2. GNC边界工况的来源与分类
边界工况不是凭空构造出来的测试用例，而是从任务、环境、系统和故障四个维度中“提取”出来的极端组合。理解这一点，是构建可验证、可追溯边界工况集的前提。本节围绕“从哪里来、怎么分类、如何形成清单”三个问题展开，重点说明提取逻辑与分类方法，并给出一份可直接参考的典型边界清单构建示例。
一、边界工况的四个来源维度
GNC（制导、导航与控制）系统的边界工况，本质上来自四类约束的交集：任务要求系统做什么、环境允许系统在什么条件下工作、系统自身处于什么状态、以及系统可能以什么方式失效。这四个维度分别对应任务剖面、环境剖面、系统状态和故障模式。
任务剖面描述的是飞行任务在时间轴上的阶段划分与关键事件。以近地轨道交会任务为例，典型阶段包括：发射段、入轨段、远距离导引段、近距离自主交会段、停靠段、组合体飞行段和分离段。每个阶段对GNC的要求不同——远距离导引段关注轨道递推精度和发动机点火时序，近距离交会段关注相对导航敏感器的测量范围与刷新率，停靠段则关注接触动力学与姿态保持能力。边界工况往往出现在阶段切换点附近，例如远距离导引转近距离交会的交接条件，就是典型的边界场景。
环境剖面描述的是任务全过程中可能遭遇的外部条件极值。对GNC而言，关键环境因素包括：太阳光照角与阴影区时长、地磁活动强度、大气密度摄动、温度交变范围、以及空间辐射环境。例如，当太阳光照角接近敏感器视场边缘时，星敏感器的可用星数会下降；当轨道进入地影区时，太阳敏感器失效，系统需要切换至惯性导航或星敏感器组合模式。这些环境极值直接构成边界工况的输入条件。
系统状态描述的是GNC系统自身的配置与健康状态。包括：敏感器组合方式（如星敏感器+陀螺、太阳敏感器+磁强计）、执行机构可用数量（如反作用飞轮三轴正交+斜装冗余）、以及系统工作模式（正常模式、安全模式、故障降级模式）。系统状态的变化会改变控制律的适用边界，例如当某一轴飞轮失效时，剩余飞轮的力矩分配矩阵发生变化，控制精度和机动能力都会下降，此时系统进入降级边界。
故障模式描述的是系统可能出现的失效形式及其传播路径。GNC典型故障包括：陀螺漂移超限、星敏感器输出跳变、飞轮摩擦力矩异常、推力器泄漏、以及控制计算机复位。故障模式对边界工况的贡献在于，它定义了“系统在异常状态下仍应满足的最低性能要求”，例如单轴陀螺失效后，系统应能在规定时间内完成故障检测与隔离，并切换至备份敏感器组合，这一过程的时间窗口和姿态误差容限就是边界工况。
二、边界工况的分类方法
从上述四个来源提取出的边界条件，需要经过分类才能形成可管理的工况集。常用的分类维度有三个：按边界类型分、按影响程度分、按验证阶段分。
按边界类型分，可分为参数边界、时序边界和逻辑边界。参数边界指某个物理量达到允许范围的上下限，如姿态角速度达到最大机动能力、相对距离达到敏感器切换阈值。时序边界指事件发生的时间窗口或顺序约束，如故障检测必须在200ms内完成、模式切换必须在500ms内稳定。逻辑边界指条件判断的临界组合，如“光照角大于阈值且星敏感器可用星数小于3颗”同时成立时，系统应进入何种模式。
按影响程度分，可分为安全边界、任务边界和性能边界。安全边界涉及系统或人员安全，如姿态失控、推进剂泄漏，必须优先验证。任务边界影响任务成败，如交会失败、燃料不足，需重点验证。性能边界影响任务效率，如姿态稳定度略低于指标，可在资源允许时验证。
按验证阶段分，可分为设计验证边界、集成测试边界和在轨飞行边界。设计验证边界用于早期仿真，集成测试边界用于地面试验，在轨飞行边界用于飞行程序确认。不同阶段的边界工况在精度、实时性和覆盖范围上要求不同。
三、典型边界清单构建示例
下面以近地轨道交会任务的GNC系统为例，给出一份典型边界清单的构建示例。清单字段包括：编号、来源维度、边界类型、边界条件描述、验证阶段和判据。表中参数为教学示例，实际任务需根据具体指标调整。
| 编号 | 来源维度 | 边界类型 | 边界条件描述 | 验证阶段 | 判据 |
|---|---|---|---|---|---|
| BC-01 | 任务剖面 | 时序边界 | 远距离导引转近距离交会，相对距离从50km切换至5km，切换时刻相对速度误差≤0.5m/s | 集成测试 | 切换后30s内相对导航收敛，位置误差≤10m |
| BC-02 | 环境剖面 | 参数边界 | 太阳光照角85°，星敏感器可用星数降至2颗，持续时长120s | 设计验证 | 姿态确定精度≤0.05°，模式切换至陀螺+星敏组合 |
| BC-03 | 系统状态 | 逻辑边界 | 三轴飞轮中X轴失效，剩余Y、Z轴飞轮力矩饱和，需进行姿态机动 | 集成测试 | 机动后姿态误差≤0.5°，机动时间≤120s |
| BC-04 | 故障模式 | 时序边界 | 陀螺漂移率突增至0.1°/h，故障检测与隔离时间≤200ms | 在轨飞行 | 隔离后切换至备份陀螺，姿态误差≤0.1° |
| BC-05 | 任务剖面+环境剖面 | 参数边界 | 停靠段，相对距离0.5m，相对速度0.02m/s，同时进入地影区 | 集成测试 | 停靠成功，接触力≤50N，姿态偏差≤0.2° |
清单构建完成后，还需进行覆盖性检查：四个来源维度是否均有覆盖、三类边界类型是否均有覆盖、三个验证阶段是否均有覆盖。若某一维度缺失，应补充相应工况。例如，若清单中缺少“系统状态”维度的降级模式工况，则需增加飞轮失效或敏感器故障的边界场景。
四、从清单到验证的衔接
边界清单构建完成后，下一步是将其映射到具体的验证手段。对于参数边界，通常采用蒙特卡洛仿真或极限工况注入；对于时序边界，采用实时仿真或硬件在环测试；对于逻辑边界，采用故障注入或模式切换测试。验证结果应反馈回清单，更新判据或补充新的边界工况，形成迭代闭环。
需要强调的是，边界工况的提取不是一次性工作，而是随着任务阶段推进、系统状态变化和故障模式更新而持续迭代的过程。在任务设计初期，边界清单可能只有几十条；随着系统详细设计和试验验证的深入，清单会逐步扩充到数百条，并按照优先级和验证阶段进行分层管理。只有保持清单的完整性和可追溯性，才能确保GNC系统在真实飞行中遇到边界条件时，仍能保持可控、可恢复的工作状态。