2025年3月8日，SwitchMaster六电机分布式电推进研究验证机在意大利Mach Aurora机场执行自动气动模型辨识任务。第二个试验点进入开环俯仰激励后，飞机出现未被修正的持续左滚；飞行员发出中止/人工接管命令，但真正恢复人工控制时只剩约1.8 s，飞机随后撞地。事故没有造成人员伤亡，机载日志得以恢复。

1 事故事实：现场究竟发生了什么

1.1 事故基本事实

图1  事故后SwitchMaster的结构损伤

1.2 六秒钟内完成的事故链

1.3 曲线告诉我们的事实

图2  撞击前最后一次机动的主要飞行参数

• 进入机动前记录的配平舵面值为：副翼 +4.0°、方向舵 +0.3°、升降舵 -1.6°。

• 开环开始后，非激励舵面及电机保持固定，自动驾驶暂时没有修正权限。

• 滚转趋势从机动早期即开始发展；最低空速检查没有触发，因为俯冲过程中空速反而上升。

• 飞行员动作与实际恢复人工控制之间存在可见延迟。

图3  最终机动中的滚转角速度p与偏航角速度r

滚转角速度持续向负方向发展并达到约 -50 deg/s量级。只监控空速等于看错了变量：事故主导状态是横航向发散和高度快速消耗，而不是低空速。

图4  任务二维与三维航迹

1.4 为什么会进入这种试验状态

图5  试飞前的SwitchMaster六电机DEP验证机

图6  从配平检查到开环激励再到自动驾驶重接通的控制过程

为了测出飞机本身的运动特性，试验过程中需要暂时关闭自动驾驶的持续修正功能。测试开始前，系统先记录飞机稳定飞行时各舵面和电机的平均控制量；进入测试后，除正在执行试验动作的舵面外，其他控制量暂时保持不变。这样可以避免自动驾驶把测试动作抵消掉，使工程师看到飞机受到操纵后的自然反应。但这种方法存在风险：如果测试前记录的舵面或电机控制量本来就有偏差，这些错误值也会被固定下来；而自动驾驶此时又不能及时纠正，飞机就可能迅速偏离正常姿态。因此，测试前必须确认配平值合理，同时还要设置独立的姿态监控和紧急中止机制。

2 事故原因：从直接原因到系统原因

2.1 直接物理链

2.2 技术原因

•  Trim合理性未验证：系统只判断真空速和航迹角是否进入容差，没有检查舵面/推进配平值是否物理合理、左右对称。

•  实时判据覆盖不足：自动安全检查主要依赖最低空速，没有覆盖滚转角、俯仰角、角速度、垂直速度和高度损失。

•  Maneuver Kill不可用：固件更新后RC通道与PX4参数映射脱耦，物理开关存在但命令没有形成有效中止。

•  Manual Override不够即时：人工模式最终恢复，但固定舵面逻辑在切换完成前继续生效。

2.3 试验与组织层原因

• 为增加试飞安全裕度，试验团队曾将最低飞行高度从30米提高到45米。但增加15米是否足够，主要依据工程经验判断，没有通过仿真验证：如果飞机在最不利姿态下突然失控，完成异常识别、人工接管、姿态恢复和停止下降，究竟需要损失多少高度。事故表明，飞机恢复人工控制时，剩余高度已经不足。因此，最低试验高度不能只按经验设定，而应根据最严重失控情况所需的恢复时间和高度，通过仿真计算后确定。

• 每次升级飞控软件或修改参数后，都应重新实测紧急中止、人工接管等关键功能，确认从开关输入、飞控识别到舵面和电机响应的整条控制链仍然有效。事故前没有完成这样的全面复查。

• 系统在设计上虽然设置了紧急中止功能，但这并不代表它在当前软件版本和参数配置下仍然能够正常工作。安全功能是否可用，必须通过实际操作验证，不能只看设计文件或程序中是否存在。

• 为了获得不受飞控修正影响的高质量试验数据，测试程序暂时限制了自动驾驶和人工操纵对舵面与电机的控制。但这种设置使人工接管不能立即生效。安全设计应始终保证：一旦发现异常，飞行员能够立即终止试验并取得控制权，不能为了保证试验数据质量而延迟人工接管。

2.4 多道屏障为何同时失效

图7  论文对事故屏障贯通的Swiss Cheese表示

3 从事故证据到eVTOL机载测试系统完整需求

SwitchMaster事故首先暴露的是自动试验安全屏障问题，但对eVTOL而言，其更深层意义是：传统“装几个采集器、飞完后导出数据”的FTI模式已不足以支撑高度电动化、分布式推进、高度自动化和快速构型迭代。未来机载测试系统必须同时是一套分布式测量网络、统一时间系统、实时数据平台、边缘安全监视器和可追溯证据生成系统。

3.1 顶层设计原则

3.2 小型化、低功耗与分布式安装

eVTOL机载测试系统的第一性约束不是“通道越多越好”，而是测量能力与安装代价的平衡。每增加一个中央机箱、长距离模拟线缆或独立电源支路，都会增加重量、压降、EMI风险、故障点和维护成本。因此应从中央集中式架构转向“多个小型节点 + 确定性网络 + 中央记录/计算”的分布式架构。

• 机翼节点：靠近应变片、压力传感器、舵机和推进单元，采集结构载荷、局部气动和电机相关信号。

• 电池舱节点：采集单体/模组电压、温度、冷却、绝缘、接触器和高压母线瞬态。

• 机身中央节点：汇聚飞控、航电、导航、时间基准和高速网络数据。

• 尾翼/操纵面节点：采集舵面位置、铰链力矩、局部应变、振动与执行器电流。

• 桨叶/旋翼附近节点：采集高频振动、应变、转速/相位和局部温度，并在本地完成抗混叠、同步采样与特征提取。

3.3 统一时间同步与确定性数据关联

时间同步是整套系统的骨架。仅在文件名上记录UTC，无法支持事故重构、控制律验证和多源融合。每个样本应尽可能在采集点获得硬件时间戳；网络节点应通过IEEE 1588 PTP、gPTP、IRIG或GPS PPS等机制同步，并持续记录锁定状态、偏差和漂移。

3.4 多类型数据的综合监控范围

FTI机载测试系统必须同时处理连续模拟量、离散量、总线消息、高速振动、导航轨迹、控制状态和视频。关键不是把所有数据都堆在一起，而是为每类数据定义“测什么、为什么测、采样多快、如何同步、异常时做什么”。

3.5 采样率、带宽与分层记录

不同数据的频率跨度可从1 Hz以下到数十kHz。系统不能用同一采样率处理所有信号，也不能只依赖低速遥测。应按物理带宽、分析目的和事故窗口设计采样率，并把“机载原始记录”和“地面实时显示”分开。

• 中央记录器保存完整、可追溯的机载数据；遥测只发送关键参数、事件和健康状态，不能把无线链路当作唯一记录。

• 采用优先级和服务质量机制，安全关键数据不能被大流量视频或非关键通道挤占。

• 事件触发前保留环形缓存，异常后冻结高频原始波形；正常阶段可保存统计量和降采样数据。

3.6 边缘计算与实时监视要求

分布式节点靠近传感器之后，边缘计算可以在数据离开节点前完成校准、补偿、滤波、特征提取和健康判断。真正有价值的边缘功能应满足低时延、确定性、可解释、可版本管理和可回放验证。

3.7 数据完整性、配置管理与安全证据

• 通道级元数据：传感器型号、序列号、量程、单位、安装位置、方向、校准日期和不确定度。

• 软件与配置：采集固件、边缘算法、参数、飞控版本、任务脚本和总线数据库版本均需可追溯。

• 数据完整性：记录丢样、重复、乱序、CRC、网络负载、存储健康和掉电恢复状态。

• 事件可复现：同一算法版本应能在地面回放相同原始数据并得到相同判定。

• 飞行后自动报告：同步质量、通道健康、数据缺口、事件清单、超限和配置差异。

3.8 可靠性、安全性与环境适应性

3.9 分阶段工程实施路线

3.10 核心需求汇总

4 边缘计算：如何在事故发生前介入

边缘计算的价值不是把云端算法搬上飞机，而是把“必须在几百毫秒到几秒内完成的安全判断”放在数据源附近运行。它可以独立于主飞控监视状态，即使不直接控制飞机，也能阻止试验开始、请求Abort、冻结数据并向地面提供清晰原因。

4.1 实例一：开环机动安全监视器

4.2 实例二：多电机推进不一致监控

eVTOL拥有多个电机、逆变器和桨叶。边缘节点可实时融合每个推进单元的指令、RPM、电流、电压和温度，计算左右或前后推进合力/力矩残差。

与简单阈值相比，关键是把推进异常与当前飞行动力学状态联系起来。相同的电机差异在悬停、转换飞行和高速前飞中的风险并不相同，边缘算法应按飞行阶段和模型有效域调度阈值。

4.3 实例三：动态恢复高度与Time-to-Impact

系统不应只比较“高度是否低于45 m”，而应估算：按当前滚转角、垂直速度、真空速、控制权交接延迟和执行器能力，完成模式切换与恢复至少需要多少高度。若预测恢复高度大于剩余离地高度，应在进入机动前拒绝，或在飞行中立即Abort。

4.4 实例四：安全证据记录器

正常状态只保存统计量和降采样数据；发现异常趋势后立即冻结环形缓存中的高频原始数据，并继续记录事件后窗口。事件包至少包含统一UTC/PTP时间、原始波形、飞控模式、软件/参数版本、校准状态、丢帧率、判据版本和每次安全动作的命令—反馈延迟。这样既控制存储量，又保留能解释因果顺序的证据。

5 建议的eVTOL机载测试系统架构

6 结论

SwitchMaster事故最有价值的地方，不是证明自动试飞危险，而是把未来机载测试系统的角色讲清楚：它必须把传感器数据转换为及时的状态判断，把安全命令转换为可验证的闭环反馈，并把整个过程转换为可信证据。对于eVTOL，边缘计算尤其适合承担四类任务：开环机动监视、多电机一致性判断、动态恢复裕度估计和事件证据冻结。其设计原则应是可解释、可验证、与主飞控适度独立，并始终让人工Override优先于试验数据质量。

参考资料

1.Filippoli, G. et al. (2026). Safety Considerations for a Distributed Electric Propulsion Aircraft: Lessons Learnt from an Automated Flight-Test Accident Involving a Research Demonstrator. Safety, 12(4), 96. https://doi.org/10.3390/safety12040096

2.Filippoli, G. et al. (2026). Flight Logs and Telemetry Data from an Automated Flight Test Accident Involving the SwitchMaster Distributed Electric Propulsion Research Demonstrator [Dataset]. Zenodo. https://doi.org/10.5281/zenodo.21441555