太空容错：NASA的猎户座架构

# 容错架构：NASA 如何为 Artemis-2 任务确保 Orion 飞船机载系统的可靠性

为了确保深空任务中乘组的安全，NASA 为 Orion 飞船开发了多层容错系统。与阿波罗时代简化的方案不同，现代架构结合了硬件冗余、确定性算法以及能够承受辐射干扰和处理器完全失效的备份软件。关键功能——从生命支持到导航——通过一个每个组件至少有三层保护的系统来管理。

八通道冗余："静默失效"原则

系统的核心由两台机载计算机组成，每台计算机内含两个飞行管理模块 (FMM)。每个 FMM 内部配对处理器实时交叉检查彼此的计算结果。这种配置整合了八个处理器，所有处理器并行执行相同的代码。如果检测到计算差异（例如由于辐射引起），故障处理器会立即切换到"静默失效"状态，防止错误数据传到控制系统。

这种方法与传统的三重冗余系统根本不同，后者依赖投票机制来确定正确结果。Orion 采用优先源选择机制：系统依次检查可用 FMM，从最高优先级开始。即使四分之三的模块失效，飞船仍能安全完成任务。一个关键创新是动态重配置——静默失效模式的模块会自动重启、与运行单元同步，并无需乘组干预即可恢复服务。

关键保护组件：

• 配对处理器带有硬件结果比较
• 用于单比特错误校正的三重模块冗余内存 (TMR)
• 带有连续数据验证的双份网络接口
• 优先源选择方案而非投票
• 飞行中动态重配置

确定性同步：克服异步问题

八个处理器的同步运行需要消除即使微小时钟频率差异也会引起的时序偏差。NASA 采用了时间触发架构 (TTEthernet)，所有操作通过集中式时间域进行同步。飞行软件在严格的时间框架内运行：

• 大帧（1 秒）被划分为小帧（毫秒间隔）
• 符合 ARINC 653 标准的调度器分配任务，并保证时序约束
• 每个 FMM 在精确定义的时刻接收相同的输入数据

这种模型确保了进程的空间和时间隔离，防止一个组件影响另一个。超出分配时间槽的关键应用会自动停用并重启。为了维持同步，系统每秒校正每个 FMM 的本地时钟与网络"真实"时间的偏差，精度达到纳秒级。

卡内基梅隆大学的 Michael Riley 指出，这种确定性在现代开发中非常罕见："敏捷方法论往往为了迭代速度牺牲架构纪律，导致技术债。在任务关键系统中，这是不可接受的——每一行代码都必须满足严格的时序和功能规范。"

通过异构实现冗余

即使有八通道冗余，仍存在系统级故障风险——例如主飞行软件中的 bug。为缓解此风险，Orion 配备了独立的冗余飞行软件系统 (RFS)，其特点包括：

• 运行在独立的硬件栈上
• 使用备选操作系统
• 采用简化的控制算法
• 与主系统并行运行

RFS 专门设计为与主系统尽可能不同，从而消除相关错误。如果主通道完全失效，备份系统会自动接管，将飞船置于安全模式。其算法能执行所有关键操作以稳定飞行器，包括定向太阳能阵列和热控。

特别关注总电源丢失场景（"死总线"）。电源恢复后，Orion 依次：

• 在太空中稳定姿态
• 将太阳能板定向向能量源
• 确保热稳定性
• 启动通信恢复尝试

乘组也可通过机械接口手动激活紧急协议进行干预。

关键要点

• 八通道冗余配备静默失效机制，即使丢失 75% 的计算模块也能维持运行。
• 基于 TTEthernet 和 ARINC 653 的确定性架构确保纳秒级运行同步。
• 通过 RFS 的异构冗余消除主备系统间的错误相关性。
• 蒙特卡洛压力测试模拟灾难场景以验证恢复算法。
• 抗辐射硬件包括 TMR 内存和带有连续数据完整性检查的双份网络接口。

在类太空条件下验证

为了验证架构的可靠性，NASA 采用多级测试策略。开发期间，模拟器再现范艾伦辐射带的环境。关键方法是通过超级计算机模型注入人工故障，包括：

• 多个 FMM 的同步失效
• 异步时序偏差
• 网络数据包丢失
• 指定间隔的硬件失效

特别关注模式转换测试。例如，模拟 22 秒内丢失三个 FMM 时，系统必须无缝切换到剩余模块，同时维持姿态控制。所有测试均超过预期任务负载，安全裕度至少 30%。

这些程序发现了并修复了隐藏漏洞，例如模块重启后系统重配置期间的时序窗口。正如约翰逊航天中心的 Nate Wittenbrock 所言："我们的目标不仅是检测故障，而是确保系统无需人工干预即可恢复完整功能。"

从阿波罗到 Artemis 的转变体现了可靠性方法的演进：20 世纪 60 年代，机械备份弥补了有限的机载计算能力；如今，软件是最后一道防线。Orion 的架构为未来系统设定了标准——从自动驾驶车辆到关键基础设施，一个比特翻转就可能酿成灾难。

— Editorial Team