JP2019121033A

JP2019121033A - 航空機用制御装置、および相互診断方法

Info

Publication number: JP2019121033A
Application number: JP2017253771A
Authority: JP
Inventors: 丈裕臼森; Takehiro Usumori
Original assignee: Toshiba Corp; Toshiba Infrastructure Systems and Solutions Corp
Current assignee: Toshiba Corp; Toshiba Infrastructure Systems and Solutions Corp
Priority date: 2017-12-28
Filing date: 2017-12-28
Publication date: 2019-07-22

Abstract

【課題】メイン基板とサブ基板の正常性を相互に診断することができる航空機用制御装置および相互診断方法を提供することである。【解決手段】実施形態の航空機用制御装置は、メイン基板と、サブ基板とを持つ。メイン基板は、航空機における通信制御を実行するメイン制御部および第１診断部を搭載し、入出力ポートの数が予め規定されている。サブ基板は、前記メイン制御部と異なる制御を実行するサブ制御部および第２診断部を搭載し、入出力ポートの数が予め規定されている。前記第１診断部は、第１入力信号の周波数に基づいて、前記メイン基板に搭載されているデバイスの状態を示す信号を、前記第２診断部に出力する。前記第２診断部は、第２入力信号の周波数に基づいて、前記サブ基板に搭載されているデバイスの状態を示す信号を前記第１診断部に出力する。【選択図】図１

Description

本発明の実施形態は、航空機用制御装置、および相互診断方法に関する。

民生品での制御装置では、機能安全が重視されており、ＩＥＣ６１５０８、ＩＳＯ２６２６２といった機能安全規格の導入と、認証取得の必要性が求められている（例えば、特許文献１〜３）。

一方、航空機に搭載される電気・電子プログラマブルコントローラについては、ＳＩＬ（Safety Integrity Level）２〜４の水準が要求されるため、開発コストが高騰している。また、航空機の一部の分野については、ｃｏｔｓ（Commercial Off-The-Shelf）製品が主となっているが、例えば、カーチスライト社製ＣＰＵボード（例えばＶＰＸ１−１９５７）では、相互診断、二重化、自己修復といったＦＭＥＡ（Failure Mode and Effect Analysis）主点での設計がされていない。

航空機に搭載される電気・電子プログラマブルコントローラは、ｃｏｔｓ製品であるメイン基板と、ユーザの要求に応じたデバイスを搭載するサブ基板とを備える。メイン基板およびサブ基板は、例えば、ＰＣＩｅ（PCI Express）、ｓＦＰＤＰ（Serial Front Panel Data Port）、ＳＳＤ（Solid State Drive）等の規格部品や、ＣＰＵ（Central Processing Unit）、揮発・不揮発メモリ等の汎用部品等の様々なデバイスを備える。メイン基板およびサブ基板は、デバイスの故障や異常等を、各基板に搭載されているコントローラで自己診断している。

しかしながら、コントローラの健全性を診断していないため、自己診断による診断結果の信頼性が確保されない場合があった。また、メイン基板およびサブ基板のそれぞれに設けられている入出力ポートの数は、所定の数に制限されており、一方の基板に入力する全ての入力信号に基づいて発振子の故障や異常等を、他方の基板が診断することは困難であった。また、マルチプレクサにより診断回路を切り替えながら入力信号を選択する手法が考えられるが、入力フィルタのセットリングタイム（ＲＣフィルタの飽和時間）の考慮が必要となり処理時間の観点で実現が困難であった。また、ファームウェアは、ＢＳＰ（Board Support Package）といわれるデバイスドライバが、ＣＰＵ（Central Processing Unit）ボードメーカから提供され、ブラックボックス化されているため、回路又はＩＣ（Integrated Circuit）の健全性を確認する自己診断機能をユーザが実装するのが困難であった。

国際公開第２０１５／１５９３９１号特開平７−１３１９３７号公報特開２００９−２３７７５８号公報

本発明が解決しようとする課題は、メイン基板とサブ基板の正常性を相互に診断することができる航空機用制御装置および相互診断方法を提供することである。

実施形態の航空機用制御装置は、メイン基板と、サブ基板とを持つ。メイン基板は、航空機における通信制御を実行するメイン制御部および第１診断部を搭載し、入出力ポートの数が予め規定されている。サブ基板は、前記メイン制御部と異なる制御を実行するサブ制御部および第２診断部を搭載し、入出力ポートの数が予め規定されている。前記第１診断部は、第１入力信号の周波数に基づいて、前記メイン基板に搭載されているデバイスの状態を示す信号を、前記第２診断部に出力する。前記第２診断部は、第２入力信号の周波数に基づいて、前記サブ基板に搭載されているデバイスの状態を示す信号を前記第１診断部に出力する。

実施形態の航空機用制御装置１の構成図。第１診断部１１５あるいは第２診断部２１７による自己診断処理の一例を示すフローチャート。第１診断部１１５あるいは第２診断部２１７による相互診断処理の一例を示すフローチャート。メイン基板１００およびサブ基板２００に搭載されるデバイスの一例を示す図。

以下、実施形態の航空機用制御装置、および相互診断方法を、図面を参照して説明する。

図１は、実施形態の航空機用制御装置１の構成図である。図に示す通り、航空機用制御装置１は、メイン基板１００とサブ基板２００とを備える。

メイン基板１００は、プログラマブルデバイスであるＣＰＵ１１０、高速シリアル通信部１２０、およびタイミング生成部１３０等のデバイスを搭載している。メイン基板１００は、入出力ポート１４０Ａ〜１４０Ｊを備える。入出力ポート１４０Ａ〜１４０Ｊの数は、予め規定されている。

サブ基板２００は、プログラマブルデバイスであるＦＰＧＡ２１０、高速シリアル通信部２２０、長距離シリアル通信部２３０、定速ＩＣ間通信部２４０、および演算部２５０等のデバイスを搭載している。サブ基板２００は、入出力ポート２６０Ａ〜２６０Ｗを備える。入出力ポート２６０Ａ〜２６０Ｗの数は、予め規定されている。

高速シリアル通信部１２０および２２０は、例えば、ＰＣＩｅ、ｓＦＰＤＰ等である。タイミング生成部１３０は、ＦＰＧＡ（Field Programmable Gate Array）、セラミック発振子、水晶発振子等である。長距離シリアル通信部２３０は、例えば、ｍｉｌ−ｓｔｄ１５５３Ｂ、ＲＳ４２２等である。定速ＩＣ間通信部２４０は、例えば、Ｉ^２Ｃ（Inter Integrated Circuit）である。演算部２５０は、ＦＰＧＡ,ＤＳＰ（Digital Signal Processor）等であり、信号処理や座標変換等を行う。

高速シリアル通信部１２０には、入出力ポート１４０Ａおよび１４０Ｂが接続されており、それぞれから、発振子からのキャリー信号であるＣＬＫＯ_４と、ＤＴＯ_６とが入力する。高速シリアル通信部１２０は、メイン基板１００に入力される第１入力信号に基づいて所定の処理を実行し、処理結果をＣＰＵ１１０に出力する。

タイミング生成部１３０は、高精度な動作用クロックＣＬＫＯ_５を生成し、ＣＰＵ１１０に出力する。

高速シリアル通信部２２０には、入出力ポート２６０Ａおよび２６０Ｂが接続されており、それぞれから、発振子からのキャリー信号であるＣＬＫＯ_１と、ＤＴＯ_１とが入力される。また、高速シリアル通信部２２０は、サブ基板２００に入力される第２入力信号に基づいて所定の処理を実行し、ＣＬＫＩ_１およびＤＴＩ_１をＣＰＵ１１０に出力する。

長距離シリアル通信部２３０には、入出力ポート２６０Ｃおよび２６０Ｄが接続されており、それぞれから、発振子からのキャリー信号であるＣＬＫＯ_２と、ＤＡＯ_２とが入力される。長距離シリアル通信部２３０は、第２入力信号に基づいて所定の処理を実行し、ＣＬＫＩ_１およびＤＴＩ_２をＣＰＵ１１０に出力する。

定速ＩＣ間通信部２４０には、入出力ポート２６０Ｅおよび２６０Ｆが接続されており、それぞれから、発振子からのキャリー信号であるＣＬＫＯ_３と、ＤＡＯ_３が入力される。定速ＩＣ間通信部２４０は、第２入力信号に基づいて所定の処理を実行し、ＣＬＫＩ_１およびＤＴＩ_３をＣＰＵ１１０に出力する。

演算部２５０には、入出力ポート２６０Ｇ，２６０Ｈ，および２６０Ｉが接続されており、それぞれから、発振子からのキャリー信号であるＣＬＫＯ_４と、ＤＴＯ_４と、ＤＴＯ_５とが入力される。演算部２５０は、入力信号に基づいて所定の処理を実行し、ＣＬＫＩ_１、ＤＴＩ_４およびＤＴＩ_５をＣＰＵ１１０に出力する。

ＣＰＵ１１０は、例えば、航空機における通信制御を実行するメイン制御部として機能する。ＣＰＵ１１０は、例えば、ＶＰＸ１−１９５７であり、メモリ１１１と、ＤＩＡＧ（Diagnostic）１１３と、第１診断部１１５とを含む。また、ＣＰＵ１１０には、入出力ポート１４０Ｅ，１４０Ｆ，１４０Ｇ，および１４０Ｈが接続されている。入出力ポート１４０Ｅ，１４０Ｆには、サブ基板２００のＦＰＧＡ２１０からの信号（ＧＰＩＯ_Ｍ）が入力される。入出力ポート１４０Ｇおよび１４０Ｈからは、サブ基板２００のＦＰＧＡ２１０への信号が出力される。

メモリ１１１は、ＳＳＤ等の不揮発性メモリや、ＤＤＲ（Double Data Rate）メモリ等の揮発性メモリ等を含む。ＤＩＡＧ１１３は、メモリ１１１から情報を読み出し、ＣＰＵ１１０およびメモリ１１１に異常があるか否かを自己診断する。ＤＩＡＧ１１３は、診断結果信号ＡＬＴ_１を第１診断部１１５に出力する。異常には、デバイスの異常動作、デバイスの故障、入力信号を出力する発振子の異常等が含まれる。

第１診断部１１５には、入出力ポート１４０Ｃおよび１４０Ｄが接続されており、それぞれからＣＬＫＯ_４およびＣＬＫＯ_５が入力される。また、第１診断部１１５には、ＤＩＡＧ１１３からＡＬＴ_１が入力される。第１診断部１１５は、入力信号（ＣＬＫＯ_４，ＣＬＫＯ_５，ＡＬＴ_１）の周波数に基づいて、メイン基板１００に搭載されているデバイスの正常性を診断し、診断結果信号ＡＬＴ_ＨＢ１を、入出力ポート１４０Ｊを介して第２診断部２１７に出力する。また、第１診断部１１５は、入出力ポート１４０Ｉを介して第２診断部２１７から入力する診断結果信号ＡＬＴ_ＨＢ２に基づいて、サブ基板２００に搭載されているデバイスの正常性を診断し、診断結果に応じた処理を実行する。

例えば、第１診断部１１５は、入力信号の周波数を測定可能なパルス測定回路と、パルス出力可能なＧＰＯ（General Purpose Output）とを備える。第１診断部１１５は、入力信号の周波数が正常範囲である場合、メイン基板１００に搭載されているデバイスが正常である（異常でない）と判定し、規定された周波数のハートビート信号を、入出力ポート１４０Ｊを介して第２診断部２１７に出力する。正常範囲とは、予め決められた範囲でもよく、ユーザにより任意に決定可能な範囲でもよい。また、第１診断部１１５は、入出力ポート１４０Ｉを介して第２診断部２１７から入力する診断結果信号ＡＬＴ_ＨＢ２の周波数が停止を含む異常周波数である場合、サブ基板２００に搭載されているデバイスが正常ではない（異常がある）と判定し、サブ基板２００に搭載されているデバイスの修復または停止等の処理（以下、異常時対応の処理と記す）を実行する。

異常時対応に関する処理には、例えば、異常を外部に通知する処理、異常が検出されたデバイスをリセットする処理、および異常が検出されたデバイスへの電力供給を遮断する処理等が含まれる。

ＦＰＧＡ２１０は、例えば、メイン制御部（ＣＰＵ１１０）と異なる制御を実行するサブ制御部として機能する。ＦＰＧＡ２１０は、メモリ２１１と、ＤＩＡＧ２１３と、標準入出力部２１５と、第２診断部２１７とを含み、入出力ポート２６０Ｒ，２６０Ｓ，２６０Ｔ，および２６０Ｕが接続されている。入出力ポート２６０Ｒおよび２６０Ｓからは、メイン基板１００のＣＰＵ１１０への信号が出力される。入出力ポート２６０Ｔおよび２６０Ｕには、メイン基板１００のＣＰＵ１１０からの信号（ＧＰＩＯ_Ｓ）が入力される。

メモリ２１１は、ＳＳＤ等の不揮発性メモリや、ＤＤＲ等の揮発性メモリ等を含む。ＤＩＡＧ２１３は、メモリ２１１から情報を読み出し、ＦＰＧＡ２１０およびメモリ２１１に異常があるか否かを自己診断する。ＤＩＡＧ２１３は、診断結果信号ＡＬＴ_２を第２診断部２１７に出力する。

標準入出力部２１５は、例えば、ＧＰＩＯ（General Purpose Input / Output）等のレジスタである。標準入出力部２１５には、入出力ポート２６０Ｊ，２６０Ｋ，および２６０Ｌが接続されており、それぞれからＤＩＯ，ＴＧＲ_１，およびＴＧＲ_２が入力される。

第２診断部２１７には、入出力ポート２６０Ｍ，２６０Ｎ，２６０Ｏ，２６０Ｐ，および２６０Ｑが接続されており、それぞれからＣＬＫＯ_１，ＣＬＫＯ_２，ＣＬＫＯ_３，ＴＧＲ_１，およびＴＧＲ_２が入力される。また、第２診断部２１７には、ＤＩＡＧ２１３からＡＬＴ_２が入力される。第２診断部２１７は、第２入力信号（ＣＬＫＯ_１，ＣＬＫＯ_２，ＣＬＫＯ_３，ＴＧＲ_１，およびＴＧＲ_２，ＡＬＴ_２）の周波数に基づいて、サブ基板２００に搭載されているデバイスの正常性を診断し、診断結果ＡＬ_ＨＢ２を、入出力ポート２６０Ｒを介して第１診断部１１５に出力する。また、第２診断部２１７は、入出力ポート２６０Ｗを介して第１診断部１１５から入力する診断結果ＡＬＴ_ＨＢ１に基づいて、メイン基板１００に搭載されているデバイスの正常性を診断し、診断結果に応じた処理を実行する。

例えば、第２診断部２１７は、第２入力信号の周波数を測定可能なパルス測定回路と、パルス出力可能なＧＰＯとを備える。第２診断部２１７は、第２入力信号の周波数が正常範囲である場合、サブ基板２００に搭載されているデバイスが正常であると判定し、規定された周波数のハートビート信号を、入出力ポート２６０Ｖを介して第１診断部１１５に出力する。また、第２診断部２１７は、入出力ポート２６０Ｗを介して第１診断部１１５から入力する診断結果信号ＡＬＴ_ＨＢ１の周波数が停止を含む異常周波数である場合、メイン基板１００に搭載されているデバイスに正常ではないと判定し、メイン基板１００に搭載されているデバイスについての異常時対応の処理を実行する。

ここで、第１診断部１１５および第２診断部２１７に共通する機能について説明する。第１診断部１１５および第２診断部２１７は、第１入力信号または第２入力信号を出力する発振子の動作異常と、メイン基板１００あるいはサブ基板２００に搭載されている発振子以外のデバイスの故障とを、それぞれ区別して診断する。例えば、第１診断部１１５は、第２診断部２１７から入力する診断結果信号ＡＬＴ_ＨＢ２が連続してオン信号あるいはオフ信号である場合、サブ基板２００に搭載されているデバイスが故障していると判定する。また、第１診断部１１５は、例えば、診断結果信号ＡＬＴ_ＨＢ２が単発のオフ信号である場合、サブ基板２００へ信号を出力する発振子の動作異常が発生していると判定する。

第２診断部２１７は、第１診断部１１５から入力する診断結果信号ＡＬＴ_ＨＢ１が連続してオン信号あるいはオフ信号である場合、メイン基板１００に搭載されているデバイスの故障であると判定する。また、第２診断部２１７は、診断結果信号ＡＬＴ_ＨＢ１が単発のオフ信号である場合、メイン基板１００へ信号を出力する発振子の動作異常が発生していると判定する。

また、第１診断部１１５および第２診断部２１７は、診断結果に応じて異なる信号を、診断結果信号ＡＬＴ_ＨＢ１およびＡＬＴ_ＨＢ２として出力してもよい。例えば、第１診断部１１５および第２診断部２１７は、異常時対応に関する処理を実行している間、実行している処理に応じて異なる信号を、診断結果信号ＡＬＴ_ＨＢ１およびＡＬＴ_ＨＢ２として出力してもよく、異常時対応に関する処理を実行している間と、異常時対応に関する処理を実行していない間とで異なる信号を、診断結果信号ＡＬＴ_ＨＢ１およびＡＬＴ_ＨＢ２として出力してもよい。

例えば、診断結果信号ＡＬＴ_ＨＢ１およびＡＬＴ_ＨＢ２は、パルス出力であるが、停止時にＨｉ固定またはＬｏｗ固定としてもよい。これにより、Ｈｉ固定時は初期化中、Ｌｏｗ固定時は通常故障というように、固定されたパルス信号の状態によって、デバイスのステータス等を通知することができる。

また、第１診断部１１５および第２診断部２１７は、診断結果に応じて異なる周波数の診断結果信号を出力してもよい。例えば、正常時は１６ＫＨｚ、警告には３２ＫＨｚ、故障または異常には０ＫＨｚというように、診断結果信号の周波数に意味を持たせてもよい。

これにより、第１診断部１１５および第２診断部２１７は、一つの入出力ポートで、二つの異常を区別して、外部の基板に通知することができる。よって、入出力ポートの数が制限されている制御装置であっても、相互診断を適切に行うことができる。

また、第１診断部１１５は、メイン基板１００に入力される複数の第１入力信号のうち異常が検出された第１入力信号の数が基準値以上である場合、メイン基板１００に搭載されたデバイスが正常ではない（言い換えると、デバイスの正常性が基準レベルよりも低い）と診断してもよい。例えば、第１診断部１１５は、対象信号である全ての第１入力信号について診断した後、所定数の第１入力信号が正常の範囲外であった場合、異常であると判定する。対象信号の範囲は、任意に設定可能である。例えば、対象信号の範囲は全ての第１入力信号であり、第１診断部１１５の場合、ＣＬＫＯ_４，ＣＬＫＯ_５、およびＡＬＭ＿１である。また、対象信号の範囲は、第１入力信号が入力する時間や、第１入力信号の数で規定されてもよい。

また、第２診断部２１７は、入力される複数の第２入力信号のうち異常が検出された第２入力信号の数が基準値以上である場合、サブ基板２００に搭載されたデバイスが正常ではない（言い換えると、デバイスの正常性が基準レベルよりも低い）と診断してもよい。例えば、第２診断部２１７は、対象信号である全ての第２入力信号について診断した後、所定数の第２入力信号が正常の範囲外であった場合、異常であると判定する。対象信号の範囲は、任意に設定可能である。例えば、対象信号の範囲は、全ての第２入力信号であり、第２診断部２１７の場合、ＣＬＫＯ_１，ＣＬＫＯ_２，ＣＬＫＯ_３，ＴＧＲ_１，ＴＧＲ_２、およびＡＬＴ_２である。また、対象信号の範囲は、第２入力信号が入力する時間や、第２入力信号の数で規定されてもよい。

また、第１診断部１１５および第２診断部２１７は、例えば、所定時間内に入力する複数の診断結果信号、あるいは、予め決められた数の診断結果信号について診断した後、所定数の信号が正常の範囲外であった場合、異常であると判定してもよい。

これにより、第１診断部１１５および第２診断部２１７は、検出された異常が基準値を超えた場合に、異常であると診断することができる。

また、第１診断部１１５および第２診断部２１７は、診断結果に応じた異常時対応であって、それぞれ異なる異常時対応に関する処理を実行する。例えば、第１診断部１１５が、サブ基板２００の異常時対応を行う場合、サブ基板２００の異常の外部への通知、サブ基板２００の再起動、サブ基板２００への電力供給の遮断等を実行する。また、第２診断部２１７は、メイン基板１００の異常時対応を行う場合、メイン基板１００の再起動が他の装置への影響するときは、異常を外部に通知する等の対応を行う。なお、メイン基板１００の再起動が他の装置へ影響しない場合、第２診断部２１７は、メイン基板１００の再起動を実行してもよい。

これにより、第１診断部１１５および第２診断部２１７は、診断結果に応じた異常時対応を実行することができる。

次に、図２，図３を参照して、第１診断部１１５あるいは第２診断部２１７による処理について説明する。図２および図３の処理は、所定の周期やタイミングによって繰り返し実行される。図２は、第１診断部１１５あるいは第２診断部２１７による自己診断処理の一例を示すフローチャートである。ここでは、第１診断部１１５による処理について説明し、第２診断部２１７による処理についての説明は省略する。

まず、第１診断部１１５は、第１入力信号ごとに、第１入力信号の周波数を検出する（ステップＳ１０１）。次いで、第１診断部１１５は、第１入力信号の周波数が正常範囲内か否かを判定する（ステップＳ１０２）。正常範囲内でないと判定した場合、第１診断部１１５は、自己診断カウンタをカウントアップする（ステップＳ１０３）。そして、第１診断部１１５は、対象信号の全てについて自己診断したか否かを判定する（ステップＳ１０４）。対象信号の全てについて自己診断が終了していない場合、第１診断部１１５は、ステップＳ１０１の処理に戻る。

一方、対象信号の全てについて自己診断が終了した場合、第１診断部１１５は、自己診断カウンタが基準値以上であるか否かを判定する（ステップＳ１０５）。自己診断カウンタが基準値以上であると判定した場合、第１診断部１１５は、メイン基板１００のデバイスが正常でないと判定し、診断結果ＡＬＴ_ＨＢ１として例えばオフ信号を第２診断部２１７に出力する（ステップＳ１０６）。一方、自己診断カウンタが基準値以上であると判定した場合、第１診断部１１５は、メイン基板１００のデバイスが正常でないと判定し、診断結果ＡＬＴ_ＨＢ１として例えばオン信号を第２診断部２１７に出力する（ステップＳ１０７）。そして、第１診断部１１５は、自己診断カウンタをリセットする（ステップＳ１０８）。

図３は、第１診断部１１５あるいは第２診断部２１７による相互診断処理の一例を示すフローチャートである。ここでは、第１診断部１１５による処理について説明し、第２診断部２１７による処理についての説明は省略する。

まず、第１診断部１１５は、第２診断部２１７から入力する診断結果信号ＡＬＴ_ＨＢ２の周波数を検出する（ステップＳ２０１）。次いで、第１診断部１１５は、診断結果信号ＡＬＴ_ＨＢ２の周波数が正常範囲内か否かを判定する（ステップＳ２０２）。正常範囲内でないと判定した場合、第１診断部１１５は、他者診断カウンタをカウントアップする（ステップＳ２０３）。他者とは、例えば、サブ基板２００である。そして、第１診断部１１５は、予め決められた診断タイミングであるか否かを判定する（ステップＳ２０４）。診断タイミングは、任意に設定可能であり、例えば、前回の診断タイミングから所定時間が経過した場合、あるいは、前回の診断タイミングからステップＳ２０２の処理を実行した回数が所定回数以上であった場合、第１診断部１１５は、診断タイミングであると判定する。診断タイミングでないと判定された場合、第１診断部１１５は、ステップＳ２０１の処理に戻る。

一方、診断タイミングであると判定した場合、第１診断部１１５は、他者診断カウンタが基準値以上であるか否かを判定する（ステップＳ２０５）。他者診断カウンタが基準値以上であると判定した場合、第１診断部１１５は、サブ基板２００のデバイスが正常ではないと判定し、異常時対応を実行する（ステップＳ２０６）。そして、第１診断部１１５は、他者診断カウンタをリセットする（ステップＳ２０７）。

なお、第２診断部２１７による処理は、サブ基板２００をメイン基板１００に置き換え、且つ、メイン基板１００をサブ基板２００に置き換えること以外は、上述した第１診断部１１５による処理とほぼ同様である。この場合、第２診断部２１７における自己診断とは、サブ基板２００の診断を示し、他者とは、メイン基板１００を示す。また、ステップＳ１０１およびＳ１０２の処理における第１入力信号は、第２入力信号に置き換わる。

以上説明した少なくとも一つの実施形態によれば、航空機用制御装置において、航空機における通信制御を実行するＣＰＵ１１０および第１診断部１１５を搭載し、入出力ポートの数が予め規定されているメイン基板１００と、ＣＰＵ１１０と異なる制御を実行するＦＰＧＡ２１０および第２診断部２１７を搭載し、入出力ポートの数が予め規定されているサブ基板２００と、を持ち、第１診断部１１５は、第１入力信号の周波数に基づいて、メイン基板１００に搭載されているデバイスの状態を示す信号を、第２診断部２１７に出力し、第２診断部２１７は、第２入力信号の周波数に基づいて、サブ基板２００に搭載されているデバイスの状態を示す信号を第１診断部１１５に出力することにより、メイン基板１００とサブ基板２００の正常性を相互に診断することができる。

また、以上説明した少なくとも一つの実施形態によれば、正常あるいは異常の判定に固定周波数のハートビート信号を採用している。このため、ハートビート信号は一線の信号線であるが、信号のオープン・ショート故障と信号源の発振子の動作異常の２つの故障判定が可能となる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

例えば、第１診断部１１５および第２診断部２１７は、それぞれの入力信号ごと、あるいは入力信号の種類ごとに、自己診断カウンタを備え、予め決められた個数の各入力信号について診断した結果、自己診断カウンタが閾値以上となった場合、故障や異常と判定するとともに、故障や異常と判定した入力信号やその種類を通知してもよい。通知方法としては、Ｈｉ固定やＬｏｗ固定、各固定の時間やパターン、周波数を変更することで意味を持たせてもよい。

また、メイン基板１００およびサブ基板２００に搭載されるデバイスは、図１に示す例に限られず、例えば、図４に示すような内容であってもよい。図４は、メイン基板１００およびサブ基板２００に搭載されるデバイスの一例を示す図である。図４は、機能ごとに、デバイスおよび基板の種類と対応付けられている。図４における「メインａｎｄサブ」とは、メイン基板とサブ基板の両方に搭載することができることを示す。

１…航空機用制御装置、１００…メイン基板、２００…サブ基板、１１０…ＣＰＵ、１１１…メモリ、１１３…ＤＩＡＧ、１１５…第１診断部、１２０…高速シリアル通信部、１３０…タイミング生成部、１４０Ａ〜１４０Ｊ…入出力ポート、２１０…ＦＰＧＡ、２１１…メモリ、２１３…ＤＩＡＧ、２１５…標準入出力部、２１７…第２診断部、２２０…高速シリアル通信部、２３０…長距離シリアル通信部、２４０…定速ＩＣ間通信部、２５０…演算部、２６０Ａ〜２６０Ｗ…入出力ポート

Claims

航空機における通信制御を実行するメイン制御部および第１診断部を搭載し、入出力ポートの数が予め規定されているメイン基板と、
前記メイン制御部と異なる制御を実行するサブ制御部および第２診断部を搭載し、入出力ポートの数が予め規定されているサブ基板と、を備え、
前記第１診断部は、第１入力信号の周波数に基づいて、前記メイン基板に搭載されているデバイスの状態を示す信号を、前記第２診断部に出力し、
前記第２診断部は、第２入力信号の周波数に基づいて、前記サブ基板に搭載されているデバイスの状態を示す信号を前記第１診断部に出力する、
航空機用制御装置。
前記第１診断部は、前記第２診断部から入力された信号に基づいて、前記サブ基板に搭載されたデバイスが正常な状態でないと判定した場合、前記サブ基板の異常時対応に関する処理を実行し、
前記第２診断部は、前記第１診断部から入力された信号に基づいて、前記メイン基板に搭載されたデバイスが正常な状態でないと判定した場合、前記メイン基板の異常時対応に関する処理を実行する、
請求項１に記載の航空機用制御装置。
前記第１診断部および前記第２診断部は、
前記第１入力信号または前記第２入力信号を出力する発振子の動作異常と、前記メイン基板あるいは前記サブ基板に搭載されている前記発振子以外のデバイスの故障とを、それぞれ区別して診断する
請求項１または２に記載の航空機用制御装置。
前記第１診断部は、複数の第１入力信号のうち異常が検出された第１入力信号の数が基準値以上である場合、前記メイン基板に搭載されたデバイスが正常な状態ではないと判定し、
前記第２診断部は、複数の第２入力信号のうち異常が検出された第２入力信号の数が基準値以上である場合、前記メイン基板に搭載されたデバイスが正常な状態ではないと判定する、
請求項１から３のうちいずれか一項に記載の航空機用制御装置。
前記メイン基板の異常時対応に関する処理および前記サブ基板の異常時対応に関する処理のそれぞれは、異常を外部に通知する処理、異常が検出されたデバイスをリセットする処理、および異常が検出されたデバイスへの電力供給を遮断する処理のうち少なくとも一つを含む
請求項２に記載の航空機用制御装置。
航空機における通信制御を実行するメイン制御部および第１診断部を搭載し、入出力ポートの数が予め規定されているメイン基板と、前記メイン制御部と異なる制御を実行するサブ制御部および第２診断部を搭載し、入出力ポートの数が予め規定されているサブ基板と、を備える航空機用制御装置の相互診断方法において、
前記第１診断部が、第１入力信号の周波数に基づいて、前記メイン基板に搭載されているデバイスの状態を示す信号を、前記第２診断部に出力し、
前記第２診断部が、第２入力信号の周波数に基づいて、前記サブ基板に搭載されているデバイスの状態を示す信号を前記第１診断部に出力する、
相互診断方法。