4. 余度管理与表决技术
余度管理是容错航电系统的“决策中枢”。传感器、计算机和总线提供多份冗余数据后，系统必须回答一个核心问题：哪一份数据可信，最终输出什么值。表决技术正是完成这一判断的算法基础。本节围绕多数表决、中值表决、加权表决和门限表决四种典型方法，说明其数学本质、适用场景，并进一步讨论表决器设计、一致性检测与仲裁策略。
一、四种基本表决方法
多数表决（Majority Voting）是最直观的方式：对 N 份冗余输入，取出现次数最多或超过半数一致的值作为输出。三余度系统中，若三路输出为 10.0、10.1、10.0，则 10.0 获得两票，胜出。多数表决要求输入量本身可比较或可离散化，对连续量需先设定容差窗口，例如 ±0.05，落在同一窗口内视为“相同”。
中值表决（Median Voting）不依赖“票数”，而是对 N 个数值排序后取中间值。三余度时取第二大的值；四余度时通常取中间两值的平均。中值表决的突出优点是对单个大幅偏离的故障值天然免疫：即使一路输出 999，中值仍由其余正常值决定。它适合处理模拟量，如大气数据、姿态角速度等。
加权表决（Weighted Voting）为每路输入分配权重 wi，输出为 Σ(wi·xi)/Σwi。权重可依据传感器精度、历史健康度或置信度动态调整。例如惯导权重 0.5、GPS 权重 0.3、气压高度权重 0.2。加权表决能融合不同品质的数据，但权重设计不当会放大故障源影响，因此常与一致性检测配合使用。
门限表决（Threshold Voting）设定一个允许偏差带，只有落在门限内的输入才参与表决，超出者被隔离。门限可以是固定值，也可以随飞行阶段自适应变化。它常作为其他表决方法的前置过滤，避免故障值污染投票结果。
二、表决器设计要点
表决器不是简单的比较器，其设计需考虑以下工程要素：
- 容差窗口设定：连续量必须先定义“一致”的量化边界。容差过小会把正常噪声判为故障，过大则漏检缓变故障。工程上常取传感器精度的 2～3 倍作为初始容差。
- 表决层级：可在通道级、模块级或系统级分别表决。通道级表决响应快，系统级表决能覆盖更多故障模式，通常采用分层结构。
- 同步与时间对齐：多路数据必须对齐到同一采样时刻，否则表决结果无意义。常用时间戳插值或锁存同步。
- 故障锁存与恢复：被隔离的通道不应立即永久剔除，需设置恢复观察窗口，确认故障消失后可重新纳入表决。
三、一致性检测
一致性检测是表决的前置环节，用于判断多路数据是否“彼此相容”。常用方法包括：
两两比较法：对 N 路输入做 C(N,2) 次比较，统计每路与其他路一致的次数。若某路一致次数低于门限，则判定为不一致。三余度时，若 A 与 B 一致、A 与 C 不一致、B 与 C 不一致，则 C 被孤立。
参考模型法：以解析余度或模型预测值作为参考，计算各路的残差，残差超过门限者判为故障。这种方法不依赖多数一致，适合只有两路冗余或需要检测共因故障的场景。
滑动窗口统计：在时间窗口内统计各路偏差的均值和方差，识别缓变漂移。例如某路高度信号在 10 秒内持续偏离均值 0.3 以上，即使单次未超门限，也应触发告警。
四、仲裁策略
当表决结果出现分歧或一致性检测发现异常时，仲裁策略决定系统最终行为。常见策略有：
| 策略 | 触发条件 | 系统行为 |
|---|---|---|
| 降级仲裁 | 三余度中一路被隔离 | 切换为双余度比较，输出仍有效但置信度下降 |
| 安全回退 | 两路以上不一致 | 切换到备份通道或使用解析余度值 |
| 告警与保持 | 单路缓变漂移 | 保持当前输出，标记该路为可疑，继续观察 |
| 紧急隔离 | 故障值超出物理极限 | 立即切断该路输入，禁止其参与任何表决 |
五、综合示例：三余度大气高度表决
假设三路大气高度数据分别为 1013.2 m、1013.5 m、1015.8 m，容差设为 ±1.0 m，权重分别为 0.4、0.4、0.2。处理过程如下：
- 门限过滤：以中值 1013.5 为基准，|1013.2−1013.5|=0.3 ≤ 1.0，|1015.8−1013.5|=2.3 > 1.0，第三路被隔离。
- 一致性检测：剩余两路偏差 0.3，小于容差，判定一致。
- 加权表决：输出 = (0.4×1013.2 + 0.4×1013.5)/(0.4+0.4) = 1013.35 m。
- 仲裁：系统降级为双余度，输出 1013.35 m，健康字标记为“DEGRADED”，第三路进入恢复观察窗口。
该示例说明：表决不是单一算法，而是“门限过滤 → 一致性检测 → 加权/中值计算 → 仲裁输出”的组合链。每一环的参数都需要根据传感器特性、飞行阶段和适航要求进行标定与验证。
综上，余度管理的核心在于用合理的表决与仲裁逻辑，把多份可能带故障的数据收敛为一个可信输出。多数表决适合离散量，中值表决对模拟量故障鲁棒，加权表决用于融合不同品质数据，门限表决则作为前置过滤。实际系统通常将四者组合使用，并配合一致性检测与分级仲裁，才能在故障发生时既保证安全，又维持任务可用性。