1. 星务计算机概述

星务计算机（On-Board Computer，OBC）是卫星电子系统的核心处理单元，承担整星遥测采集、遥控指令分发、姿态与轨道控制律解算、任务调度、时间管理、数据存储与下行链路组织等职责。它既不是单纯的“控制计算机”，也不是简单的“数据采集器”，而是把星上各分系统（电源、姿控、热控、测控、载荷等）连接成一个可管理整体的中枢。理解星务计算机，需要同时看清它的定义边界、在卫星中的角色、典型体系结构，以及为什么健康监测与故障管理必须成为其内生能力，而不是事后附加的补丁。

一、定义与边界

从工程定义看，星务计算机是运行在空间辐射、真空、大温差与单粒子效应环境中的嵌入式实时计算机系统，通常由处理器模块、存储器模块、总线接口模块、供电与复位管理模块、看门狗与监控电路、软件（实时操作系统、任务调度、协议栈、应用功能）共同构成。它与地面通用计算机的关键差异在于：资源受限、不可现场维修、失效代价高、必须支持自主降级与重构。因此，星务计算机的设计目标不是“性能最大化”，而是在给定功耗、质量、体积和可靠性约束下，保证关键功能在故障条件下仍可维持或安全恢复。

需要区分两个容易混淆的概念：星务计算机是“平台级”的整星管理计算机，而载荷数据处理单元、姿控计算机、测控应答机内部控制器属于“分系统级”计算单元。星务计算机通过星上总线与这些分系统交互，但不一定直接替代它们。明确这一边界，才能正确划分健康监测的采集点、故障判据的归属和重构动作的执行者。

二、在卫星中的角色

星务计算机在卫星中的角色可以概括为“中枢、裁判与记录员”三重身份。作为中枢，它周期性地采集各分系统遥测，按遥控指令和飞行程序向分系统分发控制命令，并维护整星时间基准与工作模式。作为裁判，它根据遥测参数与自身状态判断整星是否处于安全模式，必要时触发模式切换、负载卸载或安全保持。作为记录员，它把关键事件、故障告警和状态快照写入非易失存储，供过境时下传分析。

以典型低轨遥感卫星为例：星务计算机在可见弧段接收地面上注的指令序列，在不可见弧段按预存程序自主运行；当蓄电池电压低于阈值或姿态超差时，它需要在不依赖地面干预的情况下进入安全模式，关闭非必要载荷，维持测控与电源分系统工作。这一过程对实时性、确定性和故障可恢复性提出了很高要求。

三、典型体系结构

星务计算机的典型体系结构可按“处理器—总线—接口—存储—监控”五个层次理解。处理器层常采用抗辐射加固处理器或商用器件加冗余与纠错设计；总线层常见有MIL-STD-1553B、CAN、SpaceWire、RS-422等，负责与分系统互联；接口层完成模拟量采集、离散量输入输出、脉冲计数与串行通信；存储层包括程序存储、数据存储与EDAC保护；监控层包括看门狗、电源监控、复位管理与温度监测。

在可靠性设计上，常见三种结构：单机结构，成本低但无冗余；双机热备结构，主备机通过心跳与仲裁切换；多机分布式结构，按功能划分处理节点，通过总线协同。选择哪种结构，取决于任务寿命、关键度、功耗预算与成本约束。下图给出一种典型的双机热备星务计算机体系结构示意，重点表达主备关系、总线连接与监控回路。

四、健康监测与故障管理的必要性

星务计算机一旦失效，整星可能失去姿态控制、遥测下传或指令响应能力，任务失败风险极高。空间环境中的单粒子翻转、总剂量累积、温度循环与电源瞬变，都会导致存储器位翻转、寄存器异常、总线通信错误甚至处理器锁死。地面无法实时干预，过境窗口有限，因此必须让星务计算机具备“自感知、自判断、自恢复”的能力。

健康监测的核心是建立可观测的状态量集合与判据。常见监测对象包括：处理器负载率、内存使用与EDAC纠错计数、看门狗喂狗状态、总线误码率、电源电压与电流、关键温度、任务超时计数、复位次数与原因。故障管理则是在监测基础上执行分级响应：轻微异常记录并继续；中度异常重启任务或切换冗余通道；严重异常触发主备切换或进入安全模式。关键在于判据要有明确的阈值、持续时间和确认次数，避免瞬态干扰导致误切换。

五、一个可参考的监测参数示例

下表给出某低轨卫星星务计算机健康监测参数示例（数值为教学假设，非实测数据），用于说明监测对象、判据与响应动作之间的对应关系。

从上述示例可以看出，健康监测与故障管理不是简单的“报警”，而是把监测、判据、确认、响应、记录串成闭环。星务计算机的体系结构设计、软件任务划分和总线协议选择，都应围绕这一闭环展开。只有把健康监测与故障管理作为星务计算机的内生能力，才能在空间环境中实现长期、可靠、自主的运行。