基于非相似架構的民機起落架收放控制單元設計研究

摘要：為滿足民用飛機高安全性要求，文章設計了一種基于非相似架構的雙通道起落架收放控制單元（LGCU） 。該控制單元采用不同的處理器和硬件電路，以及不同的軟件設計，實現了控制通道和監控通道在功能和結構上的獨立和非相似，顯著提高了起落架收放控制系統的安全性。該設計方法對國內民機的起落架收放控制系統及設備研制具有重要參考價值，并可以推廣應用。

關鍵詞：非相似架構；控制單元；控制通道；監控通道；安全性

中圖分類號：TP311" " " 文獻標識碼：A

文章編號：1009-3044（2025）08-0093-04

開放科學（資源服務） 標識碼（OSID）

0 引言

起落架收放控制系統是飛機重要的控制系統之一，負責在飛機起飛和著陸階段控制起落架完成收起和放下動作，保證飛機安全起降。起落架在飛機起飛、著陸階段的故障將可能導致災難性事件發生。歷史上，國內外曾發生過多起由于起落架系統故障導致飛機無法正常放下全部起落架，最終引發一等事故的案例。因此，民用飛機對起落架相關的安全性要求極高，一般將起落架收放控制系統定義為A級系統，對其失效率要求小于1×10^-9。

在國內，雖然已有MA-60、Y12、ARJ-21、C919等多個型號的民用運輸類飛機的研發經歷，但是關鍵機載控制系統仍主要由國外供應商提供，國內的機載設備供應商在研制水平和過程保證上與國外先進水平還有不小的差距。隨著國內民用航空市場的不斷擴大，國內機載設備供應商也在積極探索，努力提升民機機載設備的研制能力，助力國內民用航空制造業的跨越式發展。本文基于國內某新型渦槳支線客機的研制背景，依據ARP4754A、ARP4761A等國際通用的民機研制流程及方法指南，以設備需求為牽引，按照正向研制流程，開展了起落架收發控制單元研制。探索了一種基于非相似架構的起落架收放控制單元設計方法，進行了工程實現，并在某型渦槳飛機上裝機應用。通過仿真、試驗及試飛驗證，表明采用該架構的控制單元的安全性相比以往產品有顯著提升，證明了該設計方法的有效性和先進性。本文的研究內容對國內其他民機機載系統的研制也有參考價值。

1 安全性需求

1.1 系統組成

某型民用渦槳支線飛機的起落架收放控制及位置告警系統由位置傳感器、起落架控制手柄、起落架選擇閥、安全閥、起落架收放控制單元等設備組成。該系統實現對起落架正常收起和放下的控制功能，以及對前、主起落架位置狀態和輪載狀態的指示及告警功能。系統所有的信號解算、控制邏輯處理及輸出、位置指示邏輯處理及輸出均由收放控制單元實現[1]。

1.2 關鍵安全性需求

飛機對起落架收放控制及位置告警系統的安全性需求中，涉及的主要的災難性事件有以下幾種。

1） 在地面及滑行過程中，系統意外地發出收起指令，屬于災難級故障，發生概率應小于1×10-9/FH。

2） 進近過程中，系統喪失起落架正常收放控制功能，導致不能正常放下所有起落架且未發出“起落架未放下”告警信息，屬于災難級故障，發生概率應小于1×10^-9/FH。

“意外發出收起指令”事件需要以下任一獨立的失效事件發生[2]。

1） 收放控制單元錯誤發出選擇閥收起線圈正端驅動命令，且控制手柄的收起線圈負端開關錯誤接地。

2） 或者控制手柄錯誤的向控制單元發出收起命令，且提供了選擇閥的收起線圈負端接地。

3） 或者選擇閥和安全閥的機械部件同時失效，導致收起油路接通。

按照ARP4754A的5.2.1[3]節所述，對該故障事件所涉及各子功能的研制保證等級（FDAL） 分配如下。

1） 收放控制單元提供收起線圈正端驅動功能=A，控制手柄提供收起線圈負端接地功能=C。

2） 控制手柄提供收起命令功能=A，控制手柄提供收起線圈負端接地功能=C。

3） 選擇閥油路接通功能=B，安全閥油路接通功能=B。

兩個液壓閥的研制保證等級分配為B，是由于這兩個設備是獨立的設備且工作原理不同。

由此形成的FDAL分配見圖1所示。

“在進近過程中，系統喪失起落架正常收放控制功能，且未發出‘起落架未放下’告警信息”事件需要以下的失效事件同時發生。

1） 收放控制功能失效。

2） 提供起落架未放下指示功能失效。

按照ARP4754A的5.2.1節所述，起落架收放控制功能和起落架位置指示功能的功能研制保證等級應分配為以下三種中的一種。

1） 起落架收放控制功能=A，起落架位置指示功能=C。

2） 起落架收放控制功能=C，起落架位置指示功能=A。

3） 起落架收放控制功能=B，起落架位置指示功能=B。

由此在系統設計中，將起落架收放控制功能分配為A級，將起落架位置指示功能分配為C級。

由于兩個液壓閥、控制手柄的功能失效均會導致收放控制功能失效，因此，把這一A級功能關聯的子功能均分配為A。

形成的FDAL分配見圖2所示。

2 收放控制單元架構設計

收放控制單元是收放控制及位置告警系統中的關鍵部件，其主要功能是采集手柄及位置傳感器信號，按照預定的控制邏輯向液壓閥發出驅動信號，驅動起落架完成收起和放下動作；同時，收放控制單元通過總線向飛機其他系統發送起落架位置和告警信息。根據2.2節中對功能FDAL分配的結果，控制單元中的收放控制功能和位置指示功能是兩個不同研制保證等級的功能，從產品安全性設計中的共因設計考慮，這兩個功能應獨立實現，實現這兩個功能的硬件和軟件應非相似，據此確定控制單元的總體架構?？刂茊卧獌炔坑煽刂仆ǖ篮捅O控通道兩個獨立的功能模塊組成，控制通道主要完成起落架收放控制功能，輸出液壓閥驅動命令和硬線的輪載指示信號；監控通道主要完成總線形式的起落架位置指示及告警，以及對控制通道的工作狀態進行機內自檢測（BIT） 等功能。

兩個功能模塊在結構上是獨立的。這兩個模塊采用非相似的硬件電路和軟件設計[4]，并由不同的軟硬件團隊開發，消除共模因素的影響。兩個模塊間僅通過一條UART串行總線進行數據傳遞。收放控制單元架構原理圖如圖3所示。

2.1 控制通道

2.1.1 功能

控制通道完成以下功能。

1） 接收起落架控制手柄提供的收上或放下指令。

2） 采集上位鎖、下位鎖、輪載以及艙門傳感器信號。

3） 按照預定的控制邏輯，發出選擇閥、安全閥、手柄解鎖的驅動信號。

4） 輸出硬線形式的輪載狀態信號。

5） 執行本通道的硬件BIT檢測。

6） 通過UART串行總線向監控通道提供所檢測的輸入和輸出信號數據以及工作狀態數據。

2.1.2 硬件

控制通道硬件電路由電源電路、中央處理器電路、信號采集電路、輸出驅動電路、維護調試電路和BIT電路組成。

電源電路：將28 V直流電源轉化成控制通道所需的+5 V、±15 V、+3.3 V、+2.5 V等二次電源，并設計瞬態電壓抑制、EMI濾波等電磁干擾抑制電路。飛機向收放控制單元并行提供正常和應急兩路不同的28 V直流電源，以提高供電的安全性。電源電路通過隔離二極管選擇較高電壓的28 V電源送到轉換電路。

中央處理器電路：采用數字信號處理器（DSP） 芯片作為處理器，該處理器集成了FLASH存儲器、SRAM存儲器以及UART總線接口，通過擴展少量的外圍電路，實現數據采集、計算、邏輯處理、輸出、BIT監測、看門狗復位等功能。軟件駐留在該芯片FLASH存儲器中。從非相似性設計考慮，控制通道的處理器型號和相應的軟件指令集與監控通道不同。

信號采集電路：將接近傳感器的電感信號、控制手柄和位置編碼的離散信號、用于BIT的各種電源信號進行信號轉換，并處理成數字信號，送到處理器進行信息處理。其中對多路接近傳感器信號采用分時采樣、集中解算方式，首先通過A/D轉換器將傳感器電壓信號轉換成數字信號，再經過軟件的DFT計算，解算出各接近傳感器的電感值，由軟件判斷出接近傳感器相應的接近/遠離狀態信息。

輸出驅動電路：接收處理器送出的控制信號，經過驅動轉換，輸出28 V電壓到起落架液壓閥，輸出離散輪載信號到飛機其他系統。

維護調試電路：當控制單元在地面時，維護人員可以通過維護調試電路實現控制單元故障數據的下載、應用軟件的加載等功能。維護調試時控制單元通過RS-232總線與地面設備通信。

BIT電路：對控制通道的二次電源、處理器、A/D轉換電路、輸出驅動電路等功能電路進行檢查確定其有效性，并把檢查結果通過UART總線送到監控通道。

2.1.3 軟件

控制通道軟件包括Boot軟件、Load軟件和應用軟件三個部分。軟件駐留在DSP芯片的FLASH存儲器中。

Boot軟件：負責上電后對控制通道硬件電路的基本初始化，根據外部命令使控制通道轉入到加載模式行Load軟件，或轉入到正常模式運行應用軟件。DAL等級為C。

Load軟件：負責在地面對控制通道應用軟件的加載，下載故障數據等。DAL等級為C。

應用軟件：負責完成控制通道的起落架控制功能。DAL等級為A。

控制通道軟件在TI公司的DSP集成開發環境下進行開發，源代碼采用C語言編碼，編譯后形成基于DSP器件指令集的可執行代碼。該軟件開發環境與軟件指令與監控通道是完全不同的，實現了軟件層面的非相似設計。

2.2 監控通道

2.2.1 功能

監控通道完成以下功能。

1） 接收起落架控制手柄提供的起落架收上或放下指令。

2） 采集上位鎖、下位鎖、輪載以及艙門傳感器信號。

3） 對控制通道發出的線圈驅動信號和硬線輪載信號進行回檢。

4） 通過ARINC429總線向航電系統提供起落架位置、輪載和艙門狀態信息。

5） 通過ARINC429總線接收航電系統發送的航班及時間信息。

6） 通過RS-422總線與另一臺控制單元交換傳感器狀態信息和手柄位置信息，進行傳感器的信息的綜合處理。

7） 執行本通道的硬件BIT檢測，并結合控制通道通過UART總線送來的信息，形成控制單元的BIT及CAS告警信息，通過ARINC429總線上報。

2.2.2 硬件

監控通道硬件電路由電源電路、中央處理器電路、信號采集電路、總線接口電路、維護調試電路和BIT電路組成。

電源電路：將28 V直流電轉化成監控通道需要的+5 V、±15 V、+3.3 V、+2.5 V等各種二次電源，并設計瞬態電壓抑制、EMI濾波等電磁干擾抑制電路。電路結構與控制通道電源電路基本相同，只是主要的電源轉換模塊選用與控制通道不同型號的器件，以消除電源模塊的共模影響。

中央處理器電路：采用ARM架構的處理器芯片作為處理器，該處理器集成了FLASH存儲器、SRAM存儲器以及UART總線接口，通過擴展少量的外圍電路即可實現數據采集、計算、邏輯處理、輸出、BIT監測、看門狗復位等功能。軟件駐留在FLASH存儲器中。ARM芯片在處理器架構、指令代碼集、制造商等方面與DSP處理器均不相同，因此這兩款處理器具有非相似性。

信號采集電路：將接近傳感器的電壓信號、控制手柄和位置編碼的離散信號、控制通道輸出的信號、用于BIT的各種電源信號進行信號轉換，處理成數字信號，送到處理器進行信息處理。信號采集電路基本與控制通道信號采集電路相同，主要元器件如A/D轉換器選用與控制通道不同型號的元器件，以實現電路的非相似。

總線接口電路：實現對ARINC429總線、RS422總線、UART總線等的輸入輸出處理功能。ARINC429總線接口使用專用協議芯片作為總線協議轉換器件，實現429總線信號的串-并轉換。RS422總線接口使用總線接口芯片作為總線轉換器件，再經過總線驅動電路，實現兩臺LGCU間的雙機通信。UART總線利用處理器的UART總線接口實現兩個通道間信息傳遞。

維護調試電路：當控制單元在地面，維護人員可以通過維護調試電路實現控制單元故障數據的下載、應用軟件的加載等功能。維護調試時控制單元通過RS-232總線與地面設備通信。

BIT電路：對監控通道的二次電源、處理器、A/D轉換電路、總線接口電路等功能電路進行檢查確定其有效性，并結合控制通道的BIT結果產生控制單元的故障及告警信息。

2.2.3 軟件

監控通道軟件包括Boot軟件、Load軟件和應用軟件三個部分。軟件駐留在ARM處理器的FLASH存儲器中。

Boot軟件：負責上電后對監控通道硬件電路的基本初始化，根據外部命令使監控通道轉入到加載模式運行Load軟件，或轉入到正常模式運行應用軟件。

Load軟件：負責在地面對監控通道應用軟件的加載，下載故障數據等。

應用軟件：負責完成監控通道的位置指示及告警功能。

由于監控通道的IDAL為C級，因此監控通道的三個軟件DAL均為C級。

監控通道軟件在ARM公司的處理器集成開發環境下進行開發，源代碼采用C語言編碼，編譯后形成基于ARM芯片指令集的可執行代碼。該軟件開發環境與軟件指令與控制通道的軟件是完全不同的，實現了軟件層面的非相似性設計

2.3 通道間數據交換

控制通道和監控通道間通過一條UART總線進行數據傳遞?？刂仆ǖ腊旬斍暗墓ぷ鳡顟B，如采集的傳感器信息、手柄信息（收上或放下） 、工作狀態（輸出指令信息） 等以總線形式同步傳到監控通道，每100 ms傳送1次數據。監控通道接收到總線數據，并與自身采集到的傳感器、手柄、控制命令回采信號等相比較，以監測控制通道是否處于正常的工作狀態，實現對整個收放控制單元的BIT監測。當按照故障判定邏輯判定控制單元故障時，監控通道通過429總線上報相應的故障信息。

為保證控制通道工作的獨立性，目前設計中監控通道沒有向控制通道發送數據。

3 驗證

3.1 安全性仿真驗證

按照ARP4671A[5]民機系統安全性評估方法，對控制單元的非相似架構設計開展安全性仿真分析[6]，使用安全性建模仿真工具，建立相應的安全性事件故障樹，進行安全性評估仿真（SSA） 。對兩個主要事件“喪失放下驅動功能且未發出放下未到位指示”和“地面狀態下意外發出收起指令”的失效率進行計算，其失效率均小于1×10-9/FH。相比以前采用單余度控制架構的失效率1×10-7/FH，系統安全性有顯著提高。

3.2 實驗室功能驗證

由兩個不同的硬件和軟件設計團隊，分別根據控制通道和監控通道的需求，獨立設計了控制通道模塊和監控通道模塊，并形成了非相似架構的收放控制單元樣機。在實驗室環境測試了控制單元的收放控制功能、位置指示及告警功能、BIT功能，驗證了控制單元功能和接口的完整性和正確性。

3.3 鐵鳥臺試驗驗證

控制單元在某型飛機鐵鳥臺上進行了起落架系統功能試驗，目的是在飛機實際負載環境下，驗證起落架控制系統的功能正確性，以及控制單元與飛機系統的接口匹配性。試驗結果表明該收放控制單元滿足飛機起落架收放及位置指示的使用要求。

3.4 試飛驗證

控制單元隨某型渦槳飛機在西北某機場進行了首飛及科研試飛，飛行中起落架系統工作正常，沒有發生影響飛機安全的故障。

4 結論

本文基于ARP4761A安全性評估方法，按照自頂向下的正向設計流程，設計了一種非相似架構的起落架收放控制單元，顯著提升了系統的安全性，表明該架構設計具有一定的先進性。本文提出的設計方法符合國際通用的ARP4754A民機系統及設備研制流程要求，對國內其他民機機載控制系統及設備的工程設計具有借鑒作用。

參考文獻：

[1] 李建勇，陳渝，鄧志云，等.基于非接觸式測量技術的起落架收發控制系統設計及應用[J].2022年綜合航空測控技術年會?？?，2022（11）：220-223.

[2] 田莉蓉.機載電子產品適航工程方法[M].北京：航空工業出版社，2016.

[3] Society of Automotive Engineers.Guidelines for Development of Civil Aircraft and Systems：ARP4754A[S].Washington，DC，USA，2012.

[4] 詹翔.基于FPGA和DSP的非相似雙余度數字式前輪轉彎控制盒設計[J].西華大學學報，2015（4）：32-36.

[5] Society of Automotive Engineers.Guidelines for Conducting the Saft Assessment Process on Civil Aircraft，System，and Equipment：ARP4761A[S].Washington，DC，USA，1996.

[6] 邵維貴.FMECA和FTA在某型飛機起落架系統故障分析中的應用研究[D].成都：西華大學，2019.

【通聯編輯：光文玲】