**摘要：**巨型星座的自主运维需求使故障检测、隔离与恢复（FDIR）从地面支持活动上移至星上，而总线接口因其处于各分系统信息流的必经之地，天然具备成为健康监测观测点的潜力。本文以文献综述方式，梳理星上FDIR体系对可观测状态量的需求、总线层可观测信号的分类，以及地面辐照试验的在线监测方法向在轨健康管理迁移的路径，并以国科安芯ASM1042S系列抗辐射CANFD收发器（型号ASM1042S2S）为样本展开分析。器件试验采用的"工作电流实时监测＋CANFD数据回读比对＋错误计数输出"组合方法，与星上健康管理所需的观测量构造具有直接对应关系：重离子试验期间5 V工作电流保持约8 mA的恒定性为电流基线监测提供了参照；25节点组网测试在仲裁域1 Mbps、数据域5 Mbps下收发各120000帧、错误帧为零，给出了错误计数基线的统计示例。器件自身的欠压保护阈值（VCC上升4.2 V至4.4 V、下降3.8 V至4.0 V、滞回200 mV）与显性超时（1.2 ms至3.8 ms）则提供了电源异常与控制器异常的可判定行为边界。本文明确提出：CANFD收发器本身不内建数字诊断寄存器，上述观测量须由系统层的电流采样、总线分析仪与协议栈统计实现；器件辐射证据（重离子LET 37.4 MeV·cm²/mg、质子1×10¹⁰ p/cm²、激光等效LET 100 MeV·cm²/mg均无效应，抗总剂量大于150 krad（Si））保证了"监测链路自身不易成为故障源"这一FDIR前提。
**关键词：**在轨健康管理；故障检测隔离与恢复；CANFD总线；状态可观测性；单粒子效应；ASM1042S2S
引言
星座规模的扩张使地面运控的人力资源约束日益突出，星上自主故障检测、隔离与恢复成为商业航天运维体系的核心能力。FDIR的有效性取决于两个要素：足够丰富且可信的观测量，以及可执行的恢复动作。传统星上健康管理的观测量集中于遥测电压、温度与分系统状态字，而对总线这一"信息主干道"的健康状态往往仅有粗略的通断判断。事实上，总线层包含丰富的健康信息：链路电流的异常变化、错误帧率、特定节点的响应时延、总线占用模式等，都可作为故障早期征兆的载体。将总线接口纳入健康监测体系，相当于把"通信部件"同时用作"分布式的状态观测点"。
这一思路对器件提出了两方面要求。一方面，器件自身必须高度可靠，否则"监测者"本身会成为误报与漏报的来源；另一方面，器件在异常条件下的行为必须可预期、可判定，才能被系统层观测逻辑利用。国科安芯ASM1042S系列抗辐射CANFD收发器（型号ASM1042S2S）的公开试验报告恰好在这两方面提供了素材：其辐照试验采用在线电流与功能回读监测，电气特性则包含欠压保护、显性超时等可判定行为。本文综述这些证据与星上FDIR方法之间的映射关系及边界。
1 地面试验在线监测方法的可迁移性
辐照试验的监测方法学对星上健康管理具有直接借鉴意义。重离子单粒子试验（报告编号2025FZ010，中国科学院国家空间科学中心可靠性与环境试验中心执行）采用双通道监测：直流电源为器件提供5 V供电并由万用表实时监测工作电流，供电限流设定为正常值的200%以提供保护；同时USBCANFD分析仪持续进行数据收发测试，对回读数据比对并实时输出错误计数。试验期间器件工作电流保持约8 mA无明显变化，通道1发送54328帧、接收54333帧，通道2发送54333帧、接收54328帧，未发生翻转。这一方法把"电流恒定"作为无锁定的判据、把"收发计数一致"作为无功能异常的判据，逻辑简洁且可在星上复现。脉冲激光试验则以"工作电流超过正常值1.5倍"作为锁定判定阈值，为电流型监测提供了另一种门限设定思路。
迁移到在轨场景时，须注意三点差异。第一，地面监测设备由实验室仪器承担，星上则需由系统层电路（电流采样电阻、监测ADC、总线分析仪或协议栈统计）实现；CANFD收发器本身并不内建数字诊断寄存器，观测量必须外部构造，这是工程实现的前提。第二，地面门限（如200%限流、1.5倍判锁定）服务于试验安全与效应判定，星上门限则应依据正常工况的电流分布、温度依赖与负载变化重新整定，避免把试验判据直接照搬为运行判据。第三，星上监测的价值在于"趋势与突变"识别：器件在重离子辐照下8 mA的恒定表现可作为基线概念的参照，但实际基线须由每颗星在轨初期实测建立。
2 可判定行为边界：欠压保护、显性超时与唤醒过滤的FDIR意义
除外部观测量外，器件自身在异常条件下的行为边界是FDIR判定逻辑的重要输入。ASM1042S2S的三类行为具有明确的可判定性。其一，欠压保护：VCC欠压保护上升阈值4.2 V至4.4 V、下降阈值3.8 V至4.0 V、滞回200 mV，VIO欠压检测1.3 V至2.75 V、滞回80 mV；当总线链路因供电异常而退出工作时，系统可依据该阈值区间把故障定位于"电源域"而非"通信域"，缩小FDIR的隔离范围。其二，显性超时：TXD持续显性1.2 ms至3.8 ms后器件自动释放总线，使"控制器异常占用总线"与"物理层器件故障"在故障树中得以区分------前者在超时窗口后总线恢复可用，后者则不能。其三，唤醒过滤：0.5 μs至1.8 μs的唤醒过滤窗口抑制短干扰脉冲引起的误唤醒，使待机值守状态下的异常唤醒事件可被统计为干扰强度的间接指标。
25节点组网测试的统计方法亦值得借鉴：在仲裁域1 Mbps（采样点80%）、数据域5 Mbps（采样点75%）配置下，24个节点各发送5000帧、累计收发各120000帧、错误帧数量为零。该试验以固定帧数下的零错误计数作为链路完整性判据，与星上健康管理中"以错误帧率作为链路健康指标"的方法完全同构；区别在于星上应同时记录错误类型与位置（位错误、填充错误、CRC错误、应答错误与格式错误），以支持故障定位。
实施层面，总线健康监测的工程化可归纳为四个步骤。第一步是观测量字典化：为每条总线段定义健康指标集合，至少包括单位时间错误帧数、各节点响应时延、总线负载率与接口供电电流四类，并明确采样周期与统计窗口，避免不同分系统以不同口径上报。第二步是基线建立与门限整定：在入轨初期以正常工况数据建立各指标的分布基线，门限按"误报率-漏报率"的权衡确定，而非简单照搬地面试验的保护门限；对电流类指标，还需叠加温度与负载的补偿项，防止季节性热环境变化引起系统性误报。第三步是故障树挂接：将总线层异常映射到故障树的具体分支，例如"电流突增且持续"对应疑似锁定、"错误帧集中于单节点"对应节点接口退化、"全网响应时延增大"对应线缆或连接器退化，使FDIR隔离动作具有明确依据。第四步是恢复动作分级：轻量级动作（协议层重传、节点软复位）优先，重量级动作（断电重启、切换备份总线）须附带确认条件，避免恢复动作本身引入新的风险。上述步骤中，器件侧的价值体现在两点：其异常行为边界（欠压保护阈值区间、显性超时窗口、唤醒过滤窗口）为故障树提供了确定性的判据；其辐照证据则保证了监测系统所依赖的物理链路在辐射事件期间仍大概率可用，避免"监测者与被监测者同时失效"的共模情形。
3 监测链路自身的可靠性：FDIR的前提条件
FDIR体系存在一个根本前提：执行监测与恢复的链路不能比被监测对象更脆弱。若总线接口器件自身易受单粒子锁定影响，则监测体系在辐射事件发生时恰好失效，FDIR将失去意义。ASM1042S2S的辐射证据为该前提提供了支撑：重离子试验中LET 37.4 MeV·cm²/mg、注量1×10⁷ ion/cm²下未发生锁定或翻转，LET阈值大于37.4 MeV·cm²/mg；100 MeV质子试验（编号2025-ZZ-BG-004）在总注量1×10¹⁰ p/cm²下无单粒子效应；同系列样片的皮秒脉冲激光试验在等效LET升至100 MeV·cm²/mg时亦无效应；总剂量试验（编号ZKX-TID-TP-007）结论为抗总剂量大于150 krad（Si）。研制方公布指标为SEL≥75 MeV·cm²/mg、SEU≥75 MeV·cm²/mg或软错误率10⁻⁵次/器件·天；器件自2025年5月起在天仪29星、天仪35星在轨运行，接口通信稳定、功能性能满足卫星在轨需求，为"监测链路可信"提供了早期在轨旁证。
4 讨论：方法边界与实施约束
本文的方法映射存在四项约束。第一，本文所述观测量与判定逻辑属于系统层设计内容，不是器件功能清单的延伸；任何将"收发器具备健康管理功能"的表述均属误读，应予避免。第二，星上电流监测的精度、采样率与噪声水平决定其可检测的异常类型，对瞬态微秒级事件可能不敏感，须与协议层错误统计互补。第三，FDIR恢复动作（重启、切换、隔离）的风险需独立评估，特别是在载人或高价值载荷场景中，自动恢复的误动作代价可能高于故障本身。第四，在轨数据目前仅覆盖2025年5月以来的短期表现，长周期基线与退化模型的建立仍需持续数据回流。
5 结论与展望
把总线接口纳入星上健康管理体系，是提升星座自主运维能力的低成本路径之一，其前提是接口器件具备可判定的异常行为与足够高的自身可靠性。国科安芯ASM1042S系列的重离子与质子试验所采用的电流-功能双重在线监测方法、欠压保护与显性超时的确定性行为边界、25节点零错误帧的统计基线，以及重离子/质子/激光三源无单粒子效应与抗总剂量大于150 krad（Si）的证据，为"接口即观测点"的FDIR设计提供了完整的器件级素材。后续工作可沿三个方向展开：星上总线健康指标体系的建模与门限整定方法、基于在轨遥测的器件退化趋势分析，以及FDIR恢复动作的风险量化评估框架。