月面无人自动采样返回飞行程序设计与实现

盛瑞卿，赵洋，邹乐洋，陈春亮，朱舜杰，黄昊，杜颖，彭兢

北京空间飞行器总体设计部，北京 100094

1 引言

嫦娥五号任务的目标是实现月面自动采样返回，探测器系统经地月和环月飞行，在月面选定区域着陆，采集约2 kg月球样品，经月面起飞、月球轨道交会对接和样品转移、月地转移和再入回收等过程，将月球样品安全送至地面[1]。

上述任务目标的实现，最终都将通过嫦娥五号探测器飞行程序，完成从探测器临射前准备直至回收着陆的任务过程。飞行程序设计是航天器任务设计的一个核心环节，其设计的可靠性、鲁棒性和健壮性直接影响任务成败。目前，针对任务规划和飞行程序设计的研究大致可分为两类：一类为理论学术研究，通过对约束条件的简化抽象为某类数学模型进行求解[2-3]；另一类为工程实践类的总结，通过对具体问题解决方案的阐述说明系统的设计[4-5]。前者由于最终要转化为数学问题进行求解，不可避免地对很多限制条件进行删减，不能直接应用于航天器的工程实践；后者很多是以某几个关键问题作为设计要求，以串行方式采用表格化的描述形式给出航天器飞行全过程典型事件的时序关系和功能作用。飞行程序的编写与计算机领域的程序编写有类似之处。现有工程实践类的飞行程序设计可以认为是直接开展编码工作，而系统架构和逻辑层面的完备性需要靠程序员的经验来保证，这对于简单飞行任务是可行的。但对于过程复杂、涉及多器并行环节的航天器适用度有限。对于复杂任务的飞行程序设计，不能直接进入代码编写阶段，需要首先从系统架构开始进行设计，采用形式化的模型和语言对程序的逻辑和完备性进行描述，然后再开展具体代码的编写过程。针对这一需求，探讨飞行程序规划、设计新方法的研究正在不断开展，王丹等提出的基于自主规划的载人航天器飞行程序设计方法[6]，虽提出了飞行程序设计自主方面建模的具体框架，但其重点是针对在轨飞行控制的程序自动生成，对于航天器研制阶段的程序设计还未开展实际应用；杨胜等提出的基于有限状态机的交会对接飞行任务规划方法[7]，首次将有限状态机的概念引入到飞行程序交会对接这一关键环节的规划和设计之中，通过状态转移的驱动，实现了相关任务的规划。但由于其模型建立的单一性，局限性也较为明显。

对于系统过程的描述，在其他领域也有较多的研究与应用，如在无人驾驶汽车领域就采用有限状态机模型来对环境感知和自动控制过程进行建模[8]。因此，采用成熟的有限状态机来对复杂系统的应用过程建模是可行的。本文采用了层次化的模块状态机的建模方法，从航天器系统方案设计入手，通过任务分解将整个探测器的运行过程划分为若干个模块状态机，通过模块状态机内部的状态转移描述具体任务的实现过程，通过模块状态机间的衔接实现了对整个航天器在轨运行全过程的建模描述。该方法具有通用性、可扩展性和可复用性等特点，对于规范飞行程序设计，描述复杂的飞行任务过程，并进行形式化分析具有优势。采用本文的方法可以有效地指导具体飞行程序指令和代码的编写，确保代码逻辑的完备性和正确性，这为最终确保嫦娥五号完美实现月球无人采样返回任务奠定了坚实的基础。

2 嫦娥五号飞行任务概述

嫦娥五号探测器由轨道器、返回器、着陆器和上升器四器组成，包含发射入轨段、地月转移段、近月制动段、环月飞行段、着陆下降段、月面工作段、月面上升段、交会对接与样品转移段、环月等待段、月地转移段和再入回收段等11个飞行阶段。

长征五号运载火箭在文昌航天发射场将嫦娥五号探测器直接发射至地月转移轨道；探测器与运载火箭分离后，完成地月转移、近月制动，进入环月轨道；在环月轨道，轨道器-返回器组合体(简称“轨返组合体”)与着陆器-上升器组合体(简称“着上组合体”)分离，着上组合体动力下降，在月球正面风暴洋预定区域实现软着陆；着陆后，完成样品采集、封装、科学探测、月面起飞准备等工作；上升器携带样品密封封装装置在月面起飞，经多次轨道机动，进入交会对接目标轨道；轨返组合体作为主动飞行器，与上升器交会对接；完成对接后，将样品密封封装装置从上升器转移至返回器内，随后，轨返组合体与对接舱-上升器组合体分离；轨返组合体在预定时机加速进入月地转移轨道，距地球约5 000 km高度，返回器与轨道器分离；返回器以半弹道跳跃式再入大气层，着陆于内蒙古四子王旗预定着陆区。

嫦娥五号在轨飞行时长约23 d左右，其中地月转移、月地转移飞行时长各约5 d，环月阶段飞行约13 d。其中，在环月飞行阶段，探测器近月制动段飞行1 d，着上组合体环月飞行至着陆下降约2 d，月面工作段2 d，交会对接及样品转移段约2 d，月地转移入射1 d，其他约5 d时间为环月等待。嫦娥五号全任务过程如图1所示。

图1 嫦娥五号全过程时序图Fig.1 Timing of Chang’e-5 whole process

3 嫦娥五号飞行程序设计特点和难点

嫦娥五号任务是我国首次地外天体采样返回任务, 与以往的近地轨道航天器和深空探测航天器相比, 其飞行程序设计具有以下特点和难点：

(1)飞行阶段多，协同环节多，过程复杂

探测器从起飞入轨至再入回收，需经历11个飞行阶段。飞行程序设计时不仅需要考虑四器组合体状态、对接组合体状态、轨返组合体状态、返回器状态，还需要考虑轨返组合体与着陆上升组合体并行、轨返组合体与上升器并行、轨道器与返回器并行等飞行状态。特别是交会对接阶段还需要考虑返回器、轨道器、上升器等多航天器、多信道条件下的协同配合，过程复杂，耦合性强。

(2)程序复杂，分支多，失效模式多

嫦娥五号探测器在环月阶段存在多个航天器并行工作环节，交叉多，分支多；此外，飞行过程衔接紧密，发生在关键飞行过程的失效模式可能导致关键动作无法顺利实施，进而影响后续任务的实施。因此，需要对关键飞行过程从系统设计角度确保其设计的正确性和可靠性。

嫦娥五号飞行程序在设计中主要涉及以下关键环节：

(1)近月制动过程

近月制动的主要目的是实现月球捕获，使探测器进入环月飞行轨道。在嫦娥五号任务设计中，基于减少近月制动重力损耗和缩短近月制动时间的考虑，将近月制动过程分为2次。其中，首次近月制动的机会具有唯一性，一旦错过就无法再次捕获月球，后续飞行任务将无法完成。

(2)月面软着陆过程

月面软着陆过程是指着上组合体通过自主控制和着陆缓冲机构实现动力下降和月面稳定软着陆。与前期月面软着陆任务不同，嫦娥五号任务由于其环月轨道倾角的不同，所有各类着陆导航敏感器等设备状态设置均在月球背面非测控弧段进行；进入测控弧段后到动力下降发动机点火点仅7 min，需快速完成主发动机点火前的状态确认。

(3)月面采样封装过程

月面采样封装主要实现月球表面样品的采集和封装。整个过程时序紧张，机构动作多，不确定因素多，而且需要采用三位一体、天地协同控制的方式开展采样任务，接口复杂，协同交互频繁。

(4)月面起飞上升过程

月面起飞上升过程主要实现上升器以着陆器为平台完成的月面起飞。该过程起飞入轨之后，入轨状态判断和故障处置决策的时间相对较短，需要提前将各类故障失效形式纳入飞行程序设计中。若起飞推迟，将造成交会对接任务重构。

(5)月球轨道交会对接与样品转移过程

月球轨道交会对接与样品转移主要实现轨返组合体和上升器的交会对接，并将密封封装装置转移至返回器样品舱内。上升器要在2 d内完成4次远程导引，轨控时序紧张，且由于测控弧段限制，出现故障后将造成交会任务重构；近程导引段由于测定轨精度低造成关键事件点执行时刻不确定，而测控弧段又不连续，需要考虑如何在该种情况下确保关键事件测控可见、地面可控。

4 飞行程序设计建模

航天器在轨飞行过程是一个复杂的系统应用过程，其中既包含了对航天器进行实时控制和监控的连续动态子系统，同时也包含了由事件驱动的离散事件动态子系统。对于这种混杂系统可通过有限状态机(finite state machine，FSM)来进行系统描述。有限状态机就是对有限个系统状态以及在这些状态之间的转移和动作等行为进行描述的数学模型。该模型对航天器飞行程序的描述具有一定的借鉴意义，但采用常规单一的有限状态机描述嫦娥五号飞行过程这样庞大的系统难度较大，如探测器系统状态输入参数多，涉及15个分系统、655台/套仪器设备、6 000余个遥测参数。因此本文采用了层次化的模块状态机的建模方法，从航天器系统方案设计入手，通过任务分解将整个探测器的运行过程划分为若干个模块状态机，通过模块状态机内部的状态转移描述具体任务的实现过程，通过模块状态机间的衔接描述任务间及整个系统的实现过程，从而在设计方法上保证了系统的完备性和关键环节的正确性。嫦娥五号飞行程序系统建模方法如图2所示。

任务分解是根据飞行任务需求，确定全任务飞行过程的关键事件和飞行动作，将整个飞行阶段的关键环节用若干模块状态机(module state machine ，MSM)进行描述，并按照事件发生先后时序将对应飞行事件进行编号，如：M1，M2，M3…，MN，其中N为飞行事件总数量。

4.1 模块状态机功能建模

各模块状态机由状态触发器(state generator ，SG)、状态评估器(state assessor，SA)、任务执行器(command executor，CE)和状态确认器(state verifier，SV)组成，其中：

1)状态触发器(SG)是模块状态机的输入接口，状态触发器接收外部的激励信号，当其判定外部激励信号满足触发内部的目标条件时，该模块状态被触发；

2)状态评估器(SA)是对当前模块状态机能否进入该状态进行评估的机构。状态评估器主要是确认当前系统是否满足模块状态机进入该状态的条件；

3)任务执行器(CE)是一个根据模块当前状态的指示，利用模块状态机的资源来实现模块状态机任务的一个机构；

4)状态确认器(SV)是对任务执行器执行结果进行确认的机构，主要是确认模块状态机任务执行结果的正确性，是否可以输出以改变其他模块的外部环境。

定义任意模块状态机Mi中，对应的状态触发器Gi，状态评估器Ai，任务执行器Ei及状态确认器Vi。相应的，各模块状态机可以表述为以Gi、Ai、Ei、Vi为输入的相关函数f，即：

Mi=f(Gi,Ai,Ei,Vi),i∈[1,N]

(1)状态触发器/评估器/确认器建模设计

从功能特点上可以看出，Gi、Ai及Vi均可认为是对探测器系统状态的一种判定，当探测器系统状态满足其判定条件时，该模块执行并输出对应结果。

因此，可以将Gi、Ai、Vi统一建模，其输入条件为探测器系统状态矩阵Si，定义为表征探测器状态的各类外测数据(轨道、姿态数据等)、资源数据(能源、推进剂、存储空间等)和仪器设备状态的总和，并可根据对应功能机构的特点进行删减，根据当前任务的不同确定相应取值范围。即有：

Si=[Si1,Si2,Si3,Si4,Si5,Si6,Si7,Si8,Si9]

Sij=(Sij1,Sij2,…,Sijm)T

m∈[1,任意取值)，j∈[1,10)

式中：Si1为Mi对应的轨道及姿态参数；Si2为Mi对应的设备加电状态；Si3为Mi对应的资源状态；Si4为Mi对应的机构运动状态；Si5为Mi对应的系统工作模式；Si6为Mi对应的推进阀门状态；Si7为Mi对应的触发信号状态；Si8为Mi对应的重要软件标志状态；Si9为Mi对应的所属环境状态。

同时定义该函数中每一个变量的状态都由相关参数Pj(j∈[1,任意取值))进行表决，当且仅当各参数Pj=1(数字量)或者满足阈值范围要求(模拟量)时，则触发，即：

Gi/Ai/Vi→(P1,P2,P3,…)

(2)状态执行器建模设计

当状态触发器Gi和状态评估器Ai完成对当前系统状态的外部资源和内部条件的确认后，任务执行器Ei则需要利用这些资源来完成具体的任务。因为任务的不同，其任务执行器的具体实现也不尽相同。不同的任务均是通过一系列动作的集合完成某一具体任务。

在状态执行器构建时，需要对具体任务的执行过程进行层级分解，由关键事件出发，梳理相应的关键动作，以及该过程中器地需要交互的数据进行动态的相互作用。

在对系统的数据、处理方式和相互间的交互形式明确之后，设计时就将其看做为一种面向过程的程序设计，可以从软件工程的角度，采用各类函数体设计标准化的接口，对重复多次的动作进行建模，提高设计的封装性和一致性；采用各类分支、判断、循环等语句对飞行程序中复杂的逻辑关系进行建模，提高设计的全面性和有效性。

4.2 模块状态机链接

各模块状态机根据上一个状态机的确认器确认结果触发当前状态机的状态触发器。通过确认与触发，将各模块状态机进行链接，确定模块间状态转移过程，从而形成完整状态机及状态转移流程。

M1→M2|V1=G2→…→MN:VN

基于状态转移的飞行程序建模流程如图3所示。

图3 基于状态转移的飞行程序建模流程Fig.3 Modeling flow chart of flight program based on state transition

5 基于模型的嫦娥五号飞行程序设计

嫦娥五号飞行程序包含11个飞行阶段，其中环月飞行段和月面工作段均涉及着上组合体、轨返组合体的协同控制，交会对接与样品转移段涉及上升器与轨返组合体的协同控制。同时月面工作期间，需要根据落月后月面地形地貌特点、采样量要求和采样过程实时进展情况等确定最终采样次数，确保落月2 d后上升器能够按时准点起飞。

传统飞行程序设计方法通常根据任务设计的各个飞行阶段，按阶段梳理出该阶段涉及到的关键事件，之后通过图表方式以指令链形式给出整个阶段的实现方式。该方法可读性较差，且较难从中提取关键过程的参数诊断信息。

本文首先基于任务设计的各个飞行阶段，从每个飞行阶段出发，通过任务剖面的分解提取出影响任务成败的关键环节，将每个关键环节定义为一个模块状态机。针对模块状态机，从描述探测器系统状态的角度，通过一个9维的向量来表征探测器当前的运行状态，从而确定模块状态机的转入、转出状态，并针对转移过程，采用面向特定过程的程序设计思路，将其划分为若干个功能函数进行求解。最后，通过将每个模块状态机进行衔接，构成全流程的层次化状态机模型，实现整个飞行过程的设计。

5.1 嫦娥五号任务分解

根据嫦娥五号任务特点及飞行程序过程中需要重点关注的关键环节，对探测器在轨全周期工作进行任务分解，具体如图4所示。

发射入轨段中涉及的模块状态机为初始状态探测器射前状态M0。探测器在临射前15 h开始，通过完成各类仪器设备的加电及其状态设置，使探测器具备发射条件。

地月转移段中涉及的模块状态机包括器箭分离状态M1、轨道器太阳翼展开状态M2。探测器接收器箭分离信号，消除分离冲击对探测器初始姿态的干扰，继而建立对日定向姿态；之后，轨道器、着陆器太阳翼依次展开，探测器建立能源保障供给。

近月制动段中涉及的模块状态机为近月制动状态M3，若第一次近月制动失败，则探测器无法捕获月球，将造成任务终止。

环月飞行段中涉及的模块状态机为四器组合体分离状态M4。轨返组合体与着上组合体分离后将进入并行协同控制阶段，需要综合评估两组合体间资源的分配与调度。

着陆下降段中涉及的模块状态机为着上组合体动力下降状态M5。从进入测控弧段到动力下降7 500 N主发动机点火仅7 min，需快速完成点火前的状态确认。

图4 嫦娥五号任务分解Fig.4 Chang’e-5 mission decomposition

月面工作段中涉及的模块状态机包括着上组合体落月状态M6和采样状态M7。落月状态的确认是建立月面工作的前提条件，要求对发动机关机状态、着陆姿态安全性、着上组合体信道链路等进行确认。采样过程时序紧张，机构动作多，不确定因素多，器地协同交互复杂，要确保在既定时间内完成规定质量的月球样品采集任务。

月面上升段中涉及的模块状态机为月面起飞状态M8。入轨状态判断和故障处置决策的时间相对较短，若起飞推迟，将造成交会对接任务重构。

交会对接与样品转移段中涉及的模块状态机包括上升器交会对接状态M9、轨返组合体交会对接状态M10以及对接舱分离状态M11。上升器和轨返组合体要求在预定时间到达预定交班点位置，并满足预定的相对位置和速度关系时，方可具备开展自主交会对接的条件。一旦出现故障，将造成交会任务重构，对任务影响重大。

月地转移段中涉及的模块状态机包括月地入射状态M12、轨返分离状态M13。月地入射窗口严格，错过后将造成月地转移轨道方案重构。

再入回收段中涉及的模块状态机包括返回器120 km状态M14、返回器开伞状态M15、返回器着陆状态M16。返回器进入120 km后正常再入大气直至跳出后二次再入，通过升力控制保证返回器开伞点经度，最终返回器携带月球样品按预定速度在预定区域安全着陆。

通过采用该方法进行任务分解，可以全面、系统地确定嫦娥五号任务的所有关键环节，从状态转移流程出发，后续可针对这些关键环节确认其输入、输出关系，以及各关键环节的具体实现过程，确保系统设计逻辑的全面性和正确性。

5.2 状态评估器设计

通过任务分解，并建立对应的模块状态机就可以系统性地对进入该模块状态机前的探测器系统状态进行评估，确认是否具备开展这一关键任务的能力，如可以迅速对M3近月制动、M5动力下降状态进行确认，从而保证正确地进入该状态，避免由于状态确认不到位导致任务的不可逆。这里以M5着上组合体动力下降状态为例，给出状态评估器的设计过程。

M5着上组合体动力下降模块状态机中状态评估器A5设计的重点，就是要确认能够成功实施着陆下降。着陆器7 500 N发动机具备开机条件前需要评估的探测器系统状态包括：

S51姿态：着上组合体已完成着陆下降，7 500 N发动机开机前姿态建立。

S52设备加电状态：着上组合体平台设备、各类着陆导航敏感器加电工作正常。

S53资源状态：电源设备工作正常并能够支持采样封装工作全过程供电需求，大容量存储设备中存储容量满足采样过程图像存储需求。

S54机构运动状态：太阳翼驱动机构、星敏防尘机构已按要求收拢或关闭，符合着陆要求。

S55系统工作状态：上升器导航制导单元处于恒星定向模式。

S56阀门状态：上升器姿控各阀门、着陆器姿轨控各阀门均处于打开状态。

S59环境状态：着上组合体仪器温度水平能够支持着陆任务实施。

当P1(姿态)=1,P2(设备)=1,P3(资源)&P4(机构运动)&P5(系统模式)&P6(阀门)&P9(环境)=1时，则可以通过着陆下降实施工作评估，评估器A5的驱动逻辑触发如图5所示。

图5 动力下降模块状态机状态评估器模型构建Fig.5 Model building of SA for lunar lander MSM

采用这个评估器就可以很容易地评估出动力下降前探测器系统状态是否满足着陆下降的要求。

对于嫦娥五号任务，动力下降前进入地面测控网监控区域至着陆器7 500 N发动机开始实施动力下降只有几分钟的时间，从上千个遥测中进行状态确认非常紧张。采用本方法，从任务驱动出发，通过探测器9个维度进行分解，逐级深入，能够确保状态梳理全面、正确、满足任务实施要求。

5.3 状态执行器设计

每一个状态执行器都可以看作是面向特定过程的程序设计，因此可将其作为特殊的软件程序进行设计、控制与管理。在状态执行器的设计过程中，可以根据具体执行内容划分为若干个功能函数，将其标准化和规范化，明确其中的常量和变量，按照软件工程的方法，分析每个功能函数的正确性和测试覆盖性，进而多个类似的功能函数可以在不同的状态执行器中使用，如M3近月制动、M12月地入射过程的实现、M4四器组合体分离、M11对接舱分离、M13轨返分离过程的实现，从而达到整个飞行程序的通用化。

各分离过程通用流程主要包括：

1)注入分离期间需要执行的各类延时指令，确保分离关键指令通过器上自主执行和地面指令发送两种方式进行备份；

2)注入分离前轨道数据以及分离调姿参数，用于器上自主建立分离姿态和自主控制定向天线捕获地球；

3)分离前调姿机动，建立目标分离姿态；

4)分离前太阳翼回零设置；

5)分离前测控数传链路设置，用于图像数据实时下传；

6)分离期间监视相机设置；

7)组合体停控、分离、启控；

8)分离后监视相机状态恢复；

9)自主建立分离后姿态。

对于各次分离，均可以按此流程展开状态执行器的设计，其中不变量为太阳翼回零设置、测控链路设置，而变量则包括分离期间延时指令、轨道数据、目标分离姿态、监视相机设置、分离面分离指令以及分离后姿态等。从而建立了分离状态执行的基线，实现了各分离过程设计的统一。

同时，基于状态执行器，还可对M7着上组合体采样状态机的最长时间路径进行分析。在表取采样及其封装执行器建构过程中，对每项工作的执行时间必须建立强约束。由于采样总时长的限制，最终采样次数应在满足时长要求的范围内尽可能装满表取初级封装装置；同时，在采样过程中要重点从采样区域环境、系统资源、机构运动状态以及重要软件标志等方面对着上组合体进行综合确认，确保系统执行状态满足要求。具体建模结果如图6所示。

采用这种建模方法可以清晰地获取单次采样的最长路径、最短路径、需要地面协同配合的确认环节等内容，对于掌控飞行过程的最大包络范围有很大的好处。而传统的飞行程序设计，直接具体到了指令级别，无法从宏观和顶层识别相关的状态关联。

单次采样的最长时间路径是：机械臂运动至触月上方点→机械臂触月→机械臂抬升→机械臂运动至采样位置→机械臂采样器采样→机械臂运动至放样位置→放样位置精调→采样器放样→机械臂运动至放样中间点→机械臂运动至状态确认点→样品容器状态确认→机械臂返回至放样中间点。

单次采样的最短时间路径是：机械臂运动至采样位置→机械臂采样器采样→机械臂运动至放样位置→采样器放样→机械臂运动至放样中间点。

表取机械臂运动过程中地面协同配合的关键环节是：机械臂运动至放样位置、机械臂运动至抓罐位置以及机械臂运动至放罐位置。机械臂运动至放样位置决定了表取机械臂能否将样品准确地倾倒至表取初级封装装置；而抓罐、放罐则直接决定了整个表取任务是否成功。这些环节需要在轨实施时予以重点关注。

基于状态转移的飞行程序设计方法不仅能够在飞行程序设计阶段，通过对每一个模块状态机中状态评估器和状态确认器的建模，实现对相应关键环节的全面梳理，确保系统当前状态满足探测器进入、转出该关键环节的要求；同时状态执行器通过逻辑语言对该环节的各个执行分支进行描述，确保过程转移的正确性和完备性。该方法对于飞行控制在轨实施也有很大的指导意义。按照类似的思路，制作了采样过程的状态监视页面，从实际遥测数据展示和判读飞行程序的执行情况，可以从顶层全面、宏观地判断任务的执行进度和完成情况，有效支持了采样任务的在轨高效完成。

6 嫦娥五号飞行程序在轨实现

嫦娥五号探测器在北京时间2020-11-24 04:30:21发射入轨，经历地月转移、近月制动、环月飞行组合体分离后，着上组合体于2020-12-01 23:11:21安全着陆月面；通过开展19 h的钻取采样封装、表取采样封装工作，成功获取月球样品1.731 kg；上升器于2020-12-03 23:10:21实施月面上升，经2 d的远程导引控制与轨返组合体于2020-12-06 02:13实施交会对接，将月球样品由上升器转移至返回器中。之后轨返组合体经环月等待、月地转移，于2020-12-17 01:13:16实施分离，返回器在2020-12-17 02:00着陆于内蒙古四子王旗[1]。所有过程均按照飞行程序设计的状态转移过程正确执行。

图6 采样模块状态机状态执行器(表取采样及其封装)模型构建Fig.6 Model building of CE for surface-sampling MSM

在实际任务在轨实施过程中，根据探测器任务分解，对16个模块状态机的评估器、执行器和确认器分别设定相应的遥测监视参数、正常值范围和判断准则，构建16个状态转移监显页面，每个监显页面包含状态转入监视(对应状态评估)、状态执行过程监视(对应状态执行)和状态转出监视(对应状态转出确认)，实现了各关键环节进入、转出状态的一键式判断和执行过程的集中式诊断。

其中，16个模块状态机中的M5着上组合体动力下降模块状态机，由于其特殊性，在轨测站接收到器上状态信息至进入该状态的判断决策时间仅7 min，需要对该状态进行快速诊断。由于引入了该模块状态机状态评估的监显页面，通过该页面从该状态评估器涉及的7个维度对系统状态进行诊断，实现了秒级的状态确认与判断决策，极大地提升了在轨任务判断的能力。

针对采样模块状态机的执行过程，按照预定程序历时16 h完成了全部表取采样工作。表取采样/放样共实施了12次，12次表取采样是在预定的4个采样点开展了2次触月采样放样和10次非触月采样放样，最终装有钻取初级封装容器和表取初级封装容器的密封封装装置完成密封闭盖与金属挤压密封，圆满完成月面采样工作。其中，12次表取采样执行时长统计如表1所示。由此可见，最大时间路径和最小时间路径均与预估一致，最大时间路径为首次采样及其放样过程，期间实施了触月采样、精调以及放样后样品观测，时长为106 min；最小时间路径为不触月、不观测，时长为33～46 min，期间由于涉及天地操作，因此存在一定的差异性。

表1 月面单次表取采样时长分析

7 结论

飞行程序设计是航天器总体设计的重要组成部分。更自主、更聪明、更智能是未来深空探测器的发展方向，这有赖于更强大、更规范和更高效的飞行程序和飞行软件的编制方法进行支撑。

本文将计算机领域的有限状态机理论引入到航天器飞行程序设计工作中，开展了利用有限状态机对复杂航天器任务规划与飞行程序设计的探索，实现了对航天器复杂飞行任务过程的数字化建模，并通过在轨飞行试验验证了设计的正确性。

该方法相比传统依赖设计师经验的飞行程序编制方法，具有计算机程序语言的模块化、通用化和可复用等优点，特别适用于飞行过程和状态复杂航天器的飞行程序编制。

本文提出的基于状态转移的飞行程序设计方法对于规范飞行程序设计、描述复杂的飞行任务过程并进行形式化分析具有优势，可为后续复杂深空探测任务和未来载人登月任务的飞行程序设计提供参考。