專利名稱：多通道系統(tǒng)中獲得高度綜合和可用性的方法與裝置的制作方法
技術領域：
本發(fā)明概括地說涉及多通道電傳操縱航空電子系統(tǒng)，更具體地說，涉及在多通道電傳操縱航空電子控制系統(tǒng)中獲取高度綜合和可用性的一種方法與裝置。
在電傳操縱(fly-by-wire)技術問世之前，商用飛機的飛行控制面由一套復雜的索和機械控制系統(tǒng)操縱。隨著電傳操縱技術的出現(xiàn)，這些機械控制系統(tǒng)被電傳操縱系統(tǒng)替代，在這種操縱系統(tǒng)中飛行員操縱裝置和飛行控制面之間沒有直接的機械聯(lián)結。電傳操縱系統(tǒng)沒有使用諸如索的機械聯(lián)結，而采用飛行員操縱傳感器，它可以感受飛行員操縱的姿態(tài)，并產(chǎn)生同飛行員操縱的姿態(tài)成比例的電信號。這些電信號同主飛行計算機的其它的飛機數(shù)據(jù)綜合，發(fā)出飛行控制面指令，從而操縱商用飛機飛行控制面的動作。
由于安全性始終是飛機工業(yè)的優(yōu)先考慮因素，電傳操縱系統(tǒng)通常包含冗余部件，以便在其中某個部件失效時，飛行員仍能安全地操縱飛機飛行。授予Buss的申請日為1992年6月3日，申請序號為NO.07/893,339的名稱為“多路存取冗余電傳操縱主飛行控制系統(tǒng)”的美國專利申請中描述了此電傳操縱系統(tǒng)一個實例。本發(fā)明參考并引用了此申請文件中的內(nèi)容和附圖。所述的電傳操縱系統(tǒng)可分為一系列獨立的控制通道，其中每個通道基本上和其它通道隔離。因此，一個通道出現(xiàn)故障不影響其余通道的繼續(xù)工作，而飛行員可只使用一個通道駕駛飛機。這種典型的電傳操縱系統(tǒng)包括許多其它冗余系統(tǒng)，以確保乘客和機組人員的安全，例如，它包括自動駕駛儀飛行主控計算機，大氣數(shù)據(jù)模塊，發(fā)動機顯示和機組告警系統(tǒng)，飛機信息管理系統(tǒng)等。獨立的控制通道和飛機的這些系統(tǒng)通過全局通信數(shù)據(jù)總線(Global CommunicationData Bus)直接通信。但是，電傳操縱系統(tǒng)各個部件，包括全局通信數(shù)據(jù)總線，構成了潛在的弱連接，它有可能在部件失效或者同部件的連接斷開或松動時出現(xiàn)問題。如果這樣的問題沒有被檢測到，或者沒有正確地加以識別，后果是災難性的。
因此，有必要提供帶有能夠監(jiān)視和識別飛機部件故障或缺陷的電傳操縱系統(tǒng)。由于對電傳操縱系統(tǒng)有非常嚴格的安全要求，有必要采取高度的綜合，以便使系統(tǒng)發(fā)生故障的數(shù)字概率，無論是引起功能喪失但沒有明顯即刻的飛機不穩(wěn)定的被動性故障，還是引起飛機部件故障，帶有明顯即刻的飛機不穩(wěn)定的主動性故障，都低于每飛行小時1.0E-10。通過避免飛機部件的有害棄用(nuisance condemnation)，該系統(tǒng)的可用性會被最大發(fā)揮，同時可達到上述所需的綜合度。另外，在該系統(tǒng)中，需要鑒別發(fā)生在獨立控制通道與發(fā)生在全局通信總線之間及與其它飛機部件之間的故障。本發(fā)明旨在滿足電傳操縱航空電子控制系統(tǒng)的這些和其它的需要。
本發(fā)明提供了監(jiān)視和識別該系統(tǒng)各單元出現(xiàn)故障的多通道系統(tǒng)。多通道系統(tǒng)由者若干外場可更換部件(Line Replaceable Units)和同全局總線連接的獨立控制通道組成?？刂仆ǖ篮屯鈭隹筛鼡Q部件同全局總線連接，每一個計算機通道和外場可更換部件是一發(fā)射機，它通過總線發(fā)送信息。每個通道包括多條與專用總線連接的通路，其中，每個通路由一個電源、一個處理器和一個到總線的接口組成。然而，每個通道只有一個通路，即指令通路，可以通過總線發(fā)送信息。
每個計算機通道以相同的方式監(jiān)視和檢測多通道系統(tǒng)中的故障。因此，只有一個通道的通路操作被累加。因而，某個通道中各通路的處理器為連接在總線上的各發(fā)射機產(chǎn)生一個通道多數(shù)判斷(channel majority opinion)，以表示大多數(shù)的通道是否檢測到發(fā)射機中的故障。為確定通道多數(shù)判斷，該通道的每個通路的處理器應首先產(chǎn)生一個通路多數(shù)判斷(lane majority opinion)，以表示該通路的多數(shù)是否檢測到通過全局總線進行通信的發(fā)射機的故障。然后，各通道的通路指令把該通道的通路多數(shù)判斷通過全局總線發(fā)送到其它通道。
在通道的各通路收到由各通道的指令通路產(chǎn)生的通路多數(shù)判斷之后，通道的各通路的處理器對各通道的通路多數(shù)判斷加以鑒定，確保檢測到的故障不是由發(fā)送通路多數(shù)判斷的指令通路所在通道的故障引起。如果這條通道沒有出現(xiàn)故障，各通路的處理器為這條通道產(chǎn)生一個已鑒定的通路多數(shù)判斷，以表明這條通道的多數(shù)通路是否檢測到了發(fā)射機的故障。在各通路的處理器以這種方式為這個通道產(chǎn)生一個已鑒定的多數(shù)判斷之后，處理器將已鑒定的多數(shù)判斷通過該通道的專用總線發(fā)送到該通道的其它通路中。
接著，各通路的處理器產(chǎn)生一個通道的最終通路多數(shù)判斷。通道的最終通路多數(shù)判斷可表示通道的大多數(shù)通路是否在通道的通路多數(shù)判斷鑒定之后，連續(xù)檢測到發(fā)射機的故障。這樣，最終通路多數(shù)判斷可表示發(fā)射機是否出現(xiàn)故障。通過確定通道的大多數(shù)通路是否持續(xù)為通道產(chǎn)生一個已鑒定的通路多數(shù)判斷，以表示發(fā)射機是否出現(xiàn)故障，各通路的處理器生成了通道的最終通路多數(shù)判斷。
最后，通過確定大多數(shù)通道是否持續(xù)產(chǎn)生通道的最終多數(shù)判斷，可表示發(fā)射機是否出現(xiàn)故障，通道的各通路的處理器生成了通道的多數(shù)判斷。
在本發(fā)明的其它優(yōu)選實施例中，通道多數(shù)判斷還可由各通路的處理器加以處理，以識別發(fā)射機出現(xiàn)故障的類型，例如，故障是間歇性的還是永久的，以及識別全局總線的故障和通道內(nèi)的故障。
參照下面的詳細說明和附圖，可容易地看出本發(fā)明的上述各方面和諸多優(yōu)點。其中

圖1是一多通道電傳操縱系統(tǒng)的方框圖，包括通過全局通信總線與多個外場可更換部件(LRU)連接的三個通道(即三個主飛行計算機，或稱PFC)；圖2是圖1中的PFC的更詳細的框圖，其中每個PFC包括三個計算通路，用來按照本發(fā)明監(jiān)視和檢測電傳操縱系統(tǒng)中的故障；圖3A和圖3B是表示通過全局通信總線在通道和LRUs之間傳送信息的形式的框圖；圖4A，4B和4C是一功能框圖，表示了通道如何按照本發(fā)明監(jiān)視和識別電傳操縱系統(tǒng)中的故障；圖5是一流程圖，表示通道的各通路為確定是否通路推測某個LRU出現(xiàn)故障的邏輯；圖6是一流程圖，表示確定是否通道的多數(shù)通路推測某個LRU出現(xiàn)故障的邏輯；圖7是一流程圖，示出了確定是否通道的僅一個通路推測某個LRU出現(xiàn)故障的步驟；圖8是一流程圖，示出了用來鑒定在圖7作出的判定的步驟；圖9是一流程圖，示出了確定是否通道的多數(shù)通路在鑒定之后仍推測到某個LRU發(fā)生故障的步驟；圖10是一流程圖，示出了確定是否多數(shù)通道已確定某個LRU出現(xiàn)故障的步驟；
圖11是一流程圖，示出了確定通信總線是否出現(xiàn)故障的步驟；圖12是一流程圖，示出了確定某個LRU或全局通信總線是否出現(xiàn)間歇性故障的步驟；圖13是一流程圖，示出了確定PFC和LRU是否處于活動狀態(tài)，并通過全局通信總線進行通信的步驟；圖14是一流程圖，示出了確定某個LRU是否處于休眠狀態(tài)的步驟。
圖1表示多通道電傳操縱航空電子臨界控制系統(tǒng)的框圖。電傳操縱系統(tǒng)31包括三條獨立和隔開的飛行控制通道，即三條獨立和隔開的主飛行計算機或稱PFC，包括一個左飛行通道40，一個中央飛行控制通道42和一個右飛行控制通道4(下文中術語“通道”和“PFC”將交替地使用)。控制通道40，42，44是物理和電隔離的，以便任一通道的失效不會對另外通道的工作產(chǎn)生不利影響。為了實現(xiàn)這種隔離，三條相互獨立的控制通道必須異步工作。然而異步工作造成了通道功能之間的時間上的延遲。航空電子領域的普通技術人員可以理解，考慮這種延遲是為了適應不同的電傳操縱系統(tǒng)的參數(shù)的要求。但是，這些參數(shù)在此不作描述，因為對它們的了解并不是理解本發(fā)明所必須的。
每個通道或PFC40，42，44通過全局通信總線34，和其它航空電子部件之間發(fā)送和接收飛行控制信號。這些航空電子部件包括自動駕駛飛行主控計算機，大氣數(shù)據(jù)模件，發(fā)動機顯示和機組告警系統(tǒng)，飛機信息管理系統(tǒng)等。由于航空電子部件的類型、功能及目的對描述本發(fā)明來說是不重要的，這些部件在圖1中統(tǒng)統(tǒng)表示為外場可更換部件LRUs30，這是一個現(xiàn)有技術中的已知術語，用來描述航空電子部件作為一個單元可以人工地裝到飛機上或從飛機上卸下。
每個LRUs30通過全局通信總線的PFC40，42，44發(fā)送數(shù)據(jù)，用來確定控制面的指令。全局通信總線34由三條數(shù)據(jù)總線組成，左總線33，中央總線35和右總線37。在優(yōu)選實施例中，數(shù)據(jù)總線33，35和37采用ARINC 629數(shù)據(jù)通信鏈方式，這是飛機工業(yè)的一個標準，然而也可采用其它類型的數(shù)據(jù)通信鏈。
控制系統(tǒng)的各飛行控制通道通過一種特殊類型的LRU操縱飛機的各飛行控制面，即一個作動控制器電子單元(ACE)38使飛行員可只操縱一個通道飛行，這樣，若干冗余的ACE38從飛機的駕駛桿、機輪、腳蹬、方向舵等(未示出)接收飛行員的操縱信號。ACE38接著把飛行員操縱信號通過全局通信總線34發(fā)送到通道40，42，44?；趶腁CEs接收到的飛行員操縱信號和從LRUs30接收到的數(shù)據(jù)，通道產(chǎn)生一系列的飛行控制面指令，通過全局通信總線把飛行控制面指令傳回ACEs38。ACEs38完成各通道產(chǎn)生的飛行控制面指令的數(shù)到模的轉換，把這些轉換后的數(shù)據(jù)發(fā)送到多個動力控制單元(PCUs)36，它們控制飛機的各個飛行操縱面的運動。很清楚，通過全局通信總線的任何航空電子部件之間的通信不能出錯。通過面的描述可以清楚地看出，該發(fā)明可以檢測通過全局通信總線34在ACE38，LRU30和通道40，42，44之間的通信錯誤，確定錯誤是因某個LRU或通信總線34的永久性或間歇性的故障引起，還是因通道本身的故障引起。為描述方便起見，LRU也將被稱為ACEs。
圖2示出了連接到全局通信總線34的通道40，42，42的內(nèi)部部件。由于40，42，44實際上是等同的，下列關于左通道40的敘述同樣適用于中央通道和右通道42，44。因此，將不對中央和右通道詳細討論。
左通道40包括三個冗余計算通路46，48，50。每個通路由一個電源(PS)52，一個微處理器單元(MPU)54和一個輸入/輸出接口(I/O)60組成。各通路的接口60可使該通路直接連接到全局通信總線34上。通道40各通路的MPUs54由一個專用的通路之間的數(shù)據(jù)總線54連接，以使MPU54以及通路46，48，50相互通信。然而，在本發(fā)明的優(yōu)選實施例中，各MPU的微處理器硬件是不同的，以加速任何微處理芯片的類屬設計錯誤的檢測，例如，通路46的微處理單元54是由Advanced Micro Devices公司生產(chǎn)的29050微處理器構成，通路48的MPU 54由Motorola制造的68040組成，而通路50的MPU54是由lntel公司制造的80486構成，本領域的普通技術人員可以認識到MPUs 54所包括的部件比圖2所示還要多，由于它們是普通部件，不對它們加以敘述，這不影響對本發(fā)明的理解。
無論何種類型，通路46，48，50的MPU54通過通路間的數(shù)據(jù)總線連接到I/O接口60。然后，接口60再連接到全局通信總線34，接口就能從中央總線35和右總線37接收信號，中央總線和右總線也可以通過左總線發(fā)送和接收數(shù)據(jù)。接口60還包括三個錯誤寄存器62，63，64，一個錯誤寄存器同各個數(shù)據(jù)總線33，35或37相聯(lián)系。在本發(fā)明的一個優(yōu)選實施例中，采用16比特的錯誤寄存器。本領域的一般技術人員可以看出，接口60包括的部件比圖2所示的還要多，由于它們是普通部件，在此不作描述，這不影響對本發(fā)明的理解。
盡管每一通路46，48和50連接在全局通信總線34上，然而在任一時刻，只有一個通路被允許通過全局通信總線發(fā)送信息78。這樣的通路被稱為“指令通路”。在圖示的實施例中主觀地選出的通道40的通路46，通道42的通路48，通道44的通路50是為了表示相應通道的指令通路，以便于討論。本領域的普通技術人員可以認識到，基于電傳操縱系統(tǒng)31的要求，通道40，42或44中任一通道的任何通路46，48或50均可為指令通路。
如圖3A，3B所示，通道40，42和44以及LRUs 30以信息78的形式通過全局通信網(wǎng)絡34發(fā)送數(shù)據(jù)、指令等(在此通稱為數(shù)據(jù))。因此，通道40，42和LRU 30可以通稱為發(fā)射機(TMR)。信息78由若干16位的字符串70組成。在本發(fā)明的實施例中，字符串70由標識碼72，若干數(shù)據(jù)字74和循環(huán)冗余校驗(CRC)字組成。標識碼72識別發(fā)送信息78的特定TMR，每個數(shù)據(jù)字74由與特定TMR相關的16位的數(shù)據(jù)組成，CRC字用來顯示在全局通信總線上數(shù)據(jù)損壞的情況。通道40，42和44的通路46，48，50是同步的，以便各通路同步接收并處理收到的信息78。但是，正如下面更詳細的描述，如果在全局通信總線34，LRUs30或38，或者PFCs40，42，和44中出現(xiàn)錯誤或引起錯誤的因素，各通道的通路以至各通道根據(jù)這些信息78作出各自的決策。
圖4A，4B和4C是功能框圖，表示了通道40，42和44如何按照本發(fā)明監(jiān)控和識別電傳操縱系統(tǒng)31中的錯誤，以獲得系統(tǒng)的高度的綜合和可用性。由于通道40，42和44完成的功能實際上是相同的，所以只對一個通道完成的功能進行描述。在下列描述中，該通道被稱為“己通道”(OC)，主觀地選擇此通道是為了描述方便并與電傳操縱系統(tǒng)31的左控制通道40相對應。相應地，通道42和44主觀地分別被稱為“它通道1”(OC1)和“它通道2”(OC2)。然而，如果要描述通道42完成的功能，通道44則被稱為“它通道1”，而通道40就會被稱為“它通道2”。因此，本領域的普通技術人員可以看出，“己通道”完成的功能在“它通道”中也可完成。
請參照圖4A，此圖示出了己通道為監(jiān)視和識別電傳操縱系統(tǒng)31中的故障而完成的功能。本領域的普通技術人員會清楚地看出，所述的功能是由己通道的通路46，48和50的MPU54同步完成的。如圖4A所示，在每一通路40，42和44中，處理過程由錯誤寄存器監(jiān)視功能開始。特別地，錯誤寄存器監(jiān)視器100監(jiān)視由通道通過全局通信總線從LRU30和38以及其它通道40，42和44接收的信息78。為便于說明和討論，本發(fā)明針對由某特定TMR(無論是PFC或LRU)經(jīng)全局通信總線34發(fā)送的信息78′，本領域的普通技術人員能認識到，電傳操縱系統(tǒng)中由LRU30或38，或者通道40，42或44發(fā)送的信息78與信息78′以同樣的方式被處理。
由于通路46，48和50經(jīng)數(shù)據(jù)總線33，35或37中的任一總線從特定的TMR接收信息78′，通路的錯誤寄存器監(jiān)視器100產(chǎn)生一個接收故障(RCVF)信號，此信號可顯示是否特定的TMR正發(fā)送一個帶有額外錯誤的信息。己通道的各通路則通過己通道的專用總線56向其它通路的MPU54發(fā)送其RCVF信號。由于通道的各通路同步處理從全局通信總線34收到的信息78′，各通路的MPUs54將大致同時把其RCVF信號發(fā)送到其它的MPUs。因此，己通道的每一通路46，48和50將收到三個RCVF信號(均用數(shù)字20表示)。
在模塊122，各通路46，48和50的MPU54完成三個RCVF信息20的通路交叉聯(lián)合，確定是否大多數(shù)的通路推測到特定的TMR正發(fā)送帶有額外錯誤的信息78′。該決策被稱為己通道的通路多數(shù)判斷，在圖4A中統(tǒng)統(tǒng)用數(shù)字22表示。最好是己通道的各通路完成三個接收故障信號20的通路交叉聯(lián)合，各通路確定一個通路多數(shù)判斷22。己通道的指令通路46接著通過全局通信總線34向其它通道發(fā)送通路多數(shù)判斷。
如上指出的，它通道1和它通道2也可完成上述功能。因此，它通道1和它通道2的指令通路48和50分別通過全局通信總線向己通道(以及相互之間)發(fā)送它們各自的通路多數(shù)判斷22。所以，己通道的各通路46，48和50從全局通信總線34接收通道40，42和44的通路多數(shù)判斷22，己通道的各通路46，48和50的微處理器54接著鑒定收到的通路多數(shù)判斷22(模塊194，204和206)，確保當各自的指令通路發(fā)送其通路多數(shù)判斷22時，通道40，42和44正常地工作。因而，各通路為各自的通道產(chǎn)生一個已鑒定的通路多數(shù)判斷。在圖4A中，各通道鑒定后的通路多數(shù)判斷均用數(shù)字24表示。各通道鑒定后的多數(shù)判斷由MPU54經(jīng)專用總線56發(fā)送到己通道的其它通路。
在圖4A中可以看到，己通道的通路46，48和50接收到由各通路產(chǎn)生的鑒定后的通路多數(shù)判斷。更具體地說，各通路收到三組鑒定后的通路多數(shù)判斷，它們是1)己通道的通路多數(shù)判斷，由通路46，48和50鑒定；2)它通道1的通路多數(shù)判斷，由通路46，48和50鑒定；3)它通道2的通路多數(shù)判斷，由通路46，48和50鑒定。微處理器54接著完成每一組鑒定后的通路多數(shù)判斷的通路交叉聯(lián)合(模塊208，234和236)，以確定各通道40，42和44的最終通路多數(shù)判斷(在圖4A中均用數(shù)字26表示)，以表示通道的多數(shù)通路是否已確定某個故障產(chǎn)生于某特定的TMR。
最后，在模塊250，各通路46，48和50完成最終通路多數(shù)判斷的通道交叉聯(lián)合，確定通道多數(shù)判斷28，它表示是否多數(shù)通道確定特定的TMR發(fā)生了故障。在本發(fā)明的另一實施例中，通道多數(shù)判斷由各通路加以處理，識別特定TMR出現(xiàn)的故障類型或識別在電傳操縱系統(tǒng)31中其它部件的故障。
請參照圖4B，圖中示出了由己通道的通路之一作出的通路多數(shù)判斷的決策。由于通道的各通路46，48和50完成的功能實際上是相同的，且各通路同時完成，故此處只對通道的一個通路的功能加以描述。在下面描述中，此通路被稱為“己通路”或“OL”，并主觀地被選來和己通道的通路46對應。相應地，通路48和50分別被主觀地稱為“它通路A”(OLA)和“它通路B”(OLB)。然而，如果要描述通路48所完成的功能，通路48就可被稱為“己通路”，而通路50和46分別被稱為“它通路A”和“它通路B”。通過上面描述，本領域的一般技術人員可以理解，圖4B所示的在己通路中完成的功能，事實上也同時在它通路A和它通路B中同時完成。為便于說明，它通路A和它通路B完成的功能用虛線在圖4B中表示。
如前所述，電傳操縱系統(tǒng)31的LRU 30或38和PFC40，42和44通過全局通信總線的特定數(shù)據(jù)總線33，35或37以發(fā)送信號78的方式同通道40，42和44通信。信息由各己通道的各通路46，48和50的接口接收。具體請參照己通道的己通路，對電傳操縱系統(tǒng)中特定TMR發(fā)送的信息78′和各字符串70而言，有關字符串的錯誤信息存放于接口60的故障寄存器62，63或64中，而接口60是同特定TMR發(fā)送用的特定總線相關聯(lián)的。錯誤寄存器存貯了一個預定位長度的字，如16位，每一位表示當字符串在全局通信總線34上傳送和損壞時錯誤的具體類型。因而，如果字符串70包含錨誤，在關聯(lián)的錯誤寄存器中相應的位會被置1，否則該位被置0。監(jiān)視在圖4模塊100中所示功能的錨誤寄存器使用存貯于錨誤寄存器62，63和64的錨誤信息，確定是否被監(jiān)視的特定TMR推測到是否有額外數(shù)量的錯誤信息78′的發(fā)送。圖5中詳細示出了為作出這種決策本發(fā)明所采用的邏輯。
圖5中的邏輯始于模塊102，己通路的MPU54讀取錯誤寄存器62，63或64，它們同特定TMR發(fā)送使用的數(shù)據(jù)總線33，35或37關聯(lián)，以獲取同信息78′的某個字符串70關聯(lián)的故障信息，而信息78′由字符串70中的標識符72識別的特定TMR發(fā)送。在決策模塊104中，該邏輯可確定是否在字符串中檢測到錯誤。換句話說，該邏輯可確定是否同該字符串相關聯(lián)的錯誤寄存器位被置為1。如果是肯定的，邏輯流程進行到模塊106，此時用來跟蹤信息中錯誤數(shù)量的錯誤計數(shù)器值增加。但是，如果決策模塊104的結果是否定的，錯誤計數(shù)器值不增加，邏輯流程直接進行到?jīng)Q策模塊108。在決策模塊108，該邏輯可確定信息78′的最后一個字符串70的錯誤信息是否從正確的錯誤寄存器中讀取，即，是否由特定的TMR發(fā)送的信息78′中的所有字符串70的錯誤信息都已被處理。如果不是，邏輯流程返回到模塊102，同下一個字符串關聯(lián)的錯誤信息從正確的錯誤寄存器中讀取。邏輯接著重復模塊104到108，直到全部的信息被處理。
如果決策模塊108的結果是肯定的，即，如果信息的最后一個字符串的錯誤信息已被讀取，邏輯流程進行到?jīng)Q策模塊110。在決策模塊110，該邏輯可確定錯誤計數(shù)器是否超出了第一預置閾值，其相當于在給定的時間段內(nèi)預計的最大錯誤數(shù)。可以看出，第一預置閾值是電傳操縱系統(tǒng)的不同參數(shù)的函數(shù)，包括系統(tǒng)故障在每飛行時低于1.0E-10這樣的苛刻的安全性要求的限制。因此，初始閾值可隨電傳操縱系統(tǒng)參數(shù)而改變，以達到期望的綜合度。
如果決策模塊110的結果是肯定的，邏輯流程進行到模塊112，此時己通路的接收故障信號(RCVFOL)被置為真，表明己通路推測到特定的TMR正以超額的故障率發(fā)送錯誤的字符串。換句話說，己通路推測特定的TMR出現(xiàn)了某種類型的故障。然而，如果決策模塊110的結果是否定的，邏輯流程則進行至模塊114，此時RCVFOL被置為假，表明己通道沒有推測到特定TMR的故障。可以理解，RCVFOL同被錯誤寄存器監(jiān)視器監(jiān)視的特定TMR關聯(lián)，因而RCVFOL也同特定TMR發(fā)送所用的特定數(shù)據(jù)總線33，35或37相關聯(lián)。在模塊116，RCVFOL被存貯在己通路MPU54的內(nèi)存之中，并被發(fā)送到己通道的其它通路，以便各通路46，48和50自身可確定是否己通道的多數(shù)通路推測到特定的TMR以超額的速率發(fā)送有錯誤的字符串。
現(xiàn)在再請看圖4B，本領域的普通技術人員可以看出，利用圖5所示的邏輯，己通道的它通路A和它通路B已產(chǎn)生了它們自己的RCVF信號，即RCVFOLA和RCVFOLB，并通過專用數(shù)據(jù)總線56將它們發(fā)送到己通道的己通路。相應地，己通路分別從它通路A和它通路B接收RCVFOLA和RCVFOLB，并從其MPU的內(nèi)存中恢復RCVFOL信號。在模塊122中，己通路的MPU54完成由己通道的通路46，48和50產(chǎn)生的三個RCVF信號的通路交叉聯(lián)合，以便為己通道形成一個通路多數(shù)判斷，它表示是否己通道大多數(shù)通路推測到特定的TMR以超額的速率發(fā)送有錯誤的字符串，即該特定的TMR出現(xiàn)故障。
用于完成RCVF信號通路交叉聯(lián)合的己通路MPU 54采用的邏輯在圖6中作了更詳細的示出。該邏輯流程自模塊124開始，在此確定是否己通道的至少兩個通路中RCVF被設置為真。如果結果是肯定的，邏輯流程進行到模塊126，此時，通路多數(shù)判斷(LMO)被置為真，表明至少通道的兩個通路推測到特定的TMR以超額的速率發(fā)送有錯誤的字符串。換句話說，至少通道的兩個通路推測到特定TMR的故障，因而對特定的TMR持有“劣判斷”。然而，如果決策模塊124的結果是否定的，至少兩個通路已確定特定的TMR沒有出現(xiàn)故障。因而LMO設為假，邏輯流程進行到模塊130。在決策模塊130，該邏輯確定LMO是否被設為真。如果是，邏輯流程進行到模塊132，此時劣判斷計數(shù)器增值。劣判斷計數(shù)器監(jiān)視己通道至少兩個通路對特定TMR產(chǎn)生劣判斷的次數(shù)。然而，如果模塊130的結果是否定的，劣判斷計數(shù)器減值，邏輯流程進行到?jīng)Q策模塊136。
在決策模塊136，該邏輯確定劣判斷計數(shù)器是否超出了第二預置閾值。第二預置閾值同多數(shù)通路對特定TMR的劣判斷的最大期望次數(shù)相當。在優(yōu)選實施例中，第二預置閾值也被確定為不同電傳操縱系統(tǒng)參數(shù)的函數(shù)，參數(shù)包括前述的苛刻安全要求。因而，系統(tǒng)的綜合度被進一步提高。如果決策模塊136的結果是肯定的，邏輯流程進行至模塊138，此時，一個已確認的通路多數(shù)判斷(也稱為己通道的灰色故障標志GFFOC)被置為真，表明己通道至少兩條通路已持續(xù)地推測特定的TMR正以超額的速率發(fā)送有錯誤的字符串。換句話說，電傳操縱系統(tǒng)31中的某種類型的故障被己通道多數(shù)通路的持續(xù)的劣判斷所確認。然而如果決策模塊136的結果是否定的，邏輯流程進行至模塊140，此時GFFOC被置為假，表示己通道的多數(shù)通路已確定由于多數(shù)通路沒有持續(xù)推測到故障，特定TMR中的故障并未發(fā)生。由于使己通路推測到故障的可能錯誤條件并不持續(xù)存在，避免了特定的TMR的有害棄用。因而，這樣的特定TMR的可用性在電傳操縱系統(tǒng)31中得以維持。另外，本領域的一般技術人員可以看到，對“劣判斷”持續(xù)的要求也適應于三個通道的異步工作。最后，如果一個通路與其余兩個瞬時不一致，該通路將服從多數(shù)判斷。
一旦己通道已確認的通路多數(shù)判斷和GFFOC被確定，它將被發(fā)送到電傳操縱系統(tǒng)31的它通道1和它通道2，以用于其它功能的實現(xiàn)。由此，邏輯流程進行到?jīng)Q策模塊142，此時該邏輯確定己通路是否為通道的指令通路。如果是，邏輯流程進行至模塊144，此時，己通路的MPU 54通過全局通信總線34將GFFOC發(fā)送到電傳操縱系統(tǒng)31的它通路A，它通路B，它通道1和它通道2。如果己通路不是指令通路，邏輯進行至模塊146，此時，己通路的MPU54僅把GFFOC存入內(nèi)存以作它用。由于它通路A和它通路B同時完成此項功能，可以看到，己通道的指令通路(要么它通路A，要么它通路B)向模塊144的其它通道發(fā)送GFFOC。
當GFFOC由己通道的指令通路發(fā)送時，己通路必須確定它是否單獨持有對特定TMR的劣判斷。如果是，很可能己通路出現(xiàn)故障，而不是特定的TMR的問題。所以，在決策模塊148，邏輯確定對特定的TMR己通路是否是RCVF被置為真的唯一通路，即RCVFOL被置為真而RCVFOLA和RCVFOLB被置為假。如果結果是肯定的，邏輯流程進行到模塊150，此時對特定的TMR的一個己通路接收故障信號(OWNF)被置為真，表示己通路可能出現(xiàn)故障。但是，如果決策模塊148的結果是否定的，己通路沒有出現(xiàn)故障而模塊152中的OWNF被置為假。如上所述，RCVFOL同特定的TMR以及特定TMR發(fā)送采用的各數(shù)據(jù)總線33，35或37相關聯(lián)。這樣，很明顯，OWNF也和特定的TMR以及TMR傳送使用的各數(shù)據(jù)總線33，35或37相關聯(lián)。如下所述，OWNF被己通路采用來完成一PFC通路故障的決策，確認己通道的己通路出現(xiàn)故障。
參照圖4B，己通路的MPU54在模塊154中完成PFC通路的故障決策，以確定己通路是否出現(xiàn)故障。由MPU54采用的用于完成PFC通路故障決策的邏輯在圖7中進行了詳細描述。如果己通路單獨地推測到各數(shù)據(jù)總線33，35或37上發(fā)送的三個或更多的TMR出現(xiàn)故障，己通路則更可能出現(xiàn)故障。因此，自決策模塊156開始，該邏輯可確定是否己通路推測到在左總線33上傳送的至少三個TMR出現(xiàn)故障，而其它通路沒有推測到同樣的故障，也就是，是否OWNF相對于在左總線33上傳輸?shù)娜齻€或更多的TMR被置于真。如果是這樣，左總線故障離散量(LBF)在158模塊中被置于真，表明己通路單獨推測到在左總線上至少三個TMR出現(xiàn)故障。如果決策模塊156的結果是否定的，在160模塊中LBF被置為假，表示己通路并不是單獨推測到在左總線上至少三個TMR出現(xiàn)故障。
邏輯流程接著進行至決策模塊162，此時，它確定是否己通路單獨推測到在中央總線上至少三個TMR出現(xiàn)故障，而其余通路沒有推測到同樣的故障。如果是這樣，在模塊164中，中央總線的故障離散量(CBF)被置為真。如果不是，在模塊166中，CBF被置為假。同樣，邏輯進行至決策模塊168，此時，它確定是否己通路單獨推測到在右總線上至少三個TMR出現(xiàn)故障，而其余通路沒有推測到同樣的故障。如果是這樣，在模塊170之中，右總線的故障離散量(RBF)被置為真。如果不是，在模塊172中，RBF離散量被置為假。
在LBF，CBF和RBF被設置后，邏輯步驟進行至模塊174，此時，它確定是否LBF，CBF或RBF的任一個被置為真。換句話說，該邏輯可確定己通路是否是在通道中唯一的判定在總線33，35或37上進行發(fā)送的至少三個TMR出現(xiàn)故障的通路。如果如此，己通路故障離散量(OLF)在模塊176中被置為真，可確認在己通路上存在故障的可能性。如果決策模塊174的結果是否定的，OLF在模塊178中被置為假。在決策模塊180，該邏輯可確定是否OLF被置為真，如果是，在模塊182中的故障計數(shù)器值增加。故障計數(shù)器跟蹤己通道單獨判定在特定總線上出現(xiàn)的三個或更多TMR故障的次數(shù)。如果OLF為假，那么己通路并非為判定這種故障的唯一通路，因而在模塊184中，故障計數(shù)器值減少。在決策模塊186中，該邏輯可確定故障計數(shù)器是否超出了第三預置閾值，它相當于己通路在總線上造成三個或多個TMR出現(xiàn)故障的最大次數(shù)。和上述第二預置閾值一樣，第三預置閾值是不同系統(tǒng)參數(shù)的函數(shù)，這樣可以在電傳操縱系統(tǒng)中得到高度綜合。
如果決策模塊186的結果是肯定的，己通路單獨持續(xù)判定特定總線上三個或更多TMR出現(xiàn)故障，從而，己通路最有可能出現(xiàn)故障。己通路的這種持續(xù)不一致必須在己通道的另一個通路出現(xiàn)故障并加入己通路之前加以解決，為己通道產(chǎn)生一個不正確的已確認的通路多數(shù)判斷。因此，在模塊188中，一個通路接收故障信號(LRCVF)被置為真，表明己通路出現(xiàn)了故障。如圖4B所示，LRCVF接著被模塊192中的其它PFC功能所利用，例如PFC通路冗余管理功能(未示出)，它使用LRCVF在必要時抑制或重新啟動己通路，并防止己通路形成錯誤的已確認的通路多數(shù)判斷GFFOC。然而，如果決策模塊186的結果是否定的，己通路很可能沒有出現(xiàn)故障，在模塊190中LRCVF被置為假，再次避免對飛機部件有害的棄用，提高系統(tǒng)的可用性。
現(xiàn)在參照圖4A和4C，很明顯通路48和50產(chǎn)生并發(fā)送上述同己通路有關的它們自身已確認的通路多數(shù)判斷GFFOC1和GFFOC2。因此，己通道的各通路46，48，50通過全局通信總線34，從它自己的通道接收GFFOC，從它通道1接收GFFOC1，從它通道2接收GFFOC2。己通道的己通路完成的下一功能是鑒定各個收到的GFF信號，以確保該通道，即發(fā)送特定的GFF的PFC沒有出現(xiàn)故障。這樣，MPU54在模塊194，204和206中鑒定GFFOC，GFFOC1和GFFOC2。圖8示出了MPU54鑒定GFFOC采用的邏輯。本領域的普通技術人員可以看到，在模塊204和206中，己通路的MPU 54實際上利用了和模塊194相同的邏輯鑒定GFFOC1和GFFOC2。因而，對模塊204和206中采用的邏輯不作詳述。
參照圖8，邏輯步驟從決策模塊的196開始，此時，不能測試確定是否同己通道關聯(lián)的PFC FRESHOC信號已被置為真。如下面更詳細討論的，PFCFRESHOC表示是否己通道還主動地向它通道1和它通道2發(fā)送信息78。如果是，己通道還處于活動狀態(tài)，GFFOC的處理可繼續(xù)進行。因此，邏輯流程將進行至模塊198，此時己通路的MPU 54將已鑒定的通路多數(shù)判斷(GFF(OC)(OL))設置成等于確認的(但為先前未鑒定的)通路多數(shù)判斷GFFOC。在模塊200中，己通路的MPU54通過專用數(shù)據(jù)總線56將GFF(OC)(OL)發(fā)送到它通道的它通路A和它通路B。
如果決策模塊196的結果是否定的，即如果PFC FRESHOC是假，己通道不主動地向它通道發(fā)送信息78。因而，己通道最有可能出現(xiàn)故障。從而，邏輯流程進行至模塊202，此處未經(jīng)鑒定且現(xiàn)在不可用的GFFOC信號被存貯于MPU54的內(nèi)存中，以便可以被其它PFC功能采用以在必要時關閉己通道。
GFFOC，GFFOC1和GFFOC2在模塊194被己通路鑒定后，鑒定后的各通道的通路多數(shù)判斷，GFF(OC)(OL)，GFF(OC1)(OL)和GFF(OC2)(OL)經(jīng)專用數(shù)據(jù)總線56被發(fā)送到己通道的其它通路。如圖4C虛線所示，在模塊194，204和206中，它通路A和它通路B也對GFFOC，GFFOC1，GFFOC2作出鑒定。因此，它通路A將已鑒定的通路多數(shù)判斷GFF(OC)(OLA)，GFF(OC1)(OLA)和GFF(OC2)(OLA)，它通路B將已鑒定的通路多數(shù)判斷GFF(OC)(OLB)，GFF(OC1)(OLB)和GFF(OC2)(OLB)通過專用數(shù)據(jù)總線56發(fā)送到己通路。結果，己通道的各通路46，48和50接收到通道的一組鑒定后的通路多數(shù)判斷。例如，己通路接收到的第一組包括GFF(OC)(OL)，GFF(OC)(OLA)和GFF(OC)(OLB)，第二組包括GFF(OC1)(OL)，GFF(OC1)(OLA)和GFF(OC1)(OLB)，第三組包括GFF(OC2)(OL)，GFF(OC2)(OLA)和GFF(OC2)(OLB)。
接著，己通路的MPU 54完成各自通道鑒定后通路多數(shù)判斷的通路交叉聯(lián)合，以便為電傳操縱系統(tǒng)31的通道40，42和44確定一個最終通路多數(shù)判斷。更具體地說，在模塊208中完成了己通道的第一組鑒定后的通路多數(shù)判斷的通路交叉聯(lián)合。同樣，在模塊234中完成了它通道1的第二組的鑒定后的通路多數(shù)判斷的通路交叉聯(lián)合，而在模塊236中，完成了對它通道2的第三組鑒定后的通路多數(shù)判斷的通路交叉聯(lián)合。圖9更詳細示出了己通路的MPU54在完成己通道的第一組鑒定后的通路多數(shù)判斷的通路交叉聯(lián)合時所采用的邏輯。然而，本領域的普通技術人員會很清楚地看出，己通路MPU54采用了和第一組實際上相同的邏輯來完成第二、三組鑒定后通路多數(shù)判斷的通路交叉聯(lián)合，即它通道1和它通道2的鑒定后的通路多數(shù)判斷的通路交叉聯(lián)合。故對模塊234和236中采用的邏輯不作詳述。
如圖5所示，模塊208的邏輯始于決策模塊210，此時，進行測試以確定己通道的至少兩條通路的鑒定后的通路多數(shù)判斷是否被置為真，即至少三個鑒定后的多數(shù)判斷GFF(OC)(OL)，GFF(OC)(OLA)和GFF(OC)(OLB)中的兩個是真。如果結果是肯定的，邏輯流程進行至模塊122，在此一個瞬時通路多數(shù)判斷信號(LMO′)被置為真，表示即使在鑒定之后，至少通道的兩條通路還推測到特定的TMR以超額的速率發(fā)送有錯誤的字符串。換句話說，該通道中至少兩個通路現(xiàn)在對特定TMR有“鑒定后的劣判斷”。然而，如果決策模塊210的結果是否定的，在模塊214中LMO′被置為假，表示在GFF信號鑒定之后，己通道的多數(shù)通路不再推測到特定TMR的故障。在決策模塊216，該邏輯確定LMO′是否被置為真。如果如此，在模塊218中的鑒定后的劣判斷計數(shù)器值增加。鑒定后的劣判斷計數(shù)器用來確定是否己通道的多數(shù)通路對特定TMR一直具有鑒定后的劣判斷，以便避免對特定TMR的有害棄用，以保持系統(tǒng)的可用性。然而，如果決策模塊216的結果是否定的，因為多數(shù)通路沒有推測到特定TMR的故障，在模塊220中的鑒定后的劣判斷計數(shù)器值減少。
在決策模塊222，邏輯確定鑒定后的劣判斷計數(shù)器值是否超過第三預置閾值，它等于己通道多數(shù)通路具有的特定TMR鑒定后劣判斷的最大次數(shù)。在優(yōu)選實施中，預置閾值是不同電傳操縱系統(tǒng)參數(shù)的函數(shù)，包括前述的苛刻的安全要求。因而，多通道系統(tǒng)的綜合程度又進一步提高。如果決策模塊222的結果是肯定的，最終通路多數(shù)判斷(也稱為通路聯(lián)合信號LCSOC)被置為真，表示在GFF信號鑒定之后，己通道的至少兩個通路持續(xù)地確定特定TMR正以超額的速率發(fā)送有錯誤的字符串70。換句話說，己通道的最終通路多數(shù)判斷表示特定TMR出現(xiàn)了故障。然而，如果決策模塊222的結果是否定的，該邏輯進行至模塊226，在此LCSOC被置為假，表示己通道的多數(shù)通路已確定特定TMR沒有出現(xiàn)故障。本領域的普通技術人員可看出，在兩種情況下，己通道中不享有多數(shù)判斷的第三條通路將服從己通道的最終多數(shù)判斷。還可看到，這可避免有害的棄用，保障了系統(tǒng)的可用性。
在LCSOC用于別的用途前，己通路必須確定它是否單獨判定出特定TMR的故障。從而，在LCSOC被置為真或假之后，邏輯流程進行至決策模塊228，在此它確定己通路是否為特定TMR的鑒定的通路多數(shù)判斷被置為真的通道的唯一的通路，即是否GFF(OC)(OL)被置為真，而GFF(OC)(OLA)和GFF(OC)(OLB)被置為假。如果結果是肯定的，邏輯流程進行至模塊230，在此鑒定后的己通路接收故障(OWNF′OC)被置為真。然而，如果決策模塊230的結果否定的，OWNF′OC被置為假。如圖4C所示，在模塊238中PFC通路故障決策使用OWNF′OC來確定通道的己通路是否出現(xiàn)故障或失效。
在模塊238中用來完成PFC通路故障決策的邏輯事實上和在模塊154中完成通路故障決策的邏輯相同。見圖7。因而，利用OWNF′OC來完成PFC通路故障決策的邏輯不再詳述。如圖4C所示，如果己通路出現(xiàn)故障，鑒定后的通路接收故障信號(LRCVF′OC)被置為真。否則，由于己通路未出現(xiàn)故障，LRCVF′OC被置為假。LRCVF′OC接著被模塊204中的其它PFC功能，如PFC通路冗余管理功能(未示出)，用來在必要時抑制和重新啟動己通路。
從前面的描述可看到，它通道1的鑒定后的通路多數(shù)判斷(模塊234)的通路交叉聯(lián)合采用同上述一樣的邏輯，為它通道1(LCSOC1)和鑒定后的己通路接收故障(OWNF′OC1)產(chǎn)生最終通路多數(shù)判斷。同樣，在模塊236中，發(fā)生于模塊236中的GFF(OC2)(OL)，GFF(OC2)(OLA)和GFF(OC2)(OLB)的通路交叉聯(lián)合為它通道2和鑒定后的己通路接收故障(OWNF′OC2)產(chǎn)生一個最終通路多數(shù)判斷(LCSOC2)。OWNF′OC1和OWNF′OC2在所示的模塊242，244，246，248中進一步處理。一旦己通路的MPU54為通道40，42和44確定最終通路多數(shù)判斷，則在模塊250完成最終通路多數(shù)判斷的通路交叉聯(lián)合，從而確定表示是否多數(shù)的通道檢測到特定TMR的故障的通道多數(shù)判斷。
圖10示出了在模塊250中為完成LCSOC，LCSOC1和LCSOC2的通路交叉聯(lián)合而使用的邏輯。邏輯始于決策模塊252，此時，它確定同特定TMR關聯(lián)的最終通路多數(shù)判斷在電傳操縱系統(tǒng)31的至少兩個通道是否已被置為真。換句話說，邏輯確定是否至少兩個通道具有對特定TMR的劣通道判斷。如果模塊252的結果是肯定的，通道多數(shù)判斷(CMO)被置為真，表示電傳操縱系統(tǒng)31中至少兩個通道可確定特定的TMR出現(xiàn)某類型的故障。但是如果決策模塊252的結果是否定的，在模塊256中CMO被置為假，表示大多數(shù)通道可確定特定TMR沒有出現(xiàn)故障。在決策模塊258，邏輯確定CMO是否被置為真。如果是，劣通道判斷計數(shù)器值增加。見模塊260。劣通道判斷計數(shù)器監(jiān)視多數(shù)通道如何持續(xù)為特定TMR形成劣通道判斷，以便避免有害的棄用，提高系統(tǒng)的可用性。然而，如果決策模塊258的結果是否定的，由于未推測到特定TMR的故障，劣通道判斷計數(shù)器值減少。見模塊262。
參見決策模塊264，邏輯確定劣通道判斷計數(shù)器是否超出了第四預置閾值，它等于大多數(shù)通道對特定TMR具有劣通道判斷的最大次數(shù)。第四預置閾值是由不同電傳操縱系統(tǒng)參數(shù)，包括前述苛刻的安全要求所確定的函數(shù)，以使進一步提高系統(tǒng)的綜合度。如果決策模塊264的結果是肯定的，則在模塊266中，TMR有效信號(TXVLD)被置為假，表明電傳操縱系統(tǒng)31的多數(shù)通道持續(xù)對特定TMR具有劣判斷。換句話說，大多數(shù)通道可確認在特定TMR中出現(xiàn)的某類型故障。如果決策模塊264的結果是否定的，那么在模塊268中TXVLD被置為真，表示電傳操縱系統(tǒng)31的多數(shù)通道可確定特定TMR未出現(xiàn)故障。同樣地，本領域的一般技術人員可清楚地看出，這個過程避免了對特定TMR的有害棄用。TXVLD接著被貯存于MPU54的內(nèi)存中，以完成模塊270中所示的其它PFC功能，如PFC的輸入信號管理功能，用于在特定TMR的TXVLD出錯時，排除對來自于該TMR的數(shù)據(jù)的使用。
如圖4C所示，在己通道的通路46，48和50中，通道交叉聯(lián)合是同步完成的。因而，己通道的各通路產(chǎn)生一個同特定TMR關聯(lián)的TXVLD信號。TXVLD的狀態(tài)在一個通道內(nèi)的通路間將是相同的。
再參看圖4C，在模塊250中通過采用通道交叉聯(lián)合確定的TXVLD信號接著用于其它功能，以確定TMR是否出現(xiàn)間歇性或定常的故障，或者是否全局通信總線真的出現(xiàn)故障。在模塊272中，己通路的MPU 54完成數(shù)據(jù)總線的監(jiān)視功能。MPU54為完成該功能所用的邏輯在圖11中更詳細地示出。邏輯始于決策模塊274，此處它確定是否在特定總線上工作的至少兩個TMR的TXVLD被置為假，總線可以是左總線33，中央總線35或者是右總線37。如果如此，TXVLD因通信總線34的間歇性或永久性故障可能被置為假。從而，在模塊276中，一個總線有效信號(BVLD)被置為假，表示特定TMR使用的某一總線33，35或37出現(xiàn)了故障。否則，在模塊278中，BVLD被置為真。在模塊280中，BVLD被貯存于己通路的MPR54的內(nèi)存中，以便完成其它PFC功能，如PFC輸入信號管理功能，若在特定總線上發(fā)送的LRU的BVLD被置為假，該信號管理功能將使通過帶故障數(shù)據(jù)總線33，35或37發(fā)送的所有信息無效。
請再參照圖4C，在模塊272中數(shù)據(jù)總線監(jiān)視功能完成后，己通路的MPU54在模塊284中完成主動TMR監(jiān)視功能。圖12詳細地示出了用MPU完成該功能而采用的邏輯。邏輯始于決策模塊286，此時它確定特定TMR的TXVLD是否從過去的真值變?yōu)楝F(xiàn)在的假值。如果如此，在模塊288中TXVLD翻轉計數(shù)器值增加。TXVLD翻轉計數(shù)器跟蹤TXVLD從真變?yōu)榧俚拇螖?shù)。如果決策模塊286的結果是否定的，TXVLD翻轉計數(shù)器不增值，邏輯流程進行至決策模塊290。
在決策模塊290，此邏輯確定特定TMR的主動發(fā)射機有效信號(TMRVLD)是否從過去的真值變?yōu)楝F(xiàn)在的假值。如下所述，TMRVLD表示特定的TMR是否仍主動將信息78發(fā)送到己通道。如果沒有，TMRVLD將被置為假。否則，TMRVLD將被置為真。如果決策模塊290的結果是肯定的，在模塊292中TMRVLD翻轉計數(shù)器值增加。TMRVLD翻轉計數(shù)器跟蹤TMRVLD從真變?yōu)榧俚拇螖?shù)。如果決策模塊290的結果是否定的，TMRVLD翻轉計數(shù)器值不增加，邏輯流程直接進行至決策模塊294。
在決策模塊294中，此邏輯確定是否TXVLD或TMRVLD翻轉計數(shù)器的值大第五預置閾值。第五預置閾值等于在一段允許時間內(nèi)最大的翻轉次數(shù)。可以看出，在飛機飛行中，TMRVLD從真到假的頻繁翻轉表示特定TMR間歇性故障的存在很可能是由于和全局通信總線34的連接松馳所致。另一方面，TXVLD頻繁的翻轉表示在全局通信總線34中有間歇性故障。如果決策模塊294的結果是肯定的，發(fā)射機正常信號(TXOK)在模塊296中置為假。在模塊298中，己通路的MPU54將其內(nèi)存中和特定TMR關聯(lián)的數(shù)據(jù)鎖住，在剩余飛行中中斷對TMR數(shù)據(jù)的使用。如果決策模塊294的結果是否定的，那么邏輯流程進行至模塊300，此處特定的TMR的TXOK被置為真。
再參看圖4C，一旦TXVLD，BVLD和TXOK被己通路確定，MPU54利用這些信號完成在模塊304中的更新監(jiān)視功能。更新監(jiān)視功能確定通道40，42，44是否還主動地向電傳操縱系統(tǒng)31的其它通道發(fā)送信息78，以及特定TMR是否仍主動地向己通道發(fā)送信息。圖13示出了更新監(jiān)視功能采用的邏輯。從對圖13的描述可看到，在模塊305至315中所示的邏輯可確定通道40，42，44是否還主動地發(fā)送信息，而在模塊316至320中所示的邏輯可確定特定TMR是否仍主動發(fā)送信息。
圖13的邏輯始于決策模塊305，此處它確定特定的被監(jiān)視的TMR是否為特定的PFC。如果如此，邏輯進行至模塊306，此處它確定同特定PFC關聯(lián)的TXVLD，BVLD和TXOK的任一個是否被置為假。如果如此，該特定的PFC可能出現(xiàn)故障。從而，在模塊312中，表示可能故障的PFC FRESH信號被置為假。然而，如果決策模塊306的結果是否定的，邏輯進行至決策模塊308，此處它確定特定的PFC是否在預定的時間間隔內(nèi)向兩個它通道的任一個發(fā)送信息78。如果如此，在模塊310中PFC FRESH被置為真，表明特定PFC仍主動地發(fā)送信息。如果決策模塊312的結果是否定的，PFCFRESH在模塊308中置為假，表示特定PFC可能處于休眠狀態(tài)。一旦PFCFRESH被設置，邏輯終止于模塊321?？梢钥吹剑绻槐O(jiān)視的特定PFC是己通道，PFC FRESH代表了己通道的活動狀態(tài)，特記為PFC FRESHOC。同樣地，如果被監(jiān)視的特定PFC是它通道1或它通道2，PFC FRESHOC1或PFC FRESHOC2可分別代表通道的狀態(tài)。
如果決策模塊305的結果是否定的，特定的TMR實際上是某一LRU而不是某一PFC，這種情況下，邏輯繞過模塊306至312，而進行至模塊314至320，它們確定某一LRU是否仍通過全局通信總線34向己通道發(fā)送信息。更具體地說，在決策模塊314中，該邏輯確定與LRU關聯(lián)的TXVLD，BVLD和TXOK的任一個是否被置為假。如果是，特定的LRU可能出現(xiàn)故障。從而，在模塊320表示可能故障的LRU FRESH置為假。然而，如果決策模塊314的結果是否定的，邏輯進行至決策模塊316，此處它確定己通路是否在預定的時間間隔內(nèi)從特定LRU接收到信息78。如果是，在模塊318中LRUFRESH被置為真，表示特定的LRU仍和己通道進行通信。否則，在模塊320中LRU FRESH被置為假，表示特定LRU可能完全休眠。更新監(jiān)視功能終止于模塊321。
如圖4C所示，一旦在模塊304中的更新監(jiān)視功能終止，PFC FRESH和LRU FRESH則用于其它PFC功能。更具體地說，PFC FRESH在模塊322中用于其它PFC功能，如PFC輸入信號管理，它可在通道不主動發(fā)送信息78時將通道關閉。特定PFC FRESH信號，PFC FRESHOC，PFC FRESHOC1和PFCFRESHOC2也被己通路的MPU54利用，以鑒定在模塊194，204和206中的通路多數(shù)判斷，GFFOC，GFFOC1和GFFOC2。PFC FRESH和LRU FRESH都被己通路MPU54使用以完成在模塊324中的休眠TMR監(jiān)視功能，在此休眠TMR監(jiān)視功能可確認特定PFC或LRU是否完全處于休眠狀態(tài)。
圖14詳細示出了己通路MPU54在模塊324中完成休眠LRU監(jiān)視功能所采用的邏輯。該邏輯始于決策模塊325，此時它確定被監(jiān)視的特定TMR是否為特定的PFC。如果是，邏輯進行到?jīng)Q策模塊326，此時，它確定特定PFC的PFC FRESH是否被持續(xù)置為假，即，是否PFC FRESH在預定的時間間隔內(nèi)置于假。在本發(fā)明的優(yōu)選實施例中，此預定的時間間隔為大約2.5分鐘。本領域的一般技術人員可以看出，根據(jù)需要該時間間隔可按電傳操縱系統(tǒng)的參數(shù)改變，以獲得期望的綜合度。如果PFC FRESH處于假狀態(tài)超過2.5分鐘，用該邏輯可確定特定PFC極可能是處于休眠狀態(tài)。因而，上述的主動發(fā)射機有效信號(TMRVLD)在模塊327中為假。否則在模塊328中TMRVLD置于真。
如果決策模塊325的結果是否定的，特定的TMR實際上是某一LRU而不是某一PFC。這種情況下，邏輯繞過決策模塊326，進行到?jīng)Q策模塊330。在決策模塊330，對特定的LRU該邏輯可確定LRU FRESH是否在預定的時間間隔內(nèi)被持續(xù)地置為假，即是否LRU FRESH已在預定時間間隔如2.5分鐘內(nèi)處于假。如果LRU FRESH處于假的時間超過該時間間隔，該邏輯可確定特定LRU極有可能處于休眠狀態(tài)。因而，上述主動發(fā)射機有效信號(TMRVLD)在模塊327中置為假。否則TMRVLD在模塊328中置為真。
如上所述，TMRVLD用于完成主動TMR監(jiān)視功能284，以確定特定發(fā)射機是否處于間歇性故障中，而不是完全休眠。假值表示某一特定TMR和數(shù)據(jù)，總線34的連接可能斷開或松開。然而，如果TMRVLD經(jīng)常從真變?yōu)榧伲芸赡苣骋籘MR和通信總線的連接間歇性地斷開或松開。
從圖4A，4B和4C可看出，在電傳操縱系統(tǒng)中各通道40，42和44的各通路46，48和50中完成的功能實際上是相同的。所以，每個通道的每個通路最終可識別在各個TMR，即電傳操縱系統(tǒng)中的LRU30或38，PFC40，42或44，通路46，48和50，以及數(shù)據(jù)總線33，35和37中的故障。根據(jù)本發(fā)明，各通道的通路也避免了對飛機部件有害的棄用，這樣獲得了高的綜合度并提高了電傳操縱系統(tǒng)中飛機部件的可用性。
在對本發(fā)明的優(yōu)選實施例描述的同時，可以看到在所附的權利要求范圍內(nèi)，在不脫離本發(fā)明的精神的前提下，可對本發(fā)明作出種種改變。例如，盡管本發(fā)明對具有三個冗余度的電傳操縱系統(tǒng)作了描述，本領域的一般技術人員可以理解，本發(fā)明也可適用于多于三個通道的系統(tǒng)。同樣，本發(fā)明也能適用于各通道含有超過三個通路的系統(tǒng)。在這些情況下，多數(shù)判斷的定義將由設計規(guī)范加以確定，即如果有偶數(shù)條通路，多數(shù)判斷由半數(shù)通路構成，或需簡單多數(shù)構成，而且，還可以看出本發(fā)明也可以適用于任何多通道系統(tǒng)，因而不限于電傳操縱系統(tǒng)或其它任何一種航空電子系統(tǒng)。
權利要求
1.一種用于確定控制系統(tǒng)中故障的方法，其中此控制系統(tǒng)包括一個帶若干數(shù)據(jù)總線的總線以及能連接到總線上通過總線傳送數(shù)據(jù)的發(fā)射機，這些發(fā)射機包括若干外場可更換部件和若干計算機通道，每個通道包含由專用總線連接的若干通路，每個通道的每個通路與一個數(shù)據(jù)總線連接，每一個外場更換部件也與數(shù)據(jù)總線中的一條相連接，該方法包括(a)對每一發(fā)射機，每一通道，生成一個通路多數(shù)判斷，以表示通道的大多數(shù)通路是否檢測到了發(fā)射機通過全局總線傳送數(shù)據(jù)時的故障；(b)對每一計算機通道，通過全局總線將通路多數(shù)判斷傳送給其它通道；以及(c)對通道的每一通路，對每一發(fā)射機，生成作為通路多數(shù)判斷函數(shù)的通道多數(shù)判斷，此通道多數(shù)判斷表示是否大多數(shù)通道已檢測到發(fā)射機中的故障。
2.如權利要求1所述的方法，生成通路多數(shù)判斷的方法包括(a)生成錯誤信號，此狀態(tài)表示由發(fā)射機通過全局總線發(fā)送的數(shù)據(jù)是否有超額錯誤；(b)通過通道的專用總線將錯誤信號發(fā)送到通道的其它通路；(c)確定是否大多數(shù)通路都持續(xù)生成錯誤信號，該信號狀態(tài)表示通過全局總線由發(fā)射機發(fā)送的數(shù)據(jù)是否有超額錯誤。
3.如權利要求2所述的方法，其中每個通道通過下述方法鑒定其通路多數(shù)判斷(a)通過全局總線從每一通道接收通路多數(shù)判斷；以及(b)對接收到的每個通路多數(shù)判斷(i)通過評估一個通道更新信號，該信號表示發(fā)出通路多數(shù)判斷的通道是否為活動狀態(tài)，從而確定該通道是否發(fā)生發(fā)送故障；(ii)如果通道沒有發(fā)生發(fā)送故障，如果通道的大多數(shù)通路在發(fā)射機中已檢測到了故障，則為通道生成一個鑒定后的通路多數(shù)判斷；以及(iii)生成通道的鑒定后的多數(shù)判斷之后，通過通道的專用總線將該鑒定后的多數(shù)判斷發(fā)送到該通道的通路中。
4.如權利要求3所述的方法，該方法還包括當鑒定后的通道的通路多數(shù)判斷之后，每個通道生成一個最終通路多數(shù)判斷，以表示是否通道的多數(shù)通道持續(xù)檢測到發(fā)射機中的故障，鑒定方法為(a)從每個通道接收一組鑒定后的通路多數(shù)判斷，經(jīng)通道的每個通路鑒定和發(fā)送的通道鑒定后的通路多數(shù)判斷組成每個通道的一組；(b)對每個通道的一組鑒定后的通路多數(shù)判斷，生成通道的最終通路多數(shù)判斷，它是這一組鑒定后的通路多數(shù)判斷的函數(shù)。
5.如權利要求4所述的方法，其中生成作為通道的一組鑒定過的通路多數(shù)判斷函數(shù)的最終通路多數(shù)判斷的方法還在于，確定是否大多數(shù)通路持續(xù)生成表示發(fā)射機出現(xiàn)故障的鑒定后的通道多數(shù)判斷。
6.如權利要求5所述的方法，其中生成通道多數(shù)判斷的方法還包括對通道中的每一通路，確定是否大多數(shù)通道持續(xù)生成表示發(fā)射機出現(xiàn)故障的最終多數(shù)判斷。
7.如權利要求6所述的方法，還包括生成總線有效信號，該信號是通道多數(shù)判斷的函數(shù)，它表示和發(fā)射機連接的數(shù)據(jù)總線是否出現(xiàn)故障。
8.如權利要求7所述方法，還包括生成一個是通道多數(shù)判斷函數(shù)的符合要求的發(fā)射機信號以及表示發(fā)射機是否處于休眠狀態(tài)的發(fā)射機休眠信號和符合要求的有效信號以表示發(fā)射機是否出現(xiàn)間歇性故障。
9.如權利要求8所述的方法，還包括生成是通道多數(shù)判斷、總線有效信號和符合要求的發(fā)射機信號函數(shù)的通道更新信號，生成方法為(a)確定此發(fā)射機是否為一通道；(b)如果發(fā)射機是一通道，確定多數(shù)通道判斷、總線有效信號或符合要求的發(fā)射機信號中的任一個是否表示已檢測到故障；以及(c)如果已檢測到故障，確定在預定時間間隔內(nèi)發(fā)射機是否發(fā)送了信息。
10.如權利要求9所述的方法，還包括生成一個外場可更換部件更新信號，它是多數(shù)通道判斷、總線有效信號和符合要求的發(fā)射機信號的函數(shù)，生成方法為(a)如果發(fā)射機不是一個通道而是一個外場可更換部件，確定多數(shù)通道判斷、總線有效信號或符合要求的發(fā)射機信號中的任一個是否表示已檢測到故障；以及(b)如果已檢測到故障，確定通路是否接收到了發(fā)射機在預定時間間隔內(nèi)發(fā)送的信息。
11.如權利要求10所述的方法，還包括生成發(fā)射機休眠信號，該信號是通道更新信號和外場可更換部件更新信號的函數(shù)，生成方法為(a)確定發(fā)射機是否為一通道；(b)如果發(fā)射機是一通道，確定通道更新信號是否表示發(fā)射機在預定時間間隔內(nèi)未發(fā)送信息；(c)如果發(fā)射機是一個外場可更換部件，確定外場可更換部件信號是否表示通道在預定時間間隔內(nèi)并未接收到來自外場可更換部件的信息。
12.如權利要求11所述的方法，其中生成是通道多數(shù)判斷和發(fā)射機休眠信號函數(shù)的符合要求的發(fā)射機信號的方法還包括(a)確定通道多數(shù)判斷是否在從表示發(fā)射機無故障到表示發(fā)射機有故障之間持續(xù)地變化；以及(b)確定發(fā)射機休眠信號是否在從表示發(fā)射機活動到表示發(fā)射機休眠之間持續(xù)地變化。
13.如權利要求2所述的方法，其中生成通道通路多數(shù)判斷的方法還包括如果該通道中僅有一條通路生成錯誤信號表示發(fā)射機正通過全局總線發(fā)送一個帶超額錯誤的信息，則生成一個通路故障信號表示是否該通路可能出現(xiàn)故障。
14.如權利要求13所述的方法，還包括，通過確定通路持續(xù)生成表示該通路可能出現(xiàn)故障的通路故障信號，可確認該通路出現(xiàn)故障。
15.如權利要求4所述的方法，其中生成通道最終通路多數(shù)判斷的方法還包括，如果該通道中僅有一條通路生成錯誤信號表示發(fā)射機正通過總線發(fā)送一個帶超額錯誤的信息，則生成一個最終通路故障信號以表示是否該通路可能出現(xiàn)故障。
16.如權利要求15所述的方法，它還包括，通過確定通路是否持續(xù)生成表示該通路可能出現(xiàn)故障的最終通路故障信號，可確認該通路出現(xiàn)故障。
17.一種可監(jiān)視和識別本系統(tǒng)中部件出現(xiàn)故障的多通道系統(tǒng)，該多通道系統(tǒng)包括(a)由若干數(shù)據(jù)總線構成的全局總線；(b)與總線連接的若干個外場可更換部件，使每一外場可更換部件與數(shù)據(jù)總線中的一條相連，每一外場可更換部件形成一通過全局總線發(fā)送信息的發(fā)射機；以及(c)與全局總線連接的若干計算機通道，每個計算機通道也形成一個通過總線發(fā)送信息的發(fā)射機，每個通道包括若干由專用總線連接的通路，每個通路由一個電源、一個處理器和一個到總線的接口組成，每個通道中的一條通路構成一條指令通路，它通過全局總線發(fā)送信息，并且，每個計算機通道檢測多通道系統(tǒng)中的故障，這樣對于每一個與總線連接的發(fā)射機，通道每一條通路的處理器生成一個與發(fā)射機有關的通道多數(shù)判斷以表示是否大多數(shù)通道已檢測到發(fā)射機中的故障。
18.如權利要求17所述的多通道系統(tǒng)，通道的各通路的處理器通過下述方法為發(fā)射機生成通道多數(shù)判斷(a)生成一個通道的通路多數(shù)判斷，以表示是否通道中的多數(shù)通路已通過全局總線檢測到了發(fā)射機通信中的故障；(b)通過指令通路的接口經(jīng)由全局總線，由指令通路將通路多數(shù)判斷發(fā)送給其它計算機通道；(c)接收其它通道指令通路處理器生成的通路多數(shù)判斷；以及(d)生成通道多數(shù)判斷，它是由每個通道的指令通路生成的通路多數(shù)判斷的函數(shù)。
19.如權利要求18所述的多通道系統(tǒng)，通道的各通路的處理器通過下述方法生成該通道的通路多數(shù)判斷(a)生成一個錯誤信號，它的狀態(tài)表示經(jīng)全局總線發(fā)送的數(shù)據(jù)是否有額外錯誤；(b)通過該通道的專用總線將錯誤信號發(fā)送到該通道的其它通路；以及(c)確定是否多數(shù)通路持續(xù)生成錯誤信號，其狀態(tài)表示發(fā)射機經(jīng)全局總線發(fā)送的數(shù)據(jù)是否有超額錯誤。
20.如權利要求19所述的多通道系統(tǒng)，其中所述的每個通路的處理器，在生成通道多數(shù)判斷之前，為通道鑒定通路多數(shù)判斷(a)通過全局總線接收通道的通路多數(shù)判斷；以及(b)對接收到的通路多數(shù)判斷，(i)通過對表示發(fā)出通路多數(shù)判斷的通道是否活動的通道更新信號的評估，可確定該通道是否正發(fā)生發(fā)送故障；(ii)如果通道無發(fā)送故障，若該通道的多數(shù)通路檢測到發(fā)射機的故障，則生成一個該通道的鑒定后的通路多數(shù)判斷；以及(iii)該通道鑒定后的多數(shù)判斷生成后，經(jīng)該通道的專用總線將該鑒定后的多數(shù)判斷發(fā)送給該通道的其它通路。
21.如權利要求20所述的多通道系統(tǒng)，其中所述的每個通路的處理器，在生成通道多數(shù)判斷之前，生成每個通道的最終通路多數(shù)判斷，在通道的通路多數(shù)判斷經(jīng)鑒定后，每個通道的最終通路多數(shù)判斷表示是否該通道多數(shù)通路持續(xù)檢測到發(fā)射機中的故障，鑒定方法為(a)從每個通道接收一組鑒定后的通路多數(shù)判斷，每一通道的判斷組包括經(jīng)該通道的通路鑒定和發(fā)送的該通道的鑒定后的通路多數(shù)判斷；以及(b)對每一組鑒定后的通路多數(shù)判斷，生成一個該通道的最終通路多數(shù)判斷，它是該通道一組鑒定后的通路多數(shù)判斷的函數(shù)。
22.如權利要求21所述的多通道系統(tǒng)，其中，通過確定多數(shù)通路是否持續(xù)生成鑒定后的表示發(fā)射機發(fā)生故障的通路多數(shù)判斷，由每一通路的處理器生成通道的最終通路多數(shù)判斷。
23.如權利要求22所述的多通道系統(tǒng)，其中每一通道的處理器生成通道多數(shù)判斷的方法為對通道的每一通路，確定是否多數(shù)通道持續(xù)生成一個表示發(fā)射機正發(fā)生故障的最終多數(shù)判斷。
24.如權利要求23所述的多通道系統(tǒng)，其中每個通路的處理器生成一個是通道最終多數(shù)判斷函數(shù)的總線有效信號，該總線有效信號表示發(fā)射機所連接的數(shù)據(jù)總線是否發(fā)生故障。
25.如權利要求24所述的多通道系統(tǒng)，其中每個通路的處理器生成一個是通道最終判斷函數(shù)的符合要求的發(fā)射機信號，以及一個表示發(fā)射機是否處于休眠狀態(tài)的發(fā)射機休眠信號，所述符合要求的有效信號表示發(fā)射機是否正發(fā)生故障。
26.如權利要求25所述的多通道系統(tǒng)，其中每個通路的處理器生成一個通道更新信號，該信號是多數(shù)通道判斷、總線有效信號和符號要求的發(fā)射機信號的函數(shù)，生成方法為(a)確定發(fā)射機是否為一通道；(b)如果發(fā)射機是一通道，確認是否多數(shù)通道判斷、總線有效信號或符合要求的發(fā)射機信號中的任一個表示已檢測到了故障；以及(c)如果已檢測到故障，確定是否發(fā)射機在預定時間間隔內(nèi)發(fā)送了信息。
27.如權利要求26所述的多通道系統(tǒng)，其每個通路的處理器生成一個外場可更換部件更新信號，該信號是多數(shù)通道判斷、總線有效信號和符合要求的發(fā)射機信號的函數(shù)，生成方法為(a)如果發(fā)射機不是通道，而是一個外場可更換部件，則確定是否多數(shù)通道判斷、總線有效信號或符合要求的發(fā)射機信號中的任何一個表示已檢測到了故障；以及(b)如果已檢測到了故障，確定在預定時間間隔內(nèi)是否通路已從發(fā)射機接收到信息。
28.如權利要求27所述的多通道系統(tǒng)，每一通路處理器生成發(fā)射機休眠信號，它是通道更新信號和外場可更換部件更新信號的函數(shù)，生成方法為(a)確定發(fā)射機是否為一通道；(b)如果發(fā)射機是一通道，確定通道更新信號是否表示發(fā)射機在預定時間間隔內(nèi)沒有發(fā)送信息；(c)如果發(fā)射機是外場可更換部件，確定是否外場可更換部件信號已表示在預定的時間間隔內(nèi)，通路還沒有從外場可更換部部件接收到信息。
29.如權利要求28所述的多通道系統(tǒng)，其中每條通路的處理器生成一個符合要求的發(fā)射機信號，該信號是通道多數(shù)判斷和發(fā)射機休眠信號的函數(shù)，生成方法為(a)確定通道多數(shù)判斷是否從表示發(fā)射機未出現(xiàn)故障和發(fā)射機出現(xiàn)故障之間持續(xù)變化；以及(b)確定發(fā)射機休眠信號是否從表示發(fā)射機處于活動狀態(tài)和休眠狀態(tài)之間持續(xù)變化。
30.如權利要求29所述的多通道系統(tǒng)，其中，如果通道中僅有一條通路生成表示發(fā)射機正通過總線發(fā)送一帶超額錯誤信息的錯誤信號，則每條通路處理器在生成通路多數(shù)判斷之后生成一個通路故障信號，該信號表示是否該通路可能出現(xiàn)故障。
31.如權利要求30所述的多通道系統(tǒng)，其中，通過確定是否一通路持續(xù)生成通路故障信號，每條通路的處理器就可確認通路發(fā)生故障。
32.如權利要求21所述的多通道系統(tǒng)，其中，如果通道中僅有一條通路生成錯誤信號以表示發(fā)射機正通過全局總線發(fā)送具有超額錯誤的信息，則每條通路的處理器在生成最終通路多數(shù)判斷之后，生成一個最終通路故障信號，該信號表示是否該通路可能出現(xiàn)故障。
33.如權利要求32所述的多通道系統(tǒng)，其中，通過確定是否通路持續(xù)生成表示該通路可能出現(xiàn)故障的最終通路故障信號，每條通路的處理器可確認該通路出現(xiàn)故障。
全文摘要
一種多通道系統(tǒng),可監(jiān)視和識別系統(tǒng)中部件出現(xiàn)的故障。它由若干外場可更換部件和獨立控制通道組成。各通道包括若干連接到局部總線上的通路。通道的通路處理器為連接在總線上的發(fā)射機產(chǎn)生通道多數(shù)判斷,以表示是否多數(shù)通道檢測到發(fā)射機中的故障。為確定通道多數(shù)判斷,處理器首先要產(chǎn)生通路多數(shù)判斷,指令通路接著把通路多數(shù)判斷通過總線發(fā)送到其它通道,各通路的處理器再鑒定各通路多數(shù)判斷,然后處理器產(chǎn)生一通道的最終通路多數(shù)判斷,最后,處理器通過確定多數(shù)通道是否持續(xù)產(chǎn)生一表示發(fā)射機出現(xiàn)故障的最終多數(shù)判斷,產(chǎn)生通道多數(shù)判斷。
文檔編號H04L1/00GK1175143SQ96111539
公開日1998年3月4日 申請日期1996年8月22日 優(yōu)先權日1996年8月22日
發(fā)明者葉英欽 申請人:波音公司