Failsafe дрона
Синонимы: фейлсейф, failsafe, аварийный режим дрона, реакция на потерю связи
Failsafe дрона — заданная заранее реакция аппарата на отказ: при потере связи с пультом, разряде батареи или потере навигации дрон сам зависает, садится, возвращается домой или выключает моторы.
Failsafe дрона — заложенная в прошивку реакция на отказ: что аппарат делает сам, когда пропала связь с пультом, село напряжение или отвалилась навигация. Это не одна функция, а набор правил «если — то»: возврат домой, посадка на месте, зависание или немедленное выключение моторов. Реакцию выбирает оператор до вылета, а не дрон в воздухе.
Как failsafe дрона понимает, что связь потеряна
Приёмник на борту ждёт пакеты от аппаратуры управления десятки раз в секунду. Когда пакеты перестают приходить, сообщить об этом дальше он может по-разному, и от выбранного способа зависит, сработает failsafe вообще или нет.
- Молчание (No Pulses) — приёмник перестаёт выдавать сигнал на борт вовсе. Это правильный вариант: полётный контроллер видит обрыв и принимает решение сам. В ExpressLRS это поведение по умолчанию, а сам обрыв фиксируется при падении Link Quality до нуля либо через секунду без корректного пакета — смотря что наступит раньше.
- Удержание (Hold, Last Position) — приёмник продолжает выдавать последние принятые положения стиков, помечая их флагом отказа. Если контроллер этот флаг не читает, для него связь «жива»: дрон уходит по последней команде и не останавливается, пока не кончится заряд. Документация Betaflight прямо не рекомендует полагаться на failsafe приёмника и советует настраивать его на молчание.
- Низкий газ — устаревший приём: приёмник загоняет канал газа ниже рабочего диапазона, и автопилот трактует это как отказ. В ArduPilot он описан как вариант для старых комплектов Futaba.
Дальше время считает полётный контроллер. У Betaflight схема двухступенчатая: первая ступень — «охранный» интервал failsafe_delay длиной 1,5 секунды в версии 4.5 (в 4.4 была 1,0 с, минимум — 200 мс), на нём органы управления переводятся в безопасные значения. Придёт за это время хоть один корректный пакет — полёт продолжается как ни в чём не бывало. Не придёт — начинается вторая ступень, то самое действие, которое вы выбрали заранее. У ArduPilot порог проще: параметр RC_FS_TIMEOUT по умолчанию равен одной секунде.
Отсюда практический вывод: секундные провалы связи на краю дальности failsafe не запускают, это нормальная работа канала. Тревожно, когда провал затягивается.
Четыре типовые реакции и чем каждая рискует
Называются наборы по-разному — Signal Lost Action у DJI, Stage 2 Procedure у Betaflight, FS_THR_ENABLE у ArduPilot, — но сводятся к четырём вариантам поведения.
| Реакция | Что делает аппарат | Когда уместна | Чем рискует |
|---|---|---|---|
| Зависание (Hover) | Удерживает точку по спутникам и барометру, ждёт восстановления связи | Короткие разрывы канала, полёт в прямой видимости | Без спутников дрейфует по ветру и садится там, где кончился заряд |
| Посадка на месте (Land, Descend) | Снижается вертикально и выключает моторы, коснувшись земли | Своё поле, под аппаратом нет воды, дороги и людей | Садится ровно туда, где оказался: в воду, в лес, на проезжую часть |
| Возврат домой (RTH) | Набирает заданную высоту, идёт к сохранённой точке старта, садится | Съёмка по площадям, работа за пределами прямой видимости | Зависит от спутников и от корректной высоты возврата; на маршруте бывают провода |
| Выключение моторов (Drop, Disarm) | Мгновенно снимает тягу, аппарат падает | Гоночный и тренировочный FPV на своей площадке | Гарантированное падение с высоты; недопустимо над людьми и с грузом |
Обратите внимание: возврат домой — одна из реакций, а не сам failsafe. Failsafe выбирает реакцию и запускает её; RTH — лишь один из исходов, причём самый требовательный к условиям.
Потеря связи — только один из поводов
Обрыв радиоканала — самый известный триггер, но не единственный. Автопилот держит несколько независимых сторожей, и у каждого своё действие.
- Разряд аккумулятора. Две ступени: предупреждение и критический порог с принудительным снижением. В ArduPilot реакция срабатывает, если напряжение держится ниже заданного порога десять секунд либо расчётный остаток ёмкости упал ниже установленного значения.
- Потеря навигации. Спутники пропали или оценка положения разошлась — борт больше не знает, где он. Возврат домой физически недоступен, и прошивка откатывается к посадке на месте или к удержанию по барометру.
- Выход за геозону. Пересечение заданной границы по радиусу или высоте трактуется как отказ и разворачивает аппарат обратно либо останавливает его на границе.
- Потеря телеметрии с наземной станцией. Отдельный сторож на пропажу служебных пакетов: важен там, где полёт ведётся по заданию с ноутбука, а не стиками.
- Отказ мотора или регулятора. На аппаратах с числом лучей больше четырёх прошивка дотягивает до земли на оставшихся моторах; квадрокоптер при потере одного мотора управляемость теряет.
Чего в списке обычно нет — потери видеоканала. Пропавшая картинка ослепляет оператора, но борт при живом канале управления продолжает выполнять команды и failsafe не запускает. Для FPV это отдельная аварийная ситуация.
Гражданский коптер и FPV: одна идея, разные заводские установки
Готовые коптеры
У серийных аппаратов реакция выбирается в настройках безопасности приложения: возврат домой, снижение или зависание, по умолчанию — возврат. Время до срабатывания производитель задаёт сам и оно различается от модели к модели: по справке DJI это «более шести секунд» для нынешних массовых аппаратов, около 3,5 секунды у аппаратов серии Avata, три секунды у Mini 3 Pro и одиннадцать секунд у поколения Air 2S, Mavic Air 2, Mini 2. Точную цифру для своего борта ищите в руководстве, а не в чужих обзорах.
Логика возврата тоже не одинаковая. По документации производителя аппарат, потерявший связь дальше 50 метров от точки старта, сначала отходит назад по пройденному пути и лишь потом набирает высоту возврата; на дистанции 5–50 метров идёт по прямой на текущей высоте; ближе 5 метров садится сразу. Висеть в десяти метрах от себя и в километре — разные сценарии.
FPV и открытые прошивки
В Betaflight заводское действие второй ступени — Drop: снять тягу и обезоружить аппарат. Для гоночного или тренировочного дрона без спутникового модуля это осознанный выбор: возвращаться ему всё равно некуда, а летящий по инерции аппарат с работающими моторами опаснее падающего. Если модуль навигации есть, вместо падения включают GPS Rescue — автономный возврат к точке старта. Повторное включение моторов прошивка блокирует, пока связь не восстановится устойчиво: после Drop требуется около трёх секунд стабильного канала, после режима посадки — порядка тридцати.
В ArduPilot выбор шире и задаётся числом в параметре FS_THR_ENABLE: отключено, всегда возврат домой (с откатом на посадку, если нет спутников), всегда посадка, возврат по пройденному треку, переход к ближайшей точке посадки в задании. Поведение в полёте по заданию настраивается отдельно: миссию можно и продолжить.
Почему failsafe иногда не спасает
Разборы улётов упираются в один и тот же короткий список причин. Ни одна не про «плохой дрон» — все про настройку и подготовку.
- Приёмник настроен на удержание последних значений, а контроллер флаг отказа не обрабатывает: борт продолжает лететь по последней команде, failsafe не запускается вообще.
- Точка старта записана криво. Координаты «дома» фиксируются при взлёте по GPS и ГЛОНАСС; если спутников поймано мало, возврат уведёт дрон в сторону от реальной площадки.
- Высота возврата задана ниже препятствий. Аппарат честно идёт по прямой и встречает провода, деревья или кран — маршрут домой прошивка не планирует, она летит напрямую.
- Средства РЭБ подавили канал управления и одновременно навигацию. Связь теряется, failsafe запускается, но возвращаться не по чему; при подмене сигнала аппарат уверенно летит к ложной точке.
- Заряда уже не осталось. Возврат с дальней точки требует энергии, а решение о нём принимается тогда, когда батарея на исходе, — отсюда посадки в ста метрах от площадки.
- Настройку не проверяли после обновления прошивки или повторной привязки приёмника. Параметры сбрасываются к заводским тихо, и узнаёте вы об этом уже в полёте.
Что оператор делает с failsafe до вылета и в воздухе
Настройка занимает несколько минут на земле и снимает большую часть аварийных сценариев. Порядок с практических занятий.
- Выбрать реакцию под задачу и местность: возврат — для съёмки вдали от себя, зависание — для коротких разрывов в прямой видимости, посадка — над своим полем, падение — только на площадке без посторонних.
- Задать высоту возврата выше самого высокого препятствия на маршруте с запасом в несколько метров, а не «по умолчанию».
- Убедиться перед взлётом, что точка старта записана и спутников поймано достаточно, — каждый вылет, а не однажды при покупке.
- Проверить срабатывание на земле: снять пропеллеры, включить борт, выключить передатчик и посмотреть, что сделал контроллер. Это единственный безопасный способ убедиться, что настройка живая.
- Повторить проверку после каждого обновления прошивки, смены приёмника или повторной привязки.
- Держать запас заряда на возврат, а не на «ещё один кадр»: failsafe не добавляет энергии, он распоряжается остатком.
В воздухе правило одно: пока идёт автоматическое действие, оператор не зритель. Руки на стиках, взгляд на телеметрии, готовность перехватить управление — возврат домой прерывается штатно, достаточно вернуть режим полёта на пульте. Курсанты отрабатывают это как аварийный сценарий: сначала на симуляторе, потом на площадке.
Частые вопросы
Чем failsafe отличается от режима RTH?
Это разные уровни. Failsafe — механизм принятия решения: он следит за каналом управления, зарядом, навигацией и геозоной и запускает заранее выбранное действие, когда что-то из этого отказало. RTH — одно из таких действий, автоматический возврат в точку взлёта. Возврат домой запускается и по команде оператора с пульта, когда никакого отказа нет, а failsafe может закончиться вообще без возврата: зависанием, посадкой на месте или снятием тяги. Путаница возникает потому, что у серийных коптеров заводская реакция на потерю связи — именно возврат, и два понятия в обиходе слипаются. На практике разница принципиальна: возврат требует спутников, корректно записанной точки старта и высоты возврата выше препятствий, а failsafe работает всегда и в условиях, когда возврат физически невозможен, обязан предложить что-то другое.
Через сколько секунд после потери связи дрон начинает действовать сам?
Единого числа нет, порог задаёт прошивка. В Betaflight первая ступень длится 1,5 секунды в версии 4.5 (в 4.4 было 1,0 с), и только по её истечении запускается выбранное действие. У ArduPilot параметр тайм-аута радиоканала по умолчанию равен одной секунде. У серийных коптеров задержка заметно больше и отличается от модели к модели: по справке DJI это более шести секунд у нынешних массовых аппаратов, около 3,5 секунды у серии Avata, три секунды у Mini 3 Pro и одиннадцать секунд у поколения Air 2S, Mavic Air 2 и Mini 2. Смысл задержки в том, чтобы короткий провал канала на краю дальности не превращался в аварийную процедуру. Свою цифру ищите в руководстве к конкретному борту: разброс между моделями одного производителя больше, чем разница между производителями.
Что выбрать реакцией на потерю связи — зависание, посадку или возврат домой?
Выбор делается под площадку, а не раз и навсегда. Возврат домой имеет смысл там, где аппарат уходит далеко и из прямой видимости: съёмка по площадям, облёт объекта, работа за лесополосой. Зависание удобно, когда связь рвётся коротко и предсказуемо — за строением, за кроной дерева: аппарат подождёт на месте, пока канал восстановится. Посадка на месте уместна над собственным полем, где под дроном нет воды, дороги и людей, и там, где возврат опаснее приземления. Ключевое ограничение: возврат и зависание требуют устойчивой спутниковой навигации. Если её нет или она под помехой, обе реакции вырождаются в дрейф по ветру. Поэтому перед вылетом решение принимают по двум вопросам: что под маршрутом и насколько уверенно ловятся спутники именно в этой точке.
Почему на FPV-дроне по умолчанию стоит падение, а не возврат домой?
Потому что возвращаться такому аппарату обычно некуда. Гоночный и тренировочный FPV-дрон часто собран без модуля спутниковой навигации: он не знает ни где он, ни где точка старта, и любая попытка «лететь домой» превратилась бы в неуправляемый уход по последнему курсу. Второй довод — безопасность на площадке: аппарат массой под килограмм, летящий по инерции с работающими моторами, наносит больше вреда, чем тот же аппарат, упавший вертикально там, где связь пропала. Поэтому заводское действие второй ступени в Betaflight — мгновенно снять тягу. Если модуль навигации на борту есть, вместо падения включают автономный возврат к точке старта, но это уже осознанная настройка, а не заводское состояние. Для аппарата с полезной нагрузкой или для полётов над посторонними людьми падение как реакция неприемлемо в любом случае.
Сработает ли failsafe, если дрон подавили средствами РЭБ?
Сработает, но результат зависит от того, что именно подавили. Если глушится только канал управления, борт честно фиксирует отказ и выполняет выбранное действие: уходит домой, зависает или садится. Если одновременно подавлен или подменён спутниковый сигнал, возврат домой рассыпается — прошивке не с чем сверяться. При глушении навигации аппарат переходит к посадке или к удержанию по барометру и оптическому потоку, а при подмене координат уверенно летит к ложной точке, считая её домом. Отсюда практическое следствие для работы в зоне помех: реакцией по умолчанию ставят не возврат, а посадку на месте, если под маршрутом нет воды и дорог, и заранее планируют, где именно борт окажется на грунте. Рассчитывать на автоматику там, где работает подавление, не стоит вовсе — это подстраховка, а не защита.
Как проверить failsafe перед вылетом и не разбить дрон?
Проверка делается на земле и занимает пару минут. Снимите пропеллеры — это обязательное условие, иначе аппарат при ошибке настройки уйдёт с рук. Подключите питание, дождитесь захвата спутников и записи точки старта, включите моторы на минимальных оборотах, а затем выключите передатчик. Дальше смотрите, что происходит: моторы должны остановиться, а прошивка — показать переход в аварийный режим в телеметрии или в конфигураторе. Отдельно убедитесь, что после включения передатчика обратно борт не даёт мгновенно взвести моторы: прошивки специально держат блокировку несколько секунд стабильной связи. Повторять проверку нужно не «однажды при покупке», а после каждого обновления прошивки, замены или повторной привязки приёмника: заводские значения возвращаются молча и без предупреждений.
Может ли failsafe сработать при исправной связи?
Да, и это одна из частых неожиданностей для новичка. Во-первых, сторожей несколько: критический разряд аккумулятора, расхождение оценки положения, пересечение границы геозоны, потеря служебных пакетов от наземной станции — каждый запускает собственное действие, хотя пульт при этом работает нормально. Во-вторых, бывают ложные срабатывания по радиоканалу: сильная помеха на частоте, антенна, повёрнутая торцом к борту, повреждённый разъём или севшая батарея передатчика дают провалы, неотличимые для контроллера от настоящего обрыва. В-третьих, часть систем трактует уход канала газа ниже рабочего диапазона как признак отказа, и неверно выставленные концевые точки на пульте запускают процедуру на ровном месте. Если аппарат ушёл в аварийный режим без видимой причины, начинают с журнала полёта: там видно, какой именно сторож сработал.