БЕЗОПАСНОСТЬ ПОЛЕТА И ОРГАНИЗАЦИЯ ОТКАЗОУСТОЙЧИВОСТИ В АВИАЦИОННЫХ СИСТЕМАХ УПРАВЛЕНИЯ

Э.М. Мамедли, Н.А. Соболев (Институт проблем управления РАН, Россия)

Известно, что отказ любого одного элемента резервированной авиационной системы управления (СУ) не должен создавать угрозу безопасности полета. Тем не менее, такая ситуация может возникнуть в авиационных СУ маневренными самолетами.

Отказоустойчивость авиационной СУ относительно неблагоприятных воздействий агрессивной внешней среды (типа электромагнитных возмущений), одновременно проявляющихся во всех резервированных каналах, реализуют с помощью асинхронной (независимой во времени) организации вычислительного процесса в любом канале. Такая организация допускает рассогласования: (1) моментов времени выполнения идентичных операций (вычислительных/обмена данными) в различных каналах вплоть до периода решения прикладных задач T0; (2) значений входных (выходных) данных, вводимых (вычисляемых) в каналах, вплоть до D x (D y). Величины допустимого рассогласования моментов времени ввода (вычисления) и значений данных взаимосвязаны: D x (D y) оценивается, как величина максимально возможного изменения x(t) (y(t)) в течение T0. Эта оценка допустимого рассогласования удовлетворяется при условии, что во всех каналах используется однородная организация восстановления вычислительного процесса после отказов и сбоев, что естественно выполняется только в полносвязных СУ.

Однако, после отказа хотя бы одной межканальной связи троированная система становится неполносвязной, а в ней организация восстановления вычислительного процесса для разных каналов становится разнородной - в одном канале с прерыванием, в двух других - без прерывания решения прикладных задач. Если продолжительность прерывания Ti превышает T0, то возникает флуктуация рассогласования моментов времени выполнения идентичных операций в каналах, превышающая допустимый уровень. В условиях высокой скорости изменения x(t) (y(t)) для маневренных самолетов флуктуация рассогласования моментов времени трансформируется во флуктуацию рассогласования значений входных (выходных) данных, превышающую D x (D y), т.е. возникают ложные признаки отказа. Последние могут генерироваться одновременно несколькими каналами, что может вызвать преждевременный (ложный) отказ СУ.

Возникшая флуктуация рассогласования данных не может самопроизвольно исчезнуть. Разработана оригинальная организация отказоустойчивости, позволяющая бороться с этими аномальными явлениями в неполносвязной СУ.