基于STM32的靶机安控器自动检测系统研究

石 峰，李志宇，高艳辉，肖莉萍，朱梦杰

(1.南京航空航天大学 自动化学院，南京 210016；2.南京航空航天大学 中小型无人机先进技术工信部重点实验室，南京 210016；3.上海机电工程研究所，上海 201108)

0 引言

无人靶机是执行特殊任务的一类无人机，主要用来在导弹武器研制、部队作战训练中扮演敌方空中目标的角色[1]，作为我军实战化训练的靶子，在提升国防力量方面扮演非常重要的角色。在靶试试验时，靶机一般在规划区域内执行任务。靶机作为大型无人机，如果发生故障或不受控，在安全区域外坠毁，其可能会对地面的城市、重点设施等造成不可估量的人员或财产损失。为了保证靶试试验安全，靶机应具有安全控制系统，简称安控系统[2]。安控系统独立于靶机工作，能够确保在靶机飞行异常时及时控制靶机坠毁，降低对地面设施和人员的威胁。因此，作为安控系统的核心部件，安控器必须工作可靠。首先，安控器的硬件必须稳定、可靠，比如串口必须能够准确地接收/发送数据、DO必须能够正确输出所需电平等。其次，安控器的软件必须可靠且满足实时性要求，比如安控器软件必须在规定的时间内响应接收到的指令等。所以在安控器试制、生产和试验时，安控器的功能和性能均需要进行全面检测。

目前，安控器地面检测主要采用手动操作、人工监测和判断的方式。操作人员需要对安控器的所有功能项进行逐一检测和记录。然而，人工检测主要针对安控器的功能进行检测，忽略了安控器的性能检测，尤其是对安控器电压、电流的检测。而且人工检测的方式操作繁琐，需要操作人员手动操作各种按钮、观察记录检测结果，所以这种检测方式可能导致操作人员的误操作和误记录。因此急需研制一套针对安控器功能和性能进行检测的安控器全自动检测系统。

本文针对某型安控器的全自动检测需求开展研究，采用信号门限技术设计思想，设计了一套安控器全自动检测系统，实现对安控器功能和性能的一键式、全自动快速检测，同时生成检测报告。

1 信号门限技术

一般来说，自动检测技术将计算机软硬件与测量设备相结合，通过软件控制所有检测步骤，产生测试信号，分析测量结果[3]。信号门限技术是一种简单有效的故障检测方法[4]，在自动检测系统中具有广泛的应用，具体原理如下[5]：

设待测信号为x，根据实际情况设置待测信号的上下限xmin和xmax，如果：

xmin≤x(t)≤xmax

(1)

则认为检测信号正常，否则认为出现一次异常，如果异常持续一段时间，则认为该项检测不通过。

对于不同的信号，其门限规则也不同，需要根据实际情况灵活设置。有些信号只需要设置上下限，而有些必须是固定值，表达式如下：

x(t)≤xmax或x(t)≥xmin

(2)

x(t)=x*

(3)

信号门限技术在自动检测领域应用广泛。本文所设计的安控器自动检测系统主要在安控器电压、电流的检测中使用到该技术。被检安控器采用直流27 V供电，电流最高不能超过2 A，根据信号门限技术，工作电压V(t)应满足指标：

27(1-10%)≤V(t)≤27(1+10%)

(4)

工作电流i(t)应满足指标：

i(t)≤2

(5)

2 系统总体设计

2.1 安控器简介

安控器独立于靶机，能够在靶机不受控、飞出任务区域或紧急情况下及时控制靶机坠毁，从而减少靶试试验安全隐患[6]。某型安控器的主要功能、策略如下：

1)安控区：安控区分为安控警戒区和安控预警区。安控警戒区是靶机执行任务的区域，为简单凸多边形；安控预警区由安控警戒区沿径向向内等距离收缩一段距离构成；

2)安控信号：安控信号是安控器产生的DO信号，一共有2路。安控信号经继电器控制舵机离合器的供电。当靶机需要坠毁时，安控器产生低电平安控信号控制继电器断开舵机离合器的供电，使得升降舵面处于自由状态。升降舵面在弹簧的拉力作用下变为正的最大舵面，从而使得靶机低头、快速坠毁；

3)BD2/GPS定位信息：本文所涉及安控器有两个定位信息源：安控BD2/GPS和飞控BD2/GPS，两个定位信息源互为备份。安控器默认使用安控BD2/GPS定位，当安控BD2/GPS不定位持续10秒后，安控器自动切换到飞控BD2/GPS定位；

4)自主安控：安控器利用BD2/GPS定位信息，以1秒为周期判断靶机是否处于安控区内。若靶机飞出安控区，安控器自动产生安控信号，切断舵机离合器电门，使靶机快速坠毁；否则不执行安控；

5)安控复位：当定位信息受到人为干扰或欺骗或靶机仍处于可控飞行状态时，若人为判断不需要执行安控，则可通过遥控发送“安控复位”指令，经机载测控至安控器。安控器收到“安控复位”指令后，计时器全部清零，状态回到预警区内状态，该状态持续1分钟后，安控器重新进行安控状态判断；

6)人工安控：人工安控功能是指安控器利用北斗短报文功能，接收地面上传的“安控坠毁”指令。安控器接收到“安控坠毁”指令后，立即执行安控、迅速坠毁。

安控器采用27 V直流供电，通过4路串口与飞控计算机、机载测控设备、北斗导航板以及地检设备(负责监控与装订)进行信息交互，通过2路DO控制电门盒执行安控功能。安控器接口关系如图1所示，包括：

1)安控器与飞控计算机采用RS422串口通信，用于安控器与飞控计算机之间BD2/GPS定位信息的交互(简称：飞控口)；

2)安控器与测控设备之间采用RS422通信，用于安控指令的接收、安控器状态参数数据的发送(简称：测控口)；

3)安控器与内部北斗导航板采用RS232串口通信，用于BD2/GPS定位、北斗指令信息的接收(简称：安控GPS口)；

4)安控器与地检设备采用RS232串口通信，用于安控区装订、安控器工作状态监控以及程序更新等(简称：地检口)。

图1 安控器接口示意图

2.2 安控器自动检测系统设计

为了全面检测安控器功能和性能，安控器自动检测系统需要具备安控器供电控制、性能监测、功能检测以及检测报告生成功能。自动检测系统主要功能如下：

1)安控器供电控制。自动检测系统通过1路DO驱动继电器控制安控器的上电和断电操作。检测系统通过2路AD实时采集经过信号调理的安控器的电压、电流。若安控器上电瞬时电压、瞬时电流、工作电压、工作电流出现异常，则安控器立即断电；

2)接口信息模拟。自动检测系统按照通讯协议模拟产生飞控计算机信息、北斗导航板信息，以提供动态的安控BD2/GPS、飞控BD2/GPS定位信息，用于检测安控器的串口接收、传感器切换策略、安控判断策略等功能。另外，自动检测系统按照通讯协议模拟产生测控设备信息、监测与装订信息，实现遥控指令、地检指令的发送；

3)周期性检测。自动检测系统通过串口实时接收安控器输出的安控BD2/GPS信息、遥测信息、地检信息，并对安控器各串口发送周期、数据连续性进行综合检测。同时为了检测安控器是否正确接收到BD2/GPS定位信息，自动检测系统需要对飞控BD2/GPS状态、安控BD2/GPS状态进行周期性检测。此外，自动检测系统周期性检测2路安控信号，检测其是否有误动作；

4)单项功能检测。自动检测系统需要依次检测安控区存储、自主安控、安控复位指令、安控坠毁指令等功能，尤其后三项检测，检测系统通过综合分析遥测、地检、安控信号等信息，检测功能的逻辑合理性、正确性、时间准确性；

5)检测报告生成。自动检测系统通过1路串口以100 ms为周期向上位机发送检测结果、故障码等信息。上位机根据上述信息形成检测报告，当出现故障时，上位机显示报警信息。同时，自动检测系统通过2路DO控制1组LED灯显示检测结果。当自动检测系统检测出故障时，控制红色LED灯长亮；当所有功能检测完毕且无故障时，自动检测系统控制绿色LED长亮。

自动检测系统接口关系如图2所示，其中自动检测系统包括检测设备和上位机两部分，检测设备和上位机通过RS232串口进行通信。检测设备通过RS232串口与安控器的地检口、安控GPS口进行通信，通过RS422口与安控器的测控口和飞控口进行通信。检测设备通过2路DO控制1个红色LED灯和1个绿色LED灯显示检测结果，通过1路DO控制安控BD2/GPS实物和模拟的切换，通过1路DO控制安控器的上电和断电，通过2路AD通道采集调理过的安控器电压、电流。检测设备通过2路DI采集安控器安控信号，通过1路DI接收检测开始信号。

图2 自动检测系统接口关系

3 安控器自动检测系统硬件设计

安控器自动检测系统的设计思想是以主控芯片为核心，通过串口与安控器进行数据交换，通过AD、DI/DO等进行信息采集与处理，通过主控芯片对所接收的数据和所采集的信息进行运算，得出检测结果，逐步实现对安控器的检测。

安控器自动检测系统硬件由主机板、串口板以及电源板组成。基于易于拆卸、方便维护的原则，自动检测系统硬件采用堆栈式架构。使用时，主机板、串口板和电源板通过电源线以及信号总线相连。

其中主机板除了集成了主控芯片STM32F767ZIT6及其外围电路，还外扩一片模数转换芯片ADAS3022，该芯片用于采集安控器电压、电流。

串口板上集成了8路通用串行接口。8路串口通过串口转换芯片转换为相应的RS232/RS422接口，分别用于与安控器的地检口、测控口、飞控口、安控GPS口、上位机以及调试计算机等通信。

自动检测系统各部件供电电压不相同，主控芯片STM32F767ZIT6采用3.3 V供电，外扩ADAS3022模数转换芯片采用±15 V供电，安控器采用27 V供电。电源板的作用是将外接220 V交流电源转换为所需电压并进行滤波处理，通过电源线为自动检测系统供电。

3.1 主机板设计

主机板的设计主要包括主控芯片选型和模数转换芯片ADAS3022的扩展。

3.1.1 主控芯片选型

主控芯片是自动检测系统的核心部件，主要负责向其他模块发送测试信号，同时接收反馈信息[7]。本文选择STM32F767ZIT6作为检测系统的主控芯片，该芯片资源丰富，支持UART、SPI等多个接口，拥有丰富的定时器资源，能够满足设计需求。STM32F767ZIT6芯片自带大容量FLASH芯片[8]，能够满足安控区的存储要求，无需外扩存储器。

STM32F767ZIT6芯片采用3.3 V供电，部分外围器件采用5 V供电，本文通过AMS1084芯片将5 V电压转换为3.3 V实现外围器件与主控芯片统一供电。5 V转3.3 V原理图如图3所示。

图3 电压转换原理图

3.1.2 模数转换扩展

模数转换模块用于安控器电压、电流的采集。由于STM32F767ZIT6处理器内部ADC只有12位，不能满足精度要求，所以本文在主控芯片外部扩展一片高性能ADC芯片——ADAS3022高速低功耗模数转换芯片。该芯片具有8个通道，内置温度传感器，16位精度，能够满足设计需求[9]。为了达到低漂移、低噪声和高精度目标，本文使用ADR434作为ADAS3022芯片的外部基准电压源。ADAS3022数据输入、输出串行口兼容SPI总线，在芯片管脚上只占4根线，具有连接线少、扩展性好的优点[10]。本文将ADAS3022芯片挂载在主控芯片的SPI2总线上，硬件接口电路图如图4所示。

图4 ADAS3022芯片扩展原理图

3.2 串口板设计

STM32F767系列芯片的串口遵循TTL电平逻辑，而安控器的串口采用RS232/RS422电平，为了实现两者的互联，需要进行相应的电平转换[11]。本文设计基于MAX3232和MAX490转换芯片的转换模块，分别将主控芯片TTL电平转换为RS232和RS422电平[12]。

以UART转换RS232为例，本文选用MAX3232作为转换芯片，该芯片采用+3～+5.5 V单电源供电，耗电0.3 mA，相比传统的MAX232芯片功耗更低[13]。MAX3232芯片可以转换2路UART，STM32F767ZIT6的UART5与UART8电平转换电路如图5所示。

图5 电平转换电路

3.3 电源板设计

本文设计一款专用的电源板为自动检测系统的各部件供电。自动检测系统采用交流220 V供电，220 V交流电经过成品AC/DC模块转换为27 V直流电供自动将检测系统各部件使用和二次电源转换。

除了给安控器供电的27 V直流电，自动检测系统还需要给主控芯片STM32F767ZIT6的5 V供电以及给模数转换芯片ADAS3022的±15 V供电。

5 V供电由27 V经XR10/24S05型号DC/DC隔离宽电压单电源模块转换得到，原理如图6所示；±15 V供电由5 V经115D5HFS型号单/双输出DC/DC电压转换模块转换得到，原理如图7所示。

图6 27 V转5 V原理图

图7 5 V转±15 V原理图

4 自动检测软件设计

自动检测软件为嵌入式软件，负责控制自动检测系统检测流程、分析处理检测结果并将其输出显示[14]。

安控器自动检测系统软件开发环境为Keil uvision5。软件采用模块化编程，由初始化模块、硬件底层接口模块、自动检测模块以及设置与监控模块组成。

其中，初始化模块主要负责初始化用到的变量、参数以及系统硬件；硬件底层接口模块给上层应用提供调用底层硬件的驱动与接口，便于开发；自动检测模块实现对安控器性能和功能的自动检测；设置与监控模块实现安控区的装订与回检、检测结果监控等功能。

4.1 整体检测流程

系统上电后，先初始化变量及硬件资源。系统初始化结束后，等待检测开关按下，开关按下后开始给安控器供电，同时检测上电瞬时电压、电流，若无误，则自动检测系统开始模拟发送接口信息。开关按下10秒后开始进行检测，其中周期性检测包括对安控器工作电压、电流的检测。如果检测出故障，则控制安控器断电、上报故障并结束检测。整体检测流程如图8所示。

图8 整体检测流程

4.2 模数转换模块设计

ADAS3022是一款16位的逐次逼近型模数数据采集芯片，采用四线式数据接口，兼容SPI总线接口[15]。本文采用SPI串行通信方式，将ADAS3022挂载在主控芯片SPI2总线，读写时序由主控芯片的硬件自动实现。

4.2.1 SPI和ADAS3022初始化

ADAS3022初始化时，需要配置SPI2总线和ADAS3022芯片，主要如下：

1)配置主控芯片跟SPI2有关的主机输入从机输出(MISO)、主机输出从机输入(MOSI)、串行时钟(SCK)以及片选控制(CS)引脚，并开启SPI2总线时钟；

2)配置SPI2寄存器。STM32F767系列芯片与SP1总线有关的寄存器主要有控制寄存器(SPI_CR)、状态寄存器(SPI_SR)以及数据寄存器(SPI_DR)，通过设置上述3个寄存器可以实现对SPI总线的控制。本文配置主控芯片为主设备，ADAS3022为从设备。主设备配置为全双工模式，传输数据长度为16位，传输时高位在前，数据接收与发送均配置为中断方式，SPI2中断服务函数负责将收到的数据存放到接收缓冲区以及将发送缓冲区的数据放入数据寄存器并发送。与串口缓冲区类似，SPI2总线接收、发送也采用循环FIFO缓冲区。SPI总线一共有4种工作模式，为了保证数据正确地接收与发送，主设备和从设备需要配置为同一模式[16]，本文配置CPHA=0，CPOL=1，即空闲时时钟极性为高电平，在时钟的下降沿采样数据；

3)配置ADAS3022芯片。ADAS3022通过16位控制字进行配置，该控制字的每一位对应一项配置，主要包括通道选择、序列器选择、基准电压源选择以及SPI模式选择等配置选项。本文使用ADAS3022芯片的通道0和通道1分别采集安控器电压、电流(通过电阻转换为电压)，并开启基本序列器依序重复扫描通道0和通道1。硬件设计中外接有低噪声外接基准电压源，所以配置时禁用内部基准电压源。向ADAS3022写控制字时按照该芯片时序图，先写入一个16位无效控制字，再写入16位有效控制字。根据芯片时序图，写入有效控制字后，需要再写入两个bit15为0的16位数据ADAS3022芯片才会输出有效数据。

4.2.2 数据发送与接收

利用SPI传输数据时，只有SPI主设备才能发起数据传输[17]，所以读取ADAS3022转换结果时，主控芯片需要向从设备写入数据。为了防止覆盖ADAS3022原先的配置，写入的数据第16位(bit15)设置为0，即保持当前的配置设置。

4.3 串口模块设计

自动检测系统对安控器检测依赖于串口收发数据的准确性以及连续性，所以串口模块软件设计应保证串口接收与发送的稳定。

自动检测系统主控芯片STM32F767ZIT6共有8路串口，包括4路通用异步收发器(UART)和4路通用同步/异步收发器(USART)。自动检测系统与安控器按照约定的通讯协议进行数据通讯。在通讯程序中，使用循环FIFO缓冲区来存放发送或接收的数据。

4.3.1 串口配置

以下UART5为例介绍串口的配置。

自动检测系统使用UART5与安控器的安控口进行通信，需要配置UART5波特率、起始位、数据位以及停止位。本文配置UART5为1个起始位、8个数据位、0个停止位，传输数据时低位在前高位在后，串口发送与接收都采用中断方式。

4.3.2 通讯协议

自动检测系统与安控器要进行数据通讯，双方必须遵循一定格式的协议[18]。本文使用自定义的通讯协议，协议主要包括以下3个域：帧头、有效数据以及校验位，其中校验位采用和校验，同时协议定义了帧长、帧周期、各个域的长度以及每一位的含义。

4.3.3 循环FIFO缓冲区

本文采用循环FIFO缓冲区作为串口的接收、发送缓冲区，每个循环FIFO缓冲区都有1个头指针和1个尾指针。

以发送循环FIFO缓冲区为例，将需要发送的数据放到头指针指向的空间，存放完成后头指针自动加1，如果头指针超过循环FIFO缓冲区界限，则将头指针清零。待发送数据全部存入循环FIFO缓冲区后，开启发送中断。发送中断服务函数中，将尾指针指向的数据赋值给串口发送寄存器，同时尾指针加1，如果尾指针超过循环FIFO缓冲区界限，则将尾指针清零。如果尾指针等于头指针，说明缓冲区没有数据或数据全部发送完成，则关闭发送中断。

4.4 安控区装订/回检检测模块设计

安控区是安控器正常工作的前提。安控区的装订回检检测包括自动检测系统安控区的装订与回检和安控器的装订与回检两部分。

4.4.1 自动检测系统安控区装订与回检

自动检测系统将安控区存储在内置FLASH上。FLASH存储器是非易失性存储器，具有单一电压供电、可分扇区读写等特点[19]。自动检测系统接收到上位机发送的安控区数据后自动将安控区数据写入内置FLASH。待存储完毕，上位机发送回检指令，自动检测系统收到回检指令后从FLASH指定地址读取安控区数据并发回给上位机进行比对。

4.4.1.1 内置FLASH配置

使用FLASH前需要对FLASH进行配置，本文配置内置FLASH读等待周期数为8个CPU周期，32位编程/擦除并行位数。由于FLASH不支持覆盖写，所以每次向FLASH写入数据之前需要擦除写入地址所在的扇区。

4.4.1.2 内置FLASH存储校验

大量数据在系统内部之间进行存储和传递时，对数据进行检测尤为重要[20]。为了保证存入FLASH数据和读取FLASH数据的一致性，需要对存入的数据使用校验。本文采用和校验的方式对存入FLASH的数据进行校验：将所有需要存储的数据按顺序赋值给结构体，在结构体的最后增加一个字节的校验位，使用累加和校验。存储时将数据与校验位一起存入FLASH，读取数据时计算数据的校验和并与读出的校验位进行比较，如果校验通过则认为存入与读出的数据是一致的。

4.4.2 安控器的安控区装订与回检

安控器的安控区装订与回检与自动检测系统的装订与回检过程类似，自动检测系统先从FLASH中指定地址读取安控区数据和校验位，校验通过后将安控区数据发送给安控器。待安控器装订完成自动检测系统发送回检指令给安控器并接收安控器发回的安控区数据。通过比对原数据与回检数据检测安控器的安控区装订与回检功能。

4.5 自主安控检测模块设计

自主安控功能是安控器的核心功能，检测该功能所涉及的指标较多，需要结合北斗定位信息综合分析测控数据、安控信号等信息，从而得出结论。检测该功能时可以分为以下两个步骤：

1)自动检测系统通过安控GPS模拟口定时发送模拟安控GPS数据帧，数据帧中的纬度信息每一帧大约增加0.000 25°，经度保持不变，模拟靶机以大约280 m/s的速度向正北方向飞行，飞控数据帧作同样处理，通过飞控模拟口发送给安控器；

2)自动检测系统接收并提取测控数据中的安控状态变量，记录安控状态的变化，理想情况下安控状态依次为“预警区内”、“预警区外”、“警戒区外”以及“执行安控”。当靶机飞出安控警戒区外10秒后，采集安控器的2路安控信号，如果安控信号正常且实际安控状态与理想安控状态一样，则认为该功能正常，否则认为该功能故障。具体检测流程如图9所示。

图9 自主安控检测流程图

4.6 安控复位与人工安控检测软件设计

安控复位功能与人工安控功能都是采取自动检测系统模拟发送“安控复位”指令或者“安控坠毁”指令的方式进行检测。

4.6.1 安控复位检测

检测安控复位功能时，自动检测系统先通过测控口发送模拟“安控复位”指令，发送指令后等待500毫秒，自动检测系统接收并提取测控数据中的指令接收回报、指令执行回报和安控复位状态，如果指令接收回报与指令执行回报均显示“安控复位”，且安控复位状态持续时间不少于1分钟则认为安控复位检测通过，否则认为该功能故障。

4.6.2 人工安控检测

与安控复位检测类似，检测人工安控功能时，自动检测先通过安控口发送模拟“安控坠毁”指令，发送指令后等待1秒，自动检测系统采集安控信号，同时接收并提取以下状态：

1)测控数据中的指令接收回报、指令执行回报和安控状态；

2)飞控数据中的安控停车状态。

如果满足以下4项：

1)指令接收回报与指令执行回报均为“安控坠毁”；

2)安控状态为安控坠毁；

3)安控停车状态显示发动机执行停车指令；

4)安控信号为低电平。

则认为人工安控功能检测通过，否则认为该功能故障。

5 系统测试与分析

自动检测系统研制完成后，对其进行系统测试。首先将安控器自动检测系统、安控器以及上位机按照图2所示方式进行连接。为了排除系统中的不稳定因素，提高测试的覆盖性，测试分为两类，第一类测试选用状态正常的安控器样机作为被测对象，使用自动检测系统对其进行全自动检测并记录检测结果；第二类测试在第一类的基础上，对部分检测项目采用故障注入的方法模拟真实的故障情形。嵌入式系统常用的故障注入方法有基于硬件的故障注入、基于模拟的故障注入以及基于软件的故障注入[21]。对于串口输出状态检测、地检功能检测、安控GPS模拟检测以及飞控GPS检测，本文采用基于硬件的故障注入方式注入故障，如断开相应串口；对于安控区装订回检检测、安控复位检测、自主安控检测以及人工安控检测等不适合注入硬件故障的检测，本文采用基于软件的故障注入方式注入故障。经过大量测试，第一类测试全部通过，其中部分检测结果如表1所示，第二类测试结果如表2所示。

表1 正常条件下检测结果

表2 故障注入检测结果

由表1可知，对于功能正常的安控器，经过300次实际测试后，自动检测系统都能检测通过。然而检测次数相对较少，样本总量不够大，无法得出该检测系统的虚警率等指标，所以在后续开发及使用中需要继续关注检测系统自身的故障率，以便估算出系统的虚警率指标。

从表2可知，自动检测系统能够检出注入的故障并自动完成安控器各项功能的检测，所有检测项目单次消耗时间最多不超过5分钟，相比人工检测方式，所需时间大大减少。

上述大量分类测试和考机表明，本文所研制的自动检测系统能够实现对安控器的全自动检测，对检测中的故障项准确识别并告警，达到了预期的检测要求。

6 结束语

安控器是靶机安控系统的关键部件，对保障靶机安全完成飞行任务意义重大，因此，安控器检测必须高度重视。本文设计的安控器全自动检测系统实现了一键式、全自动、全面的功能性能检测。经试验验证表明：该系统完全满足某型靶机安控器的检测需求，同时极大程度提高了检测效率，已初步具备工程化应用条件。