4. 被动容错控制：鲁棒控制基础、H∞控制在容错中的应用、被动容控的局限性

各位同学，咱们今天聊一个很实在的话题——被动容错控制。

说实话，我刚入行那会儿，对“被动”这两个字是有偏见的。总觉得被动就是消极，不如主动来得高级。后来在项目里摔过几次跟头，才明白被动容错有它不可替代的价值。

什么叫被动容错？说白了，就是在设计控制器的时候，就把可能发生的故障考虑进去。不管系统出不出问题，控制器本身就有一定的“免疫力”。它不需要故障检测模块，也不需要在线重构，靠的是控制器自身的鲁棒性来扛住故障。

4.1 鲁棒控制基础

鲁棒性，英文叫Robustness。你想想看，一个飞控系统在天上飞，风在变、重心在变、甚至舵面效率也在变。如果控制器对这些变化太敏感，那肯定不行。

鲁棒控制的核心思想就是：让系统在不确定性面前依然稳定，且性能不严重下降。

我在项目中遇到过这样一个情况：某型无人机，正常飞行时PID调得特别好。但有一次，副翼被冰雹砸了个小坑，气动效率下降了大概15%。结果PID直接开始震荡，差点炸机。这就是鲁棒性不足的表现。

鲁棒控制里，我们通常把不确定性分为两类：

• 结构不确定性：比如模型参数摄动、未建模动态
• 非结构不确定性：比如高频噪声、外部扰动

处理这些不确定性，经典的方法有：

• 小增益定理：保证系统稳定的充分条件
• μ分析：结构奇异值方法，处理参数摄动很有效
• H∞控制：这个我们下面重点讲

4.2 H∞控制在容错中的应用

H∞控制，名字听起来挺吓人，其实本质很简单——把干扰到输出的传递函数的H∞范数压到最小。

H∞范数是什么？就是系统频率响应的峰值增益。你把它压低了，就意味着不管干扰从哪个频率进来，系统都能把它衰减掉。

在容错场景下，我们把执行器故障建模成一种“等效干扰”。比如舵面卡死，相当于在控制输入端叠加了一个未知的偏置力矩。H∞控制器会主动去抑制这个“干扰”的影响。

我记得有一次做固定翼的舵面故障仿真。左副翼卡在+5度，正常PID控制下，飞机滚转失控。但换上H∞控制器后，虽然滚转响应变慢了，但飞机依然可控。这就是H∞的容错能力。

下面是一个简化的H∞控制器设计流程：

% 定义系统模型（含不确定性）
G = ss(A, B, C, D);

% 加权函数选择
W1 = makeweight(0.1, 10, 100);  % 性能加权
W2 = makeweight(0.01, 1, 100);  % 控制输入加权

% 增广系统
P = augw(G, W1, W2);

% 求解H∞控制器
[K, CL, gamma] = hinfsyn(P, 1, 1);

% gamma < 1 表示满足设计要求
disp(['H∞性能指标: ', num2str(gamma)]);

H∞控制在容错中的优势很明显：

• 不需要故障检测：省去了故障诊断的延迟和误报风险
• 理论成熟：有完整的数学框架支撑
• 工程可落地：很多商业软件（如MATLAB）都支持

4.3 被动容控的局限性

嗯，这里要泼点冷水了。被动容错虽然好，但不是万能的。

第一个局限：保守性

被动容错控制器要覆盖所有可能的故障情况，所以设计时往往留了很大的余量。这就导致正常工况下，系统性能不是最优的。说白了，就是“为了防万一，牺牲了平时”。

我曾经在一个项目中，为了覆盖舵面完全失效的情况，把H∞控制器的带宽压得很低。结果正常飞行时，响应慢得像老牛拉车。飞行员反馈说“这飞机开起来像在泥里游泳”。

第二个局限：故障类型有限

被动容错能处理的，通常是参数摄动、部分效率损失这类“温和”的故障。对于舵面完全卡死、传感器彻底失效这种硬故障，被动容错往往力不从心。

第三个局限：设计复杂度高

你要把所有可能的故障模式都建模到不确定性里，这本身就是一个大工程。而且不确定性描述得越精确，控制器设计就越复杂。有时候算出来的控制器阶数高得吓人，根本没法在嵌入式平台上跑。

4.4 本章知识体系

下面这张图，是我自己总结的被动容错控制的知识框架。你可以把它当作一个思维导图来看：

4.5 小结

被动容错控制，说白了就是“以不变应万变”。它不需要在线诊断，不需要重构逻辑，靠的是控制器自身的鲁棒性来扛住故障。

它的优点是简单可靠，缺点是保守且适用范围有限。我个人建议，在项目初期可以先做一个被动容错控制器作为“保底方案”，然后再考虑是否需要加入主动容错来提升性能。

最后说一句：做飞控，安全永远是第一位的。被动容错虽然不完美，但它是你最后一道防线。别轻视它。

---

公众号:蓝海资料掘金营，微信deep3321