PatentDe  


Dokumentenidentifikation DE69514644T2 08.06.2000
EP-Veröffentlichungsnummer 0742507
Titel Verfahren und Anordnung zur Synchronisation von Flugsteuerungsrechnern
Anmelder The Boeing Co., Seattle, Wash., US
Erfinder Chong, Ray K., Mukilteo, Washington 98275, US;
Herald, Richard A., Lynnwood, Washington 98037, US;
Gunn, Peter D., Bellevue, Washington 98008, US
Vertreter W. Kraus und Kollegen, 80539 München
DE-Aktenzeichen 69514644
Vertragsstaaten DE, FR, GB
Sprache des Dokument EN
EP-Anmeldetag 13.11.1995
EP-Aktenzeichen 952030955
EP-Offenlegungsdatum 13.11.1996
EP date of grant 19.01.2000
Veröffentlichungstag im Patentblatt 08.06.2000
IPC-Hauptklasse G05D 1/00
IPC-Nebenklasse G06F 11/20   

Beschreibung[de]
Gebiet der Erfindung

Diese Erfindung ist auf Mehrfach-Computersysteme gerichtet, und mehr im besonderen auf Mehrfach-Computersysteme, worin ein Computer eine Sicherung für einen anderen Computer ist.

Hintergrund der Erfindung

Heutige kommerzielle Strahltransportflugzeuge enthalten zwei Flugmanagementcomputer (FMC), die in einer dualen Konfiguration arbeiten. Das heißt, moderne kommerzielle Strahltransportflugzeuge, wie die Boeing Modell 757, 767 und 747-400 Flugzeuge enthalten zwei FMC. Die FMC arbeiten gleichzeitig in Synchronisation. Das heißt, beide FMC empfangen, verarbeiten und vergleichen sowohl gespeicherte Daten als auch Daten, welche durch die Flugzeugbesatzung und durch Flugumgebungssensoren, die an die FMC angekoppelt sind, eingegeben werden. Datendiskrepanzen zwischen den FMCn können eine erneute Synchronisation auslösen, während deren die FMC-Operationen ausgesetzt werden, während die FMC versuchen, eine korrekte Operations- und Datenübereinstimmung wiederherzustellen. Während der erneuten Synchronisation sind die Flugzeugbesatzungen gehindert, d. h. davon ausgeschlossen, neue und geänderte Daten einzugeben. Die Ausschlußzeit kann 30 Sekunden oder mehr betragen. Offensichtlicherweise ist eine Ausschlußzeit dieser Größe für Flugzeugpiloten inakzeptabel.

Frühere Versuche, das Synchronisationsproblem zu lösen, haben sich darauf konzentriert, den FMC-Synchronisationscode robuster zu machen. Obwohl dieses die Anzahl der Resynchronisationsereignisse pro Flugstunde vermindert hat, hat es dieselben nicht vollständig eliminiert. Die vorliegende Erfindung ist darauf gerichtet, ein Verfahren und eine Einrichtung zur Verfügung zu stellen, welche das Ausschlußproblem, das mit der erneuten Synchronisierung von gegenwärtigen Flugmanagementcomputersystemen verbunden ist, eliminiert.

Abriß der Erfindung

Gemäß dieser Erfindung werden ein Verfahren und eine Einrichtung zum: (i)automatischen oder manuellen Auswählen, welcher Flugmanagementcomputer (FMC) von zwei FMCn als ein Haupt-FMC funktionieren wird und welcher als ein Reserve-FMC funktionieren wird; und (ii) Aufrechterhalten der Datengemeinsamkeit und Synchronisation zwischen dem Haupt-FMC und dem Reserve- FMC zur Verfügung gestellt. In einer Form der Erfindung wird der Status eines Steuerschalters, der eine FMC-Wähl- und Autoposition hat, abgetastet, um den Zustand des Schalters zu bestimmen. Wenn der Schalter in einer FMC-Wählposition ist, wird der verbundene FMC gewählt, der Haupt-FMC zu sein, und der andere FMC wird gewählt, der Reserve-FMC zu sein. Wenn der Schalter in der Autoposition ist, wird der Ausfallstatus des FMC bewertet. Wenn einer der FMC ausgefallen ist, wird der andere gewählt, der Haupt-FMC zu sein. Wenn die FMC beide zufriedenstellend arbeiten, wird die Gesundheit der FMC bewertet. Wenn beide FMC gesund sind, wird gemäß einem vorbestimmten Protokoll einer gewählt, der Haupt-FMC zu sein. Wenn sich die Gesundheit von einem der FMC verschlechtert hat, wird der andere FMC gewählt, der Haupt-FMC zu sein. Die Piloteneingabedatengemeinsamkeit wird durch Weiterleitung neuer Daten von dem Haupt-FMC zu dem Reserve-FMC beim Empfang der neuen Piloteneingabedaten durch den Haupt-FMC, oder wenn frühere Piloteneingabedaten durch den Haupt-FMC geändert werden, aufrechterhalten. Der Haupt-FMC und der Reserve-FMC werden synchronisiert, wenn Daten weitergeleitet werden oder wenn der Haupt-FMC und der Reserve-FMC entsynchronisiert werden.

Gemäß alternativen Aspekten dieser Erfindung kann der Steuerschalter eliminiert sein, wodurch eine Entscheidung betreffend die Frage, welcher FMC als der Haupt-FMC gewählt wird und welcher gewählt wird, der Reserve-FMC zu sein, automa tisch gemäß dem vorher in Grundzügen angegebenen Verfahren bestimmt wird.

Wie leicht aus der vorstehenden Beschreibung erkennbar ist, stellt die Erfindung ein neues und verbessertes Verfahren und eine neue und verbesserte Einrichtung zum Synchronisieren von Flugmanagementcomputern zur Verfügung. Anstatt daß ein Paar von FMCn beide die gleichen Daten gleichzeitig und unabhängig empfangen, verarbeiten, vergleichen und speichern, bildet nur einer der FMC eine Schnittstelle mit der Flugzeugbesatzung, um Daten zu empfangen. Der zweite oder Reserve-FMC empfängt die Daten von dem ersten oder Haupt-FMC, nachdem die Daten durch den Haupt-FMC empfangen worden sind, anstatt gleichzeitig und unabhängig. Wenn es durch Ereignisse erforderlich ist, werden der Haupt- und Reserve-FMC in einer Art und Weise synchronisiert, die nicht zu einem Ausschluß führt. Infolgedessen wird das Ausschlußproblem, das mit der erneuten Synchronisation von Dualflugmanagementcomputersystemen des Standes der Technik verbunden ist, eliminiert.

Kurze Beschreibung der Zeichnungen

Die vorstehenden Merkmale und Aspekte dieser Erfindung werden leichter erkennbar, wenn dieselben durch Bezugnahme auf die folgende detaillierte Beschreibung verstanden wird, und zwar genommen in Verbindung mit den beigefügten Zeichnungen, worin:

Fig. 1 ein bildliches Blockschaltbild von zwei Flugmanagementcomputern ist, die gemäß der Erfindung miteinander gekoppelt sind;

Fig. 2 eine schematische Darstellung eines Steuerschalters ist, der mit einem Paar FMCn zum Steuern der Haupt-/Reserve- Bestimmung verbunden ist;

Fig. 3A und 3B ein Ablaufdiagramm enthalten, welches veranschaulicht, wie eine Haupt-/Reserve-Bestimmung gemäß der Erfindung gemacht wird;

Fig. 4 ein Blockschaltbild ist, das zeigt, wie Haupt- und Reserve-Datensynchronisationssubroutinen, die das Synchronisationsprotokoll bilden, gegenseitig bezogen sind;

Fig. 5 ein Ablaufdiagramm einer Hauptdatensynchronisationssubroutine ist, die gemäß der Erfindung gebildet ist; und

Fig. 6 ein Ablaufdiagramm einer Reservedatensynchronisationssubroutine ist, die gemäß der Erfindung gebildet ist.

Detaillierte Beschreibung der bevorzugten Ausführungsformen

Wie aus der folgenden Beschreibung besser zu verstehen ist, wird gemäß der Erfindung einer von zwei Flugmanagementcomputern (FMCn) als ein Haupt-FMC bestimmt. Der andre wird als ein Reserve-FMC bestimmt. Während des normalen Betriebs empfängt der Reserve-FMC die gleichen Piloteneingabe- und Sensoreingabedaten wie der Haupt-FMC. Zusätzlich empfängt der Reserve-FMC Haupt-FMC-Synchronisationsdaten. Basierend auf den empfangenen Daten hält der Reserve-FMC einen Betriebszustand aufrecht, der gleichartig demjenigen des Haupt-FMCs ist. Infolgedessen kann eine transparente/nahtlose Übertragung der Steuerung von dem Haupt-FMC zu dem Reserve-FMC in dem Fall eines Ausfalls des Haupt-FMCs oder eines Übersteuerns durch die Flugzeug-/Wartungsmannschaft stattfinden. Da nur ein FMC (der Haupt-FMC) zu irgendeiner Zeit in Steuerung ist (im Gegensatz zu zwei FMCn, die in Übereinstimmung arbeiten), ist keine erneute Synchronisation notwendig und tritt demgemäß nicht auf. Infolgedessen sind die FMC immer zum Empfangen von Daten verfügbar.

Fig. 1 ist eine bildliche, schematische Ansicht, die einen Haupt-FMC 11 und einen Reserve-FMC 13 veranschaulicht. Wie es konventionell ist, führen beide FMC eine Mehrzahl von Funktionen aus. Obwohl es für die vorliegende Erfindung nicht wichtig ist, sind einige durch die FMC ausgeführte Funktionen bildlich in Fig. 1 dargestellt, und zwar als Objektmanager, die berechtigt sind zur lateralen Führung 15a, 15b, vertikalen Führung 17a, 17b, CDU-Steuerung 19a und 19b, Flugplanung 21a, 21b, Flugplan 23a, 23b, Leistungsfähigkeitsberechnungen 25a, 25b, Kartenerzeugung 27a, 27b, Navigationslösung 29a, 29b. Die Fig. 1 veranschaulicht außerdem eine linke, rechte und mittlere Steuer-/Displayeinheit (CDUen) 31a, 31b und 31c. Die linke, rechte und mittlere CDU 31a, 31c und 31b sind mit der CDU-Steuerung 19a des Haupt-FMCs 11 verbunden. Die CDU- Steuerung 19b des Reserve-FMCs ist in gestrichelten Linien gezeigt, weil sie inaktiv ist, und infolgedessen fließen, wie durch die gestrichelte Linie veranschaulicht, keine Signale von der linken, rechten und mittleren CDU 31a, 31b und 31c zu der CDU-Steuerung 19b des Reserve-FMCs 13. Der Flugplanungsblock des Reserve-FMC 13 ist auch in gestrichelten Linien gezeigt, weil er inaktiv ist. Die übrigen Teile des Reserve- FMCs, nämlich die Lateralführung 15b, die Vertikalführung 17b, der Flugplan 23b, die Leistungsfähigkeitsberechnungen 25b, die Kartenerzeugung 27b und die Navigationslösung 29b sind alle aktiv. Da die durch diese Blöcke ausgeführten Funktionen wie auch die CDU- und Steuerungs- und Flugplanungsblöcke dem mit FMCn befaßten Fachmann gut bekannt sind und keinen Teil dieser Erfindung bilden, werden sie hier nicht beschrieben.

Wie in Fig. 1 gezeigt ist, ist sowohl der Navigationslösungsblock des Haupt-FMCs 11 als auch der Navigationslösungsblock des Reserve-FMCs 13 beide durch einen Summierer 33 verbunden, dessen Ausgangsgröße auf einen Anzeiger (nicht gezeigt) gegeben wird. In einer konventionellen Art und Weise ist es so, daß, wenn sich die Navigationslösungen, die unabhängig durch den Haupt- und Reserve-FMC 11 und 13 berechnet worden sind, um einen vorbestimmten Betrag, z. B. 4 Meilen, unterscheiden, der Anzeigeausgang einen geeigneten visuellen und/oder hörbaren Anzeiger freigibt.

Der Haupt-FMC 11 und der Reserve-FMC 13 sind außerdem so veranschaulicht, daß sie ein Synchronisationsprotokoll 35 und einen Synchronisationszähler 36 aufweisen. Das Synchronisationsprotokoll ist in den Fig. 4-6 gezeigt und unten beschrieben. Das Synchronisationsprotokoll umfaßt Hauptdaten- und Reservedaten-Synchronisationssubroutinen, die den Fluß von Piloteneingabe- und Sensordaten von dem Haupt-FMC 11 zu dem Reserve-FMC und die Übertragung von Synchronisationsdaten zwischen dem Haupt- und Reserve-FMC 11 und 13 steuern. In dieser Hinsicht werden, wie schematisch in Fig. 1 gezeigt ist, durch die Objektmanager 15a, 17a, ... des Haupt-FMCs 11 von einer der CDUen 31a, 31b oder 31c empfangene Daten zu den Objektmanagern 15b, 17b, ... des Reserve-FMCs 13 durch das Synchronisationsprotokoll 35 weitergeleitet. Wie das Synchronisationsprotokoll die Übertragung von Daten steuert, is unten beschrieben.

Wie in Fig. 2 veranschaulicht ist, sind vorzugsweise der Haupt- und Reserve-FMC 11 und 13 je mit einem FMC-Schalter 15 verbunden. Der FMC-Schalter 15 hat drei Positionen, eine linke Position, eine rechte Position und eine Autoposition. Sowohl der Haupt-FMC als auch der Reserve-FMC 11 und 13 fühlen die Position des FMC-Schalters 15 ab oder detektieren diese Position. Die Position des FMC-Schalters wird durch ein Hauptbestimmungsprogramm 41 bewertet, das in den Fig. 3A und 3B veranschaulicht und unten beschrieben ist. Das Haupt-/ Reserve-Bestimmungsprogramm bestimmt, ob ein FMC ein Haupt- FMC oder ein Reserve-FMC sein soll. Der Haupt-/Reserve-FMC- Status ist bildlich in Fig. 2 als der Zustand eines Haupt-/ Reserve-Schalters 43 repräsentiert, der in dem Haupt- und Reserve-FMC 11 und 13 enthalten ist. Wie bildlich in Fig. 2 durch ausgezogene Linien veranschaulicht ist, werden Führungsbefehle, Karten-/Anzeigedaten, CDU-Steuerung und andere Ausgangsgrößen nur durch den Haupt-FMC erzeugt und als brauchbare Daten markiert. Wie durch die gestrichelten Linien veranschaulicht ist, werden, obwohl diese Ausgangsgrößen durch den Reserve-FMC 13 erzeugt werden, sie nicht als verfügbar für empfangende Untersysteme markiert. Schließlich sind, wie das aus der folgenden Beschreibung besser zu verstehen sein wird, die Haupt-/Reserve-Bestimmungsprogramme 41 bildlich als miteinander gekoppelt veranschaulicht, so daß sie die Gültigkeit der Schalterposition, die Gesundheit, den Ausfall und Haupt-/Reserve-Statusdaten Vergleichen oder hierüber votieren können.

Der erste Schritt in der Haupt-/Reserve-Bestimmungssubroutine, die in Fig. 3A veranschaulicht ist, ist der Test 51 zum Bestimmen, ob der FMC-Schalter 15 in der linken oder rechten Position ist. Der Test wird ausgeführt, danach vergleichen die FMC ihre Schalterpositionsablesungen und votieren über den Zustand des Schalters bzw. stimmen darüber ab. Wenn er in der linken Position ist, wird der linke FMC gewählt, der Haupt-FMC zu sein, und der rechte FMC wird gewählt, der Reserve-FMC zu sein. Siehe Block 53. Wenn der Schalter in der rechten Position ist, wird der rechte FMC gewählt, der Haupt- FMC zu sein, und der linke FMC wird gewählt, der Reserve-FMC zu sein. Siehe Block 55. Wenn die Position des FMC-Schalters 15 unbekannt ist, oder wenn der FMC-Schalter 15 in der Autoposition ist, wird ein Test 57 ausgeführt, um zu bestimmen, ob der linke FMC ausgefallen ist. Wenn der linke FMC ausgefallen ist, wird der rechte FMC gewählt, der Haupt-FMC zu sein. Siehe Block 59. Wenn der linke FMC nicht ausgefallen ist, wird ein Test 61 ausgeführt, um zu bestimmen, ob der rechte FMC ausgefallen ist. Wenn der rechte FMC ausgefallen ist, wird der linke FMC gewählt, der Haupt-FMC zu sein. Siehe Block 63.

Wenn der rechte FMG nicht ausgefallen ist, wird ein Test 65 ausgeführt, um zu bestimmen, ob die Gesundheit des linken FMC in Ordnung ist (L-FMH = OK), ob die Gesundheit des rechten FMC in Ordnung ist (R-FMH = OK), und ob der linke FMC bean sprucht, der Haupt-FMC zu sein (L-FM = Hauptrechner). Wenn das so ist, wird der linke FMC gewählt, der Haupt-FMC zu sein, und der rechte FMC wird gewählt, der Reserve-FMC zu sein. Siehe Block 67. In Bezug darauf, daß der linke FMC beansprucht, der Haupt-FMC zu sein, könnten, wie der mit Flugmanagementcomputern vertraute Fachmann erkennt, beide FMC beanspruchen, der Haupt-FMC zu sein, wenn die FMC zu etwa der gleichen Zeit eingeschaltet werden, da beim Einschalten kein FMC fähig ist, den anderen FMC als aktiv zu identifizieren und demgemäß zu entscheiden, daß er der Haupt-FMC war. Unter diesem Satz von Bedingungen würde der nächste Schritt durch das Haupt-/Reserve-Bestimmungsprogramm, das in den Fig. 3A und 3B gezeigt ist, dazu führen, daß als Ergebnis des Tests 65 und des Blocks 67 der linke FMC gewählt wird, der Haupt- FMC zu sein, und der rechte FMC gewählt, der Reserve-FMC zu sein.

Wenn die Gesundheit von einem oder beiden der FMC nicht in Ordnung ist und/oder wenn die Gesundheit von beiden FMCn in Ordnung ist, aber der linke FMC nicht beansprucht, der Haupt- FMC zu sein, wird ein Test 69 ausgeführt, um zu bestimmen, ob die Gesundheit des linken und rechten FMCs in Ordnung ist, und ob der linke FMC beansprucht, der Reserve-FMC zu sein. Wenn das so ist, wird der linke FMC gewählt, der Reserve-FMC zu sein, und der rechte FMC wird gewählt, der Haupt-FMC zu sein. Siehe Block 71. Wie die Beanspruchung beider FMC, der Haupt-FMC zu sein, könnte es unter gewissen Bedingungen auch sein, daß beide FMC beanspruchen könnten, der Reserve-FMC zu sein. Unter diesem Satz von Bedingungen würde der nächste Schritt durch das Haupt-/Reserve-Bestimmungsprogramm, das in den Fig. 3A und 3B gezeigt ist, dazu führen, daß infolge des Tests 69 und des Blocks 71 der linke FMC gewählt wird, der Reserve-FMC unter dem rechten FMC zu sein, der gewählt wird, der Haupt-FMC zu sein.

Wie in Fig. 3B gezeigt ist, wird, wenn sich die Gesundheit von einem der FMC verschlechtert hat, ein Test 73 ausgeführt, um zu bestimmen, ob sich die Gesundheit des linken FMC verschlechtert hat (L-FMH = Verschlechtert) und ob die Gesundheit des rechten FMCs in Ordnung ist (R-FMH = OK). Wenn das so ist, wird der linke FMC gewählt, der Reserve-FMC zu sein, und der rechte FMC wird gewählt, der Haupt-FMC zu sein. Siehe Block 75. Als nächstes wird ein Test 77 ausgeführt, um zu bestimmen, ob die Gesundheit des linken FMC in Ordnung ist (L- FMH = OK) und sich die Gesundheit des rechten FMC verschlechtert hat (R-FMH = Verschlechtert). Wenn das so ist, wird der linke FMC gewählt, der Haupt-FMC zu sein, und der rechte FMC wird gewählt, der Reserve-FMC zu sein. Siehe Block 79. Wenn sich die Gesundheit sowohl des linken als auch des rechten FMCs verschlechtert hat, wird ein Test 81 ausgeführt, um zu bestimmen, ob der linke FMC beansprucht, der Haupt-FMC zu sein. Wenn das so ist, wird der linke FMC gewählt, der Haupt- FMC zu sein, und der rechte FMC wird gewählt, der Reserve-FMC zu sein. Siehe Block 83. Wenn das nicht der Fall ist, wird der linke rMC gewählt, der Reserve-FMC zu sein, und der rechte FMC wird gewählt, der Haupt-FMC zu sein. Siehe Block SS. Wie bei den Tests 65 und 69 wird ein Test 81 ausgeführt, um eine Haupt-/Reserve-Entscheidung in Situationen zu forcieren, in denen beide FMC beanspruchen, der Haupt-FMC zu sein, oder in denen beide beanspruchen, der Reserve-FMC zu sein.

Wie in den Fig. 3A und 3B veranschaulicht ist, geht das Programm, nachdem der Haupt-FMC und der linke FMC gewählt worden sind, im Kreislauf weiter zu dem beginnenden Test, und der Umlauf wird wiederholt. Infolgedessen führt jede Änderung des Status des FMC-Schalters oder Ausfall oder Verschlechterung des Haupt-FMCs zu einer sofortigen Übertragung des Haupt-Status von dem existierenden Haupt-FMC zu dem Reserve- FMC.

Nachdem eine Haupt-/Reserve-Wahl oder -Auswahl ausgeführt worden ist, wird, wie bildlich in Fig. 2 gezeigt ist, ein Softwareschalter eingestellt, der verhindert, daß der Reserve-FMC Piloten-CDU-Eingabe- und Sensordaten direkt von den CDUen erhält. Vielmehr werden, wie unten beschrieben, Piloteneingabedaten von dem Haupt-FMC zu dem Reserve-FMC geschickt. Der Reserve-FMC benutzt unabhängig Sensordaten, um den gegenwärtigen Zustand zu bestimmen, wobei ihm die Piloteneingaben von dem Haupt-FMC gegeben werden.

Die Fig. 4 veranschaulicht das Synchronisationsprotokoll 35, das in dem Haupt- und Reserve-FMC 11 und 13 enthalten ist, welches die Übertragung von Piloteneingabe- und Sensordaten von dem Haupt-FMC 11 zu dem Reserve-ENG und die Synchronisation des Reserve-FMCs mit dem Haupt-FMC steuert. Wie in Fig. 4 gezeigt ist, umfaßt das Synchronisationsprotokoll 35 eine Hauptdatensynchronisationssubroutine 91 und eine Reservedatensynchronisationssubroutine 93. Eine geeignete Hauptdatensynchronisationssubroutine ist in Fig. 5 veranschaulicht, und eine geeignete Reservedatensynchronisationssubroutine ist in Fig. 6 veranschaulicht.

Die in Fig. 5 veranschaulichte Hauptdatensynchronisationssubroutine beginnt mit einem Test 101, um zu bestimmen, ob der verbundene bzw. betreffende FMC der Haupt-FMC oder der Reserve-FMC ist. Wenn der verbundene bzw. betreffende FMC nicht der Haupt-FMC ist, verlagert sich das Programm zu der Reservesynchronisationssubroutine, die iri Fig. 6 veranschaulicht und unten beschrieben ist. Wenn der FMC der Haupt-FMC ist, wird ein Test 103 ausgeführt, um zu bestimmen, ob der andere FMC, der als der Abseits-FMC bezeichnet wird, am Leben ist. Die Terminologie Abseits-FMC wird eher benutzt als Reserve-FMG, da der andere FMG auch beanspruchen könnte, der Haupt-FMG zu sein. Wenn der Abseits-FMG nicht am Leben ist, wird der Nichtabseits-Synchronisationszähler zurückgestellt (siehe Block 105), und das Programm kehrt zu dem Haupt-FMC- Test 101 zurück. Der Nichtabseits-Synchronisationszähler ist der Synchronisationszähler des FMCs, welcher die Hauptdatensynchronisationssubroutine durchläuft.

Wenn der Abseits-FMC am Leben ist, wird ein Test 107 ausgeführt, um zu bestimmen, ob der Nichtabseits-Synchronisationszähler Null ist oder ob der Zählwert des Hauptsynchronisationszählers nicht gleich dem Zählwert des Reservesynchronisationszählers ist. Wenn der Nichtabseits-Synchronisationszähler Null ist oder der Hauptsynchronisationszählerwert nicht gleich dem Reservesynchronisationszählerwert ist, werden Synchronisationsdaten von dem Haupt-FMC zu dem Reserve-FMC geschickt. Siehe Block 109. Danach wird der Nichtabseits-Synchronisationszähler zurückgesetzt. Siehe Block 111. Dann wird der Nichtabseits-Synchronisationszähler inkrementiert (siehe Block 113), und das Programm geht im Kreislauf weiter zu dem Test 101, der bestimmt, ob der FMC der Haupt-FMC ist.

Wenn der Nichtabseits-Synchronisationszähler nicht Null ist und der Hauptsynchronisationszählerwert gleich dem Reservesynchronisationszählerwert ist, wird ein Test 115 ausgeführt, um zu bestimmen, ob eine Datenänderung in dem Haupt-FMC aufgetreten ist. Das heißt, es wird ein Test 115 ausgeführt, um zu bestimmen, ob einer oder mehrere der Objektmanager des Haupt-FMCs Piloteneingabedaten von einer der CDUen oder Daten von internen Berechnungen oder Zustandsänderungen empfangen hat. Wenn keine Datenänderung aufgetreten ist, geht das Programm im Kreislauf weiter zu dem Test 101, der bestimmt, ob der FMC der Haupt-FMC ist. Wenn eine Datenänderung aufgetreten ist, werden die geänderten Daten zu dem Reserve-FMC geschickt. Siehe Block 117. Danach wird der Nichtabseits-Synchronisationszähler inkrementiert. Siehe Block 113. Dann geht das Programm im Kreislauf weiter zu dem Test 101, der bestimmt, ob der FMC der Haupt-FMC ist.

Der erste Schritt in der Reservedatensynchronisationssubroutine, die in Fig. 6 veranschaulicht ist, ist ein Test 121, um zu bestimmen, ob der FMC der Reserve-FMC ist. Wenn der FMC nicht der Reserve-FMC ist, geht das Programm im Kreislauf weiter zu der Hauptdatensynchronisationssubroutine, die in Fig. 5 veranschaulicht und oben beschrieben ist. Wenn der FMC der Reserve-FMC ist, wird ein Test 123 ausgeführt, um zu bestimmen, ob der Abseits-FMC am Leben ist. Wenn der Abseits- FMC nicht am Leben ist, wird der Nichtabseits-Synchronisationszähler zurückgestellt. Siehe Block 125. Wenn der Abseits- FMC am Leben ist, wird ein Test 127 ausgeführt, um zu bestimmen, ob neue Daten von dem Haupt-FMC empfangen worden sind. Wenn keine neuen Daten von dem Haupt-FMC empfangen worden sind, geht das Programm im Kreislauf weiter zu dem Test 121, der bestimmt, ob der FMC der Reserve-FMC ist. Wenn neue Daten von dem Haupt-FMC empfangen worden sind, werden die Daten zu den verschiedenen Objektmanagern übertragen, die in Fig. 1 veranschaulicht und oben beschrieben sind. Danach wird der Reserve-FMC-Synchronisationszähler gleich dem Haupt-FMC-Synchronisationszähler eingestellt (siehe Block 131), wonach das Programm im Kreislauf weiter zum Test 121 geht, der bestimmt, ob der FMC der Reserve-FMC ist.

Wie leicht aus der vorstehenden Beschreibung zu erkennen ist, stellt die Erfindung eine neue verbesserte Einrichtung für das Synchronisieren von Flugmanagementcomputern zur Verfügung, die keine erneute Synchronisation erfordert, welche die Flugzeugbesatzung daran hindern könnte, Dateneingaben und -änderungen auszuführen. Gemäß der Erfindung wird ein FMC von einem Paar von FMCn gewählt, der Haupt-FMC zu sein, während der andere FMC gewählt wird, der Reserve-FMC zu sein. Während des normalen Betriebs empfängt der Haupt-FMC Piloteneingaben und verarbeitet alle Daten und ist der steuernde FMC. Der Reserve-FMC empfängt die gleichen Daten wie der Haupt-FMC plus Haupt-FMC-Synchronisationsdaten. Jedoch werden die Piloteneingabedaten von dem Haupt-FMC empfangen, nicht direkt von den Piloten. Basierend auf den Daten, die er empfängt, ist der Reserve-FMC fähig, einen Betriebszustand aufrechtzuerhalten, der gleichartig demjenigen des Haupt-FMCs ist; jedoch ist er nicht in der Steuerung. Infolgedessen kann in dem Fall eines Ausfalls des Haupt-FMCs eine transparente/nahtlose Übertragung der Steuerung von dem Haupt-FMC zu dem Reserve- FMC stattfinden. Entsprechend kann eine Flug- oder Wartungs mannschaft leicht einen FMC vom Haupt-FMC-Status zum Reserve- FMC-Status umwandeln, und umgekehrt, und zwar ohne Verlust an Steuerung. Da nur ein FMC zu jedem Zeitpunkt in der Steuerung ist, anders als zwei FMC, die in Übereinstimmung arbeiten, ist eine erneute Synchronisation nicht erforderlich und wird demgemäß nicht auftreten.

Obwohl die bevorzugte Ausführungsform der Erfindung veranschaulicht und beschrieben worden ist, ist es durch den Fachmann und andere leicht erkennbar, daß verschiedene Änderungen darin ausgeführt werden können, ohne den Geist und Bereich der Erfindung zu verlassen, wie er durch die beigefügten Ansprüche definiert ist. Zum Beispiel könnte der FMC-Wählschalter 15 weggelassen werden und die FMC-Haupt-/Reserve-Bestimmung vollständig automatisch gemacht werden, wenn das gewünscht wird.


Anspruch[de]

1. Verfahren zum Auswählen, welcher Flugmanagementcomputer (FMC) eines Paars von FMCn als ein Haupt-FMC funktionieren wird und welcher als ein Reserve-FMC funktionieren wird, und Aufrechterhalten der Datengemeinsamkeit und -Synchronisation zwischen dem Haupt-FMC und dem Reserve-FMC, umfassend:

- Bestimmen, ob ein Flugmanagementcomputer (FMC) eines Paars von FMCn ausgefallen ist;

- wenn ein FMC ausgefallen ist, Auswählen des anderen FMCs, um als ein Haupt-FMC zu funktionieren, und des ausgefallenen FMCs, um als ein Reserve-FMC zu funktionieren;

- wenn kein FMC ausgefallen ist, Auswählen von einem FMC, um als ein Haupt-FMC zu funktionieren, und des anderen, um als ein Reserve-FMC zu funktionieren, und zwar gemäß dem vorbestimmten Protokoll;

- Zuführen von Daten zu dem FMC, der ausgewählt worden ist, um als der Haupt-FMC zu funktionieren;

- Schicken von Daten, die durch den FMC empfangen worden sind, der ausgewählt worden ist, der Haupt-FMC zu sein, zu dem FMC, der ausgewählt worden ist, der Reserve-FMC zu sein; und

- Synchronisieren des FMCs, welcher der Reserve-FMC sein soll, mit dem FMC, der ausgewählt worden ist, der Haupt-FMC zu sein.

2. Verfahren nach Anspruch 1, worin das vorbestimmte Protokoll folgendes umfaßt:

- Bestimmen, ob die FMC gesund sind;

- Bestimmen, ob ein ausgewählter einer der FMC beansprucht, ein Haupt-FMC zu sein; und

- Auswählen des ausgewählten einen von den FMCn, um als der Haupt-FMC zu funktionieren, und des anderen FMCs, um als der Reserve-FMC zu funktionieren, wenn beide FMC gesund sind und wenn der ausgewählte eine von den FMCn beansprucht, ein Haupt-FMC zu sein.

3. Verfahren nach Anspruch 1 oder 2, worin das vorbestimmte Protokoll folgendes umfaßt:

- wenn beide FMC gesund sind und wenn der ausgewählte eine von den FMCn nicht beansprucht, ein Haupt-FMC zu sein, Bestimmen, ob der ausgewählte eine von den FMCn beansprucht, ein Reserve-FMC zu sein;

- Auswählen des ausgewählten einen von den FMCn, als der genannte FMC zu funktionieren, der als Reserve-FMC funktionieren soll, und des anderen FMCs, um als der Haupt-FMC zu funktionieren, wenn beide FMC gesund sind und wenn der ausgewählte eine von den FMCn beansprucht, ein Reserve-FMC zu sein;

- Auswählen des anderen der FMC, um als der Haupt-FMC zu funktionieren, wenn sich die Gesundheit von einem der FMC verschlechtert hat; und Auswählen des FMC, dessen Gesundheit sich verschlechtert hat, als der Reserve-FMC zu funktionieren;

- Bestimmen, ob ein ausgewählter einer der FMC beansprucht, ein Haupt-FMC zu sein, wenn sich die Gesundheit von beiden FMCn verschlechtert hat; und

- Auswählen des ausgewählten einen von den FMCn, um als der Haupt-FMC zu funktionieren, und des anderen FMCs, um als der Reserve-FMC zu funktionieren, wenn sich die Gesundheit von beiden FMCn verschlechtert hat, wenn der ausgewählte eine von den FMCn beansprucht, ein Haupt-FMC zu sein.

4. Verfahren nach Anspruch 1, 2 oder 3, worin das vorbestimmte Protokoll folgendes umfaßt:

- Auswählen des anderen der FMC, um als der Haupt-FMC zu funktionieren, wenn sich die Gesundheit von einem der FMC verschlechtert hat, Auswählen des FMCs, dessen Gesundheit sich verschlechtert hat, als der Reserve-FMC zu funktionieren;

- Bestimmen, ob ein ausgewählter einer von den FMCn beansprucht, ein Haupt-FMC zu sein, wenn sich die Gesundheit von beiden FMCn verschlechtert hat; und

- Auswählen des ausgewählten einen von den FMCn, als der Haupt-FMC zu funktionieren, und des anderen FMCs, um als der Reserve-FMC zu funktionieren, wenn sich die Gesundheit von beiden FMCn verschlechtert hat, wenn der ausgewählte eine von den FMCn beansprucht, ein Haupt-FMC zu sein.

5. Verfahren nach irgendeinem der Ansprüche 1 bis 4, worin das vorbestimmte Protokoll folgendes umfaßt:

- Bestimmen, ob ein ausgewählter einer von den FMCn beansprucht, ein Haupt-FMC zu sein, wenn sich die Gesundheit von beiden FMCn verschlechtert hat;

- Auswählen des ausgewählten einen von den FMCn, als der Haupt-FMC zu funktionieren, und des anderen FMCs, um als der Reserve-FMC zu funktionieren, wenn sich die Gesundheit von beiden FMCn verschlechtert hat, wenn der ausgewählte eine von den FMCn beansprucht, ein Haupt-FMC zu sein; und worin die FMC Synchronisationszähler umfassen und worin die Synchronisierung des FMC, der ausgewählt worden ist, der Reserve-FMC zu sein, mit dem FMC, der ausgewählt worden ist, der Haupt- FMC zu sein, für jeden FMC folgendes umfaßt:

- Bestimmen, ob der bestimmende FMC ein Haupt-FMC ist;

- wenn der bestimmende FMC ein Haupt-FMC ist, Bestimmen, ob der andere FMC am Leben ist;

- wenn der andere FMC nicht am Leben ist, Setzen bzw. Einstellen eines Synchronisationszählers in dem bestimmenden FMC;

- wenn der bestimmende FMC nicht ein Haupt-FMC ist, Bestimmen, ob der bestimmende FMC ein Reserve-FMC ist;

- wenn der bestimmende FMC ein Reserve-FMC ist, Bestimmen, ob der andere FMC am Leben ist; und

- wenn der andere FMC nicht am Leben ist, Einstellen eines Synchronisationszählers in dem bestimmenden FMC.

6. Verfahren nach Anspruch 5, das den Haupt-FMC umfaßt:

- Bestimmen, ob der Synchronisationszähler des bestimmenden FMCs Null ist oder ob der Synchronisationszähler des Haupt- FMCs nicht dem Synchronisationszähler des Reserve-FMCs gleicht;

- ob der Synchronisationszähler oder der bestimmende FMC nicht Null ist und der Synchronisationszähler des Haupt-FMCs dem Synchronisationszähler des Reserve-FMCs gleicht;

- wenn der Haupt-FMC Daten aktualisiert hat, Senden der aktualisierten Daten zu dem Reserve-FMC;

- Inkrementieren des Synchronisationszählers des bestimmenden FMCs; einschließlich dessen, daß der Haupt-FMC Synchronisationsdaten zu dem Reserve-FMC sendet, wenn der Synchronisationszähler des bestimmenden FMCs Null ist oder der Synchronisationszähler des FMCs nicht dem Synchronisationszähler des Reserve-FMCs gleicht, wobei der Synchronisationszähler des bestimmenden FMCs inkrementiert wird, nachdem alle Daten zu dem Reserve-FMC gesendet worden sind.

7. Verfahren nach Anspruch 6, umfassend den Reserve-FMC;

- Bestimmen, ob neue Daten von dem Haupt-FMC gesendet worden sind;

- wenn neue Daten von dem Haupt-FMC gesendet worden sind, Schicken der Daten zu den Objektmanagern des Reserve-FMCs; und

- nachdem die Daten zu den Objektmanagern des Reserve-FMCs geschickt worden sind, Setzen bzw. Einstellen des Synchronisationszählers des Reserve-FMCs gleich dem Synchonisationszähler des Haupt-FMCs.

8. System zum Auswählen, welcher Flugmanagementcomputer (FMC) eines Paars von FMCn als ein Haupt-FMC funktionieren wird und welcher als ein Reserve-FMC funktionieren wird, und Aufrechterhalten der Datengemeinsamkeit und Synchronisation zwischen dem Haupt-FMC und dem Reserve-FMC, wobei die Verbesserung folgendes umfaßt:

- jeder der FMC umfaßt eine Haupt-/Reserve-Bestimmungssubroutine zum Bestimmen, ob einer der Flugmanagementcomputer ausgefallen ist, und Auswählen des anderen der FMC, um als ein Haupt-FMC zu funktionieren, wenn einer der FMC ausgefallen ist, und des ausgefallenen FMCs, um als ein Reserve-FMC zu funktionieren; und

- ein Synchronisationsprotokoll zum Steuern bzw. Regeln der Übertragung von Daten, die von dem FMC empfangen worden sind, der ausgewählt worden ist, als der Haupt-FMC zu funktionieren, von Piloteingaben zu dem FMC, der ausgewählt worden ist, als der Reserve-FMC zu funktionieren, während der FMC, der ausgewählt worden ist, der Reserve-FMC zu sein, gegen das Verarbeiten von empfangenen Daten von den Piloteingaben gesperrt wird, und Synchronisieren des FMCs, der ausgewählt worden ist, der Reserve-FMC zu sein, mit dem FMC, der ausgewählt worden ist, der Haupt-FMC zu sein.

9. System nach Anspruch 8, worin die Haupt-/Reserve-Bestimmungssubroutine folgendes umfaßt:

- Bestimmen, ob die FMC gesund sind;

- Bestimmen, ob ein ausgewählter einer von den FMCn beansprucht, ein Haupt-FMC zu sein;

- Auswählen des ausgewählten von den FMCn, als der Haupt-FMC zu funktionieren, und des anderen FMCs, um als der Reserve- FMC zu funktionieren, wenn beide FMC gesund sind und wenn der ausgewählte eine von den FMCn beansprucht, ein Haupt-FMC zu sein; worin die Haupt-/Reserve-Bestimmungssubroutine außerdem folgendes umfaßt:

- wenn beide FMC gesund sind und wenn der ausgewählte eine von den FMCn nicht beansprucht, ein Haupt-FMC zu sein, Bestimmen, ob der ausgewählte eine von den FMCn beansprucht, ein Reserve-FMC zu sein; und

- Auswählen des ausgewählten einen von den FMCn, um als der Reserve-FMC zu funktionieren, und des anderen FMCs, um als der Haupt-FMC zu funktionieren, wenn beide FMC gesund sind und wenn der ausgewählte eine von den FMCn beansprucht, ein Reserve-FMC zu sein, worin die genannte Haupt-/Reserve- Bestimmungssubroutine außerdem folgendes umfaßt:

- Auswählen des anderen der FMC, um als der Haupt-FMC zu funktionieren, wenn sich die Gesundheit von einem der FMC verschlechtert hat, und Auswählen des FMCs, dessen Gesundheit sich verschlechtert hat, um als der Reserve-FMC zu funktionieren, worin die genannte Haupt-/Reserve-Bestimmungssubroutine außerdem folgendes umfaßt:

- Bestimmen, ob ein ausgewählter einer von den FMCn beansprucht, ein Haupt-FMC zu sein, wenn sich die Gesundheit von beiden FMCn verschlechtert hat; und

- Auswählen des ausgewählten einen von den FMCn, um als der Haupt-FMC zu funktionieren, und des anderen FMCs, um als der Reserve-FMC zu funktionieren, wenn sich die Gesundheit von beiden FMCn verschlechtert hat, wenn der ausgewählte eine von den FMCn beansprucht, ein Haupt-FMC zu sein.

10. System nach Anspruch 8 oder 9, worin das Synchronisationsprotokoll jeden FMC umfaßt;

- Bestimmen, ob der bestimmende FMC Haupt-FMC ist,

- wenn der bestimmende FMC ein Haupt-FMC ist, Bestimmen, ob der andere FMC am Leben ist;

- wenn der andere FMC nicht am Leben ist, Setzen bzw. Einstellen eines Synchronisationszählers in dem bestimmenden FMC;

- wenn der bestimmende FMC kein Haupt-FMC ist, Bestimmen, ob der bestimmende FMC ein Reserve-FMC ist;

- wenn der andere FMC nicht am Leben ist, Setzen bzw. Einstellen eines Synchronisationszählers in dem bestimmenden FMC, worin das Synchronisationsprotokoll den Haupt-FMC umfaßt:

- Bestimmen, ob der Synchronisationszähler des bestimmenden FMC Null ist, wenn der Synchronisationszähler des FMCs nicht dem Synchronisationszähler des Reserve-FMCs gleicht;

- wenn der Synchronisationszähler des bestimmenden FMCs nicht Null ist und der Synchronisationszähler des Haupt-FMCs dem Synchronisationszähler des Reserve-FMCs gleicht, Bestimmen, ob der Haupt-FMC Daten aktualisiert bzw. aktualisierte Daten hat;

- wenn der Haupt-FMC Daten aktualisiert bzw. aktualisierte Daten hat, Senden der aktualisierten Daten zu dem Reserve- FMC;

- Inkrementieren des Synchronisationszählers des bestimmenden FMC; worin es das Synchronisationsprotokoll umfaßt, daß der Haupt-FMC Synchronisationsdaten zu dem Reserve-FMC sendet, wenn der Synchronisationszähler des bestimmenden FMCs Null ist oder der Synchronisationszähler des Haupt-FMCs nicht dem Synchronisationszähler des Reserve-FMCs gleicht.







IPC
A Täglicher Lebensbedarf
B Arbeitsverfahren; Transportieren
C Chemie; Hüttenwesen
D Textilien; Papier
E Bauwesen; Erdbohren; Bergbau
F Maschinenbau; Beleuchtung; Heizung; Waffen; Sprengen
G Physik
H Elektrotechnik

Anmelder
Datum

Patentrecherche

Patent Zeichnungen (PDF)

Copyright © 2008 Patent-De Alle Rechte vorbehalten. eMail: info@patent-de.com