3. 飞控CAN设备类型
在飞控CAN总线系统中，设备并非同质化的“节点”。传感器、执行机构、电源管理模块和通信网关在数据方向、实时性、失效后果和冗余策略上存在显著差异。若对所有设备采用统一的冗余方案，要么造成资源浪费，要么在关键环节留下单点故障。本节从设备特性出发，建立分类冗余需求的分析框架。
一、核心原理：按“失效后果”而非“设备名称”分类
冗余设计的起点不是设备叫什么，而是它失效后飞控会失去什么。据此可将CAN设备分为四类：
- 传感器类：数据生产者，周期性上报姿态、空速、高度、电压、电流等。失效后果是飞控“看不见”某个物理量，可能导致控制律误判。
- 执行机构类：指令消费者，接收舵面、电机、油门等控制指令。失效后果是飞控“动不了”或“动错”，直接威胁飞行安全。
- 电源管理类：能量监控与分配，上报电池电压、电流、温度、剩余电量，并执行配电开关。失效后果是飞控“不知道还能飞多久”或“无法切断故障负载”。
- 通信网关类：协议转换与数据路由，连接CAN总线与以太网、串口或另一条CAN总线。失效后果是飞控“看不到一整片设备”，属于拓扑级故障。
关键判断：传感器失效通常可降级容忍，执行机构失效必须冗余或具备失效安全位置，电源管理失效影响全局续航判断，通信网关失效则可能切断整条支路。冗余优先级应依次为：执行机构 > 通信网关 > 电源管理 > 传感器。
二、设备特性与冗余需求对照
下表从数据方向、实时性、失效后果和推荐冗余方式四个维度，对四类设备进行对照分析。
| 设备类型 | 数据方向 | 实时性要求 | 典型失效后果 | 推荐冗余方式 |
|---|---|---|---|---|
| 传感器 | 上报（生产者） | 中高，周期10~100ms | 控制律输入缺失或错误 | 双传感器交叉校验，或同总线双节点 |
| 执行机构 | 接收（消费者） | 高，周期5~20ms | 舵面/电机失控 | 双CAN通道+双电源，失效安全位置 |
| 电源管理 | 双向（上报+控制） | 中，周期50~200ms | 电量误判、配电失效 | 双路供电采样，关键开关冗余 |
| 通信网关 | 双向（路由） | 高，转发延迟<5ms | 整条支路设备失联 | 双网关热备，或环形拓扑旁路 |
三、方法流程：从设备清单到冗余方案
实际工程中，可按以下流程完成冗余需求分析：
- 建立设备清单：列出所有CAN节点，标注设备类型、CAN ID、报文周期、数据方向。
- 失效模式分析：对每个节点，分析“完全失联”“数据错误”“数据延迟”三种失效模式的影响。
- 确定冗余等级：根据失效后果，将节点划分为“必须冗余”“建议冗余”“可降级容忍”三级。
- 选择冗余方式：同总线双节点、双CAN通道、双电源、网关热备或环形拓扑。
- 验证切换逻辑：通过故障注入测试，确认主备切换时间和数据一致性。
# 设备冗余配置示例（YAML片段）
can_devices:
- name: imu_primary
type: sensor
can_id: 0x101
period_ms: 10
redundancy: dual_node
backup: imu_secondary
- name: servo_aileron
type: actuator
can_id: 0x201
period_ms: 10
redundancy: dual_channel
fail_safe: neutral
- name: power_monitor
type: power
can_id: 0x301
period_ms: 100
redundancy: dual_sample
- name: gateway_can_eth
type: gateway
can_id: 0x001
redundancy: hot_standby
switchover_ms: 50
四、案例场景：某中型无人机CAN设备冗余配置
某中型无人机采用双CAN总线架构，关键设备配置如下：
- IMU：双IMU分别接入CAN1和CAN2，飞控交叉校验，偏差超过阈值时切换主IMU。
- 舵机：每个舵机具备双CAN接口，同时接收两路指令，内部仲裁后执行；失联时舵面回中。
- 电源管理：双电池分别采样，CAN上报电压电流，飞控综合判断剩余电量。
- 通信网关：双网关热备，主网关故障后50ms内切换，地面站无感知。
经验：执行机构冗余不能只做“双通道通信”，还要考虑供电冗余和失效安全位置。若舵机失电后停在满舵位置，双CAN通道也无法避免灾难。
五、误区与复盘
常见误区一：所有设备都上双冗余。传感器数量多，全部双冗余会增加总线负载和成本，应按失效后果分级。
常见误区二：只做通信冗余，忽略供电冗余。执行机构和网关若共用一路电源，电源故障时双CAN通道同时失效。
常见误区三：网关冗余未考虑切换时间。热备切换若超过控制周期，飞控可能已进入失控状态。
复盘时建议用故障树方法，从“飞控失去控制”反推各设备失效路径，识别真正的单点故障。只有把设备特性、失效后果和冗余方式三者对齐，CAN冗余设计才既有针对性又不浪费资源。