航天发射自主安控技术探究

杨玖文，谷鹏冲，陈 军，王竞克，闫 河

（中国人民解放军63729 部队，太原，030027）

0 引言

在火箭飞行过程中，需要依靠庞大的地面冗余测量与控制系统进行飞行安全控制，以确保飞行异常情况下地面目标的安全。但地面系统的参与不利于火箭的快速发射且存在许多缺点。通过地面无线安控系统发展而来的自主安控系统，在没有地面测控系统参与的前提下，依靠箭载的自主安全装置来获取精度高、实时性好的遥外测判决信息源，对于安全管道的设置更精准，确保对地面目标进行有效保护。克服了地面无线安控系统参与时准备周期长、限制条件多的缺点，有效提高发射场的发射速度和频次，提升发射能力。

美国SpaceX 公司依靠自主安控技术，实现了新型自主飞行安全系统（Autonomous Flight Safety System，AFSS）在猎鹰9 号全推力运载火箭上的应用，取代了地面飞行控制人员和设备，其具有箭载定位、导航、定时源和自主安全决策逻辑［1］，有效实现高频次的航天发射。美国国防部计划从2025 年开始强制要求所有航天发射系统安装自主安控系统。近年来，中国部分海上发射运载火箭型号也实现了自主安控技术的初步应用。

1 航天发射安全控制系统的作用及组成

航天发射具有探索性、先进性、复杂性等特点，一枚运载火箭内有数万枚甚至数十万枚元器件，任何一个核心元器件工作异常都可能导致发射失利。由于箭体贮箱中携带有数百吨的高能燃料和助燃剂，一旦发生故障坠落地面，可能导致燃料爆轰和有毒气体扩散，危及周边安全。因此，在运载火箭发生严重故障或超出允许飞行区域时，务必及时采取安全控制措施，使故障箭在空中受控炸毁或解体，实施火箭飞行安全控制措施的系统被称为飞行安全控制系统（简称安控系统）。

为确保发射任务安全可靠，一般运载火箭发射时设置两套安控系统，一套为箭上安全自毁系统，一套为地面安控系统。一般采用箭上自毁和地面遥控炸毁相结合的方式，共同执行飞行过程中的安全控制任务。两套系统的工作流程均为判断故障、发出指令、使火箭在空中自毁，由测量判断、控制及执行3个部分组成。由于所处的空间位置、安控判决信息来源、安控判决规则等差异，两者各有优缺点。

1.1 箭上安全自毁系统的原理及特点

箭上安全自毁系统以惯性器件作为主要测量工具，一般在惯性平台上安装极限姿态角的触点，用于判断火箭的飞行姿态是否失稳。对于故障箭自毁，主要是炸毁各级发动机及贮箱，当收到自毁指令后，各级发动机同时自毁。自毁过程分两步进行，先发送解保信号，延迟一定时间后再发送引爆信号。箭上安全自毁根据设计好的安全自毁方案进行，目前主要的自毁方案为姿态失稳自毁。

姿态失稳自毁安控方式的优点是测量设备［2］与控制系统共用，箭载设备少，在火箭飞行中与地面无关，系统简单可靠；缺点是无法测定箭上的位置漂移，不能实时选择自毁时间与残骸落点。

1.2 地面无线安控系统的原理及特点

超出安全管道飞行的火箭，可能坠落到人口密集区或重要设施设备、建筑物区域，造成极大危害。上述姿态安控方式不能判断的故障可以通过地面无线安控系统进行判断。地面无线安控系统是发射场测量控制系统的重要组成部分，由安控信息源（外弹道测量设备、遥测设备）、实时处理、监视显示、辅助决策和无线电遥控等系统组成，在箭上安控指令接收机、炸毁执行机构配合下，完成安全控制任务［3］。地面无线安控系统利用外测、遥测数据实时判决，当运载火箭飞行时，测量信息送入数据处理系统，经计算后送安控信息显示及辅助决策系统，根据飞行轨迹和判决准则进行计算机与人工判决，地面无线安控系统组成见图1。

图1 地面无线安控系统组成示意Fig.1 Compositon of ground security control system

地面无线安控系统主要是通过判断火箭是否超出预定的“位置、速度、预示落点安全管道”来进行故障判断的，其优点是测量体制和策略方法完善，测量设备众多，安控判决信息源冗余度高，可以人工控制，有选择炸毁时间和残骸落点的适应能力，但这种方式也存在以下缺陷：

a）造价和人力成本高；

b）易受干扰和破坏；

c）遥控操作存在较大的时延误差，预示落点的选取存在一定偏差。

d）地面人员判断决策困难，对地面安控指挥员的能力水平和实践经验要求较高。

综上所述，地面无线安控系统在进行故障判断时，受主观和客观条件的影响，判断困难。而当火箭超出“安全管道”时，仅通过原来的姿态安控系统无法判断。因此将地面无线安控系统的“安全管道”判别模式通过火箭的安全程序控制器来完成就变为一种新的解决路径，这样既解决了对自主安控系统不能判别的故障进行判断的问题，又克服了地面无线安控系统的缺点。

2 自主安控系统应用的技术基础

随着高频次航天发射需求的增加，为了克服地面无线安控的缺点，同时确保箭上对地面目标的保护能力，近年来发展出了箭上自主安控技术，作为一种新型的飞行安全技术和控制模式，逐步应用在新的运载火箭上。

自主安控技术将原有地面无线安控系统所具备的功能和安控模式迁移到了箭载单元上，减少了火箭飞行对各类地面测控设备的依赖，从而为多任务并行发射和跟踪提供了可能性。同时，自主安控系统也是确保火箭助推器回收安全性的必要条件。

将“安全管道”判别转移到箭上需要知道实时飞行参数，包括三维位置、三维速度和时间。此外，箭上还需具备一定计算能力，完成火箭预示落点的计算和安控信息的判决。就目前的箭上设备而言，只有控制系统才能提供这些飞行参数［4］，但是如果箭上安控系统通过接收控制系统的信号来进行故障判别，就违背了安控系统独立、当火箭上的其他系统发生故障时仍能可靠工作的设计原则。因此，需要在箭上部署具备以下功能的一套子系统：

a）系统独立运行，且具有冗余设计；

b）具备高精度的定时和三维导航、定位能力，可以输出可靠的时间信息、三维位置和速度信息，同时，可将自身位置、速度信息与惯导系统的位置、速度信息进行互校准和融合处理；

c）具备自身运行状态的健康诊断能力，可实现部分系统工作异常情况下的应急处置；

d）具备一定的信息处理能力，能够根据获取的火箭遥测参数和三维位置、速度信息，进行自主的安控故障判决，实现飞行异常情况下的自主安控判决和实施。

由以上功能总结出自主安控系统的定义：自主安控系统是一套安装于运载火箭上的独立的、要素齐全的、软硬件结合的安全控制系统。该系统能够在没有地面设备和人员参与的情况下，根据火箭飞行情况，自主作出火箭飞行是否需要终止或执行其它安全决策的判决，并自动执行终止或限制火箭飞行的动作，实现对火箭飞行安全的自主控制。

全球卫星导航与定位系统（Global Navigation Satellite System，GNSS）、微电子技术和信息技术的发展，为自主安控技术的实现提供了必要条件。

全球卫星导航与定位系统不仅具有全球性、全天候、连续的精密三维导航与定位能力，而且具有良好的抗干扰性和保密性。通过在火箭上装载GNSS接收机，箭上安控系统就可以通过接收机测得的火箭实时飞行参数来进行“安全管道”的判别，这样既符合安控系统独立性的设计要求，又可以利用接收机输出信号精度高的特点来提高安控系统故障判断的可靠性。因此，GNSS 接收机在火箭上的应用对于完善安控系统的功能是必需的，这也是进行新型安控系统设计的前提。计算机系统进一步微型化且处理能力大幅提升。信息技术自动化、智能化技术迅速发展，这为遥外测信息安全控制判决计算转移到箭上提供了计算能力和计算可靠性的保障。

3 通用自主安控系统设计

自主安控系统的最终目标是在没有地面设备保障的飞行航线上，确保航天发射的地面安全，通过减少航路上的跟踪测量设备和通信设备来降低成本、提高发射效率；通过缩短飞行终止判决的反应时间来提高地面的安全性。同时，由于其能够实现精准的位置和姿态测量，也被应用于可重复使用助推器的回收。

中国部分运载火箭已实现了自主安控系统的飞行应用，取得了较好的效果，但自主安控系统大多根据任务飞行航路及箭上系统自身特点进行设置，为专用的自主安控系统。设计可定制的、可以在任何发射范围内支持各种运载火箭的通用自主安控系统，并对系统进行安全性、可靠性认证，更有利于开展对运载火箭发射的安全认证工作，降低发射成本。其中，根据飞行航路定制的自主安控策略是由安控专家根据现有的地面安控策略借鉴而来，是通用自主安控系统的关键部分。

3.1 自主安控系统总体设计

自主安控系统的目的是取代飞行安全控制中的人为因素，同时减少对地面复杂、昂贵测量控制和通信设备的依赖。系统包含冗余导航敏感装置、惯性测量装置和提供高可靠平台的冗余计算机系统，通过冗余设计确保在飞行过程中，当某个单节点的装置或计算机故障时，能够对本系统状态和火箭状态进行一定程度的健康诊断和管理，完成主、备冗余系统状态切换，确保自主安控系统工作正常。飞行控制计算机使用依据发射场安全需求制定的基于规则的安控判决策略，从而判断是否对火箭实施炸毁。

自主安控系统取代了传统的地面人员参与的安控系统模式，其核心特点有3个：

a）处理单元、导航接收装置、惯性测量装置均实现了冗余备份；

b）处理单元对箭载的卫星定位装置和惯性测量装置获取的导航信息进行融合处理；

c）自主安控策略依赖于任务前装订的可配置安全控制算法和策略。

通过对自主安控系统特点的分析，设计自主安控系统主要组成要素，包括自主安控信息源采集分系统和自主安控判决分系统。

a）自主安控信息源采集分系统。

箭上采用两套独立的卫星导航接收机和冗余惯组作为三路相互独立的自主安控外测信息源，实现对火箭飞行状态的自主综合判断；从箭上测量系统获取遥测信息，作为健康诊断模块信息源。

b）自主安控判决分系统。

自主安控判决分系统需实现冗余备份，其包括安全控制模块和健康诊断模块两个部分。健康诊断模块完成主备系统间运行信息和健康诊断信息的互传，以实现主备控制，同时该模块向火箭控制系统传输本系统的健康诊断信息和自主安控执行信息。安全控制模块从自主安控信息源采集分系统获取外测和遥测信息，依据任务前装订的自主安控策略，进行自主安控判决，确定是否终止火箭飞行。

通用自主安控系统总体结构见图2。

图2 通用自主安控系统总体结构示意Fig.2 Structure of autonomous security control system

3.2 自主安控系统可靠性设计

自主安控系统工作时的判决信息源包括信息滤波及融合处理后的外测信息和箭上测量系统获取的遥测信息，两者均作为自主安控判决的重要信息，遥测信息同时作为自主安控系统和箭上系统的健康诊断信息。

3.2.1 基于卫星导航与惯性导航信息的滤波融合

由于自主安控系统模式取消了地面系统对飞行安全控制的这一环路，为保证其对飞行安全控制的可靠性，发射场要求自主安控系统实现主备冗余设计和冗余的传感器信息输入。传感器装置可以是卫星导航装置、惯性导航系统、惯性测量装置、加速度计等，或者以上相关的组合装置。所有传感器的测量信息均可被自主安控系统的主备冗余系统所获取。

通过将惯性导航系统和卫星导航系统相结合，卫星导航数据可用于对惯性导航系统进行误差校验和修正，并且由于惯性导航系统在短时间内测量误差较小，两者的结合使得导航数据的正确性高于单一敏感装置的结果，两者的组合系统解决了导航系统的常见故障问题，同时单个故障发生时系统在功能退化或降阶的情况下仍能确保导航信息的正常输出。

通过惯性导航系统和卡尔曼滤波算法，以及线性误差模型等方法，融合两个系统的信息，并进行性能仿真试验来验证。组合系统不断计算惯性测量装置的误差情况，并对惯性测量装置输出的导航数据质量进行判断，从而协助自主安控系统确定对其数据质量的信任等级。组合信息滤波器的设计实现了在任一时刻均有导航位置信息和速度信息的输出，卫星导航系统的失锁不会导致惯性导航系统的失效，也不会导致导航信息停止输出。该系统会输出飞行过程中的各类错误状态和误差估计，从而为后续任务的各类数据质量评价和使用提供参考依据。

3.2.2 基于遥测信息的系统健康诊断

通过测量系统获取的遥测信息，能够实现自主安控系统对自身运行状态和火箭运行状态的健康诊断，自主安控系统中的主、备冗余系统均需具备独立触发飞行终止的能力，通过健康诊断模块的联系，两者间可以互相获取对方工作状态的健康诊断信息，其飞行终止命令发出的判断逻辑为［5］：

a）若主、备系统均工作正常，且发出了飞行终止命令，则飞行将被终止。

b）若其中一个系统工作异常，在规定时间内：

1）若检测到备用系统工作状态正常，则不发送飞行终止命令；

2）若无法验证备用系统工作是否正常，则立刻发出飞行终止命令。

c）若主、备系统均工作异常，则两者的故障将立即触发飞行终止命令。

自主安控系统的健康诊断模块对于可重复使用助推器的回收也有重要意义，其健康检测与诊断系统在全寿命周期内对重复使用箭体及发动机进行健康监测，从而进一步降低发射成本。

4 自主安控策略设计

由自主安控系统的设计可知，自主安控策略是自主安控系统最为关键的部分，也是需要根据箭上及任务状态进行定制的部分，自主安控策略由安控专家根据现有的地面安控策略借鉴而来。自主安控的策略的内容包括：

a）自主安控的准则；

b）自主安控的实施方案，包括自主安控自毁的方案和使用的遥测判决参数、外测信息源；

c）事前遥测、外测安全管道计算的参数和计算方法；

d）自主安控判决的实施方法，包括自主安控实施的判决原则、自主安控故障模式及炸毁条件。

4.1 自主安控的准则

自主安控的准则是自主安控系统设计和工作的核心原则、目标及前提，是所有自主安控系统工作均需遵守的原则。以下为自主安控准则的关键要素：

a）箭上安全自毁完全依赖于自主安控系统，无地面无线安控系统的参与。

b）不误炸正常箭，炸毁影响地面安全的故障火箭。

c）保护发射场设施，保护飞行航区下安全管道内被保护目标的安全（被保护目标可根据任务具体航路进一步明确），子级残骸及故障残骸的落区选取要符合安全标准要求。

d）当根据滤波融合后的外测信息源判断出火箭故障并满足判决条件时，实施自主安控。

e）当外部信息源输入不足以支持自主安控判决时，不实施自主安控。

4.2 自主安控的实施方案

姿态控制失稳与位置控制偏离是触发自主安控实施的主要飞行故障模式，所以自主安控的实施也主要是针对这两种情况，故自主安控的实施方案分为姿态失稳自毁和飞行航路偏移自毁。

a）姿态失稳自毁。

姿态失稳自毁是传统运载火箭具备的安控自毁模式，可以确保运载火箭飞行中姿态出现异常情况时，结合测量系统获取的运载火箭俯仰或偏航姿态角偏差参数进行判断，在满足自毁判据时，由自主安控系统安全控制模块向安全控制组合发出自毁指令，实施姿态失稳自毁。

b）飞行航路超出安全管道自毁。

自主飞行航路偏移自毁是火箭飞出预设航路安全管道时，由箭上安全自毁系统根据箭上自身记录的位置、速度信息及计算得到的预示落点信息，自主判断预示落点与地面保护目标位置关系、与箭上提前装订的飞行安全管道关系，进行自主判断并完成自毁，且确保自毁后残骸不会落入自主安控准则明确的地面保护目标。飞行航路偏移自毁的各类模式和条件是自主安控策略需要明确的核心内容，其中包含任务前明确的地面保护目标、火箭飞行安全管道等。

4.3 安全管道计算

安全管道是判断运载火箭是否正常飞行的相关参数变化的上下限，这些参数通常包括火箭飞行的外弹道参数（如飞行位置、高度、速度、加速度等）和内弹道参数（如发动机动力参数、姿态参数等）。每个参数的理论曲线为火箭根据运送载荷的目标轨道而设计的理论飞行曲线、理论姿态曲线和发动机压力参数曲线等。两旁有两条曲线，分别描述正常飞行过程中容许的上限和下限，这两条曲线所形成的“管道”就称为安全管道。安全管道的宽度取决于弹道或参数的干扰误差、测量误差、处理方法误差、时延误差等因素。

任务前安全管道的处理部分运行在安控计算机上，主要计算生成实时需要的各种数据。根据计算出的测量误差、干扰误差、方法误差等，计算出允许火箭飞行的安全管道、告警线、必炸线数据，主要包括飞行姿态安全管道、位置安全管道、预示落点安全管道；计算出保护目标的落点和保护半径、边界必炸线等数据。安全管道计算完毕后，将结果加载到自主安控系统的安全控制模块，作为自主安全自毁方案的执行依据。

4.4 自主安控实施的模式及判决原则

自主安控故障模式的判别可分为两类，一类是基于火箭当前运动状态参数进行安控判别，主要包括位置安全管道判别、速度安全管道判别、动力安全管道判别、姿态安全管道判别等；另一类是基于火箭预测运动状态参数进行的安控判别，主要包括预示落点超安全管道、故障情况下预示落点落入保护目标、预示落点在保护目标内长时间停留等，火箭自主安控故障模式划分见表1。各模式判决的条件不同，但遵循的实施原则相同。不同故障模式下，自主安控系统判决遵循以下实施原则：

表1 火箭自主安控故障模式划分Tab.1 Classification of rocket autonomous security control failure modes

a）使用外测弹道信息源的预示落点信息（Lx-Lz）、速度信息（V-t）、位置信息（Y-X、Y-Z、Y-t）等曲线进行安控判决。

b）当使用外测信息源进行判决时，应参考遥测信息源进行确认。

c）在各故障模式判断时，均需对首航区内重要目标实施保护，在实施自毁前进行火箭残骸预示落点与保护目标区域位置关系的判别，最大程度地避免火箭残骸落入受保护区域，最大程度地确保地面安全。

5 自主安控系统应用前景

5.1 自主安控系统的适用场景

自主安控系统在确保地面公共安全的前提下，能够减少飞行安全控制中的人为因素，减少对地面复杂、昂贵测量控制和通信设备的依赖，因此其适用于以下场景：

a）海上发射、空中发射、应急机动发射等无依托发射场。

对于地理条件恶劣的发射点和发射航路，无法实施有效的地面设备跟踪部署和地面无线安控；或者地面设备无法快速机动到测控点位的情况，可仅依靠箭上自主安控。

b）发射航路下保护目标较多且无法规避，地面安全管道较宽，导致保护目标数量众多，地面安控落点选择困难。

发射航路下保护目标较多且无法规避时，通过箭上自主安控系统为主、地面无线安控系统为辅的方式进行重要目标保护。箭上自主安控可装订较窄的安全管道，尽量避开保护目标；同时，地面无线安控系统作为辅助备保系统，进一步提升对地面公共安全的保护等级。

c）子级残骸落区选择困难。

子级残骸落区周边人口密集，或者子级残骸落区处于国外区域的情况，可通过自主安控系统的应用，实现残骸的可控回收和落地，确保子级落区安全。

使用推进式降落方法的可重复使用助推器的回收策略可实现可重复助推器的精准可控回收，在回收飞行过程中，贮箱中的燃料是回收正常的动力源，也是回收异常的危险源。通过在子级上内置自主安控系统，既可以实现对子级的机载定位、导航，也可根据飞行航路和弹道设计自主安控策略，在实现可控回收的同时，确保回收飞行安全可靠。

5.2 中国航天发射应用前景

当前，中国部分发射航向和航路受限于航路下城市众多、人口密集的问题，若采取地面无线安控为主的方式，一方面遥控操作存在较大的时延误差，预示落点的选取存在较大偏差，另一方面地面无线安控安全管道较宽，管道内包含的保护目标范围更大、数量更多，火箭飞行异常时，地面安控指挥员难以选取火箭遥控炸毁的时机。

若实现箭上自主安控系统的应用，以箭上自主安控为主，地面无线安控为辅，可进一步提升火箭飞行异常时的故障落点选取精度，避开地面保护目标，同时收窄飞行安全管道，提升地面目标安全保护等级；在采用推进式降落方法的子级残骸回收时，可提高残骸回收的落点精度，为新航路的开辟创造必要条件。

5.3 应用案例

得益于北斗卫星导航系统、箭载计算机技术及冗余惯性导航系统技术的发展，中国火箭自主安控技术得到了长足的发展，长征十一号运载火箭和捷龙三号运载火箭实现了完全自主安控。2019 年6 月5 日，长征十一号运载火箭发射成功［6］，该型号任务首次实现了箭上完全自主航线安全控制，其自主安控模式与地面无线安控的功能和模式相同，即火箭飞出预设安全管道时，由箭上安全自毁系统根据箭上自身定位和导航信息进行自主判断并完成自毁。

美国SpaceX 公司在2017 年3 月16 日之后的所有发射，均应用了自主安控技术。

6 结束语

自主安控技术作为一项航天发射新技术，在提升快速发射能力的同时，可降低发射风险，确保高密度航天发射对地面目标的有效保护，有利于开辟对地面跟踪测量设备依赖较少的发射点位和新航路，提升发射频次和发射能力。且可应用于可重复使用助推器的回收，有效降低发射成本。作为可以有效提升发射效能、降低发射成本的技术，自主安控将为航天发射带来重大而深远的影响。