Dansk Rumfart nr. 29 – oktober-december 1996
Derfor eksploderede Ariane 5 !
– hård kritik fra undersøgelseskommisionen
af Michael Lumholt, næstformand, Dansk Selskab for Rumfartsforskning
Som det vil være de fleste af læserne bekendt, endte den første testflyvning af Europas nye løfteraket Ariane 5 i en eksplosion kort efter start. Ombord var den europæiske rumfartsorganisation ESA's fire Cluster satellitter, som derved gik tabt. Undersøgelseskommisionen, som klarlagde årsagen til eksplosionen, retter en hård kritik af ledelsen af Ariane 5 projektet, specielt på software området.
Det første halve minut af opsendelsen den 4. juni i år forløb planmæssigt, men i en højde af kun 3,7 km foretog raketten pludselig en skarp drejning og begyndte at tumle rundt. Det aerodynamiske stress på raketstrukturen blev herved så stort, at der opstod brud, og raketten blev da automatisk bragt til eksplosion.
Den pludselige drejning var en følgevirkning af en fejl i rakettens to referencesystemer (IRS - Inertial Reference System). De to systemer (hvoraf det ene virker som backup-system) er praktisk talt identiske med systemerne på Ariane 4, og måler rakettens position og orientering. Softwaren i IRS-systemernes små computere indeholder en funktion, der beregner rakettens vandrette bevægelse (HB: horisontal bias). Funktionen startes ca. 10 sek. før lift-off og er aktiv i 50 sekunder, til trods for at resultatet kun skal bruges før lift-off. De 50 sek. muliggør en kort afbrydelse af nedtællingen mellem 10 sek. før og 5 sek. før lift-off ved en Ariane 4 opsendelse. En sådan afbrydelse er imidlertid ikke mulig for Ariane 5, men HB-funktionen fortsætter alligevel som for Ariane 4, formodentligt fordi man ikke har villet ændre et velfungerende og afprøvet design.
Resultatet af HB-funktionen repræsenteres i computeren ved et heltal, hvis talområde er rigeligt stort for en Ariane 4 opsendelse. Man har derfor valgt ikke at beskytte funktionen mod _overflow', hvorved længden af programmerne reduceres. Ariane 5 er en meget kraftigere raket end Ariane 4, og dens horisontale bevægelse i løbet af det første halve minut af opsendelsen er fem gange større. Talområdet for HB-funktionen er ikke stort nok til en Ariane 5 opsendelse, og derfor opstod der overflow i begge IRSer samtidigt. Begge systemer sendte en fejlkode til rakettens hovedcomputer, som til gengæld - som specificeret - lukkede IRS-systemerne ned. Nu stod hovedcomputeren uden oplysninger om position og retning, og den anvendte da - i mangel af bedre - fejlkoden i steddet for 'bane-data'. Resultatet blev selvfølgeligt totalt misvisende, men computeren tolkede dette, som at raketten var ude af kurs. Derfor kommenderede den raketdyserne på de to kraftige faststofraketter til at dreje mest muligt for at korrigere for den gale kurs. Dette medførte det skæbnesvanger sving.
Undersøgelseskommisionens kritik af designet af IRS systemerne og hovedcomputerens software retter sig specielt mod følgende fem punkter:
- HB-funktionen fortsatte efter lift-off, hvor den ikke skulle bruges.
- Det er ikke tydeligt markeret i softwaren og dokumentationen heraf, at HB-funktionen ikke er beskyttet mod overflow. Det har derfor ikke været muligt at opdage fejlen under de eksterne reviews af softwaren, som har været foretaget.
- Hovedcomputeren kan ikke håndtere systematiske softwarefejl, men kun tilfældige hardwarefejl. Dette førte til, at de velfungerende IRS-systemer (HB-funktionen skulle jo kun bruges før lift-off) blev lukket ned.
- Specifikationerne til IRS-systemet og test heraf inkluderede ikke bane-data for en Ariane 5 opskydning. Derfor har simuleringer og tests ikke resulteret i overflow af HB-funktionen.
- IRS-systemet er ikke blevet testet sammen med de øvrige "Flight Control Systems"; en test som muligvis kunne have afsløret fejlen.
Specielt det fjerde punkt har vakt megen diskussion i pressen. Det franske firma Sextant Avionique, som har fremstillet IRS-systemerne, testede efter eksplosionen IRS-designet med bane-data for en Ariane 5 opsendelse og kunne konstatere, at HB-funktionen ganske rigtigt ville få overflow. Firmæt siger, at de havde foreslået tests, som ville have opdaget fejlen, men at disse tests blev sparet væk af den franske rumfartsorganisation CNES.
I rumfartskredse hæfter man sig mere ved 'Ariane 5'-organisationens rolle. Rumfartsavisen "Space News" bragte følgende sammenfatning efter offentliggørrelsen af undersøgelseskommisionens rapport:
"...Undersøgelseskommisionen tegner et billede af et Ariane 5 team, som begik et halvt dusin alvorlige fejl i vurderingen af IRS-systemet, startende med blind tiltro til dets design og sluttende med en sjusket test og kontrol-procedure. Kommisionen udtalte, at en rettelse af en vilkålig af disse fejl ville have belyst design-fejlen og forhindret ulykken."
Den næste testflyvning af Ariane 5 er udsat til midten af 1997. Endvidere er det blevet besluttet at foretage en tredie testflyvning, og den europæiske rumfartsorganisation ESA er i gang med at finde financering til denne ekstra opsendelse. Hvorledes udgifterne skal fordeles mellem ESA's medlemslande og rumfartsindustrien er i skrivende stund ikke fastlagt. To succesfulde opsendelser er påkrævet, hvis ikke Europa skal tabe betydelige markedsandele på det benhårde opsendelsesmarked.