Диссертация (Динамика цифровых резервированных асинхронных многотактных систем управления магистральных самолетов), страница 39

Метрика этих показателей является, как правило, достаточнонеопределенной.используютДлянаборподтверждениясценариев,вэффективностикоторыхсистемасистемыконтроляконтролядолжнапродемонстрировать корректность работы при различных вариантах отказов. Этотэтаписследованийназываетсяанализомвлиянияотказовс различнымпроявлением (Failure Mode and Effect Analysis – FMEA). При этом должна бытьчетко очерчена граница между отказным и нормальным состоянием системы, аименно определено, какое поведение системы свидетельствует о ее отказе, а какоеявляется нормальным, пусть даже в экстремальных условиях.

Система контролядолжнаобнаружитьотказыпривсехсформулированныхсценарияхипродемонстрировать робастность своих алгоритмов, т. е. их работоспособностьпри разных эксплуатационных условиях и наличии возмущений различнойприроды.299Приложение 2Методы обеспечения безопасности при разработке системы управленияВпроцессеуправленияразработкирекомендуетсяисертификациипользоватьсясистемыследующимидистанционногомеждународнымирегламентирующими документами и их российскими аналогами (рис. П2.1):− АП-25 – нормы летной годности самолетов [14];− SAE ARP-4761 – руководство по методам оценки безопасности систем ибортового оборудования самолетов гражданской авиации [19, 20];− SAEARP-4754–руководствопоразработкеисертификациивысокоинтегрированных сложных бортовых систем воздушных судовгражданской авиации [17, 18];− RTCADO-178B–квалификационныетребованияпосозданиюпрограммного обеспечения бортовых систем [21];− RTCA DO-254 – руководство по созданию аппаратуры бортовых систем [22].Рисунок П2.1 – Основные документы, регламентирующие процесс разработкисистемы управления300При создании современных сложных высокоинтегрированных бортовыхсистем весьма важную роль играет нормирование процессов их разработки,изготовления и сертификации.

По определению [17–18] cложная система – этосистема, безопасность работы которой не может быть доказана только путемиспытаний. Это легко понять, поскольку внедрение цифровой техники иинформационных систем привело к резкому увеличению количества функций,выполняемых системами управления, усложнению их алгоритмов и расширениюсоставаиспользуемойинформации.Очевидно,чтоэтоприводитккомбинаторному росту состояний системы управления, что, в свою очередь, ведетклавинообразномуувеличениюколичестватестов,необходимыхдлядоказательства правильности реализации алгоритмов.

Проверить правильностьповедения системы управления во всех ее возможных состояниях при нынешнемуровне сложности законов управления практически невозможно. Кроме того,использование цифровой техники автоматически делает систему сложной,поскольку внутренняя «кухня» цифрового устройства зачастую является дляразработчика системы управления «черным ящиком». В ситуации, когданевозможно доказать с помощью только тестирования безопасность конечногопродукта разработки, акцент деятельности по сертификации переносится на этапыразработки, изготовления и испытаний с целью подтверждения того, что на этихэтапах все делалось как нужно.

Большую роль в этом играет документ SAEARP-4754 – руководство по разработке и сертификации высокоинтегрированныхсложных бортовых систем воздушных судов гражданской авиации [17] и егороссийский аналог [18]. Целью этого документа является создание единой основыдля сертификации и его содержание направлено на обеспечение требованийбезопасности, связанным с параграфом 25.1309 АП-25 [14]. Следует подчеркнутьважный принцип процесса разработки бортовых систем вообще и системыуправления в частности: чем раньше организуется работа с сертифицирующимиорганами, тем быстрее будут обнаружены все критические точки и решеныпроблемы, препятствующие сертификации.Очень важным этапом является выбор архитектурного построения,обеспечивающего высокий уровень надежности функций системы управления и301безопасности полета. Согласно международной практике (SAE ARP-4761 [19–20])для оценки надежности самолета необходимы следующие действия:− анализ функциональных отказов;− предварительная оценка безопасности системы;− оценка безопасности системы;− анализ отказов по общей причине.Более детально деятельность по формированию архитектурного обликасистемы и рассмотрением аспектов безопасности показаны на рис.

П2.2, П2.3.Анализ функциональных отказов (Functional Hazard Assessment – FHA).В ходе этого этапа рассматриваются функции воздушного судна и его систем сцелью определения их возможных отказов, а также проводится классификациялетныхситуаций,связанныхсэтимиотказами.Оценкаопасностифункциональных отказов производится на ранней стадии проектирования ипересматривается по мере появления новых функций или отказных состояний.Классификация этих состояний приведена в таблице П1.1.Рисунок П2.2 – Модель процесса разработки системы и обеспечение безопасности302Рисунок П2.3 – Модель изменения по времени процессов разработки системыи анализа безопасностиПредварительная оценка безопасности системы (Preliminary SystemSafety Assessment – PSSA).

В результате устанавливаются конкретныетребования к надежности системы и составляющих ее изделий и даетсяпервоначальное подтверждение того, что предполагаемая архитектура системысможет удовлетворить эти требования. Предварительная оценка безопасностиуточняется в процессе проектирования системы.303Оценка безопасности системы (System Safety Assessment – SSA). В ходеэтого этапа собираются, анализируются и документируются доказательства того,чтосистемаудовлетворяеттребованиямнадежностиибезопасности,установленным в результате анализа функциональных отказов (FHA) ипредварительной оценки безопасности системы (PSSA).Анализ отказов по общей причине (Common Cause Analysis – CCA).В ходе этого этапа устанавливаются и оцениваются требования по физическому ифункциональному разделению и изоляции систем, а также проверяется, как этитребования выполняются.Согласно рекомендациям SAE ARP-4754, для того чтобы определитьприемлемость функционального набора и архитектурного построения системыуправления, необходимо провести этапы анализа опасности функциональныхотказов на уровне самолета и системы управления.

Для получения результатовАФО используется математическое и стендовое моделирование, включаяисследования на пилотажном стенде с участием летного состава. На основаниирезультатов АФО для различных систем формируются рекомендации попостроению этих систем. В частности, остановка руля высоты классифицируетсякак «катастрофическая ситуация». В силу невозможности доказательства того,что для односекционного руля высоты этот отказ является практическиневероятным (P < 10–9), возникает необходимость в его секционировании. Такойотказ, как флюгирование секции руля высоты без демпфирования (что приводитк флаттеру секции руля высоты), классифицируется как «катастрофическаяситуация». При использовании одного привода секции руля высоты отказ можетреализовываться при рассоединении привода и аэродинамической поверхности.Поэтому необходимо использование как минимум двух приводов на секциюруля высоты.

Аналогичные результаты получаются для каналов крена ирыскания.Очень важной особенностью сложных цифровых систем управленияявляется использование в системе программного обеспечения и наличие развитойсистемы контроля. Так, использование одной версии программного обеспечения304имеет потенциальную опасность внесения общей ошибки при разработкеалгоритмов,написаниипрограммировании.техническогоГарантиизаданиябезопасностинапрограммированиепрограммногоиобеспеченияпосвящено много работ, главной из которых является руководство DO-178B.Общепризнанным средством обеспечения безопасности ПО является соблюдениерекомендацийDO-178Bииспользованиеразнородногопрограммногообеспечения для разных каналов вычислителей СДУ. Также необходимоотметить,чтодвукратноерезервированиепрограммногообеспеченияобеспечивает обнаружение отказа при условии эффективной работы системыконтроля, но для сохранения работоспособности системы необходим болеевысокий уровень резервирования ПО.

Весьма важным вопросом при разработкесложных цифровых систем управления является анализ отказов системыконтроля. Существует два вида отказов системы контроля – несрабатывание иложное срабатывание. Переходы с основной системы на резервную и с резервнойна аварийную при исправной аппаратуре и ПО трактуются как отказные ситуациии должны удовлетворять соответствующим требованиям (см.

таблицу П1.1).В частности, переход с основной системы на резервную рассматривается, какправило, как «сложная ситуация», и вероятность этого события должна быть неболее чем 10–5 1/час. Поэтому ложное срабатывание системы контроля,приводящее к переходу на резервную систему, также трактуется как «сложнаяситуация» и требования по надежности остаются теми же (рис. П2.4).Несрабатываниесистемыконтроляможетрассматриватьсякак«катастрофическая ситуация», и вероятность этого события должна быть не болеечем 10–9 1/час. По этой причине рекомендуется, чтобы вычислители основногоканала были реализованы в виде сдвоенных или строенных вычислителей,которые имеют разнородное аппаратное и программное резервирование. Одинканал выполняет функции системы контроля и отрабатывается по уровню А.Наличие разнородного аппаратного и программного обеспечения и развитыхалгоритмов контроля позволяет избежать опасности неконтролируемого отказа иобеспечить требуемые гарантии безопасности.305Рисунок П2.4 – Отказы СДУ и срабатывание системы контроляПомимо вычислителей основного управления (Primary Flight Computer –PFC) в системе управления имеются вычислительные блоки управленияприводами.

Если они реализованы в цифровой технике, то разработчик имеет те жесамые проблемы с отказами по общей причине, и прежде всего с отказамипрограммного обеспечения. Отказ резервного управления, независимо от того,контролируемый он или нет, приводит к катастрофической ситуации, и этособытие должно быть практически невероятным (P < 10–9 1/час). Поэтомудвукратного резервирования программного обеспечения и аппаратной частинедостаточнодляобеспечениябезопасности,приотсутствииаварийногоуправления, поскольку отказ по общей причине будет приводить к отключениювсех БУКов, а следовательно, и всей СДУ.

По этой причине рекомендуется делатьдва типа блоков управления и контроля приводов, каждый из которых построен посхеме самоконтролируемой вычислительной пары с разнородным резервированиемаппаратной и программной частей каналов. Один канал выполняет функцииконтроля, а другой – функции управления. Таким образом, для БУКов необходимоиспользование четырех версий разнородного программного обеспечения и такжедолжно быть реализовано разнородное резервирование аппаратной части. Потакому принципу построено управления новейшим российским самолетом Sukhoi306SuperJet 100. Концепция компании Airbus также подразумевает управлениеприводами с помощью разнородных вычислителей, в которых реализовано 4версии ПО. Каждая секция основных управляющих поверхностей (руль высоты,элероны, руль направления) должна управляться как минимум двумя приводами,управление которыми должно быть реализовано БУКами разных типов.