倪笑宇，徐 軍，梁建明，張?zhí)m娣，顏景潤(rùn)

(1.河北建筑工程學(xué)院，張家口 075000；2.北京理工大學(xué)，北京 100081)

?

三余度舵機(jī)控制器可靠性設(shè)計(jì)

倪笑宇1，徐 軍2，梁建明1，張?zhí)m娣1，顏景潤(rùn)1

(1.河北建筑工程學(xué)院，張家口 075000；2.北京理工大學(xué)，北京 100081)

為了提高飛行器舵機(jī)系統(tǒng)的可靠性，提出一種三余度舵機(jī)控制器的設(shè)計(jì)方案，介紹了舵機(jī)控制器的工作原理和功能結(jié)構(gòu)。在此基礎(chǔ)上，詳細(xì)研究了三余度控制器的余度管理、信號(hào)表決與故障監(jiān)控。通過分析與實(shí)驗(yàn)，控制器工作穩(wěn)定可靠。

舵機(jī)控制器；三余度；信號(hào)表決；故障監(jiān)控；可靠性

0 引 言

舵機(jī)系統(tǒng)作為飛行器的重要執(zhí)行部件，其可靠性直接影響到整個(gè)飛行器的安全。余度技術(shù)在提高安全可靠性方面發(fā)揮著非常重要的作用。傳統(tǒng)的舵機(jī)控制器多采用單余度或是雙余度設(shè)計(jì)，無法進(jìn)一步滿足高可靠性要求。而四余度設(shè)計(jì)的體積、重量、成本又大為提高，因此本文設(shè)計(jì)了一種三余度舵機(jī)控制器，并對(duì)其可靠性進(jìn)行了深入研究。

1 舵機(jī)控制器的工作原理

舵機(jī)控制器主要實(shí)現(xiàn)舵機(jī)的控制和舵機(jī)系統(tǒng)的故障監(jiān)控，同時(shí)根據(jù)自身故障信息可切換飛行模式。如圖1所示，舵機(jī)控制器是連接飛控計(jì)算機(jī)(以下簡(jiǎn)稱FCC)、駕駛桿、舵機(jī)三者之間的重要控制部件，可以通過ARINC 429總線與FCC交互，接收參數(shù)信號(hào)，同時(shí)接收駕駛桿的指令信號(hào)，把指令信號(hào)與參數(shù)信號(hào)整形處理，控制舵機(jī)工作。還能夠采集舵機(jī)上的傳感器信號(hào)，實(shí)現(xiàn)閉環(huán)控制。對(duì)相關(guān)信號(hào)監(jiān)控，進(jìn)行余度管理、故障隔離，同時(shí)上報(bào)FCC自身狀態(tài)[1]。

圖1 舵機(jī)控制系統(tǒng)總體結(jié)構(gòu)

2 舵機(jī)控制器的功能結(jié)構(gòu)

整個(gè)控制系統(tǒng)由四余度的FCC通過429總線和舵機(jī)控制器進(jìn)行通訊，舵機(jī)控制器采用三余度方式，內(nèi)部有三個(gè)軟硬件完全一致的控制單元，具有可互換性。每個(gè)舵機(jī)控制器可以控制兩個(gè)舵機(jī)，如圖2所示。

圖2 整體結(jié)構(gòu)圖

舵機(jī)控制器每個(gè)控制單元主要包括FPGA數(shù)字接口模塊、DSP電機(jī)控制模塊、駕駛桿指令處理模塊、伺服驅(qū)動(dòng)模塊、CPLD故障監(jiān)控模塊、串口維護(hù)模塊等功能，如圖3所示。舵機(jī)包括無刷直流電動(dòng)機(jī)、多級(jí)齒輪減速機(jī)構(gòu)和旋轉(zhuǎn)變壓器等。

圖3 單個(gè)控制單元結(jié)構(gòu)圖

舵機(jī)控制器中的FPGA主要完成與FCC的通訊接口，四余度飛控計(jì)算機(jī)的信號(hào)表決，駕駛桿信號(hào)的指令處理等；DSP主要完成兩個(gè)無刷直流電動(dòng)機(jī)的PID控制等；CPLD主要完成三余度控制器的故障監(jiān)控與故障處理等。

3 余度管理

舵機(jī)在航天、航空領(lǐng)域的應(yīng)用非常廣泛，因此對(duì)其可靠性和安全性要求不斷提高。通常提高可靠性的方法有兩種：一是提高降額設(shè)計(jì)的安全裕度；二是對(duì)關(guān)鍵重要環(huán)節(jié)進(jìn)行余度設(shè)計(jì)。第一種方法通常增加了重量和體積，提升效果卻有限。第二種方法使用一些巧妙的余度策略，可靠性卻能大幅度提高，是航天、航空技術(shù)經(jīng)常采用的辦法[2]。本文設(shè)計(jì)了三余度舵機(jī)控制器，并依據(jù)余度管理將其分成三種工作模式。

(1)正常模式

舵機(jī)控制器的三余度控制單元自我監(jiān)控信號(hào)都正常，三者關(guān)鍵信號(hào)經(jīng)過相互比較，偏差不超過規(guī)定范圍，F(xiàn)CC沒有發(fā)出故障信號(hào)，此時(shí)舵機(jī)控制器進(jìn)入正常模式。采用FCC發(fā)來的指令參數(shù)進(jìn)行舵機(jī)控制，安全等級(jí)最高，執(zhí)行全任務(wù)狀態(tài)。正常模式是真正意義上的電傳操縱，飛機(jī)工作在此狀態(tài)下，飛行品質(zhì)相對(duì)較高。

(2)直接模式

舵機(jī)控制器的三余度控制單元如果有一個(gè)自身出現(xiàn)故障，或者三者的關(guān)鍵信號(hào)經(jīng)過相互比較，有一個(gè)明顯偏離另外兩個(gè)，此時(shí)舵機(jī)控制器進(jìn)入直接模式。仍然采用FCC發(fā)來的指令參數(shù)進(jìn)行舵機(jī)控制，并將故障單元隔離切換。三余度降為兩余度，安全等級(jí)降低，部分高級(jí)功能不能工作，但仍能滿足正常飛行任務(wù)。

(3)阻尼模式

舵機(jī)控制器的三余度控制單元如果有兩個(gè)自身出現(xiàn)故障，或者三者的關(guān)鍵信號(hào)經(jīng)過相互比較，都各自明顯偏離另外兩個(gè)，或者FCC發(fā)出故障信號(hào)，此時(shí)舵機(jī)控制器進(jìn)入阻尼模式。此模式使用控制單元中FPGA保存的備用參數(shù)進(jìn)行舵機(jī)控制，并將兩路故障單元隔離切換。安全等級(jí)最低，可完成簡(jiǎn)單飛行，保證安全返航。在阻尼模態(tài)下，飛行品質(zhì)降為最低，無法執(zhí)行高級(jí)功能，但仍可以繼續(xù)安全飛行和著陸。

綜上所述，舵機(jī)控制器采用三余度設(shè)計(jì)，其中每一個(gè)控制單元都采用軟硬件完全相同的余度技術(shù)策略，通過信號(hào)表決與故障監(jiān)控對(duì)舵機(jī)控制器各種功能狀態(tài)監(jiān)控，出現(xiàn)故障后做出故障隔離和切換，保證飛機(jī)一次故障后能夠降級(jí)完成任務(wù)，二次故障后能夠安全返航[3-4]。

4 信號(hào)表決

對(duì)多余度系統(tǒng)進(jìn)行余度管理，需要對(duì)關(guān)鍵信號(hào)進(jìn)行表決，設(shè)置相應(yīng)的表決面與表決策略。

在三余度舵機(jī)控制器上，本文設(shè)置了三個(gè)表決面：一是四余度FCC的控制參數(shù)的表決；二是駕駛桿指令與控制參數(shù)經(jīng)過處理后的指令信號(hào)的表決；三是DSP輸出的最終控制信號(hào)的表決。三個(gè)表決面的設(shè)置可以從控制器的前段至后端進(jìn)行全方位的監(jiān)控，從而易于查找故障點(diǎn)，并能充分利用余度優(yōu)勢(shì)，減小故障隔離后帶來的可靠性損失。

每個(gè)表決面的表決策略有所不同。對(duì)于四余度參數(shù)信號(hào)表決采用中值選擇和平均值選擇的組合，即FPGA接收到的四路信號(hào)，彼此偏差不超過規(guī)定范圍并且沒有收到FCC報(bào)故信號(hào)時(shí)，那么認(rèn)為四路信號(hào)均有效，取次大值和次小指的平均值輸出；如果有一路信號(hào)偏離于另外三路信號(hào)超出規(guī)定范圍或者有一路FCC報(bào)故時(shí)，那么拋棄此路信號(hào)，在其余三路信號(hào)中取中值信號(hào)輸出；如果有兩路信號(hào)偏離于另外兩路信號(hào)超出規(guī)定范圍或者有兩路FCC報(bào)故時(shí)，那么拋棄這兩路信號(hào)，選擇剩余兩路信號(hào)的平均值輸出；如果有三路FCC報(bào)故時(shí)，那么選擇剩余的一路信號(hào)輸出；如果四路信號(hào)各自都偏離于彼此超出規(guī)定范圍或者有四路FCC報(bào)故時(shí)，那么四路信號(hào)都不能使用，選擇FPGA內(nèi)部保存?zhèn)溆脜?shù)輸出。對(duì)于三余度處理后指令信號(hào)的表決同樣采用中值與平均值的方法。對(duì)于最終舵機(jī)控制信號(hào)的表決，采用母線電流監(jiān)控的方法，超出規(guī)定值將關(guān)閉對(duì)應(yīng)的驅(qū)動(dòng)器件MSK4300停止輸出，剩余有效信號(hào)通過并聯(lián)二極管的方式進(jìn)行輸出，控制舵機(jī)運(yùn)轉(zhuǎn)?？刂菩盘?hào)表決流程如圖4所示。

圖4 三余度舵機(jī)控制器控制信號(hào)流程圖

5 故障監(jiān)控機(jī)制

舵機(jī)控制器的余度管理和信號(hào)表決都需要強(qiáng)大的故障監(jiān)控與處理作支持。

根據(jù)可靠性要求，三余度舵機(jī)控制器在無故障的情況下，接收駕駛桿指令信號(hào)，并對(duì)四余度的FCC發(fā)來的參數(shù)信號(hào)進(jìn)行表決，將指令信號(hào)與表決出的參數(shù)信號(hào)進(jìn)行指令處理，并將處理后的指令信號(hào)進(jìn)行三余度信號(hào)表決，使用表決后的信號(hào)對(duì)舵機(jī)進(jìn)行控制。如果監(jiān)測(cè)到FCC或者舵機(jī)控制器出現(xiàn)故障，則隔離切斷相應(yīng)的控制單元，余度降低，信號(hào)采取對(duì)應(yīng)的表決方式，仍能完成正常任務(wù)，保證可靠性。

故障監(jiān)控可以分為自監(jiān)控和比較監(jiān)控。設(shè)定相應(yīng)監(jiān)控原則，根據(jù)監(jiān)控結(jié)果進(jìn)行信號(hào)表決、余度管理和故障隔離。對(duì)于三余度控制器，可以進(jìn)行比較完善的監(jiān)控處理。因此，本設(shè)計(jì)采用單個(gè)控制單元自監(jiān)控與三個(gè)控制單元比較監(jiān)控相結(jié)合的方式。

在硬件方面，對(duì)于單個(gè)控制單元，需要對(duì)各種電源信號(hào)、時(shí)鐘信號(hào)、DSP信號(hào)、FPGA信號(hào)、母線電流信號(hào)、FCC總線刷新信號(hào)等進(jìn)行自監(jiān)控；對(duì)于三個(gè)控制單元，需要對(duì)處理后指令信號(hào)一致性、FCC總線參數(shù)信號(hào)、最終控制信號(hào)等進(jìn)行比較監(jiān)控。自監(jiān)控是本控制單元內(nèi)部各信號(hào)與標(biāo)準(zhǔn)規(guī)定信號(hào)之間進(jìn)行監(jiān)控，通過LM339比較器采用線與的方式，如圖5所示，需要監(jiān)控的信號(hào)與標(biāo)準(zhǔn)信號(hào)通過運(yùn)放OPA2277進(jìn)行比較做差，將差值送入到LM339，如果差值超出上下門限值即為故障，輸出低電平到CPLD，持續(xù)低電平超過規(guī)定的時(shí)間范圍，判定為此信號(hào)故障。比較監(jiān)控是將三個(gè)控制單元中的同一種信號(hào)送入FPGA內(nèi)進(jìn)行比較，按照前文所述的信號(hào)表決策略進(jìn)行監(jiān)控，將故障信號(hào)隔離。

圖5 自監(jiān)控硬件電路

在軟件方面，由于三余度舵機(jī)控制器已經(jīng)建立了良好的硬件監(jiān)控平臺(tái)，三個(gè)CPLD內(nèi)部軟件可以根據(jù)外部硬件信息判斷故障點(diǎn)與故障形式，從而快速準(zhǔn)確地實(shí)施故障隔離。編寫監(jiān)控軟件需要設(shè)計(jì)相應(yīng)的監(jiān)控原則，判定故障的等級(jí)。其中監(jiān)控原則是要根據(jù)監(jiān)控信號(hào)的實(shí)際情況來設(shè)定，按照國(guó)內(nèi)標(biāo)準(zhǔn)、實(shí)際工況、芯片特性等因素設(shè)定安全范圍，如果超出安全范圍并且持續(xù)一定時(shí)間即可判定為故障，避免出現(xiàn)因電壓不穩(wěn)、環(huán)境變化或其他非故障因素造成的頻繁誤報(bào)虛報(bào)，提高系統(tǒng)的可操作性。如表1所示，比如對(duì)電源電壓12 V、5 V、3.3 V和1.8 V的監(jiān)控，考慮到DSP與FPGA的供電需求，可將1.8 V電壓的上下門限值設(shè)為1.7 V和1.9 V，考慮到電源特性實(shí)驗(yàn)的需要，可將故障信號(hào)(低電平)持續(xù)時(shí)間設(shè)置為100 ms，超過可判定為故障。同理，對(duì)總線信號(hào)的監(jiān)控，除了有完善的校驗(yàn)方式外，由于總線要承擔(dān)數(shù)據(jù)傳輸?shù)娜蝿?wù)，接口芯片需要周期性的刷新數(shù)據(jù)，因此只需監(jiān)控接口芯片DEI1016的讀引腳即可，根據(jù)實(shí)際工況要求，F(xiàn)CC應(yīng)該每12.5 ms向控制器發(fā)送一次數(shù)據(jù)，可將周期限額時(shí)間設(shè)置為25 ms，一旦任意兩組數(shù)據(jù)信號(hào)相差時(shí)間超過25 ms，即判定為總線刷新故障。其他監(jiān)控信號(hào)原理相同。通過對(duì)各個(gè)信號(hào)的監(jiān)控，CPLD內(nèi)部邏輯將各個(gè)信號(hào)故障綜合判定出故障等級(jí)，信號(hào)之間是與和或的關(guān)系，然后進(jìn)行余度管理與工作模式切換。故障等級(jí)依據(jù)故障導(dǎo)致后果的嚴(yán)重程度分為高低兩個(gè)等級(jí)。故障等級(jí)低，本控制單元不需要隔離，不需要切換工作模式。故障等級(jí)高則需要隔離本控制單元，切換工作模式。

表1 故障監(jiān)控

6 實(shí)驗(yàn)分析

試制三余度舵機(jī)控制器驗(yàn)證機(jī)，如圖6所示。

圖6 實(shí)驗(yàn)樣機(jī)

圖7 電機(jī)性能指標(biāo)

圖8 性能對(duì)比圖

7 結(jié) 語

本文介紹了一種三余度舵機(jī)控制器的設(shè)計(jì)方案，首先分析了舵機(jī)控制器的工作原理與功能結(jié)構(gòu)，然后詳細(xì)研究了三余度控制器的余度管理、信號(hào)表決與故障監(jiān)控。采用三余度設(shè)計(jì)舵機(jī)控制器，雖然系統(tǒng)的故障率較雙余度有所提高，但無論是FCC故障還是控制器自身故障，都可通過多數(shù)表決與完善的故障監(jiān)控機(jī)制來化解、吸收，帶來了高可靠性，簡(jiǎn)單有效地保證了舵機(jī)系統(tǒng)在一次故障下能可靠工作，二次故障下能安全工作。

[1] 張騰，倪笑宇．民機(jī)舵機(jī)控制系統(tǒng)設(shè)計(jì) [J]．機(jī)械管理開發(fā)，2012，127(3)：14-17.

[2] 李清，吳昊，馮立墨，周海平．三余度機(jī)電伺服機(jī)構(gòu)及其故障隔離與重構(gòu)技術(shù) [J]．微電機(jī)，2014，47(12)：40-44.

[3] 黃健，王強(qiáng)．基于FPGA的雙余度無刷舵機(jī)控制系統(tǒng)的設(shè)計(jì)[J]．微電機(jī)，2014，47(12)：45-55.

[4] 高金源．飛機(jī)電傳操縱系統(tǒng)與主動(dòng)控制技術(shù)[M]．北京：北京航空航天大學(xué)出版社,2005:39-46.

Reliability Design of Triple Redundant Servo Controller

NIXiao-yu1，XUJun2，LIANGJian-ming1，ZHANGLan-di1，YANJing-run1

(1.Hebei Institute of Architecture and Civil Engineering,Zhangjiakou 075000,China; 2.Beijing Institute of Technology,Beijing 100081,China)

In order to improve the reliability of vehicle steering system, a design scheme of the triple redundant servo controller was presented, and the working principle and functional structure of servo controller were introduced. On this basis, the redundancy management, signal voting and fault monitoring about triple redundant controller were studied in detail. Through analysis and experiment, the controller is stable and reliable in work.

servo controller; triplex redundancy; signal voting; fault monitoring; reliability

2015-04-08

河北省高等學(xué)?？茖W(xué)技術(shù)研究項(xiàng)目(Z2014125)；河北建筑工程學(xué)院校級(jí)科研基金項(xiàng)目(QN201403)。

TM383.4；TM33

A

1004-7018(2016)01-0024-03

倪笑宇(1984-)，男，碩士研究生，工程師，研究方向?yàn)轱w行器控制、自動(dòng)控制、機(jī)械電子。