嫦娥五号探测器系统级电性能测试设计与实践

2021-10-19宋世民刘加明傅晓晶

宇航学报 2021年8期

宋世民，张伍，刘加明，李达，傅晓晶，赵阳

(北京空间飞行器总体设计部，北京 100094)

0 引言

月球无人采样返回飞行任务包括地月转移、近月制动、四器环月、月球着陆、月面采样、月面上升、交会对接、月地转移、地球再入等飞行阶段。嫦娥五号探测器共有着陆器、上升器、返回器、轨道器四器组成，涵盖14个分系统。嫦娥五号任务是中国复杂度最高、技术跨度最大的航天系统工程，整器综合测试工作从2011年立项至2020年11月24日发射实施，期间经历了方案、初样、正样等多个阶段，完成了以系统级电性能测试为核心的整器测试验证工作，共计加电3500 h。

1 国内外情况调研及借鉴

嫦娥五号探测器的综合测试作为整器总装集成阶段的评价与验证环节，其设计理念遵循了文献[1]中对可靠性活动基本原则要求关于“早期投入”的方针，以及可靠性的试验条件应尽可能模拟实际使用条件的规定。整体设计参考了文献[2]中所提出的软件测试活动应当遵循“尽早地和不断地进行测试”原则。

文献[3]中强调应在系统工程模式下开展可靠性试验。文献[4]明确在系统工程和系统集成条件下开展可靠性活动的相关规定；上述两方面均体现了T&E(试验评价)在研制流程左移的重要性：将系统置于尽可能逼真环境下评价，尽早开始试验-改进-试验(Test-Fix-Test)的迭代。

结合文献[5]关于集成测试的设计理念，从嫦娥五号自身任务需求的特点出发，最终形成按照分状态分阶段分剖面的多层次系统级集成测试验证策略，实现了整器条件最基本启动，体现了尽可能早与尽可能真，增量式叠加分步骤集成完成状态覆盖。

1.1 国外同类航天器测试经验

文献[6]中描述了阿波罗飞船系统级电性能测试的内容：1963年由NASA的载人航天器中心MSC(Manned Spacecraft Center)所制定的电性能测试程序ESTP(Electronic Systems Test Program)均在电性能测试实验室ESTL(Electrical System Test Lab)内完成。内容涵盖分系统测试、系统集成测试、系统兼容测试、以及专项测试。系统集成测试涵盖了与指控中心对接的大系统联试，测试条件为实验室的测试床。

文献[7]中描述了工厂电测的流程，其强调完成组合体状态的总装后，再行开展整器条件下系统级电性能测试。轨道器和返回器，均完成单器总装完成、并形成轨道器返回器组合体以后，方开始整器初始上电。

文献[6]也提出了首艘载人飞船在系统级测试条件下，分系统测试的难点之一在于参数阈值的确认。单机供应商提供的指标范围与整器条件下实际数值不相符，需要结合系统级条件下的任务需求，重新对容限数值做调整。

美国星际飞船Starliner系统级电性能测试反思：2019年12月20日，由于任务时发生较预期值偏差11 h导致与空间站交会对接任务失败，原因之一为时间信息跨器传输的测试不充分。后续的举一反三排查中所发现的服务舱与返回器分离时刻的推力器配置软件错误，原因为器间接口测试中服务舱采用了仿真模拟器，而相应的软件设置的推力器状态发生错误，无法通过物理硬件通道完成验证[8]。

1.2 国内同类航天器测试

深空领域已有航天器嫦娥三号及四号分别为着陆器与巡视器两器组成，在轨工作状态仅有三种，测试覆盖验证的工作状态少。载人航天器以神州飞船在轨飞行主要表现为轨道稳定的周期循环飞行，任务剖面多样性引发测试验证工作量少。

1.3 整体测试策略的确定

结合中国装备可靠性相关的要求及自身特点分析[9]，嫦娥五号探测器系统级测试将“尽可能早、尽可能真实”作为综合测试设计的依据之一。将整器作为系统级电性能测试的主要验证环境，减少了对系统级集成实验室的重复投产，解决如何在项目早期将系统验证置于真实环境的工程难题。

根据国外相关测试经验，在正样器条件下结合跨器传输的任务需求，加强器间信息流功率流的跨器传输功能验证；并针对活动部件的瞬态及连续运动等关键动作，开展任务场景与动作匹配的定量测试，实现关键信号的可靠性摸底。

2 系统级电性能测试设计

嫦娥五号探测器在综合测试工作所面临的挑战：1)在轨共有11个飞行任务剖面多，且不可逆环节多。需要验证标称状态下全部飞行剖面正确性、故障容限能力和应急处置策略的正确性。面临复杂任务剖面解耦难度大、在轨故障容限能力验证的难题。2)整器组成复杂，且在轨飞行状态多。涵盖4个航天器以及7种单器/组合体状态，跨器单向及双向能源流及信息流通路验证要求高。面临系统级全覆盖测试和有效测试难度大。3)整器活动部件多关键动作多，遥测通道降采样引发的数据特性与物理部件特性失配引发量化测试为难度大。面临系统条件及任务场景下关键动作的可靠性摸底难度大。整体测试任务分析如图1所示。

图1 系统级测试需求分析Fig.1 Requirement analysis for system level test

2.1 串并耦合柔性可调的技术流程

嫦娥五号探测器综合测试的技术流程在继承传统航天器“先通道，后详细测试，再系统模飞”的单星(器)基础之上，形成了一套“单器内部串行、多器之间并行、器间柔性调整、模飞分层验证”的系统级测试技术流程，最终覆盖探测器在轨飞行模式与工作状态。

在轨状态分析：1)单器状态：月面起飞及交会对接，轨返分离后轨道器单器飞离月地转移轨道，返回再入；2)两器组合状态：月球轨道环绕飞行及调相变轨、月面动力下降及着陆、月面采样(着上组合体)，轨返组合体为主的环月飞行、交会对接、月地转移等飞行剖面；3)三器协同工作状态：月球轨道交会对接，以及样品转移的轨返组合体与上升器；4)四器组合体状态：地月转移、近月制动、四器环月飞行、轨返组合体与着上组合体分离前。

结合嫦娥五号在轨飞行过程，对探测器可能发生的工作模式完成分析，并对各个模式对应的工作状态完成提取，对各飞行状态完成覆盖。在单器条件下，以分系统详细测试的方式，分别实现了电总体方面在特征阻抗和功率特性方面的检查，信息总体方面在数据流及测控信道定量检查，以及任务总体方面的单器状态下的任务剖面检查(单器模飞)。

单器作为综合测试工作的并行主线，单器建通道及验证子系统为最基本模块，采用状态分器、任务分段的逐器逐剖面增量集成测试模式，实现了测试与评价(Test&Evaluation)可靠性活动在研制环节的左移，提高了Test-Fix-Test的迭代效率，使得单器条件下的428个功能模块得到提前验证。在任务剖面验证方面，单器条件下提前验证了月面起飞、月球轨道交会对接远程段(上升器)、地球轨道返回再入、地月转移(轨道器单器)等多个飞行阶段的模拟飞行。

测试流程如图2所示，其以状态覆盖性、测试有效性为主要目标，在整器状态建立的过程中，完成各单器、两器组合体、对接组合体、四器整器的子系统详细测试、子系统间匹配测试、组合体内两器之间接口测试、组合体状态下跨器子系统测试、两两组合体形成整器后的组合体间接口测试、整器状态下分系统详细测试。最终全面覆盖在轨四器组合体的变结构工作状态。

图2 系统级测试验证流程Fig.2 Validation flowchart for system level test

2.2 跨器传输为验证目标的器间测试

根据对被测对象的分析可知，需要完成嫦娥五号探测器的器间匹配性测试，内容应涵盖功率流与信息流。

功率流测试分析：轨返组合体内，轨道器向返回器的单向供电通路；着上组合体内，着陆器向上升器的单向供电通路，以及测试状态下“上升器向着陆器的供电通路”；探测器内轨返组合体向着上组合体实现的“轨道器向着陆器，以及着陆器向轨道器”的双向供电通路。

信息流测试分析，主要围绕器间由数据流为支撑的同一分系统之间跨器传输的数据一致性验证。本文仅举例“轨返组合体之间跨器星敏数据传输”的验证，所采用的方法为单源多通道数据流一致性验证。返回器GNC中心控制单元在进入再入飞行段之前，需要通过轨道器配置的星敏感器完成再入姿态的建立，由此返回器需要通过器间接口接收由轨道器发送至的星敏数据。

流程如图3所示，具体步骤为：1)在整器测试的过程中引入总线监视作为外测数据源，以RT侦听的方式完成对相应数据源与接收终端的实时监听;2)其后按照预先约定的总线通信协议，实现两个通道对星敏感器同一数据源的接收、解析与存储，并将数据转发到以总控MTP(主处理器);3)主处理器通过广播的方式完成分发与入库存储;4)结构化存储的过程中以星时作为识别标示，并实现每帧数据的时间标签生成;5)引入数据比对功能，对上述两个不同通道形成的数据文件，完成内容比对;6)比对结果直接表达了轨道器与返回器之间信息传输通道物理特性、以及两个单器对于同一源数据封装策略的正确性。

图3 星敏数据跨器传输验证流程Fig.3 Validation flowchart for data transmission between spacecrafts star sensor data

2.3 工程实施效果

整套测试验证技术流程共完成903个测试项目的设计与编制，实施场景与在轨飞行状态一致，实现了对探测器电性能功能与指标的全面覆盖。

3 任务剖面分层验证策略

嫦娥五号探测器系统级模拟飞行以验证飞行程序、飞行指标、器地协同工作配合等顶层目标为前提，以标称、健壮性、应急演练等方式，实现模拟飞行任务的三个验证目标：飞行程序与任务的匹配性；动作时间与任务的适应性；功能性能与任务的满足性。

3.1 标称任务剖面的验证策略

标称模拟飞行是按照与飞行程序基本相同的程序，模拟探测器从发射入轨至着陆回收全部飞行过程的真实任务状态，在测试指挥的统一调度和协调下模拟探测器再贵飞行，通过图4所示,器地联动的模拟验证系统，完成针对任务剖面的验证。

图4 器地联动的模拟验证系统Fig.4 Validation system for space to ground

采用基于任务剖面的模拟飞行验证设计方法，其基本思路为如下三步策略：1)面向“飞行任务剖面”对飞行过程进行分解，自上而下、由大而小，由任务剖面->飞行事件->元任务;2)面向“元任务”进行用例场景的识别;3)面向每个场景设计测试程序集。

实施过程中，按照典型任务环节提取，稳态时间压缩，具体功能星时驱动，开发了257个测试程序集实现对飞行剖面的100%覆盖；标称模拟飞行验证时间由551 h优化为96 h，时间缩短82.5%。

3.2 健壮性模拟飞行验证策略

文献[10]中对系统鲁棒性的定义为：在无效输入或者压力环境下，系统或者组件能够保持正常工作程度的一种度量。

按照航天器在轨故障容限能力设计要求所规定：“一重故障保业务连续”产品研制质量保证要求，重点开展面向不可逆环节健壮性的模拟飞行测试。

为验证探测器冗余设计正确性，结合软件测试中关于鲁棒性的要求，提出以在轨事件分析为基础的健壮性模飞测试方法，步骤如下：1)识别关键飞行事件，确定各任务剖面中每个飞行事件执行结果对任务目标的影响;2)分解单事件对应的支撑功能，以信息传递及时序关系、工作模式表达，确定测试设计输入;3)以敏感器、控制器、和执行部件作为故障激励分类，实施测试设计及细则编制。本文仅举例月面着陆段的健壮性模飞，相应的故障注入及相应时间见表1。

表1 多源故障注入的健壮性模飞Table 1 Multilayered fault injection in robustness test

工程实施过程中，共实现了涵盖50个故障源的多层多源故障注入的健壮性模飞，实现落月/起飞/再入等关键环节的冗余设计正确性验证。

3.3 应急预案模拟演练

当满足任务连续的要求，在系统级测试阶段与北京指控中心联合完成了在轨应急处置预案的模拟演练。主要包括：1)发射入轨段,器箭分离后探测器未正常对日定向;2)着陆下降段,7500 N发动机点火前地面决策推迟两圈动力下降;3)月面上升段,上升器入轨异常地面处置采用8×120 N推力器进行两脉冲补充变轨;4)交会对接段,轨返组合体前进至100 m停泊点转紧急撤离，由轨返组合体实施远程导引，进行推迟两天交会对接。检验了天地大回路状态下处置预案及应急飞控流程的正确性。

3.4 工程实践效果

整器研制过程共开展模拟飞行共17次。内容涵盖B阶段有线分段主备份各1次，C阶段全任务有线主份1次及无线主备份共计3次，健壮性专项1次，软件落焊前1次(主份)，软件落焊后2次，北京指控中心无线联试1次(2017年)，出厂前演练(2017年)主备份各1次，北京指控中心无线联试2次(2019年，含应急演练)，出厂前演练(2019年)主备份各1次，发射场技术区主备份各1次。验证了整体任务的可行性与正确性。

4 场景与动作的定量验证

针对在轨工作过程中关键动作涉及的剖面多、影响成败的环节多，提出了场景与动作相结合的系统匹配验证方法。解决了遥测通道降采样引发的“数据特性与物理部件特性”的不匹配，实现嫦娥五号探测器整器条件下关键动作实际执行能力的可靠性摸底。任务场景与动作匹配的验证策略示例见表2。

表2 任务场景与动作相匹配的验证策略Table 2 Validation strategy based on mission scenarios

制定测试策略：划分关键动作的为连续运动和瞬态脉冲两个类别，识别并设计相应的测试策略，选取相应的监测参数，预估物理过程设置获取指标。

1)连续负载运动：

(1)电机动作需要涵盖各个活动部件的工作步骤，监视各绕组电流波形，考核指标为相序； (2)测试条件应覆盖工作档位、正反转、转速等要素;(3)瞬态启动策略验证。检查转子惯量的动态启动附加等效转矩与负载转矩两者相对于牵引力矩是否存在“电机失步”，以及降低挠性影响的“加速-匀速-减速”启停控制策略;(4)配置覆盖主控制器-主绕组，备控制器-备绕组等冗余状态;(5)实时各绕组负载电流，并对幅值、斜率、占空比、拍数做统计比较。

2)瞬态负载作动：

主要包括：支持通断、分离、解锁、释放等动作在内的火工起爆，以及支持姿态调整和轨道控制的推进阀门动作。

(1)阀门分为电磁阀与自锁阀两类，电磁阀应按照80 ms调制时间，依照驱动电流波形检查幅值与脉宽；对于上升与下降沿，将储蓄系数作为考核指标;对于自锁阀仅检查上升沿储蓄系数;(2)按照在轨场景，设置功率最大组合模式，测点设置为母线，验证多脉冲组合并行作动对整条母线的瞬态冲击;(3)火工起爆动作,电爆阀选用工艺件参试，起爆通路配置与在轨要求一致，以非侵入方式完成负载电流监测：以触发方式实现“交流耦合”和“直流耦合”的双通道捕获，达到交流放大细节，直流整体观测的定量摸底验证。

实施过程中共设置电参数检测点458个，以非侵入负载检测方式[11-13]将数据特性提高两个量级以上，实现了表征关键动作过程的高保真特性数据获取，提高了整器条件下物理运动过程的可观测性。对工程实施中的两项举例说明:1)在舱盖机构关闭运动的实际测试过程中，通过绕组电流驱动数据的监测，发现了活动路径中水平向垂直转换位置的点线接触异常进一步引发运动副阻力矩突变的异常，对后续结构设计优化提供了数据支持。2)验证了着陆下降轨道控制段7500 N发动机流量调节器的电机启动方式检测：每控制周期内走第1步时电流保持3 ms，第2步时电流保持2 ms，第三步起每步为1 ms，简称3-2-1升频控制策略。以电参数实测结果验证了剖面场景下具体策略实现与要求的一致性。