Ariane 5, vôo 501
O vôo 501 é o primeiro vôo do lançador europeu Ariane 5 , que ocorreu em4 de junho de 1996. Terminou em falha, causada por um mau funcionamento do computador (também chamado de bug ), que viu o foguete estilhaçar e explodir em vôo apenas 36,7 segundos após a decolagem.
Explicação simplificada
O foguete explodiu a uma altitude de 4.000 metros acima do centro espacial em Kourou , Guiana . Não houve vítimas, os destroços caíram relativamente perto da plataforma de lançamento e o vôo não foi tripulado.
O incidente, devido a um estouro de inteiros nos registros de memória dos computadores eletrônicos usados pelo piloto automático , causou a falha do sistema de navegação do foguete, causando sua destruição e também da carga útil. Essa carga útil consistia em quatro satélites da missão Cluster , com um valor total de 370 milhões de dólares .
Análise de incidentes
Cronologia dos eventos
O lançamento ocorre em 4 de junho de 1996por 9 h 33 min 59 s GMT-3 (hora local), com 58 minutos de atraso em relação ao planejado, devido ao mau tempo. Este é o primeiro lançamento do foguete Ariane 5 .
- Às 9 h 33 , os motores de foguetes são disparados, e os dois sistemas de orientação inercial (principal e backup) começar a medir a rotação e aceleração do foguete.
- Após 37 segundos de vôo, as fortes acelerações produzidas pela evolução do foguete causam um overshoot inteiro no computador do sistema de orientação inercial principal, que imediatamente sai de serviço. O sistema de orientação de emergência, idêntico ao sistema principal, sofreu os mesmos danos e parou no mesmo segundo. O piloto automático , que se baseia justamente nas informações provenientes desses sistemas de orientação inercial, não tem mais meios de controlar o foguete. O fracasso da missão é inevitável.
- 3 segundos depois, o piloto automático é iniciado. Após uma má interpretação do sinal de falha dos dois sistemas de orientação inercial então fora de serviço, o piloto automático ordenou por engano uma correção violenta de trajetória. Os bicos dos dois aceleradores de pólvora (EAP) e do motor do estágio central são girados o máximo que podem, e o foguete dispara violentamente em uma curva fechada.
- O foguete desvia repentinamente de sua trajetória, exibindo uma derrapagem significativa, e os aceleradores laterais ( propulsores ) são arrancados pela forte corrente de ar relativa fora do centro que então aparece. Este evento aciona instantaneamente o mecanismo de autodestruição preventiva do foguete. O controlador de vôo no solo, tendo perdido todo o contato com o foguete, também controla remotamente sua destruição, mas o foguete já explodiu.
- Os destroços do foguete, que está localizado a uma altitude de cerca de 4.000 m , estão projetados à distância e estão espalhados por uma área de cerca de 12 km 2 próximo ao centro espacial de Kourou, na Guiana Francesa .
Na verdade, o foguete Ariane 4 serviu como um modelo de programação para a fabricação do Ariane 5. Foi usado copiar e colar para duplicar os dados volumétricos (que valeram seu sucesso de acordo com sua perspectiva científica), mas o Ariane 5 era muito maior e mais pesado.
A pressão do foguete obedecia aos códigos básicos do sistema de programação, causando uma falha no computador devido à duplicidade de valores volumétricos injustos. Um pressímetro de produção não adequado para decolagem, causando fatalmente a explosão. Um erro que custou muito dinheiro, em termos de recursos humanos e trabalho.
Unidades inerciais
Um sistema de orientação inercial , por vezes também referido como "plataforma inercial" , é um conjunto constituído por um computador interno , acelerómetros e giroscópios , que permitem medir os movimentos de um veículo em relação a um ponto de referência fixo em o veículo. espaço, tridimensional. O computador determina a posição, velocidade e inclinação do veículo, com base nas medidas de aceleração e rotação angular obtidas pelos sensores dos acelerômetros e dos giroscópios. É equipamento padrão em navios, aviões, mísseis e veículos espaciais.
O sistema de orientação inercial que estava no foguete Ariane 5 era o mesmo dos modelos anteriores do foguete Ariane . No entanto, o plano de vôo seguido pelo Ariane 5 durante seu lançamento é muito diferente do Ariane 4 : sua trajetória é diferente e as acelerações infligidas aos instrumentos pelo foguete são cinco vezes maiores do que as produzidas por seu antecessor. Os valores excessivamente elevados medidos pelos acelerômetros causaram um transbordamento , durante o cálculo da posição geográfica do foguete pelo dispositivo computadorizado do sistema de orientação, que causou sua queda .
Tal como acontece com o Ariane 4, o sistema de orientação inercial Ariane 5 é mantido em modo de alinhamento ( calibração ) durante os primeiros quarenta segundos de vôo, seguido pela ignição do piloto automático . Foi nesse quadragésimo segundo período que ocorreu o incidente. No Ariane 5, normalmente não era mais necessário manter o modo de calibração no início do vôo, mas mesmo assim foi mantido por conveniência.
Computador de bordo
Quando o computador de bordo do foguete detecta uma falha na plataforma principal de orientação inercial, ele muda automaticamente para a de backup. No caso do Ariane 5 Flight 501, infelizmente não detectou o fato de que a plataforma de backup também estava inoperante pelas mesmas causas que a principal, e continuou a interpretar os sinais por ela produzidos. Esses sinais de falha enganaram o computador de bordo, que os interpretou e ordenou uma correção repentina da trajetória do foguete, que então se desviou completamente do plano de vôo planejado. O computador de bordo acreditava ter corrigido um curso após um desvio que nunca havia ocorrido de fato. A causa parece estar ligada a um erro do computador na programação de um trecho de código - não corrigido - e ainda utilizado em diversas ocasiões nas telas desses desenvolvedores.
Essa curva fechada imposta ao foguete fez com que ele ultrapassasse um ângulo de derrapagem de 20 ° , o que causou o rompimento de um dos dois aceleradores auxiliares. Esta perda de um dos dois impulsionadores ativa instantaneamente um interruptor que aciona a autodestruição do foguete, uma medida de segurança projetada para evitar a criação de baixas no solo, se o foguete cair "inteiro" .
Investigação
O vôo foi amplamente acompanhado, por câmera, radar e telemetria , e o mau funcionamento do sistema de orientação inercial foi rapidamente identificado pela equipe de investigação como sendo a causa do incidente.
As informações de telemetria foram enviadas para análise ao Centro Nacional de Estudos Espaciais em Toulouse , França , enquanto uma equipe local trabalhava para recuperar os destroços do foguete. A prioridade foi dada aos detritos que apresentavam risco de incêndio, como reservas de combustível não queimado. A recuperação dos destroços foi particularmente difícil, visto que esta região é composta principalmente por manguezais e savanas alagadas, após o período de chuvas que acabava de terminar. Peças pesadas como bicos - pesando várias toneladas - foram encontradas sob vários metros de água, profundamente incrustadas na lama e nunca foram removidas.
A recuperação dos dois sistemas de orientação inercial dos destroços do foguete e a análise das informações ainda presentes na memória da aeronave permitiram rastrear com precisão os últimos segundos do vôo. A investigação centrou-se nas especificações do sistema de navegação e nos testes laboratoriais necessários para obter a autorização de voo . Simulações de vôo feitas a posteriori, usando sistemas de orientação inercial e o computador de bordo sob as condições realistas de vôo do Ariane 5, reproduziram os eventos que levaram à explosão do foguete. Os resultados corresponderam às informações encontradas nas memórias das aeronaves utilizadas durante o vôo.
Gilles Kahn interveio como membro da comissão de inquérito sobre o vôo 501 do Ariane 5 (1996), como coautor com Didier Lombard , tornando possível tornar explícito o bug de computador subjacente.
Conclusões
No relatório da comissão de inquérito, foram levantados os seguintes pontos:
- As simulações de laboratório normalmente ocorrem antes da decolagem. O sucesso dessas simulações é condição necessária para a obtenção do certificado de voo. O sistema de navegação, usado por muito tempo no Ariane 4 , foi considerado confiável e o Centro Nacional de Estudos Espaciais simplesmente pediu para não realizar simulações de vôo para esses aparelhos, o que deve economizar 800.000 francos no custo dos preparativos de pré-lançamento. Realizadas em laboratório após o desastre, essas simulações permitiram verificar que a explosão era inevitável.
- O bug do computador que causou o desligamento dos sistemas de orientação inercial ocorreu durante o processo de calibração da aeronave. Em uso normal, esta calibração mede valores muito baixos quando o foguete está parado e, portanto, não é protegida contra valores altos, como os que podem ser obtidos quando essas medições são feitas durante o vôo. A opção de deixar a aeronave em modo de calibração após a decolagem data do início do programa Ariane, mais de dez anos antes do incidente, foi motivada pelo fato de que nos primeiros foguetes Ariane, em caso de atraso na decolagem , era necessário reiniciar o procedimento de calibração, que durou mais de 45 minutos. Este não é mais o caso com o Ariane 5.
- O desligamento automático do sistema principal de orientação inercial em caso de falha foi uma escolha de projeto feita muito antes do incidente. A possibilidade de danos simultâneos aos dois sistemas de orientação (principal e backup) não foi considerada e, portanto, as consequências não foram previstas antes da decolagem do Ariane 5. das cargas do programa Ariane é ativado os erros aleatórios e momentâneos de os dispositivos. Nesses casos, um dispositivo de backup idêntico geralmente resolverá o problema. O problema decorre do fato de que os dois dispositivos eram estritamente idênticos em design, e o que pode fazer com que um deles falhe tem uma alta probabilidade de fazer com que o segundo também falhe. Portanto, é altamente possível "perder" os dois ao mesmo tempo, o que deixa a pilotagem automática do foguete no mais completo borrão.
- Uma unidade inercial mede grandezas físicas, como aceleração e velocidade angular, que são muito difíceis de reproduzir em laboratório. Os testes laboratoriais consistem em substituir as medidas da unidade inercial por valores falsos, simulados artificialmente. A verificação confiável da unidade inercial + montagem do computador de bordo só pode ser feita durante voos de teste (prática comum na indústria aeronáutica e astronáutica). De acordo com as especificações da unidade inercial, um erro do computador dentro do dispositivo deve causar seu desligamento imediato, o erro deve ser registrado em uma memória permanente do dispositivo ( EEPROM ), e um sinal de falha deve ser transmitido para outros dispositivos. É a escolha do projeto desligar a aeronave no caso de um incidente fatal para o Ariane 5.
- O computador da unidade inercial está equipado com proteções, que evitam que ocorra um erro do computador se a medição for muito alta (travamento por transbordamento ). Para alguns valores, é fisicamente impossível atingir o limite, ou existe uma grande margem de segurança, e por isso decidiu-se não colocar proteção, os projetistas considerando que esses locais de memória nunca poderiam ser saturados por um valor muito grande. No entanto, foi o excesso de um valor desprotegido que causou o incidente. Essas decisões de proteção foram tomadas em conjunto entre diferentes contratantes durante o programa espacial Ariane 4 .
Após investigação, os engenheiros do CNES perceberam que, para economizar dinheiro, o software de navegação do foguete Ariane 5 era o mesmo que havia sido projetado para o Ariane 4 , o que gerava uma incompatibilidade entre o software e o hardware.
Tudo se devia a uma única pequena variável: a alocada à aceleração horizontal. De fato, a aceleração horizontal máxima produzida pelo Ariane 4 deu um valor decimal de aproximadamente 64. O valor de aceleração horizontal do foguete sendo processado em um registrador de memória de 8
bits , isso dá em
base binária 2 8 = 256 valores disponíveis, um número suficiente para codificar o valor 64, que dá no binário 1000000 e requer apenas 7 bits. Mas o Ariane 5 era muito mais poderoso e brutal: sua aceleração poderia chegar ao valor 300, o que dá 100101100 em binário e requer um registrador de 9 bits. Assim, a variável codificada em 8 bits sofreu um
estouro , já que sua localização na memória não era grande o suficiente para aceitar um valor tão grande. Teria que ser codificado em mais um bit, portanto 9 bits, o que permitiria armazenar um valor limite de 2 9 -1 = 511, então suficiente para codificar o valor 300. Esse estouro resultou em um valor absurdo .na variável, não correspondendo à realidade. Por efeito dominó, o software decidiu autodestruir o foguete a partir desses dados errôneos.
[ref. necessário]
Notas e referências
Notas
-
Na aeronáutica, um skid descreve o fenômeno pelo qual uma aeronave voa em uma direção específica, mas cujo eixo longitudinal é desviado do curso seguido. Essa manobra, voluntária ou não, é normalmente controlada ou corrigida pelo controle de guinada .
Referências
-
(em) Ariane 501 Inquiry Board Falha do voo 501 do Ariane 5 , Paris,19 de julho de 1996, 60 p. ( leia online [PDF] ) , Página 5, Parágrafo 3.
-
Melhorando o teste de software: Desenvolvimentos técnicos e organizacionais , Tim A. Majchrzak
-
" Relatório da Comissão de Inquérito Ariane 501 " , em deschamp.free.fr ,23 de julho de 1996(acessado em 10 de maio de 2018 )
Veja também
Artigos relacionados
links externos