美國宇航局 (NASA) 發射月球大氣與粉塵環境探測器 (LADEE) ，用來采集關于月球粉塵環境的密度、組成和變異性的信息。機載光譜儀和其他儀器采集的數據和月球粉塵將會幫助研究人員了解月球和太陽系中的其他天體。

為了在有限的項目成本和時間條件下開發航天器的飛行軟件，美國宇航局艾姆斯研究中心的工程師采取了一種基于模型設計的低成本、快速原型方法。

NASA LADEE航天器貼近月球表面環繞的藝術渲染圖。

圖像由 NASA 提供。

LADEE 飛行軟件負責人 Karen Gundy-Burlet 博士表示：“在Simulink中對航天器的高級控制功能進行建模和仿真，然后利用這些模型生成 C 代碼，最大限度地減少了算法設計人員與軟件開發人員之間的溝通差錯。基于模型的設計使得我們能夠在早期確定需求原型，并在開發的初期階段進行驗證和確認。”

挑戰

LADEE 在其設計和任務周期面臨幾個挑戰。首先，LADEE 有各種可能的發射軌跡。其次，負責完成探測任務的儀器需要高度精確的定點，月球環境條件也需要航天器在軌道內進行頻繁的滾動和翻轉。

為應對這些挑戰，NASA 工程師想要在開發流程的早期就對眾多任務場景和故障條件進行仿真。為幫助滿足 NASA 對軟件開發的程序性要求，他們需要在需求、模型、測試和測試結果之間建立雙向可追溯性。

解決方案

美國宇航局艾姆斯研究中心使用基于模型的設計，借助MATLAB和Simulink開發了用于 LADEE 航天器的機載飛行軟件。經過一系列的構建周期開發工作才得以完成，其中每個周期都由建模、仿真、代碼生成和測試組成。

美國宇航局艾姆斯研究中心的工程師使用Simulink開發了飛行軟件的模型，包括用于飛行姿態控制、電源管理、熱控制、導航、通信和指令處理的不同模型。該團隊還開發了 LADEE 航天器的Simulink模型，包括它的推進系統、環境和引力場。這些模型確保了飛行軟件可以在現實環境條件下被快速開發。

使用Simulink Verification and Validation，該團隊確認模型遵循他們自定義的建模指導原則，這些原則衍生于 MAAB (MathWorks Automotive Advisory Board) 指導原則。

在Simulink中運行單元級的仿真以確認子系統滿足要求之后，該團隊使用SimulinkCoder和Embedded Coder從他們的 Simulink 控制器模型中生成了 26,000 多行 C 代碼。

為捕捉任何設計錯誤，工程師使用了Polyspace Bug Finder和Polyspace Code Prover對生成的代碼執行靜態分析。

使用Simulink Coder，他們從被控對象模型中生成了代碼，以便進行處理器在環 (PIL) 和硬件在環 (HIL) 測試。他們將自己的控制器代碼與 NASA 的 Core Flight Executive (cFE) 和 Core Flight System (cFS) 軟件包集成，并將其部署到 Broad Reach PowerPC 處理器。

該團隊開展了大量的實時、系統級 PIL 和 HIL 測試，包括環月軌道進入、任務序列、科研任務和故障管理情形。

該團隊在整個項目范圍內使用Simulink Report Generator，依照 NPR 7150 規范跟蹤需求和每個需求的測試結果。

他們按預定時間和成本估算完成了軟件開發。

與使用基于模型的設計相比，手工編碼飛行軟件需要更長時間，使協作變得更加困難。管理者和硬件子系統工程師了解 Simulink 模型，很容易達成共識，因為每個人都知道在軟件中怎么運作。

——Karen Gundy-Burlet 博士

美國宇航局艾姆斯研究中心

結果

模型被重用于訓練和指令驗證。Gundy-Burlet 表示：“我們使用源自 Simulink 模型的仿真來訓練我們自己進行任務操作。另外在我們將指令信號發送到航天器之前，我們使用源自模型的仿真，驗證指令信號是否已完成其預期要做的事情，并在將指令信號發送到航天器之前確保沒有負面的意外后果。

飛行軟件在軌道中無縫更新。Gundy-Burlet 稱：“在執行任務過程中，我們發現了航天器的星體跟蹤儀問題和一些較小的軟件問題。我們在 Simulink 中更新了造成這些問題的狀態估測模型，重新生成了代碼，在新軟件上運行了有針對性的測試組件，并將其上傳到航天器，航天器又飛行了一個月，再沒有發現其它缺陷。

改進了形式化代碼檢查過程。Gundy-Burlet 指出：“Polyspace Code Prover 識別出了我們生成的代碼中的死代碼以及我們手工編寫代碼中的問題。它還識別了沒有錯誤的代碼，以及需要我們密切注意的代碼。利用這些結果，我們在形式化檢查過程中對代碼進行了有針對性的評估。