Sicherheit von FBL Systemen

[the2nd]

AW: Sicherheit von FBL Systemen

Vielleicht sollte man zur Klärung mal die Technik etwas beleuchten, vielleicht liest ja einer der FBL Hersteller mit und macht sich mal Gedanken, da dieses Verhalten in anderen sicherheitsrelevanten Anwendungen von Regelkreisen doch wefolgreich schon lange beseitigt ist.

Wenn hier jemand sagt, man kann ja den Heli ausschalten, dann überschätzt er sich, unterschätzt die Schrecksekunde und das Beschleunigungsvermögen eines durchgehenden Helis.

In F3C fliegen wir die Schwebefiguren in 9m Abstand, bis zu 7m hoch vor uns.

Wenn ich an unserem Platz zum ßben schon 10m nehme und jemand neben mir steht, dann bekommt er (zu Recht) bei einem 800er Angst.
Da liegst Du nämlich genau in dem Punkt zu dem es im Zweifel beim Abkippen/Beschleunigen hingeht.

Das Problem in der Beschreibung zunächst:

Ein FBL ist ein Zweiachs PID wobei die Achsen folgendermassen gerechnet werden

Y= P*e + I* Integral (e) dt + D* Differential(e) dt

e ist die Differenz aus dem aufintegriertem Sollwinkel des Sendersignals und dem Istwinkel des Helis in der Achse (welches das FBL erstaunlicherweise somit kennt)

Y(Nick) und Y(Roll) sind die Stellsignale für Servo Roll und Servo Nick.

In einem mechanisch gemischtem System ist hier Schluss und die Signale und die Regelung beeinflusst Pitch nicht.

In dem 120er System (oder 90er oder 140er) ist es anders.

-2- folgt

Also jetzt kann zumindest ich nicht mehr mithalten. Das ist mir zu techisch.

Aber das ein FBL den Istwinkel des Helis auf beiden (bzw. 3 wenn man das Heck mit rein nimmt!?) Achsen kennen muss sollte ja klar sein oder? Wenn ich z.B. meinen BL in der Hand laufen lasse und ihn versuche mit der Hand (ohne Steuerbefehle der Funke) über Roll oder Nick zu drehen hält das FBL dagegen. Und genau da müsste doch der Ansatz sein um eine Logik einzubauen die das beschriebene Verhalten verhindert oder? Das wurde hier ja glaube ich auch schon vorgeschlagen. Wenn der Istwinkel zu weit (und zu lange?) vom Sollwinkel abweicht kann ja irgendwas nicht stimmen. Kein Wind oder sonstiges sollte einen 3D Heli um mehr als ein paar Grad von der gewünschten Lage abbringen können meine ich. Und wenn man dann vielleicht noch einen Beschleunigungssensor mit einbezieht sollte doch eine Fehlfunktion (nicht des FBL) des Helis erkannt werden können und ein Failsafe aktiviert werden können. Oder sehe ich das falsch?

[Taumel S.]

AW: Sicherheit von FBL Systemen

weil sie nicht wissen kann, was die Ursache dafür ist

Drum sagte ich ja, die Servos müssten es über die Bus-Leitung dem Stabi mitteilen. Das ist nicht so schwierig.

[the2nd]

AW: Sicherheit von FBL Systemen

Was du dir vorstellst ist kein "zukünftiges Feature", sondern naives Wunschdenken!

Wenn ein Servo aussteigt und dabei in eine Endlage fährt (was gerade bei den billigen Blade-Linear-Servos oft passiert, weshalb die Blade-User sich besonders oft über dieses Problem beschweren), dann hat das FBL-System keine andere Option als:
Die Lage des Helis über Nick und Roll stabilisieren (was seine Aufgabe ist), was aber unweigerlich dazu führen muss, dass auch die anderen Servos in Endlage gefahren werden müssen, d.h der Heli beschleunigt mit max. Pitch.

Eine andere Option gibt es nicht, denn jede andere Servostellung würde zum permanenten Flippen des Helis führen.

Mir ist eine ähnliche Situation mit einem Microbeast passiert, als am 450er ein Taumelscheibenservo einfach bei relativ viel Pitch (aber nicht im Endanschlag) stehen blieb.
Das Flugverhalten ist extrem verwirrend, weil das Stabi natürlich bei jeder Steuerbewegung rein regelt und der Heli dadurch unweigerlich immer wieder in einen schwer kontrollierbaren Steigflug übergeht.

Die Stabi kann so eine Situation überhaupt nicht retten, weil bei einer Taumelscheiben-Anlenkung mit 3 Servos jedes einzelne Servo für die Steuerung unverzichtbar ist!
Beim Stehenbleiben eines einzelnen Servos bei etwas positiv Pitch gäbe es theoretisch noch die Option, den Heli durch Drosseln der Rotorkopf-Drehzahl zu retten, aber das kann die Stabi nicht, weil sie nicht im Motorkreis mit regelt und weil sie nicht wissen kann, was die Ursache dafür ist, dass die Korrekturen nicht korrekt ausgeführt werden.

Solange es keine redundante Ansteuerung der Taumelscheibe gibt muss man einfach damit leben, dass der Heli beim Ausfall eines Taunelscheibenservos nur noch bedingt kontrollierbar ist.

Wie schon mehrfach geschrieben. Das FBL soll den Heli gar nicht retten. Es soll nur verhindert werden dass beim Ausfall das FBL die Situation unnötigerweiße gefährlicher macht als sie bereits ist. Und wenn ich die Wahl habe ob ein Heli sich unkontrolliert über Roll und/oder Nick dreht oder mit voll Pitch in irgend eine Richtung beschleunigt dann nehme ich lieber das drehen. Denn dann legt er im Normalfall viel weniger Weg zurück....

[the2nd]

AW: Sicherheit von FBL Systemen

Ich habe mal viele Wochen versucht eine vermeintliche FBL Fehlfunktion die keine wahr zu ergründen und zu beheben. Es wahr nicht nur die Zeit und das Geld ihr glaubt gar nicht auf was für Ideen man kommt wenn der Fehler nur sporadisch da ist . Das beginnt dann mit einer Checkliste und zu letzt war es der Zufall der zur Hilfe und zur Beseitigung half .

Sorry aber was hat das mit dem eigentlichen Thema zu tun?

[Manfred]

AW: Sicherheit von FBL Systemen

Was du dir vorstellst ist kein "zukünftiges Feature", sondern naives Wunschdenken!

Wenn ein Servo aussteigt und dabei in eine Endlage fährt (was gerade bei den billigen Blade-Linear-Servos oft passiert, weshalb die Blade-User sich besonders oft über dieses Problem beschweren), dann hat das FBL-System keine andere Option als:
Die Lage des Helis über Nick und Roll stabilisieren (was seine Aufgabe ist), was aber unweigerlich dazu führen muss, dass auch die anderen Servos in Endlage gefahren werden müssen, d.h der Heli beschleunigt mit max. Pitch.

Eine andere Option gibt es nicht, denn jede andere Servostellung würde zum permanenten Flippen des Helis führen.

Mir ist eine ähnliche Situation mit einem Microbeast passiert, als am 450er ein Taumelscheibenservo einfach bei relativ viel Pitch (aber nicht im Endanschlag) stehen blieb.
Das Flugverhalten ist extrem verwirrend, weil das Stabi natürlich bei jeder Steuerbewegung rein regelt und der Heli dadurch unweigerlich immer wieder in einen schwer kontrollierbaren Steigflug übergeht.

Die Stabi kann so eine Situation überhaupt nicht retten, weil bei einer Taumelscheiben-Anlenkung mit 3 Servos jedes einzelne Servo für die Steuerung unverzichtbar ist!
Beim Stehenbleiben eines einzelnen Servos bei etwas positiv Pitch gäbe es theoretisch noch die Option, den Heli durch Drosseln der Rotorkopf-Drehzahl zu retten, aber das kann die Stabi nicht, weil sie nicht im Motorkreis mit regelt und weil sie nicht wissen kann, was die Ursache dafür ist, dass die Korrekturen nicht korrekt ausgeführt werden.

Solange es keine redundante Ansteuerung der Taumelscheibe gibt muss man einfach damit leben, dass der Heli beim Ausfall eines Taunelscheibenservos nur noch bedingt kontrollierbar ist.

Na ja ,ich sehe das nicht so eng weil es am Anfang immer ein Wunschdenken und eine Idee gibt.

[Manfred]

AW: Sicherheit von FBL Systemen

Sorry aber was hat das mit dem eigentlichen Thema zu tun?

Das zeigt einfach auf wie schwer es werden kann ein FBL Problem zu lösen und einen Heli dazu bewegen das er sauber fliegt . Andere hätten den Heli sicher entsorgt .
Ich bin aber der Meinung wenn es einfach ist kann es jeder und macht keinen Spaß.

[T-Rex-EN]

AW: Sicherheit von FBL Systemen

= P*e + I* Integral (e) dt + D* Differential(e) dt



e ist die Differenz aus dem aufintegriertem Sollwinkel des Sendersignals und dem Istwinkel des Helis in der Achse (welches das FBL erstaunlicherweise somit kennt)



Y(Nick) und Y(Roll) sind die Stellsignale für Servo Roll und Servo Nick.

Seit wann gebe ich mit den Sender einen Sollwinkel vor? Ich dachte ich gebe eine Drehrate vor!?
Oder verstehe ich Dich falsch?

[parkplatzflieger]

AW: Sicherheit von FBL Systemen

Meine Frage ist jetzt, weiß jemand ob das bei allen aktuellen FLB Systemen so ist? Nicht nur das es gefährlich werden kann. Es geht vermutlich auch mehr kaputt wenn der Heli beim Servo Ausfall so stark beschleunigt und in den Boden rammt.

Ich hatte zweimal so einen Servoausfall an der TS. Das war mit dem Microbeast,
weil die Ansteuerfrequenz zu hoch eingestellt war. Man darf sich auf die Angaben
von Savöx nicht verlassen ....

Wie dem auch sei, ich hatte also genau den befürchteten Zustand. Damals war
ich noch relativer Anfänger und mit der Situation deutlich überfordert. Aber:
Das Beast hat versucht den Heli in Position zu halten und steuern war prinzipiell
noch möglich. Im nachhinein würde ich behaupten, dass der Schaden am Heli
sogar geringer war, als ohne Beast. Je nachdem wie sich die Situation entwickelt, wird man sich früher oder später dazu entschliessen Hold zu ziehen
und den Heli runter zu bringen. Spätestens dann schägt sich der Effekt ins Gegenteil um und die Steuerbewegungen des fbl-System bauen die Energie
(zu?) schnell ab.

[Michael62]

AW: Sicherheit von FBL Systemen

-2-

kurzer Einwurf : Integral der Drehrate = Sollwinkel
Differential des Sollwinkels = Drehrate


Bei einem mechanisch gemischten System passiert nun folgendes beim S ervoausfall

e(Roll/Nick) je nachdem welches ausfällt steigt sehr schnell an, sobald irgend ein S ignal vom Sender eingesteuert wird, Y(R oll/Nick) geht sofort gegen Anschlag, da der Therm Integral(e) dt nicht mehr abgebaut wird.

Das spielt aber keine Rolle, da das Servo darauf eh nicht reagiert.


Bei einem 120/90/140 er System findet nach der Ermittlung von Y(Roll) und Y(Nick) eine Transformationsrechnung statt, in der Y1,Y2 und Y3 aus den beiden so ermittelt werden, dass (im Prinzip bei 120 Nick) 1/2 Y Nick auf Y1 und -Y Nick auf Y2 und Y3 aufgeschaltet wird (die genaue Transformation kann man nachgoogeln)

Wenn nun eines der Servos nicht reagiert, dann wächst e und Integral(e) dt sofort gegen Max und steuert über die Transformationsrechnung die restlichen beiden Servos gegen Maximum/-Maximum.

Wie bei einem Dreipunkttisch, der an einer Stelle festhängt, führt das dazu, dass Pitch eingesteuert wird, in der Höhe von maximal 1/2 Rollrate.

Im Klartext, der Heli kippn nicht nur in eine Richtung ab, sondern beschleunigt (bei 6 Grad Scwebepitch und 10 Grad zyklisch max ) auch noch mit 11 Grad Pitch und volle Kopfdrehzahl.

Das ist das, wo die Leute in den Youtube Videos sagen "was war das denn jetzt"

Passiert beim Paddelsystem nicht, warum erkläre ich hier erstmal nicht.

Muss das nun sein?

In der Werkzeugmaschinenindustrie, den PIDs für kritische Anwendungen u.ä. Ist seit langer Zeit eine Schleppfehlerüberwachung gegen einen H ysteresewert Standard.

Der Grundgedanke ist einfach.

Der maximale Wert von e in einem eingestelltem System kann das Maximum von 1/I, 1/P, 1/D sein, da anderenfalls eine Erhöhung von e das System aus dem linearen Bereich von Y drängt.

Werte von e oberhalb dieses können somit im Normalbetrieb nicht auftreten.

Man nimmt somit diesen (oder wenn man der Mathematik nicht glaubt) einen etwas höheren Wert von e und begrenzt e gegen diese Hysterese mit einer Fallenfunktion, welche hier eingreift, sobald e in den unzulässigen Bereich kommt.

Nun, in einer Werkzeugmaschine leitet man an der S telle eine sichere Notbremsung ein damit niemand verletzt wird, das geht hier s hlecht.

Aber

Wenn das System aus der e-Grenze herausgekommen ist, dann wissen wir, dass entweder Servos, Sensoren oder etwas anderes verrückt spielt.

In dem Falle muss man nun konsequent I=0 und D=0 setzen und die Berechnung von e derart stoppen, dass delta(ist) auf Null gesetzt wird.

Nun hängt der "restfunktionierende" Hubi an dem Knüppelaggregat der Fernsteuerung ohne Regeleingriff. Er fliegt sich dann so (bei defekten Sensoren) wie mit einer Kopfempfindlichkeit gegen Null, und im Falle eines Servodefektes, so, dass die Reststeuermöglichkeiten zur Verhinderung von Personenschäden da sind.

Für diejenigen, die Pseudocode verstehen:


.... Einstieg des zeitzyklischen Interrupts des PID:
e= soll-ist*korr
If (e>emax || e< -emax)
{ korr=0 }

... PID berechnung, Im Term I und D mit korr multipliziert

...

Transformation

...

Servoausgabe

If (korr==0 ) LogeintragSchreiben()

So jedenfalls ungefähr und der Spuk ist korrigiert.

Im Fehlerfall zuckt der Heli nun nur kurz auf Pitch und Roll und anschliessend sind die Servos on der alten Lage und der Fehler im LOG.

Das Problem des Vibrationsabkippens ist an der Stelle damit auch gleich beseitigt, da e den S ensorfehler im Vibrationsfalle mit enthält.

Da ich auf dem G ebiet der FBLs kein Experte bin, müssen sich das die Hersteller selber mal durchdenken.

[TobiMPunkt]

AW: Sicherheit von FBL Systemen

Hey Michael,

vielen Dank für Deinen Beitrag!

Ist toll geschrieben und wenn sich der Leser nicht gleich abgeschreckt fühlt auch von Leuten die nicht täglich mit Regelkreisen zu tun haben gut zu verstehen!

Gibts von mir von technischer Seite gar nix hinzuzufügen, das Beispiel mit der Schleppfehlerüberwachung ist echt gut. Das ist ja eine relativ überschaubare Methode und wird ja an ganz vielen Stellen eingesetzt. Ich kenne das aus Drehzahlregelungen für elektrische Antriebe wo es nicht unbedingt vor Personenschäden schützen soll aber vor ßberlast der Umrichter (im Modellbau altdeusch auch Fahrtenregler genannt.... )

Und diese auf Regelungsebene greifenden Methoden haben ja gerade den Charme Fehler diagnostizieren zu können ohne für jeden Fehler einen extra Sensor oder ein extra Signal haben zu müssen.
Der Clou einer intelligenten Fehlererkennung ist ja gerade aus den für den Normalbetrieb notwendigen Sensoren die Informationen über den Fehler zu ziehen. Mit Zusatzsensorik ist das was für Anfänger....
Es gibt Bereiche des täglichen Lebens da werden mit ca. 20 Funktionsensoren die man eh für den Betrieb des Systems benötigt ca. 600 Fehlerzustände diagnostiziert, ohne einen einzigen Zusatzsensor für die reine Fehlererkennung!

Man darf an dieser Stelle auch nicht Redundanz mit Plausibilisierung gleichsetzen. Redundanz =! Plausibilisierung

D.h. diese Möglichkeiten spielen sich rein auf der Software / Firmwareebene ab, kein FBL Hersteller sollte dafür seine Hardware umbasteln. Das wäre für mich erst der überübernächste Schritt.

Und um wieder zum Modellheli zu kommen:

Lassen wir mal die Sicherheitsaspekte weg. Würde sich nicht jeder von Euch freuen wenn eine intelligente Funktionalität den Heli im Fehlerfall auch besser schützen würde? Mit dem netten Nebeneffekt das auch die Sicherheit der Personen steigt?

Also ich würde nicht meckern wenn das FBL System statt den Heli einzubomben ihn nur normal abstürzen lässt.... Spart ja auch Geld.

Aber es gibt ja hier nun ehrlicherweise auch Berichte nach denen das FBL System gar nicht so dumm agiert hat. Wieviel von all dem philosophierten da drinsteckt wissen wir ja leider nicht. Vielleicht mehr als wir unterstellen. Wäre echt schön wenn ein Stabihersteller hier mal ein paar Sachen verraten würde ohne natürlich sein know how auszuplaudern....

Also los, traut Euch!

In diesem Sinne, Danke für die interssante Diskussion!

[TobiMPunkt]

AW: Sicherheit von FBL Systemen

Ehrlich, vor dem Hintergrund des aktuellen Leistungswahns finde ich diese Diskussion etwas sinnlos.

Erst vor dem Hintergrund des aktuellen Leisungswahns wird diese Diskussion sinnvoll!

Vor 10 Jahren mit einem für heutige Verhältnisse schwachen Verbrennerheli würde ich auch nicht diese Diskussion führen. Wenn ich aber sehe welche Leistungen heutige 12s und 14s Systeme haben dann hätte ich schon ganz gerne das die Hersteller sich Gedanken machen Fehler zu erkennen und möglichst so abzufangen das zumindest keine (unnötig große) Gefahr für die Menschen besteht. Restrisiko gibts immer, sonst wäre es auch langweilig...

Ich sag mal so: Jeder Standventilator in D muss ein Schutzgitter haben um ihn verkaufen zu dürfen, aber 160 cm Rotoren mit 14s Antrieb dürfen kreuz und quer durch die Luft zwirbeln...
Wenn wir uns nun keine Gedanken machen dann wird bei nächstbester Gelegenheit (nächste Schlagzeile in der Bild) irgendein Beamter auf die Idee kommen da was vorzuschreiben. Kommen wir dem also lieber zuvor. Schützt uns und wem das egal ist dem schützt es wenigstens den Geldbeutel....

[the2nd]

AW: Sicherheit von FBL Systemen

Vielen Dank für die sachlichen Beiträge.

Leider kann ich nicht beurteilen wie richtig oder falsch das geschriebene ist. Aber so wie ich es verstanden habe sollte es ja eine Firmware Geschichte sein und prinzipiell mit jedem aktuellen FBL zu realisieren sein. Wenn das so ist frage ich mich warum das nicht bereits geschehen ist bzw. wie ich denn als Kunde herausfinden kann ob es nicht vielleicth schon implementiert ist. Für mich wäre das u.a. auch ein Entscheidungskriterium für den Kauf eines FBL.

Und was ich mich gerade allgemein frage. Gibt es sowas wie einen TßV für Heli/FBL Systeme? Oder müsste eine solche Fehlererkennung nicht durch GS oder CE vorgeschrieben sein? Wenn es wirklich nur ein Stück Software ist die implementiert werden muss fände ich es um so schlimmer wenn es nicht vorgeschrieben ist und dadurch mal jemand zu Schaden kommen würde....

[parkplatzflieger]

AW: Sicherheit von FBL Systemen

Gibt es sowas wie einen TßV für Heli/FBL Systeme?

Hossa! Ich bin schwer dafür, das einzuführen. Endlich wieder ein Instrument
zur Regulierung .... ähh Schikanierung. Braucht man dann auch eine
Betriebserlaubnis? Ja, kauft den RTF-Blade, aber ihr dürft nix dran ändern,
denn sonst --> TßV. Heli selbst zusammen geschraubt? ===> TßV!
Heli nach Crash repariert? Ja, aber nur mit Originalteilen! Alle 2 Jahre TßV?

Mann, mann, mann. Und warum? Weil fbl-Systeme bei Servoausfall gefährlich
werden? Ein Heli ist per se gefährlich! Kommt jetzt auch noch jemand auf die
Idee, dass es gefährlich ist, wenn bei Heckservoausfall auf einmal das Heck stark
beschleunigt zu drehen beginnt? Was soll der Heli dann automatisch machen?
Motor abstellen?

Die Kaufentscheidung daran festmachen, wie sich ein ein System bei Servoausfall
verhält? Kauft man auch ein Auto in Abhängigkeit vom Ausdehnungsverhalten
der Airbags?

Lasst mal die Kirche im Dorf. Eigentlich ist doch schönes Wetter, oder?

[Taumel S.]

AW: Sicherheit von FBL Systemen

Kauft man auch ein Auto in Abhängigkeit vom Ausdehnungsverhalten der Airbags?

Es soll tatsächlich Leute geben, die kaufen lieber Autos mit 7 Airbags statt nur mit 1.
Ich gehöre nicht dazu. Ich mach mir eher Sorgen, dass der dicke Bleiakku bei einem Unfall von hinten nach vorne kommt.

Aber im Ernst, ein zukünftiges Elektrostabi sollte/wird zukünftig schon mehr können als nur Heading Lock auf allen Achsen.

[the2nd]

AW: Sicherheit von FBL Systemen

Hossa! Ich bin schwer dafür, das einzuführen. Endlich wieder ein Instrument
zur Regulierung .... ähh Schikanierung. Braucht man dann auch eine
Betriebserlaubnis? Ja, kauft den RTF-Blade, aber ihr dürft nix dran ändern,
denn sonst --> TßV. Heli selbst zusammen geschraubt? ===> TßV!
Heli nach Crash repariert? Ja, aber nur mit Originalteilen! Alle 2 Jahre TßV?

Mann, mann, mann. Und warum? Weil fbl-Systeme bei Servoausfall gefährlich
werden? Ein Heli ist per se gefährlich! Kommt jetzt auch noch jemand auf die
Idee, dass es gefährlich ist, wenn bei Heckservoausfall auf einmal das Heck stark
beschleunigt zu drehen beginnt? Was soll der Heli dann automatisch machen?
Motor abstellen?

Die Kaufentscheidung daran festmachen, wie sich ein ein System bei Servoausfall
verhält? Kauft man auch ein Auto in Abhängigkeit vom Ausdehnungsverhalten
der Airbags?

Lasst mal die Kirche im Dorf. Eigentlich ist doch schönes Wetter, oder?

Bei einem Gerät das so gefährlich sein kann wie ein großer Heli würde ich persönlich schon die Sicherheitsfeatures mit in die Kaufentscheidung einfließen lassen.

Das mit dem TßV war vielleicht nicht das beste Beispiel. Es geht mir ja nicht darum das jeder den Heli zum TßV bringen soll sondern nur um das gefährliche Verhalten über das wir hier diskutieren. Wenn eine ordentliche Fehlerbehandlung beim Servoausfall "nur" ein entsprechendes Softwarefeature ist und dieses gefährliche Verhalten dadurch unterbunden werden kann fände ich es sinnvoll wenn man als Kunde zumindest erkennen könnte ob ein FBL es entsprechend unterstützt. Deswegen habe ich direkt danach ja auch CE/GS als ßberlegung angeführt. Ich hab von dem ganzen Thema keine Ahnung deswegen hab ich gefragt.

Und ich möchte noch mal betonen das ich die ßberlegungen immer in der Annahme anstelle das FBLs von großen Helis sich genauso verhalten wie das von mehreren beobachtete Verhalten von Mini Helis wie MCPX BL.

Jemand der noch nicht selbst gesehen hat wie schnell der Heli durch dieses Verhalten auf einmal beschleunigen kann versteht vielleicht nicht warum ich das Thema so wichtig finde. Ich denke bei einem Paddelheli gibt es keinen Ausfall der ähnliches Verhalten hervorruft.

Vielleicht sollte ich einfach weiter Paddelhelis fliegen.....