1. 课程导入与星载计算机概述
星载计算机（On-Board Computer，OBC）是航天器平台与有效载荷的“大脑”，它承担遥测采集、姿态与轨道控制律解算、任务时序管理、载荷数据处理、星地通信协议处理以及故障检测与恢复等核心职能。与地面通用计算机相比，星载计算机并不是“把工控机搬到天上”那么简单：它必须在无法维修、能源受限、通信窗口稀疏、辐射持续作用的条件下，长期自主地维持航天器安全与任务执行。因此，本课程讨论的不是单一硬件选型问题，而是围绕“在空间环境中长期正确运行”这一目标，构建从器件、电路、模块、软件到系统级的可靠性体系。
一、星载计算机的定义与边界
从系统视角看，星载计算机可定义为：安装在航天器上、面向实时控制与数据处理任务、以抗辐射与容错为核心约束的嵌入式计算系统。它通常由处理器与存储器、总线接口、供电与时钟、看门狗与复位逻辑、遥测遥控接口、以及与敏感器/执行机构/载荷相连的各类数据接口组成。其软件包括引导程序、实时操作系统或执行体、控制律与应用任务、健康管理（FDIR）逻辑等。
需要明确边界：星载计算机不等于整星电子系统，但它与星务管理、姿轨控、测控、电源、热控等分系统存在强耦合。例如，姿态控制周期通常为 100 ms～1 s 量级，控制律解算超时可能直接导致姿态失稳；而遥测下传窗口可能只有每天数分钟，要求 OBC 具备足够的本地存储与自主判断能力。这些耦合关系决定了可靠性设计必须“跨分系统”考虑。
二、空间环境的特殊性
空间环境对电子系统的影响可归纳为辐射、热、真空、力学与供电几类。辐射方面，总电离剂量（TID）会导致器件参数漂移与失效，单粒子效应（SEE）中的单粒子翻转（SEU）会改变存储单元或寄存器状态，单粒子锁定（SEL）可能引发大电流甚至烧毁，单粒子瞬态（SET）会在组合逻辑中产生窄脉冲。热方面，真空环境下只能靠传导与辐射散热，昼夜温差可达数百摄氏度，器件结温波动会改变时序余量。力学方面，发射段振动与冲击可能造成焊点、连接器失效。供电方面，太阳能帆板输出随光照与温度变化，母线电压波动与负载投切会引入瞬态干扰。
这些环境因素共同决定了星载计算机的设计基调：不能假设“器件永远正确”，而要假设“错误必然发生”，并通过冗余、纠错、隔离、重构与降级等手段，使系统在错误发生时仍能保持安全或可恢复。
三、高可靠架构设计的核心目标
高可靠架构设计的核心目标可以概括为四条：第一，正确性——在规定任务周期内完成控制与数据处理，输出满足精度与时限要求；第二，容错性——在单点故障甚至多点故障下，系统仍能维持关键功能或安全进入安全模式；第三，可恢复性——故障发生后能够检测、定位、隔离并重构，尽可能恢复任务能力；第四，可验证性——设计中的可靠性机制能够通过分析、仿真与试验被验证，而不是仅停留在文档承诺。
这四条目标之间存在权衡。例如，三模冗余（TMR）提升容错性，但增加功耗、面积与重量；纠错编码（ECC）提升存储可靠性，但引入编解码延迟；看门狗与复位提升可恢复性，但过于激进的复位可能打断正常任务。架构设计的本质，就是在任务约束下寻找这些目标的平衡点。
四、课程整体知识框架
本课程共 30 章，围绕“环境—机制—验证—工程实践”的主线展开。前段建立基础认知：空间环境与失效物理、可靠性指标与任务约束、星载计算机体系结构。中段深入关键机制：处理器与存储抗辐射设计、总线与接口可靠性、冗余与表决、ECC 与检错纠错、看门狗与复位、FDIR 自主健康管理、时间与同步、软件容错与分区隔离。后段聚焦系统级与工程化：故障注入与验证、辐照试验方法、可靠性建模与预计、在轨异常案例复盘、以及面向具体任务（如低轨遥感、深空探测）的架构权衡。
学习本课程后，读者应能够：识别给定任务中的关键失效模式；为处理器、存储、总线、电源等环节选择合理的容错机制；设计可验证的 FDIR 策略；并能够用故障注入、可靠性框图或马尔可夫模型对架构进行定量评估。需要强调的是，高可靠不是“堆冗余”，而是在明确任务约束下，用可验证的手段把风险控制在可接受范围内。