王 裙，吳培亞，陳志華，周中澤，李光旭

北京控制工程研究所,北京 100190

0 引 言

隨著航天器控制系統(tǒng)故障診斷和容錯(cuò)技術(shù)的不斷發(fā)展，針對(duì)各敏感器和執(zhí)行機(jī)構(gòu)的已知故障、未知故障，基于解析模型、知識(shí)驅(qū)動(dòng)、數(shù)據(jù)驅(qū)動(dòng)等的故障診斷與處理算法在不斷更新[1-4]，算法數(shù)量在增加.故障診斷算法數(shù)量的增加，能更好地為控制系統(tǒng)保駕護(hù)航的同時(shí)，也帶來了多種故障診斷交叉耦合觸發(fā)的情況，導(dǎo)致故障診斷和處理變得復(fù)雜.

推力器是航天器控制系統(tǒng)重要的執(zhí)行機(jī)構(gòu)，是保證航天器正常工作的關(guān)鍵部件，一般在硬件上采用冗余備份[5]設(shè)計(jì)來保證系統(tǒng)的可靠性.推力器有兩類常見故障：推力損失和推進(jìn)劑泄漏，故障處理均為切換到備份[5].使用故障的推力器會(huì)對(duì)航天器的穩(wěn)定運(yùn)行、安全和壽命造成嚴(yán)重后果[6-8].

本文以控制系統(tǒng)故障診斷與處理中的推力器切換為研究對(duì)象，分析了多種故障交叉耦合觸發(fā)和處理可能導(dǎo)致的推力器切換錯(cuò)誤甚至航天器失控的情況，并提出了一種軟件互斥設(shè)計(jì)方法，能有效解決故障交叉耦合觸發(fā)的互斥處理問題，為后續(xù)航天器故障診斷與處理設(shè)計(jì)提供參考.

1 故障診斷與處理簡介

1.1 故障診斷類型與處理原則

控制系統(tǒng)中故障分為兩大類：部件級(jí)故障、系統(tǒng)級(jí)故障.部件級(jí)故障是指能夠快速將故障定位到明確部件的故障模式，包含敏感器和執(zhí)行機(jī)構(gòu)的故障情況.部件級(jí)故障通常是通過部件自身狀態(tài)異?；驇追N不同類型部件之間多方比對(duì)診斷出來.系統(tǒng)級(jí)故障是指系統(tǒng)指標(biāo)出現(xiàn)超差或系統(tǒng)出現(xiàn)無法準(zhǔn)確定位到明確部件的故障.系統(tǒng)級(jí)故障中的系統(tǒng)指標(biāo)一般為航天器姿態(tài)、角速度、噴氣量等，在惡劣情況下，多種系統(tǒng)級(jí)故障類型會(huì)交叉觸發(fā).系統(tǒng)級(jí)故障檢測保證在部件診斷出現(xiàn)漏診或者誤診情況下的系統(tǒng)安全.

故障處理原則為切換當(dāng)前的敏感器或執(zhí)行機(jī)構(gòu)，分為主備份部件之間切換、高精度向低精度部件切換，即盡量切除當(dāng)前使用的部件，進(jìn)行統(tǒng)一的系統(tǒng)異構(gòu).例如，推力器本身故障造成的故障處理為推力器由主份切換為備份.以姿態(tài)角或角速度為系統(tǒng)指標(biāo)的系統(tǒng)級(jí)故障處理，如果當(dāng)前處于動(dòng)量輪作為執(zhí)行機(jī)構(gòu)的控制模式運(yùn)行，則切換為使用推力器作為執(zhí)行機(jī)構(gòu)的控制模式運(yùn)行；如果當(dāng)前處于推力器作為執(zhí)行機(jī)構(gòu)的控制模式運(yùn)行，則推力器由主份切換為備份.以噴氣量為系統(tǒng)指標(biāo)的系統(tǒng)級(jí)故障處理，如果推力器切換過一次之后，故障仍未停止，則直接?？兀搓P(guān)閉所有推力器的自鎖閥.

1.2 推力器切換流程

推力器作為航天器控制系統(tǒng)的重要執(zhí)行機(jī)構(gòu)，無論是因推力器本身部件故障觸發(fā)的故障診斷，還是因系統(tǒng)指標(biāo)異常觸發(fā)的故障診斷，對(duì)應(yīng)的故障處理中均涉及到推力器切換.

切換推力器涉及到開關(guān)自鎖閥和開關(guān)電源，開關(guān)自鎖閥前提條件是推力器電源狀態(tài)為開.因此，在關(guān)閉推力器電源之前，應(yīng)先關(guān)閉推力器自鎖閥；在開推力器電源之后，再開推力器自鎖閥.基于推力器本身的部件特性，推力器切換操作需要多個(gè)控制周期操作才能執(zhí)行完畢，具體執(zhí)行流程如表1示例.

表1 推力器切換流程Tab.1 Thruster switching process

表1示例中，航天器搭載的推力器有A、B兩份，Ts代表控制周期，一般為幾十至幾百毫秒.第20Ts開啟哪份推力器的具體邏輯依航天器方案設(shè)計(jì)不同而不同.可見推力器的切換操作需要多步驟才能完成，每步操作依據(jù)均為上一步驟的操作結(jié)果，總共需要消耗35個(gè)軟件控制周期才能徹底完成.

通常來說，在航天器控制系統(tǒng)軟件設(shè)計(jì)中，每種類型的故障診斷方法均設(shè)置相應(yīng)的故障診斷允許標(biāo)志CW和故障告警標(biāo)志W(wǎng)，在故障診斷允許標(biāo)志CW=1的情況下，才進(jìn)行故障診斷，當(dāng)診斷出故障時(shí)，會(huì)置故障告警標(biāo)志W(wǎng)=1.在故障診斷允許標(biāo)志CW=1且故障告警標(biāo)志W(wǎng)=1的情況下，才進(jìn)行相應(yīng)的故障處理.以推力器切換為例，故障處理調(diào)用關(guān)系如圖1所示.

隨著對(duì)航天器在軌故障問題的舉一反三以及控制系統(tǒng)可靠性、健壯性要求的不斷提高，航天器控制系統(tǒng)故障診斷算法也隨之不斷更新和增加，導(dǎo)致涉及推力器切換操作的故障類型不再是一種，而是多種，且多種類型故障可能同時(shí)觸發(fā).當(dāng)多種故障交叉耦合觸發(fā)和處理時(shí)，如圖1所示的軟件設(shè)計(jì)方法存在著推力器切換時(shí)序沖突和推力器切換錯(cuò)誤的問題.

圖1 推力器切換調(diào)用關(guān)系圖Fig.1 Call relationship of thruster switching process

2 系統(tǒng)級(jí)故障處理耦合分析

推力器切換操作對(duì)控制系統(tǒng)而言是個(gè)重要操作，需要多個(gè)控制周期才能完成，一旦開始執(zhí)行，必須保證不被打斷地執(zhí)行完成，否則將造成推力器切換錯(cuò)誤、整星異常?？氐膰?yán)重影響.

以姿態(tài)角過大、角速度過大、噴氣量異常等為判斷指標(biāo)的系統(tǒng)級(jí)故障，當(dāng)星上出現(xiàn)某種異常情況時(shí)，會(huì)導(dǎo)致兩種甚至多種系統(tǒng)級(jí)故障同時(shí)觸發(fā)或短期內(nèi)先后觸發(fā)，即可能存在圖2～4所示的故障觸發(fā)時(shí)序.

圖2中，當(dāng)星上某種故障原因?qū)е鹿收?發(fā)生，故障1對(duì)應(yīng)的軟件處理是推力器切換.在推力器切換第10Ts～20Ts中，又發(fā)生了故障2，故障2對(duì)應(yīng)的軟件處理也是推力器切換.由于此時(shí)故障1處理中已將推力器A和B電源都關(guān)閉，因此故障2推力器切換中保存的推力器電源狀態(tài)錯(cuò)誤，導(dǎo)致故障2推力器切換錯(cuò)誤.

圖2 推力器切換與其它故障交叉耦合示例1Fig.2 Example 1 of fault disposal triggering during thruster switching

圖3中，當(dāng)星上某種故障原因?qū)е鹿收?發(fā)生，故障1對(duì)應(yīng)的軟件處理是推力器切換.在推力器切換第1Ts～30Ts中，又發(fā)生了故障2，故障2對(duì)應(yīng)的軟件處理是?？?關(guān)自鎖閥).由于此時(shí)故障1處理中第30Ts會(huì)將自鎖閥打開，因此故障2處理中的?？厥?

圖3 推力器切換與其它故障交叉耦合示例2Fig.3 Example 2 of fault disposal triggering during thruster switching

圖4中，當(dāng)星上某種故障原因?qū)е鹿收?發(fā)生，故障1對(duì)應(yīng)的軟件處理是推力器切換.在推力器切換第1Ts～35Ts中，又發(fā)生了故障2，故障2對(duì)應(yīng)的軟件處理是轉(zhuǎn)控制模式.由于轉(zhuǎn)控制模式會(huì)重新初始化故障診斷允許標(biāo)志和故障告警標(biāo)志，導(dǎo)致執(zhí)行一半的推力器切換不再被調(diào)用，即推力器切換中止，最終推力器切換失敗.

圖4 推力器切換與其它故障交叉耦合示例3Fig.4 Example 3 of fault disposal triggering during thruster switching

由分析可知，在進(jìn)行推力器切換過程中，可能存在切換錯(cuò)誤、未執(zhí)行完異常終止、?？貓?zhí)行失敗的時(shí)序沖突：

1)若先后在短時(shí)間內(nèi)發(fā)生兩次推力器切換，會(huì)導(dǎo)致切換時(shí)序錯(cuò)亂；

2)若推力器切換未結(jié)束，又發(fā)生了停控，則?？厥?；

3)若推力器切換未結(jié)束，又發(fā)生了轉(zhuǎn)控制模式，則推力器切換異常終止.

4)若短時(shí)間內(nèi)發(fā)生了三種及以上的故障，則時(shí)序分析更加復(fù)雜.

3 故障處理中的軟件互斥設(shè)計(jì)

本節(jié)提出了一種故障處理中的軟件互斥設(shè)計(jì)，解決故障交叉耦合觸發(fā)和處理引起的時(shí)序沖突問題.

推力器切換需要多個(gè)控制周期才能完成，在這過程中不能被打斷.軟件設(shè)計(jì)要解決的三個(gè)難點(diǎn)問題:

(一)兩次推力器切換短時(shí)間內(nèi)先后發(fā)生，導(dǎo)致切換錯(cuò)誤；

(二)推力器切換過程中又發(fā)生了?？?，導(dǎo)致停控失??；

(三)推力器切換被異常終止.

為解決問題(一)，軟件設(shè)計(jì)如下：(1)把推力器切換流程操作，單獨(dú)封裝，對(duì)外提供接口S、t，S=1表示在正在進(jìn)行推力器切換流程，S=0表示不在進(jìn)行推力器切換流程，t為推力器切換程控計(jì)數(shù).(2)在故障處理中進(jìn)行推力器切換時(shí)，操作S、t值即可.

推力器切換處理封裝模塊見圖5，當(dāng)S≠1時(shí)，不執(zhí)行切換處理流程；當(dāng)S==1時(shí)，t++時(shí)，當(dāng)t==1執(zhí)行推力器切換步驟1，當(dāng)t==10執(zhí)行推力器切換步驟2，當(dāng)t==20執(zhí)行推力器切換步驟3，當(dāng)t==30執(zhí)行推力器切換步驟4，當(dāng)t==35執(zhí)行推力器切換步驟5，并置S=0，即退出推力器切換處理流程.

圖5 推力器切換處理模塊流程圖Fig.5 Flow chart of thruster switching process

故障處理中進(jìn)行推力器切換調(diào)用設(shè)計(jì)如圖6，當(dāng)S==0時(shí)，置S=1，t=0，滿足推力器切換模塊執(zhí)行條件，當(dāng)S≠0時(shí)，不進(jìn)行處理，即不會(huì)在推力器切換未結(jié)束時(shí)又開啟新的推力器切換.

圖6 推力器切換程控的調(diào)用流程圖Fig.6 Scheme of thruster switching process

為解決問題(二)，軟件設(shè)計(jì)如圖7，需在無推力器切換時(shí)或等待推力器切換完成后進(jìn)行?？靥幚恚串?dāng)S==0時(shí)，才進(jìn)行停控處理.

圖7 ?？靥幚淼恼{(diào)用流程圖Fig.7 Scheme of stop control dispose

為解決問題(三)，軟件設(shè)計(jì)為，把推力器切換模塊，獨(dú)立于模式控制和故障診斷與處理，每個(gè)軟件控制周期都能被調(diào)用.推力器切換流程一旦被調(diào)用，無論故障診斷允許標(biāo)志、故障告警標(biāo)志是否變化，推力器切換程控都能被執(zhí)行完成.

圖5～7所示的軟件互斥設(shè)計(jì)，將推力器切換模塊，獨(dú)立于模式控制和故障診斷與處理，推力器切換流程一旦啟動(dòng)，則不受控制模式轉(zhuǎn)換的影響，不會(huì)被打斷.在推力器切換過程中置S=1，在所有涉及到推力器切換相關(guān)的故障處理中先判斷S的值，當(dāng)S=1時(shí)，則說明當(dāng)前有推力器切換，不再重復(fù)執(zhí)行推力器切換，可保證推力器切換正確.

4 測試驗(yàn)證

為了驗(yàn)證軟件故障處理中的互斥設(shè)計(jì)的正確性，設(shè)計(jì)了惡劣工況，進(jìn)行多故障交叉觸發(fā)的測試驗(yàn)證，驗(yàn)證內(nèi)容包括：

(1)測試兩種故障先后在35Ts時(shí)間間隔內(nèi)發(fā)生，并且對(duì)應(yīng)故障處理均為推力器切換，是否切換正常.

(2)測試兩種故障先后在35Ts時(shí)間間隔內(nèi)發(fā)生，其中一種故障對(duì)應(yīng)故障處理是推力器切換，另一種故障對(duì)應(yīng)故障處理是停控，?？厥欠癯晒?

(3)測試兩種故障先后在35Ts時(shí)間間隔內(nèi)發(fā)生，其中一種故障對(duì)應(yīng)故障處理是推力器切換，另一種故障對(duì)應(yīng)故障處理是轉(zhuǎn)模式，推力器切換是否正常.

(4)測試四種故障先后在35Ts時(shí)間間隔內(nèi)發(fā)生，其中有兩種故障對(duì)應(yīng)故障處理是推力器切換，另兩種故障對(duì)應(yīng)故障處理分別是?？睾娃D(zhuǎn)模式，推力器切換是否正常，停控是否成功.

測試過程中，通過精細(xì)化故障注入模型設(shè)計(jì)，模擬在軌航天器故障情況.測試結(jié)果表明，短期內(nèi)多故障交叉觸發(fā)，推力器切換正常，?？爻晒?軟件互斥設(shè)計(jì)解決了交叉耦合觸發(fā)帶來的故障處理時(shí)序沖突問題.

5 結(jié) 論

本文研究了一種控制系統(tǒng)故障處理中的互斥設(shè)計(jì)方法.基于航天器控制系統(tǒng)故障診斷算法復(fù)雜、多種故障診斷交叉耦合觸發(fā)的趨勢，該設(shè)計(jì)方法能有效解決交叉耦合觸發(fā)帶來的故障處理時(shí)序沖突問題，為后續(xù)航天器控制系統(tǒng)故障診斷及處理設(shè)計(jì)奠定了基礎(chǔ).