赵靖，宋丹
1.中国交通通信信息中心，北京 100011
2.北京航空航天大学 卫星导航与移动通信融合技术实验室，北京 100191
近年来，无人机（Unmanned Aerial Vehicle，UAV）在民用领域引起了广泛重视，越来越多行业的用户利用无人机执行任务，如航拍、快递运输、电力巡检、农药消毒喷洒等［1-2］。飞行安全是无人机执行任务的前提，影响飞行安全的因素有许多，如气象条件、低空域交通条件以及无人机导航系统的完好性等。完好性监测是抵御无人机导航系统安全风险的重要手段之一，通过检测排除导航系统故障并评估完好性风险，防止发生危险误导信息（Hazardous Misleading Information，HMI），达到规避导航系统安全风险的目的［3-4］。
无人机通常采用全球导航卫星系统（Global Navigation Satellite System，GNSS）和惯性测量单元（Inertial Measurement Unit，IMU）组合导航［5］。在过去的30年，完好性的研究主要针对GNSS 展开，传统的组合导航系统完好性监测是在IMU 无故障假设的前提下开展的，即IMU 辅助的GNSS 接收机自主完好性监测（Receiver Autonomous Integrity Monitoring，RAIM）［6］。但是，民用无人机配备的低成本IMU 也存在故障风险［7］。由于依赖地面基础设施更少、起飞和降落条件更差、飞行空域内飞行器密度更高，民用UAV 对机载导航系统的完好性要求更为严格［8］。因此，民用无人机需开展兼顾IMU和GNSS 故障风险的完好性监测。
近年来，已有研究者致力于解决该问题。Lee 于2018 年的美国导航学会（Institute of Navigation，ION）举办的GNSS+会议上首次提出无人机GNSS/IMU 组合导航系统完好性风险评估需同时顾及IMU和GNSS 故障可能性，给出了GNSS/IMU 完好性风险建模的粗略框架，并推导了IMU 故障模式下的保护级反演公式［9-10］。我国学者Liu等［11］也给出了GNSS/IMU 组合导航系统IMU 故障模式下的保护级反演公式，Lee采用的数据融合状态方程为惯导参数方程，与Lee 的研究不同，Liu 采用的数据融合状态方程为惯导误差方程。Jiang等［12］在此基础上设计了GNSS/INS/视觉组合导航系统的完好性风险分配树，进而构建了多种故障模式下的保护级计算公式。然而，以上这些方法均处于初步探讨阶段，尚有诸多细节需要完善，如故障模式的划分问题、完好性风险建模时各故障模式的概率计算问题以及GNSS 故障模式下的保护级反演问题等。
此外有一些方法实现了兼顾GNSS和INS故障风险的完好性监测流程。如Meng和Hsu［13］将EKF 更新过程转化为等价的加权最小二乘形式，基于解分离算法实现了对传播和测量过程中所引发完好性风险的监测。Wang等［14］设计了GNSS和多IMU 的紧耦合结构，并且通过相应的完好性监测算法检测GNSS和（或）IMU 中的故障以及计算保护级。这些研究在建立组合导航系统的完好性风险评估模型时虽然考虑了故障模式选取和保护级计算的问题，但缺乏严格的完好性风险评估推导。
本文在IMU 无冗余（即单个IMU）的假设下，提出了比较完备的兼顾GNSS和IMU 故障风险的GNSS/IMU 组合导航系统完好性风险方案：①根据不同故障检测结果对完好性风险评估需要顾及的故障模式进行划分，并设计完好性风险需求分配方案；
② 提出不同故障结果对应的故障模式保护级反演模型。保护级反演模型利用滤波新息表达过去历元故障偏差对定位误差的影响，解决在故障起始历元和故障偏差取值未知的前提下保护级反演难以实现的问题，形成对定位误差合理包络。
1.1 无人机GNSS/IMU 完好性监测整体框架
设定无人机GNSS/IMU 组合导航系统中IMU和GNSS 采用紧耦合的组合方式，其自主完好性监测框架如图1 所示。
图1 无人机GNSS/IMU 组合导航系统自主完好性监测框架Fig.1 Autonomous integrity monitoring framework of UAV GNSS/IMU integrated navigation system
具体执行过程如下：
1）数据融合前通过对各可见星观测数据的一致性检验进行GNSS 的故障检测与排除，仿真采用的GNSS 故障检测排除算法为最小二乘残差（Least Squares Residuals，LSR）算法。若检测并识别出故障星，则将故障星的观测数据剔除，把其余观测数据输入滤波器。
2）将IMU 导航信息和经故障检测排除后的GNSS 观测数据输入滤波器，利用滤波新息对IMU 进行故障检测。如果检测到IMU 故障，则GNSS/IMU 组合导航系统退化为GNSS 导航系统，利用GNSS 单点定位算法解算载体的位置速度信息，组合导航系统完好性监测退化为基于LSR 算法的GNSS 接收机自主完好性监测（RAIM），对GNSS 进行完好性风险评估；
如果未检测到IMU 故障，则对GNSS/IMU 组合导航系统进行完好性风险评估。
3）采用反演保护级的方法完成完好性风险评估，即计算与完好性风险需求相对的定位误差限值。如果检测到IMU 故障，则组合导航系统的保护级退化为GNSS 的保护级；
如果未检测到IMU 故障，则利用滤波过程数据完成各故障模式的保护级反演，取其中的最大值作为组合导航系统的最终保护级。
4）根据输出结果判别是否告警。如果保护级小于告警限值，则判定组合导航系统的完好性风险低于完好性风险需求，用户可正常操作；
反之，则判定完好性风险高于完好性风险需求，向用户告警。
1.2 GNSS/IMU 组合导航系统故障模式
完好性风险等价于危险误导信息（Hazardous Misleading Information，HMI）发生的概率，HMI 是指定位误差超出其许用范围的导航信息。因此，完好性风险可以定义为
式中：N 为完好性监测的故障模式总数；
Fi为第i 种故障模式；
P(HMI，Fi)为Fi产生的完好性风险；
P(Fi)为Fi发生的先验概率。
根据故障检测结果的不同，进行完好性风险评估时需要考虑不同的故障模式。可以对不同故障检测结果下评估完好性风险时需要考虑的故障模式进行划分，如图2 所示。
图2 不同故障检测结果下完好性风险评估时故障模式划分Fig.2 Division of fault modes of integrity risk evaluation for different fault detection results
图2中，以GNSS 故障检测的结果为依据，将GNSS/IMU 组合导航系统完好性监测需要考虑的故障模式首先大致划分为3 类：①检测出GNSS 故障并成功排除，记作GDE； 通过上述分析，则有 当GNSS 故障检测结果为GDE或时，组合导航系统进入IMU 故障检测环节。如果检测到IMU 故障，则记作GDEID，此时组合导航系统退化为GNSS 导航系统，完好性风险评估时只需考虑GNSS 故障。如果未检测出IMU 故障，则记作或，完好性风险评估时需要考虑组合导 航系统无故障、GNSS 故障但IMU 无故障（包括GNSS 单星故障和多星故障GM）、GNSS 无故障 但IMU 故障以及GNSS和IMU 同时故障（GNSS 单星故障GSI）4 种故障可能。 式中：Psat为每颗卫星先验故障概率； 式中：ε0为水平定位误差（Horizontal Position Error，HPE）或垂直定位误差（Vertical Position Error，VPE）； 式（5）的计算依赖于ε0的分布规律，当故障检测结果为或时，组合导航系统退化为GNSS，采用最小二乘法仅利用当前历元的GNSS 观测数据解算载体的位置和速度。若故障检测结果为GDEID，ε0的分布规律根据GNSS 故障检测和排除后剩余的可见卫星观测数据计算； 图3 5 种故障检测结果分类Fig.3 Five kinds of fault detection results 图4 GNSS/IMU 组合导航系统保护级反演方案Fig.4 Protection level calculation scheme of the GNSS/IMU integrated navigation system 式中：Fi代表、GS、GM、和GSI 5 种故障模式。在假设GNSS和IMU 故障相互独立的条件下，每种故障模式的先验概率为 式中：PIMU为每个IMU 先验故障概率。 式（6）的计算同样依赖于ε0的分布规律，需要通过分析不同故障模式下故障偏差在滤波过程中的传播规律得到。若故障检测结果为，送入滤波器的GNSS 观测数据需要排除掉故障卫星的观测数据； 完好性风险评估通常以反演保护级（Protection Level，PL）的方法实现。保护级是指与完好性风险需求相对应的位置误差上限，记作Ireq。 采用保护级反演法评估各种故障模式的完好性风险。为各种故障模式分配完好性风险需求，首先根据一定规则将组合导航系统的总完好性风险需求分配到各种故障模式。由于目前针对无人机的完好性标准尚未制定，假设无人机组合导航系统的总完好性风险需求设定为Ireq=1×10-7，并将其平均分配到水平方向和垂直方向，即Ireq，V=Ireq，H=0.5×10-7。另设卫星和IMU先验故障概率分别为Psat=1×10-5和PIMU=1×10-3。然后以垂向为例，垂向保护级（Vertical Protection Level，VPL）表示为LVP，根据上述假设条件估算2 类故障检测结果下各种故障模式的完好性风险进行，完成各种故障模式的完好性风险需求分配。 完好性风险需求的分配取决于故障模式发生的先验概率。分配原则为：如果某种故障模式发生的先验概率远小于总完好性风险需求，则将该故障模式的完好性风险需求分配为其完好性风险的最大值，不再需要反演保护级； 如图3 所示，当故障检测结果为GDEID和时，完好性风险评估考虑、GS和GM3 种故障模式。以可见卫星数量K=10 为例，对各种故障模式的垂向完好性风险进行如下估算： 式中：EVP为垂向定位误差； 2）GS故障模式 将式（4）代入式（9）可 得P(HMI，GS)≤9.999 1×10-5，因此P(HMI，GS)可能大于垂向总完好性风险需求。 3）GM故障模式 将式（4）代入式（10）可 得P(HMI，GM)≤4.499 8×10-9，因此P(HMI，GM)始终小于垂向总完好性风险需求。 综上所述，当K=10 且故障检测结果为GDEID和时，需要为、GS和GM3 种故障 模式分配完好性风险需求。由于P(HMI，GM)≤4.499 8×10-9远小于垂向总完好性风险需求，可以将GM故障模式的完好性风险需求直接分配为其完好性风险的最大值，即Ireq，V(GM)=4.499 8×10-9。这种分配方式有2 个特点：一是不需要反演GM故障模式的保护级； 在为GM故障模式分配好完好性风险需求后，可将剩余完好性风险需求平均分配到和GS2 种故障模式，即 将式（7）代入式（13）可 得P(HMI，GS)≤9.989 1×10-5，因此P(HMI，GS)可能大于垂向总完好性风险需求。 3）GM故障模式 将式（7）代入式（14）可 得P(HMI，GM)≤4.495 3×10-9，因 此P(HMI，GM)始终小于垂向总完好性风险需求。 5）GSI 故障模式 将式（7）代入式（16）可 得P(HMI，GSI)≤9.999 1×10-8，因此P(HMI，GSI)可能大于垂向总完好性风险需求。 综上所述，根据第2.1 节中提出的完好性风险需求分配规则，为GM故障模式分配完好性风险需求Ireq，V(GM)=4.495 3×10-9，该故障模式不需反演保护级； 当检测结果为第1 类时，GNSS/IMU 组合导航系统退化为GNSS 导航系统，其保护级反演方法与RAIM 算法相同，和GS故障模式的保护级反演方法参见文献［15］，GM故障模式的保护级反演方法参见文献［16］。本节主要研究组合导航系统在GNSS 单星座条件下，故障检测结果为第2 类时的保护级反演方法。由于保护级是与完好性风险需求相对应的定位误差置信上限，因此保护级反演公式的获取依赖于定位误差分布规律的研究。 由于不涉及故障偏差的影响，在组合导航系统过程噪声和观测噪声均为高斯噪声的假设下，故障模式下的定位误差服从均值为0，标准差为σq的高斯分布，其中σq为滤波估计协方差矩阵第q 行对角线元素的平方根［17］。 式中：q 为滤波器估计误差的索引，可根据组合导航系统数据融合状态向量设定； 式中：上标“′”表示被故障影响的参数； 1）故障偏差在相邻历元滤波估计误差之间的传递方程 由式（23）可知，在滤波估计误差的传递过程中存在一个由过去历元GNSS 故障引起的附加偏差项LkΔΦk|k-1和一个由当前历元故障引起的附加偏差项。 2）滤波估计误差的滤波新息表达 将式（20）和式（21）代式（24），可得滤波新息与滤波估计误差之间的关系方程为 对比式（29）和文献［19］可知，GS故障模式的相比故障模式额外增加了fk，GNSS偏差项。 根据式（29），GS故障模式的保护级为 由于显示中包含fk，GNSS但fk，GNSS未知，因此无法得到确定的保护级。参照GNSS 单星故障模式的保护级计算方法，将(Bk+) fk，GNSS放大为最大特征斜率与最小可检测偏差的乘积，其中特征斜率根据fk，GNSS对GNSS 故障检测检验统计量和滤波估计的影响进行定义。 对于单星故障，假设第m 颗卫星为故障卫星，故障偏差为ξb，则fk，GNSS为仅第m 个元素非零的矢量。fk，GNSS在滤波估计第q维中引起的误差为 令Tk=Bk+K′k，则式（31）可简化为 式中：tqm为矩阵Tk第q行第m列的元素。 以采用经典LSR 算法进行GNSS 故障检测为例，ξb对检验统计量的影响表现在非中心化分布参数上［20］。 式中：σm为第m 颗可见卫星观测噪声标准差； 假设GNSS 单星故障和IMU 故障均出现在第k 个历元之前，即第k-1 个历元的滤波估计已被故障影响，第k-1 到k 个历元的状态转移矩阵也代入了受故障影响的参数，第k 个历元的系统方程表示为 由于式（36）和式（20）相同，GSI 故障模式的保护级计算式与GS相同，只需将其中的替换为即： 组合导航系统的最终保护级取各故障模式保护级的最大值，即 此外，第3.1～第3.4 节给出的保护级反演方法得到的保护级具体到东向、北向和垂向。由于告警限值通常分为水平和垂向，因此需要对东向和北向保护级进行合并处理，即 仿真场景设计为测绘无人机低空飞行作业场景，仿真轨迹如图5 所示。表1 列出了仿真场景参数，主要包括GNSS和IMU 的传感器配置参数。对于民用无人机完好性需求，由于目前尚没有无人机完好性需求的相关标准，考虑到无人机航路阶段的高完好性需求，本节参照北美区域民航用户垂直导航信标性能（Localizer Performance with Vertical Guidance，LPV）标准拟定无人机飞行作业阶段的完好性需求如表2 所示。仿真过程中，采用阶跃故障模拟故障偏差，其中GNSS 故障偏差添加于伪距观测值，IMU 故障偏差添加于比力或角速度［20］。仿真中，状态向量、状态转移矩阵以及观测矩阵的设置参考文献［21］。 表1 组合导航系统仿真场景参数Table 1 Simulation scenario parameters for integrated navigation system 表2 LPV 导航性能要求Table 2 Requirements of LPV navigation performance 图5 飞行轨迹示意图Fig.5 Flight trajectory 进行一次仿真实验，在仿真过程中不加入GNSS和IMU 故障，图6 记录了故障模式下水平、垂向定位误差和保护级，其中水平定位误差EEP和ENP分别代表东向和北向定位误差。 图6 故障模式保护级Fig.6 PL of fault mode 进行1 次仿真实验，在200～250 s 内为垂向加速度计加入20×10-4g 的常值故障偏差，图7为故障模式下水平、垂向定位误差和保护级。实验采用基于滤波新息的IMU 软故障检测方法［22］，过程中水平和垂向检验统计量均未超过水平和垂向告警限，即未检测出IMU 软故障。 图7 故障模式保护级Fig.7 Protection level of fault mode 分别进行2 次仿真实验，在200～250 s 历元为G19 分别注 入10σ0和20σ0的伪距 故障偏差，图8和图9 分别为2 次实验中故障模式的水平、垂向定位误差和保护级。如图8和图9 所示，故障模式下保护级为单侧曲线，可对定位误差形成包络，其中垂向定位误差取其绝对值。 图8 故障模式保护级（故障偏差为10σ0）Fig.8 Protection level of fault mode（the fault bias is 10σ0） 图9 故障模式保护级（故障偏差为20σ0）Fig.9 Protection level offault mode（the fault bias is 20σ0） 如图8 所示，G19 号星注入10σ0的故障偏差后，由于采用经典LSR 算法无法100% 检测出来，故障偏差仍会对定位误差造成影响。图8（a）和图8（b）中北向和垂向保护级在注入故障偏差后出现的明显抖动是由不同故障检测结果造成的：未检测到故障时，所有可见星的观测数据输入数据融合滤波器，max(Slope)值与未注入故障偏差时保持一致； 如图9 所示，在为G19 注入20σ0的故障偏差后，采用经典LSR 算法可100%检测故障偏差，因此故障偏差不会对定位误差造成影响。图9（a）和图9（b）中水平和垂向保护级在注入故障偏差前后的突变是由于检测并排除G19 号星造成的，在注入故障偏差后，除G19 以外的其他可见星观测数据输入数据融合滤波器，max()Slope值与未注入故障偏差时相比发生明显变化。图9（b）中0～750 s 的时段内，垂向保护级一直在缓慢增长，这是由于GNSS 可见星几何构型的缓变，即VDOP 的缓增造成的。 对比图8和图9 可知，GS故障模式的保护级与的相比明显趋于保守，这是由于当前历元GNSS 故障偏差fk，GNSS未知，估算max()Slope造成的。 4.2.4 GSI 故障模式保护级 进行2 次仿真实验，实验中均在200～250 s历元为垂向加速度和G19 号卫星的伪距注入故障偏差，其中垂向加速度注入20×10-4g 的常值故障偏差，G19 号星分别注入10σ0和20σ0的伪距故障偏差，2 次实验中G19 号星GSI 故障模式的水平和垂向定位误差和保护级分别为图10和图11。如图10和图11 所示，GSI 故障模式下保护级为单侧曲线，可对定位误差形成包络。通过对比可知，G19 号星伪距故障偏差为20σ0时组合导航系统的定位误差明显小于伪距故障偏差为10σ0的定位误差，这是由于经典LSR 算法可对20σ0的故障偏差实现100%检测。 图10 GSI 故障模式保护级（G19 注入故障偏差10σ0）Fig.10 Protection level of GSI fault mode（G19 satellite is added the fault bias of 10σ0） 图11 GSI 故障模式保护级（G19 注入故障偏差20σ0）Fig.11 Protection level of GSI fault mode（G19 satellite is added the fault bias of 20σ0） 4.2.5 组合导航系统最终保护级 进行1 次仿真实验，在200～250 s 历元为垂向加速度注入20×10-4g 的常值故障偏差，在500～550 s 历元为G19 号卫星的伪距注入10σ0故障偏差，分别采用经典LSR 算法和基于滤波新息的故障检测方法检测GNSS和IMU 故障，其中GNSS 故障检测率未到达100%，IMU 故障检测率为0。图12 为组合导航系统水平和垂向定位误差（取绝对值）和保护级。如图12 所示，水平和垂向定位误差在实验过程中均未超过告警限值，故IMU 故障检测结果是可靠的。此外，水平和垂向保护级分别对水平和垂向定位误差起到明显的包络作用，尤其是在注入故障偏差阶段，保护级可跟踪定位误差的变化趋势。 图12 组合导航系统最终保护级Fig.12 Final protection level of integrated navigation system 本文设计了完整的民用无人机GNSS/IMU组合导航系统完好性风险评估方案。首先根据不同的故障检测结果建立完好性风险模型，针对不同故障检测结果下完好性风险需求设计在各个故障模式间的分配方案，将需要考虑的故障模式划分为2类。然后针对2 类故障模式划分方法分别建立完好性风险模型并制定完好性风险需求分配方案，并给出故障检测结果为、和时组合导航系统各故障模式下的保护级反演方法。最终针对各故障模式求取保护级，取其中最大值为组合导航系统最终保护级。通过仿真实验证明了保护级可跟踪定位误差的变化趋势，对定位误差形成较好包络。
② 检测出GNSS 故障但未成功排除故障，记作；
③未检测出GNSS 故障，记作。以采用LSR 算法进行GNSS 故障检测为例，检测出GNSS 故障是指对所有可见卫星的伪距观测值进行一致性校验时TSG≥TDG，TSG和TDG分别为GNSS 故障检测的检验统计量和检测阈值。成功排除GNSS故障是指在检测出故障的前提下，利用巴尔达探测法排除故障卫星，并在排除故障卫星后，剩余可见卫星的伪距观测值能够通过LSR 一致性检验，即满足TS′G1.3 第1/2类故障检测结果对应完好性风险模型
K 为可见卫星数量。Fi故障模式的完好性风险模型为
对应ℓ 为水平告警限（Horizontal Alert Limit，HAL）或垂直告警限（Vertical Alert Limit，VAL）。
若故障检测结果为，ε0的分布 规律根 据所有GNSS 可见卫星的观测数据计算。
若故障检测结果为和，则送入滤波器的GNSS 观测数据为所有可见卫星的观测数据。
反之，则根据一定的规则为该种故障分配完好性风险需求（如平均分配），并以此为依据反演保护级。本文提到的“远小于”界定为不超过总完好性风险需求的1/20。2.1 第1 类故障检测结果完好性风险需求分配
P(|EVP|≥≤1。
二是组合导航系统的GNSS 故障检测算法可采用单星故障检测算法，不需要采用多星故障检测算法，从而降低完好性监测计算量。2.2 第2 类故障检测结果完好性风险需求分配
为其余4 种故障模式分配完好性风险需求[ Ireq，V-Ireq，V(GM)]/4=1.137 6×10-9，并根据该完好性风险需求反演保护级。
为Pr(HMI)对应的正态分布双侧分位数，其中3.3 GS故障模式保护级反演模型
X 为状态向量；
Φk|k-1为第k-1 到第k 个历元的状态转移矩阵；
W 为过程噪声向量；
Z 为观测向量；
H 为线性观测矩阵；
μ 为观测误差向量；
fk，GNSS为第k 个历元的GNSS 故障偏差矢量［18］。
smm为矩阵S 的第m 行对角线元素，则特征斜率可以定义为3.4 GSI 故障模式保护级反演模型
3.5 组合导航系统的最终保护级
4.1 仿真条件
4.2 仿真结果
检测到故障时，除故障星以外的其它可见星观测数据输入数据融合滤波器，max()Slope值与未注入故障偏差时相比发生明显变化，特别是max()Slope 明显增大。
