在首架飞行原型机制造前对eVTOL 电动推进系统进行验证

核心要点

• 只有在地面测试中已证实所有剩余单元及推力重新分配逻辑均能应对该故障的情况下，分布式推进系统才能使eVTOL 具备单点故障容错能力。
• 通过电机、逆变器和电池的实时模型，您可以模拟那些会损坏原型硬件的故障情况——而推进系统的大部分风险正源于此。
• 仿真 当模型与测量结果相关联，且每条测试记录都能追溯到相应的需求时，便体现了认证的价值。

eVTOL 在首架试飞飞机问世之前，就必须在地面上针对模拟故障进行推进系统测试。

飞行测试并不是了解电机、逆变器或电池在发生故障时表现如何的理想场所。当悬停中的升力旋翼失去扭矩时，飞行控制器只有几分之一秒的时间来做出反应。垂直飞行协会（Vertical Flight Society）的eVTOL 飞行器设计目录目前收录了来自450多位设计师的1,100余个设计方案。从设计方案到获得认证的飞行器之间，主要靠的是实证。

电动飞机推进系统为您提供了涡轮发动机项目从未具备的优势。电机、驱动器和电池可以以足够高的精度进行实时建模，以至于实际控制器无法区分模型与硬件。这使您能够在试验台上对故障工况进行数千次模拟，随后通过飞行试验来验证已知结果。那些将仿真 视为依据的项目，在首次飞行时留下的未解问题会更少。

eVTOL 电动推进系统作为分布式系统的工作原理

eVTOL 电动推进系统由一组独立的推进单元组成，每个单元均配备独立的电机、逆变器和控制器，并通过冗余母线从高压电池获取电力。推力由多个转子提供，而非仅靠一两个发动机，因此即使单个单元发生故障，只要其余单元能正确响应，飞机仍能继续飞行。

设想一架典型的六旋翼飞行器处于悬停状态。若失去其中一个旋翼，剩余的五个旋翼各自承担的推力将增加约20%。理想的悬停功率随推力的1.5次方增加，因此每个幸存旋翼所需的功率大约增加31%。为了重新平衡扭矩和姿态，部分旋翼的负荷会超过这一平均值。

冗余系统的有效性取决于对故障的应对能力。每台eVTOL 发动机、逆变器和电池串都必须针对过载情况进行选型和验证，而负责重新分配推力的逻辑也必须经过验证，确保在每个飞行阶段即使所有单元均发生故障时仍能正常工作。这是一个组合测试问题，其中大部分必须在地面上解决。

“冗余的有效性取决于对故障的应对措施。”

在飞行硬件尚未研制出来之前，发动机验证需要证明什么

电机验证必须证明：该电机能在整个转速和温度范围内输出额定转矩，能够承受相邻单元故障后出现的过载，并在自身绕组、传感器和轴承发生故障时表现出可预测的行为。在制造符合飞行标准的电机之前，就可以对其中大部分行为特征进行表征。

测功机能很好地覆盖正常工况。扭矩曲线、效率、持续悬停时的温升以及振动特征，均来自测试台上的一台实体机器。问题往往始于故障，因为绕组短路或转子退磁不仅会损坏昂贵的原型机硬件，而且无法随意重现。

实时电机模型填补了这一空白。通过利用有限元分析得出的电感和磁通图在FPGA上对电机进行建模，实际的电机控制器所接收的电流和位置信号与物理电机完全无法区分。您可以在操作过程中引入开相、旋转变压器失效或部分短路等故障，并在整个工作范围内重复这些操作。

电机内部的容错能力提高了此类测试的难度。美国宇航局（NASA）对一种用于垂直起降飞行器的四模块容错电机进行的可靠性建模计算显示，其可靠性比不具备容错能力的基准电机高出570倍。只有当控制器能够按照模型假设的方式检测并隔离每个故障时，才能实现如此巨大的提升。闭环测试正是验证这一点的方法。

逆变器验证如何揭示正常测试台上永远不会显现的故障

逆变器验证证明，驱动器在每个开关瞬间都能精确控制电流，并在故障响应时间内进入安全状态。后半部分最为关键，因为在一切运行正常的试验台上，保护逻辑、栅极驱动行为和故障处理功能很少能得到检验。

难点在于时序控制。以一个工作频率为20 kHz的通用驱动器为例，其周期为50微秒。 要将占空比分辨率提升至1%，就意味着必须将栅极边沿的捕获精度控制在500纳秒以内，因此电机和功率级模型必须在FPGA上运行。这样一来，你可以打开开关、短接直流母线、断开电流传感器或延迟栅极信号，并观察控制器如何响应。这些测试均不会对碳化硅功率模块造成任何风险。

eVTOL 电池是如何根据悬停功率曲线进行验证的

eVTOL 电池的验证分为三个层次。单体电池需进行滥用测试和特性分析；电池组和电池包需进行热失控遏制测试；而电池管理系统则需通过模拟电池包进行测试，该模拟电池包能再现每个单体的电压、温度和电流。任务配置将这三者联系在一起，因为悬停所需的功率恰恰出现在电池包电量最低的时候。

充电过程才是难点。一套提供400 kW功率的标准800 V电池组会消耗500 A电流；如果电量较低时端电压降至640 V，则维持相同功率需要625 A电流。随着电芯电阻上升和温度裕度缩小，电流也会随之攀升。从能量角度看看似充足的储备，在功率方面仍可能不足。

电池仿真功能使您无需反复放电即可测试该极限工况。电池单体级模型驱动管理系统的检测输入，因此您可以模拟电池单体电量不足、温度传感器故障或接触器卡死的情况，并检查报告给飞行控制器的限值。

当“硬件在环”技术在飞行测试前提供证据时

eVTOL 的“硬件在环”（HIL）测试将实际的推进和飞行控制单元与电机、逆变器、电池及机身的实时模型相连接，从而在任何飞行硬件驱动旋翼转动之前，就让完整的控制链运行起来。该测试可验证故障响应、模式逻辑以及来自不同供应商的各单元之间的集成情况。

每个验证阶段都能解答其他阶段无法解答的问题，下文的总结展示了工作如何划分。

仿真 只有当模型经过实测数据验证，且测试记录可追溯至需求时，才算作有效证据。这意味着需要将电机模型与测功机数据进行关联，记录每种故障情况及其通过标准，并在每次软件变更后重新运行整套测试。OPAL-RT 通过提供电机、驱动器和电池的实时模型，支持航空航天电气化的这一阶段，从而使推进控制器在飞行硬件尚未制造出来之前就能应对各种故障情况。

这种投入在进度表中得到了体现，因为一套在夜间运行的回归测试套件，就取代了数周的测试设备使用时间。

是什么让eVTOL 认证对推进团队来说如此困难

eVTOL 认证工作难度很大，因为该飞机集成了新型推进系统、电传操纵系统和高压储能系统，而相关法规是最近才制定的，目前仍在进行解读。推进系统团队必须证明，即使发生任何单一故障，也不会导致灾难性后果，且需要验证的故障组合数量远超传统飞机。

大部分精力都集中在五个领域上。

• 涉及多个推进单元和若干飞行阶段的故障组合
• 针对每款电机控制器的软件和电子硬件保障
• 电池组及安装层面的电池热失控控制措施
• 电源与负载之间的高压保护协调
• 导致冗余失效的共同原因故障，例如共享冷却系统或共享软件

紧迫的时间表使得测试顺序至关重要。主管部门要求事先商定测试计划、建立符合要求的测试环境，并且仅认可根据该计划所验证的内容。开发过程中非正式收集的证据通常无法重复使用，因此从第一天起就应着眼于获得认证认可，建立符合仿真 标准的测试平台。

地面测试决定了首次飞行将如何进行

新型eVTOL 的首飞，理应是该项目中最不令人意外的一天。如果发动机、逆变器和电池已经根据经过验证的模型完成了所有故障工况测试，那么飞行机组人员所做的就是验证这些预测。如果尚未完成，那么飞机本身就成了试验台。

“新型eVTOL 的首飞，应该是该项目中最不令人意外的一天。”

这种严谨性是通过一次又一次的决策逐步建立起来的。你会选择对模型进行关联分析而非盲目信任它，会选择记录故障案例而非仅试一次就作罢，当供应商发布新固件时，你会选择重新运行测试套件。这些工作看似平淡无奇，却正是它们确保了推进系统故障不会在高空飞行时才被发现。 这也正是OPAL-RT大显身手之处——其实时仿真 技术能让控制器在早期阶段就置于电机、驱动器和电池模型之前。采用这种工作方式的团队，在进入飞行测试时，待解决事项清单会更短。