EGSE: dove il satellite incontra la Terra, prima di lasciarla

Un satellite è un oggetto progettato per essere irraggiungibile. Tutto ciò che gli verrà chiesto in dieci o quindici anni di orbita deve essere dimostrato mentre si trova ancora in camera bianca, cablato a connessioni che verranno staccate una volta sola.

È in questa fase che lavorano le apparecchiature di supporto a terra. Ed è anche la fase che raramente compare nelle immagini che arrivano al pubblico: nessun lancio, nessuna separazione, nessun primo segnale. Solo rack, cablaggi e un modello di volo sotto test, circondato da apparecchiature che non lasceranno mai l'edificio.

L'Electrical Ground Support Equipment, l'EGSE, è quell'apparato. Ha uno scopo circoscritto ed esigente allo stesso tempo: stimolare il satellite e i suoi sottosistemi esattamente come farà la missione, osservarne la risposta e registrare l'evidenza che si siano comportati come specificato.

L'ultimo luogo in cui un problema di progetto può ancora emergere

Durante le attività di Assembly, Integration and Testing (AIT), l'hardware di volo si trova in uno stato che non si ripeterà più. È abbastanza completo da poter essere esercitato come sistema e ancora abbastanza accessibile da poter essere strumentato, regolato e riparato.

Quando quella finestra si chiude, le opzioni cambiano completamente. Un'anomalia rilevata dopo il lancio non è un problema tecnico da risolvere su un banco, è una decisione di missione, presa con telemetria parziale, tempo limitato e nessuna possibilità di accesso fisico.

Questa asimmetria spiega perché i requisiti imposti a un EGSE siano, sotto diversi aspetti, più severi di quelli imposti alle normali apparecchiature di collaudo industriale. L’apparato deve raggiungere un livello di affidabilità tale da escludere che i risultati dei test possano essere influenzati da malfunzionamenti dello strumento. Quando durante una campagna di qualifica emerge una misura anomala, la prima domanda è se la responsabilità sia dell'unità sotto test o del banco. Un buon apparato di supporto a terra è progettato perché a quella domanda si possa rispondere rapidamente e, idealmente, perché non si ponga.

Due livelli di check-out

Le apparecchiature di check-out operano su due livelli distinti e la distinzione conta più degli acronimi che la descrivono.

A livello di sistema si colloca l'Overall Check-Out Equipment, l'OCOE. Si rivolge al satellite nel suo insieme: stabilisce il collegamento di telemetria e telecomando, esegue le sequenze operative, monitora le risposte e custodisce il riferimento rispetto al quale viene valutata l'intera campagna. È il livello al quale un operatore di test si chiede se il veicolo spaziale, come oggetto integrato, faccia ciò che la missione richiede.

Al di sotto si collocano i banchi di sottosistema, gli SCOE, ciascuno dedicato a una parte del satellite. Unità di potenza, moduli di comunicazione, gestione dati, elettronica di payload, sensori e attuatori vengono esercitati da apparati progettati attorno alle interfacce, ai livelli di segnale e ai modi di guasto propri di quel sottosistema. Un banco costruito per un'unità di condizionamento della potenza ha ben poco in comune con uno costruito per un'interfaccia dati di payload e il tentativo di farne servire uno per entrambi produce di norma un apparato che non serve bene nessuno dei due.

I due livelli sono complementari. I banchi di sottosistema offrono un ambiente in cui i fenomeni sono sufficientemente semplificati da poter essere isolati e caratterizzati con precisione. Il livello di sistema verifica che sottosistemi individualmente corretti si comportino correttamente anche insieme, che costituisce un livello di analisi diverso e frequentemente più difficile da affrontare.

Simulare ciò che il satellite a terra non ha

Alcune parti dell'ambiente di missione non possono essere portate in camera bianca. Vanno simulate con una fedeltà tale che l'hardware di volo non riesca a distinguerle dall'originale.

La potenza elettrica è il caso più evidente. In orbita un satellite è alimentato dal proprio pannello solare, il cui comportamento non ha nulla a che vedere con quello di un alimentatore da laboratorio: la caratteristica corrente-tensione è non lineare, si sposta al variare di illuminazione e temperatura e cambia lungo la missione man mano che le celle degradano. Un'unità di condizionamento progettata per una sorgente di questo tipo deve essere collaudata su una sorgente che ne riproduca il comportamento, non su una sua approssimazione.

I Solar Array Simulator riproducono elettronicamente questo comportamento e permettono di esercitare la catena di potenza del satellite su punti di lavoro, transizioni di eclissi e condizioni di fine vita che a terra sarebbero altrimenti irriproducibili.

La stessa logica si applica un livello più in basso, alle celle. I Solar Cell Test System caratterizzano i dispositivi fotovoltaici dalla singola cella fino alle stringhe e ai pannelli completi, producendo la caratterizzazione elettrica che la qualifica richiede e che alimenta la simulazione impiegata a livello di sistema. IPSES ha sviluppato SoCRATes proprio per questo, come strumento dedicato alla misura di celle solari.

Che cosa rende buono un apparato di supporto a terra

Al di là dell'architettura, poche proprietà separano un apparato che sostiene una campagna da uno che la rallenta.

• Ripetibilità. Una prova che non può essere riprodotta in modo identico ha un valore limitato come evidenza. Il banco deve produrre lo stesso stimolo e le stesse condizioni di misura oggi, tra un mese e dopo la sostituzione di un componente.
• Tracciabilità. Ogni misura deve essere attribuibile: a una configurazione, a una taratura, a un istante. La qualifica è un esercizio documentale tanto quanto tecnico e un apparato che rende difficile documentare rende difficile l'intera campagna.
• Un riferimento temporale comune. Quando più strumenti osservano lo stesso evento, le loro marcature temporali devono significare la stessa cosa. Altrimenti la correlazione tra un comando e una risposta diventa un'interpretazione anziché una misura.
• Longevità. I programmi spaziali sopravvivono ai componenti elettronici. Un apparato consegnato all'inizio di una campagna di integrazione deve restare manutenibile, tarabile e riproducibile anni dopo: è un vincolo di progetto fin dall'origine, non una questione di manutenzione successiva.
• Operabilità. Durante una campagna si lavora con scadenze serrate e su hardware unico; il banco deve risultare chiaro all’utente operativo, non soltanto ai progettisti.

Sistemi chiavi in mano, oppure singoli elementi

Non tutti i programmi hanno bisogno di un sistema completo e non tutte le organizzazioni ne vogliono uno.

Alcuni clienti richiedono una fornitura completa: hardware, elettronica su specifica, software di test e supervisione, documentazione e collaudo di accettazione. Altri dispongono già di un ambiente di test consolidato e hanno bisogno di un elemento che sul mercato non esiste: uno strumento specifico, uno stadio di condizionamento, un livello software che integri apparecchiature di fornitori diversi in un'unica sequenza.

Entrambe le richieste sono legittime e chiamano in causa rapporti di fornitura diversi. Consegnare un singolo elemento dentro l'architettura di qualcun altro richiede di comprendere vincoli stabiliti prima che la richiesta arrivasse, il che è spesso più impegnativo che progettare un sistema da zero.

Da dove viene la competenza

IPSES non è arrivata alle apparecchiature di supporto a terra dal solo settore spaziale. Il lavoro dell'azienda sui sistemi di collaudo funzionale per l'elettronica industriale, della difesa e del broadcast affronta da anni requisiti che portano nomi diversi ma chiedono le stesse cose: misure che reggono a un esame critico, sistemi che restano riproducibili lungo cicli produttivi o di qualifica estesi e un riferimento temporale coerente su tutta l'installazione.

Quest'ultimo punto non è una coincidenza. Il lavoro di IPSES sulla temporizzazione disciplinata da GNSS e sulla distribuzione del tempo in rete nasce da una linea di prodotto diversa, ma la domanda di fondo è identica a quella che si pone un operatore di test in camera bianca: quando due strumenti riportano lo stesso evento, concordano su quando è accaduto?

Il quadro europeo per l’ingegneria spaziale, gli standard ECSS, formalizza gran parte di quanto descritto sopra. In questo ambito, la conformità è solo una parte del problema: ciò che conta è il linguaggio condiviso, che definisce l’output atteso dal cliente, il suo formato e il livello di evidenza richiesto.

Che cosa viene dopo

Le apparecchiature di supporto a terra non sono la parte visibile di un programma spaziale e non devono esserlo. Il loro successo si misura in negativo, da ciò che non accade dopo il lancio.

Nelle prossime settimane entreremo nel dettaglio dei diversi ambiti: prima analizzeremo come le architetture dedicate di sottosistema contribuiscano alla riduzione del rischio in qualifica, poi affronteremo la simulazione solare come disciplina a sé stante.

Se state sviluppando elettronica satellitare e il banco che dovrà validarla è ancora una questione aperta, è esattamente la conversazione che ci interessa avere.