第1章 绪 论
1.1 引 言
2013年12月14日，嫦娥三号探测器成功着陆于月球虹湾地区，使我国成为第三个有能力*立自主实施月球软着陆任务的国家；2019年1月3日，嫦娥四号探测器成功着陆于月球背面的冯？卡门撞击坑，实现了人类探测器*次月背软着陆；2020年12月17日，嫦娥五号探测器携带1731克月壤返回地球，标志着我国圆满完成了探月工程“绕、落、回”三步走战略目标；2021年5月15日，天问一号探测器成功着陆于火星乌托邦平原南部，标志着我国星际探测实现了从地月系到行星际的跨越。2024年6月25日，嫦娥六号返回器携带1935.3克月球背面样品准确着陆于内蒙古四子王旗预定区域，标志着探月工程嫦娥六号任务取得圆满成功，实现世界*次月球背面采样返回。
2022年新年伊始，国务院新闻办公室发布了《2021中国的航天》白皮书，明确指出我国在未来五年将继续实施月球探测工程，发射嫦娥七号探测器完成月球极区高精度着陆和阴影坑飞跃探测，完成嫦娥八号探测器任务关键技术攻关，与相关国家、国际组织和国际合作伙伴共同开展国际月球科研站建设，继续实施行星探测工程，发射小行星探测器，完成近地小行星采样和主带彗星探测，完成火星采样返回、木星系探测等关键技术攻关，并论证太阳系边际探测等实施方案。基于上述任务的实施，我国深空探测工程在未来将达到新的高度。
深空探测任务具有探测目标远、飞行时间长、所处环境动态多变等特点，这使得深空探测器操作控制遇到的技术难题与近地轨道卫星存在很大的区别，如上传指令延迟大、地面测控精度差、数据传输码率低、安全自主保证难等。传统的“地面测控站-航天器”大回路运控管理模式大幅限制了深空探测任务的实时性、安全性和可靠性。航天器自主运行是解决这些问题的有效途径，已成为未来深空探测技术发展的一个重要方向。
自主诊断重构是航天器自主运行的重要安全保障，它是指仅靠航天器自身携带的资源配置，自主实现故障检测与隔离，并通过改变部件构型、控制算法等方式处理故障，以恢复系统全部或部分既定功能的技术手段。航天器系统规模日益庞大、功能任务愈发复杂、太空环境变化多样，在轨难免发生各类故障，如果其中一些故障无法及时自主处理，将会对航天器的安全运行造成严重危害。例如，日本的隼鸟号探测器在对小行星“丝川”进行附着探测的过程中，发生了发动机故障，因无法自主处理，姿态严重失控，*终与小天体发生碰撞，致使**次附着探测任务失败，造成重大经济损失。现有航天器故障诊断与系统重构的自主性水平不高，主要依赖地面专家根据遥测遥控数据进行故障会诊，再基于会诊结果向航天器发送重构指令。这种基于“天地大回路”的故障诊断与系统重构方式适用于大部分人造地球卫星，但对于通信时延大的深空探测航天器，该方式时效性较差，难以实现故障的及时处理，无法保障航天器安全可靠自主运行，亟须提升航天器自主诊断重构能力。
自主导航是航天器自主运行的关键信息来源，它是指仅靠器上测量设备，自主确定位置、速度和姿态等信息的技术手段。航天器自主导航在减小地面测控负担、提高航天器适应能力和扩展航天器应用潜力等方面具有无法替代的作用，是各航天强国优先发展并严格保密的核心技术。由于我国测控资源有限，在深空探测任务中，依靠科技创新、自立自强地发展自主导航方法尤为迫切。为确保深空探测自主导航任务过程安全可靠，一般需要对关键的导航敏感器单机进行冗余容错设计，采用微波雷达、激光雷达、光学相机、惯性测量单元等敏感器提供的多源信息进行自主导航。然而，在深空环境下，受限于空间信息获取手段、航天器计算能力和误差校正条件等因素的严重制约，多冗余配置的自主导航系统实际上是一类欠观测系统。对于这类系统，仅依赖后端的融合结构及滤波算法难以实现高精度、快收敛的自主导航，需要在航天器上表征及定量评估系统观测能力，进而在理论指导下选取*佳的导航敏感器及*优的测量数据段，从根源上提升自主导航系统的性能。
本书面向航天器实现自主运行的迫切需求，以系统诊断、重构和观测能力量化为突破口，以航天器控制系统和导航系统为主要研究对象，通过构建定量表征航天器这一类二阶动态系统的诊断、重构和观测能力，构建可诊断性、可重构性和可观测性理论，实现航天器诊断、重构、观测能力的完整表征、准确判定和完备量化，为系统能力的根本提升提供理论依据；进而提出基于可诊断性与可重构性理论的航天器自主诊断重构方法和基于可观测性理论的航天器自主导航方法，解决制约系统诊断、重构和观测能力提升的核心科学难题，为实现航天器安全可靠自主运行提供理论依据。
1.2 自主诊断方法
自主故障诊断指的是探测器不依赖地面，仅靠自身携带的测量设备和计算机，自主地实现故障检测、故障隔离、故障辨识的技术手段。
为实现航天器的自主运行，需要大幅提高航天器控制系统的安全性。以往的研究[1-3]大多是通过提高零部件可靠性以及提高系统的故障诊断和处理能力两种方式来提高航天器控制系统的安全性。然而，前者受加工、制造和装配等客观因素影响，提升零部件的能力有限，且提高零部件可靠性只能降低故障概率，高可靠性不代表不会出现故障[4]。同时，由于航天器*特的运行条件，大多数航天器发生故障后通常不易维修，因此，应在保证足够可靠性的基础上，着重提高航天器控制系统的故障诊断和处理能力。目前大多数航天器都采用天地大回路的方式处理故障，即航天器诊断系统检测到异常后，将数据传输给地面站，通过地面站人工判读的方法对故障进行诊断和分析后，再将所得结果传回航天器，指导航天器完成故障处理[5]。然而，传统的地面站专家会诊的故障应对方法会导致故障处理严重滞后，无法满足航天器自主运行的要求。因此，为保证航天器安全可靠自主运行，必须实现航天器的自主故障诊断。下面将对国内外深空探测器的自主诊断方法的发展现状进行综述。
1.2.1 自主诊断方法研究现状及存在问题
1. 自主诊断方法研究现状
从20世纪50年代到70年代，航天器的故障诊断主要利用地面遥测数据完成—将器上遥测数据发送至地面站，由地面站进行监测并诊断故障后，通过航天器设计硬件的冗余切换对故障进行简单的处理。该类基于地面遥测数据的故障诊断与系统重构方法被成功应用于美国的**艘载人宇宙飞船水星号(Mercury)和苏联的**艘载人宇宙飞船东方号(Vostok)。实际上，由于没有在系统设计阶段考虑故障的诊断与重构，仅通过运行时的遥测数据难以完成故障的精确定位，导致只能通过整机切换的方式实现故障的诊断与重构，这对探测器的运载能力提出了极高的要求。
从20世纪70年代到90年代，第二代航天器系统的故障诊断和重构方法特别是基于硬件冗余的故障诊断容错技术得到了很大发展。其中，美国的Landsat系列卫星、法国的SPOT系列卫星、日本的地球资源卫星1号(JERS-1)等都具备了不同程度的故障诊断能力和重构能力。我国航天器的自主故障诊断与系统重构方法的研究起步相对较晚。在1999年发射的资源一号卫星01星配置了具有智能接口的部件和模块级备份计算机，成为我国**颗具有一定自主故障诊断能力的卫星。
从20世纪90年代到21世纪初，基于解析冗余的自主故障诊断与容错技术被广泛应用于包括美国的阿波罗号(Apollo)载人飞船和俄罗斯的联盟号(Soyuz)飞船的第三代航天器系统的自主故障诊断与系统重构。该时期的航天器关键部件有多重冗余，满足航天器对系统的安全性、可靠性要求，可以做到“一重故障保工作，双重故障保安全”。同一时期我国研制的遥感卫星、气象卫星、通信卫星以及各类小卫星的系统也都具备了不同程度的故障诊断与系统重构能力。
从21世纪初开始，航天器从原本单一配置于各分系统(如控制分系统、电源分系统、推进分系统等)的诊断系统处理故障的方式，向系统级状态监测、故障预测和故障修复的方式发展，逐步形成了航天器集成健康管理系统，从保障任务完成的系统顶层实现对航天器的故障综合检测与重构。到目前为止，门限值检验法、推断检验法、一致性检验法等实用的故障诊断方法，以及备份部件切换、系统切换、敏感器和执行机构重构等冗余控制方法都在我国已发射或在研型号中得到应用。其中，针对月球背面软着陆任务的特点，要求嫦娥四号探测器必须具备极强的自主能力。因此，对于故障的诊断与处理也提出了更高要求—将原本依赖地面的基于人工判断处理的方式改变为交由器上自主进行诊断与执行。在部件级层面，重点针对推进发动机、陀螺、加速度计、测距敏感器、测速敏感器等关键部件，设计了自主故障诊断与处理算法；在系统级层面，重点针对导航、姿控等关键分系统，设计了自主故障定位与重构策略，极大提升了航天器系统故障的自主诊断能力。
2. 自主诊断方法存在的问题
航天器一般具有不易在轨维修和资源严重受限两大特点，其诊断能力确定于设计之初、受制于有限资源，这意味着航天器自主故障诊断研究需要关注系统前期设计、充分利用有限资源。然而，由自主诊断方法研究现状可以看出，传统研究思路主要关注诊断重构算法的创新突破，主要存在以下两方面局限性。
(1)未关注系统前期设计。故障可以被诊断是诊断算法设计和容错控制策略设计的前提[6]，换言之，若缺少必要的测量信息，使得故障信息无法反映到可测信息中，则无法通过设计或改进诊断算法达到诊断故障的目的。因此，仅关注于故障诊断算法的研究无法从根本上提高航天器的诊断能力。
(2)未考虑航天器特性。航天器是一类典型的资源严重受限的系统，现有的研究思路未充分考虑资源约束与诊断算法精准性、实时性之间的矛盾，导致设计的算法通常比较复杂，对计算和存储资源提出了极高要求，仅能在地面运行，无法从工程应用上实现航天器自主故障诊断。
作为表征系统诊断能力的根本属性，可诊断性可为航天器自主故障诊断能力的提高提供新的思路—不同于着力于诊断算法设计的传统思路，对航天器进行故障诊断能力评价(可诊断性评价)，并根据评价结果对其进行优化设计(可诊断性设计)，可以从系统层面提升可测信息对故障的反应能力，从而有效地弥补传统方法提升能力有限、提升效果不全面的不足。除此之外，这种着力于系统评价的设计方式可以在保证系统诊断性能的前提下合理配置资源，从而大幅提升航天器的经济效益。可以说，航天器的可诊断性评价与设计是实现其自主故障诊断的有效途径。下面将详细介绍可诊断性内涵及影响因素。
1.2.2 可诊断性内涵及影响因素
1. 可诊断性内涵
1)可诊断性定义
由电气电子工程师学会(Institute of Electrical and Electronics Engineers， IEEE)发布的1522标准可以得到可诊断性的定义[7]：系统故障能够被确定地、有效地识别的程度。其中，“确定地”要求每次系统发生故障时都能准确地对故障进行检测与隔离，实质上强调的是诊断系统完成诊断任务的能力；“有效地”则考虑的是诊断系统完成诊断任务的资源利用效率，即要求对隔离故障所需的资源进行优化。
值得注意的是，故障可诊断性不等于故障诊断。由文献[8]可知，故障诊断是故障检测、故障隔离与故障辨识的统称。换句话说，故障诊断是对系统故障进行检测、隔离与辨识的技术手段。可诊断性包括可检测性、可隔离性和可辨识性，主要用于衡量故障识别的准确程度和识别效率。因此，可诊断性是衡量故障诊断能力的指标。
目前为止，可诊断性评价与设计已被广泛应用于许多领域，如汽车工业[9]、电力生产[10]等。近年来，针对不同的研究需要，可诊断性研究所考虑的因素不尽相同，如文献[11]、[12]将可诊断性视为与故障大小和种类无关的内部属性，而文献[13]考虑了噪声和故障大小等因素对可诊断性的影响，这导致对不同系统可诊断性的定义存在较大的差异。因此，需要根据航天器的具体要求给出对应的可诊断性定义。*先，总结了具有代表性的针对不同系统的可诊断性定义，如表1.1所示。
注：由于篇
展开
