第2章：姿态传感器冗余架构
各位同学，今天我们来聊聊三余度IMU的设计。说实话，这个主题我讲了十几年，每次都有新体会。姿态传感器是飞控系统的眼睛，眼睛出了问题，飞机就危险了。所以冗余设计不是选择题，而是必答题。
2.1 三余度惯性测量单元(IMU)设计
三余度，说白了就是装三套IMU。但这不是简单的1+1+1，而是有讲究的。我个人习惯把这三套IMU称为A、B、C通道。它们之间要满足几个硬性条件：
- 物理隔离：三个IMU不能挨在一起。我在项目中遇到过，某次振动测试把三块板子装得太近，结果一个共振全挂了。后来我们强制要求间距至少5cm，并且用减震支架隔开。
- 电气隔离：电源、地线、信号线都要独立。你想想看，如果共用一个电源，一个短路三个全烧，那还要冗余干嘛？
- 时钟同步：三个IMU的采样时间必须对齐。我建议用独立的时钟源，或者用GPS的PPS信号做同步基准。
嗯，这里要注意一个细节：三余度不是简单的三选一。真正的设计是让三个IMU同时工作，数据实时比对。我见过一些设计，平时只用一个IMU，出故障了才切换。这种做法其实很危险——你怎么知道备用的那个是好的？
核心原则：三余度IMU必须同时在线，持续输出数据。任何时刻，系统都能看到三个独立的数据流。
2.2 传感器投票机制
有了三组数据，接下来就是投票。投票机制听起来简单，但坑很多。我最早做投票算法时，就犯过一个低级错误——直接取平均值。结果呢？一个传感器漂移了，平均值也跟着漂，飞机差点翻过去。
正确的做法是：
- 中值投票法：三个数据排序，取中间那个。这个方法简单粗暴，但很有效。它能自动剔除一个异常值。
- 加权投票法：根据每个传感器的历史可靠性，给不同的权重。比如A通道最近表现好，权重0.4；B通道0.3；C通道0.3。这个方法更精细，但需要维护权重表。
- 一致性投票法：两两比较差值。如果A和B的差值小于阈值，而C和它们差很多，那就用A和B的平均值。
我个人最推荐第三种。为什么？因为它在投票的同时，还能做故障检测。我曾经在一个项目中，用一致性投票法成功识别出C通道的间歇性故障——那个故障很隐蔽，每10分钟才跳一次，但投票机制每次都能把它揪出来。
避坑指南：投票阈值不能设得太死。我曾经把阈值设成0.1度，结果正常飞行时因为振动，三个传感器经常互相投票出局。后来我改成动态阈值——根据当前飞行状态自动调整。比如巡航时用0.5度，机动时放宽到2度。
2.3 故障检测与隔离(FDI)策略
FDI是冗余架构的灵魂。投票只是治标，FDI才是治本。一个完整的FDI策略包含三个步骤：
| 步骤 | 方法 | 说明 |
|---|---|---|
| 故障检测 | 残差分析法 | 计算每个传感器与模型预测值的差值 |
| 故障识别 | 奇偶方程法 | 通过矩阵运算定位具体哪个通道出问题 |
| 故障隔离 | 通道切除 | 将故障通道从投票列表中移除 |
这里我重点讲讲残差分析法。说白了，就是建立一个数学模型，预测当前姿态应该是什么值。然后拿三个传感器的实际值和预测值对比。差值超过阈值，就认为有故障。
模型怎么建？我建议用卡尔曼滤波器。它不仅能预测，还能给出预测的不确定性。举个例子：
// 简化的残差计算伪代码
for each IMU channel:
predicted = kalman_filter.predict()
residual = abs(IMU_data - predicted)
if residual > threshold * kalman_filter.covariance:
mark_as_fault(channel)
你可能会问：模型本身会不会出错？会的。所以真正的FDI系统，会用三个模型互相校验。每个模型用两个传感器的数据训练，然后用第三个传感器做验证。这样即使一个模型漂了，另外两个还能兜底。
警告：故障隔离后，系统会降级为双余度。这时候要特别注意：双余度下如果两个传感器数据不一致，系统无法投票。我建议此时立即触发安全模式，比如切换到备份航向，或者通知飞行员手动接管。
2.4 实战经验总结
做了这么多年，我总结了几条铁律：
- 不要相信任何单一传感器。哪怕它看起来再正常，也要和其他通道比对。
- 故障检测要快。我见过一个设计，故障检测周期是100ms。结果飞机在50ms内就翻了。后来我们强制要求检测周期不超过10ms。
- 隔离要彻底。故障通道不仅要移除数据，还要切断它的电源和通信。防止它干扰其他通道。
最后说一句：三余度IMU不是万能的。它只能应对传感器本身的故障。如果三个传感器都受到同样的环境影响（比如温度、振动），那冗余也没用。所以，物理隔离和环境防护同样重要。嗯，这个我们下一章再细聊。