3. 飞控系统概述
飞控系统（Flight Control System, FCS）是飞行器的“神经中枢”，其核心使命是感知飞行状态、处理飞行员或自动驾驶仪的指令，并通过操纵舵面或推力矢量精确控制飞行器的姿态与轨迹。在功能安全分析语境下，飞控系统不仅是实现飞行性能的载体，更是决定整机安全等级的最高优先级子系统。本章将系统梳理飞控系统的物理组成、功能边界、典型架构演进，并重点剖析其安全关键性（Safety Criticality）的根源与工程含义，为后续开展FHA（功能危害评估）、FMEA（失效模式与影响分析）及FTA（故障树分析）奠定对象基础。
3.1 飞控系统的物理组成与功能边界
核心原理：飞控系统是一个典型的闭环控制系统，其物理组成可划分为三个层级：感知层（测量飞行状态）、处理与决策层（计算控制指令）、执行层（驱动舵面产生力矩）。此外，人机接口（HMI）和监控告警系统作为支撑性功能模块，贯穿于三个层级之间。理解这一分层是进行功能危害评估（FHA）的基础——每一层级的失效模式、失效影响和检测手段均有本质差异。
感知层包含惯性测量单元（IMU，通常由3个陀螺仪和3个加速度计组成）、大气数据系统（空速、高度、攻角）、卫星导航接收机（GNSS）以及作动器位置传感器。感知层输出的数据质量直接决定了控制律解算的准确性。例如，若攻角传感器发生偏置故障，可能导致迎角限制器错误触发，进而引发非指令俯仰机动。
处理与决策层是飞控系统的“大脑”，通常由飞行控制计算机（FCC）承担。FCC内部运行着控制律软件（如PID、LQR、动态逆等算法），并集成余度管理逻辑（如双通道交叉监控、三通道表决）。在电传飞控（FBW）系统中，FCC还负责对飞行员指令进行“包线保护”和“增益调度”。
执行层包括伺服作动器（电动或液压）、舵面（副翼、升降舵、方向舵、扰流板等）以及可能的推力矢量装置。执行层的动态响应特性（带宽、延迟、速率限制）是控制律设计的重要约束，也是FMEA分析中重点关注的对象。
3.2 飞控系统的关键功能与安全目标
飞控系统的关键功能可归纳为以下四类，每类功能均对应明确的安全目标（Safety Objectives）：
| 功能类别 | 具体功能 | 典型失效模式 | 安全目标（示例） |
|---|---|---|---|
| 姿态稳定与控制 | 俯仰/滚转/偏航角速率控制、姿态保持 | 控制律软件跑飞、传感器漂移 | 非指令俯仰/滚转率 ≤ 特定阈值 |
| 轨迹制导与导航 | 航路点跟踪、自动着陆、垂直导航 | GNSS信号丢失、导航数据库错误 | 横向/纵向航迹偏差在包线内 |
| 飞行包线保护 | 迎角限制、过载限制、速度保护 | 限制器参数错误、传感器故障 | 不超出结构/气动极限 |
| 地面与空中状态管理 | 地面扰流板预位、空中/地面模式切换 | 起落架信号误判、模式切换逻辑错误 | 防止空中误开地面扰流板 |
判断方法：在FHA中，每个功能都需要按照“失效状态（Failure Condition）→ 对飞机/机组/乘客的影响 → 严重度分类（Catastrophic/Hazardous/Major/Minor）→ 安全目标（概率要求）”的路径进行推导。例如，“自动着陆功能失效”在低能见度条件下可能被分类为Hazardous，要求其发生概率小于1×10⁻⁷/飞行小时；而“自动着陆功能提供错误的下滑道截获指令”则可能直接导致坠机，被分类为Catastrophic，要求概率小于1×10⁻⁹/飞行小时。
3.3 典型飞控架构：从机械联动到电传飞控（FBW）
核心原理：飞控架构的演进本质上是“信号传递介质”和“控制权限分配”的变革。传统机械飞控通过钢索和连杆将飞行员操纵力直接传递到舵面，结构简单但重量大、无法实现主动增稳。电传飞控（Fly-By-Wire, FBW）则完全取消机械连杆，飞行员指令通过电信号传输至FCC，由FCC解算后驱动作动器。FBW的核心优势在于：① 减轻重量；② 易于实现包线保护；③ 便于余度管理和系统重构。
典型的FBW架构包含以下关键特征：
- 余度配置：常见为三余度或四余度FCC（如空客A320采用2+2余度，波音777采用3余度）。余度设计需考虑共模失效（如软件设计错误导致的同源故障）。
- 控制律分级：通常分为正常法则（Normal Law）、备用法则（Alternate Law）和直接法则（Direct Law）。当传感器或执行机构故障时，控制律自动降级，保证飞机仍可控。
- 数据总线：采用ARINC 429、ARINC 629或AFDX等航空总线进行数据交换，总线本身也需要进行完整性监控。
案例拆解：空客A320的FBW降级逻辑
空客A320是第一款大规模应用电传飞控的商用客机。其FCC包含两个独立的计算机组（PRIM和SEC），每组内部又分为两个通道。当全部传感器正常时，飞机处于正常法则，提供俯仰/滚转包线保护。若迎角传感器故障，系统自动切换至备用法则，此时失去迎角保护，但飞行员仍能获得完整的操纵权限。若所有PRIM失效，则切换至直接法则，此时控制律退化为简单的增益比例，飞机仍可操纵但无自动配平。这一降级逻辑的设计目标是在任何单一失效（甚至部分双失效）下，飞机都能保持可控，且飞行员有清晰的告警提示。
该案例的工程启示在于：架构设计必须与FHA结果闭环。FHA识别出“失去迎角保护”为Hazardous级失效，因此架构中必须提供备用法则作为缓解措施；同时，备用法则的激活逻辑（传感器故障检测与隔离）本身也需要满足相应的完整性等级。
3.4 自动驾驶系统（Autopilot）与飞行管理系统的安全交互
自动驾驶系统（AP）和飞行管理系统（FMS）是飞控系统的重要延伸。AP通过伺服回路直接控制舵面，而FMS负责航路规划、性能计算和垂直剖面管理。在功能安全分析中，AP/FMS与核心飞控的接口是重点审查对象。
关键安全交互点包括：
- 模式切换逻辑：从自动驾驶接通到断开、从高度保持到垂直速度模式，切换瞬间的瞬态响应必须平滑，防止产生非指令机动。
- 指令优先级：当飞行员手动操纵与自动驾驶指令冲突时，必须明确优先级。通常设计为飞行员超控（Pilot Override），但需通过力传感器或按钮确认，防止误触。
- FMS导航数据错误：导航数据库中的航路点坐标错误可能导致飞机偏离航线，甚至飞入禁飞区。因此，FMS数据加载需经过交叉校验，且AP在偏离航线超过阈值时应发出告警并自动断开。
3.5 飞控系统的安全关键性等级与研制保证要求
根据SAE ARP4754A和DO-178C，飞控系统的安全关键性等级（DAL）通常为A级（最高等级）。这意味着：
- 失效概率要求：灾难性失效状态的平均发生概率小于1×10⁻⁹/飞行小时。
- 研制保证：软件需满足DO-178C的DAL A要求，硬件需满足DO-254的DAL A要求，包括形式化方法、MC/DC覆盖率、独立验证等。
- 系统架构：必须采用余度设计，且余度通道之间需满足隔离性要求（防止共模失效）。
常见误区：许多初学者将“安全关键性”等同于“系统复杂度”。实际上，安全关键性取决于失效后果的严重度，而非系统本身的技术难度。例如，一个简单的起落架收放控制开关，如果其失效可能导致起落架未放下而着陆，同样属于Catastrophic级，需要严格的研制保证。因此，在FHA中，必须逐项功能评估，而非笼统地按系统划分。