BRPI0706613A2 - aparelho e método para controle de backup em um sistema de controle de vÈo distribuìdo - Google Patents

Abstract

APARELHO E MéTODO PARA CONTROLE DE BACKUP EM SISTEMA DE CONTROLE DE VÈO DISTRIBUìDO. A presente invenção refere-se a um sistema de controle de vóo para controle de uma aeronave durante o vóo, O sistema de controle de vóo pode incluir um controlador primário configurado para receber uma entrada a partir de um piloto e para extrair um sinal de controle primário e um percurso de transmissão primário conectado ao controlador primário e configurado para a retransmissão do sinal de controle primário. O sistema de controle de vóo também pode incluir um controlador de backup configurado para receber a entrada a partir do piloto e para extrair um sinal de controle de backup e um percurso de transmissão de backup conectado ao controlador de backup e configurado para a retransmissão do sinal de controle de backup. Adicionalmente, o sistema de controle de vóo pode incluir um atuador que tem uma unidade de eletrónica remota configurada para receber o sinal de controle primário e o sinal de controle de backup e para determinar se o sinal de controle primário está disponível e é válido. A unidade de eletrónica remota pode ser configurada para a extração de um comando de atuador, com base no sinal de controle primário, se o sinal de controle primário estiver disponível e for válido, e para extrair o comando de atuador com base no sinal de controle de backup, se o sinal de controle primário não estiver disponível ou for inválido.

Description

Relatório Descritivo da Patente de Invenção para "APARELHOE MÉTODO PARA CONTROLE DE BACKUP EM UM SISTEMA DE CON-TROLE DE VÔO DISTRIBUÍDO".

Este pedido reivindica prioridade para o Pedido de Patente Pro-visória U.S. 60/749.028, depositado em 17 de janeiro de 2006, e intitulado"Advanced Flight Control System Architecture", o qual é cedido à cessionáriada presente invenção e é desse modo incorporado como referência em suatotalidade. Este pedido está relacionado ao Pedido de Patente U.S. co-pendente depositado em 17 de janeiro de 2007, intitulado "System and Me-thod for an Integrated Backup Control System", o qual é cedido à cessionáriada presente invenção e desse modo é incorporado como referência em suatotalidade.

CAMPO DA INVENÇÃO

As modalidades da invenção se referem geralmente a sistemasde controle de vôo de aeronave e, mais especificamente, à implementaçãode um sistema de controle de backup redundante para um sistema de con-trole de vôo por cabo elétrico (FBW) distribuído.

ANTECEDENTES DA INVENÇÃO

Com o rápido desenvolvimento na tecnologia de aeronaves, en-voltórias de vôo cada vez maiores e desempenho em geral, os sistemas decontrole de vôo implementados nas aeronaves modernas se tornaram ex-tremamente complexos. Os sistemas de controle de vôo avançados até ago-ra foram desenvolvidos para se dirigirem a várias características de aerona-ve, tais como desempenho de vôo, eficiência de combustível, segurança,etc. um sistema de controle de vôo primário em uma aeronave moderna tipi-camente inclui um conjunto complexo de componentes incluindo controlesde piloto, sensores de aeronave, processador eletrônico, fiação eletrônica oubarramentos de dados, atuadores e sistemas de controle. Infelizmente, con-forme o sistema de controle de vôo primário aumenta de complexidade, aaeronave pode ser crescentemente vulnerável a uma falha de sistema ou auma falha de processador.

De acordo com os regulamentos de vôo e no interesse do desenvolvimento de uma aeronave robusta, as aeronaves modernas incluemelementos ou sistemas secundários ou redundantes para uso no caso de osistema de controle primário falhar ou experimentar falhas de sistema. Ape-sar de uma baixa probabilidade de falha de sistemas de controle baseadosem processador, os sistemas de controle de vôo freqüentemente falham emse dirigir ao problema de uma falha genérica nos meios de transmissão ouno processamento de comando do sistema de controle de vôo primário. Em-bora os elementos redundantes do sistema de controle primário possam serincluídos como uma medida de segurança, uma falha genérica correndo nomeio de processamento ou de transmissão primário poderia desabilitar nãoapenas o sistema de controle primário, mas também quaisquer elementosredundantes e, em alguns casos, se propagar para o sistema de backup emseparado. Os sistemas de controle, tal como o sistema de controle de vôomostrado na Patente U.S. N9 6.860.452, empregavam sistemas primáriocentralizado e plenamente redundante de backup que incluíam uma dissimi-Iaridade entre grupos de canais primário e redundante, em uma tentativa dese dirigir a esta preocupação. Contudo, uma abordagem como essa requeruma análise extremamente cuidadosa e esforços de projeto para se garantirque a dissimilaridade verdadeiramente se aplique por todo o percurso dedispositivo eletrônico complexo inteiro necessário para o controle de vôoprimário.

Embora um sistema de controle de vôo primário tipicamentepossa ser capaz de verificar a integridade do sistema, por exemplo, atravésde sensores redundantes e de barramentos de dados digitais de duas vias,um sistema de controle de vôo de backup pode carecer de meios suficientespara a monitoração dele mesmo ou para garantia de um funcionamento a-propriado, quando não usado. Por exemplo, durante uma operação normalde vôo em uma altitude permanente, atitude, curso e velocidade em relaçãoao ar, os sinais de controle a partir de um sistema primário ou de backuppodem permanecer constantes por longos períodos de tempo. Embora ossinais a partir dos sistemas primário e de backup possam corresponder a-propriadamente sob estas condições, é possível que o sistema de backuppossa ter experimentado uma falha ou estar congelado, extraindo um sinalcorreto temporário. Conseqüentemente, o sistema de backup pode estar in-disponível ou desabilitado, apesar de parecer funcionar apropriadamente,provendo a pilotos e operadores uma falsa sensação de segurança.

Em um sistema de controle distribuído, o fechamento de Ioop decontrole de atuador de um atuador de superfície de controle é executado noou próximo do atuador em si, e as leis de controle de nível de aeronave sãoexecutadas em plataformas de computação comumente conhecidas comocomputadores de controle de vôo ("FCC"), geralmente localizados na oupróximos da cabine da aeronave. A introdução de atuadores inteligentes, osquais podem incluir alguma capacidade de processamento, adicionou a ca-pacidade de realização de certas funções de processador no atuador. Umatuador inteligente, conforme definido aqui, pode incluir um dispositivo deatuação mecânica, tal como um cilindro hidráulico e suas válvulas de contro-Ie associadas ou um dispositivo de atuação eletromecânica, e uma unidadeeletrônica remota ("REU"). A unidade eletrônica remota pode ser uma parteintegral do atuador, uma unidade substituível em linha ("LRU") montada noatuador, ou uma unidade montada próxima do atuador. Uma unidade eletrô-nica remota associada a uma das superfícies de controle em uma aeronavepode operar pelo recebimento de um comando de posição de superfície decontrole de um computador de controle de vôo (FCC) e, então, gerar um si-nal específico para o atuador. Se o atuador incluir um sensor de feedback eum sinal de feedback, a unidade eletrônica remota poderá realizar um con-trole de feedback da posição de superfície de controle sem confiar no FCC.

O FCC pode ser carregado, por exemplo, nas baias de aviônica, tipicamentepróximo da cabine. Pelo uso de uma REU, um sistema de controle de vôopode reduzir a quantidade de processamento necessária nos computadoresde controle de vôo.

Um sistema de controle distribuído também pode permitir o usode tipos diferentes de meios de transmissão de dados. Os barramentos dedados podem ser usados com os atuadores inteligentes para a monitoraçãodo sistema de controle, permitindo que a unidade eletrônica remota do atua-dor inteligente assegure a integridade do sistema de controle (extremidade aextremidade) e monitore um barramento de dados quanto a comandos es-pecíficos de atuador. Ainda, os atuadores inteligentes podem permitir o usode meios de transmissão de barramento de dados (tal como um barramentoARINC 429 ou CAN ou seus derivados), significativamente reduzindo o nú-mero e o peso da fiação de transmissão em relação a sistemas de controlede vôo tradicionais. Em alguns sistemas de controle de atuador inteligente,um barramento único de dois fios pode ser usado para a conexão de todosos atuadores inteligentes aos processadores ou computadores de controle.

Em outros sistemas de controle de atuação inteligente mais conservadores,múltiplos barramentos de dados de ponto a ponto dedicados podem ser u-sados para a conexão do computador de controle de vôo centralizado ou umequivalente a cada atuador inteligente individual. Também pode haver maisde um barramento de dados de ponto a ponto primário entre os computado-res de controle de vôo e um dado atuador inteligente, de acordo com níveisvariáveis de redundância.

SUMÁRIO DA INVENÇÃO

Apesar dos avanços de sistemas de controle de atuador inteli-gente, os sistemas de controle de vôo de atuador inteligente freqüentementefalham em se dirigir ao problema de uma falha genérica nos meios detransmissão ou no processamento de comando do sistema de controle devôo primário. De acordo com as modalidades da invenção, um sistema decontrole de backup simplificado pode ser usado para proteção da aeronave,no caso de uma falha genérica em um sistema de controle primário comple-xo. Freqüentemente, os pilotos se referem a um sistema de controle de bac-kup simplificado como o "modo doméstico de vôo". Um sistema de controlede backup simplificado pode ser configurado para se aplicar apenas às su-perfícies de controle de aeronave e, mais especificamente, a atuadores queprovejam o assim denominado "Controle Aceitável Mínimo" ("MAC") da ae-ronave. Por exemplo, em algumas aeronaves, um MAC pode ser obtido pelaprovisão de controle de atuadores movendo pelo menos dois ailerons ou umou dois elevadores e um leme. Em outros casos, o leme pode ser omitido ouum par de aerofólios auxiliares pode ser necessário para um controle de ro-lamento, de modo a se obter o MAC. Conforme entendido por aqueles ver-sados na técnica, o MAC pode ser altamente dependente da configuraçãode estrutura do avião e suas características aerodinâmicas (isto é, momen-tos aerodinâmicos induzidos por superfície de controle em torno do centro degravidade da aeronave em várias velocidades em relação ao ar).

As modalidades da invenção podem ser configuradas para inclu-írem dois sistemas de controle de vôo distribuídos, um sistema de controlede vôo primário e um sistema de controle de vôo de backup simples que se-jam ambos independentes e dissimilares. O sistema de controle primáriotambém pode ser configurado para a monitoração e a garantia da integrida-de de ambos os sistemas, durante um vôo, sem comprometimento da sim-plicidade e da confiabilidade no sistema de controle de vôo de backup. Porexemplo, um sistema de controle de backup de acordo com modalidades dainvenção pode ser muito simples, sem quaisquer funções de monitoraçãodiretas, e o sistema de controle de vôo primário mais complexo pode monito-rar o sistema de controle de backup durante uma operação normal, para segarantir sua disponibilidade. As modalidades da invenção podem ser usadaspara a eliminação da necessidade de uma análise significativa e esforços deprojeto para verificação de uma dissimilaridade entre o sistema de controleprimário e o sistema de controle de backup. O sistema de controle de bac-kup pode ser implementado como um sistema de controle analógico ou ba-seado em lógica programável ou como um sistema de controle baseado emsoftware.

BREVE DESCRIÇÃO DOS DESENHOS

Figura 1A mostra esquematicamente um sistema de controle devôo distribuído de nível de aeronave de acordo com uma modalidade da in-venção;

Figura 1B mostra esquematicamente um sistema de controle devôo distribuído de acordo com uma modalidade da invenção;

Figura 2 mostra esquematicamente um exemplo de um atuadorinteligente usando uma unidade eletrônica remota de acordo com uma mo-dalidade da invenção;

Figura 3 mostra esquematicamente um outro exemplo de umsistema de controle de vôo distribuído de acordo com uma modalidade dainvenção;

Figura 4 mostra um outro exemplo de um sistema de controle devôo distribuído de acordo com uma modalidade da invenção; e

Figura 5 mostra esquematicamente uma porção de um sistemade controle de vôo distribuído de acordo com uma modalidade da invenção.

DESCRIÇÃO DETALHADA DA INVENÇÃO

A presente descrição será descrita, agora, mais plenamente,com referência às Figuras nas quais várias modalidades da presente inven-ção são mostradas. O assunto desta exposição, contudo, pode ser concreti-zado de muitas formas diferentes e não deve ser construído como estandolimitado às modalidades estabelecidas aqui.

As modalidades da invenção são dirigidas a um sistema de con-trole de vôo distribuído configurado para o emprego de sistemas de controlede vôo primário e de backup independentes e dissimilares. O sistema decontrole de backup pode ser configurado como um sistema simplificado oude "Controle Aceitável Mínimo" ("MAC"), por exemplo. Adicionalmente, o sis-tema de controle de vôo primário pode ser configurado para verificação daintegridade dos sistemas de controle de vôo primário e de backup e dos per-cursos de transmissão durante o uso, sem colocar em risco as característi-cas independentes e dissimilares do sistema de controle de backup.

A Figura 1A ilustra esquematicamente um sistema de controlepor cabo elétrico distribuído de amostra que tem um controle primário e debackup disposto de acordo com uma modalidade da invenção. Conformeentendido por aqueles versados na técnica, os sistemas de controle primárioe de backup mostrados na Figura 1A podem ser modificados para outrasconfigurações alternativas e aeronaves pelo escalonamento do número desuperfícies para cima ou para baixo, dependendo da configuração da aero-nave e do tamanho. Conforme mostrado, os percursos de comando primá-rios são todos rotulados com "P" e os percursos de comando de backup sãotodos rotulados com um "B".

O sistema de controle de vôo distribuído geral da Figura 1A in-clui os canais de computador de controle de vôo ("FCC") primários 401 e402, um controlador de backup 403 e atuadores. Por simplicidade, apenasos atuadores 420 e 430 controlando o aileron esquerdo 410 foram rotuladosna Figura 1A. Contudo, as discussões aqui com referência a atuadores de-vem ser consideradas como se aplicando a todo atuador mostrado na Figura1A. Cada um dos atuadores 420 e 430 representa atuadores inteligentes einclui uma unidade eletrônica remota ("REU") montada no ou em grandeproximidade com o atuador. Os canais de FCC primários 401 e 402 tipica-mente podem ser divididos em dois ou mais grupos, conforme mostrado naFigura 1A, como canais direito e esquerdo, de modo a se mitigarem eventosde destruição local pela separação física dos canais. Por exemplo, os canais401 e 402 podem ser separados para mitigação de danos causados por in-cêndio ou por um choque com um pássaro. Adicionalmente, com freqüênciaé útil instalar o controlador de backup 403 ainda em uma outra localizaçãona aeronave, para mitigação adicional de eventos destrutivos locais.

Na Figura 1A, os atuadores 420 e 430 são afixados à superfíciede aileron 410. Estes atuadores podem ser configurados de modo que am-bos os atuadores 420 e 430 controlem a posição do aileron 410. Os atuado-res também podem ser configurados de modo que um atuador esteja ativa-mente controlando o aileron 410, enquanto o outro atuador permanece emespera e apenas se torne efetivo se o atuador ativo experimentar uma falha.

Por exemplo, o atuador 420 poderia ser um atuador ativo controlando o aile-ron 410 e o atuador em espera 430 apenas se tornar ativo se o atuador 420falhasse.

De acordo com modalidades da invenção, os atuadores 420 e430 são considerados atuadores inteligentes e são controlados por sua pró-pria REU. O atuador 420 é acoplado à REU 421 e o atuador 430 é acopladoà REU 431. Durante uma operação normal, as REUs 421 e 431 recebemcomandos de posição de superfície primários a partir dos canais de controleprimários 401 e 402 através dos percursos de comando primários 422. Con-forme mostrado na Figura 1A, cada REU é acoplada aos canais primários401 e 402 através dos percursos de comando primário ou barramentos dedados rotulados com um P.

Conforme mostrado na Figura 1 A, o controlador de backup 403 éacoplado ao atuador 430 através do percurso de comando de backup 433,mas não é acoplado ao atuador 420. Da mesma forma, o controlador debackup 403 é conectado a parte da REU e dos atuadores, mas não a todos.

Embora o controlador de backup pudesse ser acoplado a todos os atuadoresem um sistema de controle mais plenamente redundante, a Figura 1A ilustrauma modalidade da invenção em que o sistema de controle de backup seconecta apenas a um número selecionado e um posicionamento de atuado-res e superfícies de controle. Por exemplo, conforme mostrado na Figura 1A,o aerofólio auxiliar interno esquerdo não é conectado ao controlador de bac-kup 403. Em uma modalidade da invenção, o número de atuadores conecta-dos ao controlador de backup 403 pode ser reduzido, conectando-se apenasa atuadores que provejam o "Controle Aceitável Mínimo" ("MAC") para umadada aeronave. A localização e o número de atuadores requeridos para aprovisão de um MAC variarão grandemente, dependendo do tipo e do tama-nho de uma aeronave.

Conforme discutido em maiores detalhes abaixo, a REU acopla-da a cada atuador pode ser configurada para a determinação da validadedos sinais de controle primários nos percursos primários 422 e passagemdos comandos de controle primários para os atuadores. Por exemplo, asREUs 421 e 431 podem determinar que os sinais de comando primários nospercursos primários 422 são válidos e passar os sinais de comando primá-rios para os atuadores 420 e 430. Contudo, no caso de os canais primários401 e 402 experimentarem uma falha geral ou as REUs determinarem queos sinais de comando primários são inválidos ou estão ausentes, as REUspodem reverter para o sinal de controle de backup e usar o sinal de controlede backup para os atuadores. Por exemplo, a REU 431 pode determinar queos sinais de comando primários nos percursos primários 422 são inválidos ereverter para o sinal de controle de backup no percurso 433 para controle daposição do aileron 410. A REU 421 pode determinar que o sinal de controleprimário é inválido e colocar o atuador 420 em um modo de espera, permi-tindo que o atuador 430 controle completamente o aileron 410.

A Figura 1B ilustra esquematicamente uma porção do sistemade controle de vôo distribuído mostrado na Figura 1A. A Figura 1B ilustra umsistema de controle de vôo distribuído 10 que tem sensores 11 e 12 e umatuador inteligente 30. O sistema de controle 10 inclui dois sistemas de con-trole independentes e dissimilares: um sistema de controle de vôo primário eum sistema de controle de vôo de backup. O sistema de controle primário,mostrado na Figura 1B, pode incluir os sensores 11, o controlador ou pro-cessador primário 20, os meios de transmissão de controle 22 e a l/O primá-ria e validação 24 associada ao atuador inteligente 30. Deve ser entendidoque o controlador primário 20 na Figura 1B pode representar ambos os ca-nais primários 401 e 402 mostrados na Figura 1A. Da mesma forma, os mei-os de transmissão 22 da Figura 1B podem representar os percursos de co-mando 422 da Figura 1A. O atuador inteligente 30 (mostrado com uma caixatracejada) na Figura 1B pode ser considerado como representando qualquerREU e atuador na Figura 1A que esteja conectado a ambos os canais primá-rios 401 e 402 e ao controlador de backup 403. Por exemplo, o atuador inte-Iigente 30 pode representar o atuador 430 e a REU 431.

Deve ser entendido que os sensores 11 e 12, conforme ilustradode forma simplista na Figura 1B, representam os sensores e conexões asso-ciadas ao sistema de controle 10. Da mesma forma, embora apenas um atu-ador inteligente 30 seja mostrado na Figura 1B por simplicidade, o sistemade controle 10 inclui muitos atuadores de sistema de controle e o atuadorinteligente 30 representa os atuadores de controle de aeronave controlandosuperfícies de controle tais como ailerons, elevadores, lemes, etc., por e-xemplo. Conforme usado aqui, um sistema distribuído descreve um sistemade controle de vôo em que o fechamento de Ioop de controle de aeronaveocorre na ou próximo dos atuadores em REUs (isto é, esta função é distribu-ída em torno da aeronave), enquanto as leis de controle de nível de aerona-ve alto são computadas em FCCs. Os FCCs também podem incluir Ioops decontrole de feedback de nível de aeronave, conforme entendido por aquelesversados na técnica. Embora o processador primário 20 seja representadocomo um elemento único, deve ser entendido que o processador primáriopode incluir mais de um processador, computador de vôo ou suíte de aviôni-ca, por exemplo. Mais ainda, o atuador inteligente 30 pode incluir mais deum atuador inteligente ou uma coleção de atuadores, todos conectados aoprocessador primário 20.

Conforme mostrado na Figura 1B, o controlador primário 20 po-de receber uma entrada a partir do sensor 11, o qual pode representar osvários sensores/entradas e/ou o sistema de sensores e entradas conectadosao controlador primário 20. Por exemplo, o sensor 11 também pode repre-sentar certos sensores de aeronave, tais como os sensores de manche decontrole de piloto ou de sistema, tais como de altitude, atitude, velocidadeem relação ao ar, etc. Um manche de controle típico inclui 3 sensores deposição primários para cada eixo geométrico (um total de 6 para dois eixosgeométricos) para o sistema de controle primário e apenas um único sensorde posição de backup por eixo geométrico para o sistema de controle debackup. Adicionalmente, o sensor 11 pode incluir um par de sensores, osquais, quando de acordo, retornam um sinal válido para o controlador primá-rio 20. O sensor 11 também pode representar uma pluralidade de outros ti-pos de sensores, tais como sensores de taxa de armação de avião e outrosdesses sensores que podem ser usados pelo sistema de controle primáriopara adequação às exigências requeridas de monitoração e de integridade.

Durante uma operação, o controlador primário 20 pode ser con-figurado para receber sinais de entrada a partir do sensor 11 e gerar sinaisde comando ou sinais de controle para as várias superfícies de controle naaeronave. O controlador primário 20 então pode transmitir os sinais de con-trole para os atuadores inteligentes na aeronave, de modo a se ajustarem oumanterem as superfícies de controle durante um vôo. Por exemplo, o contro-lador primário 20 pode transmitir um sinal de comando para o atuador inteli-gente 30, o qual pode ser atribuído para controlar qualquer número de su-perfícies de controle de aeronave, usando o percurso de transmissão primá-rio ou meio 22. Um módulo de l/O primária e de validação 24 no atuador in-teligente 30 pode receber o sinal de controle a partir do controlador primário20 através do percurso de transmissão 22 e passar o sinal de controle paraum dispositivo programável ou uma eletrônica de acionamento de atuador 50do atuador inteligente 30. Após o processamento pela eletrônica de aciona-mento de atuador 50, um sinal de controle analógico 52 pode ser supridodiretamente para o atuador 54 para ajuste da posição de uma superfície decontrole, tal como um aileron, um elevador ou uma outra superfície de con-trole de aeronave.

Conforme mostrado na Figura 1B, o sistema de controle de vôo10 também pode incluir um sistema de controle de backup que tem um sen-sor 12, um controlador ou processador de backup 40, um meio de transmis-são de controle de backup 42 e uma l/O de backup e de validação 44 no a-tuador inteligente 30. O controlador de backup 40 e o meio de transmissão42 mostrados na Figura 1B podem representar o controlador de backup 403e o percurso de comando de backup 433 mostrados na Figura 1A.

Durante uma operação, o controlador de backup 40 pode rece-ber uma entrada a partir do sensor 12. Como com o sensor 11, deve ser en-tendido que o sensor 12 pode representar vários sensores/entradas oumesmo o sistema de sensores e entradas para o controlador de backup 40.

Se uma estabilidade de nível de aeronave for requerida para o sistema decontrole de backup, tal como um amortecimento de guinada, o sensor 12também poderá representar um sensor de giroscópio de taxa ou um acele-rômetro. Adicionalmente, o sensor 12 pode representar um sistema de sen-sor redundante, onde alguns sensores e controles são compartilhados porambos os controladores primário e de backup e alguns sensores e controlessão plenamente redundantes.

De acordo com uma modalidade da invenção, um sistema decontrole de backup pode ser configurado para se aplicar apenas a certassuperfícies de controle de aeronave e, mais especificamente, a atuadoresque provejam um MAC da aeronave. Como tal, enquanto o controlador pri-mário 20 e o sistema de controle primário seriam conectados a e controlari-am cada atuador inteligente 30 em uma aeronave, o meio de recesso 44 e osistema de controle de backup podem ser configurados para se conectarema um subconjunto dos atuadores inteligentes 30, tal como apenas àquelesrequeridos para um MAC. Para a realização disto, o sistema de controle debackup pode ser conectado a um sensor único por eixo geométrico de con-trolador de piloto, tal como a roda, a coluna e os pedais de leme (se um con-trole de guinada for necessário).

Devido ao fato de o sistema de controle de backup não estar nocontrole ativo da aeronave durante uma operação normal, falhas nos senso-res de sistema de controle de backup e transientes e falha associados po-dem não ser uma preocupação de segurança significativa para um vôo nor-mal. Contudo, quando o sistema de controle de backup é necessário (isto é,quando todos os controladores primários falharam), um sistema de controlede backup que não inclua uma função de automonitoração pode prover umsistema de controle robusto e simples para circunstâncias de emergência.

De modo a se manter o sistema de controle de backup tão inde-pendente e dissimilar, o sistema de controle de backup pode ser configuradopara a provisão de dados para outros sistemas de aeronave, tais como osistema de controle de vôo primário, o Sistema de Alerta de Equipe ou umaoutra função de monitoração na aeronave. Contudo, de acordo com algumasmodalidades da invenção, o sistema de controle de backup pode ser confi-gurado de modo que outros sistemas (não incluindo sistemas como o siste-ma de potência elétrica da aeronave) não provejam dados para o sistema decontrole de backup e não sejam necessários para sua operação. Conse-qüentemente, o sistema de controle de backup pode ser configurado comoum sistema de controle de backup totalmente independente, isolado dos ou-tros sistemas na aeronave. Desta maneira, o sistema de controle de backuppode ser isolado de defeitos ou falhas genéricos em um outro sistema deaeronave se propagando para o sistema de controle de backup, maximizan-do-se a disponibilidade do sistema de controle de backup, quando necessário.

De novo, embora a Figura 1B mostre apenas um atuador inteli-gente 30, o sistema de controle de backup pode se conectar a todos os atu-adores inteligentes na aeronave ou a um conjunto menor dos mesmos. Con-forme mencionado acima, o sistema de controle de backup pode ser configu-rado para controle de apenas um número limitado de superfícies de controlede aeronave com atuadores de backup ou selecionados, suficiente para a -dequação às exigências de MAC. Para uma dada superfície de controle, talcomo um aileron, é contemplado que os atuadores de backup (não mostra-dos) podem ser incluídos além do atuador 54 mostrado no atuador inteligen-te 30. Os atuadores de backup podem ser independentes e dissimilares dosatuadores primários controlados pelo sistema de controle primário, reque-rendo que os atuadores primários, afixados às mesmas superfícies de con-trole de aeronave, sejam colocados em um modo de espera ou de by-passuma vez que eles tenham perdido seus sinais de controle (primários). Istopode garantir que os atuadores de backup, quando ativos e controlados pelocontrolador de backup, possam atuar as superfícies de controle de acordocom os sinais de controle de backup, sem entrarem em conflito com outrosatuadores.

O controlador de backup 40 pode ser configurado para recebersinais de entrada a partir do sensor 12 e gerar um sinal de comando ou umsinal de controle para controle das várias superfícies de controle na aerona-ve. O controlador de backup 40 pode ser conectado a um atuador inteligente30 da aeronave usando o percurso ou meio de transmissão de backup 42. Omódulo de l/O de backup e de validação 44 no atuador inteligente 30 podereceber o sinal de controle a partir do controlador de backup 40 através dopercurso de transmissão 42 e passar o sinal de controle para a eletrônica deacionamento de atuador 50 do atuador inteligente 30. Após o processamentopela eletrônica de acionamento de atuador 50, um sinal de controle 52 podeser suprido diretamente para o atuador 54 para ajuste da posição de umasuperfície de controle. No caso de um atuador de backup em separado serusado, a eletrônica de acionamento de atuador 50 pode prover o sinal decontrole 52 para o atuador de backup, quando o atuador 54 estiver em ummodo de by-pass.De acordo com uma modalidade da invenção, os meios detransmissão 22 e 42 podem ser de tipos diferentes. Em uma modalidade dainvenção, estes tipos de meio podem incluir meios completamente dissimila-res, tal como empregando um barramento de dados digitais (por exemplo,usando fios ou fibras óticas) como o meio de transmissão primário 22 e umbarramento de dados analógicos como o meio de transmissão de backup 42.

Adicionalmente, um meio pode ser baseado em um sistema com fio tradicio-nal e o outro meio pode ser baseado em um sistema de transmissão sem fio,assegurando sistemas de transmissão completamente dissimilares. Em umaoutra modalidade da invenção, os dois meios de transmissão 22 e 42 podemempregar o mesmo protocolo, mas usar componentes completamente re-dundantes. Por exemplo, os meios de transmissão 22 e 42 podem empregarARINC 429 com um hardware separado e dissimilar para cada percurso.

Contudo, se o mesmo meio de transmissão for usado, o sistema de controlede backup e o sistema de controle primário ainda podem manter uma dissi-milaridade pela implementação de hardware e software diferentes nos outroselementos do sistema de controle de backup.

Embora reduzir o número de canais de controle e a complexida-de de um sistema de controle primário possa ser difícil, devido às demandascada vez maiores de envoltórias de vôo e desempenho, as reduções nacomplexidade do sistema de controle de vôo de backup podem complemen-tar o projeto de um sistema de controle de backup robusto e simples, no ca-so de emergências e/ou perda do sistema de controle primário.

A eletrônica de acionamento de atuador 50 pode ser configuradacomo padrão para o sistema de controle primário, mas reverter para o siste-ma de controle de backup, no caso de o sistema de controle primário serinválido ou estar ausente. Para a realização disto, os atuadores inteligentes30 podem incluir um hardware e um software de processamento capazes deavaliarem a viabilidade dos sinais de controle no meio de transmissão primá-rio 22, o que é discutido abaixo. Se o sistema de controle primário for deter-minado pelo dispositivo de l/O primária e de validação 24 do atuador inteli-gente 30 como sendo válido, então, o sinal de controle a partir do sistema decontrole primário poderá ser passado adiante como o sinal de controle 52para o atuador 54. Contudo, se o sinal de controle estiver faltando ou for de-terminado pelo dispositivo de l/O primária e de validação 24 como sendoinválido, a eletrônica de acionamento de atuador 50 poderá reverter para osistema de controle de backup e o sinal de controle de backup, recebido apartir do meio de transmissão de backup 42, poderá ser processado e pas-sado para o atuador 54 como o sinal de controle 52. No caso de nem o sinalde controle primário nem o de backup serem inválidos ou estarem faltando, oatuador poderá ser colocado em um modo de segurança.

A validação do sinal de controle primário transmitido no meio detransmissão 22 para o atuador inteligente 30 pode ser realizada por váriosmeios conhecidos por aqueles versados na técnica. Uma abordagem podeser que o dispositivo de l/O primária e de validação 24 ecoe o sinal de con-trole de controlador primário 20 conforme recebido pelo atuador inteligente30 de volta para o controlador primário 20. Se o controlador primário 20 de-terminar que o eco recebido combina com o comando de controle primário, osinal poderá ser declarado como válido e uma instrução poderá ser enviadapara o atuador inteligente 30 para usar o sinal de controle primário. Se o econão combinar em um certo período de persistência, então, o sinal poderá serdeclarado inválido. Uma outra abordagem para a verificação de validade po-de incluir usar uma codificação de detecção de erro, tal como uma verifica-ção de redundância cíclica ("CRC"), onde o controlador primário 20 podecalcular um valor de CRC com base em um polinômio de CRC predetermi-nado e transmitir a CRC para o atuador inteligente 30. O atuador inteligente30 então pode dividir a CRC recebida pelo mesmo polinômio que foi usadopara a geração da CRC e, se o resto desta divisão for zero, a transmissãode dados poderá ser considerada válida. Se o resto não for zero, então, atransmissão de dados poderá ser considerada inválida. Outros tipos de vali-dação conhecidos na técnica podem ser usados. A decisão de reverter paraum sinal de controle de backup pode ser controlada pelos pilotos, com baseno fato de se o sinal de controle primário for determinado inválido em umperíodo de persistência apropriado.De modo a se criar mais dissimilaridade entre os sistemas decontrole primário e de backup, o sistema de controle de backup pode usaruma programação de ganho HI/LO (ALTO/BAIXO) discreta e simples, emoposição a programações de ganho mais avançadas em um sistema de con-trole primário típico. Por exemplo, conforme entendido por aqueles versadosna técnica, um sistema de controle de vôo primário pode incluir uma progra-mação de ganho baseada em uma velocidade em relação ao ar suave, umapressão de impacto ou um equivalente, como parte de seu processamentode controle primário. Contudo, para um sistema de controle de backup sim-plificado, este tipo de programação de ganho pode não ser necessário, por-que o sistema de controle de backup pode não precisar se adequar a todasas exigências de qualidade de manipulação. Ao invés disso, o sistema decontrole de backup e o controlador de backup 40, dependendo das exigên-cias da aeronave, podem empregar outras programações de ganho discretassimplificadas, tais como, por exemplo, um ganho de velocidade alto e umganho de velocidade baixo. De modo que o sistema de controle primário efe-tivamente monitore o sistema de controle de backup, o sistema de controleprimário pode ser configurado para verificar que os sinais de controle debackup estejam de acordo com um modelo destas leis de controle de bac-kup. O modelo das leis de controle de backup pode ser facilmente implemen-tado no software dos controladores primários, conforme entendido por aque-les versados na técnica.

Um exemplo do atuador inteligente 30, mostrado na Figura 1B1 éilustrado esquematicamente na Figura 2. Uma REU 500 pode receber umcomando de controle de vôo primário através de um enlace de dados 510.

No caso de um atuador hidráulico, conforme mostrado na Figura 2, a REU500 pode ser configurada para a geração de um sinal de comando 530 paraa servoválvula eletro-hidráulica ("EHSV") 501, com base no comando decontrole de vôo através do enlace de dados 510. Um sensor de feedback deposição 502 pode retornar um sinal de feedback de posição de atuador 520para a REU 500. Como tal, um controle de feedback do atuador inteligentepode ser realizado com base no sinal de comando 530 e no sinal de sensorde feedback de posição de atuador 520. Conforme entendido por aquelesversados na técnica, o fechamento de servoloop mostrado na Figura 2 podeser implementado com uma eletrônica analógica ou digital, dependendo dasolução ótima para o dado aplicativo ou software.

No caso de um sistema de controle de backup ser iniciado pelospilotos ou usado na ausência de um sinal de sistema de controle primárioválido, a REU 500 pode usar um comando de controle de backup através doenlace de dados 540. A REU 500 pode gerar, então, o sinal de controle 530com base no controle de backup. O sinal de controle de backup através doenlace de dados 540 pode ser implementado como um barramento de dadosdigitais ou em um formato analógico. A REU 500 então pode gerar um sinalde comando 530 para o atuador 501, com base no comando de controle debackup. O sinal de sensor de feedback 520 também pode ser usado, con-forme discutido acima, para a geração do sinal de comando 530.

Com referência à Figura 3, uma outra modalidade da invençãoinclui a incorporação de uma arquitetura de sistema de controle de backuplocalmente aumentada. Em certas aeronaves, mais notadamente aeronavescom estabilidade estática relaxada ou um movimento natural em particularda aeronave, pode ser necessário amortecer certos movimentos, tal como oamortecimento de um movimento de giro holandês (Dutch-roll) através deum amortecedor de guinada, por exemplo. Nesses casos, também pode sernecessário prover o backup ou o sistema de controle de backup com certossinais de aumento, tais como taxas angulares de aeronave. Deve ser enten-dido que os sinais de aumento podem ser acumulados a partir de várias fon-tes, incluindo sensores primários e/ou sensores de backup.

Na Figura 3, um controlador primário 140 pode receber entradasa partir de um sensor de entrada de piloto 150, o qual pode representar ummanche de controle ou um outro controle de piloto, por exemplo. O controla-dor 140 também pode receber sensores de aeronave 160, tais como senso-res de giroscópio de taxa primários redundantes, típicos de um sistema decontrole primário. O controlador primário 140 pode gerar um sinal de controlepara uma superfície de controle aerodinâmica 105 e prover os sinais de co-mando primários para o atuador de superfície de controle dos percursos decomando primários 111 e 113, os quais se conectam à REU 110 e à REU112, respectivamente. Como um exemplo, a superfície de controle 105 e asREUs 110 e 112 podem representar o aileron esquerdo 410 e as REUs 421e 431 na Figura 1A.

O controlador de backup 100 pode ser configurado para receberum sinal de entrada a partir de um sensor de entrada de piloto 120 e recebersinais de aumento de um sensor de giroscópio de taxa ou de acelerômetro130. O controlador de backup 100 pode ser configurado para amortecer cer-tos movimentos de aeronave, tal como um giro holandês, usando, pelo me-nos em parte, dados recebidos a partir do sensor 130. Mediante a geraçãode um sinal de controle de backup, o controlador de borda lateral 100 podeser configurado para transmitir o sinal de controle de backup para a REU110 através do percurso de comando de backup 101. Como com outras mo-dalidades da invenção, o percurso de comando de backup 101 pode ser con-figurado como um barramento de dados unidirecional, enquanto os percur-sos de comando primários 111 e 113 podem ser configurados como barra-mentos de dados bidirecionais.

Conforme discutido acima, as REUs 110 e 112 podem ser confi-guradas para validação do sinal de controle primário e reversão para o sinalde controle de backup apenas se todos os sinais de controle primários foreminválidos. Por exemplo, em uma superfície de controle de dois atuadorescomo a superfície de controle 105, a REU 110 e a REU 112 podem ser con-figuradas para uso dos sinais de controle primários e apenas ter a REU 110revertendo o sinal de controle de backup, no caso de ambos os sinais decontrole primários nos percursos primários 113 e 111 serem determinadoscomo sendo inválidos. De modo a se evitar um engajamento prematuro doscomandos de controlador de backup 100 na REU 110, por exemplo, quandoo sinal de controle primário no percurso 111 for inválido, mas o sinal de con-trole primário no percurso 113 ainda for válido, um sinal de status 114, con-forme mostrado entre a REU 112 e a REU 110, pode ser implementado. Es-te sinal pode ser com base em sinais de comando muito básicos (tais comoos sinais de controle de válvula de seleção de modo de atuador) no controlede atuador. O sinal 11 pode usar elementos de comunicação muito simples,tais como interfaces analógicas ou discretas, e o sinal 114 pode ser transmi-tido em conexões redundantes para se garantir adicionalmente que uma úni-ca falha de conexão não resulte em um engajamento prematuro do sistemade controle de backup de superfície de controle 105. Desde que o sinal destatus 114 indique que a REU 112 esteja recebendo um sistema de controleprimário válido, a REU 110 não reverterá para os sinais de controle de bac-kup a partir do controlador de backup 100, mesmo se o percurso primário111 não estiver disponível. Nesse ínterim, a REU 110 pode ser configuradapara colocar seu atuador associado (não mostrado nas figuras) em um modode espera, permitindo que a REU sozinha controle a superfície de controle 105.

A Figura 4 ilustra esquematicamente uma porção de um sistemade controle distribuído 200 que tem dois sistemas de controle de vôo dissimi-lares, um sistema de controle primário e um sistema de controle de backupcom meios de transmissão diferentes. De novo, deve ser entendido que oselementos mostrados na Figura 4 podem representar elementos mostradosna ilustração de nível de aeronave na Figura 1A. Por exemplo, o controladorprimário 240, o controlador de backup 220, o meio de transmissão primário242, os meios de transmissão de backup 222 e 224, a REU de aileron 260 ea REU de elevador 270 na Figura 4, todos, representam elementos na Figu-ra 1 A.

O sistema de controle 200 pode incluir sensores adicionais, con-troladores, atuadores e outros elementos, além do que é mostrado na Figura4. Durante operações, é contemplado que os atuadores inteligentes podemser configurados para determinarem se é para usar o sistema de controle devôo primário ou o sistema de controle de vôo de backup para atuação. Namodalidade da invenção mostrada na Figura 4, o sistema de controle debackup pode ser implementado com uma fiação digital facilmente reconfigu-rável e dispositivos programáveis, com recursos de integridade de sinal ine-rentes que podem ser embutidos nos barramentos de dados digitais, con-forme entendido por aqueles versados na técnica.

O sistema de controle 200 mostrado na Figura 4 pode ser confi-gurado para incluir uma entrada de piloto 210, a qual pode incluir um man-che de controle ou um outro controle de piloto. A entrada pode ser detectadapor sensores redundantes 212 e 214, com um sensor dedicado ao sistemade controle de vôo primário e o outro ao sistema de controle de vôo de bac-kup. Deve ser entendido que vários níveis de redundância podem ser im-plementados no nível de sensor, incluindo uma redundância mecânica, umafiação redundante, ou mesmo, em alguns casos, uma redundância completa,conforme mostrado na Figura 4 com os sensores 212 e 214.

Com referência ao sistema de controle de vôo primário mostradona Figura 4, a entrada 210, a qual pode incluir qualquer número de instru-mentos, pode ser detectada por um sensor 214 e, então, recebida pelo con-trolador de vôo primário 220. Mediante o processamento da informação ne-cessária e a computação dos sinais de controle apropriados, o controladorprimário 220 pode prover sinais de controle por barramentos de dados paravários atuadores ou superfícies de controle da aeronave. Por exemplo, con-forme mostrado na Figura 4, o controlador primário 220 pode prover umasinal de controle para a REU de aileron 260 usando-se um barramento dedados 222. Ainda, o controlador primário 220 pode prover um sinal de con-trole para a REU de aileron usando-se um barramento de dados 224. O con-trolador de vôo primário 220 também pode prover dados para outras funçõespor outros percursos de transmissão, tal como no percurso 280, o que podeprover dados para um sistema de alerta de equipe ("CAS") e anúncios demanutenção, e o percurso 232, o qual pode prover dados para uma funçãode controle ativo 230 ou outros dispositivos de feedback para a cabine ou ospilotos.

De acordo com uma modalidade da presente invenção, um bar-ramento de dados bidirecional, tal como um barramento de dados modifica-do ARINC 429 ou RS-485 ou similar, pode ser empregado, conforme mos-trado na Figura 4 entre o controlador primário 220 e os atuadores 260 e 270.Conforme entendido por aqueles versados na técnica, um tipo de transmis-são bidirecional simples é bem provado, simples e robusto. Mais ainda, asferramentas de manutenção existentes (por exemplo, leitoras de barramentode dados) podem ser usadas para análise e monitoração das operações desistema e integridade.

Embora barramentos de dados individuais, com um barramentode dados dedicado para cada atuador, possam ser configurados para cone-xão do controlador de vôo primário 220 para os atuadores de aeronave, de-ve ser entendido que um barramento de dados único pode ser dedicado paratodos os atuadores. Em outras palavras, um barramento de dados único po-de ser usado para conexão do controlador primário 220 a todos os atuadoresna aeronave com cada sinal de controle sendo separado ou rotulado con-forme conhecido por aqueles versados na técnica. Por exemplo, um barra-mento de dados de ARINC 429 pode ser usado para conexão de todos osatuadores para o controlador primário com sinais de controle para os váriosatuadores separados por rótulos de dados de ARINC 429. As exigências deredundância podem ditar que mais de um barramento de dados seja usado,porque uma falha de fio único poderia ter impacto nas transmissões de da-dos para todos os atuadores simultaneamente. Contudo, em veículos, talcomo um veículo aéreo não tripulado, em que uma perda de controle não étão crítica, um barramento de dados único pode ser usado.

Com referência ao sistema de controle de vôo de backup, o bac-kup ou controlador de backup 240 pode receber uma entrada a partir dosensor redundante 212. Ao invés de um barramento de dados bidirecional,conforme usado no sistema de controle de vôo primário, um barramento dedados direcional 242 pode ser usado para conexão do controlador de bac-kup 240 para os atuadores 260 e 270. Conforme mostrado na Figura 4, umbarramento de dados único 242 pode ser usado para a feitura das conexõespara o sistema de controle de backup. Contudo, barramentos de dados indi-viduais podem ser usados para cada atuador.

O barramento de dados direcional 242 do sistema de controle debackup pode prover simplicidade e robustez ao sistema de backup. Ainda,um controlador de backup simplificado pode ser configurado para a provisãode funções básicas de sistema de controle sem as funções comandadas pordesempenho de finalidade alta do controlador primário. Como tal, o sistemade controle de vôo de backup como um todo pode ser menos propenso afalhar durante um vôo, apesar de ser menos dispendioso e mais fácil de pro-gramar e manter.

Conforme discutido acima, os atuadores inteligentes podem in-cluir dispositivos de REU que podem realizar processos e monitorar a inte-gridade dos sinais de controle primários. Na Figura 4, os atuadores 260 e270 podem ser configurados como atuadores inteligentes e, devido aos bar-ramentos de dados direcionais 222 e 224 no sistema de controle primário, osatuadores inteligentes 260 e 270 podem ser configurados para a monitora-ção e a verificação da integridade do sistema de controle primário. Isto podeser realizado pela transmissão de dados de verificação, ou outros tipos dedados, de volta através dos barramentos de dados bidirecionais 222 e 224para o controlador primário 220, de modo a monitorarem a saúde e a valida-de do sistema de controle primário.

Conforme mostrado na Figura 4, o controlador primário 220 podeser conectado ao controlador de backup 240 usando-se um barramento dedados 290. O sistema de controle primário e o sistema de controle de bac-kup podem ser completamente independentes e desconectados de outracoisa além do barramento de dados 290. Embora o barramento de dados290 possa ser bidirecional, um barramento de dados unidirecional 290 podeser usado para a introdução de uma separação maior e uma dissimilaridadeentre os sistemas de controle primário e de backup, como dois sistemas decontrole discretos.

O backup ou sistema de controle de vôo de backup pode sermonitorado durante a operação normal, de modo que, pelo menos, sua exis-tência possa ser assegurada, caso ele seja necessário. Como um exemplode uma modalidade da presente invenção, o sinal de controle de backup re-cebido pelo atuador inteligente 260 a partir do controlador de backup 240 edo barramento direcional 242 pode ser verificado ou monitorado através dossistemas de controle primários. O sinal de controle de backup pode ser pro-cessado, por exemplo, pelo atuador inteligente 260 e transmitido no barra-mento bidirecional 222 para o controlador primário 220. O sistema de contro-le primário então pode analisar o sinal de controle de backup para garantir aintegridade do sistema de controle de backup. No caso de o sinal de controlede backup recebido pelo controlador primário 220 não ser acurado, os pilo-tos ou operadores podem ser alertados.

Em uma outra modalidade da invenção, o sistema de controle devôo de backup pode ser monitorado usando-se dados de validação simplese limitados como um meio de monitoração da integridade e/ou da disponibili-dade do sistema de controle de backup, sem sobrecarregar o sistema decontrole primário transmitindo e avaliando o sinal de controle de backup in-teiro. Isto pode ser significativo, se o tráfego no barramento de dados bidire-cional 222 prejudicar a transmissão do sinal de controle de backup inteiro devolta para o controlador primário 220, ou se a monitoração do sinal de con-trole de backup consumir uma capacidade de processamento significativa nocontrolador primário. Conforme usado aqui, os dados de validação podemincluir um bit ou strobe simples ou um bit de estímulo discreto, o qual podeser um bit único transmitido juntamente com as comunicações de sistema decontrole de backup. Deve ser entendido que os dados de validação tambémpodem incluir outras formas de dados que podem ser maiores do que um bit,tal como um número de palavra, por exemplo.

A Figura 5 ilustra esquematicamente uma modalidade da inven-ção em que a disponibilidade do sistema de controle de backup pode sermonitorada usando-se dados de validação. Conforme mostrado na Figura 5,um sistema de controle primário pode ser configurado para uso da naturezabidirecional do percurso de controle primário 222 para a monitoração da e-xistência do sistema de controle de backup sem uma validação do sinal decontrole de backup inteiro. O controlador primário 220 pode incluir um gera-dor de sinal de validação 226, o qual pode prover um sinal de validação parao barramento de dados 290. O sinal de validação também pode ser providopara um atraso 228 no controlador primário 220 para validação do sistemade controle de backup, conforme discutido abaixo.O sinal de validação pode ser recebido pelo controlador de bac-kup 240 e inserido em uma palavra de dados discreta. Conforme mostrado,a palavra de dados discreta pode começar com um rótulo 300 e terminarcom um SSM 320, conforme entendido por aqueles versados na técnica.

Entre o rótulo 300 e o SSM 320, a palavra de dados 330 pode incluir umainformação e sinais de controle que podem ser transmitidos no barramentode dados direciona! 242 para os atuadores inteligentes, por exemplo, para oatuador 360.

Mediante a transmissão da palavra de dados a partir do contro-lador de backup 240, a palavra de dados pode ser recebida pelo atuadorinteligente 260. A REU do atuador 260 pode incluir uma partição de backupde REU 262 e uma partição primária de REU 264. A partição de backup deREU 262 pode ser configurada para receber o rótulo 300, o SSM 320 e apalavra de dados 330 incluindo o sinal de validação. A partição de backup deREU 262 também pode ser configurada para a transmissão do sinal de vali-dação e do SSM 320 para a partição primária de REU 264, usando-se umpercurso de transmissão 266.

Deve ser entendido que o percurso de transmissão 266 e o per-curso de transmissão 290 podem ser configurados como enlaces usando-sebarramentos de dados direcionais, barramentos de dados bidirecionais e/ouenlaces óticos. Estes enlaces 266 e 290 podem ser isolados (por exemplo,isolamento ótico ou similar), de modo que qualquer falha em um sistema decontrole não se propague para o outro sistema de controle através dos enla-ces. Estes enlaces podem ser configurados de modo que eles não tenhamum impacto na função de controle de qualquer sistema de controle e de mo-do que a perda de qualquer enlace 266 e 290 não tenha impacto sobre aoperação de qualquer sistema de controle. Os enlaces 266 e 290 podem serconfigurados para funcionarem apenas para a monitoração da integridade dopercurso de transmissão, não para qualquer controle real. Ainda, o sinal devalidação pode ser usado para a verificação da existência e da operação dopercurso de transmissão de backup, mas não verifica a integridade real ou aacurácia dos sinais de controle de backup.Na prática, o controlador primário 220 (com sua maior capacida-de de processamento) pode gerar um sinal de validação que é enviado parao controlador de backup 240 através do enlace de dados isolado 290 descri-to acima. Este sinal de validação então pode ser incluído na transmissão depalavra de dados de status discreta a partir do controlador de backup 240para a partição de backup de REU 262 do atuador inteligente 260. Se rece-bida com um SSM válido 320, a palavra de dados discreta pode ser ligadaao percurso primário usando-se um outro enlace de percurso cruzado isola-do 266. Uma das funções primárias das partições primárias de REU 264 po-de ser envolver o sinal de validação na transmissão de volta para o controla-dor primário 220 através do percurso primário bidirecional 222.

O controlador primário então pode ser configurado para compa-ração da transmissão de sinal de validação recebida a partir da partição pri-mária de REU 264 com a transmissão de sinal de validação recebida peloatraso 228 a partir do gerador de sinal de validação 226. Com o atraso e apersistência apropriados para consideração de quaisquer latências detransmissão, o retorno do sinal de validação a partir da partição primária deREU 264 é comparado com o sinal de validação original no comparador 340.

Um status válido a partir do comparador 340 pode ser transmitido para ou-tros sistemas de aeronave, tais como os Sistemas de Alerta e Manutençãode Equipe. Se um status inválido for recebido a partir do comparador, a e-quipe de vôo poderá ser alertada, de modo que as ações apropriadas sejamtomadas pela equipe de vôo ou de manutenção, pela identificação de umafalha no percurso de controle de backup. Portanto, a integridade do percursode controle de backup pode ser monitorada, mesmo se o sistema de controlede backup não estiver em uso.

Como uma alternativa ao uso de um sinal de validação como osdados de validação mostrados na Figura 5, outros tipos de dados podem serusados como um estímulo para o sistema de controle de backup. Por exem-pio, o gerador de sinal de validação poderia ser substituído por um contadorem incrementos para a inserção de um número na palavra de dados de sis-tema de controle de backup. O número pode aumentar com cada transmis-são, até o contador em incrementos ser reinicializado. Se o número retorna-do pelas REUs combinar com o número transmitido, então, um sistema decontrole de backup poderá ser transmitido para os outros sistemas da aero-nave. Também é contemplado que os dados de validação podem ser usadoscomo parte de uma verificação pré-vôo de sistema, no lugar de uma monito-ração em vôo contínua.

Deve ser entendido que as modalidades descritas acima podemser configuradas usando-se outras tecnologias de transmissão, tais comopercursos de transmissão sem fio e enlaces de RF direcionais simples. Averificação usando o sinal de validação também pode ser estabelecida e im-plementada usando-se uma tecnologia sem fio. Como tal, a integridade deum enlace de RF para um sistema de controle de backup pode ser monito-rada, durante a operação normal do sistema, mesmo quando o percurso decontrole de backup não estiver em uso ativo.

As descrições precedentes de modalidades específicas da in-venção são apresentadas para fins de ilustração e de descrição. Não se pre-tende que sejam exaustivas ou limitem a invenção às formas precisas mos-tradas. Alguém de conhecimento na técnica reconhecerá que outras mudan-ças podem ser feitas nas modalidades descritas aqui, sem que se desvie doespírito e do escopo da invenção, o qual é definido pelas reivindicações a-baixo.

Claims (34)

1. Sistema de controle de vôo para controle de uma aeronave, osistema de controle de vôo compreendendo:um primeiro controlador configurado para receber uma primeiraentrada e para extrair um sinal de controle primário;um primeiro percurso de transmissão acoplado ao primeiro con-trolador e configurado para retransmitir o sinal de controle primário;um segundo controlador configurado para receber uma segundaentrada e para extrair um sinal de controle de backup;um segundo percurso de transmissão acoplado ao segundo con-trolador e configurado para retransmitir o sinal de controle de backup;um atuador tendo uma eletrônica de atuador configurada parareceber o sinal de controle primário ao longo do primeiro percurso de trans-missão e o sinal de controle de backup ao longo do segundo percurso detransmissão e configurado para determinar se o sinal de controle primário éválido; ea eletrônica de atuador localizada remotamente do controladorprimário e adjacente ao atuador e configurada para extrair um comando deatuador com base, pelo menos em parte, no sinal de controle primário, se osinal de controle primário for válido e para extrair o comando de atuador,com base, pelo menos em parte, no sinal de controle de backup, se o sinalde controle primário não for válido.

2. Sistema de controle de vôo, de acordo com a reivindicação 1,onde o primeiro controlador recebe a primeira entrada a partir de um sensorprimário e o segundo controlador recebe a segunda entrada a partir de umsensor redundante.

3. Sistema de controle de vôo, de acordo com a reivindicação 1,onde o atuador é colocado em um modo seguro predeterminado se nem osinal de controle primário nem o sinal de controle de backup forem válidos.

4. Sistema de controle de vôo, de acordo com a reivindicação 1,onde a eletrônica de atuador é configurada para receber uma entrada desensor de atuador e computar o comando de atuador, com base, pelo menosem parte, na entrada de sensor de atuador e pelo menos um dentre o sinalde controle primário ou o sinal de controle de backup.

5. Sistema de controle de vôo, de acordo com a reivindicação 1,onde o primeiro percurso de transmissão é bidirecional.

6. Sistema de controle de vôo, de acordo com a reivindicação 5,onde o segundo percurso de transmissão é unidirecional.

7. Sistema de controle de vôo, de acordo com a reivindicação 6,onde:a eletrônica de atuador ainda é configurada para transmitir o si-nal de controle de backup para o primeiro controlador através do primeiropercurso de transmissão; eo primeiro controlador ainda é configurado para monitorar o sinalde controle de backup e gerar um sinal de status de sistema de controle debackup.

8. Sistema de controle de vôo, de acordo com a reivindicação 6,que ainda compreende:um primeiro enlace de dados entre o primeiro controlador e osegundo controlador;um gerador de dados de validação no primeiro controlador; edados de validação gerados pelo gerador de dados de validaçãoe transmitidos para o segundo controlador através do enlace de dados, osdados de validação sendo incluídos no sinal de controle de backup.

9. Sistema de controle de vôo, de acordo com a reivindicação 8,onde:a eletrônica de atuador ainda é configurada para transmitir osdados de validação no sinal de controle de backup para o primeiro controla-dor através do primeiro percurso de transmissão; eo primeiro controlador ainda é configurado para gerar um sinalde status de sistema de controle de backup com base, pelo menos em parte,em uma comparação dos dados de validação transmitidos para o segundocontrolador e nos dados de validação recebidos a partir da eletrônica de atu-ador.

10. Sistema de controle de vôo, de acordo com a reivindicação-3, onde a eletrônica de atuador ainda compreende:uma primeira entrada/saída acoplada ao primeiro percurso detransmissão;uma segunda entrada/saída acoplada ao segundo percurso detransmissão, a segunda entrada/saída sendo separada e independente daprimeira entrada/saída; eum segundo enlace de dados entre a segunda entrada/saída e aprimeira entrada/saída;onde os dados de validação são transmitidos a partir da segundaentrada/saída para a primeira entrada/saída e a primeira entrada/saídatransmite os dados de validação para o primeiro controlador.

11. Sistema de controle de vôo, de acordo com a reivindicação-10, onde o primeiro enlace de dados e o segundo enlace de dados são enla-ces óticos.

12. Sistema de controle de vôo, de acordo com a reivindicação-1, onde o segundo controlador é separado e independente do primeiro con-trolador.

13. Sistema de controle de vôo, de acordo com a reivindicação-1, onde o segundo percurso de transmissão é separado e independente doprimeiro percurso de transmissão.

14. Sistema de controle de vôo, de acordo com a reivindicação-1, onde:o atuador compreende uma primeira pluralidade de atuadores,com cada atuador tendo uma eletrônica de atuador configurada para recebero sinal de controle primário ao longo do primeiro percurso de transmissão eo sinal de controle de backup ao longo do segundo percurso de transmissãoe configurada para determinar se o sinal de controle primário é válido; ecada um da primeira pluralidade de atuadores e da eletrônica deatuador é configurado para usar o sinal de controle de backup, se o sinal decontrole primário não for válido.

15. Sistema de controle de vôo, de acordo com a reivindicação-14, que ainda compreende uma segunda pluralidade de atuadores configu-rados para o recebimento do sinal de controle primário ao longo do primeiropercurso de transmissão, mas não configurados para o recebimento do sinalde controle de backup.

16. Sistema de controle de vôo, de acordo com a reivindicação-15, onde a primeira pluralidade de atuadores á acoplada a um conjunto desuperfícies de controle capazes de um controle mínimo aceitável.

17. Sistema de monitoração de sinal de controle de backup paraum sistema de controle de vôo, o sistema de controle de vôo compreendendo:um primeiro controlador configurado para receber uma primeiraentrada e para extrair um sinal de controle primário;um primeiro percurso de transmissão acoplado ao primeiro con-trolador e configurado para retransmitir o sinal de controle primário;um segundo controlador configurado para receber uma segundaentrada e para extrair um sinal de controle de backup, o segundo controladorsendo separado e independente do primeiro controlador;um segundo percurso de transmissão acoplado ao segundo con-trolador e configurado para a retransmissão do sinal de controle de backup,o segundo percurso de transmissão sendo separado e independente do pri-meiro percurso de transmissão;um atuador que tem uma eletrônica de atuador localizada remo-tamente do primeiro controlador e adjacente ao atuador; ea eletrônica de atuador sendo configurada para receber o sinalde controle primário ao longo do primeiro percurso de transmissão e o sinalde controle de backup ao longo do segundo percurso de transmissão e con-figurada para transmitir dados de validação de backup para o primeiro con-trolador através do primeiro percurso de transmissão;onde o primeiro controlador ainda é configurado para a geraçãode um sinal de status de sistema de controle de backup com base, pelo me-nos em parte, nos dados de validação de backup.

18. Sistema de monitoração, de acordo com a reivindicação 17,onde o segundo percurso de transmissão é unidirecional.

19. Sistema de monitoração, de acordo com a reivindicação 17,onde os dados de validação de backup incluem o sinal de controle de backup.

20. Sistema de monitoração, de acordo com a reivindicação 17,que ainda compreende:um primeiro enlace de dados entre o primeiro controlador e osegundo controlador; eum gerador de dados de validação no primeiro controlador;onde os dados de validação são gerados pelo gerador de dadosde validação e transmitidos para o segundo controlador através do enlace dedados, os dados de validação sendo incluídos no sinal de controle de bac-kup recebido pela eletrônica de atuador.

21. Sistema de monitoração, de acordo com a reivindicação 20,onde o sinal de status de sistema de controle de backup é baseado, pelomenos em parte, em uma comparação dos dados de validação transmitidospara o segundo controlador e nos dados de validação recebidos a partir daeletrônica de atuador.

22. Sistema de monitoração, de acordo com a reivindicação 21,onde os dados de validação são um bit.

23. Sistema de controle de vôo, que compreende:um primeiro processador configurado para receber uma primeiraentrada e para extrair um sinal de controle primário;um primeiro percurso acoplado ao primeiro processador e confi-gurado para a retransmissão do sinal de controle primário;um segundo processador configurado para receber uma segun-da entrada e para extrair um sinal de controle de backup, o segundo contro-lador sendo separado e independente do primeiro controlador;um segundo percurso acoplado ao segundo processador e con-figurado para a retransmissão do sinal de controle de backup, o segundopercurso sendo separado e independente do primeiro percurso;um primeiro atuador acoplado a uma superfície de controle deaeronave, o primeiro atuador tendo uma primeira eletrônica de atuador aco-plada ao primeiro percurso, a primeira eletrônica de atuador configurada pa-ra receber o sinal de controle primário e para determinar se o sinal de con-trole primário é válido; eum segundo atuador acoplado à superfície de controle de aero-nave, o segundo atuador tendo uma segunda eletrônica de atuador configu-rada para receber o sinal de controle primário e o sinal de controle de bac-kup e para determinar se o sinal de controle primário é válido;onde a segunda eletrônica de atuador é configurada para usar osinal de controle de backup para controle da superfície de controle de aero-nave, apenas se a primeira eletrônica de atuador e a segunda eletrônica deatuador determinarem que o sinal de controle primário não é válido.

24. Sistema de controle, de acordo com a reivindicação 23, queainda compreende:um enlace de status acoplado entre a primeira eletrônica de atu-ador e a segunda eletrônica de atuador;onde a segunda eletrônica de atuador recebe uma informaçãoatravés do enlace de status indicando se a primeira eletrônica de atuadordeterminou que o sinal de controle primário não é válido.

25. Sistema de controle, de acordo com a reivindicação 24, ondeo primeiro percurso compreende:um primeiro percurso primário acoplado entre o primeiro contro-lador e a primeira eletrônica de atuador e configurado para a retransmissãodo sinal de controle primário para a primeira eletrônica de atuador; eum segundo percurso primário acoplado entre o primeiro contro-lador e a segunda eletrônica de atuador e configurado para a retransmissãodo sinal de controle primário para a segunda eletrônica de atuador, o segun-do percurso primário sendo separado do primeiro percurso primário.

26. Método de controle de uma superfície de controle de aero-nave, que compreende:o recebimento de um sinal de controle primário em uma eletrôni-ca de atuador a partir de um primeiro processador, a eletrônica de atuadorsendo separada e independente do primeiro processador;o recebimento de um sinal de controle de backup na eletrônicade atuador a partir de um segundo processador, a eletrônica de atuadorsendo separada e independente do segundo processador;determinar se o sinal de controle primário é válido;a geração de um sinal de comando de atuador pela eletrônica deatuador, com base, pelo menos em parte, no sinal de controle primário, se osinal de controle primário for válido;a geração do sinal de comando de atuador pela eletrônica deatuador, com base, pelo menos em parte, no sinal de controle de backup, seo sinal de controle primário não for válido;a atuação de um atuador com base no sinal de comando de atu-ador para controle de uma superfície de controle de aeronave.

27. Método, de acordo com a reivindicação 26, que ainda com-preende a colocação do atuador em um modo seguro predeterminado, senem o sinal de controle primário nem o sinal de controle de backup foremválidos.

28. Método, de acordo com a reivindicação 26, que ainda com-preende:o recebimento de um sinal de feedback de posição de atuadorna eletrônica de atuador;onde:a geração do sinal de comando de atuador é baseada, pelo me-nos em parte, no sinal de feedback de posição de atuador e no sinal de con-trole primário, se o sinal de controle primário for válido; ea geração do sinal de comando de atuador é baseada, pelo me-nos em parte, no sinal de feedback de posição de atuador e no sinal de con-trole de backup, se o sinal de controle primário não for válido.

29. Método de operação de um sistema de controle de vôo, quecompreende:o recebimento de um sinal de controle primário em uma eletrôni-ca de atuador a partir de um primeiro processador, a eletrônica de atuadorsendo separada e independente do primeiro processador;o recebimento de um sinal de controle de backup na eletrônicade atuador a partir de um segundo processador, a eletrônica de atuadorsendo separada e independente do segundo processador;a transmissão de dados de validação de backup a partir da ele-trônica de atuador para o primeiro processador;a geração de um sinal de status de sistema de controle de bac-kup com base, em pelo menos em parte, nos dados de validação de backup;a geração de um sinal de comando de atuador pela eletrônica deatuador, com base, pelo menos em parte, em pelo menos um dentre o sinalde controle primário ou o sinal de controle de backup;a atuação de um atuador com base no sinal de comando de atu-ador para controle de uma superfície de controle de aeronave.

30. Método, de acordo com a reivindicação 29, onde os dadosde validação de backup incluem o sinal de controle de backup.

31. Método, de acordo com a reivindicação 29, que ainda com-preende:a geração dos dados de validação de backup em um gerador dedados de validação no primeiro controlador;a transmissão dos dados de validação de backup através de umprimeiro enlace de dados entre o primeiro processador e o segundo proces-sador; ea inclusão dos dados de validação de backup no sinal de contro-le de backup recebido pela eletrônica de atuador.

32. Método, de acordo com a reivindicação 31, que ainda com-preende:a comparação dos dados de validação de backup transmitidospara o segundo processador através do primeiro enlace de dados;onde o sinal de status de sistema de controle de backup é base-ado, pelo menos em parte, na comparação dos dados de validação de bac-kup transmitidos para o segundo processador e nos dados de validação debackup recebidos a partir da eletrônica de atuador.

33. Método de controle de uma superfície de controle de aero-nave, que compreende:o recebimento de um sinal de controle primário em uma primeiraeletrônica de atuador a partir de um primeiro processador, a eletrônica deatuador sendo separada e independente do primeiro processador;o recebimento do sinal de controle primário em uma segundaeletrônica de atuador a partir do primeiro processador, a segunda eletrônicade atuador sendo separada e independente do primeiro processador;o recebimento de um sinal de controle de backup na segundaeletrônica de atuador a partir de um segundo processador, a segunda ele-trônica de atuador sendo separada e independente do segundo processador;determinar se o sinal de controle primário é válido na primeiraeletrônica de atuador;determinar se o sinal de controle primário é válido na segundaeletrônica de atuador;a geração de um primeiro sinal de comando de atuador na pri-meira eletrônica de atuador, com base, pelo menos em parte, no sinal decontrole primário, se a primeira eletrônica de atuador determinar que o sinalde controle primário é válido;a geração de um segundo sinal de comando de atuador na se-gunda eletrônica de atuador, com base, pelo menos em parte, no sinal decontrole primário, se a segunda eletrônica de atuador determinar que o sinalde controle primário é válido;a geração do segundo sinal de comando de atuador na segundaeletrônica de atuador, com base, pelo menos em parte, no sinal de controlede backup, se a primeira eletrônica de atuador e a segunda eletrônica deatuador determinarem que o sinal de controle primário não é válido;a atuação de um primeiro atuador com base no primeiro sinal decomando de atuador para controle de uma superfície de controle de aerona-ve; ea atuação de um segundo atuador com base no segundo sinalde comando de atuador para controle da superfície de controle de aeronave.

34. Método, de acordo com a reivindicação 33, que ainda com-preende:a transmissão de uma informação de status através de um enla-ce de status entre a primeira eletrônica de atuador e a segunda eletrônica deatuador;determinar na segunda eletrônica de atuador se a primeira ele-trônica de atuador determinou que o sinal de controle primário não é válido,com base, pelo menos em parte, na informação de status.