航天器在軌運行狀態管控模式建立與實踐

鄂煒 趙寧 明建

(北京空間飛行器總體設計部，北京 100094)

隨著航天器設計水平的快速提升和高等級集成器件的迅速發展，軟件系統能力不斷增強，為航天器在軌運行期間動態調整在軌運行策略、提高連續穩定運行能力提供了重要技術支撐。航天器長期在軌運行過程中，可通過使能或禁止某項自主健康管理、自主應急處置功能，調整自主故障診斷閾值和條件，或對軟件進行上注升級等操作，適應用戶提出的在軌應用模式調整、自身異常問題處置、其他航天器問題“舉一反三”等需要[1-3]。

在航天器在軌運行實際管理過程中，存在以下2個方面的突出問題。①航天器在軌運行狀態缺少清晰、全面的描述。目前的在軌管理技術支持文件[4-5]中關于航天器在軌運行狀態描述的內容不夠全面，且分散在遙測正常值范圍、長期運行管理要求等技術文件中，不利于在軌維護人員開展工作。②現有技術狀態管理要求不能完全適用在軌狀態更改操作。軟件自主管理功能使能/禁止、系統工作模式、產品開關機等狀態的切換操作并不改變產品實物技術屬性，現有技術狀態管理要求[6]不能完全覆蓋，對于哪些在軌操作需要管、如何管，需要進一步探索和規范。目前，針對技術狀態記錄文件與實物狀態的一致性、在軌技術狀態管理等問題已有相關研究和實踐[7-9]。文獻[7]中針對組批生產產品提出了對相關技術狀態項目之間關聯化自動更新的措施；文獻[8]中針對復雜在軌航天器提出了在軌技術狀態管理的概念，通過指令設置、遙測參數、通話、圖像等多種措施，對在軌技術狀態進行確認；文獻[9]中針對超期運行航天器建立了量化評估模型和協同保障機制。但是，如何清晰、快捷地了解航天器在軌運行狀態，如何從流程上對在軌運行狀態更改操作風險進行管控，仍需要開展深入的研究和實踐。

本文提出建立在軌運行狀態基線的概念，通過明確在軌運行狀態范圍、在軌運行狀態基線建立原則、制定在軌運行狀態更改控制程序，探索形成了航天器在軌運行狀態管控模式，并進行了實踐。在軌管理實踐結果表明：該管控模式對于支持維護人員快速掌握當前在軌狀態，全面分析在軌維護方案的影響和風險，確保在軌操作安全、有效，具有一定參考價值。

1 航天器在軌運行狀態管控模式

為清晰地描述航天器在軌運行狀態，需要對航天器軟硬件產品運行狀態進行系統梳理，將分散在各類技術文件中、內容不夠全面的運行狀態，進行集中的描述；結合航天器在軌測試階段和長期運行階段的特點，分階段對平臺狀態和載荷狀態進行固化，對于狀態固化后的更改操作，根據影響程度，采取不同等級的管控措施，以降低在軌操作風險。因此，按照“分階段建基線、過程中管基線”的思想，分階段固化航天器軟硬件產品運行狀態，建立在軌運行狀態基線，對在軌運行狀態更改實行分級管控，建立航天器在軌運行狀態管控機制。其主要內容包括以下2個方面。

(1)在軌運行狀態基線建立：分別以飛控工作結束、在軌測試結束為節點，固化在軌運行狀態，建立在軌運行狀態基線，作為在軌測試階段、長期運行階段的管控基礎。納入在軌運行狀態基線管控的內容，主要是可通過操作進行切換的狀態，包括硬件開關狀態、軟件版本、軟件自主功能使能、系統工作模式等。在軌運行狀態基線建立的載體是航天器在軌運行狀態報告，該報告是在軌運行狀態的集中描述。

(2)在軌運行狀態更改控制：在軌運行狀態基線確定后，對后續在軌運行狀態相對于基線的更改操作進行分級管控，狀態更改依據影響程度按照從大到小依次劃分為Ⅰ類更改、Ⅱ類更改和Ⅲ類更改，實行分級管控。Ⅰ類和Ⅱ類更改控制按照“論證充分、各方認可、試驗驗證、審批完備、落實到位”五項原則進行，需要提出更改申請；Ⅰ類更改還需要編寫航天器在軌運行狀態更改論證及實施方案。

2 在軌運行狀態基線

2.1 納入基線管控的在軌運行狀態范圍

在軌運行狀態基線指經正式確認、相對固化的航天器軟硬件產品在軌工作狀態。其中：“正式確認”指經研制單位、長期管理單位、用戶單位等各方認可；“相對固化”指在一定階段內產品的軟硬件產品狀態較為固定。

實施在軌運行狀態管控的主要目的，是使長期運行管理部門清晰地了解當前航天器的狀態，準確識別和控制在軌狀態更改操作風險，保證操作方案的正確性。因此，將可操作、可切換的狀態納入在軌運行狀態管理范圍，主要包括硬件開關狀態及軟件版本、軟件自主功能使能、系統工作模式等。對于不可操作、不可切換或不可調整的狀態，如不具備上注功能的軟件配置項、硬件產品健康參數等，可不納入在軌運行狀態范圍。

一般情況下，在軌運行狀態范圍包括：①硬件開關狀態及軟件版本狀態，如航天器硬件產品的開關機狀態、主備份關系，裝載軟件版本號，歷次在軌維護時間、原因等，見表1。②軟件自主功能使能狀態，如各項軟件自主管理功能、對應的遙測參數、當前狀態，見表2。③系統工作模式，如控制、綜合電子工作模式、對應遙測參數、當前狀態，見表3。

表3 系統工作模式匯總(示例)Table 3 Summary of system modes (e.g.)

表2 軟件自主功能使能狀態匯總(示例)Table 2 Summary of software autonomous function enabling status (e.g.)

表1 硬件開關及軟件版本狀態匯總(示例)Table 1 Summary of hardware switches and software version status (e.g.)

2.2 在軌運行狀態基線建立原則

一般情況下，航天器的在軌過程可分為發射入軌、飛控、在軌測試、長期運行等階段[10]，在軌測試時間為3～6個月，時間相對較長，為規范這一階段的在軌運行狀態管理工作，采取分階段建立在軌運行狀態基線的策略，即：①初始基線。飛控工作結束后，交付在軌長期運行管理單位時，對航天器平臺產品的運行狀態進行確認，明確遙測判讀方法，編制形成航天器在軌運行狀態報告，建立初始基線。對于需配合在軌測試工作進行臨時切換的狀態，可不納入基線管理。②長期運行基線。在軌測試工作完成后，對航天器的平臺和載荷運行狀態進行再確認，明確遙測判讀方法，對航天器在軌運行狀態報告及相關在軌管理配套文件進行更新，形成長期運行基線，作為后續在軌狀態控制的基礎。另外，在特殊情況下，對于飛控結束后直接交付長期運行管理單位的航天器，可以只建立初始基線。

3 在軌運行狀態更改控制

3.1 在軌運行狀態更改分類和要求

按照“用戶至上、穩定運行”的理念，綜合考慮2個因素對在軌運行狀態更改進行分類，即是否影響用戶使用和航天器在軌狀態是否發生實際變化。按照該原則，將在軌運行狀態更改劃分為3類(如表4所示)，具體分類情況及要求如下。

表4 航天器在軌運行狀態更改類別和要求Table 4 Categories and requirements of spacecraft in-orbit operation status change

(1)Ⅰ類更改：直接影響用戶使用的更改，例如在軌操作過程中，需要暫時中斷或停止對用戶的業務服務。此類更改實行最嚴格的管控，需要編寫航天器在軌運行狀態更改論證及實施方案(以下簡稱“論證報告”)，提出航天器在軌運行狀態更改申請(以下簡稱為“更改申請”)，批準后實施。

(2)Ⅱ類更改：改變航天器的在軌運行狀態，但不直接影響用戶使用，例如將某項自主管理功能狀態由“使能”調整為“禁止”，需要開展更改論證和影響分析，提出更改申請，批準后實施。

(3)Ⅲ類更改：僅涉及航天器在軌運行狀態報告文字內容的更改，不需要上注在軌維護程序或指令，不改變航天器的在軌運行狀態。此類更改影響程度最小，直接填寫文件更改單進行更改。

3.2 在軌運行狀態更改控制流程

航天器在軌運行過程中，一般有2個方面的原因需要對產品的在軌運行軟硬件狀態進行更改。①研制部門通過對在軌航天器進行健康評估、對其他航天器質量問題“舉一反三”等工作，需要向用戶申請調整產品在軌運行狀態，以保證航天器安全穩定運行。②用戶或長期運行管理部門由于在軌補充測試、在軌試驗、業務運行模式調整等原因，需要對航天器在軌運行狀態進行更改，要求研制部門配合論證、提出更改操作方案，并配合實施。

在軌運行狀態更改控制過程如圖1所示，一般包括發起在軌運行狀態更改、確定更改類別、提出更改申請并開展更改論證、審批更改申請、落實更改等步驟。更改控制參照“論證充分、各方認可、試驗驗證、審批完備、落實到位”五項原則執行。

圖1 航天器在軌運行狀態更改控制過程Fig.1 Control process of spacecraft in-orbit operation status change

(1)論證充分：對在軌運行狀態更改進行影響分析，對更改方案進行論證，明確需要上注的指令清單和時序要求，以及更改操作的故障預案。需要調整地面監視報警門限時，作具體說明。對于Ⅰ類更改，形成論證報告進行詳細論述。

(2)各方認可：提出更改申請，經相關分系統技術負責人、總體技術負責人、產品保證人員審簽后，報項目副總師/產保經理、在軌運行管理責任人審批。

(3)試驗驗證：上注在軌維護程序或指令前，進行充分的地面測試驗證及風險影響分析，保證操作運行正確。涉及軟件代碼更改的，按照軟件工程化要求完成第三方評測，并由軟件研制單位統一納入產品庫進行版本控制。

(4)審批完備：由航天器在軌運行管理責任人審批。

(5)落實到位：實施時，經用戶同意，避開重要任務時段或敏感時期，發送指令按照用戶和長期運行管理單位的審批程序進行，并現場確認上注后的運行狀態。

Ⅲ類更改影響范圍較小，控制程序從簡，通過填寫文件更改單，按原文件審簽權限完成文件更改審簽，并報用戶同意。另外，遇到涉及航天器安全、業務需要立即恢復等緊急情況時，可先行采取應急處置措施，處置結束或安全后，再對航天器在軌運行狀態報告進行更改。

3.3 在軌運行狀態更改控制實例

如表5所示2個典型實例，對在軌運行狀態更改控制工作進行說明。在實例1中，為降低充電控制器工作負荷，擬將太陽翼驅動機構由正常跟蹤太陽更改為偏置20°跟蹤太陽。該更改需要暫停載荷業務，屬于Ⅰ類更改，要編寫論證報告，對更改影響、風險和方案合理性進行論證，提出更改申請并經各方認可、試驗驗證、審批，經用戶和長期運行管理部門同意后實施。在實例2中，為提高在軌運行穩定性，擬將蓄電池充電控制模式由“電量計控制模式”切換為“電壓-溫度控制模式”。與實例1的區別在于，該更改不影響用戶應用，屬于Ⅱ類更改，不需要編寫論證報告，其他要求與實例1相同。

表5 航天器在軌運行狀態更改控制實例Table 5 Examples of in-orbit status change control of spacecraft

4 實踐成果

通過近兩年的航天器在軌運行狀態管控模式探索與實踐，航天器在軌運行狀態得到有效管控，在軌運行管理機制得到完善，服務用戶質量得到提升，取得了顯著的成果。

(1)航天器在軌運行狀態得到有效管控。180余個在軌運行航天器建立了長期運行管理基線，航天器在軌軟硬件運行狀態清晰、準確；近兩年來的179項在軌運行狀態更改，按程序開展了分析論證和申請審批等工作，過程規范，操作正確率100%。

(2)航天器在軌運行管理機制得到完善。“分階段建基線、過程中管基線”的模式運行有效，20余個發射入軌的航天器按階段依次建立了初始基線和長期運行管理基線；根據用戶要求和健康評估情況實施的13項Ⅰ類和Ⅱ類更改論證充分，在軌運行狀態更改方案的合理性和操作的準確性得到保證。

(3)航天器在軌服務用戶質量得到提升。清晰、全面的在軌運行狀態記錄，嚴格、規范的在軌運行狀態更改過程控制，精準、有效的在軌運行狀態操作結果，進一步提升了在軌服務用戶的質量，近兩年用戶滿意度達到99%以上。