徐淑華 崔 宇 宋征宇

北京航天自動控制研究所，北京 100854

某運載火箭推進劑利用系統(tǒng)設計采用了三冗余控制方案。在火箭靶場測試過程中，進行利用系統(tǒng)冗余測試項目時，出現(xiàn)未采集到液位信號的問題。本文針對這一故障現(xiàn)象，進行故障查找、機理分析和試驗復現(xiàn)，并提出改進方案，對系統(tǒng)設計進行了改進，徹底解決了三冗余狀態(tài)下液位信號采集可能出現(xiàn)的小概率問題，提高了系統(tǒng)設計可靠性。

1 問題描述

推進劑利用系統(tǒng)為三冗余控制，當有一路輸出故障時，可以保證系統(tǒng)正常輸出。在進行系統(tǒng)冗余測試時，模擬CPU2故障，CPU1，CPU3工作時，CPU1，CPU3采集的燃燒劑21點液位信號時間不一致，2個CPU采集的液位信號時間相差16.8ms，而按照系統(tǒng)設計，正常情況下各CPU采樣時間最多相差2.5ms，說明采樣異常。

對2個液位信號時間進行復核，CPU1采集的燃燒劑21點液位信號時間為正常接收的模擬液位信號，CPU3采集的燃燒劑21點液位信號時間，經過計算分析，確認為系統(tǒng)裝訂的燃燒劑21點理論時間，不是采樣時間，說明CPU3的21點液位信號采樣故障，沒有正常確認。

2 故障分析

2.1 推進劑利用系統(tǒng)及液位采樣工作原理

推進劑利用系統(tǒng)是調節(jié)火箭飛行中液體發(fā)動機推進劑組元比以保證燃燒劑和氧化劑貯箱中二組元同時耗盡的控制系統(tǒng)，它可以有效減少推進劑加注安全余量，提高火箭有效載荷能力。推進劑利用系統(tǒng)由感受2個貯箱推進劑組元質量的敏感元件、計算貯箱中推進劑貯量比與控制量進行比較給出輸出調節(jié)量的計算機和調節(jié)發(fā)動機工作組元比的執(zhí)行機構組成，屬于閉環(huán)組元比調節(jié)系統(tǒng)。

火箭飛行過程中，推進劑利用系統(tǒng)的計算機采樣貯箱內敏感元件狀態(tài)，進行液位點采樣確認。利用系統(tǒng)地面進行模飛測試時，由地面液位模擬信號源按給定時間模擬給出氧化劑和燃燒劑二組元的液位接點信號。氧化劑和燃燒劑各有41個液位接點，在電氣連接上按6×7矩陣排列。模飛中，運行在利用系統(tǒng)計算機3個CPU中的飛行軟件輸出行信號，3個CPU的行信號通過三取二輸出，當液位模擬信號源接通某個液位點信號時，行列矩陣中對應該點的繼電器觸點閉合，行輸出通過閉合觸點送到計算機的列輸入端，供3個CPU中的飛行軟件采集，軟件在連續(xù)采樣到一定時間后，確認此液位點信號有效。液位采樣原理圖如圖1所示。

2.2 三冗余控制工作狀態(tài)分析

推進劑利用系統(tǒng)采用三冗余控制方案，三CPU獨立工作，輸出三取二有效。針對三冗余同步問題，系統(tǒng)設計采用了冗余時鐘同步方案，以最大限度減少不同步現(xiàn)象的發(fā)生。但從原理上分析，仍會有采樣相差一個周期的不同步現(xiàn)象存在，此現(xiàn)象對系統(tǒng)的輸出沒有影響。

對三冗余控制方案可能出現(xiàn)的系統(tǒng)工作狀態(tài)進行梳理，情況如表1。

表1 三冗余控制工作狀態(tài)表

由表1可以看出，在CPU采樣不同步現(xiàn)象發(fā)生時，不同步的CPU間采樣時間相差2.5ms，對CPU的液位點確認和調節(jié)輸出沒有影響。而上述21點液位信號采集出現(xiàn)的故障現(xiàn)象，CPU液位點未正常確認，與系統(tǒng)設計預期不符，需進一步查找原因。

測試時液位信號使用的是地面模擬信號，從圖1可以看出，三路CPU采樣的模擬液位信號同源，CPU1正確采樣液位信號，說明模擬液位信號正常。同時控制器CPU硬件電路，包括行輸出、列輸入和三取二輸出電路，均有多點共用，與CPU3的21點共用硬件電路的其余點采樣均正常，說明硬件電路正常。通過初步分析，是系統(tǒng)軟件確認采樣信號問題。

2.3 軟件對液位信號的采樣和確認

飛行軟件采集第i點氧化劑(或燃燒劑)液位信號時，先通過控制并口輸出i點所在行的行信號，之后讀取i點所在列的列信號，如果讀到的列信號有效，則認為此次采集到第i點信號。連續(xù)采集到40個周期(1個周期2.5ms)，對此點信號進行確認。

飛行軟件在1個周期內依次完成氧化劑第i點液位信號采樣及判別、燃燒劑第i點液位信號采樣及判別、氧化劑第i+1點液位信號采樣、燃燒劑第i+1點液位信號采樣。處理流程如圖2(a)所示，其中調用到2個子程序單元，信號采樣單元流程見圖2(b)，列信號判別單元流程見圖2(c)。

圖2 軟件采集液位信號流程圖

由于軟件對液位信號的采樣為查詢方式，液位信號到達時刻與每周期查詢點的時間先后關系不確定，且不同的CPU由于晶振差異，每周期內語句執(zhí)行的速度不同，造成對于1個同源的列輸入信號，不同CPU的采樣結果會存在1個周期的差異，如圖3中第1個2.5ms周期所示。

圖3中的第1個周期， CPU1,CPU3燃燒劑21點采樣不同步，CPU1比CPU3提前1個周期(2.5ms)采到液位信號，因此CPU1連續(xù)采樣到40個周期確認液位信號時，CPU3只采樣到39個周期，仍需1個周期才能確認該信號；但從下一周期起，CPU1不再輸出第3行，而切換到輸出下一行，由于行信號是通過三取二輸出的，即至少有2個CPU輸出同一行，行信號才能有效輸出，所以CPU3由于沒有有效的第3行輸出而無法采到燃燒劑21點的列信號，致使CPU3始終無法確認該點信號，此狀態(tài)一直持續(xù)到燃燒劑21點采樣窗口后沿結束后，最終導致CPU3將燃燒劑21點判為故障，而用21點理論裝訂值代替。

圖3 軟件采樣時序周期圖

通過上述軟件采樣時序的分析得出，軟件在冗余狀態(tài)下采樣不同步時，造成采樣時間相差一個周期, 會產生晚采樣1個周期的CPU無法確認液位信號的現(xiàn)象。出現(xiàn)液位信號不能確認的原因需要同時具備下面2個條件：

1)不同CPU查詢到液位信號的時刻不同，最后查到信號的CPU就會出現(xiàn)采不到信號的現(xiàn)象。如圖3中CPU3比CPU1晚1個周期采到液位信號；

2)對行末點信號采樣。圖3描述的是對燃燒劑第21點(即第3行最末點)的采樣時序情況。而非行末點時，采樣下一點不需要切換行輸出，行信號始終有效。

2.4 故障復現(xiàn)試驗

針對上述機理分析，系統(tǒng)進行了故障復現(xiàn)試驗。由于在系統(tǒng)狀態(tài)下，不同步現(xiàn)象發(fā)生的概率很小，發(fā)生不同步而且又在行末點就更難復現(xiàn)，因此采用給2個CPU裝訂不同版本飛行軟件的方法，模擬出2個CPU采集到液位信號時間的不同步現(xiàn)象，在軟件測試臺上進行了復現(xiàn)試驗。方法是：CPU1裝訂的飛行軟件將液位信號確認的周期改為39，CPU3裝訂的飛行軟件液位信號確認的周期為40，使得CPU1比CPU3提前1個周期確認液位，模擬CPU1與CPU3采樣不同步。模擬測試結果與分析結果相同，在每行行末點均會出現(xiàn)CPU3不能正確確認液位信號，使用裝訂理論值代替的現(xiàn)象。針對CPU2,CPU3和CPU1,CPU2工作時的冗余測試，也進行了同樣的模擬試驗，測試結果均與分析結果相同。通過試驗證明，在冗余測試時，每行末點采樣不同步的情況下，會出現(xiàn)晚到的CPU采不到液位點信號的問題。

3 解決方案與改進設計

通過上述分析與試驗，故障定位在冗余測試狀態(tài)下，采樣不同步時，會造成在行末點晚采到液位信號的CPU無法確認液位信號，而將液位信號錯認為故障，原因是晚采的CPU在最后一次采樣時沒有有效的行信號輸出?；诖斯收显?，系統(tǒng)改進行末點換行方法，采用基于周期延時的換行策略，即采樣確認后，行信號在本周期輸出不斷開，而是延時幾個周期后再斷開。在保證不影響下一行第1點采樣的情況下，確保CPU采樣不同步時，各CPU均可正常進行液位信號的確認。

進一步分析，此問題在三CPU測試狀態(tài)下也會產生。當在行末點采樣出現(xiàn)不同步，且有1個CPU晚時，晚采樣的CPU無法確認行末點液位信號。采用上述改進的換行策略后，此類問題均可解決。

飛行軟件進行相應更改后，通過軟件測試平臺對更改進行了多次驗證，測試結果均正常。

4 結束語

本文對推進劑利用系統(tǒng)三冗余控制狀態(tài)下的液位采樣問題進行了分析，通過研究采樣原理和軟件流程，對故障進行了定位，并完成復現(xiàn)試驗，證明了采樣液位信號的行末點換行方式是造成問題的原因。對行末點換行方法進行改進，采用了基于周期延時的行末點換行策略，并針對此要求對飛行軟件進行了相應更改。徹底解決了此種三冗余控制狀態(tài)下不同步現(xiàn)象帶來的液位信號采樣故障問題。后續(xù)大量試驗證明了更改方案的正確性。

[1] 孫凝生.冗余設計技術在運載火箭飛行控制系統(tǒng)中的應用[J].航天控制，2003，21(1):65-81.(SUN Ningsheng.The Redundancy Designs for Guidance and Control System of Launch Vehicle[J].Aerospace Control,2003，21(1):65-81.)