Разработчик бортового ПО рассказал, как писать код для спутников на 100 МГц

Космос не прощает ошибок в коде. На Земле вы можете выпустить «горячий фикс» за вечер, но когда ваш аппарат летит на скорости 7,8 км/с, патч не доставить. Проблема не в ракете. Проблема в программе, которая начнет «глючить» через месяц после запуска. Я переписал тонны бортового ПО и знаю: космическая разработка — это отдельная вселенная, где действуют жестокие законы физики и инженерии.

В этой статье — выжимка опыта: как не утонуть в ограничениях «железа» и написать код, который переживет радиацию и годы вакуума.

Почему обычный подход убивает миссии

Забудьте про Python и Node.js. На орбите бал правят C и C++ (иногда Rust). Почему? Потому что нужен прямой доступ к регистрам и прерываниям. Высокоуровневые языки добавляют «прослойку», которая жрет драгоценные такты.

Главный враг — непредсказуемость. Динамическая память (malloc) — это лотерея. На Земле фрагментация памяти — просто неприятность. В космосе — катастрофа, которая может убить научные данные или сам аппарат.

В чем суть: Вы не можете перезагрузить спутник по SSH. Поэтому код должен быть детерминированным. Каждая операция — строго по расписанию, каждый байт — на своем месте. Меньше зависимостей — меньше шансов на сбой. Если можно не использовать библиотеку — не используйте.

Железо, которое заставляет плакать

Посмотрите на «начинку» спутника, и вы поймете, почему разработчики седеют. Это не ваш MacBook Pro.

• Процессор: RAD750 или LEON3. Частота — 66–200 МГц. Многопоточность? Забудьте.
• Память: Десятки мегабайт ОЗУ. Никаких «насыпь побольше».
• Энергия: Каждый ватт на счету. Солнечные батареи не безграничны.
• Радиация: Тяжелые частицы вызывают сбои. Нужна ECC-память и резервирование.

Недавно я заметил, что разработчики, приходящие из веба, впадают в ступор от таких ограничений. Они привыкли масштабировать горизонтально, а тут нужно выжать максимум из одного ядра с тактовой частотой 100 МГц. Это другой мир.

Три кита: память, скорость, надежность

Вся оптимизация бортового ПО сводится к трем направлениям. Не пытайтесь объять необъятное — сфокусируйтесь на этих столпах.

1. Оптимизация памяти. Забудьте о динамических аллокациях. Используйте статические буферы и переиспользуйте память. Кольцевой буфер — ваш лучший друг. Он работает детерминированно и не фрагментирует память.

2. Оптимизация скорости. Здесь важны не сырые мегагерцы, а детерминированные тайминги. Вы должны точно знать, что функция выполнится за N тактов. Иногда проще переписать алгоритм, чем вставлять ассемблерные вставки. Попробуйте фиксированную точку вместо float — операции с плавающей точкой на микроконтроллерах могут быть слишком медленными.

3. Надежность. Код должен пережить сбой. Сторожевые таймеры, обработка ошибок в каждом модуле, резервирование. Это не паранойя, а необходимость. Если модуль завис — он должен перезапуститься без потери данных.

Сравните подходы:

Динамическое выделение памяти: Простота внедрения, но непредсказуемая производительность и низкая надежность.
Пул памяти: Высокая и стабильная производительность, высокая надежность, средняя сложность.
Статическое выделение: Максимальная предсказуемость, очень высокая надежность, низкая сложность. Идеально для космоса.
RTOS: Хорошая производительность с планировщиком, но надежность зависит от настройки. Сложность внедрения высокая.

Код, который не подведет

Представьте, что вам нужно передавать телеметрию. Динамическая память здесь — зло. Фрагментация приведет к внезапным сбоям в самый неподходящий момент. Используйте предварительно выделенный буфер. Например, кольцевой буфер на C для работы с прерываниями:

// Кольцевой буфер для телеметрии, статический
typedef struct {
    uint8_t data[256];
    volatile uint8_t head;
    volatile uint8_t tail;
} RingBuffer;

void rb_init(RingBuffer *rb) {
    rb->head = 0;
    rb->tail = 0;
}

bool rb_push(RingBuffer *rb, uint8_t val) {
    // Проверка на переполнение
    if ((rb->head + 1) % sizeof(rb->data) == rb->tail) {
        return false; // сообщить об ошибке, но не падать
    }
    rb->data[rb->head] = val;
    rb->head = (rb->head + 1) % sizeof(rb->data);
    return true;
}

Такой код не зависит от кучи. Он работает как часы. Кстати, о часах: используйте фиксированную точку вместо плавающей. Перевод данных в целые числа с масштабированием сэкономит вам массу процессорного времени.

Мое личное наблюдение: когда я впервые переносил код на бортовой контроллер, я думал, что сложнее всего будет разобраться с регистрами. Ошибался. Реальной проблемой оказались «дружелюбные» библиотеки, тащившие за собой десятки зависимостей и динамическую память. После того как мы переписали половину кода в статическом стиле, количество необъяснимых зависаний резко упало. Разработчики, привыкшие к «безграничным» ресурсам, забывают: в космосе каждый байт — на вес золота.

Коротко о главном

Космический код — это про дисциплину, а не про магию. Статическая память, детерминированные алгоритмы, минимум зависимостей. И всегда помните: у вас не будет второго шанса. Пишите так, как будто от этого зависит жизнь — потому что иногда это действительно так.

По материалам: Tehnoseo