卫星在轨主要故障模式、原因分析及措施建议

罗胜中，袁俊刚

（中国空间技术研究院 通信与导航卫星总体部，北京 100094）

0 引言

目前，卫星新技术和新产品的应用升级加快，以及产品研制过程存在的质量控制不到位等，使得卫星发射后依然可能发生各种各样的问题，甚至出现影响业务运行的重大故障和整星失效。

卫星在轨故障可按故障发生层次、故障影响程度、故障可修复性进行分类。在轨故障按照影响程度可分为灾难性、严重、一般和轻微故障4 级。其中，灾难性和严重故障会影响卫星系统任务的完成和卫星平台的安全工作；一般和轻微故障多为单机级的故障，对卫星任务运行和卫星平台工作没有影响或影响较小。这4 级故障的特征如下：

1）Ⅰ级（灾难性）故障：会导致整星任务失败或出现不可接受的任务降级，卫星寿命缩短1/2 以上。例如姿态失控、整星短路无法供电及指令不能发送等。

2）Ⅱ级（严重）故障：会导致分系统功能丧失或性能下降，影响有效载荷部分任务的完成，地面处理后可保障部分任务的完成，卫星寿命缩短1/4 到1/2。例如，部分蓄电池组失效或部分太阳电池阵失效，导致整星供电能力不足，致使部分有效载荷不能开机。

3）Ⅲ级（一般）故障：会导致设备（或部组件）主要功能退化或失效，通过地面处置或系统内部重组后仅失去备份设备（或部组件），不影响分系统功能和性能。例如，姿轨控系统出现某轴陀螺失效，采用其他陀螺代替后，卫星恢复正常。

4）Ⅳ级（轻微）故障：故障相对独立，对分系统功能性能没有或几乎没有影响，经过星上自主处理或地面处置后可恢复。例如，单粒子翻转事件造成星上设备自主复位，或造成设备内电路异常后，由地面发送复位指令可恢复正常。

本文重点面向卫星在轨的整星级灾难性及严重故障以及星上主要部件故障进行故障模式分析，总结了6 类灾难性及严重在轨故障模式，并从新技术及新状态的地面验证充分性、复杂工艺的稳定性、元器件及电装质量、空间环境影响、软件设计、地面操作不当等方面分析在轨故障发生的主要原因，提出相应措施建议，旨在为卫星的系统级可靠性设计、主要设备/部件的薄弱环节识别及可靠性增长提供参考。

1 灾难性及严重在轨故障模式分析

灾难性及严重在轨故障会造成卫星完全失效，或大部分载荷任务无法完成，或在轨寿命严重缩短。分析国内外近10 多年来的主要卫星灾难性及严重在轨故障情况[1-8]，归纳为以下6 类：整星供电能力严重下降；卫星无法测控；卫星姿态失控；推进系统故障影响变轨或轨道维持；卫星有效载荷故障；卫星在轨解体。

1）整星供电能力严重下降

电源是卫星在轨生存和卫星平台及有效载荷正常工作的前提。国内外卫星出现多起电源故障导致卫星失效或影响有效载荷全部开机工作[1-2]。卫星在轨供电故障模式较多，可概括为以下情况：

①太阳电池阵驱动机构在轨出现内部短路，造成电流无法输出，直接导致损失一侧太阳电池阵功率，影响部分有效载荷开机工作。例如：

欧洲电信卫星组织2019 年发射的Eutelsat-5WB[3]，入轨后南侧太阳电池阵驱动组件出现故障，导致单侧太阳电池阵无法正常工作，从而降低了卫星通信载荷功率，卫星通信能力损失过半；

某GEO 卫星，由于其太阳电池阵驱动机构内部的正母线与结构地间存在多余物，诱发弧光放电，导致母线大电流短路，进而在电缆网内造成短路故障扩散，引发整星短路和失效。

②母线电缆短路或电源控制器内功率通路短路，导致整星电源无法正常输出。例如：

某GEO 卫星由于一次母线电缆内出现破损短路，或电源控制器输出汇流条由于多余物造成对卫星结构地短路，导致整星掉电。

③太阳电池阵内分阵故障或电源控制器部分模块故障，造成母线电流或整星功率输出能力下降，致使有效载荷不能全部开机。例如：

劳拉空间系统公司研制的Galaxy 27 卫星，由于电源控制器故障导致整星功率损失一半。

某遥感卫星由于一侧太阳电池阵的充电阵电缆破损，造成充电阵短路，随后故障逐步扩散至该侧太阳电池阵所有充电阵和供电阵电缆，造成整个太阳电池阵短路，致使整星功率损失一半。

④太阳电池阵由于自身或其他原因导致其不能正常展开，使得卫星输出功率损失。例如：

劳拉空间系统公司研制的Intelsat 19 卫星，2012 年发射过程中由于太阳电池阵卡滞而无法正常展开，虽最终采取措施使得两侧太阳电池阵展开，但仍损失25%的功率；

劳拉空间系统公司研制的Sul-2 卫星，2011 年发射过程中由于太阳电池阵与整流罩发生干涉导致一侧太阳电池阵未展开，使卫星输出功率下降一半。

⑤单机内部出现短路，造成整星功率瞬间大幅下降，使得多数有效载荷和平台设备出现欠压保护而关机，进而引发整星任务中断。例如：

某GEO 卫星由于一单机内出现短路故障，造成卫星母线电压由100 V 瞬间降到约60 V，使得有效载荷设备关机、姿轨控及测控单机欠压关机，卫星遥测丢失，整星任务中断。

2）卫星无法测控

由于测控系统或数管系统故障，导致卫星无法接收指令，使得卫星无法控制而失效。例如：

Khrunichev Space Center 发射的KazSat 1 卫星，2008 年由于星载计算机故障而失去控制；

某MEO 卫星，2014 年由于遥控单元主备份均故障，无法接收上行指令，最终导致卫星无法控制而失效。

3）卫星姿态失控

卫星姿态指向控制是正常执行卫星载荷任务的前提。由于姿轨控系统软硬件故障或地面操作原因引起卫星角速度快速增大，超过卫星结构、大部件和设备的强度极限，将导致卫星大部件损坏或失效。例如：

洛马公司发射的遥感卫星WorldView-4，2019 年由于控制力矩陀螺故障造成卫星的1 个稳定轴失去控制，导致卫星无法正常完成成像任务；

日本宇宙航空研究开发机构ASTRO-H 卫星（“瞳”卫星）[4]，2016 年由于上注的控制参数错误，在卫星转入对日安全模式时，推力器持续喷气导致星体角速度快速增加到69 (°)/s，造成太阳电池阵等大部件被甩出。

4）推进系统故障影响变轨或轨道维持

推进系统如出现储箱、气瓶泄漏，或变轨发动机故障等，则无法完成卫星变轨或轨道维持任务，将造成卫星失效或寿命缩短。例如：

泰勒兹公司研制的RASCOM-QAF1 卫星，2008 年在完成第一次变轨任务后，出现氦气泄漏问题，只得改用推力器完成后续变轨任务，但导致卫星损失2 年寿命；

泰勒兹公司研制的通信卫星Eutelsat-W3B[5]，2010 年由于氧化剂储箱泄漏导致卫星未进入预定轨道；

洛马公司研制的AEHF 卫星，2010 年星箭分离后，由于变轨发动机故障[4]，改用22 N 双组元化学推力器和霍尔电推力器通过100 多天工作才完成变轨任务，且严重缩短卫星寿命；

某卫星在变轨过程中由于发动机故障，改用推力器完成变轨任务，缩短了卫星寿命。

5）卫星有效载荷故障

卫星有效载荷中存在的天线、相机等单点故障模式如果出现故障，将造成卫星失效或任务的严重降级。例如：

泰勒兹公司研制的Eutesat-W2A 卫星，2009 年由于其12 m S 频段天线入轨后未完全展开，导致卫星的移动电视重要业务无法开展。

6）卫星在轨解体

由于推进剂泄漏爆炸或受到大尺寸空间碎片撞击以及卫星之间相互撞击造成卫星解体。例如：

国际通信卫星组织运行的通信卫星Intelsat29e在轨工作3 年后，2019 年由于推进剂泄漏造成卫星解体，在GEO 产生大量空间碎片；

俄罗斯的遥感卫星“宇宙2491”，2019 年发生在轨解体，外界分析认为其可能遭受了空间碎片撞击；

美国的军用气象卫星DMSP-F13，2015 年由于蓄电池问题发生在轨解体，产生了大量空间碎片[7]；

2009 年，美国的铱星33 与俄罗斯的通信卫星Cosmos2251 发生在轨撞击而解体，在GEO 产生大量空间碎片[8]。

2 卫星主要部组件在轨故障模式分析

卫星在地面研制过程中，需经历从器件、设备到整星各类环境试验和可靠性试验，卫星入轨后多数故障模式的发生概率变得极低。但由于新技术地面验证不充分、工艺过程控制不稳定/不到位以及空间环境影响等问题，卫星在轨故障不可能完全消除。对近10 年来卫星典型设备/部件在轨主要出现的故障进行分析提炼，归纳了如表1～表4 所示的主要在轨故障模式。

表1 卫星主要微波产品在轨故障模式Table 1 On-orbit failure modes of major satellite microwave components

表2 卫星主要供配电产品在轨故障模式Table 2 On-orbit failure modes of major satellite power components

表3 卫星主要数管及热控产品在轨故障模式Table 3 On-orbit failure modes of major data management and thermal control components

表4 卫星主要姿轨控产品在轨故障模式Table 4 On-orbit failure modes of major attitude and orbit control components

表4（续）

3 在轨故障主要原因分析

总结近些年来报道的国内外卫星在轨发生的故障，其主要原因可以归纳为以下7 个方面：

1）卫星新技术或新状态地面验证及可靠性试验不充分

对卫星采用的新技术或新状态，由于缺乏全面认识，在设计上存在薄弱环节，同时地面验证未完全覆盖卫星在轨所有工作模式和工作环境，导致卫星入轨后产品出现故障。主要案例有：

某卫星的一小波束高增益滚降天线，由于反射面材料与极化栅板复合材料间热膨胀匹配性设计不合理，而热仿真建模时由于偏差未能反映出该热不匹配性，导致卫星入轨后，天线指向随太阳光照，一天内出现一定角度的东西偏转。

另外，由于对卫星高压裸露导体绝缘设计不合理，导致在轨出现短路故障；指令接口电路由于抗干扰能力设计不足导致在轨工作不稳定等。

2）新工艺或复杂工艺不稳定

由于产品工艺复杂，过程控制难度大，工艺稳定性不足，导致在轨暴露问题。主要案例有：

多颗卫星在轨出现动量轮摩擦力矩变大或控制力矩陀螺转速异常等问题。这是由于飞轮机构制造工艺复杂、精度要求高，如果轴承内部组件间匹配性不佳或轴承局部润滑油出现堆积，随着在轨运转时间的延长问题加剧，即会导致阻力矩及转速异常。

某卫星电推力器电源中的高压屏栅电源模块由于变压器漆包线绕制工艺、高压灌封工艺存在薄弱环节，导致卫星入轨后，高压模块内存在低压环境，变压器线圈发生介质阻挡放电，致使漆包线损伤而短路失效。

3）对新器件特性认识不充分及元器件质量问题

部分卫星在轨问题定位于对新器件的特性认识不充分，地面试验覆盖不全，或元器件本身存在质量问题，如瓷介电容开裂、电阻开路、运放输出特性变化、微波放大器性能衰退等。

对新器件特性认识不充分导致在轨问题的主要案例有：某卫星收发信机的某射频MCM 模块内一功率放大器由于氢效应作用导致夹断电压漂移，引起单机增益下降；某卫星的S 频段固放在轨工作后，由于GaN 功率器件存在栅金属应力，器件阈值电压漂移，器件静态和工作电流变大，器件栅控能力持续减弱，达到一定程度后器件工作电流超出单机的过流保护设计阈值，引起固放关机；大功率行波管在轨出现多起微放电导致行波管放大器关机故障，根本原因在于对行波管内的电荷积累和微放电机理未研究透彻，导致未能从设计和工艺上予以完全消除。

因元器件质量问题导致在轨故障的主要案例有：某卫星的扩频应答机在轨出现输出功率下降，定位于功放电路前端的瓷介多层耦合电容开裂；某卫星的扩频应答机出现在轨关机故障，定位于单机厚膜电源内部的某电阻阻值异常下降造成短路；某卫星的控制分系统专用电源内某电源模块出现过流保护关机故障，定位于电源模块输出侧的滤波电容出现短路失效，导致过流关机。

4）产品电装调试、整星总装过程中的质量问题造成在轨故障

产品在电装调试过程中，由于虚焊、胶接不良、射频接地不良、存在多余物、射频参数调试临界等原因，造成在轨出现产品性能下降等故障；供电安全间距控制不到位、整星电缆网绝缘处理不当时，在其他故障的诱发下会造成整星短路严重故障。

卫星地面总装操作不当时，如果缺少有效检测和试验手段，将会导致在轨问题。例如：某卫星入轨后出现星体外的热控多层被掀起的情况，影响相应敏感器性能；某卫星在轨发生双组元推进系统推力器的氧燃管路接反情况，导致推进系统故障。

5）空间辐射环境导致产品在轨不稳定或故障

随集成电路工艺的提升，元器件栅氧层厚度和节点寄生电容越来越小，因此器件受空间辐照总剂量影响越来越小，而对空间高能粒子引发的单粒子和充放电效应越来越敏感。近些年空间辐射环境引起在轨问题较多的效应主要有：

在单粒子翻转效应作用下，抗单粒子翻转能力低的SRAM 等存储器、FPGA 易发生双位或多位错误，引起单机复位或失锁，如中心计算机、姿轨控计算机在轨复位问题，扩频应答机的在轨失锁问题等；单粒子翻转效应也会造成运放、锁存器等逻辑器件状态翻转，引发单机状态错误或误触发过流保护电路导致设备关机，如某卫星的动量轮在轨掉电问题以及固放在轨关机问题。

单粒子瞬态效应对单机内部的敏感电路（如偏置电路等）产生影响，例如，某变频器的电源模块采用PWM 芯片UC1825A，在轨遭受LET 值大于5 MeV/(cm2·mg-1)的粒子照射时，单粒子瞬态效应使此芯片发生输出脉冲连续缺失情况，进而造成自持供电电压降低而使芯片功能关闭，最终导致产品关机。

高能粒子打入卫星内部，造成星内电缆等积累电荷形成内带电，当电荷积累到一定程度会发生放电，产生干扰脉冲，对弱信号通路或指令电路产生干扰，造成产品状态变化或误动作，例如：在轨出现的地球敏感器状态跳变（由窄扫跳变为宽扫）、太阳电池阵驱动机构状态跳变等问题，便是姿轨控计算机与地球敏感器和太阳电池阵驱动机构之间的电缆受到空间辐射内带电干扰所致；某接收机由于内带电放电产生的干扰造成关机指令电路误动作，导致产品在轨异常关机。

6）软件算法逻辑设计不合理、健壮性不足

近些年在轨卫星的软件问题主要体现在故障安全模式的逻辑设计、状态切换设计不合理，软件健壮性不足等。例如：某卫星在由于星敏故障进入姿轨控故障安全模式后，由于推力器频繁喷气故障报警时间设计得过长，且没有设置卫星角速度限值，造成卫星快速旋转，导致星上大部件损伤；某卫星在出现单粒子翻转导致高精度广播频发时，由于软件健壮性不足，在一级总线上不断接收到异常广播数据，造成软件频繁中断，影响及时“牵狗”，导致遥测异常。

7）地面指令操作不当导致卫星故障

地面站在进行卫星操作过程中，如果指令发送错误，会导致卫星发生故障。

例如：某卫星在完成南北位保点火后，由于地面发送指令错误，导致卫星从位保模式转正常模式过程中姿态超差，先后转入姿轨控计算机硬件故障安全模式和太阳捕获及对日定向安全模式，卫星遥测中断，影响了卫星正常通信业务；某卫星在进行在轨程序修改注入时，由于新增功能模块上注地址与原程序中其他功能模块的内存地址冲突，造成浮点计算TRAP 并引发姿轨控计算机连续复位，最终导致卫星转入安全模式。

4 主要措施建议

针对上述分析归纳的在轨故障主要原因，提出如下主要措施建议：

1）全面识别产品针对新技术及新状态的设计要素、敏感环境因素，覆盖各设计要素、在轨各工作环境、各工作状态，做好性能试验、环境适应性试验、鉴定试验、可靠性试验的设计，确保产品功能性能及可靠性的地面试验覆盖性和充分性。

2）加强新工艺的鉴定考核和复杂工艺的过程控制及质量筛选。新工艺的鉴定考核应全面覆盖各飞行工作环境剖面和在轨各工作模式及工作状态，试验项目应覆盖部组件级及整机级。对于产品的复杂工艺环节，应形成量化工艺参数及检验参数，严格产品筛选。

3）对新研元器件，全面识别其功能性能及可靠性影响要素，加强机理验证、性能试验、环境适应性试验、鉴定试验、可靠性试验、拉偏及摸底试验以及寿命试验的策划和方案设计，开展充分的应用验证，通过全面的地面考核和应用验证后方可正式装星飞行。

4）加强元器件筛选和质量检验，根据各类器件的故障模式及特点，完善质量检验要素和方法，及早发现元器件质量隐患，避免元器件发生在轨故障。加强产品电装调试过程中的质量控制，做好电装调试执行工艺文件的审查确认，细化量化各部组件各工序的工艺规程、检验方法和合格判据，对各类产品形成针对性的质量检验表格。

5）做足新产品、新材料及新环境应用的空间环境分析和适应性设计。重点做好辐照累积损伤、单粒子效应、低气压放电、微放电、静电放电等空间环境效应的分析及适应性设计。对每一项新产品、新器件、新材料以及继承产品在新环境下的应用，应逐一分析其对空间环境的敏感因素，对比其实际抗空间环境指标和在轨实际环境条件。对在轨多发的单粒子翻转及锁定效应、内带电放电干扰效应等，必须做好相应防护设计及地面验证。

6）加强软件算法的逻辑设计。特别应做好在轨故障处理功能的设计及验证，关键产品及功能的故障模式应准确且识别全面，故障报警判据设置应合理，故障诊断应尽量融合有效的多源数据，故障处理逻辑上应避免简单的过处理或欠处理，故障处理功能的地面验证应充分考虑在轨所有一重故障及各二重故障组合情况，覆盖在轨各种运行模式和约束。

7）重视在轨卫星的地面操作规范性管理，完善卫星的在轨操作防错设计。主要包含以下几方面：做好对卫星地面操作方案及操作指令序列等文件的审查确认；利用卫星模拟器或相关分系统的仿真系统，做好卫星在轨操作的地面验证，特别注意仿真模型、卫星运行状态和飞行环境的模拟一致性；对星上重要的控制指令或注入数据，星上软件应设置数据正确性校验措施（数据格式里设置校验位或设置数据范围等），地面操控软件也应设置相应的数据正确性校验措施。

5 结束语

由于新技术应用、研制质量问题、空间环境效应等，卫星在轨故障难以完全避免。为保证卫星在轨高可靠、高稳定运行，卫星从设计、生产到试验全过程，从元器件、原材料到单机、整星各层面工作，必须全面识别和有效控制薄弱环节，尽量避免卫星在轨出现故障；同时，做好卫星在轨质量问题归零，以及故障模式的提炼和总结，形成故障模式库，支持后续卫星设计改进。