1. 星务系统任务序列与指令执行概述

星务系统（On-Board Data Handling System，OBDH）是卫星的“大脑与神经中枢”，负责遥测采集、遥控指令接收与分发、任务调度、时间管理、星上数据存储与下传、自主健康管理等核心功能。它把地面测控站、卫星平台各分系统（姿轨控、电源、热控、推进、测控）以及有效载荷连接成一个可被统一调度、可被观测、可被控制的整体。理解星务系统，关键不在于记住它包含哪些单机，而在于理解它如何把“地面意图”转化为“星上动作”，并在资源受限、通信窗口有限、故障不可现场维修的条件下保证动作正确、时序可控、结果可观测。

一、星务系统的定义与组成

从工程视角看，星务系统通常由星务计算机（OBC）、遥控单元、遥测采集单元、星上总线（如CAN、1553B、SpaceWire或RS-422）、大容量存储器、GPS/星上时钟、以及运行于其上的星务软件构成。星务软件又可分为实时操作系统、任务调度器、指令解释执行模块、遥测组帧模块、总线通信驱动、故障检测与恢复模块等。它的输入是地面注入的遥控指令序列、星上自主产生的任务请求（如定时遥测、姿态数据采集、载荷开机）以及各分系统上报的状态数据；输出是分发到各分系统的控制指令、下传的遥测帧、以及星上事件日志。

星务系统与普通嵌入式系统的最大区别在于：它必须在强约束下工作。这些约束包括：单粒子翻转等空间辐射导致的位翻转风险、通信窗口短且不可持续、能源与热控边界严格、指令一旦执行往往不可逆（如推进点火、载荷加电）。因此，星务系统的设计核心是“可预测、可回滚、可观测”。

二、任务序列与指令执行的地位

任务序列（Task Sequence）是把一组带时序、带条件、带优先级的指令组织成可被星务系统自动执行的脚本或时间表。指令执行（Command Execution）则是星务系统按序列逐条解释、校验、分发并确认结果的过程。二者共同构成卫星从“被动响应地面”到“自主按计划运行”的桥梁。

在卫星管理中，任务序列与指令执行处于承上启下的位置：向上，它承接地面任务规划系统生成的载荷工作计划、测控计划与平台维护计划；向下，它驱动各分系统完成具体动作，并把执行结果反馈回遥测。没有可靠的任务序列与指令执行，卫星就退化为只能单条遥控、无法在无测控弧段自主工作的“遥控玩具”。

典型卫星任务场景包括：对地观测卫星的“成像—数传—关机”序列、通信卫星的“波束切换—功率调整”序列、科学卫星的“载荷加电—定标—观测—数据存储”序列，以及平台维护类的“蓄电池均衡—热控加热器切换”序列。这些场景的共同约束是：动作之间有严格先后关系，部分动作必须在特定姿态、特定时间或特定能源状态下才能执行。

三、任务序列的构成要素

一条可执行的任务序列通常包含以下要素：序列标识（Sequence ID）、执行时间或触发条件、指令列表、指令间延时、条件判断、优先级、超时与异常处理策略。以对地观测为例，一个简化的成像序列可以写成：

SEQ_ID: IMG_2024_001
触发条件: 星下点纬度进入 [30°N, 35°N] 且 太阳高度角 > 15°
指令列表:
  T+0s    载荷加电          (地址 0x21, 指令码 0x01)
  T+5s    载荷参数装订      (增益=12dB, 积分时间=8ms)
  T+10s   开始成像          (触发采集)
  T+40s   停止成像
  T+45s   数据写入存储器    (分区 P3)
  T+50s   载荷断电
异常处理: 若 T+10s 未收到成像开始确认，则重发一次；仍失败则记录事件并跳过后续成像指令

这个例子说明，任务序列不是简单的指令堆叠，而是带有时间轴、条件分支和异常兜底的“星上程序”。星务系统在执行时，需要把序列中的相对时间转换为星上绝对时间（通常基于GPS秒或星上时钟），并在每个时间点检查前置条件是否满足。

四、指令执行的关键环节

指令执行一般经过五个环节：接收与校验、解释与展开、条件判断、分发与执行、确认与记录。接收与校验阶段要检查遥控帧的帧同步、校验和、地址码和指令码是否合法，防止误码导致误动作。解释与展开阶段把序列中的宏指令或块指令拆解为单条总线指令。条件判断阶段检查当前姿态、能源、温度、时间窗口是否满足执行前提。分发与执行阶段通过星上总线把指令送到目标分系统，并等待其回执。确认与记录阶段把执行结果写入星上事件日志，并组帧下传。

其中最容易出问题的是条件判断与确认环节。例如，载荷加电指令发出后，若电源分系统因过流保护未闭合继电器，星务系统必须能识别“无确认”状态，并按预设策略重试或放弃，而不是盲目继续执行后续成像指令。这种“执行—确认—分支”的闭环，是星务系统可靠性的核心。

五、典型约束与设计取舍

星务系统任务序列与指令执行面临的主要约束包括：

• 时间约束：测控弧段通常只有数分钟到十几分钟，任务序列必须在弧段内完成注入，并在无弧段期间自主执行。
• 能源约束：载荷加电、推进点火等大功率动作必须避开蓄电池放电深度过大的时段。
• 热约束：某些单机有最低开机温度，任务序列需等待热控加热到位。
• 姿态约束：成像、数传、太阳翼对日等动作对姿态有明确要求，序列需与姿轨控分系统协同。
• 存储约束：星上存储器容量有限，成像数据需及时下传或覆盖，序列需管理存储分区。
• 辐射约束：单粒子翻转可能导致指令码或时间标签出错，需采用EDAC、三模冗余或指令重传。

这些约束决定了任务序列设计不是“把动作排满”就好，而是要在有限资源下做优先级排序和冲突消解。例如，当成像任务与数传任务时间重叠时，需要判断是优先保证成像质量，还是优先保证数据下传；当能源不足时，需要推迟非关键载荷任务。

六、从地面计划到星上执行的闭环

完整的闭环是：地面任务规划系统根据卫星轨道、载荷能力、测控资源生成任务序列；测控站把序列注入星务计算机；星务计算机按时间轴和条件自主执行；执行结果通过遥测下传；地面比对计划与实际，评估偏差并修正下一轮计划。这个闭环的每一环都可能引入误差，因此星务系统需要具备足够的自主判断能力，在地面无法实时干预时仍能安全运行。