-
Die
Erfindung betrifft ein elektronisches Flugsteuerungssystem, bei
dem hydraulische und elektromechanische Aktuator-Module zur Bewegung
der Flugsteuerflächen
von Aktuator-Steuer-Elektroniken (ACEs (ACE = Actuator Control Electronic))
gesteuert werden.
-
Bei
solchen elektronischen Flugsteuerungssystemen ist es von besonderer
Wichtigkeit, die Funktion des Gesamtsystems zu garantieren, auch wenn
einzelne Elemente aufgrund von Fehlern ausfallen. Hierzu wird im
Allgemeinen ein redundanter Aufbau mit mehreren parallel arbeitenden
Teilsystemen gewählt,
um die Sicherheit und Zuverlässigkeit des
Gesamtsystems zu verbessern.
-
Bekannt
sind hierfür
zentrale mehrfach redundante Rechnersysteme, bei denen jeder der
zentralen Steuerungscomputer die z. B. von Sidesticks oder herkömmlichen
Steuersäulen
mit Sensoren vom Piloten erzeugten Vorgaben entgegennimmt, verarbeitet
und mit den verarbeiteten Vorgaben mehrere oder alle Aktuatoren
ansteuert.
-
Weiterhin
ist aus
US-893339 ein
elektronisches Flugsteuerungssystem bekannt, bei welchem mehrere
parallel geschaltete primäre
Rechnersysteme kompliziertere Regelungsaufgaben übernehmen, während ebenfalls
parallel arbeitende ACEs die Aktuator-Module ansteuern, so dass
bei einem Ausfall der primären
Rechner die Aktuator-Module immer noch direkt von den ACEs angesteuert
werden können.
Allerdings sind auch hier die ACEs große zentrale Einheiten, welche
eine Vielzahl von Aktuator-Modulen gleichzeitig ansteuern. Hieraus
ergeben sich einerseits Probleme für die Sicherheit, da bei Ausfall
einer ACE gleich eine Mehrzahl von Aktuator-Modulen betroffen ist.
Auch sind die Steuerungen im Aufbau kompliziert, was das Bemerken
von Fehlern im Software- oder Hardware-Aufbau erschwert. Des Weiteren
ergeben sich Wartungs- und Kostenprobleme, da die zentralen Einheiten
bei einem Fehler komplett ausgetauscht werden müssen. Auch muß das komplette
System für
jeden Flugzeugtyp neu entwickelt werden, um der unterschiedlichen
Anzahl an Aktuator-Modulen gerecht zu werden.
-
Aufgabe
der Erfindung ist es deshalb, ein elektronisches Flugsteuerungssystem
zur Verfügung zu
stellen, welches sicher, einfach zu warten und leicht an unterschiedliche
Flugzeugmodelle anzupassen ist.
-
Erfindungsgemäß wird diese
Aufgabe von einem modularen elektronischen Flugsteuerungssystem
nach Anspruch 1 gelöst.
Ein solches modulares elektronisches Flugsteuerungssystem umfasst
dabei ein Kernsystem aus Aktuator-Modulen und Aktuator-Steuerelektroniken
(ACEs), wobei jedem einzelnen Aktuator-Modul eine eigene ACE zugeordnet
ist, welche Pilotenvorgaben direkt empfängt und darüber das Aktuator-Modul steuern
kann.
-
Zum
einen ist der modulare Aufbau besonders sicher, da beim Ausfall
eines ACEs die anderen ACEs nicht gestört werden und damit alle anderen Aktuator-Module
weiterarbeiten. Redundante Systeme können also einfach dadurch geschaffen
werden, dass an jeder Flugsteuerungsachse mehrere Aktuator-Module
mit den ihnen zugeordneten ACEs angebracht werden. Fällt eine
der ACEs oder der Aktuator-Module
aus, sind immer noch die anderen Module vorhanden, um die entsprechen de
Funktion sicher anzusteuern. Ebenso erleichtert der modulare Aufbau
die Wartung, da die Funktionsfähigkeit
der Teilsysteme leicht zu testen ist und im Fehlerfall auch nur das
eine schadhafte Teil ausgetauscht werden muß. Weiterhin ist ein solches
modulares System leicht an unterschiedliche Flugzeugtypen anzupassen,
da bei einer unterschiedlichen Anzahl von benötigten Aktuator-Modulen einfach
nur weitere Module mit ihren zugeordneten ACEs zu dem System hinzugefügt werden
müssen.
Dadurch, dass eine ACE nur ein Aktuator-Modul ansteuern muß, kann
die ACE relativ einfach aufgebaut sein, was Entwicklungskosten spart
und die Sicherheit erhöht,
da Fehler in Software und Hardware leichter erkannt werden können.
-
Vorteilhafterweise
weist das erfindungsgemäße modulare
elektronische Flugsteuerungssystem neben dem Kernsystem mindestens
einen primären
Flugsteuerungsrechner auf, der die Pilotenvorgaben verarbeitet und
den ACEs im Normalmode die Sollwerte anstelle der direkten Pilotenvorgaben liefert.
Komplexe Regelungsaufgaben, welche den Piloten die Steuerung des
Flugzeugs erleichtern, können
also von den vom Kernsystem getrennten primären Flugsteuerungsrechnern
ausgeführt
werden. Fallen diese primären
Flugsteuerungsrechner aus, kann das Flugzeug aber immer noch mit
Hilfe des Kernsystems direkt vom Piloten gesteuert werden.
-
Vorteilhafterweise
umfassen die ACEs des erfindungsgemäßen modularen elektronischen
Flugsteuerungssystems dabei eine Auswahl-Logik, die entscheidet,
ob die direkten Pilotenvorgaben oder die Sollwerte der primären Flugsteuerungsrechner
zur Steuerung der Aktuator-Module verwendet werden. Diese Auswahl-Logik
stellt sicher, daß im
Notfall auf die direkte Steuerung durch das Kernsystem zurückgegriffen
wird, so daß die
Sicherheit erhöht
wird.
-
Weiterhin
vorteilhafterweise verwendet die Auswahl-Logik die direkten Pilotenvorgaben
zur Steuerung der Aktuator-Module, wenn keine Sollwerte von den
primären
Flugsteuerungsrechnern vorliegen oder diese fehlerhaft oder widersprüchlich sind. Dadurch
wird ein Ausfall oder Fehler der primären Flugsteuerungsrechner sicher
erkannt und eine sichere Steuerung über das Kernsystem gewährleistet. Auch
kann die Auswahl-Logik beim Einsatz mehrerer primärer Flugsteuerungsrechner
durch Vergleich der von diesen bereitgestellten Sollwerte entscheiden, ob
ein korrekter Sollwert identifiziert werden kann, welcher dann zur
Steuerung der Aktuator-Module verwendet wird. Andernfalls wird zur
Sicherheit auf die direkten Pilotenvorgaben zurückgegriffen.
-
Vorzugsweise
besteht jede ACE aus einem duplex-redundanten fehlerselbsterkennenden
Rechnersystem, welches aus einer Steuereinheit und einer Überwachungseinheit
besteht. Hierdurch wird ein unerkanntes Fehlverhalten der ACEs ausgeschlossen,
da ein Fehler der Steuereinheit von der parallelen Überwachungseinheit
bemerkt wird. Gegebenenfalls versetzt sich die ACE dann in einen
sicheren passiven Zustand.
-
Weiterhin
vorteilhafterweise unterscheiden sich die Steuereinheit und die Überwachungseinheit der
ACEs sowohl im Aufbau ihrer Software als auch im Aufbau ihrer Hardware.
Hierdurch ist sichergestellt, dass in den Steuer- und Überwachungseinheiten
keine gleichartigen gemeinsamen Fehlerereignisse auftreten können, was
die Sicherheit weiter erhöht.
-
Vorteilhafterweise
sind die ACEs und die Aktuator-Module als getrennte Einheiten ausgeführt, so daß die Elektronik
leicht zugänglich
zentral angeordnet werden kann und so leicht zu warten ist.
-
Weiterhin
vorteilhafterweise sind die ACEs in einem oder mehreren Übergehäusen untergebracht, wodurch
sich die elektrischen und mechanischen Interfaces vereinfachen.
Bei sicherheitskritischen Flugsteuerungsachsen wird vorteilhafterweise
der gleichzeitige Ausfall aller ACEs aufgrund eines gemeinsamen
Fehlerereignisses durch die Aufteilung der Module in zwei Übergehäuse und
die Verwendung zweier verschiedener Arten von ACEs ausgeschlossen, wobei
sich die beiden Arten von ACEs sowohl in ihrem Hardware-Aufbau als
auch in ihrem Software-Aufbau unterscheiden.
-
An
einer sicherheitskritischen Steuerfläche greifen dabei zwei Aktuator-Module
an, wobei das eine Aktuator-Modul von einer ACE des einen Typs gesteuert
wird, während
das andere Aktuator-Modul von einer ACE des anderen Typs gesteuert
wird. Da nur eines der Aktuator-Module ausreicht, um die Steuerungsfläche zu bewegen,
ist auch nur eines der Aktuator-Module aktiv, während das andere Aktuator-Modul
passiv in einem Warte-Modus bleibt. Tritt dagegen ein Fehler im
aktiven Aktuator-Modul
bzw. in dessen Steuerung auf, wird dieses Aktuator-Modul in den
sicheren passiven Modus geschaltet, und das bisher passive Aktuator-Modul übernimmt
die Ansteuerung der Steuerfläche.
-
Während bestehende
elektronische Flugsteuerungssysteme auf analogen ACEs und mechanischen
Notsteuer-Einrichtungen basieren, wird damit eine modulare, vollständig Mikroprozessor-basierte
elektronische Anlage mit insgesamt vier verschiedenen dissimilaren
Rechnerkanälen
pro Steuerfläche
realisiert.
-
Bei
Einsatz des mindestens einen primären Flugsteuerungsrechners
werden die Pilotenvorgaben im primären Flugsteuerungsrechner vorteilhafterweise
durch verschiedene statische und dynamische Parameter der Fluglage
und Flugsituation in vorbestimmten Regelgesetzen moduliert und dann
als Sollwerte wieder an die ACEs abgegeben. Anhand dieser Sollwerte
steuern nun die ACEs die Aktuator-Module an. Umfang und Art der Regelgesetze sind
dabei aufgrund der variablen Applikationssoftware der Flugsteuerungsrechner
weitgehend beliebig und werden von Flugzeug zu Flugzeug durch die aerodynamischen
und funktionalen Anforderungen neu bestimmt. Auch dies spart Kosten,
da nur die Software für
die primären
Flugsteuerungsrechner geändert
werden muß,
während
die ACEs in allen Flugzeugtypen verwendet werden können.
-
Vorteilhafterweise
sind auch die primären Flugsteuerungsrechner
ein duplex-redundantes
fehlerselbsterkennendes Rechnersystem aus einer Steuereinheit und
einer Überwachungseinheit.
Auch dabei unterscheidet sich die Steuereinheit und die Überwachungseinheit
der primären
Flugsteuerungsrechner vorteilhafterweise sowohl im Aufbau ihrer Software
als auch im Aufbau ihrer Hardware. Wie bei den ACEs ist durch diesen
Aufbau die fehlerhafte Generierung von Sollwerten für das Kernsystem
durch ein gleichartiges Fehlerereignis ausgeschlossen. Tritt eine
beliebige Diskrepanz zwischen Steuereinheit und Überwachungseinheit auf, so
schaltet sich der primäre
Flugsteuerungsrechner selbständig
in einen sicheren passiven Modus.
-
Während der
heutige Stand der Technik für ähnliche
Anwendungen eine starre Rechnerkonfiguration vorsieht, sind die
hier beschriebenen primären Flugsteuerungsrechner
in ihrer Anzahl flexibel. Je nach Anforderung an die Verfügbarkeit
können
ein oder mehrere Flugsteuerungsrechner parallel eingesetzt werden.
-
Vorteilhafterweise
steuern die primären
Flugsteuerungsrechner die ACEs in einem normalen Flugsteuerungsmodus über die
Angabe von Sollwerten, während
in einem direkten Flugsteuerungsmodus das Kernsystem direkt über die
Pilotenvorgaben gesteuert wird. Im normalen Flugsteuerungsmodus stehen
damit zur Steuerung des Flugzeugs die komplizierten Regelfunktionen
der primären
Flugsteuerungsrechner zur Verfügung.
Treten dort aber Fehler auf oder fallen die primären Flugsteuerungsrechner komplett
aus, kann auf den direkten Flugsteuerungsmodus umgeschaltet werden,
in welchem die ACEs und damit die Aktuator-Module direkt über die
Pilotenvorgaben gesteuert werden. Ein solches mehrfach redundantes
System erhöht
damit zusätzlich
die Sicherheit.
-
Vorteilhafterweise
sind nur solche Funktionen ausschließliche Bestandteile des normalen
Flugsteuerungsmodus, welche nicht sicherheitskritisch sind. Hierdurch
ist es möglich,
dass für
die primären Flugsteuerungsrechner
nur ein Gerätetyp
verwendet wird. Zwar ist damit der Ausfall aller primären Flugsteuerungsrechner
durch ein gemeinsames Fehlerereignis nicht extrem unwahrscheinlich
im Sinne der FAR 25, was für
die Sicherheit aber insofern nicht problematisch ist, da alle sicherheitskritischen
Funktionen im direkten Flugsteuerungsmodus vorhanden sind. Ein solcher
Aufbau mit mehreren primären
Flugsteuerungsrechnern vom gleichen Typ hat den Vorteil, dass die
größtenteils
nicht kritischen aber relativ komplexen und um fangreichen Funktionen
des normalen Flugsteuerungsmodus nur in zwei dissimilaren Rechnerkanälen entwickelt
und zugelassen werden müssen.
-
Selbstverständlich schließt das (erfindungsgemäße) modulare
Flugsteuerungssystem nicht aus, zur Erhöhung der Sicherheit zwei in
Software und Hardware unterschiedlich aufgebaute primäre Flugsteuerungsrechnertypen
zu verwenden.
-
Bei
einer Fehlfunktion oder Daten-Diskrepanz aller primären Flugsteuerungsrechner
wird vom normalen Flugsteuerungsmodus vorteilhafterweise in den
direkten Flugsteuerungsmodus umgeschaltet, so dass sich das gesamte
modulare elektronische Flugsteuerungssystem nach dem Verlust des
normalen Flugsteuerungsmodus auf die Verfügbarkeit des Kernsystems abstützt, welches
alle sicherheitskritischen Funktionen gewährleistet. Dies ist insbesondere
dadurch garantiert, dass alle Funktionen des direkten Flugsteuerungsmodus
Bestandteil der ACEs sind.
-
Hierzu
umfassen die ACEs des erfindungsgemäßen modularen elektronischen
Flugsteuerungssystems vorteilhafterweise die Auswahl-Logik, die entscheidet,
ob die direkten Pilotenvorgaben oder die Sollwerte der primären Flugsteuerungsrechner
zur Steuerung der Aktuator-Module verwendet werden. Dies entspricht
dem Umschalten zwischen normalem Flugsteuermodus und direktem Flugsteuerungsmodus.
-
Vorteilhafterweise
wird dann vom normalen in den direkten Modus umgeschaltet, wenn
die von mehreren primären
Flugsteuerungsrechnern abgegebenen Sollwerte fehlerhaft oder widersprüchlich sind
oder ganz fehlen. Beim Einsatz zweier parallel arbeitender primärer Flugsteuerungsrechner
ist so sichergestellt, daß bei
einer Fehlfunktion eines der primären Flugsteuerungsrechner zur
Sicherheit auf das Kernsystem umgestellt wird, wenn nicht festgestellt werden
kann, welcher der primären
Flugsteuerungsrechner das falsche Signal abgibt. Beim Einsatz von mehr
als zwei parallelen Rechnern kann ein Fehlsignal möglicherweise
auch durch Mehrheitsentscheid identifiziert werden und das korrekte
Signal zur Steuerung der Aktuator-Module verwendet werden.
-
Die
Piloten-Kommandos werden in den vorliegenden modularen elektronischen
Flugsteuerungssystemen vorteilhafterweise über Eingabeelemente im Cockpit
wie z. B. Sidesticks oder auch herkömmliche Steuersäulen für die Roll-
und Nickachsen oder Pedale für
die Gierachse manuell vorgegeben, über elektronische Positionssensoren
in elektrische, vorzugsweise doppelt redundante Signale umgewandelt
und als Vorgabe an die ACEs geleitet.
-
Vorteilhafterweise
ist dabei jeder ACE mindestens ein paar redundanter elektronischer
Positionssensoren zugeordnet, so daß die modulare Bauweise auch
auf der Cockpit-Seite verwirklicht ist. Unterschiedliche Eingabeelemente
müssen
lediglich die gleiche Anzahl von Sensor-Paaren zur Verfügung stellen.
-
Die
ACEs und die primären
Flugsteuerungsrechner bestehen selbstverständlich im Wesentlichen aus
digitalen Prozessoren mit einer entsprechenden Software.
-
Vorteilhafterweise
kommunizieren die primären
Flugsteuerungsrechner über
ein Bussystem mit den ACEs, um den modularen Aufbau und eine Erweiterung
des Systems zu erleichtern und eine sichere und schnelle Kommunikation
sicherzustellen.
-
Ebenfalls
vorteilhafterweise kommunizieren auch die ACEs untereinander über ein
Bussystem, ebenfalls um den modularen Aufbau und eine Erweiterung
des Systems zu erleichtern und eine sichere und schnelle Kommunikation
sicherzustellen.
-
Vorteilhafterweise
empfangen die primären Flugsteuerungsrechner
die Pilotenvorgaben über
die ACEs, so daß die
primären
Flugsteuerungsrechner nur diese eine Verbindung benötigen, um
die Pilotenvorgaben zu empfangen.
-
Die
Aktuator-Module umfassen hydraulische, elektrische oder elektrohydraulische
Antriebe, zu deren Steuerung die ACEs Digital/Analogwandler umfassen
können.
-
Es
ist aber ebenso möglich,
dass die Aktuator-Module solche Wandlerelektroniken selbst umfassen
und digitale Steuerbefehle von den ACEs erhalten.
-
Ausführungsbeispiele
der vorliegenden Erfindung werden nun im Weiteren anhand von Zeichnungen
näher beschrieben.
-
Dabei
zeigen:
-
1:
eine schematische Darstellung eines ersten Ausführungsbeispiels des modularen
elektronischen Flugsteuerungssystems der vorliegenden Erfindung,
-
2:
eine schematische Darstellung eines Ausführungsbeispiels der ACEs und
des primären Flugsteuerungsrechners
der vorliegenden Erfindung,
-
3:
eine weitere schematische Darstellung des Ausführungsbeispiels des ACEs und
des primären
Flugsteuerungsrechners der vorliegenden Erfindung,
-
4:
eine schematische Darstellung der Gesamtdarstellung des modularen
elektronischen Flugsteuerungssystems der vorliegenden Erfindung.
-
In 1 ist
ein erstes Ausführungsbeispiel eines
modularen elektronischen Flugsteuerungssystems der vorliegenden
Erfindung dargestellt. Pilot und Copilot steuern das System, indem
sie über
Eingabeelemente 40 manuelle Vorgaben machen. Bei den Eingabeelementen 40 handelt
es sich im ersten Ausführungsbeispiel
um sogenannte Sidesticks, mit welchen komplexe Steuervorgaben möglich sind. Selbstverständlich sind
aber noch weitere Eingabeelemente möglich, welche ebenfalls an
das modulare elektronische Flugsteuerungssystem angeschlossen werden
können
und welche dann andere Aktuatoren betätigen. Der Einfachheit halber
wird aber im ersten Ausführungsbeispiel
lediglich dieses eine Eingabeelement 40 für Pilot
und Copilot gezeigt. In diesen Eingabeelementen 40 werden
die manuellen Pilotenvorgaben über
elektronische Positionssensoren in elektrische Signale umgewandelt,
wobei im ersten Ausführungsbeispiel
duplex redundante elektrische Signale verwendet werden. Die Eingabeelemente 40 dienen
hier zur Steuerung der Steuerflächen 15, durch
deren Bewegung das Flugzeug gesteuert werden kann.
-
Die
duplex redundanten Steuersignale von den Eingabeelementen 40 werden über Signalleitungen 70 an
die ACEs 20 und 21 weitergeleitet. Jedes der ACEs 20 und 21 steuert
dabei genau ein Aktuator-Modul 10 oder 11.
-
Das
vorliegende Ausführungsbeispiel
des modularen elektronischen Flugsteuerungssystems der vorliegenden
Erfindung ist dabei vierfach redundant aufgebaut. Hierzu greifen
an jeder Steuerfläche 15 zwei
Aktuator-Module 10 und 11 an, welche von zwei
unterschiedlich aufgebauten ACEs 20 und 21 angesteuert
werden. Dabei unterscheiden sich die ACEs 20 von den ACEs 21 sowohl
im Aufbau ihrer Hardware als auch im Aufbau ihrer Software. Hierdurch
ist sichergestellt, dass keine gleichzeitigen gleichartigen Fehlerereignisse
auftreten können,
welche in beiden ACEs zu Fehlfunktionen und damit zum Abschalten
führen
würden.
Da beide Aktuator-Module 10 und 11 in der Lage
sind, die Steuerfläche 15 allein
zu steuern, ist nur eines der Aktuator-Module aktiv. Das andere
Aktuator-Modul, hier 11, ist dagegen in einem gedämpften Bypass-Modus.
-
Wird
in der das aktive Aktuator-Modul 10 steuernden ACE 20 ein
Fehler festgestellt, so schaltet sich das ACE 20 in einen
passiven Modus, in welchem das Aktuator-Modul 10 in den
gedämpften
Bypass-Modus wechselt. Die ACE 21 schaltet dann das von
ihr gesteuerte Aktuator-Modul 11 in einen aktiven Modus,
in dem die Steuerfläche 15 dann
von der ACE 21 und dem Aktuator-Modul 11 gesteuert
wird. Die ACEs 20 und 21 kommunizieren dabei über ein BUS-System 72 miteinander,
so dass das jeweils im Warte-Modus befindliche ACE einen Fehler
im aktiven ACE bemerkt und die Steuerung übernehmen kann.
-
Weiterhin
sind in dem Ausführungsbeispiel die
ACEs 20 und 21 mit primären Flugsteuerungsrechnern 30 und 31 über ein
BUS-System 72 verbunden. Einerseits er halten die primären Flugsteuerungsrechner 30 und 31 die
Pilotenvorgaben von den ACEs 20 und 21, andererseits
geben die primären Flugsteuerungsrechner 30 und 31 Sollwerte
an die ACEs zurück.
-
In
einem direkten Flugsteuerungsmodus werden in den ACEs 20 und 21 dabei
die direkten Pilotenvorgaben aus den Eingabeelementen 40 verwendet,
während
in einem normalen Flugsteuerungsmodus die Sollwerte aus den primären Flugsteuerungsrechnern 30 und 31 zur
Steuerung der Aktuator-Module 10 und 11 herangezogen
werden. Die primären
Flugsteuerungsrechner 30 und 31 führen dabei
die Berechnung aller Regelfunktionen des normalen Flugsteuerungsmodus
durch. Hierfür
werden die Pilotenvorgaben von den ACEs empfangen, durch verschiedene
statische und dynamische Parameter der Fluglage und der Flugsituation
in vorbestimmten Regelgesetzen moduliert und als Sollwerte wieder
an die ACEs abgegeben. Umfang und Art der Regelgesetze sind dabei
aufgrund der variablen Applikationssoftware der Flugsteuerungsrechner
weitestgehend beliebig und werden von Flugzeug zu Flugzeug durch
die aerodynamischen und funktionalen Anforderungen neu bestimmt.
-
Ein
Hochfahren des ersten Ausführungsbeispiels
der vorliegenden Erfindung geht wie folgt vor sich:
Nach dem
Anschalten der elektrischen Stromverbindungen und der Hydraulikversorgung
schalten die ACEs 20 die von Ihnen gesteuerten Aktuator-Module 10 zunächst in
den aktiven Modus, während
die ACEs 21 ihre Aktuator-Module 11 im Standby-Modus halten.
Um ein schnelles und sicheres Umschalten zwischen dem aktiven und
dem Standby-Modus zu erreichen, kommunizieren die ACEs 20 und 21,
und dabei insbesondere solche ACEs, welche die gleiche Steuerfläche 15 ansteuern, über ein
BUS-System 72, in diesem Fall über ein ARINC 429 BUS-System.
-
Treten
an einem aktiven Aktuator-Modul 10 hydraulische oder elektrische
Probleme auf, bemerkt dies die steuernde ACE 20 durch entsprechende Überwachungsfunk tionen
und schickt über
das BUS-System 72 eine entsprechende Meldung an die andere
ACE 21. Diese schaltet nun sein Aktuator-Modul 11 in
den aktiven Modus um. Tritt auch am zweiten Aktuator-Modul 11 ein
Problem auf, so kann die erste ACE 20 wieder aktiv werden,
wenn das dort anfangs vorhandene Problem inzwischen nicht mehr gegeben
ist.
-
In 2 lässt sich
der Aufbau des Ausführungsbeispiels
der primären
Flugsteuerungsrechner 30 und 31 und der ACE 20 genauer
erkennen. Die ACE 20 erhält dabei von den nicht gezeigten
Eingabeelementen 40 über
Signalleitungen 70 die Pilotenvorgaben in elektronischer
Form. Die ACE 20 weist zur Verarbeitung dieser Signale
eine Control-Monitor-Struktur auf, bestehend aus einer Steuerungseinheit 25 und
einer Überwachungseinheit 26.
Hierdurch ist die ACE 20 duplex redundant und fehlerselbsterkennend,
da die Überwachungseinheit 26 Fehler
in der Steuerungseinheit 25 erkennt. Wird ein solcher Fehler
festgestellt, begibt sich die ACE 20 in einen sicheren
passiven Zustand, schaltet das angeschlossene Aktuator-Modul 10 in
einen gedämpften
Bypass-Modus und benachrichtigt die andere ACE 21. Die
Steuerungseinheit 25 und die Überwachungseinheit 26 sind
dabei sowohl in Bezug auf Software als auch auf Hardware unterschiedlich
aufgebaut. Durch diese dissimilaren Strukturen ist ein unerkanntes Fehlverhalten
des ACEs aufgrund eines gleichartigen Fehlerereignisses (Common-Mode)
ausgeschlossen. Das Aktuator-Modul 10 wird
von der ACE 20 über
ein Aktuator-Interface 24 gesteuert, die Kommunikation
mit den anderen ACEs 21 und den primären Flugsteuerungsrechnern 30 und 31 geschieht über ein
BUS-System 71 und 72.
-
Auch
die primären
Flugsteuerungsrechner 30 und 31 weisen eine Control-Monitor-Architektur aus einer
Steuerungseinheit 35 und einer Überwachungseinheit 36 auf.
Auch diese beiden Einheiten sind im Hardware- und im Software-Aufbau
unterschiedlich, so dass ein unerkanntes Fehlverhalten durch ein
gleichartiges Fehlerereignis wiederum ausgeschlossen ist. Anders
als die ACEs 20 und 21, welche in dem Ausführungsbeispiel
ebenfalls einen dissimilaren Hard- und Software-Aufbau aufweisen,
besitzen die primären
Flugsteuerungsrechner 30 und 31 alle den gleichen
Aufbau. Die primären
Flugsteuerungsrechner 30 und 31 sind dabei in
unter schiedlicher Anzahl verwendbar. Da sie alle den gleichen Aufbau
aufweisen, erhöht
sich der Entwicklungsaufwand durch die Verwendung mehrerer parallel
arbeitender primärer
Flugsteuerungsrechner nicht, so dass die Anzahl dieser primären Flugsteuerungsrechner 30 und 31 erhöht werden
kann, um eine höhere
Redundanz des Systems zu erreichen, ohne dass sich die Entwicklungskosten
in gleicher Weise erhöhen.
Die primären
Flugsteuerungsrechner 30 und 31 kommunizieren
intern über
einen X-Link oder ebenfalls über
ein BUS-System, mit welchem sie auch mit den anderen Systemcomputern
des Flugzeugs in Verbindung stehen. Diese Systeme umfassen z. B.
den Flugschreiber, den Autopiloten und die Inertial-Plattform und
die Cockpit-Anzeigesysteme.
-
Fällt nun
die Steuerungseinheit 35 aufgrund von Fehlern aus, bemerkt
dies die Überwachungseinheit 36 und
kann über
den Steuerungsumschalter 37 die Sollwertangaben unterbrechen.
Die primären Flugsteuerungsrechner 31 führen weiterhin
die Aufgaben des normalen Flugsteuerungs-Modus aus. Fallen auch
diese aus, kann durch die Auswahllogistik der ACEs 20 in
den direkten Flugsteuerungsmode umgeschaltet werden.
-
3 zeigt
ebenfalls das Ausführungsbeispiel
des primären
Flugsteuerungsrechners 30 und der ACE 20, wobei
insbesondere das Umschalten zwischen dem normalen Flugsteuerungsmodus
und dem direkten Flugsteuerungsmodus ersichtlich wird. Die ACE 20 erhält über Signalleitungen 70 Pilotenvorgaben
aus dem Eingabeelement 40, in diesem Fall einem Sidestick.
Diese werden einerseits über die
Funktionen des direkten Flugsteuerungsmodus 50 weiterverarbeitet,
andererseits über
das BUS-System 71 an den primären Flugsteuerungsrechner 30 weitergeleitet.
-
Dort
befinden sich die Funktionen des normalen Flugsteuerungsmodus 60,
welche die Pilotenvorgaben durch verschiedene statische und dynamische
Parameter der Fluglage und Flugsituation in vorbestimmten Regelgesetzen
modulieren und so Sollwerte für
die ACEs bereitstellen. Dies geschieht sowohl in der Steuerungseinheit 35 als
auch in der Überwachungseinheit 36,
so dass die beiden Werte vergli chen werden können, und bei Fehlern über einen
Schalter 65 der primäre
Flugsteuerungsrechner 30 in einen sicheren passiven Zustand
versetzt werden kann.
-
Die
im normalen Flugsteuerungsmodus 60 berechneten Sollwerte
werden nun wiederum über das
BUS-System 71 an die ACE 20 zurückgegeben. Ebenso
erhält
die ACE 20 Sollwerte von den anderen primären Flugsteuerungsrechnern 31. Über eine Auswahl-Logik 70 wird
festgestellt, ob die von den primären Flugsteuerungsrechnern 30 und 31 abgegebenen
Sollwerte fehlerfrei sind. Kann ein korrektes Signal identifiziert
werden, wird dieses nach Durchlaufen eines Anstiegsgeschwindigkeitsbegrenzers 71 über den
Schalter 75 zur Steuerung des Akutator-Moduls 10 verwendet.
Kann aber kein korrekter Sollwert aus den primären Flugsteuerungsrechnern 30 und 31 erhalten
werden, so schaltet die Auswahl-Logik 70 den Schalter 75 so
um, dass die Werte aus dem direkten Flugsteuerungsmodus 50 zur
Steuerung des Aktuatormoduls 10 herangezogen werden.
-
Dieser
direkte Flugsteuerungsmodus 50 umfasst dabei alle Funktionen,
die für
die Steuerung des Flugzeugs sicherheitskritisch sind. Bei Ausfall
der primären
Fiugsteuerungsrechner 30 oder 31 bzw. bei Fehlern
in diesen primären
Flugsteuerungsrechnern kann das Flugzeug also über den direkten Flugsteuerungsmodus 50 sicher
gesteuert werden. Nach dem Schalter 75 ist eine Steuereinheit 76 zur
Regelung der Position des Aktuatormoduls vorgesehen, in welcher
die Signale entweder aus dem direkten Flugsteuerungsmodus 50 oder
dem normalen Flugsteuerungsmodus 60 als Sollwert für die Aktuator-Position verwendet
werden.
-
Auch
in der ACE 20 ist wieder eine Steuerungseinheit 25 und
eine Überwachungseinheit 26 vorhanden,
die hard- und softwaremäßig unterschiedlich
aufgebaut sind und sich gegenseitig überwachen.
-
Die 4 zeigt
die Gesamtanlage, während zuvor
in der 1 nur eine Detaillierung einer Steuerachse dargestellt
wurde.
-
Für jedes
Eingabeelement 40 wie z. B. die Sidesticks 90 des
Piloten und 91 des Copiloten, den Bremsklappenhebel 92,
den Hebel 93 für
das Seitenruder, den Slat/Flap-Hebel 94 und den Trimm-Schalter 101 ist
jeweils mindestens eine ACE 20 oder 21 vorgesehen.
-
Im
allgemeinen sind zur Erhöhung
der Sicherheit jedem Eingabeelement 40 mehrere parallel arbeitende
ACEs zugeordnet, die mit den von ihnen gesteuerten Aktuator-Modulen
an der gleichen Steuerfläche
angreifen. Insbesondere sind zur Steuerung der Querruder 95,
der Höhenruder 96 sowie
der Flapklappen 99 und der Slatklappen 98 und
der horizontalen Stabilisatoren 102 jeweils zwei dissimilare ACEs 20 und 21 vorgesehen.
Zur Steuerung der Seitenruder 97 sind sogar drei parallel
arbeitende ACEs vorgesehen.
-
Diese
ACEs 20 und 21 kommunizieren untereinander wiederum über ein
Bus-System 72,
so dass beim Ausfall eines ACEs 20 bzw. des angeschlossenen
Aktuatormoduls 10 das andere an der gleichen Steuerungsfläche angreifende
Aktuator-Modul 11 über die
andere ACE 21 aktiv geschaltet werden kann.
-
Die
ACEs 20 und 21 kommunizieren außerdem wieder über ein
BUS-System 71 mit den primären Flugsteuerungsrechnern 30 und 31,
welche in einem normalen Flugsteuerungsmodus komplexe Flugsteuerungsaufgaben übernehmen
und auf Grundlage der Pilotenvorgaben, die sie über die ACEs erhalten, Sollwerte
an die ACEs zurückgeben.