一种具有通用性的临空飞艇航电系统设计

崔忠林 皇甫流成 朱承祥

（1.中国电子科技集团公司第三十八研究所 安徽省合肥市 230088 2.空装驻合肥地区第一军事代表室 安徽省合肥市 230088）

临空飞艇是一种高空无人飞行平台，体积从几千立方米到几十万立方米不等，一般飞行在18km～20km 高度的平流层弱风层[1]，由太阳能电池、可充电电池为系统提供循环能源，携带通信基站、光电吊舱、雷达侦察等任务载荷，综合利用大气环流、高空动力进行机动飞行，可较长时间在指定区域驻留，具备“站得高、看得远”、长航时、效费比高等优势，受到国内外的广泛关注，具有广泛的民用、军用价值。典型临空飞艇的外形示意如图1所示。

图1：典型临空飞艇外形示意图

临空飞艇主要由囊体结构、航电系统、动力推进、能源供给、压力调节等构成，航电系统实现飞艇飞行参数检测、飞行控制、空地数据传输、应急安控等，包括飞控计算机、导航定位、测控通信、安控装置等。航电系统故障可能会导致飞行任务失败，给飞艇平台安全带来严重风险，本文提出了一种基于设备交叉冗余的航电系统设计方法，该系统具有较好的通用性、高任务可靠性，全系统无确保无薄弱环节，其原理简图如图2所示。

图2：临空飞艇航电系统原理简图

飞控计算机实时采集飞艇位置、航姿、速度、囊体差压等飞行参数和系统状态信息，根据当前飞行任务，进行控制律解算，对飞艇动力、风机/阀门实施控制，实现航线飞行或区域驻留飞行；维持飞艇囊体内外部压差处于安全区间。正常/应急通信设备保证飞艇与地面的双向数据通信；应急安控是临空飞艇飞行试验安全重要保证[2]，必要时按程序实施飞艇自毁降落，确保不发生次生灾害。

1 空地通信

空地通信包括正常通信和应急通信，用于将飞艇飞行参数、状态信息等实时传输到地面指控中心，将人工操纵指令上传至艇载飞控计算机，支撑飞艇远程飞行监控。

1.1 正常通信

临空飞艇需长航时、大空域飞行，综合数据带宽、电磁环境等因素，空地正常通信设备采用L 频段自组网电台，具有无中心自组网、远距离、大带宽、低时延等优势，用于飞艇平台和任务载荷的数据传输。利用设备的自组网通信功能，部署多个地面测控站，进行接力传输，可实现更大空域的空地数据通信；也可支撑多个飞艇空中组网、协同应用。L 频段自组网电台实物如图3所示。

图3：L 频段自组网电台实物图

1.2 应急通信

应急通信设备是保证临空飞艇“全程可跟踪”最后的“风筝线”，仅用于飞艇平台飞行参数和主要状态信息的遥测下传，保证人工遥控指令的上行。应急通信采用天通通信终端，设备体积小、成本低，具有广域通信、不受地形遮挡、方便部署等优势。天通终端将飞艇遥控遥测数据按话音数据编码，利用卫星电话的语音通信功能，实现空地窄带数据传输。天通通信终端实物如图4所示。

图4：天通通信终端实物图

2 飞行控制

飞行控制主要包括双余度飞控计算机、导航定位、差压检测等设备，实现对飞艇的压力调节、航线飞行、区域驻留飞行等。轻量化低功耗飞控计算机、抗干扰差压检测、任务高可靠是飞行控制硬件设计的关键。

2.1 飞控计算机设计

与无人机、导弹等高动态飞行平台不同，飞艇平台具有明显的低动态、大惯性特性，降低了对飞控计算机性能的要求。飞控计算机采用FPGA+内嵌ARM 硬核架构，外扩PHY、AD、DIO、异步串口等接口芯片,设计接口滤波与保护电路，飞控计算机电路原理框图如图5所示。

图5：飞控计算机电路原理框图

飞控计算机主要性能和外部接口如下：

（1）处理器频率：80MHz；

（2）网口：10M/100M 自适应网络1 路；

（3）异步串口：RS422/485 接口13 路；

（4）AI：8 路；

（5）DIO：16 路；

图10：安控计算机原理简图

（6）功耗：≤4W；

（7）重量：≤340g。

飞控计算机实物图如图6所示。

图6：飞控计算机实物图

2.2 抗干扰差压检测

临空飞艇由多个软式结构的空气囊、氦气囊构成，各气囊内部由软帘布分割，须维持囊体一定的超压才能保证飞艇刚度和气动外形。其中氦气囊用于提供浮力，空气囊用于调节飞艇高度和内外压差。差压检测失效或错误可能会导致过量释氦、囊体破损、囊体刚度不足等严重故障，因此高可靠抗干扰差压检测是临空飞艇安全的前提。

临空飞艇气囊最大超压不大于3000pa,只有采用微差压传感器才能保证检测精度，而微差压传感器为电磁敏感设备，容易受到空间电磁辐射干扰、电源线和信号线传导干扰。工程应用中，将微差压传感器安装在电磁全屏蔽的差压检测盒体内，同时对差压检测电路板的供电、信号线接口进行电磁滤波设计，可满足GJB151B‐2013 标准对设备级电磁兼容的要求。差压检测接口滤波设计电路如图7所示，全屏蔽差压检测单元结构示意如图8所示。

图7：差压检测接口滤波设计电路

图8：全屏蔽差压检测单元结构示意图

电源接口采用四级滤波与防护设计，具有感应雷、电磁干扰防护能力。第一级的气体放电管(GDT)用于快速泄放感应雷信号；第二级、第三级由共模电感、X 电容、Y 电容构成，可有效抑制电源线上耦合的的差模、共模干扰；第四级的瞬态抑制二极管(TVS)可对瞬时浪涌和GDT 泄放后的残压起到进一步抑制的作用。

通信接口也采用四级滤波与防护设计， 第一级的两个Y 电容用于抑制信号线上的共模干扰；第二级的气体放电管用于大量泄放感应雷信号；第三级的电阻起到限流的作用，并对感应雷信号有一定的延时作用；第四级的TVS 用于对差分信号正负之间、信号线与地之间的电压进行防护，将信号线电压抑制在接口芯片安全电压范围内。

2.3 任务高可靠设计

临空飞艇要求具备连续几十甚至几百小时的较长航时飞行能力，这就对艇载电子设备的可靠性提出了很高的要求，而飞控计算机、导航等设备的自身复杂性制约了其单个设备的基本可靠性，本系统通过对飞行控制进行交叉冗余设计，实现了系统高任务可靠性，飞行控制交叉冗余设计原理简图如图9所示。

图9：飞行控制双余度设计原理简图

由图9，导航子系统采用异构交叉冗余设计，北斗接收机、GPS 接收机用于卫星定位，同时给主/辅光纤组合导航设备提供卫导数据，主/辅组合导航设备各自独立实时解算，任意GNSS 接收机、惯导组合设备正常，都可以输出有效的导航数据。主/辅差压检测单元分别对3 个氦气囊和3 个空气囊的内外压差进行检测，软式隔舱的多气囊间的差压相互耦合，只要对任一气囊的差压能够实时可靠测量，就可以保证艇体安全。

飞控计算机主/备机同时接收主/辅组合导航数据、主/辅差压检测数据，飞控主备机间进行数据交互，实施比较监控告警。系统默认优先采信主导航、主差压检测数据，执行飞控主机输出的飞行控制指令。根据比较监控告警信息，人工判决，切换导航、差压数据源和飞控主备机的控制权。按上述进行交叉冗余设计的飞行控制，全系统无单故障节点，经工程实际地面拷机测试中，系统连续工作15 天功能正常，实现了飞行控制任务高可靠。

3 应急安控

临空飞艇是一个系统复杂、当前技术成熟度较低无人航空飞行器，关键设备故障会导致飞艇失联、失控，进而对空域内民航、军机等造成严重安全隐患；飞艇非受控坠毁还可能会对地面人员、设施造成灾难性后果。应急安控是确保临空飞艇“全程安全可控”的最后屏障，其核心任务就是在系统发生重大不可逆故障、超出安全飞行空域、飞行任务终止等情况下，通过导爆索、囊体加热丝等手段撕毁飞艇囊体，快速释放氦气，确保飞艇尽快降落在安全区域内，避免产生次生灾害。

3.1 应急安控设计准则

为提高应急安控的可靠性，确保不发生误安控和漏安控，工程上将应急安控设计为功能单一、设备专用的子系统，由安控计算机、安控电池、安控链路和安控自毁机构构成。只有当飞艇与地面持续失联超过设定时长，才会自动执行应急自主安控程序，其它情况都由地面指挥员按飞行预案决策，必要时进行遥控安控。

临空飞艇大系统正常时，安控设备利用主电源和空地通信设备工作；主电源故障和空地通信故障时，安控设备利用安控电池、安控北斗设备工作，北斗短报文通信可保证应急安控遥控遥测[3]。

3.2 多冗余安控计算机

多模冗余的方式可有效提高计算机平台的可靠性和安全性[4]，三模冗余基于三取二的表决原理，当且仅当2 个以上的模块同时出现故障时（发生概率较低）才会输出错误结果，由此系统在安全性得以保证的同时可靠性也得以提高[5]。本系统中的安控计算机就是采用基于三模冗余架构的设计，原理简图如图10所示。

由图10，主电源、安控电源为安控计算机提供冗余28VDC，3个DCDC 模块组产生3 路3.3VDC，分别为3 个ARM 处理器芯片供电。3 个ARM 处理器同时接收、解析正常通信、应急通信、北斗通信全部链路数据，并进行故障诊断和倒计时，根据指令编码或故障诊断结果，各自独立产生两组解锁、自毁信号。只有解锁信号经三模冗余电路自表决有效后，才会使能自毁信号的三取二表决功能；经三取二表决有效后的两组自毁信号并联驱动输出，确保自毁有效执行。

3.3 可靠性设计

为进一步提高应急安控的任务可靠性，本系统中主要采用以下可靠性设计：

（1）自毁保护：软件设计待机态、工作态、应急态，启动默认为待机态，待机态不响应遥控自毁指令、不产生自控自毁信号。飞艇放飞后，人工切换为工作态，确保飞艇在地面试验阶段不发生误自毁。

（2）双冗余供电：主电源、安控电池并联输出，确保应急安控供电可靠。

（3）链路多通道：正常通信、应急通信、安控北斗3 条链路中的任意一条都可进行安控遥控遥测；安控计算机对上述3 条链路状态独立进行故障诊断，只有当全部链路持续故障才会触发链路中断倒计时，任一链路的通信恢复，会自动复位计数器；倒计时为零，将自动按程序执行飞艇自毁。

（4）3 通道独立ARM 平台： 3 套ARM 平台的电源、时钟、处理器等全部元器件完全独立，运行软件的代码完全一样，避免单个ARM 软件死机、跑飞等故障对系统功能的影响。

（5）遥控指令编码“5 判3”：遥控指令帧设置同步帧头、CRC 校验，对解锁、自毁等关键指令，进行5 次重复编码，只有解析出3 个及以上重复编码，才判定遥控指令有效，由此提高遥控安控的可靠性和安全性。

（6）遥控指令连续 “5 判3”：遥控指令编帧中有帧序号，帧序号自动逐条累加，安控软件识别并处理帧序号较大的最新遥控指令帧，只有在帧序号连续的5 条遥控指令帧中，解析出3 条及以上有效遥控指令，才执行安控，避免人为误操作的可能。

（7）自毁控制并联输出：三取二表决后的两路独立自毁信号，由继电器驱动转换，并联输出，任意一路自毁控制有效，就可以驱动安控执行，确保应急安控无单故障节点。

4 结束语

本文给出了一种具有通用性的临空飞艇航电系统设计方法，采用多链路空地数据通信、设备交叉冗余、电磁防护与抗干扰、安控三模冗余等设计技术和手段，使得航电系统具有较强的容错性、高任务可靠性和扩展性。该航电系统已在多型临空飞艇中应用，并经飞行试验验证。