低温火箭自主故障诊断和发射控制

(北京宇航系统工程研究所，北京 100076)

0 引言

地面测试与发射控制对确保运载火箭任务的成功起着至关重要的作用，既是对运载火箭功能与性能的全面检查和确认，其本身也是射前工作的重要组成部分，对任务的可靠性，尤其是发射场和人员的安全性等，起到了决定性的作用。为了应对航天发射市场愈发激烈的竞争，各国都认识到了地面测试和发射控制在其中能够发挥的重要作用。在2015年，美国NASA公布的空间技术发展路线中将地面发射系统列为第13个重要领域。根据分析，各种地面操作占到了项目总成本的40%，因此需要进一步简化操作、提高效率、降低成本，实现“运输即发射”(ship and shoot)的目标。我国航天发射也已进入高密度阶段，如何有效地在确保可靠性、安全性的情况下提高效率、降低成本、增强快速进入空间的能力，已成为我国航天竞争力的重要体现。

随着信息技术的快速发展，我国新一代运载火箭电气系统在测试发射的自动化方面取得了长足的进步，尤其控制系统基本实现了准实时的自主故障检测与诊断[1]。但与国外最先进的测发技术相比，长征火箭在发射场的测试和发射准备过程中自动化程度仍然偏低，尤其在低温火箭发射前的加注、射前状态检查和测试操作等环节需要大量的人工参与，存在一定的系统安全风险。

某低温火箭是一型面向商业发射市场的主力中型运载火箭，也是首型在方案论证阶段就将测发周期和测发队伍规模作为重要约束指标而开展设计的运载火箭。本文重点针对该火箭在低温动力系统自主故障诊断和发射控制技术研究等方面取得的进展进行介绍，以期推动我国低温火箭测试发射技术的发展。

1 国内外研究现状及关键技术

2016年9月，法尔肯9火箭在液氧加注过程中发生爆炸，由于采用了诸多自动化的测发技术，在推进剂加注过程中实现了火箭前端的无人值守，爆炸事故未造成人员的伤亡，这也从侧面反映了自动化的测试发射技术对提高火箭发射控制安全性的重要意义。从国际上看，NASA在低温火箭自主发射与控制方面开展了大量的研究，已经进行了将近10年，大致可以分为如下几个阶段：

1)2011年～2014年：集成化地面操作验证单元(IGODU)[2]。

该课题的子项—GODU/LO2主要研究推进剂加注的自主控制技术，为此在肯尼迪航天中心(KSC)的低温实验室(CTL)专门建设了一套模拟推进剂加注系统[3]，以研究和验证在无人监督和干预的情况下实现故障诊断和系统恢复的能力，目标是将低温推进剂自主加注技术的成熟度从三级提升到四级。

2)2015年～2017年：自主推进剂加注(APL)项目[4]。

本项目在NASA先进探索系统任务框架下开展，目标是将自主加注的成熟度从四级提升到五级，项目采用真正的低温推进剂，验证多个贮箱、多种介质的自主并行加注、健康监测、故障检测等技术。APL项目确定了三个里程碑节点：2015年7月，采用仿真技术演示多级自主推进剂加注；2016年7月，用液氮演示多级自主并行加注；2017年3月，用液态甲烷和液氧演示多级自主并行加注。

如今，这方面的研究还在持续。

3)2019年～：地面操作自主控制技术(ACT)。

在“美国种子基金”的支持下，NASA在2019年3月公布了本项目申请指南。这表明，尽管美国主流火箭发射控制的自动化程度较高，但其在测控后端也有一定数量的人员在进行状态监控和流程干预，NASA也仍在努力提高加注发射过程的自主化程度，特别是提高应对故障的自主处置能力。该项研究分为两个阶段：第一阶段主要研究、识别和评估可用于系统和部件故障检测、隔离和恢复、故障预测和诊断的各种技术或概念，以及控制决策算法，开展可行性验证以及风险评估，该阶段主要是在实验室环境下进行。第二阶段将在模拟操作条件下开发和制作原型系统，并进行演示验证，技术成熟度在第二阶段的末期应能达到六级或更高。

NASA认为，ACT不仅适用于火箭发动机试车、推进剂加注和运载火箭发射等活动，也将用于月球和火星表面探测任务的操作和维护。ACT还支持故障排除、维护、升级和维修等任务，对应急和非标称工况亦能进行自动处理；项目将采用机器学习、神经网络或其他形式的人工智能技术来适应性能退化的系统组件或其他形式的非正常工况。这一研究离不开高精度的低温系统热力学模型和仿真系统的开发与应用[5-8]。

此外，前苏联国家设计的火箭中，天顶号的自动化程度也非常高。火箭运至发射台后所有的发射操作按照事先确定的程序自动进行，射前准备工作实现了高度自动化，确保发射准备时间短、人员安全程度高。

在我国随着低温发动机的推广应用，相关研究机构也对低温动力系统不同工作阶段开展了有针对性的仿真分析[9-12]。但在动力系统故障诊断方面的研究工作比较少，缺少系统性的规划、设计和验证，距离工程应用层面的系统开发和使用还有很大差距[13-14]。

低温火箭的发射准备工作交叉进行，在功能上隶属于不同的分系统，但很多测试和操作项目之间又互相影响，紧密耦合。受传统设计理念、软硬件技术的制约，我国液体运载火箭习惯采用“人在回路”的测发模式，靶场指挥、操作人员随着火箭动力系统规模的增加而成倍增加。

综合国内外现状，自主发射控制依然是当前航天领域的前沿技术。为真正实现前端无人值守，提升火箭发射的可靠性和安全性，缩减靶场岗位人员，降低发射成本，需要解决以下难题和关键技术：

1)低温火箭动力系统测发流程自动化设计与控制技术(含各种远控阀门，零秒脱落连接器等)。

2)故障检测、定位和故障预测技术(含各种建模和仿真系统的设计，系统测试性设计技术、高精度传感技术等)。

3)故障隔离、重构及自主决策控制技术(包含各种冗余措施、预案处理等)。

4)高可靠测控系统软硬件集成化设计及测试技术(包含测发控的一体化设计、主控软件的集成化设计、基于故障注入的测试覆盖性设计技术等)。

2 低温火箭自主发射控制方案研究

2.1 动力测控的主要工作内容和操作项目

低温火箭动力测控系统在发射区的主要功能是完成动力系统全系统气检、煤油加注、液氮加注、液氧加注、气瓶充气、液氢加注、贮箱射前增压、气管连接器脱落等工作。在整个过程中实现压力、温度等参数的测量、显示和存储等功能，并具有报警、应急控制等可靠性、安全性设计措施。主要工作见表1。

2.2 技术方案及系统构成

低温火箭地面测发控系统的总体架构如图1所示，在以下三个方面进行一体化改进设计：

1)能源及测控资源一体化设计：不再区分为多个子系统，采用功能划分和模块化设计理念优化系统架构。将供配电功能、测控功能和数据采集及传输功能进行集成，为自主故障诊断和“一键”式发射控制创造条件。

2) 信息一体化：以虚拟数据中心替代传统各分系统大量分散的工作站和服务器，整合各系统的运算资源并提高其利用率，提升系统的可扩展性和灵活性，强化测试数据的管理和应用。

3)“一键”式发射控制：测发控软件高度集成，将目前分级指挥模式转换为一名指挥的测控模式。软件平台采用组合化设计思路，指挥控制、电气测控和动力测控等三大模块以及嵌入其中的不同故障诊断算法均以插件的形式进行封装，便于平台的使用和扩展。

由图1可知，地面测发控系统实现了统一供配电，将供电电源分为直流稳压电源和中频电源两类。同时，配电控制功能集成到测控组合实现，提升系统集成度和自动控制能力。地面取消了用于对箭上产品进行直接测量的设备，全部采用箭上自测试，并将测试结果通过无线和有线传输至地面；其中无线传输采用遥测PCM数据流，有线采用串行PCM数据流，关键参数还同时采用LVDS高速串行通信链路进行传输以提高可靠性。地面信息交换网络将发射场地面测控网络与异地远程发射支持网络进行一体化整合，实现多地协同、全箭测试数据的安全可靠传输、集中管理和信息共享。系统实现了基于虚拟云技术的数据管理、存储、发布和显示，为故障诊断和一键测发控提供了技术基础。

表1 低温火箭动力系统发射控制的主要工作内容

图1 地面测发控系统的总体架构

图2 地面测控组合软硬件层次关系图

2.2.1 测发控系统硬件设计

集成测发控设备将传统电气测控、动力测控和发射支持测控进行集成化设计。图2为地面测发控设备的软硬件层次关系和测控组合的拓扑结构。地面测发控设备的输入、输出层主要用于实现人员对系统状态的监控，其包括设备面板指示灯、按键/显示屏、软件界面等。地面测发控系统功能主要包括：发射控制、测量诊断、供配电、供配气、信息交互、诸元装订、应急控制等。

设备间协议层主要包括三大类：TCP/IP协议、箭地总线协议、遥测数据通信协议，其中，TCP/IP类协议主要用于地面设备之间的信息交互、发控指令传输、参数上传等。地面测控设备机内协议层主要用于实现设备内部功能业务数据和自检数据的总线传输。测控组合内部采用两类串行总线，满足设备内业务通信以及健康管理通信的需求；每类总线均采用双通道冗余的方式，每类总线还可以互为备份，从而提高设备的可靠性以及故障下进行重组的使用要求。

2.2.2 测发控系统软件设计

“一键”发射控制的主控软件运行在发射流程控制工作站中，是整个自主发射控制系统的核心，该软件自上而下可分为4个层次：界面交互层、业务逻辑层、数据管理层及数据链路层，软件结构如图3所示。根据低温火箭发射流程的特点，主控界面设置“电气系统自动发射控制”和“动力系统自动发射控制”两个相对独立的软件模块，两个模块由总控模块统一调度和管理，实现进程协同、信息交互和异常处理，既保证了整个发射流程的一体化自动运行，减少系统间不必要的指挥口令和信息交互，又方便按每个系统的特点开展自动流程设计和状态监控。指挥控制软件界面上显示流程自动运行情况、各系统状态、关键参数值或曲线等信息，供指挥人员了解发射控制系统的当前运行状态。图3中，业务逻辑层是故障诊断功能实现的核心部分，其主要根据实时数据库、历史数据的数据信息，利用知识库信息，进行测发流程判断、参数检测、动力系统自动流程实时诊断以及在一个特定流程下的多参数融合诊断等功能，并将诊断结果实时推送至界面，供指挥员判断、决策或根据预案进行后处理。

图3 软件结构图

“一键”发射控制的主控软件的人机交互界面示意如图4所示，软件部署在两个显示屏，其一为发射控制屏，其二为参数显示屏。发射控制屏又分为“发射”、“测试”和“故障”三个状态，参数显示屏显示的参数随着发射控制屏的状态自动调整。

图4 “一键”发射控制主控软件示意图

2.3 动力测控的自动流程设计

某低温火箭从推进剂加注开始进入自动发射流程，为提高自动流程运行的可靠性，并降低系统的风险，在动力系统的自动发射流程设计时，首先根据不同时段流程的特点对整个发射流程进行阶段规划，阶段规划的原则如下：

图5 低温动力系统加注发射流程规划

1)相对集中、连贯的流程放在同一个阶段；

2)可以并行开展的流程放在同一个阶段；

3)有前置工作项目的流程放在后一个阶段；

4)本流程开始后，如果取消发射会对后处理流程产生重大影响的工作项目，放入下一阶段。

这样的阶段划分方法，可以保证在同一个阶段内自动流程能连贯运行，可以并行执行的工作项目，通过设定时间或逻辑条件启动该工作；当一个阶段的工作完成之后，确认前置工作的效果满足后续流程的条件后，再进入下一个阶段的工作，从流程设计上尽量避免将隐患带入下一阶段而给流程处理带来额外困难和技术风险。

按照这样的流程设计思路，对某型低温火箭动力系统的加注发射流程进行规划和设计，见图5。在具体的动力系统自动测控流程设计中，在每个阶段开始时，设置“阶段开始前状态检查”，对箭上动力系统遥测数据和地面供配气系统的相关测量参数进行检查，确认所有状态均正常后，主控流程按照设定的时间条件或逻辑控制条件自动启动本阶段的各项测试工作。

2.4 故障诊断与处理

2.4.1 故障诊断的系统设计

2.4.1.1 故障模式的确定

动力系统地面设备主要有供配气设备和加注设备，其常见故障模式及影响分析见表2。根据动力系统的工作特点和测量参数设置情况，用于工作状态判断的信息主要有以下几类：

1)箭地接口处的供气压力：主要用于各类吹除供气、阀门控制供气等状态监测；

2)压力变化速率：主要用于各类气瓶充气过程监测；

3)终端压力：主要用于贮箱增压过程、气瓶充气过程监测；

4)流量：主要用于推进剂加注系统的状态监测；

5)温度：主要用于发动机预冷过程的状态监测；

6)阀门位置信号：用于加注系统或其他一些关键阀门的打开/关闭状态监测。

2.4.1.2 信号检测

在确定检测方案时，首先根据FMEA分析梳理出故障模式，理清能够表征这些故障的物理量，然后区分这些物理量是否可测。对于可测但受安装空间或经济性的制约而无法安装传感器的信号，也一并归入不可测的物理量。故障诊断或者检测健康状态需要用到的信息远远大于传感器的数量，因此在一个工业过程控制系统中出现不可测的物理量是大概率事件。在这种情况下，将不可测的物理量设计为待观测的状态参数，并建立状态参数与可观测信息之间的物理模型。

图6中通过建立物理模型进行故障诊断。右侧表示可观测物理量的判断，采用基于残差的分析方法。稳态工作条件下判断故障类似基于阈值的对比，“期望”状态是根据当前的传感器参数实时估计的，也可以按照某个规律插值或查表得到，或者是长期积累的经验值。左侧为不可观测物理量的判断，一般考虑动态工况，通过贝叶斯估计等预估这些参数的值，并且存在着概率分布特性。模型通常以微分方程的形式来表示。图中S表示可观测量，x表示状态参数，其中包含了不可观测的健康信息；p(x(k)|S(0:k-1))表示根据0～k-1时刻的观测量，状态向量x(k)的概率。

表2 动力系统供气供液设备的故障模式

图6 低温动力系统的故障诊断信息处理

2.4.1.3 故障处理策略

在故障诊断系统设计时，根据流程所处的阶段、故障的特点和影响等因素设计故障处理策略。有两种处置模式：自动故障处置模式，由“故障诊断模块”负责对遇到的故障进行自动处理；当确实难以自动处理时，进入人工故障处置模式，通过“状态跟踪与保护模块”对自动流程进行人工干预，控制自动流程暂停、停止。人工处置模式将被记录，并逐步补充完善到自动处置知识库中。

对于系统自动检测到的故障状态，由“故障诊断模块”首先进行状态判断和处理：

1)对于有冗余配置的硬件产品，在硬件产品之间没有相互影响的情况下，采用热备冗余，使系统在不做判断的情况下，适应产品的一度故障。

2)系统检测到有冗余配置的硬件产品出现故障时，首先对故障的硬件产品进行隔离，然后启动备份产品，使流程继续进行。

3)检测到某流程执行后未达到预期目标，则系统自动匹配故障预案，并提示指挥员启动预案流程。

4)当系统检测出故障，而且没有冗余部件或明确预案可以进行状态切换时，根据其影响的严重程度、当前流程的特点，实施如下处置：

(1)提示故障模式信息，提醒指挥员做好进一步的状态监测和分析，必要时进行人工干预；

(2)提示故障模式信息并暂停自动控制程序，同时将当前流程转入安全状态，暂停等待；

(3)提示故障模式信息并停止自动控制程序，同时将当前流程转入安全状态，等待人工处理。

5)对于没有自动处理措施或现成预案的故障状况，需要人工手动处理，在指挥控制软件中切换进入应急控制界面，由指挥员手动调用“测控程序库”中的功能程序或单点控制项目对故障进行手动处理。

考虑到状态监测手段和测量参数有限，故障诊断模块不能检测出所有可能出现的故障状况，同时其他系统(比如电气系统)出现异常状态时，也会对动力系统的自动发射流程产生影响，这些异常和故障状态依赖于其它外部手段和人员监测。所以在指挥控制软件中设置了“状态跟踪与保护模块”，专门用于指挥员对自动流程进行人工干预。当系统接收到“手动暂停”或“手动停止”指令时，“状态跟踪与保护模块”跟踪并识别当前所处的流程节点，控制整个火箭和测发系统进入应急安全状态，然后进入手动应急操作环节。该功能模块主要用于响应人工判断、协同电气系统等其它系统的异常处置、统筹整个发射进程等。

2.4.2 故障诊断方法

故障诊断系统主要是基于关键参数的阈值判断进行状态监测和初步的故障定位。前期主要是根据专家知识和基于模型的故障仿真分析确定关键监测参数的阈值范围。经过多次发射任务的数据积累之后，将通过大数据分析手段统计数据变化规律，根据大量数据的统计分析结果对参数阈值进行自主完善。

受历史故障数据较少且真实地面设备故障模拟试验状态十分有限等因素影响，低温动力系统故障诊断模块的设计和开发受到了很大制约。为此，对低温动力系统的重要测控环节开展了理论建模和故障仿真分析，研究不同故障模式下系统监测参数的变化规律和对发射流程的影响，以获取可靠和足够的故障判据信息用于故障诊断系统的知识库构建。

2.4.2.1 故障仿真模型

地面供气系统涉及的管道、阀门等组件很多，系统规模庞大，不同过程之间存在一定的相互影响，但为了降低建模计算的难度并提高计算效率，需要对建模过程进行简化处理，这给计算结果的不确定性带来了一定影响；另外在复杂的管路系统和低温装置中，对于准确计算换热系数、流阻损失是一件很困难的事情，这会影响到分析的准确性，为了使仿真结果更符合实际情况，往往需要开展试验验证和必要的修正。

对于供配气系来讲，系统仿真时所用的模型主要有气体容积单元、气体管路、各种阀门、过滤器、孔板、泄漏孔等，对应的数学模型主要可归结为如下三类：

1)气体容积单元的模型：

对于气体容积单元，在考虑气体流入、流出以及与外界换热时[15]的状态方程组如公式(1)所示:

(1)

实际气体的R-K状态方程：

2)气体管路的模型：

气体管路中的流量按公式(2)进行计算：

(2)

Ad为管路横截面积，L为管路长度，ΔP为管路压降，D为管路直径，ff为管路的摩擦系数，V为气体流速，μ为气体黏性系数，Re为雷诺数。

3)节流组件的模型：

仿真模型中所用的各种阀门、过滤器、孔板等，其数学模型均是根据上、下游压力数据计算气体的质量流量，如公式(3)所示。在故障仿真中，“堵塞”故障模式的仿真是通过对节流面积进行调整来实现对不同故障程度的仿真分析；“泄漏”故障模式的仿真是通过在泄漏部位引入不同面积的泄漏孔来实现对不同故障程度的仿真分析，其数学模型的形式均与公式(3)一致。

(3)

其中：Cq为节流组件的流量系数，Ak为节流组件的最小流通面积，Pup为上游气体压力，Tup为上游气体温度，Pdn为下游气体压力，γ为气体绝热指数。

2.4.2.2 典型故障仿真与诊断示例

某型低温火箭对两个贮箱的压力差有严格的控制要求，同时贮箱增压时机临近火箭点火，为此设计了高可靠的地面增压系统，并对两个贮箱的增压过程进行逻辑联锁控制。本节对低温贮箱地面增压系统故障仿真与诊断方法进行示例说明。

根据地面增压系统的硬件构成和控制要求，对低温贮箱射前增压过程建立了如图7所示的仿真模型。

图7 低温贮箱增压控制仿真模型

图10 地面增压系统不同故障模式的仿真分析结果

在系统中对重要的增压控制阀门进行了冗余设计。通过该仿真模型对正常工况以及过滤器堵塞、地面增压管路出现泄漏等故障工况进行仿真分析，当出现增压过滤器堵塞和地面增压管泄漏故障时，都会导致贮箱增压压力上升缓慢，延长贮箱增压好时间，当故障程度比较严重时，将不能在有限时间内满足增压好要求。定性上看，增压管路出现堵塞故障时，将会使上游压力增大(见图8，增压过滤器堵塞后的实际流通面积分别为原面积的2%、4%、8%、12%)；冷氦换热器后增压管路出现泄漏故障时，将会导致上游和下游的压力均降低(见图9，泄漏孔的面积分别为2 mm2、3 mm2、6 mm2、9 mm2)。对不同部位的故障影响进行仿真分析，如图10所示，计算结果表明不同的故障模式有可能在监测参数上表现出类似的变化规律(“Jam position-2”与“Leak position-3”)，相同的故障在不同位置发生时，也可能会监测到比较接近的参数变化趋势(“Leak position-1”与“Leak position-2”)。这种情况将会导致故障定位和隔离变得更加困难。

图8 地面增压系统过滤器不同堵塞程度的故障仿真结果

图9 地面增压管路不同泄漏程度的故障仿真结果

在故障诊断中，当设定一种故障模式并通过模型仿真来判断是否与当前实测结果吻合，这是一种逆向推理技术；当判断基本准确时效率较高，否则需要多次尝试。而根据实测结果来推断故障原因则是一种正向推理，或者说数据驱动的推理；当遇到上述不同故障模式在有限测量数据上体现出很小差异的情况时，就需要寻找其他特征参数以及采用贝叶斯推理、机器学习、数据挖掘或其它形式的智能推理方法。

在诊断出故障后，可采用如图11所示伪语言表示的策略对贮箱增压过程进行自主控制：

1)增压阀门V1、V2仅一个出现无法正常打开的故障时，对系统没有影响(ACCEPTABLE，可接受的)，则不做处理；

2)增压阀门V4、V5仅一个出现无法正常打开的故障时，对系统没有影响(ACCEPTABLE，可接受的)，则不做处理；

3)增压阀门V1、V2出现无法正常关闭的故障时，则关闭V3；

4)增压阀门V4、V5出现无法正常关闭的故障时，则关闭V6；

5)系统出现故障导致贮箱压力(Pressure)超过设定的上限压力(Pmax)时，则关闭V6；

6)增压过滤器出现堵塞故障时，如果压差(dP)在允许范围内且能在120 s内完成增压，则继续流程；否则终止射前增压流程，进行最终决策；

图11 低温贮箱增压过程故障诊断方法

图12 知识库的表示和检索方式

7)地面增压管路出现泄漏故障时，如果压差(dP)在允许范围内且能在120 s内完成增压，则继续流程；否则终止射前增压流程，进行最终决策；

8)最终决策：在无法满足原有任务的情况下，考虑是否存在应急控制措施；如果没有应急措施，则中止任务，可能需要人工救援。在确保人员安全的前提下，通过人工干预流程或操作，保障火箭、地面设备处于安全状态，并启动后处理流程。

其他典型子系统的故障仿真与诊断限于篇幅，本文不再赘述。

2.4.3 故障诊断系统知识表述

故障诊断系统中知识库的表示和检索方式如图12所示。对于每一个故障，为了便于了解故障前后的状态信息及其对整个发射流程的影响，设置了“当前进程”信息，在故障检索表中根据发射流程的层次规划，对当前的进程状态进行编码，方便对自动控制流程进行跟踪；“输入参数”给出当前执行的指令动作。知识库中给出故障诊断的约束条件包括“起判条件”、“停判条件”、“确认时间”、“确认次数”、“连续/累计”、“状态判断”等内容，“状态判断”主要依据“故障判据表”进行，基于模型的故障仿真是形成故障判据的重要知识来源。指挥控制软件检测出故障时，根据系统故障特点和影响程度，故障处置策略分为四种：提示故障信息、启动自动处理措施、暂停自动控制程序、停止自动控制程序，对于后三种故障处置方式，需要输出相应的阀门控制指令，执行故障隔离、预案措施或应急保护。

3 总结和展望

我国新一代运载火箭目前已实现了远距离测发控模式，但火箭加注及发射控制的自动化程度还比较低，低温火箭动力系统的自动测试发射控制技术在国内运载火箭中尚属前沿技术，有众多关键技术需要研究和攻克。本文结合型号研制需求，在低温动力系统射前流程自动化、地面测发控系统一体化、主控软件自主运行和故障诊断等方面开展了系统性研究和探索，为低温火箭一体化自主测发控系统的工程研制奠定了技术基础。

在需要尽量减少人为干预或交互的活动中，或者需要精确操作的任务中，自主控制技术均有很大优势。相信随着对自主控制技术研究和应用的不断深入，未来低温运载火箭的测试和发射过程将变得更加智能和高效。该技术对于涉及在轨推进剂加注、月面或火星表面的推进剂加注操作和发射控制等深空探测任务也有重要意义。