1. 课程导入与验证对象界定

星载计算机是卫星、飞船、探测器等航天器的“大脑”，承担姿态与轨道控制、星务管理、载荷数据处理、遥测遥控、时间基准维持等关键任务。与地面计算机不同，它长期工作在强辐射、宽温、真空、单粒子效应频发的环境中，一旦发生故障，轻则任务降级，重则整星失效。因此，星载计算机从设计之初就必须具备故障容错能力，而“容错能力是否真的有效”不能只靠设计文档和单元测试来证明，必须通过一套系统化的综合验证来回答。

本课程的主题是星载计算机故障容错综合验证。这里的“综合”有三层含义：第一，验证对象是整机级而非单一模块，覆盖CPU、存储器、总线、供电、看门狗、重构逻辑等协同工作；第二，验证手段是综合的，包括故障注入、加速辐照试验、形式化分析、硬件在环仿真、在轨数据回灌等；第三，验证目标是综合的，既要证明容错机制在故障发生时能正确响应，也要证明响应之后系统能恢复到可接受的工作状态。

验证目标：从“能工作”到“故障下仍能工作”

普通功能验证回答的是“系统在正常输入下能否给出正确输出”。故障容错验证要回答的问题更苛刻：当某个器件、某条信号、某段存储发生异常时，系统是否能在规定时间内检测到、隔离掉、并恢复到安全或降级可用状态。具体可拆成四个可判定的目标：

• 故障检测覆盖率：在给定故障模型下，被检测机制（EDAC、看门狗、CRC、比较器、心跳等）捕获的故障比例。例如某型星载计算机要求单粒子翻转（SEU）检测覆盖率不低于99%。
• 故障响应时间：从故障注入到系统给出检测标志或执行切换的时间。典型指标如看门狗超时窗口200 ms、双机切换时间小于50 ms。
• 恢复正确性：故障被隔离后，系统重构、回滚或降级后的功能与数据是否满足任务要求，例如存储器重刷后校验和是否一致。
• 无故障误动作率：在无故障注入时，容错机制不应误触发。这一项常被忽视，却是工程中导致“虚警切换”的主要原因。

验证对象与边界

明确边界是验证工作的第一步。星载计算机故障容错综合验证的对象通常界定为星载计算机整机及其直接接口，包括：处理器与协处理器、程序存储器与数据存储器、内部总线与外部通信接口（如1553B、CAN、SpaceWire）、电源管理与复位电路、看门狗与监控电路、FPGA重构逻辑、以及机间冗余通道。边界之外的部分，如敏感器、执行机构、星务软件上层应用，只在接口层面参与验证，不纳入容错机制本身的考核范围。

边界界定还要区分“故障源”和“故障传播路径”。例如，电源瞬态跌落是故障源，它可能通过复位电路传播为CPU复位，也可能通过总线电平异常传播为通信错误。验证时既要注入源故障，也要在传播路径的关键节点设置观测点，才能判断容错机制是在源头拦截还是在末端补救。

全课程路线图

本课程共30章，按“对象界定—故障建模—注入手段—试验执行—结果判读—工程闭环”的主线展开。前几章建立验证对象与故障模型，中间章节分别讲解故障注入、辐照试验、硬件在环、形式化与仿真等手段，后段聚焦结果分析、覆盖率评估、虚警排查与在轨数据回灌，最后落到验证报告与工程放行准则。下图给出课程的整体结构与各阶段之间的输入输出关系。

需要特别说明的是，路线图中的五个阶段并非严格串行。实际工程中，故障建模与注入手段往往交替进行：先建立初步故障模型，设计一批注入用例，执行后发现某些故障传播路径与预期不符，再回到建模阶段修正。这种迭代是正常的，也是综合验证区别于“一次性测试”的关键特征。

本课程的学习方式与预期产出

学习本课程后，读者应能独立完成以下工作：针对一台具体的星载计算机，界定验证对象与边界；建立覆盖SEU、SEL、瞬态跌落、永久故障的故障模型；选择并实施合适的故障注入或辐照试验手段；采集并判读检测覆盖率、响应时间、恢复正确性等指标；识别虚警与误动作；最终形成可支撑工程放行的验证结论。课程中会给出示例参数、注入用例模板和判据表，这些内容均标注为教学示例或合理假设，读者在实际项目中应结合具体型号的指标要求进行调整。