دور آليات إعادة التوحيد والسلامة في النظم الآلية

دور آليات إعادة التوحيد والسلامة في النظم الآلية

وقد أصبحت النظم الآلية لا غنى عنها في النقل الحديث، ولا سيما في العمليات الجوية والبحرية، وهي تفرغ من المهام الروتينية من المشغلين البشريين، وتخفض من درجة البؤس، وتحسن كفاءة الوقود وملاءمته، ومع ذلك، فإن الاعتماد على أعمق التشغيل الآلي، يؤدي إلى زيادة حدة الآثار المترتبة على فشل النظام، كما أن وجود خلل في البرامجيات أو عطل في أجهزة الاستشعار خلال مرحلة حرجة، أو هبوط أو تطهير المياه المزروعة.

وتستكشف هذه المادة مدى عمل آليات التكرار والفشل في السلامة، ومختلف أشكالها، وسبب أنها تشكل العمود الفقري للنظم الآلية الآمنة، وتستفيد من أمثلة للعالم الحقيقي من مجالات الطيران والبحرية وحتى وسائل السيارات، لتوضيح دورها الحاسم.

فهم إعادة الشمل في نظم التشغيل الآلي

ويعني التكرار بناء عناصر متعددة ومستقلة أو نظم فرعية يمكن أن تؤدي نفس المهمة الحاسمة، وإذا فشل أحد العناصر - سواء بسبب ارتداء المعدات أو حشرات البرمجيات أو فقدان الطاقة أو الضرر المادي - وهو أمر احتياطي لا يمكن أن يقطع العملية عموما، والهدف هو إخفاء الفشل من جانب كل من الطيار ودائرة المراقبة، مما يسمح للنظام بمواصلة مهامه دون هوادة، ولا يتعلق التخلف الذاتي عن العمل.

وينشأ هذا المفهوم من هندسة الفضاء الجوي حيث تقاس تكلفة الفشل في الأرواح، وتشترط إدارة الطيران الاتحادية في الولايات المتحدة تصميم نظم الطيار الآلي على الطائرات التجارية بحيث لا يؤدي أي فشل بمفرده إلى فقدان الطائرة، وتطبق معايير مماثلة على نظم المواقع الدينامية المحمولة على متن السفن، وعلى نحو متزايد على المركبات المستقلة على الطريق.

أنواع التعافي

إعادة الإمداد بالموجات الصلبة

كما أن إعادة تجديد البرمجيات هي أكثر الأشكال وضوحاً: أجهزة الاستشعار المتعددة، والمحاضرات، ومجهزات الكهرباء، وحافلات الاتصالات، مثلاً، تستخدم الطائرة A380 ثلاثة نظم مرجعية مستقلة، كل منها لها أجهزة قياسية متعددة وملموسة، وتتجنب مقاييس التفتت التي تستخدمها أجهزة الاستشعار، وتتجنب أيضاً مقاييس التفتت التي تستخدمها أجهزة قياسات التفريغ المتعددة من جميع الأجهزة الثلاثة؛

• Triple — or quadruple —redundant processors:] Used in the Boeing 777 and modern drones. Voting logical (e.g., majority voting) decides which output to follow.
• Redundant power buses:] Separate batteries, births, and voltage regulators ensure the autopilot remains powered even after an electrical fault.
• Backup actuators:] Electric motors withميكانيكي linkages that can override primary hydraulic or pneumatic actuators.

إعادة الإمداد بالبرمجيات

وقد يكون التكرار في البرمجيات أقل وضوحاً، ولكنه يتسم بنفس القدر من الأهمية، ويشمل الخوارزميات الاحتياطية، وأفرقة الترميز المتنوعة، وطرائق المراقبة البديلة، فعلى سبيل المثال، خضع نظام المكوك الرئيسي لأربعة حواسيب متطابقة في مجال التحكم في الطيران، ولكن تعاقد مختلف مع مقاول له لغات برمجة مختلفة، قد يؤثر هذا النهج على نسخ احتياطية مستقلة تماماً.

وفي الطيار الآلي الحديث، يتخذ تجديد البرمجيات أشكالا مثل:

• NNE-version programming:] Multiple development teams write independent implementations of the same specification. The outputs are compared at runtime.
• Recovery blocks:] If a primary software module fails a correctness check, the system falls back to a simpler, thoroughly tested version.
• Health monitoring:] Watchdog timers and periodic self--tests detect software hangs or data corruption and trigger a hot---standby instance.

إعادة التشغيل

وتشمل عمليات التكرار العملياتي الإجراءات والتدريب والتراجعات البشرية - مثلا، يتطلب الطيران طيارين للحفاظ على مهارات الطيران اليدوية وإجراء عمليات تفتيش منتظمة على الكفاءة، وإذا ما كان انقطاع الطيار الآلي عن الحركة بصورة غير متوقعة، فإن طاقم الطيران يمكن أن يسيطر عليه، فالأوتوبيسات البحرية عادة ما تكون لديها وسيلة " جاهزة " ومحطة توجيه منفصلة للطوارئ.

وتشمل التدابير التنفيذية الأخرى ما يلي:

• Dual —channel functioning:] Two independent autopilot units are engaged concur; each can cross-monitor the other, and a mismatch triggers an alarm.
• Pre —planned alternative routes:] For autonomous surface vessels, an operator onshore can upload a new mission plan if the primary navigation computer fails.

استحقاقات إعادة التكرار

ويقلل التكرار بصورة مباشرة من احتمال حدوث إخفاق كامل في النظام، وإذا كان لكل عنصر حاسم عنصر احتياطي مستقل، فإن معدل الفشل العام ينخفض بصورة متعددة، وفي التصميم الحرج، يُعرف ذلك بأنه تحقيق القدرة " التشغيلية - النظام ما زال يعمل بكامل طاقته حتى بعد فشل واحد.

وبالإضافة إلى السلامة، فإن إعادة التكرار تتيح أيضا ما يلي:

• Fault tolerance during maintenance:] Systems can be repaired or replaced without taking the vehicle out of service, because the redundant elements take over.
• Graceful degradation:] A sensor failure may force a shift to a lower —accuracy support, but the vehicle remains controllable.
• Improved diagnostic capability:] Comparing redundant signals helpspinpoint exactly which component has erveed or failed, streamlineing troubleshooting.

آليات السلامة الفاشلة

وفي حين أن التكرار يهدف إلى إبقاء النظام يعمل بعد خطأ، فإن آليات السلامة تُدخل في حيز التنفيذ عندما يُساء كل شيء عندما تفشل عمليات إعادة التكرار المتعددة، أو عندما تُتجاوز حالة غير متوقعة النظام، وتُصمم آلية السلامة بحيث تُدخل الطيار الآلي (والسيارة التي تتحكم فيها) إلى دولة آمنة ومستقرة، وتُقلل من الضرر الذي يلحق بالناس والممتلكات والبيئة.

إن فلسفة تصميم السلامة الفشلية بسيطة: يفترض أن كل نظام سيفشل في نهاية المطاف، ويخطط لهذه اللحظة، بدلا من محاولة منع جميع الفشل، يركز المهندسون على الحد من عواقبها.

أنواع آليات الأمن الفاشلة

بروتوكولات الهبوط في حالات الطوارئ الآلية

وفي مجال الطيران، إذا خسر الطيار كل البيانات المستشعرة أو عانى من فشل كامل في استخدام الحاسوب في التحكم بالرحلات الجوية، يمكن أن تنشط بروتوكولات الهبوط الطارئة، على سبيل المثال، فإن نظام غارمين أوتلاند الذي تم التصديق عليه في عام 2020 من أجل " الاضطرابات الجوية " ، وهو نظام تجريبي غير قادر على التحمل (عن طريق رصد مدخلات المراقبة وزر الطوارئ) ويوجه الطائرة تلقائيا إلى أقرب مطار مناسب، ويعالج مسألة سلامة الاتصالات، ويفشل في الأرض.

الإغلاق الآلي للنظام وعزله

وفي الطيارات البحرية، يمكن معالجة حالة شاذة مثل فقدان مفاجيء للمراجع أو مشعل ثلاثي في الممرات عن طريق إغلاق النظام الفرعي المتأثر تلقائياً، وعلى سبيل المثال، يمكن لنظام تحديد المواقع الدينامي للسفن أن ينقل تلقائياً السيطرة على مجموعة احتياطية مستقلة تماماً، أو قد يؤدي إلى " توقف آمن " - يتم رفع الرادار إلى الصفر، ويصبح موقع التكييف اليدوي المستخدم في عمليات النقل الرئيسية.

نظم الإنذار والإنذار

وكثيرا ما تتضمن آليات السلامة المتناقلة تنبيهات مفص َّلة لتوجيه انتباه المشغل، ويمكن أن تكون هذه إنذارات بصرية )أضواء المعلقين، رسائل الوميض على العرض المتعدد الوظائف(، أو تنبيهات )تحذيرات الصوت المدمج، أو عجلات(، أو تنبيهات غير قابلة للرد على المحركات، أو تنبيهات التنبيهات الموجهة إلى أنها مصحوبة على وجه الاستعجال.

توقف وتجاوزات الطوارئ المادية

وهناك العديد من آليات السلامة المتخلفة هي آليات متماثلة أو آلية محض، ففي الطائرات ذات العجلات الرقمية، إذا فشلت جميع الحواسيب الرقمية للطيران، تكون هناك صلة ميكانيكية مباشرة أو في بعض التصميمات، لا يزال بإمكان متحكم مستقل في التناظر أن يعمل المصاعد والزلاجات، ولدى السفن جهاز توجيه للطوارئ يتجاوز الطيار الآلي تماما، ويستخدم نظاما مباشرا للهيدروليك أو للوصل الكهربائي " .

الفلسفة في تصميمات الفشل

ويميز المهندسون بين عدة نُهج للسلامة الفشلية:

• Fail-passive:] The system continues to provide minimal functionity but warnings the operator. For example, a dual-channel autopilot that loses one channel may still provide heading hold but no longer handles altitude capture.
• Fail — operatingal:] The system retains full functionity after a single failure, thanks to redundancy. This is the target for most commercial autopilots.
• ]Fail —safe:] The system automatically transitions to a safe state-such as returning to pre-programmed home point for drones, or reverting to manual control for cars -when an unrecoverable fault is detected.
• Fail —soft:] The system degrades performance gradually, allowing continued operation under reduced capabilities. This is commonly used in flight management systems where a failed inertial reference unit forces the system to rely on GPS alone.

ويتوقف اختيار الفلسفة على الأهمية الحاسمة لهذه المهمة، وقد يكون التحكم في المحرك، على سبيل المثال، فشلاً في التنفيذ، في حين أن إضاءة الكابينات قد تكون بحاجة فقط إلى الفشل في التفافية.

إدماج آليات إعادة التوطين والسلامة

إن آليات إعادة التوحيد والسلامة غير متنافسة؛ فهي تكمل بعضها بعضا، وتحاول إعادة التوحيد منع الفشل في التأثير على المشغل، بينما تكفل عدم سلامة الطائرة احتواء الآثار المترتبة على ذلك إذا فشلت الوقاية، وفي حالة وجود طوابير آلية مصممة جيدا، كثيرا ما تعتمد آليات السلامة على المعدات الزائدة لتنفيذ الدولة الآمنة، وعلى سبيل المثال، يستخدم نظام طائرات التوليد في حالات الطوارئ حواسيب مستقلة.

ومن الأمثلة المتكاملة الأخرى " مفتاح الرجل الميت " البحري للسفن المستقلة، إذ يجب على المشغل على الأرض أن يرسل بصورة دورية إشارة " ضربة القلب " ، وإذا لم يصل أي نبض قلب بعد فترة ما قبل بدء التشغيل، فإن الطيار الآلي للسفن يتحول تلقائيا إلى طريقة آمنة: فهو يعطل رسالة الطوارئ ويصل في نهاية المطاف إلى محطة توقف كاملة، وهذا يجمع بين آلية إعادة التشغيل (مشغلة للتوقف عن العمل).

أمثلة ودروس عالمية حقيقية

الطيران: طائرة فرنسـا الجوية

وقد تبين من تحطم الطائرة الفرنسية في عام 2009 أن الفشل المأساوي في التكرار والتصميم المأمون قد أدى إلى حدوث تغيرات في أجهزة الاستشعار التي تعمل بالهواء بعد أن تعثرت على أجهزة الاستشعار التي تعمل بالهواء، ولم يتلق الطيارون أي إنذار واضح عما حدث، كما أن القراءات المتعطلة التي تخلط بين منطق مراقبة الطيران بالطائرة، كما أن آلية الاختراق غير المصممة " تعطل " .

البحرية: كوستاريكا

ولم تكن كارثة كونكورديا في كوستاريكا فشلا في التكرار الآلي بل في تجاوزات بشرية وفشل في إدارة السلامة، وكان يمكن أن يحول الطيار الآلي للسفن دون الأرض إذا كانت قد انخرطت، ولكن الكابتن كان يتجه يدويا إلى مساره، مما يبرز أهمية آليات السلامة التي يمكن أن تتغلب على المدخلات البشرية عندما تنتهك نهج الحدود الآمنة الذي يجري بناؤه الآن في جيل " من الطوابق اليدوية " .

Automotive: Tesla Autopilot Fail —safe

وفي نظام تيسلا الآلي، فإن التكرار محدود: فهو يستخدم الكاميرات والرادارات )على النماذج القديمة( والمجسات فوق الصوتية، ولكن لا توجد مجهزة احتياطية أو منطق رقابة مستقل، وآلية الأمان الرئيسية هي السائق الذي يجب عليه أن يمسك يده على العجلة، وإذا تجاهل السائق الإنذارات، فإن النظام يبطئ السيارة تدريجياً إلى وقف وتفعيل أضواء الخطر التي تصيب الإنسان.

الاتجاهات المستقبلية في تصميمات السلامة الآلية

ومع تزايد استقلالية الطيار الآلي من سيارات الأجرة التي لا تعمل على سائقين إلى سفن شحن مستقلة تماماً، فإن المطالب المتعلقة بالتكرار وتصعيد آليات السلامة، وهناك اتجاهات عديدة ترسم الجيل التالي:

حالات التعافي من الاضطرابات

وللحراسة من حالات الفشل في الحركة المشتركة (مثلاً، حشرة برامجية تؤثر على جميع الوحدات المتطابقة)، يستعمل المصممون بشكل متزايد معدات وبرامجيات من مختلف المصنعين الذين لديهم هياكل مختلفة، ومن الأمثلة على ذلك نظام مراقبة الطيران في مطار آغ باس A350، الذي يستخدم ثلاثة أنواع مختلفة من المجهزين (PowerPC, Intel, and ARM) الذي يعمل بشكل مستقل.

AI-based Fail-safe Decision —Making

ويمكن للتعلم الماكنة أن يتيح استجابات أكثر تطوراً للأمان، فعلى سبيل المثال، يمكن للجهاز الآلي للسفن المستقلة أن يكتشف أن جهاز الاستشعار عن مواقعها يفشل ويستخدم توأم رقمي للسفينة للتنبؤ بأفضل موقع للتوقف الآمن، ثم ينفذ المناورة باستخدام محركات الدفع الاحتياطي، وتجري البحوث في هذا المجال، ولكن سلطات التصديق لا تزال تكافح كيفية التحقق من الشبكات العصبية للمهام المتعلقة بالسلامة.

إعادة التوحيد الموزعة مع شركة إدج للحساب الإلكتروني

وبدلا من إضفاء الطابع المركزي على جميع المنطق الآلي في صندوق واحد، تقوم بعض النظم الآن بتوزيع الرقابة على مراكب متعددة من المتحكمين بالمايكرو، وكل منها مسؤول عن مجموعة فرعية من المهام (مثلا عن التوجيه، وواحد لمراقبة المحرك، وواحد للملاحة) وإذا فشل أحد، فإن النظم الأخرى لا تزال قادرة على السيطرة الأساسية، وهذا الهيكل، المشترك في الطائرات بدون طيار، يقلل من أثر أي فشل واحد.

الثورة التنظيمية

وتستكمل الهيئات الدولية المعايير لتعكس الدور المتنامي للتشغيل الآلي، وتقضي المنظمة البحرية الدولية الآن بأن للسفن المتمتعة بالحكم الذاتي نطاق تصميم تشغيلي " مأمون " ، بمعنى أن الطيار الآلي يجب أن يكون قادرا على نقل السفينة إلى محطة آمنة إذا فقد الاتصال بمركز المراقبة الساحلية، وبالمثل، فإن القواعد الجديدة لجزء القوات المسلحة الأنغولية 23 المتعلقة بالطائرات العامة تتطلب وجود احتمال محدد بأن تكون الطائرة ذات قدرة على الطيران أقل من 110[FLT9]:

خاتمة

إن آليات إعادة التوحيد والسلامة غير قابلة للتبادل، فهي جانبان من نفس العملة الآمنة، حيث أن إعادة التوحيد تكفل التشغيل السلس وغير المتقطع حتى عندما تكسر العناصر الفردية، وتوفر آليات السلامة في نهاية المطاف شبكة الأمان عندما تفشل كل الأطراف الأخرى في حماية الأرواح بتوجيه مركبة إلى دولة مستقرة، وتشكل معاً أساس نظم النقل الآلي الموثوق بها عبر الطيران والبحري والأرضي.

فالتقدم في مجال السلطة الحاسوبية، والتنوع في أجهزة الاستشعار، والاستخبارات الاصطناعية، يتيح تدريجياً للطيار الآلي التعامل مع سيناريوهات الفشل الأكثر تعقيداً بصورة مستقلة، غير أن التكنولوجيا وحدها، كما هو الحال بالنسبة للعرض الذي قدمته شركة إير فرنسا 447 وشركة كوستاكورديا، لا تكفي، بل يجب أن تتطور العوامل الإنسانية، والرقابة التنظيمية، وثقافة السلامة بالتوازي مع ذلك، فالمهندسين الذين يصممون الطيار الآلي اليوم مكلفون بألاً لا يجعلهم يعملون في ظروفاً غير عادية فحسب، بل أيضاً.

For further reading on autopilot safety and redundancy, see the FAA Advisory Circular on System Design and Analysis (]AC 25.1309-1B), NASA’s “Diversity in FSA7]