CN114019991B - 一种双计算机架构星箭分离程控任务实现方法 - Google Patents

一种双计算机架构星箭分离程控任务实现方法 Download PDF

Info

Publication number
CN114019991B
CN114019991B CN202111161445.4A CN202111161445A CN114019991B CN 114019991 B CN114019991 B CN 114019991B CN 202111161445 A CN202111161445 A CN 202111161445A CN 114019991 B CN114019991 B CN 114019991B
Authority
CN
China
Prior art keywords
event
sub
computer
satellite
execution
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111161445.4A
Other languages
English (en)
Other versions
CN114019991A (zh
Inventor
侯凤龙
李新刚
王海强
宫江雷
王佐伟
郝燕艳
裴胜伟
李峰
何刚
吕红剑
黄华
刘敏
段传辉
赵欣
姚蘅
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Academy of Space Technology CAST
Original Assignee
China Academy of Space Technology CAST
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Academy of Space Technology CAST filed Critical China Academy of Space Technology CAST
Priority to CN202111161445.4A priority Critical patent/CN114019991B/zh
Publication of CN114019991A publication Critical patent/CN114019991A/zh
Application granted granted Critical
Publication of CN114019991B publication Critical patent/CN114019991B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
    • G05D1/08—Control of attitude, i.e. control of roll, pitch, or yaw
    • G05D1/0808—Control of attitude, i.e. control of roll, pitch, or yaw specially adapted for aircraft
    • G05D1/0816—Control of attitude, i.e. control of roll, pitch, or yaw specially adapted for aircraft to ensure stability
    • G05D1/0833—Control of attitude, i.e. control of roll, pitch, or yaw specially adapted for aircraft to ensure stability using limited authority control

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Remote Sensing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Control Of Position, Course, Altitude, Or Attitude Of Moving Bodies (AREA)

Abstract

本发明公开了一种双计算机架构星箭分离程控任务实现方法，包括：按照执行所需要最小资源需求包络，将星箭分离程控任务分割成K个子事件，并确定各个子事件的延迟时间；按照各子事件的串并行关系，将K个子事件进行归类，得到M个并行的子事件集K1、K2、…、Km、…、KM；当接收到星箭分离信号后，星务计算机使能各子事件集，并根据子事件的延迟时间，星务计算机独立或与姿轨控计算机协同，完成各子事件集中的一个或多个串行执行的子事件对应的指令序列的执行。本发明可适应双星载计算机复杂的串并行程控任务执行顺序关系，执行不成功时自主切换相关备份模块并继续执行与之对应的备份指令序列，尽最大努力实现星箭分离程控任务，提升了卫星的可靠性。

Description

一种双计算机架构星箭分离程控任务实现方法
技术领域
本发明属于航天器通信卫星总体设计技术领域，尤其涉及一种双计算机架构星箭分离程控任务实现方法。
背景技术
星箭分离是火箭与卫星分离的一个重要标志性事件，星箭分离成功标志着卫星开始自主运行。高可靠地实现星箭分离后的各个程控任务是卫星总体设计必须考虑的。
卫星星箭分离过程中一般包括管路排气、液路起爆、对日定向、太阳翼压紧点解锁及展开等工作。早期的卫星设计采用硬件的做法实现可靠的火工品起爆过程，程控时序采用硬件设计，无法根据卫星特点进行自适应设计，此外程控事件部分指令需要地面测控人员参与发送来予以执行。随着星上综合电子技术发展，采用灵活可配置的指令序列实现星箭分离程控任务的需求也越来越突出。
发明内容
本发明的技术解决问题：克服现有技术的不足，提供一种双计算机架构星箭分离程控任务实现方法，可适应双星载计算机复杂的串并行程控任务执行顺序关系，执行不成功时自主切换相关备份模块并继续执行与之对应的备份指令序列，尽最大努力实现星箭分离程控任务，提升了卫星的可靠性。
为了解决上述技术问题，本发明公开了一种双计算机架构星箭分离程控任务实现方法，包括：
按照执行所需要最小资源需求包络，将星箭分离程控任务分割成K个子事件，并确定各个子事件的延迟时间；
按照各子事件的串并行关系，将K个子事件进行归类，得到M个并行的子事件集K1、K2、···、Km、···、KM；其中，每个子事件集中包括一个或多个串行执行的子事件，多个串行执行的子事件在子事件集中按照执行顺序先后依次排列，M≤K；
当接收到星箭分离信号后，星务计算机使能各子事件集，并根据子事件的延迟时间，星务计算机独立或与姿轨控计算机协同，完成各子事件集中的一个或多个串行执行的子事件对应的指令序列的执行。
在上述双计算机架构星箭分离程控任务实现方法中，当接收到星箭分离信号后，星务计算机使能各子事件集，并根据子事件的延迟时间，星务计算机独立或与姿轨控计算机协同，完成各子事件集中的一个或多个串行执行的子事件对应的指令序列的执行，包括：
当接收到星箭分离信号后，星务计算机使能各子事件集中的首个子事件；
待等待时间到达某一子事件集Km中的首个子事件Km1所对应的延迟时间，星务计算机根据所述首个子事件Km1的类型，独立或与姿轨控计算机协同，执行所述首个子事件Km1对应的指令序列；
当首个子事件Km1对应的指令序列执行完成后，判断在所述某一子事件集Km中，首个子事件Km1是否存在串联执行的下一子事件Km2；
若首个子事件Km1存在串联执行的下一子事件Km2，则使能下一子事件Km2；待等待时间到达下一子事件Km2所对应的延迟时间，星务计算机根据下一子事件Km2的类型，独立或与姿轨控计算机协同，执行所述下一子事件Km2对应的指令序列；依次类推，直至无下一子事件；
若首个子事件Km1不存在串联执行的下一子事件Km2，则结束流程。
在上述双计算机架构星箭分离程控任务实现方法中，若当前子事件的类型为第一类型，则星务计算机按照如下步骤独立完成所述当前子事件对应的指令序列的执行：
星务计算机设置当前子事件的执行状态标识为正在执行，当前子事件的执行次数加1，并执行所述当前子事件对应的指令序列；
在当前子事件对应的指令序列执行完成后，更新当前子事件的执行状态标识为执行结束，设置当前子事件为禁止状态，并得到当前子事件的执行结果标识；
判断当前子事件的执行结果标识是否为成功；
若确定当前子事件的执行结果标识为成功，则判断当前子事件是否存在串联执行的下一子事件；其中，若当前子事件存在串联执行的下一子事件，则使能当前子事件的下一子事件；若当前子事件不存在串联执行的下一子事件，则结束流程；
若确定当前子事件的执行结果标识为不成功，则开始计时，并判断在计时达到设定时间阈值Ⅰ之前，是否接收到终止当前子事件的下一子事件的程控指令；其中，若接收到终止当前子事件的下一子事件的程控指令，则结束流程；若未接收到终止当前子事件的下一子事件的程控指令，则使能当前子事件的下一子事件。
在上述双计算机架构星箭分离程控任务实现方法中，若当前子事件的类型为第二类型，则星务计算机与姿轨控计算机协同，按照如下步骤完成所述当前子事件对应的指令序列的执行：
星务计算机向姿轨控计算机发送执行当前子事件的启动指令，同时，设置当前子事件的执行状态标识为正在执行，当前子事件的执行次数加1；
姿轨控计算机接收到启动指令后，执行所述当前子事件对应的指令序列；在当前子事件对应的指令序列执行完成后，更新当前子事件的执行状态标识，并向星务计算机返回更新后的当前子事件的执行状态标识及当前子事件的执行结果标识；
星务计算机接收由姿轨控计算机返回的更新后的当前子事件的执行状态标识，并判断更新后的当前子事件的执行状态标识是否为执行结束；
若确定更新后的当前子事件的执行状态标识为执行结束，则设置当前子事件为禁止状态，并判断由姿轨控计算机返回的当前子事件的执行结果标识是否为成功；其中，若当前子事件的执行结果标识为成功，则确定当前子事件执行完成，判断当前子事件是否存在串联执行的下一子事件，若当前子事件存在串联执行的下一子事件，则使能当前子事件的下一子事件，若当前子事件不存在串联执行的下一子事件，则结束流程；若当前子事件的执行结果标识为不成功，则开始计时，并判断在计时达到设定时间阈值Ⅱ之前，是否接收到终止当前子事件的下一子事件的程控指令，若在计时达到设定时间阈值Ⅱ之前接收到终止当前子事件的下一子事件的程控指令，则结束流程，若在计时达到设定时间阈值Ⅱ之前未接收到终止当前子事件的下一子事件的程控指令，则使能当前子事件的下一子事件；
若确定更新后的当前子事件的执行状态标识不为执行结束，则开始计时，若计时未超过设定时间阈值Ⅲ，则返回执行星务计算机接收由姿轨控计算机返回的更新后的当前子事件的执行状态标识，并判断更新后的当前子事件的执行状态标识是否为结束的步骤；若计时超过设定时间阈值Ⅲ，则返回执行星务计算机向姿轨控计算机发送执行当前子事件的启动指令的步骤，其中，星务计算机向姿轨控计算机发送执行当前子事件的启动指令的次数不超过2次。
在上述双计算机架构星箭分离程控任务实现方法中，
卫星采用星务计算机和姿轨控计算机的双计算机构架；其中，星务计算机和姿轨控计算机在卫星发射前加电并进行起飞状态设置；姿轨控计算机作为下位机，用于姿轨控任务的控制计算与实施；星务计算机作为上位机，用于除姿轨控任务之外的其它星务任务的控制计算与实施；
星务计算机和姿轨控计算机均采用主备份硬件冗余设计；其中，星务计算机中设置有硬件故障监测模块Ⅰ，硬件故障监测模块Ⅰ，用于对星务计算机的运行状态进行监视，当判定星务计算机出现故障时，进行自动切机；姿轨控计算机中设置有硬件故障监测模块Ⅱ，硬件故障监测模块Ⅱ，用于姿轨控计算机的运行状态进行监视，当判定姿轨控计算机出现故障时，进行自动切机；
自动切机的策略如下：
策略11：星务计算机在执行星箭分离程控任务期间，定期保存必要的重要数据，发生主备份切机后，必要的重要数据不丢失；若星务计算机正在执行星箭分离程控任务的某一子事件期间发生异常切机，则切换至备份星务计算机后，重新完整的执行前一时刻正在执行的子事件对应的指令序列，在切机之前已经执行结束的子事件不再次执行；
策略12：若姿轨控计算机发生异常切机，则切换至备份姿轨控计算机后，恢复至可根据星务计算机指令进一步执行姿轨控计算机负责的子事件的状态；
策略13：对于姿轨控计算机负责的任一子事件，若姿轨控计算机在“姿轨控计算机返回本事件执行结束标识的最长限定时间”内未能返回子事件执行结束标识，则星务计算机判定姿轨控计算机发生异常切机；若星务计算机向姿轨控计算机累计发送启动所述任一子事件的指令的次数小于2，则再次向姿轨控计算机发送启动所述任一子事件的指令。
在上述双计算机架构星箭分离程控任务实现方法中，每个子事件对应的指令序列的设计原则如下：
原则1：按照不依赖卫星射前具体起飞地面设置状态进行设计；
原则2：发送特定指令之前做必要的前提性判断及处理；
原则3：指令序列在多次重复执行时不会对卫星带来危害；
原则4：每个子事件对应的指令序列均设置唯一的是否执行成功判据；子事件对应的指令序列执行不成功时，自主进行主备份切换，并继续执行对应的备份指令序列。
在上述双计算机架构星箭分离程控任务实现方法中，K个子事件的调度策略如下：
策略21：对于需要串行执行的子事件，星务计算机、姿轨控计算机之间严格按照子事件规划的先后顺序执行；且，在前一个子事件执行成功后自动执行后续串行的子事件；若前一个子事件执行不成功，暂停后续串行的子事件的执行，等待地面进行干预处理，待计时超过等待地面进行干预处理的最长限定时间后，强制执行后续串行的子事件；
策略22：对于分配至星务计算机、姿轨控计算机内部的可并行执行的子事件，按照子事件各自需求分别予以并行执行。
在上述双计算机架构星箭分离程控任务实现方法中，星务计算机和姿轨控计算机之间采用如下松耦合策略设计：
策略31：星务计算机所执行的星务任务与姿轨控计算机所执行的姿轨控任务之间各自独立；
策略32：除星务计算机周期性获取姿轨控计算机返回的一般性遥测信息外，非必要情况下星务计算机与姿轨控计算机之间不进行交互；
策略33：星箭分离程控任务期间，星务计算机通过指令对姿轨控计算机进行控制，姿轨控计算机通过树立特定遥测标识位通知星务计算机相关指令的执行状态。
在上述双计算机架构星箭分离程控任务实现方法中，星箭分离程控任务对应的各子事件按照如下策略进行参数设置：
策略41：对于每一个星箭分离程控任务的子事件，星务计算机均设置表征“禁止”、“使能”两种状态的“子事件使能/禁止状态”参数，设置表征“尚未执行”、“正在执行”、“执行结束”三种状态的“子事件流程执行状态”参数，设置表征“执行成功”、“执行不成功”两种状态的“子事件执行结果”参数，设置表征“子事件执行时刻相对于使能时刻的延时时间”参数，设置“子事件执行不成功后等待地面判断处理的计时”参数，设置“子事件已执行的次数”参数；
策略42：对于姿轨控计算机负责的子事件，星务计算机均设置“姿轨控计算机返回本子事件执行结束标识最长限定时间”参数。
在上述双计算机架构星箭分离程控任务实现方法中，星箭分离程控任务开始执行的唯一触发条件为：总星箭分离信号SEP为真TRUE；其中，总星箭分离信号SEP的判断流程如下：
设置2路或2路以上硬件上相互独立的星箭分离状态信号送给星务计算机，并将对应的星箭分离状态信息记为D1至DN；其中，Dn为1时，表示星箭已分离；Dn为0时，表示星箭未分离；1≤n≤N；
通过分别判断D1至Dn的由0至1的阶跃过程，给出D1至Dn各自对应的星箭分离信号SEP1至SEPn；
若SEP1至SEPn中任意一个为真TRUE，则确定总星箭分离信号SEP为真TRUE。
本发明具有以下优点：
(1)本发明公开了一种双计算机架构星箭分离程控任务实现方法，按照执行所需要最小资源需求包络，将星箭分离程控任务分割成K个子事件，将K个子事件划分到星务计算机、姿轨控计算机分别进行管理，之后根据航天器特点实现程控需求进行灵活的定制化设计，满足了星箭分离程控任务对指令序列灵活可配置的需求。
(2)本发明公开了一种双计算机架构星箭分离程控任务实现方法，将星箭分离程控任务分割成K个子事件进行管理，发送特定指令之前做必要的前提性判断及处理，减少了对地面起飞状态设置的依赖；每个子事件均设置唯一的是否执行成功的判据，子事件执行不成功时自主切换相关备份计算机并继续执行与之对应的备份指令序列，能够适应双计算机架构下故障切机等极端工况。
(3)本发明公开了一种双计算机架构星箭分离程控任务实现方法，具有极高的可靠性，显著地降低了对地面故障预案的需求。
附图说明
图1是本发明实施例中一种双计算机架构星箭分离程控任务实现方法的步骤流程图；
图2是本发明实施例中一种与星箭分离程控任务相关的简化后的卫星推进分系统的原理框图；
图3是本发明实施例中一种星箭分离程控任务的各子事件的调度策略流程示意图；
图4是图3中EVENT1、EVENT2-1、EVENT2-2、EVENT2-3、EVENT3子事件的调度策略流程详图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明公开的实施方式作进一步详细描述。
本发明公开了一种双计算机架构星箭分离程控任务实现方法，该方法基于双计算机架构实现。双计算机架构具体是指：星务计算机(SMU)+姿轨控计算机(AOCC)的双计算机构架；星务计算机和姿轨控计算机在卫星发射前加电并进行起飞状态设置。其中，姿轨控计算机作为下位机，用于姿轨控任务的控制计算与实施。星务计算机作为上位机，用于除姿轨控任务之外的其它星务任务(如，遥测、遥控、能源、热控等其它星务功能)的控制计算与实施。
在本实施例中，为了提高硬件可靠性，星务计算机和姿轨控计算机均采用主备份硬件冗余设计。其中，星务计算机中设置有硬件故障监测模块Ⅰ，硬件故障监测模块Ⅰ，用于对星务计算机的运行状态进行监视，当判定星务计算机出现故障时，进行自动切机；姿轨控计算机中设置有硬件故障监测模块Ⅱ，硬件故障监测模块Ⅱ，用于姿轨控计算机的运行状态进行监视，当判定姿轨控计算机出现故障时，进行自动切机。
优选的，自动切机的策略如下：
策略11：星务计算机在执行星箭分离程控任务期间，定期保存必要的重要数据(例如执行状态，事件执行结束与成功标志位，执行次数，禁止、使能开关标志等)，发生主备份切机后，必要的重要数据不丢失；若星务计算机正在执行星箭分离程控任务的某一子事件期间发生异常切机，则切换至备份星务计算机后，重新完整的执行前一时刻正在执行的子事件对应的指令序列，在切机之前已经执行结束的子事件不再次执行。
策略12：若姿轨控计算机发生异常切机，则切换至备份姿轨控计算机后，恢复至可根据星务计算机指令进一步执行姿轨控计算机负责的子事件的状态。
策略13：对于姿轨控计算机负责的任一子事件，若姿轨控计算机在“姿轨控计算机返回本事件执行结束标识的最长限定时间”内未能返回子事件执行结束标识，则星务计算机判定姿轨控计算机发生异常切机；若星务计算机向姿轨控计算机累计发送启动所述任一子事件的指令的次数小于2，则再次向姿轨控计算机发送启动所述任一子事件的指令。
在本实施例中，姿轨控计算机作为姿轨控分系统的核心控制单元，内部控制逻辑复杂，可以形成独立于星务功能的闭环系统。为了降低星务功能与姿轨控功能之间交互设计的复杂度，确保两个星载计算机各自可靠运行，星务计算机和姿轨控计算机之间采用如下松耦合策略设计：策略31：星务计算机所执行的星务任务与姿轨控计算机所执行的姿轨控任务之间各自独立。策略32：除星务计算机周期性获取姿轨控计算机返回的一般性遥测信息外，非必要情况下星务计算机与姿轨控计算机之间不进行交互。策略33：星箭分离程控任务期间，星务计算机通过指令对姿轨控计算机进行控制，姿轨控计算机通过树立特定遥测标识位通知星务计算机相关指令的执行状态。
在本实施例中，如图1，该双计算机架构星箭分离程控任务实现方法，包括：
步骤101，按照执行所需要最小资源需求包络，将星箭分离程控任务分割成K个子事件，并确定各个子事件的延迟时间。
步骤102，按照各子事件的串并行关系，将K个子事件进行归类，得到M个并行的子事件集K1、K2、···、Km、···、KM。
在本实施例中，每个子事件集中包括一个或多个串行执行的子事件，多个串行执行的子事件在子事件集中按照执行顺序先后依次排列，M≤K。
步骤103，当接收到星箭分离信号后，星务计算机使能各子事件集，并根据子事件的延迟时间，星务计算机独立或与姿轨控计算机协同，完成各子事件集中的一个或多个串行执行的子事件对应的指令序列的执行。
在本实施例中，该步骤103具体可以包括如下子步骤：
子步骤1031，当接收到星箭分离信号后，星务计算机使能各子事件集中的首个子事件。
子步骤1032，待等待时间到达某一子事件集Km中的首个子事件Km1所对应的延迟时间，星务计算机根据所述首个子事件Km1的类型，独立或与姿轨控计算机协同，执行所述首个子事件Km1对应的指令序列。
子步骤1033，当首个子事件Km1对应的指令序列执行完成后，判断在所述某一子事件集Km中，首个子事件Km1是否存在串联执行的下一子事件Km2。
在本实施例中，若首个子事件Km1存在串联执行的下一子事件Km2，则执行子步骤1034；若首个子事件Km1不存在串联执行的下一子事件Km2，则结束流程。
子步骤1034，使能下一子事件Km2；待等待时间到达下一子事件Km2所对应的延迟时间，星务计算机根据下一子事件Km2的类型，独立或与姿轨控计算机协同，执行所述下一子事件Km2对应的指令序列；依次类推，直至无下一子事件。
在本实施例中，可以按照执行所需要最小资源需求包络进行划分子事件，其中星务计算机可以独立执行所述当前子事件对应的指令序列的子事件为第一类型子事件；姿轨控计算机可以独立执行所述当前子事件对应的指令序列的子事件为第二类型子事件。
优选的，若当前子事件的类型为第一类型，则星务计算机按照如下步骤独立完成所述当前子事件对应的指令序列的执行：
星务计算机设置当前子事件的执行状态标识为正在执行，当前子事件的执行次数加1，并执行所述当前子事件对应的指令序列。
在当前子事件对应的指令序列执行完成后，更新当前子事件的执行状态标识为执行结束，设置当前子事件为禁止状态，并得到当前子事件的执行结果标识。
判断当前子事件的执行结果标识是否为成功。
若确定当前子事件的执行结果标识为成功，则判断当前子事件是否存在串联执行的下一子事件；其中，若当前子事件存在串联执行的下一子事件，则使能当前子事件的下一子事件；若当前子事件不存在串联执行的下一子事件，则结束流程。
若确定当前子事件的执行结果标识为不成功，则开始计时，并判断在计时达到设定时间阈值Ⅰ之前，是否接收到终止当前子事件的下一子事件的程控指令；其中，若接收到终止当前子事件的下一子事件的程控指令，则结束流程；若未接收到终止当前子事件的下一子事件的程控指令，则使能当前子事件的下一子事件。
优选的，若当前子事件的类型为第二类型，则星务计算机与姿轨控计算机协同，按照如下步骤完成所述当前子事件对应的指令序列的执行：
星务计算机向姿轨控计算机发送执行当前子事件的启动指令，同时，设置当前子事件的执行状态标识为正在执行，当前子事件的执行次数加1。
姿轨控计算机接收到启动指令后，执行所述当前子事件对应的指令序列；在当前子事件对应的指令序列执行完成后，更新当前子事件的执行状态标识，并向星务计算机返回更新后的当前子事件的执行状态标识及当前子事件的执行结果标识；。
星务计算机接收由姿轨控计算机返回的更新后的当前子事件的执行状态标识，并判断更新后的当前子事件的执行状态标识是否为执行结束。
若确定更新后的当前子事件的执行状态标识为执行结束，则设置当前子事件为禁止状态，并判断由姿轨控计算机返回的当前子事件的执行结果标识是否为成功；其中，若当前子事件的执行结果标识为成功，则确定当前子事件执行完成，判断当前子事件是否存在串联执行的下一子事件，若当前子事件存在串联执行的下一子事件，则使能当前子事件的下一子事件，若当前子事件不存在串联执行的下一子事件，则结束流程；若当前子事件的执行结果标识为不成功，则开始计时，并判断在计时达到设定时间阈值Ⅱ之前，是否接收到终止当前子事件的下一子事件的程控指令，若在计时达到设定时间阈值Ⅱ之前接收到终止当前子事件的下一子事件的程控指令，则结束流程，若在计时达到设定时间阈值Ⅱ之前未接收到终止当前子事件的下一子事件的程控指令，则使能当前子事件的下一子事件。
若确定更新后的当前子事件的执行状态标识不为执行结束，则开始计时，若计时未超过设定时间阈值Ⅲ，则返回执行星务计算机接收由姿轨控计算机返回的更新后的当前子事件的执行状态标识，并判断更新后的当前子事件的执行状态标识是否为结束的步骤；若计时超过设定时间阈值Ⅲ，则返回执行星务计算机向姿轨控计算机发送执行当前子事件的启动指令的步骤，其中，星务计算机向姿轨控计算机发送执行当前子事件的启动指令的次数不超过2次。
其中，需要说明的是：
设定时间阈值Ⅰ～Ⅲ的具体取值可以根据实际情况选择。
每个子事件对应的指令序列的设计原则如下：原则1：按照不依赖卫星射前具体起飞地面设置状态进行设计。原则2：发送特定指令(指发令前需要根据当前设置状态动态进行调整的指令)之前做必要的前提性判断及处理。原则3：指令序列在多次重复执行时不会对卫星带来危害。原则4：每个子事件对应的指令序列均设置唯一的是否执行成功判据；子事件对应的指令序列执行不成功时，自主进行主备份切换，并继续执行对应的备份指令序列。
K个子事件的调度策略如下：策略21：对于需要串行执行的子事件，星务计算机、姿轨控计算机之间严格按照子事件规划的先后顺序执行；且，在前一个子事件执行成功后自动执行后续串行的子事件；若前一个子事件执行不成功，暂停后续串行的子事件的执行，等待地面进行干预处理，待计时超过等待地面进行干预处理的最长限定时间后，强制执行后续串行的子事件。策略22：对于分配至星务计算机、姿轨控计算机内部的可并行执行的子事件，按照子事件各自需求分别予以并行执行。
星箭分离程控任务对应的各子事件按照如下策略进行参数设置：策略41：对于每一个星箭分离程控任务的子事件，星务计算机均设置表征“禁止”、“使能”两种状态的“子事件使能/禁止状态”参数，设置表征“尚未执行”、“正在执行”、“执行结束”三种状态的“子事件流程执行状态”参数，设置表征“执行成功”、“执行不成功”两种状态的“子事件执行结果”参数，设置表征“子事件执行时刻相对于使能时刻的延时时间”参数，设置“子事件执行不成功后等待地面判断处理的计时”参数，设置“子事件已执行的次数”参数。策略42：对于姿轨控计算机负责的子事件，星务计算机均设置“姿轨控计算机返回本子事件执行结束标识最长限定时间”参数。
星箭分离程控任务开始执行的唯一触发条件为：总星箭分离信号SEP为真TRUE。其中，总星箭分离信号SEP的判断流程如下：设置2路或2路以上硬件上相互独立的星箭分离状态信号送给星务计算机，并将对应的星箭分离状态信息记为D1至DN；Dn为1时，表示星箭已分离；Dn为0时，表示星箭未分离；1≤n≤N；通过分别判断D1至Dn的由0至1的阶跃过程，给出D1至Dn各自对应的星箭分离信号SEP1至SEPn；若SEP1至SEPn中任意一个为真TRUE，则确定总星箭分离信号SEP为真TRUE。
在上述实施例的基础上，下面结合一个具体实例进行说明。
如图2，为本发明实施例中一种与星箭分离程控任务相关的简化后的卫星推进分系统的原理框图。卫星推进分系统采用并联贮箱设计，包括：一组氧化剂贮箱Tanko1和燃烧剂贮箱Tankf1，以及并联的另外一组氧化剂贮箱Tanko2和燃烧剂贮箱Tankf2，以及对应的下游自锁阀：自锁阀LV1、自锁阀LV2、自锁阀LV3、自锁阀LV4，下游加排阀：加排阀MV1、加排阀MV2，下游常闭电爆阀：常闭电爆阀PV11、常闭电爆阀PV12、常闭电爆阀PV13、常闭电爆阀PV14，下游压力传感器：压力传感器PT5、压力传感器PT6。
自锁阀LV1、自锁阀LV2、自锁阀LV3和自锁阀LV4，用于贮箱推进剂平衡排放以及氧化剂、燃烧剂混合比控制。
当通过加排阀MV1、加排阀MV2完成对贮箱的氧化剂、燃烧剂加注后，设置自锁阀LV1、自锁阀LV2为开启状态(防止加注后贮箱下游管路中推进剂因温度变化导致管路内压力升高)，设置自锁阀LV3、自锁阀LV4为关闭状态(防止并联贮箱之间因气垫压力不完全一致导致贮箱之间不平衡导分布)。
常闭电爆阀PV11、常闭电爆阀PV13，用于完成与推力器1A至8A、1B至8B的氧化剂隔离；常闭电爆阀PV12、常闭电爆阀PV14，用于完成与推力器1A至8A、1B至8B的燃烧剂隔离。
传感器PT5、传感器PT6，用于测量液路接通后的管路内氧化剂、燃烧剂压力。
此外，每台推力除了常闭的氧燃电磁阀之外，对应的氧、燃管路还进一步设置了推力器氧路自锁阀、燃路管路自锁阀用于推力器故障时的隔离，分别记为(L1AO，L1AF)至(L8AO，L8AF)、(L1BO，L1BF)至(L8BO，L8BF)。
本发明实施例中，星箭分离程控任务具体可以包括，推进管路排气、接通推进剂液路、太阳捕获、太阳翼压紧点解锁及展开获得能源，此外还需要开启热控流体回路泵并进行测控增益档设置。其中，卫星发射时推进液路管路内预存一部分保护气体，需要在填充氧燃推进剂前进行气体排空处理，管路排气工作由姿轨控计算机发送指令驱动其下位机执行机构单元(ADU)来开启推力器5A-8A，5B-8B的电磁阀60s，利用外太空的真空环境完成管路排气，该工作由AOCC负责来完成。
为了接通推进剂液路，需要SMU、AOCC相互配合，具体分三个步骤来完成：第一步需要关闭自锁阀LV1、LV2、LV3、LV4，这部分工作由AOCC对ADU发对应指令来完成；第二步由SMU驱动其下位机平台综合业务单元(FLDIU)完成常闭电爆阀PV11、PV13与常闭电爆阀PV12、PV14起爆工作；第三步由AOCC发令给ADU开启推进剂贮箱下游的自锁阀LV1或LV3中的一个以及LV2或LV4中的一个来分别接通氧化剂与燃烧剂；其中仅LV1、LV3以及LV2、LV4中一个开启、一个关闭是为了防止并联的星箭分离时的贮箱初始气垫压力不均匀导致并联的贮箱内发生推进剂不平衡排放情况。
推进分系统接通液路是推力器具备点火的必要条件之一。在此基础上AOCC根据太阳敏感器、星敏感器、陀螺等敏感器反馈信息驱动作为姿态控制执行机构的推力器点火来完成太阳捕获。
AOCC完成太阳捕获后，SMU发送指令驱动其下位机FLDIU完成太阳翼压紧点火工品PN1、PN7，PS1、PS7，PN3、PN5，PS3、PS5，PN2、PN6，PS2、PS6，PN4、PN8，PS4、PS8的依序起爆。起爆后卫星南北两侧太阳翼完成一次展开，展开的外侧板电池片在对日巡航状态下已经直接受太阳照射并能够为卫星在转移轨道期间提供足够的能源。异常情况下，如果AOCC在星箭分离3600s后还未完成太阳捕获，SMU直接起爆太阳翼压紧点火工品完成太阳翼解锁展开。对日巡航状态下，太阳翼解锁展开后卫星的能源安全得到保证。
除了上述介绍的星箭分离程控任务的主线任务，SMU还有需要在辅线上执行两个子事件，分别是开启热控流体回路泵以及进行测控增益档设置。其中，开启热控流体回路泵子事件在星箭分离后30s后开始执行，设置测控增益档子事件在星箭分离后12min后开始执行。
SMU、AOCC在卫星发射前加电并进行必要的软硬件相关的起飞状态设置。默认为SMU、AOCC均主份加电，对应的各自硬件故障监测模块加电对两个星载计算机的运行状态进行监视；FLDIU、ADU相关接口及驱动模块均主份加电，贮箱下游自锁阀LV1、LV2开启、LV3、LV4关闭，10N推力器氧路、燃路管路自锁全部开启。在特殊情况下，发射前部分单机也存在备份加电发射的可能，或者在主动段、星箭分离程控期间部分模块发生异常的情况。为了提高可靠性，星箭分离程控任务实现方法中需要降低对于地面起飞状态设置的依赖，同时最大程度提高星上自主处理异常能力。
本发明实施例中，如表1所示，将星箭分离程控任务按照事件功能以及执行该功能所需要最小资源需求包络分割成8个不同的子事件，划分到SMU或AOCC分别进行管理；对于SMU或AOCC负责的每个子事件，其内部所需要的指令、遥测资源是完备的，并且指令的发送与遥测获取的是相对最短的。其中，EVENT1管路排气、EVENT2-1接通液路(关闭自锁阀)、EVENT2-3接通液路(开启自锁阀)、EVENT3太阳捕获等4个子事件由AOCC负责；EVENT1A开启热控流体回路泵、EVENT2-2接通液路(电爆阀起爆)、EVENT3A测控设置、EVENT4太阳翼一次展开火工品起爆等4个子事件由SMU负责。
其中，EVENT1管路排气、EVENT2-1接通液路(关闭自锁阀)、EVENT2-2接通液路(电爆阀起爆)、EVENT2-3接通液路(开启自锁阀)、EVENT3太阳捕获这5个子事件属于需要串行执行的任务。正常情况下，在前一个子事件执行成功后自动启动后续子事件；如果前一个子事件执行不成功，后续需要串行执行的子事件予以暂停执行，等待地面进行干预处理，待计时超过执行不成功情况下等待地面判断处理的最长限定时间后强制执行后续子事件。
EVENT1A开启热控流体回路泵、EVENT3A测控设置、EVENT4太阳翼一次展开火工品起爆等3个子事件与其他子事件之间并不需要严格串行执行，根据实际执行需要安排特定时机执行即可。
表1
本发明实施例中，如前所述，各子事件对应的指令序列的设计原则如下：按照不依赖卫星射前具体起飞地面设置状态进行设计；发送特定指令之前做必要的前提性判断及处理；指令序列在多次重复执行时不会对卫星带来危害；每个子事件对应的指令序列均设置唯一的是否执行成功判据；子事件对应的指令序列执行不成功时，自主进行主备份切换，并继续执行对应的备份指令序列。具体到当前实例中，设计如下：
一、子事件EVENT1：管路排气
执行方：AOCC
1、确认ADU中的主份或备份接口模块之一加电；如果均未加电，在主份健康的情况下优先开启主份接口模块，如果主份不健康则开启备份接口模块；
2、确认ADU中的主份或备份推进驱动模块之一加电；如果均未加电，在主份健康的情况下优先开启主份推进驱动模块，如果主份不健康则开启备份推进驱动模块；
3、开推力器1A-8A，1B-8B氧路、燃路管路自锁阀L1AO、L1AF至L8AO、L8AF、L1BO、L1BF至L8BO、L8BF，之后开启推力器5A-8A，5B-8B的电磁阀60s，进行推进分系统管路排气；
4、根据压力传感器PT5、PT6判断是否推进管路排气成功，判断过程需要对压力传感器的遥测数据进行必要数据有效性判断(下同)；若成功则设置EVENT1事件执行结果标识Z1为成功，并跳转至步骤7；若不成功，继续执行步骤5；
5、将当前ADU中接口模块、推进驱动模块切换至可用的备份模块(如果无可用的健康模块则不进行切换，维持当前状态)，再次重复步骤3中的工作，进行推进分系统管路排气；
6、再次根据压力传感器PT5、PT6判断是否推进管路排气成功，并根据实际情况设置EVENT1事件执行结果标识Z1；
7、设置EVENT1事件执行流程状态标识J1为结束。
二、子事件EVENT2-1：接通液路(关闭自锁阀)
执行方：AOCC
1、确认ADU中的主份或备份接口模块之一加电；如果均未加电，在主份健康的情况下优先开启主份接口模块，如果主份不健康则开启备份接口模块；
2、确认ADU中的主份或备份推进驱动模块之一加电；如果均未加电，在主份健康的情况下优先开启主份推进驱动模块，如果主份不健康则开启备份推进驱动模块；
3、关闭自锁阀LV1、LV2、LV3、LV4；
4、根据自锁阀LV1、LV2、LV3、LV4遥测信息，判断是否自锁阀关闭成功；若成功则设置EVENT2-1事件执行结果标识Z2-1为成功，并跳转至步骤7；若不成功，继续执行步骤5；
5、将当前ADU中接口模块、推进驱动模块切换至可用的备份模块(如果无可用的健康模块则不进行切换，维持当前状态)，再次重复步骤3中的工作，关闭自锁阀LV1、LV2、LV3、LV4；
6、再次根据自锁阀LV1、LV2、LV3、LV4遥测信息，判断是否关闭成功，并根据实际情况设置EVENT2-1事件执行结果标识Z2-1；
7、设置EVENT2-1事件执行流程状态标识J2-1为结束。
三、子事件EVENT2-2接通液路(电爆阀起爆)
执行方：SMU
1、确认PLDIU中的主份或备份接口模块之一加电；如果均未加电，在主份健康的情况下优先开启主份接口模块，如果主份不健康则开启备份接口模块；
2、确认PLDIU中的主份或备份火工品驱动模块之一加电；如果均未加电，在主份健康的情况下优先开启主份火工品驱动模块，如果主份不健康则开启备份火工品驱动模块；
3、判断全部组控开关是否为断的状态，若否则进一步断全部组控开关；设置需要起爆的组控以及选择开关为开状态。设置需要起爆电爆阀的组控以及选择开关为开状态；若主份或备份中的组控开关及选择开关设置正确，且无其它组控开关及选择开关异常接通就发送火工装置起爆指令，并判为起爆成功；根据上述方法依次起爆PV11、PV12、PV13、PV14；
4、如果PV11或PV12起爆成功并且PV13或PV14起爆成功，则判为EVENT2-2事件执行成功；若成功则设置EVENT2-2事件执行结果标识Z2-2为成功，并跳转至步骤7；若不成功，继续执行步骤5；
5、将当前PLDIU中接口模块、火工品驱动模块切换至可用的备份模块(如果无可用的健康模块则不进行切换，维持当前状态)，再次重复步骤3中的工作，依次起爆PV11、PV12、PV13、PV14；
6、再次根据步骤3中的方法判断EVENT2-2事件是否执行成功；
7、设置EVENT2-2事件执行流程状态标识J2-2为结束。
四、子事件EVENT2-3：接通液路(开启自锁阀)
执行方：AOCC
1、确认ADU中的主份或备份接口模块之一加电；如果均未加电，在主份健康的情况下优先开启主份接口模块，如果主份不健康则开启备份接口模块；
2、确认ADU中的主份或备份推进驱动模块之一加电；如果均未加电，在主份健康的情况下优先开启主份推进驱动模块，如果主份不健康则开启备份推进驱动模块；
3、开自锁阀LV1，LV2；
4、通过压力传感器PT5来判断LV1对应的氧化剂分支管路是否接通，若未接通则开启备份的LV3，并再次通过PT5判断氧化剂分支管路是否接通；通过压力传感器PT6来判断燃烧剂分支管路是否接通，若未接通则开启备份的LV4，并再次通过PT6判断燃烧剂分支管路是否接通；如果氧化剂分支与燃烧剂分支均接通，则设置EVENT2-3事件执行结果标识Z2-3为成功，并跳转至步骤7；若不成功，继续执行步骤5；
5、将当前ADU中接口模块、推进驱动模块切换至可用的备份模块(如果无可用的健康模块则不进行切换，维持当前状态)；如果氧化剂分支管路未接通，则优先开启LV1，并利用PT5判断氧化剂分支管路是否接通，如果未接通则开启LV3，并再次之后利用PT5判断氧化剂分支管路是否接通；如果燃烧剂分支管路未接通，则优先开启LV2，并利用PT6判断燃烧剂分支管路是否接通，如果未接通则开启LV4，并再次之后利用PT6判断燃烧剂分支管路是否接通；
6、如果氧化剂分支与燃烧剂分支均接通，则设置EVENT2-3事件执行结果标识Z2-3为成功；否则置为不成功；
7、设置EVENT2-3事件执行流程状态标识J2-3为结束。
五、子事件EVENT3：
执行方：AOCC
1、确认ADU中的主份或备份接口模块之一加电；如果均未加电，在主份健康的情况下优先开启主份接口模块，如果主份不健康则开启备份接口模块；
2、确认ADU中的主份或备份推进驱动模块之一加电；如果均未加电，在主份健康的情况下优先开启主份推进驱动模块，如果主份不健康则开启备份推进驱动模块；
3、开太阳敏感器、开陀螺、开星敏等敏感器；
4、再次开太阳敏感器、开陀螺、开星敏等敏感器；
5、转太阳捕获模式；
6、设置EVENT3事件执行流程状态标识J3为结束；
7、待完成对日续航后并且姿态、角速度满足一定条件后设置EVENT3事件执行结果标识Z3为成功。
六、子事件EVENT4：太阳翼一次展开火工品起爆
1、确认PLDIU中的主份或备份接口模块之一加电；如果均未加电，在主份健康的情况下优先开启主份接口模块，如果主份不健康则开启备份接口模块；
2、确认PLDIU中的主份或备份火工品驱动模块之一加电；如果均未加电，在主份健康的情况下优先开启主份火工品驱动模块，如果主份不健康则开启备份火工品驱动模块；
3、判断全部组控开关是否为断的状态，若否则进一步断全部组控开关；设置需要起爆的组控以及选择开关为开状态。设置需要起爆的太阳翼压紧点火工品的组控以及选择开关为开状态；若主份或备份中的组控开关及选择开关设置正确，且无其它组控开关及选择开关异常接通就发送火工装置起爆指令，并判为起爆成功；根据上述方法依次起爆PN1、PN7，PS1、PS7，PN3、PN5，PS3、PS5，PN2、PN6，PS2、PS6，PN4、PN8，PS4、PS8。
4、如果如果全部起爆成功，则判为EVENT4事件执行成功；若成功则设置EVENT4事件执行结果标识Z4为成功，并跳转至步骤7；若不成功，继续执行步骤5；
5、将当前PLDIU中接口模块、火工品驱动模块切换至可用的备份模块(如果无可用的健康模块则不进行切换，维持当前状态)，再次重复步骤3中的工作，依次起爆PN1、PN7，PS1、PS7，PN3、PN5，PS3、PS5，PN2、PN6，PS2、PS6，PN4、PN8，PS4、PS8；
6、再次根据步骤3中的方法判断EVENT4事件是否执行成功；
7、设置EVENT4事件执行流程状态标识J4为结束。
七、子事件EVENT1A：开启热控流体回路泵
执行方：SMU
1、确认PLDIU中的主份或备份接口模块之一加电；如果均未加电，在主份健康的情况下优先开启主份接口模块，如果主份不健康则开启备份接口模块；
2、确认PLDIU中的主份或备份泵控制器驱动模块之一加电；如果均未加电，在主份健康的情况下优先开启主份泵控制器驱动模块，如果主份不健康则开启备份泵控制器驱动模块；
3、开启流体回路泵；
4、根据流体回路泵遥测判断是否开启成功；若成功则设置EVENT1A事件执行结果标识Z1A为成功，并跳转至步骤7；若不成功，继续执行步骤5；
5、将当前PLDIU中接口模块、泵控制器驱动模块切换至可用的备份模块(如果无可用的健康模块则不进行切换，维持当前状态)，再次重复步骤3中开启流体回路泵工作；
6、再次根据流体回路泵遥测判断是否开启成功，并根据实际情况设置EVENT1A事件执行结果标识Z1A；
7、设置EVENT1A事件执行流程状态标识J1A为结束。
八、子事件EVENT3A：测控设置
执行方：SMU
1、S测控固放2增益设置为第13档，S测控固放3增益设置为第18档；
2、根据遥测判断是否已经测控设置正确，根据实际情况设置EVENT3A事件执行结果标识Z3A；
3、设置EVENT3A事件执行流程状态标识J3A为结束。
上述子事件的指令设计最大程度地降低了对起飞状态设置的需求；发送相关指令前均进行了前提性判断；互锁性设计保证了子事件在多次执行的时不会对卫星产生危害；每个子事均设置了成功判据；八个子事件中除了EVENT3A外，根据实际需求均设计了异常情况下的处理逻辑分支；对于EVENT3A测控设置子事件，考虑到星上自动处理遥控相关的故障存在一定的风险，并且子事件本身出现问题的概率极低，即使不成功也不会危及卫星安全，故而不进行异常下的自动处理。
如图3～4，按照时间轴上的先后顺序，EVENT1管路排气、EVENT1A开启热控流体回路泵、EVENT2-1接通液路(关闭自锁阀)、EVENT2-2接通液路(电爆阀起爆)、EVENT2-3接通液路(开启自锁阀)、EVENT3太阳捕获、EVENT3A测控设置、EVENT4太阳翼一次展开火工品起爆依次执行。
星务计算机SMU作为上位机负责整个程控任务的调度同时执行EVENT1A、EVENT2-2、EVENT3A、EVENT4等4个子事件；姿轨控计算机AOCC作为下位机执行EVENT1、EVENT2-1、EVENT2-3、EVENT3等4个子事件。
上下位机采取松耦合策略设计，上下位机之间仅进行必要的特定交互，例如SMU通过指令通知AOCC启动某一子事件，同时SMU通过遥测周期性地获取AOCC中各个子事件的事件执行流程状态以及事件执行结果。
设置2路硬件上相互独立的星箭分离状态信号送给SMU，对应的星箭分离状态信息记为D1、D2；通过分别判断D1、D2的由0至1的阶跃过程给出各自对应的星箭分离信号SEP1、SEP2是否为TRUE。其中，SEP1、SEP2中任意一个为TRUE时，设置总星箭分离信号SEP为TRUE。星务计算机作为上位机，将总星箭分离信号SEP为TRUE作为整星星箭分离程控事件开始执行的唯一触发条件。
EVENT1管路排气、EVENT2-1接通液路(关闭自锁阀)、EVENT2-2接通液路(电爆阀起爆)、EVENT2-3接通液路(开启自锁阀)、EVENT3太阳捕获这5个子事件属于需要串行执行。对于需要串行执行的子事件，在前一个子事件执行成功后自动启动后续子事件；如果前一个子事件执行不成功，后续需要串行执行的子事件予以暂停执行，等待地面进行干预处理，待计时超过执行不成功情况下等待地面判断处理的最长限定时间后强制执行后续子事件。
EVENT1A开启热控流体回路泵、EVENT3A测控设置、EVENT4太阳翼一次展开火工品起爆等四个子事件可以独立执行，与其它子事件无严格串行需求，默认按照计时先后执行；此外，对于EVENT4太阳翼一次展开火工品起爆，在完成EVENT3太阳捕获后可以提前启动。
一、EVENT1调度策略
1、星箭分离后，SMU使能EVENT1并开始计时；
2、在等待EVENT1_DELAY_TIME(默认1s)后，SMU向AOCC发送启动EVENT1事件指令，SMU设置EVENT1事件流程执行状态为正在执行标识，EVENT1执行次数+1；
3、AOCC接受指令后开始执行EVENT1对应的指令序列；
4、SMU每间隔一定时间周期性获取一次EVENT1的执行状态标识J1、执行结果标识Z1；如果执行状态标识J1为执行结束，SMU设置设置EVENT1的执行状态标识J1为执行结束，设置EVENT1为禁止状态；如果在启动本次EVENT1后计时大于等于EVENT1_MAXTIME(默认为350s)时，如果SMU向AOCC发送启动EVENT1的次数小于2次，则SMU再次向AOCC发送启动EVENT1的指令，EVENT1的执行次数+1；如果SMU向AOCC发送启动EVENT1的次数大于2次，则设置EVENT1的执行状态标识J1为执行结束，同时将EVENT1设置为禁止状态；
5、如果EVENT1的执行结果标识Z1为成功，则使能EVENT2-1；如果EVENT1的执行结果标识Z1为不成功，EVENT1结束后计时小于EVENT1_FAIL_JUDGE_TIME(默认30min)内没有接到终止EVENT2-1的程控指令，则强制使能EVENT2-1；如果接到终止EVENT2-1的程控指令，则不使能使能EVENT2-1。
二、EVENT2-1调度策略
1、SMU使能EVENT2-1并开始计时；
2、在等待EVENT2-1_DELAY_TIME(默认1s)后，SMU向AOCC发送启动EVENT2-1的指令，SMU设置EVENT2-1的执行状态标识为正在执行，EVENT2-1执行次数+1；
3、AOCC接受指令后开始执行EVENT2-1对应的指令序列；
4、SMU每间隔一定时间周期性获取一次EVENT2-1的执行状态标识J2-1、执行结果标识Z2-1；如果EVENT2-1的执行状态标识J2-1为执行结束，设置EVENT2-1为禁止状态；如果在启动本次EVENT2-1后计时大于等于EVENT2-1_MAXTIME(默认为350s)时，如果SMU向AOCC发送启动EVENT2-1的次数小于2次，则SMU再次向AOCC发送启动EVENT2-1的指令，EVENT2-1执行次数+1；如果SMU向AOCC发送启动EVENT2-1的次数大于2次，则设置EVENT2-1的执行状态标识J2-1为执行结束，同时将EVENT2-1设置为禁止状态；
5、如果EVENT2-1的执行结果标识Z2-1为成功，则使能EVENT2-2；如果EVENT2-1的执行结果标识Z2-1为不成功，EVENT2-1结束后计时小于EVENT2-1_FAIL_JUDGE_TIME(默认30min)内没有接到终止EVENT2-2的程控指令，则强制使能EVENT2-2；如果接到终止EVENT2-2的程控指令，则不使能使能EVENT2-2。
三、EVENT2-2调度策略
1、SMU在使能EVENT2-2后开始计时；
2、在等待EVENT2-2_DELAY_TIME(默认1s)后，SMU设置EVENT2-2的执行状态标识为正在执行，EVENT2-2执行次数+1，之后执行EVENT2-2对应的指令序列；
3、设置EVENT2-2的执行状态标识为执行结束，设置EVENT2-2为禁止状态；
4、如果EVENT2-2事件的执行结果标识Z2-2为成功，则使能EVENT2-3；如果EVENT2-2的执行结果标识Z2-2为不成功，EVENT2-2结束后计时小于EVENT2-2_FAIL_JUDGE_TIME(默认30min)内没有接到终止EVENT2-3的程控指令，则强制使能EVENT2-3；如果接到终止EVENT2-3的程控指令，则不使能使能EVENT2-3，。
四、EVENT2-3调度策略
1、SMU在使能EVENT2-3后开始计时；
2、在等待EVENT2-3_DELAY_TIME(默认1s)后，SMU向AOCC发送启动EVENT2-3的指令，SMU设置EVENT2-3的执行状态标识为正在执行，EVENT2-3执行次数+1；
3、AOCC接受指令后开始执行EVENT2-3对应的指令序列；
4、SMU每间隔一定时间周期性获取一次EVENT2-3的执行状态标识J2-3和执行结果标识Z2-3；如果EVENT2-3的执行状态标识J2-3为执行结束，设置EVENT2-3为禁止状态；如果在启动本次EVENT2-3后计时大于等于EVENT2-3_MAXTIME(默认为350s)时，如果SMU向AOCC发送启动EVENT2-3的次数小于2次，则SMU再次向AOCC发送启动EVENT2-3的指令，EVENT2-3执行次数+1；如果SMU向AOCC发送启动EVENT2-3的次数大于2次，则设置EVENT2-3的执行状态标识J2-3为执行结束，同时将EVENT2-3设置为禁止状态；
5、如果EVENT2-3的执行结果标识Z2-3为成功，则使能EVENT3；如果EVENT2-3的执行结果标识Z2-3为不成功，EVENT2-3结束后计时小于EVENT2-3_FAIL_JUDGE_TIME(默认30min)内没有接到终止EVENT3的程控指令，则强制使能EVENT3；如果接到终止EVENT3的程控指令，则不使能使能EVENT3。
五、EVENT3调度策略
1、SMU在使能EVENT3后开始计时；
2、在等待EVENT3_DELAY_TIME(默认1s)后，SMU向AOCC发送启动EVENT3的指令，SMU设置EVENT3的执行状态标识为正在执行，EVENT3执行次数+1；
3、AOCC接受指令后开始执行EVENT3对应的指令序列；
4、SMU每间隔一定时间周期性获取一次EVENT3的执行状态标识J3、执行结果标识Z3；如果EVENT3的执行状态标识J3为执行结束，设置EVENT3为禁止状态；如果在启动本次EVENT3后计时大于等于EVENT3_MAXTIME(默认为350s)时，如果SMU向AOCC发送启动EVENT3的次数小于2次，则SMU再次向AOCC发送启动EVENT3的指令，EVENT3执行次数+1；如果SMU向AOCC发送启动EVENT3的次数大于2次，则设置EVENT3的执行状态标识J3为执行结束，同时将EVENT3设置为禁止状态；
5、如果EVENT3的执行结果标识Z3为成功，则提前启动EVENT4；如果EVENT3的执行结果标识Z3在EVENT3事件结束后计时小于EVENT4_DELAY_TIME(默认3600s)内仍不成功，EVENT3结束。
六、EVENT4调度策略
1、星箭分离后，SMU使能EVENT4并开始计时；
2、在EVENT3的执行结果标识Z3为成功或等待EVENT4_DELAY_TIME(默认3600s)后，SMU设置EVENT4的执行状态标识J4为正在执行，EVENT4执行次数+1，之后执行EVENT4对应的指令序列；
3、设置EVENT2-2的执行状态标识J4为执行结束，设置EVENT2-2为禁止状态。
七、EVENT1A调度策略
1、星箭分离后，SMU使能EVENT1A并开始计时；
2、在等待EVENT1A_DELAY_TIME(默认30s)后，SMU设置EVENT1A的执行状态标识J1A为正在执行，EVENT1A执行次数+1，之后执行EVENT1A对应的指令序列；
3、设置EVENT1A的执行状态标识为执行结束，设置EVENT1A为禁止状态。
八、EVENT3A调度策略
1、星箭分离后，SMU使能EVENT3A并开始计时；
2、在等待EVENT3A_DELAY_TIME(默认720s)后，SMU设置EVENT3A的执行状态标识J3A为正在执行，EVENT3A执行次数+1，之后执行EVENT3A对应的指令序列；
3、设置EVENT3A的执行状态标识为执行结束，设置EVENT3A为禁止状态。
九、AOCC的子事件执行策略
对于AOCC负责的EVENT1、EVENT2-1、EVENT2-3、EVENT3，在接收到SMU的启动指令后开始执行设定的指令序列，并定期通过遥测返回事件流程的执行状态以及执行结果。
本发明虽然已以较佳实施例公开如上，但其并不是用来限定本发明，任何本领域技术人员在不脱离本发明的精神和范围内，都可以利用上述揭示的方法和技术内容对本发明技术方案做出可能的变动和修改，因此，凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化及修饰，均属于本发明技术方案的保护范围。
本发明说明书中未作详细描述的内容属于本领域专业技术人员的公知技术。

Claims (7)

1.一种双计算机架构星箭分离程控任务实现方法，其特征在于，包括：
按照执行所需要最小资源需求包络，将星箭分离程控任务分割成K个子事件，并确定各个子事件的延迟时间；
按照各子事件的串并行关系，将K个子事件进行归类，得到M个并行的子事件集K1、K2、···、Km、···、KM；其中，每个子事件集中包括一个或多个串行执行的子事件，多个串行执行的子事件在子事件集中按照执行顺序先后依次排列，M≤K；
当接收到星箭分离信号后，星务计算机使能各子事件集，并根据子事件的延迟时间，星务计算机独立或与姿轨控计算机协同，完成各子事件集中的一个或多个串行执行的子事件对应的指令序列的执行；包括：
当接收到星箭分离信号后，星务计算机使能各子事件集中的首个子事件；待等待时间到达某一子事件集Km中的首个子事件Km1所对应的延迟时间，星务计算机根据所述首个子事件Km1的类型，独立或与姿轨控计算机协同，执行所述首个子事件Km1对应的指令序列；当首个子事件Km1对应的指令序列执行完成后，判断在所述某一子事件集Km中，首个子事件Km1是否存在串联执行的下一子事件Km2；若首个子事件Km1存在串联执行的下一子事件Km2，则使能下一子事件Km2；待等待时间到达下一子事件Km2所对应的延迟时间，星务计算机根据下一子事件Km2的类型，独立或与姿轨控计算机协同，执行所述下一子事件Km2对应的指令序列；依次类推，直至无下一子事件；若首个子事件Km1不存在串联执行的下一子事件Km2，则结束流程；
若当前子事件的类型为第一类型，则星务计算机按照如下步骤独立完成所述当前子事件对应的指令序列的执行：星务计算机设置当前子事件的执行状态标识为正在执行，当前子事件的执行次数加1，并执行所述当前子事件对应的指令序列；在当前子事件对应的指令序列执行完成后，更新当前子事件的执行状态标识为执行结束，设置当前子事件为禁止状态，并得到当前子事件的执行结果标识；判断当前子事件的执行结果标识是否为成功；若确定当前子事件的执行结果标识为成功，则判断当前子事件是否存在串联执行的下一子事件；其中，若当前子事件存在串联执行的下一子事件，则使能当前子事件的下一子事件；若当前子事件不存在串联执行的下一子事件，则结束流程；若确定当前子事件的执行结果标识为不成功，则开始计时，并判断在计时达到设定时间阈值Ⅰ之前，是否接收到终止当前子事件的下一子事件的程控指令；其中，若接收到终止当前子事件的下一子事件的程控指令，则结束流程；若未接收到终止当前子事件的下一子事件的程控指令，则使能当前子事件的下一子事件；
若当前子事件的类型为第二类型，则星务计算机与姿轨控计算机协同，按照如下步骤完成所述当前子事件对应的指令序列的执行：星务计算机向姿轨控计算机发送执行当前子事件的启动指令，同时，设置当前子事件的执行状态标识为正在执行，当前子事件的执行次数加1；姿轨控计算机接收到启动指令后，执行所述当前子事件对应的指令序列；在当前子事件对应的指令序列执行完成后，更新当前子事件的执行状态标识，并向星务计算机返回更新后的当前子事件的执行状态标识及当前子事件的执行结果标识；星务计算机接收由姿轨控计算机返回的更新后的当前子事件的执行状态标识，并判断更新后的当前子事件的执行状态标识是否为执行结束；若确定更新后的当前子事件的执行状态标识为执行结束，则设置当前子事件为禁止状态，并判断由姿轨控计算机返回的当前子事件的执行结果标识是否为成功；其中，若当前子事件的执行结果标识为成功，则确定当前子事件执行完成，判断当前子事件是否存在串联执行的下一子事件，若当前子事件存在串联执行的下一子事件，则使能当前子事件的下一子事件，若当前子事件不存在串联执行的下一子事件，则结束流程；若当前子事件的执行结果标识为不成功，则开始计时，并判断在计时达到设定时间阈值Ⅱ之前，是否接收到终止当前子事件的下一子事件的程控指令，若在计时达到设定时间阈值Ⅱ之前接收到终止当前子事件的下一子事件的程控指令，则结束流程，若在计时达到设定时间阈值Ⅱ之前未接收到终止当前子事件的下一子事件的程控指令，则使能当前子事件的下一子事件；若确定更新后的当前子事件的执行状态标识不为执行结束，则开始计时，若计时未超过设定时间阈值Ⅲ，则返回执行星务计算机接收由姿轨控计算机返回的更新后的当前子事件的执行状态标识，并判断更新后的当前子事件的执行状态标识是否为结束的步骤；若计时超过设定时间阈值Ⅲ，则返回执行星务计算机向姿轨控计算机发送执行当前子事件的启动指令的步骤，其中，星务计算机向姿轨控计算机发送执行当前子事件的启动指令的次数不超过2次。
2.根据权利要求1所述的双计算机架构星箭分离程控任务实现方法，其特征在于，
卫星采用星务计算机和姿轨控计算机的双计算机构架；其中，星务计算机和姿轨控计算机在卫星发射前加电并进行起飞状态设置；姿轨控计算机作为下位机，用于姿轨控任务的控制计算与实施；星务计算机作为上位机，用于除姿轨控任务之外的其它星务任务的控制计算与实施；
星务计算机和姿轨控计算机均采用主备份硬件冗余设计；其中，星务计算机中设置有硬件故障监测模块Ⅰ，硬件故障监测模块Ⅰ，用于对星务计算机的运行状态进行监视，当判定星务计算机出现故障时，进行自动切机；姿轨控计算机中设置有硬件故障监测模块Ⅱ，硬件故障监测模块Ⅱ，用于姿轨控计算机的运行状态进行监视，当判定姿轨控计算机出现故障时，进行自动切机；
自动切机的策略如下：
策略11：星务计算机在执行星箭分离程控任务期间，定期保存必要的重要数据，发生主备份切机后，必要的重要数据不丢失；若星务计算机正在执行星箭分离程控任务的某一子事件期间发生异常切机，则切换至备份星务计算机后，重新完整的执行前一时刻正在执行的子事件对应的指令序列，在切机之前已经执行结束的子事件不再次执行；
策略12：若姿轨控计算机发生异常切机，则切换至备份姿轨控计算机后，恢复至可根据星务计算机指令进一步执行姿轨控计算机负责的子事件的状态；
策略13：对于姿轨控计算机负责的任一子事件，若姿轨控计算机在“姿轨控计算机返回本事件执行结束标识的最长限定时间”内未能返回子事件执行结束标识，则星务计算机判定姿轨控计算机发生异常切机；若星务计算机向姿轨控计算机累计发送启动所述任一子事件的指令的次数小于2，则再次向姿轨控计算机发送启动所述任一子事件的指令。
3.根据权利要求1所述的双计算机架构星箭分离程控任务实现方法，其特征在于，每个子事件对应的指令序列的设计原则如下：
原则1：按照不依赖卫星射前具体起飞地面设置状态进行设计；
原则2：发送特定指令之前做必要的前提性判断及处理；
原则3：指令序列在多次重复执行时不会对卫星带来危害；
原则4：每个子事件对应的指令序列均设置唯一的是否执行成功判据；子事件对应的指令序列执行不成功时，自主进行主备份切换，并继续执行对应的备份指令序列。
4.根据权利要求1所述的双计算机架构星箭分离程控任务实现方法，其特征在于，K个子事件的调度策略如下：
策略21：对于需要串行执行的子事件，星务计算机、姿轨控计算机之间严格按照子事件规划的先后顺序执行；且，在前一个子事件执行成功后自动执行后续串行的子事件；若前一个子事件执行不成功，暂停后续串行的子事件的执行，等待地面进行干预处理，待计时超过等待地面进行干预处理的最长限定时间后，强制执行后续串行的子事件；
策略22：对于分配至星务计算机、姿轨控计算机内部的可并行执行的子事件，按照子事件各自需求分别予以并行执行。
5.根据权利要求1所述的双计算机架构星箭分离程控任务实现方法，其特征在于，星务计算机和姿轨控计算机之间采用如下松耦合策略设计：
策略31：星务计算机所执行的星务任务与姿轨控计算机所执行的姿轨控任务之间各自独立；
策略32：除星务计算机周期性获取姿轨控计算机返回的一般性遥测信息外，非必要情况下星务计算机与姿轨控计算机之间不进行交互；
策略33：星箭分离程控任务期间，星务计算机通过指令对姿轨控计算机进行控制，姿轨控计算机通过树立特定遥测标识位通知星务计算机相关指令的执行状态。
6.根据权利要求1所述的双计算机架构星箭分离程控任务实现方法，其特征在于，星箭分离程控任务对应的各子事件按照如下策略进行参数设置：
策略41：对于每一个星箭分离程控任务的子事件，星务计算机均设置表征“禁止”、“使能”两种状态的“子事件使能/禁止状态”参数，设置表征“尚未执行”、“正在执行”、“执行结束”三种状态的“子事件流程执行状态”参数，设置表征“执行成功”、“执行不成功”两种状态的“子事件执行结果”参数，设置表征“子事件执行时刻相对于使能时刻的延时时间”参数，设置“子事件执行不成功后等待地面判断处理的计时”参数，设置“子事件已执行的次数”参数；
策略42：对于姿轨控计算机负责的子事件，星务计算机均设置“姿轨控计算机返回本子事件执行结束标识最长限定时间”参数。
7.根据权利要求1所述的双计算机架构星箭分离程控任务实现方法，其特征在于，星箭分离程控任务开始执行的唯一触发条件为：总星箭分离信号SEP为真TRUE；其中，总星箭分离信号SEP的判断流程如下：
设置2路或2路以上硬件上相互独立的星箭分离状态信号送给星务计算机，并将对应的星箭分离状态信息记为D1至DN；其中，Dn为1时，表示星箭已分离；Dn为0时，表示星箭未分离；1≤n≤N；
通过分别判断D1至Dn的由0至1的阶跃过程，给出D1至Dn各自对应的星箭分离信号SEP1至SEPn；
若SEP1至SEPn中任意一个为真TRUE，则确定总星箭分离信号SEP为真TRUE。
CN202111161445.4A 2021-09-30 2021-09-30 一种双计算机架构星箭分离程控任务实现方法 Active CN114019991B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111161445.4A CN114019991B (zh) 2021-09-30 2021-09-30 一种双计算机架构星箭分离程控任务实现方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111161445.4A CN114019991B (zh) 2021-09-30 2021-09-30 一种双计算机架构星箭分离程控任务实现方法

Publications (2)

Publication Number Publication Date
CN114019991A CN114019991A (zh) 2022-02-08
CN114019991B true CN114019991B (zh) 2024-06-07

Family

ID=80055442

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111161445.4A Active CN114019991B (zh) 2021-09-30 2021-09-30 一种双计算机架构星箭分离程控任务实现方法

Country Status (1)

Country Link
CN (1) CN114019991B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116500902B (zh) * 2023-06-27 2023-09-29 航天科工火箭技术有限公司 去任务化姿态控制回路设计方法、存储介质及电子设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917285A (zh) * 2010-07-29 2010-12-15 航天东方红卫星有限公司 小卫星星务主机双机冷备结构的三机实现方法
CN104572330A (zh) * 2015-01-07 2015-04-29 航天东方红卫星有限公司 敏捷卫星星务中心计算机在轨复位或切机自主恢复方法
CN108075826A (zh) * 2016-11-14 2018-05-25 上海微小卫星工程中心 一种实现卫星半物理仿真试验星地时间同步的方法及系统
CN109117206A (zh) * 2018-07-25 2019-01-01 中国空间技术研究院 一种软件程控重用模型生成方法
CN111737038A (zh) * 2020-06-19 2020-10-02 西安微电子技术研究所 一种基于小卫星双机系统切机的控制方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917285A (zh) * 2010-07-29 2010-12-15 航天东方红卫星有限公司 小卫星星务主机双机冷备结构的三机实现方法
CN104572330A (zh) * 2015-01-07 2015-04-29 航天东方红卫星有限公司 敏捷卫星星务中心计算机在轨复位或切机自主恢复方法
CN108075826A (zh) * 2016-11-14 2018-05-25 上海微小卫星工程中心 一种实现卫星半物理仿真试验星地时间同步的方法及系统
CN109117206A (zh) * 2018-07-25 2019-01-01 中国空间技术研究院 一种软件程控重用模型生成方法
CN111737038A (zh) * 2020-06-19 2020-10-02 西安微电子技术研究所 一种基于小卫星双机系统切机的控制方法

Also Published As

Publication number Publication date
CN114019991A (zh) 2022-02-08

Similar Documents

Publication Publication Date Title
CN108199939B (zh) 一种可重构的卫星综合电子系统
CN114019991B (zh) 一种双计算机架构星箭分离程控任务实现方法
US5742609A (en) Smart canister systems
Kepko et al. Dellingr: Reliability lessons learned from on-orbit
CN113934565A (zh) 一种导航卫星综合电子系统
KR101788195B1 (ko) 발사체 및 플랫폼에서의 전원 제어 수행 방법 및 이를 수행하는 장치
CN112158360B (zh) 在轨服务与维护验证方法及系统
CN106774268B (zh) 一种空间飞行器故障处理方法
Milligan et al. SMART1 Electric Propulsion Operations
Marsh et al. Evolution of the preliminary fault management architecture and design for the Psyche mission
Bodkin et al. The Design of the Low-Earth Orbit Flight Test of an Inflatable Decelerator (LOFTID) Reentry Vehicle (RV)
Gessner et al. Hierarchical FDIR concepts in S/C systems
CN109117206B (zh) 一种软件程控重用模型生成方法
Snyder et al. Electric Propulsion for the Psyche Mission: One Year to Launch
Zube et al. Initial on-orbit performance of hydrazine arcjets on A2100 satellites
CN112648110B (zh) 航天器轨控发动机无法正常关机的处理方法、系统及介质
Flanigan et al. MESSENGER’s Maneuvers to Reduce Orbital Period During the Extended Mission: Ensuring Maximum Use of the Bi-Propellant Propulsion System
Morgan Robotic spacecraft health management
KR20130075050A (ko) 인공 위성체의 밸브 제어가 가능한 시험 장치 및 이를 이용한 인공 위성체의 밸브 제어 방법
Gray et al. Flexible Operations of the Bepicolombo Electric Propulsion System
Lyszyk et al. XPS Plasma Propulsion System on AlphaBus
Walford Integration of an electric propulsion high voltage unit into the FLP2 SmallSat testbench
Bjelde et al. The falcon 1 launch vehicle: demonstration flights, status, manifest, and upgrade path
Flanigan et al. Guidance and Control Challenges to the MESSENGER Spacecraft in Achieving and Operating from Orbit at Mercury
Lewicki et al. Phoenix mars scout UHF relay-only operations

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant