盛瑞卿，趙洋，鄒樂洋，陳春亮，朱舜杰，黃昊，杜穎，彭兢

北京空間飛行器總體設(shè)計部，北京 100094

1 引言

嫦娥五號任務(wù)的目標(biāo)是實現(xiàn)月面自動采樣返回，探測器系統(tǒng)經(jīng)地月和環(huán)月飛行，在月面選定區(qū)域著陸，采集約2 kg月球樣品，經(jīng)月面起飛、月球軌道交會對接和樣品轉(zhuǎn)移、月地轉(zhuǎn)移和再入回收等過程，將月球樣品安全送至地面[1]。

上述任務(wù)目標(biāo)的實現(xiàn)，最終都將通過嫦娥五號探測器飛行程序，完成從探測器臨射前準(zhǔn)備直至回收著陸的任務(wù)過程。飛行程序設(shè)計是航天器任務(wù)設(shè)計的一個核心環(huán)節(jié)，其設(shè)計的可靠性、魯棒性和健壯性直接影響任務(wù)成敗。目前，針對任務(wù)規(guī)劃和飛行程序設(shè)計的研究大致可分為兩類：一類為理論學(xué)術(shù)研究，通過對約束條件的簡化抽象為某類數(shù)學(xué)模型進行求解[2-3]；另一類為工程實踐類的總結(jié)，通過對具體問題解決方案的闡述說明系統(tǒng)的設(shè)計[4-5]。前者由于最終要轉(zhuǎn)化為數(shù)學(xué)問題進行求解，不可避免地對很多限制條件進行刪減，不能直接應(yīng)用于航天器的工程實踐；后者很多是以某幾個關(guān)鍵問題作為設(shè)計要求，以串行方式采用表格化的描述形式給出航天器飛行全過程典型事件的時序關(guān)系和功能作用。飛行程序的編寫與計算機領(lǐng)域的程序編寫有類似之處?，F(xiàn)有工程實踐類的飛行程序設(shè)計可以認為是直接開展編碼工作，而系統(tǒng)架構(gòu)和邏輯層面的完備性需要靠程序員的經(jīng)驗來保證，這對于簡單飛行任務(wù)是可行的。但對于過程復(fù)雜、涉及多器并行環(huán)節(jié)的航天器適用度有限。對于復(fù)雜任務(wù)的飛行程序設(shè)計，不能直接進入代碼編寫階段，需要首先從系統(tǒng)架構(gòu)開始進行設(shè)計，采用形式化的模型和語言對程序的邏輯和完備性進行描述，然后再開展具體代碼的編寫過程。針對這一需求，探討飛行程序規(guī)劃、設(shè)計新方法的研究正在不斷開展，王丹等提出的基于自主規(guī)劃的載人航天器飛行程序設(shè)計方法[6]，雖提出了飛行程序設(shè)計自主方面建模的具體框架，但其重點是針對在軌飛行控制的程序自動生成，對于航天器研制階段的程序設(shè)計還未開展實際應(yīng)用；楊勝等提出的基于有限狀態(tài)機的交會對接飛行任務(wù)規(guī)劃方法[7]，首次將有限狀態(tài)機的概念引入到飛行程序交會對接這一關(guān)鍵環(huán)節(jié)的規(guī)劃和設(shè)計之中，通過狀態(tài)轉(zhuǎn)移的驅(qū)動，實現(xiàn)了相關(guān)任務(wù)的規(guī)劃。但由于其模型建立的單一性，局限性也較為明顯。

對于系統(tǒng)過程的描述，在其他領(lǐng)域也有較多的研究與應(yīng)用，如在無人駕駛汽車領(lǐng)域就采用有限狀態(tài)機模型來對環(huán)境感知和自動控制過程進行建模[8]。因此，采用成熟的有限狀態(tài)機來對復(fù)雜系統(tǒng)的應(yīng)用過程建模是可行的。本文采用了層次化的模塊狀態(tài)機的建模方法，從航天器系統(tǒng)方案設(shè)計入手，通過任務(wù)分解將整個探測器的運行過程劃分為若干個模塊狀態(tài)機，通過模塊狀態(tài)機內(nèi)部的狀態(tài)轉(zhuǎn)移描述具體任務(wù)的實現(xiàn)過程，通過模塊狀態(tài)機間的銜接實現(xiàn)了對整個航天器在軌運行全過程的建模描述。該方法具有通用性、可擴展性和可復(fù)用性等特點，對于規(guī)范飛行程序設(shè)計，描述復(fù)雜的飛行任務(wù)過程，并進行形式化分析具有優(yōu)勢。采用本文的方法可以有效地指導(dǎo)具體飛行程序指令和代碼的編寫，確保代碼邏輯的完備性和正確性，這為最終確保嫦娥五號完美實現(xiàn)月球無人采樣返回任務(wù)奠定了堅實的基礎(chǔ)。

2 嫦娥五號飛行任務(wù)概述

嫦娥五號探測器由軌道器、返回器、著陸器和上升器四器組成，包含發(fā)射入軌段、地月轉(zhuǎn)移段、近月制動段、環(huán)月飛行段、著陸下降段、月面工作段、月面上升段、交會對接與樣品轉(zhuǎn)移段、環(huán)月等待段、月地轉(zhuǎn)移段和再入回收段等11個飛行階段。

長征五號運載火箭在文昌航天發(fā)射場將嫦娥五號探測器直接發(fā)射至地月轉(zhuǎn)移軌道；探測器與運載火箭分離后，完成地月轉(zhuǎn)移、近月制動，進入環(huán)月軌道；在環(huán)月軌道，軌道器-返回器組合體(簡稱“軌返組合體”)與著陸器-上升器組合體(簡稱“著上組合體”)分離，著上組合體動力下降，在月球正面風(fēng)暴洋預(yù)定區(qū)域?qū)崿F(xiàn)軟著陸；著陸后，完成樣品采集、封裝、科學(xué)探測、月面起飛準(zhǔn)備等工作；上升器攜帶樣品密封封裝裝置在月面起飛，經(jīng)多次軌道機動，進入交會對接目標(biāo)軌道；軌返組合體作為主動飛行器，與上升器交會對接；完成對接后，將樣品密封封裝裝置從上升器轉(zhuǎn)移至返回器內(nèi)，隨后，軌返組合體與對接艙-上升器組合體分離；軌返組合體在預(yù)定時機加速進入月地轉(zhuǎn)移軌道，距地球約5 000 km高度，返回器與軌道器分離；返回器以半彈道跳躍式再入大氣層，著陸于內(nèi)蒙古四子王旗預(yù)定著陸區(qū)。

嫦娥五號在軌飛行時長約23 d左右，其中地月轉(zhuǎn)移、月地轉(zhuǎn)移飛行時長各約5 d，環(huán)月階段飛行約13 d。其中，在環(huán)月飛行階段，探測器近月制動段飛行1 d，著上組合體環(huán)月飛行至著陸下降約2 d，月面工作段2 d，交會對接及樣品轉(zhuǎn)移段約2 d，月地轉(zhuǎn)移入射1 d，其他約5 d時間為環(huán)月等待。嫦娥五號全任務(wù)過程如圖1所示。

圖1 嫦娥五號全過程時序圖Fig.1 Timing of Chang’e-5 whole process

3 嫦娥五號飛行程序設(shè)計特點和難點

嫦娥五號任務(wù)是我國首次地外天體采樣返回任務(wù), 與以往的近地軌道航天器和深空探測航天器相比, 其飛行程序設(shè)計具有以下特點和難點：

(1)飛行階段多，協(xié)同環(huán)節(jié)多，過程復(fù)雜

探測器從起飛入軌至再入回收，需經(jīng)歷11個飛行階段。飛行程序設(shè)計時不僅需要考慮四器組合體狀態(tài)、對接組合體狀態(tài)、軌返組合體狀態(tài)、返回器狀態(tài)，還需要考慮軌返組合體與著陸上升組合體并行、軌返組合體與上升器并行、軌道器與返回器并行等飛行狀態(tài)。特別是交會對接階段還需要考慮返回器、軌道器、上升器等多航天器、多信道條件下的協(xié)同配合，過程復(fù)雜，耦合性強。

(2)程序復(fù)雜，分支多，失效模式多

嫦娥五號探測器在環(huán)月階段存在多個航天器并行工作環(huán)節(jié)，交叉多，分支多；此外，飛行過程銜接緊密，發(fā)生在關(guān)鍵飛行過程的失效模式可能導(dǎo)致關(guān)鍵動作無法順利實施，進而影響后續(xù)任務(wù)的實施。因此，需要對關(guān)鍵飛行過程從系統(tǒng)設(shè)計角度確保其設(shè)計的正確性和可靠性。

嫦娥五號飛行程序在設(shè)計中主要涉及以下關(guān)鍵環(huán)節(jié)：

(1)近月制動過程

近月制動的主要目的是實現(xiàn)月球捕獲，使探測器進入環(huán)月飛行軌道。在嫦娥五號任務(wù)設(shè)計中，基于減少近月制動重力損耗和縮短近月制動時間的考慮，將近月制動過程分為2次。其中，首次近月制動的機會具有唯一性，一旦錯過就無法再次捕獲月球，后續(xù)飛行任務(wù)將無法完成。

(2)月面軟著陸過程

月面軟著陸過程是指著上組合體通過自主控制和著陸緩沖機構(gòu)實現(xiàn)動力下降和月面穩(wěn)定軟著陸。與前期月面軟著陸任務(wù)不同，嫦娥五號任務(wù)由于其環(huán)月軌道傾角的不同，所有各類著陸導(dǎo)航敏感器等設(shè)備狀態(tài)設(shè)置均在月球背面非測控弧段進行；進入測控弧段后到動力下降發(fā)動機點火點僅7 min，需快速完成主發(fā)動機點火前的狀態(tài)確認。

(3)月面采樣封裝過程

月面采樣封裝主要實現(xiàn)月球表面樣品的采集和封裝。整個過程時序緊張，機構(gòu)動作多，不確定因素多，而且需要采用三位一體、天地協(xié)同控制的方式開展采樣任務(wù)，接口復(fù)雜，協(xié)同交互頻繁。

(4)月面起飛上升過程

月面起飛上升過程主要實現(xiàn)上升器以著陸器為平臺完成的月面起飛。該過程起飛入軌之后，入軌狀態(tài)判斷和故障處置決策的時間相對較短，需要提前將各類故障失效形式納入飛行程序設(shè)計中。若起飛推遲，將造成交會對接任務(wù)重構(gòu)。

(5)月球軌道交會對接與樣品轉(zhuǎn)移過程

月球軌道交會對接與樣品轉(zhuǎn)移主要實現(xiàn)軌返組合體和上升器的交會對接，并將密封封裝裝置轉(zhuǎn)移至返回器樣品艙內(nèi)。上升器要在2 d內(nèi)完成4次遠程導(dǎo)引，軌控時序緊張，且由于測控弧段限制，出現(xiàn)故障后將造成交會任務(wù)重構(gòu)；近程導(dǎo)引段由于測定軌精度低造成關(guān)鍵事件點執(zhí)行時刻不確定，而測控弧段又不連續(xù)，需要考慮如何在該種情況下確保關(guān)鍵事件測控可見、地面可控。

4 飛行程序設(shè)計建模

航天器在軌飛行過程是一個復(fù)雜的系統(tǒng)應(yīng)用過程，其中既包含了對航天器進行實時控制和監(jiān)控的連續(xù)動態(tài)子系統(tǒng)，同時也包含了由事件驅(qū)動的離散事件動態(tài)子系統(tǒng)。對于這種混雜系統(tǒng)可通過有限狀態(tài)機(finite state machine，F(xiàn)SM)來進行系統(tǒng)描述。有限狀態(tài)機就是對有限個系統(tǒng)狀態(tài)以及在這些狀態(tài)之間的轉(zhuǎn)移和動作等行為進行描述的數(shù)學(xué)模型。該模型對航天器飛行程序的描述具有一定的借鑒意義，但采用常規(guī)單一的有限狀態(tài)機描述嫦娥五號飛行過程這樣龐大的系統(tǒng)難度較大，如探測器系統(tǒng)狀態(tài)輸入?yún)?shù)多，涉及15個分系統(tǒng)、655臺/套儀器設(shè)備、6 000余個遙測參數(shù)。因此本文采用了層次化的模塊狀態(tài)機的建模方法，從航天器系統(tǒng)方案設(shè)計入手，通過任務(wù)分解將整個探測器的運行過程劃分為若干個模塊狀態(tài)機，通過模塊狀態(tài)機內(nèi)部的狀態(tài)轉(zhuǎn)移描述具體任務(wù)的實現(xiàn)過程，通過模塊狀態(tài)機間的銜接描述任務(wù)間及整個系統(tǒng)的實現(xiàn)過程，從而在設(shè)計方法上保證了系統(tǒng)的完備性和關(guān)鍵環(huán)節(jié)的正確性。嫦娥五號飛行程序系統(tǒng)建模方法如圖2所示。

任務(wù)分解是根據(jù)飛行任務(wù)需求，確定全任務(wù)飛行過程的關(guān)鍵事件和飛行動作，將整個飛行階段的關(guān)鍵環(huán)節(jié)用若干模塊狀態(tài)機(module state machine ，MSM)進行描述，并按照事件發(fā)生先后時序?qū)?yīng)飛行事件進行編號，如：M1，M2，M3…，MN，其中N為飛行事件總數(shù)量。

4.1 模塊狀態(tài)機功能建模

各模塊狀態(tài)機由狀態(tài)觸發(fā)器(state generator ，SG)、狀態(tài)評估器(state assessor，SA)、任務(wù)執(zhí)行器(command executor，CE)和狀態(tài)確認器(state verifier，SV)組成，其中：

1)狀態(tài)觸發(fā)器(SG)是模塊狀態(tài)機的輸入接口，狀態(tài)觸發(fā)器接收外部的激勵信號，當(dāng)其判定外部激勵信號滿足觸發(fā)內(nèi)部的目標(biāo)條件時，該模塊狀態(tài)被觸發(fā)；

2)狀態(tài)評估器(SA)是對當(dāng)前模塊狀態(tài)機能否進入該狀態(tài)進行評估的機構(gòu)。狀態(tài)評估器主要是確認當(dāng)前系統(tǒng)是否滿足模塊狀態(tài)機進入該狀態(tài)的條件；

3)任務(wù)執(zhí)行器(CE)是一個根據(jù)模塊當(dāng)前狀態(tài)的指示，利用模塊狀態(tài)機的資源來實現(xiàn)模塊狀態(tài)機任務(wù)的一個機構(gòu)；

4)狀態(tài)確認器(SV)是對任務(wù)執(zhí)行器執(zhí)行結(jié)果進行確認的機構(gòu)，主要是確認模塊狀態(tài)機任務(wù)執(zhí)行結(jié)果的正確性，是否可以輸出以改變其他模塊的外部環(huán)境。

定義任意模塊狀態(tài)機Mi中，對應(yīng)的狀態(tài)觸發(fā)器Gi，狀態(tài)評估器Ai，任務(wù)執(zhí)行器Ei及狀態(tài)確認器Vi。相應(yīng)的，各模塊狀態(tài)機可以表述為以Gi、Ai、Ei、Vi為輸入的相關(guān)函數(shù)f，即：

Mi=f(Gi,Ai,Ei,Vi),i∈[1,N]

(1)狀態(tài)觸發(fā)器/評估器/確認器建模設(shè)計

從功能特點上可以看出，Gi、Ai及Vi均可認為是對探測器系統(tǒng)狀態(tài)的一種判定，當(dāng)探測器系統(tǒng)狀態(tài)滿足其判定條件時，該模塊執(zhí)行并輸出對應(yīng)結(jié)果。

因此，可以將Gi、Ai、Vi統(tǒng)一建模，其輸入條件為探測器系統(tǒng)狀態(tài)矩陣Si，定義為表征探測器狀態(tài)的各類外測數(shù)據(jù)(軌道、姿態(tài)數(shù)據(jù)等)、資源數(shù)據(jù)(能源、推進劑、存儲空間等)和儀器設(shè)備狀態(tài)的總和，并可根據(jù)對應(yīng)功能機構(gòu)的特點進行刪減，根據(jù)當(dāng)前任務(wù)的不同確定相應(yīng)取值范圍。即有：

Si=[Si1,Si2,Si3,Si4,Si5,Si6,Si7,Si8,Si9]

Sij=(Sij1,Sij2,…,Sijm)T

m∈[1,任意取值)，j∈[1,10)

式中：Si1為Mi對應(yīng)的軌道及姿態(tài)參數(shù)；Si2為Mi對應(yīng)的設(shè)備加電狀態(tài)；Si3為Mi對應(yīng)的資源狀態(tài)；Si4為Mi對應(yīng)的機構(gòu)運動狀態(tài)；Si5為Mi對應(yīng)的系統(tǒng)工作模式；Si6為Mi對應(yīng)的推進閥門狀態(tài)；Si7為Mi對應(yīng)的觸發(fā)信號狀態(tài)；Si8為Mi對應(yīng)的重要軟件標(biāo)志狀態(tài)；Si9為Mi對應(yīng)的所屬環(huán)境狀態(tài)。

同時定義該函數(shù)中每一個變量的狀態(tài)都由相關(guān)參數(shù)Pj(j∈[1,任意取值))進行表決，當(dāng)且僅當(dāng)各參數(shù)Pj=1(數(shù)字量)或者滿足閾值范圍要求(模擬量)時，則觸發(fā)，即：

Gi/Ai/Vi→(P1,P2,P3,…)

(2)狀態(tài)執(zhí)行器建模設(shè)計

當(dāng)狀態(tài)觸發(fā)器Gi和狀態(tài)評估器Ai完成對當(dāng)前系統(tǒng)狀態(tài)的外部資源和內(nèi)部條件的確認后，任務(wù)執(zhí)行器Ei則需要利用這些資源來完成具體的任務(wù)。因為任務(wù)的不同，其任務(wù)執(zhí)行器的具體實現(xiàn)也不盡相同。不同的任務(wù)均是通過一系列動作的集合完成某一具體任務(wù)。

在狀態(tài)執(zhí)行器構(gòu)建時，需要對具體任務(wù)的執(zhí)行過程進行層級分解，由關(guān)鍵事件出發(fā)，梳理相應(yīng)的關(guān)鍵動作，以及該過程中器地需要交互的數(shù)據(jù)進行動態(tài)的相互作用。

在對系統(tǒng)的數(shù)據(jù)、處理方式和相互間的交互形式明確之后，設(shè)計時就將其看做為一種面向過程的程序設(shè)計，可以從軟件工程的角度，采用各類函數(shù)體設(shè)計標(biāo)準(zhǔn)化的接口，對重復(fù)多次的動作進行建模，提高設(shè)計的封裝性和一致性；采用各類分支、判斷、循環(huán)等語句對飛行程序中復(fù)雜的邏輯關(guān)系進行建模，提高設(shè)計的全面性和有效性。

4.2 模塊狀態(tài)機鏈接

各模塊狀態(tài)機根據(jù)上一個狀態(tài)機的確認器確認結(jié)果觸發(fā)當(dāng)前狀態(tài)機的狀態(tài)觸發(fā)器。通過確認與觸發(fā)，將各模塊狀態(tài)機進行鏈接，確定模塊間狀態(tài)轉(zhuǎn)移過程，從而形成完整狀態(tài)機及狀態(tài)轉(zhuǎn)移流程。

M1→M2|V1=G2→…→MN:VN

基于狀態(tài)轉(zhuǎn)移的飛行程序建模流程如圖3所示。

圖3 基于狀態(tài)轉(zhuǎn)移的飛行程序建模流程Fig.3 Modeling flow chart of flight program based on state transition

5 基于模型的嫦娥五號飛行程序設(shè)計

嫦娥五號飛行程序包含11個飛行階段，其中環(huán)月飛行段和月面工作段均涉及著上組合體、軌返組合體的協(xié)同控制，交會對接與樣品轉(zhuǎn)移段涉及上升器與軌返組合體的協(xié)同控制。同時月面工作期間，需要根據(jù)落月后月面地形地貌特點、采樣量要求和采樣過程實時進展情況等確定最終采樣次數(shù)，確保落月2 d后上升器能夠按時準(zhǔn)點起飛。

傳統(tǒng)飛行程序設(shè)計方法通常根據(jù)任務(wù)設(shè)計的各個飛行階段，按階段梳理出該階段涉及到的關(guān)鍵事件，之后通過圖表方式以指令鏈形式給出整個階段的實現(xiàn)方式。該方法可讀性較差，且較難從中提取關(guān)鍵過程的參數(shù)診斷信息。

本文首先基于任務(wù)設(shè)計的各個飛行階段，從每個飛行階段出發(fā)，通過任務(wù)剖面的分解提取出影響任務(wù)成敗的關(guān)鍵環(huán)節(jié)，將每個關(guān)鍵環(huán)節(jié)定義為一個模塊狀態(tài)機。針對模塊狀態(tài)機，從描述探測器系統(tǒng)狀態(tài)的角度，通過一個9維的向量來表征探測器當(dāng)前的運行狀態(tài)，從而確定模塊狀態(tài)機的轉(zhuǎn)入、轉(zhuǎn)出狀態(tài)，并針對轉(zhuǎn)移過程，采用面向特定過程的程序設(shè)計思路，將其劃分為若干個功能函數(shù)進行求解。最后，通過將每個模塊狀態(tài)機進行銜接，構(gòu)成全流程的層次化狀態(tài)機模型，實現(xiàn)整個飛行過程的設(shè)計。

5.1 嫦娥五號任務(wù)分解

根據(jù)嫦娥五號任務(wù)特點及飛行程序過程中需要重點關(guān)注的關(guān)鍵環(huán)節(jié)，對探測器在軌全周期工作進行任務(wù)分解，具體如圖4所示。

發(fā)射入軌段中涉及的模塊狀態(tài)機為初始狀態(tài)探測器射前狀態(tài)M0。探測器在臨射前15 h開始，通過完成各類儀器設(shè)備的加電及其狀態(tài)設(shè)置，使探測器具備發(fā)射條件。

地月轉(zhuǎn)移段中涉及的模塊狀態(tài)機包括器箭分離狀態(tài)M1、軌道器太陽翼展開狀態(tài)M2。探測器接收器箭分離信號，消除分離沖擊對探測器初始姿態(tài)的干擾，繼而建立對日定向姿態(tài)；之后，軌道器、著陸器太陽翼依次展開，探測器建立能源保障供給。

近月制動段中涉及的模塊狀態(tài)機為近月制動狀態(tài)M3，若第一次近月制動失敗，則探測器無法捕獲月球，將造成任務(wù)終止。

環(huán)月飛行段中涉及的模塊狀態(tài)機為四器組合體分離狀態(tài)M4。軌返組合體與著上組合體分離后將進入并行協(xié)同控制階段，需要綜合評估兩組合體間資源的分配與調(diào)度。

著陸下降段中涉及的模塊狀態(tài)機為著上組合體動力下降狀態(tài)M5。從進入測控弧段到動力下降7 500 N主發(fā)動機點火僅7 min，需快速完成點火前的狀態(tài)確認。

圖4 嫦娥五號任務(wù)分解Fig.4 Chang’e-5 mission decomposition

月面工作段中涉及的模塊狀態(tài)機包括著上組合體落月狀態(tài)M6和采樣狀態(tài)M7。落月狀態(tài)的確認是建立月面工作的前提條件，要求對發(fā)動機關(guān)機狀態(tài)、著陸姿態(tài)安全性、著上組合體信道鏈路等進行確認。采樣過程時序緊張，機構(gòu)動作多，不確定因素多，器地協(xié)同交互復(fù)雜，要確保在既定時間內(nèi)完成規(guī)定質(zhì)量的月球樣品采集任務(wù)。

月面上升段中涉及的模塊狀態(tài)機為月面起飛狀態(tài)M8。入軌狀態(tài)判斷和故障處置決策的時間相對較短，若起飛推遲，將造成交會對接任務(wù)重構(gòu)。

交會對接與樣品轉(zhuǎn)移段中涉及的模塊狀態(tài)機包括上升器交會對接狀態(tài)M9、軌返組合體交會對接狀態(tài)M10以及對接艙分離狀態(tài)M11。上升器和軌返組合體要求在預(yù)定時間到達預(yù)定交班點位置，并滿足預(yù)定的相對位置和速度關(guān)系時，方可具備開展自主交會對接的條件。一旦出現(xiàn)故障，將造成交會任務(wù)重構(gòu)，對任務(wù)影響重大。

月地轉(zhuǎn)移段中涉及的模塊狀態(tài)機包括月地入射狀態(tài)M12、軌返分離狀態(tài)M13。月地入射窗口嚴格，錯過后將造成月地轉(zhuǎn)移軌道方案重構(gòu)。

再入回收段中涉及的模塊狀態(tài)機包括返回器120 km狀態(tài)M14、返回器開傘狀態(tài)M15、返回器著陸狀態(tài)M16。返回器進入120 km后正常再入大氣直至跳出后二次再入，通過升力控制保證返回器開傘點經(jīng)度，最終返回器攜帶月球樣品按預(yù)定速度在預(yù)定區(qū)域安全著陸。

通過采用該方法進行任務(wù)分解，可以全面、系統(tǒng)地確定嫦娥五號任務(wù)的所有關(guān)鍵環(huán)節(jié)，從狀態(tài)轉(zhuǎn)移流程出發(fā)，后續(xù)可針對這些關(guān)鍵環(huán)節(jié)確認其輸入、輸出關(guān)系，以及各關(guān)鍵環(huán)節(jié)的具體實現(xiàn)過程，確保系統(tǒng)設(shè)計邏輯的全面性和正確性。

5.2 狀態(tài)評估器設(shè)計

通過任務(wù)分解，并建立對應(yīng)的模塊狀態(tài)機就可以系統(tǒng)性地對進入該模塊狀態(tài)機前的探測器系統(tǒng)狀態(tài)進行評估，確認是否具備開展這一關(guān)鍵任務(wù)的能力，如可以迅速對M3近月制動、M5動力下降狀態(tài)進行確認，從而保證正確地進入該狀態(tài)，避免由于狀態(tài)確認不到位導(dǎo)致任務(wù)的不可逆。這里以M5著上組合體動力下降狀態(tài)為例，給出狀態(tài)評估器的設(shè)計過程。

M5著上組合體動力下降模塊狀態(tài)機中狀態(tài)評估器A5設(shè)計的重點，就是要確認能夠成功實施著陸下降。著陸器7 500 N發(fā)動機具備開機條件前需要評估的探測器系統(tǒng)狀態(tài)包括：

S51姿態(tài)：著上組合體已完成著陸下降，7 500 N發(fā)動機開機前姿態(tài)建立。

S52設(shè)備加電狀態(tài)：著上組合體平臺設(shè)備、各類著陸導(dǎo)航敏感器加電工作正常。

S53資源狀態(tài)：電源設(shè)備工作正常并能夠支持采樣封裝工作全過程供電需求，大容量存儲設(shè)備中存儲容量滿足采樣過程圖像存儲需求。

S54機構(gòu)運動狀態(tài)：太陽翼驅(qū)動機構(gòu)、星敏防塵機構(gòu)已按要求收攏或關(guān)閉，符合著陸要求。

S55系統(tǒng)工作狀態(tài)：上升器導(dǎo)航制導(dǎo)單元處于恒星定向模式。

S56閥門狀態(tài)：上升器姿控各閥門、著陸器姿軌控各閥門均處于打開狀態(tài)。

S59環(huán)境狀態(tài)：著上組合體儀器溫度水平能夠支持著陸任務(wù)實施。

當(dāng)P1(姿態(tài))=1,P2(設(shè)備)=1,P3(資源)&P4(機構(gòu)運動)&P5(系統(tǒng)模式)&P6(閥門)&P9(環(huán)境)=1時，則可以通過著陸下降實施工作評估，評估器A5的驅(qū)動邏輯觸發(fā)如圖5所示。

圖5 動力下降模塊狀態(tài)機狀態(tài)評估器模型構(gòu)建Fig.5 Model building of SA for lunar lander MSM

采用這個評估器就可以很容易地評估出動力下降前探測器系統(tǒng)狀態(tài)是否滿足著陸下降的要求。

對于嫦娥五號任務(wù)，動力下降前進入地面測控網(wǎng)監(jiān)控區(qū)域至著陸器7 500 N發(fā)動機開始實施動力下降只有幾分鐘的時間，從上千個遙測中進行狀態(tài)確認非常緊張。采用本方法，從任務(wù)驅(qū)動出發(fā)，通過探測器9個維度進行分解，逐級深入，能夠確保狀態(tài)梳理全面、正確、滿足任務(wù)實施要求。

5.3 狀態(tài)執(zhí)行器設(shè)計

每一個狀態(tài)執(zhí)行器都可以看作是面向特定過程的程序設(shè)計，因此可將其作為特殊的軟件程序進行設(shè)計、控制與管理。在狀態(tài)執(zhí)行器的設(shè)計過程中，可以根據(jù)具體執(zhí)行內(nèi)容劃分為若干個功能函數(shù)，將其標(biāo)準(zhǔn)化和規(guī)范化，明確其中的常量和變量，按照軟件工程的方法，分析每個功能函數(shù)的正確性和測試覆蓋性，進而多個類似的功能函數(shù)可以在不同的狀態(tài)執(zhí)行器中使用，如M3近月制動、M12月地入射過程的實現(xiàn)、M4四器組合體分離、M11對接艙分離、M13軌返分離過程的實現(xiàn)，從而達到整個飛行程序的通用化。

各分離過程通用流程主要包括：

1)注入分離期間需要執(zhí)行的各類延時指令，確保分離關(guān)鍵指令通過器上自主執(zhí)行和地面指令發(fā)送兩種方式進行備份；

2)注入分離前軌道數(shù)據(jù)以及分離調(diào)姿參數(shù)，用于器上自主建立分離姿態(tài)和自主控制定向天線捕獲地球；

3)分離前調(diào)姿機動，建立目標(biāo)分離姿態(tài)；

4)分離前太陽翼回零設(shè)置；

5)分離前測控數(shù)傳鏈路設(shè)置，用于圖像數(shù)據(jù)實時下傳；

6)分離期間監(jiān)視相機設(shè)置；

7)組合體停控、分離、啟控；

8)分離后監(jiān)視相機狀態(tài)恢復(fù)；

9)自主建立分離后姿態(tài)。

對于各次分離，均可以按此流程展開狀態(tài)執(zhí)行器的設(shè)計，其中不變量為太陽翼回零設(shè)置、測控鏈路設(shè)置，而變量則包括分離期間延時指令、軌道數(shù)據(jù)、目標(biāo)分離姿態(tài)、監(jiān)視相機設(shè)置、分離面分離指令以及分離后姿態(tài)等。從而建立了分離狀態(tài)執(zhí)行的基線，實現(xiàn)了各分離過程設(shè)計的統(tǒng)一。

同時，基于狀態(tài)執(zhí)行器，還可對M7著上組合體采樣狀態(tài)機的最長時間路徑進行分析。在表取采樣及其封裝執(zhí)行器建構(gòu)過程中，對每項工作的執(zhí)行時間必須建立強約束。由于采樣總時長的限制，最終采樣次數(shù)應(yīng)在滿足時長要求的范圍內(nèi)盡可能裝滿表取初級封裝裝置；同時，在采樣過程中要重點從采樣區(qū)域環(huán)境、系統(tǒng)資源、機構(gòu)運動狀態(tài)以及重要軟件標(biāo)志等方面對著上組合體進行綜合確認，確保系統(tǒng)執(zhí)行狀態(tài)滿足要求。具體建模結(jié)果如圖6所示。

采用這種建模方法可以清晰地獲取單次采樣的最長路徑、最短路徑、需要地面協(xié)同配合的確認環(huán)節(jié)等內(nèi)容，對于掌控飛行過程的最大包絡(luò)范圍有很大的好處。而傳統(tǒng)的飛行程序設(shè)計，直接具體到了指令級別，無法從宏觀和頂層識別相關(guān)的狀態(tài)關(guān)聯(lián)。

單次采樣的最長時間路徑是：機械臂運動至觸月上方點→機械臂觸月→機械臂抬升→機械臂運動至采樣位置→機械臂采樣器采樣→機械臂運動至放樣位置→放樣位置精調(diào)→采樣器放樣→機械臂運動至放樣中間點→機械臂運動至狀態(tài)確認點→樣品容器狀態(tài)確認→機械臂返回至放樣中間點。

單次采樣的最短時間路徑是：機械臂運動至采樣位置→機械臂采樣器采樣→機械臂運動至放樣位置→采樣器放樣→機械臂運動至放樣中間點。

表取機械臂運動過程中地面協(xié)同配合的關(guān)鍵環(huán)節(jié)是：機械臂運動至放樣位置、機械臂運動至抓罐位置以及機械臂運動至放罐位置。機械臂運動至放樣位置決定了表取機械臂能否將樣品準(zhǔn)確地傾倒至表取初級封裝裝置；而抓罐、放罐則直接決定了整個表取任務(wù)是否成功。這些環(huán)節(jié)需要在軌實施時予以重點關(guān)注。

基于狀態(tài)轉(zhuǎn)移的飛行程序設(shè)計方法不僅能夠在飛行程序設(shè)計階段，通過對每一個模塊狀態(tài)機中狀態(tài)評估器和狀態(tài)確認器的建模，實現(xiàn)對相應(yīng)關(guān)鍵環(huán)節(jié)的全面梳理，確保系統(tǒng)當(dāng)前狀態(tài)滿足探測器進入、轉(zhuǎn)出該關(guān)鍵環(huán)節(jié)的要求；同時狀態(tài)執(zhí)行器通過邏輯語言對該環(huán)節(jié)的各個執(zhí)行分支進行描述，確保過程轉(zhuǎn)移的正確性和完備性。該方法對于飛行控制在軌實施也有很大的指導(dǎo)意義。按照類似的思路，制作了采樣過程的狀態(tài)監(jiān)視頁面，從實際遙測數(shù)據(jù)展示和判讀飛行程序的執(zhí)行情況，可以從頂層全面、宏觀地判斷任務(wù)的執(zhí)行進度和完成情況，有效支持了采樣任務(wù)的在軌高效完成。

6 嫦娥五號飛行程序在軌實現(xiàn)

嫦娥五號探測器在北京時間2020-11-24 04:30:21發(fā)射入軌，經(jīng)歷地月轉(zhuǎn)移、近月制動、環(huán)月飛行組合體分離后，著上組合體于2020-12-01 23:11:21安全著陸月面；通過開展19 h的鉆取采樣封裝、表取采樣封裝工作，成功獲取月球樣品1.731 kg；上升器于2020-12-03 23:10:21實施月面上升，經(jīng)2 d的遠程導(dǎo)引控制與軌返組合體于2020-12-06 02:13實施交會對接，將月球樣品由上升器轉(zhuǎn)移至返回器中。之后軌返組合體經(jīng)環(huán)月等待、月地轉(zhuǎn)移，于2020-12-17 01:13:16實施分離，返回器在2020-12-17 02:00著陸于內(nèi)蒙古四子王旗[1]。所有過程均按照飛行程序設(shè)計的狀態(tài)轉(zhuǎn)移過程正確執(zhí)行。

圖6 采樣模塊狀態(tài)機狀態(tài)執(zhí)行器(表取采樣及其封裝)模型構(gòu)建Fig.6 Model building of CE for surface-sampling MSM

在實際任務(wù)在軌實施過程中，根據(jù)探測器任務(wù)分解，對16個模塊狀態(tài)機的評估器、執(zhí)行器和確認器分別設(shè)定相應(yīng)的遙測監(jiān)視參數(shù)、正常值范圍和判斷準(zhǔn)則，構(gòu)建16個狀態(tài)轉(zhuǎn)移監(jiān)顯頁面，每個監(jiān)顯頁面包含狀態(tài)轉(zhuǎn)入監(jiān)視(對應(yīng)狀態(tài)評估)、狀態(tài)執(zhí)行過程監(jiān)視(對應(yīng)狀態(tài)執(zhí)行)和狀態(tài)轉(zhuǎn)出監(jiān)視(對應(yīng)狀態(tài)轉(zhuǎn)出確認)，實現(xiàn)了各關(guān)鍵環(huán)節(jié)進入、轉(zhuǎn)出狀態(tài)的一鍵式判斷和執(zhí)行過程的集中式診斷。

其中，16個模塊狀態(tài)機中的M5著上組合體動力下降模塊狀態(tài)機，由于其特殊性，在軌測站接收到器上狀態(tài)信息至進入該狀態(tài)的判斷決策時間僅7 min，需要對該狀態(tài)進行快速診斷。由于引入了該模塊狀態(tài)機狀態(tài)評估的監(jiān)顯頁面，通過該頁面從該狀態(tài)評估器涉及的7個維度對系統(tǒng)狀態(tài)進行診斷，實現(xiàn)了秒級的狀態(tài)確認與判斷決策，極大地提升了在軌任務(wù)判斷的能力。

針對采樣模塊狀態(tài)機的執(zhí)行過程，按照預(yù)定程序歷時16 h完成了全部表取采樣工作。表取采樣/放樣共實施了12次，12次表取采樣是在預(yù)定的4個采樣點開展了2次觸月采樣放樣和10次非觸月采樣放樣，最終裝有鉆取初級封裝容器和表取初級封裝容器的密封封裝裝置完成密封閉蓋與金屬擠壓密封，圓滿完成月面采樣工作。其中，12次表取采樣執(zhí)行時長統(tǒng)計如表1所示。由此可見，最大時間路徑和最小時間路徑均與預(yù)估一致，最大時間路徑為首次采樣及其放樣過程，期間實施了觸月采樣、精調(diào)以及放樣后樣品觀測，時長為106 min；最小時間路徑為不觸月、不觀測，時長為33～46 min，期間由于涉及天地操作，因此存在一定的差異性。

表1 月面單次表取采樣時長分析

7 結(jié)論

飛行程序設(shè)計是航天器總體設(shè)計的重要組成部分。更自主、更聰明、更智能是未來深空探測器的發(fā)展方向，這有賴于更強大、更規(guī)范和更高效的飛行程序和飛行軟件的編制方法進行支撐。

本文將計算機領(lǐng)域的有限狀態(tài)機理論引入到航天器飛行程序設(shè)計工作中，開展了利用有限狀態(tài)機對復(fù)雜航天器任務(wù)規(guī)劃與飛行程序設(shè)計的探索，實現(xiàn)了對航天器復(fù)雜飛行任務(wù)過程的數(shù)字化建模，并通過在軌飛行試驗驗證了設(shè)計的正確性。

該方法相比傳統(tǒng)依賴設(shè)計師經(jīng)驗的飛行程序編制方法，具有計算機程序語言的模塊化、通用化和可復(fù)用等優(yōu)點，特別適用于飛行過程和狀態(tài)復(fù)雜航天器的飛行程序編制。

本文提出的基于狀態(tài)轉(zhuǎn)移的飛行程序設(shè)計方法對于規(guī)范飛行程序設(shè)計、描述復(fù)雜的飛行任務(wù)過程并進行形式化分析具有優(yōu)勢，可為后續(xù)復(fù)雜深空探測任務(wù)和未來載人登月任務(wù)的飛行程序設(shè)計提供參考。