DE60106449T2

DE60106449T2 - Steuersystem für betätigungsvorrichtungen in einem flugzeug

Info

Publication number: DE60106449T2
Application number: DE60106449T
Authority: DE
Inventors: Rikard Johansson; Jan Torin; Kristina AHLSTRÖM
Original assignee: Saab AB
Current assignee: Saab AB
Priority date: 2000-05-22
Filing date: 2001-05-18
Publication date: 2005-04-14
Anticipated expiration: 2021-05-19
Also published as: WO2001093039A1; RU2237276C1; ATE279749T1; AU2001260916A1; SE0001910D0; US7017861B1; ES2230314T3; BR0110766A; PL359134A1; SE0001910L; PL200659B1; SE518927C2; ZA200208581B; DE60106449D1; EP1297426B1; EP1297426A1

Description

TECHNISCHER BEREICH
Die vorliegende Erfindung betrifft ein System zum Erzeugen von Steuerbefehlen für Aktuatoren in einem Luftfahrzeug, wobei die Steuerbefehle in Abhängigkeit von Steuerparametern errechnet werden, die von Sensoren erhalten und zu Computern verteilt werden, wobei die Steuerbefehle gemäß Steuergesetzen berechnet werden, die für jeden Aktuator gelten.
STAND DER TECHNIK
Es werden nachfolgend Systeme beschrieben, die Steuerbefehle benötigen, wobei ein solches System z.B. ein Luftfahrzeug ist. Dies ist jedoch nicht beschränkend zu sehen, da die Technik in allen Typen von Systemen eingesetzt werden kann, in denen dieselben Arten von Problemen vorliegen. Es gibt eine Reihe von Anwendungen, in denen redundante Computer zum Erzielen hoher Zuverlässigkeit in Verbindung mit der Berechnung von Steuerbefehlen für Luftfahrzeuge eingesetzt werden. Eine solche Anwendung findet man in Verbindung mit dem Steuersystem für ein modernes Luftfahrzeug, das mit einem „Fly-by-Wire"-Steuersystem arbeitet, um die früher verwendeten mechanischen Systeme zu ersetzen. Die Steuerbefehle für ein solches System werden beispielsweise mit Hilfe von drei redundanten digitalen und asynchronen primären Flugcomputern (Kanälen) erzeugt (siehe 3). Diese drei primären Flugcomputer 10 werden zu einer Einheit kombiniert, dem Autopilot 11. Jeder Kanal hat seinen eigenen Satz von Sendern. Die Kanäle können Senderdaten über eine interne digitale Verbindung im Autopilot austauschen. Jeder der Autopilotkanäle berechnet einen Steuerbefehl für jeden Aktuator 13, die wiederum durch eine Steuerfläche mechanisch miteinander verbunden sind. Diese Befehle werden in einem Voter (Überwachungsgerät mit Mehrheitsauswahl) 14 an jedem Aktuator auf eine solche Weise ausgewählt, dass, wenn ein Steuerbefehl inkorrekt ist, die beiden anderen Kanäle zusammen den entstandenen Fehler kompensieren können. Diese Methode, bei der mehr als ein Kanal einen Aktuator steuert, verlangt, dass Funktionen zum Lösen des Problems der so genannten „Force Fight" (Konkurrenz von Steuerbefehlen) in den Autopilot eingebaut wird.
Die Kommunikation zwischen Autopilot und Sendern/Aktuatoren erfolgt über analoge oder digitale Punkt-zu-Punkt-Kommunikation.
Ein zentralisiertes Steuersystem des oben beschriebenen Typs umfasst eine physikalische Einheit, den Autopilot, der, falls er ausfällt (z.B. infolge eines Gefechtsschadens), einen Funktionsausfall des gesamten Systems verursacht. Die Tatsache, dass die gesamte Rechenleistung in einem einzigen Prozessor pro Kanal konzentriert ist, bedeutet, dass die Zahl der Möglichkeiten, dass ein eventueller Programmierfehler das System beeinflussen könnte, unbegrenzt ist. In solchen Fällen, bei denen die Signalübertragung zwischen Autopilot und Aktuatoren/Sendern mit analogen Mitteln erfolgt, ist die Aufgabe des Integrierens der verschiedenen Einheiten relativ komplex.
Als nächstliegender Stand der Technik wird die D1 = US-A-4 622 667 angesehen. Die zweiteilige Form von Anspruch 1 basiert auf den Merkmalen, die daraus bekannt sind.
Die Erfindung weicht grundsätzlich von den Lehren von D1 dahingehend ab, dass jeder Computer in Kombination mit einem bestimmten Aktuator eine mit einem Bus verbundene Knotenentität (Servo-Knoten genannt) bildet.
BESCHREIBUNG DER ERFINDUNG
Gemäß einem Aspekt der Erfindung umfasst diese ein Steuersystem, das Aktuatoren in einem Luftfahrzeug mit Steuerbefehlen speist, wobei die Steuerbefehle in über das Luftfahrzeug verteilten Computern und in Abhängigkeit von Eingangssignalen berechnet werden, die von Sensoren über einen Datenbus erhalten werden und die Parameter beinhalten, die die Basis zur Berechnung der genannten Befehle bilden, und wobei das System so ausgelegt ist, dass sich ein Computer lokal an jedem Aktuator befindet, so dass der Computer und sein assoziierter Aktuator einen Servo-Knoten mit einer digitalen Schnittstelle zu dem Datenbus bilden. Der Computer in einem Servo-Knoten berechnet die Steuerbefehle gemäß in dem Computer gespeicherten Steuergesetzen für den lokalen Aktuator in dem Servo- Knoten, plus die Steuerbefehle für wenigstens einen zusätzlichen Aktuator in einem anderen Servo-Knoten. An jedem Aktuator wird lokal eine Auswahl von Steuerbefehlen für den Aktuator als Steuerbefehl verwendet, und diese Wahl hängt von einem Vergleich zwischen dem lokal im Servo-Knoten errechneten Steuerbefehl und dem Steuerbefehl ab, der nicht lokal von einem Computer in wenigstens einem zusätzlichen Servo-Knoten berechnet wird, der über den Datenbus erhalten wird.
Die Aktuatoren können in zwei Betriebsarten arbeiten: einer Betriebsart, in der sie normal funktionieren, d.h. ihre befohlenen Positionen einnehmen, und einer anderen Betriebsart, einer so genannten „Failsafe"-Betriebsart, die im Falle eines Luftfahrzeugs bedeutet, dass es der Aktuator zulässt, dass eine Steuerfläche dem Luftstrom folgt („Gleitflug"). In seiner normalen Betriebsart funktioniert der Aktuator so lange, wie ein Impuls über ein spezielles Signal gesendet wird. Wenn der Impuls verschwindet, schaltet der Aktuator in seine Failsafe-Betriebsart um.
Der Servo-Knoten-Computer in jedem Servo-Knoten berechnet nicht nur den Steuerbefehl für seinen eigenen Aktuator, sondern auch den Steuerbefehl für einen oder mehrere weitere Servo-Knoten. Die nicht lokal berechneten Steuerbefehle werden über den Datenbus zu den anderen Servo-Knoten im Steuersystem gesendet. Jeder Servo-Knoten empfängt somit eine Reihe von extern berechneten Steuerbefehlen, die für seinen eigenen Aktuator bestimmt sind. Diese extern berechneten Steuerbefehle sind, zusammen mit dem lokal, d.h. intern berechneten Steuerbefehl, der im Servo-Knoten selbst berechnet wird, durch einen Voter, z.B. einen Mid-Level-Voter geleitet, worauf einer der
Steuerbefehle als Aktuatorbefehl ausgewählt und nachfolgend zum Steuern des Aktuators verwendet wird. Dieser Prozess verhindert, dass die meisten Einzelstörungen die Steuerfläche beeinträchtigen. Der gewählte, übertragene Steuerbefehl und der lokal im Servo-Knoten berechnete Steuerbefehl werden in einer Überwachungseinheit überwacht und müssen, solange keine transienten Fehler auftreten, identisch sein. Wenn sie es nicht sind, dann können bestimmte Fehlertypen identifiziert und behoben werden, z.B. über eine so genannte Doppelausführung, d.h. dadurch, dass jeder Servo-Knoten eine Reihe von Sätzen von Steuergesetzen enthält, so dass jeder Satz seinen Steuerbefehl über den Servo-Computer selbst erzeugt. Jeder Satz von Steuergesetzen verwendet seinen eigenen Satz von Parametern zum Ausführen der Steuerbefehle. Die Ausführungen der verschiedenen Sätze von Steuergesetzen sind zeitlich getrennt und erfolgen auf eine solche Weise, dass ein transienter Fehler z.B. in den Eingangsdaten nur die Ausführung von einem Satz von Steuergesetzen beeinflusst. Egal welches der Steuergesetze ein Ausgangssignal erzeugt, das mit dem Befehl übereinstimmt, der zum Aktuator gesendet wird, kann dann als korrekt angesehen werden, da gemäß der obigen Begründung der Aktuator durch die meisten Einzelstörungen nicht beeinflusst werden kann. Der als korrekt angesehene Wert der Statusvariablen aus dem Satz von Steuergesetzen wird dann auf das/die Steuergesetz e) kopiert, das/die einen inkorrekten Steuerbefehl hat/haben, so dass es mehr korrekte Sätze von Steuergesetzen gibt, um mit der nächsten Ausführungsinstanz fortzufahren. Ein weiteres alternatives Mittel zum Beheben von transienten Fehlern besteht darin, nur einen einzigen Satz von Steuergesetzen in jedem Servo-Knoten zu haben, aber im Falle eines Fehlers den Wert der Statusvariablen von einem fehlerfreien Servo-Knoten auf den fehlerhaften Servo-Knoten über den Datenbus zu kopieren.
Der Servo-Knoten überwacht auch intern seine Funktion selbst beispielsweise mit Hilfe eines so genannten „Watch Dog Monitor" oder WDM auf bekannte weise. Die Funktion des Aktuators wird beispielsweise mit Hilfe eines Modellmonitors überwacht. Wenn ein Fehler durch die interne Überwachung oder an dem Aktuator von dem Modellmonitor erfasst wird, dann erhält der Aktuator den Befehl, in seine Failsafe-Betriebsart zu gehen, da der Aktuator keinen Impuls mehr erhält. Wenn eine ernsthafte Störung in Servo-Knoten, Computer oder Elektronik auftritt, dann kann der Knoten keinen Impuls mehr liefern, so dass der Aktuator wieder in seine Failsafe-Betriebsart umschaltet.
Die mit einem Steuersystem gemäß der Erfindung erzielten Vorteile bestehen darin, dass:

– eine höhere Schadenstoleranz erzielt wird, da es keine zentrale und somit kritische Einheit gibt;
– die Wartungskosten niedriger sind, da eine komplexe Zentraleinheit durch mehrere einfachere und untereinander austauschbare Geräte ersetzt wird;
– Fehlersuche, Fehlerortung und Integration der Steuersystemeinheiten vereinfacht werden, da die Servo-Knoten nur digitale Schnittstellen mit dem Rest des Systems haben.

Diese Aufgaben werden auf vorteilhafte Weise grundsätzlich durch Anwenden der Merkmale gelöst, die im Hauptanspruch dargelegt sind. Weitere Erweiterungen befinden sich in den Unteransprüchen.
BESCHREIBUNG DER FIGUREN
1 zeigt einen Servo-Knoten in einem Steuersystem gemäß der Erfindung sowie seinen Anschluss am Steuersystem-Datenbus. Die Figur ist lediglich eine Funktionsdarstellung und keine physikalische Beschreibung des Servo-Knotens.
2 zeigt eine Übersicht über die Struktur eines Steuersystems mit verteilten Computern gemäß der Erfindung, d.h. eine Computerfunktion für jeden Aktuator.
3 illustriert ein Steuersystem gemäß dem Stand der Technik mit drei zentral angeordneten primären Steuercomputern, wobei die Computer zur Erzielung von Redundanz parallel angeordnet sind.
BESCHREIBUNG VON AUSGESTALTUNGEN
Eine Reihe von Ausgestaltungen der Erfindung wird nachfolgend mit Bezug auf die Begleitzeichnungen beschrieben.
2 zeigt eine Übersicht über eine Reihe von Aktuatoren A, die über ein Luftfahrzeug verteilt sind. Die Aktuatoren A haben die Aufgabe, ein Steuermanöver auszuführen, wie z.B. das Betätigen eines Ventils oder das Steuern eines Triebwerks, einer elektrischen Maschine, eines Relais, einer Ruderfläche oder einer anderen entsprechenden bedienbaren Vorrichtung. Die Aktuatoren A werden mit Hilfe von Computern C gesteuert, die in Servo-Knoten (S) eingesetzt werden. Jeder Computer C enthält gespeicherte Steuergesetze zum Berechnen von Steuerbefehlen für den Aktuator A im Servo-Knoten (S), zu dem der genannte Computer gehört, und für wenigstens einen zusätzlichen Aktuator A in einem anderen Servo-Knoten (S). Die Steuerung des Aktuators A wird mit Parametern bestimmt, die über Sensoren G im System erhalten werden. Die Sensoren G können aus verschiedenen Datensendern wie Geschwindigkeitsanzeigen, Temperaturmessgeräten, Druckmessgeräten, Lenkungsbetätigungsmechanismen usw. bestehen. Die oben genannten Sensorparameter werden digital als Daten über einen Datenbus B übertragen, so dass alle Servo-Knoten (S) in dem System Zugang zu genau denselben Sensordaten haben. Der Computer C in jedem Servo-Knoten (S) kann somit auf der Basis von empfangenen Sensordaten einen Steuerbefehl für den Aktuator A in seinem eigenen Servo-Knoten und für wenigstens einen Aktuator A in einem anderen Servo-Knoten (S) auf der Basis von im Computer C einprogrammierten Steuergesetzen berechnen.
Ein Servo-Knoten im Steuersystem ist separat in 1 beschrieben, wo der Servo-Knoten einen Computer C enthält, der mit dem Aktuator A verbunden ist. Alle Sensordaten (2) werden über den Datenbus B zum Computer C gesendet. Diese Daten werden von den Steuergesetzen F zum Berechnen von wenigstens zwei lokalen Steuerbefehlen (4) gemäß dem Doppelausführungsprinzip berechnet, oder von nur einem Steuerbefehl (4) in dem Fall, dass keine Doppelausführung mehr verwendet werden soll. Ein Steuerbefehl (1) wird für wenigstens einen zusätzlichen Aktuator in einem anderen Servo-Knoten (S) berechnet. Der/die Steuerbefehl(e) (4), den/die der Servo-Knoten lokal für sich selbst berechnet hat, wird/werden zusammen mit einer Reihe von nicht lokal berechneten Steuerbefehlen (3) für deren Aktuator A in einem Voter H ausgewählt, z.B. einem „Mid-Level-Voter". Der resultierende Steuerbefehl (7) wird zum Steuern des Aktuators A verwendet. Der ausgewählte Aktuatorbefehl (7) und der/die lokale(n) Steuerbefehl(e) (4) werden von einer Überwachungsfunktion I überwacht. Wenn der/die lokal berechnete(n) Steuerbefehl(e) (4) nicht perfekt mit dem Aktuatorbefehl (7) übereinstimmt/-en, dann wird eine der folgenden Aktionen durchgeführt:

– Bei Doppelausführung: Ermitteln, welcher der lokalen Steuerbefehle (4) korrekt ist. Die Statusvariablen für den Satz von Steuergesetzen für den richtigen Steuerbefehl werden auf die Sätze von Steuergesetzen kopiert, die einen inkorrekten Steuerbefehl berechnet haben.
– Ohne Doppelausführung: die Statusvariablen werden von einem korrekt funktionierenden Servo-Knoten (S) über den Datenbus auf den gestörten Servo-Knoten (S) kopiert.

In jedem Fall wird/werden der/die korrekte(n) lokale(n) Steuerbefehl(e) (4) am nächsten Ausführungspunkt erhalten, unter der Voraussetzung, dass keine transienten Störungen auftreten. Wenn es aus irgendeinem Grund nicht möglich ist, die transiente Störung zu verwalten, dann können die nicht lokal berechneten Steuerbefehle (3), als erste Option, zum Steuern des Aktuators A verwendet werden. Wenn auch dies nicht möglich ist, dann kann der Aktuator A in seine Failsafe-Betriebsart gesetzt werden, indem das pulsierte Signal gestoppt wird. Die Überwachungsfunktion I stoppt dann auch das Senden des pulsierten Signals (8), wenn die interne Überwachungsfunktion W in dem Computer Störungen erfasst hat. Die interne Überwachungsfunktion W ist so ausgelegt, dass sie mit hoher Wahrscheinlichkeit erfassen kann, ob der Computer C nicht in der beabsichtigten Weise funktioniert; eine solche Überwachung kann mit Hilfe eines „Watchdog-Monitors" auf bekannte Weise realisiert werden. Die Überwachungsfunktion I stoppt das Senden des pulsierten Signals (8) auch dann, wenn die Aktuatorüberwachungsfunktion J erfasst, dass sich der Aktuator nicht auf die erwartete Weise verhält; dies kann auf bekannte Weise in einem so genannten „Modellmonitor" auf der Basis der Aktuatorbefehle und bestimmter Parameter vom Aktuator (9) geschehen.
Andere Servo-Knoten (S) in dem Steuersystem funktionieren auf die oben beschriebene Weise. Die Signale, die an die jeweiligen Servo-Computer weitergeleitet werden, sind digital. Die verschiedenen Servo-Knoten (S) arbeiten synchron.

Claims

Steuersystem für Aktuatoren in einem Luftfahrzeug, wobei Steuerbefehle für die Aktuatoren von Computern berechnet werden, die in dem Luftfahrzeug verteilt sind, und wobei jeder Computer die Aufgabe hat, Sensorparameter (6) über einen Datenbus (B) zu empfangen und Steuerbefehle für einen Aktuator (A) und für wenigstens einen zusätzlichen Aktuator in Abhängigkeit von empfangenen Sensorparametern zu berechnen, dadurch gekennzeichnet, dass – jeder Computer (C) mit einem Aktuator (A) verbunden ist und zusammen mit dem Aktuator (A) einen Servo-Knoten (S) mit einer digitalen Schnittstelle zum Datenbus bildet, – der Computer (C) in dem Servo-Knoten die Aufgabe hat, über den Datenbus Steuerbefehle für den Aktuator A zu empfangen, die von einem Computer in wenigstens einem zusätzlichen Servo-Knoten (S) bestimmt werden, – der Computer (C) in jedem Servo-Knoten (S) die Aufgabe hat, einen Ausführungssteuerbefehl für den Aktuator (A) im Servomodus in Abhängigkeit von einem Vergleich zwischen den Steuerbefehlen (4), die lokal im Servo-Knoten (S) berechnet werden, und den über den Datenbus empfangenen Steuerbefehlen auszuwählen, – der Computer (C) so angeordnet ist, dass er den Aktuator im Servo-Knoten mit Hilfe des Ausführungssteuerbefehls steuert.
Steuersystem nach Anspruch 1, dadurch gekennzeichnet, dass ein Computer (C) im Servo-Knoten (S) Programme mit Steuergesetzen zum Berechnen von Steuerbefehlen für den Aktuator (A) in seinem eigenen Servo-Knoten enthält, plus Steuergesetze zum Berechnen von Steuerbefehlen für Aktuatoren (A) in wenigstens einem weiteren Servo-Knoten (S).
Steuersystem nach Anspruch 2, dadurch gekennzeichnet, dass jeder Servo-Knoten (S) eine Auswahlfunktion zum Berechnen eines Ausführungssteuerbefehls (7) für den Aktuator (A) auf der Basis der Steuerbefehle, die lokal im Servo-Knoten selbst berechnet wurden, und von Steuerbefehlen enthält, die in wenigstens einem weiteren Servo-Knoten (S) berechnet wurden.
Steuersystem nach Anspruch 3, dadurch gekennzeichnet, dass eine Überwachungsfunktion (I) im Servo-Knoten (S) den Ausführungssteuerbefehl (7) und die lokal berechneten Steuerbefehle (4) empfängt und diese Steuerbefehle vergleicht, die identisch sein müssen.
Steuersystem nach Anspruch 4, dadurch gekennzeichnet, dass, solange keine Störung vorhanden ist, die Überwachungseinheit (I) ein pulsiertes Steuersignal (8) zum Aktuator (A) sendet, was bedeutet, dass das pulsierte Steuersignal (8) am Aktuator anliegen muss, damit ein Steuerbefehl ausgeführt werden kann, so dass dann, wenn das pulsierte Steuersignal aufhört, der Aktuator in seine Failsafe-Betriebsart gesetzt wird.
Steuersystem nach Anspruch 5, dadurch gekennzeichnet, dass der Computer (C) in einem Servo-Knoten (S) eine interne Überwachungsfunktion (W) enthält, die die Computer-Funktionalität überwacht und im Falle einer Störung Informationen (5) zur Überwachungseinheit (I) sendet, worauf das pulsierte Steuersignal (8) nicht übertragen wird, so dass, der Aktuator in seine Failsafe-Betriebsart umschaltet.
Steuersystem nach Anspruch 6, dadurch gekennzeichnet, dass die Funktion des Aktuators (A) von einem Modellmonitor (J) überwacht wird, der jede Fehlfunktion des Aktuators (A) erfasst, so dass die Überwachungseinheit (I) Informationen (6) über die Störung erhält, worauf das pulsierte Signal terminiert und der Aktuator in seine Failsafe-Betriebsart umgeschaltet wird.
Steuersystem nach Anspruch 1, dadurch gekennzeichnet, dass der Computer (C) mehrere Sätze von Steuergesetzen enthält und die Steuerbefehle (4), die lokal im Servo-Knoten (S) berechnet wurden, per Doppelausführung mit dem durch Voting ausgewählten Aktuatorbefehl (7) vergleicht, worauf in dem Fall, dass die Befehle nicht genau identisch sind, die in wenigstens einem weiteren Servo-Knoten (S) berechneten Steuerbefehle (3) verwendet werden, um zu ermitteln, welcher der lokal berechneten Steuerbefehle korrekt ist.
Steuersystem nach Anspruch 8, dadurch gekennzeichnet, dass die Werte der Zustandsparameter in den Steuergesetzen, die den richtigen lokalen Steuerbefehl erzeugt haben, auf den Satz von Steuergesetzen kopiert werden, die keinen richtigen Steuerbefehl erzeugt haben.
Steuersystem nach Anspruch 1, dadurch gekennzeichnet, dass der Computer (C) einen Satz von Steuergesetzen enthält und den lokal im Servo-Knoten (S) berechneten Steuerbefehl (4) mit dem durch Voting gewählten Aktuatorbefehl (7) vergleicht, worauf in dem Fall, dass die Befehle nicht genau identisch sind, der Wert der Zustandsparameter der Steuergesetze in einem störungsfreien Servo-Knoten (S) auf die Zustandsparameter in den Steuergesetzen in dem gestörten Servo-Knoten (S) kopiert wird.
Steuersystem nach Anspruch 1, dadurch gekennzeichnet, dass die Steuersystemsignale von ihrer Natur aus ausschließlich digital sind, und dadurch, dass die Signale in dem System über einen Datenbus (B) übermittelt werden.
Steuersystem nach Anspruch 11, dadurch gekennzeichnet, dass der Datenbus (B) ein logischer „Broadcast"-Bus oder ein sternförmig konfigurierter Bus ist.
Steuersystem nach Anspruch 1, dadurch gekennzeichnet, dass die Servo-Knoten (S) in dem Steuersystem synchron arbeiten.
Steuersystem nach Anspruch 2, dadurch gekennzeichnet, dass das Steuersystem in einem Flugzeug verwendet wird, dadurch, dass die Sensoren (G) Gyroskope zum Erfassen der Schlingerrate sowie Geschwindigkeitsanzeigen enthalten, und dadurch, dass die Aktuatoren (A) zum Bedienen von Steuerflächen verwendet werden.