“伽利略”系統(tǒng)故障事件分析

劉春保（北京空間科技信息研究所）

在2019年7月11日以來的約一周時(shí)間內(nèi)，歐洲“伽利略”（Galileo）全球衛(wèi)星導(dǎo)航系統(tǒng)經(jīng)歷了從服務(wù)降級到服務(wù)全面中斷，再到服務(wù)恢復(fù)的過程。這是迄今為止，全球衛(wèi)星導(dǎo)航領(lǐng)域發(fā)生的最重大的事件之一，引起了各方的密切關(guān)注，此次事件對全球衛(wèi)星導(dǎo)航領(lǐng)域的未來發(fā)展產(chǎn)生了重要影響。

1 故障發(fā)生與發(fā)展過程

“伽利略”全球衛(wèi)星導(dǎo)航系統(tǒng)由歐洲獨(dú)立發(fā)展，項(xiàng)目于1998年提出并全面啟動論證活動。2016年12月，“伽利略”系統(tǒng)投入初始運(yùn)行，提供初始定位、導(dǎo)航與授時(shí)（PNT）服務(wù)，提供PNT服務(wù)的衛(wèi)星數(shù)量為11顆。

自“伽利略”系統(tǒng)投入初始運(yùn)行以來，隨著發(fā)射、部署衛(wèi)星數(shù)量的增加，提供PNT服務(wù)的衛(wèi)星數(shù)量也在不斷增加，系統(tǒng)運(yùn)行與服務(wù)保持連續(xù)、穩(wěn)定。至2019年5月，提供PNT服務(wù)的衛(wèi)星數(shù)量增加至22顆，服務(wù)覆蓋、服務(wù)性能等得到明顯提升。然而，2019年7月，“伽利略”系統(tǒng)服務(wù)先是發(fā)生整體性的性能退化，隨后PNT服務(wù)完全中斷，至2019年7月17日（用戶通告時(shí)間7月18日），“伽利略”系統(tǒng)初始服務(wù)恢復(fù)，事件的發(fā)生發(fā)展過程如下。

節(jié)點(diǎn)1：

2019年7月11日10：00左右[文中均采用世界協(xié)調(diào)時(shí)（UTC）時(shí)間]，GNSS系統(tǒng)監(jiān)測評估中心在其微信公眾號“監(jiān)測評估中心”發(fā)布：“伽利略”星歷數(shù)據(jù)中斷3h，衛(wèi)星工作狀態(tài)、軌道、鐘差和服務(wù)性能等數(shù)據(jù)均出現(xiàn)中斷。原因是廣播星歷沒有更新。

節(jié)點(diǎn)2：

2019年7月11日14：25，歐洲全球?qū)Ш叫l(wèi)星系統(tǒng)管理局（GSA，簡稱歐洲GNSS局）負(fù)責(zé)“伽利略”系統(tǒng)服務(wù)的歐洲GNSS服務(wù)中心（GSC）發(fā)布2019年第025號用戶通告（2019025），通告的主要內(nèi)容如下。

通告類型：一般

通告主題：服務(wù)降級

事件開始時(shí)間：2019-07-11 01:00

事件結(jié)束日期：無

涉及衛(wèi)星：全部

事件描述：在發(fā)布新的通告前，用戶將面臨全部“伽利略”衛(wèi)星的服務(wù)降級。這意味著信號不可用或不滿足服務(wù)定義文件規(guī)定的最低服務(wù)性能要求，且用戶將面臨相關(guān)風(fēng)險(xiǎn)。名義服務(wù)將盡可能快地恢復(fù)。

節(jié)點(diǎn)3：

2019年7月13日20：15，歐洲GNSS服務(wù)中心發(fā)布2019年第026號用戶通告（2019026），通告的主要內(nèi)容如下。

通告類型：一般

通告主題：服務(wù)中斷

事件開始時(shí)間：2019-07-12 01:50

事件結(jié)束日期：無

涉及衛(wèi)星：全部

事件描述：直到發(fā)布新的通告前，用戶將面臨服務(wù)中斷。信號不能使用。

節(jié)點(diǎn)4：

2019年7月13日21：05，歐盟衛(wèi)星導(dǎo)航項(xiàng)目管理部門發(fā)布“伽利略”用戶服務(wù)通告，通告主要包括三方面的內(nèi)容：

1）因“伽利略”系統(tǒng)地面基礎(chǔ)設(shè)施發(fā)生技術(shù)故障，導(dǎo)致“伽利略”系統(tǒng)初始服務(wù)暫時(shí)中斷。全部“伽利略”衛(wèi)星的導(dǎo)航電文于2019年7月13日20：15過期，按“伽利略”系統(tǒng)服務(wù)定義文件，過期的“伽利略”導(dǎo)航電文不可使用。

2）此次故障不影響用于為處于災(zāi)難環(huán)境下的人員提供定位和幫助的搜索與救援服務(wù)（SAR）。

3）技術(shù)故障的原因正在確認(rèn)，并正在實(shí)施服務(wù)恢復(fù)行動，以保證盡快恢復(fù)正常服務(wù)和服務(wù)的安全。

節(jié)點(diǎn)5：

2019年7月17日，GNSS系統(tǒng)監(jiān)測評估中心發(fā)布題為“‘伽利略’，終于等到你”的消息，稱：2019年7月16日19：00，經(jīng)過117h10min的等待，“伽利略”系統(tǒng)終于恢復(fù)服務(wù)。目前已連續(xù)恢復(fù)3h，各項(xiàng)監(jiān)測參數(shù)正常。

節(jié)點(diǎn)6：

2019年7月18日08：20，歐洲GNSS服務(wù)中心發(fā)布2019年第27號用戶通告（2019027），通告的主要內(nèi)容如下。

通告類型：一般

通告主題：服務(wù)恢復(fù)（潛在不穩(wěn)定性）

事件開始時(shí)間：2019-07-17 20:52

事件結(jié)束日期：直至發(fā)布新的用戶通告

涉及衛(wèi)星：全部

事件描述：服務(wù)恢復(fù)。在發(fā)布新的通告前，用戶服務(wù)不穩(wěn)定。

此外，歐洲GNSS局于2019年7月18日發(fā)布了“伽利略初始服務(wù)正在恢復(fù)”的報(bào)告，該報(bào)告宣布將成立一個(gè)由歐洲GNSS局、工業(yè)界、歐洲航天局（ESA）和歐盟委員會（EC）組成的專家小組，全天候關(guān)注事件，實(shí)施并監(jiān)測以盡快使“伽利略”系統(tǒng)的PNT服務(wù)恢復(fù)正常。

“伽利略”全球衛(wèi)星導(dǎo)航系統(tǒng)

當(dāng)前狀態(tài)：

從“伽利略”系統(tǒng)服務(wù)于2019年7月12日01：50發(fā)生中斷，至2019年7月17日20：52系統(tǒng)服務(wù)恢復(fù)，“伽利略”系統(tǒng)服務(wù)中斷時(shí)間達(dá)到139h。雖然，歐洲GNSS服務(wù)中心已經(jīng)發(fā)布了“伽利略”系統(tǒng)服務(wù)恢復(fù)的用戶通告。但從國際GNSS監(jiān)測評估系統(tǒng)（iGMAS）監(jiān)測評估中心發(fā)布“伽利略”系統(tǒng)衛(wèi)星狀態(tài)來看，雖然“伽利略”衛(wèi)星已經(jīng)重新開始播發(fā)導(dǎo)航信號，但衛(wèi)星仍處于不穩(wěn)定的狀態(tài)，這也是歐洲GNSS服務(wù)中心在其2019027號用戶通告中特別說明系統(tǒng)服務(wù)具有潛在不穩(wěn)定性的原因。

從該監(jiān)測結(jié)果看，與GPS系統(tǒng)相比，“伽利略”系統(tǒng)在軌衛(wèi)星狀態(tài)并不穩(wěn)定，存在大量未知狀態(tài)。因此，結(jié)合歐洲GNSS服務(wù)中心的用戶通告與iGMAS監(jiān)測結(jié)果，尚不能單獨(dú)使用“伽利略”系統(tǒng)提供PNT服務(wù)，其服務(wù)的可用性和安全性仍存在較大問題。

2 故障原因

此次事件發(fā)生后，普遍推測故障原因是地面運(yùn)行控制系統(tǒng)出現(xiàn)了問題。根據(jù)歐洲GNSS服務(wù)中心公告消息和前ESA GNSS發(fā)展計(jì)劃負(fù)責(zé)人的說法，很可能是地面運(yùn)行控制系統(tǒng)引發(fā)了“伽利略”系統(tǒng)的大面積故障，且在過去的2年中，被認(rèn)為是最有可能引發(fā)此次故障的精確守時(shí)設(shè)施曾經(jīng)2次引發(fā)了“伽利略”服務(wù)的中斷，而此次問題之所以如此嚴(yán)重，推測可能是位于意大利和德國的2個(gè)運(yùn)行控制中心的精確守時(shí)設(shè)施（PTF）系統(tǒng)均發(fā)生了故障。

歐洲GNSS局在7月18日發(fā)布的報(bào)告中稱：“伽利略”系統(tǒng)地面基礎(chǔ)設(shè)施的一個(gè)設(shè)備故障引發(fā)了技術(shù)事故，影響了用于計(jì)算導(dǎo)航信息的時(shí)間和軌道測算，并對導(dǎo)航電文的生成產(chǎn)生了影響，且這一故障影響到了不同的地面設(shè)備。

此外，據(jù)俄羅斯衛(wèi)星網(wǎng)7月18日報(bào)道，歐盟委員會發(fā)言人露本婭·考德特曾對“伽利略”系統(tǒng)“因網(wǎng)絡(luò)攻擊癱瘓”的傳聞給出了回應(yīng)，稱：“沒有發(fā)現(xiàn)網(wǎng)絡(luò)攻擊的跡象”。

從7月18日歐洲GNSS局宣布成立專家組來看，故障原因的進(jìn)一步調(diào)查、確認(rèn)與解決方案的制定和實(shí)施將是下一步的重點(diǎn)。隨著調(diào)查的深入，將會有更準(zhǔn)確、詳細(xì)的故障原因披露出來。

3 事件影響

全球?qū)Ш叫l(wèi)星系統(tǒng)發(fā)生如此大規(guī)模故障并遲遲無法恢復(fù)服務(wù)，此類情況前所未有。此次事件將產(chǎn)生何種影響，不但與“伽利略”系統(tǒng)能否盡快恢復(fù)有關(guān)，而且與由此引發(fā)的人們對衛(wèi)星導(dǎo)航服務(wù)的脆弱性的擔(dān)憂有關(guān)，更與歐盟、ESA對此次危機(jī)的處理方法直接相關(guān)。

可能引發(fā)全球衛(wèi)星導(dǎo)航產(chǎn)業(yè)格局的動蕩或變化

雖然“伽利略”系統(tǒng)服務(wù)已于2019年7月18日全面恢復(fù)，長達(dá)7天的服務(wù)降級與中斷是GNSS發(fā)生的最嚴(yán)重的服務(wù)中斷事件，其影響是不容忽視的。

與2014年4月俄羅斯“格洛納斯”（GLONASS）系統(tǒng)11h的服務(wù)中斷相比，“伽利略”系統(tǒng)此次故障的影響顯然更加嚴(yán)重。一方面，GLONASS系統(tǒng)服務(wù)的恢復(fù)遠(yuǎn)快于“伽利略”系統(tǒng)；另一方面，俄羅斯很快查明了故障原因：①坐標(biāo)系統(tǒng)轉(zhuǎn)換引發(fā)的地面運(yùn)行控制系統(tǒng)軟件問題；②地面運(yùn)行控制系統(tǒng)出現(xiàn)1.5min的時(shí)間跳躍，從而不能生成正確的星歷。故障原因的快速定位，也使俄羅斯在短時(shí)間內(nèi)恢復(fù)了GLONASS系統(tǒng)的服務(wù)。

“伽利略”系統(tǒng)此次故障與服務(wù)的全面中斷將對其用戶的信心產(chǎn)生重要影響，對“伽利略”系統(tǒng)在全球衛(wèi)星導(dǎo)航應(yīng)用市場的發(fā)展極為不利，輕則造成市場拓展難度增加，重則可能全面影響其生存與發(fā)展。在全球衛(wèi)星導(dǎo)航領(lǐng)域多系統(tǒng)并存的格局下，各衛(wèi)星導(dǎo)航系統(tǒng)服務(wù)與市場的競爭不斷加劇。在英國脫歐已經(jīng)對“伽利略”系統(tǒng)發(fā)展產(chǎn)生了不利影響的背景下，此次事件如不能很好地解決，極有可能危及“伽利略”系統(tǒng)在全球衛(wèi)星導(dǎo)航市場的作用和地位。

在“伽利略”系統(tǒng)初始服務(wù)尚未完全恢復(fù)正常（具有潛在的不穩(wěn)定性）的條件下，歐洲GNSS局與歐洲GNSS服務(wù)中心匆忙宣布“伽利略”系統(tǒng)初始服務(wù)恢復(fù)，很有可能是出于盡早恢復(fù)用戶信心，避免產(chǎn)生更多負(fù)面影響，從而減少對“伽利略”系統(tǒng)與未來應(yīng)用發(fā)展的負(fù)面影響。

進(jìn)一步加劇對導(dǎo)航衛(wèi)星系統(tǒng)脆弱性的擔(dān)憂

“伽利略”系統(tǒng)發(fā)生的此次事件再次表明，全球衛(wèi)星導(dǎo)航系統(tǒng)是非常脆弱的，特別是地面運(yùn)行控制系統(tǒng)的任何問題都有可能導(dǎo)致系統(tǒng)服務(wù)的降級，甚至崩潰；在美軍將網(wǎng)絡(luò)空間定義為第五作戰(zhàn)域的情況下，這一問題尤為嚴(yán)重。為此，需要重點(diǎn)關(guān)注：

1）地面運(yùn)行控制系統(tǒng)的持續(xù)、穩(wěn)定運(yùn)行。應(yīng)當(dāng)開展衛(wèi)星導(dǎo)航系統(tǒng)運(yùn)行過程中可能發(fā)生意外事件的分析、仿真與研究，制定有效、有針對處置的預(yù)案，盡一切可能保證衛(wèi)星導(dǎo)航系統(tǒng)運(yùn)行與服務(wù)的持續(xù)、穩(wěn)定。

2）地面運(yùn)行控制系統(tǒng)的安全。應(yīng)當(dāng)加強(qiáng)地面運(yùn)行控制系統(tǒng)網(wǎng)絡(luò)安全能力建設(shè)，使其具備應(yīng)對各種網(wǎng)絡(luò)攻擊，保證衛(wèi)星導(dǎo)航系統(tǒng)運(yùn)行控制權(quán)的能力。

同時(shí)，關(guān)于“伽利略”系統(tǒng)“因網(wǎng)絡(luò)攻擊癱瘓”的傳聞，也加劇了人們對網(wǎng)絡(luò)攻擊與衛(wèi)星導(dǎo)航運(yùn)行控制系統(tǒng)網(wǎng)絡(luò)安全的擔(dān)憂。

美國增強(qiáng)GPS系統(tǒng)賽博安全（網(wǎng)絡(luò)安全）能力，正是出于防范網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的考慮。美國GPS新一代運(yùn)行控制系統(tǒng)最典型的特征之一就是具有強(qiáng)大的賽博安全能力，這是下一代衛(wèi)星導(dǎo)航系統(tǒng)的核心能力之一，是保證衛(wèi)星導(dǎo)航系統(tǒng)持續(xù)、穩(wěn)定運(yùn)行與運(yùn)行控制權(quán)的不可或缺的關(guān)鍵能力。

在網(wǎng)絡(luò)安全威脅日益增長的態(tài)勢下，衛(wèi)星導(dǎo)航地面運(yùn)行控制系統(tǒng)的網(wǎng)絡(luò)安全正在或已經(jīng)成為衛(wèi)星導(dǎo)航系統(tǒng)能否安全、持續(xù)、穩(wěn)定運(yùn)行重要的、甚至是決定性的因素。因此，必須高度重視衛(wèi)星導(dǎo)航地面運(yùn)行控制系統(tǒng)的網(wǎng)絡(luò)安全能力的研發(fā)與建設(shè)。