BRPI0903961A2 - sistema de gerenciamento de armazenamento - Google Patents

Abstract

SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO. é provido um sistema de gerenciamento de armazenamento (SMS) (114). O SMS inclui uma estação tripulada incluindo um codificador de mensagem de controle de braço mestre (130), um primeiro codificador de mensagem de controle critica (132), e um segundo codificador de mensagem de controle crítica (134), uma plataforma não tripulada incluindo um decodificador de mensagem de controle de braço mestre (174), um primeiro decodificador de mensagem de controle crítica (176), e um segundo decodificador de mensagem de controle crítica (178), e um enlace de dados (112) entre a estação tripulada e a plataforma não tripulada. O enlace de dados (112) é configurado para transmitir uma mensagem de controle de braço mestre (160) a partir do codificador de mensagem de controle de braço mestre para o decodificador de mensagem de controle de braço mestre, transmitir uma primeira mensagem de controle crítica (400) a partir do primeiro codificador de mensagem de controle crítica para o primeiro decodificador de mensagem de controle crítica, e transmitir uma segunda mensagem de controle crítica (500) a partir do segundo codificador de mensagem de controle crítica para o segundo decodificador de mensagem de controle crítica.

Description

"SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO"

Campo Da Invenção

O campo da invenção se refere geralmente a um sistema degerenciamento de armazenamento, e mais especificamente, a um sistema degerenciamento de armazenamento que pode ser usado com uma plataformanão tripulada.

Antecedentes Da Invenção

Ao menos um sistema de gerenciamento de armazenamento(SMS) conhecido é usado com plataformas e/ou veículos tripulados, tal comouma aeronave tripulada. Tal SMS inclui controles de ligação física quepermitem que o piloto controle as armas montadas no veículo, e facilita agarantia de que uma arma não seja disparada inadvertidamente. Por exemplo,um SMS conhecido inclui um comutador de Braço mestre que é conectadofisicamente aos paióis no veículo. O comutador de braço mestre é usado paraarmar ou desarmar todas as armas no veículo. Além disso, o SMS conhecidoinclui também um comutador de gatilho que é conectado fisicamente a cada umdas armas no veículo para habilitar o disparo seletivo de ao menos uma dasarmas após as armas terem sido armadas. Consequentemente, o SMSconhecido utiliza eventos discretos de hardware, acionados diretamente a partirdos comutadores da cabine, para permitir bloqueios de hardware no SMS e/ouno equipamento de liberação e suspensão de armazenamento. Tais bloqueiosnormalmente são independentes de quaisquer processos de software no SMSe, assim proporcionam uma via de controle independente para minorar osriscos de software.

Adicionalmente, em ao menos algumas plataformas não-tripuladas conhecidas, tais como veículos não-tripulados que incluemplataformas SMS não-tripuladas, toda a informação de comando e controle étransmitida através de um enlace de dados a partir de uma estação terrestrepara o veículo não-tripulado. Tal protocolo proporciona um único bloqueio dehardware para as funções críticas de todas as armas. Em tal plataforma SMS,não é possível implementar bloqueios de ligação física direta entre as ações deum operador em uma estação terrestre, tal como seleção dos estados dearmamento e/ou ação de apertar os comutadores de gatilho, e o SMS não-tripulado. Como tal, em tais sistemas SMS, um fenômeno transitório desoftware pode afetar adversamente o SMS não-tripulado e/ou fazer com que oSMS não-tripulado realize ações não autorizadas. Adicionalmente, talcomunicação implementada por enlace de dados pode ser complexa e/oudispendiosa em termos de análise, em comparação com os SMSs tripulados,de conexão física de plataformas tripuladas.

Consequentemente há a necessidade de estender a abordagemde segurança tripulada aos sistemas de gerenciamento de armazenamento emplataformas tripuladas para SMS não-tripulado em plataformas não-tripuladas.Além disso, há a necessidade de garantir bloqueios independentes e quepodem ser analisados para um SMS não-tripulado em uma plataforma não-tripulada com um nível de garantia equivalente a um nível de garantia em umSMS tripulado em uma plataforma tripulada.

Breve descrição da invenção

Em uma modalidade, é provido um método para controlar umaplataforma não tripulada a partir de uma estação tripulada. O método incluitransmitir uma mensagem de controle de braço mestre a partir da estaçãotripulada para a plataforma não tripulada por intermédio de uma primeira via decontrole, transmitir uma primeira mensagem de controle crítica a partir daestação tripulada para a plataforma não tripulada por intermédio de umasegunda via de controle que é independente da primeira via de controle, etransmitir uma segunda mensagem de controle crítica a partir da estaçãotripulada para a plataforma não tripulada por intermédio de uma terceira via decontrole que é diferente da primeira via de controle e da segunda via decontrole.

Em outra modalidade, é provido um sistema de gerenciamento dearmazenamento (SMS). O SMS inclui uma estação tripulada incluindo umcodificador de mensagem de controle de braço mestre, um primeiro codificadorde mensagem de controle crítica, e um segundo codificador de mensagem decontrole crítica. O SMS inclui também uma plataforma não tripulada incluindoum decodificador de mensagem de controle de braço mestre, um primeirodecodificador de mensagem de controle crítica e um segundo decodificador demensagem de controle crítica. O SMS inclui um enlace de dados entre aestação tripulada e a plataforma não tripulada. O enlace de dados éconfigurado para transmitir uma mensagem de controle de braço mestre apartir do codificador de mensagem de controle de braço mestre para odecodificador de mensagem de controle de braço mestre, transmitir umaprimeira mensagem de controle crítica a partir do primeiro codificador demensagem de controle crítica para o primeiro decodificador de mensagem decontrole crítica, e transmitir uma segunda mensagem de controle crítica a partirdo segundo codificador de mensagem de controle crítica para o segundodecodificador de mensagem de controle crítica.

Em ainda outra modalidade, é provido um protocolo para controlaruma plataforma não tripulada. O protocolo inclui uma primeira via de controleincluindo um codificador de mensagem de controle de braço mestre emcomunicação com um decodificador de mensagem de controle de braçomestre, uma segunda via de controle incluindo um primeiro codificador demensagem de controle crítica em comunicação com um primeiro decodificadorde mensagem de controle crítica, e uma terceira via de controle incluindo umsegundo codificador de mensagem de controle crítica em comunicação com umsegundo decodificador de mensagem de controle crítica. Os codificadoresestão dentro de uma estação tripulada re mota e os decodificadores estãodentro da plataforma não tripulada.

As modalidades aqui descritas utilizam três vias independentes decontrole e/ou processos de controle para controlar a liberação dos paióis apartir de uma plataforma não tripulada. Além disso, cada via e/ou processo decontrole inclui hardware e/ou software que é independentemente do hardwaree/ou software em qualquer outra via e/ou processo de controle e a partir deoutros componentes e/ou elementos de um SMS. Como tal, as modalidadesaqui descritas facilitam o aumento da confiabilidade e segurança de umaplataforma não tripulada tendo armas armazenadas na mesma, emcomparação com as vias e/ou processos de controle sem fio conhecidos paracontrolar a liberação dos paióis a partir de uma plataforma não tripulada.

Breve Descrição Das Figuras

A Figura 1 é uma vista esquemática de um protocolo exemplarque pode ser usado com ao menos uma estação terrestre e um veículo nãotripulado.

A Figura 2 é um diagrama de mensagem de status e controle debraço mestre exemplar que pode ser usada com o protocolo mostrado naFigura 1.

A Figura 3 é um diagrama de blocos de um processo de braçomestre exemplar que pode ser usado com o protocolo mostrado na Figura 1.

A Figura 4 é um diagrama de uma primeira mensagem de controlecrítica exemplar que pode ser usada com o protocolo mostrado na Figura 1.

A Figura 5 é um diagrama de uma segunda mensagem decontrole crítica exemplar que pode ser usada com o protocolo mostrado naFigura 1.

A Figura 6 é um diagrama de uma seqüência de controleexemplar que pode ser realizada utilizando-se o protocolo mostrado na Figura1.

Descrição Detalhada Da Invenção

As modalidades aqui descritas funcionam medianteestabelecimento de um protocolo, ou sistema de gerenciamento dearmazenamento global (SMS), para sincronizar um estado de múltiplosprocessos de decisão de hardware e software em uma estação de controleterrestre (SMS) e em uma SMS não tripulada. Mais especificamente, oprotocolo e/ou o SMS aqui descritos utilizam múltiplos processos de controle,baseados em hardware independente no SMS não tripulado, tal como osprocessos VERMELHO, VERDE e AZUL, e/ou vias de controle descritas emmais detalhe abaixo, todos os quais cooperam para estabelecer umaautoridade de controle e ações de controle, criteriosas, específicas, solicitadaspela estação terrestre a uma plataforma não tripulada tendo o SMS nãotripulado. Conforme aqui usado, os termos "VERMELHO", "VERDE", e "AZUL"são usados apenas para distinguir três diferentes vias de controle e/ouprocessos e não se referem especificamente a uma cor. Como tal, as três viasde controle e/ou processos separados podem ser denotados por qualquernomenclatura adequada, tal como, por exemplo, primeira via/processo decontrole, segunda via/processo de controle, e terceira via/processo de controle.

Na modalidade exemplar, o protocolo de sincronização provê ummecanismo independente de canal e independente de software parasincronizar um estado dos processos de controle de estação terrestre com osprocessos de controle de veículo não tripulado, correspondentes.Adicionalmente, o protocolo aqui descrito provê uma forte correlação temporalentre as mudanças no estado de um par de processos, por exemplo, umatransição a partir de um status "Inativo" para "Ativo" para o processo AZUL, ecomandos correspondentes para os outros processos de controle, para facilitara prevenção de entrega de comando desordenado a partir de um canal dedados subjacente.

Além disso, o protocolo aqui descrito provê um mecanismo deautenticação para garantir que a sincronização entre a estação terrestre e osprocessos não tripulados seja realizada apenas quando condiçõesespecificadas forem satisfeitas para facilitar a prevenção de entregaequivocada de comandos de sincronização pelo canal de dados subjacente.Tal autenticação pode ser estendida para garantir que apenas condiçõesespecificadas do hardware de controle terrestre possam autenticar para ohardware não tripulado. Mais especificamente, o protocolo inclui ummecanismo para garantir que os processos de hardware não tripuladosmudarão de forma autônoma para um estado seguro, ou estado à prova defalha, se ocorrer uma perda de comunicação, e/ou erros na sincronização.

Adicionalmente, o protocolo aqui descrito inclui um mecanismopara uso em sincronizar precisamente a execução de ações cruciais pelo SMSnão tripulado de acordo com o Conceito de Operações de PlataformaEspecífica (CONOPS) e doutrina, de tal modo que diferentes classes de açõescruciais têm diferentes disciplinas de execução para garantir liberação precisade paióis, independente dos retardos de rede presentes em um canal decontrole entre a estação terrestre e os elementos não tripulados.

As modalidades aqui descritas estendem o uso de bloqueios dehardware usados em plataformas tripuladas para a geração de mensagens decontrole crítica para paióis individuais dentro do SMS não tripulado. Talextensão é aplicável aos SMSs instalados nas plataformas tripuladas e/ou nãotripuladas. Conforme aqui descrito, cada processo no SMS não tripulado temum processo correspondente no SMS de estação terrestre tripulada, e sãocontroladas diretamente utilizando bloqueios de hardware discretos, conformesão similarmente usados com uma plataforma tripulada. Mais especificamente,as modalidades aqui descritas utilizam um subconjunto dos processos decontrole de hardware VERMELHO/VERDE/AZUL para gerar somas deverificação robustas, conforme definido pelos padrões aplicáveis para controlede armas e Documentos de Controle de Interface de Armas Individuais, para assolicitações de controle crítica expedidas por um Programa de Voo OperacionalSMS (OFP). Como tal, cada um dos processos de controle de hardware aquidescritos avalia independentemente o estado dos bloqueios de plataforma e/ouqualquer outra informação de segurança relevante. Consequentemente, umasoma de verificação adequada é expedida apenas se todas as condições desegurança relevantes forem satisfeitas.

Consequentemente, as modalidades aqui descritas estendem umnível granulado fino de bloqueios baseados em hardware para um aspecto deSMS que tradicionalmente tem estado sob controle exclusivo de software,minorando, assim, os potenciais riscos de software, aumentando o nível degarantia de segurança total do sistema, e reduzindo a necessidade de teste evalidação de garantia de software, dispendiosos. Exemplos de políticas debloqueio granulado fino disponíveis incluem, mas não são limitados a incluir oseguinte: (a) bloquear individualmente todos os possíveis comandos decontrole crítica para um armazenamento utilizando diferentes equações debloqueio, e (b) bloquear comandos de controle crítica para múltiplos paióis parafazer cumprir em hardware as políticas de sincronismo e sequenciação que, emabordagens tradicionais, estariam sob controle exclusivo de software.

As Figuras 1-6 ilustram um protocolo exemplar para controlar umaplataforma não tripulada a partir de uma plataforma tripulada, remota. Oprotocolo exemplar é considerado como sendo um SMS global que inclui umSMS na plataforma não tripulada e um SMS na plataforma tripulada. Namodalidade exemplar, o protocolo é usado para controlar uma aeronave nãotripulada tendo um SMS não tripulado na mesma a partir de uma estaçãoterrestre tripulada tendo na mesma um SMS tripulado. Será entendido poraqueles de conhecimento comum na técnica que o protocolo descrito aqui podeser usado com qualquer SMS tripulado e SMS não tripulado que estejam emcomunicação, e a presente invenção não é limitada a apenas aquelasmodalidades aqui descritas.

A Figura 1 ilustra uma vista esquemática de um protocoloexemplar 100 que pode ser usado com ao menos uma estação terrestre 102 eum veículo não tripulado 104. Opcionalmente, na modalidade exemplar, oprotocolo 100 inclui também uma estação de controle de braço mestre,separada 106. O protocolo 100 é um SMS global que inclui ao menos um SMSna estação terrestre 102 e um SMS no veículo não tripulado 104. Namodalidade exemplar, a estação terrestre 102 é operada por pessoal humanopara controlar veículo não tripulado 104. Como tal, a estação terrestre 102 éconsiderada como sendo uma "plataforma tripulada". A estação terrestre 102pode estar localizada dentro de uma área de operação de veículo não tripulado104 ou pode ser remota a partir da arena de operação. Na modalidadeexemplar, a estação terrestre 102 está localizada remota a partir da arena deoperação. Além disso, o veículo não tripulado 104 pode ser qualquer veículoe/ou plataforma não tripulado adequado que inclui no mesmo umarmazenamento de armas. Na modalidade exemplar, o veículo não tripulado104 é um veículo de combate aéreo não tripulado (UCAV). Dentro do presentepedido, os termos "veículo não tripulado", "plataforma não tripulada", "veículotransportado pelo ar", "UCAV", e/ou termos similares são usados aqui de formapermutável, embora seja entendido que as descrições presentes do protocolo100 podem ser estendidas para uso do protocolo 100 com qualquer plataformatripulada e/ou não tripulada adequada. Na modalidade exemplar, o protocolo100 inclui uma estação de controle de braço mestre, opcional, separada 106. Aestação de controle de braço mestre, separada 106 pode estar localizadadentro da arena de operação do veículo não tripulado 10 4 ou pode estarlocalizada distante da arena de operação. Na modalidade exemplar, a estaçãode controle de braço mestre, separada 106 está localizada dentro da arena deoperação, mas está distante do UCAV 104.

O UCAV 104, na modalidade exemplar, inclui um sistema degerenciamento de armazenamento (SMS) 108, também referido aqui como umSMS não tripulado. Como tal, o UCAV 104 é considerado como sendo umaplataforma SMS não tripulada. A estação terrestre 102 inclui também um SMS110. O SMS 110 também é referido aqui como um SMS tripulado e/ou um SMSde estação terrestre. O SMS não tripulado 108 e o SMS de estação terrestre110 estão em comunicação por intermédio de um enlace de dados 112. Namodalidade exemplar, a estação de controle de braço mestre, separada 106inclui um SMS 114. O SMS 114 também é referido aqui como um SMStripulado e/ou como um SMS de braço mestre. O SMS não tripulado 108 e oSMS de braço mestre 114 estão em comunicação por intermédio de um enlacede dados secundários 116. Na modalidade exemplar, os enlaces de dados 112e 116 são implementados utilizando-se uma antena de transmissão/recepção118 em um SMS tripulado respectivo 110 ou 114 e uma antena detransmissão/recepção 120 no UCAV 104 para enviar e receber sinais deradiofreqüência (RF) 122. Alternativamente, os enlaces de dados 112 e/ou 116são implementados utilizando qualquer enlace de dados de comunicação semfio, adequado.

O SMS de estação terrestre 110 inclui, na modalidade exemplar,um comutador de braço mestre 124, um comutador de gatilho ou comutador deliberação 126, um display de operador 128, um codificador de controle de braçomestre 130, um primeiro codificador de controle crítica 132, um segundocodificador de controle crítica 134, um montador de mensagem de controleSMS 136, e o enlace de dados 112. Os comutadores, 124 e 126, sãocontrolados individualmente por interação humana 138. A mesma pessoa oudiferentes pessoas podem prover interação humana 138 para controlar ocomutador 124 e/ou comutador 126. Por exemplo, quando o operador humanocomuta o comutador de braço mestre 124 para LIGADO a partir deDESLIGADO, ou para ARMAR a partir de SEGURANÇA, ou para DESLIGADOa partir de LIGADO, ou para SEGURANÇA a partir de ARMAR, o comutador124 gera um sinal de controle de braço mestre 140 que é transferido para ocodificador de controle de braço mestre 130.

Adicionalmente, quando o operador humano move o comutadorde gatilho 126 para LIGADO a partir de DESLIGADO, ou para DESLIGADO apartir de LIGADO, o comutador 126 gera um primeiro sinal de controle crítica142 e um segundo sinal de controle crítica 144, que contém individualmente amesma informação, e que são transferidos para o primeiro codificador decontrole crítica 132 e para o segundo codificador de controle crítica 134,respectivamente. Quando mais do que uma arma 146 deve ser liberada, oprimeiro e o segundo sinal de controle crítica 142 e 144 são gerados para cadaarma 146 a ser liberada. Na modalidade exemplar, o display de operador 128 éum display baseado em computador que habilita ao menos uma pessoa acontrolar os comutadores 124 e/ou 126, e/ou o SMS 110 e/ou 108. Maisespecificamente, o display de operador 128 provê uma interface de operador148 para uso na seleção de um UCAV 104, uma arma 146, e/ou um alvo, egera dados de seleção verdadeiros 150 com base nas seleções do operadorhumano. Mais especificamente, os dados de seleção verdadeiros 150 sãocodificados em mensagens de controle crítica 400 e 500 por intermédio deprimeiro e segundo codificador de controle crítica 132 e 134, conforme descritoem mais detalhe abaixo.

Na modalidade exemplar, o codificador de controle de braçomestre 130 se comunica com o comutador de braço mestre 124 para codificaruma mensagem de controle de braço mestre 200. A mensagem de controle200 é descrita em mais detalhe abaixo com relação às Figuras 2 e 3. Conformeusado aqui, a via e/ou processo de controle "AZUL" é uma via e/ou processo decontrole de braço mestre para uso na ação de armar e/ou desarmar todas asarmas 146 acopladas dentro do UCAV 104. Como tal, na modalidade exemplar,o codificador de controle de braço mestre 130 também é referido aqui comocodificador AZUL e a mensagem de controle de braço mestre 200 também éreferida aqui como mensagem de controle AZUL. Na modalidade exemplar, ocodificador 130 é um arranjo de portas programáveis no campo, independente(FPGA) que inclui uma pluralidade de portas lógicas programadas.

Alternativamente, o codificador 130 é software em um microprocessadordedicado. Como tal, o codificador 130, como um FPGA ou como software emum microprocessador dedicado, é simples de analisar, em comparação comsoftware interdependente. Na modalidade exemplar, a mensagem de controleAZUL 200 inclui um sinal que inclui informação codificada relacionada às açõesa serem implementadas após o operador humano ter feito uma seleção.

Na modalidade exemplar, o primeiro codificador de controle crítica132 se comunica com o comutador de gatilho 126 e display de operador 128para codificar uma primeira mensagem de controle crítica 400. A mensagem decontrole 400 é descrita em mais detalhe abaixo com relação à Figura 4.

Conforme aqui usado, a via e/ou processo de controle "VERMELHO" é umaprimeira via e/ou processo de controle crítica para uso no controle das açõesde visar o alvo e sincronismo da arma 146, e, como tal, o primeiro codificadorde controle crítica 132 também é referido aqui como codificador VERMELHO ea primeira mensagem de controle crítica 400 também é referida aqui comomensagem de controle VERMELHO. Na modalidade exemplar, o codificador132 é um FPGA independente que inclui uma pluralidade de portas lógicasprogramadas. Alternativamente, o codificador 132 é software em ummicroprocessador dedicado. Como tal, o codificador 132, como um FPGA oucomo um software em um microprocessador dedicado, é relativamente simplesde analisar, em comparação com software interdependente. Na modalidadeexemplar, a mensagem de controle VERMELHO 400 inclui um sinal quecodificou informação associada com as ações a serem implementadas após ooperador humano ter feito uma seleção.

Na modalidade exemplar, o segundo codificador de controlecrítica 134 se comunica com o comutador de gatilho 126 e o display deoperador 128 para codificar uma segunda mensagem de controle crítica 500.Mais especificamente, na modalidade exemplar, a segunda mensagem decontrole crítica 5 00 contém a mesma informação de controle crítica que aprimeira mensagem de controle crítica 400 de tal modo que a mesmainformação de controle crítica é codificada duas vezes. A mensagem decontrole 500 é descrita em mais detalhe abaixo com relação à Figura 5.Conforme usado aqui, a via e/ou processo de controle "VERDE" é umasegunda via e/ou processo de controle crítica para controlar a ação de visar oalvo e de sincronismo da arma 146 e, como tal, o segundo codificador decontrole crítica 134 também é referido aqui como codificador VERDE e asegunda mensagem de controle crítica 500 também é referida aqui comomensagem de controle VERDE. Na modalidade exemplar, o codificador 134 éum FPGA independente que inclui várias portas lógicas programadas.Alternativamente, o codificador 134 é software em um microprocessadordedicado. Como tal, o codificador 134, como um FPGA ou como software emum microprocessador dedicado, é relativamente simples de analisar, emcomparação com o software interdependente. Na modalidade exemplar, amensagem de controle VERDE 500 inclui um sinal que tem informaçãocodificada relacionada às ações a serem implementadas após o operadorhumano ter feito uma seleção.

O display de operador 128 é acoplado em comunicação com ocodificador VERMELHO 132, codificador VERDE 134, e montador demensagem de controle SMS 136. Na modalidade exemplar, dados de seleçãoverdadeiros 150 são transferidos a partir do display de operador 128 para oscodificadores 132 e 134 e para o montador 136 para habilitar a codificação dedados de seleção 150 em mensagens de controle crítica 400 e 500 e parahabilitar a montagem dos dados de seleção 150 em uma mensagem decontrole SMS 152. Mais especificamente, o montador 136 recebe a mensagemde controle AZUL 200, mensagem de controle VERMELHO 400, mensagem decontrole VERDE 500, e dados de seleção 150, e em resposta, monta asmensagens 200, 400, e 500 e os dados 150 na mensagem de controle SMS152. A mensagem de controle SMS 152 é transferida para o UCAV 104 porintermédio do enlace de dados 112.

Na modalidade exemplar, a estação de controle de braço mestre,separada, 106, inclui um comutador de braço mestre secundário 154, umcodificador de controle de braço mestre secundário 156, e enlace de dadossecundário 116. O comutador 154 é controlado por interação humana 138.Quando um operador gira o comutador de braço mestre 154 para LIGADO apartir de DESLIGADO, ou para DESLIGADO a partir de LIGADO, o comutador154 gera um sinal de controle de braço mestre secundário 158 que étransmitido para o codificador de controle de braço mestre secundário 156.Mais especificamente, o codificador de controle de braço mestre secundário156 se comunica com o comutador de braço mestre secundário 154 e codificauma mensagem de controle de braço mestre, secundária, 160. A mensagem decontrole de braço mestre, secundária 160 é geralmente similar à mensagem decontrole AZUL 200. A mensagem de controle de braço mestre, secundária 160é transmitida pelo enlace de dados secundário 116 para o UCAV 104.

O comutador de braço mestre secundário 154, o codificador decontrole de braço mestre secundário 156 e a mensagem de controle de braçomestre, secundária 160 são considerados como parte do processo e/ou via decontrole AZUL porque o comutador 154, codificador 156, e a mensagem decontrole 160 são usados para armar e/ou desarmar todas as armas 146acopladas ao UCAV 104. Mais especificamente, a mensagem de controle debraço mestre, secundária 160 pode cancelar a mensagem de controle mestre200. Por exemplo, quando a estação de controle de braço mestre 106 estádentro da arena de operação, a estação terrestre 102 está distante da arena deoperação, um operador na estação de controle de braço mestre 106 pode estarciente das condições em que um operador na estação terrestre 102 pode nãoestar ciente de, e como tal, o operador na estação de controle de braço mestre,separada 106 pode cancelar um comando de armar ou desarmar expedido pelooperador humano na estação terrestre 102 com a mensagem de controle AZULsecundária 160. Alternativamente, o protocolo 100 não inclui a estação decontrole de braço mestre, separada 106, e o UCAV 104 é controlado apenaspor um operador humano na estação terrestre 102. Na modalidade exemplar, ocodificador 156 é um FPGA independente que inclui uma pluralidade de portaslógicas programadas. Alternativamente, o codificador 156 é software em ummicroprocessador dedicado. Como tal, o codificador 156, como um FPGA oucomo software em um microprocessador dedicado, é simples de analisar, emcomparação com software interdependente.

Na modalidade exemplar, a antena UCAV 120 recebe amensagem de controle SMS 152 e/ou mensagem de controle de braço mestre,secundária 160. A antena 120 transmite uma mensagem de status 300 para aestação terrestre 102 e/ou para a estação de controle de braço mestre 106. Amensagem de status 300 é descrita em mais detalhe abaixo com relação àFigura 2. Na modalidade exemplar, a mensagem de controle SMS 152 e/ou amensagem de controle de braço mestre, secundária 160 são usadas dentro doSMS de UCAV 108 para controlar as armas 146 acopladas ao UCAV 104. Maisespecificamente, a mensagem de controle SMS 152 é transferida para o SMS108 por intermédio de um barramento aviônico 162. A mensagem de controleSMS 152 também é transferida para o SMS 108 por intermédio de bloqueios deconexão física de plataforma 154 para decodificadores de mensagem,conforme descrito em mais detalhe abaixo. Bloqueios de conexão física 164são substancialmente similares aos bloqueios de conexão física, usados dentrode uma plataforma tripulada e proporcionam três bloqueios independentes paratransferir as mensagens para os decodificadores de mensagem. Além disso,em uma modalidade alternativa, a mensagem de controle AZUL 200 e/ou 160pode ser opcionalmente transferida para o SMS de UCAV 108 por intermédiode um enlace de dados de braço mestre dedicado 166. Mais especificamente,um UCAV alternativo inclui uma pluralidade de antenas e receptores de talmodo que o enlace de dados de braço mestre 166 é dedicado à mensagem decontrole AZUL 200 e barramento aviônico 162 é dedicado à mensagem decontrole VERMELHO 400 e a mensagem de controle VERDE 500.

Na modalidade exemplar, bloqueios de conexão física, opcionais164 facilitam a integração das capacidades de plataforma não tripulada com oSMS de estação terrestre 102. Mais especificamente, dependendo dascaracterísticas e/ou capacidades do UCAV 104, informação adicionalrelacionada às características e/ou capacidade da plataforma de UCAV 104são transmitidas a partir de hardware no UCAV 104 para o SMS de UCAV 108.Por exemplo, se o UCAV 104 inclui um compartimento tendo portas que seabrem para liberar uma arma, eventos discretos individuais relacionados aostatus das portas são transmitidos pelos bloqueios de ligação física 164 para oSMS 108. Os decodificadores 174, 176, e/ou 178 recebem os eventosdiscretos. Se os eventos discretos indicarem que as portas estão fechadas, osdecodificadores 174, 176, e/ou 178 são impedidos de liberar uma arma 146.Como tal, os eventos discretos individuais transmitidos pelos bloqueios deligação física 146 são específicos para um tipo de um UCAV 104 e inibem oupermitem uma ação pelo SMS 108 dependendo do status do hardware e/ousoftware de UCAV diferente do SMS 108.

O uso da mensagem de controle SMS 152 para controlar asarmas 146 é descrito aqui, mas será entendido que uma descrição similar seaplica quando a mensagem de controle de braço mestre, secundária 160 éutilizada para controlar as armas 146. Contudo, apenas a mensagem decontrole de braço mestre, secundária 160 realiza as funções AZUL, descritasabaixo. Na modalidade exemplar, o SMS 108 inclui um desmontador demensagem de controle SMS 168, um processador SMS e OFP 170,barramentos de dados de armas e/ou enlaces 172, um decodificador decontrole de braço mestre 174, um primeiro decodificador de controle crítica176, um segundo decodificador de controle crítica 178, um comutador debarramento de energia 180, um primeiro transistor de controle crítica 182, e umsegundo transistor de controle crítica 184. Adicionalmente, ao menos umaarma 146 é acoplada ao UCAV 104 utilizando equipamento de suspensão eliberação de arma incluindo controles criteriosos de interface de arma 186. Oequipamento de suspensão e liberação de armas incluindo controles criteriososde interface de arma 186 também é referido aqui como controlador de carga útilde armazenamento (SPC). O UCAV 104 inclui um SPC 186 para cada arma186 armazenada no mesmo. O decodificador de controle de braço mestre 174é considerado parte da via e/ou processo de controle AZUL, e também podeser referido aqui como decodificador AZUL. O primeiro decodificador decontrole crítica 176 é considerado parte da via e/ou processo de controleVERMELHO e pode ser referido aqui como decodificador VERMELHO. Osegundo decodificador de controle crítica 178 é considerado parte da via e/ouprocesso de controle VERDE e pode ser referido aqui como decodificadorVERDE.Na modalidade exemplar, o desmontador 168 é acoplado emcomunicação com o barramento aviônico 162, decodificadores 174, 176 e 178,e processador SMS e OFP 170. O processador SMS e OFP 170 são acopladosem comunicação com o desmontador 168, com decodificadores de controlecrítica 176 e 178 com barramentos/enlaces de dados de armas 172. Osbarramentos/enlaces de dados de armas 172 são acoplados em comunicaçãocom as armas 146 através de uma interface de dados de armas 188.Adicionalmente, na modalidade exemplar, o decodificador AZUL 174 éacoplado em comunicação com bloqueios de ligação física 164 e com enlacede dados de braço mestre dedicado opcional 166 para receber eventosdiscretos individuais e mensagem de controle AZUL 200, respectivamente.Similarmente, o decodificador VERMELHO 176 é acoplado em comunicaçãocom os bloqueios de ligação física 164 para receber eventos discretosindividuais, e o decodificador VERDE 178 é acoplado em comunicação com osbloqueios de ligação física 164 para receber eventos discretos individuais.

Além disso, na modalidade exemplar, o decodificador AZUL 174 éacoplado em comunicação com o comutador de barramento de energia 180,decodificador VERMELHO 176 e acoplado em comunicação com o primeirotransistor 182, e o decodificador VERDE 178 é acoplado em comunicação como segundo transistor 184. O comutador de barramento de energia 180 inclui umintervalo 190, que é fechado e/ou aberto com base na mensagem de controleAZUL 200. O primeiro transistor 182 também pode ser referido aqui comotransistor VERMELHO, e o segundo transistor 184 também pode ser referidoaqui como transistor VERDE. Além disso, na modalidade exemplar, o SMS deUCAV 108 inclui um número η de transistores VERMELHO 182 e um número ηde transistores VERDE 184, em que η é igual ao número de estações de armasno UCAV 104. Mais especificamente, um transistor VERMELHO 182 e umtransistor VERDE 184 correspondem a cada estação de armas para uso nocontrole das armas anexadas na mesma. Quando mais do que uma arma 146deve ser liberada, uma mensagem de controle VERMELHO, separada 400 étransmitida para cada transistor VERMELHO 182 correspondendo às armasselecionadas e uma mensagem de controle VERDE separada 500 étransmitida para cada transistor VERDE 184 correspondendo às armasselecionadas.

Na modalidade exemplar, o comutador de barramento de energia180 é acoplado em série com o transistor VERMELHO 182 e com o transistorVERDE 184. Como tal, o comutador 180, o transistor 182, e o transistor 184funcionam como uma porta lógica E. Mais especificamente, o comutador 180, otransistor 182, e o transistor 184 funcionam como a porta lógica "AZUL EVERMELHO E VERDE" de tal modo que cada comutador 180, transistor 182, etransistor 184 devem ser ativados para gerar um sinal de liberação 192 que étransmitido para um SPC correspondente 186 para liberar uma arma 146acoplada ao SPC 186. Como tal, se ocorrer um fenômeno transitório nocomutador 180, transistor 182, ou transistor 182, o SMS de UCAV 108 nãoliberará uma arma 146 sem os outros dois componentes estarem ativados.Além disso, devido à configuração do comutador 180, η transistoresVERMELHO 182, e η transistores VERDE 184, quando o comutador 180 éativado pela mensagem de controle AZUL 200, um operador humano e/ou umSMS 110 e/ou 108 pode detectar se um transistor 182 e/ou 184 está preso emuma posição LIGADO. Consequentemente, a configuração do comutador 180,dos η transistores, VERMELHO, 182, e η transistores VERDE 184 facilita umaanálise e/ou uma inspeção do protocolo 100.

Quando o UCAV 104 recebe a mensagem de controle SMS 152,na modalidade exemplar, a mensagem 152 é transmitida ao desmontador 168,por intermédio do barramento 162. A mensagem de controle SMS 152 édesmontada em mensagem de controle AZUL 200, mensagem de controleVERMELHO 400, e a mensagem de controle VERDE 500. O desmontador 168transmite a mensagem de controle SMS 152 para o processador SMS e OFP170 para confirmar um comando de solicitação. Mais especificamente, oprocessador SMS e OFP 170 executam um programa que valida que asmensagens de controle AZUL, VERMELHO e VERDE 200, 400, e 500,respectivamente, foram recebidas para comandar uma liberação de armas.Como tal, o processador SMS e OFP 170 provêem uma verificação deliberação posterior de um comando baseado em um estado de software daplataforma não tripulada 104.

Adicionalmente, na modalidade exemplar, o processador SMS eOFP 170 transmitem uma mensagem 194 para o decodificador VERMELHO176 e decodificador VERDE 178 para inibir, modificar, e/ou retardar umaliberação de arma, dependendo de um tipo de plataforma não tripulada. Porexemplo, quando o processador SMS e OFP 170 calculam quando liberar umaarma após receber as mensagens de controle 200, 400, e 500, conformedescrito abaixo, a mensagem 194 inibe a liberação das armas 146 até umtempo calculado e/ou permite que as armas 146 sejam liberadas no tempocalculado. Adicionalmente, o processador SMS e OFP 170 transmitem dadosoperacionais 196 para as armas 146 por intermédio dos barramentos/enlacesde dados de armas 172 e interface de dados de armas 188. Maisespecificamente, mensagens de controle 200, 400, e/ou 500 inclueminformação operacional, tal como informação de pontaria e/ou outra instruçãoadequada, que é usada por um armazenamento de armas, específico paraliberar uma arma 146. Tal informação é transmitida como dados operacionais196 a partir do processador SMS e OFP 170 para um armazenamento dearma, específico para controlar uma arma associada 146.

Adicionalmente, o desmontador 168 transmite mensagem decontrole AZUL 200 para o decodificador AZUL 174, mensagem de controleVERMELHO para o decodificador VERMELHO 176, e mensagem de controleVERDE 500 para o decodificador VERDE 178. A transmissão da mensagem decontrole AZUL 200 é descrita em mais detalhe abaixo com relação à Figura 3.Adicionalmente, uma seqüência de transmissão de mensagem de controleexemplar é descrita em mais detalhe abaixo com relação à Figura 6. Se odecodificador AZUL 174 recebe uma mensagem de controle AZUL 200 paraarmar as armas 146, o decodificador AZUL 174 ativa o comutador debarramento de energia 180 para fechar o intervalo 190. Quando o comutadorde barramento de energia 180 é ativado, as armas 146 estão prontas paraserem liberadas. Se o decodificador AZUL 174 recebe uma mensagem decontrole AZUL 200 para desarmar as armas 146, o decodificador AZUL 174desativa o comutador de barramento de energia 180 para abrir o intervalo 190de tal modo que as armas 146 não estão prontas para serem liberadas.Quando as armas 146 estão armadas e o SMS de UCAV 108 recebe asmensagens de controle VERMELHO e VERDE 400 e 500, o decodificadorVERMELHO 176 liga o transistor VERMELHO 182 para um SPC de estaçãoespecificada 186, no UCAV 104, e o decodificador VERDE 178 liga o transistorVERDE 184 para o mesmo SPC de estação especificada 186. Quando ocomutador 180 é ativado, e os transistores 182 e 184 estão ligados, o sinal deliberação 192 é transmitido ao SPC 186 para liberar uma arma correspondente 146.

Conforme descrito acima, na modalidade exemplar, o protocolo100 inclui três vias e/ou processos de controle para armar e liberar uma arma.Mais especificamente, o protocolo 100 inclui um processo de controle de braçomestre e/ou via de controle (AZUL) e dois processos e/ou vias de controlecríticos redundantes (VERMELHO e VERDE). Além disso, cada codificadorseparado 130, 132, e 134 na estação terrestre 102 é combinado com umdecodificador correspondente 174, 176, e 178, respectivamente, no UCAV 104.Cada conjunto de codificador/decodificador é independente dos outroscomponentes do protocolo 100 de tal modo que cada conjunto decodificador/decodificador não transmite erroneamente uma mensagem decontrole. Além disso, mediante uso dos conjuntos de codificador/decodificador,os componentes de segurança de SMS 108 e/ou 110 são independentes erelativamente simples de analisar e/ou testar.

A Figura 2 é um diagrama da mensagem de controle de braçomestre (AZUL) 200 e mensagem de status de braço mestre 300 que pode serusada com protocolo 100 (mostrado na Figura 1). A mensagem de status debraço mestre 300 também é referida aqui como mensagem de status AZUL.

Embora a mensagem de controle AZUL 200 e a mensagem de status AZUL300 sejam descritas aqui como parte das comunicações entre o UCAV 104(mostrado na Figura 1) e a estação terrestre 102 (mostrada na Figura 1), seráentendido que a mensagem de controle 200 e a mensagem de status 300 sãosubstancialmente similares para comunicações entre o UCAV 104 e a estaçãode controle de braço mestre, separada 106.

Na modalidade exemplar, a mensagem de controle AZUL 200inclui uma identificação de plataforma 202, um número serial 204, um campode comando 206, um campo de contagem 208, e uma palavra de verificação210. Mais especificamente, a identificação de plataforma 202 inclui os dadosque indicam qual tipo de UCAV deve receber a mensagem de controle AZUL200, e o número serial 204 inclui os dados que indicam qual UCAV específicodo tipo especificado deve receber a mensagem de controle AZUL 200. Ocampo Comando 206 inclui dados que indicam se armam e/ou desarmam oUCAV 104 e/ou para reinicializar o SMS de UCAV 108 (mostrado na Figura 1).

A palavra de verificação 210 é uma soma de verificação de elevada integridadepara garantir que qualquer erro na transmissão da mensagem de controleAZUL 200 não afete outros componentes do SMS de UCAV 108. O campoContagem 208 funciona como um temporizador.Mais especificamente, o campo contagem 208 inclui os dados queindicam se qualquer comunicação está em andamento entre o UCAV 104 e aestação terrestre 102. Na modalidade exemplar, quando a mensagem decontrole AZUL 200 arma o UCAV 104, o comutador de barramento de energia180 (mostrado na Figura 1) permanece ativado até que o UCAV 104 estejadesarmado, e/ou até que a mensagem de controle AZUL 200 expire, conformedescrito em mais detalhe com relação à Figura 3. O campo contagem 208periodicamente verifica a mensagem de controle AZUL 200 mediante ação deincrementar ascendentemente cada vez que a comunicação entre o UCAV 104e a estação terrestre 102 for detectada. Se a incrementação do campocontagem 208 parar, o SMS de UCAV 108 é notificado de que a transmissãoda mensagem de controle AZUL 200 a partir da estação terrestre 102 foiperdida. Todas as mensagens 200, 400, e 500 dentro do SMS de UCAV 108são reinicializadas de tal modo que as ações de UCAV 104 são abortadas.

Na modalidade exemplar, a mensagem de status AZUL 300 incluium status de intervalo 302, uma habilitação comandada 304, umareinicialização comandada 306, um contador de mensagens 308, umaidentificação de indicador 310, e uma indicador de sessão 312. O status deintervalo 302 inclui informação que indica se o intervalo 190 (mostrada naFigura 1) está aberta ou fechada, a habilitação comandada 304 incluiinformação que indica se o UCAV 104 está armado ou desarmado, e areinicialização comandada 306 inclui informação que indica se o SMS de UCAV108 foi reinicializado. O contador de mensagem 308 inclui informação queindica o incremento atual no campo contagem 208. Como tal, o contador demensagem 308 indica se a comunicação entre o UCAV 104 e a estaçãoterrestre 102 foi perdida ou está em andamento. A indicador de sessão 312inclui informação que indica um período durante o qual o UCAV 104 estáarmado. Mais especificamente, um indicador de sessão é gerado para cadaperíodo durante o qual o UCAV 104 está armado e um indicador de sessãocorrespondente é codificado dentro das mensagens de controle crítica 400 e500 (mostradas nas Figuras 4 e 5). Se o campo contagem 208 e/ou o contadorde mensagens 308 indicarem que a comunicação foi perdida porque ascontagens não correspondem, o indicador de sessão expira e o UCAV 104opera em um modo à prova de falha.

A Figura 3 é um diagrama de blocos de um processo de braçomestre exemplar 250 que pode ser usado com o protocolo 100 (mostrado naFigura 1). O processo 250 também é referido aqui como uma máquina deestado AZUL. A máquina de estado AZUL 250 pode executar em qualquerlugar dentro do SMS de UCAV 108 (mostrado na Figura 1), porém, namodalidade exemplar, a máquina de estado AZUL 250 funciona dentro do SPC186 (mostrado na Figura 1). Na modalidade exemplar, o processo 250 incluiuma série de mensagens de controle AZUL 200 (mostradas na Figura 2) quesão enviadas em uma freqüência predeterminada que facilita a ação de impedirque um temporizador expire. Como será entendido, os parâmetros detemporização usados com o processo 250 são de aplicação específica e estãosujeitos à sintonização.

Na modalidade exemplar, o processo 250 começa com o SMS deUCAV em um estado "Inativo" 252. O estado inativo 252 é obtido com a ligaçãodo UCAV e/ou após um Comando de Reinicialização a partir de qualquerestado. Durante o estado Inativo 252, saídas AZUL (BLUE_Out) são ajustadaspara DESLIGADO, e Indicador de Sessão (ST) é ajustada para 0x0000.Quando a mensagem de controle AZUL 200 é recebida pelo UCAV 104(mostrado na Figura 1), a máquina de estado 250 entra em 254 um estado"Gerando" 256 (ST_Gen) a partir do estado Inativo 252 se a mensagem decontrole AZUL 200 for apropriada. Mais especificamente, o estado Gerando256 é atingido a partir do estado Inativo 252 quando um comando Habilitar comuma contagem = 0 tiver sido recebido. Durante o estado Gerando 256, umIndicador de Sessão para o elemento apropriado VERMELHO ou VERDE égerada aleatoriamente. Além disso, um temporizador (BLUE_WDT) é ativado, ea mensagem de controle AZUL 200 é retornada 258 durante o estado Gerando256 para manter o SMS de UCAV 108 operando conforme comandado namensagem 200.

Se a mensagem de controle AZUL 200 não for apropriada, porexemplo, após o temporizador ter expirado, a mensagem 200 conflita com umamensagem de controle prévia 200, ou se uma mensagem de controle 200 forrecebida fora de seqüência, a máquina de estado 250 entra em 260 um estado"Falha de Protocolo" 262 (Prot_Fail) a partir do estado Inativo 252 maispropriamente do que entrando em 254 no estado Gerando 256. No estadoFalha de Protocolo 262, o SMS de UCAV 108 é operado em um modo à provade falha no qual a saída AZUL é ajustada para DESLIGADA. Maispropriamente, o estado Falha de Protocolo 262 pode ser entrado 264 a partirdo estado Gerando 256 se a próxima mensagem de controle AZUL 200 não forapropriada, conforme discutido acima. Na modalidade exemplar, após o estadoFalha de Protocolo 262, a máquina de estado 250 retorna 266 ao estadoInativo 252, e espera por mensagens de controle AZUL 200, adicionais.

A partir do estado Gerando 256, a máquina de estado 250 poderetornar 268 ao estado Inativo 252 se um comando de reinicialização forrecebido na mensagem de controle AZUL 200. Se o SMS de UCAV 108receber uma mensagem esperada enquanto no estado Gerando 256, amáquina de estado 250 entra 270 em um estado "Habilitar" 272. Na modalidadeexemplar, o estado Habilitar 272 é atingido a partir do estado Gerando 256após um comando Habilitar com contagem = 1 ser recebido. Durante o estadoHabilitar 272, as saídas AZUL são ajustadas para ATIVADAS, e o temporizadoré reinicializado na entrada. O estado Habilitar 272 pode ser outra vezintroduzido após um comando Habilitar com contagem = contagem +1 serrecebido. Como tal, se o SMS 108 recebe a mensagem inicial tendo umacontagem de 1 mais propriamente do que 0, um "estabelecimento decomunicações" entre o SMS de UCAV 108 e o SMS de estação terrestre 110ter sido concluída. Na modalidade exemplar, durante o estado Habilitar 272, asarmas 146 (mostradas na Figura 1) são armadas. A mensagem de controleAZUL 200 é realimentada 274 durante o estado Habilitar 272 e uma contagemdo temporizador é incrementada para indicar que o comando armar não está"antiquado". O estado Habilitar 272 continua até que as mensagens de controlecrítica 400 e 500 sejam recebidas, a mensagem 200 falhe, a mensagem 200seja reinicializada, e/ou a mensagem 200 expire.

Mais especificamente, se a mensagem de controle AZUL 200falhar pelo fato de ser imprópria, por exemplo, após o temporizador terexpirado, a mensagem 200 conflita com uma mensagem anterior 200, e/ou amensagem 200 é recebida fora de seqüência, a máquina de estado 250 entra276 no estado Falha de Protocolo 262 e a saída AZUL é ajustada paraDESATIVADA. Se a mensagem de controle AZUL 200 for reinicializada, amáquina de estado 200 retorna 278 para o estado INATIVO 252. Se amensagem de controle AZUL 200 expirar, por exemplo, contagem =max_count, um estado "Expirado" 280 é introduzido 282 a partir do estadoHabilitar 272. Em uma modalidade, max_count é um número máximo demensagens de controle AZUL 200, recebidas sem o recebimento demensagens de controle crítica 400 e 500. Como tal, o SMS de UCAV 108 nãopode permanecer armado indefinidamente. Como tal, uma arma 146 não podeser inadvertidamente liberada após ter decorrido um período de tempopredeterminado a partir da ativação do comutador de braço mestre 124,(mostrado na Figura 1). A partir do estado Esgotado 280, a máquina de estado250 retorna 284 ao estado Inativo 252.A Figura 4 é um diagrama da primeira mensagem de controlecrítica 400 que pode ser usada com o protocolo 100. Na modalidade exemplar,a mensagem de controle VERMELHO 400 inclui uma identificação de indicador402, uma seção de indicador de sessão 404, um modo de execução 406, umaseção reservada 408, uma seleção de estação 410, sinais de controle crítica412, e uma soma de verificação 414. A identificação de indicador 402 e aseção de indicador de sessão 404 formam um Indicador de Sessão 416, e omodo de execução 406, a seleção de estação 410, e os sinais de controlecrítica 412 formam uma Palavra de Controle crítica 418. Alternativamente, aPalavra de Controle crítica 418 pode incluir quaisquer dados adequados paracontrole crítica de armas 146 (mostrado na Figura 1) no UCAV 104 (mostradona Figura 1). Na modalidade exemplar, a soma de verificação 414 forma umaPalavra de Autorização Crítica 420.

Na modalidade exemplar, a Indicador de Sessão 416 écomparada com a indicador de sessão 312 (mostrada na Figura 2) damensagem de status AZUL 300 (mostrada na Figura 2). Se os indicadores desessão 416 e 312 combinarem, uma arma 146 pode ser liberada. Se osindicadores de sessão 416 e 312 não combinarem, uma arma 146 não podeser liberada e o SMS de UCAV 108 (mostrado na Figura 1) entra no estadoFalha de Protocolo 262 (mostrado na Figura 3). Na modalidade exemplar, aPalavra de Autorização Crítica 420 é uma soma de verificação de elevadaintegridade para garantir que qualquer erro na transmissão da mensagem decontrole VERMELHO 400 não afete outros componentes do SMS de UCAV 108.

O modo de execução 406, na modalidade exemplar, inclui osdados indicando em qual modo de execução o SMS de UCAV 108 deve operar.Mais especificamente, o SMS de UCAV 108 pode liberar uma arma 146 aoreceber as mensagens de controle VERMELHO e VERDE 400 e 500(XM_NOW) ou o SMS de UCAV 108 pode calcular um tempo de liberação parauma arma 146 após as mensagens de controle VERMELHO e VERDE 400 e500 serem rec ebidas (XM_SW). Em uma modalidade, o operador humanoescolhe qual modo de execução utilizar. Em uma modalidade alternativa, oSMS de UCAV 108 é programado para selecionar o modo de execuçãodependendo do tipo de plataforma não tripulada.

Na modalidade exemplar, a seleção de estação 410 inclui osdados indicando a partir de qual estação no UCAV 104 uma arma 146 deve serliberada. Mais especificamente, cada arma 146 no UCAV 104 está em umaposição de estação respectiva no UCAV 104 e inclui um SPC correspondente186 (mostrado na Figura 1). Como tal, quando o operador humano selecionauma arma específica para liberar, o identificador de estação correspondente écodificado na mensagem de controle VERMELHO 400 na seleção de estação410. Na modalidade exemplar, o UCAV 104 inclui cinco estações (STA_0,STA_1, STA_2, STA_3, e STA_4), contudo, o UCAV 104 pode incluir qualquernúmero adequado de estações.

Sinais de controle crítica 412 incluem, na modalidade exemplar,dados indicando como liberar uma arma. Os sinais de controle crítica 412variam com base no tipo de arma. Na modalidade exemplar, a arma 146 é umabomba e os sinais de controle crítica 412 incluem dados indicando se umaogiva da bomba está armada (Armar Ogiva), se uma parte posterior da bombaestá armada (Armar Parte Posterior), informação sobre evento discreto dehabilitação de segurança (Disco SE), um comando para desbloquear ummecanismo retendo a bomba no UCAV 104 (Desbloquear), tal como SPC 186,um primeiro comando de liberação (Rei. 1), e um segundo comando deliberação (Rei. 2).

A Figura 5 é um diagrama de segunda mensagem de controlecrítica 500 que pode ser usada com o protocolo 100 (mostrado na Figura 1). Namodalidade exemplar, a mensagem de controle VERMELHO 400 (mostrada naFigura 4) e a mensagem de controle VERDE 500 são mensagens duplicadasque codificam a mesma informação de controle crítica. Como tal, a mensagemde controle VERDE 500 é a mesma que a mensagem de controle VERMELHO400. Mais especificamente, na modalidade exemplar, a mensagem de controleVERDE 500 inclui uma identificação de indicador 502, uma seção de indicadorde sessão 504, um modo de execução 506, uma seção reservada 508, umaseleção de estação 510, sinais de controle crítica 512, uma soma deverificação 514. A identificação de indicador 504 e a seção de indicador desessão 504 formam um Indicador de Sessão 516. O modo de execução 506, aseleção de estação 510, e os sinais de controle crítica 512 formam umaPalavra de Controle crítica 518. Alternativamente, a Palavra de Controle crítica518 pode incluir quaisquer dados adequados para controle crítica de armas 146(mostrado na Figura 1) no UCAV 104 (mostrado na Figura 1). Na modalidadeexemplar, a soma de verificação 514 forma uma Palavra de Autorização Crítica 520.

Na modalidade exemplar, o Indicador de Sessão 516 écomparado com o indicador de sessão 312 (mostrado na Figura 2), damensagem de status, AZUL 300 (mostrada na Figura 2). Se os indicadores desessão 516 e 312 combinarem, uma arma 146 pode ser liberada. Se osindicadores de sessão 516 e 312 não combinarem, uma arma 146 não podeser liberada e o SMS de UCAV 108 (mostrado na Figura 1) entra no estadoFalha de Protocolo 262 (mostrado na Figura 3). Na modalidade exemplar, aPalavra de Autorização Crítica 520 é uma soma de verificação de elevadaintegridade para garantir que qualquer erro na transmissão da mensagem decontrole VERDE 500 não afete outros componentes to SMS de UCAV 108.

O modo de execução 506, na modalidade exemplar, inclui osdados indicando em qual modo de execução o SMS de UCAV 108 deve operar.Mais especificamente, o SMS de UCAV 108 pode liberar uma arma 146 aoreceber as mensagens de controle VERMELHO e VERDE 400 e 500(XM_NOW) ou o SMS de UCAV 108 pode calcular um tempo de liberação parauma arma após as mensagens de controle VERMELHO e VERDE 400 e 500serem recebidas (XM_SW). Em uma modalidade, o operador humano escolhequal modo de execução utilizar. Em uma modalidade alternativa, o SMS deUCAV 108 é programado para selecionar o modo de execução dependendo dotipo de plataforma não tripulada.

Na modalidade exemplar, a seleção de estação 510 inclui osdados indicando a partir de qual estação no UCAV 104 uma arma 146 deve serliberada. Mais especificamente, cada arma 146 acoplada ao UCAV 104 estáem uma estação UCAV respectiva que inclui um SPC correspondente 186.Como tal, quando o operador humano seleciona uma arma específica paraliberar, o identificador de estação correspondente é codificado na mensagemde controle VERDE 500 na seleção de estação 510. Na modalidade exemplar,o UCAV 104 inclui cinco estações (STA_0, STA_1, STA_2, STA_3, e STA_4),contudo, o UCAV 104 pode incluir qualquer número adequado de estações.

Sinais de controle crítica 512 incluem, na modalidade exemplar,dados indicando como liberar uma arma. Os sinais de controle crítica 512variam com base no tipo de arma. Na modalidade exemplar, a arma 146 é umabomba e sinais de controle crítica 512 incluem dados indicando se uma ogivada bomba está armada (Armar Ogiva), se uma parte posterior da bomba estáarmada (Armar Parte Posterior), informação sobre evento discreto dehabilitação de segurança (Disco SE), um comando para desbloquear ummecanismo retendo a bomba no UCAV 104 (Desbloquear), tal como SPC 186,um primeiro comando de liberação (Rei. 1), e um segundo comando deliberação (Rei. 2).

A Figura 6 é um diagrama de uma seqüência de controleexemplar 600 que pode ser realizada utilizando o protocolo 100. Inicialmente, oSMS de UCAV 108 (mostrado na Figura 1) está operando 602 no estadoInativo 252 (mostrado na Figura 3). Na modalidade exemplar, a seqüência 600inclui o operador humano selecionando 604 ARMAR bombas 146 (mostrado naFigura 1) utilizando o comutador de controle de braço mestre 124 (mostrado naFigura 1). O SMS de estação terrestre 110 (mostrado na Figura 1) gera amensagem de controle AZUL 200 incluindo informação para armar as armas146 no UCAV 104 (mostrado na Figura 1). Mais especificamente, namodalidade exemplar, cada mensagem de controle AZUL 200 inclui duaspartes, em que cada parte corresponde a uma mensagem de controle críticarespectiva 400 ou 500.

Após o SMS de UCAV 108 receber a mensagem de controleAZUL 200, o SMS 108 entra 606 no estado Gerando 256 (mostrado na Figura3) e transmite a mensagem de status AZUL 300 para a estação terrestre SMS110 indicando que as armas 146 ainda não estão armadas (status = 001100).O SMS de estação terrestre 110 recebe a mensagem de status AZUL 300, eapós um intervalo de temporizador predeterminado 608, transmite outra vez amensagem de controle AZUL 200, exceto pelo fato de ter uma contagemincrementada por 1. O SMS de UCAV 108 recebe a mensagem de controleAZUL incrementada 200 e entra 610 no estado Habilitar 272 (mostrado naFigura 3) a partir do estado Gerando 256. Mais especificamente, medianterecebimento da mensagem de controle AZUL incrementada 200, o SMS deUCAV 108 verifica se um "estabelecimento de comunicação" foi realizado como SMS de estação terrestre 110 e entra 610 no estado Habilitar 272. No fim deum segundo intervalo 608, o SMS de estação terrestre 110 transmite outramensagem de controle AZUL incrementada 200 e, a partir do recebimento damensagem de controle AZUL incrementada 200, o SMS de UCAV 108incrementa 612 um temporizador e transmite a mensagem de status AZUL 300.Em cada intervalo de temporizador 608 até que as mensagens de controleVERMELHO e VERDE 400 e 500 sejam transmitidas pelo SMS de estaçãoterrestre 110, o SMS de estação terrestre 110 transmite uma mensagem decontrole AZUL incrementada 200 e o SMS de UCAV 108 incrementa 612 otemporizador e transmite a mensagem de status AZUL 300 em resposta.

Após o SMS de UCAV 108 estar no estado Habilitar 272, ooperador humano na estação terrestre 102 ativa o comutador de gatilho 126(mostrado na Figura 1). Mais especificamente, na modalidade exemplar, ooperador humano seleciona 614 a estação 1 no UCAV 104 e solicita eventodiscreto de habilitação de segurança mediante ação de apertar o comutador degatilho 126. Quando o comutador de gatilho 126 é ativado 614, o SMS deestação terrestre 110 transmite a mensagem de controle VERMELHO 400 e amensagem de controle VERDE 500 para o SMS de UCAV 108. O SMS deUCAV 108 recebe as mensagens de controle VERMELHO e VERDE 400 e 500e compara as mensagens 400 e 500 com a mensagem de controle AZUL 200recebida por último. Se os indicadores de sessão combinarem, o SMS deUCAV 108 muda 616 um status da estação 1 para habilitar segurança = 1.Após as mensagens de controle VERMELHO e VERDE 400 e 500 terem sidotransmitidas, a estação terrestre SMS 110 continua a transmitir as mensagensde controle AZUL incrementadas 200 em cada intervalo de temporizador 608.Como tal, o SMS de UCAV 108 continua a incrementar 612 o tempo detemporizador e transmitindo as mensagens de status AZUL 300 em resposta.

Após a estação 1 estar em habilitar segurança = 1, o operadorhumano libera 618 o comutador de gatilho 126. O SMS de estação terrestre110 transmite as mensagens de controle VERMELHO e VERDE 400 e 500incluindo informação para ajustar a estação 1 em habilitar segurança = 0.

Quando o SMS de UCAV 108 recebe as mensagens de controle VERMELHO eVERDE 400 e 500 e verifica as mensagens 400 e 500 em relação à mensagemde controle AZUL 200, o SMS de UCAV 108 muda 620 o status da estação 1para habilitar segurança = 0. A próxima mensagem de controle AZUL 200ajusta 622 o comutador de controle de braço mestre 124 para SEGURANÇA ereinicializa 624 o SMS de UCAV 108 para o estado Inativo 252. O SMS deUCAV 108 transmite a mensagem de status AZUL 300 para o SMS de estaçãoterrestre 110, em que a mensagem de status AZUL 300 inclui um novoindicador de sessão para a próxima sessão ARMADA. Será entendido que aseqüência 600 é apenas exemplar, e quaisquer mensagens de controleVERMELHO e VERDE 400 e 500 podem ser transmitidas pelo SMS de estaçãoterrestre 110 para o SMS de UCAV 108.

Os sistemas e protocolos de gerenciamento de armazenamentodescritos acima estendem uma arquitetura de segurançaVERMELHO/VERDE/AZUL de plataformas tripuladas para plataformas nãotripuladas mediante provisão de separação de controles de Braço mestre e deLiberar/Acionar. Tal protocolo em uma plataforma não tripulada trata daoperação de segurança durante um fenômeno transitório no controle de umveículo não tripulado e/ou de uma plataforma não tripulada. Maisespecificamente, as modalidades aqui descritas vinculam os comandos aoscontroladores de carga útil de armazenamento específico (SPC)1 tal como umaestação específica, e uma sessão de controle específica para facilitar prevenira aceitação pela plataforma não tripulada de comandos erroneamente dirigidose/ou "antiquados". Autenticação adicional na mensagem de controle é deixadapara o enlace de dados de controle, o qual é de plataforma específica.

Adicionalmente, o protocolo descrito acima bloqueiaindividualmente todos os possíveis comandos de controle crítica para umarmazenamento utilizando diferentes equações de bloqueio. Como tal, osbloqueios de ligação física usados com plataformas tripuladas são estendidospara padrões de bits específicos em dados providos a um armazenamento e/ouarma para facilitar a ação de minorar potenciais riscos de softwaredependentes de plataforma, em comparação com as plataformas nãotripuladas tendo um único bloqueio de hardware para as funções cruciais detodas as armas, que pode criar riscos de software cruciais de segurança.

O comutador de braço mestre e o comutador de gatilho, oucomutadores de controle de cabine, descritos aqui são codificados em umaestação terrestre utilizando uma soma de verificação robusta. Maisespecificamente, um comando de braço mestre é codificado em umamensagem de controle AZUL, e um comando de estação selecionada e deliberação é codificado nas mensagens VERMELHO/VERDE. Quando estaçõesde armas múltiplas são ativadas, múltiplas mensagens, VERMELHO/VERDE,são transmitidas para a plataforma não tripulada. Adicionalmente, o SMS nãotripulado aqui descrito recebe mensagens VERMELHO/VER/AZUL e decodificaas mesmas por intermédio de lógica de hardware independente. Maisespecificamente, o programa de voo operacional SPC não tripulado (OFP)pode inibir saídas de controle crítica, mas não pode habilitar saídas de controlecrítica sem as mensagens VERMELHO/VERDE/AZUL a partir da plataformatripulada. Além disso, as estruturas de dados e as máquinas de estadoassociadas facilitam a prevenção de "reutilização" de mensagens de controleVERMELHO/VERDE/AZUL para minorar qualquer risco potencial no canal detransmissão e/ou os componentes do OFP que gerenciam a entrega demensagens, VERMELHO/VERDE/AZUL, para hardware de controle crítico.

A mensagem de controle AZUL aqui descrita representa oequivalente do controle Braço mestre em uma cabine tripulada. Maisespecificamente, a mensagem de controle AZUL codifica a posição docomutador de braço mestre na plataforma tripulada, implementa um contadorem funcionamento para garantir que os comandos de braço mestre sejamrecebidos continuamente enquanto o comutador de braço mestre estáhabilitado, e inclui um campo de número serial combinando com a mensagemde controle AZUL para um SPC específico. A mensagem de controle AZULdescrita acima inclui também uma soma de verificação robusta que valida oscampos de dados da mensagem de controle AZUL, conforme decodificado nohardware no SMS não tripulado. A mensagem de controle AZUL aqui descritacontrola o status de uma máquina de estado AZUL dentro de um SPC. Maisespecificamente, a mensagem de controle AZUL tem uma mensagem de statusAZUL correspondente que reporta para a plataforma tripulada o estadocomandado do braço mestre, o contador de braço mestre atual, e/ou o estadoefetivo do intervalo AZUL.

As mensagens de controle VERMELHO e VERDE descritas acimarepresentam o equivalente de um comando de liberação, tal como um comandoa partir de um comutador de gatilho e/ou comutador de emergência, a partir deuma cabine tripulada. Adicionalmente, as mensagens de controleVERMELHO/VERDE descritas acima codificam uma estação para a qual sedestina um comando de liberação e pormenores de quais eventos discretos decontrole crítica são exigidos para ativação em resposta ao comando deliberação. Os elementos de controle VERMELHO e VERDE, tais comocodificadores e decodificadores, aqui descritos são elementos de hardwareessencialmente duplicados que avaliam independentemente os comandosrecebidos a partir da plataforma tripulada. Os dois elementos independentessão usados para eliminar falhas de ponto único dentro dos subsistemascruciais do SMS não tripulado. Mais especificamente, as estruturas de controle,VERMELHO e VERDE, aqui descritas são muito similares, mas inclueminformação singular suficiente para garantir que ambas, a mensagem decontrole VERMELHO e a mensagem de controle VERDE precisam serrecebidas antes de uma arma ser liberada. Por exemplo, duplicar a mesmaestrutura de dados para ambos os elementos VERMELHO e VERDE não farácom que um comando seja executado porque ao menos uma das duasestruturas de dados não será reconhecida. Além disso, o campo Indicador deSessão em cada estrutura de dados vincula o comando a uma sessão de braçomestre corrente. Mais especificamente, o campo Indicador de Sessão inclui osdados de Indicador recebidos por intermédio da mensagem de status azul paraas mensagens VERMELHO/VERDE correspondentes. Como tal, os dados deIndicador diferirão para as mensagens VERMELHO e VERDE, e serãoreinicializados toda vez que a máquina de estado de braço mestre for ativada.

Modalidades exemplares de um sistema de armazenamento emétodo de operar o mesmo são descritas acima em detalhe. Os métodos esistemas não são limitados às modalidades específicas aqui descritas, masmais propriamente, componentes de sistemas e/ou etapas dos métodos podemser utilizados independentemente e separadamente de outros componentese/ou etapas descritos aqui. Por exemplo, os métodos também podem serusados em combinação com outros sistemas e métodos de controle e/ougerenciamento, e não são limitados à prática com apenas os sistemas emétodos de gerenciamento de armazenamento conforme aqui descritos. Maispropriamente, a modalidade exemplar pode ser implementada e utilizada emconexão com muitas outras aplicações de gerenciamento e/ou controle,remotas.

Embora características específicas de várias modalidades dainvenção possam ser mostradas em alguns desenhos e não em outros, issotem apenas o propósito de conveniência. De acordo com os princípios dainvenção, qualquer característica de um desenho pode ser referida e/oureivindicada em combinação com qualquer característica de qualquer outrodesenho.

Essa descrição escrita utiliza exemplos para revelar a invenção,incluindo o melhor modo, e também para habilitar aqueles versados na técnicaa praticar a invenção, incluindo fazer e utilizar quaisquer dispositivos ousistemas e realizar métodos incorporados. O escopo patenteável da invenção édefinido pelas reivindicações, e pode incluir outros exemplos que ocorramàqueles versados na técnica. Pretende-se que tais outros exemplos estejamdentro do escopo das reivindicações se eles têm elementos estruturais que nãodiferem da linguagem literal das reivindicações, ou se eles incluem elementosestruturais equivalentes com diferenças não-substanciais a partir daslinguagens literais das reivindicações.

Claims (10)

1. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,(SGA) (114) que compreende:uma estação tripulada compreendendo um codificador demensagem de controle de braço mestre (130), um primeiro codificador demensagem de controle crítica (132), e um segundo codificador de mensagemde controle crítica (134);uma plataforma não tripulada compreendendo um decodificadorde mensagem de controle de braço mestre (174), um primeiro decodificador demensagem de controle crítico (176), e um segundo decodificador demensagem de controle crítico (178); eum enlace de dados (112) entre a dita estação tripulada e a ditaplataforma não tripulada, o enlace de dados configurado para:transmitir uma mensagem de controle de braço mestre (160) apartir do dito codificador de mensagem de controle de braço mestre para o ditodecodificador de mensagem de controle de braço mestre;transmitir uma primeira mensagem de controle crítica (400) apartir do dito primeiro codificador de mensagem de controle crítica para o ditoprimeiro decodificador de mensagem de controle crítica; etransmitir uma segunda mensagem de controle crítica (500) apartir do dito segundo codificador de mensagem de controle crítica para o ditosegundo decodificador de mensagem de controle crítica.

2. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, que compreende ainda umaestação de controle de braço mestre separada (106) compreendendo umcodificador de mensagem de controle de braço mestre secundário (156) e umenlace de dados secundário (166), o dito enlace de dados secundário éconfigurado para transmitir uma mensagem de controle de braço mestresecundária (160) a partir do dito codificador de mensagem de controle de braçomestre s ecundário ρ ara o dito decodificador de mensagem de controle debraço mestre (174).

3. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que a plataforma nãotripulada é configurada para liberar uma arma (146) ao receber a ditamensagem de controle de braço mestre (160), a dita primeira mensagem decontrole crítica (400), e a dita segunda mensagem de controle crítica (500).

4. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que a dita plataforma nãotripulada compreende ainda um temporizador, a dita mensagem de controle debraço mestre (152) é configurada para incrementar o dito temporizador.

5. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que a dita segundamensagem de controle crítica (500) é uma duplicata da dita primeiramensagem de controle crítica (400).

6. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que o dito codificador demensagem de controle de braço mestre (130) é separado do dito primeirocodificador de mensagem de controle crítica (132) e do dito segundocodificador de mensagem de controle crítica (134), e o dito primeiro codificadorde mensagem de controle crítica é separado do dito segundo codificador demensagem de controle crítica.

7. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que o dito decodificador demensagem de controle de braço mestre (174) é separado do primeirodecodificador de mensagem de controle crítica (176) e do segundodecodificador de mensagem de controle crítica (178), e o dito primeirodecodificador de mensagem de controle crítica é separado do dito segundodecodificador de mensagem de controle crítica.

8. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que o enlace de dados (112)compreende:uma primeira antena (118) na dita estação tripulada; euma segunda antena (120) na dita plataforma não tripulada, a ditaprimeira e a dita segunda antena são configuradas para comunicaçãoutilizando radiofreqüências.

9. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que a plataforma nãotripulada compreende ainda:um comutador de barramento de energia (180) acoplado emcomunicação com o dito decodificador de mensagem de controle de braçomestre (174);um primeiro transistor (182) acoplado em comunicação com o ditoprimeiro decodificador de mensagem de controle crítica (176); eum segundo transistor (184) acoplado em comunicação com odito segundo decodificador de mensagem de controle crítica (178), em que odito comutador de barramento de energia, o primeiro transistor, e o ditosegundo transistor são acoplados em série.

10. SISTEMA DE GERENCIAMENTO DE ARMAZENAMENTO,SGA (114), de acordo com a reivindicação 1, em que a plataforma nãotripulada compreende ainda:um comutador de barramento de energia (180) acoplado emcomunicação com o dito decodificador de mensagem de controle de braçomestre (174);uma pluralidade de primeiros transistores (182) acoplados emcomunicação com o dito primeiro decodificador de mensagem de controlecrítica (176), os vários primeiros transistores incluindo η primeiros transistores; euma pluralidade de segundos transistores (184) acoplados emcomunicação com o dito segundo decodificador de mensagem de controlecrítica (178), os vários segundos transistores incluindo η segundos transistores,em que η é igual a um número de estações de armas na dita plataforma nãotripulada.