Диссертация (Динамика цифровых резервированных асинхронных многотактных систем управления магистральных самолетов), страница 11

Пример результатов АФО для системыуправления рулем высоты приведен в таблице 1.1. В частности, в результатеанализа опасности отказов, приводящих к остановке руля высоты, этот отказклассифицируется как «катастрофическая ситуация». В силу невозможностидоказательства того, что при реализации руля высоты в виде одной поверхностиэтот отказ является практически невероятным (P < 10–9), возникает необходимостьв секционировании руля высоты.

Такой отказ, как флюгирование секции рулявысоты без демпфирования, приводящий к флаттеру секции руля высоты, такжеклассифицируется как «катастрофическая ситуация». При использовании одногопривода для перемещения руля высоты этот отказ может реализовываться прирассоединении привода и аэродинамической поверхности. Поэтому необходимоиспользование как минимум двух приводов, отклоняющих секцию руля высоты.Аналогичные результаты получаются для каналов элеронов и руля направления.Примеры рекомендаций по построению систем управления разныхаэродинамических поверхностей управления приведены в таблице 1.2.Таблица 1.1 Пример анализа функциональных отказов высокого уровня в канале руля высотыЭтапыполетаВероятность,1/часПотеря продольного управленияКС< 10–9ВсеУхудшение продольного управления, уменьшениевозможностей продольной балансировки, появлениемомента кренаСС< 10–5Самопроизвольный уходсекции руля высоты в крайнееположениеВсеПотеря продольного управленияКС< 10–94Флюгирование секции рулявысоты с демпфированиемВсеУхудшение продольного управления, появлениемомента крена, Ухудшение продольной устойчивостиСС< 10–55Флюгирование секции рулявысоты без демпфированияВсеФлаттер секции руля высоты.

Потеря продольногоуправленияКС< 10–9Проявление отказа1Руль высоты находится внейтральном положенииВсе2Секция руля высотынаходится в нейтральномположении3Воздействие на самолетТаблица 1.2 Рекомендации к архитектуре системы управления на основе анализа функциональных отказов№УправляющаяповерхностьКоличество секций/органов управленияКоличество приводов на секциюКоличество источниковпитания1Руль высотыДве или болееДва или болееТри или более2ЭлероныДва или болееДва или болееТри или более3Руль направленияОдин или болееТри для односекционного руля.

Два или болеедля секционированного руляТри или более4СтабилизаторОдинДва или болееДва или более61Летнаяситуация№Таблица 1.3 Анализ функциональных отказов информационно-вычислительной части№Проявление отказаЭтапы полетаВоздействие на самолетЛетная Вероятность,ситуация1/час1Контролируемый отказ основногоуправленияВсеУхудшение управления во всех каналахСС/АС< 10–5< 10–72Неконтролируемый отказ основногоВсеПотеря управления самолетомКС< 10–93Отказ резервной системы управления ВсеПотеря управления самолетомКС< 10–94Отказ сигнала перемещения штурвала Всеили ручки управленияПотеря управления самолетомКС< 10–95Отказ сигнала перемещения педалейЗначительное ухудшение управления в путевомканале. Сложность выполнения посадки приАС< 10–7Значительное ухудшение устойчивости самолета АС< 10–7управленияВсе6Отказ угловых скоростей в основномуправленииВсе8Отказ сигналов инерциальнойсистемы (ИНС) в основномуправленииВсе кромеУхудшение управления в продольном канале.Взлет, посадка Потеря ограничения нормальной перегрузки иуглового положения.

Потеря стабилизацииВзлет, посадкауглового положенияОтказ системы воздушных сигналов(СВС) в основном управленииВсе962боковом ветреCC< 10–5АC< 10–7Потеря настройки системы управления по числу СС/Маха и скорости. Потеря ограничения угла атаки. АСУхудшение устойчивости на больших углахатаки< 10–5< 10–7Таблица 1.4 Рекомендации к архитектуре информационно-вычислительной части на основе анализафункциональных отказов№ЭлементСтепеньВнутреннее резервированиерезервированияКоличествотипов1Вычислитель ЦВДва или болееДва или более12Программное обеспечение ЦВДва или болееДва или более (уровень разработки канала контроля1– A)Аналоговый блок БУКЧетыре или болееНет14Вычислитель БУКЧетыре или болееДва или более25Программное обеспечение БУКЧетыре или болееДва или более (уровень разработки канала контроля2– A)6Система воздушных сигналовТри или болееДолжно присутствовать для обеспечения высокой1полноты контроля7Инерциальная навигационнаяТри или болеесистемаДолжно присутствовать для обеспечения высокой1полноты контроля8Датчик перемещения штурвалаЧетыре или болееМожет присутствовать19Датчик перемещения педалейТри или болееМожет присутствовать163364Рассмотрим теперь примеры анализа опасностей функциональных отказовдля информационно-вычислительной части системы дистанционного управления,приведенной на рис.

1.13. Очень важной особенностью сложных цифровыхсистем управления является использование программного обеспечения (ПО) дляреализации алгоритмов управления и контроля. Имеется потенциальная опасностьобщих ошибок при использовании одной версии программного обеспечения,внесенных при разработке алгоритмов, написании технического задания напрограммирование и программировании.Рисунок 1.13 – Система управления в канале руля высотыОбщий подход к обеспечению безопасности ПО приведен в приложении 2.Весьма важным вопросом при разработке сложных цифровых систем управления65является анализ функциональных отказов системы контроля.

Существует два видаотказов системы контроля – несрабатывание и ложное срабатывание. Переходы сосновной системы на резервную и с резервной на аварийную при исправнойаппаратуре и ПО трактуются как отказные ситуации и должны удовлетворятьсоответствующим требованиям (см. приложение 1). В частности, переход сосновной системы на резервную оценивается, как правило, как «сложнаяситуация», и вероятность этого события должна быть не более чем 10–5 1/час.Поэтому ложное срабатывание системы контроля, приводящее к переходу нарезервную систему, также трактуется как «сложная ситуация» и требования понадежности остаются теми же.

Несрабатывание системы контроля можетрассматриваться как «катастрофическая ситуация», и вероятность этого событиядолжна быть не более чем 10–9 1/час.В таблице 1.3 приведены примеры результатов АФО для информационновычислительнойчасти,которыеопределяютключевыеособенностиееархитектурного построения и уровня резервирования.

Так, обнаруживаемыйотказ основного управления приводит к переключению на резервное управление,что классифицируется как «сложная ситуация», и вероятность этого событиядолжна быть менее 10–5 1/час. Неконтролируемый отказ основного управления,являющийсярезультатомнесрабатывания(отказа)сочетанияотказааппаратурысистемыконтроля,илиПОклассифицируетсяикак«катастрофическая ситуация», и это событие должно быть практически(Р < 10–9 1/час).невероятнымПоэтойпричинерекомендуется,чтобывычислители основного канала были реализованы в виде сдвоенных илистроенныхвычислителей,которыеимеютразнородноеаппаратноеипрограммное резервирование (см.

таблицу 1.4). Как минимум один каналвыполняет функции системы контроля и отрабатывается по уровню А.Считается, что наличие разнородного аппаратного и программного обеспеченияиразвитыхалгоритмовконтроляпозволяетизбежатьопасностинеконтролируемого отказа и обеспечить требуемые гарантии безопасности.66Помимо цифровых вычислителей – ЦВ основного управления (PrimaryFlight Control Unit – PFCU) в системе управления имеются вычислительные блоки(модули) управления и контроля приводами (БУК, МУП, ACE – Actuator ControlElectronics).

Если они реализованы в цифровой технике, то разработчик имеетпроблемы с отказами по общей причине, что, главным образом, связано сотказами программного обеспечения. Отказ резервного управления, независимоот того, контролируемый он или нет, приводит к катастрофической ситуации, иэто событие должно быть практически невероятным (P < 10–9 1/час).

Поэтому,двукратного резервирования программного обеспечения и аппаратной частинедостаточно для обеспечения безопасности, поскольку отказ по общей причинебудет приводить к отключению всех БУКов, а следовательно, и всей СДУ. В этомслучае рекомендуется делать два типа блоков управления и контроля приводов,каждый из которых построен по схеме самоконтролируемой вычислительнойпары с разнородным резервированием аппаратной и программной частей каналов,один из которых выполняет функции контроля, а другой – функции управления.Таким образом, для БУКов необходимо использование четырех разных версийпрограммного обеспечения и разнородное резервирование аппаратной части.В качестве примера современного архитектурного построения системыдистанционногоуправления,построеннойвсоответствииспроцессамиразработки, оценки безопасности, обеспечения гарантии и сертификации,рекомендуемыми документами SAE ARP-4754, SAE ARP-4761 и др.

[17–22].можно привести пример архитектуры ЦСДУ самолета Sukhoi SuperJet 100 вканале руля высоты (см. рис. 1.13).ЦСДУ реализует основное и резервное управление. Вычислительное ядроосновного контура управления составляют три цифровых вычислителя – ЦВ(PFCU), реализующие все функций ЦСДУ. ЦВ непосредственно связаны черезцифровые шины передачи данных друг с другом, c блоками управления иконтроля приводов и со всеми взаимодействующими системами. ЦВ имеютархитектуру вычислительной пары с каналами управления и контроля.Программное обеспечение и аппаратные средства каналов управления и контроля67различны, т. е. архитектура ЦВ обеспечивает разнородное аппаратное ипрограммноерезервирование,длятогочтобыпрактическиустранитьвозможность отказов типа «общая точка».