Funzionamento
La safe mode viene attivata automaticamente quando vengono riscontrate delle particolari condizioni o si verificano eventi che potrebbero comportare perdita di controllo o danni al veicolo. Tipicamente l'evento scatenante è un guasto di qualche sistema o la rilevazione di condizioni operative potenzialmente pericolose, ad esempio l'esposizione dei circuiti a raggi cosmici, che possono interferire con il funzionamento dell'elettronica.
Il processo di passaggio alla safe mode, detto solitamente safing, comporta una serie di immediate azioni fisiche per prevenire danni o perdita di controllo del veicolo. Viene disattivata l'alimentazione a tutte le componenti non essenziali del veicolo e viene data priorità al mantenimento dell'assetto o al suo ripristino qualora fosse stato perso, in quanto questo è indispensabile per mantenere l'equilibrio termico e l'illuminazione corretta dei pannelli solari. Un veicolo fuori controllo può rapidamente surriscaldarsi, congelarsi o esaurire l'alimentazione e andare perduto definitivamente. La stabilizzazione del satellite in seguito ad un'anomalia viene definita detumbling.
Durante la permanenza in safe mode, la priorità è il mantenimento in buone condizioni del veicolo. Tutti i sistemi non indispensabili, come la strumentazione scientifica, vengono mantenuti spenti, e il veicolo cerca di mantenere la corretta orientazione rispetto al Sole. La sonda attende dunque comandi radio dal centro di controllo missione, ascoltando le comunicazioni radio in ingresso tramite l'antenna omnidirezionale a basso guadagno. I dettagli esatti delle operazioni che vengono eseguite in safe mode variano a seconda del progetto della singola sonda e della sua destinazione d'uso.
L'uscita dalla safe mode comporta il ripristino delle comunicazioni tra il veicolo e il centro di controllo missione, con la trasmissione dei dati diagnostici e il ripristino dell'alimentazione a tutti i sistemi precedentemente disattivati. Il ripristino delle condizioni operative può richiedere da qualche ora a qualche giorno o settimana, a seconda della difficoltà nel ristabilire il contatto con il veicolo, delle condizioni nelle quali si trova la sonda, dalla sua distanza dalla Terra e dal tipo di missione in corso.
La possibilità di entrare in safe mode può essere disattivata in alcuni momenti critici della missione. Un esempio si è verificato nell'ingresso in orbita della sonda Cassini-Huygens tramite l'uso dei motori: in una simile circostanza, infatti, un problema critico avrebbe comunque comportato il fallimento totale o quasi della missione. Al contrario, in alcune circostanze un veicolo spaziale può essere messo manualmente in safe mode: ciò è stato fatto, ad esempio, con il rover Spirit durante il sol 451.
