确保电传操纵系统安全性的方法:空客 VS 波音 Andrew J. Kornecki、Kimberley Hall 安柏瑞德航空大学 美国佛罗里达州代托纳比奇 < kornecka@erau.edu > 摘要 电传操纵 (FBW) 是一种飞行控制系统,它使用计算机和相对较轻的电线取代飞行员驾驶舱控制装置和移动表面之间的传统直接机械连接。FBW 系统最先用于制导导弹,随后用于军用飞机。它在商用飞机上的应用延迟是由于需要时间开发适当的故障生存技术,以提供足够的安全性、可靠性和可用性。软件生成在高完整性数字 FBW 系统的总工程开发成本中占很大比例。本文讨论了与软件和冗余技术相关的问题。空客和波音等领先的商用飞机制造商都在其民用客机中采用 FBW 控制装置。本文介绍了他们的方法、控制理念的差异以及如何实现航空公司运营所必需的可比安全保障水平。 关键词 航空电子、软件工程、软件安全、容错 1. 简介 电传操纵 (FBW) 系统是一种基于计算机的飞行控制系统,它用更轻的电线取代了飞行员驾驶舱控制装置和移动表面之间的机械连接。飞行员通过控制飞机机翼和尾翼上的可移动部件(称为飞行控制面)来操纵飞机。计算机将飞行员的命令转换成传送到控制面的电脉冲。空客和波音在其商用飞机中使用 FBW 的方式略有不同。本文的目的是比较商用飞机制造商在实施其 FBW 系统时采用的不同方法。本文试图从系统和软件工程设计决策的角度来探讨系统的可用性和安全性。
1. 指定航空体检医师的法律责任 美国法典 (USC) 第 49 篇(运输)第 109(9)、40113(a)、44701-44703 和 44709 (1994) 节(原编入 1958 年联邦航空法修正案)授权联邦航空管理局局长将与根据 USC 签发证书所需的检查、测试和检验相关的事务委托给合格的私人;即指定的 AME。指定体检医师被授予管理局的权力,对飞行员体检证书申请人进行检查,并签发或拒绝签发证书。每年大约收到和处理 450,000 份飞行员体检证书申请。与这些申请相关的绝大多数体检都是由被指定代表联邦航空管理局的私人执业医师进行的。 AME 是 FAA 管理员指定的代表,肩负重要职责。AME 必须认识到与其任命相关的责任。有时,申请人可能没有固定的主治医生,AME 可以选择履行这一角色。您必须考虑您作为 AME 所承担的责任以及在担任这一双重角色时可能出现的潜在冲突。疏忽或错误的认证会导致不合格人员控制飞机,这对公众、政府和 AME 来说都是严重的后果。如果检查很粗略,AME 未能发现在彻底仔细的检查过程中本应发现的取消资格的缺陷,则可能会造成安全隐患,AME 可能要对此类行为的结果负责。同样令人担忧的是,AME 故意不报告在检查过程中观察到的或已知存在的取消资格情况。在这种情况下,申请人和 AME 在填写申请表和医疗报告表时都可能被发现违反了联邦刑法,该法规定:
确保电传操纵系统安全性的方法:空客 VS 波音 Andrew J. Kornecki,Kimberley Hall 安柏瑞德航空大学 美国佛罗里达州代托纳比奇 < kornecka@erau.edu > 摘要 电传操纵 (FBW) 是一种飞行控制系统,使用计算机和相对较轻的电线来取代飞行员驾驶舱控制装置和移动表面之间的传统直接机械连接。FBW 系统已用于制导导弹,随后用于军用飞机。商用飞机实施延迟是由于需要时间开发适当的故障生存技术,以提供足够的安全性、可靠性和可用性。软件生成对高完整性数字 FBW 系统的总工程开发成本贡献很大。讨论了与软件和冗余技术相关的问题。空中客车和波音等领先的商用飞机制造商在其民用客机中采用了 FBW 控制。本文介绍了他们的方法、控制理念的差异以及实现航空公司运营所必需的同等安全保障水平的实施情况。关键词 航空电子、软件工程、软件安全、容错 1.简介 电传操纵 (FBW) 系统是一种基于计算机的飞行控制系统,它用更轻的电线取代了飞行员驾驶舱控制装置和移动表面之间的机械连接。飞行员通过控制飞机机翼和尾翼上的可移动部件(称为飞行控制面)来操纵飞机。计算机将飞行员的命令转换为传送到控制面的电脉冲。空中客车和波音在其商用飞机中利用 FBW 的方式略有不同。本文的目的是比较商用飞机制造商在实施 FBW 系统时使用的不同方法。本文试图从系统和软件工程设计决策的角度来探讨系统的可用性和安全性。
确保电传操纵系统安全性的方法:空客 VS 波音 Andrew J. Kornecki、Kimberley Hall 安柏瑞德航空大学 美国佛罗里达州代托纳比奇 < kornecka@erau.edu > 摘要 电传操纵 (FBW) 是一种飞行控制系统,它使用计算机和相对较轻的电线取代飞行员驾驶舱控制装置和移动表面之间的传统直接机械连接。FBW 系统最先用于制导导弹,随后用于军用飞机。它在商用飞机上的应用延迟是由于需要时间开发适当的故障生存技术,以提供足够的安全性、可靠性和可用性。软件生成在高完整性数字 FBW 系统的总工程开发成本中占很大比例。本文讨论了与软件和冗余技术相关的问题。空客和波音等领先的商用飞机制造商都在其民用客机中采用 FBW 控制装置。本文介绍了他们的方法、控制理念的差异以及如何实现航空公司运营所必需的可比安全保障水平。 关键词 航空电子、软件工程、软件安全、容错 1. 简介 电传操纵 (FBW) 系统是一种基于计算机的飞行控制系统,它用更轻的电线取代了飞行员驾驶舱控制装置和移动表面之间的机械连接。飞行员通过控制飞机机翼和尾翼上的可移动部件(称为飞行控制面)来操纵飞机。计算机将飞行员的命令转换成传送到控制面的电脉冲。空客和波音在其商用飞机中使用 FBW 的方式略有不同。本文的目的是比较商用飞机制造商在实施其 FBW 系统时采用的不同方法。本文试图从系统和软件工程设计决策的角度来探讨系统的可用性和安全性。
飞行员通常认为,在航空母舰上着陆是最困难的训练之一,因为能见度条件、航空母舰动力学和狭小的着陆区使着陆变得复杂。根据能见度条件,可以使用几种接近航空母舰的方法,如 [1] 中所述。在我们的案例中,研究的轨迹包括在距离航空母舰 7.5 公里处开始下降,并将钩子放在所需的下降滑行上。为了确保着陆精度,不进行拉平。方法可以总结为保持下降率和迎角恒定,以保持飞机稳定性并防止失速。航空母舰上的着陆控制并不是一个新问题。它使用经典传感器(如雷达或相对 GPS [2])进行研究,这些传感器确定相对于参考轨迹的误差,并使用控制律对其进行校正,该控制律可以是最优的 [3] 或鲁棒的 [4]。[3] 中实现了一些航空母舰动力学预测模型,以改进控制。几十年来,出于认知和安全方面的考虑,人们一直在研究飞行员着陆时使用的视觉特征。目的是了解飞行员使用的特征并确定他们的敏感性[5],以便模拟人类反应并改善飞行员训练。[6] 介绍了用于在对准、进近和着陆期间控制飞机的视觉特征的相当完整的最新技术水平。例如,消失点和撞击点之间的距离允许飞行员跟随下降滑行。在[7]和[8]中,考虑到小角度假设,建立了相对姿势和视觉特征之间的联系。航母着陆主要在辅助系统范围内研究,该辅助系统处理光学着陆系统的可见性。海军飞行员降落在航母上的方法之一是控制飞机,以便将平视显示器 (HUD) 上的下滑道矢量聚焦到甲板上的三角形标记上,如图 1a 所示。另一种方法是将飞机的下滑道矢量与甲板上的三角形标记对齐,如图 1a 所示。
飞机着陆是飞行的最终阶段,飞机从 15 米的高度缓慢飞行,着陆后完全停止,然后在跑道上滑行 [4]。着陆是最困难的飞行阶段,要求飞行员具备非常高的驾驶技能 [1]。着陆是通过减速并下降到跑道来完成的。减速是通过减少推力和/或使用襟翼、起落架或减速板产生更大的阻力来实现的。飞行的起飞过程可分为两个主要阶段 - 加速和起飞。这些阶段由其他某些子阶段划分。航空工业的进步现在已经达到了所有这些阶段都可以在没有飞行员参与的情况下进行的程度,即使用自动驾驶系统。在民航中,无人系统仍被谨慎使用,主要仅在水平飞行阶段,并且仍由机组人员控制。然而,主要是经验丰富的飞行员执行着陆过程。由于着陆时所有动作的复杂性和危险性,根据统计,此阶段被认为是最危险的阶段 [2]。这项工作的目的是分析影响地面路径长度的因素,并开发一种系统,该系统可以在飞机着陆后完全自动停止飞机,或者至少帮助飞行员确定剩余的制动距离,以防止危险情况。开发的系统和方法将告知机组人员剩余的制动距离。系统计算包括跑道的剩余长度,以飞机配备的系统的输出信号为基础 [3]。系统还考虑了各种因素,例如天气条件 [7]、刹车和轮胎状况、刹车率、减速统计、特定飞机的空气动力学特性 [5, 9]、控制方法 [12] 等。本文分析了飞机的刹车距离。根据事故统计,开发一种能够控制飞机着陆后和起飞期间刹车距离的自动化装置非常重要 [2]。该装置能够随时计算必要的制动力,以合理使用飞机的刹车系统,最大限度地延长轮胎和刹车的磨损,确保乘客安全并排除飞行员失误的可能性 [6],以及用各种材料制成的元件和结构的强度 [8, 10, 11]。
1. 引言 自从飞行开始以来,飞机控制一直是航空业确保安全飞行的首要任务之一。就像人体一样,飞机的每个部件都在确保安全飞行和控制方面发挥着作用。航空运输无疑是近代最安全的交通方式之一。然而,有时确实会发生造成大量人员伤亡的事故或事件。机械故障或飞机部件损坏是继飞行员失误之后导致飞机失事的第二大常见原因,约占所有航空事故的 22% [1]。其他事故原因还包括破坏、失控 (LOC)、天气和其他人为因素。在早期,飞行控制系统是机械的,这意味着飞行员在驾驶舱的控制与控制面之间存在直接联系。多年来,机械飞行控制系统已被允许飞行员直接控制飞机运动的系统所取代。这种数字类型的飞行控制系统使用电信号,被称为“电传操纵”。这种飞行控制系统提高了飞机的稳定性和控制力,也提高了飞行员对飞行干扰的反应时间 [2]。此外,在飞机遇到任何类型的系统故障的情况下,它都会变得不对称,飞行员的工作量会大大增加。浮动配平片、发动机风扇爆裂、鸟撞和控制器冻结都是可能限制飞机控制的一些故障示例。尽管如此,在大多数情况下,当发生这些类型的故障时,只有控制面受到影响,而升力面保持完好。苏城 DC-10 坠机事件就是这种情况的一个非常著名的例子。联合航空 232 航班从丹佛飞往芝加哥时,第二台发动机发生故障,导致所有液压控制装置失效。飞机随后由剩下的两台发动机控制,并在爱荷华州苏城坠毁。共有 111 人伤亡,但 185 人幸存 [3]。这清楚地表明了飞机在没有标准控制面的情况下也能被控制的能力。 2003 年,DHL 的空客 A300B4 左翼遭到地对空导弹袭击。
发动机电子控制单元(EECU)是航空发动机中非常重要的部件,在其开发过程中需要进行多项验证试验。由于使用实际发动机进行此类验证试验需要花费大量的时间和成本,而且昂贵的发动机可能会损坏或出现安全隐患,因此,能够虚拟地产生与实际发动机相同信号的模拟器是必不可少的[1]。替代实际发动机的虚拟发动机模拟器应该能够实时提供与实际发动机运行几乎相同水平的发动机运行模拟。因此,模拟速度应该与实际系统在用户指定的时间范围内进行输入、计算和输出的速度一样快。实时仿真需要开发能够几乎实时进行计算的实时发动机模型和适当的硬件。已经进行了许多关于燃气涡轮发动机电子发动机控制系统的研究。在之前的研究中,W.J.Davies 等人进行了 F-14 飞机和推进控制集成评估。他们的论文介绍了 PWA 执行的 FADEC/F-14 集成评估,并讨论了 FADEC/F-14 集成系统的优势 [2]。H. Yamane 等人对飞机发动机控制系统的各个方面进行了调查。在他们的工作中,提出了各种用于飞机发动机的电子控制系统 [3]。F. Schwamm 对安全关键应用的 FADEC 计算机系统进行了研究。在 Schwamm 的工作中,研究了 FADEC 的发展趋势 [4]。K. Hjelmgren 等人。对单引擎飞机 FADEC 的可靠性分析进行了研究。他们的论文介绍了用于控制飞机燃气涡轮发动机的两种容错 FADEC 选项的可靠性分析 [5]。K. Ito 等人。对燃气涡轮发动机 FADEC 的最佳自诊断策略进行了研究。在他们的论文中,FADEC 在第 n 次控制计算时进行自诊断。最后提供了数值示例 [6]。Ding Shuiting 等人。对 FHA(功能性
摘要 当今,无论是在印度尼西亚等发展中国家还是在发达国家,许多飞行事故大多是由于缺乏严格的安全改进措施以及每个地区的航班计划过多造成的。飞机事故与支持飞行运营和飞行性能的硬件、软件、环境和人员密切相关。本研究旨在回顾有关硬件、软件、环境和人员(飞行员)因素对整体飞行性能影响的文献。希望本文献研究的结果可以为克服飞机事故和整体飞行性能的原因提供解决方案。本研究采用定性方法,分析了 23 种与软件相关的期刊文献,例如法规、程序和公司政策计划对航空性能的影响。分析与硬件(如飞机和支持设备)与飞行性能以及环境影响(如天气、温度、噪音、振动和压力)对飞行性能和人对飞行性能的影响的关系相关的期刊文献。本研究发现软件、硬件、环境和人员因素与飞机飞行员的表现之间存在显著相关性。根据这些发现,预计航空公司可以更加关注硬件、软件、环境和人员(飞行员),通过提高飞机飞行员的表现来确保飞行安全。关键词 硬件、软件、环境、人员、性能和小型评论方法 1。介绍 许多飞机失事问题的发生都是因为飞机本身或操作飞机的人员或人为错误造成的问题。Peters 等人。(2006) 表示,人为错误可能由于设计和工作程序、政策和工作环境的错误而发生。此外,O'Hagan 等人。(2019) 指出,飞行性能因素与操作飞机时的态势感知变化密切相关。飞机飞行员长时间操作飞机会因缺乏睡眠和疲劳而影响飞机飞行员的表现。在休息期间,可以随时要求飞行员返回工作岗位。经常发生这种情况,飞行员由于缺乏休息时间而精疲力竭,例如缺乏睡眠导致时差、疾病和压力和情绪等心理障碍。可以从飞行员在 RTO 机动期间如何控制飞机看出他的表现。这种能力是飞行员表现的一个指标。保持飞机在跑道中央并执行安全飞行程序的能力是飞行员的表现(Allen 等人,2018 年)。
高可靠性要求发动机控制单元如今已出现在许多应用中,通常涉及安全关键考虑,要求在无法容忍意外行为的环境中具有高可预测性和高可靠性的操作!典型应用包括航空电子设备、汽车和货运站重型机械的操作。这些环境表现出高水平的安全敏感方面,其中 ECU 在紧急情况下无法以适当的方式运行可能对生命和/或财产构成威胁,从而证明增加测试成本是合理的。有许多例子表明 ECU 的安全关键操作很重要。对于航空电子设备,一个这样的例子是喷气式飞机发动机的全权数字电子控制器 (FADEC) 的设计验证。FADEC 实际上是喷气式发动机的大脑,控制飞机发动机性能的各个方面,同时提供完全冗余以确保安全关键可靠性。可以理解的是,政府对商用飞机 FADEC 模块测试有着严格的规定,要求在各种硬件故障条件下安全或受控运行。故障插入目前在汽车行业使用的一个示例是动力传动系控制模块 (PCM) 整体测试的一部分。PCM 是现代车辆中最复杂的电子控制单元之一,需要对其功能进行严格而全面的测试。PCM 故障的后果可能会对 X-by-Wire 应用(一个统称,指在车辆中添加电子系统以增强和取代以前通过机械和液压系统完成的任务,如制动或转向)产生更大的影响,这些测试方法的重要性日益增加。“故障插入测试是 ECU 验证的一个重要方面,测试系统故障的想法并不新鲜。”由于当今 ECU 设备的精密性和复杂性很高,因此需要特殊的测试方法。ECU 测试的一个重要方面是将电气故障引入系统,模拟由于腐蚀、短路/开路以及因老化、损坏甚至安装错误而导致的其他电气故障而可能发生的各种情况。故障插入测试是 ECU 验证的一个重要方面,测试系统故障的想法并不新鲜。这种测试方法不仅容易出现人为错误,而且耗时 - 而时间就是金钱。传统测试方法通常涉及手动将电缆插入和拔出配线架,这远非理想。Pickering Interfaces 故障插入 BRIC TM 交换解决方案针对 ECU 验证,为这些实际场景提供了更为复杂的测试方法。