Bordrechner (OBC), Strahlungs-SEU & Watchdog-Architektur

Der Bordrechner samt Kommando- und Datenverarbeitung (OBC/CDH) bildet das operative Rückgrat eines Kleinstsatelliten: Er prüft und verarbeitet Bodenkommandos, erfasst und rahmt Haushaltstelemetrie, plant Nutzlastaufträge, führt die Bordzeit und steuert autonome Moduswechsel. In einer zentralisierten Topologie steuert ein einzelner Mikrocontroller sämtliche Peripheriebausteine direkt an, während verteilte Architekturen lokale Controller auf jeder Platine nutzen, um Fehler über deterministische serielle Datenbusse sauber zu isolieren.

Typische Bordnetze kombinieren kurze Platinenschnittstellen wie I²C, SPI und UART mit störfesten differentiellen Verbindungen wie RS-485, CAN oder schnellen SpaceWire-Links auf größeren Plattformen. Für 42,0 × 42,0 mm große PocketQube-Stapel ersetzt der PQ9-Standard sperrige CubeSat-Durchsteckverbinder durch einen schlanken 9-poligen RS-485-Bus samt ungeregelten Versorgungsleitungen — flugerprobt auf dem 3P Delfi-PQ —, während das 14-polige Pendant CS14 dasselbe Prinzip auf modulare CubeSat-Backplanes überträgt.

Die Prozessorwahl wägt Energiebedarf pro Befehl gegen Strahlungsfestigkeit ab. Stark leistungsbegrenzte 1P- und 1U-Missionen bevorzugen FRAM-basierte MSP430FR-Bausteine oder Arm-Cortex-M4-Mikrocontroller der STM32-Familie unter schlanken Echtzeitkernen wie FreeRTOS, Zephyr oder RTEMS, während strahlungstolerante Cortex-M7-Typen (SAMV71Q21RT) sowie Arm-FPGA-SoCs (Zynq-7000, Cyclone V) Bildkompression und Software-Defined-Radio-Ketten übernehmen. Da das 1P-Referenzbudget dem Bordrechner nur ≈15 mW im Mittel von ≈0,55 W Umlaufdurchschnittsleistung zuweist, verbringt der Prozessor den Großteil jedes 95,1-Minuten-Umlaufs im Schlafmodus.

Auf sonnensynchronen niedrigen Erdumlaufbahnen zwischen 500 und 550 km besitzen Piko- und Nanosatelliten nur dünne Strukturabschirmungen — oft 1,0–1,5 mm Aluminium oder 1,6 mm FR-4-Laminat —, doch ihre kurze Verweildauer von 1,5–3 Jahren begrenzt die kumulierte ionisierende Gesamtdosis (TID) auf rund 1–4 krad(Si) (≈0,5–2,5 krad(Si) pro Jahr hinter 1 mm Al). Moderne kommerzielle CMOS-Mikrocontroller, Transceiver und Linearregler (COTS) überstehen 5–20 krad(Si) ohne Parameterausfall, und kommerzielle OBC-Baugruppen spezifizieren 10–300 krad(Si).

Die maßgebliche Gefahr im LEO ist daher nicht schleichende TID-Alterung, sondern spontane Single-Event-Effekte (SEE) durch energiereiche Protonen (>30 MeV) in der Südatlantischen Anomalie (SAA) sowie galaktische Kosmosstrahlung über den Polen. Ein nichtdestruktives Single-Event Upset (SEU) kippt einzelne Bits in SRAM, Prozessorregistern oder Flash-Konfigurationszellen, während ein Single-Event Latch-up (SEL) einen parasitären Thyristor im CMOS-Substrat zündet und ohne Stromabschaltung binnen Millisekunden zum thermischen Bauteilverlust führt.

Fehlertolerante Speicherarchitekturen trennen Massendaten strikt vom Systemzustand. NAND-/NOR-Flash bietet hohe Speicherdichte für Nutzlastdaten, verkraftet jedoch nur ~10⁵ Schreibzyklen bei langsamer Seitenlöschung. Ferroelektrisches RAM (FRAM, bis 10¹⁴ Schreibzyklen bei schnellen, energiearmen Schreibzugriffen) und magnetoresistives RAM (MRAM, ~10¹³ Zyklen) sichern Bootzähler, Bahnparameter und Sperrtimer in strahlungsunempfindlichen Polarisations- bzw. Magnetisierungszuständen, ergänzt durch Dreifach-Mehrheitsentscheid (TMR) und zyklisches CRC-32-Scrubbing.

Flugsoftware arbeitet als deterministischer endlicher Zustandsautomat mit vier Hauptbetriebsarten. Direkt nach dem Ausstoß sperrt der Zustand Start-/Entfaltungswartezeit sämtliche HF-Endstufen und Schmelzwiderstände, bis ein Zeitzähler 30–45 Minuten erreicht; die Ablage im FRAM stellt sicher, dass ein Unterspannungs-Reset im kalten Erdschatten den Zähler fortsetzt statt bei null neu zu beginnen. Danach führt Entdrallung & Antennenfreigabe die magnetische B-dot-Dämpfung sowie das Durchtrennen der Haltedrähte aus, bevor bei V_bat ≥ 3,75 V der Nominalbetrieb (Baken alle 30–120 s) oder unterhalb von V_bat < 3,45 V der abgesicherte Sicherheitsmodus übernommen wird.

Da SEUs, blockierte I²C-Busse und Spannungseinbrüche im Orbit regelmäßig auftreten, setzen flugerprobte Kleinsatelliten auf eine dreistufige Wiederherstellungskette. In Stufe 1 prüft ein Software-Überwacher Lebenszeichen aller Kommunikations-, Lageregelungs- und Sensortasks, bevor er den Zeitwächter-Pin bedient. In Stufe 2 löst ein unabhängiger externer Fenster-Wächterbaustein einen harten Neustart aus, falls ein Strahlungstreffer MCU-Rechenkern und Quarzoszillator gleichzeitig einfriert.

Stufe 3 sitzt in der Energieversorgung (EPS): Schnelle Überstromschalter pro Versorgungspfad (t_trip < 1 ms) löschen zerstörerische SEL-Querströme sofort und schalten den Zweig nach einer Abkühlpause wieder zu, während ein autonomer EPS-Zähler die OBC-Schiene komplett trennt und neu startet, wenn 12–24 Stunden lang keine gültigen I²C- oder RS-485-Rahmen eintreffen. Direkte Hardware-Quermeldungen erhöhen die Robustheit zusätzlich — bei Grizu-263A meldete das Funkmodul einen Ausfall der OBC-Verbindung direkt per Fehlercode an das EPS —, und Zwei-Abbild-Startlader sichern Software-Aktualisierungen im Orbit per Prüfsummen-Rückfall ab.

Das Sicherungsschicht-Protokoll entscheidet darüber, ob flache Randüberflüge verwertbare Nutzdaten liefern oder verworfen werden. Klassische Amateurfunk-CubeSats sendeten uncodierte AX.25-UI-Rahmen mit 16–20 B Rufzeichenkopf, 2 B Prüfsumme und HDLC-Bitstopfen, wobei ein einzelner Bitfehler in einem 0x7E-Flag das gesamte Paket verwirft und uncodiertes inkohärentes 2-FSK für BER = 10⁻⁵ ein E_b/N_0 ≈ 13,4 dB verlangt. Ein CubeSat-Space-Protocol-Paket (CSP, 4 B Kopf) mit CCSDS-RS(255,223)-Blockschutz (korrigiert bis zu 16 Bytefehler pro 255-B-Block) oder verketteter Faltungscodierung (r = 1/2, k = 7) bzw. CCSDS-LDPC bringt 4–7 dB Codierungsgewinn.

Das tägliche Nettodatenvolumen folgt aus Kontaktgeometrie und Protokoll-Overhead. Auf 525 km SSO (~15,14 Umläufe/Tag) erzielt eine Bodenstation auf 40° Breite oberhalb von 10° Elevationsmaske rund 22–25 Minuten Sichtbarkeit pro Tag über vier bis sechs Überflüge — bei 20° Maske sinkt die Kontaktzeit auf weniger als die Hälfte. Abzüglich 8–16 B Präambel, 4 B Synchronwort, Paritätsbytes (η_frame ≈ 0,78 bei AX.25 mit 128 B Nutzdaten gegenüber ≈0,85 bei CSP + RS) und 70–85 % Halbduplex-Sendeanteil überträgt eine 4800-bit/s-UHF-Strecke brutto ~520 kB/Tag (~350–450 kB/Tag Nutzdaten nach Abzug von ~40 kB/Tag Baken).

Durchdachte Telemetriefelder und offene Decoder vervielfachen die Missionsausbeute. Der 237 g leichte 1P Grizu-263A bündelte 31 Messwerte pro Rahmen — Kennung und Bordzeit, Innentemperatur, 14 Ströme und Spannungen von sieben INA-Messbausteinen sowie neun IMU-Kanäle — bei fünf Rahmen alle 10 s. Vor dem Start veröffentlichte unverschlüsselte Kaitai-Struct-(.ksy)- und gr-satellites-Definitionen ermöglichten dem weltweiten SatNOGS-Netzwerk die vollautomatische Decodierung ab den ersten Umläufen, während authentifizierte Telekommandos den gemäß ITU vorgeschriebenen Sender-Abschaltbefehl schützten.