هبوط ذاتي التشغيل
الأنظمة

يتكون نظام «الهبوط الآلي» النموذجي من راديو (ILS) (مستقبل منحدر انزلاقي مدمج، ومستقبل محدد، وربما مستقبل GPS أيضًا) لاستقبال إشارات المترجم والمنحدر الانزلاقي. سيكون خرج هذا الراديو انحرافًا عن المركز الذي يتم توفيره لجهاز التحكم في الطيران؛ هذا الكمبيوتر الذي يتحكم في أسطح التحكم في الطائرة للحفاظ على الطائرة متمركزة على المترجم والمنحدر الانزلاقي. يتحكم كمبيوتر التحكم في الطيران أيضًا في خنق الطائرة للحفاظ على سرعة الاقتراب المناسبة. عند الارتفاع المناسب فوق الأرض (كما هو موضح بواسطة مقياس الارتفاع اللاسلكي)، سيؤخر كمبيوتر التحكم في الطيران الخانق ويبدأ مناورة الملعب. الغرض من هذا «تباعد الهبوط» (flare) هو تقليل طاقة الطائرة بحيث تتوقف عن الطيران وتستقر على المدرج.
بالنسبة لـ (CAT IIIc)، سيستمر كمبيوتر التحكم في الطيران في قبول الانحرافات عن أداة الترجمة واستخدام الدفة للحفاظ على الطائرة على أداة تحديد المواقع (التي تتماشى مع خط الوسط للمدرج.) عند الهبوط، ستنتشر المفسدين (هذه أسطح أعلى الجناح باتجاه الحافة الخلفية) مما يتسبب في أن يصبح تدفق الهواء فوق الجناح مضطربًا، مما يؤدي إلى تدمير الرفع. في نفس الوقت، يقوم نظام المكابح التلقائية باستخدام الفرامل. سيعمل نظام منع الانزلاق على تعديل ضغط الفرامل للحفاظ على دوران جميع العجلات. مع انخفاض السرعة، ستفقد الدفة فعاليتها وسيحتاج الطيار إلى التحكم في اتجاه الطائرة باستخدام توجيه عجلة الأنف، وهو نظام غير متصل عادةً بجهاز التحكم في الطيران.
من منظور سلامة إلكترونيات الطيران، فإن هبوط (CAT IIIc) هو السيناريو الأسوأ لتحليل السلامة لأن فشل الأنظمة الأوتوماتيكية من "تباعد الهبوط (flare)" خلال التدحرج يمكن أن يؤدي بسهولة إلى "تجاوز شديد" (حيث ينحرف سطح التحكم بالكامل في اتجاه واحد.) سيحدث هذا بسرعة كبيرة لدرجة أن طاقم الرحلة قد لا يستجيب بشكل فعال. لهذا السبب، تم تصميم أنظمة «الهبوط الآلي» بحيث تتضمن درجة عالية من التكرار بحيث يمكن التسامح مع فشل واحد لأي جزء من النظام (فشل نشط) ويمكن اكتشاف فشل ثانٍ - وعند هذه النقطة سيتوقف نظام «الهبوط الآلي» عن العمل نفسه (فك الارتباط، فشل المبني للمجهول).
تتمثل إحدى طرق تحقيق ذلك في الحصول على «ثلاثة من كل شيء». ثلاثة أجهزة استقبال (ILS)، وثلاثة أجهزة تحديد ارتفاع لاسلكية، وثلاثة أجهزة كمبيوتر للتحكم في الطيران، وثلاث طرق للتحكم في أسطح الطيران. تعمل جميع أجهزة الكمبيوتر الثلاثة للتحكم في الطيران بالتوازي وهي في اتصالات متقاطعة مستمرة، تقارن مدخلاتها (مستقبلات (ILS) ومقاييس الارتفاع الراديوية) مع تلك الموجودة في جهازي التحكم الآخرين في الطيران. إذا كان هناك اختلاف في المدخلات، فيمكن للكمبيوتر «التصويت لصالح» الإدخال المنحرف وسيقوم بإخطار أجهزة الكمبيوتر الأخرى (على سبيل المثال) بأن «RA1 معيب». إذا كانت النواتج غير متطابقة، فيمكن للكمبيوتر أن يعلن عن نفسه على أنه معيب، وإذا أمكن، يفصل نفسه عن الخط.
عندما يقوم الطيار بتسليح النظام (قبل التقاط أي من المترجم أو الانزلاق المنزلق)، تقوم أجهزة التحكم في الطيران بإجراء سلسلة واسعة من الاختبارات المضمنة. بالنسبة لهبوط (CAT III)، يجب أن تكون جميع أجهزة الاستشعار وجميع أجهزة كمبيوتر الرحلة في صحة جيدة قبل أن يتلقى الطيار إشارة "AUTOLAND ARM" (مؤشرات عامة ستختلف اعتمادًا على مورد المعدات والشركة المصنعة للطائرة). إذا كان جزء من النظام خاطئًا، فسيتم تقديم إشارة مثل «الاقتراب فقط» لإبلاغ طاقم الطائرة بأن هبوط (CAT III) غير ممكن.
إذا كان النظام في وضع ARM بشكل صحيح، فعندما يكتشف مستقبل (ILS) محدد الموقع، سيتغير وضع نظام «الهبوط الآلي» إلى "LOCALIZER CAPTURE". سيحول كمبيوتر التحكم في الطيران الطائرة إلى محدد الموقع ويطير على طول المترجم. الاقتراب المعتاد هو أن تأتي الطائرة «أسفل المنحدر الانزلاقي» (التوجيه الرأسي) بحيث تطير الطائرة على طول محدد الموقع (المحاذاة لخط وسط المدرج) حتى يتم اكتشاف المنحدر الانزلاقي. في هذه المرحلة، سيتغير وضع «الهبوط الآلي» إلى (CAT III) وسيتم نقل الطائرة بواسطة كمبيوتر التحكم في الطيران على طول عوارض التعريب والمنحدر الانزلاقي.
لا توجد هوائيات هذه الأنظمة عند نقطة ملامسة المدرج، مع وجود محدد الموقع على مسافة ما وراء المدرج. على مسافة محددة مسبقًا فوق الأرض، ستبدأ الطائرة في مناورة "تباعد الهبوط (flare)"، وتحافظ على نفس الاتجاه، وتستقر على المدرج داخل منطقة الهبوط المحددة.
إذا فقد نظام «الهبوط الآلي» التكرار قبل ارتفاع القرار، فسيتم عرض رسالة خطأ "AUTOLAND FAULT" لطاقم الرحلة وعند هذه النقطة يمكن للطاقم اختيار الاستمرار كاقتراب "الفئة الثانية (CAT II) أو إذا لم يكن ذلك ممكنًا بسبب الطقس بعد ذلك، سيحتاج الطاقم إلى بدء جولة الذهاب والمضي قدمًا إلى مطار بديل.
إذا حدث فشل واحد أقل من ارتفاع القرار، فسيتم عرض "AUTOLAND FAULT"؛ عند هذه النقطة، تلتزم الطائرة بالهبوط وسيظل نظام «الهبوط الآلي» مشغولاً، والتحكم في الطائرة على نظامين فقط حتى يكمل الطيار عملية الانطلاق ويوقف الطائرة تمامًا على المدرج أو يغلق المدرج على مدرج. هذا يسمى «فشل النشط». في هذه الحالة، يكون نظام «الهبوط الآلي» «على بعد خطأ واحد» من فك الارتباط، لذا يجب أن يُعلم مؤشر "AUTOLAND FAULT" طاقم الرحلة بمراقبة سلوك النظام بعناية شديدة وأن يكون جاهزًا لتولي السيطرة على الفور.
لا يزال النظام نشطًا ولا يزال يقوم بجميع عمليات الفحص التبادلية الضرورية بحيث إذا قرر أحد أجهزة الكمبيوتر الخاصة بالتحكم في الطيران أن الشيء الصحيح الذي يجب فعله هو طلب انحراف كامل لسطح التحكم، فسيكتشف الكمبيوتر الآخر وجود اختلاف في الأوامر وهذا سيؤدي إلى فصل كلا الجهازين عن الخط «فشل سلبي» (fail-passive) وفي ذلك الوقت يجب على طاقم الرحلة أن يتحكم على الفور في الطائرة حيث أن الأنظمة الأوتوماتيكية قد فعلت الشيء الآمن من خلال إخراج نفسها من الخط.
أثناء تصميم النظام، يتم دمج أرقام الموثوقية المتوقعة للمعدات الفردية التي تشكل نظام التشغيل التلقائي بالكامل (أجهزة الاستشعار وأجهزة الكمبيوتر وأدوات التحكم وما إلى ذلك) ويتم حساب الاحتمال الكلي للفشل. نظرًا لوجود التهديد بشكل أساسي أثناء "تباعد الهبوط (flare)" خلال الإطلاق، يتم استخدام وقت التعرض هذا ويجب أن يكون احتمال الفشل الإجمالي أقل من واحد في المليون.