1. 航电计算平台异常诊断与恢复导论

航电计算平台是飞机上承担飞行控制、显示告警、导航通信、任务管理等功能的计算基础设施。它并不是一台“通用计算机”，而是由若干具有明确职责分工的模块通过确定性总线或交换网络互连，在严格的实时性、可靠性和安全性约束下协同工作的嵌入式系统。理解异常诊断与恢复，首先要理解这个平台“由什么组成、各部分承担什么功能、失效会带来什么后果”。

一、航电计算平台的基本组成与功能

从功能层次看，航电计算平台通常可划分为四个部分：计算处理单元、数据总线与网络、传感器与执行机构接口、供电与时钟等基础支撑。计算处理单元是核心，常见形态包括通用处理模块（GPM）、I/O 模块、图形生成模块和网络交换模块。它们通过 ARINC 429、ARINC 664（AFDX）、MIL-STD-1553 或 CAN 等总线交换数据。以 AFDX 为例，其虚拟链路（VL）为每条数据流规定了带宽和时延上限，例如某条 VL 配置为 BAG=8 ms、Lmax=256 字节，则平台必须保证该流在 8 ms 周期内稳定传输，否则显示或控制功能可能超时。

传感器与执行机构接口负责把大气数据、惯性数据、发动机参数等转换为计算单元可用的数字量，并把控制指令输出到舵机、作动器等。供电与时钟模块则提供稳定的电源和同步基准——很多航电故障并非来自算法，而是来自电源瞬变或时钟抖动。因此，诊断与恢复必须覆盖“计算、通信、供电、接口”全链路，而不能只盯着软件。

二、异常诊断与恢复在航空安全中的意义

航空安全的核心原则是“失效不能导致灾难性后果”。航电计算平台的异常诊断与恢复，正是把这一原则落到工程实现的关键手段。诊断解决“发生了什么、发生在哪里、严重程度如何”；恢复解决“如何让飞机继续安全飞行或安全降落”。二者缺一不可：只诊断不恢复，系统仍然失效；只恢复不诊断，可能掩盖隐患、反复切换甚至引入新风险。

从安全评估角度看，异常处理能力直接影响失效概率。以某型航电平台为例，若单通道失效率为 10⁻⁵/小时，采用双余度加比较监控后，未检测到的危险失效概率可降至 10⁻⁹/小时量级。这里的“比较监控”就是诊断，而“通道隔离与切换”就是恢复。诊断覆盖率（DC）和恢复成功率是衡量平台安全性的两个关键指标，通常要求 DC 高于 95%，关键功能恢复时间在毫秒到秒级。

三、典型异常事件案例引入

为了建立直观认识，这里引入一个教学化的示例场景（参数为合理假设，用于说明诊断与恢复过程，并非真实事故数据）。某航电平台在巡航阶段出现“左侧显示模块数据冻结”。维护人员读取健康监控日志，发现以下线索：

[HM-LOG 10:23:17.412] GPM-A: task FC_OUT period=20ms actual=47ms  → 超时
[HM-LOG 10:23:17.430] AFDX: VL-1024 BAG=8ms jitter=6.8ms     → 抖动超限
[HM-LOG 10:23:17.455] PWR: +5V rail dip 4.2V for 3ms        → 电源瞬变
[HM-LOG 10:23:17.460] GPM-A: watchdog reset, channel isolated
[HM-LOG 10:23:17.462] GPM-B: take over, display recovered

从日志可以看出，异常链是“电源瞬变 → 计算模块任务超时 → 看门狗复位 → 通道隔离 → 备份通道接管”。诊断系统通过看门狗和 HM 日志识别出 GPM-A 异常，恢复系统在约 50 ms 内完成通道切换，显示功能恢复。这个案例说明：诊断的价值在于快速定位，恢复的价值在于快速接管，而日志是复盘和改进的依据。