3. 姿态敏感器与执行机构在安全模式中的角色

安全模式的核心任务只有两条：在异常发生后尽快把航天器从失控或高风险姿态中拉回到一个可长期维持的稳定状态，并在此状态下保留恢复主模式的能力。完成这两条任务，靠的是敏感器提供“我在哪、我在怎么转”，执行机构提供“我能往哪转、用多大代价转”。因此，安全模式设计的第一步不是写控制律，而是清点敏感器与执行机构的可用性，并据此确定降级策略与适配方式。

一、敏感器的可用性分级与降级策略

安全模式对姿态信息的需求可以拆成三层：速率信息（判断是否在翻滚、角速度多大）、姿态基准（确定本体相对惯性或轨道的位置）、方向参考（确定太阳、地磁、地球等外部矢量方向）。不同敏感器覆盖的层次不同，失效后的降级路径也不同。

陀螺提供三轴惯性角速度，是安全模式中最不可替代的敏感器。它不依赖外部视场，进入安全模式后仍能立即给出角速度，用于速率阻尼和翻滚判断。陀螺的典型降级是精度降级而非功能丧失：当某个陀螺漂移增大或输出饱和时，可将其从定姿滤波中剔除，仅保留角速度用于阻尼控制；若三轴陀螺全部失效，则必须依靠太阳敏感器或磁强计差分来估计角速度，控制带宽和阻尼效果都会明显下降。工程上常设置“陀螺有效标志”和“陀螺漂移超限标志”，安全模式据此选择速率阻尼增益。

星敏感器精度最高，但视场窄、易受太阳和地球杂光干扰，且需要较长的星图识别与跟踪时间。进入安全模式后，星敏通常不是首选，而是作为“恢复主模式”的定姿手段。其降级策略是：安全模式初期关闭星敏或将其置于待机，待姿态稳定、太阳规避完成后，再尝试恢复星敏定姿；若连续多次识别失败，则保持太阳敏感器加磁强计的粗定姿，不强行使用星敏。

太阳敏感器是安全模式最常用的姿态基准。它视场大、可靠性高、输出太阳方向矢量，配合已知的太阳星历即可确定本体相对太阳的方位。其局限是只能给出太阳方向，绕太阳视线的滚转不可观测。因此太阳敏感器的降级策略通常是“降维使用”：由太阳敏感器确定俯仰和偏航，滚转由磁强计或地球敏感器补充；若太阳敏感器部分探头失效，则用剩余探头重构太阳矢量，精度下降但仍可维持对日定向。

磁强计测量地磁矢量，在近地轨道安全模式中承担滚转参考和角速度辅助估计。它不受太阳视场限制，但易受星上磁力矩器、电流回路和剩磁干扰。降级策略包括：磁力矩器工作时对磁强计做干扰补偿或短暂闭锁；磁强计单轴失效时用剩余两轴加地磁模型重构；在磁暴或地磁异常时降低磁强计权重，避免错误参考引入控制发散。

红外地球敏感器提供滚动和俯仰相对当地垂线的信息，适合地球指向安全模式。其缺点是易受太阳、月球进入视场以及地球红外辐射随季节和纬度变化的影响。降级策略是：当太阳或月球进入视场时暂时闭锁输出，用陀螺短时保持；当辐射基准漂移时，用星敏或太阳敏感器定期标定，而不是长期单独依赖地球敏感器。

二、执行机构的安全模式适配性

执行机构的选择取决于安全模式要维持的姿态和可接受的代价。安全模式通常要求长期稳定，因此优先选择低功耗、可长期工作的执行机构，而把高力矩、高消耗的推力器留给紧急捕获。

动量轮提供连续、精细的控制力矩，是姿态保持的首选。但动量轮在安全模式中面临两个问题：一是饱和，长期对日定向时太阳光压等扰动力矩会使轮速持续上升，必须通过磁力矩器或推力器卸载；二是单轮失效，三轴动量轮系统中若一轮卡死或失效，剩余两轮无法独立完成三轴控制，需要重构控制分配或改用磁力矩器加推力器组合。安全模式中动量轮的适配策略是：保留健康轮用于精细保持，同时监控轮速，接近饱和阈值时自动触发卸载，卸载期间姿态由其他执行机构短时接管。

磁力矩器功耗低、无工质消耗，适合长期速率阻尼和动量卸载，是近地轨道安全模式的主力。其局限是控制力矩方向必须垂直于地磁矢量，在某一时刻只能产生两维独立力矩，且力矩大小受地磁强度和磁矩上限约束。因此磁力矩器通常与动量轮配合：磁力矩器负责卸载和慢速阻尼，动量轮负责快速响应和精细指向。安全模式中若动量轮全部失效，可仅靠磁力矩器实现速率阻尼和对日定向，但收敛时间会从分钟级延长到数十分钟级。

推力器力矩大、响应快，能在短时间内完成大角度姿态捕获和紧急速率阻尼，但消耗推进剂，且喷气会对太阳敏感器、星敏视场产生干扰。安全模式中推力器的适配策略是“限时、限次、限方向”：仅在角速度超过安全阈值或姿态偏差过大时使用，且优先使用不污染敏感器视场的喷管组合；一旦角速度进入磁力矩器和动量轮可处理的范围，立即切换回低功耗执行机构，把推进剂留给后续恢复主模式。

三、降级策略的工程实现要点

把上述策略落到星上软件，关键是建立一张“可用性—执行机构”映射表，并让安全模式在每个控制周期重新评估。一个可参考的实现思路是：为每个敏感器和执行机构设置健康标志、精度等级和权重，安全模式根据当前标志选择定姿源组合和控制分配矩阵。例如，当陀螺健康、太阳敏感器健康、磁强计健康时，采用陀螺加太阳加磁强计的组合定姿，动量轮加磁力矩器控制；当陀螺失效时，切换为太阳敏感器差分加磁强计估计角速度，控制增益降低，磁力矩器权重提高。

需要强调的是，降级不是简单地“关掉坏的东西”，而是重新分配信息源和控制力，使系统在剩余资源下仍能完成安全模式的核心目标。敏感器降级要保证姿态可观测，执行机构降级要保证控制可实现，两者必须联合设计。安全模式的成功判据不是精度多高，而是在资源受限和部分失效条件下，航天器仍能稳定、可恢复地存活。