Let Ariane 5 501
Letu 501 je prvním letu z odpalovacího zařízení Evropská Ariane 5 , která se konala dne4. června 1996. Skončilo to selháním způsobeným selháním počítače (také nazývaným chyba ), které vidělo rozbití rakety a explodovalo za letu pouhých 36,7 sekundy po vzletu.
Zjednodušené vysvětlení
Raketa explodovala ve výšce 4 000 metrů nad středem vesmíru v Kourou v Guyaně . Nebyly žádné oběti, trosky padly relativně blízko k odpalovací rampě a let byl bez posádky.
Incident, v důsledku překročení celého čísla v paměťových registrech elektronických počítačů používaných autopilotem , způsobil poruchu navigačního systému rakety, což způsobilo jeho zničení i poškození užitečného zatížení. Toto užitečné zatížení se skládalo ze čtyř satelitů mise Cluster v celkové hodnotě 370 milionů dolarů .
Analýza incidentů
Chronologie událostí
Ke spuštění dojde dne 4. června 1996na 9 h 33 min 59 s GMT-3 (místního času), s 58 minutovým zpožděním oproti plánovanému harmonogramu, kvůli špatnému počasí. Jedná se o první start rakety Ariane 5 .
- V 9 h 33 jsou raketové motory vystřeleny a oba systémy inerciální vedení (hlavní a záložní) začnou měřit rotaci a zrychlení rakety.
- Po 37 sekundách letu způsobí silná zrychlení vyvolaná vývojem rakety celočíselný překmit v počítači hlavního inerciálního naváděcího systému, který okamžitě vyřadí z provozu. Nouzový naváděcí systém, identický s hlavním systémem, utrpěl stejné poškození a zastavil se ve stejnou sekundu. Autopilot , který spoléhá právě na základě informací pocházejících z těchto inerciálních naváděcích systémů, pak již nemá žádný prostředek ovládání rakety. Selhání mise je nevyhnutelné.
- O 3 sekundy později se spustí autopilot . Po nesprávné interpretaci signálu poruchy ze dvou inerciálních naváděcích systémů, které byly poté mimo provoz, autopilot omylem nařídil násilnou korekci trajektorie. Trysky dvou práškových akcelerátorů (EAP) a motoru středního stupně jsou zatočeny až na doraz a raketa prudce vyrazila v těsné zatáčce.
- Raketa se náhle odchýlí od své dráhy a vykazuje výrazný smyk a boční urychlovače ( posilovače ) jsou odtrženy silným relativním proudem vzduchu mimo střed, který se poté objeví. Tato událost okamžitě spouští preventivní mechanismus sebezničení rakety. Řízení letu na zemi poté, co ztratilo veškerý kontakt s raketou, také dálkově ovládalo její zničení, ale raketa již explodovala.
- Trosky z rakety, která se nachází v nadmořské výšce asi 4000 m , jsou hozeny do dálky a rozptýleny na ploše asi 12 km 2 poblíž vesmírného centra Kourou ve Francouzské Guyaně .
Raketa Ariane 4 skutečně sloužila jako programovací model pro výrobu Ariane 5. Bylo použito kopírování a vkládání , aby bylo možné duplikovat objemová data (která podle jejich vědecké perspektivy stála za jejich úspěch), přesto byla Ariane 5 mnohem větší a těžší.
Tlak rakety se řídil základními kódy programovacího systému, což způsobilo selhání počítače kvůli duplicitním nespravedlivým objemovým hodnotám. Produkce presimetru není vhodná pro vzlet, smrtelně způsobující výbuch. Chyba, která stála spoustu peněz, pokud jde o lidské zdroje a práci.
Setrvačné jednotky
Inerciální naváděcí systém , někdy také označovaný jako „inerciální platformu“ , je sada skládá z vnitřní počítačové , akcelerometry a gyroskopy , které umožňují měřit pohyby ze strany vozidla ve vztahu k pevnému referenčnímu bodu v prostor vozidla, trojrozměrný. Počítač určuje polohu, rychlost a sklon vozidla na základě měření zrychlení a úhlové rotace získaných senzory akcelerometrů a gyroskopů. Jedná se o standardní vybavení lodí, letadel, raket a kosmických vozidel.
Inerciální naváděcí systém, který byl v raketě Ariane 5, byl stejný jako systém montovaný do předchozích modelů rakety Ariane . Letový plán, který následovala Ariane 5 během startu, je však velmi odlišný od letového plánu Ariane 4 : jeho trajektorie je odlišná a zrychlení způsobená raketami na přístrojích je pětkrát silnější než u předchůdce. Příliš vysoké hodnoty měřené akcelerometry způsobily přetečení při výpočtu zeměpisné polohy rakety počítačovým zařízením naváděcího systému, které způsobilo její havárii .
Stejně jako u Ariane 4 je setrvačný naváděcí systém Ariane 5 udržován v režimu vyrovnání ( kalibrace ) během prvních čtyřiceti sekund letu, poté následuje zapalování autopilota . V tomto čtyřicátém druhém období došlo k incidentu. Na Ariane 5 již normálně nebylo nutné udržovat kalibrační režim na začátku letu, ale přesto byl udržován pro pohodlí.
Palubní počítač
Když palubní počítač rakety zjistí poruchu hlavní inerciální naváděcí plošiny, automaticky se přepne na záložní. V případě letu 501 Ariane 5 bohužel nezjistil skutečnost, že záložní platforma byla také nefunkční ze stejných příčin jako hlavní, a pokračoval v interpretaci signálů, které produkoval. Tyto poruchové signály uvedly v omyl palubní počítač, který je interpretoval a nařídil náhlou korekci trajektorie rakety, která se poté zcela odchýlila od plánovaného letového plánu. Palubní počítač věřil, že napravil kurz po odchylce, ke které ve skutečnosti nikdy nedošlo. Zdá se, že příčina je spojena s chybou počítače v programování fragmentu kódu - neopravená - a přesto používaná při různých příležitostech na obrazovkách těchto vývojářů.
Tato těsná zatáčka, která na raketu působila, způsobila, že překročila úhel bočního skluzu 20 ° , což způsobilo trhání jednoho ze dvou pomocných akcelerátorů. Tato ztráta jednoho ze dvou posilovačů okamžitě aktivuje spínač, který spouští sebezničení rakety, což je bezpečnostní opatření navržené tak, aby se zabránilo vytváření obětí na zemi, pokud raketa spadne „z jednoho kusu“ .
Vyšetřování
Let byl široce sledován kamerou, radarem a telemetrií a vyšetřovací tým rychle zjistil nefunkčnost inerciálního naváděcího systému jako příčinu incidentu.
Informace o telemetrie byl zaslán k analýze do Národního centra pro kosmické studie v Toulouse , ve Francii , zatímco on-site tým pracoval obnovit nečistoty z rakety. Přednost dostaly nečistoty, které představovaly nebezpečí požáru, například nespálené zásoby paliva . Obnova trosek byla obzvláště obtížná, protože tato oblast se skládá hlavně z mangrovů a podmáčených savan po období dešťů, které právě skončilo. Těžké části, jako jsou trysky - vážící několik tun - byly nalezeny pod několika metry vody, hluboce zalité v bahně a nikdy nebyly odstraněny.
Obnova dvou inerciálních naváděcích systémů z úlomků raket a analýza informací stále přítomných v paměti letadla umožnily přesně vysledovat poslední sekundy letu. Šetření se zaměřilo na specifikace navigačního systému a laboratorní testy nezbytné k získání povolení k letu . Následné letové simulace pomocí inerciálních naváděcích systémů a palubního počítače za realistických letových podmínek Ariane 5 reprodukovaly události, které vedly k výbuchu rakety. Výsledky odpovídaly informacím nalezeným ve vzpomínkách na letadlo, které byly použity během letu.
Gilles Kahn zasáhl jako člen vyšetřovací komise pro let 501 (1996) Ariane 5 jako spoluautor s Didierem Lombardem , což umožnilo výslovně vyjádřit základní počítačovou chybu .
Závěry
Ve zprávě vyšetřovací komise byly vzneseny následující body:
- Laboratorní simulace obvykle probíhají před startem. Úspěch těchto simulací je nezbytnou podmínkou pro získání letového osvědčení. Navigační systém, který se dlouho používal na Ariane 4 , byl považován za spolehlivý a Národní středisko pro kosmická studia jednoduše požádalo, aby pro tato zařízení neprováděly letové simulace, což by mu mělo ušetřit 800 000 franků na nákladech před spuštěním přípravky. Tyto simulace provedené v laboratoři po katastrofě umožnily ověřit nevyhnutelnost výbuchu.
- K chybě počítače, která způsobila vypnutí inerciálních naváděcích systémů , došlo během procesu kalibrace letadla. Při normálním použití tato kalibrace měří velmi nízké hodnoty, když je raketa v klidu, a proto není chráněna proti vysokým hodnotám, jaké lze získat, když jsou tato měření prováděna během letu. Volba ponechat letadlo v kalibračním režimu po datu vzletu od zahájení programu Ariane, více než deset let před incidentem, byla motivována skutečností, že na prvních raketách Ariane v případě opožděného vzletu , bylo nutné restartovat kalibrační proceduru, která trvala více než 45 minut. U Ariane 5 to již neplatí.
- Automatické vypnutí hlavního inerciálního naváděcího systému v případě poruchy bylo konstrukční volbou provedenou dlouho před incidentem. Možnost současného poškození dvou naváděcích systémů (hlavní a záložní) nebyla zohledněna, a proto se nepředpokládaly důsledky před vzletem Ariane 5. zatížení programu Ariane se zapne na náhodné a okamžité chyby zařízení. V těchto případech to obvykle provede identické záložní zařízení. Problém pramení ze skutečnosti, že obě zařízení byla designově striktně identická, a to, co může způsobit selhání jednoho z nich, má vysokou pravděpodobnost selhání také druhého. Je proto vysoce možné „ztratit“ obojí současně, což autopilota rakety ponechává v nejúplnějším rozostření.
- Inerciální jednotka měří fyzikální veličiny, jako je zrychlení a úhlová rychlost, které je v laboratoři velmi obtížné reprodukovat. Laboratorní testy spočívají v nahrazení měření setrvačné jednotky falešnými hodnotami, uměle simulovanými. Spolehlivé ověření sestavy inerciální jednotky + palubního počítače lze provést pouze během zkušebních letů (běžná praxe v leteckém a astronautickém průmyslu). Podle specifikací inerciální jednotky musí chyba počítače v zařízení způsobit jeho okamžité vypnutí, chyba musí být zapsána do permanentní paměti zařízení ( EEPROM ) a chybový signál musí být přenesen do dalších zařízení. Jedná se o konstrukční volbu k vypnutí letadla v případě nehody, která byla pro Ariane 5 smrtelná.
- Počítač inerciální jednotky je vybaven ochranami, které zabraňují výskytu chyby počítače v případě příliš vysokého měření (havárie v důsledku přetečení ). U některých hodnot je fyzicky nemožné dosáhnout limitu, nebo je zde velká bezpečnostní rezerva, a proto bylo rozhodnuto neuvádět ochranu, návrháři zvažují, že tato paměťová místa nemohou být nikdy nasycena příliš velkou hodnotou. Incident však způsobilo překročení nechráněné hodnoty. Tato rozhodnutí o ochraně byla přijata společně mezi různými dodavateli během vesmírného programu Ariane 4 .
Po šetření si inženýři CNES uvědomili, že z důvodu úspory peněz byl navigační software pro raketu Ariane 5 software navržený pro Ariane 4 , což vedlo k nekompatibilitě mezi softwarem a hardwarem.
Všechno bylo způsobeno jedinou malou proměnnou: přidělenou horizontálnímu zrychlení. Ve skutečnosti maximální horizontální zrychlení produkované Ariane 4 dalo desítkovou hodnotu přibližně 64. Hodnota horizontálního zrychlení rakety zpracovávané v
8bitovém paměťovém registru , to dává v
binární základně 2 8 = 256 dostupných hodnot, dostatečný počet zakódovat hodnotu 64, která dává v binárním formátu 10 000 000 a vyžaduje pouze 7 bitů. Ale Ariane 5 byla mnohem výkonnější a brutálnější: její zrychlení by mohlo dosáhnout hodnoty 300, což dává binárně 100101100 a vyžaduje 9bitový registr. Proměnná kódovaná na 8 bitech tedy zaznamenala
přetečení , protože její paměťové umístění nebylo dostatečně velké, aby přijalo tak velkou hodnotu. Muselo by to být zakódováno ještě na jednom bitu, tedy 9 bitů, což by umožnilo uložit mezní hodnotu 2 9 -1 = 511, potom dostatečnou pro zakódování hodnoty 300. Toto přetečení mělo za následek absurdní hodnotu ... v proměnné, která neodpovídá realitě. Díky dominovému efektu se software rozhodl autodestrukci rakety z těchto chybných dat.
[ref. nutné]
Poznámky a odkazy
Poznámky
-
V aeronautice smyk popisuje jev, kdy letadlo letí určitým směrem, ale jehož podélná osa je posunuta od sledovaného kurzu. Tento manévr, ať už dobrovolný nebo ne, je obvykle ovládán nebo korigován kontrolou vybočení .
Reference
-
(in) Ariane 501 Poptávka Board Ariane 5 Flight 501 Failure , Paříž,19. července 1996, 60 s. ( číst online [PDF] ) , strana 5, odstavec 3.
-
Zlepšení testování softwaru: Technický a organizační vývoj , Tim A. Majchrzak
-
„ Zpráva vyšetřovací komise Ariane 501 “ , na deschamp.free.fr ,23. července 1996(zpřístupněno 10. května 2018 )
Podívejte se také
Související články
externí odkazy