一、引言
航天器健康管理（Spacecraft Health Management，SHM）是保障卫星平台长期可靠运行的关键技术，其核心目标是通过对星上各分系统状态的实时监测、故障的及时检测与诊断以及维护策略的优化决策，最大限度地延长航天器的在轨服务寿命并降低任务风险。在商业航天领域，随着卫星平台向着长寿命、低维护和批量化方向发展，健康管理系统的功能从传统的被动式故障报警逐步演进为主动式的预测性维护和自适应重构。微控制器单元（MCU）作为健康管理系统中负责数据采集、状态评估和决策执行的底层控制核心，其模拟量采集精度、多源传感器接入能力以及故障响应速度直接影响健康管理系统的效能。厦门国科安芯科技有限公司研制的AS32S601ZIT2型商业航天级MCU，集成了多通道高精度ADC、模拟比较器、温度传感器以及完善的硬件安全机制，并通过了多项辐射效应试验验证。本文从航天器健康管理系统对嵌入式控制器的技术需求出发，结合AS32S601ZIT2型MCU的模拟前端参数和抗辐射试验数据，对该器件在航天器健康管理场景中的多源状态监测与故障诊断能力进行评估分析。
标签： 航天器健康管理 MCU AS32S601ZIT2 商业航天 故障诊断 抗辐射
二、航天器健康管理系统对MCU状态监测的功能需求
航天器健康管理系统需要监测的对象涵盖电源母线电压与电流、蓄电池组温度与内阻、各分系统工作温度、推进剂贮箱压力、机械机构角位置、以及各类电子器件的健康状态参数等。这些被监测量具有类型多样、分布广泛、采样速率差异大等特点，对MCU的模拟前端和接口资源提出了综合性的需求。
在多通道模拟量采集方面，健康管理系统的传感器数量通常可达数十个，需要MCU具备足够多的模拟输入通道。AS32S601ZIT2型MCU集成了2个12位分辨率的模数转换器（ADC），最多支持32通道模拟输入，可满足多数健康管理应用对多路传感器信号的采集需求。ADC的采样率最高可达2MHz，在1Msps采样率下有效位数（ENOB）测试值为8.6bit，积分非线性误差（INL）为±2LSB，差分非线性误差（DNL）为±1LSB，偏移误差和增益误差均为±3LSB。模拟供电电压范围为1.62V至3.63V，模拟参考电压支持2.5V、2.0V和1.5V等多档配置。在2.7V至3.63V模拟供电、2.5V正参考电压的条件下，ADC的输入阻抗为200Ω至2kΩ，输入电容不超过15pF。这些参数表明，该MCU的ADC在分辨率和精度方面处于中等水平，对于温度、压力和电压等慢变物理量的监测具有足够的精度裕量。然而，对于需要更高精度的特殊应用（如精密电流传感），可能需要外接更高分辨率的独立ADC芯片。
在快速故障检测方面，健康管理系统需要对某些关键参数进行超限检测，并在参数超出安全阈值时立即触发保护动作。AS32S601ZIT2型MCU集成了2个模拟比较器（ACMP），可将输入模拟信号与参考电压进行实时比较，当输入电压超过或低于设定阈值时直接输出数字信号触发中断或硬件保护。与ADC采样-软件判断的方案相比，模拟比较器的响应速度更快（纳秒级延迟），且不占用CPU资源，特别适用于蓄电池过压保护、母线过流保护和功率器件过温保护等对响应速度要求极高的场景。比较器的阈值电压可通过外部电阻分压网络或DAC输出进行灵活设定，2个比较器可分别配置为不同的阈值和极性，实现对同一被监测量的上下限双重保护。
在温度监测方面，航天器各分系统的工作温度是评估其健康状态的重要指标。AS32S601ZIT2型MCU集成了1个片上温度传感器，检测温度范围为-40℃至125℃，在1Msps采样率、2.5V参考电压条件下的检测精度为±2.0℃，在2.0V参考电压条件下的检测精度为±2.5℃。该温度传感器位于芯片内部，主要用于监测MCU自身的工作结温，间接反映控制器所在电路板的温度环境。对于需要监测其他位置温度的健康管理应用，仍需外接热电偶、热敏电阻或数字温度传感器等专用温度传感元件，并通过ADC或IIC/SPI接口读取温度数据。片上温度传感器的输出电压斜率与温度的关系为6mV/℃，在0℃时的输出偏移电压为1.1V，这些参数可用于将ADC采样值转换为实际温度值。
在多接口传感器接入方面，健康管理系统中的传感器类型多样，输出信号形式各异，包括模拟电压、模拟电流、数字脉冲、串行总线数据等。AS32S601ZIT2型MCU丰富的外设接口配置为接入多种类型传感器提供了便利：32通道ADC可用于读取模拟电压输出型传感器；模拟比较器可用于连接阈值报警型传感器；4路IIC接口可用于读取数字温度传感器、EEPROM型传感器等；6路SPI接口可用于连接高精度ADC芯片或智能传感器；4路USART接口可用于接收脉冲输出型传感器或RS422/RS485总线传感器的数据；4路CANFD接口可用于接入符合CANopen或J1939协议的网络化智能传感器。这种接口的多样性使得单个MCU即可承担健康管理单元中多种类型传感器的接入和协议转换任务。
三、硬件安全机制对故障诊断能力的支撑
航天器健康管理系统本身也需要具备高可靠性，其控制器的故障不应影响被监测分系统的正常运行。AS32S601ZIT2型MCU在设计中融入了多项功能安全机制，这些机制与健康管理系统的设计理念高度契合。
在内存保护方面，AS32S601ZIT2型MCU集成了5个内存保护模块（MPU），可将地址空间划分为多个区域，为不同区域的访问权限（读、写、执行）进行精细化配置。在健康管理系统软件中，可将传感器驱动代码配置为只读和执行权限，将配置参数区配置为只读权限，将数据缓冲区配置为读写权限。这种权限隔离可防止由于软件缺陷或异常输入导致的内存越界访问破坏关键配置和代码。512KiB的SRAM、16KiB的ICache和16KiB的DCache均带有ECC校验保护，可对单比特错误进行自动纠正并向FCU模块报告。对于健康管理系统而言，ECC机制能够确保传感器校准系数、阈值参数和状态变量等关键数据的完整性。
在时钟与电源监测方面，AS32S601ZIT2型MCU集成了4个时钟监测模块（CMU），可对系统时钟的频率进行实时监测。健康管理系统中的状态采样周期依赖于系统时钟的稳定性，若时钟频率发生漂移，可能导致采样间隔不均匀，进而影响趋势分析算法的准确性。CMU可在时钟频率偏离设定阈值时触发中断，由软件进行时钟源切换或采样周期补偿。电源管理模块（PMU）支持RUN、SRUN、SLEEP和DEEPSLEEP四种工作模式，并集成了低电压检测（LVD/LVR）和高电压检测（HVD）功能。当供电电压异常时，LVD/LVR可自动触发复位，防止MCU在低电压状态下产生错误的控制输出或损坏的遥测数据。
在错误集中管理方面，AS32S601ZIT2型MCU的错误控制模块（FCU）负责收集来自ECC控制器、CMU、PMU和其他模块的故障报告，并按照预设的故障响应策略执行相应的动作。FCU可将故障事件分类为可纠正错误和不可纠正错误，对于可纠正错误（如单比特ECC错误）记录日志并继续运行，对于不可纠正错误（如双比特ECC错误）触发中断或复位。在健康管理系统中，FCU的故障日志可作为设备健康状态评估的重要依据，例如特定SRAM地址频繁出现ECC错误可能预示该存储单元存在硬件缺陷，应在健康管理报告中标记该地址并建议避免使用。
四、抗辐射性能对长期在轨监测可靠性的保障
航天器健康管理系统需要在整星任务周期内持续运行，其控制器必须具备足够的抗辐射能力以保障长期可靠性。AS32S601ZIT2型MCU的抗辐射性能通过了多项国家权威试验机构的系统验证。
在单粒子效应防护方面，AS32S601ZIT2型MCU在中国科学院国家空间科学中心可靠性与环境试验中心开展的重离子单粒子试验中，采用Kr离子（LET值37.9MeV·cm²/mg）对器件进行了总注量1×10⁷ ion/cm²的辐照，注量率为9.9×10³ ion/cm²/s，试验过程中器件工作电流稳定在78mA，未发生SEL现象，SEL的LET阈值高于37.9MeV·cm²/mg。在中国原子能科学研究院100MeV质子回旋加速器上的质子单粒子效应试验中，总注量达到1×10¹⁰量级。脉冲激光单粒子效应试验显示，在LET值约5MeV·cm²·mg⁻¹时未出现SEU，在LET值约75MeV·cm²·mg⁻¹时监测到SEU，数据手册标注的SEU指标为≥75MeV·cm²/mg或10⁻⁵次/器件·天。对于健康管理系统而言，单粒子翻转可能导致某个采样值异常或状态标志位错误，但通常不会立即造成严重后果，因为健康管理系统本身具有数据滤波和异常检测能力，可通过多采样平均和趋势分析识别并剔除异常数据点。
在总剂量效应耐受方面，AS32S601ZIT2型MCU在北京大学技术物理系钴源平台完成的总剂量效应试验显示，在剂量率25rad(Si)/s的条件下，器件经受150krad(Si)的总剂量辐照并完成168小时高温退火后，性能和外观均合格，抗总剂量辐照指标大于150krad(Si)。对于健康管理系统中的ADC而言，总剂量效应可能引起参考电压漂移和增益误差增大，导致传感器读数出现系统性偏差。在系统设计中，应定期执行ADC自校准程序，利用已知的参考电压或内部基准对ADC的偏移和增益进行校准补偿。此外，可在健康管理软件中维护一个辐射剂量累积模型，根据在轨时间和轨道参数估算当前累积剂量，并据此调整传感器读数的补偿系数。
五、结论
航天器健康管理系统对嵌入式控制器的多通道模拟量采集能力、快速故障检测响应速度以及长期在轨可靠性均提出了较高要求。国科安芯AS32S601ZIT2型商业航天级MCU在模拟前端方面提供了2个12位ADC（最多32通道）、2个模拟比较器和1个片上温度传感器，在硬件安全机制方面集成了MPU、CMU、PMU和FCU等模块，在抗辐射性能方面通过了重离子单粒子试验（SEL LET阈值高于37.9MeV·cm²/mg）、质子单粒子效应试验（总注量1×10¹⁰量级）和总剂量效应试验（TID≥150krad(Si)）等多项权威验证。这些技术特性使得该MCU具备应用于航天器健康管理系统多源状态监测与故障诊断任务的能力。在实际工程应用中，通过合理的传感器接口设计、鲁棒的数据滤波与趋势分析算法以及充分利用器件硬件安全机制的多层次防护策略，可构建起满足商业航天可靠性要求的健康管理系统方案。随着商业卫星平台对长寿命和高可用性要求的持续提升，此类具备丰富模拟前端资源和经过系统抗辐射验证的国产MCU，有望在航天器健康管理领域发挥更为重要的作用。