摘要
多余度飞控通过在关键飞行控制通路中部署多个计算通道，实现故障检测、隔离与重构（FDIR），是满足民航与无人机适航安全要求的基础架构手段。表决机制与监督机制是其中两类互补的核心容错策略：表决机制让多个通道并行计算同一控制律，对输出取多数一致值，以冗余“屏蔽”故障，追求失效后继续工作（fail-operational）；监督机制则由命令通道执行、监视通道独立比较期望值，发现超差即切换、降级或停车，追求失效后安全处置（fail-safe）。二者的本质差异在于“故障如何被对待”：表决靠多数覆盖错误，监督靠检测触发处置；这一差异进而决定了通道数、同步要求、检测能力与软硬件代价的不同。在适航符合性层面，运输类飞机按 CCAR-25 的第 25.671 条、第 25.1309 条等条款，结合 ARP4754A、ARP4761、DO-178C、DO-254 等标准体系取证；无人驾驶航空器则须对接 CCAR-92 部及限用类、正常类无人机适航标准。无论何种架构，审定关注的核心始终是单点失效、共模失效、故障覆盖率与潜伏故障控制。本文从技术思路、异同比较与适航符合性三个层面展开分析，并给出面向无人机三余度飞控的工程建议。
1 引言：多余度飞控与余度管理
现代飞控系统承担飞行控制、增稳、包线保护等关键功能，其失效可能直接危及飞行安全。为此，民航飞机与大型无人机普遍采用多余度架构：通过部署两个及以上独立计算与执行通道，使单一通道故障不至于导致功能丧失。余度管理（Redundancy Management）涵盖故障检测、隔离与重构（FDIR）的全链路，而监督机制与表决机制正是故障检测与处置环节的两种基本实现策略。二者名称相近，常被混为一谈，但其技术思路、失效行为与适航取证路径存在本质区别。本文首先分别阐述两种机制的技术思路，再给出系统的异同比较，最后结合运输类飞机与无人驾驶航空器两套适航规章体系，分析其在适航认证中的符合性要求与审查要点。
2 表决机制的技术思路
表决机制（Voting）的基本思想是：由 N 个（通常 N≥3）独立通道同时计算同一控制律，各通道输出经表决器比较后，以多数一致值作为系统输出。以三余度表决（2-of-3）为例，三个通道中任意一个发生故障并输出错误信号时，其余两个正常通道的输出仍占多数，表决器选择多数值，错误输出被“淹没”，系统对外表现为无扰动地继续工作。由此可以看出，表决机制的核心价值在于让系统在单通道失效的情况下依旧维持完整功能输出，而不是立即转入降级或停止状态。这种以冗余屏蔽故障、使系统在单通道失效后保持功能连续的策略，称为容错（fail-operational），它强调的是对故障的暂时容纳与功能的持续保持，为飞行员或自动控制系统争取继续执行任务的余度。
表决机制的前提是通道间严格同步：各通道须在帧级同步地完成采样、计算与输出，表决器才能对同一拍的数据进行比较，否则不同步的数据将失去可比性，甚至可能将正常的时间偏差误判为通道故障。同时，表决器与同步逻辑自身不得成为单点失效源，一旦这些环节发生故障，整个表决过程就可能失效，因此通常需要自监控（BIT）或冗余表决通道来保证其可靠性。表决机制对随机硬件故障有效，但对设计缺陷等共模故障无能为力——若所有通道因相同软硬件错误产生相同错误输出，表决将“一致地”输出错误结果，此时冗余非但不能屏蔽故障，反而可能使系统在“一致通过”的表象下持续输出危险指令，因此多通道须在软硬件层面引入多样性，以降低共模故障的发生概率。表决机制的代表应用包括发动机全权限数字电子控制（FADEC）与三余度、四余度飞控计算机，这些应用场景对功能连续性和任务可靠性要求较高，因而适合采用基于多数表决的容错架构。
3 监督机制的技术思路
监督机制（Monitoring）的基本思想是：由命令通道（Command）产生并输出控制信号，由一个或多个监视通道（Monitor）对命令通道的输出进行独立或交叉校验，一旦发现输出与期望值之差超过门限，即判定命令通道故障，并触发切换、降级或安全停车。其基本逻辑是，不试图从多个输出中筛选出“正确”的那一个，而是持续追问“当前输出是否可信”，一旦可信性不再成立，立即终止该通道对系统的控制权。典型结构为“命令/监视”（C/M）双通道构型，亦常见“主-备”（active-standby）加看门狗（watchdog）的实现。与表决机制不同，监督机制不以冗余输出“覆盖”故障，而是以检测结果驱动安全处置，追求失效后系统安全降级（fail-safe/fail-passive），即在无法继续正常工作的前提下，优先保证系统进入一种可预见、可接受的安全状态。
监督机制的技术难点集中于三处：一是监视通道自身的完整性，监视通道必须独立于命令通道（独立供电、独立时钟与独立软件实现），否则二者会同时失效，监督就失去了存在意义，相当于两个通道被同一条故障链路捆绑。二是覆盖率（fault coverage），监视算法对各类故障模式的检出比例必须量化并纳入安全性评估模型，因为未被检出的故障会以“静默失效”的形式积累，最终可能在无告警状态下直接危及飞行安全。三是切换逻辑的正确性，切换仲裁不能引入新的危险，如振荡切换、双通道同时激活等，切换本身是一个状态跃迁过程，若仲裁条件或时序设计不当，反而可能因切换动作产生比原故障更严重的瞬态扰动。监督机制在民机飞控中的典型应用是 A320 等机型飞控计算机内部的 C/M 通道配对，在无人机上则体现为主备飞控与独立看门狗的组合。
4 两种机制的异同比较
两种机制同属余度管理的故障容错手段，都以冗余为基础、以故障检测为核心，且都要求“冗余本身不引入新的单点”。其根本差异在于对故障的处理哲学：表决机制以多数覆盖错误、保持功能连续；监督机制以检测触发处置、保证安全降级。这一差异在结构、行为与代价上系统性地展开，如表 1 所示；图 1 给出了两种机制的架构示意。
图 1 表决机制与监督机制架构示意
数据来源：根据公开工程资料整理（示意）。
表 1 表决机制与监督机制异同对比
5 适航认证符合性分析
5.1 运输类飞机规章与取证路径
运输类飞机的适航要求集中体现在 CCAR-25《运输类飞机适航标准》（现行版本为 CCAR-25-R4）。与余度架构直接相关的条款包括：第 25.671 条要求操纵系统在单个失效（除卡阻外）或未表明极不可能的失效组合情况下，仍能保证飞机继续安全飞行和着陆，专用条件 SC-25-044 进一步明确，当操纵系统中已存在任何单个失效时，额外的、能够妨碍持续安全飞行和着陆的失效状态组合概率应小于 1/1000；第 25.1309 条要求设备、系统与安装的失效状态严重程度与发生概率相匹配，其中灾难性失效状态须“极不可能”（在咨询通告口径下量化约小于 1×10⁻⁹ 每飞行小时），危险失效状态约小于 1×10⁻⁷ 每飞行小时。
飞控系统作为直接影响飞行安全的系统，其冗余架构（表决或监督）必须支撑上述概率目标的分配与证明。工程取证路径通常遵循 ARP4754A（系统研制过程）、ARP4761（功能危险评估、故障树分析、共因分析等安全性评估方法）、DO-178C（软件研制保证，按 DAL A—E 分级）、DO-254（机载电子硬件设计保证）与 DO-160G（环境条件试验）构成的完整证据链。表决与监督架构属于实现层设计，审定的实质在于：能否将失效条件追溯到可接受的失效概率，能否用故障树等定量方法证明架构的容错能力达标。
5.2 无人驾驶航空器适航要求
无人驾驶航空器领域，《无人驾驶航空器飞行管理暂行条例》（国令第 761 号）自 2024 年 1 月 1 日起施行，与之配套的 CCAR-92《民用无人驾驶航空器运行安全管理规则》（交通运输部令 2024 年第 1 号）同期公布并施行。按 CCAR-92 第 92.301 条，国产中型、大型民用无人驾驶航空器系统的设计批准（型号合格证、补充型号合格证）、生产批准与适航批准均适用该规则；第 92.453 条规定，取得型号合格证的系统依类别颁发标准适航证或特殊适航证。
针对具体机型，中国民用航空局已陆续发布《限用类无人驾驶航空器系统适航标准》（AC-21-AA-2026-44，覆盖固定翼、旋翼及复合翼等构型）、《正常类多旋翼无人驾驶航空器系统（不载人）适航标准》等标准文件，并对尚未取得型号合格证的系统提供适航安全评定路径（过渡期至 2026 年 11 月 26 日，通过评定可申请特殊适航证）。上述标准对飞控系统的失效-安全、单点失效、余度与故障处置提出了与运输类飞机一脉相承的定量与定性要求，监督与表决架构的具体选择须逐条映射到标准条款。
5.3 余度架构符合性审查要点
无论选择表决、监督还是混合架构，适航审定的关注点集中在四个方面。其一，单点失效：表决器、比较器、切换仲裁、电源、时钟与总线等公共资源必须证明不存在单点失效，否则冗余架构形同虚设；其二，共模失效：多通道若采用相同软硬件，设计缺陷会使冗余整体失效，须通过处理器多样性、独立供电与时钟、软件多版本等手段抑制，并在共因分析中论证；其三，故障覆盖率与潜伏故障：监督通道对故障的检出比例、表决器对不一致的判定能力须量化建模，潜伏故障与后续活动故障的组合概率须满足规章限制；其四，开发保证等级：实现监督与表决逻辑的软件和硬件按其对失效条件的影响确定 DAL（通常为 A 或 B 级），并按 DO-178C、DO-254 完成对应等级的研制过程与结构覆盖测试。上述证据构成适航审查中“架构符合性”的完整闭环。
6 组合架构与工程建议
工程实践中，表决与监督并非互斥，而是组合使用：四余度飞控常采用“三个表决通道加一个独立监视通道”的构型，表决保证主控制通路在单故障下继续工作，监视则对安全关键事件（急停、返航、链路丢失处置）提供独立的失效保护。面向无人机三余度飞控开发，建议按以下路径推进：一是先开展功能危险评估（FHA），将失控、坠机类失效逐条分配到可接受的概率目标；二是主控制通路采用 2-of-3 表决，安全功能采用独立监督，并保证监督通道的供电、时钟与软件实现独立；三是将表决器、比较器、切换逻辑纳入单点失效分析，将覆盖率与潜伏故障写入故障树模型；四是若以适航取证为目标，应尽早对照 CCAR-92 及对应适航标准（如 AC-21-AA-2026-44）建立条款映射表，并将架构论证材料作为型号合格证申请的输入。以上分析基于公开规章与标准资料，具体审定要求以中国民用航空局发布的现行文件为准。
主要信息来源
1. 中国民用航空局：《运输类飞机适航标准》（CCAR-25），交通运输部网站发布版。

https://xxgk.mot.gov.cn/2020/gz/202112/t20211227_3633506.html
2. 中国民用航空局：《现行 CCAR-25-R4 中关于传统飞行控制系统的要求》（AG600 型号审定背景文件），2025 年。

https://app.caac.gov.cn/XXGK/XXGK/BZGF/ZYTJHHM/202504/P020250416404774012538.pdf
3. 中国民用航空局：《运输类飞机适航标准》第 25.671 条（操纵系统：总则），司法部网站转载。

https://www.moj.gov.cn/pub/sfbgw/flfggz/flfggzbmgz/201608/t20160801_145882.html
4. 中国民用航空局：《专用条件 SC-25-044 操纵系统-总则》，2022 年 9 月。

http://www.caac.gov.cn/big5/www.caac.gov.cn/XXGK/XXGK/BZGF/ZYTJHHM/202210/P020221017585812484410.pdf
5. 中国民用航空局：《咨询通告 AC-21-AA-2013-19 型号合格证持有人持续适航体系的要求》，2013 年 9 月。

http://www.caac.gov.cn/big5/www.caac.gov.cn/XXGK/XXGK/GFXWJ/201511/P020151103347658169096.pdf
6. SAE International：《民用飞机和系统研制指南》（ARP4754A/ARP4754B）。

https://webstore.ansi.org/standards/sae/saearp4754b2023
7. SAE International：《民用机载系统安全性评估的程序和方法指南》（ARP4761），美国 FAA AC 23.1309-1C 引用。

https://www.govinfo.gov/content/pkg/GOVPUB-TD4-PURL-LPS105538/pdf/GOVPUB-TD4-PURL-LPS105538.pdf
8. RTCA：《机载系统和设备合格审定的软件考虑》（DO-178C，EUROCAE ED-12C），2011 年。

https://cordis.europa.eu/project/id/605305/reporting
9. RTCA：《机载电子硬件设计保证指南》（DO-254，EUROCAE ED-80），2000 年。

https://nepp.nasa.gov/mapld_2008/presentations/t/Lange_Michelle_mapld08_add_1.pdf
10. RTCA：《机载设备环境条件和试验程序》（DO-160G），2010 年 12 月。

11. 国务院、中央军事委员会：《无人驾驶航空器飞行管理暂行条例》（国令第 761 号），2024 年 1 月 1 日施行。

解读丨强制性国家标准《民用无人驾驶航空器实名登记和激活要求》
12. 交通运输部：《民用无人驾驶航空器运行安全管理规则》（CCAR-92 部，交通运输部令 2024 年第 1 号），2024 年 1 月 1 日公布并施行。

https://xxgk.mot.gov.cn/2020/gz/202401/W020240103570150577134.pdf
13. 中国民用航空局：《民用无人驾驶航空器运行安全管理规则》第 92.301 条（设计批准适用范围）。

http://www.caac.gov.cn/PHONE/XXGK_17/XXGK/MHGZ/202401/P020240103569247124102.pdf
14. 中国政府网：《中华人民共和国交通运输部令（2024 年第 1 号）民用无人驾驶航空器运行安全管理规则》（含第 92.453 条适航证件）。

中华人民共和国交通运输部令（2024年第1号） 民用无人驾驶航空器运行安全管理规则__2024年第9号国务院公报_中国政府网
15. 中国民用航空局：《限用类无人驾驶航空器系统适航标准》（AC-21-AA-2026-44），2026 年 2 月。

http://www.caac.gov.cn/PHONE/XXGK_17/XXGK/GFXWJ/202602/P020260226338705668572.pdf
16. 中国民用航空局：《正常类多旋翼无人驾驶航空器系统（不载人）适航标准》，2026 年 4 月。

http://www.caac.gov.cn/big5/www.caac.gov.cn/XXGK/XXGK/GFXWJ/202604/P020260417551228059844.pdf
中国民用航空局：《民用无人驾驶航空器系统适航安全评定指南》，2024 年 2 月。

http://www.caac.gov.cn/XXGK/XXGK/GFXWJ/202402/P020240226531740907108.pdf
