CN112255992B - 一种星上fdir任务调度方法 - Google Patents

Abstract

一种星上FDIR任务调度方法，其步骤为：(1)FDIR故障类别，获取卫星各分系统FDIR设计的故障种类；(2)梳理FDIR各故障类别的具体故障，根据故障类别和各分系统的设备组成关系，形成故障代号表；(3)梳理各具体故障的内在逻辑关系，明确与其他分系统是否共用总线或者与其他单机有上下级关系，并在故障代号表基础上形成故障信息总表，共用总线用总线代码表达，上下级单机关系通过单机设备代号明确；(4)制定故障处理的优先级顺序，根据故障信息总表，按优先级处理原则，完成优先级处理；(5)形成任务调度策略表，根据并行和耦合关系，在信息总表增加该故障使能禁止状态，卫星主程序调用该策略表进行处理。

Description

一种星上FDIR任务调度方法

技术领域

本发明属于航天器高轨通信领域卫星总体设计领域，涉及一种利用指令序列实现卫星星箭分离后自主执行星上相关动作的方法；本发明也适用于近地轨道、深空和行星际飞行航天器。

背景技术

星上FDIR(Failure Detection Isolation and Recovery)设计是故障检测诊断技术在航天领域的一种应用，可以对部分可识别的故障进行检测，并通过相应的恢复策略确保卫星在轨稳定运行。其中任务调度方法是FDIR设计中重要的一个步骤，通过对相关故障进行分级分类处理，可以大大降低星上FDIR处理的错误率，避免由于单一故障导致故障蔓延，星上指令序列随意发送，切换不必要的单机模块，给地面分析故障原因造成困扰。

发明内容

本发明的目的就在于：克服现有技术的不足，提供一种星上FDIR任务调度方法，采用任务调度策略，确保各类故障处置指令序进行，处置结果可预期。当星上FDIR自主处理结束后，地面再分析故障原因时，也可以通过指令序列以及最终状态，确定故障原因。

本发明的技术方案：一种星上FDIR任务调度方法，步骤如下：

(1)FDIR故障类别，获取卫星各分系统FDIR设计的故障种类；

(2)梳理FDIR各故障类别的具体故障，根据故障类别和各分系统的设备组成关系，形成故障代号表；所述故障代号表包括故障标识、分系统名称缩写、故障类别、故障在分系统中的序号；

(3)梳理各具体故障的内在逻辑关系，明确与其他分系统是否共用总线或者与其他单机有上下级关系，并在故障代号表基础上形成故障信息总表，共用总线用总线代码表达，上下级单机关系通过单机设备代号明确；

(4)制定故障处理的优先级顺序，根据故障信息总表，按优先级处理原则，完成优先级处理；

(5)形成任务调度策略表，根据并行和耦合关系，在信息总表增加该故障使能禁止状态，卫星主程序调用该策略表进行处理。

所述FDIR故障类别包括5个级别，具体如下：

0级故障指发生在部件内部的一次故障，能够由部件内部通过热备份的方式自主进行恢复，对系统的其他部件无影响；

1级故障指发生在部件内部模块的一次故障，但无法由部件级实现自主恢复，需要由星载计算机应用软件实现故障的检测和恢复；1级故障发生后，系统将根据FDIR策略进行自主故障隔离及恢复，若故障隔离及恢复正常，则对系统任务无影响；

2级故障指卫星分系统级性能异常；对于2级故障，需要执行恢复策略，相关的部件需要使能或重组，其故障检测及恢复由星载计算机应用软件执行；

3级故障指的是星载计算机硬件出现故障，由硬件检测单元检测出故障后根据故障处理逻辑切换至备份计算机控制模块；

4级故障指的是卫星在同步轨道段无法维持对地指向需要进行太阳捕获处理的故障。

所述任务调度策略表包括两个部分：

第一部分为每个故障的表达形式：包括故障标识、分系统名称缩写、故障类别、故障在分系统中的序号、挂接总线、本级设备代号、下级设备代号、使能禁止状态；总线可以进行相互挂接，有一级总线和二级总线，从总线往下，仅有两级设备，一级设备与二级设备通过硬件通道相连；

第二部分为两个故障间的并行与耦合关系，相关处理原则为：

当总线发生故障时，则禁止所有与其相关联的故障列表，先处理总线故障，等总线故障处理完成后，再使能与其相关设备故障检测；

当本级设备发生故障后，对其关联的下级设备的故障列表进行禁止检测，不允许下级设备故障检测，待本级设备处理完后，再使能下级设备故障检测，如此时下级设备仍检测出故障，则继续处理下级设备故障；

当两个故障发生时，其本级与下级设备未关联，则各自独立处理，即并行处理；

本级故障发生后，只禁止与本级相连接的下级故障检测，与下级设备关联的设备故障检测不禁止，如此时下级关联的设备故障产生报警，则会执行相应的处理程序，应用软件发出指令后，由于本级设备相关故障正在处理，相关指令会自动缓存在本级设备指令缓冲区，待本级设备处理完成后，相应指令会继续发送到下级关联的设备。

所述的并行与耦合具体为：

“并行”指星上程序根据调度策略表，检测到故障后，星上程序禁止与其关联的设备故障，与其不关联的设备故障发生后，各自独立处理；

“耦合”指星上程序根据耦合处理原则，检测到故障后，将与其关联的设备故障进行禁止，如果此时其关联设备出报警，则先将故障处理后，再重新处理其关联设备的故障。

所述总线是卫星各单机设备挂接的相关总线，各设备与总线之间有直接的指令关系，当总线故障时，优先处理总线故障，便于指令顺畅执行。

本级与下级设备关联，包括遥测采集通道和遥控指令执行通道的关联。

所述遥测采集是本级对下级设备的模拟量采集，属硬件通道；遥控指令执行通道一般是本级对下级设备的硬件指令通道。

所述卫星主程序调用该策略表进行处理的具体执行步骤为：

当故障发生时，读取故障调度策略表，比对故障产生的信息与调度策略表的信息，发生一致时，查询使能禁止状态，如为使能状态，根据关行与耦合关系统，置与其耦合的故障为禁止状态；如为禁止状态，则每个执行周期查询一次，直到为使能状态后，再继续执行。

本发明与现有技术相比的优点：

(1)、本发明方法能根据任务调度策略表，对不同的故障实施不同的处理策略，总线类故障通过禁止其关联设备故障检测，可以有效避免遥测采集错误导致关联设备误报警，从而触发错误指令发出，本级设备故障后对下级设备禁止，也可以有效避免本级设备根据可能错误的遥测，误触发下级设备的处理指令序列，对于下级设备关联的设备故障，在本级故障处理后会重新检测其关联设备故障情况，对依然产生的报警进行处理，避免下级设备关联的设备故障处理不及时，一旦发生为误报警，即再次检测后发现为正常状态，则会取消处理程序指令，并返回应用程序，该指令已取消。

(2)、本发明方法根据任务调度策略表，可以处理多种故障并发情况，当故障设备不关联时，故障并行处理，互不影响，当两种或两种以上故障并发时，优先处理总线故障，将错误的报警进行消除，如确实发生多种故障，则优先处理先检测到的故障，同时禁止掉与其关联的故障，避免产生次生的故障影响，等该故障处理完后，再处理其他故障，从而避免故障同时处理，相关指令发送序列混乱的情况。

附图说明

图1为本发明一种FDIR任务调度方法步骤图；

图2为本发明星上程序处理主函数示意图。

具体实施方式

如图1所示，本发明一种星上FDIR任务调度方法，其主要步骤为：

(1)明确FDIR故障类别，一般将星上FDIR划分为0-4级，其中0级故障指发生在部件内部的一次故障，可由部件内部通过热备份的方式自主进行恢复，对系统的其他部件无影响。

1级故障指发生在部件内部模块的一次故障，但是无法由部件级实现自主恢复，需要由星载计算机应用软件实现故障的检测和恢复。1级故障发生后，系统将根据FDIR策略进行自主故障隔离及恢复，若故障隔离及恢复正常，则对系统任务无影响。

2级故障指卫星分系统级性能异常。对于2级故障，需要执行恢复策略，相关的部件需要使能或重组，其故障检测及恢复由星载计算机应用软件执行。

3级故障指的是星载计算机硬件出现故障，由硬件检测单元检测出故障后根据故障处理逻辑切换至备份计算机控制模块。

4级故障指的是卫星在同步轨道段无法维持对地指向需要进行太阳捕获处理的故障。

(2)梳理FDIR各级故障中的具体故障，本发明基于某一高轨卫星给出一个示例，梳理如下：

0级故障：一般星上1553B总线采用双总线热备形式，可定义1553B通信故障可列为0级故障。

1级故障：如控制分系统太阳敏感器采用主备份配置，则考虑“太阳敏感器主份故障”为1级故障，太阳翼转动机构控制模块也采用主备份配置，定义“太阳翼转动机构控制模块故障”为1级故障，综合电子分系统平台综合业务管理单元通信模块采用主备份配置，则考虑“综合电子分系统平台综合业务管理单元通信模块”为1级故障。其他故障可根据航天器具体模块设计情况进行1级故障定义，依次类推。

2级故障：根据步骤1可以得出，2级故障可设计如“控制分系统姿态超差故障”，该故障发生后影响分系统性能。

3级故障：根据步骤1可以得出，出现3级故障，星载计算机控制模块需要切换，典型故障如“星载计算机控制模块掉电故障”。

4级故障：根据步骤1可以得出，出现4级故障，星上需保能源安全，转入对日定向，典型故障如“蓄电池异常放电深度超过警戒线(80％)故障”。

(3)梳理各具体故障的内在逻辑关系，根据步骤2得到的具体故障类别，1级故障中“太阳翼转动机构控制模块故障”需要通过“综合电子分系统平台综合业务管理单元通信模块”来发送相关指令序列，其存在内在的先后顺序，而“太阳敏感器主份故障”和“蓄电池异常放电深度超过警戒线(80％)故障”两者为不同的分系统，并且相互之间没有关联关系。

根据具体故障的内在逻辑建立故障信息总表，一般采用EPS来表示供配电分系统，AVS来表示综合电子分系统，针对上述几个可以形成以下故障信息总表，用故障标识、分系统名称缩写、故障类别、故障在分系统中的序号、挂接总线、本级设备代号、下级设备代号、使能禁止状态表示，即为：

Fault_EPS_01_001_A_EPS01_EPS03_ENABLE，表示供配电分系统的1级故障“太阳翼转动机构控制模块故障”，Fault表示为故障标识，EPS表示供配电分系统，01表示1级故障，001表示供配电分系统第1个故障，A表示挂接在1553B总线上，其本级设备表示为“太阳翼转动机构控制模块”EPS01，下级设备为“太阳翼”表示为EPS02。

其“综合电子分系统平台综合业务管理单元通信模块”，其表示为一个总线管理模块，其为1级故障，其可表示为：

Fault_AVS_01_001_A_AVS01_FULL_ENABLE，Fault表示为故障标识，AVS表示综合电子分系统，01表示1级故障，001表示综合电子分系统第1个故障，A表示挂接在1553B总线上，其本级设备表示为“平台综合业务管理单元通信模块”AVS01，下级设备为FULL，表示挂接在该总线管理模块的设备众多，凡是与这个总线管理模块相关的故障都与其相关。

诸如此类，一般定义如下：

Fault是故障标识，表明该代号是故障列表

EPS是分系统简称，EPS表示供配电分系统，AOCS表示是控制分系统

01表示1级故障，0～4级故障分别表示，00、01、02、03、04共5个类别

001表示EPS分系统的故障序号

A表示挂接在总线上，一般1553B总线表示A、CSB总线表示B、RS422总线表示C，CAN总线表示D等等

EPS01，表示上级设备为EPS第1个设备

AOCS02，表示下级设备为AOCS第2个设备

如果上下级没有相应的设备，则表达为NULL

如果是总线，即故障类别为0级故障，上下级设备特别多，则上下级设备代号表达为FULL

ENABLE表示该故障当前状态为使能状态，可以执行，如果是DISABLE则表示该故障当前不能处理，等待其他故障处理结果。

(4)制定故障处理的优先顺序，

根据并行和耦合处理原则如下：当总线发生故障时，则禁止所有与其相关联的故障列表，先处理总线故障，等总线故障处理完成后，再使能与其相关设备故障检测；如：

(a)Fault_EPS_01_001_A_EPS01_EPS02_ENABLE表示供配电分系统太阳翼转动机构控制模块故障，

(b)Fault_AVS_00_001_A_FULL_FULL_ENABLE综合电子分系统1553B总线通信故障

当出现Fault_AVS_00_001_A_FULL_FULL_ENABLE时，就需要把Fault_EPS_01_001_A_EPS01_EPS02_ENABLE置为

Fault_EPS_01_001_A_EPS01_EPS02_DISABLE

当本级设备发生故障后，对其关联的下级设备的故障列表进行禁止检测，不允许下级设备故障检测，待本级设备处理完后，再使能下级设备故障检测，如此时下级设备仍检测出故障，则继续处理下级设备故障；

当两个故障发生时，其本级与下级设备未关联，则各自独立处理，即并行处理；

本级故障发生后，只禁止与本级相连接的下级故障检测，与下级设备关联的设备故障检测不禁止，如此时下级关联的设备故障产生报警，则会执行相应的处理程序，应用软件发出指令后，由于本级设备相关故障正在处理，相关指令会自动缓存在本级设备指令缓冲区，待本级设备处理完成后，相应指令会继续发送到下级关联的设备。

(5)根据步骤4给出处理原则，梳理出故障调度策略表。本发明根据示例情况给出故障调度策略表如下：

上表是根据前面步骤梳理出的可视化任务调度策略表，其中“X”表示两种故障同时发生后，先检测到发生某种故障后，必须对其他故障进行禁止的操作。

“X①”表示“综合电子分系统平台综合业务管理单元通信模块故障”发生后需立即禁止“太阳翼转动机构控制模块故障”检测，因为“太阳翼转动机构控制模块故障”相关检测所需的遥测信息需要通过综合电子分系统平台综合业务管理单元通信模块进行传递，如果不禁止检测，由于通信不成功，则有可能导致遥测误判，发出错误的指令，导致太阳翼转动机构控制模块出现误切换。

“X②”和“X③”这两列分别表示，当发生“星载计算机控制模块掉电故障”和“蓄电池异常放电深度超过警戒线(80％)故障”时需把所有其他故障检测均禁止，主要原因是，当发生“星载计算机控制模块掉电故障”时，星载计算机控制模块需要切换，由于切换需一定的时间，在切换过程中会出现不稳定的遥测状态，如果这时其他故障检测均在检测时，则会出现大概率的误检测和误报警，导致后续处理逻辑混乱，同样出现“蓄电池异常放电深度超过警戒线(80％)故障”时，星上需保证能源安全，转入对日安全模式，在此过程中，星载计算机需关闭大量单机设备以确保星上以最小系统运行，能源负载最小化，此时，必须禁止其他故障检测，否则在关闭星上单机过程中，由于检测到单机异常，出现误开机的处理逻辑，导致星上单机状态混乱，因此需禁止其他故障检测，以确保关机指令序列执行正确。

“X④”表示当“太阳敏感器主份故障”发生后需禁止“蓄电池异常放电深度超过警戒线(80％)故障”4级故障，主要原因是4级故障发生后需转入对日定向，而对日定向则是采用太阳敏感器作为测量设备，因此当检测出“太阳敏感器主份故障”后需禁止4级故障，确保太阳敏感器为状态好的情况下再转入对日定向，确保能源安全。

“X⑤”表示当“太阳翼转动机构控制模块故障”发生后，需禁止“蓄电池异常放电深度超过警戒线(80％)故障”4级故障，主要原因是4级故障发生后，需转动太阳翼回归到初始位置，实现太阳翼对日，保证太阳翼输出功率最大，因此当发生“太阳翼转动机构控制模块故障”后，需切换相应的备份模块，确保太阳翼转动机构控制模块正常后，如果再检测到“蓄电池异常放电深度超过警戒线(80％)故障”4级故障，则可转入4级故障处理程序。

(6)星上主程序在检测到故障后，读取故障调度策略表，比对故障产生的信息与调度策略表的信息，发生一致时，查询使能禁止状态，如为使能状态，根据关行与耦合关系统，置与其耦合的故障为禁止状态；如为禁止状态，则每个执行周期查询一次，直到为使能状态后，再继续执行。

Claims (1)

1.一种星上FDIR任务调度方法，其特征在于步骤如下：

(1)FDIR故障类别，获取卫星各分系统FDIR设计的故障种类；

(2)梳理FDIR各故障类别的具体故障，根据故障类别和各分系统的设备组成关系，形成故障代号表；所述故障代号表包括故障标识、分系统名称缩写、故障类别、故障在分系统中的序号；

(3)梳理各具体故障的内在逻辑关系，明确与其他分系统是否共用总线或者与其他单机有上下级关系，并在故障代号表基础上形成故障信息总表，共用总线用总线代码表达，上下级单机关系通过单机设备代号明确；

(4)制定故障处理的优先级顺序，根据故障信息总表，按优先级处理原则，完成优先级处理；

(5)形成任务调度策略表，根据并行和耦合关系，在信息总表增加该故障使能禁止状态，卫星主程序调用该策略表进行处理；

所述FDIR故障类别包括5个级别，具体如下：

0级故障指发生在部件内部的一次故障，能够由部件内部通过热备份的方式自主进行恢复，对系统的其他部件无影响；

1级故障指发生在部件内部模块的一次故障，但无法由部件级实现自主恢复，需要由星载计算机应用软件实现故障的检测和恢复；1级故障发生后，系统将根据FDIR策略进行自主故障隔离及恢复，若故障隔离及恢复正常，则对系统任务无影响；

2级故障指卫星分系统级性能异常；对于2级故障，需要执行恢复策略，相关的部件需要使能或重组，其故障检测及恢复由星载计算机应用软件执行；

3级故障指的是星载计算机硬件出现故障，由硬件检测单元检测出故障后根据故障处理逻辑切换至备份计算机控制模块；

4级故障指的是卫星在同步轨道段无法维持对地指向需要进行太阳捕获处理的故障；

所述任务调度策略表包括两个部分：

第一部分为每个故障的表达形式：包括故障标识、分系统名称缩写、故障类别、故障在分系统中的序号、挂接总线、本级设备代号、下级设备代号、使能禁止状态；总线可以进行相互挂接，有一级总线和二级总线，从总线往下，仅有两级设备，一级设备与二级设备通过硬件通道相连；

第二部分为两个故障间的并行与耦合关系，相关处理原则为：

当总线发生故障时，则禁止所有与其相关联的故障列表，先处理总线故障，等总线故障处理完成后，再使能与其相关设备故障检测；

当本级设备发生故障后，对其关联的下级设备的故障列表进行禁止检测，不允许下级设备故障检测，待本级设备处理完后，再使能下级设备故障检测，如此时下级设备仍检测出故障，则继续处理下级设备故障；

当两个故障发生时，其本级与下级设备未关联，则各自独立处理，即并行处理；

本级故障发生后，只禁止与本级相连接的下级故障检测，与下级设备关联的设备故障检测不禁止，如此时下级关联的设备故障产生报警，则会执行相应的处理程序，应用软件发出指令后，由于本级设备相关故障正在处理，相关指令会自动缓存在本级设备指令缓冲区，待本级设备处理完成后，相应指令会继续发送到下级关联的设备；

所述的并行与耦合具体为：

“并行”指星上程序根据调度策略表，检测到故障后，星上程序禁止与其关联的设备故障，与其不关联的设备故障发生后，各自独立处理；

“耦合”指星上程序根据耦合处理原则，检测到故障后，将与其关联的设备故障进行禁止，如果此时其关联设备出报警，则先将故障处理后，再重新处理其关联设备的故障；

所述总线是卫星各单机设备挂接的相关总线，各设备与总线之间有直接的指令关系，当总线故障时，优先处理总线故障，便于指令顺畅执行；

本级与下级设备关联，包括遥测采集通道和遥控指令执行通道的关联；

所述遥测采集是本级对下级设备的模拟量采集，属硬件通道；遥控指令执行通道一般是本级对下级设备的硬件指令通道；

所述卫星主程序调用该策略表进行处理的具体执行步骤为：

当故障发生时，读取故障调度策略表，比对故障产生的信息与调度策略表的信息，发生一致时，查询使能禁止状态，如为使能状态，根据关行与耦合关系统，置与其耦合的故障为禁止状态；如为禁止状态，则每个执行周期查询一次，直到为使能状态后，再继续执行。

Images