Hilfsenergiesysteme für Flugtaxis: So bleibt der Strom stabil

Sci-Fi-Filme haben Zukunftsvisionen gezeigt, in denen fliegende Taxis umherschwirren und der Held als Pilot Wolkenkratzern und anderen Flugzeugen ausweicht. Dies soll nun Realität werden, zumindest in einer weniger hektischen Form. Obwohl die Lufttaxis in den Filmen in der Regel über eine Art Anti-Schwerkraft-Antrieb zu verfügen scheinen, werden die, in denen wir vielleicht reisen, elektrisch angetrieben sein, als Teil der kommenden eVTOL- oder elektrischen Vertical Take-Off and Land-Technologie.

Natürlich gibt es seit den 1940er Jahren Hubschrauber als „Taxis“, aber mit ihren Gasturbinentriebwerken sind sie laut, umweltschädlich und nur etwas für Superreiche. Kleine eVTOL-Flugzeuge sind flüsterleise, potenziell emissionsfrei und könnten nach Angaben des deutschen Unternehmens Lilium als Taxis irgendwann billiger sein als ein herkömmliches Taxi, vielleicht 2 bis 3 US-Dollar pro km.

Die eVTOL-Passagierflugzeug-Bewegung entwickelt sich eindeutig aus der Drohnentechnologie, aber es gibt große Unterschiede bei der kommerziellen Umsetzung, nicht zuletzt bei der Zertifizierung für die Beförderung von Passagieren, insbesondere da eVTOL-Flugzeuge autonom sein sollen. Es handelt sich um einen so neuen Bereich, dass es keine klaren Wege für die Musterzulassung und Produktzertifizierung gibt, obwohl sich die Europäische Agentur für Flugsicherheit (EASA) und in den USA die FAA mit diesem Thema befassen. Hier gibt es Anzeichen dafür, dass die Zertifizierung auf Einzelfallbasis erfolgen könnte. Für den Betrieb müssen die Flugzeuge in städtischen Umgebungen fliegen, um als Taxis sinnvoll zu sein, und sie benötigen möglicherweise ausgewiesene „Vertiports“ mit allen offensichtlichen Überlegungen zu Sicherheit, Infrastruktur und Umweltauswirkungen.

Warum ist die Stromversorgung in eVTOL-Flugzeugen kritisch?

Trotz der Notwendigkeit eines minimalen Gewichts und einer minimalen Größe muss die Steuerelektronik eines eVTOL-Luftfahrzeugs die gleichen Sicherheitsvorkehrungen und die gleiche Fehlerresistenz aufweisen wie ein herkömmliches Flugzeug. Das bedeutet Redundanz für kritische Systeme wie Motor- und Oberflächensteuerung, Navigation und Kommunikation als Minimum. Ein Maß für die erforderliche Zuverlässigkeit ist die „katastrophale Ausfallrate“, die von der EASA mit 10^-9  pro Flugstunde angegeben wird, manchmal auch als Kehrwert, d. h. eine mittlere Zeit zwischen zwei Ausfällen (MTBF) von einer Milliarde Stunden. Dies mag sehr konservativ klingen, aber wenn die Flugzeuge weit verbreitet sind, z. B. 10.000 in Betrieb, bedeutet dies, dass während der 11 akkumulierten Flugjahre nicht mehr als ein Flugzeug katastrophal ausfallen sollte, was weit über eine typische Lebensdauer hinausgehen dürfte. Man beachte, dass es sich um die 11 Jahre handelt, nicht um die Zeit danach – es wird von einer konstanten Ausfallrate während der Nutzungsdauer ausgegangen. Für ein einzelnes Flugzeug entspricht dies einer Überlebenswahrscheinlichkeit nach 11 Jahren Flugzeit von 0,99999, was beruhigend klingt. Eine Schwierigkeit ist allerdings die Bestimmung der Ausfallraten für Komponenten, da Berechnungsstandards wie MIL-HDBK-217F und Telcordia SR-332 in ihren Ergebnissen stark voneinander abweichen können.

Welche Herausforderungen gibt es bei der Energie-Redundanz?

Unabhängig davon, welcher Berechnungsstandard verwendet wird, kann die Elektronik in einem eVTOL-Luftfahrzeug ohne Redundanz praktisch keine MTBF von einer Milliarde Stunden während der Nutzungsdauer erreichen. Die einfache Duplizierung eines Systems führt jedoch zu einer enormen Verbesserung. Wenn Ausfälle repariert werden und die duplizierten Systeme beide mit gleichen Ausfallraten aktiv in Betrieb sind, ergibt sich die Gesamtausfallrate λ_T wie folgt:  

λ_T = [n!(λ)^k+1]/[(n-k-1)!(μ)^k]

Dies gilt für n Systeme mit einer Ausfallrate von λ (pro Stunde) bei einer Reparaturrate von µ (pro Stunde) und mit k Systemen, die mindestens erforderlich sind, um das Flugzeug zu fliegen.

Um eine Ausfallrate λ_T von 10^-9 pro Flugstunde zu erreichen, mit zwei redundanten Systemen, so dass nur eines benötigt wird, mit einer Reparaturzeit von drei Stunden (µ=1/3), berechnet sich λ_T zu 1.3 x 10^-5 Ausfällen/Stunde oder einer MTBF von 77 kHrs, was ein realistischer Wert für ein System ist.

Der Wert für die Ausfallrate hängt davon ab, dass Fehler sofort erkannt und rechtzeitig behoben werden. Bei aktiven redundanten Systemen wird bei einer nahtlosen Umschaltung im Falle des Ausfalls eines Rechners das System effektiv auf ein System mit geringerer Zuverlässigkeit umgeschaltet, so dass ein Alarm den Ausfall sofort registrieren muss. Ein Problem ist es jedoch, einen „sanften“ Ausfall zu erkennen, bei dem beispielsweise ein Computer dem anderen in einem redundanten Paar einfach einen anderen Befehl gibt. Wenn der eine sagt „Nase hoch“ und der andere „Nase runter“, welcher ist dann richtig? Aus diesem Grund könnte es notwendig sein, mindestens drei Computer in einem redundanten Satz zu haben, so dass die Ausgänge „abgestimmt“ werden können.

Obwohl nur eine einzige Hauptantriebsbatterie realistisch ist, sollten die von Gleichspannungswandlern erzeugten Hilfsstromschienen mit ihren inhärent hohen internen Belastungen und Temperaturen aus Redundanzgründen ebenfalls doppelt vorhanden sein. Es müssen Vorkehrungen getroffen werden, damit der Ausfall einer Batterie nicht dazu führt, dass auch eine andere ausfällt. Die Überwachung ist jedoch einfacher, da die Ausgangsspannungen in der Regel vorgegeben und unveränderlich sind.

Wie funktionieren redundante DC/DC-Wandler-Systeme?

Bei der Konfiguration von redundanten Hilfsstromversorgungen gibt es einige Möglichkeiten. Die Anordnung könnte z. B. „online“ sein, wobei zwei DC/DC-Wandler ständig in Betrieb sind, sich die Abgabeleistung teilen und die Ausgänge durch Trenndioden zusammengeschaltet sind (Bild 1). Diese Anordnung hat den Vorteil, dass der Zustand beider Einheiten kontinuierlich überwacht werden kann, so dass die Funktionsfähigkeit auch nach einem einzigen Ausfall gewährleistet ist. Die Überwachung muss außerdem unabhängig sein, und die Steuerung der Stromaufteilung darf nicht zu einer einzigen Fehlerstelle führen. Die Gate-Dioden oder manchmal auch MOSFETs müssen ebenfalls sorgfältig ausgewählt und in die Überwachung einbezogen werden, da eine kurzgeschlossene Diode beispielsweise eine „normale“ Funktion ermöglichen kann, aber wenn der treibende DC/DC-Wandler selbst mit einem Kurzschluss am Ausgang ausfällt, wird die Gate-Stromschiene heruntergezogen. Jeder DC/DC-Wandler muss in der Lage sein, die volle Last und alle Transienten zu versorgen, was bedeutet, dass sie im Normalbetrieb mit geringer Belastung arbeiten, was wiederum die Zuverlässigkeit erhöht.

Das System in Bild 1 könnte ohne die Gate-Dioden und die Leistungsüberwachung auskommen, wenn man davon ausgeht, dass der Ausfall eines Gleichspannungswandlers einen kompletten Flugsteuerungskanal außer Betrieb setzen kann. Ob dies einen Gesamtvorteil für die Systemzuverlässigkeit bedeutet, hängt von den tatsächlichen Ausfallraten der DC/DC-Wandler und ihrer Lasten ab. Es ist subjektiv, aber vielleicht wahrscheinlich, dass ein Pilot lieber zwei voll funktionsfähige Flugsteuerungscomputer hätte, wenn ein DC/DC-Wandler ausfällt, selbst wenn das bedeutet, dass einige unbelastete Überwachungs- und Energieverteilungskomponenten einbezogen werden müssen.

Was unterscheidet Online- und Offline-Backup-Lösungen?

Eine Alternative ist eine Offline-Anordnung, bei der ein DC/DC-Wandler ausgeschaltet oder im Leerlauf ist und physisch zugeschaltet wird, wenn der primäre DC/DC-Wandler ausfällt (Bild 2).

Dies ist potenziell eine einfachere Anordnung ohne die für Gating und Stromteilung erforderlichen Komponenten. Der Haupt-Gleichstromsteller versorgt jedoch die volle Last und wird stärker belastet als bei einer Online-Anordnung, was seine Ausfallrate erhöht. Dies gleicht eine höhere Systemzuverlässigkeit aus, da der Offline-Gleichstromsteller im Normalbetrieb keinen Teil seiner Lebensdauer „verbraucht“. Ob On- oder Offline-Konfigurationen die Systemzuverlässigkeit insgesamt verbessern, hängt von den Einzelheiten der Anwendung ab.

Ein Nachteil des Offline-Betriebs mit einem stromlosen Notstromaggregat besteht darin, dass man darauf vertrauen muss, dass es sich bei Bedarf im Notfall einschaltet. Um dies zu gewährleisten, müsste die Umschaltung auf den zweiten DC/DC-Wandler regelmäßig geübt und vielleicht die primären und sekundären DC/DC-Wandler routinemäßig ausgetauscht werden, um ihre verbleibende Lebensdauer auszugleichen. Jede Verzögerung beim Reagieren kann auch einen Einbruch der Ausgangsspannung zur Folge haben. Dies könnte zusätzliche Überbrückungsmaßnahmen erforderlich machen, wie z. B. einen großen Parallelkondensator, der seinerseits die Ausfallrate erheblich erhöhen würde. Am problematischsten ist vielleicht, dass jeder Umschalter eine einzelne Fehlerstelle darstellt – wenn er mechanisch ist, hat er natürlich eine hohe Ausfallrate. Wenn er elektronisch ist, führt er zu Verlusten und erfordert eine sorgfältige Konstruktion, um eine extrem niedrige Ausfallrate zu erreichen.

Welche Standards gelten für eVTOL-Stromsysteme?

Die Hauptbatterie für die Rotoren wird eine relativ hohe Spannung haben, ähnlich wie bei einem Elektrofahrzeug, um den Strom bei den hohen Leistungspegeln handhabbar zu halten. Dies bedeutet, dass eine Zwischenbusspannung wahrscheinlich ist, vielleicht mit 24 oder 28 V_DC, die von Hochleistungs-DC/DC-Wandlern erzeugt wird, die zur Redundanz gesteuert werden. Diese Spannung könnte für zusätzliche Stromversorgungssysteme wie Beleuchtung, Aktuatoren und kleinere Motoren verwendet werden und könnte daher relativ laut sein, und es könnten Luftfahrt-/Militärstandards für die Stromqualität gelten, wie die MIL-Standards 1275, 704, 461 und DO-160. Weitere Wandler, wahrscheinlich mit Isolierung, würden noch niedrigere, saubere Spannungen für die Verteilung auf den Leiterplatten erzeugen. Ein typisches System könnte wie in Bild 3 dargestellt aussehen.

Hier dämpft ein monolithischer EMI-Filter von Gaia Converter schnelle Transienten und Rauschen in beiden Richtungen auf einem 24/28-V_DC-Bus, während ein Vorkonditionierungsmodul aus der LHUG-Serie von Gaia langsamere Überspannungen und Einbrüche gemäß den Netzqualitätsstandards behandelt. Es umfasst auch einen Verpolungsschutz, eine Einschaltkontrolle und einen Softstart. Ein zusätzliches Merkmal ist ein aktiver Hold-up-Modus, bei dem im Normalbetrieb ein externer Kondensator unabhängig von der Eingangsleistung auf eine hohe Spannung aufgeladen wird. Dieser wird nach einem Leistungsabfall zugeschaltet, um eine verlängerte Überbrückungszeit mit einem relativ kleinen Kapazitätswert zu erreichen.

Die nachgeschalteten DC/DC-Wandler sind in diesem Fall von Gaia mit unterschiedlichen Leistungen bis zu 80 W und können untereinander und mit dem Vorkonditionierungsmodul synchronisiert werden. Es stehen zwei Synchronisationsphasen zur Verfügung, um den Eingangsrestwelligkeitsstrom und das erzeugte Rauschen zu minimieren. Alle Bauteile verfügen über Remote Sense, Voltage Trim, eine ON-OFF-Funktion und sichere Schutzfunktionen wie Ausgangsüberspannung und -überstrom, Übertemperatur und Eingangsunterspannung. Die beschriebenen DC/DC-Wandler sind für die Luftfahrt geeignet, gekapselt, PCB-montierbar und für Umgebungstemperaturen von bis zu 105 °C – ggfs. mit zusätzlichen Kühlmaßnahmen – geeignet.

Fazit

Da die Standards und Konfigurationen für den eVTOL-Markt noch unsicher sind, trägt die Verwendung von Standard-DC/DC-Wandlern, die den Avionikstandards entsprechen und für Redundanz mit entsprechender Überwachung konfiguriert sind, zu einer schnellen Markteinführung bei minimiertem Entwicklungsrisiko bei. Teile wie die von Gaia mit einer bewährten Erfolgsbilanz wären auch ein sicherer Weg, um das geforderte Qualitäts- und Zuverlässigkeitsniveau zu erreichen. (bs)