1. 课程导入与任务场景

星载计算机是卫星平台的“大脑”，承担姿态与轨道控制、星务管理、载荷数据处理、遥测遥控、时间基准维持等关键任务。与地面服务器不同，它一旦入轨，几乎无法人工插拔板卡、重启电源或更换器件；同时还要面对空间辐射、极端温度循环、单粒子效应、供电波动和长寿命连续运行等约束。因此，星载计算机设计的核心问题不是“如何让单机永远不坏”，而是“当某个部件、通道或软件模块失效时，系统如何继续提供可信服务”。这正是冗余管理与故障切换要解决的任务。

一、在轨运行环境与失效模式

在轨环境对星载计算机的威胁可归纳为三类。第一类是空间辐射环境：高能质子、重离子和电子会在半导体器件中沉积电荷，引发单粒子翻转（SEU）、单粒子瞬态（SET）、单粒子锁定（SEL）甚至单粒子功能中断（SEFI）。SEU通常表现为存储器位翻转或寄存器值改变，可通过EDAC、三模冗余和周期刷新纠正；SEL则可能造成局部电流骤增，需要断电保护或限流恢复。第二类是物理环境：真空、热循环、振动与机械冲击会导致焊点疲劳、连接器接触电阻变化、晶振频偏和电源模块退化。第三类是系统级失效：时钟失锁、总线仲裁异常、看门狗超时、软件死锁、任务调度溢出、存储区磨损和供电欠压等。

这些失效在工程上通常按“单点故障、共因故障、级联故障”来分类。单点故障指某一部件失效即导致系统功能丧失；共因故障指同一环境应力同时影响多个冗余通道，例如同一电源母线掉电使A、B机同时失效；级联故障则是由一个局部异常引发连锁反应，例如总线短路导致多个终端无法通信。冗余管理的目标，就是让系统在发生可预期故障时，仍能维持关键功能，并在必要时安全降级。

二、冗余管理的工程目标

冗余管理不是简单“多放一套备份”，而是围绕可用性、可靠性和安全性建立一套可观测、可决策、可执行的机制。其工程目标可以概括为四点：第一，故障检测要快而准，尽量在故障影响扩散前识别；第二，故障隔离要彻底，避免失效通道继续污染总线或输出；第三，切换过程要可控，切换时间、数据丢失量和状态一致性必须可度量；第四，系统要能降级运行并支持恢复回切，而不是一次切换后永久降级。

以典型星载计算机为例，常见冗余结构包括双机热备、双机冷备、三模冗余（TMR）和混合冗余。双机热备中，主备机同时运行，备机周期接收主机的状态同步数据，切换时间通常在毫秒到秒级；双机冷备中，备机平时断电或处于待机，切换时需要上电、自检和加载程序，切换时间可能达到数十秒；TMR则通过三个通道并行计算、多数表决输出，可容忍单通道故障，但资源开销大、同步要求高。工程上选择哪种结构，取决于任务关键度、功耗、重量、成本和可恢复时间要求。

三、故障切换的任务链

从工程实现看，一次完整的故障切换通常包含以下环节：故障检测、故障确认、故障隔离、切换决策、状态恢复、输出使能和切换后验证。故障检测可依靠看门狗、心跳计数、EDAC纠错计数、CRC校验、总线超时和输出比对；故障确认需要避免误切换，例如连续多次检测到异常或由多个独立证据交叉确认；故障隔离则通过关闭使能、断开总线驱动或切换供电通道实现；切换决策由仲裁逻辑或管理软件完成；状态恢复包括上下文拷贝、日志回放和关键变量重建；输出使能确保新通道在准备好之后再接管；切换后验证则通过遥测、自检和功能测试确认系统已恢复。

四、课程整体任务链

本课程将围绕“环境—失效—检测—冗余—切换—恢复—验证”这条主线展开。前半部分建立星载计算机在轨环境、失效模式与可靠性指标的基础认知；中段深入冗余架构、故障检测算法、状态同步、仲裁与切换执行；后半部分通过典型故障场景，如单粒子翻转、看门狗超时、总线通信中断和电源欠压，完成从故障注入、检测确认、切换执行到恢复验证的完整任务链。学习完本课程，读者应能读懂冗余管理的关键参数，能够设计基本的故障切换流程，并能够根据遥测和日志判断切换是否成功、系统是否进入安全降级状态。