Die Erfindung betrifft ein Verfahren zur Fehlererkennung von Sensorwerten und eine Fehlererkennungs-Einrichtung.

Die Erfindung betrifft insbesondere ein Verfahren zur Fehlererkennung für ein Gelän- dedatenbank-gestütztes Navigationsverfahren für Flugzeuge.

Bei aus dem allgemeinen Stand der Technik bekannten Verfahren zur Fehlererken¬ nung von Sensorwerten in dynamischen Systemen wird der Vergleich von similar oder dissimilar ermittelten Sensorwerten zugrundegelegt. Dabei w ird eine funktionale oder gerätetechnische Redundanz verwendet.

Es ist die Aufgabe der Erfindung, ein Verfahren bereit zu stellen, mit dem eine Sen¬ sorwert-Güte auf geeignete Weise analytisch ermittelbar ist.

Diese Aufgabe wird mit den Merkmalen der unabhängigen Patentansprüche gelöst. Weitere Ausführungsformen sind in den auf diese rückbezogenen Unteransprüchen angegeben.

Erfindungsgemäß ist ein zur Implementierung in eine Datenverarbeitungseinrichtung vorgesehenes Verfahren zur Überwachung einer zulässigen Integrität einer Messgrö¬ ße eines dynamischen Systems mit den folgenden Schritten vorgesehen:

Ermittlung zumindest einer Mess-Reihe mit jeweils einer Anzahl von Messungen mittels zumindest einer Sensor-Einrichtung mit jeweils einer vorgegebenen P611228/WO/1

- 2 -

Messgenauigkeit und einer auf diese bezogenen, vorgegebenen tatsächlichen Sensor-Integrität,

Ermittlung einer Anzahl von Messfehlern in Abhängigkeit der tatsächlichen Sen- sor- Integritäten, in Abhängigkeit von der Anzahl von Messungen und in Abhän¬ gigkeit von einer Mindest-Integrität,

Ermittlung für jede Messung der Mess-Reihe einen Bereich Xk als Mess- Ungenauigkeit und Ermittlung ausgehend von den Mess- Ungenauigkeitsbereichen X1 , ..., Xn und der Anzahl m von Messfehlern eines Genauigkeitsbereichs X0 für die zu ermittelnde Mess-Größe x0, so dass der

Genauigkeitsbereichs X0 die wahre Mess-Größe x0 mit der vorgegebenen Min¬ dest-Integrität {1 - Po } enthält,

- Zuordnung des ermittelten Genauigkeitsbereichs zu einem Genauigkeitsmaß

Vergleich des ermittelten Genauigkeitsmaßes mit einem Schwellwert,

Ausgabe einer Warnung, sobald ein Sollwert erreicht, unter- oder überschritten ist.

Die Ermittlung der Anzahl von Messfehlern kann insbesondere mittels der Vorschrift

erfolgen, wobei {1- p} = {1- pj {1- pn} eine für die Mess-Reihe einheitliche Sen¬ sor-Integrität bezeichnet. P611228/WO/1

- 3 -

Ein Vorteil der Erfindung ist, dass redundante Funktionen oder Geräte oder Kompo¬ nenten, die zur Gewährleistung einer IVJ indest-lntegrität vorgesehen sind, eingespart werden können.

Insbesondere kann erfindungsgemäß aus entsprechend vielen Messungen, die für sich betrachtet eine verhältnismäßig geringe Integrität haben, ein Messwert mit einer relativ hohen Integrität gebildet werden.

In dem besonderen Anwendungsfall der Positions- und Höhen-Bestimmung für ein Flugzeug kann das erfindungsgemäße Verfahren bzw. die erfindungsgemäße Vorrich¬ tung unter Gewährleistung einer vorgegebenen Mindest-Integrität oder unter Einhal¬ tung eines maximalen Integritäts-Risikos eingesetzt werden. Unter Integritäts-Risiko wird hierbei die Wahrscheinlichkeit für einen in einem System unentdeckten oder un- gemeldeten Fehler verstanden. Alternativ könnte das erfindungsgemäße Verfahren bzw. die erfindungsgemäße Vorrichtung unter Erreichung einer vorgegebenen Genau¬ igkeit eine zugehörige Integrität ermitteln.

Im folgenden wird die Erfindung anhand der beiliegenden Figuren beschrieben, die zeigen:

Figur 1 eine Darstellung von Schritten des erfindungsgemäßen Verfahrens,

Figur 2 eine schematische Darstellung einer Ausführungsform der erfindungs¬ gemäßen Fehlererkennungs-Einrichtung,

Figur 3 eine schematische Darstellung einer Ausführungsform der erfindungs¬ gemäßen Fehlererkennungs-Einrichtung zur Anwendung für eine Navigations- Einrichtung für ein Flugzeug,

- Figur 4 für die Anwendung der Erfindung auf ein Navigationsverfahren die schematische Darstellung einer geflogenen Trajektorie über einem Geländepro- P611228/WO/1

fil und vergleichsweise dazu eine von einer in dem Flugzeug vorhandene Inerti- alsensorik gemessene und ermittelte Trajektorie, wobei zusätzlich eine Zeitska¬ la angegeben ist,

- Figur 5 für die Anwendung der Erfindung auf ein Navigationsverfahren nach der Figur 4 eine angenommene Ausgangsposition des Flugzeugs für eine Inertial- sensor-Messung und eine von einem Höhenmesser ermittelter Verlauf der Höhe über Grund bezogen auf die genannte Ausgangsposition des Flugzeugs sowie das Profil des wahren Geländes im Bereich unterhalb der geflogenen Flugbahn, wobei mittels eines grau hinterlegten Bereichs ein Ungenauigkeitsbereich für den ermittelten Verlauf der Höhe über Grund gezeigt ist,

Figur 6 für die Anwendung der Erfindung auf ein Navigationsverfahren nach der Figur 4 ein Oberlappungsbereich zur Veranschaulichung der Ermittlung der In- tegrität eines Sensorwertes.

Das erfindungsgemäße zur Implementierung in eine Datenverarbeitungseinrichtung vorgesehene Verfahren zur Erkennung des Überschreitens eines vorgegebenen In¬ tegritäts-Risikos einer Messgröße x0 eines dynamischen Systems liefert eine momen-

tane oder zeitabhängige Messgröße x0 oder eine Reihe solcher Messgrößen x0 zu¬ sammen mit einer ermittelten Genauigkeit bzw. einem ermittelten Genauigkeitsbe¬ reich X0 dieser Messgröße x0.

Das erfindungsgemäße Verfahren ist auf Fälle anzuwenden, bei denen eine Anzahl von n Messungen von zumindest einer Sensor-Einrichtung zur Bestimmung einer Messgröße verwendet werden. Der zumindest einen Sensor-Einrichtung wird dabei eine tatsächliche oder für die einzelne Einrichtung spezifizierte oder vermutete oder angenommene Integrität, die im folgenden kurz tatsächliche Integrität genannt wird, zugeordnet. Diese kann insbesondere aus der Sensordaten-Ermittlungsverfahren und/oder der Beschaffenheit des Sensor-Gerätes abgeleitet werden. Für den Fall, P611228/WO/1

- 5 -

dass in dem erfindungsgemäßen Verfahren mehrere Sensor-Einrichtungen zur Be¬ stimmung einer Messgröße angeordnet oder integriert sind, kann jeder Sensor- Einrichtung für sich eine tatsächliche Integrität zugeordnet werden. Aus mehreren tatsächlichen Integritäten kann dann wiederum eine tatsächliche Integrität für die ge- samte Sensor-Einrichtung, d.h. für mehrere Sensor-Einrichtungen ermittelt werden. Auch kann eine Sensor-Einrichtung mehrere Sensoren und / oder auch mehrere Da¬ tenverarbeitungs-Einrichtungen oder auch zugeordnete Funktionseinheiten oder Ge¬ räte, wie z.B. Filter, Beobachter, umfassen. Jedem dieser Sensoren oder Datenverar¬ beitungs-Einrichtungen kann wiederum eine tatsächliche Integrität zugeordnet wer- den, um daraus eine tatsächliche Integrität für die Sensor-Einrichtung bilden zu kön¬ nen.

Diese tatsächliche, gegebenenfalls zusammengesetzte Integrität der zumindest einen Sensor-Einrichtung wird in Abhängigkeit von einer vorgegebenen Anzahl n von Mes- sungen und in Abhängigkeit von der Anzahl m anzunehmender Messfehler in eine Beziehung zu einer für den zu ermittelten Sensorwert maßgeblichen geforderten In¬ tegrität gesetzt und dabei ermittelt, wie viele Messfehler m höchstens zulässig sind, um die geforderte Integrität zu gewährleisten.

Insbesondere kann erfindungsgemäß vorgesehen sein, die kleinste Zahl m, 0 < m ≤ n, für die maximale Zahl der zulässigen Messfehler m durch Lösung der Un¬ gleichung

zu ermitteln. In dieser Ungleichung können auch alternativ andere Größen, d.h. aus den genannten Größen abgeleitete Größen verwendet werden. Z.B. kann statt {m+1} auch der Wert {m} verwendet werden, wenn als maximale Anzahl zulässiger Messfeh¬ ler die Größe {m-1} angesehen oder verwendet wird. Die Größe {1 - p0 } ist eine ge- forderte Integrität für den zu ermittelnden Messwert oder eine daraus abgeleitete P61 1228/WO/1

- 6 -

Größe. Dieser Wert kann für ein Flugzeug z.B. 1 -10"4 pro Flugstunde betragen, was bei der Annahme oder Vorgabe von 100 Messungen pro Flugstunde einer Integ¬ rität von 1 -10~6 pro jeweiligem ermittelten Wert entspricht. Die Größe p0 ist ein er¬ laubtes Integritäts-Risiko für die Mess-Größe *0. Der Wert p kann als Sensor- Integritäts-Risiko verstanden werden. Die Größe {1 - p} ist eine tatsächliche oder vorgegebene ode r gemessene Integrität für die einzelne Sensor-Einrichtung und/oder das mit der Sensor-Einrichtung implementierte Verfahren. Diese Integrität wird im folgenden kurz als tatsächliche Integrität bezeichnet. Bei der Verwendung mehrerer Bestandteile innerhalb einer Sensor-Einrichtung und/oder bei der Verwendung mehre- rer Sensor- Einrichtungen zur Ermittlung eines Messwertes ist {1 - p} aus mehreren tatsächlichen Integritäten gebildet, z.B. durch Summation oder Multiplikation dersel¬ ben oder durch eine mathematische Formel, in der die jeweils relevanten tatsächli¬ chen Integritäten miteinander verrechnet werden.

Mit dem erfindungsgemäßen Verfahren wird dadurch aus den Messergebnissen zk , den Unsicherheiten oder Mess-Genauigkeiten Δzk und den Abweichungs- Wahrscheinlichkeiten oder Sensor-Integritätsrisiken Pk ein möglichst kleiner Bereich X0 von x-Werten bestimmt, der den unbekannten Parameter x0 mit einer vorgegebe¬ nen oder geforderten Mindest-lntegrität oder Mindest-Wahrscheinlichkeit {1 - p0} ent- hält. Der gesuchte Bereich X0 ist dann jene Menge von x-Werten, die in mindestens

{n - m}

Bereichen X^ gleichzeitig enthalten sind. Erfindungsgemäß wird also die kleinste Zahl m ermittelt, für die noch die vorgenannte Ungleichung erfüllt ist. Die Lösung der Un¬ gleichung mit Randbedingung erfolgt z.B. durch das Einsetzen von Werten m und Durchführung eines Vergleichs von rechter und linker Seite der Ungleichung und In- krementieren des Werteeinsatzes, bis die Ungleichung nicht mehr erfüllt ist. P611228/WO/1

- 7 -

Der Wert für n ist die Zahl der Messungen je Messreihe. Diese Zahl kann vorbestimmt oder festgelegt sein und hängt vom Anwendungsfall ab.

In dem konkret beschriebenen Anwendungsfall bedeutet die Zahl m eine maximal zulässige Anzahl von Messfehlern, die mit der geforderten Integrität {1 - p0} verträg¬ lich ist.

Das beschriebene Verfahren ist auch auf alle Fälle anwendbar, in denen die Wahr¬ scheinlichkeiten Pk für das Auftreten von Abweichungen innerhalb einer Messreihe unterschiedlich sind. Hierfür wird die Größe pJ und die Größe (l—p)"~J durch ein Produkt von mehreren einzelnen Wahrscheinlichkeiten pk bzw. Integritäten (\-pk) gebildet.

Das beschriebene Verfahren ist auch auf Fälle anwendbar, in denen das Auftreten der Abweichungen korreliert ist.

Aus jeder der n Messungen der Mess-Reihe wird ein Bereich für die Messgröße x0 ermittelt, so dass die von der zumindest einen Mess-Einrichtung ermittelte Mess- Größe zk der Mess-Gleichung mit der vorgegebenen Sensor-Integrität genügt, d.h.

für die M ess-Gleichungs- Beziehung z(tk,x0) e [zk - Δzk , zk + Δzk] erfüllt ist.

In einem weiteren erfindungsgemäßen Schritt wird aus der Anzahl der vorbestimmten Messungen n und der maximalen Anzahl der zulässigen Messfehler m eine Genauig¬ keit bzw. ein Genauigkeitsbereich ermittelt, der bei der Anzahl von n Messungen mit- tels der zumindest einen jeweiligen Sensor-Einrichtung mit der geforderten Mindest¬ integrität verträglich ist.

Erfindungsgemäß kann diese Genauigkeit bzw. dieser Genauigkeitsbereich aus der Differenz der vorbestimmten Anzahl von Messungen n und der Anzahl der höchstens zulässigen Messfehler m abgeleitet werden. Insbesondere kann dabei der Ausdruck P611228/WO/1

- 8 -

{ /7 - /77 }

zur Ermittlung der Genauigkeit der Messwerte verwendet werden.

Erfindungsgemäß wird also zumindest eine Messreihe mit jeweils einer Anzahl n von Messungen Zk mittels zumindest einer Sensor-Einrichtung mit jeweils einer vorgege¬ benen Messgenauigkeit Δzk und eine auf diese bezogene, vorgegebene tatsächliche Sensor-Integrität {1- pk} ermittelt. Danach erfolgt einer Ermittlung einer Anzahl m von Messfehlem in Abhängigkeit der tatsächlichen Sensor- Integritäten {1- pk}, in Abhän¬ gigkeit von der Anzahl n von Messungen und in Abhängigkeit von einer geforderten Mindest-Integrität {1- p0 }■

Für jede Messung der Messreihe wird ein Bereich ( Xk ) als Mess-Ungenauigkeit und ausgehend von den Mess-Ungenauigkeitsbereichen (Xi Xn ) und der Anzahl (m) von Messfehlern ein Genauigkeitsbereich (X0 ) für die zu ermittelnde Mess-Größe (x0)

ermittelt, so dass der Genauigkeitsbereich (X0 ) die wahre Mess-Größe (x0) mit der vorgegebenen M indest-lntegrität {1 - p0 } enthält.

Anschließend erfolgt eine Zuordnung des ermittelten Genauigkeitsbereichs zu einem Genauigkeitsmaß.

In einer Funktion zum Fehler-Monitoring wird die ermittelte Genauigkeit der Messgrö¬ ße mit einem vorgegebenen Schwellwert oder Sollwert für diese Genauigkeit vergli- chen. Falls die ermittelte Genauigkeit der Messgröße den vorgegebenen Schwellwert oder Sollwert nicht erreicht d.h. je nach Anwendungsfall über- oder unterschreitet, wird eine Sensordaten-Abweichung an eine Systemsteuerung, die auch Bestandteil der Sensor-Einrichtung sein kann, oder eine Benutzer-Oberfläche weitergegeben. Es ist eine Funktion des dynamischen Systems vorgesehen, die diese Abweichung je nach Anwendungsfall, verarbeitet, wobei das Auftreten der Abweichung ummittelbar P611228/WO/1

- 9 -

oder mittelbar, zu System-Konsequenzen führen kann. Eine mittelbare Konsequenz kann dabei darin liegen, dass das Nicht-Erreichen des Schwellwert: oder Sollwertes z.B. erst im Zusammenhang mit dem weiteren Auftreten des Nicht-Erreichens des Schwellwertes oder Sollwertes oder im Zusammenhang mit weiteren Fehlern dersel- ben oder einer weiteren Sensor-E inrichtung oder eines weiteren Bestandteil des dy¬ namischen Systems, zu System-Konsequenzen führt. Die System-Konsequenz kann in der Abschaltung des Systems oder in dem Übergehen in eine andere Betriebsart liegen.

Bei dem Vorliegen von Sensorwerten verschiedener Sensor-Einrichtungen oder von verschiedenartigen Sensorwerten innerhalb derselben Sensor-Einrichtung können diese Sensorwerte zusammen mit der erfindungsgemäß ermittelten Genauigkeit und der Mindestintegrität für den jeweiligen Sensorwert bzw. die Sensorwerte in einem Schätzfilter und insbesondere einem Kaiman-Filter zu einem Sensorwert mit einer Genauigkeit und/oder Integrität fusioniert werden. Die voranstehend beschriebene Funktion zum Fehler-Monitoring kann diesem Kaiman-Filter auch nachgeschaltet sein und die Abweichung aufgrund der mit dem Filter ermittelten Integrität ermittelt werden. Sie kann auch als zusätzlich zu der einem Filter vorgeschalteten Monitoring-Funktion dem Filter nachgeschaltet sein.

Die erfindungsgemäße Fehler-Erkennungsfunktion oder Fehler- Erkennungseinrichtung 1 steht in Verbindung mit zumindest einer ersten Sensor- Einrichtung 11. Es können der Fehler-Erkennungseinrichtung 1 auch weitere Sensor- Einrichtungen zugeordnet sein. In der Figur 2 ist eine spezielle Ausführungsform der Erfindung mit einer weiteren Sensor-Einrichtung 12, also mit insgesamt zwei Sensor- Einrichtungen dargestellt. Die Fehler-Erkennungseinrichtung 1 umfasst eine Einrich¬ tung bzw. Funktion zur Fehler-Integritätsbestimmung 21 und eine Einrichtung bzw. Funktion zum Fehler-Monitoring 22. Letzteres ermittelt eine den mit der zumindest einen Sensor-Einrichtung ermittelten Sensorwerten zuordbare Integrität, die weiteren Systemfunktionen des dynamischen Systems, z.b. einer Benutzer-Obefläche 30 oder einer System-Steuerungseinrichtung 40 zuführbar ist. P611228/WO/1

- 10 -

Im folgenden wird eine spezielle Anwendung des erfindungsgemäßen Verfahrens bzw. der erfindungsgemäßen Vorrichtung auf die Navigationseinrichtung eines Flug¬ zeugs beschrieben. Dabei ist ein Sensor-System 60 vorgesehen, das als erste Sen- sor- Einrichtung eine Trägheitssensor-Einrichtung 61 und eine zweite Sensor- Einrichtung 62 umfasst, die mit einer digitalen Geländedatenbank 63 in Verbindung steht. Die zweite Sensor-Einrichtung 62 ist dabei ein Sensor, mit dem die Ermittlung der momentanen Position des Flugzeugs bezüglich der digitalen Geländedaten oder bezüglich des wahren Geländes möglich ist und kann dabei ein Radarhöhenmesser, ein Laserhöhenmesser oder ein Sensor zum Empfang von Funksignalen oder Satelli¬ tendaten sein. Diesem Sensor-System 60 kann die erfindungsgemäße Fehlererken- nungs-Einrichtung 1 nachgeschaltet sein (Fig. 3). Die erfindungsgemäße Fehlerer- kennungs-Einrichtung 1 kann alternativ auch Bestandteil des Sensor-Systems 1 sein.

Die Trägheitssensor-Einrichtung 61 liefert Messwerte für momentane Geschwindig¬ keitsvektoren und die zweite Sensor-Einrichtung 62 liefert einen Höhenverlauf über dem digitalen Gelände. Dieser Höhenverlauf ist jedoch, da der Ausgangspunkt der Messwerte aus der Trägheitssensor-Einrichtung 61 nicht genau bekannt ist, versetzt zur tatsächlichen Kontur des überflogenen Geländes. Weiterhin können Ungenauig- keiten der Geländedaten und der Sensoren selbst, z.B. in den Trägheits-Sensoren oder dem Radarhöhenmesser angenommen werden. Außerdem können Fehler an¬ genommen werden in den Verfahren, mit denen sich aus den eigentlichen Sensorwer¬ ten, z.B. elektrische Werte der Intertialsensoren, geeignete Rechengrößen für die Navigation ableiten. Durch derartige Fehler kann sich der Höhenverlauf zu einer Hö- henschicht verbreitern (Figur 5).

Das in diesem Anwendungsfall einsetzbare Verfahren ist vorzugsweise wie folgt:

Das erfindungsgemäße Geländedatenbank-gestützte Navigationsverfahren ermittelt einen multi-dimensionalen Parameter X0 und verwendet dabei insbesondere eine Größe z(t,x0), die von einem Parameter t und dem weiteren multi-dimensionalen Pa- P611228/WO/1

- 11 -

rameter X0 abhängt. In einer bevorzugten Ausführungsform der Erfindung stehen der Parameter t für die Zeit und der multidimensionale Parameter X0 für die 3- dimensionale Position eines Flugzeugs zur Zeit t0 (Ausgangsposition). Die Größe z{t,x0) steht für die Höhe des Flugzeugs über Grund zur Zeit t.

In dem besonderen Anwendungsfall der Verwendung einer digitalen Geländedaten¬ bank als Navigationshilfe erfolgt die Ermittlung der dreidimensionalen Position durch eine Ermittlung der momentanen Position des Flugzeugs bezüglich des wahren Ge¬ ländes oder bezüglich des digitalen Geländes der Geländedatenbank. Diese Position des Flugzeugs bezüglich des digitalen Geländes wird fusioniert mit den Positions- Informationen aus der Trägheitssensor-Einrichtung 61. Die zu bestimmende Höhe ist die Höhe über der realen Geländehöhe bzw. die Höhe über Grund.

In dem Fall der Bildung des Sensor-Systems 60 aus einer Trägheitssensor- Einrichtung 61, einem Höhenmesser 62, der insbesondere ein Radarhöhenmesser oder ein Laserhöhenmesser sein kann, und einer digitalen Geländedatenbank 63 ste¬ hen der Fehlererkennungs-Einrichtung 21 als Eingangsgrößen aus dem Sensor- System 60 zur Verfügung:

- digitale Geländedaten aus der Geländedatenbank 63 mit einer Daten- Bereitstellungs- und Daten-Such-Funktion,

Daten für die Höhe über Grund aus zumindest einem Höhen-Sensor zur Ermitt¬ lung der Kontur der Geländeoberfläche unter der vom Flugzeug geflogenen Flugbahn,

die mittels der Trägheitssensor-Einrichtung 61 gemessene Beschleunigungen des Flugzeugs, die z.B. in der Trägheitssensor-Einrichtung 61 zu einer dreidi¬ mensionalen Geschwindigkeit aufintegriert werden, so dass insbesondere die Relativbewegung des Flugzeugs zu einer Ausgangsposition zur Verfügung ge¬ stellt wird. P611228/WO/1

- 12 -

Die von der Trägheitssensor-Einrichtung 61 ermittelten Daten, also die momentanen Geschwindigkeitsvektoren oder auch der Verlauf der bisher geflogenen Flugbahn, werden also ohne genauen Ausgangspunkt ermittelt. Eine beispielsweise Darstellung einer Messreihe in Form eines Verlaufs einer bisher geflogenen Flugbahn ist in der Figur 3 gegeben. Die gleichzeitig oder in einem parallelen Prozess von der weiteren Sensor-Einrichtung 62 bzw. dem zumindest einen Höhen-Sensor ermittelte Kontur der Geländeoberfläche unter der vom Flugzeug geflogenen Flugbahn kann daher nur mit einer verhältnismäßig großen Unsicherheit der Geländeinformation aufgrund der digi- talen Geländedaten räumlich zugeordnet werden. Diese Zuordnung und damit die Positions- und Höhen-Bestimmung unter Gewährleistung einer vorbestimmten Min- dest-lntegrität oder Genauigkeit erfolgt erfindungsgemäß wie folgt:

Erklärend wird hinzugefügt, dass die Genauigkeit und die Integrität im allgemeinen nicht gleichzeitig vorbestimmt werden können. In dem Navigationsverfahren wird die Mindest-Integrität vorbestimmt und die zugehörige Genauigkeit bzw. der zugehörige Genauigkeitsbereich ergibt sich dann aus dem Verfahren.

Durch den Höhenmesser wird ein Verlauf der Höhe über Grund, d.h. die Höhe über dem wahren Gelände, im Bereich unterhalb der geflogenen Flugbahn ermittelt. Ein Beispiel für eine Messreihe in Form eines ermittelten Höhenverlaufs ist in der Figur 4 gezeigt. Eine Zuordnung der aus den Messungen verschiedener Sensoren ermittelten Oberflächen-Kontur des jeweils abgeflogenen Geländes auf das digitale Gelände der Geländedatenbank würde zu einer Bestimmung der genauen Position des Flugzeugs bezogen auf den Zeitpunkt der jeweiligen Messreihe führen. Die Genauigkeit einer solchen Positionsbestimmung ist dabei von der Genauigkeit der Sensoren und der Geländedatenbank vorgegeben.

Eine solche Reihe von Messungen liegt für mehrere Zeitpunke vor: es kann für jeden Mess-Zeitpunkt eine Reihe einer vorbestimmten oder situationsabhängigen Anzahl n von Messungen oder ein Satz von jeweils n Messungen ermittelt werden. P611228/WO/1

- 13 -

Da der Ausgangspunkt der von der Trägheitssensor-Einrichtung 61 ermittelten Mess¬ reihe ungenau oder unbestimmt ist und da sämtliche Messungen mit Fehlem, die ge¬ rätetechnisch oder verfahrenstechnisch bedingt sein können, behaftet sind, werden erfindungsgemäß eine Reihe von Messungen verschiedener Sensoren miteinander fusioniert. Um eine solche Fusion für sicherheitskritische Systeme anwenden zu kön¬ nen, wird erfindungsgemäß auch eine Genauigkeit bzw. ein Genauigkeitsbereich, der mit der vorbestimmten Mindestintegrität verträglich ist, für jeden ermittelten Wert an¬ gegeben, so dass bei einem Nicht-Erreichen eine Soll-Wertes systemtechnische Kon- sequenzen gezogen werden können.

Ist die Relativbewegung des Flugzeugs in der Zeit von t0 bis t z.B. aus der Trägheits¬ anlage bekannt, so lässt sich für jede Ausgangsposition X0 die Flugtrajektorie zu den Zeiten t > t0 rekonstruieren.

Die Größe z(t,x0) wird nun bei festem aber unbekanntem Parameter X0 zu verschiede¬ nen Zeiten tk , k = 1 .. n gemessen und ergibt die Messwerte zk. In der o.g. Navigationsanwendung ist die Position X0 des Flugzeugs zur Zeit t0 unbe¬ kannt.

Zu den Zeiten fk , k = 1 .. n wird jeweils die Höhe über Grund zk z.B. mit Hilfe eines Höhenmessers und insbesondere eines Radar-Höhenmessers gemessen.

Das Höhenprofil des überflogenen Gebietes ist in einer 3-dimensionalen Geländeda- tenbank abgelegt. In einem weitere Schritt wird entlang der Flugtrajektorie ein Schnitt entlang der geflogenen Flugbahn durch die 3-dimensionale Geländedatenbank gelegt, die das überflogene Geländeprofil zeigt.

Daraus wird die Funktion z(t,x0), d.h. die Höhe über Grund, ermittelt. Dazu wird die Differenz zwischen dem Höhenprofil der Flugtrajektorie und dem Geländeschnitt ge- P611228/WO/1

- 14 -

bildet. Diese Funktion ist für jede Ausgangsposition X0 konstruierbar und damit be¬ kannt.

Die Messwerte zk weisen jeweils eine Unsicherheit Δzk relativ zum wahren Wert z(tk,x0) auf, d.h. die Messwerte liegen mit einer Wahrscheinlichkeit 1 - pk innerhalb des Bereiches

[z(4,x0) - Δzk , z{tk,x0) + Δzk]

und mit der Wahrscheinlichkeit pk außerhalb dieses Bereichs. Dabei wird an dieser Stelle keine detaillierte Kenntnis der Wahrscheinlichkeitsverteilung vorausgesetzt. Der Unsicherheitsbereich kann auch asymmetrisch sein.

Den Fall, dass ein Messwert zk außerhalb des Bereichs [z(fk,x0) - Δzk , z(fk,x0) + Δzk] liegt, bezeichnet man als Abweichung oder Failure. Das Auftreten von Abweichungen oder Failures zu den Zeiten 4 kann unkorreliert sein, oder es kann in spezifizierter Weise zeitlich korreliert sein. In der erfindungsgemäßen Navigationsanwendung können Abweichungen oder Failu¬ res von den Radarmessungen herrühren oder durch eine fehlerhafte Geländedaten- bank verursacht sein.

Die vorgegebene Mindestwahrscheinlichkeit oder Mindestintegrität {1 - p0} wird durch das erfindungsgemäße Verfahren gewährleistet, und zwar unabhängig davon, welche Messergebnisse im Einzelfall auftreten. Im Fall der o.g. Navigationsanwendung liefert das Verfahren also einen möglichst genauen Raumbereich X0 für die unbekannte Po¬ sition X0 des Flugzeugs zur Zeit t0 , und dies mit einer vorgegebenen Integrität von mindestens {1 - p0 }.

In dem Verfahren wird für jeden Zeitpunkt 4 , k = 1 .. n, anhand des vorliegenden Messergebnisses zk ein Bereich Xk von x-Werten ermittelt. Und zwar umfasst Xk alle P611228/WO/1

- 15 -

jene Parameter x für welche kein Failure aufträte, d.h. für die z(fk,x) e [zk - Azk , zk + ΔZk] ist.

In der Navigationsanwendung ist Xk jener 3-dimensionale räumliche Bereich, der für die Ausgangsposition X0 in Frage kommt, ohne dass bei der /c-ten Radarmessung ein Failure auftritt. Dieser Bereich ist eine um die Höhe über Grund zk und um die Flug¬ zeugbewegung parallel zum Geländeprofil verschobene Höhenschicht. In Figur 5 ist angenommen, dass sich das Flugzeug in der Zeit von t0 bis fk horizontal bewegt und zur Zeit tk die Radarhöhe zk misst.

Eine mögliche Ausgangsposition ist mit x0 gekennzeichnet. Die Menge aller mögli¬ chen Ausgangspositionen ist die Höhenschicht Xk, deren halbe Dicke Δzk ist.

Gemäß der Erfindung wird aus den n Bereichen Xk , k = 1 .. n, ein Bereich X0 mit den obengenannten Eigenschaften zu konstruiert. Sind alle Failure-Wahrscheinlichkeiten pk identisch, d.h. pk = p für alle k = 1 .. n, und ist das Auftreten der Failures unkorre- liert, so bestimmt man gemäß dem Verfahren die kleinste Zahl m, 0 < m ≤ n, für die

ist.

Der Wert für n ist die Zahl der Messungen je Messreihe. Diese Zahl kann vorbestimmt oder festgelegt sein und hängt vom Anwendungsfall ab. In Bezug auf die Messreihe eines Radar-Höhenmessers ist n die Zahl der Radar-Höhen messungen, die für eine Messreihe verwendet wird. In einer alternativen Ausführungsform wird die Zahl n dy¬ namisch festgelegt, z.B. in Abhängigkeit von der Flug-Geschwindigkeit oder von dem Geländeverlauf wie z.B. dessen Rauhigkeit. P611228/WO/1

- 16 -

In der Navigationsanwendung ist X0 jener Bereich, in dem sich mindestens {n - m} Höhenschichten überlappen bzw. schneiden. Das bedeutet: in {n - m} Höhenschichten muss die unbekannte Ausgangsposition X0 des Flug¬ zeugs gleichzeitig enthalten sein, damit der entsprechende Sensor-Wert die ge- wünschte Integrität dieser zu ermittelnden Ausgangsposition erreicht oder gewährleis¬ tet. Bei der Verwendung einer Trägheits-Sensorik 21 mit einer unbestimmten Aus¬ gangsposition X0 der Messung wird also ein Bereich X0 ermittelt, in dem die Aus¬ gangsposition X0 mit vorgegebener Mindestwahrscheinlichkeit enthalten ist.

Der gesuchte Bereich X0 ist dann jene Menge von x-Werten, die in mindestens {n - m} Bereichen Xk gleichzeitig enthalten sind. (Wurde schon auf Seite 12 gesagt)

Für den Fall, dass mehrere Sensorwerte mit zugehörigen I ntegritäten ermittelt wer¬ den, also z.B. wenn mehrere Sensor-Einrichtungen vorgesehen sind, werden die In- tegritäten und die zugehörigen Reihen von Messwerten von zumindest zwei Sensor- Einrichtungen vorzugsweise einem Schätzfilter, der vorzugsweise ein Kaimanfilter ist, zugeführt, der aus diesen Werten einen Messwert und eine Genauigkeit ermittelt.

Der von dem Filter ermittelte Wert und/oder die Genauigkeit kann in einer Vergleichs- Einrichtung 24 mit einem Schwellwert verglichen werden. Bei Erreichen oder Über¬ oder Unterschreiten des Schwellwertes abhängig vom Anwendungsfall kann ein War¬ nungssignal an eine benachbarte System-Einrichtung bzw. System-Funktion wie z.B. einer Benutzeroberfläche, das z.B. die Anzeige-Einrichtung in einem Cockpit sein kann, ausgegeben werden. Auch kann vorgesehen sein, dass aufgrund eines solchen Warnsignals die Betriebsart einer Flugsteuerungs-Einrichtung als benachbarte Sys¬ tem-Einrichtung gewählt oder geändert werden. Auch kann dann vorgesehen sein, die die Abweichung verusachende Sensor-Einrichtung abzuschalten und in einer anderen System-Betriebsart gegebenenfalls unter Einbezug eines weiteren Sensors weiter zu verfahren.