2. 星务计算机的硬件架构
星务计算机（On-Board Computer, OBC）是卫星平台的“大脑”，它要在强辐射、宽温域、供电受限、无法维修的空间环境中，长期承担遥测采集、遥控执行、姿态与轨道控制、任务调度、星地通信管理等职责。因此，它的硬件架构不能照搬地面工控机或服务器，而必须围绕“可靠、可恢复、可验证”来组织。本节从处理器选型、总线结构、存储器组织、接口类型和抗辐射设计五个方面展开，并给出可对照的工程判断依据。
一、处理器选型：先定“抗辐射等级”，再定性能
星务计算机的处理器选型通常不是从主频和核数出发，而是从任务剖面和辐射环境出发。低轨（LEO）卫星总剂量一般在几十 krad(Si) 量级，单粒子效应（SEE）是主要威胁；地球同步轨道（GEO）或深空任务总剂量可达 100 krad(Si) 以上，单粒子锁定（SEL）和单粒子翻转（SEU）都必须重点防护。选型时先确定三件事：
- 辐射指标：总剂量 TID、单粒子锁定阈值 SEL LET、单粒子翻转率 SEU rate。抗辐射加固（Rad-Hard）器件如 SPARC V8 架构的 LEON 系列、PowerPC 系列、ARM Cortex-R/M 的抗辐射版本，通常 TID 可达 100～300 krad(Si)，SEL 免疫或阈值大于 80 MeV·cm²/mg。
- 算力需求：星务计算机以控制与调度为主，典型主频 50～200 MHz 即可满足；若承担图像处理、星上AI推理，则需评估是否采用“抗辐射FPGA + 商用SoC”的混合架构。
- 生态与验证：是否有成熟的编译器、实时操作系统（RTOS）、BSP 和飞行 heritage。选型时优先选择已有在轨飞行记录的处理器，可显著降低软件移植和验证成本。
工程上常用“双核锁步（Lockstep）”或“三模冗余（TMR）”处理器来提升容错能力。例如，锁步双核中两个核执行相同指令流，比较器实时比对输出，一旦不一致即触发异常，由监控电路决定重试或切换。这种结构对 SEU 引起的瞬态故障有较好的抑制作用，但会带来约 30%～50% 的性能开销和更高的功耗。
二、总线结构：从并行到串行，从单点到冗余
星务计算机内部总线负责处理器、存储器、接口芯片之间的数据交换。早期卫星多采用并行总线如 VME、PCI，但并行总线引脚多、功耗高、抗辐射加固困难。现代星务计算机更倾向采用串行总线，典型代表是 SpaceWire、CAN、1553B 和 RapidIO。
- 1553B：命令/响应式，双冗余总线，速率 1 Mbps，抗干扰强，适合遥控遥测和低速控制指令，是许多卫星平台的标准配置。
- SpaceWire：点对点全双工，速率 2～400 Mbps，支持路由和冗余，适合高速数据采集和载荷数据流。
- CAN：多主竞争，速率 1 Mbps，成本低，常用于星内设备管理，但实时性和确定性不如 1553B。
- RapidIO / PCIe：高速串行，用于星上高性能计算模块之间的数据交换，但需配合抗辐射 PHY 和错误检测机制。
总线结构设计的关键是“冗余”和“隔离”。典型做法是：关键总线采用双冗余（A/B 通道），处理器通过总线控制器切换；每个终端设备通过隔离变压器或限流电阻接入，防止单点短路拉垮整条总线。下图给出一种典型的星务计算机硬件架构关系，包含处理器、总线、存储器和接口的层次与连接方向。
三、存储器组织：分区、纠错与在轨重构
星务计算机的存储器通常分为四类：引导程序存储器（PROM/EEPROM）、程序存储器（MRAM/FRAM/抗辐射Flash）、数据存储器（SRAM/SDRAM）和大容量存储（NAND Flash/固态记录器）。组织原则是“分区隔离、纠错覆盖、可重构”。
以某典型星务计算机为例，其存储空间可划分为：
| 区域 | 器件类型 | 容量示例 | 保护机制 |
|---|---|---|---|
| 引导区 | 抗辐射 PROM | 256 KB | 三区备份，硬件选择 |
| 程序区 | MRAM / FRAM | 4 MB | EDAC 纠一检二，写保护 |
| 数据区 | SRAM / SDRAM | 64 MB | EDAC + 定期刷新 |
| 大容量区 | NAND Flash | 8 GB | 坏块管理 + ECC |
EDAC（Error Detection and Correction）是存储器抗 SEU 的核心手段。以 SECDED（单纠错双检错）为例，每 32 位数据附加 7 位校验位，可纠正 1 位翻转、检测 2 位翻转。当检测到不可纠正错误时，系统应触发中断，由软件决定是否切换备份区或重启任务。对于 SDRAM，还需定期执行“刷新+回读校验”，防止累积翻转。
四、接口类型：按信号速率和可靠性分层
星务计算机的接口可分为三类：低速控制接口、中速数据接口和高速载荷接口。低速接口如 UART、GPIO、I²C，用于温度采集、开关量控制；中速接口如 CAN、1553B，用于设备管理和遥控遥测；高速接口如 SpaceWire、LVDS、RapidIO，用于载荷数据、图像传输。接口设计需注意：
- 电气隔离：每条对外接口加限流电阻和 TVS 管，防止单粒子锁定导致总线短路。
- 协议冗余：关键指令采用“命令+校验+回读”三重确认，避免误动作。
- 速率匹配：接口速率应与处理器处理能力、总线带宽匹配，避免数据堆积或总线饥饿。
五、抗辐射设计：从器件到系统的多层防护
抗辐射设计不是单一措施，而是从器件、电路、软件到系统的多层防护。器件层选择抗辐射加固或经过筛选的商用器件；电路层采用限流、滤波、看门狗、电流闭锁保护；软件层采用三模冗余、定期刷新、看门狗喂狗、异常恢复；系统层采用双机热备、在轨重构、故障隔离。工程上常用“辐射试验 + 故障注入”来验证设计：在质子/重离子加速器上测试 SEL 阈值，在实验室用激光或故障注入器模拟 SEU，观察系统是否能自动恢复。
综上，星务计算机硬件架构的核心是：以任务剖面和辐射环境为输入，选择抗辐射处理器和冗余总线，组织带纠错的分区存储器，按速率和可靠性分层设计接口，并将抗辐射防护贯穿器件、电路、软件和系统四个层次。只有这五个方面协同设计，才能保证星务计算机在轨长期稳定运行。