民用飞机高度综合化自动飞行控制系统研究

民用飞机高度综合化自动飞行控制系统研究民机自动飞控系统需求捕获及确认策略研究

摘要民用飞机为实现安全性、经济性、舒适性，往往会采用自动飞控系统以减轻飞行员驾驶负担，提升飞机自动控制水平，自动、稳定控制飞机姿态和轨迹。随着自动飞控系统的发展和功能复杂度增加，增加了系统研发的复杂度。为在设计初期避免研制错误和不良或非预期影响的风险，充分做好需求捕获及需求确认工作保证设计实现的正确性和完整性，以开发出高度综合化、集成化、复杂化的民用飞机自动飞控系统。该文根据SAEARP4754A提供的民用飞机或复杂系统的开发指南，开展民用飞机自动飞控系统在需求捕获与确认方面的研究，形成了民用飞机自动飞控系统需求捕获及确认策略，为民用飞机自动飞控系统的正向开发提供方法和思路。民用飞机的主要任务就是安全、有效、经济地按要求的姿态和航迹完成规定的飞行任务。自动飞控系统是大型民用客机必不可少的组成部分，不需要驾驶员直接操纵，可以自动控制并稳定飞机姿态和航迹的系统。在机载设备的支持下，系统经过综合计算得到飞机飞行的操纵指令，自动操控飞机的各操纵面，实现飞机姿态和航迹的稳定与控制，减轻驾驶员的工作负荷。目前，在民用飞机市场上，电传方式是国内外的主飞控系统的控制方式。电传方式作为大型民用客机自动飞控系统研制的关键技术，其对飞行的经济性、舒适性提出高要求的同时，对安全性的要求也更为严苛。随着民用飞机的更新换代，自动飞控系统在功能上由最初的只有姿态角稳定功能的自动驾驶仪发展到当前可实现姿态、航迹以及速度同时选择和控制的多功能系统。ARP4754A标准在阐述民用飞机与系统整体研制要求的同时，对需求管理过程提供了管理方法和确认内容，其核心思想是确认需求是正确且完整的，经过系统架构设计，将需求向软件与硬件进行分配。在自动飞控系统功能增加的同时，系统复杂度也有所增加，这也意味着可能会发生研制错误、产生非预期影响的风险。因此，从正向设计出发，确定自动飞控系统产品是否实现满足利益攸关方需求，确保设计需求正确、完整，并在实际环境中满足使用要求的过程，对于开发出高度综合化、集成化、复杂化和智能化方向的自动飞控系统愈发重要。民机自动飞控系统概述自动飞控系统相较于人工飞行控制系统，可以辅助飞行员对飞机进行飞行控制，对飞机的俯仰角稳定、滚转角保持、高度改变及保持、自动着陆等进行自动控制，进而减轻飞行员的驾驶负担，提高飞行品质，提升乘坐舒适性，提高飞机性能。自动飞控系统可在起飞阶段(飞机起飞、离场、爬升)、巡航阶段、下降、进近着陆阶段(进近、着陆、滑跑)全飞行阶段使用，其功能如图1所示，主要包含飞行导引控制、自动推力、自动着陆、显示告警、飞行包线保护等功能，在控制过程中，飞行导引控制功能基于机上多源传感器信号的数据(如惯导系统提供的姿态信息、飞管系统提供的指令信息、飞行控制板提供的控制指令等)，进行姿态解算，提供飞行指引和自动驾驶功能，最终对飞机垂直方向和水平方向控制；自动推力功能通过计算油门杆指令信息，调节油门杆位置，进而实现发动机推力控制；自动着陆功能可根据不同的气象条件对飞机在接近着陆阶段进行精准控制，提升飞机在关键飞行阶段的精密和安全进近；通过显示及告警信息，向飞行员提供飞行指引及自动驾驶的进出的状态和故障告警信息；飞行包线保护功能则通过多工作方式的耦合工作，协同限制自动飞控系统在工作状态下的飞行包线，提供全飞行过程中的速度保护功能。图1

民飞自动飞控系统功能示意图随着民机的快速发展，现代先进民用飞机上的自动飞控系统已由稳定飞机三轴角运动、功能简单的自动驾驶仪发展为高度集成化的自动飞控系统专用模块，形成了高集成、高安全、高传输速率、多阶段自动控制、模态复杂的先进民用飞机自动飞控系统。民用飞机需求管理策略一、需求管理目标根据SAEARP4754A提供的民用飞机或复杂系统的开发指南，可以在飞机或系统全研发过程中，根据产品研制阶段，对不同阶段的需求工作进行详细分工和规划，通过不同阶段的需求管理工作，建立正确、完整的需求基线。需求管理的目的是确保利益相关方对飞机系统需求理解的一致性。在需求管理过程中，主要分为计划管理、需求捕获、需求确认、需求的可追溯性管理。二、需求管理计划设计初期，根据产品开发阶段，制订确定需求管理计划，对需求管理要素进行规划和工作开展提供指导，为需求管理活动的开展提供依据。包括产品设计各阶段的需求工作(输入、活动、输出)，需求的管理工具、需求的标准确定、需求确认过程中的方法等。三、需求识别、记录、修改需求的来源主要包括：(1)来自飞机级的需求；(2)来自公共专业领域的需求；(3)其他系统对于该系统的需求；(4)此系统自身专业的需求；(5)适航条款要求。需求工程师根据以上需求类别进行需求的全面捕获，在需求捕获与确认阶段形成初步的系统级需求规范和矩阵，建立系统架构和设计工作的基础。在需求基线管理的过程中，对需求的捕获及修改需要经过充分的确认和过程记录，在经过构型管理委员会认可后，方可纳入需求基线，进行设计工作。四、需求确认需求确认往往在产品研制的全生命周期中持续进行。在产生研制的各个阶段，通过不断地进行需求确认，以增加系统的置信度。在需求确认过程中，可使用以下确认方法支持工作的开展，包括追溯性分析、分析、建模、试验、相似(类比分析)、工程评审等。在需求确认过程中，不同研制保证等级的产品，其推荐的确认方法也有差异。在4754A中推荐，产品的研制保证等级分为多个级别。其中，对于A级、B级和C级的需求，进行追溯性审查是必须的，对于产品研制保障等级为C级，对于其需求只需采取分析、建模、试验、相似或工程评审等方法，即可满足适航需求。相对而言，对于A级或B级产品需求的确认需要采用多种方法结合的方式开展确认工作，以确定其置信度。对于自动飞控系统，主机分配的系统研制保证等级多为A级(或B级)，因此，对于自动飞控系统的需求确认过程要求十分严格。五、需求的可追溯性追溯分为3种：一是需求源的追溯，在对需求捕获的过程中，要确保需求来源的准确性和可追溯性；二是需求的捕获、确认、实施、验证过程是可追溯的；三是在需求确认过程中，追溯是通过检查较低层级需求能否满足已经确认的较高层级需求，进而保证系统需求的完整性。某型飞机自动飞控系统需求管理策略结合某型自动飞控系统的研制工程实践，从计划阶段出发，在产品的需求阶段、初步设计阶段、详细设计阶段、产品实现集成和验证阶段、飞机级集成和验证阶段按需求管理计划对需求进行全生命周期的管理工作，可根据如图2所示的需求管理策略进行需求管理。在民用飞机自动飞控系统的研制过程中，分为以下几个阶段。图2

需求管理策略图一、计划阶段此阶段主要对民用飞机自动飞控系统的各类开发计划及标准进行确认，为全生命周期的开发活动提供计划和标准依据。在此阶段，形成需求管理计划及需求确认计划，形成需求管理活动的输入、活动、输出、管理工具、管理团队、需求表示、确认方法、独立性等要求，用于指导项目全生命周期中的需求管理和确认工作，同时为过程保证人员提供过程保证工作输入。某型自动飞控系统的需求管理计划包括以下内容。(1)组织机构及主要职责。对参与需求管理的各相关方进行职责描述。(2)需求管理流程与活动。对需求管理活动在产品研制阶段中的各个阶段的输入、活动及输出进行规定和约束。(3)需求属性。规定需求的属性类别及标识标准，确保需求在同一规则下进行控制。(4)工具和方法。对需求管理的工具(如捕获工具、管理工具、确认工具)进行工具类型、使用约束、权限规定等描述。(5)输出物。描述需求管理过程中各阶段的输出物，形成在需求管理过程中的数据。二、需求捕获与确认阶段在该阶段，主要开展需求的识别、记录工作，形成条目化的系统需求规范，发布需求基线。在该阶段开展需求确认，对产品需求的正确性与完整性进行确认和分析，为自动飞控系统按正确的需求开发工作提供设计保证。例如：某型自动飞控系统的需求规范至少包括：功能需求(对产品的功能性要求进行全面描述)、性能需求(对产品要实现的性能参数进行确定性规定)、安装需求(对产品的安装位置、安装尺寸、安装方式等进行详尽描述)、接口需求(描述产品的外部交联的电气接口和机械接口)、安全性需求(描述产品的各类安全性要求)、可靠性需求(产品的可靠性指标要求)、维修性需求、测试性需求、环境适应性需求(产品需满足的外部环境特性要求)、适航需求(产品需满足的适航条款要求)、设计与约束需求等内容，确保此系统的功能及性能完整性。在某型自动飞控系统需求确认过程中，根据需求要素、确认要素，结合需求确认矩阵、需求正确性及完整性检查单，形成需求确认证据。其中需求确认矩阵可以根据图3进行要素分解。图3

需求确认矩阵示例在需求确认过程中的正确性检查单需包含以下要素：(1)需求正确性(如无二义性、不冗余、无错误、不冲突、可满足、确定性、采用正面肯定语态、衍生需求有证据支撑、需求来源正确、无多重特征、唯一标识等)；(2)需求必要性；(3)需求一致性；(4)安全性内容覆盖性(如系统失效状态分类正确且确定、考虑了不安全设计和错误设计的影响等)。在需求确认过程中的完整性检查单需包含以下要素：(1)追溯性。与上层级需求追溯性的建立。(2)需求集覆盖性。如系统功能的覆盖情况、规章标准和指南的符合情况、需求属性的全面性等。(3)相关性。如外部接口确认、特定需求的对应禁止需求的考虑等。(4)详细性。如对每个接口的限制条件的定义详细及清晰、对假设的定义和描述是否清楚(若有)等。三、初步设计阶段在此阶段，主要根据系统需求开展架构设计与需求分解工作，形成软硬件的高层级需求。在此阶段，可能会开展需求修改及衍生需求的管理工作。对于在此阶段所产生修改的需求及衍生需求，经充分的确认工作后，纳入需求基线，指导产品设计。四、详细设计阶段在此阶段，需求管理工作的内容基本与初步设计阶段要保持一致。需要注意的是，在需求管理过程中，对衍生需求的分析及安全性要进行充分评估，以确保衍生需求不会对系统的安全性产生影响。五、系统实现、集成和验证阶段此阶段的重点工作主要在基于需求的验证层面，若涉及需求更改，则需要经过充分论证与安全性评估。六、飞机级集成和验证阶段此阶段的主要目的与上一阶段基本一致。在此阶段需对需求与设计实现进行充分验证。对于设计实现不符合需求要求的内容，要对设计实现进行自上而下的确认和追溯。若由于顶层需求或在需求分解过程中产生的需求与功能不一致问题，需求修改工作亦需经充分论证与安全性评估，经构型控制委员会及利益攸关方确认和同意后，方可将修改的需求纳入需求基线，进行设计小改或设计大改。民用飞机自动飞控系统需求捕获与确认过程结合民用飞机自动飞控系统需求管理策略及工程实践，民用飞机自动飞控系统需求捕获与确认过程如

图4所示。图4

自动飞控系统需求捕获及确认过程图(1)在系统计划阶段，完成自动飞控系统需求管理计划(含需求确认计划，可独立形成计划)及需求标准，并开展评审。(2)开展需求管理计划及需求标准评审，通过评审即转入需求捕获阶段，不通过评审则进一步完善需求管理计划及需求标准。(3)取得评审通过结论后，结合飞机级需求、相关适航规章要求、相似系统工程经验，开展对系统的需求识别及记录工作，形成自动飞控系统需求规范。在产品开发过程中，如有个别需要修改的要求，则重复进行需求识别过程。(4)根据自

动飞控系统需求规范，形成系统需求初步确认矩阵，转

入需求确认工作。(5)根据对需求的正确性和完整性确

认，如确认有效，则生成需求确认结果，保留需求确认证据及需求确认矩阵，发布确认有效后的自动飞控系统需求，形成需求基线。对当前阶段无法确认的需求则在恰当阶段开展确认工作，对当前阶段确认无效的需求，进行需求修改或不纳入需求规范。结语在民用飞机自动飞控系统设计过程中，系统需求捕获与需求确认是一项关键且复杂的系统工程，需求的正确性及完整性影响系统设计实现的正确性和产品的安全性。在需求捕获之初建立完整、全面的需求捕获与需求确认计划，在产品需求捕获完整且进行充分确认后，保留相关过程证据，并进行完整的构型管理，正式发布需求基线，指导自动飞控系统在全生命周期进行管理。

民机自动飞控系统模态分析及适航性研究摘要自动飞控系统是民机飞行的重要一环,通过选择不同的飞控模态以完成相应的飞行任务。民机投入使用前必须通过适航性认证,以鉴定是否符合适航性条例的要求。针对国内外自动飞控系统相关的适航规章及行业标准,本文分析了面向飞控模态设计及其切换的适航标准,并结合部分成熟机型的自动飞控系统进行比较,在适航分析的基础上对商用飞机进近着陆时的模态转换进行仿真。引言自动飞行控制系统（AutomaticFlightControlSystem,AFCS）是一种在系统功能与工作状态由驾驶员设定后，无需驾驶员直接操纵，就能自动控制和稳定飞机姿态、航迹的控制系统。在民机飞行过程中，需要自动飞行控制系统实现多种控制任务，其中每种控制任务都对应一种或多种控制模态。自动飞行控制系统的模态之间存在着一定的逻辑关系，当选择一个模态时，不兼容的其他模态将自动断开。自动飞行系统大部分的模态可通过在模态选择板（modecontrolpanel，MCP）上进行操作选择、预位、接通。如所有状态满足要求，例如飞行状态，飞行性能等，将会锁定此模态。同时也会存在模态自动接通以及自动断开的情况。研究飞控系统各模态之间，以及模态之间的切换逻辑是设计自动飞控系统的重要组成部分。《民用航空系统及设备的安全性评估方法与指南》（SAEARP4761）将适航性定义为飞机、飞机系统及部件安全运行并实现预定功能的状态。本文针对民机自动飞控系统设计时需要参考的相关适航规章，解读其中对于模态设计及切换时的适航性要求，并结合部分机型自动飞控系统模态以及内部切换状态机制进行分析。适航性分析民机适航性条例中包含了对民机适航飞行品质的具体要求，民机投入使用前必须通过适航性认证，以鉴定是否符合适航性条例的要求。国内及国际上关于民机自动飞行控制系统的设计标准经历了多个发展阶段，由以往的性能规定条款逐渐发展为指导性条款。一、FAR25/CCAR25运输类飞机适航标准是民用飞机进行适航审定的基本依据。25.1329“飞行导引系统”是针对运输类飞机飞行导引和控制系统的专用条款。其中，与自动驾驶的工作模态有关联的适航要求如下。25.1329（c）条对模态的切换造成的航迹瞬变做出指导。“飞行导引系统、模式、或传感器的衔接或转换导致的飞机航迹瞬变，都不得大于本条（n）（1）中规定的微小瞬变。”25.1329（d）（e）条对自动控制功能在正常条件，罕见正常条件和不正常条件下的切断导致的飞机航迹瞬变做出指导。在正常条件下，不得大于微小瞬变；在罕见的正常和不正常条件下，不得大于重大瞬变。对于瞬变的定义，（n）条做出了详细说明。“对于本条，瞬变指对控制或飞行航迹的一种干扰，这种干扰对飞行机组输入的响应或环境条件不一致。”微小瞬变不会严重减小安全裕度，且飞行机组的行为能力还很好。微小瞬变会导致轻微增加飞行机组的工作负担或对旅客和客舱机组带来某些身体的不适。重大瞬变会引起安全裕度严重减小、飞行机组工作负担增加、飞行机组不适，或旅客和客舱机组身体伤害，可能还包括非致命的受伤。根据SAEAPR4761对故障严重程度的情况说明及其概率，可将微小瞬变的影响等级（AssuranceLevel）划分为LevelD，其定量概率要求为10-5（每飞行小时）。重大瞬变的影响等级为LevelC，其定量概率要求为10-5（每飞行小时）。由此也可对模态切换造成的航迹瞬变和自动飞控系统切断导致的瞬变给出定量分析依据。二、咨询通告（AC）咨询通告AC25.1329（ApprovalofFlightGuidanceSystems）对适航规章中某一或某些条例做出了进一步的说明[5]。咨询通告对于自动飞行系统的模态做了进一步说明，对具体的模态也有了更详细的要求，但在模态设计上还是不够完整，缺少具体的符合性验证方法。1、第四章“控制，显示和告警”44条“FGS模态选择，通告和显示”d.“模态改变”对模态改变的情况做出了通告和告警上的要求。操作相关的模态改变——特别是模态转换和持续速度保护——应该给出清晰和肯定的通告，以确保机组能够明确知晓。例如，高度捕获就是一种应该被明确通告的操作相关模态。因为在短时间内该模态是可操作的，飞行员的动作可能会对飞机带来不同的影响。应该给出清晰明确的持续速度保护的通告，以保证机组能够明确知晓。非操作相关的FGS子模态（如FGS从仪表着陆系统LOC信标捕获改变至信标追踪）并不需要被通告。2、第五章“功能性能”该章主要说明了自动飞行系统的功能划分以及性能等级，考虑了正常情况，罕见正常情况和非正常情况。给出了符合性验证的说明：FGS性能符合性验证应该基于预期功能的最小等级需求。与FAR25.1329以及SAEAPR4761中的定义相关联。对于正常情况，要求：自动驾驶应该提供平滑和精确的控制，确保没有发散或明显的持续损害振荡；飞行指引应该提供平滑和精确的指引和合适的阻尼，以达到满足的控制任务性能，不会需要飞行员过多的工作量；自动油门应该提供平滑和精确的控制，没有发散或明显的持续振荡动力改变或者过多的设定的需要动力。但对于模态切换没有给出定义上的说明或者切换的功能需求。对于罕见正常和非正常情况，均要求：FGS应设计为在正常飞行包线内和瞬时偏移出正常飞行包线下，以安全和可预测的方式，为活动模态的预期功能提供指引或控制。如果确定存在不能安全操作FGS的非正常状况，则应当在飞机飞行手册AFM中施加适当的操作限制。3、第六章“具体模态及特性”该章对一些常见模态的操作目的和在当前操作下可接受的标准进行了说明。该章将飞行模态分为水平模态（LateralModes），垂直模态（VerticalModes），多轴模态（Multi-AxisModes）和自动油门模态（AutothrustModes）。多轴模态指由多种飞行模态共同作用，以完成飞行任务的模态。具体划分可见图1。图1具体飞行模态4、第九章“利用飞行试验和模拟的符合性验证”该章重点在通过飞行试验或模拟，进行含有机组参加的符合性验证方法。101条“自动飞行操作使用的标准”对飞行过程中爬升，巡航，下降和保持提出了要求。“使用自动驾驶能够为机组在爬升，巡航，下降以及保持飞行阶段减轻工作载荷，必须在自动驾驶的失效特性之间权衡。使用自动驾驶在各飞行阶段没有必须的特定限制，除非在验证程序中，存在关于爬升、巡航或下降的特定不接受的性能或失效特性。”三、RTCA/DO-325《自动飞行导引和控制系统及设备》该文件针对自动飞行指引和控制系统（AFGCS）给出了最小操作性能标准（MinimumOperationalPerformanceStandards,MOPS）。这些标准定义了系统的特性，对于系统设备的设计者，制造商，安装人员和使用者都有一定的价值。其中2.4节“自动飞行指引和控制系统/设备测试程序”明确给出了几种系统设备的符合性验证方法。Analysis分析——该验证方法将硬件设计与已知的技术原理、技术数据或程序和实践进行比较，以验证所提出的设计能够满足特定的功能或性能要求。Demonstration演示——该验证方法指在系统/设备的动态测试期间，进行规定的定性验证和定量验证。一般来说，软件功能需要通过演示验证，因为系统功能必须通过一些辅助介质来观察才能得以验证。Inspection检查——该验证方法主要包括系统/设备的目视观察或机械测量，包括物理位置或工程支持文档的技术检查，来确定系统或设备是否符合规范要求。Test测试——该验证方法是指在特定配置和负载条件下，在给出受控的刺激信号之后，测量系统或设备性能。将测量的定量值与先前的预测成功标准进行比较，然后评估以确定符合程度。例如对于高度截获的预位和接通则采用Test验证方法，方法如下：1、实验设置飞行指引需初始化为其可以正常接通的状态，如，上电完成，空中，高度大于接通阈值。2、实验方法一a.在设备测试环境，接通飞行指引。b.选择一个参考高度，高于当前高度2000ft。c.选择某一垂直飞行指引模态来启动爬升。d.模拟爬升机动或激发高度信号来模拟爬升。e.观察在设计的触发点时，模态自动切换至高度截获。f.采用不同的垂直模态，以不同的爬升率，不同的高度偏移重复这些步骤，验证测试重复性。3、实验方法二a.在设备测试环境，接通飞行指引。b.选择一个参考高度，低于当前高度2000ft。c.选择某一提供的垂直飞行指引模态来启动下降。d.模拟下降机动或激发高度信号来模拟下降。e.观察在设计的触发点时，模态自动切换至高度获取。f.采用不同的垂直模态，不同的下降率，不同的高度偏移重复这些步骤，以验证重复性。4、SAEAPR5366自动驾驶仪，飞行指引仪，以及自动油门系统Autopilot,FlightDirector,andAutothrustSystems该文件给出了设计和安装自动驾驶仪，飞行指引和自动油门系统的建议标准。该文件参考的是AC25.1329，具有一定的业内补充说明意义。其中“ModesofOperation操作模态”一节将飞行模态分为水平模态，垂直模态，自动油门模态，这与AC25.1329中分类相同。其中对于自动油门进行了进一步说明，如表1所示，在不同飞行阶段时，自动油门和垂直摸态共同作用来完成相应的飞行任务。表1各飞行阶段自动油门和升降舵控制对象自动飞行工作模态在一次飞行任务执行过程中，会不断采用不同的工作模态以实现不同的飞行任务。飞机上设置哪些自动飞行工作模态相对而言并没有统一的规定，基本的模态包括：姿态保持、航向保持、高度保持、空速保持以及航线保持。对于大型客机，一般从安全、舒适、经济的角度出发，以安全性为首要因素，以实现航线飞行为任务，来确定工作模态。一种工作模态实质上就是一种飞行状态的表现形式。一、自动飞行控制系统的主要模态现主流民机大致将自动飞控模态分为横侧模态（Roll）、俯仰模态（Pitch）以及自动油门（AT）。三种模态下还可根据具体飞行任务划分出各类子模态。表2给出了几种常见民航商用飞机的自动飞行控制系统的主要模态，同时也是一些基本功能。可通过飞行程序的设定实现表中不同的工作模态，再加上正确的逻辑判断即可实现不同工作模态间的切换，从而实现全自动飞行控制。也可以通过MCP对单