第3章包线保护系统架构

3、包线保护系统架构：传感器层、决策层、执行层，三层架构详解。

做飞控这么多年，我越来越觉得，包线保护系统就像飞机的“免疫系统”。平时它安安静静地待着，你甚至感觉不到它的存在。可一旦飞机状态出了格，它必须瞬间介入，把飞机从危险边缘拉回来。

这套系统怎么设计的？说白了，就是三个层次各司其职。我习惯把它们叫做：传感器层（感知）、决策层（判断）、执行层（动作）。今天咱们就一层一层剥开来看。

核心观点：三层架构的核心思想是“解耦”。每一层只干自己那点事，不越界。这样设计，系统才够健壮，也方便调试和排故。

传感器层是系统的“眼睛”和“耳朵”。它的任务只有一个：把物理世界的状态，变成数字信号。

你想想看，飞机当前飞多快？高度多少？迎角多大？这些数据，全得靠传感器层来提供。

我个人在项目中，最常用的传感器包括：

我曾经在一个项目中遇到过迎角传感器安装位置偏差的问题。传感器装在机头侧面，结果在大侧滑飞行时，测量值比实际迎角大了整整5度。决策层收到这个错误数据，差点在正常飞行时就触发了失速保护。那次之后，我对传感器安装位置和校准就格外上心。

避坑指南：传感器层必须做“余度管理”。我一般至少用3个同类传感器做表决。2个数据一致，第3个不一致，那就取前两个的平均值。这叫“多数表决”。

决策层是系统的“大脑”。它接收传感器层的数据，然后问自己一个问题：“飞机现在安全吗？”

怎么判断？靠的是包线边界模型。说白了，就是一组数学公式和逻辑规则。

举个例子，失速保护。决策层会实时计算当前迎角与失速迎角的差值。如果差值小于某个阈值，比如5度，系统就进入“预警状态”。如果差值继续缩小到2度，那就直接触发保护动作。

我习惯把决策逻辑分成两类：

这里有个关键点：决策层必须考虑传感器数据的质量。如果某个传感器数据明显异常（比如空速管堵塞导致空速骤降），决策层不能盲目相信它。我一般会在决策层里加一个“数据有效性检查”模块。数据不合格，直接丢弃，用其他余度数据替代。

警告：决策层最怕“误触发”。一次错误的保护动作，可能比不保护更危险。比如在低空低速时，错误地触发俯冲保护，可能导致飞机撞地。所以，决策逻辑必须经过充分的仿真和试飞验证。

执行层是系统的“手脚”。决策层下了命令，执行层得把它变成实实在在的舵面偏转、油门变化。

执行层通常包括：

执行层有个特点：它必须快。决策层判断出危险，执行层必须在几十毫秒内完成动作。否则，飞机可能已经越过边界了。

我记得有一次调试，发现执行层响应慢了200毫秒。原因出在舵机控制器的PID参数上。积分项太大，导致响应滞后。调整参数后，响应时间从250毫秒降到了50毫秒。嗯，这个教训告诉我，执行层的性能调优，不能只看舵机本身，还得看整个控制链路。

关键设计原则：执行层必须支持“手动超控”。飞行员在任何时候，都应该有能力通过更大的力或开关，解除自动保护。这是安全飞行的底线。

这三层不是孤立的。它们通过数据总线（比如ARINC 429、CAN总线）连接在一起。传感器层发布数据，决策层订阅数据，执行层接收命令。

我画了一张图，帮你理解它们的关系：

从图里你能看到，数据从传感器层向上流，命令从决策层向下流。每一层都只和相邻层打交道。这种设计，让系统变得非常清晰。哪一层出了问题，直接定位那一层就行，不用满世界找原因。

个人经验：我在做系统集成测试时，会单独测试每一层。先给传感器层注入模拟数据，看决策层能不能正确判断。再给执行层发送模拟命令，看舵面能不能正确偏转。三层都测通了，再联调。这样效率最高。

咱们拿“俯冲拉起保护”来走一遍流程。假设飞机正在俯冲，空速越来越大，高度越来越低。

你看，整个过程一气呵成。从传感器发现问题，到决策层做出判断，再到执行层完成动作，通常只需要几百毫秒。

好了，三层架构就讲到这里。记住这个框架，后面咱们讲具体保护功能的实现时，都会回到这个架构上来。