Nelle missioni spaziali, mantenere la corretta temperatura dei componenti di veicoli spaziali è un requisito non negoziabile per il successo della missione e la sicurezza dell'equipaggio. Il sistema di controllo termico (TCS) gestisce lo scambio termico per mantenere le apparecchiature entro i limiti operativi, dai sensori criogenici all'elettronica di potenza-ondata.

Il bisogno critico di ridondanza nel controllo termico Spacecraft

L'ambiente spaziale impone sfide termiche estreme. Sul lato illuminato di una sonda, le temperature possono salire sopra i +120°C; sul lato oscuro, possono immergersi a -150°C o più in basso. All'interno del veicolo, il calore generato da elettronica, la propulsione e il supporto vitale deve essere efficacemente respinto o mantenuto. Se il TCS non riesce, i componenti possono surriscaldarsi, causando la maggior parte di guasto del radiatore semiconduttore, la batteria o guarnizione del guarnizione della valvola strutturale

La ridondanza non è solo un miglioramento facoltativo; è un requisito fondamentale per la maggior parte delle agenzie spaziali e degli operatori commerciali satellitari. Il principio è semplice: fornire due o più mezzi indipendenti per svolgere una funzione critica in modo che il fallimento di uno non compromette la missione. Poiché un TCS tipicamente include pompe, valvole, riscaldatori, termosifoni, cinghie termiche e elettronica di controllo, ciascuno di questi elementi deve essere considerato nel sistema ridondante.

Tipi di ridondanza nei sistemi di controllo termico

Gli ingegneri impiegano tre ampie categorie di ridondanza per proteggere il TCS: attivo, passivo e ibrido, ognuno ha i propri vantaggi e trade-off in termini di peso, consumo energetico e complessità.

Redunda attiva

In un TCS fortemente ridondante, i componenti identici sono in funzione simultanea. Ad esempio, due pompe possono funzionare in parallelo all'interno di un loop fluido, con una capacità sufficiente di gestire il carico termico completo se l'altro non riesce. Se una pompa si ferma, la seconda continua senza interruzioni. Allo stesso modo, una sonda può avere due o più circuiti di riscaldamento indipendenti continuamente alimentati, ognuno in grado di mantenere le temperature entro i limiti richiesti.

Ridondazione passiva

Per esempio, un veicolo spaziale potrebbe avere un radiatore primario e un radiatore secondario che viene memorizzato e distribuito solo se il primario è danneggiato da micrometeoroidi o da un meccanismo di distribuzione difettoso. Allo stesso modo, i riscaldatori di backup possono essere attivati da un timer di watchdog o da un comando manuale dal controllo del suolo dopo il riassorbimento primario.

Redondazione ibrida

La ridondanza ibrida si fonde con approcci attivi e passivi per ottimizzare l'affidabilità senza eccessivi sovraccarichi. Ad esempio, una pompa può funzionare al 50% con una pompa standby che inizia automaticamente se il flusso scende sotto una soglia. O una sonda potrebbe impiegare un loop fluido con due pompe che funzionano a metà velocità (attivo) mentre una terza pompa rimane fuori (passiva).

Livelli di ridondanza: Componente, Sottosistema e Sistema

A livello dei componenti, i riscaldatori individuali, le valvole o i sensori di temperatura possono avere duplicati. A livello del sottosistema, un intero loop di fluido o un pannello del radiatore può avere un ricambio. A livello del sistema, può essere installato un TCS completamente indipendente, come una rete di tubi di calore separata per il raffreddamento a carico che può eseguire il backup del bus primario TCS. La scelta del livello dipende dalla criticità della connessione a livello trasversale.

Considerazioni di progettazione per TCS ridondante

La progettazione di un sistema di controllo termico ridondante comporta un attento equilibrio dei requisiti contrastanti. Gli ingegneri devono assegnare i bilanci di massa e di potenza, assicurando che la logica ridondanza stessa non introduca nuove modalità di fallimento.

Modalità di guasto e analisi degli effetti

Ogni potenziale meccanismo di guasto nel TCS deve essere identificato e valutato per il suo impatto sugli obiettivi della missione. Ad esempio, una valvola bloccata che impedisce il flusso di refrigerante deve essere affrontata da un percorso di bypass parallelo o da una valvola ridondante. Gli ingegneri utilizzano Modalità di fallimento, Effetti e Analisi di criticità (FMECA) per classificare le modalità di guasto e determinare dove ridondanza è essenziale.

Meccanismi di commutazione e Autonomia

Su sonde a profondità, dove i ritardi di tempo leggero possono superare i minuti o le ore, la sonda deve percepire autonomamente un algoritmo di errore (ad esempio, la perdita di flusso, la temperatura fuori campo, o la caduta di corrente del riscaldatore) e attivare il backup.

Penali di peso e di massa

Per la sonda spaziale, la massa è uno dei vincoli più critici perché influisce direttamente sui costi di lancio e sui bilanci propellanti. Una pompa ridondante può pesare decine di chilogrammi, e un pannello di radiatori di backup può aggiungere area e massa che potrebbe altrimenti essere utilizzata per gli strumenti scientifici o propellanti.

Consumo di energia e bilancia termica

L'esecuzione di due pompe a metà velocità invece di una a piena velocità può risparmiare poca energia; mantenere un riscaldatore di backup su energia continua. I progettisti devono bilanciare il bilancio di potenza. Per ridondanza passiva, il backup può essere non alimentato fino a quando necessario, che conserva l'alimentazione ma richiede un'interfaccia di commutazione affidabile. Inoltre, l'equilibrio termico del veicolo deve essere mantenuto durante il passaggio di emergenza.

Test e verifica

I test termici a livello di sistema possono dimostrare che pompe di backup, riscaldatori e radiatori attivano e mantengono le temperature adeguate. Tuttavia, testare completamente tutte le possibili combinazioni di guasti è spesso impraticabile. Gli ingegneri invece si affidano ai test di iniezione di guasto, dove i singoli punti di guasto sono attivati intenzionalmente (ad esempio, simulare una breve valvola bloccata o una campagna di errore).

Esempi reali del TCS ridondante nelle missioni spaziali

Le seguenti missioni illustrano come la ridondanza sia stata implementata per raggiungere una straordinaria affidabilità nel controllo termico.

Stazione Spaziale Internazionale

L'ISS gestisce uno dei più complessi sistemi di controllo termico mai costruiti, con circuiti di raffreddamento esterni che utilizzano l'ammoniaca come fluido di lavoro. Ciascuno degli otto sistemi di controllo termico fotovoltaico ha due circuiti indipendenti di ammoniaca, una primaria e un backup, che possono essere collegati tra loro. Inoltre, il TCS interno per i moduli dell'equipaggio utilizza più loop d'acqua con pompe ridondanti.

Voyager Spacecraft

Lanciato nel 1977, Voyager 1 e 2 continuano ad operare più di 40 anni dopo, ben oltre la loro vita di progettazione originale. I loro sistemi di controllo termico si basano principalmente su misure passive: unità di riscaldamento radioisotopo (RHU) che forniscono calore costante dal decadimento di anomalie plutonio-238, isolamento multistrato (MLI) per mantenere il calore, e gli aghi che aprono e vicino a irradiare calore in eccesso.

Mars Science Laboratory (Curiosity Rover)

Il rover Curiosity utilizza un loop fluido pompato meccanico chiamato Mars Science Laboratory Thermal Control System (MSTCS), che circola un fluido di trasferimento termico attraverso l'elettronica del rover e un radiatore. Il loop ha due pompe: una prima e un backup. Se la pompa primaria non riesce o la sua portata scende sotto una soglia, il backup automaticamente si accende. Il sistema include anche riscaldatori e sensori di temperatura ridondanti.

Telescopio spaziale James Webb

Il telescopio spaziale James Webb (JWST) richiede un ambiente estremamente freddo per i suoi strumenti a infrarossi, inferiore a 50 K per i rivelatori. Il suo TCS utilizza un parasole multistrato, criocooler e radiatori passivi. La ridondanza è implementata principalmente nei sistemi criocooler: ciascuno dei tre strumenti ha due criocooler indipendenti (primario e backup).

Portale Lunare (Planned)

Il prossimo Lunar Gateway, una piccola stazione spaziale intorno alla Luna, incorpora una ridondanza avanzata del TCS. Il suo design include un sistema di gestione termica ibrida con due loop fluidi indipendenti (simile all’ISS), ma questi loop saranno più compatti e utilizzano fluidi rispettosi dell’ambiente.

Sfide e limitazioni della ridondanza

Mentre la ridondanza è indispensabile, non è una panacea.

Maggiore complessità e costi

L'aggiunta di componenti ridondanti moltiplica il numero di parti, interfacce e cablaggio, aumentando così il progetto, la produzione e il test, spesso del 30-50% per il sottosistema TCS.

Perché i fallimenti

Se il primario e il backup condividono lo stesso power bus, la stessa versione del software, o sono collocati nella stessa posizione fisica, un singolo evento (come un'impennata di potenza, un bug del software o uno sciopero micrometeoroid) può disabilitare entrambi. Gli ingegneri devono introdurre la diversità: utilizzando diverse schede elettroniche, alimentazione separata e separazione fisica.

Bilanci di massa e volume

Su molti piccoli satelliti (CubeSats e microsats), la massa e il volume disponibili sono così stretti che la piena ridondanza è impossibile. Invece, gli ingegneri si affidano a parti ad alta affidabilità e margini di progettazione conservativi. Alcune missioni accettano il rischio di un singolo fallimento TCS se il costo di aggiungere ridondanza renderebbe la missione inaccessibili.

Propagazione del fallimento

Un sistema ridondante può talvolta creare nuove vie per il fallimento. Ad esempio, se una pompa di backup non riesce in un modo che blocca il loop del fluido, può disabilitare anche la pompa primaria. Le valvole di isolamento e le valvole di controllo vengono utilizzate per prevenire tali scenari. Allo stesso modo, un cortocircuito del riscaldatore di backup potrebbe sovraccaricare l'alimentazione, che colpisce entrambi i riscaldatori.

Le innovazioni future nel TCS ridondante

Mentre le missioni spaziali diventano più ambiziose, comprese le missioni equipaggiate su Marte, i grandi telescopi spaziali e l'estrazione di spazio profondo, stanno emergendo nuovi approcci alla ridondanza del TCS.

Produzione e integrazione additiva

Gli scambiatori di calore stampati 3D e i canali fluidi possono creare percorsi ridondanti compatti e leggeri all'interno di un singolo componente. Ad esempio, un radiatore monoliticamente stampato potrebbe avere due circuiti fluidi indipendenti che sono fisicamente separati da una parete sottile. Se un circuito perde, l'altro rimane funzionale.

Controllo termico attivo con rilevamento di guasti AI

Gli algoritmi di apprendimento automatico possono monitorare centinaia di segnali di temperatura, pressione e flusso per rilevare guasti incipienti prima di diventare critici. Ad esempio, un modello AI addestrato sulla telemetria può identificare cambiamenti sottili nella corrente della pompa o nel coefficiente di trasferimento di calore che precedono un guasto. L'AI può quindi coinvolgere autonomamente i componenti di backup o regolare i setpoint per evitare un completo fallimento.

Pipe di calore e tubi di calore a conduttanza variabile

I dispositivi di controllo termico a due fasi avanzati come i tubi di calore a ciclo (LHP) e i tubi di calore a conducibilità variabile (VCHP) forniscono intrinsecamente un certo grado di ridondanza perché possono operare con più evaporatori o condensatori paralleli. Un singolo LHP può avere tre evaporatori: se uno non riesce, gli altri continuano a circolare il fluido di lavoro.

Servizio on-Orbit e riparazione

La ridondanza non significa sempre risparmi; può anche significare la capacità di riparare o sostituire componenti falliti. Le missioni di manutenzione robotica, come OSAM‐1 della NASA (On-Orbit Servicing, Assembly, and Manufacturing), mirano a rifornire e sostituire componenti termici come radiatori sui satelliti esistenti. Questa capacità potrebbe ridurre la necessità di ridondanza totale perché le unità fallite possono essere sostituite.

Conclusioni

Ridicolizzando i diversi livelli di sistemi di backup, dalle pompe e dai riscaldatori a intere fasce di raffreddamento, gli ingegneri possono impedire fallimenti che potrebbero compromettere l’intera missione. La scelta tra le basi attive, passive e ibride dipende dalla tolleranza di rischio della missione, dai bilanci di massa e di potenza, e dalla criticità della stabilità termica.

Per ulteriori informazioni sul controllo termico e la progettazione ridondanza delle navi, vedere La panoramica di controllo termico di ESA]. Ulteriori indicazioni dettagliate sulle architetture ridondanti possono essere trovate nel