2.1　故障分类及应对方法概述

本节从空间机械臂的组成出发，梳理空间机械臂可能发生的故障；在此基础上，针对最有可能发生故障的关节，从冗余备份技术和故障应对策略两方面论述空间机械臂的容错方法。

2.1.1　典型故障分类

空间机械臂主体包括连杆、关节和末端执行器，如图2-1所示。连杆通过关节连接，直接影响空间机械臂的运动能力，但其发生故障的可能性较低，且鲜有文献研究连杆故障，故本章不介绍其故障类型。关节是机械臂运动的主要驱动部件。末端执行器是指连接在机械臂末端处具有一定执行功能的装置，用于完成空间桁架抓取、航天器舱段对接、在轨装配等任务。关节和末端执行器中都包含执行部件、传感器和控制器，如图2-2和图2-3所示。其中，执行部件是驱动末端执行器或关节运动的主要部件；传感器是感知执行部件状态的感知设备；控制器是协调、调度和控制执行部件与传感器运行的核心。本节对执行部件故障、传感器故障和控制器故障展开详细梳理并根据各部分的特点对故障进行分类。

1.执行部件故障

执行部件作为空间机械臂中关节和末端执行器的重要组成部分，是空间机械臂执行任务的重要驱动部件，是一种可将电能等能源转换为直线运动、旋转运动等运动形式机械能的驱动装置。执行部件一般由驱动电机、机械传动机构和结构连接件组成。结构连接件大多由铝合金、钛合金等金属材料制成，具有较高的稳定性和耐久性，故一般情况下故障主要发生在驱动电机和机械传动机构上。如图2-4所示，驱动电机可能出现的异常状况包括转子偏心、转子断条、绕组匝间短路等 ^[1] ；机械传动机构可能出现的异常状况包括轮齿啮合误差过大、齿侧间隙过大、轮齿磨损、轴承断裂等 ^[2] 。其中，绕组匝间短路会使电机的性能下降，不能产生期望的控制力矩或速度；转子偏心、轮齿啮合误差过大、齿侧间隙过大等异常状况可能使执行部件输出不稳定的运动从而产生振动；转子断条、轴承断裂等异常状况可能使执行部件无法输出力矩，只能随负载被动地运动；轴承断裂等异常状况可能使执行部件运动受阻卡死，运动瞬间停止。

2.传感器故障

传感器是空间机械臂感知环境及操作目标的重要设备。空间机械臂主要搭载六维力传感器、位置编码器、工业相机等，以实现对力/力矩、关节的旋转角度、物体运动情况等信息的采集。通过上述传感器采集到的数据，航天员可实时监测空间机械臂的工作状态和操作目标的运动状态。

根据不同传感器输出信号的特点，传感器故障可分为固定偏差故障、漂移偏差故障、精度下降和完全故障4类 ^[3] 。如图2-5所示，固定偏差故障主要是指传感器的测量值与真实值相差一定常数，一般由偏置电压、偏置电流等造成；漂移偏差故障是指传感器的测量值与真实值之间的差值随时间变化而变化，通常是因为电压变化和温度变化导致传感器元件的物理性能改变；精度下降是指传感器的测量能力变差并且精度降低，即测量平均值不变但测量方差变化，通常是空间太阳辐射或带电粒子造成的传感器检测电路热变形、输出信号失真引起的；完全故障是指传感器测量突然失效，测量值总是某个常数，通常是电路板受液体腐蚀、芯片引脚断裂等造成的。上述故障都有可能影响整个空间机械臂的动态特性，甚至使控制系统失去稳定性。完全故障相较于其他故障更严重，一般需将发生故障的关节或末端执行器停机处理。

3.控制器故障

控制器是按照传感信息指令来控制空间机械臂完成相关作业任务的核心装置，对空间机械臂性能起重要作用。

控制器由软件部分和硬件部分组成：软件部分主要是指空间机械臂的控制程序；硬件部分主要是指控制器的物理配置，包含中央处理器、输入输出接口、存储器、时钟、电源等组件。根据故障发生的位置不同，控制器故障可以划分为硬件部分故障和软件部分故障，如图2-6所示。

对于硬件部分故障，各个硬件芯片的种类不同、功能各异，导致不同硬件芯片的故障类型难以统一梳理。根据故障的时间特性不同，本书将硬件部分故障分为暂时故障和永久故障。这两种故障大多由空间中的高能粒子冲击造成。暂时故障是指控制器运行过程中因单粒子效应所导致的单个逻辑门或者数据位逻辑异常转换，从而出现数据错误、瞬时系统崩溃、逻辑错误等，可通过重启控制器的方式进行处理。永久故障是指控制器因总粒子剂量效应引起的损坏或者性能下降，进而导致器件失效、逻辑电路损坏、电路短路或开路等，只有将故障元器件修理或更换后才能消除。软件部分故障是指软件无法按照设计说明实现相应的功能，可以分为软件缺陷、软件故障和软件失效，表现形式包括系统崩溃、数据处理错误、通信错误、算法错误等 ^[4] 。软件缺陷是指软件中存在不符合预期或不可接受的偏差，这些偏差导致软件在一定条件下运行时会出现异常。软件缺陷是软件开发过程中人为失误造成的一种静态现象，可通过多次地面测试尽量避免。软件故障是指软件在运行过程中出现的不可接受的、非预期的、内部的状态，需要针对软件的功能和人机交互特点设计相应的容错处理措施。软件失效主要指软件运行过程中出现的不符合预期或不可接受的外部行为的结果。软件部分故障一旦发生只能通过应急手段对控制器进行强制重启、关闭，避免机械臂失控而损坏空间设备，然后在非工作状态对控制器进行修理或更换。

根据前面对空间机械臂部件故障的梳理可以看出，空间机械臂包含的部件种类多样，各部件可能出现的异常状况多样，因而故障表现形式多样。经过梳理，空间机械臂执行部件故障、传感器故障和控制器故障可能使空间机械臂关节或末端执行器呈现如下几类故障形式。

① 卡死——突然停止运动。

② 性能下降——不能产生期望的控制力矩或速度。

③ 无法输出力矩（只能被动地运动）。

④ 振动。

⑤ 无规律运动。

其中，卡死使关节或末端执行器的运动立即停止，可视为锁定故障；性能下降使关节或末端执行器输出力矩或速度的能力受到削减，但仍有部分运动能力，可视为部分失效故障；无法输出力矩（只能被动地运动）可视为自由摆动故障；振动可视为扰动，可利用控制方法尽量减小其影响；无规律运动会对空间机械臂造成不可控的伤害，应立即将出现故障的关节或末端执行器锁定，使其停止运动，锁定后部件的运动情况与卡死相似，可一起视为锁定故障。根据以上对故障形式的梳理和对相关文献 ^[5-6] 的总结，本书将空间机械臂在关节和末端执行器处的故障形式归纳为锁定故障、自由摆动故障和部分失效故障。考虑到末端执行器大多为针对不同空间任务的专有机构，鲜有通用的故障应对方法，因此，发生故障后一般做更换处理，本书不做介绍。关节故障的应对方法比较多样、复杂，需要考虑故障类型、空间任务等多种因素确定。

2.1.2　关节故障应对方法

应对关节故障有两种思路：一种是降低关节故障的发生概率；另一种是故障发生后减小故障对空间机械臂造成的不良影响，可以从空间机械臂的设计阶段和使用阶段加以考虑。在设计阶段一般采用冗余备份技术，而在使用阶段一般根据故障类型和应用场合采用相应的故障应对策略。本节将对这两种关节故障应对方法进行介绍。

1.冗余备份技术

冗余备份技术通常采用增加易发生故障设备数量的方法，当出现故障时及时切换至备份设备以尽可能保证空间机械臂的正常运转。对于前面提到的关节故障都可通过切换到备份设备来应对，冗余备份技术可分为硬件冗余技术和软件冗余技术。

（1）硬件冗余技术

硬件冗余技术指通过增加零件、电控元件或机电系统的数量来应对关节故障。例如，SSRMS中的关节采用了双电机冗余设计，当其中一个电机发生故障时备份电机将接替承担关节驱动任务，以尽可能保证空间机械臂继续执行原有任务。SSRMS双电机容错控制系统模型如图2-7所示，其电机包括轴、轴承、磁钢、铁芯、绕组以及传感器等零部件，由于此模型对所有电机零部件均进行了冗余备份，这不可避免地增加了关节的质量和体积。ERA中的关节采用的是双绕组冗余设计，关节配备并联式冗余电机，电机有两套独立绕组和传感器。与配备双电机的关节相比，配备双绕组的关节具有更小的体积和质量。ERA双绕组电机容错控制系统模型如图2-8所示，当工作中的绕组或传感器发生故障，备用绕组和传感器将接替其继续工作。

为有效控制双电机关节或双绕组关节，需要对关节控制系统进行冗余设计，一般采用双控制系统的设计方式。双控制系统具有结构相同、相互独立、互为备份的特点，可分为双电机结构和双绕组结构两类。若关节内部为双电机结构，两套控制系统分别控制一个电机，就形成两套独立的子系统，如图2-9所示；若关节内部为双绕组结构，两套控制系统分别控制电机内部的两套绕组与传感器，并共用电机内部的其余零部件，形成两套子系统并控制单一电机运动，如图2-10所示。

关节双控制系统有冷备份和热备份两种工作模式。当关节双控制系统工作于冷备份模式下时，只有一套子系统处于上电工作状态，另一套子系统处于断电备份状态。当工作中的子系统发生故障时，备份子系统需先启动才能接替故障子系统继续工作，这将导致故障瞬间电机无法及时响应期望速度/输出力矩而易使任务失败，因此其容错能力相对较弱。当关节双控制系统工作于热备份模式下时，两套子系统同时上电，但只有一套子系统控制电机工作，另一套子系统作为备份，在工作中，子系统发生故障后，备份子系统能立即接替发生故障的子系统继续工作。为了提高系统的利用率，关节双控制系统一般采用热备份的工作模式。

此外，空间机械臂的电控系统也使用了硬件冗余技术，包括采用空间冗余、时间冗余和错误检测与纠正（Error Detection and Correction，EDAC） ^[7-8] 来提升芯片的可靠性。空间冗余主要有三模冗余（Triple Modular Redundancy，TMR）设计和双互锁单元（Dual Interlocked Storage Cell，DICE）设计两大类。TMR电路结构如图2-11所示，同一份信息分别保存在3个相互独立的物理存储空间，在进行数据读取的时候，使用表决器对3个物理存储空间中的内容进行比较，读取正确的数据。DICE结构由12个晶体管组成，包含4个存储逻辑状态的节点，每个节点间相互控制，对角的两个节点不直接相互连接，进而避免粒子的偏转，DICE存储单元原理如图2-12所示。DICE设计被认为是在抗单粒子翻转方面性能最好的设计之一，该技术的优点在于可使用少量的反相器，功耗低，具有优良的抗单粒子效应能力。

时间冗余指的是相同或等价的两个程序在同样的计算硬件上执行多次，通过比较结果来发现和纠正错误的技术，也称时间滤波技术。图2-13和图2-14所示分别为不同结构的时间冗余采样单元，其根本思想是以不同相位的时钟在多个时间点锁存组合逻辑的输出，通过比较采样结果来过滤单粒子效应。

EDAC的典型设计结构如图2-15所示，通常在存储单元的输入端连接一个编码器，将编码出的冗余码和数据同时存入存储单元。存储单元的输出端连接一个译码器，将从存储单元里读出的含有冗余码的数据进行解码。如果没有发生错误，或者只发生一位错误，则可以将正确的数据输出，如果发生了两位或以上的错误，则会输出一个错误发生信号，表明错误不可纠正，应由中央处理器等模块处理。

（2）软件冗余技术

软件冗余技术是指通过设计软件运行流程来提升空间机械臂的可靠性，主要包含时间冗余、信息冗余和模块冗余3种方法。时间冗余通过消耗时间资源来实现容错，其基本思想是通过重复运算（执行指令或程序）来消除瞬时错误。此方法与前面硬件冗余技术中所提到的时间冗余方法能达到的效果一样，不同的是，此方法通过重复调用代码的方式来实现容错。按照重复运算是在指令级还是程序级分为指令复执、程序复算。指令复执即当指令执行的结果送到目的地址时，如果有错误恢复请求信号，则重新执行该指令；程序复算即程序运行到某一时刻记录并检查程序运行状态，一旦发现运行故障，就返回到最近一次正确的检查点重新运行。信息冗余是为了监测或纠正信息在运算或传输中的错误而外加的一部分信息。在通信和计算机系统中，信息通常以编码的形式出现，故采用奇偶码、定重码、循环码等冗余码制即可发现甚至纠正错误。模块冗余则是通过调用可实现同一功能的不同软件模块，通过表决算法屏蔽计算错误，从而提升计算结果的可靠性。

2.故障应对策略

冗余备份技术能大大提高空间机械臂的可靠性，但会增加空间机械臂的成本、质量和复杂度，且切换备份部件时存在时延，有可能导致某些空间任务失败，因此有必要以一种新思路应对关节故障。一些空间机械臂被设计为冗余度机械臂，其自由度超过完成主任务所需的最小自由度。采用冗余度的设计可以使机械臂在无关节故障时具有较高的灵巧性，在关节发生故障时，若可用关节数不低于任务空间维数，则空间机械臂仍可继续工作。故可以基于其冗余特性，通过路径规划或控制等方法设计故障应对策略，以调整发生故障的空间机械臂的运动状态，减小故障带来的影响，而不需要切换至备份部件。本书根据作者实验室多年的空间机械臂容错技术研究经验及其他学者的研究成果，梳理了关节故障应对策略，如图2-16所示。

对于关节锁定故障空间机械臂，其故障应对策略可分为锁定故障前和锁定故障后的故障应对策略。由于关节锁定故障空间机械臂运动能力的退化程度会因为故障关节和锁定角度的不同而有较大差异，因此需要在关节锁定故障发生前避开运动能力严重退化的特殊位置，主要实现方式为对关节运动范围添加人为约束，即关节人为限位，以及进行全局容错路径规划（任意关节任何时刻故障，均能够找到一条连通初始点到任务点的连续关节角序列，从而保障空间机械臂仍然可以继续完成预期的在轨操作任务）。关节锁定故障发生后，故障机械臂的运动模型发生了变化，故障关节失去运动能力，为了尽可能使空间机械臂能够继续执行末端轨迹跟踪任务，其他健康关节需要补偿故障关节的速度/力矩突变量，这就使得健康关节的速度/力矩发生突变，不利于空间机械臂的安全、稳定运行，因此需要对关节锁定故障空间机械臂加入参数突变抑制策略。若短时间内无法修复故障关节，且后续仍需要执行空间任务，则需要考虑机械臂的运动能力、基座姿态扰动等任务要求重新进行路径规划（如A*算法、PRM算法等）。

对于关节自由摆动故障空间机械臂，其故障应对策略可以归纳为两类：一类是规划与控制欠驱动机械臂，依靠欠驱动控制方法继续执行空间任务；另一类是锁定自由摆动故障关节，使机械臂退化为一条低自由度机械臂以继续执行任务。第一类策略可以保留自由摆动故障关节的运动能力，此时空间机械臂仍然具有冗余度，可以依据空间任务对运动能力的要求进行轨迹优化。但由于自由摆动故障关节失去了力矩输出能力，故仅能依靠剩余健康关节的运动来间接控制其运动，并且故障空间机械臂的负载操作能力有较大退化，不再适合操作类任务（如负载搬运、对接装配等）。第二类策略能够使故障关节重新具备力矩输出能力，进而可借鉴关节锁定故障空间机械臂的故障应对策略继续执行任务。在锁定自由摆动故障关节之前，首先需要优选故障关节锁定角度，随后利用欠驱动控制方法将自由摆动故障关节调控到目标角度并锁定。对于需要考虑基座位姿、多关节发生自由摆动故障等涉及多个被控单元（一般将故障关节、漂浮基座、末端称为被控单元）的情况，空间机械臂健康关节数有限，无法设计连续、光滑的状态反馈控制律实现对多个被控单元的同时控制，一些学者提出可将调控过程分为多个阶段，每一阶段只将一个自由摆动故障关节调控到期望角度，随后锁定，然后逐步将所有关节调整至期望角度。

对于关节部分失效故障空间机械臂，故障程度决定了空间机械臂运动能力的退化程度，因此需要进行故障程度估计，并评估运动能力退化程度。根据运动能力退化程度对任务可完成度的影响，可将关节部分失效故障分为两类：一类是引起运动能力轻微退化的故障，通过容错控制方法（如鲁棒性较强的滑模控制算法）即可使得空间机械臂跟踪期望轨迹，继续完成任务；另一类是引起运动能力严重退化的故障，空间机械臂运动能力无法满足任务需求，导致任务不可完成，此时需要优化其运动能力。由于发生部分失效故障的关节仍可以输出速度和力矩，空间机械臂仍具有冗余自由度，因此可基于空间机械臂自运动在规划任务轨迹（轨迹优化）的同时对其运动能力进行优化。

综上所述，本节梳理了空间机械臂执行部件、传感器和控制器常见的故障，然后根据故障的表现形式将关节故障归纳为锁定故障、自由摆动故障和部分失效故障3种类型。本节还介绍了关节故障的处理方法，在空间机械臂的设计阶段通常采用冗余备份技术，出现故障时能够切换至备份设备以尽可能保障空间机械臂的正常运转；在使用阶段通常需根据关节故障类型采用对应的故障应对策略，以减小故障带来的影响。最后本节根据关节故障类型及其特点分别介绍了3种故障类型对应的故障应对策略。

空间机械臂关节发生故障后，由于空间环境特殊、任务紧迫等原因，往往无法得到及时维修。因此，为了尽可能使空间机械臂在故障状态下继续执行任务，空间机械臂需要开展容错规划与控制工作：首先对故障空间机械臂进行数学建模，得到其运动学和动力学模型，为后续容错规划与控制奠定基础；然后，根据空间任务对空间机械臂运动能力的要求，分析故障对空间机械臂主要运动能力的影响情况，并以此为基础设计故障空间机械臂容错应对策略；最后，对故障空间机械臂开展容错运动控制，使故障空间机械臂尽可能输出期望的运动状态以完成空间任务。由此，下面针对关节锁定故障、关节自由摆动故障和关节部分失效故障空间机械臂，从数学建模、运动能力影响分析以及容错运动控制策略3方面，分别介绍其容错规划与控制研究现状。 DDSr0UpGR7y9wPLy93ieWPaWC8jkjZZlWQwyUQ68eA7gnfohcL5/RBXXrXtAylBu