一、三余度飞控系统概述

1.1 什么是三余度

三余度，说白了就是“三重备份”。

在飞控系统里，我们把关键硬件——比如传感器、计算单元、执行机构——都做成三份。三份同时工作，互相监督，互相投票。

我刚开始接触这个领域时，觉得三份太浪费了。后来在项目中摔过一次无人机，才明白：天上飞的家伙，容不得半点马虎。

三余度的核心逻辑很简单：

• 三个通道同时运行：每个通道独立采集数据、独立解算、独立输出
• 多数表决机制：3取2，只要两个通道一致，就认为结果是正确的
• 故障隔离：一个通道坏了，另外两个继续工作，系统不降级

你想想看，单余度系统一旦出问题，飞机就失控了。双余度呢？两个通道打架时你不知道该信谁。三余度就不同了——少数服从多数，简单粗暴，但极其有效。

1.2 为什么需要三余度

这个问题我问过自己很多遍。单余度不行吗？双余度不够吗？

嗯，咱们掰扯掰扯。

单余度系统：一个传感器坏了，飞控就瞎了。一个CPU死机了，飞机就掉了。这不是“可能出问题”，而是“迟早出问题”。我在项目中见过太多单余度炸机的案例，原因五花八门——焊点虚焊、电源纹波、软件跑飞……

双余度系统：两个通道互相备份，看起来不错。但有个致命问题——当两个通道输出不一致时，系统无法判断哪个是对的。是A坏了？还是B坏了？还是两个都坏了？

我曾经在一个双余度项目中调试了整整两周，最后发现是两个传感器都受了温度影响，同时漂移了。两个通道数据一致，但都是错的。你说可怕不可怕？

三余度系统：三个通道，3取2表决。两个一致就采用，第三个被屏蔽。即使一个通道完全失效，系统依然能正常工作。

为什么是“三”？不是“四”或“五”？

这是工程上的权衡。三余度在可靠性、成本、重量、功耗之间取得了最佳平衡。你想想看，多一个余度，硬件成本增加30%，但可靠性提升可能只有几个百分点。三余度是那个“甜点”。

余度等级	可容忍故障数	可靠性提升	成本增加
单余度	0	基准	基准
双余度	1（但无法判断谁对）	中等	+80%
三余度	1	高	+150%
四余度	2	极高	+220%

1.3 三余度系统的核心设计目标

三余度不是简单地把三个板子焊在一起就完事了。它有三大核心目标：高可靠、高安全、高可用。

1.3.1 高可靠

可靠性的定义很简单：系统在规定条件下、规定时间内，完成规定功能的能力。

对于三余度飞控，可靠性指标通常用MTBF（平均无故障时间）来衡量。单余度系统的MTBF可能是1万小时，三余度系统可以做到10万小时以上。

怎么做到的？

• 硬件冗余：三个通道独立供电、独立时钟、独立通信
• 软件冗余：三个通道运行相同的算法，但代码实现可以不同（防止软件bug导致共因故障）
• 数据冗余：每个传感器数据都经过三份采集、三份校验

我个人习惯在设计时给每个通道加上独立的看门狗。一个通道死机了，看门狗复位它，另外两个通道继续工作。整个过程对飞控上层完全透明。

1.3.2 高安全

安全和可靠是两码事。可靠是“不出错”，安全是“出错也不出事”。

三余度系统的安全设计体现在：

• 故障容错：单个故障不影响系统功能
• 故障隔离：一个通道的故障不会扩散到其他通道
• 故障指示：系统能准确报告哪个通道出了问题

我记得有一次，一个通道的电源模块短路了。如果是单余度系统，整个飞控就挂了。但三余度系统里，那个通道的电源保险丝熔断，自动切断了故障通道。另外两个通道继续工作，飞机安全返航。

1.3.3 高可用

可用性关注的是系统“能用的时间比例”。

对于飞控系统，可用性通常要求达到99.999%（五个九）。这意味着一年停机时间不超过5分钟。

三余度系统如何实现高可用？

• 热备份：三个通道同时运行，任何一个通道故障，系统立即切换，无感知
• 在线维护：故障通道可以在飞行中复位或重启，不影响系统运行
• 降级运行：即使两个通道都故障了（概率极低），系统还能以单通道模式安全降落

你想想看，一架民航客机在天上飞了10个小时，如果飞控系统需要重启，那后果不堪设想。三余度保证了系统“永远在线”。

1.4 三余度系统的知识体系

下面这张图是我自己总结的三余度飞控系统知识体系。它涵盖了从硬件架构到软件设计，从表决机制到故障管理的完整链路。

这张图把三余度系统的核心要素串起来了。从上往下看：

• 顶层是三大设计目标——高可靠、高安全、高可用
• 中间层是实现手段——硬件、软件、数据三重冗余
• 底层是关键支撑技术——表决、检测、隔离、同步

我个人习惯在设计之初就把这张图贴在墙上。每次做决策时，问自己三个问题：这个设计提升了可靠性吗？增强了安全性吗？保证了可用性吗？如果答案都是“是”，那就对了。

---

公众号:蓝海资料掘金营，微信deep3321