将有效载荷处理与航天器监管分开
定义哪台计算机负责监管航天器 总线 以及哪台计算机处理有效载荷数据。可以允许 AI 有效负载处理器在不中断基本 总线 功能的情况下重新启动，但前提是接口、电源域和恢复行为支持这种分离。记录命令所有权和每个接口的安全状态。
按工作负载和证据选择计算
| 建筑 | 评估什么 | 工程权衡 |
|---|---|---|
| 中央处理器 | 控制软件、预处理和灵活的算法 | 软件灵活性与测量的能量和吞吐量 |
| FPGA | 流接口和确定性处理路径 | 自定义数据路径与开发工作和配置恢复 |
| NPU或其他加速器 | 支持的运算符、精度、内存和部署工具 | 模型效率与运行时限制和组件适用性 |
没有处理器标签表明辐射耐受性。根据预期任务环境评估确切的组件、内存、电源设备和电路板实施。峰值 TOPS 并不是端到端有效负载性能保证。
一起设计电源和热路径
准备启动、采集、推理、存储和通信的操作模式预算。包括转换损耗、启动瞬态和同时操作的峰值电流。指定对欠压、过流和断电的响应。
真空消除了许多地面产品使用的普通空气对流路径。部件热量必须遵循设计的传导路径到达航天器结构并最终到达其辐射表面。机械接触、接口材料、安装以及热或冷操作情况均属于设计审查范围。
了解辐射失效机制
辐射会导致瞬态错误、状态变化和破坏性事件，而累积暴露会降低设备性能。辐射硬度保证计划将任务环境与零件选择、可用测试证据、设计缓解和验证联系起来。仅靠看门狗无法确定系统是否适合飞行。
NASA 区分了描述和减轻辐射风险的必要性，即使是在不同商业或军事分类下销售的零件。 NASA 的保障指南还将环境、组件评估和系统设计联系起来。使用这些原则来定义实际任务的证据，而不是将通用标签视为资格。
将恢复作为明确的要求
- 定义对停滞软件、损坏状态和失败通信的检测和响应。
- 在支持的情况下，考虑错误检测内存、完整性检查和受控内存清理。
- 对电源和接口进行分区，以便可恢复的有效负载故障不会不必要地传播。
- 测试启动恢复、持久存储完整性和中断更新。
- 记录足够的健康数据，以了解地面的重置和重复故障。
这些是设计选项，而不是通用的保护方法。它们的适用性取决于故障模型、任务关键性以及分析和测试的证据。
环境资质前验证工程模型
从可重复的电气和功能测试开始：接口时序、数据丢失、电源排序、代表性负载下的热行为以及对注入故障的响应。硬件在环测试应该测试真实的有效载荷和航天器总线流量，包括特殊条件。
与任务团队就环境测试矩阵达成一致。振动、热真空、电磁兼容性和辐射相关验证具有不同的目的和验收标准。通过实验室功能演示并不等于通过该矩阵。
指定移交包
定义预期的原理图、电路板文件、物料清单、接口控制文档、固件和模型版本、测试程序和验证报告。就项目范围内的资源访问、知识产权和维护责任达成一致。
Alvexis可以支持定制卫星电子和工程模型、嵌入式集成和地面测试硬件。首先分享任务限制和所需的证据。现有地面Alvexis平台可以为实验室评估提供信息；未经相关验证，不应将其描述为具有飞行资格。