Réponse rapide
La redondance est importante pour un aéronef autonome parce qu’une panne unique de capteur, calculateur, alimentation ou liaison peut autrement supprimer la connaissance de l’état ou la capacité de rester contrôlable. Des voies indépendantes, comparées et isolables améliorent la tolérance, à condition que leur défaillance commune et leur bascule soient aussi testées.
Rendre les voies réellement indépendantes
Capteurs, alimentations, bus, logiciels et fixations sont analysés pour les causes communes. Vote, surveillance de plausibilité et autorité de secours sont définis par fonction. La redondance ne partage pas un unique connecteur, horloge ou défaut de configuration sans justification.
Injecter pannes et désaccords
On débranche, décale, retarde ou sature chaque voie puis plusieurs voies à la fois. L’aéronef signale bascule, dégrade sa mission ou se pose selon la marge. La reprise après retour de la voie ne doit pas créer de saut de commande.
Ne pas compter deux capteurs identiques comme deux preuves indépendantes
Même montage, alimentation ou algorithme peut produire la même erreur. Diversité et analyse des causes communes sont nécessaires. Une redondance non surveillée peut donner une confiance injustifiée.
Sources et références
- [1] FAA unmanned aircraft operations — FAA