本文详细探讨了eVTOL（电动垂直起降飞行器）在空地链路丢失（LostLink）状态下的应急控制逻辑。与智能汽车的网络中断不同，eVTOL的链路丢失属于灾难性事件，需要严格的适航审定标准（DO-178C DALA级）。系统通过多级触发机制（基于时延和丢包率）判定链路状态，并采用动态能量耦合的自主返航策略，结合剩余能量与风场扰动计算最优路径。末端降落阶段通过3D实时占用栅格和语义分割技术评估降落区域安全性，确保无地面干预下的自主避障与着陆。关键设计包括预设航线管道化、非相似余度监控和紧急广播机制，以满足航空级确定性要求，实现从通信中断到安全降落的全程自主决策。
11.3 空地链路丢失（Lost Link）时的紧急自主返航与避障降落控制逻辑
在智能汽车的运行逻辑中，网络信号丢失（如地面 5G 盲区、远程桌面断开）通常属于非致命故障。车辆可通过车载感知系统维持当前的 L2/L3 级车道线保持或自主靠边停靠，其底层核心假设是“地面有充足的摩擦力与静态物理支撑”。
然而，对于在城市低空运行的 eVTOL 而言，指挥与控制链路（C2 Link / CNPC）的丢失意味着地面操作员（Remote Pilot）或城市空中交通管理系统（UTM）对航空器瞬间失去了控制权与态势感知。
依据 EASA SC-Light-eVTOL 与 CAAC 的适航审定要求，eVTOL 系统必须具备在全自主状态下处理“链路丢失（Lost Link）”这一高风险灾难性事件的确定性控制逻辑。本节将深度解构高确定性的空地链路丢失应急响应机制、能量耦合的返航规划以及末端自主降落决策算法。
11.3.1 链路丢失的适航界定与多级触发机制
适航审定（ARP4754B）要求对链路状态进行量化分级，严禁因偶发性的无线电多径衰落或瞬时突发干扰（Jitter）而频繁触发灾难性的自主降落逻辑。系统必须建立一套基于时延与丢包率的多级容错触发状态机。
[正常通信状态] │ ▼ (心跳丢失/数据包降级 > t_1) [链路异常状态 (Transient Loss)] ──→ (恢复正常) ──→ 恢复原航线 │ ▼ (持续丢失时间 > t_2) [确认为链路丢失 (Lost Link State)] ──→ 立即激活 DAL A 级自主飞行程序在工程实践中，通常通过联合监控控制链路的信号强度（RSSI）、误码率（BER）以及脉冲心跳（Heartbeat Timeout）来判定链路状态。其触发判定数学公式如下：
若链路连续丢失时间t满足：
系统进入暂态丢失状态（Transient Loss）。此时飞行器保持当前姿态悬停（Hover）或维持原航线前行，同时高频尝试链路重连。
若满足：
系统不可逆地切入确认为链路丢失状态（Confirmed Lost Link）。此时，机载飞控系统（FCC）接管绝对控制权，并在完全断开外部实时遥控输入的情况下，执行预设的确定性应急程序。
11.3.2 动态能量耦合的自主返航（RTH）策略
一旦确认为 Lost Link 状态，系统严禁盲目执行“原路返回”动作。机载核心飞控必须实时解算当前的剩余可用能量（Residual Energy）与风场扰动下的气动功耗，在三维空间中寻找最优解。
机载能量闭环评估模型需满足以下确定性不等式约束：
决策树分流逻辑：
策略 A：继续飞往目的地（Proceed to Destination）。若航空器已越过航线中段的无法返航点（Point of No Return, PNR），且计算表明前往目的地的能量余量更为充沛，系统应固化原定航线并自主着陆。
策略 B：原航线返航（Return to Base）。若尚未越过 PNR 点，系统依循预设的空中安全走廊（Corridor）自主逆向返航。
策略 C：就近应急迫降（Divert to Alternate）。若遭遇严重的顺逆风风向突变，解算显示 $E_{\text{rem}}$ 无法支撑上述两项，系统必须从机载高精地图中提取最近的紧急备降点（Emergency Landing Sites）或物流开阔地。
11.3.3 末端自主避障与降落场区域安全评级
在 Lost Link 的最后阶段，eVTOL 进入无人引导的盲降状态。区别于传统民航客机依赖地面 ILS（仪表着陆系统）或多目 GCA 雷达，机载感知系统（第 10 章所述的 4D 毫米波雷达、激光雷达与机载全景视觉）必须联合激活3D 实时占用栅格地图（3D Occupancy Grid Mapping）算法，进行极其严苛的降落区域动态评估。
[传感器数据融合输入 (LiDAR/Vision/Radar)] │ ▼ [3D 实时占用栅格与点云畸变矫正] │ ▼ [降落区域特性定量解算与剔除] ┌────────────────┴────────────────┐ ▼ ▼ [几何拓扑特征评估] [动态语义特征评估] - 坡度/平整度解算 - 提取移动物体 (人/车/杂物) - 障碍物高度边缘提取 - 评估侵入风险 └────────────────┬────────────────┘ │ ▼ [计算降落置信度度量 (Confidence Metric)] │ ▼ [确定最终降落位点 / 执行 EMA 触地着陆]1. 几何拓扑特征评估（Geometric Evaluation）
利用机载下视激光雷达（LiDAR）瞬时射出的点云，实时计算拟降落平面内的法向量共面性（Coplanarity）与局部粗糙度。
坡度约束：降落坡度必须满足 $\theta \le 5^{\circ}$，否则可能导致 eVTOL 触地时多旋翼倾覆。
高度净空：降落点周围 1.5 倍翼展范围内，不得存在高度超过 $0.3\text{ 米}$ 的突起静态障碍物（如电线杆、无组织护栏）。
2. 动态语义特征评估（Dynamic Semantic Evaluation）
下视红外与可见光相机通过深度学习安全外壳（Safety Fence），对栅格区域实施实时语义分割（Semantic Segmentation）：
绝对排他区（Keep-Out Zones）：画面中若识别出移动目标（如行人、正在行驶的车辆、宠物、或密集的非合作无人机群），对应栅格的风险权重瞬间提升至无穷大，直接剔除该降落位点。
3. 置信度决策度量
系统在悬停倒计时（由剩余能量决定）终止前，必须在候选区域内计算出最优降落位点：
确定安全系数最高的坐标后，飞控系统控制线控机电作动器（EMA）转入下降段，并激活触地检测传感器（Touchdown Sensors）。
11.3.4 符合 DO-178C DAL A 级标准的确定性防错设计
在传统的智能汽车 ADAS 算法中，路径规划经常使用基于概率采样的算法（如 RRT*、PRM）。这类算法虽然效率高，但在航空适航审定中具有致命缺陷：非确定性（Non-deterministic）。即相同的输入在不同批次的运算中可能给出不同的返航路径。这在 DO-178C 软件过程审定中是绝对不被接受的。
为了确保 Lost Link 紧急控制软件能够通过最高等级的DAL A（灾难级）审定，逻辑架构设计必须遵循以下准则：
预设航线管道化（Corridor-based Routing）：自主返航不进行现场随机全局路径重构，而是必须在出厂或起飞前，将由民航局和 UTM 审批通过的“断网应急管道（Fallback Airways）”以二进制静态表格形式固化在机载非易失性存储器（NVRAM）中。算法仅在预设的确定性管道内进行局部的微调与避障。
非相似余度监控（Dissimilar Redundancy）：负责计算能量与路径规划的复杂软件运行于多核高性能算力平台上；与此同时，一个遵循极简、无循环、完全基于规则（Rule-based）硬编码的备份控制软件（Backup SW）运行于高度隔离的微控制器（MCU）中。一旦主平台遭遇死机或计算超时，备份 MCU 将直接忽略所有传感器精细避障逻辑，强制驱动 eVTOL 寻找最近的静态地理围栏（Geo-fencing）已知安全点执行紧急迫降。
二次转发协同（UTM Secondary Broadcast）：在确认链路丢失的瞬间，eVTOL 的 ADS-B In/Out 应答机与独立于主控制链路的广播式二次雷达自动向全空域广播“7700 紧急电码（Emergency Code）”与自主返航轨迹预测数据。这使得周围的合作航空器与局方地面监视网能够主动规避这架处于“失联盲飞”状态的 eVTOL，将空中碰撞风险从源头切断。
💡 本节核心总结
汽车思维局限：断网仅属车载娱乐或部分远程调度受阻，行车安全性由本地硬件和传感器强维持。
适航升维重构：空地断网构成三维空间的重大突发险情。系统必须依靠固化于存储器内的管道化确定性路径、严密闭环的电池能量积分模型，以及由激光雷达与红外视觉动态耦合的 DAL A 级末端自主避障降落逻辑，完成全流程无地面人工干预的“自救”。
本节内容深入剖析了空地链路丢失时的应急控制策略，至此，关于智能汽车无线通信系统向航空级 CNPC 链路的升维映射已讲解完毕。
