-
Erfindungsgebiet
-
Diese
Anmeldung betrifft im Allgemeinen Steuerungssysteme und insbesondere
eine Steuerungssystemarchitektur, die redundante Prozesseinheiten
verwendet, welche mit schnellen Wiederherstellungseinheiten konfiguriert
sind.
-
Allgemeiner Stand der Technik
-
Steuerungssysteme,
die Digitalrechner enthalten, werden seit einigen Jahren eingesetzt.
In verschiedenen Anwendungen dieser rechnergestützten Steuerungssysteme ist
es sehr wichtig, die Integrität der
durch die Digitalrechner erzeugten Daten zu bewahren, weil der Verlust
von Daten einen Verlust eines großen Geldbetrages oder sogar
einen Verlust an Leben nach sich ziehen könnte. Beispiele kritischer
Anwendungen können
in der Industrie, Raumfahrt, Medizin, wissenschaftlichen Forschung
und in anderen Bereichen gefunden werden.
-
In 1 ist
ein herkömmliches
Steuerungssystem dargestellt, das für den Einsatz in hochintegren
Anwendungen geeignet ist. Wie aus der herkömmlichen Steuerungstheorie
bekannt ist, ist ein System von Rechnereinheiten für eine Anlage üblicherweise
derart ausgestaltet, dass das entstehende System mit einem geschlossenen
Regelkreis eine Stabilität,
Niederfrequenz-Befehlsbefolgung, Niederfrequenz-Störungsunterdrückung und
Hochfrequenz-Rauschdämpfung
aufweist. Die Anlage ist irgendein Objekt, Prozess oder ein anderer
Parameter, der zum Steuern geeignet ist, wie z.B. ein Flugzeug,
Raumfahrzeug, eine medizinische Ausrüstung, elektrische Leistungserzeugung,
industrielle Automatisierung, ein Ventil, Erhitzer, Bedienglied
oder ein anderes Gerät.
-
Das
System von Rechnereinheiten kann irgendein analoges oder digitales
Gerät sein,
das eine Steuerung für
das Verhalten der Anlage bereitstellt, innerhalb festgelegter Kriterien
zu liegen. Die Ausgabe des Systems von Rechnereinheiten (die durch den
Vektor Oc(k) dargestellt wird) wird der
Anlage in Verbindung mit irgendwelchen externen Befehlen (die durch
den Vektor C(k) dargestellt werden) zweckentsprechend bereitgestellt,
und ein Ausgabevektor (Op(k)), welcher dem
Leistungsverhalten der Anlage entspricht, wird dem System von Rechnereinheiten
als ein Regelkreis-Rückkopplungssignal
bereitgestellt. 1 zeigt auch einen Vektor von
Fehlereingaben (E(k)), die in einem Summationsprozess des Ausgabevektors
Oc(k) des Systems von Rechnereinheiten und
des externen Befehlsvektors abgeleitet werden, welcher üblicherweise
Anlagenanpassungen zur Folge hat.
-
Zum
Beispiel sind im Bereich der Luft- und Raumfahrt die digitalen Steuerungssysteme
häufig zwischen
den Piloten und die Flugsteuerungsflächen eines Flugzeugs geschaltet.
Derartige Einheiten können
zum Beispiel Fly-by-wire-, Autopilot- und Autoland-Systeme einschließen. In
einem Fly-by-wire-System werden die Position und die Bewegungen der
Steuerungen eines Piloten elektronisch durch Sensoren gemessen und
einem Rechnersystem übermittelt,
statt dass die Steuerungen eines Piloten mechanisch (z.B. über Seile
oder hydraulische Anlagen) an die verschiedenen primären Flugsteuerungsflächen des
Flugzeugs (wie z.B. die Querruder, Höhenleitwerke und das Steuerruder)
gekoppelt werden. Das Rechnersystem sendet normalerweise elektronische
Steuersignale an die Bedienglieder der verschiedenen Typen, die
an die primären
Flugsteuerungsflächen
des Flugzeugs gekoppelt sind. Die Bedienglieder sind üblicherweise
konfiguriert, eine oder mehrere Steuerungsflächen nach den Eingaben, die
durch einen Piloten bereitgestellt werden, oder in Reaktion auf
eine Rückkopplung,
die durch einen Sensor am Flugzeug gemessen wird, zu bewegen. Ein
Ausfall des Steuerungssystems könnte dann
katastrophale Auswirkungen auf das gesteuerte Flugzeug haben. Auf
die gleiche Weise können
industrielle, medizinische und andere Systeme durch bestimmte Steuerungssystemausfälle ernsthaft
beeinträchtigt
werden.
-
Herkömmliche
Rechnereinheiten, die in Steuerungssystemen anzutreffen sind, können mit verschiedenen
Typen von Ausfällen
oder Störungen konfrontiert
werden. Eine „harte
Störung" ist ein Störungszustand,
der üblicherweise
durch einen bleibenden Ausfall der analogen oder digitalen Schaltung
erzeugt wird. Im Gegensatz dazu wird eine „weiche Störung" für
eine digitale Schaltung gewöhnlich durch
eine vorübergehende
Erscheinung hervorgerufen, die einige Digitalschaltungs-Rechnerelemente beeinflussen
kann, was eine Unterbrechung der Berechnung zur Folge hat, aber
den nachfolgenden Betriebsablauf der Schaltung nicht dauerhaft schädigt oder
verändert.
Weiche Störungen
können
durch elektromagnetische Felder verursacht werden, die durch Hochfrequenzsignale
erzeugt werden, welche sich durch das Rechnersystem hindurch ausbreiten. Zum
Beispiel können
weiche Störungen
auch das Ergebnis störender
intensiver elektromagnetischer Signale sein, wie sie z.B. von einem
Blitz verursacht werden, der elektrische Ausgleichsvorgänge an den
Systemleitungen und Datenbussen induziert, welche sich zu den inneren
digitalen Schaltungen hin ausbreiten, wobei sie Signalspeicher in
fehlerhafte Zustände
versetzen. Außerdem
können
auch Radarimpulse und die mit elektromagnetischen Impulsen ("EMP") verknüpften intensiven
Felder weiche Störungen
verursachen. Ferner können
hochenergetische atomare Teilchen (aus einer Anzahl von Quellen,
z.B. atmosphärische
Neutronen, kosmische Strahlung, Waffendetonationen usw.) ausreichend Energie
in das Volumenhalbleitermaterial eines digitalen Geräts einbringen,
um die elektronischen Schaltkreise in fehlerhafte Zustände zu versetzen. Mit
dem Aufkommen der kleinerem integrierten Schaltkreise, die bei höheren Geschwindigkeiten betrieben
werden, werden weiche Störungen üblicher, so
zum Beispiel in der Strahlungsumgebung, die von einem Flugzeug angetroffen
wird, das sich in großen Höhen bewegt.
In einer derartigen Umgebung können
die Rechnereinheiten, die digitale Geräte vom Stand der Technik enthalten,
empfindlicher gegenüber
einem Ausfall sein.
-
Ein
durch weiche Störungen
erzeugtes fehlerhaftes Ergebnis kann oft durch Neustart des Rechners
(d.h. durch Abschalten und erneutes Einschalten, um eine Einschalt-Selbstüberprüfung zu
veranlassen) entschärft
werden. Ein derartiges Verfahren sollte dazu führen, dass der Rechner seine
Arbeit richtig wieder aufnimmt. In digitalen Rechnersystemen, die
zum Steuern kritischer Funktionen verwendet werden, wie z.B. in
Rechnersystemen, die in Flugzeugen und anderen Luft- und Raumfahrzeugen verwendet
werden, in denen die Zustandsvariablen (z.B. Steuerungs- und logische
Variable) und andere Parameter durch ein herkömmliches Neustartverfahren
nicht einfach wiederherstellbar sein müssen, braucht ein Neustart
jedoch nicht immer zur Verfügung
zu stehen. Eine Steuerungszustandsvariable in einer Bordelektronikeinstellung
ist gewöhnlich
ein berechneter Parameter, der über
einen Zeitabschnitt ausgebildet worden ist und der deshalb eine
zugehörige
Geschichte aufweist, die auf Sensor- oder anderen Daten beruht.
Derartige Variablen werden üblicherweise über ein
langfristiges Manövrieren
oder Steuern der Anlage entwickelt. Der Verlust der Steuerungszustandsvariablen,
der mit dem Ausführen flugkritischer
Funktionen verbunden ist, kann gefährlich sein. Zum Beispiel kann
der Verlust von Steuerungszustandsvariablen während des Ablaufs einer Landung
eine unvorhersehbare Systemreaktion erzeugen, die ein ernsthaftes
Fehlverhalten des Flugzeugs ergeben könnte. Außerdem kann ein Neustartverfahren
zum Ausführen
eine unerwünscht
große Zeitspanne
benötigen,
was somit zu einem Verlust oder einer Verminderung der Anlagensteuerung führt, wenn
das System neu startet.
-
In
der Vergangenheit wurden bei einem Versuch zur Verringerung der
Einflüsse
von Störungen
in kritischen Systemen verschiedene Formen der Redundanz verwendet.
Zum Beispiel können
innerhalb eines Rechnersystems mehrere Prozesseinheiten verwendet
werden. Wenn zum Beispiel in einem System mit drei Prozesseinheiten
von einem Prozessor festgestellt wird, dass er eine Störung erfährt, dann kann
dieser Prozessor isoliert und/oder abgeschaltet werden. Die Störung kann
durch richtige Daten (wie z.B. die aktuellen Werte von verschiedenen
Steuerungszustandsvariablen) behoben werden, die von den verbleibenden
Prozessoren in die isolierte Einheit übertragen (oder "übergeben") werden. Wenn die Störungen in
der isolierten Einheit behoben sind, dann kann die Prozesseinheit
zusammen mit den anderen beiden Prozesseinheiten in das Rechnersystem
wieder eingegliedert werden. Dieser Prozess kann als ein "Wiederherstellungs"-Prozess bezeichnet
werden. Andere Verfahren, die verwendet werden, den kontinuierlichen
Betrieb von Steuerungssystemen sicherzustellen, schließen die
Verwendung der nicht ähnlichen
Technologie, der nicht ähnlichen Berechnungsredundanz,
der dezentralen Berechnungsredundanz, des Ausgleichens und der Mittelwertabstimmung
ein. Jedes dieser Verfahren erfordert jedoch im Allgemeinen, dass
mindestens eine Prozesseinheit zu allen Zeiten funktionsfähig bleibt, um
die Zustandsvariablen zu bewahren. Das oben beschriebene System
kann zwar funktionsfähig
bleiben, wenn alle außer
einer Prozesseinheit einer weichen Störung ausgesetzt sind und die
richtig arbeitende Einheit identifiziert werden kann, wenn aber alle
Prozessoren gleichzeitig weichen Störungen ausgesetzt sind, wird
das System nicht richtig arbeiten. Ebenso wird sich das System nicht
wiederherstellen, wenn eine einzelne richtig arbeitende Einheit innerhalb
des System nicht identifiziert werden kann, da es keine identifizierbare
Betriebseinheit mit richtigen Werten für alle Zustandsvariablen geben
würde, die
auf die übrigen
Einheiten zu übertragen
sind. Außerdem
kann die Systemwiederherstellung wegen der Übertragung von Zustandsvariablen
von anderen Prozesseinheiten relativ langsam vonstatten gehen. Es
kann deshalb mehrere Berechnungsrahmen (welche die Größenordnung
von einer halben Sekunde oder länger
in Anspruch nehmen) für
alle Prozesseinheiten innerhalb des Systems beanspruchen, um den normalen
Betrieb wiederzuerlangen. In der Zwischenzeit ist die redundante
Steuerung unerwünscht verlorengegangen
oder herabgemindert worden.
-
Deshalb
gibt es einen Bedarf an einem effizienteren System und Verfahren
für den
Wiederausgleich von Prozessorstörungen
(wie z.B. weichen Störungen)
innerhalb eines Steuerungssystems. Insbesondere wäre es erwünscht, über ein
effizienteres System und Verfahren zu verfügen, das in einer Kopplung
(durch den Einsatz der Mittelwertabstimmung und des Ausgleichens)
von mehreren Prozesseinheiten mit der Fähigkeit zur schnellen Wiederherstellung
derart besteht, dass die effektive Redundanz selbst dann bewahrt
werden kann, wenn weiche Störungen
auftreten.
-
EP000291863 offenbart
ein System und Verfahren zum Wiederherstellen eines Steuerungssystems,
welches ein System von Rechnereinheiten mit einer Vielzahl von redundanten
Prozesseinheiten umfasst.
-
Li
Zhaohui u.a. offenbaren in "Fault
tolerance aspects of highly reliable microprocessor-based water
turbine governor",
IEE Transactions of Energy Conversion, Bd. 7, Nr. 1 (1992-03-01)
die Entwicklung eines in hohem Maße zuverlässigen störungstoleranten Reglers auf
Mikroprozessorbasis.
-
Gemäß der vorliegenden
Erfindung wird eine Steuerungssystemarchitektur für das Steuern
einer Anlage bereitgestellt, wobei die Steuerungssystemarchitektur
umfasst:
ein System von Rechnereinheiten, das eine Vielzahl von
redundanten Prozesseinheiten aufweist, wobei jede aus der Vielzahl
der redundanten Prozesseinheiten konfiguriert ist, mindestens eines
aus einer Vielzahl von redundanten Positionssignalen für die Anlage
zu erzeugen, und dadurch gekennzeichnet ist, dass:
jede aus
der Vielzahl der redundanten Prozesseinheiten konfiguriert ist,
eine schnelle Wiederherstellung selbst einzuleiten; und
ein
Bedienglied-Adapter an das System von Rechnereinheiten angekoppelt
und konfiguriert ist, jedes aus der Vielzahl der redundanten Positionssignale
zu empfangen, um einen Mittelwert für die Vielzahl von redundanten
Positionssignalen zu berechnen und die schnelle Wiederherstellung
in einer aus der Vielzahl der redundanten Prozesseinheiten abzufordern, wenn
die Differenz zwischen dem Positionssignal, das durch eine aus der
Vielzahl der redundanten Prozesseinheiten erzeugt wurde, und dem
berechneten Mittelwert einen Schwellwert überschreitet.
-
Durch
das Einbeziehen von Rechnereinheiten-Prozesseinheiten mit der Fähigkeit
zur schnellen Wiederherstellung verwenden die verschiedenen Ausführungsformen
der Erfindung Verfahren, wie z.B. Mittelwertabstimmung, Ausgleichen
und ähnliches,
um den Nutzen aus der für
das Steuerungssystem verfügbaren
Redundanz zu maximalisieren, so dass sich ein stabileres und zuverlässigeres
System ergibt. Das Steuerungssystem kann auch einen Adapter enthalten,
der die Stellglied-Steuerungssignale, welche durch die Prozesseinheiten
innerhalb des Systems der Rechnereinheiten erzeugt werden, an ein
Bedienglied oder ein anderes Gerät
ankoppelt. Der Adapter kann konfiguriert sein zu erkennen, wenn
die Leistungsfähigkeit
(z.B. die Leistungsfähigkeit
der Operatorbefehlseinheit) der Prozesseinheiten, z.B. entweder
in den ersten oder zweiten Rechnereinheiten, eine Störung anzeigt,
und eine schnelle Wiederherstellung der Prozesseinheit (innerhalb
der Rechnereinheit) und gegebenenfalls anderer Einheiten, die von
der Störung
betroffen sind (so z.B. Sensoreinheiten und/oder Operatorbefehlseinheiten), einzuleiten.
Außerdem
können
die Prozesseinheiten in den ersten oder zweiten Rechnereinheiten
konfiguriert sein, weiche Störungen
nachzuweisen und eine schnelle Wiederherstellung ohne eine Eingabe vom
Adapter einzuleiten. Ein "schneller
Wiederherstellungs-" oder "kurzfristiger Wiederherstellungs-" Prozess ist ein
Prozess, der eine Rückkehr
einer Prozesseinheit zur Funktionsfähigkeit in einem relativ kurzen
Zeitabschnitt, wie z.B. innerhalb eines Berechnungsrahmens, ermöglicht.
Darüber
hinaus kann eine derartige Wiederherstellung unabhängig sein
von übertragenen
Daten, die von anderen redundanten Rechnern zur Verfügung gestellt
werden. Zusätzlich
zur schnellen Wiederherstellung von Prozesseinheiten gegenüber weichen
Störungen
erreicht eine beispielhafte Systemarchitektur eine "transparente" Wiederherstellung
von Prozesseinheiten gegenüber
weichen Störungen
derart, dass die volle Systemredundanz wieder aufgebaut werden kann.
Mit anderen Worten hat die Wiederherstellung einer einzelnen Prozesseinheit
oder gegebenenfalls Sensor- oder
Befehlseinheit keinen nachteiligen Einfluss auf den Betrieb des
Steuerungssystems und somit auf die Steuerungsfunktion. Die verschiedenen mit
dieser Erfindung verbundenen Rechnersysteme können auch zusätzliche
Vorteile bereitstellen, wie z.B.: ein hochintegrer Störungsnachweis;
eine Überwachung
der Position des Bedienglieds und der Position des Steuerungs-Stellglieds,
wobei die Überwachungsschwellwerte
in der Zeit/Größe angepasst werden
können;
einen Stellglied-Positionsabgleich und/oder eine schnelle Redundanzwiederherstellung (einschließlich der
nicht ähnlichen
Hardware oder Software) gegenüber
weichen Störungen.
Darüber hinaus
kann ein zugehöriges
Steuerungssystem Prozesseinheiten mit einer analytischen Redundanz
als ein zusätzliches
Störungstoleranzelement
enthalten.
-
Kurzbeschreibung der Zeichnungen
-
Ein
umfassenderes Verständnis
der vorliegenden Erfindung kann durch Bezugnahme auf die ausführliche
Beschreibung und die Ansprüche
erhalten werden, wenn sie in Verbindung mit den Figuren betrachtet
werden, wobei gleiche Bezugsziffern überall in den Figuren auf ähnliche
Elemente verweisen und:
-
1 ein
konzeptionelles Überblicks-Blockdiagramm
einer Steuerungsfunktion ist und
-
2 ein
Blockdiagramm eines Beispiels für eine
Steuerungssystemarchitektur ist, die eine Steuerungsfunktionsimplementierung
bereitstellt.
-
Ausführliche Beschreibung von Ausführungsbeispielen
-
Entsprechend
den verschiedenen Ausführungsbeispielen
der Erfindung enthält
eine Steuerungssystemarchitektur geeignet die ausreichende Berechnungsredundanz
und das Steuerungsbefehlsmanagement, um einen gestörten Prozessor
entweder zu isolieren und wiederherzustellen oder alle Prozesseinheiten
des redundanten Systems ohne nachteilige Effekte wiederherzustellen.
Die Berechnungsredundanz kann mit mehreren Prozessoren oder Prozesseinheiten
innerhalb eines Rechners oder einer Rechnerplattform bereitgestellt
werden. Zusätzlich
zum Isolieren und Wiederherstellen gegenüber inneren Störungen ermöglichen
es verschiedene Ausführungsformen,
dass die Prozesseinheiten Störungen
in anderen Systemelementen, wie z.B. Sensoren, Adaptern, Bediengliedern
und/oder Stellgliedern nachweisen. Weitere Ausführungsformen können auch
eine oder mehrere Bedienglied-Adaptereinheiten enthalten, welche
durch den Nachweis von nachteiligen Fehlern die Störungen in
anderen Systemkomponenten (welche zusätzlich zu den Prozesseinheiten
vorhanden sind) nachweisen und getrennte Anweisungen ausgeben, um
eine Wiederherstellung auszulösen.
In einigen Ausführungsformen wird
die Prozessorwiederherstellung innerhalb eines Berechnungsrahmens
ausgeführt,
und die Redundanzwiederherstellung wird innerhalb eines oder zweier
Berechnungsrahmen oder anderweitig in einem Zeitabschnitt ausgeführt, der
kurz genug ist, so dass, wenn überhaupt,
nur minimale Auswirkungen auf das Leistungsverhalten des Systems
auftreten.
-
Verschiedene
Ausführungsformen
der vorliegenden Erfindung können
hier in der Form verschiedener Architekturelemente und verschiedener
Prozessschritte beschrieben werden. Es sollte anerkannt werden,
dass derartige Elemente durch eine beliebige Zahl von Hardware-
oder Strukturkomponenten realisiert werden können, die konfiguriert sind,
spezielle Betriebsschritte auszuführen. Derartige allgemeine
Anwendungen, welche durch Fachleute angesichts der vorliegenden
Offenlegung eingeschätzt
werden können,
werden hier nicht ausführlich beschrieben.
Ausführungsbeispiele
der vorliegenden Erfindung werden hier nur zum Zwecke der Veranschaulichung
häufig
in Verbindung mit der Flugzeug-Bordelektronik dargestellt. Die Erfindung
ist jedoch nicht so eingeschränkt,
und die hier offenbarten Konzepte und Vorrichtungen können in
einer beliebigen Steuerungsumgebung verwendet werden. Obwohl verschiedene
Komponenten an andere Komponenten innerhalb der beispielhaften Systemarchitekturen
angekoppelt oder angeschlossen sein können, sollte ferner angemerkt
werden, dass derartige Anschlüsse
und Kopplungen durch direkte Verbindung zwischen den Komponenten
oder durch eine Verbindung über
andere Komponenten oder Vorrichtungen, die dazwischen angeordnet
sind, realisiert werden können.
Eine beispielhafte Steuerungssystemarchitektur enthält geeignet
mehrere Prozessoren, von denen jeder konfiguriert ist, sich bei
verschiedenen Störungen
schnell wiederherzustellen. Der Begriff "schnelle Wiederherstellung" zeigt an, dass die
Wiederherstellung in einem sehr kurzen Zeitabschnitt geschehen kann.
Wie er hier verwendet wird, ist ein "Berechnungsrahmen" die Zeit, die eine spezielle Prozesseinheit
benötigt,
um eine sich wiederholende Aufgabe einer Berechnung auszuführen, z.B.
die Aufgaben, die kontinuierlich berechnet werden müssen, um
den Betrieb der gesteuerten Anlage aufrechtzuerhalten. Die Länge eines
Berechnungsrahmens hängt
von der Stabilität
der Anlage, die gesteuert wird, ab. In der Luftfahrtindustrie sind
zum Beispiel Düsenjäger weniger
stabil als größere Passagierdüsenflugzeuge.
Um das Beispiel fortzusetzen, kann ein Düsenjäger alle zwei Millisekunden
rechnerische Aktualisierungen benötigen, um die Stabilität aufrechtzuerhalten,
während
ein stabileres Flugzeug eine rechnerische Aktualisierung nur etwa
alle zweihundert Millisekunden benötigen kann, um den gleiche
Stabilitätsgrad
aufrechtzuerhalten. Somit kann ein Berechnungsrahmen in einem Düsenjäger zwei Millisekunden
lang sein, während
ein Berechnungsrahmen für
ein Passagierdüsenflugzeug
zweihundert Millisekunden lang sein kann. Um den Betrieb eines Steuerungssystems
aufrechtzuerhalten, ist es im Allgemeinen erwünscht, dass eine Wiederherstellung gegenüber einer
weichen Störung
etwa in einem oder zwei Berechnungsrahmen stattfindet. Eine Wiederherstellung
in einem Zeitabschnitt, welcher die Steuerungsfunktionsleistung
nicht nachteilig beeinflusst, wird hier als "im Wesentlichen momentan" bezeichnet, selbst
wenn eine solche Wiederherstellung nicht in einem einzigen oder
doppelten Zeitrahmen stattfindet.
-
Die
Fähigkeit
eines Prozessors, eine Wiederherstellung gegenüber einer weichen Störung zu veranlassen,
ermöglicht
es verschiedenen Ausführungsformen
der vorliegenden Erfindung, zur Wiederherstellung des Systems als
ganzes beizutragen. Außerdem
können
weiche Störungen
in demselben Berechnungsrahmen (oder innerhalb mehrerer Rahmen)
nachgewiesen werden, in welchem die Störungen auftreten. In den Ausführungsformen,
in denen die Störungen
innerhalb eines einzelnen Berechnungsrahmens nachgewiesen werden,
braucht jeder Prozessor für
den Einsatz zum Zwecke der Wiederherstellung nur die Daten der Steuerungs-
und Logikzustandsvariablen für
den unmittelbar vorhergehenden Rahmen zu speichern, was im Wesentlichen
momentan erfolgen kann. Dementsprechend wird die Abhängigkeit
einer jeden Komponente von anderen redundanten Komponenten geeignet
reduziert. Verschiedene Ausführungsformen
können
auch einen oder mehrere Adapter enthalten, welche das System der
Rechnereinheiten an die Steuerungsstellglieder ankoppeln. Die Adapter
können
konfiguriert sein zu erkennen, ob verschiedene Rechnerelemente richtig arbeiten,
indem sie zum Beispiel bestimmen, ob die Ausgabe einer Rechnerstufe
innerhalb vorgegebener Toleranzen liegt. In einer Ausführungsform,
die zum Beispiel in Flugzeugsystemen verwendet wird, können die
Prozesseinheiten verwendet werden, den Steuerungsstellgliedern auf
Basis der Eingabedaten von einem Operator (Mensch) und der Daten
von Sensoren Positionsbefehle zu erteilen. Da die Positionsbefehle
in den Adaptern kombiniert und überwacht
werden, die mit den verschiedenen Bediengliedern verbunden sind,
welche ihrerseits an die Steuerungsstellglieder (z.B. die Flugsteuerungsflächen) gekoppelt
sind, kann die Bewegung des Steuerungsstellglieds oder (für eine bessere
Störungsisolation
in der Bedienungsstufe) des Bedienglieds und des Stellglieds in
einer Prozesseinheit überwacht werden
(unter Verwendung der Bedienglied- und/oder Stellglied-Positionsdaten,
um zu bestimmen, ob die Bedienungseinheiten die Steuerungsstellglieder
in die richtigen Positionen bewegt haben).
-
Mit
Bezugnahme auf 2 enthält eine beispielhafte Steuerungssystemarchitektur 200 geeignet
ein System von Rechnereinheiten 108, die über einen
Bedienglied-Adapter 110 mit
einer Anlage 240 kommunizieren und Eingaben von einer Sensorgruppe 102 und/oder
Anlagenanpassungsbefehle über den
Sensor-Adapter 106 von einem Operator (Pilot usw.) 104 empfangen.
Das System von Rechnereinheiten enthält zwei oder mehr Rechnereinheiten,
welche Prozesseinheiten aufweisen. Das System von Rechnereinheiten 108 entspricht allgemein
der Steuereinheit und dem Summierer, die in 1 dargestellt
sind.
-
In
einem Ausführungsbeispiel
der vorliegenden Erfindung umfasst das System 201 im Wesentlichen
alle Komponenten von 2 außer der Anlage 240.
Die Anlage 240 ist ein Gerät, das fähig ist, durch die Steuereinheit
und Fehlerableitungsprozesse (System von Rechnereinheiten) von 108 gesteuert
zu werden, wie z.B. ein Flugzeug, ein Raumschiff, eine industrielle
Ausrüstung
oder ein Prozess, eine Ausrüstung
zur Elektroenergieerzeugung, eine medizinische Ausrüstung oder
Vorrichtung, ein Ventil oder dergleichen. Die Schnittstelle zwischen
dem Ausgang des Systems von Rechnereinheiten 108 und der
Anlage 240 enthält
geeignet einen Bedienglied-Adapter 110 und Bedienglieder 112, 114 und anderes
Gerät,
das zum Betätigen
eines oder mehrerer Steuerungsstellglieder 116, 118 in
der Lage ist, um eine Reaktion durch die Anlage 240 herbeizuführen. Der
Bedienglied-Adapter 110 ist ein beliebiges digitales oder
analoges Prozessgerät,
das in der Lage ist, eine Schnittstelle zwischen dem System der Rechnereinheiten 108 und
den Bediengliedern 112, 114 herzustellen. In verschiedenen
Ausführungsformen
stellt der Bedienglied-Adapter 110 geeignet
die Abstimmung und Auswahl eines Mittelwertes, die Datenverdichtung
und/oder Wiederherstellungstrigger – wie es zweckmäßig ist – bereit,
wie ausführlicher nachfolgend
erläutert
wird. Das System von Rechnereinheiten 108 ist ein beliebiges
digitales Steuerungsgerät,
wie z.B. ein digitaler Rechner oder eine Rechnereinheit, die einen
oder mehrere Prozessoren 202, 204 aufweist. In
einem Ausführungsbeispiel
ist das System von Rechnereinheiten 108 eine digitale Rechnerumgebung,
welche mehrere Rechnereinheiten 202, 204 einschließt, um eine
Redundanz bei der Abarbeitung bereitzustellen. Jede Rechnereinheit, z.B.
die Einheit 202 oder die Einheit 204, enthält geeignet
eine oder mehrere Prozesseinheiten 243, die zum Ausführen verschiedener
Softwareprozesse in der Lage sind. In dem dargestellten Ausführungsbeispiel
ist jede Rechnereinheit (202 oder 204) derart
in mehrere Prozesseinheiten 243 unterteilt, dass jede Rechnereinheit
(202 oder 204) zum Ausführen von mehreren, jedoch gleichzeitigen
Prozessen in der Lage ist. Jede Prozesseinheit 243 enthält ihren
eigenen Betriebssystemkern und/oder einen zugeordneten Anteil der
Systemressourcen (z.B. Plattenbereich, Speicher, Prozessorzeit usw.)
In verschiedenen Ausführungsformen
geht das System von Rechnereinheiten 108 geeignet mit den
Bedieneinheit- und den Flächenpositionsmonitoren,
dem Flächenpositionsausgleich,
der Schnellwiederherstellung, dem Redundanzmanagement sowie beliebigen
geeigneten Wiederherstellungstriggern um. Obwohl in der Figur dargestellt
ist, dass das System von Rechnereinheiten 108 zwei Rechnereinheiten
aufweist, von denen jede drei Prozesseinheiten 243 aufweist, könnte in
alternativen Ausführungsformen
eine beliebige Anzahl von Prozesseinheiten 243 vorgesehen sein,
wobei jede Prozesseinheit 243 eine beliebige Anzahl von
Prozessen unterstützt.
Im Betrieb nimmt das System von Rechnereinheiten 108 geeignet
eine Rückkopplung
von den Sensoren 102 und/oder den Anlagenanpassungsbefehlsanweisungen 104 von
einem menschlichen Operator über
den Sensoradapter 106 entgegen. Die Sensoren 102 enthalten
geeignet eine beliebige Anzahl von Gyroskopen, Fahrzeugpositionssensoren,
Luftstromsensoren, Temperatursensoren und/oder anderen Messgeräten, wie es
für die
jeweilige Ausführung
zweckmäßig sein kann.
Ebenso können
die Anlagenanpassungsbefehle 104 beliebige Anweisungen
von Piloten, Operatoren, der Fernsteuerung oder anderen Quellen
von Anweisungen enthalten. Der Sensoradapter 106 empfängt und
verdichtet geeignet die Daten aus den Sensoren 102 und
die Befehle 104, um eine Schnittstelle zu dem System von
Rechnereinheiten 108 herzustellen, wie es zweckmäßig ist.
Der Sensoradapter 106 kann auch eine Sensorbrauchbarkeitsüberwachung
bereitstellen, um sicherzustellen, dass der Sensor aktiv bleibt,
und er kann einen anderen Funktionsumfang bereitstellen, wie es
zweckmäßig ist.
Jeder der Sensoren 102 kann wahlweise Schnellwiederherstellungselemente
enthalten, wenn sie verfügbar
und für
die jeweilige Ausführung
erwünscht
sind.
-
Dem
System von Rechnereinheiten 108 werden Rückkopplungsregelungseingaben
von den Sensoren 102 (welche dem Anlagenausgabevektor Op(k) in 1 entsprechen)
und Befehle 104 (welche dem Befehlsvektor C(k) in 1 entsprechen)
zweckdienlich bereitgestellt. Die Daten können über einen Bus, ein Netzwerk
oder ein anderes Kommunikationsmedium jeder Rechnereinheit 202, 204 bereitgestellt werden.
Jede Rechnereinheit 202, 204 stellt ihrerseits
die entsprechenden Daten jeder Prozesseinheit 243 zur Verfügung, von
denen jede als eine separate abgeteilte Prozesseinheit arbeitet,
wie es zweckmäßig ist.
In einer IMA-Plattform würden
zum Beispiel verschiedene Softwareabteilungen, von denen jede eine
anders geartete Funktion für
das Flugzeug bereitstellt, auf einem einzigen Abschnitt der digitalen Hardware
ausgeführt
werden. Dementsprechend kann jeder Datensatz von den redundanten
Sensor- und Befehlsdatensätzen
gleichzeitig in mehreren isolierten Prozesseinheiten 243 bearbeitet
werden, um ein System von Rechnereinheiten 108 für die Anlage 240 bereitzustellen.
Jede Prozesseinheit 243 stellt geeignet ein oder mehrere
Elemente eines Fehlervektors E(k) (1) für ein Bedienglied-Adapter 110 bereit,
der ein Stellglied 116, 118 steuert, welches seinerseits
die Ausgaben der Anlage 240 für die Anlagensteuerung veranlasst.
In dem System von Rechnereinheiten 108 wird der Fehlervektor
E(k) aus dem Befehlsvektor 104 und dem Steuerungsvektor Oc(k) abgeleitet (1). In einer
alternativen Ausführungsform
können
der Bedienglied-Adapter 110 und/oder der Sensor-Adapter 106 zweckmäßigerweise
physisch oder logisch in das System von Rechnereinheiten 108 und/oder
das Bedienglied 112, 114 integriert sein, oder
die Architektur kann auf andere Weise in Abhängigkeit von der gewünschten
speziellen Ausführungsform
verändert
sein.
-
Der
Bedienglied-Adapter 110 empfängt geeignet die mehrfachen
parallelen Steuerungssignale von den Prozesseinheiten 243 und
erzeugt eine entsprechende Steuerungsausgabe an das Bedienglied 112 als
eine Funktion der parallelen Signale. Mit anderen Worten kann ein
Bedienglied-Adapter 110 konfiguriert sein, ein einziges
Ausgangssignal auf der Basis von mehreren ähnlichen Eingaben zu erzeugen,
um eine geeignete Positionsbefehlsausgabe an ein Bedienglied zu
senden. Wenn der Bedienglied-Adapter 110 nachweist, dass
eine der Prozesseinheiten 243 keine Signale, die innerhalb
bestimmter Toleranzen liegen, liefert, dann kann der Bedienglied-Adapter 110 konfiguriert
werden, ein Signal an die in Frage kommende Rechnereinheit zu übermitteln,
um den Start eines Schnellwiederherstellungszyklus für diese
Prozesseinheit und auch, wenn es zweckmäßig ist, für eine Sensoreinheit usw. abzufordern.
Ein Verfahren zur Berechnung der Steuerungsausgabe schließt das Berechnen
eines "Mittelwertes" ein, wobei die Signale
von den Prozessen 243 verwendet werden, um einen Durchschnitt
und/oder Median aller erzeugten Werte zu berechnen. Dieser Mittelwert
wird dann mit jedem Signal aus jedem Prozess 243 verglichen.
Liegt eine Unstimmigkeit zwischen irgendeinem speziellen Wert, der
auf irgendeinem Wege 243 erzeugt wurde, und dem Durchschnitt und/oder
Median aller Werte (d.h. den "Mittelwerten") vor, dann weist
der Bedienglied-Adapter 110 geeignet nach, dass ein Fehlerzustand
vorliegt, und signalisiert den entsprechenden Prozesseinheiten 243, Messeinheiten
usw., dass sie einen Schnellwiederherstellungszyklus einleiten.
Die Unstimmigkeit gegenüber
den Mittelwerten kann auf irgendeinem Toleranzwert beruhen, der
seinerseits auf der Basis gewünschter
Bedingungen angepasst sein kann, wie nachfolgend ausführlicher
erläutert
wird. Der Nachweis der Abweichung von einem Durchschnitts- oder Medianwert
kann sehr schnell erfolgen, was somit möglicherweise eine Identifizierung
eines Fehlers innerhalb von ein oder zwei Rahmen des gerade erzeugten
Wertes zur Folge hat, obwohl sich die Identifizierungszeiten von
Ausführungsform
zu Ausführungsform
unterscheiden. Dementsprechend können Abweichungen
von Mittelwerten auf der Basis vorheriger Mittelwerte (d.h. Werte,
die von einem vorherigen Rahmen beibehalten wurden) berechnet werden,
oder sie können
in Echtzeit berechnet werden, wenn es zweckmäßig ist. Darüber hinaus
könnte
der Bedienglied-Adapter ferner eine Logik enthalten, um beliebige
unangemessene Werte für
die Datenergebnisse nachzuweisen, welche durch die Prozesseinheit 243 erzeugt
wurden. Zum Beispiel können
beliebige unvernünftige
Werte auf der Basis von Datenraten, Absolutwerten usw. leicht als
fehlerhaft identifiziert und/oder aus den Daten ausgeschlossen werden,
die bei dem Adapter 110 bearbeitet wurden.
-
In
einer weiteren Ausführungsform
kann die Prozesseinheit 243 konfiguriert sein, dass sie
einen Ausgleich zwischen den Stellgliedern bereitstellt. In derartigen
Ausführungsformen
kann jedes Stellglied langsam angepasst werden, um das Steuerungssignal,
das durch jede Prozesseinheit 243 erzeugt wird, zu Feinanpassungen
mit dem im Bedienglied-Adapter 110 berechneten Mittelwert
hin zu führen,
so dass die durch jede Prozesseinheit 243 erzeugten Signale einen
ausgeglichenen Befehl für
die Steuerung der Stellgliedposition ergeben. Derartige Ausführungen erfordern
gewöhnlich
keine strenge Synchronisierung zwischen den verschiedenen Prozesseinheiten, um "ausgeglichene" Befehlswerte zu
erreichen, weil jedes Stellgliedpositionsbefehlssignal zu den anderen
Signalen hin (d.h. zu einem Mittelwert hin) geführt wird.
-
Durch
Ausführen
der Mittelwert-Signalauswahl und des Ausgleichens wird es dem Bedienglied-Adapter 110 ermöglicht,
eine schnelle Systemwiederherstellung auf einem nahtlosen Wege auszunutzen.
Das heißt,
beliebige Fehler in einer beliebigen Prozesseinheit 243 breiten
sich nicht über
den Adapter 110 hinaus aus, um die Leistungsfähigkeit des
Systems 200 derart zu beeinträchtigen, dass sie die Steuerungsfunktion
nachteilig beeinflussen. Da der Fehler sehr schnell eingegrenzt
wird, kann die Wiederherstellung der redundanten Stellgliedpositionssteuerungsbefehle
sehr schnell ausgeführt
werden. Dementsprechend veranlasst der Bedienglied-Adapter 110 durch
die Rechnereinheit 202, 204 geeignet eine zweckmäßige Wiederherstellung,
indem er schnell beliebige Prozesseinheiten 243 und/oder
die entsprechenden Sensoreinheiten usw. wiederherstellt, wenn er
einen Wert entdeckt, der außerhalb
des Toleranzbereiches liegt oder bei dem auf eine andere Weise ein
Fehler festgestellt wurde. Ein derartiges System kann sich schnell
selbst in den entsprechenden Zustand zurücksetzen, um die Softwareausführung fortzusetzen,
die aus dem vorherigen Rahmen geretteten Zustandsvariablen wiederherzustellen,
die Abarbeitung wieder aufzunehmen und das Wiederherstellungsmanagement,
das die volle Redundanzstufe innerhalb der Systems 200 wieder
einrichtet, in Gang zu setzen. Da jede Prozesseinheit innerhalb
des Systems von Rechnereinheiten 108 einen Mittelwert für die Stellgliedposition berechnet,
kann jede Prozesseinheit 243 alternativ für das Ausgleichen
ihren eigenen Vergleich zwischen den Werten für die Stellgliedposition und
dem Mittelwert der Stellgliedposition ausführen. Wenn die Differenz einen
Schwellwert überschreitet,
dann kann die Prozesseinheit einen gestörten Pfad von dem System von
Rechnereinheiten 108 zum Stellglied 116, 118 nachweisen
und ein entsprechendes Signal zur Störungsbehandlung des gestörten Pfades
veranlassen, wie es zweckmäßig ist.
-
Der
Bedienglied-Adapter 110 kann ferner konfiguriert sein,
eine Positionsrückkopplung
vom Bedienglied 112/114 und/oder den Stellgliedern, 116/118 zum
System von Rechnereinheiten 108 bereitzustellen. In derartigen
Ausführungsformen
stellt das Bedienglied 112/114 dem Bedienglied-Adapter 110 geeignet
Regelschleifen-Einschaltsignale
bereit, wie es in einer "klassischen" Bediengliedarchitektur der
Fall sein würde,
wo die Regelschleife im Bedienglied-Adapter 110 geschlossen
sein würde,
und der Bedienglied-Adapter 110 leitet die Bedienglied-Positionssignale
auch an das System von Rechnereinheiten 108 weiter. Wenn
die Steuerungssystemarchitektur "intelligente" Bedienglieder 112 aufweist,
dann wird die Regelschleife am Bedienglied geschlossen, und der
Bedienglied-Adapter 110 würde dem
System von Rechnereinheiten 108 nur Bedienglied-Positionssignale
bereitstellen. Ferner können
die Positionsinformationen des Stellglieds 116/118 dem
System von Rechnereinheiten 108 über einen Bedienglied-Adapter 110 bereitgestellt
werden. Auf diese Weise wirkt der Bedienglied-Adapter 110 geeignet als
eine Schnittstelle oder ein Portal, um zwischen den Busprotokollen
des Systems von Rechnereinheiten 108 und dem Bedienglied 112/114 sowie
dem Stellglied 116/118 zu vermitteln. Wenn der
Bedienglied-Adapter 110 eine harte Störung (d.h. eine nicht behebbare
Störung)
nachweist, dann kann diese entsprechende Prozesseinheit 243 durch
den Bedienglied-Adapter 110 abgeschaltet oder isoliert
werden, wie es zweckdienlich ist.
-
Wie
oben beschrieben wurde, laufen die Positionsbefehle von jeder Prozesseinheit 243 des
Systems von Rechnereinheiten 108 zum Bedienglied-Adapter 110.
Der Bedienglied-Adapter 110 übermittelt die Positionsbefehlssignale
an das Bedienglied 112, welches dann die geforderten Befehle ausführt, wie
es zweckdienlich ist. In verschiedenen Ausführungsformen kann das System
von Rechnereinheiten 108 konfiguriert sein, die Sensorsignale
zu überwachen,
was den Sensor-Adapter 106,
den Bedienglied-Adapter 110, die Bedienglieder 112 und 114 und/oder
die Steuerungsstellglieder 116 und 118 einschließen würde.
-
In
dem Fall, dass das Bedienglied
112 zum Beispiel nicht innerhalb
der vorgegebenen Toleranzen arbeitet, kann der Stellglied-Adapter
110 konfiguriert
sein, dass er diesen Zustand wahrnimmt und sich mit der Situation
befasst, wie nachfolgend ausführlicher
beschrieben wird. Die Steuerungsstellglieder
116,
118 usw.
sind üblicherweise
konfiguriert, die gewünschten
Funktionsänderungen
innerhalb der Anlage
240 auszuführen. In den Ausführungsformen, in
denen die Anlage
240 ein Flugzeug ist, können die Steuerungsstellglieder
116 und
11
8 zum Beispiel in der Form von Flugsteuerungsflächen, wie
z.B. Querrudern, Höhenleitwerken
und/oder Steuerrudern, vorliegen. In verschiedenen Ausführungsformen
ist jede Prozesseinheit
243 konfiguriert, dass sie zu einer schnellen
Wiederherstellung in der Lage ist. Um eine schnelle Wiederherstellung
auszuführen,
ist jede Prozesseinheit
243 konfiguriert, die notwendigen Steuerungs-
und logischen Zustandsvariablen aus den internen Speicherplätzen, wie
z.B. einem hochintegren Speicher mit wahlfreiem Zugriff, abzurufen. Ein
Beispiel für
einen hochintegren RAM wird in der
US-Patentschrift Nr.
6,163,480 beschrieben, obwohl eine beliebige andere Speichertechnologie
hoher Integrität
verwendet werden könnte.
Unter Verwendung der abgerufenen Zustandsvariablen und entsprechender
Sensordaten kann sich jede Prozesseinheit
243 von einer
weichen Störung
verhältnismäßig schnell
vollständig
erholen, ohne dass eine Datenübertragung
von einer anderen Rechnereinheit erforderlich ist.
-
Während des
normalen Betriebs können
die Ausgangssignale von jeder Prozesseinheit 243 durch den
Bedienglied-Adapter 110 überwacht werden, um sicherzustellen,
dass jede Rechnereinheit 202, 204 Ergebnisse innerhalb
einer vorgegebenen Toleranz der verbleibenden Rechnereinheiten erzeugt.
-
Der
Schnellwiederherstellungszyklus schließt ein Zurücksetzen der in Frage kommenden Rechnereinheit
und einen Beginn der Ausführung des
Betriebsprogramms an einer passenden Stelle des Programmausführungszyklus
ein. Durch die Verwendung der Mittelwert-Steuerungssignalauswahl, des Ausgleichens
und anderer Verfahren sollte eine Synchronisierung mit den verbleibenden
Prozesseinheiten 243 nicht nötig sein, wenn der Schnellwiederherstellungszyklus
eingeleitet wird.
-
Während eines
Schnellwiederherstellungszyklus kann die Toleranz, die für die Feststellung
verwendet wird, ob eine Prozesseinheit 243 richtig arbeitet,
für diese
spezielle Prozesseinheit 243 gelockert werden. Zum Beispiel
kann es während
des normalen Betriebs eine vorgegebene Toleranz geben, innerhalb
derer der Betrieb einer jeden Prozesseinheit 243 erwartet
wird. Erzeugt eine Prozesseinheit 243 Werte, die nicht
innerhalb der vorgegebenen Toleranz liegen, dann kann festgestellt
werden, dass diese Prozesseinheit 243 einer weichen Störung unterliegt,
und es kann ein Schnellwiederherstellungszyklus eingeleitet werden.
Während
des Schnellwiederherstellungszyklus kann die vorgegebene Toleranz für die betroffene
Prozesseinheit 243 derart ein wenig gelockert werden, dass
weitere Abweichungen akzeptabel sind, bis die Einheit 243 ihren
normalen Betrieb wieder aufnimmt. Darüber hinaus darf die Ausgabe
dieser Einheit 243 nicht in die Ableitung der Ausgabe an
ein Bedienglied (d.h. die Berechnung des Mittelwertes) einbezogen
werden, bis die Ausgabe in die gelockerte Toleranz hineinfällt. Fällt die
Ausgabe innerhalb einer vorgegebenen Zeitspanne T in die Toleranz
hinein (wodurch angezeigt wird, dass sich die Rechnereinheit stabilisiert
hat), dann kann sie wieder in die Ableitung der Ausgabe eingezogen werden.
Bevor die vorgegebene Zeit T abgelaufen ist und die Ausgabe der
Einheit 243 in die Toleranz hineingelangt ist, können die
Anforderungen, die Einheit 243 in einen Schnellwiederherstellungszustand
zu versetzen, ausgesetzt oder "maskiert" werden, um ein Wiederherstellen
der Einheit 243 zu ermöglichen. Sobald
sich die Einheit 243 vom Wiederherstellungszyklus stabilisiert
hat, kann die Einheit 243 den vorherigen Toleranzen unterworfen
werden. Gelangt die Ausgabe in der vorher festgelegten Zeit nicht
in die Toleranz hinein, dann kann eine weitere Anforderung ausgegeben
werden, die Einheit 243 in einen Schnellwiederherstellungszustand
zu versetzen.
-
Ein
optionaler Neustartzähler
innerhalb des Bedienglied-Adapters 110 kann konfiguriert
sein, die Anzahl der aufeinander folgenden Neustartanforderungen
zu zählen,
die jeder Einheit 243 übergeben werden.
Wenn die Anzahl der Anforderungen (N) einen vorgegebenen Wert (X) überschreitet,
dann kann die Einheit 243 als "nicht wiederherstellbar" gekennzeichnet und
von der Ableitung des Positionsbefehls aus dem Bedienglied-Adapter ausgeschlossen
werden. Der vorgegebene Wert X kann ein Sicherheitsparameter sein,
der auf die Dynamik einer Anlage 240 in einem Regelkreissystem,
in welchem jede Einheit 243 angeordnet ist, bezogen ist,
wobei er die Anzahl von Neustarts für die Einheit 243 darstellt
und zum Beispiel im Bereich zwischen drei und zehn liegen kann.
In anderen Ausführungsformen
jedoch wird die Einheit 243 bei einer einzigen Störung oder bei
vielen Störungen
ausgeschlossen, wie es zweckmäßig ist.
In noch einer weiteren Ausführungsform
ist jede der Einheiten 243 konfiguriert, innere Störungen nachzuweisen.
In einer solchen Situation ist die Einheit 243, welche
auf eine Störung
trifft, in der Lage, die Störung
nachzuweisen und ihren eigenen Schnellwiederherstellungszyklus auszulösen, vorzugsweise
(aber nicht notwendigerweise) in demselben Berechnungsrahmen, in
dem die Störung
auftritt. In der Zwischenzeit übermittelt
die betroffene Einheit 243 ein Signal an den Bedienglied-Adapter 110,
um eine Lockerung in den Toleranzen anzuzeigen, während die
betroffene Einheit 243 im Wiederherstellungsprozess ist.
Wie in dem vorherigen Szenarium ist die Widerherstellbarkeit der
Einheit 243 durch die Kriterien festgelegt, die mit den
Neustartzählern
verbunden sind, die sowohl in der Einheit 243 als auch dem
Bedienglied-Adapter 110 angeordnet sind. Die Neustartzähler in
den Einheiten 243 sind ein Mittel, durch welches die Einheit 243 als
nicht wiederherstellbar gekennzeichnet wird. Wieder kann die Einheit 243 als
nicht wiederherstellbar gekennzeichnet und von der Ableitung des
Positionsbefehls aus dem Bedienglied-Adapter 110 ausgeschlossen
werden, wenn über
eine vorher festgelegte Zeit die Anzahl von Anforderungen N eine
Anzahl X übersteigt.
-
In
bestimmten Ausführungsformen
der vorliegenden Erfindung ist die Wiederherstellung der Rechnereinheiten
durchschaubar. Das heißt,
wenn eine Rechnereinheit 202, 204 auf eine weiche
Störung
trifft und zu einem Wiederherstellungszyklus übergeht, bleiben die übrigen Rechnereinheiten 202, 204 durch
den Wiederherstellungszyklus unbeeinflusst, und der Betrieb des
Rechnersystems als ganzes ist unbeeinflusst. Die obige Beschreibung
stellt Verfahrensbeispiele vor, die zur Ausführung der Erfindung in Betracht
gezogen werden. Die oben beschriebenen Verfahren sind jedoch empfänglich für Veränderungen
und alternative Konstruktionen von den oben dargestellten Ausführungsformen.
Andere Variationen und Veränderungen
der vorliegenden Erfindung werden für Fachleute offensichtlich
sein, und es ist das Ziel der beigefügten Ansprüche, dass derartige Variationen
und Veränderungen
abgedeckt werden. Zum Beispiel sind verschiedene Ausführungsformen
spezifisch für
einen Einsatz im Flugzeug und in der Luftfahrtelektronik, wobei
es verständlich
sein sollte, dass die Erfindung nicht so eingeschränkt ist
und in einer Vielfalt von Systemen ohne Rücksicht auf den Verwendungszweck
des Systems verwendet werden kann. Darüber hinaus ist der Ablauf der
beschriebenen Schritte nicht notwendigerweise maßgeblich, außer wenn
es anders angemerkt ist. Ferner können bei den beschriebenen
und in der Anwendung veranschaulichten Ausführungsformen verschiedene Schritte
ohne einen schädlichen
Einfluss auf die vorliegende Erfindung verändert, hinzugefügt oder
gestrichen werden.
-
Es
sollte anerkannt werden, dass die dargestellten und hier beschriebenen
speziellen Ausführungen
Beispiele der Erfindung sind und nicht dazu gedacht sind, den Gültigkeitsbereich
der vorliegenden Erfindung auf irgendeine Weise anderweitig zu beschränken. Die
Verbindungslinien, die in den verschiedenen hier enthaltenen Figuren
dargestellt sind, sind dazu gedacht, Funktionsbeziehungsbeispiele und/oder
physische oder logische Verknüpfungen zwischen
den verschiedenen Elementen darzustellen. Es sollte angemerkt werden,
dass viele alternative oder zusätzliche
Funktionsbeziehungen, physische Verbindungen oder logische Verbindungen
vorliegen können.
Die entsprechenden Strukturen, Materialien, Vorgänge und Äquivalente aller Elemente in den
nachfolgenden Ansprüchen
sind dazu gedacht, eine beliebige Struktur, Material oder die Vorgänge zum
Ausführen
der Funktionen in Kombination mit den anderen beanspruchten Elementen
einzuschließen,
wie speziell beansprucht wird. Außerdem können die in beliebigen Verfahrensansprüchen vorgestellten
Schritte in einer beliebigen Reihenfolge ausgeführt werden. Der Gültigkeitsbereich
der Erfindung sollte eher durch die angefügten Ansprüche und deren legale Äquivalente
statt durch die oben gegebenen Beispiele festgelegt werden. Keine
Einzelheit oder Komponente ist für
die Anwendung der Erfindung wesentlich, außer wenn das Element hier speziell
als "wesentlich" oder "entscheidend" beschrieben wird.