飞控计算机余度架构设计

飞控计算机余度架构设计

0高生存力飞行控制系统冗余架构根据无人机航空控制系统的可靠性和容错性要求，研究了高生存能力航空控制网络系统的冗余结构方法，以保持飞机的可靠飞行。目前国内机载计算机的平均无故障间隔时间大约为105h,而通常民用飞机的FCC失效概率要求低于10-10/飞行小时,军用飞机也要求低于10-7/飞行小时。为了实现FCC任务高可靠性指标,普遍采用的方法是采用多余度体系架构。1可靠性分析方法余度技术(RedundantTechnique)也称为冗余技术或容错技术,是通过为控制系统添加多重资源(硬件或软件)并通过合理的管理,从而提高系统可靠性的方法。无人机对飞控计算机系统的可靠性有特殊的要求,因此对有较高可靠性要求的飞控计算机系统,多余度冗余架构设计是保证无人机飞行安全及任务能力的有效方法。定性来看,提高独立通道数量可以降低飞控系统失效概率。在进行余度设计之前,要以满足任务可靠性和安全性定量指标为基础,以最少的通道余度数量和复杂性为原则,制定出容错能力的基本准则。过高的容错能力反而降低系统的基本可靠性,提高开发和维护难度,并造成全寿命周期费用的增加。根据MIL-F-9490D对余度的定义:余度是需要出现两种或两种以上的独立故障状态,而不是一个单独故障情况下,才有可能引发既定的有损害后果的设计方法。采用两套或两套以上的部件,分系统或者通道每个都可以单独完成给定的工作任务。余度设计需引入监控系统,以检测出各个通道的状态,完成故障的定位、隔离和控制通道的切换。国内外有很多可靠性分析方法用于对多余度架构系统进行可靠性分析,如故障树分析法、Petri网络图分析法、蒙特卡罗仿真分析法、全概率分解法等,也开发了较为成熟的可靠性分析软件,如RelexStudI/O,ITEM,BlockSim等。对于三余度飞控计算机架构的可靠性这一特定问题,如果重点关注余度通道切换过程分析及多通道状态组合转换,那么马尔可夫过程分析方法是较为合适的。文献利用该方法对四余度飞控系统进行了可靠性分析,其重点在于验证其架构的可行性,但未就影响整体可靠性的因素进行深入探讨。文献对民机控制系统进行了可靠性分析,其重点在于电传操纵系统的整体可靠性分布。本文提出一种飞控计算机三余度架构设计,并利用马尔可夫方法对影响其多余度飞控计算机可靠性的因素进行了重点分析。2余度技术和可靠性分析的简要介绍2.1飞控系统软件设计三余度飞控计算机有3个独立的控制通道A,B,C及余度管理模块组成。每个单独的飞控通道之间有CCDL交叉数据链路实现数据共享。飞控计算机通过GJB1553B总线与其它机载计算机或设备进行通信。飞控计算机硬件总体框架如图1所示。飞控计算机各功能部件设计如下:(1)主控模块。主控模块是飞控独立通道的数据处理和计算工作的核心部件。针对国内航空领域的设计要求和技术现状,可采用PowerPC7410处理器作为核心处理元件,在VxWorks嵌入式操作系统环境下开发运行多任务飞控应用软件。(2)I/O模块。I/O模块是飞控独立通道对外的数据接口模块,负责采集机载传感器系统的数据。按照采集信号的类型,I/O模块可搭载AD/DA/DI/DO/RS422/232/429等各类数据采集芯片。(3)cPCI并行总线。cPCI通过板间共享内存空间的方式,实现独立计算机内部板间数据的通信和共享。(4)电源及背板。电源及背板是飞控计算机安全可靠的基础。电源应配有大容量电容,具有稳压、继电和断电保护能力。背板搭载统一电气标准的矩形电连接器接口组件和cPCI总线链路,实现独立计算机内部主控模块和I/O模块的可靠通信。(5)通道之间的交叉数据通信使用双口RAM来实现,各通道计算机通过硬件电路中的双口RAM进行数据交换。每一个通道向其他通道传输数据就如同向内存中写数据一样。这样既提高了可靠性,软件上操作也简单。在每一周期内各通道计算机将各自的输入数据封装在自己的CCDL数据包中,然后写入两边的双口RAM中,同时读取另外两台计算机的CCDL数据包后进行数据比较监控。(6)余度管理模块。余度管理模块接收3个独立飞控计算机的舵机指令,并实时监控各飞控计算机的状态,经过表决和状态排除算法,选择正确的舵机控制指令作为飞控计算机系统的最终输出。飞控计算机的最终舵机控制指令发送到舵机伺服作动系统,控制舵机完成舵面动作控制以控制飞机本体的导航和姿态。机载传感器系统实时采集飞机的导航和姿态信息,并将之发送给飞控计算机,从而实现整个飞控系统的闭环控制。2.2通道同步与比较技术三余度飞控计算机的各个控制通道独立运行相似的飞控软件,其软件协同工作流程如图2所示。这里着重描述两个较为关键的技术。(1)同步技术。为保证通道之间数据采集和比较的同步性能,需在通道间设置定时中断源,统一协调3个飞控通道的同步运行。利用VxWorks的任务挂起和唤醒机制,可在定时中断服务程序中运行SemGive()释放信号量,从而在各飞控通道同步唤醒本周期的任务。在本周期任务完成输出步骤之后,飞控任务挂起,运行SemTake()等待下一周期同步中断。(2)交叉比较技术。飞控各通道之间通过CCDL交叉链路实现通道之间数据的共享。从通信内容上说,通道间的数据比对可分为原始采集数据的比对和舵机控制指令的比对。由于飞控计算机采用同步技术,可以认为正常情况下,统一周期各飞控计算机所采集的原始数据应是接近(模拟量)或相同(数字量)的,因此,可在获得其他通道原始数据之后进行数据的比对和分析,从而确定本通道的采集数据是否异常。各通道的舵机控制指令也需要进行通道间的比对,以保证对错误舵机控制指令的及时隔离。2.3控制多路数据输出余度管理模块的运行完全独立于飞控各独立通道。飞控各通道将全系统的工作状态以三路DO方式发送给余度管理模块,余度管理模块可利用CPLD作为表决器生成最终表决信号,控制多路选择开关将舵机控制信号入口连接到适合的飞控输出通道。一种典型的余度管理模块硬件框架如图3所示。3可靠性建模和分析3.1算法的基本思想分析系统的可靠性,首先要建立系统的可靠性模型。本文提出的三通道热备份飞控系统可以看作一个简单的不可维修并联结构,某一通道出现一次故障则将为二余度系统,两个通道出现故障则降级为单通道系统,系统仍可持续运行,直至三通道均出现故障才失效。在一个随机过程中,如果由一种状态转移到另一种状态的转移概率只与当前状态相关,而与之前的状态无关,则此过程可称为马尔可夫过程,其行为和特性可用马尔可夫模型来描述。对于本文讨论的平行三余度飞控计算机系统设计方案,可以认为,其正常和故障的状态转换机制无时间项,因此非常适用于用马尔科夫模型进行冗余结构可靠性和安全性分析。对三余度飞控计算机的可靠性模型作如下简化:(1)余度管理模块作为飞控计算机余度切换的核心,相对于3个独立的飞控通道,可认为其失效概率为小量,即不考虑余度管理模块的失效概率。(2)3个独立的飞控通道一旦发生故障,如不立刻隔离,将立刻引发危险。(3)3个独立的飞控通道故障检测覆盖率均为c,失效率相同且为大于零的常数λ。(4)保守认为,任何独立通道一旦出现一级故障就不可逆转,且会导致危险指令输出。3.2马尔可夫模型状态可靠度方程描述用枚举变量X(t)表示三通道飞控计算机的状态,X(t)定义如式(1)所示。以X(t)为模型变元,得到马尔可夫状态转移如图4所示。根据系统转移特征,可以得到马尔可夫模型状态可靠度方程描述,如式(2)所示:式中:Pi(t)表征t时刻系统所处状态i的概率,Pi(t+Δt)表征t+Δt时刻系统所处状态i的概率,求其导数即式(3):可得状态转移概率变化率方程描述如式(4)代入初始条件P0(t)=1,其他状态Pi(t)=0,并进行拉普拉斯变换得式(5):联立求解式(6)方程组,并进行拉普拉斯反变换,最终求得各种有效状态的概率如式(6)所示:将各种有效状态的可靠度累加,得到有效状态的概率如式(7)。3.3故障覆盖率对稳定性的影响根据式(7),分析故障覆盖率c和器件失效率λ对系统整体可靠度的影响。根据可查的参考文献,目前国内的器件失效率大致在10-6~10-5。本文假定失效率λ=1×10-6,虽然此数据不能代表国内器件失效率的真实水平,但是作为系统可靠性分析的假定数据,是可行的。故障覆盖率一方面取决于硬件设计结构,另一方面取决于飞控软件的设计水平,因此,对于不同的软硬件架构,故障覆盖率c变动较大。通过调整故障覆盖率c,观察其对系统整体可靠性的影响,如图5所示。可以看到,故障覆盖率c直接影响三余度飞控系统的整体可靠性,在飞控通道失效率受到技术、工艺及成本限制而无法降低时,提高故障检测覆盖率c能够有效地提高整个飞控计算机系统的安全性能。本文计算所用的失效率λ指作为一个单独通道的整体失效概率,与单独器件的失效率不同。失效率λ由器件可靠性、软硬件架构设计方式和使用环境等因素决定,作为一个统计指标,反映了飞控计算机单独通道的可靠性能。失效率λ的大小直接关系到飞控计算机系统的整体可靠性,当失效率超过一定阈值时,飞控计算机的整体可靠性将快速下降,对于本文所给出的系统,此阈值在2.0×10-6附近,如图6所示。从图7可以看到,本文所给出的三余度飞控计算机架构,在故障覆