1. 课程导入与安全模式定位

航天器姿态安全模式（Safe Mode）是姿态控制系统在检测到严重异常或失去正常控制能力时，自动或地面指令切入的一种保底运行状态。它的核心任务不是继续完成高精度对地定向、大角度机动或复杂载荷指向，而是以最低资源消耗维持航天器"活着"——保持能源获取、维持热控、保持测控链路，并为地面诊断和恢复争取时间。理解安全模式，首先要把它与正常姿态控制模式区分开：正常模式追求精度、响应速度和任务效能，安全模式追求生存概率、可预测性和可恢复性。

安全模式的定义与任务目标

从工程定义看，姿态安全模式是一组预设的姿态确定、控制律、执行机构配置和故障响应策略的集合。当星上自主诊断或地面判断触发条件满足时，系统按既定逻辑切换到该集合，使航天器进入一种"低功耗、低速率、高鲁棒"的姿态状态。其任务目标可归纳为四条：第一，保证太阳翼对日，维持母线功率平衡；第二，保证蓄电池和关键单机温度在允许范围内；第三，保证测控天线指向地球或可被地面站捕获；第四，保持姿态可观测、可重构，为恢复正常模式提供入口。

这四条目标之间存在耦合。例如对日定向与对地通信可能冲突，安全模式通常采用"对日为主、定期对地"或"对日加宽波束"的折中策略。设计时必须明确优先级：能源优先于通信，通信优先于载荷，载荷在安全模式下通常断电或降级。

在轨故障场景分类

安全模式的触发源来自姿态控制系统的故障谱。按故障部位和性质，可分为以下几类：

• 敏感器故障：陀螺漂移超限、星敏感器失锁、太阳敏感器输出异常、磁强计噪声增大。表现为姿态确定精度下降或姿态信息中断。
• 执行机构故障：动量轮转速饱和、轴承摩擦力矩增大、推力器阀门卡滞或泄漏、磁力矩器失效。表现为控制力矩不足或产生干扰力矩。
• 控制计算机与软件故障：控制周期抖动、模式切换逻辑错误、参数表损坏、看门狗复位。表现为控制输出异常或系统反复重启。
• 能源与热控异常：母线电压跌落、蓄电池过放、关键单机温度越限。这类故障虽不直接属于姿态控制，但会迫使姿态系统进入安全模式以保能源。
• 外部环境与任务异常：空间碎片撞击、单粒子翻转、地面指令错误、载荷异常导致整星功耗激增。

不同故障对应不同的安全模式入口和处置策略。例如陀螺故障时，安全模式可能切换为太阳敏感器加磁强计的定姿组合；动量轮饱和时，则需安排角动量卸载或切换推力器控制。

与正常姿态控制模式的关系

安全模式不是正常模式的简单降级，而是另一套完整的控制回路。正常模式通常采用高精度定姿（星敏+陀螺）、高带宽控制律和精细执行机构分配；安全模式则采用冗余定姿、低带宽控制律和保守执行机构分配。两者共享硬件资源，但软件参数、控制周期、故障判断门限和恢复条件均不同。

从状态机角度看，正常模式与安全模式之间通过"故障触发—安全进入—地面诊断—恢复尝试—正常回归"的路径连接。安全模式是正常模式的保护壳，正常模式是安全模式的恢复目标。设计良好的安全模式应具备"进入快、驻留稳、退出可控"三个特征。

本课程知识地图与学习路径

本课程围绕"安全模式设计"这一主线，按"概念—设计—验证—运维"四个层次展开，共30章。前6章建立基础认知：安全模式定义、故障场景分类、与正常模式的关系、设计约束与指标、坐标系与姿态描述、安全模式总体架构。第7至14章进入设计核心：安全模式触发逻辑、定姿方案设计、控制律设计、执行机构配置与分配、能源与热控协同、通信链路保障、模式切换与恢复策略、参数表与门限设计。第15至22章聚焦验证与测试：数学仿真、半物理仿真、故障注入测试、边界条件测试、在轨数据复盘、典型故障案例分析、安全性分析与FMEA、可靠性增长。第23至30章面向工程实践与前沿：星上自主诊断、人工智能辅助决策、多星协同安全、深空探测安全模式特殊性、在轨维护与升级、设计评审要点、标准与规范、课程综合设计项目。

学习路径建议按"先建立状态机思维，再深入单机与算法，最后回到系统集成"的顺序推进。每章均配有可执行的示例参数、判断门限和验证方法，读者应结合自身型号背景，将通用方法映射到具体航天器的姿态控制架构中。

安全模式设计的本质，是在资源受限、信息不完整、时间紧迫的条件下，为航天器保留一条"活下去"的路径。它不追求最优，而追求可靠、可预测、可恢复。掌握这一原则，是理解后续所有设计方法的前提。