オートランド

航空業界では、自動着陸とは、航空機の飛行中の着陸手順を完全に自動化し、飛行乗務員がその手順を監視するシステムを指します。このようなシステムにより、航空機は、危険または運航が不可能な気象条件でも着陸できるようになります。

いくつかの一般航空機には、乗客または自動乗務員監視システムによって起動できる「緊急自動着陸」システムが搭載され始めています。緊急自動着陸システムは、飛行乗務員が行動不能になった場合に、それ以上の人間の介入なしに、最も近い適切な空港に緊急着陸を完了するように設計されています。

自動着陸システムは、いかなる形の有視界着陸も許可しないほど視界が悪い場合でも着陸を可能にするために設計されたが、どのレベルの視程でも使用できる。通常、視程が滑走路視距離600 メートル未満の場合や悪天候の場合に使用されるが、ほとんどの航空機には制限が適用され、たとえばボーイング 747-400の場合、制限は最大向かい風25ノット、最大追い風10 ノット、最大横風成分 25 ノット、片方のエンジンが故障した場合の最大横風 5 ノットである。また、地上に着陸すると、自動ブレーキシステムと連動して完全に停止するまで自動的にブレーキをかけたり、スポイラーや逆推力装置を自動的に展開したりする機能が含まれることもある。

自動着陸は、適切に承認された計器着陸装置(ILS) またはマイクロ波着陸装置(MLS)による進入に使用できます。また、低視程時や悪天候時の航空機の着陸を支援するという主な目的のほか、航空機と乗組員の足並みを維持するために使用されることもあります。

自動着陸では、レーダー高度計を使用して航空機の地上高度を非常に正確に測定し、正しい高度 (通常約 50 フィート (15 メートル)) で着陸フレアを開始する必要があります。ILS のローカライザー信号は、パイロットが自動操縦を解除するまで、着陸後も横方向の制御に使用できます。安全上の理由から、自動着陸が作動し、ILS 信号が自動着陸システムによって取得されると、それ以上の介入なしに着陸に進みます。

自動操縦装置を完全に切断するか (これにより、重要な瞬間に自動着陸システムが誤って解除されるのを防止できます)、自動ゴーアラウンドを開始することによってのみ解除できます。自動着陸を実行するには、少なくとも 2 つ、多くの場合は 3 つの独立した自動操縦装置が連携して動作し、障害に対する冗長保護を提供します。ほとんどの自動着陸システムは、緊急時には 1 つの自動操縦装置で動作できますが、複数の自動操縦装置が使用できる場合にのみ認定されます。

自動着陸システムの外部刺激に対する応答速度は、視界が悪く、風が比較的穏やかまたは一定している状況では非常に良好に機能しますが、意図的に制限された応答速度は、変化する風のせん断や突風の状況に対する応答が一般的にスムーズではないことを意味します。つまり、すべての側面で十分に迅速に補正することができず、安全に使用できません。

1968年12月28日、^[1] CAT III規格の認証を受けた最初の航空機はシュド・アビエーション・カラベルで、続いてホーカー・シドレー HS.121 トライデントが1972年5月にCAT IIIA、1975年にはCAT IIIBとなった。トライデントは1968年2月7日にCAT IIの認証を受けていた。自動着陸、自動地上走行、広範な航路設備の提供に加えて、トライデントのAFCS (自動飛行制御システム) は、Cat IIの操作に不可欠な自動オーバーシュート (ゴーラウンド)、100メートル滑走路視程 (RVR) での離陸のためのPVD (視程表示) 地上走行ガイダンス、およびCat. IIIB着陸中の「フェイルソフト」自動方向舵制御システムのバックアップ、および滑走路のターンオフポイントとタキシングを推定するための補助として対地速度と移動距離を測定する地上走行モニター (GRM) も提供した。^[2]

自動着陸機能は、視界不良の状態で頻繁に運航しなければならない地域や航空機で最も急速に導入されています。定期的に霧に悩まされる空港はカテゴリーIIIアプローチの主要候補であり、ジェット旅客機に自動着陸機能を搭載することで、悪天候による迂回を余儀なくされる可能性を減らすことができます。^[3]

自動着陸は非常に正確です。1959年の論文^[4]で、当時英国王立航空機研究所（RAE）の盲目着陸実験ユニット（BLEU）の責任者であったジョン・チャーンリーは、統計結果の議論の結論として、「したがって、自動システムは、天候により人間のパイロットが着陸できない場合に航空機を着陸させるだけでなく、操作をはるかに正確に実行すると主張するのは妥当である」と述べています。

以前は、自動着陸システムは非常に高価であったため、小型航空機ではほとんど使用されませんでした。しかし、表示技術が発達するにつれて、ヘッドアップディスプレイ（HUD）を追加することで、訓練を受けたパイロットが飛行誘導システムからのガイダンスキューを使用して航空機を手動で操縦できるようになりました。これにより、非常に低い視界での運航コストが大幅に削減され、自動着陸を装備していない航空機でも、前方視程または滑走路視程（RVR）が低いレベルで安全に手動着陸を行うことができます。1989年、アラスカ航空は、ヘッドアップガイダンスシステムによって可能になったFAAカテゴリーIIIの天候（濃霧）で旅客機（ボーイングB727）を手動で着陸させた世界初の航空会社でした。^{[5] [6]}

商業航空のオートランドは、北西ヨーロッパの冬季に視界不良が頻繁に発生することから、当初は英国で開発されました。視界不良は特に、気温が低い 11 月、12 月、1 月に中央ヨーロッパ上空に高気圧が存在するときに発生し、比較的安定した空気中に放射霧が発生しやすくなります。この種の霧の深刻さは、1940 年代後半から 1950 年代にかけて、石炭燃焼暖房や発電 によって空気中に炭素やその他の煙粒子が蔓延したことにより、さらに悪化しました。

特に影響を受けた都市には、ロンドン・ヒースロー、ガトウィック、マンチェスター、バーミンガム、グラスゴーなどの英国の主要な中心地とその空港、およびアムステルダム、ブリュッセル、パリ、チューリッヒ、ミラノなどのヨーロッパの都市が含まれていました。これらの時期の視界は数フィートまで低下することがあり（映画で有名なロンドン霧の由来です）、煤煙と相まって致命的な長時間持続スモッグが発生しました。これらの状況により、煙を発生させる燃料の燃焼を禁止する英国の「大気浄化法」が可決されました。

戦後間もない時期に、英国欧州航空(BEA) は視界不良での進入および着陸中に多数の事故に見舞われ、そのような状況でパイロットが安全に着陸する方法という問題に焦点を合わせるようになりました。大きな進歩は、視界不良の場合、利用できる視覚情報 (ライトなど) が非常に限られているため、特に視覚情報を評価する要件と、同時に計器飛行を行う要件が組み合わさると、非常に誤解しやすいという認識によってもたらされました。これが、現在では「監視進入」手順として広く知られている手順の開発につながりました。

1 人のパイロットが正確な計器飛行を行う任務を負い、もう 1 人が決定高度で視覚的な手がかりを評価し、航空機が実際に正しい場所にあり、着陸に安全な軌道上にあることを確認した時点で着陸を実行するための制御を引き継ぎます。その結果、低視程での運航の安全性が大幅に向上しました。この概念には、現在クルー リソース管理として知られているものの広範な要素が組み込まれていることは明らかであるため(ただし、この用語が使われるようになるのは約 30 年前です)、低視程だけでなく、はるかに広範囲の運用を網羅するように拡張されました。

しかし、この「ヒューマン ファクター」アプローチに関連して、改良された自動操縦装置が低視程着陸で重要な役割を果たす可能性があるという認識がありました。すべての着陸の構成要素は同じで、経路上の高度の地点から車輪が目的の滑走路上にある地点までのナビゲーションが含まれます。このナビゲーションは、外部の物理的視覚的手がかり、または飛行計器などの合成手がかりからの情報を使用して実行されます。常に、航空機の位置と軌道 (垂直および水平) が正しいことを確認するために十分な総合的な情報が必要です。

視界不良時の運航の問題は、視覚的な手がかりが事実上ゼロになる可能性があり、そのため「合成」情報への依存度が増すということである。BEA が直面したジレンマは、手がかりなしで運航する方法を見つけることだった。なぜなら、この状況は他のどの航空会社よりも BEA のネットワークではるかに頻繁に発生したからである。この状況は特に、事実上数日間閉鎖される可能性のある本拠地ロンドン ヒースロー空港で頻繁に発生した。

1945 年から 1946 年にかけて、イギリス政府の航空研究施設には、関連するすべての要因を研究するために、マートルシャム ヒース空軍基地とウッドブリッジ空軍基地にブラインド ランディング実験ユニット(BLEU)が設立されました。BEA の飛行技術者は、1950 年代後半から、トライデント フリートの自動着陸の開発における BLEU の活動に深く関わっていました。作業には、霧の構造、人間の知覚、計器の設計、照明の合図など、さまざまな分析が含まれていました。その後の事故の後、この作業は、今日知られている形の航空機の運用最低条件の開発にもつながりました。特に、航空機がアプローチを開始する前に、最低視程が利用可能であると報告する必要があるという要件につながりました。これは、以前には存在しなかった概念です。「目標安全レベル」(10^-7) の基本概念と、故障イベントの確率を判断するための「フォールト ツリー」分析は、この時期に生まれました。

自動着陸の基本的な概念は、自動操縦装置が計器着陸装置(ILS) ビームなどの人工信号を人間のパイロットよりも正確に追跡するように設定できるという事実から生まれました。これは、当時の電気機械式飛行計器が不十分だったことも一因です。ILS ビームをより低い高度まで追跡できれば、ILS の使用可能限界に達したときに航空機が滑走路に近づくことは明らかであり、滑走路に近づくほど、航空機の位置と軌道を確認するのに十分な手がかりを見るために必要な視界は少なくなります。ILS などの角度信号システムでは、高度が下がるにつれて、必要な安全性を維持するために、航空機システムと入力信号の両方ですべての許容範囲を減らす必要があります。

これは、他の特定の要因、たとえばパイロットの航空機の反応能力を左右する物理的および生理学的法則が一定であるためです。たとえば、標準的な 3 度のアプローチで滑走路から 300 フィート上空では、航空機は着陸地点から 6000 フィート離れており、100 フィートでは 2000 フィート離れています。180 ノットで小さなコース修正を行うのに 10 秒かかる場合、  3000フィートかかります。300 フィートの高さで開始すれば可能ですが、100 フィートでは不可能です。したがって、低い高度では小さなコース修正しか許容されず、システムはより正確である必要があります。

これにより、地上ベースの誘導要素と空中要素が特定の基準に準拠する必要性が課せられます。したがって、航空機に自動着陸システムが装備されていても、適切な地上環境がなければまったく使用できなくなります。同様に、意図された状況でシステムを使用できるようにするには、空中および地上機器の両方で潜在的な故障を認識し、適切に対応できるように、操作のあらゆる側面について訓練された乗務員が必要です。したがって、低視程操作カテゴリ (Cat I、Cat II、Cat III) は、着陸の 3 つの要素 (航空機機器、地上環境、乗務員) すべてに適用されます。これらすべての結果、航空機の自動着陸自動操縦装置が 1 つのコンポーネントにすぎない、低視程機器のスペクトルが作成されます。

これらのシステムの開発は、ILS が誘導の源ではあるものの、ILS 自体にはかなり異なる特性を持つ横方向および垂直方向の要素が含まれていることを認識して進められました。特に、垂直方向の要素 (グライド スロープ) は、進入の予定タッチダウン ポイント、つまり通常は滑走路の始点から 1000 フィートの地点から発生し、横方向の要素 (ローカライザー) は遠端の先から発生します。したがって、送信されたグライド スロープは、航空機が滑走路の進入端に到達した直後には無関係になり、実際、航空機は当然ながら、グライド スロープ送信機を通過するかなり前に着陸モードに入り、垂直速度を低下させる必要があります。基本的な ILS の不正確さは、200 フィート (Cat I) までしか使用に適しておらず、同様に、この高度以下での使用に適した、または承認されている自動操縦装置がなかったことに見られます。

ただし、ILS ローカライザーからの横方向の誘導は着陸滑走の最後まで使用できるため、着陸後に自動操縦装置のラダーチャネルに供給するために使用されます。航空機が送信機に近づくと、速度が明らかに低下し、ラダーの有効性が低下し、送信信号の感度の増加をある程度補います。ただし、より重要なのは、ロールアウト中の航空機の安全性が依然として ILS に依存しているということです。さらに、滑走路から離れて平行誘導路を走行するとき、それ自体が反射器として機能し、ローカライザー信号を妨害する可能性があります。つまり、ローカライザーをまだ使用している後続の航空機の安全性に影響を与える可能性があります。その結果、最初の航空機が滑走路と「カテゴリー 3 保護エリア」から十分に離れるまで、そのような航空機はその信号に頼ることはできません。

その結果、これらの低視程での運用が行われると、パイロットが状況を確認できる良好な視程での運用よりも、地上での運用が空中での運用に大きく影響します。非常に混雑した空港では、移動が制限され、空港の容量に深刻な影響を与える可能性があります。つまり、自動着陸などの非常に低視程での運用は、航空機、乗務員、地上設備、航空管制および地上管制がすべて通常よりも厳しい要件に準拠している場合にのみ実行できます。

最初の「商業開発」自動着陸 (純粋な実験とは対照的) は、垂直経路と横方向経路に異なる規則があることを認識することで実現しました。着陸中はローカライザー信号が常に表示されますが、着陸前にはいずれにしてもグライド スロープを無視する必要がありました。航空機が正しい安定した進入経路 (安全な着陸の前提条件) で決定高度 (200 フィート) に到達した場合、その経路に沿って運動量があることが認識されました。その結果、自動着陸システムは、グライド スロープ情報が信頼できなくなったとき (つまり 200 フィート) にその情報を破棄し、飛行の最後の数秒間から得られたピッチ情報を使用することで、降下率 (したがって正しいプロファイルへの準拠) が一定に保たれるという必要な信頼性を確保できます。この「弾道」フェーズは、ピッチを上げてパワーを下げて着陸フレアに入る必要が生じた高度で終了します。ピッチの変化は滑走路の閾値とグライドスロープアンテナの間の 1000 水平フィートで発生するため、無線高度計によって正確にトリガーできます。

自動着陸は、最初はイングリッシュ・エレクトリック・キャンベラ、ヴィッカース・ヴァーシティ、アブロ・バルカンなどのBLEUおよびRAF航空機で開発され、その後、1960年代初頭に就航したBEAのトライデント機群でも開発されました。トライデントはデ・ハビランド社が製造した3発エンジンのジェット機で、ボーイング727に似た構成で、当時としては非常に高性能でした。BEAは、霧が発生しやすいネットワークの問題に対処するために、この機体に「ゼロ視界」機能を指定していました。この機体には、自動着陸中の障害に耐えるために必要な冗長性を提供するように設計された自動操縦装置があり、この設計によって三重の冗長性が実現されました。

この自動操縦装置は、それぞれが物理的な出力を出す 3 つの同時処理チャネルを使用していました。フェールセーフ要素は、トルク スイッチを使用した「投票」手順によって提供されました。これにより、1 つのチャネルが他の 2 つのチャネルと異なる場合、2 つの同様の同時障害の可能性が無視され、一致した 2 つのチャネルが「投票」して 3 番目のチャネルを切断することが認められました。ただし、この 3 重投票システムは、十分な冗長性と信頼性を実現する唯一の方法ではありません。実際、BEA と de Havilland がその方法を採用することを決定した直後に、BOAC と Vickers が VC10 4エンジン長距離航空機用に選択した「デュアル デュアル」コンセプトを使用して、並行して試験が行われました。このコンセプトは、後にコンコルドで使用されました。BEA が使用した一部のBAC 1-11航空機にも、同様のシステムが搭載されていました。

商業サービスにおける最も初期の実験的な自動操縦制御着陸は、実際には完全な自動着陸ではなく、「オートフレア」と呼ばれていました。このモードでは、パイロットはロール軸とヨー軸を手動で制御し、自動操縦は「フレア」またはピッチを制御しました。これらは、開発プログラムの一環として旅客サービスでよく行われました。トライデントの自動操縦には、ピッチとロールのコンポーネント用の個別のエンゲージ スイッチがあり、通常の自動操縦の解除は従来の操縦桿の親指ボタンによって行われましたが、ピッチ チャネルをエンゲージしたままロール チャネルを解除することもできました。

これらの操作では、パイロットは通常は決定高度よりはるかに高い高度で完全な視覚情報を得ていましたが、親指ボタンでオートパイロットを完全に解除する代わりに、副操縦士にロール チャネルのみをオフにするよう指示しました。副操縦士は、オートパイロットによる垂直飛行経路の継続的な制御を監視しながら、横方向の飛行経路を手動で制御し、逸脱の兆候が見られたらすぐに完全に解除できるように準備しました。これは実際にはリスク要素を追加する可能性があるように思われますが、もちろん、オンライン トレーニングまたは資格取得中に訓練中のパイロットが訓練生の操縦を監視するのと原理的には何ら変わりありません。

オートパイロットが航空機を安全にフレアさせる能力の信頼性と精度を証明した後、次の要素は同様の推力制御を追加することでした。これは、オートスロットル サーボを飛行アイドル設定に駆動する無線高度計信号によって行われました。地上ベースのILSローカライザーの精度と信頼性が段階的に向上するにつれて、ロールチャネルをエンゲージしたままにすることがますます長く許可され、実際に航空機が空中にあるのを止め、完全に自動着陸が実際に完了しました。BEAトライデントによる最初のそのような着陸は、 1964年3月にRAEベッドフォード（当時BLEUの本拠地）で達成されました。乗客を乗せた商業飛行での最初の着陸は、1965年6月10日のフライトBE343で達成され、トライデント1 G-ARPRでパリからヒースローまで、エリック・プールとフランク・オーモンロイドの機長が搭乗しました。

その後、自動着陸システムは多くの航空機タイプで利用可能になりましたが、主な顧客は主に放射霧の影響を強く受けたヨーロッパの航空会社でした。初期の自動着陸システムは比較的安定した気団を必要とし、乱気流や特に突風の横風の状況では作動しませんでした。北米では、一般的にこれらの状況では視界がゼロではないものの視界が減少することがよくありましたが、吹雪やその他の降水などで視界が本当にほぼゼロになった場合は、他の理由で操作が不可能になります。

その結果、航空会社も空港も、最低視界での運航をあまり優先しませんでした。カテゴリー 3 の運航に必要な地上設備 (ILS) と関連システムの提供はほとんど存在せず、大手メーカーはそれを新しい航空機の基本要件とは見なしていませんでした。一般的に、1970 年代から 1980 年代にかけては、顧客が希望すれば入手できましたが、価格が高すぎたため (生産数が減ったため)、コスト面で正当化できる航空会社はほとんどありませんでした。

この結果、トライデントの後継機となるボーイング 757のローンチ カスタマーであるブリティッシュ エアウェイズにとって、この最新の「先進的」航空機は、解体されてスクラップにされる航空機群に比べて全天候型運航能力が劣るという不条理な状況に陥った。この哲学的分裂の証拠として、ボーイングの上級副社長が、当時北米には完全に使用できる適切な滑走路が 2、3 本しかなかったのに、ブリティッシュ エアウェイズがカテゴリー 3 認証にそれほど関心を持つ理由が理解できないと述べたことが挙げられた。ブリティッシュ エアウェイズは国内ネットワークだけでそのような滑走路を 12 本所有しており、そのうち 4 本はヒースローの主要拠点にあると指摘された。

1980 年代と 1990 年代には、飛行の規則性と安全性の両方の観点から、顧客航空会社から低視程運航の少なくとも何らかの改善を求める圧力が世界的に高まっていました。同時に、大気汚染防止法により、最も影響を受けた地域で放射霧に煙が加わる悪影響が軽減されたため、真のゼロ視程運航 ( ICAO のカテゴリ定義で当初想定されていた) の要件が緩和されたことが明らかになりました。航空電子機器の改良により、技術の導入コストが下がり、メーカーは「基本的な」自動操縦の精度と信頼性の基準を高めました。その結果、全体として、大型の新しい旅客機は、少なくともカテゴリ 2 の自動着陸システムのコストを基本構成に吸収できるようになりました。

同時に、世界中のパイロット組織は、主に安全の観点からヘッドアップ ディスプレイシステムの使用を推奨していました。ILS を備えた滑走路があまりない、高度でない環境の多くのオペレーターも、改善を求めていました。その結果、業界内では、パイロットが HUD を介して監視する比較的信頼性の低い自動着陸システムを使用する「ハイブリッド」システムなど、低視程運航を実現する代替方法を見つけるよう圧力がかかりました。アラスカ航空はこのアプローチのリーダーであり、この点でフライト ダイナミクスおよびボーイングと多くの開発作業を行いました。

このアプローチの大きな問題は、欧州当局が、十分に実証された「純粋な」自動着陸システムの概念を損なうため、このようなスキームの認証に非常に消極的だったことです。この行き詰まりは、完全なカテゴリー3自動着陸システムを搭載できないものの、そのような条件で運用する必要があるボンバルディアのリージョナルジェットの潜在的顧客としてブリティッシュ・エアウェイズが関与したときに打開されました。アラスカ航空およびボーイングと協力することで、ブリティッシュ・エアウェイズの技術パイロットは、ハイブリッドコンセプトが実現可能であることを実証することができました。ブリティッシュ・エアウェイズが最終的にリージョナルジェットを購入することはなかったものの、これはこのようなシステムの国際承認に必要な突破口となり、世界市場に到達できることを意味しました。

2006 年 12 月、ロンドン ヒースロー空港が長期間にわたって濃霧に見舞われたとき、事態は一変しました。同空港は良好な状態では最大容量で運航していましたが、自動着陸システムのローカライザー信号を保護するために低視程手順が導入されたため、着陸容量は 1 時間あたり約 60 回から 30 回に大幅に減少しました。ヒースロー空港に就航するほとんどの航空会社は既に自動着陸装置を装備した航空機を所有しており、通常通り運航すると予想されていたため、大幅な遅延が発生しました。最も大きな影響を受けた航空会社は、もちろん同空港最大の運航会社であるブリティッシュ エアウェイズでした。

ガーミン・アビエーションは2001年に緊急自動着陸機能の研究を開始し、2010年に100人以上の従業員を擁し、約2000万ドルを投資してプログラムを立ち上げた。飛行試験は2014年に始まり、セスナ400コーバリスで329回の試験着陸、他の航空機でさらに300回の着陸が完了した。この機能はガーミンG3000アビオニクスの保護された赤いボタンで起動し、風、天候、燃料残量を評価して適切な迂回空港を選択し、着陸のために航空機の制御を引き継ぎ、管制官に通知し、乗員に指示を表示する。^[7]

パイパーM600単発ターボプロップ機は2018年初頭に飛行試験を開始し、170回以上の着陸を完了してFAA認証を申請し、2020年に認証を取得した。4,500フィート（1,400メートル）以上の滑走路9,000本以上へのアクセスを提供するこの機体は、追加装備込みで17万ドルで2020年から提供される。同年、単発のシーラス・ビジョンSF50ジェット機にも認証され、5,836フィート（1,779メートル）以上の滑走路に着陸した。また、 SOCATA-Daher TBM 900にも認証されており、最終的には他の航空機にも認証される予定である。^[7]

2021年6月、ガーミン・オートランドシステムは、前年の「アメリカにおける航空学または宇宙学における最大の功績」に対して2020年コリアー・トロフィーを受賞した。 ^[8]

一般的な自動着陸システムは、ローカライザー信号とグライドスロープ信号を受信する ILS (統合グライドスロープ受信機、ローカライザー受信機、およびおそらく GPS 受信機も) 無線で構成されます。この無線の出力は中心からの偏差であり、飛行制御コンピュータに提供されます。このコンピュータは、航空機の操縦面を制御して、航空機をローカライザーとグライドスロープの中心に保ちます。飛行制御コンピュータは、航空機のスロットルも制御して、適切な進入速度を維持します。地上から適切な高さ (無線高度計で示される) に達すると、飛行制御コンピュータはスロットルを遅くし、ピッチアップ操作を開始します。この「フレア」の目的は、航空機のエネルギーを減らして揚力を減らし、滑走路に着陸できるようにすることです。

CAT IIIc の場合、飛行制御コンピュータは引き続きローカライザーからの偏差を受け入れ、ラダーを使用して航空機をローカライザー (滑走路の中心線と一直線) 上に維持します。着陸時にスポイラー (翼の上部の後縁に向かう表面) が展開し、翼上の気流が乱流になり、揚力が失われます。同時に、自動ブレーキ システムがブレーキをかけます。アンチスキッド システムはブレーキ圧を調整して、すべての車輪が回転し続けます。速度が低下すると、ラダーの効力が失われ、パイロットは前輪操舵を使用して航空機の方向を制御する必要があります。このシステムは、通常、飛行制御コンピュータに接続されていません。

航空電子機器の安全性の観点から、CAT IIIc 着陸は安全性分析における最悪のシナリオです。なぜなら、フレアからロールアウトまでの自動システムの故障は、簡単に「ハードオーバー」（操縦面が一方向に完全に偏向する）につながる可能性があるからです。これは非常に速く起こるため、飛行乗務員は効果的に対応できない可能性があります。このため、自動着陸システムは高度な冗長性を組み込むように設計されており、システムのいずれかの部分の単一の故障は許容され（フェイル アクティブ）、2 番目の故障が検出されると、自動着陸システムは自動的にオフになります（アンカップリング、フェイル パッシブ）。

これを実現する方法の 1 つは、「すべてを 3 つ」用意することです。つまり、ILS 受信機 3 台、無線高度計 3 台、飛行制御コンピュータ 3 台、飛行面を制御する 3 つの方法です。3 台の飛行制御コンピュータはすべて並行して動作し、常に相互通信を行って、その入力 (ILS 受信機と無線高度計) を他の 2 台の飛行制御コンピュータの入力と比較します。入力に違いがある場合、コンピュータは異常な入力を「排除」し、他のコンピュータに (たとえば)「RA1 に障害があります」と通知します。出力が一致しない場合、コンピュータは自身に障害があると宣言し、可能であればオフラインにすることができます。

パイロットがシステムをアームすると (ローカライザーまたはグライドスロープのいずれかをキャプチャする前に)、フライト コントロール コンピュータは一連の広範な組み込みテストを実行します。CAT III 着陸の場合、パイロットが「AUTOLAND ARM」表示 (機器の供給元と航空機の製造元によって異なる一般的な表示) を受け取る前に、すべてのセンサーとすべてのフライト コンピュータが正常である必要があります。システムの一部にエラーがある場合は、「APPROACH ONLY」などの表示が表示され、CAT III 着陸が不可能であることがフライト クルーに通知されます。

システムが適切に ARM モードになっている場合、ILS 受信機がローカライザーを検出すると、自動着陸システム モードは「ローカライザー キャプチャ」に変わります。フライト コントロール コンピュータは、航空機をローカライザーに切り替え、ローカライザーに沿って飛行します。一般的なアプローチでは、航空機は「グライド スロープの下」(垂直誘導) に進入し、グライド スロープが検出されるまで、航空機はローカライザーに沿って飛行します (滑走路の中心線に合わせます)。この時点で、自動着陸モードは CAT III に変わり、航空機はフライト コントロール コンピュータによってローカライザーとグライド スロープのビームに沿って飛行します。

これらのシステムのアンテナは滑走路の着陸地点には設置されておらず、ローカライザーは滑走路から少し離れたところにあります。航空機は地上から事前に設定された距離に達するとフレア操作を開始し、同じ方向を維持し、指定された着陸ゾーン内の滑走路に着陸します。

自動着陸システムが決定高度の前に冗長性を失った場合、「AUTOLAND FAULT」エラー メッセージが飛行乗務員に表示され、その時点で乗務員は CAT II アプローチとして続行することを選択できます。または、気象条件のためにこれが不可能な場合は、乗務員はゴーアラウンドを開始して別の空港に進む必要があります。

決定高度以下で単一の障害が発生した場合、「AUTOLAND FAULT」が表示されます。その時点で航空機は着陸を決定し、自動着陸システムは作動したままとなり、パイロットがロールアウトを完了して航空機を滑走路上で完全に停止させるか、滑走路から誘導路に曲がるまで、2 つのシステムのみで航空機を制御します。これは「フェイルアクティブ」と呼ばれます。この状態では、自動着陸システムは「あと 1 つの障害」で解除されるため、「AUTOLAND FAULT」表示は、フライト クルーにシステムの動作を非常に注意深く監視し、すぐに制御できるように準備するよう通知するものです。

システムは依然としてフェイルアクティブであり、必要なクロスチェックをすべて実行しているため、飛行制御コンピューターの 1 つが操縦面を完全に偏向させるのが正しいと判断すると、もう 1 つのコンピューターはコマンドに違いがあることを検出し、両方のコンピューターがオフラインになります (フェイルパッシブ)。自動システムがオフラインになることで安全が確保されるため、飛行乗務員は直ちに航空機の制御を引き継ぐ必要があります。

システム設計の際には、自動着陸システム全体を構成する個々の機器（センサー、コンピューター、制御装置など）の予測信頼性数値が組み合わされ、全体的な故障確率が計算されます。脅威は主にフレアからロールアウトまでの間に存在するため、この露出時間が使用され、全体的な故障確率は100万分の1未満でなければなりません。^[9]

• 航空電子工学における頭字語と略語
• LAAS
• 計器着陸装置
• ヘッドアップディスプレイ
• 霧

• [1] BOAC VC10 自動着陸 1968
• [2] キャンベラの自動着陸機、RAEベッドフォード、1958年
• トライデント自動着陸 1969年のフライト誌に掲載されたホーカー・シドレー・トライデントの自動着陸システムに関する記事
• 自動着陸 1969年のフライト誌の記事で、自動着陸の要件に関する異なる考え方について論じられている。
• 「全天候着陸」1953年のフライト誌に掲載されたBLEUに関する記事
• 「スミス オートランド システム」 1 1965 年のシステムの航空広告
• オートランドのEUROCONTROL Skybrary