DE3687765T2 - Digitales automatisches flugsteuersystem. - Google Patents

Description

• Die Erfindung bezieht sich auf digitale automatische Flugregelsysteme, insbesondere auf Datenmanagementeinrichtungen hierfür.
• Die Systemkanäle heutiger digitaler automatischer Flugregelsysteme benutzen üblicherweise duale Digitalprozessoren, welche auf die gleichen oder ähnliche Daten ansprechen und wobei durch gegenseitige Überwachung der Prozessoren Zufallsfehler oder Systemfehler in den Kanälen festgestellt werden und hierdurch eine fehlersichere Betriebsweise erzielt wird. Die Dualprozessoren können hinsichtlich ihrer Hardware und Software gleich sein und identische Funktionen ausführen. Statt dessen können die Prozessoren im Vergleich zueinander eine unterschiedliche Datenverarbeitung durchführen aber gleiche Funktionsziele erfüllen. Bei dieser Anordnung können die Prozessoren hinsichtlich ihrer Hardware, hinsichtlich ihrer Software oder bezüglich beider, also Hardware und Software, unterschiedlich sein. Eine weitere fehlersichere Dualprozessoreinrichtung ist in der europäischen Patentanmeldung 86 303 800.6 (Veröffentlichung Nr. 0 202 611) beschrieben. In dieser Anmeldung sind die Dualprozessoren in bezug auf ihre Hardware und Software einander ähnlich, führen aber über voneinander getrennte Rechenwege unterschiedliche Funktionen aus. Einer der Prozessoren führt eine automatische Flugregelsystemfunktion aus, während der andere Prozessor jene Funktion überwacht, um festzustellen, ob sich das Flugzeug in einer durch die Funktion nicht zugelassenen Weise bewegt.
• Die beiden Prozessoren können Zugriff zu einer einzigen Gruppe von Datensensoren haben, welche üblicherweise mehrere Sensoruntersysteme umfaßt, welche für die Steuerung des Flugzeugs Eingangsinformationen an die Prozessoren liefern. Jedes Untersystem stellt mehrere, jeweils in eine Folge von Worten oder Bytes formatierte Datensätze zur Verfügung. Ein Byte kann üblicherweise 8 Bits umfassen. Ein solches Untersystem ist das Luftdatenrechner-Untersystem, welches Daten hinsichtlich der Mach-Zahl, der Fluggeschwindigkeit, des dynamischen Drucks, der Vertikalgeschwindigkeit und dergleichen liefert. Ein anderes Subsystem ist das Richtungs- und Kursbezugssystem (AHRS), welches Daten hinsichtlich der Quer- und Längsneigung, des Kurses, der Beschleunigungen und der Flugzeugzellenwerte liefert, die beispielsweise benutzt werden, um die inneren Regelkreise des automatischen Flugregelsystems zu stabilisieren. Ein anderes Eingangsdaten-Untersystem ist das Navigations- Untersystem, das Daten hinsichtlich des gegenwärtigen Standorts, der Geschwindigkeit, der Beschleunigung und dergleichen liefert. Der Ausgang jedes Untersystems umfaßt eine Folge von Bytes, die man als Datennachricht des Untersystems ansehen kann.
• In solchen digitalen automatischen Flugregelsystem ist es erwünscht, einen einzigen bit-seriellen Datenbus für die Übertragung der Nachrichten von den Sensor-Untersystemen an die Prozessoren zu verwenden. Die Einzelbus- Architektur ist hinsichtlich ihrer Hardware-Konfiguration einfacher, braucht weniger Platz, ist billiger und leichter als eine Parallelbus-Architektur. Diese Eigenschaften sind für eine effektive Benutzung in heutigen Flugzeugen von Bedeutung. Bei einem solchen bitseriellen Einzel-Datenbussystem wird während jedes Schrittes des Flugregelprogramms eine große Datenmenge zwischen den Sensor-Untersystemen und den Prozessoreingängen übertragen. Da die Datenübertragung bit-seriell erfolgt, sind die Datenübertragungsgeschwindigkeiten äußerst hoch.
• Üblicherweise steuert einer der Dualprozessoren den Bustakt und nimmt unter Verwendung bekannter Techniken, wie Direktspeicherzugriff, Programmunterbrechungen oder Sensorabtastung alle Daten auf. Während des Rechenzyklus eines Flugregelprogramms benutzt der Datensammelprozessor die Daten der in ihm gespeicherten Programme und liefert auch Daten an den zweiten Prozessor für die redundante oder ungleiche Verarbeitung in der Zweitprozessor- Überwachungseinrichtung, um Zufallsfehler oder Systemfehler in oben beschriebener Weise zu erkennen.
• In einem solchen System kann der Datenempfangsprozessor Eingangsdaten verfälschen, diese verfälschten Daten bei seiner eigenen Datenverarbeitung benutzen und somit verfälschte Daten an den anderen Prozessor liefern, welche dieser zur gegenseitigen Prozessorüberwachung benutzt. Da die von beiden Prozessoren benutzten Daten identisch, wenn auch fehlerhaft sind, kann die gegenseitige Prozessorüberwachung die gleichen, obwohl fehlerhaften Ausgangssignale an beiden Prozessoren feststellen und damit nicht erkennen, daß ein Fehler vorliegt. Unter diesen Umständen können gefährliche Daten zu den Steuerflächen-Steuereinrichtungen gelangen und eine gefährliche Situation hervorrufen. Beim System gemäß der oben erwähnten parallelen europäischen Patentanmeldung mit Benutzung ähnlicher Prozessoren, aber unterschiedlicher Aufgaben, kann es vorkommen, daß das System eine fehlerhafte Situation nicht erkennt, wenn die unterschiedlichen Aufgaben die gleichen Daten erfordern und hierfür verfälschte Daten benutzt werden, um einerseits die automatische Flugregelungsfunktion und andererseits die Überwachungsfunktion durchzuführen. Hieraus kann sich ein gefährlicher Flugzustand ergeben. Solche unentdeckte gefährliche Fehler können auch dadurch entstehen, daß der Datenempfangsprozessor Daten zerstört, Datennachrichtenblöcke in bezug auf die Sensoruntersysteme vermischt und Daten innerhalb der Datennachrichtenblöcke vertauscht.
• Eine andere bekannte Einrichtung mit zwei die gleichen Daten benötigenden Prozessoren besteht in der Verwendung eines Pufferspeichers zum Speichern der Daten, so daß beide Prozessoren im Bedarfsfall Zugriff hierzu haben. Eine solche Anordnung wird verwendet, wenn analoge Daten über einen jedem Prozessor zugeordneten A/D-Umsetzer eingegeben werden. Eine solche Vorrichtung wird nicht bei digitalen Daten verwendet und ist für eine bit-serielle Hochgeschwindigkeits-Datenübertragung höchst unpraktisch.
• Die vorliegende Erfindung ist in den anliegenden Ansprüchen definiert und betrifft eine Datenmanagementeinrichtung für ein automatisches Flugregelsystem mit wenigstens einem ersten und einem zweiten Digitaldatenprozessor, welche ihnen zugeordnete, wenigstens erste bzw. zweite Datenspeicher umfassen und wobei das System ferner Sensoreinrichtungen aufweist zur Lieferung von Datensignalen an den ersten und den zweiten Prozessor zwecks Speicherung dieser Datensignale in dem entsprechenden ersten bzw. zweiten Datenspeicher. Außerdem ist eine Übertragungseinrichtung vorgesehen zum gleichzeitigen und unabhängigen Übertragen der Datensignale von der Sensoreinrichtung zu dem ersten und zweiten Prozessor zwecks Speicherung in dem ersten und zweiten Speicher.
• Eine solche Einrichtung ist in EP-A 0 044 218 beschrieben. Die Datenmanagementeinrichtung gemäß der Erfindung umfaßt eine Sensoreinrichtung mit einem Quellenidentifizierer, der die Datenquelle identifizierende Datenquellen-Identifizierungssignale liefert. Die Einrichtung umfaßt ferner eine unabhängige Datenspeichereinrichtung mit Bereichen (S1 . . . SN) zum Speichern der Datensignale der Sensoreinrichtungen, einen den ersten Prozessor nicht einschließenden unabhängigen Datenweg zur Übertragung der Datensignale an die unabhängige Datenspeichereinrichtung zur dortigen Speicherung, sowie einen unabhängigen Adreßgenerator, der an die unabhängige Datenspeichereinrichtung Adressen für Speicherplätze innerhalb des Speicherbereichs liefert, in den die Datensignale zu speichern sind. Dabei weist der erste Prozessor eine Vorrichtung auf, welche ein Adreßsignal an die unabhängige Speichereinrichtung liefert, um darin entsprechend den Datenquellen- Identifizierungssignalen den Speicherbereich zu adressieren. Ferner ist eine Einrichtung zur Zuführung eines Adressenfortschaltsignals an den unabhängigen Adreßgenerator vorgesehen zum Fortschalten des Adreßsignals innerhalb des Speicherbereichs. Schließlich dient eine Einrichtung im zweiten Prozessor zum Steuern der Übertragung der in der unabhängigen Datenspeichereinrichtung gespeicherten Datensignale in den zweiten Datenspeicher.
• Eine Datenmanagementeinrichtung für ein automatisches Flugregelsystem gemäß der Erfindung wird nachfolgend im einzelnen als Beispiel beschrieben und zwar mit Bezug auf die anliegenden Zeichnungen, in denen
• Fig. 1 ein schematisches Blockschaltbild der Datenmanagementeinrichtung, und
• Fig. 2 eine schematische Darstellung der vom Sensoruntersystem des Flugzeugs gelieferten Datennachrichten wiedergibt.
• In Fig. 1 ist eine Datenmanagementeinrichtung gemäß der Erfindung wiedergegeben. Die Erfindung kann in einem automatischen Flugregelsystem der in der erwähnten parallelen europäischen Patentanmeldung erwähnten Art eingesetzt werden, deren Inhalt in seiner Gesamtheit hier durch Bezugnahme eingeführt wird. Das automatische Flugregelsystem umfaßt einen A-Prozessor 10 sowie einen B-Prozessor 11, die in ähnlicher Weise benutzt werden wie in der genannten europäischen Patentanmeldung. Wie dort beschrieben, sind die Prozessoren 10 und 11 vorzugsweise identisch und haben eine gleiche Architektur und sind von einem Allzweck-Aufbau mittlerer Größe, wie er handelsüblich beschafft werden kann. Sie können in Spezialrechnern für Flugzustandsanalysen, automatische Flugregelung oder zur Verwendung als Flugdirektorinstrument eingesetzt werden. Vorzugsweise wird ein digitaler Flugregelrechner FZ-800 verwendet, wie er von der Avionics Division der Aerospace and Marine Group der Sperry Corporation lieferbar ist. Der Rechner FZ-800 basiert auf einen Zylog Z-8002 Mikroprozessor. Einzelheiten hinsichtlich der internen Ausgestaltung der Digitalrechner 10 und 11 und der darin gespeicherten Programme sind in der parallelen europäischen Patentanmeldung beschrieben. In deren System führt jeder der Prozessoren 10 und 11 aktive Funktionen eines automatischen Flugregelsystems aus und auch Überwachungsfunktionen der dort beschriebenen Art. Diese aktiven und diese Überwachungsfunktionen werden in bezug auf Daten durchgeführt, welche von mehreren Sensoruntersystemen der oben beschriebenen Art geliefert werden, wobei jedes Untersystem eine Folge von Worten oder Bytes bereitstellt, die Informationen über eine Mehrzahl von durch die Sensoren des Untersystems gemessenen Parametern überträgt.
• In Fig. 2 ist das Format der Datennachrichten der verschiedenen Sensoruntersysteme dargestellt zusammen mit der Folge, in welcher die Nachrichten übertragen werden. Die mit S1, S2, . . .... bis SN bezeichneten Untersysteme übertragen, wie in Fig. 2 gezeigt, entsprechende Nachrichten. Jede Nachricht besteht aus einem Startfeld 12, welches den Beginn der Nachricht kennzeichnet sowie einem Adreßfeld 13, welches das Sensoruntersystem als Quelle der Daten kennzeichnet. Ein auf das Adreßfeld 13 folgendes Datenfeld 14 umfaßt eine Folge von Bytes, welche die Information hinsichtlich des betreffenden Sensors des Untersystems liefern. Jedes Byte kann beispielsweise 8 Bits umfassen. Das Datenfeld 14 ist von variabler Länge, die von der Anzahl der darin enthaltenen Bytes abhängt. Ein Endfeld 15 folgt auf das Datenfeld 14 und zeigt das Ende der Nachricht an. Das System, in dem die vorliegende Erfindung angewandt wird, benutzt einen einzigen bit-seriellen Datenbus, an den alle Sensoruntersysteme S1, S2, . . .. bis SN angeschlossen sind. Jede der in Fig. 2 dargestellten Nachrichten wird vom entsprechenden Untersystem in bit-serieller Art dem Bus zugeführt und die Nachrichten S1, S2, . . ... bis SN werden hintereinander übertragen.
• Mit erneuter Bezugnahme auf Fig. 1 empfängt der Datenbus 20 die bit-seriellen Daten von den Sensoruntersystemen des Flugzeugs, wie zuvor anhand von Fig. 2 beschrieben. Der Bus 20 ist ein serieller Hochgeschwindigkeitsbus zur Übertragung einer großen Datenmenge von mehreren Sensoruntersystemen an die Prozessoren 10 und 11 des automatischen Flugregelsystems und zwar während jedes Schrittes des Flugregelprogramms. Ein aktiver Busrahmen oder Zyklus wird benutzt, während dessen alle Sensoruntersysteme ihre Datennachrichten über den Bus an die Prozessoren 10 und 11 in zuvor beschriebener Weise übertragen.
• Die bit-seriellen Daten auf dem Bus 20 werden von einem Empfänger 21 gepuffert, der diese Daten an einen Serien/Parallelwandler 22 anlegt. Dieser Wandler 22 setzt die bit-seriellen Daten auf dem Bus 20 in aus Bytes bestehende Worte um, beispielsweise mit jeweils 8 Bit entsprechend den von den Sensoruntersystemen gelieferten Datenworten. Sobald der Serien/Parallelwandler 22 ein Byte zusammengesetzt hat, gibt der Wandler 22 ein Datenverfügbarkeitssignal auf einem Bus 23 an den A-Prozessor 10 ab. Der Serien/Parallelwandler 22 wird vom Prozessor 10 aufgefordert, das zusammengesetzte Byte auf einem Paralleldatenbus 24 abzusetzen und zwar infolge eines Lesekommandosignals, welches der Prozessor 10 über den Bus 25 an den Wandler 22 gibt. Als Antwort auf das Lesekommandosignal auf dem Bus 27 verriegelt der Wandler 22 das zusammengesetzte Byte an seinem Ausgang, an dem es über den Bus 24 vom Prozessor 10 abgetastet wird.
• Somit steuert der A-Prozessor 10 die Zeitgabe auf dem Serienbus 20 und die Annahme von Daten vom Sensoruntersystem während des aktiven Buszyklus. Während dieser Zeit setzt der A-Prozessor 10 seine normalen Verarbeitungsroutinen aus und widmet seine Steuerung voll dem Empfang der Hochgeschwindigkeitsbytes, welche seriell vom Wandler 22 geliefert werden. Während des aktiven Buszyklus, wenn der A-Prozessor 10 Daten vom Serien/Parallelwandler 22 empfängt, arbeitet der B-Prozessor 11 seine normalen Verarbeitungsroutinen ab, da der Prozessor 11 nicht mit dem Eingangsbus 20 in Verbindung steht. Wenn der A-Prozessor 10 Daten auf dem Bus 24 empfängt, speichert der Prozessor 10 nacheinander die Daten in einem zugeordneten A-Datenspeicher 26. Diese Datenfolge des vom Wandler 22 über den Bus 23 an den Prozessor 10 gelieferten Datenverfügbarkeitssignals und das vom Prozessor 10 über den Bus 25 an den Wandler 22 gelieferte Lesekommandosignal lassen den Prozessor 10 ein Datenbyte aufnehmen und in seinem Datenspeicher 26 speichern. Dieser Vorgang läuft mit hoher Geschwindigkeit während des aktiven Buszyklus ab, bis alle Nachrichten vom Sensoruntersystem vom Prozessor 10 aufgenommen und in dem Datenspeicher 26 für die spätere Benutzung während des Flugregelprogrammschrittes gespeichert sind. Der Prozessor 10 identifiziert mittels der Untersystemadresse 13 das Sensoruntersystem, von dem eine Nachricht empfangen wurde, wie dies anhand von Fig. 2 erläutert worden ist. Der A-Prozessor 10 bestimmt den Abschluß des aktiven Buszyklus, in dem er innerhalb der zu übertragenden Datennachricht die Adresse des letzten Untersystems identifiziert, beispielsweise des Untersystems N in Fig. 2.
• Wie zuvor beschrieben, liefert der Serien/Parallelwandler 22 die Sensordaten über den Bus 24 an den Prozessor 10, der die Daten in Abhängigkeit von den entsprechenden Sensoruntersystemadressen in vorgegebenen Bereichen seines Datenspeichers 26 ablegt. Gleichzeitig und unabhängig davon liefert der Serien/Parallelwandler 22 die Datenbytes über einen vom Prozessor 10 unabhängigen Datenweg 28 an einen unabhängigen Datenspeicher 27. Nach Abschluß des aktiven Buszyklus und Übertragung der Daten aller Sensoruntersysteme an den unabhängigen Datenspeicher 27 kann der B-Prozessor 11 auf den Datenspeicher 27 zugreifen und alle darin gespeicherten Daten in den ihm zugeordneten Datenspeicher 29 übertragen, damit sie zur Benutzung während der schrittweisen Abarbeitung des Flugregelprogramms zur Ausübung von Steuer- und Überwachungsfunktionen benutzt werden können.
• Der unabhängige Datenspeicher 27 speichert also alle während eines kompletten Buszyklus gelieferten Daten, wenn der A-Prozessor 10 derart auf ihn zugreift und ihn steuert, daß der B-Prozessor 11 unabhängigen Zugriff zum gesamten Busdatensatz hat, sobald der aktive Buszyklus beendet ist. Die Daten werden in Abhängigkeit von dem sie liefernden Untersystem in vorgegebenen Bereichen des Speichers 27 abgelegt. Diese Bereiche sind den Sensoruntersystemen entsprechend mit S1, S2, . . ... SN bezeichnet. Diese Untersystem-Adressierung wird vom A-Prozessor 10 über eine Untersystem- Identifizierungsadresse gesteuert, welche auf einem Adreßbus 30 an den Speicher 27 gelangt. Die Adressen auf dem Bus 30 werden aus dem Adreßfeld 13 der in Fig. 2 dargestellten entsprechenden Untersystemnachricht abgeleitet. Die Untersystem-Identifizierungsadresse auf dem Bus 30 steuert die Adressierung der aus den Sensoruntersystemen ankommenden Datenblöcke, wenn sie nacheinander über den Paralleldatenbus 23 zum Speicher 27 gelangen. Die Untersystem-Identifizierungsadresse stellt die Anfangsadresse für die Bereiche des Speicherelements 27 dar und bestimmt, wo die Datenblöcke aus dem Untersystem im Speicher 27 abgelegt sind. Somit werden die empfangenen Daten im Speicher 27 in einer speziellen Ordnung derart abgelegt, daß der B-Prozessor 11 beim Lesen der Daten Informationen hinsichtlich des speziellen Untersystems erhält, aus dem die entsprechenden Datensätze stammen. So wie der A-Prozessor 10 jedes Datenbyte vom Serien/Parallelwandler 22 empfängt, liefert er ein Schreibkommando über den Bus 31 an den Speicher 27, der das Byte in den Speicher 27 übernimmt und zwar in den durch die Untersystem-Identifizierungsadresse auf dem Bus 30 bestimmten Bereich und an einer Speicherstelle, die in noch zu beschreibender Weise bestimmt wird.
• Der A-Prozessor 10 stellt über den Adreßbus 30 die Startadresse für die Eingabe einer Nachricht von einem Sensoruntersystem in den entsprechenden Sektor des Datenspeichers 27 zur Verfügung. Der A-Prozessor 10 speichert ferner die gleiche Datennachricht in ähnlicher Anordnung in seinem Speicher 26. Der A-Prozessor 10 bestimmt intern die Adresse der Speicherplätze innerhalb des Datenspeichers 26, wo die Bytes der Nachricht zu speichern sind. Will der A-Prozessor 10 diese Adressen zur Bestimmung der Speicherplätze für einzelne Bytes innerhalb eines Untersystem-Sektors des Datenspeichers 27 bestimmen, so könnte der Prozessor 10 wegen eines Ausfalls oder Fehlers diese Adressen durcheinanderbringen und somit falsche Daten in den Speicherplätzen ablegen. Diese falschen Daten wurden dann sowohl vom A-Prozessor 10 über seinen Datenspeicher 26 als auch vom B-Prozessor 11 über seinen Datenspeicher 29 benutzt, nachdem die durcheinandergebrachten Daten vom unabhängigen Datenspeicher 27 aufgenommen worden sind. Da die gleichen durcheinandergebrachten Daten von beiden Prozessoren benutzt wurden, kann es sein, daß durch die redundante Überwachungstechnik des Systems der Fehler nicht erkannt wird. Eine solche Datenverwechslung hätte die gleiche Wirkung wie eine Verfälschung der Daten durch den A-Prozessor 10 und eine anschließende Übertragung der verfälschten Daten an den B-Prozessor 11 zwecks Verwendung bei redundanter oder Überwachungs- Verarbeitung.
• Um eine solche Datenvermischung zu vermeiden, wird eine unabhängige Datenspeicherfolgeschaltung 32 benutzt, welche über den Datenadreßbus 33 die Adressen innerhalb der Datenblöcke S1, S2, . . . SN des Datenspeichers 27 liefert, um die Bytes der Sensor-Untersystemnachrichten einzuspeichern. Die unabhängige Datenspeicherfolgeschaltung 32 liefert eine Folge von Adressen unabhängig vom A-Prozessor 10. Für jede Datennachricht eines Sensoruntersystems wird die unabhängige Datenspeicherfolgeschaltung 32 anfänglich auf Null gesetzt und zwar durch ein vom A-Prozessor 10 über den Bus 34 geliefertes Adressenlöschsignal. Werden die Bytes der Untersystemnachricht vom Serien/Parallelwandler 22 empfangen, so wird die auf dem Bus 33 durch die unabhängige Datenspeicherfolgeschaltung 32 gelieferte Adresse für jedes Datenbyte nacheinander fortgeschaltet. Sobald der Endanzeiger 15 (Fig. 2) der Nachricht vom Prozessor 10 empfangen wird, liefert der A-Prozessor 10 die Adresse für die als nächste zu empfangende Nachricht an den unabhängigen Datenspeicher 27, die unabhängige Datenspeicherfolgeschaltung 32 wird über das Signal auf dem Bus 34 auf Null gesetzt, und die Adressen werden über die Signale auf dem Bus 35 für jedes in der neuen Nachricht empfangene Byte fortgeschaltet. Dieser Prozeß läuft solange weiter, bis alle Untersystemnachrichten empfangen sind und der aktive Buszyklus abgeschlossen ist. Nach einem vollständigen Buszyklus befinden sich alle über den seriellen Datenbus 20 gelieferten Daten aller Sensoruntersysteme im Datenspeicher 26 des A-Prozessors 10 sowie in entsprechenden Speicherbereichen S1, S2, . . .. SN des unabhängigen Datenspeichers 27. Die Daten im Speicher 26 werden für die spätere Verarbeitung durch den Prozessor 10 während des Flugregelprogrammschritts benutzt. Die Daten im Speicher 27 werden anschließend in den B-Prozessor 11 übertragen zwecks Speicherung in dessen Speicher 29 und Verarbeitung während des Flugregelprogrammschritts.
• Die Einrichtung gemäß der Erfindung wird in solcher Weise eingesetzt, daß der A-Prozessor 10 im unabhängigen Datenspeicher 27 gespeicherte Daten nicht verfälschen oder zerstören kann. Der A-Prozessor 10 kann nicht in den Datenspeicher 27 einschreiben. Die in den Datenspeicher 27 eingegebenen Daten werden unmittelbar über den unabhängigen Datenbus 28 geliefert. Nur das Schreibkommando auf dem Bus 21 und die Untersystem- Identifizierungsadresse auf dem Bus 30 werden vom A-Prozessor an den unabhängigen Datenspeicher 27 geliefert.
• Nach Abschluß eines aktiven Buszyklus werden die im Speicher 27 gespeicherten Daten vom B-Prozessor 11 in seinen Datenspeicher 29 geladen und damit der Datenspeicher 27 für den nächsten aktiven Buszyklus freigegeben. Der B-Prozessor 11 adressiert den Speicher 27 über den Leseadreßbus 26 mit einer Folge von Leseadressen und gibt auf dem Bus 27 entsprechende Lesebefehlssignale an den Speicher 27, um die im Speicher 27 gespeicherten Bytes nacheinander über den Paralleldatenbus 28 in den B-Prozessor 11 und von dort in dessen Datenspeicher 29 zu übertragen. Im wesentlichen bewirkt der Prozessor 11 eine Blockübertragung des gesamten Dateninhalts im Datenspeicher 27 auf den Datenspeicher 29 für die anschließende Verwendung durch den B-Prozessor 11 während des Flugregelprogrammschritts.
• Wie zuvor beschrieben, wird die Schreibadressierung des Datenspeichers 27 für die einzelnen Datenbytes innerhalb der Untersystem-Datennachricht durch eine unabhängige Datenspeicher-Folgeschaltung 32 derart gesteuert, daß der A-Prozessor 10 Daten innerhalb des Datenspeichers 27 nicht durcheinanderbringen kann. Das Adressieren zum Bestimmen des Bereichs im Datenspeicher 27 und zum Lokalisieren der Untersystem-Datennachrichten wird jedoch vom A-Prozessor 10 über den Bus 30 bewirkt, und so können diese Speicherbereiche durch den A-Prozessor 10 durcheinandergebracht werden. Geschieht dies, so verarbeiten beide Prozessoren 10 und 11 die gleichen durcheinandergebrachten Daten und machen folglich die Redundanz oder benutzten Überwachungsprozeduren unwirksam und ermöglichen es, daß der Ausfall oder Fehler unentdeckt bleibt. Die unentdeckten durcheinandergebrachten Daten können zu einem gefährlichen Flugzustand des Flugzeugs führen. Das System ist gegen eine solche Art von Datenmischung durch Verwendung der Quellenidentifizierungsadresse 13 (Fig. 2) innerhalb jeder Datennachricht eines entsprechenden Untersystems geschützt. Wenn der B-Prozessor 11 die Daten vom Datenspeicher 27 an den Datenspeicher 29 übertragt, verifiziert der Prozessor 11 die Quellenadresse, um sicherzustellen, daß keine Vertauschung von Untersystemdaten durch einen Fehler des A-Prozessors 10 aufgetreten ist.
• Zusätzlich überträgt jede Datenquelle innerhalb des Datenblocks 14 gemäß Fig. 2 ein Datenprüfsummensignal sowie ein Neudaten-Fortschreib-Überprüfungssignal, welches von einem nicht dargestellten Zähler geliefert wird. Diese Datenprüfsignale werden sowohl vom A-Prozessor 10 als auch vom B-Prozessor 11 dazu benutzt, um die in den Speichern 26 und 27 abgelegten Daten zu überprüfen. Diese Datenüberprüfungsprozedur schützt gegen Fehler und/oder Systemfehler, welche die Datenbitmuster ändern und/oder sperrt die Datenübertragung durch die Einzelleitungswege 20, 21, 22, 23 und 24.
• In Zusammenfassung der Betriebsweise der Einrichtung gemäß der Erfindung werden die in Fig. 2 dargestellten Nachrichten nacheinander in bit-serieller Weise mit hoher Geschwindigkeit über den seriellen Datenbus 20 übertragen. Jedes Untersystem überträgt seine gesamte Datennachricht, welche vom Wandler 22 in parallele Bytes formatiert ist. Der Prozessor 10 benutzt die Adresse 13 (Fig. 2) zur Auswahl des Bereichs innerhalb des Speichers 27, in dem die Untersystem-Information abzuspeichern ist. Der Prozessor 10 löscht dann die Adresse in der unabhängigen Datenspeicher-Fortschalteinrichtung 32 und zwar über das Adressenlöschsignal auf dem Bus 34. Die Bytes der Nachricht werden dann vom Prozessor 10 empfangen und in den Datenspeicher 26 weitergegeben. Gleichzeitig befiehlt der Prozessor 10 über den Schreibbefehl auf dem Bus 31 die Speicherung der Bytes im Datenspeicher 27 in dem durch die Adresse auf dem Bus 30 bestimmten Bereich und in den durch die Adresse auf dem Bus 33 bestimmten Speicherplätzen, wobei letztere Adresse von der unabhängigen Datenspeicher-Folgeschaltung 32 kommt. Mit dem Empfang aufeinanderfolgenden Bytes kommandiert der Prozessor 10 die Folgeschaltung 32 zur aufeinanderfolgenden Fortschaltung des Adreßzählstandes derart, daß die aufeinanderfolgenden Bytes in aufeinanderfolgenden Speicherplätzen in dem zugehörigen Bereich des Datenspeichers 27 abgelegt werden. Der Prozessor 10 erkennt den Empfang einer gesamten Nachricht dadurch, daß er den Endanzeiger (Fig. 2) feststellt. Der Prozessor 10 bereitet sich auf den Empfang der Datennachricht des nächsten Untersystems dadurch vor, daß er den Datenspeicher 27 über den Untersystem- Identifizierungsadreßbus 30 adressiert und über das Adressenlöschsignal auf dem Bus 34 die unabhängige Datenspeicherfolgeschaltung 32 löscht. Der Prozessor 10 erkennt den Empfang aller Untersystem-Datennachrichten durch Identifizierung der Adresse innerhalb der Datennachricht vom Untersystem SN. Nach Abschluß eines aktiven Buszyklus befinden sich alle Untersystem-Daten im Datenspeicher 26 sowie in aufeinanderfolgenden Bereichen des Datenspeichers 27. Danach werden die Daten vom B-Prozessor 11 aus dem Datenspeicher 27 in den Datenspeicher 29 übertragen. Damit ist der Datenspeicher 27 für die Benutzung durch den A-Prozessor 10 für den Empfang des nächstfolgenden Buszyklus freigegeben. Die dann in den Speichern 26 und 29 befindlichen Daten werden von den Prozessoren 10 bzw. 11 zur Ausübung aktiver Autopilot-Funktionen sowie für Überwachungsvorgänge benutzt, wie dies in der parallelen europäischen Patentanmeldung geschrieben ist, oder zur redundanten gegenseitigen Prozessorüberwachung zum Feststellen von Fehlern oder Ausfällen benutzt.
• Somit werden durch Verwendung der Erfindung nach der Übertragung in die Daten eingebrachte Fehler von wenigstens einem der Prozessoren festgestellt, der dann hierauf reagieren und verhindern kann, daß sich gefährliche Zustände im automatischen Flugregelsystem ergeben. Bekanntlich kann ein festgestellter Ausfall oder Fehler zu verschiedenen möglichen Zuständen des automatischen Flugregelsystems führen, beispielsweise in der Abschaltung eines bestimmten Regelmodus oder in der Abschaltung des gesamten automatischen Flugregelsystems. Die Erfindung führt zu einer unabhängigen Verteilung von seriellen Datenbus-Informationen auf zwei redundante Verarbeitungskreise derart, daß ein Fehler oder Ausfall innerhalb eines Prozessors nicht die von einem oder mehreren anderen Prozessoren benutzten Daten unentdeckt verfälschen oder durcheinanderbringen kann. Eine solche Datenintegrität für mehrere Prozessoren ist notwendig für den Einsatz eines gegenseitigen Prozessorleistungsfähigkeitsnachweises für einen Gefahrenfallschutz. Die vorliegende Erfindung schützt das System gegen gefährliche Fehler des automatischen Flugregelsystems, die sich aus der Verfälschung oder Vermischung ankommender Primärdaten durch einen von mehreren redundanten Prozessoren einstellen könnten.

Claims (10)

1. Datenmanagementeinrichtung für ein automatisches Flugregelsystem mit wenigstens einem ersten und einem zweiten Digitaldatenprozessor (10; 11), welche ihnen zugeordnete, wenigstens erste bzw. zweite Datenspeicher (26; 29) umfassen und wobei das System ferner Sensoreinrichtungen aufweist zur Lieferung von Datensignalen an den ersten und den zweiten Prozessor (10; 11) zwecks Speicherung dieser Datensignale in dem entsprechenden ersten bzw. zweiten Datenspeicher, und außerdem eine Übertragungseinrichtung (22) vorgesehen ist zum gleichzeitigen und unabhängigen übertragen der Datensignale von der Sensoreinrichtung zu dem ersten (10) und dem zweiten (11) Prozessor zwecks Speicherung in dem ersten (26) und zweiten (29) Speicher; dadurch gekennzeichnet, daß die Sensoreinrichtung einen Quellenidentifizierer (13) aufweist, der die Datenquelle identifizierende Datenquellen-Identifizierungssignale liefert;

und daß die Einrichtung ferner umfaßt:

eine unabhängige Datenspeichereinrichtung (27) mit Bereichen (S1 . . .. SN) zum Speichern der Datensignale der Sensoreinrichtung;

einen den ersten Prozessor (10) nicht einschließenden unabhängigen Datenweg (28) zur Übertragung der Datensignale an die unabhängige Datenspeichereinrichtung (27) zur dortigen Speicherung;

einen unabhängigen Adreßgenerator (32), der an die unabhängige Datenspeichereinrichtung Adressen für Speicherplätze innerhalb des Speicherbereichs (S1, S2 . . .. SN) liefert, in denen die Datensignale zu speichern sind;

wobei der erste Prozessor (10) eine Vorrichtung (30) aufweist, welche ein Adreßsignal an die unabhängige Speichereinrichtung (27) liefert, um darin entsprechend den Datenquellen-Identifizierungssignalen den Speicherbereich zu adressieren;

ferner eine Einrichtung (35) zur Zufuhr eines Adressenfortschaltsignals an den unabhängigen Adreßgenerator (32) zur Fortschaltung des Adreßsignals innerhalb des Speicherbereichs; sowie

eine Einrichtung im zweiten Prozessor (11) zum Steuern der Übertragung der in der unabhängigen Datenspeichereinrichtung gespeicherten Datensignale in den zweiten Datenspeicher (29).

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Übertragungseinrichtung einen Signaldatenbus (24) aufweist zur bit-seriellen Übertragung der Datensignale von der Sensoreinrichtung zum ersten Prozessor (10).

3. Einrichtung nach Anspruch 2, dadurch gekennzeichnet, daß die Übertragungseinrichtung ferner einen Serien-Parallel- Umsetzer (22) enthält zur Umsetzung der im bitseriellen Format vorliegenden Datensignale in eine Folge paralleler Datenbytes;

der erste Prozessor (10) an den Serien-Parallel- Umsetzer angeschlossen ist und die Folge paralleler Datenbytes zwecks Speicherung in dem ersten Datenspeicher (26) empfängt.

4. Einrichtung nach Anspruch 3, dadurch gekennzeichnet, daß der Serien- Parallel-Umsetzer (22) eine Vorrichtung zur Erzeugung eines Datenverfügbarkeitssignals (32) für den ersten Prozessor (10) aufweist, sobald der Umsetzer zur Übertragung von Datenbytes bereit ist; und der erste Prozessor (10) eine Einrichtung zur Lieferung eines Lesebefehlsignals (25) an den Serien- Parallel-Umsetzer (22) umfaßt, um dem Umsetzer die Übertragung eines verfügbaren Datenbytes an den ersten Prozessor zu befehlen.

5. Einrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß die Sensoreinrichtung eine Vielzahl von Sensor- Untersystemen umfaßt, von denen jedes eine Datennachricht mit einer das Untersystem identifizierenden Adresse liefert und die verschiedenen Datennachrichten aus den verschiedenen Daten-Untersystemen die Datensignale enthalten.

6. Einrichtung nach Anspruch 5, dadurch gekennzeichnet, daß die von den Datenuntersystemen kommenden Datennachrichten in den entsprechenden Speicherbereichen (S1 . . .. SN) der unabhängigen Datenspeichereinrichtung (27) gespeichert werden.

7. Einrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß die ein Adreßsignal an die unabhängige Datenspeichereinrichtung (27) liefernde Vorrichtung im ersten Prozessor (10) in der unabhängigen Datenspeichereinrichtung eine Adresse (S1 . . .. SN) adressiert entsprechend dem gegenwärtig seine Datennachricht an den ersten Prozessor liefernden Datenuntersystem, und daß das Adressenfortschaltsignal (35) für den unabhängigen Adreßgenerator (32) die der unabhängigen Datenspeichereinrichtung (27) zugeleiteten Adressen entsprechend den sequentiellen Datenbytes fortschaltet, die in der von einem Datenuntersystem kommenden Datennachricht enthalten sind.

8. Einrichtung nach einem der Ansprüche 5 bis 7, dadurch gekennzeichnet, daß der erste Prozessor (10) eine Einrichtung zum Liefern eines Adressenlöschsignals (34) an den unabhängigen Adreßgenerator (32) aufweist zum Rücksetzen der von diesem gelieferten Adresse auf eine vorgegebene Anfangsadresse entsprechend dem ersten Byte einer Folge von Datenbytes, die in der von einem Datenuntersystem kommenden Datennachricht enthalten sind.

9. Einrichtung nach einem der Ansprüche 5 bis 8, dadurch gekennzeichnet, daß der zweite Prozessor (11) eine Vorrichtung enthält, welche bestimmt, ob die in der von der unabhängigen Datenspeichereinrichtung (27) übertragenen Datennachricht enthaltene Adresse dem Datenuntersystem entspricht, von dem die Datennachricht kommen sollte.

10. Einrichtung nach einem der Ansprüche 5 bis 9, dadurch gekennzeichnet, daß jede Datennachricht eine Datenprüfsummenmarkierung und einen Neudaten-Gültigkeitsmarkierer aufweist und der erste und der zweite Prozessor eine Einrichtung zum gültig erklären der Datennachricht entsprechend den Markierern aufweist.