1. 飞控系统总体设计导论
固定翼飞行器的飞控系统，本质上是一套把“飞行意图”翻译成“舵面与推力动作”的闭环控制系统。它接收来自地面站、任务管理计算机或自主导航模块的指令，结合惯性测量单元（IMU）、大气数据系统（空速管、静压孔）、磁力计与GNSS提供的状态信息，解算出当前姿态、速度与位置，再通过控制律生成升降舵、副翼、方向舵和油门的指令，最终由舵机与发动机执行。理解飞控系统的功能边界，是总体设计的第一步：它管什么、不管什么，直接决定了接口划分与安全性责任。
从功能边界看，飞控系统通常承担增稳、姿态控制、航迹跟踪、导航制导、任务管理、余度管理与故障重构等职责。但它一般不直接负责气动外形设计、结构强度、发动机本体控制（除非是FADEC集成）、起落架收放逻辑（可由飞控发指令但执行机构独立）以及地面维护测试设备。边界模糊是总体设计中最常见的风险来源，例如把大气数据校准算法放在飞控内还是传感器内，会直接影响余度架构和适航审定路径。
典型固定翼飞控架构可分为三类：单余度、双余度与三余度/四余度。单余度架构成本低，常见于小型无人机，但任何单点故障都可能导致任务失败；双余度通过主备切换提升可用性，但切换瞬态可能引起姿态扰动；三余度及以上采用多数表决，能容忍一次故障而不影响任务，是有人机与中大型无人机的主流选择。下图给出一种典型的三余度飞控系统信号链与表决关系，帮助建立“传感器—计算—表决—执行”的整体印象。
设计流程通常从需求捕获开始。需求包括功能需求（如“实现定高巡航，高度误差不超过±15 m”）、性能需求（如“姿态控制带宽不低于2 Hz”）、安全需求（如“单点故障不得导致灾难性后果”）和适航需求。随后进入架构设计，确定余度等级、总线拓扑、供电方案与接口定义。控制律设计阶段需要建立六自由度非线性模型，在配平点线性化后设计增益，再通过频域或时域指标验证稳定裕度。最后是集成测试与适航验证。
适航约束是总体设计中不可回避的硬边界。以有人机为例，FAR/CS 23部或25部对飞控系统的失效概率有明确要求：灾难性失效概率低于10⁻⁹/飞行小时，危险性失效低于10⁻⁷/飞行小时。这意味着单余度架构几乎不可能满足有人机适航要求。对于无人机，适航标准因国家和地区而异，但总体趋势是要求进行系统安全评估（SSA），识别所有失效模式并给出缓解措施。下表给出一个简化的失效概率与架构对应关系示例，用于教学理解。
| 失效等级 | 允许概率（每飞行小时） | 典型架构要求 | 示例失效 |
|---|---|---|---|
| 灾难性 | < 10⁻⁹ | 三余度或四余度 + 独立供电 | 舵面失控、姿态发散 |
| 危险性 | < 10⁻⁷ | 双余度 + 故障检测与隔离 | 单通道传感器漂移 |
| 较大 | < 10⁻⁵ | 单余度 + 告警 | 非关键状态显示失效 |
| 轻微 | 无硬性要求 | 基本冗余即可 | 地面维护接口故障 |
在实际工程中，总体设计还需要回答几个关键问题：飞控计算机是采用同构余度还是异构余度？同构余度成本低但共因故障风险高，异构余度（如不同处理器架构或不同软件版本）能降低共因失效概率，但开发和验证成本显著增加。总线选择上，ARINC 429适合点对点低速传输，MIL-STD-1553B适合集中式命令/响应，CAN总线在小型无人机中广泛使用，而AFDX或TTEthernet则用于高带宽、确定性传输场景。供电方案必须考虑独立电源、电源切换瞬态和掉电保持时间。
设计流程的最后一步是验证与确认。验证（Verification）回答“是否正确地构建了系统”，确认（Validation）回答“是否构建了正确的系统”。对于飞控系统，验证手段包括硬件在环仿真（HIL）、铁鸟试验、飞行试验；确认手段包括需求评审、安全性评估和适航审定。总体设计导论的核心，就是让设计者在动手写代码之前，先想清楚功能边界、架构余度、设计流程与适航约束这四件事，否则后期修改的代价将呈指数级上升。