1. 星务计算机异常处置与安全模式导论

星务计算机（On-Board Computer，OBC）是航天器平台电子系统的核心，承担遥测采集、遥控指令分发、姿态与轨道控制律计算、时间基准管理、星上自主健康管理以及各分系统间数据总线调度等任务。它不像地面服务器那样可以随时停机维护，一旦在轨失效，轻则任务降级，重则整星失控。因此，围绕星务计算机的“异常处置”与“安全模式”设计，是航天器总体设计中优先级最高的可靠性工程内容之一。

本课程的目标不是泛泛介绍容错理论，而是建立一条从“识别异常”到“进入安全状态”再到“恢复或降级运行”的完整工程能力链。学完本课程，你应当能够：读懂星务计算机的典型体系结构与关键接口；区分可恢复异常、需降级异常和致命异常；理解安全模式的触发条件、进入逻辑、维持策略与退出条件；能够针对给定任务场景设计异常处置流程，并判断处置结果是否满足安全约束。

星务计算机在航天器中的角色

从信息流角度看，星务计算机处于航天器数据链的枢纽位置。它向下通过1553B总线、CAN总线或SpaceWire等接口连接敏感器（星敏感器、陀螺、太阳敏感器）、执行机构（动量轮、磁力矩器、推力器）和电源、热控等平台分系统；向上通过测控应答机与地面站建立遥测遥控链路；内部则运行实时操作系统、控制律任务、健康管理任务和总线调度任务。

这种枢纽地位决定了星务计算机的异常具有“放大效应”：一个总线调度错误可能导致姿态敏感器数据丢失，进而使控制律输出异常，最终触发姿态失控。因此，异常处置不能只盯着计算机本身，必须同时考虑它对姿态、能源、通信等关键功能的连锁影响。

异常处置与安全模式的定义与边界

异常处置（Fault Handling）是指星务计算机在检测到自身或分系统偏离预期状态后，所采取的一系列判断、隔离、恢复或降级动作的总称。它的核心不是“消除所有故障”，而是在有限资源和有限时间内，把系统导向一个可预测、可维持、可恢复的状态。

安全模式（Safe Mode）是异常处置的最终兜底策略。当星务计算机无法维持正常任务姿态或无法保证关键分系统安全时，主动进入一种低功耗、低复杂度、高鲁棒性的运行状态。典型安全模式行为包括：停止有效载荷工作、关闭非必要加热器、将太阳翼对日定向以保能源、维持最低速率遥测下行、等待地面指令恢复。

两者的边界需要明确：异常处置覆盖从异常检测到恢复的全过程，安全模式只是其中一个特定状态。不是所有异常都需要进入安全模式——例如单次遥测帧校验错误可以通过重传解决；但连续多次校验失败且伴随姿态敏感器数据无效时，就应触发安全模式。判断的关键在于：异常是否威胁到能源、通信或姿态中的至少一项关键功能。

典型任务场景与学习路径

为了把抽象概念落到工程实际，本课程将围绕几个典型场景展开：

• 场景A：星务计算机主份CPU看门狗超时，备份CPU接管后姿态敏感器数据仍异常，需判断是否进入安全模式。
• 场景B：1553B总线某远程终端无响应，导致动量轮指令无法下发，星务计算机需在保持姿态和降级运行之间决策。
• 场景C：地面注入指令校验失败，星务计算机拒绝执行并记录异常，但遥测显示电源电压持续下降，需评估是否触发安全模式。

这些场景的共同点是：异常不是孤立的，处置动作会改变系统状态，而状态变化又可能引发新的异常。因此，学习路径应当从“认识星务计算机结构”开始，逐步深入到“异常检测机制”“处置策略设计”“安全模式进入与退出逻辑”“地面协同恢复”，最终能够独立完成一份异常处置流程设计。

本课程后续章节将依次展开：星务计算机硬件与软件架构、健康管理任务设计、看门狗与复位策略、总线异常处置、姿态安全模式、能源安全模式、地面恢复流程以及典型在轨案例复盘。每一部分都会给出可参考的参数示例、判断条件和处置动作，帮助你把知识转化为可执行的设计能力。