基于DSP的无人机双冗余飞控计算机系统设计与实现

摘要：该文根据无人机对可靠性的要求，结合工程实践，详细介绍了一种双冗余飞行控制计算机系统的总体设计和具体实现方案。本系统在以TMS320F2812数字信号处理器为核心的成熟飞控计算机基础上，加入一套硬件相同且功能相似的飞控计算机并添加少量硬件及软件模块，以较小成本大大提高飞控计算机的可靠性。文中分别对该系统软硬件的核心部分进行了详细描述，该方法实施简单，易移植和工程化，具有较好的通用性。

关键词：无人机；双冗余；飞控计算机；数字信号处理器

中图分类号：TP273+.5文献标识码：A文章编号：1009-3044(2011)17-4104-02

近年来，随着各种航空和电子技术的发展，使无人机在性能上得到突飞猛进的发展。随着无人机飞行功能的日益增多，任务要求越来越复杂，使飞行控制系统变的越来越复杂，从而出现故障频率越来越高，因而其核心飞控计算机的可靠性问题变的日益突出，进而对其容错研究成为当今的热点。该文中飞控计算机的设计基于TI公司开发的一款32位DSP芯片TMS320F2812(以下简称F2812)，同时利用双机冗余技术来提高飞控计算机可靠性。

1 双冗余飞控计算机系统的工作原理

双冗余飞控计算机系统主要由输入通道、主飞控计算机、副飞控计算机、通道控制电路四部分组成。在通道内部，外部的输入信号分别送到主飞控计算机和副飞控计算机，两个飞控计算机在分别进行监控表决后通过SPI总线进行通信，判断输入信号的对错，然后分别进行各自控制律的解算，同样对解算的结果进行监控表决，若结果正常则进行下一步处理，否则发现故障则主飞控计算和副计算机分别进行故障诊断和故障定位，最终确定故障飞控计算机并将它隔离，同样在两个飞控计算机之间，每隔一定的时间通过SPI总线相互通信。若某一通道发生了永久性故障，则由飞控计算机内部的仲裁模块进行通道的切换控制[1]。

2 双冗余飞控计算机系统的硬件设计

整个双冗余飞控计算机硬件系统的组成主要基于原有成熟飞控计算机，另外引入一套硬件相同且功能相同的飞控计算机并增加通道控制电路模块，两个相同的飞控计算机通过内部的总线完成双机通信。双冗余飞控计算机系统硬件电路的原理框图如图1所示。

2.1 模拟信号的接收

飞控计算机需通过AD采样获得垂直陀螺提供的飞机姿态信息（俯仰角和滚转角）及角速率陀螺提供的滚转角速率、俯仰角速率和偏航角速率信号。无人机的电池电压及机上所携带的火工品状态也需要飞控计算机经过AD采用获得。根据经验和实践，双冗余飞控计算机模拟信号的输入电路可直接驱动两路输出电路，也就是在现有的输入电路中直接再引出一路输入到另外一套飞控计算机，这样就避免再添加其它硬件电路。在DSP芯片F2812上集成了ADC模块，该模块包括一个12位ADC核，内置双采样保持器，可输入电压范围为0～3V[3]，其最高采样带宽12.5MSPS，能快速进行ADC转换，但是由于被采集信号的电压特性不同，在被采集之前需要先经过信号调理。

2.2 串口通信

由于磁航向传感器、GPS接收机、气压高度传感器、测控设备和空速传感器对外接口都是串口[2]，而F2812处理器本身仅提供两个串行通信接口，远不能满足飞控计算机系统与多外设的通讯需求，所以需要针对F2812进行串口扩展。F2812串口扩展电路主要由CPLD、串口扩展芯片、485接口转换芯片三部分组成，其原理框图如图2所示。CPLD基于F2812分配好的地址，完成片选地址译码及串口扩展芯片STC16C554的中断控制与分配，CPLD的内部程序通过VHDL语言来实现[4]。

2.3 切换电路

在整个双冗余飞控计算机系统中，主飞控计算机和副飞控计算机均有模拟量输出。在把外部信号输入同时送给主飞控计算机和副飞控计算机，通过它们各自计算处理之后，主飞控计算机和副飞控计算机均会产生各自的输出，这就需要通过外部切换电路来判断是哪个输出正常，进而作为真正飞行控制系统的输出。主飞控计算机可以通过Control_Z(主飞控计算机的控制信号)来抢占输出，同时副飞控计算机可以通过Control_F(副飞控计算机的控制信号)来抢占输出，只能让工作正常的计算机来控制输出，当然两个飞控计算机需要通过各自内部的软件进行判断，不能同时让两个飞控计算机同时抢占输出，防止“死锁”现象的发生。切换电路原理图如图 3所示。两个飞控计算机发来的信号经过一个“与”门最终产生输出的最终控制信号，此控制信号分别接两个三组二选一COMS高速模拟开关CD54HC4053的控制端。如果主飞控计算机无故障，副飞控计算机无论有无故障，都将切换至主飞控计算机输出。如果主飞控计算机有故障而副飞控计算机无故障时，将切换至副飞控计算机输出。但是如果两个计算机均有故障，整个飞控计算机系统将不能正常工作。

3 双冗余飞控计算机系统的软件容错设计

由于无人机系统对实时性要求很高[5]，所以本系统采用DSP/BIOS开发TI公司的DSP系统，DSP/BIOS是一种可根据用户的需要剪裁的实时操作系统，此操作系统的应用可以方便快捷的开发复杂的DSP的程序。本飞控计算机系统的设计采用双冗余模式[6]，允许一次故障安全，当处于工作状态的系统中一个或多个关键部分发生故障或出错时，首先进行检测并诊断，然后采取相应措施保证系统维持其规定功能或保持其功能在可接受的范围内。系统软件主要由时钟同步、表决技术、故障检测等模块组成。对于双冗余飞控计算机系统来说，由于系统受限于两余度，利用两个飞控计算机的主控单元通过比较监控方式发现故障比较容易，但是无法鉴别出故障单元，因此需要借助传感器、计算机以及总线控制器等自检测结果与比较监控的结果相结合来定位故障。系统工作信号的表决受监控策略的影响，可以采取当两个通道均无故障时，输出主飞控计算机的通道值；当其中一个通道出现故障时，表决器输出正常通道的信号；当两个通道的输出均不能使用时，表决器输出钝化值。为了完成以上功能，余度管理要完成输入数据与信号的监控/表决，输出命令的监控/表决，系统的在线自检测，故障逻辑处理。系统软件流程图如图4所示。

3.1 时钟同步技术

双冗余的实现要求两飞控计算机能够并行同步工作。由于两飞控计算机的数据采集、计算及输出任务执行都是依赖各自的本地时钟激发，又由于计数频率漂移、间歇性故障及恢复等因素的影响，两计算机的实时时钟会出现相互异步的现象，所以两计算机的任务执行需要靠外部统一时钟中断来激发。本次设计采取软硬件相结合的方法来实现两计算机的任务同步。否则，就会产生两计算机的失步，导致系统故障。本系统外部时钟中断的形成基于CPLD内部自模拟的时钟信号与GPS接收机输出的秒脉冲信号进行同步，然后分频获得。CPLD的内部逻辑是通过硬件编程语言VHDL实现的，为了更好的说明问题，画出实时时钟逻辑示意图如图 5所示。时钟同步中断例程响应时钟中断来激活采集数据、计算及输出任务。由于时钟同步中断例程对整个系统正确运行的重要性，所以将时钟同步中断例程优先级设置为最高，这样保证两计算机启动同一周期任务的同步性。

3.2 表决技术和故障检测

计算机系统在周期性任务执行过程中，需对数据输入、结果输出进行比较表决。如果两飞控计算机的对应数据不一致，则说明其中一个通道的计算机或者两个通道的计算机同时出现了故障。本次设计中，两计算机通过SPI总线作为交叉通道互送输入数据、输出结果等数据信息，然后再进行比较和表决。表决技术由判决任务来完成[7]。系统进行故障检测时对发生的故障主要分为致命性故障和非致命性故障两类。致命性故障主要是指CPU发生故障导致失去控制，此时CPU看门狗会通过心跳线发出中断信号，系统软件会调用致命性故障中断服务程序。在处理非致命性故障过程中通常采用自主式故障检测和比较式故障检测两种方法。在本系统中由于采用的是两余度飞控计算机，所以本系统采用交叉比较法进行监控。当主副两飞控计算机第一次比较不一致时，重新读取数据比较，如果第二次比较还不一致，那么就启动各自的自测试程序(BIT)进行自主故障检测。如果BIT能够定位故障时则重启故障模块并再次进行BIT测试，否则停止故障计算机的工作，同时通知无故障计算机切换到单机工作模式；如果BIT无法定位故障时，则保持上次输出或切换到安全输出。由故障检测任务定时监测各模块的看门狗计时器检测出的故障也应该属于非致命性故障范畴，当模块出现故障时，由计算机主(副)通过SPI总线通知计算机副(主)切换到单机工作模式。

4 结束语

该文从工程实现性角度出发，根据现有资源提出了提高飞控计算机可靠性的方案――采用双机冗余技术。该文的设计方案结合了硬件冗余和软件容错技术，同时应用了故障检测、余度管理和表决技术，把硬件冗余技术和软件容错技术融合到飞控计算机中，大大提高了飞控计算机的可靠性。

参考文献：

[1] 叶昕. 飞行控制计算机双机热备份技术研究[D]. 南京：南京航空航天大学，2004.

[2] 孙丽明. TMS320C2812原理及其C语言程序开发 [M]. 北京:清华大学出版社, 2008.

[3]李侦, 天梦君, 赵菲菲. 基于DSP的无人机飞行器飞行控制系统设计[J]. 微处理机, 2010,38(4):125-128.

[4] 廖裕评. CPLD数字电路设计[M]. 北京:清华大学出版社, 2001.

[5] 吴玉堂. 飞行控制系统[M]. 北京:北京航空航天大学出版社, 2005.

[6] 刘海清. 飞控计算机的容错研究与设计[D]. 上海：复旦大学，2009.

[7] 石贤良, 吴成富. 双冗余飞控计算机系统设计与实现[J]. 计算机应用, 2005,25(9):2163-2164.