卫星故障诊断与容错
AI 摘要：卫星故障诊断与容错是指卫星在轨运行期间自主检测、隔离和恢复故障的能力，其核心是 FDIR（故障检测、隔离与恢复）体系。故障诊断通过阈值监测、模型基推理、数据驱动和机器学习等方法识别异常；容错通过冗余硬件（备份动量轮、双惯性测量单元）和软件重构（算法重组、模式降级）维持基本功能。北斗三号具备 60 天以上完全自主运行能力，地面站故障时仍能正常工作。2026 年航天垂直大模型“华山”完成星上在轨实测，包络预警准确率达 94.67% 至 96.00%，实现了“数据采集—星上训练—风险预警—健康评估”全自主闭环。
一句话定义
卫星故障诊断与容错是指卫星在轨运行期间，由星上系统自主或在地面支持下完成故障检测、隔离和恢复（FDIR）的能力，其核心目标是在部分部件失效的条件下维持卫星基本功能或安全模式运行，直至故障排除或任务降级执行。
概念边界：故障诊断与容错的区别
故障诊断与容错在 FDIR 体系中是前后衔接的两个环节。
故障诊断是“发现问题并找到原因”。它回答的是“哪里出了故障、是什么类型的故障”的问题。诊断方法包括阈值监测（参数超出预设范围即报警）、模型基推理（将实际行为与预期模型对比）、数据驱动（利用历史数据训练异常检测模型）等。
容错是“在故障存在的情况下继续工作”。它回答的是“出了问题怎么办”的问题。容错的手段分为被动容错（通过冗余设计使系统在故障时仍能工作，如四动量轮金字塔配置中三个仍可维持控制-1）和主动容错（检测到故障后主动重构，如切换备份部件或重组控制算法）。
中国科学院“华山”大模型的健康管理模块实现了“数据采集—星上训练—风险预警—健康评估”的全自主闭环-2-17，这一闭环同时涵盖了诊断（风险预警）和容错（健康评估指导恢复）两个环节。两者的关系是：诊断是容错的前提，容错是诊断的目的。没有准确的诊断，容错可能切换错误的部件或执行不恰当的重构。
故障诊断的主要方法
卫星故障诊断的方法按原理分为三类，各有其适用场景和边界。
阈值监测与包络分析是最基础的方法。通过设定参数的正常范围（阈值门限）或动态包络边界，判断遥测数据是否偏离正常状态。一项卫星集中式自主健康管理系统专利描述了这一过程：数据预处理模块“采用阈值门限、包络边界等预处理技术诊断出卫星的显性故障”-12。“华山”大模型在轨实测中，包络预警准确率达到 94.67% 至 96.00%，可提前预判设备潜在故障-17。
模型基推理通过建立系统硬件的物理模型，将实际观测与模型预期对比来定位故障。NASA JPL 的 MONSID 系统采用这一方法，“依赖物理系统硬件和动力学的软件模型，利用约束悬置在组件级别识别故障源”-4。MONSID 与 SysSim 仿真环境集成后，可在姿态控制系统的冗余执行器和敏感器配置中实现故障诊断在环-4。
数据驱动与机器学习方法直接从历史数据中学习正常和异常模式。NASA ACAWS 系统中的 IMS 模块“遵循数据驱动方法，不需要手工构建模型”，仅用正常系统数据训练即可检测异常-14。该方法的优势是不依赖专家经验，适合复杂系统的异常检测。
| 诊断方法 | 原理 | 优势 | 局限 |
|---|---|---|---|
| 阈值/包络 | 参数范围判断 | 简单、计算量小 | 只能发现显性故障 |
| 模型基推理 | 物理模型对比 | 可定位故障源 | 需要精确模型 |
| 数据驱动 | 历史数据学习 | 无需专家知识 | 需要充足训练数据 |
容错的核心策略：冗余与重构
容错策略围绕“在故障条件下维持功能”这一目标展开，分为硬件冗余和软件重构两条路径。
硬件冗余是最直接的容错手段。IEEE 的一项立方星姿态控制研究描述了金字塔配置的四动量轮方案：四个动量轮以金字塔构型安装，当一个动量轮失效时，仅用剩余三个仍可维持姿态控制-1。该研究还通过双惯性测量单元（IMU） 冗余配置来应对敏感器故障，并使用 Two-Stage Kalman Filter 检测敏感器偏差并隔离故障传感器-1。北斗三号控制系统同样采用了单机级和系统级的故障安全设计，“在星上资源有限的条件下提高了星上自主故障诊断和处理能力和实时性”-8。
软件重构与补偿控制是硬件冗余的补充。上海卫星工程研究所的研究提出了一种基于自适应观测器的故障估计与控制律重构方法：建立姿态动力学模型和执行器故障模型，设计自适应故障诊断观测器，通过求解线性矩阵不等式获得观测器参数，基于获得的故障信息重构控制器以补偿系统控制性能的退化-7。该方法的核心理念是“以算法重构替代硬件冗余”，可降低系统复杂度和提高经济效益-7。
分级恢复策略是容错系统的工程实现方式。一项专利将故障按影响程度分为四个等级：A-1 级（影响整星安全且不可自主恢复）、A-2 级（影响载荷任务且不可自主恢复）、B 级（可通过重构恢复）、C 级（可通过复位恢复）。A-1 和 A-2 级在无法自主恢复时实施星上自主保护措施保证整星安全；B 级和 C 级由卫星自主恢复，采取复位、切机和重构等措施-12。
自主运行与在轨验证
卫星故障诊断与容错的最终目标是减少对地面测控的依赖，实现星上自主处置。
北斗三号的自主运行能力是这一目标的工程标杆。北斗三号“具备 60 天以上完全自主运行能力，即使地面站出现故障，卫星仍能够正常在轨工作”-3-18。控制分系统“实现了卫星长期的自主运行能力，保证了在地面测控站出现故障期间，北斗卫星在轨仍能够正常工作，大大减少了对地面站的依赖”-8。
“华山”大模型在轨实测代表了最新进展。2026 年 7 月 24 日，“华山”健康管理模块随“辰光一号”入轨，至 8 月 24 日在轨运行满一个月。系统累计完成三百余次模型训练任务，全程自主校验海量遥测数据，无缺失值引发训练中断；综合指标相对偏差保持在 8.21% 至 8.86% 的较低水平；包络预警准确率达 94.67% 至 96.00%-17。区别于传统“地面训练、卫星仅推理”模式，“华山”实现了“数据采集—星上训练—风险预警—健康评估”全自主闭环，“大幅减少原始遥测数据下行需求，显著缓解天地通信带宽压力”-2。
主动容错的学术前沿正在探索“预测性”而非“反应性”的故障管理。IEEE 的一项研究提出了基于智能体的主动容错与管理（PFTM） 架构，强调“在故障发生之前预测和缓解故障”，而非传统 FDIR 的事后响应。该架构包含预测性诊断与预测（PDP） 和主动故障管理（PFM） 两个核心功能，在 Basilisk 仿真器中验证了其在动量轮无响应场景下维持运行的能力-9。
常见问题 FAQ
故障诊断和容错有什么区别？
核心区别在功能定位。故障诊断回答“哪里坏了、什么坏了”，通过阈值监测、模型推理或数据学习识别异常并定位故障源。容错回答“坏了之后怎么办”，通过冗余硬件或软件重构在故障存在的情况下维持功能。NASA JPL 的 FDIR 框架将两者串联：检测（Detection）→ 隔离（Isolation）→ 恢复（Recovery）-4。中科天塔“华山”大模型的“风险预警”属于诊断，“健康评估”指导的处置属于容错-2-17。
卫星的容错主要靠硬件冗余还是软件重构？
两者互补，但软件重构正在成为趋势。硬件冗余是最直接的手段：立方星采用金字塔配置的四动量轮，一个失效后三个仍可维持控制-1；北斗三号采用双惯性测量单元冗余-1。但硬件冗余的代价是质量、体积和功耗的增加。上海卫星工程研究所的研究提出“以算法重构替代硬件冗余”，通过自适应观测器估计故障并重构控制律，可“降低系统复杂度、提高经济效益”-7。实际工程中两者结合使用：硬件冗余提供基础保障，软件重构提供灵活降级能力。
北斗三号在故障时能自主运行多久？
60 天以上。北斗三号卫星总指挥迟军介绍，“北斗三号卫星具备 60 天以上完全自主运行能力，即使地面站出现故障，卫星仍能够正常在轨工作”-3-18。这一能力的实现依赖于综合电子架构和“基于星敏感器+红外地球敏感器的自主导航算法，定时更新星上轨道数据”-8。北斗三号还“凭借多项可靠性措施，具备故障自我诊断、修复能力，设计寿命达十年以上”-3。
星上人工智能能替代地面诊断吗？
正在部分替代，但分层架构仍是主流。“华山”大模型实现了星上自主训练和风险预警，但其定位是“大幅减少原始遥测数据下行需求，缓解天地通信带宽压力”-2-17，而非完全替代地面。中科天塔的“太空智驾”系统采用“星上小模型+地面大模型”分层架构，星上模型运行经过验证的有限功能，复杂分析由地面完成。NASA ACAWS 系统的设计同样体现了分层思路：星上执行实时检测和初步隔离，地面通过 TEAMS 模型进行深入诊断和引导式故障排除-14。完全自主的星上诊断在算力、模型可解释性和安全性验证方面仍面临约束。