docs/Failsafe.md

   1 # Failsafe
   2
   3 There are two types of failsafe:
   4
   5 1. Receiver based failsafe
   6 2. Flight controller based failsafe
   7
   8 Receiver based failsafe is where you, from your transmitter and receiver, configure channels to output desired signals if your receiver detects signal loss and goes to the __failsafe mode__. The idea is that you set throttle and other controls so the aircraft descends in a controlled manner.  See your receiver's documentation for this method.
   9
  10 Flight controller based failsafe is where the flight controller attempts to detect signal loss and/or the __failsafe mode__ of your receiver and upon detection goes to __failsafe stage 1__. The idea is that the flight controller starts using __fallback settings__ for all controls, which are set by you, using the CLI command `rxfail` (see [rxfail](Rx.md#rx-loss-configuration) section in rx documentation) or the cleanflight-configurator GUI.
  11
  12 It is possible to use both types at the same time, which may be desirable.  Flight controller failsafe can even help if your receiver signal wires come loose, get damaged or your receiver malfunctions in a way the receiver itself cannot detect.
  13
  14 Alternatively you may configure a transmitter switch to activate failsafe mode. This is useful for fieldtesting the failsafe system and as a **_`PANIC`_** switch when you lose orientation.
  15
  16 ## Flight controller failsafe system
  17
  18 This system has two stages.
  19
  20 __Stage 1__ is entered when __a flightchannel__ has an __*invalid pulse length*__, the receiver reports __*failsafe mode*__ or there is __*no signal*__ from the receiver. Fallback settings are applied to __*all channels*__ and a short amount of time is provided to allow for recovery.
  21
  22 __Note:__ Prior to entering __stage 1__, fallback settings are also applied to __*individual AUX channels*__ that have invalid pulses.
  23
  24 __Stage 2__ is entered when your craft is __armed__ and __stage 1__ persists longer then the configured guard time (`failsafe_delay`). All channels will remain at the applied fallback setting unless overruled by the chosen stage 2 procedure (`failsafe_procedure`).
  25
  26 __Stage 2__ is not activated until 5 seconds after the flight controller boots up.  This is to prevent unwanted activation, as in the case of TX/RX gear with long bind procedures, before the RX sends out valid data.
  27
  28 __Stage 2__ can also directly be activated when a transmitter switch that is configured to control the failsafe mode is switched ON (and `failsafe_kill_switch` is set to OFF).
  29
  30 __Stage 2__ will be aborted when it was due to:
  31
  32 * a lost RC signal and the RC signal has recovered.
  33 * a transmitter failsafe switch was set to ON position and the switch is set to OFF position (and `failsafe_kill_switch` is set to OFF).
  34
  35 Note that:
  36 * At the end of the stage 2 procedure, the flight controller will be disarmed and re-arming will be locked until the signal from the receiver is restored for 30 seconds AND the arming switch is in the OFF position (when an arm switch is in use).
  37
  38 * When `failsafe_kill_switch` is set to ON and the rc switch configured for failsafe is set to ON, the craft is instantly disarmed. Re-arming is possible when the signal from the receiver has restored for at least 3 seconds AND the arming switch is in the OFF position (when one is in use). Similar effect can be achieved by setting 'failsafe_throttle' to 1000 and 'failsafe_off_delay' to 0. This is not the prefered method, since the reaction is slower and re-arming will be locked.
  39
  40 * Prior to starting a stage 2 intervention it is checked if the throttle position was below `min_throttle` level for the last `failsafe_throttle_low_delay` seconds. If it was, the craft is assumed to be on the ground and is only disarmed. It may be re-armed without a power cycle.
  41
  42 Some notes about **SAFETY**:
  43 * The failsafe system will be activated regardless of current throttle position. So when the failsafe intervention is aborted (RC signal restored/failsafe switch set to OFF) the current stick position will direct the craft !
  44 * The craft may already be on the ground with motors stopped and that motors and props could spin again - the software does not currently detect if the craft is on the ground.  Take care when using `MOTOR_STOP` feature. **Props will spin up without warning**, when armed with `MOTOR_STOP` feature ON (props are not spinning) **_and_** failsafe is activated !
  45
  46 ## Configuration
  47
  48 When configuring the flight controller failsafe, use the following steps:
  49
  50 1.  Configure your receiver to do one of the following:
  51
  52 * Upon signal loss, send no signal/pulses over the channels
  53 * Send an invalid signal over the channels (for example, send values lower than `rx_min_usec`)
  54
  55 and
  56
  57 * Ensure your receiver does not send out channel data that would cause a disarm by switch or sticks to be registered by the FC. This is especially important for those using a switch to arm.
  58
  59 See your receiver's documentation for direction on how to accomplish one of these.
  60
  61 * Configure one of the transmitter switches to activate the failsafe mode.
  62
  63 2.  Set `failsafe_off_delay` to an appropriate value based on how high you fly
  64
  65 3.  Set `failsafe_throttle` to a value that allows the aircraft to descend at approximately one meter per second (default is 1000 which should be throttle off).
  66
  67
  68
  69
  70 These are the basic steps for flight controller failsafe configuration; see Failsafe Settings below for additional settings that may be changed.
  71
  72 ## Failsafe Settings
  73
  74 Failsafe delays are configured in 0.1 second steps.
  75
  76 1 step = 0.1sec
  77
  78 1 second = 10 steps
  79
  80 ### `failsafe_delay`
  81
  82 Guard time for failsafe activation after signal lost.  This is the amount of time the flight controller waits to see if it begins receiving a valid signal again before activating failsafe.
  83
  84 ### `failsafe_off_delay`
  85
  86 Delay after failsafe activates before motors finally turn off.  This is the amount of time 'failsafe_throttle' is active.  If you fly at higher altitudes you may need more time to descend safely.
  87
  88 ### `failsafe_throttle`
  89
  90 Throttle level used for landing.  Specify a value that causes the aircraft to descend at about 1M/sec. Default is set to 1000 which should correspond to throttle off.
  91
  92 ### `failsafe_kill_switch`
  93
  94 Configure the rc switched failsafe action: the same action as when the rc link is lost (set to OFF) or disarms instantly (set to ON). Also see above.
  95
  96 ### `failsafe_throttle_low_delay`
  97
  98 Time throttle level must have been below 'min_throttle' to _only disarm_ instead of _full failsafe procedure_.
  99
 100 Use standard RX usec values.  See [Rx documentation](Rx.md).
 101
 102 ### `failsafe_procedure`
 103
 104 * __Drop:__ Just kill the motors and disarm (crash the craft).
 105 * __Land:__ Enable an auto-level mode, center the flight sticks and set the throttle to a predefined value (`failsafe_throttle`) for a predefined time (`failsafe_off_delay`). This should allow the craft to come to a safer landing.
 106
 107 ### `rx_min_usec`
 108
 109 The lowest channel value considered valid.  e.g. PWM/PPM pulse length
 110
 111 ### `rx_max_usec`
 112
 113 The highest channel value considered valid.  e.g. PWM/PPM pulse length
 114
 115 The `rx_min_usec` and `rx_max_usec` settings helps detect when your RX stops sending any data, enters failsafe mode or when the RX looses signal.
 116
 117 With a Graupner GR-24 configured for PWM output with failsafe on channels 1-4 set to OFF in the receiver settings then this setting, at its default value, will allow failsafe to be activated.
 118
 119 ## Testing
 120
 121 **Bench test the failsafe system before flying - _remove props while doing so_.**
 122
 123 1. Arm the craft.
 124 1. Turn off transmitter or unplug RX.
 125 1. Observe motors spin at configured throttle setting for configured duration.
 126 1. Observe motors turn off after configured duration.
 127 1. Ensure that when you turn on your TX again or reconnect the RX that you cannot re-arm once the motors have stopped.
 128 1. Power cycle the FC.
 129 1. Arm the craft.
 130 1. Turn off transmitter or unplug RX.
 131 1. Observe motors spin at configured throttle setting for configured duration.
 132 1. Turn on TX or reconnect RX.
 133 1. Ensure that your switch positions don't now cause the craft to disarm (otherwise it would fall out of the sky on regained signal).
 134 1. Observe that normal flight behavior is resumed.
 135 1. Disarm.
 136
 137 **Field test the failsafe system.**
 138
 139 1. Perform bench testing first!
 140 1. On a calm day go to an unpopulated area away from buildings or test indoors in a safe controlled environment - e.g. inside a big net.
 141 1. Arm the craft.
 142 1. Hover over something soft (long grass, ferns, heather, foam, etc.).
 143 1. Descend the craft and observe throttle position and record throttle value from your TX channel monitor.  Ideally 1500 should be hover. So your value should be less than 1500.
 144 1. Stop, disarm.
 145 1. Set failsafe throttle to the recorded value.
 146 1. Arm, hover over something soft again.
 147 1. Turn off TX (!)
 148 1. Observe craft descends and motors continue to spin for the configured duration.
 149 1. Observe FC disarms after the configured duration.
 150 1. Remove flight battery.
 151
 152 If craft descends too quickly then increase failsafe throttle setting.
 153
 154 Ensure that the duration is long enough for your craft to land at the altitudes you normally fly at.
 155
 156 Using a configured transmitter switch to activate failsafe mode, instead of switching off your TX, is good primary testing method in addition to the above procedure.