JPS61276036A - デイジタル自動飛行制御装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 （１）　　発明の分野 本発明は、ディジタル飛行制御計算機を用いた自動飛行
制御装置に関するものであシ、更に詳細に述べれば、ソ
フトウェア、またはプロセッサの一般的な設計エラーか
ら生ずる安全性に対する危険の低減に関連したディジタ
ル自動飛行制御装置に関するものである。

（２）　　従来の技術 自動飛行制御装置は、米国連邦航空規則によシ、該自動
飛行制御装置を利用する動作範囲に渡って航空機を安全
に制御するよう要求されている。安全な飛行および着陸
の継続を妨げる故障条件は、いずれも、極めて起こり侍
ないものでなければならない。現行法では、飛行重要構
成要素に対して１時間当シ１０　　の故障確率が要求さ
れている。自動飛行制御装置の飛行重要部分とは、その
故障によって乗客の生命が危険にさらされるほどのもの
を言う。例えば、航空機の自動着陸に利用される自動飛
行制御装置の構成要素は、飛行重要構成要素と称し、巡
航制御中利用されるある種の構成要素は非重要構成要素
と称す。一般的に、前記装置の構成要素の゛　安全度は
、先行技術の当業者には周知の分析および試験手続きに
よって判定される。そのような手続きは、多くの場合、
検証および有効化と称される。

アナログ計算億およびアナログ構成要素を用いた自動飛
行制御装置が先行技術では広く使用されていたが、その
場合前記自動飛行制御装置は、米国連邦航空規則の安全
要件に対する前記装置の適合性全証明する検証および有
効化手続きを行なうのく完全に実用化されていた。従来
、そのようなアナログ装置は、別個の［６れおよび横揺
れ制御チャンネル等を利用して航空機の軸を別個に制御
してきた。証明の分析は、＠軸を別個に制御することＫ
よって簡易化されていた。

自動飛行制御装置の信頼度を高める周知の技術としては
、二重冗長技術がある。該二重冗長技術は、相互チャ／
ネル監視機能によシ二つの同一チャンネルを利用して該
チャンネルの一方の故障を検出するものである。そのよ
うな装置は一方のチャンネルにのみ影Ｑｌｉ−及はす任
意の故障に対しては効果的であるが、相互チャンネル監
視機能によって一般的な故障が効果的に検出されること
はない。一般的故障とは、ある一つの構成景索に不注意
に設計されてしまった故障であって、そのために全構成
要素が一般的に該故障を有し、欠陥的態様で応答するよ
うな故障を言う。一般的故障を有する同一構成要素が各
冗長チャンネルにある場合、相互チャンネル監視機能は
前記故障を検出しようとするが、双方からのエラー出力
があっても該工２−出力を検出できない。そのような一
般的エラーは、設計エラーとも言われる。

今日、産業科学の各部門では、先行技術によるアナログ
計算機に取って代わって記憶プログラムディジタル計算
機が利用されているが一般的に、ハードウェアとソフト
ウェアとを有するディジタル計算機は非常に複雑なので
、米国連邦航空規則に従って行なわれる証明に対する検
証および有効化分析は、アナログ計算機に比べはるかに
多くの時間と費用を喪し、しかも極めて複雑であること
が知られている。該ディジタル技術の複雑度および精巧
度は、敵しい安全要件に対する証明の分析および立証が
不可能に近い段階にまで高まっている。前記問題に加え
、アナログ計算機による方法では機軸の制御が別個の各
チャンネルで行なわれたのと異なシ、現今のディジタル
飛行制御計算機では航空機の全制御軸に対する計算が全
て同じ計算機で行なわれるという問題がある。

プログラム式ディジタル計算機の技術を自動飛行制御装
置に導入することによって発生する別の問題として、必
要とされる広範囲のソフトウェアが一般的設計エラーを
受けやすいことである。エラーは、ソフトウェア作成段
階と、およびそのコーディング段階とに発生しうる。一
般的設計エラーは、付随するアセンプラーまたはコンパ
イラ、およびプロセッサ用のマイクロコードに発生しう
る。例えば、該マイクロコード用、およびプロセッサま
たは関連する構成要素用マイクロ回路チップマスク内エ
ラーは、該マスクを使用して構成される全ての装置に伝
播しうる。米国連邦航空規則の厳しい安全要件を満たす
ため、先行技術では、多くの場合、要求される水準に対
してソフトウェアおよびプロセッサのハードウェアにそ
のような一般的設計エラーがないことを立証すべく徹底
的な検証ならびに有効化が行なわれていた。そのような
検証ならびに有効化手続は、明らかに時間および費用の
着しい浪費である。

上記理由によシ、相互チャンネル監視機能によってディ
ジタルデータ処理を行なう冗長同一チャンネルは、ハー
ドウェアおよびソフトウェアの一般的設計エラーを検出
せず、よって所要の水準に対する信頼度を証明できない
ことが判る。更に、ますます複雑で精巧なディジタル処
理機能が自動飛行制御装置に組み込まれることによシ、
米国連邦航空規則の要求する水準に対してそのような一
般的エラーのないことを分析によって立証することは不
可能に近くなっている。飛行制御計算機、感知器、およ
び入／出力（１１０）装置とを有するディジタル飛行制
御チャンネルでは、航空機の全機軸に対する処理が全て
同じ計算機で行なわれ、重要機能も非Ｘ安機能も同じチ
ャンネルで制御される。従って、全チャンネルが、自動
飛行制御装置の飛行重要点に対して上記の「極めて起こ
り得ない」規則に従って立証されなければならない。従
って、非重要機能に利用される自動飛行制御装置のそれ
らの部分までもが、重要部分と同じ計算腹合体内にある
ために重要部分と同じ水準に対して立証されなければな
らないことになる。

これらの問題を克服するため、自動飛行制御技術は、つ
い最近になって異種冗長性概念へと進展した。異徨冗長
性では、故１ｌｉＩを検出するための相互チャンネル監
視機能により異種ソフトウェアを利用する同一タスクが
４９！ソフトウエアによって行なわれる。この方法の場
合、一方のチャンネルのプロセッサまたはソフトウェア
に設計された一般的工／Ｆ−４ｊ：、もう一方のチャン
ネルのプロセッサ′またはソフトウェアには存在せず、
相互チャンネル監視機能によってその不一致が検出され
る。この先行技術による装置においては、一般Ｋ、冗長
計算機がそのハードウェアおよび構成において異種であ
シ、異種のソフトウェア、コンパイラまたはアセンプラ
ーが利用されると共に異なるハードウェアおよびソフト
ウェアの設計チームが利用される°ことが多い。この先
行技術による装置では、夫々の異種計算機に、自動飛行
制御装置によって行なわれる飛行制御およびフライトデ
ィレクターの全機能を実行するそれ自体の完全なソフト
ウェアセットが必要であると共に、それ自体の７センブ
ラーま九はコンパイラと、付随する展開装置ならびに人
員とが必要である。近代の精巧なジェット輸送機におけ
るそのようなソフトウェア等は非常に広範なものとなシ
、その結果高額化する傾向にある。自動飛行制御装ｆｌ
Ｋ対する多数の異種ソフトウェアのフルセットによって
、その価格が更に不所望にも引き上げられることＫなる
。更に、そのような装置では、ソフトウェアまたはプロ
セッサの設計変更が該装置の安全度に著しく影響するこ
ともある。

（３）発明の概要 上記先行技術の欠点は、本発明による自動飛行制御装置
によって取シ除かれる。前記自動飛行制御装置は、空気
動力舵面、スロットル制御等航空機の飛行状態を制御す
る制御手段を有する航空機において該航空機の飛行状Ｍ
Ｋ従って感知信号が発生されるが、該感知信号を発生す
る感知器に応答するものである。前記自動飛行制御装置
の各チャンネルは、感知器の信号と、プログラムメモリ
ーと、および計算機出力とに応答する計算機入力を有す
るディジタル計算機によって構成されている。該計算機
のプログラムメモリーにプログラムが記憶されるが、該
プログラムは、前記計算機によって実行される複数の第
１プログラムセグメントから成っておシ、航空機の飛行
状態を制御する命令信号を発生する複数のタスクを行な
う。前記プログラムは、前記第１プログラムセグメント
と夫々関連する複数の第２プログラムセグメントを更に
有しておシ、前記第１プログラムセグメントの性能を夫
々監視するが、前記第２プログラムセグメントの各プロ
グラムセグメントは、関連する第１のプログラムセグメ
ントに対し互いに共通性のない計算計算経路に渡って互
いに共通性のないタスクを行なう。前記自動飛行制御装
置のチャンネルは、前記プログラムの反復を制御する手
段と、および前記第２プログラムセグメントの各セグメ
ントが前記プログラムの各反復巾計算機によって実行さ
れることを保証する手段とによって構成されている。

各チャンネルに二つの同じ計算機を利用して、一方の計
算機では第１のプログラムセグメントを実行し、もう一
方の計算機では対応する第２のプログラムセグメントを
実行することが望ましい。本発明の好適な実施例では、
第２のプログラムセグメントによって行なわれる共通性
のないタスクが複数のテス）Ｋよって構成されており、
航空機が、前記対応する第１のグログラムセグメントに
よって制御された機能に従って飛行することができない
ような態様で飛行しているのかどうかを判定する。

（４）　　好適な実施例 第１図には、自動飛行制御装置の単チャンネル１０のブ
ロック図が描かれている。完成された前記装置には、二
つのそのようなチャンネルを複チャンネル構成で備え付
けることができる。

単チヤンネル構成では、前記自動飛行制御装置はフェー
ルパッシブであシ、複チャンネル構成では、７エールオ
ペラテイプ性能を呈する。

前記チャンネル１０には、１組のアナログ感知器１１が
備え付けられているが、該感知器は、航空機の制御に使
用するアナログ信号を発生する該感知器に必要な補足装
置によって構成されている。前記アナログ感知器セット
１１は、通常の姿勢、レート、ならびに加速度感知器、
および近代ジェット輸送機に通常利用されている操縦輪
力感知器のようなその他の装置を有していてもよい。前
記感知器１１は、定針儀ならびに垂直ジャイロ、レート
ジャイロ、および加速直針を備えていてもよい。前記感
知器１１は、■０几、ＩＬ８ならびにＭＬ８等の通常の
電波誘導装置と、および操向データを提供する航法装置
とを更に備えると共に、航空機の舵面位置変換器ならび
にエンジン感知器からの入力、航空機のサーボモータか
らの帰還信号、および無撫高嵐計等のような装置からの
入力を更に有していてもよい。

前記チャンネル１０は、ディジタル感知器１２の補足装
置も備えている。前記ディジタル感知器１２は、通常の
姿勢ならびに方位基準感知器と、および通常のディジタ
ル対気データ計算機とを有し、気圧高度、合計気温、気
流速度、動力圧等のようなパラメータを発生する。前記
ディジタル感知器１２は、ディジタルＤＭＥ受信機のよ
うなその他の装置、およびパネル押ボタン等からの別個
の入力を有していてもよい。

前記アナログ感知器１１の出力は、電気データ経路１４
を介して通常のマルチプレクサ１３に与えられる。前記
マルチプレクサ１３の出力は、通常のアナログ／ディジ
タル変換機１５および１６に与えられる。前記ディジタ
ル感知器１２の出力は、電気データ経路１７を介してデ
ィジタルデータ受信機１８に与えられるが、該受信機に
はディジタルデータを自動飛行操縦装置に入力するバッ
ファが備え付けられている。

アナログ感知器１１からのアナログ信号は、アナログ／
ディジタル変換機１５ならびに１６と各電気データ経路
１９ならびＶｃ２０とを介して各ディジタル計算機２１
および２２に与えられる。該ディジタル計算機２１およ
び２２は、夫々プロセッサ人およびプロセッサＢと表示
する。該プロセッサ２１および２２は、マルチプレクサ
制御信号を発生し、夫々バス２３ならびに２４ｔ−介し
てマルチプレクサ１３に前記信号を印加し、該マルチプ
レクサ１３を制御して、前記各プロセッサ２１および２
２に記憶されているプログラムによシ制御される該プロ
セッサの要件に従って各プロセラ−ｊｌｌ−２１および
２２に入力するアナログ感知信号を別個に選択する。

ディジタル感知器１２からのディジタル入力データは、
ディジタルデータ受信機およびバッファ１８と電気デー
タ経路２５とを介してプロセッサ２１の別のデータ入力
ボートに与えられる。前記データ経路２５上のディジタ
ルデータは、プロセッサ２２の別のデータ入力ボートに
も与えられる。前記プロセッサ２１は、受信器制御信号
を発生し、バス２６を介してディジタルデータ受信機お
よびバッファに印加し、プロセッサ２１のグログツム７
０−制御に従って感知器１２からの適切なディジタルデ
ータをプロセッサ２１および２２に選択的に入力する。

バス２６上の制御信号によって、受信機およびバッファ
１８が制御され、ディジタル感知器１２からのデータが
適切に順番に配列されてプロセラｆ２１および２２に与
えられるようＫする。

前記ディジタルプロセッサ２１および２２は、同一のプ
ロセッサで、しかも通常の構成による。

一般用の中規模設計のものが望ましいが、その種類は、
自動飛行制御およびフライトディレクター用に機上分析
ならびに制御に対して特に構成された計算機であって、
市販入手可能なものがよい。望ましくは、スベリ−コー
ポレーションの航空宇宙／海洋グループの航空電子工学
部で市販入手可能なＦ’Ｚ−ａｏＯｆｉディジタル飛行
制御計算機を本発明による装置に利用してもよい。前記
ＦＺ−ａｏｏ型計算機は、Ｚｙｌｏｇ　Ｚ−８００２型
マイクロプロセツサに基づくものである。次に、前記デ
ィジタルプロセッサ２１および２２とそこに記憶される
プログラムの内部構成に関して、添付の図面とを参照し
ながらより詳細に説明してゆく。

前記プロセッサ２１は、その出力をデータ経路２７′ｆ
ｅ介してサーボ駆動制御装［２８に与える。前記サーボ
駆動制御装置２８は、その出力をサーボ遮断リレースイ
ッチ３ｏを介してサーボモータ２９＆Ｃ与える。前記サ
ーボ駆動制御装置２８と前記サーボモータ２９とは、通
常の電気的トルクモータであって連結形式によるもので
もよく、航空機の補助翼、昇降舵、方向舵ならびにトリ
ム舵面を制御すると共に、自動スロットル装置の制御を
行なう。また、サーボモータすなわち作動装置は、通常
の電気機械によるものでも電気油圧によるものでもよい
。サーボ駆動制御装置２８およびサーボモータ２９は、
最新の航空輸送機に通常使用される通常の航空機舵面な
らびに自動スロットル装置用完全三軸制御装置を図示し
たものである。

まず、プロセッサ２１は、本発明による装置のサーボモ
ータを直接制御すると共に、サーボルーズの一部でもめ
る。この構成で、サーボモータ２９はアナログ感知器セ
ット１１の入力（図示せず）として帰還信号を発生し、
プロセッサ２１は、そのように制御されるサーボモータ
を苓へと駆動する。本発明の装置に利用される別のサー
ボモータとして、内部帰還ループを有する自立閉ループ
構成のものを利用することもできる。いずれの構成にお
いても、プロセッサ２１によってサーボ駆動制御装！１
２８に対して命令信号が発生されるが、前記サーボ駆動
制御装置２８は、適当なサーボ構成に対して適当な駆動
型式を提供するよう構成されている。

プロセッサ２１は、サーボ作動信号も発生し、バス３１
とＡＮＤゲート５２とを介してサーボ遮断スイッチ３０
を作動させる。前記プロセッサ２１＃ｉ、また、該プロ
セッサ２１が有する監視機能（後程説明する）Ｋよって
、サーボ不作動信号を発生し、バス！１１に印加する。

以下説明する理由により、前記プロセッサ２１は、ソフ
トウェアのうちのあるブロックが繰返し実行されている
かどうかを判定するプログラムセグメントを有している
。該プロセッサ２１は、これらのソフトウェアブロック
の連続的な繰返しに従ってＡプロセッサ監視信号を出方
し、バス３３１Ｃ印加する。該バス３３上のプロセッサ
監視信号は、前記プロセッサ２１内にあるプロセッサ監
視ソフトウェアと関連して作動するハードウェア監視装
［３４に印加される。プロセッサの監視を行なうそのよ
うなハードウェアおよびソフトウェアは、米国特許第４
，１１５，８４７号［作動監視ディジタル計算機を有す
る自動飛行制御装置」Ｋ開示された如く実現することが
□できる。前記監視装置３４の出力は、ＡＮＤゲート５
２に入力として与えられ、プロセッサ２１内にあるプロ
グラムブロックが反復し損なった場合、サーボ遮断装置
５ｏを作動する。本発明の好適な実施例は、前記特許第
４，１１５，８４７号に記載されたプロセッサ監視装置
を利用して説明されているが、他のプロセッサ監視装置
を利用してプロセッサ２１内にあるプログラムブロック
を繰返し実行させることもできる。

プロセッサ２１に対する上記説明と同じ態様で、プロセ
ッサ２２は出力３５．３９および４゜を発生するが、前
記出力は、プロセッサ２１からの出力２７．５１ならび
ｌＩＣ５５夫々に対する上記機能を呈する。更Ｋ、プロ
セッサ２２は、プロセッサ２１に対して既に説明したの
と同じ態様で該プロセッサ２２と関連するサーボ駆動制
御装置５６、サーボモータ３７およびサーボ遮断制御装
置３８を有している。サーボ遮断スイッチ３０および３
８は、導線３１ならびに３９上の信号と、および監視装
置３４の出力とに従ってＡＮＤゲート３２を介して同時
に作動、不作動となることが判る。前記ＡＮＤゲート３
２へのいずれの入力の故障表示も、サーボ遮断スイッチ
３０ならびに３８を開にすることＫよってサーボモータ
２９および３７を不作動にすることＫなる。ＦＺ８００
型計算機には、１１．１２．１４゜１７．２９ならびに
３７の素子を除く第１図の構成要素が全て備え付けられ
ていることが判る。

プロセッサ２１および２２は、感知器１１ならびに１２
からの信号で作動するプログラムブロックを記憶すると
共に、出力信号を発生し、導線２７ならび１ｃ３５を介
して前記サーボ駆動制御装置２８および３６を作動する
。プロセッサ２１および２２は、アクティブ動作制御モ
ジュールを記憶し、本発明による装置にオペラティプタ
スクを実行させる。該プロセッサ２０および２１は、前
記タスク用監視モジュールも夫々備え付けている。タス
ク制御モジュールがプロセッサ２１内にある場合、対応
する監視モジュールは、プロセッサ２２で記憶され、同
様に、タスク制御モジュールがプロセッサ２１内にある
場合は、対応する監視モジュールがプロセッサ２１で記
憶される。前記計算機２１および２２内の実時間クロッ
ク（図示せず）は、記“憶されたプログラムの反復を制
御して、航空機の連続制御が効果的に行なわれるように
する。本発明において、タスク動作制御モジュールと対
応する監視モジュールとは、互いに対して共通性のない
機能と共通性のない計算経路とを有している。

次に、第２図は第１図のプロセッサ２１の基本的な内部
構造を図示したものであシ、第１図と同じ構成要素に対
しては同じ参照番号が付されている。プロセッサ２１に
は入／出力（Ｉｌｏ）制御装置５０が備え付けられてい
るが、前記装置は、第１図のデータ経路１９および２５
上のディジタル信号に対して入力ボートを提供すると共
に、第１図に関して説明した通り、出力信号も発生し、
該出力信号をバス２５．２６．２７゜３１および６３に
与える。ディジタル計算機２１には、プログラム記憶装
ｆｔ５１、データ記憶装ｒ１ｔ５２）Ｘ、［［演Ｘ装ｆ
ｌ　（ＡＬＩＪ）　５３、オヨび制御装置５４が備え付
けられているが、前記装置は、全て互いに相互接続して
おシ、Ｉ１０制御装置によってパス５５を介した双方向
通信が行なわれる。コンピュータ２１の内部構成は、通
常の設計によるものであシ、本発明を判シ易くするため
簡単に説明しておく。

プログラム記憶装置５１には第１図の自動飛行制御装置
１０のＡプロセッサが要求する機能を全て実行するため
のオペ２テイブプログラムが記憶されている。前記プロ
グラムは、一般に、ブロック５６から６５忙よって図示
されたようにセグメント、すなわちモジュールで構成さ
れている。前記オペ２テイブプログラムには、抜根説明
する理由によって、参照番号５６〜５日と関連するアク
ティブ動作すなわちタスクモジュールＡｌ、Ａ２・・・
・・・、Ａ〜と、監視モジュールＢ１゜Ｂ２・・・・・
・、ＢＭとが含まれている。該監視モジュールは、参照
番号５９〜６１によって表わされている。前記オペ２テ
イブプログラムにはタスクおよび監視モジュール順序制
御ブロック６２も含まれており、該ブロックによって、
プロセッサ２１ｔ−利用する自動飛行制御装置１０（第
１図参照ンのオペラテイプ機能に望ましいプログラムの
流れに従って前記タスクおよびモニタモジュールが呼出
され、順番に配列される。前記プログラム記憶装置５１
に記憶された動作プログ２ムには、ブロック６３に図示
の如く非監視タスクを行なうモジュールも含まれている
。これらのタスクは、飛行の安全性、すなわち耐空性に
は影響を及ぼさない形式のものであって、これらのタス
クのうちの一つが誤作動されてもそれによって不所望な
結果がもたらされることはない。そのような非監視タス
クは、飛行の安全性忙対して必要のないモード論理と、
ある種のメツセージ管理機能と、およびある種の利得プ
ログ２ミング機能とによって檎灰することができる。プ
ログラム記憶装置ｔ５１内に記憶されたプログラムの構
造および動作について、以下詳細に説明する。

データメモリー、すなわちデータ記憶装置５２は、前記
プログラムに使用される定数を記憶すると共に、第１図
の感知器１１ならびに１２によって発生された種々のデ
ータ形式を記憶するための所定位置を有するのに利用さ
れる。

前記制御装ｆｆ１５４は、プログラムカウンタ６４と複
数のレジスタ６５とを有し、前記り：術論理演算装置５
３は、計算機２１用の算術論理演算を行なうのに必要な
回路を有している。先行技術では周知の態様で、プログ
ラムカウンタ６４で表示される前記制御装＃、５４は、
前記プログラムメモリ５１からのプログラム命令を逐次
取出し、前記計算機２１を制御して、前記命令を実行し
、必要に応じてデータ記憶装置５２からデータを取出す
。前記制御装置５４と算術論理演算装置５３との組合せ
が参照番号６６で表示されているが、該組合せは、通常
中央処理＃Ｃ重（ＣＰ（Ｊ）と称す。前記算術論理演算
装置ｉ５５は、制御装［５４の制御の下に利用され、前
記プログラムに必要な通常の算術論理演算を行なう。

前記Ｉ１０制御装置５０は、入力１９ならびに２５から
データを受信し、出力２７および３３に対してデータを
発生すると共に、プログラム記憶装置５１に記憶された
プログラム命令の命令通シに制御装置５４の制御を受け
てタイミングならびに制御信号を発生し、該信号を出力
２５゜２６および３１に印加する。監視モジュール５９
〜６１のいずれかくよって故障が検出された場合、プロ
セッサ２１は不作動信号を発生し、該不作動信号を導線
３１に印加して、第１図のＡＮＩ）ゲート３２とサーボ
遮断スイッチ３０ならびに３８とを介しサーボモータ２
９および３７を不作動にする。

次に、第３図はＢプロセッサ２２０基本的な内部構造を
図示したものであるが、ここでも第１図と同じ構成要素
に対しては同じ参照番号が付されている。前記計算機２
２の構成は、第２図に関連して既に説明された前記計算
機２１の構成とほぼ同じものである。第５図の計算機２
２には、第２図に関連して既に説明された前記構成要素
５０〜６６に機能的かつ構造的に夫々対応する構成要素
７０〜８６が含まれている。Ｉ１０制御装置７０は、第
１図および第２図の出力２６に匹敵する出力を発生しな
いが、これは、第１図のディジタルデータ受信機および
バック７１８を制御するのがＡプロセッサ２１で６っテ
、Ｂプロセツｆ２２ではないためであることに注意され
たい。

前記プロセッサ２２のプログラム記憶装置７１には、参
照番号７６〜７８で表わされたアクティブタスク、すな
わち動作モジュールＢ１．　Ｂ２．・・・・・・。

ＢＭが含まれている。これらのプログラムモジュールは
、Ｂプロセッサ２２によってアクティブ自動飛行制御装
置タスクが実行されるよう制御する。前記プログラム記
憶装置７１にも、参照番号７９〜８１によって表わされ
た監視モジュールＡ１．　Ａ２．・・・・・・、ＡＮが
含まれている。前記監視モジュール７９〜８１のうちの
一つによって故障が検出された場合、前記Ｉ１０制御装
置７０を介して不作動信号が導線３９に与えられ、第１
図のＡＮＤゲート３２とサーボ遮断スイッチ５０ならび
Ｉ／Ｃ５Ｂとを介してサーボモータ２９および３７″に
、不作動にする。

次に、第２図と第３図とを参照するに１第２図の前記入
プロセッサ２１は、アクティブタスクモジュール人１〜
ＡＮを有しておシ、第３図のＢプロセッサ２２は、夫々
対応する監視モジュールＡ１〜ＡＮを有している。前記
Ｂプロセッサの各監視モジュールは、対応的に設計され
九人プロセッサのタスクモジュールを監視する。同じ態
様で、Ｂプロセッサのタスクモジュール胞は、Ａプロセ
ッサの監視モジュールＢ１〜Ｊ：ｉＭＫよって夫々監視
される。本発明に従って、一方のプロセラ讐の各タスク
モジュールと、もう一方のプロセッサの対応する監視モ
ジュールとは、共通性のない計算経路に渡って互いに共
通性のない機能を呈する。各タスクモジュールの機能は
、該モジュールの所要の、または所望の性能によって決
定されるが、それに対して、対応する監視モジュールの
機能は、タスクモジュールによって禁止されている性能
が表示されるととＫよシ、またはそのような事象が生ず
ることによシ（例えば航空機が所定の制限を超えて飛行
するよう操縦されている場合）、決定される。

一般に、本発明の好適な実施例では、Ａプロセッサ２１
内のタスクモジュールには本発明による装置の自動トリ
ム制御機能および飛行誘導機能が含まれ、Ｂプロセッサ
２２の監視モジュールにはそれの代わｆｉＫ前記各監視
機能が与えられている。Ｂプロセッサ２２のタスクモジ
ュールには、航空機の横揺れ軸、縦揺れ軸ならびに片揺
れ軸についての制御を行なう補助翼、昇降舵および方向
舵用アクティブ制御動作が含まれているが、そのような
モジュールの各モジュールには、その飛行エンベロープ
を通して航空機の変位を制御する際適用される大きさ、
レートならびに加速度の制限が含まれている。前記三軸
制御動作に対して対応する監視モジュールが、Ａプロセ
ッサ２１内にある。

本発明の好適な実施例は、別個の同一プロセッサ２１お
よび２２によって説明されてきたが、本発明の実行に際
し、前記の全タスクおよび監視機能は単一のプロセッサ
内に含まれうることか判る。しかしながら、監視モジュ
ールは全て確実に実行されなければならない。このこと
は、第１図に関して既に説明したように、プロセッサ監
視装置３４と、およびプロセッサ２１ならびに２２内の
関連するソフトウェアとよって行なわれる。プロセッサ
監視動作を実行するに際し、第１図の監視装置３４が利
用されるが、該監視装置は、前記特許第４，１１５，８
４７号において説明された態様で第２図および第３図の
タスクならびに監視ブロック間に散在したソフトウェア
モジュールによシ実行される種々の演算に関連して利用
されることが判る。前記特許第４．１１５，８４７号の
プロセッサ監視機能の構造および動作が各プロセッサで
別個に利用され、そこに含まれた監視モジュールがプロ
グラムの各反復中心ず実行されるよう罠なっている。

アクティブ動作制御モジュールと、および対応する監視
モジュールとく対して、本実施例では以下の機能が与え
られている。第２図のプロセッサ２１のタスクＡ１モジ
ュール５６ｔ’ｉ、本発明による装置の自動トリム動作
を行ない、プロセッサ２２の監視人１モジユール７９は
、それに対して監視動作を行なう。Ａプロセッサ２１に
よって行なわれる自動トリム動作によって、適当なサー
ボ駆動制御装置２８（第１図参照）Ｋ制御信号が印加さ
れ、トリムサーボモータ２９（第１図参照）を作動して
、昇降舵面のヒンジビン上のトルクを零化するようにす
る。自動トリム動作は、トリムタブまたはトリム安定板
を位置決めして昇降舵に対してトルクを零化するように
し、それによって昇降舵上のサーボ制御力を零に低減す
る。Ｂプロセッサ２２内の対応する監視モジュール７９
は、トリム無拘束状態およびトリム不作動状態を検査す
る。前記トリム無拘束状態は、禁止されている危険なト
リム装置出力であって、昇降舵面およびトリム面が逆方
向に稼動する逆トリム状態を生ずる。トリム不動作状態
も禁止されている危険な状態である。第３図のＢプロセ
ッサの監視人１モジユール７９は、前記サーボ駆動装置
から第１図のアナログ感知人力１１への直接循環出力を
利用することＫよってトリムサーボ駆動装置の作動性を
判定する。前記接続は、第１図に図示されていない。

従って、アクティブトリム動作モジュール５６と、およ
び対応する監視モジュール７９とは、共通性のない計算
経路に渡って共通性のない機能を呈することが判る。前
記アクティブトリム動作は、トリム面の位置決めに関連
しているが、それに対し、前記監視モジュールは特定の
不所望“動作および状態の検出に関係している。

第３図のＢプロセッサ２２内のＢ１タスクモジュール７
６は、自動飛行制御装置にアクティブ横揺れ軸制御動作
を与え、それに対して第２図のプロセッサ２１のＢ１監
視モジュール５９は、前記Ｂ１タスクブロック７６に対
して共通性のない機能と共通性のない計算経路とを有す
る監視機能を提供する。タスクブロック７６は、Ｉ１０
制御装置７０を利用してアクティブ横揺れ軸制御動作を
行なうデータを入力するが、前記データには、補助翼舵
面感度に対する利得プログラミングを制御する動圧のよ
うな、横揺れ角度信号、横揺れ機体レート信号および対
気データ信号が含まれる。前記アクティブ横揺れ軸制御
動作に利用される横揺れ制御法には、横揺れ角度および
横揺れレートへの制限が含まれておシ、航空機を正規の
性能操縦限界内に維持する。プロセッサ２１内のＢ１監
視モジュール５９は、変位ならびにレート過剰限界と、
および誤方向の横揺れ制御とを監視する。前記Ｂ１監視
モジュール５９は、横揺れサーボモータ電圧の極性と大
きさ、および航空機の横揺れ角度とそのレートとを評価
する。前記Ｂ１監視モジュール５９は、慣揺れサーボ駆
動方向に対して横揺れ変位ならびにレートを評価し、航
空機が限度超過状態を呈しているかどうかも判定する。

例えば、エラーによシロプロセッサ２２がサーボ駆動信
号を発生して、航空機を横揺れ角度制限を超えて横揺れ
させた場合、Ａプロセッサ２１は、これを限度超過状態
と認め、次いで、横揺れレートを評価して、横揺れレー
トが横揺れエラーを低減する方向にあるかどうかを判定
する。

もし、前記横揺れレートが航空機を横揺れ角度限界内へ
戻す方向にない場合、Ｂ１監視モジュール５９が横揺れ
サーボモータの出力を評価し、サーボモータが航空機を
限界内に戻そうとしているかどうかを判定する。前記横
揺れサーボモータが航空機を限界内に戻そうとしていな
い場合、Ａプロセッサ２１は不作動信号を発生して、該
信号を導線３１に印加し、第１図のＡＮＤゲート３２を
介してサーボ遮断スイッチ装置３０および３８１に作動
する。従って、プロセッサ２１の８１監視モジユール５
９は、プロセッサ２２のＢ１タスクモジュール７６が有
するアクティブ制御機能によって禁止されている動作を
航空機が示しているかどうかを判定するものである。

この態様で、前記モジュール５９および７６は、共通性
のない計算経路に渡って共通性のない機能を制御する。

縦揺れ軸に対するアクティブ制御動作も、第５図ＯＢプ
ロセッサ２２の、例えばＢ２タスクモジュール７７１Ｃ
よって行なわれる。対応する監視モジュールは、第２図
のＡプロセッサ２１の、例えばＢ２監視モジュール６０
によって行なわれる。Ｉ１０制御装置を介して得られる
所要の入力データには、姿勢装置からの縦揺れ角度と縦
揺れ機体レートとが含まれている。前記入力データには
、真の対気速度ならびに較正された対気速度、および速
度関数として縦揺れ舵面の風の荷重に対して本発明によ
る装置の感度を制御するのに利用される動圧、のような
対気データ装置からの利得プログラミング信号も含まれ
ている。縦揺れ制御法には、縦揺れ角度ならびに縦揺れ
機体レートの限界と、および前記縦揺れ角度ならびに前
記縦揺れ機体レートに対して真の対気速度関数としてプ
ログラムされた有効Ｇ限界とが含まれている。

縦揺れ軸制御と関連のある共通性のない監視機能は、例
えばＢ２監視モジュール６０によって制御される機能と
してＡプロセッサ２１内にある。前記Ｂ２監視モジュー
ル６０Ｆｉ、Ｂプロセッサ２２で実現された縦揺れルー
プの閉成を評価する。該閉成は、発せられた命令と航空
機の制御ループとを、整合させるプロセスである。

閉或は、零サーボエラー信号状態の時実行される。

サーボエラー信号が零でない場合は、縦揺れレートおよ
びサーボ駆動が極性に対して評価され、閉成を行なうよ
う制御されているかどうかを判定する。例えば、前記誘
導制御装置から発生された縦揺れ命令が実際の航空機の
縦揺れ姿勢と比較され、所定の許容差を超えた工２−が
存在するかどうかが判定される。そのような工２−が検
出された場合、縦揺れレートの極性が評価され、姿勢エ
ラーを低減するのに適した方向にあるかどうかを判定す
る。縦揺れレートの極性が適切でない場合は、サーボ駆
動の極性が評価され、丈−ボが前記ループを閉成に駆動
しよ・うとしているのかどうかを判定する。これら全検
査の故障は、欠陥状態とみなされ、サーボ遮断スイッチ
装置５０および５８を介してサーボモータ２９および３
７（第１図参照）が遮断される。

プロセッサ２１０Ｂ２監視モジユール６０は、アクティ
ブ縦揺れ軸制御機能が正規の加速度のＧ限界超過を生じ
ているのかどうかも判定する。

前記監視モジュールは、Ｉ１０制御装置！を介してサー
ボデータおよび正規の加速度データを入力し、実際の正
規の加速度をサーボ帰還と相互に関連させることによっ
て制限超過状態に対する正規の加速度データを評価し、
サーボ出力が正規加速度超過の原因となっているのかど
うかを判定する。サーボモータによって前記の状態が生
じている場合、本発明による装置は、第１図のサーボ遮
断スイッチ装置３０および３８を介して遮断される。

第３図のＢプロセッサ２２には、航空機の方向舵に対す
るサーボ駆動制御を行なう片揺れダンパのアクティブ機
能も含まれている。前記片揺れダンパは、例えばプロセ
ッサ２２のプログラム記憶装置７１内のタスクＢ３モジ
ュールによって制御される。次いで、対応する監視機能
が第２図のプロセッサ２１のプログラム記憶装置５１内
にある監視Ｂ３モジュールによって行なわれる。前記Ｂ
プロセッサ２２内のアクティブタスクモジュールによっ
て、直線ならびに水平飛行における片揺れ軸に関する航
空機の旋回操作ならびに安定性の調整が制御される。前
記片揺れダンパ機能には、方向舵サーボモータ位置決め
能力を制限する機能も含まれている。旋回の調整と、片
揺れダンピングの安定化と、およびサーボ能力制限とが
、対気速度と動圧の関数として利得プログラムされる。

これらの動作は、姿勢装置からの片揺れ機体レート信号
、横方向の加速度信号、横揺れ姿勢信号、ならびに縦揺
れ姿勢信号と、およびＩ１０制御装置Ｉｔ７０を介して
第３図のＢプロセッサ２２によってアクセスされた対気
データ装置からの対気速度ならびに動圧データとに応答
してＢプロセッサ２２で行なわれる。旋回調整では、片
揺れダンパによって片揺れ機体レート量が与えられ、航
空機の垂直軸と整合する合成力ベクトルを維持するため
前記横方向の加速度を零化するようにしている。片揺れ
安定化動作を実行するに際し、片揺れ機体レートは零化
され、突風の擾乱により生ずる片揺れ軸付近の航空機の
振動を防ぐよう圧している。この片揺れダンピング機能
は、対気速度および動圧データ関数として利得プログラ
ムされ、舵面、特に方向舵面の感度を対気速度の関数通
シに増大することによって対気速度が増分されると、本
発明による装置の感度を低減する。片揺れダンパの制限
機能は、サーボ位置決め能力を制限し、航空機の片揺れ
加速度を所定の最大値に制限するようになっている。方
向舵の変位は、動圧関数として制限され、前記方向舵の
振動または一杯操舵出力の大きさが制限されるので、片
揺れ加速度の最大値を超過しない。

第２図のＡプロセッサ２１の片揺れダンパ監視機能は、
非ダンプ状態による航空機の過度の側面荷重と方向舵サ
ーボ作動器の過度の運動とを検出するが、前記非ダンプ
状態とは、例えは片揺れダンパによって航空機上の側面
荷重が軽減されるのではなく増大された状態をいう。前
記片揺れダンパによって誤出力が発生されると常に航空
機の横滑シが生ずるが、該横滑シの発生は、横方向の加
速度信号によって検出される。

前記横方向加速度信号は、側面荷重の過剰ＧｓＫ対して
評価され、方向舵サーボ作動器帰還と相互的に関連づけ
られ、前記作動器が横滑シ状態を引き起こしているかど
うかを判定する。この評価は、縦揺れ軸ならびに横揺れ
軸に関して既に説明したような態様で、極性に基づいて
行なわれる。従って、片揺れタ′ンパ動作とおよび対応
する監視動作とは、共通性のないｉｓ経路に渡って共通
性のない動作を行なうことが判る。

各プロセッサ２１および２２のプログラム記憶装置５１
ならびに７１に挿入されるプログラムは、この明細書の
一部分を構成する添付書類に包含されている。前記プロ
グラムは、上記トリム、横揺れ、縦揺れならびに片揺れ
動作に関連したアクティブタスクおよび監視機能に対す
る上記モジュールへ形成されている。前記プログラムは
、上記Ｚ−８００２型マイクロプロセッサに対するアセ
ンブリ原語コードとなっている。

本実施例は別個のプロセッサ２１ならびに２２によって
説明してきたが、前記タスクならびに監視機能を備えた
単一のプロセッサを利用して、本発明を実行することも
できる。

上記共通性のない機能と、および共通性のない計算経路
とによって、ソフトウェアモジュールおよびハードウェ
アモジュール双方に対して設計エラーの有効な隔絶が行
なわれる。この隔絶は、設計プロセスを通じ定義段階に
まで及んでいる。機能を隔絶することによって、グロ七
ツ丈内の故障の発生を防ぎ、プロセッサのいずれのハー
ドウェアまたはソフトウェアの単一故障によってもタス
クおよびその対応する監視機能の双方が同時に不作動と
はならないようにしている。監視モジュールによって故
障が検出されると、導線３１または導１ｓ３９上のサー
ボ作動信号（第１図参照）によってサーボ遮断装置３０
および３８が作動される。共通性のない計算経路に渡っ
て相互に共通性のない動作を行なうと共に共通のサブル
ーチンｔｅは入出カル−チンにはアクセスせず、しかも
共通の遮断ループへ１駆動されることのない二つのプロ
グラムモジュールが、例えば共通のソフトウェアの設計
エラーまたは定義エラー、プロセッサまたはマイクロコ
ードの設計エラー、コンパイラまたはアセンブラエラー
等によシ共通箇所の誤動作を生ずることは極めて稀なこ
とが判る。前記ソフトウェア監視機能はハードウェアお
よびソフトウェア双方の１４！４動作を検査し、適当な
自動飛行制御装置性能規準を利用してハードウェアなら
びにソフトウェア内の故障および設計エラーの双方を検
出することができる。本発明では、共通性のない機能と
共通性のない計算経路とが利用されるため、一般的な故
障がタスク機能と、およびその対応する監視機能とに同
時に影譬して前記故障を検出できないようＫすることは
極めて稀なことである。

本実施例は、本発明による装置のソフトウェアモジュー
ルの反復性能を保証するのに前記特許第４，１１５，８
４７号のプロセッサ監視機能を利用して説明してきたが
、前記特許第４，１１５，８４７号の前記技術は監視モ
ジュールに対してのみ適用されうろことが判る。アクテ
ィブタスクモジュールは高可視モジュールでアシ、よっ
て本発明　　　　・の動作を通じて監視される。しかし
ながら、前記監視機能は必要がなければ不可視の場合が
多く、よって−ｄ在的に不作動である。前記特許第４．
１１５，８４７号のプロセッサ監視機能は、不作動監視
モジュールを検出しない。

本発明を利用することによって、７エールバツシプ性能
を有する完全に監視された、自動飛行側（財）装置チャ
ンネルが提供されることが判る。

二つのそのようなチャンネルによってフ二−ルオベラテ
イプ性能も提供される。

好適な実施例を挙げて本発明を説明してきたが、使用さ
れた用語は説明のための用語であって制限するものでは
なく、その広い観点くおいて本発明の真の範囲および精
神から逸脱せずに添付の特許請求の範囲内で変更がなさ
れうろことが判る。

【図面の簡単な説明】

第１図は本発明に従って実現された自動飛行制御装置の
チャンネルを示すブロック図であり、第２図は第１図の
プロセッサＡの詳Ｍｊｉを示すブロック図であシ、かつ
第５図は第１図のアクセス？Ｂの詳細を示すブロック図
である。 図中、１０はチャンネル、１１はアナログ感知器、１２
はディジタル感知器、１３はマルチプレクサ、１４およ
び１７は電気データ経路、１５および１６はアナログ／
デジタル変換器、１８はディジタルデータ受信機および
バッファ、２１および２２はプロセッサ、２８および３
６はサーボ駆動制御装置、２９はサーボモータ、３０お
よび３８はサーボ遮断制御装置、３２はＡＮＤゲート、
３４は監視装置、５０は入／出力制御装置、５１はプロ
グラム記憶装置、５２はデータ記憶装置、５３は算術論
理演算装置、５４は制御装置、６２はタスクおよび監視
モジュール順序制御ブロック、６３は非監視タスクモジ
ュール、６４はプログラムカウンタ、６５はレジスタ、
６６は中央処理装置、を夫々示す。

Claims (1)

1. 【特許請求の範囲】 １）航空機の飛行状態に従つて感知信号を発生する感知
   手段と、および前記航空機の飛行状態を制御する航空機
   制御手段とを有する自動飛行制御装置において、前記装
   置の一方のチャンネルは、前記感知信号に応答する計算
   機入力手段と、プログラム記憶手段と、ならびに計算機
   出力手段とを有するディジタル計算機手段であつて、前
   記計算機手段によつて実行されると共に複数のタスクを
   夫々実行することによつて前記感知信号を演算し、航空
   機制御命令信号を前記計算機出力手段に対して発生する
   よう前記計算機手段を制御する複数の第１のプログラム
   セグメントと、前記第１のプログラムセグメントと夫々
   関連すると共に前記第１のプログラムセグメントの性能
   を夫々監視し、関連する第１のプログラムセグメントに
   対して互いに共通性のない計算経路に渡り互いに共通性
   のないタスクを夫々実行する第２のプログラムセグメン
   トとによつて構成された前記プログラム記憶手段に記憶
   されるプログラムを有する前記ディジタル計算機手段と
   、前記感知手段を前記計算機入力手段に結合する計算機
   入力結合手段と、前記プログラムの反復を制御する手段
   と、前記第２のプログラムの全セグメントが前記プログ
   ラムの前記の各反復中に実行されることを保証する手段
   と、および前記計算機出力手段を前記航空機制御手段に
   結合し、それに対して前記航空機制御命令信号を発生す
   る計算機出力結合手段とによつて構成されていることを
   特徴とする上記ディジタル自動飛行制御手段。 ２）特許請求の範囲第１項記載の装置において、前記第
   ２のプログラムセグメントの夫々は関連する第、のプロ
   グラムセグメントが制御する機能によつて禁止された態
   様で前記航空機が飛行しているかどうかを検査するタス
   クを実行することを特徴とする上記ディジタル自動飛行
   制御手段。 ３）特許請求の範囲第２項記載の装置において、前記計
   算機手段は夫々が前記感知器信号と、プログラム記憶手
   段と、および計算機出力手段とに応答する計算機入力手
   段を有する第１および第２のディジタル計算機によつて
   構成されており、前記第１および第２のディジタル計算
   機の一方によつて前記第１のプログラムセグメントの各
   セグメントが実行されると共にそのもう一方によつて対
   応する第２のプログラムセグメントが実行されることを
   特徴とする上記ディジタル自動飛行制御手段。 ４）特許請求の範囲第３項記載の装置において、前記保
   証手段は前記第１および第２のディジタル計算機のプロ
   グラム記憶手段に夫々記憶された前記第２のプログラム
   セグメントの全セグメントが前記プログラムの前記の各
   反復中に実行されることを保証する第１および第２の保
   証手段によつて構成されていることを特徴とする上記デ
   ィジタル自動飛行制御装置。 ５）特許請求の範囲第１項記載の装置において、前記装
   置は前記計算機手段と、および前記保証手段とに結合さ
   れて前記計算機手段または前記保証手段のいずれかに応
   答して前記航空機制御手段を不作動にする不作動手段を
   更に備えていることを特徴とする上記ディジタル自動飛
   行制御装置。 ６）特許請求の範囲第４項記載の装置において、前記装
   置は前記第１ならびに第２のディジタル計算機と、およ
   び前記第１ならびに第２の保証手段とに結合されて前記
   第１のディジタル計算機、前記第２のディジタル計算機
   、前記第１の保証手段、または前記第２の保証手段のい
   ずれかに応答して前記航空機制御手段を不作動にする不
   作動手段を更に備えていることを特徴とする上記ディジ
   タル自動飛行制御装置。