王雙雙， 陳 欣， 曹 東

(南京航空航天大學自動化學院，南京 211106)

0 引言

由于無人機具有性價比高,沒有駕駛人員安全、生存條件限制的特點,故應用范圍與環(huán)境更加廣泛。保證無人機自動飛行的飛行控制系統(tǒng)因長期受到惡劣運行環(huán)境如電磁輻射、溫度、壓力、震動以及外部損傷等的影響，發(fā)生故障的概率大幅提高[1]。飛行控制計算機作為無人機飛行控制系統(tǒng)的核心，對無人機的性能和安全起著決定性的作用[2]。為提高飛行控制系統(tǒng)的可靠性，降低故障發(fā)生對其功能和性能的影響，通常會對飛行控制計算機中的關鍵設備采用硬件冗余備份的設計。

由于硬件的冗余設計必須和相應的系統(tǒng)重構策略與故障恢復算法配合使用，才能達到增強飛行控制系統(tǒng)魯棒性的目的[3]。因此，對系統(tǒng)重構與恢復的研究具有非常重要的意義。

國內外針對余度飛行控制計算機系統(tǒng)重構與恢復的研究大多是針對舵面故障進行的控制律重構[4]或者針對功能單元故障進行余度降級的重構[5],對故障恢復后系統(tǒng)重構的研究比較少，特別是對飛行狀態(tài)恢復的研究。因此，本文主要針對三余度飛行控制計算機系統(tǒng)架構下不同功能單元的故障，給出相應的系統(tǒng)重構策略與故障恢復算法。最后在仿真環(huán)境下，通過故障注入的方法驗證了本文設計的系統(tǒng)重構策略與故障恢復算法的正確性，通過故障恢復可以有效地提高系統(tǒng)的可靠性。

1 三余度飛行控制計算機系統(tǒng)架構

三余度飛行控制計算機系統(tǒng)的余度架構體現(xiàn)在3個方面：1)內部功能模塊的余度；2)外部連接的傳感器的余度；3)外部連接的執(zhí)行機構的余度。

1.1 飛行控制計算機的余度

本文設計的三余度飛行控制計算機由控制單元(Control Unit，CU)、接口單元(Interface Unit，IU)和總線組成。CU主要負責飛行控制律解算、控制邏輯解算、導航解算、任務管理以及余度管理的實現(xiàn)；IU通過自身數(shù)字量、模擬量以及串口通訊的接口，負責對外部的傳感器和執(zhí)行機構等設備進行輸入輸出的管理；總線負責CU和CU之間，CU和IU之間的數(shù)據(jù)交互。

本文對CU，IU和總線進行冗余備份，樣例余度飛行控制計算機由3個CU、2個IU和2條總線構成，系統(tǒng)架構如圖1所示。

圖1 系統(tǒng)結構圖Fig.1 System structure diagram

1.2 傳感器的余度

傳感器的余度配置采用非相似余度[6]的設計思想，能夠一定程度上避免共性故障。采用不同的傳感器對相同的飛行信息進行采集，能夠保證飛行控制計算機計算所需關鍵飛行信息的安全性。傳感器測量信息如表1所示。

由表1可知，所有的姿態(tài)、位置、高度、速度信息都可以通過不同的傳感器測得，構成了傳感器信息的冗余。當某個傳感器出現(xiàn)故障時，可從冗余的傳感器設備中獲得相應的信息。

表1 傳感器冗余信息一覽表

1.3 執(zhí)行機構的余度

執(zhí)行機構的余度配置采用功能余度[7]的設計思想。樣例無人機的執(zhí)行機構包括氣動舵面、發(fā)動機、剎車、起落架等，每個執(zhí)行機構都是由單獨的舵機驅動，而所有的執(zhí)行機構中只有氣動舵面具有功能余度的特性——氣動舵面關于縱平面對稱(左/右內副翼、左/右外副翼、左/右內V尾、左/右外V尾、左/右襟翼)。在某一個舵面發(fā)生故障時，可以通過控制律重構的技術實現(xiàn)系統(tǒng)的重構,所以本文只考慮了執(zhí)行機構中氣動舵面的余度配置,如圖2所示。

圖2 樣例無人機舵面分布圖Fig.2 UAV rudder distribution

2 系統(tǒng)重構與恢復

系統(tǒng)的重構[8]是指在故障發(fā)生后，對故障進行屏蔽和隔離，對系統(tǒng)內部的結構進行重新調整，使系統(tǒng)的功能不受故障的影響。系統(tǒng)重構研究的重點是重構策略的設計。

系統(tǒng)的重構分為物理層面的重構和邏輯意義上的重構。鑒于研究對象三余度飛行控制計算機的硬件條件，本文采用的是邏輯意義上的重構方式。即在硬件配置和網絡拓撲結構不變的情況下，當檢測到故障發(fā)生時，對故障模塊實施暫時的隔離與屏蔽，在保證系統(tǒng)功能不受影響的情況下，完成系統(tǒng)的重構。

2.1 系統(tǒng)的重構

由第1章系統(tǒng)的余度架構可知：完備的系統(tǒng)的重構包括CU，IU，總線，輸入設備和輸出設備的重構，其中CU的重構是本文研究的重點。在假定IU、總線、外部輸入輸出設備均無故障的條件下，結合系統(tǒng)的硬件體系結構，當CU發(fā)生整體失效故障時，研究了CU的重構策略。而IU、總線、輸入設備和輸出設備故障的重構，由于篇幅限制，只是通過設備分配做簡要介紹。

2.1.1 CU的重構

由1.1節(jié)介紹可知：飛行控制計算機內部有3個CU，分別是CU_A，CU_B，CU_C,設定它們的優(yōu)先級分別為CU_A>CU_B>CU_C。當通過心跳檢測機制[9]檢測到CU發(fā)生整體失效的故障時，系統(tǒng)根據(jù)設定的優(yōu)先級順序依次搶奪總線的輸出控制權；當更高優(yōu)先級的CU從故障狀態(tài)中恢復時，控制權將被交還給優(yōu)先級更高的CU?？刂茩嗲袚Q邏輯如圖3所示，圖中接管控制權的CU用加粗和帶下劃線的字母表示。

圖3 控制權切換邏輯Fig.3 Control switching logic

當3個CU均正常工作時，系統(tǒng)為三余度表決的工作模式。由優(yōu)先級最高的CU_A掌握總線的輸出控制權，CU_B，CU_C將各自控制律解算的結果通過總線交叉?zhèn)鬏斀oCU_A，由CU_A對輸出信息進行表決，構成了三模冗余的系統(tǒng)。

當只有2個CU正常工作時，系統(tǒng)降級為主從熱備份的工作模式。優(yōu)先級較高的CU成為主CU，接管總線輸出控制權，優(yōu)先級較低的CU成為備CU。系統(tǒng)以主CU輸出的解算信息為準，不再進行表決。主、備CU通過對互相之間的控制律計算結果和心跳信息進行比較和監(jiān)測，來判斷對方的工作狀態(tài)，從而構成了雙機比較容錯系統(tǒng)。

當只有1個CU正常工作時，系統(tǒng)降級為單機工作模式，當前的CU為主CU，系統(tǒng)以主CU的控制律解算結果為準，構成單余度的系統(tǒng)。

在主從熱備份和單機的工作模式下，主CU會按照優(yōu)先級依次對故障的CU進行恢復。若恢復成功，控制權交給此時優(yōu)先級最高的CU，如果此時還有故障的CU，則由此時最高優(yōu)先級的CU對其進行恢復。CU恢復重構邏輯如圖4所示。

圖4 恢復重構邏輯Fig.4 Recovery reconstruction logic

2.1.2 其他單元的重構

由第1章的介紹可知傳感器、氣動舵面IU和總線均具有硬件冗余的特性,當其發(fā)生故障時，關于它們的重構可以通過設備分配方案來體現(xiàn)，如圖5所示。

1) 傳感器的重構。根據(jù)測量的傳感器信息冗余的特性，將傳感器分為兩組：第一組為慣導和大氣機；第二組為AHRS，GPS和無線電高度表。兩組傳感器分別和不同的IU連接，能夠減小某一個IU整體故障帶來的影響。當發(fā)生傳感器故障時，可根據(jù)傳感器信息源優(yōu)先級的高低(表1“可測傳感器”一欄，優(yōu)先級高的傳感器排在前面)，按照由高到低的順序依次切換，實現(xiàn)對傳感器故障的重構。

2) 氣動舵面的重構。由于10塊氣動舵面是由10個獨立的舵機來驅動，根據(jù)舵面功能冗余的特性，將10個舵機分別掛接在不同的IU，可以有效地避免出現(xiàn)某一個IU整體故障時，相同能力的舵面同時失效的情況。分配方案遵循“一左一右”和“一外一內”[10]的原則，保證在發(fā)生舵面故障時，可以利用控制律重構[11]的方法，實現(xiàn)對舵面故障的重構。

3) IU的重構。正常情況下IU_1和IU_2同時工作。IU上某個模塊(模擬量、數(shù)字量、串口量)發(fā)生故障后的重構，可根據(jù)故障后的表現(xiàn)形式一致的特點，將它分別歸結到對應傳感器、舵面故障的重構，在此不再贅述。本文IU的重構特指的是IU整體的重構。根據(jù)圖3的設備分配方案，當某個IU發(fā)生整體失效故障時，通過暫時隔離故障的IU，啟動單IU工作模式可以保證無人機繼續(xù)正常飛行，實現(xiàn)了對IU故障的重構。

4) 總線的重構。正常情況下，總線1負責所有數(shù)據(jù)的傳輸工作，總線2處于熱備份狀態(tài)。當總線1出現(xiàn)故障時，數(shù)據(jù)傳輸工作由總線2接替，實現(xiàn)了總線的重構。

2.2 系統(tǒng)的恢復

系統(tǒng)的恢復是指對故障單元進行恢復操作，讓故障單元重新加入正常工作隊列。系統(tǒng)恢復的研究重點是恢復算法的設計。由第1章系統(tǒng)的余度架構可知：完備的系統(tǒng)的恢復包括CU，IU，總線，輸入設備和輸出設備的恢復。本文只針對CU的恢復做了研究。當發(fā)生CU整體失效故障后，正常的CU在空閑時間內對故障的CU進行狀態(tài)恢復操作，使之能恢復到正常的運行狀態(tài)，重新加入工作隊列，提高系統(tǒng)的可靠性。

由于CU負擔了全部飛行控制的解算任務，其工作狀態(tài)與無人機的飛行狀態(tài)密切相關，具有記憶效應。當CU發(fā)生整體失效的故障時，CU的軟件狀態(tài)回到了初始化狀態(tài)，記憶的數(shù)據(jù)全部被抹去，進而導致無人機失控。因此，對系統(tǒng)狀態(tài)的恢復就是對CU軟件的工作狀態(tài)進行恢復，即對關鍵的控制狀態(tài)數(shù)據(jù)進行恢復。

故障恢復方式有前向恢復和后向恢復兩種[12]。

1) 前向恢復：通過將正常CU的控制狀態(tài)數(shù)據(jù)通過數(shù)據(jù)交叉?zhèn)鬏旀溌贰翱截悺钡焦收匣謴秃蟮腃U的手段，以達到恢復其正?？刂乒ぷ鳡顟B(tài)的目的。

2) 后向恢復：在CU正常運行的過程中，定期地將其工作狀態(tài)(檢查點)保存在非易失存儲器中，當CU故障后重啟時，根據(jù)最后一次儲存的檢查點對其狀態(tài)進行恢復。

由于后向恢復只能在CU故障時間很短的情況達到較好的恢復效果，而前向恢復對CU故障時間沒有嚴格要求，結合研究對象具有3CU的特點，本文采用的恢復方式是前向恢復。

選取的控制狀態(tài)數(shù)據(jù)的優(yōu)劣決定了前向恢復效果的好壞，而控制狀態(tài)數(shù)據(jù)的選取是和無人機當前的飛行狀態(tài)息息相關的。因為在不同飛行模態(tài)下，控制律的結構是不同的，需要恢復的數(shù)據(jù)也是不同的，所以必須仔細篩選需要恢復的數(shù)據(jù)，制定相應的恢復協(xié)議。

本文僅對無人機自主飛行模式下的爬升、平飛以及下滑狀態(tài)的恢復進行了研究。在這幾種狀態(tài)下，需要恢復的關鍵數(shù)據(jù)如表2所示。

表2 恢復的關鍵數(shù)據(jù)

根據(jù)篩選的關鍵數(shù)據(jù)，制定數(shù)據(jù)恢復包。數(shù)據(jù)恢復包包括：類型字、長度字、目標地址、源地址、數(shù)據(jù)區(qū)、校驗和。類型字用來識別數(shù)據(jù)恢復包的類型，長度字表示數(shù)據(jù)恢復包的長度，目標地址和源地址分別是接收和發(fā)送數(shù)據(jù)恢復包的CU，數(shù)據(jù)區(qū)是表2篩選出的關鍵數(shù)據(jù)，校驗和是從幀頭到數(shù)據(jù)區(qū)所有字節(jié)累加計算出的結果，用于接收方對數(shù)據(jù)包進行正確性校驗。

數(shù)據(jù)恢復包制定好之后，需要確定故障恢復的流程。對于正常CU，當檢測到故障CU，主動進入以下恢復流程。

1) 判斷自身優(yōu)先級是否最高：若不是，不做任何操作；若是，執(zhí)行2)。

2) 對故障CU的恢復失敗計數(shù)是否大于5：若是，永久故障標志置1，退出恢復邏輯；若不是，轉3)。

3) 置故障CU標志位，對故障CU發(fā)送數(shù)據(jù)恢復包。檢測故障CU的心跳信息：若正常，恢復成功，清除故障CU標志位，恢復失敗計數(shù)清零；若仍舊異常，恢復失敗計數(shù)加1，轉1)。

對于故障CU，重啟和其他CU同步成功后，首先進入恢復流程。

1) 判斷自身心跳信息和其他CU心跳信息：若一致，跳過恢復流程；若不一致，進入恢復流程，轉2)。

2) 收到數(shù)據(jù)恢復包后，按照校驗協(xié)議判定恢復數(shù)據(jù)包的有效性：若無效，繼續(xù)等待下一個數(shù)據(jù)恢復包；若有效，轉3)。

3) 按照數(shù)據(jù)恢復協(xié)議進行解析，恢復軟件的工作狀態(tài)。直到收到恢復結束的數(shù)據(jù)包，退出恢復操作。

3 實驗驗證

為了驗證本文設計的系統(tǒng)重構策略和故障恢復算法的可行性，需要搭建仿真環(huán)境進行相應的仿真實驗。仿真環(huán)境由飛行控制計算機、飛行仿真計算機、遙控遙測軟件、仿真控制臺軟件、故障注入軟件等構成，其結構如圖6所示。故障注入軟件以串口通訊的方式設置相應的故障模型參數(shù)，對目標系統(tǒng)進行故障注入。通過系統(tǒng)反饋的參數(shù)對系統(tǒng)狀態(tài)進行分析得出故障注入結果。

圖6 仿真結構圖Fig.6 Simulation structure

3.1 CU系統(tǒng)重構算法驗證

通過故障注入軟件對控制單元CU_A，CU_B，CU_C依次注入復位故障，再依次恢復，驗證CU的重構算法。重構測試記錄如表3所示。

表3 重構測試記錄表

實驗結果表明:當主CU發(fā)生故障時，冗余的CU按照優(yōu)先級順序及時進行控制權的接管。在故障恢復后，能夠將控制權交還給優(yōu)先級最高的CU，CU的重構算法正確。

3.2 CU狀態(tài)恢復算法驗證

在全過程仿真驗證時，在正常爬升過程中對CU_A注入“軟件復位”故障，然后重啟CU_A，通過和“無故障”仿真結果進行比較，來驗證故障恢復算法。無人機從滑跑起飛到爬升過程中，俯仰角、高度、升降舵輸出如圖7～圖9所示。

圖7 俯仰角Fig.7 Angle of pitch

圖8 高度Fig.8 Altitude

圖9 升降舵Fig.9 Elevator

在3 s時，無人機接收到起飛指令，開始在水面滑跑，44 s以后，無人機離開水面進入空中爬升，在120 s時，CU_A發(fā)生掉電故障，在122 s時，CU_B監(jiān)測到CU_A心跳故障，觸發(fā)視圖更換協(xié)議[13]，總線控制權由CU_B接管，系統(tǒng)由3CU多數(shù)表決模式切換為2CU主從熱備份的工作模式。由圖7～圖9可以看出，由于無人機當前處于爬升狀態(tài)，在完成控制權切換后，俯仰角繼續(xù)保持在6°，高度持續(xù)平穩(wěn)增加，升降舵輸出保持在-7.5°，驗證了心跳檢測算法檢測故障的有效性，表明正常CU及時從故障CU處接管了控制權。

在140 s時，CU_A重新上電。CU_B在監(jiān)測到CU_A心跳信息恢復正常的情況下，對CU_A飛行過程中的關鍵數(shù)據(jù)進行恢復，重新把控制權交還給CU_A。由圖7～圖9可以看出，在CU_A故障恢復后，無人機的俯仰角和升降舵輸出基本保持平穩(wěn)，高度持續(xù)平穩(wěn)增加，能繼續(xù)按照預定航線完成飛行，證明了恢復選取關鍵數(shù)據(jù)的有效性，驗證了故障恢復算法的正確性。

4 結束語

本文完成了三余度飛行控制計算機的故障重構策略和恢復算法設計，在保證系統(tǒng)可用性的基礎上提高了系統(tǒng)可靠性。通過對CU依次注入故障，驗證了系統(tǒng)重構策略的有效性；通過對飛行過程中關鍵數(shù)據(jù)的恢復，驗證了故障恢復算法的有效性。實驗結果表明本文設計的故障重構策略和故障恢復算法合理，能夠有效提高系統(tǒng)的可靠性，具有一定的工程實用價值。

[1] 宣源,田曉凌,程德勝,等.戰(zhàn)場電磁環(huán)境對無人機系統(tǒng)的干擾分析[J].裝備環(huán)境工程,2008,5(1):99-102.

[2] KRISHNAMURTHY K,WARD D.An intelligent flight director for autonomous aircraft[J].AIAA Journal,2006:AIAA2000-0168.

[3] 羅峰,丁凱峰,鄧建華.可重構飛行控制系統(tǒng)研究[J].飛行力學,2001,19(4):6-10.

[4] 艾劍良,王鵬,高明.飛行控制系統(tǒng)的重構技術研究[J].火力與指揮控制,2006,31(1):1-3.

[5] 周月平.無人機余度飛行控制軟件的設計與研究[D].南京：南京航空航天大學,2010.

[6] 劉小雄,章衛(wèi)國,李廣文.電傳飛行控制系統(tǒng)的余度設計技術[J].飛機設計,2006(1):35-38.

[7] 孟維杰,關英勇,郝大琦.飛機操縱面功能余度研究[J].飛機設計,2006(1):56-60.

[8] RAZA S,SILVERTHORN J.Use of the pseudo-inverse for design of a reconfigurable flight control system[C]//Guidance,Navigation and Control Conference Snowmass,1981:349-362.

[9] 張水平,李有峰,童樣,等.云數(shù)據(jù)中心心跳檢測與故障評估[J].計算機工程與設計,2014,35(10):3386-3391.

[10] 陳云.CAN總線飛控計算機設計與開發(fā)[D].南京：南京航空航天大學,2016.

[11] 王少萍,李沛瓊,裴英.飛控系統(tǒng)功能重構技術研究[J].航空學報,1998,19(s1):113-115.

[12] 文梅,李宏亮,張春元,等.分布式系統(tǒng)故障卷回恢復技術研究與實踐[J].計算機工程與科學,2000,22(5):52-55.

[13] 范捷,易樂天,舒繼武.拜占庭系統(tǒng)技術研究綜述[J].軟件學報,2013,24(6):1346-1360.