專利名稱：容錯(cuò)計(jì)算機(jī)控制系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種容錯(cuò)計(jì)算機(jī)控制系統(tǒng)，該系統(tǒng)例如可應(yīng)用于控制交通工具或其它危險(xiǎn)裝置。
背景技術(shù)：
隨著計(jì)算機(jī)系統(tǒng)在人類生活的許多應(yīng)用領(lǐng)域的重要性越來(lái)越大，它們的可靠性變得越來(lái)越重要，這是因?yàn)橐粋€(gè)錯(cuò)誤可能帶來(lái)可怕的后果，包括損傷或?yàn)?zāi)難。這種計(jì)算機(jī)系統(tǒng)的實(shí)例除了用在醫(yī)療系統(tǒng)中外，也用在交通工具制導(dǎo)或控制系統(tǒng)，例如火車制導(dǎo)系統(tǒng)或飛機(jī)控制系統(tǒng)。
電子計(jì)算機(jī)典型的“故障間的平均時(shí)間”大約為104小時(shí)，而這個(gè)時(shí)間對(duì)于危險(xiǎn)的應(yīng)用來(lái)說(shuō)高得不能接受。因此，使用幾臺(tái)并行的計(jì)算機(jī)、通過(guò)冗雜的操作提高系統(tǒng)可靠性已經(jīng)是慣用做法。
傳統(tǒng)的冗余系統(tǒng)一般采用多臺(tái)計(jì)算機(jī)，這些計(jì)算機(jī)在一個(gè)網(wǎng)絡(luò)中起著數(shù)據(jù)源的作用。這個(gè)網(wǎng)絡(luò)包括許多通信鏈路，每條通信鏈路將一臺(tái)計(jì)算機(jī)和數(shù)據(jù)接收器相連接，數(shù)據(jù)接收器例如是一個(gè)飛機(jī)上副翼的致動(dòng)器。計(jì)算機(jī)生成包含控制副翼運(yùn)行的數(shù)據(jù)項(xiàng)。副翼接收所有數(shù)據(jù)項(xiàng)并將其組合，例如通過(guò)確定一個(gè)中間值生成一個(gè)容錯(cuò)的數(shù)據(jù)項(xiàng)。
這種系統(tǒng)不能在發(fā)生故障的通信鏈路上傳遞數(shù)據(jù)項(xiàng)。為了克服這個(gè)缺陷，曾經(jīng)提出應(yīng)用額外的通信鏈路使計(jì)算機(jī)互連。如果發(fā)現(xiàn)一給定的計(jì)算機(jī)和數(shù)據(jù)接收器間的通信鏈路出現(xiàn)故障，從給定的計(jì)算機(jī)發(fā)出的數(shù)據(jù)項(xiàng)則改線發(fā)送給其它的計(jì)算機(jī)和一條可替換的通信鏈路。由于這種系統(tǒng)可能包括大量的計(jì)算機(jī)和接收器，甚至還包括大量的通信鏈路，在一條通信鏈路發(fā)生故障再改線發(fā)送數(shù)據(jù)項(xiàng)的必要步驟可能變得相當(dāng)復(fù)雜。而且，為所有可能出現(xiàn)的錯(cuò)誤和改線發(fā)送配置所進(jìn)行的分析和測(cè)試會(huì)變得十分復(fù)雜和昂貴，否則就不能實(shí)現(xiàn)。

發(fā)明內(nèi)容
因此，本發(fā)明所要解決的問(wèn)題是提供一種上面提及的方法和系統(tǒng)，該方法和系統(tǒng)比較易于執(zhí)行、分析和測(cè)試，同時(shí)能保持低的故障危險(xiǎn)。
這個(gè)問(wèn)題通過(guò)獨(dú)立權(quán)利要求的方法和系統(tǒng)解決。
因此，根據(jù)本發(fā)明，數(shù)據(jù)由轉(zhuǎn)換組件的輸出端供給接收器通信鏈路。轉(zhuǎn)換組件有幾個(gè)輸入端，每個(gè)輸入端都與一個(gè)數(shù)據(jù)源或另一個(gè)輸出端相連。轉(zhuǎn)換組件通過(guò)至少兩條不同的接收器通信鏈路將每個(gè)數(shù)據(jù)源與每個(gè)數(shù)據(jù)接收器相連接。整個(gè)系統(tǒng)適于通過(guò)至少兩條不同的接收器通信鏈路中的每一條通信鏈路將每個(gè)數(shù)據(jù)項(xiàng)從任一給定數(shù)據(jù)源發(fā)送給任一給定數(shù)據(jù)接收器，這樣給定的數(shù)據(jù)接收器通過(guò)至少兩條接收器通信鏈路接收到相同的數(shù)據(jù)項(xiàng)。
在正常的操作中，每個(gè)數(shù)據(jù)接收器通過(guò)獨(dú)立的通信鏈路接收每個(gè)數(shù)據(jù)項(xiàng)至少兩次。盡管這需要額外增加頻帶寬度，但它有這樣的優(yōu)點(diǎn)，就是如果通信鏈路中出現(xiàn)故障無(wú)需改線發(fā)送數(shù)據(jù)項(xiàng)，也就是說(shuō)，當(dāng)出現(xiàn)故障時(shí)信息流不必非得重新調(diào)整，這使得系統(tǒng)更加可靠，并且更易于分析和測(cè)試。這樣很容易預(yù)知系統(tǒng)能夠處理哪些類型的故障，而不需要測(cè)試出潛在故障所有可能的組合。
在一個(gè)優(yōu)選的實(shí)施例中，轉(zhuǎn)換組件被分為多個(gè)轉(zhuǎn)換單元，其中每一個(gè)轉(zhuǎn)換單元通過(guò)至少兩條轉(zhuǎn)換通信鏈路與其它的轉(zhuǎn)換單元連接，并且其中任一數(shù)據(jù)接收器與至少兩個(gè)不同的轉(zhuǎn)換單元連接。以這種方式細(xì)分的轉(zhuǎn)換組件，使得系統(tǒng)在任意一個(gè)轉(zhuǎn)換單元出現(xiàn)故障時(shí)仍能提供更好的性能。在一個(gè)優(yōu)選的實(shí)施例中，也就是一個(gè)轉(zhuǎn)換單元?dú)w屬于每一個(gè)數(shù)據(jù)源，更優(yōu)選的是，每一個(gè)轉(zhuǎn)換單元的一個(gè)輸入端與它的數(shù)據(jù)源的一個(gè)輸出端相連。
在另一個(gè)優(yōu)選的實(shí)施例中，一個(gè)同步傳送方案應(yīng)用于冗余的時(shí)間窗屬于每一個(gè)數(shù)據(jù)源的情況。在每一個(gè)時(shí)間窗口，轉(zhuǎn)換組件將的有的接收器通信鏈路與附加時(shí)間窗的數(shù)據(jù)源連接。這又會(huì)導(dǎo)致所需頻帶寬度增大，但是它有助于保持系統(tǒng)簡(jiǎn)單。除了這些，它還可以防止有缺陷的數(shù)據(jù)源連續(xù)阻塞接收器通信鏈路，這是因?yàn)槊總€(gè)數(shù)據(jù)只有在它的數(shù)據(jù)窗口中源可以通過(guò)通信鏈路。如果轉(zhuǎn)換組件被分為上面提及的互相連接的轉(zhuǎn)換單元，可以應(yīng)用相同的方案防止轉(zhuǎn)換通信鏈路的堵塞。
在另一個(gè)優(yōu)選的實(shí)施例中，一個(gè)特殊的密鑰屬于(attributed to)每一個(gè)數(shù)據(jù)源。由每個(gè)數(shù)據(jù)源發(fā)送的數(shù)據(jù)項(xiàng)被相應(yīng)的密鑰進(jìn)行數(shù)字標(biāo)記，并且當(dāng)數(shù)據(jù)項(xiàng)在數(shù)據(jù)接收器中的接收時(shí)檢查該標(biāo)記。利用這樣的標(biāo)記方案則為檢查出不可靠的信息提供了更大的可能性。
本發(fā)明尤其適用于控制交通工具的方向和/或速度。在優(yōu)選的應(yīng)用中，它用于控制飛機(jī)。
其它優(yōu)選實(shí)施例在從屬權(quán)利要求中進(jìn)行描述。


在閱讀下面詳細(xì)描述的說(shuō)明書(shū)時(shí)，可以對(duì)本發(fā)明進(jìn)行更好的理解，同時(shí)除了前面闡明的那些目的之外的目的也會(huì)變得更清楚。該說(shuō)明書(shū)參照附圖進(jìn)行說(shuō)明，其中圖1是根據(jù)本發(fā)明的容錯(cuò)計(jì)算機(jī)系統(tǒng)的方框圖。
圖2表示一個(gè)數(shù)據(jù)源的一個(gè)轉(zhuǎn)換單元。
圖3是數(shù)據(jù)通訊的時(shí)間表。
圖4A、4B、4C是數(shù)據(jù)接收器接收到的冗雜數(shù)據(jù)項(xiàng)表。
圖5表示根據(jù)本發(fā)明的計(jì)算機(jī)系統(tǒng)控制的飛機(jī)。
圖6是圖1的簡(jiǎn)化圖解。
圖7是本發(fā)明可選擇的實(shí)施例。
具體實(shí)施例方式
圖1的系統(tǒng)由三臺(tái)冗雜的計(jì)算機(jī)P0、P1和P2運(yùn)行，這三臺(tái)計(jì)算機(jī)處理從三個(gè)傳感器S0、S1和S2以及兩臺(tái)輸入裝置V0和V1發(fā)出的標(biāo)記，并控制三個(gè)致動(dòng)器A0、A1和A2。一個(gè)轉(zhuǎn)換單元SU0、SU1或SU2屬于每臺(tái)計(jì)算機(jī)。
在一個(gè)具體實(shí)施例中，此處所示的系統(tǒng)可以控制交通工具，其中傳感器S0、S1和S2例如測(cè)量交通工具的位置、姿態(tài)和/或速度，輸入裝置V0和V1是由使用者操作的控制器，A0、A1和A2是控制交通工具動(dòng)力和操縱機(jī)構(gòu)的致動(dòng)器。
基于可靠性的原因，至少有兩個(gè)冗余的傳感器用來(lái)測(cè)量計(jì)算機(jī)P0、P1和P2用的每個(gè)參數(shù)，并且所提供的輸入裝置LV0、LV1是雙倍的。
計(jì)算機(jī)P0、P1和P2根據(jù)由傳感器S0、S1和S2和輸入裝置LV0、LV1提供的輸入量以及儲(chǔ)存在計(jì)算機(jī)中的狀態(tài)變量生成控制致動(dòng)器A1、A2和A3的命令。計(jì)算機(jī)P0、P1和P2獨(dú)立地工作。它們是冗余的，即在系統(tǒng)不出現(xiàn)故障時(shí)，由計(jì)算機(jī)生成的命令完全相同，因此是冗余的。命令以數(shù)據(jù)項(xiàng)的形式傳送給致動(dòng)器A0、A1和A2。后面的數(shù)據(jù)項(xiàng)與已經(jīng)接收到的冗余的數(shù)據(jù)項(xiàng)組合以確定一個(gè)糾錯(cuò)數(shù)據(jù)項(xiàng)。這一點(diǎn)會(huì)在下面更加詳細(xì)的描述。
必須注意的是，對(duì)于絕大多數(shù)的應(yīng)用來(lái)說(shuō)，部件的相應(yīng)數(shù)目會(huì)比在圖1中示出的數(shù)目大的多。但是，本系統(tǒng)的構(gòu)造可以很容易地按比例滿足任何復(fù)雜系統(tǒng)的需要。
下面，對(duì)這個(gè)構(gòu)造進(jìn)行更詳細(xì)的描述。在本說(shuō)明書(shū)中，每臺(tái)計(jì)算機(jī)P0、P1和P2(或者，更準(zhǔn)確的說(shuō)，它的輸出端與轉(zhuǎn)換單元連接)被看作是發(fā)送數(shù)據(jù)項(xiàng)的“數(shù)據(jù)源”，這些數(shù)據(jù)項(xiàng)由致動(dòng)器A0、A1和A2接收。每個(gè)致動(dòng)器A0、A1和A2被看作是接收數(shù)據(jù)項(xiàng)的“數(shù)據(jù)接收器”。
多個(gè)通信鏈路用來(lái)連接系統(tǒng)的各個(gè)部分。輸入通信鏈路LS0、LS1、LS2、LV0和LV1將每個(gè)傳感器S0、S1和S2以及每個(gè)輸入裝置V0和V1連接到每臺(tái)計(jì)算機(jī)P0、P1和P2上。轉(zhuǎn)換通信鏈路LPiPj將各個(gè)轉(zhuǎn)換單元SU0、SU1、SU2互相連接起來(lái)(此處i和j是介于0和轉(zhuǎn)換單元數(shù)減1之間的整數(shù))。接收器通信鏈路LPiAk將每個(gè)轉(zhuǎn)換單元SUi和數(shù)據(jù)接收器Ak連接(此處k是介于0和致動(dòng)器數(shù)減1之間的整數(shù))。每個(gè)數(shù)據(jù)接收器Ak與至少兩條接收器通信鏈路LPiAk連接，這些接收器通信鏈路通向不同的轉(zhuǎn)換單元SUi。
每條轉(zhuǎn)換通信鏈路LPiPj是點(diǎn)到點(diǎn)的連接，并且將一個(gè)轉(zhuǎn)換單元SUi的一個(gè)輸出端與另一個(gè)轉(zhuǎn)換單元SUj的輸入端連接。類似的，每條接收器通信鏈路LPiAk是將轉(zhuǎn)換單元SUi的一個(gè)輸出端連接到一個(gè)致動(dòng)器Ak之間的點(diǎn)到點(diǎn)的連接。
優(yōu)選的，接收器通信鏈路LPiAk是光纜，這是為了剩余系統(tǒng)的可靠數(shù)據(jù)傳輸和安全的電流保護(hù)，這是因?yàn)樵谠S多應(yīng)用中致動(dòng)器可能操縱高功率的設(shè)備。其它的通信鏈路可以是光纖、電線或無(wú)線鏈接或其它。
轉(zhuǎn)換單元SU0、SU1或SU2的構(gòu)造在圖2中示出。在所示的實(shí)施例中，每個(gè)轉(zhuǎn)換單元SUi有三個(gè)輸入端I0-I2和五個(gè)輸出端O0-O4。一個(gè)轉(zhuǎn)換開(kāi)關(guān)(多路標(biāo)記分離器)S0-S4提供給每個(gè)輸出端，這樣每個(gè)輸出端Oi可以有選擇的連接到輸入端Ij的任一端。
每個(gè)輸入端I0和I2都與一條轉(zhuǎn)換通信鏈路LPjLPi、LPj’LPi連接，用來(lái)從兩個(gè)其它的轉(zhuǎn)換單元SUj和SUj’接收數(shù)據(jù)項(xiàng)。輸入端I1與歸屬于轉(zhuǎn)換單元的數(shù)據(jù)源連接。
每個(gè)輸出端O0和O4都與一條轉(zhuǎn)換通信鏈路LPiLPj、LPiLPj’連接，用來(lái)向兩個(gè)其它的轉(zhuǎn)換單元SUj和SUj’發(fā)送數(shù)據(jù)項(xiàng)。輸出端O1和O2與接收器通信鏈路LPiAk和LPiAk’連接，用來(lái)向接收器Ak和Ak’發(fā)送數(shù)據(jù)項(xiàng)。輸出端O3與歸屬于轉(zhuǎn)換單元的計(jì)算機(jī)的一個(gè)數(shù)據(jù)輸入端連接。
一個(gè)轉(zhuǎn)換控制臺(tái)10用來(lái)根據(jù)來(lái)自時(shí)鐘單元的標(biāo)記設(shè)定轉(zhuǎn)換開(kāi)關(guān)Si。
每個(gè)轉(zhuǎn)換單元SU0、SU1或SU2都裝有它自己的時(shí)鐘單元11和它自己的控制臺(tái)10，從而能夠自主的設(shè)定轉(zhuǎn)換。時(shí)鐘單元11保持同步。對(duì)于本領(lǐng)域的技術(shù)人員來(lái)講，保持時(shí)鐘單元同步的各種容錯(cuò)方法是熟知的，其中一些方法在卡奈爾(Cornell)大學(xué)計(jì)算機(jī)科學(xué)學(xué)院的Fred.B.Schneider于1987年8月在“拜占庭式時(shí)鐘同步理解協(xié)議”(“Understanding Protocols for Byzantine ClockSynchronization”)中描述過(guò)。優(yōu)選的，時(shí)鐘單元11與由數(shù)據(jù)源加在每一個(gè)數(shù)據(jù)項(xiàng)或者至少一部分?jǐn)?shù)據(jù)項(xiàng)上添加的時(shí)間標(biāo)記同步，其中每個(gè)轉(zhuǎn)換單元抽取從不同的數(shù)據(jù)源傳遞來(lái)的數(shù)據(jù)項(xiàng)的時(shí)間標(biāo)志，并由此確定一個(gè)總的時(shí)間，例如，通過(guò)找出在同一時(shí)間接收到的時(shí)間標(biāo)志的中間值和通過(guò)計(jì)算出相對(duì)于它自己的時(shí)鐘的偏差來(lái)確定一個(gè)總的時(shí)間。
如圖3所示，為了調(diào)整系統(tǒng)中的通訊，一個(gè)時(shí)間窗屬于每個(gè)數(shù)據(jù)源，其中優(yōu)選的是窗口等長(zhǎng)并以規(guī)則周期重復(fù)。不等長(zhǎng)的數(shù)據(jù)窗口也可以用，尤其是在數(shù)據(jù)源中之一具有更多的數(shù)據(jù)需要傳輸?shù)臅r(shí)候。在一個(gè)給定的時(shí)間窗口，轉(zhuǎn)換單元SUi以這種方式設(shè)定轉(zhuǎn)換開(kāi)關(guān)，以使所有轉(zhuǎn)換開(kāi)關(guān)通信鏈路LPiPj以及所有接收器通信鏈路LPiAk都與窗口所屬于的數(shù)據(jù)源連接。
這些從圖3中可以看到并將在下面進(jìn)一步解釋，額外的時(shí)間窗口可以用于從致動(dòng)器Ai的傳輸。
數(shù)據(jù)源也是同步的，例如通過(guò)它們附加在數(shù)據(jù)轉(zhuǎn)換開(kāi)關(guān)的時(shí)鐘單元，并且數(shù)據(jù)源只在它們的數(shù)據(jù)窗口范圍內(nèi)傳遞數(shù)據(jù)項(xiàng)，其中，每個(gè)數(shù)據(jù)窗口的最前端和后端保持不用，以解決同步錯(cuò)配和標(biāo)記延遲的問(wèn)題。
圖3中窗口的長(zhǎng)度主要取決于待傳輸數(shù)據(jù)的數(shù)量和傳輸一條消息所允許的最大的延遲時(shí)間。對(duì)于絕大多數(shù)的交通工具控制系統(tǒng)來(lái)說(shuō)，發(fā)現(xiàn)大約10ms的窗口長(zhǎng)度是合適的。
為了在同一時(shí)間完全把通信鏈路歸結(jié)于單獨(dú)的數(shù)據(jù)源而采用固定的計(jì)時(shí)方案，這樣會(huì)產(chǎn)生提高頻帶寬度的要求。但是，在許多應(yīng)用中，目前可得到的通信鏈路為支持這種協(xié)定提供了充足的頻帶寬度。
從上面的描述中越來(lái)越清晰的看到，每個(gè)數(shù)據(jù)源Pi將它的所有數(shù)據(jù)項(xiàng)同時(shí)傳遞給所有數(shù)據(jù)接收器Ak，每個(gè)數(shù)據(jù)接收器通過(guò)至少兩條不同的接收器通信鏈路LPjAk同時(shí)接收每個(gè)數(shù)據(jù)項(xiàng)。因此，在正常操作中，數(shù)據(jù)接收器至少兩次從每個(gè)數(shù)據(jù)源接收每個(gè)數(shù)據(jù)項(xiàng)，因?yàn)樗袛?shù)據(jù)源都生成冗余的數(shù)據(jù)項(xiàng)，所以數(shù)據(jù)接收器通過(guò)網(wǎng)絡(luò)中不同的路徑接收到每個(gè)數(shù)據(jù)項(xiàng)的六種冗余版本的一組數(shù)據(jù)。
圖4A、4B和4C中對(duì)數(shù)據(jù)接收器A0進(jìn)行了說(shuō)明。數(shù)據(jù)接收器試圖接收一組中所有六條數(shù)據(jù)項(xiàng)并且例如通過(guò)下面描述以核實(shí)一個(gè)校驗(yàn)和或數(shù)字標(biāo)記，能夠確定它們的實(shí)際完整性。在傳輸中沒(méi)有任何錯(cuò)誤時(shí)，如圖4A所示，每個(gè)數(shù)據(jù)項(xiàng)被標(biāo)記“ok”。如果通信鏈路LP1P0出現(xiàn)一個(gè)故障，如圖4B所示，只有五個(gè)數(shù)據(jù)項(xiàng)是有效的。即使除了這個(gè)故障，通信鏈路LP2A0出錯(cuò)，兩個(gè)數(shù)據(jù)項(xiàng)仍然是有效的，如圖4C所示。
從接收到的冗余的有效數(shù)據(jù)項(xiàng)中，數(shù)據(jù)接收器利用已知的交換-恒定技術(shù)(中值、大多數(shù)...)生成一個(gè)糾錯(cuò)數(shù)據(jù)項(xiàng)。例如，如果數(shù)據(jù)項(xiàng)規(guī)定了一個(gè)數(shù)字參數(shù)，那么由有效數(shù)據(jù)項(xiàng)給定的參數(shù)的中間值就被確定了。
如上所述，數(shù)據(jù)項(xiàng)可以包括一個(gè)數(shù)字標(biāo)記。為了生成一個(gè)數(shù)字標(biāo)記(和選擇的，加密)，一個(gè)特殊的密鑰歸屬于每個(gè)數(shù)據(jù)源P0、P1或P2。利用這個(gè)特殊的密鑰，每個(gè)數(shù)據(jù)源產(chǎn)生一個(gè)本領(lǐng)域的技術(shù)人員熟知的數(shù)字標(biāo)記，即，一個(gè)取決于數(shù)據(jù)項(xiàng)中待傳輸?shù)南⒑瓦@個(gè)密鑰的標(biāo)記值，其中用于生成標(biāo)記的運(yùn)算法則是，如果利用特定的密鑰或者不用密鑰生成一特定的標(biāo)記值，就能證明具有足夠的可靠性。為了提高安全性，可以利用基于不對(duì)稱的密鑰的標(biāo)記方案。但是必須注意的是，可用于本發(fā)明上下文中的標(biāo)記方案可能比那些通常用于數(shù)據(jù)通訊中的標(biāo)記配置更簡(jiǎn)單和具有較小的防干擾能力，這是因?yàn)楸景l(fā)明中的標(biāo)記配置主要用于必須防止系統(tǒng)故障而不是防止故意干擾。
當(dāng)一個(gè)數(shù)據(jù)接收器從一個(gè)給定的數(shù)據(jù)源接收到一條消息時(shí)，它通過(guò)檢驗(yàn)標(biāo)記是否與數(shù)據(jù)源的密鑰相匹配從而檢驗(yàn)數(shù)據(jù)項(xiàng)的有效性。否則，數(shù)據(jù)項(xiàng)會(huì)被標(biāo)記為無(wú)效。
本系統(tǒng)的一個(gè)應(yīng)用在圖5中示意性的表示出來(lái)。此圖示出了一架垂直升降的飛機(jī)20，例如在WO 01/30652中披露的那樣，該飛機(jī)裝有多個(gè)可傾斜的驅(qū)動(dòng)部件21，每個(gè)驅(qū)動(dòng)部件包含一個(gè)電動(dòng)風(fēng)扇。驅(qū)動(dòng)部件21為飛機(jī)提供姿態(tài)控制、提升和前進(jìn)的推力。每個(gè)驅(qū)動(dòng)部件21包含一個(gè)驅(qū)動(dòng)控制元件，該驅(qū)動(dòng)控制元件控制驅(qū)動(dòng)部件的傾斜角度和推力。每個(gè)控制元件從上述數(shù)據(jù)接收器Aj、Ai中的一個(gè)接收它的設(shè)置信息。除此之外，姿態(tài)傳感器Sm、Sn和其它類型的傳感器與輸入裝置V0和V1一起安裝在飛機(jī)中，其目的是將輸入數(shù)據(jù)提供給計(jì)算機(jī)Pi。
為了討論本發(fā)明的很多變型中的一些改進(jìn)，現(xiàn)在我們參考圖6，該圖示意性的表示出圖1中的實(shí)施例。
從圖6可以看出，本發(fā)明的具體實(shí)施例的一個(gè)優(yōu)點(diǎn)在于，每個(gè)數(shù)據(jù)接收器Ak通過(guò)冗余的路徑從所有數(shù)據(jù)源Pi接收數(shù)據(jù)，即使用于一個(gè)給定的接收器Ak的接收器通信鏈路LpiAk的數(shù)目(即2)比數(shù)據(jù)源的數(shù)目(即3)少。這是由于這樣一個(gè)事實(shí)，轉(zhuǎn)換單元SUi允許每個(gè)數(shù)據(jù)源Pi使用一個(gè)給定數(shù)據(jù)接收器的兩條接收器通信鏈路。
如果為每個(gè)數(shù)據(jù)項(xiàng)提供可選擇的路徑，那么與每個(gè)數(shù)據(jù)接收器連接的接收器通信鏈路最小數(shù)目是2。為了提高可靠性，可以為每個(gè)數(shù)據(jù)接收器提供兩條以上的接收器通信鏈路。
在圖6的實(shí)施例中，每個(gè)轉(zhuǎn)換單元SUi被連接用于與另外兩個(gè)轉(zhuǎn)換單元發(fā)送和接收數(shù)據(jù)，因此在轉(zhuǎn)換單元之間提供了可選擇的路徑。為了提高可靠性，這個(gè)數(shù)目可以大于2，但是每個(gè)轉(zhuǎn)換單元也可以只有一條單獨(dú)的轉(zhuǎn)換通信鏈路。
在圖6的實(shí)旋例中，一個(gè)轉(zhuǎn)換單元SUi附加于每一臺(tái)計(jì)算機(jī)Pi。優(yōu)選的，每臺(tái)計(jì)算機(jī)和每個(gè)轉(zhuǎn)換單元位置上彼此接近，使它們可以共享一些機(jī)械或電子部件。但是，優(yōu)選的是轉(zhuǎn)換單元可以獨(dú)立于歸屬于它的計(jì)算機(jī)而運(yùn)行，即計(jì)算機(jī)在它的數(shù)據(jù)處理過(guò)程中出現(xiàn)故障時(shí)，轉(zhuǎn)換單元應(yīng)仍能繼續(xù)運(yùn)行。
計(jì)算機(jī)和與它相連接的轉(zhuǎn)換單元的近距離放置是優(yōu)選的但不是必需的。轉(zhuǎn)換單元可以放置在任何位置。但是，如果計(jì)算機(jī)和它的轉(zhuǎn)換單元之間的距離變大，介于它們之間的通信鏈路出現(xiàn)故障的危險(xiǎn)就會(huì)增加。在那種情況下建議在計(jì)算機(jī)和轉(zhuǎn)換單元之間提供額外的冗余的通信鏈路。
圖7示出了有四臺(tái)計(jì)算機(jī)Pi和僅有兩個(gè)轉(zhuǎn)換單元SUi的實(shí)施例。在此，每個(gè)轉(zhuǎn)換單元有四個(gè)輸入端和六個(gè)輸出端，各個(gè)轉(zhuǎn)換S有四個(gè)可能的位置。此外，轉(zhuǎn)換開(kāi)關(guān)根據(jù)當(dāng)前窗口所屬于的數(shù)據(jù)源而被定位，這樣該數(shù)據(jù)源的標(biāo)記被發(fā)送到所有接收器通信鏈路和轉(zhuǎn)換通信鏈路。
必須注意的是，在上述描述以及附圖中，只描述和展示了部件間最重要的一些通信鏈路。除了這些，網(wǎng)絡(luò)還可以包括更多的通信鏈路，例如從致動(dòng)器回到計(jì)算機(jī)或回到一個(gè)獨(dú)立的監(jiān)控部件。類似的，轉(zhuǎn)換單元除了包括連接到接收器通信鏈路和轉(zhuǎn)換通信鏈路的轉(zhuǎn)換開(kāi)關(guān)外，還可以包括為其它類型的接收器輸送數(shù)據(jù)的額外的轉(zhuǎn)換開(kāi)關(guān)，例如轉(zhuǎn)換開(kāi)關(guān)S3就是為計(jì)算機(jī)的輸入端輸送數(shù)據(jù)項(xiàng)。
例如，如果希望致動(dòng)器A0、A1、A2能夠把反饋信息傳遞給計(jì)算機(jī)P0、P1、P2，那么介于轉(zhuǎn)換單元SUi和致動(dòng)器之間的通信鏈路可能是雙向的。例如，一條反饋鏈LAiPk可能由每個(gè)致動(dòng)器通向與之連接的兩個(gè)轉(zhuǎn)換單元，如圖1中致動(dòng)器A1的虛線部分所示。到每個(gè)轉(zhuǎn)換單元中的轉(zhuǎn)換開(kāi)關(guān)S0-S4的輸入端的數(shù)目可以相應(yīng)的增加2個(gè)，這樣輸入端可以在屬于致動(dòng)器的時(shí)間窗內(nèi)將反饋鏈LAiPk連接到轉(zhuǎn)換單元的輸出端(見(jiàn)圖3)。換句話說(shuō)，致動(dòng)器A0、A1、A2也可以作為數(shù)據(jù)源。但是，與計(jì)算機(jī)P0、P1和P2相比，它們通常不是冗余的數(shù)據(jù)源，但是它們能通過(guò)冗余的路徑把數(shù)據(jù)傳輸?shù)竭x定的接收器中。
此處所用的術(shù)語(yǔ)“系統(tǒng)”應(yīng)理解為指定的一種裝置，該裝置包含數(shù)據(jù)源和數(shù)據(jù)接收器，同時(shí)還包含連接它們的網(wǎng)絡(luò)，但是它常常用作指定一種操作該裝置的方法。
權(quán)利要求
1.一種容錯(cuò)計(jì)算機(jī)控制系統(tǒng)，該系統(tǒng)包括多個(gè)冗余的數(shù)據(jù)源(P0、P1、P2)，用于生成至少部分冗余的數(shù)據(jù)項(xiàng)，多個(gè)數(shù)據(jù)接收器(A0、A1、A2)，用于接收冗余的數(shù)據(jù)項(xiàng)并將它們組合成一個(gè)容錯(cuò)數(shù)據(jù)項(xiàng)；一個(gè)轉(zhuǎn)換組件(SU0、SU1、SU2)，該轉(zhuǎn)換組件具有多個(gè)輸入端和輸出端，其中每個(gè)輸入端與一個(gè)數(shù)據(jù)源(P0、P1、P2)或一個(gè)輸出端連接，每個(gè)輸出端與一個(gè)輸入端或一個(gè)數(shù)據(jù)接收器(A0、A1、A2)連接，每個(gè)數(shù)據(jù)接收器(A0、A1、A2)通過(guò)獨(dú)立的接收器通信鏈路(LPiAk)與至少兩個(gè)輸出端連接，其中該轉(zhuǎn)換組件(SU0、SU1、SU2)適合于通過(guò)至少兩條不同的接收器通信鏈路(LPiAk)將任何一個(gè)所說(shuō)數(shù)據(jù)源(P0、P1、P2)與每個(gè)所說(shuō)數(shù)據(jù)接收器(A0、A1、A2)連接，該計(jì)算機(jī)控制系統(tǒng)適合于通過(guò)至少兩條不同的接收器通信鏈路(LPiAk)中的每一條將每個(gè)數(shù)據(jù)項(xiàng)從任一給定數(shù)據(jù)源(P0、P1、P2)傳遞給任一給定數(shù)據(jù)接收器(A0、A1、A2)，這樣給定的數(shù)據(jù)接收器通過(guò)至少兩條接收器通信鏈路(LPiAk)接收到相同的數(shù)據(jù)項(xiàng)。
2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中每條接收器通信鏈路(LPiAk)將恰好一個(gè)輸出端連接到恰好一個(gè)接收器。
3.根據(jù)前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，其特征是用于每個(gè)數(shù)據(jù)接收器(A0、A1、A2)的接收器通信鏈路(LPiAk)的數(shù)目小于數(shù)據(jù)源(P0、P1、P2)的數(shù)目，特別是，其中用于每個(gè)數(shù)據(jù)接收器(A0、A1、A2)的接收器通信鏈路(LPiAk)的數(shù)目是2。
4.根據(jù)前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，其特征是轉(zhuǎn)換組件(SU0、SU1、SU2)分為多個(gè)轉(zhuǎn)換單元，每個(gè)轉(zhuǎn)換單元的每個(gè)輸入端或者與一個(gè)數(shù)據(jù)源(P0、P1、P2)連接，或者通過(guò)一條轉(zhuǎn)換通信鏈路(LPiPj)與另一個(gè)轉(zhuǎn)換單元的一個(gè)輸出端連接，每個(gè)轉(zhuǎn)換單元通過(guò)至少兩條轉(zhuǎn)換通信鏈路(LPiPj)與其它轉(zhuǎn)換單元連接，每條轉(zhuǎn)換通信鏈路(LPiPj)將一個(gè)輸出端與一個(gè)輸入端連接，每介數(shù)據(jù)接收器(A0、A1、A2)通過(guò)接收器通信鏈路(LPiAk)與至少兩個(gè)不同的轉(zhuǎn)換單元(SU0、SU1、SU2)連接，特別的，對(duì)于每個(gè)轉(zhuǎn)換單元來(lái)說(shuō)，每個(gè)輸出端能夠與每個(gè)輸入端連接。
5.根據(jù)權(quán)利要求4所述的系統(tǒng)，其特征是兩條轉(zhuǎn)換通信鏈路(LPiLPj)附連到每個(gè)轉(zhuǎn)換單元(SUi)的輸入端上和/或恰好兩條轉(zhuǎn)換通信鏈路(LPiLPj)附連到每個(gè)轉(zhuǎn)換單元(SUi)的輸出端上。
6.根據(jù)權(quán)利要求4至5任何一項(xiàng)所述的系統(tǒng)，其特征是轉(zhuǎn)換單元(SUi)的數(shù)目與數(shù)據(jù)源(P0、P1、P2)的數(shù)目相當(dāng)，每個(gè)轉(zhuǎn)換單元屬于一個(gè)數(shù)據(jù)源(P0、P1、P2)，每個(gè)轉(zhuǎn)換單元的一個(gè)輸入端連接到它屬于的數(shù)據(jù)源(P0、P1、P2)上，特別是，轉(zhuǎn)換單元的一個(gè)輸出端連接到它屬于的數(shù)據(jù)源(P0、P1、P2)上。
7.根據(jù)前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，其特征是冗余時(shí)間窗屬于每個(gè)數(shù)據(jù)源(P0、P1、P2)，在每個(gè)時(shí)間窗內(nèi)，轉(zhuǎn)換組件(SU0、SU1、SU2)將所有接收器通信鏈路(LPiAk)連接到起因于時(shí)間窗的數(shù)據(jù)源(P0、P1、P2)上，而剩余的數(shù)據(jù)源(P0、P1、P2)與接收器通信鏈路(LPiAk)斷開(kāi)。
8.根據(jù)權(quán)利要求7和權(quán)利要求4-6中任何一項(xiàng)所述的系統(tǒng)，其特征是在每個(gè)時(shí)間窗內(nèi)，轉(zhuǎn)換組件(SU0、SU1、SU2)將所有的轉(zhuǎn)換通信鏈路(LPiPj)連接到起因于時(shí)間窗的數(shù)據(jù)源(P0、P1、P2)上，而剩余的數(shù)據(jù)源(P0、P1、P2)與轉(zhuǎn)換通信鏈路(LPiPj)斷開(kāi)。
9.根據(jù)權(quán)利要求7至8任何一項(xiàng)所述的系統(tǒng)，其特征是至少部分?jǐn)?shù)據(jù)項(xiàng)帶有時(shí)間標(biāo)記，每個(gè)轉(zhuǎn)換單元(SUi)包含一個(gè)由時(shí)間標(biāo)記同步的時(shí)鐘(11)。
10.根據(jù)權(quán)利要求9所述的系統(tǒng)，其特征是每個(gè)轉(zhuǎn)換單元(SUi)適于組合多個(gè)接收到的帶有時(shí)間標(biāo)記的數(shù)據(jù)項(xiàng)，以確定一個(gè)時(shí)基，特別是通過(guò)確定來(lái)自不同的數(shù)據(jù)源(P0、P1、P2)的數(shù)據(jù)項(xiàng)的時(shí)間標(biāo)記的中間值而實(shí)現(xiàn)。
11.根據(jù)前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，其特征是一個(gè)特殊的密鑰屬于每個(gè)數(shù)據(jù)源(P0、P1、P2)，并且每個(gè)數(shù)據(jù)源(P0、P1、P2)適于為每個(gè)數(shù)據(jù)項(xiàng)生成一個(gè)數(shù)字標(biāo)記，該數(shù)據(jù)項(xiàng)是利用它的特殊的密鑰傳送的，數(shù)據(jù)接收器(A0、A1、A2)適于在收到數(shù)據(jù)項(xiàng)時(shí)校驗(yàn)標(biāo)記的有效性。
12.根據(jù)前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，其特征是該數(shù)據(jù)接收器(A0、A1、A2)適于校驗(yàn)每個(gè)接收到的數(shù)據(jù)項(xiàng)的有效性，并且適于僅利用一組冗雜的數(shù)據(jù)項(xiàng)中那些有效的數(shù)據(jù)項(xiàng)，特別是，它確定這組冗雜的數(shù)據(jù)項(xiàng)中那些有效的數(shù)據(jù)項(xiàng)的中間值或大多數(shù)值。
13.根據(jù)前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，其特征是該數(shù)據(jù)接收器(A0、A1、A2)包括致動(dòng)器。
14.根據(jù)前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，還包括為從該數(shù)據(jù)接收器到該轉(zhuǎn)換組件傳輸數(shù)據(jù)的反饋鏈(LAiPk)。
15.一種交通工具，包含前面任何一項(xiàng)權(quán)利要求所述的系統(tǒng)，其中該數(shù)據(jù)接收器(A0、A1、A2)控制交通工具的動(dòng)力和操縱機(jī)構(gòu)。
16.一種飛機(jī)，包含權(quán)利要求1至14任何一項(xiàng)所述的系統(tǒng)。
17.根據(jù)權(quán)利要求16所述的飛機(jī)，包含至少一個(gè)樞軸驅(qū)動(dòng)部件(21)，該樞軸驅(qū)動(dòng)部件提供姿態(tài)控制以及產(chǎn)生向上和向前的推力；以及一個(gè)控制傾斜角度的動(dòng)力和該驅(qū)動(dòng)部件的推力的驅(qū)動(dòng)控制部件，其中該控制部件由該數(shù)據(jù)接收器(A0、A1、A2)中的一個(gè)控制，特別是，該驅(qū)動(dòng)部件由電動(dòng)機(jī)驅(qū)動(dòng)。
全文摘要
一種容錯(cuò)計(jì)算機(jī)控制系統(tǒng)，包含幾個(gè)計(jì)算機(jī)(P0、P1、P2)，該計(jì)算機(jī)冗余工作并以從傳感器(S0、S1、S2)和輸入裝置(V0、V1)得到的標(biāo)記為基礎(chǔ)控制致動(dòng)器(A0、A1、A2)。由每臺(tái)計(jì)算機(jī)發(fā)射的每個(gè)數(shù)據(jù)項(xiàng)通過(guò)不同的通訊路徑同時(shí)發(fā)送到每個(gè)致動(dòng)器，這樣在正常操作中，每個(gè)致動(dòng)器通過(guò)不同的路徑接收每個(gè)數(shù)據(jù)項(xiàng)。甚至在出現(xiàn)故障的情況下該系統(tǒng)仍能完全發(fā)揮作用，而不需要數(shù)據(jù)項(xiàng)的任何改線發(fā)送，這使得系統(tǒng)更容易設(shè)計(jì)、分析和測(cè)試，從而提高了它的可靠性。
文檔編號(hào)G06F11/00GK1550988SQ20041004304
公開(kāi)日2004年12月1日 申請(qǐng)日期2004年1月20日 優(yōu)先權(quán)日2003年1月23日
發(fā)明者托馬斯·邁克爾·塞勒, 托馬斯 邁克爾 塞勒 申請(qǐng)人:超級(jí)計(jì)算系統(tǒng)股份公司