轻型无人机飞行控制系统适航安全性研究

罗秋凤，高艳辉，张 锐，徐伟程，王海龙

(1.南京航空航天大学 无人机研究院，南京 211106；2.中小型无人机先进技术工业和信息化部重点实验室,南京 211106；3.山东长城计算机系统有限公司，山东 烟台 264003)

0 引言

2018年12月和2019年1月，英国伦敦希斯罗和盖特威克机场因无人机扰航而关闭，数万名旅客滞留在机场。2017年4月，我国西南地区多个民用机场遭无人机扰航，造成数百个航班取消和延误。截止2019年5月，我国无人机登记数量已达33万多架，最大起飞重量25公斤至150公斤的无人机近3万架。

针对庞大数量的民用无人机航空活动的自身安全与民机空域安全问题，世界各国航空机构主要从“运行管理”、“适航审定”两个角度进行管理。“运行管理”的研究侧重空中交通管理，从空域划分、运行限制、空中交通规则等方面研究无人机的飞行安全性。“适航审定”的研究侧重无人机系统的设计和制造质量提高、过程质量保证、适航性验证等方面，主要关注无人机的设计和制造是否符合适航审定要求[1-5]。

我国把起飞全重25公斤至150公斤的无人机归类到轻小无人机的第四类(IV)[6]，随着机体材料、动力装置、飞行控制与导航技术的发展，该类无人机的飞行区域可完全融入民机的飞行空域。

2000年至2013年美国空军无人机系统的MQ-1/MQ-9 Predator捕食者、RQ-4 Global Hawk全球鹰和MQ-9 Reaper收割者三类无人机灾难性事故数据表明，无人机系统本体故障是灾难性事故的主要诱因，占比近七成，本体故障的主要来源又是机载设备故障[7]。在无人机系统中，飞行控制系统负责无人机的飞行控制、自主导航、飞行管理、任务管理、动力装置控制、信息交汇等，涉及的机载设备一般包括：姿态角传感器、姿态角速度传感器、高度传感器、速度传感器、航向传感器、导航定位传感器、多个伺服作动器、飞控计算机、检测与避障装置等主要10种机载设备。飞行控制系统设备种类多，占比大，对无人机系统飞行安全影响大，因此有必要研究飞行控制系统期望安全性水平、飞控机载设备失效对轻型无人机飞行安全性的影响。其中的检测与避障装置基本在文中不对其讨论分析。

1 LUAV的期望安全水平

JARUS的WG6工作组在充分考虑到无人机系统特点的情况下，对载人航空器(简称 “有人机”)的“1309”标准进行剪裁，于2015年11月发布了第二版的无人机系统安全评估的可接受符合性方法AMC RPAS1309[8]。

1.1 复杂性等级分类

根据载人航空器现有的初始适航要求，目前主要使用诸如重量、乘客数量、发动机类型/数量和性能等参数来区分飞机等级。为了更好地适应无人机的新特点，同时考虑到便于后续研制保证等级(DAL)的分配，AMC RPAS1309提出了一种基于系统复杂性等级(CL)的分类方案。根据该方案将无人机系统分为以下四类：

1)复杂性等级I(CL I)：自动驾驶与自主执行任务的功能具有一定的权限，并始终提供无人机驾驶员的手动操控权限。软件和机载电子硬件(AEH)的使用是有限的比CL I的高；

2)复杂性等级II(CL II)：控制系统可具备无人机系统飞行管理的全部权限，能自主执行任务。万一出现失效，如果需要的化，无人机驾驶员可以介入，除非故障条件可以证明是极不可能的。软件和机载电子硬件(AEH)被广泛地大量使用；

3)复杂性等级III (CL III )：具有完全的自主控制权限，这一类无人机系统在RPAS1309中不探讨。

1.2 期望安全水平

数据统计表明，具体见表1，欧洲航空安全局颁布的CS-25大型运输类飞机的目标安全水平1×10-6/h(来源AMC 25.1309)与真实事故率4.8×10-6/h具有相同的数量级，并提供了保守的安全裕度；对于CS-23 I正常类飞机目标安全水平1×10-4/h(AC 23.1309-1E)接近非公共交通类常规飞机的真实事故率1.79×10-4/h[9-11]。

表1 有人机实际事故率与适航安全目标水平的对比表

正常类有人机发生致命事故的概率值大约为每万飞行小时1次，即事故率为1×10-4/h。其中飞机自身故障导致的事故大约占事故总数的10%，并且一般假定一架飞机大约有10种潜在的灾难性失效，如果是复杂度高的，或者大型飞机一般假定100种灾难性失效，因此有人机目标安全水平定为1×10-6/h，复杂度高的或大型飞机目标安全水平定为1×10-7/h。考虑到无人机适航安全的最终目的是融入民航空域，所以JARUS的WG6工作组基于等效安全原则推定复杂度CL I 轻型固定翼或旋翼无人机的目标安全水平为1×10-6/h，复杂度CL II 轻型固定翼或旋翼的目标安全水平为1×10-7/h。

2 无人机系统失效状态分类

无人机系统的失效影响严重程度分为轻微的、重大的、危险的、灾难的共4种类型，定义内容因无人机特性而与有人机略有不同，具体如表2所示，从安全性边界、操纵特性、远程机组工作负荷、任务完成情况、致命情况5个方面进行评估。

表2 无人机系统失效状态严重程度定义

3 飞行控制系统对飞行安全性的影响

3.1 飞行控制系统组成架构

飞行控制系统一般包括飞控计算机、传感器和伺服作动设备。传感器用于感受无人机的姿态、航向、角速度、位置、速度等信息；飞控计算机进行飞行和任务设备信息的采集与处理，形成控制信号；伺服作动设备,包括舵回路板和舵机两部分，接收飞控计算机输出的控制信息，进行功率放大，驱动舵面和发动机节风门等机构进行相应的动作。飞行控制系统是典型的闭环反馈控制系统。相对有人机而言，无人机的飞行控制系统是全时限、全权限的[12]。

以某轻型无人机系统为例，飞机最大起飞重量为150公斤，巡航速度每小时180公里，巡航高度5 000米。飞行控制系统包括：飞控计算机、升降舵机、副翼舵机(1左1右)、方向舵机、油门舵机、伞降舵机、垂直陀螺、速率陀螺、卫星接收机、大气数据计算机、磁力计等，具体组成与接口关系如图1所示。图中遥控遥测属于测控分系统，该无人机还具备伞降回收控制能力。飞行控制系统把舵回路板融合进了飞控计算机，无人机飞控计算机是无人机的指挥中枢；垂直陀螺输出无人机的实时俯仰角、滚转角；速率陀螺输出三轴姿态角速度；卫星接收机输出经度、纬度、速度、高度、高度变化率、航迹角等；大气数据计算机输出大气高度、指示空速、真空速等；磁力计输出航向角；舵机是无人机舵面偏转的执行机构。

因此，以整体整合一体化自主调控为核心，整合基础医学各学科内容，构建了系统整合课程。例如将呼吸系统、心血管系统和血液系统充分整合，将消化系统、内分泌系统、泌尿生殖系统充分整合，课程以整体整合的理念，将形态结构、功能和治疗紧密结合，密切结合临床应用，希望打破传统教学中学科间的壁垒，使医学知识更加系统与完整，以求打破学科界限以实现各学科、各系统知识点的横向整合，打通基础课程与临床课程界限，以实现融会贯通的纵向整合。

图1 某型无人机飞行控制系统接口关系图

3.2 飞行控制方式

无人机飞行控制方式采用程控、遥控与自主飞行3种模式，以三维自主飞行方式为主[13]。飞行控制可以分为相对独立的纵向控制通道和横航向控制通道，该型无人机的纵向控制通道的控制原理如图2所示，采用经典的比例—积分—微分(PID)控制方法，图示中没有体现积分环节，因为该环节在特定条件下加入。该无人机的纵向运动主要包括俯仰和升降运动，通过升降舵来实现的。由于无人机沿纵向平面具有对称性，横航向控制通道工作原理同理。

图2 某型无人机纵向控制通道的控制原理图

3.3 功能危险分析

飞行控制系统的功能是产生控制指令，稳定飞行姿态角(俯仰角、滚转角、航向角)，控制发动机转速和飞行航迹(爬升、巡航、左右盘旋、高度保持、下降)，使无人机达到给定的飞行状态、按期望的轨迹飞行，并实现对干扰的抑制。

该型无人机的飞行包络线为起飞(T)、空中自主飞行(F)，和伞降回收(L)三个阶段。起飞阶段，以程控模式，按规定航向爬升切入航线的初始航点，起飞段封锁横向遥控指令。空中自主飞行段按航路设置进行爬升、或下滑、拐弯、平飞飞行，并按要求执行任务。伞降回收段分两段，从航路的末航点调整飞行至指定空域的开伞高度和航向，然后弹出降落伞，关闭发动机。对飞行控制系统进行功能危险分析，具体见表3，表中的“短时不足”、“持续不足”中的不足定义为，期望值与实际值存在固定的或随机的偏差。

表3 某型无人机飞行控制系统的飞行控制FHA

表3说明，俯仰或滚转姿态控制的失效、偏航姿态控制的持续失效对无人机飞行影响等级为I、II级。起飞段出现俯仰、或滚转控制的短时失效，无人机掉高，可能致使无人机坠地，一旦进行空中飞行阶段后，其影响程度降低。

3.4 部件FMEA

由于俯仰或滚转姿态控制对无人机飞行安全影响至关重要，首先分析姿态传感器，如垂直陀螺(输出俯仰角、滚转角)故障模式对飞行安全的影响，具体见表4，其他部件依此进行。

表4 垂直陀螺部件FMEA

速率陀螺输出的三轴姿态角速度，被用于纵横向控制中微分环节的输入信号。当发生姿态角速度振荡、完全不工作时，无人机遇风等抗干扰能力大大下降，安全边界大幅显著降低，对飞行安全的影响等级为II级。

升降舵、副翼舵、方向舵驱动飞机舵面的偏转，若发生信号振荡、饱和或卡死、不工作、时工作时不工作的故障时，飞机姿态与轨迹完全不受控，对飞行安全的影响等级为I级。该型无人机的发动机油门开度一旦为零，发动机就停止工作。所以其故障模式影响分析与升降舵、副翼舵、方向舵的故障模式影响分析类似，达到I级影响故障模式存在4种。

卫星接收机输出的无人机飞行实时经度、纬度、航迹角、速度等信息，被用于自主导航控制解算、平飞时纵向控制率解算。发生信号振荡、饱和、不工作、时工作时不工作故障时，可采用磁力计和大气数据计算机信息进行计算[15]，并切换至遥控方式飞行，但无人机的三维自主飞行功能显著丧失，远程机组工作负荷显著增加，故障影响程度为II级。大气数据计算机、磁力计发生故障时，因这两者为自主导航飞行时卫星接收机的备份传感器，故障影响程度为III或IV级，漂移故障对飞行安全没有影响。

某轻型无人机飞行控制系统部件发生故障后对飞行安全影响程度清单见表5。

表5 某轻型无人机飞行控制系统部件失效影响严重程度清单

3.5 安全关键清单和期望安全水平

通过飞行控制系统FHA和FMEA分析，对无人机飞行安全产生重要影响的飞行控制系统关键部件为飞控计算机、姿态角传感器、舵面执行机构和卫星接收机。

我国轻小型无人机中的IV类规定最大起飞重量不超过150公斤，由于起飞重量大，飞机机舱空间也大，机载设备随着技术的进步体积已越来越微小型化，无人机的自主控制能力逐步增强，其复杂度越来越高，因此可设定未来起飞全重25公斤至150公斤的轻型无人机的适航安全水平为复杂度CL II级的目标安全水平，具体期望指标为1×10-7/h。基于飞行控制系统的FHA与部件的FMEA分析，飞行控制系统在研制过程中目标安全水平为1×10-7/h，飞控计算机、姿态角传感器、舵面执行机构这类对飞行安全起关键作用的部件的目标安全水平为1×10-7/h，卫星接收机、角速率传感器目标安全水平为1×10-6/h，高度/速度传感器、航向传感器的安全性水平与其使用方式有关，鉴于目前无人机自主导航控制信息来源一般为卫星接收机(GPS/BD/GLONASS)，高度/速度传感器、航向传感器的安全性水平被降低等级，具体如表6所示。根据ARP4754A的研制保证等级(DAL)的分配原则[14]和JARUS 2015年11月发布的关于无人机安全评估标准RPAS1309，“失效状态严重性越高，对应的DAL等级越高”。研制过程的质量保证等级分为5个等级：A、B、C、D、E，A等级最高。轻型无人机的期望安全水平经分析为1×10-7/h，没有达到1×10-9/h的民航客机要求，所以飞控计算机、姿态角传感器、舵面执行机构研制过程的质量保证等级建议为B。

表6 轻型无人机飞行控制系统期望安全水平

4 实验结果与分析

由于飞行控制系统部件多，下面选两个部件姿态传感器和飞控计算机故障进行验证分析。基于该轻型无人机系统，在飞行控制系统半实物仿真平台进行仿真飞行试验。在自主飞行的平飞段注入姿态角传感器的滚转角信号输出故障(图4)，试验发现无人机俯仰姿态剧烈振荡，并逐渐开始发散，如图5所示。

图4 平飞段滚转角异常曲线

图5 平飞段俯仰角曲线

某次外场飞行试验的中，不明原因导致无人机机上27伏供电电源被拉低，飞控计算机复位，无人机俯仰、滚转姿态剧烈变化，飞行试验险些失败。飞控计算机复位后无人机姿态曲线如图6所示。

图6 飞控计算机复位后无人机姿态曲线

飞行控制系统半实物仿真中的滚转角故障和空中飞行试验中飞控计算机复位问题，验证了两个设备对无人机飞行安全具有重要作用。安全关键清单中的舵面执行机构、卫星接收机的失效影响也可依此进行仿真验证。

5 结束语

从民机事故统计的角度讨论了民机目标安全水平的确定方法，通过FHA和FMEA确定了轻型无人机飞行控制系统影响飞行安全的关键部件为飞控计算机、舵面执行机构、姿态角传感器、卫星接收机，飞行控制系统及其重要部件的目标安全水平为1×10-7/h。

起飞全重25公斤至150公斤的无人机系统，可飞行至民机的飞行空域执行复杂任务，其飞控计算机，软硬件功能强大而复杂，接口信号可达百路之多，飞行控制软件源程序代码也上万行。飞控计算机的故障种类多、数量多，是影响无人机飞行安全的关键要素中的关键，其研制过程中质量保证等级建议提高到最高等级A级。