关于容错系统的一点科普

尽管超大某些斑竹几次偏袒lizyu和/或沈霍伊将我封杀，但是考虑到军坛噪音太多烦人，我还是决定写点科普，希望能减少点噪音。

飞控系统是经典的内在噪音加测量误差的控制系统，一方面系统本身有内在噪音，比如振动、环境的内在噪音，另一方面测量必然有误差，而且两者都可能很大（尤其是现代战斗机高机动性能这个环境里）。比如测空速，上一次测量是10m/s，这一次是15m/s，这个差别是真实的、环境突变、还是传感器有问题？都有可能，还可能都有，单凭这两个数据也无法分辨。

一个简单办法是用多个传感器取平均以减少噪音和误差，但这里的代价是增加系统复杂度和出错率（多一个零件就多一份故障率）。六十年代以后逐渐普及的是Kalman或类似变形/改进型过滤器。Kalman过滤器是一种统计算法，目的是过滤掉内在噪音和测量误差，猜测系统的“真实”状态。首次用于阿波罗登月火箭的姿态控制，现在已经广泛用于通信、汽车、飞机、导弹、火箭以及金融等很多领域。具体变化有很多，但其根本在于分两步走：第一是预测，根据上一次测量的数据预测现在的状态，第二是修正，根据这次测量的数据修正第一步的预测结果。这里当然有些参数，需要根据经验和试验最佳化。

看了半天关于11BS飞行事故的猜测分析一帖，lizyu反复证明了传感数据不能轻易丢掉的道理。其实这等于是苦口婆心说服人不做没有人做的事情，换句话说就是唐吉坷德。很多童鞋在过滤与不过滤上纠结，似乎也有很多误解。Kalman过滤器不同于一般意义上的low-pass、high-pass过滤器，没有数据被扔掉，只不过是给不同的数据根据不同情况加权而已。

当然，Kalman只是容错机制之一。比如硬件出错，这是误差分布曲线上的极端尾部，Kalman也无能为力，而只能靠硬件备份处理，比如三个相同传感器的信号取两个比较相近的取平均，或者两个里取跟上次测量比较相近的。被排斥的信号一般来说也不能简单扔掉，因为它与其他信号离得远这本身就是信息，而且可能是极有价值的信息。但这种极端值处理(EVT)是另外的问题了。

贵宾们也不必动辄盛气凌人地质问别人看过多少内部资料。看过内部资料其实不能提高你的智商。信息越全面就越可以让结论正确，但是也不能保证结论正确，你把全部信息灌进猪脑它也只能哼哼两声对不。有些问题不需要全面信息就能得出一些结论。

我们先假设公开报道的事故情况基本属实。那么飞机在剧烈上仰、操纵杆脱手之后自动纠正变成剧烈下俯，来回多次，而且飞行员抓杆之后飞机恢复正常，说明飞控系统至少没有全部失效，而且很可能基本正常。问题在于第一次姿态剧烈变化是怎么开始的。可能性有三：

1。传感器出错
2。其它硬件出错
3。飞控软件某个bug被触发

当然还可能是以上三个的任意组合。

如果飞控系统（其中一个重要部分是Kalman过滤器）没问题，那么硬件错误必须是多个备份同时出错，这种机率应该是极小的，除非多个备份之间存在共同的失败点（比如装在同一块蒙皮上而蒙皮被撕裂），也就是说这是设计缺陷。

如果硬件没问题而是飞控系统有虫子，那当然就是飞控系统有虫子。

所以，无论如何，这说明飞机有问题。

作为飞机这样一个巨复杂系统，出问题是不可避免的。但是有的人有一种很无理的心态，对一切问题自动持辩解抵赖的态度，这是因为从小缺乏母爱而不能接受任何指责呢还是极度缺乏自信而必须不断证明自己呢？这个心理学问题这里我就不深究了。尽管超大某些斑竹几次偏袒lizyu和/或沈霍伊将我封杀，但是考虑到军坛噪音太多烦人，我还是决定写点科普，希望能减少点噪音。

飞控系统是经典的内在噪音加测量误差的控制系统，一方面系统本身有内在噪音，比如振动、环境的内在噪音，另一方面测量必然有误差，而且两者都可能很大（尤其是现代战斗机高机动性能这个环境里）。比如测空速，上一次测量是10m/s，这一次是15m/s，这个差别是真实的、环境突变、还是传感器有问题？都有可能，还可能都有，单凭这两个数据也无法分辨。

一个简单办法是用多个传感器取平均以减少噪音和误差，但这里的代价是增加系统复杂度和出错率（多一个零件就多一份故障率）。六十年代以后逐渐普及的是Kalman或类似变形/改进型过滤器。Kalman过滤器是一种统计算法，目的是过滤掉内在噪音和测量误差，猜测系统的“真实”状态。首次用于阿波罗登月火箭的姿态控制，现在已经广泛用于通信、汽车、飞机、导弹、火箭以及金融等很多领域。具体变化有很多，但其根本在于分两步走：第一是预测，根据上一次测量的数据预测现在的状态，第二是修正，根据这次测量的数据修正第一步的预测结果。这里当然有些参数，需要根据经验和试验最佳化。

看了半天关于11BS飞行事故的猜测分析一帖，lizyu反复证明了传感数据不能轻易丢掉的道理。其实这等于是苦口婆心说服人不做没有人做的事情，换句话说就是唐吉坷德。很多童鞋在过滤与不过滤上纠结，似乎也有很多误解。Kalman过滤器不同于一般意义上的low-pass、high-pass过滤器，没有数据被扔掉，只不过是给不同的数据根据不同情况加权而已。

当然，Kalman只是容错机制之一。比如硬件出错，这是误差分布曲线上的极端尾部，Kalman也无能为力，而只能靠硬件备份处理，比如三个相同传感器的信号取两个比较相近的取平均，或者两个里取跟上次测量比较相近的。被排斥的信号一般来说也不能简单扔掉，因为它与其他信号离得远这本身就是信息，而且可能是极有价值的信息。但这种极端值处理(EVT)是另外的问题了。

贵宾们也不必动辄盛气凌人地质问别人看过多少内部资料。看过内部资料其实不能提高你的智商。信息越全面就越可以让结论正确，但是也不能保证结论正确，你把全部信息灌进猪脑它也只能哼哼两声对不。有些问题不需要全面信息就能得出一些结论。

我们先假设公开报道的事故情况基本属实。那么飞机在剧烈上仰、操纵杆脱手之后自动纠正变成剧烈下俯，来回多次，而且飞行员抓杆之后飞机恢复正常，说明飞控系统至少没有全部失效，而且很可能基本正常。问题在于第一次姿态剧烈变化是怎么开始的。可能性有三：

1。传感器出错
2。其它硬件出错
3。飞控软件某个bug被触发

当然还可能是以上三个的任意组合。

如果飞控系统（其中一个重要部分是Kalman过滤器）没问题，那么硬件错误必须是多个备份同时出错，这种机率应该是极小的，除非多个备份之间存在共同的失败点（比如装在同一块蒙皮上而蒙皮被撕裂），也就是说这是设计缺陷。

如果硬件没问题而是飞控系统有虫子，那当然就是飞控系统有虫子。

所以，无论如何，这说明飞机有问题。

作为飞机这样一个巨复杂系统，出问题是不可避免的。但是有的人有一种很无理的心态，对一切问题自动持辩解抵赖的态度，这是因为从小缺乏母爱而不能接受任何指责呢还是极度缺乏自信而必须不断证明自己呢？这个心理学问题这里我就不深究了。