Clúster (nave espacial) - Cluster (spacecraft)

Grupo
Tipo de misión Magnetosférico
Operador ESA
ID COSPAR 2000-045A
SATCAT no. 26463Edita esto en Wikidata
Propiedades de la nave espacial
Masa de lanzamiento 1.200 kilogramos (2.600 libras)
Inicio de la misión
Fecha de lanzamiento 12:34:06, 4 de junio de 1996 (UTC) ( 1996-06-04T12: 34: 06Z )
Cohete Ariane 5G
Sitio de lanzamiento Kourou ELA-3
Fin de la misión
Disposición error de lanzamiento
Destruido 4 de junio de 1996 (4 de junio de 1996 )
Insignia de la misión de racimo
Insignia de la misión cuadrilátera de la ESA para Cluster
←  SOHO
Huygens  →
 

Cluster era una constelación de cuatro naves espaciales de la Agencia Espacial Europea que se lanzaron en el vuelo inaugural del cohete Ariane 5 , Vuelo 501, y posteriormente se perdieron cuando ese cohete no pudo alcanzar la órbita. El lanzamiento, que tuvo lugar el martes 4 de junio de 1996, terminó en falla debido a múltiples errores en el diseño del software: código muerto (en ejecución, pero intencionalmente solo para Ariane 4 ) con protección inadecuada contra el desbordamiento de enteros llevó a una excepción manejada de manera inapropiada —Deteniendo todo el sistema de navegación inercial que de otro modo no se hubiera visto afectado. Esto dio como resultado que el cohete se desviara de su trayectoria de vuelo 37 segundos después del lanzamiento, comenzando a desintegrarse bajo altas fuerzas aerodinámicas y finalmente autodestruyéndose por su sistema automatizado de terminación de vuelo . La falla se ha conocido como uno de los errores de software más infames y costosos de la historia. La quiebra resultó en una pérdida de más de 370 millones de dólares.

Astronave

El cúmulo constaba de cuatro naves espaciales cilíndricas estabilizadas por giro de 1.200 kilogramos (2.600 libras) , impulsadas por células solares de 224 vatios. La nave espacial debía haber volado en una formación tetraédrica y estaba destinada a realizar investigaciones sobre la magnetosfera de la Tierra . Los satélites se habrían colocado en órbitas muy elípticas; 17.200 por 120.600 kilómetros (10.700 por 74.900 millas), con una inclinación de 90 grados con respecto al ecuador.

Lanzamiento fallido

Diagrama del Ariane 501 con los cuatro satélites Cluster
Zona de caída de fragmentos del lanzamiento fallido de Ariane 501

El Ariane 5 reutilizó la plataforma de referencia inercial del Ariane 4 , pero la trayectoria de vuelo del Ariane 5 difería considerablemente de los modelos anteriores.

La mayor aceleración horizontal causó una conversión de datos a partir de un 64-bit de punto flotante número a una de 16 bits firmada número entero valor a desbordamiento y causar una excepción hardware . Las consideraciones de eficiencia habían omitido las comprobaciones de rango para esta variable en particular, aunque las conversiones de otras variables en el código estaban protegidas. La excepción detuvo las plataformas de referencia, resultando en la destrucción del vuelo.

Puntal de soporte recuperado de la estructura del satélite

Aunque se identificó un error de software como la causa directa, se consideró que esto era posible debido a fallas en el diseño del sistema y problemas de administración:

  1. Sobre la base de esos cálculos, la computadora principal ordenó a las boquillas de refuerzo, y algo más tarde también a la boquilla del motor principal, que hicieran una gran corrección por una desviación de actitud que no se había producido.
  2. Se produjo un rápido cambio de actitud , lo que provocó que el lanzador se desintegre a los 39 segundos después de H0 debido a las fuerzas aerodinámicas.
  3. El sistema de referencia inercial de Ariane 5 es esencialmente el mismo que un sistema utilizado por Ariane 4. La parte del software que causó la interrupción en las computadoras del sistema inercial se usa antes del lanzamiento para alinear el sistema de referencia inercial y, en Ariane 4, también para habilitar un reajuste rápido del sistema en caso de una espera tardía en la cuenta regresiva. Esta función de realineación, que no tiene ningún propósito en Ariane 5, se mantuvo sin embargo por razones de similitud y se permitió, como en Ariane 4, operar durante aproximadamente 40 segundos desde el despegue.
  4. Durante el diseño del software del sistema de referencia inercial utilizado para Ariane 4 y Ariane 5, se tomó la decisión de que no era necesario proteger la computadora del sistema inercial de ser inoperante por un valor excesivo de la variable relacionada con la velocidad horizontal, una protección proporcionada para varias otras variables del software de alineación. Al tomar esta decisión de diseño, no se analizó ni se entendió completamente qué valores podría asumir esta variable en particular cuando se permitió que el software de alineación funcionara después del despegue.
  5. En vuelos de Ariane 4 que utilizan el mismo tipo de sistema de referencia inercial no se ha producido tal fallo debido a que la trayectoria durante los primeros 40 segundos de vuelo es tal que la variable particular relacionada con la velocidad horizontal no puede alcanzar, con un margen operacional adecuado, un valor más allá el límite presente en el software.
  6. Ariane 5 tiene una alta aceleración y trayectoria iniciales, lo que conduce a una acumulación de velocidad horizontal cinco veces más rápida que para Ariane 4. La mayor velocidad horizontal de Ariane 5 generó, dentro del período de tiempo de 40 segundos, el valor excesivo que causó las computadoras del sistema inercial dejen de funcionar.
  7. El propósito del proceso de revisión, que involucra a todos los socios principales del programa Ariane 5, es validar las decisiones de diseño y obtener la calificación de vuelo. En este proceso, no se analizaron completamente las limitaciones del software de alineación y no se tomaron en cuenta las posibles implicaciones de permitir que continúe funcionando durante el vuelo.
  8. La especificación del sistema de referencia inercial y las pruebas realizadas a nivel de equipo no incluyeron específicamente los datos de trayectoria del Ariane 5. En consecuencia, la función de realineación no se probó en condiciones de vuelo simuladas de Ariane 5 y no se descubrió el error de diseño.
  9. Habría sido técnicamente factible incluir casi todo el sistema de referencia inercial en las simulaciones generales del sistema que se realizaron. Por varias razones, se decidió utilizar la salida simulada del sistema de referencia inercial, no el sistema real o su simulación detallada. Si se hubiera incluido el sistema, se podría haber detectado la falla.
  10. Las simulaciones posteriores al vuelo se han realizado en una computadora con software del sistema de referencia inercial y con un entorno simulado, incluidos los datos de la trayectoria real del vuelo Ariane 501. Estas simulaciones han reproducido fielmente la cadena de eventos que condujeron al fallo de los sistemas de referencia inerciales.

Secuelas

Después de la falla, se construyeron cuatro satélites Cluster II de reemplazo . Estos fueron lanzados en parejas a bordo de cohetes Soyuz-U / Fregat en 2000.

La falla del lanzamiento trajo los altos riesgos asociados con los sistemas informáticos complejos a la atención del público en general, los políticos y los ejecutivos , lo que resultó en un mayor apoyo a la investigación para garantizar la confiabilidad de los sistemas críticos para la seguridad . El posterior análisis automatizado del código Ariane (escrito en Ada ) fue el primer ejemplo de análisis de código estático a gran escala mediante interpretación abstracta .

El fracaso también afectó el excelente historial de éxito de la familia de cohetes de la Agencia Espacial Europea, establecido por la alta tasa de éxito del modelo Ariane 4. No fue hasta 2007 que los lanzamientos de Ariane 5 fueron reconocidos como tan confiables como los del modelo predecesor.

Ver también

Referencias

Otras lecturas

  • Thomas, LD (2007) Deficiencias de procesos de ingeniería de sistemas seleccionados y sus consecuencias. Acta Astronautica, 61, 406–415.

enlaces externos