CAST968平台小卫星在轨故障分析和建议

吕高见

(北京控制工程研究所，北京 100190)



CAST968平台小卫星在轨故障分析和建议

吕高见

(北京控制工程研究所，北京 100190)

统计CAST968平台从2000年至2014年在轨发生的142次故障，分析发现故障性质、故障原因、故障产品类别、故障时间和故障分系统等都存在明显的规律性.对决定卫星成败的姿态轨道控制分系统进行故障原因、故障单机和故障产品类别三个方面的统计分析，总结出设计、环境和器材是导致姿轨控分系统故障的三大重要因素.简要分析其他分系统，最后给出故障预防和设计建议，包括加强抗辐照设计、关键单机和电路的冗余设计等.

CAST968；在轨故障分析；故障预防；设计建议.

0 引 言

CAST968平台是中国空间技术研究院研究的一种成熟的小卫星公用平台，采用偏置动量模式进行姿态控制，三轴对地稳定.控制分系统执行机构包括动量轮、磁力矩器和推进子系统，稳定运行时卫星俯仰轴由动量轮控制，滚动轴和偏航轴由磁力矩器控制；其姿态测量部件包括红外地球敏感器、数字太阳敏感器以及惯性敏感器(陀螺)，正常运行情况下，姿态测量信息由红外地球敏感器提供，陀螺主要提供星箭分离后及卫星变轨过程中的角速率信息.CAST968平台具有系统设计简单、造价低、抗干扰特性好等优点，但其控制精度不高.

基于该平台研制的第一颗卫星于1999年5月发射并成功运行[1].10多年来该平台已经过30多颗卫星的多次空间飞行考验，平台性能稳定，但在轨也发生了不少的故障和问题.本文以CAST968平台小卫星从2000年至2014年在轨发生的142次故障为统计基础，从故障分系统、故障单机、故障时间、故障等级、故障性质等多个方面进行了统计分析，查找规律，梳理产品研制中的薄弱环节，并提出了若干工作建议.

1 统计规则和定义

本文共统计了CAST968平台的142次在轨故障，故障等级定义见表1和表2[2].

表1 在轨故障等级规定(按故障对航天器在轨运行影响的程度分类)

表2 在轨故障性质规定(按故障的修复性分类)

2 故障分析

2.1 总体分析

(1)故障等级及性质分布

经过对故障数据分析，绝大多数故障为轻度，非主要故障占7.04%，关键性故障占2.82%，没有发生灾难性故障.

接近79.58%的故障为非常驻故障(即可恢复故障)，只有20.42%为常驻故障.

(2)故障原因分布

图1是故障性质分布图，空间环境影响和设计缺陷是导致在轨故障发生的两大原因.

图1 故障原因分布Fig.1 Distribution of failure reasons

(3)故障产品类别分布

图2是故障产品类别分布图，“其他”一项是指由于地面操作错误而导致的故障.可见电子类的故障占比较大.

图2 故障产品类别分布Fig.2 Distribution of failure component types

(4)故障时间分布

图3是发射后的故障时间分布图.有5成多的故障都发生在发射后的前2年.

图3 发射后的故障时间分布Fig.3 Distribution of failure time after launch

图4是发射后故障时间趋势图.由图可见，故障次数基本上呈逐年减少的趋势.

图4 发射后的故障时间趋势Fig.4 Trend of failure time after launch

(5)故障分系统分布

大多数的故障分布在星务、测控、电源和姿轨控4个分系统，4个分系统故障次数总和占总次数的85.9%.按分系统分类对故障性质进行统计见表3.由表3可见，4个分系统中测控分系统和电源分系统的大多数故障为轻度故障，不存在关键性故障，而星务分系统和控制分系统都存在2次关键性故障.

综合上述统计结果，分析总结如下：

1)在轨发生的绝大多数故障均为轻度并且是可恢复的.

2)器材和空间环境是关键性故障的主要发生原因；而非主要故障的发生原因主要有器材、环境和设计；轻度故障主要由环境引起.设计因素在这里不是特别突出的原因在于作为统计样本的CAST968平台有许多继承性的卫星，设计相对成熟，出错率低.

表3 按分系统分类的故障性质统计

3)故障高发的前三类产品类型分别为电子类(71.13%)、机电类(14.79%)和电气类(4.93%)，三者累计占有总故障的90.85%.分析认为原因有三[3]：第一，卫星中含有的电子产品远超过机械部件，产品基数大，因此故障次数也会相对较多；第二，辐射、太阳风暴和电磁场等空间环境也主要影响电子设备；第三，有些电子设备损耗比较大，如电池等.

4)53.52%的故障都发生在发射入轨后的前两年，分析认为：电子元器件的故障一般呈现“浴盆曲线”的规律[4]，即早期因磨合等原因故障率一般较高，中期故障率较低，后期因寿命和损耗原因故障率又逐渐上升.而由上面第3点可知，卫星故障的大部分为电子类产品故障，电子类产品的故障又取决于电子元器件的故障，因此电子元器件的“浴盆曲线”规律会直接投射出卫星的故障规律.故在轨早期卫星的故障率较高，随着时间推移故障次数逐渐降低.但由图 4可以看出在曲线末尾并未出现浴盆曲线应有的翘尾现象，这是因为在统计CAST968平台小卫星的样本区间内，元器件还未到损耗期，因此目前已有数据并不能看出浴盆曲线的尾部特征.

2.2 姿轨控分系统分析

姿轨控分系统组件较多，包含不少关键产品，其故障直接关系到整星安全.本节着重对姿轨控分系统故障进行分析，从卫星142个故障中筛选出姿轨控分系统故障共有27个，以下为统计情况.

(1)故障原因分布

图5是姿轨控分系统故障原因分布，由图可见设计、环境和器材是导致姿轨控分系统故障的3个重要因素.与图1卫星的故障原因相比，器材的占比显著增加.

图5 姿轨控分系统故障原因分布Fig.5 Distribution of AOCS failure reasons

(2)故障单机分布

图6是姿轨控分系统的故障单机分布.可见故障主要集中在红外地球敏感器、控制计算机和推进子系统.

图6 姿轨控分系统故障单机分布Fig.6 Distribution of AOCS failure components

(3)故障产品类别分布

图7是姿轨控分系统的故障产品类别分布.与图2卫星的故障产品类别进行比较可以看出，卫星的电子类产品故障较多，而姿轨控分系统则是机电类产品故障占大多数.

综合上述统计结果，分析总结如下：

1)设计、环境和器材是导致姿轨控分系统故障的重要因素，从故障严重性角度来看，由表3可知导致关键性故障的均为器材.结合图6，故障最多的是红外地球敏感器和控制计算机.红外地球敏感器故障多数是由于因工艺缺陷导致噪声输出变大，从而导致红外地球敏感器输出数据跳变，为器件衰退而导致的固有质量问题；另外部分红外地球敏感器故障是由于月亮进入视场而导致，为空间环境影响.控制计算机故障主要由空间环境干扰引起.

图7 姿轨控分系统故障产品类别分布Fig.7 Distribution of AOCS failure component types

2)姿轨控分系统的机电类故障占了51.85%，原因在于控制分系统含有较多的机电类产品.这些机电产品中，转动部件故障概率较大，例如前面所说的动量轮、帆板驱动机构、陀螺等等.CAST968平台因为在轨陀螺不加电，因此陀螺故障较少.而红外地球敏感器和帆板驱动机构等转动部件，往往是制约卫星寿命的重要因素.

2.3 其他分系统分析

电源分系统的故障往往是致命的.从卫星142个故障中筛选出电源分系统故障共有24个.电源控制器的故障占了37.5%，并且有将近一半是由于环境因素引起.太阳电池阵的遥测异常都属轻度故障，是由工艺原因引起.CAST968平台在轨没有发生因太阳电池阵的失效而影响整星能源供给的重大事故，但是对这类故障的防范仍是卫星设计时的重中之重.蓄电池组随着在轨时间的增加，容易产生衰退类的故障，受空间环境影响较为明显.

星务分系统的故障共有41个，全部都是电子类故障.其中27个为环境因素引起.太阳风和电子风暴导致单粒子效应从而引发计算机切机、遥测异常、通讯故障等.

测控分系统的故障共有30个，全部都是电子类故障.其中有一半是环境因素引起.

其他例如有效载荷、数传、热控分系统等故障率较低，一般不会对整星安全造成影响.

3 故障预防和设计建议

结合上述统计，给出与故障预防和设计相关的建议：

1)充分开展FMEA分析：对各单机开展FMEA分析工作，深入剖析单机可能发生的故障及原因，全面分析故障发生后对系统的影响，并针对故障做好充分的预案.查找薄弱环节并加以更改，尽量避免灾难性故障和关键性故障单点失效.对可能出现灾难性故障和关键性故障及单点故障的单机采取相应的冗余措施，并根据相关准则制定可靠性关键项目的跟踪和控制计划，确保所有产品的风险评价指数都是可以容忍的.

2)加强抗辐照设计：从故障统计情况看，各分系统受空间环境的影响较大，因此设计上应加强单机产品和器件的抗辐照能力.硬件方面，尽量选用抗辐照的元器件，除此之外硬件抗辐照加固设计还包括资源利用率选取、EDAC(错误检测与修正)电路设置、冗余设计(包括单机冗余和三模冗余)、硬件计数器设置等方法.软件方面，设计师应严格按功能进行模块化程序结构设计，使各模块保持高度的独立性、单向性，并具有防范非法侵入的自保护措施，设置指令重启、数据回读、三取二表决、反弹墙设计和软件看门狗等[5-6].在故障产生后，设备应具备自主纠错以及自主重启等功能，以实现解除单粒子翻转、单粒子锁定等故障.

3)关键单机和电路的冗余设计：冗余(包括硬件冗余和软件功能冗余)是提高卫星可靠性的主要手段.关键单机如姿轨控分系统的执行机构、计算机等都要有充分的冗余.

4)开展关键单机的长寿命高可靠性设计研究和验证工作：对于蓄电池、太阳帆板驱动机构等，必须通过提高产品寿命来降低在轨故障率[7].对于这些单机应从原材料、工艺等方面加强长寿命设计，并进行长寿命高可靠性验证专项试验.

5)加强地面试验验证：针对前面分析，大多数的故障发生在卫星入轨后前两年，应加强地面试验验证，充分考虑卫星环境试验条件，对卫星元器件进行有效筛选，并增长地面试验时间，全面仔细判读试验数据，使故障尽可能在地面试验阶段暴露.

6)通过故障诊断和灵活性设计手段，提高在轨故障处理能力[7]：通过航天器故障诊断技术，对故障快速、准确的进行评估和预测.加强航天器的自主故障诊断功能设计.从故障处理角度来看，航天器软硬件可以进行灵活设计，预留接口，使地面人员在处理故障时可以重新对硬件进行配置，或上注程序修改软件缺陷.

7)欠配置情况下的系统重构能力设计：通过系统级的欠配置运行能力设计，在系统出现部分单机永久性故障时，能够自主/遥控转入欠测量姿态确定方式或者欠驱动姿态控制方式，实现系统指标有限下降后的在轨稳定运行.

8)严格把控地面各操作环节：针对地面操作引起的在轨故障，应加强地面人员专业培训，加强上注指令和数据块的复核复审工作，严格控制地面软件版本，对地面设备定期检查.同时，星上软件可对上注数据增加剔野措施，确保错误数据不引入系统.

4 结 论

本文通过统计并分析CAST968平台从2000年至2014年在轨发生的故障，分别从整星以及控制分系统角度对故障发生的原因、故障发生时间、故障产品类型分布等方面总结出故障发生的规律.最后针对故障统计结果，分别从设计、测试、故障处理、系统重构等方面对系统的故障的预防以及故障发生后处理策略给出了建议.

[1] 朱毅麟.中国空间技术研究院的标准化卫星平台[J].航天器工程，2007，16(1)：10-17. ZHU Y L. CAST’s standardized satellite platforms[J]. Spacecraft Engineering，2007，16(1)：10-17.

[2] 陈莲芬，王环，阎志宏,等. Q/W 1125—2007 航天器在轨故障等级规定[S].北京：中国空间技术研究院，2007. CHEN L F, WANG H, YAN Z H, et al. Q/W 1125—2007 Failure grade rules for spacecraft in orbit[S]. Beijing：China Academy of Space Technology，2007.

[3] 张森，石军，王九龙. 卫星在轨失效统计分析[J].航天器工程，2010，19(4)：41-46. ZHANG S, SHI J，WANG J L. Satellite on-orbit failure statistics and analysis[J]. Spacecraft Engineering，2010，19(4)：41-46.

[4] 张黎，张波. 电气设备故障率参数的一种最优估计算法[J].继电器，2005，33(17)：31-34. ZHANG L, ZHANG B. An algorithm for optimal parameter estimation of the failure rate of electrical equipment[J]. Relay，2005，33(17)：31-34.

[5] 刘必鎏，杨平会，蒋孟虎,等. 航天器单粒子效应的防护研究[J].航天器环境工程，2010，27(6)：693-697. LIU B L, YANG P H, JIANG M H, et al. The protection against single event effects for spacecraft[J]. Spacecraft Environment Engineering，2010，27(6)：693-697.

[6] CARMICHAEL C, FULLER E, BLAIN P, et al. SEU mitigation techniques for Virtex FPGAs in space applications[C]//Proceeding of 2ndannual military and aerospace of programmable logic devices and technologies international conference.Washington D.C.：NASA，1999：24-34.

[7] 谭春林，胡太彬，王大鹏,等. 国外航天器在轨故障统计与分析[J].航天器工程，2011，20(4)：130-136. TAN C L，HU T B，WANG D P, et al. Analysis on foreign spacecraft in-orbit failures[J]. Spacecraft Engineering，2011，20(4)：130-136.

[8] 姜东升，张沛，刘鹏,等. 卫星电源系统在轨故障分析及对策[J].航天器工程，2013，22(3)：72-76 JIANG D S, ZHANG P，LIU P, et al. On-orbit failure analysis and solution strategy of satellite power system[J]. Spacecraft Engineering，2013，22(3)：72-76.

On-Orbit Failure Statistical Analysis and Suggestions for Small Satellites of CAST968 Platform

LV Gaojian

(BeijingInstituteofControlEngineering，Beijing100190，China)

Statistics is made based on 142 failures of CAST968-platform small satellites from 2000 to 2014. The analysis results show that there are obvious regularities in failure characters, reasons, component types, time, subsystems, etc. Considering the importance of attitude and orbit control subsystem (AOCS) for the success of satellite mission, the statistics on failure reasons, components and component types of AOCS are analyzed. The design，environment and equipment are the three important factors resulting in AOCS failures. A brief analysis of the other subsystems is presented. Finally, failure prevention and design suggestions are given, including optimizing the designs of anti-irradiation, key components and circuits’ redundancy, etc.

CAST968；on-orbit failure analysis；failure prevention；design suggestion

2015-03-18

V417

A

1674-1579(2015)05-0057-06

10.3969/j.issn.1674-1579.2015.05.012

吕高见(1982—)，男，工程师，研究方向为航天器姿态控制系统总体设计.