基于CPCI架構(gòu)航天器測試設(shè)備的故障診斷設(shè)計(jì)與實(shí)現(xiàn)

陳 斌，王雪濤，楊 揚(yáng)，句美琪

（北京控制工程研究所，北京100094）

基于CPCI架構(gòu)航天器測試設(shè)備的故障診斷設(shè)計(jì)與實(shí)現(xiàn)

陳 斌，王雪濤，楊 揚(yáng)，句美琪

（北京控制工程研究所，北京100094）

基于CPCI總線架構(gòu)的航天器測試設(shè)備可以實(shí)現(xiàn)模塊化、集成化和通用化設(shè)計(jì)，有利于測試系統(tǒng)的再次開發(fā)、直接沿用以及后續(xù)維護(hù)。某型號的綜合電子和控制分系統(tǒng)地面測試設(shè)備采用基于CPCI總線的架構(gòu)，使用VxWorks操作系統(tǒng)作為核心調(diào)度，采取模塊化FPGA開發(fā)接口和特定功能。提出以監(jiān)聽任務(wù)、功能模塊、板卡運(yùn)行時(shí)間為檢測手段，實(shí)現(xiàn)了對系統(tǒng)測試設(shè)備故障的診斷，尤其是反作用輪轉(zhuǎn)速模塊，軟件能自主進(jìn)行故障處理。在分系統(tǒng)及整星測試的使用過程中，此方法有效提高了設(shè)備的可靠度，提高了對星上產(chǎn)品的安全保護(hù)，保證整星大型試驗(yàn)的連續(xù)可靠運(yùn)行。此方法對于其他地面測試設(shè)備的故障診斷具有一定的借鑒作用。

CPCI；故障診斷；可靠度

0 引言

Compact PCI（簡稱CPCI）是國際工業(yè)計(jì)算機(jī)制造者聯(lián)合會（PICMG）于1994提出來的一種總線接口標(biāo)準(zhǔn)［1］。CPCI是以PCI電氣規(guī)范為標(biāo)準(zhǔn)的高性能工業(yè)用總線，在電氣、邏輯和軟件功能方面，CPCI與PCI完全兼容，操作系統(tǒng)、驅(qū)動(dòng)和應(yīng)用程序?qū)煞N總線的使用基本沒區(qū)別，可提供更高的數(shù)據(jù)傳輸速度［2］。CPCI具有高開放性、高可靠性、可熱插拔，除了可以廣泛應(yīng)用在通信、網(wǎng)絡(luò)方面，也適合實(shí)時(shí)系統(tǒng)控制、產(chǎn)業(yè)自動(dòng)化、實(shí)時(shí)數(shù)據(jù)采集、軍事系統(tǒng)等領(lǐng)域。基于CPCI的總線架構(gòu)設(shè)備在航天領(lǐng)域的地面設(shè)備研制中得到了相當(dāng)廣泛的應(yīng)用［3］。

此種架構(gòu)設(shè)計(jì)應(yīng)用相當(dāng)廣泛，但是基本上都是基于功能滿足設(shè)計(jì)要求，并沒有看到設(shè)計(jì)者對故障診斷方面提出相關(guān)方法。盡管CPCI架構(gòu)比較成熟，但是由于功能板卡一般都是自己研制，存在不穩(wěn)定因素，因此整個(gè)架構(gòu)存在故障隱患［4-5］。在提出本文方法之前，作者就親歷過由于測試設(shè)備模擬量采集板上硬件器件失效，導(dǎo)致衛(wèi)星輪控姿態(tài)時(shí)姿態(tài)發(fā)散，甚至轉(zhuǎn)速失控；由于測試設(shè)備某硬件失效導(dǎo)致系統(tǒng)運(yùn)行不正常，沒有任何數(shù)據(jù)可支撐查找問題。

本文在設(shè)計(jì)測試設(shè)備時(shí)，充分考慮了此類因測試設(shè)備硬件失效而引起的故障類型的起因、傳播途徑和潛在后果，設(shè)計(jì)并實(shí)現(xiàn)了一種以監(jiān)聽任務(wù)、功能模塊、板卡通信時(shí)間為診斷手段，并根據(jù)數(shù)據(jù)做出故障預(yù)測、自主處理故障的方案，做到了潛在故障預(yù)測以及根據(jù)可靠度處理故障。

1 系統(tǒng)架構(gòu)設(shè)計(jì)

1.1 測試系統(tǒng)架構(gòu)

控制分系統(tǒng)測試原理架構(gòu)如圖1所示，控制分系統(tǒng)測試設(shè)備從功能上可以劃分為動(dòng)力學(xué)和模擬器兩部分。其中，動(dòng)力學(xué)用于模擬衛(wèi)星動(dòng)力學(xué)特性，產(chǎn)生各敏感器模擬激勵(lì)信號，并將激勵(lì)信號發(fā)送至衛(wèi)星，用于完成衛(wèi)星控制系統(tǒng)的測試。模擬器則模擬星上單機(jī)功能，在沒有其他分系統(tǒng)配合的時(shí)候完成控制分系統(tǒng)的功能模擬以及驗(yàn)證測試。

動(dòng)力學(xué)和模擬器都采用接口電路調(diào)理箱以及工控機(jī)配合工作的模式設(shè)計(jì)。其中，接口電路調(diào)理箱的功能是負(fù)責(zé)各種輸出輸入信號的調(diào)理，工控機(jī)則負(fù)責(zé)信號采集、信號輸出以及邏輯運(yùn)算，是整套測試設(shè)備的核心模塊。敏感器包括紅外地球敏感器、模擬式太陽敏感器、數(shù)字式太陽敏感器、陀螺以及星敏感器，執(zhí)行機(jī)構(gòu)包括反作用輪、推力器、磁力矩器以及帆板驅(qū)動(dòng)機(jī)構(gòu)。

圖1 控制分系統(tǒng)測試原理架構(gòu)Fig.1 Principle and architecture of control subsystem

動(dòng)力學(xué)工控機(jī)實(shí)現(xiàn)的功能包括將動(dòng)力學(xué)模型計(jì)算出的姿態(tài)信息給敏感器提供電激勵(lì)信號，同時(shí)還包括執(zhí)行機(jī)構(gòu)的信號采集。工控機(jī)采用了標(biāo)準(zhǔn)的CPCI機(jī)箱，中央處理器（CPU）采用商業(yè)通用板，其余功能模塊則采用投產(chǎn)定制的CPCI板卡。CPU板運(yùn)行VxWorks系統(tǒng)作為控制板，主要負(fù)責(zé)軟件計(jì)算及調(diào)度各功能板卡工作，其架構(gòu)組成如圖2所示。

圖2 動(dòng)力學(xué)工控機(jī)架構(gòu)Fig.2 Architecture of the dynamics

模擬器工控機(jī)實(shí)現(xiàn)的功能包括模擬地球敏感器、反作用輪、二浮陀螺、光纖陀螺、－Y載荷艙綜合業(yè)務(wù)單元ISU-D、導(dǎo)航任務(wù)處理機(jī)、＋Y載荷艙綜合業(yè)務(wù)單元ISU-B、數(shù)據(jù)處理與路由單元DPRU、平臺綜合業(yè)務(wù)單元ISU-A。使用的機(jī)箱以及板卡同動(dòng)力學(xué)工控機(jī)一致，由于有些模擬器接口比較多，需要多塊板卡共同模擬，架構(gòu)如圖3所示。

圖3 模擬器工控機(jī)架構(gòu)Fig.3 Architecture of the simulator

1.2 設(shè)計(jì)難點(diǎn)

本測試系統(tǒng)必須具有較強(qiáng)的實(shí)時(shí)數(shù)據(jù)處理能力，需要處理的測試信號種類多，信號調(diào)理工作量大，同時(shí)還需要具備復(fù)雜的邏輯處理能力。在故障診斷和處理方面存在的主要難點(diǎn)如下：

1）系統(tǒng)復(fù)雜，出現(xiàn)問題之后難以準(zhǔn)確快速定位；

2）整個(gè)系統(tǒng)對硬件依賴性強(qiáng)，若某個(gè)硬件出問題將導(dǎo)致整個(gè)系統(tǒng)無法正常運(yùn)行；

3）每塊板卡通信都是使用CPCI總線，對其依賴性很大，故此需要采取足夠的防范措施保證系統(tǒng)正常運(yùn)行；

4）有些關(guān)鍵單機(jī)需要考慮冗余措施以解決在設(shè)備有故障時(shí)能平穩(wěn)控制。

針對此難點(diǎn)，本文提出兩個(gè)思路來解決。1）潛在故障預(yù)測。本文使用的是實(shí)時(shí)操作系統(tǒng)，系統(tǒng)運(yùn)行時(shí)間、每個(gè)任務(wù)運(yùn)行時(shí)間、與板卡通信獲取數(shù)據(jù)的時(shí)間都是可預(yù)測的，因此監(jiān)測此類時(shí)間可以預(yù)測是否存在潛在故障。2）故障處理。在檢測到故障之后，設(shè)備能自主處理故障，或者用戶可以根據(jù)信息有效快速地定位并處理，保證設(shè)備正常運(yùn)行。

2 故障診斷設(shè)計(jì)

2.1 故障診斷相關(guān)定義

定義1：故障等級定義如表1所示。

定義2：設(shè)備安全度，用于表征當(dāng)前設(shè)備能安全使用的級別。設(shè)備安全度受可靠性等多方面因素影響，對設(shè)備的可靠度沒有必要定量，只需要定性就可以表明設(shè)備當(dāng)前的可用級別。在此提取出關(guān)鍵幾項(xiàng)因素用于表征設(shè)備安全度，具體如下：

表1 故障等級定義Table 1 Definition of fault grade

1）設(shè)備的可靠度R（t）。從設(shè)備的設(shè)計(jì)特點(diǎn)出發(fā)，不考慮機(jī)柜等因素，只分析電子元器件的可靠性，故采用指數(shù)模型作為分析方法［6］，設(shè)可靠度函數(shù)R（t）如式（1）所示。

2）系統(tǒng)監(jiān)測的運(yùn)行時(shí)間表征健康度A。設(shè)備運(yùn)行監(jiān)測每個(gè)模塊的運(yùn)行時(shí)間，此時(shí)間可以反應(yīng)系統(tǒng)的健康度A，具體如式（2）所示，當(dāng)實(shí)測時(shí)間與理論時(shí)間之差小于10%，則認(rèn)為A是1。

綜合上述分析可知，可以用式（3）表示設(shè)備的安全度q。

對于設(shè)備的可靠度定義如表2所示。

表2 設(shè)備的安全度定義Table 2 Definition of department security

2.2 故障診斷

板卡模擬接口電路，邏輯相對簡單，可靠性高，故障診斷手段較少。而基于VxWorks的軟件開發(fā)邏輯相對復(fù)雜，硬件操作比較多，因此故障診斷主要在于CPU中的軟件開發(fā)，本文設(shè)計(jì)的故障診斷方案如圖4所示。

圖4 故障檢測架構(gòu)Fig.4 Architecture of fault realization

故障診斷架構(gòu)分為3個(gè)級別進(jìn)行。第1層是系統(tǒng)級故障檢測，整個(gè)軟件作為一個(gè)系統(tǒng)運(yùn)行，按照設(shè)計(jì)每次運(yùn)行必須在32ms內(nèi)完成，每一次系統(tǒng)運(yùn)行的時(shí)間能有效表征系統(tǒng)的健康度，為此設(shè)計(jì)時(shí)在系統(tǒng)級別做了故障檢測。地面根據(jù)遙測數(shù)據(jù)進(jìn)行設(shè)備的可靠度判斷，具體采用上文提到的方法，分析設(shè)備當(dāng)前的可靠度，根據(jù)可靠度采取具體的措施處理。

第2層是對任務(wù)級別進(jìn)行故障檢測，軟件設(shè)計(jì)時(shí)按照功能劃分為多個(gè)模塊，每個(gè)模塊包裝為一個(gè)任務(wù)。VxWorks按照任務(wù)優(yōu)先級進(jìn)行調(diào)度，任務(wù)在完成自己功能之后就會釋放掉CPU操作權(quán)［7-8］，任務(wù)執(zhí)行時(shí)間可以直接表征當(dāng)前任務(wù)工作的可靠度。

第3層是對板卡級別進(jìn)行故障檢測，CPU與各板卡的交互通過CPCI總線進(jìn)行。因此，對CPCI總線的操作是否成功，能間接反映功能板卡是否工作正常，操作時(shí)間能反映出該功能板卡的可靠度。

2.3 故障處理

根據(jù)診斷出的設(shè)備可靠度，選擇相應(yīng)方法進(jìn)行處理。對于Ⅰ級可靠度，不采取任何措施，設(shè)備絕對可靠；對于Ⅱ級可靠度，需要密切關(guān)注，注意是否會有嚴(yán)重故障出現(xiàn)；對于Ⅲ級可靠度，必須停止測試，對設(shè)備進(jìn)行故障排查；對于Ⅳ級可靠度，不能使用，必須立即更換。

實(shí)現(xiàn)同一功能時(shí)，可以采用不同的手段實(shí)現(xiàn)，依賴的硬件也不同?；诖?，設(shè)計(jì)自主處理故障的功能，針對反作用輪設(shè)計(jì)兩種不同的算法方案，系統(tǒng)根據(jù)硬件狀態(tài)自主切換。

3 軟件實(shí)現(xiàn)及試驗(yàn)驗(yàn)證

3.1 軟件實(shí)現(xiàn)

對于系統(tǒng)級故障，在監(jiān)測到異常時(shí)，若操作時(shí)間還能滿足系統(tǒng)運(yùn)行要求，則使用人員可以根據(jù)可靠度來判斷采取何種對策。若操作時(shí)間已經(jīng)影響到了系統(tǒng)運(yùn)行要求，則系統(tǒng)自主復(fù)位，重新對設(shè)備和軟件進(jìn)行初始化。

圖5 系統(tǒng)故障處理邏輯Fig.5 Logic dealing of the system fault

系統(tǒng)級故障健康管理流程圖如圖5所示，在任務(wù)開始運(yùn)行時(shí)，會在固定的地方獲取兩次任務(wù)間的時(shí)間差。按照設(shè)計(jì)，任務(wù)運(yùn)行周期是32ms，定時(shí)器的滴答精度是微秒級，因此運(yùn)行周期的時(shí)間誤差只允許在 100μs內(nèi)。若誤差比100μs大，但是小于1ms，則會增加報(bào)警次數(shù)；當(dāng)誤差大于1ms，軟件將重新進(jìn)行初始化，完成看門狗、任務(wù)的刪除和重建。

針對任務(wù)級別的故障檢測，方法是依托于不同任務(wù)間的相互依賴關(guān)系來實(shí)現(xiàn)互相檢測。在整個(gè)系統(tǒng)運(yùn)行時(shí)，很多任務(wù)相互依賴，需要使用消息實(shí)現(xiàn)信息交流。因此，在運(yùn)行任務(wù)A時(shí)，可以檢測任務(wù)B是否發(fā)出了任務(wù)A所需要的消息，具體實(shí)現(xiàn)如圖6所示。

在啟動(dòng)任務(wù)A之后，先從任務(wù)B獲取消息，如果能成功獲取任務(wù)B的消息，則表示任務(wù)B運(yùn)行正常，程序可以正常工作。如果一次獲取不成功，則程序繼續(xù)運(yùn)行，等待下次進(jìn)來之后再次讀取消息。若此時(shí)能成功獲取消息，則報(bào)警次數(shù)加一之后繼續(xù)正常運(yùn)行。若仍然不成功，則對任務(wù)B進(jìn)行初始化，確保任務(wù)B對所有相關(guān)變量初始化之后再運(yùn)行。

圖6 任務(wù)級故障處理邏輯Fig.6 Logic dealing of the task fault

針對反作用輪設(shè)計(jì)兩種不同的算法。算法1是基于模型的反作用輪力矩估計(jì)的方法，此方法需要采集任務(wù)提供的輪子控制電壓模擬量和輪子轉(zhuǎn)速數(shù)字量。算法2是用輪子轉(zhuǎn)速差分的計(jì)算方法，此方法僅用采集任務(wù)提供的輪子轉(zhuǎn)速的數(shù)字量。本文設(shè)備通過不同功能板卡實(shí)現(xiàn)采集模擬量與數(shù)字量。

通常情況下，由于算法1輸出力矩結(jié)果平滑，可實(shí)現(xiàn)系統(tǒng)控制精度高，因此設(shè)其為優(yōu)選方案。

當(dāng)模擬量采集板卡出現(xiàn)采集異常導(dǎo)致通信超過設(shè)計(jì)時(shí)間，故障診斷可以立刻檢測出異常情況的發(fā)生，隨即軟件自主樹立模擬量采集異常標(biāo)志，跳出對模擬量的通信等待，繼續(xù)采集任務(wù)中其他物理量的采集。當(dāng)動(dòng)力學(xué)任務(wù)讀到模擬量采集異常標(biāo)志時(shí)，軟件會自主調(diào)用算法2，從而使整個(gè)設(shè)備功能在本計(jì)算周期內(nèi)實(shí)現(xiàn)平穩(wěn)過渡。當(dāng)模擬量采集板卡異常故障恢復(fù)后，軟件會經(jīng)判斷清故障標(biāo)志，自主恢復(fù)對算法1的調(diào)用。

對于設(shè)備采集下傳的監(jiān)控?cái)?shù)據(jù)，結(jié)合本文2.1節(jié)設(shè)計(jì)的可靠度判斷方法，建立一個(gè)實(shí)時(shí)判斷系統(tǒng)，根據(jù)可靠度判斷方法給出設(shè)備當(dāng)前的可靠度，提供用戶做決策。環(huán)境溫度采用用戶輸入的方法實(shí)現(xiàn)，設(shè)備的可靠壽命由設(shè)備制造商提供。

3.2 試驗(yàn)驗(yàn)證

CPU軟件運(yùn)行周期都為32ms，上述監(jiān)測工作所花費(fèi)的時(shí)間經(jīng)過本文實(shí)際測試都是在微秒級別。因此，可以在不增加任何系統(tǒng)負(fù)擔(dān)的前提下完成上述工作。

使用本文提出的安全度檢驗(yàn)標(biāo)準(zhǔn)，結(jié)合系統(tǒng)采集的運(yùn)行時(shí)間，可以有效分析出設(shè)備當(dāng)前的安全度。此方法可以綜合考慮可靠性以及設(shè)備當(dāng)前運(yùn)行情況，對于設(shè)備的安全度判斷有效全面。

經(jīng)過試驗(yàn)驗(yàn)證，證明本文方法有效可行：

1）在沒有增加本文方法的設(shè)計(jì)前，如果某板卡功能異常，則系統(tǒng)將無法正常運(yùn)行，且無法判斷出是哪個(gè)模塊出現(xiàn)異常。在借助本文提出的設(shè)計(jì)思路之后，可以快速定位是具體哪個(gè)模塊出現(xiàn)異常，提高排除故障的效率。

2）各任務(wù)的運(yùn)行時(shí)間通過遙測數(shù)據(jù)下傳到地面，通過數(shù)據(jù)可以判斷整套設(shè)備具體單元的可靠度，供用戶決策使用。

3）針對反作用輪設(shè)計(jì)的兩套算法，經(jīng)過實(shí)際測試，在設(shè)備有故障時(shí)，軟件能自主實(shí)現(xiàn)兩套算法的切換，控制過程穩(wěn)定，不影響測試進(jìn)行。

4 結(jié)論

基于CPCI總線架構(gòu)的航天器測試設(shè)備具有模塊化、集成化和通用化的優(yōu)點(diǎn)，但是在廣泛采用此架構(gòu)之后，帶來了系統(tǒng)復(fù)雜、出現(xiàn)問題不容易定位的難點(diǎn)。對此，本文提出一種評價(jià)方法和兩種處理手段。

1）借鑒可靠性的評價(jià)方法，引入安全度的衡量標(biāo)準(zhǔn)。用此方法可以有效綜合判斷設(shè)備當(dāng)前的安全度，對于用戶做出下一步?jīng)Q策有指導(dǎo)性意義。

2）采用監(jiān)測運(yùn)行時(shí)間的方法進(jìn)行故障診斷，可以得出設(shè)備當(dāng)前運(yùn)行的健康度。在判斷出運(yùn)行時(shí)間異常時(shí)，設(shè)備可以自主進(jìn)行處理。

3）針對反作用輪模塊，本文采用自主故障診斷以及處理。當(dāng)軟件判斷出模擬量采集板卡功能異常時(shí)，能自主切換到只使用數(shù)字量的方法，此方法能有效提高設(shè)備的安全性。

4）本文提出的方法，對于其他測試系統(tǒng)具有一定的借鑒意義，可以推廣使用。

[1]CPCI Introduction[EB/OL].http: //yakaal2.bokee.Eom.6037633.html.

[2]李曉莉，甘明.基于PCI總線的主板診斷卡設(shè)計(jì)[J].現(xiàn)代電子技術(shù)，2007，30 （3）:156-158.LI Xiao-li，GAN Ming.The design of mainboard diagnose based on PCI Bus[J].Modern Electron Technology，2007，30 （3）:156-158.

[3]趙娜，張磊.運(yùn)載火箭大容量CPCI集成數(shù)據(jù)采集與測試系統(tǒng)設(shè)計(jì)[J].航天控制，2012，30 （1）:66-70.ZHAO Na，ZHANG Lei.The design of large-capacity integrated data acquisition and testing system of rocket based on CPCI bus[J].Aerospace Control，2012，30 （1）:66-70.

[4]劉暉，冀然然.PCI系統(tǒng)結(jié)構(gòu)（第四版）[M].北京:電子工業(yè)出版社，2000.LIU Hui，JI Ran-ran.PCI system architecture （4th）[M].Beijing:Electronics Industry Press，2000.

[5]杜會斌，吳曉娟，周旭.自動(dòng)測試在軍事電子技術(shù)中的應(yīng)用[J].無線電控制，2005，35 （9）:61-64.DU Hui-bin，WU Xiao-juan，ZHOU Xu.Application of automatic test technology to military electronic technology[J].Radio Engineering，2005，35 （9）:61-64.

[6]任立明.可靠性工程師必備知識手冊[M].北京:中國質(zhì)檢出版社，2013.REN Li-ming.The handbook need by reliability engineer[M].Beijing:China Quality Inspection Press，2013.

[7]孫魯毅.四種流行的嵌入式實(shí)時(shí)操作系統(tǒng)的比較研究—VxWorks，QNX，ucLinux，RTEMS[J].計(jì)算機(jī)應(yīng)用與軟件，2007，24 （8）:196-197.SUN Lu-yi.The comparison＆research of four popular rtos—Vxworks，QNX，Uclinux，RTEMS[J].Computer Applications and Software，2007，24 （8）:196-197.

[8]胡曙輝，陳健.幾種嵌入式實(shí)時(shí)操作系統(tǒng)的分析與比較[J].單片機(jī)與嵌入式系統(tǒng)應(yīng)用，2007（5）:5-9.HU Shu-hui，CHEN Jian.Analysis and comparison of several embedded real-time operating system[J].Microcontrollers ＆ Embedded Systems，2007 （5）:5-9.

Design and Realization of Fault Diagnosis for Spacecraft Test Equipment Based on CPCI Architecture

CHEN Bin，WANG Xue-tao，YANG Yang，JU Mei-qi
（Beijing Institute of Control Engineering，Beijing 100094）

The spacecraft systemic test equipment based on CPCI bus architecture can realize the modular，integrated，and universal design，which is more convenient to re-exploit，follow and maintain.The ground test equipment of a certain model's integrated electronic＆ control subsystem has adopted the CPCI bus architecture，VxWorks operating system as core dispatcher，modular FPGA interface development and specified function.By detection means of task monitor，functional module and board run time，this paper can realizes the fault diagnosis of system test equipment，and autonomic failure handling especially for the reverse wheel speed module.In the use of the subsystem and whole-spacecraft test，this method effectively improves reliability of equipment，security guard of the products on the spacecraft，and also ensures continuous and reliable operation of large scale experiment.Meanwhile，the method has certain reference on fault diagnosis of other ground test equipment.

CPCI；fault diagnosis；reliability

U666.1

A

1674-5558（2017）05-01370

10.3969 /j.issn.1674-5558.2017.06.013

2017-02-03

陳斌，男，碩士，控制科學(xué)與工程專業(yè)，工程師，研究方向?yàn)楹教炱骺刂品窒到y(tǒng)的設(shè)計(jì)及驗(yàn)證。