1. 星载存储系统概述

星载存储系统是卫星平台中负责数据暂存、缓存、组织与可靠落盘的核心电子系统。它位于星上数据链路的“汇聚点”：有效载荷（相机、雷达、光谱仪等）产生的原始观测数据、平台遥测参数、姿态与轨道信息、任务指令回执等，都要先进入存储系统，再按任务时序下传或长期保存。因此，星载存储既不是简单的“大容量U盘”，也不是普通地面服务器硬盘阵列，而是一套在辐射、真空、温差剧烈变化和不可维修条件下，仍要保证数据不丢、不错、可追溯的空间电子系统。

一、星载存储系统的组成

从硬件与逻辑层次看，典型星载存储系统可划分为五部分：

• 存储介质层：目前主流为NAND Flash阵列，早期也有SRAM、SDRAM加电池备份或MRAM方案。NAND Flash因密度高、功耗低、非易失而被广泛采用，但其擦写寿命有限、存在坏块、易受单粒子翻转影响。
• 存储控制器：负责地址映射、坏块管理、纠错编码（ECC）、磨损均衡、垃圾回收、读写调度和掉电保护。控制器是坏块管理与可靠写入的“执行大脑”。
• 接口与总线：对上连接星务计算机或数传分系统，常见SpaceWire、LVDS、CAN、1553B或高速SerDes；对下连接Flash颗粒，采用ONFI或私有并行/串行总线。
• 缓存与缓冲：通常由SRAM或SDRAM构成，用于吸收突发数据、暂存ECC校验中间结果、支持坏块替换时的数据搬移。
• 供配电与防护：包括二次电源、看门狗、复位管理、EDAC保护、抗辐照加固与热控设计。

这些部分不是简单堆叠，而是围绕“可靠写入”形成闭环：接口收到数据，缓存暂存，控制器计算ECC并选择物理块，若目标块被判定为坏块则改写到备用块，写入后回读校验，最后更新逻辑地址映射表。任何一环失效，都可能导致数据不可恢复。

二、工作环境与可靠性要求

星载存储面临的环境与地面数据中心截然不同。首先是空间辐射：高能质子、重离子和电子会在Flash存储单元中引入单粒子翻转（SEU），造成位翻转；累积剂量还会导致器件参数漂移甚至功能失效。其次是温度与真空：卫星在轨经历-40℃到+85℃甚至更宽的循环，真空环境下散热只能靠传导和辐射，Flash的编程/擦除阈值电压会随温度漂移。第三是不可维修性：卫星发射后无法更换硬盘或重启维护，任何坏块扩散、映射表损坏或固件缺陷都可能造成任务级数据丢失。

因此，星载存储的可靠性要求通常量化为：在轨寿命内数据保存误码率低于10⁻¹²量级，单次写入成功率高于99.999%，坏块替换响应时间在毫秒级，且映射表具备掉电可恢复能力。这些指标直接决定了坏块管理与可靠写入机制的设计强度。

三、坏块管理与可靠写入在整星任务中的位置

从整星任务链看，星载存储位于“观测—存储—下传—处理”的中间环节。若存储环节出现坏块未屏蔽、写入校验失败或映射表丢失，后果不是简单的“文件损坏”，而是整轨观测数据不可用，甚至影响数传分系统的下传计划。因此，坏块管理与可靠写入不是存储控制器的可选功能，而是任务成败的关键保障。

具体而言，坏块管理要解决三类问题：出厂坏块（芯片制造时已标记）、使用中新增坏块（擦写磨损或辐射导致）、疑似坏块（写入后回读校验失败但尚未确认）。可靠写入则要保证每一次写入都经过“编码—写入—回读—校验—确认”的完整闭环，并在异常时触发重写或坏块替换。

在这个示例中，备用块池的5%意味着约6.4GB的冗余空间，足以覆盖出厂坏块和寿命期内新增坏块。映射表双副本加CRC则保证即使一份映射表因辐射翻转损坏，另一份仍可恢复逻辑地址到物理块的对应关系。超级电容的作用是在星上突然断电时，为控制器提供几十毫秒的供电，把缓存中的映射表更新和未完成页写入Flash，避免“写一半”的脏页。

四、从系统视角理解“可靠写入”

可靠写入不是单点技术，而是贯穿接口、缓存、控制器、Flash和电源的协同过程。接口层要做数据完整性检查，缓存层要保证ECC中间结果不丢失，控制器层要执行坏块判定与替换，Flash层要按页编程、按块擦除，电源层要提供掉电保护窗口。任何一层缺失，可靠写入都会退化为“尽力而为”。