英语原文共 7 页，剩余内容已隐藏，支付完成后下载完整资料

无人驾驶飞机协同避碰的安全性

Andrew D. Zeitlin, MITRE Corp./CAASD, McLean VA Michael P. McLaughlin, Corp./CAASD, McLean VA

摘要

对于常规用于民用空域的无人驾驶飞机，有效的防撞功能被视为安全运行的一个非常重要的领域。与有人驾驶飞机一样，避免无人驾驶飞机与配有转发器或“协作”系统的飞行器发生碰撞是需要首要解决的问题之一。

本文论述了避碰功能的相同点和不同点、避碰功能链中开发各种环境和系统组件模型的必要性，以及用于无人机的TCAS防撞系统的潜在敏感性和缺点。

快速时间仿真分析方法可以从众多统计分布中得出大量的碰撞事件样本，这为证实系统合乎安全标准提供了一种既定的方法。

简介

无人驾驶飞机系统（UAS）正高速发展，政府以及整个行业都在设想在更多的领域运用UAS，不仅仅只局限于战场支持。无人机进入国家领空的压力很大，目前还没有方法可以代替有人驾驶飞机在国家领空的地位。无人机想要进入空域，显而易见的需求是能为其空中碰撞提供保护。有人驾驶飞机利用各种的防撞能力，例如通过飞行员和机载系统。其中一些飞机，尤其是用于客运和货运的飞机，利用交通警报和防撞系统（TCAS II）作为其整体安全设备的一部分。所以，TCAS被提及作为装备在UAS上的防撞系统也不足为奇。

在民用空域运行无人机系统的概念和要求正处于形成阶段，所以在更广泛的无人机系统安全领域，必须严格测试TCAS系统。

UAS安全性能需要覆盖所有有人驾驶飞机处理过的危险。这些不仅包括协作目标，还包括非协作交通目标，地形，障碍物，恶劣天气以及地面特征。TCAS系统仅能处理配备有转发器（协作）的交通情况，并且还需要飞行器达到在空中距离地面约500英尺的要求。作为一个能处理以上情况的系统，UAS仅仅能体现一个更综合的避碰要求的一部分，UAS的监控系统应该可以包括应对各种危险类型的一套传感器。

本文介绍了迄今为止MITRE研究计划所做的工作，该计划正在研究TCAS是否适合用于UAS。研究结果将与行业和政府活动密切协调，尤其是与RTCA SC-203标准委员会Sense＆Avoid小组紧密联系。

考虑将TCAS用于UAS

TCAS是在UAS技术之前被设计的，因此其性能与预计安装它的有人驾驶飞机的运行相匹配，即航空运输船[1]。本节将论述TCAS的设计可能不适合UAS使用的一些方面。

[1]虽然在仪表气象条件下飞行时视觉采集不太可能有所帮助，但低质量高度测量系统的目标很少在这些条件下飞行。

监控系统

TCAS监控系统通过使用1030 MHz的模式C和模式S来查询附近的转发器，并收到回复。它使用安装在飞行器顶部和底部的天线，其中一个天线具有测向能力。发射功率和接收器灵敏度被设计为可以确保14纳米的监视范围，这足以在两架600千吨的飞机接近正面时及时的建立轨道，并为决议咨询（RA）与接下来的机动留下30秒的时间。UAS的最大空速应该远远达不到这30s时间，可以减少UAS的监视范围，并且仍然可以检测到具有相同警告时间的目标。另一方面，警告时间参数是基于特定级数的防撞机动。如果UAS无法实现该机动（将在下文讨论），则可能需要采取额外的警告时间或其他措施来提供等效防撞能力。由此可见，任何减少监视范围的尝试都可能失败。

对决议咨询的回应

监控系统还为TCAS交通流量显示提供目标数据。在驾驶舱中，此显示以图形展示周边交通情况，显示了交通的范围，方位和相对高度。飞行员可操作控制器来调节所显示的自身飞行器周边的范围，以及显示仅仅在自身飞行器上方或下方（以及相同高度）的交通流量。这些控制通常用于减少混乱。例如在飞行的攀爬或下降阶段，在另一高度的交通流量可能会使与防撞系统相关的交通流量模棱两可。在UAS中，交通流量信息可以远程链接到飞行员。它可以像载人驾驶舱一样，以向上方向显示为上行方向，或者可以使用单独的导航输入，将其调整为北作为上行方向。如果如上所述减少监视范围，则显示的态势感知作用将相应地降低。

对于人为控制的TCAS操作，交通流量显示意味着对系统建立信任，使其RA值得信任，提供飞行员所需的部分交通态势感知图片，并辅以其他信息，如看见-避免(see-and-avoid)和无线电“合用线(party line)。”UAS应该明确在安全准则的所有方面包括的预期方法，这可能背离TCAS在有人驾驶飞机中扮演的角色。

TCAS仅在垂直维度上发布RA。它能够在附近的飞行器上形成轨道并估计每个轨道的距离和高度和接近度。 TCAS逻辑可以确定最小垂直机动，最小垂直机动为在最近接近点处，可实现的指定的未碰撞距离。其预测是基于飞行员的反应时间以及达到指示的垂直速率的加速度。此外，飞行员被训练为不基于TCAS交通信息进行横向机动，因为TCAS提供的目标方位达不到能让人足够信任的准确。因为控制器是（对于绝对位置数据），对于某些碰撞几何形状，可能难以从该相对位置的动态显示中选择正确的横向机动，尤其是当飞行员没有接受过相关培训时。

对于UAS应用，如果远程飞行员注意到RA并进行避让操作，那么这样做的延迟可能大于有人驾驶飞机。TCAS安全性[2]评估是否通过是基于TCAS对RA的迅速响应的预测，包括对初始RA的预测，以及对任何后续强化（例如“增加攀升”）或感知逆转（表1）的预测更快速有力的预测。对于UAS，如果通信延迟在识别事件（用于下行链路延迟）和操纵飞行器（用于上行链路命令延迟）之前增加时间，则延迟可能会大得多。在对这类延迟进行严格评估之前，UAS必须明确远程飞行员的任务分配和工作量、显示图像、培训要求和决策过程。

表1. 预期TCAS RA回应参数

TCAS RA阈值是否可以简单地扩大以补偿额外的延迟？这种方法对于线性碰撞可能会成功，但对于机动使受保护空域更晚遭遇碰撞的情况，警报时间不会受到影响。此外，为了在实现安全性与最小化来自充分分离的飞行器的烦扰警报之间提供一种理想化的平衡，需要设定TCAS的参数。较大的受保护空域将更可能在最小化烦扰警报的过程中遇到更多威胁，并且会丧失这种平衡。我们期望在以后的实验中寻找富有成效的改进。

TCAS RA可以由UAS交通工具自动执行吗？这个提议具有一定的吸引力，因为它消除了飞行员和飞行器之间的通信延迟；在RA和最近接近点的短暂但关键的时间间隔内，它消除对飞行员通讯的依赖；它消除了飞行员决策延迟和人为错误。安全评估需要考虑可能导致有风险性机动的两个错误来源。第一个是导致不正确RA的系统故障。第二个是气压测高误差，它会报告目标飞机的错误高度来“欺骗”TCAS逻辑。高度测量系统，尤其是在小型飞机的高度测量系统，具有明显的不准确性的。TCAS逻辑在一定程度上通过其垂直阈值的大小来解释这个错误；但最初TCAS批准运行的一个基本原则是飞行员通过显示屏提示的目标，并忽略任何看似有明显错误的RA操作，可以高概率来减少这种错误。如果UAS想要试图去替换成一个可以像飞行员一样“看到”目标的传感器，它必须要么让远程飞行员参与决策（否定上面提到的一些优点），要么开发并实施一个可以同时考虑 TCAS RA和“视觉”传感器输入的决策方法。

碰撞遭遇模型

当TCAS首次被考虑引入空域时，MITER建造了一个碰撞遭遇模型，它已成为全球类似模型的基础。该美国模型研究了来自各种终端空域位置的中度近距离双机相遇情况。对地面雷达数据进行插值和平滑处理来得到轨道，合格轨道对有以下几种方式：

• 几何的垂直特征以两架飞机的轮廓组合表示，选自：

o 水平

o 垂直

o 垂直逐渐水平

o 水平逐渐垂直

• 垂直速率的分布，包括从一种速率到另一种速率的转换的实际概率
• 垂直到水平和水平到垂直的转换分布
• 最近接近点（CPA）的三维点的水平和垂直分离
• 在CPA之前30秒以及CPA之后10秒，是否发生了高度交叉

• 相遇的高度区域（TCAS逻辑参数因高度而异）。

该模型与蒙特卡罗快速时间仿真模型一起用于评估每个版本的TCAS防撞逻辑。对于每个版本逻辑的评估，包括所有几何类和垂直分离（图1）的评估，需要模拟大量相遇模型。使用用于测量噪声的监控模型和响应于RA的机动的飞行员响应模型，需要重复每种碰撞，以及对使用和不使用TCAS的分离情况进行建模。由TCAS RA产生的任何机动都可以改变CPA的分离，需要记录分离。通过蒙特卡罗方法进行多次重复名义遭遇（nominal encounter）实验，从不同的分布中绘制变量的特定值。大量重复模拟实验为从大量可能组合中抽取了具有代表性样本。最后，对在空域中观察到的交通量的比例进行加权，得到最终结果。

下图表明如果垂直速率达不到600英尺／分钟，机动时间将会加倍

有人驾驶飞机中抽取的模型统计数据不可以直接扩展到UAS上。在某些重要方面会有所不同：


• 已经提出了许多类型的UAS任务[3]。其中一些可能包含与传统人为控制的飞行器非常不同的飞行路线，例如在一个封闭区域游荡或巡视。高度混合也可能与用于空域模型的高度混合不同，因此遇到的概率将落入不同的高度带。
• UAS飞行器的动力可从很多因素来观测[4]。其中一些与有人驾驶飞机很大不同，例如速度，水平或垂直机动性。一些UAS表现出垂直运动，或者盘旋。


一些UAS飞行器的爬升或下降性能有限。为了说明这些限制对碰撞避免的影响，图2显示了在0.25g加速度（与使用TCAS的有人驾驶飞机相同）下，以各种最大垂直速率爬升或下降并实现700英尺的垂直间距，从而达到水平飞行到垂直机动的时间。该间距是TCAS在非常高的高度（即高于FL410）使用的值，最后一个值（1500英尺/分钟）是TCAS逻辑预期的垂直速率。尽管不需要很大的间距来避免碰撞，但此间距值反映了可以允许气压测高误差出现。

图2. 有限攀高性能达到700英尺的时间

当将建模和模拟技术应用于UAS操作时，实验结果和基本假设一致。为了保证结果的真实性，必须指定特定的UAS系统概念，然后将其反映在模型中。一些主要问题是：

• UAS是否在所有方面都进行了远程驾驶，包括避免碰撞，或者它是否具有自主机动的能力？
• 飞行器故障情况是否存在可预测的路径，例如丢失的控制链路？
• UAS在设置回避机动变量方面是否可操作性，例如高度、重量、温度或飞行方式？

因为TCAS的设计逻辑必然涉及平衡碰撞保护和操作可接受性，遭遇模型已经成为TCAS设计的基础。（作一个类比，比如家庭烟雾探测器。如果它可以对烟雾和蒸汽更敏感，它可以在真正的火灾时提供额外的警告时间，但代价是正常烹饪时发出的许多错误警报可能是难以接受的。）对于TCAS，包括警告时间、加速度、垂直警报和分离阈值等的威胁检测参数，某种程度上是通过观察“正常”交通流量的测试结果而被选取，使不正确烦扰警报率保持相对低的水平。同时，检测参数必须可以高概率地为警报、机动以及避免实际碰撞提供足够的时间。在为UAS进行类似平衡时，仅为实际碰撞提供监控和警报是不够的。在免除警报系统的过度干扰情况下，必须实现UAS和有人驾驶飞机共存。

监控模型必须与UAS上使用的特定系统一致。 TCAS标准规定了其监控性能；飞行器尺寸或功率等限制可能会导致TCAS监控性能的差异。如果使用不同的天线技术，则可能出现视场的变化。必须对其进行建模，以免系统将某些碰撞（或某些碰撞的片段）判定为正常状态。该问题涉及UAS特定任务剖面的几何特征。

远程飞行员对TCAS RA的反应是人为因素专家需要研究的重要课题。UAS任何特定的操作都可能有多种影响因素，包括飞行员训练、经验、工作量、飞行动力学显示、导航、任务性能（例如地面监视）、数据链路通信，以及最后避免碰撞。显示器可能与有人驾驶飞机上的显示器不同，并且在任何事件下，不​​同情况意味着驾驶表现会有差异。

飞行员如何使用TCAS系统并如何对RA做出响应与他们在有人驾驶飞机上使用TCAS的经验有关。当首次使用TCAS，飞行员更可能超过或低于预期的垂直速率，经验能弥补这一点，使防撞技术更加成熟。对于UAS飞行员而言，表现好或差，取决于许多因素：显示、控制、驾驶UAS的经验，以及在没有实际的机载视觉场景，或在飞机运动时动态感知影响下进行机动的能力。

比起其他信息，如果飞行员忽视TCAS RA并以不同方式机动，将会非常危险。在配备TCAS的双机相遇中，相应的RA机动感知会被协调，按照显示图像来进行机动可以保证安全性。最近对TCAS RA逆转逻辑的评估[5]表明，无响应的飞机比响应飞机产生更高的风险比（即安全性更低）。

lt;

剩余内容已隐藏，支付完成后下载完整资料

资料编号：[17670]，资料为PDF文档或Word文档，PDF文档可免费转换为Word