4. 推力器管理系统的功能架构
推力器管理系统（Thruster Management System，TMS）并不是一个单一软件模块，而是横跨星载硬件、星载软件与地面测控链路的多层功能集合。理解它的关键，不是记住六个功能名称，而是看清它们之间的层级关系与数据流向：谁向谁提供输入，谁对谁做出判断，谁最终驱动执行机构。本节按“接口层—解析层—感知层—诊断层—决策层—执行层”的纵向结构展开，并说明每层之间的约束关系。
一、六层功能的纵向分层
从信息流角度看，TMS 可以划分为三个大区：上行信息区（遥测遥控接口、指令解析）、状态认知区（状态监测、故障诊断）、下行动作区（重构决策、执行机构）。三区之间是单向为主、反馈为辅的关系：上行区把地面意图变成可执行指令，状态认知区把传感器数据变成故障结论，下行区把故障结论变成阀门/点火动作，而执行结果又通过遥测回传到状态监测，形成闭环。
需要特别强调：状态监测与故障诊断不是同一层。状态监测回答“现在是什么状态”，输出的是参数越限标志、健康字、工作模式字；故障诊断回答“为什么是这个状态、故障在哪”，输出的是故障模式编号、置信度与隔离结论。把两者混为一层，会导致重构决策缺少可用的故障定位信息。
二、各层的输入、输出与关键约束
遥测遥控接口是 TMS 与地面之间的唯一合法通道。上行方向接收遥控帧，下行方向组织遥测帧。它的核心约束是帧格式与校验：遥控帧通常包含帧头、地址、指令码、参数区、校验字。以某型推力器管理单元为例，遥控帧采用 32 字节定长结构，其中指令码 2 字节、参数区 16 字节、CRC 校验 2 字节。接口层只做“收得对、发得出”，不做业务判断。
指令解析把遥控帧中的指令码翻译为内部操作。它要完成三件事：校验通过性判定、指令合法性判定、参数范围检查。例如收到“打开 2 号推力器 A 路电磁阀”指令，解析层需确认：该推力器当前是否被允许工作、A 路是否处于隔离状态、指令参数是否在 0～100% 占空比范围内。任何一项不满足，指令被拒绝并生成拒绝原因遥测，而不是直接下发。
状态监测是感知层。它周期采集压力、温度、阀位、电流等模拟量与开关量，做越限判断与滤波。典型周期为 100 ms，压力采样 12 位量化，温度采样 10 位量化。输出包括：参数越限标志、健康字（每位对应一个监测项）、工作模式字。状态监测只报告事实，不解释原因。
故障诊断在状态监测输出之上做推理。常用方法有三类：阈值比对（如压力低于 0.6 MPa 判为低压）、趋势外推（如温度 10 s 内上升超过 8 ℃ 判为异常升温）、残差分析（模型预测值与实测值偏差超限）。诊断输出故障模式号、置信度与隔离结论。例如“2 号推力器 A 路电磁阀驱动电流为 0 且阀位无变化”，可诊断为“A 路电磁阀开路”，置信度 0.92，隔离结论为“A 路不可用，B 路可用”。
重构决策是决策层。它读取故障诊断结论与健康评估结果，按预设决策表选择动作：切换备份、降级运行、隔离故障支路或保持原状。决策必须满足优先级仲裁：安全优先于任务，任务优先于寿命。例如 A 路电磁阀开路时，若 B 路健康，则决策为“切换至 B 路”；若 A、B 两路均故障，则决策为“隔离该推力器，启用同组其他推力器”。
执行机构是动作层。它接收重构决策输出的开关量或脉宽调制信号，驱动电磁阀或驱动电路，最终产生推力。执行层不参与判断，只忠实执行，并把阀位、电流等回采信号送回状态监测。
三、层级关系的三条硬规则
- 单向调用规则：上层只能通过定义好的接口调用下层，不允许跨层直接操作。例如重构决策不能绕过故障诊断直接读原始传感器值。
- 状态监测不驱动执行：状态监测只输出标志与健康字，不直接产生阀门动作，避免误报直接导致误动作。
- 决策必须引用隔离结论：重构决策的输入必须是故障诊断给出的隔离结论，而不是简单的越限标志，否则无法区分“传感器故障”与“执行机构故障”。
四、一个可复现的示例：A 路电磁阀开路处置
假设某次在轨任务中，2 号推力器 A 路电磁阀出现开路。按上述架构，处理过程如下：
- 状态监测在 100 ms 周期内检测到 A 路驱动电流为 0 mA（正常应为 180～220 mA），阀位反馈为“未动作”，置健康字对应位为 0。
- 故障诊断读取该健康字与电流、阀位数据，结合“指令已下发但无电流”的时序关系，判定为“A 路电磁阀开路”，故障模式号 F-021，置信度 0.92，隔离结论为“A 路隔离，B 路可用”。
- 重构决策查决策表：F-021 对应动作为“切换至 B 路”。决策输出“关闭 A 路使能、打开 B 路使能”两条指令。
- 指令解析对这两条指令做合法性检查，确认 B 路未被隔离、参数在范围内，放入指令队列。
- 执行机构驱动 B 路电磁阀，阀位反馈变为“已动作”，电流稳定在 195 mA，推力输出恢复正常。
- 遥测接口把上述过程的状态字、故障号、决策记录与执行结果打包下行，地面可据此复核。
五、常见理解误区
第一个误区是把“状态监测”当成“故障诊断”。状态监测输出的是“压力低”，故障诊断输出的是“压力低是因为上游隔离阀未打开”。两者输入输出不同，不能合并。第二个误区是让重构决策直接读原始遥测。原始遥测含噪声与瞬时扰动，直接用于决策容易误切换。第三个误区是忽略执行机构的回采反馈。没有回采，重构决策无法确认动作是否真正生效，闭环验证就断了。