一、引言
卫星推进系统是航天器实现轨道转移、轨道保持、姿态机动和离轨处置等任务的关键分系统。在商业航天领域，随着低轨卫星星座的大规模部署，推进系统的使用频次和累计工作时间显著增加，对推进控制系统的可靠性和控制精度提出了更高的要求。微控制器单元（MCU）作为推进系统的控制核心，负责推进剂贮箱压力监测、推力器阀门开关控制、脉冲宽度调制（Pulse Width Modulation，PWM）信号生成、推进剂量计算以及与星载计算机的通信交互。由于推进系统通常使用高压气体或有毒推进剂，控制器的任何故障都可能导致推进剂泄漏、推力异常或任务失败，因此其可靠性设计尤为重要。与此同时，空间辐射环境对控制器的威胁不容忽视，单粒子翻转可能导致阀门开关时序错误，单粒子锁定可能造成控制器永久性失效。厦门国科安芯科技有限公司研制的AS32S601ZIT2型商业航天级MCU，基于32位RISC-V指令集架构，集成了高精度定时器和丰富的模拟前端，并通过了多项辐射效应试验验证。本文从卫星推进与轨道维持系统的控制需求出发，结合AS32S601ZIT2型MCU的定时器参数和抗辐射试验数据，对该器件在推进控制场景中的精确时序能力和可靠性进行分析。
二、卫星推进系统对MCU控制时序的功能需求
卫星推进系统的控制任务主要包括推力器点火时序控制、推进剂供给压力调节、贮箱温度管理以及推进剂剩余量估算等。其中，推力器点火时序控制是推进系统最核心的功能，直接关系到轨道机动和姿态控制的精度。推力器通常采用电磁阀或压电阀作为执行机构，通过控制阀门的开启和关闭时间来调节推力大小和方向。这种控制方式要求MCU能够生成精确的PWM脉冲信号，并实时监测推进系统的各项状态参数。
在PWM脉冲精度方面，推力器阀门的开启时间通常在毫秒至数十毫秒量级，脉冲宽度的分辨率直接决定了推力控制的精度。AS32S601ZIT2型MCU配备了4个32位高级定时器，在以180MHz系统时钟驱动时，其计数分辨率可达5.56ns。对于10ms量级的推力器脉冲，32位定时器可提供约180万个计数步长，对应的脉冲宽度分辨率远高于电磁阀的机械响应精度，从控制理论上不会成为系统精度的瓶颈。高级定时器支持PWM模式、输出比较模式和输入捕获模式，其中PWM模式可生成周期和占空比均可调的脉冲波形，输出比较模式可在指定计数值到达时触发单次脉冲输出。4个高级定时器共可提供最多16路PWM输出通道（每定时器4通道），足以满足多数卫星推进系统对多路推力器独立控制的需求。此外，高级定时器支持死区插入和互补PWM输出功能，这一特性虽然 originally 针对电机驱动应用设计，但在推进系统中可用于驱动需要互补控制的推进剂阀门对。
在定时器同步与触发方面，多路推力器的协同工作需要精确的时序同步。AS32S601ZIT2型MCU的高级定时器支持主从模式和外部触发模式，可通过内部触发信号或外部事件实现多个定时器的同步启动和相位对齐。在推进系统应用中，这一功能可用于实现多推力器的同时点火或顺序点火控制，确保各推力器产生的推力矢量合成符合控制指令要求。4个16位通用定时器可用于辅助定时任务，例如推进剂阀门预热定时、点火间隔保护定时以及系统自检周期定时等。
在多通道模拟量采集方面，推进系统需要实时监测推进剂贮箱压力、温度、阀门驱动电流以及推力器室压等参数。AS32S601ZIT2型MCU集成了2个12位分辨率的ADC，最多支持32通道模拟输入，采样率最高可达2MHz。ADC的INL为±2LSB，DNL为±1LSB，偏移误差和增益误差均为±3LSB，有效位数为8.6bit。对于贮箱压力和温度等慢变参数的监测，这一精度水平具有足够的分辨率。2个模拟比较器可用于实现贮箱过压保护和阀门过流保护的硬件快速响应，当监测参数超过设定阈值时直接触发保护中断或切断驱动电路，响应速度远快于ADC采样-软件判断的方案。
在通信与遥测方面，推进系统需要向星载计算机周期性上报推进剂剩余量、贮箱状态和各推力器累计工作时间等遥测信息，并接收来自制导导航与控制（GNC）分系统的点火指令。AS32S601ZIT2型MCU集成的4路CANFD控制器支持最高4Mbps的数据传输速率，可满足推进系统与平台之间控制指令和遥测数据的实时交互需求。4路USART接口可用于与推进系统的专用传感器或驱动电路进行点对点通信。
三、推进控制系统中的抗辐射可靠性分析
推进控制系统对单粒子效应的敏感性主要体现在以下几个方面：定时器配置寄存器的翻转可能导致PWM脉冲周期或占空比异常，进而造成推力器点火时间过长或过短；阀门驱动GPIO的状态翻转可能导致阀门意外开启或关闭；ADC转换结果的错误可能导致推进剂状态误判。因此，对MCU的抗辐射性能进行严格评估是推进控制系统可靠性设计的核心环节。
AS32S601ZIT2型MCU在单粒子锁定防护方面表现良好。在中国科学院国家空间科学中心可靠性与环境试验中心开展的重离子单粒子试验中，采用Kr离子（LET值37.9MeV·cm²/mg）对器件进行了总注量1×10⁷ ion/cm²的辐照，注量率为9.9×10³ ion/cm²/s，试验过程中器件工作电流稳定在78mA，未发生SEL现象，SEL的LET阈值高于37.9MeV·cm²/mg。在中国原子能科学研究院100MeV质子回旋加速器上的质子单粒子效应试验中，总注量达到1×10¹⁰量级。对于推进控制系统而言，SEL是最需要防范的破坏性故障模式，因为一旦发生SEL且未能及时断电，可能导致推力器阀门失控。器件本身良好的SEL免疫特性降低了此类风险发生的概率，但系统设计中仍应配置独立的过流监测和快速断电保护电路作为冗余防护。
在单粒子翻转效应方面，脉冲激光单粒子效应试验显示，AS32S601ZIT2型MCU在LET值约5MeV·cm²·mg⁻¹时未出现SEU，在LET值约75MeV·cm²·mg⁻¹时监测到SEU，数据手册标注的SEU指标为≥75MeV·cm²/mg或10⁻⁵次/器件·天。在推进控制系统中，可通过以下措施降低SEU的影响：对定时器配置寄存器采用定期刷新策略，在每个控制周期重新写入定时器参数，即使某时刻发生翻转也可在下一个周期恢复；对关键的阀门使能信号采用多比特编码而非单比特标志，利用编码冗余检测并纠正单比特翻转；对ADC采样结果进行多采样平均和一致性检查，剔除因SEU导致的异常采样值。
在总剂量效应耐受方面，AS32S601ZIT2型MCU在北京大学技术物理系钴源平台完成的总剂量效应试验显示，在剂量率25rad(Si)/s的条件下，器件经受150krad(Si)的总剂量辐照并完成168小时高温退火后，性能和外观均合格，抗总剂量辐照指标大于150krad(Si)。对于推进控制系统而言，总剂量效应可能引起ADC参考电压漂移和定时器时钟频率偏移，导致推进剂参数测量误差和PWM脉冲宽度漂移。在系统设计中，应定期执行ADC自校准和定时器时钟校准程序，利用已知的参考信号对系统漂移进行补偿。此外，可在推进剂剩余量计算算法中引入总剂量漂移补偿因子，根据累积辐射剂量动态修正流量系数。
四、推进控制系统设计中的安全工程考量
推进系统属于航天器中的高风险分系统，其控制系统设计必须遵循严格的安全工程原则，确保任何单点故障都不会导致灾难性后果。
在硬件互锁设计方面，除MCU的软件控制外，推力器阀门的驱动电路应配置独立的硬件互锁逻辑。例如，阀门驱动电源应通过独立的电子保险丝或固态继电器进行控制，MCU的PWM信号仅作为使能信号而非直接驱动信号；当MCU发生故障或软件异常时，看门狗电路可在超时后自动切断阀门驱动电源，使所有推力器处于安全关闭状态。AS32S601ZIT2型MCU的GPIO支持四种驱动电流模式，但推进系统阀门的驱动电流通常较大（数百毫安至数安培），远超GPIO的驱动能力，因此必须外接专用的阀门驱动芯片或功率MOSFET，MCU仅提供低功率的控制信号。
在故障检测与隔离方面，推进控制系统应具备对各类故障的实时检测和响应能力。AS32S601ZIT2型MCU的2个模拟比较器可用于监测贮箱压力和阀门电流，当参数超过安全阈值时立即触发中断并由软件执行故障隔离程序，例如关闭故障推力器并切换至备份推力器。FCU模块对ECC错误、时钟异常和电压异常的集中管理功能，为推进系统的故障诊断提供了硬件层面的信息支持。当FCU报告不可纠正错误时，软件应判定控制器存在潜在故障风险，并主动向平台申请切换到备份控制通道。
在推进剂管理算法方面，MCU需要运行推进剂剩余量估算算法，该算法通常基于贮箱压力、温度以及累计点火时间的积分计算。AS32S601ZIT2型MCU的自研E7内核带有FPU，可高效执行涉及浮点运算的推进剂热力学模型和流量积分计算。512KiB的SRAM为推进剂管理算法的状态变量和历史数据缓冲区提供了充足的存储空间。推进剂剩余量的计算结果应定期写入带ECC的D-Flash进行非易失性备份，防止断电后数据丢失。
五、结论
卫星推进与轨道维持系统对控制MCU的PWM脉冲精度、多通道模拟量采集能力以及抗辐射可靠性均提出了严苛要求。国科安芯AS32S601ZIT2型商业航天级MCU在定时器方面提供了4个32位高级定时器（180MHz下5.56ns分辨率）和4个16位通用定时器，在模拟前端方面提供了2个12位ADC（32通道）和2个模拟比较器，在抗辐射性能方面通过了重离子单粒子试验（SEL LET阈值高于37.9MeV·cm²/mg）、质子单粒子效应试验（总注量1×10¹⁰量级）和总剂量效应试验（TID≥150krad(Si)）等多项权威验证。这些技术特性使得该MCU具备应用于卫星推进控制系统时序生成和状态监测任务的能力。在实际工程应用中，通过严格的硬件互锁设计、多层次故障检测与隔离策略以及鲁棒的推进剂管理算法，可构建起满足商业航天安全要求的推进控制方案。随着商业低轨卫星星座对轨道维持和姿态控制需求的持续增长，此类具备高精度定时能力和经过系统抗辐射验证的国产MCU，有望在卫星推进领域获得更加广泛的应用。