淺析無人機軟硬件余度設計方法

0 引言

無人機具有適應性強、配置靈活等優(yōu)勢，其在未來的作用愈發(fā)凸顯，但隨著無人機使用和飛行事故的逐漸增多，對地面人員的生命和財產(chǎn)威脅也越來越大。當前無人機普遍缺乏余度設計，本文從作動、傳感、數(shù)據(jù)鏈和飛控等軟硬件方面探討多余度設計方法，以提高無人機安全性和可靠性。

1 無人機的余度

余度技術(shù)是利用硬件或軟件冗余來提高系統(tǒng)運行可靠性的一種方法，是利用系統(tǒng)增加硬件和軟件重復配置的多重資源，并進行交叉或并行管理，提高系統(tǒng)穩(wěn)定性可靠性的方法[1]。余度技術(shù)一般分為：硬件余度、軟件余度和時間余度。

無人機系統(tǒng)通過數(shù)據(jù)鏈實現(xiàn)無人機與控制站的鏈路通信，通過傳感器采集信息，機載計算機處理和控制，一旦出現(xiàn)故障，可能會直接導致重大飛行事故。為實現(xiàn)無人機飛行安全，應對作動系統(tǒng)、傳感系統(tǒng)、通信系統(tǒng)和飛控系統(tǒng)等關(guān)鍵部位進行余度設計。通常作動部分和傳感器部分采用雙余度設計，飛控系統(tǒng)采用2-3余度。無人機不存在機上人員安全問題，考慮制造和維護成本，動力部分通常為采用關(guān)鍵部位如供油系統(tǒng)、點火系統(tǒng)2余度的航空發(fā)動機。

2 無人機硬件的余度設計

2.1 作動部分

作動系統(tǒng)是飛控系統(tǒng)重要的組成部分，其系統(tǒng)性能及可靠性直接影響到飛控系統(tǒng)和無人機的可靠性。為保證無人機的安全飛行，需對主要作動部件進行余度設計。

2.1.1 無人機共性部分

為保證供電的可靠性，通常采用雙電池組設計，一組電池負責發(fā)動機點火起動，以及對發(fā)動機控制單元ECU的供電；另一組電池負責給機載計算機、數(shù)據(jù)鏈模塊、航行燈導航燈、各傳感器、機載任務設備供電。一般采用兩個發(fā)電機的余度設計，分別為一主一副，主副發(fā)電機交叉給蓄電池充電，再給其他用電設備供電。當一個發(fā)電機出現(xiàn)問題時，另外一個仍能正常使用，若供電不足，這時需要關(guān)閉一些不影響飛行安全的機載設備，保證無人機安全返航。

2.1.2 固定翼無人機

固定翼無人機的作動部分主要包括：舵機（伺服）、發(fā)動機、傳動軸、供油系統(tǒng)、副翼、襟翼、水平尾翼、垂直尾翼、起落架、變速箱、液壓裝置、減震裝置和降落傘等其他回收裝置。

升降舵、方向舵、副翼、襟翼和鴨翼等舵機（伺服）系統(tǒng)的余度設計方法如圖1。飛控計算機發(fā)送信息給電調(diào)，電調(diào)控制舵機動作，計算機根據(jù)預先設定門限自動控制，當需要力矩較大時選擇兩個同時工作，需要力矩較小時使用一個舵機工作，如一個當舵機1產(chǎn)生故障不能使用或者卡死時，單向齒輪機構(gòu)使得舵機2可以單獨帶動舵面完成動作。

圖1 雙舵機通過齒輪機構(gòu)控制舵面示意圖

固定翼多采用滑跑起飛，部分大型無人機采用液壓裝置作為起落架作為收放動力來源，其缺點是質(zhì)量大、效率低、故障率高，對飛行安全有一定的影響。為提高起落架可靠性，可以加裝電動閥門+高壓氣瓶的應急裝置，當液壓裝置出現(xiàn)故障時，電動閥門自動打開，高壓氣瓶推動起落架應急放下。

采用火箭助推器的無人機，降落時使用降落傘。通過查閱國內(nèi)外資料，了解到無人機傘降時降落傘存在無法彈出現(xiàn)象。為提高無人機傘降的可靠性，可以采用主用傘加備用傘余度設計。

垂直安定面和水平安定面。用來輔助方向舵面和水平舵面，增加無人機航向和無人機俯仰的穩(wěn)定度。無人機操縱面出現(xiàn)故障時，為保持飛機正常滑行，通過副翼實現(xiàn)小角度大半徑轉(zhuǎn)彎。這種功能余度的方法進行控制無人機。以無人機副翼為例，可將尾翼設計成V形或者采用尾翼、襟翼、擾流片組合方式來實現(xiàn)副翼受損時的旋轉(zhuǎn)控制[2]。

2.1.3 旋翼無人機

旋翼無人機的作動部分主要包括：主旋翼、旋轉(zhuǎn)斜盤、尾槳、控制旋轉(zhuǎn)斜盤的舵機、控制桿、定位橋、起落架、滑橇、水平尾翼、垂直尾翼、發(fā)動機、傳動軸、油路、變速箱、尾齒輪箱等。

旋翼無人機一般機型較小，減輕重量、提高韌性和強度，主旋翼通常采用金屬梁加碳纖維復合材料蒙皮用蜂窩材料填充的結(jié)構(gòu)，通過槳葉自身變形消除周期變距引起的揮舞、擺陣和扭轉(zhuǎn)運動，減少槳轂復雜程度和故障率。系統(tǒng)的旋轉(zhuǎn)斜盤則可以使用功能余度舵機配合控制桿設計，如果其中一個舵機失效，在飛行計算機的緊急控制程序下，通過定位橋（或者卡死的舵機）限位，配合其他兩個舵機穩(wěn)定無人機，使其安全降落。

尾旋翼采用水平安定面、垂直安定面和尾槳設計，這種組合形式能夠?qū)崿F(xiàn)尾槳的余度。垂直安定面采用機翼形狀，利用流過兩側(cè)空氣速度不同產(chǎn)生側(cè)向力，減小尾槳旋轉(zhuǎn)推力所需功率。如圖2所示，當尾槳發(fā)生故障不能提供主旋翼旋轉(zhuǎn)產(chǎn)生的反扭距時，只要無人機保持30節(jié)以上速度，垂直安定面能夠保持無人機的基本方向，返回降落區(qū)域，這時可以采取關(guān)閉發(fā)動機使其自傳降落。同理，如果主旋翼不穩(wěn)，尾部水平安定面的設計，在保持一定速度時可以提供無人機的俯仰穩(wěn)定度。

圖2 無人直升機尾部俯視和側(cè)視圖

起落架與地面接觸部分設計成向上翹（滑板形狀）或者起落架加輪式設計，即有支撐功能又能在發(fā)生意外和緊急情況時，實現(xiàn)短距離的滑行降落。支撐部分采用彈性部件加液壓桿組合設計，增加強度、彈性和阻尼，減小降落時的沖擊力和共振問題。

四旋翼無人機的升力是由螺旋槳共同提供的，飛行時其中一個螺旋槳出現(xiàn)故障會直接導致無人機側(cè)翻，通常采用功能余度設計間接解決這類問題。市場上流通較廣的是復合翼設計，即無人機既有固定翼又有多旋翼。當無人機旋翼出現(xiàn)故障時，通過傳感器迅速判斷故障原因，切換固定翼模式飛行，能保證無人機安全返航。還有一種設計是使故障旋翼和對側(cè)旋翼同時停轉(zhuǎn)，剩余的兩個旋翼關(guān)于無人機對稱分布，此時無人機會出現(xiàn)自旋穩(wěn)定，可以實現(xiàn)對無人機位置跟蹤。這種犧牲偏航角控制而保持剩余狀態(tài)控制的方式一定程度上可以使無人機進入自旋穩(wěn)定飛行，從而避免無人機墜毀。

雙旋翼無人機一旦某個旋翼出現(xiàn)停轉(zhuǎn)或者拉力減小，無人機直接進入不穩(wěn)定狀態(tài)，滾轉(zhuǎn)力矩較大，飛機就會側(cè)翻墜落。通常采用3通道設計來控制無人機3個狀態(tài)量。無人機上安裝優(yōu)化分配模塊，當某個旋翼出現(xiàn)故障時，優(yōu)化分配模塊啟動，按照優(yōu)先等級合理分配拉力，拉力合力與重心指向相反，使無人機進入自旋狀態(tài)，一定程度上避免無人機墜毀。

2.2 傳感器及數(shù)據(jù)鏈部分

2.2.1 傳感器部分

傳感器主要包括：導航定位系統(tǒng)：GNSS天線、北斗、慣性導航儀、恒星際導航、空速管、靜壓管、溫度濕度傳感器、轉(zhuǎn)速傳感器和磁力計等，傳感器一般體積小重量輕，價格便宜，無人機飛行過程中電子元件工作在溫度高震動大的惡劣環(huán)境中，容易發(fā)生誤報警和損壞，因此，一般采用雙余度或者結(jié)合其他傳感器綜合判斷故障的功能余度設計。各傳感器根據(jù)實際設計一主一副來增加可靠性，或者兩個一起使用提高精確值。

導航系統(tǒng)通常采用雙衛(wèi)星導航天線余度設計，分別為一主一副。當主衛(wèi)星天線發(fā)生故障時，采用副天線傳輸信號。雙慣導設計能夠提高無人機姿態(tài)穩(wěn)定性，并能保證衛(wèi)星信號短時間丟失情況下的正常導航。當慣導失效時，采用衛(wèi)星信號定位；當衛(wèi)星失效時，地面控制站天線跟蹤方位和無人機航向，遙控無人機飛回控制站方向。部分無人機還會安裝恒星導航、圖像視頻導航、重力磁力導航和無線電導航等這種綜合多余度設計。

空氣數(shù)據(jù)模塊的動壓管和靜壓管用來測量空速，重要性極大。如果速度不能測量顯示為零，無人機可能一直加速直到超速墜毀，對這類傳感器需要雙余度設計。對空氣溫度傳感器、空氣濕度傳感器，如果發(fā)生故障，只會影響測量精度，對無人機安全性一般不會產(chǎn)生較大的影響，可以不做余度設計。高度表較為重要，通常采用雙余度設計，也可通過衛(wèi)星信息定位計算海拔高度，實現(xiàn)功能余度。

通常磁力計與跟蹤天線綜合使用，增加測向余度，也可使用雙磁力計。

2.2.2 數(shù)據(jù)鏈部分

無人機數(shù)據(jù)鏈路的穩(wěn)定性至關(guān)重要，數(shù)據(jù)鏈路一旦丟失無人機就會失控。數(shù)據(jù)鏈路分為上行鏈路和下行鏈路。上行鏈路主要完成地面站到無人機遙控信號的收發(fā)，下行鏈路主要完成無人機到地面站的遙測數(shù)據(jù)的收發(fā)。為保證鏈路穩(wěn)定性，通常地面站設計一般為一主一副雙數(shù)傳天線。下行鏈路穩(wěn)定性通常在無人機上進行余度設計。主副數(shù)據(jù)鏈路丟失后果較為嚴重，通常設計無人機失聯(lián)返航模式，最大限度確保無人機安全返航。

數(shù)據(jù)鏈部分主要包括：數(shù)據(jù)鏈收發(fā)模塊、主數(shù)據(jù)鏈線纜、副數(shù)據(jù)鏈天線、尾線纜和各天線線纜。主數(shù)據(jù)鏈完成無人機飛行控制、機載任務設備數(shù)據(jù)和無人機狀態(tài)各參數(shù)回傳等功能，副數(shù)據(jù)鏈主要完成飛行控制。同時，為避免天線信號因飛機轉(zhuǎn)向等引起的機身遮擋，飛機前后均設置主數(shù)據(jù)鏈天線。對衛(wèi)星控制的無人機，因天線一般不受遮擋，并且天線體積較大，一般采用一個天線，但其收發(fā)模塊和線纜模塊可以采用兩套并行電路的余度設計。

2.3 計算機硬件

2.3.1 飛行控制模塊FCM

飛行控制計算機是無人機的飛行控制和管理核心，它不僅完成無人機的穩(wěn)定和控制功能，還要統(tǒng)一管理和調(diào)度各機載電子設備，實現(xiàn)資源共享和信息集成融合。計算機硬件作為飛控系統(tǒng)的運行體，包含處理器、內(nèi)存、主板、存儲盤等板塊。至少需要兩套獨立的硬件同時運行，通常為2-3余度設計，一旦一臺發(fā)生故障，自動切換為備用計算機控制無人機。

2.3.2 電子控制單元ECU

隨著發(fā)動機技術(shù)的發(fā)展，發(fā)動機具體運轉(zhuǎn)控制已經(jīng)不需要人為和飛行控制計算機干涉，具體功率由供油量、點火時間、風門大小等控制，完全通過發(fā)動機自身的ECU模塊自主控制。ECU是由單片機組成，不需要復雜程序和軟件，控制量比較簡單，其穩(wěn)定性較高，通常一臺發(fā)動機由一個ECU控制。由于供油系統(tǒng)、點火系統(tǒng)和各類傳感器容易發(fā)生故障，ECU輸入和輸出，多采用雙余度設計。如果雙發(fā)動機，則需要兩個ECU分別控制。

2.3.3 飛控計算機CPU模塊

飛控計算機硬件選取較為重要的是保證實時性，同時要求其體積相對較小、具有很高的靈活性，嵌入的CPU模塊應滿足以下幾點：①體積輕巧集成度高。因為無人機的飛行控制計算機需要體積輕巧且集成較多功能來實現(xiàn)需求任務。當使用單余度飛行控制計算機時，它的要求可以在實現(xiàn)基本功能上降低，但如果采取多余度，比如三余度飛行控制計算機時，就需要三臺計算機共同工作，而且要實現(xiàn)故障檢測、余度管理、通道切換等功能，若單個機體體積較大，就會導致整個組合系統(tǒng)的體積較大。因此需要體積小集成度高的計算機CPU處理模組。②可掛接多種板卡。在多余度飛控系統(tǒng)中要實現(xiàn)信息冗余，就需要各類傳感器給飛控板提供飛機的數(shù)據(jù)信息，并且飛控計算機也要能給飛機舵量輸出控制量，因此需要CPU模塊可以掛接各類板卡并體積較小。③CPU具有良好的實時性。由于工程實際的要求，無人機控制系統(tǒng)要具有較好的實時性，以更好地完成各項任務。

3 無人機軟件的余度設計

通過多臺計算機和多軟件算法結(jié)合的余度方法，雖然會降低系統(tǒng)的基本可靠性，但可以提高系統(tǒng)容錯能力，從而達到提高系統(tǒng)整體可靠性的目的。

3.1 計算機之間關(guān)系

如圖3所示，對無人機各作動部分采取主副控制。由協(xié)調(diào)機制判斷主計算機是否運行正常，主計算機正常運行時采用主計算機輸出控制信號給各作動部分控制無人機飛行。當發(fā)現(xiàn)主計算機發(fā)生故障時，為了維持余度控制系統(tǒng)的正常運行，選取副計算機作為控制計算機[3]。采用雙余度計算機設計的飛控系統(tǒng)，通過各參數(shù)、各數(shù)值與正常值比較，如果超出時間、無信號輸出、輸出值過大或過小等，判定為主計算機故障，自動切換為副計算機。采用三余度計算機的飛控系統(tǒng)，通過多數(shù)一致的算法判斷表決主計算機是否正常。各個計算機CPU之間負責輸入信號處理和控制律計算，通過交叉?zhèn)鬏旊娐愤M行交叉互比表決，將最終的結(jié)果輸出給伺服舵機系統(tǒng)，驅(qū)動舵機運動。

圖3 飛行計算機與軟件余度交叉圖

3.2 軟件余度算法

軟件統(tǒng)籌實現(xiàn)各部分電子器件功能，通過各傳感器采集的數(shù)據(jù)，按照預先程序計算出偏差，控制硬件部分動作。軟件余度算法主要有表決算法、同步算法和故障監(jiān)控算法。表決算法是將各傳感器的數(shù)據(jù)進行綜合標準，最終形成一致性結(jié)果輸出。同步算法是對數(shù)據(jù)進行同步計算，保證計算結(jié)果的準確性。故障監(jiān)控算法是飛行控制計算機采用數(shù)據(jù)交叉互比監(jiān)控方式，進行系統(tǒng)重構(gòu)和故障隔離、實現(xiàn)故障工作或故障降級工作。目前，表決算法和同步算法最為常用。

3.2.1 表決算法

為保證結(jié)果的正確性，計算機系統(tǒng)在執(zhí)行任務過程中要對數(shù)據(jù)的輸入和輸出進行表決。模塊之間數(shù)據(jù)傳遞通過串口通訊實現(xiàn)，然后對其輸出結(jié)果進行監(jiān)控比較，選取正確數(shù)值進行操作，并屏蔽相應的故障或者部件，進一步提高輸出結(jié)果可靠性的要求[4]。舉例說明：發(fā)動機某一溫度傳感器顯示溫度過高，如果單通道判斷，可能會造成錯誤判斷。由兩個溫度傳感器進行測量，如果一個溫度過高一個正常，仍然無法判斷哪個傳感器故障，此時通過排氣溫度傳感器、發(fā)動機轉(zhuǎn)速等綜合表決，最終形成一致性結(jié)果輸出。

3.2.2 同步算法

雙余度控制計算機余度管理中一項關(guān)鍵技術(shù)是同步算法，這種算法實現(xiàn)的基礎是雙通道并行并且同步工作，各通道之間的運行方式為熱并行運行方式，然后通道進行的比較、表決失誤數(shù)據(jù)的結(jié)果是同次計算，才能滿足計算數(shù)據(jù)的一致性，因此每幀起始時都需進行一次雙余度通道間的同步[4]。

3.2.3 故障監(jiān)控算法

采取周期性故障方式能使各通道能自動識別運行狀態(tài)，從而實現(xiàn)各通道故障有效支配，判斷各通道輸出的真實性和準確性，為雙余度的有效控制提供依據(jù)，在飛控系統(tǒng)發(fā)生嚴重故障時，具有確保故障安全的能力[4]。當持續(xù)有故障出現(xiàn)時，就確認（傳感器、舵機等）有故障，啟動故障恢復程序。若故障恢復失效時，則對該對象永久隔離。

4 結(jié)論

本文介紹和提出了多種無人機軟硬件余度設計方法，重點對傳動系統(tǒng)、通信系統(tǒng)和飛控系統(tǒng)等進行設計，在綜合考慮經(jīng)濟成本的情況下，關(guān)鍵部位的余度設計能夠有效提高無人機安全性、穩(wěn)定性和可靠性，并對新機型的研發(fā)具有一定借鑒意義。