Shoplink Okto XL V3 - Combi - Redundanz

Shoplink Doppel Quadro V3 - Cool Redundanz

Redundant system

In some countries copter are allowed only with redundant configuration.
Since 01.01.2014 Austria has a law that requiring more stringent requirements about the reliability of a copter.
We developed and tested a concept, that allows a redundant MikroKopter's.

With this concept the Austro Control gave a the MikroKopter the highest approval "D" !

Redundancy means, that important components have to be replaced in case of a fault and the MK should not crash if there is a failure of a (single) component (eg, motor, receiver, Flight Control, etc.).
The MikroKopter have been continuously developed and improved in terms of safety and reliability,<BR>> A significant contribution to safety brought the introduction of the OktoKopter with 8 motors.

Video

Here you can see how the redundant system work:

Installation of a redundant FlightCtrl

You need

• Redundant BL-Regler V3.5

  • Okto XL V3 - Combi - Redundanz or

  • Doppel Quadro V3 - Cool Redundanz

• a second FlightControl (FC 2.1 or higher)

• Redundant connector set
  • (include the Set "Double Quadro V3 - Cool Redundanz" or "Okto XL V3 - Combi - Redundance")

Redundant configuration

The system is extended with a redundant FlightCtrl. The second FlightCtrl (Slave) is connected via the 10-pol connector with the UART of the BL-Ctrl V3.5. To power up the second FlightCtrl you connect it directly with the BL-Ctrl V3.5 (See pictures).

Connect with Okto-BL-V3.5

Connect with DoubleQuadro-Cool V3.5

Principle of operation:

• The second FlightCtrl is connected with the serial interface (UART) of the BL-Ctrl V3 - Redundancy.

• The new data bus (UART) is decoupled at each regulator by resistance and / or diode. So in case of a fault a single regulator of the BL-Ctrl V3.5 can not shut down the whole PCB.
  • INFO: Since the distribution version 3.5 of the redundant data bus is already integrated.

• During flight, the slave FlightCtrl continuously sends data to the BL-controller.

• The BL-controller reports to the Master-FlightCtrl that that they receive additional data. In the HoTT or Jeti Display you see this with an "R".

• If there is a fault on the I2C bus or if they get no data from the Master FlightCtrl, the second FlightCtrl will immediately turn on and controll the function.

• Normally you will not note that the second FlightCtrl takes over the controlling.

• The second FlightCtrl will also automatically control the copter if e.g. the Master FlightCtrl resets lost the supply.

• The second FlightCtrl can also be equipped with the Set Navigation.

Note:
If you have an older BL-Ctrl V3 you can see here how to install the resistors / diodes yourself: Redundanz

Wiring diagram

Note: the circuit of the redundant UART data bus is integrated with V3.5 distributors already in the PCB

Firmware

If you use the redundant System you need a special software for the second FlightCtrl (Slave).
Here you can download the needed Software: Download

== Settings==

IMPORTANT: Both FlightCtrl needs the same settings.

• The Mixer must be the same.
• The channel assignment of both FCs must be the same.

• The second FlightCtrl use the same stick positions.

Settings

• Set the Master-FlightCtrl complete (Channels, Mixer etc.).

• Save this in all 5 Parameterset's (Settings).
• Save this setting on your PC / Laptop.

• connect now the MK-USB directly with the 10-pin connector of the Slave-FlightCtrl.

• install the same settings of the Master FlightCtrl (you have saved before on your PC / Laptop) on all 5 Parameterset's of the Slave-FlightCtrl.

• Remove the MK-USB and connect the UART connector on the Slave-FlightCtrl.

• Calibrate the ACC with your transmitter (Throttle up + Yaw right).

  • Here the copter must be absolutly horizontal. In this step you calibrate both FlightCtrl together!

• Calibrate the compass (Link).

Ready. If you use a Graupner HoTT or Jeti transmitter you should see now an "R" in the display if you start the motors.

= Function test=

Test the redundant FC

• If both FlightCtrl's are connected, the green LED on the Slave-FlightCtrl is flashing fast.

• If you disconnect the Master-FlightCtrl (remove the Molex cable) the grren LED on the Slave-FlightCtrl is still flashing and also the red LED is on.

• If you remove the Master-FlightCtrl the (disconnect the Molex cable) the red LED on each BL-Ctrl will NOT light on!

Test the main FC

• After you start the motors you see an "R" in the telemetry display of your Graupner HoTT or Jeti transmitter -> Redundancy is active.

• Jeti Display:

In the virtual display in the KopterTool you can also see an "R" (if you have a connection between copter and your PC/Laptop).

Redundancy display in the log file

See also: SimpleGpxViewer

Fault simulation

Two errors can be simulated:

• I2C error => Bus failure of the Master FlightCtrl

• motor failure

I2C error

To simulate an error you need a free channel on your transmitter (for each error one channel). This free channel you can program on a free switch on your transmitter.
To simulate the I2C error we set the first channel in the settings under "User" to Parameter 7: Link.

• If you now use the switch on your transmitter (value > 150), the Master-FlightCtrl simulate an I2C error.

• Important: The FC will only do this if the motors are ON and you see the "R" in the display.

To test it let the MikroKopter on the ground with motors ON. Then use the switch. The Master FlightCtrl will now beep fast and the motors must turn further nonstop. Now you can also start, fly and land the copter. If this is OK you can fly the copter and use then this function.

Please Note
If you use a Set Navigation, this is only working with the Master FlightCtrl. During an error when the second FlightCtrl works you will not have the functions PositionHold, ComingHome etc. Only if you also use a second Set Navigation for the Slave FlightCtrl you will also have this functions during a fault of the master FC.

Motor failure

The second free channel we can set to Parameter 6: Link.

• If you now use the switch on your transmitter (value > 150), Motor 1 will stop.

• Important: The FC will only do this if the motors are ON and you see the "R" in the display.

Note:

• If you did not use the test function set a "0" for Parameter 6!

• Test it only with an OktoKopter. A QuadroKopter or HexaKopter will crash if a motor fails!

Anlage F Austro Control

Die Austro Control benötigt in der Anlage F einige Daten zum Kopter und den Funktionen:

Punkt 1: Ausfall Sender

• Ausfall Sender
• z.B. Stromversorgung Sender,Antenne unterbrochen, Elektronik Fehler.
• Verbindung Sender zum Kopter ist unterbrochen.
• Pilot hat keine Möglichkeit mehr in die Steuerung einzugreifen

MikroKopter-Lösung

• Fällt die Verbindung zum Sender aus, wird das erkannt und es wird automatisch die Funktion "FailSafe" aktiviert.

• Hierbei steigt (oder sinkt) unser Kopter dann automatisch auf eine vorher eingestellte Höhe, fliegt zurück zum Startpunkt und landet dann automatisch.

• Hier gibt es ein Video dazu: https://vimeo.com/32788915

Punkt 2: Ausfall Empfänger

Das selbe wie in Punkt 1.

Punkt 3: Gestörte Datenverbindung

Das selbe wie in Punkt 1.

Punkt 4: Triebwerksausfall

• z.B. Ausfall eines Motors,Propellerverlust, Rotorverlust, Ausfall der Antriebsbatterie

MikroKopter-Lösung

• Verliert der OktoKopter einen Propeller oder es fällt ein kompletter Motor aus, kann der Kopter trotzdem weiter fliegen. (Siehe Video).

• Der Ausfall eines Motors oder Antriebsstranges wird sofort erkannt und ausgeregelt.
• Bei Überlastung des Motors bzw. BL-Reglers (Überstrom oder Übertemperatur) wird der entsprechende Motor abgeregelt, geht aber nicht aus.
• In allen Fällen wird der Pilot per Telemetrie informiert. Z.B. per Sprachausgabe "Fehler Motor"

• Im Logfile lässt sich später sehen, welcher BL-Regler einen Fehler gemeldet hat -> falls sich ein Motordefekt langsam über die Laufzeit ankündigt.

Punkt 5: Kurzschluss

• z.B. in eingebauter Kamera oder Messsensoren, Betrieb bei Regen/Feuchtigkeit

MikroKopter-Lösung

• Vermeidung eines Kurzschlusses: Unsere Elektronik ist gekapselt unter einer Haube gegen Regen und äußere Einflüsse geschützt montiert.
• Kurzschluss an einem Motor: Die Motorregler erkennen das und schalten den Motor ab
• Kurzschluss in einem Motorregler: Die Motorregler sind über eine definierte Leiterbahn (Shunt) abgesichert, sodass dieser dann vom Stromkreis getrennt wird.
• Kurzschluss in der Steuerungselektronik: Die Steuerungselektronik ist redundant ausgeführt (siehe Punkt 7)
• Mitgeführte Kameras nutzen eine Eigenversorgung oder strombegrenzte Spannungsregler und haben keinen Einfluss auf die Elektronik.

Punkt 6: Ausfall der Bord - Stromversorgung

• z.B. Kabelfehler in der Stromversorgung, Batteriefehler

MikroKopter-Lösung

• Es werden am Kopter zwei gleichwertige LiPos mitgeführt die jeweils an der Stromversorgung angeschlossen sind.

• Sollte einer der LiPos ausfallen, übernimmt der zweite die Versorgung. Ein * Absinken der Spannung wird automatisch erkannt und per Telemetrie signalisiert.

Es gibt verschiedene Stufen der Unterspannung:

Erste Stufe (z.B. 30% Restkapazität):

• Der Pilot wird per Telemetrie informiert: Sprachansage "Unterspannung"

• Ein akustisches Signal wird per Summer am MikroKopter ausgegeben

• Die LED-Beleuchtung blinkt

• In der Regel hat der Pilot dann noch 1-2 Minuten Zeit, den MikroKopter zu landen

Zweite Stufe (z.B. 20% Restkapazität):

• Der MikroKopter fliegt automatisch zurück zum Startpunkt, wenn der Pilot nicht manuell steuert

Dritte Stufe (z.B. 10% Restkapazität):

• Der MikroKopter geht in definierten Sinkflug, selbst wenn der Startpunkt noch nicht erreicht wurde. Das soll den totalen Absturz verhindern.

Punkt 7: Störung/Ausfall der Fluglageregler

• z.B. Elektronischer Fluglagenregler durch Störung ausgefallen

MikroKopter-Lösung

Sollten unsere Fluglageregler ausfallen, greift automatisch die zweite FlightControl ein (Siehe Video).

Funktionsprinzip der redundanten Fluglageregelung:

• Eine zweite FC (Fluglageregelung) wird 'von hinten' an die serielle Schnittstelle der einzelnen Motor-Regler angeschlossen.
• Der redundante Bus ist an jedem Regler per Widerstand entkoppelt, sodass ein einzelner defekter Regler diesen Bus nicht lahm legen kann.
• Die BL-Regler melden an die Haupt-FC, dass sie zusätzliche Daten bekommen. Im Sender-Display wird das dann als "Redundanz bereit" angezeigt.
• Wenn die BL-Regler eine Störung auf dem I2C-Bus haben, oder keine Daten von der Haupt-FC bekommen, schalten sie sofort auf die Daten der zweiten FC um.
• Das Umschalten funktioniert so reibungslos, dass der MK dabei nicht ins Schwanken kommt
• Dies funktioniert auch, wenn die Haupt-FC im Flug z.B. einen Reset macht oder die Versorgung der FC kurz unterbrochen wurde .

Punkt 8: Störung/Ausfall im Globalen Navigationssystems

• z.B. Satelliten Empfänger ausgefallen (GNSS-Global Navigation Satellite System)

MikroKopter-Lösung

• Die Anzahl der Satelliten des GPS-Empfängers wird überwacht und per Telemetrie angezeigt.
• Die Stärke und Inklination des Erdmagnetfeldes wird gemessen und dient so der Überwachung des Kompass-Signals.

• Eine eigenständige Einheit (NaviControl) ist für die GPS-Navigation zuständig.

• Ein Total-Ausfall dieser Einheit wird von der FlightControl erkannt, die dann auf manuelle Steuerung umschaltet und den Piloten per Telemetrie informiert.

Vor dem Start:

Der Pilot wird bei gestörtem Erdmagnetfeld oder fehlendem GPS-Signals informiert und kann den MikroKopter nicht starten.

Im Flug:

Fällt das Navigationssystem aus oder GPS oder Kompass sind gestört (Sonnenstürme, GPS-Abschattung usw.), schaltet der MikroKopter in den manuellen Modus und der Pilot wird über die Telemetrie informiert. Z.B. per Sprachansage: "Fehler GPS"

Zudem kann der Pilot jederzeit den GPS-Modus über den Sender ausschalten und dann manuell steuern.

Punkt 9: Störung/Ausfall in der Telemetrie

• z.B. Sensorfehler, Übertragungsfehler

MikroKopter-Lösung

• Die Telemetrieübertragung ist nicht für den Flug des Kopters relevant. So wird z.B. Unterspannung noch akustisch und optisch angezeigt.
• Sollte diese Übertragung ausfallen, hat dies keinen Einfluss auf das Flugverhalten des Kopters.

Punkt 10: Thermische Überlastung der Batterie

• z.B. interner LiPo Akkufehler oder Überlastung durch zu hohen Strom/Unbalance

MikroKopter-Lösung

• Am Kopter werden zwei LiPos mitgeführt die jeweils an der Stromversorgung angeschlossen sind.

• Sollte einer der LiPos plötzlich ausfallen, übernimmt der zweite die Versorgung.

• Überlastung der Batterie kündigt sich erfahrungsgemäß durch Unterspannung an. Dann greifen die unter Punkt 6 beschriebenen Mechanismen.

Punkt 11: Flugschreiber

• Aufklärung von Störungen oder Abstürzen

MikroKopter-Lösung

• Im MikroKopter werden alle Flugrelevanten Daten mit bis zu 5Hz auf SD-Karte geloggt

• Im Falle eines Absturzes kann die Micro-SD-Karte aus der Navigationsplatine entfernt werden. Die Daten können dann am PC ausgewertet werden.
• selbst nach Bergungen unter Wasser konnten in der Vergangenheit noch die Daten ausgelesen werden.
• Aufgezeichnet werden z.B.:
  • Flughöhe
  • GPS-Position
  • Spannungen
  • Temperaturen
  • Steuerbewegungen und Schalterstellungen
  • Fehlermeldungen z.B. Motorfehler (Stehen gebliebener Motor)
  • Motorströme (Einzelströme)
  • Magnetwerte des Kpompassensors
  • Anzahl GPS-Satelliten

Punkt 12: Fluggrenzen

• Eingrenzung des Flugbereichs
• Fehlbedienung des Piloten, z.B. Flug ausserhalb der Sichtweite
• Abdriften bei Sturm

MikroKopter-Lösung

Beim MikroKopter können Fluggrenzen eingestellt werden:

• maximale Höhe (z.B. 100m)
• maximale Entfernung (z.B. 250m)
• maximaler Radius für Wegpunkteflug (z.B. 250m)
• Sicherheitsradius für automatisches Landen (z.B. 300m)

Der Pilot kann dann weder die maximale Höhe, noch die Entfernung überschreiten.

Wenn der MikroKopter trotzdem den Sicherheitsradius verlassen würde, geht der Kopter automatisch in den Sinkflug über (Sinkgeschwindigkeit 3m/sek) und schaltet automatisch in den ComingHome-Modus um. Dann wird der Sinkflug nur abgebrochen, wenn der MK wieder innerhalb des Sicherheitsradius kommt. Mit dieser Funktion wird verhindert, dass ein Kopter z.B. bei Sturm zu weit weg fliegt.

Die maximale Grenze für den Wegpunkteflug verhindert, dass zu weit entfernte Punkte angeflogenwerden. Z.B. wenn versehentlich eine falsche Wegpunktliste geladen wurde, die 100km entfernt wäre.