卫星运营中的 AI 系统失效时如何接管

卫星运营中的 AI 系统失效时如何接管

卫星的 AI 自主调度失效时，地面团队能否接管，取决于平时有没有保留控制路径。运营商应定义哪些功能可自主运行，哪些指令必须人工确认；避碰、推进、姿态和退役指令有不同风险级别。模型异常、通信中断和地面系统受攻击时分别准备降级方案。

安全模式尽量简单、经过测试，不能依赖同一个失效模型再给出恢复步骤。人工团队持有最新轨道、燃料和设备状态快照，有独立的验证与指令发送途径。交接时显示模型最后一次可靠数据和未完成动作，避免重复机动。

自动系统出问题时，人工接管不能只是一个“停止 AI”按钮。控制室要知道模型最后用了哪组轨道数据、发出了哪些指令、下一条计划动作是什么。停用后卫星进入什么安全状态，如何恢复与地面通信，谁来重新批准机动，都应提前演练。

要防止共同失效。若接管界面也依赖同一个云服务或模型，主系统崩溃时备份可能一起失灵。保留独立的遥测和指令通道，人员定期练习手动判断。模型升级、供应商更换后重新验证，不只检查正常流程。

每季演练一次“不相信模型”的场景，计时从发现异常到人工恢复控制。复盘误报和权限混乱。供应商更新软件后重新验证接管流程。

演练记录接管时间、误发指令和信息缺口。让操作员有权在异常早期提出停用，而不必等系统正式报错。安全模式的价值在于简单、明确、可靠。

接管演练最好在模型看似正常时进行。操作员暂停自主功能后，能否从独立通道取得最新遥测、判断已执行的机动、向卫星发出安全指令？若所有界面都依赖同一家云服务，备份可能并不独立。演练记录从发现异常到稳定控制的时间，以及误操作和信息缺口。人工监督只有经过练习，才不是象征性按钮。

接管之后还要避免“人和模型同时发指令”。系统进入人工模式时，未执行的自动计划清楚取消或挂起；重新启用需双人确认与状态核对。演练把这种冲突故意放进去，看界面是否会误导操作员。自主系统的安全边界，最终要落实到一次次明确的控制权交接。

供应商更新自主系统后，接管手册可能失效。每次重大升级都应重新做人工停用、状态读取和指令验证，不能只测模型是否更快算出机动。

人工接管完成后要核对所有挂起指令，避免恢复模型时突然执行一条几小时前的旧机动计划。

自主能力越强，人工接管越不能只留在操作手册里。