无人机机载管理软件开发技术研究

Title:TheResearchofRedundancyManagementSoftwareDevelopmentTechnologyonUAVAirborneWangZheUndertheSupervisionofProfessorChenHuaiminADissertationSubmittedtoNorthwesternPolytechnicalUniversityInpartialfulfillmentoftherequirementForthedegreeofMasterofSoftwareXi’anP.R.ChinaMarch2015本文紧跟国内外余度管理技术的研究方向，基于无人机飞控系统可靠性应用需求，发了余度管理软件并且在飞控计算机仿真机下实现了余度管理算法的运行和软件测试工作。本文主要工作如下：3、结合嵌入式实时操作系统VxWorks的特点，在飞控计算机仿真机硬件的基WindRiverBSPBSP进行开发。总结了余度管理软件开4在基于PowerPC相似硬件环境和嵌入式实时操作系统VxWorks的三余度飞控计控、故障与处理等模块进行设计和代码实现。5、利用静态测试对余度管理软件进行程序结构分析和程序语则检查。利用单比对分析并最终得出。最后分别进行无故障和有故障的半物理闭环仿真实验，利用静态测试发现程序中多处语则，通过及时改正和反复的代码走查，确Thispaperfollowedbydomesticandforeignresearchdirectionofredundancymanagementtechnology,andbasedonreliabilityrequirementofUAVflightcontrolsystem,airbornesoftwarearchitecturewasdesignedfromthesystemlevel,thedesignofairborneredundancymanagementsoftwareandimplementationprocessofeachpartmodulewasdescribed.OnthebasisofkeyresearchonUAVairborneredundancymanagementsoftwaredevelopmenttechnology,redundancymanagementsoftwarehasbeendesigned.Runofredundancymanagementalgorithmandsoftwaretestingisrealizedintheflightcontrolcomputersimulationmachine.Themainlyworkasfollows:Basedontheinternalandexternalpreviousexperimentalresults,UAVairborneredundancymanagementtechnologywasreviewed.Inthisissue,goalofdesignandrequirementwerepresented.Keyfunctionalmodulesofredundancymanagementtechnologyaresummarized.developmentwasdevelopmentwassummarized.Characterdevicedriverwasdesignedandhardwareofflightcontrolcomputersimulationmachine.Debuggingtechnology,exceptionhandingprocessanddevicedriverdevelopmentprocessofredundancymanagementcharacteristicofVxWorks,BSPwasdevelopedbasedonAccording5.Usingstatictesting,redundancymanagementsoftwareprogramstructureisolationandreconstructionmodulearedesigned,achievedbymanualFunctionalmodulesofredundancymanagementsoftwaresuchas5.Usingstatictesting,redundancymanagementsoftwareprogramstructureisolationandreconstructionmodulearedesigned,achievedbymanualyzedandfinallygetthetestresult.Finally,fault-freesemi-physicalsimulationandyzedandfinallygetthetestresult.Finally,fault-freesemi-physicalsimulationandexperimentalresultphysicalsimulationwithfaultimmitisoperated.Thesimulationcurveswasrecordedandmanagementsoftwarewastested.TheactualoutputanddesiredoutputwascomparedUsingstatictesting,theprogramthatviolatesmanyrulesofgrammarwasfound.thetimelycorrectionandrepeatedcodereview,toensurethatthestructureandgrammaticalrulesthetimelycorrectionandrepeatedcodereview,toensurethatthestructureandgrammaticalrulesofprocedureiscorrect.ThetestingresultsshowthatthedesignofkeyfunctionalmodulesignificancesignificancetothedevelopmentofUAVairborneofredundancymanagementsoftwareisreasonable,thelogiciscorrect,safelyandreliabilityofredundancymanagementsoftwarehavemetedtherequirement.Ithascertain:redundancymanagementtechnology,airborneredundancymanagementsoftware,triplexhot-redundancyflightcontrolcomputersimulationmachine,Vxworks,software摘 目 绪 1.1选题背景及意 余度管理技术国内外发展现 1.3主要内容与章节安 余度管理技术研 余度管理技术综 余度管理的设计目的与要 余度管理设计的主要内 余度形式的选 余度管理技术关键功能模块概 同 交叉传 信号的与表 机内自检 .............................................................................................................10无人机机载软件架构设 解析软件架 软件架构发展历 架构设计中的5种视 无人机机载软件的架 系统总体架构设 余度管理软件架构设 基于VXWORKS的机载软件开发技 VXWORKS系统的BSP开 BSP基本概 BSP的开发方法和过 基于VXWORKS的软件调试技术研 利用调试器进行调 软件交付后的现场调 异常处 基于VXWORKS的驱动程序开 设备驱动程序基本概 硬件驱动程序与BSP的关 设备驱动程序工作流 字符设备驱动程序开 三余度飞行管理与控制软件开 软件需求分 三余度飞控软件的功能需 操作系统软件的功能需 同 同步设计依 同步设 信号的与表决设 故障安全 信号信号表 交叉传输设 飞行中自检 设 同步CCDL回绕电源总线通信通道故障与处 同步故障分析与处 CCDL交叉传输故障处 总线通信故障与处 通道故障与处 软件测试与运行结果分 软件测试方 静态测 单元测 同步方法测 信号的表决测 CCDL传输测 通道测 通道故障切换测 无故障闭环仿真测 实验方 实验结果及分 有故障闭环仿 实验方 实验结果及分 软件测试结 总结与展 7.1工作总 7.2后续工作展 参考文 期间致 选题背景及意到20世纪50年代才得到了真正的发展。无人机用途非常广泛，成本较低，且无人员伤亡的风险，在现代中具有极其重要的作用，在民用领域也有广阔的应用前景。1、由于飞控系统是整个飞机的，飞控系统的水平高低对飞机的性能和安全的现实意义。2验结果的可信性。3、开展无人机机载余度管理软件的研究工作，对提高我国的综合国力，世和平将起到至关重要的作用。余度管理技术国内外发展现性远于机械系统[4]。根据军方标准MIL-F-9490D要求，在电传飞行控制系统应用主动控制技术的情况下因为系统故障而导致的飞机的失效率应该1.0107/飞行小时，而目前单余度的电气系统的可靠性只能达到1.010-3/飞行小时，所以根据国内外的发展目前电传飞行控制系统绝大多采用具有双故障\工作能力的余度系统[4]的F-16A/B水平所以采用的是模拟四余度飞控计算机随着数字计算机的飞速发展在后的F-16/D度数字电传控制系统具有较高的可靠性和能力而且结构简单成本体小和重量轻等特点所以在新一代的中得到了广泛的应用如F/A-18幻影2000，苏-27苏-25瑞典的S-39等在机方面波音公司的-17安东诺夫设计局研制的安-70和空客的M新型机都采用的是四余度电传飞控系统[5][6]。电源组ARINC三余度配平作动10-10/飞行小时相似余度技术，Boeing777更是第一次将电传飞行控制系统应用到客机中的机型，它的电传飞控系统的的结构是在B7J7设计的基础上发展起来的，其具有很高的可靠性[7]。2060年代，并开始组建科研队伍对我国自主研制的余度飞控计算机系统进行基础技术研究，开展电传飞控系统的相关研究。70年代初，在李仲荣教授、曾教授、陈教授等人的下，对容错技术理论进行了深入研究，及切换法、可靠性理论以及各种冗余方案的比较等[10]。80631所研制的ACT容错计算机和飞控计算机全部采用四余度技术，能够满足严格的可靠性要求，其飞行控制计算机系统必须具备三次故障后仍可操作能力，即通过硬件冗余实现FO/FO/FS502所与国内各性的研究是很有必要的。飞控计算机是飞行控制系统的 主要内容与章节安31Vxworks实本文一共为六章，结构安排如下第一章绪论。本章首先阐述了本的选题背景及意义，深入探究了余度管第二章余度管理技术研究。本章首先对余度管理技术进行简明扼要的概述，并对第三章无人机机载软件架构设计。本章首先对软件架构理论进行详细解析，然后Vxworks的机载软件开发技术。本章详细介绍了在嵌入式实时操作系统Vxworks下基于硬件进行BSP开发，开发环境Workbench的调试技术的研究和基于Vxworks的反射内存卡、卡等设备驱动程序的开发。第五章三余度飞行管理与控制软件开发。本章对该软件进行了详细的需求分析和第六章软件测试与运行结构的分析。为了三余度飞控计算机仿真机系统软件的正第七章总结与展望。本章对该主要工作进行总结，对中的不完善的地方余度管理技术的设计方法根据标MIL-F-9490D对余度有如下定义余度是需要出现两个或两个之间如何协调，如何对运行中的部件进行故障，出了故障怎么样，余下完好通的可以及时发现系统的故障模块；这些都是余度管理技术的。与，交叉传输，故障技术，故障重构技术。12表决原则进行；[13][14][15]它的优点是在各冗余资源上每个基本的硬件活动都能得到一致的瞬间效应冗余系统才能快速发现并遏制故障在通道之间的，及时地做出补救措施，才能够保证在容错机制中故障对系统的损害得到。由于同步及容错等环节的实现对[12]。这就需要开发人员查阅相关资料深入习系统容错理论知识和深入了解计算机内orks相关通信协议来解决此问题。开发过程中，我们需要进行实时的数据传输，及时的故障、比较结果、切除故在每个周期内要进行两次交叉传输：第一次是在计算机到数据之后的交叉传态的判断数据及回绕随机数据等存入自己的CCDL（CrossChannelDataLink）数据CCDL数据包，系统将对这CCDLCCDL数据包并通过总线接收另外两个计算机的CCDL数据包，获取了这三个数据包中的数据，就可以对控制律的计算结果进行表信号的与表传感器传感器传感器支路支路支路传感器传感器传感器支路支路支路决，一个是控制律计算后发送给舵机指令的表决。对应的多余度信号的面也设置机内自检测（Built-intest简称BIT），是指系统设备通过自身硬件和附加在系统内飞控系统的BIT的基本结构分为两级：第一级是对飞控计算机的检测，因为飞控计控计算机BIT的主要任务为CPU模块工作是否正常、在控制计算的过程中是否对通过对国内外不同类型飞机的飞控系统的BIT工作模式的大量研究发现，BIT所处行中机内自检测（IFBIT）、机内自检测（MBIT）。如图2-2所示。RAM、ROM、NVM测加电定时中断控制数字计算机测飞行前传感器系统测伺服作动系统测电源监测测飞行中CPU、ROM测关键传感器测2-2BIT；的部件进试，并将存入NVRAM（非易失性随机器）中；飞行前BIT运行在飞机起飞前主要对飞控系统的硬件完整性进试飞行中BIT运行在飞机飞行的整个过程中，对飞控系统的运行状态进行全面的实时监测BIT运行BITNVRAM中记录的故障信息对飞；解析软件架上个世纪60年代以前，计算机刚刚兴起并投入到实际的生产中，软件设计只是为2060年代中期，由于计算机技术的高速发展，高速度大容量计算机的出展的要求需要迫切改变软件的开发方式以提高软件的生产率[35]软件开始爆发了自1990年代以来，由于在RationalSoftwareCorporation和等知名软件公51233-15逻辑架数逻辑架数据架开发架物理架运行架1

3-15234物理架构关注“目标程序及其依赖的运行库和系统软件”构还要考虑软件系统和包括硬件在内的整个IT系统之间是如何相互影响的。553-2层次结构视图在功能和逻辑上描述的很清楚而且能够有效地指导开发人员进行软件编orksorks支持的硬件驱动程序和板级[18]。VXWORKS地面支持模中VXWORKS地面支持模中断处理模飞行控制模BIT模数据处理模系统管理模特定硬件环VXWORKS内特定硬件环VXWORKS内驱动模在大型程序中需要考虑将程序划分成可以独立实现的单元及这些模块如何进行交互[20]是一个子模块或与之进行交互系统的模块化设计有如下优点：1、由于将一个复杂的系统划分成若干个单能且相对独立的模块，从而把原来3误。4、特殊情况可对关键模块立即进行优化处理，以确保整个系统的安全运行563-4地面支持地面支持软Vxworks操作系系统管理软中断处理程设备驱动程驱动与数据处理软BIT软BIT软飞行控制软起程程程飞控制程序系统总体架构设

3-4任务调 （宿主机网交换网交换遥信遥信指3-5机载飞控软机载飞控软件验证目标系飞控主处理器机智能I/O机智能I/O机机载飞控软件发飞控主处理器板 飞接扩扩口网 插...处ADD络理//I接器DAO板串口1553B扩 1553BDA3-6三余度飞控计算机仿真机快速原型开发平台架构图（31架构目标机是整个系统的由三余度飞控计算机仿真机组成采用orks嵌入式PCI、、I、串口、IC反射内存卡等数据通讯接口。具体的硬件型号和技3-1所示。表3- 三余度飞控计算机 2GBDDR36E,PCI-X/PCIcard(PMC)PMCPMC,2GIGARMw/FOOptions,128MbyteMemory,4KFIFOs,CPCI139C箱体，80mm后3，250WCPCI三余度飞控计算机ADAD6416（6U挡板AD卡配套线缆和端100针SCSIDADA1616出（6U挡板DA卡配套线缆和端100针SCSIDIODIO32通道DI；32通道DO（更换6U挡板）DIO卡配套线缆和DB37MOXA-5650智能串口服16RS232、422485PMC,2GIGARMw/FOOptions,128MbyteMemory,4KFIFOs,MultimodeMPC85721.3GHz2GBDDR36E,nnTwoPCI-X/PCImezzaninecard(PMC)1553BSingle1553Channel,double-funcitonCPCI1553BT1553B双绞3m1553BCPCI1，39C80mm后I/O2，8slotsCPCIBP，2.03，250WCPCI3-73-7余度管理软件架构设3-8飞控软实飞控软实︶系操故 通数任关闭启动同步 任输入 输控故 离 3-9余度特性模拟（同步、CCDL 、输出等原始驱动Workbench3-10所示，每飞控计算机飞控计算机飞控计算机飞控计算机10ms10ms10ms10ms数据比较数据比较数据比较AACACCB数据表决电数据表决电舵控数据到仿真3-11硬件硬件初始挂接时钟中关关闭辅助时内内存分配与初始发发起任创建创建20ms任创建40ms任N同N同步成Y交叉传输检测校验N交叉传输成Y初始同开中挂结记录故结记录故20ms40ms任务，20ms电源、数据记录等。飞控系统内部软件结构如图3-12所示。开开应用程序初始离散应用程序初始任务初始各种总线初始任务初始余度管理软20ms任务控制律计算软20ms任务结执行周期任结执行周期任检测数据记录软40ms任务40ms任务自定义任20ms3-13进入进入20ms20ms关闭中N关闭中N同步处理Y使能中关闭中小帧计数器递关闭20ms任务定时允许20ms允许20ms关闭20msY通通道切首次进20ms的任NYN首次进20ms的任NYN初始同步 Y同步恢复N喂喂使能中小帧计数器递通道切20ms后续任务处喂同步恢复N喂同步恢复N

3-1320ms续续20ms输输入信号表预预输出指令表结结置20ms任务完成标第二次交叉第二次交叉传输入离散量比40ms3-15

3-1420ms3-1540msBSPBSP即BoardSupportPackage，板级支持包。它的设计使得嵌入式实时操作系统与硬件平台上。对于具体的嵌入式系统硬件平台，只要与硬件相关的代码一律被封装在BSPBSP提供，BSP与操作系统的交互是通过定义好的接口进行的[37]。BSP包含了所有与硬件相关的代码，它们主要包括：12、目标系统上设备的驱动程序，为VxWorks硬件提供支持3、为应用程序提供相关程序接口，可以使其底层硬件与硬件无关的软与硬件无关的软硬件相关的软硬LAN控制定时串行控制SCSI控制I/O系工具—应用程LAN驱BSP板级支持SCSI驱复用文件系VxWorks除了用户的应用程序以外，BSPVxWorks映像的另一个源程序空间，需要用户BSPWINDKERNEL和tUsrRootBSP的初始化[21]。InitInitInitI/O寄存器，将操作系统与具体硬件连接起来。SystemInit主要是准备数据结构为系统的运行进行数据初始化。BSP4-2所示。BoardInitCPU驱动程序与component的接驱动程序与I/O系统的接驱动程序的常规操与I/O系统的接口驱动程序与component的接驱动程序与I/O系统的接驱动程序的常规操控制寄存地址寄存状态寄存控制寄存地址寄存状态寄存其它接光接机械接控制电I/O处数字信数字电4-5VxWorksBSP在系统中的位置。从图中可以看出，BSP向上层提供的接口有：1WIND3BSPindiverrndoorksorndoorksSP4-6BSP4-7核前初始化代调试系统时测试及编写文BSP3

4-7BSP1、源文件和头文件，如bspname.h、config.h、sysLib.c、romInit.s、sysALib.s、configNet.h等。23、二进制驱动程序模块[53]BSP的开发要根据具体目标板的硬件进行，可以根据目标系统的硬件环境对tornado\target\configorks系统需要用到\torndo\tagt\onfig下包含的文件来进行，该包括了公共执行模块（ll）和与目标系统相关的模块（bpnm，其中公共onfig\ll下包orkstorndo提供的工具进行配置生成满足用户目标板的操作系统[38]\tagt\onfig\ll\ofigAll.h和\target\config\bspname\config.h，配置的模块文件有\target\config\all\usrConfig.c target/config/allVxWorks结构产品，一般情况下不用修改这些文件。特别是configAll.h文件，它为所有的VxWorks映像设置了默认的配置。target/config/all1、bootConfig.c——用作引导ROMbootConfig.cROM映像的主初始化和控制文件。该文件包括了完整的引导ROM工作和一个网络装置初始化的表格。此模块是usrConfig.c引导ROM映像的VxWorks映像下的所有可选特性[39]。2、bootInit.c——ROMROM初始化（romsInit.o以后）bootInit.c。romInit.sromInit()romStart()程序ROM映像所需的解压缩和重定位工作由romStart()程序来完成。首先该程序将文本段和数据段从ROM中到RAM中，然后清除了没有使用的部分主usrConfig.cVxWorks映像的主初始化编码。与完全自包含的bootConfig.c不同，usrConfig.c文件包含target/src/config/usrExtra.c，它包含了供子系config.hCPU板的所有包含文件和定义。config.h的标准组织内容大1、BSP版本的信息和该版本ID2、configAll.h文件(#include部分3、MMU配置和缓冲器4、NVRAM（非易失性器）的相关参数56、ROM78、板载器的地址和大小91011、bspname.h文件（#include部分12、定义共享网络器基于VxWorks的软件调试技术研[23]们需要知道这个问题是因为开发人员的疏忽而导致的偶然性现象还是一个设计上的缺（bug取了这些信息才能对问题做进一步的分析第三步是做出最初可能程序错误的误，否则回到第四步。宿主系控调试（应用开发工具目标程…进程管理模设备驱动模20%~50%的时间[25]。在嵌入式软件的开发过程中，会频繁地出现各种各样的错误须借助VxWorks自带的调试器发现并排除错误，VxWorks调试器通过交换机连接目标机对被调试程序的执行状态进行宿主系控调试（应用开发工具目标程…进程管理模设备驱动模宿主进外设模拟线处理器状态模处理寄存器模拟模目标-宿主异常处理模宿主线目标内4-8目目标机向调试器报异常情是否解决了题结束本次调 VxWorksVxWorksstructstruct{UNITvariPointer;//变量指针charvariLength;//变量长度charvariName[255];//变量说明}structstruct{unsignedshort FUNCPTRfuncPointer;unsignedcharfuncReturnSize; 用上述两个结构体全局变量，程序中的变量和函数信息，并定义数组的结。括：程序断点、浮点数或整数溢出、内存、地址、除数为零等。在VxWorks系的[29]，方便调用用户自己的异常处理函数异常处理的四个阶段归纳为如图4-。

4-1041、任务函inttaskIdListGet( intidList[],//该数组 获取的任务id)STATUStaskStatusString( inttid,//当前任务id)inttaskIdListGet( intidList[],//该数组 获取的任务id)STATUStaskStatusString( inttid,//当前任务id)任务流程如图4-11所示taskStatusStringtaskStatusStringtaskIdListGet2、abort()和exit()

结调用回调函结调用回调函的是立即终止程序，多用于处理濒临的程序，但是必须在调用abort()前先重要int /*taskint /*taskIDoftaskto)基于VxWorks的驱动程序开VxWorks已经对很多硬件提供了支持，但是在嵌入式系统的开发过程中不可避免的会使用系统的硬件，这样我们就必须开发VxWorks下的设备驱动程序[30]。12、随机块设备，主要是磁盘34、控制监视设备，一般指控制数模变换的I/O中断控制中断控制定时PCMCIA系VME总线PCI总线网络接串行接Flash系磁硬件设备驱动程序的功能包含如下几点被别的任务时则不允许其他任务进行操作直到该硬件设备资源被释放456内扩展模应内扩展模应用程设备硬设备驱动程应用程序通过操作系统内核调用驱动程序的优点是可以使用操作系统为驱动程序的开销，系统的稳定性和实时性会下降。硬件驱动程序与BSPVxWorks操作系统BSPVxWorks提供与硬件环境相关的接VxWorksVxWorks下运行的软件，这些软件包括与硬件有关的和与硬件无关的[52]。BSPVxWorks的两种通用的驱动程序可移植性较好而SP驱动程序适用于某种的硬件环境。在为嵌入式系统开发SP时，不但要对BSP的驱动程序提供支持，而且还要将通用的驱动程序集成在SP中[52]。用的驱动程序所在的位置。VxWorks4-14所示。嵌入式系统上电后，开始执行启动代码并加载orks映像。接着处理器转到orks（yInit()的首地址yInit()的作用是复位处理器，进行必要的硬件初始化，然后转到urInit()urInitorksysInit()将硬件置于初始化状态，接着子程序krnlInit()orksuroot()子程序产orks库、调用应用程序启动代码。在上述的启动顺序中，通用的设备驱动程序位于子程序usrRoot()中，BSP的设备驱动程序位于子程序sysHWInit()中[30]。orks415所示。装载设备驱动程装载设备驱动程创建设创建设将设备添加到设备列设备中断管理函启动启动设关闭设关闭设关的VxWorks系统函数来获取硬件接口参数接着通过I/O和内存映射这两种工作方式LOCALintxxDrvNum=0;/*LOCALintxxDrvNum=0;/*驱动程序索引号typedef{DEV_HRDdevHdr;//设备头数据结构BOOLisCreate;//设备创建标志BOOLisOpen;//UINT32RegMEMBase;//UINT32ioAddr;//设备…器址址2{/*判断驱动程序是否已经安装…/*设备驱动程序初始化…{return}return}{/*检查驱动程序是否安装…/*分配内存并初始化…/*硬件设备初始化，例如：I/O地址、设备本地内存地址等…/*将设备添加到设备列表{free((char*)pxxDev);//释放设备描述符returnERROR;}return}4LOCALULONGxxIntHandler(int{{xx_DEV*pxxDev=(xx_DEV*) 中断状态…}intxxOpen(DEV_HDR*pxxDevHdr,intoption,int{…}intxxRead(intxxDevId,char*pBuf,int{…}IntxxWrite(intxxDevId,char*pBuf,int{…}//intxxClose(int//intxxClose(int{…}//{/*查找设备…/*释放设备所占用的资源，例如：信号量、唤醒等待该设备的任务等…/*卸载设备returnOK;}软件需求分VME-2536的数字量IO接口卡来实现同步；3、每40ms一个工作周期完成中规定的各种功能4、完成输入输出信号的表决5的故障进行实时模拟，实现故障、恢复、重构、综合与记录等；7、软件需要留有接口，以便后续进一步完善其功能整个系统的地面模拟仿VxWorks操作系统是WindRiver公司于1983年设计开发的一种嵌入式实时操（TOS借其卓越的可靠性和实时性被航空航天、通信、军事等高精尖领域广泛采用。1、实时内核2、兼容实时操作系统标准3VxWorks网络能与许多运行其它协议的网络进行通信，如TCP/IP、4.3BSD、NFS、UDP、SNMP、FTP等。VxWorks可通过网络允许任务存取文件到其它系统中，并对任务进行调用。45转换、内存分配、消息、标准ANSI-C程序库等系统调用。6同处理等其他一系列步骤。另外同步工作也实现了更小的比较阀值[43]。点，也就消除了因不同CPU中的时钟不同而造成时间累积误差。任务同步的目的是保VME-2536数字量IO接口卡（32个输32个输出口VME-2536IO5-1所示[44]DODODI通道DODI通道DODI通道同步算法采握手同步，周期为20ms。在每个周期的开始，飞控计算机仿真机的20ms任务周期后，首先关中断，接着输出一个“逻辑高”同步离散量，然后在限定5-2给出了基于双握手的同步流程图。N定时器1不超N定时器1不超YN其它2个端口的信全部为“高YN定时器1不超YN已经同步上的通Y重启定时器输出同步失启动定时器启动同步恢进入进入20ms关中关中启动20ms后续任5-2信号的与表决设1、数字量信号算3个、2个、1个、0个。算法表达如下1个有效，则判断是否可以利用控制律重构，如果系如果输入的信号2个有效，则计算这两个信号的差值的绝对值，差值绝对值小于阀值时两个信号都故障，1；3个有效，则对有效的输入信号进行排序处理，可得到最1。表5- 1234最大值减次大小于阀值大于阀值小于阀值大于阀值次大值减最小小于阀值小于阀值大于阀值大于阀值其余信号有其余信号有三信号全故个过程分为以下几种情况：3个输入信号有效，但只有一个信号的故障计数值到达了上限（被判一路信号为永久故障如果3个有效信号中2个达到故障上限或者3个全21个信号的故障计数值达到了故障上限，也可具体的流程如图5-3所示是是是开超过一开超过一个效信否 控制重ILM有否是某信号故否否控制重三个号有否是仅一信号故是去除此障信否是结多故障逻重构控制号两两之差值>容重构控制是否图5-3数字量信号算上图中的多故障逻辑是故障的深入处理流程，它主要处理以下两种情况212个信号故障计数器都323个信号故障计数器全 主 速率陀螺仪的陀螺转 主 有ILM定故用故的通道状态、CCDLILM定故用故是是否2个有ILM检查故障信是否否剩余有信是否2个有2:1情是是2个有否差值>容是去除2个1:1:1情有效信1个有1个有5-4其中2:1情况表示3个有效信号中有2个信号故障计数器超限，1:1:1情况表示3个2、离散量信号算离散量信号的输入值全部都是离散量（1为真，0为假离散量信号的采用相333022或0则两个数据都有效，结果为1则两个数据都无效。离散量算法如图5-5所示开开3个离3个离散量相个个数为YNN结果为2或YN结果为3或者Y结果为YN 结果为2个离散量相三个值全部无为1的值无为0的值无三个值全部有两个值都有两个值都无结果为

图5-5离散量信号算1每个通道的离散量信号的值相加，可能得到的结果为：3、2、1、0。如果相加结果是3，则表决值是1。如果相加结果是2，则表决值是1。如果相加结果是1，则表决值是0。005-6所示。NNNYNYNYYN2

33个信号有效时，32215-7开开N3通道数据都有NY2通道数据都有YN1通道数据都有Y3通道数据排取故障安全取该信取平均取中交叉传输设

在飞控计算机仿真机的运行过程中，每个通道计算机自己的是X，则其余两个通道计算机的是Y和Z。交叉传输流程如图5-8所示[47]。CCDLYY交叉传输超NY收到Y通道数读其它通道的数据置Y通道成N置Y通道CCDL失N已经读到其余个通道的CCDL数Y收到Z通道数YN叉叉传输成功标结

5-8飞行中BIT软件分为四层，分别为：IFBIT启/停条件判定层、IFBIT流程管理与调度层、IFBIT硬件驱动层、IFBIT结果记录与告警层。IFBIT启/停条件判定层主要来控制IFBITIFBITIFBITIFBIT硬件驱动层需要完成飞机在飞行中软件驱动硬件的BIT功能。IFBITNVRAM中。飞控系统飞行中BIT5-9所示。IFBITIFBITIFBITIFBIT流程管理与调度库令数据5-9BITBIT能否满足联锁条件，如果满足联锁条件则系统完成上电BITBITBITBIT将故NVRAMBITBIT检测，检测是否满NVRAMBIT。接着是飞行中BIT，判断条件同上。然后是运行BIT，通过分析NVRAM中的故障数据，BIT。综上所述，BIT软件设5-10所述。NN是否满足YYNNYPBITYNN是否满足YIFBITYNNYMBIT地 检退出PUBIT 设

5-10BIT。余度管理设计的一项关键内容就是合理地选择余度系统面的位置和数目。同步1，同时应该通知器将对方通道的输入数据判定为无效数据，并且对对方通道放弃投票。行同步，永久失步故障将会通知器对对方通道的输入数据为无效数据，并且对对方CCDL回绕CCDLCCDL数据包。飞控计算机三通道间采用CCDL回绕的方法对交叉通道传输进行CCDL回绕监控是在每个周期内两次的CCDL交叉传输中进行的，CCDL回绕数据包有两类特殊电源电源采用硬件和软件硬件采用的是BIT电路周期性地对电源进行。有效电压直接连接到CPU板的通道故障逻辑电路，当任一电源发生故障时，该故障逻辑电路就可以直接切除故障支路。软件方法主要是利用电源软件器，周期性地各种电源的电平信号，并且获取幅值和频率等信息来判定该电平信号是否发生故障。电源的对象包括5V、3.3V、12V等直流部分和交流部分。若到的电if(电源电压故障{return}{if（3.3V1&&5V1&&15V{return}}{return}}总线通信staticMOS_UINT32temp=0; if（CPCI板卡永久故障）{{CPCI瞬态故障CPCI瞬态故障计数--;if(CPCI瞬态故障计数值<0){CPCI瞬态故障计数}return}{CPCI瞬态故障CPCI瞬态故障计数if(CPCI瞬态故障计数>最大故障计数门限{CPCI永久故障}记录故障帧fault_frame;returnNOT_VALID;}}通道通道是实现3个CPU之间的与表决的关键飞控计算机三余度通道的CPU故障与处CPU板定时器的时间漂移、I/O硬线出现故障、I/O与输出电路出现故障都会导致失步。CCDLCCDL交叉传CCDL交叉传输失败，则认为该通道和其他通CCDLCCDL交叉传输失效通道对应的输入数据为无效数据且对该通道投票，如果故障计数的累加达到阀值，就判定此通道为CCDLCPCI总线进行通信。我们使用帧计数来累计发送的帧数如果帧计数越界的话就从0开始每发送一组数据帧计数就累加1。通道故障与处PCOX主CPU及其他通道表决后的控制信号记为SCOX、SCOY、SCOZ。三余度信号算法对PCOX、PCOY、PCOZ、SCOX、SCOY、SCOZ分别进行，软件测试方Bug被找到并被改正，静态测通过代码走查发现标准的情况总结如下123456、函数全局变78、全局变量在时没有初始910、#include后的文件名没有加单元测1算法进行功能性测试，当三通道同步正常时打印CCDL传输的数据应该具有一致性。2、打印CCDL6-16-1CCDL信号的表决测1、离散量离散量在程序中由IOMonitor函数实现，该函数的原型为 表6- 测试用例表6- 测试用例表表6- 测试用例6-16-26-3离散量算法符合软件设计需求。2、数字量数字数字 在程序中由DigiMonitor函数实现，该函数的原型为input_valid[3] input_data[3]表6- 测试用例return_valid[0]=1return_valid[0]=1return_valid[1]=1return_valid[1]=1表表6- 测试用例表6- 测试用例6-46-56-6数字量算法符合软件设计需求。3usableusablevote_value表表6- 测试用例vote_value=3vote_value=3表6- 测试用例表6- 测试用例6-76-86-94离散量表决在程序中由IOVote表6- 测试用例表6- 表6- 测试用例CCDL1本项目中具有两次CCDL，CCDL采用回绕方法实时CCDL的有效性。回绕方法举例如下：A计算机通过第一次CCDL发送一个随机数X给B和C，B和CCCDLXA计算机，A计算机通过比较发出和返回的随机数即可判定CCDL链路是否正常。出来，通过比较分析判定CCDL方法的有效性。A计算机发出的随机数X，由B、CB计算机发出的随机数Y，由A、CC计算机发出的随机数Z，由A、B2表6- 测试用例6- dFirstFromXFirstFromYSecondSendX=263SecondFromY2XSecondFromY2Y6- dFirstFromXFirstFromYSecondSendX=274SecondFromY2XSecondFromY2Y3、通道测1实际程序中由ChanMonitor函数实现通道，具体的测试方法是随机选取一组输intintdoublewucha=0.1;{{}}{}26-6-intdoublewucha=0.1;{{}}{}ChannelXOK;ChannelYChannelXOK;ChannelY表表6- 测试用例intdoublewucha=0.1;{{}}{}ChannelXFailed;ChannelYChannelXFailed;ChannelYintdoublewucha=0.1;{{}}{}ChannelXFailed;ChannelYChannelXFailed;ChannelY3、知，通道算法符合软件设计需求。1三余度飞控计算机CPU6-1&&&&

OCDPVFYDPVFOC&&

&6-1&余度计算机各CPU板均设置通道故障逻辑电路，用于本通道的故障和故障切除。通道故障逻辑图中每一个信号的状态约定为：1为有效，0为故障。电源结在CPU板上有专门的电路检测15V、+5V、+3.3V三种电压，产生三个信号，即为15VV、+5VV、+3.3VV，把这三个信号作为输入，经过与逻辑产生一个PSV200msDPV看门狗结看门狗对飞行控制软件进行若软件能周期性复位看门狗则看门狗输出有效，即产生WDV有效高电平信号。CPU结个“本通道故障”CPUV0给通道故障逻辑。跨通道结即为DPVFY、DPVFZ两个信号，这两个信号是其它通道对本通道的投票信DPVFY、DPVFZ两个信号0DPV0。人工复位信号，即为FR。CPU板发生故障时，CPUDPV信号(本通道处理器有效)0CPU板（即本支路）故障，模拟电路会自动切除本支路，当DPV1时表示本支路有效。作过程周期以上输入数（包含故障注入结果经过故障逻辑软件包的逻辑计算DPV信号。#include"RSIM_AGENT.h"#include"RSIM_API.h"#include#include"RSIM_AGENT.h"#include"RSIM_API.h"#include"RSIM_WHOAMI.h"externCHANLOGIC_TYPEchanLogic;{chanLogic.Power_psv[0]=12;//15VV电压 chanLogic.Power_psv[1]=5;//+5VV电压信号chanLogic.Power_psv[2]=3;//+3.3VV电压信号}2表6- 测试用例15V表6- 测试用例CPUV表6- 测试用例DPVX3、无故障闭环仿真测6-2 图6-2无故障闭环仿真曲线，70010s时开始右滚转，有故障闭环仿CPU死机注入CPU6-36- 图6-3CPU死机故障仿真曲线10s左右时，开始注入CPU死机故30￮，然后恢复平飞状态，飞控计算机仿真机一个 图6-4传感器故障仿真曲线70010s左右时，开始注入传感器故障，30￮，然后恢复平飞状态，选择优先级较低的传感器数软件测试结综上所述，单余度开环表明，机载余度管理软件中各模块功能正确无误且工作总本结合余度管理技术国内外研究现状，通过参与相关的横向课题，对无人机机载余度管理软件开发技术进行深入研究。根据课题的应用需求，选择了硬件来配置分析问题解决问题的能力都得到了极大的提高。对的整个工作做如下总结：1从的选题背景和意义入手说明了稳定性和可靠性是开发机载软件的关键，3、对软件架构的发展历程进行回顾，详细描述了多用于架构设计中的5中视图，4、基于飞控计算机仿真机硬件对BSP进行开发，并在嵌入式实时操作系统VxWorks的软件调试技术进行重点研究。后续工作展1本中的软件架构是否是性能最好的还不确定软件架构的可靠性安全性、可扩展性、可性等方面还有待提高。2BSP3、在余度管理策略方面的理论研究还不够深入，在信号算法中有关阀值的选4、由于时间有限，在开发工作中只对中提及到的余度管理策略进行了设计的工作中需要不断进试并对软件运行中出现的缺陷进行修改。马秋瑜.无人机飞控系统实时余度软件设计[D].西安:西北工业大学,2007:2-王珍熙.可靠性、冗余及容错技术[M].：航空工业，1991:15-占正勇,.分布式电传飞行控制系统结构发展及分析[J].飞行力学,2009,1-,,.四余度数字电传控制系统输入信息余度管理策略及其应[J].测控技术2008,27(1111-A320/A330/A340tofuturemilitarytransportaircraft[J].MicroprocessorsandMicrosystemsVolume19Number2,march1995NaiduA.Casestudy.AirbusA340flightcontrolsystem[D].UniversityofVirginia,2002:王永,.民用飞机电传飞行控制系统初探[J].航空标准化与质量,24-YehYC.Triple-TripleRedundant777PrimaryFlightComputer[C].AerospaceApplicationsConference.Aspen,Co.1996(1):293-307.tolerantsystems[C].TheTwenty-ThirdInternationalSymposium.Aerospatiale,316,routedeBayonne,31060Toulouse,France.June,1993:616-623.杨飞.余度飞控计算机的设计和仿真技术研究[D].西安:西北工业大学,2007:12-,李沛琼.可靠性及余度技术[M].:航空工业,1991:56-熊庭刚,马中,袁由光.基于操作系统调用的容错计算机系统同步技术研究[J].计算机研究与发展,2006,43(11):1986-1987.[13]DKPradnan.Fault-TolerrantComputerSystemDesign[M].EnglewoodCliffs,NJ:Prentice-HallInc,1998.[14]DPSiewiorek,RSSwarz,etal.TheTheoryandPracticeofReliableSystemBedford,MA:DigitalPress, 1999-10-[16],.飞行控制系统的分系统[M].:国防工业,2003:124-[17],陈怀民,.机载飞控计算机机内