Когда речь заходит об авиационных стандартах, регулирующих сертификацию авиационного программного обеспечения, то обычно инженерам на ум приходит руководство «Квалификационные требования. Часть 178С. Требования к ПО бортовой аппаратуры и систем при сертификации авиационной техники».

Но не всем известно, что при подготовке к сертификации авиационного ПО важно также учитывать требования нормативной базы для квалификации ПО.

Более того, в части касающейся среды разработки, верификации, интеграции или других инструментов поддержки жизненного цикла ПО, часто бывает необходимо руководствоваться требованиями дополнений, а не руководства КТ-178C.

Какая же нормативная база используется для квалификации ПО?

Программные инструменты широко используются во многих областях, помогая разрабатывать, верифицировать и управлять другим программным обеспечением (ПО). Примерами являются генераторы автокода, компиляторы, инструменты тестирования, верификаторы моделей, инструменты управления модификацией и др.

Процесс квалификации инструмента нужен, чтобы подтвердить, что данный инструмент обеспечивает уровень доверия, по крайней мере, эквивалентный тому, который обеспечивается исключаемым, упрощаемым или автоматизируемым процессом (процессами).

Процесс квалификации инструмента может применяться к одному инструменту, их набору или к одной или нескольким функциям инструмента.  Для инструмента с несколькими функциями, если можно продемонстрировать их защиту, то квалификация требуется только для тех функций, которые используются для исключения, упрощения или автоматизации процессов ЖЦ ПО, и чьи выходные данные не верифицируются.  Защита представляет собой использование механизма, гарантирующего, что одна функция инструмента не может неблагоприятно влиять на другую функцию.

Инструмент квалифицируется только для использования при разработке конкретной системы, когда намерение его использовать объявлено в Плане Сертификации ПО этой системы.  Если инструмент, ранее квалифицированный для одной системы, предлагается использовать при разработке другой системы, то он должен быть повторно квалифицирован в контексте этой системы.

Нормативной базой для квалификации программного обеспечения является руководство Р-330 (Руководство по квалификации программных инструментов) – для квалификации генераторов кода, компиляторов и инструментов тестирования.

Если в рамках процесса разработки и верификации ПО требования к ПО и/или архитектуре были представлены на основе моделей, необходимо также учитывать уточненные цели и мероприятия дополнения Р-331 (Руководство Р-331. Разработка и верификация на основе модели. Дополнение к документам КТ-178С и КТ-278А).

Для квалификации инструментов, в основе которых лежат формальные методы, необходимо также учитывать уточненные цели и мероприятия дополнения Р-333 (Руководство Р-333. Дополнение по формальным методам к документам КТ-178C и КТ-278A).

Зарубежные названия данных документов DO-330, DO-331, DO-333.

Далее будет приведен краткий содержательный анализ руководств, являющихся нормативной базой для квалификации ПО.

📑Назначение документа «Руководство по квалификации программных инструментов (Р-330)» – предоставить руководство по квалификации инструмента.

📑В документе «Руководство по квалификации программных инструментов (Р-330)» определяется пять уровней квалификации инструментов (от TQL-1 до TQL-5).

По мере роста потенциального влияния инструмента на процесс ЖЦ ПО растет строгость уровня квалификации инструментов (TQL) из-за потенциального влияния на безопасность системы.

📑Определение того, какой уровень присваивается квалификации инструмента, выполняется путем оценки использования данного инструмента в процессе ЖЦ ПО, как определено в связанном с конкретной областью руководством (например, в разделе 12.2 документа КТ-178C).

Уровень строгости квалификации меняется в зависимости от уровня квалификации. Уровень квалификации инструмента TQL-1 является самым строгим уровнем и требует хорошо определенных и исполненных процессов разработки, верификации и интегральных процессов инструмента с наивысшим уровнем независимости верификации. Остальные уровни требуют меньшей строгости. Уровень квалификации инструмента TQL-5 является уровнем квалификации с минимальной строгостью.

📑Документ «Руководство Р-331. Разработка и верификация на основе модели. Дополнение к документам КТ-178С и КТ-278А (Р-331)» содержит изменения и дополнения к целям, мероприятиям, поясняющему тексту и данным ЖЦ ПО в документе КТ-178С, к которым следует обращаться, когда разработка и верификация ПО на основе моделей являются частью ЖЦ ПО. К данным ЖЦ ПО относятся также объекты, которые будут выражены с помощью моделей, и доказательные материалы верификации, которые могут быть получены из них. Таким образом, документ применим также к моделям, разрабатываемым в системных процессах, в котором определяются требования к ПО и к архитектуре ПО. Данный документ должен использоваться вместе с КТ-178 С.

📑Документ «Руководство Р-333.
Дополнение по формальным методам к документам КТ-178C и КТ-278A (Р-333)» описывает процедуры, стандарты или рекомендации по использованию формальных методов для обеспечения качества и безопасности в процессе разработки, производства и эксплуатации продукции. Также он содержит требования к оформлению документации, терминологии и другим аспектам, связанным с применением формальных методов.

Дополнение определяет изменения и дополнения к целям, мероприятиям, пояснительному тексту и данным ЖЦ ПО документа КТ-178C, к которым следует обращаться, когда формальные методы используются как часть ЖЦ ПО. Сюда включаются артефакты, которые могут быть выражены с помощью некоторой формальной нотации, и свидетельства верификации, которые могут быть получены на их основе.

В подведение итогов и для закрепления результатов отдельно выделим, в каком случае к какой нормативной базе для квалификации ПО мы должны не забывать обращаться:

✅ Для квалификации инструмента необходимо обращаться к положениям стандарта Р-330(Руководство по квалификации программных инструментов). Необходимо определить, какой уровень присваивается квалификации инструмента, путем оценки использования данного инструмента в процессе ЖЦ ПО, как определено в связанном с конкретной областью руководством (например, в документе КТ-178C).

✅ Если разработка и верификация ПО на основе моделей являются частью ЖЦ ПО, тогда необходимо учитывать уточненные цели и мероприятия, описанные в документе Р-331 (Руководство Р-331. Разработка и верификация на основе модели. Дополнение к документам КТ-178С и КТ-278А.

✅ Для квалификации инструментов, в основе которых лежат формальные методы, необходимо учитывать уточненные цели и мероприятия дополнения Р-333 (Руководство Р-333. Дополнение по формальным методам к документам КТ-178C и КТ-278A).

✅ Руководства Р-331 и Р-333 содержат изменения и дополнения к целям, мероприятиям, поясняющему тексту и данным ЖЦ ПО в документе относительно КТ-178С.

Что такое криптография и зачем она нужна для обеспечения безопасности информации? Это главный вопрос, который мы разберём сегодня.

Как говорили многие выдающиеся учёные, лучшее объяснение — то, которое понятно даже ребёнку. Поэтому попробуем простыми словами разобрать основы шифрования и принципы, на которых строится современная защита данных.

Внимание для специалистов: в тексте используются упрощения и неточности, чтобы сохранить доступность материала. Автор с благодарностью примет замечания и дополнения в комментариях :)

Перед началом стоит задуматься: когда вы отправляете кому-то сообщение — личное, рабочее или секретное — насколько вы доверяете мессенджеру, через который это делаете?

Виды шифрований

Как можно скрыть информацию? Шифр Цезаря, Виженера, Бэкона или сциатлы давно ушли в прошлое. Современная криптография опирается на три основных подхода:

• Симметричное шифрование
• Асимметричное шифрование
• Zero-Knowledge Proofs (Криптография с нулевым разглашением)

Далее подробно остановимся на первых двух, но начнём с базовых принципов, на которых строится любой хороший шифр.

Принципы надёжного шифра

Математик Клод Шеннон выделил два ключевых свойства хорошего шифра: диффузию и конфузию.

Диффузия

Диффузия устраняет закономерности исходного текста, делая невозможным анализ частоты символов. Один символ открытого текста влияет на большое количество символов зашифрованного текста и наоборот. Это можно сравнить с каплей чернил в стакане воды: после перемешивания невозможно определить, где именно она упала — всё пространство равномерно окрашено.

Без диффузии шифры достаточно легко взломать. Представим, что мы заменяем каждую букву каким-то другим символом (A→Q, B→W и т.д.). Для большого текста распределение частот букв сохранится: самая частая буква «E» в английском остается самой частой и в шифротексте. Слово «THE», встречающееся часто, превратится в некую триаду, которая тоже будет часто повторяться. Именно этим и пользовались криптоаналитики — изучали гистограмму частот и по ней восстанавливали соответствия. Так ломались классические подстановочные шифры.

Конфузия

Конфузия делает взаимосвязь между ключом, открытым и зашифрованным текстом максимально запутанной. Если при изменении всего одного бита в ключе несколько или даже все биты в зашифрованном тексте тоже меняются — значит, конфузия работает как надо. Это можно сравнить с перемешанной колодой карт. Представьте, что вы перетасовали колоду карт, и теперь каждая карта лежит в новом месте. Если бы кто-то наблюдал за процессом, но не следил за всеми движениями — он не смог бы восстановить исходный порядок колоды.

Совместно с диффузией конфузия обеспечивает устойчивость шифра к криптоанализу: закономерности размываются, а зависимости — маскируются.

Элементарные операции шифрования

Практически все современные алгоритмы шифрования строятся на нескольких простых, но мощных операциях:

1. XOR (sum mod 2, исключающее «или») — основа конфузии. Позволяет объединить данные и ключ так, что результат выглядит случайным.
2. Сложение по модулю 2^n  (sum mod 2^n) — при сложении с переполнением результат зависит не только от конкретных битов, но и от переноса между ними — это добавляет нелинейности, а значит, усиливает конфузию.
3. Циклический сдвиг (ROL, ROR) — циклический сдвиг битов влево и вправо, основа диффузии, основной инструмент диффузии. Они «размазывают» влияние одного бита по разным позициям в слове. Например, если один бит изменился в начале, после нескольких сдвигов он уже влияет на совершенно другое место в последовательности.
4. Разделение и объединение (SPLIT, UNION) — позволяют обрабатывать разные части данных отдельно и снова объединять их, усиливая взаимное влияние.

На этих простых операциях строятся даже самые сложные современные шифры. Они как ноты в музыке: сами по себе просты, но в правильной комбинации создают настоящие симфонии защиты данных.

Симметричное шифрование

В симметричной криптографии один и тот же ключ используется для шифрования и расшифровки. Тот, кто владеет этим ключом, может и скрыть информацию, и восстановить её.

Наиболее известные симметричные алгоритмы: AES, Магма, Кузнечик, DES, 3DES, RC4. Они делятся на два типа: блочные и поточные.

Блочные шифры

Блочные шифры обрабатывают данные порциями фиксированного размера (например, по 128 бит). Чтобы зашифровать поток данных, используется режим шифрования — способ последовательного применения алгоритма к множеству блоков.

Режим шифрования — это своего рода «архитектура дома», построенного из одинаковых «кирпичей» алгоритма. От него зависит не только надёжность, но и удобство работы с большими массивами данных.

Наиболее известные режимы:

1. CBC (Cipher Block Chaining) — каждый новый блок зависит от предыдущего, создавая цепочку, где ошибка в одном месте может повлиять на всё сообщение;

2. CFB (Cipher Feedback) — позволяет обрабатывать данные как поток, превращая блочный шифр в поточный;

3. CTR (Counter Mode) — использует счётчик для генерации последовательности, что делает его быстрым и удобным для параллельной обработки;

4. ECB (Electronic Codebook) — самый простой режим, где каждый блок шифруется независимо. Но он же и самый уязвимый, потому что одинаковые блоки на входе дают одинаковые блоки на выходе. На картинке с зашифрованным пингвином в интернете можно увидеть, что это далеко не лучший выбор;

5. GCM (Galois/Counter Mode) — один из самых популярных современных режимов, обеспечивающий не только шифрование, но и аутентификацию (проверку целостности данных);

6. OFB (Output Feedback) — похож на CFB, но генерирует собственный поток данных, который не зависит напрямую от исходного текста.

Поточные шифры

Поточные шифры шифруют данные побитно — «на лету». Они основаны на гаммировании: к исходным данным по операции XOR добавляется псевдослучайная последовательность (гамма), генерируемая из ключа.

Различают два типа поточных шифров:

1. Синхронные — гамма генерируется независимо у отправителя и получателя, но должна совпадать.
2. Самосинхронизирующиеся — каждый следующий бит гаммы зависит от нескольких предыдущих зашифрованных символов. Это позволяет восстановить синхронизацию даже при потере части данных.

Алгоритм AES

Каждый раунд AES можно представить как мини-кухню для байтов. Сначала каждый байт “a” проходит через таблицу “b” подстановок, затем строки сдвигаются влево — как пассажиры, пересевшие на новые места в автобусе, чтобы изменить порядок. Далее колонки перемешиваются, и все закрывается секретным ключом — операцией XOR.  После такого «коктейля» данные становятся настолько неузнаваемыми, что даже самый любопытный хакер не отличит ноль от единицы.

Асимметричное шифрование

Асимметричная криптография решает главную проблему симметричной — как безопасно обменяться ключом через открытый канал.

Здесь используются два ключа:

1. Публичный (открытый) — можно передавать кому угодно;
2. Приватный (закрытый) — хранится только у владельца.

Они математически связаны, но вычислить один из другого практически невозможно. Принцип основан на односторонних функциях — их легко выполнить в одном направлении, но чрезвычайно сложно обратить.

Как это работает

Представьте замок с двумя ключами: один ключ (публичный) может запереть замок, но не открыть, другой (приватный) может открыть, но не запереть. Если кто-то захочет отправить вам сообщение, он будет использовать ваш публичный ключ для шифрования. Расшифровать сможет только владелец приватного ключа. В обратную сторону — приватный ключ используется для цифровой подписи, а публичный — для её проверки. Так обеспечиваются конфиденциальность и аутентичность сообщений.

Основные алгоритмы

1. RSA — основан на сложности разложения больших чисел на множители.
2. Диффи–Хеллман — первый протокол безопасного обмена ключами.
3. ECC (Elliptic Curve Cryptography) — использует эллиптические кривые, обеспечивает тот же уровень защиты при меньшей длине ключа.
4. NTRU — один из кандидатов в постквантовые алгоритмы, устойчивый к квантовым атакам.

Пример: RSA в нескольких шагах

RSA – это способ шифрования, который основан на одной интересной идее: очень легко перемножить два больших простых числа, но очень сложно потом по результату обратно найти эти два числа.

На этом построен весь алгоритм:

1. Сначала выбираем два простых числа p и q, причем они не должны быть одинаковыми.

2. Умножаем их и получаем число N = p * q. Оно будет использоваться и в открытом, и в закрытом ключе.

3. Вычисляем значение функции Эйлера: φ(N) = (p - 1) * (q - 1). Это нужно для выбора ключей.

4. Теперь выбираем число e — открытую экспоненту. Оно должно быть меньше φ(N) и не иметь с ним общих делителей (кроме 1).

5. Дальше находим число d — это закрытая экспонента, то есть секретная часть ключа. Она выбирается так, чтобы выполнялось условие: d * e mod φ(N) = 1 (это значит, что d и e — как бы «обратные» друг другу по модулю φ(N)).

6. В результате у нас получается: открытый ключ: (e, N) — его можно показывать всем; закрытый ключ: (d, N) — его нужно держать в секрете.

Угроза квантовых компьютеров

Квантовые компьютеры работают по иным законам, чем классические. Если классический думает последовательно: ноль, потом один, потом снова ноль, то квантовый может быть и нулем, и единицей одновременно. Из-за этого некоторые задачи, которые для обычных машин занимают миллиарды лет, квантовый компьютер может решить за часы.

Проблема в том, что именно на таких «трудных» задачах и держится наша криптография. Например, RSA защищает данные потому, что разложить огромное число на множители сейчас практически невозможно. Но если появится мощный квантовый компьютер, он справится с этим за считанные минуты. Это всё благодаря алгоритму Шора, который умеет находить те самые множители, от которых зависит безопасность RSA и эллиптических кривых.

Мир уже готовится к постквантовой криптографии — новым алгоритмам, устойчивым к квантовым вычислениям. И лучше сменить замки заранее, чем однажды обнаружить, что дверь уже открыта.

В современном автомобилестроении обеспечение функциональной безопасности стало критическим императивом. Сердцем этого процесса, регламентированного стандартом ISO 26262, является Анализ опасностей и Оценка Рисков (HARA).

Данная статья представляет собой рекомендации начинающим специалистам по функциональной безопасности, и раскрывает философию HARA, методологию и практические аспекты.

1️⃣ Для чего необходим анализ HARA? Баланс между инновациями и безопасностью

▪️Разработка современных автомобилей — это поиск компромисса между потребительскими свойствами (комфорт, автоматизация) и потенциальными опасностями, которые может нести электронная функция.

HARA — это инструмент для проактивной идентификации опасного поведения системы на ранних этапах. Он закладывает фундамент функциональной безопасности, отвечая на вопрос: "От каких опасностей мы должны защитить людей?"

2️⃣ В чем заключается анализ HARA?

От malfunction к показателям риска
HARA — это структурированный процесс:

▪️Определение некорректного функционирования: как система может повести себя неправильно (например, непреднамеренное торможение).

▪️Рассмотрение эксплуатационных ситуаций: анализ контекста, в котором происходит отказ (парковка vs скоростная трасса).

▪️Идентификация опасных событий: комбинация некорректного функционирования и эксплуатационной ситуации, приводящая к вреду.

▪️Оценка риска и определение ASIL:

Классификация риска по трем параметрам:

🔸Степень тяжести (S)

🔸Вероятность воздействия (E)

🔸Возможность контроля (C)

На основе S, E и C определяется уровень ASIL (A, B, C, D) или QM.

3️⃣ Систематические подходы к идентификации источников опасностей

Для полноты анализа рекомендуется использовать комбинацию методов:

▪️Определять опасности систематически – с использованием индуктивных методов (FMEA), ключевых слов (HAZOP), интерфейсно-ориентированных методов (анализ взаимодействий системы с окружением).

▪️Применять мозговой штурм – привлекать кросс-функциональные команды и экспертов, личный водительский опыт может быть также полезен.

▪️Учитывать известные отказы и опасности – использовать базы данных отзывных кампаний и инцидентов (например, NHTSA в США).

4️⃣ Выбор эксплуатационных ситуаций: от очевидного к специфическому

Рекомендуется рассматривать возможные сценарии с разных сторон:

▪️Ситуации с наибольшим потенциальным вредом (например, высокоскоростное движение, маневрирование на автостраде).

▪️Наиболее частые ситуации (например, городской трафик, парковка).

▪️Особые ситуации для данного типа транспортного средства и рассматриваемой системы (например, нахождение на зарядной станции, ДТП).

5️⃣ Классификация опасных событий: исключительно объективная оценка

На этом этапе важно избегать субъективной оценки, личный водительский опыт здесь уже не принесет пользы. Рекомендуется использовать критерии ISO 26262, отраслевые руководства (например, SAE J2980) и другие официальные источники информации (например, статистика вождения, ДТП). При оценке контролируемости важно также учитывать внешние меры смягчения последствий (например, системы стабилизации), если они доступны и достаточно независимы.

6️⃣ Формулирование целей безопасности: финальный результат HARA

Главная задача анализа — определить цели Безопасности. Их свойства:

▪️Сформулированы положительно.

▪️Связаны с опасным событием.

▪️Имеют присвоенный ASIL.
При формулировании целей необходимо сразу задумываться о том, как будет проверяться их достижение при валидации безопасности, а также быть готовым к возможным компромиссам, включая ограничение функциональности ради безопасности.

7️⃣ HARA как коллективная работа: разрешение расхождений во мнениях.

Разногласия в оценках неизбежны, вот некоторые принципы их разрешения:

▪️Сравнивать аргументы, а не ощущения (каждая оценка должна быть подкреплена источником информации).

▪️Избегать необоснованных авторитетных суждений (должностная иерархия не применима, важны доказательства).

▪️Использовать все доступные источники информации.

▪️При прочих равных условиях следовать консервативной оценке.

8️⃣ Верификация и оценка подтверждения HARA

Результаты HARA должны быть проверены:

▪️Верификацией: внутренняя проверка на полноту, соответствие и согласованность.

▪️Оценкой подтверждения: проверка обоснованности решений, проводимая с наивысшим уровнем независимости.

HARA — это фундаментальный процесс, задающий вектор всей разработки. Это коллективный труд, требующий систематического подхода, тщательной аргументации и приоритета безопасности. Инвестиции в качественный HARA на ранних этапах закладывают основу для надежных изделий и безопасности на дороге.

Современные авиалайнеры — это сложные высокотехнологичные системы, управление которыми требует от пилотов огромной концентрации. На них лежит ответственность за пилотирование, навигацию, контроль состояния бортовых систем, управление механизацией крыла, взаимодействие с экипажем и диспетчерами. Чтобы снизить нагрузку на пилотов и повысить точность управления, в самолётах используются системы автоматического пилотирования — комплекс, включающий автопилот, систему директорного управления (FDS) и автомат тяги.

Эти системы способны не только поддерживать заданные параметры полёта, но и обеспечивать безопасное и стабильное управление самолётом на всех этапах полёта. Для надёжности подобные системы дублируются: например, в Boeing 777 установлены три автопилота и два автомата тяги.

⚙️ Автомат тяги напрямую управляет сервоприводами двигателей, поддерживая заданную мощность без участия пилота.

🧭Система директорного (траекторного) управления (Flight Director System, FDS) — прибор, который перекрестием на авиагоризонте и/или основном дисплее показывает, куда необходимо направить самолет, чтобы соблюсти заданную траекторию полета. Сам прибор не управляет авиалайнером, он своего рода «авиационный навигатор».

✈️Автопилот же способен выполнять эти команды самостоятельно — управляя креном, тангажом и рысканием, он фактически ведёт самолёт по заданному курсу.

Совместно FDS и автопилот образуют систему автоматического управления полётом (Autopilot Flight Director System, AFDS).

Автопилот

Автопилот — это совокупность автоматических систем, обеспечивающих устойчивое и точное управление самолётом без постоянного вмешательства пилота.

Назначение и принцип работы

Внешний контур системы – связь между отклонением управляющих поверхностей и положением самолёта в пространстве в соответствии с его динамическими характеристиками. Команды на отклонение управляющих поверхностей формируются либо человеком, либо вычислителем на основании задающих воздействий от автопилота.

Задача автопилота — стабилизировать параметры углового положения самолёта и/или его траектории на заранее заданных пилотом (или запрограммированных в бортовом компьютере) значениях.

Если  полёт проходит в режиме автоматического управления, в вычислитель по цепи прямой связи поступают задающие воздействия от автопилота, а по цепи обратной связи — информация об угловом/пространственном положении самолёта, его скоростях и ускорениях. Данные воздействия отрабатываются приводами и сервомоторами, что приводит к отклонению управляющих поверхностей в соответствии с имеющимся законом управления.

Внутренний контур структурной схемы на Рисунке 2 представляет собой обратную связь по отклонению сервоприводов, обеспечивающую требуемые показатели скорости и точности отклонения управляющих поверхностей.

Режимы работы

Современные автопилоты могут работать в различных режимах:

1. Режимы ориентации — удерживают заданные углы крена, тангажа и рыскания (или их комбинаций).
2. Режимы параметров полёта — стабилизируют высоту, скорость, вертикальную скорость или число Маха.
3. Режимы траекторного управления — обеспечивают следование определённой траектории, например, при захвате и сопровождении глиссады во время посадки.

Система директорного управления

Полётный директор (Flight Director, F/D) — это система, которая визуально подсказывает пилоту, какие действия нужно выполнить, чтобы удерживать самолёт на нужной траектории. На дисплее пилот видит перекрестие, указывающее, в каком направлении отклонить самолёт по тангажу и крену.

Взаимодействие пилота с системами управления

На Рисунке 4 изображены инструменты в кабине пилотов самолёта семейства Airbus, управляемого с помощью электродистанционной системы управления (Fly By Wire, FBW). Они используются как для непосредственного управления, так и для взаимодействия экипажа с автопилотом.

На рисунке:

EFIS (Electronic Flight Instrument System) – Панели управления дисплеями PFD и ND;

ECAM (Electronic Centralized Aircraft Monitor) – Информационные дисплеи;

FCU (Flight Control Unit) – Панель управления режимами полёта (в самолётах других производителей может обозначаться как FCP – Flight Control Panel);

MCDU (Multifunction Control Display Unit) – Многофункциональный пульт управления и индикации;

ND (Navigation Display) – Навигационный дисплей;

PFD (Primary Flight Display) – Основной пилотажный дисплей;

Текущие значения углов тангажа и крена отображаются на искусственном авиагоризонте на основном пилотажном дисплее, а угол курса — на навигационном дисплее. На PFD также отображаются приборная скорость и высота самолёта.

В зависимости от выбранного режима автопилота на PFD и ND может отображаться дополнительная информация (например, в виде символов на авиагоризонте). Изменять отображаемую на дисплеях информацию можно через панели EFIS.

Информация о текущем состоянии двигателей отображается на панелях ECAM.

Панель управления режимами полёта на примере FCU в Airbus A320

На панели FCU можно активировать автопилот и перевести его в требуемый режим, а также изменять значения параметров (высота, курс, вертикальная скорость и т. д.), которые выдерживает автопилот. При активированном автопилоте отклонение боковых ручек управления (сайдстиков) не приведёт к передаче управляющих воздействий на органы управления и изменению углового положения самолёта.

На рисунке 5:

1) Рукоятка регулировки задатчика скорости полёта;

2) Окно задатчика скорости полёта;

3) Индикатор активации системы автоматического управления скоростью полёта;

4) Переключатель единиц измерения скорости: узлы или число Маха;

5) Рукоятка регулировки задатчика курса;

6) Окно задатчика курса;

7) Индикатор активации системы автоматического управления углом курса;

8) Индикатор выбранного режима автопилота;

9) Переключатель режимов полётных директоров: HDG/VS или TRK/FPA (HDG/VS — режим, где используется курс полёта и вертикальная скорость; TRK/FPA — режим, где используется путевой угол и угол наклона траектории полёта);

10) Индикатор активации системы автоматического управления высотой полёта;

11) METRIC ALT. Включение на полётных приборах дополнительного отображения высоты — текущей и заданной — в метрической системе;

12) Рукоятка регулировки задатчика вертикальной скорости;

13) Рукоятка регулировки задатчика высоты полета;

14) Кнопки включения автопилотов: АР1 и АР2;

15) A/THR — Кнопка включения автомата тяги;

16) Кнопка включения режима полета на курсовой маяк или VOR;

17) Включение либо армирование режима захода на посадку.

Автоматическая посадка

Надёжная посадка при плохой видимости всегда была одной из главных задач авиакомпаний. Решением стало внедрение систем автоматической посадки, позволяющих самолётам приземляться даже при «нулевой» видимости.

Первым коммерческим лайнером, способным выполнить полностью автоматическую посадку (включая подход к ВПП, выравнивание, касание и уход с полосы на рулёжную дорожку), стал Hawker Siddeley Trident, совершивший её в 1966 году.

В авиации приняты категории посадок по уровню видимости и возможностям оборудования:

CAT I: высота принятия решения ≥ 60 м, видимость ≥ 800 м.

CAT II: ВПР 30–60 м, видимость ≥ 350 м.

CAT IIIA: ВПР < 30 м, видимость ≥ 200 м.

CAT IIIB: ВПР < 15 м, видимость 50–200 м.

CAT IIIC: посадка без ограничений по видимости и высоте принятия решения.

Внедрение технологий автоматической посадки категории III накладывает множество ограничений и требований к системам самолёта:

• Наличие трёх независимых каналов электроснабжения (как AC, так и DC);
• Наличие трёх независимых каналов для управляющих поверхностей;
• Требование к использованию ILS (Instrumental Landing System) или MLS (Microwave Landing System) в качестве систем захода на посадку (при обязательном условии наличия соответствующего оборудования в аэропорту).
• Наличие у автопилота способности самостоятельно осуществлять выдачу команд на перекладку горизонтального стабилизатора.

В ближайшие годы ожидается переход к системам автоматической посадки на основе GPS, которые обеспечат ещё большую точность следования траектории, заданной для захода на посадку.

Авиационные происшествия, связанные с автопилотом

Сами по себе автопилоты крайне надёжны и редко становятся причиной катастроф. Однако они могут ошибаться, если получают некорректные данные от датчиков.

6 февраля 1996 года самолёт Boeing 757-225 авиакомпании Birgenair разбился в море всего через пять минут после взлёта, погибло 189 человек.

Причиной катастрофы признана ошибка пилотов, допустивших сваливание самолёта из-за неверных показаний указателя приборной скорости со стороны командира воздушного судна (КВС). Предполагается, что ложные показания возникли из-за блокировки трубки Пито — после нескольких дней стоянки самолёта в трубке Пито появилось осиное гнездо.

Автопилот, получая ошибочные данные о якобы слишком высокой скорости полёта, начал действовать по своей логике — уменьшил тягу и увеличил угол тангажа, чтобы «снизить скорость». На самом же деле самолёт летел медленнее, чем показывали приборы, и эти действия привели к критическому снижению подъёмной силы и последующему сваливанию.

Похожая ситуация произошла 24 июля 2014 года с McDonnell Douglas MD-83 авиакомпании Air Algérie. Спустя 32 минуты после взлёта самолёт исчез с радаров, погибло 116 человек. Расследование показало, что в результате обледенения датчики давления в двигателях (EPR) начали передавать искажённые данные, из-за чего автоматика ограничила их тягу. В это время автопилот, стремясь удержать самолёт на заданной высоте, стал увеличивать угол тангажа. Это привело к росту угла атаки, потере подъёмной силы и, как следствие, к сваливанию самолёта, которое вскоре перешло в штопор.

Заключение

Автопилоты и системы директорного управления — важнейшие элементы авионики современного самолёта. Они снижают нагрузку на пилотов, повышают точность и безопасность полётов.

Однако автоматика не всесильна: её надёжность напрямую зависит от корректности данных, поступающих с датчиков. Поэтому при разработке таких систем особое внимание уделяется архитектуре, верификации и оценке безопасности в соответствии с международными требованиями ICAO.

В нашей практике мы работали с четырьмя типами воздушных судов, решая задачи, связанные с автопилотами, и знаем, насколько важно корректно проектировать эти системы. Создание и сертификация автопилота — это сложная инженерная работа, соответствующая уровню критичности DAL A, где ошибки недопустимы.

Каждый год в мире фиксируется более 5000 столкновений воздушных судов с птицами. В большинстве случаев всё заканчивается благополучно, но иногда последствия бывают трагическими.

Один из самых известных инцидентов произошёл в 2009 году: Airbus A320 столкнулся со стаей канадских казарок вскоре после взлёта из аэропорта Ла-Гуардия. Оба двигателя отказали, но экипаж сумел посадить самолёт на реку Гудзон. Все 155 человек на борту выжили. Этот случай вошёл в историю как «Чудо на Гудзоне» — и оказал огромное влияние на авиацию, общественное восприятие и даже кинематограф (фильм «Чудо на Гудзоне», 2016 год).

Испытания на птицестойкость

После этого инцидента требования к птицестойкости авиационной техники ужесточили по всему миру. Сегодня испытания на столкновение с птицами — обязательная часть сертификации.
Поэтому фраза «тушки из пушки» — вовсе не метафора, а суровая реальность авиационной безопасности.

Испытания проводятся на специальных стендах с использованием пневматических пушек, из которых «выстреливают» тушками птиц определённой массы и скорости.

Особый интерес представляют испытания авиационных двигателей. Их проводят на взлётном режиме, так как именно при нём происходит до 75% столкновений.
Двигатель считается выдержавшим испытание, если:

• сохраняется возможность безопасного завершения полёта;
• не возникает пожара или неконтролируемого разрушения;
• все повреждения локализованы внутри корпуса.

В России ключевая роль в таких испытаниях принадлежит Центральному институту авиационного моторостроения им. П.И. Баранова (ЦИАМ).
Именно здесь в 2018 году успешно прошли испытания двигателя ПД-14 для самолёта МС-21.

Стандарты и этика

Требования авиационных властей разных стран во многом схожи, различаются лишь детали. Например, европейские нормы предусматривают испытания с более мелкими птицами, а американские — делают акцент на стайные попадания.

Но за пределами технических вопросов стоит и этическая дилемма. Да, звучит жестоко: по российским нормам птицы должны быть живыми за 30 минут до испытания, а на один двигатель может приходиться до сотни выстрелов. К сожалению, заменить живых птиц муляжами невозможно, потому что их ткани и структура не воспроизводят реальные биомеханические свойства.

Когда небо становится общим

Столкновения «стальных» и пернатых обитателей неба происходят столько же, сколько существует авиация. И пока люди и птицы делят одно небо, инженеры будут искать способы сделать это соседство безопасным.

✈️ А вы всё ещё тревожно смотрите на чаек у аэропорта? Или теперь понимаете, что небо под контролем?

Мы наконец добрались до темы, о которой хотели с вами поговорить - “мозги” и “мышцы” современного летательного аппарата, называющиеся совокупно системой управления.

Каждый аспект темы интересен до малейших нюансов - эволюция от зари авиации с механическими тросами до современных электродистанционных систем и будущих оптоволоконных или даже беспроводных. Датчики, благодаря которым пилот точно знает отклонение закрылков и стабилизатора. Сложнейшие компьютерные системы, отвечающие за расчет аэродинамических алгоритмов, робастных к каким-либо возмущениям или оптимальных по какому-либо критерию. Электромеханические и гидравлические приводы, отклоняющие аэродинамические поверхности.

При подготовке статьи наши ведущие специалисты пытались тянуть одеяло на себя - кто-то пояснял особенности разработки по Р-4754А для таких сложнейших и взаимосвязанных систем, другие - сосредоточились на проблемах оценки безопасности из-за бесчисленных перекрестных связей датчиков и сложностей выполнения FMEA и CMA анализов. Отдельно программисты и схемотехники доказывали, что даже уровень DAL A здесь может быть недостаточным и следует ввести еще одну процедуру верификации, например, клятву главного конструктора комплектующего изделия.

Поэтому выслушав все и стукнув регламентом написания статей по количеству символов, наша директор по маркетингу решила рассказать не то, что это за система, надеясь на некоторую осведомленность и любознательность читателя, а скорее про то, как обеспечивается их безопасность. Все-таки мы - лицом к безопасности. Ну а если вам интересно что-то разобрать более подробно - пишите об этом в комментариях, тогда кто-то из наших ведущих специалистов будет злорадствовать и пойдет писать о своей любимой части своей любимой системы.

В современных гражданских самолетах можно выделить четыре уровня автоматизации (см. рис.1):

• Самолетовождение (FMS), решающее задачи 4D навигации без существенного вмешательства экипажа в процесс управления полетом;
• Автопилот (AFDS), забирающий на себя рутинные задачи управления и посадки под контролем летного экипажа;
• Ручное управление в “нормальном” режиме, где “умная” автоматика не дает экипажу совершать ошибки пилотирования как превышение угла атаки или снижение скорости ниже допустимых пределов в текущей конфигурации механизации крыла;
• Ручное управления в “прямом” режиме, где “умная” автоматика не работает, оставляя пилота наедине с эволюциями самолета при отклонении сайдстика или штурвала.

Мы сосредоточимся на последних двух, известных как Fly-by-Wire (FBW, полет “по проводам”) системе, а об автопилотах и системе самолетовождения расскажем в другой раз.

FBW включает в себя органы управления (сайдстик, ручки управления механизацией и спойлерами, педали, триммеры), вычислительную часть (представлены первичными вычислителями, ответственными за сложные законы управления, математику и ограничения, и вторичными - непосредственно шлющими команды на отклонения приводов) и исполнительную часть (приводы разных конструкций и основных физик действия - гидравлическая или электрическая). Обратные связи по углам, угловым скоростям и перегрузкам замыкаются системами авионики, традиционно не относящиеся прямо к составу FBW.

Все важные комплектующие как минимум дублированы, особо важные - троированы, а наиважнейшие могут иметь и четырехкратный резерв. Постепенные отказы собственных и внешних компонентов могут привести из основного “нормального” режима в “прямой” (см. рис.2).

При выполнении анализа общих режимов особенно обращается внимание на доказательстве независимости отказов этих резервов - от питания по разным шинам до требований к строгому дополнительному контролю корректной установки оборудования.

Т.к. Система управления непосредственно связана с безопасностью, ее “родной” пункт норм летной годности (25.671) явно указывает дополнительные соображения по анализам прочности и безопасности. Так, например, специально анализируются заклинивания и “самоходы” - непроизвольные перемещения поверхностей, а также учитываются человеко-машинные интерфейсы, накладывающие ограничения на скорость реакции экипажа на возникновение отказов (спойлер - не  менее 3х секунд). Механическая часть систем управления также дублируется и не всегда может быть выявлен отказ одной из частей механики - отсюда накладываются ограничения на максимальную допустимую вероятность возникновения таких отказов с учетом периода скрытости отказа. Особняком стоят вопросы прочности и эксплуатации, без которых также нельзя гарантировать безопасность систем.

Современные FBW системы стоят на стыке гидромеханических устройств и сложнейшей авионики. Каждой части этой системе и ей в совокупности предъявляются серьезнейшие требования, которые не всегда ясно как доказывать. Работы сроком от нескольких месяцев до пары лет могут быть “зашиты” одной неприметной строчкой в техническом задании. Методика расчета надежности или прочности могут отличаться от одного самолета к другому (и даже внутри одного самолета при сдаче разным экспертам в авиационных властях или подразделениям крупной корпорации).

Если вы понимаете, что сталкиваетесь с непониманием какой-то строчки в ведомости исполнения (что за работы по Р-4754А, КТ-254, КТ-178С и Р-4761?), зашли в тупик с требованиями экспертов или не понимаете, почему уже установленный для летных испытаний компонент на самолет продолжают требовать какие-то “бумажки” и произносят слова типа “валидация”, “верификация”, “отказобезопасность”, предлагаем обсудить эти вопросы.

Если хотите более подробно узнать про современные системы FBW, то с удовольствием приглашаем вас в нашу библиотеку:

1. Б.С. Алёшин, С.Г. Баженов, Ю.И. Диденко, Ю.Ф. Шелюхин. Системы дистанционного управления магистральных самолетов — М. : «Наука», 2013. — 292 с.
2. Moir I., Seabridge A., Jukes M. Civil avionics systems. – John Wiley & Sons, 2013.

Уже для всех привычная ситуация: едешь спокойно на работу на своем любимом авто, а потом раз — и оказываешься в Шереметьево… Чудо? Однозначно! И нет, это не телепорт, а спуфинг — подмена сигнала спутниковой навигационной системы. Если ехать по привычному маршруту, то эту неприятность можно пережить. А что делать при управлении самолета или беспилотника?

Мы знаем ответ — использовать комплексные навигационные системы.

💡 Комплексная навигационная система — это совокупность нескольких навигационных систем. Чаще всего используется комплекс из инерциальной навигационной системы (ИНС) и глобальной навигационной спутниковой системы (ГНСС).

💡 Принцип работы ИНС строится на законах инерции. В простейшей системе, чтобы определить местоположение и скорость пользователя, нужно строить ИНС с 3 гироскопами и 3 акселерометрами, которые располагаются по 3 осям: продольной, поперечной и нормальной (как на рисунке 1), чтобы точнее определять ориентацию объекта в пространстве.

Рисунок 1 — Расположение ИНС на самолете

💡 Принцип действия ГНСС основан на определении пространственных координат потребителя в любой точке на поверхности Земли. Для корректной работы нужно иметь созвездие как минимум из 4 «видимых» спутников: по одному для определения координат X, Y, Z — и четвертый для синхронизации времени приемника и спутников. ГНСС-приемники обрабатывают сигналы от большего числа спутников. Это нужно, чтобы повысить точность определения координат, например, осреднением полученных значений, и уменьшить погрешность.

Рисунок 2 — Созвездие спутников

Рисунок 3 — Схема управления спутником

Почему же в самом начале мы упомянули комплексные навигационные системы? Все дело в том, что все работает не так идеально.

❌ ИНС точна на коротком временном промежутке, автономна, работает везде: в небе, под водой, под землей — но ошибки со временем накапливаются.

❌ ГНСС сверхточна, но серьезно зависит от внешних сигналов. Эти сигналы искажаются по разным причинам: заглушили сигнал — информация о местоположении не поступает.

Именно поэтому используют комплексные системы, где ИНС «держат» направление, а ГНСС работают корректором для компенсации нарастающей ошибки.

❗ Резервирование в авиации — это не просто “запасной вариант”, а фундамент безопасности систем. Цель — обеспечить непрерывную работоспособность даже при отказах, сбоях или атаках.

Резервировать данные можно с помощью разных архитектур:

Как это работает на практике

Представим, что у вас три ИНС, каждая ведет независимые расчеты положения и скорости. Если один канал начинает «врать», например, из-за дрейфа гироскопа, его данные отклонятся от других двух. Система автоматически отключает его из «голосования».

Примеры из реальных систем

🔹 Airbus A350 использует интегрированную модульную авионику с дискретным резервированием: три независимых блока воздушной и инерциальной информации + резервный модуль ориентации и воздушных параметров (SAARU). Все каналы — с разным ПО и аппаратной реализацией (на случай общей уязвимости).

🔹 У Boeing 787 встроена четырехканальная навигационная архитектура, и даже кабельная разводка выполнена в разных секциях фюзеляжа (на случай повреждений или пожара).

Когда с навигацией все пошло не так

Пожалуй, самый яркий пример катастрофы, которая произошла в том числе из-за отказа навигации — трагедия рейса Korean Air 007. В этом происшествии переплелось все: вопросы навигации, человеческая ошибка и даже геополитика.

1 сентября 1983 года Boeing 747-230B, летевший по маршруту Нью-Йорк —  Сеул, сделал плановую дозаправку в Анкоридже, после чего продолжил полет на Сеул. После взлета с Аляски рейс сбился с курса больше чем на 500 км. Вместо прямого маршрута вдоль международной границы, он начал медленно отклоняться и в итоге вошел в воздушное пространство СССР — над Камчаткой, а затем Сахалином.

Советские ПВО приняли самолет за потенциальную американскую разведку — а это разгар Холодной войны, так что предположение было предсказуемым. К тому же в районе действительно действовал RC-135 – американский разведывательный самолет. Советские истребители Су15, и МиГ23 были подняты по тревоге. В итоге в 3:26 по сахалинскому времени по самолету была выпущена ракета, и лайнер упал в Охотское море у побережья Сахалина.

Какие были основные причины катастрофы:

1. Ошибка навигации: автопилот не был переведен в режим NAV, и самолет летел по начальному курсу без коррекции.
2. Человеческий фактор: экипаж не отследил отклонение маршрута и не заметил уход с трассы.
3. Не было связи с диспетчерами по пути: японские и американские радары заметили сбой, но не успели отреагировать.
4. Геополитика: ВС СССР из-за маневров лайнера и маршрута над военными объектами стали подозревать борт в шпионаже.

Последствия были разные. В том числе технические — самые интересные для нас.

✔️ США открыли доступ к системе GPS для гражданских лиц, чтобы такие навигационные ошибки больше не повторялись.

✔️ Усилили международное регулирование гражданской навигации, особенно над чувствительными зонами.

Современные навигационные системы крайне важны для безопасности всего авиационного трафика. Использование схем построения интегрированной модульной авионики эффективно и экономично. Но для этого нужно тщательно анализировать предусмотренные и непредусмотренные функции, выполнять все требования нормативных документов по разработке систем, аппаратуры, ПО и по их оценке безопасности.

В нашем опыте при выполнении работ по оценке безопасности навигационных систем нам удалось применить новейшие модельно-ориентированные подходы для определения всех математически возможных состояний системы и учета их вероятностей при проектировании гражданского беспилотного судна. Главный конструктор компании-заказчика это не просто отметил, но и выразил благодарность за внедрение современных методов.

Вы, наверняка, слышали,что если доехать до аэропорта, то самая опасная часть пути уже позади.  Любители авиации любят повторять, что самолёт — самый безопасный способ добраться из точки А в точку Б. Они правы? Да. Но всё зависит от того, как считать.

Есть три вида лжи: ложь, наглая ложь и статистика. Так как же считать безопасность транспорта, чтобы не запутаться?

⚠️ Важно:

Этот пост — вводный и развлекательный. Если вам интересно, как проектируются авиационные системы, как доказывается их безопасность, как работает резервирование, — оставайтесь с нами. Мы обо всём расскажем в следующих публикациях.

Метод 1: Смертность на километр

(любимый метод авиакомпаний)

• В 2023 году в авиакатастрофах погибло около 200 человек.
• За тот же год самолёты перевезли 4,5 млрд пассажиров, каждый в среднем пролетел 2 500 км.
• Итого: 4,5 × 10^9  × 2500 = 11,25 × 10^12  пассажиро-километров.
• Коэффициент: 200/11,25 × 10^12 ≈ 0,000000018 смертей на пассажиро-километр.

👉 Вывод: да, самолёт — действительно безопасен. Если считать на километр пути.

Но! Для сравнения: в железнодорожных авариях за тот же год погибло около 1 000 человек.

• Общий пробег пассажиров, допустим, 3 × 1012 пассажиро-километров.
• Коэффициент: 1000/3 × 10^12 ≈ 0,00000033 — уже в 18 раз выше, чем у самолетов!

Разница кажется внушительной. Но поезда ездят значительно меньше по расстоянию.

Почему авиакомпании любят этот метод? Потому что самолёты летают очень далеко, и если разделить количество смертей на километры — цифра будет микроскопической.

Метод 2: Смертность на одну поездку

(более честный для короткий дистанций)

• Авиация:

→ за год 200 смертей при 40 млн рейсов

→ 200/40000000=0,000005 (1 смерть на 200 000 полётов).

• Автобусы:

→ за год 500 смертей при 500 млрд поездок

→ 500/500000000000=0,000000001 (1 смерть на миллиард поездок).

👉 Вывод: Если считать по поездкам, автобусы в 5 000 раз безопаснее самолётов!

Но и тут есть нюанс: автобусы обычно ездят по коротким маршрутам, и последствия ДТП реже бывают фатальными.

Метод 3: Смертность на час пути

(любимый метод страховщиков)

Пример:

• Средний полёт длится 2 часа.
• За год пассажиры проводят в самолётах 4,5 × 10^9 × 2 = 9 × 10^9 часов.
• Коэффициент: 200/9 × 10^9 ≈ 000000022 смертей в час.

А теперь мотоциклы:

За год гибнет 5 000 мотоциклистов при среднем времени езды 100 часов в год на каждого.

Общее время: 8 000 000 мотоциклистов × 100 = 800 000 000 часов.

Коэффициент: 5 000/800 000 00 = 0,00000625 — в 284 раза опаснее самолёта!

👉 Вывод: хотите прожить дольше — не садитесь на мотоцикл. Или хотя бы не считайте статистику.

Метод 4: Смертность на одного пассажира

(самый простой, но несправедливый)

Пример:

В авиации: 200/4,5 × 10^9 ≈ 0,000000044 (1 смерть на 22,5 млн пассажиров).

В автомобилях: 1,3 млн смертей при 7 млрд людей на Земле → 1 300 000/7 000 000 000 ≈ 0,000186 (1 смерть на 5 400 человек).

👉 Вывод: Машины в 4 227 раз опаснее самолётов! Но это некорректно, ведь не все 7 млрд людей водят машины ежедневно.

Так какой же транспорт самый безопасный?

👉Всё зависит от того, как считать:

Философский итог:

• Хотите долететь живым — выбирайте самолёт.
• Предпочитаете избегать аварий в принципе — садитесь в автобус.
• Бо́итесь рисков — идите пешком (но следите за сосульками).
• А если страшно летать — просто не читайте статистику перед полётом.

В конце концов, шанс погибнуть от кокоса выше, чем в авиакатастрофе.

Вместо выводов

Конечно, любой статистикой можно легко манипулировать. Но почему мы на самом деле так спокойно садимся в самолёт, верим, что долетим — и чаще всего действительно долетаем безопасно (не считая небольшого радиационного облучения, о котором мы еще расскажем)?

Потому что за кулисами каждого рейса — системная, инженерная работа десятков тысяч специалистов.
Инженеры, пилоты, техники, сотрудники авиакомпаний и аэропортов ежедневно следуют строгим нормам, проверкам и протоколам, которые делают полёт не просто возможным, а безопасным.

То, что кажется нам обыденным — результат сложных инженерных решений ( о которых мы расскажем в следующих статьях):

✔️ Резервирование

✔️ Разнородность

✔️ Гарантия качества

✔️ Авиационные нормы

Оставайтесь на своих местах, пока не погаснет табло “Экварта” и ждите следующих постов про внутрянку самолетов. Продолжение — скоро!

▪️ Кто отвечает за безопасность: инженеры или руководство?

На предприятиях в процессы анализа безопасности вовлечены разные специалисты: инженеры по функциональной безопасности, системные инженеры, схемотехники, инженеры-программисты, руководители проектов, специалисты по качеству и даже руководство компании.

Но как правильно организовать работу и кто в итоге несёт ответственность за безопасность изделия?

Юридически — это ответственность руководства предприятия. Именно оно обязано организовать процессы, направленные на предотвращение рисков, и делегировать полномочия команде. При этом важно, чтобы у передающейся «вниз» ответственности была основа — у каждого исполнителя должны быть соответствующие компетенции.

Например, директор проекта может не быть экспертом в области безопасности, но его задача — управлять процессами. За инженерную часть отвечают профильные специалисты: инженер по безопасности проводит анализы, системный инженер отвечает за работу изделия и интеграцию.

Таким образом формируется иерархия ролей. Но при этом важно помнить: конечная ответственность всегда остаётся на уровне топ-менеджмента. Нельзя возлагать всё на одного инженера по безопасности — такой подход не работает и не соответствует логике ни стандарта, ни закона.

▪️ Где взять инженеров по функциональной безопасности?

Сегодня предприятия остро ощущают нехватку специалистов в области функциональной безопасности. Это неудивительно — дисциплина относительно молодая, и университеты только начинают предлагать соответствующие образовательные программы.

Предприятия все же испытывают дефицит опытных специалистов. Где взять инженеров по функциональной безопасности?

Готовых специалистов сразу после вуза действительно нет. Поэтому основной путь — развивать экспертизу внутри компании. Есть два рабочих подхода:

1. Взять инженера с базовыми знаниями в надёжности или безопасности.
   Часто это выпускники технических вузов, в программе которых был курс по функциональной безопасности или смежным темам. Таких инженеров придется обучить системным аспектам работы изделий, а также дополнить теоретические знания в области безопасности и надежности, привить практический навык выполнения работ.
2. Взять опытного системного инженера и обучить его вопросам безопасности.
   Такой специалист уже хорошо понимает продукт — остаётся обучить его анализам безопасности.

Но важно помнить: нельзя за один день «переквалифицироваться» из одного направления в другое. Например, инженер по безопасности системы управления батареями не может без подготовки перейти к разработке ADAS. Каждый переход требует времени, адаптации и вложений в обучение.

▪️ Что делать с механикой, гидравликой и пневматикой, если стандарт про электронику?

Стандарт по функциональной безопасности ISO 26262, как правило, применяется для электрических или электронных автомобильных систем в дорожных транспортных средствах — это указано прямо в области его применения.

Однако автомобиле много систем, построенных на других технологиях: механических, гидравлических, пневматических. Нужно ли оценивать их с точки зрения функциональной безопасности?

Стандарт не запрещает анализировать безопасность таких систем. Более того — он поощряет учёт всех рисков, даже если конкретная технология формально не подпадает под его область. Анализировать риски механики или гидравлики можно с применением тех же методов, что и для электроники.

❗️Важно понимать: стандарты — это не границы, а инструменты. Наша цель — обеспечить безопасность изделия. Если технология не охвачена стандартом — это не повод игнорировать её риски. Технологии развиваются быстрее, чем нормативные документы, и мы обязаны опережать эти изменения.

Что такое TCAS и как она работает

TCAS (Traffic Alert and Collision Avoidance System) — это бортовая система предотвращения столкновений в воздухе. Она действует независимо от диспетчеров и использует данные ответчиков (транспондеров) соседних самолетов для оценки рисков и выдачи пилотам предупреждений и указаний.

Эволюция системы

Первые прототипы системы появились в начале 70-х годов, а полноценная TCAS была сертифицирована и начала появляться на самолётах с 1981 г.

1️⃣ TCAS I (первая версия):

⮕Передаёт пилотам данные о других самолётах (высота и направление), т.е. информирует только о трафике (TA — Traffic Advisory).

⮕Предупреждает о потенциальной опасности, но не выдаёт инструкций по уклонению.

⮕Основана на ранних стандартах ICAO Annex 10, Vol. IV.

2️⃣ TCAS II (современный стандарт):

⮕ Добавляет команды разрешения конфликта (Resolution Advisory - RA) — конкретные инструкции "Снижайте высоту/Набирайте высоту". Игнорировать RA запрещено, даже если они противоречат командам диспетчера.

⮕ Нормативные документы:

• ICAO Annex 10, Vol. IV, Amendment 77+ (https://www.icao.int/);
• FAA TSO-C119c (https://www.faa.gov/);
• Европейские TSO: ETSO-2C119c (https://www.easa.europa.eu/);
• РФ: ФАП-128 (требует TCAS II), но ФАП основан на устаревшей редакции ICAO.

3️⃣ ACAS X / TCAS III (будущее поколение):

⮕ Появляется координация маневров по горизонтали, улучшенные алгоритмы предсказания, интеграция с ADS-B и адаптация к воздушному пространству.

⮕ Внедрение пока ограничено; активные испытания проходят в Европе.

⮕ Нормативные документы находятся в разработке:

• RTCA DO-385;
• DO-386;
• SARPs ICAO по ACAS X.

Как работает TCAS

TCAS отслеживает расположение воздушных судов поблизости, определяя их дальность, азимут и высоту, и отображает эту информацию пилотам. Система состоит из двух основных компонентов:

1. Система наблюдения — определяет положение воздушных судов вокруг;
2. Система предотвращения столкновений — вырабатывает рекомендации пилотам по уклонению от потенциальных конфликтов.

TCAS может работать в трёх режимах, зависящих от типа транспондера на борту другого ВС:

• Режим A — определяет дальность и азимут “соседа”;
• Режим C — дополнительно определяет дальность, азимут и высоту “соседа”;
• Режим S — обеспечивает полный обмен данными, включая идентификационный номер (например, номер рейса).

Бортовая система TCAS включает радиопередатчик, приёмник, направленные антенны, вычислительный модуль и дисплей в кабине экипажа. Когда другие самолёты получают радиозапрос TCAS, их транспондеры отвечают, а система вычисляет:

• Дальность — по задержке ответа,
• Азимут — по направлению принятого сигнала с помощью антенн,
• Высоту и идентификатор — если поддерживается режим C или S.

Система способна отслеживать до 30 воздушных судов одновременно, при этом на дисплей выводятся до 25 приоритетных целей.

Для уменьшения слепых зон при маневрах рекомендуется установка двух антенн — сверху и снизу фюзеляжа (см. рисунок 1).

⚠️ Ограничение TCAS:

Система не может обнаружить воздушные суда без работающего транспондера. Его использование обязательно:

• выше 3000 м;
• в пределах 50 км от крупных аэропортов.

Как работает транспондер:

На земле работают два типа радиолокационных систем:

• Первичный обзорный радар (PSR) излучает радиоволны, принимая отражённый сигнал (радарное эхо). Это позволяет определить дальность и азимут самолёта, но не его высоту или идентификацию.
• Вторичный обзорный радар (SSR) посылает импульсные запросы, на которые транспондер отвечает, передавая высоту и идентификатор борта.

Если PSR и SSR синхронизированы (обычно синхронизация реализуется через совмещение осей радаров), то на дисплее диспетчера ОВД отображается и радарное эхо, и данные транспондера. Диспетчер будет знать идентификацию (например, АБ123) и высоту самолета рядом с радарным следом, что значительно улучшает картину воздушной ситуации. Схема, показывающая работу транспондера изображена на рисунке 2. Подобная система реализована и в военной авиации, она известна как “свой/чужой” — IFF (Identification Friend or Foe).

Случаи ложного срабатывания TCAS

1. Лиссабон (2019): Boeing 737 и Airbus A321 — взаимные RA без реальной угрозы

Два борта при вылете и заходе на посадку получили срабатывания TCAS и начали выполнять противоположные вертикальные манёвры.

Причины:

⮕ Оба борта были разведены по эшелонам, но траектории векторов оказались близкими.

⮕ TCAS ошибочно спрогнозировала сближение, не учтя реальную вертикальную скорость обоих бортов.

⮕ Система выдала RA, несмотря на отсутствие фактической угроз.

Вывод:

Иногда TCAS действует с избыточной осторожностью. В плотных подходных зонах возможны ложноположительные срабатывания — что, тем не менее, безопаснее, чем опоздание.

2. Турбулентность над Атлантикой (несколько случаев) — высотные колебания и ложные RA

Во время сильной турбулентности, особенно в зоне RVSM, TCAS может получить искажённые данные о вертикальной скорости, вызывая срабатывание RA.

⮕ Причиной стали резкие колебания барометрической высоты или ложные оценки скорости могли привести к ошибочному расчёту точки сближения.

Вывод:

В сложных метеоусловиях возможны ложные RA. Это учитывается в новых алгоритмах TCAS, но полностью исключить такие случаи невозможно.

3. Индийский рейс над Бангладеш (2016) — избыточная реакция

Airbus A320 получил RA на снижение, хотя "угрожающий" борт уже начал разворот и не приближался.

Причины:

⮕ Неверное определение направления движения цели.

⮕ Устаревшая версия TCAS без патча Change 7.1 не фильтровала такие случаи.

Вывод:

Отсутствие обновлённого ПО может привести к ложным тревогам. Именно поэтому внедрение Change 7.1 стало обязательным в ЕС с 2015 года.

TCAS на красных страницах истории гражданской авиации

Инцидент в Японии — JAL 907 и JAL 958 (20 января 2001)

Boeing 747-400 чудом избежал столкновения в воздухе с McDonnell Douglas DC-10.

Что произошло:

⮕ TCAS на обоих самолётах сработал корректно: 747 должен был набирать высоту, DC-10 — снижаться.

⮕ Однако диспетчер перепутал команды и приказал 747 снижаться.

⮕ Экипаж 747 послушался диспетчера и проигнорировал TCAS.

⮕ Во второй пилот в последний момент визуально заметил DC-10 и резко увёл самолёт вверх.

Результат:

• 747 испытал перегрузку и более 100 пассажиров получили травмы.
• Разделение составило всего 135 метров по вертикали — чудом не случилась крупнейшая воздушная катастрофа в истории.

Последствия:

• Инцидент ускорил внедрение стандарта TCAS Change 7.
• Экипажам напомнили: приоритет всегда за TCAS, даже при конфликте с диспетчером.

Авиакатастрофа, которая переписала учебники авиации. Юберлинген, Германия Ту-154М и Boeing 757 DHL (1 июля 2002).

Ту-154М "Башкирских авиалиний" и грузовой Boeing 757 DHL столкнулись в воздухе. Погиб 71 человек, в том числе 52 ребёнка.

Что произошло:

⮕  TCAS выдал команду Ту-154 на подъём, Boeing — на снижение.

⮕ Диспетчер (работал один, с отключённой связью) приказал Ту-154 снижаться.

⮕ Экипаж Ту-154 выполнил указание диспетчера, проигнорировав TCAS. В то время в России и ряде других стран существовало правило, что указания диспетчера имеют приоритет над командами TCAS.

⮕ Столкновение на эшелоне, 71 погибший (включая 52 ребёнка).

Выводы и последствия:

⮕ После этой катастрофы ICAO ввела правило: приоритет команд TCAS над указаниями диспетчера.

⮕ Расследование BFU выявило системные проблемы:

• нехватка диспетчерского персонала;
• недостаточное обучение экипажей по TCAS;
• противоречивость национальных и международных инструкций.

Трагедия над Боденским озером стала уроком для мировой авиационной отрасли, подчеркнув важность взаимодействия между системами безопасности и человеческим фактором, а также необходимость следования международным правилам и стандартам.

Вывод

TCAS — это система, созданная действовать в условиях неполной информации и за доли секунды. Иногда она действует чересчур осторожно, но именно это спасает жизни. Ложные срабатывания случаются редко, и почти всегда они безопаснее, чем их отсутствие. А после каждого инцидента в алгоритмы вносятся изменения.