张翠萍，王宏伦，沙　飞，郑丽丽

(北京航空航天大学无人驾驶飞行器设计研究所，北京　100191)



无人机系统控制站操作容错控制技术

张翠萍，王宏伦，沙飞，郑丽丽

(北京航空航天大学无人驾驶飞行器设计研究所，北京100191)

通过对国内外无人机系统控制站操作容错技术发展现状及大量实际飞行操作经验的总结和分析研究，明确了现阶段无人机控制站操作容错控制技术主要涵盖了操作软件容错、控制站面板容错和操作界面布局容错等三个维度的核心问题。并从设计依据和原则入手，提出了无人机系统控制站操作容错设计的要求，分别针对软件容错设计、面板容错设计、操作界面容错布局要求进行了分析，可为无人机控制站操作容错设计提供有益参考。

无人机；控制站；操作容错

无人机系统的控制站CS(Control Station)是无人机系统的重要组成部分之一，作为整个无人机系统的作战指挥中心，控制站的控制内容一般包括：飞行器的飞行过程，飞行航迹，有效载荷的任务功能，通讯链路的正常工作，以及飞行器的发射和回收。在执行任务过程中，操纵员不仅需要对操作流程相当熟悉，还需要能够根据大量飞行数据、设备状态灵活地分析飞机的状态，克服各种未知因素的不利影响，以保证全系统整体功能的成功实现。这种高压长时紧张的劳动强度下，经常发生一些操作失误也就再所难免。美空军2007年发布的报告指出，至少八成“捕食者”坠毁事故在一定程度上涉及人为错误。因此提高控制站操作容错能力将非常有利于降低由于操作失误等人为因素造成飞行事故的几率。

目前对控制站设计多集中在体系结构设计[1-3]、数据处理实现方法[4]、软件设计方法[5-6]等，对于操作容错设计方面考虑很少。而文献[7]将发展“无人机操控的安全、告警与防错技术”作为无人机地面站技术的七大发展技术趋势之一提出，正是说明操作容错控制技术的重要性。在复杂系统集成与综合的背景下，无人机系统控制站操作容错设计的难点，是针对软硬件集成系统，要求在可靠性、安全性、人机工程三方面达到高度协调统一。

本文通过对国内外无人机系统控制站操作容错技术发展现状及大量实际飞行操作经验的总结和分析研究，明确了现阶段无人机控制站操作容错控制技术主要涵盖的三个维度核心问题：操作软件容错、控制站面板容错和操作界面布局容错。围绕上述问题，本文从设计依据和原则入手，提出了无人机系统控制站操作容错设计的要求，分别针对软件容错设计、面板容错设计、操作界面容错布局要求进行了分析。

1　控制站操作容错设计研究

1.1总体结构

针对无人机系统控制站产生人机交互的主要部位即为操作容错设计的对象，主要包括控制操作软件、控制操作面板、控制操作界面。如图1所示。

图1　无人机系统控制站人机交互设计

1.2设计原则

为保证无人机系统控制站操作容错设计合理、可行，在进行控制站设计时应遵照以下三个原则：实用原则、同步原则、非扩散原则。控制站作为整个无人机系统的作战指挥中心，应确保具备必要的技术储备且在工程上能够实施，即实用原则。同步原则即容错设计应与控制站系统研制各阶段同步进行。非扩散原则即要求不能由于容错设计的自身设计错误引起系统错误甚至崩溃。

1.3容错设计

1.3.1控制站操作软件容错设计

文献[8]给出了计算机软件可靠性有和安全性设计准则和要求，适用于嵌入式软件，对于其他软件有一定的参考意义。而文献[9]针对系统、子系统、装备和设施给出了人机工程设计准则，这对于控制站而言也具有一定的借鉴作用。

根据无人机控制站操作软件的功能、性能等特点，结合飞行操纵经验分析，参考文献[9]中涉及的人机界面软件安全性、可靠性方面的内容，对控制站操作软件的容错设计提出以下七个方面的设计要素[8]，如表1所示。在实际设计过程中，可以根据具体情况进行适当裁剪使用。

表1　控制站操作软件的容错设计

4软件健壮性设计1)接口故障处理设计。应充分估计操作软件接口的各种可能故障,包括遥控操纵杆、键盘、鼠标、控制面板按钮等,并采取相应的措施。操作软件应该对输入、输出的信息进行加工处理前,检验其是否合理。2)错误操作处理。操作软件应能判断操纵员的输入操作正确或合理与否,并在遇到不正确或不合理输入和操作时拒绝该操作的执行,并提醒操纵员注意错误的输入或操作,同时指出错误的类型和纠正措施。3)异常保护设计。应仔细分析操作软件运行过程中各种可能的异常情况,设计相应的保护措施。异常处理措施应使控制站转入安全状态,并保持计算机处于运行状态。5余量设计1)应确定有关软件模块的存储量、输入输出通道吞吐能力及处理时间要求,并满足系统规定的余量要求(一般要求留有至少20%的余量)。2)软件工作的时序安排,要结合具体的对象确定各种周期。如采样周期、数据计算处理周期、控制周期、自诊断周期、输入输出周期等。6数据设计1)属性控制。任何数据都应规定其合理的范围(如值域、变化率等)。如果数据超出了规定的范围,就应进行出错处理。2)数值运算范围控制。进行数值运算时,应注意数值的范围及误差问题。3)精度控制。保证运算所要求的精度,要考虑到计算误差及舍入误差,选定足够的数据有效位。4)合理性检查。在软件的入口、出口及其它关键点上,应对重要的物理量进行合理性检查,并采取便于故障隔离的处理措施。5)特殊问题。在数值运算时,应仔细考虑浮点数接近零时的处理方式。7防错设计1)非授权存取的限制。应防止对操作软件程序(源程序、汇编程序及目标代码)和数据的非授权的或无意的存取或修改,其中包括对代码的自修改。对安全关键功能模块应设置调用密码。2)数据区隔离。为了防止程序把数据错当成指令来执行,要采用将数据与指令分割存放的措施。

1.3.2控制站操作面板容错设计

无人机系统控制站的面板一般提供了一些机械式的指令按钮和遥控操纵杆，以方便操作手能快速找到并使用这些指令，或在需要人工操作遥控操纵杆时使用，面板上的指令通常都是一些常用或紧急情况下使用的指令，一旦出错将会造成事故。

1)一般准则

①设计基础。符合人体工程学，按钮响应明确，可靠性高。

②复杂性和精确性。要求控制面板的复杂性和精确性应与系统要求的一致，不能超出操作人员的能力(指手动操作的灵巧性、协调性或反应时间)[9]。

③保护。无人机控制面板的一些关键功能键(比如发动机起动、发动机停车、自毁、开伞、弹射起飞等)需要通过预令键、解锁键或加保护盖等形式加以保护，防止误碰。

④一致性。无人机控制面板中功能设计应与软件控制界面中相对应的功能设计保持一致，并明确两者的优先级关系，降低犯错概率。

2)控制站面板常用指令按钮容错设计

①指令按钮选择。无人机控制站面板常用指令按钮的选择应符合用户方的使用习惯和人机工程设计准则，比如：调节范围大并有精度要求的控制键应选用多转控制器；以离散步骤进行操作的控制键应选用卡销式控制器；对于控制器调节有规定限度和范围的，应在调节范围的始端和终端设置制动卡[9]。

②运动方向。无人机控制站面板常用指令按钮运动方向应与相联系的各类装置或运行系统的相关运动一致，符合人的正常使用习惯。一般来说，向前、顺时针、向右、向上或按压等运动方向通常是功能开启或使系统进入运行状态，如果是模拟量控制，向这些方向运动通常意味着控制量增大[9]。

③间距。按钮的最小间距应符合人机工程学要求，考虑到戴防护手套的操作要求，通常设计间距要略大于人机工程学所给定的标准参考值[9]。无人机控制站种类繁多，既有大型方舱式控制站，也有手提便携式控制站，因此其控制面板在尺寸大小和间距上也是各不相同，不能一概而论。

④编码。对于硬件控制面板来说合理的编码是减小误操作发生概率的最有效方式。在选用编码方式时应根据每一种编码方式的优缺点来确定，并且在整个系统中的编码运用应保持一致。通常有位置编码、大小编码、形状编码、颜色编码、标注编码和操作方式编码六种主要编码形式。对于易混淆的功能键或是重要功能键通常应采取两种以上的编码方式加以区分[9]。

3)控制站面板遥控操纵杆容错设计

①选型。操纵杆应满足飞机进行遥控飞行的基本功能需求：通常情况下有副翼、升降舵、油门和方向舵四个模拟量连续控制通道，在此基础上根据实际需求可以增加襟翼、阻力板、起落架收放、刹车、开加力、发射回收控制、通话控制、任务载荷控制、武器控制等功能键。其中副翼、升降舵和方向舵三个连续模拟量应具备机械回中功能，油门控制通常选用多转控制器，四个主要模拟量控制通常应具备中位微调功能，并能够在软件界面上实时准确的显示模拟量的准确位置。

②布置。根据操纵员通常使用习惯，将遥控操纵杆放置于右手操作区域，便于在进行人工干预或遥控不影响左手区域指令的发送；如果遥控操纵杆与显示器布置在同一纵列上，则其最高位置不应超过显示器的最低位置，不应阻挡操作人员的视线；通常油门控制器布置在操纵员的左手操作区域。

③功能。遥控操纵杆功能上的容错设计，主要是解决操作人员可通过触觉正确辨识操纵杆信息的问题，因此操纵杆在设计时应大量采用触觉编码设计。另外，遥控操纵杆应具有功能启动键或锁定机构，减少因为误碰操纵杆而带来的安全隐患；各杆的零位限位器应具有一定的摩擦阻力，操作时需要施加一定力度才能滑动，避免操作其他杆位或指令时的无意触碰。操纵杆上的按键应具有位置编码、大小编码或形状编码等可以触觉辨识的编码形式，零位限位器应具有标注编码或显示反馈，方便操纵员快速、准确地适应操纵杆。

4)紧急情况使用指令容错设计

①界定。应严格界定紧急情况下使用的指令，紧急指令键不宜过多，并且保证所有的紧急指令键在软件控制界面上也具有同样功能的软件控制键。

②布置。紧急情况使用的指令应位于操纵员双手不能随意触碰但便于操作的位置。

将单因素分析结果中P＜0.05的因素CHO、HGB、中医证型纳入多因素分析，分析结果显示CHO＞5.18 mmol/L、HGB＜120 g/L、气血两虚证不是CRPC患者无进展生存的独立危险因素（P＞0.05），见表4。

③设计。紧急情况使用指令设计的核心要求是：快速、准确、受保护。紧急情况使用的指令应采用启动开关、解锁装置或保护盖设计等防误碰手段，并且这类指令键应有明显的状态反馈，方便操纵员及时准确的了解该指令键的工作状态。

1.3.3控制站操作界面容错布局设计

无人机操纵员通过控制站操作软件界面或面板将遥控指令发送给飞机，实现对无人机的控制，因此是否发送了正确的指令以及指令是否能够正确发送关系着无人机的安全。提高操作界面布局的科学性、合理性，在一定程度将有利于减少操作的失误。

1)布局原则

合理的操作平台布置可以有效地降低发生误操作的概率。操作界面布局要遵循人机工程学设计原理，通常遵循以下四个原则：

①安全性原则。采用设备的功能模块化布局，可以使人机界面更加合理、具有逻辑性，避免操纵人员的误动作。

②高效性原则。在现代大型客机上普遍采用多功能综合电子显示系统，同时，安装集声音、灯光、文字一体的综合告警系统。

③舒适性原则。在操纵界面的视觉设计上，应注意界面要形状规则、拐角圆滑平整，显示器、仪表、设备的布置要和谐而有规律，色彩要和谐统一，光亮度要柔和。

④重要性原则。重要的控制键应安排在操作者操作或认读最为方便的区域。

2)操作软件界面容错布局设计

影响人机界面可靠性的因素主要有：操作人员的技能以及与他人的合作能力、信息传递的可靠性和环境。其中信息传递的可靠性就涵盖了操纵界面的设计可靠性，以提高在人机交互过程中的信息双向传递的可靠性。

①功能分区。为了使操作人员能够迅速而正确地使用种类不一、功能繁多的指令，同时能够快速准确地获取遥测信息，无人机系统控制站操作软件界面在设计时应进行功能分区，提高界面的信息交互效率，如表2所示。

表2　操作软件界面功能分区设计

②布局合理。在进行界面布局时，为了避免使用过程中操纵员判断和使用上的错误，飞行仪表的布局宜采用T字型分布原则。观察频率最高的仪表可布置于仪表板的正中，如地平仪，地平仪左边是速度表，右边是高度表，三指标基本处于一条水平线，综合观察它们的指示可了解飞机的纵向运动。地平仪下边可布置航道罗盘，与地平仪构成垂直线，综合观察它们的指示可了解飞机的侧向运动。T字型布局可高效显示飞机的运动参数，且与人的使用习惯一致。

③优化设计。控制站软件界面设计时，还要考虑显示画面的清晰度和逻辑性，这样既能提高界面的可靠性，也不会造成操纵员错觉，提高操作安全性。由于显示信息的多样性和复杂性，还应采用不同颜色对这些信息分类显示，提升操纵人员的视觉识别效率。在信息本体颜色已定情况下，界面背景色的优化选择很重要。研究表明，用黑色作为背景色，在颜色组合识别效率方面显著优于其他颜色。

④切换设计。控制站操作系统集合了遥控操纵杆、软件界面和控制面板，三者在飞行起降过程中的分工不同，应定义它们之间的切换优先等级，实现良好切换，增加起降的安全性。软件界面应具有最高优先级，可控制车内、外控制权的切换。

3)控制面板容错布局设计

考虑到人体尺寸和运动生物力学特性等因素，通常将控制面板布置在操作者正前方的位置，该位置又可划分成4个区域(见图2)，在设计控制面板位置布局时，要根据实际操作的重要性将控制面板的各功能键布置于这四个区域内。

1区：主要控制键布置区2区：紧急控制键和精确调节的次要控制键布置区3区：其它次要控制键的可取限度区4区：次要控制键最大布置区图2　无人机系统控制站面板位置布局

需要说明的是，该图中区域的划分适合于大型无人机系统的控制站，小型无人机系统的控制站可以按该区域进行划分，但尺寸上可以有所调整。

另外，控制面板和与之相关的显示器之间的关系应该是明显和不模糊的，控制面板通常在相关显示器的下方或右侧，使操作人员在使用时其手臂不会遮挡显示器，从而减小犯错几率。[9]

2　结束语

无人机操作容错设计技术已经成为武器装备系统研发与应用，尤其是无人机系统控制站的研发与应用的重要技术。目前国内比较缺乏这方面的基础理论、实现技术的研究。我国无人机操作容错控制技术整体落后于发达国家水平。从长远发展来看，无人机系统控制站未来的发展趋势将是一站多机[7]，更进一步是发展通用控制站，以提高无人机系统的互操作性和操作人员训练效率。这将对控制站的设计提出更高挑战，而控制站的容错能力亦显得更为突出。开展无人机控制站操作容错控制技术研究，为操纵员提供更为人性化的操作平台，将在未来的试验、飞行中极大地减少由于操作失误引起的飞行事故，提高无人机系统使用的安全性，减少系统损失。

[1]吴益明，卢京潮．无人机地面控制站系统的应用研究[J]．航空精密制造技术，2006，42(3)：48-53．

[2]罗珊，陈睿璟，路引，等.便携式地面测控系统[J].兵工自动化，2012，31(8)：14-16.

[3]Zhang Wen,QIN Guo-SHun.Design of UAV ground control station[C].International Conference on Remote Sensing(ICRS)，2010：383-387.[4]吴益民．无人机遥控遥测数据的实时处理研究口[J]．计算机测量与控制，2006，14(5)：681-694．

[5]朱建新，张秋阳，谢习华.某型无人机地面站软件的设计与实现[J].中南林业科技大学学报,2011,31(4)：164-168.

[6]张治生，陈怀民，吴成富，等.无人机地面站控制台软件设计[J].测控技术，2007,26(4)：74-76.

[7]周焱.无人机地面站发展综述[J].航空电子技术，2010：41(1)：1-6.

[8]GJB/Z 102-1997 软件可靠性和安全性设计准则[S].中华人民共和国国家军用标准,1997.

[9]GJB 2873—1997军事装备和设施的人机工程设计准则[S].中华人民共和国国家军用标准,1997.

Fault-tolerant Operation Technology of UAS Control Station

ZHANG Cui-ping,WANG Hong-lun,SHA Fei,ZHENG Li-li

(Research Institute of Unmanned Aerial Vehicle,Beijing University of Aeronautics and Astronautics,Beijing 100191,China)

The project is developed on putting forward key techniques through researching the fault-tolerant operation technology on UAS control station at home and abroad and analyzing vast experience gained from actual operation.The key techniques include fault-tolerant design requirement of software，fault-tolerant design requirement of the control station panel and the fault-tolerant design requirement of operation interface.Aiming at the above-mentioned three key techniques,the design requirements are provided in detail,which include the design bases and principles.The results of the project is a reference to the fault-tolerant design on UAS control station.

UAV; control station; fault-tolerant operation

1673-3819(2016)05-0123-04

2016-04-15

2016-05-19

张翠萍(1979-)，女，广西桂林人，硕士，工程师，研究方向为无人机导航飞控系统。

王宏伦(1977-)，男，博士，研究员，博士生导师。

沙飞(1979-)，男，硕士，工程师。

郑丽丽(1984-)，女，硕士，工程师。

V279

ADOI:10.3969/j.issn.1673-3819.2016.05.027