3. 余度技术概述

余度技术是飞行控制系统实现高安全性与高任务可靠性的核心使能技术。在民用客机（如B787、A350）和军用战机（如F-35）的研制中，余度设计贯穿于系统架构定义、信号交联、故障管理与验证评估的全过程。本章从工程实践视角出发，系统阐述余度设计的定义、目的、分类及其在飞控系统中的具体应用模式，为后续章节的架构设计与验证方法奠定理论基础。

3.1 余度设计的定义与核心原理

余度设计（Redundancy Design）是指在系统设计中，通过配置两套或两套以上相同的功能单元（硬件、软件或信息通道），并配合相应的监控、表决与切换逻辑，使得当某一单元发生故障时，系统仍能维持全部或部分规定功能的技术方法。其本质是用资源冗余换取系统可靠性，而非简单重复堆叠。

从系统工程角度看，余度设计包含三个层次的内涵：

• 物理层：提供多套独立的功能资源（如三台飞控计算机、三套惯导组件）。
• 逻辑层：设计故障检测、隔离与重构（FDIR）策略，确保故障通道被正确识别并隔离。
• 信息层：通过表决、比较、监控等算法，从多个冗余信号中提取正确信息，抑制故障信号的影响。

余度设计的核心原理可概括为“故障-安全”与“故障-工作”两种模式。前者要求系统在故障后进入安全状态（如自动返航、降级控制），后者要求系统在故障后仍保持全部功能（如四余度系统中单故障后仍可正常飞行）。飞控系统通常要求达到“故障-工作、故障-安全”或更高等级。

3.2 余度设计的分类体系

根据冗余资源的不同形态，余度设计可分为硬件余度、软件余度和信息余度三大类。下表从资源形态、实现方式、典型应用和优缺点四个维度进行对比。

3.2.1 硬件余度

硬件余度是最传统且应用最广泛的余度形式。在飞控系统中，硬件余度通常采用相似余度（identical redundancy）配置，即多个通道使用相同的硬件设计和软件版本。其典型结构包括：

• 双余度（Dual）：一主一备或双主动，故障后切换或降级。适用于对重量敏感的小型无人机。
• 三余度（Triplex）：三通道并行工作，采用多数表决（2-out-of-3）逻辑。是当前民航和军机的主流配置。
• 四余度（Quadruplex）：四通道并行，表决逻辑为2-out-of-4或3-out-of-4，可容忍两次故障。用于高价值平台（如B777、F-22）。

硬件余度的关键设计要点包括：通道独立性（电源、时钟、总线完全隔离）、故障监控覆盖（BIT自检、交叉监控）、表决/切换策略（多数表决、中值选择、通道剔除）。

3.2.2 软件余度

软件余度主要应对软件共性故障（如需求理解错误、编码缺陷）。由于飞控软件一旦存在缺陷，所有相同版本的通道都会同时失效，因此软件余度通过多样性设计来降低共性故障概率。常用方法包括：

• N版本编程（N-Version Programming）：由不同团队独立开发功能等价的多个软件版本，运行时表决输出。
• 恢复块（Recovery Block）：主版本运行，若验收测试失败则切换到备用版本。
• 多版本表决：对多个版本的输出进行表决，消除单版本缺陷影响。

软件余度的工程代价较高，需要多套开发环境和验证流程，且表决逻辑本身也可能引入新故障。因此，在飞控系统中，软件余度通常与硬件余度结合使用，例如在三余度硬件平台上运行两个不同版本的飞控软件。

3.2.3 信息余度

信息余度利用系统中不同来源的冗余信息来重构或验证关键参数，不增加额外硬件。其典型应用包括：

• 解析余度：利用气动模型和运动方程，由其他状态量（如法向过载、俯仰角速度）解析计算迎角、侧滑角等难以直接测量的参数。
• 状态估计：采用卡尔曼滤波等算法，融合多传感器数据，生成最优状态估计。
• 信号重构：当某一传感器故障时，利用其余传感器的数据重构故障信号，维持系统功能。

信息余度的优势在于不增加硬件重量和成本，但依赖精确的数学模型和实时计算能力，且重构精度受模型误差影响。在飞控系统中，信息余度常作为硬件余度的补充，用于传感器故障后的临时重构。

3.3 余度设计在飞控系统中的应用

飞控系统是余度技术应用最密集的航空电子系统。从传感器到执行机构，每一环节都涉及余度设计。以下从四个关键子系统展开分析。

3.3.1 传感器余度配置

飞控系统依赖惯性测量单元（IMU）、大气数据系统（ADS）、全球导航卫星系统（GNSS）等传感器提供姿态、速度、高度等关键参数。典型配置为三余度IMU + 双余度ADS + 双余度GNSS。传感器余度的核心是信号表决与重构：

1. 信号表决：三余度信号采用中值表决或加权平均，剔除离群值。
2. 故障检测：通过通道间差值监控、速率监控、模型一致性检查识别故障源。
3. 信号重构：当某一传感器故障时，利用解析余度或状态估计重构该信号。

例如，某型飞机三余度迎角传感器中，若1号传感器输出明显偏离2号和3号，系统判定1号故障并剔除，采用2号和3号的平均值作为控制输入。

3.3.2 飞控计算机余度架构

飞控计算机（FCC）是余度设计的核心。典型架构包括：

• 三余度FCC：三通道并行计算，输出经多数表决后驱动作动器。每个通道具有独立的CPU、内存、电源和通信接口。
• 非相似余度：不同通道采用不同处理器（如PowerPC + ARM）或不同编程语言（如C + Ada），降低共性故障风险。
• 通道自监控：每个通道内置BIT（Built-In Test）和交叉监控（Cross-Channel Monitoring），实时检测自身和相邻通道故障。

以空客A320为例，其飞控系统采用5台计算机（2台ELAC + 3台SEC），形成“2+3”混合余度架构，兼顾了可靠性与重量约束。

3.3.3 作动器余度与力纷争管理

作动器余度设计需考虑机械结构和控制策略两方面。常见形式包括：

• 串联余度：两个作动筒串联，一个主动一个从动，故障后切换。
• 并联余度：两个作动筒并联驱动同一舵面，需解决力纷争问题。
• 复合余度：串联+并联组合，兼顾响应速度与输出力。

力纷争管理是并联余度的关键难点。当两个作动筒同时驱动舵面时，由于位置反馈差异或液压压力波动，会产生相互对抗的力。常用解决方案包括力均衡控制（通过力传感器反馈调节）和主从控制（一个通道主动，另一个通道跟随）。

3.3.4 总线与电源余度

飞控系统的数据总线（如AFDX、ARINC 429、CAN）和电源系统同样需要余度设计。典型配置为双余度总线和双路独立电源。总线余度通过双通道传输和交叉比较实现故障检测；电源余度通过独立配电和自动切换确保关键设备不断电。

3.4 案例拆解：三余度飞控计算机的余度管理策略

为深入理解余度设计的工程实现，以下以某型无人机三余度飞控计算机为例，完整拆解其余度管理策略。

背景与约束：该无人机要求达到单故障工作、双故障安全的可靠性等级。飞控计算机采用三余度架构，每个通道包含独立的CPU（MPC8270）、电源模块、ARINC 429通信接口和离散量I/O。系统重量限制为≤8kg，功耗≤60W。

初始现象与目标：在飞行试验中，系统出现偶发性的“通道2输出跳变”现象，导致表决输出短暂波动。目标是通过优化余度管理策略，消除该现象并提升系统鲁棒性。

关键数据与参数：

• 三通道输出周期：10ms
• 表决算法：中值表决（取三通道输出的中间值）
• 故障检测阈值：通道间差值＞5%满量程持续3个周期判定故障
• 通道2跳变幅度：约8%满量程，持续1~2个周期

分析判断过程：通过地面回放数据发现，通道2的跳变源于其电源模块在瞬态负载变化时产生电压跌落，导致CPU执行异常。由于跳变持续时间短（1~2个周期），未达到故障判定阈值（3个周期），但已影响表决输出。

实际操作步骤：

1. 在通道2电源输入端增加100μF钽电容和0.1μF陶瓷电容，抑制瞬态跌落。
2. 优化表决算法：将中值表决改为“去极值平均”（剔除最大和最小值后取平均），降低单通道瞬时异常的影响。
3. 增加“瞬态故障抑制”逻辑：当某通道输出跳变但未达故障阈值时，暂用上一周期值替代，连续2个周期正常后恢复。

结果对比：改进后，通道2的跳变现象完全消除，表决输出平滑度提升，系统在后续20架次试飞中未再出现类似问题。

风险与代价：增加电容导致单通道重量增加约15g，功耗增加约0.2W，在可接受范围内。去极值平均算法增加了约5%的计算开销，但实时性仍满足要求。

复盘经验：余度管理策略不能仅依赖阈值判定，还需考虑瞬态故障的抑制。表决算法的选择应兼顾故障隔离能力和对瞬态扰动的鲁棒性。

3.5 常见误区与设计总结

在余度设计的工程实践中，以下误区需要特别关注：

• 误区一：余度数量越多越好。实际上，余度等级应与系统安全目标匹配，过度余度会带来重量、成本和复杂度的急剧上升。
• 误区二：硬件余度可以完全替代软件余度。硬件余度无法应对软件共性故障，必须结合软件多样性设计。
• 误区三：表决算法可以解决所有故障。表决只能处理一致性故障，对于共模故障（如电源浪涌导致所有通道同时失效）无效。
• 误区四：余度管理逻辑越复杂越好。复杂的余度管理逻辑本身可能成为新的故障源，应保持简洁、可验证。