雙雙余度飛控計算機余度管理算法設計與實現

馬超　郭勇　劉意　王亮　馬倩

摘 要：飛控計算機是自動飛行控制系統數據處理、控制和綜合的核心，其可靠性對飛機的飛行安全有著至關重要的影響。通常采用余度設計提升飛行控制系統的可靠性和容錯能力，余度設計的關鍵技術就是余度管理策略和方法，系統的故障容錯能力主要是通過余度管理功能來實現的。針對本文提出的雙雙余度飛控計算機架構，詳細描述了其余度管理算法的設計流程，采用這樣的設計模式使得系統軟件架構清晰，結構明確，大大提高了飛控系統安全性和可靠性的要求。

關鍵詞：雙雙余度；飛控計算機；余度管理；容錯性

飛控計算機是面向飛行控制系統應用的計算機，主要任務是完成控制率計算、余度管理和機內自檢測[ 1 ]。

飛行控制系統是安全關鍵系統，為此，對飛控計算機的安全性和可靠性提出了極高的要求，軍用飛機飛控系統的可靠性要求為1.0×10-7/飛行小時以上（民機為10-9/飛行小時）[ 2 ]，同時還必須滿足一次故障工作、二次故障安全的安全等級。因此，飛控計算機通常采用余度技術以滿足上述要求。

本文提出的飛控計算機采用了雙雙余度架構，其容錯系統的關鍵技術就是余度管理，余度管理是決定系統可靠性的關鍵因素，也是容錯管理的主要功能。系統的故障容錯能力主要是通過系統的余度管理來實現的。

本文概要介紹了雙雙余度飛控計算機系統軟件的架構設計，并對余度管理算法做出了詳細的描述，該設計方法很好的應用于飛控系統軟件的開發中，大大提高了飛控系統的容錯性和可靠性。

1 系統概述

1.1 體系結構設計

雙雙余度飛控計算機采用2×2相似余度構型，系統包含2臺相同構型的飛控計算機，每臺飛控計算機機箱內包含命令通道（A通道）和監控通道（B通道）兩個通道。2臺飛控計算機間可互換，計算機內命令通道和監控通道具有相同的硬件設計，運行相同軟件。兩臺計算機之間采用松耦合的交聯方式，不設置同步總線。單臺飛控計算機內的命令通道和監控通道采用同步工作方式，命令通道和監控通道分別獨立接受總線信息，兩通道之間通過交叉傳輸鏈路實現數據分享，數據經過交叉表決后進行控制律計算，對計算結果進行交叉表決后將表決值發送給伺服器。單個通道內的各個模塊之間通過局部總線互相訪問。

1.2 軟件組成

飛控計算機軟件的功能根據系統需求完成自動駕駛、飛行指引、自動油門及調效機構配平系統功能。飛控計算機軟件由地面支持部件、操作系統部件、飛行操作部件、自測試部件四部分組成。

1.3 軟件控制流程

飛控計算機加電進入正常工作后，根據不同速率組周期采集相關部件的離散量、模擬量、數字量信號，交叉傳輸后進行數據表決，表決后的值進行控制律計算，將控制律計算的結果通過429總線傳輸給伺服放大器計算機和油門桿伺服放大器，分別完成自動駕駛及自動油門的功能，同時實現系統測試及信息監控。

2 軟件設計

2.1 操作系統軟件

計算機操作系統軟件是計算機的核心程序，由實時多任務操作系統Vxworks和設備驅動程序功能模塊組成，負責整機資源的調度和管理，包括處理器、內外存、中斷、接口和任務管理等，使全系統可靠運行，為計算機應用軟件的運行提供支持，并為計算機提供軟件開發及系統維護平臺。

2.2 飛行操作軟件

飛行操作軟件分為自動駕駛儀飛行操作軟件和自動油門飛行操作軟件。自動飛行控制系統飛行操作軟件利用系統軟件提供的支持，根據自動駕駛儀的狀態、飛行員操縱信號和傳感器測量到的飛機運動狀態進行控制律計算，以完成對控制舵機的控制。自動油門控制系統飛行操作軟件利用系統軟件提供的支持，根據自動油門控制系統的狀態、傳感器測量到的飛機速度、姿態信號以及發動機狀態的進行控制律計算，以完成對油門桿的控制。

2.3 自測試軟件

自測試軟件駐留在飛控計算機中，按不同階段將自測試軟件分為四種：上電BIT（PUBIT）、飛行前BIT（PBIT）、飛行中BIT（IFBIT）、維護BIT（MBIT），每一個模式有不同的啟動方式，每一個模式測試不同的設備和資源。

1）上電BIT是計算機在上電啟動過程中進行的一種皆在檢測計算機的基本硬件完好成程度的機內自檢側模態。

2）飛行前BIT是飛機處于地面，系統處于工作狀態下，飛行員扳動系統自測開關，計算機在地面所做的一系列自動或半自動的檢測。

3）IFBIT由兩部分組成，即系統的余度管理和系統的在線自監控，兩種功能的結合，構成了系統飛行中對故障的檢測與監控。

4）MBIT是一個人機交互過程，用來協助維護人員對系統的故障進行檢測、定位與故障顯示。在MBIT的執行過程中，操作者可以選擇不同的檢測模式、測試項目。

2.4 地面支持軟件

地面支持軟件包括Tornado開發環境及在線編程。Tornado開發環境支持用戶開發程序，并支持完成程序的編譯、連接、加載、運行以及符號調試。在線編程用于在開發狀態將軟件固化在flash中。

3 余度管理算法具體設計

余度管理的主要任務是進行系統故障檢測和對故障部件的隔離，另外還應負責故障的記錄、申報和處理。余度管理軟件管理著駕駛儀系統有余度配置的信號源、計算機和伺服機構等部件。

3.1 同步設計

同步算法采用軟件控制為主，硬件鏈路為輔的設計策略，利用雙握手同步算法實現通道間的同步。同步過程主要分為初始同步和周期同步。

初始同步：系統完成初始化、PUBIT后，在進入周期任務之前，飛控計算機的兩通道間首次握手同步，初始同步的兩次握手最大等待時限為1秒。該過程要清看門狗計時器。當初始同步失敗后，軟件不再執行周期任務，在NVM中記錄初始同步故障，此臺飛控計算機失去接通控制的權限。

周期同步：在每個小幀周期任務執行之前，飛控計算機的兩通道間要進行周期同步。周期同步的最大允許等待時間為240微秒。該過程不清看門狗計時器。如果本地通道與另一個通道同步失敗，在NVM中記錄周期同步故障，繼續執行周期任務，若連續超過故障門限均同步失敗將不再執行周期任務，此臺飛控計算機失去接通控制的權限。

3.2 交叉傳輸（CCDL）設計

飛控計算機之間以及計算機內部通道之間采用CCDL通訊鏈路實現數據共享，實現輸入信號進行交叉表決和輸出指令信號進行交叉表決。通道間的通訊鏈路CCDL采用串行2M bit/s，曼徹斯特編碼格式，串行差分傳輸的形式，具有CCDL數據包校驗測試功能。

3.3 表決監控設計

3.3.1 表決管理

系統表決管理是余度管理的核心，絕大多數的故障均是由多數表決發現的。主要分為信號源的表決管理、飛控計算機的表決管理、伺服器的表決管理。

1）信號源的表決管理。信號源包括單余度信號源和雙余度信號源。對于單余度信號源，兩通道進行交叉傳輸后獲得的值進行比較，如果正常，則取A通道的值作為表決值，否則取故障安全值。單套信號源在故障標定后不允許故障恢復。對于雙余度信號源根據余度表決原則取值，三余度排序取中值，兩余度取均值，允許故障恢復。信號源表決根據信號源自監控、互比監控的結果選取有效的信號源。

2）飛控計算機表決管理。計算機內運行相同的軟件，采用相同的工作程序，采集來自系統的信號（離散量、模擬量和數字量）、并進行相應的處理和計算，輸出相同的指令。

飛控計算機的表決管理主要監控系統采集處理過程和計算輸出過程中的故障。采集處理過程總是對應具體的硬件接口，永久故障將被標定在相應的接口上，稱為接口余度管理。計算結果的余度管理主要標定的是核心處理資源的故障如CPU、RAM等。

3）伺服器表決管理。伺服器是控制指令的執行單元，提供舵機位置反饋信號，接受舵面控制信號。伺服器的表決管理主要采用多數表決舵機位置反饋信號的策略。

3.3.2 監控管理

監控管理實現對輸入信號、輸出信號和舵機指令進行故障的監控、隔離和抑制。系統的監控管理采用多種監控手段，主要分為：信號源監控、計算機監控、伺服回路監控。

1）信號源監控。當前小幀的監控結果應對下一小幀的表決產生影響，信號源的監控分配到多個小幀共同完成（基于不同的判定條件及時限），每幀形成信號源監控離散量LIM，下一幀表決取值時通過讀取該離散量決定信號源是否參加表決任務。

監控還將生成監控數據結構體，故障處理任務將對該數據分析并且進行相應處理。如果信號源故障，故障信息還應記錄在NVRAM中，同時上報告警系統。

信號源的監控策略主要有以下組成：通訊故障判斷、數據有效位監控、數據監控（信號源的互比監控）、信號源性能監控、信號源設備有效信號判斷。

2）計算機監控。計算機監控包括模擬量互比監控、離散量互比監控、數字量互比監控、在線監控。

在線監控主要是建立在系統硬件的平臺上的監控，包括故障邏輯監控、指令輸出回繞監控、軟件控制流監控、主幀同步監控、CCDL監控、二次電源精度監控、通道自監控（IFBIT）。

3）伺服回路監控。伺服回路監控包括：伺服放大器AB通道互比監控、離合器電源的監控。

伺服放大器AB通道互比監控：對伺服回路的反饋信號進行門限設置監控。

離合器電源的監控：對舵機離合器接通和釋放電壓進行監控。

3.4 故障

按照故障特性可以將飛控系統故障分為瞬時故障和永久故障。瞬時故障是在系統能夠容忍的時間內出現的故障，并能在容忍時間內恢復正常，瞬時故障出現時僅作故障記錄。當瞬時故障超過系統容忍時間時轉為永久性故障，永久性故障出現時要作故障記錄，并根據故障等級做相應的處理。

1）故障等級分類。飛控系統故障狀態按其對飛行安全影響的程度進行分類：

Ⅰ類故障：危及飛行安全的不可控故障以及導致系統工作無法進行的故障；

Ⅱ類故障：危及飛行安全的可控故障；

Ⅲ類故障：影響系統功能完整而不會危及飛行安全的可控故障，此類故障發生飛控計算機可禁止某些功能或模態的使用。

2）故障處理流程。故障處理流程有如下幾部分：故障檢測、故障申報、故障計數、故障等級判定、故障隔離、故障恢復、故障告警及故障記錄。以上各處理環節均在動態速率組任務中執行。圖1為故障處理流程示意圖。

4 結論

飛行操作軟件是飛控計算機軟件的核心程序，完成對自動駕駛子系統、飛行指引子系統和自動油門子系統的控制。其中的余度管理模塊軟件提供對主/從飛控計算機和單機雙通道的管理，是容錯飛控系統的關鍵技術。

針對本文特定的雙雙余度飛控計算機架構，為了增強系統的配置、調度性能，同時使控制系統具備機內自檢測功能，提高系統的可測試性，減少維護時間，特設計了此余度的飛控計算機系統軟件。該系統軟件架構清晰，結構明確，減少了開發成本和時間，并且提高了系統的可靠性，為飛機的再次出動率和生存能力起著重要作用。

參考文獻：

[1] 牛文生.機載計算機技術[M].北京：航空工業出版社，2013.

[2] 王道彬，陳懷民，康芳，吳成富.三余度飛控系統余度管理算法設計與實現[J].計算機測量與控制，2007，15（11）：1621-1623.

基金項目：

本課題由國家重大專項項目資助，得到航空科學基金：基于BIP的機載多級安全形式化證明理論和方法研究的資助。

作者簡介：

馬超，男，漢族，陜西西安人，碩士，工程師，研究方向：機載計算機嵌入式航空軟件。