Ariane 5 Flight 501
The flight 501 er den første flyturen av rakett europeiske Ariane 5 , som fant sted på4. juni 1996. Det endte med feil, forårsaket av en datamaskinfeil (også kjent som en feil ), som så raketten knuste og eksplodere under flyvning bare 36,7 sekunder etter start.
Forenklet forklaring
Raketten eksploderte i 4000 meters høyde over romsenteret i Kourou , Guyana . Det ble ikke skadet, ruskene hadde falt relativt nær startplaten og flyet var ubemannet.
Hendelsen forårsaket svikt i rakettens navigasjonssystem, forårsaket ødeleggelsen og nyttelasten på grunn av et heltall som er overkjørt i minnesregistrene til de elektroniske datamaskinene som brukes av autopiloten . Denne nyttelasten besto av fire satellitter fra Cluster-oppdraget , til en samlet verdi av 370 millioner dollar .
Hendelsesanalyse
Kronologi av hendelser
Lanseringen finner sted den 4. juni 1996i 9 t 33 min 59 s GMT-3 (lokal tid), med 58 minutter bak planlagt tidsplan, på grunn av dårlig vær. Dette er den første lanseringen av Ariane 5- raketten .
- Kl. 9 timer 33 avfyres rakettmotorene, og de to systemene treghetsstyring (hoved og backup) begynner å måle rakettens rotasjon og akselerasjon.
- Etter 37 sekunders flytur forårsaker de sterke akselerasjonene som utvikles av raketten, et heltall i datamaskinen til det viktigste treghetsstyringssystemet, som umiddelbart går ut av drift. Nødstyringssystemet, identisk med hovedsystemet, fikk samme skade og stoppet i samme sekund. Den autopilot , som bygger nettopp på den informasjonen som kommer fra disse treghet veiledning systemer, da ikke lenger har noen midler for å styre raketten. Oppdragssvikt er uunngåelig.
- 3 sekunder senere starter autopiloten . Etter en feiltolkning av feilsignalet fra de to treghetsstyringssystemene som ikke var i bruk, beordret autopiloten feilaktig en voldsom banekorreksjon. Dysene til de to pulverakseleratorene (EAP) og den sentrale scenemotoren er dreid så langt de kommer, og raketten setter voldsomt av gårde i en tett sving.
- Raketten avviker plutselig fra banen og viser betydelig glidning, og sideakseleratorene ( boostere ) blir revet av den sterke relative luftstrømmen utenfor sentrum som da dukker opp. Denne hendelsen utløser øyeblikkelig rakettens forebyggende selvødeleggelsesmekanisme. Flykontrolleren på bakken, etter å ha mistet all kontakt med raketten, fjernstyrte også ødeleggelsen, men raketten har allerede eksplodert.
- Avfall fra raketten, som er plassert ved en høyde på ca. 4000 m , blir projisert inn på avstand og er spredt over et område på omtrent 12 km 2 nær den plass sentrum av Kourou, i Fransk Guinea .
Faktisk hadde Ariane 4-raketten fungert som en programmeringsmodell for produksjon av Ariane 5. En kopi og lim ble brukt for å duplisere volumetriske data (som hadde vært verdt å lykkes i henhold til deres vitenskapelige perspektiv), men Ariane 5 var likevel mye større og tyngre.
Rakettrykket overholdt de grunnleggende kodene i programmeringssystemet, og forårsaket datamaskinsvikt på grunn av dupliserte urettferdige volumverdier. En pressimeterproduksjon er ikke egnet for start, og forårsaker eksplosjonen dødelig. En feil som koster mye penger, når det gjelder menneskelige ressurser og arbeid.
Treghetenheter
Et treghetsstyringssystem , noen ganger også referert til som en "treghetsplattform" , er et sett som består av en intern datamaskin , akselerometre og gyroskoper , som gjør det mulig å måle bevegelsene som gjøres av et kjøretøy i forhold til et fast referansepunkt i kjøretøyets plass, tredimensjonalt. Datamaskinen bestemmer kjøretøyets posisjon, hastighet og helning på grunnlag av akselerasjons- og vinkelrotasjonsmålingene oppnådd av sensorene til akselerometrene og gyroskopene. Det er standardutstyr i skip, fly, raketter og romfartøyer.
Treghetsstyringssystemet som var i Ariane 5- raketten var det samme som det som passet til tidligere modeller av Ariane-raketten . Flyplanen fulgt av Ariane 5 under lanseringen er imidlertid veldig forskjellig fra Ariane 4 : dens bane er annerledes og akselerasjonene som raketten påfører instrumentene er fem ganger sterkere enn de som ble produsert av forgjengeren. De for høye verdiene som ble målt av akselerometrene forårsaket et overløp under beregningen av rakettens geografiske posisjon av styringssystemets datamaskin, som forårsaket krasj .
Når det gjelder Ariane 4, opprettholdes Ariane 5 treghetsstyringssystem i justeringsmodus ( kalibrering ) i løpet av de første førti sekundene av flyet, deretter fulgt av tenningen av autopiloten . Det var i denne førti-sekundersperioden hendelsen fant sted. På Ariane 5 var det normalt ikke lenger nødvendig å opprettholde kalibreringsmodus i starten av flyet, men det ble likevel opprettholdt for enkelhets skyld.
Kjørecomputer
Når rakettens innebygde datamaskin oppdager en feil i hovedinertialveiledningsplattformen, bytter den automatisk til en sikkerhetskopi. I tilfelle Ariane 5 Flight 501 oppdaget den dessverre ikke det faktum at backup-plattformen også var nede av de samme årsakene som den viktigste, og fortsatte å tolke signalene den produserte. Disse feilsignalene villedet datamaskinen om bord, som tolket dem og beordret en plutselig korrigering av rakettens bane, som deretter avvek helt fra den planlagte flyplanen. Kjørecomputeren mente den hadde korrigert et kurs etter et avvik som faktisk aldri hadde funnet sted. Årsaken ser ut til å være knyttet til en datamaskinfeil i programmeringen av en kodebit - ikke korrigert - og likevel brukt ved forskjellige anledninger på skjermen til disse utviklerne.
Denne stramme svingen på raketten førte til at den overskred en sidesklisvinkel på 20 ° , noe som førte til at en av de to hjelpeakseleratorene revet. Dette tapet av en av de to boosterne aktiverer øyeblikkelig en bryter som utløser rakettens selvødeleggelse, et sikkerhetstiltak designet for å unngå å skape tap på bakken, hvis raketten faller "i ett stykke" .
Etterforskning
Flyet ble fulgt mye, av kamera, radar og telemetri , og funksjonsfeil i treghetsstyringssystemet ble raskt identifisert av etterforskningsteamet som årsaken til hendelsen.
Telemetriinformasjonen ble sendt til analyse til National Centre for Space Studies i Toulouse , Frankrike , mens et team på stedet jobbet for å gjenopprette rusk fra raketten. Prioritet ble gitt til rusk som utgjorde en brannfare, for eksempel uforbrente drivstoffreserver . Gjenvinning av rusk var spesielt vanskelig, siden denne regionen hovedsakelig består av mangrover og vanntette savanner, etter regntiden som nettopp hadde avsluttet. Tunge deler som dyser - som veier flere tonn - ble funnet under flere meter vann, dypt innebygd i gjørmen, og ble aldri fjernet.
Gjenopprettingen av de to treghetsstyringssystemene fra rakettavfallet, og analysen av informasjonen som fremdeles er tilstede i flyminnet, gjorde det mulig å spore nøyaktig de siste sekundene av flyturen. Undersøkelsen fokuserte på spesifikasjonene til navigasjonssystemet, og laboratorietestene som var nødvendige for å få tillatelse til å fly . Faktiske flysimuleringer, ved hjelp av treghetsstyringssystemer og ombordcomputeren under de realistiske flyforholdene til Ariane 5, gjengav hendelsene som førte til raketteksplosjonen. Resultatene tilsvarte informasjonen som ble funnet i minnene til flyet som ble brukt under flyturen.
Gilles Kahn intervenerte som medlem av undersøkelseskommisjonen om Ariane 5 flight 501 (1996), som medforfatter med Didier Lombard , noe som gjorde det mulig å gjøre den underliggende datafeilen eksplisitt .
Konklusjoner
I rapporten fra undersøkelseskommisjonen ble følgende poeng tatt opp:
- Laboratoriesimuleringer foregår normalt før start. Suksessen med disse simuleringene er en nødvendig forutsetning for å få flysertifikatet. Navigasjonssystemet, som ble brukt lenge på Ariane 4 , ble ansett som pålitelig, og Nasjonalt senter for romstudier ba bare om ikke å utføre flysimuleringer for disse enhetene, noe som skulle spare 800 000 franc på kostnadene ved forberedelsene før lanseringen. Disse simuleringene ble utført i laboratoriet etter katastrofen, og gjorde det mulig å verifisere at eksplosjonen var uunngåelig.
- Den datamaskin insekt som forårsaket treghetsveiledningssystem stenge skjedde under flyet kalibreringsprosessen . Ved normal bruk måler denne kalibreringen svært lave verdier når raketten er stasjonær, og den er derfor ikke beskyttet mot høye verdier, slik som man kan oppnå når disse målingene blir tatt under flyturen. Valget om å la flyet være i kalibreringsmodus etter startdatoer fra starten av Ariane-programmet, mer enn ti år før hendelsen, ble motivert av det faktum at på de første Ariane-rakettene i tilfelle en forsinket start , var det nødvendig å starte kalibreringsprosedyren på nytt, som varte i mer enn 45 minutter. Dette er ikke lenger tilfelle med Ariane 5.
- Den automatiske nedleggelsen av det viktigste treghetsstyringssystemet i tilfelle en feil, var et designvalg som ble tatt lenge før hendelsen. Muligheten for samtidig skade på de to styringssystemene (hoved- og backup) hadde ikke blitt vurdert, og konsekvensene hadde derfor ikke blitt forventet før Ariane 5 tok av. Av belastningene i Ariane-programmet er slått på tilfeldige og øyeblikkelige feil av enhetene. I disse tilfellene vil en identisk sikkerhetskopienhet vanligvis gjøre susen. Problemet stammer fra det faktum at de to enhetene var strengt identiske i utformingen, og det som kan føre til at en av dem mislykkes, har stor sannsynlighet for at den andre også mislykkes. Det er derfor høyst mulig å "miste" begge deler samtidig, noe som etterlater den automatiske styringen av raketten i den mest komplette uskarpheten.
- En treghetsenhet måler fysiske størrelser, som akselerasjon og vinkelhastighet, som er svært vanskelige å reprodusere i laboratoriet. Laboratorietester består i å erstatte målingene av treghetsenheten med falske verdier, kunstig simulert. Den pålitelige verifiseringen av inertienheten + datamaskinmontering ombord kan bare gjøres under testflygninger (en vanlig praksis i luftfarts- og astronautisk industri). I henhold til spesifikasjonene til treghetsenheten, må en datamaskinfeil i enheten forårsake umiddelbar nedleggelse, feilen må legges inn i et permanent minne på enheten ( EEPROM ), og et feilsignal må overføres til andre enheter. Det er designvalget å stenge flyet i tilfelle en hendelse som var dødelig for Ariane 5.
- Datamaskinen til treghetsenheten er utstyrt med beskyttelse, som forhindrer at det oppstår en datamaskinfeil i tilfelle for høy måling (krasj på grunn av overløp ). For noen verdier er det fysisk umulig å nå grensen, eller det er stor sikkerhetsmargin, og det ble derfor besluttet å ikke sette beskyttelse, designerne vurderte at disse minneplasseringene aldri kunne bli mettet av for stor verdi. Imidlertid var det overskridelsen av en ubeskyttet verdi som forårsaket hendelsen. Disse beskyttelsesbeslutningene ble tatt i fellesskap mellom forskjellige entreprenører under Ariane 4- romprogrammet .
Etter etterforskning innså CNES-ingeniører at for å spare penger var navigasjonsprogramvaren for Ariane 5- raketten den som var designet for Ariane 4 , noe som førte til en inkompatibilitet mellom programvaren og maskinvaren.
Alt skyldtes en enkelt liten variabel: den som tildeles horisontal akselerasjon. Faktisk er den maksimale horisontale akselerasjon som produseres av Ariane 4 ga en desimalverdi fra ca. 64. Den horisontale akselerasjonsverdi av den rakett som blir behandlet i en 8-
bits minneregister , gir dette i
binær basis 2 8 = 256 verdier tilgjengelige, et tilstrekkelig antall for å kode verdien 64, som gir i binær 1000000 og krever bare 7 bits. Men Ariane 5 var mye kraftigere og brutalere: akselerasjonen kunne nå verdien 300, noe som gir 100101100 i binær og krever et 9-biters register. Dermed opplevde variabelen kodet på 8 bits et
overløp , siden minneplasseringen ikke var stor nok til å akseptere en så stor verdi. Det måtte ha blitt kodet på en bit til, derfor 9 bits, noe som ville ha gjort det mulig å lagre en grenseverdi på 2 9 -1 = 511, så tilstrekkelig til å kode verdien 300. Dette overløpet resulterte i en absurd verdi i variabelen, ikke tilsvarer virkeligheten. Ved dominoeffekt bestemte programvaren seg for å ødelegge raketten fra disse feilaktige dataene.
[ref. nødvendig]
Merknader og referanser
Merknader
-
I luftfart beskriver en skid fenomenet hvor et fly flyr i en bestemt retning, men hvis lengdeakse er forskjøvet fra kurset som følges. Denne manøveren, enten frivillig eller ikke, blir normalt kontrollert eller korrigert av girkontrollen .
Referanser
-
(in) Ariane 501 Forespørsel Board Ariane 5 Flight 501 Failure , Paris,19. juli 1996, 60 s. ( les online [PDF] ) , Side 5, avsnitt 3.
-
Forbedre programvaretesting: Teknisk og organisatorisk utvikling , Tim A. Majchrzak
-
" Rapport fra Ariane 501 Commission of Inquiry " , på deschamp.free.fr ,23. juli 1996(åpnet 10. mai 2018 )
Se også
Relaterte artikler
Eksterne linker