Computadora de a Bordo, SEU por Radiación y Watchdogs

La computadora de a bordo y el subsistema de mando y datos (OBC/CDH) forman el núcleo operativo del satélite: validan telecomandos, traman la telemetría de estado, planifican cargas útiles, mantienen el reloj de misión y gobiernan los modos autónomos. En una topología centralizada un microcontrolador maneja directamente los periféricos, mientras que los diseños distribuidos emplean controladores locales por tarjeta para aislar fallos sobre buses serie deterministas.

Las redes internas combinan buses cortos de placa (I²C, SPI, UART) con enlaces diferenciales inmunes al ruido (RS-485, CAN o SpaceWire en buses mayores). En pilas PocketQube de 42,0 × 42,0 mm, el estándar PQ9 sustituye los conectores pasantes de CubeSat por un bus RS-485 compacto de 9 pines y líneas no reguladas —volado en el 3P Delfi-PQ—, y su variante CS14 de 14 pines traslada esa arquitectura a placas base modulares CubeSat.

La selección del procesador equilibra energía por instrucción y tolerancia radiativa. Las misiones 1P y 1U emplean familias MSP430FR con FRAM o Arm Cortex-M4 STM32 bajo FreeRTOS, Zephyr o RTEMS, mientras que los Cortex-M7 tolerantes a radiación (SAMV71Q21RT) y los SoC Arm+FPGA (Zynq-7000, Cyclone V) ejecutan compresión óptica y radio definida por software. Con solo ≈15 mW asignados al OBC sobre ≈0,55 W orbitales en 1P, el procesador duerme casi toda la órbita de 95,1 minutos.

En órbitas heliosíncronas de 500–550 km, los picosatélites y nanosatélites llevan un blindaje delgado —1,0–1,5 mm de aluminio o 1,6 mm de FR-4—, pero su vida de 1,5–3 años limita la Dosis Ionizante Total (TID) a 1–4 krad(Si) (≈0,5–2,5 krad(Si)/año tras 1 mm de Al). Los microcontroladores, transceptores y reguladores CMOS comerciales (COTS) soportan 5–20 krad(Si), y las placas OBC comerciales declaran 10–300 krad(Si).

El peligro dominante en LEO no es la deriva por TID, sino los Efectos de Evento Único (SEE) causados por protones energéticos (>30 MeV) en la Anomalía del Atlántico Sur (SAA) y rayos cósmicos polares. Una Inversión de Bit (SEU) altera celdas SRAM, registros o configuración Flash sin daño permanente, mientras que un Enclavamiento (SEL) activa un tiristor parásito CMOS que destruye térmicamente el integrado si no se corta en milisegundos.

Las arquitecturas resilientes separan almacenamiento masivo y estado crítico. La memoria Flash ofrece alta densidad pero solo ~10⁵ escrituras y borrado lento. La RAM Ferroeléctrica (FRAM, hasta 10¹⁴ ciclos y bajo consumo) y la Magnetorresistiva (MRAM, ~10¹³ ciclos) guardan contadores de arranque, efemérides y temporizadores en dominios inmunes a inversiones por protones, reforzadas con Redundancia Modular Triple (TMR) y barrido CRC-32.

El software de vuelo opera como una máquina determinista de cuatro modos. Tras la eyección, Espera de Despliegue bloquea transmisores RF e hilos térmicos hasta cumplir 30–45 minutos; guardar ese contador en FRAM asegura que un reinicio por subtensión en eclipse reanude la cuenta sin volver a cero. Luego, Frenado y Despliegue ejecuta el control B-dot y activa los cortadores antes de pasar a modo Nominal (balizas cada 30–120 s con V_bat ≥ 3,75 V) o Modo Seguro bajo V_bat < 3,45 V.

Como los eventos SEU, bloqueos I²C y subtensiones son frecuentes en órbita, los satélites pequeños aplican tres niveles independientes de recuperación. En el Nivel 1, una tarea supervisora comprueba las banderas de comunicaciones, actitud y sensores antes de pulsar el temporizador. En el Nivel 2, un guardián externo de ventana por hardware fuerza un reinicio físico si la radiación congela el núcleo MCU y su oscilador.

El Nivel 3 reside en potencia (EPS): limitadores rápidos por línea (t_trip < 1 ms) extinguen corrientes SEL y reconectan tras enfriarse, mientras un temporizador autónomo corta y restaura el riel del OBC tras 12–24 horas sin tramas I²C o RS-485 válidas. Las alertas cruzadas añaden respaldo —en Grizu-263A el transceptor reportaba directamente al EPS la caída del enlace OBC— junto a gestores de arranque de doble imagen.

El protocolo de enlace decide si los pases bajos entregan datos útiles o se descartan. Los CubeSats clásicos usaban tramas AX.25 UI sin codificar (16–20 B de indicativos, 2 B CRC y relleno HDLC), donde un bit invertido en 0x7E pierde toda la trama y exige E_b/N_0 ≈ 13,4 dB para BER = 10⁻⁵ en 2-FSK no coherente. Encapsular CSP (cabecera de 4 B) en bloques CCSDS RS(255,223) (corrige hasta 16 bytes) o códigos convolucionales (r = 1/2, k = 7) / LDPC aporta 4–7 dB de ganancia.

El volumen diario depende de la visibilidad y la sobrecarga. Una órbita SSO de 525 km (~15,14 rev/día) ofrece ~22–25 min/día en cuatro a seis pases sobre 10° a 40° de latitud, cayendo a menos de la mitad con máscara de 20°. Restando preámbulos (8–16 B), sincronismo (4 B), paridad (η_frame ≈ 0,78 en AX.25 con 128 B frente a ≈0,85 en CSP + RS) y ciclo útil del 70–85 %, un enlace UHF a 4800 bit/s descarga ~520 kB/día brutos (~350–450 kB/día netos descontando ~40 kB/día de balizas).

La telemetría abierta multiplica el alcance operativo. El 1P Grizu-263A (237 g) agrupaba 31 campos por trama —identificación, tiempo, temperatura, 14 corrientes/tensiones de siete monitores INA y nueve ejes IMU— enviando cinco tramas cada 10 s. Publicar esquemas Kaitai Struct (.ksy) y gr-satellites permitió la decodificación global automática en SatNOGS, mientras telecomandos autenticados protegían el apagado RF exigido por la UIT.