CN116125870A - 多余度控制方法、仲裁单元、飞控系统及存储介质 - Google Patents

Abstract

本发明公开了多余度控制方法、仲裁单元、飞控系统及存储介质，通过增加一个仲裁单元，该仲裁单元接收各个飞控计算机的控制指令和校验码，进而根据该控制指令和校验码确定飞控计算机是否存在故障。当在判定某个飞控计算机发生故障时，则切断存在故障的飞控计算机的信号输出，并控制正常工作的飞控计算机将接收到的控制指令发送至作动器处理器，以实现对作动器处理器的控制。相比于现有技术，由于本申请的仲裁单元只需根据飞控计算机当前的控制指令和校验码，即可确定飞控计算机是否存在故障，并进行相应的控制，降低多余度飞控计算机故障检测过程中对仲裁单元的计算压力。

Description

多余度控制方法、仲裁单元、飞控系统及存储介质

技术领域

本发明涉及飞行器技术领域，尤其涉及一种多余度控制方法、仲裁单元、飞控系统及存储介质。

背景技术

随着小型飞行器设计技术、生产制造技术及相关配套产业的发展，小型飞行器的功能、性能、产量也逐渐稳定和成熟，小型飞行器的运营也逐渐向物流运输、载人运输等民用通航领域发展。然而，由于飞行平台本身的特殊性，对飞行器的安全性也提出了全新的挑战。

相关技术中，在对两飞控计算机进行性能和故障检测时，通过单片机仲裁单元接受两飞控计算机输出的状态信息并基于历史状态信息进行下一状态预测，如果某一飞控计算机下一状态输出不匹配仲裁单元的预测范围，则判定为飞控计算机失效。但是，仲裁单元需要对历史状态信息进行分析并预测飞控计算机下一输出范围，对仲裁单元的计算能力要求较高。

发明内容

本申请实施例通过提供一种多余度控制方法、仲裁单元、飞控系统及存储介质，旨在降低多余度飞控计算机故障检测过程中对仲裁单元的计算压力。

本申请实施例提供了一种应用于仲裁单元的飞控系统的多余度控制方法，所述飞控系统的多余度控制方法，包括：

接收至少两个飞控计算机的控制信息，所述控制信息包括控制指令和校验码；

根据所述控制信息，确定飞控计算机是否存在故障；

切断存在故障的飞控计算机的信号输出；

控制正常工作的飞控计算机将接收到的所述控制指令发送至作动器处理器。

此外，为实现上述目的，本发明还提供了一种仲裁单元，所述仲裁单元包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的飞控系统的多余度控制程序，所述飞控系统的多余度控制程序被所述处理器执行时实现上述的飞控系统的多余度控制方法的步骤。

此外，为实现上述目的，本发明还提供了一种飞控系统，所述飞控系统包括仲裁单元。

此外，为实现上述目的，本发明还提供了一种计算机可读存储介质，其上存储有飞控系统的多余度控制程序，所述飞控系统的多余度控制程序被处理器执行时实现上述的飞控系统的多余度控制方法的步骤。

本申请实施例中提供的一种多余度控制方法、仲裁单元、飞控系统及存储介质的技术方案，通过增加一个仲裁单元，该仲裁单元接收各个飞控计算机的控制指令和校验码，进而根据该控制指令和校验码确定飞控计算机是否存在故障。当在判定某个飞控计算机发生故障时，则切断存在故障的飞控计算机的信号输出，并控制正常工作的飞控计算机将接收到的控制指令发送至作动器处理器，以实现对作动器处理器的控制。相比于现有技术，由于本申请的仲裁单元只需根据飞控计算机当前的控制指令和校验码，即可确定飞控计算机是否存在故障，并进行相应的控制，降低多余度飞控计算机故障检测过程中对仲裁单元的计算压力。

附图说明

图1为本发明飞控系统的多余度控制方法第一实施例的流程示意图；

图2为本发明飞控系统的多余度控制方法第二实施例的流程示意图；

图3为本发明仲裁单元的硬件结构示意图；

图4为本发明飞控系统的的结构示意图。

本申请目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明，上述附图只是一个实施例图，而不是发明的全部。

具体实施方式

本申请考虑到相关技术中，仲裁单元需要对历史状态信息进行分析并预测飞控计算机下一输出范围，对仲裁单元的计算能力和存储能量要求较高的问题。本申请提出了一种飞控系统的多余度控制方法。本申请通过增加一个仲裁单元。该仲裁单元检测飞控计算机的输出，每个飞控计算机在输出指令时应该附带一组效验码以证明其还在正常工作，该仲裁单元会通过对飞控计算机输出控制指令比对和效验码核对来判断是否有故障。若判断其一飞控计算机输出的效验码存在故障，则断开该飞控计算机输出控制信号，选择另一飞控计算机控制信号输出；若判断两个飞控计算机输出控制指令不匹配，则切断全部飞控计算机输出控制信号，获取人工操纵指令控制信号，降低多余度飞控计算机故障检测过程中对仲裁单元的计算压力，提高飞行器的飞行安全。

为了更好的理解上述技术方案，下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

如图1所示，在本申请的第一实施例中，本申请的飞控系统的多余度控制方法应用于仲裁单元，该仲裁单元用于判断飞控计算机是否存在故障，并根据判断结果确定对应的控制策略，从而使得飞行器可以安全飞行。所述飞控系统的多余度控制方法包括以下步骤：

步骤S110，接收至少两个飞控计算机的控制信息，所述控制信息包括控制指令和校验码。

在本实施例中，本申请的飞控计算机可设置成多余度的。即在飞控系统中，飞控计算机可以是两个甚至多个，可根据实际使用情况和具体应用场景设置该飞控计算机的数量。在所有的飞控计算机正常工作时，不同的飞控计算机可用于执行不同的控制功能。在某个飞控计算机发生故障时，可采用正常工作的飞控计算机替代该故障的飞控计算机执行其故障的飞控计算机的控制功能。假设存在两个飞控计算机，即第一飞控计算机和第二飞控计算机。当第一飞控计算机和第二飞控计算机均正常时，第一飞控计算机用于控制舵面工作，第二飞控计算机用于控制倾转单元工作。当第一飞控计算机发生故障时，可采用第二飞控计算机控制舵面和倾转单元工作。同理，当第二飞控计算机发生故障时，可采用第一飞控计算机控制舵面和倾转单元工作。

在本实施例中，各个飞控计算机在飞行过程中，会实时向作动器处理器发送控制指令，从而使得作动器处理器能基于飞控计算机发送的控制指令控制执行机构。而由于飞行过程中可能遇到各种突发情况，导致飞控计算机无法正常工作，为了提高飞行安全性能，还需要将各个飞控计算机的控制信息发送至仲裁单元，采用仲裁单元实时判断飞控计算机是否存在故障，并根据判断结果确定对应的控制策略控制作动器处理器，从而提高飞行安全。

可选地，可每隔预设时长将各个飞控计算机的控制信息同步发送至仲裁单元，避免数据传输不同步导致故障判断不准确，从而影响飞行器的稳定性。

可选地，每个飞控计算机均会输出相应的控制指令，该控制指令为控制电机、舵面、油门等运行的指令。该控制指令包括诸如油门指令、舵偏指令、电机转速指令、电机转矩指令等。

可选地，每个飞控计算机均会输出一个校验码，该校验码用于校验判断该飞控计算机是否存在失效。该校验码的格式可根据不同的机型进行预先设定。

步骤S120，根据所述控制信息，确定飞控计算机是否存在故障。

在本实施例中，每个飞控计算机在输出控制指令时，附带一组效验码以证明其还在正常工作，该仲裁单元会通过对每个飞控计算机输出的控制指令进行比对和效验码核对的方式来判断飞控计算机是否有故障情况。

可选地，在仲裁单元中会预先设置预设校验码，该预设校验码的格式和类型应当与飞控计算机所发送的校验码的格式和类型一致。也即仲裁单元在接收到各个飞控计算机的校验码之后，会将所接收到的各个飞控计算机的校验码分别与预设校验码进行格式匹配和类型匹配。若飞控计算机的校验码与预设校验码不匹配时，则确定不匹配的飞控计算机为存在故障的飞控计算机，即失效的飞控计算机。可选地，也可将无信号输出或乱码输出的飞控计算机确定为存在故障的飞控计算机。可选地，飞控计算机以恒定频率输出控制指令时，仲裁单元若检测到输出频率断开，则确定该飞控计算机为存在故障的飞控计算机。

例如，假设存在第一飞控计算机和第二飞控计算机。假设第一飞控计算机的校验码与预设校验码不一致时，将该第一飞控计算机确定为存在故障的飞控计算机；若第二飞控计算机的校验码与预设校验码不一致时，将该第二飞控计算机确定为存在故障的飞控计算机；假设第一飞控计算机和第二飞控计算机的校验码均与预设校验码不一致时，则将第一飞控计算机和第二飞控计算机均确定为存在故障的飞控计算机。

可选地，当匹配的飞控计算机包括至少两个时，则确定匹配的飞控计算机所接收到的控制指令之间的误差。确定误差大于预设误差的飞控计算机均为存在故障的飞控计算机。

可选地，控制指令包括多种类型，可以是离散控制指令、连续控制指令、布尔控制指令等。不同类型的控制指令所设置的预设误差不同。例如：关于离散控制指令，比如油门指令：本身取值范围的10％；关于连续控制指令，比如舵偏指令：本身取值范围的5％；关于布尔控制指令，比如起飞指令：0(即零容限)。

例如，假设校验码匹配的飞控计算机为第一飞控计算机和第二飞控计算机。且第一飞控计算机和第二飞控计算机所采用的控制指令的类型均为离散类型的。那么，可计算第一飞控计算机的控制指令和第二飞控计算机的控制指令之间的误差，在该误差大于本身取值范围的10％时，则确定第一飞控计算机和第二飞控计算机均为存在故障的飞控计算机。在该误差小于本身取值范围的10％时，则确定第一飞控计算机和第二飞控计算机均为正常工作的飞控计算机。

步骤S130，切断存在故障的飞控计算机的信号输出。

可选地，每个飞控计算机通过信号开关与仲裁单元和作动器处理器连接。该信号开关的默认状态为闭合状态。在仲裁单元检测到飞控计算机发生故障时，则向该故障的飞控计算机所连接的信号开关发送断开信号，从而切断存在故障的飞控计算机的信号输出。

步骤S140，控制正常工作的飞控计算机将接收到的所述控制指令发送至作动器处理器。

在本实施例中，若判断其中一个飞控计算机输出的效验码存在故障情况则断开该飞控计算机输出控制指令，选择另一正常工作的飞控计算机输出的控制指令发送至作动器处理器。

可选地，本申请除了飞控计算机可以是多余度设置，作动器处理器也可以是多余度设置。本申请的作动器处理器包括至少两个，在所有飞控计算机正常工作的情况下，每个飞控计算机可通过对应的信号开关控制对应的作动器处理器。但是，当其中一个飞控计算机发生故障，可控制正常工作的飞控计算机控制所有的作动器处理器。可选地，可控制正常工作的飞控计算机对应的信号开关闭合，使得信号开关与所有的作动器处理器连接。

例如，假设检测到第一飞控计算机存在故障，第二飞控计算机正常时，则仲裁单元向第一飞控计算机所连接的信号开关发送断开信号，从而切断该第一飞控计算机的信号输出。向第二飞控计算机对应的信号开关发送闭合信号，以使得第二飞控计算机对应的信号开关可以与所有的作动器处理器连接，进而控制第二飞控计算机将接收到的控制指令发送至所有的作动器处理器。从而实现通过该第二飞控计算机控制所有的作动器。

可选地，当所有的飞控计算机均存在故障时，切断所有的飞控计算机的信号输出，连通操纵杆与作动器处理器之间的信号通道，进而将操纵杆输出的控制信号发送至作动器处理器，从而采用人工操纵的方式进行控制，以避免所有的飞控计算机故障时，对飞行器的飞行安全造成影响。

可在所有的飞控计算机的校验码与预设校验码均不匹配时，连通操纵杆与作动器处理器之间的信号通道，进而将操纵杆输出的控制信号发送至作动器处理器，从而采用人工操纵的方式进行控制，以避免所有的飞控计算机故障时，对飞行器的飞行安全造成影响。

还可在所有的飞控计算机的校验码与预设校验码匹配，但匹配的飞控计算机所接收到的控制指令之间的误差大于预设误差时，连通操纵杆与作动器处理器之间的信号通道，进而将操纵杆输出的控制信号发送至作动器处理器，从而采用人工操纵的方式进行控制，以避免所有的飞控计算机故障时，对飞行器的飞行安全造成影响。

也可在所有飞控计算机控制指令的输出频率发生波动时，连通操纵杆与作动器处理器之间的信号通道，进而将操纵杆输出的控制信号发送至作动器处理器，从而采用人工操纵的方式进行控制，以避免所有的飞控计算机故障时，对飞行器的飞行安全造成影响。

可选地，本申请的飞控系统还包括显示器。仲裁单元可将存在故障的飞控计算机的确定结果发送至该显示器上显示。其中，该确定结果为具体是哪一台飞控计算机发生故障，可以是该发生故障的飞控计算机的序号。可选地，仲裁单元还会将故障判断的理由发送至显示器，该故障判断的理由可以是校验码不一致、控制指令之间的误差大于预设误差等。

可选地，本申请除了可以通过飞控计算机控制作动器处理器所连接的作动器或执行机构，还可以切换至人工控制模式，通过连接操纵杆与所述作动器处理器之间的信号通道，以将所述操纵杆输出的控制信号发送至所述作动器处理器，从而控制作动器或执行机构。使得在所有的飞控计算机均发生故障时，可采用人工控制的方式控制作动器或执行机构，提高飞行系统飞行的安全性。

可选地，操纵杆与作动器处理器之间通过信号开关连接，该信号开关的默认状态为断开状态。在仲裁单元向该信号开关发送闭合信号，表示接收到仲裁干预指令。此时，仲裁单元会切断所有的飞控计算机的信号输出。另外，在信号开关闭合时，会连通操纵杆与所述作动器处理器之间的信号通道，从而将所述操纵杆输出的控制信号发送至所述作动器处理器。具体控制方式包括但不限于以下方式：

示例一，操作人员可随时选择以何种方式控制飞行器。可以是在所有的飞控计算机正常工作下，接收到仲裁干预指令时，切断所有的飞控计算机的控制输出，连通操纵杆与所述作动器处理器之间的信号通道，以将所述操纵杆输出的控制信号发送至所述作动器处理器。

示例二，还可以是所有的飞控计算机均存在故障或者是某个飞控计算机发生故障时，接收到仲裁干预指令时，切断所有的飞控计算机的控制输出，连通操纵杆与所述作动器处理器之间的信号通道，以将所述操纵杆输出的控制信号发送至所述作动器处理器。

示例三，可以是在检测到某个飞控计算机的校验码与预设校验码不匹配时，接收仲裁干预指令，切断所有的飞控计算机的控制输出，连通操纵杆与所述作动器处理器之间的信号通道，以将所述操纵杆输出的控制信号发送至所述作动器处理器。

示例四，也可以是在检测到各个飞控计算机的控制指令的误差大于预设误差时，接收仲裁干预指令，切断所有的飞控计算机的控制输出，连通操纵杆与所述作动器处理器之间的信号通道，以将所述操纵杆输出的控制信号发送至所述作动器处理器。

本实施例根据上述技术方案，通过增加一个仲裁单元，该仲裁单元接收各个飞控计算机的控制指令和校验码，进而根据该控制指令和校验码确定飞控计算机是否存在故障。当在判定某个飞控计算机发生故障时，则切断存在故障的飞控计算机的信号输出，并控制正常工作的飞控计算机将接收到的控制指令发送至作动器处理器，以实现对作动器处理器的控制。相比于现有技术，由于本申请的仲裁单元只需根据飞控计算机当前的控制指令和校验码，即可确定飞控计算机是否存在故障，并进行相应的控制，降低多余度飞控计算机故障检测过程中对仲裁单元的计算压力。另外，在检测到所有的飞控计算机发生故障时，切换至人工控制。

在一实施例中，本申请的飞控系统中，飞控计算机、作动器处理器以及作动器可以设置成两个甚至多个，可根据实际使用情况和具体应用场景设置飞控计算机、作动器处理器以及作动器的数量。本申请以双余度设置的飞控计算机、作动器处理器以及作动器为例。

作动器在接受控制之前，需要作动器处理器将飞控计算机发送的主控制指令转换成输出电流至作动器。而为了能够正常的控制，需确保作动器处理器能够正常的工作。因此，本申请采用作动器处理器互相监督的机制，每一个作动器处理器会接受所有飞控计算机的控制指令，其中一个控制指令为自己的主控制指令，用于输出至作动器以驱动执行机构；另一飞控计算机控制指令具有验证另一作动器处理器是否正常的作用。使得在单个作动器处理器出现失效故障时，让另一正常工作的作动器处理器介入来切断故障作动器处理器的输出，同时锁合两分离执行机构从而让正常工作的作动器操纵所有执行机构。

进一步的，每个作动器处理器双线程并行处理两个任务，第一线程任务是转换主飞控指令至对应的作动器电机，第二线程是根据对方作动器处理器的输入与输出进行验算是否输出合理。之所以采用双线程的设计是为了避免验算过程与主要计算工作产生冲突。

进一步的，在第二线程中执行验算算法，包括输入验算算法和输出验算算法。首先，执行输入验算算法。其中，输入验算算法为：判断对方接收的主飞控指令与本处理器接收到的验算飞控指令是否匹配，如果不匹配，则告知对方作动器处理器的主飞控计算机这个错误并截断对方作动器处理器的动力输出。如果匹配，则进行输出验算算法。其中，输出验算算法为：当验算得到对方作动器处理器的输出不合理时，则输出一个断开信号给对方作动器的动力开关，同时，输出一个锁止信号给执行机构之间的锁止机构，从而让自己的作动器来同时控制两执行机构。

由于本申请采用双余度的作动器处理器的互相检测方法，双余度的互相监测应允许两作动器处理器共享所有的数据，包括飞控计算机输出到作动器处理器的数据、作动器处理器的输出数据以及执行机构对应的传感器的反馈数据，当一方作动器处理器发现对方作动器处理器的输入或输出不匹配时，则切断对方输出动力，从而保护整体执行机构的操纵性。另外，两个作动器处理器的相互检测是通过并行的验证算法来判断对方作动器处理器是否输出错误，从而避免用主驱动算法验算另一作动器处理器的输入输出，验证算法是独立于主驱动的，即使主驱动算法出现问题，单独的验证算法也不会受影响。另一作动器处理器也会马上关闭对故障作动器处理器的输出，进而提高飞行稳定性和安全性。

可选地，在本申请的飞控系统的多余度控制方法应用于第一作动器处理器时，在第一作动器处理器和第二作动器处理器正常工作的情况下，第一作动器处理器可接受所有飞控计算机的控制指令，包括第一飞控计算机发送的验证飞控指令以及第二飞控计算机发送的主飞控指令。同理，第二作动器处理器也可接受所有飞控计算机的控制指令，包括第二飞控计算机发送的验证飞控指令以及第一飞控计算机发送的主飞控指令。第一作动器处理器和第二作动器处理器可将自身的主飞控指令发送至对方作动器处理器，以校验对方作动器处理器是否能正常工作。

可选地，本申请以在第一作动器处理器中执行输入验算算法为例。对于第一作动器处理器，第一作动器处理器为了验证第二作动器处理器是否能正常工作，第一作动器处理器能获取第二作动器处理器发送的主飞控指令，该主飞控指令为第一飞控计算机发送给第二作动器处理器的。第二作动器处理器将该主飞控指令发送至第一作动器处理器，以采用第一作动器处理器对第二作动器处理器进行校验。可选地，第一作动器处理器会将该主飞控指令与自身的验证飞控指令进行匹配，在主飞控指令与验证飞控指令不匹配时，表示第一作动器处理器验算出第二作动器处理器可能存在故障，此时会向第二作动器处理器对应的动力开关发送断开信号，同时第一作动器处理器也会向锁止机构发送锁止信号，将对应的执行机构进行锁合，使得第一作动器处理器能同步控制锁合在一起的执行机构。

同理，本申请的飞控系统的多余度控制方法同样适用于第二作动器处理器，可在第二作动器处理器中执行输入验算算法。可选地，对于第二作动器处理器，第二作动器处理器为了验证第一作动器处理器是否能正常工作，第二作动器处理器能获取第一作动器处理器发送的主飞控指令，该主飞控指令为第二飞控计算机发送给第一作动器处理器的。第一作动器处理器将该主飞控指令发送至第二作动器处理器，以采用第二作动器处理器对第一作动器处理器进行校验。可选地，第二作动器处理器会将该主飞控指令与自身的验证飞控指令进行匹配，在主飞控指令与验证飞控指令不匹配时，表示第二作动器处理器验算出第一作动器处理器可能存在故障，此时第二作动器处理器会向第一作动器处理器对应的动力开关发送断开信号，同时第二作动器处理器也会向锁止机构发送锁止信号，将对应的执行机构进行锁合，使得第二作动器处理器能同步控制锁合在一起的执行机构。

可选地，本申请还可以设置一个第三方监测模块，还可在第三方监测模块中执行输入验算算法。本申请的飞控系统的多余度控制方法同样适用于该第三方监测模块。在该第三方监测模块中设置有验算算法，其可获取第一飞控计算机发送至第一作动器处理器的验证飞控指令，同时获取第一飞控计算机发送至第二作动器处理器的主飞控指令。

可选地，第三方监测模块会将该验证飞控指令和主飞控指令进行匹配，在主飞控指令与验证飞控指令不匹配时，表示验算出第二作动器处理器可能存在故障，此时第一作动器处理器会向第二作动器处理器对应的动力开关发送断开信号，同时第一作动器处理器也会向锁止机构发送锁止信号，将对应的执行机构进行锁合，使得第一作动器处理器能同步控制锁合在一起的执行机构。

同理，第三方监测模块也会获取第二飞控计算机发送至第二作动器处理器的验证飞控指令，同时获取第二飞控计算机发送至第一作动器处理器的主飞控指令。可选地，第三方监测模块会将该验证飞控指令和主飞控指令进行匹配，在主飞控指令与验证飞控指令不匹配时，表示验算出第一作动器处理器可能存在故障，此时第二作动器处理器会向第一作动器处理器对应的动力开关发送断开信号，同时第二作动器处理器也会向锁止机构发送锁止信号，将对应的执行机构进行锁合，使得第二作动器处理器能同步控制锁合在一起的执行机构。

可选地，在执行上述的输入验算算法时，若在主飞控指令与验证飞控指令不匹配时，则告知对方作动器处理器的主飞控计算机这个错误，并截断对方作动器处理器的动力输出。

可选地，对于第一作动器处理器，当第一作动器处理器在判定第二作动器处理器的主飞控指令与自身的验证飞控指令不匹配时，可生成包括主飞控指令与验证飞控指令不匹配的错误信息，将该错误信息发送至第二作动器处理器的主飞控计算机，即第一飞控计算机，使得能够及时的反馈错误信息并及时的作出相应的整改，避免出现飞行事故。

同理，对于第二作动器处理器，当第二作动器在判定第一作动器处理器的主飞控指令与自身的验证飞控指令不匹配时，可生成包括主飞控指令与验证飞控指令不匹配的错误信息，将该错误信息发送至第一作动器处理器的主飞控计算机，即第二飞控计算机，使得能够及时的反馈错误信息并及时的作出相应的整改，避免出现飞行事故。

可选地，若第一作动器处理器和第二作动器处理器均校验出对方存在故障。为了避免所有的作动器处理器全部关闭，出现无法对作动器或者执行机构进行控制，进而导致飞行器无法正常飞行的问题，本申请还设置有一个限制器，该限制器连接作动器处理器和动力开关，用于在接收到所有的作动器处理器发送的断开信号时，控制至少一个作动器处理器连接的动力开关闭合，或者用于在接收到所有的作动器处理器发送的断开信号时，控制至少一个作动器处理器向锁止机构发送锁合信号。也即确保至少存在一个作动器处理器能进行正常的控制。

可选地，为了提高验算结果的准确性，需确保第一作动器处理器和第二作动器处理器验算的同步性，即控制第一作动器处理器和第二作动器处理器同时执行验算算法。

可选地，若第一作动器处理器和第二作动器处理器均校验出对方存在输入故障，可断开最先校验出对方存在故障的作动器处理器的对方作动器处理器的作动器的输出。例如，若第一作动器处理器最先验算出第二作动器处理器存在故障，那么，可向第二作动器处理器对应的动力开关发送断开信号。可选地，向限制器发送断开信号，从而避免在第二作动器处理器也验算出第一作动器处理器存在输入故障时，断开第一作动器处理器对应的动力开关。

可选地，若第一作动器处理器和第二作动器处理器均校验出对方存在输入故障，还可向满足历史故障次数最多、历史使用频率最少、服务质量最低等条件的作动器服务器对应的动力开关发送断开信号。

可选地，对于整个飞控系统的多余度控制而言，在所有的飞控计算机正常工作时，不同的飞控计算机可用于执行不同的控制功能。在某个飞控计算机发生故障时，可采用正常工作的飞控计算机替代该故障的飞控计算机执行其故障的飞控计算机的控制功能。类似的，在所有的作动器处理器正常工作时，不同的作动器处理器可用于执行不同的数据处理功能以及控制所连接的作动器工作。在某个作动器处理器发生故障时，可采用正常工作的作动器处理器替代该故障的作动器处理器，并对故障的作动器处理器所连接的作动器进行控制。类似的，在所有的作动器正常工作时，不同的作动器可用于驱动其所对应的执行机构。但在某个作动器发生故障时，可采用正常工作的作动器所连接的作动器处理器向锁止机构发送锁止信号，使得正常工作的作动器处理器能同步控制锁合在一起的执行机构。

可选地，假设飞控计算机、作动器处理器和作动器均设置为双余度。飞控计算机包括第一飞控计算机和第二飞控计算机；作动器处理器包括第一作动器处理器和第二作动器处理器；作动器包括第一作动器和第二作动器；执行机构包括第一执行机构和第二执行结构。那么存在但不限于以下情况：

第一、针对所有的飞控计算机、所有的作动器处理器和所有的作动器均正常工作的情况。控制流程为：第一飞控计算机将主飞控指令发送至第一作动器处理器；第一作动器处理器将该主控制指令转化为电流信号并发送至第一作动器，该第一作动器再将该电流信号发送至第一执行机构，从而实现第一飞控计算机对第一执行机构的驱动。同时，第二飞控计算机将主飞控指令发送至第二作动器处理器；第二作动器处理器将该主控制指令转化为电流信号并发送至第二作动器，该第二作动器再将该电流信号发送至第二执行机构，从而实现第二飞控计算机对第二执行机构的驱动。从而在所有设备均正常工作的情况下，每个设备均能各司其职，使得飞行器能够正常的工作。

第二、针对第一飞控计算机故障或者第二飞控计算机故障，所有作动器处理器正常工作的情况。对于第一飞控计算机故障的控制流程为：第二飞控计算机将主飞控指令同时发送至第一作动器处理器和第二作动器处理器。使得第一作动器处理器和第二作动器处理器分别进行各自的控制。可选地，也可以只将第二飞控计算机的主飞控指令发送至与其连接的第二作动器处理器，采用该第二作动器处理器控制所有的作动器和执行机构。同理，对于第二飞控计算机故障的控制流程为：第一飞控计算机将主飞控指令同时发送至第一作动器处理器和第二作动器处理器。使得第一作动器处理器和第二作动器处理器分别进行各自的控制。可选地，也可以只将第一飞控计算机的主飞控指令发送至与其连接的第一作动器处理器，采用该第一作动器处理器控制所有的作动器和执行机构。从而使得在某一飞控计算机发生故障时，可以采用正常工作的飞控计算机控制所有正常工作的作动器以及执行机构，提高飞行安全。

第三、针对所有的飞控计算机正常，第一作动器处理器或者第二作动器处理器故障的情况。对于第一作动器处理器故障的控制流程为：第二飞控计算机将主控制指令发送至第二作动器处理器，第二作动器处理器将该主控制指令转化为电流信号并发送至第二作动器。同时第二作动器处理器向锁止机构发送锁止信号以将执行机构进行锁合，并向第一作动器处理器对应的动力开关发送断开信号，使得正常工作的飞控计算机能通过第二作动器处理器控制所有的执行机构。同理，对于第二作动器处理器故障的控制流程为：第一飞控计算机将主控制指令发送至第一作动器处理器，第一作动器处理器将该主控制指令转化为电流信号并发送至第一作动器。同时第一作动器处理器向锁止机构发送锁止信号以将执行机构进行锁合，并向第二作动器处理器对应的动力开关发送断开信号，使得正常工作的飞控计算机能通过第一作动器处理器控制所有的执行机构。从而使得在一方作动器处理器发生故障时，可采用正常工作的飞控计算机控制正常工作的作动器处理器对所有的执行机构进行控制，提高飞行安全。

第四、针对所有的飞控计算机异常，第一作动器处理器和/或第二作动器处理器正常的情况，可切换至人工控制模式，采用人工操纵的方式进行控制，以避免所有的飞控计算机故障时，对飞行器的飞行安全造成影响。

综上，通过在飞控计算机、作动器处理器、作动器输出三个层级各设计了相对的多余度控制。在飞控计算机层级设定一仲裁单元判断是否有飞控计算机失效，根据失效情况判断解决策略。在作动器处理器层级使作动器处理器做到相互监督检测，当对方作动器处理器输出不匹配输入时会将对方作动器的输出切断。从而使得在一方设备发现另一方设备发生故障时，能及时切断对方的动力输出，采用正常的设备控制所有的执行机构，保护整体执行机构的操纵性，提高飞行安全。

在一实施例中，在通过输入验算算法判断对方接受的主飞控指令与本作动器处理器接收到的验算飞控指令匹配时。则进一步执行输出验算算法。输出验算算法为：当验算得到对方作动器处理器的输出不合理时，则输出一个断开信号给对方作动器的动力开关，同时，输出一个锁止信号给执行机构之间的锁止机构，从而让自己的作动器来同时控制两执行机构。

可选地，本申请以在第一作动器处理器中执行输出验算算法为例。对于第一作动器处理器，第一作动器处理器为了进一步验证第二作动器处理器是否能正常工作，第一作动器处理器在验证主飞控指令与验证飞控指令匹配时，获取第一作动器处理器根据验证飞控指令产生的第一输出指令，和获取第二作动器处理器根据主飞控指令产生的第二输出指令后，执行的输出验算算法为：将第一输出指令与第二输出指令进行匹配。在第一输出指令与第二输出指令不匹配时，表示第一作动器处理器验算出第二作动器处理器输出可能存在故障，此时会向第二作动器处理器对应的动力开关发送断开信号，同时第一作动器处理器也会向锁止机构发送锁止信号，将对应的执行机构进行锁合，使得第一作动器处理器能同步控制锁合在一起的执行机构。

同理，本申请可在第二作动器处理器中执行输出验算算法。可选地，对于第二作动器处理器，第二作动器处理器为了验证第一作动器处理器的输出是否正常，从而验证第一作动器处理器是否能正常工作，第二作动器处理器在验证主飞控指令与验证飞控指令匹配时，获取第二作动器处理器根据验证飞控指令产生的第二输出指令，和获取第一作动器处理器根据主飞控指令产生的第一输出指令后，执行的输出验算算法为：将第一输出指令与第二输出指令进行匹配。在第一输出指令与第二输出指令不匹配时，表示第二作动器处理器验算出第一作动器处理器输出可能存在故障，此时会向第一作动器处理器对应的动力开关发送断开信号，同时第二作动器处理器也会向锁止机构发送锁止信号，将对应的执行机构进行锁合，使得第二作动器处理器能同步控制锁合在一起的执行机构。

可选地，本申请还可以设置一个第三方监测模块，还可在第三方监测模块中执行输出验算算法。

可选地，在第三方监测模块在验证第一飞控计算机的主飞控指令(所述主飞控指令为所述第一飞控计算机发送给所述第二作动器处理器的)与验证飞控指令匹配时，可进一步执行输出验算算法：获取第一作动器处理器根据验证飞控指令产生的第一输出指令，和获取所述第二作动器处理器根据主飞控指令产生的第二输出指令。第三方监测模块会将该第一输出指令和第二输出指令进行匹配，在第一输出指令与第二输出指令不匹配时，表示第一作动器处理器验算出第二作动器处理器输出可能存在故障，此时会向第二作动器处理器对应的动力开关发送断开信号，同时第一作动器处理器也会向锁止机构发送锁止信号，将对应的执行机构进行锁合，使得第一作动器处理器能同步控制锁合在一起的执行机构。

可选地，若第一作动器处理器和第二作动器处理器均校验出对方的输出存在故障。为了避免所有的作动器处理器全部关闭，出现无法对作动器或者执行机构进行控制，进而导致飞行器无法正常飞行的问题，本申请还设置有一个限制器，该限制器连接作动器处理器和动力开关，用于在接收到所有的作动器处理器发送的断开信号时，控制至少一个作动器处理器连接的动力开关闭合，或者用于在接收到所有的作动器处理器发送的断开信号时，控制至少一个作动器处理器向锁止机构发送锁合信号。也即确保至少存在一个作动器处理器能进行正常的控制。

可选地，为了提高验算结果的准确性，需确保第一作动器处理器和第二作动器处理器验算的同步性，即控制第一作动器处理器和第二作动器处理器同时执行验算算法。

可选地，若第一作动器处理器和第二作动器处理器均校验出对方存在输出故障，可断开最先校验出对方存在输出故障的作动器处理器的对方作动器处理器的作动器的输出。例如，若第一作动器处理器最先验算出第二作动器处理器存在输出故障，那么，可向第二作动器处理器对应的动力开关发送断开信号。可选地，向限制器发送断开信号，从而避免在第二作动器处理器也验算出第一作动器处理器存在输出故障时，断开第一作动器处理器对应的动力开关，导致所有的作动器处理器均关闭从而影响飞行安全。

可选地，若第一作动器处理器和第二作动器处理器均校验出对方存在输出故障，还可向满足历史故障次数最多、历史使用频率最少、服务质量最低等条件的作动器服务器对应的动力开关发送断开信号。

综上，通过在作动器处理器层级使作动器处理器做到相互监督检测，当对方作动器处理器输出不匹配输入时，会将对方作动器的输出切断，并连接锁止机构，使另一正常的作动器同时控制两执行机构。从而使得在一方设备发现另一方设备发生故障时，能及时切断对方的动力输出，采用正常的设备控制所有的执行机构，保护整体执行机构的操纵性，提高飞行安全。

在一实施例中，每个作动器处理器双线程并行处理两个任务，第一线程任务是转换主飞控指令至对应的作动器电机，第二线程的执行过程如第一实施例和第二实施例所述，在此不再赘述。之所以采用双线程的设计是为了避免验算过程与主要计算工作产生冲突。可选地，可在执行第一线程的同时会实时执行第二线程。在一实施例中，在执行第二线程之后，判定不存在故障时，执行第一线程。

可选地，第一作动器处理器在接收第一飞控计算机的验证飞控指令进行验算的同时，还可接收第二飞控计算机的主飞控指令进行控制，向第一作动器处理器对应的执行机构发送主飞控指令。可选地，第一作动器处理器会将主飞控指令转化为电流信号后发送至第一作动器。在第一作动器处理器侧，还设置有第一动力开关，该第一动力开关连接第一作动器和第一执行机构。该第一动力开关的默认状态为闭合状态，使得第一作动器的电流信号可传输至第一执行机构，从而实现对第一执行机构的控制。

同理，第二作动器处理器在接收第二飞控计算机的验证飞控指令进行验算的同时，还可接收第一飞控计算机的主飞控指令进行控制，向第二作动器处理器对应的执行机构发送主飞控指令。可选地，第二作动器处理器会将主飞控指令转化为电流信号后发送至第二作动器。在第二作动器处理器侧，还设置有第二动力开关，该第二动力开关连接第二作动器和第二执行机构。该第二动力开关的默认状态为闭合状态，使得第二作动器的电流信号可传输至第二执行机构，从而实现对第二执行机构的控制。

在一实施例中，在作动器层面，将执行机构分为两部分由作动器同步执行，如一副翼操纵面被切割为左右两部分，中间有一锁止机构可以接收信号后将两部分锁定成一体。每个作动器各自控制左右两部分，当其中一执行机构反馈的操纵量不匹配对应作动器处理器的控制输出，则切断该作动器，并连接锁止机构，使另一作动器同时控制两个执行机构。

这一层级的双余度保护是为了保障执行机构在一侧作动器电机失效或者执行机构失效的故障下还能正常工作。这一层级的算法由故障作动器直系上游的作动器处理器计算，算法的输入是由执行机构的传感器检测到的执行机构的实际操纵量，例如副翼的实际偏转角度。当监测到下游执行机构的实际操纵量不匹配作动器处理器输出的指令时，可以判定下游作动器电机失效或执行机构故障。处理方法与上一层的处理结果相似，即切断下游作动器输出并且传递锁止信号给锁止机构，依靠另一侧作动器处理器和作动器控制所有执行机构。

可选地，在所有作动器处理器正常工作的前提下，本申请的多余度控制方法还包括：在第一作动器处理器侧，获取第二飞控计算机对应的第一执行机构的实际操纵量；判断实际操纵量和所述第二飞控计算机的主飞控指令的理论操纵量是否匹配；在所述实际操纵量和所述第二飞控计算机的主飞控指令的理论操纵量不匹配时，表示第一作动器或者第一执行机构存在故障，此时向第一作动器处理器所对应的第一作动器发送断开信号；并向锁止机构发送锁止信号，以将对应的执行机构锁合，使第二作动器处理器能同步控制锁合在一起的执行机构。可选地，在实际操纵量和第二飞控计算机的主飞控指令的理论操纵量匹配时，向第一作动器发送闭合信号，以将第二飞控计算机的主控制指令发送至第一作动器处理器对应的第一执行机构。

可选地，在所有作动器处理器正常工作的前提下，本申请的多余度控制方法还包括：在第二作动器处理器侧，获取第一飞控计算机对应的第二执行机构的实际操纵量；在所述实际操纵量和所述第一飞控计算机的主飞控指令的理论操纵量不匹配时，表示第二作动器或者第二执行机构存在故障，此时向第二作动器处理器所对应的第二作动器发送断开信号；并向锁止机构发送锁止信号，以将对应的执行机构锁合，使第一作动器处理器能同步控制锁合在一起的执行机构。可选地，在实际操纵量和第一飞控计算机的主飞控指令的理论操纵量匹配时，向第二作动器发送闭合信号，以将第二飞控计算机的主控制指令发送至第二作动器处理器对应的第二执行机构。

在一实施例中，若第一作动器处理器和第二作动器处理器均校验出自身的作动器或者执行机构出现故障时。为了避免所有的作动器或者执行机构全部关闭，导致飞行器无法正常飞行的问题，本申请还设置有一个限制器，该限制器连接作动器处理器和动力开关。该作动器层级与作动器处理器层级共用一个限制器，用于限制同一时间只能切断一侧信号，即用于在接收到所有的作动器处理器发送的断开信号时，控制至少一个作动器处理器向锁止机构发送锁合信号。

本实施例根据上述技术方案，通过在作动器输出层面，将执行机构分为两部分由每个作动器同步执行。每个作动器各自控制左右两部分，当其中一执行机构反馈的操纵量不匹配对应作动器处理器控制输出，则切断该作动器，并连接锁止机构使另一作动器同时控制所有执行机构，保护整体执行机构的操纵性，提高飞行安全。

参照图2，在一实施例中，所述飞控系统包括第一飞控计算机、第二飞控计算机、仲裁单元和显示器。所述多余度控制方法包括：

首先，第一飞控计算机将第一飞控指令和自身的校验码发送至仲裁单元，同时第二飞控计算机也会将第二飞控指令和自身的校验码发送至仲裁单元。

接着，在仲裁单元中，仲裁单元首先会核对两个飞控计算机的校验码是否正确，并根据校验结果执行对应的控制策略，主要分为以下几种情况：

第一、在第一飞控计算机的校验码错误时，断开第一飞控计算机的信号输出。

第二、在第二飞控计算机的校验码错误时，断开第二飞控计算机的信号输出。

第三、在第一飞控计算机和第二飞控计算机的校验码均错误时，断开所有飞控计算机的信号输出并切换至操纵杆控制。

第四、在第一飞控计算机和第二飞控计算机的校验码正确时，比对第一飞控计算机的第一飞控指令和第二飞控计算机的第二飞控指令之间的误差；在该误差小于预设误差时，断开所有飞控计算机的信号输出并切换至操纵杆控制；在该误差大于预设误差时，所有飞控计算机正常输出，并执行相关的控制策略。

最后，仲裁单元在执行过程中，同时会将仲裁信息发送至显示器显示，以供操作人员根据仲裁信息决定是否进行干预等操作，以提高飞行安全。

本发明实施例提供了飞控系统的多余度控制方法的实施例，需要说明的是，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

如图3所示，图3为本发明仲裁单元的硬件运行环境的结构示意图。

如图3所示，该仲裁单元可以包括：处理器1001，例如CPU，存储器1005，用户接口1003，网络接口1004，通信总线1002。其中，通信总线1002用于实现这些组件之间的连接通信。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

本领域技术人员可以理解，图3中示出的仲裁单元并不构成对仲裁单元限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图3所示，作为一种存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及飞控系统的多余度控制程序。其中，操作系统是管理和控制仲裁单元硬件和软件资源的程序，飞控系统的多余度控制程序以及其它软件或程序的运行。

在图3所示的仲裁单元中，用户接口1003主要用于连接终端，与终端进行数据通信；网络接口1004主要用于后台服务器，与后台服务器进行数据通信；处理器1001可以用于调用存储器1005中存储的飞控系统的多余度控制程序。

在本实施例中，仲裁单元包括：存储器1005、处理器1001及存储在所述存储器上并可在所述处理器上运行的飞控系统的多余度控制程序，其中：

处理器1001调用存储器1005中存储的飞控系统的多余度控制程序时，执行以下操作：

接收至少两个飞控计算机的控制信息，所述控制信息包括控制指令和校验码；

根据所述控制信息，确定飞控计算机是否存在故障；

切断存在故障的飞控计算机的信号输出；

控制正常工作的飞控计算机将接收到的所述控制指令发送至作动器处理器。

基于同一发明构思，本申请实施例还提供一种飞控系统，该飞控系统包括仲裁单元，该仲裁单元用于判断飞控计算机是否存在故障，并根据判断结果确定对应的控制策略，从而使得飞行器可以安全飞行。

可选地，飞控系统包括：至少两个飞控计算机；

至少两个信号开关，与所述飞控计算机对应设置，用于连接飞控计算机与作动器处理模块；

仲裁单元，所述仲裁单元分别与各个所述飞控计算机以及信号开关连接，用于在飞控计算机发生故障时，向发生故障的飞控计算机对应的信号开关发送断开信号，所述信号开关的默认状态为闭合状态。

可选地，所述飞控计算机包括：第一飞控计算机110和第二飞控计算机120，所述信号开关包括：第一信号开关130和第二信号开关140；所述第一信号开关130和所述第二信号开关140均与所述作动器处理模块160连接。

可选地，所述作动器处理模块包括至少两个作动处理单元，每个作动处理单元均包括作动器处理器、作动器、动力开关以及执行机构，所述动力开关连接在所述作动器与所述执行机构之间；

锁止机构，所述锁止机构位于各所述执行机构之间；

每个所述作动器处理器分别与对应的动力开关和所述锁止机构连接，用于在检测到作动器处理器发生故障时，向故障的作动器处理器的动力开关发送断开信号，并向锁止机构发送锁止信号；所述锁止机构的默认状态为断开状态。

可选地，所述作动器处理器包括：第一作动器处理器和第二作动器处理器，所述第一信号开关和所述第二信号开关均与所述第一作动器处理器连接；和/或，所述第一信号开关和第二信号开关均与所述第二作动器处理器连接。

可选地，所述飞控系统还包括：限制器，所述限制器连接所述作动器处理器和所述动力开关，用于在接收到所有的作动器处理器发送的断开信号时，控制至少一个作动器处理器连接的动力开关闭合，或者用于在接收到所有的作动器处理器发送的断开信号时，控制至少一个作动器处理器向所述锁止机构发送锁合信号。

可选地，所述作动器与所述作动器处理器连接，所述作动器处理器还用于在检测到执行机构发生故障时，向对应的所述作动器发送断开信号，并向锁止机构发送锁止信号。

可选地，所述飞控系统还包括：检测传感器，所述检测传感器连接所述执行机构和所述作动器处理器，用于采集所述执行机构的实际操纵量，并将所述实际操纵量反馈至所述作动器处理器，以使所述作动器处理器根据所述实际操纵量检测执行机构是否发生故障。

可选地，所述执行机构包括舵面、起落架收放单元、倾转单元或舱门。

可选地，执行机构为飞机上所有能动的部件，所述执行机构均可包括舵面、起落架收放单元、倾转单元或舱门。其中，倾转单元为旋翼倾转单元；舵面包括机翼上的舵面、垂直尾翼上的舵面和水平尾翼上的舵面。

可选地，所述飞控系统还包括：第三信号开关，所述第三信号开关连接操纵杆和所述作动器处理模块；

所述仲裁单元还用于：在所有的飞控计算机均发生故障时，向所述第三信号开关发送闭合信号；所述第三信号开关的默认状态为断开状态。

可选地，所述飞控系统还包括显示模块，所述显示模块与所述仲裁单元连接，用于显示存在故障的飞控计算机的确定结果。

本发明飞控系统具体实施方式与上述飞控系统的多余度控制方法各实施例基本相同，在此不再赘述。

基于同一发明构思，本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有飞控系统的多余度控制程序，所述飞控系统的多余度控制程序被处理器执行时实现如上所述的飞控系统的多余度控制方法的各个步骤，且能达到相同的技术效果，为避免重复，这里不再赘述。

由于本申请实施例提供的存储介质，为实施本申请实施例的方法所采用的存储介质，故而基于本申请实施例所介绍的方法，本领域所属人员能够了解该存储介质的具体结构及变形，故而在此不再赘述。凡是本申请实施例的方法所采用的存储介质都属于本申请所欲保护的范围。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是在本发明的构思下，利用本发明说明书及附图内容所作的等效结构变换，或直接/间接运用在其他相关的技术领域均包括在本发明的专利保护范围内。

Claims (11)

1.一种飞控系统的多余度控制方法，其特征在于，应用于仲裁单元，所述方法包括：

接收至少两个飞控计算机的控制信息，所述控制信息包括控制指令和校验码；

根据所述控制信息，确定飞控计算机是否存在故障；

切断存在故障的飞控计算机的信号输出；

控制正常工作的飞控计算机将接收到的所述控制指令发送至作动器处理器。

2.如权利要求1所述的方法，其特征在于，所述根据所述控制信息，确定飞控计算机是否存在故障的步骤包括：

将所述校验码与预设校验码进行匹配；

确定不匹配的飞控计算机为存在故障的飞控计算机。

3.如权利要求2所述的方法，其特征在于，所述将所述校验码与预设校验码进行匹配的步骤之后，还包括：

当匹配的所述飞控计算机包括至少两个时，确定匹配的所述飞控计算机所接收到的控制指令之间的误差；

确定误差大于预设误差的飞控计算机均为存在故障的飞控计算机。

4.如权利要求1-3中任一项所述的方法，其特征在于，所述方法还包括：

当所有的飞控计算机均存在故障时，切断所有的飞控计算机的信号输出；

连通操纵杆与所述作动器处理器之间的信号通道，以将所述操纵杆输出的控制信号发送至所述作动器处理器。

5.如权利要求1所述的方法，其特征在于，所述控制正常工作的飞控计算机将接收到的所述控制指令发送至作动器处理器的步骤包括：

控制正常工作的飞控计算机对应的信号开关闭合，以使所述信号开关与所有的作动器处理器连接。

6.如权利要求1所述的方法，其特征在于，所述切断存在故障的飞控计算机的信号输出的步骤包括：

向存在故障的飞控计算机对应的信号开关发送断开信号，以切断所述存在故障的飞控计算器的信号输出。

7.如权利要求1所述的方法，其特征在于，所述方法还包括：

将存在故障的飞控计算机的确定结果发送至显示模块以进行显示。

8.如权利要求1-3任一项所述的方法，其特征在于，所述方法还包括：

接收到仲裁干预指令时，切断所有的飞控计算机的信号输出；

连通操纵杆与所述作动器处理器之间的信号通道，以将所述操纵杆输出的控制信号发送至所述作动器处理器。

9.一种仲裁单元，其特征在于，所述仲裁单元包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的飞控系统的多余度控制程序，所述飞控系统的多余度控制程序被所述处理器执行时实现如权利要求1-8中任一项所述的飞控系统的多余度控制方法的步骤。

10.一种飞控系统，其特征在于，所述飞控系统包括权利要求9所述的仲裁单元。

11.一种计算机可读存储介质，其特征在于，其上存储有飞控系统的多余度控制程序，所述飞控系统的多余度控制程序被处理器执行时实现权利要求1-8中任一项所述的飞控系统的多余度控制方法的步骤。

Images