摘要
为保障天拓五号卫星顺利开展在轨科学试验任务，使用失效模式与影响分析方法，从发生率、严重性等多个角度，对卫星推进系统各部组件可能存在的风险进行系统性、综合性评估。根据卫星推进系统的工作特点，分别针对其在轨工作状态及待机状态，提出一套系统的故障检测与定位方法。所提方法在在轨实践中验证了有效性，成功保障了天拓五号的在轨健康运行，并为后续卫星推进系统的故障诊断工作积累了宝贵经验。
Abstract
In order to ensure the successful on-orbit scientific test mission of TianTou-5 satellite, the possible risks of each component of the satellite propulsion system were systematically and comprehensively evaluated from the perspectives of incidence and severity by using failure mode and impact analysis methods. According to the working characteristics of the satellite propulsion system, a set of fault detection and location methods were proposed according to its on-orbit working state and standby state respectively. The effectiveness of the method is verified in the on-orbit practice, and the healthy operation of TianTuo-5 is successfully guaranteed, and valuable experience is accumulated for the fault diagnosis of the satellite propulsion system in the future.
天拓五号是国防科技大学自主设计与研制的科学试验卫星，于2020年8月23日在我国酒泉卫星发射中心发射升空，开展科学试验任务。该星属于微纳型试验卫星，整星质量78.5 kg。其主要任务是开展包括新一代星载船舶自动识别系统（automatic identification system，AIS）信号接收、星载航空目标广播式自动相关监视（automatic dependent surveillance-broadcast，ADS-B）系统信号接收以及甚高频数据交换系统（VHF data exchange system，VDES）、数据搜集系统（data collection system，DCS）测试在内的一系列新技术验证。
在天拓五号卫星各个分系统中，推进系统可为姿态控制和轨道控制提供动力，其稳定运行与否关乎卫星科学试验任务能否顺利开展。卫星的推进分系统通常被视为一个由复杂管网构成的气-液-固耦合热动力系统[1]。当前技术条件下，卫星推进系统通常面临一系列安全性和可靠性问题：一方面，其内部的一系列细小气液管路与多孔材料筛网极易发生堵塞；另一方面，推进剂又会与贮箱、管路等材料发生相容性问题，容易引起泄漏；此外，卫星发射过程中，巨大的冲击和振动亦导致管路等结构损坏。因此，长期以来，推进系统都是造成航天器故障的重要来源[2-3]。对于卫星而言，推进分系统担负着姿态控制、轨道维持、轨道机动乃至再入回收等一系列任务，一旦产生故障，轻则缩短卫星寿命，重则直接导致任务失败[4]。故而，推进系统的故障诊断与分析也是航天器质量控制的重要环节。
1999年，毕龙生对1963年至1994年间的16起推进系统泄漏故障开展分类统计与分析，指出75%的推进系统泄漏故障将会导致不可逆的灾难性后果[5]。进入21世纪，推进系统故障仍然是造成航天任务损失的重要原因。2002年3月8日，TDRS-I 卫星由于推进系统故障，无法按时到达预定轨道[6]。2010年8月14日，美国空军的首颗“先进极高频”（AEHF-1）卫星在发射入轨后，因远地点发动机发生故障，未能按计划进入预定的地球同步轨道（geostationary orbit，GEO）。最后，工程团队利用备用姿控发动机以及电推力器，历时一年才实现卫星的成功入轨[7]。2011年，俄罗斯的“福布斯·土壤”火星探测器在发射入轨后，同样由于星载发动机启动失败，任务失败，最终坠入大气层[8]。谭春林等[9]对历史上共计527起航天器在轨故障进行统计与分析，并指出航天器平台的控制、供配电、推进 3 个分系统发生的故障所占比例最高，达到了所有故障的55%，其中，推进系统故障占比13%。
针对推进系统故障所造成的严重影响，研究者们提出了一系列面向航天器推进系统的故障检测方法[10-12]。聂侥等[13]发展了一种应用在某挤压式航天器推进系统上的气液路故障演化仿真模型。刘道峰[14]则针对东方红系列卫星的推进系统构建了AMESim仿真模型，提出了一种过程神经元网络集成故障检测方法。Zhang等[15]则将无监督故障检测方法中的偏差思想与监督故障检测方法中的分类思想相结合，构建了一种面向卫星早期故障的高效检测数学模型。针对射频离子推进器，Nauschütt等[16]提出了一种结合主成分分析技术的非入侵式光学检测方法。在工业应用层面，Trottenberg等[17-18]面向海因里希·赫兹号卫星的等离子体推进系统，设计了一套可在轨工作的等离子体特性诊断系统，用于监测推进系统的实时工作情况。美国国家航空航天局（national aeronautics and space administration，NASA）开发了 Livingstone 软件系统，通过一组多层次的定性逻辑模型与传感器实测数据比对，实现了航天器推进系统故障的实时监测[19]。
天拓五号卫星采用单组元落压式无水肼（N2H4）催化分解推进方案。单组元无水肼推进方案利用无水肼自身催化分解产生的高温高压气体形成推力，结构简单、可靠性高、适应性强。因此，该类型推进系统成为国内应用于卫星姿态及轨道控制的主流系统，先后成功应用于实践七号卫星、风云三号气象卫星、北斗导航系统试验卫星I1-S[20]、高分5号卫星[21]等型号上。针对该类型推进系统的落压工作特性，袁磊等[22]建立了对应数值仿真模型，并在风云三号卫星推进系统的热试车试验中进行了模型验证。针对肼推进系统在轨工作的不确定性问题，高永等[23]提出了一种推力控制系数在轨标定方法，有效降低了在轨推力计算的估计误差。李强等[24]则针对低轨卫星肼推进系统长期在轨运行的泄漏问题，提出了一种基于卫星姿态干扰力矩测量的泄漏检测与估计方法。综上，本文根据天拓五号卫星推进系统的工作特点，分别针对其在轨工作状态及待机状态，提出一套系统的故障检测与定位方法，并进一步于在轨实践中验证了方法的有效性。
1 推进系统简介
天拓五号卫星单组元无水肼推进系统的主要任务是提供卫星轨道维持与机动、姿态控制与动量轮卸载等任务所需的冲量。该推进系统的原理图如图1所示：推进系统采用囊式贮箱贮存推进剂和增压气体，初始压力为2.2 MPa的氦气（20℃，绝压）；贮箱气端连接1个加注阀，用于加注增压气体；贮箱液端连接1个加注阀用于加注推进剂。贮箱液端出口设置1个压力传感器，用于测量系统压力。贮箱下游则设置1个自锁阀和4台额定推力为1 N的推力器。
图1卫星推进系统原理图
Fig.1Schematic diagram of satellite propulsion system
推进系统在发射前通过各项测试后，加注推进剂和增压气体，然后关闭两个加注阀；推进系统工作前，由程控和遥控完成对自锁阀和电磁阀的加电，并打开自锁阀，推进剂充填至电磁阀前，推进系统处于待命工作状态。
推进系统以落压方式工作，电磁阀根据姿轨控分系统的控制指令开启，贮箱内的推进剂在增压气体的挤压下流经液路管系统输送至推力室，在推力室催化床发生催化分解反应产生高温燃气，经拉伐尔喷管高速喷出，随贮箱压力下降，推力器输出推力相应下降，姿轨控分系统通过闭环控制获取所需的冲量，以完成姿轨控工作任务；电磁阀断电，推力器即停止工作。
2 推进系统失效模式与影响分析
本节采用失效模式与影响分析（failure mode and effects analysis，FMEA）方法，对天拓五号推进系统各部组件可能出现的故障模式及其影响开展分类梳理与研究，找寻系统的可靠性薄弱环节。FMEA方法是一种主动可靠性分析与管理方法，用于检测和降低产品及其制造过程中可能存在的风险。研究者通过这种方法，针对产品的每一个部组件，从发生率（occurrence）、严重性（severity）及可探测性（detection）三个角度对可能产生的失效模式进行排序与分类[25-26]。对于本文的研究对象——天拓五号卫星推进分系统，其主要部组件包括贮箱、加压气体加注阀、推进剂加注阀、自锁阀、推力器、系统导管及推力器热控组件。采用FMEA方法进行分析，各部组件的详细故障模式及影响如下。
2.1 贮箱
天拓五号推进系统采用囊式气液贮箱，其主要功能为贮存推进剂、利用加压气体供应推进剂。贮箱主要存在两种故障模式：囊破裂或夹气加注导致的夹气排放；壳体破裂导致的漏气与漏液。
贮箱的夹气排放会破坏推进剂的稳定供给，并进一步影响推力器的稳定工作，甚至造成推进分系统失效。卫星在轨状态下，可通过监测推力器冲量水平识别该类故障，当推力器冲量出现明显衰减时，可认为推进系统出现该类故障。
贮箱的漏气与漏液往往来源于贮箱材料或焊缝的缺陷。这类故障会导致加压气体与推进剂的损失，进一步干扰卫星姿态或污染卫星，缩短系统的整体寿命。卫星在轨状态下，当贮箱内压力异常下降时，即存在出现该类故障的可能。
2.2 加压气体加注阀
加压气体加注阀的主要作用是充、放加压气体。该阀门的结构损坏或密封失效将会导致气体泄漏故障出现，损失推进剂、干扰卫星姿态，进一步降低卫星系统的整体寿命。卫星在轨状态下，当贮箱内压力异常下降时，即存在出现该类故障的可能。
2.3 推进剂加注阀
推进剂加注阀的主要作用是加注、泄出推进剂。该阀门的结构损坏或密封失效将会导致推进剂泄漏故障出现，除损失推进剂、干扰卫星姿态之外，还会进一步污染卫星，降低卫星系统的整体寿命。卫星在轨状态下，当贮箱内压力异常下降时，即存在出现该类故障的可能。
2.4 自锁阀
自锁阀的作用是控制推进剂供给通断，其主要故障模式包括：自锁阀无法打开；自锁阀无法关闭；自锁阀内漏；自锁阀外漏；无指令情况下阀门工作状态自行改变。
自锁阀无法打开的原因如下：驱动电路异常、阀芯卡住、阀门线圈断路或短路、插座接触不良。这一故障将导致推力器无推进剂供给，推进系统失效。卫星在轨状态下，当推力器无冲量输出时，即存在出现该类故障的可能。
自锁阀无法关闭的原因同上，这一故障会导致推进剂泄漏。这不仅会干扰卫星的姿态与轨道，还会降低卫星系统的整体寿命。
自锁阀内漏的原因，即阀芯卡滞或密封面出现多余物，将会导致阀门无法闭锁，不会造成进一步损失。
自锁阀外漏的原因，即密封和焊缝缺陷或结构损坏，并导致推进剂泄漏。这一故障会进一步污染卫星，还会降低卫星系统的整体寿命。
无指令情况下阀门工作状态自行改变的原因，即锁闭力不足、介质冲击或振动冲击等。这一故障将会导致阀门失效，以致无法进一步控制推进剂供应通断。
2.5 推力器
推力器的主要作用是提供卫星轨道控制及姿态控制所需的力与力矩。其故障主要分为三类：推力器无推力；推力器推力偏低；推力器产生额外推力。
推力器无推力可能有一系列故障原因，包括：驱动电路异常；自锁阀阀芯卡住；自锁阀阀门线圈断路或短路；插座接触不良。这一故障将导致推进系统失效，严重影响卫星任务的完成。
推力器推力较低的可能原因包括：催化剂中毒、物理损伤；毛细管堵塞；毛细管钎焊缝漏；头身焊缝漏；阀前过滤器堵塞；身部挡板变形与隔网破坏。这一故障将导致推进系统不能提供满足要求的冲量输出与控制力（矩），缩短卫星系统寿命。该故障可通过卫星姿态状况监测进行判断。
推力器产生额外推力主要由电磁阀内漏造成。不必要的冲量输出不仅会损失推进剂，还会干扰卫星姿态。该故障一般能够综合卫星姿态情况、贮箱压力情况及推力器热控组件温度进行判断。
2.6 系统导管
系统导管推进剂的流通通道，其故障主要是焊缝或螺接口缺陷导致的外漏故障，造成的影响与自锁阀外漏故障类似。
2.7 推力器热控组件
推力器热控组件的主要功能是通过调节推力室催化床温度来进一步调控推力，其主要故障是电源或线路问题造成的加热器故障。这将导致推进剂喷出温度低于要求值，影响相关推力器的启动特性与工作寿命，降低系统的可靠性。这一故障可通过监测推力室头部的温度遥测值识别。
2.8 故障的统计与分类
表1展示了基于FMEA方法对卫星推进系统可能出现的故障开展分析与统计的结果。进一步对这些潜在故障进行归类，主要分为两大类别：泄漏故障与堵塞故障。
推进系统泄漏故障可以通过系统压力的变化来进行判断。泄漏事故一旦发生，将会同时造成推进剂与增压气体损失，以致无法满足卫星总体设计提出的总冲要求，缩短卫星寿命甚至导致任务无法完成。此外，天拓五号卫星推进系统加注的无水肼推进剂有毒、易爆，推进剂泄漏不仅会直接威胁人员安全，亦会污染星体，导致系统功能失效，直接影响系统的安全性与可靠性。确保推进剂加注期间及加注后推进系统的安全，保证系统漏率满足要求，是贯穿推进系统产品研制全过程质量控制的主线。在推进系统正样研制阶段，重点进行产品材料选用控制、焊缝质量控制、多余物控制、多次进行漏率测试等控制手段，确保产品漏率满足要求，控制泄漏风险。若在地面测试、使用过程中发现推进系统有泄漏迹象，则应泄出系统内的增压气体至常压，然后通知推进系统研制单位对故障进行排查解决。若在轨运行过程中发现推进系统有泄漏迹象，则应通知推进系统研制单位根据故障情况采取相应的切换隔离措施。
表1天拓五号推进系统故障模式分析
Tab.1 Failure mode analysis of TianTuo-5 propulsion system
推进系统堵塞故障可通过系统压力、推力室头部温度、整星姿态或轨道的变化来进行判断。管路堵塞故障会阻碍推力器达到设计工作状态，使其无法提供卫星轨道和姿态控制所需的控制力；其中，固体大颗粒物会进一步导致阀门密封失效，引起推进剂泄漏。所以，在推进系统研制过程中，从装配到加注乃至充气的全过程均需要进行清洁度控制。在地面测试与推进剂加注步骤中，推进剂和增压气体进入系统前均需使用过滤器进行过滤，保证进入系统内的推进剂和气体中没有直径大于10 μm的固体颗粒。产品装星后为了保证阀门的正常工作，在自锁阀、电磁阀前均设有过滤网，在系统内部也设置有过滤器，以确保系统管路中不出现直接大于20 μm的固体颗粒。力器热控组件的主要功能是通过调节推力室催化床温度来进一步调控推力，其主要故障是电源或线路问题造成的加热器故障。这将导致推进剂喷出温度低于要求值，影响相关推力器的启动特性与工作寿命，降低系统的可靠性。这一故障可通过监测推力室头部的温度遥测值识别。
3 推进系统故障定位
在地面测试环节，测试人员可以通过监测传感器读数并且采用专业检测设备（例如检漏仪）来判断是否出现故障；而在轨道上，地面控制人员只能通过遥测参数来对推进系统故障进行分析。通常，推进系统的遥测参数有阀门状态、温度、压力以及轨道参数。通过监测这些参数，并结合推进剂剩余量和轨控时间计算，可以推断出推进系统是否发生泄漏以及堵塞，并且对已经发生的故障进行定位。
3.1 推进剂剩余量计算
推进剂剩余量的估算是推进系统在轨故障检测的重要手段之一。为简化不必要状态参量的测量与估计，本文采用的剩余量估算方法采用了如下的条件假设：
1）由于金属的膨胀系数相对较小，假设贮箱容积不随温度变化；
2）由于金属的结构刚度大，假设贮箱容积不会随存储压力的变化而变化；
3）由于推进剂的压缩系数较小，假设推进剂的密度不会随存储压力的变化而变化；
4）由于无水肼饱和蒸汽压相对系统工作压力很小，不考虑饱和蒸汽压的影响；
5）假定气体符合理想气体假设；
6）假定增压气体氮气不会溶解在推进剂中；
7）假定推进系统内，气体的温度与液体推进剂的温度基本相同。
基于上述假设，某一测量时刻，贮箱内推进剂剩余质量可通过如下方法计算：
(1)
式中：Vt表示贮箱的实际总容积，为贮箱制造后通过试验测量得到的常数；表示贮箱当前的气垫容积；ρp表示推进剂密度。
根据假设3，推进剂密度ρp可表示为：
(2)
其中：T0=273.15 K，贮箱当前温度可通过贮箱内部装载的两个温度传感器实现星上实时监测与计算；为贮箱气端传感器监测到的温度值；为贮箱液端传感器监测到的温度值，则
(3)
贮箱当前气垫容积可通过如下公式计算：
(4)
式中：为贮箱初始增压压力；为贮箱初始气垫容积；为贮箱的初始温度，在完成加注后通过实测得到；为贮箱当前压力，采用和贮箱当前温度相同的方式通过星上遥测获得。
贮箱初始气垫容积可通过如下公式计算：
(5)
式中，mp为推进剂实际加注量，mp1为贮箱至自锁阀间管路内的推进剂初始充填量，均为推进系统加注后可以确定的常数。
3.2 变轨开机时间计算
在推进系统工作的气液混合过程中，由于气体温度与液体温度基本相同，故可假设推力器工作期间气体的膨胀形式为等温膨胀，从而对每次变轨机动中推力器所需的开机时间进行估算。
推进系统开机时间t可采用如下方法估算：
(6)
式中：Sr为轨道控制计算机计算得到的变轨速度增量；n1为推进系统的轨控发动机台数；λ为开机时间修正系数；与分别为星载计算机计算得到的卫星质量与轨控推力器推力，可表示为贮箱当前压力的函数。
轨控推力器的推力计算公式为：
(7)
式中，a2、a1、a0由推进系统热试车试验确定。
卫星质量计算公式为：
(8)
式中：为卫星变轨前的质量；dt为星载计算机的计算步长；为轨控推力器工作时推进剂流量，同样可表示为贮箱当前压力的函数。
上式中，变轨前卫星质量计算公式为：
(9)
式中：为卫星干质量，ms2为管路推进剂总充填量，均为卫星研制过程中确定的常数；为式（1）计算得到的推进剂当前剩余质量。
式（8）中，轨控推力器工作时推进剂流量的估算方法与轨控推力器推力类似，其中，b2、b1、b0均为流量估算多项式的系数，由推进系统热试车试验确定：
(10)
变轨后压力计算公式为：
(11)
式中，为星上遥测获得的贮箱当前压力，为式（4）计算得到的贮箱当前气垫容积，则为变轨后的气垫容积。
变轨后气垫容积计算公式为：
(12)
3.3 实时故障定位流程
针对推进系统工作与待机两种工况，天拓五号卫星推进系统故障定位流程分为两类。当推进系统处于工作工况时，其故障定位流程如图2所示。当卫星开始变轨机动时，首先由轨道控制计算机确定推进系统需要提供的速度增量，继而由推进分系统控制计算机计算推进系统开机时长。随后推进分系统通过传感器测量贮箱的实际剩余压力Preal，通过计算获得理论剩余压力Pest；比较两者，从而判断推进系统是否发生故障以及发生故障的原因。如果Pest＜Preal，则推进系统可能发生了堵塞故障，此时需要提取卫星轨道和姿态参数来进一步确认。如果Pest=Preal，则推进系统正常。如果Pest＞Preal，则推进系统可能发生了泄漏故障，需要进一步计算漏率是否满足任务要求，如果计算出的漏率大于任务要求，则可判断发生了泄漏故障。
图2天拓五号卫星推进系统工作状态故障定位流程
Fig.2Fault location process of TianTuo-5 satellite propulsion system at work
当推进系统处于待机工况时，由于推力器不再工作，故障检测的重点在于在长周期内监测泄漏故障是否发生，待机状态的故障定位流程如图3所示。待机工况下，推进系统将通过贮箱内部的温度及压力传感器持续监测贮箱状态，获得从某个未泄漏状态t0时刻开始至某个自检时刻tn期间的贮箱压力遥测值和温度遥测值。当卫星在轨道上运行一定时间后，推进系统开始自检，读取传感器测量的贮箱压力Pnt和温度Tnt；根据初始贮箱压力P0t、初始温度T0t及当前温度Tnt，可计算得到贮箱当前的理论压力Pest；贮箱的实际压力Preal则可直接由传感器测量。如果Pest＞Preal，则推进系统可能发生了泄漏故障，需要进一步计算漏率是否满足任务要求，如果计算出的漏率大于任务要求，则可判断发生了泄漏故障。
图3天拓五号卫星推进系统待机状态故障定位流程
Fig.3Fault location process of TianTuo-5 satellite propulsion system in standby
4 方法应用
通常，卫星在入轨初期最易出现故障。这一阶段，需要对卫星的状态进行不间断测控，以确认卫星的健康运行。表2及表3展示了天拓五号卫星在轨运行初期，通过遥测所获得的推进系统压力及温度状态数据。
表2天拓五号推进系统压力状态监测数据
Tab.2 Pressure status monitoring data sheet of TianTuo-5 propulsion system
表3天拓五号推进系统温度状态监测数据表
Tab.3 Temperature status monitoring data sheet of TianTuo-5 propulsion system
可以看出，贮箱压力持续降低，此时怀疑推进系统可能发生泄漏。如果发生气体泄漏，一方面会损失挤压气体、破坏推进剂供给能力；另一方面推进系统漏气会引起干扰力矩，并且干扰力矩的大小和方向具有不确定性，会干扰卫星姿态；如果发生液体泄漏，一方面会损失推进剂，另一方面会对卫星其他分系统造成污染。
除此之外，贮箱温度也在持续降低，而温度降低也会造成压力下降。为了找出压力降低的原因，以星箭分离时刻的贮箱压力和温度为基准，假设贮箱内部温度均匀且完全不泄漏，则可以上节介绍的方法计算出第10圈时的压力应该为2.109 7 MPa，而实测值为2.099 MPa。通过计算可以得到此时的漏率为1.427×10-4 Pa·m3/s，满足系统总漏率不大于2.0×10-4 Pa·m3/s的要求。因此，可以确认此时推进系统处于正常状态，未发生故障。
进一步从系统可靠性层面对本故障检测与定位方法进行评估：由推进系统测试手册得到本系统的可靠性为98.31%，假设系统的故障均为泄漏和堵塞两类故障，且两类故障概率相等；计算可得单类故障发生的概率为0.845%。因此，两类故障耦合出现的概率仅为0.007 3%，本故障诊断与定位方法的理论故障检测率为99.57%。如若发生故障耦合，则可由地面人员通过地面测控站定轨数据和姿态遥测数据进行综合判断，实现耦合故障的检测。
5 结论
天拓五号作为国防科技大学自主设计与研制的科学试验卫星，验证了新一代星载船舶自动识别系统信号接收、星载航空目标广播式自动相关监视系统信号接收以及甚高频数据交换系统、数据搜集系统等一系列新技术。推进系统作为分系统之一，其正常工作在保障卫星正常运行的过程中具有决定性作用。为保障天拓五号卫星顺利执行在轨任务，本文在深入分析了天拓五号卫星推进系统失效模式与影响的基础上，提出了一套推进系统在轨故障诊断与定位方法，以实现推进系统的实时故障诊断。该方法可在卫星在轨运行中，实时发现问题，并根据实际的故障对系统进行控制，启用备用设备、切换到备份系统，从而在最大程度上降低推进系统由于故障产生的附加影响。这套推进系统在轨故障诊断与定位方法通过在轨测试与应用验证了有效性，为天拓五号在轨健康运行提供了保障，并为后续卫星推进系统故障诊断积累了宝贵经验。
