一、双余度飞控系统概述

大家好，我是老张。干飞控系统这行快十五年了。今天咱们聊聊双余度飞控系统。说实话，刚入行那会儿，我对余度的理解也很浅，觉得不就是多备一套嘛。直到有一次在试飞现场，亲眼看着主飞控突然死机，备份瞬间接管，飞机稳稳落地——那一刻我才真正明白，余度设计不是锦上添花，是保命用的。

1.1 什么是双余度

双余度，说白了就是关键部件准备两套。一套在工作，另一套在待命。主系统挂了，备份立刻顶上。

我习惯这么跟新人讲：你开车上班，备胎就是余度。爆胎了，换上备胎还能走。但飞控系统比这复杂得多——切换时间得在毫秒级，而且不能让人感觉到任何异常。

双余度的核心指标有三个：

• 故障覆盖率——能检测到多少种故障
• 切换时间——从故障发生到备份接管的时间
• 降级能力——单通道工作时还能完成多少任务

1.2 为什么需要双余度

你想想看，一架民航客机在天上飞，发动机停了还能滑翔一段。但飞控系统要是彻底失效呢？

我参与过一个无人机项目，单余度配置。试飞时飞控板上的电源芯片烧了，飞机直接失控坠毁。幸好是在无人区，没伤到人。从那以后，我经手的项目，飞控系统至少双余度起步。

需要双余度的原因其实就三条：

1. 安全性要求——民用航空要求灾难性故障概率低于10⁻⁹/飞行小时。单通道根本达不到。
2. 任务可靠性——军用无人机飞着飞着丢了，那可不是小事。双余度能保证单点故障后任务继续。
3. 可维护性——双余度系统可以在线更换故障模块，不用停机。这一点在长航时飞行中特别重要。

1.3 双余度架构分类

双余度不是只有一种玩法。根据备份通道的工作状态，分三类：冷备、热备、温备。我一个个说。

类型	备份状态	切换时间	功耗	典型应用
冷备	完全断电	秒级	低	非关键系统
温备	加电但不参与控制	毫秒级	中	工业控制
热备	全状态同步	微秒级	高	航空飞控

冷备（Cold Standby）

备份通道完全断电，不消耗任何资源。主通道挂了，人工或自动给备份上电，加载程序，然后接管。切换时间通常在秒级甚至更长。

嗯，这里要注意：冷备的故障检测只能靠主通道自检或者外部看门狗。我曾经在一个地面站项目里用过冷备，结果主控板挂了，备份上电后初始化花了三秒，操作员差点骂娘。所以冷备只适合对切换时间不敏感的系统。

温备（Warm Standby）

备份通道加电运行，但不输出控制信号。它会同步主通道的关键状态数据，但自身不参与闭环控制。切换时只需要把输出使能打开就行。

我建议在工业级飞控中用温备。功耗比热备低，切换时间又能接受。之前做的一个测绘无人机，用的就是温备方案，切换时间控制在50ms以内，飞手根本感觉不到。

热备（Hot Standby）

两个通道同时运行，同时计算，同时输出。但只有主通道的输出被选通。备份通道的输出被隔离。切换时，只需要切换选通信号。

热备的切换时间最短，能做到微秒级。但代价也最大——两个通道的功耗、散热、同步都是问题。民航客机的飞控系统基本都是热备。我记得空客A320的飞控就是三余度热备，那设计复杂度，啧啧。

1.4 典型飞控系统架构

说了这么多理论，咱们看看实际的双余度飞控长什么样。下面这张图是我手绘的一个典型架构，你一看就明白了。

这个架构图里，我特意把交叉监控链路标红了。这是双余度系统里最容易出问题的地方。两个通道之间要交换心跳信号、状态信息、计算结果。如果交叉链路本身不可靠，那余度反而成了隐患。

实际项目中，我一般这样分配：

• 传感器层：IMU和GPS各两套，分别接入两个飞控通道。注意，传感器不能共用总线，否则总线挂了全完蛋。
• 飞控计算机层：两个通道独立供电、独立时钟、独立PCB。我习惯让通道A和通道B的PCB布局镜像对称，这样散热和电磁兼容性都好处理。
• 输出切换层：用硬件选通逻辑，不用软件。软件会死机，硬件不会。我吃过这个亏，后来所有项目都改成硬件表决了。
• 执行机构层：舵机可以双余度，也可以单余度。看安全等级要求。我做过一个项目，副翼舵机是双余度的，方向舵是单余度的——因为方向舵失效的概率本来就低。

好了，第一章就聊到这儿。双余度飞控的核心思想其实就八个字：冗余设计，故障隔离。后面几章咱们会深入讲故障注入的具体方法，包括怎么模拟传感器故障、怎么测试切换逻辑、怎么验证故障覆盖率。这些东西，都是我在项目里踩坑踩出来的经验，希望能帮你少走弯路。

---

公众号:蓝海资料掘金营，微信deep3321