劉欣 朱劍冰 郝維寧

(北京空間飛行器總體設計部，北京 100094)

隨著國內外航天技術的不斷發(fā)展，航天器功能更強大、系統(tǒng)更復雜，出現了很多大規(guī)模的航天器，如“國際空間站”、美國毅力號火星探測器，中國天問一號火星探測器、中國空間站等。隨之而來的，航天器所運行的軟件在其中發(fā)揮了越來越重要的作用，軟件的規(guī)模和復雜性迅速提高。由于復雜軟件具有耦合性高、規(guī)模大的特點，軟件本身的固有可靠性難免會隨之降低[1]，這與航天任務要求的高可靠性相矛盾。2000年“火星極地著陸器”(MPL)因為軟件過早關閉下降引擎，造成著陸器在降落時墜毀[2]；2019年12月波音公司載人飛船Starliner在入軌后因軟件故障未能按正常飛行程序執(zhí)行預訂的軌道切入機動操作，與“國際空間站”對接任務失敗，被迫提前返回[3]。

為滿足宇航任務對航天器軟件提出的高可靠要求，一方面通過優(yōu)化軟件本身設計實現，包括采用更好的分層結構以減少軟件內部的耦合、使用標準的接口協(xié)議提高模塊的通用性、應用更多的成熟軟件構件降低代碼的復雜性[4]等；另一方面，結合實際飛行任務和航天器系統(tǒng)級的可靠性設計，軟件有效的支撐這些可靠性設計措施得以完整且合理的實現，通過這方面共同的作用以達到整體的最優(yōu)化。

空間站作為超大型的復雜航天器，由于其系統(tǒng)規(guī)模大、信息網絡復雜、功能繁多、產品數量多，并且需要長期在軌運行，對軟件能力提出了新的挑戰(zhàn)。站載數管分系統(tǒng)(On-board Data Handle Subsystem, OBDH)是空間站信息處理和自主健康管理的核心，通過軟件實現整站系統(tǒng)級任務處理、信息管理和自主健康管理功能。針對空間站任務的實際需要，數管軟件為支持復雜總線網絡管理功能和系統(tǒng)級各種在軌運行和安全策略的實現，在軟件架構、任務分級調度、總線并行調度等方面開展了大量的研究工作，提出了實現方案。本文介紹了數據管理軟件為提升軟件自身可靠性以及支撐系統(tǒng)級可靠性的具體設計方法，文中描述的全部研究工作和成果均具備良好的適用性，已經在具體項目中得到實現，且服務于在軌應用。

1 空間站數據管理軟件關鍵特征分析

空間站核心艙是目前國內規(guī)模最大的航天器，中國空間站最終將建設180 t級的組合體，其設備數量多、網絡節(jié)點多、內部數據量大、交互路徑復雜。同時，空間站任務對可靠性要求極高，冗余設計多，軟件要支持多鏈路上行控制、以及多鏈路的下行遙測輸出，避免一個或者多個鏈路故障情況下地面系統(tǒng)失去對空間站的控制和監(jiān)視能力。數管分系統(tǒng)是空間站整站信息流的樞紐和數據信息交互的核心，數據管理軟件任務需求特點如下。

(1)總線網絡信息節(jié)點多、數據類型多、數據量大，數管軟件需支持復雜總線網絡管理能力。

以空間站核心艙為例，如圖1所示，整艙信息系統(tǒng)分為三層總線架構，實現26條1553B總線管理。數管核心處理單元是數據管理軟件運行載體，作為總線網絡的主控制器位于第一層，負責整站信息管理；核心處理單元通過一級總線實現對整艙60多個第二層節(jié)點設備的數據通信管理，這些節(jié)點設備包括了各分系統(tǒng)的控制器；再經由各分系統(tǒng)控制器通過二級總線實現第三層節(jié)點設備的數據通信，節(jié)點數量超過160個。傳輸的數據內容涵蓋了遙測、注入數據、指令、軟件維護數據、軌道數據、定位數據、時間數據、顯示報警信息、空空交互數據、?？匡w行器狀態(tài)數據、關鍵生理狀態(tài)信息等，總線傳輸的總數據量超過4 Mbit/s?？臻g站1553B總線網絡復雜度、終端數量、數據流量都是國內航天器之最。

(2)具有多鏈路天地通信能力，數管軟件需支持多通道、多類型的遙測數據組織下行能力。

為提高系統(tǒng)級的可靠性，天地鏈路設計實現了多種冗余措施，支持整站各類信息資源的可靠下行。數管軟件負責整站全部遙測數據的采集、組織和下行控制，要實現對中繼Ka波束、中繼窄S波束、中繼寬S波束、地基S波束等下行鏈路實現不同內容、不同速率、不同調度周期的遙測數據組織和下行，同時保證數據內容的正確性、完整性以及良好的同步性，給軟件提出了很高的要求。以核心艙為例，各鏈路遙測信息具體如表1所示。

表1 核心艙遙測下行鏈路信息

(3)基于空間站15年運行和擴展需求，數管軟件需支持易用易維護的飛行程序管理能力。

空間站在軌運行管理由數管分系統(tǒng)按照地面預先注入的指令序列執(zhí)行，指令序列由若干信息節(jié)點構成，信息節(jié)點是帶有時間標記的指令或指令組，其中指令組本身也是指令序列?？臻g站在軌運行期間，會預先存儲幾小時到幾天不等的指令序列，該序列會由地面根據飛行軌道信息和未來的工作事件進行迭代更新，數管軟件將指令序列中的各條指令和指令組按照指定的時間執(zhí)行。飛行程序管理功能包括待發(fā)指令序列的新增、刪除和更新，指令組的新增、刪除和修改，指令組和待發(fā)指令序列的恢復等，在保證準確、準時的前提下，考慮到在軌15年運營期間操作便利性、擴展性需求，需要提供便利的地面操作接口以及一鍵式恢復能力。

(4)空間站長期在軌穩(wěn)定工作，數管軟件需支持可擴展的自主健康管理能力。

復雜航天器長期在軌運行，難免會出現故障，一方面要通過提高自身可靠性減少故障的發(fā)生，另一方面，當出現故障時要具備快速處置和恢復能力。較早期的航天器，更多是依賴地面系統(tǒng)實現對在軌工作狀態(tài)的監(jiān)視，出現故障由地面人員進行識別、決策和處置。這種方式會造成故障處置時間變長，增加了因處置不及時造成難以挽回后果的可能性。對此，數管分系統(tǒng)要支持對典型故障的在軌自動處置能力，通過對各類工作狀態(tài)的監(jiān)視，發(fā)現故障并識別故障類型，自主進行故障處置。

2 軟件架構研究

2.1 基于標準體系的軟件分層架構

對于大規(guī)模的復雜嵌入式軟件，分層設計可減少各層次模塊間的依賴性、提高軟件復用性，是提高軟件質量的有效措施[5]。將軟件分層架構的實現思想應用于本軟件，整個軟件劃分為應用層，中間件層和硬件接口層，采用這種分層方式可以降低不同分層間的耦合性，便捷地使用新的實現替換本層中原有的功能，空間站任務工作模式多、模式組合復雜、需求迭代升級多，這種分層設計方式尤為重要，而且分層有利于各層內部模塊的復用，可有效提高代碼的復用率，提高軟件的開發(fā)效率和質量[6]。

如圖2所示，應用層實現數管軟件的功能性任務，包括遙測組織、遙控處理、程控、飛行管理、總線管理等功能，采用優(yōu)先級調度方式，對不同任務按不同優(yōu)先級進行處理。中間件層主要為應用層提供算法支持、數據支持、網絡支持，主要包括通用算法庫、網絡協(xié)議棧、嵌入式數據庫等，其中網絡協(xié)議棧參照CCSDS標準約定進一步劃分為支持層、網絡層和子網層[7]。硬件接口層要完成通用設備驅動程序實現和操作系統(tǒng)接口調用等。

圖2 數管軟件分層架構

2.2 基于進程優(yōu)先級調度實現高效處理

通過對數管軟件的需求分析后可知，除飛行狀態(tài)管理、時間碼輸出具有很高的實時性要求外，其他功能的實時性要求相對較低，但對處理器資源占用率高，因此數管軟件就需要在保證少量任務的高實時性基礎上盡量提高處理器運行效率，減少資源浪費，這也是數管軟件要解決的主要問題之一。

根據任務特點，按照事件觸發(fā)、固定周期觸發(fā)、空閑循環(huán)啟動3種方式執(zhí)行不同任務：將強實時性要求的任務設置為事件觸發(fā)，例如飛行狀態(tài)管理任務；對于周期性任務、但實時性要求不高的，設置為周期觸發(fā)方式執(zhí)行，例如程控任務等；對于占用處理器機時多、需最大化利用處理器資源的任務則采用空閑循環(huán)啟動方式執(zhí)行，例如總線管理任務。軟件設計過程中考慮任務重要程度和實時性要求，設置任務的不同優(yōu)先級，便于任務執(zhí)行的動態(tài)調度。這種設計相對于將全部任務均按照固定節(jié)拍運行的設計，對減少處理器機時浪費、提高工作效率優(yōu)勢明顯，缺點是時間確定性有所降低[8]，是適合于數管軟件特點的實現方式。數管軟件的任務調度設計如表2所示。

表2 數管軟件任務分類

續(xù) 表

3 軟件關鍵技術研究

3.1 多總線、多終端的并行高效調度方法

核心艙數管軟件需直接實現6條總線通信管理和數據調度；傳統(tǒng)的總線控制功能設計，應用層軟件直接操作1553B總線芯片，每次總線通信啟動后，處理器均需要等待本次總線通信完成才能處理后續(xù)任務，這種方式對多總線、多終端、大數據量的總線管理任務，會造成總線通信效率低、處理器機時占用高的問題。

因此，本文基于軟件分層架構和優(yōu)先級設計方法提出了異步分時處理的實現思路。應用層的任務，如遙測任務、遙控任務、程控任務等，負責生成總線通信內容，形成總線消息隊列。每一個消息隊列對應一個總線管理任務，進而對應一條總線。總線管理任務1啟動后，先查詢總線消息隊列1有沒有需要發(fā)送的消息塊，如有則啟動總線1發(fā)送，然后開啟任務阻塞，將該總線任務阻塞掉，總線1通信由后臺依據消息隊列執(zhí)行，不需要軟件參與。總線1通信啟動后，軟件可繼續(xù)查詢總線2是否有需要發(fā)送的消息塊，重復上述操作，直至6路總線全部輪詢完畢。在總線通信過程中，應用層的各任務也在同步產生后續(xù)總線消息隊列，這樣當總線芯片接到返回總線消息塊發(fā)送完成的狀態(tài)字后，數管軟件就可以啟動下一次總線管理任務，查詢是否還有消息塊需要發(fā)送，總線1～6依次執(zhí)行，重復上述過程。

圖3是數管軟件應用層的多個任務組織總線消息隊列，6個總線任務并行運行的示意圖，實現原理基于優(yōu)先級調度策略，由遙測任務、遙控任務、程控任務產生總線數據，按通信協(xié)議生成各類總線消息數據塊，并將數據塊插入總線消息待發(fā)隊列中，各總線任務負責從隊列中取出對應的消息塊，執(zhí)行總線發(fā)送過程。為了最大化利用處理器資源，在啟動消息發(fā)送，等待消息回執(zhí)過程中，阻塞本路總線任務，總線任務處于阻塞狀態(tài)后，應用層的其他任務可以正常運行，且可以執(zhí)行新的總線消息插塊工作，生成新的總線消息待發(fā)鏈表，這樣可以讓總線消息發(fā)送和應用層任務并行開展，減少等待時長，有效提高軟件運行效率。

圖3 多總線并行調度

3.2 基于訂閱發(fā)布的遙測數據分發(fā)技術

針對第1節(jié)描述的7種遙測類型，整站的遙測數據由各總線終端按照空間數據系統(tǒng)咨詢委員會(CCSDS)的定義封裝為協(xié)議數據單元(E-PDU)，按照內容以應用過程標識(Application Process ID，APID)區(qū)分工程遙測E-PDU和常規(guī)遙測E-PDU兩類。數管軟件通過總線任務獲取到全部E-PDU后，保存在本地緩存，形成遙測數據池，軟件按照一定的調度策略挑選需要下傳的E-PDU進行組織，生成多路復用協(xié)議數據單元(M-PDU)，進而包裝為虛擬信道單元(VCDU)，用于下行輸出。在軟件中采用訂閱-發(fā)布模型(Subscription Publication Model, Sub-Pub Model)的實現方法用于遙測功能設計，非常適合對象間一對多的關系[9]，可支持本軟件多類遙測數據下行的實現。

在數據訂閱業(yè)務中，分別訂閱7種遙測類型對應的遙測數據E-PDU，生成對應的下行遙測幀。為保證數據完整性，在總線管理任務更新E-PDU數據池時，禁止訂閱業(yè)務向數據池獲取遙測數據。數據發(fā)布業(yè)務，將不同類型的遙測數據幀分別按照周期性調度或消息觸發(fā)式響應的方式輸出。遙測數據訂閱-發(fā)布流程如圖4所示。

圖4 遙測組織流程

3.3 基于輕量文件系統(tǒng)的飛行程序管理方法

數管分系統(tǒng)負責空間站飛行程序的管理和執(zhí)行，為實現飛行程序中待發(fā)指令序列和指令組的可靠維護，便于地面操作和快速恢復，將飛行程序中管理的指令組和待發(fā)指令序列均以文件系統(tǒng)的形式進行管理。軟件運行時將其加載到動態(tài)鏈表中執(zhí)行，指令和指令組都是鏈表中的節(jié)點，通過鏈表中節(jié)點的增、減、變更實現待發(fā)指令序列的新增、刪除和更新。

使用傳統(tǒng)的地面計算機的文件系統(tǒng)對飛行程序進行管理，如JFFS[10]、YAFFS[11]等，數據結構過于復雜，需要大量的處理器計算資源，難免會占用大量內存建立文件系統(tǒng)節(jié)點樹。但對于數管軟件運行的物理平臺，其處理器芯片能力受限、內存空間不足，難以支持完整文件系統(tǒng)的在軌實現。

因此，設計實現了輕量化的文件系統(tǒng)，將指令組、待發(fā)指令序列的內容獨立于軟件編譯后的可執(zhí)行代碼進行存儲，通過首指針和偏移量對指令序列進行查找，由軟件代碼將其搬移到內存區(qū)的獨立空間，當地面更新指令組、待發(fā)指令序列時，直接對該內存區(qū)的鏈表內容進行增加、刪除、修改操作，如需新增新的指令組，只需要在該內存區(qū)后面進行增加新的鏈表即可。在內存分配時，提前預留擴展空間，支持后續(xù)待發(fā)指令序列節(jié)點的增加以及指令組擴充。

3.4 基于PUS應用的自主健康管理方法

基于空間數據系統(tǒng)咨詢委員會(CCSDS)定義的遙測數據鏈路協(xié)議、遙控數據鏈路協(xié)議、高級在軌系統(tǒng)、鄰近空問鏈路協(xié)議四種標準，歐洲航天局(ESA)對遙控遙測的標準化進行研究，形成了遙測遙控包應用標準(Packet Utilization Standard, PUS)，并在包括“火星快車”(Mars Express)在內的多個航天器中得到應用[12]。

PUS定義了16種業(yè)務類型，其中的三項業(yè)務：在軌監(jiān)視業(yè)務、事件報告業(yè)務和操作調度業(yè)務，可以很好地完成航天器在軌故障監(jiān)視和自主處置過程，其中在軌監(jiān)視業(yè)務可以根據遙測參數的門限閾值、期望值、偏差閾值、更新頻度等多種規(guī)則對遙測參數值進行實時監(jiān)視，監(jiān)測到參數超出設定規(guī)則后可以通過事件報告業(yè)務發(fā)出異常報告，并且利用操作調度業(yè)務實時觸發(fā)自主處理指令序列，將在軌異常及時處理。

為保證空間站在軌運行安全，針對在軌重大故障的快速應對需求，數管軟件實現了典型故障的自主處置。軟件基于PUS協(xié)議實現，該功能包括信息監(jiān)測子模塊、知識庫管理子模塊、異常處置子模塊、信息反饋子模塊，如圖5所示。

圖5 自主故障處理模塊組成

基于PUS協(xié)議實現的這些監(jiān)視規(guī)則、事件報告、操作指令、以及事件與指令關聯關系均支持通用化方式的在軌修改，整套機制具有較強的靈活性和通用性，其中知識管理子模塊采用已有的軟件構件實現，上層應用只需要調用構件函數接口即可。該設計已應用于在軌單母線掉電自主診斷、關鍵單機運行異常診斷等功能，后續(xù)隨著空間站長期運行的需求，可以在軌增加新的診斷策略，并實現靈活的配置。不僅局限于此，該設計也可以在各類航天器上進行推廣，具有非常好的擴展性。

4 應用與驗證情況

空間站數管分系統(tǒng)核心處理單元軟件已按照本文研究的實現方法完成了數據管理軟件的設計、開發(fā)工作，軟件運行的硬件平臺采用BM3803處理器，運行主頻100 MHz，配置1 Mbyte的EEPROM存儲器、8 Mbyte SRAM存儲器。該軟件按照在軌任務的需求，實現了空間站核心艙的總線網絡管理、遙測組織下行、飛行程序管理、自主故障管理，并完成了在軌飛行應用。

軟件實現的主要指標如表3所示。

表3 核心艙數管軟件主要指標

5 結束語

隨著空間站核心艙成功在軌飛行，我國將持續(xù)建造空間站組合體，并長期在軌運營，用于后續(xù)各項空間科學任務的開展，數管軟件可持續(xù)支持單艙、組合體以及后續(xù)擴展艙段的運行需求，軟件在實現系統(tǒng)高可靠性的前提下，通過合理的分層結構劃分并應用大量通用軟件構件，采用可擴展的文件系統(tǒng)和PUS協(xié)議支持的業(yè)務類型，可方便地實現功能擴充，為未來空間站在軌進一步擴展提供了便利。