eVTOL 飞控计算机（核心控制）：三余度表决、实时调度与失效切换

一句话答案：飞控计算机（核心控制单元）不是「买一块性能更强的板子」，而是买一套能被审定接受的失效逻辑：三余度（或双余度+独立备份）通道、写死的表决与降级顺序、可测量的时间确定性，以及拿得出手的 DO-178C / DO-254 生命周期证据。预算里最容易被低估的不是硬件，是验证与文档，它通常吃掉总投入的四成以上。

一、痛点：飞控计算机出事，往往不是算不动，是「抖一下」

整机团队常见的误判是拿消费电子的经验选飞控机：看主频、看核数、看跑分。适航审查关心的恰恰不是这些。

• 平均性能好，最坏情况没人管：标称 20 ms 的控制周期，在总线拥塞或日志写盘时抖到 60 ms，姿态回路就开始振荡。审查看的是 WCET（最坏执行时间），不是平均值。
• 三余度是纸面三余度：三条通道共用一路电源、一个时钟源、一套大气数据，任何一处故障同时打掉三票，共因失效（CCA）直接不通过。
• 表决器自己没被表决：表决逻辑写在某一通道里，那一通道错了，表决结果也错。
• 降级顺序没定义：三余度掉一票之后是继续任务、限速返航还是立即着陆？设计阶段不写死，试飞员现场只能靠猜。
• 软件证据链缺环：代码能跑，但没有需求追溯矩阵、没有 MC/DC 覆盖率报告，DAL A/B 的软件在审定环节等于不存在。

这五条的共同点是：没有一条能靠换更贵的芯片解决。它们全部属于架构与流程问题，必须在选型阶段就写进合同。

二、依据：软件与硬件两条证据链

飞控计算机的合规路径相对成熟，但必须按机型类别和功能失效影响选条款，不能整套照搬：

• 软件：DO-178C（机载系统和设备合格审定中的软件考虑）。飞控核心功能通常落在 A/B 级，A 级要求 MC/DC 覆盖与独立的验证活动。
• 硬件：DO-254（机载电子硬件设计保证），复杂电子硬件（如 FPGA、ASIC）要按等级做验证。
• 环境：DO-160G，按实际安装舱位确定温度和振动类别，不要无脑选最高档——档位越高，成本和交期越高。
• 系统与安全评估：ARP4754A（系统研制）＋ ARP4761（安全评估方法），产出 FHA、PSSA、SSA 与 CCA 四份东西。
• 国内运行侧：载人类按局方审定的专用条件执行，具体条款适用以审定基础为准；这里不做条款推断。

三、架构：三层余度 + 两条必须独立的共用主线

把飞控计算机拆开看，其实是四段：

• 感知层做余度：三套 IMU/AHRS、两套大气数据（ADC）、GNSS 位置至少两源。注意气动数据如果三个传感器共用一根皮托管，余度是假的。
• 表决层做隔离：2oo3 中值表决是主流做法，关键是表决器本身要独立——独立供电、独立时钟、独立内存区，最好跑在物理隔离的监控通道上。
• 执行层做仲裁：作动指令下发前要有二次限幅（速率、角度、电流），防止单通道错误指令直接驱动舵机。
• 时间与电源是共用主线：这两条是共因失效的高发区。工程上常见的做法是双时钟源（GNSS 授时 + 本地晶振）互为备份，双电源（主汇流条 + 独立电池）自动切换，切换过程不影响控制周期。

总线侧：CAN FD 适合中小型机，ARINC 664（AFDX）或 TSN 千兆以太网适合大型多通道架构。外环（航线与管理）10–20 ms，内环（姿态）100–400 Hz，这是工程上的常见量级，实际按机型和操纵品质要求定。

四、参数清单：采购谈判要盯住的 8 个指标

以上为工程常见量级，具体随机型、构型与审定基础浮动，采购时以厂商书面承诺和实测数据为准。

五、实施计划：18 周从选型到 HIL 通过

六、验收与运维：三类测试缺一不可

• 功能测试：正常包线内的控制律响应、模式切换、限幅生效。
• 鲁棒性测试：传感器卡死/漂移/跳变、总线丢帧与错帧、表决器单通道报错、时钟源漂移、掉电重启后的状态恢复。
• 时间确定性测试：负载 80% 与 100% 两种工况下的周期与抖动统计，要求给出分布而非单点。

运维侧要写进合同的：备件率（关键件建议 10%–15%）、返修周期（4–8 周为常见区间）、软件补丁与工具链支持年限（建议 ≥10 年，飞控软件的生命周期比整机还长）。SLA 建议按「故障响应 4 h、备件发运 48 h、现场支持 72 h」这类可核查口径写。

七、预算构成：硬件只占三成

给结构不给总价，因为总量级完全取决于等级与是否复用平台：

• 飞控计算机硬件（含备份通道）：25%–35%
• 控制律与软件：20%–25%
• 验证与试验（HIL、铁鸟、故障注入）：25%–30%
• 适航文档与审查配合：10%–15%
• 备件、培训与工具链：5%–8%

如果供应商已有同等级平台可复用，软件与验证两项能压下来一大截；反过来，首型自研通常会在验证环节超支。以上比例以实际等级、机型和工程量清单为准。

八、常见问题

Q1：能不能用工业级甚至车规级方案省钱？

载人机型不建议。车规的失效率口径与机载不同，缺少 DO-254 的硬件生命周期证据，也没有 DO-160 的环境鉴定。载人项目上省下的硬件钱，通常会在补充试验和审定时成倍还回去。无人货运可以按风险分级讨论，但仍需局方认可。

Q2：双余度够不够？

看失效影响。双余度在「一次故障后仍能安全飞行与着陆」的前提下可行，但前提是两条通道完全独立且有明确的降级模式（限速、限高、缩短航线）。若失效后需要立即着陆，就要评估着陆场可用性，很多时候反而不如三余度。

Q3：自研还是买货架？

判断标准是「有没有人愿意为你的软件付审定费用」。团队规模小于 30 人、且首型取证周期紧，买货架＋定制控制律更现实；有条件长期迭代、且控制律本身是核心竞争力的，自研硬件平台＋第三方软件验证是折中路线。

Q4：飞控计算机和航电是什么关系？

飞控计算机是航电里的一个子系统，负责「算与表决」；航电是更大的集合，还包括导航、通信、显示与飞行管理。想先看全局，可以读我们另一篇eVTOL 航电架构：三余度飞控、组合导航与适航符合性路径。

Q5：整套下来大概什么量级？

不给总价，因为差异可能在数倍。可核对的判断方法是：先确定 DAL 等级与余度架构，再让供应商按「硬件 / 软件 / 验证 / 文档」四项分别报价，四项里验证与文档的报价完整度，基本能看出这家有没有真正做过适航项目。

延伸阅读

• eVTOL 航电架构：三余度飞控、组合导航与适航符合性路径
• eVTOL 导航系统选型：GNSS/INS 组合、抗干扰与完好性监测
• eVTOL 飞行管理（FMS）：航路规划、能量管理与失联预案
• eVTOL 供应链采购：四大件选型与验厂清单
• eVTOL 座舱综合显示：显示分级、告警优先级与人因适航

评论区留下你的机型、构型与目标场景，我们按你的参数出一份核心控制配置单；需要当面聊的，也可约一次 30 分钟技术沟通（010-60777639）。