一、主要作用解析
冗余设计的根本目的是确保系统在发生单一或有限故障时，关键功能不丧失，飞行安全不受影响。具体作用可分解为：
1. 提高系统可靠性
通过增加备份部件或通道，降低因单个随机硬件故障导致系统整体失效的概率。例如，一个通道的故障率为λ，则双重冗余系统的故障率将大幅降低。
2. 增强系统安全性（容错能力）
这是冗余最核心的价值。它允许系统在故障发生后继续安全地执行任务，即“故障-工作”能力。对于民航客机，这是实现“继续安全飞行和着陆”的基石。
更高级的冗余（如三重或四重）可以实现故障-操作/故障-安全，即在多次故障后仍能保持全部或降级的安全运行。
3. 实现故障检测与隔离
多个通道并行工作，为交叉比对和表决提供了可能。当某个通道的输出与其他大多数不一致时，系统能自动检测到该故障。
检测后，系统可以隔离故障通道，防止其错误输出影响最终决策，从而“屏蔽”故障。
4. 支持在线维护与测试
在不中断系统正常运行（“在线”）的情况下，可以对被隔离的备份通道进行测试、诊断甚至维护，提高了飞机的可用性。
5. 满足严苛的适航法规要求
民用航空的适航标准（如FAR/CS 25.1309）对飞控系统失效概率有极端严苛的要求（例如，灾难性失效概率需低于10⁻⁹/飞行小时）。仅靠单个高品质量部件无法达到此要求，必须通过冗余设计来实现。
二、功能运行：典型架构与工作流程
现代电传飞控系统通常采用多通道、非相似冗余架构。以民航客机常用的三余度或四余度数字飞控系统为例：
1. 典型物理架构
多个独立通道： 系统包含3个或4个完全独立的飞控计算机通道（如Channel A, B, C）。
独立性保障：
硬件隔离： 每个通道拥有独立的处理器、电源、数据总线、传感器信号源和作动器控制链路。
非相似设计： 为避免共性故障，不同通道可能采用不同厂商的硬件、不同架构的处理器或不同团队开发的软件。这可以防止因设计缺陷、软件bug或特定环境干扰导致所有通道同时失效。
分布式传感器与作动器： 关键传感器（陀螺、加速度计）和作动器（舵机）也采用冗余设计。例如，空客A380的副翼由8个独立的作动器驱动。
2. 核心工作流程（以三余度表决系统为例）
整个冗余系统的运行围绕 “信号-计算-表决-输出-监控” 的闭环进行。
步骤详解：
1. 输入阶段：
每个通道从自己连接的传感器组（也是冗余的）获取飞行参数（如姿态、空速）。各通道间通过交叉通道数据链 交换数据，以获得更完整、可靠的信息源。
2. 计算阶段：
每个通道基于输入数据，独立并行地运行完全相同的控制律计算，生成操纵面指令。
3. 表决与监控阶段（最关键步骤）：
中央表决器 或通过交叉通信，对三个通道的计算结果进行实时比对。
正常情况： 三个结果高度一致。系统采用“多数一致”原则，输出正确指令。
故障情况： 某一通道的输出持续与其他两个不符。
故障检测： 系统判定该通道失效。
故障隔离： 立即逻辑上“关闭”或“屏蔽”该故障通道，使其输出不参与最终控制。
系统重构： 系统无缝降级为双通道比较模式。剩余两个健康通道继续通过交叉比对工作。此时系统仍具备完整的故障-工作能力。
4. 输出与执行阶段：
表决后的安全指令被发送至动力控制单元 或直接发送至作动器。
作动器本身也可能是冗余的（如电动液压伺服阀），接收来自多个通道的指令，并内置监控机制，选择正确的指令执行。
3. 高级运行模式
双故障应对： 在四余度系统中，可以容忍两个通道失效，仍能通过剩余两个通道（降级模式）安全返航。
备份系统： 除了主飞控计算机，飞机还设有独立的备份飞控系统。它可能采用简化的模拟电路或独立的数字计算机，在主系统全部失效时接管，提供最基本的俯仰和横滚控制（如波音的“直接模式”、空客的“备份控制法则”）。
非相似备份： 极端情况下，机械备份（钢索）可能作为电传系统完全失效后的最后手段（在某些机型上保留）。
