CN117215177A - 一种天地往返一体化控制系统及控制方法 - Google Patents

Abstract

本发明涉及人工智能技术领域，特别涉及一种天地往返一体化控制系统及控制方法。系统包括一台第一计算机、三台第二计算机、三套总线、多种测量终端和多种执行终端，每种测量终端均包括至少两个用于完成相同功能的子测量终端，每种执行终端均包括至少两个用于完成相同功能的子执行终端；第一计算机与每套总线均通讯连接，每台第二计算机分别与一套总线通讯连接，每种测量终端的子测量终端和每种执行终端的子执行终端分别与三套总线中的一套通讯连接；每台计算机分别用于获取相应子测量终端的数据，并基于接收到的数据生成执行指令，子执行终端分别用于接收并执行相应的执行指令。本发明，可以同时满足天地往返航天器对可靠性和空间资源的要求。

Description

一种天地往返一体化控制系统及控制方法

技术领域

本发明涉及航天器控制技术领域，特别涉及一种天地往返一体化控制系统及控制方法。

背景技术

随着空间应用、科学探测、载人航天等技术的发展，人们对便捷、廉价的天地往返需求不断增多，并对该类型航天器的控制系统有较高要求，以保证航天器在有限的空间尺寸和重量下，具有较高的可靠性和较长的使用寿命。

天地往返需求对航天器控制系统的寿命和可靠性提出较高要求，同时对重量、功耗、尺寸也提出较严格约束。目前，传统卫星控制系统虽然能够满足典型空间应用的可靠性需求，但与天地往返一体化可靠性需求相比还存在一定差距。而针对载人飞船、空间站等航天器，控制系统设计复杂，虽然可靠性高，但占用空间资源较大。两种控制系统均不适用于天地往返航天器。

因此，目前亟待需要一种天地往返一体化控制系统及控制方法来解决上述技术问题。

发明内容

本发明实施例提供了一种天地往返一体化控制系统及控制方法，可以同时满足天地往返航天器对可靠性和空间资源的要求。

第一方面，本发明实施例提供了一种天地往返一体化控制系统，包括：

一台第一计算机、三台第二计算机、三套总线、多种测量终端和多种执行终端，每种测量终端均包括至少两个用于完成相同功能的子测量终端，每种执行终端均包括至少两个用于完成相同功能的子执行终端；所述第一计算机与每套总线均通讯连接，每台第二计算机分别与一套总线通讯连接，每种测量终端的子测量终端和每种执行终端的子执行终端分别与三套总线中的一套通讯连接；

每台计算机分别用于获取相应子测量终端的数据，并基于接收到的数据生成执行指令，所述子执行终端分别用于接收并执行相应的执行指令。

第二方面，本发明实施例还提供了一种天地往一体化控制方法，应用于上述实施例提供的天地往返一体化控制系统；所述方法包括：

每个控制周期均执行：

基于目标任务，利用各台计算机分别获取相应子测量终端的数据；

各台计算机之间分别进行数据交换，并对交换后的数据依次进行第一轮拜占庭故障分析和系统级故障分析，以基于分析结果剔除故障设备和故障数据，所述故障设备包括故障计算机和故障终端；

剩余的非故障计算机分别对剔除故障数据后的剩余数据进行处理，得到各自的控制指令；

剩余的非故障计算机之间对各自得到的控制指令进行第二轮拜占庭故障分析，以剔除故障指令和故障计算机；

将剔除故障指令后的剩余控制指令发送至相应的子执行终端，以利用所述子执行终端完成所述目标任务；

响应于满足修复条件，对各台故障计算机进行修复，修复完成后的计算机进入下一个控制周期。

本发明实施例提供了一种天地往返一体化控制系统及控制方法。首先，该系统配置四台热备份计算机、三套总线和多个测量终端和多个执行终端，能够满足天地往返任务的可靠性要求。其次，通过将一台第一计算机与每套总线通讯连接，每台第二计算机分别与一套总线通讯连接，每种测量终端的子测量终端和每种执行终端的子执行终端分别与三套总线中的一套通讯连接，可以满足空间尺寸和载荷的要求。如此，当四台计算机均正常运行时，三条总线分别由三台第二计算机管理，第一计算机做热备份单机，当三台第二计算机中的任意一机故障时，其相应的总线由第一计算机接管，可以实现在星载计算机发生任意一种一度故障时，控制系统仍具备三总线控制及拜占庭容错能力，系统功能性能不降低。当四机中任意两机发生故障时，由剩余两机管理三条总线中的两条，系统功能不降级。由此可见，本发明可以同时满足天地往返航天器对可靠性和空间资源的要求。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例提供的天地往返一体化控制系统的框架示意图；

图2是本发明一实施例提供的一种天地往一体化控制方法的结构图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参考图1，本发明实施例提供了一种天地往返一体化控制系统，包括：

一台第一计算机、三台第二计算机、三套总线、多种测量终端和多种执行终端，每种测量终端均包括至少两个用于完成相同功能的子测量终端，每种执行终端均包括至少两个用于完成相同功能的子执行终端；所述第一计算机与每套总线均通讯连接，每台第二计算机分别与一套总线通讯连接，每种测量终端的子测量终端和每种执行终端的子执行终端分别与三套总线中的一套通讯连接；

每台计算机分别用于获取相应子测量终端的数据，并基于接收到的数据生成执行指令，所述子执行终端分别用于接收并执行相应的执行指令。

在该实施例中，首先，该系统配置四台热备份计算机、三套总线和多个测量终端和多个执行终端，能够满足天地往返任务的可靠性要求。其次，通过将一台第一计算机与每套总线通讯连接，每台第二计算机分别与一套总线通讯连接，每种测量终端的子测量终端和每种执行终端的子执行终端分别与三套总线中的一套通讯连接，可以满足空间尺寸和载荷的要求。如此，当四台计算机均正常运行时，三条总线分别由三台第二计算机管理，第一计算机做热备份单机，当三台第二计算机中的任意一机故障时，其相应的总线由第一计算机接管，可以实现在星载计算机发生任意一种一度故障时，控制系统仍具备三总线控制及拜占庭容错能力，系统功能性能不降低。当四机中任意两机发生故障时，由剩余两机管理三条总线中的两条，系统功能不降级，可以同时满足天地往返航天器对可靠性和空间资源的要求。

需要说明的是，一度故障指的是控制系统中只有一个设备故障，如计算机、子测量终端、子执行终端和总线中任意一个设备故障。二度故障指的是控制系统中有二个设备故障，如计算机、子测量终端、子执行终端和总线中任意两个设备故障。系统功能性能不降低是指可以按照预设要求完成任务，如圆满完成任务。系统功能性能不降低和不降级分别指可以按照预设标准完成任务，如预设标准包括圆满完成、较好完成和基本完成，则不降低可以表示圆满完成，不降级可以表示较好完成。

在一些实施方式中，针对每种测量终端，若其为完成目标任务的最低需求所必备的部件，则其包括三个用于完成相同功能的子测量终端；反之，该测量终端包括两个用于完成相同功能的子测量终端；

针对每种执行终端，若其为完成目标任务的最低需求所必备的部件，则其包括三个用于完成相同功能的子执行终端；反之，该执行终端包括两个用于完成相同功能的子执行终端。

在该实施例中，目标任务可以根据用户需要确定，可以是总任务，也可以是子任务。例如，针对全程飞行任务，目标任务可以为发射段、在轨长期飞行、空间操作、返回再入等各子阶段的任务。当然，在各子阶段任务中，可以再进一步划分为更小的任务。另外，各子测量终端和各子执行终端在与总线连接时，需要兼顾系统可靠性和总线负荷均衡要求，且相同类型的部件挂接不同总线，并保持三条总线负荷一致。

对于完成目标任务必备的执行终端和测量终端，采用三重冗余，即其对应的三个子执行终端和子测量终端分别挂接在三条总线上，如此，当一个终端中的任意一个或两个子终端故障、或者一个子终端故障或另一个子终端对应的总线故障，还至少有另一个子终端可以完成相应的功能，保证目标任务的顺利完成，即上述部件发生任意两重故障，仍能够完成目标任务。对于非完成目标任务必备的执行终端和测量终端，采用二重冗余，即其对应的二个子执行终端和子测量终端分别挂接在二条总线上。如此，可以降低系统的复杂度，同时保证上述部件发生任意一重故障，系统性能不降低。

下面举例说明各台计算机的冗余设计工况，为了方便理解，将第二计算机分别编号为A机、B机和C机，将第一计算机编号为D机，将A机、B机和C机对应的总线分别编号为总线1、总线2和总线3。航天器各计算机的冗余设计工况如表1所示。

表1 航天器各计算机的冗余设计工况

在一些实施方式中，所述第一计算机、每台所述第二计算机、每个子测量终端和每个所述子执行终端均具备地面参数配置功能，所述参数配置功能包括参数的取值配置、执行时间节点配置、执行次数配置和执行总线配置。

在该实施例中，除了默认的参数配置外，控制系统设计了一种灵活配置的地面注入格式，在以往航天器只能对参数取值设置的基础上，增加了时间节点、次数和执行总线等维度的设置。通过配置不同的维度信息，使原有一个配置参数可按照不同的取值进行多次配置，突破了测控条件、任务执行时间等因素的限制，达到了可根据飞行任务需求灵活的配置器上参数的目的。如现在技术中，由于在非测控区不能进行执行上注设置，当航天器飞离测控区后，则无法对其控制，而该实施例通过地面设置，可以提前规划时间节点，并选择在不同的时间节点采用不同的执行总线进行通讯。

在一些实施方式中，航天器地面参数配置的格式可以如表2所示。

表2 航天器地面参数配置

如图2所示，本发明实施例还提供了一种天地往一体化控制方法，应用于上述任一实施例提供的天地往返一体化控制系统；所述方法包括：

每个控制周期均执行：

步骤200，基于目标任务，利用各台计算机分别获取相应子测量终端的数据；

步骤202，各台计算机之间分别进行数据交换，并对交换后的数据依次进行第一轮拜占庭故障分析和系统级故障分析，以基于分析结果剔除故障设备和故障数据，所述故障设备包括故障计算机和故障终端；

步骤204，剩余的非故障计算机分别对剔除故障数据后的剩余数据进行处理，得到各自的控制指令；

步骤206，剩余的非故障计算机之间对各自得到的控制指令进行第二轮拜占庭故障分析，以剔除故障指令和故障计算机；

步骤208，将剔除故障指令后的剩余控制指令发送至相应的子执行终端，以利用所述子执行终端完成所述目标任务；

步骤210，响应于满足修复条件，对各台故障计算机进行修复，修复完成后的计算机进入下一个控制周期。

在该实施例中，每个控制周期通过两轮针对星载计算机的拜占庭故障容错处置，以及一轮系统级容错处置，可以确保系统运行的高可靠性。其中，第一轮拜占庭故障分析在各台计算机进行数据交换后进行，能够确保各台计算机的输入数据完全一致，从而保证各台计算机运行完全相同。系统级故障分析在第一轮拜占庭故障分析之后，可以排除由于系统错误引起的故障数据和故障设备。经过第一轮拜占庭故障分析和系统级故障分析后，剩余数据为准确数据，然后可以利用剩余计算机进行数据处理生成控制指令，在指令输出前进行第二轮拜占庭故障分析，能够去除故障指令和故障计算机，确保输出数据的一致性，确保控制系统指令输出的正确性。

下面描述图2所示的各个步骤的执行方式。

首先，针对步骤200，利用各台计算机分别获取相应子测量终端的数据，包括：

若每台所述第二计算机均处于正常状态，则利用三台所述第二计算机分别获取各自总线上相应子测量终端的数据，所述第一计算机不获取数据；

若一台所述第二计算机故障，则利用剩余的两台第二计算机分别获取各自总线上相应子测量终端的数据，并利用所述第一计算机替换该故障的第二计算机获取对应的总线上的子测量终端的数据；

若两台所述第二计算机故障，则利用剩余的一台第二计算机获取其总线上相应子测量终端的数据，并利用所述第一计算机替换任意一台故障的第二计算机对应的总线上的相应子测量终端的数据；

若所述第一计算机和一台所述第二计算机故障，则利用剩余的两台第二计算机分别获取各自总线上相应子测量终端的数据。

通过该步骤，可以保证在任意控制周期，均至少有两台计算机可以获取两条总线上相应子测量终端的数据，从而使系统功能不降低、不降级。

针对步骤202，具体实现过程为：

针对每台计算机，均按照拜占庭容错方法进行故障监测，并判断其是否存在故障，若是，则执行：将该计算机对应的数据作为故障数据并剔除；基于该计算机对应的数据确定故障设备并剔除；若否，则判定该计算机对应的数据为正常数据。

针对步骤202，对交换后的数据进行系统级故障分析，并基于分析结果剔除故障设备和故障数据，包括：

对交换后的数据依次进行通信级故障分析、数据特征级故障分析以及数据性能级故障分析；其中，通信级故障分析用于检查交换后的数据是否符合通信协议要求，并将不满足协议的数据进行剔除；数据特征级故障分析用于对数据中的自检结果、心跳结果进行检查，以剔除故障终端；数据性能级故障分析用于通过多设备互比、设备与动力学比较以及设备前后数据比较，以检测各计算机及各终端的故障。

该步骤在进行通信级故障分析、数据特征级故障分析以及数据性能级故障分析时，也可以分别设置相应的容错阈值，当待分析的各指标之间的差异大于容错阈值时，则剔除相应的故障数据、故障计算机和故障终端。需要说明的是，容错阈值可以根据航天器的运行工况确定，不同的运行工况采用不同的阈值。如此，在保持基本的容错流程不变的情况下，通过配置容错阈值可以满足复杂多任务的需求。

再然后，针对步骤204，剩余的非故障计算机分别对剔除故障数据后的剩余数据进行处理，得到各自的控制指令。

由于经过步骤202后，各非故障计算机的输入数据完全一致，因此，可以分别对各自的数据进行处理，得到控制指令。

针对步骤206，通过对各计算机生成的控制指令进行第二轮拜占庭故障监测，可以剔除不一致的指令和故障计算机。经过该步骤，可以剔除错误的控制指令，保证输出指令的一致性。

需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个…”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (6)

1.一种天地往返一体化控制系统，其特征在于，包括：

一台第一计算机、三台第二计算机、三套总线、多种测量终端和多种执行终端，每种测量终端均包括至少两个用于完成相同功能的子测量终端，每种执行终端均包括至少两个用于完成相同功能的子执行终端；所述第一计算机与每套总线均通讯连接，每台第二计算机分别与一套总线通讯连接，每种测量终端的子测量终端和每种执行终端的子执行终端分别与三套总线中的一套通讯连接；

每台计算机分别用于获取相应子测量终端的数据，并基于接收到的数据生成执行指令，所述子执行终端分别用于接收并执行相应的执行指令。

2.根据权利要求1所述的系统，其特征在于，

针对每种测量终端，若其为完成目标任务的最低需求所必备的部件，则其包括三个用于完成相同功能的子测量终端；反之，该测量终端包括两个用于完成相同功能的子测量终端；

针对每种执行终端，若其为完成目标任务的最低需求所必备的部件，则其包括三个用于完成相同功能的子执行终端；反之，该执行终端包括两个用于完成相同功能的子执行终端。

3.根据权利要求1所述的系统，其特征在于，所述第一计算机、每台所述第二计算机、每个子测量终端和每个所述子执行终端均具备地面参数配置功能，所述参数配置功能包括参数的取值配置、时间节点配置、次数配置和执行总线配置。

4.一种天地往一体化控制方法，其特征在于，应用于权利要求1-3任一项所述的天地往返一体化控制系统；所述方法包括：

每个控制周期均执行：

基于目标任务，利用各台计算机分别获取相应子测量终端的数据；

各台计算机之间分别进行数据交换，并对交换后的数据依次进行第一轮拜占庭故障分析和系统级故障分析，以基于分析结果剔除故障设备和故障数据，故障设备包括故障计算机和故障终端；

剩余的非故障计算机分别对剔除故障数据后的剩余数据进行处理，得到各自的控制指令；

剩余的非故障计算机对各自得到的控制指令进行第二轮拜占庭故障分析，以剔除故障指令和故障计算机；

将剔除故障指令后的剩余控制指令发送至相应的子执行终端，以利用子执行终端完成目标任务；

响应于满足修复条件，对各台故障计算机进行修复，修复完成后的计算机进入下一个控制周期。

5.根据权利要求4所述方法，其特征在于，利用各台计算机分别获取相应子测量终端的数据，包括：

若每台所述第二计算机均处于正常状态，则利用三台所述第二计算机分别获取各自总线上相应子测量终端的数据，所述第一计算机不获取数据；

若一台所述第二计算机故障，则利用剩余的两台第二计算机分别获取各自总线上相应子测量终端的数据，并利用所述第一计算机替代该故障的第二计算机获取对应的总线上的子测量终端的数据；

若两台所述第二计算机故障，则利用剩余的一台第二计算机获取其总线上相应子测量终端的数据，并利用所述第一计算机替代任意一台故障的第二计算机对应的总线上的相应子测量终端的数据；

若所述第一计算机和一台所述第二计算机故障，则利用剩余的两台第二计算机分别获取各自总线上相应子测量终端的数据。

6.根据权利要求4所述的方法，其特征在于，对交换后的数据进行系统级故障分析，并基于分析结果剔除故障设备和故障数据，包括：

对交换后的数据依次进行通信级故障分析、数据特征级故障分析以及数据性能级故障分析；其中，通信级故障分析用于检查交换后的数据是否符合通信协议要求，并将不满足协议的数据进行剔除；数据特征级故障分析用于对数据中的自检结果、心跳结果进行检查，以剔除故障终端；数据性能级故障分析用于通过多设备互比、设备与动力学比较以及设备前后数据比较，以检测各计算机及各终端的故障。