📚 课程目录第4章安全模式触发条件与进入逻辑设计

4. 安全模式触发条件与进入逻辑设计

安全模式的触发条件设计，本质上是回答两个问题：“什么情况下必须进入安全模式”以及“由谁、以什么方式进入”。前者依赖故障检测与诊断（FDD）系统给出的异常判据，后者则涉及自主进入与地面指令进入之间的权衡。本节围绕这两条主线展开，重点说明FDD输出接口如何被安全模式逻辑消费、姿态与角速度判据如何量化、能源与热控约束如何参与触发，以及自主与地面两种进入路径的分工与切换。

一、FDD输出接口：从诊断结果到触发信号

FDD系统通常输出三类信息：故障标志（Flag）、故障置信度（Confidence）和故障等级（Level）。安全模式触发逻辑并不直接使用原始遥测，而是消费FDD的结构化输出。一个典型的接口约定如下：

故障标志：布尔量，表示某部件或某功能是否被判定为异常，例如“陀螺A失效=1”。
故障置信度：0～1之间的浮点数，反映诊断算法对判定的确信程度。安全模式可设置阈值，例如置信度≥0.8才视为“确认故障”。
故障等级：枚举量，如“警告/严重/致命”，不同等级对应不同的触发策略。

安全模式触发逻辑接收这些输出后，需要做去抖与确认。例如，角速度超限判据若直接使用瞬时值，可能因噪声误触发；因此通常要求连续N个控制周期（如3个周期，每周期0.1s）均满足超限条件，才置位触发标志。这一过程可表示为：

if (gyro_fault_flag == 1 && gyro_confidence >= 0.8) {
    trigger_source = GYRO_FAULT;
    trigger_valid = 1;
}
if (angular_rate > RATE_LIMIT && rate_counter >= 3) {
    trigger_source = RATE_EXCEED;
    trigger_valid = 1;
}

这里RATE_LIMIT是角速度超限阈值，rate_counter是连续超限计数器。实际设计中，不同触发源会并行判断，最终通过“或”逻辑汇总为safe_mode_request。

二、姿态异常判据与角速度超限判据

姿态异常判据通常基于姿态误差角和姿态角速度两个维度。以对地定向航天器为例，设当前姿态相对目标姿态的误差角为θ_err，误差角速度为ω_err。安全模式触发条件可设计为：

θ_err > 15° 且持续2s，判定为“姿态大偏差”；
ω_err > 0.5°/s 且持续1s，判定为“姿态失控趋势”；
两者同时满足时，直接触发安全模式，无需等待持续时间。

角速度超限判据则更直接：当三轴角速度中任意一轴超过RATE_LIMIT（例如2°/s）时，触发角速度超限。但需注意，角速度超限可能是瞬态扰动，也可能是执行机构饱和或敏感器故障。因此，安全模式逻辑中通常将角速度超限与FDD的陀螺故障标志联合判断：若角速度超限且陀螺无故障，则优先尝试用备份执行机构抑制；若角速度超限且陀螺故障，则直接进入安全模式。

三、能源与热控约束触发

安全模式不仅要应对姿态异常，还要应对平台资源约束。能源约束触发条件通常包括：

电池荷电状态（SOC）低于30%且太阳阵输出功率低于负载需求；
母线电压低于28V（示例值）持续5s；
放电电流超过额定值1.2倍持续3s。

热控约束触发条件则包括：关键单机温度超过上限（如+55℃）或低于下限（如-10℃），或热控回路失效导致温度变化率异常。这些约束触发安全模式时，安全模式的任务不仅是姿态安全，还包括能源与热控的自主管理，例如调整太阳阵对日定向、关闭非必要负载、切换备份加热回路等。

四、自主进入与地面指令进入的权衡

自主进入与地面指令进入并非互斥，而是分层配合。自主进入的优势在于响应快，可在通信中断或地面来不及干预时保护航天器；地面指令进入的优势在于可结合全局态势判断，避免因单点故障误触发。典型的权衡策略是：

致命故障（如陀螺全部失效、姿态完全失控）：自主进入，不等地面指令；
严重故障（如单陀螺失效、角速度超限但可控）：自主进入并同时向地面报警，地面可后续干预；
警告级故障（如温度偏高、SOC偏低）：仅报警，由地面决定是否进入安全模式。

此外，自主进入后应设计退出条件：当故障消失且姿态稳定、能源恢复后，可自主退出或等待地面指令退出。退出条件同样需要去抖，避免在故障边界反复切换。

五、触发逻辑的工程实现要点

在实际工程中，安全模式触发逻辑通常以状态机形式实现。状态包括“正常模式”“安全模式请求”“安全模式执行”“安全模式退出”。触发条件作为状态迁移的输入，迁移动作包括切换控制律、关闭负载、调整太阳阵等。一个关键设计是触发优先级：当多个触发源同时有效时，按“致命 > 严重 > 警告”的顺序处理，避免低等级触发覆盖高等级触发。

此外，触发逻辑需要与故障隔离配合。例如，若角速度超限由陀螺故障引起，安全模式应优先切换至备份陀螺或采用无陀螺控制模式，而不是直接进入安全模式。因此，FDD输出接口中应包含“故障部件标识”，安全模式逻辑据此选择对应的隔离与重构策略。

设计提示：安全模式触发阈值不宜设置过紧，否则易误触发；也不宜过松，否则可能错过最佳保护时机。建议在系统级仿真中，结合典型故障注入案例，对阈值进行敏感性分析，确定兼顾安全性与可用性的折中值。

综上，安全模式触发条件与进入逻辑设计，核心在于多源判据的融合、自主与地面的分层配合、以及触发后的隔离与重构。只有将FDD输出、姿态判据、角速度判据、能源热控约束统一纳入触发框架，并明确自主与地面进入的边界，才能保证航天器在异常情况下既快速响应，又避免误动作。