冗余设计技术在发射设备中的应用

汪庆雷 高强 田京岗 曹绘娜

(1 北京宇航系统工程研究所， 北京， 100076；2 北京航天发射技术研究所， 北京， 100076)

冗余是指产品通过采用一种以上的手段保证在发生故障时仍能完成同一种规定功能的一种设计特性。 冗余设计通过重复配置某些设备或部件， 当系统出现故障时， 冗余的设备或部件介入工作， 保证系统运行的连续性。 冗余设计理论来源于系统可靠性研究， 其核心内容是如何最大限度地提高系统可靠性， 在重要工业生产等高风险行业中得到大量应用[1]。

冗余设计不只是增加备份部件， 更是要确定在产品哪个层面采用冗余设计， 才能以最小的代价获取最高的可靠性。 如何合理采用冗余技术使系统可靠性最优， 采用冗余设计后产品可靠性能提高多少， 是设计人员关心的问题。 本文从系统级、 单机级、 零部组件等方面介绍了冗余设计技术在发射设备上的应用。

1 冗余设计

1.1 冗余设计的分类

冗余设计有不同的分类方式， 如并联冗余、 表决冗余、 串并组合冗余等； 按系统功能可分为电源系统冗余、 控制系统冗余、 液压系统冗余等； 根据冗余范围可分为单表冗余和整个系统冗余[2]。

1.2 冗余设计的级别

冗余级别可分为系统级、 单机级、 零部组件等不同级别， 冗余设计一般从最基层单元做起，先小后大， 尽可能实现低级别的冗余设计， 如能在零部组件级实现冗余的就进行零部组件级冗余， 实现复杂或困难时才采用单机级冗余。

系统冗余是指实现冗余的部件本身构成了系统， 可以独立完成系统的任务， 系统冗余设计相对复杂， 局部冗余容易实现。 某型号发射设备液压系统冗余设计方案框图如图1 所示。

图1 液压系统冗余设计方案框图

从图1 可以看出： 在方案一中， 液压系统包括2 套各自独立的电机、 泵、 换向阀、 控制阀，分别完成规定功能， 互不干扰地独立工作。 在方案二中， 2 套独立的电机、 泵为换向阀提供输入， 换向阀、 控制阀都存在单点失效环节。 冗余级别不同， 单点故障环节不同， 产品组成和系统复杂度不同； 方案一的系统任务可靠性高， 但比方案二的系统组成复杂。

1.3 冗余设计的原则

1.3.1 采用其他可靠性设计仍不能满足要求时

采用冗余设计技术提高系统可靠性， 会增加系统复杂性， 只有在简化设计、 降额设计及选用高可靠性的零部件、 元器件仍不能满足任务可靠度要求时， 才采用冗余设计[3]。 此外， 在涉及安全性的环节， 为消除或减少单点故障环节， 保证人员和产品安全， 应采用冗余设计。

1.3.2 任务可靠度与基本可靠度的权衡

对任务可靠度与基本可靠度进行权衡。 如发射设备起竖功能是发射设备的核心功能， 取力装置和液压泵是单点故障环节， 若再增加一套电动机+液压泵实现冗余， 系统体积、 重量、 成本增加较大， 空间布局困难， 虽然提高了任务可靠度， 但降低了基本可靠度， 应综合权衡任务可靠度与基本可靠度， 更好地满足产品使用要求[4]。

1.3.3 冗余度要适度

冗余度越高， 完成任务所容许的故障数就越多， 任务可靠度越高， 但需要的软硬件资源也越多。 随着冗余设备数量增多， 可靠度提高的幅度越来越小， 理论上单冗余系统可靠度提高幅度最大。如并联冗余设计， 假设单个设备的可靠度为0.9，冗余度为2 时， 资源增加100%， 系统可靠度为0.99， 提高了10%； 冗余投入度为3 时， 资源投入增加200%， 系统可靠度为0.999， 比冗余度为2 时只提高了0.9%。 当n 从1 增加到2， 即采用双冗余度， 系统可靠度提升最快， 但随着n 值增大， 系统可靠度提升变慢。

2 发射设备冗余设计

发射设备是完成火箭运输、 调平、 起竖、 发射等功能的特种装备， 由底盘、 电源、 液压、 控制等系统组成， 含有多种传感器及执行机构。 对于这种复杂的、 任务可靠度要求非常高的产品，通过使用高可靠性的元器件来提高系统可靠性，代价较高， 通常在选用一定可靠性水平的元器件基础上， 采用冗余设计来提高系统任务可靠度。

发射设备发射任务可靠性框图如图2 所示。发射流程不可逆， 进入发射流程的发射设备， 任务可靠度要求高。 在设计过程中， 受到系统重量、体积等因素制约， 往往不能对所有的涉及Ⅰ、 Ⅱ类单点故障模式的产品均采取冗余设计。 因此一旦产品出现故障， 其主要功能由冗余的设备实现，对提高发射设备发射任务可靠度具有重要意义。

图2 发射设备发射任务可靠性框图

对发射设备进入发射流程的系统进行单点故障模式分析， 识别出影响发射安全和任务成败的关键产品， 采用冗余设计， 实现一度故障工作、二度故障安全。 发射设备采用了从单机到分系统的多种冗余设计措施提高发射任务可靠度。

2.1 系统级冗余设计

2.1.1 电源系统

电源系统作为发射设备控制系统、 调温系统的能量来源， 其可靠性直接决定了发射设备可靠性， 所以必须保障电源系统能够安全、 可靠运行。 某发射设备供电冗余设计如图3 所示， 发射设备可以通过上装蓄电池向用电设备供电， 也可以通过市电、 柴油机组、 取力发电机三冗余并联， 通过交流配电箱和直流稳压电源向用电设备供电， 当某一种供电方式出现故障无法工作时，可采取其他方式进行供电。

图3 电源系统冗余设计方案框图

2.1.2 制动系统

机动发射设备制动系统包括行车制动系统、驻车制动系统、 发动机排气制动系统和液力缓行器制动系统等多种制动模式， 行车制动为双回路气压制动， 一旦有一组回路发生故障， 另一组回路仍然可以工作， 从而提高了整车安全性， 保证机动发射设备在各种工况下的可靠制动。

2.1.3 点火系统

点火系统的作用是点燃点火药盒， 为了提高点火可靠性， 一般采用双路冗余设计， 只要有一路点火通路传爆成功， 就能够实现可靠点火。 点火系统原理如图4 所示， 其中电起爆器、 隔爆机构、 导爆索、 隔板点火器均为双路冗余设计。

图4 点火系统冗余设计方案框图

2.2 单机级冗余设计

2.2.1 压缩机组

发射装置需要7kW 的制冷量， 调温系统可以采用两个3.5kW 的压缩机组， 也可以采用1个7kW 的压缩机组。 采用两个3.5kW 的压缩机组， 当其中1 个发生故障时， 另外一个可以继续工作， 虽然不能满功率工作， 但能实现一定环境条件下的功能冗余[5]。

2.2.2 起竖回路换向阀

起竖回路三冗余可靠性模型如图5 所示。 起竖回路采用3 个换向阀， 其中1 个或2 个换向阀发生故障， 也能将火箭以一定的速度起竖， 实现冗余控制功能。

图5 起竖回路三冗余可靠性模型

2.2.3 锁箭液压缸和支腿液压缸

锁箭液压缸是在运输过程中约束火箭的轴向位移， 需采取冗余设计。 在发射装置安装A、 B、C、 D 等4 个相同的锁弹液压缸（每个液压缸的可靠度为R）， 在设计液压缸锁紧力时， 2 个液压缸锁紧力即可满足要求， 是一个四取二的表决冗余，如图6 所示， 其中2 个锁弹液压缸是冗余单元。

图6 四取二系统可靠性框图

假设每个锁箭液压缸故障率均服从指数分布， 可靠度R1为0.8， 则系统可靠度Rs为Rs=0.9728， 失效率为0.0272。

同理， 支腿液压缸的设计也采取了冗余措施。 发射时火箭燃气作用在4 个支腿液压缸上，若支腿液压缸的锁紧力不满足要求， 会产生灾难性后果， 因此需采取冗余措施。 在发射装置安装4 个支腿液压缸， 在设计液压缸锁紧力时， 3 个支腿液压缸锁紧力即可满足火箭燃气作用力要求， 这是一个四取三的表决冗余设计， 其中1 个支腿液压缸是冗余单元。

国外也有类似冗余设计实例， 如法尔肯9 火箭一级9 台发动机， 8 台周向布置， 1 台居中，地面起飞时允许1 台发动机故障、 飞行一段时间后允许2 台发动机故障， 仍能完成任务[6]。

2.3 零部组件冗余设计

发射设备电气系统常采取多种传感器融合的冗余设计， 以提高系统任务可靠度。 当某一个或几个传感器出现故障时， 可根据其他传感器数据进行判断。

2.3.1 支腿液压缸触地信号

在发射设备支腿液压缸触地信号设计中， 常采用多种信号进行判断， 如压力传感器的压力信号、 位移传感器的位移信号、 接近开关的通断信号等。 A 型号发射设备只判断支腿液压缸压力信号， 仅依据压力阶跃信号来判断支腿液压缸是否触地。 B 型号发射设备判断支腿液压缸位移信号， 伸至指定高度后， 再依据压力阶跃信号判断支腿是否触地。 B 发射设备相比A， 增加了位移信号判断， 可以避免由于支腿液压缸触地前卡滞造成的误判， 实现了触地控制信号的冗余设计。

2.3.2 发射筒回收到位信号

发射筒回收到水平状态时， 采用两个接近开关来判断发射筒是否收到位， 只要回收到位接近开关a 或接近开关b 发出到位信号后， 就说明发射筒收到位， 即使其中一个接近开关发生故障，也不影响流程的连续进行。

2.3.3 起竖至接近竖直状态时的位置判断信号

某型号发射筒起竖至接近竖直状态时， 为避免过冲， 起竖液压缸需要减速， 必须对发射筒的起竖到位状态进行准确判断。 发射设备采用传感器A、 传感器B、 传感器C 的反馈信号，按三选二表决方式来进行发射筒位置判断， 避免传感器失效造成起竖液压缸没有减速导致发射筒过冲。 三取二系统可靠性框图如图7 所示。

图7 三取二系统可靠性框图

假设传感器A、 传感器B、 传感器C 的故障率均服从指数分布， 可靠度R1均为0.8， 任务可靠度RS为0.8960； 系统失效率FS=0.1040。这种三取二冗余结构相比没有采用冗余的结构，需要三倍的资源， 但系统可靠度由0.8 提高到0.8960。

此外， 要重视表决器的可靠性。 假设传感器A、 传感器B、 传感器C 的任务可靠度相同且用R1表示， 表决器的任务可靠度用RK表示， 系统的任务可靠度用RS表示。 假设R1=0.8， 当表决器完全可靠时， 即RK=1， 此时RS=0.8960， 可见表决设计大大提高了系统的可靠性； 当表决器不完全可靠时， 假设RK=0.8， 此时RS=0.7168。 可以看出， 表决系统中表决器的可靠性对系统整体可靠性影响比较大， 应重视表决器的可靠性。

3 结束语

有效的冗余设计是一种效费比非常高的提高发射设备任务可靠度的技术途径， 但应注意以下几个方面。

a） 关注共因失效。共因失效是指某一因素会同时导致多个设备失效， 即共因失效因素导致某一电路或元件失效后， 冗余的电路或元件同时失效， 失去冗余作用。 如环境湿度过大、 温度过高或外界干扰会导致所有传感器都出现故障，这样的冗余设计无法提高产品可靠性。

b） 冗余设计能提高产品可靠性， 但同时也增加成本。如采用单冗余设计， 能使平均无故障工作时间提高到1.5 倍， 但同时成本增加1 倍。在实际工程中， 对冗余设计方案需进行详细分析， 开展效费比研究， 评估采用什么样的冗余设计最有效。