基于余度技术的小型飞控计算机可靠性分析与设计

基于余度技术的小型飞控计算机可靠性分析与设计

0飞控控制系统的设计飞机控制计算机是小型飞机的核心部件之一，其可靠性设计的优越性直接影响飞机的飞行安全。因此，仅依靠提高设备的质量和安装技术的质量就无法满足系统的要求。冗余技术可以有效提高飞控信息系统的可靠性和容错性。因此，有必要从航控计算机的内部结构设计出发，采用冗余技术，从根本上提高系统的容错性和剩余能力，软化故障，消除缺陷系统对正常工作的影响。现有许多成熟的商业产品可用作小型飞行器飞行控制系统,但是其重量、体积、功耗等各方面难以满足小型飞行器的要求。针对一些现有系统存在的问题,开展了基于小型飞行器飞控计算机关键技术的研究。13倍体积结构方案1.1冗余结构的特点,主要有余度构型是容错技术的核心,对飞控计算机进行合理的余度设计是很有必要的。冗余结构可分四种模式:(1)被动冗余结构中的冗余模块在待命状态下完全不施加电源和任何系统信号,即“冷备件”冗余;(2)主动冗余结构中的冗余模块在待命状态下和工作模块一样施加全额供电电源和所有的系统工作信号,即“热备件”冗余;(3)半主动冗余结构中的冗余模块在待命期间仅施加部分电源或非全额电源,同时仅提供部分系统工作信号,即“温备件”冗余;(4)混合冗余结构是一混合的复杂系统,其中部分冗余模块是被动结构,部分冗余模块是主动结构。一般飞控计算机采用主动冗余结构。1.2冗余容量的确定飞控计算机大多采用同构型多余度体系结构。余度数目对可靠性有着直接影响,很明显冗余度数目越多系统任务可靠性越高。但是冗余度数目增加的同时会降低基本可靠性,增加体积、重量和费用,因此冗余度数目要根据产品研制的目标及限制条件进行综合权衡。飞控计算机采用三余度结构,如图1所示。飞控计算机三个通道完全相同,每个通道包括中央处理机(CPU),输入输出接口(DIO),模拟量处理模块(AIO),串口收发模块(SIO),电源模块(PS)以及其他功能模块。飞控计算机仅有一套输入输出接口,输入输出接口是伪三余度的。飞控计算机工作过程中三通道同时接收外部输入的数据,通过表决机制选择其中一台计算机作为控制计算机。2同一周期任务在同一方向方向执行飞行过程中为满足故障无缝切换的需求,三通道之间必须同步进行工作。同步是指三通道的周期任务在同一周期中进行,相同任务在三通道间尽可能在同一时刻执行。若不能采用同步方式工作,则3通道间周期任务不能保证在同一拍完成,意味着3台计算机的采样与控制不能够同时进行,无法实现三通道之间无缝切换,可能导致飞行器瞬间不稳定。2.1两个通道能同时进入飞控程序导致飞控机三通道不同步原因主要包括:(1)通道启动耗时差异;(2)晶振误差的累积。启动耗时差异是指三通道由于操作系统启动耗时产生的差异,这种差异导致三通道不能同时进入飞控程序。晶振误差的累积是导致三通道不能同步的另外一个原因。用两个通道进行误差累积试验,上电后对两通道进行一次同步后,观察两通道周期性(周期为10ms)送出窄幅脉冲。从示波器观测到时钟误差不断累积,15min时其中一个通道比另外一个通道多出一个10ms周期。两个晶振差异=1/理论周期=1/15×60×100≈11PPM(晶振误差范围为±30PPM,在理论误差范围内)。然而,这种误差在飞行过程中是无法容忍的。因此三通道间除了开机同步外,还需要进行周期性同步。2.2同步策略设计为使3通道同步工作,提出一套简单的握手协议来实现同步如图2所示,飞控计算机每个通道有一个输出口DO,用于输出同步握手信号给其他两通道;并有两个输入口DI,用于接收其他两通道的同步输入信号。同步算法采用握手方式:首先关中断,接着DO输出一个“逻辑低”同步握手信号,然后在限定时段内查询两个DI是否产生“逻辑低”握手信号;在握手成功后,打开中断,DO输出“逻辑高”,三通道均保持同步信号输出为逻辑高准备下次同步。2.3-12s周期同步策略软件设计过程中针对启动耗时差异,提出开机同步概念;针对晶振误差累积,提出了10ms周期同步。同步软件穿插在整个飞控程序中,飞控程序流程图如图3所示。开机同步,该函数只在开机后调用一次,保证消除三个通道启动耗时误差,该函数封装成为一个函数voidpoweronSynchronize(void)。开机同步实现的方法:开机后,通过DO引脚向其他两个处理器发出同步信号,同时采集其他两个处理器所发出的同步信号,采集到两机的同步信号后,转入到10ms任务周期。若等待3s后还没有采集到其他两机的同步信号,则认为其他两机故障。进入单机工作模式,其余两个处理器被置为永久故障。10ms周期同步,该封装成一个函数voidperiod10msSynchronize(void),函数在10s中断服务程序中被调用。函数首先禁止所有中断,判断其他两个处理器是否可用,若不可用则进入单机工作模式,若可用,进入同步。同步方法:通过DO引脚向其他两个处理器发出同步信号,同时采集其他两个处理器所发出的同步信号,采集到两机的同步信号后使能中断,转入到10ms任务周期。若50μs内还没有采集到其他两机的同步信号,使能中断,判断是否连续10次不能同步,如果是则进入单机工作模式。图4是飞控机的三个通道未同步和同步两种方式周期性(周期为10ms)送出窄幅脉冲信号图,通过示波器观测进行对比,进行同步后,三通道的窄幅脉冲能够同一时刻送出,握手协议彻底解决了同步问题。3独立设计3.1自检测故障表现监控表决依据选取的表决面对飞控计算机3通道进行表决,选取三通道中最健康的一个通道成为控制通道。表决面选取决定了系统的故障剔除能力,因此表决面选取应遵循原则:(1)能够覆盖到通道中所有故障;(2)便于实现,不能消耗太多资源(包括时间资源、存储资源、计算硬件资源等)。设计中表决项包括自检测故障,以及交叉传输比较故障和同步故障。自检测故障从通道硬件故障进行检测,包括串口检测和模拟量检测:(1)串口检测,连续5个帧周期未收到正确数据(包括未收到数据,校验和错误),则报告串口硬件故障。(2)模拟量检测,该控制系统中模拟量输出只有舵机控制量,可以通过舵控量回采后与输出前比较。二者误差超过给定值,则报告模拟量硬件故障。交叉传输主要完成通道间的故障报告,每个通道向其他两通道发送自身状态信息,同时接收另外两通道的状态信息。3.2通道刑事优先通道c型每个通道通过综合以上状态信息产生三通道可用信号,最后结合预置优先级(设计过程中三通道的优先级次序是:通道A,通道B,通道C)表决产生通道使能信号。为了满足三通道间软硬件无差异性,优先级预制电路放在飞控计算机三通道互连的底板上,其逻辑图如图