容错设计技术在弹上点火系统的应用研究*

邓康

(北京电子工程总体研究所， 北京 100854)

0 引言

为了适应不同的恶劣使用环境，对导弹系统全寿命周期的可靠性提出了越来越高的要求。自从20世纪60年代初冯·诺依曼提出了系统若具有自动修复和容忍故障的能力就能实现高可靠性的基本思想,冗余技术已取得了很大的发展和应用,成为了提高导弹可靠性的重要设计手段。

“阿波罗-13”宇宙飞船正是采用了SINS 冗余系统才能脱离危险平安返回地球[1]。我国载人航天工程使用的CZ-2F运载火箭系统为确保远高于一般运载火箭的高可靠性，采用了三余度的惯导系统等多种冗余技术手段[2]。国内某型号发动机点火系统由于初期未采取冗余设计措施，在地面对接时曾出现过因异常情况导致误发点火信号的情况。

冗余技术的内涵就是通过投入超过常规设计所需的外加资源,抵销故障产生的后果,达到提高可靠性的目的[3]。采用的方法有硬件冗余、软件冗余、功能冗余、信息冗余、时间冗余或几种冗余方法的综合运用。常用的典型的硬件冗余结构有:串联式结构、并联式结构、串并或并串式结构、表决式冗余结构、储备式结构等。

弹上点火系统是按照时序产生或执行控制指令完成导弹助推器及弹上各动力系统点火、执行抛罩和级间分离控制等功能的系统，其安全性及可靠性直接影响导弹的整体性能，是关系到导弹飞行任务的成败的关键系统。为实现要求的高可靠性与高安全性，尽量减少或消除单故障危险点，采用冗余技术是非常必要的。采用冗余设计虽然增加系统的复杂性，但与因故障造成飞行失败的损失相比是微不足道的。

容错技术是指系统在运行时某些部件发生故障的情况下，系统仍能按原定性能指标安全地完成任务的方法和技术[4]。冗余技术是实现容错的基础，容错技术的实质是通过资源的冗余设计来处理故障，从而提高系统的安全性和可靠性[5]。容错技术在许多领域得到了广泛的应用，现已成为提高弹上点火系统安全性和可靠性的重要手段之一。

1 冗余设计的原则

(1) 在单纯提高元器件可靠性不满足指标要求时采用

提高一个系统的可靠性需要有多方面的设计措施，元器件是系统的基础，首先必须选用高质量等级的元器件。但是仅靠提高元器件的可靠性实现系统的高可靠水平，会给元器件造成难以克服的困难或需要要花费高的代价[6]。在一定的可靠性水平的元器件基础上，采用冗余技术是提高系统可靠性的有效设计措施。

(2) 冗余度要适度

冗余度指冗余与非冗余所用资源的比值[7]。很明显,冗余度越高,飞行可靠性提高的幅度就越大,在仍能完成飞行任务所容许的故障数就越多,但需要的资源(硬软件)代价也越大;冗余度要适度,不宜过高。冗余度要适度的原因除资源代价外,还有以下2个方面。

1) 理论上讲是冗余度越高可靠性越高,但随冗余度的增加提高的幅度越来越小,检测和试验难度越大,投入效益比越小[8]。例如并联冗余结构,单路的可靠性为0.9时:

a)冗余度为2时,可靠性为0.99,提高了10%,资源投入增加100%;

b)冗余度为3时,可靠性为0.999,比冗余度为2时只提高了0.9%,资源投入增加50%。

冗余度再高其比值将更低。

2) 在目前的工业及技术水平和采取了其他可靠性设计和措施的情况下,单个仪器或装置已具有较高的可靠性水平,不需要太高的冗余度就能把可靠度提高到满足要求的指标。另外,导弹飞行任务时间比较短,在短时间内发生多个故障的可能性非常低，因而就分系统或单机级范围,一般能有容许一度故障的冗余设计应是适宜的。所谓容许一度故障就是发生一个故障时仍能实现其正常的功能。

(3) 采用无共因失效设计

共因失效是指某一处的失效会同时导致多个装置失效的情况。使用相同的元器件或电路已经成为提高可靠性常见的策略，冗余系统若不注意进行无共因失效设计, 就有可能当某一电路或元件失效后使冗余的电路或装置同时失效, 失去冗余作用。

共因失效因素与具体的电路密切相关, 应对具体电路作具体的分析, 采取措施消除共因失效源。

2 弹上点火系统中的冗余设计

弹上点火系统的功能是按要求的时序发出控制指令，依次引爆弹上各火工品负载。主要包括: 固体火箭发动机的点火、弹上高压气瓶电爆管点爆、助推器分离、级间分离、整流罩分离、有效载荷分离等。弹上点火系统一般由点火时序控制电路、时间基准输入信号电路、控制指令接收电路、点火执行电路及火工品负载几部分组成。

冗余技术在弹上点火系统的应用主要有硬件冗余、功能冗余、时间冗余等。

2.1 级间分离火工系统的冗余设计

硬件冗余设计是通过对重要部件及易发生故障部件提供备份，从而提高系统的容错性能。

静态硬件冗余在导弹中应用最为普遍，也最为成熟。方法是直接设置2个以上的单元执行同一项任务，即采用2套火工系统，各自独立完成规定的功能，实现双路冗余[9]。由于导弹飞行任务时间短，不需要多度故障冗余，每个冗余结构按一度故障冗余度设计。

某导弹级间分离火工系统采用了采用静态硬件冗余方式，其冗余结构为并联结构，如图1所示。

图1 级间分离系统冗余结构示意图Fig.1 Redundancy structure diagram of interstage separation system

为了保证分离装置可靠起爆，在分离系统中采用两个并联的电起爆器接入起爆通路，当接到控制系统传来的分离点火控制信号时，电起爆器1 和2 同时起爆，每个电起爆器都各自独立工作[10]，引爆相应的传爆组件( 分别如图中实线和虚线所示。) ，然后进一步引爆2个分离装置。这套分离系统使用两个电起爆器和两套导爆索组件，即使有一处发生故障不能正常工作，另一个电起爆器和导爆索组件仍能保证分离装置正常起爆，确保级间可靠分离。

2.2 点火时序控制电路的冗余设计

点火时序控制电路采用动态硬件冗余方式。

如图2所示，某型导弹电气控制装置的点火时序控制电路采用双CPU热备份的冗余结构方案。

图2 主、备份单片机冗余结构示意图Fig.2 Redundancy structure diagram of main and spare singelchip

正常情况下，弹上点火时序由主单片机控制，当起始信号输入后，主单片机按时序产生点火控制信号，经驱动器驱动放大后，驱动点火执行继电器完成点火。同步地，备份单片机也进行同样的工作，只是没有接入控制回路中。当故障判别电路判断出主单片机出现故障时，立即切换至备份单片机执行控制任务。

硬件冗余设计是通过多个相同部件完成同一功能，在提高系统安全性和可靠性的同时，也存在一些不足，如增加了弹上点火系统的成本、结构、质量和所需空间[11];由于导弹内狭小的空间、复杂的系统，使硬件冗余技术的应用受到限制;随着弹上设备小型化的发展趋势，对大型复杂点火系统全部采用硬件冗余设计是不可能的[12]，只能由设计师权衡利弊，在确保点火的可靠性、安全性与系统的尺寸、重量之间寻找平衡点。

2.3 时间基准输入信号电路的冗余设计

功能冗余是利用系统中部件在功能上的冗余设计，通过合理构建控制方式，以实现故障容错控制[13]。

时间基准输入信号电路采用功能冗余方式。

某型防空导弹采用垂直冷弹射的发射方式，导弹从发射筒中由燃气推出后，由点火控制电路按严格时序对其固体火箭发动机在空中实施点火。如果此时发动机没有成功点火，导弹回落后，可能会砸坏地面设备，引起爆炸，弹上的动力系统液体液体推进剂可能会泄露，造成人员伤害。因此首先必须确保导弹在空中点火的时序基准的可靠性。在实际设计中，时间基准输入信号电路采用两种不同形式输入的并联结构，如图3所示。

图3 点火时序控制电路输入信号冗余结构框图Fig.3 Redundancy structure block diagram of input signal for ignition sequential control circuit

发动机点火的原理是电气控制装置内部的点火时序控制电路在接收到输入触发信号后，按照设定的时序对发动机点火装置进行点火[14]。触发信号有2种不同的方式：第1种方式是脱落信号，是指当导弹起飞时，脱落插头脱落瞬间产生的开关量信号；第2种方式是过载动作信号，是指当导弹从发射筒中弹射后产生的过载使弹载的过载开关动作而产生的信号。上述两者任一种都可以作为电气控制装置执行对发动机点火装置点火时序控制电路的输入条件，如果其中一路出现故障，点火信号依然可以到达发动机点火装置，使发动机可靠点火。

由于2种输入信号产生的来源不同，可以有效地避免因相同的故障原因导致出现共因失效的风险。

2.4 控制指令接收电路的冗余设计

时间冗余是通过附加执行时间来诊断系统是否发生永久性故障, 并排除瞬时故障的影响[15]。

控制指令接收电路采用时间冗余方式。

导弹的级间分离时导弹飞行过程中的关键动作之一。其具体过程为当电气控制装置收到弹上机发出的级间分离控制指令后，执行分离装置点火，助推级与导弹前半段分离。在现代战争中，导弹所处的电磁环境空前复杂，如果因为受到电磁干扰导致非正常级间分离，将导致整个任务失败。因此，某型号导弹在确认分离控制信号的有效性上采用了时间冗余的方式。判断信号有效具体过程如下：单片机间隔0.25 ms采集信号电平，若连续4次采集到低电平，则认为信号的下降沿有效，否则继续采集信号电平。确认信号下降沿有效后开始连续采集50 ms信号电平，间隔0.25 ms，共200次。然后开始判断，若采集到的低电平次数≥160次，则判定为有效信号；若采集到的低电平次数<160次，则继续采集信号电平，此时，采集一次，判断一次，若采集到的低电平次数≥160次，则判定为有效信号；若65 ms内始终收不到有效信号，则不再进行判断，只继续采集信号电平。连续多次判断信号电平可以有效地避免因电磁干扰造成的误点火，确保点火的准确性与可靠性。

3 结束语

冗余技术在导弹弹上点火系统中发挥着重要的作用。在某弹上点火系统的实际应用中，有无冗余设计的对比情况如下：级间分离火工系统的可靠性由0.998 2提升至0.999 97，时序控制电路的可靠性由0.990提升至0.999 8，在采用了硬件冗余、功能冗余、时间冗余等多种冗余方式后，弹上点火系统的整体点火可靠性由0.987提升至0.999 4，效果是明显的，满足了总体的要求。

随着导弹向高可靠性、长寿命的方向快速发展，合理设计冗余结构，确定系统可信的冗余度;完善的冗余可检测设计;进行全面的无共因失效设计,不断提高系统的安全性、可靠性,这些都是弹上点火系统容错设计技术的发展方向。

[1] 颜华，陈家斌，刘星桥.冗余技术提高惯性导航系统可靠性的应用[J].中国惯性技术学报,2003,11(3):68-72.

YAN Hua,CHEN Jia-bin,LIU Xing-qiao.Application of Redundancy Technology in Inertial Navigation Systems[J].Journal of Chinese Inertial Technology，2003,11(3):68-72.

[2] 孙凝生，冗余技术在载人运载火箭飞行控制中的应用[J].载人航天，2003,15(4):21-27.

SUN Ning-sheng, The Redundancy Technique for Guidance and Control System of Manned Launch Vehicle[J].Manned Spaceflight, 2003,15(4):21-27.

[3] 梁思礼． 容错技术在航天领域的应用[J]．系统工程与电子技术，1993,15(12):59-61.

LIANG Si-li. The Application of Fault-Tolerant Technique in Aerospace [J]. Systems Engineering and Electronics,1993,15(12):59-61.

[4] 温鹏，陈传波． GTR在火箭点火控制系统中的应用[J]．系统工程与电子技术，1993,15(12):70-76.

WEN Peng ,CHEN Chuan-bo. The Application of GTR in Rocket Firing Control System [J]. Systems Engineering and Electronics,1993,15(12): 70-76.

[5] 宁新建． 容错技术在火控计算机中的应用[J]．航空兵器，2005,37(1) :36-39.

NING Xin-jian .Application of Fault-Tolerant Technique in Aerial Fire Control Computer[J]. Aero Weaponry ,2005,37(1):36-39.

[6] 马吉亭，李运来． 新型的固体导弹分离火工系统[J]． 火工品，2002,48(1):8-11.

MA Ji-ting,LI Yun-lai. A New Type of Initiating Explosive Separation System of Solid Missile[J].Initiators & Pyrotechnics, 2002,48(1):8-11.

[7] 胡昌华，许化龙． 控制系统故障诊断与容错控制的分析和设计[M]．北京: 国防工业出版社，2000.

HU Chang-hua,XU Hua-long.Fault Analysis and Design of Diagnosis and Fault-Tolerant Control for Control System[M]. Beijing: Defense Industry Publishing House，2000.

[8] 高滨．航天火工技术的现状和发展[J].航天返回与遥感，1999，20(3):63-67.

GAO Bin.The Curvent Situation and Development of Space Pyrotechnics Devices[J]. Spacecraft Recovery & Remote Sensing. 1999，20(3):63-67.

[9] 徐衍海，惠蕾． 火工系统新技术的发展动向[J]．火工品，2002,48(1):37-41.

XU Yan-hai, HUI Lei. Development Trend of the System of Initiating Explosive Device[J]. Initiators & Pyrotechnics, 2002,48(1):37-41.

[10] 冯国田，孟宪珍． 火工系统产品技术及其药剂发展[J]． 火工品，1999,34(4):34-37.

FENG Guo-tian, MENG Xian-zhen .Development of the Technology and Loading Materials for Initiating Explosive Device[J]. Initiators & Pyrotechnics, 1999,34(4):34-37.

[11] 程卓，遇今，郭泾平，等． 航天器共因失效分析与预防初探[J]．航天器工程，2010，19(6):34-37.

CHENG Zhuo, YU Jin,GUO Jing-ping,et al. Primary Study on Spacecraft Common Cause Failure and Preventive Actions[J].Spacecraft Engineering. 2010，19(6):34-37.

[12] 史洪亮，杨登仿，谭勇,等.新型安全的点火控制系统的设计和实现[J]. 计算机测量与控制, 2006,14(10):1343-1345.

SHI Hong-liang,YANG Deng-fang,TAN Yong,et al.Design and Realization of New Safe Ignition Control System[J].Computer Measurement & Control, 2006,14(10):1343-1345.

[13] 李静海.舰载导弹火工品点火电路安全技术研究[J].国防技术基础 ,2008,37(2):43-47.

LI Jing-hai.Research of Safety for Ignition Circuit of Initiating Explosive Device on Shipborne Missile[J]. Technology Foundation of National Defence,2008,37(2):43-47.

[14] 张胜利，刘保赋，倪冬冬.机载导弹武器系统的安全性设计[J]. 弹箭与制导学报,2005,25(3):4-7.

ZHANG Sheng-li,LIU Bao-fu,NI Dong-dong.Safety Design of Airborne Missile Weapon System[J]. Journal of Projectides,Rochets,Missiles and Guidance, 2005,25(3):4-7.

[15] 常虹，刘大柱． 控制系统中的容错技术[J]．电力情报，2002,63(6):52-55.

CHANG Hong, LIU Da-zhu. Fault-Tolerant Technique in Control Systems[J]. Electric Power Science and Engineering, 2002,63(6):52-55.