2. GNC故障模式与影响分析

GNC（制导、导航与控制）分系统是航天器实现姿态确定、轨道控制与自主机动的核心。与一般电子系统不同，GNC的故障往往不是"单点失效"那么简单：一个敏感器漂移会经滤波与导航解算放大为姿态误差，再经控制律转化为错误的执行机构指令，最终可能演化为姿态失控或推进剂异常消耗。因此，故障模式与影响分析（FMEA）在GNC中的价值，不在于罗列"哪些部件会坏"，而在于把"故障模式—传播路径—任务影响"这条链条讲清楚，从而为检测门限设计、冗余切换逻辑和重构策略提供依据。

一、四类典型故障模式

按GNC的信息流顺序，可把典型故障模式归为敏感器、执行机构、星载计算机与软件四类，每类的物理机理与可观测特征差异明显。

敏感器类。星敏感器常见故障包括：视场被太阳或地气光污染导致的短时无效输出、星图识别失败引起的"无姿态解"、以及长期在轨后因辐射累积产生的固定偏差漂移。陀螺的典型模式是零偏漂移、标度因数误差和输出饱和；太阳敏感器则易出现遮挡导致的输出跳变。敏感器故障的关键特征是"测量值偏离真值但仍在量程内"，因此单靠量程判断往往无法发现，需要借助多源一致性比对。

执行机构类。动量轮常见故障为轴承摩擦力矩增大、转速饱和（无法继续吸收角动量）和绕组开路；推力器则表现为推力下降、阀门卡滞或泄漏；控制力矩陀螺（CMG）存在框架角速度异常与奇异回避失败。执行机构故障的特点是"指令与响应不匹配"，例如指令力矩为正而实际角加速度偏小甚至反向，这类残差是检测的核心依据。

星载计算机类。包括CPU运算错误、存储器单粒子翻转（SEU）、总线通信超时、看门狗复位以及供电瞬态跌落。其影响往往是"整条控制回路中断或输出错误"，具有突发性和全局性。

软件类。典型模式有任务调度超时、滤波发散、模式切换逻辑死锁、参数表越界以及数值溢出。软件故障隐蔽性强，常表现为"系统仍在运行但行为异常"，例如卡尔曼滤波因量测异常而发散，导致姿态估计值缓慢偏离。

二、故障传播路径

GNC的故障传播遵循"感知—解算—决策—执行"的信息链。以陀螺零偏漂移为例：陀螺输出叠加缓慢增长的偏差 → 姿态确定模块将其误认为真实角速度 → 姿态估计值随时间漂移 → 控制律计算出错误的姿态误差 → 动量轮持续输出纠偏力矩 → 轮速单向累积直至饱和 → 姿态控制能力丧失。这条路径中，故障源在敏感器，但最先暴露的却是执行机构的饱和告警，若只在执行机构侧设检测，就会错过最佳处置窗口。

再看星载计算机总线超时：总线通信中断 → 敏感器数据无法更新 → 导航滤波器使用陈旧数据继续外推 → 姿态估计协方差迅速增大 → 控制指令基于不可信状态生成 → 可能触发误机动。可见故障传播具有"跨模块、逐级放大、延迟暴露"三个特征，这也是GNC FMEA必须做路径分析而非单点分析的原因。

三、任务影响评估的分级方法

把故障传播链落到任务影响上，需要一套可操作的分级准则。工程上常用"影响等级×发生概率"的二维评估，但GNC更关注"可恢复性"，因此建议按以下三级划分：

• 轻度影响：姿态精度下降但仍在任务允许包络内，载荷指向偏差可通过地面重规划补偿。例如星敏短时无效，陀螺单独定姿精度下降，但姿态稳定度仍满足要求。
• 中度影响：姿态出现明显偏差或执行机构接近饱和，需触发冗余切换或降级控制模式。例如单台动量轮饱和，需用其余轮重新分配角动量，或切换至喷气控制。
• 重度影响：姿态失控、能源或推进剂异常消耗，任务中断甚至航天器失效。例如陀螺零偏未被检测导致轮组全部饱和，且推力器无法及时接管。

评估时还需引入"检测时间"与"可处置时间"两个量。检测时间指从故障发生到被检测逻辑确认的时间，可处置时间指从确认到系统不可恢复之前剩余的时间。若检测时间大于可处置时间，则该故障模式即使被识别也已错过重构窗口，必须通过冗余设计或提高检测灵敏度来压缩检测时间。

四、FMEA工作表与示例

下面给出一份可直接使用的GNC FMEA工作表片段，字段围绕"故障模式—检测特征—传播路径—影响等级—重构措施"组织，示例参数为教学假设值，用于说明填写方式。

五、从FMEA到重构策略

FMEA的最终输出应能直接支撑重构决策。对每一行故障模式，需要回答三个问题：能否检测？检测后能否隔离？隔离后能否用剩余资源完成任务？以动量轮饱和为例，检测量是轮速，隔离方式是降低该轮权重或停用，重构方式是把角动量需求重新分配给其余轮或切换喷气控制。若三台轮中有一台失效，剩余两台在部分姿态方向上仍可控制，但需重新计算力矩分配矩阵，避免进入不可控方向。

对星载计算机和软件类故障，重构更多依赖冗余与降级：主计算机故障时切换备份机，软件滤波发散时重置滤波器并切换参数表。这类故障的检测往往依赖看门狗、心跳信号和协方差监控，因此FMEA中应把"监控机制是否覆盖该故障模式"作为独立检查项。

综上，GNC故障模式与影响分析的核心是把敏感器、执行机构、星载计算机和软件的典型故障，沿"感知—解算—决策—执行"链路展开传播路径，再按可恢复性划分任务影响等级，最终落到可检测、可隔离、可重构的具体措施上。只有把这条链条在设计和在轨阶段都保持清晰，GNC系统才能在故障发生时快速收敛到安全可控的状态。