课程导论：为什么需要多传感器冗余？
各位同学，大家好。我是你们这门课的主讲人。在飞控这个圈子里摸爬滚打了十几年，从最早的四旋翼玩具做到现在的工业级无人机和自动驾驶平台，我踩过的坑，可能比你们走过的路还多（笑）。今天咱们开篇第一讲，不聊虚的，就聊一个最根本的问题：为什么你的飞机或者车子，必须要有“备份”的传感器？
说白了，就是一句话：单一传感器，靠不住。
你想想看，如果你开车时，眼睛突然被蒙住了，你敢继续开吗？肯定不敢。飞行器也是一样。GPS信号被干扰了、IMU（惯性测量单元）突然漂移了、气压计被堵住了……任何一个环节出问题，在300米高空，留给你的反应时间可能只有几秒钟。我见过太多因为传感器故障导致的炸机事故，有些甚至是在实验室里调试时发生的。嗯，这里要注意，“安全”不是靠祈祷得来的，是靠冗余设计堆出来的。
自主飞行系统的“阿喀琉斯之踵”
我们先来看看，一个典型的自主飞行系统，到底在怕什么？
我个人习惯把飞控系统的可靠性挑战归纳为三类：
- 物理损坏： 传感器本身坏了。比如摔机、震动导致焊点脱落、或者就是单纯的电子元器件老化。这属于“硬伤”。
- 环境干扰： 外部环境让传感器“看错”或“算错”。比如强磁场干扰磁罗盘、多路径效应让GPS定位飘忽不定、强光让视觉摄像头过曝。这属于“软伤”。
- 逻辑错误： 传感器没坏，环境也没问题，但算法本身有bug，或者状态估计器（比如卡尔曼滤波器）发散。这属于“内伤”。
我在项目中遇到过最典型的一个案例：一架测绘无人机，在飞过一片高压输电线塔时，磁罗盘读数瞬间跳变了几十度。飞控以为飞机在急转弯，立刻给出了反向的修正指令。结果呢？飞机直接螺旋下坠。事后分析，磁罗盘本身没坏，但那个位置的磁场畸变太严重了。如果当时有第二套独立的航向参考（比如双天线GPS或者视觉光流），这个悲剧完全可以避免。
冗余的本质：从“单点故障”到“系统容错”
那什么是冗余？不是简单地堆料，把两个一样的传感器焊上去就完事了。那叫“并联”，不叫“冗余”。
真正的冗余，是异构和独立。
- 异构： 用不同原理的传感器测量同一个物理量。比如测高度，你可以用GPS（卫星定位）、气压计（大气压）、激光雷达（直接测距）、视觉（立体匹配）。它们原理不同，同时出错的概率极低。
- 独立： 每个传感器有自己的电源、自己的通信总线、甚至自己的处理器。这样即使一个模块短路烧了，也不会影响另一个。
你想想看，为什么大型客机（比如空客A380）要用三套甚至四套独立的飞控计算机？因为要保证在任何单点故障下，系统都能继续安全飞行。这就是所谓的“Fail-Operational”（故障后继续运行），而不是仅仅“Fail-Safe”（故障后安全停机）。
对于无人机和自动驾驶汽车来说，我们追求的也是“Fail-Operational”。因为在天上，没有“靠边停车”这个选项。
一张图看懂：多传感器冗余的核心逻辑
为了让大家更直观地理解，我画了一张图。这张图是我在给团队做培训时反复用的，它清晰地展示了从“原始数据”到“最终控制指令”的冗余与故障切换路径。
这张图里，大家重点关注中间那个“传感器健康管理”模块。它就像一个“裁判”，实时盯着每一个传感器的“表现”。一旦发现某个传感器数据异常（比如GPS突然跳了10米，或者IMU的加速度计读数超过了物理极限），它会立刻标记这个传感器为“不可信”。然后，下游的“状态估计器”就会自动忽略这个坏数据，只用剩下的好传感器来解算位置和姿态。
可靠性挑战：数字背后的残酷现实
我们来看一组数据。这是我在整理行业事故报告时总结的，关于无人机和自动驾驶系统传感器故障的统计。
| 故障类型 | 占比 | 典型后果 | 冗余设计对策 |
|---|---|---|---|
| GPS 信号丢失/干扰 | 35% | 位置漂移、无法悬停、失控 | 视觉/激光里程计辅助、双天线GPS |
| IMU 零偏漂移/饱和 | 25% | 姿态发散、剧烈震荡 | 双IMU冗余、基于模型的故障检测 |
| 磁罗盘干扰 | 20% | 航向错误、画圈飞行 | 双罗盘、GPS航向、视觉航向 |
| 气压计/空速管堵塞 | 10% | 高度失控、爬升/下降异常 | 雷达高度计、视觉高度、GPS高度 |
| 其他（通信、电源等） | 10% | 各种异常 | 独立电源、独立总线 |
看到没有？GPS和IMU的问题加起来占了60%。这也是为什么几乎所有工业级飞控，都会在这两个传感器上做“双重甚至三重冗余”。
我记得有一次在给一个客户做Pixhawk的定制飞控，他们要求只用单IMU。我反复建议加一个备份，但客户为了省200块钱成本，拒绝了。结果在试飞时，IMU因为温度过高导致零偏漂移，飞机在降落时直接侧翻。修飞机的钱，够买100个IMU了。嗯，这就是典型的“省小钱，亏大钱”。
故障切换：不是“切”了就完事了
很多新手以为，故障切换就是“A坏了，切到B”。哪有那么简单？
真正的故障切换，需要考虑三个问题：
- 怎么检测到故障？ 是超时没收到数据？还是数据超出了物理范围？还是数据与其他传感器不一致？这需要一套复杂的“表决逻辑”。
- 切换的瞬间，系统会抖吗？ 如果直接硬切换，状态估计器的输出可能会跳变，导致控制量突变，飞机猛地一抖。这需要“无扰切换”技术，说白了就是让切换前后的输出平滑过渡。
- 切过去之后，怎么回来？ 如果只是临时干扰，干扰消失后，系统应该能自动恢复。但如果传感器真的坏了，就不能再切回来。这需要“健康状态管理”机制。
好了，这一讲的内容就到这里。我们花了些篇幅，把“为什么需要冗余”这个问题讲透了。从物理损坏、环境干扰到逻辑错误，从异构独立到故障切换的细节，这些都是后续课程的基础。记住，安全不是一种功能，而是一种设计哲学。