2. 星载计算机系统概览

星载计算机不是地面工控机简单“加固”后的产物。它要在真空、强辐射、极端温度循环和发射力学环境中长期无人维护地运行，同时承担姿态控制、遥测遥控、载荷管理与自主健康管理等多类任务。理解错误日志与健康监测之前，必须先建立对“它工作在什么约束下、由哪些硬件构成、软件分几层、会以什么方式失效”的整体认识，否则日志里的一条复位记录或一个EDAC计数，很难被正确解读。

一、空间环境约束：故障的物理来源

空间环境对电子系统的作用可归纳为四类，它们直接决定了星载计算机的故障形态与监测重点。

• 辐射效应：高能粒子穿过半导体时会在敏感节点沉积电荷。单粒子翻转（SEU）改变存储单元或寄存器的值，属于可恢复的软错误；单粒子锁定（SEL）触发CMOS寄生晶闸管，形成大电流通路，必须断电重启才能解除；单粒子瞬态（SET）在组合逻辑中产生窄脉冲，可能被下游触发器捕获。总剂量效应（TID）则随任务时间累积，表现为阈值电压漂移、漏电流增大，最终导致器件参数超差。
• 温度与热循环：在轨设备一面受太阳辐照、一面向深空散热，昼夜交替带来大幅温度波动。焊点、键合线与封装在反复热应力下可能疲劳开裂，表现为间歇性接触不良——这类故障在日志中常呈现为“同一设备随机时刻通信超时”。
• 真空与放电：真空中介质放气、微流星体撞击以及高压部件表面充放电，可能引起瞬态电流脉冲甚至逻辑误动作。
• 力学与单粒子事件叠加：发射段振动冲击造成的潜在损伤，可能在入轨后与辐射事件叠加暴露。

这些约束意味着：星载计算机的故障既有“瞬时、可自愈”的软错误，也有“累积、不可逆”的硬损伤，健康监测必须同时覆盖两类。

二、典型硬件架构

当前主流星载计算机普遍采用“冗余+容错”架构，典型组成包括：

• 处理单元：多选用抗辐射加固的处理器（如SPARC V8架构的LEON系列、PowerPC系列），或采用商用COTS器件配合三模冗余（TMR）与看门狗。CPU内部通常带EDAC保护的Cache与寄存器文件。
• 存储器：程序存储器（PROM/EEPROM/Flash）存放引导与固化程序；数据存储器（SRAM/SDRAM）带EDAC或TMR；大容量存储（NAND Flash）用于载荷数据，需坏块管理与纠错。
• 总线与接口：内部常用SpaceWire、PCI/PCIe或自定义背板总线；对外通过1553B、CAN、RS-422、LVDS与星务、姿控、载荷等分系统通信。
• 监控与保护电路：看门狗定时器、电源监控、电流/电压采集、温度传感器、复位逻辑，以及SEL发生时的限流断电保护。
• 冗余结构：常见双机热备、双机冷备或三机表决。冗余管理由硬件仲裁或软件投票实现。

下图给出一个典型的双机热备星载计算机硬件与软件层次关系，以及故障注入/监测点的位置。

三、软件层次与故障传播路径

星载软件通常分为四层，自下而上依次是：

1. 引导与容错层：上电后由Bootloader校验程序镜像的CRC，若校验失败则切换到备份镜像。该层还负责EDAC巡检、看门狗喂狗、复位原因记录——这正是错误日志的最早来源。
2. BSP/驱动层：封装总线读写、存储器访问、中断处理与看门狗操作。驱动层的超时、重试与错误返回码，是日志中“通信异常”的直接出处。
3. 系统服务层：提供任务调度、文件管理、通信协议栈与日志服务。日志服务需要保证在复位后仍能保留关键记录，通常写入带掉电保护的FRAM或双份EEPROM。
4. 应用层：姿控、遥测遥控、载荷管理与健康管理。健康管理应用周期性采集各层上报的状态，执行阈值判断与趋势分析。

故障在层次间的传播有明确方向：底层硬件错误若未被EDAC或看门狗拦截，会向上表现为驱动超时、任务超时，最终触发应用层降级或整机复位。因此日志分析必须能区分“根因层”与“表现层”。

四、故障模式分类

按持续时间与可恢复性，星载计算机故障可分为四类，每类的日志特征与处置策略不同：