Перейти к содержимому

Урок 26 из 43 · Модуль 3. Failsafe: реакции на отказы и организация безопасности

Mission Planner для технического персонала · Урок 26 из 43 · Модуль 3. Тюнинг и автономный полёт

Полная система аварийных реакций: батарея, потеря управления, отказ навигации, парашют — плюс организационные меры.

Настройка приёмника «на бумаге» ничего не гарантирует. Проверяйте RC-failsafe физически: со снятыми винтами выключите передатчик и посмотрите на реакцию.

Содержание

1. Цели урока

После этого урока вы будете понимать:

  • как рассчитать двухуровневые пороги батарейного failsafe
  • как настроить и проверить реакцию на потерю RC и GCS
  • какой приоритет имеют одновременно сработавшие отказы
  • организационные меры до, во время и после полёта
↑ К оглавлению

2. Failsafe: система реакций на отказы

Дерево отказов и типовые реакции. Все реакции переопределяются пилотом сменой режима

Дерево отказов и типовые реакции. Все реакции переопределяются пилотом сменой режима

Failsafe по батарее

Двухуровневая система.

Параметр Назначение
BATT_LOW_VOLT Напряжение первого порога, В
BATT_LOW_MAH Остаток ёмкости первого порога, мА·ч
BATT_FS_LOW_ACT Действие: 0 — ничего, 1 — LAND, 2 — RTL, 3 — SmartRTL/RTL, 4 — SmartRTL/LAND, 5 — Terminate, 6 — Auto DO_LAND_START
BATT_CRT_VOLT Напряжение второго (критического) порога
BATT_CRT_MAH Остаток ёмкости второго порога
BATT_FS_CRT_ACT Действие на втором пороге
BATT_LOW_TIMER Время, в течение которого напряжение должно быть ниже порога, с
BATT_FS_VOLTSRC 0 — сырое напряжение, 1 — с компенсацией просадки

Расчёт порогов для литий-полимерной батареи:

Номинал ячейки:        3,7 В
Полный заряд:          4,2 В
Разумный низкий:       3,5 В под нагрузкой
Критический:           3,3 В под нагрузкой
Абсолютный минимум:    3,0 В (дальше — деградация)
Для батареи 6S:
BATT_LOW_VOLT = 6 × 3,5 = 21,0 В
BATT_CRT_VOLT = 6 × 3,3 = 19,8 В
По ёмкости (безопаснее, если датчик тока откалиброван):
BATT_LOW_MAH = 30 % от BATT_CAPACITY
BATT_CRT_MAH = 20 % от BATT_CAPACITY
Text
Ёмкость надёжнее напряжения: Напряжение сильно зависит от тока, температуры и износа батареи. Если датчик тока откалиброван, задавайте пороги по остатку ёмкости (BATT_LOW_MAH, BATT_CRT_MAH) — они дают гораздо более предсказуемое срабатывание. Напряжение при этом оставьте как резервный порог.

Failsafe по потере радиоуправления

Параметр Значения
FS_THR_ENABLE 0 — выключено, 1 — RTL, 2 — Continue mission в AUTO, 3 — LAND, 4 — SmartRTL, 5 — SmartRTL/LAND, 6 — Auto DO_LAND_START
FS_THR_VALUE Порог PWM на канале газа, ниже которого считается потеря (обычно 975)
FS_OPTIONS Битовая маска дополнительных опций

Механизм: приёмник при потере связи либо перестаёт выдавать сигнал, либо выдаёт заранее заданное значение. Настройте передатчик так, чтобы при failsafe приёмник выдавал на канале газа значение ниже FS_THR_VALUE (например, 950 мкс при FS_THR_VALUE = 975).

Проверьте failsafe реально: Настройка приёмника «на бумаге» ничего не гарантирует. Проверка: снимите винты, армируйте аппарат, поднимите газ до 30 %, выключите передатчик. Автопилот должен зафиксировать failsafe и перейти в заданный режим. Это единственный способ убедиться, что цепочка «передатчик → приёмник → автопилот» работает.

Failsafe по потере наземной станции

Параметр Значения
FS_GCS_ENABLE 0 — выключено, 1 — RTL, 2 — Continue в AUTO, 3 — SmartRTL, 4 — SmartRTL/LAND, 5 — LAND, 6 — Auto DO_LAND_START
FS_GCS_TIMEOUT Таймаут потери heartbeat от GCS, с (по умолчанию 5)
Обязательно при полётах в GUIDED: Если управление ведётся из GUIDED (наземной станцией или компаньон-компьютером), а FS_GCS_ENABLE = 0, при потере связи аппарат зависнет в последней точке и будет висеть до разряда батареи. Для любых сценариев с GUIDED включайте GCS-failsafe.

Failsafe по EKF и GPS

Параметр Значения
FS_EKF_ACTION 1 — LAND, 2 — AltHold, 3 — Land even in Stabilize
FS_EKF_THRESH Порог дисперсии: 0,6 — строго, 0,8 — по умолчанию, 1,0 — мягко

Срабатывает, когда дисперсии оценок EKF превышают порог — то есть фильтр перестаёт доверять своим данным о положении.

Failsafe по отказу мотора

Для мультироторов с числом моторов более четырёх ArduPilot умеет продолжать полёт при отказе одного мотора.

Параметр Назначение
MOT_OPTIONS Битовая маска, бит 0 — обнаружение отказа мотора
FS_CRASH_CHECK Обнаружение краша: 1 — disarm при обнаружении
FS_VIBE_ENABLE Реакция на аномальные вибрации
Гексакоптер безопаснее квадрокоптера: Квадрокоптер при отказе одного мотора неуправляем. Гексакоптер и октокоптер сохраняют управляемость (с потерей управления по рысканию у гексы) и могут выполнить аварийную посадку. Для ответственных задач это весомый аргумент в пользу шести и более моторов.
↑ К оглавлению

3. Взаимные приоритеты

При одновременном срабатывании нескольких условий действует приоритет:

  1. Критический уровень батареи — приоритет выше всех.
  2. Отказ EKF.
  3. Потеря радиоуправления.
  4. Первый уровень батареи.
  5. Потеря наземной станции.
  6. Нарушение геозоны.

Пилот всегда может перехватить управление сменой режима с пульта — за исключением ситуации, когда пульт и есть источник отказа.

↑ К оглавлению

4. Парашют

Для тяжёлых аппаратов над людьми парашют обязателен по требованиям специальной категории EASA.

Параметр Назначение
CHUTE_ENABLED Включение системы
CHUTE_TYPE 0 — реле, 1 — сервопривод
CHUTE_SERVO_ON / _OFF Значения PWM
CHUTE_ALT_MIN Минимальная высота выпуска, м (ниже — не сработает)
CHUTE_DELAY_MS Задержка между остановкой моторов и выпуском
CHUTE_CRT_SINK Скорость снижения, при которой срабатывает автоматически
CHUTE_ALT_MIN: Парашют, выпущенный ниже минимальной высоты раскрытия, не успевает наполниться и лишь ухудшает ситуацию. Значение CHUTE_ALT_MIN должно соответствовать паспортным данным конкретной системы — обычно 15–30 м для лёгких аппаратов.
↑ К оглавлению

5. Организационные меры

Технические средства не заменяют организации полётов.

Перед выездом:

  • проверка NOTAM и зон ограничений на маршрут;
  • согласование при работе в контролируемом воздушном пространстве;
  • страховка гражданской ответственности (в ЕС обязательна для большинства сценариев);
  • проверка прогноза: ветер, порывы, осадки, температура.

На площадке:

  • определение зоны безопасности и её ограждение;
  • инструктаж всех присутствующих;
  • назначение наблюдателя за воздушной обстановкой при полётах за пределами прямой видимости оператора;
  • огнетушитель класса D или ведро с песком для литиевых батарей.

После полёта:

  • визуальный осмотр аппарата;
  • проверка температуры батареи;
  • скачивание и сохранение лога;
  • запись в журнал: время, условия, замечания.
Журнал полётов: Ведение журнала кажется бюрократией ровно до первого инцидента. Записи о наработке моторов, числе циклов батарей и замеченных мелочах («слегка вибрировал третий луч») позволяют предсказать отказ до того, как он произойдёт. Для коммерческой эксплуатации журнал требуется регламентом.
↑ К оглавлению

6. Практика

Задания выполняются в симуляторе SITL и не требуют реального аппарата. Выполните их до перехода к следующему уроку.

Задание 26.1. Настройка полного набора failsafe

Выполняется в симуляторе SITL, реальный аппарат не требуется.

  • Для гипотетического аппарата: 6S 16000 мА·ч, взлётная масса 6 кг, время полёта 25 минут — рассчитайте все пороги батарейного failsafe.
  • Настройте RC-failsafe и опишите процедуру проверки на земле.
  • Настройте геозону: радиус 500 м, потолок 120 м, действие «отталкивание».
  • Обоснуйте выбор FENCE_MARGIN.

Задание 26.2. Отказы в симуляторе

Выполняется в симуляторе SITL, реальный аппарат не требуется.

  • В SITL смоделируйте потерю GPS (SIM_GPS_DISABLE = 1) в режиме AUTO и опишите реакцию.
  • Смоделируйте разряд батареи (SIM_BATT_VOLTAGE) и проверьте срабатывание порогов.
  • Смоделируйте отказ мотора на гексакоптере (SIM_ENGINE_FAIL) и оцените управляемость.
↑ К оглавлению

7. Проверьте себя

Сформулируйте ответ своими словами, прежде чем сверяться со справочником ответов (последняя статья курса).

  1. Чем FENCE_ACTION = 2 отличается от FENCE_ACTION = 1 и когда какое предпочтительнее?
  2. Почему пороги по остатку ёмкости надёжнее порогов по напряжению?
  3. Как физически проверить работоспособность RC-failsafe?
  4. Что произойдёт при потере связи в режиме GUIDED, если FS_GCS_ENABLE = 0?
  5. Какое условие имеет наивысший приоритет при одновременном срабатывании нескольких failsafe?
  6. Почему гексакоптер считается безопаснее квадрокоптера при отказе мотора?
↑ К оглавлению

8. Чек-лист самопроверки

Урок освоен, если каждый пункт выполнен на практике:

  • Пороги батареи рассчитаны и заданы по ёмкости и напряжению
  • RC-failsafe проверен физическим выключением передатчика
  • GCS-failsafe включён при работе через GUIDED
  • Ведётся журнал полётов
Результат: все пункты выполнены — переходите к следующему уроку.
↑ К оглавлению

9. Что дальше

  • Предыдущий урок: 25. Геозоны: виртуальные границы полёта
  • Следующий урок: 27. EKF3: как автопилот определяет своё положение
  • Полный перечень тем — в статье «Содержание курса».
↑ К оглавлению
  • Четверг, 30 июля 2026