4. 平台总体架构设计

星载计算机硬件在环（HIL）验证平台的核心价值，在于用一台实时仿真机替代真实卫星的动力学、敏感器与执行机构环境，让被测星载计算机（以下简称“被测机”）在接近真实的电气接口与时序条件下闭环运行。要理解平台如何工作，必须先看清四类实体的层次关系与数据流向：实时仿真机负责模型解算与实时调度，接口适配负责信号电平、协议与时序的转换，被测星载计算机是验证对象，监控软件负责激励编排、状态监视与数据记录。四者不是简单的串联，而是构成“仿真—接口—被测—监控”的双向闭环。

一、四层结构的分工与边界

从下往上，实时仿真机处于最底层，运行卫星动力学、轨道姿态模型、敏感器模型和执行机构模型。它通常基于实时操作系统（如 VxWorks、RT-Linux 或 QNX），以固定步长（例如 1 ms 或 0.5 ms）推进模型，保证每个控制周期内完成一次解算并输出接口数据。实时仿真机的关键指标是抖动与超时：若某周期解算超过步长，会导致被测机收到的敏感器数据滞后，闭环特性失真。

接口适配层是仿真机与被测机之间的“翻译层”。星载计算机的接口类型多样，常见包括：模拟量（如陀螺、温度传感器输出的 ±10 V 或 0～5 V 电压）、离散量（如星箭分离信号、加热器开关指令）、串行总线（RS-422、CAN、1553B）以及 SpaceWire 等。接口适配需要完成电平匹配、阻抗匹配、协议帧格式转换和时序对齐。例如，仿真机内部以浮点数表示陀螺角速度，而接口板需要将其转换为 0～5 V 的模拟电压，并叠加偏置与噪声，模拟真实陀螺输出。

被测星载计算机运行真实的星务软件或姿态控制软件，接收仿真机产生的敏感器数据，执行控制算法，输出执行机构指令。它的行为是验证目标，因此平台必须保证其输入输出条件可重复、可观测、可注入故障。

监控软件位于最上层，提供人机界面与数据管理。它不直接参与实时闭环，但负责：加载测试用例、设置初始轨道与姿态、注入故障（如陀螺漂移、星敏感器失效）、实时显示遥测参数、记录全量数据供事后分析。监控软件与实时仿真机之间通常通过以太网或反射内存交换数据，前者用于非实时配置与显示，后者用于高带宽实时数据镜像。

二、数据流与闭环路径

平台的数据流可以概括为两条方向相反、周期同步的链路。正向链路：实时仿真机解算当前姿态与轨道 → 生成敏感器模型输出 → 接口适配转换为电气信号 → 被测机采集并解算控制量。反向链路：被测机输出执行机构指令 → 接口适配采集并转换为数字量 → 实时仿真机接收并更新动力学模型 → 下一周期继续解算。监控软件则从两条链路中“旁路”获取数据，用于显示与记录，不干扰实时闭环。

以姿态控制为例，一个典型周期（假设 1 ms）内的数据流如下：仿真机在第 k 个周期计算出星体角速度 ω 和姿态四元数 q，陀螺模型输出 ω 对应的模拟电压；接口板在周期开始后 200 μs 内完成 D/A 转换并稳定输出；被测机在周期内完成 A/D 采样、滤波、控制律计算，输出反作用飞轮力矩指令；接口板采集该指令并写入仿真机输入寄存器；仿真机在下一周期用该力矩更新动力学模型。整个链路的延迟必须小于一个控制周期，否则闭环稳定性会下降。

三、层次间的关键约束

四层结构能否稳定工作，取决于几个关键约束。第一是实时性：仿真机解算、接口转换、被测机采集与输出必须在同一控制周期内完成，任何环节超时都会破坏闭环。第二是同步性：仿真机与接口板之间通常采用硬件触发信号（如周期起始脉冲）对齐，避免软件轮询带来的随机延迟。第三是可观测性：监控软件需要在不干扰实时链路的前提下获取数据，常用做法是通过反射内存或专用数据采集通道镜像仿真机内部变量。

在实际工程中，接口适配层往往是最容易出问题的环节。例如，某型陀螺输出为 0～5 V 单端信号，而仿真机 D/A 输出为 ±10 V 差分信号，若直接连接会导致被测机 A/D 采样饱和。正确做法是在接口板中增加运算放大器电路，完成差分转单端与量程缩放，并在监控软件中配置对应的标度因数。又如，1553B 总线指令的响应时间要求小于 50 μs，接口板必须使用专用协议芯片而非软件模拟，否则无法满足时序。

四、一个可参考的周期时序示例

假设平台控制周期为 1 ms，以下是一个合理的时序分配示例（属于教学假设，非实测数据）：

该时序表可用于检查各层是否留有足够余量。若被测机控制律计算耗时超过 300 μs，则需缩短接口转换时间或提高仿真机步长，否则闭环延迟增大，姿态控制精度下降。

总体而言，实时仿真机、接口适配、被测星载计算机与监控软件四层各司其职，通过双向数据流构成闭环。理解层次边界与周期约束，是后续开展接口配置、模型部署与测试用例设计的基础。