基于分區操作系統的飛行控制軟件開發與設計

何瑤

（中國直升機設計研究所，四川 景德鎮 333000）

1 前言

直升機飛行控制系統從三軸增穩控制系統發展而來，解決了最初直升機操縱困難、駕駛員駕駛負擔重的問題。幾十年來，經過自動駕駛儀、多余度、主動控制、光傳操縱、電傳操縱等技術的不斷發展。現代直升機對于飛控系統有了高度綜合化、高可靠性、更舒適智能的新要求。

隨著飛控系統的不斷發展，加載其中的飛控軟件也越來越復雜，逐漸成為關系到飛控系統安全的重要因素。因此，要求飛控軟件具有快速故障隔離、高響應速率的能力。傳統的操作系統在實時性、安全性等方面并不能滿足這些要求。分區操縱系統具有系統空間隔離和資源隔離的特點，通過模塊化設計和軟件構件化設計，能夠有效提高飛控系統軟件的安全性，保證通信和容錯的透明性。在提高開發效率和降低維護成本上都有很大的優勢。

本文提出了基于分區實時操作系統的飛控軟件開發與設計方法。實現了系統調度、余度管理、同步和交叉傳輸等功能。

2 高安全分區操作系統

分區實時操作系統從時域和空間域上滿足了資源可用性。在時間上，采用時間調度表調度不同的任務，確保分區的運行時刻在系統中是確定的。在空間上，分區間、分區空間與核心空間相互隔離，分區間的中斷資源、故障相互隔離，分區空間域核心空間的訪問相互隔離。這在設計上保證了系統可以按照需求將不同的任務或是部件分配給每個分區的固定存儲區域，確保各個任務或部件的存儲彼此獨立，沒有影響。分區實時操作系統支持分區間通信，它為開發者提供基于共享內存和服務中斷的分區間通信。其中共享內存可以通過靜態配置，并且可以指定共享內存的讀寫權限。滿足了不同任務之間數據共享和訪問的需求。系統對中斷和異常全面接管，提供相應的處理機制，能夠保證中斷和異常的快速響應和正確處理。同時，系統還提供多處擴展接口，包括操作系統初始化前、操作系統初始化完成時開始分區調度前、分區被調度進入時、分區被調度換出時、時間調度表每個主幀開始時、時間調度表時間窗口切換時、空閑分區運行時、故障發生時。這些操作系統接口為不斷向模塊化、綜合化發展的飛控軟件開發提供了極大便利。

分區實時操作系統主要包括核心級板級支持包(KBSP)、目標機代理(TA)、運行時庫(RTL)、系統服務管理(SSM)、安全虛擬機內核(SVMK)和分區級板級支持包(VBSP)。分區實時操作系統部件組成如圖1 所示。分區操作系統各部件及功能見表1 所示。

表1 分區操作系統部件及功能

圖1 分區操作系統組成部件

3 系統功能及軟件需求

3.1 系統功能

飛控系統采用四余度設計，系統由飛控計算機、飛控操縱臺、慣性測量組件、舵機等組成。主要功能包括人工操縱、比普操縱、三軸（俯仰、橫滾、航向）增穩、控制增穩等功能。飛行員通過按壓飛控操縱臺上的速度保持、高度保持等功能按鈕可以接通姿態保持、航向保持、氣壓高度保持、無線電高度保持、空速保持、自動懸停等相應的自動飛行控制功能。

飛控系統還與機上的綜合顯示系統相交聯，通過狀態指示燈、語音以及多功能顯示器上的顯示信息，為飛行員指示系統的工作和故障狀態。在多功能顯示器上顯示總距、差動總距、周期變距（縱向和橫向）、差動周期變距、尾推槳總距、升降舵偏轉角、方向舵偏轉角等重要操縱量信息。飛控軟件實時監控綜合系統狀態及故障，通過綜顯畫面向飛行員提示飛控故障信息。同時，應具有航前及航后提供飛控系統故障報告的功能，實時向其他系統（飛參記錄儀、直升機飛行數據監控系統等）提供所需的數據。

飛控系統還具有飛行前自檢測(PBIT)、飛行中自檢測、維護自檢測(MBIT)能力。

3.2 軟件需求

飛控軟件以T0為周期運行，軟件共有三種狀態，系統實時監控狀態、飛行前自檢測狀態、維護自檢測狀態。飛控計算機上電后，根據外部開關信號如PBIT、MBIT、軟件加載使能信號(GSE)進入相應的工作狀態。各個工作狀態軟件功能要求如下。

（1）飛行前自檢測。在直升機起飛前，地面維護人員或駕駛員可使飛控系統進入飛行前自檢測狀態，用以對飛行控制系統及相關交聯設備進行自動、快速的檢測，以保證系統無故障升空。

（2）維護自檢測狀態。維護檢測狀態是指在地面狀態下，對飛控系統的故障讀取功、飛控配置文件的燒寫等功能。

（3）系統實時監控狀態。系統實時監控狀態是飛控系統系統軟件運行的主狀態，在此狀態下，軟件按預定的余度管理策略對飛控系統進行實時管理、監測與控制，以完成所需的飛行控制任務。

三種狀態之間的進入條件如圖2。飛控系統在上電后，飛控軟件通過系統管理功能實現系統的加電引導功能，加電引導功能通過計算機相關資源的初始化、加電狀態的識別完成系統三種工作方式的選擇。

圖2 飛控軟件三種狀態的進入條件

4 飛控系統軟件架構

分區實時操作系統為本軟件搭建應用平臺，提供任務調度、設備驅動、中斷管理等功能。飛控系統軟件的功能模塊的劃分如圖3 所示，通過模塊化、層次化的設計將飛控系統軟件劃分為主要的功能模塊和各速率組任務，設計了基于優先級調度的任務管理策略。

（1）模塊化。通過分解需求中的功能，將飛控系統軟件劃分為采集、輸入表決、控制律、輸出表決、系統申報任務模塊，通過這些任務模塊的執行，完成飛控系統所需要的功能。

（2）層次化。任務模塊中包含相同功能的任務組，根據實時性的需要以及任務的執行速率特點劃分到不同的執行速率組任務中。對模塊中的任務執行時間細分為固定速率組、動態速率組合后臺任務組。如對于采集功能，飛控系統軟件的采集任務模塊包含T0、4T0速率采集任務、臺總線采集任務。同樣，對于系統申報，根據總線周期特點和數據量需要，將申報任務劃分為不同速率組，如飛參4T0申報任務、綜顯4T0申報任務、綜顯12T0申報任務、綜顯36T0申報任務。

（3）優先級。根據飛行控制系統各任務執行特點，設計任務的優先級來調度各任務執行。軟件上電開始運行任務調度函數，主要功能包括掛接時鐘、上電同步、掛接看門狗等。該任務在上電只運行一次，具有最高的優先級。其余任務優先級從高到低依次為主周期任務、PBIT、后臺采集、申報、調試打印任務。

4.1 同步及交叉傳輸(CCDL)

飛控系統為四余度設計，四余度計算機由兩臺飛控計算機組成，每臺飛控計算機內包含兩套完全相同的余度通道。包括CPU、RAM、NVRAM、定時器、總線接口板、D/A 模塊、FLASH、電源模塊。每個CPU 內存分配了數據交叉傳輸發送緩存區和數據交叉傳輸接收緩存區。通過CCDL 總線，每個通道可以收到來自其他三個通道的數據，組成四余度系統數據輸入和輸出。從而實現后續的余度表決和監控功能。CCDL 數據在軟件時序上的數據流如圖4 所示。可以看到，交叉傳輸數據至少經過一拍的延時，才能送入本機。這在軟件設計時，需要進行考慮。

軟件在上電運行時，四機之間需要初始上電同步，確保四通道之間同時開始工作。由于定時器存在硬件差異，隨著時間積累，4 個通道之間的定時器差異不斷增大。這時，由于四機采集的外部信號不同時，導致4個計算機的控制律輸出會出現較大偏差。這屬于嚴重的計算機輸出故障。因此，在每個周期任務的開始，四機進行一次周期同步，這樣會把定時器差異帶來的錯誤縮小在一個周期內。故障不會因此蔓延。上電同步和周期同步采用握手的方式實現。即在周期時鐘到來時，本機輸出高電平至其他通道，當在規定時間等到其他通道回復的高電平。即認為本機同步成功，開始進入周期工作。

4.2 余度管理

余度管理是多余度設計中的關鍵所在。余度管理包括信號表決和余度降級策略。表決包括輸入表決和輸出表決。以輸入表決為例，外部信號為冗余輸入。對于一個典型的角速率信號來說，四余度慣性測量組件、四余度激光慣導、四余度光纖慣導均可以為飛控計算機提供輸入信號。這是因為對于這些關系到安全的重要信號，設置多個備份可以確保在某個部件故障時切換到其余部件，以滿足系統安全的要求。對于不同部件提供的同一信號，一般在軟件中設置各信號的優先級。如優先使用慣性測量組件的角速率信號，當其發生故障時，依次使用備份設備的角速率信號。

對于某個四余度輸入信號來說，飛控軟件通過表決算法得到一致的輸入。并將這些數據送入控制律進行計算。正常情況下，四機的輸出值應該相差不大。但實際情況下的計算機計算故障和偏差也應該進行考慮。因此，在輸出端也采用同樣的表決算法，使四機得到一致的輸出。常用的表決算法為多數一致法，即認為4 個余度的輸入本身應是一致的。而余度某部件出現故障時，則該通道輸入值偏離其余輸入。則可以通過相應的表決算法，得到正確的輸入值，并將故障通道進行隔離。以四余度離散量輸入表決為例。記A 通道輸入值為X0、B 通道輸入值為X1、C 通道輸入值為X2、D 通道輸入值為X3。表決算法見表2。

表2 四余度表決算法

4.3 系統狀態及控制設計

飛控系統具有主飛行控制功能和自動飛行控制功能。

主飛行控制功能是飛控系統的基本同時也是最主要的工作方式,主飛行控制功能包括人工操縱、比普操縱、三軸（俯仰、橫滾、航向）增穩、控制增穩等功能。

自動飛控功能需要從主飛行控制功能進入，當飛控系統工作在主飛行控制時，通過按壓飛控操縱臺上的速度保持、高度保持等功能按鈕接通相應的自動飛行控制功能。主要功能包括姿態保持、航向保持、氣壓高度保持、無線電高度保持、空速保持、自動懸停。這些功能通過俯仰、橫滾、航向、高度四個通道間的舵機輸出實現。

飛控系統控制狀態和控制律流程見圖5。

圖5

當調用12.5ms 狀態控制和控制律計算任務時，飛控系統軟件根據當前的狀態控制的結果調用相應的子模態的執行，然后進行相應的控制律計算。

4.4 故障監控及告警設計

飛控系統是關系到飛行安全的重要部件。因此，需要飛控系統在飛行中快速準確地識別系統出現的故障，合理地進行故障處理和安全降級并通過綜顯、指示燈等向外進行故障申報。

飛控系統故障按照部件分類可以分為飛控計算機故障、角位移傳感器故障、慣性測量組件故障、操縱臺故障、舵機故障、組合慣導故障、大氣機故障。按照系統軟件運行邏輯可以分為同步故障、采集故障、互比故障、輸出故障。軟件通過采集到的數據和狀態，以及實時計算得到互比狀態對各個部件進行監控。在軟件中，我們將這些故障逐條進行梳理，對于一個四余度系統，系統軟件需要監控的故障條數可達數百條。軟件實時監控這些故障，當監測到某條故障持續出現，并達到一定的時間門限時，則需要通過綜顯、操縱臺指示燈等方式進行故障告警。向飛行員的告警的故障一般申報至部件級、功能級。

當某個故障出現時，如何設計故障處理，既不影響飛行安全，又將故障對系統的影響減少到最小。這是故障監控及告警設計的關鍵。軟件中需要綜合考慮某個故※※障點出現故障時，對系統功能的影響、對軟件功能的影響、對某個部件的影響。并對故障進行分類和相應的處理，例如，當由于故障出現導致某個部件不可用時，軟件中需要考慮第二備份部件、第三備份部件的使用。合理的故障監控和告警設計是飛控軟件正常工作和保證安全的重要方法和手段。

5 結語

本文介紹了一種基于分區操作系統的飛控軟件開發方法。分區操作系統為飛控軟件提供了具有空間隔離的安全的軟件運行環境。本文分析了四余度飛控軟件的需求，設計了一種多任務調度的飛控軟件架構，實現了同步、周期任務、數據的輸入輸出、系統狀態控制以及表決監控等軟件功能，滿足了系統的需求。