3. 硬件在环验证基本原理
硬件在环（Hardware-in-the-Loop，HIL）验证的核心思想，是把星载计算机这一真实硬件接入一个由实时仿真器构建的“虚拟卫星”环境中，让被测硬件在接近真实的工作条件下运行。与纯软件仿真不同，HIL 中被测对象是真实的星载计算机，包括其处理器、存储器、总线接口、供电电路和星务软件；而卫星本体、敏感器、执行机构、空间环境等则由实时模型替代。这样既保留了真实硬件的时序、接口和故障特性，又能通过模型灵活构造各种在轨工况，尤其是难以在实物测试中复现的极端场景。
HIL 的基本概念与系统构成
一个典型的星载计算机 HIL 验证平台由四类要素构成：被测星载计算机（DUT）、实时仿真目标机、接口适配与信号调理模块、以及上位机监控与测试管理软件。实时仿真目标机运行卫星动力学、姿态运动学、轨道环境、敏感器模型和执行机构模型，并通过 I/O 板卡与真实星载计算机交换信号。接口适配模块负责电平转换、阻抗匹配、隔离保护和故障注入，使仿真器输出的电信号在电气特性上与被替代的真实部件一致。
以姿态控制回路为例，星载计算机输出反作用飞轮转速指令，仿真器接收该指令后驱动飞轮模型，计算产生的反作用力矩，再代入卫星姿态动力学方程，解算出新的姿态角和角速度，最后通过星敏感器模型和陀螺模型生成相应的测量信号回送给星载计算机。星载计算机据此计算控制量，形成下一周期的指令。这一“指令—模型响应—测量反馈—控制修正”的循环，就是 HIL 闭环仿真的基本机制。
闭环仿真机制与实时性要求
HIL 闭环仿真的关键在于“实时”二字。仿真器必须在每个仿真步长内完成模型解算、I/O 数据交换和状态更新，且整个过程的耗时必须小于步长，否则闭环时序就会失真。以姿态控制回路为例，若星载计算机的控制周期为 100 ms，仿真步长通常取 10 ms 或更小，以保证模型积分的数值稳定性和对高频动态的捕捉能力。仿真目标机需要运行实时操作系统，采用定时中断驱动调度，确保每个步长的计算和 I/O 操作在确定的时间窗口内完成。
实时性要求可以从三个层面理解。第一是周期确定性：仿真步长必须严格恒定，不能因为模型复杂度波动而出现步长抖动。第二是计算实时性：单步内所有模型解算和 I/O 读写必须在步长内完成，通常要求 CPU 占用率不超过 70%，留出余量应对突发计算。第三是 I/O 同步性：模拟量输出、数字量输入输出和总线通信必须在同一时间基准下对齐，避免因通道间延迟差异引入相位误差。对于 1553B 总线仿真，还需要模拟总线控制器的消息调度时序，确保星载计算机的总线访问行为与真实卫星一致。
星载场景适配的特殊考虑
星载计算机的 HIL 验证不能照搬地面工业控制器的 HIL 方案，需要针对空间环境做专门适配。首先是空间辐照效应：单粒子翻转（SEU）可能导致星载计算机寄存器或存储器位翻转，单粒子锁定（SEL）可能引发电流异常。HIL 平台可以通过故障注入模块，在仿真过程中模拟 SEU 和 SEL，观察星载计算机的检错纠错机制、看门狗复位和系统重构逻辑是否按预期工作。其次是长时延和低带宽：星地通信链路存在秒级甚至分钟级时延，遥测遥控数据率有限，HIL 平台需要模拟这些链路特性，验证星载计算机的遥测采集、遥控指令解析和自主管理策略。
第三是供电与复位特性：星载计算机通常采用多路电源供电，存在上电时序要求和掉电保护需求。HIL 平台可以通过可编程电源和继电器矩阵，模拟母线电压波动、瞬时掉电和复位脉冲，检验星载计算机的电源管理模块和复位逻辑。第四是热真空与力学环境：虽然 HIL 不直接模拟热和力学条件，但可以通过模型注入温度传感器信号和加速度计信号，验证星载计算机在极端温度下的参数漂移补偿和力学环境下的姿态控制适应性。
一个简化的 HIL 验证示例
假设某星载计算机的姿态控制周期为 100 ms，仿真步长取 10 ms。仿真目标机中建立卫星刚体动力学模型，转动惯量矩阵取对角阵 diag(1200, 1100, 900) kg·m²，初始姿态角速度为零，初始姿态四元数为 [1,0,0,0]。星载计算机运行 PD 控制律，比例系数 Kp = 0.8，微分系数 Kd = 2.5，输出三轴力矩指令。仿真器将力矩指令分配给四个反作用飞轮，飞轮模型输出实际力矩，代入动力学方程解算角加速度，积分得到角速度和姿态角，再通过星敏感器模型（精度 0.01°，更新率 10 Hz）和陀螺模型（零偏 0.05°/h，随机游走 0.01°/√h）生成测量信号回送。
验证时，先注入一个初始姿态偏差，例如绕滚动轴 5°。观察星载计算机输出的力矩指令是否在合理范围内，姿态角是否在预期时间内收敛到零附近。若姿态角在 30 s 内收敛到 0.1° 以内，且超调量小于 20%，则认为控制律在该工况下工作正常。随后注入单粒子翻转故障，翻转星载计算机中姿态四元数的一个分量，观察其是否能在两个控制周期内通过检错纠错机制恢复。若不能恢复，则需检查软件容错设计。通过这类闭环测试，可以在不发射卫星的情况下，对星载计算机的硬件和软件进行接近真实的全面验证。