Il giorno in cui abbiamo quasi perso INTEGRAL

Lo scorso 22 settembre, pochi giorni prima del suo diciannovesimo “compleanno”, il satellite scientifico INTEGRAL (INTernational Gamma Ray Astrophysics Laboratory) dell’ESA ha sofferto un’anomalia che lo ha portato a un passo da un’irrimediabile perdita di controllo dalle conseguenze fatali.

L’evento scatenante è stato lo spegnimento della ruota di reazione 3 dovuto a un cosiddetto SEU (Single Event Upset), che ne ha aperto l’interruttore del circuito di alimentazione elettrica. I SEU sono eventi relativamente rari nella vita di una missione spaziale, che modificano inaspettatamente la corretta configurazione dei circuiti di bordo. Lo spegnimento della ruota di reazione ha indotto un movimento rotatorio imprevisto, che entro pochi minuti ha cambiato l’assetto di INTEGRAL quanto bastava a innescare la modalità di sicurezza di emergenza.

Due parole sul “Safe Mode”

La modalità di sicurezza di emergenza, spesso identificata col termine safe mode (nel caso del Flight Control Team di INTEGRAL, ESAM: Emergency Sun Acquisition Mode), è una particolare modalità “sicura” del sistema di controllo dell’assetto che prevede l’interruzione delle attività scientifiche nominali, la riconfigurazione del sistema di guida del satellite sotto il controllo di un computer dedicato, e il mantenimento di un angolo ottimale tra Sole e pannelli fotovoltaici tale da massimizzarne le chance di sopravvivenza. L’ESAM, inoltre, nella sequenza di eventi pre-programmata, spegne tutte le ruote di reazione e passa il controllo di assetto alla branca ridondante dei thruster di manovra. I thruster sono piccoli motori a razzo normalmente usati per desaturare le ruote stesse o per effettuare manovre di aggiustamento dell’orbita.

Purtroppo nel luglio 2020 un’anomalia del sistema RCS (Reaction Control System) aveva lasciato il satellite senza propellente rendendo inutilizzabili i thruster, unici attuatori impiegati dalla modalità ESAM. È dunque per questo che quando l’unità di controllo ESAM ha spento come previsto le ruote di reazione, INTEGRAL si è trovato a ruotare attorno ai suoi assi senza controllo, perdendo la capacità di orientare i suoi pannelli fotovoltaici verso il Sole. La situazione è apparsa subito critica, scatenando una corsa contro il tempo per valutare la situazione e ideare una strategia per recuperare il controllo dell’assetto prima che le batterie esaurissero la loro carica.

Con INTEGRAL ruotante attorno a due dei suoi assi a un rateo di circa 10 gradi al minuto, l’unità ESAM, come previsto dalla sua programmazione, ha poi riacceso le ruote di reazione, che però avrebbero dovuto lavorare in sinergia col sistema RCS non più disponibile. Di conseguenza le ruote hanno raggiunto relativamente in fretta il livello di saturazione (cioè la massima velocità di rotazione concessa dai limiti strutturali), creando un’ulteriore situazione indesiderabile. La rotazione incontrastata del satellite aveva inoltre compromesso la stabilità del collegamento radio con la Terra, dato che le antenne si trovavano in vista della stazione ricevente di Kiruna solo per brevi periodi, rendendo ancora più complicato il lavoro del team di controllo. Le batterie di bordo, altro componente critico, dovendo sopperire alle necessità energetiche di INTEGRAL non più in grado di puntare stabilmente verso il Sole, stavano pian piano esaurendosi.

Il Flight Control Team di INTEGRAL presso il centro ESA/ESOC di Darmstadt, coadiuvato dagli specialisti di dinamica volo e da Thales Alenia in qualità di partner industriale, si è messo al lavoro identificando in breve tempo le cause del problema e individuando una possibile soluzione per fermare la rotazione del satellite e riportare i pannelli fotovoltaici a puntare il Sole.

La prima sfida è stata quella di evitare l’esaurimento della carica delle batterie, riducendo il più possibile il consumo energetico di INTEGRAL e dando al team più tempo per lavorare ai passi successivi. Partendo da una prima stima che prognosticava la perdita totale del satellite entro 3 ore, il cauto spegnimento progressivo dei carichi non necessari ha portato questa finestra di tempo a 5–6 ore.

La seconda sfida era quella di fermare la rotazione del veicolo. Avendo solo le ruote di reazione quale attuatore utilizzabile, al controllo missione si è deciso di accendere anche la quarta ruota, normalmente tenuta spenta in quanto unità di backup. Questa avrebbe aiutato a redistribuire il momento angolare in eccesso delle altre ruote, guadagnando margine di manovra e consentendo di modularne la velocità per diminuire i ratei di rotazione del satellite. I comandi necessari sono stati inviati a INTEGRAL in tarda serata, ottenendo l’effetto sperato e regalando a tutti un primo, grande respiro di sollievo.

Safe Mode… non più così safe

Con la situazione sotto controllo ma non ancora ottimale, i passi successivi sono serviti a ridurre ulteriormente i ratei di rotazione di INTEGRAL e a portare al minimo valore possibile la velocità delle ruote di reazione. È stato così raggiunto un assetto ragionevolmente stabile, con i pannelli fotovoltaici rivolti verso il Sole e le batterie in ricarica in corrispondenza del delicato momento del passaggio al perigeo.

Un po’ a sorpresa, all’uscita del perigeo INTEGRAL mostrava nuovamente una rotazione imprevista, con le ruote di reazione che avevano raggiunto ratei vicini alla saturazione. Questa volta però al centro di controllo di Darmstadt era chiaro come procedere: la stessa strategia cautamente messa in atto il giorno precedente è stata riapplicata, riportando la situazione sotto controllo in poco più di due ore. Per prevenire episodi analoghi, le funzioni ESAM e AMD (Autonomous Momentum Dump – una routine che usa i thruster per mantenere il numero di giri delle ruote di reazione al di sotto dei valori massimi previsti dal costruttore) sono state disattivate. In altre parole, due pilastri della capacità autonoma di INTEGRAL di reagire in sicurezza a situazioni anomale, in assenza di propellente sono diventate controproducenti al punto da dovervici rinunciare. La soluzione si è rivelata vincente, dato che da quel momento il satellite è rimasto in un assetto controllato con una distribuzione del momento angolare stabile.

Ritorno alla routine

Domenica 26 settembre il centro di controllo ha poi dato il via alle operazioni per il pieno recupero della produzione di dati scientifici, comandando una serie di manovre denominata “Z-flip“. Lo Z-flip è una strategia messa in atto dal team di INTEGRAL a partire dal luglio 2020, che consiste in una rotazione di 180° del satellite attorno al suo asse Z una volta ogni tre orbite, resa necessaria dall’impossibilità di utilizzare i thruster per desaturare le ruote di reazione. Questa manovra consente di redistribuire il momento angolare “immagazzinato” nelle ruote di reazione con un “cambio di segno”, annullandolo o diminuendolo opportunamente entro un determinato intervallo di tempo. In sostanza il team di INTEGRAL ha sviluppato l’importante e innovativa capacità di ottenere la configurazione desiderata delle ruote di reazione anche senza propulsione. Niente male per una missione che lo scorso 17 ottobre ha festeggiato il diciannovesimo compleanno.

Al momento la sola conseguenza permanente dei fatti dello scorso 22 settembre pare essere il trasformatore A dell’unità ottica di bordo, l’OMC, che è stato ripristinato passando all’unità ridondante. Dopo alcuni giorni nei quali si è svolto un accurato check-up degli strumenti, INTEGRAL ha ripreso la piena attività scientifica venerdì 1º ottobre.

Il futuro di INTEGRAL

In assenza di incidenti di percorso INTEGRAL concluderà ufficialmente la sua missione tra il 2028 e il 2029, quando rientrerà spontaneamente in atmosfera distruggendosi. Considerato il rateo di degradazione di alcune componenti chiave del satellite come i pannelli fotovoltaici, a partire dal gennaio 2015 il Flight Control Team di INTEGRAL ha svolto una serie di manovre atte ad alterarne l’orbita in modo tale da causarne il rientro anche in caso di totale perdita di controllo. Gli eventi dello scorso mese hanno messo in luce come tale scelta sia stata sensata, nonché coerente con la politica di ESA di fare ogni sforzo possibile per mitigare il rischio che le sue missioni possano aggiungersi alla lista dei detriti spaziali più massivi, e quindi più pericolosi.

Fonti

• ESA ¹ ²
• INTEGRAL reloaded: spacecraft, instruments and ground system
• Podcast Rescuing Integral: No thrusters, no problem