羅秋鳳，高艷輝，張 銳，徐偉程，王海龍

(1.南京航空航天大學(xué) 無人機(jī)研究院，南京 211106；2.中小型無人機(jī)先進(jìn)技術(shù)工業(yè)和信息化部重點實驗室,南京 211106；3.山東長城計算機(jī)系統(tǒng)有限公司，山東 煙臺 264003)

0 引言

2018年12月和2019年1月，英國倫敦希斯羅和蓋特威克機(jī)場因無人機(jī)擾航而關(guān)閉，數(shù)萬名旅客滯留在機(jī)場。2017年4月，我國西南地區(qū)多個民用機(jī)場遭無人機(jī)擾航，造成數(shù)百個航班取消和延誤。截止2019年5月，我國無人機(jī)登記數(shù)量已達(dá)33萬多架，最大起飛重量25公斤至150公斤的無人機(jī)近3萬架。

針對龐大數(shù)量的民用無人機(jī)航空活動的自身安全與民機(jī)空域安全問題，世界各國航空機(jī)構(gòu)主要從“運(yùn)行管理”、“適航審定”兩個角度進(jìn)行管理?！斑\(yùn)行管理”的研究側(cè)重空中交通管理，從空域劃分、運(yùn)行限制、空中交通規(guī)則等方面研究無人機(jī)的飛行安全性?！斑m航審定”的研究側(cè)重?zé)o人機(jī)系統(tǒng)的設(shè)計和制造質(zhì)量提高、過程質(zhì)量保證、適航性驗證等方面，主要關(guān)注無人機(jī)的設(shè)計和制造是否符合適航審定要求[1-5]。

我國把起飛全重25公斤至150公斤的無人機(jī)歸類到輕小無人機(jī)的第四類(IV)[6]，隨著機(jī)體材料、動力裝置、飛行控制與導(dǎo)航技術(shù)的發(fā)展，該類無人機(jī)的飛行區(qū)域可完全融入民機(jī)的飛行空域。

2000年至2013年美國空軍無人機(jī)系統(tǒng)的MQ-1/MQ-9 Predator捕食者、RQ-4 Global Hawk全球鷹和MQ-9 Reaper收割者三類無人機(jī)災(zāi)難性事故數(shù)據(jù)表明，無人機(jī)系統(tǒng)本體故障是災(zāi)難性事故的主要誘因，占比近七成，本體故障的主要來源又是機(jī)載設(shè)備故障[7]。在無人機(jī)系統(tǒng)中，飛行控制系統(tǒng)負(fù)責(zé)無人機(jī)的飛行控制、自主導(dǎo)航、飛行管理、任務(wù)管理、動力裝置控制、信息交匯等，涉及的機(jī)載設(shè)備一般包括：姿態(tài)角傳感器、姿態(tài)角速度傳感器、高度傳感器、速度傳感器、航向傳感器、導(dǎo)航定位傳感器、多個伺服作動器、飛控計算機(jī)、檢測與避障裝置等主要10種機(jī)載設(shè)備。飛行控制系統(tǒng)設(shè)備種類多，占比大，對無人機(jī)系統(tǒng)飛行安全影響大，因此有必要研究飛行控制系統(tǒng)期望安全性水平、飛控機(jī)載設(shè)備失效對輕型無人機(jī)飛行安全性的影響。其中的檢測與避障裝置基本在文中不對其討論分析。

1 LUAV的期望安全水平

JARUS的WG6工作組在充分考慮到無人機(jī)系統(tǒng)特點的情況下，對載人航空器(簡稱 “有人機(jī)”)的“1309”標(biāo)準(zhǔn)進(jìn)行剪裁，于2015年11月發(fā)布了第二版的無人機(jī)系統(tǒng)安全評估的可接受符合性方法AMC RPAS1309[8]。

1.1 復(fù)雜性等級分類

根據(jù)載人航空器現(xiàn)有的初始適航要求，目前主要使用諸如重量、乘客數(shù)量、發(fā)動機(jī)類型/數(shù)量和性能等參數(shù)來區(qū)分飛機(jī)等級。為了更好地適應(yīng)無人機(jī)的新特點，同時考慮到便于后續(xù)研制保證等級(DAL)的分配，AMC RPAS1309提出了一種基于系統(tǒng)復(fù)雜性等級(CL)的分類方案。根據(jù)該方案將無人機(jī)系統(tǒng)分為以下四類：

1)復(fù)雜性等級I(CL I)：自動駕駛與自主執(zhí)行任務(wù)的功能具有一定的權(quán)限，并始終提供無人機(jī)駕駛員的手動操控權(quán)限。軟件和機(jī)載電子硬件(AEH)的使用是有限的比CL I的高；

2)復(fù)雜性等級II(CL II)：控制系統(tǒng)可具備無人機(jī)系統(tǒng)飛行管理的全部權(quán)限，能自主執(zhí)行任務(wù)。萬一出現(xiàn)失效，如果需要的化，無人機(jī)駕駛員可以介入，除非故障條件可以證明是極不可能的。軟件和機(jī)載電子硬件(AEH)被廣泛地大量使用；

3)復(fù)雜性等級III (CL III )：具有完全的自主控制權(quán)限，這一類無人機(jī)系統(tǒng)在RPAS1309中不探討。

1.2 期望安全水平

數(shù)據(jù)統(tǒng)計表明，具體見表1，歐洲航空安全局頒布的CS-25大型運(yùn)輸類飛機(jī)的目標(biāo)安全水平1×10-6/h(來源AMC 25.1309)與真實事故率4.8×10-6/h具有相同的數(shù)量級，并提供了保守的安全裕度；對于CS-23 I正常類飛機(jī)目標(biāo)安全水平1×10-4/h(AC 23.1309-1E)接近非公共交通類常規(guī)飛機(jī)的真實事故率1.79×10-4/h[9-11]。

表1 有人機(jī)實際事故率與適航安全目標(biāo)水平的對比表

正常類有人機(jī)發(fā)生致命事故的概率值大約為每萬飛行小時1次，即事故率為1×10-4/h。其中飛機(jī)自身故障導(dǎo)致的事故大約占事故總數(shù)的10%，并且一般假定一架飛機(jī)大約有10種潛在的災(zāi)難性失效，如果是復(fù)雜度高的，或者大型飛機(jī)一般假定100種災(zāi)難性失效，因此有人機(jī)目標(biāo)安全水平定為1×10-6/h，復(fù)雜度高的或大型飛機(jī)目標(biāo)安全水平定為1×10-7/h?？紤]到無人機(jī)適航安全的最終目的是融入民航空域，所以JARUS的WG6工作組基于等效安全原則推定復(fù)雜度CL I 輕型固定翼或旋翼無人機(jī)的目標(biāo)安全水平為1×10-6/h，復(fù)雜度CL II 輕型固定翼或旋翼的目標(biāo)安全水平為1×10-7/h。

2 無人機(jī)系統(tǒng)失效狀態(tài)分類

無人機(jī)系統(tǒng)的失效影響嚴(yán)重程度分為輕微的、重大的、危險的、災(zāi)難的共4種類型，定義內(nèi)容因無人機(jī)特性而與有人機(jī)略有不同，具體如表2所示，從安全性邊界、操縱特性、遠(yuǎn)程機(jī)組工作負(fù)荷、任務(wù)完成情況、致命情況5個方面進(jìn)行評估。

表2 無人機(jī)系統(tǒng)失效狀態(tài)嚴(yán)重程度定義

3 飛行控制系統(tǒng)對飛行安全性的影響

3.1 飛行控制系統(tǒng)組成架構(gòu)

飛行控制系統(tǒng)一般包括飛控計算機(jī)、傳感器和伺服作動設(shè)備。傳感器用于感受無人機(jī)的姿態(tài)、航向、角速度、位置、速度等信息；飛控計算機(jī)進(jìn)行飛行和任務(wù)設(shè)備信息的采集與處理，形成控制信號；伺服作動設(shè)備,包括舵回路板和舵機(jī)兩部分，接收飛控計算機(jī)輸出的控制信息，進(jìn)行功率放大，驅(qū)動舵面和發(fā)動機(jī)節(jié)風(fēng)門等機(jī)構(gòu)進(jìn)行相應(yīng)的動作。飛行控制系統(tǒng)是典型的閉環(huán)反饋控制系統(tǒng)。相對有人機(jī)而言，無人機(jī)的飛行控制系統(tǒng)是全時限、全權(quán)限的[12]。

以某輕型無人機(jī)系統(tǒng)為例，飛機(jī)最大起飛重量為150公斤，巡航速度每小時180公里，巡航高度5 000米。飛行控制系統(tǒng)包括：飛控計算機(jī)、升降舵機(jī)、副翼舵機(jī)(1左1右)、方向舵機(jī)、油門舵機(jī)、傘降舵機(jī)、垂直陀螺、速率陀螺、衛(wèi)星接收機(jī)、大氣數(shù)據(jù)計算機(jī)、磁力計等，具體組成與接口關(guān)系如圖1所示。圖中遙控遙測屬于測控分系統(tǒng)，該無人機(jī)還具備傘降回收控制能力。飛行控制系統(tǒng)把舵回路板融合進(jìn)了飛控計算機(jī)，無人機(jī)飛控計算機(jī)是無人機(jī)的指揮中樞；垂直陀螺輸出無人機(jī)的實時俯仰角、滾轉(zhuǎn)角；速率陀螺輸出三軸姿態(tài)角速度；衛(wèi)星接收機(jī)輸出經(jīng)度、緯度、速度、高度、高度變化率、航跡角等；大氣數(shù)據(jù)計算機(jī)輸出大氣高度、指示空速、真空速等；磁力計輸出航向角；舵機(jī)是無人機(jī)舵面偏轉(zhuǎn)的執(zhí)行機(jī)構(gòu)。

因此，以整體整合一體化自主調(diào)控為核心，整合基礎(chǔ)醫(yī)學(xué)各學(xué)科內(nèi)容，構(gòu)建了系統(tǒng)整合課程。例如將呼吸系統(tǒng)、心血管系統(tǒng)和血液系統(tǒng)充分整合，將消化系統(tǒng)、內(nèi)分泌系統(tǒng)、泌尿生殖系統(tǒng)充分整合，課程以整體整合的理念，將形態(tài)結(jié)構(gòu)、功能和治療緊密結(jié)合，密切結(jié)合臨床應(yīng)用，希望打破傳統(tǒng)教學(xué)中學(xué)科間的壁壘，使醫(yī)學(xué)知識更加系統(tǒng)與完整，以求打破學(xué)科界限以實現(xiàn)各學(xué)科、各系統(tǒng)知識點的橫向整合，打通基礎(chǔ)課程與臨床課程界限，以實現(xiàn)融會貫通的縱向整合。

圖1 某型無人機(jī)飛行控制系統(tǒng)接口關(guān)系圖

3.2 飛行控制方式

無人機(jī)飛行控制方式采用程控、遙控與自主飛行3種模式，以三維自主飛行方式為主[13]。飛行控制可以分為相對獨(dú)立的縱向控制通道和橫航向控制通道，該型無人機(jī)的縱向控制通道的控制原理如圖2所示，采用經(jīng)典的比例—積分—微分(PID)控制方法，圖示中沒有體現(xiàn)積分環(huán)節(jié)，因為該環(huán)節(jié)在特定條件下加入。該無人機(jī)的縱向運(yùn)動主要包括俯仰和升降運(yùn)動，通過升降舵來實現(xiàn)的。由于無人機(jī)沿縱向平面具有對稱性，橫航向控制通道工作原理同理。

圖2 某型無人機(jī)縱向控制通道的控制原理圖

3.3 功能危險分析

飛行控制系統(tǒng)的功能是產(chǎn)生控制指令，穩(wěn)定飛行姿態(tài)角(俯仰角、滾轉(zhuǎn)角、航向角)，控制發(fā)動機(jī)轉(zhuǎn)速和飛行航跡(爬升、巡航、左右盤旋、高度保持、下降)，使無人機(jī)達(dá)到給定的飛行狀態(tài)、按期望的軌跡飛行，并實現(xiàn)對干擾的抑制。

該型無人機(jī)的飛行包絡(luò)線為起飛(T)、空中自主飛行(F)，和傘降回收(L)三個階段。起飛階段，以程控模式，按規(guī)定航向爬升切入航線的初始航點，起飛段封鎖橫向遙控指令?？罩凶灾黠w行段按航路設(shè)置進(jìn)行爬升、或下滑、拐彎、平飛飛行，并按要求執(zhí)行任務(wù)。傘降回收段分兩段，從航路的末航點調(diào)整飛行至指定空域的開傘高度和航向，然后彈出降落傘，關(guān)閉發(fā)動機(jī)。對飛行控制系統(tǒng)進(jìn)行功能危險分析，具體見表3，表中的“短時不足”、“持續(xù)不足”中的不足定義為，期望值與實際值存在固定的或隨機(jī)的偏差。

表3 某型無人機(jī)飛行控制系統(tǒng)的飛行控制FHA

表3說明，俯仰或滾轉(zhuǎn)姿態(tài)控制的失效、偏航姿態(tài)控制的持續(xù)失效對無人機(jī)飛行影響等級為I、II級。起飛段出現(xiàn)俯仰、或滾轉(zhuǎn)控制的短時失效，無人機(jī)掉高，可能致使無人機(jī)墜地，一旦進(jìn)行空中飛行階段后，其影響程度降低。

3.4 部件FMEA

由于俯仰或滾轉(zhuǎn)姿態(tài)控制對無人機(jī)飛行安全影響至關(guān)重要，首先分析姿態(tài)傳感器，如垂直陀螺(輸出俯仰角、滾轉(zhuǎn)角)故障模式對飛行安全的影響，具體見表4，其他部件依此進(jìn)行。

表4 垂直陀螺部件FMEA

速率陀螺輸出的三軸姿態(tài)角速度，被用于縱橫向控制中微分環(huán)節(jié)的輸入信號。當(dāng)發(fā)生姿態(tài)角速度振蕩、完全不工作時，無人機(jī)遇風(fēng)等抗干擾能力大大下降，安全邊界大幅顯著降低，對飛行安全的影響等級為II級。

升降舵、副翼舵、方向舵驅(qū)動飛機(jī)舵面的偏轉(zhuǎn)，若發(fā)生信號振蕩、飽和或卡死、不工作、時工作時不工作的故障時，飛機(jī)姿態(tài)與軌跡完全不受控，對飛行安全的影響等級為I級。該型無人機(jī)的發(fā)動機(jī)油門開度一旦為零，發(fā)動機(jī)就停止工作。所以其故障模式影響分析與升降舵、副翼舵、方向舵的故障模式影響分析類似，達(dá)到I級影響故障模式存在4種。

衛(wèi)星接收機(jī)輸出的無人機(jī)飛行實時經(jīng)度、緯度、航跡角、速度等信息，被用于自主導(dǎo)航控制解算、平飛時縱向控制率解算。發(fā)生信號振蕩、飽和、不工作、時工作時不工作故障時，可采用磁力計和大氣數(shù)據(jù)計算機(jī)信息進(jìn)行計算[15]，并切換至遙控方式飛行，但無人機(jī)的三維自主飛行功能顯著喪失，遠(yuǎn)程機(jī)組工作負(fù)荷顯著增加，故障影響程度為II級。大氣數(shù)據(jù)計算機(jī)、磁力計發(fā)生故障時，因這兩者為自主導(dǎo)航飛行時衛(wèi)星接收機(jī)的備份傳感器，故障影響程度為III或IV級，漂移故障對飛行安全沒有影響。

某輕型無人機(jī)飛行控制系統(tǒng)部件發(fā)生故障后對飛行安全影響程度清單見表5。

表5 某輕型無人機(jī)飛行控制系統(tǒng)部件失效影響嚴(yán)重程度清單

3.5 安全關(guān)鍵清單和期望安全水平

通過飛行控制系統(tǒng)FHA和FMEA分析，對無人機(jī)飛行安全產(chǎn)生重要影響的飛行控制系統(tǒng)關(guān)鍵部件為飛控計算機(jī)、姿態(tài)角傳感器、舵面執(zhí)行機(jī)構(gòu)和衛(wèi)星接收機(jī)。

我國輕小型無人機(jī)中的IV類規(guī)定最大起飛重量不超過150公斤，由于起飛重量大，飛機(jī)機(jī)艙空間也大，機(jī)載設(shè)備隨著技術(shù)的進(jìn)步體積已越來越微小型化，無人機(jī)的自主控制能力逐步增強(qiáng)，其復(fù)雜度越來越高，因此可設(shè)定未來起飛全重25公斤至150公斤的輕型無人機(jī)的適航安全水平為復(fù)雜度CL II級的目標(biāo)安全水平，具體期望指標(biāo)為1×10-7/h。基于飛行控制系統(tǒng)的FHA與部件的FMEA分析，飛行控制系統(tǒng)在研制過程中目標(biāo)安全水平為1×10-7/h，飛控計算機(jī)、姿態(tài)角傳感器、舵面執(zhí)行機(jī)構(gòu)這類對飛行安全起關(guān)鍵作用的部件的目標(biāo)安全水平為1×10-7/h，衛(wèi)星接收機(jī)、角速率傳感器目標(biāo)安全水平為1×10-6/h，高度/速度傳感器、航向傳感器的安全性水平與其使用方式有關(guān)，鑒于目前無人機(jī)自主導(dǎo)航控制信息來源一般為衛(wèi)星接收機(jī)(GPS/BD/GLONASS)，高度/速度傳感器、航向傳感器的安全性水平被降低等級，具體如表6所示。根據(jù)ARP4754A的研制保證等級(DAL)的分配原則[14]和JARUS 2015年11月發(fā)布的關(guān)于無人機(jī)安全評估標(biāo)準(zhǔn)RPAS1309，“失效狀態(tài)嚴(yán)重性越高，對應(yīng)的DAL等級越高”。研制過程的質(zhì)量保證等級分為5個等級：A、B、C、D、E，A等級最高。輕型無人機(jī)的期望安全水平經(jīng)分析為1×10-7/h，沒有達(dá)到1×10-9/h的民航客機(jī)要求，所以飛控計算機(jī)、姿態(tài)角傳感器、舵面執(zhí)行機(jī)構(gòu)研制過程的質(zhì)量保證等級建議為B。

表6 輕型無人機(jī)飛行控制系統(tǒng)期望安全水平

4 實驗結(jié)果與分析

由于飛行控制系統(tǒng)部件多，下面選兩個部件姿態(tài)傳感器和飛控計算機(jī)故障進(jìn)行驗證分析?；谠撦p型無人機(jī)系統(tǒng)，在飛行控制系統(tǒng)半實物仿真平臺進(jìn)行仿真飛行試驗。在自主飛行的平飛段注入姿態(tài)角傳感器的滾轉(zhuǎn)角信號輸出故障(圖4)，試驗發(fā)現(xiàn)無人機(jī)俯仰姿態(tài)劇烈振蕩，并逐漸開始發(fā)散，如圖5所示。

圖4 平飛段滾轉(zhuǎn)角異常曲線

圖5 平飛段俯仰角曲線

某次外場飛行試驗的中，不明原因?qū)е聼o人機(jī)機(jī)上27伏供電電源被拉低，飛控計算機(jī)復(fù)位，無人機(jī)俯仰、滾轉(zhuǎn)姿態(tài)劇烈變化，飛行試驗險些失敗。飛控計算機(jī)復(fù)位后無人機(jī)姿態(tài)曲線如圖6所示。

圖6 飛控計算機(jī)復(fù)位后無人機(jī)姿態(tài)曲線

飛行控制系統(tǒng)半實物仿真中的滾轉(zhuǎn)角故障和空中飛行試驗中飛控計算機(jī)復(fù)位問題，驗證了兩個設(shè)備對無人機(jī)飛行安全具有重要作用。安全關(guān)鍵清單中的舵面執(zhí)行機(jī)構(gòu)、衛(wèi)星接收機(jī)的失效影響也可依此進(jìn)行仿真驗證。

5 結(jié)束語

從民機(jī)事故統(tǒng)計的角度討論了民機(jī)目標(biāo)安全水平的確定方法，通過FHA和FMEA確定了輕型無人機(jī)飛行控制系統(tǒng)影響飛行安全的關(guān)鍵部件為飛控計算機(jī)、舵面執(zhí)行機(jī)構(gòu)、姿態(tài)角傳感器、衛(wèi)星接收機(jī)，飛行控制系統(tǒng)及其重要部件的目標(biāo)安全水平為1×10-7/h。

起飛全重25公斤至150公斤的無人機(jī)系統(tǒng)，可飛行至民機(jī)的飛行空域執(zhí)行復(fù)雜任務(wù)，其飛控計算機(jī)，軟硬件功能強(qiáng)大而復(fù)雜，接口信號可達(dá)百路之多，飛行控制軟件源程序代碼也上萬行。飛控計算機(jī)的故障種類多、數(shù)量多，是影響無人機(jī)飛行安全的關(guān)鍵要素中的關(guān)鍵，其研制過程中質(zhì)量保證等級建議提高到最高等級A級。