰属する。各ソースによって送信されるデータ・アイテムは、該当のキーによってデジタル署名され、署名はデータ受信装置においてデータ・アイテムの受信時にチェックされる。この署名方式を使えば、不正メッセージの検出がさらに可能になる。

本発明は、特に車両の方向および／または速度を制御するために適している。望ましい用途において、本発明は航空機の制御に使用される。

その他の望ましい実施形態は従属クレームにおいて説明されている。

以下の本発明の詳細な説明を考慮すれば、本発明はよりよく理解され、上述の目的以外の目的が明らかになるだろう。

以下、添付図面を参照しつつ本発明の実施形態を詳細に説明する。

図１のシステムは、３台の冗長コンピュータＰ０、Ｐ１及びＰ２によって作動され、コンピュータは３台のセンサＳ０、Ｓ１及びＳ２及び２台の入力装置Ｖ０、Ｖ１からの信号を処理して、３台のアクチュエータＡ０、Ａ１及びＡ２を制御する。各コンピュータに１つの交換ユニットＳＵ０、ＳＵ１及びＳＵ２が帰属する。

特定の実施形態においては、図に示されるシステムは、車両を制御することができ、この場合、センサＳ０、Ｓ１及びＳ２は、例えば車両のポジション、姿勢および／または速度を測定し、入力装置Ｖ０及びＶ１はユーザーによって操作される制御装置であり、Ａ０、Ａ１及びＡ２は車両の駆動メカニズム及びステアリング・メカニズムを制御するアクチュエータである。

信頼性を得るために、各パラメータを測定するため少なくとも２台の冗長センサがコンピュータＰ０、Ｐ１、Ｐ２によって使用され、入力装置ＬＶ０及びＬＶ１は二重に配備される。

コンピュータＰ０、Ｐ１及びＰ２は、センサＳ０、Ｓ１及びＳ２及び入力装置ＬＶ０、ＬＶ１によって与えられる入力並びにコンピュータに記憶される状態変数の関数としてアクチュエータＡ０、Ａ１、Ａ２に対するコマンドを生成する。コンピュータＰ０、Ｐ１及びＰ２は独立して機能する。これらのコンピュータは重複する。すなわちコンピュータによって生成されるコマンドは、システムの故障がない場合には理想的には同一であり、従って重複する。コマンドはデータ・アイテムとしてアクチュエータＡ０、Ａ１、Ａ２に送信される。後者は、受信した冗長データ・アイテムを結合してエラー訂正済みデータ・アイテムを決定する。これについては以下にさらに詳細に説明する。

ほとんどの用途の場合、コンポーネントの数は図１に示されるより多いことに留意しなければならない。ただし、本発明のシステムのアーキテクチャは、どのような複雑なシステムの要件でもこれに合わせて容易に縮小拡大できる。

以下にこのアーキテクチャについてさらに詳細に説明する。この説明において、各コンピュータＰ０、Ｐ１、Ｐ２（またはより正確に言えば交換ユニットに接続されるそのアウトプット）は、アクチュエータＡ０、Ａ１、Ａ２が受信するデータ・アイテムを送信する「データ・ソース」と考えられる。

システムの個々の部分を接続するために複数の通信リンクが配備される。入力通信リンクＬＳ０、ＬＳ１、ＬＳ２、ＬＶ０及びＬＶ１は、各センサＳ０、Ｓ１、Ｓ２及び各入力装置Ｖ０、Ｖ１を各コンピュータＰ０、Ｐ１、Ｐ２に接続する。交換通信リンクＬＰｉＰｊは、個々の交換ユニットＳＵ０、ＳＵ１、ＳＵ２を相互接続する（ここで、ｉ及びｊは、０と交換ユニットの数−１との間の整数である）。受信通信リンクＬＰｉＡｋは、各交換ユニットＳＵｉをデータ受信装置Ａｋに接続する（ここで、ｋは、０とアクチュエータの数−１との間の整数である）。各データ受信装置Ａｋは、異なる交換ユニットＳＵｉに導く少なくとも２つの受信通信リンクＬＰｉＡｋに接続される。

各交換通信リンクＬＰｉＰｊは、ポイント対ポイント接続であり、交換ユニットＳＵｉの１つのアウトプットを別の交換ユニットＳＵｊの１つのインプットに接続する。同様に、各受信通信リンクＬＰｉＡｋは、交換ユニットＳＵｉを１つのアクチュエータＡｋに接続するポイント対ポイント接続である。

多くの用途においてアクチュエータは高出力機器を作動するので、受信通信リンクＬＰｉＡｋは、信頼できるデータ伝送及び残りのシステムに対する安全な電気的保護のために光ケーブルであることが望ましい。他の通信リンクとしては、光ファイバー、電線または無線リンクまたはその他が可能である。

交換ユニットＳＵ０、ＳＵ１、ＳＵ２のアーキテクチャは図２に示される通りである。図に示される実施形態においては、各交換ユニットＳＵｉは３つのインプットＩ０−Ｉ２及び５つのアウトプットＯ０−Ｏ４を有する。各アウトプットＯｉを選択的にインプットのうち任意の１つＩｊに接続できるように、各アウトプットに１つのスイッチ（デマルチプレクサ）Ｓ０−Ｓ４が配備される。

インプットＩ０及びＩ２は、各々、他の２つの交換ユニットＳＵｊ及びＳＵｊ’からデータ・アイテムを受信する交換通信リンクＬＰｊＰｉ、ＬＰｊ’Ｐｉに接続される。インプットＩ１は、この交換ユニットに帰属するデータ・ソースに接続される。

アウトプットＯ０及びＯ４は、各々、データ・アイテムを他の２つの交換ユニットＳＵｊ及びＳＵｊ’に送信するために交換通信リンクＬＰｉＰｊ及びＬＰｉＰｊ’に接続される。アウトプットＯ１及びＯ２は受信装置Ａｋ及びＡｋ’にデータ・アイテムを送信するために受信通信リンクＬＰｉＡｋ及びＬＰｉＡｋ’に接続される。アウトプットＯ３は、この交換ユニットに帰属するコンピュータのデータ・インプットに接続される。

クロック・ユニット１１からの信号に従ってスイッチＳｉを設定するためにスイッチ制御テーブル１０が配備される。

各交換ユニットＳＵ０、ＳＵ１、ＳＵ２は、スイッチを独立して設定できるように、自身のクロック・ユニット１１及び自身のテーブル１０を備える。クロック・ユニット１１は、同期化して維持される。クロックを同期化して維持するためのさまざまなエラー・トレラント方法が当業者には既知であるが、その一部は、「ビザンチン・クロック同期化のためのプロトコルの理解」（Ｃｏｒｎｅｌｌ大学コンピュータ科学学科、１９８７年８月）においてＦｒｅｄ．Ｂ．Ｓｃｈｎｅｉｄｅｒによって説明されている。クロック・ユニット１１は、データ・アイテムの各々または少なくともその一部にデータ・ソースによって付け加えられるタイム・スタンプによって同期化され、各交換ユニットがさまざまなデータ・ソースから通過するデータ・アイテムのタイム・スタンプを抽出して、そこから例えば一度に受信するタイム・スタンプの中央値を探し自身のクロックに対する偏差を計算することによってグローバル・タイムを決定することが望ましい。

システムにおける通信を調整するために、各データ・ソースに１つのタイム・ウィンドウが帰属する。ウィンドウは等しい長さで、図３に示される通り規則正しいサイクルで反復されることが望ましい。特にデータ・ソースのうち１つが伝送するデータの量が他より多い場合、不等長さのデータ・ウィンドウを使用することもできる。ある所定のタイム・ウィンドウにおいて、全ての交換通信リンクＬＰｉＰｊ並びに全ての受信通信リンクＬＰｉＡｋが、このウィンドウが帰属するデータ・ソースに接続されるように、交換ユニットＳＵｉはスイッチを設定する。

図３から分かる通り、また以下に説明する通り、アクチュエータＡｉからの伝送のために追加のタイム・ウィンドウを用意することができる。

例えば、帰属するデータ・スイッチのクロック・ユニットを通じて、データ・ソースも同期化されており、そのデータ・ウィンドウ内でのみデータ・アイテムを送信し、同期化の不一致及び信号の遅延を斟酌して各データ・ウィンドウの先端及び後端は未使用のまま残される。

図３のウィンドウの長さは、主に送られるデータの量及びメッセージを転送するための最大許容時間遅延によって決まる。ほとんどの車両制御の場合、１０ｍｓ程度のウィンドウの長さが適当であることが判明している。

全体的に、同時に通信リンクを単一データ・ソースに帰属させるために固定タイミング・スキームを使用すると、帯域の必要量が増大することになる。しかし、多くの用途において、現在利用可能な通信リンクはこのタイプのプロトコルをサポートするための広い帯域を提供する。

上記のことから明らかになるように、各データ・ソースＰｉは、その全てのデータ・アイテムを全てのデータ受信装置Ａｋに同時に送信し、各データ受信装置は少なくとも２つの異なる受信通信リンクＬＰｊＡｋを通じて同時にあらゆるデータ・アイテムを受信する。従って、正常の動作時には、データ受信装置は、各データ・ソースから各データ・アイテムを少なくとも２回受信し、全てのデータ・ソースは冗長データ・アイテムを生成するので、データ受信装置はネットワークの異なる経路を通じて各データ・アイテムの６つ１組の冗長バージョンを受信する。

このことが、図４の（Ａ）、（Ｂ）及び（Ｃ）においてデータ受信装置Ａ０について示され、ｆｒｏｍはどこから、ｔｈｒｏｕｇｈはどこを通じてを示す。データ受信装置は、組となる６つのデータ・アイテム全てを受信しようとし、例えば以下に説明されるとおりチェック・サムまたはデジタル署名を確認することによって、その物理的無欠性を確認することができる。伝送にエラーがない場合、各データ・アイテムには、図４の（Ａ）に示されるように“ｏｋ”のフラグが立てられる。通信リンクＬＰ１Ｐ０が故障の場合、５つのデータ・アイテムだけが有効である（図４の（Ｂ））。さらに通信リンクＬＰ２Ａ０が故障しても、２つのデータ・アイテムがまだ有効である（図４の（Ｃ））。

受信した有効な冗長データ・アイテムから、データ受信装置は、既知の順列-不変数法（ｐｅｒｍｕｔａｔｉｏｎ−ｉｎｖａｒｉａｎｔ ｔｅｃｈｎｉｑｕｅｓ）（中央値、Ｄ大多数・・・）を使ってエラー訂正済みデータ・アイテムを生成する。例えば、データ・アイテムがある数値パラメータを指定する場合、有効データ・アイテムによって与えられるパラメータの中央値が決定される。

上述の通り、データ・アイテムはデジタル署名を含むことができる。デジタル署名（及び、任意に暗号化）を生成するために、各データ・ソースＰ０、Ｐ１、Ｐ２には一意のキーが帰属する。この一意のキーを使って、各データ・ソースは、当業者には既知の通りデジタル署名すなわちデータ・アイテムにおいて伝送されるメッセージ及びキーに応じた署名値を生成する。署名を生成するために使用されるアルゴリズムは、ある所定の署名値がある所定のキーを使って生成されたか否かを十分な信頼性を持って確認することができるようなものである。セキュリティを改良するために、非対称キーに基づく署名スキームを使用することができる。ただし、署名は主に故意の改ざんではなくシステムの故障から保護しなければならないなので、本発明において使用できる署名スキームは、一般的にデータ通信において使用されるものより単純で改ざん防止の程度が低くてよい。

データ受信装置がある所定のデータ・ソースからメッセージを受信すると、受信装置は、署名がこのデータ・ソースのキーと一致するか否かをチェックすることによって、データ・アイテムの有効性をチェックする。これが一致しない場合、データ・アイテムには無効のフラグが立てられる。

本発明のシステムの応用は、図５に略図的に示されている。この図は、例えばＷＯ ０１/３０６５２に開示される通りの複数の傾斜可能な駆動装置２１を有するＶＴＯＬ航空機２０を示しており、駆動装置は、各々電動ファンを備える。駆動装置２１は、航空機に姿勢制御、揚力及び前進推力を与える。各駆動装置２１は、その傾斜角度及び推力を制御するための駆動制御装置を備える。各制御装置は、上述のデータ受信装置Ａｊ、Ａｉのうち１つから設定を受信する。それに加えて、コンピュータＰｉに入力データを与えるために、姿勢センサＳｍ、Ｓｎ及びその他のタイプのセンサ並びに入力装置Ｖ０及びＶ１が航空機に配置される。

本発明の多くの変更形態のうち一部について論じるために、次に、図１の実施形態を簡略して示す図６を参照する。

図６から分かる通り、本発明の上述の実施形態の利点の１つは、ある所定の受信装置Ａｋ用の受信通信リンクＬＰｉＡｋの数（すなわち、２）がデータ・ソースの数（すなわち、３）より小さくても、各データ受信装置Ａｋが冗長経路を通じて全てのデータ・ソースＰｉからデータを受信することである。これは、交換ユニットＳＵｉによって、各データ・ソースがある所定のデータ受信装置の両方の受信通信リンクにアクセスできることによる。

各データ・アイテムに代替経路が用意される場合、各データ受信装置への受信通信リンクの最小数は２である。信頼性を増すために、各データ受信装置の受信通信リンクを２より多くすることが可能である。

図６の実施形態においては、他の２つの交換ユニットとの間でデータを送受信するために各交換ユニットＳＵｉが接続されており、これによって交換ユニットの間に代替経路が用意される。信頼性を増すために、この数を２より大きくすることができるが、交換ユニット１台に対して交換通信リンクを１つとすることも可能である。

図６の実施形態において、１つの交換ユニットＳＵｉは各コンピュータＰｉに帰属する。各コンピュータと各交換ユニットは、機械または電気コンポーネントを共有できるように物理的に相互に近接して配置されることが望ましい。ただし、交換ユニットは、これが帰属するコンピュータから独立して動作できることが望ましい。すなわち、コンピュータがデータ処理に失敗した場合、交換ユニットは引き続き動作しなければならない。

コンピュータとそれに結合される交換ユニットは物理的に近接して配置されることが望ましいが、必須というわけではない。交換ユニットは任意の位置に配置することができる。ただし、コンピュータとその交換ユニットの間の距離が大きくなると、その間の通信リンクの故障のリスクが増す。このような場合、コンピュータと交換ユニットの間に追加の冗長通信リンクを配備することが賢明である。

図７は、４台のコンピュータＰｉとわずか２台の交換ユニットＳＵｊから成る実施形態を示している。この場合、各交換ユニットは、４つのインプット及び６つのアウトプットを有し、個々のスイッチＳは、可能なポジションを４つ有する。この場合にも、現在のウィンドウが帰属するデータ・ソースの信号が全ての受信通信リンク及び交換通信リンクに送信されるように、このデータ・ソースに従ってスイッチのポジションが定められる。

以上の説明及び添付図面においては、コンポーネント間の通信リンクのうち最も重要なものだけが説明されておりまた図に示されていることに留意しなければならない。この他に、ネットワークは、例えばアクチュエータからコンピュータへまたは別個のモニタ・ユニットへの通信リンクをさらに含むことができる。同様に、交換ユニットは、受信通信リンク及び交換通信リンクの他に、データ・アイテムをコンピュータのインプットに送るためのスイッチＳ３など、他のタイプの受信装置にデータを送るための付加的スイッチを備えることができる。

例えば、アクチュエータＡ０、Ａ１、Ａ２がコンピュータＰ０、Ｐ１、Ｐ２にフィードバックを送信できることが望ましい場合、交換ユニットＳＵｉとアクチュエータの間の通信リンクは、両方向とすることができる。例えば、フィードバック・リンクＬＡｉＰｋは、図１においてアクチュエータＡ１について点線で示されるように、各アクチュエータをこれが接続される２つの交換ユニットにつなぐことができる。従って、アクチュエータに帰属するタイム・ウィンドウ（図３参照）中スイッチがフィードバック・リンクＬＡｉＰｋを交換ユニットのアウトプットに接続できるように、各交換ユニットにおけるスイッチＳ０−Ｓ４へのインプットの数は、2つ増えることになる。言い換えると、アクチュエータＡ０、Ａ１、Ａ２は、データ・ソースとしても作用することができる。ただし、コンピュータＰ０、Ｐ１、Ｐ２と異なり、アクチュエータは一般に冗長データ・ソースではなく、冗長経路を通じて選択された受信装置にデータを送信することができる。

本出願において使用される場合「システム」という用語は、データ・ソース及びデータ受信装置並びにこれらを接続するネットワークを備える装置を意味するものと解釈されるが、上記の装置を作動するための方法を意味するためにも使用される。

本発明によるエラー・トレラント・コンピュータ・システムのブロック図である。 1つのデータ・ソースの交換ユニットを示す図である。 データ通信のタイミング・スケジュールを示す図である。 データ受信装置が受信する冗長データ・アイテムの表を示す図であり、（Ａ）は伝送エラーない場合、（Ｂ）は１つの通信リンクが故障の場合、（Ｃ）は２つの通信リンクが故障の場合の表を示す図である。 本発明によるコンピュータ・システムによって制御される航空機を示す図である。 図１を単純化した図である。 本発明の代替実施形態を示す図である。

Claims (17)

1. 少なくとも部分的に冗長なデータ・アイテムを生成する複数の冗長データ・ソース（Ｐ０、Ｐ１、Ｐ２）と、
   前記冗長データ・アイテムを受信しこれを結合してエラー・トレラント・データ・アイテムにするための複数のデータ受信装置（Ａ０、Ａ１、Ａ２）と、
   複数のインプット及びアウトプットを有する交換アセンブリ（ＳＵ０、ＳＵ１、ＳＵ２）であり、該交換アセンブリにおいて、各インプットが１つのデータ・ソース（Ｐ０、Ｐ１、Ｐ２）または１つのアウトプットの何れか一方に接続され、かつ各アウトプットが１つのインプットまたは１つのデータ受信装置（Ａ０、Ａ１、Ａ２）の何れか一方に接続され、かつ各データ受信装置（Ａ０、Ａ１、Ａ２）が別個の受信通信リンク（ＬＰｉＡｋ）を通じて少なくとも２つのアウトプットに接続される、交換アセンブリを備え、
   前記交換アセンブリ（ＳＵ０、ＳＵ１、ＳＵ２）が、少なくとも２つの異なる受信通信リンク（ＬＰｉＡｋ）を通じて前記データ・ソース（Ｐ０、Ｐ１、Ｐ２）のうちいずれをも前記データ受信装置（Ａ０、Ａ１、Ａ２）の各々に接続するのに適し、かつ任意の所定のデータ受信装置が少なくとも２つの受信通信リンク（ＬＰｉＡｋ）を通じて同一のデータ・アイテムを受信するように、前記少なくとも２つの異なる受信通信リンク（ＬＰｉＡｋ）の各々を通じて任意の所定のデータ・ソース（Ｐ０、Ｐ１、Ｐ２）からのあらゆるデータ・アイテムを前記所定のデータ受信装置（Ａ０、Ａ１、Ａ２）に送信するのに適するエラー・トレラント・コンピュータ制御システムにおいて、
   前記交換アセンブリ（ＳＵ０、ＳＵ１、ＳＵ２）が複数の交換ユニットに分割され、各交換ユニットの各インプットが１つのデータ・ソース（Ｐ０、Ｐ１、Ｐ２）に接続されるかまたは交換通信リンク（ＬＰｉＰｊ）を通じて別の交換ユニットの１つのアウトプットに接続され、各交換ユニットが少なくとも２つの交換通信リンク（ＬＰｉＰｊ）を通じて他の交換ユニットに接続され、各交換通信リンク（ＬＰｉＰｊ）が１つのアウトプットを１つのインプットに接続し、各データ受信装置（Ａ０、Ａ１、Ａ２）が、受信通信リンク（ＬＰｉＡｋ）を通じて少なくとも２つの異なる交換ユニット（ＳＵ０、ＳＵ１、ＳＵ２）に接続され、かつ特に各交換ユニットにおいて各アウトプットを各インプットに接続することができる、
   ことを特徴としたエラー・トレラント・コンピュータ制御システム。
2. 各受信通信リンク（ＬＰｉＡｋ）が厳密に１つのアウトプットを厳密に１つの受信装置に接続する、請求項１に記載のシステム。
3. 各データ受信装置（Ａ０、Ａ１、Ａ２）用の受信通信リンク（ＬＰｉＡｋ）の数がデータ・ソース（Ｐ０、Ｐ１、Ｐ２）の数より小さく、かつ特に各データ受信装置（Ａ０、Ａ１、Ａ２）用の受信通信リンク（ＬＰｉＡｋ）の数が２である、請求項１または２に記載のシステム。
4. 各交換ユニットに対し、各アウトプットが各インプットに接続可能な、
   請求項１乃至３の何れか一つに記載のシステム。
5. 厳密に２つの交換通信リンク（ＬＰｉＰｊ）が各交換ユニット（ＳＵｉ）の前記インプットに取り付けられ、および／または厳密に２つの交換通信リンク（ＬＰｉＰｊ）が各交換ユニット（ＳＵｉ）の前記アウトプットに取り付けられる、請求項１乃至４の何れか一つに記載のシステム。
6. 交換ユニット（ＳＵｉ）の数がデータ・ソース（Ｐ０、Ｐ１、Ｐ２）の数に一致し、かつ各交換ユニットが１つのデータ・ソース（Ｐ０、Ｐ１、Ｐ２）に帰属し、かつ各交換ユニットの１つのインプットがその帰属するデータ・ソース（Ｐ０、Ｐ１、Ｐ２）に接続され、かつ特に前記交換ユニットの１つのアウトプットがその帰属するデータ・ソース（Ｐ０、Ｐ１、Ｐ２）に接続される、請求項１乃至５の何れか一つに記載のシステム。
7. 反復的タイム・ウィンドウが各データ・ソース（Ｐ０、Ｐ１、Ｐ２）に帰属し、かつ各タイム・ウィンドウにおいて、前記交換アセンブリ（ＳＵ０、ＳＵ１、ＳＵ２）が全ての受信通信リンク（ＬＰｉＡｋ）を前記タイム・ウィンドウに帰属する前記データ・ソース（Ｐ０、Ｐ１、Ｐ２）に接続する一方で、残りのデータ・ソース（Ｐ０、Ｐ１、Ｐ２）を前記受信通信リンク（ＬＰｉＡｋ）から切断する、請求項１乃至６の何れか一つに記載のシステム。
8. 各タイム・ウィンドウにおいて、前記交換アセンブリ（ＳＵ０、ＳＵ１、ＳＵ２）が、全ての交換通信リンク（ＬＰｉＰｊ）を前記タイム・ウィンドウに帰属する前記データ・ソース（Ｐ０、Ｐ１、Ｐ２）に接続する一方で、残りのデータ・ソース（Ｐ０、Ｐ１、Ｐ２）を前記交換通信リンク（ＬＰｉＰｊ）から切断する、請求項７に記載のシステム。
9. 前記データ・アイテムの少なくとも一部がタイム・スタンプを搬送し、かつ各交換ユニット（ＳＵｉ）が前記タイム・スタンプによって同期化されるクロック（１１）を備える、請求項７または８に記載のシステム。
10. 各交換ユニット（ＳＵｉ）が、特に、異なるデータ・ソース（Ｐ０、Ｐ１、Ｐ２）からのデータ・アイテムの前記タイム・スタンプの中央値を決定することによって時間基準を決定するためにタイム・スタンプを搬送する複数の受信データ・アイテムを結合するのに適する、請求項９に記載のシステム。
11. 一意のキーが各データ・ソース（Ｐ０、Ｐ１、Ｐ２）に帰属し、各データ・ソース（Ｐ０、Ｐ１、Ｐ２）が、自身の一意のキーを用いて自身が送信する各データ・アイテムのためにデジタル署名を生成するのに適し、かつ前記データ受信装置（Ａ０、Ａ１、Ａ２）が、データ・アイテム受信時に前記署名の有効性をチェックするのに適する、請求項１乃至１０の何れか一つに記載のシステム。
12. 前記データ受信装置（Ａ０、Ａ１、Ａ２）が、前記受信データ・アイテムの各々の有効性をチェックするのに適し、かつ１組の冗長データ・アイテムのうち有効なデータ・アイテムのみを使用するのに適し、かつ特に前記データ受信装置が前記１組の冗長データ・アイテムのうち前記有効データ・アイテムの中央値または大多数値を決定する、請求項１乃至１１の何れか一つに記載のシステム。
13. 前記データ受信装置（Ａ０、Ａ１、Ａ２）がアクチュエータを含む、請求項１乃至１２の何れか一つに記載のシステム。
14. 前記データ受信装置から前記交換アセンブリにデータを伝送するためのフィードバック・リンク（ＬＡｉＰｋ）を備える、請求項１乃至１３の何れか一つに記載のシステム。
15. 前記データ受信装置（Ａ０、Ａ１、Ａ２）が車両の駆動メカニズム及びステアリング・メカニズムを制御する、請求項１乃至１４の何れか一つに記載のシステムを備える車両。
16. 請求項１乃至１４の何れか一つに記載のシステムを備える航空機。
17. 姿勢制御のため及び揚力及び前進推力を発生するための少なくとも１つの枢軸回転駆動装置（２１）及び前記枢軸回転駆動装置の傾斜角度及び推力を制御するための駆動制御装置を備える航空機であり、前記駆動制御装置が前記データ受信装置（Ａ０、Ａ１、Ａ２）の内の一つによって制御され、かつ特に前記駆動制御装置が電動モーターによって駆動される、請求項１６に記載の航空機。

Images