DE102004037352B4

DE102004037352B4 - Verfahren zur Überwachung einer zulässigen Konfidenz einer Messgröße eines dynamischen Systems

Info

Publication number: DE102004037352B4
Application number: DE102004037352A
Authority: DE
Inventors: Christian Dr. Dipl.-Phys. Zecha; Winfried Dr. Ph.D.(M.I.T.) Lohmiller
Original assignee: EADS Deutschland GmbH
Current assignee: Airbus Defence and Space GmbH
Priority date: 2004-07-30
Filing date: 2004-07-30
Publication date: 2008-06-26
Anticipated expiration: 2024-07-31
Also published as: DE102004037352A1; WO2006012854A1; US7437254B2; DE502005006157D1; EP1771775B1; EP1771775A1; US20070113629A1

Abstract

Verfahren zur Überwachung einer zulässigen Konfidenz einer Messgröße eines dynamischen Systems, umfassend folgende Schritte:
– Aufnahme zumindest einer Messreihe von jeweils einer Anzahl n von Messungen z_k zu vorgebbaren Zeitpunkten t_k = 1, ..., n mittels zumindest einer Sensor-Einrichtung unter Berücksichtigung einer jeweiligen vorgebbaren Messgenauigkeit Δz_k der zumindest einen Sensor-Einrichtung und einem auf diese bezogenen, vorgebbaren tatsächlichen Konfidenzkoeffizienten 1 – p_k, wobei die Messungen z_k jeweils von einem zu bestimmenden multi-dimensionalen Parameter x₀ zur Zeit t₀ als Ausgangspunkt der zumindest einen Messreihe abhängen,
– Ermittlung einer Anzahl m von Messfehlern in Abhängigkeit des tatsächlichen Konfidenzkoeffizienten 1 – p_k, in Abhängigkeit von der Anzahl n von Messungen und in Abhängigkeit von einem vorgebbaren Konfidenzkoeffizienten 1 – p₀,
– Ermittlung eines Bereichs X_k für jede Messung z_k der Messreihe als Messungenauigkeit und Ermittlung eines Genauigkeitsbereichs X₀ für den zu ermittelnden Parameter x₀, ausgehend von den Messungenauigkeitsbereichen X₁, ...,...

Description

Die Erfindung betrifft ein Verfahren zur Überwachung einer zulässigen Konfidenz einer Messgröße eines dynamischen Systems.
Bei aus dem allgemeinen Stand der Technik bekannten Verfahren zur Fehlererkennung von Sensorwerten in dynamischen Systemen wird der Vergleich von similar oder dissimilar ermittelten Sensorwerten zugrunde gelegt. Dabei wird eine funktionale oder gerätetechnische Redundanz verwendet.
Aus US 6,233,522 B1 und DE 36 36 131 C1 sind Verfahren bekannt, die bei einer Positionsbestimmung von Flugzeugen den Zustand eines Navigationssystems bestimmen, wobei Geländedaten verwendet werden. DE 101 35 586 A1 beschreibt ein zur Implementierung in einem Computersystem vorgesehenes Verfahren für ein Sensorsystem zur Ausfallkompensation und Sicherstellung einer Messwertgüte. Das Verfahren nimmt die Bestimmung der Vertrauenswürdigkeit der von einem Sensorsystem gewonnenen Messgrößen vor.
Aus MALETTI, R. et al.: Gültigkeitsprüfung von Prozessinformationen mittels analytischer Redundanz und Paritätsraumdarstellung. In: msr – messen steuern regeln, Bd. 32 (1989), Heft 9, S. 404–409 ist ein Verfahren zur Gültigkeitsprüfung von Prozessinformationen mittels analytischer Redundanz bekannt. Bei der dort beschriebenen Signalgültigkeitsprüfung werden u. a. die Sensormesswerte mit den in einem mathematischen Modell berechneten Werten verglichen, um die Zuverlässigkeit bzw. Gültigkeit der erhaltenen Messwerte zu bewerten. Weiterhin werden gesicherte Mittelwerte für die einzelnen Sensormesswerte bestimmt.
Es ist die Aufgabe der Erfindung, ein Verfahren bereit zu stellen, mit dem für eine Messreihe von Sensorwerten ein Parameter zu einem Ausgangszeitpunkt t₀ der Messreihe, von welchem die Messreihe zu Zeitpunkten t > t₀ abhängt, mit einem vorgebbaren Konfidenzkoeffizienten ermittelbar ist.
Diese Aufgabe wird mit den Merkmalen des unabhängigen Patentanspruchs gelöst. Weitere Ausführungsformen sind in dem auf diesen rückbezogenen Unteranspruch angegeben.
Erfindungsgemäß ist ein Verfahren zur Überwachung einer zulässigen Konfidenz einer Messgröße eines dynamischen Systems, umfassend folgende Schritte vorgesehen:

– Aufnahme zumindest einer Messreihe von jeweils einer Anzahl n von Messungen z_k einer Messgröße z(t_k, x₀) zu vorgebbaren Zeitpunkten t_k = 1, ..., n mittels zumindest einer Sensor-Einrichtung unter Berücksichtigung einer jeweiligen vorgebbaren Messgenauigkeit Δz_k der zumindest einen Sensor-Einrichtung und einem auf diese bezogenen, vorgebbaren tatsächlichen Konfidenzkoeffizienten 1 – p_k, wobei die Messungen z_k jeweils von einem zu bestimmenden multi-dimensionalen Parameter x₀ zur Zeit t₀ als Ausgangspunkt der zumindest einen Messreihe abhängen,
– Ermittlung einer Anzahl m von Messfehler in Abhängigkeit des tatsächlichen Konfidenzkoeffizienten 1 – p_k, in Abhängigkeit von der Anzahl n von Messungen und in Abhängigkeit von einem vorgebbaren Konfidenzkoeffizienten 1 – p₀,
– Ermittlung für jede Messung z_k der Messreihe eines Bereichs X_k als Messungenauigkeit und Ermittlung ausgehend von den Messungenauigkeitsbereichen X₁, ..., X_k und der Anzahl m von Messfehlern eines Genauigkeitsbereichs X₀ für den zu ermittelnden Parameter x₀, so dass der Genauigkeitsbereich X₀ den wahren Parameter x₀ mit dem vorgebbaren Konfidenzkoeffizienten 1 – p₀ enthält, wobei der Genauigkeitsbereich X₀ jene Menge von Werten ist, die den Bereich X_k in mindestens n – m Bereichen gleichzeitig enthält,
– Zuordnung des ermittelten Genauigkeitsbereichs zu einem Genauigkeitsmaß,
– Vergleich des Genauigkeitsmaßes mit einem Schwellwert,
– Ausgabe einer Warnung, sobald ein Sollwert erreicht, unter- oder überschritten ist.

Die Ermittlung der Anzahl der Messfehler kann insbesondere mittels der Vorschrift
erfolgen, wobei 1 – p = 1 – p₁, ..., 1 – p_n ein für die Messreihe einheitlicher Konfidenzkoeffizienten bezeichnet.
Ein Vorteil der Erfindung ist, dass redundante Funktionen oder Geräte oder Komponenten, die zur Gewährleistung eines Mindest-Konfidenzkoeffizienten vorgesehen sind, eingespart werden können.
Insbesondere kann erfindungsgemäß aus entsprechend vielen Messungen, die für sich betrachtet einen verhältnismäßig geringen Konfidenzkoeffizienten haben, ein Messwert mit einer relativ hohen Integrität gebildet werden.
In dem besonderen Anwendungsfall der Positions- und Höhen-Bestimmung für ein Flugzeug kann das erfindungsgemäße Verfahren bzw. die erfindungsgemäße Vorrichtung unter Gewährleistung eines vorgegebenen Mindest-Konfidenzkoeffizienten oder unter Einhaltung eines maximalen Konfidenz-Risikos eingesetzt werden. Unter Konfidenz-Risiko wird hierbei die Wahrscheinlichkeit für einen in einem System unentdeckten oder ungemeldeten Fehler verstanden. Alternativ könnte das erfindungsgemäße Verfahren bzw. die erfindungsgemäße Vorrichtung unter Erreichung einer vorgegebenen Genauigkeit einen zugehörigen Konfidenzkoeffizienten ermitteln.
Im Folgenden wird die Erfindung anhand der beiliegenden Figuren beschrieben, die zeigen:
1 eine Darstellung von Schritten des erfindungsgemäßen Verfahrens,
2 eine schematische Darstellung einer Ausführungsform der erfindungsgemäßen Fehlererkennungs-Einrichtung,
3 eine schematische Darstellung einer Ausführungsform der erfindungsgemäßen Fehlererkennungs-Einrichtung zur Anwendung für eine Navigations-Einrichtung für ein Flugzeug,
4 für die Anwendung der Erfindung auf ein Navigationsverfahren die schematische Darstellung einer geflogenen Trajektorie über einem Geländepro fil und vergleichsweise dazu eine von einer in dem Flugzeug vorhandene Inertialsensorik gemessene und ermittelte Trajektorie, wobei zusätzlich eine Zeitskala angegeben ist,
5 für die Anwendung der Erfindung auf ein Navigationsverfahren nach der 4 eine angenommene Ausgangsposition des Flugzeugs für eine Inertialsensor-Messung und eine von einem Höhenmesser ermittelter Verlauf der Höhe über Grund bezogen auf die genannte Ausgangsposition des Flugzeugs sowie das Profil des wahren Geländes im Bereich unterhalb der geflogenen Flugbahn, wobei mittels eines grau hinterlegten Bereichs ein Ungenauigkeitsbereich für den ermittelten Verlauf der Höhe über Grund gezeigt ist,
6 für die Anwendung der Erfindung auf ein Navigationsverfahren nach der 4 ein Überlappungsbereich zur Veranschaulichung der Ermittlung der Integrität eines Sensorwertes.
Das erfindungsgemäße Verfahren liefert einen momentanen oder zeitabhängigen Parameter x₀ oder eine Reihe solcher Parameter x₀ zusammen mit einer ermittelten Genauigkeit bzw. einem ermittelten Genauigkeitsbereich X₀ dieses Parameters x₀.
Das erfindungsgemäße Verfahren ist auf Fälle anzuwenden, bei denen eine Anzahl von n Messungen von zumindest einer Sensor-Einrichtung zur Bestimmung einer Messgröße verwendet werden. Der zumindest einen Sensor-Einrichtung wird dabei ein tatsächlicher oder für die einzelne Einrichtung spezifizierter oder vermuteter oder angenommener Konfidenzkoeffizienten, der im Folgenden kurz tatsächlicher Konfidenzkoeffizienten genannt wird, zugeordnet. Dieser kann insbesondere aus der Sensordaten-Ermittlungsverfahren und/oder der Beschaffenheit des Sensor-Gerätes abgeleitet werden. Für den Fall, dass in dem erfindungsgemäßen Verfahren mehrere Sensor-Einrichtungen zur Bestimmung einer Messgröße angeordnet oder integriert sind, kann jeder Sensor-Einrichtung für sich ein tatsächlicher Konfidenzkoeffizienten zugeordnet werden. Aus mehreren tatsächlichen Konfidenzkoeffizienten kann dann wiederum ein tatsächlicher Konfidenzkoeffizienten für die gesamte Sensor-Einrichtung, d. h. für mehrere Sensor-Einrichtungen ermittelt werden. Auch kann eine Sensor-Einrichtung mehrere Sensoren und 1 oder auch mehrere Datenverarbeitungs-Einrichtungen oder auch zugeordnete Funktionseinheiten oder Geräte, wie z. B. Filter, Beobachter, umfassen. Jedem dieser Sensoren oder Datenverarbeitungs-Einrichtungen kann wiederum ein tatsächlicher Konfidenzkoeffizienten zugeordnet wer den, um daraus einen tatsächlichen Konfidenzkoeffizienten für die Sensor-Einrichtung bilden zu können.
Dieser tatsächliche, gegebenenfalls zusammengesetzte Konfidenzkoeffizienten der zumindest einen Sensor-Einrichtung wird in Abhängigkeit von einer vorgegebenen Anzahl n von Messungen und in Abhängigkeit von der Anzahl m anzunehmender Messfehler in eine Beziehung zu einer für den zu ermittelten Sensorwert maßgeblichen geforderten Konfidenzkoeffizienten gesetzt und dabei ermittelt, wie viele Messfehler m höchstens zulässig sind, um den geforderten Konfidenzkoeffizienten zu gewährleisten.
Insbesondere kann vorgesehen sein, die kleinste Zahl m, 0 ≤ m ≤ n, für die maximale Zahl der zulässigen Messfehler m durch Lösung der Ungleichung
zu ermitteln. In dieser Ungleichung können auch alternativ andere Größen, d. h. aus den genannten Größen abgeleitete Größen verwendet werden. Z. B. kann statt m + 1 auch der Wert m verwendet werden, wenn als maximale Anzahl zulässiger Messfehler die Größe m – 1 angesehen oder verwendet wird. Die Größe 1 – p₀ ist ein geforderter Konfidenzkoeffizienten für den zu ermittelnden Messwert oder eine daraus abgeleitete Größe. Dieser Wert kann für ein Flugzeug z. B. 1 – 10^–4 pro Flugstunde betragen, was bei der Annahme oder Vorgabe von 100 Messungen pro Flugstunde einem Konfidenzkoeffizienten von 1 – 10^–6 pro jeweiligem ermittelten Wert entspricht. Die Größe p₀ ist ein erlaubtes Konfidenz-Risiko für den Messwert x₀. Der Wert p kann als Sensor-Konfidenz-Risiko verstanden werden. Die Größe 1 – p ist ein tatsächlicher oder vorgegebener oder gemessener Konfidenzkoeffizienten für die einzelne Sensor-Einrichtung und/oder das mit der Sensor-Einrichtung implementierte Verfahren. Dieser Konfidenzkoeffizienten wird im Folgenden kurz als tatsächlicher Konfidenzkoeffizienten bezeichnet. Bei der Verwendung mehrerer Bestandteile innerhalb einer Sensor-Einrichtung und/oder bei der Verwendung mehrerer Sensor-Einrichtungen zur Ermittlung eines Messwertes ist 1 – p aus mehreren tatsächlichen Konfidenzkoeffizienten gebildet, z. B. durch Summation oder Multiplikation derselben oder durch eine mathematische Formel, in der die jeweils relevanten tatsächlichen Konfidenzkoeffizienten miteinander verrechnet werden.
Mit dem erfindungsgemäßen Verfahren wird dadurch aus den Messergebnissen z_k, den Unsicherheiten oder Mess-Genauigkeiten Δz_k und den Abweichungs-Wahrscheinlichkeiten oder Sensor-Konfidenz-Risiken p_k ein möglichst kleiner Bereich X₀ von x-Werten bestimmt, der den unbekannten Parameter x₀ mit einer vorgegebenen oder geforderten Mindest-Wahrscheinlichkeit 1 – p₀ enthält. Der gesuchte Bereich X₀ ist dann jene Menge von x-Werten, die in mindestens n – m
Bereichen X_k gleichzeitig enthalten sind. Erfindungsgemäß wird also die kleinste Zahl m ermittelt, für die noch die vorgenannte Ungleichung erfüllt ist. Die Lösung der Ungleichung mit Randbedingung erfolgt z. B. durch das Einsetzen von Werten m und Durchführung eines Vergleichs von rechter und linker Seite der Ungleichung und Inkrementieren des Werteeinsatzes, bis die Ungleichung nicht mehr erfüllt ist.
Der Wert für n ist die Zahl der Messungen je Messreihe. Diese Zahl kann vorbestimmt oder festgelegt sein und hängt vom Anwendungsfall ab.
In dem konkret beschriebenen Anwendungsfall bedeutet die Zahl m eine maximal zulässige Anzahl von Messfehlern, die mit dem geforderten Konfidenzkoeffizienten 1 – p₀ verträglich ist.
Das beschriebene Verfahren ist auch auf alle Fälle anwendbar, in denen die Wahrscheinlichkeiten P_k für das Auftreten von Abweichungen innerhalb einer Messreihe unterschiedlich sind. Hierfür wird die Größe p^j und die Größe (1 – p)^n-j durch ein Produkt von mehreren einzelnen Wahrscheinlichkeiten p_k bzw. Konfidenzkoeffizienten 1 – p_k gebildet.
Das beschriebene Verfahren ist auch auf Fälle anwendbar, in denen das Auftreten der Abweichungen korreliert ist.
Aus jeder der n Messungen der Mess-Reihe wird ein Bereich für den Parameter x₀ ermittelt, so dass der von der zumindest einen Mess-Einrichtung ermittelte Messwert z_k der Mess-Gleichung mit dem vorgegebenen Sensor-Konfidenzkoeffizienten genügt, d. h. für die Mess-Gleichungs-Beziehung z(t_k, x₀) ∊ [z_k – Δz_k, z_k + Δz_k] erfüllt ist.
In einem weiteren erfindungsgemäßen Schritt wird aus der Anzahl der vorbestimmten Messungen n und der maximalen Anzahl der zulässigen Messfehler m eine Genauigkeit bzw. ein Genauigkeitsbereich ermittelt, der bei der Anzahl von n Messungen mittels der zumindest einen jeweiligen Sensor-Einrichtung mit dem geforderten Mindest-Konfidenzkoeffizienten verträglich ist.
Erfindungsgemäß kann diese Genauigkeit bzw. dieser Genauigkeitsbereich aus der Differenz der vorbestimmten Anzahl von Messungen n und der Anzahl der höchstens zulässigen Messfehler m abgeleitet werden. Insbesondere kann dabei der Ausdruck {n – m}zur Ermittlung der Genauigkeit der Messwerte verwendet werden.
Erfindungsgemäß wird also zumindest eine Messreihe mit jeweils einer Anzahl n von Messungen z_k mittels zumindest einer Sensor-Einrichtung mit jeweils einer vorgegebenen Messgenauigkeit Δz_k und einem auf diese bezogenen, vorgegebenen tatsächlichen Sensor-Konfidenzkoeffizienten 1 – p_k ermittelt. Danach erfolgt einer Ermittlung einer Anzahl m von Messfehlern in Abhängigkeit des tatsächlichen Sensor-Konfidenzkoeffizienten 1 – p_k. in Abhängigkeit von der Anzahl n von Messungen und in Abhängigkeit von einem geforderten Mindest-Konfidenzkoeffizienten 1 – p₀.
Für jede Messung der Messreihe wird ein Bereich X_k als Mess-Ungenauigkeit und ausgehend von den Mess-Ungenauigkeitsbereichen (X₁, ..., X_n) und der Anzahl m von Messfehlern ein Genauigkeitsbereich X₀ für den zu ermittelnden Parameter x₀ ermittelt. so dass der Genauigkeitsbereich X₀ den wahren Parameter x₀ mit dem vorgegebenen Mindest-Konfidenzkoeffizienten 1 – p₀ enthält.
Anschließend erfolgt eine Zuordnung des ermittelten Genauigkeitsbereichs zu einem Genauigkeitsmaß.
In einer Funktion zum Fehler-Monitoring wird die ermittelte Genauigkeit der Messgröße mit einem vorgegebenen Schwellwert oder Sollwert für diese Genauigkeit verglichen. Falls die ermittelte Genauigkeit der Messgröße den vorgegebenen Schwellwert oder Sollwert nicht erreicht d. h. je nach Anwendungsfall über- oder unterschritten wird, wird eine Sensordaten-Abweichung an eine Systemsteuerung. die auch Bestandteil der Sensor-Einrichtung sein kann, oder eine Benutzer-Oberfläche weitergegeben. Es ist eine Funktion des dynamischen Systems vorgesehen, die diese Abweichung je nach Anwendungsfall, verarbeitet, wobei das Auftreten der Abweichung unmittelbar oder mittelbar, zu System-Konsequenzen führen kann. Eine mittelbare Konsequenz kann dabei darin liegen, dass das Nicht-Erreichen des Schwellwert oder Sollwertes z. B. erst im Zusammenhang mit dem weiteren Auftreten des Nicht-Erreichens des Schwellwertes oder Sollwertes oder im Zusammenhang mit weiteren Fehlern derselben oder einer weiteren Sensor-Einrichtung oder eines weiteren Bestandteil des dynamischen Systems, zu System-Konsequenzen führt. Die System-Konsequenz kann in der Abschaltung des Systems oder in dem Wechsel in eine andere Betriebsart liegen.
Bei dem Vorliegen von Sensorwerten verschiedener Sensor-Einrichtungen oder von verschiedenartigen Sensorwerten innerhalb derselben Sensor-Einrichtung können diese Sensorwerte zusammen mit der erfindungsgemäß ermittelten Genauigkeit und dem Mindest-Konfidenzkoeffizienten für den jeweiligen Sensorwert bzw. die Sensorwerte in einem Schätzfilter und insbesondere einem Kalman-Filter zu einem Sensorwert mit einer Genauigkeit und/oder Konfidenz fusioniert werden. Die voranstehend beschriebene Funktion zum Fehler-Monitoring kann diesem Kalman-Filter auch nachgeschaltet sein und die Abweichung aufgrund des mit dem Filter ermittelten Konfidenzkoeffizienten ermittelt werden. Sie kann auch als zusätzlich zu der einem Filter vorgeschalteten Monitoring-Funktion dem Filter nachgeschaltet sein.
Die erfindungsgemäße Fehler-Erkennungsfunktion oder Fehler-Erkennungseinrichtung 1 steht in Verbindung mit zumindest einer ersten Sensor-Einrichtung 11. Es können der Fehler-Erkennungseinrichtung 1 auch weitere Sensor-Einrichtungen zugeordnet sein. In der 2 ist eine spezielle Ausführungsform der Erfindung mit einer weiteren Sensor-Einrichtung 12, also mit insgesamt zwei Sensor-Einrichtungen dargestellt. Die Fehler-Erkennungseinrichtung 1 umfasst eine Einrichtung bzw. Funktion zur Fehler-Konfidenzbestimmung 21 und eine Einrichtung bzw. Funktion zum Fehler-Monitoring 22. Letzteres ermittelt eine den mit der zumindest einen Sensor-Einrichtung ermittelten Sensorwerten zuordnungsbare Konfidenz, die weiteren Systemfunktionen des dynamischen Systems, z. B. einer Benutzeroberfläche 30 oder einer System-Steuerungseinrichtung 40 zuführbar ist.
Im Folgenden wird eine spezielle Anwendung des erfindungsgemäßen Verfahrens bzw. der erfindungsgemäßen Vorrichtung auf die Navigationseinrichtung eines Flugzeugs beschrieben. Dabei ist ein Sensor-System 60 vorgesehen, das als erste Sensor-Einrichtung eine Trägheitssensor-Einrichtung 61 und eine zweite Sensor-Einrichtung 62 umfasst, die mit einer digitalen Geländedatenbank 63 in Verbindung steht. Die zweite Sensor-Einrichtung 62 ist dabei ein Sensor, mit dem die Ermittlung der momentanen Position des Flugzeugs bezüglich der digitalen Geländedaten oder bezüglich des wahren Geländes möglich ist und kann dabei ein Radarhöhenmesser, ein Laserhöhenmesser oder ein Sensor zum Empfang von Funksignalen oder Satellitendaten sein. Diesem Sensor-System 60 kann die erfindungsgemäße Fehlererkennungs-Einrichtung 1 nachgeschaltet sein (3). Die erfindungsgemäße Fehlererkennungs-Einrichtung 1 kann alternativ auch Bestandteil des Sensor-Systems 1 sein.
Die Trägheitssensor-Einrichtung 61 liefert Messwerte für momentane Geschwindigkeitsvektoren und die zweite Sensor-Einrichtung 62 liefert einen Höhenverlauf über dem digitalen Gelände. Dieser Höhenverlauf ist jedoch, da der Ausgangspunkt der Messwerte aus der Trägheitssensor-Einrichtung 61 nicht genau bekannt ist, versetzt zur tatsächlichen Kontur des überflogenen Geländes. Weiterhin können Ungenauigkeiten der Geländedaten und der Sensoren selbst, z. B. in den Trägheits-Sensoren oder dem Radarhöhenmesser angenommen werden. Außerdem können Fehler angenommen werden in den Verfahren, mit denen sich aus den eigentlichen Sensorwerten, z. B. elektrische Werte der Intertialsensoren, geeignete Rechengrößen für die Navigation ableiten. Durch derartige Fehler kann sich der Höhenverlauf zu einer Höhenschicht verbreitern (5).
Das in diesem Anwendungsfall einsetzbare Verfahren ist vorzugsweise wie folgt:
Das erfindungsgemäße Geländedatenbank-gestützte Navigationsverfahren ermittelt einen multi-dimensionalen Parameter x₀ und verwendet dabei insbesondere eine Größe z(t, x₀), die von einem Parameter t und dem weiteren multi-dimensionalen Pa rameter x₀ abhängt. In einer bevorzugten Ausführungsform der Erfindung stehen der Parameter t für die Zeit und der multidimensionale Parameter x₀ für die 3-dimensionale Position eines Flugzeugs zur Zeit t₀ (Ausgangsposition). Die Größe z(t, x₀) steht für die Höhe des Flugzeugs über Grund zur Zeit t.
In dem besonderen Anwendungsfall der Verwendung einer digitalen Geländedatenbank als Navigationshilfe erfolgt die Ermittlung der dreidimensionalen Position durch eine Ermittlung der momentanen Position des Flugzeugs bezüglich des wahren Geländes oder bezüglich des digitalen Geländes der Geländedatenbank. Diese Position des Flugzeugs bezüglich des digitalen Geländes wird fusioniert mit den Positions-Informationen aus der Trägheitssensor-Einrichtung 61. Die zu bestimmende Höhe ist die Höhe über der realen Geländehöhe bzw. die Höhe über Grund.
In dem Fall der Bildung des Sensor-Systems 60 aus einer Trägheitssensor-Einrichtung 61, einem Höhenmesser 62, der insbesondere ein Radarhöhenmesser oder ein Laserhöhenmesser sein kann, und einer digitalen Geländedatenbank 63 stehen der Fehlererkennungs-Einrichtung 21 als Eingangsgrößen aus dem Sensor-System 60 zur Verfügung:

– digitale Geländedaten aus der Geländedatenbank 63 mit einer Daten Bereitstellungs- und Daten-Such-Funktion,
– Daten für die Höhe über Grund aus zumindest einem Höhen-Sensor zur Ermittlung der Kontur der Geländeoberfläche unter der vom Flugzeug geflogenen Flugbahn,
– die mittels der Trägheitssensor-Einrichtung 61 gemessene Beschleunigungen des Flugzeugs, die z. B. in der Trägheitssensor-Einrichtung 61 zu einer dreidimensionalen Geschwindigkeit aufintegriert werden, so dass insbesondere die Relativbewegung des Flugzeugs zu einer Ausgangsposition zur Verfügung gestellt wird.

Die von der Trägheitssensor-Einrichtung 61 ermittelten Daten, also die momentanen Geschwindigkeitsvektoren oder auch der Verlauf der bisher geflogenen Flugbahn, werden also ohne genauen Ausgangspunkt ermittelt. Eine beispielsweise Darstellung einer Messreihe in Form eines Verlaufs einer bisher geflogenen Flugbahn ist in der 4 gegeben. Die gleichzeitig oder in einem parallelen Prozess von der weiteren Sensor-Einrichtung 62 bzw. dem zumindest einen Höhen-Sensor ermittelte Kontur der Geländeoberfläche unter der vom Flugzeug geflogenen Flugbahn kann daher nur mit einer verhältnismäßig großen Unsicherheit der Geländeinformation aufgrund der digitalen Geländedaten räumlich zugeordnet werden. Diese Zuordnung und damit die Positions- und Höhen-Bestimmung unter Gewährleistung einer vorbestimmten Mindest-Konfidenz oder Genauigkeit erfolgt erfindungsgemäß wie folgt:
Erklärend wird hinzugefügt, dass die Genauigkeit und die Integrität im Allgemeinen nicht gleichzeitig vorbestimmt werden können. In dem Navigationsverfahren wird die Mindest-Konfidenz vorbestimmt und die zugehörige Genauigkeit bzw. der zugehörige Genauigkeitsbereich ergibt sich dann aus dem Verfahren.
Durch den Höhenmesser wird ein Verlauf der Höhe über Grund, d. h. die Höhe über dem wahren Gelände, im Bereich unterhalb der geflogenen Flugbahn ermittelt. Ein Beispiel für eine Messreihe in Form eines ermittelten Höhenverlaufs ist in der 4 gezeigt. Eine Zuordnung der aus den Messungen verschiedener Sensoren ermittelten Oberflächen-Kontur des jeweils abgeflogenen Geländes auf das digitale Gelände der Geländedatenbank würde zu einer Bestimmung der genauen Position des Flugzeugs bezogen auf den Zeitpunkt der jeweiligen Messreihe führen. Die Genauigkeit einer solchen Positionsbestimmung ist dabei von der Genauigkeit der Sensoren und der Geländedatenbank vorgegeben.
Eine solche Reihe von Messungen liegt für mehrere Zeitpunke vor: es kann für jeden Mess-Zeitpunkt eine Reihe einer vorbestimmten oder situationsabhängigen Anzahl n von Messungen oder ein Satz von jeweils n Messungen ermittelt werden.
Da der Ausgangspunkt der von der Trägheitssensor-Einrichtung 61 ermittelten Messreihe ungenau oder unbestimmt ist und da sämtliche Messungen mit Fehlern, die gerätetechnisch oder verfahrenstechnisch bedingt sein können, behaftet sind, werden erfindungsgemäß eine Reihe von Messungen verschiedener Sensoren miteinander fusioniert. Um eine solche Fusion für sicherheitskritische Systeme anwenden zu können, wird erfindungsgemäß auch eine Genauigkeit bzw. ein Genauigkeitsbereich, der mit der vorbestimmten Mindestkonfidenz verträglich ist, für jeden ermittelten Wert angegeben, so dass bei einem Nicht-Erreichen eine Soll-Wertes systemtechnische Konsequenzen gezogen werden können.
Ist die Relativbewegung des Flugzeugs in der Zeit von t₀ bis t z. B. aus der Trägheitsanlage bekannt, so lässt sich für jede Ausgangsposition x₀ die Flugtrajektorie zu den Zeiten t > t₀ rekonstruieren.
Die Größe z(t, x₀) wird nun bei festem aber unbekanntem Parameter x₀ zu verschiedenen Zeiten t_k, k = 1 .. n gemessen und ergibt die Messwerte z_k. In der o. g. Navigationsanwendung ist die Position x₀ des Flugzeugs zur Zeit t₀ unbekannt.
Zu den Zeiten t_k, k = 1 .. n wird jeweils die Höhe über Grund z_k z. B. mit Hilfe eines Höhenmessers und insbesondere eines Radar-Höhenmessers gemessen.
Das Höhenprofil des überflogenen Gebietes ist in einer 3-dimensionalen Geländedatenbank abgelegt. In einem weiteren Schritt wird entlang der Flugtrajektorie ein Schnitt entlang der geflogenen Flugbahn durch die 3-dimensionale Geländedatenbank gelegt, die das überflogene Geländeprofil zeigt.
Daraus wird die Funktion z(t, x₀), d. h. die Höhe über Grund, ermittelt. Dazu wird die Differenz zwischen dem Höhenprofil der Flugtrajektorie und dem Geländeschnitt ge bildet. Diese Funktion ist für jede Ausgangsposition x₀ konstruierbar und damit bekannt.
Die Messwerte z_k weisen jeweils eine Unsicherheit Δz_k relativ zum wahren Wert z(t_k, x₀) auf, d. h. die Messwerte liegen mit einer Wahrscheinlichkeit 1 – p_k innerhalb des Bereiches und mit der Wahrscheinlichkeit p_k außerhalb dieses Bereichs [z(tk, x0) – Δzk, z(tk , x0) + Δzk]
Dabei wird an dieser Stelle keine detaillierte Kenntnis der Wahrscheinlichkeitsverteilung vorausgesetzt. Der Unsicherheitsbereich kann auch asymmetrisch sein.
Den Fall, dass ein Messwert z_k außerhalb des Bereichs [z(t_k _, x₀) – Δz_k, z(t_k _, x₀) + Δz_k] liegt, bezeichnet man als Fehlmessung.
Das Auftreten von Fehlmessungen zu den Zeiten t_k kann unkorreliert sein, oder es kann in spezifizierter Weise zeitlich korreliert sein.
In der erfindungsgemäßen Navigationsanwendung können Fehlmessungen von den Radarmessungen herrühren oder durch eine fehlerhafte Geländedatenbank verursacht sein.
Die vorgegebene Mindestwahrscheinlichkeit 1 – p₀ wird durch das erfindungsgemäße Verfahren gewährleistet, und zwar unabhängig davon, welche Messergebnisse im Einzelfall auftreten. Im Fall der o. g. Navigationsanwendung liefert das Verfahren also einen möglichst genauen Raumbereich x₀ für die unbekannte Position x₀ des Flugzeugs zur Zeit t₀, und dies mit einer vorgegebenen Mindestwahrscheinlichkeit von mindestens 1 – p₀.
In dem Verfahren wird für jeden Zeitpunkt t_k, k = 1 .. n, anhand des vorliegenden Messergebnisses z_k ein Bereich X_k von x-Werten ermittelt. Und zwar umfasst X_k alle jene Parameter x für welche kein Messfehler aufträte, d. h. für die z(t_k, x) ∊ [z(t_k, x₀) – Δz_k, z(t_k, x₀) + Δz_k] ist.
In der Navigationsanwendung ist X_k jener 3-dimensionale räumliche Bereich, der für die Ausgangsposition x₀ in Frage kommt, ohne dass bei der k-ten Radarmessung ein Fehlmessung auftritt. Dieser Bereich ist eine um die Höhe über Grund z_k und um die Flugzeugbewegung parallel zum Geländeprofil verschobene Höhenschicht. In 5 ist angenommen, dass sich das Flugzeug in der Zeit von t₀ bis t_k horizontal bewegt und zur Zeit t_k die Radarhöhe z_k misst.
Eine mögliche Ausgangsposition ist mit x₀ gekennzeichnet. Die Menge aller möglichen Ausgangspositionen ist die Höhenschicht Xk, deren halbe Dicke Δz_k ist.
Gemäß der Erfindung wird aus den n Bereichen X_k, k = 1 .. n, ein Bereich X₀ mit den oben genannten Eigenschaften zu konstruiert. Sind alle Fehlmessungs-Wahrscheinlichkeiten p_k identisch, d. h. p_k = P für alle k = 1 .. n, und ist das Auftreten von Fehlmessungen unkorreliert, so bestimmt man gemäß dem Verfahren die kleinste Zahl m, 0 ≤ m ≤ n, für die
ist.
Der Wert für n ist die Zahl der Messungen je Messreihe. Diese Zahl kann vorbestimmt oder festgelegt sein und hängt vom Anwendungsfall ab. In Bezug auf die Messreihe eines Radar-Höhenmessers ist n die Zahl der Radar-Höhenmessungen, die für eine Messreihe verwendet wird. In einer alternativen Ausführungsform wird die Zahl n dynamisch festgelegt, z. B. in Abhängigkeit von der Flug-Geschwindigkeit oder von dem Geländeverlauf wie z. B. dessen Rauhigkeit.
In der Navigationsanwendung ist X₀ jener Bereich, in dem sich mindestens n – m Höhenschichten überlappen bzw. schneiden. Das bedeutet: in n – m Höhenschichten muss die unbekannte Ausgangsposition x₀ des Flugzeugs gleichzeitig enthalten sein, damit der entsprechende Sensor-Wert die gewünschte Konfidenz dieser zu ermittelnden Ausgangsposition erreicht oder gewährleistet. Bei der Verwendung einer Trägheits-Sensorik 21 mit einer unbestimmten Ausgangsposition x₀ der Messung wird also ein Bereich X₀ ermittelt, in dem die Ausgangsposition x₀ mit vorgegebener Mindestwahrscheinlichkeit enthalten ist.
Der gesuchte Bereich X₀ ist dann jene Menge von x-Werten, die in mindestens n – m Bereichen X_k gleichzeitig enthalten sind. (Wurde schon auf Seite 12 gesagt)
Für den Fall, dass mehrere Sensorwerte mit zugehörigen Konfidenzkoeffizienten ermittelt werden, also z. B. wenn mehrere Sensor-Einrichtungen vorgesehen sind, werden die Konfidenzkoeffizienten und die zugehörigen Reihen von Messwerten von zumindest zwei Sensor-Einrichtungen vorzugsweise einem Schätzfilter, der vorzugsweise ein Kalmanfilter ist, zugeführt, der aus diesen Werten einen Messwert und eine Genauigkeit ermittelt.
Der von dem Filter ermittelte Wert und/oder die Genauigkeit kann in einer Vergleichs-Einrichtung 24 mit einem Schwellwert verglichen werden. Bei Erreichen oder Über- oder Unterschreiten des Schwellwertes abhängig vom Anwendungsfall kann ein Warnungssignal an eine benachbarte System-Einrichtung bzw. System-Funktion wie z. B. einer Benutzeroberfläche, das z. B. die Anzeige-Einrichtung in einem Cockpit sein kann, ausgegeben werden. Auch kann vorgesehen sein, dass aufgrund eines solchen Warnsignals die Betriebsart einer Flugsteuerungs-Einrichtung als benachbarte System-Einrichtung gewählt oder geändert werden. Auch kann dann vorgesehen sein, die die Abweichung verursachende Sensor-Einrichtung abzuschalten und in einer anderen System-Betriebsart gegebenenfalls unter Einbezug eines weiteren Sensors weiter zu verfahren.

Claims

Verfahren zur Überwachung einer zulässigen Konfidenz einer Messgröße eines dynamischen Systems, umfassend folgende Schritte: – Aufnahme zumindest einer Messreihe von jeweils einer Anzahl n von Messungen z_k zu vorgebbaren Zeitpunkten t_k = 1, ..., n mittels zumindest einer Sensor-Einrichtung unter Berücksichtigung einer jeweiligen vorgebbaren Messgenauigkeit Δz_k der zumindest einen Sensor-Einrichtung und einem auf diese bezogenen, vorgebbaren tatsächlichen Konfidenzkoeffizienten 1 – p_k, wobei die Messungen z_k jeweils von einem zu bestimmenden multi-dimensionalen Parameter x₀ zur Zeit t₀ als Ausgangspunkt der zumindest einen Messreihe abhängen, – Ermittlung einer Anzahl m von Messfehlern in Abhängigkeit des tatsächlichen Konfidenzkoeffizienten 1 – p_k, in Abhängigkeit von der Anzahl n von Messungen und in Abhängigkeit von einem vorgebbaren Konfidenzkoeffizienten 1 – p₀, – Ermittlung eines Bereichs X_k für jede Messung z_k der Messreihe als Messungenauigkeit und Ermittlung eines Genauigkeitsbereichs X₀ für den zu ermittelnden Parameter x₀, ausgehend von den Messungenauigkeitsbereichen X₁, ..., X_k und der Anzahl m von Messfehlern, so dass der Genauigkeitsbereich X₀ den wahren Parameter x₀ mit dem vorgebbaren Konfidenzkoeffizienten 1 – p₀ enthält, wobei der Genauigkeitsbereich X₀ jene Menge von Werten ist, die den Bereich X_k in mindestens n – m Bereichen gleichzeitig enthält, – Zuordnung des ermittelten Genauigkeitsbereichs X₀ zu einem Genauigkeitsmaß, – Vergleich des Genauigkeitsmaßes mit einem Schwellwert, – Ausgabe einer Warnung, sobald ein Schwellwert erreicht, unter- oder überschritten ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Ermittlung der Anzahl m von Messfehlern mittels der Vorschrift
erfolgt, wobei 1 – p = 1 – p₁, ..., 1 – p_n einen für die Messreihe einheitlichen Konfidenzkoeffizienten bezeichnet.