3. HIL系统总体架构
硬件在环（HIL）验证的本质，是把被测航空软件从“纸面逻辑”放进一个能实时响应、能施加真实电气信号、能制造故障的闭环环境里。要理解 HIL 系统总体架构，不能只记几个模块名称，而要看清楚一条信号从仿真模型出发，经过 I/O、调理、总线，进入被测软件，再带着控制输出返回模型，形成闭环的完整路径。本节围绕这条路径，说明各部分的职责、接口关系和部署方式。
一、实时仿真机：闭环的时间基准
实时仿真机是 HIL 的“心脏”，它运行飞机/发动机/航电系统的数学模型，并以固定步长推进。航空控制律常要求 1 ms 甚至 0.5 ms 的仿真步长，因此实时仿真机必须保证每个步长内完成模型解算、I/O 读写和总线通信，且抖动可控。常见实现是基于实时操作系统（如 VxWorks、RT-Linux 或专用实时内核）的 PXI/VME 机箱，或分布式实时节点。
实时仿真机内部通常分为三部分：模型解算区（气动、六自由度、作动器、传感器模型）、I/O 映射区（把模型变量绑定到物理通道）、调度与同步区（保证步长、触发和总线周期一致）。模型变量与物理通道之间通过映射表关联，例如“升降舵偏度指令”映射到 AO 通道 3，“迎角反馈”映射到 AI 通道 7。映射关系一旦确定，闭环的物理意义就固定下来。
二、I/O 接口与信号调理：从模型量到真实电气量
实时仿真机输出的是数字量，而被测航空软件所在的真实设备（如飞控计算机、航电处理机）需要的是真实电气信号。I/O 接口负责数模/模数转换和离散量读写，信号调理则负责把信号“翻译”成对方能接受的形态。典型调理包括：
- 量程与偏置：模型输出 -1～+1 的归一化舵面指令，经调理变为 ±10 V 或 4～20 mA 的传感器/作动器信号。
- 隔离与保护：防止被测设备与仿真机之间地环路、过压或短路互相损伤。
- 滤波与阻抗匹配：模拟真实传感器输出阻抗和带宽，避免被测软件因信号“过于理想”而表现出非真实行为。
- 离散量电平转换：如 28 V/开、地/开等航空离散量格式与 TTL 电平之间的转换。
以迎角信号为例：模型算出迎角 6.5°，若传感器标定为 0°对应 2.5 V、每度 0.1 V，则调理输出应为 2.5 + 6.5×0.1 = 3.15 V。这个电压送入被测飞控计算机的 AI 通道，软件读到的就是“真实”迎角。若调理增益或偏置配错，闭环就会在错误的工作点上运行，后续所有验证结论都不可信。
三、总线通信：航空电子链路的真实复现
现代航空软件大量依赖总线交互，HIL 必须复现这些总线。常见包括 ARINC 429、ARINC 664（AFDX）、CAN、MIL-STD-1553B、RS-422 以及以太网。总线通信模块负责按真实协议格式、周期和标签发送/接收数据，使被测软件面对的是与机上一致的通信环境。
例如 ARINC 429 以 32 位字、标签（Label）+ SDI + 数据 + SSM + 奇偶校验的格式传输，HIL 需要按真实速率（高/低速）和更新周期发送。若被测软件依赖某条 429 标签判断大气数据有效性，HIL 就必须在正确周期内给出正确 SSM 位，否则软件会进入降级逻辑。总线通信不仅是“通不通”，更是“时序、格式、状态位是否一致”。
四、故障注入：把异常变成可重复的测试输入
HIL 的核心价值之一，是能在不损坏真实飞机的前提下制造故障。故障注入通常分为三类：信号级（开路、短路、偏置漂移、噪声叠加、信号冻结）、总线级（丢帧、错帧、标签错误、SSM 置无效、总线延迟）、设备级（模拟传感器失效、作动器卡滞、电源跌落）。
故障注入应可编程、可重复、可定时。例如“在 t=12.0 s 时把迎角信号冻结在 4.2°并持续 3 s”，用于验证飞控软件是否能在 500 ms 内检测到迎角无效并切换到备份源。故障注入点通常放在信号调理之后、被测设备之前，或直接嵌入总线通信模块，以便精确控制注入时刻和持续时间。
五、被测航空软件部署方式与闭环回路
被测航空软件在 HIL 中有两种典型部署方式：真实目标机部署（软件运行在真实飞控计算机/航电 LRU 上，HIL 通过真实接口与之连接）和虚拟目标部署（软件运行在宿主机或实时节点上，通过仿真接口替代部分硬件）。前者置信度高，适合适航验证；后者灵活、成本低，适合早期迭代。
无论哪种方式，闭环回路都是：实时仿真机解算飞机状态 → I/O 与调理输出传感器/总线信号 → 被测软件采集并计算控制律 → 输出舵面/推力指令 → 经 I/O 与调理回采 → 仿真机更新飞机状态。这个回路必须在每个仿真步长内闭合，否则实时性被破坏，闭环特性失真。
六、架构落地时的关键检查点
把上述模块搭起来并不等于 HIL 可用。实际工程中，以下检查点决定闭环是否可信：
| 检查点 | 典型问题 | 判断依据 |
|---|---|---|
| 步长与抖动 | 模型解算超时，闭环周期被拉长 | 示波器测 I/O 更新周期，抖动应小于步长的 10% |
| 调理标定 | 增益/偏置错误，软件读到错误物理量 | 给定模型值，实测调理输出与理论值误差在允差内 |
| 总线时序 | 标签周期或 SSM 与机上不一致 | 总线分析仪抓包，比对周期、标签、数据字格式 |
| 故障注入时刻 | 注入延迟或抖动，测试不可重复 | 多次运行同一用例，注入时刻偏差应在毫秒级 |
| 闭环稳定性 | 信号极性或反馈符号接反，回路发散 | 施加小阶跃，观察被控量是否收敛而非持续增大 |
理解 HIL 总体架构，最终要落到“信号从哪来、经过什么、变成什么、回到哪去”这条主线上。实时仿真机提供时间基准和模型，I/O 与调理完成数字量与真实电气量之间的转换，总线通信复现航空电子链路，故障注入制造可重复的异常，被测软件以真实或虚拟方式嵌入回路。只有这些部分在同一时间基准下正确闭合，HIL 验证的结果才具有工程意义。