一种电传飞行备份控制系统及其启动方法与流程

1.本发明涉及飞行器领域，尤其涉及一种电传飞行备份控制系统及其启动方法。


背景技术：

2.飞控系统是飞行器上的复杂关键系统，对于飞行器安全至关重要。根据适航条款25.1309要求，单个失效无论概率大小不能导致灾难性后果。对于采用硬件冗余的电传飞控系统，如果存在同时导致主控系统和冗余系统无法正常工作的故障，可能导致整个飞控系统失效，即发生共模问题。共模问题会破坏冗余架构的独立性，因此，必须关注由于共模问题可能导致飞控系统失效的安全隐患。对于当前主流的飞机电传飞控系统，对共模对象进行备份是解决共模问题的一种有效措施。
3.在第一种备份方案中，可采用水平安定面配平作动器控制水平安定面、ema控制两对扰流板的电备份方式。在第二种备份方案中，可采用副翼电备份，升降舵和方向舵液压作动器采用模拟线的备份方案，并且可选地采用双体系结构（2h/2e），从而具备独立的备份电源和控制模块。
4.第一种备份方案本质上是一种终极备份，更为简洁，然而备份能力较弱，仅具备短暂控制能力以等待飞控系统恢复。第二种备份方案具备持续安全飞行和着陆的能力，然而采用了复杂的余度配置和故障重构逻辑。
5.因此，本领域需要一种改进的电传飞行备份控制系统及其启动方法。


技术实现要素：

6.本发明提出了一种基于冷备份的电传飞行备份控制系统的启动方案。本发明在主控通道的基础上增加了备份控制通道，备份控制系统独立于主控制系统并且在接通状态下可实现对飞机三个轴的最小可接受控制。当飞机处于正常情况下时，备份系统不干扰主系统工作，当备份对象（例如主控计算机）共模故障时，备份系统能快速激活，接管飞机控制，提供持续安全飞行和着陆的能力。
7.在本发明的一个实施例中，提供了一种电传飞行备份控制系统的启动方法，其包括：所述电传飞行备份控制系统的备份控制计算机进行上电初始化及自检测；在所述上电初始化及自检测成功后，所述备份控制计算机进入冷备份状态，在所述冷备份状态中，所述备份控制计算机接收主控通道的状态信号；在所述主控通道的状态信号指示主控通道故障时，所述备份控制计算机进入预位状态，在所述预位状态中，所述备份控制计算机向所述电传飞行备份控制系统的传感器模块和伺服作动模块供电；以及在所述备份控制计算机与所述传感器模块和伺服作动模块建立通信后，所述备份控制计算机进入接通状态，在所述接通状态中，所述备份控制计算机基于从所述传感器模块接收到的传感器信号生成控制命令以控制所述伺服作动模块。
8.在一个方面，所述备份控制计算机进行上电初始化及自检测包括：当飞机处于地面状态时，所述备份控制计算机进行上电初始化及自检测。
9.在一个方面，所述备份控制计算机进行上电初始化及自检测包括对所述传感器模块和所述伺服作动模块供电以确定所述传感器模块和所述伺服作动模块处于正常状态。
10.在一个方面，在所述冷备份状态中，所述备份控制计算机不向所述电传飞行备份控制系统的传感器模块和伺服作动模块供电。
11.在一个方面，所述电传飞行备份控制系统的启动方法还包括：在所述冷备份状态中，如果接收到飞行员的电传飞行备份控制系统启动指令，则所述备份控制计算机进入预位状态；或者在所述冷备份状态中，如果在飞机处于空中状态时所述备份控制计算机接收到的主控通道的状态信号指示主控通道故障，则所述备份控制计算机进入预位状态。
12.在本发明的一个实施例中，提供了一种电传飞行备份控制系统，其包括：传感器模块和伺服作动模块；以及与所述传感器模块和伺服作动模块耦合的备份控制计算机，其中所述备份控制计算机进行上电初始化及自检测，在所述上电初始化及自检测成功后，所述备份控制计算机进入冷备份状态，在所述冷备份状态中，所述备份控制计算机接收主控通道的状态信号，其中在所述主控通道的状态信号指示主控通道故障时，所述备份控制计算机进入预位状态，在所述预位状态中，所述备份控制计算机向所述传感器模块和伺服作动模块供电，并且在所述备份控制计算机与所述传感器模块和伺服作动模块建立通信后，所述备份控制计算机进入接通状态并基于从所述传感器模块接收到的传感器信号生成控制命令以控制所述伺服作动模块。
13.在一个方面，所述备份控制计算机进行上电初始化及自检测包括：当飞机处于地面状态时，所述备份控制计算机进行上电初始化及自检测。
14.在一个方面，所述备份控制计算机进行上电初始化及自检测包括对所述传感器模块和所述伺服作动模块供电以确定所述传感器模块和所述伺服作动模块处于正常状态。
15.在一个方面，在所述冷备份状态中，所述备份控制计算机不向所述电传飞行备份控制系统的传感器模块和伺服作动模块供电。
16.在一个方面，所述电传飞行备份控制系统还包括：在所述冷备份状态中，如果接收到飞行员的电传飞行备份控制系统启动指令，则所述备份控制计算机进入预位状态；或者在所述冷备份状态中，如果在飞机处于空中状态时所述备份控制计算机接收到的主控通道的状态信号指示主控通道故障，则所述备份控制计算机进入预位状态。
17.在本发明的一个实施例中，提供了一种航空器，其包括：主控通道，所述主控通道基于来自主控传感器模块的传感器信号生成控制命令以控制主控伺服作动模块；以及如上任一项所述的电传飞行备份控制系统。
18.在本发明的一个实施例中，提供了一种计算机可读存储介质，其存储计算机程序，所述计算机程序能被处理器执行以执行如上任一项所述的方法。
19.如上，本发明提出了一种新的电传飞行备份控制系统（bcs）启动与控制逻辑。保证正常情况下，bcs不干扰主系统工作，且在备份对象共模故障时，bcs能快速接管飞机控制，提供飞机持续安全飞行及尽快备降着陆的能力，满足飞行器的高安全性要求。
附图说明
20.图1是根据本发明一个实施例的飞行控制系统架构的示意图。
21.图2是根据本发明一个实施例的电传飞行备份控制系统的启动方法的流程图。
22.图3是根据本发明一个实施例的电传飞行备份控制系统初始化及自检测状态信号流图。
23.图4是根据本发明一个实施例的电传飞行备份控制系统预位状态信号流图。
24.图5是根据本发明一个实施例的电传飞行备份控制系统接通状态信号流图。
具体实施方式
25.下面结合具体实施例和附图对本发明作进一步说明，但不应以此限制本发明的保护范围。
26.本发明在主控通道的基础上增加了备份控制通道，备份控制系统独立于主控制系统并且在接通状态下可实现对飞机三个轴的最小可接受控制。当飞机处于正常情况下时，备份系统不干扰主系统工作，当备份对象共模故障时，备份系统能快速激活，接管飞机控制，提供持续安全飞行和着陆的能力。
27.图1是根据本发明一个实施例的飞行控制系统架构100的示意图。本发明提供了一种独立于主控通道的备份控制系统（bcs），有效提高了飞控系统的安全裕度。飞行控制系统架构100可包括主控通道101和备份通道102。主控通道101可包括主控传感器模块112（例如驾驶舱操纵传感器和飞机传感器）、主控计算机113和相应的各种主控伺服作动模块114。主控计算机113可基于来自主控传感器模块112的传感器信号生成控制命令以控制主控伺服作动模块114。每个伺服作动模块114可包括远程控制电子设备（reu）和相应的舵面作动器（ehsv），reu可接收来自主控通道101（例如，主控计算机113）的控制命令，并基于接收到的控制命令使得作动器驱动相应的舵面发生运动。主控计算机113和备份控制计算机130均可与其他系统150通信，例如与机载航电系统、卫星系统等通信。
28.备份通道102可包括备份传感器模块120、备份控制计算机130（bcm）和相应的各种备份伺服作动模块140。备份传感器模块120可包括驾驶舱操纵传感器和飞机传感器，其中驾驶舱操纵传感器用于检测驾驶舱的操作并提供操作输入，飞机传感器用于感测飞机状态和运动并提供反馈信息。备份传感器模块120可以是与主控传感器模块112不同或分离的传感器模块。备份控制计算机130可基于来自备份传感器模块120的传感器信号生成控制命令。
29.在本发明的一个实施例中，备份伺服作动模块140可分别连接至主控计算机113和备份控制计算机130。例如，备份伺服作动模块140可包括增强型远程控制电子设备（ereu）142和相应的舵面作动器（ehsv）144。ereu 142（也可简称为远程控制电子设备reu）可接收来自主控通道101（例如，主控计算机113）的控制命令和/或备份控制计算机130的控制命令，并基于接收到的控制命令使得作动器144驱动相应的舵面发生运动。在一个实施例中，备份伺服作动模块140可单独驱动相关联的舵面，或者可与主控伺服作动模块114协同地驱动同一个舵面。
30.根据本发明的一个实施例，备份通道102（或称为备份控制系统）的传感器模块120独立于主控通道，包含驾驶舱操纵传感器以及飞机传感器（例如缝翼位置传感器等）。即，备份通道使用单独的传感器，使得备份控制计算机130能够接收独立的传感器信号，而不受主控通道101的影响。虽然图1中示出了单个备份传感器模块120，但是应理解，备份传感器模块120中的各个传感器可分布在飞机上的合适位置。
31.备份传感器模块120中的驾驶舱操纵传感器采集飞行员操纵动作，将飞行员的机械操纵动作转化为电信号（操纵指令）发送给备份控制计算机（bcm）130。另外，备份传感器模块120中的飞机传感器采集飞机信息发送给bcm 130。bcm 130可以使用驾驶舱操纵传感器提供的操纵指令和飞机传感器提供的飞机信息进行控制律计算，从而生成控制命令，该控制命令可被提供给备份伺服作动模块140以控制相应的舵面操作。备份传感器模块120的传感器余度配置需满足备份控制系统可用性要求。由于备份控制系统仅作为主控系统的有益补充，不贡献于飞控系统可用性的满足，因此，传感器模块120可采用单余度配置也可采用多余度配置。
32.bcm 130是备份控制系统的控制核心，其可实现供电控制、控制律计算、io控制、架构监控（例如监控电源、时钟等）、传感器解调等功能。bcm 130可采用计算机、处理器、集成电路、可编程逻辑器件、微处理器、控制器、微控制器、或状态机等来实现。在一个实施例中，bcm 130可采用非相似的指令
‑
监控支路架构设计，其中指令支路（com）基于所接收的操纵指令和飞机信息来生成控制命令，监控支路（mon）采用与指令支路不相似的硬件和/或软件结构并且也基于所接收的操纵指令和飞机信息来生成控制命令，监控支路比较com支路和mon支路计算出的控制命令，保证bcm输出指令的完整性。例如，在com支路和mon支路计算出的控制命令不一致（例如，相差超过阈值）时，监控支路可以提供报错信息。相反，如果com支路和mon支路计算出的控制命令一致（例如，相差在阈值范围内），则表示该控制命令是正确的，并且指令支路（com）生成的控制命令可被提供给备份伺服作动模块140以控制相应的舵面操作。
33.根据本发明的一个实施例，bcm 130可配置独立的电源模块，该电源模块由机上用电设备或者电源调节模块（pcm）供电。bcm 130可使用该电源模块向备份控制系统的其他直流用电设备供电，例如向备份传感器模块120、备份伺服作动模块140等设备供电。
34.当主控通道101正常工作时，主控计算机113可基于来自主控传感器模块112的传感器信号生成控制命令以控制主控伺服作动模块114，主控计算机113还可选地基于来自主控传感器模块112的传感器信号生成控制命令以控制备份伺服作动模块140。
35.bcm 130可接收主控通道101的状态信号，当主控通道101正常工作时，bcm 130处于冷备份状态，不对备份控制系统的其他用电设备供电，也不向伺服作动模块140提供控制命令。例如，在冷备份状态中，bcm 130中与飞行控制相关联的模块（例如，硬件和/或软件模块）可选择性地处于休眠或断电状态。作为示例而非限定，与传感器信号相关联的接口模块和处理模块、控制律模块等可处于不工作状态。bcm 130还可选择性地对其他组件进行断电。
36.而当主控通道101失效导致飞机低于最小可接受控制（mac）时，bcm 130可触发对受主控通道101影响而下电的备份伺服作动模块140重新供电，对传感器模块120以及伺服作动模块相关舵面位置传感器进行激励。
37.当主控通道101失效导致飞机低于mac且伺服作动模块140能够正常工作时，bcm 130接替故障的主控通道101对相关的备份伺服作动模块140发送控制命令，并且可接收备份伺服作动模块140反馈的指令和状态数据，以监控备份伺服作动模块140的工作状态。在本发明的一个实施例中，bcm 130与备份伺服作动模块140之间的数据传输独立于主控通道101，并且可选地采用与主控通道101非相似的数据总线。
38.由于备份控制系统采用独立于主控通道101的备份系统架构（包括独立的传感器模块120和备份控制计算机130及供电），当备份对象发生共模故障使得主控通道101失效时，备份系统架构可以快速接管飞机控制并进行独立的飞行控制，从而提供飞机持续安全飞行及尽快备降着陆的能力。在一个示例中，备份系统架构与主控通道相比可采用非相似设计（例如，非相似的硬件或软件或其组合），从而使得主控通道中的故障不会发生在备份系统架构中。
39.本发明提出了一种基于冷备份的电传飞行备份控制系统启动方案，bcm负责对传感器模块进行激励和解调，接收主控通道的状态信号，当主控通道失效导致飞机低于mac时，bcm按照本发明的启动方案工作，将备份控制指令发给相应的ereu，对相应舵面作动器实行备份控制。
40.图2是根据本发明一个实施例的电传飞行备份控制系统的启动方法的流程图。
41.在步骤201，电传飞行备份控制系统可进行上电初始化及自检测。
42.例如，电传飞行备份控制系统的备份控制计算机（bcm）可接收飞机状态信息（例如地速信息），当根据飞机状态信息判断飞机处于地面状态时，bcm可进行航前上电初始化及自检测。该上电初始化及自检测过程可包括：bcm对包括ereu在内的相应励磁模块进行上电，接收ereu反馈的回绕数据包。bcm初始化未能顺利完成或bcm初始化完成但bcs系统地面自检测未通过，bcm可向显示系统发送bcm初始化失败指示信号。不能顺利完成上电初始化及自检测，则bcm可将自身状态信号置为无效。
43.如果顺利完成上电初始化及自检测，则可前进至步骤202，电传飞行备份控制系统进入冷备份状态。在步骤202中，bcm受自检测结束标识信号控制自行断电，并且可将bcm状态信号置为有效状态。在冷备份状态中，bcm的电源模块可处于加电状态并且向bcm的状态控制模块供电，但不向ereu、传感器等供电。由此，在冷备份状态中，例如，在步骤203，bcm（例如，状态控制模块）可以接收主控通道的状态信号、接收操作命令，以及可以将bcm的状态发送给其他系统。另外，在冷备份状态中，bcm中与飞行控制相关联的模块（例如，硬件和/或软件模块）可选择性地处于休眠或断电状态。作为示例而非限定，与传感器信号相关联的接口模块和处理模块、控制律模块等可处于不工作状态。bcm还可选择性地对其他组件进行断电。
44.在步骤204，当主控通道的状态信号标识主控通道故障时，bcm进入预位（arm）状态。
45.例如，当bcm接收到飞机状态信息（例如地速信息）判断飞机处于空中状态时，若bcm状态信号处于有效状态且多个主控通道的状态信号标识主控通道故障（例如，主控系统丧失使得飞机低于mac），bcm进入预位（arm）状态，对相关传感器励磁，对ereu进行二次供电。
46.此外，bcm长时间接收不到主控通道的状态信号时，飞行员有权限通过开关控制bcm进入预位状态。bcm预位后，bcm向显示系统发送bcm预位指示信号。根据本发明的一个实施例，bcm预位后，系统无法给bcm断电，bcm也无法自行断电，仅飞行员有权限通过开关，将备份系统下电。
47.在步骤205，激活bcm进入接通状态。
48.当主控通道发生故障并且bcm处于预位状态后，bcm接替故障的主控通道给作动器
控制单元供电，ereu在指定时间内完成初始化，bcm处于接通状态。bcm向显示系统发送bcm接通指示信号。若bcm接收到ereu发送的ereu状态信号正常，则该ereu所处的备份控制通道被激活，若ereu初始化多次未通过，则该ereu所处的备份控制通道未被激活。bcm进入接通状态之后，bcm基于从备份传感器模块接收到的传感器信号生成控制命令以控制ereu和相应的舵面操作。
49.可选地，当主控通道恢复正常时，该方法可返回到步骤202，从备份控制通道切换成由主控通道控制reu和ereu，bcm返回冷备份状态。
50.本发明的电传飞行备份控制系统启动方案确保主系统在对飞机实施控制时，备份控制系统处于冷备份或预位状态，极大程度上避免了备份控制系统的错误激活，干扰主控系统的工作。与此同时，该方案通过航前上电初始化及自检测过程缩短了备份控制系统的启动时间，使得备份对象共模故障时，备份系统能快速激活。
51.图3是根据本发明一个实施例的电传飞行备份控制系统初始化及自检测状态信号流图。bcs具备自检测能力，bcm判断飞机处于地面状态时可进行初始化及自检测，航前航后均可执行。在所有主控通道完全正常情况下，借助地面逻辑状态实现bcm的上电初始化、状态显示以及启动自检测等功能。图3可以是图2所示的步骤201的一个示例。
52.如图3所示，bcm可由电源模块或机上电源供电，但初始仅bcm内部电源模块和状态控制模块处于加电状态。在一个示例中，可通过控制开关的操作使bcm上电。在另一示例中，可基于操作指令使bcm上电，例如当所有主控通道上电的同时，可使bcm上电。
53.bcm上电之后接收飞机状态信号，例如大气数据ads和惯性导航系统信息iru（如地速信息），在根据飞机状态信号判断飞机处于地面状态时，可执行后续的初始化及自检测过程。
54.当所有主控通道正常上电后，bcm将接收来自主控系统的主控通道上电预位离散使能信号，在检测到主控通道正常后，bcm进行初始化。bcm初始化可以执行预定的引导程序。bcm初始化正常后（初始化若不正常可重复指定次数），bcm即进行自检测，自检测对象包括由bcm上电的所有外围关联设备。
55.在自检测过程中，bcm内部电源模块对bcs励磁模块（包括ereu、传感器等）直接上电，并接收反馈信息，确认自检测是否成功。若bcm初始化未能顺利完成或bcm初始化完成但自检测未通过，显示系统未收到任何信息，则显示系统可显示bcm处于故障状态。若bcm初始化及自检测顺利通过，则按“静暗理念”，显示系统可不做任何显示。
56.bcm在初始化及自检测过程中，若不能顺利完成或系统自检测（包括外围设备和信号通道）不正常则将自身置为无效，反之，则置为有效。但无论系统正常、有效与否，以上地面过程完成后，bcm都将在自检测结束标识信号的控制下自行断电，或在飞机退出地面状态时，强行断电。不同的是虽然二者都是断电状态（此时bcm处于冷备份状态，仅电源模块处于加电状态），但若自检测通过，则bcm在被置为有效的状态下，具备了在“空中状态”时基于主控通道故障使能信号进入预位状态的先决条件。此外，bcm初始化、自检测未通过不会影响签派或限制签派。
57.由于飞机处于地面状态的时间有限，bcm自检测可能无法覆盖所有的测试项目，bcm设备应该在指定的飞行小时范围内定期进行地面检查，以确保bcm正常可用。
58.图4是根据本发明一个实施例的电传飞行备份控制系统进入预位状态的信号流
图。
59.bcm初始化和自检测通过后，bcm处于冷备份状态，仅内部电源模块和状态控制模块处于加电状态。bcm接收到飞机状态信号（例如地速信息）判断飞机处于空中状态时，若同时丧失多个主控通道（主控系统丧失对飞机的最小可接受控制），则bcm可接收来自主控系统的主控通道故障状态使能信号。若接收到主控通道故障状态使能信号（确定主控通道故障）并且bcm状态信号正常（已成功通过初始化和自检测过程），则bcm可进入预位（arm）状态，例如向显示系统提供bcm预位状态信号，并且bcm电源模块为bcm其他功能模块（例如，传感器、ereu）供电。由于航前已完成初始化和自检测，备份系统在通电后，可在指定时间内迅速进入“预位（arm）状态”，即对断电的作动器控制单元重新供电，对相关传感器进行励磁。
60.bcm进入预位（arm）后，系统将无法给bcm断电，bcm也无法自行断电，备份系统始终处于预位（arm）状态，bcm向显示系统发送bcm预位指示信号。当由于某种原因出现主控通道故障状态使能信号中断或长时间接收不到主控通道状态信息（此时不能判断主控通道是否正常）时，由于备份系统不能“自动激活”接管对飞机的控制，可由飞行员根据主系统故障情况及告警显示信息做出是否启动备份系统的决断。如果飞行员发出bcm启动指令，则bcm可类似地进入预位状态。
61.图5是根据本发明一个实施例的电传飞行备份控制系统接通状态信号流图。
62.当备份系统处于“预位（arm）”状态并重新对作动器控制单元（例如，ereu）供电后，bcm向作动器控制单元发送作动器初始化使能信号，作动器控制单元将在规定时间内完成初始化，若初始化顺利完成，则bcm与作动器控制单元将建立起通讯，bcm通过数据总线向作动器控制单元发出控制指令以及接收作动器控制单元的回绕信息。即bcm放开“指令控制输出接口”，接替故障的主控通道对相应作动器控制单元供电并实施在线监控，从而进入激活（active）状态，与此同时，bcm向显示系统发送bcm接通信号。备份系统一旦被激活，将接管对飞机的控制，此时，不能自动退出或切断其工作状态。
63.此外，ereu由bcm重新上电后，若初始化未能通过，则bcm通过通断电控制，让ereu具备重复初始化的机会（例如，可设置3次），若都不通过，则只不放开其对应的控制通道（相当于该控制通道未被激活），不对其断电，以便掌握其状态信息，并等待有可能的恢复。
64.如上，本发明提出了一种新的电传飞行备份控制系统（bcs）启动与控制逻辑。保证正常情况下，bcs不干扰主系统工作，且在备份对象共模故障时，bcs能快速接管飞机控制，提供飞机持续安全飞行及尽快备降着陆的能力，满足飞行器的高安全性要求。
65.以上描述的方法和装置的各个步骤和模块可以用硬件、软件、或其组合来实现。如果在硬件中实现，结合本公开描述的各种说明性步骤、模块、以及电路可用通用处理器、数字信号处理器（dsp）、专用集成电路（asic）、现场可编程门阵列（fpga）、或其他可编程逻辑组件、硬件组件、或其任何组合来实现或执行。通用处理器可以是处理器、微处理器、控制器、微控制器、或状态机等。如果在软件中实现，则结合本公开描述的各种说明性步骤、模块可以作为一条或多条指令或代码存储在计算机可读介质上或进行传送。实现本公开的各种操作的软件模块可驻留在存储介质中，如ram、闪存、rom、eprom、eeprom、寄存器、硬盘、可移动盘、cd
‑
rom、云存储等。存储介质可耦合到处理器以使得该处理器能从/向该存储介质读写信息，并执行相应的程序模块以实现本公开的各个步骤。而且，基于软件的实施例可以通过适当的通信手段被上载、下载或远程地访问。这种适当的通信手段包括例如互联网、万维
网、内联网、软件应用、电缆（包括光纤电缆）、磁通信、电磁通信（包括rf、微波和红外通信）、电子通信或者其他这样的通信手段。
66.在各实施例中给出的数值仅作为示例，而不作为对本发明范围的限制。此外，作为一个整体技术方案，还存在其他没有被本发明权利要求或说明书所列举的元器件或者步骤。而且，一个元器件的单个名称不排除该元器件的其他名称。
67.还应注意，这些实施例可能是作为被描绘为流程图、流图、结构图、或框图的过程来描述的。尽管流程图可能会把诸操作描述为顺序过程，但是这些操作中有许多操作能够并行或并发地执行。另外，这些操作的次序可被重新安排。
68.所公开的方法、装置和系统不应以任何方式被限制。相反，本公开涵盖各种所公开的实施例（单独和彼此的各种组合和子组合）的所有新颖和非显而易见的特征和方面。所公开的方法、装置和系统不限于任何具体方面或特征或它们的组合，所公开的任何实施例也不要求存在任一个或多个具体优点或者解决特定或所有技术问题。
69.本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护范围之内。