大型航天器控制系统健康管理*

王 妍，蔡 彪，程迎坤

(北京控制工程研究所，北京100094)

大型航天器控制系统健康管理*

王 妍，蔡 彪，程迎坤

(北京控制工程研究所，北京100094)

健康管理技术在提高航天器安全性、可靠性等方面发挥了重要作用.由于长期在轨飞行及其可靠性、安全性要求高等方面的特殊性，大型长寿命航天器对健康管理技术提出了更为迫切的应用需求.对国内外航天器健康管理技术进行全面系统的调研分析，在此基础上，结合大型航天器控制系统设计，提出一种由器载和地面两个健康管理子系统构成的健康管理系统体系结构，同时，对该系统进行软件架构和方案设计，提出两层次器载健康管理软件，并设计模块化的软件架构.

大型航天器;控制系统;器载健康管理;地面健康管理

0 引言

随着航天器飞行任务越来越复杂、在轨寿命越来越长，大型航天器还要长期支持完成各项试验任务，其可靠性安全性要求越来越高，要求航天器必须能够自主或在地面支持下具备对故障识别、隔离及重构的能力.航天器健康管理技术就是为了提高故障识别、隔离及重构能力，从而确保航天器安全稳定运行而发展起来的.健康管理是利用各种测量手段获取系统、分系统及部件的状态数据和信息，通过数据处理分析对其工作状态和性能进行判断，预测系统工作状况和趋势，在故障发生时，根据故障处理策略进行隔离、重构并最大限度使系统恢复，从而避免航天器的失效.健康管理可以在不依赖地面支持的情况下，由航天器自主在轨完成，也可以由地面健康管理系统完成，也可由器地联合完成.

目前，国外已有多个型号进行搭载试验，逐渐开展验证和完善系统功能.从表1中可以看出，国外航天器的健康管理系统从单一的故障诊断工具应用向集成硬件、软件、系统状态监测、故障预测、故障诊断和故障修复为一体的航天器集成健康管理系 统 (integrated vehicle health management，IVHM)发展.

表1 航天器健康管理技术对比分析Tab.1 Comparative analysis of health management for spacecraft

航天飞机的试验主要是为了能减少返回地面后维修的操作，是以通过检测飞行数据，预测系统性能和部件寿命来实现.在深空一号里，还没有健康管理系统的概念，只是应用了Livingstone作为诊断工具，在探测器的远程代理试验中实现模式识别和系统重构的功能，既可以保证延长航天器寿命的需求，也对Livingstone软件进行验证［1］.由于对地观测一号卫星科学数据采集与Livingstone2的模型有密切关系，对地观测一号卫星首次应用了升级后的 Livingstone2软件进行故障诊断功能［2］.自X-33起，航天器逐渐走向了飞行器健康管理(vehicle health management，VHM)系统概念［3］，X-33以验证硬件为主要目标，包含传感器、健康管理终端、光纤传感系统等，X-33的健康管理计算机VME没有添加诊断软件，而主要以处理传感器信息、记录监视数据为目的.以X-33的这种硬件组成及功能结构为基础的VHM系统在随后的X-34、X-37等项目中得到了验证和发展，IVHM技术从概念到系统结构、功能、硬件组成等方面也有了完善和提高.如X-34在搭载的PITEX试验中［4］对硬件升级，解决X-33中传感器噪声大等缺陷问题，同时X-34采用确定故障注入的方式对Livingstone诊断功能进行验证，并试验了Livingstone软件升级后计算机占用问题.X-37试验了IVHM，IVHM软件与飞行控制程序同时运行在一台控制计算机上，这与其他X-型号单独运行一台健康管理计算机有很大区别［5］.

国内也积极开展了航天器健康管理技术的研究.北京控制工程研究所研制了卫星控制系统实时故障诊断专家系统原型SCRDES;哈尔滨工业大学飞行器动力学与控制研究所应用Livingstone诊断工具，对基于模型的航天器故障检测与诊断技术进行了系统、深入的研究［6］;国防科技大学在对卫星系统实时故障诊断能力需求进行详细分析的基础上，深入研究TEAMS.RT实时故障诊断算法［7］.

本文在对国内外卫星和航天器健康管理技术进行调研的基础上，结合未来大型航天器控制系统设计，进行控制系统健康管理技术研究.

1 大型航天器健康管理系统体系结构研究

为保证航天器长期运行的可靠性和安全性，要求控制系统不仅具备地面辅助决策支持功能实现地面健康管理，而且还应具备自主飞行过程中关键紧急情况下的自主健康管理能力.即大型航天器控制系统健康管理由地面健康管理系统和器载自主健康管理系统两部分组成，二者相辅相成，互为补充.

大型航天器控制系统健康管理系统主要功能如下:

1)完成分系统各单机级别故障及健康状态采集、监测;

2)完成分系统级别故障及健康状态采集、监测;

3)完成单机、分系统级别故障及健康状态评估;

4)完成单机、分系统关键参数和状态遥测下行;

5)完成在轨自主故障隔离、系统重构或降级;

6)地面健康管理系统实现在线和离线复杂推理、预测及地面对于航天器的人为干预和决策.

本文基于一种可行的大型航天器控制系统物理拓扑结构(如图1)，给出控制系统健康管理系统的体系结构.

图1 大型航天器控制系统拓扑示意图Fig.1 Control system topology diagram

1.1 健康管理系统组成

大型航天器控制系统健康管理由器载自主健康管理子系统和地面健康管理子系统两部分组成，如图2～3所示.

图2 器载健康管理系统组成示意图Fig.2 Structure of onboard health management system

图3 地面健康管理系统组成示意图Fig.3 Structure of grand-based health management system

1.1.1 器载自主健康管理子系统

器载自主健康子系统由健康信息获取及数据处理、故障诊断预测及失效预测、健康状态评估、健康管理对策等子模块组成.

1)健康信息获取及数据处理

通过各种测量手段获得来自各部件及控制模块运算的分系统过程数据，对数据进行处理后，传输给下一阶段用于分析和评价.

2)故障诊断预测及失效预测

获得健康信息后，通过一定的故障与失效预报和诊断算法，完成控制系统的故障预测和诊断.预报和诊断结果可以传回地面健康管理子系统，同时也传输至健康评估模块.非紧急情况下，可由地面支持确定后续处理，在允许自主处理的情况下，可由控制器自主完成相应处理.

3)健康状态评估

通过健康信息分析诊断出故障或预测出某部件即将失效后，要对控制系统当前状态进行及时评估，分析该故障导致的后续影响或者即将失效的部件带来的后果.在此基础上设计多种可能的故障处理与失效对策.

4)健康管理对策

健康管理对策是自主健康管理的最终执行步骤，通过健康评估，确定最合理的维护策略，即采取哪些操作与何时执行.一般来讲，控制系统的健康管理对策可分为三类:一类是对于故障部件简单进行隔离，系统不再引入故障部件信息;第二类是依据系统冗余资源配置，实现部件及系统的降级或重构;第三类是则借助于航天员实现对于故障部件或预期寿命到期部件的在轨更换.上述三类健康管理对策在实施过程中一定程度上需要借助航天员或航天器控制系统之外的其他系统配合完成.

通过上述流程，大型航天器控制系统器载自主健康管理子系统能够从获取信息入手，通过处理、分析与评估，获得当前控制系统的健康状态，并制定且执行相应的管理和维护策略，使得控制系统保持正常的工作状态，或由故障状态恢复正常工作状态，亦或保持工作在一定的降级工作模式.

1.1.2 地面健康管理子系统

地面健康管理子系统基于以太网建立，主要由健康管理控制站、预测诊断推理机、健康评估管理机、状态监测与自动判读系统以及数据库中心组成.

1)健康管理控制站完成对下行遥测(含器载健康管理子系统遥测)信息的收集并存入数据库中心;控制站具备与航天器地面飞行控制和管理系统的良好人机接口，可以辅助地面指挥控制人员有效参与并实现人在回路的管理和控制，从而提高飞行可靠性和任务完成率.

2)预测诊断推理机可以集成在健康管理控制站中，也可独立运行，结合实时数据和历史数据，采用多种故障诊断方法实现离线或在线故障预测和诊断.

3)健康评估管理机功能与器载健康评估和健康管理对策的功能基本一致，可集成于控制站或独立运行，根据预测和诊断结果，结合地面人为干预，可形成对于部件或控制系统的隔离、重构和更换对策.

4)地面数据库中心可存储所有健康管理数据及推理预测和评估管理结果，以便进行事后诊断，完成历史数据积累.

1.2 健康管理系统物理实现

大型航天器控制系统器载自主健康管理子系统在功能上为一独立系统，在物理实现上，为尽量避免因增加独立设备对飞行器复杂性及额外重量功耗代价，器载自主健康管理子系统拟与控制系统控制计算机进行一体化设计，即飞行控制任务软件与健康管理子系统软件共同驻留于控制计算机中，同时运行，互不影响;单元或设备级故障诊断采用部件BIT板卡或在部件中内嵌BIT电路的方式实现.可利用控制系统内部多冗余度任务总线实现健康管理信息传输.

控制系统地面健康管理子系统可与航天器飞行控制和管理系统进行一体化设计，也可独立于飞行控制和管理系统进行设计.由于地面系统相对于器载控制器没有较强的软硬件资源约束，地面健康管理子系统的故障诊断和预测方法可以集成多种方法，比如基于模型的方法、基于专家系统的方法、基于综合人工智能的推理方法等，并且在具体实施过程中，可以根据系统需要拓展出多个预测诊断推理机、健康评估管理机以及监测和自动判读中断设备.地面各设备间拟通过高速网络进行通信.地面健康管理子系统数据库中心独立运行于数据库计算机中，可以分类存储和管理实时或历史的器载遥测和健康信息，各终端可以访问和维护数据库，以实现对控制系统数据库中心的不断优化和改进.

2 器载自主健康管理软件开发方案研究

2.1 软件功能模块

对于地面健康管理子系统而言，数据库和自动判读系统均可以采用商用成熟的软件，其核心则是故障预测诊断以及健康评估管理，而且随着目前基于模型和基于信号处理的诊断方法以及基于综合人工智能的专家系统、神经网络等故障诊断技术的不断发展，在地面健康管理系统中应用此类技术已经较为普遍和成熟.所以不再对地面健康管理子系统的软件开发进行详述，只针对器载自主健康管理子系统的软件开发方案进行分析.

对大型航天器控制系统来说，其器载自主健康管理可以分为单机和分系统两个层次.设计上采取集中—分布式结构，即在较低层次的单机层面，各单机利用机内自测试(BIT)机制实现自身健康状态获取和管理，通过一定的BIT方法实现故障检测和诊断.各单机将BIT结果传输至较高层次的分系统控制器，在分系统层面实现集中式故障诊断、预测和决策.一般来讲，单机级BIT可以通过一定的软硬件检测手段不仅实现自身硬件如CPU、RAM、ROM、电源状态等检测，在飞行过程也可通过一定的软件算法实现对自身产生的各类数据进行实时检测和预诊断.在分系统层面，集中式故障诊断、预测和健康评估及管理通常依靠分系统自主健康管理软件实现.

自主健康管理系统软件是其核心，它除了负责完成如本文图2中所包含的数据处理分析、故障和失效预测及诊断、健康状态评估、健康管理及决策等基本功能外，还应具备与航天器控制系统控制软件匹配运行的功能.为了尽可能的提高软件的兼容性，可在一个基本框架的基础上利用模块化思想将自主健康管理系统软件的各个功能、算法以及模型进行封装，并提供统一的对外接口，其开放式模块化的优点可以较好地与控制系统控制软件融合.

2.2 软件任务调度

以本文提到的大型航天器控制系统为例，该控制系统软件基于实时操作系统设计，包括实时操作系统内核、板级支持包和系统服务.自主健康管理软件则属于系统服务之一，基于其模块化设计的优势，在工程实现上可将自主健康管理软件作为单独一个任务或按照功能分类将其划分为多个任务，也可将其不同的子模块分别嵌入控制系统的其他任务之中.若采取划分为多个任务或嵌入在不同的任务之中的方法，那么对每一个子模块应进行合理封装，并提供合理的对外接口，以便与其他任务进行匹配和相互调用.

软件的任务调度策略采用固定优先级的调度策略.优先级高的任务被实时处理，各任务的启动由设定的时间依次触发，如果在各个任务在分配好的时间片内未执行完，则被强行终止，并记录超时一次.在分配好的时间片内任务提前完成，而下一任务的起始时刻还未到来，则启动空闲任务，当下一任务起始时刻到来后，则启动下一任务.

针对大型航天器控制系统，一种可行的任务划分示意图如图4所示.控制系统控制周期为480 ms，软件共划分8个任务，任务1优先级最高，任务8优先级最低.自主健康管理软件中的数据处理与分析模块占用任务3，而故障预测诊断、健康评估、健康管理决策等模块则分别嵌入在任务4和任务5中，并有机地与控制软件中的控制任务和系统管理任务等结合起来.

图4 一种可行的大型航天器控制系统软件任务划分Fig.4 A feasible control system software task partition

2.3 软件开发方式

软件系统为开放式的体系结构，在开发模式上，自主健康管理系统软件开发模式采用软件工程思想，首先对健康管理的功能需求提出一个详尽的用户需求，然后根据软件工程方法，将各个功能子模块的需求分析转换成相应的小模块，最后采用组件化的而技术对各个小模块进行实现.该方案的优点是采用这种方案开发出来的软件系统，它的可靠性、可维护性以及可测试性都非常的好，这对于进行故障诊断系统自身的高可靠性是非常必要的.另外，针对控制系统不同的故障模式可以不严格区分其故障预测和诊断方法，各个诊断方法以组件的形式提供.例如基于模型的故障方法只设计一个组件，可供在不同的需求中进行调用，这样系统的规模将大大减小，提高了系统效率.同时，这种健康管理系统的可重复性非常好，对于再开发类似航天器的健康管理系统将极大的减少成本.

3 结论

本文对国内外航天器的健康管理技术进行调研分析，结合大型航天器控制系统的需求，提出一种可适用的健康管理系统体系结构，由器载健康管理和地面健康管理两个子系统构成，并对其软件开发方案进行研究，提出了器载健康管理软件分为单机和分系统两个层次，按照功能进行模块化设计，对我国未来大型航天器控制系统健康管理系统的设计具有一定的参考和借鉴意义.pulsion IVHM technology experiment［D］.NASA/CR-2006-214238，2006.

［5］ SAMUELS M J，BROWNSTON L.The NASA integrated vehicle health management technology experiment for X-37［D］.NASA/20020063487，2002.

［6］ 平超.航天器故障定性建模与诊断系统的研究［D］.哈尔滨:哈尔滨工业大学，2010.PING C.Research on spacecraft fault qualitative modeling and diagnosis system［D］.Harbin:Harbin Institute of Technology，2010.

［7］ 孔令宽.基于多信号模型的卫星故障诊断技术研究［D］.长沙:国防科学技术大学，2009.KONG L K.Research on satellite fault diagnosis based on multi-signal model［D］.Changsha:National University of Defense Technology，2009.

［1］ MUSCETTOLA N，DORAIS G，FRY C.IDEA:Planning at the core of autono-mous reactive agents［C］// Proceedings of the Work-Shops at the AIPS-2002 Conference.Washington D.C.:AIPS，2002.

［2］ HAYDEN S C，SWEET A J，CHRISTA S E.Advanced diagnostic system on earth observing one［C］//Space Conference and Exhibit.Washington D.C.:AIAA 2004-6108.

［3］ SCHWEIKHARD K，RICHARDS W L，THEISEN J.Flight demonstration of X-33 vehicle health management system components on the F/A-18 systems research aircraft［D］.NASA/TM-2001-209037，2001.

［4］ CHICATELLI A K，MAUL W A，FULTON C E.Pro-

Health Management for Large Spacecraft Control System

WANG Yan，CAI Biao，CHENG Yingkun
(Beijing Institute of Control Engineering，Beijing 100094)

Health management technology has been widely accepted and adopted due to its outstanding performances in vehicles safety and reliability.Based on the extraordinary requirements in safety and reliability，the requirements of independent health management for large long life manned spacecraft are becoming more and more stringent.The domestic and foreign health management technologies are comprehensive researched.Based on the previous research，an applicable health management system is designed combined with the large spacecraft control system，which is composed of onboard subsystem and grandbased subsystem.Its software development scheme is investigated.Onboard health management software is divided into two levels including unit and subsystem，and carried out in accordance with the function of modular design.

large spacecraft;control system;onboard health management;grand-based health management

V423.7

:A 文章编号:1674-1579(2016)05-0042-05

10.3969/j.issn.1674-1579.2016.05.008

王 妍(1986—)，女，工程师/硕士，研究方向为载人航天器导航、制导与控制系统设计与验证;蔡 彪(1980—)，男，高级工程师，研究方向为航天器制导、导航与控制以及航天器自主健康管理;程迎坤(1981—)，女，高级工程师，研究方向为航天器制导、导航与控制系统设计与验证.

*国家自然科学基金青年科学基金资助项目(61503024).

2016-07-20