運載火箭復雜容錯控制系統可靠性分析

胡海峰

北京航天自動控制研究所，北京100854

飛行控制系統(簡稱控制系統)是運載火箭的關鍵系統，系統復雜、投入大、風險高，特別是載人飛行，關系到宇航員的生命安全，因此對運載火箭控制系統提出了高可靠性要求［1］。冗余容錯設計是提高系統可靠性和安全性的重要手段，普遍應用于運載火箭控制系統，通過投入超過常規設計所需的外加資源來抵消故障產生的后果，在提高系統可靠性的同時，必然增加其復雜性。系統采用冗余設計并具備容錯功能時，將存在著多級多重表決或貯備，復雜度大大增加，往往不能用簡單的數學模型來描述，建立系統可靠性模型變得異常困難。

本文在典型可靠性分析模型及理論基礎上，研究運載火箭復雜容錯控制系統可靠性模型建模方法，并對2 種典型冗余容錯系統進行算例分析。

1 典型系統可靠性模型

復雜系統的可靠性模型往往是由若干典型結構的可靠性模型組合而成，典型系統可靠性模型有串聯、并聯、串并聯、并串聯、表決和儲備等，本節主要給出串并聯、并串聯、表決、儲備系統的可靠性模型。

1.1 串并聯系統

由串聯系統和并聯系統組成的先串聯再并聯的混合冗余系統稱為串并聯系統，常用的2 種串并聯系統如圖1 所示。

圖1 串并聯系統

圖1(a)和(b)兩種系統在各單元可靠性相同的情況下，整個系統的可靠性是相同的，其可靠性計算數學模型為:

圖1(a)和(b)兩種系統的區別是:1)系統每條支路由一個控制器控制;2)系統每條支路由2個控制器控制。

1.2 并串聯系統

由串聯系統和并聯系統組成的先并聯再串聯的混合冗余系統稱為并串聯系統，常用的2 種并串聯系統如圖2 所示。(a)和(b)兩種系統在各單元可靠性相同的情況下，整個系統的可靠性是相同的，其可靠性計算的數學模型為:

圖2(a)和(b)兩種系統的區別是:1)系統中的并聯部分由2個控制器控制;2)系統中并聯部分由1個控制器控制。

圖2 并串聯系統

1.3 表決系統

系統由n個單元組成，若其中有k個或k個以上單元正常，則整個系統正常，這樣的系統稱n 中取k 表決系統，記作K/n(G)。若表決器可靠性為RG，每個單元可靠性相等均為R，則n 取k 多數表決系統的可靠性模型可用二項分布來描述:

在運載火箭設計中，常用3 取2 模型，示意圖如圖3 所示。

圖3 3 取2 系統

圖3(a)和(b)是最常見的3 取2 模式，整個系統既可以防一度誤判，又可以在一個控制器失效的情況下不影響系統功能，同時通過并聯提高了系統的可靠性。在各個單元可靠性相同的情況下，其可靠性計算的數學模型為:

1.4 儲備系統

在若干個單元組成的系統中，當主工作單元失效時，儲備單元能立刻接替完成主工作單元的功能，這樣的系統稱為儲備系統。儲備系統按儲備單元在儲備期間的失效情況可分為3 類:1)冷儲備(無載儲備)，儲備單元在儲備期間失效率為0;2)熱儲備(滿載儲備)，儲備單元在儲備期間失效率與工作單元失效率一樣;3)溫儲備(輕載儲備)，儲備單元在儲備期間失效率大于0 而小于工作單元失效率［2－3］。此處僅給出冷儲備系統的可靠性模型，儲備單元在儲備期間失效率為0。

若各單元壽命均為指數分布，且各單元失效率均為λ，轉接開關可靠性為Rsw，則冷儲備系統可靠性和平均壽命為:

2 復雜容錯控制系統可靠性建模

運載火箭控制系統采取冗余設計，且冗余單元之間增加交互表決的通道，基于軟件增加故障檢測、故障診斷、軟件表決、故障吸收和系統重構等功能時，控制系統成為存在多級多重表決的冗余容錯系統，需借助復雜容錯系統可靠性建模方法建立可靠性計算模型。通常應用的方法主要包括:狀態枚舉法、全概率分解法、最小路徑法、全概率公式法、Petri 網模型等［2－5］。文獻［6］給出了基于全概率公式的應用方法;文獻［7］提出了基于狀態空間法的特高壓直流輸電系統可靠性評估算法;文獻［8］基于K/n(G)模型建立了柔性直流輸電系統中換流閥的可靠性模型，并分析了不同設備冗余情況下可靠性指標;文獻［9］基于馬爾科夫過程建立了柔性直流輸電變壓器系統的可靠性模型，并對不同設計結構和備用水平變壓器系統的可靠性指標進行了對比;文獻［10］在FD 法和模型組合的基礎上對整個柔性直流輸電系統進行了可靠性評估;文獻［11］基于狀態空間法與K/n(G)模型給出了柔性直流輸電系統可靠性模型。但上述方法難以直接應用于運載火箭復雜容錯控制系統，本節將以運載火箭的兩類典型復雜容錯控制系統為例，建立系統可靠性計算模型。為便于分析，系統組成考慮箭機、慣組(IMU)、綜合控制器、總線等4 類設備，并且將各單元可靠性統一為R。

2.1 復雜容錯系統1 可靠性建模

某典型冗余容錯系統，見圖4。全箭通過1553B總線網絡連接3 套完整的電氣系統，形成相對獨立的系統級三冗余。設備均為三冗余，每一套由1 條雙通道1553B 總線連接，其中箭機和綜合控制器均為3 臺單機冗余在1個設備中，3 臺單機之間通過機內總線進行通訊。控制系統工作時，3個BC(Bus controller，即總線控制器)分別獨立錄取3 套慣組的數據，獲取箭體的角速度、視加速度等信息，之后與其它BC 進行數據交換，使每個BC 都能獲得3 套數據;然后3個BC 分別進行方程計算，將控制指令通過總線分別送至3 臺綜合控制器;綜合控制器的3臺單機也可以進行信息交互。對于慣組和BC，若3個模塊均正常工作，則系統以三模冗余方式工作，采用3 取2 表決機制;若其中1個模塊失效，則系統通過故障檢測定位將其切除，系統降級為雙冗余系統;若又有1個模塊失效并被定位切除，則系統以單機模式運行。對于綜合控制器，其輸出通過硬件實現3 取2 表決，因此若3個模塊均正常工作或其中1個模塊失效，系統可通過表決屏蔽1個故障模塊;若有2個及以上模塊失效，系統即失效。因此系統形成計算冗余表決、控制器指令解析冗余表決、輸出級功率放大冗余表決同步、總線網絡冗余的復雜冗余容錯系統結構。

圖4 復雜容錯系統1

在分析圖4 系統可靠性時，雖然每套1553B 總線均有A，B 雙通道，當A 總線出故障時可以切換為B 通道，但是考慮到A，B 均故障、總線協議芯片故障以及切換失敗的情況，應考慮總線本身的可靠性，這相當于在系統中串聯1個單元，框圖如圖5。

上述系統可直接給出計算公式為:

圖5 復雜容錯系統1 框圖

2.2 復雜容錯系統2 可靠性建模

某典型冗余容錯系統，見圖6，與圖4 不同之處在于整個系統采用1 套1553B 總線進行連接。在此系統中，3個BC 采用主備方式運行，3個慣組和綜合控制器的3 臺單機分別作為3個站點掛在總線上，框圖見圖7。

圖6 復雜容錯系統2

圖7 復雜容錯系統2 框圖

令圖6 系統中慣組可靠性為RIMU，BC 可靠性為RBC，綜合控制器可靠性為R綜控器，總線可靠性為R總線，根據串聯系統模型［2－5］，可得系統可靠性:

下面分別計算RIMU，RBC，R綜控器和R總線。

(1)RIMU計算

系統中有3個IMU，IMU 獨立工作，系統冗余錄取3個IMU 數據，具備容錯功能，能根據零值故障、極值故障、一致性故障等冗余管理算法診斷IMU 信息，控制系統進行信息融合表決，并能基于箭體飛行數據特點、GPS 測量信息綜合診斷IMU 數據，RIMU可按n =3 的并聯系統模型計算，根據并聯系統模型［2－5］，可得:

(2)RBC計算

系統中有3個BC，BC 中運行飛行控制軟件，完成數據綜合、信息容錯、冗余管理和控制方程計算等功能，考慮到運載火箭實時控制的需求，運載火箭一般采取跟隨、熱備的模式，當主工作單元故障時切換到備份單元，備份單元再出現故障時切換到第2個備份單元。飛行過程中跟隨、熱備的備份單元不參與輸出，可視為無載儲備。運載火箭飛行時間短，為便于計算，無載儲備單元在儲備期間可簡單地認為失效率為0。基于上述分析，RBC可按n =3 的冷儲備模型計算。假設切換可靠性為Rsw，根據式(6)可得:

(3)R綜控器計算

系統中有3 臺綜合控制器，3 臺綜合控制器集成在1個機箱中，3 取2 表決后輸出控制信號，因此系統中綜控器為3 取2 表決系統，根據式(4)可得:

(4)R總線計算

將式(9)～(12)代入式(8)，可得系統可靠性:

3 算例計算與分析

3.1 可靠性計算

運載火箭控制系統單元模塊或單機可靠性R一般不低于0.990，令R在0.990 ～0.9999 變化，R1553在0.99 ～1 變化，Rsw= 1，分別代入式(7)和(13)，按控制系統可靠性模型計算R1(S)，R2(S)，主要計算結果見表1，在上述條件下系統可靠性隨單機可靠性變化見圖8。

為保證可靠性，航天運載器普遍采用高等級元器件，單元模塊或單機可靠性一般比較高，選擇單元模塊或單機可靠性R =0.999，令Rsw在0.999 ～1 變化，R1553在0.99 ～1 變化，分別代入式(7)和(13)，按控制系統可靠性模型計算R1(S)，R2(S)，主要計算結果見表2，在上述條件下系統可靠性隨Rsw可靠性變化見圖9。

3.2 討論與分析

由于BC 的核心控制作用，其故障容易導致R1其它終端的資源浪費，影響系統可靠性，但由于R1總線并聯容錯，使它對總線本身故障的敏感度大大降低;R2 系統中只要BC 切換正常(Rsw=1)，單個BC 故障就不會蔓延到終端及系統，但由于總線是串聯環節，因此R2 對總線本身的故障比較敏感。根據表1 和圖8 結果，Rsw=1 時，1553B 總線可靠性指標較低時，R1 的系統可靠性大于R2;1553B 總線可靠性達到0.99999 ～1 時，R1 和R2 的可靠性相當;1553B 總線可靠性為0.99999 時，當R ＞0.994，則R2 － R1 ＜0;1553B 總線可靠性為1 時，當R ＞0.999，則R2 與R1 的差值小于3.8 ×10－8，且隨著R值的增大，兩系統可靠性值的差異趨于0。R2 － R1隨單機可靠性變化的2 條曲線見圖10。運載火箭系統工程設計中需根據總線可靠性水平及可靠性指標、單機可靠性指標及其對系統可靠性的影響，確定合理的系統冗余容錯結構。

表1 復雜容錯系統可靠性計算(Rsw =1)

圖8 系統可靠性隨單機可靠性變化趨勢圖(Rsw =1)

表2 復雜容錯系統可靠性計算(R=0.999)

圖9 系統可靠性隨Rsw可靠性變化趨勢圖(R=0.999)

圖10 R2 －R1 隨單機可靠性變化的趨勢圖(Rsw =1)

總線切換開關的可靠性影響R2 系統可靠性，當BC 故障時，診斷、切換所需的時間很短以及由此帶來的對系統功能性能的影響可以忽略時，分析總線切換開關的可靠性對系統可靠性的影響。考慮組成復雜冗余容錯系統的單元模塊或單機可靠性 R =0.999，根據表2 和圖9，總線可靠性對R2 系統可靠性影響較大，總線開關在其可靠性大于0.999時對系統可靠性影響較小;總線可靠性為0.99 的R1 可靠性與總線可靠性為1 的R2 可靠性相當;總線可靠性為0.99 的R1 可靠性大于總線可靠性為0.99999的R2 可靠性。當R =0.999 時，以Rsw=0.999 為 起 點，Rsw取 值0. 999，0. 9995，0. 9999，0.99999和1，依次計算Rsw變化時系統可靠性的相對增長值，當總線開關可靠性大于0.999 時，其可靠性指標的提高對系統可靠性提升的貢獻較小，最大不超過1 ×10－6。因此運載火箭系統工程設計中需根據總線開關切換復雜度及其可靠性水平，確定合理的總線切換方案。

圖11 系統可靠性隨Rsw 變化的趨勢圖(R = 0.999)

4 結束語

冗余容錯技術的使用，使得系統可靠性建模變得異常復雜。本文針對提高運載火箭控制系統可靠性的2 種容錯設計方案，分析并建立了其可靠性定量分析的數學模型，然后進行了算例分析，從可靠性角度提出了運載火箭系統工程設計的建議，需根據總線可靠性水平及可靠性指標、單機可靠性指標及其對系統可靠性的影響，確定合理的系統冗余容錯結構，同時根據總線開關切換復雜度及其可靠性水平，確定合理的總線切換方案。本文提出了運載火箭復雜容錯控制系統可靠性分析的方法，并通過算例分析得出了一定條件下的結論，當條件不同時可能得出不同的結論，但均可采用本文方法進行可靠性建模分析，為控制系統可靠性評估、方案優化提供良好的支撐，本文方法能夠在運載火箭控制系統工程設計中推廣應用。

［1］孫凝生.冗余設計技術在運載火箭飛行控制系統中的應用(一)［J］. 航天控制，2003，(1):65-81. (Sun Ningsheng. The Redundancy Designs for Guidance and Control System of Launch Vehicle［J］. Aerospace Control，2003，(1):65-81).

［2］周正伐.可靠性工程基礎［M］. 北京:中國宇航出版社，1999.

［3］周正伐，等.航天可靠性工程培訓教材［M］.第1 版.北京:中國宇航出版社，2006.

［4］曾聲奎，趙廷弟，等.系統可靠性設計分析教程［M］.北京:北京航空航天大學出版社，2001. (Zeng Shengkui，Zhao Tingdi，et al. The System Reliability Design and Analysis Tutorial ［M］. Beijing:Beihang University Press，2001.)

［5］楊振明.概率論［M］.2 版.北京:科學出版社，2004:34.

［6］馬曉麗，張亮.全概率公式的推廣及其在保險中的應用［J］.高等數學研究，2010，13(1):70-71.

［7］楊鏑，張焰，祝達康. 特高壓直流輸電系統可靠性評估方法［J］. 現代電力，2011，28(4):1-6.(YANG DI，ZHANG Yan，ZHU Dakang. Reliability Evaluation Method for UHVDC Transmission System［J］. Modern Electric Power，2011，28(4):1-6.)

［8］丁明，王京景，宋倩.基于K/n(G)模型的柔性直流輸電系統換流閥可靠性建模與冗余性分析［J］.電網技術，2008，32 (21):32-36. (DING Ming，WANG Jingjing，SONG Qian. Reliability Modeling and Redundancy Analysis of Converter Valves for VSC-HVDC Power Transmission System Based on k-out-of-n:G Model［J］. Power System Technology，2008，32(21):32-36.)

［9］Leelaruji R，Setréus J，Olguin G.Availability Assessment of the HVDC Converter Transformer System［C］. Proceedings of the 10thInternational Conference on Probabilistic Methods Applied to Power System，2008.

［10］丁明，畢銳，王京景.基于FD 法和模型組合的柔性直流輸電可靠性評估［J］.電力系統保護與控制，2008，36(21):33-37. (DING Ming，BI Rui，WANG Jingjing. FD Method and Combined Model for Reliability Assessment of HVDC Flexible［J］. Power System Protection and Control，2008，36(21):33-37.)

［11］孫宇斌，劉文霞，等. 計及備用元件的柔性直流輸電系統可靠性評估方法［J］.現代電力，2013，30(1):8-12.(SUN Yubin，LIU Wenxia，et al. The Reliability Evaluation Method for VSC-HVDC System by Considering of Standby Components［J］. Modern Electric Power，2013，30(1):8-12.)