Ariane 5 Flug 501
Der Flug 501 ist der erste Flug der Trägerrakete europäische Ariane 5 , die stattfand , auf4. Juni 1996. Es endete mit einem Fehlschlag, verursacht durch eine Computerfehlfunktion (auch Bug genannt ), bei der die Rakete nur 36,7 Sekunden nach dem Start im Flug zerbrach und explodierte.
Vereinfachte Erklärung
Die Rakete explodierte in einer Höhe von 4.000 Metern über dem Weltraumzentrum in Kourou , Guyana . Es gab keine Verletzten, da die Trümmer relativ nahe an der Startrampe gefallen waren und der Flug unbemannt war.
Der Vorfall, aufgrund eines ganzzahligen Überlaufs in den Speicherregistern der vom Autopiloten verwendeten elektronischen Computer , verursachte den Ausfall des Navigationssystems der Rakete und verursachte dessen Zerstörung sowie die der Nutzlast. Diese Nutzlast bestand aus vier Satelliten der Cluster-Mission mit einem Gesamtwert von 370 Millionen Dollar .
Ereignisanalyse
Chronologie der Ereignisse
Der Start erfolgt am 4. Juni 1996für 9 h 33 min 59 s GMT-3 (Ortszeit), mit 58 Minuten Verspätung wegen schlechtem Wetter. Dies ist der erste Start der Ariane-5- Rakete .
- Bei 9 h 33 werden die Raketentriebwerke gefeuert, und die beiden Systeme Trägheitsführungs (Haupt- und Backup) beginnen , um die Rotation und Beschleunigung der Rakete zu messen.
- Nach 37 Flugsekunden verursachen die starken Beschleunigungen, die durch die Entwicklung der Rakete erzeugt werden, ein ganzzahliges Überschwingen im Computer des Hauptträgheitsleitsystems, das sofort außer Betrieb geht. Das mit dem Hauptsystem identische Notleitsystem erlitt den gleichen Schaden und stoppte in der gleichen Sekunde. Der Autopilot , der sich genau auf die Informationen dieser Trägheitsleitsysteme verlässt, hat dann keine Möglichkeit mehr, die Rakete zu steuern. Das Scheitern der Mission ist unvermeidlich.
- 3 Sekunden später startet der Autopilot . Nach einer Fehlinterpretation des Ausfallsignals der beiden außer Betrieb gesetzten Trägheitsleitsysteme befahl der Autopilot fälschlicherweise eine heftige Bahnkorrektur. Die Düsen der beiden Pulverbeschleuniger (EAP) und des Mittelstufentriebwerks werden bis zum Anschlag gedreht und die Rakete hebt in einer engen Kurve heftig ab.
- Die Rakete weicht schlagartig von ihrer Flugbahn ab, weist ein deutliches Schleudern auf und die seitlichen Beschleuniger ( Booster ) werden durch die dann auftretende starke relativ außermittige Luftströmung abgerissen. Dieses Ereignis löst sofort den präventiven Selbstzerstörungsmechanismus der Rakete aus. Der Flugregler am Boden, der jeden Kontakt mit der Rakete verloren hat, hat auch seine Zerstörung ferngesteuert, aber die Rakete ist bereits explodiert.
- Trümmer der Rakete, die sich in einer Höhe von etwa 4000 m befindet, werden in die Ferne geschleudert und über eine Fläche von etwa 12 km 2 in der Nähe des Weltraumzentrums Kourou in Französisch-Guayana verstreut .
Tatsächlich hatte die Ariane-4-Rakete als Programmiermodell für die Herstellung der Ariane 5 gedient. Es wurde ein Kopieren und Einfügen verwendet , um volumetrische Daten zu duplizieren (die sich aus ihrer wissenschaftlichen Sicht gelohnt hatten), war die Ariane 5 jedoch viel größer und schwerer.
Der Raketendruck gehorchte den grundlegenden Codes des Programmiersystems, was aufgrund der doppelten unfairen volumetrischen Werte zu einem Computerausfall führte. Eine nicht für den Start geeignete Pressimeter-Produktion, die tödlich die Explosion verursacht. Ein Fehler, der personell und arbeitstechnisch viel Geld gekostet hat.
Trägheitseinheiten
Ein Trägheitsführungssystem , manchmal auch als "Trägheitsplattform" bezeichnet , ist ein Satz aus einem internen Computer , Beschleunigungsmessern und Gyroskopen , die es ermöglichen, die Bewegungen eines Fahrzeugs in Bezug auf einen festen Bezugspunkt in . zu messen das Fahrzeug, der Raum, dreidimensional. Der Computer bestimmt die Position, Geschwindigkeit und Neigung des Fahrzeugs auf der Grundlage der Beschleunigungs- und Winkeldrehungsmessungen, die von den Sensoren der Beschleunigungsmesser und der Gyroskope erhalten werden. Es ist Standardausrüstung in Schiffen, Flugzeugen, Raketen und Raumfahrzeugen.
Das Trägheitsleitsystem der Ariane-5- Rakete war das gleiche wie bei früheren Modellen der Ariane-Rakete . Der Flugplan der Ariane 5 beim Start unterscheidet sich jedoch stark von dem der Ariane 4 : Ihre Flugbahn ist anders und die Beschleunigungen, die die Rakete auf die Instrumente ausübt, sind fünfmal größer als die ihres Vorgängers. Die von den Beschleunigungsmessern gemessenen zu hohen Werte führten zu einem Überlauf bei der Berechnung der geografischen Position der Rakete durch das Computergerät des Leitsystems, der zum Absturz führte .
Wie bei der Ariane 4 wird das Trägheitsleitsystem der Ariane 5 während der ersten vierzig Flugsekunden im Ausrichtungsmodus ( Kalibrierung ) gehalten, gefolgt von der Zündung des Autopiloten . In dieser zweiundvierzigsten Periode ereignete sich der Vorfall. Auf der Ariane 5 war es normalerweise nicht mehr erforderlich, den Kalibriermodus zu Beginn des Fluges aufrechtzuerhalten, wurde aber dennoch der Einfachheit halber beibehalten.
Bordcomputer
Wenn der Bordcomputer der Rakete einen Ausfall der Hauptträgheitsleitplattform erkennt, schaltet er automatisch auf die Ersatzplattform um. Im Fall der Ariane 5 Flug 501 hat sie leider nicht erkannt, dass auch die Backup-Plattform aus den gleichen Gründen wie die Hauptplattform ausgefallen war, und interpretierte die von ihr erzeugten Signale weiter. Diese Fehlersignale führten den Bordcomputer in die Irre, der sie interpretierte und eine plötzliche Korrektur der Flugbahn der Rakete anordnete, die dann komplett vom geplanten Flugplan abwich. Der Bordcomputer glaubte, einen Kurs nach einer tatsächlich nie stattgefundenen Abweichung korrigiert zu haben. Die Ursache scheint mit einem Computerfehler in der Programmierung eines Codeschnipsels verbunden zu sein - nicht korrigiert - und dennoch bei verschiedenen Gelegenheiten auf den Bildschirmen dieser Entwickler verwendet.
Diese der Rakete auferlegte enge Kurve führte dann dazu, dass sie einen Schwimmwinkel von 20 ° überschritt , was zum Reißen eines der beiden Hilfsbeschleuniger führte. Dieser Verlust eines der beiden Booster aktiviert sofort einen Schalter, der die Selbstzerstörung der Rakete auslöst, eine Sicherheitsmaßnahme, die darauf abzielt, Verluste am Boden zu vermeiden, wenn die Rakete "in einem Stück" fällt .
Ermittlung
Der Flug wurde weitgehend von Kamera, Radar und Telemetrie verfolgt , und die Fehlfunktion des Trägheitsleitsystems wurde vom Untersuchungsteam schnell als Ursache des Vorfalls identifiziert.
Die Telemetrieinformationen wurden zur Analyse an das Nationale Zentrum für Weltraumstudien in Toulouse , Frankreich , gesendet , während ein Team vor Ort daran arbeitete, die Trümmer der Rakete zu bergen. Vorrang erhielten feuergefährliche Trümmer wie unverbrannte Treibstoffreserven . Die Bergung des Schutts war besonders schwierig, da diese Region nach der gerade beendeten Regenzeit hauptsächlich aus Mangroven und durchnässten Savannen besteht. Schwere Teile wie Düsen mit einem Gewicht von mehreren Tonnen wurden unter mehreren Metern Wasser tief in den Schlamm eingebettet gefunden und nie entfernt.
Die Bergung der beiden Trägheitsleitsysteme aus den Trümmern der Rakete und die Analyse der noch im Flugzeugspeicher vorhandenen Informationen ermöglichten es, die letzten Sekunden des Fluges genau zu verfolgen. Die Untersuchung konzentrierte sich auf die Spezifikationen des Navigationssystems und die Laboruntersuchungen erforderlich , die erhalten Zulassung zu fliegen . Nachträgliche Flugsimulationen mit Trägheitsleitsystemen und dem Bordcomputer unter realistischen Flugbedingungen der Ariane 5 reproduzierten die Ereignisse, die zur Raketenexplosion führten. Die Ergebnisse entsprachen den Informationen, die in den Erinnerungen der während des Fluges verwendeten Flugzeuge gefunden wurden.
Gilles Kahn interveniert als Mitglied der Untersuchungskommission in Ariane - 5 - Flug 501 (1996), als Co-Autor mit Didier Lombard , die es ermöglichen , das zu machen zugrunde liegenden Computer Bug explizit .
Schlussfolgerungen
Im Bericht der Untersuchungskommission wurden folgende Punkte angesprochen:
- Laborsimulationen finden normalerweise vor dem Start statt. Der Erfolg dieser Simulationen ist eine notwendige Voraussetzung für den Erhalt des Flugscheins. Das lange Zeit auf der Ariane 4 eingesetzte Navigationssystem galt als zuverlässig und das National Center for Space Studies bat lediglich darum, keine Flugsimulationen für diese Geräte durchzuführen, was ihm 800'000 Franken an Kosten für die Vorbereitungen vor dem Start einsparen sollte . Diese Simulationen, die nach der Katastrophe im Labor durchgeführt wurden, ermöglichten den Nachweis, dass die Explosion unvermeidlich war.
- Der Computerfehler , der zum Abschalten der Trägheitsleitsysteme führte, trat während der Flugzeugkalibrierung auf . Im Normalbetrieb misst diese Kalibrierung im Stillstand der Rakete sehr niedrige Werte und ist daher nicht gegen hohe Werte, wie sie bei diesen Messungen während des Fluges auftreten können, geschützt. Die Entscheidung, das Flugzeug nach dem Start im Kalibrierungsmodus zu belassen, datiert vom Start des Ariane-Programms, mehr als zehn Jahre vor dem Vorfall, wurde dadurch motiviert, dass bei den ersten Ariane-Raketen im Falle einer Startverzögerung , war es notwendig, den Kalibriervorgang, der mehr als 45 Minuten dauerte, neu zu starten. Bei Ariane 5 ist dies nicht mehr der Fall.
- Die automatische Abschaltung des Hauptträgheitsleitsystems bei einem Ausfall war eine Designentscheidung, die lange vor dem Vorfall getroffen wurde. Die Möglichkeit einer gleichzeitigen Beschädigung der beiden Leitsysteme (Haupt- und Backup) war nicht in Betracht gezogen worden, und die Folgen waren daher nicht abzusehen, bevor die Ariane 5 startete die Geräte. In diesen Fällen reicht in der Regel ein identisches Backup-Gerät aus. Das Problem ergibt sich aus der Tatsache, dass die beiden Geräte absolut identisch im Design waren und was zum Ausfall eines von ihnen führen kann, führt mit hoher Wahrscheinlichkeit auch zum Ausfall des zweiten. Es ist daher sehr gut möglich, beides gleichzeitig zu "verlieren" , was die automatische Steuerung der Rakete in völliger Unschärfe hinterlässt.
- Eine Inertialeinheit misst physikalische Größen wie Beschleunigung und Winkelgeschwindigkeit, die im Labor nur sehr schwer reproduzierbar sind. Labortests bestehen darin, die Messungen der Trägheitseinheit durch künstlich simulierte falsche Werte zu ersetzen. Die zuverlässige Überprüfung der Trägheitseinheit + Bordcomputer-Baugruppe kann nur während Testflügen erfolgen (eine gängige Praxis in der Luft- und Raumfahrtindustrie). Gemäß den Spezifikationen der Trägheitseinheit muss ein Rechnerfehler innerhalb des Gerätes zu dessen sofortiger Abschaltung führen, der Fehler muss in einen permanenten Speicher des Gerätes ( EEPROM ) eingetragen und ein Fehlersignal an andere Geräte übertragen werden. Es ist die Konstruktionsentscheidung, das Flugzeug im Falle eines Zwischenfalls abzuschalten, der für die Ariane 5 tödlich war.
- Der Computer der Trägheitseinheit ist mit Schutzvorrichtungen ausgestattet, die verhindern, dass bei einem zu hohen Messwert (Absturz durch Überlauf ) ein Computerfehler auftritt . Bei einigen Werten ist es physikalisch unmöglich, die Grenze zu erreichen, oder es gibt eine große Sicherheitsmarge, und daher wurde beschlossen, keinen Schutz zu verwenden, da die Designer der Ansicht waren, dass diese Speicherorte niemals durch einen zu großen Wert gesättigt werden könnten. Es war jedoch die Überschreitung eines ungeschützten Wertes, die den Vorfall verursachte. Diese Schutzentscheidungen wurden während des Ariane-4- Weltraumprogramms von verschiedenen Auftragnehmern gemeinsam getroffen .
Nach Untersuchungen stellten die CNES-Ingenieure fest, dass die Navigationssoftware für die Ariane 5- Rakete aus Kostengründen die für Ariane 4 entwickelte Software war, was zu einer Inkompatibilität zwischen Software und Hardware führte.
Alles war auf eine einzige kleine Variable zurückzuführen: die der Horizontalbeschleunigung. Tatsächlich ergab die von Ariane 4 erzeugte maximale horizontale Beschleunigung einen Dezimalwert von ungefähr 64. Der horizontale Beschleunigungswert der Rakete wird in einem 8-
Bit- Speicherregister verarbeitet , dies ergibt in
binärer Basis 2 8 = 256 verfügbare Werte, eine ausreichende Anzahl den Wert 64 zu codieren, was 1000000 binär ergibt und nur 7 Bit benötigt. Aber Ariane 5 war viel mächtiger und brutaler: Ihre Beschleunigung konnte den Wert 300 erreichen, was 100101100 in binärer Form ergibt und ein 9-Bit-Register erfordert. Somit erfuhr die auf 8 Bit codierte Variable einen
Überlauf , da ihr Speicherplatz nicht groß genug war, um einen so großen Wert aufzunehmen. Es hätte auf ein Bit mehr codiert werden müssen, also 9 Bit, was es möglich gemacht hätte, einen Grenzwert von 2 9 -1 = 511 zu speichern , dann reichte es um den Wert 300 zu codieren. Dieser Überlauf führte zu einem absurden Wert . in der Variablen, entspricht nicht der Realität. Durch den Dominoeffekt beschloss die Software, die Rakete aus diesen fehlerhaften Daten selbst zu zerstören.
[Ref. notwendig]
Hinweise und Referenzen
Anmerkungen
-
In der Luftfahrt bezeichnet ein Skid das Phänomen, dass ein Flugzeug in eine bestimmte Richtung fliegt, dessen Längsachse jedoch vom eingeschlagenen Kurs abweicht. Dieses Manöver, ob freiwillig oder nicht, wird normalerweise durch die Giersteuerung gesteuert oder korrigiert .
Verweise
-
(in) Ariane 501 Anfrage Board Ariane 5 Flug 501 Ausfall , Paris,19. Juli 1996, 60 S. ( online lesen [PDF] ) , Seite 5, Absatz 3.
-
Verbesserung des Softwaretests: Technische und organisatorische Entwicklungen , Tim A. Majchrzak
-
„ Bericht der Untersuchungskommission Ariane 501 “ , auf deschamp.free.fr ,23. Juli 1996(Zugriff am 10. Mai 2018 )
Siehe auch
Zum Thema passende Artikel
Externe Links