民用飞机飞控系统传感器信号表决设计

唐志帅 刘兴华 盛伟强 吴志琪 / TANG Zhishuai LIU Xinghua SHENG Weiqiang WU Zhiqi(上海飞机设计研究院，上海201210)(Shanghai Aircraft Design and Research Institute, Shanghai 201210, China)

民用飞机飞控系统传感器信号表决设计

唐志帅 刘兴华 盛伟强 吴志琪 / TANG Zhishuai LIU Xinghua SHENG Weiqiang WU Zhiqi
(上海飞机设计研究院，上海201210)
(Shanghai Aircraft Design and Research Institute, Shanghai 201210, China)

电传飞控系统(Fly By Wire，简称FBW)通过传感器余度配置，提高了信号可用性和完整性。介绍了几类常见的传感器余度配置方案及其表决逻辑，设计了三余度传感器表决架构，对其中比较器、计数器进行了详细描述。最后通过一个仿真算例验证了表决器设计的正确性。对于国内民机传感器余度配置和表决管理具有指导意义。

电传飞控系统；余度管理；表决器；传感器

0 引言

电传飞控系统使用冗余硬件(传感器、计算单元等)，以满足高可靠性、高安全性要求。目前很多传感器具备内部监控器(电压/电流监控、频率监控等)，可提供90%～95%以上的故障检测率。一旦检测到故障，该传感器数据将被标记为“无效”。然而有效性标记并不能覆盖传感器的所有故障，针对传感器不能自己检测到的故障，需要设计外部监控器对多余度传感器进行表决(余度管理)，以隔离错误传感器信号，避免对飞机产生不良影响[1]。

本文对二余度、三余度、四余度、混杂余度的传感器表决逻辑进行了研究[2]，分析了可应用于工程实践的表决器设计方法。对于飞控系统的关键传感器表决设计(侧杆、脚蹬、大气数据、惯导传感器等)，具有指导意义。

1 表决逻辑

信号表决的目的是为了提高信号的可用性或完整性，或二者兼有。表决的源信号并非越多越好，余度增加会带来硬件成本、架构复杂度、维护工作和重量的增加[3]。源信号的数量及表决逻辑取决于飞机/系统对信号的要求，民用飞机设计过程中常见的传感器余度设计主要有二余度、三余度、四余度、混杂余度这几类，表1总结了不同的表决逻辑所带来的收益。(根据目前工业水平，假设单个传感器信号可用性为1E-4/FH，完整性为1E-5/FH。假设飞行暴露时间为3小时，多传感器之间相互独立。)

表1 多余度传感器常见的表决逻辑

2 表决器设计

当传感器输出信号超出公差范围的次数大于定义值(持续故障时间)，表决器需检测到故障并隔离相应传感器信号。

表决器需根据已确定的表决逻辑进行设计，同时定义相关的表决门限和允许的持续故障时间。表决门限过低会导致传感器输出在误差带边缘时被断开，门限过高则可能导致故障锁存时传感器已出现不可接受的瞬变，因此表决器门限的选择非常重要。同时为了避免信号跳变导致表决器频繁误触发，提高系统鲁棒性，需要允许传感器信号的“错误”持续一段时间，工程上一般采用计数器的方法，一旦错误计数达到定义值，则锁存传感器故障，隔离错误信号。

以飞控系统常见的三余度配置为例，设计表决器如图1所示。

比较器对三路传感器信号A、B、C进行两两比较，若两个传感器信号之差超出门限，比较器输出1至逻辑与门，表示这一组信号不匹配。若A与B不匹配且A与C不匹配(与门输出为1)，则可判定传感器A出现一次故障，相应的计数器记录故障信息。比较器门限的设计需综合考虑传感器、传输总线、飞控电子设备的误差和延迟，并根据试验结果进行修正。

计数器记录传感器故障信息，对每路传感器的故障次数进行统计，出现一次故障计数器加X，出现一次正常数据计数器减Y，当计数值大于Z，则判定相应传感器出现故障，监控器隔离并锁存故障信号。X、Y、Z的定义更多依赖于工程经验，同时考虑表决器性能要求。

最后表决器根据传感器信号值和故障锁存信息，对剩余有效信号取均值，输出表决信号，用于控制律计算。

3 仿真算例

本文根据第三章设计的表决器架构，使用MATLAB/Simulink建立模型，进行三余度表决器的仿真研究[4]。

假设某机型惯导系统通过数据总线，发给飞控系统的三路偏航角信号如图2所示(三路信号均叠加了高斯白噪声，以测试表决器的鲁棒性；偏航角信号A在第4s至5s注入故障，偏航角信号B和C为正常有效信号)。

假设偏航角传感器的误差为δ1(含传感器信号延迟等动态误差)，飞控系统内部误差为δ2，则最坏情况下两路惯导信号最大差异为2(δ1+δ2)，因此这里设置比较器门限为2(δ1+δ2)。根据工程经验，假设计数器的X、Y、Z参数分别为30、1、500，使用本文设计的表决器可得到仿真结果如图3所示。

由图3可知，计数器在收到一次故障信号后计数器加30，收到一次正常信号后计数器减1，若计数值大于500，则锁存故障。表决器在偏航角A信号发生故障后的450 ms内，偏航角A对应的计数值超过500，其锁存信号由0变为1，表决器成功实现了故障信号锁存。而偏航角信号B和C则正常输出，在噪声干扰下其计数值在100以内，具备一定的鲁棒性。

在实际设计中如对表决器性能有更高要求，可通过调整X、Y、Z参数实现。

4 结论

本文分析了电传飞控系统常见的传感器信号表决逻辑，完成了三余度传感器信号的表决器设计，并通过仿真算例证明了表决器设计的正确性。本文对于国内民机传感器余度配置和表决设计具有指导意义。

[1] Oosterom, M., Babuska, R.. Aircraft sensor management and flight control law reconfiguration—Fuzzy logic approach [C]. Canada: AIAA Paper 2001-4358, 2001.

[2] 陈丁剑. 多通道余度模型中高可靠表决结构和算法[J]. 测控技术，2012(31): 31-33.

[3] Society of Automotive Engineers. ARP4754A Guidelines for Development of Civil Aircraft and Systems [S].2010.

[4] 黄开枝. MATLAB 7基础教程-面向工程应用[M]. 第一版. 北京：清华大学出版社，2007: 253-255.

The Sensor Voter Design of Flight Control System for Civil Aircraft

Fly By Wire Flight Control System improved the availability and integrity of signals by the redundancy sensors configuration. This paper introduces several Redundancy Configurations and the corresponding Vote Logic, presents the Compare Module and Counter Module, and designs the Triple Redundancy Sensor Voter, which has been verified by a simulation case. This paper can provide the guidance for Redundancy sensors Management and Voter Design for Civil Aircraft.

fly by wire; redundancy management; voter, sensor

10.19416/j.cnki.1674-9804.2017.02.021

V249

A

唐志帅 男 ，硕士，工程师，主要研究方向：民机飞控系统设计与安全性分析等；E-mail： tangzhishuai@comac.cc

刘兴华 男 ，博士，高级工程师，主要研究方向：民机飞控系统设计、分析与验证等；E-mail： liuxinghua@comac.cc

盛伟强 男 ，硕士，工程师，主要研究方向：民机飞控系统设计与验证等；E-mail： shengweiqiang@comac.cc

吴志琪 男 ，硕士，工程师，主要研究方向：民机飞控系统设计与验证等；E-mail： wuzhiqi@comac.cc