Автоматика как фактор безопасности в современных транспортных средствах

Тот кто делал, может и не знал. А те кто делали, знали о сертификации. Но так как сертификация подразумевала грамотного пилота, то вариант прошел. А теперь даже не знаю, как они сертифицируют, для какого пилота. Они и сами не знают, я думаю так.
 
Алгоритм перекладки стабилизатора это 146% разработка Боинга. Сам код может и снаружи делали, но не думаю.

Будете. А вам скажут - делай как написано.

А вообще это у Б. традиция, только один датчик использовать: Катастрофа Boeing 737 под Амстердамом — Википедия
 
А, вот вы уже не уверены, а до этого призывали расстреливать.
По своему опыту скажу, если я хорошо знаю область и продукт и вижу в тз всякую хрень, то буду предлагать иное решение. А если не знаю, то, увы, буду делать то, что заказывали
 
Что-то вы не то прочитали. Первому стандарту AUTOSAR Classic (с собственной спецификацией на операционку) уже лет 20. Adaptive AUTOSAR (версия для POSIX операционок, в частности, QNX) появился в 2018.

Как бы он ни общался, но конкретно тому программному компоненту, что отвечает за MCAS, не нужен сырой сигнал с датчика. Ему, как минимум, нужен сигнал с атрибутом валидности. Чтобы знать, когда сигнал невалиден и его нужно игнорировать.
 
А где его взять?
С (программной) шины сигналов внутри FCC, куда его должен положить компонент, отвечающий за определение валидности (и, возможно, корректировку по данным других сигналов) исходного сигнала.

Более того, этот сигнал там наверняка уже был, для использования другим компонентом.
 
Судя по тому, что они добавили сравнение сигналов в МКАС, нет такого компонента. Вот тебе значение угла атаки (радиовысоты) на шине - и крутись как хочешь.
 
Там уже сравнивались эти сигналы до того, не помню, по какому поводу. Помню, что сигнал с одного датчика приходил со "своего" ADIRU, а сигнал со второго пробрасывался через интерконнект между двумя FCC. Так что "добавили сравнение" вполне может означать "поменяли идентификатор входного сигнала для MCAS на правильный".
 
сигнал со второго пробрасывался через интерконнект между двумя FCC
Именно.

поменяли идентификатор входного сигнала для MCAS на правильный".
В каком смысле "правильный"? Оба правильные, просто сравнивать их стали.
 
В каком смысле "правильный"?
В смысле, вместо сигнала "валидированый с ADIRU" использовать "валидированный сравнением со вторым FCC".

Определять, как именно валидировать показания датчика сравнением, не есть функция MCAS.
 
Для валидации нужны ещё параметры. Ведь угол атаки может быть и 60°, и это не значит, что датчик неисправен. Пилоты в ЖПУ поставили самолёт свечкой, один флюгер показывает 60 (к примеру, не придирайтесь), а второй ноль. И неправ в этом случае будет второй. Поэтому нужно ещё как минимум учитывать скорость и пространственное положение наверное. Короч, алгоритм валидации достаточно сложный. У арбузика есть, боинг таким вроде не страдал. Поэтому что-то мне кажется ув. Kit. , что всё же они вытащили из FCC по запросу сигнал именно по айди с датчика, (если FCC бы решил, что он к примеру в обрыве - прислал бы что-то типа ECU_REFUSED, или через интерконнект с тем же айди отдал показания второго (я думаю на сертификации это проверяли обязательно) а вот именно корректность показаний ничего там не сравнивает. Disagree есть, на каких-то компараторах, а вот выяснять что врет, а что нет - задача пилотов. Поэтому всё таки мне кажется, что брали тупо один датчик (если отвалится, FCC сэмулирует сигнал со второго). А вариант того, что он будет на выходе гнать чушь - об этом не подумали.
 
Под 737 не нашёл информации, а вот под 777 делает FCC например GEC AVIONICS. Если они же и под 737 делали...
At the end of 1999 Marconi Avionics was absorbed into BAE SYSTEMS with the merger of British Aerospace and Marconi Electronic Systems.
А судя по тому, что написано в истории этой конторы, то это Арбузники. Оччччень интересно получается...
 
один флюгер показывает 60 (к примеру, не придирайтесь), а второй ноль.
И в таком случае МКАС просто отключается.

под 777 делает FCC например GEC AVIONICS.
Делает аппаратуру, или еще и код пишет по ТЗ от Боинга?
 
Это да, этакий привет конкуренту
Но если серьезно, то мне более кажется что именно сам FCC в оригинале не имел этого "костыля" - судя по истории MCAS возникла на этапе облета - когда выяснилось что движки все таки великоваты и поведение Максика отичается от NG. Тогда FCC был "допилен " в спешке и на коленках (спасибо манагерам - ведь самолет нужен вчера!) и уже в софт новых блоков был залит уже "допиленный" вариант. Это обьясняет кстати и отсутствие описаниа MCAS в FCOM - его никто не проектировал.
По поводу того, кто програмист - Вы уж простите, я вырос и работал именно тогда, когда програмист был и кодером и архитектором и постановщиком задачи, ну и уж до кучи тестером. Ясен пень у Боинга как и везде сейчас четыре разных "специалиста".
 
Это обьясняет кстати и отсутствие описаниа MCAS в FCOM
Там далеко не все системы описаны.

И вы таким способом проектировали критически важные системы? Управление ядерным реактором, например.
 
Там далеко не все системы описаны.
А должны быть.
Доллежаль вон целый реактор спроектировал. И ничего. Работают как-то. (почти все)
Не, я понимаю, что объём задач серьёзно вырос с тех пор, но это абсолютно схожие по своей проблематике темы. "Утрата навыков ручного пилотирования в условиях тотальной автоматизации" и "утрата возможности контроля за всеми процессами разработки и производства". Как раз из-за количества задач, соответственно количества народу, и количества той-же автоматики. А вспять не повернуть. В пещеры и к лучине уже никто не хочет возвращаться.
 
И в таком случае МКАС просто отключается.
Угу. ТЕПЕРЬ да.
Делает аппаратуру, или еще и код пишет по ТЗ от Боинга?
Код по любому их, как разработчика. Нет смысла делать хардварь, под чужой софтварь. Особенно если он проприетарный. Поэтому я уверен на 99%, что ТЗ Боинга, производство GEC.