李 轶，黎 藜，郭明姝，王同磊，张国峰，李晓锋

（北京控制工程研究所，北京 100094）

引 言

制导、导航与控制（Guidance Navigation and Control，GNC）分系统是“嫦娥五号”（Chang’E-5，CE-5）探测器的重要组成部分，具有高实时性、高可靠性、高复杂性等特点。应用软件作为GNC分系统的灵魂，承担全过程的制导、导航以及姿态与轨道控制功能，属于安全攸关的软件。相比我国以往的月球探测任务，“嫦娥五号”任务更复杂、技术难度更高，软件产品的高可信性关乎任务成败。

深空探测任务的超远距离测控和超长通讯时延，以及空间环境的复杂性和不确定性都使得软件面临更加严峻的可信性问题[1]，软件一旦在轨出现异常，将会导致不可逆的后果，因此软件可信性关乎任务的成败。随着深空探测任务的自主智能化程度日益提高，应用软件的规模和复杂度也在不断提升[2-3]。在不依赖或者少依赖地面的情况下，准确地感知自身的状态和外部环境，通过自主任务规划的方式合理安排动作序列、分配星上资源，自主完成任务目标，已成为当前深空探测器软件的主要发展目标[4-5]；同时如何在有限的计算资源上最大限度地提高算法执行效率，降低时间空间复杂度，也是软件面临的主要约束[6]。近年来，依托我国的月球探测工程和火星探测工程，国内深空探测器GNC分系统应用软件研制能力取得了显著提升，软件规模和复杂度也在不断增加。以“嫦娥四号”（Chang’E-4，CE-4）巡视器控制分系统的应用软件为例，软件规模接近10万行，并具备自主任务规划和管理等多种高复杂度功能。……