2 Studio delle avarie elettriche del sistema

2 STUDIO DELLE AVARIE ELETTRICHE DEL

SISTEMA

Per un moderno velivolo militare ad alte prestazioni con FCS/FBW la probabilità che si verifichi un guasto ad uno dei componenti con conseguenze catastrofiche deve essere minore di 1 ogni ore di volo [8]. Questi requisiti di affidabilità del sistema-aeroplano possono essere soddisfatti solo ricorrendo alla ridondanza dei componenti e dei sottosistemi in modo che il velivolo continui ad essere operativo anche in presenza di avarie di diverso tipo. Un sistema a molteplice ridondanza è definito n-Fail-Operative se è in grado di tollerare n guasti prima che ne sia compromessa l’operatività.

7 10

Le tipiche architetture in uso nel settore militare prevedono sistemi 1-Fail-Operative rispetto alle avarie idrauliche e 2-Fail-1-Fail-Operative rispetto a quelle elettriche (figura 2-1).

Figura 2-1 Flight Control System Fly-By-Wire con architettura 2FO (guasti elettrici) / 1FO (guasti idraulici.)

Nel presente lavoro si fa riferimento al FCS/FBW di un moderno velivolo militare da addestramento nel quale si usa la duplice ridondanza idraulica e la quadruplice ridondanza elettrica. Per quanto riguarda i componenti elettrici è prevista la quadruplice ridondanza perché la tecnica di monitoraggio impiegata per stabilire la validità del singolo segnale è quella del confronto fra i segnali stessi (cross-lane monitoring), preferibile rispetto ad un monitoraggio in linea (in-lane monitoring) perché più affidabile, pur comportando un aumento del numero dei componenti e quindi dei costi operativi e della complessità del progetto. Si consideri a tal proposito lo schema idraulico di figura 2-2 relativo ad un attuatore tandem per la movimentazione della superficie di alettone per il velivolo FBW suddetto.

Impianto 2 Impianto 1

L’attuatore è alimentato da due impianti idraulici indipendenti quindi risulta essere 1-Fail-Operative rispetto alle avarie idrauliche.

Dal punto di vista elettrico (comando alla servovalvola, valvole di controllo attuatore e trasduttori), l’attuatore è a quadruplice ridondanza, quindi risulta essere 2-Fail-Operative.

Nel caso di guasto ad uno dei due impianti idraulici, il Flight Control Computer (FCC) disinnesta la relativa valvola a solenoide (SOV) che consente l’attivazione della valvola di bypass (BPV) associata, permettendo così una movimentazione della superficie di controllo attraverso l’unità idraulica funzionante, senza intralcio da parte di quella in avaria (condizione Fail-Operative).

Se invece avviene la rottura di una linea elettrica, quest’ultima viene individuata ed isolata dal FCC, che procede poi con la compensazione del sistema, continuando ad operare con le tre linee rimaste attive (condizione 1 Fail-Operative). Analogamente, allorché viene individuata una seconda avaria elettrica, il FCC individua, isola e compensa il guasto e continua ad operare con due sole linee (condizione 2 Fail-Operative).

Per quanto concerne invece, il comportamento del sistema in presenza di un numero maggiore di avarie, è conveniente far riferimento all’albero dei guasti del sistema, mostrato in figura 2-3 nella pagina seguente [9].

Nel caso di guasto ai trasduttori LVDT del pistone (evento 4) oppure alla servovalvola DDV (evento 5), entrambe le valvole SOV vengono staccate e l’attuatore è posto in modalità Fail-Safe, nella quale una coppia di camere risulta corto-circuitata, mentre l’altra viene messa in comunicazione con lo scarico per evitare un blocco idraulico causato dalla asimmetria delle aree prementi. In modalità Fail-Safe l’attuatore può muoversi sotto l’azione delle forze aerodinamiche, ma nel passaggio da una camera all’altra il fluido incontra una forte resistenza idraulica perciò il moto risulta essere fortemente smorzato.

ATTUATORE FUORI CONTROLLO H1 BPV1 SOV1 ATTUATORE IN AVARIA FAIL-SAFE BPV2 SOV2 BPV1 SOV1 H2 SOV2 BPV2 FAILURE LVDT PISTONE FAILURE DDV FAILURE LVDT DDV FAILURE LFM DDV LVDT 1 LVDT 2 LVDT 3 COIL 1 COIL 2 COIL 3 LVDT 2 LVDT 1 LVDT 3 AND AND AND AND AND AND OR OR OR OR OR 4 × ×4 4 ×

1

₃

2

4

5

6

7

Se invece l’attuatore va in avaria e non è possibile by-passare le camere (evento 3), la manovrabilità dell’intero velivolo risulta compromessa, dato che l’attuatore risulta completamente “fuori controllo”. Ugualmente l’attuatore è “fuori controllo” nel caso in cui si perda l’uso di uno dei due impianti idraulici e non è possibile isolarne le relativa unità idraulica (eventi 1 e 2).Per quanto riguarda l’avaria alla servovalvola (evento 5), i trasduttori LVDT ed il motore elettrico LFM sono dispositivi a quadruplice ridondanza e le loro eventuali avarie vengono rilevate per confronto, per cui un loro guasto (rispettivamente eventi 6 e 7) avviene solo se si rompe una combinazione qualsiasi di tre elementi su quattro.

Nella presente trattazione si sono studiate esclusivamente le avarie al LFM e quindi le possibili avarie ai circuiti di alimentazione delle bobine. In particolare, il circuito di alimentazione della singola bobina può rompersi (figura 2-4) a seguito di:

• un’avaria di circuito aperto;

• un’avaria di cortocircuito;

• un’avaria di Hard-over8.

Il modello realizzato contempla solo la failure di circuito aperto (§2.1) e di cortocircuito (§2.2). Esso funziona se sono presenti guasti al più su due linee elettriche, cioè si blocca se vengono introdotti guasti su tre o più linee. D’altro canto anche il sistema reale si considera fuori controllo se sono presenti guasti su più di due linee elettriche.

8

La failure di Hard-over consiste in un guasto del servo-amplificatore in cui il segnale di tensione satura al suo valore massimo non consentendo il controllo della corrente dell’avvolgimento interessato

OR FAILURE CIRCUITO APERTO FAILURE CORTO CIRCUITO FAILURE HARD OVER COIL

Figura 2-4 Albero delle failure elettriche.

2.1 Avaria di circuito aperto

L’avaria di circuito aperto in una generica bobina consiste in un guasto che può essere assimilato ad un’interruzione del circuito elettrico come illustrato nella figura 2-5. LFM/DDV V_com 1 V_com 2 V_com 3 V_com 4

Quando avviene questo tipo di failure si ha la cessazione della circolazione di corrente nell’avvolgimento interessato con un transitorio rapidissimo.

Nella modellizzazione del comportamento del sistema si ammette che tale corrente si annulli in un tempo trascurabile e che la dinamica dei tre alimentatori rimasti attivi sia descritta dal seguente sistema (si ipotizza che l’interruzione del circuito si sia verificata alla bobina l-esima):

(

)

∑

Una situazione del tutto analoga si verifica se una failure di circuito aperto occorre ad una seconda bobina.

Al modello LFM_dynamics.mdl (§1.3), sviluppato in ambiente Simulink®, sono stati aggiunti due subsystems denominati 1 CA e 2 CA, situati nel sistema

Current dynamics, per risolvere la dinamica dei circuiti in presenza rispettivamente di una e due failure di circuito aperto (figure 2-6 e 2-7).

Questi sottosistemi, strutturalmente simili a quello riferito alla Normal operation

che è stato descritto nel § 1.3, si diversificano solamente per il numero di equazioni, due per la failure con due circuiti aperti e uno per la failure con un solo circuito aperto.

La scelta dell’attivazione dei subsystems viene fatta attraverso blocchi di tipo

enable, i quali raccolgono l’informazione del numero di failure attivate attraverso blocchetti di tipo Data Store CAj che assumono valore zero oppure

uno rispettivamente se la bobina j-esima è in Normal operation oppure in failure

(figura 2-7).

La presenza di tre function permette di trasformare l’informazione in un segnale maggiore o minore di zero in modo tale da attivare il blocco di tipo enable

Figura 2-6 Modello LFM_dynamics

Nel blocco di attivazione della failure, riportato nella figura 2-8 e compreso all’interno del sistema Electrical Failure (vedi figura 2-6), sono presenti quattro manual switch attraverso i quali è possibile decidere lo stato di failure delle quattro bobine.

Figura 2-8 Blocco di attivazione delle failure di circuito aperto.

Allorché si attiva la failure su un solo avvolgimento le variabili Lij, k xb s e VCOM

diventano gli ingressi del sottosistema 1 CA riportato in figura 2-9; una volta all’interno, si ha una selezione dei coefficienti di induttanza Lij, relativi al

circuito sul quale è stata attivata l’avaria, attraverso l’utilizzo in cascata di un blocco Bus Selector e di una chart realizzata con il toolbox Stateflow appartenente alla libreria di Simulink®.

Figura 2-9 Subsystem 1 CA.

Nella parte bassa della figura si noti la presenza di un altro blocco Stateflow necessario per l’attivazione delle failure miste con un circuito aperto ed un cortocircuito che saranno analizzate nel § 2.2, realizzata mediante l’utilizzo di un vettore di stato denominato VSj.

L’uscita del sistema è costituita dalla derivata delle correnti delle coil rimaste attive che viene successivamente integrata (vedi figura 2-7).

Nella figura 2-10 si riporta il sottosistema 2 CA la cui struttura è simile a quella descritta in precedenza salvo per le dimensioni implementate e l’assenza del

vettore di stato VSj dovuta al fatto che il sistema è 2-Fail-Operative rispetto alle

avarie elettriche.

2.2 Avaria di cortocircuito

Nel caso di cortocircuito ad una bobina, il solenoide in avaria può essere assimilato ad un circuito elettrico resistivo ed induttivo privato dell’alimentatore di tensione come illustrato in figura 2-11.

LFM/DDV

V_com 1

V_com 2

V_com 3

V_com 4

Figura 2-11 Schema rappresentativo della failure di cortocircuito della generica bobina.

Una volta instauratasi la failure, la corrente nel solenoide non evolve più in accordo con la differenza di potenziale erogata dal servo-amplificatore, ma risente solamente degli effetti delle tensioni mozionali e trasformatoriche introdotte in § 1.2.2. Nel circuito si genera quindi una corrente di disturbo ogni qualvolta si verifica una variazione del flusso magnetico concatenato.

Ipotizzando una failure di cortocircuito nella bobina l-esima, il sistema di equazioni differenziali che caratterizza la condizione di Normal Operation (1.29) diviene pertanto il seguente:

4 1 0 k C l l lk b s k di R i L K x dt = +

∑

(

)

∑

Una situazione del tutto analoga si verifica se una failure di cortocircuito occorre ad una seconda bobina.

Nel modello sviluppato in ambiente Simulink® la tensione di alimentazione viene annullata sui solenoidi in cortocircuito attraverso l’inserimento di una chart Stateflow® all’interno dei blocchi controllo corrente (§ 1.3) nel sottosistema NO, in caso di una o due failure di CC attive, oppure nel sottosistema 1 CA, in caso di failure miste (una bobina in CA e una in CC). In figura 2-12 è rappresentato il blocco controllo corrente per il generico avvolgimento.

Analogamente a quanto visto per la failure di circuito aperto, nel blocco di attivazione della failure, riportato nella figura 2-13 e compreso all’interno del sistema Electrical Failure (vedi figura 2-6), sono presenti quattro manual switch attraverso i quali è possibile decidere lo stato di failure delle quattro bobine.

Figura 2-13 Blocco di attivazione delle failure di cortocircuito.

Queste charts hanno come input i valori delle tensioni di alimentazione VINj

unitamente a blocchetti di tipo Data Store CCj, mentre per quanto riguarda

l’uscita Vj, essa assume un valore uguale a VINj nel caso di Normal Operation

Il blocco di attivazione della failure di cortocircuito è compreso all’interno del sistema Electrical Failure e la sua struttura è analoga a quella utilizzata per la failure di circuito aperto e descritta nel paragrafo precedente, salvo ovviamente il valore utilizzato per la variabile CCj che è zero oppure due rispettivamente se

la bobina è in Normal Operation oppure in failure.

Le potenzialità di Stateflow® ne rendono conveniente l’applicazione nella simulazione di eventi che evolvono con passaggi tra stati diversi; tra l’altro, l’esclusione degli stati non attivi, consente di risparmiare preziose risorse di calcolo. Ulteriori approfondimenti sull’uso di Stateflow® sono riportati in Appendice F.

Nelle figure seguenti 2-13 e 2-14 si riportano i listati relativi alle condizioni di Normal Operation e di failure.

Figura 2-14 Chart Normal Operation Figura 2-15 Char tFailure cortocircuito

Nel blocco visualizzato nelle figure 2-15 e 2-16 si possono vedere i due stati possibili con le relative condizioni per il passaggio da uno stato all’altro. La visualizzazione dello stato attivo è caratterizzata dal colore blu, mentre lo stato inattivo rimane di colore nero consentendo all’operatore una chiara lettura.

Figura 2-16 Chart Stateflow ® con Normal Operation attiva.

Per quanto riguarda la condizione di failure mista, essa richiede la presenza nel modello del già citato vettore di stato VS contenente l’informazione di quale coil è in circuito aperto e quale in cortocircuito.

Dal momento che la failure mista si manifesta con un circuito aperto ed un cortocircuito su due bobine diverse, i valori assunti dalle componenti di VS possono essere 0, 1 oppure 2 (vedi figura 2-17).

Figura 2-18 Componenti del vettore di stato

Allorché la componente VSj ha valore zero, sulla bobina j-esima non sono

uguale a uno l’avvolgimento cui si riferisce è in circuito aperto e attraverso il decisionale di figura 2-18 si elimina la sua dinamica in corrente.