PLC在發射控制系統中的可靠性應用研究

連 盟 張雅順 張煥鑫 張 鵬

北京航天自動控制研究所，北京100854

作為運載火箭的主要組成部分之一，地面測試發射控制系統在射前按照規定流程對箭上控制系統進行供配電操作，并完成設備功能檢查與火箭飛行諸元裝訂、控制發動機點火與箭體起飛等重要功能［1］。與箭上控制系統單次設計單次使用工作模式不同，運載火箭地面測發控系統設計使用壽命年限長，長時間存儲將顯著降低系統工作可靠性。同時一套地面測發控設備通常會連續執行多次靶場發射任務，特別是隨著近年來國內各現役型號運載火箭高密度發射模式逐漸常態化［2］，同樣對測發控系統可靠性設計提出了更高的要求。

隨著控制系統對測發控功能模塊化、高靈活性、遠距離控制方式等客觀要求，使得具備多種功能模塊和開放接口協議的PLC 技術在運載火箭地面測發控系統中得到了越來越廣泛的應用。針對不同的PLC 冗余系統中對實際使用的不同影響，綜合考慮選擇最優冗余方案以提高系統可靠性，是保障運載火箭持續發射成功的關鍵，具有十分重要的理論和工程意義［3］。

PLC 在控制系統中的冗余設計一般分為處理器冗余、通訊冗余、I/O 冗余和電源冗余［4］。目前，在役及在研的運載火箭型號中多數采用的是2 套整機PLC 并聯的方案。這樣看似做到了以上所有功能模塊的冗余，但由于單套設備內部為串聯結構，使得設備中只要有一個功能模塊發生故障，單套設備就會失效，造成成本大幅增加而可靠性并沒有顯著增強的結果。本文基于現有運載火箭PLC 并聯發控方式的特點，提出在實際工程應用過程中存在的3個問題，針對問題提出3 種替代解決方案，并對其進行可靠性、系統平均壽命和系統成本的評估與分析。

1 并聯冗余系統架構

并聯系統是最簡單的冗余系統，也是現在運載火箭發射控制系統中最常采用的一種冗余架構，它耗用資源代價來換取系統可靠性一定程度的提高，組成系統的所有部件都發生故障時，整個系統才失效。其可靠度計算數學模型為

式中，Rs(t)為整個系統的可靠度;Ri(t)為各個組成部分的可靠度。

在并聯冗余系統架構的測試發射控制系統中，PLC 采用了完全獨立的雙機并聯冗余架構。后端和前端各配置2 套PLC，2 套PLC 的前后端分別對應映射，其架構見圖1。

圖1 并聯系統模型

針對PLC 并聯冗余系統，本文提出此系統存在的3個主要問題:

1)PLC 觸點粘連問題:PLC 發射控制的雙機并聯冗余架構相比單機架構的防誤斷可靠度有明顯提高，即對每一路的控制信號都是保證接通的可靠性更高。但對于控制信號的斷開，一旦有一路PLC 觸點發生粘連將導致接通的信號無法斷開，造成測發控系統防誤通能力的降低;

2)CPU 邏輯問題:并聯冗余架構的兩路PLC 都有其各自的CPU 進行運算，當其中某一個CPU 運行狀態發生錯誤，會導致兩路PLC 最終的輸出結果不同，這就需要系統的其他設備對此有一個判斷機制，從而采取相應措施;

3)時間同步性問題:在比較極端的情況下，由于并聯的2 套PLC 在時間同步性上沒有互聯，即使2 套PLC 的軟件程序完全一樣，在程序掃描周期很短的情況下，也有可能會使2 套PLC 的運行不同步，甚至會有PLC 掃描的程序行差距很大的情況出現。如圖2 所示，假如第1 套PLC 運行程序的時間稍稍提前于第2 套PLC，導致第1 套PLC 已經在程序中經過邏輯2 和3 后走到了邏輯1，而邏輯1 會斷開之前的邏輯2 和3，而此時第2 套PLC 還沒有走到邏輯2，邏輯2 和3 被斷開后最終邏輯1 也不可能再觸發到了，這樣的結果有可能導致第2 套PLC 后面的程序都運行不下去，造成推遲發射等嚴重后果。為了避免這樣的事故，應當對PLC 的測發控程序運行進行嚴格考核，測算出實際程序掃描并執行完畢后的周期，確保此周期小于觸發該信號繼電器觸點的時間。

針對以上3個問題，本文設計了以下3 種冗余架構來提高測發控系統的可靠性。

圖2 雙機并聯冗余架構的時間同步性問題

2 串并聯和并串聯冗余架構

為了解決PLC 觸點粘連，改良并聯冗余架構在防誤通能力上的不足，并聯冗余架構可以改進為串并聯冗余架構或并串聯冗余架構。

串并電路在各器件可靠度相同的情況下，其可靠度計算數學模型為:

并串電路在各器件可靠度相同的情況下，其可靠度計算的數學模型為。

式中:Rs(t)為整個電路的可靠度;R(t)為電路中一個器件的可靠度。

在實際的運載火箭發射控制系統中利用現有的雙機并聯模式，每一套后端PLC 的輸入輸出模塊各使用2 組繼電器觸點，形成單套PLC 電路中的并串混聯，然后2 套PLC 再并聯，組成在后端輸入輸出4觸點的形式，繼而防止由于某一個PLC 繼電器觸點粘連而導致一整套PLC 不能正常工作的情況發生，提高控制系統信號收發的可靠性。在關鍵信號的處理上，前端的2 套PLC 也使用4 觸點形式，其中單套PLC 中的2 觸點為串聯結構，而2 套PLC 的輸出單元形成并串聯結構，這樣能夠做到前端信號既不誤發也不誤斷，從而大幅提升測發控系統的可靠性，而在系統成本上僅僅通過添加幾個PLC 的輸入輸出模塊，或者僅僅使用PLC 上留有余量的觸點即可做到，具體關系如圖3 所示。

盡管串并聯冗余架構或者并串聯冗余架構能夠解決并聯冗余系統的防接通能力，但2 套PLC 的CPU 運算狀態不同和時間同步性上的不一致仍然無法解決，而貯備冗余架構可以解決以上問題。

3 貯備冗余架構

貯備冗余系統一般有冷貯備(無載貯備)、熱貯備(滿載貯備)和所謂溫貯備(輕載貯備)之分［5］。在簡單的二單元貯備系統中，設工作部件失效率為常數λ1，貯備部件的貯備失效率為常數η2，轉入工作后的失效率為λ2，當轉換開關的失效率為λSW，整個貯備系統可靠性為:

系統平均壽命:

當η2= λ2，為熱貯備系統;當η2= 0，為冷貯備系統;當0 ＜η2＜λ2，為溫貯備系統。

圖3 關鍵信號的前端并串聯PLC 發控冗余架構

在運載火箭的發射控制系統中，由于冷備份對于轉換開關的可靠性要求很高，且需要人為進行切換，使測發控流程無法在PLC 故障的情況下無縫隙的繼續進行，對火箭發射造成一定程度的影響，所以在運載火箭的發射控制系統中應該選用熱貯備冗余系統，這種架構的好處在于同一時間只有一個CPU在工作，而另一個CPU 處于熱備份狀態，與主CPU運行相同的程序，一旦主CPU 發生故障，熱備份的CPU 即無接縫的實現接管，確保測試發射控制流程的繼續進行，避免了并聯冗余系統2個CPU 運行狀態不一致造成系統混亂的可能，也能夠防止2 套PLC 出現時間不同步，最大程度的提升測發控系統的可靠性。熱備冗余PLC 位于圖4 的中心，而位于圖4 兩側的輸入輸出PLC(簡稱I/O PLC)擔負起接受后端指令以及控制前端指令輸出的任務，其架構與一般并聯PLC 冗余系統相同。

在成本上，熱備冗余的PLC 系統需要增加具有熱備冗余功能的CPU 模塊以及內存交換模塊，剩下部分可以完全沿用并聯冗余PLC 發控系統，對于系統的升級改造具有極大的便利性。

雖然熱備冗余系統可以解決并聯冗余系統存在的幾個問題，但輸入輸出仍然是雙機并聯的形式，為了提高可靠性，設計了輸入輸出單元具有3 取2 表決機制的熱備冗余系統架構。

4 表決機制冗余架構

在航天飛行器電路設計中，常用的3 取2 表決電路冗余設計模型示意圖如5 所示。

圖5 3 取2 表決電路的設計模式

圖5 是最常見的3 取2 表決電路設計模式，使用6個元器件組成，每一路的2個元器件分別由2個控制器控制，整個電路既可以防一度誤判，又可以在一個控制器失效的情況下不影響電路功能，同時通過并聯提高了電路的可靠度。在各個元器件可靠度相同的情況下，其可靠度計算的數學模型為

式中，Rs(t)為整個電路的可靠度;R(t)為電路中一個器件的可靠度。

根據3 取2 表決電路的思路，以熱貯備冗余系統作為基礎，建立起一套3 取2 表決機制的測發控系統架構。系統后端設置3 套I/O PLC 作為3 取2的輸入輸出基礎，另外在后端放置一套具備熱備冗余功能的PLC 作為主副切換的邏輯運算核心。具體架構詳見圖6 所示。

圖6 3 取2 表決系統PLC 發控系統冗余架構

信號通過自動發控流程同時輸入到后端3 套I/O PLC 的6個輸入單元中，再將輸入變量分別映射到熱備冗余PLC 的主副機中，其中主PLC 以“激活”方式控制整個發控系統的工作，另一套作為“備份”方式與“激活”方式的PLC 保持狀態同步，在CPU 編程邏輯中利用從后端映射而來的6個輸入變量組成形如圖7 的3 取2 程序邏輯，并接通4個輸出變量，再將其映射到前端I/O PLC 中再次組成一道輸出的并串聯處理，最終輸出結果，如圖7 所示。

圖7 三取二程序邏輯

這種3 取2 的冗余系統架構最大程度的保證了控制指令的接收，而熱備冗余的CPU 構架能夠保證邏輯運算處理上的獨立性、同步性，再加上前端PLC的雙機并串聯處理，確保控制信號既不誤發也不誤斷，在整體上使PLC 發控系統達到了更高的可靠性。

在成本上，3 取2 表決系統更加復雜，用到的PLC 模塊數量也更多，但與單純的熱備冗余系統相比，系統只是在后端增加了一套I/O PLC，在可靠性提升的同時成本并沒有明顯的增加。

5 各冗余系統可靠度、壽命比較

5.1 各冗余系統的可靠度比較

可靠度是隨時間及失效率變化的函數，以機電設備和大型復雜系統服從的指數分布為例，選擇比較的冗余系統有單機系統、并聯系統、3 取2 表決系統、串并聯系統和并串聯系統。以λt為橫坐標，可靠度為縱坐標，繪制了可靠度變化曲線，如圖8 所示。

圖8 幾種冗余電路可靠度隨λt 的變化趨勢

由圖8 可以看出各個冗余系統的可靠度變化趨勢，整體來看可靠度最高的是并聯系統，其次依次從高至低分別是3 取2 表決系統、并串聯系統、串并聯系統和單機系統。隨著時間的推移，串并聯系統在λt 大于0.49 時可靠度小于單機系統，表明串并聯系統只有任務時間小于0.49 倍的平均無故障時間時才具有實用價值，如果任務時間過長，可靠度下降速率反而加快。所以系統復雜度的提高，并沒有帶來系統可靠度的有效提高。

由于運載火箭發射任務的設備工作時間一般都不長，所以對各種冗余系統的可靠性分析應更加側重于在發射任務的時間區間內進行。將時間軸細化到0.2/λ 的范圍內，取橫軸單位為0.02/λ，觀測到實際上3 取2 表決系統在的初始任務時間期間內可靠性超越了并聯冗余系統，具有最高的可靠性。以發射場單機設備平均無故障時間2000h 計算，0.175/λ 相當于350h，這個時間是遠遠大于發射任務的時間區間的，因此也說明在實際的發射任務內采用3 取2 表決的冗余方式具有最佳的可靠性，如圖9 所示。

圖9 發射任務時間區間內的可靠度曲線

5.2 各種冗余系統的壽命比較

根據系統平均壽命公式:

可以計算出各個冗余系統的平均壽命見表1。

表1 各冗余系統平均壽命

各冗余系統平均壽命由高到低依次是:并聯＞并串聯＞單機＞串并聯＞3 取2 表決，如圖10 所示。

圖10 幾種冗余方式的平均壽命分布

5.3 各冗余系統的成本比較

以一般滿足系統需求的PLC 配置為例，各冗余系統的成本如圖11 所示，并串聯系統由于可以利用現有PLC 輸入模塊的空點，成本基本沒有增加。而熱備冗余系統雖然可以利用現有并聯系統的架構，但其熱備冗余CPU 等單元模塊的成本較高，因此帶來了整體成本的上升，較并聯系統有76. 6%的增長。3 取2 系統相比熱備冗余系統，只是在后端增加了一套PLC，成本只有13%的增長。

圖11 幾種冗余方式的成本比較

綜合來看，對于接通可靠性較高的場合，并聯冗余系統平均壽命最高，成本也最低，但會導致一些重要信號誤通概率的增加，其次是并串聯冗余系統。復雜系統如3 取2 表決系統的平均壽命比單機平均壽命還要低，但這些系統以犧牲系統平均壽命的代價來提高任務時間內的可靠性，而任務時間通常比平均壽命小得多，成本相對增長幅度也不大，在實際使用過程中也可以避免本文提出的3個問題，因此可以接受這樣的代價。

6 結論

從現有運載火箭PLC 發射控制系統存在的問題入手，提出了幾種代替并聯冗余架構的解決方案，以可靠度計算數學模型為基礎，對各種冗余方式進行可靠性、系統平均壽命與成本的綜合評估與分析，找到了在運載火箭測試發射任務時間內最有效的可靠性冗余系統架構，對于提高運載火箭PLC 發射控制系統的安全性和可靠性有很大意義。

［1］張學英，易航，汪洋，等.運載火箭測發控系統通用化設計［J］. 導彈與航天運載技術，2010(4):15-19.(ZHANG Xue Ying，YI Hang，WANG Yang. General Design of Test and Launch Control System of Launch Vehicle［J］. Missiles and Space Vehicles，2010(4):15-19.)

［2］蔡遠文，同江，姚靜波，等.我國航天自動測試系統體系結構研究［J］. 裝備學院學報，2012，(12):1-5.(CAI Yuanwen，TONG Jiang，YAO Jingbo. Research on the Architecture of Aerospace Automatic Test System in our Country［J］. Journal of Academy of Equipment，2012，(12):1-5.)

［3］郭江杰，丁芳頤，余力凡，蘇磊.幾種冗余電路的可靠性評估及其選用方法評析［C］.第二屆中國航天質量論壇論文集，2008.

［4］趙忠敏.冗余設計在PLC 控制系統中的應用［J］.機床電器，2007，(3):42-45. (ZHAO Zhongmin. The Application of Redundancy Design in PLC Control System［J］. Machine Tool Electric Apparaus，2007，(3):42-45.)

［5］胡昌壽，何國偉.可靠性工程——設計 試驗 分析 管理［M］.北京:宇航出版社，1988，58-61.