2. eVTOL飞控系统基础
eVTOL（电动垂直起降飞行器）的飞控系统是其安全飞行的核心保障，与传统固定翼飞机或直升机相比，eVTOL在架构上呈现出鲜明的分布式、高冗余和强耦合特征。理解飞控系统的硬件架构与关键组件，是开展测试验证工作的前提。本章将系统梳理飞控系统的典型架构、三大核心组件（传感器、执行器、计算单元）的功能定位，并重点剖析每个组件在测试流程中的角色与关注点，为后续章节的测试方法设计奠定基础。
2.1 飞控系统架构：从集中式到分布式的高冗余设计
eVTOL的飞控系统架构与传统飞机最大的差异在于其分布式电力推进（DEP）特性。一架典型的eVTOL可能拥有6至16个甚至更多的电机和旋翼，每个电机都需要独立的控制通道，这直接决定了飞控系统必须采用高度分布式的架构。当前主流的eVTOL飞控架构可归纳为“三域分层”模型：传感器域（感知层）、计算单元域（决策层）和执行器域（执行层）。
在计算单元层面，业界普遍采用三余度或双余度飞控计算机（FCC）架构。三余度系统（如A/B/C三通道）通过表决机制实现故障容错：当某一通道输出异常时，系统通过“多数表决”或“自监控+交叉监控”机制自动隔离故障通道，由剩余健康通道接管控制。这种架构在测试中意味着必须验证通道间的同步性、表决逻辑的正确性以及故障切换的瞬态行为。
从总线拓扑来看，eVTOL飞控系统通常采用AFDX（航空电子全双工交换以太网）、CAN总线或ARINC 429等混合总线架构。传感器数据通过数据集中器汇聚后，以确定性的时间片或优先级机制发送至FCC；FCC解算出的控制指令则通过独立的指令总线分发至各电机控制器。测试时需要特别关注总线负载率、消息延迟抖动（Jitter）以及总线故障（如单点断路、短路）对系统的影响。
2.2 关键组件一：传感器——飞控系统的“感知神经”
传感器是飞控系统获取飞行状态信息的唯一来源，其数据质量直接决定了控制精度和安全性。eVTOL飞控系统通常集成的传感器包括：
| 传感器类型 | 测量参数 | 典型精度/性能 | 测试中的角色 |
|---|---|---|---|
| IMU（惯性测量单元） | 三轴角速度、三轴加速度 | 陀螺零偏稳定性：≤1°/h；加速度计零偏：≤1mg | 姿态解算核心输入；需验证温度漂移、振动鲁棒性 |
| GNSS（全球导航卫星系统） | 位置、速度、时间 | RTK模式下厘米级定位精度 | 导航定位基准；需测试信号丢失、多路径干扰场景 |
| 空速/气压高度计 | 空速、气压高度、升降速率 | 空速精度：±2%FS；高度精度：±1m（静态） | 垂直导航与失速保护；需测试静压孔堵塞等故障 |
| 磁力计 | 地磁场三轴分量 | 航向精度：±1°（校准后） | 航向参考；需测试磁干扰环境下的鲁棒性 |
| 激光雷达/视觉传感器 | 障碍物距离、环境感知 | 探测距离：50-200m；FOV：≥90° | 避障与自主飞行；需测试不同光照、天气条件 |
| 电压/电流/温度传感器 | 电池状态、电机温度 | 电流精度：±1%；温度精度：±2°C | 电源管理与热保护；需测试过压、欠压、过温场景 |
在测试中，传感器扮演着“激励源”的角色。测试人员通过传感器模拟器（如GNSS信号模拟器、IMU转台、气压模拟箱）向飞控系统注入精确的物理量或电信号，以验证飞控算法对特定飞行状态的响应。传感器测试的关键指标包括：数据更新率、延迟、噪声特性、故障自检（BIT）覆盖率。例如，IMU的故障自检必须能识别出传感器内部MEMS器件的卡死或漂移故障，并在规定时间内（通常小于100ms）向飞控计算机上报故障标志。
2.3 关键组件二：执行器——飞控系统的“力量输出”
执行器是飞控指令的最终执行者，其响应速度、精度和可靠性直接决定了飞行品质。eVTOL的执行器主要包括：电机控制器（ESC）、无刷直流电机（BLDC/PMSM）、伺服舵机（用于倾转机构或气动舵面）以及电源分配单元（PDU）。
电机控制器是eVTOL执行器中最核心的部件。它接收飞控计算机发出的转速或扭矩指令，通过FOC（磁场定向控制）算法驱动电机旋转。在测试中，电机控制器需要验证以下关键参数：
- 指令响应延迟：从指令输入到电机转速达到目标值的90%所需时间，通常要求小于50ms。
- 转速控制精度：稳态转速误差应小于±1%额定转速。
- 堵转保护：当旋翼被卡住时，控制器应在100ms内检测到过流并实施保护，避免烧毁电机。
- 通信故障降级：当指令总线中断时，控制器应能自动切换到预设的“安全转速”模式，维持飞行器基本可控。
伺服舵机在倾转旋翼eVTOL中承担着关键的倾转动作。其测试重点包括：最大输出力矩、角速度、位置精度、回程间隙以及极限位置限位保护。在铁鸟台架试验中，舵机需要连接真实的倾转机构负载，模拟不同飞行阶段的受力情况。
2.4 关键组件三：计算单元——飞控系统的“决策大脑”
飞控计算机（FCC）是飞控系统的核心计算单元，负责传感器数据融合、飞行控制律解算、余度管理、任务管理以及健康监测。eVTOL的FCC通常采用PowerPC或ARM架构的高性能处理器，并配备独立的监控处理器（Watchdog）。
在测试中，FCC作为被测对象（DUT），需要从以下几个维度进行验证：
- 控制律解算正确性：通过注入标准测试用例（如阶跃响应、正弦扫频），比对FCC输出与理论计算值，验证控制律实现是否与设计一致。
- 余度切换逻辑：模拟某一通道的处理器故障、内存故障或通信故障，验证系统能否在规定的切换时间（通常小于50ms）内完成通道切换，且切换过程中姿态扰动在允许范围内。
- 资源余量验证：在最大负载工况下（所有传感器满频更新、所有控制任务全速运行），FCC的CPU占用率应低于70%，内存占用率低于80%，确保系统有足够的计算余量应对突发任务。
- 上电自检（PBIT）与周期自检（CBIT）：验证FCC在上电时能否在2秒内完成所有硬件资源的自检，并在运行过程中周期性检测关键参数（如电压、温度、时钟漂移）是否超限。
背景与约束：某eVTOL项目采用三余度FCC架构，适航审定要求单通道故障后系统能在50ms内完成切换，且切换过程中姿态角变化不超过3°。
初始现象：在HIL测试中，人为注入A通道处理器死机故障后，系统切换耗时约80ms，姿态角扰动达到5.2°，超出适航要求。
分析过程：通过分析飞控数据记录仪（FDR）数据发现，切换延迟主要来自两个方面：一是A通道故障检测算法依赖“心跳信号”超时判断，超时阈值设置为100ms，导致故障发现过晚；二是B/C通道在接收A通道故障标志后，需要重新同步传感器数据，同步过程耗时约30ms。
实际操作步骤：①将心跳超时阈值从100ms缩短至30ms，并增加“数据异常”快速检测逻辑（如连续3帧数据校验失败即判定故障）；②优化通道间数据同步机制，将同步周期从10ms缩短至5ms，并采用“预测补偿”算法减少同步等待时间；③增加故障预判功能，当A通道的传感器数据出现异常趋势（如连续2帧偏差超过阈值）时，提前启动切换准备。
结果对比：优化后，故障切换时间缩短至35ms，姿态角扰动降至2.1°，满足适航要求。同时，误切换率从0.5次/千小时降至0.1次/千小时。
风险与代价：缩短心跳超时阈值可能增加因通信瞬时抖动导致的误判风险，因此增加了“去抖滤波”逻辑（连续3次确认才判定故障）。该优化增加了约15%的软件复杂度，但换来了显著的安全性能提升。
复盘经验：余度切换测试不能仅关注“是否切换成功”，更要关注“切换的瞬态品质”。建议在测试用例中增加“故障注入时刻”的随机化，覆盖故障发生在不同飞行阶段（悬停、巡航、过渡段）的场景。
2.5 测试中的常见误区与总结复盘
在eVTOL飞控系统测试实践中，测试团队常陷入以下误区，需要引起高度警惕：
| 误区描述 | 潜在后果 | 正确做法 |
|---|---|---|
| 只测试传感器“正常”输出，忽略故障模式 | 传感器故障时飞控算法可能产生不可预测行为 | 建立完整的传感器故障模式库（卡死、漂移、噪声、断线、超时），逐一注入测试 |
| 执行器测试使用理想负载模型 | 真实气动负载下执行器响应不达标 | 采用动态负载模拟器，结合飞行工况实时计算负载 |
| 余度切换测试只关注“是否切换” | 切换瞬态扰动过大，影响飞行安全 | 同时评估切换时间、切换过程中的姿态扰动、控制指令连续性 |
| 忽略传感器数据时间同步 | 多传感器数据融合时产生虚假状态估计 | 在测试台架中引入时间同步校验机制，确保各传感器数据时间戳偏差小于1ms |
| 将FCC的CPU占用率测试放在空载状态 | 实际满负载运行时可能出现任务超时 | 在最大传感器更新率、最大控制频率、所有外设全速工作的“极限工况”下测试资源余量 |
总结复盘：飞控系统测试的本质是“验证系统在已知和未知条件下的行为是否符合预期”。对于eVTOL这一新型飞行器，测试工程师必须深入理解飞控架构的每一个细节，将传感器、执行器、计算单元视为一个有机整体，而非孤立的部件。在制定测试策略时，建议采用“自底向上、逐级集成”的方法：先进行单元级测试（如单个IMU的精度测试），再进行子系统级测试（如传感器融合算法测试），最后进行系统级测试（如全系统HIL测试）。每一级测试都要明确测试目标、通过判据和故障注入策略，确保测试的完整性和有效性。