CN88102523A

CN88102523A - 采用三个控制器操纵一个申列式致动器的飞行控制系统

Info

Publication number: CN88102523A
Application number: CN198888102523A
Authority: CN
Inventors: 艾米尔·J·特卡斯
Original assignee: Boeing Co
Current assignee: Boeing Co
Priority date: 1987-04-23
Filing date: 1988-04-22
Publication date: 1988-11-02
Also published as: EP0288034A2; EP0288034A3; US4807516A; BR8801907A; IL86127A0; JPS6460497A

Abstract

本发明为一种飞行控制系统，适用于通过传动杆与飞行控制面相连的串列式或称双联式液压致动器。该串列式致动器的每一半均由各自的一个电动液压伺服阀所控制。每个电动液压伺服阀均由送入两个激励线圈中的一个的信号所控制。控制信号以三个控制器加入激励线圈中，这些控制信号是与飞行控制信号和指示传动杆位置的反馈信号间差值为函数产生的。每个电动液压伺服阀中均有两个线性可变微分变压器来产生指示阀塞位置的反馈信号。

Description

本发明涉及航空器的飞行控制系统，具体地说，是涉及用于液压飞行控制致动器的一种余度控制系统。

航空器的飞行控制面（如副翼、升降舵和方向舵）通常由液压致动器来操纵，液压致动器一般由一个液压缸密封住一个装在传动杆上的活塞而组成。送入液压致动器的液压液通常由一个电动液压伺服阀所控制，这种伺服阀至少有一个控制线圈用来从控制器接收控制信号。为了检验致动器是否正确动作，还有一个线性可变微分变压器与传动杆相连。这个线性可变微分变压器给控制器提供一个指示传动杆位置的反馈信号。同样，也可以使一个线性可变微分变压器与电动液压伺服阀阀塞以机械方式相连，从而向控制器提供一个指示阀塞位置亦即致动器运动速率的监视信号。

很显然，采用液压控制系统的航空器是否安全运行，取决于该系统是否正常工作。另外，由于航空器飞行速度极高，因此在飞行坠毁、乘员生命、财产损失之前往往检测不到飞行控制故障。因此，液压飞行控制系统必须尽可能做成是“故障保险”的，或者说是有故障时也能有效地工作，即必须是有故障也能工作的。

实现“故障保险”的飞行控制系统的典型方法是在系统中使用冗余元件。使用冗余元件的飞行控制系统能在一个元件出现故障时仍能工作。为了进一步提高冗余度飞行控制系统的可靠性，冗余元件的数目可以增加到二个甚至三个相同的元件。

理论上说，只要简单地增加冗余元件的数目就可以使飞行控制系统的可靠性达到任何预定值。但是实际上，所使用的冗余元件的数目受到多种因素的制约：首先，采用飞行控制系统的航空器的重量一般要求降到最小限度。使用冗余元件所导致的额外重量将不适当地使航空器的重量增加;第二，大量的冗余元件也增加了“至少一个元件发生故障”的概率，从而会使整个系统平均故障间隔时间小到不可接受。最后，使用冗余元件很容易使飞行控制系统的成本翻几番。因此，重要的是以最小的元件数达到最佳的冗余度。

过去，人们曾尝试把双线圈电动液压伺服阀与一个或二个数字控制器结合起来使用。然而使用由一个或者二个控制器控制的单、双线圈电动液压伺服阀还不能满足安全性/可靠性的要求。此外，使用双线圈电动液压阀和双线圈控制器还会在发生故障时引起操作上的不确定性，因为很有可能无法确定哪个控制器和/或哪个电动液压伺服阀出了故障。

根据本发明的一个方面而提供的一种液压飞行控制系统包括：

一个串列式液压致动器，它有一根传动杆与分别装在第一缸和第二缸中的二个活塞相联;

分别控制液压液流入和流出第一缸和第二缸的第一和第二电动液压伺服阀，每个伺服阀由一对激励线圈所控制;

接收飞行控制信号的第一、第二和第三控制器装置，第一控制器有一条控制通道，能给第一电动液压阀的一个激励线圈提供一个输出信号，从而操纵第一电动液压伺服阀，第二控制器也有一条输出通道，能给第二电动伺服阀的一个激励线圈提供一个输出信号，从而操纵第二电动液压伺服阀，第三控制器具第一、第二二条输出通道，能给第一、第二电动液压伺服阀的另一个激励线圈分别提供输出信号;

监视及控制逻辑装置，该装置监视控制装置、电动液压伺服阀和致动器的工作情况，有选择地使控制装置工作，使得每个电动液压伺服阀在任一时刻只被一个控制装置所控制;并在某个电动液压伺服阀或者驱动该阀的控制装置工作出现故障时，使与该阀相连的另一控制装置工作。

本发明所提供的飞行控制系统从操纵飞行控制面的一台飞行控制计算机中得到输入飞行控制信号。一个串列式液压致动器用来操纵液压控制面。这个串列式致动器有一个传动杆与飞行控制面相连，两个分别位于第一和第二缸中的活塞也装在该传动杆上。液压液流入和流出第一和第二缸分别由第一和第二电动液压伺服阀来控制。这二个电动液压伺服阀反过来分别由送入一对激励线圈的信号控制。第一控制器与第一电动液压伺服阀的一个线圈相连，第二控制器与第二电动液压伺服阀的一个线圈相连，第三控制装置器有二个输出端，分别与第一及第二电动液压伺服阀中的另一个线圈相连。

控制器、电动液压伺服阀和致动器的工作情况都将受到监测，控制器将被有选择地启动，使得每个电动液压伺服阀在任一时间只被一个控制器所操纵。当一个电动液压伺服阀或者驱动该阀的控制器出现故障时，与该电动液压伺服阀相连的另一个控制器将被启动。位置传感器与传动杆相连并产生传动杆位置信号，这个传动杆位置信号作为负反馈信号送入控制装置中，使得控制器产生作为飞行控制信号与各个传动杆位置信号之间的差值函数的信号，这些函数信号被送入电动液压伺服阀的激励线圈中。电动液压伺服阀最好能包括阀位置传感器，阀位置传感器提供能指示出阀工作情况的阀监测信号。阀监测信号将和与阀基准信号的期望值（由当前的飞行控制信号得来）相对应的基准信号相比较。上述那些基准信号由各控制器中的状态通道（model channel）产生，即这些状态通道能根据控制信号模拟电动液压伺服阀的特性。

图1是本发明的飞行控制系统的一个实施例的方框图。

图2是本发明的飞行控制系统的另一个实施例的方框图。

图3是本发明的飞行控制系统的另一个实施例的方框图。

图4是本发明的飞行控制系统的另一个实施例的方框图。

图5是图1中的飞行控制系统中所使用的主控制器的方框图。

图6是检测图1-4中的飞行控制系统中的双通道B控制器中的故障元件的控制逻辑的方框图。

图7是说明图1中的主控制器的工作情况的真值表。

图8是图1中的飞行控制系统中使用的副控制器的方框图。

图9是表示图1-4中的飞行控制系统中所使用的旁通阀的工作情况的真值表。

本发明的飞行控制系统如图1所示，它使用了一个具有二个液压缸14，16的串列式致动器12，液压缸14，16各自包含装在公共传动杆22上的活塞18，20。传动杆22以常规的方式与飞行控制面（如副翼、升降舵、方向舵）相联。由于使用了公共传动杆22，施加在活塞18，20上的液力将机械相加，因此，万一串列式致动器12的一半出现故障或者控制串列式致动器12的元件发生故障，串联式致动器12仍然继续工作，虽然驱动力只有原来的一半。

双线圈电动液压伺服阀30、32控制液压液流入和流出双联致动器中的每一缸14和16。每个电动液压伺服阀30和32都由各自本身的常规液压系统所驱动，这样，一个液压系统发生故障时将只影响串列式致动器12的一半。从先有技术可知，电动液压伺服阀30、32都有一个接收电信号的控制线圈（图中未画出），电信号使阀塞移位，从而使液压液流入和流出缸14和16。这样，加到电动液压伺服阀的控制线圈上的电信号实际上控制着液压液流入或者流出液压缸14和16的速率，这个速率反过来又控制了传动杆22的运动速率。

电动液压伺服阀30和32中的阀塞的位置分别由一对常规的线性可变微分变压器34、36和38、40来监测。线性可变微分变压器（LVDT）产生与各阀塞位置成正比的电信号。由此可知，LVDT产生的信号正比于液压液流入和流出缸14和16的速率，亦即正比于作动杆22的运动速率。

常规的LVDT42、44、46、48与传动杆22相连以提供指示传动杆位置的信号。正象下面将要详细描述的那样，LVDT42、44、46、48的输出信号将被用作反馈信号与来自常规的飞行控制计算机的飞行控制信号加以比较，从而产生加至电动液压伺服阀30和32的激励线圈中的信号。

上面描述的元件对本发明的飞行控制系统的四个实施例来说是共有的。这几个实施例之间的差别在于这些元件的控制方式上的不同。

在图1所示的实施例中，电动液压伺服阀30、32在正常工作时由主控制器50根据来自飞行控制计算机FCC“B”的飞行控制信号加以控制。主控制器50有一个CH 1B输出信号来驱动电动液压伺服阀30的一个控制线圈，还有一个CH 2B输出信号来驱动电动液压伺服阀32的一个控制线圈。电动液压伺服阀30的负反馈由LVDT“B1”44提供，电动液压伺服阀32的负反馈由LVDT“B2”提供。正象下面将要详细描述的那样。LVDT36和38各自产生的阀监测信号将被送至主控制器50中，使得主控制器50能监测电动液压伺服阀30、32的工作情况。来自LVDT36、38的阀监测信号互相进行比较，并且各自与相应于某个给定飞行控制信号的期望值的监测信号的状态信号加以比较。一旦来自LVDT36、38的阀监测信号与另一监测信号或者阀状态信号不同，来自主控制器50送至受影响的电动液压伺服阀30、32输出信号即终止，一个分离信号加到受影响的电动液压伺服阀30、32的副控制器52和54中，此后电动液压伺服阀30、32将由副控制器52、54所驱动，副控制器52、54向每个电动液压伺服阀30、32中每一个阀的一个分离的激励线圈中送入一个控制信号。这样，一旦来自LVDT 1B36的阀监测信号值与来自LVDT 2B38的阀监测值信号不对应或者与来自主控制器50的阀监测信号不相对应，主控制器50将使CH 1B停止工作，并向副控制器“A”送出一个分离信号。此后，副控制器“A”52将通过它自身的激励线圈驱动电动液压阀30。应该强调的是，电动液压伺服阀30、32中的每一个阀在任一时候只能从控制器50、52或从50、54接收一个信号。

如果主控制器50的两个通道以及分别驱动电动液压伺服阀30、32的副控制器52、54的一个都发生故障，那末，二个电动液压伺服阀中将有一个出现故障而不能工作。为了防止有故障的电动液压伺服阀60或62的活塞30或32被卡死，控制器将开动一个常规的旁通阀，使得液压液能自由地从每个缸14或16的一端流向另一端。当主控制器50的CH 1B通道输入报废时，主控制器将向旁道阀60送出一个旁通信号。但是，旁通阀60只是在从副控制器52中接到第二个旁通信号后才开始工作。一旦从LVDT 1A34发现有不正确的阀监测信号存在，副控制器52将向旁通阀60送出第二个旁通信号使旁通阀60移至旁通位置。液压缸16的旁通阀62的工作情况由主控制器50和副控制器54以相同的方式控制。

正如先有技术中所公知的那样，旁通阀60、62由弹簧把它们偏置在旁通位置，由液压压力及来自主控制器50及副控制器52、54的输出把它们保持在非旁通位置。这样，当液压压力或加至电动液压伺服阀30、32的正确信号消失时，旁通阀60和62将自动移到旁通位置。虽然旁通阀60、62也有可能在非旁通位置发生故故从而造成传动杆22的液压锁定，但是，这种情况是极其罕见的。

附图1中的飞行控制系统中的元件的故障模式作一个分析将使本系统固有的可靠性更加明显。该系统在经受二个电气故障和一个液压故障时仍能有效地工作。如果故障发生在电动液压伺服阀30、32的上游一侧（包括飞行控制计算机的故障），则该故障被认为是电气故障;电动液压伺服阀30、32发生故障或阀30、32失去液压力都将被视为液压故障。

一旦主控制器“B”50中的一个通道CH 1B或CH 2B发生电气故障，主控制器50中的故障检测逻辑电路将认别出故障、切断故障通道CH 1B的运行并通过向副控制器52送出一“分离”信号启动副控制器52。副控制器52由此进入控制状态，主控制器“B”50的通道CH 1B被切断使得电动液压伺服阀转而由副控制器52的CH 1A通道通过与副控制器52相连的电动液压伺服阀30的线圈加以控制。这样，万一主控制器50中有一个通道发生故障，串列式致动器12仍能完好工作。一旦主控制器50的另一个通道CH 2B也发生故障，主控制器50将象上面描述副控制器52时的那样把副控制器54转换到它的运行状态。此后，电动液压伺服阀32将由副控制器54通过与该副控制器54相连的电动液压伺服阀32的激励线圈加以控制。这样，万一主控制器50的二个通道CH 1B和CH 2B均发生故障，双联致动器仍能完全工作。

现在让我们假定主控制器50的两个通道和/或主控制器50驱动的电动液压伺服阀30、32的激励线圈发生故障，因此，致动器12的控制是通过副控制器52、54来进行的。如果副控制器52或54和/或与副控制器52、54相连的激励线圈中有一个失效，受影响的副控制器52、54将以下面将详细描述的方式检测出上述故障。受影响的那个副控制器（比方说52）将被关闭，并因此向旁通阀60发出一个第二旁通信号，旁通阀60在通道CH 1B发生故障时已经从主控制器50收到过一个信号，因此，旁通阀60转到它的旁通位置，从而有效地使液压液能在活塞18周围自由流过。与此同时，电动液压伺服阀30当然已经失效，因为主控制器50的通道CH 1B和副控制器52均已失效。但不管怎样，飞行控制系统仍能工作，虽然致动器12所产生的力减小了50%。

旁通阀60、62有二种可能的故障状态。旁通阀60、62在错误地转换旁通状态或有命令时也不转换至旁通状态这二种情况下都已发生故障。致动器12工作期间旁通阀60或62如不希望地转移至旁通状态将导致失去一个致动器参与工作。这个故障降低串列式致动器12为输出容量，并将降低系统的冗余度。一种更严重的故障是旁通阀60、62在从分别控制阀60、62的控制器52、50或50、54受到二个旁通信号之后也不移到旁通状态。这个故障可以由液压锁定所引起，它将导致整个双联致动器不工作。由于这个原因，旁通阀60、62的工作情况应定期检查。然而，由于旁通阀60、62是由弹簧把它们偏置在旁通状态的，因此旁通阀在要求旁通时不旁通这一故障是极罕见的。

应该注意到，当主、副控制器50、52、54的链路中任一元件发生故障时处理方式是相同的。这一点很重要，因为这样，产生飞行控制信号PCC“A”的飞行控制计算机FCC的故障、副控制器52的故障、驱动电动液压伺服阀30的激励线圈的故障、LVDT 1A34的故障和LVDT“A”42的故障都将被检测成副控制器“A”52的故障。此时，若所有的故障元件全在一个控制器链路中，则在系统仍能维持正常工作的前提下能发生的故障个数要比故障元件不在一个控制器链路中时高得多。最坏的故障状况是三条不同的控制器链路中都有一个元件发生故障。（如主控制器50的两个通道和副控制器52都发生故障），在这种情况下，致动器12将由一个控制器54、一个电动液压伺服阀32、串列式致动器12的一半继续操纵。

图2中所示的飞行控制系统与图1中所示飞行控制系统十分相似，因为它使用了许多以同样的方式工作的同样的元件。以同样的方式工作的同一元件在这里被给予相同的参考数字。图2中所示的飞行控制系统采用了副控制器70、72，其中包括了与图1所示的实施例中的副控制器52、54中相似的表决和转换逻辑电路。此外，这种副控制器还能产生送至主控制器74的分离信号。副控制器70、72能检测出加至副控制器70、72的阀监测信号和内部产生的阀状态信号之间的差异，如果阀监测信号与其它信号不匹配，控制器70、72将向主控制器74送出一个“分离”信号。因此，一旦那个控制器或该控制器上游的那个输入发生故障，失效的控制器通道便由通过通道间的表决挑选出来。

当致动系统处于正常工作状态时，电动液压伺服阀30和32分别从主控制器74的通道CH 1B和CH2B接收控制输入，副控制器70和72监测致动操作。通过在致动系统正常工作的情况下检查各种事故状态能更详细地考察图2所示的实施例的通道间表决能力。

现在假定这样一种故障状态，即驱动副控制器70的飞行控制计算机“A”发生故障。在这样的情况下，来自LVDT1A34的监测信号将与副控制器70的状态不匹配。因此，副控制器70将向主控制器74发出一个“分离”信号，通知主控制器74：副控制器70已发生故障。当飞行控制计算机“C”和副控制器72正常工作时，来自LVDT2C40的监测信号与副控制器2中的状态信号相匹配，因此，副控制器72不会向主控制器74提供分离信号。此外，主控制器74工作无故障时，来自LVDT1B和LVDT2B的监测信号将与主控制器74中所建立的状态相匹配。

这样，构成主控制器“B”74的一部分的常规的逻辑电路将认别出：CH1B、CH2B和CH2C的信号互相匹配，只有副控制器“A”中所建立的CH1A信号发生故障。这时，主控制器“B”74向副控制器“A”70提供一个分离信号中止控制器“A”70的工作，直到在控制器“A”70或其上游存在故障条件为止。

第二种故障状态涉及位于副控制器72的上游的飞行控制计算机“C”中的故障。这个故障的处理方式与前一例子的处理方式基本相同，副控制器72被以同上例中选出副控制器70相同的方式选出。

通道间的表决以这样的方式就能检测出位于控制器70或72的上游的故障而不干扰仍处于主控制器74的控制之下的致动操作的进行。

第三种故障状态是驱动主控制器74的飞行控制计算机“B”发生故障，这样，来自LVDT1A34和LVDT2C40的监测信号与副控制器70和72中的状态信号将不匹配。因此，每个副控制器70和72中的故障检测逻辑电路向主控制器74提供一个分离信号，指明CH1A和CH2C与CH1B和CH2B不匹配，接着，即使主控制器74中的阀状态信号与副控制器70和72各自的分别来自LVDT 1B36和LVDT 2B38的阀监测值相匹配，副控制器70和72也将选出主控制器74。

主控制器74被选出之后，两个副控制器70和72将被激励，整个致动装置在这两个副控制器的控制之下仍能全部工作。

万一某个故障使得控制器70、72和74中的任一个产生与阀监测信号和阀状态信号不匹配的伪分离信号，其结果是使副控制器中的一个关闭。串列式致动器12在主控制器74和另一副控制器的控制下仍能全部工作。要关闭主控制器74需要从每个副控制器同时送出两个分离故障信号，但是，串列式致动器仍能全部工作。

分离信号应该是有效的低电平，因为这样当任何控制器70、72或74完全失效时就能使该控制器在相应的电动液压伺服阀线圈不产生输出，而产生一个“分离”信号启动备用控制器。用有效的“低”信号作为“分离”信号还能防止同一电动液压伺服阀的两个线圈同时被激励。

副控制器70、72中的故障检测是通过将它们内部的阀状态信号和分别来自LVDT34和40的阀监测信号进行比较来实现的。一旦这些信号的差值大于一个预定值，副控制器70和72都会向主控制器74送至一个分离信号使主控制器74停止运行。同时，副控制器70将通过它的内部激励线圈驱动电动液压伺服阀30。这样，万一主控制器74出故障并使它识别不出其它故障时，识别故障这一功能将由副控制器70和72来实现。

和图2中的实施例一样，图3中的本发明的飞行控制系统的实施例中也采用了许多图1中的实施例用过的元件，并且工作方式也相同。因此，这些元件也将给予相同的参考数字。图3中的实施例与图1中的实施例的区别在于它在正常工作状态下采用了二个主控制器80、82分别驱动电动液压伺服阀30、32。主控制器80通过通道1A向它相应的电动液压伺服阀30的激励线圈输出一个控制信号;而主控制器80则通过通道2C向电动液压伺服阀32的激励线圈输出一个控制信号。副控制器84有两个通道1B和2B，分别与电动液压伺服阀30、32的激励线圈相连。一旦主控制器80、82中有一个出现故障或与主控制器80、82相连的激励线圈中有一个出现故障，与受影响的通道相连的主控制器80或82将识别出这一故障，并向副控制器84输出一个分离信号，同时关断它的控制通道1A或2C且向旁通阀60或60施加一个旁通信号。如果驱动同一电动液压伺服阀30或33的通道中发生第二次故障，则串列式致动器12象解释图1时所述的那样有一半将不能工作，图3中的实施例中的电动液压伺服阀的监测和阀状态测量与图1中的实施例1一样。

图4中的实施例与前面几个实施例一样也使用了与前几个实施例相同的元件，这些公共元件也因此都被赋予相同的参考数字。和图3中的实施例一样，图4中的实施例与图2中实施例的不同之处在于它使用了二个主控制器90、92和一个副控制器94。在正常工作时，电动液压伺服阀30、32由主控制器90、92所驱动。一旦主控制器90、92中或分别与主控制器90、92相连的电动液压伺服阀30、32的线圈中有一个发生故障，则控制将移交给副控制器94。与图2中的实施例一样，图4中的实施例也使用了一个能检测主控制器90、92中任一个的故障并能使主控制器90、92把控制移交给副控制器94的适当通道的副控制器94。

图5中详细示出了图1中的实施例中所使用的主控制器。图5的电路中还包括了图1中所示的飞行控制系统中与主控制器50相连的元件，但没有包括也和这些元件相连的副控制器52、54。主控制器50可以在不离开本发明主题的前提下用多种形式来实现。更具体地说，图5中所示的电路既可以是模拟电路也可以是数字电路。此外，图中的元件也可以部分或全部由一台微处理机来实现。一个本技术领域内的熟练人员可以很容易通过对微处理机编程使之实现图5中所示的元件。如果主控制器50中的元件是通过对微处理机编程来实现的，那么主控制器50最好采用两台微处理机，这样，一台微机如发生故障将被另一台微机检测到，就能中止主控制器50的运行并向副处理器52、54送出分离信号。不管图5中所示的元件的实现方式如何，它们都可以由一位本技术领域内的熟练人员采用公知的电路设计或编程技巧轻而易举地实现。

主控制器50包括一对运行通道100、102，这二个通道能产生一个电动液压伺服阀控制信号，该信号是由上游飞行控制计算机104产生的飞行控制信号与各个LVDT44、48输出位置反馈信号间的差值的函数。来自飞行控制计算机104的飞行控制信号和来自LVDT44和48的致动器反馈信号也分别加至备用通道106、108。这些备用通道的输出也分别加至具有常规设计的状态电路110和112，这些状态电路110、112的转移函数被选择成能输出一个与来自LVDT36、38的预测阀反馈信号相同或相对应的阀状态信号。换句话说，飞行控制信号对每个电动液压伺服阀30、32的影响是已知的，并由状态电路110、112模拟出来。此外，对电动液压伺服阀30、32的一个给定响应LVDT应产生的阀监测信号也是已知的。因此，作为飞行控制信号的一个函数、来自LVDT的阀监测期望信号也是已知的。状态电路110、112的转移函数被选择成这样：即状态电路110、112产生的状态信号与上面说过的那些阀监测期望信号相同或者相对应。接着，来自LVDT的阀反馈信号和来自状态电路110、112的状态信号被加至监测和控制逻辑电路114。正象后面将要详细描述的那样，监测和控制电路114把来自LVDT36、38的阀反馈信号互相之间或者与来自状态电路110、112的阀状态信号加以比较，一旦阀反馈信号中的一个与另一个不对应或者与阀状态信号不对应，监视和控制逻辑电路114将为受影响的通道启动一个转换信号开关116、118，并依靠备用通道106或108产生电动液压伺服阀30、32的控制信号。

举个例子来说，假如监测和控制逻辑电路114判定：来自LVDT36的阀监测信号与来自LVDT38的阀监测信号，或者与来自状态电路110、112的状态信号不相应，它便启动转换信号开关116使得备用通道106的输出信号加至电动液压伺服阀30。如果来自LVDT36的不正确的阀监测信号是由于运行通道电路100发生故障的话，那末主控制器50这时又能驱动电动液压伺服阀30了。

来自LVDT36的不正确的阀监测信号有可能是由运行通道电路100之外的另外元件的故障引起的，举例说，有可能是由驱动电动液压伺服阀30的激励线圈的故障所引起的。在这种情况下，启动转换信号开关116使备用通道106产生控制信号也校正不了故障。监测和控制逻辑电路114将继续识别出故障，从而向副控制器52施加一个分离“A”信号以把对电动液压伺服阀的控制移交给副控制器52。虽然图2～4中的实施例中的主控制器74、80、82、90和92及副控制器70、72、84、94没有详细示出，但只要参照一下图5中所示的图1的实施例中的主控制器50，则它们的设计对任一本技术领域内的熟练人员来说都是显而易见的。

图5中的主控制器50中所用的监测和控制逻辑电路被详细示于图6中。图6中所示的元件也可以由许多方式（包括模拟电路、数字电路或经适当编程的微处理机）来实现。监测和控制逻辑电路114分别从LVDT36、38接收阀监控信号1B和2B，它还从状态电路110、112接收阀状态信号1BM和2BM。比较器120把1B阀监控信号首先和1BM阀状态信号加以比较。如果比较结果为负，则比较器120使闸锁电路122置位从而产生一个高E₁信号。这个E₁信号被送至控制逻辑电路124和126。控制逻辑电路可能只是一个（比方说）与门。

比较器128也把1B阀监测信号与2B阀监测信号加以比较，如果比较结果为负，比较器128将使闸锁电路130置位。接着，闸锁电路130产生一个E₂信号，这个E₂信号被加至控制逻辑电路124和第三控制逻辑电路132。

最后，比较器134把1B阀监测信号与2BM阀状态信号加以比较。当比较结果为负时，比较器134将触发闸锁电路136。闸锁电路136转而产生一个E₃信号，这个E₃信号将加至控制电路124和一个第四逻辑电路138。

比较器140以与上面描述的方法相近似的方法把1BM阀状态信号和2BM阀监测信号加以比较，并在比较结果为负的情况下触发闸锁电路142，闸锁电路142将向控制逻辑电路126和132施加一个E₄信号。1BM阀状态信号还在比较器144中和2BM阀状态信号加以比较。一旦比较结果为负，闸锁电路146将被触发并向控制逻辑电路126和128施加一个E₅信号。最后，比较器148把2B阀监测信号和2BM阀状态信号加以比较，并在比较结果为负的状态下触发闸锁电路150。闸锁电路150接着向控制逻辑电路132和138施加一个E₆信号。

一旦1B阀监测信号与2B阀监测信号和阀状态信号中的任一个不匹配，信号E₁、E₂和E₃即为高电平。这样便指示出1B通道100（图5中的）有故障。控制逻辑电路于是产生一个S₁信号以运行通道100（图5中的）并启动备用通道10b。此外，关闭控制逻辑电路124还向控制逻辑电路126提供一个启动信号指示出1B通道100的失效。同样，一旦阀状态信号1BM与另一阀状态信号或者与阀监测信号中的一个不匹配时，信号E₁，E₄和E₅均为高，从而指示出备用通道106中有一个发生故障或者是电动液压伺服阀30或LVDT36中发生故障。控制逻辑电路12b因此而输出一个高“S₂”信号（该信号将向旁通阀“1”60施加一个旁通信号）并向副控制器52送出一个分离信号。控制逻辑电路132、138的工作方式分别与控制逻辑电路124和126的工作方式相同，并在发生故障时控制主控制器50的通道2B的工作。结合图6解释的监测和控制逻辑电路114的工作情况在图7中所示的真值表中得到了总结。

在图1所示的实施例中所使用的副控制器52、54被示于图8中。把图5和图8作一下比较可以很明显地看出：副控制器52、554有点相当于主控制器50的一半。这样，副控制器52、54与主控制器50类似也包括一个运行通道160和一个备用通道162。运行通道产生一个控制信号至电动液压伺服阀的一个激励线圈。该控制信号是来自飞行控制计算机104C的飞行控制信号和LVDT“A”42所产生的致动器位置反馈信号之间的差值的函数。备用通道“1AM”162的输出被加至常规的阀状态电路164，该电路将为某个给定的飞行控制信号产生一个与阀监测预测信号相对应的阀状态信号。来自LVDT“1A”34的阀监测信号和来自阀状态电路164的阀状态信号被加至监测和控制逻辑电路166，该控制逻辑电路166的工作方式与上面结合图6和图7解释的主控制器50中的控制逻辑电路114（图5中的）相似。一旦通道1A（图1中）发生故障，来自LVDT“1A”34的阀监测信号将与阀状态信号不同;此时，监测和控制逻辑电路166将启动转换开关168，使备用通道“1AM”162接管对电动液压伺服阀30的控制。一旦副控制器52的监测和控制逻辑电路166继续检测来自LVDT“1A”34的错误的阀监测信号，控制逻辑电路166将关断备用通道162，并向旁通阀“1”60施加一个旁通信号使活塞18和液压缸14旁通。

旁通阀的工作情况被示在图9所示的真值表中。从图9中可看出，传动机构12A基本上是不被旁通的，只是在主控制器50和副控制器52都向旁通阀60送出一个旁通信号以后（可能性6）传动机构12A才被旁通。同样，传动机构12B直到主控制器50和副控制器54均向旁通阀62送出一个旁通信号时才被旁通。两个旁通阀60、62均收到两个旁通信号时，传动机构12A和12B才都被旁通。这时，飞行控制系统也就失效了。

总之可以看出，本发明的飞行控制系统利用了相对较少的元件实现相当显著的冗余度。这个冗余度使整个飞行控制系统能承受二次电气故障和一次液压故障而不妨碍系统的工作。此外，本发明的飞行控制系统能检测出上游方向元件（如飞行控制计算机）中的故障并能作出反应。

Claims

1、一种液压飞行控制系统，包括：

一个串列式液压致动器，该致动器具有一根与分别装在第一和第二缸中的两个活塞相连的传动杆，

分别控制液压液流入和流出上述的第一和第二液压缸的第一、第二电动液压伺服阀，这二个电动液压伺服阀中的每一个均由一对激励线圈所控制，

接收飞行控制信号的第一、第二和第三控制器装置，上述的第一控制器装置有一条输出通道能向上述的第一电动液压伺服阀的一个激励线圈提供一个输出以操纵该第一电动液压伺服阀；上述的第二控制器装置也有一条控制通道能向上述的第二电动液压伺服阀的一个激励线圈提供一个输出以操纵上述的第二电动液压伺服阀；上述的第三控制器装置有第一和第二二条控制通道，能向上述的第一和第二电动液压伺服阀中的其余线圈分别提供输出以操纵上述的电动液压伺服阀中的任一个或二个；

监测上述的控制器装置，电动液压伺服阀和致动器的监测和控制逻辑装置，上述监测和控制逻辑装置有选择地启动上述的控制装置，使得上述的电动液压伺服阀中的每一个在任一时刻只被一个控制器所控制；

并在某个电动液压伺服阀或驱动该电动液压伺服阀的控制器装置的操作发生故障时，使与该电动液压伺服阀相连的另一控制器装置开始工作。

2、根据权利要求1的飞行控制系统，还包括：

其工作与上述的电动液压伺服阀中的每一个有联系的两个阀位置检测器，这二个检测器分别产生指出上述的伺服阀的工作情况的输出信号，这些输出信号为与上述的伺服阀相连的各个控制器装置提供了阀反馈信号，

比较器装置，该装置从上述的阀位置检测器接收反馈信号并把这些阀反馈信号加以互相比较，并在比较结果为负时给出一个故障指示。

3、根据权利要求2的飞行控制系统，其中上述的比较器装置还把上述的阀反馈信号和各自的与该反馈信号的期望值相对应的基准信号（上述的飞行控制信号的函数），并在比较结果为负时再给出一个故障指示。

4、根据权利要求1的飞行控制系统，还包括：

二个其工作和每个上述的电动液压伺服阀有联系的阀位置检测器，这二个检测器各自产生指示上述的阀的工作情况的输出，这些输出为与上述的阀相连的各个控制器装置提供了阀反馈信号;

比较器装置，该装置从上述的阀位置检测器接收阀反馈信号，并把这些阀反馈信号与各自的与这些阀反馈信号的期望值相对应的基准信号（上述飞行控制信号的函数）加以比较，并在比较结果为负时给出一个故障指示。

5、根据权利要求2的飞行控制系统，其中所述的第三控制器装置还包括分别与其第一和第二控制通道级联工作的第一和第二状态通道，这二个通道以上述的飞行控制信号分别产生出与阀反馈信号相对应的第一和第二阀状态信号，上述的阀反馈信号是各个阀位置检测器对上述的飞行控制信号作出反应时应该产生的，其中所述的飞行控制系统还包括：

第一比较器装置，该装置把来自上述的第一电动液压伺服阀的阀反馈信号与来自上述的第二电动液压伺服阀的阀反馈信号以及第一和第二阀状态信号加以比较，一旦来自上述的第一电动液压伺服阀的阀反馈信号与来自上述的第二电动液压伺服阀的阀反馈信号及第一和第二阀状态信号不对应，上述的第一比较器装置即关掉上述的第一控制通道，并用来自上述的第一状态通道的信号驱动上述的第一电动液压伺服阀;

第二比较器装置，该装置把第一阀状态信号与第二阀状态信号和上述的第一和第二阀反馈信号加以比较，一旦上述的第一阀状态信号与上述的第二阀状态信号及第一和第二阀反馈信号相对应时，上述的第二比较器装置将关断上述的第一状态通道并使上述的第一控制器装置开始工作，这样使得上述的第一电动液压伺服阀转而由上述的第一控制器装置通过它相应的第一电动液压伺服阀控制线圈来操纵。

6、根据权利要求5的电动液压伺服阀，其中所述的系统还包括：

第三比较器装置，该装置把上述的第二阀反馈信号与上述的第一阀反馈信号及上述的第一和第二阀状态信号加以比较，万一该第二阀状态信号与第一阀状态信号及第一和第二阀状态信号不对应，则上述的第三比较器装置将关断上述的第二控制通道并用来自上述的第二状态通道的一个信号来驱动上述的第二电动液压伺服阀;

第四比较器装置，该装置把上述的第二阀状态信号与上述的第一阀状态信号及上述的第一和第二阀反馈信号加以比较，一旦上述的第二阀状态信号与上述的第一阀状态信号及上述的第一、第二阀反馈信号不对应，上述的第四比较器装置即关断上述的第二状态通道，并使能上述的第二控制器装置，这样使得上述的第二电压液压伺服阀由上述的第二控制器装置通过它相应的第二电动液压伺服阀线圈加以驱动。

7、根据权利要求1的飞行控制系统，其中所述的系统还包括：

二个其工作与每个上述的电动液压伺服阀相关阀位置检测器，这二个检测器各自产生指示上述阀的工作情况的阀反馈信号;以及

其中所述的第三控制器装置还包括：

相对于所述的第三控制器装置的第一和第二通道级连工作的第一和第二阀状态通道，这二个通道根据上述的飞行控制信号分别产生与阀位置检测器在对上述的飞行控制信号作出反应时应产生的阀反馈信号相对应的第一和第二阀状态信号;

上述的第三控制器装置还包括：

在控制通道发生故障时工作的转换电路装置，该装置以与发生故障的控制通道相对应的阀状态通道向与发生故障的控制通道相连的电动液压伺服阀线圈施加信号，这样，上述的阀状态通道可以用作为一条冗余控制通道。

8、根据权利要求2的飞行控制系统，其中所述的系统还包括：

其工作与上述的第一电动液压伺服阀相关的一个阀位置检测器，该检测器产生一个指示该阀工作情况的阀反馈信号;

其中所述的第一控制器装置还包括：

与该控制器装置的控制通道级联工作的一条阀状态通道，该阀状态通道根据上述的飞行控制信号产生一个与上述的阀位置检测器在响应上述的飞行控制信号时应产生的阀反馈信号相对应的阀状态信号;上述的第一控制器装置还包括在控制通道发生故障时工作的转换电路装置，该装置从上述的阀状态通道向与上述的发生故障的控制通道相连的电动液压伺服阀线圈施加信号，这样，上述的阀状态通道可以被用作为一条冗余控制通道。

9、根据权利要求1所述的飞行控制系统，还包括：

与上述的传动杆相连、各自产生指示该传动机构的位置的传动杆位置信号的四个位置传感器，上述传动机构位置信号被耦合至上述控制器装置的控制通道，并和上述的飞行控制信号加以比较，产生一个指示出上述传动杆的实际位置与上述飞行控制信号的指定位置间的差值的误差信号，该误差信号由上述的控制器装置加以放大向上述的电动液压伺服阀的激励线圈提供输出。

10、根据权利要求1所述的飞行控制系统，其中每个所述的控制器装置都各自由一个飞行控制信号所驱动，这样，可使得上述的飞行控制系统至少在上述的飞行控制信号中有一个的产生发生故障时仍能继续工作。

11、根据权利要求1的飞行控制系统，其中上述的控制器装置还包括把上述的第一、第二和第三控制器装置的工作情况加以相互比较，以确定发生故障的控制器的存在及其位置的通道间表决装置。

12、根据权利要求1的飞行控制系统，其中所述的第一和第二电动液压伺服阀在这二个电动液压伺服阀有一个发生故障或驱动该阀的控制通道发生故障以前，均由上述的第三控制器装置的控制通道所控制，上述的故障发生后，与所述的电动液压伺服阀相连的第一和第二控制器装置将被使能。

13、根据权利要求1的飞行控制系统，其中所述第一和第二电动液压伺服阀在这二个阀中有一个发生故障或驱动该阀的控制器装置发生故障之前，是分别由第一和第二控制器装置所驱动的;上述的故障发生后，与该电动液压伺服阀相连的上述第三控制器装置的控制通道将被使能。

14、根据权利要求1所述的飞行控制系统，还包括每个上述的缸的旁通阀装置，每个前述的旁通阀装置均能对与所述电动液压伺服阀相连、控制液压液流入上述缸中的两个控制器装置的故障作出响应，就是使所述缸中的活塞旁通。

15、一架具有至少一个飞行控制面和一架根据手动控制输出产生飞行命令的飞行控制计算机的飞行器中的一种经改进的飞行控制系统，包括：

一个串列的液压致动器，该致动器有一根传动杆与分别装在第一和第二缸中的两个活塞相连，所述的传动杆与所述的飞行控制面中的一个相连;

分别控制液压液流入和流出所述的第一缸和第二缸的第一和第二电动液压伺服阀，这二个阀中的每一个均由一对激励线圈所控制，每个所述电动液压伺服阀均有一对用来产生各自的指示阀工作情况的阀反馈信号的阀工作监测器;

各自产生指示所述的传动杆的位置的传动杆位置信号;

主控制器装置，该装置分别通过第一和第二控制通道产生第一和第二控制信号，这二个信号是上述的飞行控制信号和来自两个传动杆位置检测器的传动杆位置信号的函数，所述的第一和第二控制通道分别与第一和第二电动液压阀的一个激励线圈相连;

第一副控制器，该控制器有选择地产生一个第三控制信号，此信号是上述的飞行控制信号和来自一个传动杆位置检测器的传动器位置信号的函数，所述的第一副控制器与所述的第一电动液压伺服阀的另一个激励线圈相连;

第二副控制器装置，该装置有选择地产生一个第四控制信号，该信号是上述的飞行控制信号和来自一个传动杆位置检测器的传动杆位置信号的函数，上述的第二副控制器与上述的第二电动液压伺服阀的另一个激励线圈相连;

监测和控制装置，该装置接收阀反馈信号，并把来自每个电动液压伺服阀的阀反馈信号与各自的基准信号（与从上述的飞行控制信号得到的预测值反馈信号相对应）相比较，一旦阀反馈信号与各自的基准信号不相符合，与产生与其基准信号不符的阀反馈信号的那不电动液压伺服阀相连的第一或第二副控制器将被使能。

16、根据权利要求15的飞行控制系统，其中所述的主控制器装置还包括相对于所述主控制器的第一和第二控制通道级联工作的第一和第二阀状态通道，这二个状态通道根据上述的飞行控制信号产生各自的基准信号;所述的主控制器还包括在控制通道发生故障时工作的转换电路装置，该装置从和发生故障的控制通道相对应的所述阀状态通道向与发生故障的通道相连的电动液压伺服阀的线圈加入一个信号，这样，所述的阀状态通道可用作冗余控制通道。

17、根据权利要求15的飞行控制系统，其中每个所述的控制器装置都各自被一个飞行控制信号所驱动，这样能使所述的飞行控制系统至少在所述的飞行控制信号中的一个发生故障时仍然继续工作。

18、一架具有至少一个飞行控制面和一架根据手动控制输入产生飞行控制信号的飞行计算机的航空器中的经改进的飞行控制系统，包括：

一个串列式液压致动器，该致动器有一根分别装在第一和第二缸中的二个活塞相连的传动杆，该传动杆与上述的飞行控制面相连，

分别控制液压液流入和流出上述的第一和第二液压缸的电动液压伺服阀，每个所述的电动液压伺服阀均有一对激励线圈所控制，每个所述的电动液压伺服阀都有一对各自产生指示上述阀的工作情况的阀反馈信号的阀工作情况检测器;

四个各自产生指示上述传动杆的位置的传动杆位置信号的传动杆位置检测器;

第一主控制器装置，该装置产生一个作为上述的飞行控制信号和来自一个传动杆位置检测器的一个传动杆位置信号的函数的第一控制信号，上述的第一主控制器装置与上述的第一电动液压阀的一个激励线圈相连;

第二主控制器装置，该装置产生一个作为上述的飞行控制信号和来自一个传动杆位置检测器的一个传动杆位置信号的函数的第二控制信号，上述的第二主控制器装置与上述的第二电动液压阀的一个激励线圈相连;

副控制器装置，该装置在第一和第二控制通道中产生作为上述的飞行控制信号和分别来自二个传动杆位置传感器的二个传动杆位置信号的函数的第三和第四控制信号，上述的第一和第二控制通道分别与上述的第一和第二电动液压伺服阀的一个激励线圈相连，

监测和控制装置，该装置接收上述的阀反馈信号，并把来自每个电动液压伺服阀的阀反馈信号和各自的与由上述的控制信号得出的预测值基准信号相对应的基准信号加以比较;一旦阀反馈信号与各自的基准信号不对应，上述的监测和控制装置将使与产生与其基准信号不对应的阀反馈信号的电动液压伺服阀相连的上述的副控制器的第一或第二通道开始工作。

19、根据权利要求18的飞行控制系统，其中每个所述的主控制器还包括一个与其控制通道级连工作的阀状态通道，所述的阀状态通道根据上述的飞行控制信号产生各自的基准信号，每个所述的主控制器还包括在控制通道发生故障时工作的转换电路装置，该装置把一个以上述的阀状态通道得到的信号加至与上述的发生故障的控制通道相连的电动液压伺服阀线圈，这样，所述的阀状态通道可以用作为一个冗余控制通道。

20、根据权利要求18的飞行控制系统，其中每个所述的控制器装置都各自由一个飞行控制信号所驱动，这样，使得所述的飞行控制系统在至少一个上述的飞行控制信号的产生发生故障时仍能继续工作。

21、根据权利要求18的飞行控制系统，其中所述的控制器装置还包括把上述的第一、第二和第三控制器装置的工作情况加以比较以确定发生故障的控制器装置的存在与位置的通道间表决装置。