导航卫星健康管理协同仿真验证系统设计与实现

冯文婧，潘宇倩，张 弓，夏 岩

(中国空间技术研究院 通信与导航卫星总体部，北京 100094)

0 引言

北斗卫星导航系统作为极其重要的国家基础设施，导航服务的连续性、可用性尤其是顽存能力日益受到关注，已经成为现代国防建设和国民经济不可缺少的重要组成部分。从卫星系统设计的角度来说，应主要保证尽量减少非计划中断的发生，其中长期非计划中断主要依靠卫星单机、分系统和系统的固有可靠性和寿命保证，短期非计划中断可通过切换备份或其他地面干预措施进行恢复，主要依靠卫星健康管理系统进行保证。为了提高导航卫星可靠性、可用性和完好性，有必要开展卫星健康管理系统设计，最大限度地减缓和避免严重故障的发生，提高卫星生存能力，维护国家安全和国民经济建设。

国外健康管理技术应用较为广泛，从最早航天领域的综合运载器健康管理(IVHM)系统，到SH-60直升机的使用和状态管理系统(HUMS)、波音公司在民航领域的飞机状态管理(AHM)系统、美国海军的综合状态评估系统(ICAS)以及陆军的嵌入式诊断和预测(ED/EP)等[1-9]。卫星健康管理系统是测试性技术发展的新阶段，作为一个新兴领域，其性能度量尚没有形成完整的指标参数体系，尤其是航天器健康管理指标参数在国际上远未达成共识，亟需研究和解决。可靠性、维修性、测试性和保障性(RMS)等通用质量特性是影响装备保障效能的关键因素，而RMS指标综合论证/权衡分析主要依托保障性建模仿真开展。如美国空军与兰德公司联合开发的后勤复合模型(LCOM)，用于对F-16，C-17，F-22，JSF等飞机RMS指标要求进行权衡设计和保障效能分析；美国陆军通信-电子司令部开发的系统使用可用性要求模型(ASOAR)，对系统级可靠性、可用性和维修性进行分析，用于战备完好性宏观分析[10-14]。这些仿真工具的能力包括健康管理系统指标权衡确定、评估系统执行任务的成功率或系统可用度、确定系统诊断、预测、修复或保障方案，为军方研制决策和工业部门健康管理系统相关指标设计分析发挥了重要作用。

本文充分借鉴国外健康管理技术的研究方向和经验，对导航卫星健康管理系统功能构建及指标体系建立方法进行研究，设计并实现了导航卫星健康管理协同设计与仿真验证系统：一方面可实现分层级的健康管理建模，权衡确定健康管理指标参数，辅助卫星开展健康管理方案设计；另一方面能够对上述健康管理建模、指标体系、故障检测预测算法等进行验证和评估，为星载健康管理设计和工程实现提供技术支撑和验证基础，确保星载健康管理满足系统使用要求。

1 导航卫星任务特点及健康管理需求分析

结合导航卫星任务特点，影响导航卫星任务成功因素主要为两方面：一是导航卫星在轨信号服务性能，包括空间信号的连续性、可用性等；二是卫星在轨安全稳定运行能力，包括卫星姿态安全、能源安全和星务安全，确保卫星能够无故障地在轨运行。

(1) 在轨信号服务性能

导航系统服务性能主要由精度、可用性、连续性和完好性指标表征。空间信号的连续性和可用性都与卫星的中断有关。卫星的中断可分为短期计划中断、短期非计划中断和长期中断3类。短期计划中断和长期中断主要是由于卫星轨道保持需求，或较难恢复的异常故障导致的，需要地面干预实施，通过任务规划等方面进行优化，减少计划中断的次数和中断时间，不作为健康管理的任务需求。卫星健康管理重点针对非计划中断要求进行设计。

非计划中断包括下行信号非计划中断和接收上注信息的非计划中断，导致非计划中断发生的主要原因是使用了大规模的FPGA，DSP，CPU等逻辑器件的单机。由于单粒子事件或其他可恢复故障导致的功能中断，卫星需要针对上述故障在整星、分系统、单机各层级开展健康管理设计，以缩短中断恢复时间。

(2) 在轨安全稳定运行

根据导航卫星在轨安全、稳定的运行要求，卫星健康管理系统应能对所有可检测的故障进行检测，全面了解卫星的健康状态，根据检测和预测的结果进行相关决策。对于导航卫星行波管放大器、原子钟、蓄电池等具有典型退化和耗损等特征的产品，其故障可能导致卫星任务失败或寿命终结。考虑算法的成熟度和快速处理的需求，卫星健康管理需针对上述具有典型退化性能产品的性能开展长期趋势预测与分析，全面了解产品性能变化情况，尽早发现并及时处置，以最大限度地减少中断发生的概率。

综上所述，卫星健康管理系统的主要需求包括：① 状态监测数据的采集与存储；② 状态信息的传输、显示、报告与数据预处理；③ 故障检测、诊断与隔离功能；④ 健康状态评估及性能趋势分析和其他扩展需求。为了支撑卫星健康管理系统实现上述功能需求，开发了一套健康管理协同设计仿真系统，首先对卫星功能结构模型进行建模，在此基础上，以卫星导航信号短期非计划中断为顶事件，通过指标计算分配模块，从系统层面构建卫星健康管理指标体系，并计算确定指标参数，作为系统设计的依据；通过健康管理建模模块、故障模式分析模块、算法配置分析模块和运行及评估模块，实现对上述功能的辅助设计与验证。

2 系统架构设计及功能组成

2.1 系统架构

导航卫星健康管理协同设计与仿真验证系统架构如图1所示。

图1 系统架构Fig.1 System architecture

系统以图形建模方式综合故障检测、预测、诊断和预测等技术的系统设计软件，借助各种算法和健康管理模型来预测、监控和管理卫星的健康状态。其主要功能模块包括：功能模型建模模块、指标计算功能模块、健康管理建模模块、故障模式分析模块、算法配置分析模块和运行及评估模块。

2.2 系统功能组成

(1) 功能模型建模模块

卫星对象系统功能结构建模是健康管理系统设计的首要前提之一，集中展现了系统内部不同的部件、设备、分系统之间的功能联系与影响。与传统的系统仿真不同，功能框图是对系统内部相同或不同层次之间信息流关系的描述。通过构建好的系统对象功能框图，借助图形化设计开发环境，对健康管理各设计要素进行细化设计。

(2) 指标计算功能模块

健康管理设计软件目的在于结合卫星设计等综合约束，分析计算得到满足给定健康管理能力要求的卫星健康管理系统方案和指标参数，作为健康管理设计的依据。指标计算可覆盖故障检测率、隔离率、虚警率、平均间隔时间、预测覆盖率和预测准确度等指标。

(3) 健康管理建模模块

以保障在轨服务性能和在轨卫星安全稳定运行为任务目标，通过功能分层和任务分层，实现自上而下的健康管理建模，梳理影响各项任务成败的关键因素和核心产品，与相关故障模式进行关联，便于从单机级到整星级综合应用故障诊断与预测技术。

(4) 故障模式分析模块

根据卫星各分系统FMEA和功能原理图，梳理系统级、分系统级和单机级故障模式的关联特性，确定上级系统故障模式与下级系统故障模式的对应关系，定位引起故障的底层系统故障模式，实现危险源分析。根据定位到的故障模式和故障原因，基于状态监测的需求，自下而上分析不同层级系统适用的状态监测方法和测点布局方案，结合实际工程指标，优化卫星健康管理系统的监测、评估、诊断和预测能力。

(5) 算法配置分析模块

算法配置分析模块包括传感器选型及算法数据库，是实现健康管理系统功能的基础和前提。根据不同健康管理设计需求及卫星自身功能设计约束，传感器的确定往往包括机内测试(BIT)/传感器/测点的位置选择、类型选择、精度选择等功能，为健康管理系统的数据采集与监测方案提供基础。健康管理算法数据库包括故障检测、故障诊断、故障处理和故障预测算法，是卫星健康管理系统设计的关键与核心，支持健康管理算法扩展。

(6) 运行及评估模块

在分析健康管理算法性能及其对数据要求的基础上，利用卫星典型状态下的模拟数据、地面测试数据、在轨数据，对各健康管理算法进行独立运行测试，并基于测试结果实现对指标设计和相关算法的准确评价和评估，从而辅助卫星健康管理系统进行迭代设计和验证。

3 关键模块设计

在健康管理协同设计与仿真验证系统中，有2个关键核心的功能模块：健康管理建模模块和指标计算功能模块。健康管理建模模块主要完成卫星健康管理功能的总体构建，通过层次化的建模技术，构建从整星系统级到单机级的综合应用健康管理模型，相当于卫星健康管理系统的简要模型，是开展协同设计和验证的基础。指标计算功能模块主要是完成卫星健康管理指标体系的构建和指标参数的计算确定和分配，用于辅助开展健康管理指标的设计和验证，是系统提出相关指标要求的主要依据之一。

3.1 健康管理建模方法

导航卫星健康管理建模的过程，首先是自上而下地进行任务分析，以卫星导航信号短期非计划中断为顶事件，分解为“在轨信号服务性能”“在轨安全稳定运行”子事件，进一步对每个子事件的中断指标要求、产生中断的原因、故障模式等进行细化分解，建立导致卫星信号中断的健康管理模型，作为后续健康管理方案设计、指标确定和分解的依据。

3.1.1 面向在轨信号服务性能保障需求的健康管理建模

首先，对引起导航卫星下行信号产生非计划中断的原因进行分析，梳理各分系统和导航下行信号中断的关系，识别相应的故障模式，图2给出了基于下行信号中断特性的物理模型构建过程。经过分析，卫星导航分系统直接完成下行信号生成与播发，该任务与时频子系统、导航任务处理和导航信号播发子系统相关。如果相关子系统发生异常或故障，可能导致单星下行信号短期中断。因此，重点对上述故障模式，以及原子钟、频标分配单元、基准频率合成器、导航任务处理机、L变频调制器和TWTA等相关单机进行健康管理建模。

图2 基于导航卫星下行信号服务连续性的健康管理建模Fig.2 Health management modeling based on service continuity of navigation satellite downlink signal

其次，对引起导航卫星接收上行信号产生非计划中断的原因进行分析，梳理各分系统和接收上行信号中断的关系，识别相应的故障模式，图3给出了基于接收上行信号中断特性的物理模型的构建过程。

图3 基于导航卫星上行信号接收连续的健康管理建模Fig.3 Health management modeling based on reacceptance continuity of navigation satellite uplink signal

经过分析，卫星在境内时，上行注入子系统可直接完成上注信息接收，如果该子系统发生异常或故障，可能导致单星接收上注信息短期中断；卫星在境外时，自主运行、综合电子分系统参与完成上注信息的星间转发，如果自主运行星间转发功能异常或综合电子星间网络管理功能异常，可能导致单星接收上注信息短期中断。因此，重点对上述故障模式，以及上行注入接收机、数据处理与路由单元、星间收发信机、相控阵天线等相关单机进行健康管理建模。

3.1.2 面向在轨安全稳定运行保障需求的健康管理建模

对影响卫星平台安全稳定运行的因素进行分析，其中控制分系统、电源分系统、综合电子分系统分别承担了整星的姿态安全、能源安全和星务安全，对卫星提供连续不断的平台服务起到至关重要的作用。图4给出了基于卫星安全稳定运行特性的物理模型的构建过程。

图4 基于导航卫星安全运行的健康管理建模Fig.4 Health management modeling based on the safety and stable operation of navigation satellite

经过分析，导致平台安全异常的相关故障模式或评估预测项目包括：姿态控制异常、能源异常和星务管理异常等，覆盖单机主要包括中心管理单元、数据处理与路由单元、电源控制器、蓄电池、敏感器及执行机构等。

3.2 指标计算方法研究及功能设计

指标计算功能模块的核心是指标体系的建立和指标参数的计算确定。

3.2.1 指标体系的建立

卫星健康管理既强调故障的检测与隔离、状态的实时监视，同时强调对剩余寿命的预测。通过对国外健康管理系统及武器装备保障系统设计指标的调研，结合导航卫星健康管理功能的需求，导航卫星健康管理指标体系应覆盖故障检测/隔离类、预测类、综合保障类指标，具体参数包括：故障检测率、故障隔离率、故障隔离时间、虚警率、平均虚警间隔时间、预测覆盖率、准确度和精度、数据传输速率和带宽、数据/程序存储容量等。健康管理协同仿真验证系统中有完整的指标体系参数集，在卫星系统进行健康管理设计及指标体系设计时，可以根据实际情况进行选取，每一个指标参数都有相应的指标参数计算确定方法。

3.2.2 指标参数的计算确定

对健康管理指标计算确定方法进行研究，主要包括类比法、参数权衡法、基于SIMLOX仿真软件的参数确定法、层次分析-折中系数法、马尔科夫链法和可用度-费用优化权衡法[15-17]。表1给出了各类方法的优缺点和适用性。

表1 健康管理指标计算确定方法Tab.1 Calculation and determination method for health management index parameters

北斗卫星导航系统可用性、连续性、卫星短期非计划中断等系统指标要求是导航卫星开展设计的主要依据之一。根据表1所述的方法适用性，在系统可用性、连续性等系统指标已知的情况下，适合选用参数权衡法、马尔科夫链法，实现对卫星健康管理指标的计算确定。

以参数权衡法为例，根据卫星系统中断指标要求及系统可用度，通过计算和权衡分析可确定故障检测率、隔离率等健康管理指标参数。主要计算过程如下：

① 根据“非计划中断平均间隔时间及恢复时间”指标要求，计算出系统的可用度为：

(1)

式中，TU为能工作时间；TT为总拥有时间。

② 利用故障检测率γFD与可用度、可靠度之间的关系，权衡分析确定故障检测率和维修度指标，即：

A(ta)=R(tm)+γFDM(tr)[1-R(tm)]，

(2)

式中，A(ta)为系统在时间ta时的使用可用度；R(tm)为可靠度；γFD为故障检测率；M(tr)为维修度。对于导航卫星，要求故障发生之后能够及时、准确检测，因此要求故障检测率高于0.999，进而计算得出维修度M(tr)。

③ 假定维修概率密度分母函数为指数分布：

(3)

(4)

式中，tIN为无BIT技术时故障定位隔离时间；to为除tIN以外的其他时间之和；γFI为故障隔离率，根据类似产品凭经验估计，并参考美国军用标准MIL-HDBK-472，权衡确定to和tIN，进而计算得出故障隔离率γFI。

④ 虚警率γFA不仅与单位时间的虚警数有关，还与系统的故障率λS和故障检测率γFD有关，即：

(5)

按照上述方法和步骤，以导航卫星非计划中断平均间隔时间、恢复时间等顶层要求为输入条件，以此计算得出故障检测率、故障隔离率、虚警率等指标，作为指导导航卫星健康管理系统设计的技术依据。

4 系统应用与验证

导航卫星健康管理协同设计与仿真验证系统各功能模块应用情况如下：

① 卫星功能结构模型构建。根据卫星系统与分系统和相关单机之间的结构关系、接口关系、信息传递关系，构建卫星内部模型，集中展现卫星系统内部各部件、设备、分系统之间的功能联系与影响，实现对系统内部相同或不同层次之间信息流关系的描述。

② 指标计算与分配功能。图5给出了使用软件进行指标分配预计的操作页面，可选择相应的指标权衡确定方法，对添加的健康管理指标进行分配与预计，其中系统可用度、可靠度等作为指标设计的输入条件，可进行设置和调整，同时根据相关分系统和单机对任务影响的权重，将指标进一步分解到相关分系统及相关设备。

图5 指标计算与分配Fig.5 Index calculation and distribution

③ 健康管理建模。图6给出了利用软件进行模型构建的过程，以卫星导航信号短期非计划中断为顶事件，分解为“下行信号短期非计划中断”“上行信号短期非计划中断”“影响在轨安全稳定运行”3个子事件，进一步对每个子事件的中断指标要求、产生中断的因素和相关单机设备等进行细化分解，通过层次化的建模技术，构建从整星系统级到单机级的健康管理模型，建立与故障模式的关联关系。

图6 健康管理模型构建Fig.6 Construction of health management model

④ 故障模式分析。通过导入的卫星FEMA分析结果，梳理整星级、分系统级和单机级故障模式的关联特性，确定上级系统故障模式与下级系统故障模式的对应关系，定位引起故障的底层系统故障模式；基于故障模式状态监测的需求，自下而上分析不同层级系统使用的状态监测方法和测点布局方案，优化卫星健康管理系统的监测、诊断、预测和评估能力。

⑤ 算法配置分析。图7给出了系统算法数据库中所包含的主要算法，包括故障诊断算法、故障预测算法和评估算法等，可以灵活配置各类算法，算法支持扩展。

图7 主要算法列表Fig.7 Main algorithm list

⑥ 运行及评估模块。对各算法进行独立运行测试，包括故障诊断和预测、对构建的健康管理指标符合情况进行验证和评价。图8给出了L变频调制器故障布尔量检测算法仿真验证过程。图9给出了铷信号上升、铷钟光强下降预测算仿真验证过程。利用同样的流程，对录入的可检测、可恢复的其他故障一一进行遍历检查，经确认，所有已录入故障均可按照既定规则进行检测和恢复，故障检测率达到100%，故障隔离率≥95%，虚警率0，满足设计指标要求。

(a) 故障仿真算法配置和检测点设计

(b) 故障仿真验证结果

(a) 铷信号上升预测算法仿真结果

(b) 铷钟光强下降预测算结果

⑦ 在实际型号研制中，导航卫星围绕短期非计划中断的任务目标，采用本文所述的健康管理建模方法，对卫星健康管理系统进行了设计和实现，并对健康管理功能进行了测试、验证和在轨应用，在轨运行结果表明，空间信号连续性整体统计优于99.99%/h，满足≥99.8%的指标要求，空间信号可用性整体统计优于99.78%，满足≥98.0%的指标要求[18]，有效保障了北斗卫星导航系统连续稳定的运行和服务。

5 结束语

本文提出的健康管理建模和指标确定方法是以卫星导航信号短期非计划中断为顶事件，通过分析引起卫星短期非计划中断的主要原因和故障模式，提出了相关的指标要求和健康管理设计，对卫星连续性和可用性的提升具有意义。本文搭建了一套健康管理协同设计与仿真验证系统，能够实现卫星健康管理建模和功能仿真，并通过算法配置实现对健康管理指标的辅助设计和计算确定，通过数据驱动实现对健康管理算法的运行和评估验证，为星载健康管理工程实施奠定了基础。后续，结合卫星在轨运行情况，将进一步升级和完善卫星健康管理功能，为我国同类航天器健康管理技术发展和能力提升提供借鉴和参考。