パスワードを忘れた? アカウント作成
14444617 story
バグ

イーサネット通信エラーにより緊急着陸モードになるスイス製ビジネスジェット 46

ストーリー by headless
緊急 部門より
スイス・Pilatus AircraftのビジネスジェットPC-24でイーサネット通信エラーによりオートパイロットが緊急着陸モードになるなどの問題が報告されたとして、EU航空安全機関(EASA)が耐航空性改善指令(AD)を出している(ADThe Registerの記事)。

報告されているのは、PC-24が離陸後の上昇中にデュアルチャンネルのデータコンセントレーションユニットで2つのイーサネット通信チャンネルが両方とも使用できなくなったというもの。データコンセントレーションユニットはさまざまな入力データを共通のデジタルデータに変換する役割を果たす。これによりブレーカーが落ちたことで、オートパイロットが緊急着陸モードに切り替わったほか、環境制御システムの機能が低下したり、乗客用酸素マスクが下りたりしたという。また、クルー用の警告システムがさまざまなメッセージを表示し、フラップや燃料系、防除氷雨装置の機能も大幅に低下したとのこと。

Pilatusでは問題を修正したUtility Management System(UMS) ソフトウェアの更新(ビルド7.3)を開発して作業指示書(SB)を発行しており、ADでは発効日の10月1日から30日以内に影響を受けるバージョンのソフトウェアを更新するよう命じている。
  • When that Ethernet network degrades or fails, things can become unpredictable. So it apparently was when that exact thing happened aboard an unidentified PC-24 flight, according to EASA: "This triggered opening of electronic circuit breakers, which resulted in the degradation of environmental control system functionalities, the deployment of all passenger oxygen masks and the autopilot entering in emergency descent mode."

    二重冗長のEthernetスイッチ両系統が停止したことで、ブレーカーが異常を検知して遮断、環境制御システムが停止、機内の与圧が維持されているか不明になり、機内酸素マスクが展開して緊急降下(Emergency descent, 人が呼吸できる高度10000ft/約3000mまで急降下する)が掛かった、という感じですね。加えてEthernetが死んでいるため様々な警告が表示され、フラップ、燃料計、アンチアイス機能等々も状態不明となるなど"大幅に機能が低下"し、記事では"パイロットの負担が増加"したと述べられてますね。

    PC-24は実用上昇限度が高度45000ft、約14kmです。このくらいの高度になると0.16気圧程度まで気圧が下がり、与圧が維持されていないとパイロットの意識が維持できません。なので、与圧状況が不明になった時はすぐに酸素マスクを着けて、酸素が効いているうちに常人でも意識が保てる高度まで降下する必要があるわけですね。

    ここに返信
    • by Anonymous Coward on 2020年09月27日 13時52分 (#3895913)

      機内の通信にEthernetが適切かどうかは分からないけど、通信が失われた後の動作は別におかしくないよね。
      なので、以下のタイトルは不適切な気がします。
      >イーサネット通信エラーにより緊急着陸モードになるスイス製ビジネスジェット
      事実ではあるけど、これでは緊急着陸モードにしたことが問題だと誤解されかねない。

      飛行機は分からないけど、主に配線の重量増が問題で車でもEthernet増えつつあります。
      走行に必要な部分は別ですが。
      今回の飛行機でも、Ethernetスイッチが停止しても飛行自体は可能だったので、機能の分離はされてるんじゃないでしょうか。

      • ですね。細かいことを言えば着陸ではなくて降下なのでダブル不適切ですね。

        車の場合は元々のCANからもっとややこしいバスやSingle-pair Ethernet等への変更が始まっていて、航空機の場合は他の方も言われてるように元がRS-485とかさらに先代の軍用のマルチマスタなデジタルバスで、時代の変化で既設配線のままコンバータを噛ませたりしてモダンな規格に変更するっぽい話は見かけるのですが、Ethernetなんだなーと。

        • by Anonymous Coward on 2020年09月27日 16時37分 (#3895966)

          RS-485というか、EIA-485は工場なんかでもたくさん使われてますね。
          数百m超えるとこれぐらいしか信頼性のある通信手段が無かったので。
          置き換え案件もたくさんあるのですが、元がSingle配線でインピーダンス管理もされてない物なので、既設配線を利用すると変更先が限られて結局コストダウンにならないという。

          航空機の場合は配線の集約と軽量化が主目的なので、まとめて何でも通せる規格と言うことでEthernetが選ばれてるのだと思います。

    • 機内配線としてどれが普通なのかは分かりませんが、The Registerの記事によると他にも
      EIA/TIA-232,-422, -485, ARINC 429, USB 2.0, ARINC 664, MIL-STD-1553, CAN bus and Ethernet
      が使われているそうで。
      #USB2.0!?

      • by Anonymous Coward

        さすがにHWは航空機用だと思うよ。

      • by Anonymous Coward

        車でUSBは普通に使われているから、航空機で使われても不思議ないと思う。
        ちなみに俺の知っている車のUSBのコネクタはパソコンなんかで使われているTypeAとかCとかと違う形状で、挿すとカチっていうやつ

        • by Anonymous Coward

          俺のスズキ車は普通のUSB A

        • by Anonymous Coward

          ヒロセ電機のGT17シリーズですかね
          車載用でUSBモデムなどをつなぐけどラッチがないとダメとかでこいつの4極品をUSB代わりに使う

      • by Anonymous Coward

        CAN bus and Ethernet の CAN bus って これ [wikipedia.org]のことだよね。

        Controller Area Network (CAN) は、ビークルバス規格の一種で、ホストコンピュータなしでマイクロコントローラやデバイスが相互に通信できるように設計されている。耐ノイズ性の強化が考慮された堅牢な規格である。

        で、ビークルバス [wikipedia.org]は

        ビークルバス(英語: vehicle bus)は、自動車、バス、列車、工業用車両、農業用車両、船

    • by Anonymous Coward on 2020年09月27日 13時05分 (#3895902)

      自動車や船舶もそうなんですけどシステム内(飛行機とか車一台分のLAN)を流れるデータが多くなったのでイーサネットだとかTCP/IPを採用するケースが増えてるそうです。

      • by Anonymous Coward

        鉄道でもこれまでバラ線でパラレル転送していた制御線のデジタルバス化が進んでますね。
        通信の双方向化で機器モニターにも使えるし、航空機ではとりわけ配線量削減による重量削減が効くんじゃないでしょうか。

    • by Anonymous Coward

      問題なのはイーサーネットを使っていることではなく、二重化している通信路が両系とも故障してしまった原因ですよね。

    • by Anonymous Coward

      自動車ではEthernetが普通に
      データ転送レートが増えるとその都度専用規格を作り変えるのは大変~などの理由により自動車などでも性能向上のスピードの速い汎用規格を取り入れる方向

      • by Anonymous Coward

        二十年後(或いは既に)クラシックカー・クラシック機用のデータバス機器が手に入らなくなって、代わりに家庭用イーサネットが流用換装される事が流行ったりして。

    • by Anonymous Coward

      PCはEthernetでつなぐものですから

  • by donadona (37711) on 2020年09月27日 13時04分 (#3895900)

    本件、墜落に直結する問題では無いけれど飛行機の安全マージンを減らすものであり、パイロットの負担を増やし飛行機の制御性を損なうものということで耐航空性改善指令が出たみたいですね(AD、The Registerの両方に書いてあった)。
    でもこの問題、どういうふうに修正するんだろ?というより、どういう挙動にするのが正しいんだろう?
    #そもそも、挙動のいずれも「センサからのデータが来なくなったんならそうするしか無いよねえ」なやつに見えて・・・。

    ここに返信
    • by 90 (35300) on 2020年09月27日 13時52分 (#3895912) 日記

      問題はLANが落ちてバックアップ動作に切り替えざるを得なくなることで、バックアップ動作とその機能そのものは正常なんではないかと。

    • by Anonymous Coward

      冗長度増やすのと、2チャンネルとも不通になったということは共通原因がありそうだからそれを対策 ですかね?
      #アポロって3つのコンピュータ積んで多数決だっけ?

      • by Anonymous Coward on 2020年09月27日 14時10分 (#3895923)

        車載ECU(エンジン用のではなく周辺部品用の、安全機器関係ではないやつ)開発時、航空部品も作ってるハネウェルにコンサルを依頼したら「え?冗長度たったの3?最低限5は必要でしょマイコン今すぐ2個追加して。このくらい常識」って言われたなあ。アレ以来、ハネウェルとは取引していない。
        #ぜっっっったいAC

        • by Anonymous Coward on 2020年09月27日 19時43分 (#3896030)

          電車関係の開発下請けしたことがあるけど
          いいんかそれでというくらい基本仕様が稚拙だった
          冗長を意図してるけどクリチカルなとこが共通だったりとか
          おかしけりゃ止まればいいからの思想なのかもしれないが
          # 絶対AC

          • by Anonymous Coward

            電車の場合は基本的に私有地で走らせているうえに、制動系とATS/ATC系が通常時は連動してて、
            もしATS/ATC系が何らかの理由で停止したと車上で判断すれば、問答無用で赤信号扱いしてブレーキ掛けてで規定距離以内に止まるような仕様にさえなってれば法律的に最低限マルですし、
            その後安全が確認できれば徐行運転できる規則になっているので、そりゃあね。
            むしろもっと低レベルの人的や機械的な方が重要視されます。

        • by Anonymous Coward

          あれかバックアップは3つじゃだめで、最低5という、買わない理由ではなく、買う理由ができた。

        • by Anonymous Coward

          コンサルで入った以上なにか言わなきゃだったのかもだが、
          冗長性って絶対値じゃなくて要件から導かなきゃ駄目な筈だよなぁ……
          高めっぽい冗長度を勘で決め打ちしてしまえば関連要素の正確な推定をサボれるけど、
          本当に必要な冗長度が確保できているかも分からんくせに無駄に高コストな製品になる、と。

          安全に関わらない機器に対しても無駄に冗長度を求めることで、
          逆に安全に関わる機器に対して必要な冗長度を確保していない可能性を露呈する事ってあるんだな……

      • by Anonymous Coward

        黄色いケーブルに交換しトランシーバは必ず熟練者が取り付けること

      • by Anonymous Coward

        スペースシャトルオービターは5系統多数決、なおかつ1系統は同一仕様書を用いた別ベンダーによる独立実装、と聞いたことがある

    • by Anonymous Coward

      既設のセンサ網やなんだかんだのケーブルは積み重ね改良でこのまま頑張ってもらうとして
      予備てきなシステムはコックピットからニョキニョキ生やしたカメラと画像解析とAIを
      アビヲニクスに横からくっつけ予測補正みたいなん示して緊急時の感覚操縦補助すりゃいいと思うよ

      • by Anonymous Coward

        そのカメラとECU間の通信が問題になるんだよ!

  • by Anonymous Coward on 2020年09月27日 12時57分 (#3895898)

    いつか優しさに巡り逢える

    ここに返信
  • by Anonymous Coward on 2020年09月27日 20時14分 (#3896040)

    「ブレーカーが落ちる」って書くと、本来は、過電流が流れて遮断器(=サーキットブレーカー)が落ちる(=スイッチが下側に落ちる)、って意味になります

    これが転じて、今では例えば株価の「サーキットブレーカー制度(株価が異常な値動きをしたら混乱を避けるために株式市場を閉鎖する仕組み)」のように、
    安全装置とかその仕組みもサーキットブレーカーと呼ばれます。

    これらサーキットブレーカーと、電源の保安装置のブレーカーは区別すべきです。
    今回の「サーキットブレーカー」も安全装置を意味しています。そして安全装置は「落ちる」とは言いません。
    安全装置が落ちる、と言ったら逆の意味になってしまうからです。
    今回の記事なら例えば「安全装置が誤発動して」という感じに書くべきでしょう。

    ここに返信
    • by Anonymous Coward

      そもそも電気電子回路向けのサーキットブレーカは上がるやつと下がるやつがある。
      カイロ向けの安全装置の慣例的な落ちるって表現もおかしい。

    • by Anonymous Coward

      >サーキットブレーカー制度(株価が異常な値動きをしたら混乱を避けるために株式市場を閉鎖する仕組み)
      ブレーカーが作動すると「閉」鎖とは、これ如何に。

      電気回路系の表現は日常用語の感覚と逆だったりするから厄介ですね。
      前後の文脈から考えると電源入を意味する表現が適当なのに、「サーキットオープン」と歌ってる歌があったり…

  • by Anonymous Coward on 2020年09月28日 1時03分 (#3896118)

    ソフトウェア技術者が飛行機を設計したら~、Microsoftが飛行機を設計したら~というジョークが現実になったかのよう
    操縦の基本機能に関する部分だけでも軍用機に使われている古い(枯れた)シリアルバス規格を使うとか出来ないものか....

    ここに返信
    • by Anonymous Coward

      操縦の基本機能に関する予備系統だけでも飛行機に使われてきた古い(枯れた)規格(油圧とかかも)を残していたから、二系統のメインバスが死んだ状態で着陸ができたんじゃない。

    • by Anonymous Coward

      ちゃんと異常検知して「安全な高度まで緊急降下する」っていう縮退運転が出来てるので問題なし
      そもそもそんなトラブルが無ければ完璧だけど、まあ検証のケース漏れ予想外が出るのは仕方ない

typodupeerror

計算機科学者とは、壊れていないものを修理する人々のことである

読み込み中...