第3章硬件冗余架构（一）

3、硬件冗余架构（一）：解析余度的工作原理与表决机制

各位同学，今天我们来聊聊电传飞控里最核心的保命手段——硬件冗余。

说白了，就是“多备份几套”。你想想看，飞机在天上飞，一套飞控电脑要是挂了，那后果不堪设想。所以工程师们想了个笨办法：装两套、三套、甚至四套。一套坏了，另一套顶上。

我刚开始接触飞控时，觉得这有什么难的？多装几套不就完了？后来在项目中踩过坑才明白——冗余不是简单的堆硬件，关键在于怎么让它们“协同工作”，以及当它们意见不一时，听谁的。

双余度，就是两套完全一样的硬件。一套工作，一套热备份。

表决机制也很简单：

⚠ 注意： 双余度最大的坑就在这里。当两套结果不同时，系统只能“傻眼”。我曾在某型无人机上遇到过，两套IMU数据差了0.5度，飞控直接进入安全模式。后来查出来是其中一套的电源纹波过大。

所以双余度一般只用在非关键系统，或者配合自检测（BIT）使用。如果一套自检报错，就信任另一套。但自检本身也有漏检率，你懂的。

三余度是目前民机的主流配置。空客A320、波音737NG都用这个方案。

表决机制是多数表决：三套输出，取两个一致的作为最终结果。

举个例子：

系统会判定A和B一致，采用10.5°。C被标记为故障通道。

  核心优势： 三余度可以容忍一次故障。任意一套坏了，剩下两套还能通过多数表决正常工作。

我个人习惯在三余度系统中，给每个通道加一个“健康状态”标志位。表决时不仅看数值，还要看健康位。如果某通道自检失败，直接将其输出排除在表决之外。这样能避免“带病投票”的情况。

四余度常见于波音777/787这类宽体机。四套电脑同时工作，表决时用中值表决。

中值表决的原理：

举个例子：

通道A: 10.2°
通道B: 10.5°
通道C: 10.3°
通道D: 10.8°

排序后：10.2, 10.3, 10.5, 10.8
去掉最小10.2和最大10.8
取中间两个平均：(10.3 + 10.5) / 2 = 10.4°

💡 经验之谈： 中值表决比多数表决更平滑。多数表决是“非黑即白”，而中值表决能容忍两个通道同时出现偏差。我在某次四余度项目中，遇到过两个通道因温度漂移产生同向偏差，中值表决依然给出了合理结果。

冗余类型	通道数	表决方式	可容忍故障数	典型应用
双余度	2	比较/自检	0（不一致时无法判断）	非关键系统、备份系统
三余度	3	多数表决	1	A320、737NG
四余度	4	中值表决	1~2（视偏差情况）	777、787

嗯，这里要注意一个容易被忽略的点：表决不是简单的数值比较。

实际工程中，我们通常加一个“容忍窗口”。比如两套数据相差在0.1°以内，就认为它们一致。为什么？因为传感器本身有噪声，A/D转换有量化误差，不可能完全一样。

我曾经在调试时遇到过：两套完全正常的传感器，输出差了0.05°，结果系统判定不一致，触发了故障报警。后来加了0.2°的容忍窗口，问题解决。

另外，表决频率也很关键。一般建议在控制律计算周期内完成表决，比如50Hz的控制律，表决要在20ms内完成。如果表决太慢，会导致控制输出延迟，影响飞行品质。

⚠ 避坑指南： 我曾经见过一个项目，表决周期设成了100ms，而控制律周期是20ms。结果每次表决出来的数据都是“过时”的，飞控一直在用旧数据计算，最后试飞时出现了振荡。后来把表决周期改到5ms，问题消失。

下面这张图展示了三种冗余架构的核心逻辑，我建议你仔细看看，尤其是表决路径的差异。

硬件冗余是电传飞控安全性的基石。双余度简单但脆弱，三余度是主流，四余度是高端选择。表决机制上，多数表决适合三余度，中值表决适合四余度。

我个人建议：如果你刚开始设计飞控系统，先从三余度+多数表决入手。这个方案成熟、资料多、调试经验也丰富。等吃透了再考虑四余度。

记住一点：冗余不是越多越好。每多一个通道，就多一份故障概率，也多一份表决逻辑的复杂度。我见过四余度系统因为表决逻辑写得太复杂，反而引入了bug。嗯，这个我们后面章节再细聊。