PT1792196E - Processo e dispositivo para proporcionar informações de integridade para utilizadores de um sistema de navegação global - Google Patents

Description

1

Descrição "Processo e dispositivo para proporcionar informações de integridade para utilizadores de um sistema de navegação global"

Campo da invenção A presente invenção refere-se a um processo para proporcionar informações de integridade a utilizadores de um sistema de navegação global de acordo com a reivindicação 1, a um dispositivo para a detecção da posição por meio de um sistema de navegação global de acordo com a reivindicação 7, e a um processo para determinar o risco de integridade da informação disseminada de veículos espaciais num sistema de navegação global de acordo com a reivindicação 13.

Antecedentes da invenção

Num sistema de navegação global baseado em satélites, a detecção precisa de uma posição especificada em relação à terra exige integridade local assim como global. Integridade quer dizer por um lado a capacidade do sistema de navegação global avisar utilizadores dentro de um período predeterminado se partes do sistema não devem ser utilizadas para a sua utilização determinada; por outro lado, a integridade quer dizer também a confiança que um utilizador pode colocar na fiabilidade da informação recebida do sistema, em particular a precisão da informação. São necessários avisos se sinais de satélite individuais para a navegação contiverem defeitos. Por exemplo, tais defeitos ocorrem se for criado um sinal de navegação do 2 satélite no momento errado (erro de correcção do relógio ou tempo) ou no local errado (órbita de satélite defeituosa) . Estes defeitos têm uma influência na duração de execução aparente do sinal de um satélite para um receptor e, por isso, apresentam um forte impacto na precisão da navegação. Os erros do tempo podem também ser considerados como erros da duração da execução. Os defeitos ou erros são também denominados como Erros do Sinal no Espaço, abreviado SISE. A denominação sinal no espaço vem da tarefa de um sistema de navegação global baseado em satélites ou um sistema de navegação por satélite que dissemina sinais no espaço de modo a permitir uma detecção da posição de um receptor dos sinais.

Os conhecidos conceitos de integridade são baseados na presunção que é possível detectar perfeitamente erros. Os conceitos de integridade não regionais conhecidos são o Sistema de Aumento de Área Ampla (WAAS) e o Serviço Europeu de Navegação Geoestacionária (EGNOS). Com estes conceitos, assume-se que os erros podem sempre ser detectados. Contudo, este pressuposto não é sempre correcto e, por isso, a precisão de navegação pode ser reduzida. 0 documento de M. Hollreiser et al. "Galileu User Segment OverView" 10N GPS/GNSS 2003, 9-12 Setembro 2003,

Portland, OR descreve um processo para determinar a integridade do sinal no espaço a partir de marcações de integridade e informação de precisão do sinal no espaço.

Objecto da invenção 3

Por isso, é um objectivo da presente invenção propor um processo e um dispositivo para proporcionar informações de integridade para utilizadores de um sistema de navegação global que não são baseados no pressuposto que os erros podem sempre ser detectados.

Este objectivo é alcançado por um processo para proporcionar informações de integridade para utilizadores de um sistema de navegação global de acordo com a reivindicação 1, um processo para proporcionar a informação de integridade para utilizadores de um sistema de navegação global de acordo com a reivindicação 1, um dispositivo para a detecção da posição por meio de um sistema de navegação global de acordo com a reivindicação 7, e um processo para determinar o risco da integridade da informação disseminada de veículos espaciais num sistema de navegação global de acordo com a reivindicação 13. As formas de realização preferidas da invenção encontram-se especificadas nas reivindicações anexas.

Sumário da invenção A ideia base que suporta a invenção é o de disseminar informação acerca da qualidade do sinal A invenção refere-se a um processo para proporcionar informações de integridade a utilizadores de um sistema de navegação global, que compreende vários veículos espaciais tal como satélites que transmitem informação para um dispositivo para a detecção da posição, em que a informação transmitida compreende uma primeira informação do sistema de navegação global acerca da precisão de um erro do sinal no 4 espaço SISE de um veículo espacial defeituoso e uma segunda informação se o sistema de navegação global classifica o veículo espacial defeituoso como defeituoso ou não.

Ao contrário de processos conhecidos tal como WAAS ou EGNOS para proporcionar informações de integridade num sistema de navegação global tal como o Galileu que são baseados no pressuposto que as avarias podem ser sempre detectadas, a invenção é baseada no pressuposto de que com que exactidão um erro pode ser detectado. Deste modo, o desempenho do sistema de navegação global pode ser aumentado. Também não é utilizado qualquer pressuposto sem fundamento que melhora a qualidade do serviço.

Numa forma de realização da invenção, a primeira informação compreende informação acerca da qualidade de um sinal no espaço SIS difundido pelos veículos espaciais, que é denominada precisão do sinal no espaço SISA, e informação acerca da precisão de uma monitorização do sinal no espaço SIS difundido pelos veículos espaciais por um segmento da terra do sistema de navegação global, que é denominada precisão da monitorização do sinal no espaço SISMA.

Além disso, a segunda informação compreende informação acerca de um sinal no espaço SIS difundido pelos veículos espaciais que não deve ser utilizado, que é denominado marcação de integridade IF.

Tipicamente, uma mensagem de navegação é disseminada para o dispositivo para a detecção da posição que inclui valores do SISA. 5

Uma mensagem de integridade pode também ser disseminada para o dispositivo para a detecção da posição que compreende um quadro que contém um valor do SISMA e uma marcação de integridade IF para cada SIS.

Num sistema de navegação global tal como o Galileu, a navegação e a mensagem de integridade são actualizados a cada 30 segundos.

De acordo com um aspecto adicional, a invenção refere-se a um dispositivo para a detecção da posição por meio de um sistema de navegação global que compreende vários veículos espaciais que transmitem informação para o dispositivo para determinar a posição do dispositivo no espaço, em que o dispositivo compreende meios de recepção para recepcionar uma informação de integridade proporcionada de acordo com o processo de acordo com a invenção descrito acima, meios de processamento para calcular o risco de integridade da primeira e segunda informação recebida a informação adicional, e meios de alerta para emitir um alerta se o risco de integridade calculado for maior do que um risco de integridade permitido. O meio de processamento pode ser adaptado para calcular o risco de integridade para um dado limite de alerta que é o desvio de posição permitido máximo para o qual nenhum alerta tem que ser emitido.

Para o cálculo do risco de integridade deve-se assumir que todas as distribuições utilizadas para o cálculo são distribuições gaussianas. 6

De modo a obter resultados precisos, a informação adicional utilizada para o cálculo do risco de integridade pode compreender a geometria relativa entre o dispositivo para a detecção da posição e um veiculo espacial, a colecção de erros para o sinal no espaço SIS incluindo erros de propagação, erros de recepção e erros da difusão SIS pelos veículos espaciais, e marcações de integridade IFs.

Para erros da difusão SIS pelos veículos espaciais pode-se assumir que para um veículo espacial que não esteja sem defeitos, a distribuição da diferença entre o erro da difusão SIS pelos veículos espaciais e um limite de marcação de integridade encontra-se delimitada por uma distribuição gaussiana com desvio padrão na precisão de monitorização do sinal no espaço SISMA. 0 dispositivo pode ser adaptado para calcular o risco de integridade como a soma do risco de integridade horizontal PíntRisk, h e o risco de integridade vertical PintRisk, v· A invenção refere-se também a um processo para determinar o risco de integridade da informação disseminada de veículos espaciais num sistema de navegação global que proporciona informação de integridade por meio de um processo de acordo com o processo da invenção descrito acima, compreendendo os seguintes passos: - verificar que a informação de integridade recebida para quaisquer correntes de dados de integridade é a informação de integridade gerada pela função de integridade da infra-estrutura terrestre; 7 - seleccionar das correntes de dados de integridade redundantes e verificadas positivamente, a corrente de dados de integridade a ser utilizada; - determinar da informação de integridade seleccionada e verificada positivamente, assim como da informação de navegação, que sinais são válidos; - calcular o risco de integridade no limite de alerta para o período de operação crítico, em que somente veículos espaciais que proporcionam sinais válidos são considerados; - calcular o número de veículos espaciais críticos para o período de operação crítico, em que somente veículos espaciais que proporcionam sinais válidos são considerados; e - gerar um alerta para um utilizador, o qual indica se a informação recebida deve ser utilizada para a detecção da posição ou não.

Em especial, a informação de integridade gerada pela função de integridade da estrutura de terra encontra-se assinada de modo a poder ser validada por um receptor.

As vantagens adicionais e características da invenção tornar-se-ão visíveis da seguinte descrição de formas de realização preferidas da invenção.

Breve descrição dos desenhos A presente invenção será agora descrita, através de um exemplo, tomando como referência os desenhos anexos. As figuras representam:

Figura 1 plano das frequências do sistema de navegação global Galileu;

Figura 2 sinais de navegação utilizados no Galileu que suportam os serviços de salvaguarda da vida humana (SoL);

Figura 3 precisão do sinal no espaço (SISA) e a precisão do sinal da monitorização do sinal no espaço (SISMA); Figura 4 atribuição de integridade de elevado nivel no Galileu;

Figura 5 diagrama em bloco da derivação do utilizador para calcular um risco de integridade; Figura 6 diagrama em bloco da derivação da avaria na disseminação; Figura 7 diagrama em bloco da derivação da avaria na disseminação em maior pormenor; Figura 8 diagrama em bloco da atribuição de continuidade de nivel de topo; Figura 9 diagrama em bloco da perda da atribuição da mensagem de integridade; Figura 10 diagrama em bloco < ia atribuição se houver uma avaria ou exclusão no SIS;

Figura 11 fluxograma do algoritmo de aviso de navegação.

Descrição pormenorizada de formas de realização preferidas da invenção

Na descrição seguinte, a invenção é descrita como aplicação no Galileu que será um sistema europeu controlado, independente, de navegação global baseado em satélites. 9 0 componente global Galileu irá compreender uma constelação de satélites monitorizados e controlados por um segmento terrestre que irá também proporcionar a capacidade de detectar anomalias em satélites ou no sistema e difundir avisos em tempo real (mensagens de integridade) para utilizadores. 0 componente global Galileu irá proporcionar vários serviços de navegação somente de satélite: • Serviços abertos (OS) que proporcionam navegação e temporização; • Serviços de salvaguarda da vida humana (SoL) que proporcionam mensagens de integridade, incorporadas nas mensagens de dados de navegação dos sinais de serviço aberto; • Serviços comerciais (CS) que proporcionam a disseminação de sinais de medição de distância e dados comerciais pelos satélites Galileu; • Serviços governamentais (PRS) que proporcionam navegação e temporização por meio de sinais de navegação independentes, de acesso restrito.

Outros componentes do sistema Galileu irão proporcionar serviços locais para melhorar o desempenho (por exemplo integridade) de base local. 0 sistema Galileu irá também proporcionar suporte aos serviços de busca e salvamento (SAR).

Adicionalmente, o Galileu irá suportar serviços de integridade regionais externos (ERIS) disseminando, através de satélites Galileu seleccionados, dados de integridade 10 gerados por provedores de serviço independentes de integridade regional externos.

De acordo com as exigências mais solicitadas do serviço SoL, isto irá conduzir a atribuição de integridade global do Galileu. Por isso as seguintes caracteristicas SoL encontram-se resumidas.

Frequências e Sinais

Os Sinais de Navegação do Galileu são transmitidos em quatro frequências tal como indicado na figura 1. As quatro frequências são E5a, E5b, E6 e Ll.

Estas frequências foram seleccionadas das bandas atribuídas ao serviço de satélite de rádio navegação (RNSS) pelos regulamentos de rádio comunicações UIT.

Os sinais que suportam o serviço SoL encontram-se ilustrados na figura 2.

Infra-estrutura Galileu 0 Segmento do Espaço Galileu irá compreender uma constelação de 27 satélites operacionais mais três satélites suplentes em órbita (inactivos), em órbita média terrestre (MEO). Cada satélite operacional irá difundir um conjunto de sinais de navegação que transportam a sincronização do relógio, efemérides, integridade e outros dados, dependendo do sinal particular. Um utilizador munido com um receptor apropriado com boa visibilidade do céu irá ser passível de receber cerca de 11 satélites Galileu para determinar a sua posição dentro de alguns metros. O segmento de terra Galileu irá controlar toda a constelação Galileu, monitorizar a saúde dos satélites, e 11 carregar dados para difusão posterior para utilizadores através das estações ascendentes da missão (ULS). Os elementos chave destes dados tais como a sincronização do relógio, efemérides e mensagens de integridade serão calculados de medições feitas por uma rede mundial de estações sensoras Galileu (GSS).

Categorias de Serviços A Integridade para os Sistemas Globais de Navegação por Satélite é uma medida da confiança, que pode ser colocada na capacidade de correcção da informação de posicionamento fornecida para o utilizador pelo receptor. A integridade compreende a capacidade de um sistema proporcionar avisos a tempo e válidos para os utilizadores (alertas). 0 problema principal ao proporcionar integridade para diferentes classes de utilizadores Galileu é o de determinar o que é considerado como sendo um serviço seguro, dado que isto depende do tipo de operação pretendida em cada domínio de aplicação. Os seguintes parâmetros são tradicionalmente utilizados para definir se o serviço é seguro para uma dada operação: • Erro tolerável máximo no domínio da posição sem proporcionar um aviso, denominado limite de alerta (AL) . • Exceder o tempo tolerável máximo entre o limite de alerta e o aviso a ser recebido, denominado tempo para alerta (TTA). • Probabilidade de um aviso não ser proporcionado dentro do tempo para alerta após o limite para alerta 12 ter sido excedido, denominado o risco de integridade (IR) .

Os valores aceitáveis do limite de alerta, tempo para alerta e risco de integridade dependem todos da operação pretendida. 0 sistema Galileu irá proporcionar um elevado nivel de exigência de integridade para os seus sinais de navegação. 0 conceito de integridade global irá acomodar as necessidades de várias comunidades de utilizadores que exigem diferentes serviços, em termos de combinações de sinal, e diferentes niveis de integridade em termos de risco de integridade e limites de alerta. 0 serviço SoL irá proporcionar informações de integridade num nivel global baseado na monitorização de LI e sinais de serviço aberto E5b. 0 serviço SoL irá permitir operações em diferentes domínios de aplicação, não somente transporte (ar, terra, marítimo, e ferroviário) mas também temporização e outras aplicações críticas, com um âmbito alargado de exigências em termos de desempenho de integridade que impõe diferentes constrangimentos a nível de sistema.

Os desempenhos do Galileu são especificados ao nível do utilizador (isto é desempenhos de extremidade a extremidade) assumindo a utilização de um receptor adequado (um receptor "padrão") sob condições específicas de referência ambiental e operacional. A consulta de comunidades de utilizador conduziu à identificação das seguintes três categorias de exigências de integridade: 13 • Nível A: deve cobrir operações que exigem a orientação horizontal e/ou vertical com tempo de exposição curto e com condições dinâmicas muito rigorosas, por exemplo, operações de aproximação no domínio da aviação com condução vertical (APV II). Cobre também algumas aplicações ferroviárias (controlo/monitorização de comboios, e rodoviárias. • Nível B: deve cobrir operações de duração maior que exigem menos precisão, que no âmbito do domínio da aviação vai de em viagem para NPA (aproximação de não-precisão). • Nível C: deve cobrir operações marítimas que incluem a navegação no oceano, navegação costeira, a aproximação de portos, águas restritas e vias navegáveis interiores, que podem exigir elevada precisão vertical. 0 quadro seguinte apresenta as exigências de desempenho relacionadas com a integridade de condução para os vários níveis do utilizador assim como o mapeamento dos sinais do Galileu para estas configurações.

Exigências de Exigências de Exigências de nível A nível B nível C Risco de 3,5e-7 por 150 l,0e-7 por 1 h 1, Oe-5 por 3h Integridade seg Risco de 1,Oe-5 por 15 1 o 0 1 1 (ΰ 1 0) o t—1 3,Oe-4 por 3h Continuidade seg 8 por lh 14

Disponibilidade de Serviço 99,5% 99,5% 99,5% TTA 6 seg 10 seg 10 seg HAL/VAL 40 m/20 m 556 m/NA 25 m/NA Frequência Dupla E5a+Ll ou E5b+Ll Sim Sim Sim Frequência Simples Não ou E5b LI ou E5b Não Sim Não Cobertura Massas de terra do mundo Global Global

As exigências do nível A foram tomadas em consideração para o trabalho da concepção do sistema e têm conduzido o desempenho do sistema e as atribuições de exigência de modo correspondente. Deverá ser mencionado que as exigências do sistema [RD-7] exigem um HAL de 12 m.

Fontes de Erro

Os erros que afectam a determinação da posição utilizando o sistema de navegação por satélite são a combinação dos seguintes dois factores. • Os erros que afectam cada medição de cada amplitude de satélite individual: estes erros são uma função do tempo de previsão da órbita do satélite e evolução do relógio, de modo que as previsões a curto prazo com elevadas velocidades de actualização irão manter estes erros pequenos. 15 • A geometria dos satélites tal como vista por um dado utilizador: esta geometria é deterministica durante um periodo e localização particulares e pode ser calculada por cada utilizador individual. 0 objectivo do mecanismo de integridade para o Galileu é o de assegurar gue cada utilizador individual se encontra munido com sinais gue são seguros para o seu funcionamento pretendido e é avisado na devida altura se esta condição não pode ser respeitada num ponto no tempo. Contudo, o operador do sistema Galileu só pode ser responsabilizado por algumas das fontes de erros que afectam os utilizadores. É por isso importante identificar as diferentes categorias de fontes de erros e explicar como cada um destes componentes de erros podem ser direccionados pelo esquema de integridade global. Existem três categorias principais de fontes de erros tal como se segue. 1. Erros atribuíveis à geração do sinal Galileu: esta categoria inclui todos os erros que resultam das características da frequência de rádio da difusão de sinais dos satélites Galileu ou dos dados de navegação contidos nos sinais de frequência de rádio. Os contribuidores principais nesta categoria são os erros do relógio e efemérides e hardware dentro do satélite. interferência de 2. Erros devido à propagação de sinal: através do seu trajecto da antena de difusão do satélite para a antena receptora do utilizador, o sinal é perturbada por vários fenómenos que afectam a sua propagação. Atrasos ionosféricos, atrasos troposféricos, 16 trajectórias múltiplas e de frequência de rádio serão os contribuidores principais nesta categoria. 3. Erros devido ao receptor do utilizador: o receptor do utilizador irá também contribuir para o desempenho global do sistema. 0 ruído térmico irá afectar as medições da amplitude do receptor, tal como o nível de potência dos sinais recebidos. 0 modo de tratar a contribuição para a integridade destas três categorias de erros será muito diferente. Os dados de integridade do Galileu ião permitir aos utilizadores que sejam protegidos contra a primeira categoria de erros. 0 funcionamento em frequência dupla irá permitir que os utilizadores corrijam os atrasos ionosféricos. A modulação do erro de propagação irá permitir que os utilizadores sejam protegidos de erros devido a atrasos troposféricos. A implementação das barreiras do equipamento do utilizador irá proteger os utilizadores da interferência excessiva ou trajectórias múltiplas.

Conceito de Integridade do Galileu

Rede Terrestre de Monitorização

De acordo com a infra-estrutura terrestre descrita que consiste nas estações sensoras Galileu (GSS) e estações ascendentes da missão (ULS), pode ser utilizada uma rede global para monitorizar o comportamento do satélite e proporcionar respectivamente informação ao utilizador. 0 número de GSS visíveis de cada satélite comanda a rede terrestre e o número correspondente de estações necessárias. As análises do nível de sistema actual mostram que o 17 desempenho de integridade SoL necessário pode ser garantido com uma rede de cerca de 35 GSS.

Por isso, um bom de desempenho é garantido para derivar um conceito de monitorização de integridade útil.

Conceito de Integridade

Uma primeira e típica opção para proporcionar dados para o utilizador para medições mais precisas para derivar um conceito de integridade útil, pode ser a transmissão de dados diferenciais, utilizando a rede global GSS.

De acordo com a invenção, um conceito mais adequado que é independente da localização do utilizador é o de monitorizar cada satélite em si e transmitir o comportamento correspondente (por exemplo sinal estimado na precisão do espaço ou informação "Não OK" se algo estiver errado com o satélite) para o utilizador. Deste modo, o utilizador recebe informação directa acerca do desempenho estimado de cada satélite (relógio e órbita).

Tendo em conta toda a informação transmitida, o utilizador pode calcular o risco de integridade e decidir se a ele é permitido iniciar a sua operação de acordo com a invenção.

Limites SISA, SISMA, IF 0 Galileu tem a possibilidade de monitorizar o sinal no espaço (SIS) dentro do segmento terrestre utilizando as medições dos GSS's. Com as posições conhecidas dos GSS's, pode ser estimada a posição actual do veículo espacial (SV) e, com esta, o erro máximo na amplitude (o erro do sinal no espaço, SISE). 18

Se dermos uma vista de olhos na previsão da distribuição SISE, assumimos que esta distribuição - não necessariamente gaussiana - pode ser delimitada por uma distribuição gaussiana não enviesada com o desvio padrão mínimo denominado precisão do sinal no espaço (SISA). Com esta distribuição, é descrita a diferença entre a posição quadridimensional actual (órbita e relógio) do SV e a posição quadridimensional prevista na mensagem de navegação (veja figura 3). A estimativa do SISE é também um processo erróneo. 0 pressuposto feito neste caso é que a distribuição do SISE actual à volta do valor do SISE estimado pode ser descrita com uma distribuição gaussiana com o desvio padrão denominado precisão de monitorização do sinal no espaço (SISMA). A determinação dos valores SISMA depende da geometria entre os GSS's disponíveis e os SV's. Deste modo, a diferença entre o verdadeiro SISE e o SISE estimado pode ser descrito com esta distribuição gaussiana com o desvio padrão (comparar com 3).

Dentro do conceito de integridade Galileu o sistema calcula o SISE utilizando as medições do GSS's para detectar satélites defeituosos. Se o SISE estimado para um satélite for maior do que um certo limite, o satélite será marcado com "não utilizar". Mas se tornarmos a chamar o processo erróneo da estimativa SISE, tem que ser considerado que o SISE estimado de um satélite pode ser menor do que o limite enquanto que o SISE verdadeiro actual é maior do que o limite. Neste caso fala-se acerca de uma detecção em falta. 0 limite da marcação de integridade TH tem que ser seleccionado de um modo que a probabilidade de um alarme 19 falso é menor do que um limite exigido. Um alarme falso ocorre esteja um satélite marcado como "não utilizar" embora não seja necessário fazê-lo. Isso quer dizer, se um SISE estimado (SISEest) for maior do que o limite TH, enquanto que o SISE actual é menor do que o limite TH, irá haver um falso alarme.

Função de Alerta de Integridade A função de integridade do Galileu é o serviço do sistema para munir os utilizadores com avisos atempados se o sistema não dever ser utilizado para navegação.

Além disso refere-se à confiança que o utilizador pode ter neste serviço. Esta confiança é medida pelo risco de integridade, que é a probabilidade de o utilizador ter sido avisado sem ter sido avisado. Isto é denominada informação enganosa perigosa (HMI). A função de integridade do sistema proporciona informação de integridade aos utilizadores. Contém somente informação sobre: • a qualidade da difusão do SIS pelos SV's (isto é SISA) • a precisão da monitorização pelo segmento terrestre da difusão do SIS pelos CV's (isto é SISMA) • a difusão do SIS pelos SV's que não deve ser utilizada (isto é marcação da integridade e limite de marcação da integridade)

Desta informação o utilizador pode derivar o seu risco de integridade individual de acordo com a invenção. Este risco de integridade é sempre calculado para um dado limite 20 de alerta. O limite de alerta é o desvio de posição permitido máximo para o qual nenhum alerta tem que ser emitido sempre que o risco de integridade derivado no limite de alerta for maior do que o risco de integridade permitido, o equipamento do utilizador deve emitir um alerta. O cálculo do risco de integridade no limite de alerta pode ser simplificado se todas as distribuições necessárias para o cálculo puderem ser assumidas como sendo distribuições gaussianas. A abordagem para justificar este pressuposto é o de delimitar a distribuição com uma distribuição gaussiana quando for possivel e necessário.

Os seguintes termos necessários para calcular o risco de integridade no limite de alerta são explicados novamente. • SISE: - SISE é o erro máximo do SIS no domínio da amplitude provocado pelo SV, pela carga útil SV, e a mensagem de navegação (isto é dados de efemérides, relógio, etc.). • SISA: - Dado que a distribuição SISE não tem que ser uma distribuição gaussiana, a metodologia de delimitação é aplicada para descrever a distribuição SISE com uma distribuição gaussiana do SIS delimitativa. - A distribuição SISE é caracterizada pela SISA, que é uma previsão do desvio padrão mínimo de uma distribuição gaussiana que delimita a distribuição SISE para o SIS livre de erros. 21 • SISMA: - Dado que a SISE não pode ser medida directamente, tem que se estimar a SISE das medições. - A estimativa da SISE resulta numa SISE estimada (eSISE) . - A diferença entre SISE e eSISE apresenta uma distribuição. Esta distribuição deve ser delimitada por uma distribuição gaussiana com um desvio padrão denominado SISMA. Este deve ser um valor mínimo do desvio padrão. • Marcação da integridade e limite da marcação da integridade: - Se a eSISE para um SIS for maior do que o limite da marcação da integridade para este SIS, a marcação de integridade para este SIS encontra-se ajustada para não ok. - 0 limite da marcação da integridade pode ser calculado da distribuição SISE, a distribuição da diferença entre a SISE e eSISE, e a probabilidade de falso alerta permitido. 0 utilizador calcula o seu risco de integridade dos seguintes artigos, que são fixados ou difundidos pelo SIS: • Geometria relativa entre utilizador e SV's • Colecções de erros para o SIS que consistem em - os erros de propagação - os erros de recepção. - os erros do SIS difundidos pelos SV's • marcações de integridade 22 A geometria relativa entre o utilizador e os SV's é calculada da posição estimada do utilizador e efemérides dos SV's.

Para a distribuição dos erros de propagação e recepção existem modelos aprovados. Estes modelos podem ser fornecidos pela medição adicional do receptor.

Para o erro do SIS difundido pelos SV's para os utilizadores específicos assume-se que: • Para os SV's livres de erros a distribuição do erro da difusão do SIS pelos SV's é delimitada por uma distribuição gaussiana com desvio padrão SISA. • Para os SV's que não se encontram livres de erros, a distribuição da diferença entre o erro do SIS difundido pelos SV's e o limite da marcação de integridade é delimitada por uma distribuição gaussiana com um desvio padrão SISMA. A informação da marcação de integridade é de excluir o SIS da solução de navegação e Integridade.

Disseminação de integridade

De acordo com o conceito de integridade descrito, a seguinte informação deve ser disseminada para o utilizador. • Mensagem de navegação: para além do conteúdo da mensagem de navegação normal, a mensagem irá incluir os valores SISA para os satélites assim como será actualizada aproximadamente a cada 30 segundos. • Mensagem de integridade: do mesmo modo que a mensagem de navegação, a mensagem de integridade será actualizada a aproximadamente cada 30 segundos, 23 incluindo o quadro de integridade completo que consiste no valor SISMA e IF para cada SIS. • Soma de controlo e estado de ligação: a soma de controlo de integridade e estado de ligação (como a integridade foi derivada) será actualizado aproximadamente a cada 1 segundo. • Alertas: se necessário podem ser transmitidos alertas em tempo real (aproximadamente a cada 1 segundo) para todos os satélites.

Conceito de Integridade do Utilizador

Pressupostos

Os pressupostos feitos para a derivação da equação da integridade do utilizador encontram-se resumidos a seguir: • Num "Modo livre de erros" o verdadeiro SISE para um satélite é uma média zero gaussiana distribuída com um desvio padrão SISA (SISE-N(0,SISA)). Por isso, o nível de confiança SISA é assumido como igual a 1. • Em geral os satélites defeituosos serão detectados e serão marcados com "não utilizar". • Para cada momento no tempo, um satélite daqueles marcados com "OK " é considerado como estando defeituoso mas não detectado ("Modo de avaria' ') . Para este satélite o verdadeiro SISE é gaussiano distribuído com o valor SISE estimado SISE est como valor esperado e o desvio padrão SISMA (SISE- N(SISEest, SISMA) , isto é o nível de confiança SISMA é do mesmo modo assumido como sendo igual a 1. Mas dado que o SISE estimado SISEest não será conhecido pelo e ο utilizador, a estimativa pessimista para o SISEest limite TH. Por isso, a distribuição para o verdadeiro SISE de um satélite defeituoso, que não se encontra marcado como "não utilizar", é gaussiano com valor esperado TH e desvio padrão SISMA (SISE-N(TH, SISMA)). • A probabilidade de mais do um satélite em cada momento no tempo se encontrar defeituoso mas não detectado é negligenciável para a equação do utilizador. Vários e comuns erros encontram-se atribuídos numa outra derivação da árvore de integridade incluindo erros SISA e SISMA não detectados (veja 0). Por isso, estes acontecimentos não se encontram atribuídos à equação de integridade do utilizador.

Com estes pressupostos, o utilizador é passível de determinar o risco de integridade da sua solução de posição em qualquer local global. Cálculo do Risco de Integridade do Utilizador no AL De acordo com a invenção, existem dois conceitos principais para calcular a integridade do utilizador: 1. ou pode ser calculado que magnitude de erro tem que ser assumida para estar de acordo com um valor de risco de integridade dado (conceito do nível de protecção), 2. ou o risco de integridade pode ser directamente calculado no limite de alerta (AL) .

Para o primeiro conceito têm que ser estabelecidas atribuições fixas para cada mecanismo de avaria (por exemplo 25 2% horizontal e 98% vertical tal como a atribuição WAAS) e nível de protecção horizontal (HPL) respectivamente resultado de nível de protecção vertical (VPL).

Além disso, as geometrias de utilizador que conduzem a elevado HPL são diferentes daquelas que conduzem a elevados valores VPL. No caso de WAAS isto não tem que ser considerado devido ao facto de 2% se encontrarem atribuídos para o caso horizontal. Além disso, WAAS apresenta, se comparado com Galileu exigências de disponibilidade menos rigorosas, de modo que a diminuição na disponibilidade devido a esta divisão fixa pode ser tolerada.

No caso do Galileu, devem ser considerados quatro mecanismos de avaria: horizontal, vertical e para cada um deles sem defeitos e um erro não detectado.

De acordo com a invenção, o risco de integridade para cada mecanismo de falha pode ser calculado no limite de alerta (AL) e para comparar a soma de todas as quatro contribuições com o risco de integridade exigido. Esta abordagem corresponde ao segundo conceito.

Equação de Integridade do Utilizador

Tal como acima descrito pormenorizadamente a informação disponível ao nível do utilizador para calcular o risco de integridade é: • Marcação de integridade, • Valor SISA para cada satélite, • Valor SISMA para cada satélite, e • Limite através de SISA e SISMA. 26

Uma vez que a distribuição do erro no quadro de referência desejado seja conhecida (distribuições de delimitação gaussianas com SISA respectivamente SISMA), tanto nas condições defeituosas como livres de defeitos designadas para as equações do utilizador, é muito simples derivar o risco de integridade associado.

Por isso, as distribuições de erro para o caso vertical (distribuição gaussiana de uma só dimensão) e horizontal (distribuição gaussiana com dois graus de liberdade) têm que ser derivadas, podendo o risco de integridade correspondente ser calculado analisando a integral para ambas as distribuições com os limites dados (limites de alerta). 0 risco combinado de integridade do utilizador pode ser calculado com phmi{vaz,hâl)

PfntRtsk.V "i ^ÍmRisk^H 1 -erf f (

VÂL V2- \ HAZ? + Ê

N /** faúfsatí \ N+Σ j*l l-erf\ VAL + μuj V2· x~xh..»cdf\ ‘vPJFM }) 2 \V dL ^ £fm J} j (hâi? 1 -erf f VAT 'Λ') VAL-μ^γ (eq. 0-1)

Exigências Chave de Desempenho

As análises extensivas de simulação do volume de serviço (SV'S) demonstraram que a integridade exigida global e os desempenhos da disponibilidade podem ser encontrados se os valores SISMA se encontrarem abaixo da seguinte especificação para modos nominais e degradados. 27

Modo Nominal Modo Degradado SISA 8 5 cm 8 5 cm SISMA 6 0 cm 12 0 cm Disponibilidade 94,73% 99,96% GMS SS° estado de 94,38% 5,33% probabilidade Ângulo de elevação do utilizador 10° O O \—1

Neste caso o sistema encontra-se em "modo nominal" se o segmento terrestre for nominal e o SS° for nominal (27 SIS disponíveis) e no modo "degradado" se o segmento terrestre AND/OR o SS° se encontrar degradado (26 SIS).

Deverá ser adicionalmente realçado que estas exigências chave de desempenho foram derivadas por simulações de volume de serviço com um ângulo de elevação de utilizador de 10°. Isto quer dizer que o SIS foi utilizado acima deste ângulo de mascaramento.

Atribuição do Desempenho do Sistema

De acordo com o conceito de integridade global, a integridade exigida, continuidade, e especificações de disponibilidade devem ser atribuídas ao nível do sistema descendo até às exigências de segmento. Esta atribuição do topo descendente é tipicamente realizada utilizando uma denominada árvore da atribuição para cada exigência. 28

De seguida a atribuição descendente de alto nível para integridade, continuidade, e disponibilidade será descrita tomando em consideração o conceito de integridade descrito. Árvore da Atribuição de Integridade

Atribuição de Nível Superior A equação apresentada acima para calcular o risco de integridade ao nível do utilizador representa os seguintes modos e mecanismos de avaria que podem conduzir a um acontecimento de integridade. 1. Todos os satélites encontram-se no modo sem defeitos 2. 0 pior satélite que se encontra marcado como "OK" encontra-se avariado (no limite com SISMA).

Isto pode ser atribuído como contribuição "SIS HMI sem defeitos ou simples" para o risco HMI global especificado no domínio da posição. Este perigo de nível de topo refere-se ao proporcionamento de uma solução de posição sob as condições em que a probabilidade HMI em qualquer período de funcionamento crítico de integridade excede o valor tolerado e o utilizador não é avisado dentro do TTA especificado.

Para além da equação de integridade do utilizador mencionada • "SIS HMI sem defeitos ou simples": este acontecimento representa a situação HMI criada quando todos os sinais utilizados na solução da posição cumprem nominalmente (estocástico sem defeitos) ou no máximo um sinal afectado por uma avaria não detectada é utilizado na solução da posição (uma avaria no SIS devido ao sistema). A última avaria não compreende o 29 caso da avaria individual SISA e avaria individual SISMA porque esta encontra-se atribuída à ramificação "Várias avarias no SIS" descritas a seguir, as contribuições adicionais para o risco de integridade global que podem conduzir aos acontecimentos de integridade são • "Falha na disseminação da integridade devido a efeitos não locais": esta ramificação cobre todos os acontecimentos em que os erros na disseminação da informação de integridade resultam num HMI no domínio da posição. Estes acontecimentos só podem ocorrer quando pelo menos um SIS se encontra em queda. • "Várias falhas no SIS": esta derivação representa a condição em que pelo menos um SIS se encontra em queda devido avaria na determinação das datas de navegação ou várias avarias de sinal independentes. • "Falhas no receptor": a contribuição do receptor não faz parte da atribuição do sistema e encontra-se especificada separadamente nas exigências do sistema. Contudo, para um melhor entendimento encontra-se ilustrado nas seguintes figuras. A figura 4 ilustra a atribuição de integridade de alto nível.

Nas secções seguintes encontram-se sumariamente descritas as derivações de integridade individuais para apresentar um esboço dos mecanismos de avaria que se encontram cobertos pela atribuição da integridade. SIS HMI sem Defeitos ou Individuais 30 A derivação esquerda encontra-se atribuída à equação do utilizador descrita e encontra-se adicionalmente dividida tal como ilustrado na figura 5.

Cada parte pode ser directamente encontrada nas equações de utilizador derivadas (referência a 0). As duas caixas "Protecção em falta sem defeitos" e "Protecção em falta de uma só avaria" na secção B respectivamente C na figura 5 no lado esquerdo representa a atribuição entre os mecanismos de avaria livres de defeitos e defeituosos horizontais e verticais. O utilizador tem que calcular o seu risco de integridade no limite de alerta e ele encontra-se autorizado a iniciar a sua operação se o valor calculado se encontrar abaixo da atribuição "SIS HMI sem defeitos ou individual" (secção A).

Falha na Disseminação A derivação "Falha na disseminação da integridade não local" cobre todos os acontecimentos em que os erros na disseminação da informação de integridade resultam num HMI no domínio da posição. Estes acontecimentos só podem ocorrer quando pelo menos um SIS falha. A figura 6 ilustra a divisão adicional descendo ao nível do segmento para a derivação da falha de disseminação.

Tal como mencionado acima, esta derivação cobre todos os acontecimentos onde ocorre um HMI no domínio da posição de acordo com uma falha na disseminação da informação de integridade. Por isso representa as situações perigosas criadas quando pelo menos um dos SIS utilizados na estimativa da posição se encontra em queda (1 de 11; 11 é o número 31 máximo de satélites visíveis) e se a disseminação avariou provocado pelo GMS ou satélite.

No caso da informação enganosa OSPF (OSPF MI) a saída OSPF contém informação enganosa (isto é SISA não ligando de modo apropriado a órbita prevista e precisão do relógio) para um ou mais satélites.

Várias Avarias do SIS A derivação para várias avarias do SIS cobre finalmente todos os acontecimentos em que várias avarias independentes ou comuns conduzem um HMI no domínio da posição. Por isso estes acontecimentos podem ocorrer se um SIS individual independente avariar simultaneamente ou se uma avaria não detectada para SISA ou SISMA conduzir a avarias SIS comuns.

Além disso, deverá ser destacado que esta derivação cobre para além das várias avarias também as avarias comuns para pelo menos um SIS. Deste modo, esta derivação cobre também as avarias SISA e SISMA não detectadas que não se encontram incluídas na equação do utilizador. A figura 7 ilustra num diagrama em bloco mais pormenorizado a derivação das avarias de disseminação. A contribuição HMI "Avaria SISA não detectada comum" encontra-se atribuída a avarias GMS internas, conduzindo ao cálculo OD&TS degradado ou determinação SISA, de modo que o valor SISA para pelo menos um satélite não se encontra apropriadamente ligado à distribuição SISE no caso sem defeitos. A "Avaria SISMA comum" representa as situações perigosas devido a erros de monitorização. Um tal acontecimento ocorre 32 quando pelo menos um SIS de 11 se encontra em queda e se a determinação SISMA falhar, ou se a informação SISMA se encontrar corrompida provocada pelo GMS ou satélite. Árvore de Atribuição de Continuidade

Do mesmo modo que a atribuição de integridade a exigência do sistema para a descontinuidade tem de ser atribuída ao nível do sistema descendo até aos segmentos.

Pressupostos

Para garantir a descontinuidade exigida do serviço de integridade têm de ser respeitadas duas condições principais no início de um período de exposição de continuidade. • Ligações independentes: pelo menos duas ligações de integridade independentes são recebidas pelo utilizador. Isto é necessário para assegurar que o utilizador recebe informação de integridade (alertas) através do intervalo de continuidade (15 segundos) mesmo que uma ligação falhe (por exemplo avaria do satélite, ascendente ou IPF). • Satélites críticos: não mais do que um número especificado de satélites críticos encontram-se presentes na geometria actual. Um satélite critico é definido como um satélite na geometria actual do utilizador, cuja perda ou exclusão irá incondicionalmente conduzir a exceder o limite de probabilidade HMI tolerado em qualquer período de operação crítico de integridade. Deste modo, a perda de um satélite crítico irá conduzir à geração de um 33 alerta "Não utilizar" de modo que a operação critica actual é imediatamente interrompida.

Atribuição de Nivel Superior A figura 8 ilustra a atribuição do nivel superior para a descontinuidade exigida de serviço. 0 perigo potencial de nivel superior "Descontinuidade de serviço" representa a condição em que uma operação crítica tem que ser interrompida devido à ocorrência de um acontecimento do sistema imprevisível no início de uma operação crítica.

Tais condições de descontinuidade críticas deverão ser encontradas se ocorrerem um dos seguintes acontecimentos receados. • "Descontinuidade devido à avaria somente do receptor": descontinuidade de acordo com uma avaria do receptor (do mesmo modo a atribuição da integridade agora mesmo ilustrada para uma figura completa). • "Descontinuidade devido à perda da mensagem de integridade": este acontecimento conta com a perda do proporcionamento da mensagem de integridade para um utilizador localizado num local arbitrário dentro do volume de serviço. • "MI na determinação da navegação": este acontecimento representa as condições em que sinais enganosos são excluídos da solução da posição (alertas verdadeiros). Os regimes destes alertas verdadeiros são conduzidos pela probabilidade de ocorrência do 34 acontecimento receado "MI na determinação da navegação" em qualquer período de funcionamento crítico de continuidade, dado que a detectabilidade deste acontecimento receado pelo algoritmo IPF é assumida conservadoramente como sendo de 100%. • "Descontinuidade devido a avaria no SIS não local ou exclusão": este evento representa a contribuição da descontinuidade devido a avarias não locais que podem independentemente conduzir à perda ou exclusão de um sinal individual, numa extensão em que a geometria restante é insuficiente para manter a probabilidade HMI abaixo do valor permitido. A seguir encontram-se descritas pormenorizadamente as derivações para a perda da mensagem de integridade e avaria no SIS respectivamente exclusão são descritas para descrever os acontecimentos cobertos que podem conduzir à descontinuidade.

Mensagem de Perda de Integridade 0 acontecimento receado "Descontinuidade devido à perda da mensagem de integridade" reflecte a perda do proporcionamento da mensagem de integridade para um utilizador localizado num local arbitrário dentro do volume de serviço. Isto aparece se a avaria da determinação dos dados de integridade para vários satélites ou se a ligação de integridade redundante estiver perdida. A figura 9 ilustra a atribuição adicional para a perda da mensagem de integridade descendo ao nível de segmento. 35 A perda dentro do período operacional crítico da função da determinação dos dados de integridade ocorre quando o segmento da missão Galileu (GMS) não consegue proporcionar a informação de integridade, ou o GMS não consegue proporcionar informações de integridade com o desempenho SISMA exigido. A derivação à direita encontra-se associada à perda da mensagem de integridade devido a avarias na ligação. São necessárias pelo menos duas ligações no início de uma operação crítica, dado que a probabilidade de perder uma ligação durante uma operação crítica já é mais elevada do que o risco de continuidade total. Se o utilizador tiver duas no início, ao mesmo é permitido continuar mesmo que uma ligação estiver perdida. As ligações de integridade são independentes sob a condição de serem utilizados elementos independentes para proporcionar a informação de integridade ao utilizador.

Pode ocorrer uma avaria na ligação se o GMS falhar na ascensão das mensagens de integridade ou se a ligação se perder de acordo com avarias no satélite.

Avaria ou Exclusão SIS 0 acontecimento receado "Descontinuidade devido à avaria ou exclusão no SIS num local" representa a contribuição da descontinuidade devido a avarias não locais que podem conduzir independentemente à perda ou exclusão de sinal individual, numa extensão em que a geometria restante é insuficiente para manter a probabilidade HMI em quaisquer 150 s abaixo do valor permitido. A geometria do utilizador sob a qual o sistema é declarado disponível pode conter até seis sinais críticos 36 independentes, os quais são igualmente críticos para manter a probabilidade HMI abaixo do valor tolerado. Quando um dos sinais críticos é perdido, a probabilidade HMI excede o valor especificado e o utilizador tem que interromper a sua operação. Isto quer dizer que a contribuição para a descont inuidade do serviço tem que ser calculada como seis vezes a taxa de avarias atribuída a sinais individuais independentes. A figura 10 ilustra a derivação para a avaria ou exclusão no SIS que pode conduzir à descontinuidade do serviço. O conceito de 6 satélites críticos encontra-se ilustrado abaixo da caixa de nível do topo "Descontinuidade devido a avaria ou exclusão no SIS num local". A derivação "Bom sinal não é utilizado (Falso Alerta)" reflecte a descontinuidade que ocorre quando um sinal correcto é excluído de modo imprevisível durante uma operação crítica. A derivação "Sinal acenado correctamente (Alerta Verdadeiro)" tem em conta alertas verdadeiros do algoritmo IPF disparado pelas avarias nos SIS individuais independentes. A caixa "O sinal não alcança o receptor" é igual ao FE "O SIS que contém a mensagem IF não é recebido" tal como ilustrado na figura 9.

Disponibilidade

Para o desempenho de disponibilidade média de serviço a abordagem é o de definir estados do sistema Galileu apropriados e de caracterizar a probabilidade do sistema 37 estar em cada estado assim como a disponibilidade de serviço ao nivel do receptor para cada um desses estados. 0 último parâmetro é definido como a percentagem de tempo no pior local do utilizador para o qual o critério de disponibilidade especificado é satisfeito, de modo que um utilizador pode assumir uma decisão positiva para iniciar uma operação crítica. 0 desempenho de disponibilidade média de serviço é depois alcançado como a soma da disponibilidade obtida para cada estado do sistema, ponderada pela probabilidade do estado correspondente. A caracterização do desempenho da disponibilidade média de serviço requere deste modo a avaliação de ambos os desempenhos probabilísticos importantes para acontecimentos imprevisíveis que determinam as probabilidades do estado e o desempenho de disponibilidade de serviço (previsível) determinístico em estados do sistema disponibilizados dependendo da geometria do sinal. A avaliação das exigências de desempenho do serviço na navegação (em termos de integridade, continuidade e disponibilidade) será finalmente obtida verificando (através de simulação do volume de serviço) que pode ser respeitada a exigência de disponibilidade média de 99,5% do serviço SOL. Do modo a declarar num dado ponto do tempo e espaço a disponibilidade de serviço ao nível do utilizador, têm que ser obtidos ambos o desempenho de continuidade e integridade.

Algoritmo de integridade do utilizador

Disponibilidade de Integridade 38

Em cada época de fixação da solução da posição, a um utilizador será permitido iniciar uma operação critica assim que as seguintes condições estiverem simultaneamente satisfeitas. • 0 receptor Galileu é passível de proporcionar uma solução de navegação. • 0 receptor Galileu é passível de prever o desempenho de integridade e desempenho de continuidade. • A probabilidade de HMI previsto durante o próximo período de operação crítico não excede o valor especificado. • A probabilidade de descontinuidade do serviço prevista durante o próximo período de operação crítico não excede o valor especificado. • A mensagem de integridade é recebida através de pelo menos dois trajectos de satélite independentes. A determinação da disponibilidade de serviços ao nível do utilizador implica que o utilizador tem que ser passível de prever, em cada época de fixação da solução da posição, o seu próprio desempenho de integridade do serviço e desempenho de continuidade. Para este fim, um algoritmo específico corre no interior do receptor do utilizador. Gera as seguintes mensagens de saída para o utilizador. • Mensagem de "Operação normal" se as condições acima mencionadas se encontrarem simultaneamente satisfeitas. • Mensagem de alerta "Não utilizar" sempre que a probabilidade HMI prevista exceder o valor 39 especificado ou nenhuma mensagem de integridade for recebida pelo receptor do utilizador. Neste caso o utilizador deve parar imediatamente a operação actual o gue contribui para a descontinuidade global. • A mensagem "Não iniciar" sempre gue a não integridade se encontrar abaixo do valor especificado mas o risco de descontinuidade previsto exceder o valor permitido ou uma e somente uma integridade de mensagem for recebida pelo receptor do utilizador. Neste caso, ao utilizador não será permitido iniciar uma operação crítica mas a um utilizador que já iniciou uma operação crítica será permitido terminá-la. A regra aplicada pelo receptor do utilizador para determinar se o serviço se encontra disponível a um certo ponto no tempo é tal como se segue. 1. A probabilidade HMI calculada encontra-se abaixo do valor tolerado. 2. 0 número de satélites críticos durante o período de operação crítico de continuidade próximo não é maior do que o valor especificado.

Mais pormenores acerca do algoritmo de integridade do utilizador podem ser encontrados no parágrafo seguinte. Funcionalidades do Algoritmo

De acordo com as funcionalidades necessárias, o algoritmo de integridade do utilizador tem que proporcionar as seguintes funções em todas as épocas. 1. Verificar que a informação de integridade recebida para cada corrente de dados de integridade seja a 40 informação de integridade gerada pela função de integridade da infra-estrutura terrestre; 2. Seleccionar das correntes de dados redundantes de integridade verificadas positivamente a corrente de dados a ser utilizada; 3. Determinar da informação de integridade verificada seleccionada e positiva e da informação de navegação que sinais são válidos; 4. Calcular o risco de integridade no limite de alerta para o período de operação critico; para isto são considerados somente satélites que proporcionam sinais válidos; 5. Calcular o número de satélites críticos para o período de operação crítico; para isto são considerados somente satélites que proporcionam sinais válidos; 6. Gerar os seguintes alertas para o utilizador • "Operação normal" (ao utilizador é permitido iniciar a utilização do sistema para uma operação assim como continuar a utilizar o mesmo para uma operação que já tinha sido iniciada.) • "Não utilizar" (ao utilizador não é permitido iniciar a utilização do sistema para uma operação assim como ele tem que descontinuar a sua utilização para uma operação que já iniciou.) • "Não iniciar" (ao utilizador não é permitido iniciar a utilização do sistema para uma operação mas é permitido continuar a utilizar o mesmo para uma operação que já iniciou.) 41

Validação da Informação de Integridade A informação de integridade gerada pela função de integridade do segmento terrestre é assinada (autenticada) de modo que poder ser validada pelo receptor do utilizador. Esta validação tem que ser executada na função de validação de informação de integridade. A validação irá assegurar que somente informação de integridade que não foi alterada ou que foi alterada durante a disseminação com a probabilidade atribuída será positivamente verificada. A informação de validação é proporcionada na corrente de dados de informação de integridade para o receptor do utilizador em todas as épocas, mesmo que nenhuma outra informação de integridade seja difundida para o utilizador. Isto permite ao utilizador determinar em qualquer época se toda a informação de integridade foi recebida ou não. A validação será executada para qualquer corrente de dados de integridade que o receptor do utilizador irá receber durante a operação nominal. Existem pelo menos duas correntes de dados independentes que o receptor do utilizador recebe.

Selecção da Informação de Integridade A partir da corrente de dados de informação de integridade verificada positivamente, o receptor do utilizador tem que seleccionar uma corrente de dados de integridade para ser utilizada para processamento adicional. Esta será normalmente a mesma corrente de dados de integridade utilizada numa época anterior. A informação de integridade de uma, de outra corrente de dados verificada positivamente, será somente utilizada se a 42 corrente de dados de integridade seleccionada na época anterior não se encontrar mais disponível ou se se prever que a corrente de dados de integridade seleccionada na época anterior não estará disponível durante pelo menos uma época durante o tempo de exposição de integridade.

Se ambas as correntes forem positivamente verificadas no início da operação, uma delas tem que ser arbitrariamente seleccionada.

Determinação Válida do Sinal

Os sinais válidos a serem utilizados são todos os sinais que se encontram previstos para serem recebidos acima do ângulo de máscara definido, que são recebidos pelo receptor do utilizador, e que apresentam 1. a marcação do estado de saúde do satélite não colocada para "não saudável", 2. a marcação de integridade não colocada para "não utilizar" naquela corrente de dados de integridade seleccionada, 3. a marcação de integridade não colocada para "não monitorizada" naquela corrente de dados de integridade seleccionada, 4. o receptor do utilizador não detectou internamente qualquer das seguintes condições: • AGC num estado mau (carga máxima) • PLL não bloqueado • Erro de paridade da mensagem de navegação • emissão inválida de dados 43 • Erro de efeméride (em excentricidade, anomalia média... fora da gama, não foram recebidas quaisquer efemérides, ...) • Almanaque inválido • Temporizador de alarme expirou • Satélite em mau estado • Resultados da verificação de integridade do software (coma de controlo do software incorrecto) • Correcção ionosférica indisponível (para 1 satélite, medições em somente uma frequência) • Erros de cálculos internos (elevação, coordenadas do satélite...) • Modelos de relógio inválidos • Interferência excessiva (configurável pelo utilizador) • Trajectórias múltiplas excessivas (configurável pelo utilizador)

Calculo do Risco de Integridade 0 risco de integridade é calculado de acordo com as fórmulas dadas na secção Equação de Integridade do Utilizador e de acordo com a árvore da atribuição de integridade dada na secção acima "Atribuição do desempenho do sistema".

Satélites Críticos

Um satélite crítico é definido como um satélite na geometria do utilizador que é essencial para manter o risco de integridade no limite de alerta abaixo da especificação. Deste modo tem que haver uma função no receptor do utilizador 44 para determinar o número de satélites críticos na geometria do utilizador. 0 número de satélites críticos é determinado calculando o risco de integridade no limite de alerta para todas as geometrias do utilizador previsíveis em que um sinal valido se encontra em falta. 0 número de satélites críticos é número de satélites que faz com que o risco de integridade no limite de alerta seja maior do que o risco de integridade atribuído se este satélite for retirado.

Algoritmo de Aviso de Navegação 0 Algoritmo de Aviso Navegação deve proporcionar a implementação do conjunto de regras, de modo a decidir se o serviço da navegação com integridade se encontra disponível ou não na época To actual, assim como prever a sua disponibilidade para o período crítico Tc que chega. Para este fim, o algoritmo deve proporcionar três níveis de saídas, nomeadamente: 1. mensagem de "operação normal ou "utilização", que indica que o serviço da navegação se encontra disponível na época To, e previsto para estar disponível durante o próximo período de operação crítico com o nível exigido de desempenho extremidade-a-extremidade. Nesta condição ao utilizador é permitido iniciar ou continuar as operações na época To. 2. mensagem de aviso "não iniciar", que indica que o sistema se encontra disponível na época To mas o risco de descontinuidade não se encontra garantido como sendo aceitavelmente baixo no próximo período crítico de 45 operação. Esta mensagem de aviso indica que uma operação critica (por exemplo aproximação de avião) não deve ser iniciada, mas ao utilizador deve ser permitido acabar a sua operação critica actual. 3. Alerta "não utilizar", que indica que o utilizador tem que instantaneamente terminar a sua operação critica actual porque a probabilidade HMI excede o valor especifico ou a solução PVT (posição, velocidade, e tempo) é perdida.

Mensagem de "Operação normal" 0 Algoritmo de Aviso de Navegação deve ser passivel de gerar em cada época To de fixação de decisão, uma mensagem de "operação normal" se as seguintes condições se encontrarem simultaneamente satisfeitas. 1. Pelo menos duas correntes de dados de integridade encontram-se disponíveis no instante To. 2. Uma solução de algoritmo PVT encontra-se disponível no instante To (nenhum Algoritmo de Alerta PVT se encontra presente). 3. Uma solução de Cálculo de Probabilidade HMI encontra-se disponível no instante To (nenhum algoritmo de alerta HMI encontra-se presente). 4. A probabilidade HMI em quaisquer 150 s previstos na época To através do algoritmo relevante não excede o limite de probabilidade HMI especificado. 5. Encontra-se previsto que pelo menos duas mensagens de integridade estarão continuamente disponíveis durante o período de operação crítico subsequente. 46 6. Encontra-se previsto que não mais do que 6 satélites são críticos.

Mensagem "Não utilizar" 0 Algoritmo de Aviso de Navegação deve ser passível de gerar em cada época To de fixação de posição, um alerta para o utilizador parar instantaneamente a operação corrente (alerta "não utilizar") se ocorrerem uma das seguintes condições (OR): 1. Nenhuma mensagem de ligação de integridade encontra-se disponível na época To, ou encontra-se previsto que nenhuma ligação de integridade estará disponível nalguma época durante o período de operação crítico subsequente. 2. Alerta do Algoritmo PVT indicando que uma solução PVT não se encontra disponível. 3. Alerta do Algoritmo de Cálculo de Probabilidade HMI indicando que a probabilidade HMI não se encontra disponível. 4. A probabilidade HMI em quaisquer 150 s previstos na época To através do algoritmo relevante excede o limite de probabilidade HMI especificado. 5. Os pelo menos dois alertas de aumento SISMA e um alerta de aumento múltiplo SISMA foram enviados através da corrente de dados de integridade para um satélite desde o início da operação crítica e a probabilidade HMI resultante o limite de probabilidade HMI especificado.

Aviso "Não Iniciar 47

Um aviso "não iniciar" tem que ser gerado quando as seguintes condições se encontram simultaneamente satisfeitas numa dada época de fixação de posição (AND): 1. Uma solução de algoritmo PVT encontra disponível no instante To (nenhum Alerta de Algoritmo PVT se encontra presente). 2. A probabilidade HMI encontra-se disponível no instante To (nenhum Alerta de Cálculo HMI se encontra presente). 3. Se a probabilidade HMI em quaisquer 150 s previstos na época To através do algoritmo relevante não exceder o limite de probabilidade HMI especificado, o Algoritmo de Aviso de Navegação deve ser passível de gerar uma mensagem de "não iniciar" sempre que pelo menos uma das seguintes condições se encontrar verificada (OR): • uma e somente uma mensagem de ligação de integridade encontra-se disponível em To, e prevista para estar disponível durante o próximo período de operação crítico • o número de satélites críticos não pode ser determinado em To (encontra-se presente um alerta de Algoritmo de Previsão de Satélite Crítico) • mais do que 6 satélites são críticos durante o próximo período crítico.

Fluxograma do Algoritmo A figura 11 ilustra o fluxograma completo para o algoritmo de aviso de navegação. 48

Esta figura sumariza os acontecimentos que conduzem aos vários avisos de navegação "Não Utilizar", "Não Iniciar", e "Operações Nominais" incluindo as funcionalidades de algoritmo individuais.

Comentários Adicionais

De acordo com as especificações para um receptor do utilizador padrão e o ambiente nominal correspondente, o conceito de integridade global descrito garante os desempenhos exigidos para as especificações nominais mencionadas respectivamente se o utilizador operar num ambiente correspondente. Têm que ser implementadas barreiras adicionais ao nível do utilizador para a protecção contra fenómenos locais excessivos (por exemplo algoritmo RAIM) mas isto encontra-se fora do escopo do presente documento.

Sumário A invenção propõe um sistema de navegação por satélite de integridade global e um conceito de integridade que inclui as capacidades de monitorização necessárias. Para além da capacidade de monitorização que será proporcionada pelo sistema para excluir satélites defeituosos, o presente conceito de integridade conta também para as capacidades de monitorização limitadas que se encontram presentes em qualquer sistema de integridade considerando um satélite defeituoso que não é detectado pelo sistema de monitorização no cálculo do risco de integridade ao nível do utilizador. 49

Foram considerados quatro mecanismos de avaria nas equações de integridade do utilizador: horizontal, vertical e para cada um deles erros sem avaria e um não detectado.

Ao contrário dos conceitos SBAS actuais, não pôde ser realizada qualquer atribuição fixa entre os mecanismos de avaria para evitar infra-estruturas terrestres demasiado complexas. 0 risco de integridade combinado pode ser calculado directamente no limite de alerta e pode ser comparado à especificação correspondente. Este conceito encontra-se incluído na atribuição de integridade global e o impacto do cálculo de risco de integridade combinado tem que ser comparado à abordagem de atribuição fixa típica.

Para garantir a disponibilidade de serviço, foi introduzido um conceito de satélites críticos em que o número de satélites críticos é o número de satélites que faz com que o risco de integridade no limite de alerta seja maior do que o risco de integridade atribuído se este satélite for retirado. Para além dos acontecimentos receados adicionais, foi descrita a árvore de atribuição de continuidade completa.

De acordo com o conceito de integridade descrito o algoritmo do utilizador tem que implementar várias funcionalidades que foram descritas pormenorizadamente.

Para resumir, foi desenvolvido um conceito de integridade e descrito para a arquitectura de Galileu disponível que é passível de garantir a integridade pedida e exigências de continuidade com uma indisponibilidade de 0,5% que é uma ordem de magnitude mais elevada do que todos os 50 outros conceitos SBAS conhecidos (tipicamente 5% de indisponibilidade).

Abreviaturas AL Limite de alerta CS Satélite critico ERIS Serviços de integridade regionais externos eSISE Sinal estimado no erro do espaço FE Acontecimento receado GSRD Documento sobre as exigências do sistema Galileu GCS Estação do controlo Galileu GNS Segmento da missão Galileu GSS Estação sensora Galileu HMI Informação enganosa perigosa HPL Nivel de protecção horizontal IF Marcação de integridade IR Risco de integridade MEO Órbita terrestre média MI Informação enganosa OS Serviço aberto PL Nivel de protecção PRS Serviços governamentais PVT Tempo de velocidade de posição RNSS Serviço de satélite por navegação a rádio SAR Pesquisa e salvamento SBAS Sistema de aumento baseado no espaço SIS Sinal no espaço SISA Precisão do sinal no espaço 51 SISE Erro do sinal no espaço SISMA Precisão de monitorização do sinal no espaço SoL Serviço de salvaguarda da vida humana SV Veiculo espacial SV'S Simulação do volume de serviço TH Limite TTA Tempo para alerta ULS Estação ascendente VPL Nivel de protecção vertical WAAS Sistema de aumento para zonas extensas

Lisboa, 19 de Fevereiro de 2009

Claims (11)

1 Reivindicações 1. Processo para determinar o risco de integridade da informação de posicionamento disseminada de veículos espaciais num sistema de navegação global, compreendendo: • receber a informação de integridade transmitida pelos referidos veículos espaciais; • calcular um risco de integridade da referida informação de integridade e informação adicional; e • emitir um alerta se o risco de integridade calculado for maior do que o risco de integridade permitido; caracterizado por: • a referida informação de integridade compreender: informação acerca da qualidade de um sinal no espaço SIS difundido pelos veículos espaciais, que é denominada precisão do sinal no espaço SISA; informação acerca da precisão de uma monitorização do sinal no espaço SIS difundido pelos veículos espaciais por um segmento terrestre do sistema de navegação global, que é denominada precisão de monitorização do sinal no espaço SISMA; e informação se o sistema de navegação global classifica o veículo espacial defeituoso como avariado ou não; e por 2 • o referido passo de calcular o risco de integridade compreende calcular directamente o referido risco de integridade com base na referida precisão do sinal do espaço SISA, a referida precisão de monitorização no espaço SISMA e referida informação adicional.

2. Processo de acordo com a reivindicação 1, caracterizado por a referida informação de integridade compreender adicionalmente informação acerca de um sinal no espaço SIS difundido pelos veículos espaciais que não deve ser utilizado, que é denominada marcação de integridade IF, compreendendo o processo adicionalmente ter em conta a referida marcação de integridade IF para calcular o referido risco de integridade.

3. Processo de acordo com as reivindicações 1 ou 2, caracterizado por a referida informação de integridade compreender um quadro que contém um valor do SISMA e uma marcação de integridade IF para cada SIS, compreendendo o processo adicionalmente utilizar o referido quadro para calcular o referido risco de integridade.

4. Processo de acordo com qualquer das reivindicações anteriores, caracterizado por compreender calcular o referido risco de integridade para um dado limite de alerta, que é o desvio de posição máximo permitido para o qual nenhum alerta tem que ser emitido. 3

5. Processo de acordo com a reivindicação 4, caracterizado por compreender calcular o referido risco de integridade para o referido limite de alerta dado, como uma soma de um risco de integridade numa direcção horizontal PintRisK,H e um risco de integridade numa direcção vertical PintRisK,v·

6. Processo de acordo com qualquer das reivindicações 4 ou 5, caracterizado por compreender calcular o referido risco de integridade para o referido limite de alerta dado, assumindo que toda a distribuição utilizada para o cálculo são distribuições gaussianas.

7. Processo de acordo com qualquer das reivindicações anteriores, caracterizado por a informação adicional utilizada pelos meios de processamento para calcular o risco de integridade compreender a geometria relativa entre o dispositivo para a detecção da posição e um veiculo espacial, colecção de erros para o sinal no espaço SIS incluindo erros de propagaçao, erros de recepção e erros do SIS difundido pelos veículos espaciais, e marcações de integridade IFs.

8. Processo de acordo com a reivindicação 7, caracterizado por compreender calcular o referido risco de integridade para o referido limite de alerta dado, assumindo que a distribuição da diferença entre o erro da difusão SIS pelos veículos espaciais e um limite de marcação de 4 integridade se encontra delimitada por uma distribuição gaussiana com sinal de desvio padrão na precisão da monitorização do espaço SISMA.

9. Processo para determinar o risco de integridade de informação disseminada de veículos espaciais num sistema de navegação global, caracterizado por compreender os seguintes passos: • receber informação de integridade transmitida pelos referidos veículos espaciais, compreendendo a referida informação de integridade: informação acerca da qualidade de um sinal no espaço SIS difundido pelos veículos espaciais, que é denominada precisão do sinal no espaço SISA; e informação acerca da precisão de uma monitorização do sinal no espaço SIS difundido pelos veículos espaciais por um segmento terrestre do sistema de navegação global, que é denominada precisão da monitorização do sinal no espaço SISMA; e informação se o sistema de navegação global classifica o veículo espacial defeituoso como avariado ou não; • verificar que a informação de integridade recebida para qualquer corrente de dados de integridade é informação de integridade gerada pela função de integridade da infra-estrutura terrestre; • seleccionar das correntes de dados de integridade redundantes e verificadas positivamente a corrente de dados de integridade a ser utilizada; 5 • determinar, da informação de integridade verificada seleccionada e positiva e da informação de navegação, que sinais são válidos; • calcular o risco de integridade no limite de alerta para o período de operação crítico por um processo de acordo com qualquer das reivindicações anteriores, em que somente sinais válidos são considerados; e • calcular o número de veículos espaciais críticos para o período de operação crítico em que somente veículos espaciais que proporcionam sinais válidos são considerados; e gerar um alerta para o utilizador que indica se a informação do receptor deve ser utilizada ou não para a detecção da posição.

10. Processo de acordo com a reivindicação 9, caracterizado por a informação de integridade gerada pela função de integridade da infra-estrutura terrestre se encontrar assinada do modo a poder ser validada por um receptor.

11. Dispositivo para a detecção de posição por meio de um sistema de navegação global que compreende vários veículos espaciais que transmitem informação para o dispositivo para determinar a posição do dispositivo no espaço, em que o dispositivo compreende: • meios de recepção para receber a informação de integridade transmitida pelos referidos veículos espaciais; 6 • meios de processamento para calcular um risco de integridade da referida informação de integridade e informação adicional; e • meios de alerta para emitir um alerta se o risco de integridade calculado for maior do que um risco de integridade permitido, caracterizado por os referidos meios de processamento se encontrarem adaptados para calcular o referido risco de integridade executando um processo de acordo com qualquer das reivindicações anteriores. Lisboa, 19 de Fevereiro de 2009