DE102020107172A1

DE102020107172A1 - Verfahren zur Steuerung eines Fluggeräts, Steuerungseinrichtung für ein Fluggerät und Fluggerät mit einer solchen Steuerungseinrichtung

Info

Publication number: DE102020107172A1
Application number: DE102020107172.8A
Authority: DE
Inventors: Jan Zwiener; Jan-Hendrik Boelens; Benjamin Kirsch
Original assignee: Volocopter GmbH
Current assignee: Volocopter GmbH
Priority date: 2020-03-16
Filing date: 2020-03-16
Publication date: 2021-09-16
Also published as: US11939041B2; CN113401337B; CN113401337A; US20210284327A1

Abstract

Vorgeschlagen wird ein Verfahren zur Steuerung eines Fluggeräts (1), insbesondere eines senkrecht startenden und landenden Mehrrotorflugzeugs, bei dem Flugbeeinflussungseinheiten (2.1,..., 2.N) des Fluggeräts (1), insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten,a) über einen ersten Kanal oder Steuerkanal von einer ersten Recheneinheit (COM) mit Steuerbefehlen (SB) versorgt werden, welche Steuerbefehle (SB) von einer Piloteneingabe (PE) stammen oder aus einer Piloteneingabe (PE) abgeleitet sind, und bei demb) die Steuerbefehle (SB) durch einen zweiten Kanal (Überwachungskanal) und eine zweite Recheneinheit (MON) überwacht werden, welche zweite Recheneinheit (MON) überprüft, ob die Steuerbefehle (SB) für einen gegebenen physikalischen Zustand des Fluggeräts (1) und die Piloteneingabe (PE) geeignet sind, indemc) durch die zweite Recheneinheit (MON) bestimmt wird, ob ein aktueller Navigationszustand des Fluggeräts (1) mit der Piloteneingabe (PE), welche Piloteneingabe (PE) in einen gewünschten Navigationszustand des Fluggeräts (1) transformiert wurde, vorzugsweise durch die zweite Recheneinheit (MON), innerhalb einer vorgegebenen Abweichung übereinstimmt, und bei demd) in Abhängigkeit von einem Bestimmungsergebnis der Bestimmung in Schritt c) ein Steuersignal (SS) zur Steuerung des Fluggeräts (1) erzeugt wird. Weiterhin vorgeschlagen wird eine entsprechend ausgebildete Steuerungseinrichtung (4) und ein Fluggerät (1) mit einer solchen.

Description

Die Erfindung betrifft mit dem Anspruch 1 ein Verfahren zur Steuerung eines Fluggeräts, insbesondere eines senkrecht startenden und landenden Mehrrotorflugzeugs, bei dem Flugbeeinflussungseinheiten des Fluggeräts, insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und/oder Regelflächen (sog. control surfaces), über einen ersten Kanal (Steuerkanal) von einer ersten Recheneinheit (COM) mit Steuerbefehlen versorgt werden, welche Steuerbefehle von einer Piloteneingabe stammen oder aus einer Piloteneingabe abgeleitet sind, und bei dem die Steuerbefehle durch einen zweiten Kanal (Überwachungskanal) und eine zweite Recheneinheit (MON) überwacht werden.
Die Erfindung betrifft mit dem Anspruch 12 auch eine Steuerungseinrichtung für ein Fluggerät, insbesondere ein senkrecht startendes und landendes Mehrrotorflugzeug, mit einer ersten Recheneinheit (COM) und mit einem ersten Kanal (Steuerkanal) zum Versorgen von Flugbeeinflussungseinheiten des Fluggeräts, insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und/oder Regelflächen (sog. control surfaces), über den Steuerkanal mit Steuerbefehlen von der ersten Recheneinheit (COM), welche Steuerbefehle von einer Piloteneingabe stammen oder aus einer Piloteneingabe abgeleitet sind, und mit einem zweiten Kanal (Überwachungskanal) und einer zweiten Recheneinheit (MON), welche zweite Recheneinheit (MON) dazu ausgebildet und vorgesehen ist, die erste Recheneinheit (COM) zu überwachen, um insbesondere Fehler oder Fehlverhalten in der ersten Recheneinheit zu erkennen.
Schließlich betrifft die Erfindung mit dem Anspruch 16 auch ein Fluggerät, insbesondere ein senkrecht startendes und landendes Mehrrotorflugzeug, mit einer Anzahl von Flugbeeinflussungseinheiten, insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und/oder Regelflächen (sog. control surfaces), und mit einer Steuerungseinrichtung.
Allgemein beschäftigt sich die vorliegende Erfindung mit der Überwachung von Funktionen, die im Zuge der Flugsteuerung bzw. allgemein beim Betrieb eines Luftfahrzeugs oder Fluggeräts Verwendung finden und deshalb eine hohe Sicherheitsrelevanz besitzen.
Solche Funktionen können insbesondere in Form von Softwareroutinen bzw. Algorithmen implementiert sein und jede Art von (Steuerungs-)Abläufen des Fluggeräts beeinflussen. Sie müssen regelmäßig und wiederholt auf ihre ordnungsgemäße Funktion überwacht werden, damit das Fluggerät gefahrlos betrieben werden kann.
Dies umfasst - ohne Beschränkung - die Stabilisierung, die Navigation, die Bremsen, den Landeanflug (insbesondere die Überwachung des Landekorridors), alle internen Regelkreise, wie z.B. die Hydraulik, die Triebwerksüberwachung oder die E-Motor-Überwachung.
Die „klassische“ Form einer solchen Überwachung, die in der Luftfahrt standardmäßig verwendet wird, dupliziert in der Regel die zu überwachende Funktion, d.h. jede Funktion ist zumindest doppelt vorhanden bzw. implementiert. Beide Funktionen, also die zu überwachende Funktion und ihr „Doppel“, werden oft, aber nicht unbedingt, bereits bei der Herstellung von verschiedenen Teams implementiert, die möglicherweise individuelle Prozesse und Hardware verwenden, um zu vermeiden, dass es einen gemeinsamen Fehler gibt, der die Betriebssicherheit beider Funktionen in gleicher Weise gefährdet. Eine Komponente des Fluggeräts, welche die betreffende(n) Funktion(en) bereitstellt, wird gewöhnlich als „Befehl“ (Command, kurz: COM) und die zugehörige Überwachungskomponente als „Monitor“ (MON) bezeichnet.
COM ist die einzige Komponente, die mit den übrigen Komponenten des Flugzeugs oder den Antriebsausgängen kommunizieren, also Steuerbefehle übermitteln darf. „Antriebsausgänge“ bezeichnet diejenigen Steuerausgänge, über die Steuerbefehle zu den Flugbeeinflussungseinheiten des Fluggeräts, insbesondere zu den Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und/oder zu den Regelflächen, übertragen werden, um die Bewegung des Fluggeräts zu beeinflussen. MON darf nur Eingänge bzw. eingehende Signale (Input) empfangen und die Fähigkeit von COM, Steuerausgänge (d.h. entsprechende Steuersignale) zu erzeugen oder zu beschalten, beenden. Auf diese Weise führt ein Fehler in einem dieser beiden Komponenten (COM oder MON) zur Deaktivierung beider Komponenten und zu einem Verlust der von COM bereitgestellten Funktionalität.
Es gibt mehrere Probleme, die sich aus dem Ansatz der klassischen Überwachung ergeben und welche bei der Betrachtung des Lebenszyklus eines Fluggeräts oder Flugzeugs offensichtlich sind.
Konzept und Planung
Erstens kann ein während der Konzept- und Planungsphase auftretender Fehler nicht abgefangen werden, da die Überwachung nur ein Teil der späteren Entwicklungsstadien ist. Oftmals wird das System „Fluggerät“ nicht auf einer übergeordneten Ebene überwacht, sondern die Überwachung betrifft nur Funktionen und Unterfunktionen. Der Monitor kann prinzipiell nur solche Fehler erkennen, die bei seiner Konzeption berücksichtigt wurden.
Spezifikation
Zweitens besteht die Anforderung, dass die COM- und MON-Funktionen von unterschiedlichem Personal bereitgestellt werden müssen. Wenn das gleiche Personal die COM- und die MON-Funktion entwickelt, kann dies zu einem gemeinsamen Fehler führen, da es wahrscheinlich ist, dass dasselbe Personal sowohl bei COM als auch bei MON für die ähnlichen Teile der Funktion dieselben Fehler macht.
Gestaltung
Drittens führt eine teilweise gemeinsame Spezifikation zu einem Entwurf mit möglichen gemeinsamen Fehlern, wenn er von denselben Personen ausgeführt wird.
Integration und Installation (einschließlich Common Mode)
Des Weiteren können Integrations- oder Installationsfehler durch die klassische Überwachung prinzipiell nicht erkannt werden. Dies betrifft insbesondere dem Fachmann bekannte sog. Common Mode Failure (CMF; deutsch „Gleichartiger Fehler“). Hierunter versteht man in der Risikoanalyse den Ausfall von mehreren gleichartigen Komponenten oder Betriebsmitteln, deren Versagen zu einem Schadensereignis führt. Es handelt sich um Fehler, die nicht durch eine gemeinsame Ursache ausgelöst wurden. Der Begriff CMF ist daher zu unterscheiden von einem Common Cause Failure (Versagen aufgrund gemeinsamer Ursache).
Betrieb und Wartung
Während des Betriebs behandelt der klassische Überwachungsansatz Fehler oder Ausfälle durch Deaktivierung der Funktion. Dieser Ansatz setzt also stark auf die Redundanz der Funktion, die von einer anderen Komponente bereitgestellt wird. Er verhindert nicht, dass ein Ausfall überhaupt auftreten kann, insbesondere durch Alterung oder Verschleiß. Die klassische Überwachung unterstützt keine Wartungsaktivitäten, da sie davon ausgeht, dass Ausfälle rein zufällig auftreten.
Entsorgung und Lebensdauerverlängerung
Schließlich können aus dem klassischen Monitoring-Ansatz keine relevanten Daten zur Unterstützung einer Lebenszeitverlängerung der betreffenden Funktionen gewonnen werden.
Der Erfindung liegt die Aufgabe zugrunde, hier Abhilfe zu schaffen und ein Verfahren zur Steuerung eines Fluggeräts, insbesondere eines senkrecht startenden und landenden Mehrrotorflugzeugs, eine Steuerungseinrichtung für ein solches Fluggerät und ein solches Fluggerät selbst anzugeben, das bzw. die eine neuartige Form der Überwachung umfasst, sodass sich diese nicht darin erschöpft, im Falle eines Fehlers in einem der beiden Systeme (COM oder MON) beide Systeme zu deaktivieren und den Verlust der von COM bereitgestellten Funktion zu bewirken.
Die Erfindung löst diese Aufgabe mittels eines Verfahrens mit den Merkmalen des Anspruchs 1, mittels einer Steuerungseinrichtung mit den Merkmalen des Anspruchs 12 und mittels eines Fluggeräts mit den Merkmalen des Anspruchs 16. Bevorzugte Weiterbildungen sind in den Unteransprüchen definiert.
Gemäß einem ersten Aspekt der Erfindung schafft diese ein Verfahren zur Steuerung eines Fluggeräts, insbesondere eines senkrecht startenden und landenden Mehrrotorflugzeugs, bei dem Flugbeeinflussungseinheiten des Fluggeräts, insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und/oder Regelflächen (sog. control surfaces),

a) über einen ersten Kanal (Steuerkanal) von einer ersten Recheneinheit (COM) mit Steuerbefehlen versorgt werden, welche Steuerbefehle von einer Piloteneingabe stammen oder aus einer Piloteneingabe abgeleitet sind, und bei dem
b) die Steuerbefehle durch einen zweiten Kanal (Überwachungskanal) und eine zweite Recheneinheit (MON) überwacht werden, welche zweite Recheneinheit überprüft, ob die Steuerbefehle für einen gegebenen physikalischen Zustand des Fluggeräts und die Piloteneingabe geeignet sind, indem
c) durch die zweite Recheneinheit (MON) bestimmt wird, ob ein aktueller Navigationszustand, welcher dem physikalischen Zustand des Fluggeräts entspricht bzw. diesen Zustand repräsentiert, mit der Piloteneingabe, welche Piloteneingabe in einen gewünschten Navigationszustand des Fluggeräts (also einen gemäß der Piloteneingabe gewünschten physikalischen Zustand des Fluggeräts) transformiert wurde, vorzugsweise durch die zweite Recheneinheit (MON), innerhalb einer vorgegebenen Abweichung übereinstimmt, und bei dem
d) in Abhängigkeit von einem Bestimmungsergebnis der Bestimmung in Schritt c) ein Steuersignal zur Steuerung des Fluggeräts erzeugt wird.

Bei dem Steuersignal kann es sich auch um ein Fehlersignal handeln, welches eine unzulässige Abweichung des gewünschten Navigationszustands von dem aktuellen Navigationszustand anzeigt.
Der genannte physikalische Zustand des Fluggeräts (Ist-Zustand) wird vorzugsweise mittels hierfür geeigneter Sensoren bestimmt, welche Sensoren ohne Beschränkung IMUs (Inertialmesseinheiten), Radar, Lidar, optische Sensoren, Kameras und dgl. umfassen können.
Die Piloteneingabe kann von einem menschlichen Piloten stammen, oder sie kann von einem Automaten (Autopilot) erzeugt werden.
Die Piloteneingabe wird transformiert, d.h. rechnerisch umgewandelt, um sie mit dem bestimmten Ist-Zustand vergleichen zu können.
In der Regel wird das in Schritt d) erzeugte Steuersignal einen fortgesetzten Normalbetrieb des Fluggeräts bewirken, wenn die Bestimmung in Schritt c) ergibt, dass die Abweichung innerhalb vorgegebener Grenzen bleibt; anderenfalls kann das in Schritt d) erzeugte Steuersignal einen Abbruch oder eine Änderung des Normalbetriebs des Fluggeräts und/oder die Anzeige/Ausgabe eines Warnhinweises bewirken.
Gemäß einem zweiten Aspekt der Erfindung schafft diese eine Steuerungseinrichtung für ein Fluggerät, insbesondere ein senkrecht startendes und landendes Mehrrotorflugzeug, mit einer ersten Recheneinheit (COM) und mit einem ersten Kanal (Steuerkanal) zum Versorgen von Flugbeeinflussungseinheiten des Fluggeräts, insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und/oder Regelflächen (sog. control surfaces), über den ersten Kanal mit Steuerbefehlen von der ersten Recheneinheit (COM), welche Steuerbefehle von einer Piloteneingabe stammen oder aus einer Piloteneingabe abgeleitet sind, und mit einem zweiten Kanal (Überwachungskanal) und einer zweiten Recheneinheit (MON), welche zweite Recheneinheit (MON) dazu ausgebildet und vorgesehen ist, die ersten Recheneinheit (COM) zu überwachen, indem die zweite Recheneinheit überprüft, ob die Steuerbefehle für einen gegebenen physikalischen Zustand des Fluggeräts und die Piloteneingabe geeignet sind, indem die zweite Recheneinheit (MON) dazu ausgebildet ist zu bestimmen, ob ein aktueller Navigationszustand des Fluggeräts mit der Piloteneingabe, welche Piloteneingabe in einen gewünschten Navigationszustand des Fluggeräts transformiert wurde, vorzugsweise durch die zweiten Recheneinheit (MON), innerhalb einer vorgegebenen Abweichung übereinstimmt, und bei dem die zweite Recheneinheit (MON) weiterhin dazu ausgebildet ist, in Abhängigkeit von einem Bestimmungsergebnis der Bestimmung ein Steuersignal zur Steuerung des Fluggeräts zu erzeugen und auszugeben.
Eine solche erfindungsgemäße Steuerungseinrichtung ist in der Lage, das erfindungsgemäße Verfahren auszuführen.
Der genannte aktuelle Navigationszustand des Fluggeräts (der Ist-Zustand) kann mathematisch bzw. steuerungstechnisch durch einen Navigationszustandsvektor ausgedrückt werden.
Gemäß einem dritten Aspekt der Erfindung schafft diese ein Fluggerät, insbesondere ein senkrecht startendes und landendes Mehrrotorflugzeug, das mit einer Anzahl von Flugbeeinflussungseinheiten, insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und/oder Regelflächen (sog. control surfaces), und mit einer erfindungsgemäßen Steuerungseinrichtung ausgestattet ist, welche Steuerungseinrichtung mit den Flugbeeinflussungseinheiten wirkverbunden und dazu ausgebildet ist, Steuerbefehle an die Flugbeeinflussungseinheiten zu senden.
Ein solches Fluggerät kann nach dem erfindungsgemäßen Verfahren betrieben bzw. gesteuert werden.
Bei den Antriebseinheiten handelt es sich vorteilhafter Weise um verteilt angeordnete, elektrisch betriebene Motor/Rotor-Anordnungen. Vorzugsweise verfügt das Fluggerät über eine Vielzahlsolcher Antriebseinheiten, beispielsweise 18, die in einer Ebene angeordnet sein können.
Der Begriff „Flugbeeinflussungseinheiten“ schließt aber auch andere Einheiten ein, die ein Flugverhalten des Fluggeräts beeinflussen können, wie z.B. (aktive) Nutzlasten, Seilwinden oder dgl., insbesondere aber auch Regelflächen (sog. control surfaces), wie z.B. Vorflügel, Klappen, Querruder oder Stabilisierer (sofern verstellbar).
Im Rahmen der Erfindung ergeben sich diverse Unterschiede bzw. Vorteile zum Stand der Technik:
Konzept und Planung
Erstens kann die Konzeption der vorgeschlagenen Überwachung unabhängig vom Stadium der Entwicklung des Fluggeräts erfolgen. Es ermöglicht auch ein Nachrüsten in bestehende Fluggeräte.
Spezifikation
Zweitens ist die Art des vorgeschlagenen Monitors von Natur aus anders als nach dem Stand der Technik. Er ergibt sich nicht aus der Duplizierung einer Funktion, wobei im Grunde alle Bemühungen zur Vermeidung von gemachten Fehlern kopiert werden. Die Erfindung zielt darauf ab, die unterschiedliche Natur des Monitors auszunutzen. Außerdem kann durch das Hinzufügen von Kontext, der dazu zwingt, das Überwachungsproblem von einem anderen Blickwinkel aus zu betrachten, die Spezifikation des Monitors (zweite Recheneinheit) von Natur aus nicht die gleichen Fehler aufweisen, wie die Command-Einheit (erste Recheneinheit), auch wenn sie vom gleichen Personal entwickelt wird. Mit „Hinzufügen von Kontext“ ist insbesondere gemeint, dass Informationen über den Zustandsvektor hinaus verwendet werden. Das können zum einen (physikalische) Grenzen des Zustandsvektors sein, aber auch weitere Zustände, oder Beziehungen der Zustände untereinander (z.B., wenn Zustand A = 10, dann Zustand B <= 5).
Gestaltung
Drittens benötigt der vorgeschlagene Monitor aufgrund völlig anderer Spezifikationen ein anderes Design, auch wenn dieselben Personen ihn entwickeln. Wenn eine bestimmte Funktion überwacht wird, erfordert das Design des Monitors ein tieferes Verständnis der Funktion, indem die Fehlermodi eingehend analysiert werden, was sogar zu einer Verbesserung von COM führen kann, wenn ein iterativer Ansatz verwendet wird. Dies kann beinhalten, dass der oben beschriebene Kontext bekannt sein muss, dass also Informationen über den Zustandsvektor hinaus verwendet werden. Das können wiederum (physikalische) Grenzen des Zustandsvektors sein, aber auch weitere Zustände, oder Beziehungen der Zustände untereinander (siehe oben).
Integration und Installation (einschließlich Common Mode)
Außerdem können einige Integrations- und Installationsfehler, insbesondere systematische Fehler, durch das vorgeschlagene Überwachungsschema entdeckt werden. Systematische Fehler lassen sich kaum vermeiden und erfordern in der Regel verschiedene Mitarbeiter, die die gleiche Aktion oder einen zusätzlichen Verifikationsschritt durchführen. Die Einbeziehung von Kontextinformationen (siehe oben), die der COM und dem MON mit dem klassischen Ansatz nicht zur Verfügung stehen, kann dazu genutzt werden, diese aufzudecken. Beispielsweise verhalten sich Beziehungen von Zuständen bei falscher Installation anders zueinander, als erwartet. Beispielsweise wird bei einem Einbaufehler um 180° ein Stellsignal in positiver Richtung erzeugt, aber eine negative Bewegung ausgeführt.
Betrieb und Wartung
Des Weiteren können Wartungsmaßnahmen potenziell aus dem vorgeschlagenen Überwachungsschema abgeleitet werden. Das vorgeschlagene Schema zielt nicht nur darauf ab, zufällige Ausfälle zu erkennen, sondern kann auch die Verschlechterung oder den Verschleiß einer Funktion charakterisieren, die letztlich zu einem Fehler oder Ausfall führen kann, wenn keine angemessenen Maßnahmen durchgeführt werden. Dies gilt insbesondere für sensorbezogene Funktionen, also Funktionen, die auf Sensorsignalen basieren, wie z.B. die Überwachung eines Motors durch einen Temperatursensor. Sensoren unterliegen in der Regel einer Alterung, und oft werden nach dem Stand der Technik Filter verwendet, welche die Signale verbessern, aber ein Alterungsproblem der Sensoren verdecken können. Vorliegend kann ein Altern der Sensoren oder ein Altern der Befestigung der Sensoren durch die Sensorausgänge (Signale bzw. Messgrößen) entdeckt werden, da sich z.B. das Rauschen, der Bias oder die gemessenen Amplituden - deutet auf Fehler in der Skalierung hin - zwischen verschiedenen Flügen deutlich unterscheiden können.
Entsorgung und Lebensdauerverlängerung
Analog zu der skizzierten Vorgehensweise, die für Instandhaltungsmaßnahmen verwendet werden kann und sich mit dem Alterungsprozess von Funktionen befasst, kann eine Lebensdauerverlängerung durch den gezielten, rechtzeitigen Austausch von Funktionen unterstützt werden, wenn deren Alterung erkannt wird.
Bei einer Weiterbildung des erfindungsgemäßen Verfahrens ist vorgesehen, dass in Schritt c) wenigstens eines der folgenden Navigationszustandsattribute des Navigationszustands im Zuge des Vergleichs von Ist-Zustand und Piloteneingabe geprüft wird, wozu auf entsprechende Sensorsignale zurückgegriffen werden kann:

- die Fluglage des Fluggeräts, zum Beispiel anhand von Euler-Winkeln;
- Drehgeschwindigkeiten;
- Änderung von Rotationsraten;
- Position;
- Höhe (insbesondere barometrisch);
- Geschwindigkeit gegenüber Luft und/oder Grund;
- Beschleunigung.

Die vorstehende Aufzählung ist nicht abschließend. Jedes gemessene/messbare oder (aus einer Messung) ableitbare Merkmal oder Attribut des Navigationszustands kann grundsätzlich zur Prüfung in Schritt c) herangezogen werden. Auf diese Weise kann insbesondere eine gegebene Funktion auf verschiedene Arten überwacht werden.
Bei einer anderen Weiterbildung des erfindungsgemäßen Verfahrens ist vorgesehen, dass zusätzlich, vorzugsweise durch die zweite Recheneinheit, mittels einer umgekehrten Steuerungszuordnung überprüft wird, ob die Steuerbefehle bei einem Ansteuern der Flugbeeinflussungseinheiten des Fluggeräts zu einem ersten Kraft-/Momentenvektor τ_cmd für das Fluggerät führen, welcher erste Kraft-/Momentenvektor, insbesondere hinsichtlich seiner Richtung und/oder seinem Betrag, für einen gegebenen physikalischen Zustand des Fluggeräts geeignet ist, indem

i) der aus den Steuerbefehlen abgeleitete erste Kraft-/Momentenvektor mit einem zweiten Kraft-/Momentenvektor τ_MON verglichen wird, welcher zweite Kraft-/Momentenvektor unabhängig von dem ersten Kraft-/Momentenvektor insbesondere durch die zweite Recheneinheit bestimmt wird, und/oder indem
ii) für den ersten Kraft-/Momentenvektor, vorzugsweise durch die zweite Recheneinheit, geprüft wird, ob die Achse und/oder der Betrag eines in dem ersten Kraft-/Momentenvektor enthaltenen Drehmoments innerhalb eines vorgegebenen Toleranzintervalls liegt, und/oder indem
iii) für den ersten Kraft-/Momentenvektor, vorzugsweise durch die zweite Recheneinheit, geprüft wird, ob der erste Kraft-/Momentenvektor innerhalb einer vorgegebenen Abweichung mit der Piloteneingabe übereinstimmt, und bei dem in Schritt d) ein angepasstes Steuersignal zur Steuerung des Fluggeräts erzeugt wird in Abhängigkeit von einem Prüfungsergebnis der Prüfung in Schritt i) bis iii).

Die Schritte i) bis iii) lassen sich einzeln oder in beliebiger Kombination zusätzlich zur der Prüfung gemäß Anspruch 1 durchführen und können somit Fehlfunktionen erkennen, die der dortigen Prüfung entgangen sind. Umgekehrt können die Schritte i) bis iii) dazu führen, dass erkannte scheinbare Fehlfunktionen nachträglich als tolerabel eingestuft werden.
Eine entsprechende, bevorzugte Weiterbildung der erfindungsgemäßen Steuerungseinrichtung sieht vor, dass die zweite Recheneinheit weiterhin dazu ausgebildet ist, mittels einer umgekehrten Steuerungszuordnung zu überprüfen, ob die Steuerbefehle bei einem Ansteuern der Flugbeeinflussungseinheiten des Fluggeräts zu einem ersten Kraft-/Momentenvektor führen, der, insbesondere hinsichtlich Richtung und/oder Betrag, für einen gegebenen physikalischen Zustand des Fluggeräts geeignet ist, indem die zweite Recheneinheit dazu ausgebildet ist

i) den aus den Steuerbefehlen abgeleiteten ersten Kraft-/Momentenvektor mit einem zweiten Kraft-/Momentenvektor zu vergleichen, welcher zweite Kraft-/Momentenvektor unabhängig von dem ersten Kraft-/Momentenvektor, insbesondere durch die zweite Recheneinheit, bestimmt ist, und/oder
ii) für den ersten Kraft-/Momentenvektor zu prüfen, ob die Achse und/oder der Betrag eines in dem ersten Kraft-/Momentenvektor enthaltenen Drehmoments innerhalb eines vorgegebenen Toleranzintervalls liegt, und/oder
iii) für den ersten Kraft-/Momentenvektor zu prüfen, ob der erste Kraft-/Momentenvektor innerhalb einer vorgegebenen Abweichung mit der Piloteneingabe übereinstimmt,

Speziell kann bei einer anderen Weiterbildung des erfindungsgemäßen Verfahrens vorgesehen sein, dass der aus den Steuerbefehlen abgeleitete erste Kraft-/Momentenvektor T_Cmd gegeben ist durch die Beziehung: $τ_{Cmd} = \underset{K}{\underset{︸}{(\begin{array}{l} {\bar{m}}_{1}^{b} & {\bar{m}}_{2}^{b} & \dots & {\bar{m}}_{N}^{b} \\ f_{1}^{b} & f_{2}^{b} & \dots & f_{N}^{b} \end{array})}} \cdot \underset{Ω}{\underset{︸}{(\begin{matrix} Ω_{1}^{2} \\ Ω_{2}^{2} \\ ⋮ \\ Ω_{N}^{2} \end{matrix})}}$
mit einer Matrix K, deren Elemente $m_{i}^{b}, i = 1... N, und f_{i}^{b}, i = 1... N,$
gegeben sind durch eine Konfiguration des Fluggeräts und seiner N Flugbeeinflussungseinheiten, und mit einem Vektor Ω mit den Steuerbefehlen der ersten Recheneinheit für die N Flugbeeinflussungseinheiten.
Außerdem kann bei einer wieder anderen Weiterbildung des erfindungsgemäßen Verfahrens vorgesehen sein, dass in Schritt c) und/oder in Schritt i) bis iii) jeweils eine Mehrzahl von Prüfungs-/Vergleichsmethoden verwendet werden, um eine entsprechende Mehrzahl an Prüfungs-/Vergleichsergebnissen zu erhalten, welche Prüfungs-/Vergleichsergebnisse anschließend jeweils gewichtet und dann miteinander kombiniert werden, um zur Verwendung in Schritt d) ein kombiniertes Bestimmungsergebnis und/oder ein kombiniertes Prüfungsergebnis zu erhalten.
Auf diese Weise lässt sich die Sicherheit der Überwachung verbessern, da sich spezifische Vorteile der verschiedenen Prüfungs-/Vergleichsmethoden ergänzen und bestimmte Probleme kompensiert werden können.
Eine entsprechende Weiterbildung der erfindungsgemäßen Steuerungseinrichtung sieht vor, dass die zweite Recheneinheit weiterhin dazu ausgebildet ist, eine Mehrzahl von Prüfungs-/Vergleichsmethoden zu verwenden, um eine entsprechende Mehrzahl an Prüfungs-/Vergleichsergebnissen zu erhalten, welche Prüfungs-/Vergleichsergebnisse anschließend jeweils gewichtet und dann miteinander kombiniert werden, um ein kombiniertes Bestimmungsergebnis und/oder ein kombiniertes Prüfungsergebnis zu erzeugen und zur Erzeugung des Steuersignals oder des angepassten Steuersignals auszugeben.
Außerdem kann bei einer anderen Weiterbildung des erfindungsgemäßen Verfahrens vorgesehen sein, dass jeder Prüfungs-/Vergleichsmethode aus der Mehrzahl von Prüfungs-/Vergleichsmethoden wenigstens ein erster Gewichtungsfaktor und wenigstens ein zweiter Gewichtungsfaktor zugeordnet wird, wobei der erste Gewichtungsfaktor und der zweite Gewichtungsfaktor zu einem Gesamt-Gewichtungsfaktor für jede Prüfungs-/Vergleichsmethode kombiniert werden, mit welchem Gesamt-Gewichtungsfaktor das zugehörige Prüfungs-/Vergleichsergebnis gewichtet wird.
Auch hierdurch lässt sich das Ergebnis der Überwachung weiter verfeinern und verbessern.
Eine Weiterbildung des erfindungsgemäßen Verfahrens sieht in diesem Zusammenhang vor, dass der erste Gewichtungsfaktor und der zweite Gewichtungsfaktor für jede Prüfungs-/Vergleichsmethode miteinander multipliziert werden.
Eine andere Weiterbildung des erfindungsgemäßen Verfahrens sieht in diesem Zusammenhang vor, dass eine Summe über die Mehrzahl an gewichteten Prüfungs-/Vergleichsergebnissen gebildet wird, um das kombinierte Prüfungsergebnis zur Verwendung in Schritt d) zu erhalten.
Eine wieder andere Weiterbildung des erfindungsgemäßen Verfahrens sieht in diesem Zusammenhang vor, dass der erste Gewichtungsfaktor ein Schweregrad-Gewichtungsfaktor ist, der angibt, wie schwerwiegend ein durch eine gegebene Prüfungs-/Vergleichsmethode erkennbarer Fehler für das Fluggerät oder dessen Steuerung ist bzw. sein könnte.
Eine noch andere Weiterbildung des erfindungsgemäßen Verfahrens sieht in diesem Zusammenhang vor, dass der zweite Gewichtungsfaktor ein Vertrauens-Gewichtungsfaktor ist, der angibt, wie genau ein durch eine gegebene Prüfungs-/Vergleichsmethode erkennbarer Fehler für das Fluggerät oder dessen Steuerung quantitativ angebbar ist.
Eine bevorzugte Weiterbildung des erfindungsgemäßen Verfahrens sieht vor, dass die Prüfungs-/Vergleichsmethoden aus einer Gruppe gewählt werden, die folgende Methoden umfasst: Frequenzanalyse; Kalman-Filter; CBIT- und PBIT-Ergebnisse; [Continuous Built-In Test/Periodic Built-In-Test] Out-of-range-Bewertungen (z.B. Flugeinhüllende); Erwartungswerte aus Modellen (z.B. Pilotmodell). Diese Aufzählung ist nicht abschließend zu verstehen.
Fehler, insbesondere durch Alterung, können sich z.B. durch eine Verschiebung der Frequenz äußern und entsprechend mittels einer Frequenzanalyse erkannt werden.
Prozesse können unter Annahme bekannter Prozesseigenschaften geschätzt werden, um Erwartungswerte zu erhalten. Weichen diese Erwartungswerte deutlich von den Messwerten ab, so kann ein Fehler vorliegen, der mittels eines Kalman-Filters erkennbar ist.
CBIT beinhalten ein kontinuierliches Überprüfen bestimmter Funktionalitäten oder Parameter. Gleiches gilt für PBIT, jedoch bevorzugt beschränkte auf die Zeit des Power-up.
Out-of-Range-Bewertung kann sich aus Vorgaben und Erfahrungswerten ergeben: Wenn das Fluggerät maximal 10° pitch haben darf/soll, aber bei 13° pitch ist, liegt wahrscheinlich ein Fehler vor.
Gleiches gilt für Erwartungswerte aus Modellen: Wenn z.B. eine bestimmte Motordrehzahl, die von einer Flugsteuereinheit kommandiert wurde, auch umgesetzt wird, sollte das Fluggerät laut Modell eine bestimmte Lageänderung erfahren. Wenn das Fluggerät anders reagiert, liegt wahrscheinlich ein Fehler vor.
Andere Weiterbildungen der Steuerungseinrichtung sehen vor, dass die zweite Recheneinheit weiterhin ausgebildet ist zum Implementieren eines Verfahrens gemäß einer der genannten Weiterbildungen des erfindungsgemäßen Verfahrens.
Wie weiter oben bereits grundlegend beschrieben, validiert der sog. Lane-Computer Flight Control MONITOR (MON, nachfolgend auch als „MON-Lane“ bezeichnet), d.h. der zweite Kanal (Überwachungskanal) mit der zweiten Recheneinheit im Betreib kontinuierlich die Ausgabe des COMMAND (COM)-Lane-Computers („COM-Lane“ bzw. Steuerkanal mit erster Recheneinheit) auf einer höheren Ebene als üblich. Das bedeutet, dass der MON-Lane-Computer (zweite Recheneinheit) nicht nur prüft, ob COM-Lane eine Ausgabe gemäß einem spezifizierten Kontrollgesetz erzeugt (Prüfung auf Implementierungsfehler), sondern es wird auch validiert, ob COM-Lane tatsächlich Ausgaben erzeugt, die zu einem stabilen und wünschenswerten Flugzeugverhalten führen (Prüfung auf Designfehler).
Im Allgemeinen wird die korrekte Implementierung eines mathematisch-physikalischen Flugsteuerungsgesetzes durch Befolgung des jeweiligen Entwicklungssicherungsprozesses verifiziert. Fehler im Design und in der Anforderungsspezifikation sind jedoch mit einem reinen Verifikationsansatz schwer zu erkennen, da die Ausgabe des Flugsteuerungsgesetzes, d.h. ein entsprechender Steuerbefehl immer noch fehlerhaft sein kann. Der vorgeschlagene erweiterte Prüfungsumfang von MON-Lane (zweiter Kanal mit zweiter Recheneinheit) umfasst Verfahrensschritte zur Validierung der berechneten Flugsteuerungsgesetz-Ausgaben - also Verfahrensschritte, die überprüfen können, ob die berechnete Ausgabe von COM-Lane (Steuerbefehle der ersten Recheneinheit auf dem ersten Kanal) für den gegebenen Ist-Zustand des Flugzeugs und die gegebenen Pilotenbefehle geeignet ist.
Ein erster Ansatz, welcher der Erfindung zugrunde liegt, umfasst eine grundlegende Zustandsprüfung des Flugzeugs. Der grundlegende Ansatz besteht darin zu beurteilen, ob der aktuelle Zustand des Flugzeugs mit dem Eingabekommando des Piloten (Piloteneingabe) übereinstimmt. Die Eingangsgrößen für diese Grundprüfung sind der Flugzeug-Navigationszustand (der Ist-Zustand des Fluggeräts; angegeben insbesondere durch einen Flugzeug-Navigationszustandsvektor) und das Piloten-Eingabekommando (die Piloteneingabe), wobei die Piloteneingabe in einen gewünschten Navigationszustand transformiert („übersetzt“) wurde.
Insbesondere die folgenden Navigationszustandsattribute können nach dieser Methode geprüft werden, worauf weiter oben bereits hingewiesen wurde: Fluglage (zum Beispiel als Euler-Winkel), Drehgeschwindigkeiten, Änderung der Rotationsraten, Position, Höhe, Geschwindigkeit (gegenüber Luft und/oder Grund), Beschleunigung.
Wenn beispielsweise der Pilot einen bestimmten Neigungswinkel für ein Mehrrotorflugzeug befiehlt, aber das Mehrrotorflugzeug den gewünschten Neigungswinkel in einem bestimmten Zeitrahmen nicht erreicht, kann dies zu der Schlussfolgerung führen, dass das zugrundeliegende Flugsteuerungsgesetz nicht richtig funktioniert. Im Extremfall kann dies sogar unabhängig vom Pilotenkommando anzunehmen sein, da z.B. eine (Ist-)Fluglage mit einem Roll-Winkel von +/- 90° und/oder einem Nick-Winkel von +/- 90° per Definition keine sichere Lage für ein Mehrrotor-Fluggerät ist. Hier würde also ein entsprechendes Korrektur-Steuersignal bzw. ein Fehlersignal erzeugt werden.
Dieser erste Ansatz führt in der Regel zu einfach zu implementierenden Gesetzen, zumindest im Vergleich zu traditionellen COM/MON-Ansätzen, die eine völlig unabhängige Implementierung derselben Anforderungen erfordern. Er reicht jedoch für die praktische Anwendung möglicherweise nicht aus, da auch externe Kräfte, die auf das Fluggerät einwirken (z.B. Wind) oder ein fehlerhaftes Verhalten der Flugbeeinflussungseinheiten (Aktuatoren) das Fluggerät in einen Zustand bringen können, der nicht wünschenswert ist. Dies sollte die MON-Lane nicht direkt zu der Schlussfolgerung führen, dass die COM-Lane eine fehlerhafte Ausgabe berechnet, also als solcher fehlerhaft funktioniert. Insofern stellt sich zusätzlich die Frage, ob die Ausgabe der COM-Lane für den aktuellen Flugzeugzustand und das Steuerkommando des Piloten angemessen ist. Dies führt in Weiterbildung der grundlegenden Erfindungsidee zu einem verfeinerten Verfahren:
Das verfeinerte Verfahren - wie weiter oben ebenfalls bereits grundlegend beschrieben - beinhaltet eine Validierung der Steuerausgabe. Hierbei handelt es sich um eine Prüfung in der MON-Lane, d.h. durch die zweite Recheneinheit. Diese liest bevorzugt kontinuierlich den aktuellen Steuerausgang (Steuerbefehle Ω) von COM (erste Recheneinheit) zu den Flugbeeinflussungseinheiten (Aktuatoren) und führt eine invertierte N-Steuerzuordnung (Allokation) mit einer Matrix K durch, um zu sehen, ob die Steuerbefehle zu einem Vektor τ_Cmd von Drehmomenten und Kräften führt, der für eine gegebene Situation bzw. einen gegebenen Zustand geeignet ist, insbesondere für eine gegebene Zustandsabweichung von der Pilotenreferenz oder aber auch von der Flugeinhüllenden (Envelope). Die Überprüfung umfasst vorzugsweise eine Analyse der Richtung und der Größe (Betrag) des Vektors τ_Cmd. Ein konkretes Beispiel für einen solchen Vektor wurde weiter oben angegeben.
Die Steuerbefehle der ersten Recheneinheit COM stellen also Sollausgangswerte dar, oben mit Ω bezeichnet. Der Sollvektor τ_Cmd, der von den Sollausgangswerten Ω abgeleitet wird, kann mit einem unabhängig davon durch die Monitorspur (zweiter Kanal mit zweiter Recheneinheit) berechneten Vektor τ_MON verglichen werden. Dies kann auf verschiedene Weise realisiert werden, z.B. als einfacher Schwellenwertvergleich oder auch durch eine Prüfung der Achsenwinkeldrehung. Die Prüfung der Achsenwinkeldrehung würde dann erkennen, ob die Achse des gewünschten Drehmoments plausibel innerhalb einer vorgegebenen Toleranz liegt und ob die Größe (der Betrag) des Drehmoments angemessen ist.
Beispielsweise könnte es geschehen, dass ein Fluggerät einen Neigungswinkel von +80° annimmt (was gegen die Prüfung nach dem ersten Ansatz verstoßen bzw. ein entsprechendes Signal der zweiten Recheneinheit auslösen würde - die Piloteneingabe verlangt keinen solchen Winkel). Wenn hierbei der befohlene Drehmoment- und Kraftvektor (der Sollvektor τ_Cmd) jedoch in eine Richtung zeigt, die dem Befehl des Piloten (der Piloteneingabe) entspricht, dann ist ein Fehler in der Command-Einheit (erste Recheneinheit) unwahrscheinlich. In diesem Szenario ist eher anzunehmen, dass das Flugzeug durch äußere Kräfte in die unerwünschte Fluglage geraten ist. Allerdings reagiert die COM-Lane offenbar angemessen auf dieses gegebene Szenario, und ein anderes Kontrollgesetz würde die Gesamtsicherheit wahrscheinlich nicht verbessern. Hier ist es also vorteilhaft, wenn die Überwachung im Nachgang zu dem Schluss kommt, dass entgegen dem ersten Ansatz kein Eingreifen in den Betrieb der ersten Recheneinheit erforderlich ist.
Bei dem vorgeschlagenen Überwachungsschema gibt es, wie oben erläutert, mehrere Ansätze, wie sich ein mögliches nicht-normales Funktionsverhalten bestimmen lässt. Wenn man sich jedoch nur auf eine der Überwachungsmethoden verlässt, um zu beurteilen, ob eine Funktion ein nicht-normales Verhalten aufweist, kann dies zu übermäßig vielen falsch-positiven Ergebnissen führen. „Falsch-positiv“ bedeutet in diesem Zusammenhang, dass ein Fehler durch die zweite Recheneinheit erkannt wird, die Funktion aber innerhalb des erwarteten Toleranzbereichs (Hülle oder Hüllkurve) ausgeführt wird. Falsch-positive Ergebnisse sind normalerweise das Ergebnis einer zu konservativen Hüllkurvendefinition durch Hinzufügen einer zu großen Sicherheitsmarge. Die Verwendung von mehr als einer Überwachungsmethode und die Verwendung eines ODER-Gatters zur Entscheidungsfindung verschlimmert die Situation sogar noch. Das Gegenteil ist der Fall, wenn zur Entscheidungsfindung ein UND-Gatter verwendet wird. Das Ergebnis wäre, dass ein nicht-normales Verhalten oftmals unerkannt bleiben könnte.
Vorliegend wird in Ergänzung zu den bereits angesprochenen Verfahren als zusätzliche Weiterbildung ein Gewichtungsschema vorgeschlagen, das die verschiedenen Methoden zu einem Gesamtbild kombiniert. Die Gewichtungen werden durch die Bewertung der Schwere des Sicherheitseffekts definiert, den eine gegebene Methode erkennen kann. Zur Erläuterung wird die folgende beispielhafte Tabelle 1 verwendet. Diese liefert den weiter oben erwähnten ersten Gewichtungsfaktor. Tabelle 1: Fehlerschweregrad und Schweregewicht

Auswirkung des festgestellten Fehlerschweregrades Schweregewicht

Keine Wirkung 0

Geringe Wirkung 1

Große Wirkung 10

Gefährliche Wirkung 100

Katastrophale Wirkung 1000
Die zweite Gewichtung (zweiter Gewichtungsfaktor, siehe oben) hängt von der Art der (Entscheidungs-)Methoden ab, die zur Erkennung der nicht-normalen Funktion verwendet werden. Wenn es sich um eine binäre Entscheidung handelt, ist das Gewicht 0, wenn die Funktion erwartungsgemäß funktioniert, und 1, wenn ein nicht-normales Verhalten beobachtet wird. Wenn die angewandte Methode jedoch einen abgestuften oder stufenlos angebbaren Vertrauenswert für die Erkennung von anormalem Verhalten hat (z.B. ein Kalman-Filter), kann dieser Wert auf den Bereich von Null bis Eins [0, 1] normiert und als sog. Vertrauensgewicht verwendet werden. Die vorgeschlagenen zweiten (Vertrauens- )Gewichte sind in Tabelle 2 zusammengefasst. Tabelle 2: Methode und Vertrauensgewicht

Methode Vertrauensgewicht

Binär 0 oder 1

Vertrauensbereich 0 bis 1
Durch Multiplikation des Vertrauensgewichts mit dem Schweregradgewicht und Summierung über alle angewandten Methoden erhält man ein Rating der überwachten Funktion. Die Entscheidung, ob diese Funktion normal oder nicht normal arbeitet, kann durch die Definition eines Schwellenwertes getroffen werden. Wenn die Summe der gewichteten Einzelmethoden über dem definierten Schwellenwert liegt, wird die Funktion als nicht normal arbeitend identifiziert. Wenn die Summe der gewichteten Einzelmethoden unter dem definierten Schwellenwert liegt, wird die Funktion als normal arbeitend identifiziert.
Weitere Eigenschaften und Vorteile ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen anhand der Zeichnung.

1 zeigt schematisch, anhand eines Blockschaltbilds, ein erfindungsgemäßes Fluggerät mit einer erfindungsgemäßen Steuerungseinrichtung;
2 zeigt ein Ablaufdiagramm einer ersten Ausgestaltung des erfindungsgemäßen Verfahrens zur Steuerung eines Fluggeräts;
3 zeigt ein Ablaufdiagramm einer Weiterbildung des Verfahrens gemäß 2; und
4 zeigt eine andere Weiterbildung des Verfahrens gemäß 2.

In 1 ist bei Bezugszeichen 1 ein Fluggerät in Form eines senkrechtstartenden und landenden Mehrrotorflugzeugs, speziell eines Multikopters, dargestellt. Die gestrichelte Box symbolisiert das genannte Fluggerät 1 auf einer abstrakteren Ebene.
Das Fluggerät 1 umfasst eine Mehrzahl von N Flugbeeinflussungseinheiten 2.1, ..., 2.N, die als elektrisch angetriebene Antriebseinheiten in Form von Motor/Rotor-Einheiten ausgebildet sind. Bezugszeichen 3 bezeichnet Sensoren zum Bestimmen eines Ist-Zustands des Fluggeräts 1. Die Sensoren 3 können mehrere Sensoreinheiten 3.1, 3.2, ... umfassen, die als Sensoreinheiten 3.1, 3.2, ... unterschiedlicher Art ausgebildet sind. Beispielhaft und ohne Beschränkung seien hier Temperatursensoren, Drehzahlmesser, Inertialmesseinheiten, Kameras, Radar, Lidar und dergleichen genannt. Abweichend von der schematischen Darstellung in 1 können die Sensoren 3 am Fluggerät 1 verteilt angeordnet sein. Beispielsweise können einige der Sensoreinheiten 3.1, 3.2, ... den einzelnen Flugbeeinflussungseinheiten (Antriebseinheiten) 2.1, 2.2, ... direkt zugeordnet und bei diesen angeordnet sein.
Bezugszeichen 4 bezeichnet eine übergeordnete Flugsteuerungseinheit oder Flugsteuerungseinrichtung des Fluggeräts 1. Die Flugsteuerungseinrichtung 4 empfängt eine Piloteneingabe PE von einer entsprechenden Eingabevorrichtung 5, beispielsweise einem Steuerknüppel. Die Piloteneingabe PE ist nicht auf die Eingabe eines menschlichen Piloten beschränkt. Insbesondere kann es sich bei der Eingabevorrichtung 5 auch um einen Autopiloten, eine sonstige automatische Eingabevorrichtung, oder um ein Fernsteuersignal handeln.
Gemäß der schematischen Darstellung in 1 umfasst die Flugsteuerungseinheit 5 einen ersten (Steuer-)Kanal mit einer ersten Recheneinheit COM (COM-Lane) und einem zweiten (Überwachungs-)Kanal mit einer zweiten Recheneinheit MON (MON-Lane). Die erste Recheneinheit COM wird auch als Command oder Befehl bezeichnet, während die zweite Recheneinheit MON auch als Monitor bezeichnet wird. Die Piloteneingabe PE gelangt zunächst zu einer Empfangseinrichtung 6, welche die Piloteneingabe signaltechnisch aufbereitet und COM zur Verfügung stellt. COM berechnet daraus Steuerbefehle SB, welche sie den Flugbeeinflussungseinheiten 2.1, ..., 2.N zur Verfügung stellt. MON überwacht COM, insbesondere die von COM erzeugten Steuerbefehle SB, und empfängt in diesem Zusammenhang hier insbesondere Signale von den Sensoren 3, wie dargestellt. In Abhängigkeit von einem Ergebnis der Überwachung erzeugt MON ein Steuersignal SS, welches in der Flugsteuerungseinheit 4 zur Steuerung des Fluggeräts 1 auf unterschiedliche Weise verwendet werden kann. Dies wurde weiter oben bereits detailliert beschrieben. Insbesondere kann MON überprüfen, ob die Steuerbefehle SB für einen gegebenen physikalischen Zustand des Fluggeräts 1 und die Piloteneingabe PE geeignet sind, indem MON anhand der Sensorsignale einen aktuellen Navigationszustand des Fluggeräts 1 ermittelt und diesen mit der Piloteneingabe PE vergleicht. Zu diesem Zweck steht die Einheit 6 auch mit MON in Wirkverbindung, wie dargestellt. Auf diese Weise „kennt“ MON die Piloteneingabe PE bzw. eine Transformation derselben in einen gewünschten Navigationszustand des Fluggeräts 1, welcher gewünschte Navigationszustand mit dem aktuellen Navigationszustand des Fluggeräts 1 zu vergleichen ist.
Zusätzlich oder alternativ kann MON mittels einer umgekehrten Steuerungszuordnung überprüfen, ob die Steuerbefehle SB bei einem Ansteuern der Flugbeeinflussungseinheiten 2.1, ..., 2.N des Fluggeräts 1 zu einem ersten Kraft-/Momentenvektor für das Fluggerät führen, welcher Vektor für einen gegebenen physikalischen Zustand des Fluggeräts 1 geeignet ist. Auch hierauf wurde weiter oben bereits detailliert eingegangen. Insbesondere kann MON aus den Steuerbefehlen SB den genannten Kraft-/Momentenvektor τ_Cmd bestimmen, wie dargestellt, und diesen mit einem zweiten Kraft-/Momentenvektor τ_MON vergleichen, welcher zweite Kraft-/Momentenvektor unabhängig von dem ersten Kraft-/Momentenvektor bestimmt wird. MON berechnet den zweiten Kraft-/Momentenvektor unabhängig anhand der Piloteneingabe PE und der Sensorsignale (Messungen).
2 zeigt ein erstes Ablaufdiagramm eines Verfahrens. Die in dem Ablaufdiagramm enthaltenen Buchstaben A und B bezeichnen Verzweigungen (Weiterbildungen des Verfahrens) auf die weiter unten anhand von 3 bzw. 4 näher eingegangen wird.
Das Verfahren gemäß 2 beginnt mit Schritt S1. Hiervon ausgehend existieren zwei parallele Verfahrensstränge. Gemäß Schritt S2 empfängt die Flugsteuerungseinheit 4 (vgl. 1) die Piloteneingabe PE (vgl. 1) und erzeugt hieraus Steuerbefehle SB (vgl. 1) für die Flugbeeinflussungseinheiten 2.1, ..., 2.N (1) des Fluggeräts 1 (1), die in Schritt S3 an die Flugbeeinflussungseinheiten übermittelt werden. Dies geschieht über den COM-Kanal. Parallel dazu bestimmt MON in Schritt S4, ob die Steuerbefehle für einen gegebenen physikalischen Zustand des Fluggeräts und für die Piloteneingabe geeignet sind. Hierzu bestimmt MON in Schritt S4, insbesondere anhand der Sensordaten bzw. Sensorsignale (vgl. 1), ob ein aktueller Navigationszustand des Fluggeräts mit der Piloteneingabe übereinstimmt. Die Überwachung von COM durch MON ist in 2 bei Bezugszeichen S5 symbolisiert. Anschließend erfolgt in Schritt S6 die bereits angesprochene Überprüfung, ob der aktuelle Navigationszustand des Fluggeräts mit einem gewünschten Navigationszustand des Fluggeräts, der sich aus der Piloteneingabe ergibt, innerhalb einer gegebenen Abweichung übereinstimmt. Der Vergleich in Schritt S6 kann auf unterschiedliche Art und Weise erfolgen (Verzweigung B), was weiter unten anhand von 4 näher erläutert wird.
Wenn sich aus dem Vergleich Schritt S6 ergibt, dass innerhalb der vorgegebenen Abweichung eine Übereinstimmung besteht, wird in Schritt S7 ein Steuersignal zur Steuerung des Fluggeräts erzeugt, welches im einfachsten Fall beinhalten kann, dass die Steuerung unverändert weiterlaufen kann. Falls sich jedoch in Schritt S6 ergibt, dass keine Übereinstimmung innerhalb der vorgegebenen Abweichung besteht, wird in Schritt S8 ein Steuersignal zur Steuerung des Fluggeräts erzeugt, welches es ermöglicht, auf die vorhandene Fehlfunktion zu reagieren. Im einfachsten Fall endet das Verfahren anschließend in Schritt S9. Es besteht jedoch die Möglichkeit, eine Weiterbildung des Verfahrens vorzusehen (Verzweigung A), was anschließend unter Bezugnahme auf 3 näher beschrieben wird.
Da das einfache Verfahren gemäß 2 - wie im einleitenden Teil beschrieben - zu einer Vielzahl von falsch-positiven Ergebnissen führen kann, sieht die Weiterbildung gemäß 3 vor, dass im Anschluss an Schritt S7 bzw. Schritt S8 (vgl. 2) im Schritt S10 insbesondere durch MON mittels einer umgekehrten Steuerungszuordnung überprüft wird, ob die Steuerbefehle SB (1) bei einem Ansteuern der Flugbeeinflussungseinheiten 2.1, ..., 2.N (1) des Fluggeräts zu einem Kraft-/Momentenvektor τ_Cmd für das Fluggerät führen, der insbesondere hinsichtlich Richtung und/oder Betrag für einen gegebenen physikalischen Zustand des Fluggeräts geeignet ist. Hierzu verzweigt das Verfahren in Schritt S11, so dass sich gemäß 3 drei mögliche alternative Abläufe S12 bis S14 ergeben, die weiter oben auch als Schritte i) bis iii) bezeichnet wurden und die - abweichend von der einfachen Darstellung in 3 - auch kumulativ ausgeführt werden können. Anschließend wird in Schritt S15 ein angepasstes Steuersignal zur Steuerung des Fluggeräts erzeugt, und zwar in Abhängigkeit von einem Prüfungsergebnis der jeweiligen Prüfung gemäß S12 bis S14. Danach wird das Verfahren beim Verzweigungspunkt A vorgesetzt.
In Schritt S12 wird der aus den Steuerbefehlen abgeleitete Kraft-/Momentenvektor mit einem anderen Kraft-/Momentenvektor τ_MON verglichen, wobei der Kraft-/Momentenvektor τ_MON unabhängig von dem Kraft-/Momentenvektor τ_Cmd bestimmt wird, vorzugsweise durch MON. In Schritt S13 wird für den Kraft-/Momentenvektor τ_Cmd geprüft, vorzugsweise durch MON, ob die Achse und/oder der Betrag eines in dem Kraft-/Momentenvektor τ_Cmd enthaltenen Drehmoments innerhalb eines vorgegebenen Toleranzintervalls liegt. Gemäß Schritt S14 wird für den Kraft-/Momentenvektor τ_Cmd geprüft, wiederum vorzugsweise durch MON, ob der Kraft-/Momentenvektor τ_Cmd innerhalb einer vorgegebenen Abweichung mit der Piloteneingabe PE (vgl. 1) übereinstimmt.
In 4 ist dargestellt, dass im Rahmen einer Weiterbildung mehrere Prüfungs- und Vergleichsmethoden verwendet werden können, um die Genauigkeit der Prüfung zu verbessern, wie weiter oben detailliert beschrieben wurde. In 4 sind drei unterschiedliche Prüfungs-/Vergleichsmethoden vorgesehen, ohne dass die Erfindung auf eine bestimmte Anzahl beschränkt wäre.
Die Verzweigung in Schritt S16 verzweigt auf jeweils eine der genannten Prüfungs-/Vergleichsmethoden. Deren Abläufe werden anschließend als Schritt S17, Schritt S18 bzw. Schritt S19 zusammengefasst. Bei jeder der Methoden wird in einem ersten Teilschritt S17.1, S18.1, S19.1 der jeweiligen Prüfungs-/Vergleichsmethode ein erster Gewichtungsfaktor zugeordnet, wie weiter oben detailliert beschrieben. Anschließend wird jeder Prüfungs-/Vergleichsmethode in einem zweiten Teilschritt S17.2, S18.2, S19.2 ein zweiter Gewichtungsfaktor zugeordnet, wie ebenfalls weiter oben detailliert beschrieben. Dann werden in einem dritten Teilschritt S17.3, S18.3, S19.3 der erste Gewichtungsfaktor und der zweite Gewichtungsfaktor für jede Prüfungs-/Vergleichsmethode zu einem Gesamt-Gewichtungsfaktor kombiniert, mit welchem Gesamt-Gewichtungsfaktor das zugehörige Prüfungs-/Vergleichsergebnis gewichtet wird. Insbesondere kann vorgesehen sein, dass in Schritt S17.3, S19.3 der erste Gewichtungsfaktor und der zweite Gewichtungsfaktor für jede Prüfungs-/Vergleichsmethode miteinander multipliziert werden. Anschließend wird in Schritt S20 die Summe über die Mehrzahl an gewichteten Prüfungs-/Vergleichsergebnissen gebildet, um ein kombiniertes Prüfungsergebnis zur Verwendung in Schritt S21 zu erhalten. Dieses kombinierte Prüfungsergebnis wird anschließend gemäß Schritt S6 weiter behandelt, wie weiter oben anhand von 1 bereits beschrieben.
Bei dem ersten Gewichtungsfaktor kann es sich insbesondere um ein sogenanntes Schweregewicht handeln, wie weiter oben detailliert beschrieben. Bei dem zweiten Gewichtungsfaktor kann es sich insbesondere um ein Vertrauensgewicht handeln, wie weiter oben ebenfalls detailliert beschrieben.

Claims

Verfahren zur Steuerung eines Fluggeräts (1), insbesondere eines senkrecht startenden und landenden Mehrrotorflugzeugs, bei dem Flugbeeinflussungseinheiten (2.1,..., 2.N) des Fluggeräts (1), insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, a) über einen ersten Kanal oder Steuerkanal von einer ersten Recheneinheit (COM) mit Steuerbefehlen (SB) versorgt werden, welche Steuerbefehle (SB) von einer Piloteneingabe (PE) stammen oder aus einer Piloteneingabe (PE) abgeleitet sind, und bei dem b) die Steuerbefehle (SB) durch einen zweiten Kanal oder Überwachungskanal und eine zweite Recheneinheit (MON) überwacht werden, welche zweite Recheneinheit (MON) überprüft, ob die Steuerbefehle (SB) für einen gegebenen physikalischen Zustand des Fluggeräts (1) und die Piloteneingabe (PE) geeignet sind, indem c) durch die zweite Recheneinheit (MON) bestimmt wird, ob ein aktueller Navigationszustand des Fluggeräts (1) mit der Piloteneingabe (PE), welche Piloteneingabe (PE) in einen gewünschten Navigationszustand des Fluggeräts (1) transformiert wurde, vorzugsweise durch die zweite Recheneinheit (MON), innerhalb einer vorgegebenen Abweichung übereinstimmt, und bei dem d) in Abhängigkeit von einem Bestimmungsergebnis der Bestimmung in Schritt c) ein Steuersignal (SS) zur Steuerung des Fluggeräts (1) erzeugt wird.
Verfahren nach Anspruch 1, bei dem in Schritt c) wenigstens eines der folgenden Navigationszustandsattribute des Navigationszustands geprüft wird: - die Fluglage, zum Beispiel anhand von Euler-Winkeln; - Drehgeschwindigkeiten; - Änderung von Rotationsraten; - Position; - Geschwindigkeit gegenüber Luft und/oder Grund; - Höhe, insbesondere barometrisch; - Beschleunigung.
Verfahren nach Anspruch 1 oder 2, bei dem zusätzlich, vorzugsweise durch die zweite Recheneinheit (MON), mittels einer umgekehrten Steuerungszuordnung überprüft wird, ob die Steuerbefehle (SB) bei einem Ansteuern der Flugbeeinflussungseinheiten (2.1,..., 2.N) des Fluggeräts (1) zu einem ersten Kraft-/Momentenvektor τ_Cmd für das Fluggerät (1) führen, der für einen gegebenen physikalischen Zustand des Fluggeräts (1) geeignet ist, indem i) der aus den Steuerbefehlen (SB) abgeleitete erste Kraft-/Momentenvektor mit einem zweiten Kraft-/Momentenvektor T_MON verglichen wird, welcher zweite Kraft-/Momentenvektor unabhängig von dem ersten Kraft-/Momentenvektor bestimmt wird, und/oder indem ii) für den ersten Kraft-/Momentenvektor, vorzugsweise durch die zweite Recheneinheit (MON), geprüft wird, ob die Achse und/oder der Betrag eines in dem ersten Kraft-/Momentenvektor enthaltenen Drehmoments innerhalb eines vorgegebenen Toleranzintervalls liegt, und/oder indem iii) für den ersten Kraft-/Momentenvektor, vorzugsweise durch die zweite Recheneinheit (MON), geprüft wird, ob der erste Kraft-/Momentenvektor innerhalb einer vorgegebenen Abweichung mit der Piloteneingabe (PE) übereinstimmt, und bei dem in Schritt d) ein angepasstes Steuersignal (SS) zur Steuerung des Fluggeräts (1) erzeugt wird in Abhängigkeit von einem Prüfungsergebnis der Prüfung in Schritt i) bis iii).
Verfahren nach Anspruch 3, bei dem der aus den Steuerbefehlen (SB) abgeleitete erste Kraft-/Momentenvektor τ_Cmd gegeben ist durch: $τ_{Cmd} = \underset{K}{\underset{︸}{(\begin{array}{l} {\bar{m}}_{1}^{b} & {\bar{m}}_{2}^{b} & \dots & {\bar{m}}_{N}^{b} \\ f_{1}^{b} & f_{2}^{b} & \dots & f_{N}^{b} \end{array})}} \cdot \underset{Ω}{\underset{︸}{(\begin{matrix} Ω_{1}^{2} \\ Ω_{2}^{2} \\ ⋮ \\ Ω_{N}^{2} \end{matrix})}}$
mit einer Matrix K, deren Elemente m and f gegeben sind durch eine Konfiguration des Fluggeräts (1) und seiner N Flugbeeinflussungseinheiten (2.1,..., 2.N) , und mit einem Vektor Ω mit den Steuerbefehlen (SB) der ersten Recheneinheit (COM) für die N Flugbeeinflussungseinheiten (2.1,..., 2.N).
Verfahren nach einem der Ansprüche 1 bis 4, bei dem in Schritt c) und/oder, bei Rückbezug auf Anspruch 3, in Schritt i) bis iii) jeweils eine Mehrzahl von Prüfungs-/Vergleichsmethoden verwendet werden, um eine entsprechende Mehrzahl an Prüfungs-/Vergleichsergebnissen zu erhalten, welche Prüfungs-/Vergleichsergebnisse anschließend jeweils gewichtet und dann miteinander kombiniert werden, um zur Verwendung in Schritt d) ein kombiniertes Bestimmungsergebnis und/oder, bei Rückbezug auf Anspruch 3, ein kombiniertes Prüfungsergebnis zu erhalten.
Verfahren nach Anspruch 5, bei dem jeder Prüfungs-/Vergleichsmethode aus der Mehrzahl von Prüfungs-/Vergleichsmethoden wenigstens ein erster Gewichtungsfaktor und wenigstens ein zweiter Gewichtungsfaktor zugeordnet wird und bei dem der erste Gewichtungsfaktor und der zweite Gewichtungsfaktor zu einem Gesamt-Gewichtungsfaktor für jede Prüfungs-/Vergleichsmethode kombiniert werden, mit welchem Gesamt-Gewichtungsfaktor das zugehörige Prüfungs-/Vergleichsergebnis gewichtet wird.
Verfahren nach Anspruch 6, bei dem der erste Gewichtungsfaktor und der zweite Gewichtungsfaktor für jede Prüfungs-/Vergleichsmethode miteinander multipliziert werden.
Verfahren nach einem der Ansprüche 5 bis 7, bei dem eine Summe über die Mehrzahl an gewichteten Prüfungs-/Vergleichsergebnissen gebildet wird, um das kombinierte Prüfungsergebnis zur Verwendung in Schritt d) zu erhalten.
Verfahren nach einem der Ansprüche 5 bis 8, bei dem der erste Gewichtungsfaktor ein Schweregrad-Gewichtungsfaktor ist, der angibt, wie schwerwiegend ein durch eine gegebene Prüfungs-/Vergleichsmethode erkennbarer Fehler für das Fluggerät (1) oder dessen Steuerung ist.
Verfahren nach einem der Ansprüche 5 bis 9, bei dem der zweite Gewichtungsfaktor ein Vertrauens-Gewichtungsfaktor ist, der angibt, wie genau ein durch eine gegebene Prüfungs-/Vergleichsmethode erkennbarer Fehler für das Fluggerät (1) oder dessen Steuerung quantitativ angebbar ist.
Verfahren nach einem der Ansprüche 5 bis 10, bei dem die Prüfungs-/Vergleichsmethoden aus einer Gruppe gewählt werden, die folgende Methoden umfasst: - Frequenzanalyse; - Kalman-Filter; - CBIT- und PBIT-Ergebnisse; - Out-of-range-Bewertungen (z.B. Flugeinhüllende); - Erwartungswerte aus Modellen (z.B. Pilotmodell).
Steuerungseinrichtung (4) für ein Fluggerät (1), insbesondere ein senkrecht startendes und landendes Mehrrotorflugzeug, mit einer ersten Recheneinheit (COM) und mit einem ersten Kanal oder Steuerkanal zum Versorgen von Flugbeeinflussungseinheiten (2.1,..., 2.N) des Fluggeräts (1), insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, über den Steuerkanal mit Steuerbefehlen (SB) von der ersten Recheneinheit (COM), welche Steuerbefehle (SB) von einer Piloteneingabe (PE) stammen oder aus einer Piloteneingabe (PE) abgeleitet sind, und mit einem zweiten Kanal oder Überwachungskanal und einer zweiten Recheneinheit (MON), welche zweite Recheneinheit (MON) dazu ausgebildet und vorgesehen ist, die erste Recheneinheit (COM) zu überwachen, indem die zweite Recheneinheit (MON) überprüft, ob die Steuerbefehle (SB) für einen gegebenen physikalischen Zustand des Fluggeräts (1) und die Piloteneingabe (PE) geeignet sind, indem die zweite Recheneinheit (MON) dazu ausgebildet ist zu bestimmen, ob ein aktueller Navigationszustand des Fluggeräts (1) mit der Piloteneingabe (PE), welche Piloteneingabe (PE) in einen gewünschten Navigationszustand des Fluggeräts (1) transformiert wurde, vorzugsweise durch die zweiten Recheneinheit (MON), innerhalb einer vorgegebenen Abweichung übereinstimmt, und bei dem die zweite Recheneinheit (MON) weiterhin dazu ausgebildet ist, in Abhängigkeit von einem Bestimmungsergebnis der Bestimmung ein Steuersignal (SS) zur Steuerung des Fluggeräts (1) zu erzeugen und auszugeben.
Steuerungseinrichtung (4) nach Anspruch 12, bei der die zweite Recheneinheit (MON) weiterhin dazu ausgebildet ist, mittels einer umgekehrten Steuerungszuordnung zu überprüfen, ob die Steuerbefehle (SB) bei einem Ansteuern der Flugbeeinflussungseinheiten (2.1,..., 2.N) des Fluggeräts (1) zu einem ersten Kraft-/Momentenvektor führen, der für einen gegebenen physikalischen Zustand des Fluggeräts (1) geeignet ist, indem die zweite Recheneinheit (MON) dazu ausgebildet ist i) den aus den Steuerbefehlen (SB) abgeleiteten ersten Kraft-/Momentenvektor mit einem zweiten Kraft-/Momentenvektor zu vergleichen, welcher zweite Kraft-/Momentenvektor unabhängig von dem ersten Kraft-/Momentenvektor bestimmt ist, und/oder ii) für den ersten Kraft-/Momentenvektor zu prüfen, ob die Achse und/oder der Betrag eines in dem ersten Kraft-/Momentenvektor enthaltenen Drehmoments innerhalb eines vorgegebenen Toleranzintervalls liegt, und/oder iii) für den ersten Kraft-/Momentenvektor zu prüfen, ob der erste Kraft-/Momentenvektor innerhalb einer vorgegebenen Abweichung mit der Piloteneingabe (PE) übereinstimmt, und ein angepasstes Steuersignal (SS) zur Steuerung eines Fluggeräts (1) zu erzeugen und auszugeben in Abhängigkeit von einem Prüfungsergebnis der Prüfung gemäß i) bis iii).
Steuerungseinrichtung (4) nach Anspruch 12 oder 13, bei der die zweite Recheneinheit (MON) weiterhin dazu ausgebildet ist, eine Mehrzahl von Prüfungs-/Vergleichsmethoden zu verwenden, um eine entsprechende Mehrzahl an Prüfungs-/Vergleichsergebnissen zu erhalten, welche Prüfungs-/Vergleichsergebnisse anschließend jeweils gewichtet und dann miteinander kombiniert werden, um ein kombiniertes Bestimmungsergebnis und/oder, bei Rückbezug auf Anspruch 13, ein kombiniertes Prüfungsergebnis zu erzeugen und zur Erzeugung des Steuersignals (SS) oder, bei Rückbezug auf Anspruch 13, des angepassten Steuersignals (SS) auszugeben.
Steuerungseinrichtung (4) nach einem der Ansprüche 12 bis 14, bei der die die zweite Recheneinheit (MON) weiterhin ausgebildet ist zum Implementieren eines Verfahrens gemäß einem der weiteren Verfahrensansprüche 2, 4 und 6 bis 11.
Fluggerät (1), insbesondere ein senkrecht startendes und landendes Mehrrotorflugzeug, mit einer Anzahl von Flugbeeinflussungseinheiten (2.1,..., 2.N), insbesondere Antriebseinheiten, vorzugsweise elektrisch angetriebene Antriebseinheiten, und mit einer Steuerungseinrichtung (4) nach einem der Ansprüche 12 bis 15, welche Steuerungseinrichtung (4) mit den Flugbeeinflussungseinheiten (2.1,..., 2.N) wirkverbunden und dazu ausgebildet ist, Steuerbefehle (SB) an die Flugbeeinflussungseinheiten (2.1,..., 2.N) zu senden.