基于安全性的電動垂直起降飛行器飛控系統架構設計

劉巨江 譚郁松

doi： 10.11835/j.issn.1000-582X.2023.215

收稿日期：2023-05-12

網絡出版日期：2023-07-19

基金項目：國家自然科學基金資助項目（U19A2060）。

Foundation：Supported by National Natural Science Foundation of China （U19A2060）.

作者簡介：劉巨江（1982—），男，博士研究生，主要從事智慧交通載具的設計開發研究，（E-mail）liujj@gacrnd.com。

摘要：飛行控制系統作為電動垂直起降（electric vertical take-off and landing，eVTOL）飛行器的關鍵機載系統，需要具備和民機同樣的安全性。為了設計滿足eVTOL飛行器需求的飛控系統架構，根據適航規章梳理了安全性要求，并基于安全性要求介紹了eVTOL飛行器飛控系統飛控計算機、傳感器和作動器余度設計技術，設計了一種基于安全性考慮的eVTOL飛行器飛控系統架構；分析了eVTOL飛行器旋翼構型下的典型功能危險，并采用故障樹進行了安全性分析。結果表明，設計的飛控系統架構的典型功能危險能夠滿足失效概率的要求。

關鍵詞：電動垂直起降飛行器；飛控系統；安全性分析；架構設計

中圖分類號：V249????????? 文獻標志碼：A?????????? 文章編號：1000-582X（2024）05-067-09

Architecture design of flight control system for electric vertical takeoff and landing aircraft based on safety analysis

LIU Jujiang1，2， TAN Yusong1

（1. College of Computer， National University of Defense Technology， Changsha 410073， P. R. China; 2. Automotive Engineering Research Institute， Guangzhou Automobile Group Co. Ltd.， Guangzhou 511434， P. R. China）

Abstract： The flight control system serves as the key airborne system for electric vertical takeoff and landing （eVTOL） aircraft， necessitating safety standards akin to those applied to civil aircraft. This study introduces redundancy design technology for the flight control computer， sensor and actuator in eVTOL aircraft flight control systems. It proceeds to design an architecture adhering to safety requirements in accordance with airworthiness regulations. The rotor configuration of eVTOL aircraft is considered， and typical functional hazards are analyzed. Safety analysis is carried out using fault tree analysis technology. The results show that the flight control system architecture designed in this study can effectively address the typical functional hazards， meeting the stipulated failure probability requirements.

Keywords： electric vertical takeoff and landing aircraft; flight control system; safety analysis; architecture design

電動垂直起降（electric vertical take-off and landing，eVTOL）飛行器是一種面向未來立體交通的中短途出行工具，以垂直起降、分布式電推進、簡化飛行操控或自動駕駛為主要特征，與直升機、固定翼飛機等傳統飛行器相比，具有靈活性強、效率高、碳排放低、噪音低等顯著優勢[1]；能夠以高效率、較低成本實現點對點載人飛行，構建新型的、立體化公共交通服務網絡[2-5]。

eVTOL飛行器有多旋翼、混合翼和傾轉翼構型。混合翼和傾轉翼存在復雜的過渡態階段，操縱難度大，其飛控系統既要具備高度自動化[6-7]，又要滿足適航要求的安全性。

目前尚無eVTOL飛行器飛控系統架構相關文獻，現有研究多集中在民機電傳飛控系統。例如，波音B777飛行控制系統由3臺冗余的飛行控制計算機組成，每臺計算機采用非相似的指令和監控通道[8]；空客A330/340飛控系統采用3臺主飛行控制計算機和2臺次級飛行控制計算機，2類計算機采用不同的架構和硬件，而且每臺計算機中指令和監控通道采用非相似的軟件[9]。從公開文獻看，民機的飛控系統架構極為復雜、系統龐大且成本高[10-11]。與eVTOL飛行器載重接近的固定翼飛機和直升機多采用機械操縱系統或功能極為有限的電傳飛控系統，其性能與安全性均無法滿足eVTOL飛行器需求。

由于eVTOL飛行器的新穎性，目前尚無滿足eVTOL飛行器需求的飛控系統架構相關研究。針對上述現狀，筆者介紹了eVTOL飛行器飛控系統架構設計中應考慮的安全性要求，提出了一種基于安全性要求的eVTOL飛行器飛控系統架構，并進行初步的安全性評估，以期為eVTOL飛行器飛控系統開發提供參考。

1 eVTOL飛行器安全性要求

eVTOL飛行器主要用于城市空中交通，通過多旋翼、混合翼和傾轉旋翼等構型設計，減少了起飛和降落時對現有機場的依賴，設計中引入電池、電機等能源和動力系統，給當前的航空監管體系帶來了新的挑戰。目前中國尚無針對eVTOL飛行器發布的適航規章，因此，文中參考CCAR-23-R4《正常類飛機適航規定》中23.1309條款提出的系統應滿足的安全性要求[12]。主要包括以下內容：

1）任何可能妨礙飛機連續安全飛行和著陸的失效情況，其發生必須是極不可能的；

2）任何可能嚴重降低飛機或機組應對不利運行情況能力的其他失效，其發生必須是不可能的。

該條款規定了系統安全性要求；為了更好地實現和考核這些安全性要求，咨詢通告AC23.1309-1E[13]對不同危害程度提出了定量要求。考慮eVTOL飛行器的運行場景，以通勤類飛機安全性要求為目標，具體為：災難性失效是極不可能的（單位飛行時間發生失事的平均幾率<10-9/h）；危險事故的可能性是極微小的（單位飛行時間發生失事的平均幾率<10-7/h）；嚴重故障的可能性是微小的（單位飛行時間發生失事的平均幾率<10-5/?h）；小故障發生是可能的（單位飛行時間發生失事的平均幾率<10-3/h）。

文中基于安全性目標介紹了eVTOL飛控系統架構設計，并提出一種eVTOL飛行器飛控系統架構。

2 基于安全性的飛控系統架構設計考慮

2.1 安全性設計的目標

根據適航規章要求，eVTOL飛控系統在架構設計時需考慮可用性和完整性要求。

2.1.1 系統可用性

可用性用于衡量系統提供服務的能力，要求系統在發生某個故障時仍然處于功能狀態，在架構設計中常采用余度技術提高系統可用性，同時設置監控器對設備進行狀態監控，例如一個通道或設備發生故障導致功能失效時，系統可以通過余度設備完成系統功能，有效提高整個系統的可用性。

2.1.2 系統完整性

完整性要求系統的工作結果準確可靠，在架構設計中應通過比較監控的方式，對錯誤的信號識別并進行隔離。例如使用余度傳感器信號作為控制功能的輸入信號時，可通過多余度信號表決器對錯誤信號進行識別，避免錯誤的信號用于控制功能的計算，從而保證系統的完整性。

2.2 基于安全性的飛控計算機設計技術

2.2.1 滿足可用性的設計技術

余度技術是提高可用性的有效途徑，飛控計算機常采用雙通道的架構設計，如圖1所示。通過自檢測（built-in-test，BIT）對單個通道的工作狀態進行檢測，檢測到故障后切換余度通道進行控制，通過故障樹分析單位飛行時間雙通道架構功能失效的概率可達到10-8/h，而單通道架構功能失效的概率為10-4/h。

2.2.2 滿足完整性的設計技術

以單通道架構為例，采用故障樹方法分析得到單位飛行時間內其非指令運動的概率為2×10-5/h，該架構完整性水平較低。比較監控是提高完整性的主要方法，通過比較監控通道與控制通道，可以識別錯誤指令的產生，從而提高了架構的完整性，其架構如圖2所示。通過故障樹分析表明其完整性可達10-8/h。

2.3 基于安全性的傳感器余度技術

在飛行控制律計算時，需要慣導和大氣數據傳感器提供飛機角速度、加速度、位置、速度和姿態等參數，為了滿足適航安全性要求，同樣要求傳感器信號具有較高的可用性和完整性。為了提高傳感器信號的可用性，常采用2余度、3余度和4余度的設計，結合多余度傳感器信號表決算法，提高傳感器信號的完整性。采用一定的表決算法，不同余度傳感器對應的輸出信號可用性和完整性如表1所示（假設單個傳感器的可用性為10-4/h，完整性為10-5/h，飛行暴露時間為3 h）。

從表1可以看出，傳感器設計為3余度，結合相應的表決算法[14]，輸出信號具有高可用性和高完整性，可用于慣導傳感器和大氣數據傳感器的余度設計，疊加傳感器失效后的備份控制，可以滿足單位飛行時間內喪失控制功能可能性小于10-9/h的要求。

2.4 基于安全性的作動器設計技術

以典型混合翼飛行器為例，作動器包括電機和舵機，采用分布式布局。為了提高作動器的可用性和完整性，在設計時應有如下考慮。

2.4.1 電機

電機用于提供垂直起降的動力，為了保證單個或多個電機故障后，eVTOL飛行器仍具備垂直起降和旋翼穩定飛行的能力，常采用6、8、12、16個旋翼電機，并提供1.5～2.0倍的拉力冗余，以保證單/多槳失效后，仍能使飛行器平穩飛行和降落。

同時應設計監控器對電機的工作狀態進行監控，包括低速、超速和無響應故障監控，以保證電機故障后能進行隔離和系統重構。

2.4.2 舵機

混合翼飛行器操縱舵面一般包括副翼、升降舵和方向舵。以副翼為例，基于安全性要求單位飛行時間喪失全部副翼控制功能的概率應小于10-9/h，即喪失單側副翼控制功能的概率應小于10-5/h，而單個舵機失效的概率一般為10-4/h，因此單側舵面應具備2個舵機。

針對同一舵面上的2個舵機，可以采用主-主或主-備的工作方式。主-主工作方式的作動器應設計紛爭監控和信號均衡，避免同一舵面上的2個舵機作動指令相差較大造成舵面發生疲勞失效。主-備工作方式應設置故障監控器實時檢測主舵機的運行狀態，當檢測到主舵機發生故障時，備份舵機應能立即接入進行工作。

3 eVTOL飛行器飛控系統架構設計

3.1 系統架構設計

基于上述考慮，給出一種混合翼eVTOL飛行器飛控系統架構，包括3余度飛控計算機，3余度大氣數據慣性基準組件（air data inertial reference unit，ADIRU）和遠程控制電子單元（remote electronic unit， REU）等，如圖3所示。圖中FCC為飛控計算機，COM為指令通道，MON為監控通道，RS422為數據傳輸協議，Motor-L為飛機左側電機，Aileron-L為飛機左副翼，V tail-L為左側V尾，Motor-R為飛機右側電機，Aileron-R為飛機右副翼，V tail-R為右側V尾。

系統工作原理為：操縱指令通過數據總線發送到3臺飛控計算機，同時飛控計算機也接收3余度ADIRU的姿態、角速度、加速度和大氣數據等信號，飛控計算機對接收的信號進行循環冗余校驗（cyclic redundancy check，CRC）、完整性校驗和信號表決后，用于控制律的計算，并將作動指令通過3余度數據發送到REU，控制對應的電機/舵機驅動旋翼/舵面運動。

3.2 飛控計算機架構設計

飛控計算機設計為3余度，3臺飛控計算機功能完全相同，單個飛控計算機可正常實現控制功能，確保飛控計算機的可用性。3臺飛控計算機通過交叉通道數據鏈路（cross channel data link，CCDL）進行數據交換，以保證多余度飛控計算機間的數據同步和交叉數據傳輸。

單個飛控計算機采用非相似的指令通道和監控通道，以抑制處理器的共模故障；監控通道與指令通道以幀同步方式工作，監控通道對指令通道的解算指令進行比較監控，保證指令的完整性。多余度飛控計算機架構如圖4所示。圖中的ADC為數模轉換器，Flash為閃存，CPU為微處理器，RAM為內存，I/O為輸入輸出接口，Timeline為時間軸，CP為計算機。

3.3 傳感器余度設計

ADIRU采用3余度設計，通過點對點數據總線發送給3臺飛控計算機，飛控計算機對接收到的3余度信號進行有效性監控和表決監控，保證了ADIRU數據的可用性和完整性。在飛控計算機接收到ADIRU數據包后，先對數據包的CRC、數據幀新鮮度和源/目的地址進行校驗，根據校驗結果決定數據包的有效性；然后，將數據有效性信息和數據信息發送至信號處理分區進行表決監控。ADIRU數據包含三軸角速率、三軸加速度、航跡角、俯仰角、滾轉角和大氣數據等參數。表決監控算法如圖5所示，其中表決結果為傳感器有效且比較結果在門限范圍內的傳感器均值。若只剩一路傳感器信號有效，則輸出該路傳感器信號值。如傳感器A的信號值與傳感器B的信號值的絕對差值大于門限δ，并且傳感器B的信號值與傳感器C的信號值的絕對差值大于門限δ，表明傳感器B當前處于異常狀態，此傳感器的表決無效，表決輸出值為傳感器A和傳感器C的均值。如傳感器B和傳感器C同時處于異常狀態，則傳感器B和傳感器C的表決無效，表決輸出值為傳感器A的信號值。

3.4 作動器余度設計

根據飛控系統架構（圖3），作動器主要包括旋翼電機和舵機，操縱舵面分為副翼和V尾（提供俯仰和偏航控制功能）；基于安全性的考慮，同時考慮舵機的作動能力和重量，將副翼和V尾分別設計為4塊，單側2塊舵面或者左右側各1塊舵面即可滿足正常控制功能。

3.5 安全性分析

混合翼eVTOL飛行器具備旋翼飛行、固定翼飛行和過渡態飛行功能，因舵機故障喪失固定翼飛行功能時，可以切換到旋翼飛行和降落。因此，采用安全性評估指南對旋翼飛行時的飛控系統架構進行初步分析[13，15]。

3.5.1 功能危險性分析

針對旋翼飛行模態，分析整個控制環路的功能危險。旋翼飛行時電機失效對俯仰、滾轉和偏航控制的影響具有耦合性，本節的典型功能危險如表2所示。

3.5.2 部件故障模式與故障率

為建立典型功能危險的故障樹，對影響典型功能的部件故障模式和失效率進行分析，如表3所示。

3.5.3 故障樹分析

基于eVTOL飛行器飛控系統架構及部件的故障模式，分別建立了喪失ADIRU信號輸入、錯誤的ADIRU信號輸入、喪失飛行控制指令輸出和喪失任意4套垂直電機推力的故障樹。

其中假設如下：

1）電源滿足安全性要求，不會因電源失效導致飛控系統功能喪失；

2）假設螺旋槳部件設計和安裝在使用壽命范圍內，不會失效而影響動力輸出；

3）假設50%油門下，電機能提供1.5倍的拉力冗余；

4）飛行員操縱輸入系統滿足要求；

5）單位飛行時間中系統信號線的故障概率為10-7/h，且架構中采用3余度線束備份，因此，本節故障樹分析不考慮線束失效概率。

根據圖6和圖7所示，采用3余度ADIRU設計，結合3.3節表決監控算法，單位飛行時間喪失ADIRU信號的概率為2.52×10-10/h，錯誤的ADIRU信號概率為2.39×10-15/h，均滿足功能危險分析要求的概率。圖6～9中，FR表示失效概率，w表示故障頻率，Q表示發生概率。

根據圖8所示，3余度飛控計算機采用主-備-備的工作方式，通過自檢測和比較/監控通道的方式進行故障檢測，因此，任意一臺飛控計算機正常工作均可輸出飛行控制指令，通過故障樹分析可知單位飛行時間喪失飛行控制指令的概率為8.17×10-13/h，滿足功能危險分析要求的概率。

根據圖9所示，垂直推力電機為16個，喪失任意4個電機推力的概率為5.88×10-11/h。垂直推力電機用于多旋翼模態時的滾轉、俯仰、偏航和升力控制，因此，單位飛行時間垂直推力電機喪失導致多旋翼模態喪失控制功能的概率小于10-9/h。

4 結束語

對eVTOL飛行器適航安全性要求進行了初步分析，介紹了通過余度設計提高系統安全性的考慮，提出了一種eVTOL飛行器飛控系統架構，通過故障樹進行了初步安全性分析，結論如下。

1）介紹了基于安全性的傳感器余度設計、飛控計算機余度設計和作動器余度設計，通過余度技術可以顯著提高飛控系統的安全性。

2）提出了一種基于安全性要求的eVTOL飛行器飛控系統架構，設計了余度飛控計算機、傳感器和作動器架構。

3）基于eVTOL飛行器飛控系統架構，分析了旋翼飛行時典型的功能危害，通過故障樹分析表明，飛控系統架構能夠滿足失效概率要求。

參考文獻

［1］? 杜偉， 孫娜. 電動垂直起降飛行器的發展現狀研究[J]. 航空科學技術， 2021， 32（11）： 1-7.

Du W， Sun N. Research on development status of eVTOL[J]. Aeronautical Science & Technology， 2021， 32（11）： 1-7.（in?Chinese）

［2］? 楊鳳田， 范振偉， 項松， 等. 中國電動飛機技術創新與實踐[J]. 航空學報， 2021， 42（3）： 624619.

Yang F T， Fan Z W， Xiang S， et al. Technical innovation and practice of electric aircraft in China[J]. Acta Aeronautica et Astronautica Sinica， 2021， 42（3）： 624619.（in Chinese）

［3］? Uber Elevate. Fast-Forwarding to a Future of On-Demand Urban Air Transportation [EB/OL].[2022-01-01]. https：//uberpubpolicy.medium.com/fast-forwarding-to-a-future-of-on-demand-urban-air-transportation-f6ad36950ffa.

［4］? 李誠龍， 屈文秋， 李彥冬， 等. 面向eVTOL航空器的城市空中運輸交通管理綜述[J]. 交通運輸工程學報， 2020， 20（4）： 35-54.

Li C L， Qu W Q， Li Y D， et al. Overview of traffic management of urban air mobility （UAM） with eVTOL aircraft[J]. Journal of Traffic and Transportation Engineering， 2020， 20（4）： 35-54.（in Chinese）

［5］? 孫俠生，程文淵，穆作棟，等. 電動飛機發展白皮書[J]. 航空科學技術， 2019， 30（11）： 1-7.

Sun X S， Cheng W Y， Mu Z D， et al. White paper on the development of electric aircraft[J]. Aeronautical Science & Technology， 2019， 30（11）： 1-7.（in Chinese）

［6］? 劉志豪，閔榮，方成，等. 多飛行模式垂直起降無人機過渡飛行控制策略[J]. 上海交通大學學報， 2019， 53（10）： 1173-1181.

Liu Z H， Min R， Fang C， et al. Transition flight control strategy of multiple flight mode vertical take-off and landing unmanned aerial vehicle[J]. Journal of Shanghai Jiao Tong University， 2019， 53（10）： 1173-1181.（in Chinese）

［7］? 張嘯遲， 萬志強， 章異嬴， 等. 旋翼固定翼復合式垂直起降飛行器概念設計研究[J]. 航空學報， 2016， 37（1）： 179-192.

Zhang X C， Wan Z Q， Zhang Y Y， et al. Conceptual design of rotary wing and fixed wing compound VTOL aircraft[J]. Acta Aeronautica et Astronautica Sinica， 2016， 37（1）： 179-192.（in Chinese）

［8］? Aplin J D. Primary flight computers for the Boeing 777[J]. Microprocessors and Microsystems， 1997， 20（8）： 473-478.

［9］? Goupil P. AIRBUS state of the art and practices on FDI and FTC in flight control system[J]. Control Engineering Practice， 2011， 19（6）： 524-539.

［10］? Vertical Flight Society. eVTOL Aircraft Directory [EB/OL]. [2022-01-01]. https：//evtol.news/aircraft.

［11］? Porsche Consulting. The future of vertical mobility： sizing the market for passenger， inspection， and goods services until 2035[EB/OL]. [2022-03-01]. https：//www.porsche-consulting.com/sites/default/files/2023-04/the_future_of_vertical_mobility_a_porsche_consulting_study_c_2018.pdf.

［12］? 中國民用航空局. 正常類飛機適航規定： CAAR-23-R4 [S/OL]. [2022-05-30]. https：//xxgk.mot.gov.cn/2020/jigou /fgs/202205/t20220530_3657705.html.

Civil Aviation Administration of China. Airworthiness regulations for normal aircraft：CAAR-23-R4[S/OL]. [2022-05-30]. https：//xxgk.mot.gov.cn/2020/jigou/fgs/202205/t20220530_3657705.html.（in Chinese）

［13］? Federal Aviation Administration. System safety analysis and assessment for Part 23 airplanes： AC23.1309-1E[S/OL]. [2022-12-12]. https：//www.faa.gov/documentLibrary/media/Advisory_Circular/AC_23_1309-1E.pdf.

［14］? 唐志帥， 劉興華， 盛偉強， 等. 民用飛機飛控系統傳感器信號表決設計[J]. 民用飛機設計與研究， 2017（2）： 121-124.

Tang Z S， Liu X H， Sheng W Q， et al. The sensor voter design of flight control system for civil aircraft[J]. Civil Aircraft Design & Research， 2017（2）： 121-124.（in Chinese）

［15］? SAE Aerospace. Guidelines for development of civil aircraft and systems-ARP4754A[S/OL]. [2022-01-01]. https：//www.sae.org/standards/content/arp4754a/.

［16］? DarmstadtPatrick R， CataneseRalph， BeidermanAllan， et al. Hazards analysis and failure modes and effects criticality analysis （FMECA） of four concept vehicle propulsion systems[R/OL]. [2022-01-01]. https：//ntrs.nasa.gov/citations/20190026443.

（編輯? 呂建斌）