Ariane 5 Lot 501
Lot 501 to pierwszy lot z wyrzutnią Europejskiej Ariane 5 , która odbyła się w dniach4 czerwca 1996 r.. Zakończyła się awarią, spowodowaną awarią komputera (znaną również jako bug ), w wyniku której rakieta rozbiła się i eksplodowała w locie zaledwie 36,7 sekundy po starcie.
Uproszczone wyjaśnienie
Rakieta eksplodowała na wysokości 4000 metrów nad centrum kosmicznego w Kourou , Gujana . Nie było ofiar, szczątki spadły stosunkowo blisko wyrzutni, a lot był bezzałogowy.
Incydent, na skutek przepełnienia rejestrów pamięci komputerów elektronicznych używanych przez autopilota , spowodował awarię systemu nawigacyjnego rakiety, powodując jego zniszczenie oraz zniszczenie ładunku. Ładunek ten składał się z czterech satelitów misji Cluster o łącznej wartości 370 milionów dolarów .
Analiza incydentów
Chronologia wydarzeń
Premiera odbywa się w dniu 4 czerwca 1996 r.przez 9 godz. 33 min 59 s GMT-3 (czasu lokalnego), z opóźnieniem 58 min. z powodu złej pogody. To pierwszy start rakiety Ariane 5 .
- W 9 h 33 , silniki rakietowe są wypalane, a oba systemy inercyjne wytyczne (główny i zapasowy) zacząć mierzyć obrót i przyspieszenie rakiety.
- Po 37 sekundach lotu silne przyspieszenia wywołane ewolucją rakiety powodują przeregulowanie liczby całkowitej w komputerze głównego systemu naprowadzania bezwładnościowego, który natychmiast wyłącza się. System naprowadzania awaryjnego, identyczny z systemem głównym, doznał takich samych uszkodzeń i zatrzymał się w tej samej sekundzie. Autopilot , który opiera się właśnie na informacjach pochodzących z tych inercyjnych systemów naprowadzania, potem nie ma już żadnych środków sterowania rakiety. Porażka misji jest nieunikniona.
- 3 sekundy później uruchamia się autopilot . Po błędnej interpretacji sygnału awarii z dwóch systemów naprowadzania bezwładnościowego, które nie działały, autopilot błędnie zarządził gwałtowną korektę trajektorii. Dysze obu prochowych akceleratorów (EAP) i silnika centralnego stopnia są obrócone do oporu, a rakieta gwałtownie rusza w ciasnym zakręcie.
- Rakieta nagle zbacza ze swojej trajektorii, wykazując znaczny poślizg, a boczne akceleratory ( dopalacze ) są odrywane przez silny względny prąd powietrza, który pojawia się wówczas poza centrum. To zdarzenie natychmiast uruchamia prewencyjny mechanizm samozniszczenia rakiety. Kontroler lotu na ziemi, straciwszy wszelki kontakt z rakietą, również zdalnie steruje jej zniszczeniem, ale rakieta już eksplodowała.
- Gruz z rakiety, która znajduje się na wysokości około 4000 m , jest wyrzucany w dal i jest rozrzucony na obszarze około 12 km 2 w pobliżu kosmicznego centrum Kourou, w Gujanie Francuskiej .
Rzeczywiście, rakieta Ariane 4 służyła jako model programistyczny do produkcji Ariane 5. Zastosowano kopiowanie i wklejanie celu powielenia danych wolumetrycznych (które według ich naukowego punktu widzenia były warte sukcesu), jednak Ariane 5 była znacznie większa i cięższa.
Ciśnienie rakietowe było zgodne z podstawowymi kodami systemu programowania, powodując awarię komputera z powodu zduplikowanych nieuczciwych wartości objętościowych. Prasymetr produkcji nienadający się do startu, powodujący śmiertelną eksplozję. Błąd, który kosztował dużo pieniędzy, jeśli chodzi o zasoby ludzkie i pracę.
Jednostki inercyjne
System naprowadzania bezwładnościowego , czasami określany również jako „platforma inercyjna” , to zestaw składający się z wewnętrznego komputera , akcelerometrów i żyroskopów , które umożliwiają pomiar ruchów wykonywanych przez pojazd względem ustalonego punktu odniesienia w pojazd, przestrzeń, trójwymiarowa. Komputer określa położenie, prędkość i nachylenie pojazdu na podstawie pomiarów przyspieszenia i obrotu kątowego, uzyskanych przez czujniki akcelerometrów i żyroskopów. Stanowi standardowe wyposażenie statków, samolotów, pocisków i pojazdów kosmicznych.
Inercyjny system naprowadzania, który był w rakiecie Ariane 5, był taki sam, jak w poprzednich modelach rakiety Ariane . Jednak plan lotu Ariane 5 podczas startu bardzo różni się od planu lotu Ariane 4 : jej trajektoria jest inna, a przyspieszenia powodowane przez instrumenty przez rakietę są pięciokrotnie silniejsze niż w jej poprzedniczce. Zbyt wysokie wartości zmierzone przez akcelerometry spowodowały przepełnienie podczas obliczania położenia geograficznego rakiety przez komputerowe urządzenie systemu naprowadzania, co spowodowało jej awarię .
Podobnie jak w przypadku Ariane 4, system naprowadzania inercyjnego Ariane 5 jest utrzymywany w trybie wyrównania ( kalibracji ) przez pierwsze czterdzieści sekund lotu, po czym następuje odpalenie autopilota . To właśnie w tym czterdziestym drugim okresie doszło do incydentu. W Ariane 5 zwykle nie było już konieczne utrzymywanie trybu kalibracji na początku lotu, ale mimo to dla wygody został on utrzymany.
Komputer pokładowy
Gdy komputer pokładowy rakiety wykryje awarię głównej platformy naprowadzania bezwładnościowego, automatycznie przełącza się na zapasową. W przypadku Ariane 5 Flight 501 niestety nie wykrył faktu, że platforma zapasowa również nie działała z tych samych przyczyn, co główna, i kontynuowała interpretację generowanych przez nią sygnałów. Sygnały te wprowadziły w błąd komputer pokładowy, który je zinterpretował i nakazał nagłą korektę trajektorii rakiety, która następnie całkowicie odbiegała od zaplanowanego planu lotu. Komputer pokładowy sądził, że skorygował kurs po odchyleniu, które nigdy nie miało miejsca. Wydaje się, że przyczyna jest powiązana z błędem komputera w programowaniu fragmentu kodu – nie poprawionego – a mimo to używanego przy różnych okazjach na ekranach tych programistów .
Ten ciasny skręt nałożony na rakietę spowodował, że przekroczyła ona kąt znoszenia bocznego 20 ° , co spowodowało rozerwanie jednego z dwóch akceleratorów pomocniczych. Ta utrata jednego z dwóch dopalaczy natychmiast aktywuje przełącznik, który uruchamia samozniszczenie rakiety, środek bezpieczeństwa mający na celu uniknięcie ofiar na ziemi, jeśli rakieta spadnie „w jednym kawałku” .
Dochodzenie
Lot był szeroko obserwowany za pomocą kamery, radaru i telemetrii , a awaria systemu naprowadzania inercyjnego została szybko zidentyfikowana przez zespół badawczy jako przyczyna incydentu.
Informacje telemetrii została wysłana do analizy do Narodowego Centrum Badań Kosmicznych w Tuluzie , we Francji , podczas gdy zespół pracował na miejscu w celu odzyskania szczątków od rakiety. Pierwszeństwo miały gruzy, które stwarzały zagrożenie pożarowe, takie jak niespalone zapasy paliwa . Odzyskiwanie gruzu było szczególnie trudne, ponieważ region ten składa się głównie z namorzynów i podmokłych sawann po zakończeniu pory deszczowej. Ciężkie części, takie jak dysze - ważące kilka ton - znaleziono pod kilkoma metrami wody, głęboko osadzone w błocie i nigdy nie zostały usunięte.
Odzyskanie dwóch bezwładnościowych systemów naprowadzania z szczątków rakiety oraz analiza informacji wciąż obecnych w pamięci samolotu umożliwiły dokładne prześledzenie ostatnich sekund lotu. Dochodzenie koncentrowało się na specyfikacji systemu nawigacyjnego oraz testach laboratoryjnych niezbędnych do uzyskania zezwolenia na lot . Symulacje lotu po fakcie, wykorzystujące systemy naprowadzania bezwładnościowego i komputer pokładowy, w realistycznych warunkach lotu Ariane 5, odtworzyły wydarzenia, które doprowadziły do wybuchu rakiety. Wyniki odpowiadały informacjom znalezionym we wspomnieniach samolotów, które zostały użyte podczas lotu.
Gilles Kahn interweniował jako członek komisji śledczej w sprawie lotu 501 Ariane 5 (1996), jako współautor wraz z Didierem Lombardem , dzięki czemu możliwe stało się ujawnienie ukrytego błędu komputerowego.
Wnioski
W sprawozdaniu komisji śledczej poruszono następujące kwestie:
- Symulacje laboratoryjne zwykle odbywają się przed startem. Powodzenie tych symulacji jest warunkiem koniecznym uzyskania certyfikatu lotu. System nawigacyjny, używany przez długi czas na Ariane 4 , cieszył się opinią niezawodnego, a National Center for Space Studies po prostu poprosiło o nie wykonywanie symulacji lotu dla tych urządzeń, co powinno w ten sposób zaoszczędzić 800 000 franków na kosztach przedstartowych preparaty. Przeprowadzone w laboratorium po katastrofie symulacje te pozwoliły zweryfikować, czy eksplozja była nieunikniona.
- Komputer bug , który spowodował inercyjne systemy naprowadzania aby zamknąć wystąpił podczas samolotu procesu kalibracji . W normalnym użytkowaniu ta kalibracja mierzy bardzo niskie wartości, gdy rakieta jest nieruchoma, a zatem nie jest chroniona przed wysokimi wartościami, jakie można uzyskać, gdy te pomiary są wykonywane podczas lotu. Decyzja o pozostawieniu samolotu w trybie kalibracji po starcie dat od rozpoczęcia programu Ariane, ponad dziesięć lat przed incydentem, była motywowana faktem, że na pierwszych rakietach Ariane, w przypadku opóźnionego startu , konieczne było ponowne uruchomienie procedury kalibracji, która trwała ponad 45 minut. Tak nie jest już w przypadku Ariane 5.
- Automatyczne wyłączanie głównego systemu naprowadzania bezwładnościowego w przypadku awarii było wyborem projektowym dokonanym na długo przed incydentem. Nie uwzględniono możliwości jednoczesnego uszkodzenia dwóch systemów naprowadzania (głównego i zapasowego), a zatem nie przewidziano konsekwencji przed startem Ariane 5. Program Ariane włącza obciążenia losowe i chwilowe błędy urządzenia. W takich przypadkach zwykle wystarczy identyczne urządzenie zapasowe. Problem polega na tym, że oba urządzenia były ściśle identyczne w konstrukcji, a to, co może spowodować awarię jednego z nich, z dużym prawdopodobieństwem spowoduje awarię również drugiego. Jest więc wysoce prawdopodobne, że „przegrasz” oba w tym samym czasie, co pozostawia automatyczne pilotowanie rakiety w najbardziej kompletnym rozmyciu.
- Jednostka bezwładnościowa mierzy wielkości fizyczne, takie jak przyspieszenie i prędkość kątowa, które są bardzo trudne do odtworzenia w laboratorium. Badania laboratoryjne polegają na zastąpieniu pomiarów jednostki inercyjnej wartościami fałszywymi, sztucznie symulowanymi. Wiarygodna weryfikacja zespołu inercyjnego + komputera pokładowego może być wykonana tylko podczas lotów testowych (powszechna praktyka w przemyśle lotniczym i kosmonautycznym). Zgodnie ze specyfikacją jednostki inercyjnej, błąd komputera w urządzeniu musi spowodować jego natychmiastowe wyłączenie, błąd musi zostać wpisany do pamięci stałej urządzenia ( EEPROM ), a sygnał błędu musi być przesłany do innych urządzeń. Jest to wybór projektowy, aby wyłączyć samolot w przypadku incydentu, który był śmiertelny dla Ariane 5.
- Komputer zespołu inercyjnego wyposażony jest w zabezpieczenia, które zapobiegają wystąpieniu błędu komputera w przypadku zbyt dużego pomiaru (awaria z powodu przepełnienia ). W przypadku niektórych wartości osiągnięcie limitu jest fizycznie niemożliwe lub istnieje duży margines bezpieczeństwa, dlatego postanowiono nie wprowadzać ochrony, ponieważ projektanci uznali, że te miejsca pamięci nigdy nie mogą zostać nasycone zbyt dużą wartością. Jednak to przekroczenie niezabezpieczonej wartości spowodowało incydent. Te decyzje o ochronie zostały podjęte wspólnie przez różnych wykonawców podczas programu kosmicznego Ariane 4 .
Po dochodzeniu inżynierowie CNES zdali sobie sprawę, że aby zaoszczędzić pieniądze, oprogramowanie nawigacyjne dla rakiety Ariane 5 było tym, które zostało zaprojektowane dla Ariane 4 , co doprowadziło do niezgodności między oprogramowaniem a sprzętem.
Wszystko było spowodowane jedną małą zmienną: przypisaną do przyspieszenia poziomego. Rzeczywiście, maksymalne przyspieszenie poziome wytwarzane przez Ariane 4 dało wartość dziesiętną około 64. Wartość przyspieszenia poziomego rakiety przetwarzanej w 8-
bitowym rejestrze pamięci , daje to w
binarnej podstawie 2 8 = 256 dostępnych wartości, wystarczająca liczba zakodować wartość 64, co daje binarnie 1000000 i wymaga tylko 7 bitów. Ale Ariane 5 była znacznie potężniejsza i brutalniejsza: jej przyspieszenie mogło osiągnąć wartość 300, co daje binarnie 100101100 i wymaga 9-bitowego rejestru. W ten sposób zmienna zakodowana na 8 bitach doświadczyła
przepełnienia , ponieważ jej lokalizacja w pamięci nie była wystarczająco duża, aby zaakceptować tak dużą wartość. Musiałby być zakodowany na jeszcze jednym bicie, a więc 9 bitach, co pozwoliłoby na zapisanie wartości granicznej 2 9 -1 = 511, a następnie wystarczającej do zakodowania wartości 300. To przepełnienie spowodowało absurdalną wartość w zmiennej, nie odpowiadającej rzeczywistości. Dzięki efektowi domina oprogramowanie zdecydowało się na samozniszczenie rakiety na podstawie tych błędnych danych.
[ref. niezbędny]
Uwagi i referencje
Uwagi
-
W aeronautyce poślizg opisuje zjawisko, w którym samolot leci w określonym kierunku, ale którego oś podłużna jest przesunięta w stosunku do kursu. Ten manewr, dobrowolny lub nie, jest zwykle kontrolowany lub korygowany przez kontrolę odchylenia .
Bibliografia
-
(w) Ariane 501 Inquiry Board Ariane 5 Flight 501 Failure , Paryż,19 lipca 1996, 60 pkt. ( przeczytaj online [PDF] ) , Strona 5, Paragraf 3.
-
Doskonalenie testowania oprogramowania: rozwój techniczny i organizacyjny , Tim A. Majchrzak
-
„ Sprawozdanie komisji śledczej Ariane 501 ” , na stronie deschamp.free.fr ,23 lipca 1996 r.(dostęp 10 maja 2018 r. )
Zobacz również
Powiązane artykuły
Linki zewnętrzne