我将每日更新优质内容，感谢您的支持。为方便与您分享，可以点个“关注”哦～

文 |万物喵知道

编辑 |万物喵知道

前言

飞机驾驶舱显示的燃油量信息包括燃油量数据以及低油位告警信息，燃油测量系统提供信号来源，航电系统实现最终的显示。

因此，驾驶舱显示的燃油量信息是由燃油测量系统和航电系统交联完成的，在飞机中应将两个系统作为一个整体来分析，确认其故障对燃油量信息显示的影响。

飞机燃油量信息显示

根据燃油测量系统和航电系统的基本构架和工作原理，确定这两个系统的接口，如图1所示，燃油测量系统的数据采集器收集油箱内的油量传感器和低油位传感器信号，并将模拟信号转数字信号，通过CAN总线发送给燃油计算机。

燃油计算机根据油量传感器信号计算出当油量，然后根据低油位传感器的信号判断是否出现低油位的情况，将结果通过AＲINC42总线发送给航电系统。

然后航电网络将这些信号传输给显示系统，最终在驾驶舱显示燃油量低油位告警消息，燃油量和低油位告警可能出现的故障分为两种:

1、丧失，丧失燃油量显示或低油位告警;

2、错误，错误的显示燃油量或错误的提供低油位告警信号。燃油量数据作为重要飞行参数将一直在显示器上显示。

低油位告警信息只在“低油位”被触发的情况下显示，由于低油位告警属于比较重要的告警消息，为了提高余度，低油位告警有以下两种方式触发，这两者互为备份：1)燃油量数据低于某设定值时触发；2)低油位传感器信号直接触发。

通过对图1的描述得知，单点故障时可能会导致：1)燃油量显示和低油位告警同时丧失；2)燃油量和低油位告警同时错误显示。

如果油量显示和低油位告警丧失，这时飞行员可以根据发动机已用油量判断剩余的油量，然后根据经验确定后续的飞行航线，不会影响飞行安全。

低油位告警错误有两种情形：

1、不应该出现低油位时告警，增加机组人员心理负担。

2、应该出现低油位告警，但是没有告警，这种情况等同于低油位告警丧失，如果继续飞行，导致燃油耗完，会引起机毁人亡的后果。

因此，对于低油位告警，“丧失”和“错误”这两种失效状态造成的最严重的后果相同。燃油量显示错误包括：

1)实际油量多，显示的油量少，增加机组人员心理负担，改变原定航线;

2)实际油量少，显示的油量多，如果继续飞行，导致燃油耗完，会引起机毁人亡的后果。

要求确定在飞机系统设计时，应从最严酷的失效状态入手，因此，确定飞机级顶层要求就是:单点故障时，不应导致燃油量显示和低油位告警同时出现错误。

燃油测量系统单点故障分析

对燃油测量系统的失效状态进行分析，其可能出现的单点故障包括:

1)油箱内燃油单根传感器故障，包括油量传感器和低油位传感器。单根油量传感器故障只会造成测量精度降低，不会导致燃油量数据错误;单根低油位传感器故障可能会导致某个油箱低油位告警丧失，或错误触发低油位告警。

2)信号传输单点故障。如果总线信号在传输过程中发生反转(例如某一位出现0－1跳变)，会导致信号错误。

3)数据采集器单点故障。数据采集器内包含有微处理器，如果微处理器故障，会导致油量计算错误，以及错误地处理低油位传感器信号。

4)燃油计算机单点故障。燃油计算机内含有微处理器，其故障影响同数据采集器。因此，后3类故障可能引起“燃油量显示错误，且低油位告警丧失”。

下面针对这3类故障展开具体分析。

信号传输故障分析

由于总线信号在传输过程中可能因为外界电磁干扰导致信号出现0～1跳变，因此，数据就可能发生变化，以燃油计算机输出的AＲINC429油量信号为例展开分析，假设油量数据如表1所示。

如果表1中的11－29位中的任意一位翻转，都会导致接收端解码后的数据与原始信号完全不同。

低油位传感器信号同理:如果原始信号为“1”(出现了低油位的情况)，在总线传输时，这一位跳变为“0”(没有出现低油位的情况)，将直接导致丧失低油位告警。

而数据采集器的功能是采集油箱内所有传感器的信号，然后进行A/D转换，并将信号打包成总线格式输出。

图2所示的是相似设计的数据采集器。其两个通道完全相同，互为备份。但是两个通道存在共模故障，因为完全相同的设计，必然导致它们会出现相同的失效状态。

因此，在出现共模故障的情况下，所有的余度可能都会出现相同的“单点故障”。

油量传感器和低油位传感器的信号都经过通道1或通道2处理，如果这两个通道出现共模故障，会导致数据采集器输出的油量信号和低油位信号均发生错误。

建议采用非相似的设计解决共模故障，图3所示的就是数据采集器的硬件非相似设计方案。

图3多了一个模拟通道，这个模拟通道只用来处理低油位传感器的信号，最终输出离散量信号，数字通道处理油量传感器的信号，包括A/D转换，数据打包等。

因为模拟通道与数字通道完全独立，而且工作机理不同，可以认为模拟通道与数字通道之间不存在共模故障。

燃油计算机故障分析

燃油计算机的功能包括计算油量、发出油量不平衡、燃油低温/低油量等告警信号，同时实现加/放油管理。燃油计算机的失效状态与数据采集器类似，也需要考虑共模故障的影响。

与数据采集器的故障模式类似，为了避免共模故障，可采用图4的硬件非相似设计构架。燃油计算机的每个通道都包含模拟和数字两个模块，这两个模块互相独立。

模拟模块用于处理低油位信号，数字模块用于处理油量信号。

燃油测量系统方案

对于燃油测量系统，不需要同时对数据采集器和燃油计算机采用非相似设计，建议采用如图5所示的设计方案：

1)数据采集器使用硬件非相似设计，模拟通道处理低油位传感器的信号，输出离散量信号到航电系统;数字通道处理油量传感器的信号，输出CAN总线信号至燃油计算机。

2)燃油计算机采用的是相似设计，只处理与油量相关的信号。

3)航电系统处理低油位信号，航电系统与燃油计算机的设计完全不同，可以认为二者之间不存在共模故障。

网络传输系统故障

航电网络接收到AＲINC429格式的燃油量数据和离散量的低油位信号之后，统一转换成AＲINC664的格式，发送给显示系统，为了避免网络故障导致油量数据和低油位信号的传输同时错误，建议使用以下方法：

1)网络传输系统采用非相似设计，设计两套不同系统，例如：a.使用不同的处理器或相同的处

理器，驻留不同的软件；b.设计两套不同的系统，一套使用普通的CPU，驻留软件；一套使用可编程器件，直接在底层硬件电路上开发程序。

针对燃油量数据在AＲINC429的数据包里增加循环冗余校验码(CＲC)，具体方法是：

1、燃油测量系统在每次计算完各油箱油量和总油量(例如Label 150，151，152分别为各油箱油量和总油量)信号之后，计算这几个信号的CＲC，并将CＲC单独放在一个AＲINC429信号(例如L153)中；

2、燃油测量系统将L150－153发送给航电网络；c.航电网络将这些信号全部打包到AＲINC664信号中；d.显示系统接收到所有信号之后，先计算L150－152的CＲC，然后将其与L153的数值进行对比。

如果匹配，继续后续的显示工作;否则，认为网络传输故障，不再使用这些信号。

这两种方法都可以满足飞机要求。第一种方法实际上是设计了两套系统，设计难度很大，成本也很高，但第二种方法只需要在发送端和接收端的软件中增加CＲC计算和确认即可，易于实现，而且成本低，因此第二种方法更优。

显示系统故障

图6是显示系统的构架，采用两个独立的显示器：1、1号显示器:判断燃油量数值和低油位离散量信号是否应触发低油位告警，并显示相应的告警消息；2、2号显示器:不做逻辑判断，直接显示燃油量数据。

由于两个显示器的硬件设计相同，为了避免显示系统单点故障导致燃油量显示和低油位告警同时错误，建议采用：

1、两个显示器内驻留不同的软件;

2、1号显示器只接收总线信号;

3、2号显示器同时接收总线信号和离散量信号，并对总线信号的CＲC进行确认。这样，通过两个显示器软件的非相似性可以确保不会由于显示系统单点故障导致燃油量显示和低油位告警同时错误。

方案与总结

在飞机级，需要将燃油测量系统和航电系统结合考虑，既要避免单点故障导致燃油量显示和低油位告警同时错误，同时也要使得飞机的设计成本最低。因此，建议使用图7所示的方案。方案的主要特点如下:

1)燃油系统的数据采集器采用硬件非相似构架，使用模拟通道处理低油位传感器信号，数字通道处理油量传感器信号;

2)低油位传感器信号以离散量信号的形式直接发送给显示系统;

3)燃油计算机采用相似设计，进行油量计算，并计算油量数据的CＲC，所有结果通过AＲINC429总线发送给航电系统;

4)两个显示器使用两个独立非相似的软件，分别实现低油位告警和油量显示。显示油量的显示器将计算并检查油量数据的CＲC。