Ist es üblich, dass automatisierte Steuerungssysteme nicht redundante Sensoren verwenden?

Generell ja. Außer in bestimmten Konfigurationen, nämlich Autoland, werden Autoflight-Funktionen normalerweise mit einem Satz Sensoren gespeist.

Dazu passt, dass auch die Fluginstrumente der Piloten aus einer Hand gespeist werden. Daher sollten das Verhalten und die Instrumente des Autopiloten kohärent und vorhersagbar reagieren.

Der Hauptgrund ist die Fehlerisolierung. Wenn die Flugbesatzung einen Fehler bei den Instrumenten des Kapitäns feststellt, garantiert das Deaktivieren der Instrumentierung und der Autoflight-Funktionen auf der Seite des Kapitäns, dass die fehlerhaften Daten die Instrumente und Steuerungen des Copiloten nicht beeinflussen.

Wenn Sie versuchen, das System "intelligent" abzustimmen, laufen Sie Gefahr, einen fehlerhaften Sensor nicht isolieren zu können, insbesondere in 2-von-3-Sensor-Situationen. Ein weiteres klassisches Problem ist, wie verhindert werden kann, dass das Wahlsystem zu einem Single Point of Failure wird.

Die Instrumente werden von einem Komparator begleitet, der signifikante Unterschiede zwischen redundanten Messwerten erkennt und eine entsprechende Warnung auslöst. Die meisten Systeme behandeln die Warnung als binär: Die Flugbesatzung vergleicht manuell alle Messwerte und entscheidet anhand menschlicher Logik, welche nicht übereinstimmen.

Die erste Antwort befasst sich mit der Avionik (Displays, Autopilot, Ansagen, Überziehwarnung), deren Einzelquellenausfall normalerweise von untergeordneter Bedeutung ist. Wenn Ihre Überziehwarnung fehlschlägt, ist dies keine große Sache, da vom Piloten erwartet wird, dass er die anderen Quellen (Bildschirm des Co-Piloten, ISI usw.) Hand, ist eine ganz andere Sache). Bei einem Fly-by-Wire-Flugzeug ist die andere Seite der Automatisierung jedoch die Flugsteuerung.

Da Flugkontrollgesetze die Handhabungseigenschaften hinter den Kulissen modifizieren, ist viel mehr Redundanz erforderlich. Laut Gesetz darf jeder einzelne Fehler in der Flugsteuerung, unabhängig von der Wahrscheinlichkeit, nicht katastrophal sein. Je nach Wahrscheinlichkeit von Ausfallkombinationen müssen diese dann ebenfalls entsprechend behandelt werden. Dies bedeutet, dass kritische Quellen in den Flugsteuerungscomputern redundant sein müssen. Dazu gehören Trägheitsdaten, Luftdaten, AOA, Oberflächenpositionen usw. Die Computer selbst müssen auch redundant und ausreichend unterschiedlich sein, um Gleichtaktfehler zu vermeiden, die sie alle gleichzeitig ausschalten.

Da MCAS nun Teil der Flugsteuerung ist, würden Sie denken, dass Redundanz erforderlich ist, um die Ausfallwahrscheinlichkeit mit ihrer Kritikalität abzugleichen (ursprünglich als gefährlich, aber nicht katastrophal bewertet). Darin liegt die Kontroverse.

Im Allgemeinen nein. Nur in Fällen, in denen ein Systemausfall nur sehr geringe Auswirkungen auf den weiteren sicheren Betrieb des Flugzeugs hat.

Wie in dieser Frage erwähnt , muss Folgendes analysiert werden:

• Schwere der Folgen eines Systemausfalls.
• Expositionszeit gegenüber dem Fehlerzustand.
• Die Ausfallrate der Hardware.

Die Folgen eines Ausfalls des Autopiloten im Reiseflug sind normalerweise harmlos (mit Ausnahme einiger hartnäckiger Ausfälle), außerdem gibt es viel Reserve in Höhe und Zeit für die Flugbesatzung, um einzuschätzen, was falsch ist. In einem solchen Fall ist ein einzelner Wandler tolerierbar.

Diese Antwort gibt ein Beispiel für die Redundanz im CATIII-Autoland-System, das in allen Systemen, einschließlich der Sensoren, dreifach redundant ist. Es ist ein Beispiel für ein kritisches System, aber nicht das einzige. Wie @Jimmy erwähnt, sind Flugsteuerungen per Definition flugkritisch.