UAV-k repülésbiztonságának technikai kérdései (tartalékolt központi vezérlők) Wührl Tibor főiskolai adjunktus Budapesti Műszaki Főiskola, KVK HTI e-mail: wuhrl.tibor@kvk.bmf.hu Több cikkemben foglalkoztam a robotika fontosságának kérdéseivel, melyben tényszerű megállapítás és talán e tudományterület egyetlen szakértője sem vitatja- az, hogy napjainkban egyre nagyobb szerepet játszanak azok a robotikai eszközök [1]. Robotikai eszközök alkalmazása csökkenti az emberi életet-, egészséget fenyegető kockázatokat úgy a katonai, katasztrófavédelmi, mint a polgári alkalmazásokban [2]. Robot-, vagy távirányítású eszközök bevetése olyan helyeken célszerű, ahol a körülmények az emberi életet, egészséget súlyosan veszélyeztetik, mint például a magas radioaktív sugárzási szint, vegyileg szennyezett terület, harctér, vagy ha az ember számára nehezen megközelíthető területen kell feladatot végrehajtani, stb. [1] [2] [3]. AKTUÁLIS KÉRDÉSEK - BEVEZETÉS A robotika fejlett eszközei között önálló csoportot alkotnak a pilóta nélkül repülő eszközök (Unmanned Aerial Vehicles UAV). A széles körű felhasználásnak azonban korlátot szab a jogszabályi háttér. Az 1995. Évi XCVII. Törvény a légiközlekedésről 6. (5) bekezdése kimondja, hogy: Az illetékes légiközlekedési hatóság engedélyével repülhet a magyar légtérben az a légi jármű, amely vezető nélküli repülésre alkalmas, továbbá a jogszabályban meghatározott repülőmodell, illetve repülőeszköz. [4]. A fenti meghatározás szerint tehát UAV kizárólag a Légiközlekedési Hatóság engedélyével repülhet [5] [6]. A jelenlegi jogszabályokból következik, hogy UAV repülés csak a kijelölt, zárt légtérben történhet. A jelenlegi jogszabályok tehát nem teremtik meg a pilóta nélküli repülőgépek széles körű elterjedését, azok békeidőben történő rendszeres polgári alkalmazását. A polgári alkalmazás korlátozottságát azért szükséges kiemelnünk, mert [4] nem terjed ki a törvény hatálya a Magyar Honvédség légvédelmi célú készültségi repüléseire. Polgári alkalmazások elterjedése lehet a robotika fejlődésének olyan mozgató rugója, melytől a
kutatások fellendülését várhatjuk, vagyis az üzlet és a profit jelentős kutatási célra fordítható magántőkét vonz. Az UAV-k polgári alkalmazásához tehát mindenképpen jogszabályi változás szükséges. A továbbiakban azon műszaki feltételek (jogszabályok által meghatározott) áttekintése szükséges, melyek a jelenleg alkalmazható légi járművek esetén kötelező érvényűek. Abban az esetben, ha a jelenleg hatályos jogszabályi előírásoknak a műszaki előírások vonatkozásában a pilóta nélküli repülő eszközök maradéktalanul megfelelnek, akkor nyílik esély azon jogszabályi változások bevezetésére, melyek már megteremtik az UAV-k rendszeres alkalmazását. A 2005 évben tartott konferencián [5] előadásomban áttekintettem az UAV-k központi egység hardver kialakítási lehetőségeit, a tartalékolt redundáns vezérlő struktúrákat. Az alkalmazható struktúrák közül említésre méltó a melegtartalékolt rendszer (hot-stanby), a terhelésmegosztásban üzemelő processzoregységek (load-sharing), valamint a többség döntés elvén működő rendszerek. REDUNDÁNS VEZÉRLŐSTRUKTÚRA HARDVERKIALAKÍTÁS LEHETŐSÉGEK Melegtartalékolt rendszer (Hot standby) A melegtartalékolt rendszerekben két egyenértékű vezérlő áramkör található (1. ábra). Mindkét vezérlő ugyanazt a bemenő információt fogadja és mindkét eszközben azonos szoftver fut, így hibamentes működés esetén mindkét eszköz ugyanazon döntések sorozatát hozza. Az egyik eszközt élesnek (aktívnak) nevezzük ki, vagyis az éles eszköz vezérlő jelei irányítják a folyamatot. A másik eszköz (melegtartalékolt hot standby) vezérlő jelei csupán ellenőrzési céllal jelennek meg a rendszerben. Meghibásodás esetén a vezérlő jelekben eltérést fedezünk fel, mely hatására tesztekkel kell kiszűrnünk azt, hogy mely eszköz hibásodott meg. Az aktív eszköz szerepét a melegtartalékolt eszköz át tudja venni.
1. ábra Melegtartalékolt vezérlő struktúra Terhelés megosztásban működő vezérlők (Load Sharing) A terhelés megosztásban működő processzor struktúrák (2. ábra) esetén minimum kettő, vagy annál több, általában egymással egyenértékű vezérlő dolgozik, így egy eszköz meghibásodása esetén a rendszer feladat megoldó sebessége ugyan csökken, de az működőképes marad. 2. ábra Terhelés megosztásos vezérlő struktúra Többség döntés elvén működő redundáns központi vezérlő A többség döntés elve alapján működő vezérlőkben (3. ábra) legalább három, funkcionálisan egyenértékű vezérlő hozza meg döntését. Mindegyik vezérlő áramkör ugyanazon bemenő jeleket fogadja, így hibamentes esetben természetesen mind ugyanazt a döntést hozza.
3. ábra A többség döntés elvén működő vezérlő struktúrája A struktúrából eredően a központi vezérlő áramköröknek csakis funkciójuk tekintetében kell megegyezniük, az egyes vezérlők hardver kialakítása, valamint a rajtuk futtatott szoftver származhat más gyártótól, fejlesztőtől. A struktúra hibatűrése nagyságrendekkel jobb az előző két struktúrához mérten, ugyanis az esetleg előforduló rejtett szoftverhibák hatása is nagy valószínűséggel kiküszöbölésre kerülhet a működés során. A struktúra azonban azt a veszélyt is magában hordozza, hogyha két vezérlő egyszerre (előbb az egyik, majd a másik) lefagy vagy kiakad, mert például végtelen ciklusba kerülnek, akkor két vezérlő azonosan szolgáltatja a hibás jelet és a többségi döntés értelmében a jól működő eszköz kisebbségben marad, így lényegében a központi vezérlő felmondja a szolgálatot. Ezt úgy lehet kiküszöbölni, hogy csakis a működő eszköznek adunk szavazati jogot. A működésre a sign of life (életjel) jel bevezetésével következtetünk. Például az összehasonlító áramkör csakis annak a vezérlőnek a szavazatát fogadja el, mely eszköz megfelelő gyakorisággal életjelet ad magáról. Az életjel előállítás szoftveresen történik, mely legegyszerűbb esetben egy port bit invertálásával valósítható meg. Az erre vonatkozó utasítást a program azon részébe kell beágyazni (például egy legalacsonyabb prioritású megszakításrutin), melyre a vezérlés nagy valószínűséggel csak akkor adódhat, ha az eszköz nem került végtelen ciklusba, vagy egyéb hibás állapotba. KÖZPONTI VEZÉRLŐK MŰKÖDTETŐ SZOFTVERRENDSZERE A redundánsan kialakított hardver struktúrák lehetőségeinek kiaknázásához, -mely jelen esetben elsősorban a hibavédelmet és hibafelfedést jelenti- megfelelő működtető szoftver
rendszer szükséges. A szoftver rendszer felépítését az áttekinthetőség, valamint a továbbfejleszthetőség okán rétegekre bontottan célszerű tárgyalni. Mikro UAV-k esetén a központi vezérlő szoftver teljes egészében a központi vezérlő program memóriába töltött kód, tehát a rétegszerű felépítés határai logikailag adható meg. A stabilis működés érdekében a működtető kód a vezérlő számára csak olvasható. A működés során a programtár (ROM, EPROM, EEPROM vagy FLASH) tartalma nem változhat. A hardver kialakítás Harward architektúrájú, vagyis a programtár és az adattár fizikailag is elkülönül. Az adattárban tároljuk a szenzorok mérési eredményeit, az állapotváltozókat, valamint a döntési folyamatok eredményeit, státuszinformációkat. A szenzorok mérési eredményei az időben változó, folyamatosan frissülő adatsorok. A mérési adatok szűrését, feldolgozásra előkészítését és adatmemóriába leképezését a BIOS (Basic Input Output System) szoftverelem végzi. A BIOS további feladata a beavatkozó szervek megfelelő működtetése. Egy mikro UAV szoftver rendszer általános felépítését a következő ábrán láthatjuk: 4. ábra Mikro UAV szoftverstruktúra Az operációs rendszer elsődleges feladata az egyes feladatok, task-ok futás ütemezése, valamint jelen speciális feladat esetén a szenzorok mérési eredményeiből állapotváltozók kalkulálása, valamint azok becslése (például Kalman szűrők) [6]. A BIOS és az operációs rendszer erősen hardver közeli, és ebben az esetben köztük éles határvonal nem is húzható. A repülési algoritmusok olyan ütemezett task-ok, melyek rendszeres időközönként meghívásra kerülnek, meghívásukat az operációs rendszer ütemezi. Ezen task-ok valósítják meg a repülés során az állapotegyenletek (vagy annak valamilyen transzformált alakjának) megoldását. Ezen task-ok számára bemenő adat az adatmemóriában tárolt állapotváltózók halmaza, kimenő adatok pedig a beavatkozó szervek számára előkészített utasítás, melyet az operációs rendszer ütemezése szerint a BIOS juttat el a beavatkozó szerv felé.
Az operációs rendszer és a BIOS feladata továbbá a redundáns központi vezérlő, a redundáns szenzorok hibáinak felismerése és a hibatűrő működés kialakítása. A legfelső szinten helyezkednek el a taktikai algoritmusok, a döntést hozó algoritmusok, melyek kihatással vannak a repülési útvonalra, a küldetés fázisainak nyilvántartására. Amennyiben analógiával kívánunk élni, akkor ez a szoftvermodul tekinthető az eszköz pilótájának. A pilóta a pillanatnyi működési állapot, a pillanatnyi helyzet (koordináták) ismeretében a küldetési terv szerint irányítja a repülőt. Ezt a modult kell felruházni olyan jellemzőkkel, melyek a humán pilótát hivatottak pótolni a repülés során. Az adattárolót funkciója szerint szintén több rétegre oszthatjuk fel. Megbízhatósági okokból az útvonal tervet, valamint az egyes konfigurációs adatokat tároló memória kialakításának szintén olyannak kell lennie, hogy annak tartalma zavarjel hatására, valamint bizonyos szoftver kiakadás esetén se változhasson meg. Az ilyen adatok tárolására kizárólag EEPROM, vagy FLASH memóriát célszerű alkalmazni. A további adatok, melyek általában a másodperc töredéke alatt frissülnek, RAM-ban tárolhatóak. BIOS ÉS OPERÁCIÓS RENDSZER FUNKCIÓK Az operációs rendszer feladata elsősorban a feladat (task) ütemezés, míg az egyes szenzorokról az ütemezett adat fogadás és a rendelkező jelek perifériákra juttatása, ami a BIOS funkciója. Ezen két funkció jelen esetben élesen nem választható szét. A task-ok ütemezése (hívása) bizonyos időközönként, a mintavételi ciklus szerint kell történjen. Az ütemezés legcélszerűbb megvalósítása hardver TIMER modul felprogramozással történhet. A TIMER lejártakor (előre számláló esetén a számlánc túlcsordulása esetén) megszakításkérés generálódik. Abban az esetben, ha a processzor hardver támogatja (általában ez így van), akkor a TIMERT automatikus újratöltődő üzemmódban (auto-reload) kell használni. A megszakítások gyakorisága (periódusideje) függ a számláncba töltött kiindulási értéktől, vagyis megfelelő kiindulási érték választással érhető el a kívánt periódusidő. A mintavételes rendszer működési periódus idejét (a periódusidő maximumát, illetőleg a mintavételi frekvencia minimumát) Shannon mintavételi tételével határozhatjuk meg. Shannon mintavételi tétele szerint a mintavételi frekvencia legyen legalább akkora, mint a feldolgozandó jelben előforduló maximális frekvenciakomponens
kétszerese. Természetesen a Shannon tétel megtartása nem kötelező minden esetben, de jelen esetben jó iránymutatást ad. A Shannon tétel alkalmazásakor nem szabad elfelejtenünk azt, hogy a maximális frekvencia összetevő figyelembevételénél nem csak a hasznos jellel kell számolnunk, hanem az azt terhelő nemkívánatos zavar és zajkomponensekkel. Ha ezt nem így tesszük, akkor a nemkívánatos összetevők átlapolódnak (alíasing) és a hasznos frekvenciasávba transzponálva zajként jelennek meg. A nemkívánatos komponensek általában előre pontosan nem meghatározhatóak, csak jósolhatóak. Leghatékonyabb védekezést jelent, ha analóg aluláteresztő szűrővel vágjuk a mintavételi frekvencia fele feletti komponenseket. A szűrőnek olyan csillapítást kell mutatnia a nemkívánatos komponensekre, hogy azok szintje 1 LSB alá csökkenjen. A processzor egység működés biztonságát (kiakadás védelmét) watch-dog áramkör felügyeli. Ez az áramkör általában újraindítható RC monostabil multivibrátor, mely újraindító jelét (törlő jelét) szoftveresen állítjuk elő. Abban az esetben, ha a törlő jel nem érkezik meg egy bizonyos időn belül, az RC monostabil multivibrátor stabil állapotába billen és processzor újraindító (reset) jelet generál. A watch-dog újraindító jel generálás tehát egy olyan szoftver feladat, mely helyes működés esetén bizonyos időn belül (RC átbillenési időn belül) törlő jelet generál. A törlő jelet olyan szoftver modulban kell előállítani, mely modulra nagy valószínűséggel vezérlés nem adódik egy esetleges processzor kiakadáskor (végtelen ciklusba jutáskor). Egy ilyen megoldás lehet az, ha egy szoftveresen újratöltött TIMER eszköz megszakítás rutinjában állítjuk elő a watch-dog törlő jelet. Ennek a megszakítás rutinnak a prioritási szintje legyen a legalacsonyabb, vagyis a magasabb prioritású rutinok befagyása esetén az alacsonyabb prioritású rutinra már nem adódhat a vezérlés, így a törlő jel előállítás megszűnik, ami teljes processzor újraindítást eredményez. Az operációs rendszer feladataként adhatjuk meg továbbá a szenzor adatok (mérési eredmények) hihetőségének bírálatát. Fontos, hogy a hibás mérési adatok ne zavarják a helyes működést, a hibás adatokat ki kell zárni a rendszerből. A hibaellenőrzés valószínűségi döntésen alapulhat [8], technikája több módon is megvalósítható: Több azonos fizikai jellemzőt mérő szenzor adatainak összehasonlításával; Az egyes fizikai jellemzők kapcsolatának felhasználásával; Az előző mérési eredmények alapján becsült érték és a pillanatnyilag mért érték összehasonlításával.
Sok esetben nem lehetséges, vagy nem célszerű a szabályzó kör állapotegyenletében szereplő összes állapotváltozó mérése. Ekkor az egyes állapotváltozók más fizikai jellemzőkből számíthatóak (például Kalman szűrés). [6.], [7]. REPÜLÉST SZABÁLYZÓ ALGORITMUSOK A BIOS és az operációs rendszer által a memóriában leképzett adatok, állapotváltozók, mint a valóság digitális leképzése jelenik meg. A valóság leképzését jelen esetben virtuális repülőnek nevezhetjük. A szabályozó algoritmusok ezen memóriában tárolt adatokra alapoznak és ezen adatok alapján kalkulálják a rendelkező jelet. A kiszámított rendelkező jelet a BIOS-nak adják át (például egy kijelölt memória területen message queue), majd az megfelelő ütemezéssel a beavatkozó szervre szervóra juttatja. A szabályzó kör alapjelét a robotpilóta szolgáltatja. A stabilis működés feltétele, hogy a tervezés során elkészített szabályzó kör, mint visszacsatolt rendszer stabil legyen. A stabilitásvizsgálatra számos stabilitáskritérium adható meg és azok szükséges és elégséges feltételeinek meghatározására több módszer is rendelkezésre áll. [6]. Realizáláskor azonban újabb problémák állhatnak elő, melyek a digitális minták ábrázolásából ered. A véges számábrázolási pontosság kvantálási hibát eredményez, ami kvantálási zajt termel. Ez még a kisebb probléma, de két szám összeszorzásakor az eredmény (szorzat) tárolása általában több bitet igényel, mint a két összeszorzott szám. Visszacsatolt rendszerben ezt az ábrázolási felduzzadást vissza kell állítani az eredeti értékre, mely ismételt kvantálást jelent, hatása pedig nem kívánt nemlinearitás bevitelét jelenti a rendszerbe. Az ilyen nemlinearitások veszélyeztethetik a stabilis működést és határciklusos jelenségeket idézhetnek elő. A szabályzó köri struktúra realizálásakor, a szorzás műveletek utáni kvantáláskor tehát úgy kell eljárni, hogy az adott kör passzivitása megmaradjon. [9] A helyes működést durván befolyásolhatja a kalkulált eredmény túlcsordulása (számábrázolási tartományon kívül esése). Mindenáron törekedni kell arra, hogy a számított eredmények és részeredmények minden körülmények között az ábrázolási tartományon belül maradjanak. [8] Jelprocesszoros realizálás esetén a jelprocesszorok aritmetikája rendelkezik túlcsordulás kezeléssel (telítéses karakterisztika, háromszög karakterisztika), de ezt nem célszerű kihasználni, ezen lehetőséget csak másodlagos védelemre illik tervezni.
TAKTIKAI ALGORITMUSOK A taktikai algoritmusok jelen esetben a robotpilótát jelentik. A memóriában tárolt küldetési terv szerint a robotpilóta alap jelet állít elő az egyes szabályozó körök számára. A biztonságos működés érdekében a küldetési terv és a konfigurációs adatok tárolására EEPROM, vagy Flash memóriát célszerű alkalmazni. A biztonságos működés érdekében a robotpilótát emberi találékonysággal is fel kell ruházni. Találékonyság alatt itt a helyzetelemzést kell értenünk, vagyis az alapjel előállításnál figyelembe kell venni nemkívánatos jelenségeket is, mely lehet rossz időjárási viszony, sárkánytest-, hajtómű-, csűrőlap stb. meghibásodása. A taktikai algoritmusoknak ezen nemkívánatos jelenségeket időben fel kell ismerniük és időben meg kell tenniük a megfelelő intézkedéseket. Ilyen intézkedés lehet a küldetési tervtől eltérő átmeneti magasság korrekció, a küldetés ideiglenes felfüggesztése (például irányváltással), visszatérés elrendelése és az esetleges kényszerleszállás végrehajtása. A taktikai algoritmusok erősen felhasználás függő szoftver modulok. Polgári alkalmazás esetén (békeidőben) egész más lehet a cél, mint háborús helyzetben katonai alkalmazáskor. A taktikai algoritmusok a memóriában leképzett vitruális repülő viselkedésére alapozó szoftver rutinok, mely döntések sokaságát jelenti. Taktikai algoritmusok kutatási eredményeit további cikkemben fogom közölni.
Irodalomjegyzék: [1] LÁSZLÓ VÁNYA: Excepts from the history of unmanned ground vehicles development in USA. AARMS vol.2,no.2 (2004) Budapest, Hungary [2] GÁCSER ZOLTÁN: A kisméretű pilóta nélküli repülőgépek katonai alkalmazásának lehetőségei Gazdaságosság, hatékonyság és a biztonság a repülésben. Tudományos Konferencia, Szolnok, 2004. április 23. [3] IMRE MAKKAY: Robotics in the 21th century AARMS vol.2,no.2 (2004) Budapest, Hungary [4] 1995. évi XCVII. Törvény a légiközlekedésről Megjegyzés [DVL1]: Valós oldalszámokat kell beírni! Megjegyzés [DVL2]: Valós oldalszámokat kell beírni! [5] WÜHRL TIBOR: Mikro UAV-k vezérlő redundanciája Fél évszázad forgószárnyakon a Magyar Katonai Repülésben; 2005. Szolnok [6] SZABOLCSI RÓBERT: Modern szabályzástechnika ZMNE Egyetemi jegyzet 2004. [7] SZABOLCSI RÓBERT: Automatikus repülésszabályozó rendszerek ZMNE Egyetemi jegyzet 2004. [8] ŐSZ SÁNDOR: Egyetemi előadása 2005. [9] ALFRED FETTWEIS KLAUS MEERKÖTTER: Supression of Parasitic Oscillation in Wave Digital Filters; IEEE VOL. CAS-22 NO.3 March 1975.