Flugsoftware & Fehlertoleranz

Betriebsmodi und der Ausstoßtimer

Die Flugsoftware (Flight Software, FSW) auf einem PocketQube oder CubeSat ist als deterministischer endlicher Zustandsautomat (Finite-State Machine) mit vier Hauptzuständen aufgebaut[1]:

1. Start- / Ausstoßwartephase (Deployment Wait): Wird beim ersten Einschalten nach dem Verlassen des Deployers eingenommen. Funksender und Schmelzdrahtheizer bleiben strikt verriegelt, bis ein nichtflüchtiger Betriebszeitzähler $30\text{–}45\text{ min}$ erreicht. Setzt ein Spannungseinbruch (Brown-out) den Mikrocontroller während dieser Wartezeit zurück, läuft der Zähler ab dem im nichtflüchtigen FRAM gesicherten Stand weiter, anstatt wieder bei null zu beginnen[2].
2. Entdrallung & Antennenfreigabe: Führt die autonome B-dot-Dämpfung aus (sofern ein aktives ADCS verbaut ist) und steuert nacheinander die primären und redundanten Schmelzwiderstände der Antennen an.
3. Nominalbetrieb (Sonne & Eklipse): Erfasst Housekeeping-Telemetrie, sendet periodische Baken (im Takt von $30\text{–}120\text{ s}$) und plant Nutzlastaufgaben ein, solange die Batteriespannung oberhalb der Nennschwelle liegt (z. B. $V_{\text{bat}}\ge 3,75\text{ V}$).
4. Sicherheits- / Überlebensmodus (Safe Mode): Wird automatisch aktiviert, sobald $V_{\text{bat}}$ unter eine kritische Schwelle fällt (z. B. $3,45\text{ V}$). Sämtliche Nutzlasten werden abgeworfen und das Tastverhältnis der Funkbake wird abgesenkt, bis die Solarladung wieder eine ausreichende Energiereserve hergestellt hat.

Familie	Kern	Typische Rolle
MSP430FR	16-bit, FRAM	Ultra-low-power 1P/1U OBC
STM32L4 / F4	Arm Cortex-M4F	General-purpose OBC, ADCS
SAMV71Q21RT	Arm Cortex-M7	Radiation-tolerant OBC
Zynq-7000	Cortex-A9 + FPGA	Image and payload processing

Repräsentative Bauteile; Strahlungstoleranz muss chargen- und missionsspezifisch geprüft werden.

Dreistufige Watchdog-Kaskade und Brown-out-Festigkeit

Strahlungsinduzierte Bitkipper (Single-Event Upsets, SEUs), blockierte I²C-Busse und Spannungseinbrüche am Ende kalter Schattenphasen gehören im niedrigen Erdorbit zum Alltag[2]. Flugerprobte Kleinsatelliten implementieren daher drei voneinander unabhängige Rücksetzebenen:

• Ebene 1 (Software-Task-Monitor): Ein übergeordneter Supervisor-Task prüft die Lebenszeichen (Heartbeat-Flags) der Kommunikations-, ADCS- und Sensor-Threads, bevor er den Hardware-Watchdog-Pin bedient.
• Ebene 2 (Externer Hardware-Fenster-Watchdog): Ein externer Überwachungsbaustein setzt den Mikrocontroller hart zurück, sobald dessen Toggle-Pin ausbleibt oder dauerhaft auf festem Pegel verharrt.
• Ebene 3 (Harter EPS-Power-Cycle): Sendet der Bordcomputer über $12\text{–}24\text{ h}$ hinweg keinen gültigen I²C- bzw. RS-485-Rahmen mehr an das Energiesystem – oder überschreitet ein Latch-up-Strom die Auslöseschwelle des Lastschalters –, trennt das EPS die Versorgungsschiene des Bordcomputers vollständig ab und schaltet sie anschließend neu zu[3].