載人航天產品可測試性設計方法初步研究

熊曉英 王九龍 趙巖松

（中國空間技術研究院載人航天總體部）

1 引言

可測試性又稱測試性，是指系統(tǒng)和設備能及時、準確地確定其狀態(tài)（可工作、不可工作或性能下降）并隔離其內部故障的一種設計特性[1]。因此，可測試性是系統(tǒng)和設備設計時所賦予的固有屬性，是為系統(tǒng)故障診斷提供方便的特性。可測試性設計的概念最早于1975年由F.Liour等人在《設備自動測試性設計》一文中提出，首先在航空領域中得到應用[2]。1985年，美國頒布的MIL-STD-2165《電子系統(tǒng)和設備測試性大綱》規(guī)定了可測試性管理、分析、設計與驗證的要求和實施方法，是可測試性從維修性中分離出來，成為一門獨立新學科的確立標志[3]。目前，我國航空和各種武器裝備等復雜系統(tǒng)執(zhí)行的可測試性標準，主要是1995年頒布的GJB 2547—裝備測試性大綱》。我國航天產品執(zhí)行的可測試性標準主要是1998年頒布的QJ 3501—《航天產品測試性設計準則》。

按照載人航天工程“三步走”的戰(zhàn)略規(guī)劃，我國將建立空間站。空間站長期的運行需求，將導致系統(tǒng)設計復雜、可靠性要求提高，僅靠功能冗余設計、系統(tǒng)安全模式設計、實施故障情況下系統(tǒng)重構等手段已不能滿足長壽命需求，還必須采取相應的保障和維修措施，以延長系統(tǒng)功能正常運行的時間。而維修工作實現(xiàn)的基礎就是通過測試將故障準確定位和隔離，由此可見，載人航天領域迫切需要開展可測試性設計研究，只有及時、有效地檢測、定位和隔離故障，才能減少系統(tǒng)的維修時間、提高系統(tǒng)可用性、保障系統(tǒng)執(zhí)行任務的可靠與安全，才能為長壽命空間站的在軌健康管理提供技術支持。

2 載人航天產品可測試性設計現(xiàn)狀分析

目前，載人航天領域重視的主要是“系統(tǒng)地面測試保障”而非“系統(tǒng)可測試性設計”。在地面測試發(fā)現(xiàn)異常狀態(tài)時，往往借助專家經驗、查找歷史數(shù)據(jù)進行比對，或接入轉接盒連接外部測試設備、拆除設備進行單檢測試等多種便利手段來進行故障和排除定位。這種利用地面綜合測試覆蓋來確保任務可靠和安全的工作模式，使得總體對產品在固有可測試性上的設計缺陷缺少關注，同時，運行中，由于缺少有效的測試資源和測試手段，出現(xiàn)故障時也很難直接檢測并定位至具體設備。

現(xiàn)行可測試性設計的不足主要體現(xiàn)在以下幾個方面：

（1）缺少可測試性指標的量化

雖然在《航天產品測試性設計準則》中，提出了部分電路設計的測試性設計準則，可以指導一些單機產品的底層設計工作，但對具體的可測試性設計要求缺乏較明確的技術途徑。除一些概念性設計要求外，很少能對單機產品提出定量的可測試性指標，以致于在設計評審中不能具體審查和考核產品可測試性設計要求的落實情況。

（2）缺乏有效的可測試性分析工具

缺乏科學的設計軟件對可測試性設計進行分析和評估，往往依賴于設計師對可測試性設計的重視程度、設計水平和經驗。在國外開展的可測試性設計中，除了采用試驗手段進行測試性設計驗證外，在產品原理設計完成后，還利用軟件工具進行可測試性建模、分析和評估，以驗證系統(tǒng)故障檢測與隔離能力、檢驗可測試性指標落實情況，從而給出改進建議。

（3）缺乏對長期在軌健康管理的支持

以往的載人航天系統(tǒng)沒有以在軌診斷和故障定位為目標來設計方案，可測試性設計劃分主要根據(jù)功能劃分，很少考慮結構劃分，往往多個功能集成在一個緊湊的結構單元內，不能滿足空間站故障隔離到在軌可維修級別的要求，且基本沒有考慮空間站環(huán)境下由航天員利用外部檢測設備參與測試的需求。

3 載人航天產品可測試性設計方法初步探討

基于載人航天產品可測試性設計現(xiàn)狀分析，針對空間站在軌維修需求，當前載人航天開展可測試性設計所急需解決的主要問題是：總體如何對各單機產品提出合理的可測試性設計要求及定量化指標？總體如何設計一套既適應載人航天產品特點又具有一定先進性的可測試性設計方法去指導各個單機產品可測試性工作的開展？

面臨挑戰(zhàn)，在參考相關標準及調研武器裝備可測試性設計工作基礎上，對載人航天產品提出了根據(jù)不同類型的航天產品特點，按照可測試性要求，運用可測試性建模→可測試性分析及評估→可測試性優(yōu)化及改進→可測試性驗證的反復迭代方法，來推動可測試性工作的開展。具體描述如下：

首先，通過對當前航天產品的可測試性建模，可以對航天產品可測試性現(xiàn)狀進行分析及評估，獲取相關的可測試性數(shù)據(jù)，尋找產品可測試性設計缺陷；

然后，結合產品特點、壽命分析以及空間站提出的在軌維修等新需求，經綜合評價后，在提高產品固有可測試性設計、增強產品機內測試（BIT）設計以及利用外部測試設備（ATE）輔助故障定位等方面提出有效的改進建議；

最后，將改進設計反饋到產品可測試性模型中，重現(xiàn)分析及評估改進后產品所能滿足的可測試性要求以及可達到的可測試性指標。

應用上述迭代分析、評估及驗證方法后，可以逐步提高產品所能達到的可測試性水平，并使總體有充分的分析依據(jù)作為參考，對單機設計提出明確的可測試性要求，分配合理的可測試性指標。同時，此方法借助了先進的分析工具，有利于提高分析效率，確保對復雜產品分析工作的準確、有效。總體在經過對此方法的成功應用后，也可推廣于分系統(tǒng)產品研制過程中，在完成產品原理設計后，分系統(tǒng)可開展可測試性建模，通過迭代分析、評估及優(yōu)化改進，驗證產品所具備的故障檢測與隔離能力、檢驗可測試性指標落實情況。

3.1 開展可測試性設計要求分析

確定合理的可測試性設計要求，是使航天產品具有良好的測試性和診斷能力的基礎。在對產品的使用要求、相關設計信息、故障影響信息以及維修保障信息等進行權衡分析的基礎上，可以獲取產品的可測試性要求[4]。可測試性要求包括定性要求和定量要求，定性要求主要是產品的可測試性設計準則要求，定量要求主要是相關的可測試性參數(shù)指標要求。

可測試性定量化指標用于衡量產品可測試性設計的好壞程度，主要包括：故障診斷效能指標、故障診斷效率指標。由于載人航天器的特點，在地面測試、無人自主飛行、有航天員參與的飛行這三種不同運行環(huán)境中測試條件和測試手段有較大差別，可測試性指標要求也存在差異。主要分析原則如下：

在地面測試階段，原則上要求可以執(zhí)行的測試應全部執(zhí)行，由于地面測試手段全面，測試條件和人員技術水平較高，因此，一般要求故障檢測率等指標能夠達到100%。

無人自主飛行期間，為確保系統(tǒng)的可靠，各種功能和設備都有備份乃至多重備份手段，因此，要求無人自主飛行期間，具備故障定位到冗余備份單元的能力，對于平均檢測時間也需要提出一定的要求，以確保系統(tǒng)能夠及時切換到備份。而對于故障檢測率的指標要求則可以根據(jù)故障危害度和安全性要求，結合測試代價，適當放寬。

有航天員參與飛行期間，故障隔離率要求較高，除了能夠利用機內測試設備進行故障檢測外，還可以由航天員利用外部測試設備提高故障定位、隔離能力，具體指標可根據(jù)自主診斷及外部診斷難易程度加以確定。同時，由于載人航天器上下行運輸能力的限制，以及航天員在軌維修、更換水平的約束，航天產品的維修方法只能是進行設備整機或功能模塊的更換。因此，只需根據(jù)功能單元的故障診斷要求將故障隔離到可更換單元（ORU）即可，不用進一步定位到元器件級別。對平均隔離時間的指標要求也需要結合維修方案的維修時間來考慮。

因此，載人航天需要結合每類產品在不同運行環(huán)境下的測試需求和測試手段，尤其是在軌維修工作對產品故障定位級別、維修工作的限制條件等需求，確定每類產品的可測試性要求及需要重點關注的可測試性指標，并從可行性和需要付出的代價等方面綜合確定相應指標的取值范圍[5]。

3.2 開展可測試性建模、分析及評估

可測試性建模是進行航天產品測試性分析、評估與優(yōu)化的基礎。借鑒國外及國內武器系統(tǒng)在可測試性分析工具上的成功運用，提出了運用TEAMS軟件，采用多信號流圖模型的建模方法。該方法提供了層次化的建模機制，能夠清晰地描述系統(tǒng)、子系統(tǒng)、單機、功能模塊、元器件等不同層次之間的可測試性信息，可以把專家對系統(tǒng)的理解和測試診斷經驗簡單直觀地轉換成專家知識并以模型化的文檔形式保存，同時，方便系統(tǒng)模型和測試性設計的修改和優(yōu)化。

TEAMS軟件是Qualtech公司可測試性分析與設計環(huán)境的模型支撐，是一個針對大型復雜系統(tǒng)進行測試次序和測試性分析設計的軟件工具[6]。TEAMS軟件通過依賴度建模的方法，僅需輸入系統(tǒng)部件的模型，就能夠定量描述故障的傳播關系、故障與測試之間的依賴關系、測試與測試的相關性關系，評估系統(tǒng)或設備所能達到的可測試性指標。同時，在診斷推理過程中，不用定性推理，直接根據(jù)系統(tǒng)的依賴矩陣，利用傳感器的信號，不斷排除正常元件，就能最后得到發(fā)生故障的元件集合。利用多信號流圖模型進行建模和分析，一般需要如下四個步驟[7]：

（1）系統(tǒng)結構與功能層次劃分，包括：系統(tǒng)的基本構成模塊、模塊的功能、模塊之間的輸入輸出關系；

（2）向模塊添加故障模式和測試點，并對測試點進行定義，在模塊之間添加鏈接關系，以表述依賴關系流；

（3）當在建模過程中出現(xiàn)冗余結構、冗余備份電路部件等，需要修正模型；

（4）為模型執(zhí)行多種測試性分析，根據(jù)評估結果策略和測試報告對模型進行檢驗。

運用TEAMS軟件輔助可測試性設計流程如圖1所示。

圖1 可測試性設計流程

3.3 可測試性改進

可測試性改進工作主要是以評估分析結果為基礎，針對發(fā)現(xiàn)的不足，研究并提出提高設備固有可測試性設計、增強BIT設計以及利用外部測試設備輔助故障定位的可測試性改進方法及措施。

為方便功能測試和故障隔離，固有可測試性設計中一項主要工作是把復雜設備合理地劃分為可獨立測試的單元[8]。針對空間站系統(tǒng)在軌維修需求，每一個ORU的功能劃分和結構集成需要采取模塊化設計思想，應盡量將每一個ORU功能封裝在一個結構單元模塊內，實現(xiàn)對每個ORU的獨立測試和更換，提高其故障檢測和故障隔離能力。

BIT技術是改善系統(tǒng)可測試性的重要手段，可以為系統(tǒng)提供在線性能監(jiān)控和故障隔離能力。載人航天集中了分布式BIT設計和集中式BIT設計優(yōu)勢，提出了分層集中BIT設計的方法，并盡量將BIT測試擴展到各個可更換的維修級別內[9]。整個系統(tǒng)由ORU級BIT、分系統(tǒng)級BIT和系統(tǒng)級BIT自下而上，遞階組成。三層BIT之間分別通過分系統(tǒng)級內部測試總線、分系統(tǒng)級1553B總線、系統(tǒng)級1553B總線進行連接。對于簡單的分系統(tǒng)，選用集中式BIT設計，整個分系統(tǒng)的控制、診斷和決策功能都集中在一個微處理器來實現(xiàn)；對于復雜的分系統(tǒng)，可以在ORU級選用分散式BIT設計，在分系統(tǒng)級再綜合集中各下級BIT的信息。此分層集中式BIT設計結構，有效利用了下級BIT較強的信息獲取能力，并綜合了上級BIT強大的信息處理能力，有利于實現(xiàn)橫向各BIT的并行測試，又便于實現(xiàn)縱向層次的測試復用。分層集中式BIT結構如圖2所示。

圖2 BIT結構示意圖

借助外部自動測試診斷設備（ATE）來輔助故障定位和隔離，是提高系統(tǒng)外部診斷能力的有效手段。在載人航天器運行期間，航天員的駐留是一個相對其它航天器所不具備的特殊有利條件，因此，在機內測試不能滿足故障定位要求時，可以為航天員配備操作便利、功能完善的外部自動測試設備，實現(xiàn)與故障設備的在線交互。ATE可以通過產品上預留的測試接口以及與產品BIT的數(shù)據(jù)交互，實現(xiàn)對產品測試信息的詳細判讀，確定產品的故障狀態(tài)；通過運行相應的測試診斷程序，定位并隔離產品故障到ORU；通過實施相應的測試激勵加載、維修輔助決策程序并獲取遠程技術支持等，指導航天員在空間應用現(xiàn)場逐步完成測試、維修以及修復后的確認檢查工作，提高系統(tǒng)可用性。

3.4 可測試性驗證

可測試性驗證是為了確認可測試性分析及設計的正確性，檢查是否滿足可測試性要求而開展的工作[10]。載人航天產品所采取的可測試驗證方法主要是選取BIT設計不合理的典型產品，通過可測試性分析改進BIT設計，修正可測試性模型，輔助ATE的運用，并與維修性試驗相結合，共同集成來驗證BIT檢測及隔離故障的能力、產品與ATE的兼容性、可測試性模型的有效性等。

4 可測試性設計方法應用

以載人航天器一分系統(tǒng)控制器為例，運用TEAMS軟件建立多信號流圖測試性模型，分析、評估其測試性設計。

4.1 結構組成及功能分析

該控制器為CPU控制類產品，執(zhí)行數(shù)據(jù)處理和顯示驅動任務，采用雙機（A、B機）熱備份的組成結構，每個單機均能獨立完成設備功能。其功能框圖如圖3所示。

4.2 可測試性要求分析

由于該控制器在軌運行出現(xiàn)故障后會立刻造成顯示過程中斷，影響航天員的正常工作，因此，其故障檢測時間要求較高，需要控制在秒級范圍。同時，該控制器采用了插卡式結構，可以適應單塊電路板的維修更換需求，因此，故障隔離率應盡可能高，故障隔離模糊組應達到1，即定位至單獨的板卡。

4.3 可測試性建模及分析

按照單機、模塊、子模塊、部件以及各層次間故障模式的關系，建立產品“自上而下”的層次化模型，并設置各模塊輸入、輸出端口屬性，確保信息流傳遞的準確。根據(jù)面向測試診斷的FMEA分析所提供的相關信息，為建立的模塊添加相應的故障模式。如CPU模塊的故障模式包括：CPU故障和存儲器故障。根據(jù)能夠提供的測試手段，添加測試點，明確執(zhí)行測試的位置，如該控制器測試可添加兩個測試點：單機地面單檢測試、單機在軌測試。運用TEAMS軟件構建的A機模塊級多信號流圖如圖4所示。

圖3 控制器功能示意圖

圖4 A機TEAMS多信號流圖模型示意圖

4.4 可測試性評估

通過可測試性分析結果，評估該控制器所達到的可測試性指標。單機地面測試時，由于測試方法和手段較齊全，故障檢測率達到98.76%，隔離率達到82.03%，故障隔離模糊組滿足要求，整體測試性水平較高；單機在軌測試時，測試資源有限，自檢能力較差，此時故障檢測率為65%，故障隔離率45.96%，故障隔離模糊組不滿足要求，需要在增加BIT設計，航天員輔助ATE的運用等方面進行測試優(yōu)化。

5 結論

面對載人航天可測試性設計需求的不斷增長，分析評價每類產品在不同環(huán)境中需要具備的可測試性指標，開展適應于航天產品特點的可測試性設計方法的研究，是載人航天領域在可測試技術研究上的初步嘗試，對未來建造和運營空間站的發(fā)展需求具有重要意義。只有具有良好可測試性的系統(tǒng)才能具備便于監(jiān)控其“健康”狀態(tài)的特性，才能及時、有效地檢測、定位和隔離故障，保障系統(tǒng)執(zhí)行任務的可靠與安全。 ◇

［1］田仲，石君友.系統(tǒng)測試性設計分析與驗證［M］.北京航空航天大學出版社，2003，4.

［2］ William R.Simpson，John W.Sheppard.System Test and Diagnosis[M].Kluwer Academic Publishers，1994.

［3］溫熙森，胡政，易曉山，等.可測試性技術的現(xiàn)狀與未來［J］.測控技術，2000，19（1）：9-12.

［4］陳光禹，潘中良.可測試性設計技術［M］.電子工業(yè)出版社，1997.

［5］曾天翔.電子設備測試性及診斷技術［M］.航空工業(yè)出版社，1995.

［6］韓樂，胡政，劉海明.可測試性分析工具TEAMS及其應用［J］.電子測量與儀器學報，2006年增刊.

［7］劉海明，易曉山.多信號流圖的測試性建模與分析［J］.中國測試技術，2007，33（1）:50.

［8］孟亞峰，蔡金燕，曹宏炳.電子武器系統(tǒng)的可測試性設計［J］.電子測量與儀器學報，2002年增刊.

［9］石山，劉勇智，童止戈，謝軍.飛機機電BIT技術［M］.國防工業(yè)出版社，2010.

［10］國防科學技術工業(yè)委員會.GJB 2547-95裝備測試性大綱［S］.國防科工委軍標出版社，1995.