3. HIL系统架构设计
垂直起降飞行器（VTOL）的HIL验证系统，本质上是一套“把真实机载控制器放进虚拟飞行环境里跑”的闭环平台。它的架构设计不是把几台设备简单堆在一起，而是围绕实时性、信号完整性、故障可控性三条主线，决定每个环节选什么、怎么连、边界划在哪里。本节从整机架构出发，逐层说明各子系统的选型依据与集成原则。
一、整体架构与实时性边界
一套典型的VTOL HIL系统由六类对象构成：实时仿真机（含飞行动力学与环境模型）、IO板卡（模拟量/数字量/离散量/PWM/旋变等）、总线通信接口（CAN/CAN FD、ARINC 429、RS-422、Ethernet）、故障注入单元（FIU）、地面站（GCS）以及视景系统。它们的关系不是串联流水线，而是以实时仿真机为计算核心、以IO与总线为信号枢纽、以FIU为可控扰动源、以地面站和视景为观测与激励界面的星型+闭环结构。
架构设计的第一原则是明确实时边界。VTOL的旋翼动力学、电机响应、舵机带宽通常在几十到几百赫兹量级，若模型步长取1 ms，则仿真机必须在每个步长内完成模型解算、IO采样、总线收发和故障注入逻辑，且抖动（jitter）应控制在步长的10%以内，即100 μs。这决定了仿真机不能是普通工控机，而应选择带实时操作系统（如VxWorks、RT-Linux with PREEMPT_RT或QNX）的实时仿真机，并优先采用多核隔离：一个核跑模型，一个核跑IO与总线，一个核跑监控与日志。
二、实时仿真机选型：算力、步长与接口密度
仿真机选型先看模型规模与步长。以一架四旋翼倾转VTOL为例，若包含6自由度刚体、4个旋翼气动、2个倾转舵机、电池与电机一阶模型，状态量约30～50个，1 ms步长下单核即可满足；但若加入高保真叶素理论或CFD降阶模型，则需多核并行或FPGA加速。工程上常用“模型解算时间 ≤ 步长×30%”作为余量准则，剩余70%留给IO、总线和故障注入逻辑。
接口密度同样关键。VTOL飞控通常需要：16路AI（旋变/霍尔/电压）、8路AO（舵机指令）、32路DI/DO（离散状态与继电器）、4路CAN FD、2路ARINC 429、1路RS-422。选型时应按实际通道数×1.3预留，避免后期扩展时更换整机。若仿真机自带IO不足，应通过PXIe或EtherCAT扩展机箱补齐，而不是用USB转接，因为USB的抖动不可控。
三、IO板卡与总线通信的集成原则
IO板卡的核心指标是分辨率、更新率与隔离。旋变解码建议16 bit、更新率≥10 kHz；舵机PWM输出建议1 μs级分辨率；所有与飞控直接相连的通道必须光电隔离或磁隔离，隔离电压≥1500 V，防止故障注入时高压串入仿真机。模拟量输出建议加RC滤波，截止频率取信号带宽的5～10倍，抑制开关噪声。
总线通信的集成原则是“协议真实、时序可控”。CAN FD应使用真实波特率（如仲裁段1 Mbps、数据段5 Mbps），并配置与机载一致的报文ID和周期；ARINC 429需按Label和SDI字段组织，速率可选12.5 kbps或100 kbps。总线接口卡应支持硬件时间戳，便于事后分析端到端延迟。若飞控使用Ethernet，建议用TSN交换机保证确定性，而不是普通办公交换机。
四、故障注入单元：从“能断”到“可编程、可复现”
FIU不是简单的继电器阵列，而应具备通道级可编程、故障类型可配置、触发条件可脚本化三项能力。典型故障类型包括：模拟量断路/短路到地/短路到电源、信号漂移（如叠加0.5 V偏置）、信号卡滞（保持上一有效值）、PWM占空比跳变、CAN报文丢帧/延迟/ID篡改、ARINC 429字间隔异常。触发条件可设为“时间触发”（如t=10 s注入）、“事件触发”（如高度>5 m时注入）或“手动触发”。
集成时，FIU应串接在IO/总线与被测控制器之间，且正常通路与故障通路物理分离，避免故障注入时影响仿真机自身。每个注入通道应记录注入时刻、故障类型和持续时间，便于与飞控日志对齐复现。
五、地面站与视景系统：观测、激励与判据
地面站承担指令下发、遥测显示、告警记录和试验管理。它应能实时显示姿态、位置、电机转速、电池电压、总线负载率等关键量，并支持一键记录。视景系统则提供外部视觉反馈，用于验证视觉导航、避障或飞行员在环场景。若飞控使用相机，视景系统需输出与真实相机一致的图像分辨率和帧率，并通过HDMI或SDI注入；若仅用于监控，则可用普通三维渲染，帧率≥30 fps即可。
集成原则是“观测不干扰控制”：地面站和视景系统应通过独立网口或反射内存与仿真机通信，不占用控制总线带宽。地面站刷新率可低于仿真步长，但遥测记录必须带时间戳，且时间基准与仿真机一致。
六、集成检查要点
- 实时性验证：空载与满载下分别测量模型步长抖动，确认≤100 μs。
- 信号链校准：从仿真机输出到飞控采集，逐通道核对量程、偏置和单位。
- 故障注入复现：同一故障脚本连续执行3次，飞控响应应一致。
- 总线负载：CAN FD负载率建议≤50%，ARINC 429≤70%。
- 时间同步：仿真机、FIU、地面站使用同一PTP或IRIG-B时基。