今年7月以来，由马斯克创立并运营的太空探索技术公司(SpaceX)旗下卫星互联网服务“星链”（Starlink）接连发生软件故障、服务中断等大规模网络故障，暴露了其在高速扩张过程中的技术与运营短板。作为全球最大的低轨卫星互联网服务商，星链覆盖140个国家、拥有600万用户，其故障不仅影响民生服务，更对军事通信和商业合作造成冲击，折射出巨型星座发展中的“成长阵痛”。

近期，我国在20天内密集发射5批低轨道组网卫星，中国版“星链”建设也渐入高潮。卫星互联网太空组网有哪些风险？应该如何做好保障、确保安全可用？本文就巨型低轨道星座的安全话题，探讨相关问题与应对之策。

卫星发射瞬间。图源 Starlink

  ?

星链故障追因：核心网软件问题“重复发作”

7月24日，星链因核心网络软件服务故障，导致美国、欧洲、乌克兰等全球6.1万用户断网2.5小时，乌克兰前线军事通信全面瘫痪（下简称“7月故障”）。星链官方承认系“内部关键软件故障”，马斯克致歉并承诺修复。时隔两周后，8月19日，全球服务中断信息聚合平台Downdetector记录到数千份中断报告，影响范围包括美国达拉斯、旧金山及南美、澳大利亚等地（下简称“8月故障”）。此次故障恰逢T-Mobile推出“星链直连手机”服务次日，严重冲击了新业务的市场信任。

星链采用“卫星—地面站—核心网”三级架构，7月故障根源在于“针对地面计算集群的软件升级程序”，因流量重分配过载引发全网瘫痪。这一事件暴露了其核心网软件动态调度能力的不足——低轨卫星过顶时间仅3~5分钟，需实时切换数千颗卫星，软件模块的耦合性缺陷极易引发连锁反应。

尽管星链未官方确认8月故障与7月故障的关联性，但从表象看，两次故障均发生在业务高峰期（7月乌克兰战事紧张、8月T-Mobile新服务上线），凸显核心网对突发流量的容错设计存在缺陷。7月故障后，星链承诺进行“根因分析并修复”，但8月故障的重复发生，说明其软件架构未实现实质性解耦（如仍依赖单一核心服务模块）。

综上可以认为，8月故障是7月核心网软件问题的“重复发作”，暴露了星链在巨型星座调度中的软件架构缺陷。这提示我们，星链需从“航天快速迭代”模式转向“通信级可靠性设计”，才能真正提供电信级服务水平。

如何让中国版“星链”更安全？

中国版“星链”的网络也采用与星链一样的“卫星—地面站—核心网”三级架构，可通俗理解为一个三层协作的“太空信号系统”：天上的卫星是“移动信号塔”（天基基站+传输节点），既能发信号又能接力传数据；地面上的地面站是“超级中转站”（超级基站+智能网关），负责把卫星信号接到地面；核心网则是整个系统的“大脑中枢”，负责“谁能上网”“数据往哪传”这些关键环节。

马斯克星链接连出现故障，许多人将质疑的目光投向天上，认为太阳活动活跃导致星链上的卫星轨道稳定性受到冲击，进而影响到了通信服务的连续性。其实，考虑到星链上的卫星数量多，就算少数几个“罢工”，一般也不影响整体使用；而且卫星“罢工”坠落是正常的“老化”现象，属于可预测的硬件生命周期问题，可以提前预判，故而卫星正常陨落不会给通信造成大麻烦。

因此，“星链”的安全性，关键还是要看核心网和地面站这两部分。

卫星互联网示意图。图片由AI生成

（一）核心网的安全秘诀：“多备份、能自愈”

先说说“大脑中枢”，核心网怎么保安全？一般来讲，核心网的安全秘诀是“多备份、能自愈”。就像给大脑装了“备用零件”，出问题要能立刻补上。

其一做法是，多地备份“分大脑”。核心网不是一个孤零零的“大脑”，而是拆成了3~5个“分大脑”（区域节点）分管不同地区。它们之间可以用加密专线连起来，实时同步大家的上网信息。哪怕其中一个“分大脑”出故障，毗邻的马上接手，就不至于全网瘫痪。而且，“分大脑”下面还有“小大脑”（边缘核心节点），管着更小的区域。“小大脑”出故障，“分大脑”也能直接顶上，减少问题扩散。

另一手段是，关键设备“一主一备”。核心网里分管用户登录、数据路线的关键设备，都要一主一备，两套设备实时同步信息。主用的设备“宕机”，备用设备在100毫秒内就能接过来，用户根本感觉不到。此外，负责存储用户信息的数据库也要“多处备份”，就算一个地方的数据丢了，其他地方的备份能立刻补上，保证登录、认证等不受影响。

另外，核心网还要做到“智能规划路线，数据丢了能重传”。作为系统的大脑中枢，核心网会和卫星系统联动，能够提前预知卫星什么时候飞过、从哪里飞过，进而为设备规划最好的信号路线。要是某个“分大脑”太忙，可以自动把部分任务分给空闲节点，避免拥塞。同时，万一数据在传输中丢了或者被篡改，核心网也要抓住卫星飞过的短暂时间，让卫星重传一次，保证数据完整。

（二）地面站安全要靠“三多”

再看地面“超级中转站”，怎么预防故障发生？

地面站是信号从太空到地面的“第一道关口”，它的安全靠“多站点、多设备、多线路”。一句话，设备、线站“多”了，就不怕单点出问题。

具体而言，有3条原则。一是，一个区域建多个站，避开灾害区。同一个地区可建2~3个地面站，分散在不同地方——比如一个在海边、一个在山里，这样可避免地震或台风等极端情况到来时全军覆没。另外，重要的“主中转站”要在不同大区域备份，小范围的“中转站”可以一个主用一个备用，主用发生故障，备用设备30秒内就能接过来。

二是，设备出现问题，备用的要立刻顶上。地面站的天线、信号处理器这些关键设备，都要有“备胎”。比如主天线设备故障了，备用天线很快就能自动启动；信号处理器也要“多备一个”，一个发生故障，其他的要能立刻接过来，就像云计算一样灵活。电源更是要正常电网、不间断电源（UPS）、柴油发电机“三层保险”，就算停电，也能撑至少72小时设备不停机。

三是，多条数据线，断一条换一条。地面站连到核心网的数据线，至少接两条不同运营商的光纤。一条断了，10秒内就要能切换到另一条；两条都断了，也还能靠微波、卫星传送信号，保证“路”永远通。

此外，系统也要实时“盯着”地面站状态，哪个站太忙或者出现故障，就自动让卫星把信号转到附近的站，不会让卫星飞过的时候“没人接信号”。

总的来说，地面站靠“多地多设备备份”守住信号入口，核心网靠“多区域多备用”稳住全局调度，两者配合就像给整个网络装上了“双保险”——前端关口断不了，后端大脑垮不了，共同织成一张“末梢抗断、中枢抗毁”的安全网，让大家用起中国版“星链”来更踏实。

从星链中汲取经验和教训

随着通信事业的飞速发展，我国网络的人口覆盖率已超过98%，但网络对国土面积的覆盖率据估不超过40%，仍有大量的山地、草原、高原、戈壁、沙漠没有网络覆盖。从1G模拟通信、2G数字通信、3G多媒体通信、4G宽带多媒体通信到5G拥有的高宽带、低时延、海量链接，留给6G迫切需要解决的就是无所不在的覆盖问题，而这个问题的最终答案，笔者认为就是“卫星互联网”。

2020年4月，国家发改委首次明确新型基础设施的范围，卫星互联网被纳入通信网络基础设施范畴。

而马斯克的SpaceX 用实际行动向世人证明，火箭发射可以像汽车加油那样重复使用，卫星制造也可以用流水线作业，卫星的价格可以降到数十万美元量级，卫星发射可以一箭数十颗星排队上天……所有一切能够将卫星拉下“神坛”，真正为普通大众服务的理想，都是非常有现实意义的。

回过头来看此番SpaceX星链系统故障，给我们的启发不少。马斯克的航天实践，堪称对传统思维的颠覆性突破。他以第一性原理为纲，将互联网快速迭代逻辑注入航天领域，通过可重复使用火箭、巨型低轨星座星链等开创性探索，成功构建商业闭环，其成就值得称道。但面向6G天地一体化无线泛在网络，要提供电信级服务品质，星链在可靠性、稳定性等方面仍需补齐短板。

我国作为“追赶者”，既要深入汲取星链快速迭代、商业闭环的成功经验，也要针对性规避其在网络安全、服务连续性等方面的教训，秉持成本与可靠性平衡原则，打造中国版“星链”，为我国下一代空天地网络及“一带一路”空天信息之路筑牢根基。

（作者谢鹰系互联网协会特聘专家、宇航学会卫星应用专委会委员、中讯邮电咨询设计院有限公司首席卫星专家，本报记者赵广立编辑整理）