張昭 秦懷磊 隋立軍 李元元 劉敏 王宇

摘 要：本文分析了民用適航規(guī)章當(dāng)中對于襟縫翼控制計算機的適航要求，提出了針對襟縫翼控制計算機硬件架構(gòu)和余度設(shè)計要求，以及選用復(fù)雜電子硬件的額外設(shè)計要求。以某型襟縫翼控制計算機硬件架構(gòu)設(shè)計為例，詳細闡述了硬件架構(gòu)和余度設(shè)計要求的實現(xiàn)與落實，為襟縫翼控制計算機的設(shè)計工作提供了參考與借鑒，也為飛控系統(tǒng)控制計算機的設(shè)計提供了思路與指導(dǎo)。

關(guān)鍵詞：襟縫翼控制計算機； 硬件； 架構(gòu)設(shè)計； 適航； 符合性

中圖分類號：V249 文獻標(biāo)識碼：A DOI：10.19452/j.issn1007-5453.2023.04.008

民用飛機高升力系統(tǒng)作為飛行控制系統(tǒng)的重要組成部分，是直接影響飛機飛行安全的關(guān)鍵系統(tǒng)，襟縫翼控制計算機（SFCC）作為民用飛機高升力系統(tǒng)的控制單元，其故障和失效將給高升力系統(tǒng)的正常工作帶來嚴(yán)重后果[1]。因此，滿足適航與安全性要求的SFCC設(shè)計是高升力系統(tǒng)設(shè)計的關(guān)鍵技術(shù)之一。

國外對SFCC的相關(guān)研究公開資料較少，目前僅見波音777[1-2]、787[1-2]以及空客A320[2-4]、A350[1-2]、A380[1-2]系列飛機襟縫翼控制的相關(guān)介紹，且僅從維修和使用角度講述，未能全面掌握SFCC設(shè)計原理與架構(gòu)。國內(nèi)對SFCC的研究主要集中在余度設(shè)計[5-8]、容錯技術(shù)[9-10]、架構(gòu)設(shè)計[11-12]、系統(tǒng)故障分析與保護[13-16]等方面，研制及驗證經(jīng)驗較少，且未能從適航與安全性角度提出SFCC架構(gòu)設(shè)計的頂層要求。

本文從適航規(guī)章要求出發(fā)，闡述與SFCC相關(guān)的適航規(guī)章要求，并提出SFCC架構(gòu)設(shè)計的頂層要求，以某型民機為例，介紹SFCC的架構(gòu)設(shè)計與考慮，為其他國產(chǎn)SFCC架構(gòu)設(shè)計提供參考與借鑒。

1 襟縫翼控制計算機適航要求

民用航空規(guī)章是民用飛機設(shè)計與驗證依據(jù)的最低標(biāo)準(zhǔn)。以民用運輸類飛機為例，目前國際上主要有美國聯(lián)邦航空局（FAA）發(fā)布的FAR-25部[17]、歐洲航空安全局發(fā)布的CS-25部[18]標(biāo)準(zhǔn)，我國民用運輸類飛機依據(jù)的適航規(guī)章為CCAR-25部[19]，其內(nèi)容與FAR-25部、CS-25部基本一致。

在CCAR-25部當(dāng)中，對民用飛機襟縫翼控制系統(tǒng)有著明確的要求，第25.671條要求襟縫翼控制系統(tǒng)在任何單點故障或者極不可能概率的組合失效情況下，仍能工作，確保飛機能夠繼續(xù)安全飛行和著陸；第25.1301條規(guī)定，襟縫翼控制系統(tǒng)應(yīng)在安裝后功能正常；第25.1309條規(guī)定，襟縫翼控制系統(tǒng)應(yīng)能在飛機預(yù)期運行條件下實現(xiàn)系統(tǒng)預(yù)定的功能，同時襟縫翼控制系統(tǒng)任何可能的失效模式或組合失效情況導(dǎo)致發(fā)生飛機不能繼續(xù)安全飛行與著陸、機組工作負荷的顯著增大、乘客死亡的事件概率是極不可能的。

對于民用飛機襟縫翼控制系統(tǒng)，要求系統(tǒng)的架構(gòu)和功能性能設(shè)計應(yīng)能保證，在飛機的預(yù)期正常運行情況和任何單點故障或者極不可能概率的組合失效情況下，系統(tǒng)功能正常，能夠提供襟縫翼控制功能，進而滿足飛機整機的飛行和操作要求。襟縫翼控制系統(tǒng)應(yīng)按照自飛機分解到系統(tǒng)的安全性需求，進行安全性分析與系統(tǒng)架構(gòu)設(shè)計，將預(yù)期的安全性要求分解并落實到構(gòu)成系統(tǒng)的子系統(tǒng)和設(shè)備上。SFCC作為構(gòu)成系統(tǒng)的設(shè)備，就是要在設(shè)計中滿足安全性要求和分解的系統(tǒng)研制要求，并開展設(shè)備鑒定試驗和功能性能試驗，證明已經(jīng)落實并滿足分解而來的適航要求。具體到SFCC，其包含了軟件的內(nèi)容和硬件的模塊，同時，SFCC內(nèi)部還存在電源供應(yīng)、信號傳輸?shù)冉涌?，雖然適航規(guī)章沒有具體對SFCC提出詳細的適航要求，但安全性需求經(jīng)過分解已經(jīng)從襟縫翼控制系統(tǒng)傳遞到了SFCC，直至軟件與硬件層級。對于機載軟件和電子硬件，適航規(guī)章要求通過枚舉法或者過程保證的方法來證明軟件和硬件滿足對應(yīng)的安全性等級要求。枚舉法主要針對簡單軟件與簡單電子硬件，目前對于民用飛機系統(tǒng)，枚舉法已基本不再使用，故目前多是通過過程保證的方法來證明軟件與硬件滿足安全性要求。

以機載硬件為例，目前針對機載電子硬件主要過程保證方法的依據(jù)是RTCA DO-254[20]標(biāo)準(zhǔn)，通過分階段的開發(fā)與驗證來保證電子硬件的開發(fā)滿足對應(yīng)的安全性要求。

2 襟縫翼控制計算機設(shè)計要求

2.1 架構(gòu)與余度設(shè)計

對于民用飛機襟縫翼控制系統(tǒng)這一類復(fù)雜系統(tǒng)，適航要求的本質(zhì)是系統(tǒng)應(yīng)能預(yù)期功能正常和失效—安全，預(yù)期功能正常就是系統(tǒng)要能通過設(shè)計實現(xiàn)預(yù)期的功能性能，而失效—安全就是要求系統(tǒng)一旦喪失部分功能，必須確保系統(tǒng)仍然能夠?qū)崿F(xiàn)核心或主要的功能性能，并且不能因為部分功能的喪失而導(dǎo)致系統(tǒng)功能明顯降級。對于構(gòu)成系統(tǒng)的子系統(tǒng)和設(shè)備，同樣也必須滿足預(yù)期功能正常和失效—安全的要求。對于SFCC，就是要求SFCC必須滿足預(yù)期的控制功能，同時，當(dāng)SFCC發(fā)生故障后，SFCC應(yīng)能提供規(guī)定的功能，確保系統(tǒng)基本功能正常，SFCC通常是使用備份、冗余、隔離或分區(qū)等架構(gòu)設(shè)計手段，利用余度設(shè)計，實現(xiàn)預(yù)期功能正常和失效—安全的要求，進而滿足適航條款第25.671條、第25.1301條、第25.1309條當(dāng)中對于安全性和功能的要求。

因此，為了避免功能交聯(lián)，SFCC通常內(nèi)部是將襟翼、縫翼功能隔離，分為了襟翼通道與縫翼通道。為了提高通道內(nèi)的安全性水平，防止單點故障發(fā)生，通道內(nèi)采用監(jiān)控對，至少分為命令模塊和監(jiān)控模塊，對于安全性水平要求高的飛機，還可以設(shè)置備份模塊，命令模塊、監(jiān)控模塊和備份模塊形成了表決監(jiān)控策略；同時為了防止共模故障的發(fā)生，命令模塊、監(jiān)控模塊和備份模塊多采用不同的軟件和/或硬件設(shè)計，構(gòu)成了非相似余度。

SFCC的硬件部分要實現(xiàn)計算功能、存儲功能、通信協(xié)議解析、傳感器信號激勵、電氣信號處理等功能，軟件部分要實現(xiàn)硬件初始化、硬件配置、數(shù)據(jù)解算與傳輸?shù)裙δ堋FCC內(nèi)外部還存在數(shù)據(jù)與通信接口，在設(shè)計這些接口時，應(yīng)能夠?qū)鬏數(shù)臄?shù)據(jù)進行有效校驗。

除了主要的硬件和軟件外，SFCC還應(yīng)該設(shè)置有電磁防護模塊，為整臺計算機提供電磁防護，防止高強輻射場降低計算機功能和性能。

2.2 復(fù)雜電子硬件的開發(fā)設(shè)計

根據(jù)RTCA DO-254標(biāo)準(zhǔn)，對于包含了可編程邏輯器件（PLD）、現(xiàn)場可編程門陣列（FPGA）、專用集成電路（ASIC）和數(shù)字信號處理器（DSP）等器件的復(fù)雜電子硬件，如果其研制保證等級（DAL）為A、B、C級，需要按照RTCA DO-254標(biāo)準(zhǔn)的要求，按階段開展復(fù)雜電子硬件的符合性表明。

對于襟縫翼控制計算機中包含的復(fù)雜電子硬件，根據(jù)安全性分析結(jié)論，其DAL等級通常為A級或者B級，因此應(yīng)在器件的每個邏輯部件（邏輯門、節(jié)點、寄存器、鎖存器）表明在所有可能的排列組合包括動態(tài)情況及其并發(fā)在內(nèi)的輸入條件下的運行狀態(tài)，并且需要考慮時序分析中的不利條件。若硬件設(shè)計選用了商用貨架（CTOS）的微處理器，應(yīng)能證明COTS微處理器能夠執(zhí)行預(yù)期功能并滿足適航要求。

除此之外，大氣中存在的高能中子流可能會穿透SFCC計算機機箱結(jié)構(gòu)殼體，撞擊到電子硬件的計算單元或者存儲單元，產(chǎn)生單粒子效應(yīng)（SEE），引發(fā)軟錯誤和/或硬錯誤，可能造成器件設(shè)備死機、復(fù)位、重啟、數(shù)據(jù)丟失、命令丟失等危害，造成安全性等級降低，因此電子硬件需要根據(jù)系統(tǒng)安全性分析結(jié)果，采用單粒子緩和措施，如上電校驗、周期校驗、邏輯冗余或者選擇高可靠的抗SEE的器件。

3 某型襟縫翼控制計算機設(shè)計實踐

某型飛機襟縫翼控制系統(tǒng)采用了2×2余度設(shè)計，左右各有一臺SFCC；兩臺SFCC采用了雙機雙工工作模式，且均處于工作狀態(tài)，同時執(zhí)行相同的功能，每臺SFCC分別接收襟縫翼控制手柄激勵并采集位置傳感器（PSU）、傾斜傳感器（SSU）和翼尖制動器（WTB）信號，經(jīng)解調(diào)運算后輸出給襟翼組件和縫翼組件的動力驅(qū)動單元（PDU）。襟縫翼控制系統(tǒng)架構(gòu)如圖1所示。

每臺SFCC具有閉環(huán)控制與監(jiān)控功能，內(nèi)部分為襟翼通道與縫翼通道，每個通道內(nèi)采用監(jiān)控對，分為命令模塊（COM）和監(jiān)控模塊（MON）。因此，一臺SFCC內(nèi)部劃分了4個獨立的模塊，分別是襟翼命令模塊（FCOM）、襟翼監(jiān)控模塊（FMOM）、縫翼命令模塊（SCOM）和縫翼監(jiān)控模塊（SMOM），SFCC的4個模塊之間存在離散量輸入/輸出接口，COM模塊與MON模塊之間通過串行數(shù)據(jù)總線實現(xiàn)交叉比較，當(dāng)出現(xiàn)故障信息或不一致信息時，4個模塊都可以單獨關(guān)斷作動器，實現(xiàn)了COM與MON的非相似架構(gòu)設(shè)計。

整體上，COM模塊實現(xiàn)驅(qū)動控制與監(jiān)控功能，MON模塊實現(xiàn)關(guān)斷控制與監(jiān)控功能，采用兩個模塊間相互監(jiān)控表決工作方式，COM和MON均提供外部傳感器接口，實現(xiàn)電源轉(zhuǎn)換、數(shù)字處理與存儲、傳感器激勵及交叉通信數(shù)據(jù)鏈路（cross channel data link，CCDL）數(shù)據(jù)交換，模塊間設(shè)置同步接口實現(xiàn)任務(wù)同步。

當(dāng)任何一臺SFCC的襟翼通道或縫翼通道的COM模塊或者MON模塊支路硬件或軟件出現(xiàn)故障后，該臺SFCC將進入故障—安全（fail-safe）狀態(tài)，并通過故障指示信號告知PDU，同時通過航電系統(tǒng)反饋給駕駛艙，報給駕駛員，與此同時，襟翼或縫翼的控制將由另一臺SFCC計算機完成，實現(xiàn)了負載均衡和互為備份。具體的模塊硬件架構(gòu)如圖2所示。

為防止COM模塊與MON模塊發(fā)生共模故障失效，COM模塊與MON模塊硬件架構(gòu)采用了非相似硬件設(shè)計，選用了不同廠家的處理器和FPGA器件，從硬件上消除了共模故障，克服了硬件設(shè)計缺陷。

COM和MON還考慮了單粒子翻轉(zhuǎn)故障對功能的影響，ARINC429總線發(fā)送和接收邏輯中單個ARINC429總線數(shù)據(jù)采用了奇偶校驗，實現(xiàn)了校驗代碼傳輸?shù)恼_性，可以有效檢測出單粒子翻轉(zhuǎn)故障。當(dāng)任何一臺SFCC發(fā)生SEE故障，系統(tǒng)內(nèi)部通過交叉監(jiān)控檢測出SEE故障，同時停止該臺故障SFCC對PDU的控制，由另一臺SFCC完成對PDU的控制。同時，在器件選擇上，MON模塊的器件選擇為FLASH型FPGA，不容易受到SEE的影響，其與COM模塊中的FPGA實現(xiàn)了功能冗余與監(jiān)控，可以有效檢測出COM和MON中的SEE故障，及時停止故障SFCC對PDU的控制，實現(xiàn)PDU的控制切換。

4 結(jié)論

通過研究，得到以下結(jié)論：

（1）詳細分析了民航適航規(guī)章中對于襟縫翼控制計算機的設(shè)計要求，結(jié)合襟縫翼控制計算機的架構(gòu)設(shè)計與余度設(shè)計，給出了相關(guān)的適航設(shè)計考慮，以及襟縫翼控制計算機選用復(fù)雜電子硬件的附加考慮和開發(fā)設(shè)計要求。

（2）根據(jù)以上研究結(jié)果，以某型襟縫翼控制計算機為例，介紹了相關(guān)適航設(shè)計與驗證要求的實現(xiàn)，為襟縫翼控制計算機設(shè)計與驗證提供了有效參考。

參考文獻

[1]史佑民，楊新團. 大型飛機高升力系統(tǒng)的發(fā)展及關(guān)鍵技術(shù)分析[J]. 航空制造技術(shù)，2016（10）： 74-78. Shi Youmin， Yang Xintuan. Development and critical technolo‐gy analysis for high lift system of large aircraft[J]. Aeronauti‐cal Manufacturing Technology， 2016（10）： 74-78.（in Chinese）

[2]張新慧，李晶，任寶平. 大型先進民用飛機高升力控制系統(tǒng)架構(gòu)研究[J]. 測控技術(shù)，2020，39（10）：124-129. Zhang Xinhui， Li Jing， Ren Baoping. Research on architecture of high lift control system for large advanced civil aircraft[J]. Measurement & Control Technology， 2020，39（10）：124-129.（in Chinese）

[3]蔣雙奇. A320襟縫翼系統(tǒng)原理及排故措施[J]. 價值工程，

2015，34（2）：45-46. Jiang Shuangqi. Principles and troubleshooting measures of slots flaps system of A320[J]. Value Engineering，2015，34 （2）： 45-46.（in Chinese）

[4]韓冬. 空客A320系列飛機襟/縫翼翼尖剎車監(jiān)控信息的分析[J]. 航空維修與工程，2016 （9）： 73-75. Han Dong. Analysis on weird fault message about monitoring WTB circuit of SFCC on A320s aircraft[J]. Aviation Maintenance & Engineering，2016 （9）：73-75.（in Chinese）

[5]張大偉，徐東光. 大型客機電傳飛控系統(tǒng)余度配置研究[J].飛機設(shè)計，2013，33（1）： 59-63. Zhang Dawei， Xu Dongguang. Research on the redundant analysis of fly-by-wire flight control system for trunk line aircrafts[J]. Aircraft Design，2013，33 （1）：59-63.（in Chinese）

[6]劉小雄，章衛(wèi)國，李廣文. 電傳飛行控制系統(tǒng)的余度設(shè)計技術(shù)[J]. 飛機設(shè)計， 2006，26（1） ： 35-38. Liu Xiaoxiong， Zhang Weiguo， Li Guangwen. Redundancy techniques for fly-by-wire flight control systems[J]. Aircraft Design，2006，26 （1）：35-38.（in Chinese）

[7]丁倩. 民機飛行控制計算機的余度設(shè)計[J]. 黑龍江科技信息，2014（2）： 100-101. Ding Qian. Redundancy design of flight control computer for civil aircraft[J]. Heilongjiang Science and Technology Information，2014 （2）：100-101.（in Chinese）

[8]臧紅偉，韓煒，高德遠. 非相似余度計算機系統(tǒng)及其可靠性分析[J]. 哈爾濱工業(yè)大學(xué)學(xué)報，2008，40（3） ： 492-494. Zang Hongwei， Han Wei， Gao Deyuan. A dissimilar redundancy computer system and reliability analysis[J]. Journal of Harbin Institute of Technology，2008，40 （3）：492-494.（in Chinese）

[9]徐奡，夏德天，鄭久壽. 高升力系統(tǒng)控制計算機容錯技術(shù)研究[J]. 微電子學(xué)與計算機，2015，32（6） ： 36-40+45. Xu Ao， Xia Detian， Zheng Jiushou. The study of fault tolerance technical in civil aircrafts slat flap control computer[J].Micro‐electronics & Computer，2015，32（6）：36-40+45.（in Chinese）

[10]朱妍，郭潤兆，安剛. 大型運輸機高升力系統(tǒng)安全控制策略研究[J]. 航空科學(xué)技術(shù)，2016，27（9）： 40-44. Zhu Yan， Guo Runzhao， An Gang. High-lift system control strategy for large transport aircraft[J].Aeronautical Science & Technology，2016，27 （9）：40-44.（in Chinese）

[11]李麗雅.大型飛機增升裝置技術(shù)發(fā)展綜述[J]. 航空科學(xué)技術(shù)，2015，26（5）： 1-10. Li Liya. Review of high-lift device technology development on large aircrafts[J]. Aeronautical Science & Technology，2015，26（5）：1-10.（in Chinese）

[12]杜永良，高亞奎. 某運輸機高升力控制系統(tǒng)設(shè)計[J]. 中國科學(xué)（技術(shù)科學(xué)），2018，48（3） ： 289-298. Du Yongliang， Gao Yakui. High lift control system design for a transport aircraft[J]. Scientia Sinica（Technologica），2018，48（3）： 289-298.（in Chinese）

[13]韓賽，化東勝. 民用飛機襟翼電子控制裝置需求及控制仿真[J]. 航空工程進展，2016，7（1） ： 62-69. Han Sai， Hua Dongsheng. Requirements and control simulation of flap electronic control unit for civil aircraft[J]. Advances in Aeronautical Science and Engineering，2016，7（1）： 62-69.（in Chinese）

[14]程科.飛機操縱系統(tǒng)狀態(tài)監(jiān)測與故障預(yù)測方法研究[D]. 南京：南京航空航天大學(xué)，2015. Cheng Ke. Aircraft control system condition monitoring and fault forecast method research[D]. Nanjing： Nanjing University of Aeronautics and Astronautics，2015. （in Chinese）

[15]孟巍. EMB145襟翼系統(tǒng)的故障分析[J]. 航空維修與工程，2007（1）：51-53. Meng Wei. Brief talks on the flap system of EMB145 regional jet airplanes[J]. Aviation Maintenance & Engineering，2007（1）： 51-53. （in Chinese）

[16]段容宜，劉英.襟翼故障分析與維護[J]. 科技視界，2013（35）：89-90. Duan Rongyi， Liu Ying. Flap failure analysis and maintenance[J]. Science & Technology Vision， 2013 （35）： 89-90. （in Chinese）

[17]Federal Aviation Administration.FAR-25：Airworthiness stan‐dards： Transport category airplanes[S]. FAA，2022.

[18]European Aviation Safety Agency. CS-25： Certification specifi‐ cation： Large aeroplanes[S]. EASA， 2019.

[19]中國民用航空局. CCAR-25-R4中國民用航空規(guī)章第25部運輸類飛機適航標(biāo)準(zhǔn)[S]. 北京：中國民用航空局，2011. Civil Aviation Administration of China. CCAR-25-R4 Civil aviation regulations of China， Part 25 airworthiness standards for transport aircraft [S]. Beijing： Civil Aviation Administration of China， 2011.（in Chinese）

[20]RTCA.DO-254 Design assurance guidance for airborne elec‐tronic hardware[S]. RTCA， 2000.

Design and Practice of Hardware Architecture of Slat Flap Control Computer Based on Airworthiness Requirements

Zhang Zhao1， Qin Huailei2， Sui Lijun3， Li Yuanyuan4， Liu Min2， Wang Yu1

1. AVIC China Aero-Polytechnology Establishment， Beijing 100028， China

2. AVIC Qing’an Group Co.， Ltd.， Xi’an 710077， China

3. AVIC Xi’an Flight Automatic Control Research Institute， Xi’an 710076， China

4. Xi’an Aircraft Certification Center， Airworthiness Certification Center of CAAC， Xi’an 710065， China

Abstract： This paper analyzes the airworthiness requirements of Slat Flup Control Computer （SFCC） in civil airworthiness regulations， and put forward the hardware architecture and redundancy design requirements for the SFCC， as well as the additional design requirements for the selection of complex electronic hardware. The realization and implementation of hardware architecture and redundancy design requirements are described in detail by taking the hardware architecture design of a certain type of SFCC as an example， which provides reference for the design of SFCC， and also guidance for the design of flight control system control computer.

Key Words： SFCC； hardware； architecture design； airworthiness； compliance