Le rôle des mécanismes de redondance et de sécurité des pannes dans les systèmes de pilotage automatique

Redondance des logiciels

La redondance des logiciels peut être moins évidente mais elle est tout aussi vitale. Elle comprend des algorithmes de sauvegarde, des équipes de codage diverses et des modes de contrôle alternatifs. Par exemple, le système avionique primaire de la navette spatiale a utilisé quatre ordinateurs de contrôle de vol identiques, mais un cinquième ordinateur différent, construit par un entrepreneur différent avec différents langages de programmation, a agi comme une sauvegarde totalement indépendante.

Dans les pilotes automatiques modernes, la redondance logicielle prend des formes telles que:

• N‐version programming:[ Plusieurs équipes de développement écrivent des implémentations indépendantes de la même spécification. Les sorties sont comparées à l'exécution.
• Si un module logiciel primaire échoue à une vérification de l'exactitude, le système revient à une version plus simple et minutieusement testée.
• Surveillance de la santé:[ Les minuteurs de veille et les auto-tests périodiques détectent les pendaisons de logiciels ou la corruption de données et déclenchent une instance de standby à chaud.

Redondance opérationnelle

Par exemple, les avions de ligne exigent des pilotes qu'ils conservent leurs compétences de pilotage manuel et effectuent des vérifications régulières de compétence. Si le pilote automatique se désengage de façon inattendue, l'équipage de conduite peut prendre le contrôle. Les pilotes automatiques maritimes ont généralement un mode de pilotage à conduite de secours et un poste de pilotage d'urgence distinct.

D'autres mesures opérationnelles sont notamment les suivantes :

• Automatisation du canal double:[ Deux unités de pilotage automatique indépendantes sont engagées simultanément; chacune peut croiser l'autre, et un défaut de réglage déclenche une alarme.
• Autres itinéraires prévus:[ Pour les navires de surface autonomes, un exploitant à terre peut télécharger un nouveau plan de mission si l'ordinateur de navigation principal échoue.

Avantages de la redondance

Si chaque composant critique a deux sauvegardes indépendantes, le taux de défaillance global diminue de façon multiple. Dans la conception critique de sécurité, on sait que cela permet d'atteindre la capacité opérationnelle --le système continue à fonctionner pleinement même après une seule défaillance.

Au-delà de la sécurité, la redondance permet également:

• Tolérance de défaillance pendant l'entretien:[ Les systèmes peuvent être réparés ou remplacés sans mettre le véhicule hors service, parce que les éléments redondants prennent le relais.
• Dégradation progressive:[ Une défaillance du capteur peut forcer un interrupteur à une sauvegarde plus basse, mais le véhicule reste contrôlable.
• Matériel diagnostique amélioré:[ La comparaison des signaux redondants permet de déterminer exactement quel composant a dérivé ou échoué, simplifiant le dépannage.

Mécanismes de sécurité des défaillances

Alors que la redondance vise à maintenir le système en service après une défaillance, des mécanismes de sécurité en cas d'échec entrent en jeu lorsque tout tourne mal, lorsque plusieurs licenciements échouent, ou lorsqu'une situation imprévue envahit le système. Un mécanisme de sécurité en cas d'échec est conçu pour amener le pilote automatique (et le véhicule qu'il contrôle) dans un état sûr et stable, réduisant ainsi les dommages aux personnes, aux biens et à l'environnement.

La philosophie de la conception sans échec est simple : supposons que chaque système finira par échouer et planifiez pour ce moment. Plutôt que d'essayer d'éviter toutes les défaillances, les ingénieurs se concentrent sur la limitation de leurs conséquences.

Types de mécanismes de sécurité des défaillances

Protocoles automatiques d'atterrissage d'urgence

Dans l'aviation, si un pilote automatique perd toutes les données du capteur ou subit une panne complète de l'ordinateur de contrôle de vol, les protocoles d'atterrissage d'urgence peuvent s'activer. Par exemple, le système Garmin Autoland – certifié en 2020 pour le Cirrus Vision Jet – détecte l'incapacité du pilote (par des entrées de contrôle de surveillance et le bouton d'urgence) et guide automatiquement l'aéronef vers l'aéroport le plus proche, en manipulant les communications, la navigation et l'atterrissage sans intervention humaine.

Arrêt automatique et isolement du système

Dans les pilotes automatiques maritimes, une anomalie telle qu'une perte soudaine de référence de cap ou un actionneur de compensation de fuite peut être manipulée par un arrêt automatique du sous-système concerné. Par exemple, un système de positionnement dynamique du navire peut transférer automatiquement la commande sur une console de secours complètement indépendante, ou il peut déclencher un arrêt de sécurité -les gaz sont portés à zéro poussée et le navire reste en position en utilisant seulement sa propulsion principale avec la direction manuelle.

Systèmes d'alerte et d'alerte

Les mécanismes de sécurité des pannes comprennent souvent des alertes en couches pour attirer l'attention de l'opérateur. Elles peuvent être visuelles (éclairages annonciateurs, messages clignotants sur l'écran multifonctionnel), sonores (avertissements vocales synthétisés, chimes) ou tactiles (shaker de bâton, vibrations du siège). Les alertes sont conçues pour être intuitives et classées par urgence. Par exemple, un avertissement de déconnexion -pilote automatique dans un aéronef est accompagné d'un ton sonore fort et d'un feu rouge, ce qui permet au pilote de prendre le relais immédiatement.

Arrêts d'urgence physique et dépassements

Dans les avions à fil, si tous les ordinateurs de vol numériques échouent, une liaison de sauvegarde mécanique directe ou dans certains modèles, un contrôleur analogique indépendant, peut encore utiliser les ascenseurs et le gouvernail. Les navires ont un équipement de direction d'urgence qui contourne entièrement le pilote automatique, en utilisant une connexion hydraulique ou électrique directe au gouvernail. Ces commandes -dernière station sont délibérément simples et séparées des systèmes automatisés.

Philosophies de conception sans danger

Les ingénieurs distinguent plusieurs approches sans échec :

• Échec-passif:[ Le système continue à fournir une fonctionnalité minimale, mais avertit l'opérateur. Par exemple, un pilote automatique à double canal qui perd un canal peut encore fournir une prise en cap, mais ne gère plus la capture d'altitude.
• Fil-operational:[ Le système conserve toutes ses fonctionnalités après une seule défaillance, grâce à la redondance. C'est la cible pour la plupart des pilotes automatiques commerciaux.
• Échec-safe:[ Le système se déplace automatiquement vers un état sûr, comme le retour à un point d'origine préprogrammé pour les drones, ou le retour à un contrôle manuel pour les voitures, lorsqu'une faute irrécupérable est détectée.
• Fail‐soft:[ Le système dégrade progressivement les performances, permettant ainsi une exploitation continue sous des capacités réduites. Ceci est couramment utilisé dans les systèmes de gestion de vol où une unité de référence inertielle défaillante force le système à se fier uniquement au GPS.

Le choix de la philosophie dépend de la criticité de la fonction. La commande du moteur, par exemple, peut être une défaillance opérationnelle, tandis que l'éclairage de la cabine peut seulement avoir besoin d'être une défaillance passive.

Intégration des mécanismes de redondance et de sécurité des défaillances

Les mécanismes de redondance et de sécurité des pannes ne sont pas des stratégies concurrentes; ils se complètent. Redundance tente d'empêcher que la défaillance n'affecte l'exploitant, tandis que la sécurité des pannes garantit que si la prévention échoue, les conséquences sont contenues. Dans les pilotes automatiques bien conçus, les mécanismes de sécurité des pannes reposent souvent sur du matériel redondant pour mettre en place l'état de sécurité.

Un opérateur à terre doit envoyer périodiquement un signal -Heartbeat. Si aucun battement de coeur n'arrive après un temps préréglé, le pilote automatique du navire passe automatiquement en mode de sécurité en cas de panne : il décélère, diffuse un message d'urgence et finit par s'arrêter complètement.

Exemples et leçons tirés du monde réel

Aviation: vol 447 d'Air France

L'écrasement d'Air France 447 en 2009 illustre l'interaction – et la défaillance tragique – de la redondance et de la conception de la sécurité. Le pilote automatique s'est désengagé après que les capteurs de vitesse ont glissé. Les pilotes n'ont reçu aucun avertissement clair sur ce qui se passait, et les lectures disparates de vitesse ont confondu la logique de la commande de vol de l'avion. Le mécanisme de sécurité en cas de défaillance (désengagement du pilote automatique et changement de la loi -alternée) a fonctionné comme prévu, mais les pilotes n'ont pas été en mesure d'interpréter la situation et sont entrés dans un décrochage aérodynamique dont ils ne pouvaient se remettre.

Maritime : Costa Concordia

Le pilote automatique du navire aurait pu empêcher l'échouement s'il avait été engagé, mais le capitaine a dirigé manuellement le cap. Ceci souligne l'importance de mécanismes de sécurité qui peuvent surcharger les entrées humaines lorsqu'elles violent les limites de sécurité – une approche maintenant intégrée dans les pilotes automatiques intelligents de la prochaine génération qui compare les commandes à une carte numérique des dangers.

Automobile: Sécurité de panne du pilote automatique Tesla

Dans le système de pilotage automatique de Tesla, la redondance est limitée : il utilise des caméras, des radars (sur des modèles plus anciens) et des capteurs ultrasoniques, mais il n'y a pas de processeur de secours ou de logique de contrôle indépendante. Le principal mécanisme de sécurité est le conducteur, qui doit maintenir les mains sur la roue. Si le conducteur ignore les avertissements, le système ralentit progressivement la voiture pour la mettre en veille et active les feux de danger.

Tendances futures de la conception de la sécurité des pilotes automatiques

À mesure que les pilotes automatiques deviennent plus autonomes — des taxis sans chauffeur aux cargos totalement autonomes —, les exigences en matière de redondance et de mécanismes de sécurité en cas d'échec s'aggravent.

Redondance dissemblable

Pour éviter les défaillances en mode commun (par exemple, un bug logiciel qui affecte toutes les unités identiques), les concepteurs utilisent de plus en plus le matériel et les logiciels de différents fabricants avec des architectures différentes. Un exemple aérospatial est le système de contrôle de vol Airbus A350, qui utilise trois types de processeurs différents (PowerPC, Intel et ARM) fonctionnant de manière indépendante.

Prise de décisions en cas d'échec fondée sur l'IA

Par exemple, un pilote automatique autonome de navire pourrait détecter que son capteur de position est défaillant et utiliser un jumeau numérique du navire pour prédire le meilleur endroit sûr pour arrêter, puis exécuter la manœuvre à l'aide de propulseurs de secours. La recherche dans ce domaine est en cours, mais les autorités de certification sont toujours en train de vérifier comment les réseaux neuronaux pour des fonctions critiques en matière de sécurité.

Redondance distribuée avec l'informatique de bord

Au lieu de centraliser toute la logique du pilote automatique dans une seule boîte, certains systèmes distribuent maintenant le contrôle sur plusieurs microcontrôleurs, chacun responsable d'un sous-ensemble de fonctions (p. ex., un pour la direction, un pour la commande du moteur, un pour la navigation). Si l'un échoue, les autres peuvent maintenir un contrôle essentiel.

Évolution de la réglementation

L'Organisation maritime internationale exige maintenant que les navires autonomes aient un domaine de conception opérationnelle ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Conclusion

Les mécanismes de redondance et de sécurité des pannes ne sont pas des concepts interchangeables; ils sont les deux faces d'une même pièce de sécurité. La redondance assure un fonctionnement fluide et ininterrompu même lorsque les composants individuels se brisent. Les mécanismes de sécurité des pannes constituent le filet de sécurité ultime lorsque tout le reste échoue.

Les progrès de la puissance informatique, de la diversité des capteurs et de l'intelligence artificielle permettent progressivement aux pilotes automatiques de gérer de façon autonome des scénarios de défaillance plus complexes. Cependant, comme le montrent les exemples d'Air France 447 et de Costa Concordia, la technologie seule ne suffit pas. Les facteurs humains, la surveillance réglementaire et une culture de sécurité doivent évoluer en parallèle.