1. 课程导入与GNC边界工况验证全景

航天器GNC（Guidance, Navigation and Control，制导、导航与控制）系统是决定飞行任务成败的核心子系统。它要回答三个基本问题：我在哪里、我要去哪里、我如何到达。对应地，导航分系统解算当前状态，制导分系统生成期望轨迹与指令，控制分系统驱动执行机构跟踪指令。三者构成闭环，任何一环在极端条件下失效，都可能导致姿态失稳、轨道偏差甚至任务失败。因此，GNC验证不能只验证"正常工作"，更要验证"边界工作"。

一、GNC系统的组成与信号链

从工程实现看，GNC系统由敏感器、计算机、执行机构和软件算法四类要素构成。敏感器包括星敏感器、太阳敏感器、陀螺、加速度计、GNSS接收机等，负责测量姿态与轨道信息；GNC计算机运行导航滤波、制导律和控制律；执行机构包括动量轮、控制力矩陀螺、磁力矩器、推力器等，负责产生控制力矩与力。软件算法则贯穿测量处理、状态估计、指令生成与分配全过程。

理解GNC验证，首先要理解它的信号链：物理环境 → 敏感器测量 → 导航滤波 → 制导指令 → 控制律 → 执行机构 → 航天器动力学 → 新的物理状态。这条链上每一环都有其适用区间，超出区间即进入边界工况。验证的本质，就是确认这条链在边界处仍然收敛、稳定、可控。

二、什么是边界工况

边界工况（Boundary Condition）不是"故障"，而是系统设计包线边缘的合法工作状态。它通常出现在三类维度上：环境边界（如强光、深冷、高辐射、磁场异常）、状态边界（如大姿态角、高角速度、低轨道高度、大偏差）、资源边界（如陀螺饱和、动量轮转速上限、推力器最短脉宽、计算周期余量不足）。

以动量轮为例，其转速存在上限。当航天器持续受到外部干扰力矩，动量轮转速会逐渐累积，接近饱和时控制能力急剧下降。此时若制导指令仍要求大角速度机动，控制律输出将超出执行机构能力，闭环进入非线性饱和区。验证要回答的是：在轮速达到90%额定值时，系统是否仍能完成姿态保持？若不能，是否有卸载策略及时介入？

再以星敏感器为例，其测量精度依赖视场中恒星数量与分布。当太阳进入视场或地球反照光过强时，星敏可能输出无效或错误姿态。验证要确认：在星敏短暂失效期间，陀螺递推能否维持姿态精度？导航滤波的协方差是否发散？恢复后能否快速重新收敛？

三、验证目的与证据链

GNC边界工况验证的目的不是"证明系统不会坏"，而是建立从任务剖面到验证证据的可追溯链条。这条证据链包含四个层次：

• 任务剖面：明确航天器在发射、入轨、在轨运行、机动、返回等阶段的工作模式与外部条件。
• 边界识别：从任务剖面中提取可能触发边界工况的时段与参数组合。
• 验证用例：将边界条件转化为可执行的仿真、测试或试验用例，明确输入、判据与通过标准。
• 证据归档：记录仿真日志、测试数据、分析报告，形成可审查、可复现的验证证据。

这四层之间必须一一对应：每一个边界工况都应有对应的验证用例，每一个用例都应有明确的通过判据，每一个判据都应有可追溯的数据支撑。缺少任何一环，验证结论都不可信。

四、课程路线图

本课程共30章，围绕"边界工况验证"这一主线展开。前段建立基础：GNC组成、边界定义、验证体系与证据链。中段深入方法：敏感器边界、执行机构边界、导航滤波边界、制导律边界、控制律边界，以及仿真、半物理测试、在轨验证三类手段。后段聚焦实践：用例设计、判据制定、数据分析、故障注入、复盘改进。最终目标是让学员能够独立完成从任务剖面到验证证据链的完整设计。

五、从任务剖面到验证证据链的示例

以一个低轨遥感卫星的侧摆机动为例。任务剖面要求：卫星在轨运行期间，需在90秒内完成30°侧摆机动，以便对目标区域成像。边界识别发现：机动角速度峰值可能达到1.2°/s，接近陀螺量程的80%；机动结束后需快速稳定，动量轮转速可能接近饱和。

验证用例设计为：在数学仿真中注入陀螺量程80%的角速度输入，设置动量轮初始转速为额定值的85%，执行30°侧摆机动，记录姿态误差、轮速变化和稳定时间。通过判据为：姿态误差小于0.05°，稳定时间小于20秒，轮速不超过额定值的95%。若仿真结果不满足判据，则需调整控制参数或增加卸载策略，并重新验证。