基于數據表的載荷管理軟件在軌工作自主控制設計

葛菲 張喬 張雅娟

(中國科學院國家空間科學中心 北京 100190)

0 引言

隨著中國航天技術的不斷發展，航天器結構從簡單構型向大型復雜結構和小型微型化結構發展，航天器工作任務從單一型向多樣化和特殊化發展。面對這樣的發展趨勢，傳統載荷管理軟件在軌工作控制技術存在以下幾方面問題。

（1）載荷管理器在軌運行時，需要根據不同的探測要求切換不同的工作任務。傳統載荷管理軟件切換任務時，需要地面注入大量指令序列，完成對載荷的一系列工作參數配置和驅動控制工作。然而目前中國測控站數量有限，天地信息聯系弧度短，測控資源不可能為航天器長期獨占。隨著航天器壽命越來越長，這將增加地面指令注入的壓力，對天地傳輸鏈路可靠性也提出了更高要求。

（2）面對多樣化的載荷管理器工作任務，傳統載荷管理軟件的設計通常未考慮通用設計。一方面沒有對需求進行約定，導致需求變化多樣；另一方面開發人員在開發軟件時沒有可遵循的規范，未考慮或者很少考慮軟件在不同型號之間的復用。需要根據不同衛星型號的個性化工作要求進行針對性設計，這樣既降低了開發效率，又增加了研制成本。

（3）當載荷管理器出現故障時，傳統的載荷管理軟件主要依靠地面測控站進行地面干預，通過人工判讀大量遙測信息獲取其運行狀態，地面進行故障處置時往往需要多軌完成，時效性差，且在執行處置策略時極易出現空間鏈路不安全、人為操作失誤等問題，從而影響用戶滿意度。如果載荷管理器長時間處于不可見弧段，在故障發生時如果不能盡快解決會使故障進一步擴散造成不可挽回的重大損失。這無疑增加了故障診斷和處置工作的難度及復雜度[1]。

針對上述問題，CCSDS 開展了航天器接口業務（SOIS）領域的研究工作[2]。其中，基于SOIS 架構的EDS（SEDS）[3,4]通過可讀的數據表單，實現異構部件的兼容使用，解決智能自主控制、協議統一、重用和可持續的問題。中國一直以來也在不斷跟蹤研究CCSDS 標準及其EDS 技術[5]，航天器軟件工作有從編程向數據設計、從人為干預向智能控制轉化的趨勢。本文基于EDS 的思想，自定義一種通用的數據表格式，以統一指令格式和內部數據管理格式。根據對多個載荷在軌工作需求進行分析，得出一系列通用的功能，并且將這些功能采用通用的服務實現。在不修改或者少修改程序的條件下，通過服務的應用以及數據傳遞和配置，提升軟件的適應性，實現重用的效果。本文提出的在軌工作自主控制方案以在軌工作流程管理和重要參數監控管理兩個服務為例，對載荷管理軟件在軌工作的自主控制技術進行研究，并給出具體的自主控制方案和實現方法。

1 有效載荷工作流程自主控制方案設計

在軌工作自主控制主要是針對不同工作模式，對不同載荷進行工作時序控制和對載荷工作狀態的監控管理而設計的通用化方案。載荷工作時序控制主要體現在，可以根據不同的載荷主體、接口類型、使用目的和控制方式，提取出一系列工作指令類型，通過可視化的數據表格對指令進行格式定義，進而匯總為工作指令表。再根據時序和工作模式要求，將各個工作指令動態匯聚成工作流程表來控制載荷工作，達到載荷管理器在軌工作自主控制的要求。載荷工作狀態監控管理主要針對在軌工作流程中載荷工作狀態異常時的應急處理，可根據重要參數監控指令工作表的設計，按載荷個性化要求轉入停止工作狀態或自動轉為待機模式。該方案通過對工作表的設計和使用，有效解決了載荷管理軟件在軌工作控制需求差異化帶來的多樣化、定制化問題。

1.1 工作分析

目前通用化、模塊化和智能化已成為智能自主控制系統架構的設計重點[6-7]。這里對多個型號的軟件需求進行歸納整理和統籌分析（見圖1），對載荷管理器在軌工作涉及的接口通信類型、載荷控制對象和在軌工作模式進行統計。

圖1 中載荷管理器與載荷之間的接口類型主要包括總線指令控制及應答、電平信號控制及采集、同步信號接收和科學數據傳輸等；常見的控制對象包括光學探測器頭部控制、電機驅動控制、加熱/制冷等溫度控制、磁控制、速度控制、開關量/編碼器控制等。對于多數控制對象，基本都體現在通過外接FPGA 進行總線指令及電平信號的控制及采集；其工作模式可分為待機模式、實驗模式、維護模式三類。

圖1 載荷在軌工作自主控制需求分析Fig.1 Demand analysis diagram for autonomous control of load on-orbit

載荷管理器作為控制核心，需要對載荷各功能模塊的運行進行高效可靠管理和控制，協調內部各功能模塊的工作。圖2 為載荷管理器的在軌工作時序，其工作流程與載荷在軌運行時序及工作流程安排密切相關。

根據圖2 所示在軌工作時序，可將工作模式歸納整理為待機模式、實驗模式和維護模式，具體模式之間的切換如圖3 所示。

圖2 在軌工作時序Fig.2 On-orbit working timing diagram

待機模式：實驗模式前或特定需求下，進入待機模式。在此模式下，載荷管理器和各載荷單元均處于待機狀態。待機模式下載荷管理器與各載荷單元進行周期狀態輪詢通信，與衛星平臺進行1553 B 總線通信，載荷管理器進行周期健康維護管理。待機模式下不進行工作流程的自動處理。

實驗模式：實驗模式以軌道周期為單位，可根據不同探測需求分為不同的工作流程，每個工作流程為實驗模式下的獨立子模式。實驗模式下，各載荷單元均處于工作狀態，采集科學數據，完成科學探測任務。每個子模式工作流程結束后自動進入待機模式，如果當前子模式下收到其他子模式，可記錄收到的子模式，待當前子模式工作流程結束后在下一軌自動進入新注入的子模式工作流程。

維護模式：衛星入軌后，儀器正常工作前，載荷管理器需對載荷單元進行在軌維護參數配置。當遇到緊急狀況，例如能源節省、能源危機等，載荷管理器自動進入維護模式，如果此時處于實驗模式下，則自主停止工作流程并將各載荷單元關機進入維護模式。

圖3 中模式間的切換方式用A～F 表示，其具體說明如下。

圖3 工作模式切換狀態Fig.3 Working mode switching diagram

A：系統上電默認為維護模式，維護模式下僅載荷管理器上電和需要維護的載荷單元上電。

B：載荷管理器和所有載荷單元均上電后進入待機模式。

C：除需要維護的載荷單元外，其他載荷單元斷電進入維護模式，或在待機模式下收到緊急指令時進入維護模式。

D：待機模式下收到某個實驗子模式指令，按該子模式工作流程開始工作則進入實驗模式。

E：工作流程結束后自動進入待機模式，實驗模式中出現工作異常則自動進入待機模式。

F：當實驗模式下收到緊急指令時進入維護模式。

1.2 工作表設計

為實現通用化的載荷在軌工作自主控制設計，這里自定義了一種通用的數據表。該數據表包括初始化參數配置表、工作指令表和工作流程控制表，將指令格式和內部數據管理格式進行統一，其中數據表內容可根據型號要求進行個性化配置。圖4 為該數據表的地址分配。

圖4 數據表地址分配Fig.4 Address allocation diagram of data sheet

1.2.1 初始化參數配置表

初始化參數配置表主要用于存儲載荷加電后載荷及工作流程運行的初始化狀態，對應驅動控制載荷的FPGA 初始化狀態，以及載荷管理器通信管理相關的初始化配置及系統維護初始化參數等。初始化參數配置表的具體參數可根據型號要求進行自定義（見表1）。

表1 初始化參數配置Table 1 Initialize parameter configuration

1.2.2 工作指令表

工作指令表用于存儲有效載荷所有可能的指令內容，可用2 Byte 動作類型和2 Byte 動作編碼確定具體指令內容。指令格式、長度及內容可根據型號要求自行定義。這里對3 種指令類型進行介紹，分別為RS422 通信指令（屬于總線指令控制與采集類別）、載荷開關及復位指令（屬于電平信號控制與采集類別）、載荷重要參數監控指令。

RS422 通信指令表用于存儲載荷管理器通過RS422 總線發送給有效載荷的控制指令內容。本系統發送給各有效載荷的指令長度均為8 Byte，具體格式列于表2。

表2 RS422 通信指令Table 2 RS422 communication instruction

例如指令編號2001H 為載荷2 的第2 條指令，每條指令可根據指令編號進行指令地址索引，指令的索引地址可根據初始化參數配置表中的各種類型指令的基地址、指令最大存儲數及指令長度進行索引。

載荷開關及復位指令用于存儲載荷管理器通過驅動控制載荷的FPGA，對載荷進行開關機控制及復位的指令內容。指令內容多為通過衛星平臺總線通信發送的總線指令，具體格式列于表3。

表3 載荷開關及復位指令Table 3 Payload switch and reset instruction

載荷重要參數監控指令[8]用于存儲載荷及載荷管理器需要狀態監控的重要參數相關指令，具體格式列于表4。

表4 載荷重要參數監控指令Table 4 Payload important parameter monitoring instruction

參數說明如下。

監控類型：分為單次監控和一直監控，若監控超限則根據處理類型進行超限處理，單次監控若未超限則繼續執行該工作流程。

處理類型：根據不同載荷單元對監控的重要參數超限的不同約定進行處理。

監控間隔：監控一次重要參數的間隔。

判斷類型：03H 代表大于，0CH 代表等于，30H 代表小于，C0H 代表不等于，05H 代表大于等于，0AH 代表小于等于。

判斷閾值：需要比較的數值。

監控重要參數類型：可根據軟件對參數分類進行定義，例如載荷模擬量、載荷狀態參數等。

監控重要參數字節數：可設置1～4 字節。

監控重要參數位置：按照不同的監控重要參數類型，索引該類型參數首地址相對應的偏移位置。

1.2.3 工作流程控制表

工作流程控制表用于存放不同實驗子模式對應的工作流程中所有有效載荷的指令時序控制信息。工作流程控制表分為控制表頭和控制內容兩部分，其中控制表頭和控制內容中每個執行步驟均為8 字節。工作流程控制格式列于表5。

表5 工作流程控制Table 5 Workflow control

注1工作流程控制表的控制表頭包括工作流程表編號、步驟數、指令時間碼類型和流程起始時間。其中，步驟數表示該工作流程控制表中需要執行的工作指令總數。指令時間碼類型55H 代表基于流程起始時間的絕對時間，AAH 表示基于上一條指令時間碼的相對時間。流程起始時間是以軌道周期為單位的0 時刻基準時間下的起始工作時間，其中FFFFFFFFH表示立刻執行，非FFFFFFFFH 時bit31 用于區分正負數，0 表示正數，1 表示負數，負數適用于起始時刻在軌道0 時刻之前的情況，正數適用于起始觀測在軌道0 時刻之后或每次觀測開關機的情況；本系統的時間單位為100 μs 的計數。

注2工作流程控制表的控制內容由一條條指令序列組成，每一條指令序列為一條指令步驟。包括4 字節指令執行時間碼、2 字節指令類型和2 字節指令編碼。指令時間碼表示該條指令執行的時間。系統共涉及三種指令類型：33H 定義為RS422 通信指令；66H 定義為載荷開關及復位指令；99H 定義為重要參數監控指令。指令編碼定義參見表2～4。

2 軟件實現

軟件實現工作流程的自主控制主要包括工作流程管理和重要參數監控管理，具體模塊分解如圖5 所示。其中，工作模式切換按照圖3 所示的切換方式進行模式切換管理，這里將重點分析工作流程控制管理和重要參數監控管理。

圖5 工作流程自主控制功能分解Fig.5 Functional decompositon of workflow antonomous control

2.1 工作流程管理

工作流程控制管理包括數據表使用、數據表健康管理和在軌工作自主控制遙測管理。

2.1.1 數據表使用

軟件按照初始化參數配置表對工作狀態進行初始化配置后，啟動在軌工作自主控制任務，按照圖6所示流程索引并讀取相關工作流程控制表和指令表內容。首先，對軌道內部時間進行管理，既要按照軌道周期進行自首時處理，又要適應入光點變化而導致的零時校準。在得到軌道內部時間后判斷當前工作自主控制流程是處于停止狀態還是工作狀態。若此時為停止狀態，則按照工作模式設置數據注入中設置的工作流程表序號進行索引，若表序號正確則讀取表頭信息，當軌道內部時間達到表頭中的開始執行時間則置當前為工作狀態且設置當前為實驗開始時間。在軌自主控制流程進入工作狀態后判斷當前工作是否出現異常，如果收到了緊急斷電指令，載荷重要監控參數出現異常、軟件復位恢復異常等，則按照任務要求進入相應異常情況下的工作流程表對載荷進行異常處理，自動進入待機/維護模式；若沒有出現異常則按照工作流程表的步驟依次索引指令內容及其指令時間并執行相應工作指令，直至全部步驟執行完成，將當前置為停止狀態。此外軟件隨時對工作狀態進行備份，當軟件發生異常復位時，可對工作狀態進行恢復，保證在軌工作流程可以繼續執行。

圖6 工作流程管理處理流程Fig.6 Workflow management process flow chart

2.1.2 數據表健康管理

軟件對數據表的健康管理包括對數據表的備份、數據表單粒子糾錯以及數據表的在線更改。

由于宇宙空間存在大量高能量的粒子輻射，很容易引起電路邏輯狀態發生翻轉、存儲數據發生隨機改變，進而可能造成災難性后果。為防止單粒子現象的發生，軟件在設計過程中將數據表在EEPROM 中備份存儲三份[9]，軟件上電后首先將EEPROM 中存儲的數據表以三取二的方式搬移到RAM 保留區，防止因某一份數據表內容因單粒子翻轉造成錯誤，確保了數據表內容的可靠性。

此外，載荷管理器還使用了EDAC 糾錯技術，軟件會對EEPROM 區進行全區域數據讀取并計算校驗和，當EEPROM 區發生單bit 錯誤時，軟件會進入CPU 內部的EDAC 中斷，將錯地址寄存器（FAILAR）、錯誤數據等信息存儲下來存放到EDAC 出錯信息保留區，存儲容量為64 條。對于雙bit 錯誤系統軟件會將出錯信息放到系統軟件trap 信息保留區，地面可通過內存下泄，查看錯誤狀態，再通過在線更改對錯誤進行修改或忽略。

數據表在線修改的修改范圍包括對單字節的部分修改和大數據塊的整體修改；修改時效包括臨時修改和永久修改。部分修改包括數據表中對載荷總線通信指令內容的修改和定向修改。定向修改即為針對指定地址和長度的數據表內容進行修改；針對給載荷轉發的指令內容將遙控注入包中增加指令編碼對工作指令進行索引，當指令編碼為FFFFH 時表示僅轉發載荷指令不對數據表進行修改，當指令編碼為非FFFFH 時，即設置為指令的索引編號，除了轉發載荷指令外，還需對數據表RAM 保留區中對應指令參數進行修改。此外，還設計了大數據塊遙控注入包[10-11]，將數據表內容按照指定格式分包上注后對整個數據表進行修改。

軟件上電后會將數據表從EEPROM 區搬移到RAM 保留區，軟件對數據表的修改及使用都是針對數據表RAM 保留區，由于RAM 掉電內容不保存而EEPROM 掉電內容保存的特性，當修改數據表時會因為只對RAM 保留區進行修改而只起到臨時修改的效果，軟件在執行工作流程控制表時會根據數據表RAM 保留區中最新修改的工作指令內容執行。如需永久修改則可通過上注“數據表從RAM 區到EEPROM”指令將修改的內容更新到EEPROM 區中，即設備在重新上電后可根據更改的數據表進行加載。當然，如果只想恢復原始數據表指令內容，可通過“數據表從EEPROM 到RAM 區”指令將原先保存在EERPOM 中的內容重新拷貝到RAM 保留區，在軌工作時也會按照原始數據表中的內容進行執行。

2.1.3 在軌工作自主控制遙測管理

軟件在進行在軌工作自主控制時，會對工作流程自主控制過程中的執行狀態進行管理和下傳，相關參數如表6 所示。通過當前執行工作控制表序號和待執行工作控制表序號，確認工作模式的實驗模式下對應執行子模式的工作流程控制表序號。通過工作流程表更新標識，確認當前工作流程控制表是否有更新情況，通過工作流程表執行狀態，確認當前工作流程控制表是否因故障無法繼續執行并顯示當前的故障類型。通過流程執行步驟計數可查看當前工作流程控制表將要執行的步驟號，也可確認當前因故障停止運行時的步驟號。工作流程表工作狀態表示當前工作流程控制表是處于工作狀態還是停止狀態。

表6 工作流程管理相關參數Table 6 Workflow management related parameters

2.2 重要參數監控管理

重要參數監控功能根據制定的條件對監控參數進行判斷，能夠監控載荷在軌工作和自身狀態，及時采取相應對策和動作，維護載荷在軌工作順利運行。對每個參數的監控由一個統一的重要參數監控任務處理，任務流程如圖7 所示，其中對應的重要參數、監控條件、超限處理通過對參數監控表的配置實現。

圖7 重要參數監控通用處理流程Fig.7 General processing flow of important parameter monitoring

軟件設計了監控使能/禁止和監控指令的打開/關閉。監控使能的情況下，在工作流程控制表中可編輯某條監控指令的打開和關閉，軟件可根據流程控制表中的內容分時進行指令監控。在監控禁止的情況下，即使工作流程控制表中有指令的打開/關閉，均不執行相應監控。工作流程控制表執行過程中，當監控使能和監控指令打開的情況下，軟件獲取相關指令內容，對監控參數進行單次或多次的監控條件判斷，當監控條件超限時進行分別處理。另外，地面還可通過上注對重要參數監控表進行在線編輯和修改，包括監控指令的增減和替換；設置監控指令的使能/禁止、打開/關閉；更改監控指令內容包括但不限于監控周期和監控類型等。

軟件設計了重要參數監控程管理，相關參數通過遙測通道下傳到地面（見表7）。重要參數監控編號為重要參數指令表中的指令編號，重要參數監控開關為監控使能/禁止及打開/關閉的狀態，重要參數監控狀態為重要參數超限狀態。

表7 重要參數監控程管理相關參數Table 7 Important parameters monitor and manage related parameters

3 設計驗證與成果

3.1 設計驗證

在軌工作自主控制方案的設計驗證列于表8。

表8 在軌工作自主控制方案設計驗證Table 8 Design and verification of on-orbit autonomous control scheme

通過在QONE 平臺上對使用該方案的5 個型號8 個軟件配置項進行項目跟蹤統計，相比傳統載荷管理軟件在軌工作控制方案，從項目研制效率、代碼行數、可擴展性等方面進行比較，結果列于表9。

表9 在軌工作控制的效果比較Table 9 Effect comparison of on orbit work control

經過驗證，該方案適用于快速在軌工作自主控制系統開發，可有效提高軟件研制效率，降低問題發生概率，最終建立通用化的在軌工作自主控制框架，提升軟件系統的標準化和靈活性。

3.2 設計成效

相比傳統載荷管理軟件在軌工作控制方案，本文所討論的在軌工作自主控制方案在多樣化、可重用、縮短測試周期及可靠性方面有著顯著的成效。

（1）使用多樣化。軟件將在軌工作任務所需工作參數按照設計好的協議格式寫入EEPROM 數據表中，通過配置上述數據表，對載荷工作流程進行個性化修改，達到適應載荷工作流程多樣性的要求。

（2）設計可重用。該載荷管理軟件的在軌工作自主控制方案已經過調試階段、單元測試、組裝測試、配置項測試、第三方測試及整星測試階段，目前已入庫并在5 顆衛星8 個軟件上重用，其中在軌有4 個軟件，其余均在正樣研制階段。

（3）縮短研制周期。由于工作流程自主控制方案的可重用性，軟件代碼、測試用例、工作流程自主控制方案相關技術要求文檔、遙控指令包和遙測文件等具有很高的重用性，大大縮短了軟件研制周期。軟件設計人員只需根據型號任務的個性化要求，完成數據表說明文件的編寫，測試人員需要針對這些個性化的工作參數配置進行個性化的工作流程驗證。

（4）提高可靠性。在軌工作自主控制方案在軟件代碼、測試用例、相關遙控指令包設計、相關遙測設計、相關文檔內容等方面都具有很高的可重用性，可減少軟件運行及驗證過程中的不確定性，減少生產試驗環節的時間和成本。同時保證了整個軟件研發周期的數據一致性，提高了各階段數據的一致性。

4 結論

通過對載荷管理軟件在軌工作流程管理需求的研究，引入數據表的可配置性，研究并介紹了載荷管理軟件在軌工作自主控制技術的設計及實現方法。該方案不僅能夠提高載荷管理器的智能化水平，增強其兼容性和適應性，同時能夠縮短研發周期，減少開發成本。軟件已通過開發方各項測試、第三方測試，并通過環境試驗的考核，目前已在多個型號任務上使用，滿足載荷在軌工作多樣性的要求，軟件工作正常，具有較高的可靠性及應用性。