2、基础知识：无人机飞行控制系统的基本组成、传感器融合与决策链路概述
无人机安全保护策略的制定，无论是误判保护、降级模式还是人工接管，其底层逻辑都依赖于对飞控系统架构的深刻理解。飞控系统是无人机的“大脑”与“小脑”，它负责感知自身状态、理解外界环境，并最终输出舵面或电机指令以维持飞行。本章将拆解飞控系统的硬件组成、传感器融合机制以及决策链路的完整路径，为后续章节讨论“何时保护、如何降级、怎样接管”奠定技术基础。
上图展示了飞控系统从传感器到执行器的完整信号流。安全保护策略并非独立模块，而是嵌入在融合层与决策层之间的“监督逻辑”。理解这条链路中每个环节可能出现的失效模式，是设计可靠保护策略的前提。
2.1 飞控系统硬件组成与功能边界
一套典型的无人机飞控硬件由以下核心模块构成，每个模块都有明确的职责边界，同时也都是潜在故障源。
| 模块 | 核心器件 | 主要功能 | 典型失效模式 |
|---|---|---|---|
| 主控MCU | STM32H7系列、FPGA | 运行控制算法、任务调度、IO管理 | 看门狗超时、程序跑飞、算力饱和 |
| 惯性测量单元(IMU) | MEMS加速度计+陀螺仪 | 测量三轴角速度与线加速度 | 零偏漂移、温度漂移、冲击损坏 |
| 卫星定位模块 | GPS/北斗/RTK | 提供位置、速度、时间 | 信号失锁、多路径效应、欺骗干扰 |
| 气压计/空速计 | 高精度压力传感器 | 测量高度或空速 | 静压孔堵塞、风压扰动 |
| 磁力计 | 三轴磁阻传感器 | 提供航向参考 | 磁干扰、硬铁/软铁校准失效 |
| 执行驱动 | PWM/DSHOT电调、舵机 | 驱动电机/舵面 | 堵转、信号丢失、供电不足 |
| 电源管理 | PMU、BEC、电压/电流检测 | 稳定供电、监测电量 | 电压跌落、纹波过大、电池衰减 |
在实际工程中，飞控硬件通常采用“双IMU冗余”或“三IMU表决”设计。例如，大疆经纬系列使用双IMU互为备份，当主IMU数据异常时，系统在毫秒级切换至备用IMU。这种硬件冗余是安全保护的第一道防线，但冗余本身也引入了“该信谁”的决策问题。
2.2 传感器融合：从原始数据到可信状态
传感器融合不是简单的数据平均，而是基于各传感器噪声特性和失效模式，通过滤波算法估计系统真实状态。最常用的是扩展卡尔曼滤波器（EKF），其核心思想是：用模型预测下一步状态，再用观测数据修正预测。
以多旋翼为例，融合过程大致如下：
- 预测阶段：根据上一时刻的姿态和IMU角速度积分，预测当前姿态。
- 更新阶段：利用加速度计估计的重力方向、磁力计估计的航向、GPS估计的位置/速度，对预测值进行修正。
- 协方差管理：EKF同时维护一个协方差矩阵，表示当前估计的不确定度。当某个传感器噪声增大时，其对应的协方差权重自动降低。
这里的关键在于新息（Innovation）——即实际观测值与预测值之间的差值。如果新息突然增大，说明要么传感器故障，要么模型错误。飞控系统通常设置新息阈值，一旦超限，立即触发“传感器故障隔离”流程。
2.3 决策链路：从状态估计到控制指令
飞控的决策链路可以抽象为三层：任务规划层 → 制导层 → 姿态/速率控制层。安全保护策略主要作用于制导层与姿态控制层之间。
- 任务规划层：决定“飞去哪里”，例如航点飞行、环绕拍摄。该层输出期望位置或期望航迹。
- 制导层：将期望位置转换为期望姿态角（横滚、俯仰、偏航）和期望油门。例如，当无人机偏离航线时，制导律计算出一个朝向航线的横滚角指令。
- 姿态控制层：将期望姿态角转换为电机转速指令。通常采用串级PID结构：外环控制姿态角，内环控制角速度。
安全保护逻辑通常插入在制导层输出之后、姿态控制层输入之前。例如，当检测到GPS信号丢失时，制导层无法提供可靠的位置反馈，此时保护逻辑会强制将期望位置切换为“悬停点”，并降低最大倾斜角限制，防止无人机因位置估计漂移而飞丢。
// 伪代码示例：降级模式切换逻辑
if (gps_status == LOST) {
set_flight_mode(ALT_HOLD); // 降级为定高模式
set_max_bank_angle(15.0f); // 限制最大倾斜角
set_velocity_limit(2.0f); // 限制最大水平速度
notify_ground_control("GPS lost, degraded mode active");
}这段伪代码展示了降级模式的核心思想：不是停止飞行，而是降低飞行包线，以牺牲机动性换取安全性。
2.4 案例拆解：GPS信号丢失后的误判与正确响应
背景与约束：某植保无人机在农田作业时，飞行高度30米，速度8m/s，使用RTK-GPS定位。作业区域靠近高压线塔，存在电磁干扰风险。
初始现象：飞控日志显示，GPS水平位置新息在0.5秒内从0.3米跳变至8米，同时RTK状态从“固定解”变为“浮点解”，随后变为“单点定位”。
分析判断过程：
- 首先，飞控的EKF2检测到位置新息超限，触发GPS故障标志。
- 其次，由于IMU数据正常（加速度计和陀螺仪输出平稳），系统判断并非机体剧烈运动导致。
- 最后，结合RTK状态变化，判定为GPS信号受干扰，而非飞控算法错误。
实际操作步骤：
- 系统自动将飞行模式从“自动航线”切换为“定高悬停”，并保持当前航向。
- 限制最大水平速度至2m/s，防止位置漂移过大。
- 通过数传链路向地面站发送“GPS异常，建议人工接管”的警告。
结果对比：若没有保护逻辑，飞控会继续基于错误的GPS数据飞行，可能导致无人机飞向错误方向甚至撞向高压线塔。而启用保护后，无人机在1秒内减速并悬停，等待操作员指令。
风险与代价：降级模式牺牲了作业效率，且如果干扰持续，无人机只能原地耗电。因此，保护策略必须包含“超时判定”——若GPS在30秒内未恢复，则触发返航或降落程序。
复盘经验：该案例表明，误判保护的关键在于多源交叉验证。仅凭GPS新息异常不足以判定故障，必须结合IMU一致性、RTK状态字、以及相邻时刻数据变化趋势综合判断。