一种双余度机载飞控计算机的制作方法

本发明属于航空电子技术领域，具体涉及一种双余度机载飞控计算机，用于提高机载飞控计算机的可靠性。

背景技术：

随着无人飞行器的不断发展，其机载航电系统的复杂度不断提高，带来的问题就是故障概率的增加。而飞控计算机作为无人飞行器的关键部件，其稳定性直接影响飞控系统的可靠性，进而影响无人飞行器的飞行安全以及任务执行能力。因此，设计出高可靠的飞控计算机是提高无人机整体性能的关键要素之一。

一般来讲，提高飞控计算机的可靠性除了选用高可靠的元器件之外，最有效的方法就是采用余度技术，即采用两个或两个以上的同样部件或系统，正确、协调地完成统一任务。针对飞控计算机，增加余度单元的同时增加了系统的复杂程度，不适当的增加余度反而会降低系统的可靠性。从余度构型角度，现有飞控计算机大多采用同构余度，即飞控计算机各个余度单元采用完全相同的硬件平台及控制软件，这样带来的问题就是在某一元件出现的故障也极有可能出现在其同构余度单元；而异构余度则利用不同的通道选用不同的硬件平台及控制软件，从而避免共态故障的发生。因此，设计合适的余度及其构型对提高无人飞行器可靠性是非常有必要的。

技术实现要素：

为解决以上问题，本发明公开了一种双余度机载飞控计算机，主要用于解决以下技术问题：(1)提高机载飞控计算机的可靠性，避免因飞控计算机故障导致的整个系统瘫痪情况的发生；(2)利用异构余度技术，避免共态故障的发生，同时提出一种双余度机载飞控计算机故障切换的方法；(3)利用调度板卡拓展机载飞控计算机的使用范围，使之可以应用于固定翼、直升机及浮空器等不同种类的无人飞行器。

具体的，本发明提供了一种双余度机载飞控计算机，所述机载飞控计算机包括主逻辑控制板卡、备逻辑控制板卡和调度板卡；所述调度板卡具备主插槽和备插槽，所述主逻辑控制板卡安装在主插槽中，所述备逻辑控制板卡安装在备插槽中。

优选的，如上所述的一种双余度机载飞控计算机，所述主、备逻辑控制板卡接收所述机载飞控计算机的位置、姿态及其他相关信息，根据预先设定的航迹或者飞行任务进行解算，最后通过总线向机载飞控计算机的各执行机构输出控制指令。

优选的，如上所述的一种双余度机载飞控计算机，上述调度板卡为固定翼调度板卡、直升机调度板卡、或浮空器调度板卡。

优选的，如上所述的一种双余度机载飞控计算机，所述主、备逻辑控制板卡采用不同的软件架构和硬件封装，并由两套独立的电源模块分别供电。

优选的，如上所述的一种双余度机载飞控计算机，所述主逻辑控制板卡的电源模块由备逻辑控制板卡和调度板卡共同控制，所述备逻辑控制板卡的电源模块由主逻辑控制板卡和调度板卡共同控制。

优选的，如上所述的一种双余度机载飞控计算机，所述主逻辑控制板卡、备逻辑控制板卡和调度板卡均通过can收发器与can总线独立通信，响应来自遥测系统的指令。

优选的，如上所述的一种双余度机载飞控计算机，所述can收发器采用独立dc-dc供电。

根据本发明的另一方面，本发明还提供了一种使用如上所述的双余度机载飞控计算机的故障处理方法，包括如下步骤：

当所述主逻辑控制板卡出现故障时，首先地面控制系统通过上述can总线向主逻辑控制板卡发送切换为静默模式的指令，如果故障程度不高，则主逻辑控制板卡响应上述指令进入静默模式；如果故障程度过高使主逻辑控制板卡无法响应指令，则通过can总线向调度板卡和备逻辑控制板卡发送主板断电指令，调度板卡和备逻辑控制板卡响应该指令，分别发出高电平与无输出断开信号，从而切断主逻辑控制板卡的电源模块；之后，地面控制系统通过can总线发送指令，使备逻辑控制板卡进入工作模式；

当所述调度板卡出现故障时，如果主逻辑控制板卡出现故障，地面控制系统通过上述can总线向主逻辑控制板卡发送切换为静默模式的指令，如果故障程度不高，则主逻辑控制板卡响应指令进入静默模式；如果故障程度过高使主逻辑控制板卡无法响应指令，则通过向调度板卡和备逻辑控制板卡发送主板断电指令，主逻辑控制板卡断电，故障被隔离。

根据本发明的另一方面，本发明还提供了一种如上所述双余度机载飞控计算机的开机上电方法，包括如下步骤：

(1)、主逻辑控制板卡插入主插槽，备逻辑控制板卡插入备插槽；

(2)、计算机上电，调度板卡初始化之后，主逻辑控制板卡和备逻辑控制板卡上电初始化；调度板卡识别主备插槽上是否有板卡在插入，若识别到只有主插槽有板卡插入则进入单余度模式；若识别到只有备插槽有板卡插入则通过总线发出报警信息，提示用户机载飞控计算机异常；若识别到两个插槽均有板卡插入，则分别向主备插槽板卡发起首次通信，并读取主备插槽上板卡配置信息，调度板卡内软件切换到主备工作模式；

(3)、主逻辑控制板卡通过调度板卡发起的首次通信中的配置信息自动识别当前插槽为主插槽，板内软件切换到主控制器模式；备逻辑控制板卡自动识别当前插槽为备插槽，板内软件切换到备控制器模式；

(4)、主逻辑控制板卡和备逻辑控制板卡读取调度板卡的配置信息，识别为某种类型无人飞行器的调度板卡，软件切换到该类型下的模式；

(5)、计算机自检，和地面站通信，下传当前计算机状态，包括硬件版本，软件版本，主备工作模式，以及识别到的调度板卡的配置信息，电压，温度，气压信息；

(6)、计算机等待地面指令。

本发明的优点在于：与先前技术相比，本发明基于异构余度技术，为飞控计算机中的核心复杂部件提供余度，降低了飞控计算机的故障率，利用独立的电源模块与控制逻辑隔离故障，保证了系统在单点故障情况下的可用性，提高了无人飞行器的可靠性。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

附图1示出了根据本发明实施方式的机载飞控计算机硬件结构图。

附图2示出了根据本发明实施方式的机载飞控计算机逻辑原理图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施方式。虽然附图中显示了本公开的示例性实施方式，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

一、硬件结构：

如图1所示，本发明的机载飞控计算机主要由三块板卡组成：主逻辑控制板卡(以下也称逻辑控制板卡1)、备逻辑控制板卡(以下也称逻辑控制板卡2)和调度板卡。所述调度板卡具备主插槽和备插槽，所述主逻辑控制板卡安装在主插槽中，所述备逻辑控制板卡安装在备插槽中。

主、备逻辑控制板卡负责接收系统的位置、姿态及其他相关信息，根据预先设定的航迹或者飞行任务进行解算，最后通过总线向系统各执行机构输出控制指令。

为实现异构双余度的设计，主备两块逻辑控制板卡在对外接口定义保持一致的前提下，分别采用完全不同的硬件封装和软件架构。

调度板卡与主、备逻辑控制板卡相连，一方面实现与控制板卡的通信功能，一方面扩展飞控计算机的对外接口。主备插槽的针脚定义完全相同。当用作单余度计算机时，主插槽安装主逻辑控制板卡，而备插槽可以用来扩展其他自研模块，如惯导模块。上述调度板卡可以用作固定翼调度板卡、直升机调度板卡、或浮空器调度板卡。

逻辑控制板卡1和2的主备地位由其所插的插槽位置决定，即1卡(或2卡)插在主插槽则自动成为主卡，插在另一个卡槽的则成为备逻辑控制板卡。如1、2是两张完全一样的板卡则系统构成同构双余度，反之，则构成异构双余度；如果不需要双余度，只要保证单一逻辑控制板卡插在主插槽，系统也能正常工作。

两块逻辑控制板卡1和2采用不同的软件架构和硬件封装，并由两套独立的电源模块供电。两块逻辑控制板卡的主备地位由其插入的插槽所决定，插入主插槽，就作为主逻辑控制板卡工作，反之亦然。两块逻辑控制板卡由两套独立的电源模块供电，各自电源模块的通断由其他逻辑控制板卡和调度板卡共同决定控制，例如负责主卡的电源模块由备卡和调度板卡进行统一控制。飞控计算机的三个主要部分都可以通过通信接口与can总线独立通信，响应来自遥测系统的指令。

板卡1、2分别由单独的电源模块供电，各自电源模块的通断由其他逻辑控制板卡和调度板卡共同决定控制，即负责主卡的电源模块可由备卡和调度板卡进行统一控制，即负责备卡的电源模块可由主卡和调度板卡进行统一控制。这样的设计是为了实现故障隔离。

通过设计不同的调度板卡，可以使系统应用于固定翼、直升机和浮空器等不同种类的无人飞行器。

二、硬件逻辑：

针对本发明所述的硬件框架，提出了一种主备切换、故障处置的调度控制方法，可以处理调度板卡故障(包含有无输出两种情况)、逻辑控制板卡故障(包括无输出、有输出、输入异常三种情况)。

如图2所示：主备逻辑控制板卡采用各自独立的供电通路和电源模块，以避免因电源异常导致的系统故障；调度板卡的供电也来自于这两路电源，且独立于主备电路。

由于调度板卡的功能单一，所以选用stm32系列高可靠性的微控制单元mcu作为核心实现调度板卡的大部分逻辑功能。

使用can总线作为通信总线，在调度板卡上设计完全电器隔离的can总线通信接口，使之可以应用于强电、强干扰外设。

can总线通信接口的can收发器(transceiver)芯片采用独立dc-dc供电，以隔离transceiver芯片上的电流变化对主备插槽(主备逻辑控制板卡)供电电路的影响。如果不采用dc-dc来隔离，transceiver芯片上的电流的变化有可能直接影响主备插槽的供电。

负责主电路的电源模块p1的通断由逻辑控制板卡2的控制信号(control)2信号和调度板卡上的调度芯片的调度信号(schedule)1信号共同决定，只有control2与schedule1信号同时控制断开时，p1才断开，其余状态p1保持通路；负责备电路的电源模块p2的通断则由逻辑控制板卡1的control1信号和调度芯片的schedule2信号共同决定。

outputdisable1和outputdisable2信号为主备逻辑控制板卡的静默模式控制信号，通过这两个信号，主备控制器可以关闭对应的can总线transceiver芯片的输出。

三、本发明的飞控计算机的开机上电工作流程：

1、逻辑控制板卡1插入主插槽，逻辑控制板卡2插入备插槽。

2、计算机上电，调度板卡初始化之后，默认输出的schedule1(高电平)和schedule2(高电平)指令均为电源开关闭合，分别来自对方板卡的control1(无输出)和control2(无输出)指令也均为电源开关闭合，此时逻辑控制板卡1和2上电初始化。调度板卡上的mcu识别主备插槽上是否有板卡在插入，若识别到只有主插槽有板卡插入则进入单余度模式；若识别到只有备插槽有板卡插入则通过总线发出报警信息，提示用户机载飞控计算机异常；若识别到两个插槽均有板卡插入，则分别向主备插槽板卡发起首次通信，并读取主备插槽上板卡配置信息，调度板卡内软件切换到主备工作模式。

3、逻辑控制板卡1通过调度板卡发起的首次通信中的配置信息自动识别当前插槽为主插槽，板内软件切换到主控制器模式；逻辑控制板卡2则自动识别当前插槽为备插槽，板内软件切换到备控制器模式。

4、逻辑控制板卡1和逻辑控制板卡2读取调度板卡的配置信息，识别为某种类型无人飞行器的调度板卡，软件切换到该类型下的模式。

5、计算机自检，和地面站通信，下传当前计算机状态，包括硬件版本，软件版本，主备工作模式，识别到的调度板卡的配置信息，电压，温度，气压等信息。

6、计算机等待地面指令。

四、本发明实现计算机主备切换与故障隔离的过程：

对于无人飞行器应用，其控制实时性要求非常高，必须使用热备份机制来快速切换。所以初上电之后，主备逻辑控制板卡均处于上电状态，识别为主逻辑控制板卡的进入工作模式，识别为备逻辑控制板卡的进入静默模式(除了不向总线发起通信申请之外与工作模式没有任何区别)，此时系统处于双余度热备份状态。调度电路由双电源供电，而且直接挂在外部总线上。当地面站发现机载飞控计算机异常时，可以直接给调度板卡发送指令关闭主逻辑控制板卡(或者备逻辑控制板卡)，同时打开备逻辑控制板卡(或者主逻辑控制板卡)。

针对工作过程中，主逻辑控制板卡出现故障：首先地面控制通过总线向主逻辑控制板卡发送切换为静默模式的指令，如果故障程度不高，则主逻辑控制板卡自己可以响应指令进入静默模式；如果故障程度过高使主逻辑控制板卡根本无法响应指令，则通过总线向调度板卡和备逻辑控制板卡发送主板断电指令，调度板卡和备逻辑控制板卡响应指令，分别发出control2(高电平)与schedule1(无输出)断开信号，此时主逻辑控制板卡供电系统被切断，主逻辑控制板卡的故障被隔离。之后，地面控制系统通过总线发送指令，使备逻辑控制板卡进入工作模式，接管相关外设和总线。此时由于主逻辑控制板卡已经断电，control1信号此时无输出，也就表示调度板卡无论发送什么信号或者出现故障都不会影响备逻辑控制板卡的供电情况，备逻辑控制板卡使用处于上电状态。

针对工作过程中，调度板卡出现故障：此时如果地面不执行主备切换指令的话是无法发现调度板卡故障的，但是schedule1和schedule2信号由于调度板卡故障，都处于无输出的状态，代表断开指令，但因为主备逻辑控制板卡互相向对方发送电源开关闭合的指令，所以主备逻辑控制板卡的供电并没有被切断，主备逻辑控制板卡依然可以正常工作。此时，如果主逻辑控制板卡出现故障，地面控制系统检测到飞控计算机异常，首先通过总线向主逻辑控制板卡发送切换为静默模式的指令，如果故障程度不高，则主逻辑控制板卡自己可以响应指令进入静默模式；如果故障程度过高使主板根本无法响应指令，则通过向调度板卡和备逻辑控制板卡发送主板断电指令，由于调度系统故障，信号无输出，即代表断开指令，而备逻辑控制板卡响应主逻辑控制板卡断电指令，发送control2(高电平)，主逻辑控制板卡断电，故障被隔离。

另外，如果能源系统(即各个电源模块)中自带了电源切换功能，那么也可以屏蔽接口板上的切换控制器，此时主备切换由能源系统直接接收地面指令来进行。

以上通过通断电来进行余度切换的方式是最后的解决办法，用来彻底隔离故障计算机，解决计算机不断电就会影响外设和总线的状况。无论是令故障板卡进入静默模式，还是直接切断电源，都需要谨慎考虑，务必按照优先级依次进行，避免出现不可逆的状况，因为地面站完全不知道备用余度的工作状态。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。