📚 课程目录第4章三余度架构原理

4、三余度架构原理：组成、工作模式、表决机制与故障容错的基本思想

三余度（Triplex）架构是飞控计算机系统中最经典、应用最广泛的余度管理形式之一。其核心思想是通过三套完全相同的通道并行工作，在任一通道发生故障时，依靠多数表决机制隔离故障通道，保证系统继续输出正确的控制指令。本章从架构组成、工作模式、表决机制和故障容错思想四个维度展开，帮助学员建立对三余度飞控系统的整体认知框架。

4.1 三余度架构的组成与通道划分

三余度飞控计算机在物理上由三个独立的通道（Channel）构成，每个通道在功能上完整覆盖从传感器输入到伺服输出的全链路。通道之间通过交叉数据链路（Cross-Channel Data Link, CCDL）进行数据交换，实现同步、比较和表决。每个通道内部通常包含以下核心模块：

传感器接口单元：负责采集惯性测量单元（IMU）、大气数据计算机（ADC）、航向姿态参考系统（AHRS）等传感器的原始数据，并进行信号调理和模数转换。每个通道拥有独立的传感器供电和信号调理电路，避免共因故障。
控制律解算单元：通常采用高性能CPU或DSP，运行相同的飞控软件，完成姿态控制、导航解算、指令生成等任务。三个通道运行完全相同的控制律代码，但输入数据可能因传感器差异而略有不同。
输出驱动单元：将数字控制指令转换为模拟信号或PWM信号，驱动伺服作动器。输出级通常包含功率放大、电流检测和回中电路。
交叉数据链路（CCDL）：每个通道通过高速串行总线（如ARINC-429、CAN或专用LVDS链路）与其他两个通道交换关键数据，包括传感器原始数据、中间计算结果、最终输出指令和通道健康状态字。
通道监控与自检电路：包括看门狗定时器、电源监控、内存校验（如ECC）、指令执行时间监控等，用于实时检测通道内部故障。

  设计要点：三余度架构的物理隔离是容错的基础。三个通道应尽量使用独立的电源模块、独立的时钟源、独立的PCB板卡，并在结构上分开布局，防止单一物理事件（如电源浪涌、局部过热）同时损坏多个通道。通道间的电气隔离通常通过光耦或变压器实现。

4.2 工作模式与同步机制

三余度系统在工作过程中根据通道健康状态和系统阶段，运行在不同的工作模式下。理解这些模式是掌握三余度架构的关键。

工作模式	参与通道数	触发条件	输出策略	典型应用阶段
全三余度模式	3	所有通道健康	三取二表决输出	正常飞行全程
双余度降级模式	2	单通道故障被隔离	双通道比较输出，不一致时切换	单故障后继续飞行
单余度应急模式	1	两个通道故障	单通道直接输出	应急返场/迫降
地面维护模式	1~3	地面测试/排故	单通道逐一测试	起飞前检查/维修

三余度系统要求三个通道在时间上保持同步，才能进行有效的表决。同步机制通常采用以下两种方式之一：

硬同步：通过专用的同步脉冲信号线，由主通道产生周期性的同步时钟，强制所有通道在同一时刻开始采样和计算。硬同步延迟小（微秒级），但对同步线本身的可靠性要求高。
软同步：通过CCDL交换各通道的帧计数器和时间戳，由软件算法对齐各通道的计算周期。软同步灵活性好，但同步精度受总线负载影响，通常为毫秒级。

在实际工程中，多数三余度系统采用“硬同步为主、软同步为辅”的混合策略：用硬同步保证帧级对齐，用软同步进行微调补偿。

4.3 表决机制与故障容错思想

表决机制是三余度架构的核心。其基本思想是：当三个通道的输出不一致时，采用“少数服从多数”的原则，选择两个或以上一致的结果作为系统输出，同时将偏离的通道判定为故障通道并予以隔离。

表决可以在不同层级进行：

传感器数据表决：对三个通道采集的同一物理量（如俯仰角速率）进行表决，剔除异常值后再送入控制律解算。这可以防止单个传感器故障污染控制律计算。
中间结果表决：对控制律解算过程中的关键中间变量（如PID输出、限幅前的指令）进行表决，尽早发现计算偏差。
最终输出表决：对三个通道的最终舵面指令进行表决，选择多数一致的指令输出给伺服系统。

表决算法的具体实现通常包括以下步骤：

// 三取二表决伪代码
for each 通道 i (i = A, B, C):
    计算通道i输出值 Vi
    计算通道i健康状态 Hi (1=健康, 0=故障)

// 步骤1: 排除已知故障通道
健康通道集合 S = {i | Hi = 1}

// 步骤2: 两两比较
if |VA - VB| < 阈值 AND |VA - VC| < 阈值:
    输出 = (VA + VB + VC) / 3   // 三通道一致，取平均
elif |VA - VB| < 阈值:
    输出 = (VA + VB) / 2        // A和B一致
    标记C为故障
elif |VA - VC| < 阈值:
    输出 = (VA + VC) / 2        // A和C一致
    标记B为故障
elif |VB - VC| < 阈值:
    输出 = (VB + VC) / 2        // B和C一致
    标记A为故障
else:
    输出 = 保持上一帧值          // 三通道均不一致，保持输出并告警

工程经验：表决阈值的选取至关重要。阈值过小会导致正常误差被误判为故障（虚警），阈值过大会漏掉真实故障（漏检）。通常阈值取传感器噪声标准差的3~5倍，并考虑温度漂移和动态延迟的影响。对于动态信号，还需要引入“延迟补偿”机制，将各通道信号对齐到同一时刻再比较。

4.4 故障容错的基本思想与设计原则

三余度架构的故障容错思想可以概括为“故障检测—故障隔离—系统重构”三步闭环。其核心设计原则包括：

故障检测（Fault Detection）：通过表决比较、自检（BIT）、看门狗、合理性检查等手段，及时发现通道故障。检测覆盖率是衡量系统能力的重要指标，通常要求对关键故障的检测覆盖率不低于95%。
故障隔离（Fault Isolation）：一旦检测到故障，立即将故障通道从表决逻辑中剔除，防止其影响健康通道。隔离动作包括：切断故障通道的输出、将其健康状态字置为“故障”、在CCDL中停止接收该通道数据。
系统重构（System Reconfiguration）：系统从三余度降级为双余度，继续提供控制功能。双余度模式下，表决机制变为“比较+切换”：两个通道输出一致则正常输出，不一致则根据历史可靠性或自检结果选择信任的通道。

三余度系统能够容忍的故障类型包括：单通道完全失效、单通道间歇性故障、单通道传感器漂移等。但需要注意，三余度系统无法容忍以下情况：

关键限制：三余度系统无法应对“共因故障”（Common Cause Failure），即同一原因导致多个通道同时失效。例如：所有通道共用同一电源总线、同一软件版本存在设计缺陷、或所有传感器安装在同一位置受到相同环境干扰。因此，三余度设计必须配合多样性设计（如不同通道使用不同处理器型号、不同软件实现方式）和物理隔离措施。

4.5 案例拆解：某型无人机三余度飞控的故障处置

以某型中大型固定翼无人机为例，其飞控系统采用三余度架构，三个通道分别命名为COM1、COM2、COM3。在一次长航时任务中，飞行至第2小时30分时，地面监控系统收到“通道不一致”告警。

初始现象：COM1与COM2的俯仰角速率输出一致，但COM3的俯仰角速率输出与两者偏差达到12°/s，超过预设阈值（5°/s）。同时，COM3的自检状态字显示“传感器数据异常”。

分析判断过程：

地面工程师首先确认三个通道的同步状态正常，排除同步丢失导致的误判。
对比COM3的原始IMU数据，发现其陀螺仪Z轴输出存在明显的阶跃跳变，且跳变后数据噪声增大。
结合COM3自检结果，判定为COM3的IMU传感器硬件故障，而非控制律软件问题。
系统自动执行故障隔离：将COM3从表决器中剔除，系统降级为双余度模式（COM1+COM2）。

实际操作与结果：故障隔离后，系统输出由COM1和COM2的均值提供，飞行姿态保持稳定。无人机继续完成剩余1小时任务后安全返航。事后检查发现，COM3的IMU内部焊点因振动疲劳出现虚接，导致信号跳变。

风险与代价：在双余度模式下，系统失去了“三取二”的容错能力。如果COM1或COM2再发生故障，系统将降级为单余度，安全性显著下降。因此，地面站按照预案缩短了任务时间，并调整了航线以尽快返航。

复盘经验：

三余度系统的价值在于“检测并隔离”故障，而不是“防止”故障发生。设计时应重点优化故障检测的快速性和准确性。
表决阈值需要根据实际飞行数据持续校准。该机型在后续批次中，将俯仰角速率的表决阈值从5°/s调整为6.5°/s，以降低高机动飞行时的虚警率。
故障隔离后的降级操作必须与飞行任务管理联动，确保飞行员或地面站清楚当前系统的容错余量。

4.6 常见误区与总结

在学习和应用三余度架构时，以下误区需要特别警惕：

误区	正确理解
认为三余度可以容忍任意两个通道故障	三余度只能容忍“一个”通道故障。两个通道同时故障时，系统降级为单余度，已不具备表决能力。
认为表决机制可以解决所有传感器误差	表决只能剔除“偏离多数”的异常值，如果三个传感器同时漂移（共模误差），表决无法纠正。
忽视通道间的独立性	如果三个通道共用电源、时钟或软件代码，则“三余度”实际退化为“单余度”，共因故障会同时击穿所有通道。
将表决阈值设置得过大	过大的阈值会降低故障检测灵敏度，导致故障通道继续参与输出，污染系统指令。

总结而言，三余度架构通过“三个通道并行工作、多数表决输出、故障隔离降级”的机制，在重量、成本和可靠性之间取得了较好的平衡。它既不像双余度那样在单故障后立即失去表决能力，也不像四余度那样带来过高的硬件开销。掌握三余度的组成、工作模式和表决机制，是理解更复杂余度架构（如四余度、非相似余度）的基础。在实际工程中，设计者应始终牢记：余度管理的本质不是“堆硬件”，而是通过合理的架构设计、精确的表决算法和严格的物理隔离，将系统失效率降低到可接受的水平。