手机芯片一年一换代，深空探测器为什么不直接装台高性能电脑？

每次有深空探测器上新闻，总有人会去翻它的电脑配置表。翻出来的结果一般都会让人怀疑自己是不是看错了年代，主频百十来兆赫兹，内存百十来兆，就单看账面参数，还不如二十多年前的家用电脑。

相比之下，我们揣在兜里的手机芯片一年一换代，随便拿出一台几年前的旧手机，纸面算力都比这些造价高昂的探测器强出一大截。也难怪常会有人问：既然造探测器那么贵，为什么还在用看起来像古董的芯片？就算太空里有辐射，难道不能做好防护，直接装一台高性能电脑上去吗？

其实，工程师还真把商用手机芯片送上过火星，而且它现在就装在毅力号火星车上。

图01｜2021年4月6日，毅力号在火星上与机智号合影。

毅力号的主控计算机直接沿用了上一代好奇号火星车的设计，用的是两套互为备份的 RAD750 处理器，主频只有 133 MHz，配的 128 MiB 带纠错功能（ECC）的内存。

图02｜RAD750系列3U单板计算机的产品照片：处理器之外，还有内存、接口和连接器。这是地面产品样例，不是毅力号的实装飞行板。

但是整辆车上不止这一颗芯片。除了主控和负责图像处理的视觉计算单元，车上还装有一套直升机基站，用来跟机智号火星直升机通信。

这套基站的核心是一颗商用的高通骁龙 801 处理器，四核 2.36 GHz，配 1.55 GiB 不带纠错的普通内存，通过串口跟主控计算机连在一起。

图03｜毅力号装配阶段的直升机基站所在舱段。基站中的商用处理器原本用于与机智号通信，后来也承担火星全球定位计算。

直升机不飞的时候，JPL 工程师利用这颗骁龙 801 的算力来做火星全球定位，拿车载相机拍下的全景图像跟轨道器地形图比对，大约两分钟就能把车的位置算准到 25 厘米左右（2023 年已在车上完成演示，见 NASA 2026年2月报道）。

图04｜全球定位用到的轨道影像（左）与高程数据（右）；下排只保留路线附近的区域，以减小地图体积。

把这两套硬件摆在一起，那么问题就来了，既然骁龙 801 已经装在毅力号上，主频、核数和内存都比 133 MHz 的主控高出一大截，为什么只通过串口让它做辅助计算，而不是直接用它接管整辆火星车？

图05｜2024年论文展示的两条定位链路：红色需要地面参与，蓝色在车内完成；骁龙 801 让火星车能在本机处理全球定位。

辅助计算与主控兜底

在毅力号上，全球定位并不是直接控制着陆点火、姿态稳定或是电源开关的，主控计算机也不会直接采信骁龙 801 算出来的结果。

按照 JPL 团队在 2024 年论文里公开的设计，直升机基站跑定位时会重复运行并配合重启，算出的结果还要交给主控计算机做多项检查，确认合理后才会被采用。只要是发现定位结果异常或者基站失去响应，主控可以直接拒绝结果，或者把基站复位重启。NASA 团队在测试这套基站时，就曾发现内存里有大约 25 个比特损坏，后来通过软件隔离绕开了受损区域。

图06｜2021年4月5日，毅力号的Mastcam-Z相机拍下的机智号近照

机智号火星直升机也是这个思路，它原定只是一次 30 个火星日的技术演示，寿命要求和风险容忍度跟长年服役的主力探测器不同，因此用了骁龙 801 来负责高层管理、视觉导航，并参与飞控滤波推算（更新直升机的姿态与位置状态）。但是低层飞行控制依然是交给了两颗冗余的微控制器（MCU），中间还配了一片军温级 FPGA 来负责关键接口与故障管理，如果说发现正在工作的微控制器出问题，FPGA 可以直接切换或将它复位（见 2018年机智号设计论文）。

图07｜机智号2018年设计论文中的航电板卡展开图：导航、飞控、通信、动力和电池接口由多块板卡分工承担。

辅助单元计算出错或者卡死了，主控和上级硬件可以拒绝结果、给它复位甚至断电重启；可主控自己负责巡航、着陆、突发故障处置和最后的安全模式，没有更高一层的系统来替它兜底，只能靠自身的双机冗余、容错设计和硬件本身的可靠性来保证安全。

空间辐射在芯片里引起的故障也不止是一种，有的是临时性的软错误（比如内存里某个比特发生翻转），有的是长期累积损伤，还有的会引起单粒子闩锁（也叫单粒子锁定），即高能粒子在芯片内部触发异常导通路径，造成电流激增。

纠错内存、重复计算、软件隔离和状态监控这些手段，各有各的适用范围，单独哪一种都包揽不了所有辐射问题。遇到单粒子闩锁时，有的情况可以在器件受损前靠限流和硬件断电恢复，有的则会直接烧毁器件。这里的硬件断电恢复跟普通的软件重启不是一回事，单靠软件重启，切断不了芯片内部已经导通的异常电流。

毅力号的主控之所以继续用 RAD750 这类从半导体工艺、器件结构到纠错内存专门加固的芯片，就是为了从物理层面压低这类锁定和累积失效的风险，免得负责兜底的系统自己先出故障。

为什么航天芯片看着总像“隔代产品”？

从一颗芯片问世到真正跟着探测器飞进深空，中间还叠加了好几道漫长的工程周期。

一颗芯片要进深空，往往先要在商业市场上有成熟的原型（比如 RAD750 就源自早年的商用 PowerPC 750），工程师再去重新做抗辐射设计、改造工艺、跑完极端环境测试，等真正定型量产时，外面的消费电子市场已经换了好几轮。

等到具体任务立项，探测器的硬件方案又得在发射前好几年冻结，有时为了稳妥还会直接沿用前序型号的成熟设计；发射升空后，探测器在轨一跑又是十几年甚至几十年。

不过底层硬件定型早，也不代表探测器上的软件和功能也停摆在过去。毅力号在火星着陆后，就把系统从巡航飞控软件切换成了地面工作软件，前面提到的两分钟全球定位，也是它到了火星几年后才更新上去的新功能。

除了抗辐射和漫长的定型周期，如果要把地面上的高性能电脑搬进深空，在供电、散热、系统验证和远程维修上还会遇到一连串的现实限制。

供电：全车设备都在分这一百来瓦的电

地面上电脑跑满几百瓦只要插好电源就行了，对于深空探测器用电来说就要精打细算很多了。毅力号装的是一台多任务放射性同位素热电机（常被俗称为核电池），在任务初期持续提供的电功率只有约 110 瓦 （见 JPL 毅力号着陆资料），大致相当于一盏老式白炽灯。这台热电机散出的多余热量可以通过流体回路给车体保温，而日常运行和短时高负载，则靠这 110 瓦持续供电与车上的蓄电池配合支撑。

图08｜火星 2020 任务的多任务放射性同位素热电机（MMRTG），摄于装入燃料和测试之前。外侧翅片用于散出多余热量。

通信收发、科学仪器、机械臂钻探和车轮驱动，全都指望这点电来轮流工作。因为电力实在是有限， 就连 133 MHz 的主控计算机也不是全天 24 小时开机，在 每个火星日里，毅力号都要安排多次休眠，让主控关机歇下来，把同位素热电机发出的电充进蓄电池，留给后续任务使用（见 JPL 2023年机载规划论文）。

因此，计算单元连处理器带内存、接口的整板功耗都必须严加控制；像全球定位这样调用骁龙 801 的任务，也都是按需要来临时唤醒。

图09｜毅力号的电与热：任务初期约110瓦电功率，蓄电池参与日常运行；同位素热电机的废热通过流体回路用于保温。图中不分配各设备的具体功率。

散热与保温：既不能靠风扇吹，还需要防寒夜低温

有人会问：太空里动辄零下一两百度，芯片散热岂不是很容易？

其实处在环境温度低的情况也不代表芯片发出的热量就容易散出去，这要具体看探测器处在什么阶段和环境。

在深空巡航的真空环境里，外部没有空气对流，地面电脑那套风扇散热完全派不上用场。电子设备产生的热量，必须通过内部导热结构或流体回路收集起来，再传到舱外的散热面上，靠热辐射排向太空。如果芯片局部发热量太大，导热通道和散热面的重量、体积都会跟着增加。

到了火星表面，虽然有一层稀薄大气，不再是真空了，但是昼夜温差极大。一到夜里，热控的重点往往从散热变成了保温和加热（有时设备废热还能顺带用来给舱内保温）。比如机智号直升机在火星过夜时，就必须消耗电能给自身设备加热。

图10｜组装中的毅力号。尾部带金色管路的板件是换热器，管路既能带走多余热量，也能把一部分热送回车体；此时 MMRTG 尚未装入。

验证与实时性：按时算完比跑分高低更要紧

家用电脑追求的是平均响应速度。平时我们用电脑，99 次操作都能瞬间响应，可能偶尔有 1 次因为后台程序抢占资源卡顿了一下，根本算不上故障。但是航天器的关键控制，核心要求是 计算必须在规定的截止时间（Deadline）前完成 ，以及遇到异常时系统怎么按预定流程处置。在着陆点火、姿态调整或避障制动时，控制指令如果因为内部资源争抢错过了时间窗口，就可能直接危及任务安全。

图11｜2021年2月18日，降落级相机拍下正在被缆索放向火星地面的毅力号。这是着陆视频的真实帧，不是效果图。

常有人以为像是 RAD750 这样早年设计的芯片之所以可靠，是因为采用了简单的按序执行，但是现代高性能芯片采用“乱序执行”所以没法保证实时性。

其实翻开 BAE 的 RAD750 硬件手册就能看到，RAD750 本身就是一颗支持双发射和乱序执行（Out-of-order execution）的处理器。

换一颗主控处理器，飞行软件移植、接口适配、时序分析以及故障场景的回归测试都要跟着重新做，而且现代高性能处理器内部通常有复杂的多核共享缓存、总线和动态功耗管理，共享资源越复杂，分析极端情况下的响应延迟和故障影响范围就越费劲。只要现有的主控芯片还够跑关键控制循环，工程团队就自然不会单凭跑分高低去换平台。

远程维修：没有现场换件的条件，系统就得留足退路

在有人值守的近地轨道上，航天器其实也在用商用电脑。比如国际空间站上的便携式计算机系统（PCS），直接就采用了商用笔记本硬件，通过 1553 总线接入指令与控制链路，供宇航员发送控制指令和查看站上大多数系统的状态（见 NASA 2018年空间站技术专著）。空间站敢让商用笔记本承担控制接口职责，一个重要条件就是有宇航员在现场维护，而且这套笔记本跟站内其他辅助电脑硬件通用，坏了一台可以直接拿备件换上就行。

图12｜空间站PCS笔记本通过专用连接接入供电接口与1553数据总线，作为乘组发送指令和查看系统状态的终端。

无人深空探测器只要是离开了地球，就失去了现场换件的可能，出了问题只能隔着漫长的通信延迟靠软件来想办法。

1977 年发射的 旅行者 1 号 就是一个典型例子：2023 年 11 月，它突然无法发回可读的科学和工程数据，好在还能接收地面指令。到了 2024 年，JPL 团队查明原因是飞行数据系统（FDS）里有一处内存受损。根据 JPL 2024年4月22日的维修报道，当时地面与旅行者 1 号之间的单程通信时间长达约 22.5 小时 ，发一条指令过去、再等回信，这一来一回就是四十五个小时。

图13｜1976 年 12 月 3 日，旅行者地面试验模型在 JPL 的太空环境模拟舱中接受测试。这台模型没有发射进入太空。

因为没法去换硬件，而 FDS 其他完好内存里又没有一整块足够大的连续空间来装下原先那段代码，工程师只能把受损区域里的代码拆成几段，分别挪到不同的内存空位里，再逐处修改代码段落之间的引用位置。

2024 年 4 月 20 日，地面终于重新收到了可读的工程数据，5 月又陆续恢复了科学数据。

图14｜美国 Goldstone 深空通信基地的 70 米天线夜景。这样的地面天线承担着与遥远探测器通信的任务。

靠远程修改软件能绕开一部分硬件故障，但前提是探测器的主控和基本通信功能还能正常工作，还能接收并执行地面发去的指令。

专用航天芯片也在换代

深空探测器当然也不会说就一直停留在 RAD750 这一代硬件上。

NASA 与 Microchip 正在联合开发下一代高性能航天处理器 HPSC （High Performance Spaceflight Computing），在设计之初就把多核 RISC-V 架构、向量计算能力，跟容错机制、分区隔离和功耗管理做在了一起（见 NASA HPSC 白皮书）。

按照 NASA 公开的进展，这颗芯片在 2025 年年中完成流片，同年晚些时候拿到首批芯片，2026 年 2 月已经在 JPL 开始测试（见 NASA 2026年5月测试报道）。

图15｜Microchip 公布的 PIC64-HPSC 封装产品示意图。

从毅力号让 RAD750 主控与骁龙 801 分工配合，到新一代航天处理器把多核计算与硬件容错做到一起，背后的工程取舍其实一直没变。我们兜里的手机芯片一年一换代，偶尔遇上卡顿或者需要重启，我们还能随时处理，而在无法现场维修、供电和热控都受限的深空里，要把更快的芯片装上探测器，总是需要先解决结果怎么核对、故障怎么恢复，以及最后的安全底线到底由谁来守的问题。

参考资料与引用来源

1. NASA 毅力号自主全球定位报道（2026-02-18）： NASA's Perseverance Now Autonomously Pinpoints Its Location on Mars

2. JPL 毅力号着陆新闻资料（计算系统、供电与热控）： Mars 2020 Perseverance Landing Press Kit

3. JPL 毅力号机载规划论文（ASTRA 2023）：Mars 2020 Onboard Planner - Update and Preparations for Operations

4. BAE RAD750 硬件用户手册附录（v2.10, 2000-12）： RAD750 Hardware User's Manual Appendix

5. NASA 国际空间站技术专著（2018）： International Space Station: Operating an Outpost in the New Frontier

6. JPL 旅行者 1 号远程维修报道（2024-04-22）： NASA's Voyager 1 Resumes Sending Engineering Updates to Earth

7. NASA HPSC 高性能航天计算白皮书（2024-07-23）： High-Performance Spaceflight Computing (HPSC) White Paper

8. NASA HPSC 处理器测试报道（2026-05-12）：Hello, Universe! NASA's Next-Gen Space Processor Undergoes Testing