Ingénierie du contrôle de vol pour UAVs lourds : passage de 50 kg à 150 kg

Passer d'un démonstrateur de 50 kilogrammes à un UAV opérationnel de 150 kilogrammes n'est pas un exercice de mise à l'échelle linéaire. L'augmentation de la masse modifie l'inertie de l'avion, réduit ses marges de contrôle, amplifie les vibrations structurelles et augmente les conséquences d'un échec. Cela déplace également l'objectif d'ingénierie : un contrôleur qui vole simplement bien n'est plus suffisant ; le système doit rester contrôlable en cas d'échecs crédibles et produire les preuves nécessaires pour les examens de sécurité et de navigabilité.

Cet article examine cette transition à travers cinq problèmes de conception étroitement liés : changement de masse de charge utile, redondance de propulsion, vibrations à basse fréquence, sécurité du système et vérification orientée conformité. Les exemples et le code sont illustratifs ; les conceptions de production nécessitent une modélisation, des tests et une justification de sécurité spécifiques à l'avion.

Un aéronef de 150 kilogrammes décolle

Début 2025, un octocoptère était posé sur une plateforme de test en béton dans un projet d'infrastructure à Hong Kong. Ses hélices mesuraient 1,8 mètre de diamètre, et la cellule de l'appareil mesurait plus de 3 mètres de long. À pleine charge, l'aéronef pesait 150 kilogrammes : 65 kilogrammes de masse à vide et une charge utile de 85 kilogrammes de barres d'acier et de matériel pour un chantier de construction de gratte-ciel.

L'ingénieur de contrôle de vol a armé l'aéronef. Tous les huit moteurs ont démarré ensemble, et la vitesse des rotors a augmenté régulièrement : 15 %... 25 %... 35 %... 45 %. À 48 % de puissance, le train d'atterrissage s'est soulevé de la plateforme. Le souffle des rotors a dispersé la poussière en dessous alors que l'aéronef s'élevait sans l'apparente aisance d'un drone de consommation. Son mouvement ressemblait à celui d'un petit hélicoptère : délibéré, puissant et dominé par l'inertie.

À un vol stationnaire de 5 mètres, la station au sol affichait des commandes de moteur entre 46 % et 52 %.La faible dispersion suggérait que le centre de gravité était proche de sa position prévue. La vibration de l'IMU est restée dans une plage de ±3 m/s², indiquant que le système d'isolation fonctionnait comme prévu. La batterie mesurait 89,2 V et 120 A, soit environ 10,7 kW—8 % au-dessus de l'estimation de simulation. Une résistance accrue de la batterie à basse température était une explication possible.

Avec tous les paramètres surveillés à l'intérieur de leurs limites de fonctionnement, l'ingénieur a commandé l'aéronef vers un site de construction situé à 800 mètres.

Atteindre ce point a pris 18 mois. La transition d'un démonstrateur de 50 kilogrammes à un aéronef d'ingénierie de 150 kilogrammes nécessitait non seulement des composants plus grands, mais aussi une architecture de contrôle et de sécurité différente.

Partie I : Applications des UAV de levage lourd et le changement fondamental dans la conception

Pourquoi les UAV de levage lourd sont nécessaires

Les drones de consommation ont généralement un poids au décollage inférieur à 25 kg et transportent des charges utiles de 1 à 5 kg. Lorsque les exigences de charge utile dépassent 10 kg et que le poids au décollage dépasse 50 kg, l'appareil entre dans la catégorie « levage lourd ». Les applications typiques incluent :

• Logistique de chantier de construction : Transport de barres d'acier, de tuyaux et de petits équipements sur des chantiers de construction de grande hauteur. Les grues à tour et les ascenseurs de construction sont les solutions traditionnelles, mais le transport direct par UAV peut être plus efficace dans des scénarios tels que le franchissement de rivières ou de routes et le déplacement de matériaux entre plusieurs sites. Les projets de très grande hauteur à Hong Kong et Shenzhen ont commencé à tester des UAV de classe 150 kilogrammes pour le transport de matériaux entre les étages.
• Épandage agricole : Semer et fertiliser de grandes surfaces agricoles. Une seule sortie peut distribuer 20 à 50 kilogrammes, nécessitant à la fois une grande capacité de charge utile et un contrôle précis de l'épandage.
• Lutte contre les incendies : Livraison d'agents extincteurs aux incendies de gratte-ciels ou de forêts. Les UAV peuvent transporter des tuyaux d'incendie ou des projectiles extincteurs à des hauteurs inaccessibles aux personnes et les livrer avec précision.
• Enquête et cartographie à grande échelle : Servant de plateformes pour des systèmes LiDAR de haute précision. Les systèmes LiDAR industriels pèsent généralement entre 10 et 20 kilogrammes ; avec les batteries et l'équipement auxiliaire, le poids total au décollage peut atteindre 80 à 120 kilogrammes.

De la catégorie grand public à la levée lourde : Ce n'est pas simplement une question d'échelle

Il est tentant de considérer un contrôleur de vol grand public mature comme un design qui peut simplement être agrandi.En pratique, cette approche échoue car les dynamiques gouvernantes, l'autorité de contrôle disponible et le risque acceptable changent tous avec l'échelle.

Au-dessus de 50 kilogrammes, la conception du contrôle de vol change qualitativement. Les principales différences sont les suivantes :

Effets inertiels amplifiés. Augmenter le poids au décollage de 5 kg à 150 kg multiplie la masse par 30, mais l'inertie de rotation augmente de bien plus de 30 car la structure grandit également. Une plus grande inertie de rotation réduit considérablement la réponse au contrôle d'attitude. Avec le même couple de contrôle, l'accélération angulaire d'un aéronef de 150 kilogrammes peut n'être qu'un dixième de celle d'un aéronef de 5 kilogrammes. Les paramètres PID ne peuvent pas simplement être mis à l'échelle proportionnellement ; ils doivent être redessinés autour d'un nouveau modèle dynamique.

Marges d'autorité de contrôle plus étroites. Un drone de consommation peut planer près du milieu de sa plage d'actionneur utilisable. Les UAV de levage lourd fonctionnent souvent avec des rapports poussée/poids d'environ 1.5 à 1,8 et peut flotter entre 60 % et 70 % de la puissance disponible. Moins d'autorité ascendante reste pour la correction d'attitude ou le rejet de perturbation. L'affaissement de la tension de la batterie, la réduction thermique ou la variation de performance des hélices peuvent réduire cette marge encore plus.

Conséquences plus graves d'une défaillance. Un crash de drone de consommation peut détruire un équipement d'une valeur de quelques milliers à des dizaines de milliers de yuans. Si un UAV de 150 kilogrammes s'écrase au-dessus de personnes ou de bâtiments, le résultat peut être fatal. La norme de sécurité est donc fondamentalement différente : l'objectif n'est pas seulement d'« éviter de tomber si possible », mais de s'assurer qu'une défaillance partielle ne peut pas faire tomber l'appareil et blesser quelqu'un.

Chaîne d'approvisionnement et coût. Les composants principaux dans les contrôleurs de vol de consommation—MCUs, IMUs et baromètres—peuvent coûter seulement quelques à quelques dizaines de yuans chacun.Les contrôleurs de vol de levage lourd nécessitent des capteurs de qualité industrielle, voire militaire, avec une précision supérieure, une dérive thermique plus faible et une meilleure stabilité à long terme. Le coût des composants diffère d'un ordre de grandeur.

Le résultat est un problème d'ingénierie distinct, et non une simple extension d'un design grand public.

Partie II : Gestion de la charge utile—Estimation du poids en temps réel et réglage adaptatif

Comment les changements de charge utile affectent le contrôle de vol

Une caractéristique définissante des UAV de levage lourd est que la charge utile représente une grande part du poids au décollage et peut changer pendant l'opération.

Considérons un UAV de pulvérisation agricole avec un poids au décollage de 80 kg, incluant 40 kg de produit chimique. Il décolle complètement chargé et termine la mission avec le produit épuisé, réduisant le poids de l'appareil de 80 kg à 40 kg—une réduction de 50 %. Pendant ce processus, le rapport poussée/poids, l'inertie de rotation et la traînée aérodynamique changent tous.Avec des paramètres PID fixes, le comportement de contrôle peut différer considérablement entre les conditions pleines et vides : réponse lente sous charge complète et réponse excessivement rapide ou même oscillation lorsqu'elle est vide.

Estimation du poids en temps réel

L'accord adaptatif nécessite la connaissance du poids actuel de l'avion. Plusieurs méthodes d'estimation sont disponibles.

Méthode 1 : Modèle courant-traction. Dans une plage de vitesse fixe, le courant du moteur et la traction ont une relation approximativement linéaire. La traction totale peut être déduite du courant total mesuré et de la courbe caractéristique du moteur, permettant d'estimer le poids actuel :

class WeightEstimator:
    def __init__(self, motor_count, motor_constant, hover_throttle):
        self.motor_count = motor_count
        self.motor_constant = motor_constant  # N/A par moteur
         self.hover_throttle = hover_throttle  # Accélérateur normalisé en vol stationnaire
         self.estimated_weight = 0.0
         self.alpha = 0.05  # Coefficient de filtre passe-bas

    def update(self, total_current, throttle_normalized, accel_z):
        """Met à jour l'estimation du poids à chaque image."""
        # Estime la poussée de chaque moteur
        per_motor_thrust = (
            total_current /  self.motor_count *  self.motor_constant
        )

        # Poussée totale, tenant compte de l'accélérateur et de la compensation de la gravité
        total_thrust = (
            per_motor_thrust *  self.motor_count * throttle_normalized
        )

        # Supprime le composant de force inertielle pour obtenir la masse
        mass = total_thrust / (9.81 + accel_z)

        # Filtrage passe-bas
        self.estimated_weight = (
             self.alpha * mass
            + (1 -  self.alpha) *  self.estimated_weight
        )
        return self.estimated_weight

L'exactitude dépend de la courbe caractéristique du moteur. Les ESCs industriels fournissent généralement une constante de couple, Kt, précise à ±5%, correspondant à une précision d'estimation du poids d'environ ±3% à ±5%.

Méthode 2 : Mesure directe avec un capteur de charge. Un capteur de force ou un jauge de contrainte est installé au point de fixation de la charge utile. La précision est élevée—environ ±1%—mais la méthode augmente le coût matériel et introduit des points de défaillance supplémentaires.

Méthode 3 : Estimation cumulative à partir de la distribution mesurée. Étant donné un poids initial connu, les changements sont accumulés à partir des quantités de dispersion ou de libération mesurées. Cette méthode nécessite une mesure précise du flux de charge utile et est adaptée aux applications avec un mécanisme de libération mesuré.

Réglage PID adaptatif

Une fois que la masse en temps réel a été estimée, les gains du contrôleur peuvent être programmés en fonction de la condition de fonctionnement. La relation clé n'est pas seulement la masse mais l'inertie, qui dépend à la fois de la masse et de sa distribution. Une charge utile montée loin du centre de gravité peut changer l'inertie de rotation bien plus qu'une charge utile égale montée près de celui-ci.L'exemple simplifié ci-dessous suppose que la distribution de masse reste géométriquement similaire.

classe AdaptivePID:
    def __init__(self, base_pid, mass_ref, inertia_ref):
        self.base_pid = base_pid  # Paramètres PID à la masse de référence
        self.mass_ref = mass_ref
        self.inertia_ref = inertia_ref

    def compute_adaptive_pid(self, current_mass):
        """Ajuster les paramètres PID en fonction de la masse actuelle."""
        # Supposer une distribution de masse proportionnelle : l'inertie évolue avec la masse
        mass_ratio = current_mass / self.mass_ref 

        # Le gain P évolue avec l'inertie : une inertie plus élevée nécessite un couple plus important
        adaptive_p = self.base_pid.P * mass_ratio

        # Le gain I évolue également avec l'inertie
        adaptive_i = self.base_pid.I * mass_ratio

        # Le gain D est ajusté de manière plus conservatrice
        adaptive_d = self.base_pid.D * math.sqrt (mass_ratio)

        return PIDParams(adaptive_p, adaptive_i, adaptive_d) 

L'exactitude et la stabilité de mass_ratio sont critiques. Dans ce calendrier de gain simplifié, une erreur d'estimation de masse de 10 % crée une erreur comparable dans les gains proportionnels et intégrals. Un relâchement rapide de la charge utile—par exemple, 20 kilogrammes en 10 secondes—peut donc introduire un dépassement transitoire ou un sous-amortissement. Les contrôleurs de production limitent généralement les gains programmés et passent entre eux en douceur, souvent sur 0.5–1 seconde, plutôt que d'appliquer des changements de paramètres discontinus.

Partie III : Redondance de propulsion et stratégies d'échec

Risques de propulsion dans les UAV de levage lourd

La défaillance d'un moteur dans un quadricoptère grand public se comporte souvent comme un événement tout ou rien : une batterie épuisée ou un défaut de circuit arrête l'ensemble de l'appareil. Les UAV de levage lourd utilisent plus de moteurs—souvent huit ou douze—à une puissance plus élevée et pendant des durées plus longues, donc la probabilité d'une défaillance d'un seul moteur ou d'un ESC ne peut pas être ignorée.

En théorie, après qu'un octocoptère ait perdu un moteur, il peut atterrir en toute sécurité si les sept moteurs restants génèrent encore plus de poussée que le poids de l'appareil et fournissent un couple de contrôle d'attitude adéquat. En pratique, la contrôlabilité dépend de quel moteur a échoué.L'échec simultané de deux moteurs opposés en diagonale a le plus grand impact car les plus grands bras de levier sont perdus, tandis que l'échec de deux moteurs adjacents peut créer un déséquilibre de couple irrécupérable.

Allocation de Contrôle Redondante

Lorsque un ou plusieurs moteurs échouent, la poussée restante doit être réallouée pour préserver le contrôle d'attitude et maximiser la probabilité d'un atterrissage en toute sécurité.

L'allocation égale—attribuer la même poussée à chaque moteur actif—n'est généralement pas optimale après une défaillance. Un allocateur pratique résout les commandes des actionneurs sous réserve des limites des moteurs et d'une hiérarchie de priorités, préservant généralement l'autorité de roulis et de tangage avant le lacet ou le suivi de la poussée totale. L'exemple simplifié de pseudo-inverse ci-dessous illustre la structure de base ; une mise en œuvre de production utiliserait des contraintes explicites, un poids, une gestion de saturation et une logique anti-saturation.

classe RedundantControlAllocator:
    def __init__(self, positions_moteurs, nombre_moteurs):
        # Vecteur de position de chaque moteur par rapport au centre de gravité
        self.motor_positions = positions_moteurs
        self.motor_count = nombre_moteurs
        self.mixer_matrix = self._build_mixer_matrix()

    def _build_mixer_matrix(self):
        """Construire la matrice de mélange de contrôle : poussée + couple - > sorties des moteurs."""
        A =  np.zeros((4,  self.motor_count))
        for i in range( self.motor_count):
            pos = self.motor_positions[i]
            direction = 1 si i % 2 == 0 sinon -1  # Rotation alternée
            A[0, i] = 1.0             # Poussée
            A[1, i] = pos[1]          # Bras de moment de roulis
            A[2, i] = -pos[0]         # Bras de moment de tangage
            A[3, i] = direction * 0.1 # Bras de moment de lacet (couple de réaction)
        return A

    def allocate(self, commande_poussee, commande_couple, moteurs_faillants):
        """Réallouer la poussée lorsque des moteurs ont échoué."""
        cmd = np.array([
            thrust_cmd, torque_cmd[0], torque_cmd[1], torque_cmd[2]
        ])

        active_motors = [
            i for i in range(self.motor_count)
            if i not in failed_motors
        ]
        A_active = self.mixer_matrix[:, active_motors]

        # Solution des moindres carrés contraints :
        # 0 <= chaque sortie de moteur <= poussée maximale
        motor_outputs = np.zeros(self.motor_count)

        if len(active_motors) >= 4:
            # Degrés de liberté redondants ; prioriser une utilisation d'énergie plus faible
            solution = np.linalg.pinv(A_active) @ cmd
            motor_outputs_active = np.clip(solution, 0, 1.0)
        else:
            # Sous-actionné ; prioriser l'attitude, bien que la poussée puisse être faible
            solution = np.linalg.pinv(A_active) @ cmd
            motor_outputs_active = np.clip(solution, 0, 1.0)

        for i, motor_idx in enumerate(active_motors):
            motor_outputs[motor_idx] = motor_outputs_active[i]

        return motor_outputs

Plusieurs détails d'ingénierie sont critiques :

Vitesse de solution en temps réel. L'allocation s'exécute dans une boucle de contrôle de 250 Hz, donc le solveur doit respecter un budget de temps d'exécution strict. Pour un octocoptère, le mélangeur mappe huit sorties d'actionneurs à quatre axes commandés. Que la solution en ligne s'intègre dans la boucle dépend du MCU, de la représentation numérique, du solveur et des contraintes. Pour des systèmes plus grands, des pseudo-inverses ou des factorizations de solveur pour des combinaisons de pannes crédibles peuvent être pré-calculées et mises en cache, réduisant le calcul en vol à des opérations matricielles et à la gestion des limites.

Vitesse de détection des pannes. L'allocation dépend d'une détection rapide.La détection est généralement basée sur le résidu entre la poussée commandée et la poussée réelle : si la vitesse mesurée d'un moteur diffère de sa vitesse attendue de plus d'un seuil, le moteur est déclaré défaillant. La détection doit avoir lieu dans les 50 à 100 ms. Sinon, le contrôleur continue d'attribuer l'autorité de contrôle au moteur défaillant pendant des dizaines de millisecondes, ce qui peut entraîner une perte de contrôle d'attitude.

Stratégies de vol après une défaillance

• Un moteur a échoué (sept restants sur un octocoptère) : Réallouer la poussée, limiter la vitesse maximale de l'air pour réduire la demande de contrôle d'attitude, et descendre lentement vers le site d'atterrissage alternatif le plus proche.
• Deux moteurs ont échoué (six restants) : Si les moteurs défaillants sont opposés en diagonale, le contrôle peut rester possible, mais les marges sont extrêmement étroites. Commencez un atterrissage d'urgence immédiatement.
• Trois moteurs ou plus ont échoué : La récupération est généralement impossible. Si l'altitude le permet, initiez une descente semblable à une autorotation ou déployez un système de parachute.

Un contrôleur de vol industriel correctement conçu inclut la détection de défaillance du moteur et l'allocation de contrôle redondante dans le firmware. Des interfaces de capteurs redondantes—deux IMU, deux baromètres et deux récepteurs GPS—non seulement fournissent une redondance de navigation mais soutiennent également la prise de conscience de l'état de propulsion. Des décisions de défaillance correctes dépendent de la détection précise de l'état de fonctionnement de chaque moteur.

Partie IV : L'effet des vibrations structurelles sur le contrôle de vol

Vibration à basse fréquence dans de grands fuselages

Les cadres de drones grand public sont rigides et ont des fréquences naturelles élevées, généralement supérieures à 100 Hz. La plupart de l'énergie de vibration du moteur se situe entre 100 et 500 Hz, donc l'isolation du contrôleur de vol aborde principalement les vibrations à haute fréquence dans cette plage.

Les structures aériennes à forte charge sont beaucoup plus grandes, avec des bras de 1 à 2 mètres de long, et sont relativement moins rigides. Leurs fréquences naturelles se situent souvent dans la plage de 10 à 40 Hz. Cette vibration a deux caractéristiques importantes.

Tout d'abord, sa fréquence est basse et approche la bande passante de 10 à 50 Hz de la boucle de contrôle de vol. Si la vibration chevauche la bande passante de contrôle, elle affecte directement la stabilité de la boucle. Le contrôleur PID peut interpréter la vibration comme une véritable erreur d'attitude et tenter de la suivre.

Deuxièmement, l'amplitude est élevée. Moteurs sur un UAV de classe 150 kilogrammes délivrent généralement 3 à 5 kW chacun, produisant beaucoup plus d'énergie vibratoire que les moteurs de 30 à 50 W sur les drones grand public. Même après isolation, l'accélération au point de montage du contrôleur de vol peut encore atteindre ±5 à 15 m/s².

Conception du système d'isolation des vibrations

Les UAV de levage lourd nécessitent des solutions spécifiquement conçues pour les vibrations à basse fréquence :

• Isolateurs à câbles métalliques : Les fréquences naturelles peuvent être aussi basses que 5–15 Hz, ce qui les rend adaptés à l'isolation à basse fréquence. Ils sont encombrants et difficiles à installer, mais sont le choix principal pour les supports de contrôleurs de vol sur les UAV de classe 150 kilogrammes.
• Supports d'isolation en silicone : Avec des fréquences naturelles de 20–40 Hz, ceux-ci sont utiles pour les vibrations au-dessus de 50 Hz. Ils sont peu coûteux et faciles à installer mais offrent une isolation à basse fréquence limitée. Dans les applications de levage lourd, ils sont couramment ajoutés comme une étape secondaire après l'isolation par câbles métalliques.
• Contrôle actif des vibrations : Les accéléromètres mesurent les vibrations en temps réel, tandis que les actionneurs génèrent des forces opposées en opposition de phase. Cela offre la meilleure performance mais aussi le plus grand coût et complexité, et est actuellement utilisé uniquement sur un petit nombre de très grands UAV.

Une solution d'ingénierie courante est l'isolation à deux niveaux : les isolateurs en câble métallique traitent les modes structurels de basse fréquence, tandis que les éléments en silicone atténuent le contenu de haute fréquence. La conception finale doit être basée sur les spectres de la cellule mesurés, car des isolateurs mal sélectionnés peuvent amplifier les vibrations près de leurs fréquences de résonance. Le contrôleur de vol peut être monté sur une plaque intermédiaire entre les deux niveaux.

# Script pour valider la performance de l'isolation des vibrations
def analyze_vibration_isolation(flight_log_path):
    """Analyser les spectres de vibration avant et après l'isolation."""
    data = load_ulog(flight_log_path)

    # Données IMU du contrôleur de vol après isolation
    imu_fc = data['sensor_imu.acceleration']

    # Données IMU de la cellule de référence avant isolation
    imu_body = data['reference_imu.acceleration']

    # Analyse FFT
    freq = np.fft.rfftfreq(len(imu_fc[:, 0]), d=1/250)

    for axis in range(3):  # X, Y, Z
        fft_fc = np.abs(np.fft.rfft(imu_fc[:, axis]))
        fft_body = np.abs(np.fft.rfft(imu_body[:, axis]))

        transmissibility = fft_fc / (fft_body + 1e-10)

        print(f"Axe {axis}: ")
        print(f"  Transmissibilité à 10 Hz: "
              f"{transmissibility[np.argmin(np.abs(freq-10))]:.2f}")
        print(f"  Transmissibilité à 50 Hz: "
              f"{transmissibility[np.argmin(np.abs(freq-50))]:.2f}")
        print(f"  Transmissibilité à 100 Hz: "
              f"{transmissibility[np.argmin(np.abs(freq-100))]:.2f}")

Les cartes de contrôleur de vol industrielles open-source bien conçues tiennent compte des vibrations au niveau matériel.Leurs trous de montage supportent des systèmes d'isolation standard ; le soudage et la disposition de l'IMU sont conçus pour la fiabilité dans des environnements de vibration ; et la résistance mécanique au niveau de la carte est suffisante pour résister à la déformation. Les ingénieurs doivent sélectionner une solution d'isolation appropriée à leur structure aérienne et la valider par une analyse spectrale.

Partie V : Mise à niveau de la stratégie de sécurité—La méthode FMEA

Plus de modes de défaillance et des conséquences plus graves

En dessous de 50 kg, les modes de défaillance courants sont relativement simples : défaillance du moteur, épuisement de la batterie, perte de GPS et perte du lien de données. Chacun peut se voir attribuer une réponse claire, et la portée de l'analyse des modes de défaillance et de leurs effets (FMEA) reste gérable.

À l'échelle de 150 kilogrammes, le nombre de combinaisons de défaillance augmente considérablement :

Le numéro de priorité de risque est calculé comme RPN = S × O × D. Dans cet exemple, les éléments au-dessus de 80 reçoivent la priorité. Le seuil est une règle organisationnelle, pas un substitut au jugement : un mode de défaillance catastrophique peut nécessiter une atténuation même lorsque son RPN calculé est inférieur.

Flux de travail FMEA

Un processus FMEA complet comprend :

1. Identifier les modes de défaillance : Lister chaque mode de défaillance potentiel pour chaque sous-système : propulsion, navigation, communications, structure et alimentation.
2. Évaluer les effets : Déterminer comment chaque mode affecte la sécurité de vol, l'achèvement de la mission et la sécurité du personnel.
3. Attribuer des évaluations de gravité, d'occurrence et de détection.
4. Calculer le RPN.
5. Définir les atténuations : Pour les éléments avec RPN > 80, concevoir une redondance matérielle ou une tolérance aux pannes logicielles.
6. Réévaluer : Évaluez à nouveau le design atténué et confirmez que le risque est tombé à un niveau acceptable.

Le FMEA pour un UAV de 150 kilogrammes nécessite beaucoup plus de travail que pour un petit aéronef. Un rapport complet fait généralement entre 50 et 100 pages et couvre des centaines de modes de défaillance. C'est également l'un des documents requis pour la certification de navigabilité.

Mise en œuvre des stratégies de sécurité

Le FMEA produit un ensemble d'exigences de sécurité qui doivent être mises en œuvre dans le firmware de contrôle de vol. Les stratégies clés incluent :

Avertissements par niveaux. Les niveaux d'avertissement correspondent à la gravité de la défaillance. Niveau 1, jaune, alerte l'opérateur tout en permettant à la mission de continuer. Niveau 2, orange, recommande de mettre fin à la mission et de se préparer à atterrir. Niveau 3, rouge, déclenche immédiatement une procédure d'urgence.

Dégradation progressive.Suite à une défaillance partielle, le contrôleur de vol passe automatiquement à des modes avec des performances inférieures mais une sécurité accrue—par exemple, d'un vol à pleine performance à un vol à puissance limitée avec une vitesse et une accélération restreintes, puis au mode de vol stationnaire uniquement, et enfin à l'atterrissage d'urgence.

Surveillance de sécurité indépendante. Un module indépendant, potentiellement un MCU séparé, surveille en continu le contrôleur de vol principal. Si le contrôleur principal produit une sortie anormale—comme un changement de commande abrupt—ou ne parvient pas à servir son watchdog, le module de sécurité prend le contrôle et exécute une stratégie prédéfinie. C'est une exigence de navigabilité obligatoire pour les UAV à haut risque.

Partie VI : Navigabilité et Conformité

Exigences de navigabilité pour la classe de 150 kilogrammes

Pour un UAV de 150 kilogrammes opéré en Chine, les exigences de certification et d'exploitation applicables doivent être établies avec l'autorité compétente pour la catégorie d'aéronef, l'opération prévue et la base de certification. Un programme de conformité comprend généralement les activités suivantes :

• Examen de conception : Soumission de la documentation de conception complète, y compris les rapports de conception structurelle, de système de propulsion, de sécurité de contrôle de vol—y compris FMEA—et de compatibilité électromagnétique.
• Vérification des tests : Tests statiques structurels pour démontrer la survie aux charges limites ; au moins 50 heures de tests d'endurance de propulsion sans défaut ; tests de fiabilité de contrôle de vol par simulation et tests en vol ; et tests environnementaux pour la température, l'humidité, les vibrations et le brouillard salin.
• Tests en vol : Achèvement des tests requis sous la supervision d'un pilote d'essai certifié, y compris la validation de l'enveloppe de vol normale, des pannes simulées telles que l'arrêt d'un moteur en vol, et des tests en conditions limites.
• Continuité de navigabilité : Après certification, les opérateurs doivent enregistrer les heures de vol, les historiques de maintenance et les rapports de pannes pour chaque aéronef et mettre régulièrement en œuvre des directives et des modifications de navigabilité.

Cadre d'évaluation des risques

Le cadre d'évaluation des risques des opérations spécifiques (SORA) divise le risque opérationnel en deux dimensions :

• Classe de risque au sol (GRC) : Déterminée par la densité de population dans la zone d'exploitation et l'énergie cinétique de l'aéronef. Un UAV de 150 kilogrammes a beaucoup plus d'énergie cinétique qu'un UAV de 25 kilogrammes et nécessite donc des mesures de sécurité au sol plus strictes.
• Classe de Risque Aérien (CRA): Déterminée par la complexité de l'espace aérien et la densité d'autres trafics aériens.

Parce que la masse de l'aéronef et l'énergie cinétique affectent matériellement le risque au sol, une opération de 150 kilogrammes exige généralement une meilleure confinement, des preuves de fiabilité et des atténuations opérationnelles qu'une mission de petit UAV. Le GRC et le CRA réels doivent être calculés à partir de la méthodologie SORA actuelle et du concept opérationnel spécifique plutôt que d'être déduits de la masse seule.

Le Rôle du Contrôleur de Vol dans la Navigabilité

Le sous-système de contrôle de vol est un point majeur de l'examen de la navigabilité. Les examinateurs posent trois questions fondamentales :

Un échec à un point unique peut-il provoquer un résultat catastrophique ? La réponse doit être non. Chaque échec à un point unique qui pourrait devenir catastrophique nécessite une redondance ou une protection.

Quelle est la fiabilité du logiciel de contrôle de vol ? Les preuves doivent inclure la documentation du processus de développement logiciel suivant DO-178C ou une norme comparable, des rapports de couverture de test et des enregistrements de révision de code.

La logique de sécurité a-t-elle été adéquatement vérifiée ? La simulation SITL/HITL et les tests en vol doivent couvrir tous les scénarios de défaillance.

La conformité doit donc être considérée dès la phase de conception. La redondance matérielle—IMUs doubles, baromètres doubles et processeurs doubles—l'enregistrement complet des vols et des événements, ainsi que les versions matérielles et les configurations logicielles traçables ne peuvent pas être ajoutés ultérieurement. Ils doivent être intégrés dans l'architecture.

Choisir une carte de contrôle de vol industrielle dont le matériel répond déjà aux exigences de navigabilité—avec plusieurs interfaces de capteurs redondantes, un moniteur de sécurité indépendant et un système d'enregistrement complet—peut réduire considérablement l'effort et le coût de certification au niveau de l'avion.

Partie VII : Leçons d'ingénierie de 50 kg à 150 kg

La chronologie de l'itération de conception

La séquence de développement approximative de l'équipe était la suivante :

• Phase 1, mois 0–6 : démonstrateur de 50 kilogrammes. Valider l'architecture de contrôle de vol et les algorithmes de base en utilisant un système de propulsion de qualité grand public et une structure simplifiée, en mettant l'accent sur la faisabilité des algorithmes de contrôle.
• Phase 2, mois 6–12 : prototype de 100 kilogrammes. Introduire un système de propulsion industriel, concevoir la structure complète et l'isolation des vibrations. Commencer le développement de l'AMDE et de la stratégie de sécurité, et effectuer la première validation HITL.
• Phase 3, mois 12–18 : aéronef d'ingénierie de 150 kilogrammes. Compléter la conception technique, y compris les systèmes redondants, la surveillance de la sécurité et les tests environnementaux. Réaliser des simulations SITL/HITL étendues et des tests de vol en vol relié.
• Phase 4, mois 18–24 : Tests de vol et préparation à la certification. Compléter les tests de l'enveloppe de vol, de simulation de défaillance et environnementaux. Préparer la documentation de navigabilité et soumettre la demande de certification.

Leçons clés

Leçon 1 : Ne pas économiser sur l'isolation des vibrations. L'environnement de vibration du contrôleur de vol détermine directement la limite supérieure de la performance de contrôle. L'isolation représente généralement moins de 2 % du coût total de l'avion mais peut améliorer la performance de contrôle de 20 % à 30 %.

Leçon 2 : Concevoir la redondance tôt. La redondance n'est pas aussi simple que d'ajouter une sauvegarde après avoir terminé le système principal. La logique de commutation, la synchronisation des états et la détection des pannes doivent être planifiées lors de la conception architecturale. Ajouter une redondance ultérieure peut coûter trois à cinq fois plus cher que de la concevoir dès le départ.

Leçon 3 : Simulez d'abord. Tester en vol un UAV de 150 kilogrammes est extrêmement coûteux. Un test échoué peut détruire un équipement d'une valeur de centaines de milliers de yuans et coûter des mois de calendrier. Vérifiez soigneusement en simulation avant de passer au vol. Les cartes de contrôle de vol industrielles bien conçues ont déjà subi une simulation extensive avant l'expédition, permettant à une équipe de construire son propre environnement de simulation sur une base validée et de réduire encore le risque et le coût en phase initiale.

Leçon 4 : Préservez la marge de calcul. Le logiciel de contrôle de vol pour un UAV de 150 kilogrammes est beaucoup plus complexe que celui d'un petit aéronef. L'ajustement adaptatif, l'allocation de contrôle redondante, la surveillance de la sécurité, la fusion multisensorielle et la gestion de la charge utile doivent fonctionner simultanément. La demande de calcul résultante peut être cinq à dix fois celle d'un petit UAV. Au moins 50 % de marge de traitement devrait rester lors de la sélection du contrôleur principal.Un contrôleur haute performance laisse également place à des capacités futures telles que le vol autonome par IA et l'évitement d'obstacles basé sur la vision.

Conclusion : L'échelle de masse signifie l'échelle d'assurance

Passer de 50 kg à 150 kg n'est pas une question de multiplier chaque composant par trois. Cela nécessite un changement systématique dans l'ingénierie du contrôle de vol : d'une performance de contrôle nominale à un comportement borné à travers l'enveloppe opérationnelle ; de systèmes à chaîne unique à redondance gérée ; de réglage fixe à adaptation basée sur des modèles ou des plannings ; et de tests de vol réussis à des preuves de sécurité traçables.

Les UAV de levage lourd sont parmi les aéronefs les plus exigeants dans l'économie émergente de basse altitude car ils combinent une haute énergie, des marges d'actionneurs limitées, des structures flexibles et un comportement de défaillance complexe.L'expérience avec des drones plus petits est précieuse, mais elle ne supprime pas le besoin de dynamiques au niveau des aéronefs, de gestion de redondance, d'analyse de sécurité structurée et de vérification disciplinée.

Pour les équipes entrant dans ce domaine, une plateforme de contrôle de vol de qualité industrielle peut fournir une base utile : une capacité de calcul adéquate, des interfaces de capteurs redondantes, une journalisation robuste et du matériel conçu pour des vibrations sévères. Cette base ne certifie pas l'aéronef à elle seule. Les logiciels spécifiques à l'application, l'intégration, l'analyse des dangers, la simulation, les tests au sol et les preuves de tests en vol restent essentiels. Le chemin de développement le plus court et crédible n'est donc pas de partir de zéro, mais de combiner une plateforme mature avec une ingénierie et une vérification rigoureuses au niveau des aéronefs.