多信息融合大气数据系统故障隔离技术研究

焦 璐，郭 毅，雷廷万，邓德明，朱 楠，冯 刚

(航空工业成都飞机设计研究所，四川 成都 610091)

作为飞行安全关键系统的大气数据系统，利用安装在飞机机体外部的全静压传感器(含机身静压孔)、风标、总温等传感器完成与飞行密切相关的全压、静压、攻角(含侧滑角)以及大气总温的测量，经修正、补偿后，这些信息被提供给飞行控制系统、航空电子系统等飞机其他系统，用于飞机的操控和显示[1]。

由于大气数据系统测量和解算的飞行大气参数直接或间接地表征飞机在空气中运动的状态，与飞机的升力、阻力、速度限制、攻角限制等直接相关，其测量参数往往直接或间接地被用于飞行控制系统。因此，对于飞行安全要求较高的民航客机、先进军用飞机，往往采用多余度的大气数据系统配置，以避免大气数据系统某个/某些部件的故障导致整个大气数据系统失效，或导致飞机其他系统无法获取有效的飞行大气参数，引起飞行事故或灾难[2-3]。

然而，采用多余度大气数据系统配置使得暴露在机体外部的传感器探头数量成倍增长。以目前世界上主流军用或民用飞机为例，大气数据系统的外露传感器探头一般包括全静压受感器(也称皮托管)、攻角传感器、总温传感器。这些传感器按照多余度配置后，在前机身通常会有数个突出飞机轮廓的探头。对于先进战斗机而言，大量的外露探头势必导致隐身性能的下降，而对于民用航空器而言，这些外露探头又会增加飞行阻力，影响航线运行的经济性。当然，余度的增加也会导致成本的上升。因此，目前几乎所有的军民航空器设计都会在安全性(增加余度的需求)和性能/经济性(降低余度的需求)之间寻求平衡，以期在保证安全的基础上将余度控制到最少。这就带来一个问题：如何用最少的余度保证飞行的安全。

1 主流军民航空器大气数据系统余度配置

目前，国内外主要的军用和民用航空器均采用多余度飞行控制系统，以保证飞行的安全和任务的可靠性[2-3]。图1为典型飞控系统的余度配置。

大气数据系统作为关键飞行传感器系统，是飞控系统和座舱显示系统的重要信息源，其提供的动压(空速)、攻角(迎角)等信息实时反映飞行器在大气中飞行时作用在飞行器上的升力、阻力等气动力以及与控制面动作相关的气动力矩，提示飞行员飞行的高度、速度等关键操作信息，因此，典型军民飞机的大气数据系统通常也采用与飞控系统、座舱显示系统相适应的余度配置，如图2所示[4]。

图2 典型多余度大气数据系统

2 多余度大气参数的故障隔离

无论是飞控系统还是座舱显示系统，从控制的角度，需要选择唯一正确的表征飞行器飞行状态的信息对飞行器进行控制。当然对于多驾驶员的多数民航飞机，座舱显示通常会采用机长与副驾驶不同的信息源进行显示，其目的是通过显示信息一致性的人工检查，来判断多余度信息源的故障状态，并按照手册和检查单的提示做出正确的判断和操控。对于大多采用单一飞行员的军用战斗机，则通过主显示系统与备份显示系统选用不同余度的信息，达到与民航系统类似的信息源故障检查的目的。

2.1 常规多余度大气参数的故障隔离

一般而言，对于具备足够余度设计的大气数据系统，各设备在自身电气电路自检测(BIT)的基础上，通过飞控系统或航空电子系统采用表决的形式可以较好地完成大气数据系统的故障隔离，将错误的信息排除在系统之外，采用正确的信息完成飞机的控制。

传感器信息的表决算法很多，一般取决于设备的可靠性指标、余度配置、信号重要程度等[5]。对于大气参数而言，目前多数民用和军用飞机采用的余度配置为三余度或四余度，包括机械余度和电气余度，其监控表决技术也相对成熟。例如，对三余度信息而言，当所有余度的信息有效且未超过监控门限时，可以取均值作为表决参数用于控制；当有一个余度的信息为无效而其他两个余度信息有效，且剩余的两个余度信息偏差不超过监控门限时，采用剩余的两个余度的均值作为表决值用于控制；当仅有一个余度的信息有效且该设备的可靠性较高时，可以利用该仅剩的余度信息作为表决值用于控制，反之则宣布所有余度的对应信息失效。因此，常规的多余度大气参数的监控表决具有逻辑清楚、实现方便的特点，也能在发生故障时准确地隔离出故障，保证飞行的安全。

2.2 利用多信息融合技术完成多余度大气参数的故障隔离

但是，随着技术的发展，航空运输领域要求以更少的能耗完成相同的或更多的货物运输量，同时各飞机生产公司也一直致力于降低飞机成本以获取更大的利益。军事领域隐身需求等也逐渐成为先进作战飞机的标志之一。以上种种需求，使得飞行器大气数据系统的外露探头数量受到限制，并且最大限度地减少外露探头的要求也越来越明显。

有资料显示，以美国F-22、F-35为代表的先进战斗机大气数据系统只采用了两只突出机身表面安装的大气数据传感器探头，配合机身齐平安装的静压孔完成动静压、攻角及侧滑角的测量。尽管可以采用增加采集电路、解算电路以及接口电路等形式获得多余度的大气参数信息，但从机械余度上看，大气数据系统的余度配置为两余度配置，当某只探头出现物理损坏时(例如结冰、鸟撞等)，测量的上述大气参数会出现分离的故障，并且某些情况下可能难以通过常规的电气电路自检测确认故障。在这种情况下如何隔离出故障的信号，选择正确的信号支撑安全的飞行变得尤为重要。由于无法获得更详细的资料，无法确定这两型飞机大气参数故障隔离的具体方法，但分析认为可能采用了多信息融合辅助进行故障隔离的手段。

2.2.1 多信息融合隔离大气参数故障原理

国内外采用多信息融合技术进行大气参数计算的研究已有很长时间，其方法也有多种，主要包括利用惯性参考系统信息进行大气参数的估计运算获得关键飞行大气参数[6-7]，也有综合利用惯性信息和气动数据库估算飞行大气参数的方法[8]等。事实上，综合利用其他系统信息完成关键大气参数估计后，相当于构建了一个(或多个)余度的“虚拟大气数据系统”，在进行大气数据系统故障隔离的过程中，将“虚拟大气参数”与真实大气数据系统测量参数一起进行监控表决，是解决缺少机械余度的多余度大气数据系统故障监控与隔离、完成关键参数表决的有效办法之一。

大气数据系统的基本参数包含动静压、攻角及侧滑角参数，其中通常讨论的飞行高度是静压的函数，校准空速是动压的函数，攻角及侧滑角通常采用直接测量的方法得出。也就是说当获得飞行的动静压、攻角及侧滑角后，其他大气参数可以利用上述参数通过标准大气方程和伯努利方程完成计算。

综合利用惯性参数完成“虚拟大气数据系统”余度，并辅助进行故障隔离的原理如图3所示。其核心是利用机载大气数据系统的速度、高度、攻角、侧滑角等信息以及惯性参考系统的速度、高度、航向角及姿态角信息，获取实时的风速矢量，再利用已知风速矢量和惯性参数，完成上述关键大气参数的反向解算。该反向解算出来的大气参数可以构成一个或多个虚拟余度。当机载大气数据系统测量参数出现“分离”并难以利用已有测量大气参数进行多余度表决确认出正常信息时，利用该融合计算参数可以可靠地隔离出故障的信息。

图3 多信息融合故障隔离原理

以双机械余度的大气数据系统为例，在两个余度的大气数据系统测量单元和解算单元均正常时，其输出的参数表现出良好的一致性。此时利用测量的大气参数与惯性参考系统的惯性参数可完成实时风速矢量的解算和滤波处理。当双余度大气数据系统的某一测量单元(如空速管、风标等传感器)发生故障，并且通常的电气自检测无法确认故障时，飞机系统(如飞控系统等)难以通过常规的监控表决技术隔离故障源。若在发生故障的初始阶段(例如当分离趋势刚刚出现时)冻结风速矢量的解算，避免错误的大气参数污染风速信息，利用冻结的风速矢量结合惯性参数继续完成“虚拟大气数据系统”余度信息的解算，由于融合解算的大气参数此时仅与惯性参考系统相关，并未受到故障的大气数据余度影响，因此其参数将保持较好的精度，并与正常的大气数据系统余度保持较好的一致性。利用该特性，设计的监控/表决器可以快速隔离出故障的大气信息源，选择正常的大气参数用于飞机的控制以及显示。

2.2.2 多信息融合隔离大气参数故障仿真

利用上述原理设计了仿真器，结合飞行数据进行了仿真验证。仿真器输入为真实飞行数据，包括双余度大气数据系统两个通道的攻角、侧滑角、全压、静压测量值以及惯性参考系统的总速、高度、航向及姿态角，输出为表决后的全压、静压、攻角。

首先，根据气流和机体坐标系的转换关系，将真空速分解到机体坐标系：

(1)

然后，根据大气真空速与惯性总速的关系，求取风速矢量：

(2)

当出现两余度大气测量参数不一致时，停止风速计算，并用已经完成计算的风速矢量与惯性信息进行大气参数的反向解算，如式(3)～式(7)所示。

(3)

(4)

(5)

(6)

Hp=HI+Hbc

(7)

而后根据式(6)和式(7)，可完成全压及静压的计算。

仿真过程中设置余度A攻角发生故障偏离真实值，设置冻结风场计算的条件为两个余度的参数偏差超过3°，图4为攻角的仿真结果。可以看出，当余度A的攻角出现故障偏离余度C后，监控器快速检测到偏离，并冻结风场计算，而后通过监控器隔离了A余度的攻角故障，使得表决攻角快速恢复到正常的余度C的攻角。

图4 双余度攻角故障隔离仿真

其余参数的仿真结果与攻角相似，不再一一列出。

3 波音737MAX空难原因初步分析

2019年，印尼狮航和埃塞俄比亚航空的波音737MAX飞机在很短的时间内出现两次空难，根据初步调查结果，均是由于大气数据系统的一个攻角传感器故障，输出角度极大地超过飞机的真实攻角，而飞控系统未能隔离出故障的攻角传感器，导致反复触发该型飞机独有的MCAS(Maneuvering Characteristics Augmentation System，机动性能增强系统)，致使飞机自动反复快速压低机头，最终导致悲剧的发生[9]。

从埃航公布的初步调查结果来看，仅仅因为两只攻角传感器中的一只发生故障，即导致MCAS的反复启动，尽管飞行员进行了长时间的努力，最后飞机以约-40°的俯仰角，接近500 kn的空速俯冲坠地,空难数据如图5所示。

由图5可以看出，左侧攻角传感器起飞后快速从正常值上升到74.5°，而右侧攻角传感器读数为15.3°。该情况和上文中仿真模拟的情况非常类似，从技术上看，显然是可以通过信息融合的手段快速隔离出左侧攻角传感器的故障，进而选择右侧正常工作的传感器继续控制飞机，避免空难的发生。

图5 埃航737MAX空难数据

目前，波音公司对MCAS软件进行了优化，将攻角指示器作为标准配置安装在其737MAX机型上，并已经开展了大量的飞行验证工作，但MCAS软件具体如何优化并未进行详细说明，若简单采用双余度攻角输入信号监控，偏差超过某一特定门限即不启动MCAS系统，将飞行的控制权全部交给飞行员，似乎并不是最好的解决方案。毕竟737MAX机型由于发动机安装问题容易导致飞机进入大攻角状态，需要飞控系统的帮助加以克服，从而避免发生失速危险。如果在复杂气象条件下确实出现上述故障，飞行员可能较难确认飞机的真实状态并完成正确的操作。

4 结束语

大气数据系统和惯性参考系统作为反映飞机飞行状态的两种传感器系统，采用不同测量原理分别完成大气参数和惯性参数的测量。综合利用上述两个系统的输出参数，完成实时风速矢量的计算，并利用风速矢量和惯性参数可以完成大气参数的解算。在此基础上构建起“虚拟大气数据系统”，通过监控表决，可以完成传统系统自检测无法检测和隔离的故障，选择正确的大气数据用于飞机的操控。该技术可以有效降低对传统大气数据系统硬件余度的要求。