Software de vuelo y recuperación de fallos

Modos operativos y temporizador de despliegue

El software de vuelo (FSW) se estructura como una máquina de estados finitos con cuatro modos principales[1]:

1. Espera tras el despliegue: Mantiene inhibidos los transmisores y los circuitos de corte durante $30\text{-}45\text{min}$, guardando el avance en FRAM para evitar reinicios desde cero ante caídas de tensión[2].
2. Despliegue de antenas y amortiguación: Activa las resistencias de corte y el algoritmo B-dot.
3. Modo nominal: Recopila telemetría, emite balizas periódicas ($30\text{-}120\text{s}$) y ejecuta cargas útiles cuando $V_{\text{bat}}\ge 3,75\text{V}$.
4. Modo seguro: Desconecta las cargas no esenciales si $V_{\text{bat}}<3,45\text{V}$.

Familia	Núcleo	Función típica
MSP430FR	16-bit, FRAM	OBC de muy bajo consumo para 1P/1U
STM32L4 / F4	Arm Cortex-M4F	OBC de propósito general, ADCS
SAMV71Q21RT	Arm Cortex-M7	OBC tolerante a la radiación
Zynq-7000	Cortex-A9 + FPGA	Procesado de imágenes y carga útil

Componentes representativos, no una recomendación; la tolerancia a la radiación debe comprobarse para cada lote y cada misión.

Jerarquía de tres niveles de watchdog

Para tolerar inversiones de bit (SEU) y bloqueos del bus I²C[2], se emplean tres capas:

• Nivel 1 (Monitor de tareas): Verifica la actividad de cada hilo antes de conmutar el pin de watchdog.
• Nivel 2 (Watchdog externo en hardware): Reinicia el MCU si cesan los pulsos.
• Nivel 3 (Ciclo de potencia por el EPS): Corta y restablece la alimentación del OBC e interfaces RS-485/PQ9 tras $12\text{-}24\text{h}$ sin respuesta[3].