推进剂利用系统液位采集故障的分析与改进设计

徐淑华 崔 宇 宋征宇

北京航天自动控制研究所，北京 100854

某运载火箭推进剂利用系统设计采用了三冗余控制方案。在火箭靶场测试过程中，进行利用系统冗余测试项目时，出现未采集到液位信号的问题。本文针对这一故障现象，进行故障查找、机理分析和试验复现，并提出改进方案，对系统设计进行了改进，彻底解决了三冗余状态下液位信号采集可能出现的小概率问题，提高了系统设计可靠性。

1 问题描述

推进剂利用系统为三冗余控制，当有一路输出故障时，可以保证系统正常输出。在进行系统冗余测试时，模拟CPU2故障，CPU1，CPU3工作时，CPU1，CPU3采集的燃烧剂21点液位信号时间不一致，2个CPU采集的液位信号时间相差16.8ms，而按照系统设计，正常情况下各CPU采样时间最多相差2.5ms，说明采样异常。

对2个液位信号时间进行复核，CPU1采集的燃烧剂21点液位信号时间为正常接收的模拟液位信号，CPU3采集的燃烧剂21点液位信号时间，经过计算分析，确认为系统装订的燃烧剂21点理论时间，不是采样时间，说明CPU3的21点液位信号采样故障，没有正常确认。

2 故障分析

2.1 推进剂利用系统及液位采样工作原理

推进剂利用系统是调节火箭飞行中液体发动机推进剂组元比以保证燃烧剂和氧化剂贮箱中二组元同时耗尽的控制系统，它可以有效减少推进剂加注安全余量，提高火箭有效载荷能力。推进剂利用系统由感受2个贮箱推进剂组元质量的敏感元件、计算贮箱中推进剂贮量比与控制量进行比较给出输出调节量的计算机和调节发动机工作组元比的执行机构组成，属于闭环组元比调节系统。

火箭飞行过程中，推进剂利用系统的计算机采样贮箱内敏感元件状态，进行液位点采样确认。利用系统地面进行模飞测试时，由地面液位模拟信号源按给定时间模拟给出氧化剂和燃烧剂二组元的液位接点信号。氧化剂和燃烧剂各有41个液位接点，在电气连接上按6×7矩阵排列。模飞中，运行在利用系统计算机3个CPU中的飞行软件输出行信号，3个CPU的行信号通过三取二输出，当液位模拟信号源接通某个液位点信号时，行列矩阵中对应该点的继电器触点闭合，行输出通过闭合触点送到计算机的列输入端，供3个CPU中的飞行软件采集，软件在连续采样到一定时间后，确认此液位点信号有效。液位采样原理图如图1所示。

2.2 三冗余控制工作状态分析

推进剂利用系统采用三冗余控制方案，三CPU独立工作，输出三取二有效。针对三冗余同步问题，系统设计采用了冗余时钟同步方案，以最大限度减少不同步现象的发生。但从原理上分析，仍会有采样相差一个周期的不同步现象存在，此现象对系统的输出没有影响。

对三冗余控制方案可能出现的系统工作状态进行梳理，情况如表1。

表1 三冗余控制工作状态表

由表1可以看出，在CPU采样不同步现象发生时，不同步的CPU间采样时间相差2.5ms，对CPU的液位点确认和调节输出没有影响。而上述21点液位信号采集出现的故障现象，CPU液位点未正常确认，与系统设计预期不符，需进一步查找原因。

测试时液位信号使用的是地面模拟信号，从图1可以看出，三路CPU采样的模拟液位信号同源，CPU1正确采样液位信号，说明模拟液位信号正常。同时控制器CPU硬件电路，包括行输出、列输入和三取二输出电路，均有多点共用，与CPU3的21点共用硬件电路的其余点采样均正常，说明硬件电路正常。通过初步分析，是系统软件确认采样信号问题。

2.3 软件对液位信号的采样和确认

飞行软件采集第i点氧化剂(或燃烧剂)液位信号时，先通过控制并口输出i点所在行的行信号，之后读取i点所在列的列信号，如果读到的列信号有效，则认为此次采集到第i点信号。连续采集到40个周期(1个周期2.5ms)，对此点信号进行确认。

飞行软件在1个周期内依次完成氧化剂第i点液位信号采样及判别、燃烧剂第i点液位信号采样及判别、氧化剂第i+1点液位信号采样、燃烧剂第i+1点液位信号采样。处理流程如图2(a)所示，其中调用到2个子程序单元，信号采样单元流程见图2(b)，列信号判别单元流程见图2(c)。

图2 软件采集液位信号流程图

由于软件对液位信号的采样为查询方式，液位信号到达时刻与每周期查询点的时间先后关系不确定，且不同的CPU由于晶振差异，每周期内语句执行的速度不同，造成对于1个同源的列输入信号，不同CPU的采样结果会存在1个周期的差异，如图3中第1个2.5ms周期所示。

图3中的第1个周期， CPU1,CPU3燃烧剂21点采样不同步，CPU1比CPU3提前1个周期(2.5ms)采到液位信号，因此CPU1连续采样到40个周期确认液位信号时，CPU3只采样到39个周期，仍需1个周期才能确认该信号；但从下一周期起，CPU1不再输出第3行，而切换到输出下一行，由于行信号是通过三取二输出的，即至少有2个CPU输出同一行，行信号才能有效输出，所以CPU3由于没有有效的第3行输出而无法采到燃烧剂21点的列信号，致使CPU3始终无法确认该点信号，此状态一直持续到燃烧剂21点采样窗口后沿结束后，最终导致CPU3将燃烧剂21点判为故障，而用21点理论装订值代替。

图3 软件采样时序周期图

通过上述软件采样时序的分析得出，软件在冗余状态下采样不同步时，造成采样时间相差一个周期, 会产生晚采样1个周期的CPU无法确认液位信号的现象。出现液位信号不能确认的原因需要同时具备下面2个条件：

1)不同CPU查询到液位信号的时刻不同，最后查到信号的CPU就会出现采不到信号的现象。如图3中CPU3比CPU1晚1个周期采到液位信号；

2)对行末点信号采样。图3描述的是对燃烧剂第21点(即第3行最末点)的采样时序情况。而非行末点时，采样下一点不需要切换行输出，行信号始终有效。

2.4 故障复现试验

针对上述机理分析，系统进行了故障复现试验。由于在系统状态下，不同步现象发生的概率很小，发生不同步而且又在行末点就更难复现，因此采用给2个CPU装订不同版本飞行软件的方法，模拟出2个CPU采集到液位信号时间的不同步现象，在软件测试台上进行了复现试验。方法是：CPU1装订的飞行软件将液位信号确认的周期改为39，CPU3装订的飞行软件液位信号确认的周期为40，使得CPU1比CPU3提前1个周期确认液位，模拟CPU1与CPU3采样不同步。模拟测试结果与分析结果相同，在每行行末点均会出现CPU3不能正确确认液位信号，使用装订理论值代替的现象。针对CPU2,CPU3和CPU1,CPU2工作时的冗余测试，也进行了同样的模拟试验，测试结果均与分析结果相同。通过试验证明，在冗余测试时，每行末点采样不同步的情况下，会出现晚到的CPU采不到液位点信号的问题。

3 解决方案与改进设计

通过上述分析与试验，故障定位在冗余测试状态下，采样不同步时，会造成在行末点晚采到液位信号的CPU无法确认液位信号，而将液位信号错认为故障，原因是晚采的CPU在最后一次采样时没有有效的行信号输出。基于此故障原因，系统改进行末点换行方法，采用基于周期延时的换行策略，即采样确认后，行信号在本周期输出不断开，而是延时几个周期后再断开。在保证不影响下一行第1点采样的情况下，确保CPU采样不同步时，各CPU均可正常进行液位信号的确认。

进一步分析，此问题在三CPU测试状态下也会产生。当在行末点采样出现不同步，且有1个CPU晚时，晚采样的CPU无法确认行末点液位信号。采用上述改进的换行策略后，此类问题均可解决。

飞行软件进行相应更改后，通过软件测试平台对更改进行了多次验证，测试结果均正常。

4 结束语

本文对推进剂利用系统三冗余控制状态下的液位采样问题进行了分析，通过研究采样原理和软件流程，对故障进行了定位，并完成复现试验，证明了采样液位信号的行末点换行方式是造成问题的原因。对行末点换行方法进行改进，采用了基于周期延时的行末点换行策略，并针对此要求对飞行软件进行了相应更改。彻底解决了此种三冗余控制状态下不同步现象带来的液位信号采样故障问题。后续大量试验证明了更改方案的正确性。

[1] 孙凝生.冗余设计技术在运载火箭飞行控制系统中的应用[J].航天控制，2003，21(1):65-81.(SUN Ningsheng.The Redundancy Designs for Guidance and Control System of Launch Vehicle[J].Aerospace Control,2003，21(1):65-81.)