導航衛星健康管理協同仿真驗證系統設計與實現

馮文婧，潘宇倩，張 弓，夏 巖

(中國空間技術研究院 通信與導航衛星總體部，北京 100094)

0 引言

北斗衛星導航系統作為極其重要的國家基礎設施，導航服務的連續性、可用性尤其是頑存能力日益受到關注，已經成為現代國防建設和國民經濟不可缺少的重要組成部分。從衛星系統設計的角度來說，應主要保證盡量減少非計劃中斷的發生，其中長期非計劃中斷主要依靠衛星單機、分系統和系統的固有可靠性和壽命保證，短期非計劃中斷可通過切換備份或其他地面干預措施進行恢復，主要依靠衛星健康管理系統進行保證。為了提高導航衛星可靠性、可用性和完好性，有必要開展衛星健康管理系統設計，最大限度地減緩和避免嚴重故障的發生，提高衛星生存能力，維護國家安全和國民經濟建設。

國外健康管理技術應用較為廣泛，從最早航天領域的綜合運載器健康管理(IVHM)系統，到SH-60直升機的使用和狀態管理系統(HUMS)、波音公司在民航領域的飛機狀態管理(AHM)系統、美國海軍的綜合狀態評估系統(ICAS)以及陸軍的嵌入式診斷和預測(ED/EP)等[1-9]。衛星健康管理系統是測試性技術發展的新階段，作為一個新興領域，其性能度量尚沒有形成完整的指標參數體系，尤其是航天器健康管理指標參數在國際上遠未達成共識，亟需研究和解決。可靠性、維修性、測試性和保障性(RMS)等通用質量特性是影響裝備保障效能的關鍵因素，而RMS指標綜合論證/權衡分析主要依托保障性建模仿真開展。如美國空軍與蘭德公司聯合開發的后勤復合模型(LCOM)，用于對F-16，C-17，F-22，JSF等飛機RMS指標要求進行權衡設計和保障效能分析；美國陸軍通信-電子司令部開發的系統使用可用性要求模型(ASOAR)，對系統級可靠性、可用性和維修性進行分析，用于戰備完好性宏觀分析[10-14]。這些仿真工具的能力包括健康管理系統指標權衡確定、評估系統執行任務的成功率或系統可用度、確定系統診斷、預測、修復或保障方案，為軍方研制決策和工業部門健康管理系統相關指標設計分析發揮了重要作用。

本文充分借鑒國外健康管理技術的研究方向和經驗，對導航衛星健康管理系統功能構建及指標體系建立方法進行研究，設計并實現了導航衛星健康管理協同設計與仿真驗證系統：一方面可實現分層級的健康管理建模，權衡確定健康管理指標參數，輔助衛星開展健康管理方案設計；另一方面能夠對上述健康管理建模、指標體系、故障檢測預測算法等進行驗證和評估，為星載健康管理設計和工程實現提供技術支撐和驗證基礎，確保星載健康管理滿足系統使用要求。

1 導航衛星任務特點及健康管理需求分析

結合導航衛星任務特點，影響導航衛星任務成功因素主要為兩方面：一是導航衛星在軌信號服務性能，包括空間信號的連續性、可用性等；二是衛星在軌安全穩定運行能力，包括衛星姿態安全、能源安全和星務安全，確保衛星能夠無故障地在軌運行。

(1) 在軌信號服務性能

導航系統服務性能主要由精度、可用性、連續性和完好性指標表征。空間信號的連續性和可用性都與衛星的中斷有關。衛星的中斷可分為短期計劃中斷、短期非計劃中斷和長期中斷3類。短期計劃中斷和長期中斷主要是由于衛星軌道保持需求，或較難恢復的異常故障導致的，需要地面干預實施，通過任務規劃等方面進行優化，減少計劃中斷的次數和中斷時間，不作為健康管理的任務需求。衛星健康管理重點針對非計劃中斷要求進行設計。

非計劃中斷包括下行信號非計劃中斷和接收上注信息的非計劃中斷，導致非計劃中斷發生的主要原因是使用了大規模的FPGA，DSP，CPU等邏輯器件的單機。由于單粒子事件或其他可恢復故障導致的功能中斷，衛星需要針對上述故障在整星、分系統、單機各層級開展健康管理設計，以縮短中斷恢復時間。

(2) 在軌安全穩定運行

根據導航衛星在軌安全、穩定的運行要求，衛星健康管理系統應能對所有可檢測的故障進行檢測，全面了解衛星的健康狀態，根據檢測和預測的結果進行相關決策。對于導航衛星行波管放大器、原子鐘、蓄電池等具有典型退化和耗損等特征的產品，其故障可能導致衛星任務失敗或壽命終結。考慮算法的成熟度和快速處理的需求，衛星健康管理需針對上述具有典型退化性能產品的性能開展長期趨勢預測與分析，全面了解產品性能變化情況，盡早發現并及時處置，以最大限度地減少中斷發生的概率。

綜上所述，衛星健康管理系統的主要需求包括：① 狀態監測數據的采集與存儲；② 狀態信息的傳輸、顯示、報告與數據預處理；③ 故障檢測、診斷與隔離功能；④ 健康狀態評估及性能趨勢分析和其他擴展需求。為了支撐衛星健康管理系統實現上述功能需求，開發了一套健康管理協同設計仿真系統，首先對衛星功能結構模型進行建模，在此基礎上，以衛星導航信號短期非計劃中斷為頂事件，通過指標計算分配模塊，從系統層面構建衛星健康管理指標體系，并計算確定指標參數，作為系統設計的依據；通過健康管理建模模塊、故障模式分析模塊、算法配置分析模塊和運行及評估模塊，實現對上述功能的輔助設計與驗證。

2 系統架構設計及功能組成

2.1 系統架構

導航衛星健康管理協同設計與仿真驗證系統架構如圖1所示。

圖1 系統架構Fig.1 System architecture

系統以圖形建模方式綜合故障檢測、預測、診斷和預測等技術的系統設計軟件，借助各種算法和健康管理模型來預測、監控和管理衛星的健康狀態。其主要功能模塊包括：功能模型建模模塊、指標計算功能模塊、健康管理建模模塊、故障模式分析模塊、算法配置分析模塊和運行及評估模塊。

2.2 系統功能組成

(1) 功能模型建模模塊

衛星對象系統功能結構建模是健康管理系統設計的首要前提之一，集中展現了系統內部不同的部件、設備、分系統之間的功能聯系與影響。與傳統的系統仿真不同，功能框圖是對系統內部相同或不同層次之間信息流關系的描述。通過構建好的系統對象功能框圖，借助圖形化設計開發環境，對健康管理各設計要素進行細化設計。

(2) 指標計算功能模塊

健康管理設計軟件目的在于結合衛星設計等綜合約束，分析計算得到滿足給定健康管理能力要求的衛星健康管理系統方案和指標參數，作為健康管理設計的依據。指標計算可覆蓋故障檢測率、隔離率、虛警率、平均間隔時間、預測覆蓋率和預測準確度等指標。

(3) 健康管理建模模塊

以保障在軌服務性能和在軌衛星安全穩定運行為任務目標，通過功能分層和任務分層，實現自上而下的健康管理建模，梳理影響各項任務成敗的關鍵因素和核心產品，與相關故障模式進行關聯，便于從單機級到整星級綜合應用故障診斷與預測技術。

(4) 故障模式分析模塊

根據衛星各分系統FMEA和功能原理圖，梳理系統級、分系統級和單機級故障模式的關聯特性，確定上級系統故障模式與下級系統故障模式的對應關系，定位引起故障的底層系統故障模式，實現危險源分析。根據定位到的故障模式和故障原因，基于狀態監測的需求，自下而上分析不同層級系統適用的狀態監測方法和測點布局方案，結合實際工程指標，優化衛星健康管理系統的監測、評估、診斷和預測能力。

(5) 算法配置分析模塊

算法配置分析模塊包括傳感器選型及算法數據庫，是實現健康管理系統功能的基礎和前提。根據不同健康管理設計需求及衛星自身功能設計約束，傳感器的確定往往包括機內測試(BIT)/傳感器/測點的位置選擇、類型選擇、精度選擇等功能，為健康管理系統的數據采集與監測方案提供基礎。健康管理算法數據庫包括故障檢測、故障診斷、故障處理和故障預測算法，是衛星健康管理系統設計的關鍵與核心，支持健康管理算法擴展。

(6) 運行及評估模塊

在分析健康管理算法性能及其對數據要求的基礎上，利用衛星典型狀態下的模擬數據、地面測試數據、在軌數據，對各健康管理算法進行獨立運行測試，并基于測試結果實現對指標設計和相關算法的準確評價和評估，從而輔助衛星健康管理系統進行迭代設計和驗證。

3 關鍵模塊設計

在健康管理協同設計與仿真驗證系統中，有2個關鍵核心的功能模塊：健康管理建模模塊和指標計算功能模塊。健康管理建模模塊主要完成衛星健康管理功能的總體構建，通過層次化的建模技術，構建從整星系統級到單機級的綜合應用健康管理模型，相當于衛星健康管理系統的簡要模型，是開展協同設計和驗證的基礎。指標計算功能模塊主要是完成衛星健康管理指標體系的構建和指標參數的計算確定和分配，用于輔助開展健康管理指標的設計和驗證，是系統提出相關指標要求的主要依據之一。

3.1 健康管理建模方法

導航衛星健康管理建模的過程，首先是自上而下地進行任務分析，以衛星導航信號短期非計劃中斷為頂事件，分解為“在軌信號服務性能”“在軌安全穩定運行”子事件，進一步對每個子事件的中斷指標要求、產生中斷的原因、故障模式等進行細化分解，建立導致衛星信號中斷的健康管理模型，作為后續健康管理方案設計、指標確定和分解的依據。

3.1.1 面向在軌信號服務性能保障需求的健康管理建模

首先，對引起導航衛星下行信號產生非計劃中斷的原因進行分析，梳理各分系統和導航下行信號中斷的關系，識別相應的故障模式，圖2給出了基于下行信號中斷特性的物理模型構建過程。經過分析，衛星導航分系統直接完成下行信號生成與播發，該任務與時頻子系統、導航任務處理和導航信號播發子系統相關。如果相關子系統發生異常或故障，可能導致單星下行信號短期中斷。因此，重點對上述故障模式，以及原子鐘、頻標分配單元、基準頻率合成器、導航任務處理機、L變頻調制器和TWTA等相關單機進行健康管理建模。

圖2 基于導航衛星下行信號服務連續性的健康管理建模Fig.2 Health management modeling based on service continuity of navigation satellite downlink signal

其次，對引起導航衛星接收上行信號產生非計劃中斷的原因進行分析，梳理各分系統和接收上行信號中斷的關系，識別相應的故障模式，圖3給出了基于接收上行信號中斷特性的物理模型的構建過程。

圖3 基于導航衛星上行信號接收連續的健康管理建模Fig.3 Health management modeling based on reacceptance continuity of navigation satellite uplink signal

經過分析，衛星在境內時，上行注入子系統可直接完成上注信息接收，如果該子系統發生異常或故障，可能導致單星接收上注信息短期中斷；衛星在境外時，自主運行、綜合電子分系統參與完成上注信息的星間轉發，如果自主運行星間轉發功能異常或綜合電子星間網絡管理功能異常，可能導致單星接收上注信息短期中斷。因此，重點對上述故障模式，以及上行注入接收機、數據處理與路由單元、星間收發信機、相控陣天線等相關單機進行健康管理建模。

3.1.2 面向在軌安全穩定運行保障需求的健康管理建模

對影響衛星平臺安全穩定運行的因素進行分析，其中控制分系統、電源分系統、綜合電子分系統分別承擔了整星的姿態安全、能源安全和星務安全，對衛星提供連續不斷的平臺服務起到至關重要的作用。圖4給出了基于衛星安全穩定運行特性的物理模型的構建過程。

圖4 基于導航衛星安全運行的健康管理建模Fig.4 Health management modeling based on the safety and stable operation of navigation satellite

經過分析，導致平臺安全異常的相關故障模式或評估預測項目包括：姿態控制異常、能源異常和星務管理異常等，覆蓋單機主要包括中心管理單元、數據處理與路由單元、電源控制器、蓄電池、敏感器及執行機構等。

3.2 指標計算方法研究及功能設計

指標計算功能模塊的核心是指標體系的建立和指標參數的計算確定。

3.2.1 指標體系的建立

衛星健康管理既強調故障的檢測與隔離、狀態的實時監視，同時強調對剩余壽命的預測。通過對國外健康管理系統及武器裝備保障系統設計指標的調研，結合導航衛星健康管理功能的需求，導航衛星健康管理指標體系應覆蓋故障檢測/隔離類、預測類、綜合保障類指標，具體參數包括：故障檢測率、故障隔離率、故障隔離時間、虛警率、平均虛警間隔時間、預測覆蓋率、準確度和精度、數據傳輸速率和帶寬、數據/程序存儲容量等。健康管理協同仿真驗證系統中有完整的指標體系參數集，在衛星系統進行健康管理設計及指標體系設計時，可以根據實際情況進行選取，每一個指標參數都有相應的指標參數計算確定方法。

3.2.2 指標參數的計算確定

對健康管理指標計算確定方法進行研究，主要包括類比法、參數權衡法、基于SIMLOX仿真軟件的參數確定法、層次分析-折中系數法、馬爾科夫鏈法和可用度-費用優化權衡法[15-17]。表1給出了各類方法的優缺點和適用性。

表1 健康管理指標計算確定方法Tab.1 Calculation and determination method for health management index parameters

北斗衛星導航系統可用性、連續性、衛星短期非計劃中斷等系統指標要求是導航衛星開展設計的主要依據之一。根據表1所述的方法適用性，在系統可用性、連續性等系統指標已知的情況下，適合選用參數權衡法、馬爾科夫鏈法，實現對衛星健康管理指標的計算確定。

以參數權衡法為例，根據衛星系統中斷指標要求及系統可用度，通過計算和權衡分析可確定故障檢測率、隔離率等健康管理指標參數。主要計算過程如下：

① 根據“非計劃中斷平均間隔時間及恢復時間”指標要求，計算出系統的可用度為：

(1)

式中，TU為能工作時間；TT為總擁有時間。

② 利用故障檢測率γFD與可用度、可靠度之間的關系，權衡分析確定故障檢測率和維修度指標，即：

A(ta)=R(tm)+γFDM(tr)[1-R(tm)]，

(2)

式中，A(ta)為系統在時間ta時的使用可用度；R(tm)為可靠度；γFD為故障檢測率；M(tr)為維修度。對于導航衛星，要求故障發生之后能夠及時、準確檢測，因此要求故障檢測率高于0.999，進而計算得出維修度M(tr)。

③ 假定維修概率密度分母函數為指數分布：

(3)

(4)

式中，tIN為無BIT技術時故障定位隔離時間；to為除tIN以外的其他時間之和；γFI為故障隔離率，根據類似產品憑經驗估計，并參考美國軍用標準MIL-HDBK-472，權衡確定to和tIN，進而計算得出故障隔離率γFI。

④ 虛警率γFA不僅與單位時間的虛警數有關，還與系統的故障率λS和故障檢測率γFD有關，即：

(5)

按照上述方法和步驟，以導航衛星非計劃中斷平均間隔時間、恢復時間等頂層要求為輸入條件，以此計算得出故障檢測率、故障隔離率、虛警率等指標，作為指導導航衛星健康管理系統設計的技術依據。

4 系統應用與驗證

導航衛星健康管理協同設計與仿真驗證系統各功能模塊應用情況如下：

① 衛星功能結構模型構建。根據衛星系統與分系統和相關單機之間的結構關系、接口關系、信息傳遞關系，構建衛星內部模型，集中展現衛星系統內部各部件、設備、分系統之間的功能聯系與影響，實現對系統內部相同或不同層次之間信息流關系的描述。

② 指標計算與分配功能。圖5給出了使用軟件進行指標分配預計的操作頁面，可選擇相應的指標權衡確定方法，對添加的健康管理指標進行分配與預計，其中系統可用度、可靠度等作為指標設計的輸入條件，可進行設置和調整，同時根據相關分系統和單機對任務影響的權重，將指標進一步分解到相關分系統及相關設備。

圖5 指標計算與分配Fig.5 Index calculation and distribution

③ 健康管理建模。圖6給出了利用軟件進行模型構建的過程，以衛星導航信號短期非計劃中斷為頂事件，分解為“下行信號短期非計劃中斷”“上行信號短期非計劃中斷”“影響在軌安全穩定運行”3個子事件，進一步對每個子事件的中斷指標要求、產生中斷的因素和相關單機設備等進行細化分解，通過層次化的建模技術，構建從整星系統級到單機級的健康管理模型，建立與故障模式的關聯關系。

圖6 健康管理模型構建Fig.6 Construction of health management model

④ 故障模式分析。通過導入的衛星FEMA分析結果，梳理整星級、分系統級和單機級故障模式的關聯特性，確定上級系統故障模式與下級系統故障模式的對應關系，定位引起故障的底層系統故障模式；基于故障模式狀態監測的需求，自下而上分析不同層級系統使用的狀態監測方法和測點布局方案，優化衛星健康管理系統的監測、診斷、預測和評估能力。

⑤ 算法配置分析。圖7給出了系統算法數據庫中所包含的主要算法，包括故障診斷算法、故障預測算法和評估算法等，可以靈活配置各類算法，算法支持擴展。

圖7 主要算法列表Fig.7 Main algorithm list

⑥ 運行及評估模塊。對各算法進行獨立運行測試，包括故障診斷和預測、對構建的健康管理指標符合情況進行驗證和評價。圖8給出了L變頻調制器故障布爾量檢測算法仿真驗證過程。圖9給出了銣信號上升、銣鐘光強下降預測算仿真驗證過程。利用同樣的流程，對錄入的可檢測、可恢復的其他故障一一進行遍歷檢查，經確認，所有已錄入故障均可按照既定規則進行檢測和恢復，故障檢測率達到100%，故障隔離率≥95%，虛警率0，滿足設計指標要求。

(a) 故障仿真算法配置和檢測點設計

(b) 故障仿真驗證結果

(a) 銣信號上升預測算法仿真結果

(b) 銣鐘光強下降預測算結果

⑦ 在實際型號研制中，導航衛星圍繞短期非計劃中斷的任務目標，采用本文所述的健康管理建模方法，對衛星健康管理系統進行了設計和實現，并對健康管理功能進行了測試、驗證和在軌應用，在軌運行結果表明，空間信號連續性整體統計優于99.99%/h，滿足≥99.8%的指標要求，空間信號可用性整體統計優于99.78%，滿足≥98.0%的指標要求[18]，有效保障了北斗衛星導航系統連續穩定的運行和服務。

5 結束語

本文提出的健康管理建模和指標確定方法是以衛星導航信號短期非計劃中斷為頂事件，通過分析引起衛星短期非計劃中斷的主要原因和故障模式，提出了相關的指標要求和健康管理設計，對衛星連續性和可用性的提升具有意義。本文搭建了一套健康管理協同設計與仿真驗證系統，能夠實現衛星健康管理建模和功能仿真，并通過算法配置實現對健康管理指標的輔助設計和計算確定，通過數據驅動實現對健康管理算法的運行和評估驗證，為星載健康管理工程實施奠定了基礎。后續，結合衛星在軌運行情況，將進一步升級和完善衛星健康管理功能，為我國同類航天器健康管理技術發展和能力提升提供借鑒和參考。