JP5122066B2 - 積率限界を利用してデータ処理システムの動作のインテグリティを評価する方法及び装置 - Google Patents

Description

本発明は概してデータ処理システムの動作のインテグリティ（ｉｎｔｅｇｒｉｔｙ）を保証するシステム、機構、及び技術に関する。

データ処理システムに関する数多くの従来の実施形態において、このようなシステムは高レベルのインテグリティを維持しつつ動作することが要求される。一例として、コンピュータを用いた輸送手段（ｖｅｈｉｃｌｅ）ナビゲーション・システム、輸送手段操作システム、又は輸送手段制御システムのようなデータ処理システムは、十分に高レベルのインテグリティ及び精度を維持しつつ動作する必要があり、それにより、このようなシステムの設計者及び操作者は、システムが正しく動作するものと信頼することが可能になり、人命又は財産を危険に晒す恐れのある危険な状態（例えば、危険な誤り情報の生成）は回避される。今日のコンピュータ化されたデータ処理システム、例えば信号を用いた輸送手段ナビゲーション・システムは複雑であるため、検証プロセスを実施してこのようなシステムが必要なレベルのインテグリティ、又は必要最低限のインテグリティを維持しつつ動作することを判断することがシステム設計者にとって困難となっている。

一例として、輸送手段及び個人がナビゲーション目的に使用する全地球測位システム（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ：ＧＰＳ）のような従来のデータ処理システムを検討する。一般的に、ＧＰＳシステムは地球を周回する一群の（例えば２４個以上の）ＧＰＳ人工衛星を含む。各ＧＰＳ衛星は特殊な形で符号化されたＧＰＳ衛星信号（すなわち、無線信号）を宇宙空間から絶え間なく送信し、輸送手段内のＧＰＳ受信機装置又は個人が持ち運ぶＧＰＳ受信機装置は、これらのＧＰＳ衛星信号を受信して、処理することが可能である。地球の周りで特定の軌道を描くように構成される複数のＧＰＳ衛星の配置により、大気中又は地球表面上に位置するＧＰＳ受信機装置には、５〜８個の異なる可視な（すなわち、受信可能な）ＧＰＳ衛星の信号がそれぞれの軌道周回ＧＰＳ衛星から供給される。４つ以上のＧＰＳ衛星からのＧＰＳ衛星信号を特定のＧＰＳナビゲーション・アルゴリズムに従って受信し、かつ処理する（例えば、符号位相に基づいて４つの異なるＧＰＳ信号の到達時刻を測定する）ことにより、ＧＰＳ受信機装置は受信機装置の３次元位置（例えば、高度、経度及び緯度、又はＸ，Ｙ及びＺ）の推定値と、受信機装置の速度（受信機が動いている場合）の推定値と、ＧＰＳ信号の衛星クロック情報に基づく受信機装置内部で動作するクロックの時間補正と、を計算することが可能である。

３次元のナビゲーションは従来のＧＰＳシステムの主要な機能であり、ナビゲーション用に設計されている受信機は、種々の製造業者により製造され、航空機、船舶、地上輸送手段の内部において使用されたり、個人により持ち運ばれたりしている。更に、ＧＰＳシステムは測位目的、標準時の供給、測量及び地理的調査（例えば、プレート構造の動きに関する研究）にも使用され得る。

従来のＧＰＳシステムは、数多くのナビゲーション目的のために広く使用されているが、高精度の制御を必要とするナビゲーション又は輸送手段ガイドにおいて使用するには、或いは人命又は財産に係わる状況において使用するには、そのシステム精度はいささか低い。一例として、着陸しながらの航空機の水平飛行又は進入を制御する際の主要手段又は唯一の手段としてＧＰＳナビゲーションを使用することは、未だに、米国連邦航空局（ｔｈｅ Ｕｎｉｔｅｄ Ｓｔａｔｅｓ Ｆｅｄｅｒａｌ Ａｖｉａｔｉｏｎ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ：ＦＡＡ）のような空域管理機関に認められていない。ＧＰＳシステムをこのような状況に対して使用することを推奨できないのは、ＧＰＳシステムが種々の誤差源の影響を受け易いからである。

従来のＧＰＳ信号を使用する典型的な従来のＧＰＳ受信機は、その位置を実際の、すなわち真の位置からプラスマイナス３０メートル以内の精度で計算することが可能である。しかしながら、この位置精度は数多くの異なる誤差発生源からの誤差の影響を受ける。電離層誤差、衛星軌道誤差、クロック誤差、及び／又は他の考えられる誤差源が存在し、これらの誤差は単独、又は互いに組み合わされて受信機装置の計算位置の精度に影響を及ぼす。一例として、ＧＰＳ信号が電離層（高度５０〜５００キロメートルに渡るイオン化空気から成る地表の大気層）を通過する際に、一つ以上のＧＰＳ衛星からＧＰＳ受信機装置までの信号伝搬に電離層遅延（例えば最大７０ナノ秒）が生じ得る。この遅延はＧＰＳ信号内の時間シーケンスに対するＧＰＳ受信機装置の検知機能に影響を及ぼし、この影響によって全ての方向に最大１０メートルの計算位置の誤差が生じ得る。ＧＰＳ受信機が受信している複数の衛星信号においてこのような電離層誤差が生じた場合、位置計算を行なうときにこれらの誤差に対して畳み込み演算を行なうと、受信機位置についての大きな計算間違いが生じ得る。換言すれば、数多くの誤差発生源からの誤差が組み合わされて一層大きな誤差が生じ得る。衛星クロック同期誤差及び／又は衛星軌道データ誤差のような他の誤差源も存在し、このような誤差源は、ＧＰＳ受信機によるナビゲーションの位置計算に、例えば方向に関して１メートルの影響を与える可能性がある。同じく、このような誤差が組み合わされると一層大きな誤差が受信機による位置計算に生じ得る。更には、他の偏りの発生源又は誤差源もデータ処理システムに生じ得る。一例として、マルチパス誤差がＧＰＳシステムに生じる場合があり、その場合、物体（例えば山又は建物）に反射されたＧＰＳ信号が信号に遅延を生じさせ、受信機装置はその反射信号を衛星から直接送信されてきた信号であると誤判断する。このような誤差源は位置計算に一層悪影響を及ぼす可能性がある。

従って、一例として前述の信号ベースのナビゲーション・システムを挙げることができるような数多くの複雑なデータ処理システムは、小さな変動を生じさせる複数の誤差源を含む場合があり、この小さな変動はデータ処理システムによって組み合わされて、一層大きな誤差を生じさせ得る。このような誤差を考慮に入れようとする従来からの試みでは、自乗和平方根値（Ｒｏｏｔ Ｓｕｍ Ｓｑｕａｒｅ：ＲＳＳ）によるインテグリティ推定値を誤差源の組み合わせに対して実行する手段がシステムに提供され、複合誤差限界が生成されていた。しかしながら、人命及び／又は財産の安全が重要となる局面においては、自乗和平方根値による誤差限界規定技術が常に正しく機能して、インテグリティ推定値の限界値を許容インテグリティ基準内に規定することができ、不具合を解明するために詳細な分析を行なう必要が生じることがない、という考えは受け入れられない。従って、本発明の実施形態は、安全又は基幹データ処理システムにおいて生成されたインテグリティ推定値によって、全ての考えられる誤差の組み合わせの「限界が規定される（ｂｏｕｎｄｅｄ）」ことを保証するためには、特定のプロセスが必要であるという見解に部分的に基づいている。

ＧＰＳシステムのような信号ベースのナビゲーション・データ処理システムに関する説明に戻ると、システム設計者は、従来のＧＰＳシステムと連動して動作し、かつ前述の誤差源のうちの一つ以上の誤差源によって生じる計算誤差を極めて低下させるような種々のデータ処理システムを開発してきた。具体的には、米国連邦航空局（ｔｈｅ Ｕｎｉｔｅｄ Ｓｔａｔｅｓ Ｆｅｄｅｒａｌ Ａｖｉａｔｉｏｎ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ：ＦＡＡ）は、ＧＰＳを基本とする航空機ナビゲーション・システムを使用する際に生じる誤差を最小化し易くするために、広域補強システム（Ｗｉｄｅ Ａｒｅａ Ａｕｇｍｅｎｔａｔｉｏｎ Ｓｙｓｔｅｍ：ＷＡＡＳ）と呼ばれるシステムの設計及び実施を委託してきた。ＷＡＡＳは従来のリアルタイム・システムであり、このシステムは、地理的領域（例えば米国）全体に渡って収集される衛星ＧＰＳ信号をサンプリングし、ＧＰＳ信号に影響を与える種々の誤差源に対応するこれらの信号に関する補正情報及びインテグリティ情報を生成する。一例として、ＷＡＡＳは、米国上空を飛行しているユーザ（例えば航空機）に対して５０センチメートル以内の公称精度を有する電離層垂直遅延量校正を複数の衛星からのＧＰＳ信号に対して提供する。ＷＡＡＳを動作させない場合には、未校正電離層遅延は太陽活動極大期の間には４０メートルにも達する可能性がある。従って、ＷＡＡＳシステムを従来のように動作させると、電離層遅延、衛星軌道誤差、及び衛星クロック同期誤差のような誤差源による誤差又は偏りは極めて低下する。

これを実現するために、ＷＡＡＳシステムは広域基準局（Ｗｉｄｅ−ａｒｅａ Ｒｅｆｅｒｅｎｃｅ Ｓｔａｔｉｏｎｓ：ＷＲＳｓ）と呼ばれる数多くの固定地上型ＧＰＳ受信局（一つの実施形態では、２５個）を含み、これらのＧＰＳ受信局は米国及びその領地の地理的領域全体に渡って物理的に分散配置される。各ＷＲＳは３つの独立した（すなわち冗長な）組の広域基準装置（Ｗｉｄｅ−ａｒｅａ Ｒｅｆｅｒｅｎｃｅ Ｅｑｕｉｐｍｅｎｔ：ＷＲＥ）を含み、各広域基準装置は、多衛星測位（ａｌｌ ｉｎ ｖｉｅｗ）かつ２周波のＧＰＳ受信機として動作する。各ＷＲＥもセシウム・クロックを動作させる。いかなる時点であっても、各ＷＲＳ（すなわち、ＷＲＳ内で独立して動作する３つのＷＲＥの各々）は、例えば８〜１２個のＧＰＳ衛星信号を受信する機能を備え得る。各ＷＲＳ内で動作する各ＷＲＥはＧＰＳ衛星信号測定値を地上ライン又は他の通信ライン（例えば、高速光データ通信リンク）により送信し、この信号は２つの広域中央局（Ｗｉｄｅ−ａｒｅａ Ｍａｓｔｅｒ Ｓｔａｔｉｏｎｓ：ＷＭＳｓ）によって受信される。

各ＷＭＳは、冗長動作を行なう２つの補正処理装置及び２つの安全処理装置を含む。各ＷＭＳの各補正処理装置は一つのＷＲＥ入力信号を、動作している少なくとも２組のＷＲＥを有する各ＷＲＳから選択し、このＷＲＥ入力信号からＧＰＳ信号補正情報及びインテグリティ推定値を計算する。更に詳細には、ＷＡＡＳから眺める各衛星に対して、各補正処理装置は一組のＷＲＥ信号（最大１２個の異なる信号であり、一つは特定の衛星を眺めることが可能な各ＷＲＳから選択される）を使用して当該衛星からのＧＰＳ信号に関する衛星軌道遅延、衛星クロック同期遅延、及び電離層垂直遅延に関連する補正量を計算する。補正処理装置は更に、一般的にＷＡＡＳシステムがその補正情報に格納する信頼水準を示す、若しくは特徴付けるこれらの補正量の各々についてのインテグリティ推定情報又はインテグリティ限界情報を計算する。一例として、数多くの（例えば１２個の）ＷＲＳが信号を信号衛星から受信することが可能な場合、数多くの基準信号が含まれており、これらの基準信号からＷＡＡＳは補正情報を計算することが可能であるため、各誤差源の当該補正情報に関するインテグリティ限界は極めて低下し得る。別の状況では、僅かな個数の（例えば４個の）ＷＲＳのみが特定の衛星からの信号を受信することが可能であり、その場合、当該衛星の信号補正情報に関連するインテグリティ限界は高くなり、補正量の信頼度が相対的に低いことを示している。

一旦、補正処理装置が必要な信号補正情報及びインテグリティ情報を計算してしまうと、各ＷＭＳ内部に含まれる冗長な安全処理装置が動作して各補正処理装置の出力を比較して、これらの出力が極めて良好な一致を示すことを検証する。各冗長な補正処理装置が同一の結果を生成すると仮定すると、中央ＷＭＳ内部のメッセージ出力処理装置はＷＡＡＳメッセージを生成する。このＷＡＡＳメッセージは、現在米国上空に位置する２つの静止衛星から成る静止軌道（Ｇｅｏｓｔａｔｉｏｎａｒｙ Ｅａｒｔｈ Ｏｒｂｉｔ：ＧＥＯ）衛星システムと呼ばれる別の衛星システムに送信（すなわちアップリンク）するための信号補正情報及びインテグリティ限界情報を含む。ＧＥＯアップリンク・システム（ＧＥＯ Ｕｐｌｉｎｋ Ｓｙｓｔｅｍ：ＧＵＳ）処理装置はＷＡＡＳ ＧＰＳ補正情報及びインテグリティ限界メッセージ（例えば、ＷＡＡＳメッセージ）を中央ＷＭＳから受信し、このメッセージを無線アップリンク伝送により米国上空に静止して位置する２つのＧＥＯ衛星に送信する。ＧＥＯ衛星はＷＡＡＳ計算ＧＰＳ信号補正情報及びインテグリティ推定情報を含むこのメッセージをＧＰＳユーザ（例えば飛行中の航空機）に再ブロードキャストし、例えばベントパイプ型中継器を使用してこのメッセージの受信が行なわれる。ＧＵＳはアップリンク信号のタイミングを維持して（例えば進めて）、各ＧＰＳユーザにおいて受信される中継ＷＡＡＳ信号補正メッセージ及び中継インテグリティ限界メッセージが、これらのメッセージがＧＥＯ衛星から発信されたＧＰＳ信号であるかのように現れ、従ってＧＥＯ衛星がユーザにとってはＧＰＳ衛星のように見える。

前述のＷＡＡＳメッセージを使用して、ＷＡＡＳ対応のＧＰＳユーザは誤差補正情報及びインテグリティ限界情報を使用し、クロック誤差、衛星軌道誤差、及び電離層遅延量誤差に関する複合誤差及び畳み込みエラーの計算量を著しく低減させることが可能であり、これによって当該受信機装置の位置の計算は一層正確に行なわれる。一例として電離層遅延の場合、特定のＷＡＡＳ電離層ソフトウェアが補正処理装置内で動作して、地理上の信号到達領域（例えば米国）に分散された一連の地上固定格子点に関する遅延量を推定する。各格子点位置の遅延量をユーザに対してブロードキャストし、次いで、ユーザは格子内部でユーザ位置における遅延量を推定することが可能である。

本発明の実施形態は、ＷＡＡＳのようなデータ処理システムが動作している間に、ＷＡＡＳシステムによって生成されたインテグリティ推定値によって、全ての考えられる誤差の組み合わせの限界が規定されることを保証するためには、特定のプロセスが必要であるという見解に部分的に基づいている。インテグリティ推定値は、ＷＡＡＳ誤差補正データが特定の衛星に関してどの程度正確であるかについての信頼度限界を表わす。一例として、特定衛星についてのインテグリティ推定情報又はインテグリティ限界情報は、当該特定ＧＰＳ衛星が数多くの異なるＷＲＳ地上局によってどの程度良好に観察されているのかを示す。別の例として、ＧＰＳ信号がコロラド州デンバー上空の電離層を通過する際に、殆ど電離層信号遅延が生じない場合、この補正情報についてのインテグリティ・データは当該時点でのデンバー上空の電離層部分おける信頼水準が低いことを示すことになる。従って、インテグリティ限界情報は、ＷＡＡＳシステムによって計算された場合に、補正信号がどの程度正確であるかについての尺度を表わす。ＷＡＡＳメッセージを受信する航空機のようなユーザは、例えば補正情報の全てを任意の「可視」ＧＰＳ信号に適用し、インテグリティ情報を使用して複合インテグリティ推定値を計算することが可能であり、これによって水平限界を信号補正の誤差に対して設定する。生じる誤差が所定しきい値を超える場合、航空機は、ＧＰＳシステムをナビゲーションに使用するのを中断するように設定され、航空機をごく普通のナビゲーション手段（例えばパイロット航法）に切り替える必要がある。

全ての考えられる誤差の組み合わせの限界がＷＡＡＳインテグリティ推定情報によって規定されることを保証するという問題を解決しようとする従来からの試みは極めて困難であることが立証されている。具体的には、この問題を解決しようとする一つの従来の試みを国際民間航空機関（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｉｖｉｌ Ａｖｉａｔｉｏｎ Ｏｒｇａｎｉｚａｔｉｏｎ：ＩＣＡＯ）が「オーバーバウンド（ｏｖｅｒｂｏｕｎｄｉｎｇ）」と呼ばれる技術を使用して実行している。従来のオーバーバウンド手法（ｏｖｅｒｂｏｕｎｄｉｎｇ ａｐｐｒｏａｃｈ）は、２０００年９月におけるＩＯＮ ＧＰＳの会議録（ｐｒｏｃｅｅｄｉｎｇｓ）にて出版され、ブルース・デクリーン（Ｂｒｕｃｅ ＤｅＣｌｅｅｎｅ）により著された「擬似距離インテグリティ・オーバーバウンドの設計（Ｄｅｓｉｇｎｉｎｇ Ｐｓｅｕｄｏｒａｎｇｅ Ｉｎｔｅｇｒｉｔｙ−Ｏｖｅｒｂｏｕｎｄｉｎｇ）」と題された論文に詳細が文書化されている。この論文の示唆及び内容の全ては、これらを本明細書において参照することにより本発明の開示に含まれる。

前述の論文に記載されているようなオーバーバウンドについての従来技術に伴う一つの問題は、オーバーバウンド手法が解決するのは、基本となる複数組の分布データが単一モードであり、対称であり、かつ平均がゼロになるという状況のみに過ぎないということである。これは理論的作業にありがちなケースである。しかしながら、本発明の実施形態は、ＧＰＳ信号の測定値のようなデータ分布が多くの場合、長期間に渡って観測してもこれらの特性を示さない、という見解に部分的に基づいている。従って、本発明の実施形態は、単一モードではなく、非対称であり、かつ平均がゼロにならないような実際に観測される複数組の分布データを使用するＷＡＡＳのようなシステムにおいて高信頼度のインテグリティを保証するために特定のプロセスが必要である、という見解に部分的に基づいている。すなわち、本発明の実施形態は、基本となるデータ分布についての仮定を一切行わないので、ＷＡＡＳのような実際のデータ処理システムの動作における（リアルタイムの、又は非リアルタイムの）実際の観測及び計算に基づいて収集される、単一モードではなく、非対称であり、かつ平均がゼロにならないようなデータ分布を処理するのに理想的な手法を目的とする。

具体的には、本発明の実施形態は、積率母関数（ｍｏｍｅｎｔ ｇｅｎｅｒａｔｉｎｇ ｆｕｎｃｔｉｏｎ）を適用して、例えばＷＡＡＳ又は同様なエリア補強システムのようなデータ処理システムの動作のインテグリティを評価する方法及び装置を提供する。特に本発明の実施形態は、ＷＡＡＳのようなデータ処理システムがそのインテグリティ要求を満たすことを立証する解析技術を提供する。これを実現するために、本発明の実施形態は、データ処理システムの動作のインテグリティを評価する方法を提供する。一つの実施形態においては、本方法は、データ処理システムが処理する情報に関連する少なくとも一組の分布データを取得するステップを備える。その分布データの組としては、例えばＷＡＡＳの複数のＷＲＳにおいて動作する複数の地上型ＷＲＥから得られるＧＰＳ衛星信号測定データがあり、衛星信号補正情報及びその補正情報に関連するインテグリティ情報を含み得る。本方法の実施形態では、（一組以上の）分布データの組に対して積率母関数を適用して、積率限界を有する分布データの結果を生成する。次に、本方法において、積率限界を有する分布データの結果をインテグリティ限度と比較して、データ処理システムが許容インテグリティ基準内で動作するか否かを判断する。本発明の実施形態は、リアルタイムで動作してシステムの補正動作を継続的に検証することが可能であるが、データ処理システムのテスト、設計又は検証段階に非リアルタイムで動作しても構わない
積率母関数を利用することにより、本発明の実施形態は本技術を適用し得る基本となる複数組の分布データに関して何ら制約を課すことがないため、一般的な線形システムに個別入力が行なわれ、かつ入力データに付随して各特定入力に関するインテグリティ限度が含まれる多種多様な技術用途におけるインテグリティ推定動作の正当性の立証に使用されるのに適する。線形パラメータはいかなる手段によって送信してもよく、入力データに依存しない。従って実施形態を使用して、ＷＡＡＳのような安全性重視の用途において、計算されたインテグリティ限度が常に高信頼水準値を有する出力全体として超えることを立証することが可能である。

本発明の別の実施形態では、分布データの組は複数組の分布データを含み、各組の分布データは単一モードではなく、非対称（すなわち平均がゼロではない）であり、かつ／若しくはデータ処理システムの実際の動作から収集される分布データ（すなわち現実のデータ）である。従って、本発明の実施形態は現実世界のデータを生成する現実世界のシステムに適用することが可能であるため、このようなシステムの理論的簡単化は行わない。

更に別の実施形態では、分布データは複合誤差限界を形成する少なくとも一つのインテグリティ推定値を含む。加えて、積率母関数を適用するステップ及び積率限界を有する分布データの結果を比較するステップによって、分布データ内で表わされる誤差の全ての考えられる組み合わせの限界が少なくとも一つのインテグリティ推定値によって規定されると判断する。これにより、システムが許容インテグリティ基準内で動作することが保証される。

更なる実施形態では、データ処理システムは、ＷＡＡＳ又はその変形のような信号ベースのナビゲーション・システムである（すなわち本発明は、例えば世界の他の地域で動作する他のエリア補強システムに適用することが可能）。加えて、少なくとも一組の分布データは信号ベースのナビゲーション・システムのユーザの位置に関する補正情報及びインテグリティ推定情報を含む。本実施形態では、積率母関数を適用するステップ及び積率限界を有する分布データの結果を比較するステップの両方によって、畳み込み解析操作を分布データの組に対して行って、その結果、積率母関数によって積率限界を有する分布データの結果が生成され、この積率限界を有する分布データの結果によって、分布データの組のインテグリティ推定情報及び補正情報に表される誤差の組み合わせが、信号ベースのナビゲーション・システムから得られる分布データの組の誤差の全ての組み合わせを考慮したインテグリティ限度を超えないことが保証されるようにする。このように、積率母関数を適用する際には、現実世界のデータが考慮される。

他の実施形態では、信号ベースの輸送手段ナビゲーション・システムは広域補強システム、狭域補強システム、及び全地球的ナビゲーション衛星システムのうちの一つとすることが可能である。

別の実施形態では、分布データの組に含まれる補正情報及びインテグリティ推定情報は、信号ベースのナビゲーション・システムのナビゲーション誤差源に関するものであり、このナビゲーション誤差は、衛星軌道誤差、衛星クロック誤差、及び衛星信号電離層遅延量誤差を少なくとも含む。従って本発明は、このような誤差源についての補正情報に対するインテグリティ推定値が正しいことを検証することが可能である。

更なる実施形態では、本方法において、データ処理システムのリアルタイム動作の間に、取得するステップ、適用するステップ、及び比較するステップは、実施される。取得するステップは、適用するステップ及び比較するステップによってデータ処理システムの動作が確実に許容インテグリティ基準内で行なわれるように、少なくとも一組の分布データをデータ処理システムのリアルタイム動作から取得するステップを備える。従って、本実施形態は継続的にデータ処理システムの正しい動作をリアルタイム或いはほぼリアルタイムで検証する。

本発明の別の実施形態では、少なくとも一組の分布データをデータ処理システムのリアルタイム動作の間に取得するステップを実施して少なくとも一つのサンプル組の分布データを収集する。加えて、この実施形態は、適用するステップ及び比較するステップをサンプル組（複数のサンプル組）の分布データに対してデータ処理システムの非リアルタイム動作で実施して、データ処理システムが許容インテグリティ基準内で動作することを立証する。これによって本発明の実施形態を、システムの動作の限界を形成するインテグリティ情報を提供する技術システムの設計、テスト及び検証の間に適用することが可能である。

別の実施形態では、積率母関数の適用に加えて、この実施形態ではさらに、少なくとも一組の分布データに対してガウス分布関数を適用してガウス分布限界を有する分布データの結果を生成することが可能であり、ガウス分布限界を有する分布データの結果をインテグリティ限度と比較してデータ処理システムが許容インテグリティ基準内で動作するか否かを判断することが可能である。このように、積率母関数に加えて、ガウス分布関数を利用してシステムの正しい動作を更に検証することが可能である。ガウス分布関数は分布データが単一モードであり、対称であり、かつ平均がゼロである必要があり、ガウス関数を適用した一例が、上記のデクリーンの論文に示されているオーバーバウンド手法（ｏｖｅｒｂｏｕｎｄｉｎｇ ａｐｐｒｏａｃｈ）である。従って、本発明の本実施形態では、ガウス分布関数（ガウス分布関数を適用した手法の変形がデクリーンによるオーバーバウンド手法である）に加えて、積率限界規定手法（ｍｏｍｅｎｔ ｂｏｕｎｄｉｎｇ ａｐｐｒｏａｃｈ）を適用して「二重の」検証技術を実行する。

本発明の更なる実施形態によれば、少なくとも一組の分布データに対してオーバーバウンド分布関数を適用する方法（例えばデクリーンによるオーバーバウンド手法）によって、オーバーバウンドされた限界を有する分布データの結果を生成し、オーバーバウンドされた限界を有する分布データの結果をインテグリティ限度と比較して、データ処理システムが許容インテグリティ基準内で動作するか否かを判断する。前述の実施形態における場合と同様に、これによって二重のチェックを行なわれ、オーバーバウンド手法を本明細書に記載する積率限界規定手法と組み合わせて、信号ベースのナビゲーション・システムのようなデータ処理システムの正しい動作を検証する。

更に別の実施形態では、少なくとも一組の分布データを取得するステップは、データ処理システムを動作させて、各組が該当する関連インテグリティ推定値を有する複数組の分布データを生成するステップを備える。加えて、積率母関数を適用するステップは、該当する積率限界を有する分布データの結果を複数組の分布データの各々についての該当する関連インテグリティ推定値に基づいて計算するステップであって、この計算は、各組の分布データの該当するインテグリティ推定値が積率限界を有するように積率母関数に対する入力値を調整することにより行なわれる、計算するステップを備える。更に、積率限界を有する分布データの結果をインテグリティ限度と比較するステップは、積率限界を有する各該当する分布データの結果から積率限界を有する少なくとも一つの値が生成されることを保証するステップと、積率限界を有する各該当する分布データの結果から、許容インテグリティ基準の下方に積率限界を有する少なくとも一つの値が生成されることを保証するステップと、を備える。これらの動作の詳細については以下に説明し、これらの動作の詳細によって、データ処理システムが許容インテグリティ基準内で動作している（或いは、非リアルタイムの場合には動作することが可能である）ことが検証される。

更なる実施形態では、積率母関数を適用するステップは、第１条件及び第２条件の両方を満たすように積率母関数に対する入力値を選択するステップを備え、第１条件は、一組（複数組）の分布データの全ての入力分布が積率限界を有することであり、第２条件は、一組（複数組）の分布データのそれぞれの分布データに関連するインテグリティ推定値の自乗和平方根値（Ｒｏｏｔ Ｓｕｍ Ｓｑｕａｒｅ：ＲＳＳ）が障害確率（例えば許容インテグリティ基準）以下となることである。以下に説明されるように、各分布が積率限界を有し、かつ許容インテグリティ基準の下方にあることを保証することにより、複数組の実際の分布データに基づくデータ処理システムの動作を検証することが可能である。

更なる実施形態では、比較するステップは、一組（複数組）の分布データの合計がインテグリティ限度を超える確率が許容インテグリティ基準に関連する障害確率未満である場合に、データ処理システムは許容インテグリティ基準内で動作すると判断するステップを備える。

更なる実施形態では、積率母関数を適用するステップ及び積率限界を有する分布データの結果をインテグリティ限度と比較するステップの両方によって、次式が求められる。

上式において、Ｐは確率関数であり、Ｊ_ｉは一組の分布データを表わし、Ｎは衛星の数のような個々の入力Ｊの個数であり、ｋ_ｉはＮ個の実数の組であり、σ_ｉは各Ｊ_ｉに関連するインテグリティ限度を表わし、Ｐ_ｆａｉｌは許容インテグリティ基準に関連する障害確率を表わす。上式については以下に詳細に説明する。本実施形態によって、データ処理システムがデータ処理システムに対する全ての入力に対して上記不等式を成立させていることを検証することが可能である。

別の実施形態では、

（すなわち上式に含まれる項）は、Ｊ_ｉ内の各Ｊの複合誤差を考慮したインテグリティ限度である。

更なる実施形態では、少なくとも一組の分布データに対して積率母関数を適用して、積率限界を有する分布データの結果を生成するステップは、次式で定義される、Ｘを変数とする積率母関数ｍ_Ｘ（ｔ）を適用するステップを備える。

上式においてｐ_Ｘ（ｕ）は確率変数Ｘの確率密度関数であり、従って、ｍ_Ｘ（ｔ）が存在し、かつ任意の実数ｔに対して

である場合に、Ｘは（Ｋ，σ^２）の積率限界を有する。

は、積率生成限界（ｍｏｍｅｎｔ ｇｅｎｅｒａｔｉｎｇ ｂｏｕｎｄ）である。

更に別の実施形態では、データ処理システムに対する少なくとも一つの誤差源が存在し、データ処理システムに対する入力を表し、かつデータ処理システムに対する各該当する誤差源について収集される実数ｋ_ｉを含むＪ_ｉ組の分布データが存在する。加えて、一つ（複数）の誤差源の各々は、各Ｊ_ｉに関連するインテグリティ限度を表わす該当する組の関連インテグリティ値

の組を有する。加えて、分布データの組（複数組）に対して積率母関数を適用するステップは、各組の分布データの積率母関数

を計算するステップと、積率生成限界に対する入力値Ｋ及びαを選択するステップであって、
Ｉ） 全てのＪ_ｉが（Ｋ，（α・σ^２））の積率限界を有し、
ＩＩ）

を満たすように、積率生成限界に対する入力値Ｋ及びαを選択するステップを備える。ここで、Ｋ及びαは積率母関数の入力数値であり、Ｋ_{Ｌｉｍｉｔ}は臨界誤差の大きさをσ単位で定義し、ｅは自然対数の底を表わし、Ｐ_ｆａｉｌは許容インテグリティ基準の値である。Ｋ及びαのグラフでは、条件Ｉによって積率限界を有する分布データの結果の曲線が生成され、条件ＩＩによって許容インテグリティ基準曲線が生成される。条件Ｉに対して、各組の分布データに対応する各曲線上の少なくとも一点が条件ＩＩの曲線よりも下方になる場合、本発明の本実施形態はデータ処理システムが安全に動作していることが立証したことになる。

本発明の他の実施形態はデータ処理システムを含み、データ処理システムとしては、例えばコンピュータ装置又は電子装置、或いは互いに連動して動作するこれらの装置の集合体、ワークステーション、携帯型又はラップトップ・コンピュータ、又は本発明の実施形態として本明細書において開示される処理方法の全てを処理するソフトウェア及び／又は回路と共に構成される他のこのような装置又は他のこのような複数の装置が挙げられる。このような実施形態では、データ処理システムは通信インターフェイス（例えば複数組の分布データのようなデータを受信するためのネットワーク・インターフェイス）と、メモリ（例えば任意のタイプのコンピュータ可読媒体）と、処理装置と、通信インターフェイス、処理装置及びメモリを接続する相互接続機構と、を含む。このような実施形態では、メモリ・システムはインテグリティ検証アプリケーションを使用して符号化され、このインテグリティ検証アプリケーションを処理装置上で実行すると、インテグリティ検証プロセスが生成され、このインテグリティ検証プロセスによってデータ処理システムは、本発明の実施形態として本明細書において説明される方法の実施形態、ステップ及び処理のいずれか、及び／又は全てを実施してデータ処理システムが許容インテグリティ基準内で動作することを検証する。換言すれば、本明細書において説明するような処理を実行するようにプログラムされたコンピュータは本発明の一つの実施形態とみなされる。ここで、インテグリティ検証システムはデータ処理システムの一部として動作し、このシステムの一部においてインテグリティ検証システムが正しい動作のインテグリティを検証することが可能であるが、本発明の実施形態が検証されるデータ処理システムから独立して、かつ／若しくは別個に（例えば独立システムとして）動作しても構わないことは理解されよう。

本明細書において開示される本発明の実施形態の他の構成には、上に要約し、かつ本明細書において詳細に開示する方法の実施形態のステップ及び処理を実行するソフトウェア・プログラムが含まれる。一例として、本明細書において説明する処理を実行するように構成されたインテグリティ検証ソフトウェア・アプリケーションは本発明の一つの実施形態とみなされる。より詳細には、符号化されたコンピュータ・プログラム論理を含むコンピュータ可読媒体を有するコンピュータ・プログラム製品であって、このコンピュータ・プログラム論理がコンピュータ・システムを備える少なくとも一つの処理装置上で実行されると、処理装置は本明細書に示される処理（例えば方法）を本発明の実施形態として実行するようなコンピュータ・プログラム製品が開示されている。本発明のこのような構成は通常、コンピュータ可読媒体又は他の媒体に格納される、若しくは符号化されるソフトウェア、コード、及び／又は他のデータ（例えばデータ構造）として実現され、コンピュータ可読媒体としては、例えば光媒体（例えばＣＤ−ＲＯＭ）、フロッピィー・ディスク又はハード・ディスクが挙げられ、他の媒体としては、例えば一つ以上のＲＯＭチップ、ＲＡＭチップ、又はＰＲＯＭチップに格納される、或いは特定用途向け集積回路（ＡＳＩＣ）用に設計されるファームウェア又はマイクロコードが挙げられる。ソフトウェア又はファームウェア、或いは他のこのような構成をコンピュータ・システム、データ処理システム、又は他の装置に搭載してコンピュータ・システムに本明細書において説明される技術を本発明の実施形態として実行させることが可能である。

ここで、本発明のシステムをソフトウェア・プログラムとして、ソフトウェア及びハードウェアとして、又はハードウェア或いは回路としてのみ厳密な形で具体化することが可能であり、更にこのような構成要素を組み合わせて単一の装置に設けても、或いはＷＡＡＳのようなシステム又はそれと等価なシステムの内部に分散させてもよいことは理解されよう。

本発明に関する上記の、及び他の目的、特性及び利点は、本発明の実施形態についての以下の更に詳細な記述から明らかになるものと考えられる。本発明の実施形態は添付図において示され、これらの図では種々の図全体を通じて同一の符号は同一の部品を指す。これらの図は必ずしも実寸通りに描かれていないが、その代わり本発明の実施形態、原理及びコンセプトを示す際に強調する点が明確になっている。

本発明の実施形態はデータ処理システムの動作のインテグリティを評価し、確認する機構及び技術を提供する。データ処理システムとしては、データを処理して出力を生成するシステムであればいかなるタイプのシステムであっても構わない。このようなデータ処理システムが動作している間は、一つ以上の誤差源が組み合わされて複合誤差又は畳み込みエラーがシステムの出力に生成される。このような誤差を低減し易くするために、本発明を適用し得るこのようなシステムはまた、一つ以上のインテグリティ推定値を生成して、これらの推定値によって出力データの複合誤差限界を供給しようとする。本発明の実施形態を利用してこのようなシステムの正しい動作を分析して、確認することにより、入力データの分布内で表わされる全ての考えられる誤差組み合わせの限界が、出力において、一つ以上の特定の誤差源についてのインテグリティ推定値によって規定されるか否かを判断することが可能である。

一般的に、本発明の実施形態は、データ処理システムが処理する情報に関連する少なくとも一組の分布データを取得することにより動作する。本発明の実施形態は分布データをデータ処理システムの動作から取得するか、或いは収集するため、その複数組の分布データは真の、すなわち実際の処理データである。従って、実際の組の分布データは単一モードでもなければ、対称でもない（すなわち平均がゼロではない）。一般的なデータ処理線形システムの動作のインテグリティを立証しようとする従来のシステム及び技術は、実際のデータを使用する全ての環境におけるこのようなシステムの正しい動作を適切に、若しくは最も正確に立証することが不可能である、というのは、従来のシステム及び技術は、オーバーバウンド手法（ｏｖｅｒｂｏｕｎｄｉｎｇ ａｐｐｒｏａｃｈ）又はガウス分布限界規定手法（Ｇａｕｓｓｉａｎ ｂｏｕｎｄｉｎｇ ａｐｐｒｏａｃｈ）のような従来のインテグリティ確認技術を、非単一モード及び／又は非対称である複数組の実際の分布データに適用することが不可能であるためである。本発明の実施形態はこの問題をほとんど解決し、一組（複数組）の分布データに対して積率母関数を適用して、特定のインテグリティ推定値又は推定値に関連する値を有する各誤差源に対応する各サンプル組の分布データに関して積率限界を有する分布データの結果を計算又は生成する。積率母関数を適用している間、データ処理システムが許容インテグリティ限度内で動作するか否かを判断するために、本発明の実施形態は積率母関数に対する入力値を選択して、特定の誤差源についての分布データ内で表わされる全ての考えられる誤差の組み合わせが、許容インテグリティ基準又は限度により規定されるようにする。従って、インテグリティ限度は、少なくとも一組の分布データ内で表わされる誤差の集合の組に関連する最大値を表わす。一つの実施形態では、インテグリティ限度の最大値は分布データの畳み込みエラーの最大値である。

本発明の実施形態は数多くの技術用途に適用することが可能であり、これらの技術用途では、データ処理システムの動作のインテグリティが、データ処理システムがリアルタイム動作している間は、最初に（例えば、データ処理システムのテスト段階に）、或いは継続して、立証される必要がある。一例として、本発明の実施形態は、最も重要な要求のうちの一つの要求が正しい動作のインテグリティである飛行ナビゲーションの用途に使用されるシステムのような信号ベースのナビゲーション・システムに有効に適用することが可能である。具体的には、ＧＰＳナビゲーション分野では、ＧＰＳのようなシステムの性能は衛星位置（例えば軌道）誤差、クロック同期誤差、及び種々の条件を生じさせる電離層誤差によって劇的に変化する可能性があるため、このような誤差源に対する数学的限界は、国際民間航空機関（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｉｖｉｌ Ａｖｉａｔｉｏｎ Ｏｒｇａｎｉｚａｔｉｏｎ：ＩＣＡＯ）のような複数の管理機関によって定義されてきた。特に、許容インテグリティ基準は、航行中に適用される水平保護限界値及び垂直保護限界値のような項目に関して定義されてきたが、この定義は、広域補強システム（Ｗｉｄｅ Ａｒｅａ Ａｕｇｍｅｎｔａｔｉｏｎ Ｓｙｓｔｅｍ：ＷＡＡＳ）のような補強システムと連動して動作する衛星信号ベースのナビゲーション・システムに基づいて行なわれる。

図１はデータ処理システム１００を示しており、このシステムは、ＷＡＡＳと連動して動作するＧＰＳシステムのような信号ベースのナビゲーション・システム１００を含み、このシステム１００によって、誤差源についての衛星信号補正情報だけでなく、各補正についてのインテグリティ推定情報を航空機ユーザ（例えば１３０）に供給し、このユーザはシステム１００をナビゲーション目的に利用する。この例において説明するように、本発明の一つの実施形態は、図１のシステム１００が許容インテグリティ基準又は限度内で確実に動作するように機能することが可能である。ここで、本発明の実施形態はリアルタイムで動作して継続的にＧＰＳ／ＷＡＡＳシステムの動作のインテグリティを評価することが可能であるか、或いは非リアルタイムで動作して、図１に示すようなシステムのテスト及び／又は設計段階における正しい動作のインテグリティを検証することが可能である。

この例においては、ＧＰＳ及びＷＡＡＳシステム１００は複数のＧＰＳ衛星１１０−１〜１１０−Ｍを含み、これらの衛星は地球１０１を所定の構成に従って周回する。地球から見て静止しているＧＥＯ衛星１５０（衛星は他にも存在し得るが、この例においては一つだけを示す）もまた地球１０１の上方に位置し、以下に説明するようにＧＰＳ衛星及び中継衛星の両方として機能する。地球１０１の周りには複数の広域基準局１２０−１〜１２０−Ｎ（Ｗｉｄｅ−ａｒｅａ Ｒｅｆｅｒｅｎｃｅ Ｓｔａｔｉｏｎｓ：ＷＲＳｓ）が配置される。ＷＲＳ１２０は、例えば米国本土を地理的に全体に渡って、かつ他の地域（例えばアラスカ及びハワイ）に分散していればよく、ＧＰＳ測距信号１１２−１〜１１２−Ｍを、当該ＷＲＳ１２０にとって「視野内」（すなわち地平線を超えない）に位置する数多くのＧＰＳ衛星１１０から受信する機能を備える。例えば、米国及びその領土全体に２５個（Ｎ＝２５）のＷＲＳ１２０が配置され、各ＷＲＳは８〜１２個の異なるＧＰＳ衛星１１０から任意の時刻に信号を受信することが可能である。

各ＷＲＳ１２０は、この例では、独立であり、かつ冗長な３組の広域基準装置（Ｗｉｄｅ−ａｒｅａ Ｒｅｆｅｒｅｎｃｅ Ｅｑｕｉｐｍｅｎｔ：ＷＲＥ）１２２（各ＷＲＳ１２０における１２２−１〜１２２−３）を含み、これらのＷＲＥの各々は、その固有のセシウム・クロック付の多衛星測位（ａｌｌ ｉｎ ｖｉｅｗ）かつ２周波のＧＰＳ受信機を動作させる。全てのＷＲＳ１２０における全てのＷＲＥ１２２からのＧＰＳ信号１１２測定値が高速通信リンク１２５を経由して、互いに対して冗長になる形で動作する（この例では）２つの広域中央局（Ｗｉｄｅ−ａｒｅａ Ｍａｓｔｅｒ Ｓｔａｔｉｏｎｓ：ＷＭＳ）１３０−１及び１３０−２に送信される。

各ＷＭＳ１３０は２つの補正処理装置Ｃ１ １３１−１，Ｃ２ １３１−２及び２つの安全処理装置Ｓ１ １３２−１，Ｓ２ １３２−２を動作させる。各補正処理装置１３１は一つの判別可能な信号を各ＷＲＳ１２０の一つのＷＲＥ１２２から選択し、この信号に関する補正情報及びインテグリティ情報をＧＰＳ衛星信号１１２のインテグリティに影響を及ぼす可能性のある異なる誤差源に対応する形で計算する。補正処理装置１３１は、補正及びインテグリティ計算処理を少なくとも２つの動作している広域基準装置（ＷＲＥ）１２２を有する各ＷＲＳ１２０に対して実行する。具体的には、２周波数から得られる測定値が処理される。すなわち、１５７５．４２ＭＨｚのＧＰＳ標準測位サービスＬバンド測距信号（Ｌ１）周波数及び１２２７．６ＭＨｚのＧＰＳ高精度測位サービスＬバンド測距信号（Ｌ２）周波数である。補正処理装置１３１は演算を行なってＷＡＡＳ ＧＰＳ信号補正を種々の誤差源に対して計算するが、これらの誤差源には、ＧＰＳ衛星１１０及びＧＥＯ衛星１５０の軌道の誤差（軌道誤差）、衛星１１０及び１５０のクロック同期誤差、及びＬ１周波数での電離層垂直遅延量誤差が含まれる。

安全処理装置１３２は、一般的にＷＡＡＳシステムがその信号補正情報に格納する信頼水準を示す、若しくは特徴付けるこれらの補正の各々についてのインテグリティ推定情報又はインテグリティ限界情報を計算する。一例として、数多くの（例えば１２個の）ＷＲＳが信号を単一の信号衛星１５０から受信することが可能な場合、数多くの基準信号が含まれており、これらの基準信号からＷＡＡＳは補正情報を計算するため、各誤差源の当該補正情報についてのインテグリティ推定値は極めて高くなり得る。別の状況では、僅かな個数の（例えば４個の）ＷＲＳ１２０が特定の衛星１５０からの信号を受信することが可能であり、その場合、当該衛星の信号補正情報に関連するインテグリティ推定情報は低くなり得る。

安全処理装置１３２（Ｓ１及びＳ２）の各々は個別のデータ検証（ｉｎｄｅｐｅｎｄｅｎｔ ｄａｔａ ｖｅｒｉｆｉｃａｔｉｏｎ：ＩＤＶ）機能を実行し、この機能ではまず、各補正処理装置１３１の出力を比較してこれらの出力が非常に良好な一致を示すことを検証する。更に、安全処理装置１３２（Ｓ１及びＳ２）の各々は、補正処理装置１３１が生成する補正情報を監視してユーザ１３０（この例では航空機）に確実に、システム１００の誤差源（例えば、衛星軌道誤差、クロック同期誤差、及び電離層誤差）から生じる誤差を考慮した安全ＧＰＳ信号誤差補正情報及びインテグリティ情報を提供する。最後に、各ＷＭＳ１３０の各安全処理装置１３２に関連付けられたメッセージ出力処理装置（図示略）は、中央補正処理装置（例えばＣ１ １３１−１）からの検証データを使用してアップリンク用のＷＡＡＳメッセージを生成する。次に２つの安全処理装置１３２は、これらの処理装置のそれぞれの出力が互いに、厳密にビット毎に一致しているか否かをチェックするが、他の一致手順を使用することも可能である。出力が一致すると、各ＷＭＳ１３０は、補正情報及びインテグリティ推定値を含むＷＡＡＳメッセージをＧＥＯアップリンク・サブシステム（ＧＥＯ Ｕｐｌｉｎｋ Ｓｕｂｓｙｓｔｅｍ：ＧＵＳ）１４０−１，１４０−２（例えば、地上設置型衛星中継器）に引き渡し、さらにアップリンク１４５−１，１４５−２を経由して一つ以上の地球から見て静止しているＧＥＯ衛星（群）１５０−１に引き渡す。次にＧＥＯ衛星（群）１５０−１は、ＷＡＡＳメッセージを含む信号１４５−１，１４５−２をこの例では航空機のようなユーザ１３０に（例えば、ベントパイプ型中継器を通して受信するために）再ブロードキャストする。ＧＵＳ１４０はアップリンク信号１４５のタイミングを維持してこの信号がユーザ１３０に対してＧＥＯ衛星１５０から発信されるＷＡＡＳメッセージ信号１５５として現れるようにする。

補正処理装置１３１及び安全処理装置１３２に加えて、各ＷＭＳ１３０は、本発明の実施形態に従って構成されるインテグリティ検証プロセス（ｉｎｔｅｇｒｉｔｙ ｖｅｒｉｆｉｃａｔｉｏｎ ｐｒｏｃｅｓｓ：ＩＶ）４００を動作させる。本明細書において説明するように、インテグリティ検証プロセス４００が動作することによって、データ処理システム１００がＷＡＡＳアップリンク・メッセージ１４５に適切なインテグリティ推定値を提供すること、及びこれらのインテグリティ推定値及び補正データが許容インテグリティ基準又は限度を超えないことが保証される。具体的には、ＧＰＳ衛星信号１１２に対して補正データがどの程度正確であるかについての信頼水準を示すインテグリティ・データを安全処理装置１３２が計算している間、複数の誤差源が組み合わされて重大な欠陥を有する結果が生成される可能性がある。一般的に、インテグリティ検証プロセス４００は個々の入力を取り込む線形システムとみなすことが可能であり、入力データに付随する形で含ませるのは各特定入力に関するインテグリティ限界である。線形パラメータはいかなる手段によっても設定し得るものであり、入力データには依存しない。ＧＰＳデータ処理システム１００のような安全性重視用途おいては、インテグリティ検証プロセス４００は、補正処理装置１３１が生成する計算インテグリティ限度が常に、高信頼水準の許容インテグリティ基準に合致することを検証又は立証する。

補正処理装置１３１が生成するインテグリティ限界情報が常に、許容インテグリティ基準内にあることを検証又は継続的に保証するインテグリティ検証プロセス４００の動作は以下のように数学的に記述することが可能である。

Ｐを確率関数とする。
各Ｊ_ｉは一組の分布データ（例えば、システムへの入力データ）を表わすとし、この場合、システム１００に対する各誤差源に対応して一つの組が存在する（例えば、クロック誤差に対して一つの組、電離層誤差に対して一つの組、そして衛星軌道誤差に対して一つの組）。

σ_ｉは各Ｊ_ｉに関連するインテグリティ限度を表わすとする。
Ｎを個々の入力Ｊの個数とする。
ｋ_ｉをＮ個の実数の組とする。

Ｐ_ｆａｉｌは危険な誤り情報（Ｈａｚａｒｄｏｕｓｌｙ Ｍｉｓｌｅａｄｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ：ＨＭＩ）を生成する確率、或いは、換言すれば、許容インテグリティ基準に関連する障害確率を表わすとする。ＷＡＡＳシステムについてのＰ_ｆａｉｌは、管理機関（例えばＦＡＡ）によって、例えば１０^−７に設定され得る。１０^−９のような他の値も同様に使用することが可能であり、この場合、低い危険確率を設定することが可能である。

更に、Ｋ_{Ｌｉｍｉｔ}を、本発明の実施形態によって許容インテグリティ限度内での動作が保証される用途によって指定される定数とする。一般的に、Ｋ_{Ｌｉｍｉｔ}は臨界誤差の大きさをσ単位で示す、若しくは定義する。一例として、本発明の実施形態によってインテグリティ基準がＷＡＡＳシステムの垂直（すなわち高度）インテグリティ要求に合致することが保証される場合では、Ｋ_{Ｌｉｍｉｔ}は５．３３に設定すればよい。別の構成では、例えば、滑走路に近づく場合のように特定の高度で飛行している航空機１３０のような特定のユーザの水平インテグリティ要求の場合は、Ｋ_{Ｌｉｍｉｔ}は６．０に設定すればよい。別の例として、単に水平飛行で航行中の（例えば、特定の高度で安定している）航空機ユーザ１３０の水平インテグリティ要求の場合は、Ｋ_{Ｌｉｍｉｔ}は６．１８に設定すればよい。一般的に、Ｋ_{Ｌｉｍｉｔ}の値が小さくなると、データ処理システムの適用又は使用について一層批判的になる。本発明の実施形態は、図１のＷＡＡＳシステムのようなデータ処理システム１００が全ての入力値に対してシステムのインテグリティ要求を満たすことを立証することが可能である。

上記定義を使用すると、本発明の実施形態によってＷＡＡＳのようなデータ処理システム１００が安全に動作することを立証するために、本発明の実施形態は以下の判断を行なう。

上記式（１）において、複数の入力が線形結合として結合されている。定数ｋ_ｉはインテグリティ検証プロセス４００において未知である。従って、インテグリティ検証プロセス４００は、式（１）の不等式が全てのｋ_ｉに対して成り立つことを保証する必要があり、インテグリティ検証プロセス４００がこの不等式を満たすことが可能である場合には、データ処理システムは許容インテグリティ基準内で動作し、安全であることが立証されたことになる。

ＷＡＡＳ１００に適用されるような例として、インテグリティ検証プロセス４００に対する入力は、補正処理装置１３１からの補正データ及びインテグリティ・データとすることが可能であり、システム１００のインテグリティ検証プロセス４００が動作して推定上の問題における全体誤差の限界を規定することが可能である。上に説明したようなＷＡＡＳ１００においては、システムは補正データ及びインテグリティ・データを航空機ユーザ１３０に衛星放送１４５，１５５を介して各誤差源に対応する形で供給するが、この場合、各誤差源は、ＷＡＡＳシステムでは、衛星軌道誤差、衛星クロック同期誤差、及び電離層信号遅延量誤差を含む。ユーザ１３０は、その補正をＧＰＳ衛星測定値に適用して航空機１３０の位置を求める。上記不等式条件を使用して、インテグリティ検証プロセス４００は、各補正（例えば、各誤差源補正）に対するインテグリティ・データを組み合わせて、保護限度（ｐｒｏｔｅｃｔｉｏｎ ｌｉｍｉｔ）又は許容インテグリティ基準を生成することが可能であり、補正における誤差が保護限度又は許容インテグリティ基準を超える場合は、危険な状況が生じ、航空機１３０は補正情報を信用しないように指示されるため、システム１００が許容インテグリティ基準を超えて動作している間は、ＧＰＳシステムをナビゲーション目的に使用してはならない。

ここで、インテグリティ検証プロセス４００が図１に示す例の各ＷＭＳの内部に設けられているように示されているが、インテグリティ検証プロセス４００をシステム１００の他の領域に設けることも同様に可能であることを理解されたい。同様に、本発明の実施形態がＷＡＡＳのようなシステムの動作のインテグリティを検証するためにリアルタイムで動作する必要はないことを理解されたい。従って別の構成では、本発明の機構及び技術はシステムのテスト動作によって収集されるサンプル・データに適用することが可能である。次に、本発明の実施形態では、本明細書に開示するインテグリティ検証処理技術を適用して、システム１００が今後どのような入力を受信するかに拘わらず、システムが許容インテグリティ基準に従って動作することを立証することが可能である。

図２は処理ステップのフローチャートであり、これらの処理ステップは、本発明の一つの例示の実施形態によるインテグリティ検証プロセス４００の動作を示す。
ステップ２０１において、インテグリティ検証プロセス４００は、データ処理システム１００（例えばＷＡＡＳ１００）に含まれる種々の各誤差源に対しての処理ループの動作を開始する。具体的には、ＷＡＡＳ１００に対する誤差源は、衛星軌道誤差、衛星クロック同期誤差、及び／又は電離層誤差を含む可能性がある。

ステップ２０２において、各誤差源に対して（すなわち、ステップ２０１を繰り返す度に）、インテグリティ検証プロセス４００はデータ処理システム１００が処理する情報に関連する少なくとも一組の分布データを取得する。その分布データの組は補正情報及びインテグリティ推定情報を含む。システム１００に関しては、分布データは、例えば特定の誤差源についての補正情報を、当該誤差源についての補正情報のインテグリティ又は信頼度に関連するインテグリティ推定情報とともに含むことが可能である。

次に、ステップ２０３において、インテグリティ検証プロセス４００は各組の分布データ（すなわち、種々の各誤差源についての分布データの組）をステップ２０４及び２０５で処理するように動作する。

ステップ２０４において、インテグリティ検証プロセス４００は、分布データの組に対して積率母関数を適用して、積率限界を有する分布データの結果を生成する。
具体的には、ステップ２０５の処理において詳細に示されるように、インテグリティ検証プロセス４００は積率限界を有するそれぞれの分布データの結果を、分布データの組のそれぞれの関連するインテグリティ推定値に基づいて計算するが、この計算は、分布データの組の該当するインテグリティ推定値が積率限界を有すると判定されるように積率母関数に対する入力値を調整することにより行なわれる。後に簡単に説明するように、積率母関数に対する入力値によって、グラフにより可視化することが可能な結果が生成され、この場合このグラフでは、積率限界を有する分布データの結果の曲線上の少なくとも一点が許容インテグリティ基準の曲線の下方に位置する。

一時的に図３に注意を向けると、この図は積率母関数に対する入力値であって、特定組の分布データについての曲線３０３−１を形成する入力値Ｋ及びαを選択する様子を示す例示のグラフ３００を示している。

図２のステップ２０６に戻ると、インテグリティ検証プロセス４００は、積率限界を有する分布データの結果をインテグリティ限度と比較して、データ処理システムが許容インテグリティ基準内で動作するか否かを判断する。

具体的には、ステップ２０７で触れるように、インテグリティ検証プロセスは、それぞれの積率限界を有する各分布データの結果によって少なくとも一つの値が生成されることを保証し、この場合、この少なくとも一つの値は以下に説明するように、積率母関数に対する適切な入力値を選択することによって積率限界を有する。従って、一つの実施形態では、インテグリティ限度は一組（複数組）の分布データ内に示される誤差の集合の組に関連する最大値を表わす。

ステップ２０８においても触れるように、インテグリティ検証プロセス４００は、それぞれの積率限界を有する各分布データの結果（すなわち、各誤差源に対する各組の分布データに対して生成されている）によって、許容インテグリティ基準（すなわち、別の曲線で表されている）の下方に位置し、かつ積率限界を有する少なくとも一つの値（すなわち、グラフの曲線上の点）が生成されることを保証する。

再度図３に注意をむけると、上に記載したように、この例示のグラフ３００は積率母関数に対する入力値Ｋ及びαを選択する様子を示しており、これらの入力値によって曲線３０３−１が特定組の分布データに対して生成される。グラフ３００はまた、許容インテグリティ基準又はインテグリティ限度の曲線３０４を示している。位置３０５で指定されている領域に示すように、積率限界を有する分布データの結果３０３−１に沿って許容インテグリティ基準曲線３０４の下方になる数多くの点が存在する。従って、この特定組の分布データについての積率限界を有する分布データの結果３０３−１の場合、曲線３０３−１には許容インテグリティ基準曲線３０４の下方になる少なくとも一つの点が存在し、その結果、この特定組の分布データに対して、インテグリティ検証プロセス４００はデータ処理システム１００が許容インテグリティ基準内で動作することを検証した。

このようにして、図２に示す処理ステップの動作によって、インテグリティ検証プロセス４００はＷＡＡＳのようなデータ処理システム１００の正しい動作のインテグリティを検証する。ＷＡＡＳ１００に関して式（１）に表わされる項の前述の定義を使用すると、確率変数Ｊ_ｉは各衛星の補正（例えば、クロック誤差、軌道誤差、及び電離層誤差に対する補正）の誤差分布を表わす。ｋ_ｉの値は最小二乗法を用いて求められ、各ユーザ１３０は、ＧＰＳ衛星１１０，１５０に対するユーザ位置によって決まる特定組のｋを有する。誤差源の各々は該当する組の関連インテグリティ値

を有し、これらのインテグリティ値は、各Ｊ_ｉに関連するインテグリティ限度を表わす。式（１）からインテグリティ限度は次式で表わされ、

これは、Ｊ_ｉ内の各Ｊからの複合誤差を考慮したインテグリティ限度を表わし、各衛星におけるインテグリティ値の自乗和平方根値（Ｒｏｏｔ Ｓｕｍ Ｓｑｕａｒｅ：ＲＳＳ）を使用して計算される。一般的に、航空機ユーザ１３０は、Ｎ＝１２の衛星及びＫ_{ｌｉｍｉｔ}＝５．３３という値を使用する。航空機ユーザ１３０についての誤差の分布は、各衛星の分布を合計

する（すなわち分布の畳み込みを計算する）ことにより計算することが可能である。従って、インテグリティ検証プロセス４００は次式を保証するように動作することが可能である。

不等式が満たされない状況が存在する場合、調整を行なって、例えばデータ処理システム１００の精度を上げる、或いは航空機ユーザ１３０にブロードキャストされるインテグリティ推定値を大きくすることが可能である。

ステップ２０４において説明したように、インテグリティ検証プロセス４００は、一組の分布データに対して積率母関数を適用して、積率限界を有する分布データの結果を生成する。一般的に、Ｘを変数とする積率母関数ｍ_Ｘ（ｔ）は次式で定義される。

上式においてｐ_Ｘ（ｕ）は確率変数Ｘの確率密度関数であり、従って、ｍ_Ｘ（ｔ）が存在し、かつ任意の実数ｔに対して、

を満たす場合に、Ｘは（Ｋ，σ^２）の積率限界を有する。この定義は、データ処理システムの動作のインテグリティの保証に関するいかなる従来システムにおいても行なわれていない。しかしながら、前述の定義におけるＸ，ｍ_Ｘ（ｔ）に代えて使用し得る特定の積率母関数の定義は容易に数学文献より入手可能である。

図４は処理ステップの更に詳細なフローチャートであり、これらの処理ステップをインテグリティ検証プロセス４００が実施して、（上記の）式（１）がＪ_ｉの全ての組み合わせ、及びｋ_ｉの全てに対して成り立つことを保証することが可能である。換言すれば、図４の実施形態の処理ステップはインテグリティ検証プロセス４００の更に詳細な処理動作を示しており、この動作によって、図２に関して上述したフローチャートのステップを実施して達成されるものと同一の目的が達成される。

ステップ２２０において、インテグリティ検証プロセス４００は、各誤差源（例えば、軌道誤差、クロック誤差、電離層誤差のうちの一つ以上の誤差）に対して行なわれる処理ループに進行する。このループでは、インテグリティ検証プロセス４００は各Ｊ_ｉに対する分布データの代表的な組を収集し、各誤差源は関連するインテグリティ値σ_ｉの組を有する。

一時的に図５に注意を向けると、この図の右側の４つのグラフ３４０は、特定の誤差源の特定の衛星についての４組の分布データの各例示のグラフを表わしている。
図４のフローチャートに戻ると、ステップ２２１においてインテグリティ検証プロセス４００は、各組の分布データに対して動作する別の処理ループに進行する。

ステップ２２２において、インテグリティ検証プロセスは、各組の分布データの積率母関数

を計算する。図５に注意を戻すと、この図の左側のグラフ３３０は、図の右側のグラフ３４０によって示されるそれぞれの組の分布データに対して適用されるそれぞれの積率母関数を表わしている。図４のステップ２２２の動作において、インテグリティ検証プロセスは、一組の分布データについての積率母関数に対する入力値Ｋ及びαを次の条件に従って選択する。

条件Ｉ） 全てのＪ_ｉが（Ｋ，（α・σ^２））の積率限界を有する。
条件ＩＩ）

が満たされる。

これらの条件において、
Ｋ及びαは積率母関数に対する入力数値である；
Ｋ_{Ｌｉｍｉｔ}は臨界誤差の大きさをσ単位で定義する；
ｅは自然対数の底を表わす；
Ｐ_ｆａｉｌは許容インテグリティ基準の値である。

換言すれば、ステップ２２２において、積率母関数を適用している間に、インテグリティ検証プロセス４００は積率母関数に対する入力数値Ｋ及びαを選択して、少なくとも一組の分布データの全ての入力分布が積率限界を有するという第１条件が満たされ、かつ少なくとも一組の分布データの各々に関連するインテグリティ推定値の自乗和平方根値が障害確率以下になるという第２条件も満たされるようにする。ステップ２２２の処理は、ステップ２２０において収集される、或いは取得される各組の分布データに対して実施される。

以下に図６に注意を向けると、この図は、１２組の分布データについての積率母関数に対する入力値Ｋ及びαにより形成される曲線３０３−１〜３０３−Ｘのグラフ３００を示している。換言すれば、図６のグラフ３００の各曲線３０３は、上述の条件Ｉを１回繰り返した場合の積率限界を有する分布データの結果を示している。上述の条件ＩＩは曲線３０４によって示され、この曲線は許容インテグリティ基準に対応する入力値Ｋ及びαを表わす。

図４のフローチャートに戻ると、ステップ２２３において、インテグリティ検証プロセス４００は、Ｋ及びαの値がステップ２２２の条件Ｉ及び条件ＩＩを満たすと判断できるか否かを決定する。換言すれば、インテグリティ検証プロセスは、（図６のグラフ３００において）許容インテグリティ基準曲線３０４の下方に在り、かつ積率限界を有する分布データの結果の全ての曲線３０３の上方に在る領域３０５が存在するか否かを判断する。ステップ２２３において、条件Ｉ及び条件ＩＩの両方が満たされると判断された場合、処理はステップ２２４に進行する。

ステップ２２４において、インテグリティ検証プロセス４００はデータ処理システム１００が許容インテグリティ基準内で動作していると判断する。換言すれば、図６のグラフ３００において曲線３０４の下方に在り、かつ全ての曲線３０３の上方に在るような領域３０５が存在する。データ処理システム１００がインテグリティ検証プロセス４００と連動して、継続的に、若しくはリアルタイムに動作している場合、処理はステップ２２４からステップ２２０に周期的な間隔で（例えば、選択された時間間隔で、若しくは直ちに）戻って、データ処理システム１００が許容インテグリティ基準に従って動作していることを継続的に確認又は検証することが可能である。

ステップ２２３に注意を戻すと、Ｋ及びαの値がステップ２２２の条件Ｉ及び条件ＩＩの両方を満たすとは判断出来なかった場合、処理はステップ２２５又はステップ２２６のいずれかに進行する。いずれの場合においても、条件Ｉ及び条件ＩＩのいずれか一方、或いは両方がステップ２２２において満たされない場合、インテグリティ検証プロセス４００は、現在の分布データの組及び関連する許容インテグリティ推定値に基づいて、データ処理システム１００が許容インテグリティ基準内で動作していない（すなわち、図６の当該領域３０５が存在しない）と判断してしまう。

ステップ２２５において、インテグリティ検証プロセスは、ステップ２２２の条件Ｉ及び条件ＩＩが満たされるまでＫ及びαの値を調整することによってステップ２２２の条件Ｉ及び条件ＩＩを満たそうとすることが可能である。従って、インテグリティ検証プロセス４００における処理は、Ｋ及びαの値を無事に決定することができるまで、継続的に、若しくは繰り返して実施することが可能である。別の構成として、Ｋ及びαの値をステップ２２２で無事に決定することが出来ない場合には、処理をステップ２２３からステップ２２６に進行させることが可能である。

ステップ２２６において、本発明の技術範囲外のデータ処理システム又は他の機構の操作者は、データ処理システム１００の精度を向上させようと試行することが可能であり、処理をステップ２２０に戻して新規の分布データの組をデータ処理システム１００の動作を調整することにより再収集してシステムの精度を向上させようとすることが可能である。このようにして、インテグリティ検証プロセス４００の実施形態は、ＷＡＡＳのようなデータ処理システム１００の動作のインテグリティを継続的に検証することが可能である。

図７は、本発明の実施形態に従って構成されるインテグリティ検証プロセス４００−２を動作させるコンピュータ・システム５１０の例示のアーキテクチャを示している。コンピュータ・システム５１０は相互接続機構５１１を含み、この相互接続機構は、メモリ・システム５１２、処理装置５１３、及び一つ以上の通信インターフェイス５１４を接続する。メモリ５１２は任意のタイプのコンピュータ可読媒体であり、このような媒体としては、例えば半導体メモリ（例えば、ランダム・アクセス・メモリ−ＲＡＭ又はリード・オンリー・メモリ−ＲＯＭ）、ファームウェア・メモリ、磁気ストレージ又は光ストレージ、或いは他の任意のタイプのメモリ・ストレージ・システムが挙げられる。メモリ５１２は、インテグリティ検証アプリケーション４００−１を形成する論理命令及び／又はデータによって符号化されている。処理装置５１３は、任意のタイプの処理ユニット（例えば、マイクロプロセッサ又は中央処理ユニット）、制御装置、プログラマブル・ゲート・アレイ（ＰＧＡ）、又は特定用途向け集積回路（ＡＳＩＣ）等であり、この処理装置は、メモリ５１２内部で符号化されたインテグリティ検証アプリケーション４００−１にアクセスして、アプリケーションを実施する、実行する、変換する、走らせる、又は動作させてインテグリティ検証プロセス４００−２を形成する機能を備える。すなわち、インテグリティ検証プロセス４００−２はインテグリティ検証アプリケーション４００−１の実行時動作を表わす。コンピュータ・システム５１０は、ＷＡＡＳのようなシステム、又は本発明を適用してシステムの動作のインテグリティを確認し得る他の任意のシステムに設けることが可能である。

この技術分野の当業者であれば、上に説明した実施形態に対して、一般的に、これらの実施形態及び本発明と同一の目的を達成しつつ、数多くの変更を加えることが可能であることが分かるであろう。このような変更は本発明の技術範囲に含まれるものであると意図される。従って、本発明の実施形態に関するこれまでの記述が本発明を制限するものであるとは意図されない。

本発明の一つの実施形態に従って動作するインテグリティ検証プロセスを使用して構成されるＷＡＡＳと連動して動作するＧＰＳシステムを含む例示のデータ処理システム環境１００。 本発明の例示の一つの実施形態に従って構成されるインテグリティ検証プロセスが実施する処理ステップのフローチャート。 一組の分布データに対して積率母関数を適用している間に使用される入力曲線を、許容インテグリティ基準を表わす曲線と比較する形で示すグラフ。 本発明の実施形態を更に詳細な形で示す処理ステップのフローチャートであって、複数組の分布データに対して積率母関数を適用する様子を示すフローチャート。 ４つの誤差源についての例示の複数組の分布データを各組の分布データについて計算された積率母関数と比較する形で示す図。 複数組の分布データに対して積率母関数を適用している間に使用される各組の入力についての曲線を、許容インテグリティ基準を表わす曲線と比較する形で示すグラフ。 本発明の実施形態に従って構成されるインテグリティ検証プロセスにおいて動作するコンピュータ装置の例示のアーキテクチャ。

Claims (18)

1. 信号ベースのナビゲーション・システムの動作のインテグリティを評価する方法であって、
   前記信号ベースのナビゲーション・システムが処理する情報に関連する少なくとも一組の分布データであって、各組の分布データは、一つの確率分布を表し、前記信号ベースのナビゲーション・システムのユーザの位置に関する補正情報及びインテグリティ推定情報を含み、前記確率分布の各確率は、前記信号ベースのナビゲーション・システムのユーザの位置に関連する補正の誤差の確率である、前記少なくとも一組の分布データを取得するステップと、
   前記少なくとも一組の分布データに対して積率母関数を適用して、積率限界を有する分布データの結果を生成するステップと、
   前記積率限界を有する分布データの結果を前記少なくとも一組の分布データ内で表わされる誤差の集合の組に関連する最大値を表わすインテグリティ限度と比較して、前記信号ベースのナビゲーション・システムが許容インテグリティ基準内で動作するか否かを判断するステップと、
   を備える方法。
2. 請求項１に記載の方法において、前記少なくとも一組の分布データは複数組の分布データを含み、該複数組の分布データの各組の分布データは、
   ｉ） 単一モードではない、
   ｉｉ） 平均がゼロにならないような非対称性を示す、
   ｉｉｉ） 前記信号ベースのナビゲーション・システムの実際の動作から収集される分布データである、
   のうちの少なくとも一つである、方法。
3. 請求項１に記載の方法において、
   前記分布データは複合誤差限界を形成する少なくとも一つのインテグリティ推定値を含み、
   前記積率母関数を適用するステップ及び前記積率限界を有する分布データの結果を比較するステップによって、前記分布データ内で表わされる誤差の全ての考えられる組み合わせの限界が前記少なくとも一つのインテグリティ推定値によって規定されると判断する、方法。
4. 請求項１に記載の方法において、前記積率母関数を適用するステップ及び前記積率限界を有する分布データの結果を比較するステップの両方によって、畳み込み解析操作が前記分布データの組に対して行われ、その結果、前記積率母関数から積率限界を有する分布データの結果が生成され、該分布データの結果によって、前記分布データの組のインテグリティ推定情報及び補正情報に表される誤差の組み合わせが、前記信号ベースのナビゲーション・システムから得られる前記分布データの組の誤差の全ての組み合わせを考慮したインテグリティ限度を超えないことが保証される、方法。
5. 請求項１に記載の方法において、信号ベースのナビゲーション・システムは広域補強システム、地域補強システム、及び全地球的ナビゲーション衛星システムのうちの少なくとも一つである、方法。
6. 請求項５に記載の方法において、前記分布データの組に含まれる補正情報及びインテグリティ推定情報は、前記信号ベースのナビゲーション・システムのナビゲーション誤差源に関するものであり、該ナビゲーション誤差源は、衛星軌道誤差、衛星クロック誤差、及び衛星信号電離層遅延量誤差のうちの少なくとも一つを含む、方法。
7. 請求項１に記載の方法は、
   前記信号ベースのナビゲーション・システムのリアルタイム動作の間に、前記取得するステップ、前記適用するステップ、及び前記比較するステップを実施するステップを備え、
   前記取得するステップは、
   前記適用するステップ及び前記比較するステップによって前記信号ベースのナビゲーション・システムの動作が確実に許容インテグリティ基準内で行なわれるように、前記少なくとも一組の分布データを前記信号ベースのナビゲーション・システムのリアルタイム動作から取得するステップを備える、方法。
8. 請求項１に記載の方法は、
   前記信号ベースのナビゲーション・システムのリアルタイム動作の間に、前記少なくとも一組の分布データを取得して、少なくとも一つのサンプル組の分布データを収集するステップを実施するステップと、
   前記適用するステップ及び前記比較するステップを前記少なくとも一つのサンプル組の分布データに対して前記信号ベースのナビゲーション・システムの非リアルタイム動作で実施して、前記信号ベースのナビゲーション・システムが許容インテグリティ基準内で動作することを立証するステップと、を備える、方法。
9. 請求項１に記載の方法は、さらに、
   前記少なくとも一組の分布データに対してガウス分布関数を適用して、ガウス分布限界を有する分布データの結果を生成するステップと、
   前記ガウス分布限界を有する分布データの結果をインテグリティ限度と比較して、前記信号ベースのナビゲーション・システムが許容インテグリティ基準内で動作するか否かを判断するステップと、を備える、方法。
10. 請求項１に記載の方法は、さらに、
    前記少なくとも一組の分布データに対してオーバーバウンド分布関数を適用して、オーバーバウンドされた限界を有する分布データの結果を生成するステップと、
    前記オーバーバウンドされた限界を有する分布データの結果をインテグリティ限度と比較して、前記信号ベースのナビゲーション・システムが許容インテグリティ基準内で動作するか否かを判断するステップと、を備える、方法。
11. 請求項１に記載の方法において、前記少なくとも一組の分布データを取得するステップは、
    複数組の分布データを生成するために、前記信号ベースのナビゲーション・システムを動作させるステップであって、各組は該当する関連インテグリティ推定値を有する、前記信号ベースのナビゲーション・システムを動作させるステップを備え、
    前記積率母関数を適用するステップは、
    前記複数組の分布データの各々に対して該当する関連インテグリティ推定値に基づいて、積率限界を有する該当する分布データの結果を計算するステップであって、この計算は、各組の分布データの該当するインテグリティ推定値が積率限界を有するように積率母関数に対する入力値を調整することにより行なわれる、積率限界を有する該当する分布データの結果を計算するステップを備え、
    前記積率限界を有する分布データの結果をインテグリティ限度と比較するステップは、
    積率限界を有する各該当する分布データの結果から積率限界を有する少なくとも一つの値が生成されることを保証するステップと、
    積率限界を有する各該当する分布データの結果から許容インテグリティ基準の下方に積率限界を有する少なくとも一つの値が生成されることを保証するステップと、を備える、方法。
12. 請求項１に記載の方法において、前記積率母関数を適用するステップは、
    ｉ） 第１条件：前記少なくとも一組の分布データにおける全ての入力分布が積率限界を有すること、
    ｉｉ） 第２条件：前記少なくとも一組の分布データの各組の分布データに関連するインテグリティ推定値の自乗和平方根値が障害確率以下となること、
    である第１条件及び第２条件の両方を満たすように、積率生成限界に対する入力値を選択するステップを備える、方法。
13. 請求項１に記載の方法において、前記少なくとも一組の分布データに対して積率母関数を適用して、積率限界を有する分布データの結果を生成するステップは、
    次式で定義される、Ｘを変数とする積率母関数ｍ_Ｘ（ｔ）を適用するステップを備え、
    上式においてｐ_Ｘ（ｕ）は確率変数Ｘの確率密度関数であり、従って、ｍ_Ｘ（ｔ）が存在し、かつ任意の実数ｔに対して、
    である場合に、Ｘは（Ｋ，σ^２）の積率限界を有する、方法。
14. 請求項１に記載の方法において、
    前記信号ベースのナビゲーション・システムに対する少なくとも一つの誤差源が存在し、
    前記信号ベースのナビゲーション・システムに対する入力を表わし、かつ前記信号ベースのナビゲーション・システムに対する該当する各誤差源について収集される複数組の分布データＪ_ｉが存在し、
    前記少なくとも一つの誤差源の各々が、各Ｊ_ｉに関連するインテグリティ限度を表わす該当する組の関連インテグリティ値
    の組を有し、
    前記少なくとも一組の分布データに対して積率母関数を適用するステップは、
    各組の分布データの積率母関数
    を計算するステップと、積率生成限界に対する入力値Ｋ及びαを選択するステップであって、
    ｉ） 全てのＪ_ｉが（Ｋ，（α・σ^２））の積率限界を有し
    ｉｉ）
    を満たすように、積率生成限界に対する入力値Ｋ及びαを選択するステップとを備え、ここで、
    Ｋ及びαは前記積率生成限界に対する入力数値であり、
    Ｋ_{Ｌｉｍｉｔ}は臨界誤差の大きさをσ単位で定義し、
    ｅは自然対数の底を表わし、
    Ｐ_ｆａｉｌは前記許容インテグリティ基準の値である、方法。
15. コンピュータ・システムであって、
    通信インターフェイスと、
    メモリと、
    処理装置と、
    前記通信インターフェイス、前記メモリ、及び前記処理装置を接続する相互接続機構と、を備え、
    前記メモリはインテグリティ検証アプリケーションを使用して符号化され、該インテグリティ検証アプリケーションを前記処理装置上で実行すると、インテグリティ検証プロセスが生成され、信号ベースのナビゲーション・システムの動作のインテグリティを、
    前記信号ベースのナビゲーション・システムが処理する情報に関連する少なくとも一組の分布データであって、各組の分布データは、一つの確率分布を表し、前記信号ベースのナビゲーション・システムのユーザの位置に関する補正情報及びインテグリティ推定情報を含み、前記確率分布の各確率は、前記信号ベースのナビゲーション・システムのユーザの位置に関連する補正の誤差の確率である、前記少なくとも一組の分布データを取得する処理と、
    前記少なくとも一組の分布データに対して積率母関数を適用して、積率限界を有する分布データの結果を生成する処理と、
    前記積率限界を有する分布データの結果を前記少なくとも一組の分布データ内で表わされる誤差の集合の組に関連する最大値を表わすインテグリティ限度と比較して、前記信号ベースのナビゲーション・システムが許容インテグリティ基準内で動作するか否かを判断する処理と
    を実行することにより評価する、コンピュータ・システム。
16. 請求項１５に記載のコンピュータ・システムにおいて、前記積率母関数を適用するステップ及び前記積率限界を有する分布データの結果を比較するステップの両方によって、前記処理装置は畳み込み解析操作を前記分布データの組に対して実行して、その結果、前記積率母関数から積率限界を有する分布データの結果が生成されるようになり、該分布データの結果によって前記分布データの組のインテグリティ推定情報及び補正情報において表わされる誤差の組み合わせが、前記信号ベースのナビゲーション・システムから得られる前記分布データの組の全ての複合誤差を考慮したインテグリティ限度を超えないことが保証される、コンピュータ・システム。
17. コンピュータ・システムであって、
    通信インターフェイスと、
    メモリと、
    処理装置と、
    前記通信インターフェイス、前記メモリ、及び前記処理装置を接続する相互接続機構と、を備え、
    前記メモリはインテグリティ検証アプリケーションを使用して符号化され、該インテグリティ検証アプリケーションを前記処理装置上で実行すると、インテグリティ検証プロセスが生成され、該インテグリティ検証プロセスは前記コンピュータ・システムが信号ベースのナビゲーション・システムの動作のインテグリティを評価する手段を提供し、該手段は、
    前記信号ベースのナビゲーション・システムが処理する情報に関連する少なくとも１組の分布データであって、各組の分布データは、一つの確率分布を表し、前記信号ベースのナビゲーション・システムのユーザの位置に関する補正情報及びインテグリティ推定情報を含み、前記確率分布の各確率は、前記信号ベースのナビゲーション・システムのユーザの位置に関連する補正の誤差の確率である、前記少なくとも一組の分布データを取得する手段と、
    前記少なくとも一組の分布データに対して積率母関数を適用して、積率限界を有する分布データの結果を生成する手段と、
    前記積率限界を有する分布データの結果をインテグリティ限度と比較して、前記信号ベースのナビゲーション・システムが許容インテグリティ基準内で動作するか否かを判断する手段と、を含む、コンピュータ・システム。
18. 符号化されたコンピュータ・プログラム論理を含むコンピュータ可読媒体を有するコンピュータ・プログラムであって、前記コンピュータ・プログラム論理を、メモリ及び処理装置を接続する形で有するコンピュータ・システム上で実行すると、前記コンピュータ・システムが信号ベースのナビゲーション・システムの動作のインテグリティを評価する方法が、
    前記信号ベースのナビゲーション・システムが処理する情報に関連する少なくとも１組の分布データであって、各組の分布データは、一つの確率分布を表し、前記信号ベースのナビゲーション・システムのユーザの位置に関する補正情報及びインテグリティ推定情報を含み、前記確率分布の各確率は、前記信号ベースのナビゲーション・システムのユーザの位置に関連する補正の誤差の確率である、前記少なくとも一組の分布データを取得する処理と、
    前記少なくとも一組の分布データに対して積率母関数を適用して、積率限界を有する分布データの結果を生成する処理と、
    前記積率限界を有する分布データの結果をインテグリティ限度と比較して、前記信号ベースのナビゲーション・システムが許容インテグリティ基準内で動作するか否かを判断する処理と、
    を実施することにより提供される、コンピュータ・プログラム。