深空探测器指令序列智能执行技术进展

柴敬轩，赵寒冰，梅 杰，马广富

（哈尔滨工业大学（深圳），深圳 518055）

0 引言

随着空间科学和航天技术的快速发展，深空探测任务变得越来越复杂。深空探测任务具有典型的目标非合作、飞行时间长，以及环境不确定等特点，这会导致指令传送时延，地面测控滞后、指令执行鲁棒性弱等一系列指令执行难题。

目前世界上大多数空间探测器仍采用地面遥控遥测的控制方法。地面测控人员事先制定好探测器的飞行程序，编排飞行事件表，据此生成探测器的在轨注入指令序列。这些指令一般都是线性的。构成指令序列的命令包括比较低级的命令如：“拨动电源开关27”和相对较高级的指令如：“将探测器转到姿态a”。在执行飞控任务时，以指令序列的形式将指令批量发送至探测器，通过地面遥测信息确认指令的执行情况和各部件的状态［1］。

但深空中大多数需要探测的目标都具有不确知的特点。例如，火星车在行驶前较难确切知道行驶到目标点所需的时间，也无法确知需要多少燃料，更无法确定星表的软硬程度。若采用遥操作［2］的方式，操作人员必须通过一个很长的测控周期去控制火星车运动，这使得目前火星车的移动受到极大的限制。如美国的“机遇”火星车在2004—2018 年之间仅行走了45 km［3］，最新的“毅力号”在着陆后的13 个月里，也仅沿着耶泽罗陨石坑底部行驶了大约5 km［4］。而中国的“祝融号”火星车自2021 年5 月15 日着陆截止到2021年7月14日，在车轮有轻微打滑的情况下仍向着陆区西南方向行进了450.9 m［5］。此外，采用延时指令［6］的方式也会受到不确定性的影响。为了应对不确定性，即使是一个简单的确定性指令序列也需要根据持续时间和资源使用的最坏情况来估计。

针对上述问题，发展深空探测自主技术是高效的解决方案［7］。通过构建智能自主的管理系统，使探测器能够自主地进行工程任务与科学任务的规划调度、命令执行，完成无地面操控和无人参与情况下的自主安全运行。文献［8］提出了感知-演化-决策-执行的深空探测器自主化运行模型。文献［9］提出了深空探测器自主能力构建过程的五阶模型，对探测器的智能执行机制进行了研究。传统的指令执行是严格按照任务规划结果，使探测器去执行规划好的任务序列。而智能执行则指探测器根据自身所处的环境情况，面对突发情况或者执行失败时，灵活调整指令序列最终完成任务目标，从而避免指令传送时延等问题。智能执行能够减少地面人员的工作量，提高任务的效率，最大限度地利用探测器资源，迅速处理出现的问题，而无需等待来自地面的指示。本文综述了深空探测器指令序列智能执行技术的国内外研究进展，并就其实际应用和进一步发展给出建议，可为相关研究工作提供参考。

1 深空探测器指令执行

最初，深空探测器的遥控命令采用模拟信号进行传输。然而，在20 世纪60 年代数字技术成熟之后，深空探测器开始采用由0 和1 构成的二进制序列来构建遥控命令，这被称为脉冲编码调制（Pulse code modulation，PCM）遥控。中国航天器工程领域也在此后几十年间广泛应用了PCM 遥控体系，并制定了航天器PCM 遥控的国家军事标准［10］。随后，在20世纪80年代，空间数据系统咨询委员会制定了分包遥控的标准，通过采用与遥测信源包类似的帧格式，扩展了遥控命令的构造功能，并提升了检测和纠错能力。从90年代开始，空间数据系统咨询委员会在分包遥控的基础上进一步发展，提供了更加灵活多样的数据处理业务，这就是高级在轨数据系统（Advanced Orbiting System，AOS）［11］。目前，中国大部分深空探测器仍然采用PCM 遥控，而分包遥控也在一些型号中得到了应用。21 世纪以来，为了满足多种不同类型航天器联合控制的需求，空间数据系统咨询委员会在已有的分包遥控和AOS 的基础上开发了一个新的系统，称为临近空间链路协议（Proximity space link protocol，PSLP），目前已在中国得到应用［12］。

传统的深空探测器是由地面工程师所制定的线性、开环指令所控制，这些指令通常以序列的形式批量上注到探测器。早期的指令只有开关命令一种形式，如设置电源通断、信号通断等。随着航天任务日益复杂，遥控概念逐渐拓宽为上注数据及文件的传输。由于深空探测器在可视弧段外也有工作需求，对于某些不能长期加电的载荷设备（比如相机等），延时指令就成为了唯一的执行手段。其基本技术途径是先将带有时标的指令在可视弧段内发送到深空探测器上进行储存，当到指定时间时，深空探测器自动执行这些指令。这个功能对深空探测器尤为重要，特别是在重要的进入、下降、着陆（Entry descent and landing，EDL）过程和深空机动等过程。

深空探测器的任务目标通常在研制该型号之前就已明确确定。任务规划需要考虑任务目标、探测器设计参数、携带载荷、轨道测算等多种因素，通过计算机的规划算法或人工的方式，制定一套实际可行的任务计划。任务序列是任务计划的进一步详细化，根据任务序列和深空探测器的工作模式生成探测器的事件表，即指令序列。指令序列的编制依据现有的宏指令和脚本程序，参考指令格式说明和数据注入表进行指令编码和打包，生成指令包。随后，将指令包发送至深空探测器的测控中心，通过指令上行的方式，将编码和封装完成的注入包发送至测控站，进而注入到探测器中。探测器接收到上行的遥控命令后，进行指令分析和执行。探测器上行遥控指令的常规操作过程如图1所示［9］。

图1 探测器遥控指令的常规操作过程［9］Fig.1 The operation process of probe command［9］

目前，非自主运行的探测器的各个子系统和设备仅能接收预先定义的指令，并按照指令执行相应的操作。这些指令定义了许多细粒度的操作，例如在成像侦察卫星上启动相机、开始摄像或结束摄像等。然而，对于像小行星着陆这样的复杂任务而言，需要探测器上的多个子系统协同工作来完成复杂的操作。此外，由于受到通信时延的限制，无法实时进行控制，因此需要采用延时指令来完成任务［13］。这类指令的显著特点是非常保守，每条指令都具有较大的安全裕度，一旦发生故障，探测器将被置于安全模式［14］。为确保探测器的运行效果，工程师必须在发射前使用复杂的半实物仿真测试台对探测器本身和指令序列进行精确建模和全面测试。一旦指令序列上传到探测器，这些序列将按照预定的时间表以开环方式执行相关命令。

采用上述延时指令存在一些不足之处。在执行关键任务序列，如行星飞越、轨道机动、大气进入、下降和着陆等过程中，将探测器置于安全模式可能导致任务失败。在安全模式下，所有非必要的探测器功能都被禁用。一旦进入安全模式，探测器将与地面测控中心进行通信，并等待地面测控中心诊断问题并提供纠正措施。这些干预措施可能带来高昂的成本，包括地面操作成本和在安全模式下失去的科学机会。

以火星探测器的进入过程为例［15］，如图2 所示。在环绕过程的最后阶段，探测器首先打开并加热主发动机，使其进入待机模式。四个半小时后，当探测器进入火星大气层时，将星敏和惯性测量单元（Inertial measurement unit，IMU）的组合导航模式切换为只使用IMU 的惯性导航模式。这种导航模式的切换是必要的，因为一旦进入大气层，探测器将无法跟踪参考星。切换导航模式后的4 min内，探测器调整姿态，为进入大气层做准备。一旦姿态调整完成，着陆器将从环绕器分离，并朝着进入火星大气层的方向前进，始终保持进入方向的姿态。

图2 火星进入段部分关键指令序列Fig.2 Key command sequence of Mars entry

在上述序列中，时间点是指令执行主要的考虑条件。如果能够根据探测器的实时状态作为指令执行条件，例如利用探测器运行轨道与火星大气层进入点的距离来决定切换导航模式的条件，将使序列更加灵活。然而，由于探测器无法实时获取到自身与火星大气层进入点的距离，这种方式是不可行的。因此，执行序列必须包含一个事先设定的时间延迟。通常，地面操作人员根据探测器的环绕轨迹进行保守估计来确定这个延迟的时间。

在这种情况下，需要设计专门的指令序列来应对问题。例如，中国的天问一号针对其着陆器的飞行过程和任务，设计了11 种工作模式，并能够自动切换［16］。然而，这些专门设计的执行序列需要覆盖各种可能发生故障的场景，并提供应对复杂着陆过程的故障解决方法。设计和测试这些关键序列是一项极为繁琐的任务。此外，探测器从故障中恢复的时间非常有限，增加了问题的复杂性，并可能导致在意外故障条件下出现更加脆弱、缺乏鲁棒性的行为。一旦出现设计之外的情况，任务将无法完成。

2 智能体系下指令执行

综上，现有的指令执行存在较大弊端。主要原因是探测器无法根据实际情况做出最优的决断，而人工智能可以改变这种局面。所谓人工智能，是希望制造出可以代替人力开展工作的系统。而深空探测器因其特殊的工作环境和任务需求，恰恰是最需要人工智能的系统，深空探测智能化也是近年的研究重点。目前各国已经取得的智能化相关进展见表1所示。

表1 典型探测器上智能应用Table 1 Intelligent applications on typical probes

根据文献［17-21］，在航天领域有多种关于智能等级的划分。其中NASA 将智能分为如下三个等级：自动（automatic）、自治（autonomous）、自主（autonomic）。文献［22］则将其分为：手动-自动-自主-智能四个阶段。上述划分方式虽有不同，其内涵基本一致。其中自动过程是按照事先制定好的固定流程执行任务，由人来处理环境和模型中的决策问题；自主过程则是针对确知环境，采用一些规划决策算法使深空探测器具有自主决策的能力，主要应对执行信息基本健全、环境基本确定等低动态的任务；智能过程主要面向非合作、高动态的任务场景，包含了系统的自我管理，任务规划等出于主动意图的思维过程，这就类似于探测器拥有了“大脑”，可以处理一些突发情况，面对非合作环境能进行决策并执行相关动作以解决问题。

从指令执行的角度来看，根据文献［9］，探测器能够执行的指令可以分为命令级（单条指令）、计划级（带有约束的指令）和任务级（指令序列）。命令级指令是探测器可以直接执行的指令，例如在著名的阿波罗登月任务的最后阶段，宇航员采用手动操作相关指令；中国的玉兔2 号月球车采用地面遥操作指令。计划级指令通常带有时间、位置等约束条件，是目前最常用的指令类型，由地面工程师事先制定并上传给探测器，就像前面提到的延时指令一样。而任务级指令序列需要探测器通过任务规划将任务目标分解为计划级指令和命令级指令，然后执行这些指令序列。未来的探测器将不再使用计划级指令序列进行控制，而是通过输入任务目标使探测器能够自主智能地生成指令序列。在指令执行过程中，探测器将具备局部容错能力，能够适应环境的不确定性。任务级指令序列将成为自主智能体系下深空探测器指令执行的发展趋势。这意味着探测器将能够自主规划和执行复杂任务，而不仅仅是依赖于地面工程师预先设计的指令序列。

综合考虑智能技术的特征与指令执行的特点，给出深空探测器指令序列智能执行技术的定义：

定义1.深空探测器指令序列智能执行技术是指在已经取得深空探测器任务规划结果的基础上，运用智能搜索和智能推理技术，在指令的执行过程中根据实时状况，自主调整指令序列（包括指令执行顺序、指令执行约束、指令的取消与添加等），从而提高深空探测器的任务成功率。

3 指令序列智能执行实现方法及应用

目前关于深空探测器指令序列智能执行的研究较多，但实际应用的却较少，其中主要原因是自主任务规划尚无法适应高动态的情况［36］。深空探测器所处环境具有非合作、高动态不确定等特性，而且任务目标也可能在探测器运行过程中发生变化［37］。如果在有上述情况时仍死板地执行原有的规划序列可能无法实现任务目标。因此需要探测器智能地执行任务序列，智能地处理规划结果执行失败的问题，从而解决任务序列在非合作、高动态不确定环境下执行的稳定性与鲁棒性问题。目前主要有两种主流的方法。包括规划-执行相结合的智能执行方法和基于模型推演的智能执行方法，以下对两种方法以及它们的综合应用进行论述。

3.1 规划-执行相结合的智能执行方法

深空探测器在原有任务序列的执行过程中，一旦空间环境发生变化，或者动作执行失败（如某推进器未能正常工作），原有规划结果无法保证目标被实现。此时，从规划-执行相结合的角度出发有两种解决思路：通过快速重规划技术，在遇到执行失败时，推翻原有规划序列，针对原有目标重新生成新的任务规划，然后再执行新的规划序列；规划修复技术，从原有的规划中提取有用信息，在局部序列进行快速重规划，只改变部分规划结果从而提升规划效率，减轻规划器的压力。一般探测器的计算资源相对紧张，规划过程需要消耗大量的时间［38］，且原有规划结果已经对相关执行机构进行了资源（燃料、内存）的分配，有效利用已经生成的资源调度结果也更为合理。因此规划修复技术应当比重规划技术更适合应对执行问题。目前规划修复技术主要有规则匹配、局部调整、状态转移、删除∕求精、构造新问题等，文献［39］对上述方法有详尽的研究。

3.2 基于模型推演的智能执行方法

基于模型推演的智能执行方法由NASA 提出并已应用到其Titan系统中［40］，其理论框架如图3所示。控制程序使用标准的编程方法构造系统期望状态的演化模式，作为指令序列的参考。被控对象模型包含了系统正常行为模式和常见故障模式，还有各种约束、并行过程和马尔可夫过程，用于推理系统状态。基于模型的执行器由两个模块组成，分别是控制序列生成器和演绎推理控制器。控制序列生成器在控制程序和系统模型状态估计的指导下生成配置目标序列。每个配置目标指定一个系统要实现的抽象状态。演绎推理控制器再根据观察结果估计被控对象最可能的当前状态，从而发出指令使被控对象达到目标状态（同时最大化预先给定的奖励指标）。

图3 基于模型推演的指令执行框架Fig.3 An command execution framework based on model inference

图4 探测器自主管理系统框架［41］Fig.4 Probe autonomous management system［41］

在指令的执行过程中，时间是需要考虑的核心因素。探测器的控制程序通常包括某些动作之间的硬编码延迟，这些动作隐式地获取关于探测器或其环境状态的信息。例如，火星着陆器抛防热罩和其支撑腿展开之间的延迟确保支撑腿能够顺利展开。文献［41］对文献［40］进行了拓展，将指令的执行时间考虑进去，并对其执行框架进行了优化。

3.3 指令序列智能执行方法的综合应用

探测器在应对空间环境多变，探测目标非合作时，通常是采用“星地大回路”的测控方式：遥测下传→地面决策规划→上注指令序列→在轨执行，涉及到了多个子系统。因此全面实现深空探测指令序列的自主智能执行，是一个系统性的工程，在具体实施时需要解决各子系统之间协调和管理活动、资源调度以及状态检测等问题，往往需要将3.1 与3.2节所述的方法结合使用。

1）中国“自主管理软件”系统

文献［8］提出了一种新型“感知-演化-决策-执行”星上闭环控制框架，其中执行环节是根据决策结果，精确解算执行机构指令实施变轨方案、姿态指向、载荷开关、载荷指向等动作，以保证任务完成。

文献［42］对探测器控制系统自主管理软件架构进行了研究，其中执行模块主要与规划调度模块、和故障诊断模块交互。执行模块本身主要负责处理地面上注的直接指令。通过与规划调度模块交互，发起规划申请，生成相应的指令序列，并根据执行结果决策是否需要发起重规划；与故障诊断模块交互，推断指令执行是否正确，采用基于模型的诊断方法，跟踪探测器控制系统的执行状态。以深空探测器行星轨道变换为场景，进行了仿真实验。通过模拟轨控发动机故障，验证了系统能够自主诊断发动机故障，并自主切换发动机组继续完成轨道变换任务。

文献［9］制定了探测器自主能力构建的五阶模型，其模型的第二到第四阶就探测器的智能执行进行了研究：首先应使探测器具有基本的任务执行能力，确保执行安全和可靠，实现指令序列的自动执行；然后应该构建探测器的自学习能力，通过使用宏指令将固定且数据量较大的数据、程序、文件等事先加载到探测器上，择机通过简短的编号进行释放，从而灵活实现星上指令的调度和生成能力；最后构建系统的自我管理能力，通过引入事件表将原本在地面进行的各项规划和决策能力移植到探测器上。通过构建在线监控能力，解决任务在执行过程中探测器各项状态的检测问题。文献［43］在文献［9］的基础上，提出了基于Hierarchical task network（HTN）规划技术的探测器执行机制，给出了规划结果、事件表、宏指令的转换方法和匹配格式，实现规划到指令的分解过程，并通过仿真研究论证了有效性。

2）NASA的MEXEC系统

NASA 从二十世纪末期就开始研究探测器的自主化，并进行了大量的在轨验证。如1999年成功发射的深空一号，其自主化远程智能体［44-45］（Remote agent，RA）中集成了专门的智能执行模块（Smart executive）；后续又基于Extensible universal remote operations architecture 2［46-47］（EUROPA2）开发了更为强大的Map generation software（MAPGEN），并成功应用到了Mars Exploration Rover 火星车上；Advanced system for process engineering（ASPEN）系统［48］在“UFO-1”卫星、“对地观测 一 号”以及“TechSat21”等探测器上也得到了成功应用。

2019 年末，NASA 开展了一项 Arcsecond space telescope enabling research in astrophysics（ASTERIA）的拓展任务［49］，对其最新开发的自主执行系统Mission execution and planning system executor（MEXEC）进行了在轨验证。与RA相比，MEXEC更注重探测器各子系统的兼容性问题［49］，具有很强的参考性和指导意义。因此，本文对该任务进行详细讨论。该任务目标是在执行预定的轨道确定任务时，通过人为设置故障，验证MEXEC 系统是否可以通过优化指令序列降低故障对轨道确定任务的影响。

ASTERIA 所进行科学观测需要其运行轨道十分精确。但是随着时间的推移，由于磁场和稀薄的大气阻力对探测器的运行轨道产生影响，使得轨道误差增大。因此需要对其轨道进行实时修正。ASTERIA 搭载的AutoNav系统可通过拍摄已知位置的探测器图像，解算自身的轨道信息。AutoNav 对其他探测器的成像和轨道解算一般在太阳被地球遮住时进行，如图5所示。

图5 ASTERIA轨道修正过程示意［49］Fig.5 ASTERIA orbit correction process［49］

如图6所示，其任务过程为：①姿态控制系统将相机对准另一个轨道探测器；②对预计停留相机视野内的探测器拍摄三张照片；③指向和成像重复三次。

图6 ASTERIA轨道修正过程的具体指令序列［49］Fig.6 The specific sequence of instructions for the ASTERIA orbit correction process［49］

图像拍摄依赖于探测器姿态控制。如果探测器在姿态机动或姿态保持期间出现故障，会导致拍摄任务失败，或者获得错误的图像。但姿态系统的故障并不会对图像传输和处理的过程产生影响。为了在出现故障时，探测器仍能对指令执行做出正确的决策，就需要对每一个动作的执行状态进行监视。

测试#1：注入与当前任务无关的错误。当最后一次拍摄任务完成后，在姿态控制系统中注入瞬态故障，并在下一次姿态指向前恢复该故障。在故障期间MEXEC 判断出该故障对AutoNav 的图像处理任务并无影响，所以没有将探测器切换到安全状态，而是让任务继续进行，其处理结果如图7所示。

图7 注入与当前任务无关故障时系统的处理结果［49］Fig.7 The system processing result when a fault is not related to the current task［49］

测试#2：在拍照期间注入姿态无法保持稳定的故障。拍照时必须保持姿态稳定，否则将会拍出“错误”的照片，这种照片不仅无法使用还可能影响最终轨道确定的精度。此时MEXEC 立即取消了拍摄图像任务，并直接启动下一次姿态机动过程。其处理结果如图8所示。后续的启动缓冲区，图片传输、图像处理等任务也相继被取消，从而避免AutoNav 处理有“瑕疵”的图像，降低轨道修正精度。

图8 注入与当前任务相关的故障时系统的处理结果［49］Fig.8 System processing result when faults related to the current task are injected［49］

MEXEC 是一种以任务目标为导向，融合了规划-执行相结合和模型推演的智能执行方法，因此它可以推演不同指令序列对任务目标的影响，从而选择最优的执行序列（例如为定轨精度而放弃瑕疵图像的拍摄）。而RA 本质上是一种以指令完成为目标，仅采用规划-执行相结合的执行方法。在遇到问题时，只能确保当前指令序列的鲁棒执行（设法完成拍摄），而不会考虑执行结果对后续任务目标实现的影响（定轨精度）。

4 未来指令序列智能执行研究方向

通过对现有指令序列智能执行方法及其综合应用分析可知，在深空探测这一充满不确定与高动态的领域，指令序列的智能执行可以很好地解决相关问题。但目前的指令序列智能执行方法尚处在发展初期，还存在一些亟待攻克的问题。如“规划-执行相结合的智能执行方法”中的“指令序列重构”问题，“基于模型推演的智能执行方法”中的“指令序列鲁棒执行”问题，以及形成指令闭环的关键“指令执行在线监控”问题。未来应重点研究上述三个方向，从而更好实现指令序列的智能执行。”

4.1 指令序列重构

指令序列生成是其重构的基础，指令序列生成主要解决指令的由来问题。待执行任务可根据其复杂度分为粗粒度任务和细粒度的可执行指令。粗粒度的任务无法直接执行，需要经过规划器转换为细粒度的可执行指令。常规的生成方法如图9所示，规划器的输入由两部分组成：①粗粒度的任务目标和关于系统状态的问题文件；②描述相关动作和约束的领域文件。规划器的输出是一系列具体动作，根据宏指令与领域文件的对应关系，将规划结果转换为执行器能够接受（数据格式上）的事件表，并为其进行时间和资源的调度分配，从而生成一条可执行指令序列。例如成像侦察卫星要执行目标光学成像任务，首先需要将任务规划成一条行动序列如：相机开机、侧摆、摄像等动作。再由这些简单动作根据规则转换为指令由成像侦察卫星执行［43］。

图9 任务规划-执行序列转化过程Fig.9 Task planning execution sequences transformation process

指令序列重构是在已有指令序列的基础上局部或整体的产生一条新的可执行指令序列。其一般过程是将重规划的结果重新编排入事件表并为其分配相应的时间及资源，从而形成新的指令序列。目前关于重规划的方法已有大量的研究［39］。但重规划后指令的执行时间分配及资源调度［38］，尤其是在高动态环境时，仍存在处理效率低准确度差的问题。因此需要开发一些时间复杂度低且精度高的分配及调度算法以提高指令序列的重构效率。此外高动态环境下，指令的定时精度取决于相应计时器的分辨率和芯片晶振的稳定性，因此需要设计误差修正算法以消除晶振频率漂移和累计误差对定时精度的影响［50］。

4.2 指令序列鲁棒执行

所谓指令序列鲁棒执行，是指探测器可以根据实时环境灵活地调整指令序列的执行［51］，是指令序列智能化执行的重要基础。具体每条指令的执行是由执行语言进行控制，是事件表的进一步细化。当需要调整指令或取消当前指令时，可以通过管理事件表的方式实现。执行语言会综合当前探测器和环境的状态、时间、优先级及其他约束方面的相互依赖关系，对指令序列逻辑进行控制。按照指令的执行控制方法可以对指令进行如图10所示的划分。

图10 指令执行时的控制方式分类Fig.10 Classification of command execution control

直接指令一般是指地面直接上注到探测器的应急命令，如进入最高级别的安全模式，用于地面工程师修复探测器故障。

延时指令，无论是通过地面遥控的方式，还是探测器智能规划的方式，所生成的指令序列都会先被存储到探测器上。然后通过绝对时间、相对时间或条件控制的方式执行。由绝对时间控制的指令将包含一个绝对的时刻信息，指令将按时逐条执行。如果没有异常状态发生（规划之外的情况），这样的方式可以高效的将指令整合在一起。一旦有异常状态出现，就会打断整个指令序列的执行，鲁棒性较差。而相对时间控制可以在某种程度上提高指令序列的鲁棒性。因为执行语言将以关键状态的出现为依据，从而确定出指令的执行时刻，这样的指令控制相对灵活，受异常状态的影响小。采用上述基于时间的指令控制方式，对于任意一个微小的异常状态都需要在执行时做出最大的时间冗余估计，这无疑会降低指令执行的效率。

而条件控制则是以探测器及环境的实时状态为依据，决定哪条指令将会被执行。当使用条件控制时，需要先定义出一个用来执行指令序列的逻辑判断树［52］。执行语言按照逻辑判断树进行决策，对未执行指令进行选择。条件控制可以更加灵活地执行探测器的指令序列，可以选择性的执行指令序列，从而优化指令的执行时间及资源（例如：高能天文观测台2号［53］上十分灵活的星上指令执行是由其目标列表所驱动的）。上述这些多样的指令控制方式为确保鲁棒、高效地执行指令序列提供了基础支持。

未来的指令序列智能执行虽然不涉及复杂的算法，但必须有执行语言的控制，如确定约束是否满足的条件结构以及可以重复操作至成功的循环结构等。但如果注入大量的上述执行语言控制结构，将会额外增加探测器的存储需求。综上所述，参照表2 中已有的执行语言，可总结出未来执行语言的重点研究内容：轻量化地设计执行语言；整合各种指令控制方式，构建统一的执行语言框架，从而实现指令序列的鲁棒执行。

表2 典型的指令执行语言及其特点Table 2 Typical instruction execution languages and their characteristics

4.3 指令序列在线监控

指令的闭环执行离不开探测器的在线监控。根据指定的条件对特定参数进行监视，能够监视系统本体的健康状态，便于自主地采取相应对策和动作，维护系统并支持指令的正常运行。在线监控是为了减少地面监视和操控的代价和难度，提高在轨指令执行的精确度与及时性。

按照Packet utilization standard（PUS）标准，在线监视分为参数监视和功能监视。可以监视的参数类型包括数据范围、期望值和相对值三种［9］。功能监视是在参数监视的基础上，结合多参数的机理组合，实现对某一事件的综合监视判断。基于参数监视和功能监视，根据特定监控需求可以设计有针对性的监控算法，并具有开放性。参数监视、功能监视和监控算法的输出均为调用事件动作，其原理如图11所示。

图11 指令执行在线监控原理Fig.11 Principle of on-line monitoring of command execution

在线监视的核心是监视算法，由两部分组成：①监视参数信息融合［74-77］；②故障诊断技术［78］。目前参数监视的功能大都集成在探测器的故障诊断模块中，如深空一号探测器上搭载的远程智能体RA 系统中的Mode identification and recovery（MIR）模块。一旦某条指令被执行，MIR 就会开始采集来自探测器各种传感器的观测信息，对观测信息进行融合，从而得到系统某些功能的运行情况。

然后利用基于模型的故障诊断技术［79］根据系统模型预测出指令执行后的状态与实际观测状态进行比较，从而判断指令是否正常执行。综上，一个良好的执行监视系统需要对观测信息进行准确的融合，以便得到准确的系统功能运行状态；同时，更离不开故障诊断技术的支持，因为指令的正常执行主要还是通过故障诊断技术来判断。将来，信息融合的效率和故障诊断的准确度将是重点研究方向。

5 结论

智能自主是未来深空探测任务的必然趋势，而指令序列智能执行技术是实现智能自主的基础。本文首先对现有深空探测器指令执行方法进行综述，对其特点和不足进行分析，指出现有的指令执行技术已难以应对深空探测任务日益增长的复杂性及任务中的不确定性。为寻求解决方法，对已经取得成功的探测器案例进行分析，指出智能执行技术是解决探测器自主智能运行的关键。通过总结文献，归纳出两类实现智能执行的方法：①规划-执行相结合的智能执行方法；②基于模型推演的智能执行方法。上述两种方法从不同的层面解决了指令序列的智能执行问题。本文以ASTERIA 任务为例对上述方法进行了详细论述。进一步提出了未来指令序列智能执行的三个重点研究方向：①指令序列重构；②指令序列鲁棒执行；③指令执行在线监控。最后对上述研究方向进行了展望。