Was bedeutet es, wenn Autoland Fail Passiv / Fail Operation ist?

Die zitierte Erklärung zu "Fail Operational" und "Fail Passive" ist insofern richtig, als "Fail Operational" bedeutet, dass das System nach einem Ausfall weiter funktioniert, und "Fail Passive" bedeutet, dass sich das System nach einem Ausfall nicht falsch verhält.

Die genaue Anzahl der dafür erforderlichen Autopiloten ist jedoch umstritten. und vieles hängt davon ab, wie Sie es definieren.

Nehmen wir die Boeing 777, weil sie für den Anfang einfach ist. Es hat drei Autopiloten. Es wird jeweils „LAND 3“ oder „LAND 2“ angezeigt . In einem Dreiersystem kann ein Fehler erkannt werden, wenn einer mit den anderen beiden nicht übereinstimmt. In einem Zweiersystem ist es ungewiss, welches ausgefallen ist, sodass alle Einheiten offline gehen.

Jetzt kommt der interessante Teil: Was ist, wenn ich eine ausgefallene Einheit von einer Funktionseinheit unterscheiden kann, ohne eine andere Funktionseinheit zu verwenden? Mit anderen Worten, was ist, wenn ich etwas habe, das die vorhandenen Einheiten überwachen kann, aber nicht in der Lage ist, so zu funktionieren wie eine der überwachten Einheiten alleine?

So lässt sich Fail Operational mit zwei Autopiloten realisieren. So kann beispielsweise das Flight Management and Guidance System (FMGS) des Airbus A320 von „Dual Mode“ auf „Single Mode“ umschalten. Wie das geht, erläutert das FCOM nicht. _{(A320 FCOM - Flugzeugsysteme - Auto Flight - Allgemeines)}

Das FCOM gibt jedoch an, dass eine automatische Landung „CAT 3 DUAL“ nicht betriebsbereit ist

Der verbleibende Teil des automatischen Systems ermöglicht es dem Flugzeug, den Anflug, das Abfangen und die Landung abzuschließen

während eine "CAT 3 SINGLE"-Landung passiv ausfällt:

Es liegt kein signifikanter Zustand außerhalb der Trimmung oder Abweichung der Flugbahn oder Fluglage vor, aber die Landung wird nicht automatisch abgeschlossen

_{A320 FCOM - Verfahren - Normale Verfahren - Landekategorien}

Die Boeing 737 hat 3 Trägheitsquellen, aber nur 2 Autopiloten. Es implementiert Fail Operation bei den Trägheitsquellen, aber Fail Passiv bei den Autopiloten.

Wenn ein Fehler erkannt wird, reagieren die Flugsteuerungen auf den A/P, der die kleinere Steuerungsbewegung befiehlt. Wenn ein Ausfall in einem A/P auftritt, wird dem ausgefallenen Kanal durch den zweiten Kanal entgegengewirkt, so dass beide A/Ps mit minimalem Manövrieren des Flugzeugs und mit akustischen und visuellen Warnungen für den Piloten getrennt werden.

_{Boeing 737 FCOM Band 2 - Automatischer Flug - Systembeschreibung}

Definitionen der FAA sind in AC 120-28D – Criteria for Approval of Category III Weather Minima for Takeoff, Landing, and Rollout zu finden . Aus dem Dokument finden wir für Fail Operational:

4.3.2. Betrieb der Betriebskategorie III nicht bestanden. Ein Fail Operational System ist ein System, das nach dem Ausfall einer einzelnen Komponente in der Lage ist, einen Anflug, ein Abfangen und Aufsetzen oder einen Anflug, Abfangen, Aufsetzen und Ausrollen unter Verwendung der verbleibenden Betriebselemente des Fail Operational Systems durchzuführen. Die Ausfallauswirkungen einzelner Komponenten des Systems, des Flugzeugs oder der Ausrüstung außerhalb des Flugzeugs, die sich auf die Aufsetz- oder Rollout-Leistung auswirken könnten, müssen bei der Bewertung von Fail-Operational-Systemen berücksichtigt werden.

Mit folgenden Beispielen:

Im Folgenden sind typische Anordnungen aufgeführt, die für Fail Operational Systems akzeptabel sein können:

1. Zwei oder mehr überwachte fehlerbehaftete passive Autopiloten oder integrierte Autopilot-Flugleitsysteme mit jeweils zwei Kanälen bilden ein automatisches fehlerbetätigtes System, das so ausgelegt ist, dass mindestens ein Autoflight-System nach dem Ausfall eines Systems betriebsbereit bleibt und das ausgefallene System nicht verwendet wird oder nicht verwendet werden kann eine inakzeptable Leistung des Autoflight-Systems verursachen.
   Hinweis: Nach einem Ausfall mit dieser Konfiguration ist es nicht beabsichtigt, eine Landung nur mit Flight Director fortzusetzen, es sei denn, es wurde eine erfolgreiche Proof-of-Concept-Demonstration durchgeführt.
2. Drei Autopiloten oder integrierte Autopilot-Flugleitsysteme, die so ausgelegt sind, dass mindestens zwei betriebsbereit bleiben, wenn ein Vergleich nicht möglich ist, und die erforderliche Überwachung und den erforderlichen Schutz bieten, während sie zu einer Landung fortfahren.
3. Ein überwachtes passives automatisches Flugsteuerungssystem mit automatischer Landefähigkeit zum Aufsetzen und Ausrollen, falls zutreffend, sowie ein unabhängiges und angemessen ausfallgeschütztes manuelles Flugleitsystem, das zum Landen und Ausrollen geeignet ist, mit Anleitung für den fliegenden Piloten und Überwachungsanzeigen für die nicht - fliegender Pilot. Für diese Anordnung wäre eine Proof-of-Concept-Demonstration erforderlich.
4. Zwei unabhängige und angemessen überwachte manuelle Flugführungssysteme mit unabhängigen Anzeigen für den fliegenden Piloten und den nicht fliegenden Piloten, die jeweils eine Landung und einen Rollout unterstützen können. Für diese Anordnung wäre eine Proof-of-Concept-Demonstration erforderlich.

Der Schlüssel zum Ausfall des Betriebs ist die Fähigkeit, den Betrieb nach einem einzigen Fehler fortzusetzen. Es geht um die Fähigkeit, nicht um die Lösung, die die Fähigkeit bereitstellt.

Und für Fail Passive:

4.3.4. Passive Operationen der Kategorie III nicht bestanden. Ein Fail Passive System ist ein System, das im Falle eines Ausfalls keine signifikante Abweichung der Flugbahn oder Fluglage des Flugzeugs verursacht. Die Fähigkeit, den Betrieb fortzusetzen, kann verloren gehen und eine alternative Vorgehensweise (z. B. ein Fehlanflug) kann erforderlich sein.

Mit folgenden Beispielen:

Zu den typischen Anordnungen, die verwendet werden können, um die Anforderungen für den ausfallsicheren passiven Betrieb der Kategorie III mit einer Entscheidungshöhe von 50 Fuß zu erfüllen, gehören die folgenden:

1. Ein einzelnes überwachtes automatisches Flugsteuerungssystem mit automatischer Landefunktion.
2. Ein betriebsbereites automatisches Flugsteuerungssystem mit automatischer Landung, das in eine Fail-Passive-Konfiguration zurückgekehrt ist oder in einer Fail-Passive-Konfiguration versandt wurde.
3. Ein überwachtes Flugführungssystem (z. B. HUD), das zur manuellen Steuerung durch den fliegenden Piloten und zur Überwachung durch den nicht fliegenden Piloten ausgelegt ist. Luftfahrzeuge, die für den Fail-Passiv-Betrieb der Kategorie III vorgesehen sind, sollten über Luftfahrzeugsysteme verfügen, die die in Anlage 3 angegebenen Kriterien erfüllen. Luftfahrzeuge, von denen zuvor nachgewiesen wurde, dass sie frühere Fail-Passiv-Kriterien erfüllen, dürfen weiterhin unter Verwendung der Mindestanforderungen der Kategorie III gemäß den genehmigten Betriebsspezifikationen betrieben werden.

Der Schlüssel zum Passiven Scheitern ist, dass es keine Gefahr verursacht, auch wenn Sie möglicherweise nicht in der Lage sind, den Anflug fortzusetzen.

Ich glaube nicht, dass das Zitat, das Sie gegeben haben, richtig ist. Dies mag bei einigen Flugzeugen (wie der Boeing 777 mit 3 Autopiloten) der Fall sein, aber nicht im Allgemeinen. Eine allgemeinere Definition ist:

Autoland-Systeme werden normalerweise als Fail Operational oder Fail Passiv bezeichnet.

• Ein Fail Operational System muss mindestens zwei Autopiloten für den Anflug aktiviert haben. Der Ausfall eines Autopiloten ermöglicht weiterhin die Durchführung einer automatischen Landung. Dies ermöglicht die Durchführung eines Ansatzes ohne Entscheidungshöhe.

• Ein Fail-Passive-System ist normalerweise mit einem einzelnen Autopilot-Ansatz verbunden. In diesem Fall führt ein Ausfall des Autopiloten nicht zu einer sofortigen Abweichung von der gewünschten Flugbahn; Der fliegende Pilot muss jedoch sofort die Kontrolle über das Flugzeug übernehmen und einen Fehlanflug durchführen, es sei denn, er hat eine ausreichende Sicht zur Landung. Die niedrigste zulässige Entscheidungshöhe (DA) für ein ausfallsicheres passives System beträgt normalerweise 50 Fuß.

^{( SKYbrary - Autoland - Systemsicherheit )}

Also reichen 2 Autopiloten für ein Fail Operational System. Ich kann nicht speziell etwas über den A320 sagen, aber die Boeing 737 hat einen Autoland-Modus für den Ausfallbetrieb mit nur 2 Autopiloten:

Fail-Operational Autoland-Statusmeldungen

Die folgenden Ansagen informieren die Flugbesatzung über Modus und Status des Autoland-Systems:

• LAND 3 – zwei Autopiloten, drei Trägheitsquellen und die zugehörigen Sensoren arbeiten normal für eine automatische Landung und einen automatischen Rollout.
• LAND 2 – oberhalb der Alarmhöhe ist ein Fehler aufgetreten und die Redundanz ist reduziert; Das Autoland-System ist jedoch immer noch in der Lage, eine automatische Landung und einen automatischen Rollout durchzuführen.
• NO AUTOLAND – das System kann keine automatische Landung durchführen.

Bei einer LAND 3 (Fail-Operational)-Anzeige ist die Redundanz des Autoland-Systems so, dass ein einzelner Fehler das Autopilot-System nicht daran hindern kann, eine automatische Landung durchzuführen.

Bei einer LAND 2 (Fail Passive)-Anzeige ist das Redundanzniveau derart, dass ein einzelner Fehler keine signifikante Abweichung von der Flugbahn verursachen kann.

^{(Boeing 737 NG FCOM v2 - Automatischer Flug - Systembeschreibung)}

Schauen wir uns die Aussagen an und sehen wir, wie richtig oder falsch sie sind.

Aussage 1:

Betriebsausfall – Wenn Sie 3 Autopiloten aktiviert haben, sodass jeder einzelne Ausfall dazu führt, dass die verbleibenden 2 Autopiloten das Flugzeug sicher landen können. Das heißt, bei einem Ausfall bleibt autoland in Betrieb.

Zunächst einmal ist diese Aussage nicht falsch. Es ist eine Frage der Korrektheit. Ja, wenn ein Flugzeug über 3 Autopiloten verfügt, bleibt es betriebsbereit, wenn einer von ihnen während einer automatischen Landung ausfällt. Aber Sie brauchen nicht 3 Autopiloten, um die Fail-Operational-Fähigkeit zu erreichen. Wenn Sie mit zwei Autopiloten ausfallsicher sein möchten, benötigen Sie zwei vollständig unabhängige Autopilot-Leistungsüberwachungssysteme. Alle Airbus-Flugzeuge, beginnend mit dem A320, verfügen über zwei Autopiloten und alle über ausfallsichere automatische Landesysteme.

Aussage 2:

Fail Passive – Wenn Sie 2 Autopiloten aktiviert haben, sodass ein einziger Autopilot-Ausfall zur Deaktivierung beider Autopiloten ohne signifikante Abweichung von der etablierten Flugbahn führt. In diesem Fall muss der Pilot manuell die Kontrolle übernehmen und durchstarten/landen.

Diese Aussage ist falsch. Wenn zwei Autopiloten aktiviert sind und ein einzelner Autopilot ausfallen sollte, wird das System ausfallpassiv. Es ist nicht erforderlich, dass der andere Autopilot deaktiviert wird. Und in einigen bestimmten Fällen kann das Flugzeug sogar eine automatische Landung mit einem einzigen Autopiloten durchführen (in diesem Fall bleibt es betriebsbereit). Wie das funktioniert, erkläre ich später.

Hier sind die JAA-Definitionen (aktuelle EASA) für Fail Operational und Fail Passive.

FEHLER BETRIEB

Ein automatisches Landesystem ist ausfallsicher, wenn bei einem Ausfall unterhalb der Alarmhöhe der Anflug, das Abfangen und die Landung durch den verbleibenden Teil des automatischen Systems abgeschlossen werden können. Im Falle eines Ausfalls arbeitet das automatische Landesystem als Fail-Passive-System.

SCHEITERN PASSIV

Ein automatisches Landesystem ist fehlerpassiv, wenn im Falle eines Ausfalls kein signifikanter Zustand außerhalb der Trimmung oder Abweichung der Flugbahn oder Fluglage vorliegt, die Landung jedoch nicht automatisch abgeschlossen wird. Bei einem ausfallpassiven automatischen Landesystem übernimmt der Pilot nach einem Ausfall die Kontrolle über das Flugzeug.

Wenn wir uns die Definition für Fail Operation ansehen, können Sie sehen, dass sie nichts über 3 Autopiloten aussagt. Aber es sagt etwas über eine Alarmhöhe aus. Darin heißt es unterhalb der Alarmhöhe, ein System ist funktionsunfähig, wenn ein Flugzeug nach einem Ausfall des automatischen Systems immer noch in der Lage ist, eine automatische Landung mit dem verbleibenden Teil des automatischen Systems durchzuführen. Also, was ist diese Alarmhöhe?

Gemäß dem Airbus A320 FCTM:

ALARMHÖHE

Die Alert Height (AH) ist die Höhe über der Landebahn, basierend auf den Eigenschaften des Flugzeugs und seines ausfallsicheren automatischen Landesystems, über der ein CATIII-Anflug abgebrochen und ein Fehlanflug eingeleitet würde, wenn in einem der Flugzeuge ein Fehler auftritt überflüssige Teile des automatischen Landesystems oder in der entsprechenden Bodenausrüstung.

Die Alarmhöhe ist eine vom Flugzeughersteller während der Flugzeugzertifizierung abgeleitete Höhe (AH für A320 ist 100 Fuß). Es ist die Mindesthöhe, bei oder unter der ein Flugzeug nach einem Ausfall seiner redundanten automatischen Systeme eine automatische Landung durchführen darf. Wenn Sie zum Beispiel in einem A320 eine automatische Landung mit aktivierten beiden Autopiloten durchführen und einer der Autopiloten oberhalb der Alarmhöhe von 100 Fuß ausfällt, beginnen Sie sofort mit dem Durchstarten.

Was also, wenn einer der Autopiloten unterhalb von 100 Fuß ausfällt? Die Antwort darauf ist, es kommt darauf an. Erinnern Sie sich, dass wir von einem Autopilot-Leistungsüberwachungssystem gesprochen haben? Beim A320 befindet sich auf dem Blendschutz jedes Piloten ein AUTOLAND-Warnlicht. Dieses Licht flackert unterhalb von 200 Fuß, wenn die folgenden Bedingungen erfüllt sind:

• Beide APs lösen aus
• Es wird eine übermäßige Strahlabweichung erfasst
• Localizer- oder Gleitpfad-Sender oder -Empfänger fällt aus
• RA-Diskrepanz von mindestens 15 Fuß wird erfasst.

Die Warnleuchte wird vom Überwachungssystem ausgelöst, wenn es einen der oben genannten Fehler erkennt. Unter AH kann also die automatische Landung fortgesetzt werden, auch wenn einer der Autopiloten auslöst, solange die AUTOLAND-Leuchte nicht aufleuchtet. Wenn die AUTOLAND-Leuchte aufleuchtet, sollten Sie sofort herumfahren.

Hier ist ein kleines GIF des von mir durchgeführten AUTOLAND-Warnlichttests des A320. Sie können testen, ob es funktioniert, indem Sie es jederzeit drücken (sogar während des Fluges). Wenn Sie es drücken, geht das Licht an und es geht.

Fail Operational ist eine Beschreibung für ein automatisches Lande-Autoflight-System, bevor ein Autopilot (AP) ausfällt, und wird in zwei Kategorien unterteilt:

1. Drei APs im Flugzeug.
2. Zwei APs + Vergleichsschaltung ( diese Schaltung kann mehr oder weniger grob als dritter AP betrachtet werden).

• Wenn ein AP in einer der oben genannten Kategorien ausfällt (das System ist jetzt ein passives Versagen), gibt es keinen Kontrollverlust, aber der Pilot kann keine automatische Landung einleiten, da das System jetzt passiv versagt.
• Wenn ein Pilot eine Autolandung initiiert hat, bei der alles funktioniert (Fail Operation) und dann ein AP ausfällt, fahren die verbleibenden AP ( zwei oder einer, abhängig von der Kategorie ) normal mit der automatischen Landung fort.
• Wenn wir uns bereits in einer Autoland-Phase mit einem Verlust eines AP befinden (zwei verbleibende oder einer bleibt in Betrieb, hängt davon ab, welche Kategorie) und dann ein zweiter AP-Pilot ausfällt, übernimmt der Pilot sofort die Kontrolle.
• Wenn in jeder Flugphase ein einzelner AP ausfällt, wechselt das System von Fail Operational zu Fail Passive, unabhängig davon, wie viele APs noch in Betrieb sind.
• Ein Pilot kann eine automatische Landung nicht von einem passiven Ausfallsystem aus initiieren (starten).
• 2 APs, die in einer Kategorie mit 3 APs verbleiben, sind also ein passives Ausfallsystem, ebenso ist es ein passives System, wenn ein AP weiterhin in einer Kategorie mit 2 APs betrieben wird.

ALI ALSALEEM - Bodenausbilder / Mideast Aviation Academy MEA - Jordanien