Flugkörper

Abstract

 Zur Erhöhung der Verfügbarkeit eines Flugkörpers (10) sind funktionswichtige Elemente des Flugkörpers (10) redundandant vorgesehen. Der Flugkörper (10) weist Mittel (80) zur Funktionsüberwachung, Fehlerdetektion und -lokalisierung und Rekonfiguration dieser Elemente auf. Es werden verschiedene Ausführungen solcher Mittel unter Benutzung wissensbasierter und lernfähiger Strukturen beschrieben.

Beschreibung

[0001] Die Erfindung betrifft einen Flugkörper.

[0002] Ein Flugkörper ist ein Teil eines Waffensystems. Der Flugkörper wird zu einem Ziel geführt. Das kann z.B. durch eine Navigationseinheit oder durch einen Suchkopf erfolgen, der das Ziel erfaßt und Lenksignale erzeugt. Der Flugkörper ist unbemannt. Die Flugzeit des Flugkörpers vom Abschuß bis zum Treffer ist relativ kurz. Das Flugführungssystem des Flugkörpers, z.B. mit Suchkopf oder Navigationseinheit, ist daher nur kurze Zeit tatsächlich in Funktion.

[0003] Bemannte Flugzeuge arbeiten mit einer Vielzahl von Sensoren und sicherheitsrelevanten Bauteilen. Flugzeuge sind über längere Zeit im Einsatz. Der Ausfall eines Sensors oder sicherheitsrelevanten Bauteils während des Einsatzes kann zu einem Absturz des Flugzeugs führen. Aus diesem Grunde ist es bekannt, sicherheitsrelevante Elemente einschließlich der Software von Flugreglern redundant vorzusehen und Mittel zur Fehlererkennung, Fehleridentifikation und Rekonfiguration (FDIR) zu verwenden. Es wird dann der Ausfall eines Sensors oder ein Defekt an einem Sensor erkannt, es wird ermittelt welcher Sensor oder welches Element ausgefallen oder defekt ist, und es wird dann der ausgefallene oder defekte Sensor oder das defekte Element abgeschaltet und es werden nur die übrigen Sensoren oder Elemente für die Flugführung benutzt.

[0004] Die DE-39 29 404 A1 zeigt ein Beispiel eines Verfahrens und einer Vorrichtung zum Erkennen und Identifizierung von Fehlern an Sensoren. Die DE 39 23 432 C2 zeigt ein Beispiel für die Überwachung der Software, mittels welcher die von redundant vorgesehenen Sensoren gelieferten Signale durch redundant vorgesehene Rechner verarbeitet werden.

[0005] Solche Maßnahmen erschienen für Flugkörper, die zum einen unbemannt sind und zum anderen nur nur einmal für kurze Zeit fliegen, nicht erforderlich.

[0006] Bei Flugkörpern tritt jedoch ein anderes Problem auf, nämlich das der "Verfügbarkeit": Flugkörper werden u.U. sehr lange, ggf. jahrzehntelang, gelagen, bis sie schließlich zum Einsatz kommen. Die Flugkörper müssen dann einsatzbereit sein. Auch durch lange Lagerung ohne Einsatz kann eine Beeinträchtigung der Funktion des Flugkörpers eintreten. Die Verfügbarkeit ist die Wahrscheinlichkeit, den Flugkörper zu einem bestimmten Zeitpunkt in funktionsfähigem Zustand anzutreffen. Dieses Problem, die Einsatzbereitschaft des Flugkörpers auch nach langer Lagerzeit zu gewährleisten, wird durch entsprechende Konstruktion der Elemente des Flugkörpers, durch entsprechende Lagerung der Flugkörper und durch regelmäßige Überprüfungen mit Testeinrichtungen gelöst. Wenn Elemente des Flugkörpers sich bei einem solchen Test als defekt erweisen, wird der Flugkörper repariert.

[0007] Es ist aufwendig, die Elemente des Flugkörpers so auszubilden, daß sich über die u.U. jahrzehntelange Lagerzeit hinweg keine Ausfälle ergeben und die hohe Verfügbarkeit des Flugkörpers allein konstruktiv zu erreichen. Es bleibt immer noch das Risiko, daß ein lange gelagerter Flugkörper nicht einsatzfähig ist. Es bleibt die Möglichkeit regelmäßiger Tests und ggf. Reparaturen. Während der Test- und Reparaturzeit bei regelmäßigen Tests steht der Flugkörper nicht für den Einsatz zur Verfügung. Eine Verringerung der Abstände zwischen den Tests, um die Sicherheit gegen Ausfälle zu erhöhen, reduziert daher die Verfügbarkeit des Flugkörpers auch.

[0008] Der Erfindung liegt die Aufgabe zu Grunde, die Verfügbarkeit von Flugkörpern zu erhöhen.

[0009] Erfindungsgemäß wird diese Aufgabe dadurch gelöst, daß zur Erhöhung der Verfügbarkeit des Flugkörpers funktionswichtige Elemente des Flugkörpers redundant vorgesehen sind und der Flugkörper Mittel zur Funktionsüberwachung, Fehlerdetektion und -lokalisierung und Rekonfiguration dieser Elemente aufweist.

[0010] "Elemente" können dabei Sensoren, Signalverarbeitungsmittel oder Stellglieder sein. Der Ausdruck "Elemente" soll aber auch Informationen umfassen, die für die Funktion des Flugkörpers wesentlich sind.

[0011] Nach der Erfindung werden Mittel, die z.B. zur Erhöhung der Sicherheit von bemannten Flugzeugen während ihres sich über relativ lange Zeit erstreckenden Einsatzes an sich bekannt sind, für einen anderen Zweck eingesetzt, nämlich zur Erhöhung der oben definierten "Verfügbarkeit" von Flugkörpern, die während ihres jeweils kurzen Einsatzes solche Maßnahmen sicherlich nicht erfordern würden. Eine hohe Zuverlässigkeit und Verfügbarkeit des Flugkörpers wird dabei durch Fehlertoleranz erreicht. Ein fehlertolerantes System besitzt die Fähigkeit, seine spezifizierte Funktion auch beim Auftreten von Hardware- oder Software-Fehlern uneingeschränkt weiter zu erfüllen.

[0012] Unter dem deutschen Begriff "Fehler" sind subsummiert: Fehler in der physikalischen Welt ("faults"), und zwar in Hardware und Software, daraus resultierende Fehler in der Informationswelt ("errors") und schließlich daraus resultierende Ausfälle oder Fehlfunktionen im System ("failures"). Ein "fault" kann ein Defekt an einem Sensor sein. Der "fault" führt zu einem falschen Signal ("error"). Der "error" führt zu einer Fehlfunktion des Flugkörpers.

[0013] Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.

[0014] Die Erfindung ist nachstehend an Ausführungsbeispielen unter Bezugnahme auf die zugehörigen Zeichnungen näher erläutert.

Fig.1

zeigt schematisch einen Flugkörper und ein Flugzeug mit den verschiedenen Elementen und Schnittstellen.

Fig.2

veranschaulicht die Überwachung der Elemente des Flugkörpers durch "BIT" und "FDIR".

Fig.3

ist eine schematische Darstellung eines Gerätes zu Fehler-Erkennung, Fehler-Identifikation und Sensor-Rekonfiguration (FDIR).

Fig.4

zeigt eine Ausführung der Mittel zur Fehler-Erkennung und Fehler-Identifikation.

Fig.5

veranschaulicht die Umsetzung eines ein Symptom für einen Sensorausfall oder -fehler liefernden stochastischen Signals in Zugehörigkeiten zu linguistischen Wertebereichen.

Fig.6

veranschaulicht die Umsetzung von Signaländerungen, die ein Symptom für einen Sensorausfall oder -fehler liefern, in Zugehörigkeiten zu linguistischen Wertebereichen.

Fig.7

ist ein Blockdiagramm und veranschaulicht das mit Fuzzy-Logik aufgebaute Entscheidungsnetzwerk zur Erzeugung eines Sensor-Statusvektors.

Fig.8

veranschaulicht die Struktur der Flugkörper-Software

Fig.9

zeigt den Aufbau einer Anordnung zur Überwachung der Flugkörper-Software.

Fig.10

zeigt die Überwachungsanordnung der Software bei einer Anordnung von Fig.9.

Fig.11

veranschaulicht die automatische Erstellung des Überwachungsprogramms.

Fig.12

veranschaulicht die Stellglieder des Flugkörpers.

Fig.13

zeigt die Erzeugung eines StellgliedStatusvektors.

[0015] In Fig.1 ist mit 10 ein Flugkörper bezeichnet. Der Flugkörper 10 enthält einen Suchkopf 12 in seiner Nase. Die Nase weist eine für Radarstrahlung durchlässige Spitze (RADOME) 14 sowie ein für infrarote Strahlung durchlässiges Fenster 16 auf . Hinter der radardurchlässigen Spitze 14 sitzen ein im X-Band arbeitender, passiver Arraysensor 18 und ein im K-Band arbeitender Phasenarray-Sensor 20. Der im X-Band arbeitende, passive Arraysensor 18 ist mit einer zugehörigen Verfolgungs-Elektronik 22 verbunden. Der im K-Band arbeitende Phasenarray-Sensor 20 ist mit einer zugehörigen Verfolgungs-Elektronik 24 verbunden. Hinter dem für infrarote Strahlung durchlässigen Fenster 16 sitzt ein im mittleren Infrarotbereich arbeitender Infrarotsensor 26. Dem Infrarotsensor 26 ist eine zugehörige Verfolgungs-Elektronik 28 nachgeschaltet. Die Verfolgungs-Elektroniken 22, 24 und 28 erhalten Daten von einer Strapdownsucher- und Navigations-Signalverarbeitung 30. Die Strapdownsucher- und Navigations-Signalverarbeitung 30 erhält Daten von einer Trägheitsmeßeinheit und Satellitennavigation, die durch einen Block 32 dargestellt sind. Einmal werden dabei die Eigenbewegungen des Flugkörpers bei den Signalen der flugkörperfesten ("strapdown") Sensoren berücksichtigt Zum anderen werden Navigationsdaten gewonnen, also Daten über die Position und ggf. Geschwindigkeit des Flugkörpers. Die Ausgänge der Verfolgungs-Elektroniken 22, 24 und 28 sind auf Mittel 34 zur Sensorfusion aufgeschaltet. Durch die Sensorfusion werden Suchkopfsignale erhalten, die auf den Signalen mehrerer Sensoren beruhen. Diese Suchkopfsignale sind auf eine Flugführungs-Signalverarbeitung 36 aufgeschaltet. Die Flugführungs-Signalverarbeitung 36 erhält weiterhin Daten von der Strapdownsucher- und Navigations-Signalverarbeitung 30. Schließlich sind ggf. auf die Flugführungs-Signalverarbeitung 36 Signale von einer Datenübertragungs-Einheit 38 aufgeschaltet. Weiterhin steht die Flugführungs-Signalverarbeitung 36 in Datenaustausch mit einer flugkörperseitigen Missionseinheit 40. Die Flugführungs-Signalverarbeitung 36 bewirkt die Flugführung in der Marschphase und in der Endphase. Die Flugführungs-Signalverarbeitung liefert Kommandos an einen fortschrittlichen Autopiloten 42. Der Autopilot 42 erhält weiterhin ggf. Daten von der Datenübertragungs-Einheit 38. Der Autopilot 42 liefert Stellbefehle für die Betätigung von Steuerflächen und für den Schub an Ausgängen 44 bzw. 46. Weiterhin ist eine Schaltung 48 vorgesehen, die von Daten der Mittel 34 zu Sensorfusion beaufschlagt ist und durch welche eine sucherbasierter Zündbefehl erzeugbar ist, der über einen Ausgang 50 auf einen Gefechtskopf aufgeschaltet ist Der Flugkörper 10 ist vor dem Abschuß über eine Schnittstelle 52 und ein Speisekabel 54 mit dem den Flugkörper 10 tragenden Trägerflugzeug verbunden, das in Fig.1 durch einen Block 56 im linken Teil der Figur dargestellt ist. Die Schnittstelle 52 steht mit der flugkörperseitigen Missionseinheit 40, der Signalverarbeitung 30, der Flugführungs-Signalverarbeitung 36 und dem Autopiloten 42 in Datenaustausch.

[0016] Das Trägerflugzeug 56 weist ebenfalls Sensoren auf, die durch Blöcke 58, 60, 62, 64, 66 und 68 dargestellt sind, z.B. ein Radar 58, einen vorwärts gerichteten Infrarotsensor FLIR 62 oder Sensoren für Satelliten- oder Trägheitsnavigation GPS/INS 68. Die Sensoren sind auf eine Missionsavionik 70 des Trägerflugzeugs 56 geschaltet. Anhand der Sensorsignale wird ein Ziel erkannt, identifiziert und verfolgt. Die Missionsavionik liefert Daten an Missionsplanungs-Mittel 72, nämlich Mittel für die Feuerleitlösung und die taktische Dynamik. Die Missionsavionik 70 liefert Daten über Ort, Typ und Bewegung des Ziels. Die Missionsplanungs-Mittel 72 liefern Daten darüber, wie dieses Ziel bekämpft werden soll. Über die Schnittstelle 52 im Startgerät erhält die Missionsavionik 70 Informationen von dem Flugkörper 10, der mit seinen Sensoren schon Informationen liefert, während er noch in dem Startgerät des Trägerflugzeugs hängt.

[0017] Nach Abschuß des Flugkörpers 10 können ggf. die Missionsavionik 70 und die Missionsplanungs-Mittel 72 weiterhin über die Datenübertragung 38 drahtlos mit dem Flugkörper in zwei Richtungen in Datenaustausch bleiben.

[0018] Block 74 symbolisiert andere Mitwirkende, z.B. eine Kommandozentrale oder andere freundliche Flugzeuge, durch die eine Zielvorgabe erfolgen kann. Die "Zielvorgabe durch Dritte" ist in Fig.1 durch Block 76 symbolisiert. Die Zielvorgabe kann über Datenübertragung 38 an den Flugkörper 10 oder an das Trägerflugzeug 56 übertragen werden.

[0019] Die Sensoren des Flugkörpers lassen sich unterteilen in Sensoren zur Messung des Eigenbewegungs-Zustandes des Flugkörpers und Sensoren zur Zielentdeckung und Zielverfolgung.

[0020] Die Eigenbewegung des Flugkörpers wird mit Inertialsensoren zur Messung von Beschleunigung und Drehgeschwindigkeit erfaßt. Weiterhin werden in einigen Fällen Satelliten-Navigationssysteme wie GPS ("Global Positioning System") zur genauen Positionsbestimmung eingesetzt. Das ist das Element 32 in Fig.1.

[0021] Zur Zielentdeckung und Zielverfolgung dienen Sucher, vorzugsweise bildauflösende Sucher, deren Signale einer Bildverarbeitung unterworfen werden. Das sind z.B. bildverarbeitende Radarsucher wie Element 18 in Fig.1 oder Infrarotsucher wie Element 26 in Fig.1. Die Sucher können passiv oder aktiv arbeiten. Bei einem Infrarotsucher kann auch eine Abstandsmessung in der Endphase mittels eines Lasers erfolgen.

[0022] Eine Fehlertoleranz wird durch eine Redundanz von Sensoren erreicht. Bei Auftreten von Fehlern der Sensoren, die infolge der Redundanz erkannt und identifiziert werden können, erfolgt eine Rekonfiguration der Sensoren: Die Signale defekter Sensoren werden außer acht gelassen, die erforderlichen Informationen werden aus den Signalen anderer Sensoren und ggf. Kombinationen solcher Signale gewonnen.

[0023] Die Inertialsensoren werden vermehrfacht. Dabei kann das Degradationsverhalten "fail-operational", d.h. eine Funktionsfähigkeit auch noch nach Ausfall eines beliebigen Sensors, mit jeweils minimal fünf (statt sonst drei) Drehraten- und Beschleunigungs-Sensoren erreicht, die in einer speziellen Geometrie zu den Flugkörperachsen angeordnet sind. Die Drehraten-Sensoren können dabei optische Drehraten-Sensoren sein. Es ist auch möglich, mikro-mechanische Sensoren (EP 0 686 830 B1) für Drehraten und Beschleunigungen zu verwenden. Der zusätzliche Aufwand für die Redundanz wird dadurch relativ gering, so daß er auch bei Verlustobjekten wie Flugkörpern durch die Steigerung der Verfügbarkeit und geringeren Wartungsaufwand aufgewogen wird.

[0024] Satelliten-Navigationssysteme können als Mehrkanalsysteme (Multi-Kanal GPS) ausgebildet sein, so daß auch redundante Positionsinformation von dem Satelliten-Navigationssystem verfügbar ist, die zur Überwachung und zur Auswahl der momentan günstigsten Kanäle benutzt werden kann.

[0025] Weiterhin kann eine Bewegungsinformation auch aus den Signalen der Infrarot- und Radar-Sensoren gewonnen werden.

[0026] Auch die Eigenbewegung des Flugkörpers, Fluglage und Position wird somit durch Vermehrfachung von Sensoren oder durch Rückgriff auf Sensoren, die eigentlich einem anderen Zweck dienen, redundant erfaßt.

[0027] Fig.2 zeigt schematisch die Überwachung der funktionswichtigen Elemente des Flugkörpers 10. Mit 80 ist generell die Vorrichtung zum Erkennen und Identifizieren von Fehlern und zum Rekonfigurieren der Elemente des Flugkörpers 10 (FDIR) bezeichnet. Überwacht werden Sensoren, dargestellt durch einen Block 82, die Informationen und die Datenverarbeitung, dargestellt durch einen Block 84 und die Stellglieder, dargestellt durch einen Block 86. Ein Block 88 symbolisiert einen eingebauten Prüfvorgang (BIT), durch welche die physikalische Funktion der einzelnen Bauteile überprüft wird. Es wird beispielsweise geprüft, ob eine Motorwicklung eines Kreisels Strom erhält. Anschließend erfolgt die Prüfung auf Fehler durch die FDIR. Das Ergebnis wird durch Inferenz- und Statusmittel 90 verarbeitet: "Wenn das Signal von Sensor A als fehlerhaft erkannt wird, dann verwerfe das Signal von Sensor A und verarbeite nur die Signale der Sensoren B und C". Status: Ausfall von Sensor A. Der eingbaute Prüfvorgang kann zusätzlich ergeben, daß Sensor X keinen Strom erhält. Auch das gibt ein Statussignal: "Ausfall von Sensor X, Arbeiten mit Sensor Y, der ähnliche Information liefen." Die Statussignale sind auf die Flugkörper-Missionseinheit 40 aufgeschaltet.

[0028] Fig.3 zeigt schematisch den Aufbau des FDIR-Gerätes 80 für die Fehler-Erkennung, Identifikation und Rekonfiguration.

[0029] In Fig.3 sind mit 90A bis 90N Sensoren des Flugkörpers 10 bezeichnet, deren Signale oder Daten auf das Gerät 80 aufgeschaltet sind. Die Verbindung ist durch Doppelpfeile dargestellt. Das bedeutet, daß das FDIR-Gerät 80 auch auf die Sensoren 90A...90N einwirkt, also z.B. einen Sensor abschaltet. Das FDIR-Gerät 80 bewirkt eine Überwachung der Hardware und Subsysteme des Flugkörpers 10. Das ist durch Block 92 dargestellt. Das erfolgt einmal durch "Voting" und Plausibilitäts-Prüfungen: Wenn ein Sensor dreifach redundant vorgesehen ist und ein Meßwert deutlich von den Meßwerten der beiden anderen abweicht, dann wird dieser abweichende Meßwert als falsch betrachtet. Es zählt die Mehrheit. Eine Plausibilitäts-Prüfung prüft, ob ein erhaltener Meßwert physikalisch sinnvoll ist. Diese Art der Überwachung ist in Fig.3 durch einen Block 94 dargestellt. Weiterhin erfolgen die eingebauten Prüfvorgänge (BIT), die durch einen Block 88 dargestellt sind. Das ist eine Art der Überprüfung der Hardware und Subsysteme.

[0030] Eine andere Art der Überprüfung der Hardware und Subsysteme ist durch einen Block 98 dargestellt. Hier werden die Signale mittels wissens-, modell-, muster- oder paritätsbasierter Verarbeitung auf das Auftreten von Fehlern geprüft. Die Fehler werden erkannt und identifiziert. Das ist in Fig.3 durch Block 100 (FDI) dargestellt.

[0031] Außer der Hardware wird auch die Software überwacht. Das ist in Fig.3 durch einen Block 102 dargestellt. Es erfolgen Entscheidungs-Prozesse, dargestellt durch Block 104. Und schließlich erfolgt erforderlichenfalls eine Rekonfiguration von Sensoren, die durch einen Block 106 gargestellt ist.

[0032] Auf Grund der so erhaltenen Meßwerte werden Effektoren und Stellglieder 108 angesteuert. Auch hier erfolgt die Übertragung von Information in zwei Richtungen, was durch einen Doppelpfeil angedeutet ist. Auch die Funktion der Effektoren und Stellglieder wird in der beschriebenen Weise von dem FDIR-Gerät überwacht.

[0033] Ein Block 110 stellt die Kommunikation des FDIR-Gerätes 80 z.B. mit der Flugkörper-Missionseinheit 40 dar, wobei diese Kommunikation ebenfalls in zwei Richtungen erfolgt. Block 112 symbolisiert die Mensch/Maschine-Schnittstelle.

[0034] In Fig.4 sind mit 90 generell die Sensoren des Flugkörpers bezeichnet. Diese Sensoren umfassen redundante inertiale Sensoren 114, eine Mehrkanal-Empfänger für Satelliten-Navigation (Mehrkanal-GPS mit 6 -10 Kanälen) 116 und Infrarot- und Radarsensoren 118. Die Vermehrfachung der Inertialsensoren, also Drehraten- und Beschleunigungs-Sensoren, so, daß ein Degradadationsverhalten "fail-operational" erreicht wird, kann darin bestehen, daß jeweils minimal fünf Sensoren verwendet werden, die in spezieller Geometrie zu den Flugkörperachsen angeordnet sind. Durch die Mehrkanal-GPS wird redundante GPS-Information erhalten, die zur Überwachung und zur Auswahl der momentan günstigsten GPS-Kanäle benutzt werden kann. Die Infrarot- und Radarsensoren 118 liefern auch Bewegungsinformationen.

[0035] Block 120 stellt die Bildung von Orts- und Geschwindigkeitdaten dar, die gemeinsam aus den GPS-Daten und den Daten der Inertialsensoren erhalten werden. Es kann sich dabei um ein Kalman-Filter oder ein SDRE-Filter (State Dependent Riccati Equation) handeln, mit dessen Hilfe die GPS- und Inertialdaten optimal integriert werden. Als Ausgangsgröße dieses Blocks werden die gemessenen (nicht die berechneten) Kovarianz-Signale des Kalman-Filters oder SDRE-Filters erhalten.

[0036] Die Ausgangssignale der Sensoren 114, 116 und 118 sind in einem Meßvektor m auf eine Anordnung 122 von neuronalen Netzwerken 124 und 126 aufgeschaltet. Der Meßvektor m umfaßt die Ausgangssignale der Sensoren 114, 116, 118. Der Meßvektor ist eine Funktion des physikalischen Bewegungszustandes x des Flugkörpers, dem in einem Fehlervektor ε zusammengefaßte Fehler überlagert sind:

[0037] Der Fehlervektor ε kann sprung- oder rampenförmige sowie stochastische Fehler beinhalten und weiterhin Totalausfälle wie Meßsignal null oder konstanter Vollausschlag abbilden.

[0038] Der Meßvektor m ist auf das erstes neuronale Netzwerk 124 aufgeschaltet. In dem ersten neuronalen Netzwerk 124 wird durch Projektion des Meßvektors m in den zum Meßraum orthogonalen Fehlerraum (Paritätsraum) eine Trennung von Nutzsignal m(x) und Fehler m(ε) durchgeführt. Damit wird ein Merkmals- oder Validierungsvektor v erzeugt. Auf den Validierungsvektor v bilden sich Fehler ab. Damit erfolgt eine Fehlerdetektion.

[0039] Der Merkmalsvektor v ist auf das zweite neuronale Netzwerk 126 aufgeschaltet. Dieses zweite neuronale Netzwerk 126 bewirkt die Lokalisierung des Fehlers. Durch das zweite neuronale Netzwerk 126 wird somit der defekte Sensor oder Kanal identifiziert. Damit hat dieses neuronale Netzwerk 126 die Funktion eines Klassifikators bezogen auf den Fehlerraum, in dem die Merkmalsvektoren auf bestimmte Fehler-Cluster zeigen.

[0040] Die Netzwerke 124 und 126 werden mit Vorwissen aus einer analytischen Lösung des Problems der Fehlererkennung und -identifizierung ausgestattet und dann in einer Trainingsphase entweder durch Simulation der Sensoranordnung und typischer Fehler oder mit der realen Sensoranordnung 90 mit simulierten Fehlern trainiert. Es hat sich gezeigt, daß die Netzwerke 124 und 126 nicht nur Einzelfehler sondern auch Simultanfehler und kurz aufeinanderfolgende Fehler erkennen und lokalisieren können. Darüberhinaus erfassen und lokalisieren sie das Verschwinden von vorübergehenden Fehlern, die z.B. infolge starker Manöver auftreten, so daß die Sensoranordnung 90 selbstregenerierend arbeiten kann.

[0041] Ausgangsgröße des zweiten Netzwerkes 126 ist ein Lokalisierungs-, Identifikations- und Klassifikationsvektor. Dieser Vektor wird, ggf. zusammen mit dem Merkmalsvektor v einem Entscheidungsnetzwerk 128 zugeführt. Das ist durch die Verbindungen 130 bzw. 132 dargestellt.

[0042] Auf das Entscheidungsnetzwerk 128 ist weiterhin der Ausgang des Kalman-Filters oder SDRE-Filters 120 aufgeschaltet. In den Kovarianzen der Meßdifferenz bilden sich sowohl Meßfehler als auch Sensorausfälle ab. Die Verläufe dieser Signale können deshalb nutzbringend bei der Entscheidung, ob und ggf. wo Fehler aufgetreten sind, mit einbezogen werden.

[0043] Mit 130 ist ein Kalman-Filter bezeichnet, das für die Initialisierung und Kalibrierung des Flugkörper-Inertialsystems (MLS-IRS) vorgesehen ist. Das Kalman-Filter verarbeitet Informationen von dem Flugzeug-Inertialsystem sowie dem Flugkörper-Inertialsystem. Die von dem Kalman-Filter 130 gelieferten Kovarianzsignale sind ein Maß für die Funktion und die momentane Güte des Flugkörper-Inertialsystems MLS-IRS. Diese Kovarianzsignale sind über Verbindung 132 ebenfalls auf das Entscheidungsnetzwerk 128 aufgeschaltet.

[0044] Block 134 symbolisiert regelbasiertes heuristisches Wissen über die Sensoren 114, 116, 118 und ihr Zusammenwirken im System. Auch das ist auf das Entscheidungsnetzwerk 128 aufgeschaltet.

[0045] Das Entscheidungsnetzwerk 128 enthält eingangsseitig eine Fuzzifizierungs-Schicht 136. Darauf folgen eine Regelschicht 138 und eine Inferenz-Schicht 140. Ausgangsseitig ist eine Defuzzifizierungs-Schicht 142 vorgesehen. Das Entscheidungsnetzwerk 128 liefert einen Sensorstatus-Vektor.

[0046] Aufgabe des Entscheidungsnetzwerkes ist es, aus den analytischen Sympftom-Signalen, z.B. dem Identifizierungsvektor und regelbasiertem heuristischem Wissen über die betreffenden Sensoren und ihr Zusammenwirken im System eventuelle "faults" nach Typ, Ort und Zeitpunkt des Auftretens zu identifizieren. Hierzu ist eine einheitliche Darstellung der Symptome wichtig. Das wird durch die Fuzzy-Logik ermöglicht, indem sowohl analytische als auch heuristische Symptome durch Zugehörigkeitsfunktionen zu Fuzzy-Mengen für die Entscheidungsfindung einheitlich repräsentiert werden.

[0047] Die dem Entscheidungsnetzwerk 128 zugeführten Signale sind stochastische Variable mit Mittelwert und Varianz. Ein Beispiel für den zeitlichen Verlauf einer solchen Variablen S ist im linken Teil von Fig.5 durch Kurve 144 dargestellt. Durch "faults" verändern sich diese Werte. Im linken Teil von Fig.5 schwankt die Variable S im Normalfall um die Linie 146 mit der Varianz σ. Bei Auftreten eines "fault" verschiebt sich der Signalverlauf um ΔS auf Linie 148. Üblicherweise werden diese Symptome beim Überschreiten eines vorgegebenen Schwellwertes S_max zur binären Entscheidung für das Auftreten eines "fault" herangezogen. Das ist im mittleren Teil von Fig.5 dargestellt. Wenn die Variable S den Schwellwert S_max erreicht oder überschreitet, wird binär ein "fault" signalisiert, was durch das Rechteck 146 angedeutet ist: Die Wahrscheinlichkeit µ(S) des Vorhandenseins eines Fehlers wird dann "1". Das birgt die Gefahr einer hohen Falschalarmrate in sich. Das kann durch Einführung eines "Fuzzy-Schwellwertes" vermieden werden, wie im rechten Teil von Fig.5 gezeigt ist. Hier werden drei Funktionen 150, 152 und 154 von S definiert. Die Funktionen 150 und 152 sind Dreieckfunktionen. Die Spitzenwerte der Funktionen 150 und 152 sind "1". Der Spitzenwert der Funktion 150 liegt auf dem S-Wert der Linie 146. Der Spitzenwert der Funktion 152 liegt auf dem S-Wert der Linie 148. Die Funktion 154 zeigt eine Rampe 156 die von dem S-Wert der Linie 148 ausgeht und von S_max aufwärts konstant "1" bleibt. Die Funktionen schneiden sich bei einem Funktionswert von 0,5. Die Funktion 150 ist der linguistischen Größe "normal" zugeordnet, die Funktion 152 der linguistischen Größe "gering" (fault) und die Funktion 154 der linguistischen Größe "erhöht". Ein bestimmter Wert S der Varialblen kann dann zu einem bestimmten Prozentsatz z.B. der linguistischen Größe "normal" und zu einem anderen Prozentsatz der linguistischen Größe "gering" zugeordnet sein.

[0048] Fig.6 zeigt ein Beispiel, bei welchem die Zu- oder Abnahme eines Symptoms oder Merkmals ein Kriterium für das Auftreten eines "faults" bildet und durch Einführung linguistischer Wertebereiche (Fuzzy-Mengen) beschrieben wird, wobei jedem dieser Wertebereiche eine "Zugehörigkeitsfunkton" zugeordnet ist. In Fig.6 sind die Zugehörigkeitsfunktionen als Grad µ(S) der Zugehörigkeit eines Wertes S zu einem Wertebereich dargestellt. µ(S) ist wieder maximal eins. Es gibt die von einer Dreiecksfunktion gebildete Zugehörigkeitsfünktion 158 des Wertebereichs "normal", die trapezförmigen Zugehörigkeitsfunktionen 160 und 162 der positiven bzw. negativen Wertebereiche "weniger" und die Zugehörigkeitsfunktionen 164 und 166 der positiven bzw. negativen Wertebereiche "viel". Die Wertebereiche überlappen sich, so daß ein bestimmter Wert S in unterschiedlichem, durch die Zugehörigkeitsfünktionen bestimmten Grade verschiedenen benachbarten Wertebereichen angehören kann.

[0049] Durch die "Fuzzifizierung" erhält das Entscheidungsnetzwerk 128 an den verschiedenen Eingängen von dem Identifizierungsnetzwerk 126, den Kalman-Filtern 120 und 130 und dem heuristischen Wissen 134 vergleichbare Eingangsgrößen, nämlich Zugehörigkeitsgrade zwischen null und eins zu linguistischen Wertebereichen.

[0050] Fig.7 zeigt in einer anderen Darstellung das Entscheidungsnetzwerk 128 und die darin erfolgende Signalverarbeitung.

[0051] In einer Datenbank 170 sind für die verschiedenen Eingangs-Variablen des Entscheidungsnetzwerkes 128 die linguistischen Wertebereich (Fuzzy-Mengen) und die Zugehörigkeitsfunktionen für diese Wertebereiche abgespeichert. Block 172 symbolisiert eine Eingangs-Schnittstelle für die Fuzzifizierung der Eingangsvariablen, die auf Eingänge 174 aufgeschaltet sind. Das sind Operationen, wie sie im Zusammenhang mit Fig.5 und 9 geschildert sind. Die Fuzzifizierung ist unten in Fig.7 durch Block 176 angedeutet. Die so erhaltenen linguistischen Größen sind auf Block 178 aufgeschaltet. Block 178 enthält eine Regel-Datenbank 180. Die Regel-Datenbank enthält Regeln der Form "If..., then..." (Wenn..., dann...), nach denen die linguistischen Größen in einer Inferenzstufe 182 verknüpft werden. Das ist unten in Fig.7 durch Block 184 angedeutet. Die so erhaltenen Größen werden in einem Summierpunkt summiert und auf einen Block 188 aufgeschaltet. Der Block 188 stellt eine Ausgangs-Schnittstelle für die Defuzzifizierung dar. Diese Ausgangsschnittstelle erhält ebenfalls die in der Datenbank 170 gespeicherten linguistischen Wertebereiche und Zugehörigkeitsfunktionen über Verbindung 190. Die Defuzzifizierung ist unten in Fig.7 durch einen Block 192 angedeutet. Die Ausgangs-Schnittstelle liefert an einem Ausgang 194 als "harten" Ausgang einen Sensor-Statusvektor, mit dessen Hilfe die Signale der jeweils intakten Sensoren zur Weiterverarbeitung im System rekonfiguriert werden können..

[0052] Die Abbildung aufgetretener "faults" auf beobachtbare Symptome oder Merkmale folgt physikalischen Ursache-Wirkung-Zusammenhängen, wobei häufig die analytische Beschreibung dieser Zusammenhänge schwierig ist. In diesem Falle ist der Einsatz lernfähiger Netzwerkstrukturen angezeigt, wie sie in Fig.4 angedeutet sind. Dabei kann aber heuristisches Wissen in Form von "If..,then..."-Regeln zur linguistisch-qualitativen Beschreibung der Zusammenhänge ganz wesentlich mit einbezogen werden. Der auf den ersten Blick kompliziert erscheinende Aufbau des Entscheidungsnetzwerkes 128 von Fig.4 und 7 führt zu einer einfachen hardwaremäßigen Realisierung als fuzzy-neuronales Netzwerk.

[0053] Das hier beschriebene Konzept zur Sensor FDIR ist eine paritätsvektorbasierte, merkmalgestützte, wissensbasierte Methode. Sie kommt ohne jede mehr oder weniger aufwendige Sensor- oder Subsystem-Modellierung aus. Weiterhin zeichnet sie die Fähigkeit zur Detektion und Lokalisierung gleichzeitiger oder in kurzer Folge auftretender Fehler aus, mit der Möglichkeit zur Selbstregerneration.

[0054] Die für die Verwirklichung notwendigen drei Netzwerke (Fig.4) sind in Hardware als ASICS realisierbar, so daß Probleme mit Softwarezuverlässigkeit an dieser Stelle vermieden werden können. Durch die Hardware-Realisierung sind die Netzwerke schnell und -wegen der parallelen Strukturen- fehlertolerant sowie kostengünstig produzierbar. Sie sind an Veränderungen anpaßbar durch Lernen und nicht durch Umprogrammieren.

[0055] Das beschriebene FDIR-Konzept setzt similare oder dissimilare Sensor-Redundanz voraus. Es kann in seiner grundsätzlichen Struktur auch für die Multi-Sensorik zur Zeiterfassung sowie für nicht redundante Sensorkonfigurationen angewendet werden. Letzteres erfordert allerdings analytische Redundanz mit modellbasierten Ansätzen, wobei wiederum auf wissensbasierte Darstellungen zurückgegriffen werden kann.

[0056] Die Prozessor- und Speicherhardware wird mit üblichen, bewährten BIT-Mitteln überwacht. Fehlertoleranz ist durch Vermehrfachung mit mechanischer und elektrischer Segregation in Verbindung mit Voting/Monitoring Techniken grundsätzlich implementierbar. Wegen der Zuverlässigkeit der betreffenden Hardware Bausteine auch bei langer Lagerung kann auf diese Maßnahme zur Gewährleistung der Verfügbarkeit verzichtet werden.

[0057] Beachtenswert ist jedoch die Tatsache, daß die Speichermodule (EEPROMS, FLASHPROMS) bei langer Lagerfähigkeit (>10 Jahre) ihre Inhalte teilweise oder sogar ganz verlieren können. Diesem kann jedoch ggfs. durch Wiederladen der Software bei der Einsatzvorbereitung Rechnung getragen werden.

[0058] Wegen des bekannten Verlaufs der Zahl der Ausfälle über der Nutzungszeit bei Hardware Bauteile (sog. "Badewannenkurve") treten Hardwarefaults statistisch gesehen nach einer exponentiellen Wahrscheinlichkeitsverteilung auf . Sie sind damit statistisch vorhersagbar, so daß die Verfügbarkeit des betreffenden Systems in diesem Punkt durch präventive Wartungsmaßnahmen gewährleistet werden kann.

[0059] Die Software-Struktur für die Hauptkontroll- Lenk- und Regelfunktionen des Flugkörpers ist vereinfacht in Fig.8 dargestellt.

[0060] Block 196 symbolisiert die Software der Missionskontrolle 40 (Fig.1), d.h. bestimmt, was der Flugkörper tun soll, z.B. Detektieren, Identifizieren und Verfolgen eines bestimmten Zieles. Block 198 symbolisiert die Software des Sensor-Subsystems Sucher. Das ist eine Signalverarbeitung der Sucher- und ggf. Inertialsignale, durch welche der Sucher das bestimmte Ziel verfolgt. Block 200 stellt die Software der Midcourse- und Endphasen-Flugführung 36 (Fig.1) dar, durch welche der Flugkörper nach Maßgabe der Suchersignale zum Ziel geführt wird. Schließlich stellt Block 202 die Software des Autopiloten 42 dar, der den Flugkörper nach Maßgabe der Flugführung 36 lenkt.

[0061] Im Gegensatz zu Hardwarefehlern treten Softwarefehler nach völlig anderen Gesetzmäßigkeiten auf . Sie "schlummern latent von Anfang an im System und werden bei bestimmten Kombinationen der Eingangsgrößen und der inneren Zustandsgrößen des betreffenden Moduls ausgelöst. Auch bei umfangreichen Maßnahmen zur Verifikation und Validierung können sie nicht vollständig identifiziert und beseitigt werden. Aufwendige Techniken wurden und werden angewandt, um Softwarefaults zu vermeiden. Ein Beispiel ist die sog. "N-Version-Programmierung". Dabei wird dissimilare Software in N redundanten Software- und Hardware-Kanälen verwendet. Wegen des extrem hohen Entwicklungs- und Implementierungs-Aufwandes ist dieser Weg für Flugkörperanwendungen ausgeschlossen.

[0062] Fig.9 zeigt eine Schaltung, welche mit für Flugkörper tragbarem Aufwand eine Toleranz gegenüber Softwarefehlern bewirkt und damit die Verfügbarkeit des Flugkörpers verbessert.

[0063] In Fig.9 sind mit Block 204 die Sensordaten des Flugkörpers symbolisiert. Block 206 symbolisiert andere Eingangsdaten. Die Datensätze sind parallel auf wenigstens zwei Rechnerkanäle 208 und 210 aufgeschaltet. Die Rechnerkanäle 208 und 210 liefern im Rechentakt Ausgangsdaten p_n bzw. p_n-1. Jeder Rechnerkanal arbeitet mit einer Nominalsoftware N und einer Monitorversion M der Nominalsoftware.

[0064] Die beiden Rechner arbeiten mit einem Zeitversatz von einem Rechentakt. Der Rechner 208 verarbeitet im Zeittakt n die in diesem Zeittakt anfallenden Daten. Der Rechner 210 verarbeitet im gleichen Zeitpunkt die Daten, die im vorangegangenen Zeittakt n-1 angefallen waren. Diese Daten sind in dem vorangegangenen Zeittakt aber schon von dem Rechner 208 verarbeitet worden und zwar einmal von der Nominalsoftware N und zum anderen von der Monitorsoftware M. Wenn der Rechner 208 in den beiden Kanälen mit unterschiedlicher Software N und M zu dem gleichen Ergebnis gekommen ist, das hier als p_n bezeichnet ist, dann ist die Software für diesen Satz von Eingangsvariablen

geprüft". Wenn dieser Satz von Eingangsvariablen einen Zeittakt weiter auf den Rechner 210 aufgeschaltet wird, dann muß auch dieser Rechner mit Nominalsoftware und Monitorsoftware den gleichen Ausgang liefern. Das gestattet eine Kontrolle der Funktion der Rechner 208 und 210. Man hat nämlich die Gewißheit, daß die Software einwandfrei arbeitet. Abweichungen sind dann auf einen Fehler eines der Rechner zurückzuführen.

[0065] Es ist aber auch möglich, die Software zu kontrollieren. Wenn die mit der Nominalsoftware N und der Monitorsoftware M berechneten Ausgangsgrößen in den beiden Kanälen der Rechner 208 und 210 voneinander abweichen, dann liegt ein Softwarefehler vor. Es kann aber nicht gesagt werden, bei welcher Software dieser Fehler aufgetreten ist. Die Überwachung der Software beruht nun auf der Überlegung, daß die Ausgangsgrößen der Rechner, z.B. eine kommandierte Steuerflächenstellung, sich stetig ändern und keine Sprünge machen. Aus dem Verlauf einer Ausgangsgröße in der Vergangenheit kann der Wert der Ausgangsgröße im nächsten Rechentakt mit einiger Genauigkeit prädiziert werden. Eine deutliche Abweichung der Ausgangsgröße von dem pradizierten Wert in einem Kanal, während die Ausgangsgröße in dem anderen Kanal annähernd dem prädizierten Wert entspricht, deutet auf einen Softwarefehler in diesem Kanal hin.

[0066] Das ist in Fig.10 als Flußdiagramm dargestellt.

[0067] Durch ein Oval 212 sind die Eingangsdaten für den n-ten Rechentakt bezeichnet. Mit diesen Eingangsdaten wird mit der Nominalsoftware N der Vektor p zum Zeitpunkt nT, →p

berechnet. Das ist durch das Rechteck 214 dargestellt. Außerdem wird mit diesen Eingangsdaten mit der Monitorsoftware M der Vektor p zum Zeitpunkt nT →p

berechnet. Das ist durch das Rechteck 216 dargestellt. Aus den so mit den beiden Programmen N und M berechneten Vektoren der Ausgangsgrößen wird die Differenz gebildet

[0068] Das ist durch Rechteck 218 dargestellt. Bei einer Abweichung der Ausgangsgrößen in den beiden Kanälen werden aus dem Verlauf p_n-i der Ausgangsgrößen in der Vergangenheit prädizierte Ausgangsgrößen



und



berechnet. Das ist durch Rechteck 220 in Fig.10 dargestellt. Es werden dann im nächsten Rechentakt die Differenzen zwischen den prädizierten Ausgangsgrößen der Rechner und den tatsächlich berechneten Ausgangsgrößen gebildet. Das ist durch Rechteck 222 dargestellt. Durch eine Fuzzy-Entscheidungslogik 224 wird dann an einem Ausgang 226 ein N_n-Status der Nominalsoftware N, ein M_n-Status der Monitorsoftware M und ein ,

Fail"-Status als Software-Statusvektor ausgegeben. Aus den berechneten Vektoren p

, p

, den prädizierten Vektoren und dem Software-Statusvektor wird ein Ausgangsvektor

_n gebildet. Das ist durch ein Rechteck 228 dargestellt. Dieser Ausgangsvektor

_n ist der Vektor, der unter Berücksichtigung der Software-Überwachung auf einen Ausgang 230 aufgeschaltet und weiter benutzt wird.

[0069] Die Monitor- oder Überwachungssoftware M sollte einfache algorithmische und logische Elemente (Standardmodule) verwenden, die in generell validierbaren Strukturen angeordnet eine Vielzahl von (softwaremäßigen) Problemlösungen abbilden können. Es sind also einfache algorithmische und logische Elemente vorgesehen. Diese Elemente werden zu einer bestimmten Problemlösung in dem Problem angepaßten Strukturen kombiniert werden. Diese Voraussetzungen erfüllen in geraden idealer Weise neuronale Netze und fuzzy-neuronale Netze. Diese Netze definieren eine vorgegebene Standardstruktur mit einheitlichen, einfachen Prozessoreinheiten.

[0070] Die freien Parameter der Struktur werden in einer Trainingsphase eingestellt. Dabei werden als Trainingsdaten Ein- und Ausgangsvektoren der Ein- bzw. Ausgangsräume des jeweils zugehörigen Nominalsoftware-Moduls verwendet. Es besteht die Möglichkeit, durch genetische/evolutionäre Algorithmen die Struktur und/oder Parameter nach vorgegebenen Kriterien zu optimieren. Damit ist eine automatische Erzeugung der Monitorsoftware möglich. Zum ebenfalls automatischen Test der generierten Software werden andere als die Trainingsvektoren aus den Ein- bzw. Ausgangsräumen benutzt.

[0071] Das ist in Fig.11 dargestellt.

[0072] Block 232 symbolisiert ein neuronales Netz, das in der vorstehend geschilderten Weise verwendbar ist. Block 234 symbolisiert ein entsprechend verwendbares fuzzy-neuronales Netz. Schließlich symbolisiert Block 236 einen genetischen Algorithmus. Das neuronale Netz 232 und das fuzzy-neuronale Netz 234 liefern eine Standarddarstellung. Daraus ergibt sich durch Trainieren mit Eingangs- und Ausgangsdaten (

datengetrieben"), die durch einen Speicher 238 dargestellt sind, eine Einstellung von Strukturparametern. Diese Art der Strukturierung besitzt auch ein Potential für eine genetische/evolutionäre Optimierung der Struktur und/oder Parameter. Das ist in Fig. 11 durch einen Block 240 dargestellt. Es ergibt sich eine automatische Erzeugung der Monitorsoftware. Das ist durch Block 242 in Fig.11 dargestellt. Zum Testen der so erhaltenen Monitorsoftware dienen Ein- und Ausgangsvektoren der Ein- bzw. Ausgangsräume, die von den Trainingsvektoren verschieden und auch in Speicher 238 gespeichert sind.

[0073] Dieses Verfahren ist ganz generell zur automatischen Erzeugung von Softwaremodulen anwendbar.

[0074] Die Monitorsoftware wird auf der Basis einer neuronalen oder fuzzy-neuronalen Netzwerkstruktur erzeugt. Dabei kann bevorzugt die Monitorsoftware M als Hardware-Modul, beispielsweise in Form eines ASIC realisiert werden. Das hat verschiedene Vorteile: Die Zuverlässigkeit des Moduls kann nach den Gesetzen des Ausfalls von Hardware beurteilt werden. Es wird nicht Software zur Überwachung von Software verwendet. Die parallele Informationsverarbeitung in der Hardware liefert -in gewissen Grenzen- eine inhärente Fehlertoleranz des Moduls.

[0075] In weiterer Ausbildung der Erfindung kann auch die Nominalsoftware durch hinsichtlich des Ein- und Ausgangs abbildungsgleiche Hardwaremodule ersetzt werden. Diese Hardwaremodule können dort, wo die inhärente Fehlertoleranz zur Erzielung der erforderlichen Zuverlässigkeit und damit Verfügbarkeit nicht ausreicht, vermehrfacht werden. Damit würden Monitormodule entfallen. Die Software ist dabei auf Hardwaremodule hoher Zuverlässigkeit abgebildet, wobei die Anpassung an unterschiedliche Aufgaben durch Lernen erfolgt.

[0076] Ein Flugkörper kann eine Mehrzahl von Stellgliedern aufweisen. Das ist in Fig. 12 dargestellt. Der Flugkörper 10 kann ein Querschubtriebwerk 244 aufweisen, das auf den Flugkörper 10, wie dargestellt, einen Querschub ausübt. Das bewirkt eine Querbeschleunigung des Flugkörpers 10. Weitere Stellglieder können Steuerflächen oder Ruder 246 sein. Ein Ruderausschlag, wie dargestellt, bewirkt einen Anstellwinkel, der ebenfalls zu einer Querbeschleunigung führt. Schließlich kann der Schubvektor des Triebwerks durch Verstellung der Triebwerkdüse oder durch in den Triebwerkstrahl ragende Ablenkflächen (Jet Vanes), wie dargestellt, verändert werden. Ein Flugkörper kann alle drei Arten von Stellgliedern aufweisen. Es ist aber dann bei Ausfall eines Stellglieds nicht möglich, die Bewegungen des Flugkörpers durch die verbleibenden Stellglieder in der gewünschten Weise zu beeinflussen.

[0077] Das Stellsystem des Flugkörpers ist daher eine

Simplexkonfiguration". Es besteht keine möglichkeit zu einer Rekonfiguration, wie sie in der oben beschriebenen Weise z.B. bei Ausfall redundant vorhandener Sensoren möglich ist. Daher werden in weiterer Ausgestaltung der Erfindung zusätzlich zu der üblichen Überwachung Maßnahmen zur

intelligenten" Erkennung und Identifizerung von Fehlern vorgesehen. Dadurch soll die Wahrscheinlichkeit der Erkennung und Lokalisierung von Fehlern (faults) in der Vorflugphase sowie möglichst bis unmittelbar vor dem Abgang erhöht werden.

[0078] Eine solche Anordnung ist in Fig.13 dargestellt.

[0079] Wie in Fig.13 dargestellt ist, muß zwischen externen und internen

faults" unterschieden werden. Externe

faults" sind z.B. Beschädigung durch Kollision oder Fehler in der Stromversorgung. Interne

faults" sind z.B. Fehler an Getriebe, Lager, nicht ausreichende Schmierung oder Komponentenfehler. An dem Stellglied 250 kann eine erste Überwachung erfolgen, indem durch Messung bestimmter Signale, z.B. des Eingangsstromes oder der Auslenkung, und Vergleich dieser Signale mit fuzzy vorgegebenen Toleranzschwellen nach Art von Fig.5 eine generelle Aussage über die Funktion des Stellgliedes gemacht wird.

[0080] Eine Verbesserung der Fehlererkennung und vor allem auch die Möglichkeit einer Lokalisierung ist mit Hilfe wissensbasierter Elemente realisierbar. Dabei wird, wie in Fig. 13 gezeigt, von neuronal oder fuzzy-neuronal dargestellten, nichtlinearen dynamischen Zustands- und Parametermodellen ausgegangen. In Fig.13 ist mit 252 ein neuronales Netz bezeichnet, daß ein solches Modell darstellt. Mit 254 ist ein fuzzy-neuronales Netz bezeichnet, das ebenfalls ein solches Modell darstellt. Die Modelle von den Netzen 252 und 254 sind auf einen wissensbasierten, nichtlinearen Schätzer 256 geschaltet, der zum Vergleich Daten von dem Stellglied 250 erhält. Auf den Schätzer 256 sind ggf. auch weitere Eingänge vom Flugführungs- und Regelsystem des Flugkörpers 10 geschaltet, wie durch Eingang 258 angedeutet ist. Der Schätzer 256 liefert in Echtzeit Schätzwerte der Zustandsgrößen x und der Parameter p des Stellgliedes. Bei Auftreten von Fehlern enthalten diese Schätzwerte die Fehleranteile Δ x und Δp . Bei Kenntnis der betreffenden Nominalwerte kann durch eine Fuzzy-Entscheidungs- und Inferenzeinheit 160 kontinuierlich eine Aussage über den Status der Stellglieder gemacht werden.

[0081] Wie in Fig.2 dargestellt ist, ist eine Inferenz-und Status-Einheit 90 vorgesehen, welcher die Ergebnisse der Sensor-, Informations-, Datenverarbeitungs- und Stellgliedüberwachung sowie die Ergebnisse der eingebauten Prüfung (BIT) zugeführt werden. Die Einheit 90 erzeugt daraus durch Schlußfolgerungs- und Inferenzprozesse mit Fuzzy-Logik Informationen bezüglich des Funktionsstatus des Flugkörpers und seiner wesentlichen Funktionsteile und damit über dessen Verfügbarkeit.

Ansprüche

1. Flugkörper, dadurch gekennzeichnet, daß zur Erhöhung der Verfügbarkeit des Flugkörpers (10) funktionswichtige Elemente des Flugkörpers (10) redundandant vorgesehen sind und der Flugkörper (10) Mittel (80) zur Fehlerdetektion und - lokalisierung und Rekonfiguration dieser Elemente aufweist.

2. Flugkörper nach Anspruch 1, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration wissensbasierte Mittel (98) enthalten.

3. Flugkörper nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration modellbasierte Mittel (98) enthalten.

4. Flugkörper nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration musterbasierte Mittel (98) enthalten.

5. Flugkörper nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration paritätsbasierte Mittel (98) enthalten.

6. Flugkörper nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration Mittel (94) zur Überwachung von redundanter Hardware durch Mehrheitsbetrachtung enthalten.

7. Flugkörper nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration Mittel (88) zur Überwachung von redundanter Hardware durch unmittelbare Funktionsprüfung enthalten.

8. Flugkörper nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration Mittel (94) zur Überwachung von der Hardware durch Plausibilitätsbetrachtung enthalten.

9. Flugkörper nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß die Mittel zur Fehlerdetektion und -lokalisierung und Rekonfiguration Mittel (102) zur Überwachung der operationellen Software enthalten.

10. Flugkörper nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß

(a) Sensoren (114;116) zur Messung des Eigenbewegungszustandes des Flugkörpers (10) selbst und Sensoren (118) zur Zielerfassung und - verfolgung derart vorgesehen sind, daß Informationen über den Eigenbewegungszustand des Flugkörpers (10) redundant erhalten werden,

(b) die Mittel zur Funktionsüberwachung Mittel (106) zur Rekonfiguration derart enthalten, daß bei Unbrauchbarwerden einer Information eines Sensors diese Information aus den Informationen der anderen Sensoren gewonnen wird.

11. Flugkörper nach Anspruch 10, dadurch gekennzeichnet, daß Inertialsensoren (114) vermehrfacht vorgesehen sind.

12. Flugkörper nach Anspruch 10 oder 11, dadurch gekennzeichnet, daß der Flugkörper einen Mehrkanal-Satellitennavigations-Empfänger (116) enthält.

13. Flugkörper nach einem der Ansprüche 10 bis 12, dadurch gekennzeichnet, daß Mittel (36) zur Erzeugung von Bewegungsinformationen aus den Daten von zielerfassenden Infrarot- und Radarsensoren vorgesehen sind.

14. Flugkörper nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, daß zur Überwachung der Sensorfehler ein Neuro-Fuzzy-Netzwerk (128) vorgesehen ist.

15. Flugkörper nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, daß

(a) ein von den redundanten Sensorsignalen gebildeter Meßvektor (m) auf ein neuronales Projektions- und Detektions-Netzwerk (124) geschaltet ist, durch welches durch Projektion des Meßvektors (m) in den zum Meßraum orthogonalen Fehlerraum (Paritätsraum) eine Trennung von Nutzsignal und Fehler durchgeführt und damit ein Merkmalsvektor (v) erzeugt wird, auf den sich Fehler abbilden,

(b) der Merkmalsvektor (v) als Eingangsgröße auf ein neuronales Identifizierungs-Netzwerk (126) aufgeschaltet ist, durch welches eine Lokalisierung des aufgetretenen Fehlers erfolgt.

16. Flugkörper nach den Ansprüchen 14 und 15, dadurch gekennzeichnet, daß

(a) der Merkmalsvektor (v) auf ein Entscheidungs-Netzwerk (128) aufgeschaltet ist,

(b) das Entscheidungs-Netzwerk (128) ein Neuro-Fuzzy-Netzwerk mit einer Fuzzyfizierungs-Schicht (136), einer Regelschicht (138), einer Inferenz-Schicht (140) und einer Defuzzyfizierungs-Schicht (142) ist und

(c) das Entscheidungs-Netzwerk (128) einen Sensor-Statusvektor liefert.

17. Flugkörper nach Anspruch 16, dadurch gekennzeichnet, daß auf das Entscheidungs-Netzwerk (128) auch der Merkmalsvektor (m) aufgeschaltet ist.

18. Flugkörper nach einem der Ansprüche 1 bis 17, dadurch gekennzeichnet, daß zur Überwachung der Software

(a) zu berechnende Daten einmal mit einem mit einem Hauptprogramm (N) und einmal mit einem Überwachungsprogramm (M) berechnet werden,

(b) aus den schon berechneten Daten durch Extrapolation prädizierte Daten berechnet werden.

(c) die Differenzen zwischen prädizierten Daten und den durch die Programme tatsächlich gelieferten Daten bestimmt werden und

(d) diese Differenzen auf eine Fuzzy-Entscheidungslogik (224) geschaltet sind, welche einen Software-Statusvektor liefert.

19. Flugkörper nach Anspruch 1, dadurch gekennzeichnet, daß

(a) Eingangsdaten parallel durch zwei Rechnerkanäle jeweils mittels eines Hauptprogramms und eines Überwachungsprogramms verarbeitet werden,

(b) die beiden Rechnerkanäle mit Zeitversatz von wenigstens einem Rechentakt arbeiten und

(c) Mittel zum Vergleichen der in den beiden Rechnerkanälen erhaltenen berechneten Ausgangswerte vorgesehen sind, wobei bei Übereinstimmung der mit Haupt- und Überwachungsprogramm in dem vorlaufenden Rechnerkanal und Abweichung in den mit gleichen Eingangswerten in den beiden Rechnerkanälen erhaltenen Ausgangswerte ein Defekt der Hardware in einem der Rechnerkanäle angenommen wird.

20. Flugkörper nach Anspruch 18 oder 19, dadurch gekennzeichnet, daß das Überwachungsprogramm (M) als Fuzzy-Entscheidungslogik ausgebildet ist, deren Struktur und/oder Parameter durch genetische oder evolutionäre Algorithmen erzeugt ist.

21. Flugkörper nach Anspruch 20, dadurch gekennzeichnet, daß die Fuzzy-Entscheidungslogik als Hardware-Modul hergestellt ist.

22. Flugkörper nach einem der Ansprüche 1 bis 21, dadurch gekennzeichnet, daß fehlerdetektierende Mittel (86) für die Stellglieder vorgesehen sind.

23. Flugkörper nach einem der Ansprüche 1 bis 22, gekennzeichnet durch Mittel (90) zur Erzeugung eines Flugkörper-Statussignals.

Zeichnung