Sicherheitsmodus
Englisch: safe mode
Notfallmodus vieler unbemannter Raumfahrzeuge, in dem nicht wesentliche Systeme abgeschaltet werden und das Raumfahrzeug eine voreingestellte Ausrichtung zur Sonne einnimmt, während es auf Befehle von der Bodenstation wartet.
Schutzbetrieb: Raumfahrzeug auf Notversorgung, wartet auf Befehle
Der Schutzbetrieb ist ein autonomer Schutzzustand, in den ein unbemanntes Raumfahrzeug eintritt, wenn es einen Fehler oder Kommunikationsausfall erkennt. Das Raumfahrzeug fährt systematisch alle nicht kritischen Subsysteme herunter, darunter wissenschaftliche Instrumente, Lageregelungstriebwerke und Nutzlastcomputer. Anschließend orientiert es sich in eine feste Lage, typischerweise mit den Solarpanels zur Sonne und der Hochgewinn-Antenne zur Erde ausgerichtet, wodurch der Stromverbrauch minimiert wird und gleichzeitig grundlegende Wärmekontrolle und Kommunikationsfähigkeit erhalten bleiben.
Dieser Modus existiert, weil Raumfahrzeuge weit entfernt von unmittelbarer menschlicher Einflussnahme operieren. Ein Kommunikationsausfall, Softwarefehler oder thermale Anomalie könnte kaskadierende Fehler auslösen. Durch den automatischen Rückzug in den Schutzbetrieb bewahrt das Raumfahrzeug seine primäre Stromversorgung, Lageregelungsanlage und seinen Empfänger, ohne dass Eingaben der Bodenstation erforderlich sind. Die Missionsleitung kann dann das Problem diagnostizieren und Korrekturbefehle ohne Zeitdruck oder Risiko weiterer Verschlechterung übermitteln.
Umsetzung und Varianten
Der Eintritt in den Schutzbetrieb ist in der Bordsoftware verdrahtet und wird typischerweise aktiviert, wenn Sensoren Signalverlust zur Erde, übermäßige Batterieentladung, Ablauf des Watchdog-Timers des Bordcomputers oder Messwerte außerhalb sicherer Wärme- oder Elektrikgrenzen erkennen. Einige Raumfahrzeuge implementieren mehrere Schutzbetriebsmodi mit verschiedenen Schweregrad-Stufen. Ein "gelber Schutzbetrieb" könnte nur Instrumente abschalten, während Nutzlastcomputer für Diagnosen weiter laufen. Ein vollständiger "roter Schutzbetrieb" fährt fast alles herunter, außer den Triebwerkheizungen, Lageregelungs-Gyroskopen und dem Kommunikationsempfänger.
Die voreingestellte Ausrichtung zur Sonne ist entscheidend. Die meisten Tiefraum-Sonden orientieren sich so, dass die Solarpanels maximale Strahlung empfangen, wodurch die Batterielaufzeit während des Wartens auf Befehle unbegrenzt verlängert wird. Einige ältere Raumfahrzeuge nehmen stattdessen eine erdweisende Lage an, um den Kommunikationsempfang zu bevorzugen. Das Lageregelungssystem nutzt Sonnensensoren und Sternentracker, die ohne Bodenbefehle funktionieren.
Die Rückkehr aus dem Schutzbetrieb hängt davon ab, dass die Bodenleitung eine zuverlässige bidirektionale Kommunikation wiederherstellt, den Status des Raumfahrzeugs durch Telemetrie überprüft, die Grundursache identifiziert und Korrekturbefehle hochlädt. Bei Raumfahrzeugen in Erdnähe dauert dieser Zyklus Minuten. Bei Mars-Rovern oder Sonden im äußeren Planetenbereich kann die Hin- und Rücklaufverzögerung die Wiederherstellung Stunden oder Tage dauern. Bodenleiter müssen oft umfangreiche Tests in Softwaresimulatoren durchführen, bevor sie das Raumfahrzeug befehligen, den Schutzbetrieb zu verlassen und den Regelbetrieb wieder aufzunehmen.