固液捆綁火箭發動機健康診斷技術

楊欣茹，王猛，高莉，辛高波，孫平，黨鋒剛

（1.上海宇航系統工程研究所，上海 201109；2.上海航天技術研究院，上海 201109；3.西安航天動力研究所，陜西 西安 710100）

0 引言

液體火箭發動機健康診斷技術是提高運載火箭發射可靠、安全的關鍵技術之一，近年來一直受到各航天大國的高度重視。

美國的液體火箭發動機故障監測系統以航天飛機主發動機（Space Shuttle Main Engine，SSME）應用為代表，從20 世紀70 年代簡單的紅線關機系統逐漸向集成化、平臺化的趨勢發展［1-4］。2004 年設計的先進健康管理系統通過箭載健康管理計算機形成了實時振動監控、光學羽流異常監測和基于線性發動機模型監測的3 個實時故障監測子系統［5-6］，有效提高了SSME 在發射、升空階段的可靠性和安全性。近年來，美國在空間運載計劃和集成空間運輸計劃指導下，相繼進行了多個先進健康監控或健康管理系統的研發，包括火箭發動機健康管理系統、集成健康監控系統、智能集成管理系統等多種系統框架或方案［7-8］。美國的火箭發射系統大多配備牽制釋放系統，液體火箭發動機的健康檢測也得到了廣泛應用。如獵鷹9 號火箭，其一級使用9 臺Merlin 液氧煤油發動機，發射期間一級在發動機點火后仍系留于地面，自動檢測系統確認發動機工況，若檢測到任何異常將執行自動安全關機，大幅減小了發動機起動失敗和性能不足的風險。俄羅斯火箭發動機研制過程中研發了故障監測系統［9-10］。以RD-180 火箭發動機為例，故障監測系統在發動機起動前、起動過程和主級工作中均進行監測；起動前監測流量調節器和燃料節流閥傳動軸初始和最終狀態、燃料隔離閥蝶盤狀態；起動過程中監測起動箱增壓氣路、推力室燃料閥打開控制氣路壓力信號計、渦輪泵轉速；主級工作過程中監測渦輪泵轉速和燃料預壓泵轉速、氧化劑泵轉子軸向位移、主渦輪出口燃氣溫度。RD-180 火箭發動機采用分級起動方式，初級工況監測正常后才繼續起動和發射流程。

我國對液體火箭發動機健康監控系統的研究多集中于地面試車及地面仿真［11-19］，目前國內尚無在火箭發射中應用發動機健康診斷系統的先例。2002 年，西北工業大學于瀟等［11］研制了一種液體火箭發動機渦輪泵狀態監測與故障診斷系統，并通過了2 次發動機熱試車考核。2008 年，西安航天動力研究所馬紅宇等［14］設計了液氧煤油高壓補燃發動機地面試車故障監控系統。2019 年，西北工業大學趙萬里等［18］提出了一種遞歸結構識別（Recursive Structure Identification，RESID）算法用于液體火箭發動機故障診斷。此外，國防科學技術大學針對新一代大推力液體火箭發動機設計開發了地面試車故障實時檢測與診斷系統［20-21］，并多次通過了地面熱試車的考核。2022 年CZ-6A 運載火箭作為我國新一代固液捆綁火箭，在國內火箭運載領域率先采用了箭上液體發動機健康診斷技術，并圓滿完成了首次飛行試驗任務，標志著國內運載火箭箭上液體發動機健康診斷技術取得重大突破。

1 發動機健康診斷方案設計與實現

1.1 總體點火時序設計

在固液捆綁火箭總體構型中，運載火箭芯一級采用我國新一代液氧煤油發動機，助推器采用大推力固體發動機。對于液體發動機，若發動機起動失敗或性能不滿足要求，只要火箭不離開發射臺，均可對液體發動機實施緊急關機，以保證箭體、衛星載荷及發射設施的安全。但是固體發動機一旦點火則不可逆，無法在發射臺上實施緊急關機。

根據固液發動機推力建立時間的不同，在固液捆綁火箭總體設計時采用芯級發動機先點火、固體發動機后點火的方案。參考國外運載火箭牽制釋放的原理，在固體發動機點火前對芯級發動機進入額定工況后進行健康診斷，判斷發動機工作狀態，若工作正常則實施固體發動機點火，火箭起飛，否則緊急關閉芯一級發動機，中止發射。這種點火時序設計方案充分發揮固液捆綁火箭綜合優勢，極大地提高固液捆綁火箭的點火安全性，保證了箭體、衛星載荷及發射場地面設施的安全。

1.2 發動機健康診斷系統組成

液體發動機健康診斷系統主要由健康診斷控制器、綜合控制器、芯一級發動機傳感器及變換器組成，如圖1 所示。芯一級發動機傳感器及變換器上電后全程采集發動機參數，并將參數傳輸至箭上健康診斷控制器。健康診斷控制器以點火指令時刻為基準，在發動機健康診斷區間內，判定芯級發動機是否工作正常，若異常則向地面測發控系統及箭上綜合控制器發出緊急關機信號。綜合控制器以點火指令時刻為基準，執行芯級發動機點火程序，當接收到緊急關機指令時，執行芯級發動機緊急關機程序，同時停發固體發動機點火指令。

圖1 發動機健康診斷系統組成Fig.1 Structure of the engine health diagnosis system

1.3 健康診斷算法

1.3.1 診斷參數

液氧煤油發動機系統一般由火藥啟動器、電爆管、渦輪泵、推力室、燃氣發生器、蒸發器、活門、機架、導管及控制組件等組成。發動機起動過程中的故障大部分是由火藥啟動器、電爆管和活門引起，在穩態工作段多易發生泄漏、渦輪泵故障等問題，在關機過程中則易出現活門關閉不嚴、不動作等問題，造成的后果有性能下降、部件損壞甚至發動機爆炸。液體發動機故障模式見表1。

表1 液體發動機故障模式Tab.1 Malfunction modes of liquid engine

每一種故障對應一定的故障特征參數，故障發生時故障信息就會通過特征參數表現出來。根據液體發動機的主要故障模式，其主要特征參數包括轉速參數和壓力參數。各健康診斷參數表征發動機狀態情況見表2。

表2 發動機健康診斷參數Tab.2 Parameters of engine health diagnosis

1.3.2 診斷時間

芯一級發動機起動完成后火箭仍停留在發射臺，在此期間內健康診斷系統采集發動機參數信息，根據診斷算法，自動得出發動機是否正常起動的結論。

液體發動機點火后停留時間越長，越有利于提高診斷結果的可靠性。但停留時間過長，一方面增加了發動機的工作時間，對提高診斷可靠性的作用有限；另一方面造成已加注推進劑的浪費，影響火箭運載能力。因此，綜上所述需選取合理的停留時間。

根據芯級發動機起動特性，發動機起動時由于渦輪泵轉速等主要參數變化劇烈，難以準確檢測、判斷其參數狀態是否異常，因此此時不進行健康診斷，防止誤關機。根據歷次發動機試車（含極限邊界試車）及其飛行數據統計，發動機在起動后2.40 s內完成起動過程進入額定工況。各診斷參數進入額定工況的時間見表3。

表3 各參數進入額定工況的時間統計Tab.3 Time statistics of each parameter entering the specified working condition

為提高診斷結果可靠性，同時避免推進劑浪費，在芯級發動機起動2.50 s 后發動機參數波動變緩，發動機進入穩態工作階段，此時健康診斷系統介入，采集發動機關鍵特性參數，對發動機工作情況進行分析判斷，健康診斷結束時間為發動機起動2.80 s 后，診斷時長0.30 s，如圖2 所示。在芯級發動機工作正常情況下，固體發動機在液體發動機起動3.00 s 后實施點火，火箭起飛。

圖2 發動機健康診斷診斷時間要求Fig.2 Time requirement of engine health diagnosis

1.3.3 診斷算法

發動機健康診斷系統要求在較短的時間內判別出發動機工作狀態，因此選擇算法簡單、運算量小的紅線檢測算法。發動機傳感器的安全帶設置是紅線算法的核心和難點，安全帶過窄可能造成誤關機，過寬則敏感度不足，不能及時檢測到故障。為了在避免誤關機的情況下盡早發現故障，健康診斷算法在設計時采用“中心值+上下偏差”給定參數安全帶。安全帶中心值采用發動機工藝驗收試車時的均值，上下偏差則根據不同入口壓力和溫度、測量誤差、信號噪聲等干擾因素設定，且為避免誤關機留有一定的安全余量。

為提高診斷可靠性，在紅線檢測方法中，選定的檢測參數有3 種狀態：正常、異常和剔除。正常狀態是指參數在安全帶內；異常是指參數超出安全帶，但在傳感器量程范圍內；剔除是指參數超出量程范圍。發動機健康診斷算法設計原則為既要保證發動機的故障能有效診斷出來，同時又不能因誤診斷而導致發動機誤緊關。故在進行健康診斷算法設計時，采用多參數聯合診斷算法，確保診斷算法的可靠性，如圖3 所示。主要診斷邏輯如下：①各路診斷參數首先進行剔除判別，若參數超過傳感器量程則進行剔除；②若參數在量程范圍內，則進行參數安全帶判別，若參數連續3 次超過要求的安全帶，則認為該參數異常；③若有3 個及以上的參數同時異常，則認為發動機異常。

圖3 發動機健康診斷算法邏輯Fig.3 Logic diagram of the engine health diagnosis algorithm

1.4 健康診斷控制器冗余設計

為提高健康診斷系統可靠性，箭上進行發動機參數診斷的控制器采用三冗余設計。控制器內的3 個主控采樣模塊運行功能相同的軟件，接收來自地面設備發出的點火信號，獨自進行數據采樣及參數診斷，完成發動機關鍵狀態參數采集及診斷功能，最后通過硬件進行3 取2 處理，結果分別輸出至綜合控制器和地面測發控系統。健康診斷控制器功能架構如圖4 所示，硬件架構如圖5 所示。

圖4 健康診斷控制器功能架構Fig.4 Functions of the health diagnosis controller

圖5 健康診斷控制器硬件架構Fig.5 Hardware architecture of the health diagnosis controller

電源模塊包含電源子模塊1、電源子模塊2 和電源子模塊3，這3個子模塊相互獨立，結構完全一致，主要由濾波器和DC/DC 模塊組成。每個電源子模塊均產生2 檔電源：±15、±5 V，其中±15 V 為運算放大器和AD 采樣電路提供電源，±5 V 為其余控制電路供電。為外部發動機供電的±15 V 由電源子模塊1 和電源子模塊2 并聯冗余供電，即使一路±15 V 失效，另一路仍能給發動機供電，以保證供電可靠性。

主控采樣模塊是健康診斷控制器的核心，由3 個采樣子模塊組成，形成三模冗余，3 個子模塊完全一致。主控采樣模塊主要負責發動機各參數的采集與處理、地面設備點火指令的接收、向綜合控制器發送緊急關機指令等。每個采樣子模塊接收到接口模塊發來的以3 取2 表決后的點火指令為時間基準，在診斷區間內對發動機和傳感器的各參數進行采集、處理，判斷發動機和傳感器是否正常工作，若出現異常，則向接口模塊發出緊急關機指令。接口模塊是健康診斷控制器和地面設備、綜合控制器之間的信號傳遞模塊，主要是接收地面設備的點火指令、發送緊急關機指令。接口模塊通過三路獨立的光耦接收點火信號。接口模塊內設有由3 個固態繼電器組成的3 取2 表決電路，將3 個主控采樣模塊各自輸出的緊急關機信號通過硬件表決，輸出最終的緊急關機信號。

2 試驗驗證情況

為考核發動機健康診斷系統方案及單機設計的正確性，箭上健康診斷系統參與發動機地面試車試驗考核。地面試車考核按2 種發動機工況進行開展：發動機降工況試車和發動機正常試車。前者模擬發動機工況下降工況，檢查箭上健康診斷系統對發動機故障診斷并實施緊急關機工作情況；后者模擬發動機正常工況，檢查箭上健康診斷系統正常工作情況。地面試車時，發動機健康診斷區間設置為試車全程診斷。

2.1 發動機降工況試車

試車時間510 s，前400 s 為額定工況，400～450 s進行高工況考核，490 s 開始降工況關機，發動機試車工況變化如圖6 所示。發動機降工況后，健康診斷參數超出安全帶范圍，健康診斷控制器發出緊急關機信號，考核了箭上健康診斷系統對發動機故障情況的適應性。參數曲線如圖7 所示。

圖6 發動機試車工況變化情況Fig.6 Schematic diagram of the engine test condition change

圖7 變工況下的健康診斷參數曲線Fig.7 Curves of the health diagnosis parameters under the variable test condition

續圖7 變工況下的健康診斷參數曲線ContinuousFig.7 Curves of the health diagnosis parameters under the variable test condition

2.2 發動機正常試車

試車過程中轉速參數、壓力參數1、壓力參數2、壓力參數3 曲線如圖8 所示。進入診斷區間后，所有診斷參數均在安全帶范圍內，未發生漏緊關、誤緊關現象。通過發動機試車試驗，驗證了系統間接口協調匹配性及發動機健康診斷策略設計、軟件實現的正確性和有效性。

圖8 正常工況下的健康診斷參數曲線Fig.8 Curves of the health diagnosis parameters under the normal test condition

續圖8 正常工況下的健康診斷參數曲線ContinuousFig.8 Curves of the health diagnosis parameters under the normal test condition

2022 年3 月29 日，首次采用的發動機健康診斷系統圓滿完成了新一代固液捆綁運載火箭CZ-6A 首飛任務，進一步驗證了發動機健康診斷技術設計方案的正確性。經對遙測數據分析，在診斷區間內，健康診斷控制器3 塊CPU 采集的數據一致性較好。各參數均在安全帶內，未發出緊急關機信號。

3 結束語

本文對固液捆綁火箭中固體發動機點火后不可逆的特點，首次采用了一種箭上發動機健康診斷系統。經飛行試驗驗證表明，發動機健康診斷系統方案合理可行，大幅提高了固液捆綁火箭的點火安全性。該方案可以作為其他運載火箭或航天器發動機健康診斷系統設計的參考。