>>===Так в чем нетривиальность определить один неисправный прибор из трех? Те два, показания которых совпадают - исправные. Неожиданно, да?
>
> В данном конкретном случае для трех датчиков так делать нельзя. Я выше объяснял почему. Если близки показания двух датчиков стоящих на одном борту, а стоящего на другом отличаются то это не значит что он неисправен. Самолет может просто лететь со скольжением. Сделать третий датчик того-же типа аэродинамически независимым на практике не получается. Самолет симметричен относительно плоскости угла атаки и любой датчик будет экранироваться конструкцией от бокового обдува с одной или другой стороны. Вынести в поток в плоскости симметрии на палочке - будет фазу луны показвать при ненулевом тангаже. Воткнуть три на один борт - точность с косым обвувом упадет до неприемлемой. Вот поэтому ADIRS не может использовать примитивный мажоритарный алгоритм. О том что обработка аналоговох сигналов от нескольких датчиков тоже достаочно сложный поцесс вам ув. bedal уже ответил.
====Допустим, первый ADIRS подключаем к первому датчику, второй - ко второму, а третий переключается между первым и вторым каждые несколько секунд. В этом случае неисправность ADIRS элементарно диагностируется. Кроме того, можно ввести запрет на вмешательство в управление при неадекватных показаниях хотя бы одного датчика с выводом предупреждения пилотам.
>====Допустим, первый ADIRS подключаем к первому датчику, второй - ко второму, а третий переключается между первым и вторым каждые несколько секунд. В этом случае неисправность ADIRS элементарно диагностируется.
Алгоритм в ADIRS был сложнее но иделогически чемто похожий. Заклинивание датчика на любом значении или шум вместо сигнала он отлавливал хорошо. При этом у него на входе еще и сигнал исправности от схемы самоконтроля каждого ADIRU (в этом полете не сработал). Но никто не ожидал что сбойный ADIRU будет гнать предельное значение не постоянно, а периодами. Несколько таких перидов произошли в "удачные" для алгоритма ADIRS мометы времени и имели серьезные последствия. Вот и вас тот-же пробой - мерцающий сбой в "проверяющем" ADIRS тоже может натворить делов. Подобные системы тестируют по сотням сценариев и я уверен что придуманный на ходу метод провалится на очень многих.
ЗЫ: С этим бортом была похожая ситуация несколько раньше но индикатор сигнала отказа от схемы самоконтроля ADIRU мерцал в такт с импульсами и экипаж выключил неисправный комплект. Алгоритм в ADIRS не считал такие краткосрочные отказы реальными и пришлось экипажу вмешаться.