3. 飞控系统架构与安全关键性

飞控系统是无人机、通航飞机及eVTOL等航空器的核心中枢，其架构设计直接决定了整机的安全边界与任务可靠性。本章围绕飞控系统的物理组成、安全关键等级划分方法、典型冗余架构（三余度、双余度）以及贯穿全生命周期的安全设计原则展开，帮助学员建立从“器件选型”到“系统级容错”的完整认知框架。我们将重点剖析“余度管理”与“故障-安全”之间的工程权衡，并通过实际案例说明架构决策对适航取证和运营安全的影响。

上图展示了飞控系统安全关键架构的核心分层：传感器层、飞控计算机层、执行机构层以及支撑性的电源与监控层。各层之间通过冗余总线连接，并遵循“故障-安全”与“余度管理”两大核心设计哲学。接下来，我们将逐层深入，解析每一部分的安全关键性要求与实现路径。

3.1 飞控系统组成与功能边界

飞控系统的物理组成通常划分为五个功能域：感知域（惯性测量单元IMU、全球导航卫星系统GNSS、大气数据系统ADS、磁力计等）、决策域（飞行控制计算机FCC，含姿态解算、导航制导与控制律计算）、执行域（舵机、电机控制器、作动器）、接口域（传感器总线、执行机构总线、遥控遥测链路）以及能源域（主电源、备份电源、配电单元）。每个功能域都有明确的安全职责，例如感知域负责提供准确、可信的状态估计，决策域负责生成无冲突的控制指令，执行域必须快速、准确地响应指令并反馈实际位置。

从安全关键性角度看，飞控系统并非所有部件都处于同一等级。例如，用于姿态稳定的IMU和FCC属于A级（灾难性故障）部件，其失效可能导致坠机；而用于任务载荷控制的接口模块可能仅属于C级或D级。因此，架构设计的第一步是进行功能危害评估（FHA），将每个功能映射到对应的安全等级，再据此决定冗余策略和监控深度。

3.2 安全关键等级划分方法

安全关键等级的划分不是一次性的静态活动，而是贯穿系统设计、验证和运营的持续过程。具体操作流程如下：

1. 功能清单建立：列出飞控系统所有功能，包括正常模式、降级模式和应急模式下的功能。
2. 故障条件识别：针对每个功能，分析可能的故障模式（如传感器漂移、执行器卡死、通信中断）。
3. 影响评估：评估故障对飞机、乘员、地面第三方的影响程度，参考FHA表格中的严重度定义。
4. 等级分配：将影响等级映射到安全等级（A-E），并记录在系统需求文档中。
5. 概率预算分配：将整机安全目标（如10⁻⁹）分解到每个功能、每个部件，形成可靠性预算表。

安全等级	故障影响	允许概率（/飞行小时）	典型飞控部件	冗余要求
A级	灾难性（坠机）	<10⁻⁹	FCC、IMU、主舵机	三余度或双余度+自监控
B级	危险（严重损伤）	<10⁻⁷	GNSS、空速管	双余度
C级	重大（任务中断）	<10⁻⁵	任务载荷接口	单套+健康监测
D级	轻微（性能下降）	<10⁻³	遥测发射机	无强制冗余

值得注意的是，等级划分并非越高越好。过度冗余会带来重量、成本和复杂度的急剧上升，反而可能引入新的故障源。因此，架构师需要在安全目标与工程可行性之间寻找平衡点。

3.3 典型冗余架构：三余度与双余度

飞控系统的冗余架构主要分为三余度（Triplex）和双余度（Dual）两种基本形态，此外还有“双余度+自监控”的混合模式。三余度架构通常用于大型运输机或高安全等级eVTOL，其核心是“多数表决”机制：三个通道独立计算，输出经过表决器取多数一致的结果。这种架构能够容忍单通道故障（包括软件故障），但需要解决“共因故障”问题——例如三个通道使用相同版本的软件，可能同时被同一个逻辑漏洞影响。

双余度架构则常见于中小型无人机或通航飞机，其核心是“故障检测+切换”机制。两个通道互为备份，当主通道检测到自身故障时，切换至备份通道。这种架构的挑战在于故障检测的准确性和切换的瞬态行为。如果检测逻辑本身存在盲区，可能导致两个通道同时失效。因此，现代双余度系统通常引入非相似性设计——两个通道采用不同的处理器、不同的传感器型号甚至不同的软件语言，以降低共因故障概率。

在实际工程中，还常见“2+1”架构：两个主动通道加一个独立监控通道。监控通道不参与控制，只负责比较两个主动通道的输出，并在不一致时触发安全机制。这种架构兼顾了可靠性与成本，是许多eVTOL项目的首选。

3.4 安全设计原则与工程实践

无论采用何种冗余架构，飞控系统的安全设计都必须遵循以下核心原则：

• 故障隔离：任何通道的故障不得影响其他通道。实现手段包括物理隔离（独立PCB、独立电源域）、电气隔离（光耦、变压器）和逻辑隔离（独立内存分区）。
• 故障检测与自监控：每个通道必须能够检测自身故障，包括CPU自检、内存校验、传感器合理性检查（如IMU加速度计与陀螺仪交叉验证）。
• 降级策略：当部分通道失效时，系统应平滑降级。例如从三余度降为双余度，再降为单通道+限制性能模式，而不是直接停机。
• 共因故障防护：通过非相似硬件、非相似软件、独立供电和独立时钟来避免系统性故障。
• 确定性与可验证性：所有故障处理路径必须是确定性的，且能够通过形式化方法或穷举测试验证。

3.5 案例拆解：某eVTOL三余度飞控架构的故障注入测试

某eVTOL项目采用三余度飞控架构，目标是通过EASA SC-VTOL认证。在实验室阶段，团队进行了故障注入测试，以验证架构的容错能力。测试场景如下：

背景与约束：飞控系统由三个FCC通道（A/B/C）组成，每个通道独立供电，通过CAN总线交叉通信。执行机构为双绕组舵机，每个绕组由不同通道驱动。测试要求：在单通道完全失效、双通道同时失效（模拟共因故障）以及传感器数据异常三种情况下，系统均能保持安全可控。

初始现象：在第一次测试中，当通道A的IMU数据注入+5g的偏置时，表决器输出了错误姿态，导致舵机指令异常。分析发现，表决逻辑采用“中值选择”，但未考虑传感器量程范围，导致偏置数据被误认为有效。

关键输入数据：IMU量程为±16g，偏置+5g在量程内；通道B和C数据正常。表决器输出为A/B/C的中值，即+5g，而真实值应为0g。

分析判断过程：团队定位到两个问题：一是缺少传感器合理性检查（如与重力加速度比较），二是表决逻辑未设置“离群值剔除”机制。随后，在表决前增加了“一致性检测”步骤：计算三个通道的方差，若方差超过阈值，则剔除离群通道并重新表决。

实际操作步骤：1. 在FCC软件中增加IMU数据合理性检查模块，比较加速度计模值与1g的偏差；2. 修改表决算法，加入“中值+方差阈值”逻辑；3. 增加故障注入测试用例，覆盖传感器偏置、漂移和卡死场景。

结果对比：修改后，注入相同偏置时，系统正确识别通道A故障并剔除，输出B/C的中值，舵机指令恢复正常。后续测试中，双通道同时失效时，系统自动切换至单通道+性能限制模式，实现了安全着陆。

风险与代价：增加一致性检测引入了约5ms的额外延迟，对于飞控周期（通常为1-10ms）来说可接受，但需要评估对控制律相位裕度的影响。此外，方差阈值的选取需要大量统计测试，阈值过小会误剔除正常数据，过大则无法有效识别故障。

复盘经验：三余度架构的可靠性不仅取决于通道数量，更取决于表决逻辑的智能程度。单纯的中值选择无法应对“两个通道同时受共因影响”的场景。必须结合传感器物理模型、健康监测和自适应表决策略，才能实现真正的安全关键性。