СПОСОБ И УСТРОЙСТВО КОНФИГУРИРОВАНИЯ СИСТЕМЫ УПРАВЛЕНИЯ ТРЕВОЖНЫМИ СИГНАЛАМИ ДЛЯ ЛЕТАТЕЛЬНОГО АППАРАТА

Изобретение относится к области систем управления тревожными сигналами на летательном аппарате и, в частности, касается способа и устройства для конфигурирования такой системы.

Система тревожной сигнализации летательного аппарата или “Flight Warning System” на английском языке (FWS) является системой, которая находится в самом сердце летательного аппарата. Как правило, она включает в себя систему управления процедурами и центральный блок тревожных сигналов.

Она указывает пилоту на необходимые процедуры для управления летательным аппаратом как в номинальном, так и в аварийном режимах. Количественно система FWS управляет примерно 5000 сигналами, 1000 тревожными сигналами и 1000 процедурами.

Эта система тревожной сигнализации подключена к большинству электронных устройств самолета, например, таких как система управления топливом, к электрической или гидравлической системе.

В ходе разработки самолета различные электронные системы претерпевают изменения как с точки зрения их интерфейсов, так и в плане динамического поведения генерируемых сигналов, поэтому доводку системы FWS осуществляют на протяжении всего цикла разработки и до последних полетов, предшествующих сертификационным полетам.

Таким образом, система тревожной сигнализации FWS, учитывая ее центральное положение, постоянно изменяется и обновляется в ходе разработки самолета и тем более на последней финишной прямой непосредственно перед сертификацией.

По этой причине проектирование системы FWS не должно оставлять места для неточностей или упущений. Специалист по интеграции самолета должен быть уверен, что учтены все потребности в тревожном сигнале в зависимости от всех вызывающих опасение событий и от работы различных подсистем самолета.

Определение потребности в тревожном сигнале обычно производят документально, используя исключительно документальные модели, в которых перечислены заранее определенные ситуации. Кроме того, проверку полноты этой потребности осуществляют в ходе процесса документальной ревизии.

Таким образом, потребность в тревожном сигнале до настоящего времени выражают на естественном языке, и ее точность остается зависящей от интерпретации. Это может привести к неточностям и к техническим несовместимостям.

Поэтому необходимо найти решение, которое позволит в более полной мере объединить потребности в тревожном сигнале и избежать ошибок интерпретации.

Настоящее изобретение отвечает этой потребности.

Настоящее изобретение призвано предложить систему и способ для итеративного и полного определения характеристик системы FWS.

Изобретение призвано также предложить систему, адаптированную для пользователя, которым может быть компания, занимающаяся интеграцией самолета, или авиакомпания.

Предпочтительно настоящее изобретение предлагает интерфейс для ввода характеристик системы FWS, соответствующий среде характеризуемого летательного аппарата.

Предпочтительно настоящее изобретение можно динамично применять для любой новой окружающей среды FWS или для любой новой определяемой потребности в тревожном сигнале.

Предпочтительно настоящее изобретение позволяет производить предварительное подтверждение разработки характеристик системы FWS.

Настоящее изобретение призвано также предложить устройство, позволяющее осуществлять итеративную разработку «по горизонтали» по всем тревожным сигналам, затем по всем тревожным процедурам или «по вертикали» по каждому тревожному сигналу и по соответствующим ему процедурам.

Предпочтительно настоящее изобретение находит свое применение в контексте авиационной промышленности.

Для достижения поставленных задач предложены способ и устройство.

В частности, способ, осуществляемый на компьютере для конфигурирования системы управления тревожными сигналами для летательного аппарата, содержит следующие этапы:

- генерируют список, содержащий множество тревожных сигналов и процедур решения для летательного аппарата;

- для каждого тревожного сигнала:

определяют:

отличительные признаки тревожного сигнала;

логику обнаружения тревожного сигнала;

по меньшей мере, одну процедуру решения тревожного сигнала; и

в специальный файл тревожных сигналов записывают совокупность данных, определенных для упомянутого тревожного сигнала, при этом файл тревожных сигналов имеет структуру и формат данных, заранее определенных для тревожных сигналов и процедур;

- определяют связи, существующие между специальными файлами тревожных сигналов; и

- в ответ на этап определения обновляют содержимое специальных файлов согласно идентифицированным связям.

Предложены различные варианты осуществления.

Различные аспекты и преимущества изобретения будут более очевидны из нижеследующего описания предпочтительного, но не ограничительного варианта осуществления изобретения со ссылками на следующие прилагаемые фигуры:

Фиг. 1 – схема системы для конфигурирования системы FWS в соответствии с изобретением.

Фиг. 2 – этапы заявленного способа для конфигурирования FWS для тревожных сигналов, связанных с процедурами.

Фиг. 3 – графический интерфейс пользователя для ввода характеристик тревожного сигнала в предпочтительном варианте изобретения.

На фиг. 1 представлена информационная система (100), позволяющая применять заявленные устройство и способ для конфигурирования системы управления тревожными сигналами или FWS.

Система 100 включает в себя центральный блок 101 обработки с запоминающим устройством (RAM и ROM) 102. Запоминающее устройство 102 хранит машинные программы, связанные с системой эксплуатации и с конкретными приложениями, выполняемыми в информационной системе 100, а также данные системы. Дополнительные блоки хранения могут включать в себя оптические диски 103 и магнитные диски 104. Вместе с тем, данные и программы могут быть также сохранены и на других дополнительных средствах.

Центральный блок 101 обработки содержит средства для ввода данных, например, клавиатуру 106 ввода, мышь 107, микрофон 108 для ввода звука, голоса, а также сканер 109 для ввода текста, изображений или графиков. Центральный блок 101 обработки содержит также средства для вывода данных, например, средства 110 визуального отображения, принтер 111, звуковой выход 112, выход видео 113 или другие средства.

На фиг. 2 представлены этапы 200, осуществляемые в варианте способа в соответствии с изобретением.

На первом этапе 202 генерируют список тревожных сигналов и процедур. Этот список может быть новым и созданным полностью или может происходить от уже существующего, или может быть расширением ранее созданного списка тревожных сигналов. Известные тревожные сигналы могут быть связаны, например, с плохой конфигурацией самолета на взлете, такой как неправильное положение закрылков, тревожный сигнал неизбежного срыва потока или тревожный сигнал отключения автопилота.

Существующие тревожные сигналы и процедуры могут быть связаны с предыдущими записями этих данных.

Записи могут храниться локально в системе, такой как система, показанная на фиг. 1, в которой можно применять способ, или могут быть переданы из удаленной базы данных.

Тревожные сигналы определяют в зависимости от различных хорошо известных специалисту критериев. В частности, тревожные сигналы зависят от структурной и функциональной архитектуры рассматриваемого устройства. Они зависят также от известной процедуры предварительного функционального анализа эксплуатационной безопасности (“Preliminary Functional Hazard Analysis” (PFHA) на английском языке), который учитывает вызывающие опасения события, например, такие как потеря двигателя, крыла или возгорание. Тревожные сигналы зависят также от управления рассматриваемым устройством. Кроме того, некоторые тревожные сигналы предписаны регламентирующими нормами.

На этапе 204 способ фиксирует переменную (i) для выбора первого тревожного сигнала. На следующем этапе 206 определяют характеристики тревожного сигнала.

Для каждой характеристики присваивают значение. Значение характеристики выбирают либо из списка ограничительных значений, либо его определяют некоторые атрибуты характеристики, например, такие как зона изменчивости для реального значения или длина текста для последовательности знаков.

Характеристики, определяемые на этапе 206, будут подробно рассмотрены ниже со ссылками на таблицу 4а и включают в себя, например, тревожное сообщение, в том виде, в каком оно передается адресату, средство привлечения внимания адресата или “Attention Getter” на английском языке или уровень приоритетности тревожного сигнала.

На следующем этапе 208 определяют логику обнаружения тревожного сигнала, выбираемую для включения и выключения тревожного сигнала. Этот этап является существенным и должен обеспечить согласованность всех обнаружений тревожного сигнала, применяемых в системе. Этот этап основан на поведении контролируемой системы, то есть на ее рабочем состоянии. Рабочее состояние системы может быть номинальным (отсутствие тревожного сигнала), в специальном варианте конфигурации (тревожный сигнал типа MEMO для не классического, но возможного состояния контролируемой системы), в аварийном состоянии (случай систем, работающих на 2 каналах, при потере одного из 2 каналов), в состоянии неисправности или в выключенном состоянии.

На следующем этапе 210 способ проверяет, существует ли, по меньшей мере, одна процедура решения, соответствующая тревожному сигналу.

Если процедуры решения не существует, способ останавливается (224). Процедуры нет, когда речь идет о простой информации, например, такой как индикация «Включены взлетные огни» или «Пристегнуты ремни безопасности».

Если существует, по меньшей мере, одна процедура решения, способ переходит на этап 214, на котором создают файл «тревожного сигнала с процедурой».

Процедура решения тревожного сигнала учитывает совокупность событий, что обеспечивает выбор наилучшей процедуры в зависимости от контекста, в котором появляется неисправность, заставляющая сработать тревожный сигнал. Этот существенный этап основан на анализе поведения контролируемой системы и ее взаимодействия с остальной частью самолета.

На этапе 216 способ проверяет, определены ли все тревожные сигналы из списка. Если остаются подлежащие характеристике тревожные сигналы, способ инкрементирует (218) переменную (i) и возвращается на этап 204 на новый тревожный сигнал, чтобы определить ее характеристики (206), логику обнаружения (208) и возможную или возможные соответствующие процедуры решения (210).

После определения всех тревожных сигналов способ переходит на этап 220.

На этапе 220 обеспечивают общую когерентность контролируемой системы по всем тревожным сигналам, определенным в совокупности на уровне всего самолета. Способ проверяет связи, существующие между совокупностью тревожными сигналами, характеризованными в зависимости от неисправностей и от иерархии неисправностей. Речь может идти, например, о блокировке тревожных сигналов первичными тревожными сигналами или о связях между процедурами, таких как подтверждение одной процедуры при помощи другой.

Когда связи между тревожными сигналами выявлены, способ переходит на этап 222, на котором обновляют задействованные файлы тревожного сигнала. После установления всех связей способ прекращается (КОНЕЦ).

На фиг. 3 показан графический интерфейс 300 пользователя для введения характеристик тревожного сигнала в предпочтительном варианте осуществления изобретения.

Предпочтительно интерфейс содержит различные поля для введения характеристик, связанных с тревожным сигналом.

Поле «Наименование тревожного сигнала» 302 позволяет обозначить тревожный сигнал, например, «ПОЖАР В ДВИГАТЕЛЕ», чтобы указать, что речь идет о пожаре в двигателе, или, например, «Асимметричность закрылков», «Дым», «Низкий уровень топлива», «Неисправность гидравлического насоса «синего» контура», «Неисправность противообледенительной системы датчиков».

Поле «Категория тревожного сигнала» 304 позволяет выбрать категорию тревожного сигнала, например, нормальный сигнал, ненормальный сигнал, аварийный сигнал, рекомендация, состояние или другую категорию.

Поле «Приоритетность тревожного сигнала» 306 позволяет ввести уровень приоритетности тревожного сигнала в рамках его категории.

Поле «Удаление тревожного сигнала» 308 позволяет удалить тревожный сигнал с экрана посредством действия пилота.

Поле «Звук обозначения тревожного сигнала» 310 позволяет выбрать, следует ли связать с тревожным сигналом звук и какой звук. Предпочтительно предложение по звукам может находиться в прокручиваемых меню.

Поле «Запрет тревожного сигнала на взлете» 312 позволяет определить фазы полета, на которых на взлете запрещают тревожный сигнал.

Описанный интерфейс человек-машина (ИЧМ) представляет собой пример в рамках предпочтительного варианта осуществления изобретения, но не является ограничительным, и специалист может применять принципы изобретения к другим интерфейсам, содержащим другие и/или дополнительные поля ввода, скомпонованные в другом порядке.

Как было указано выше, можно создать список тревожных сигналов, и пользователь или пользователи могут ввести все характеристики. В альтернативном варианте тревожные сигналы могут уже существовать заранее и выводиться вместе со своими характеристиками, которые можно обновлять при помощи интерфейса ввода.

Для большей ясности и исключительно для понимания изобретения далее следует описание прилагаемых таблиц 4-6 на примере тревожного сигнала в случае разности высоты, выдаваемой вычислителями воздушных данных, при этом, как правило, на борту имеются два таких вычислителя. Структуры, описанные со ссылками на таблицы 4-6, являются чисто иллюстративными, и можно предусматривать любой вариант осуществления в соответствии с теми же принципами изобретения.

В таблицах 4а и 4b приведено содержание файла определения характеристик тревожных сигналов в предпочтительном варианте осуществления изобретения. В таблицах 5а-5f приведено содержание файла определения процедур решения тревожных сигналов в предпочтительном варианте осуществления изобретения. В таблице 6 приведено содержание файла определения логик обнаружения тревожных сигналов в предпочтительном варианте осуществления изобретения.

Предпочтительно структура специального файла тревожного сигнала представлена в виде таблицы 4а, содержащей совокупность столбцов (4002, 4004, 4006, 4008, 4010), соответственно определяющие «Контекст» (4002), «Данные» (4004), «Описание (4006), «Кардинальность» (4008) и «Диапазон» (4010). Таблица определения тревожного сигнала содержит совокупность вводов (402-430), которые будут зафиксированы в зависимости от тревоги и характеризованы для каждого из элементов столбцов 4002-4010.

Этот тип тревожного сигнала определяют следующим образом:

- Наименование тревожного сигнала (414) = Несоответствие высоты полета

- Тип тревожного сигнала (412) = Внимание

- Уровень приоритетности (410) = 3

- Генерируемый визуальный элемент (406) = Повышенное внимание

- Генерируемый элемент аудио (416) = Простой звонок

- Запрет этого тревожного сигнала (424) = Фаза полета 1-4

В таблице 4b представлено содержание файла индивидуализации некоторых параметров в зависимости от типа тревожного сигнала.

Предпочтительно структура индивидуализированного файла представлена в виде таблицы, содержащей совокупность столбцов (4012, 4014, 4016), соответственно определяющую «Данные звука» (4012), «Описание» (4014) и «Диапазон» (4016). Индивидуализированная таблица тревожного сигнала содержит совокупность вводов (450-462), которые будут зафиксированы для индивидуализации тревожного сигнала. Так, в описанном примере определение звука для привлечения внимания в случае тревожного сигнала типа «Внимание» устанавливают как «Простой звонок» (450). Соответствующий звук основан на ноте «ДО» (452), которая длится 300 мс (образцы под обозначением 462). Один звук отделен от другого звука интервалом в 200 мс. Громкость составляет половину от максимально возможной (454), учитывая, что звук должен оставаться слышимым во всех акустических конфигурациях летательного аппарата. Звук не повторяется (456 и 458), и звук должен прозвучать полностью, чтобы экипаж мог его распознать (460).

Ссылка на логику обнаружения, связанную с этим тревожным сигналом, указана в виде ввода в строке 404. Определение логики обнаружения представлено на фиг. 6 для данного примера в следующем виде:

«фильтрованная разность высоты между 2 источниками должна превышать 150 футов и должна быть подтверждена в течение 3 секунд».

Высота источника 1 «HP_ADC1» (602) находится на метке «206» (608) шины «А429» (604) «ADC1_HS_out1» (606). Высота источника 2 находится на метке 206 шины А429 ADC2_HS_out5.

Эту логику предпочтительно представляют в виде выражения в следующей польской инверсной записи:

Для определения логик можно применять следующие операторы:

- AND (логическое И)

- OR (логическое ИЛИ)

- NOT (логическое НЕТ)

- CONF (подтверждение по нисходящему или восходящему фронту)

- PULSE (генерирование сигнала, равного 1, в течение одного цикла на нисходящем или восходящем фронте)

- MRTRIG (генерирование сигнала, равного 1, в течение времени, установленного для каждого фронта (нисходящего или восходящего))

- IF THEN ELSE (если условие является истинным, то передаваемым значением является первое, если нет - второе)

- MULTIPLEXEUR (то же, с n аргументов)

- EQ (равенство)

- NEQ (неравенство)

- SUP (строго больше …)

- INF (строго меньше …)

- DELAY (задержка сигнала на установленное время)

- HOLD (генерирование сигнала, равного 1, в течение времени, установленного для первого фронта (нисходящего или восходящего))

- SUM (сумма)

- DIF (разность)

- MUL (умножение)

- DIV (деление)

- ABS (абсолютная величина)

- тригонометрия (COS, SIN, ATAN)

- MIN (минимум)

- MAX (максимум)

- EXP (экспоненциальный)

- LN (неперов логарифм)

- FPB (фильтр нижних частот)

- FPH (фильтр верхних частот)

- ARRONDI (округление до установленного десятичного значения)

- RC (квадратный корень).

Определение всей процедуры решения тревожного сигнала представлено в виде структур в таблицах 5а-5f. В представленном примере процедуру решения определяют как:

- Определение процедуры (520) = Р_01024

- Определение типа процедуры (522) = НЕНОРМАЛЬНЫЙ

- Определения названия процедуры (524) = НЕСООТВЕТСТВИЕ ВЫСОТЫ МЕЖДУ ADC1 И ADC2

Эта процедура имеет разное содержание в зависимости от того, находится летательный аппарат в полете или стоит на земле. Таким образом, определение содержания процедуры (526) изменяется в зависимости от полетного или наземного контекста.

Кроме того, определение процедуры на земле (540) имеет разные варианты в зависимости от статической конфигурации летательного аппарата (542). Например, определение варианта наземной процедуры с не установленным ADC3 (544) имеет подзаголовок «НА ЗЕМЛЕ» (546) и содержит только одну страницу (548). Страницу (550) определяют упорядоченным списком элемента (552). Элемент (554) определяют по его типу «действие», который требует от экипажа осуществления действия. После совершения действия система FWS подтверждает элемент в зависимости от соответствующей логики (556). Элемент определен запросом «ADC1» (558), который требует от экипажа совершения соответствующего действия «ВЫКЛЮЧИТЬ» (560). Для этого действия от кабины может потребоваться особая конфигурация, например, представление системной страницы (562).

Если элемент соответствует концу процедуры, то запрашиваемая или запрашиваемые процедуры определяют (528) после завершения этой процедуры. В данном примере речь идет о «процедуре удаления льда с приемников воздушного давления», которая помечена как «P_01254».

Затем после завершения этой процедуры определяют эту процедуру или процедуры (530), исключаемые из списка. В данном примере речь идет о «потере системы автоматического повышения давления в кабине», которая помечена как «Р_01080».

Таким образом, данное описание иллюстрирует предпочтительный вариант осуществления изобретения, который не является ограничительным. Был выбран пример для обеспечения лучшего понимания принципов изобретения и его конкретное применение, однако они не являются ограничительными и должны позволять специалисту вносить изменения и предусматривать версии осуществления с сохранением тех же принципов.

Настоящее изобретение можно осуществлять при помощи материальных и/или программных средств. Оно может представлять собой компьютерный программный продукт на читаемом компьютером носителе. Носитель может быть электронным, магнитным, оптическим, электромагнитным или может быть передаваемым носителем типа инфракрасного. Такими носителями являются, например, полупроводниковые запоминающие устройства (Random Access Memory RAM, Read-Only Memory ROM, ленты, дискеты или магнитные или оптические диски (Compact Disk - Read-Only Memory (CD-ROM), Compact Disk - Read/Write (CD-R/W) and DVD).