Verfahren zur Fehlererfassung eines im Tragflug an einem Trägerflugzeug angekoppelten, unbemannten Flugkörpers sowie unbemannter Flugkörper

Abstract

 Ein Verfahren zur Fehlererfassung bei einem Systemtest eines im Tragflug an einem Trägerflugzeug (2) angekoppelten, unbemannten Flugkörpers (1), wobei der Flugkörper (1) einen zentralen Bordcomputer (30), auf dem eine in einem Speicher (34) gespeicherte Steuerungssoftware für den Betrieb des Flugkörpers (1) ablaufbar ist, und einen flüchtigen Arbeitsspeicher und einen nichtflüchtigen, reprogrammierbaren Datenspeicher aufweist, wobei der Flugkörper (1) eine erste Energiezufuhr (42) für elektrische Energie aufweist, die vom Trägerflugzeug (2) gespeist wird; wobei der Flugkörper (1) eine zweite, autonome Energiezufuhr (44) für elektrische Energie aufweist, die von einem im Flugkörper (1) vorgesehenen Energiespeicher (5) mit elektrischer Energie beaufschlagbar ist, und wobei der Energiespeicher (5) im Flugkörper (1) den Flugkörper (1) über die zweite Energiezufuhr (44) mit elektrischer Energie versorgt, wenn der Flugkörper (1) von einem Waffensteuerungscomputer (29) im Trägerflugzeug (2) ein entsprechendes Aktivierungssignal erhält; zeichnet sich aus durch die folgenden Schritte:
- Durchführen einer ausgelösten und periodischen Systemüberprüfung des Flugkörpers (1) im Tragflug während der Flugkörper (1) über die erste Energiezufuhr (42) vom Trägerflugzeug (2) mit Energie versorgt wird;
- Erfassen von während dieser Systemüberprüfung im Flugkörper auftretenden Fehlerdaten und Speichern dieser Fehlerdaten im flüchtigen Arbeitsspeicher;
- Übertragen der im Arbeitsspeicher gespeicherten Fehlerdaten in zumindest ein freies Speichersegment des nichtflüchtigen Datenspeichers, beispielsweise eines Flash-Speichers, sobald ein zu einem Missionsabbruch führender fataler Fehler erfasst und im Arbeitsspeicher abgespeichert worden ist;
- Erzeugen eines Missionsabbruchsignals und Übertragen dieses Signals an den Waffensteuerungscomputer (29) des Trägerflugzeugs (2) und
- Abschalten der ersten Energiezufuhr (42).

Beschreibung

TECHNISCHES GEBIET

[0001] Die vorliegende Erfindung betrifft ein Verfahren zur Fehlererfassung bei einem Systemtest oder während der periodischen Funktionsüberprüfung eines im Tragflug an einem Trägerflugzeug angekoppelten, unbemannten Flugkörpers gemäß dem Oberbegriff des Patentanspruchs 1. Sie betrifft weiterhin einen unbemannten Flugkörper gemäß dem Oberbegriff des Patentanspruchs 6.

[0002] Bevor ein unbemannter Flugkörper von einem Trägerflugzeug abgekoppelt und verschossen wird, wird, selbstständig initiiert oder ausgelöst vom Trägerflugzeug, ein Systemtest der Komponenten des Flugkörpers durchgeführt, während dieser noch am Trägerflugzeug angekoppelt ist. Nach dem fehlerfreiem Systemtest werden anschließend periodisch die Subsysteme und Baugruppen des Flugkörpers auf korrekte Funktion geprüft. Eine Freigabe des Flugkörpers zum Verschuss wird erst nach erfolgreich bestandenem Systemtest sowie fehlerfreier Funktion während des nachfolgenden Betriebes erteilt.

[0003] Während des Systemtests und auch nach dem Systemtest wird der Flugkörper noch über das ihn mit dem Trägerflugzeug verbindende Umbilical-Kabel mit elektrischer Energie versorgt. Wenn der Systemtest erfolgreich absolviert worden ist und anschließend keine Fehlfunktion durch die zyklischen Prüfungen identifiziert wurde, wird vom Trägerflugzeug im Falle des Verschussereignisses unter anderem ein Signal an den Flugkörper gesandt, mit welchem eine im Flugkörper vorgesehene autonome Energiequelle, beispielsweise eine Thermalbatterie, aktiviert wird, die dann die Stromversorgung des Flugkörpers übernimmt, bevor durch Abkoppeln des Flugkörpers vom Trägerflugzeug die Energiezufuhr vom Trägerflugzeug unterbrochen wird.

[0004] Tritt nun während des Systemtests oder während der periodischen Funktionsprüfungen ein fataler Fehler auf, das heißt, ein Fehler der den Abbruch der Mission zwangsläufig zur Folge hat, so wird der Flugkörper nicht vom Trägerflugzeug abgekoppelt und auch der autonome Energiespeicher des Flugkörpers wird nicht in Betrieb gesetzt, falls der Missionsabbruch nicht innerhalb der Abgangssequenz (Abkoppeln des Flugkörpers vom Trägerflugzeug) erfolgt. Es wird beim Missionsabbruch darüber hinaus die Energiezufuhr vom Trägerflugzeug zum Flugkörper abgeschaltet, sodass der Flugkörper keine elektrische Energie zugeführt bekommt und somit frei von externer elektrischer Spannung ist.

[0005] Diese Energieabschaltung des Flugkörpers führt dazu, dass auch der flüchtige Arbeitsspeicher nicht mit Energie versorgt wird und folglich der Speicherinhalt im flüchtigen Arbeitsspeicher des zentralen Bordcomputers des Flugkörpers einschließlich aller dort gespeicherter Fehlerinformationen verloren geht. Das wiederum bedeutet, dass nach der Landung des Trägerflugzeug keine detailliertes Bild der Fehlersituation (Fehlerbild) vorliegt und somit auch keine Rückschlüsse auf den Grund des Missionsabbruchs getroffen werden können.

STAND DER TECHNIK

[0006] Bisher wurde in einem solchen Fall anstelle des im Flugkörper vorgesehenen Gefechtskopfes ein Banddatenrecorder eingebaut, sodass dann nach einem oder mehreren weiteren Testflügen, bei denen der Fehler möglicherweise noch einmal auftrat, entsprechende Fehlerdaten auf dem Datenrecorder gespeichert waren. Diese Vorgehensweise ist äußerst umständlich, da der Flugkörper jedes Mal umgerüstet werden muss und der zur Umrüstung erforderliche Ausbau eines Teils der Waffe, nämlich des Gefechtskopfes, unter hohen Sicherheitsauflagen erfolgen muss.

DARSTELLUNG DER ERFINDUNG

[0007] Aufgabe der vorliegenden Erfindung ist es daher, ein gattungsgemäßes Verfahren zur Fehlererfassung anzugeben, bei welchem auch ohne Umrüstung des Flugkörpers dafür gesorgt ist, dass nach dem Auftreten eines fatalen Fehlers, der zu einem Missionsabbruch geführt hat, die entsprechenden Fehlerdaten für eine Ursachenanalyse durch die am Boden wartende Servicemannschaft zur Verfügung stehen.

[0008] Eine weitere Aufgabe ist es, einen unbemannten Flugkörper anzugeben, der es ermöglicht, ein die vorstehende Aufgabe lösendes Verfahren anzuwenden.

[0009] Die auf das Verfahren gerichtete Aufgabe wird durch die im Patentanspruch 1 angegebenen Merkmale gelöst.

[0010] Bei diesem erfindungsgemäßen Verfahren zur Fehlererfassung eines im Tragflug an einem Trägerflugzeug angekoppelten, unbemannten Flugkörpers,

• wobei der Flugkörper einen zentralen Bordcomputer, auf dem eine in einem Speicher gespeicherte Steuerungssoftware für den Betrieb des Flugkörpers ablaufbar ist, und einen flüchtigen Arbeitsspeicher und einen nichtflüchtigen, reprogrammierbaren Datenspeicher aufweist,
• wobei der Flugkörper eine erste Energiezufuhr für elektrische Energie aufweist, die vom Trägerflugzeug gespeist wird;
• wobei der Flugkörper eine zweite, autonome Energiezufuhr für elektrische Energie aufweist, die von einem im Flugkörper vorgesehenen Energiespeicher mit elektrischer Energie beaufschlagbar ist, und
• wobei der Energiespeicher im Flugkörper den Flugkörper über die zweite Energiezufuhr mit elektrischer Energie versorgt, wenn der Flugkörper von einem Waffensteuerungscomputer im Trägerflugzeug ein entsprechendes Aktivierungssignal erhält;

werden die folgenden Schritte durchgeführt:

• Durchführen einer ausgelösten und periodischen Systemüberprüfung des Flugkörpers im Tragflug während der Flugkörper über die erste Energiezufuhr vom Trägerflugzeug mit Energie versorgt wird;
• Erfassen von während dieser Systemüberprüfung im Flugkörper auftretenden Fehlerdaten und Speichern dieser Fehlerdaten im flüchtigen Arbeitsspeicher;
• Übertragen der im Arbeitsspeicher gespeicherten Fehlerdaten in zumindest ein freies Speichersegment des nichtflüchtigen Datenspeichers (beispielsweise Flash-Speicher), sobald ein zu einem Missionsabbruch führender fataler Fehler erfasst und im Arbeitsspeicher abgespeichert worden ist;
• Erzeugen eines Missionsabbruchsignals und Übertragen dieses Signals an den Waffensteuerungscomputer des Trägerflugzeugs und
• Abschalten der ersten Energiezufuhr.

VORTEILE

[0011] Die der vorliegenden Erfindung zugrundeliegende Idee liegt somit darin, eine oder mehrere freie Sektoren des im Bordcomputer des Flugkörpers vorgesehenen nichtflüchtigen, reprogrammierbaren Datenspeichers zur Speicherung der Fehlerinformation zu nutzen. Dazu wird beim Auftreten eines fatalen Fehlers, der einen Missionsabbruch zur Folge haben muss, das Missionsabbruchssignal nicht sofort vom Bordcomputer des Flugkörpers an den Waffensteuerungscomputer des Trägerflugzeugs übertragen, sondern dieses Missionsabbruchssignal wird erst mit einer solchen geringfügigen Verzögerung an den Waffensteuerungscomputer des Trägerflugzeugs übertragen, die ausreichend ist, um während dieser Verzögerung die Übertragung der im flüchtigen Arbeitsspeicher gespeicherten Fehlerdaten in den nichtflüchtigen Datenspeicher zu ermöglichen. Wird dann vom Waffensteuerungscomputer des Trägerflugzeugs nach Erhalt des Missionsabbruchssignals die Mission abgebrochen und die elektrische Energieversorgung vom Trägerflugzeug zum Flugkörper abgeschaltet, so werden zwar die im flüchtigen Arbeitsspeicher des Bordcomputer des Flugkörpers enthaltenen Fehlerdaten gelöscht, nicht aber deren Kopie im nichtflüchtigen reprogrammierbaren Datenspeicher. Die Servicemannschaft am Boden kann folglich nach der Landung des Trägerflugzeugs die Fehlerdaten aus dem nichtflüchtigen Datenspeicher auslesen und entsprechende Service- oder Reparaturarbeiten am Flugkörper vornehmen.

[0012] Ein besonders vorteilhafter Einsatz des erfindungsgemäßen Verfahrens erfolgt in einem Überprüfungsflug, wobei die Übertragung des Aktivierungssignals für den Energiespeicher des Flugkörpers vom Waffensteuerungscomputer des Trägerflugzeugs zum Flugkörper unterbunden ist. Bei derartigen Überprüfungsflügen wird in der Regel ein spezielles Umbilical-Kabel verwendet, bei dem die das Steuersignal für den Energiespeicher (beispielsweise das Zündsignal 'Release Consent' für eine Thermalbatterie) übertragende Leitung unterbrochen ist und bei welchem aus Sicherheitsgründen auch jene Leitung unterbrochen ist, die die Energie für die Aktivierung des Energiespeichers überträgt. Dadurch, dass das erfindungsgemäße Verfahren bei derartigen Überprüfungsflügen eingesetzt wird, kann auf systematische Weise ein verbesserter Erkenntnisgewinn während des Überprüfungsfluges erzielt werden.

[0013] Besonders vorteilhaft ist es, wenn zusätzlich zu dem den Missionsabbruch auslösenden fatalen Fehler, auch baugruppenspezifische Daten der den Missionsabbruch bewirkenden Baugruppe sowie fehlerrelevante Daten anderer Baugruppen im nichtflüchtigen Datenspeicher abgespeichert werden. Hierdurch wird es ermöglicht, eine genaue Analyse der Ursachen des fatalen Fehlers durchzuführen und somit dem Servicepersonal erleichtert, den eigentlichen Defekt, der zum fatalen Fehler geführt hat, zu identifizieren.

[0014] Zusätzlich ist es von Vorteil, wenn auch nicht-fatale Fehler (vorzugsweise aus anderen oder allen Baugruppen des Flugkörpers), die vor dem Missionsabbruch aufgetreten sind, im nichtflüchtigen Datenspeicher abgespeichert werden. Auf diese Weise wird die Vorgeschichte des fatalen Fehlers abgebildet und damit ein noch umfassenderes Bild der Fehlersituation des Flugkörper erhalten. Das Servicepersonal am Boden kann daraus Rückschlüsse auf den gesamten Zustand des Flugkörpers ziehen, was für die effiziente Identifizierung der den Missionsabbruchs auslösenden Ursache und deren Nebenwirkungen Voraussetzung ist. Zudem können weitere Fehlerquellen erkannt und behoben werden, die sonst möglicherweise in einem späteren Flug zu fatalen Fehlern und damit zu Missionsabbruch führen würden.

[0015] Verbessert wird dieser Erkenntnisgewinn noch dadurch, dass zusätzlich zu den Fehlerdaten auch allgemeine Daten des Flugkörpers, die den Zustand des Flugkörpers zum Zeitpunkt des Missionsabbruchs beschreiben (beispielsweise Position, Höhe über Grund, Geschwindigkeit, Eulerwinkel, UTC-Zeit, interne Zeit, interner Mode etc.), im nichtflüchtigen Datenspeicher abgespeichert werden.

[0016] Somit werden gegebenenfalls folgende Datengruppen im nichtflüchtigen Datenspeicher des Flugkörpers abgespeichert und bilden die den Missionsabbruch herbeiführende Fehlersituation als Fehlerbild ab :

• allgemeine Daten, die den Zustand des Flugkörpers zum Zeitpunkt des Missionsabbruchs beschreiben,
• die Kennung der den Missionsabbruch bewirkenden Baugruppe,
• baugruppenspezifische Daten der den Missionsabbruch bewirkenden Baugruppe sowie fehlerrelevante Daten anderer Baugruppen des Flugkörpers,
• alle vor dem Missionsabbruch aufgetretenen nicht-fatalen Fehler aller Baugruppen des Flugkörpers.

[0017] Falls das erfindungsgemäße Verfahren bei operationellen Übungen oder Einsätzen zur Anwendung kommt, wobei ein operationelles Umbilical-Kabel verwendet wird, und falls im Tragflug ein Flugkörper als defekt erkannt wird, können aufgrund des ausgelesenen Fehlerbildes nachfolgend am Boden gezielte Untersuchungs- und Reparaturmaßnahmen eingeleitet werden, um den Flugkörper schnellstmöglich wieder einsatzbereit zu machen.

[0018] Durch all diese Maßnahmen wird die Verfügbarkeit der mit dem erfindungsgemäßen Verfahren betriebenen Flugkörper deutlich erhöht und der Aufwand zur Fehlersuche nach einem aufgetretenen fatalen Fehler wird spürbar reduziert.

[0019] Die auf den Flugkörper gerichtete Aufgabe wird gelöst durch den unbemannten Flugkörper mit den Merkmalen des Patentanspruchs 6.

[0020] Dieser erfindungsgemäße unbemannte Flugkörper enthält einen zentralen Bordcomputer, auf dem eine in einem Speicher gespeicherte Steuerungssoftware für den Betrieb des Flugkörpers ablaufbar ist und der einen flüchtigen Arbeitsspeicher sowie einen nichtflüchtigen, reprogrammierbaren Datenspeicher (üblicherweise Flash-Speicher) aufweist. Der Flugkörper weist eine erste Energiezufuhr für elektrische Energie auf, die von einem Trägerflugzeug gespeist wird, an welches der Flugkörper im Tragflugzustand angekoppelt ist. Der Flugkörper weist weiterhin eine zweite Energiezufuhr für elektrische Energie auf, die von einem im Flugkörper vorgesehenen autonomen Energiespeicher gespeist wird. Dieser Energiespeicher ist so ausgestaltet, dass er den Flugkörper über die zweite Energiezufuhr mit elektrischer Energie versorgt, wenn der Flugkörper von einem Waffensteuerungscomputer im Trägerflugzeug ein entsprechendes Aktivierungssignal erhält.

[0021] Die auf dem Bordcomputer des Flugkörpers ablaufende Steuerungssoftware ist so ausgestaltet, dass sie vor dem Abkoppeln des Flugkörpers vom Trägerflugzeug, zum Beispiel bei einer ausgelösten oder der zyklischen Systemüberprüfung, im Flugkörper auftretende technische Fehlerdaten erfasst und als Fehlerbild im Arbeitsspeicher speichert und dass sie dieses gespeicherte Fehlerbild im Falle eines Missionsabbruchs in einem freien Segment des nichtflüchtigen Datenspeichers abspeichert, bevor die vom Trägerflugzeug über die erste Energiezufuhr zum Flugkörper geleitete elektrische Energie abgeschaltet wird. Dies gilt auch für einen fehlerbedingten Missionsabbruch während der Abgangssequenz.

[0022] Vorzugsweise erfolgt die Fehlerspeicherung im nichtflüchtigen Datenspeicher nur dann, wenn der Missionsabbruch von einem flugkörper-intern auftretenden Fehler ausgelöst worden ist.

[0023] Weiter vorzugsweise erfolgt keine Fehlerspeicherung in den nichtflüchtigen Datenspeicher mehr, wenn die Trennung des Flugkörpers vom Trägerflugzeug erkannt worden ist.

[0024] Vorteilhaft ist es auch, wenn die Fehlerspeicherung in den nichtflüchtigen Datenspeicher nur dann erfolgt, wenn der Flugkörper mit dem Trägerflugzeug in Kommunikationsverbindung steht.

[0025] Wenn die Steuerungssoftware die Trennung des Flugkörpers vom Trägerflugzeug sensiert hat (Freiflugphase), erfolgt zweckmäßigerweise keine Fehlerbildspeicherung mehr im nichtflüchtigen Datenspeicher. Während des Freifluges des Flugkörpers wird üblicherweise die zyklische Funktionsüberwachung der Baugruppen abgeschaltet und somit die Möglichkeit des Missionsabbruches blockiert.

[0026] Die Steuerungssoftware ist zudem so ausgestaltet, dass sie Fehlerbilder nur dann in den nichtflüchtigen Datenspeicher speichert, wenn sie eindeutig erkannt hat, dass sie mit dem Trägerflugzeug, also nicht mit einen Testgerät oder einem Missionsplan-Ladegerät, kommuniziert. Falls ein Testgerät mit dem Flugkörper interagiert und dabei ein fataler Fehler im Flugkörper identifiziert wird, wird das zugehörige Fehlerbild unmittelbar zum Testgerät übertragen, so dass eine Zwischenspeicherung im Flugkörper nicht mehr notwendig ist.

[0027] Ein zusätzliches Merkmal der Steuerungssoftware ist, dass mehrere Fehlerbilder hintereinander im nichtflüchtigen Datenspeicher des Flugkörpers gespeichert werden können, beispielsweise als verkettete Liste.

[0028] Vorteilhaft ist es auch, wenn das Auslesen von Fehlerdaten aus dem nichtflüchtigen Datenspeicher nur dann durchführbar ist, wenn der Flugkörper mit einem Testgerät in Kommunikationsverbindung steht. Das Auslesen von im nichtflüchtigen Datenspeicher gespeicherten Fehlerbildern erlaubt die Steuerungssoftware folglich nur dann, wenn sie mit dem Testgerät, wie es beispielsweise in der nicht vorveröffentlichten DE102008054264 dargestellt ist, kommuniziert, vorzugsweise nach fehlerfreiem Hochlauf im Mode Standby (bei Flugkörpern mit sporadischen Fehlern) oder im Missionsabbruchs-Mode (bei Flugkörpern mit permanenten Fehlern).

[0029] Ein weiteres Merkmal der Steuerungssoftware ist, dass das Löschen von Fehlerdaten im nichtflüchtigen Datenspeicher nur dann durchführbar ist, wenn der Flugkörper mit einem Testgerät in Kommunikationsverbindung steht und sich unmittelbar davor als fehlerfrei erwiesen hat. Das Löschen der Fehlerbilder im nichtflüchtigen Datenspeicher ist also nur dann möglicht, wenn die Software eindeutig erkannt hat, dass sie mit dem Testgerät kommuniziert. Das Löschen kann dabei nur am Ende eines erfolgreich bestandenen Tests, beispielsweise eines D-Level Tests, wie er in der nicht vorveröffentlichten DE102009040303 beschrieben ist, erfolgen.

[0030] Eine weitere, vorteilhafte Ausprägung der Steuerungssoftware ist, dass sie aus zwei unabhängigen Teilen besteht: einem operationellen Teil und einem Testteil, wobei der operationelle Teil ausgebildet ist, um mit dem Trägerflugzeug zu interagieren und die Fehlerspeicherung im nichtflüchtigen Datenspeicher auszuführen, und wobei der Testteil ausgebildet ist, um mit einem Testgerät zu interagleren und das Auslesen der Fehlerdaten aus dem nichtflüchtigen Datenspeicher sowie das Löschen des nichtflüchtigen Datenspeichers auszuführen. Dabei führt der operationelle Teil, der mit dem Trägerflugzeug interagiert, das Schreiben der Fehlerbilder in den nichtflüchtigen Datenspeicher aus. Dem Testteil, der mit dem Testgerät kommuniziert, obliegt das Lesen und Löschen der Fehlerbilder aus dem nichtflüchtigen Datenspeicher.

[0031] Vorzugsweise sind der operationelle Teil und der Testteil der Steuerungssoftware alternativ im Programmspeicher des Bordcomputers speicherbar.

[0032] In einer alternativen bewvorzugten Ausführungsform sind der operationelle Teil und der Testteil der Steuerungssoftware gleichzeitig im Programmspeicher des Bordcomputers speicherbar und unabhängig voneinander aufrufbar.

[0033] Der operationelle Tell und der Testteil der Steuerungssoftware können also alternativ in den Bordcomputer ladbar oder unabhängig voneinander im Bordcomputer gespeichert und aufrufbar sein.

[0034] In einer bevorzugten Weiterbildung des erfindungsgemäßen Flugkörpers erfolgt die Fehlerspeicherung in den nichtflüchtigen Datenspeicher nur dann, wenn der Missionsabbruch von einem flugkörperintern auftretenden Fehler ausgelöst worden ist. Diese Variante hat den Vorteil, dass bei einem beispielsweise manuell von der Besatzung des Trägerflugzeugs ausgelösten Missionsabbruch keine Zeitverzögerung auftritt, da die Übertragung der Daten aus dem flüchtigen Arbeitsspeicher in den nichtflüchtigen Datenspeicher in diesem Fall nicht erforderlich ist.

[0035] Dieser erfindungsgemäße Flugkörper eignet sich besonders zur Durchführung des erfindungsgemäßen Verfahrens.

[0036] Bevorzugte Ausführungsbeispiele der Erfindung mit zusätzlichen Ausgestaltungsdetails und weiteren Vorteilen sind nachfolgend unter Bezugnahme auf die beigefügten Zeichnungen näher beschrieben und erläutert.

KURZE BESCHREIBUNG DER ZEICHNUNGEN

[0037] Es zeigt:

Fig. 1

eine schematische Darstellung eines an einem Luftfahrzeug angekoppelten unbemannten Flugkörpers gemäß der Erfindung;

Fig. 2

ein Blockschaubild der relevanten Komponenten eines an einem Luftfahrzeug angekoppelten unbemannten Flugkörpers gemäß der Erfindung und

Fig. 3

eine schematische Darstellung der Anteile der Steuerungssoftware.

DARSTELLUNG VON BEVORZUGTEN AUSFÜHRUNGSBEISPIELEN

[0038] Der Flugkörper 1 ist an einem schematisch dargestellten Trägerflugzeug 2 angekoppelt. Das Trägerflugzeug 2 weist dafür an seiner Rumpfunterseite oder an der Unterseite einer Tragfläche einen Bombenpylon 20 auf, der in Figur 1 teilweise geschnitten dargestellt ist. Der Bombenpylon 20 ist an seiner Unterseite teilweise offen ausgebildet und in diesem Bereich im Inneren des Bombenpylons 20 mit zwei lösbaren Halteeinrichtungen 22, 22' versehen, die mit zwei entsprechenden Gegenhalteeinrichtungen 13, 13', die aus einem oberen Tragelement 11 des Flugkörpers 1 hervorstehen, in Eingriff stehen und den Flugkörper 1 am Trägerflugzeug 2 abkoppelbar fixieren. Im Bereich der offenen Unterseite des Bombenpylons 20 ist ein luftfahrzeugseitiger elektrischer Steckverbinder 26 vorgesehen, der mit einem Gegensteckverbinder 17 an der Oberseite des Flugkörpers 1 mechanisch und elektrisch zur Übertragung von Energie und zum Datenaustausch verbunden ist.

[0039] Der Flugkörper 1 ist weiterhin mit einer Avionik 3 versehen, die ebenfalls nur schematisch dargestellt ist und die sich im Inneren des Rumpfs 10 befindet. Die Avionik 3 des Flugkörpers ist mit einem Bordcomputer 30 versehen, der über den Gegensteckverbinder 17 an der Oberseite des Flugkörpers 1 und die trägerflugzeugseitige elektrische Steckverbindung 26 mittels eines Umbilical-Kabels 27 mit einem Bordcomputer 28 des Trägerflugzeugs 2 zum Datenaustausch verbunden ist. Der Bordcomputer 28 enthält einen Waffensteuerungscomputer 29. Über das Umbilical-Kabel 27 wird der Flugkörper 1 vom Trägerflugzeug 2 im Tragflug auch mit elektrischer Energie versorgt.

[0040] Der Flugkörper 1 weist eine autonome elektrische Stromversorgung auf, die von einer irreversibel aktivierbaren Batterie 5 gebildet ist. Üblicherweise ist diese irreversibel aktivierbare Batterie 5 eine Thermalbatterie, die von einem vom Waffensteuerungscomputer 29 des Trägerflugzeugs 2 aufgebrachten elektrischen Impuls aktivierbar ist und dann für einen vorgegebenen Zeitraum eine vorgegebene Menge an elektrischer Energie abgibt.

[0041] In Fig. 2 ist ein schematisches Funktionsschaubild eines am Trägerflugzeug 2 angekoppelten Flugkörpers 1 dargestellt, dessen Avionik 3 einen Bordcomputer 30 aufweist, der mit dem an der Oberseite des Flugkörpers 1 vorgesehenen Gegensteckverbinder 17 für das Umbilical-Kabel 27 verbunden ist. Der Bordcomputer 30 weist einen Prozessor 31, einen flüchtigen Arbeitsspeicher 32, einen nichtflüchtigen, reprogrammierbaren Datenspeicher 33 sowie einen Programmspeicher 34 auf. Der Computer 30 steht über eine erste Datenleitung 35 mit dem Gegensteckverbinder 17 an der Oberseite des Flugkörpers 1 und somit mit dem Umbilical-Kabel 27 und über dieses mit dem Bordcomputer 28 des Trägerflugzeugs 2 in Verbindung, um Daten zwischen dem Bordcomputer 28 des Trägerflugzeugs 2 und dem Bordcomputer 30 des Flugkörpers 1 austauschen zu können. Der Bordcomputer 28 des Trägerflugzeugs 2 ist dazu über eine Datenleitung 24 mit dem Steckverbinder 26 und damit mit dem Umbilical-Kabel 27 verbunden.

[0042] Des Weiteren ist das Umbilical-Kabel 27 über den Steckverbinder 26 mit einer Stromversorgungsleitung 25 des Trägerflugzeugs 2 verbunden, die von einer (nicht dargestellten) Quelle für elektrische Energie gespeist wird.

[0043] Die so in das Umbilical-Kabel 27 eingespeiste elektrische Energie wird in der Gegensteckverbindung 17 des Flugkörpers 1 an eine Versorgungsleitung 40 einer Energieversorgungsstruktur 4 im Flugkörper abgegeben. Auf diese Weise ist eine erste Energiezufuhr 42 für die in den Figuren nur schematisch dargestellte Energieversorgungsstruktur 4 des Flugkörpers 1 gebildet.

[0044] Die autonome elektrische Stromversorgung des Flugkörpers 1 mittels der irreversibel aktivierbaren Batterie 5 bildet eine zweite, autonome elektrische Energiezufuhr 44 für den Flugkörper 1. Dazu ist die Batterie 5 über eine Stromversorgungsleitung 46 ebenfalls mit der Energieversorgungsstruktur 4 des Flugkörpers 1 verbunden. Die irreversibel aktivierbare Batterie 5 ist über eine Datenübertragungsleitung 50 mit der Gegensteckverbindung 17 des Flugkörpers 1 und somit mit dem über das Umbilical-Kabel 27 und die Datenleitung 24 mit dem im Bordcomputer 28 des Trägerflugzeugs 2 vorgesehenen Waffensteuerungscomputer 29 direkt verbunden oder indirekt über ein zwischengeschaltenes Steuergerät. Der Waffensteuerungscomputer 29 kann über diese Verbindung ein oder mehrere Aktivierungssignale an die irreversibel aktivierbare Batterie 5 senden oder an das zwischengeschaltetes Steuergerät, um diese in Betrieb zu setzen. In dem in den Figuren gezeigten Testaufbau kann ein für einen Systemtest in einem Trainingsflug vorgesehenes spezielles Umbilical-Kabel 27' vorgesehen sein, bei welchem diese Verbindung zwischen der Datenleitung 50 und dem Waffensteuerungscomputer 29 unterbrochen ist. Dadurch wird sichergestellt, dass die irreversibel aktivierbare Batterie 5 während eines Trainings- oder Überprüfungsfluges nicht versehentlich aktiviert werden kann. Nachstehend wird beschrieben, wie das erfindungsgemäße Verfahren zur Fehlererfassung bei einem Systemtest des im Tragflug an das Trägerflugzeug angekoppelten unbemannten Flugkörpers 1 durchgeführt wird.

[0045] Während des Tragflugs und der dabei durchgeführten Überprüfung der einzelnen Subsysteme des Flugkörpers 1 wird der Flugkörper 1 durch die erste Energiezufuhr 42 vom Trägerflugzeug 2 mit Energie versorgt. Die Systemüberprüfung wird dabei von einer auf dem Prozessor 31 des Bordcomputers 30 ablaufenden Software durchgeführt, die mit dem Waffensteuerungscomputer 29 des Trägerflugzeugs 2 interagiert. Treten während der ausgelösten oder periodischen Systemüberprüfung im Flugkörper 1 Fehler auf, so werden diese Fehler im Bordcomputer 30 des Flugkörpers 1 erfasst und zunächst im Arbeitsspeicher 32 zusammen mit einer Information darüber, in welcher Baugruppe des Flugkörpers der Fehler aufgetreten ist, abgespeichert. Des Weiteren werden im Arbeitsspeicher Betriebszustandsdaten des Flugkörpers 1 und seiner einzelnen Komponenten gespeichert.

[0046] Tritt während der ausgelösten oder zyklischen Systemüberprüfung ein fataler Fehler auf, der einen Missionsabbruch zur Folge haben muss, so wird vom Bordcomputer 30 des Flugkörpers 1 der interne Missionsabbruchszustand eingenommen. Damit werden die im flüchtigen Arbeitsspeicher vorhandene Fehlerdaten, also

• die allgemeine Daten, die den Zustand des Flugkörpers zum Zeitpunkt des Missionsabbuches kennzeichnen und
• die Kennung der den Missionsabbruch bewirkenden Baugruppe und
• die baugruppenspezifische Daten der den Missionsabbruch bewirkenden Baugruppe sowie fehlerrelevante Daten anderer Baugruppen des Flugkörpers und
• alle vor dem Missionsabbruch aufgetretenen nicht-fatale Fehler aller Baugruppen des Flugkörpers,

als Fehlerbild in den nichtflüchtigen Datenspeicher 33 kopiert. Ist dieser Kopiervorgang abgeschlossen, so wird das Missionsabbruchsignal vom Bordcomputer 30 des Flugkörpers 1 an den Waffensteuerungscomputer 29 des Trägerflugzeugs 2 übertragen und der Waffensteuerungscomputer 29 schaltet die erste, vom Trägerflugzeug 2 gespeiste Energiezufuhr 42 ab. Da im Testmodus der Anordnung aus Trägerflugzeug 2 und Flugkörper 1 das spezielle Umbilical-Kabel 27' verbaut ist, kann kein Aktivierungssignal zur irreversibel aktivierbaren Batterie 5 des Flugkörpers gesandt werden, so dass auch diese Energieversorgung abgeschaltet bleibt und der Flugkörper einen Betriebszustand einnimmt, in dem er nicht mehr von elektrischer Energie versorgt ist.

[0047] Dadurch, dass das Missionsabbruchsignal nicht unmittelbar nach Erkennung des Missionsabbruches an den Waffensteuerungscomputer 29 des Trägerflugzeugs 2 übertragen wird, sondern erst dann, wenn die Übertragung der Daten vom Arbeitsspeicher 32 in den nichtflüchtigen Datenspeicher 33 abgeschlossen ist, wird sichergestellt, dass die für die Fehleranalyse am Boden nach der Landung des Trägerflugzeugs 2 erforderlichen Fehlerinformationen nicht mehr in dem durch den Verlust der elektrischen Energieversorgung gelöschten Arbeitsspeicher 32 enthalten sind, sondern in dem nichtflüchtigen Datenspeicher 33.

[0048] Wird eine Mission in der Einsatzkonfiguration der Einheit aus Trägerflugzeug 2 und Flugkörper 1 durchgeführt, in welcher das vollständig bestückte Umbilical-Kabel 27 vorgesehen ist, und erfolgt beispielsweise während der Abgangssequenz der Missionsabbruch bei aktivierter Batterie 5 des Flugkörpers 1 (Hangfire-Situation), so wird das Speichern des Fehlerbildes in den nichtflüchtigen Datenspeicher 33 auch dann wegen der Eigenversorgung ausgeführt, wenn das Trägerflugzeug 2 aus anderen Gründen die Energiezufuhr einstellt noch bevor der Bordcomputer 30 des Flugkörpers 1 das Missionsabbruchsignal gesendet hat.

[0049] Nachdem das Bodenpersonal den nichtflüchtigen Datenspeicher 33 mit Hilfe des Testgerätes ausgelesen hat, kann es diesen Speicher oder zumindest den Bereich dieses Datenspeichers 33, in dem die Fehlerdaten und die Betriebszustandsdaten des Flugkörpers 1 gespeichert gewesen sind, gezielt löschen. Zweckmäßigerweise ist dies erst dann möglich, wenn sich der Flugkörper 1 nach erfolgter Reparatur durch einen Bodentest, beispielsweise einen sogenannten D-Level Test, wieder als fehlerfrei erweist.

[0050] Die aus dem nichtflüchtigen Datenspeicher 33 ausgelesenen Daten können vom Bodenpersonal beispielsweise mit Fehlerbildern verglichen werden, die in einer Fehlerdatenbank gespeichert sind, um die Ursache des fatalen Fehlers schnell und zielsicher identifizieren zu können.

[0051] Die ausführende Steuerungssoftware des Bordcomputers 30 kann in unterschiedlicher Weise ausgeprägt sein, als integrierte Software oder, wie beispielhaft in Fig. 3 gezeigt ist, als aus unabhängigen Teilen, nämlich einem operationellen Teil und einem Testteil, bestehende Software. Im Fall der integrierten Software führt eine Software das Beschreiben, Lesen und Löschen des nichtflüchtigen, reprogrammierbaren Datenspeichers durch. Im anderen Fall führt der operationelle Teil, der mit dem Trägerflugzeug interagiert, das Schreiben der Fehlerbilder in den nichtflüchtigen Datenspeicher aus. Dem Testteil, der mit dem Testgerät kommuniziert, obliegt das Lesen und Löschen der Fehlerbilder aus dem nichtflüchtigen Datenspeicher. Der operationelle Teil und der Testteil können alternativ in den Programmspeicher 34 des Bordcomputers 30 ladbar oder unabhängig voneinander im Programmspeicher 34 des Bordcomputers gespeichert und aufrufbar sein.

[0052] Bezugszeichen in den Ansprüchen, der Beschreibung und den Zeichnungen dienen lediglich dem besseren Verständnis der Erfindung und sollen den Schutzumfang nicht einschränken.

Bezugszeichenliste

[0053] Es bezeichnen:

1

Flugkörper

2

Trägerflugzeug

3

Avionik

4

Energieversorgungsstruktur

5

Batterie

10

Rumpf

11

Tragelement

13

Gegenhalteeinrichtung

13'

Gegenhalteeinrichtung

17

Gegensteckverbindung

20

Bombenpylon

22

Halteeinrichtung

22'

Halteeinrichtung

24

Datenleitung

25

Stromversorgungsleitung

26

Steckverbinder

27

Umbilical-Kabel

27'

Umbilical-Kabel

28

Bordcomputer

29

Waffensteuerungscomputer

30

Bordcomputer

31

Prozessor

32

flüchtiger Arbeitsspeicher

33

nichtflüchtiger, reprogrammierbarer Speicher

34

Programmspeicher

35

Datenleitung

40

Versorgungsleitung

42

erste Energiezufuhr

44

zweite Energiezufuhr

46

Stromversorgungsleitung

50

Datenübertragungsleitung

Ansprüche

1. Verfahren zur Fehlererfassung eines im Tragflug an einem Trägerflugzeug (2) angekoppelten, unbemannten Flugkörpers (1),

- wobei der Flugkörper (1) einen zentralen Bordcomputer (30), auf dem eine in einem Speicher (34) gespeicherte Steuerungssoftware für den Betrieb des Flugkörpers (1) ablaufbar ist, und einen flüchtigen Arbeitsspeicher und einen nichtflüchtigen, reprogrammierbaren Datenspeicher aufweist,

- wobei der Flugkörper (1) eine erste Energiezufuhr (42) für elektrische Energie aufweist, die vom Trägerflugzeug (2) gespeist wird;

- wobei der Flugkörper (1) eine zweite, autonome Energiezufuhr (44) für elektrische Energie aufweist, die von einem im Flugkörper (1) vorgesehenen Energiespeicher (5) mit elektrischer Energie beaufschlagbar ist, und

- wobei der Energiespeicher (5) im Flugkörper (1) den Flugkörper (1) über die zweite Energiezufuhr (44) mit elektrischer Energie versorgt, wenn der Flugkörper (1) von einem Waffensteuerungscomputer (29) im Trägerflugzeug (2) ein entsprechendes Aktivierungssignal erhält;

gekennzeichnet durch die Schritte:

- Durchführen einer ausgelösten und periodischen Systemüberprüfung des Flugkörpers (1) im Tragflug während der Flugkörper (1) über die erste Energiezufuhr (42) vom Trägerflugzeug (2) mit Energie versorgt wird;

- Erfassen von während dieser Systemüberprüfung im Flugkörper auftretenden Fehlerdaten und Speichern dieser Fehlerdaten im flüchtigen Arbeitsspeicher;

- Übertragen der im Arbeitsspeicher gespeicherten Fehlerdaten in zumindest ein freies Speichersegment des nichtflüchtigen Datenspeichers, beispielsweise eines Flash-Speichers, sobald ein zu einem Missionsabbruch führender fataler Fehler erfasst und im Arbeitsspeicher abgespeichert worden ist;

- Erzeugen eines Missionsabbruchsignals und Übertragen dieses Signals an den Waffensteuerungscomputer (29) des Trägerflugzeugs (2) und

- Abschalten der ersten Energiezufuhr (42).

2. Verfahren nach Anspruch 1,
dadurch gekennzeichnet,
dass das Verfahren in einem Überprüfungsflug durchgeführt wird, wobei die Übertragung des Aktivierungssignals für den Energiespeicher (5) des Flugkörpers (1) vom Waffensteuerungscomputer (29) des Trägerflugzeugs (2) zum Flugkörper (1) unterbunden ist.

3. Verfahren nach Anspruch 1 oder 2,
dadurch gekennzeichnet,
dass zusätzlich zu dem den Missionsabbruch auslösenden fatalen Fehler auch baugruppenspezifische Fehler jener Baugruppe des Flugkörpers (1) im nichtflüchtigen Datenspeicher (32) abgespeichert werden, in der der fatale Fehler aufgetreten ist.

4. Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass auch nicht-fatale Fehler, vorzugsweise aus allen Baugruppen des Flugkörpers (1), die vor dem Missionsabbruch aufgetreten sind, im nichtflüchtigen Datenspeicher (33) abgespeichert werden.

5. Verfahren nach einem der vorhergehenden Ansprüche,
dadurch gekennzeichnet,
dass zusätzlich zu den Fehlerdaten auch allgemeine Daten des Flugkörpers, die den Zustand des Flugkörpers zum Zeitpunkt des Missionsabbruchs beschreiben, im nichtflüchtigen Datenspeicher (33) abgespeichert werden.

6. Unbemannter Flugkörper mit einem zentralen Bordcomputer (30), auf dem eine in einem Speicher (34) gespeicherte Steuerungssoftware für den Betrieb des Flugkörpers (1) ablaufbar ist und der einen flüchtigen Arbeitsspeicher (32) und einen nichtflüchtigen, reprogrammierbaren Datenspeicher (33) aufweist,

- wobei der Flugkörper (1) eine erste Energiezufuhr (42) für elektrische Energie aufweist, die von einem Trägerflugzeug (2) gespeist wird, an welches der Flugkörper (1) im Tragflugzustand angekoppelt ist;

- wobei der Flugkörper (1) eine zweite, autonome Energiezufuhr (44) für elektrische Energie aufweist, die von einem im Flugkörper (1) vorgesehenen Energiespeicher (5) gespeist wird, und

- wobei der Energiespeicher (5) im Flugkörper (1) so ausgestaltet ist, dass er den Flugkörper (1) über die zweite Energiezufuhr (44) mit elektrischer Energie versorgt, wenn der Flugkörper (1) von einem Waffensteuerungscomputer (29) im Trägerflugzeug (2) ein entsprechendes Aktivierungssignal erhält;
dadurch gekennzeichnet,

- dass die auf dem Bordcomputer (30) ablaufende Steuerungssoftware so ausgestaltet ist, dass sie vor dem Abkoppeln des Flugkörpers (1) vom Trägerflugzeug (2), zum Beispiel bei einer ausgelösten oder der zyklischen Systemüberprüfung, im Flugkörper (1) auftretende technische Fehlerdaten erfasst und als Fehlerbild im flüchtigen Arbeitsspeicher (32) speichert, und dass sie dieses gespeicherte Fehlerbild im Falle eines Missionsabbruchs in einem freien Speichersegment des nichtflüchtigen Datenspeichers (33) abspeichert, bevor die vom Trägerflugzeug (2) über die erste Energiezufuhr (42) zum Flugkörper (1) geleitete elektrische Energie abgeschaltet wird.

7. Unbemannter Flugkörper nach Anspruch 6,
dadurch gekennzeichnet,
dass die Fehlerspeicherung im nichtflüchtigen Datenspeicher (33) nur dann erfolgt, wenn der Missionsabbruch von einem flugkörper-intern auftretenden Fehler ausgelöst worden ist.

8. Unbemannter Flugkörper nach Anspruch 6 oder 7,
dadurch gekennzeichnet,
dass keine Fehlerspeicherung in den nichtflüchtigen Datenspeicher (33) mehr erfolgt, wenn die Trennung des Flugkörpers vom Trägerflugzeug erkannt worden ist.

9. Unbemannter Flugkörper nach Anspruch 6, 7 oder 8,
dadurch gekennzeichnet,
dass die Fehlerspeicherung in den nichtflüchtigen Datenspeicher (33) nur dann erfolgt, wenn der Flugkörper mit dem Trägerflugzeug in Kommunikationsverbindung steht.

10. Unbemannter Flugkörper nach einem der Ansprüche 6 bis 9,
dadurch gekennzeichnet,
dass das Auslesen von Fehlerdaten aus dem nichtflüchtigen Datenspeicher (33) nur dann durchführbar ist, wenn der Flugkörper mit einem Testgerät in Kommunikationsverbindung steht.

11. Unbemannter Flugkörper nach einem der Ansprüche 6 bis 10,
dadurch gekennzeichnet,
dass das Löschen von Fehlerdaten im nichtflüchtigen Datenspeicher (33) nur dann durchführbar ist, wenn der Flugkörper mit einem Testgerät in Kommunikationsverbindung steht und sich unmittelbar davor als fehlerfrei erwiesen hat.

12. Unbemannter Flugkörper nach einem der Ansprüche 6 bis 11,
dadurch gekennzeichnet,
dass die Steuerungssoftware aus zwei unabhängigen Teilen besteht, dem operationellen Teil und dem Testteil, wobei der operationelle Teil ausgebildet ist, um mit dem Trägerflugzeug zu interagieren und die Fehlerspeicherung im nichtflüchtigen Datenspeicher (33) auszuführen, und wobei der Testteil ausgebildet ist, um mit einem Testgerät zu interagieren und das Auslesen der Fehlerdaten aus dem nichtflüchtigen Datenspeicher (33) sowie das Löschen des nichtflüchtigen Datenspeichers (33) auszuführen.

13. Unbemannter Flugkörper nach Anspruch 12,
dadurch gekennzeichnet,
dass der operationelle Teil und der Testteil der Steuerungssoftware alternativ im Programmspeicher (34) des Bordcomputers speicherbar sind.

14. Unbemannter Flugkörper nach Anspruch 12,
dadurch gekennzeichnet,
dass der operationelle Teil und der Testteil der Steuerungssoftware gleichzeitig im Programmspeicher (34) des Bordcomputers speicherbar und unabhängig voneinander aufrufbar sind.

Zeichnung