鄧康

(北京電子工程總體研究所， 北京 100854)

0 引言

為了適應(yīng)不同的惡劣使用環(huán)境，對(duì)導(dǎo)彈系統(tǒng)全壽命周期的可靠性提出了越來越高的要求。自從20世紀(jì)60年代初馮·諾依曼提出了系統(tǒng)若具有自動(dòng)修復(fù)和容忍故障的能力就能實(shí)現(xiàn)高可靠性的基本思想,冗余技術(shù)已取得了很大的發(fā)展和應(yīng)用,成為了提高導(dǎo)彈可靠性的重要設(shè)計(jì)手段。

“阿波羅-13”宇宙飛船正是采用了SINS 冗余系統(tǒng)才能脫離危險(xiǎn)平安返回地球[1]。我國載人航天工程使用的CZ-2F運(yùn)載火箭系統(tǒng)為確保遠(yuǎn)高于一般運(yùn)載火箭的高可靠性，采用了三余度的慣導(dǎo)系統(tǒng)等多種冗余技術(shù)手段[2]。國內(nèi)某型號(hào)發(fā)動(dòng)機(jī)點(diǎn)火系統(tǒng)由于初期未采取冗余設(shè)計(jì)措施，在地面對(duì)接時(shí)曾出現(xiàn)過因異常情況導(dǎo)致誤發(fā)點(diǎn)火信號(hào)的情況。

冗余技術(shù)的內(nèi)涵就是通過投入超過常規(guī)設(shè)計(jì)所需的外加資源,抵銷故障產(chǎn)生的后果,達(dá)到提高可靠性的目的[3]。采用的方法有硬件冗余、軟件冗余、功能冗余、信息冗余、時(shí)間冗余或幾種冗余方法的綜合運(yùn)用。常用的典型的硬件冗余結(jié)構(gòu)有:串聯(lián)式結(jié)構(gòu)、并聯(lián)式結(jié)構(gòu)、串并或并串式結(jié)構(gòu)、表決式冗余結(jié)構(gòu)、儲(chǔ)備式結(jié)構(gòu)等。

彈上點(diǎn)火系統(tǒng)是按照時(shí)序產(chǎn)生或執(zhí)行控制指令完成導(dǎo)彈助推器及彈上各動(dòng)力系統(tǒng)點(diǎn)火、執(zhí)行拋罩和級(jí)間分離控制等功能的系統(tǒng)，其安全性及可靠性直接影響導(dǎo)彈的整體性能，是關(guān)系到導(dǎo)彈飛行任務(wù)的成敗的關(guān)鍵系統(tǒng)。為實(shí)現(xiàn)要求的高可靠性與高安全性，盡量減少或消除單故障危險(xiǎn)點(diǎn)，采用冗余技術(shù)是非常必要的。采用冗余設(shè)計(jì)雖然增加系統(tǒng)的復(fù)雜性，但與因故障造成飛行失敗的損失相比是微不足道的。

容錯(cuò)技術(shù)是指系統(tǒng)在運(yùn)行時(shí)某些部件發(fā)生故障的情況下，系統(tǒng)仍能按原定性能指標(biāo)安全地完成任務(wù)的方法和技術(shù)[4]。冗余技術(shù)是實(shí)現(xiàn)容錯(cuò)的基礎(chǔ)，容錯(cuò)技術(shù)的實(shí)質(zhì)是通過資源的冗余設(shè)計(jì)來處理故障，從而提高系統(tǒng)的安全性和可靠性[5]。容錯(cuò)技術(shù)在許多領(lǐng)域得到了廣泛的應(yīng)用，現(xiàn)已成為提高彈上點(diǎn)火系統(tǒng)安全性和可靠性的重要手段之一。

1 冗余設(shè)計(jì)的原則

(1) 在單純提高元器件可靠性不滿足指標(biāo)要求時(shí)采用

提高一個(gè)系統(tǒng)的可靠性需要有多方面的設(shè)計(jì)措施，元器件是系統(tǒng)的基礎(chǔ)，首先必須選用高質(zhì)量等級(jí)的元器件。但是僅靠提高元器件的可靠性實(shí)現(xiàn)系統(tǒng)的高可靠水平，會(huì)給元器件造成難以克服的困難或需要要花費(fèi)高的代價(jià)[6]。在一定的可靠性水平的元器件基礎(chǔ)上，采用冗余技術(shù)是提高系統(tǒng)可靠性的有效設(shè)計(jì)措施。

(2) 冗余度要適度

冗余度指冗余與非冗余所用資源的比值[7]。很明顯,冗余度越高,飛行可靠性提高的幅度就越大,在仍能完成飛行任務(wù)所容許的故障數(shù)就越多,但需要的資源(硬軟件)代價(jià)也越大;冗余度要適度,不宜過高。冗余度要適度的原因除資源代價(jià)外,還有以下2個(gè)方面。

1) 理論上講是冗余度越高可靠性越高,但隨冗余度的增加提高的幅度越來越小,檢測和試驗(yàn)難度越大,投入效益比越小[8]。例如并聯(lián)冗余結(jié)構(gòu),單路的可靠性為0.9時(shí):

a)冗余度為2時(shí),可靠性為0.99,提高了10%,資源投入增加100%;

b)冗余度為3時(shí),可靠性為0.999,比冗余度為2時(shí)只提高了0.9%,資源投入增加50%。

冗余度再高其比值將更低。

2) 在目前的工業(yè)及技術(shù)水平和采取了其他可靠性設(shè)計(jì)和措施的情況下,單個(gè)儀器或裝置已具有較高的可靠性水平,不需要太高的冗余度就能把可靠度提高到滿足要求的指標(biāo)。另外,導(dǎo)彈飛行任務(wù)時(shí)間比較短,在短時(shí)間內(nèi)發(fā)生多個(gè)故障的可能性非常低，因而就分系統(tǒng)或單機(jī)級(jí)范圍,一般能有容許一度故障的冗余設(shè)計(jì)應(yīng)是適宜的。所謂容許一度故障就是發(fā)生一個(gè)故障時(shí)仍能實(shí)現(xiàn)其正常的功能。

(3) 采用無共因失效設(shè)計(jì)

共因失效是指某一處的失效會(huì)同時(shí)導(dǎo)致多個(gè)裝置失效的情況。使用相同的元器件或電路已經(jīng)成為提高可靠性常見的策略，冗余系統(tǒng)若不注意進(jìn)行無共因失效設(shè)計(jì), 就有可能當(dāng)某一電路或元件失效后使冗余的電路或裝置同時(shí)失效, 失去冗余作用。

共因失效因素與具體的電路密切相關(guān), 應(yīng)對(duì)具體電路作具體的分析, 采取措施消除共因失效源。

2 彈上點(diǎn)火系統(tǒng)中的冗余設(shè)計(jì)

彈上點(diǎn)火系統(tǒng)的功能是按要求的時(shí)序發(fā)出控制指令，依次引爆彈上各火工品負(fù)載。主要包括: 固體火箭發(fā)動(dòng)機(jī)的點(diǎn)火、彈上高壓氣瓶電爆管點(diǎn)爆、助推器分離、級(jí)間分離、整流罩分離、有效載荷分離等。彈上點(diǎn)火系統(tǒng)一般由點(diǎn)火時(shí)序控制電路、時(shí)間基準(zhǔn)輸入信號(hào)電路、控制指令接收電路、點(diǎn)火執(zhí)行電路及火工品負(fù)載幾部分組成。

冗余技術(shù)在彈上點(diǎn)火系統(tǒng)的應(yīng)用主要有硬件冗余、功能冗余、時(shí)間冗余等。

2.1 級(jí)間分離火工系統(tǒng)的冗余設(shè)計(jì)

硬件冗余設(shè)計(jì)是通過對(duì)重要部件及易發(fā)生故障部件提供備份，從而提高系統(tǒng)的容錯(cuò)性能。

靜態(tài)硬件冗余在導(dǎo)彈中應(yīng)用最為普遍，也最為成熟。方法是直接設(shè)置2個(gè)以上的單元執(zhí)行同一項(xiàng)任務(wù)，即采用2套火工系統(tǒng)，各自獨(dú)立完成規(guī)定的功能，實(shí)現(xiàn)雙路冗余[9]。由于導(dǎo)彈飛行任務(wù)時(shí)間短，不需要多度故障冗余，每個(gè)冗余結(jié)構(gòu)按一度故障冗余度設(shè)計(jì)。

某導(dǎo)彈級(jí)間分離火工系統(tǒng)采用了采用靜態(tài)硬件冗余方式，其冗余結(jié)構(gòu)為并聯(lián)結(jié)構(gòu)，如圖1所示。

圖1 級(jí)間分離系統(tǒng)冗余結(jié)構(gòu)示意圖Fig.1 Redundancy structure diagram of interstage separation system

為了保證分離裝置可靠起爆，在分離系統(tǒng)中采用兩個(gè)并聯(lián)的電起爆器接入起爆通路，當(dāng)接到控制系統(tǒng)傳來的分離點(diǎn)火控制信號(hào)時(shí)，電起爆器1 和2 同時(shí)起爆，每個(gè)電起爆器都各自獨(dú)立工作[10]，引爆相應(yīng)的傳爆組件( 分別如圖中實(shí)線和虛線所示。) ，然后進(jìn)一步引爆2個(gè)分離裝置。這套分離系統(tǒng)使用兩個(gè)電起爆器和兩套導(dǎo)爆索組件，即使有一處發(fā)生故障不能正常工作，另一個(gè)電起爆器和導(dǎo)爆索組件仍能保證分離裝置正常起爆，確保級(jí)間可靠分離。

2.2 點(diǎn)火時(shí)序控制電路的冗余設(shè)計(jì)

點(diǎn)火時(shí)序控制電路采用動(dòng)態(tài)硬件冗余方式。

如圖2所示，某型導(dǎo)彈電氣控制裝置的點(diǎn)火時(shí)序控制電路采用雙CPU熱備份的冗余結(jié)構(gòu)方案。

圖2 主、備份單片機(jī)冗余結(jié)構(gòu)示意圖Fig.2 Redundancy structure diagram of main and spare singelchip

正常情況下，彈上點(diǎn)火時(shí)序由主單片機(jī)控制，當(dāng)起始信號(hào)輸入后，主單片機(jī)按時(shí)序產(chǎn)生點(diǎn)火控制信號(hào)，經(jīng)驅(qū)動(dòng)器驅(qū)動(dòng)放大后，驅(qū)動(dòng)點(diǎn)火執(zhí)行繼電器完成點(diǎn)火。同步地，備份單片機(jī)也進(jìn)行同樣的工作，只是沒有接入控制回路中。當(dāng)故障判別電路判斷出主單片機(jī)出現(xiàn)故障時(shí)，立即切換至備份單片機(jī)執(zhí)行控制任務(wù)。

硬件冗余設(shè)計(jì)是通過多個(gè)相同部件完成同一功能，在提高系統(tǒng)安全性和可靠性的同時(shí)，也存在一些不足，如增加了彈上點(diǎn)火系統(tǒng)的成本、結(jié)構(gòu)、質(zhì)量和所需空間[11];由于導(dǎo)彈內(nèi)狹小的空間、復(fù)雜的系統(tǒng)，使硬件冗余技術(shù)的應(yīng)用受到限制;隨著彈上設(shè)備小型化的發(fā)展趨勢(shì)，對(duì)大型復(fù)雜點(diǎn)火系統(tǒng)全部采用硬件冗余設(shè)計(jì)是不可能的[12]，只能由設(shè)計(jì)師權(quán)衡利弊，在確保點(diǎn)火的可靠性、安全性與系統(tǒng)的尺寸、重量之間尋找平衡點(diǎn)。

2.3 時(shí)間基準(zhǔn)輸入信號(hào)電路的冗余設(shè)計(jì)

功能冗余是利用系統(tǒng)中部件在功能上的冗余設(shè)計(jì)，通過合理構(gòu)建控制方式，以實(shí)現(xiàn)故障容錯(cuò)控制[13]。

時(shí)間基準(zhǔn)輸入信號(hào)電路采用功能冗余方式。

某型防空導(dǎo)彈采用垂直冷彈射的發(fā)射方式，導(dǎo)彈從發(fā)射筒中由燃?xì)馔瞥龊?，由點(diǎn)火控制電路按嚴(yán)格時(shí)序?qū)ζ涔腆w火箭發(fā)動(dòng)機(jī)在空中實(shí)施點(diǎn)火。如果此時(shí)發(fā)動(dòng)機(jī)沒有成功點(diǎn)火，導(dǎo)彈回落后，可能會(huì)砸壞地面設(shè)備，引起爆炸，彈上的動(dòng)力系統(tǒng)液體液體推進(jìn)劑可能會(huì)泄露，造成人員傷害。因此首先必須確保導(dǎo)彈在空中點(diǎn)火的時(shí)序基準(zhǔn)的可靠性。在實(shí)際設(shè)計(jì)中，時(shí)間基準(zhǔn)輸入信號(hào)電路采用兩種不同形式輸入的并聯(lián)結(jié)構(gòu)，如圖3所示。

圖3 點(diǎn)火時(shí)序控制電路輸入信號(hào)冗余結(jié)構(gòu)框圖Fig.3 Redundancy structure block diagram of input signal for ignition sequential control circuit

發(fā)動(dòng)機(jī)點(diǎn)火的原理是電氣控制裝置內(nèi)部的點(diǎn)火時(shí)序控制電路在接收到輸入觸發(fā)信號(hào)后，按照設(shè)定的時(shí)序?qū)Πl(fā)動(dòng)機(jī)點(diǎn)火裝置進(jìn)行點(diǎn)火[14]。觸發(fā)信號(hào)有2種不同的方式：第1種方式是脫落信號(hào)，是指當(dāng)導(dǎo)彈起飛時(shí)，脫落插頭脫落瞬間產(chǎn)生的開關(guān)量信號(hào)；第2種方式是過載動(dòng)作信號(hào)，是指當(dāng)導(dǎo)彈從發(fā)射筒中彈射后產(chǎn)生的過載使彈載的過載開關(guān)動(dòng)作而產(chǎn)生的信號(hào)。上述兩者任一種都可以作為電氣控制裝置執(zhí)行對(duì)發(fā)動(dòng)機(jī)點(diǎn)火裝置點(diǎn)火時(shí)序控制電路的輸入條件，如果其中一路出現(xiàn)故障，點(diǎn)火信號(hào)依然可以到達(dá)發(fā)動(dòng)機(jī)點(diǎn)火裝置，使發(fā)動(dòng)機(jī)可靠點(diǎn)火。

由于2種輸入信號(hào)產(chǎn)生的來源不同，可以有效地避免因相同的故障原因?qū)е鲁霈F(xiàn)共因失效的風(fēng)險(xiǎn)。

2.4 控制指令接收電路的冗余設(shè)計(jì)

時(shí)間冗余是通過附加執(zhí)行時(shí)間來診斷系統(tǒng)是否發(fā)生永久性故障, 并排除瞬時(shí)故障的影響[15]。

控制指令接收電路采用時(shí)間冗余方式。

導(dǎo)彈的級(jí)間分離時(shí)導(dǎo)彈飛行過程中的關(guān)鍵動(dòng)作之一。其具體過程為當(dāng)電氣控制裝置收到彈上機(jī)發(fā)出的級(jí)間分離控制指令后，執(zhí)行分離裝置點(diǎn)火，助推級(jí)與導(dǎo)彈前半段分離。在現(xiàn)代戰(zhàn)爭中，導(dǎo)彈所處的電磁環(huán)境空前復(fù)雜，如果因?yàn)槭艿诫姶鸥蓴_導(dǎo)致非正常級(jí)間分離，將導(dǎo)致整個(gè)任務(wù)失敗。因此，某型號(hào)導(dǎo)彈在確認(rèn)分離控制信號(hào)的有效性上采用了時(shí)間冗余的方式。判斷信號(hào)有效具體過程如下：單片機(jī)間隔0.25 ms采集信號(hào)電平，若連續(xù)4次采集到低電平，則認(rèn)為信號(hào)的下降沿有效，否則繼續(xù)采集信號(hào)電平。確認(rèn)信號(hào)下降沿有效后開始連續(xù)采集50 ms信號(hào)電平，間隔0.25 ms，共200次。然后開始判斷，若采集到的低電平次數(shù)≥160次，則判定為有效信號(hào)；若采集到的低電平次數(shù)<160次，則繼續(xù)采集信號(hào)電平，此時(shí)，采集一次，判斷一次，若采集到的低電平次數(shù)≥160次，則判定為有效信號(hào)；若65 ms內(nèi)始終收不到有效信號(hào)，則不再進(jìn)行判斷，只繼續(xù)采集信號(hào)電平。連續(xù)多次判斷信號(hào)電平可以有效地避免因電磁干擾造成的誤點(diǎn)火，確保點(diǎn)火的準(zhǔn)確性與可靠性。

3 結(jié)束語

冗余技術(shù)在導(dǎo)彈彈上點(diǎn)火系統(tǒng)中發(fā)揮著重要的作用。在某彈上點(diǎn)火系統(tǒng)的實(shí)際應(yīng)用中，有無冗余設(shè)計(jì)的對(duì)比情況如下：級(jí)間分離火工系統(tǒng)的可靠性由0.998 2提升至0.999 97，時(shí)序控制電路的可靠性由0.990提升至0.999 8，在采用了硬件冗余、功能冗余、時(shí)間冗余等多種冗余方式后，彈上點(diǎn)火系統(tǒng)的整體點(diǎn)火可靠性由0.987提升至0.999 4，效果是明顯的，滿足了總體的要求。

隨著導(dǎo)彈向高可靠性、長壽命的方向快速發(fā)展，合理設(shè)計(jì)冗余結(jié)構(gòu)，確定系統(tǒng)可信的冗余度;完善的冗余可檢測設(shè)計(jì);進(jìn)行全面的無共因失效設(shè)計(jì),不斷提高系統(tǒng)的安全性、可靠性,這些都是彈上點(diǎn)火系統(tǒng)容錯(cuò)設(shè)計(jì)技術(shù)的發(fā)展方向。

[1] 顏華，陳家斌，劉星橋.冗余技術(shù)提高慣性導(dǎo)航系統(tǒng)可靠性的應(yīng)用[J].中國慣性技術(shù)學(xué)報(bào),2003,11(3):68-72.

YAN Hua,CHEN Jia-bin,LIU Xing-qiao.Application of Redundancy Technology in Inertial Navigation Systems[J].Journal of Chinese Inertial Technology，2003,11(3):68-72.

[2] 孫凝生，冗余技術(shù)在載人運(yùn)載火箭飛行控制中的應(yīng)用[J].載人航天，2003,15(4):21-27.

SUN Ning-sheng, The Redundancy Technique for Guidance and Control System of Manned Launch Vehicle[J].Manned Spaceflight, 2003,15(4):21-27.

[3] 梁思禮． 容錯(cuò)技術(shù)在航天領(lǐng)域的應(yīng)用[J]．系統(tǒng)工程與電子技術(shù)，1993,15(12):59-61.

LIANG Si-li. The Application of Fault-Tolerant Technique in Aerospace [J]. Systems Engineering and Electronics,1993,15(12):59-61.

[4] 溫鵬，陳傳波． GTR在火箭點(diǎn)火控制系統(tǒng)中的應(yīng)用[J]．系統(tǒng)工程與電子技術(shù)，1993,15(12):70-76.

WEN Peng ,CHEN Chuan-bo. The Application of GTR in Rocket Firing Control System [J]. Systems Engineering and Electronics,1993,15(12): 70-76.

[5] 寧新建． 容錯(cuò)技術(shù)在火控計(jì)算機(jī)中的應(yīng)用[J]．航空兵器，2005,37(1) :36-39.

NING Xin-jian .Application of Fault-Tolerant Technique in Aerial Fire Control Computer[J]. Aero Weaponry ,2005,37(1):36-39.

[6] 馬吉亭，李運(yùn)來． 新型的固體導(dǎo)彈分離火工系統(tǒng)[J]． 火工品，2002,48(1):8-11.

MA Ji-ting,LI Yun-lai. A New Type of Initiating Explosive Separation System of Solid Missile[J].Initiators & Pyrotechnics, 2002,48(1):8-11.

[7] 胡昌華，許化龍． 控制系統(tǒng)故障診斷與容錯(cuò)控制的分析和設(shè)計(jì)[M]．北京: 國防工業(yè)出版社，2000.

HU Chang-hua,XU Hua-long.Fault Analysis and Design of Diagnosis and Fault-Tolerant Control for Control System[M]. Beijing: Defense Industry Publishing House，2000.

[8] 高濱．航天火工技術(shù)的現(xiàn)狀和發(fā)展[J].航天返回與遙感，1999，20(3):63-67.

GAO Bin.The Curvent Situation and Development of Space Pyrotechnics Devices[J]. Spacecraft Recovery & Remote Sensing. 1999，20(3):63-67.

[9] 徐衍海，惠蕾． 火工系統(tǒng)新技術(shù)的發(fā)展動(dòng)向[J]．火工品，2002,48(1):37-41.

XU Yan-hai, HUI Lei. Development Trend of the System of Initiating Explosive Device[J]. Initiators & Pyrotechnics, 2002,48(1):37-41.

[10] 馮國田，孟憲珍． 火工系統(tǒng)產(chǎn)品技術(shù)及其藥劑發(fā)展[J]． 火工品，1999,34(4):34-37.

FENG Guo-tian, MENG Xian-zhen .Development of the Technology and Loading Materials for Initiating Explosive Device[J]. Initiators & Pyrotechnics, 1999,34(4):34-37.

[11] 程卓，遇今，郭涇平，等． 航天器共因失效分析與預(yù)防初探[J]．航天器工程，2010，19(6):34-37.

CHENG Zhuo, YU Jin,GUO Jing-ping,et al. Primary Study on Spacecraft Common Cause Failure and Preventive Actions[J].Spacecraft Engineering. 2010，19(6):34-37.

[12] 史洪亮，楊登仿，譚勇,等.新型安全的點(diǎn)火控制系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)[J]. 計(jì)算機(jī)測量與控制, 2006,14(10):1343-1345.

SHI Hong-liang,YANG Deng-fang,TAN Yong,et al.Design and Realization of New Safe Ignition Control System[J].Computer Measurement & Control, 2006,14(10):1343-1345.

[13] 李靜海.艦載導(dǎo)彈火工品點(diǎn)火電路安全技術(shù)研究[J].國防技術(shù)基礎(chǔ) ,2008,37(2):43-47.

LI Jing-hai.Research of Safety for Ignition Circuit of Initiating Explosive Device on Shipborne Missile[J]. Technology Foundation of National Defence,2008,37(2):43-47.

[14] 張勝利，劉保賦，倪冬冬.機(jī)載導(dǎo)彈武器系統(tǒng)的安全性設(shè)計(jì)[J]. 彈箭與制導(dǎo)學(xué)報(bào),2005,25(3):4-7.

ZHANG Sheng-li,LIU Bao-fu,NI Dong-dong.Safety Design of Airborne Missile Weapon System[J]. Journal of Projectides,Rochets,Missiles and Guidance, 2005,25(3):4-7.

[15] 常虹，劉大柱． 控制系統(tǒng)中的容錯(cuò)技術(shù)[J]．電力情報(bào)，2002,63(6):52-55.

CHANG Hong, LIU Da-zhu. Fault-Tolerant Technique in Control Systems[J]. Electric Power Science and Engineering, 2002,63(6):52-55.