具体实施方式

图1示出了根据本公开的一种分布式电传飞控系统架构100的示意图。该型号民用飞机分布式电传飞控系统架构100采用数字式电传飞行控制系统（FBW）也称电子飞行控制系统（EFCS）。

该分布式电传飞控系统架构100可包括安装于飞机的操纵装置处的多个传感器作为控制信号输入部分。具体而言，该多个传感器可包括右侧的侧杆俯仰轴位置传感器（例如，4个）102、侧杆滚转轴位置传感器（例如，4个）104、脚蹬位置传感器（例如，2个）；以及左侧的脚蹬位置传感器（例如，2个）110、侧杆俯仰轴位置传感器（例如，4个）114、侧杆滚转轴位置传感器（例如，4个）116。该多个传感器还可以被安装于减速板手柄及开关（未示出）等处作为控制信号输入器件。

来自该多个传感器102 – 116的位置信号以模拟信号的形式被相应地输入到多个（例如，4个）作动器控制电子（ACE）单元120-1到120-4。ACE 120-1到120-4还分别接收来自直接模式速率传感器（DMRS）1 – 4的备份速率信号输入。

ACE 120-1到120-4将来自传感器102 – 116的模拟信号转换为数字信号，并在专用内部总线上将数字信号形式的位置信号分别提供给多个（例如，3个）指令支路/监控支路非相似飞控计算机（FCM）130-1到130-3。

FCM 130-1到130-3基于从ACE 120-1到120-4收到的来自各传感器102 -116的位置信号来解算控制律以确定舵面指令，然后将舵面指令在内部专用总线传回给ACE 120-1到120-4。

ACE 120-1到120-4将接收到的数字形式的舵面指令转换成模拟信号，并在主控通道上向多个（例如，19个）远程控制单元（REU）150传送这些舵面指令，以用来控制舵机。另外，至少一部分ACE还将指令传送给任务控制电子（MCE）单元122。MCE 122进一步接收来自水平安定面配平开关118的输入等，以控制客机在任务中的飞行姿势等。

以上述指令支路/监控支路非相似飞控计算机FCM 130-1到130-3、作动器控制电子ACE 120-1到120-4及19个远程电子控制REU为系统控制核心，该分布式电传飞控系统架构100提供全时全权限电传飞控系统能力，通过控制律的解算实现对相应舵面的控制，进而实现对飞机姿态和轨迹的控制。

图2示出了根据本公开的一种分布式电传飞控系统架构200的示意图。该分布式电传飞控系统架构200可包括安装于飞机的操纵装置处的多个位置传感器202、多个作动器控制电子（ACE）单元204、飞控计算机（FCM）206、以及多个远程控制单元（REU）208。

根据示例性实施例，该多个位置传感器202将各自感测到的相应操纵装置的位置信号以模拟信号的形式相应地输入到该多个作动器控制电子（ACE）单元204中。

该多个ACE 204将来自该多个位置传感器202的模拟信号转换为数字信号，并将数字信号形式的位置信号提供给飞控计算机（FCM）206。

FCM 206基于从各ACE 204收到的来自各传感器202的位置信号来解算控制律以确定舵面指令，然后将舵面指令传回各ACE 204。

ACE 204随后使用所接收的数字信号形式的舵面指令来控制该多个REU 208。

图3示出了根据本公开一方面的一种具有备份控制系统（BCS）的分布式电传飞控系统架构300的示意图。

如图3中所见，分布式电传飞控系统架构300与如结合图2所描述的分布式电传飞控系统架构200的组成基本相似且工作方式基本相同，但在图2的架构200的基础上，在至少部分操纵装置处加装了独立的位置传感器302，将原来的远程控制单元（REU）208中的至少部分REU改装为新的双口控制REU 308，并进一步引入了独立的备份控制模块（BCM）304。双口控制REU 308既与原来的REU一样能够接收来自ACE的输入，又能同时接收来自BCM 304的输入。该BCM 304液压提供三轴控制能力，以在丧失三台以上ACE的情况下，仍能控制飞机持续安全飞行和着陆。

一般而言，当还有三到四台ACE有效且工作在正常模式时，系统处于正常工作模式。当两台ACE有效时，系统根据ACE工作模式和FCM是否有效，可以处于正常模式、辅助模式或直接模式。当只有一台或没有ACE有效时，系统进入备份模式，并由BCM 304接管部分或全部的控制。

BCM 304可从从该多个ACE 204中的每一者接收状态信号，并在合适的时机进入预位和激活状态（在下文描述）。

例如，正常情况下，如以上结合图2所描述的，该多个ACE 204使用从飞控计算机（FCM）206接收的舵面指令来在主控通道上控制该多个远程控制单元（REU）208。

当该多个ACE 204中的至少部分ACE 204发生故障时，该部分发生故障的ACE 204可向BCM 304发送特定状态信号，诸如ACE故障使能信号。

在至少还有两个ACE 204在正常工作的情况下，BCM 304保持不激活。例如，在以上结合图1描述的有四个ACE的系统架构中，当BCM 304接收到0到2个来自不同ACE 204的ACE故障使能信号时，BCM 304保持不激活。

然而，当能正常工作的ACE 204已不满两个（例如，一个、零个）的情况下，BCM 304将激活。例如，在以上结合图1描述的有四个ACE的系统架构中，当BCM 304接收到3到4个来自不同ACE 204的ACE故障使能信号时，BCM 304激活。

BCM 304在激活的状态下，基于独立地从加装的位置传感器302接收的位置信号来独立地解算控制律以确定替换舵面指令。

取决于是否还有一个ACE 204在正常工作，BCM 304采取不同的方案。当还有一个ACE 204在正常工作时，BCM 304仅接替故障ACE的控制通道，来与剩余的一个ACE 204协同工作。BCM 304通过改装的双口控制REU 308上的备份控制通道来传递对至少一些舵面的控制指令。

当没有ACE 204在正常工作（即，系统丧失所有ACE 204）时，BCM 304接管全部控制。BCM 304通过控制双口控制REU 308来实现对至少一些舵面的控制。这在下文进一步描述。

图4示出了根据本公开一方面的一种备份控制系统（BCS）架构400的示意图。图4的示例性备份控制系统（BCS）架构400可以实现在图3的分布式电传飞控系统架构300中。

根据示例性实施例，图4的备份控制系统（BCS）架构400可包括备份控制计算机（BCM）408，其可对应于图3的备份控制模块（BCM）304。

根据示例性实施例，图4的备份控制系统（BCS）架构400可包括但不限于加装于驾驶侧杆402、副驾驶侧杆404、脚蹬（左/右联动）406等的RVDT传感器（未示出），以作为位置传感器（例如，对应于图3的位置传感器202）。在本例中，仅使用侧杆和脚蹬传感器信号，以提供最基本的舵面控制。但是本公开并不被限定于此，而是也可涵盖其他方案，例如包括加装更多的传感器等。

例如，根据至少一些示例性实施例，每个侧杆402和404可在原来的传感器基础上各加装2个RVDT传感器，以分别提供2路RVDT信号输出，作为对备份控制计算机（BCM）408的输入。

例如，根据至少一些示例性实施例，脚蹬（左/右联动）406可在原来的传感器基础上加装左右各1路RVDT传感器，以提供左右2路RVDT信号输出，作为对备份控制计算机（BCM）408的输入。

图4的备份控制系统（BCS）架构400还可包括作动器控制电子（ACE）单元1 – 4（410），对应于图3的作动器控制电子（ACE）单元204。

根据至少一些示例性实施例，作动器控制电子（ACE）单元1 – 4（410）可向备份控制计算机（BCM）408提供各自的状态信号。当能正常工作的ACE 410已不满两个（例如，一个、零个）的情况下，BCM 408将激活。

取决于还在正常工作的ACE 410的个数（例如，一个或零个），BCM 408可相应地采取不同的方案，以例如仅接替故障的ACE 410与剩余的ACE 410协同工作来控制各REU，或接管对各REU的全部控制，如以上结合图3所描述的。

此外，图4的备份控制系统（BCS）架构400还可包括液压源（HYD）1# - 3#（412）。ACE204向各液压源（HYD）以及扰流板作动器418、副翼作动器420、升降舵作动器422、以及方向舵（上、中、下）作动器424等提供控制律以通过液压源来对作动器进行液压作动以便进行舵面控制。

这三套液压源分别作用于扰流板作动器418、副翼作动器420、升降舵作动器422、以及方向舵（上、中、下）作动器424等，其可对应于图3中的远程控制单元REU（208和308）。如图中所示，通过三套独立的液压系统，分别对相应的扰流板作动器418、副翼作动器420、升降舵作动器422、以及方向舵（上、中、下）作动器424等进行液压作动，可以保证冗余度和安全性。

根据示例性实施例，例如，第一液压源（HYD 1#）412可以用于对左侧外副翼Ail OB作动器420、左侧扰流板L2和L5作动器418、左侧外升降舵Ele OB作动器422、右侧扰流板R2和R5作动器418、以及上方向舵作动器424进行液压作动。

根据示例性实施例，例如，第二液压源（HYD 2#） 412可以用于对左侧扰流板L1和L4作动器418、右侧外副翼Ail OB作动器420、右侧扰流板R1和R4作动器418、右侧外升降舵Ele OB作动器422、以及下方向舵作动器424进行液压作动。

根据示例性实施例，例如，第三液压源（HYD 3#）412可以用于对左侧内副翼Ail IB作动器420、左侧扰流板L3作动器418、左侧内升降舵Ele IB作动器422、右侧内副翼Ail IB作动器420、右侧扰流板R3作动器418、右侧内升降舵Ele IB作动器422、以及方向舵中部作动器424进行液压作动。

特别地，根据本公开的实施例，与第三液压源（HYD 3#）412关联的至少一些作动器（REU）被改装为双口控制REU，以便除了来自ACE的控制律外，还接收来自BCM408的控制律。从而，在ACE 204失效而BCM 408激活的情况下，接替部分或全部ACE 412的控制功能。改装为双口控制REU的作动器可包括例如左侧内副翼Ail IB作动器420、左侧内升降舵Ele IB作动器422、右侧内副翼Ail IB作动器420、右侧内升降舵Ele IB作动器422、以及方向舵中部作动器424

尽管以上描述了三套液压源（HYD）412分别对相应的作动器REU进行分布式液压作动，但是本领域普通技术人员可知，上述布局不是唯一性的，本公开可以涵盖其他分布式布局，以通过合理的布局提供一定的冗余度和安全性。

根据示例性实施例，内外副翼420、多个扰流板418、内外升降舵422、以及上中下方向舵424之间互为备份并采用主-主工作模式。例如，当内外副翼420均正常工作时，它们各自承担50%的工作负荷一起作用。但若其中一者（例如，外副翼Ail OB 420）或对其进行液压作动的液压源（HYD）失效，则由剩下的另一者（例如，内副翼Ail IB 420）接替失效的那一者而承担100%的工作负荷，从而该组副翼420仍能以100%的工作负荷来操作。

类似地，扰流板作动器418、升降舵作动器422、方向舵作动器424同样也采取互为备份的主-主工作模式，以便在有部分作动器失效、或其对应的液压源（HYD）412失效时，与之互为备份的作动器仍能接替其工作负荷。

另外，图4的备份控制系统（BCS）架构400还可包括电源调节模块414、显示系统416以及速率传感器426等。

根据至少一些示例性实施例，BCM 408还接收来自安装于液压源1# - 3#（412）、扰流板418、副翼420、升降舵422、以及方向舵（上、中、下）424等的传感器（未示出）的信号，并可接收来自外置或内置的速率传感器426的三轴速率信号。尽管本例中描述了在原有传感器的基础上加装新的传感器，但是在合适的情况下，上述这些传感器也可以替换地或补充地利用原电传飞控系统架构中现成的传感器。

据至少一些示例性实施例，BCM 408还接收来自电源调节模块（PCM）414的传感器信号。

根据示例性实施例，BCM 408可基于来自侧杆402、404、脚蹬（左/右联动）406等的RVDT传感器信号、来自PCM 414的传感器信号、来自速率传感器426的信号、以及来自各个REU的传感器信号等来解算备份控制律，以实现对相应舵面的控制，进而实现对飞机姿态和轨迹的控制。REU包括但不限于液压源1# - 3#（412）、扰流板418、副翼420、升降舵422、以及方向舵（上、中、下）424等。

具体而言，BCM 408可解算对各个REU的备份控制律，包括例如对液压源1# - 3#（412）、扰流板418、副翼420、升降舵422、以及方向舵（上、中、下）424等中的每一者的备份控制律，并将相应的控制律传送给相应的REU。

REU接收来自各ACE 410以及BCM 408的控制律并基于相应的仲裁算法来决定对相应舵面的最终控制指令。

例如，根据一些示例性实施例，当还有一个ACE 410在正常工作时，双口控制REU接收来自该ACE 410的控制律和来自BCM 408的控制律，并且基于ACE 410和BCM 408的优先级来仲裁最终控制律。根据典型实施例，由于ACE 410的优先级一般高于BCM 408，因此在这种情况下，REU仍基于该最后一个正常工作的ACE 410的控制律通过液压源1# - 3#（412）实现对相应舵面的控制，进而实现对飞机姿态和轨迹的控制。

如所可见，本公开的方案以现有架构作为约束，并在独立于现有架构的基础上，进行了最小的改动，并考虑最大的工程实施性。根据示例性实施例，备份控制系统架构可以侧杆、方向舵脚蹬作为控制信号输入器件；以备份计算机（BCM）、5个远程控制单元（REU）为核心；通过单、双向数据总线A429提供BCM与REU/DMRS之间的数据通讯；通过ARINC664或专用数据总线提供备份控制系统与航电系统之间的通讯；通过ARINC429总线或离散线提供备份控制系统与IRU/SDS之间的通讯；通过1个电源调节模块PCM为BCM直流用电设备统一集中供电；以电液伺服作动器为执行部件；以2个独立的DMRS为备份速率信号输入传感器，通过备份控制律的解算实现对相应舵面的控制，进而实现对飞机姿态和轨迹的控制。

双发失效时，由RAT进行供电，此时左右直流汇流条失效，重要交流汇流条及飞机主蓄电池有效。液压源1#和2# 412丧失，液压源3# 412正常工作。此时，备份系统400仍可由PCM3供电，并正常获取ACE状态使能信号。此时液压驱动的作动器包括：左升降舵内侧422、左副翼内侧420、左侧多功能扰流板L3、方向舵424中部、右升降舵内侧422及右副翼内侧420作动器，以及右侧多功能扰流板R3，从而满足MAC控制要求。

图5示出了根据本公开一方面的示例性备份控制模块（BCM）500工作原理的示图。备份控制模块BCM 500可以包括指令支路（COM LANE）和监控支路（MON LANE）。每个支路均由不同分区组成，两支路采用独立PLD设计。

指令支路和监控支路分别包括相应的电源部分以及控制和接口（I/O）部分。例如，根据示例性实施例，指令支路可包括COM供电电源模块510以一般从例如位于飞机中部E-E舱Cabinet4电子设备架的PCM3供电。另一方面，监控支路则可包括监控供电电源模块512，一般也从例如位于飞机中部E-E舱Cabinet4电子设备架的PCM3供电。

COM供电电源模块510和监控供电电源模块512可分别为BCM 500的指令支路和监控支路供电。

根据示例性实施例，指令支路还可包括I/O接口506，以用于接收来自各传感器的输入。同样，监控支路也可包括I/O接口508，以用于独立地接收来自各传感器的输入。

根据示例性实施例，指令支路还可包括BCM I/O控制模块502，用于接收来自各ACE1 - 4的状态信号。

指令支路的I/O接口506和监控支路的I/O接口508分别将所接收的传感器输入传递到指令支路的指令通道（备份）504以及监控支路的监控通道（备份）506。指令通道504基于接收自各传感器的输入以及接收自各ACE的状态信号来解算备份控制律。监控通道506基于接收自各传感器的输入来解算控制律。

指令通道504和监控通道506对各自解算的控制律进行相互校验。当校验正确的情况下，指令支路通过BCM I/O控制模块502发送BCM状态，并通过指令支路的I/O接口506向例如ARINC 429总线输出控制指令（离散量和/或模拟量）。同样，当校验正确的情况下，监控支路通过监控支路的I/O接口508向例如ARINC 429总线输出控制指令（离散量和/或模拟量）。

另一方面，当校验不正确的情况下，BCM可通过锁存来锁死，从而不提供输出。

图6示出根据本公开一方面的双口控制REU远程控制作动器600的示意图。图6的双口控制REU（远程控制作动器）600可包括双控制信号口和双电源输入口加EHSA（电液伺服作动器）结构。

双口控制REU 600可包括控制模块602用于分别在主控通道上从ACE接收主控命令并在备份控制通道上从BCM接收备份控制命令以构成双控制信号口。

控制模块602可包括仲裁装置604用于在同时在主控通道上从主系统（例如，ACE）接收主控命令并在备份控制通道上从备份控制系统（BCM）接收备份控制命令时基于仲裁算法（例如，主控命令和备份控制命令的优先级）来决定采用哪个命令作动。

双口控制REU 600可包括电液伺服作动器（EHSA）610以根据决定要采用的命令来对相应的舵面进行作动。

双口控制REU 600可包括电源模块606，用于分别从对应于主控系统的电源调节模块PCM和从BCM接收供电以构成双电源输入口。

电源模块606可包括防反灌装置608，用于在PCM和BCM同时向REU 600供电时防止发生反灌。

当备份系统BCM激活工作时，BCM 为EHSA 的活塞运动位移LVDT 传感器提供激励电压。REU 600完成LVDT 信号的解调处理，处理完成的信号用于EHSA 位置闭环控制。根据示例性实施例，当该REU 600为方向舵作动器时，可增加颤振抑制功能。

该双口控制REU结构600在ACE故障，REU断电的情况下，可通过双电源接口由BCM进行二次供电，使REU 600重启。当REU 600重新上电时，它通过例如控制模块向备份控制模块通知该REU已成功初始化，并通过双控制信号口接收来自BCM的控制指令并接收双口控制REU的回绕信息（取数据包中的有用信息）。但主控链路指令具有控制优先级。

双电源接口连接到电源模块606以向电源模块供电，但该电源模块被设计成具有防止多路电源同时供电的防反灌能力，因此，当出现PCM和BCM同时供电时，不会影响REU600的正常工作。

图7示出了根据本公开一方面的备份控制系统（BCS）700的控制原理图。BCS 700是独立于主控制系统的备份控制系统，控制指令自成链路，不干扰主系统（例如，四个ACE）的工作。其驾驶舱操纵器件采用侧杆702和704、和脚蹬706，分别控制各REU，包括升降舵722、副翼720、方向舵724等作动器。

根据示例性实施例，BCM 708对各REU的控制信号实施增益调节，极性与主控链路相同。主系统正常控制时控制指令具有优先级。假设因三个ACE失效，导致两路（主控与备份）控制指令同时到达远程终端控制装置REU时，REU具有对主控链路控制指令优先选择的权限，即主控指令对备份指令具有抑制作用，此时来自BCM 708的备份指令不起作用。

当BCM 708上电（28 VDC）进入预位后，通过二次电源转换为侧杆702和704、和脚蹬706的RVDT 传感器以及缝翼直接模式位置传感器RVDT提供励磁电压并完成RVDT 输入信号的解调处理。BCM 708也将为伺服作动机构的EHSV和MSV的LVDT励磁。此外，在备份工作模式下，BCM 708还为REU的电源模块提供电源。

为便于比较和提高容错等级，每个侧杆702和704和方向舵脚蹬706分别配置2路RVDT 信号，BCM 分别接收每侧侧杆702和704的2路RVDT 信号以及左右脚蹬706各一路的RVDT 信号（脚蹬706左右联动），用于控制律计算。BCM 708先对侧杆702和704、左右脚蹬706各自的2路信号进行有效性判断，当2路信号都有效且差值在门限内时，BCM 708取平均值；当2路信号都有效且差值超出门限值时，BCM 708 取中间值（取上一帧有效使用值构造第三路）；若一路有效，另一路无效时，BCM 708取有效值。

备份系统REU采用两种不同型号，即在原REU1型和REU2型的基础上，衍生设计出可同时两路输入的REU3，例如以上结合图6描述的双口控制REU远程控制作动器600。REU3型用于左右副翼720内侧作动器的控制、左右升降舵722内侧作动器及方向舵724中部作动器的控制。图7的备份系统REU3可对应于以上结合图4描述的备份控制系统（BCS）架构400中的液压源 3#及其所控制的双口控制REU 308。

在图7的示例中，BCM 708内置有速率传感器726，用于测量三轴速率信号(p,q,r)，以实现三轴控制和反馈的闭环。根据其他实施例，速率传感器726也可以是外接的（如图4中所示）。

根据本公开一方面，备份控制系统（BCS）工作模式可按ACE失效的数量分为二种工作模式，即正常备份模式和混合备份工作模式。具体如下。

a)备份正常工作模式：在飞机处于空中状态的同时，系统同时丧失4个ACE 710，BCM 708由ACE 710获取故障状态使能信息。在ACE 710的故障使能信号的作用下，BCM 708由加电状态迅速进入上电初始化预位状态，并给相关设备励磁或供电。随后又根据终端设备REU的状态，当满足相关逻辑条件时，备份系统进入激活状态并接管飞机实施控制。同时，BCM 708也通过独立专用总线向航电显示系统716提供“预位”和“激活”状态信息。备份正常工作模式下，BCM 708接收来自驾驶舱操纵器件702、704、706的控制指令和外部信号（如：速率、缝翼离散信号等），并按直接模式控制律进行指令计算。特别地，BCM 708受控于ACE 710的状态及REU回绕信息，在没有接收到来自ACE 710的失效离散状态使能信号及REU回绕信息状态的条件下，BCM 708不可进入激活状态来实施备份控制。

b)备份混合工作模式：无论主控系统在何种模式下，当系统丧失3个ACE 710时，备份系统BCM 708与主控系统剩余ACE 710通道协同工作，此时，备份系统（BCS）700仅接管3个故障ACE 710的控制通道，剩余一个ACE 710仍执行FCM/ACE指令，即剩余ACE 710和BCM 708二者之间协同工作，BCS 700不执行FCM指令。但为保证指令间的协调和一致性，控制指令由BCM 708按直接模式控制律计算。当主系统在直接模式下，剩余一个ACE 710自身执行指令计算。

图8示出了根据本公开一方面的备份控制系统（BCS）启动逻辑800的示意图。备份控制系统（BCS）启动逻辑800可包括以下三个状态：航前上电初始化及自检测状态（802）、BCM预位逻辑（808）、以及BCM激活逻辑（810）。

1. 航前上电初始化及自检测状态（802）

BCM航前上电初始化及自检测（802）仅在地面状态下进行，地面状态可定义为惯导（接收GPS信号）已初始化（或人工初始化），但未进入导航模式且地速小于阈值（例如，30节）（且有地面轮载信号）。在所有（例如4台）ACE完全正常且供电正常的情况下，借助于地面逻辑状态实现BCM的上电初始化、状态显示、启动自检测等功能。

当主系统ACE上电的同时，BCM也由PCM上电，但仅BCM的电源模块处于加电状态，这种加电状态不受控于FCM和ACE。由位于中部E-E舱Cabinet4电子设备架的PCM3受人工开关控制（例如，PCM面板上有2个开关，供维护更换FCM、ACE时使用）的28VDC供电。当主系统由PCM上电的同时，BCM也由PCM4上电（根据系统可用性指标要求，只需一台PCM供电就可满足安全可用性指标要求），但仅BCM电源模块处于加电状态，当4台ACE完成正常上电时序后（此时所有19个ACE也完成初始化，并在250ms内向ACE报告状态），BCM将同时接收来自4台ACE的上电预位离散使能信号（正常为“0”，即4台均正常且“与”），在检测ACE和BCM之间正常状态发送是否正常的同时，BCM电源模块在上电逻辑与的作用下接通，BCM完成上电并进行初始化。

BCM电源模块也对包括REU在内的相应的励磁模块等直接上电，BCM初始化正常后（初始化若不正常可重复3次），BCM即进入自检测状态，检测同时包括由BCM上电的所有外围关联设备，特别的，BCM对REU检测项目包括：。

a. 给REU电源模块的供电正常；

b. 信号发送正常；

c. 能正常收到REU的状态回绕信息（包括正常供电信息）。

若BCM初始化未能顺利完成或完成但BCS系统地面自检测未通过，显示系统未能收到任何信息，则显示系统（如以上结合图4描述的显示系统416、或结合图7描述的显示系统716）可显示“FAILED”。

而若BCM初始化及自检测顺利通过，则按“静暗理念”，显示系统在收到正常信息时，可不做任何显示。BCM在初始化及自检测过程中，若不能顺利完成、或系统自检测（包括外围设备和信号通道）不正常则将自身置为无效，反之，则置为有效。但无论系统正常、有效与否，以上地面过程完成后，BCM电源模块都将在时序的控制下自行断电（即，自检下电804），或在地速超过30节时，强行断电（即，强制下电806）。不同的是虽然二者都是断电状态（此时BCM处于休眠状态，仅“电源模块”处于加电状态），但若自检测通过，则BCM在被置为有效的状态下，具备了进入“空中状态”时，可以按ACE故障使能信号进入预位的先决条件，否则，就算预位逻辑满足也将无法进入下一步的预位程序。此外，BCM初始化、自检测未通过不影响签派或限制签派。

2．BCM预位逻辑（808）

BCM预位逻辑（808）仅在空中状态下完成，BCM航前初始化自检测通过后，BCM处于休眠状态，仅其电源模块处于加电状态。在空中状态下，若同时丧失三台或以上ACE，则BCM在三台或以上ACE故障状态使能信号的作用下，BCM电源模块接通电源。由于航前已完成初始化和自检测，备份系统在通电后，进入“预位（ARM）状态”，并对断电的REU重新供电（包括传感器的励磁）。BCM预位（ARM）后，系统将无法给BCM断电，也无法自行断电，备份系统始终处于“预位（ARM）状态”。

特别地，REU在ACE故障被断电的情况下，其二次供电受BCM控制，只有在BCM上电完成预位，且BCM收不到REU的状态回绕信息（包括正常供电信息）的前提下，BCM才会对REU进行供电。此外，出于安全要求，为防止发生二路同时供电的意外事件，REU电源模块具备防“反灌”措施，允许两路同时供电，而不影响REU的正常功能。

3．BCM激活逻辑（810）

当ACE故障，备份系统“预位（ARM）”，重新对双口控制REU供电后，双口控制REU将在例如250 ms内完成初始化，若初始化顺利完成，双口控制REU可通过控制模块通知远程电子控制单元已成功初始化，并与BCM建立起通信，BCM通过ARINC429总线发出控制指令并接收双口控制REU的回绕信息（取数据包中的有用信息）。即BCM放开“指令控制输出接口”，接替故障ACE向对应双口控制REU供电并实施在线监控，从而进入激活（ACTIVE）状态，同时，在系统系统中可显示例如“BCM ACTIVE”。

备份系统一旦被激活，将接管对飞机的控制，此时，人为或自动都不能退出或切断其工作状态。此外，REU由BCM重新上电后，若初始化未能通过，则BCM应通过通断电控制，让REU具备重复初始化的机会（可设置3次），3次都不通过，则不放开其对应的控制通道（相当于该控制通道未被激活），不对其断电，以便掌握其状态信息，并期待有可能的恢复。

特别地，在备份混合模式下，假设由于逻辑错误，BCM向正常的双口控制REU发送控制信号时，由于双口控制REU中设置了优先级，备份系统并不影响正常ACE的控制工作，从而保证了备份系统的安全和独立性。

4．故障与重启

另外，当ACE故障或失效后，ACE将向BCM发出故障使能信号，由备份系统接管对飞机的控制。但同时，也应避免故障后的主系统对备份系统工作的影响，因此，当ACE故障后，在发出故障状态信息的同时，将自身置为默认的安全状态。即故障瞬间同时切断与计算机的总线数据联系及向后端发送的数据指令。

而当ACE因偶发因素或接受系统指令故障恢复时，由于主系统指令在REU终端优先于BCM指令，故BCM指令将被抑制，同时，BCM也由回绕信息检测到双口控制REU重新由PCM供电的工作状态，备份系统相应控制通道或全部控制通道也将因此进入预位状态。此时，系统将处于混合备份控制模式或“全旁通”预位备份模式。

图9示出了根据本公开示例性方面的一种基于分布式电传飞控架构的备份控制系统的工作方法900的流程图。

基于分布式电传飞控架构的备份控制系统的工作方法900可包括在框902，由备份控制模块从飞机的多个作动器控制电子单元接收状态信号。

在框904，该方法900可包括基于状态信号来确定飞机有作动器控制电子单元失效以及失效的个数。

在框906，该方法900可包括当飞机的作动器控制电子单元失效的个数大于阈值时，备份控制模块激活以向分布于飞机的一组舵面处多个远程电子控制单元提供对该组舵面的备份控制命令，其中每个远程电子控制单元具有双控制信号口，分别对应于主控通道和备份控制通道，备份控制命令通过备份控制通道来提供。

根据一些示例性实施例，每个远程电子控制单元还在主控通道上被耦合到作动器控制电子单元，其中当飞机的作动器控制电子单元未失效或失效的个数不大于阈值时，该多个远程电子控制单元基于通过主控通道接收自作动器控制电子单元的主控命令来操纵该组舵面以及其他舵面。

根据一些示例性实施例，备份控制模块激活包括备份控制模块从休眠模式上电，并且该工作方法可进一步包括在备份控制模块激活后由备份控制模块从分布于飞机的一组操纵装置处的多个位置传感器接收信号；以及至少部分地基于从该多个位置传感器接收的信号来确定对该组舵面的备份控制命令。

根据一些示例性实施例，飞机的作动器控制电子单元包括四个作动器控制电子单元，并且阈值包括两个，其中当有三个作动器控制电子单元失效时，备份控制模块在剩余的一个作动器控制电子单元通过主控通道向远程电子控制单元提供主控命令的同时，通过备份控制通道向远程电子控制单元提供备份控制命令；或者当全部四个作动器控制电子单元均失效导致远程电子控制单元断电时，备份控制模块向远程电子控制单元供电，并在远程电子控制单元初始化成功后，通过备份控制通道向远程电子控制单元提供备份控制命令。

根据一些示例性实施例，该工作方法进一步包括当飞机处于地面状态时进行备份控制模块的航前上电初始化和自检测；以及当初始化和自检测成功时，由备份控制模块将自身状态置为有效并断电以处于休眠状态。

根据一些示例性实施例，备份控制模块激活进一步包括仅当飞机处在空中状态并且备份控制模块的状态为有效时才将备份控制模块从休眠状态激活。

以上所述的仅为本发明的示例性具体实施例。但本发明的保护范围并不局限于此。任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

结合本公开所描述的各种解说性逻辑块、模块、以及电路可用设计成执行本文描述的功能的通用处理器、数字信号处理器（DSP）、专用集成电路（ASIC）、现场可编程门阵列（FPGA）或其他可编程逻辑器件（PLD）、分立的门或晶体管逻辑、分立的硬件组件、或其任何组合来实现或执行。通用处理器可以是微处理器，但在替换方案中，处理器可以是任何市售的处理器、控制器、微控制器、或状态机。处理器还可以被实现为计算设备的组合，例如，DSP与微处理器的组合、多个微处理器、与DSP核心协同的一个或多个微处理器、或任何其他此类配置。

结合本公开描述的方法或算法的步骤可直接在硬件中、在由处理器执行的软件模块中、或在这两者的组合中实施。软件模块可驻留在本领域所知的任何形式的存储介质中。可使用的存储介质的一些示例包括随机存取存储器（RAM）、只读存储器（ROM）、闪存、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动盘、CD-ROM，等等。软件模块可以包括单条指令、或许多条指令，且可分布在若干不同的代码段上，分布在不同的程序间以及跨多个存储介质分布。存储介质可被耦合到处理器以使得该处理器能从/向该存储介质读写信息。替换地，存储介质可以被整合到处理器。

本文中所公开的方法包括用于达成所描述的方法的一个或多个步骤或动作。这些方法步骤和/或动作可以彼此互换而不会脱离权利要求的范围。换言之，除非指定了步骤或动作的特定次序，否则具体步骤和/或动作的次序和/或使用可以改动而不会脱离权利要求的范围。

处理器可执行存储在机器可读介质上的软件。处理器可用一个或多个通用和/或专用处理器来实现。示例包括微处理器、微控制器、DSP处理器、以及其他能执行软件的电路系统。软件应当被宽泛地解释成意指指令、数据、或其任何组合，无论是被称作软件、固件、中间件、微代码、硬件描述语言、或其他。作为示例，机器可读介质可包括RAM（随机存取存储器）、闪存、ROM（只读存储器）、PROM（可编程只读存储器）、EPROM（可擦式可编程只读存储器）、EEPROM（电可擦式可编程只读存储器）、寄存器、磁盘、光盘、硬驱动器、或者任何其他合适的存储介质、或其任何组合。机器可读介质可被实施在计算机程序产品中。该计算机程序产品可以包括包装材料。

在硬件实现中，机器可读介质可以是处理系统中与处理器分开的一部分。然而，如本领域技术人员将容易领会的，机器可读介质或其任何部分可在处理系统外部。作为示例，机器可读介质可包括传输线、由数据调制的载波、和/或与无线节点分开的计算机产品，所有这些都可由处理器通过总线接口来访问。替换地或补充地，机器可读介质或其任何部分可被集成到处理器中，诸如高速缓存和/或通用寄存器文件可能就是这种情形。

处理系统可以被配置成通用处理系统，该通用处理系统具有一个或多个提供处理器功能性的微处理器、以及提供机器可读介质中的至少一部分的外部存储器，它们都通过外部总线架构与其他支持电路系统链接在一起。替换地，处理系统可以用带有集成在单块芯片中的处理器、总线接口、用户接口（在接入终端情形中）、支持电路系统、和至少一部分机器可读介质的ASIC（专用集成电路）来实现，或者用一个或多个FPGA（现场可编程门阵列）、PLD（可编程逻辑器件）、控制器、状态机、门控逻辑、分立硬件组件、或者任何其他合适的电路系统、或者能执行本公开通篇所描述的各种功能性的电路的任何组合来实现。取决于具体应用和加诸于整体系统上的总设计约束，本领域技术人员将认识到如何最佳地实现关于处理系统所描述的功能性。

机器可读介质可以包括数个软件模块。这些软件模块包括当由装置（诸如处理器）执行时使处理系统执行各种功能的指令。这些软件模块可以包括传送模块和接收模块。每个软件模块可以驻留在单个存储设备中或者跨多个存储设备分布。作为示例，当触发事件发生时，可以从硬驱动器中将软件模块加载到RAM中。在软件模块执行期间，处理器可以将一些指令加载到高速缓存中以提高访问速度。可随后将一个或多个高速缓存行加载到通用寄存器文件中以供处理器执行。在以下述及软件模块的功能性时，将理解此类功能性是在处理器执行来自该软件模块的指令时由该处理器来实现的。

如果以软件实现，则各功能可作为一条或多条指令或代码存储在计算机可读介质上或藉其进行传送。计算机可读介质包括计算机存储介质和通信介质两者，这些介质包括促成计算机程序从一地向另一地转移的任何介质。存储介质可以是能被计算机访问的任何可用介质。作为示例而非限定，此类计算机可读介质可包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储或其他磁存储设备、或能用于携带或存储指令或数据结构形式的期望程序代码且能被计算机访问的任何其他介质。任何连接也被正当地称为计算机可读介质。例如，如果软件是使用同轴电缆、光纤电缆、双绞线、数字订户线（DSL）、或无线技术（诸如红外（IR）、无线电、以及微波）从web网站、服务器、或其他远程源传送而来，则该同轴电缆、光纤电缆、双绞线、DSL或无线技术（诸如红外、无线电、以及微波）就被包括在介质的定义之中。如本文中所使用的盘（disk）和碟（disc）包括压缩碟（CD）、激光碟、光碟、数字多用碟（DVD）、软盘、和蓝光®碟，其中盘（disk）常常磁性地再现数据，而碟（disc）用激光来光学地再现数据。因此，在一些方面，计算机可读介质可以包括非瞬态计算机可读介质（例如，有形介质）。另外，对于其他方面，计算机可读介质可以包括瞬态计算机可读介质（例如，信号）。上述的组合应当也被包括在计算机可读介质的范围内。

因此，某些方面可以包括用于执行本文中给出的操作的计算机程序产品。例如，此类计算机程序产品可以包括其上存储（和/或编码）有指令的计算机可读介质，这些指令能由一个或多个处理器执行以执行本文中所描述的操作。在某些方面，计算机程序产品可包括包装材料。

将理解，权利要求并不被限于以上所解说的精确配置和组件。可在以上所描述的方法和装置的布局、操作和细节上做出各种改动、更换和变形而不会脱离权利要求的范围。