余度设计概述

一、余度的基本概念

余度（Redundancy），设计手段，简单来说，余度是为了确保安全而考虑的一种设计手段。美军标MIL-F-9490D对余度(Redundancy)有如下定义：余度是需要出现两个或两个以上故障，而不是一个单独故障，才引起既定不希望发生工作状态的一种设计方法。此设计方法多用于机载设备的调节与控制中。

涉及行业

余度（Redundancy）

除航天外的其它行业也对此有所涉及，比如“双余度电磁阀”。

可采用方式

余度可采用的方式：1.采用两个或两个以上的部件、分系统或通道，每个都能执行给定的功能。（相当于多个备胎的样子，正在使用的坏掉以后备胎可以继续工作了）2.采用监控装置，自动检测故障完成指示、部件切换甚至针对损坏部件进行诊断维修。 3.采用上述两种方案的结合。

分类

余度的分类： 1.静态余度。如表决系统、并联系统。 2.动态余度。如、冷热储备系统。

设计关键

余度设计的关键点：1.容错能力 2.余度配置 3.余度的管理方式

---

二、余度设计(Redundancy Design)

余度技术是系统或设备获得高可靠性、高安全性和高生存能力的设计方法之一。特别是当元器件或零部件质量与可靠性水平比较低、采用一般设计已经无法满足设备的可靠性要求时，余度技术就具有重要的应用价值。

余度设计的任务

① 确定余度等级(根据任务可靠性和安全性要求，确定余度系统抗故障工作的能力)；

② 选定余度类型(根据产品类型及约束条件和采用余度的目的来确定)；

③ 确定余度配置方案；

④ 确定余度管理方案。

已剪辑自: https://mp.weixin.qq.com/s?__biz=MzA5MTA0ODg0Ng==&mid=2247484361&idx=1&sn=bd1de494ad56ee70a23d3dc36e6c1ed3&chksm=90031d28a774943e7aa6e4bfba81026f243abc63382c816ec2aeaf9254df3abaea881882de3a&scene=178&cur_album_id=2405558486983393282#rd

**余度设计(又称冗余设计)：**为了获得高任务可靠性、高安全性和高生存能力的设计方法。

基本思路是以可靠性较低的基础元器或零部件，采用增加多余的资源，来获得较高的任务可靠性。

例如航天里的返回舱降落伞，就有冗余设计。国内目前多为单伞，但它是有备份伞的，一旦这个伞失效，备份伞就会启动。而国外采用多伞互为备份居多，比如下面右边这幅图，有一个降落伞失败了，但是它还有两个降落伞，不影响工作。

哪种方式更好，其实各有优劣。但未来航天器如果越来越大，那应该还是多伞的载重能力大一些。

下面举一些身边的例子来理解下冗余设计的准则。

冗余设计准则：

1、当简化设计、降额设计及选用的高可靠性的零部件、元器件仍然不能满足任务可靠性要求时，则应采用冗余设计。

这个很好理解，其他不能满足时，再多加一道保险去完成。例如我们做软水机，担心一个可能的情况，在完成再生任务的时候，刚好用户家停电了，或者说因为某种原因，电源适配器坏了。这个时候，如果没有备用方案，再生后，由于没电，电机不能走到关闭工位，水一直关不住，最后漏水。所以我们还有个备用的电池。一旦发生了这类情形，电池就派上了用场。

2、在重量、体积、成本允许的条件下，选用冗余设计比其他可靠性设计方法更能满足任务可靠性要求。

这个用概率论就能很好的解释。比如某将领说的导弹命中概率70%，一次发射三颗发命中率是210%，没学好概率论，实际是1-(1-0.7)^3=97.3%。

冗余大大提高了任务可靠性。只要你有钱，无限发射导弹，那可以认为一定会命中。

3、影响任务成功的关键部件如果具有单点故障模式，则应考虑采用冗余设计技术。

举一个UPS电源的例子来理解。

UPS(Uninterruptible Power Supply)是一种含有储能装置的不间断电源，主要用于给部分对电源稳定性要求较高的设备，提供不间断的电源。例如，服务器会考虑备用电源。

为了消除单点故障，高等级数据中心通常采用2N冗余系统。该系统是指由两套或多套UPS系统组成的冗余系统，每套UPS系统N台UPS设备的总容量为系统的基本容量。该系统从交流输入经UPS设备直到双电源输入负载，完全是彼此隔离的两条供电线路，也就是说，在供电的整个路径中的所有环节和设备都是冗余配置的，正常运行时，每套UPS系统仅承担总负荷的一部分。这种多电源系统冗余的供电方式，克服单电源系统存在的单点故障瓶颈，对于少数单电源设备的情况，可通过安装小型STS设备，保证其供电可靠性。采用2N冗余系统可用性得到明显提高。

4、硬件的冗余设计一般在较低层次（设备、部件）使用，功能冗余设计一般在较高层次（分系统、系统）进行。

例如下面这个晶体管模块，就是有冗余的，在部件的层面去实现。

功能冗余，比如说下面这个工业发电机例子。

如果一台发电机出现故障，电力负载会优先在系统中的其他发电机之间重新分配。这就是系统层面上的冗余。

5、冗余设计中应重视冗余切换装置的设计，必须考虑切换装置的故障概率对系统的影响，尽量选择高可靠性的切换装置。

还是回到UPS电源的例子。被动后备式UPS电源，用来并联连接在市电与负载之间，仅简单地作为备用电源使用。构成示意图如下：

在市电正常时，负载完全而且是直接地市电供电，逆变器不做任何电能变换，蓄电池由独立的充电器供电；当市电不正常时，负载就会切换到逆变器上提供电能。

被动后备式UPS具有结构简单、价格最廉等优点，运用于某些非重要的负载使用，如家用计算机等。但市电断电时，继电器将逆变器切换至负载，切换时间较长，一般需几个毫秒的间断，所以稍微重要的计算机设备不应选用被动后备式UPS电源。

这里这个转换开关就很重要了，如果它本身的可靠性不够，那很可能在关键的时候，需要它切换的时候，结果它坏了。

6、冗余设计应考虑对共模/共因故障的影响。

先理解什么是共模故障，什么是共因故障。

共模故障：结构、系统或组件以同样的方式失效。

共因故障：由特定的单一事件或起因导致若干装置或部件功能失效的故障。

理解这两个概念后，我们举个管线机例子。管线机同时有机械浮球和电子浮球去控制水箱水位。这就考虑到了共模，共因的影响。

即使跟电相关的失效出现了（如连接线松了，浮球干簧管坏了等等），机械浮球还是能起到保护作用。

---

三、双余度设计

南航有一篇硕士论文，可以参考：《双余度飞行控制计算机系统余度管理和容错技术研究》

四、三余度设计

已剪辑自: https://zhuanlan.zhihu.com/p/34123522

技术背景

近日，网上流出了这样一段视频，内容是顺丰大型货运无人机在陕西蒲城首次试飞。作为世界首架试飞成功的大型货运无人机，代表的意义不言而喻。用实际行动向众多质疑者和观望者展现了中大型无人机技术实现的可行性，在此基础上，未来将出现更多以飞控技术为核心的多款大型无人机，以满足不同的使用需求。

大型工业级无人机特点在于载重大，续航时间长，不足之处则是其飞行作业成本高昂，执飞任务的可靠性关乎地面安全，并且执行的是民航飞行标准，对摔机容忍度极低，因而对其配套的控制系统有着极高的要求和严格的飞行测试标准。工业级无人机需要安全执行敏感的飞行任务和挂载高价值的有效载荷，作为无人机大脑的飞控系统需要承担对完成飞行任务期间的可靠控制问题。目前国内执飞的大型工业级无人机所使用的飞控系统通常被国外厂商垄断，缺乏有效市场竞争，导致工业级飞控使用成本高昂。专注于无人机最强大脑研发的无距科技，通过军用无人机飞控研发思路，面向工业级无人机平台，推出这套三余度飞控系统，它的意义可能不仅仅在于是一种研发实力的体现，也是对未来无人机领域更多应用空间的延伸。

三余度飞控综述

我们的三余度飞控系统拥有三个处理能力强大的控制计算机和三组高可靠性的导航传感器组，并集成了独立的测控和仲裁处理器。在多余度飞控系统中，我们称单个控制单元设备报错为1次故障，2个控制单元设备报错为2次故障，并以此类推。三余度飞控系统设计要求1次故障时还能够正常执行飞行任务，2次故障时系统安全降级，但仍能保证安全飞行。

交叉增强算法

在研发三余度飞控过程中，如何做到单元间运算逻辑的无缝切换是我们首要解决的问题。我们使用交叉增强算法来实现不同导航传感器组和不同计算机余度之间的故障隔离，即一个控制单元设备故障后不会影响到其他的工作。系统中任何一个控制单元设备发生故障，都不会导致故障蔓延，其余两个单元可进行无缝切换接管，继续提供双冗余布置。在极端条件应用中，如果剩余的双冗余系统中的一个出现运行故障，则同样由另一个无缝切换接管。该三余度飞控系统内部的传感器状态、CPU状态实时进行监控，能够在飞行过程中出现突发情况后进行相应的故障处置，进一步确保飞行安全。

积分均衡算法

三余度飞控执行飞行任务中会面临一个潜在问题，即不同计算机间独立积分运算产生的时钟漂移。由于三余度飞控系统控制量由三个独立的CPU计算得到，每个独立的飞控计算机模块内部使用独立的时钟，随着运行时间的增加，相互独立的模块输出的指令必然会由于积分器作用产生不可接受的漂移，我们采用三余度飞控计算机同步，积分器间均衡等算法，使得控制量解算的积分部分步长相同，确保三个余度的指令不会因为积分漂移被误表决而影响飞行安全。

三余度表决

三余度飞控系统在工作中，每个飞控计算机都要运行相同的任务，主要包含操作系统、余度管理、自检测、控制律解算等环节。在筛选最优输出指令的问题上我们采用二次表决的方法。三个余度的飞控计算机同时运行，每个飞控计算机内部我们通过表决算法选择传感器信号输入，同时运行监控算法对所有余度传感器、计算机实现故障检测并隔离。每个余度计算机的控制指令最终发送到三余度表决器，由表决器进行表决后输出。

国军标测试标准

一套商用的双冗余飞行控制系统平均无故障运行时间大约在上万小时，而满足于高端工业级无人飞行器应用的三余度飞控，平均无故障运行时间可达到数万小时。针对行业准入标准，保证产品符合国军标测试指标，这套三余度飞控相较于常规飞控系统经过更严苛的测试。针对这套飞控平台我们投入了相当大的软硬件成本，对每一片飞控模块都按照国军标要求进行随机振动测试、温度循环测试、高低温存储测试、气压测试、盐雾测试、雷击浪涌测试及脉冲群测试等。PCB板达到IPC3级标准，特别的工艺也可以保证焊点的牢固性；飞控程序经过软件测试，半物理飞行仿真与严格的大数据飞行仿真验证，确保其运行稳定性，故障多样性处理和运行时长有着更可靠的数据参考；结合三冗余布置的设计结构使得该平台具有极高的可靠性和远低于行业标准的故障率。

写在结尾

就像一辆合格的汽车，必须有安全带、安全气囊、后视镜、阻燃内饰、各种仪表盘等安全措施才能称为汽车一样。一套合格的工业级无人机平台必须有对应的可以满足其需求的三余度工业级飞控系统，才能让人感觉到它的可靠。三冗余飞控系统的技术突破是一个新的起点，独特的仲裁和交叉增强衔接算法可以确保更高的飞行可靠性，随着无人机应用空间的增多，无人机行业应用壁垒也会随之降低，使得高精尖无人机飞行成为普及型应用。在获得大量飞行验证的同时，也希望不断提升人们对无人机应用更深层次的认知。未来我们看到的天空，一定是顶上一片的通航飞机，再有就是一片无人机。

五、四余度设计

为什么现在的先进战机都采用三轴四余度电传飞行控制系统？ -6park.com
已剪辑自: https://club.6parkbbs.com/military/index.php?app=forum&act=threadview&tid=16767054

在了解三轴四余度电传飞行控制系统之前，我们先了解一下“电传飞行控制系统”。“电传操纵系统”是称为“线传操纵系统”，顾名思义，它是由传感器组（各种陀螺、加速度计等惯性测量器件和迎角传感器等大气测量器件）、输入设备、飞行控制计算机、舵机和电气传输线路组成信号传送通道，由驾驶员输出指令，相应传感器将现有舵面情况向飞行控制计算机汇报，飞行控制计算机对驾驶员指令与传感器数据加以分析后向舵面液压传动机构发出指令，从而舵面变动，飞行恣态改变。我们知道，传统飞控是通大量的钢缆与滑轮来控制舵面，相较于传统的飞控，它体积小，结构简单，响应快，可以微调。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-qcEugu15-1663638195625)(https://p3.toutiaoimg.com/origin/tos-cn-i-qvj2lq49k0/fb919627846b424a973981ef855f58d3?from=pc)]

这些液压控制筒都是数字控制

电传操纵系统最早是为了解决飞行器的静稳定性而开发。飞行器静稳定性是它在设计之初已剔去了扰动飞机稳定的因素，使飞机在不加控制的情况下自动恢复到平衡状态。这种飞机的飞控简单。但是这种飞行器作为战斗机来讲，往往机动性欠佳，驾驶拉出失稳恣态时，往往要与静稳定性做对抗斗争，据说早期的飞机以600公里时速飞行时，改变恣态需用上千斤的力，所以俄罗斯飞行员有时不得不用上榔头。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-gObBEv8a-1663638195625)(https://p3.toutiaoimg.com/origin/tos-cn-i-qvj2lq49k0/07cd0823c7524f1ba10a5e1af6f5a16d?from=pc)]

液压控制器

另外，传统的气动收益也接近天花板，战机需要从静不稳定中去获取额外的气动收益。早期的飞机由于飞控问题是将涡流剔除在外的，因为当时的风洞无法观测涡流的运行规律，飞控也无法控制这种飞机。所以即使是苏33装有鸭翼，它的目的也只是增加抬头力矩，鸭翼与主翼在同一平面上，需同时转动，不能错动。相对而言，三轴四余度数字式电传/主动控制系统则是为飞行器的静不稳定性开发的。它的目的就是引入涡流，操控涡流走向，以涡流来提升机动性与升力。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-k9s51r2P-1663638195625)(https://p3.toutiaoimg.com/origin/tos-cn-i-qvj2lq49k0/3ba137d8ba05444e9d743f9860c3d877?from=pc)]

传统飞控示意

三轴四余度就是采用计算机控制的飞机，即不再用机械操纵杆，而采用纯数字式电传操纵系统，四余度是指三条数字信道与一条备用仿真式信道。所谓三轴是指纵轴、横滚轴和偏航轴。即使用装有三轴四余度电传飞行控制系统，翼面往往需要保守相对简洁，比如以鸭翼产生脱体涡的主翼往往是三角翼，无尾翼，其原因就是这个脱体涡往往在某一个速度段，而三角翼的后掠角为的就是这个速度；无尾翼是一是害怕脱体涡与尾旋涡结合，从飞机无法控剌。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-TNBOsZA8-1663638195625)(https://p3.toutiaoimg.com/origin/tos-cn-i-qvj2lq49k0/c4d2d070bc4346dd956ee3f4558afb1f?from=pc)]

鸭翼飞控更为复杂

当然，F22、F35、苏57、苏75、F15、F16、苏27、台风、阵风、鹰狮均是因为引入静不稳定设计而采用三轴四余度电传飞行控制系统，但相较于鸭翼+三角翼还是有很大区别，后者的飞操编码更为复杂。比如，F22是有水平尾翼的，远距耦合鸭翼却将水平尾翼装在前面而成为鸭翼，这意味着这种飞机的俯仰机动与F22全是反着来的；主翼翼型也不同，远距耦合鸭翼是一般为三角翼，F22是梯形翼，这意味着远距耦合鸭翼的后掠角更大，从而速度的潜力更大；远距耦合鸭翼的鸭翼与主翼是产生双脱体涡，鸭翼与主翼边条都产生涡升力，F22只有主翼边条产生涡升力，水平尾翼只产生涡流，因为涡流到不了主翼，产生不了升力。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-H6qWNnXW-1663638195626)(https://p3.toutiaoimg.com/origin/tos-cn-i-qvj2lq49k0/27025ae25baf4729ae0e7f56956cf7b9?from=pc)]

早期电传飞行控制系统由一个液压机构控制

正是以上原因，远距耦合鸭翼比梯形边条翼更难控制，其三轴四余度电传飞行控制系统更复杂，这是韩国、土耳其、日本、印度都在学F22，却没有人学远距耦合鸭翼。

六、多余度表决算法总结

双余度表决算法

双余度的系统只有两个余度，当一个出现硬件问题时，转由另一个接管，但是出现逻辑问题，功能问题时，系统是不知道这两个中哪一个有问题的，因此不存在多余度表决算法。

三余度表决算法

TODO

四余度表决算法

TODO

各种改进的表决算法

TODO