梁森，王婧茹，姚鷁，鄭保

（1.航空工業(yè)第一飛機設(shè)計研究院檢驗計量中心，陜西 西安710089；2.中航西飛民用飛機有限責(zé)任公司，陜西 西安710089；3.空裝駐西安地區(qū)軍事代表局第一軍事代表室，陜西 西安710089）

0 引言

隨著現(xiàn)代傳感器以及數(shù)字計算機的不斷發(fā)展，在控制領(lǐng)域，模擬信號越來越多地被離散化為數(shù)字信號。各類數(shù)字計算機因具有控制精度高、可靠性好、實時性好等優(yōu)點，在現(xiàn)代嵌入式機載設(shè)備開發(fā)領(lǐng)域中的使用已成為主流［1-7］。目前，某一個控制系統(tǒng)一般由幾個不同的控制計算機或者控制器組成，各控制器之間的通訊以及狀態(tài)切換成為控制系統(tǒng)設(shè)計的關(guān)鍵。

在系統(tǒng)建模時必須考慮到系統(tǒng)各個狀態(tài)之間的轉(zhuǎn)換過程，因此本文介紹了基于有限狀態(tài)機的數(shù)學(xué)模型及Petri網(wǎng)在民機高升力分系統(tǒng)設(shè)計中的應(yīng)用，通過系統(tǒng)狀態(tài)機建模、仿真分析以及將仿真結(jié)果和試驗結(jié)果進行比對并校準(zhǔn)這一完整過程，來論述該方法的可行性以及意義。

1 Petri網(wǎng)絡(luò)基本屬性

Petri網(wǎng)絡(luò)是1962年由卡爾·佩特里博士發(fā)明的一種用于描述離散系統(tǒng)的數(shù)學(xué)方法。Petri網(wǎng)能表達并發(fā)的事件［8］，具有嚴(yán)格的數(shù)學(xué)表達和直觀的圖形描述。將Petri網(wǎng)絡(luò)應(yīng)用于狀態(tài)機領(lǐng)域，其數(shù)學(xué)表達即系統(tǒng)的狀態(tài)轉(zhuǎn)移方程，圖形描述即狀態(tài)遷移圖，二者可以分別對系統(tǒng)狀態(tài)流進行詳細(xì)的描述和分析。

Petri網(wǎng)絡(luò)的基本元素有：①庫所：用來描述不同狀態(tài)的節(jié)點；②變遷：對應(yīng)系統(tǒng)中某一事件的發(fā)生；③有向?。簬焖妥冞w之間的有向線段，表示狀態(tài)遷移的方向；④令牌：庫所中的動態(tài)對象（用庫所中的實心圓表示），隨著事件的發(fā)生，令牌可以從一個庫所遷移到其他庫所。

系統(tǒng)的狀態(tài)轉(zhuǎn)移方程是基于系統(tǒng)的狀態(tài)機模型，利用離散整數(shù)來構(gòu)建的線性矩陣。它能夠描述系統(tǒng)的動態(tài)特性，同時為利用計算機來實現(xiàn)仿真和驗證提供了可能。Petri網(wǎng)絡(luò)具備三個基本屬性：有界性、非死環(huán)、可回溯性［9］。對于任意一個Petri網(wǎng)絡(luò)的分析都是以這三個屬性為出發(fā)點來進行的。

2 民機高升力系統(tǒng)架構(gòu)及通訊機制

2.1 高升力系統(tǒng)架構(gòu)

某民機高升力系統(tǒng)架構(gòu)如圖1所示。整個系統(tǒng)是駕駛員在環(huán)的閉環(huán)控制系統(tǒng)。系統(tǒng)操作分為正常模態(tài)和降級模態(tài)。在正常模態(tài)下，駕駛員通過座艙屏顯獲取當(dāng)前舵面位置以及系統(tǒng)狀態(tài)等信息。根據(jù)飛行需要，操縱控制手柄至目標(biāo)位置，該操縱信號通過手柄位置傳感器并經(jīng)過A／D轉(zhuǎn)換輸入到控制器，控制器采集當(dāng)前舵面位置傳感器信息獲取當(dāng)前舵面位置，根據(jù)當(dāng)前位置與目標(biāo)位置進行控制律解算，得出偏差角并輸入到動力驅(qū)動單元，動力驅(qū)動單元根據(jù)偏差角的大小和極性控制直流電機旋轉(zhuǎn)，帶動扭力桿等作動器控制舵面運動到目標(biāo)位置，完成整個閉環(huán)控制過程［10］。

圖1 某民機高升力系統(tǒng)架構(gòu)

控制器發(fā)生故障導(dǎo)致系統(tǒng)進入降級模態(tài)。在該模態(tài)下，駕駛員通過超控單元的使能按鈕使能超控單元，直接通過超控單元控制動力驅(qū)動單元的電機，從而控制舵面運動到安全位置，保證飛行安全。

2.2 控制器與動力驅(qū)動單元之間接口協(xié)議及通訊機制

在該系統(tǒng)中，控制器是控制核心，它與動力驅(qū)動單元協(xié)同工作，共同實現(xiàn)舵面位置控制、系統(tǒng)狀態(tài)監(jiān)控等功能。作為系統(tǒng)核心的控制器，負(fù)責(zé)解算控制律和上報系統(tǒng)狀態(tài)監(jiān)控等任務(wù)。首先，控制器在上電時會進行上電自檢測（PUBIT），對其本身的軟、硬件進行檢測；同時動力驅(qū)動單元本身沒有與外界系統(tǒng)通訊的接口，故它的所有信息（包括本身檢測結(jié)果、傳感器正常與否）都要上報給控制器，由控制器進行故障綜合與判斷，一并上報給其他系統(tǒng)提供給駕駛員［11］?？刂破髋c動力驅(qū)動單元之間的通訊機制相同，都是先檢測ARINC429數(shù)據(jù)的label號，若label號正確，再解析數(shù)據(jù)，否則直接丟棄該數(shù)據(jù)包。

3 系統(tǒng)狀態(tài)機建模與仿真

3.1 系統(tǒng)狀態(tài)機建模

基于以上系統(tǒng)架構(gòu)和通訊機制，建立正常模態(tài)下系統(tǒng)的狀態(tài)機模型。經(jīng)過分析和歸納，該系統(tǒng)主要有以下幾個狀態(tài)：①以上電為起點，系統(tǒng)首先進入初始化狀態(tài)；②進行PUBIT，對控制器本身的接口、寄存器等進行自檢測，同時完成對各種傳感器的檢測；③進入等待狀態(tài)，等待控制指令的輸入；④當(dāng)控制指令發(fā)出時，系統(tǒng)進入運行狀態(tài)；⑤運行階段控制器對系統(tǒng)各部件狀態(tài)進行監(jiān)控，若沒有故障，則系統(tǒng)運行至舵面達到目標(biāo)位置，等待下一次控制指令。

若系統(tǒng)某一部件出現(xiàn)故障，則系統(tǒng)進入相應(yīng)的故障處理狀態(tài)，嘗試3次修復(fù)故障，若故障排除，則系統(tǒng)恢復(fù)到等待狀態(tài)；否則進入超控（掛起）狀態(tài)，等待系統(tǒng)下電，進一步檢測故障。

3.1.1 控制手柄建模

手柄僅在控制指令發(fā)出時用到，它的模型非常簡單。因為搬動手柄的過程非?？欤收J(rèn)為這個過程是瞬時的，因此它共有二個狀態(tài)：①初始化狀態(tài)：上電之后立即進入初始化狀態(tài)，初始化傳感器參數(shù)等；②等待狀態(tài)：等待駕駛員搬動手柄。它的Petri網(wǎng)絡(luò)模型如圖2所示。

圖2 手柄狀態(tài)機模型

最終系統(tǒng)重新上電后，又進入初始化狀態(tài)。該模型是一個二值模型，沒有死環(huán)和無界庫所，而且所有變遷都是可達的。

3.1.2 舵面位置傳感器建模

舵面位置傳感器作為反饋的重要環(huán)節(jié)，也有兩個狀態(tài)：上電后初始狀態(tài)（上電后隨即進入初始狀態(tài)）、運行（數(shù)據(jù)采集）狀態(tài)（采集舵面位置信息并傳給控制器）。它的模型和手柄類似（這里不再贅述），但是實際執(zhí)行過程卻不同：手柄運動是瞬時的，而傳感器采集數(shù)據(jù)則有一段持續(xù)時間。

3.1.3 控制器建模

作為整個系統(tǒng)的核心，控制器的狀態(tài)機模型貫穿了控制過程的始終，幾乎所有部件都參與其中，此模型最為復(fù)雜，它的狀態(tài)劃分為：①初始化狀態(tài)：以系統(tǒng)上電為起點，首先控制器進入初始化狀態(tài)，對其中的板卡、接口進行初始化操作，隨后進入上電自檢測過程；②等待狀態(tài)：經(jīng)過上電自檢測后，控制器進入等待狀態(tài)，等待控制指令的輸入；③運行狀態(tài)：當(dāng)手柄控制指令輸入時，控制器進入運行狀態(tài)，同時位置傳感器實時監(jiān)測舵面位置；若到位，則釋放位置傳感器，同時控制器回到等待狀態(tài)；若沒有到位，則控制器在運行狀態(tài)一直循環(huán)；④故障處理狀態(tài)：若運行過程中發(fā)生故障，則控制器進入該狀態(tài)；⑤超控（掛起）狀態(tài)：若故障未能排除，則駕駛員使能超控單元，直接控制動力驅(qū)動單元驅(qū)動舵面，此時控制器進入超控（掛起）狀態(tài)，等待系統(tǒng)下電后進一步檢測故障。重新上電后又進入初始化狀態(tài)［12］。

控制器狀態(tài)機模型如圖3所示。

圖3 控制器狀態(tài)機模型

在該模型中，由于幾乎所有部件都參與其中，故其他部件在該狀態(tài)機模型中也有相應(yīng)的表達，但是通過仿真運行可以看出，這個控制器模型中存在著“死環(huán)”和無界庫所。在排除了上述兩個問題后，控制器模型最終建立。圖4為系統(tǒng)狀態(tài)機屬性檢查情況。

圖4 系統(tǒng)狀態(tài)機屬性檢查輸出

根據(jù)圖4可以看出，模型屬性檢查輸出結(jié)果均為“Y”，表示控制器模型被正確建立。通過控制器狀態(tài)機建模過程可以看出：對于復(fù)雜部件，建模過程并不是一蹴而就的，而是“建模→模型分析→發(fā)現(xiàn)錯誤→模型修正”這樣一個反復(fù)迭代的過程。

3.1.4 其他部件建模

動力驅(qū)動單元是系統(tǒng)的控制指令輸出部件，它接收到控制器解算出的偏差角后，根據(jù)偏差角的大小和極性，輸出指令到直流電機，控制舵面運動到目標(biāo)位置。它的狀態(tài)可劃分為：①初始化狀態(tài)：系統(tǒng)上電后，進入初始化狀態(tài)，對動力驅(qū)動單元內(nèi)部的板卡和各種接口進行初始化操作，之后進入上電自檢測；②等待狀態(tài)：完成上電自檢測后，進入等待狀態(tài)，等待控制器輸出的偏差角；③運行狀態(tài)：接收到控制器解算出的偏差角后，進入運行狀態(tài)；④超控狀態(tài)：當(dāng)控制器出現(xiàn)故障且未能排除，駕駛員使能超控單元，直接控制動力驅(qū)動單元控制舵面，而控制器此時被掛起。最終系統(tǒng)重新上電后，又進入初始化狀態(tài)［13］。

超控單元是保證飛行安全的重要部件。控制器發(fā)生故障時，駕駛員使能超控單元，通過超控面板的收放旋鈕直接控制動力驅(qū)動單元。它的狀態(tài)如下：①初始化狀態(tài)：系統(tǒng)上電后，超控單元初始化它的各種傳感器；②等待狀態(tài)：完成初始化操作后，系統(tǒng)進入等待狀態(tài)，等待駕駛員的控制指令；③超控狀態(tài)：當(dāng)系統(tǒng)檢測到控制器出現(xiàn)故障并無法排除時，駕駛員使能超控單元，進入超控狀態(tài)。系統(tǒng)重新上電以后，又進入初始化狀態(tài)。

3.2 模型融合及修正與優(yōu)化

利用部件狀態(tài)機模型構(gòu)建系統(tǒng)狀態(tài)機模型的過程是通過交互部件融合實現(xiàn)。交互部件即在構(gòu)建部件狀態(tài)機模型時外加的、輔助該部件完成其功能的庫所或者變遷。

交互部件融合有兩種方式：同步融合和異步融合。同步融合即將相關(guān)聯(lián)的變遷融合，這樣使得不同部件在同一時刻觸發(fā)同一變遷，故稱為同步融合。相反，異步融合即將相關(guān)的庫所融合，因為這樣不能使系統(tǒng)狀態(tài)同步變遷，故稱之為異步融合。

下面就通過這兩種方式來構(gòu)建該飛行控制分系統(tǒng)的完整狀態(tài)機模型。

部件模型融合是分步實現(xiàn)的，先把最簡單的部件融合在一起，然后再把較復(fù)雜、需要仔細(xì)研究甚至做一定修正的部件進一步融合，最后得到優(yōu)化的、正確的系統(tǒng)模型。

圖5 系統(tǒng)模型融合最終結(jié)果

從模型屬性檢查窗口能夠清楚地看出整個系統(tǒng)狀態(tài)每一步的變遷過程，直至系統(tǒng)狀態(tài)復(fù)原：①初始化狀態(tài)：Init，Init_PDU，Init_H，Init_Pos，Init_Sup，每一個部件都進入初始化狀態(tài)；②等待狀態(tài)：當(dāng)所有部件都完成自檢測或者初始化之后，系統(tǒng)進入等待狀態(tài)，等待駕駛員輸入的控制指令；③運行狀態(tài)：當(dāng)駕駛員控制手柄有輸入信號時，除了超控單元以外的所有部件都參與控制，直至檢測到故障或者舵面運動到位；④故障修復(fù)狀態(tài)：當(dāng)系統(tǒng)檢測到故障，則進入故障修復(fù)狀態(tài)，連續(xù)進行三次修復(fù)，根據(jù)結(jié)果進入故障排除或者故障不能排除狀態(tài)；⑤超控狀態(tài)：若經(jīng)過三次處理均不能排除故障，則系統(tǒng)由超控單元控制進入超控狀態(tài)。隨著系統(tǒng)重新上電，又恢復(fù)到初始狀態(tài)［14］。

這個過程的描述看起來和3.1節(jié)中的描述沒有太大區(qū)別，但是卻把整個系統(tǒng)的每一個部件在控制過程中的狀態(tài)流全部梳理清楚，這是原模型所不能達到的，而且在具體分析問題和故障時，能更快速地定位，使得系統(tǒng)狀態(tài)流程變得簡單、明晰。同時通過系統(tǒng)狀態(tài)機模型，可以自動生成相關(guān)控制代碼，為后續(xù)系統(tǒng)仿真及測試奠定了基礎(chǔ)。

4 仿真驗證

通過系統(tǒng)試驗和模型仿真來驗證模型的正確性。通過系統(tǒng)綜合試驗可以看出，在系統(tǒng)初始上電后，每一部件都進入“初始化”狀態(tài)，仿真結(jié)果如圖6所示。

圖6 高升力系統(tǒng)仿真結(jié)果

初始化結(jié)束以后，所有部件都進入等待狀態(tài)，等待駕駛員控制指令的輸入。

當(dāng)駕駛員操縱手柄，系統(tǒng)隨之進入運行狀態(tài)。在運行狀態(tài)，實時檢測舵面目標(biāo)位置是否等于當(dāng)前位置，若相等，則該操作結(jié)束，所有部件都回到等待狀態(tài)，等待下一次控制指令輸入，否則，在運行狀態(tài)一直循環(huán)。若在運行狀態(tài)發(fā)生故障，則進入故障處理狀態(tài)，故障處理的結(jié)果決定系統(tǒng)進入超控（掛起）狀態(tài)還是繼續(xù)運行。若故障未能排除，則由超控單元發(fā)出超控指令，系統(tǒng)進入超控（掛起）狀態(tài)，重新上電后系統(tǒng)又恢復(fù)到初始化狀態(tài)。這和整個系統(tǒng)試驗過程一致，說明了該模型不僅在狀態(tài)機角度審視正確，且符合系統(tǒng)試驗的邏輯，證明了該方法的正確性、合理性。

5 系統(tǒng)測試及校準(zhǔn)

系統(tǒng)測試可以通過單步測試和自動測試來進行。單步測試需要測試人員手動激勵每一步的輸入條件；自動測試則將所有激勵條件通過初始化的方式加載到模型中，之后通過模型自動運行來實現(xiàn)自動化測試，當(dāng)系統(tǒng)出現(xiàn)bug時，測試會自動停止。系統(tǒng)測試過程流程圖如圖7所示。

圖7 系統(tǒng)測試流程圖

該測試系統(tǒng)由工控機、以太網(wǎng)交換機、光纖反射內(nèi)存網(wǎng)和信號調(diào)理裝置組成。對測試系統(tǒng)采用現(xiàn)場校準(zhǔn)的方法，校準(zhǔn)示意圖如圖8所示，通過對狀態(tài)機的建模及仿真，可以確認(rèn)狀態(tài)機模型的正確性，再通過編制測試腳本生成自動化測試用例，將校準(zhǔn)參數(shù)加載到測試用例中，最后加載到校準(zhǔn)系統(tǒng)中，可以實現(xiàn)測試系統(tǒng)的自動校準(zhǔn)。其中典型的總線信號時間間隔準(zhǔn)確度可達到0.003μs。

圖8 校準(zhǔn)示意圖

6 總結(jié)與展望

本文基于某民機飛控高升力系統(tǒng)架構(gòu)，利用Petri網(wǎng)絡(luò)這一狀態(tài)機描述工具，分別建立了系統(tǒng)各個部件的狀態(tài)機模型，之后通過模型融合并局部修正的方法重新構(gòu)建了更詳細(xì)的系統(tǒng)狀態(tài)機模型，最終通過仿真驗證及系統(tǒng)測試、校準(zhǔn)，證明了該方法的正確性。該方法在某些方面還需進一步探索和研究：①實際系統(tǒng)狀態(tài)遷移總是耗費時間的，不考慮時間效應(yīng)是為了簡化建模過程，機載嵌入式設(shè)備大多為實時系統(tǒng)，因此對時間效應(yīng)的影響是狀態(tài)機領(lǐng)域需要進一步深入研究的重點方向［15］；②目前系統(tǒng)的校準(zhǔn)基本采用現(xiàn)場校準(zhǔn)的方式，隨著智能技術(shù)的發(fā)展，未來遠程智能校準(zhǔn)也將是研究的目標(biāo)之一。