Mars Climate Orbiter zanikl kvůli záměně britských a metrických jednotek

11. prosince 1998 odstartovala z mysu Canaveral sonda Mars Climate Orbiter. Měla zkoumat marťanskou atmosféru, sledovat prach, vodní páru a sezónní změny na povrchu rudé planety.

Foto: Picryl

O devět měsíců později, 23. září 1999, se při pokusu o vstup na oběžnou dráhu Marsu odmlčela, signál zmizel 49 sekund dříve, než tým v Jet Propulsion Laboratory čekal. Sonda prolétla příliš nízko a buď shořela v atmosféře, nebo se po narušení dráhy vydala na nekontrolovanou cestu kolem Slunce. Zpětná rekonstrukce ukázala, že v nejnižším bodě prolétla pouhých 57 kilometrů nad povrchem Marsu. Plán přitom počítal s 226 kilometry. Příčina? Záměna jednotek impulzu trysek. Ale příběh je mnohem složitější než převodní tabulka.

Soubor, který lhal

Problém nevznikl v palubním počítači sondy ani v řízení letu. Vznikl v pozemním softwaru, konkrétně v datovém souboru nazvaném SM_FORCES. Ten zaznamenával impulzy odlehčovacích trysek, které kompenzovaly nahromaděný moment hybnosti reakčních kol, gyroskopů udržujících orientaci sondy. Specifikace rozhraní jasně říkala, že hodnoty mají být v newton-sekundách. Software dodaný průmyslovým partnerem Lockheed Martin je ale zapisoval v pound-sekundách. Rozdíl? Faktor 4,45. Navigační tým v JPL tak při každém výpočtu podhodnocoval skutečný účinek korekcí téměř pětinásobně.

Samo o sobě by to nemuselo být fatální, kdyby šlo o jednorázovou událost. Jenže odlehčovací zážehy probíhaly opakovaně, a mnohem častěji, než se čekalo. Sonda měla asymetricky umístěný solární panel, tlak slunečního záření ji proto neustále vychyloval. Reakční kola se přetáčela, trysky je musely odlehčovat. Místo plánovaných několika zážehů jich proběhlo desetkrát až čtrnáctkrát víc. Každý přidal malou navigační odchylku. A každá odchylka se sčítala.

Varovné signály, které nikdo neslyšel

Příběh Mars Climate Orbiteru není příběhem jedné přehlédnuté chyby. Je to příběh systému, který měl několik příležitostí havárii odvrátit, a žádnou nevyužil.

Už na jaře a v létě 1999 se v navigačních datech objevovaly nesrovnalosti. Řešení založené pouze na Dopplerově měření soustavně ukazovalo, že sonda poletí blíž k Marsu, než předpokládal hlavní model. Rozpory se hlásily, ale neformálně. Neeskalovaly se. Nikdo je definitivně nevyřešil.

Vyšetřovací zpráva NASA identifikovala osm přispívajících příčin nad rámec samotné záměny jednotek:

• Slabá verifikace a validace pozemního softwaru
• Nedostatečné systémové inženýrství při přechodu z vývoje do provozu
• Špatná komunikace mezi týmy
• Podstav navigačního týmu
• Nedostatečný risk management
• Chybějící nezávislé peer review
• Neprovedení kontingenčního manévru TCM-5

Právě poslední bod stojí za pozornost. NASA měla připravený záložní manévr, jehož jediným účelem bylo zvýšit příliš nízkou periapsidu do bezpečné výšky. Nikdy ho neprovedla. Hodinu před brzdícím manévrem navigace odhadovala průlet ve 110 kilometrech. Minimální přežitelná výška byla 80 kilometrů. Skutečnost (57 kilometrů) už neodpouštěla nic.

Cena za ztracený Mars

V dobovém press kitu NASA uváděla souhrnnou cenu projektu Mars ’98, který zahrnoval orbiter i navazující Mars Polar Lander, na 235,9 milionu dolarů, v přepočtu zhruba 5,5 miliardy korun. Nosné rakety a experimentální penetrátory Deep Space 2 v tom nebyly.

Ztráta orbiteru znamenala víc než spálené peníze. Zmizela celá roční sada plánovaných měření teploty, prachu a vodní páry v marťanské atmosféře. Zmizela i komunikační podpora pro Mars Polar Lander, který měl přistát o dva měsíce později. Ten nakonec havaroval také, 3. prosince 1999, ale z jiného důvodu: falešný signál o dosednutí předčasně vypnul přistávací motory. Dvě mise, dva různé druhy selhání, jeden ztracený rok výzkumu Marsu.

Učebnicová havárie, která se opakuje

Mars Climate Orbiter není v historii kosmonautiky osamělý. V roce 1962 přispěla chyba v naváděcím programu ke ztrátě sondy Mariner 1 krátce po startu. V roce 1996 havárie Ariane 501 ukázala, že i Evropská kosmická agentura dokáže ztratit raketu kvůli softwarové specifikační chybě, kterou neodhalily testy. Vzorec je pokaždé stejný: malý technický detail projde bez nezávislého ověření a bez reprezentativního testování.

NASA po havárii prosadila rámec „Mission Success First“, silnější systémové inženýrství, přísnější kontrolu rozhraní, end-to-end verifikaci a nezávislé peer review. Současný NASA Systems Engineering Handbook tyto principy formálně zakotvuje. Agentura dnes deklaruje metrický systém jako preferovaný, ale stále připouští americké jednotky, pokud jsou jasně označeny. Evropská norma ECSS jde dál a vyžaduje SI výhradně.

Smíšený svět přetrvává

Otázka, zda se podobná chyba může opakovat, není čistě akademická. NASA dodnes funguje ve smíšeném prostředí jednotek. Její technické publikace mají uvádět SI jako primární systém, ale americké zvyklostní jednotky z praxe nezmizely. Formálně je dnes řízení rozhraní nesrovnatelně přísnější než v roce 1999. Prakticky ale platí totéž co tehdy: žádná norma nezachrání misi, pokud ji lidé nedodržují a pokud varovné signály nemají kam eskalovat.