《基于STAMP的航空安全理论与实践》课件_第4章.pptx

第四章无人机着陆阶段安全性分析与验证;

4.1无人机着陆阶段事故分析

;

;

阶段一:进场飞行阶段。

阶段二:下滑拉平阶段。

阶段三:两轮滑跑阶段。

阶段四:三轮滑跑阶段。;

2.无人机着陆阶段事故分析

一般军用无人机系统包括飞机系统、任务载荷、地面系统以及保障系统。飞机系统由飞行器平台、飞行控制系统、导航系统以及着陆系统等组成;任务载荷是指辅助无人机完

成任务的相关设备;地面系统是指对无人机飞行平台和任务载荷进行监控和操纵的地面设备,包括对无人机进行发射和回收控制的设备;保障系统用于保障无人机顺利完成任务。

虽然各个系统的功能不尽相同,但系统与系统之间是相互关联的,任何一个系统出现安全问题,都可能导致其他系统发生安全问题,并最终导致事故。通过分析某军多个型号的无

人机的事故数据,发现无人机在着陆阶段发生事故的数量占比较大,如图4.2所示。

;

;

1)组件高度交互

安全性是指系统组件之间相互关联、相互作用时的涌现特性。目前,无人机结构的复杂程度越来越高,组件之间的耦合愈加明显,许多事故不再是由单个组件故障引起的,而是由多个系统组件之间的不安全交互引起的。

2)软件缺陷多发

软件本身不存在安全或者不安全的概念,其只能通过影响相关组件的行为才会引发事故。;

3)人机高度耦合

随着无人机系统中软件的集成以及自动化技术的发展,人机交互以及人的操作行为也逐渐发生着变化。;

4.2无人机着陆阶段安全性分析;;

地面部分指的是地面控制站(GroundControl

Station,GCS),用于监控无人机飞行任务,包括地面控制站计算机(配备地面控制站软件)、无线通信数据链地面终端以及其他辅助设备。;

着陆阶段的反馈控制结构如图4.4所示。;

4.2.2系统级事故与危险识别

根据反馈控制结构以及实际情况,STAMP/STPA方法要对无人机着陆阶段的系统级事故与危险进行识别。系统级事故是指不希望的或意外的导致损失的事件,这里的损失主要是指人的生命损伤或人身伤害、财产损失、任务失败等。根据以上定义以及着陆过程,可以识别出无人机着陆阶段的系统级事故,如表4.1所示。;

;

系统级危险是指在特定环境下导致系统事故的某一系统状态或一系列条件。一般地,一个系统危险会与一个或多个系统事故相关联,而系统功能的失效会导致一个或者多个危险状态的出现。例如,当方向控制不能完成规定功能时,无人机会在着陆时偏离降落点,在减速滑跑时方向平衡失控。

表4.2列出了无人机着陆阶段的系统级危险及其可能导致的事故。;;

4.2.3不安全控制行为及致因因素识别

1.俯仰控制

俯仰控制主要用来调节下滑拉平阶段机身的俯仰程度,以使机身能平稳拉平。当控制指令为“仰”时,机身会抬起;当控制指令为“俯”时,机身会低下。当俯仰控制功能不能正常实现时,会造成无人机出现平衡失控、末端拉平时下沉率过大等危险。实现俯仰控制的主要执行机构是升降舵,主要的控制行为是升降舵的升/降,俯仰控制回路如图4.5所示。根据STPA方法识别控制回路中的不安全控制行为,结果如表4.3所示。;

;;

根据图4.5中的控制缺陷①与反馈缺陷②,下面分析俯仰控制中的不安全控制行为的致因因素。在俯仰控制回路中,地面操控站和着陆控制系统属于控制器,升降舵属于执行器,无人机属于被控对象。

表4.4中给出了致因因素的分析结果。;;

2.方向控制

方向控制作用于着陆的整个阶段,用于调节无人机的方向。方向控制功能的实现是无人机着陆阶段航向正确性的重要保证。当方向控制功能不能按指令实现时,会导致平衡失

控的危险。实现方向控制的主要执行机构是方向舵,主要的控制行为是方向舵的左/右,方向控制回路如图4.6所示。;

;;

根据图4.6中的控制缺陷①与反馈缺陷②,下面分析方向控制中的不安全控制行为的致因因素。在方向控制回路中,地面操控站和着陆控制系统属于控制器,方向舵属于执行器,无人机属于被控对象。

表4.6中给出了致因因素的分析结果。;

;;

3.动力控制

动力控制主要负责无人机着陆过程中的动力输出。正常情况下,无人机在着陆阶段会持续减少动力输出,以配合刹车系统的减速工作。实现动力提供功能的主要执行机构是发

动机以及油门舵,主要的控制行为是油门舵的大小,动力控制回路如图4.7所示。根据STPA方法识别控制回路中的不安全控制行为,结果如表4.7所示。;

;;

根据图4.7中的控制缺陷①与反馈缺陷②,下面分析油门舵控制回路中的不安全控制行为的致因因素。在动力控制回路中,地面操控站和着陆控制系统属于控制器,油门舵属于执行器,无人机属于被控对象。

表4.8中给出了致因因素的分析结果。;

;

4.3无人机刹车减速功能安