Validierung des elektrischen Antriebs des „ eVTOL “ vor dem Bau des ersten Flugmodells

Wichtigste Erkenntnisse

• Ein dezentraler Antrieb macht ein „ eVTOL “ nur dann ausfallsicher gegenüber einem einzelnen Ausfall, wenn jede verbleibende Einheit und die Logik zur Schubumverteilung für diesen Ausfall am Boden erprobt wurden.
• Mit Echtzeitmodellen von Motoren, Wechselrichtern und Batterien lassen sich Fehlerfälle nachstellen, die den Prototypen zerstören würden hardware – und genau darin liegt das größte Risiko im Antriebsbereich.
• Simulationen sind nur dann zertifizierungsrelevant, wenn die Modelle mit Messwerten abgeglichen werden und jeder Testdatensatz auf eine Anforderung zurückgeführt werden kann.

eVTOL Die Nachweise für den Antrieb müssen am Boden anhand simulierter Fehler erbracht werden, lange bevor das erste Fluggerät überhaupt existiert.

Ein Flugtest ist kein geeigneter Ort, um herauszufinden, wie sich ein Motor, ein Wechselrichter oder eine Batterie verhält, wenn etwas ausfällt. Verliert ein Hubrotor während des Schwebebetriebs an Drehmoment, bleibt dem Flugsteuerungssystem nur der Bruchteil einer Sekunde, um zu reagieren. Das Verzeichnis der „ eVTOL “-Flugzeugkonstruktionen der Vertical Flight Society umfasst mittlerweile mehr als 1.100 Konzepte von über 450 Konstrukteuren. Der Weg von einem Konzept zu einem zertifizierten Flugzeug ist größtenteils eine Frage der Nachweise.

Der elektrische Flugzeugantrieb bietet Ihnen einen Vorteil, den Turbinenprogramme nie hatten. Motoren, Antriebe und Batterien lassen sich in Echtzeit so genau modellieren, dass die eigentliche Steuerung das Modell nicht von der hardware unterscheiden kann. So können Sie Fehlerfälle tausende Male auf dem Prüfstand durchspielen und anschließend im Flugtest bestätigen, was Sie bereits wissen. Programme, die Simulationen als Beweismittel betrachten, erreichen den Erstflug mit weniger offenen Fragen.

So funktioniert der elektrische Antrieb von „ eVTOL “ als dezentrales System

eVTOL Der Elektroantrieb besteht aus einer Reihe unabhängiger Antriebseinheiten, von denen jede über einen eigenen Motor, einen Wechselrichter und eine Steuerung verfügt und über redundante Sammelschienen von einer Hochspannungsbatterie gespeist wird. Der Schub wird von vielen Rotoren statt von nur einem oder zwei Triebwerken erzeugt, sodass das Flugzeug auch nach dem Ausfall einer einzelnen Einheit weiterfliegen kann, vorausgesetzt, die übrigen Einheiten reagieren korrekt.

Stellen Sie sich eine typische Konfiguration eines Hubschraubers mit sechs Rotoren im Schwebeflug vor. Fällt ein Rotor aus, müssen die verbleibenden fünf jeweils etwa 20 % mehr Schub leisten. Die ideale Schwebeleistung steigt mit dem Schub zur Potenz von 1,5, sodass jede verbleibende Einheit etwa 31 % mehr Leistung benötigt. Durch den Ausgleich von Drehmoment und Fluglage werden einige Einheiten stärker beansprucht als dieser Durchschnittswert.

Redundanz ist nur so gut wie die Reaktion auf einen Ausfall. Jeder Motor, jeder Umrichter und jeder Batteriestrang eVTOL muss für den Überlastfall ausgelegt und getestet sein, und die Logik zur Umverteilung des Schubs muss für den Fall getestet werden, dass jede Einheit in jeder Flugphase ausfällt. Das ist ein kombinatorisches Testproblem, das größtenteils am Boden gelöst werden muss.

„Redundanz ist nur so gut wie die Reaktion auf einen Ausfall.“

Was muss die Triebwerksvalidierung nachweisen, bevor ein Flug hardware -Verfahren vorliegt?

Bei der Motorvalidierung muss nachgewiesen werden, dass der Motor über den gesamten Drehzahl- und Temperaturbereich hinweg das Nennmoment liefert, die Überlastung bewältigt, die nach dem Ausfall einer benachbarten Einheit auftritt, und sich bei Fehlern in der Wicklung, bei Sensoren oder Lagern vorhersehbar verhält. Der Großteil dieses Verhaltens lässt sich bereits vor der Fertigung eines Motors nach Flugstandard charakterisieren.

Ein Dynamometer deckt die einwandfreien Fälle gut ab. Drehmomentkurven, Wirkungsgrad, Temperaturanstieg während eines anhaltenden Schwebebetriebs und Schwingungsmuster stammen alle von einer realen Maschine auf einem Prüfstand. Probleme treten erst bei Fehlern auf, denn eine kurzgeschlossene Wicklungswindung oder ein entmagnetisierter Rotor zerstören teure Prototypen hardware en und lassen sich nicht beliebig wiederholen.

Ein Echtzeit-Motormodell schließt diese Lücke. Da der Motor auf einem FPGA anhand von Induktivitäts- und Flusskarten dargestellt wird, die aus der Finite-Elemente-Analyse stammen, erhält die eigentliche Motorsteuerung Strom- und Positionssignale, die sie nicht von denen eines physikalischen Motors unterscheiden kann. Man kann mitten in einem Manöver eine offene Phase, einen Resolverausfall oder einen Teilkurzschluss simulieren und dies über den gesamten Betriebsbereich hinweg wiederholen.

Die Fehlertoleranz im Motor erhöht die Anforderungen an diese Art von Tests. Die von der NASA durchgeführte Zuverlässigkeitsmodellierung eines fehlertoleranten Motors mit vier Modulen für Senkrechtstarter ergab eine 570-mal höhere Zuverlässigkeit als bei einem Referenzmotor ohne Fehlertoleranz. Ein derart großer Vorteil besteht nur dann, wenn der Regler jeden Fehler so erkennt und isoliert, wie es das Modell vorsieht. Mit Hilfe von „Closed-Loop- Tests “ lässt sich überprüfen, ob dies tatsächlich der Fall ist.

Wie die Validierung von Wechselrichtern Fehler aufdeckt, die ein einwandfrei funktionierendes Testgerät niemals anzeigt

Die Validierung des Wechselrichters belegt, dass der Antrieb den Strom zu jedem Schaltzeitpunkt präzise regelt und innerhalb seiner Fehlerreaktionszeit einen sicheren Zustand erreicht. Der zweite Teil ist dabei am wichtigsten, da die Schutzlogik, das Verhalten der Gate-Ansteuerung und die Fehlerbehandlung auf einem Prüfstand, auf dem alles einwandfrei funktioniert, nur selten getestet werden.

Die Schwierigkeit liegt im Timing. Nehmen wir einen generischen Antrieb, der mit 20 kHz schaltet, was eine Periode von 50 Mikrosekunden ergibt. Um den Tastgrad auf 1 % genau zu bestimmen, müssen die Gate-Flanken mit einer Genauigkeit von 500 Nanosekunden erfasst werden; daher müssen die Motor- und Leistungsstufenmodelle auf einem FPGA laufen. Sobald dies eingerichtet ist, kann man einen Schalter öffnen, den Gleichstromzwischenkreis kurzschließen, einen Stromsensor ausfallen lassen oder ein Gate-Signal verzögern und beobachten, wie der Regler darauf reagiert. Keiner dieser Tests stellt eine Gefahr für ein Siliziumkarbid-Leistungsmodul dar.

Wie „ eVTOL “-Batterien anhand von Schwebeflug-Leistungsprofilen validiert werden

eVTOL Batterien werden auf drei Ebenen geprüft. Die Zellen werden einem Missbrauchstest unterzogen und charakterisiert, Module und Batteriepacks werden auf die Eindämmung eines thermischen Durchgehens geprüft, und das Batteriemanagementsystem wird anhand eines simulierten Batteriepacks getestet, das jede Zellspannung, Temperatur und jeden Strom nachbildet. Das Einsatzprofil verbindet alle drei Aspekte miteinander, da die Leistung für den Schwebeflug genau dann benötigt wird, wenn der Batteriepack am schwächsten ist.

Die Landung ist der schwierige Fall. Ein typischer 800-V-Akku, der 400 kW liefert, zieht 500 A, und wenn die Klemmenspannung bei niedrigem Ladezustand auf 640 V abfällt, sind für dieselbe Leistung 625 A erforderlich. Der Strom steigt in dem Maße an, wie der Zellwiderstand zunimmt und die Temperaturspielräume schrumpfen. Eine Reserve, die auf Energiebasis ausreichend erscheint, kann in Bezug auf die Leistung dennoch zu gering sein.

Mit der Batterieemulation können Sie diesen Fall testen, ohne den Akku immer wieder entladen zu müssen. Ein Modell auf Zellenebene steuert die Mess-Eingänge des Managementsystems, sodass Sie eine schwache Zelle, einen ausgefallenen Temperatursensor oder ein festgeklemmtes Schütz simulieren und die an den Flugcontroller gemeldeten Grenzwerte überprüfen können.

hardware -System im Testzyklus liefert vor dem Flugtest wichtige Erkenntnisse

Hardware In der „ eVTOL “-Schleife werden die eigentlichen Antriebs- und Flugsteuerungseinheiten mit Echtzeitmodellen der Motoren, Wechselrichter, Batterien und der Flugzeugzelle verbunden, sodass die gesamte Steuerungskette bereits läuft, bevor ein Flug hardware n, den Rotor in Drehung versetzt. Sie liefert die Grundlage für das Fehlerverhalten, die Moduslogik und die Integration zwischen Einheiten verschiedener Hersteller.

Jede Validierungsphase liefert Antworten auf Fragen, die die anderen nicht beantworten können, und die folgende Zusammenfassung zeigt, wie sich die Arbeit aufteilt.

Simulationen gelten nur dann als Nachweis, wenn die Modelle anhand von Messungen validiert werden und die Testprotokolle auf die Anforderungen zurückverfolgt werden können. Das bedeutet, das Motormodell mit den Daten des Leistungsprüfstands abzugleichen, jeden Fehlerfall mit seinen Bestehenskriterien zu protokollieren und den gesamten Satz nach jeder Änderung der „ software “ erneut auszuführen. OPAL-RT unterstützt diese Phase der Elektrifizierung in der Luft- und Raumfahrt mit Echtzeitmodellen von Motoren, Antrieben und Batterien, sodass Antriebssteuerungen bereits vor dem Einsatz von Flug hardware en mit Fehlerfällen konfrontiert werden.

Der Nutzen zeigt sich im Zeitplan, denn eine Regressionssuite, die über Nacht läuft, ersetzt wochenlange Testzeit.

Was macht die Zertifizierung nach „ eVTOL “ für Antriebsteams so schwierig?

eVTOL Die Zertifizierung ist schwierig, da das Flugzeug neuartige Antriebssysteme, eine Fly-by-Wire-Steuerung und Hochspannungs-Energiespeicher vereint – und dies unter Vorschriften, die erst kürzlich erlassen wurden und deren Auslegung noch im Gange ist. Die Antriebsteams müssen nachweisen, dass kein einzelner Ausfall katastrophale Folgen hat, und zwar bei weitaus mehr Ausfallkombinationen als bei einem herkömmlichen Flugzeug.

Fünf Bereiche beanspruchen den größten Teil des Aufwands.

• Ausfallkombinationen über viele Antriebseinheiten und mehrere Flugphasen hinweg
• Software sowie eine elektronische hardware -Sicherung für jeden Motorregler
• Eindämmung thermischer Ausreißer bei Batterien auf Pack- und Installationsebene
• Koordination des Hochspannungsschutzes zwischen Erzeugern und Verbrauchern
• Ausfälle aufgrund gemeinsamer Ursachen, die die Redundanz zunichte machen, wie beispielsweise eine gemeinsame Kühlung oder eine gemeinsame software

Aufgrund der engen Zeitvorgaben kommt es auf die richtige Reihenfolge an. Die Behörden erwarten einen im Voraus vereinbarten Prüfplan, einen diesem entsprechenden Prüfaufbau und erkennen nur das an, was im Rahmen dieses Plans nachgewiesen wurde. Informell während der Entwicklung gesammelte Nachweise können in der Regel nicht wiederverwendet werden. Daher lohnt es sich, Simulationsprüfstände von Anfang an mit Blick auf die Zertifizierung einzurichten.

Die Bedingungen am Boden entscheiden darüber, wie der Erstflug verläuft

Der Erstflug eines neuen „ eVTOL “ sollte der Tag sein, der im Rahmen des Programms am wenigsten Überraschungen bereithält. Wenn die Triebwerke, Wechselrichter und Batterien bereits alle Ausfallszenarien anhand validierter Modelle durchlaufen haben, bestätigt die Flugbesatzung lediglich die Vorhersagen. Ist dies nicht der Fall, wird das Flugzeug selbst zum Prüfstand.

„Der Erstflug eines neuen ‚ eVTOL ‘ sollte der Tag sein, der im Rahmen des Programms am wenigsten überrascht.“

Diese Disziplin entsteht durch jede einzelne Entscheidung. Man entscheidet sich dafür, ein Modell zu validieren, anstatt ihm blind zu vertrauen, einen Fehlerfall zu protokollieren, anstatt es nur einmal auszuprobieren, und die Testsuite erneut auszuführen, wenn ein Zulieferer neue Firmware liefert. Nichts davon ist besonders glamourös, doch genau diese Arbeit verhindert, dass ein Antriebsfehler erst in großer Höhe entdeckt wird. Genau hier kommt OPAL-RT ins Spiel: mit Echtzeitsimulationen, die den Steuerungsentwicklern frühzeitig Zugang zu Motor-, Antriebs- und Batteriemodellen verschaffen. Teams, die auf diese Weise arbeiten, gehen mit kürzeren Mängellisten in die Flugtests.