- La capsula Orion per Artemis II utilizza un sistema informatico con 8 processori che eseguono simultaneamente le stesse istruzioni, garantendo ridondanza totale nello spazio profondo dove i guasti non possono essere riparati
- L'architettura tolera guasti multipli e consecutivi, con reset automatico e risincronizzazione dei moduli difettosi, permettendo al sistema di continuare operando in sicurezza anche dopo la perdita di tre moduli in 22 secondi
- Memoria tripla ridondante, reti fisicamente separate su tre piani indipendenti e software di backup completamente separato su hardware diverso assicurano protezione totale da errori
La capsula Orion che porterà gli astronauti della missione Artemis II verso la Luna incorpora uno dei sistemi informatici più avanzati mai progettati per un veicolo spaziale. A differenza delle missioni Apollo, dove i computer di bordo gestivano funzioni limitate, il sistema della navicella moderna deve controllare supporto vitale, navigazione e comunicazioni in modo integrato. E deve farlo a oltre 400.000 chilometri dalla Terra, dove qualsiasi intervento di riparazione è impossibile.
Dall’Apollo a Orion: un salto tecnologico necessario
Durante le missioni Apollo, gli astronauti potevano contare su un computer con processore da 1 MHz e appena 4 kilobyte di memoria. Un sistema sufficiente per i compiti dell’epoca, ma inadeguato per le esigenze di una missione moderna che richiede controllo totale del veicolo in condizioni estreme. La capsula Orion utilizza due computer principali di gestione, ciascuno contenente due moduli di controllo di volo. Ogni modulo, a sua volta, integra una coppia di processori che verificano costantemente i risultati l’uno dell’altro. Il risultato è un sistema con 8 processori che eseguono le stesse istruzioni simultaneamente.
Questa architettura non nasce da un eccesso di prudenza, ma dalla consapevolezza che nello spazio profondo non esistono margini di errore. Nate Uitenbroek, responsabile dell’integrazione e verifica software del programma Orion, ha spiegato che il sistema è stato progettato per coprire guasti hardware multipli. Oltre ai processori ridondanti, la navicella dispone di cavi fisicamente ridondanti e reti logicamente separate su più piani di comunicazione.
Un sistema che tollera guasti multipli in pochi secondi
Il cuore dell’architettura è la capacità di continuare a operare anche in caso di guasti rapidi e consecutivi. Secondo Uitenbroek, il sistema può perdere tre moduli di controllo in soli 22 secondi e continuare a funzionare in sicurezza con l’ultimo modulo rimasto. Quando un processore genera un risultato errato, il design accoppiato rileva immediatamente la discrepanza e impedisce che l’output venga utilizzato. Un computer difettoso non invia comandi sbagliati: semplicemente si disattiva.
I moduli che falliscono non vengono abbandonati definitivamente. Il sistema li resetta e li risincronizza, permettendo loro di rientrare in funzione durante la missione stessa. Orion utilizza una rete Ethernet time-triggered che distribuisce un riferimento temporale condiviso attraverso tutti i componenti. Se un modulo non rispetta la sua finestra di esecuzione, viene automaticamente isolato, resettato e risincronizzato prima di tornare operativo.
Memoria triplicata e software di backup completamente separato
Oltre alla ridondanza dei processori, il sistema informatico incorpora memoria tripla ridondante in grado di correggere automaticamente errori di un singolo bit durante ogni operazione di lettura. Le interfacce di rete utilizzano due canali di comunicazione che vengono continuamente confrontati per rilevare incongruenze. L’intera rete è poi replicata su tre piani indipendenti.
Ma la protezione non si ferma qui. Orion trasporta un sistema software di backup completamente separato, che funziona su hardware diverso e con codice sviluppato in modo indipendente. Questo sistema opera costantemente in background, pronto a subentrare. Come sottolineato da Uitenbroek, è stato progettato intenzionalmente diverso per garantire che un errore nel software principale non si ripeta anche nel backup. La navicella include inoltre procedure per scenari di perdita totale dell’alimentazione, che consentono ai sistemi di riavviarsi, stabilizzarsi e ristabilire le comunicazioni una volta ripristinata l’energia.
Sovradimensionato per necessità, non per scelta
Questa architettura risulta sovradimensionata rispetto a qualsiasi standard commerciale. Ma nello spazio profondo non esistono seconde opportunità. Resta da verificare se tutti gli 8 processori si comporteranno come previsto sotto condizioni reali di radiazione, e il software di backup non ha mai affrontato un’emergenza vera. La missione Artemis II rappresenterà il banco di prova definitivo per un sistema progettato per non fallire quando l’alternativa non è contemplabile.
