O D2D por satélite amplia um serviço móvel além da cobertura terrestre. Não garante capacidade de banda larga, visibilidade contínua, baixa latência ou ACK imediato. A aplicação precisa tratar conectividade como recurso variável e preservar comportamento útil durante longos intervalos.
A GSMA define direct-to-device como conexão entre satélite e handset comum, complementando cobertura e resiliência da operadora. O 3GPP Release 17 introduziu NTN padronizado para NR e IoT, com evoluções no Release 18. Também existem serviços proprietários com devices, espectro e capacidades diferentes.
O backend não pode inferir capacidade por um ícone. Descubra se a sessão suporta emergência, texto, dados, telemetria, voz ou outro perfil, e quais limites de payload, atraso, custo e janela existem.
Estados úteis incluem terrestre saudável, terrestre degradado, satélite disponível, satélite restrito, aguardando janela, somente local e somente emergência. O estado vem da capacidade medida.
Use sinais do sistema/modem, callbacks, cache com expiração e probes limitados. Trocar caminho não pode duplicar efeitos.
Cada operação precisa de ID e criação independentes da transmissão. Inclua expiração, prioridade, schema, device, ator, destino, sequência, versão-base, hash, criptografia e dependências. Separe envelope pequeno de conteúdo grande.
Adicione campos de tolerância a atraso. Posição pode valer horas; alerta continua útil atrasado; comando de desbloqueio deve expirar rapidamente.
| Mensagem | Prioridade | Payload satélite | Backend | Design inseguro |
|---|---|---|---|---|
| Emergência | Máxima; expiração explícita. | Identidade/pseudônimo, localização, evento, horário e integridade. | Roteamento, dedupe, escalonamento, status e owner humano. | Mostrar “entregue” após apenas salvar localmente. |
| Comando | Alta e curta. | ID, alvo, parâmetros, precondições, expiração e autorização. | Revalidar estado e auth; exigir ACK e resultado. | Reexecutar horas depois sem verificar segurança. |
| Posição/check-in | Média e limitada. | Coordenadas, precisão, sample time, movimento, bateria e status. | Aceitar fora de ordem e exibir event time. | Mostrar coordenada atrasada como atual. |
| Telemetria | Por policy. | Agregados, thresholds, qualidade e janela. | Agregar localmente, deduplicar e reter anomalias. | Enviar cada leitura até esgotar storage/bateria. |
| Formulário | Média e durável. | Campos estruturados e manifesto; mídia depois. | Aceitar formulário primeiro e anexos depois. | Bloquear tudo por causa de uma foto. |
| Mídia/update | Baixa; terrestre por padrão. | Apenas manifesto. | Aguardar Wi-Fi/terrestre e usar chunks resumíveis. | Consumir capacidade crítica do satélite. |
Links restritos e ACK incerto tornam duplicatas normais. MQTT QoS 1 oferece at-least-once. O servidor deduplica por operation ID e devolve o resultado original. Writes e comandos precisam de idempotência de negócio.
Timeout pode ocorrer após commit. Não crie novo ID só porque a resposta sumiu. Retenha o ledger pelo maior intervalo de reconexão.
Armazene event time, receive time, apply time, qualidade do relógio, precisão e caminho. Processe por event time e impeça telemetria antiga de reabrir incidentes ou sobrescrever estado atual.
Use sequência monotônica, epochs do servidor, qualidade GNSS/rede e plausibilidade. Mostre quando o valor é atrasado.
Comando precisa de emissor, alvo, scope, precondições, criação, expiração, nonce, idempotência, versão, aprovação e resultado. O receptor avalia segurança local atual.
Desconectado, o device segue policy limitada: shutdown seguro, alerta, cache ou workflow aprovado. Intent antigo da cloud não deve vencer condição local mais nova.
Envie texto em vez de mídia, localização grossa em vez de track, thresholds em vez de stream, drafts em vez de writes críticos e instruções em cache em vez de IA online.
A interface informa caminho, atraso, custo/bateria e diferença entre armazenado, transmitido, aceito e aplicado.
Criptografe end-to-end, autentique envelopes, impeça replay, rotacione chaves pensando em desconexão e expire autorização separadamente da mensagem. Proteja a fila em repouso.
Revogação é eventual. Limite autoridade offline e exija checagem atual para ações de alto risco.
Teste sem visibilidade, janela curta, links assimétricos, atraso, baixo throughput, ACK duplicado, ordem alterada, anexos interrompidos, clock drift, storage cheio, bateria, handover, roaming e credenciais expiradas.
Use simulador com agenda de contato, perda, atraso, limites e custo. Garanta que tráfego crítico preempte bulk.
Meça fila e idade por prioridade, bytes por caminho, janela usada, retries, duplicatas, expiração, compressão, bateria, tempo até rede, servidor e aplicação, resultado do comando e fallback.
Outcomes incluem ACK de emergência, check-in, telemetria recuperada, relatórios, localização stale e rejeição de comando atrasado.
Eu construiria uma abstração de conectividade com store durável, seletor de caminho, transformer, scheduler de prioridade, adapters, ingest idempotente, reconciliador, comandos seguros e API de delivery state.
Cada mensagem declararia atraso máximo, payload tiers, caminhos, custo, ACK, fallback, segurança e conflito.
D2D é valioso por adicionar um caminho onde não há rede terrestre. Software resiliente não finge que ele é banda larga: empacota intenção, adapta payload, preserva autonomia, verifica efeitos atrasados e comunica incerteza.
Artigo sobre satellite direct-to-device e backend resiliente, incluindo 5G NTN, fallback, store-and-forward, expiração, buffering local, eventos atrasados, idempotência, comandos seguros, modos degradados, testes e observabilidade.