2. 星载计算机任务与验证需求

星载计算机不是一颗通用处理器，而是嵌入航天器平台、承担特定任务并受严格环境约束的嵌入式系统。理解它的验证需求，必须先看清它“要做什么、连什么、在什么条件下做”。本节从功能、接口、环境约束三个维度梳理星载计算机的任务画像，并说明为什么硬件在环（HIL）验证成为不可替代的手段。

一、星载计算机承担的功能任务

从任务层次看，星载计算机的功能可归为四类。第一类是平台控制：姿态与轨道控制（AOCS）中的敏感器数据采集、控制律解算、执行机构指令输出，通常以固定周期运行，例如姿控周期 100 ms、磁力矩器控制周期 250 ms。第二类是星务管理：遥测采集与组帧、遥控指令解析与分发、时间管理、模式切换、故障检测与自主恢复。第三类是载荷管理：载荷工作模式设置、数据缓存与格式化、图像或科学数据的压缩与下传调度。第四类是通信与数据管理：与测控应答机、数传发射机、星间链路的数据交互，以及总线协议处理。

这些功能对实时性、确定性和可靠性的要求差异很大。姿控闭环对抖动敏感，要求周期抖动在毫秒级以内；遥测组帧允许秒级延迟但要求不丢帧；故障恢复则要求在限定时间内完成模式切换。验证时必须针对不同任务分别设定判据，而不能用一套指标覆盖全部功能。

二、接口关系与数据流

星载计算机处于星上信息流的枢纽位置。向下，它通过总线或点对点链路连接敏感器与执行机构；向上，它连接测控与数传通道；对内，它管理存储、看门狗与电源监控。典型接口包括：

• 1553B 总线：作为总线控制器（BC）轮询远置终端，周期通常为 20～50 ms，传输姿控与星务指令。
• CAN 总线：连接载荷与部分平台设备，速率 500 kbps～1 Mbps，用于非关键遥测与模式命令。
• SpaceWire / LVDS：面向载荷高速数据，速率可达数十至数百 Mbps。
• 离散量与模拟量：如推进阀门开关、温度采集、电源状态回读。
• 测控接口：遥控指令输入、遥测帧输出，通常经 RS-422 或 LVDS 与应答机相连。

接口验证的核心不是“能通”，而是时序、协议与边界条件正确。例如 1553B 消息的响应时间超限、CAN 总线在负载峰值下的仲裁丢失、SpaceWire 在流量突发时的缓冲溢出，都是地面必须提前暴露的问题。

三、环境约束对硬件与软件的影响

空间环境是星载计算机区别于地面嵌入式系统的根本原因。辐射总剂量（TID）决定器件寿命，典型低轨任务要求 20～50 krad(Si)，高轨或长寿命任务可达 100 krad(Si) 以上；单粒子翻转（SEU）会导致寄存器或存储器位翻转，必须通过 EDAC、三模冗余（TMR）或定期刷新来抑制；单粒子锁定（SEL）则可能造成电流骤增，需要限流保护与断电重启电路。温度方面，星载计算机通常要求在 −40 ℃ 至 +85 ℃ 范围内正常工作，真空环境使散热只能依靠传导，振动与冲击则考验机械安装与焊点可靠性。

这些约束直接改变验证内容：不仅要验证功能正确，还要验证在故障注入下的恢复行为。例如，人为翻转 SRAM 中的一位，观察 EDAC 是否在下一个周期纠正并记录；模拟看门狗超时，确认系统能否在 500 ms 内完成复位并恢复关键任务。

四、为什么必须做硬件在环验证

纯软件仿真可以验证算法逻辑，但无法覆盖真实电气时序、总线竞争、中断延迟和器件故障行为。星载计算机的许多问题恰恰出现在软硬件交界处：1553B 消息在真实电缆上的反射导致误码、CAN 总线在多个节点同时发送时的仲裁延迟、电源上电顺序不当导致复位异常。这些问题在纯软件环境中不可见。

硬件在环验证把真实的星载计算机（或工程样机）接入仿真环境，由实时仿真器模拟敏感器、执行机构、总线和环境激励，形成闭环。其价值体现在三点：第一，时序真实性——真实 CPU、真实总线控制器、真实中断响应参与闭环，能暴露软件仿真忽略的抖动与竞争；第二，故障可注入——可以精确注入位翻转、总线错误、电源跌落，观察系统恢复；第三，可重复与可观测——同一场景可反复运行，关键信号可被记录和回放，便于定位问题。

五、验证需求的可执行化

把上述任务与约束转化为验证需求时，建议按“功能—接口—环境—故障”四条线展开，并为每条需求指定可观测的判据。例如：

这张表本身就是 HIL 测试用例的雏形：每一行对应一个可执行的激励—观测—判据组合。实际工程中，还需为每个用例定义前置状态、注入方式、数据记录通道和失败处理策略。只有把“验证需求”落到这种粒度，硬件在环平台才能真正发挥作用，而不是停留在“跑通即可”的层面。