4. 安全模式定义与进入条件

星务计算机在轨运行期间，一旦遭遇不可恢复的硬件故障、软件跑飞、姿态失控或能源严重不足等异常，继续维持常规任务模式不仅无法完成既定任务，还可能造成整星失效。安全模式（Safe Mode）正是为此设计的最后一道自主保护屏障：它以牺牲任务能力为代价，把卫星收敛到一个功耗最低、姿态可控、通信可达的稳定状态，为地面测控站争取诊断与恢复的时间窗口。理解安全模式，关键要抓住三件事——它要达成什么目标、典型状态长什么样、以及什么条件下由谁触发进入。

一、安全模式的目标

安全模式的核心目标可以概括为“保平台、保通信、保能源”三条主线。保平台，是指停止一切非必要的载荷工作与高功耗动作，让星务计算机、姿控、电源等关键分系统回到可预测的稳定工况，避免故障扩散；保通信，是指确保星地链路始终可用，使地面能够持续获得遥测、注入指令，这是恢复的前提；保能源，是指在太阳能帆板输出不足或蓄电池亏电时，通过最小化负载让整星能量收支重新平衡，防止深度放电导致永久损伤。

需要强调的是，安全模式不是“关机”，也不是“复位”。它是一套有明确状态定义、有进入判据、有退出路径的受控工作模式。星务计算机在安全模式下仍要运行最小任务集，包括姿态确定、对日定向控制、遥测采集与下行、指令接收与执行等，只是把功能裁剪到最低限度。

二、典型安全模式状态

工程上通常把安全模式细分为若干可切换的子状态，最常见的是最小功能态、对日定向态和通信保持态。三者并非互斥，而是按能源与姿态条件组合使用。

• 最小功能态：仅保留星务计算机最小任务集、姿控敏感器与执行机构的基本供电、测控应答机接收通道。载荷全部断电，加热器仅维持关键部件温度下限。此态功耗最低，是能源告急时的首选。
• 对日定向态：在最小功能基础上，由姿控系统驱动帆板法线指向太阳，最大化充电电流。通常采用偏航慢旋或对日捕获控制，允许姿态精度放宽到数度量级，以降低控制功耗。
• 通信保持态：保证测控应答机、发射机与天线指向可用，按预定测控弧段或自主寻星策略建立下行链路，周期性下传安全模式遥测帧，并保持上行指令接收。

实际在轨时，卫星往往先进入最小功能态稳定能源，再根据帆板电流与蓄电池电压逐步转入对日定向态，最后在测控弧段前切入通信保持态。这种“先保命、再充电、后通信”的次序，是安全模式状态机设计的常见思路。

三、进入条件的判定与优先级仲裁

安全模式的进入不能只靠单一判据，否则容易误触发或漏触发。工程上通常采用“多源判据 + 优先级仲裁”的方式。常见判据包括：星务看门狗连续复位次数超限、姿态角速度或姿态偏差超过安全阈值、蓄电池电压低于放电下限、关键部件温度越限、以及地面测控站强制注入进入指令。

这些判据并非平等，需要按优先级仲裁。一般原则是：硬件级保护优先于软件判据，能源类条件优先于姿态类条件。例如，当蓄电池电压已低于下限时，即使姿态尚未失稳，也应立即进入最小功能态，因为能源耗尽会导致整星不可逆失效；而姿态失稳但能源充足时，可先进入对日定向态尝试恢复姿态，同时保持通信。地面指令通常具有最高优先级，用于地面主动干预。

为避免抖动，判据还需设置迟滞与持续时间确认。例如，欠压判据可设为“蓄电池电压低于 22.0 V 且持续 30 s”，恢复阈值设为 24.0 V，防止在阈值附近反复进出安全模式。看门狗判据可设为“连续 3 次复位”，而非单次复位即触发。

四、一个可参考的进入判据示例

下面给出一份教学用的安全模式进入判据表，参数为合理假设值，实际型号需根据电源、姿控与热控设计确定。

仲裁逻辑可简述为：按优先级从高到低扫描，一旦某条判据满足且确认时间到，即锁定对应目标状态；若同时有多条满足，取优先级最高者。进入安全模式后，星务计算机应记录触发源、时间戳与进入前关键遥测，供地面复盘。

综上，安全模式的目标是保平台、保通信、保能源；典型状态包括最小功能态、对日定向态与通信保持态；进入条件需多源判据、优先级仲裁并配合迟滞确认。只有把“何时进、进到哪、怎么退”三件事定义清楚，安全模式才能真正成为卫星在轨异常处置的可靠底线。