劉 波，林 宇，彭 飛，謝 瓊，王國良

(北京控制工程研究所，北京100190)

天宮一號目標(biāo)飛行器控制計算機的設(shè)計與驗證

劉 波，林 宇，彭 飛，謝 瓊，王國良

(北京控制工程研究所，北京100190)

與載人航天一期“軌道艙”相比，載人航天二期天宮一號目標(biāo)飛行器對控制計算機的功能、性能和環(huán)境適應(yīng)性都提出了更高的要求.依據(jù)GNC分系統(tǒng)對控制計算機的功能與可靠度需求，介紹天宮一號目標(biāo)飛行器控制計算機的容錯方案、硬件設(shè)計、系統(tǒng)軟件設(shè)計、可靠性分析和試驗驗證情況，地面驗證結(jié)果表明:天宮一號目標(biāo)飛行器控制計算機設(shè)計滿足GNC分系統(tǒng)的需求.

天宮一號目標(biāo)飛行器;控制計算機;冗余;容錯

與中國載人航天一期“軌道艙”相比，載人航天二期天宮一號目標(biāo)飛行器制導(dǎo)導(dǎo)航控制(GNC，guidance，navigation and control)分系統(tǒng)對控制計算機的功能、性能和環(huán)境適應(yīng)性都提出了新的更高需求.

天宮一號目標(biāo)飛行器自入軌分離后的運行過程中，有單獨飛行和組合體飛行兩種工作狀態(tài).控制計算機作為這兩種工作狀態(tài)下控制系統(tǒng)的“大腦”，需實時完成的功能包括:

1)采集敏感器姿態(tài)與軌道狀態(tài)，完成控制規(guī)律的計算，發(fā)出控制指令控制執(zhí)行機構(gòu)工作，并根據(jù)軌道運行情況實現(xiàn)控制模式轉(zhuǎn)換;

2)從地面遙控指令或注數(shù)中獲得軌道要求、工作狀態(tài)、系統(tǒng)參數(shù)修正等;采集部件和控制器自身信息，存儲并通過遙測通道下發(fā)到地面;

3)支持應(yīng)用軟件進行控制系統(tǒng)級的自檢和診斷，控制各部件進行主備份切換，或是進行系統(tǒng)重構(gòu).

同時，天宮一號目標(biāo)飛行器控制計算機需滿足如下使用環(huán)境要求[1-3]:

1)體積、重量和功耗的約束;

2)耐火箭發(fā)射時苛刻的沖擊、振動力學(xué)環(huán)境;

3)耐高溫、低溫和輻照環(huán)境;

4)耐交會對接時的力學(xué)與電氣擾動環(huán)境.

最后，在整個設(shè)計壽命期間，天宮一號目標(biāo)飛行器控制計算機的可靠度需滿足GNC分系統(tǒng)的要求.

依據(jù)天宮一號目標(biāo)飛行器GNC分系統(tǒng)對計算機的功能與可靠度需求，載人航天二期新開發(fā)了“姿態(tài)軌道控制器(AOCC，attitude and orbit control computer)”和“備份控制器(BCD，backup control device)”兩臺控制計算機產(chǎn)品.

1 容錯方案設(shè)計

控制計算機是GNC分系統(tǒng)信息交互、通信連接和制導(dǎo)導(dǎo)航控制信息流處理的核心，需極高的可靠度，保證并提高可靠度是控制計算機容錯方案設(shè)計的核心.

控制計算機保證并提高可靠度有“避錯”和“容錯”兩種途徑.在方案上天宮一號目標(biāo)飛行器控制計算機采用“避錯”與“容錯”結(jié)合的方法來保證和提高可靠度.在設(shè)計、選取元器件與原材料、工藝、開發(fā)、制造和驗證環(huán)節(jié)，天宮一號目標(biāo)飛行器控制計算機都遵循航天產(chǎn)品質(zhì)量管理體系相關(guān)要求進行嚴格控制，避免發(fā)生“錯誤”;但在總體方案上，則通過“容錯”設(shè)計，通過配置冗余資源，設(shè)計為“容錯”系統(tǒng)結(jié)構(gòu)，避免偶發(fā)“錯誤”或“故障”影響控制計算機總體功能.

在天宮一號目標(biāo)飛行器控制計算機“容錯”方案上重點進行了如下設(shè)計:

1)冗余級別:采用單機級的冗余策略為核心，依據(jù)GNC分系統(tǒng)的可靠度要求，將控制計算機劃分為3個冗余單機:AOCC的A單機、AOCC的B單機與BCD.由于控制計算機的3個冗余單機與敏感器、執(zhí)行機構(gòu)的接口是公共的，因此，在設(shè)計公共接口時，采用了電路級的冗余設(shè)計，保證單機內(nèi)部與接口的任意單故障不會造成其他兩個冗余單機的故障.

2)冗余方式:按照任務(wù)的壽命與可靠度要求，天宮一號目標(biāo)飛行器控制計算機的3個冗余單機被設(shè)計為非工作儲備硬件冗余方式.AOCC采用冷備份雙模冗余(DMR，dual modular redundancy)，作為GNC分系統(tǒng)主控制器;BCD又作為AOCC的冷備份，采用單模結(jié)構(gòu).AOCC、BCD的機箱、通信連接和電源供電完全獨立，形成兩個獨立的故障包容區(qū)域，兩個產(chǎn)品的故障不會相互傳播.在AOCC內(nèi)，除 A單機、B單機之外，還設(shè)計了獨立供電的熱備份雙模硬件容錯線路，用于 AOCC與BCD的故障監(jiān)測，以及AOCC與BCD的自主冗余切換.地面可以“使能”或“禁止”硬件容錯線路的自主冗余切換功能;同時，地面通過“直接遙控”也可以直接進行AOCC和BCD的切換.熱備份雙模硬件容錯線路和“地面遙控”共同完成天宮一號目標(biāo)飛行器控制計算機的“故障監(jiān)測與切換”功能.

此外，天宮一號目標(biāo)飛行器控制計算機還采用了軟件、信息、時間冗余等多種冗余方式，但軟件、信息、時間冗余是在單機內(nèi)部實施，都建立在核心的單機硬件冗余基礎(chǔ)上.

對于控制計算機，硬件冗余容錯的方案核心是冗余模數(shù)和冗余管理策略的設(shè)計.依據(jù)天宮一號目標(biāo)飛行器控制計算機的容錯方案，AOCC加上BCD，整個控制計算機的冗余模數(shù)為3，天宮一號目標(biāo)飛行器控制計算機采用了如圖1所示的非工作儲備冗余策略，這是由于天宮一號目標(biāo)飛行器控制計算機設(shè)計在軌工作時間要求為2～3年，在目前研制的天宮一號目標(biāo)飛行器控制計算機單機失效率2000FIT水平上，非工作儲備冗余策略[4-7]更適合天宮一號目標(biāo)飛行器這種長期可靠性要求[4].

圖1 天宮一號目標(biāo)飛行器控制計算機硬件冗余結(jié)構(gòu)圖

圖2是AOCC與BCD的可靠度比較示意圖，可以看出，非工作儲備冗余方式可以大大提高天宮一號目標(biāo)飛行器AOCC和整個天宮一號目標(biāo)飛行器控制計算機系統(tǒng)的可靠度，控制計算機采用非工作儲備冗余方式是符合天宮一號目標(biāo)飛行器GNC分系統(tǒng)需求的優(yōu)選容錯方案.

圖2 AOCC與BCD可靠度比較示意圖

采用非工作儲備冗余方式，設(shè)計的關(guān)鍵在于提高故障監(jiān)測與切換裝置——容錯線路的可靠度.按照該要求，在設(shè)計天宮一號目標(biāo)飛行器控制計算機AOCC內(nèi)部容錯線路時，采用了如下兩項新的設(shè)計方案(如圖3所示):

1)將負責(zé)AOCC內(nèi)部冗余切換的故障監(jiān)測與切換裝置，與負責(zé)AOCC至BCD冗余切換的故障監(jiān)測與切換裝置分開獨立實現(xiàn)(如圖3a所示)，相比于傳統(tǒng)混合設(shè)計(如圖3b所示)，提高了整個故障監(jiān)測與切換裝置的可靠度.

2)將故障監(jiān)測與切換裝置設(shè)計為完全的熱備份雙模并聯(lián)結(jié)構(gòu)，雙模之一正常工作就可以保證故障監(jiān)測與切換功能正常完成(如圖3c所示)，在控制實現(xiàn)復(fù)雜度不過度增長的情況下，可獲得較大的系統(tǒng)可靠度收益.

圖3 故障監(jiān)測與切換裝置冗余結(jié)構(gòu)示意圖

2 硬件設(shè)計

天宮一號目標(biāo)飛行器控制計算機的硬件研制嚴格按照航天產(chǎn)品開發(fā)流程進行管理，硬件設(shè)計通過“方案設(shè)計”、“參數(shù)設(shè)計”和“容差設(shè)計”等3個設(shè)計環(huán)節(jié)，以及故障模式影響分析(FMEA，failure modes and effects analysis)等技術(shù)，有效地進行了“容錯”與“避錯”，保障了產(chǎn)品可靠度.

天宮一號目標(biāo)飛行器控制計算機硬件設(shè)計主要內(nèi)容有:

(1)采用超標(biāo)量指令集體系結(jié)構(gòu)(SPARC，scalable processor architecture)的抗輻照處理器 ERC32作為天宮一號目標(biāo)飛行器控制計算機的主處理器.

天宮一號目標(biāo)飛行器控制計算機利用了處理器的檢錯糾錯編碼(EDAC，error detection and correction)設(shè)計實現(xiàn)了全部存儲器件的抗單粒子翻轉(zhuǎn)設(shè)計，軟件在計算機空閑時刷新靜態(tài)RAM存儲器(SRAM，static random access memory)，克服單粒子翻轉(zhuǎn)對計算機正常工作的影響.

(2)采用高等級反熔絲型FPGA集成設(shè)計全部外設(shè)控制器，提高控制計算機集成度.

由于微電子技術(shù)的發(fā)展，超大規(guī)模集成電路的成熟度、可靠度已完全可以滿足航天應(yīng)用的需求.因此從單機硬件方案上，天宮一號目標(biāo)飛行器控制計算機的外設(shè)控制器與邏輯處理全部都采用FPGA設(shè)計實現(xiàn).FPGA單片對等實現(xiàn)原大量分立器件的功能，因此相應(yīng)提高了設(shè)計集成度，F(xiàn)PGA嚴格按照航天器用FPGA產(chǎn)品研制技術(shù)要求進行設(shè)計、分析與驗證，可復(fù)用IP，提高了成熟度與可靠性.

(3)軟硬件協(xié)同設(shè)計，提高控制計算機的任務(wù)吞吐率.

傳統(tǒng)的控制計算機設(shè)計是硬件優(yōu)先的原則，硬件設(shè)計完成后，再進行軟件的開發(fā).在天宮一號目標(biāo)飛行器控制計算機設(shè)計階段，加強了軟硬件的協(xié)同設(shè)計.譬如，通過軟硬件協(xié)同設(shè)計，天宮一號目標(biāo)飛行器控制計算機實現(xiàn)了快周期變化GNC遙測數(shù)據(jù)的異步慢遙測，保證每個遙測幀的數(shù)據(jù)與最近的控制周期的采樣數(shù)據(jù)一一對應(yīng).GNC分系統(tǒng)實時下傳串行遙測數(shù)據(jù)S(周期 T1，樣本數(shù)目N);軟件采集、刷新串行S數(shù)據(jù)緩存周期為T2，采集樣本數(shù)目同樣為N，并滿足條件T2＜T1，系統(tǒng)任務(wù)要求控制計算機抽樣輸出，但需確保每一下行周期T1的數(shù)據(jù)對應(yīng)為某采樣周期T2的數(shù)據(jù).控制計算機軟件采集數(shù)據(jù)，刷新PING-PONG(乒乓)內(nèi)存的緩沖區(qū)，搬移數(shù)據(jù)至雙端口RAM;硬件采集雙端口RAM對應(yīng)數(shù)據(jù)，實時輸出，確保每個下行周期T1的數(shù)據(jù)是軟件在同一個采集周期T2之內(nèi)采集的.

(4)采用低功耗器件和精巧電路實現(xiàn)容錯線路.

如前所述，提高容錯線路的可靠度是保障控制計算機可靠度的有效途徑.天宮一號目標(biāo)飛行器控制計算機容錯線路在采用雙模并聯(lián)冗余結(jié)構(gòu)，以及將負責(zé)AOCC內(nèi)部冗余切換的故障監(jiān)測與切換裝置，與負責(zé)AOCC至BCD冗余切換的故障監(jiān)測與切換裝置分開的方案外，在硬件設(shè)計上，又采用了非常簡單精巧的電路設(shè)計實現(xiàn).容錯線路設(shè)計可容忍電路與器件的常高、常低故障，單個電路與器件的常高、常低故障最多引起一次故障虛報或誤切換;單份容錯線路故障，不會影響另一份并聯(lián)工作容錯線路的故障監(jiān)測與自主切換功能;雙份容錯線路都故障，不會影響控制計算機單機的正常功能，也不會影響地面通過“遙控”切換冗余單機的功能.

此外，雙模熱備份容錯線路采用獨立供電的方案;線路全部基于成熟可靠的中小規(guī)模集成器件實現(xiàn);容錯線路簡單穩(wěn)定，整個雙份容錯線路穩(wěn)態(tài)功耗低于50mW，線路上器件受到的溫度應(yīng)力極低，在硬件設(shè)計上保證容錯線路具有極高可靠性.

3 系統(tǒng)軟件設(shè)計

如圖4所示，天宮一號目標(biāo)飛行器控制計算機軟件包括系統(tǒng)軟件和基于系統(tǒng)軟件運行的應(yīng)用軟件，本文僅介紹系統(tǒng)軟件的設(shè)計.

圖4 天宮一號目標(biāo)飛行器控制計算機軟件組成圖

天宮一號目標(biāo)飛行器控制計算機的系統(tǒng)軟件采用實時操作系統(tǒng)實現(xiàn)對系統(tǒng)資源的管理，系統(tǒng)軟件提供與硬件相關(guān)的底層函數(shù)及與應(yīng)用相關(guān)的各個系統(tǒng)服務(wù)功能，同時與硬件配合實現(xiàn)容錯功能，應(yīng)用軟件在系統(tǒng)軟件的基礎(chǔ)上運行.系統(tǒng)軟件包括控制計算機啟動時對底層硬件進行初始化的板級支持包、實時操作系統(tǒng)內(nèi)核以及與容錯應(yīng)用相關(guān)的系統(tǒng)服務(wù).

板級支持包主要完成系統(tǒng)初始化及初始上電時的自測試功能.

實時操作系統(tǒng)內(nèi)核是整個系統(tǒng)軟件的核心，天宮一號目標(biāo)飛行器控制計算機采用完全自主知識產(chǎn)權(quán)的操作系統(tǒng)產(chǎn)品 SpaceOS，穩(wěn)定可靠，SpaceOS完成如下核心功能:

1)負責(zé)對任務(wù)進行管理.控制計算機軟件被劃分為若干個任務(wù)，同時根據(jù)其重要性為每個任務(wù)賦予了一定優(yōu)先級，操作系統(tǒng)內(nèi)核根據(jù)任務(wù)優(yōu)先級調(diào)度各個任務(wù)運行;

2)負責(zé)時鐘節(jié)拍管理.控制計算機的每個任務(wù)根據(jù)需要被賦予了一定的運行時長，通過時鐘節(jié)拍來定義，操作系統(tǒng)內(nèi)核根據(jù)任務(wù)的節(jié)拍數(shù)來控制任務(wù)運行的時間，防止一個任務(wù)運行超時影響其他任務(wù)的運行，同時起到了故障隔離的作用;

3)中斷管理.保證中斷能夠按照設(shè)計的優(yōu)先級及時響應(yīng)的同時，所有任務(wù)能正常運行.

系統(tǒng)服務(wù)與控制計算機硬件配合，實現(xiàn)如下容錯和支持功能:

1)完成系統(tǒng)管理任務(wù)和空閑任務(wù).系統(tǒng)管理任務(wù)負責(zé)實時監(jiān)測每個任務(wù)的運行情況，采集每個任務(wù)的運行信息，根據(jù)這些信息設(shè)定系統(tǒng)運行情況的健康參數(shù)，同時將這些信息按預(yù)定格式編碼后通過遙測下傳.空閑任務(wù)則主要利用處理器自帶的EDAC功能，在處理器的空閑時間，以“讀”方式對存儲器進行“刷新”，防止單粒子錯誤累積;

2)對控制計算機的各級看門狗進行管理.系統(tǒng)軟件根據(jù)任務(wù)運行情況以及硬件提供的標(biāo)志采取不同的打狗策略，實現(xiàn)控制器之間的自動切換功能，以及實現(xiàn)BCD運行優(yōu)先級大于 AOCC，同時 AOCC B機運行優(yōu)先級大于A機的設(shè)計功能;

3)異常事件處理.系統(tǒng)軟件通過異常事件中斷或同步陷阱對異常事件進行管理，使系統(tǒng)能夠及時脫離異常狀態(tài)，同時異常事件信息能夠遙測下傳到地面.為了提高系統(tǒng)的可用性，最大可能保證關(guān)鍵任務(wù)順利執(zhí)行，系統(tǒng)軟件能夠根據(jù)任務(wù)運行情況對系統(tǒng)管理任務(wù)以及空閑任務(wù)等非關(guān)鍵任務(wù)進行任務(wù)功能降級甚至停止其運行;

4)提供在軌編程功能.當(dāng)控制計算機在軌運行時發(fā)生非預(yù)期的事件或發(fā)現(xiàn)軟件存在缺陷時，可以在不中斷系統(tǒng)運行的情況下，通過在軌編程實現(xiàn)程序模塊的在線替換，提高了系統(tǒng)可靠性和安全性.

此外，為進一步保證天宮一號目標(biāo)飛行器控制計算機系統(tǒng)軟件的可靠性，還采取了如下方法和手段:

1)對操作系統(tǒng)內(nèi)核變量等關(guān)鍵參數(shù)進行“三取二”多數(shù)表決存取，提高存儲器容忍單粒子反轉(zhuǎn)的能力;

2)對程序存儲器空白區(qū)填充“陷阱”指令，防止程序“跑飛”導(dǎo)致系統(tǒng)崩潰;

3)針對該款ERC32處理器，設(shè)計專用浮點單元測試程序和代碼掃描測試程序，解決了處理器芯片硬件設(shè)計缺陷，以及處理器浮點單元出廠測試不完備問題給整個計算機系統(tǒng)帶來的隱患.

天宮一號目標(biāo)飛行器控制計算機系統(tǒng)軟件按照相關(guān)航天標(biāo)準進行軟件的研制開發(fā)及管理.采用瀑布模型作為軟件項目生存周期模型，嚴格執(zhí)行“制訂開發(fā)計劃→需求分析和說明→軟件設(shè)計→程序編碼→測試及運行維護”的研制流程，每個階段進行評審與確認.天宮一號目標(biāo)飛行器控制計算機系統(tǒng)軟件通過了代碼審查、單元測試、組裝測試、確認測試、分系統(tǒng)測試、第三方評測和整器測試，軟件更改以及配置管理嚴格受控，研制過程中的問題均得到了及時解決.

4 可靠性分析驗證

在天宮一號目標(biāo)飛行器控制計算機的研制過程中，采用如圖5所示的流程，對控制計算機產(chǎn)品進行了電、熱、抗力學(xué)、抗輻照、電磁兼容性、降額和FMEA等可靠性分析工作，確保天宮一號目標(biāo)飛行器控制計算機產(chǎn)品可靠性設(shè)計符合空間環(huán)境使用要求.

圖5 控制計算機可靠性分析流程

在控制計算機抗力學(xué)環(huán)境分析中，使用有限元分析軟件對控制計算機產(chǎn)品進行了力學(xué)分析，包括靜力分析、模態(tài)分析、正弦振動響應(yīng)分析以及隨機振動響應(yīng)分析，得到了控制計算機在振動試驗條件下的響應(yīng)值，結(jié)果表明:控制計算機印制板組件基頻與整機基頻錯開，控制計算機結(jié)構(gòu)整體可靠，剛度和強度都能滿足設(shè)計要求，安全裕度計算結(jié)果滿足要求，符合天宮一號目標(biāo)飛行器GNC分系統(tǒng)可靠性設(shè)計要求.

在控制計算機熱分析中，通過熱分析仿真工具，對控制計算機穩(wěn)態(tài)工作時的工況進行了仿真，模擬各元器件的功耗分配和仿真溫度數(shù)據(jù)，在每個電路組件上放置監(jiān)測點，計算得到了整個控制計算機的熱收斂曲線和產(chǎn)品各監(jiān)測點曲線.

在控制計算機電磁兼容性分析中，遵循電磁兼容性的設(shè)計原則，借鑒國內(nèi)外航天電子設(shè)備的設(shè)計經(jīng)驗，利用電子設(shè)計自動化軟件對控制計算機進行了機箱和板級電磁兼容性分析、信號完整性分析，及時發(fā)現(xiàn)和解決了控制計算機相關(guān)電磁兼容性問題.

在控制計算機抗輻射總劑量分析中，按照近似采用六面體的計算方法，分別計算了各個方向機箱結(jié)構(gòu)和內(nèi)部器件提供的屏蔽等效鋁厚度，參考吸收輻射總劑量和屏蔽厚度的關(guān)系，用線性插值法得到了控制計算機中全部器件每個方向上的輻射總劑量和空間輻射總劑量，確認了經(jīng)過各級屏蔽后，到達控制計算機各元器件管芯的輻射總劑量在取RDM=3的情況下仍能符合設(shè)計要求.

在控制計算機降額設(shè)計時，有意降低了元器件承受的電的、熱的和機械的應(yīng)力，以降低元器件的工作失效率，提高可靠性.設(shè)計完成后，按照規(guī)定的元器件降額項目、降額等級以及降額因子選取方法，并考慮產(chǎn)品實際工作環(huán)境條件、空間輻射等因素的影響，對控制計算機進行了降額分析，確認控制計算機全部器件均進行了一級降額.

總之，通過對天宮一號目標(biāo)飛行器控制計算機產(chǎn)品的可靠性設(shè)計進行完備的仿真分析與驗證，進一步解決了控制計算機產(chǎn)品設(shè)計中潛在的問題，提高了產(chǎn)品的可靠性.

5 試驗驗證

生產(chǎn)天宮一號目標(biāo)飛行器控制計算機產(chǎn)品后，為了剔除生產(chǎn)加工缺陷和元器件的早期失效，對產(chǎn)品又進行了高低溫、力學(xué)、熱循環(huán)、熱真空、地面溫度循環(huán)、綜合環(huán)境應(yīng)力等試驗，通過環(huán)境試驗暴露了產(chǎn)品的早期故障，保證了產(chǎn)品在軌工作處于偶然故障階段.

在完成常規(guī)的鑒定、驗收試驗外，對AOCC又進行了加速壽命試驗.AOCC的加速壽命試驗是通過控制環(huán)境條件，使用溫度作為加速變量，采用恒定應(yīng)力法完成的，測試系統(tǒng)如圖6所示.通過工作環(huán)境因子加速，在地面驗證了AOCC以及整個天宮一號目標(biāo)飛行器控制計算機系統(tǒng)目前的設(shè)計可以較好滿足在軌工作壽命與可靠度要求.

圖6 控制計算機試驗測試系統(tǒng)示意圖

總之，通過環(huán)境試驗，進一步暴露了控制計算機的潛在故障，保證了控制計算機產(chǎn)品可按照預(yù)期設(shè)計模式工作.

6 結(jié)束語

本文介紹了天宮一號目標(biāo)飛行器控制計算機的設(shè)計、分析與驗證情況.分析與地面試驗驗證的結(jié)果表明:天宮一號目標(biāo)飛行器控制計算機各項功能和性能指標(biāo)滿足GNC分系統(tǒng)的要求.

在天宮一號目標(biāo)飛行器控制計算機的研制過程中，進行了如下方面的探索:

1)容錯策略:將AOCC和BCD劃分為獨立的故障包容區(qū)域，通過單機非工作儲備旁聯(lián)容錯策略，防止偶然故障，以及保證控制計算機主份工作耗損達到一定程度后，可以切換到冷備份旁聯(lián)單機工作.

2)容錯線路:將AOCC內(nèi)部冗余切換，與AOCC至BCD冗余切換的故障監(jiān)測與切換裝置分開獨立實現(xiàn);采用完全獨立的熱備份雙模并聯(lián)實現(xiàn)容錯線路.目前該設(shè)計已推廣應(yīng)用于多個型號，均工作正常.

3)FPGA設(shè)計:天宮一號目標(biāo)飛行器控制計算機將控制計算機的全部外設(shè)與控制邏輯采用FPGA集成實現(xiàn)，F(xiàn)PGA硬件分擔(dān)軟件通信功能，較大幅度地提高了控制計算機的實時吞吐率.同時天宮一號目標(biāo)飛行器控制計算機的FPGA設(shè)計還推廣應(yīng)用到神舟八號飛船等型號產(chǎn)品，均工作正常.

4)ERC32處理器應(yīng)用:通過天宮一號目標(biāo)飛行器控制計算機研制，發(fā)現(xiàn)并證實了該款ERC32處理器存在的多個硬件設(shè)計缺陷.同時，針對該款ERC32處理器，設(shè)計了專用浮點單元測試程序和代碼掃描測試程序，解決了該處理器芯片硬件設(shè)計缺陷，以及處理器浮點單元出廠測試不完備問題給整個計算機系統(tǒng)帶來的隱患，為后續(xù)基于該款ERC32處理器控制計算機的產(chǎn)品研制打下了良好基礎(chǔ).

5)通用處理器模塊:依托天宮一號目標(biāo)飛行器控制計算機，研制了該款ERC32處理器的標(biāo)準CPU模塊，目前已應(yīng)用于多個型號產(chǎn)品，均在軌工作正常.

6)可靠性一體化分析:在天宮一號目標(biāo)飛行器控制計算機研制中，基于可靠性一體化平臺，首次基于流程驅(qū)動，對控制計算機產(chǎn)品進行了抗力學(xué)環(huán)境、熱、降額等可靠性的一體化分析.

7)加速壽命試驗:進行了控制計算機產(chǎn)品的首次壽命試驗，得到的相關(guān)試驗數(shù)據(jù)，為今后探索控制計算機故障模式獲得了寶貴數(shù)據(jù).

天宮一號目標(biāo)飛行器控制計算機上述工作為后續(xù)控制計算機產(chǎn)品的研制提供了有益參考.

[1] Speer D， Jackson G，Raphael D.Flight computer design for the space technology 5(ST-5)mission[C].2002 IEEE Aerospace Conference， Big Sky， Montana， March 9-16，2002

[2] Yelverton J N.Sustaining state-of-the-art technology in space processor systems[C].AIAA Space Programs and Technologies Conference， Huntsville， AL， March 24-27，1992

[3] Coo D.Advanced flight computer，special study final report[R].NASA CR-198165，1995

[4] 李海泉，李剛.系統(tǒng)可靠性分析與設(shè)計[M].北京:科學(xué)出版社，2003

[5] 楊孟飛，郭樹玲，孫增沂.航天器控制應(yīng)用的星載計算機技術(shù) [J].航天控制，2005，23(2):69-73

[6] Yen I L，Ahmed I， Jagannath R，et al.Implementation of a custom izable fault tolerance framework[C].The First IEEE International Symposium on Object-oriented Real-Time Distributed Computing， Kyoto， Japan， April 20-22，1998

[7] Gomez D，Schonfeld C.Architecture and implementation for a high reliability long-term mission space computer[C].IEEE/AIAA 11th Digital Avionics Systems Conference， Seattle， October 5-8， 1992

Design and Verification of Control Com puter for Tiangong-1 Spacecraft

LIU Bo， LIN Yu， PENG Fei， XIE Qiong， WANG Guoliang(Beijing Institute of Control Engineering， Beijing 100190， China)

Compared with the Shenzhou spaceship’s orbit capsule， the Tiangong-1 spacecraft puts forward higher requirements for control computer in function，performance and environmental suitability.According to these new requirements， fault-tolerant scheme， hardware design， system software design， reliability analysis and test verification of control computer are described in this paper，ground demonstration results validate that the design of control computer for Tiangong-1 spacecraft fulfills the requirements for its GNC subsystem.

Tiangong-1 spacecraft;control computer;redundancy;fault-tolerant

TP39

A

1674-1579(2011)06-0028-06

10.3969/j.issn.1674-1579.2011.06.005

2011-09-16

劉 波(1977—)，男，湖南人，高級工程師，研究方向為容錯計算技術(shù)(e-mail:Liub@bice.org.cn).