Silicon. Software. Intelligence.
A browser-based, deterministic full-authority digital engine control (FADEC) for a single-engine UCAV turbofan — triple-redundant (2oo3) sensor voting, fault detection and isolation, a min-max limit-selector control law and autonomous mission logic, all running live at 50 Hz.
Personal engineering project Read the case study →A QPSK wireless link built on a USRP B210 and GNU Radio, with bit-error-rate analysis and channel equalization.
Communications LabImplemented and simulated Grover's search algorithm in Qiskit, with results written up in a technical report.
Qiskit · technical reportComputer-vision and machine-learning approaches for spotting product anomalies on automated production lines.
Research / coursework
I'm an electrical & electronics engineering student at Koç University — working across control, embedded systems and digital communications.
I'm currently interning at Kale Jet Motorları on simulation and reliability for engine control systems, with project work spanning safety-critical engine control, SDR communications and computer vision. I'm headed toward aerospace and defense engineering. Understanding how something works isn't enough for me — I don't stop until I've turned it into a working system.
Off the field — literally: I've played three seasons with Koç University's American football team. Read the story →
A triple-channel (TMR) FADEC simulation for a single-engine UCAV turbofan.
EGEMEN is a live, browser-based simulation of full-authority digital engine control (FADEC) for a single-engine UCAV turbofan. One HTML file, no build step, advancing at 50 Hz and deterministically (fixed seed).
It isn't a toy: it models the chain end to end — engine (plant) physics, triple-channel sensing and voting, the control law, fault detection and isolation, reversionary modes, the start sequence, and a vehicle-level autonomy supervisor; plus a maintenance / observability layer on top. The aim is to take avionics architecture you'd normally read about and make it run, and be observed.
Modern jet engines are governed by full-authority digital controllers: the controller holds complete authority over fuel — which means the controller's safety architecture is, in effect, the engine's safety. So a single sensor or channel failure must never be allowed to mislead it.
The classic answer to that problem is this project's backbone: triple modular redundancy (TMR), 2oo3 median voting, and an FDIR architecture that finds, isolates and accommodates faults. On top of that, EGEMEN adds analytical redundancy (an on-board model) to catch the common-mode faults voting structurally can't see; it manages fuel through a multi-limit min-max limit selector; and it keeps safety independent of control correctness through a separate, latched overspeed protection.
The value of the project in one sentence: instead of reading about these concepts, it lets you watch them in the field — a fault being isolated, a common-mode error being caught, an overspeed trip latching.
The central idea isn't flash, it's discipline: the interface never knows the backend. The two talk through a single FADECState contract.
This split is the foundation for two things. First, deterministic replay: with a fixed seed the same input always yields the same output, so a fault scenario is exactly reproducible. Second, portability to C firmware: drop the render layer and you're left with a deterministic, testable control core.
Numbers are illustrative and hand-tuned ("TUNABLE") — not derived from a real engine. Each subsystem matters both for what it does and why it's built that way.
Engine dynamics are modeled with first-order lags from fuel to spool (τ_FMV=0.25 s, τ_N2=1.3 s, τ_N1=3.5 s). The N1 and N2 spools aren't mechanically coupled; N1 follows N2 aerodynamically (N1 ≈ (N2−18)×1.15), so on a throttle push N2 settles first and N1 follows with inertia. EGT is a two-time-constant thermal model: fast combustion (τ=1.5 s) blended 85/15 with slow metal soak (τ=60 s).
Why: the slight EGT drift even at steady throttle is deliberate — a real engine's thermal behavior can't be captured with a single lag, and EGT limiting can't be tested realistically without it.
Fuel command Wf is the sum of an equilibrium fuel (feedforward) and a PI trim (anti-windup: it only integrates when unsaturated). Above it, limits compete: an accel limit, an N2 limit (linear cutback over 108→112) and an EGT limit (linear cutback over 900→950). Below sit a decel floor (55% of equilibrium fuel) and a WF_MIN flameout-safety floor. Whichever limit binds at that instant wins.
Why: this isn't a single PID, it's a multi-limit safety architecture. Because protection never drops below WF_MIN the engine won't flame out; and the "winning limit" logic means you can always read which physical bound is active.
Each channel (A/B/C) reads every critical parameter (N2/EGT/N1) with two independent instances; per channel there's a fixed calibration offset well below ε and independent noise. A median-of-3 is voted, and the outlier lane (|lane−median| > ε) is isolated. Faults split into HARD (out-of-range, under-range, no-signal) and SOFT (deviation, spike, noise, drift); a HARD fault turns the sensor pill red. There is no central voter — voting is distributed and runs over a cross-channel data link (CCDL).
Why: a single central voter is a single point of failure. Distributing the vote across channels makes the voter itself redundant. A channel counts as "healthy" only if its CPU is alive, it isn't isolated, and it hasn't lost all its instances.
A parallel engine model produces expected N2 and EGT. If the gap between the voted and expected values leaves a residual band (N2 ±6, EGT ±60), a flag is raised. When all three channels agree (degrade=3) the vote can't see an error — but if the OBM is outside its band, that's a common-mode fault the vote structurally can't detect. When the healthy-channel count drops to one, the OBM synthesizes N2 and EGT directly from the model.
Why: voting asks "what does the majority say"; the OBM asks "what does physics say". The two cover different blind spots.
Control is gated by CPU liveness, not sensor health: a lane that has lost its sensors but whose computation is alive keeps commanding fuel via OBM-synthesized N2. Leader selection prefers a fully-healthy channel, otherwise any with a live CPU; a hold time (SWITCH_HOLD=0.3 s) prevents chatter and the handover is bumpless. Entirely separate from this, a dissimilar latched overspeed protection cuts fuel at raw max N2 > 115% and latches until reset.
Why: loss of measurement need not mean loss of control. And overspeed protection is needed most when the main control law has failed completely — so it must be independent of it; the latch keeps a transient trip from hiding the hazard.
Start is a real state machine, not threshold-matching: OFF → CRANK (dry motoring, no fuel; ignition at N2 ≥ 18) → LIGHT-OFF → ACCEL (starter cut at 50%) → RUN (idle 58%, control law takes over). Two abort paths are modeled: HUNG (failure to climb above idle for >2 s) and HOT (start EGT > 720 °C).
Why: real engines have real start failure modes; modeling them takes the sim past "it powers up and spins".
The main Flight Computer (outside the FADEC) reads health and produces target N2; it runs 10 mission legs (from TAXI to SHUTDOWN). Decision priority is explicit: EMERGENCY > RTB > DERATE > SCRIPT. At two healthy channels it derates to 88% (DASH inhibited); at one or fewer it latches RTB; on overspeed/open-loop it triggers emergency idle. Every decision sits in an auditable log with the leg and the reason.
Why: health always overrides the script — the flight plan can never override the engine's current state.
Faults are carried in a 16-bit fault word: [FIELD:3 | CODE:4 | CH:2 | VOTER:2 | COMP:5], with 1553-aligned framing. A maintenance log (black box / PFR) latches fault words with dedup, and a live decode panel plus a bit-level view are provided. The IETM is the interactive technical manual: click a gauge in the UI and it gives its definition plus a live "why" analysis grounded in the current state.
Why: observability isn't a feature bolted on afterward, it's part of the design — a single packed word carries fault, channel, voter and component in one frame.
Independent engineering domains, carried together in one working system:
2oo3, HARD/SOFT split, isolation, degrade ladder, analytical redundancy, common-mode awareness, dissimilar overspeed.
Min-max limit selector, feedforward + PI, multi-limit safety, flameout protection, reversionary modes.
Clean data contract, deterministic replay, single source of truth — a core portable to firmware.
Spool dynamics, light-off / hung / hot start, two-time-constant EGT thermal behavior.
Health-driven supervisor, priority arbitration, auditable decision log.
16-bit fault word, black box / PFR, IETM live explanation.
An artifact's credibility comes partly from clearly stating what it does not model:
The live simulation is published and opens from the link above. This write-up uses only the project's own facts; no standards compliance is claimed (1553 stylized).
Tek motorlu bir UCAV turbofanı için üç-kanal (TMR) FADEC simülasyonu.
EGEMEN, tek motorlu bir UCAV turbofanı için tam-yetki dijital motor kontrolünün (FADEC) tarayıcıda canlı çalışan bir simülasyonudur. Tek bir HTML dosyası, build adımı yok, 50 Hz'de ve deterministik (sabit tohum) ilerler.
Bir oyuncak değil: zinciri uçtan uca modeller — motor (plant) fiziği, üç-kanal duyumlama ve oylama, kontrol yasası, arıza tespiti/izolasyonu, indirgenmiş (reversiyoner) modlar, start sekansı ve araç-seviyesi bir otonomi süpervizörü; üstüne de bir bakım/gözlemlenebilirlik katmanı. Amaç, ders kitaplarında okunan avionik mimarisini çalışır ve izlenebilir hale getirmek.
Modern jet motorları tam-yetki dijital kontrolörlerle yönetilir: kontrolör yakıt üzerinde tam yetkiye sahiptir — yani kontrolörün emniyet mimarisi, fiilen motorun emniyetidir. Bu yüzden tek bir sensörün ya da kanalın arızası, kontrolörü asla yanıltmamalıdır.
Bu sorunun klasik cevabı, bu projenin de omurgasıdır: üçlü modüler redundans (TMR), 2oo3 median oylama, ve arızayı bulup izole edip telafi eden bir FDIR mimarisi. EGEMEN bunların üstüne, oylamanın göremeyeceği ortak-mod arızaları yakalamak için analitik redundans (on-board model) ekler; yakıtı çok-limitli bir min-max limit seçici ile yönetir; ve emniyeti kontrolün doğruluğundan bağımsız kılmak için ayrı, latch'li bir overspeed koruması kullanır.
Bu projenin değeri tek bir cümlede: bu kavramları okumak yerine, onları sahada izlemeyi mümkün kılması — bir arızanın izole edilişini, bir ortak-mod hatasının yakalanışını, bir overspeed trip'inin kilitlenişini.
Merkezî fikir gösteriş değil, disiplin: arayüz backend'i hiç tanımaz. İkisi tek bir FADECState sözleşmesi üzerinden konuşur.
Bu ayrım iki şeyin temelidir. Birincisi deterministik tekrar oynatma: sabit tohum sayesinde aynı girişe her zaman aynı çıktı gelir; bir arıza senaryosu birebir tekrar üretilebilir. İkincisi C firmware'e taşınabilirlik: render katmanı atıldığında geriye deterministik, test edilebilir bir kontrol çekirdeği kalır.
Sayılar illüstratif ve elle ayarlıdır ("TUNABLE") — gerçek bir motordan türetilmemiştir. Her alt sistem hem ne yaptığıyla hem de neden öyle tasarlandığıyla anlamlıdır.
Yakıttan spool'a birinci-derece gecikmeler (τ_FMV=0.25 s, τ_N2=1.3 s, τ_N1=3.5 s) ile motorun dinamiği modellenir. N1 ve N2 spool'ları arasında mekanik bağ yoktur; N1 aerodinamik olarak N2'yi izler (N1 ≈ (N2−18)×1.15), bu yüzden gaz atınca N2 önce, N1 ataletle sonra oturur. EGT iki zaman-sabitli bir termal modeldir: hızlı yanma (τ=1.5 s) ile yavaş metal soak (τ=60 s) %85/%15 harmanlanır.
Neden: sabit gazda bile EGT'nin hafifçe sürüklenmesi kasıtlıdır — gerçek bir motorun termal davranışı tek gecikmeyle yakalanamaz, ve EGT limitleme bu davranış olmadan gerçekçi sınanamaz.
Yakıt komutu Wf, denge yakıtı (feedforward) ile bir PI trim'in (anti-windup: yalnızca doymamışken integre eder) toplamıdır. Bunun üzerinde limitler yarışır: accel limiti, N2 limiti (108→112 arası lineer kısma) ve EGT limiti (900→950 arası lineer kısma). Altta ise decel tabanı (denge yakıtının %55'i) ve WF_MIN flameout-emniyet tabanı bulunur. Hangi limit o an bağlıyorsa o kazanır.
Neden: bu tek bir PID değil, çok-limitli bir emniyet mimarisidir. Koruma asla WF_MIN altına inmediği için motor sönmez; ve "kazanan limit" mantığı sayesinde hangi fizik sınırın aktif olduğu her an okunabilir.
Her kanal (A/B/C) her kritik parametreyi (N2/EGT/N1) iki bağımsız instance ile okur; kanal başına ε'nin çok altında sabit bir kalibrasyon offset'i ve bağımsız gürültü vardır. Median-of-3 oylanır, aykırı lane (|lane−median| > ε) izole edilir. Arızalar HARD (aralık-üstü, aralık-altı, sinyal-yok) ve SOFT (sapma, spike, gürültü, sürüklenme) olarak ayrılır; HARD arıza sensör pill'ini kırmızıya çevirir. Merkezî bir voter yoktur — oylama dağıtıktır ve kanallar arası veri hattı (CCDL) ile yürür.
Neden: tek bir merkezî voter, tek hata noktasıdır. Oylamayı kanallara dağıtmak voter'ın kendisini de redundant yapar. Bir kanal "sağlıklı" sayılır ancak CPU'su canlıysa, izole değilse ve tüm instance'larını kaybetmemişse.
Paralel bir motor modeli, beklenen N2 ve EGT'yi üretir. Voted değer ile beklenen değer arasındaki residual banttan (N2 ±6, EGT ±60) çıkarsa bir flag düşer. Üç kanal da hemfikir olduğunda (degrade=3) oylama hata göremez — ama OBM banttan dışarıdaysa, bu oylamanın yapısal olarak göremeyeceği bir ortak-mod (common-mode) arızadır. Sağlıklı kanal sayısı bire indiğinde, OBM N2 ve EGT'yi doğrudan modelden sentezler.
Neden: oylama "çoğunluk ne diyor" sorusunu sorar; OBM "fizik ne diyor" sorusunu. İkisi farklı kör noktaları kapatır.
Kontrol, sensör sağlığıyla değil CPU canlılığıyla kapılıdır: sensörlerini kaybetmiş ama hesaplaması ayakta olan bir lane, OBM-sentez N2 üzerinden yakıt komutlamaya devam eder. Lider seçimi önce tam-sağlıklı kanalı, yoksa CPU'su canlı herhangi birini tercih eder; bir tutma süresiyle (SWITCH_HOLD=0.3 s) chatter önlenir ve devretme bumpless olur. Bunlardan tamamen ayrı, dissimilar ve latch'li bir overspeed koruması ham max N2 > 115%'te yakıtı keser ve reset'e kadar kilitler.
Neden: ölçüm kaybı, kontrol kaybı anlamına gelmek zorunda değildir. Ve overspeed koruması ana kontrol yasası tamamen bozulduğunda en çok gerekendir — bu yüzden ondan bağımsız olmalı; latch ise geçici bir trip'in tehlikeyi gizlemesini engeller.
Start, eşik-uydurma değil gerçek bir durum makinesidir: OFF → CRANK (kuru çevirme, yakıt yok; N2 ≥ 18'de ateşleme) → LIGHT-OFF → ACCEL (starter %50'de kesilir) → RUN (idle %58, kontrol yasası devralır). İki abort yolu modellenmiştir: HUNG (idle altında >2 sn tırmanamama) ve HOT (start EGT > 720 °C).
Neden: gerçek motorların gerçek start arıza modları vardır; bunları modellemek, simülasyonu "açılır ve döner" seviyesinin ötesine taşır.
Ana Uçuş Bilgisayarı (FADEC'in dışında) sağlık okur ve hedef N2 üretir; 10 misyon bacağını (TAXI'den SHUTDOWN'a) yürütür. Karar önceliği nettir: ACİL > RTB > DERATE > SCRIPT. İki sağlıklı kanal kaldığında %88 derate (DASH inhibit), bir veya daha aza inince RTB latch, overspeed/open-loop durumunda acil idle devreye girer. Her karar, hangi bacakta ve hangi sebeple alındığı denetlenebilir bir logda durur.
Neden: sağlık her zaman script'ten önce işler — uçuş planı, motorun o anki durumunu asla ezemez.
Arızalar 16-bit bir fault word'de taşınır: [ALAN:3 | KOD:4 | CH:2 | VOTER:2 | COMP:5], 1553-hizalı çerçeveleme ile. Bir bakım logu (kara kutu / PFR) fault word'leri dedup'lu olarak latch'ler; canlı bir decode paneli ve bit-seviye görünüm sunulur. IETM ise interaktif teknik kılavuzdur: arayüzdeki bir göstergeye tıklayınca tanımını ve o anki duruma dayalı canlı bir "neden" analizini verir.
Neden: gözlemlenebilirlik sonradan eklenen bir özellik değil, tasarımın parçasıdır — tek bir sıkıştırılmış kelimeyle hata, kanal, voter ve bileşen tek frame'de taşınır.
Birbirinden bağımsız mühendislik alanlarını tek bir çalışan sistemde bir arada taşır:
2oo3, HARD/SOFT ayrımı, izolasyon, degrade merdiveni, analitik redundans, common-mode farkındalığı, dissimilar overspeed.
Min-max limit seçici, feedforward + PI, çok-limitli emniyet, flameout koruması, reversiyoner modlar.
Temiz veri-sözleşmesi, deterministik tekrar, tek gerçek kaynak — firmware'e taşınabilir çekirdek.
Spool dinamiği, light-off / hung / hot start, iki-zaman-sabitli EGT termal davranışı.
Sağlık-tahrikli süpervizör, öncelikli tahkim, denetlenebilir karar logu.
16-bit fault word, kara kutu / PFR, IETM canlı açıklama.
Bir artifact'ın güvenilirliği, neyi modellemediğini de açıkça söylemesinden gelir:
Canlı simülasyon artık yayında ve yukarıdaki bağlantıdan açılır. Bu anlatım yalnızca projenin kendi olgularını kullanır; standart uyumu iddia edilmez (1553 stilize).
Wide receiver, number 6 — three seasons with the Koç University Rams.
I've played American football for the Koç University Rams since 2023 — wide receiver, number 6. Practices, camps and game days, running alongside an engineering course load.
The high point so far: the 2023–24 season, which we finished as University League champions.
Wide receiver, 6 numara — Koç Üniversitesi Rams'te üç sezon.
2023'ten beri Koç Üniversitesi Rams'te Amerikan futbolu oynuyorum — 6 numara, wide receiver. Mühendislik dersleriyle yan yana antrenmanlar, kamplar ve maç günleri.
Şimdiye kadarki zirve: 2023–24 sezonunu Üniversiteler Ligi şampiyonu olarak bitirdik.
