CN112699491B - 一种可在轨维修载人航天器冗余设计方法 - Google Patents

Abstract

本发明涉及一种可在轨维修载人航天器冗余设计方法，包括：S1.基于载人航天器的任务功能和系统环境因素，获取进行冗余设计的输入条件；S2.基于所述输入条件确定进行冗余设计的对象；S3.根据所述对象的功能特点，确定进行冗余设计的冗余类型、冗余层次和冗余程度；S4.根据所述对象、所述冗余类型、所述冗余层次和所述冗余程度，确定冗余设计的初始方案；S5.对所述初始方案进行有效性分析验证和测试验证，若满足设计要求，则确定所述初始方案为最终的冗余设计方案。本发明的冗余设计方法更系统，提高冗余设计有效性。

Description

一种可在轨维修载人航天器冗余设计方法

技术领域

本发明涉及航空航天领域，尤其涉及一种可在轨维修载人航天器冗余设计方法。

背景技术

随着技术发展，给载人航天器提出了更长的使用寿命和更高的可靠性要求。而在载人航天器的长期运行过程中，有可能会发生各种故障，严重影响任务完成和系统安全。在轨维修是一种预防和消除故障，保障载人航天器长寿命的有效手段。如和平号空间站原设计寿命5年，但是通过在轨维修支持(据统计，站上航天员75％的工作时间用于在轨维修)和维修资源保障，使实际寿命延长到了15年；国际空间站上也进行了大量的维修操作，截止到2005年10月，宇航员对美国舱和俄罗斯舱一共进行了4000多小时的维修，在空间站的组装建造期间，预计要运输维修备件约32吨，利用在轨维修技术后，国际空间站的寿命预计将达到15年。因此利用轨维修技术来维持载人航天器的长期高可靠运行是一个发展趋势。

在轨维修不同于地面武器装备系统的维修，属于在线不停机维修，在进行维修操作时，系统仍要求可靠运行。因此，为保证维修安全，需要对支持维修的平台功能(如供配电、信息管理等)，以及有维修需求的设备均开展冗余设计；同时，通过维修手段能修复故障设备，恢复并维持系统高可靠性，在进行冗余设计时，冗余程度可适度降低，节约系统资源。

发明内容

本发明的目的在于提供一种可在轨维修载人航天器冗余设计方法。

为实现上述发明目的，本发明提供一种可在轨维修载人航天器冗余设计方法，包括：

S1.基于载人航天器的任务功能和系统环境因素，获取进行冗余设计的输入条件；

S2.基于所述输入条件确定进行冗余设计的对象；

S3.根据所述对象的功能特点，确定进行冗余设计的冗余类型、冗余层次和冗余程度；

S4.根据所述对象、所述冗余类型、所述冗余层次和所述冗余程度，确定冗余设计的初始方案；

S5.对所述初始方案进行有效性分析验证和测试验证，若满足设计要求，则确定所述初始方案为最终的冗余设计方案。

根据本发明的一个方面，步骤S1中，基于载人航天器的任务功能和系统环境因素，进行任务功能分析和系统环境因素分析，明确功能、性能指标，以及可靠性、维修性和测试性要求，并对可利用的资源及保障条件进行分析，作为冗余设计的输入条件。

根据本发明的一个方面，步骤S2中，基于所述输入条件确定进行冗余设计的对象的步骤中，采用可靠性建模、FMEA、FTA及可靠性预计的分析手段识别进行冗余设计的对象。

根据本发明的一个方面，步骤S2中，基于所述输入条件确定进行冗余设计的对象的步骤中，包括：

S21.通过功能FMEA、硬件FMEA分别识别在严酷度为I、II类情况下单点失效的功能和设备；

S22.通过FTA识别出单点失效，以及二阶最小割集中重要度高的功能和设备；

S23.通过可靠性建模和预计，获取低于可靠性指标要求的功能和设备；

S24.获取在轨维修时，对整器系统正常运行有影响，且具有最大维修时间约束的设备或在轨可更换单元。

根据本发明的一个方面，所述冗余类型包括：功能冗余、信息冗余、直接冗余、静态冗余、动态冗余、混合冗余；

步骤S3中，确定进行冗余设计的冗余类型的步骤中，根据所述对象的特点，确定冗余类型；其中：

若所述对象属于系统级，则冗余设计采用功能冗余、信息冗余；

若所述对象属于分系统内部，则冗余设计采用直接冗余；

若所述对象对控制实时性具有要求，则冗余设计采用静态冗余，其冗余结构形式采用工作冗余；

若所述对象对控制实时性具有要求，且用于提供核心功能，则冗余设计采用混合冗余；

若所述对象属于控制参数可变的控制设备，则冗余设计采用动态冗余，冗余结构形式采用非工作冗余。

根据本发明的一个方面，步骤S3中，确定进行冗余设计的冗余层次的步骤中，基于所述冗余类型进行，以及结合所述对象的维修层次确定，且所述冗余层次与所述对象的维修层次保持一致；

若所述对象为子系统级和系统级，则确定其冗余层次为对应功能冗余设计的第一层次，一般为子系统和系统级，如交会对接功能采用自动对接和手动对接功能互为冗余；

若所述对象为设备和设备内部模块，则确定其冗余层次为对应直接冗余设计的第二层次；

所述第二层次的优先级低于所述第一层次；

根据本发明的一个方面，步骤S3中，确定进行冗余设计的冗余程度的步骤中，根据可靠性可靠性要求、维修性设计要求和系统资源综合确定，包括：

S31.通过FMEA、FTA结果验证可以消除的单点失效均已消除，通过FTA的高阶割集分析，识别冗余过度的设计，作为优化设计的输入。

S32.基于定性分析的基础上，对冗余设计进行可靠性预计，若预计结果不满足分配指标要求，则增加冗余，若预计结果远高于分配结果，则冗余过度，则进一步识别过度冗余，进行优化设计；

S33.结合维修性设计分析，若所述对象属于在轨维修需求，且可在轨维修后迅速修复，则降低所述冗余程度。

根据本发明的一个方面，步骤S4中，根据所述对象、所述冗余类型、所述冗余层次和所述冗余程度，确定冗余设计的初始方案，并生成包含有故障检测管理单元、交叉连接切换单元和隔离保护单元的冗余设计逻辑模型。

根据本发明的一个方面，步骤S5中，对所述初始方案进行有效性分析验证的步骤中，包括：

S51.进行可靠度计算，其中，根据所述初始方案和所述冗余类型建立可靠性函数和数学模型，并计算得出可靠度结果，判断所述可靠度结果是否满足要求；

S52.进行冗余三要素分析，其中，采用硬件法FMEA，系统地分析所述冗余设计逻辑模型中的故障检测管理单元、交叉连接切换单元和隔离保护单元，验证是否存在潜在的故障模式；以及，

通过FTA分析所述冗余设计逻辑模型中的故障检测管理单元、交叉连接切换单元和隔离保护单元，验证是否存在单点失效；

S53.进行冗余切换分析，用于分析所述冗余设计逻辑模型中发生单个故障时，是否会影响冗余切换功能；

S54.进行共因故障分析，其中，利用FMEA进行共因故障分析，分析所述冗余设计逻辑模型中发生单个故障时，是否会导致航天器出现共生故障；

S55.进行潜在电路分析，用于验证所述冗余设计逻辑模型中的冗余管理电路的安全性。

根据本发明的一个方面，步骤S5中，对所述初始方案进行测试验证步骤中，包括：

S56.对所述冗余设计逻辑模型进行功能测试，确认原理设计的正确性，以及检测冗余功能单元的工作状态；

S57.对所述冗余设计逻辑模型进行故障模拟测试。

根据本发明的一种方案，本发明的冗余设计方法更系统，提高冗余设计有效性。

根据本发明的一种方案，本发明的针对冗余对象识别更全面，有效保证了系统的可靠性和安全性，同时还提供了安全进行在轨维修的条件。

根据本发明的一种方案，本发明的所采用的冗余层次和冗余方式更合理，优化了维修更换单元的规模，进一步降低了在轨维修的难度，以及节约了资源。

根据本发明的一种方案，本发明有效减少了可维修设备的冗余程度，节约系统资源。

附图说明

图1是示意性表示根据本发明的一种实施方式的可在轨维修载人航天器冗余设计方法的步骤框图。

图2是示意性表示根据本发明的一种实施方式的可在轨维修载人航天器冗余设计方法的流程图。

具体实施方式

为了更清楚地说明本发明实施方式或现有技术中的技术方案，下面将对实施方式中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是本发明的一些实施方式，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

在针对本发明的实施方式进行描述时，术语“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”所表达的方位或位置关系是基于相关附图所示的方位或位置关系，其仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此上述术语不能理解为对本发明的限制。

下面结合附图和具体实施方式对本发明作详细地描述，实施方式不能在此一一赘述，但本发明的实施方式并不因此限定于以下实施方式。

载人航天器的可靠性安全性设计原则是，满足“一度故障工作，二度故障安全”，以力保航天员的生命安全。冗余设计也是提高航天器固有可靠性，保证少出故障，并且出故障后有应对措施的有效方法。针对不同产品层次，航天器冗余设计类型可分为功能冗余和直接冗余，其中直接冗余又包括静态冗余、动态冗余和混合冗余。

结合图1和图2所示，根据本发明的一种实施方式，本发明的一种可在轨维修载人航天器冗余设计方法，包括：

S1.基于载人航天器的任务功能和系统环境因素，获取进行冗余设计的输入条件；

S2.基于输入条件确定进行冗余设计的对象；

S3.根据对象的功能特点，确定进行冗余设计的冗余类型、冗余层次和冗余程度；

S4.根据对象、冗余类型、冗余层次和冗余程度，确定冗余设计的初始方案；

S5.对初始方案进行有效性分析验证和测试验证，若满足设计要求，则确定初始方案为最终的冗余设计方案。

根据本发明的一种实施方式，步骤S1中，基于载人航天器的任务功能和系统环境因素，进行任务功能分析和系统环境因素分析，明确功能、性能指标，以及可靠性、维修性和测试性要求，并对可利用的资源及保障条件进行分析，作为冗余设计的输入条件。

根据本发明的一种实施方式，步骤S2中，基于输入条件确定进行冗余设计的对象的步骤中，采用可靠性建模、FMEA、FTA及可靠性预计的分析手段识别进行冗余设计的对象。

根据本发明的一种实施方式，步骤S2中，基于输入条件确定进行冗余设计的对象的步骤中，在设计输入分析的基础上确定冗余设计对象。冗余设计的目的是减少单点失效，提高任务可靠性。冗余设计的对象应是设计中的薄弱环节，应结合可靠性建模、FMEA、FTA及可靠性预计等分析手段识别冗余对象。常见的冗余设计对象包括以下功能和设备(如果满足一条及多条上述特性，该功能和设备应采取冗余设计)：

包括：

S21.通过功能FMEA、硬件FMEA分别识别在严酷度为I、II类情况下单点失效的功能和设备；

S22.通过FTA识别出单点失效，以及二阶最小割集中重要度高的功能和设备；

S23.通过可靠性建模和预计，获取低于可靠性指标要求的功能和设备；

S24.获取在轨维修时，对整器系统正常运行有影响，且具有最大维修时间约束的设备或在轨可更换单元。例如，针对长期在轨高可靠运行的航天器(如空间站)上，需要在轨维修，同时维修操作时对系统正常运行有影响，有最大维修时间约束的设备或在轨可更换单元。需要指出的是，最大维修时间是在进行维修操作时，系统允许的不发生导致任务失败和航天员伤亡的维修时间。

根据本发明的一种实施方式，冗余类型包括：功能冗余、信息冗余、直接冗余、静态冗余、动态冗余、混合冗余；

步骤S3中，确定进行冗余设计的冗余类型的步骤中，根据对象的特点，确定冗余类型；其中：

若对象属于系统级，则冗余设计采用功能冗余、信息冗余，如天地通信功能中通信链路采用USB、中继等多种通信手段互为冗余，重点是避免共因失效导致功能的严重丧失。

若对象属于分系统内部，则冗余设计采用直接冗余，通过设备的重构和切换，提高分系统的工作可靠性。

若对象对控制实时性具有高要求，则冗余设计采用静态冗余，其冗余结构形式采用工作冗余；

若对象对控制实时性具有要求，且用于提供核心功能，则冗余设计采用混合冗余；

若对象属于控制参数缓慢变化(如温度、湿度等)的控制设备，则冗余设计采用动态冗余，冗余结构形式采用非工作冗余。

根据本发明的一种实施方式，步骤S3中，确定进行冗余设计的冗余层次的步骤中，基于冗余类型进行，以及结合对象的维修层次确定，且冗余层次与对象的维修层次保持一致，如板卡级、模块级、整机级、组件级，以保证维修更换时系统的安全性；

在本实施方式中，若对象为子系统级和系统级，如交会对接功能采用自动对接和手动对接功能互为冗余；则确定其冗余层次为对应功能冗余设计的第一层次；

在本实施方式中，若对象为设备和设备内部模块，是一种比功能冗余层次低的冗余设计，则确定其冗余层次为对应直接冗余设计的第二层次；

在本实施方式中，第二层次的优先级低于第一层次。

根据本发明的一种实施方式，步骤S3中，确定进行冗余设计的冗余程度的步骤中，根据可靠性可靠性要求、维修性设计要求和系统资源综合确定，包括：

S31.冗余设计应尽可能消除系统单点，通过FMEA、FTA结果验证可以消除的单点失效均已消除，通过FTA的高阶割集分析，识别冗余过度的设计，作为优化设计的输入；

S32.基于定性分析的基础上，对冗余设计进行可靠性预计，如果预计结果不满足分配指标要求，应考虑增加冗余，如果预计结果远高于分配结果，则说明有冗余过度的问题，应进一步识别过度冗余，进行优化设计；

S33.结合维修性设计分析，若冗余对象列为了维修需求，开展了维修性设计，通过在轨维修能保证设备在故障发生后迅速修复，则可维修冗余系统的冗余程度可适当降低。

根据本发明的一种实施方式，步骤S4中，根据对象、冗余类型、冗余层次和冗余程度，确定冗余设计的初始方案，并生成包含有故障检测管理单元、交叉连接切换单元和隔离保护单元的冗余设计逻辑模型。在本实施方式中，根据步骤S3中确定的冗余类型、冗余层次和冗余程度，结合产品自身特点进行冗余设计。冗余功能单元是冗余设计的重点，除此以外，冗余设计的三要素，即隔离保护单元、交叉连接切换单元、故障检测管理单元是由于冗余设计可能引入的单点环节，应重点分析并加强固有可靠性设计。冗余系统中可能存在的共因模块，如供电接口、信息接口等，以及供电、指令设计，都需要着重分析并对应冗余系统进行相应设计，避免供应故障。

根据本发明的一种实施方式，步骤S5中，对初始方案进行有效性分析验证的步骤中，包括：

S51.进行可靠度计算，其中，根据初始方案和冗余类型建立可靠性函数和数学模型，并计算得出可靠度结果，判断可靠度结果是否满足要求；在本实施方式中，分别通过计算得出系统、功能或产品的可靠度结果，验证冗余设计是否有效提高了可靠度，可靠度结果是否满足要求。

S52.进行冗余三要素分析，其中，采用硬件法FMEA，系统地分析冗余设计逻辑模型中的故障检测管理单元、交叉连接切换单元和隔离保护单元，验证是否存在潜在的故障模式；在本实施方式中，采用硬件法FMEA，用于找出各种可能的故障模式，分析故障的影响，发现薄弱环节，进而采取改进措施，提高可靠性，确保消除不可接受的故障模式；以及，

通过FTA分析冗余设计逻辑模型中的故障检测管理单元、交叉连接切换单元和隔离保护单元，验证是否存在单点失效；在本实施方式中，通过FTA分析尽大限度的使冗余设计中不存在一阶最小割集即单点失效，如果不能消除单点失效，确保单点环节的可靠度远高于冗余功能单元。

S53.进行冗余切换分析，用于分析冗余设计逻辑模型中发生单个故障时，是否会影响冗余切换功能；在本实施方式中，冗余切换分析(RSA)技术是FMEA在冗余分析中的特定应用，用于分析冗余设计中发生单个故障时，是否会影响冗余切换功能，进行RSA时，既应确保故障不传播，又应确保发生故障时能切换成功。RSA分析结果应落实到调试细则和测试细则中，以便通过故障注入验证分析结果。

S54.进行共因故障分析，其中，利用FMEA进行共因故障分析，分析冗余设计逻辑模型中发生单个故障时，是否会导致航天器出现共生故障；在本实施方式中，分析冗余系统内部发生单个故障时，是否会导致冗余系统及其外部对象出现(或在很短的时间内相继出现)两个或更多的故障。冗余设计应确保冗余功能单元之间、冗余功能单元与外部对象之间没有共因故障，提高冗余设计可靠性。

S55.进行潜在电路分析，用于验证冗余设计逻辑模型中的冗余管理电路的安全性。在本实施方式中，潜在电路分析的目的在于发现不同的状态和时序组合下的不期望的功能。冗余管理电路是安全性关键系统，是潜在电路分析的重点，确保冗余管理电路中，不期望的功能在任何情况下都不被激活。

根据本发明的一种实施方式，步骤S5中，对初始方案进行测试验证步骤中，包括：

S56.对冗余设计逻辑模型进行功能测试，确认原理设计的正确性，以及检测冗余功能单元的工作状态，可通过指令分别对主份和备份进行测试。在本实施方式中，功能测试即为常规测试，在确认原理设计的正确性的基础上，分析设备的工作模式，将系统正常工作时的所有类型激励输入，并设置相应设备的工作状态，根据响应来判断设备是否正确工作。

S57.对冗余设计逻辑模型进行故障模拟测试。在本实施方式中，根据故障模式影响分析，对应其中的故障模式进行故障模拟并注入，检查切换单元，隔离保护单元和故障检测单元的工作状态。同时重点关注设备是否存在共因环节，如电源模块，信号接口模块。系统级的冗余设计往往在子系统级、功能级实现，主要是功能冗余、信息冗余。功能切换主要体现在控制系统接受激励转换工作模式上，功能间的切换触发激励比设备级复杂很多，应全面分析测试激励。通过系统级测试可进一步验证设备的冗余设计。

本发明所采用的技术方案是，根据可靠性、维修性设计要求，通过FMEA、FTA、可靠性建模与预计、寿命分析、维修性分析综合确定冗余设计对象，然后针对对象特点以及维修性设计层次，确定冗余设计层次和冗余设计方式，进一步实现具体冗余设计，最后进行冗余设计有效性分析及验证，最终确定冗余设计。

本发明的特点是综合考虑了可靠性设计要求和维修性设计方案，使冗余设计更全面，并且冗余程度更合理，在实现“一度故障工作，二度故障安全”要求的同时，优化节约了系统的重量、功耗、空间等资源。

为进一步说明本发明，对本发明的冗余类型作进一步解释说明。

1.功能冗余

为避免共因失效，实现重构和工作模式冗余，采用不同的原理或不同的实现方式，由一个或多个不同的设备实现相同功能。功能冗余不同于直接冗余，功能冗余是系统的固有属性，使系统中不同部件在功能上有重叠，其中某些部件的部分或全部功能可由系统中别的部件的功能来代替，它也可通过人为地增加部件而形成。功能冗余主要在子系统或系统级实现。

2.直接冗余

直接冗余相对于功能冗余提出，一般是人为地增加备用备件，采用多套元器件的电路级冗余方式，或者在部件级、系统级上增加套数的方式。直接冗余的级别越低，故障屏蔽的效果越好，同时对故障检测和电路设计的要求越高，难度越大。直接冗余最常见的模式有静态冗余、动态冗余和混合冗余三种。

3.静态冗余

静态冗余是指通过表决和比较来屏蔽系统中出现的错误。功能相同但由不同设计师，采用不同方法设计的模块，对其运行结果进行表决，以多数相同结果为最终结果。如果有一个模块出错，这个错误能被其他模块的正确结果“屏蔽”，无需对错误进行专门的检测，也不必进行模块的切换。并联冗余也是一种静态冗余。静态冗余的常用形式为三模冗余。三个相同的模块接收三个相同的输入，产生的三个结果送至表决器，表决器根据三个结果的多数输出最终结果。

三模冗余的推广是N模冗余，其原理与三模冗余相同，采用N个相同的模块，N不小于3，且为奇数。

4.动态冗余

动态冗余的主要方式是多重模块储备，相继运行，以维持系统的正常工作。当检测到工作模块出现故障时，就由一个备用的模块来替代运行，恢复系统。由于采用了故障检测、定位和重构设计，冗余结构会随故障情况发生变化。动态冗余一般适用于允许发生暂时的失效后果，只要系统能在规定时间内完成切换重构并恢复正常的对象。

根据冗余资源部分工作情况，动态冗余主要有“热备份”和“冷备份”两类：

热备份：热备份的冗余部分与工作部分同时参与工作，如接受输入数据、进行数据处理等，但冗余部分不进行实际输出操作。一旦主份故障则自动切断故障部分，备份接替工作。其优点是中断时间短。

冷备份：冷备份的冗余部分处于静止待命状态，备份平时不加电，直至需要它接替主份工作时才上电并初始化。其优点是平时不消耗功率。

5.混合冗余

混合冗余系统就是将静态冗余和动态冗余结合在一起，一般而言，混合冗余系统由静态冗余的三模冗余核心的三个模块、N个备份模块、表决机构及切换机构组成，利用切换机构保证静态冗余的三模冗余核心的完整性，当三模冗余中有一个模块发生故障时，立即将其切换，代之以无故障的备份模块。

不一致检测器检测3个模块的每一个输出与表决机构的输出是否一致，如果有一个模块的输出与表决机构的输出不一致，切换部分动作，用一个备份模块予以替换，只要有两个模块输出正确，表决机构的输出就是正确的。如果备份模块换上后还有不一致出现，替换另一个模块，直至全部备份模块用完。随着备份模块的数量增加，系统的可靠性也随之提供。混合冗余是延长系统核心模块无故障运行时间的有效方法。

上述内容仅为本发明的具体方案的例子，对于其中未详尽描述的设备和结构，应当理解为采取本领域已有的通用设备及通用方法来予以实施。

以上仅为本发明的一个方案而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种可在轨维修载人航天器冗余设计方法，包括：

S1.基于载人航天器的任务功能和系统环境因素，获取进行冗余设计的输入条件；

S2.基于所述输入条件确定进行冗余设计的对象；

S3.根据所述对象的功能特点，确定进行冗余设计的冗余类型、冗余层次和冗余程度；

S4.根据所述对象、所述冗余类型、所述冗余层次和所述冗余程度，确定冗余设计的初始方案；

S5.对所述初始方案进行有效性分析验证和测试验证，若满足设计要求，则确定所述初始方案为最终的冗余设计方案。

2.根据权利要求1所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S1中，基于载人航天器的任务功能和系统环境因素，进行任务功能分析和系统环境因素分析，明确功能、性能指标，以及可靠性、维修性和测试性要求，并对可利用的资源及保障条件进行分析，作为冗余设计的输入条件。

3.根据权利要求2所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S2中，基于所述输入条件确定进行冗余设计的对象的步骤中，采用可靠性建模、FMEA、FTA及可靠性预计的分析手段识别进行冗余设计的对象。

4.根据权利要求3所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S2中，基于所述输入条件确定进行冗余设计的对象的步骤中，包括：

S21.通过功能FMEA、硬件FMEA分别识别在严酷度为I、I I类情况下单点失效的功能和设备；

S22.通过FTA识别出单点失效，以及二阶最小割集中重要度高的功能和设备；

S23.通过可靠性建模和预计，获取低于可靠性指标要求的功能和设备；

S24.获取在轨维修时，对整器系统正常运行有影响，且具有最大维修时间约束的设备或在轨可更换单元。

5.根据权利要求4所述的可在轨维修载人航天器冗余设计方法，其特征在于，所述冗余类型包括：功能冗余、信息冗余、直接冗余、静态冗余、动态冗余、混合冗余；

步骤S3中，确定进行冗余设计的冗余类型的步骤中，根据所述对象的特点，确定冗余类型；其中：

若所述对象属于系统级，则冗余设计采用功能冗余、信息冗余；

若所述对象属于分系统内部，则冗余设计采用直接冗余；

若所述对象对控制实时性具有要求，则冗余设计采用静态冗余，其冗余结构形式采用工作冗余；

若所述对象对控制实时性具有要求，且用于提供核心功能，则冗余设计采用混合冗余；

若所述对象属于控制参数可变的控制设备，则冗余设计采用动态冗余，冗余结构形式采用非工作冗余。

6.根据权利要求5所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S3中，确定进行冗余设计的冗余层次的步骤中，基于所述冗余类型进行，以及结合所述对象的维修层次确定，且所述冗余层次与所述对象的维修层次保持一致；

若所述对象为子系统级和系统级，则确定其冗余层次为对应功能冗余设计的第一层次，一般为子系统和系统级，如交会对接功能采用自动对接和手动对接功能互为冗余；

若所述对象为设备和设备内部模块，则确定其冗余层次为对应直接冗余设计的第二层次；

所述第二层次的优先级低于所述第一层次。

7.根据权利要求6所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S3中，确定进行冗余设计的冗余程度的步骤中，根据可靠性要求、维修性设计要求和系统资源综合确定，包括：

S31.通过FMEA、FTA结果验证可以消除的单点失效均已消除，通过FTA的高阶割集分析，识别冗余过度的设计，作为优化设计的输入；

S32.基于定性分析的基础上，对冗余设计进行可靠性预计，若预计结果不满足分配指标要求，则增加冗余，若预计结果远高于分配结果，则冗余过度，则进一步识别过度冗余，进行优化设计；

S33.结合维修性设计分析，若所述对象属于在轨维修需求，且可在轨维修后迅速修复，则降低所述冗余程度。

8.根据权利要求7所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S4中，根据所述对象、所述冗余类型、所述冗余层次和所述冗余程度，确定冗余设计的初始方案，并生成包含有故障检测管理单元、交叉连接切换单元和隔离保护单元的冗余设计逻辑模型。

9.根据权利要求8所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S5中，对所述初始方案进行有效性分析验证的步骤中，包括：

S51.进行可靠度计算，其中，根据所述初始方案和所述冗余类型建立可靠性函数和数学模型，并计算得出可靠度结果，判断所述可靠度结果是否满足要求；

S52.进行冗余三要素分析，其中，采用硬件法FMEA，系统地分析所述冗余设计逻辑模型中的故障检测管理单元、交叉连接切换单元和隔离保护单元，验证是否存在潜在的故障模式；以及，

通过FTA分析所述冗余设计逻辑模型中的故障检测管理单元、交叉连接切换单元和隔离保护单元，验证是否存在单点失效；

S53.进行冗余切换分析，用于分析所述冗余设计逻辑模型中发生单个故障时，是否会影响冗余切换功能；

S54.进行共因故障分析，其中，利用FMEA进行共因故障分析，分析所述冗余设计逻辑模型中发生单个故障时，是否会导致航天器出现共生故障；

S55.进行潜在电路分析，用于验证所述冗余设计逻辑模型中的冗余管理电路的安全性。

10.根据权利要求9所述的可在轨维修载人航天器冗余设计方法，其特征在于，步骤S5中，对所述初始方案进行测试验证步骤中，包括：

S56.对所述冗余设计逻辑模型进行功能测试，确认原理设计的正确性，以及检测冗余功能单元的工作状态；

S57.对所述冗余设计逻辑模型进行故障模拟测试。

Images