Zagadnienie ciągłości działania i odtwarzania po awarii (BC/DR, z ang.: Business Continuity/Disaster Recovery) ściśle wiąże się z bezpieczeństwem informacji, a w szczególności z jednym z jego aspektów, jakim jest dostępność. Szczególne znaczenie ma ono w przypadku kontroli ruchu lotniczego, ze względu na nacisk jaki został położony na zapewnienie bezpieczeństwa pasażerom, samolotom oraz portom lotniczym. Niniejszy artykuł powstał na kanwie referatu wygłoszonego przez autora na XI Krajowej Konferencji Kryptografii i Ochrony Informacji ENIGMA 2007 i stanowi pierwszą z dwóch części cyklu na temat BC/DR, zawierając omówienie zagadnień związanych z kontrolą ruchu lotniczego. W części drugiej zostaną przedstawione nowe tendencje standaryzacyjne odnoszące się do BC/DR, a także aktualne informacje na temat wykorzystania procedur BC/DR w kontroli ruchu lotniczego, w świetle wcześniej omówionych standardów.
Kontrola ruchu lotniczego - informacje podstawowe
W kontroli ruchu lotniczego (Air Traffic Control - ATC) rozróżnia się dwa niezależne poziomy: ogólny ruch lotniczy (General Air Traffic - GAT) oraz operacyjny ruch lotniczy (Operational Air Traffic - OAT). Loty typu GAT to wszystkie ruchy cywilnych i państwowych statków powietrznych (w tym wojskowych, celnych i policyjnych) prowadzone zgodnie z przepisami Międzynarodowej Organizacji Lotnictwa Cywilnego (International Civil Aviation Organization - ICAO). Loty typu OAT to wszystkie loty, które nie spełniają wymagań lotów typu GAT, ale obowiązują je odpowiednie przepisy państwowe [1]. W niniejszym artykule będą omówione tylko zagadnienia związane z lotami typu GAT.
Zadaniem kontroli ruchu lotniczego jest zapewnienie bezpiecznej separacji pomiędzy statkami powietrznymi, zarówno w powietrzu, jak i na lądzie, przy uwzględnieniu najbardziej efektywnych warunków operacyjnych oraz ekonomicznych. W tym celu kontrolerzy ruchu lotniczego informują pilotów o bieżącej sytuacji w pobliżu statku powietrznego, pogodzie, ograniczeniach w przestrzeni powietrznej oraz wydają im polecenia zmiany poziomu lotu, kursu (tzw. wektorowanie) itp.
Aby można było ten cel osiągnąć, kontrolerzy muszą mieć dostęp do najnowszych informacji dotyczących kontrolowanej przestrzeni powietrznej. Dziś jest to niemożliwe do wykonania bez wykorzystania najnowszych technologii, które omówiono szerzej w ostatnim rozdziale artykułu.
Radary najnowszych generacji na bieżąco dostarczają informacje o sytuacji w powietrzu, a niejednokrotnie zapewniają cyfrową komunikację pomiędzy samolotem a ośrodkiem kontroli. Komunikację głosową pomiędzy samolotem a centrum kontroli (Ground/Air - G/A) oraz pomiędzy ośrodkami (Ground/Ground - G/G) zapewniają nowoczesne zintegrowane systemy cyfrowe, zwane Voice Communication Systems (VCS). Informacja o warunkach pogodowych jest automatycznie zbierana i rozsyłana do zainteresowanych służb przez systemy komputerowe. Nawigacja także jest obecnie prowadzona z użyciem urządzeń elektronicznych. W środowisku, w którym występuje tak wysokie nasycenie systemami elektronicznymi i informatycznymi, rola planowania w zakresie BC/DR jest nie do przecenienia.
Dodatkowo w kontroli ruchu lotniczego ważną rolę odgrywa czynnik ludzki. Wszystkie ruchy statków powietrznych od włączenia silników, poprzez lot, aż do wyłączenia silników, są nadzorowane przez kontrolerów ruchu lotniczego. Praca ta jest bardzo odpowiedzialna i stresująca. Dlatego też, aby można było bezpiecznie prowadzić ruch lotniczy, muszą być oni precyzyjnie wybrani z grupy kandydatów i bardzo dobrze wyszkoleni. Bez nich kontrola ruchu lotniczego jest niemożliwa do zrealizowania. Należy to uwzględniać we wszelkiego rodzaju planach BC/DR.
Trzy ogniwa kontroli ruchu lotniczego
Kontrola ruchu lotniczego składa się z trzech etapów:
- kontrola lotniska (Tower - TWR),
- kontrola zbliżania (Approach Control - APP),
- kontrola obszaru (Area Control Centre - ACC).
Kontrola lotniska (fot. 1) jest odpowiedzialna za ruch pojazdów i statków powietrznych w porcie lotniczym oraz za statki powietrzne tuż po starcie i na chwilę przed lądowaniem (od 2 do 5 mil morskich od lotniska, w zależności od lokalnych procedur). Współpracuje ona bezpośrednio z kontrolą zbliżania. Krótko po starcie kontrola jest przekazywana do ośrodka APP, a tuż przed lądowaniem centrum APP przekazuje kontrolę nad samolotem kontroli lotniska.
Fot. 1. Kontrola lotniska w porcie lotniczym Warszawa Okęcie (kod ICAO: EPWA) [2]
Na kontrolę lotniska składają się cztery stanowiska operacyjne:
- kontroler TWR,
- kontroler GND,
- asystent wieży,
- delivery controller.
Kontroler TWR (fot. 2 - w środku) jest odpowiedzialny za zapewnienie bezpiecznych separacji na podejściu do lądowania, przekazuje pilotom pozwolenia na lot od kontroli zbliżania oraz zezwala na strat i lądowanie. Kontroler GND (fot. 1 - po lewej stronie) jest odpowiedzialny za ruch statków powietrznych w obrębie dróg kołowania i pasów startowych. Asystent wieży (fot. 1 - po prawej stronie) współpracuje bezpośrednio z kontrolą zbliżania oraz nadzoruje ruch samochodowy w porozumieniu z kontrolerem TWR. Delivery controller, dysponując dostępem do bazy danych planów lotu, uzyskuje zgodę na lot od kontroli obszaru i przekazuje ją załodze samolotu. Kontrola lotniska ma dostęp do radaru kontroli lotniska (Airport Surface Movement Indicator - ASMI), który dostarcza informacje na temat ruchu pojazdów i samolotów w porcie lotniczym. Dzięki podglądowi radaru kontroli rejonu lotniska (Airport Surveillance Radar - ASR) kontrolerzy mają dostęp do bieżącej informacji na temat ruchu lotniczego w pobliżu portu. Oczywiście kontrola nie była by możliwa bez dostępu do informacji pogodowych oraz komunikacji głosowej ze statkami powietrznymi i innymi ośrodkami kontroli.
Na kontrolę zbliżania składają się trzy stanowiska operacyjne:
- kontroler zbliżania,
- kontroler DIR (director),
- asystent.
Fot. 2. Kontrola zbliżania w Warszawie (kod ICAO: EPWA) [2]
Kontroler zbliżania (fot. 2) jest odpowiedzialny za zapewnienie odpowiedniej separacji pomiędzy statkami powietrznymi będącymi w pobliżu portu lotniczego, czyli w rejonie kontrolowanym lotniska (Terminal Control Area - TMA) oraz podążającymi z lub do portu lotniczego. Dodatkowo podaje on pilotom informacje nawigacyjne i inne niezbędne dane do kontynuowania lotu. Stanowisko kontrolera DIR (director) jest powoływane w przypadku, gdy ruch w przestrzeni, za którą jest odpowiedzialny kontroler zbliżania, jest duży. Jest on odpowiedzialny za samoloty w wąskim sektorze podejścia do lądowania. Kontroler DIR ściśle współpracuje z kontrolą zbliżania i kontrolą lotniska. Asystent jest odpowiedzialny za współpracę z wieżą i kontrolą obszaru, przetwarzanie planów lotu oraz inne czynności pomocnicze. Wszystkie te zadania nie byłyby możliwe do zrealizowania bez dostępu do informacji o aktualnej sytuacji w przestrzeni kontrolowanej (fot. 2 - duży wyświetlacz w środku), komunikacji G/A oraz G/G (fot. 2 - mały panel w rogu po prawej stronie), systemu ATIS - Automatic Terminal Information Service (fot. 2 - mały jasny wyświetlacz w środku zdjęcia), poglądu sytuacji w porcie lotniczym (fot. 2 - wyświetlacz nad systemem ATIS), informacji o pogodzie (fot. 2 - dwa panele na górze obok podglądu sytuacji w porcie lotniczym i większy wyświetlacz na prawo) oraz wielu innych nie wymienionych tutaj urządzeń.
Kontrola obszaru jest odpowiedzialna za ruch w przestrzeni zwanej rejonem informacji powietrznej (Flight Information Region - FIR). Nad terenem jednego państwa może istnieć więcej niż jeden rejon informacji powietrznej. Dla przykładu, w Polsce istnieje tylko jeden FIR Warsaw (EPWW) przedstawiony na rys. 1. W Niemczech natomiast jest aż sześć rejonów informacji powietrznej: FIR Bremen (EDWW), FIR Langen (EDGG), FIR München (EDMM), UIR (Upper Information Region) Hannover (EDYY) oraz UIR Rhein (EDUU). Często, gdy ruch w przestrzeni powietrznej jest bardzo duży, dany rejon jest dzielony na mniejsze jednostki zwane sektorami, w celu ułatwienia pracy kontrolerom. Czasami zdarza się, że granice FIR nie pokrywają się z granicami państwowymi (rys. 1). Kontrolerzy obszaru bardzo ściśle współpracują z kontrolerami z sąsiednich sektorów/FIR oraz kontrolerami zbliżania.
Rys.1. Rejon informacji powietrznej w Polsce - FIR Warsaw (EPWW) [3]
Na kontrolę obszaru składają się trzy stanowiska operacyjne:
- kontroler radarowy ACC,
- planning controller,
- operator flight data.
Kontroler radarowy ACC (fot. 3 - na pierwszym planie) ma bezpośredni dostęp do wskaźnika radarowego obrazującego aktualną sytuację w kontrolowanej przez niego przestrzeni oraz odpowiada za zapewnienie odpowiedniej separacji pomiędzy samolotami. Planning controller (fot. 3 - w głębi), w celu podniesienia bezpieczeństwa, zapisuje aktualną sytuację w przestrzeni za pomocą specjalnych pasków postępu lotu. Metoda ta jest stosowana coraz rzadziej ze względu na wykorzystywanie w kontroli ruchu lotniczego coraz bardziej niezawodnych systemów informatycznych. Dodatkowo planning controller koordynuje wszystkie loty pomiędzy swoim sektorem/FIR a sąsiednimi sektorami/FIR. Osoba obsługująca stanowisko operator flight data, mając dostęp do terminala systemu planów lotu (Flight Strip Workstation - FSW), jest odpowiedzialna za przygotowywanie pasków postępu lotu, wspomaganie kontrolerów obszaru oraz inne niezbędne operacje. Systemy zainstalowane na stanowisku kontroli obszaru są podobne do tych zainstalowanych na stanowisku kontroli zbliżania, z pominięciem elementów związanych z zobrazowaniem aktualnej sytuacji w porcie lotniczym.
Fot. 3. Kontrola obszaru w Warszawie [2]
Ten krótki opis kontroli ruchu lotniczego ma za zadanie pokazać czytelnikowi cele przed nią stawiane oraz metody ich osiągania. Obecnie cele te nie są możliwe do osiągnięcia bez zastosowania nowych technologii takich jak komputery, zaawansowane systemy telekomunikacyjne, systemy radiolokacji, radionawigacji i inne. Część z nich zostanie opisana w następnym rozdziale.
Technologia w kontroli ruchu lotniczego i nawigacji
Tak jak już wcześniej stwierdzono, nie jest możliwe prowadzenie kontroli ruchu lotniczego bez zastosowania najnowszych osiągnięć techniki. Dlatego też w niniejszym rozdziale zostaną opisane najważniejsze urządzenia elektroniczne i systemy teleinformatyczne wykorzystywane w ATC.
Jednym z głównych narzędzi pracy współczesnego kontrolera jest radar, który umożliwia dokładną obserwację przestrzeni powietrznej (rys. 2). Dodatkowo, nowsze jego wersje pozwalają, jak wspomniano, na zestawienie cyfrowego kanału komunikacyjnego pomiędzy samolotem a ośrodkiem kontroli (tzw. mod S). Po wstępnej obróbce sygnał radarowy jest kierowany ze stacji radarowej do systemu informatycznego w centrum kontroli lotów, gdzie poddawany jest dalszej obróbce. Informacje o statkach powietrznych widocznych na ekranie wskaźnika radarowego, czyli tzw. ploty, są uzupełniane o dodatkowe dane pobrane z bazy planów lotów. W ten sposób kontroler uzyskuje informacje o tzw. squawk (tak określa się unikatowy identyfikator samolotu), typie statku powietrznego, planowanej trasie i innych ważnych parametrach pomocnych przy sprawowaniu kontroli. Wszystkie te informacje są przechowywane w bazie planów lotów, która w Europie jest centralnie zarządzana przez EUROCONTROL (European Organization for the Safety of Air Navigation) [4]. Baza ta znana jest jako CFMU (Central Flow Management Unit) [5].
Rys. 2. System radarowy ACC/APP [2]
Ogólny schemat CFMU przedstawiono na rys. 3 (nazwy strumieni danych pozostawiono w wersji, w której występują w oryginalnej dokumentacji do systemu, czyli angielskiej). Aby zwiększyć bezpieczeństwo i niezawodność systemu, wszystkie dane są przetwarzane w dwóch fizycznych lokalizacjach: Brukseli oraz Brétigny. Dane znajdujące się w CFMU są dostępne dla ośrodków kontroli ruchu lotniczego i innych zainteresowanych poprzez specjalnie do tego celu zaprojektowane oprogramowanie.
Rys. 3. Central Flow Management Unit [5]
(AOs - Aircraft Operators, AROs - Air Traffic Services Reporting Offices, ATC - Air Traffic Control)
Oczywiście, prowadzenie kontroli nie byłoby możliwe bez zapewnienia komunikacji głosowej. W nowoczesnych ośrodkach systemy komunikacji głosowej (VCS) buduje się, wykorzystując wyspecjalizowane układy cyfrowe. Rozwiązania te są bardzo skomplikowane, ale jednocześnie niezawodne oraz łatwe w użyciu i konfiguracji.
Dzisiejsza nawigacja lotnicza opiera się w znacznej mierze na radionawigacji. Jeden z najstarszych sposobów określania kierunku zakłada wykorzystanie publicznych stacji radiowych lub specjalnie do tego budowanych nadajników naziemnych znanych jako Non-directional Beacon (NDB) [6]. Sposób działania tego typu urządzeń jest podobny do działania latarni morskiej, z tą różnicą, że zamiast światła widzialnego wykorzystywane są fale radiowe.
Ze względu na małą dokładność tej metody wypierana ona jest przez nowocześniejsze urządzania typu VHF Omnidirectional Range (VOR) lub Doppler VHF Omnidirectional Range (D-VOR) [6]. Zasada ich działania polega na porównywaniu fazy dwóch sygnałów, z których jeden jest sygnałem odniesienia, a drugi fazy zmiennej zależnej od obranego kursu. Do pomiaru odległości wykorzystywane jest urządzenie znane jako Distance Measuring Equipment (DME) [6]. Pomiar odległości odbywa się pośrednio poprzez określanie czasu, jaki upłynął od wysłania zapytania przez samolot do naziemnej instalacji DME do odebrania odpowiedzi na to zapytanie. Bardzo często instalacje VOR/D-VOR występują w połączeniu z instalacjami DME. W ostatniej krytycznej fazie lotu, jaką jest podejście do lądowania i samo lądowanie, wykorzystywane są odpowiednie radiowe urządzenia naprowadzające o nazwach Instrument Landing System (ILS) oraz Microwave Landing System (MLS) [6]. Dodatkowo oprócz wyżej wymienionych urządzeń radionawigacyjnych wykorzystuje się takie rozwiązania jak bardzo dokładne inercjalne systemy nawigacyjne (Inertial Reference System - IRS lub Inertial Navigation System - INS). Najnowszy system, który powoli znajduje zastosowanie w lotnictwie cywilnym, to system satelitarny GNSS (Global Navigation Satellite System) [6]. Inny system satelitarny, jakim jest GPS (Global Positioning System), nie jest uznany za dobrą alternatywę ze względu na brak dokładności i niską niezawodność z punktu widzenia nawigacji lotniczej.
Ten krótki opis technologii wykorzystywanych w lotnictwie uzmysławia, w jak wysokim stopniu ta dziedzina ludzkiego działania jest od nich uzależniona. Nie bez przyczyny kładzie się duży nacisk na zapewnienie odpowiedniego poziomu bezpieczeństwa i niezawodności wszystkim elementom, które w jakikolwiek sposób biorą udział w prowadzeniu ruchu lotniczego.
Podziękowanie
Pragnę podziękować Panu prof. Zbigniewowi Kotulskiemu, dr. Ryszardowi Kossowskiemu, mgr. inż. Maciejowi Rodakowi, mgr. Jackowi Tomczakowi-Janowskiemu oraz mgr. Marcinowi Wilkowskiemu za udzielenie pomocy przy opracowywaniu niniejszego artykułu. Bez ich wsparcia praca ta nie byłaby możliwa do zrealizowania.
Daniel Kiper
Instytut Telekomunikacji
Wydział Elektroniki i Technik Informacyjnych Politechniki Warszawskiej
Zdjęcia: Marcin Wilkowski
Literatura
[4] http://www.eurocontrol.int
[5] http://www.cfmu.eurocontrol.int/cfmu/gallery/content/public/userdocs/docs/handbook_systems_11.pdf
[6] Annex 10 to the Convention on International Civil Aviation, Aeronautical Telecommunications, Volume I Radio Navigation Aids, ICAO, Sixth Edition, July 2006
Zabezpieczenia 5/2007