劉欣 朱劍冰 郝維寧

(北京空間飛行器總體設(shè)計部，北京 100094)

隨著國內(nèi)外航天技術(shù)的不斷發(fā)展，航天器功能更強大、系統(tǒng)更復(fù)雜，出現(xiàn)了很多大規(guī)模的航天器，如“國際空間站”、美國毅力號火星探測器，中國天問一號火星探測器、中國空間站等。隨之而來的，航天器所運行的軟件在其中發(fā)揮了越來越重要的作用，軟件的規(guī)模和復(fù)雜性迅速提高。由于復(fù)雜軟件具有耦合性高、規(guī)模大的特點，軟件本身的固有可靠性難免會隨之降低[1]，這與航天任務(wù)要求的高可靠性相矛盾。2000年“火星極地著陸器”(MPL)因為軟件過早關(guān)閉下降引擎，造成著陸器在降落時墜毀[2]；2019年12月波音公司載人飛船Starliner在入軌后因軟件故障未能按正常飛行程序執(zhí)行預(yù)訂的軌道切入機動操作，與“國際空間站”對接任務(wù)失敗，被迫提前返回[3]。

為滿足宇航任務(wù)對航天器軟件提出的高可靠要求，一方面通過優(yōu)化軟件本身設(shè)計實現(xiàn)，包括采用更好的分層結(jié)構(gòu)以減少軟件內(nèi)部的耦合、使用標(biāo)準(zhǔn)的接口協(xié)議提高模塊的通用性、應(yīng)用更多的成熟軟件構(gòu)件降低代碼的復(fù)雜性[4]等；另一方面，結(jié)合實際飛行任務(wù)和航天器系統(tǒng)級的可靠性設(shè)計，軟件有效的支撐這些可靠性設(shè)計措施得以完整且合理的實現(xiàn)，通過這方面共同的作用以達(dá)到整體的最優(yōu)化。

空間站作為超大型的復(fù)雜航天器，由于其系統(tǒng)規(guī)模大、信息網(wǎng)絡(luò)復(fù)雜、功能繁多、產(chǎn)品數(shù)量多，并且需要長期在軌運行，對軟件能力提出了新的挑戰(zhàn)。站載數(shù)管分系統(tǒng)(On-board Data Handle Subsystem, OBDH)是空間站信息處理和自主健康管理的核心，通過軟件實現(xiàn)整站系統(tǒng)級任務(wù)處理、信息管理和自主健康管理功能。針對空間站任務(wù)的實際需要，數(shù)管軟件為支持復(fù)雜總線網(wǎng)絡(luò)管理功能和系統(tǒng)級各種在軌運行和安全策略的實現(xiàn)，在軟件架構(gòu)、任務(wù)分級調(diào)度、總線并行調(diào)度等方面開展了大量的研究工作，提出了實現(xiàn)方案。本文介紹了數(shù)據(jù)管理軟件為提升軟件自身可靠性以及支撐系統(tǒng)級可靠性的具體設(shè)計方法，文中描述的全部研究工作和成果均具備良好的適用性，已經(jīng)在具體項目中得到實現(xiàn)，且服務(wù)于在軌應(yīng)用。

1 空間站數(shù)據(jù)管理軟件關(guān)鍵特征分析

空間站核心艙是目前國內(nèi)規(guī)模最大的航天器，中國空間站最終將建設(shè)180 t級的組合體，其設(shè)備數(shù)量多、網(wǎng)絡(luò)節(jié)點多、內(nèi)部數(shù)據(jù)量大、交互路徑復(fù)雜。同時，空間站任務(wù)對可靠性要求極高，冗余設(shè)計多，軟件要支持多鏈路上行控制、以及多鏈路的下行遙測輸出，避免一個或者多個鏈路故障情況下地面系統(tǒng)失去對空間站的控制和監(jiān)視能力。數(shù)管分系統(tǒng)是空間站整站信息流的樞紐和數(shù)據(jù)信息交互的核心，數(shù)據(jù)管理軟件任務(wù)需求特點如下。

(1)總線網(wǎng)絡(luò)信息節(jié)點多、數(shù)據(jù)類型多、數(shù)據(jù)量大，數(shù)管軟件需支持復(fù)雜總線網(wǎng)絡(luò)管理能力。

以空間站核心艙為例，如圖1所示，整艙信息系統(tǒng)分為三層總線架構(gòu)，實現(xiàn)26條1553B總線管理。數(shù)管核心處理單元是數(shù)據(jù)管理軟件運行載體，作為總線網(wǎng)絡(luò)的主控制器位于第一層，負(fù)責(zé)整站信息管理；核心處理單元通過一級總線實現(xiàn)對整艙60多個第二層節(jié)點設(shè)備的數(shù)據(jù)通信管理，這些節(jié)點設(shè)備包括了各分系統(tǒng)的控制器；再經(jīng)由各分系統(tǒng)控制器通過二級總線實現(xiàn)第三層節(jié)點設(shè)備的數(shù)據(jù)通信，節(jié)點數(shù)量超過160個。傳輸?shù)臄?shù)據(jù)內(nèi)容涵蓋了遙測、注入數(shù)據(jù)、指令、軟件維護(hù)數(shù)據(jù)、軌道數(shù)據(jù)、定位數(shù)據(jù)、時間數(shù)據(jù)、顯示報警信息、空空交互數(shù)據(jù)、?？匡w行器狀態(tài)數(shù)據(jù)、關(guān)鍵生理狀態(tài)信息等，總線傳輸?shù)目倲?shù)據(jù)量超過4 Mbit/s?？臻g站1553B總線網(wǎng)絡(luò)復(fù)雜度、終端數(shù)量、數(shù)據(jù)流量都是國內(nèi)航天器之最。

(2)具有多鏈路天地通信能力，數(shù)管軟件需支持多通道、多類型的遙測數(shù)據(jù)組織下行能力。

為提高系統(tǒng)級的可靠性，天地鏈路設(shè)計實現(xiàn)了多種冗余措施，支持整站各類信息資源的可靠下行。數(shù)管軟件負(fù)責(zé)整站全部遙測數(shù)據(jù)的采集、組織和下行控制，要實現(xiàn)對中繼Ka波束、中繼窄S波束、中繼寬S波束、地基S波束等下行鏈路實現(xiàn)不同內(nèi)容、不同速率、不同調(diào)度周期的遙測數(shù)據(jù)組織和下行，同時保證數(shù)據(jù)內(nèi)容的正確性、完整性以及良好的同步性，給軟件提出了很高的要求。以核心艙為例，各鏈路遙測信息具體如表1所示。

表1 核心艙遙測下行鏈路信息

(3)基于空間站15年運行和擴(kuò)展需求，數(shù)管軟件需支持易用易維護(hù)的飛行程序管理能力。

空間站在軌運行管理由數(shù)管分系統(tǒng)按照地面預(yù)先注入的指令序列執(zhí)行，指令序列由若干信息節(jié)點構(gòu)成，信息節(jié)點是帶有時間標(biāo)記的指令或指令組，其中指令組本身也是指令序列?？臻g站在軌運行期間，會預(yù)先存儲幾小時到幾天不等的指令序列，該序列會由地面根據(jù)飛行軌道信息和未來的工作事件進(jìn)行迭代更新，數(shù)管軟件將指令序列中的各條指令和指令組按照指定的時間執(zhí)行。飛行程序管理功能包括待發(fā)指令序列的新增、刪除和更新，指令組的新增、刪除和修改，指令組和待發(fā)指令序列的恢復(fù)等，在保證準(zhǔn)確、準(zhǔn)時的前提下，考慮到在軌15年運營期間操作便利性、擴(kuò)展性需求，需要提供便利的地面操作接口以及一鍵式恢復(fù)能力。

(4)空間站長期在軌穩(wěn)定工作，數(shù)管軟件需支持可擴(kuò)展的自主健康管理能力。

復(fù)雜航天器長期在軌運行，難免會出現(xiàn)故障，一方面要通過提高自身可靠性減少故障的發(fā)生，另一方面，當(dāng)出現(xiàn)故障時要具備快速處置和恢復(fù)能力。較早期的航天器，更多是依賴地面系統(tǒng)實現(xiàn)對在軌工作狀態(tài)的監(jiān)視，出現(xiàn)故障由地面人員進(jìn)行識別、決策和處置。這種方式會造成故障處置時間變長，增加了因處置不及時造成難以挽回后果的可能性。對此，數(shù)管分系統(tǒng)要支持對典型故障的在軌自動處置能力，通過對各類工作狀態(tài)的監(jiān)視，發(fā)現(xiàn)故障并識別故障類型，自主進(jìn)行故障處置。

2 軟件架構(gòu)研究

2.1 基于標(biāo)準(zhǔn)體系的軟件分層架構(gòu)

對于大規(guī)模的復(fù)雜嵌入式軟件，分層設(shè)計可減少各層次模塊間的依賴性、提高軟件復(fù)用性，是提高軟件質(zhì)量的有效措施[5]。將軟件分層架構(gòu)的實現(xiàn)思想應(yīng)用于本軟件，整個軟件劃分為應(yīng)用層，中間件層和硬件接口層，采用這種分層方式可以降低不同分層間的耦合性，便捷地使用新的實現(xiàn)替換本層中原有的功能，空間站任務(wù)工作模式多、模式組合復(fù)雜、需求迭代升級多，這種分層設(shè)計方式尤為重要，而且分層有利于各層內(nèi)部模塊的復(fù)用，可有效提高代碼的復(fù)用率，提高軟件的開發(fā)效率和質(zhì)量[6]。

如圖2所示，應(yīng)用層實現(xiàn)數(shù)管軟件的功能性任務(wù)，包括遙測組織、遙控處理、程控、飛行管理、總線管理等功能，采用優(yōu)先級調(diào)度方式，對不同任務(wù)按不同優(yōu)先級進(jìn)行處理。中間件層主要為應(yīng)用層提供算法支持、數(shù)據(jù)支持、網(wǎng)絡(luò)支持，主要包括通用算法庫、網(wǎng)絡(luò)協(xié)議棧、嵌入式數(shù)據(jù)庫等，其中網(wǎng)絡(luò)協(xié)議棧參照CCSDS標(biāo)準(zhǔn)約定進(jìn)一步劃分為支持層、網(wǎng)絡(luò)層和子網(wǎng)層[7]。硬件接口層要完成通用設(shè)備驅(qū)動程序?qū)崿F(xiàn)和操作系統(tǒng)接口調(diào)用等。

圖2 數(shù)管軟件分層架構(gòu)

2.2 基于進(jìn)程優(yōu)先級調(diào)度實現(xiàn)高效處理

通過對數(shù)管軟件的需求分析后可知，除飛行狀態(tài)管理、時間碼輸出具有很高的實時性要求外，其他功能的實時性要求相對較低，但對處理器資源占用率高，因此數(shù)管軟件就需要在保證少量任務(wù)的高實時性基礎(chǔ)上盡量提高處理器運行效率，減少資源浪費，這也是數(shù)管軟件要解決的主要問題之一。

根據(jù)任務(wù)特點，按照事件觸發(fā)、固定周期觸發(fā)、空閑循環(huán)啟動3種方式執(zhí)行不同任務(wù)：將強實時性要求的任務(wù)設(shè)置為事件觸發(fā)，例如飛行狀態(tài)管理任務(wù)；對于周期性任務(wù)、但實時性要求不高的，設(shè)置為周期觸發(fā)方式執(zhí)行，例如程控任務(wù)等；對于占用處理器機時多、需最大化利用處理器資源的任務(wù)則采用空閑循環(huán)啟動方式執(zhí)行，例如總線管理任務(wù)。軟件設(shè)計過程中考慮任務(wù)重要程度和實時性要求，設(shè)置任務(wù)的不同優(yōu)先級，便于任務(wù)執(zhí)行的動態(tài)調(diào)度。這種設(shè)計相對于將全部任務(wù)均按照固定節(jié)拍運行的設(shè)計，對減少處理器機時浪費、提高工作效率優(yōu)勢明顯，缺點是時間確定性有所降低[8]，是適合于數(shù)管軟件特點的實現(xiàn)方式。數(shù)管軟件的任務(wù)調(diào)度設(shè)計如表2所示。

表2 數(shù)管軟件任務(wù)分類

續(xù) 表

3 軟件關(guān)鍵技術(shù)研究

3.1 多總線、多終端的并行高效調(diào)度方法

核心艙數(shù)管軟件需直接實現(xiàn)6條總線通信管理和數(shù)據(jù)調(diào)度；傳統(tǒng)的總線控制功能設(shè)計，應(yīng)用層軟件直接操作1553B總線芯片，每次總線通信啟動后，處理器均需要等待本次總線通信完成才能處理后續(xù)任務(wù)，這種方式對多總線、多終端、大數(shù)據(jù)量的總線管理任務(wù)，會造成總線通信效率低、處理器機時占用高的問題。

因此，本文基于軟件分層架構(gòu)和優(yōu)先級設(shè)計方法提出了異步分時處理的實現(xiàn)思路。應(yīng)用層的任務(wù)，如遙測任務(wù)、遙控任務(wù)、程控任務(wù)等，負(fù)責(zé)生成總線通信內(nèi)容，形成總線消息隊列。每一個消息隊列對應(yīng)一個總線管理任務(wù)，進(jìn)而對應(yīng)一條總線。總線管理任務(wù)1啟動后，先查詢總線消息隊列1有沒有需要發(fā)送的消息塊，如有則啟動總線1發(fā)送，然后開啟任務(wù)阻塞，將該總線任務(wù)阻塞掉，總線1通信由后臺依據(jù)消息隊列執(zhí)行，不需要軟件參與。總線1通信啟動后，軟件可繼續(xù)查詢總線2是否有需要發(fā)送的消息塊，重復(fù)上述操作，直至6路總線全部輪詢完畢。在總線通信過程中，應(yīng)用層的各任務(wù)也在同步產(chǎn)生后續(xù)總線消息隊列，這樣當(dāng)總線芯片接到返回總線消息塊發(fā)送完成的狀態(tài)字后，數(shù)管軟件就可以啟動下一次總線管理任務(wù)，查詢是否還有消息塊需要發(fā)送，總線1～6依次執(zhí)行，重復(fù)上述過程。

圖3是數(shù)管軟件應(yīng)用層的多個任務(wù)組織總線消息隊列，6個總線任務(wù)并行運行的示意圖，實現(xiàn)原理基于優(yōu)先級調(diào)度策略，由遙測任務(wù)、遙控任務(wù)、程控任務(wù)產(chǎn)生總線數(shù)據(jù)，按通信協(xié)議生成各類總線消息數(shù)據(jù)塊，并將數(shù)據(jù)塊插入總線消息待發(fā)隊列中，各總線任務(wù)負(fù)責(zé)從隊列中取出對應(yīng)的消息塊，執(zhí)行總線發(fā)送過程。為了最大化利用處理器資源，在啟動消息發(fā)送，等待消息回執(zhí)過程中，阻塞本路總線任務(wù)，總線任務(wù)處于阻塞狀態(tài)后，應(yīng)用層的其他任務(wù)可以正常運行，且可以執(zhí)行新的總線消息插塊工作，生成新的總線消息待發(fā)鏈表，這樣可以讓總線消息發(fā)送和應(yīng)用層任務(wù)并行開展，減少等待時長，有效提高軟件運行效率。

圖3 多總線并行調(diào)度

3.2 基于訂閱發(fā)布的遙測數(shù)據(jù)分發(fā)技術(shù)

針對第1節(jié)描述的7種遙測類型，整站的遙測數(shù)據(jù)由各總線終端按照空間數(shù)據(jù)系統(tǒng)咨詢委員會(CCSDS)的定義封裝為協(xié)議數(shù)據(jù)單元(E-PDU)，按照內(nèi)容以應(yīng)用過程標(biāo)識(Application Process ID，APID)區(qū)分工程遙測E-PDU和常規(guī)遙測E-PDU兩類。數(shù)管軟件通過總線任務(wù)獲取到全部E-PDU后，保存在本地緩存，形成遙測數(shù)據(jù)池，軟件按照一定的調(diào)度策略挑選需要下傳的E-PDU進(jìn)行組織，生成多路復(fù)用協(xié)議數(shù)據(jù)單元(M-PDU)，進(jìn)而包裝為虛擬信道單元(VCDU)，用于下行輸出。在軟件中采用訂閱-發(fā)布模型(Subscription Publication Model, Sub-Pub Model)的實現(xiàn)方法用于遙測功能設(shè)計，非常適合對象間一對多的關(guān)系[9]，可支持本軟件多類遙測數(shù)據(jù)下行的實現(xiàn)。

在數(shù)據(jù)訂閱業(yè)務(wù)中，分別訂閱7種遙測類型對應(yīng)的遙測數(shù)據(jù)E-PDU，生成對應(yīng)的下行遙測幀。為保證數(shù)據(jù)完整性，在總線管理任務(wù)更新E-PDU數(shù)據(jù)池時，禁止訂閱業(yè)務(wù)向數(shù)據(jù)池獲取遙測數(shù)據(jù)。數(shù)據(jù)發(fā)布業(yè)務(wù)，將不同類型的遙測數(shù)據(jù)幀分別按照周期性調(diào)度或消息觸發(fā)式響應(yīng)的方式輸出。遙測數(shù)據(jù)訂閱-發(fā)布流程如圖4所示。

圖4 遙測組織流程

3.3 基于輕量文件系統(tǒng)的飛行程序管理方法

數(shù)管分系統(tǒng)負(fù)責(zé)空間站飛行程序的管理和執(zhí)行，為實現(xiàn)飛行程序中待發(fā)指令序列和指令組的可靠維護(hù)，便于地面操作和快速恢復(fù)，將飛行程序中管理的指令組和待發(fā)指令序列均以文件系統(tǒng)的形式進(jìn)行管理。軟件運行時將其加載到動態(tài)鏈表中執(zhí)行，指令和指令組都是鏈表中的節(jié)點，通過鏈表中節(jié)點的增、減、變更實現(xiàn)待發(fā)指令序列的新增、刪除和更新。

使用傳統(tǒng)的地面計算機的文件系統(tǒng)對飛行程序進(jìn)行管理，如JFFS[10]、YAFFS[11]等，數(shù)據(jù)結(jié)構(gòu)過于復(fù)雜，需要大量的處理器計算資源，難免會占用大量內(nèi)存建立文件系統(tǒng)節(jié)點樹。但對于數(shù)管軟件運行的物理平臺，其處理器芯片能力受限、內(nèi)存空間不足，難以支持完整文件系統(tǒng)的在軌實現(xiàn)。

因此，設(shè)計實現(xiàn)了輕量化的文件系統(tǒng)，將指令組、待發(fā)指令序列的內(nèi)容獨立于軟件編譯后的可執(zhí)行代碼進(jìn)行存儲，通過首指針和偏移量對指令序列進(jìn)行查找，由軟件代碼將其搬移到內(nèi)存區(qū)的獨立空間，當(dāng)?shù)孛娓轮噶罱M、待發(fā)指令序列時，直接對該內(nèi)存區(qū)的鏈表內(nèi)容進(jìn)行增加、刪除、修改操作，如需新增新的指令組，只需要在該內(nèi)存區(qū)后面進(jìn)行增加新的鏈表即可。在內(nèi)存分配時，提前預(yù)留擴(kuò)展空間，支持后續(xù)待發(fā)指令序列節(jié)點的增加以及指令組擴(kuò)充。

3.4 基于PUS應(yīng)用的自主健康管理方法

基于空間數(shù)據(jù)系統(tǒng)咨詢委員會(CCSDS)定義的遙測數(shù)據(jù)鏈路協(xié)議、遙控數(shù)據(jù)鏈路協(xié)議、高級在軌系統(tǒng)、鄰近空問鏈路協(xié)議四種標(biāo)準(zhǔn)，歐洲航天局(ESA)對遙控遙測的標(biāo)準(zhǔn)化進(jìn)行研究，形成了遙測遙控包應(yīng)用標(biāo)準(zhǔn)(Packet Utilization Standard, PUS)，并在包括“火星快車”(Mars Express)在內(nèi)的多個航天器中得到應(yīng)用[12]。

PUS定義了16種業(yè)務(wù)類型，其中的三項業(yè)務(wù)：在軌監(jiān)視業(yè)務(wù)、事件報告業(yè)務(wù)和操作調(diào)度業(yè)務(wù)，可以很好地完成航天器在軌故障監(jiān)視和自主處置過程，其中在軌監(jiān)視業(yè)務(wù)可以根據(jù)遙測參數(shù)的門限閾值、期望值、偏差閾值、更新頻度等多種規(guī)則對遙測參數(shù)值進(jìn)行實時監(jiān)視，監(jiān)測到參數(shù)超出設(shè)定規(guī)則后可以通過事件報告業(yè)務(wù)發(fā)出異常報告，并且利用操作調(diào)度業(yè)務(wù)實時觸發(fā)自主處理指令序列，將在軌異常及時處理。

為保證空間站在軌運行安全，針對在軌重大故障的快速應(yīng)對需求，數(shù)管軟件實現(xiàn)了典型故障的自主處置。軟件基于PUS協(xié)議實現(xiàn)，該功能包括信息監(jiān)測子模塊、知識庫管理子模塊、異常處置子模塊、信息反饋子模塊，如圖5所示。

圖5 自主故障處理模塊組成

基于PUS協(xié)議實現(xiàn)的這些監(jiān)視規(guī)則、事件報告、操作指令、以及事件與指令關(guān)聯(lián)關(guān)系均支持通用化方式的在軌修改，整套機制具有較強的靈活性和通用性，其中知識管理子模塊采用已有的軟件構(gòu)件實現(xiàn)，上層應(yīng)用只需要調(diào)用構(gòu)件函數(shù)接口即可。該設(shè)計已應(yīng)用于在軌單母線掉電自主診斷、關(guān)鍵單機運行異常診斷等功能，后續(xù)隨著空間站長期運行的需求，可以在軌增加新的診斷策略，并實現(xiàn)靈活的配置。不僅局限于此，該設(shè)計也可以在各類航天器上進(jìn)行推廣，具有非常好的擴(kuò)展性。

4 應(yīng)用與驗證情況

空間站數(shù)管分系統(tǒng)核心處理單元軟件已按照本文研究的實現(xiàn)方法完成了數(shù)據(jù)管理軟件的設(shè)計、開發(fā)工作，軟件運行的硬件平臺采用BM3803處理器，運行主頻100 MHz，配置1 Mbyte的EEPROM存儲器、8 Mbyte SRAM存儲器。該軟件按照在軌任務(wù)的需求，實現(xiàn)了空間站核心艙的總線網(wǎng)絡(luò)管理、遙測組織下行、飛行程序管理、自主故障管理，并完成了在軌飛行應(yīng)用。

軟件實現(xiàn)的主要指標(biāo)如表3所示。

表3 核心艙數(shù)管軟件主要指標(biāo)

5 結(jié)束語

隨著空間站核心艙成功在軌飛行，我國將持續(xù)建造空間站組合體，并長期在軌運營，用于后續(xù)各項空間科學(xué)任務(wù)的開展，數(shù)管軟件可持續(xù)支持單艙、組合體以及后續(xù)擴(kuò)展艙段的運行需求，軟件在實現(xiàn)系統(tǒng)高可靠性的前提下，通過合理的分層結(jié)構(gòu)劃分并應(yīng)用大量通用軟件構(gòu)件，采用可擴(kuò)展的文件系統(tǒng)和PUS協(xié)議支持的業(yè)務(wù)類型，可方便地實現(xiàn)功能擴(kuò)充，為未來空間站在軌進(jìn)一步擴(kuò)展提供了便利。