Zborul 501 Ariane 5
Zborul 501 este primul zbor al lansatorului europene Ariane 5 , care a avut loc pe4 iunie 1996. S-a încheiat cu un eșec, cauzat de o defecțiune a computerului (numită și bug ), care a văzut racheta spulberând și explodând în zbor la doar 36,7 secunde după decolare.
Explicație simplificată
Racheta a explodat la o altitudine de 4.000 de metri deasupra centrului spațial din Kourou , Guyana . Nu au existat victime, resturile căzând relativ aproape de platforma de lansare și zborul fiind fără pilot.
Incidentul, din cauza unei depășiri întregi în registrele de memorie ale computerelor electronice utilizate de pilotul automat , a provocat eșecul sistemului de navigație al rachetei, provocând distrugerea acesteia, precum și a sarcinii utile. Această sarcină utilă consta din patru sateliți ai misiunii Cluster , cu o valoare totală de 370 de milioane de dolari .
Analiza incidentelor
Cronologia evenimentelor
Lansarea are loc pe 4 iunie 1996timp de 9 h 33 min 59 s GMT-3 (ora locală), cu 58 de minute în urma programului planificat, din cauza vremii nefavorabile. Aceasta este prima lansare a rachetei Ariane 5 .
- La 9 h 33 , motoarele rachetelor sunt declanșate, iar cele două sisteme de ghidare inerțială (principală și de rezervă) încep să măsoare rotația și accelerația rachetei.
- După 37 de secunde de zbor, accelerațiile puternice produse de evoluția rachetei provoacă o depășire întreagă în computerul principalului sistem de ghidare inerțială, care intră imediat în funcțiune. Sistemul de ghidare de urgență, identic cu sistemul principal, a suferit aceleași avarii și s-a oprit în aceeași secundă. Pilotul automat , care se bazează tocmai pe informațiile provenite din aceste sisteme de orientare inerțiale, atunci nu mai are nici un mijloc de control al rachetei. Eșecul misiunii este inevitabil.
- 3 secunde mai târziu, pilotul automat pornește. În urma unei interpretări greșite a semnalului de defecțiune de la cele două sisteme de ghidare inerțiale aflate în afara funcționării, pilotul automat a ordonat din greșeală o corecție violentă a traiectoriei. Duzele celor două acceleratoare de pulbere (EAP) și ale motorului de scenă centrală sunt rotite până la capăt, iar racheta pornește violent într-o viraj strâns.
- Racheta se abate brusc de la traiectoria sa, prezentând derapaje semnificative, iar acceleratoarele laterale ( boostere ) sunt smulse de curentul relativ puternic de aer descentrat care apare atunci. Acest eveniment declanșează instantaneu mecanismul preventiv de autodistrugere a rachetei. Controlerul de zbor de la sol, după ce a pierdut orice contact cu racheta, controlează și distrugerea, dar racheta a explodat deja.
- Resturile din rachetă, care se află la o altitudine de aproximativ 4.000 m , sunt proiectate în depărtare și sunt împrăștiate pe o zonă de aproximativ 12 km 2 în apropierea centrului spațial al Kourou, în Guyana Franceză .
Într-adevăr, racheta Ariane 4 a servit ca model de programare pentru fabricarea Ariane 5. A fost utilizată o copie și o pastă pentru a duplica datele volumetrice (care meritase succesul lor conform perspectivei lor științifice), totuși Ariane 5 era mult mai mare și mai greu.
Presiunea rachetei a respectat codurile de bază ale sistemului de programare, provocând o defecțiune a computerului din cauza valorilor volumetrice neloiale duplicate. O producție de presimetru care nu este potrivită pentru decolare, provocând fatal explozia. O eroare care a costat mulți bani, în termeni de resurse umane și muncă.
Unități inerțiale
Un sistem de ghidare inerțială , uneori denumit și „platformă inerțială” , este un set format dintr-un computer intern , accelerometre și giroscopuri , care permit măsurarea mișcărilor efectuate de un vehicul în raport cu un punct de referință fix în vehiculul, spațiul, tridimensional. Calculatorul determină poziția, viteza și înclinarea vehiculului, pe baza măsurătorilor de accelerație și rotație unghiulară obținute de senzorii accelerometrelor și ale giroscopului. Este echipament standard pentru nave, avioane, rachete și vehicule spațiale.
Sistemul de ghidare inerțială care se afla în racheta Ariane 5 era același cu cel care se potrivea modelelor anterioare ale rachetei Ariane . Cu toate acestea, planul de zbor urmat de Ariane 5 în timpul lansării sale este foarte diferit de cel al Ariane 4 : traiectoria sa este diferită, iar accelerațiile provocate instrumentelor de rachetă sunt de cinci ori mai puternice decât cele produse de predecesorul său. Valorile excesiv de mari măsurate de accelerometre au provocat o revărsare , în timpul calculului poziției geografice a rachetei de către dispozitivul computerului sistemului de ghidare, care a provocat prăbușirea acesteia .
Ca și în cazul Ariane 4, sistemul de ghidare inerțială Ariane 5 este menținut în modul de aliniere ( calibrare ) în primele patruzeci de secunde de zbor, urmat apoi de aprinderea pilotului automat . În această perioadă de patruzeci și două a avut loc incidentul. Pe Ariane 5, în mod normal nu mai era necesar să se mențină modul de calibrare la începutul zborului, dar a fost totuși menținut pentru comoditate.
Computer de bord
Când computerul de bord al rachetei detectează o defecțiune a platformei principale de ghidare inerțială, acesta trece automat la cea de rezervă. În cazul Ariane 5 Zborul 501, din păcate, nu a detectat faptul că platforma de rezervă era și ea în jos pentru aceleași cauze ca cea principală și a continuat să interpreteze semnalele pe care le-a produs. Aceste semnale de eroare au indus în eroare computerul de bord, care le-a interpretat și a ordonat o corectare bruscă a traiectoriei rachetei, care apoi s-a deviat complet de la planul de zbor planificat. Computerul de bord credea că a corectat un curs în urma unei abateri care nu a avut loc niciodată. Cauza pare a fi legată de o eroare a computerului în programarea unei bucăți de cod - nu a fost corectată - și totuși utilizată în diferite ocazii pe ecranele acestor dezvoltatori.
Această întoarcere strânsă impusă rachetei a determinat-o apoi să depășească un unghi de alunecare laterală de 20 ° , ceea ce a provocat ruperea unuia dintre cei doi acceleratori auxiliari. Această pierdere a unuia dintre cele două boostere activează instantaneu un comutator care declanșează autodistrugerea rachetei, o măsură de siguranță menită să evite crearea de victime pe sol, dacă racheta cade „dintr-o singură bucată” .
Investigație
Zborul a fost urmat pe scară largă, de cameră, radar și telemetrie , iar defecțiunea sistemului de ghidare inerțială a fost identificată rapid de către echipa de anchetă ca fiind cauza incidentului.
Informațiile de telemetrie au fost trimise spre analiză Centrului Național pentru Studii Spațiale din Toulouse , Franța , în timp ce o echipă la fața locului lucra la recuperarea resturilor de la rachetă. Prioritatea a fost acordată resturilor care prezentau un pericol de incendiu, cum ar fi rezervele de combustibil ne- arse . Recuperarea resturilor a fost deosebit de dificilă, deoarece această regiune este compusă în principal din mangrove și savane înundate de apă, după sezonul ploios care tocmai se încheiase. Părți grele, cum ar fi duze - cu o greutate de câteva tone - au fost găsite sub câțiva metri de apă, adânc înglobate în noroi și nu au fost niciodată îndepărtate.
Recuperarea celor două sisteme de ghidare inerțiale din resturile rachetei și analiza informațiilor încă prezente în memoria aeronavei au făcut posibilă urmărirea cu precizie a ultimelor secunde ale zborului. Ancheta s-a concentrat pe specificațiile sistemului de navigație și pe testele de laborator necesare pentru a obține autorizația de zbor . Simulările de zbor ulterioare, folosind sisteme de ghidare inerțiale și computerul de bord în condițiile realiste de zbor ale Ariane 5, au reprodus evenimentele care au dus la explozia rachetei. Rezultatele au corespuns informațiilor găsite în amintirile aeronavei care au fost folosite în timpul zborului.
Gilles Kahn a intervenit în calitate de membru al comisiei de anchetă asupra zborului 501 (1996) Ariane 5, în calitate de coautor alături de Didier Lombard , făcând posibilă explicitarea bug-ului de bază al computerului.
Concluzii
În raportul comisiei de anchetă au fost ridicate următoarele puncte:
- Simulările de laborator au loc în mod normal înainte de decolare. Succesul acestor simulări este o condiție necesară pentru obținerea certificatului de zbor. Sistemul de navigație, folosit de mult timp pe Ariane 4 , era considerat a fi fiabil și Centrul Național de Studii Spațiale a cerut pur și simplu să nu efectueze simulări de zbor pentru aceste dispozitive, ceea ce ar trebui să-i economisească 800.000 de franci din costul pre-lansării. preparate. Realizate în laborator după dezastru, aceste simulări au permis verificarea faptului că explozia era inevitabilă.
- Bug - ul de calculator care a cauzat inerțiale sistemele de orientare pentru a închide avut loc în timpul aeronavei procesului de calibrare . În condiții normale de utilizare, această calibrare măsoară valori foarte scăzute atunci când racheta este staționară și, prin urmare, nu este protejată împotriva valorilor ridicate, cum se poate obține atunci când aceste măsurători sunt luate în timpul zborului. Alegerea de a lăsa avionul în modul de calibrare după decolare datează de la începutul programului Ariane, cu mai mult de zece ani înainte de incident, fiind motivată de faptul că la primele rachete Ariane, în cazul unei decolări întârziate , a fost necesar să reporniți procedura de calibrare, care a durat mai mult de 45 de minute. Acesta nu mai este cazul cu Ariane 5.
- Oprirea automată a principalului sistem de ghidare inerțială în cazul unei defecțiuni a fost o alegere de proiectare făcută cu mult înainte de incident. Posibilitatea deteriorării simultane a celor două sisteme de ghidare (principal și de rezervă) nu fusese luată în considerare și, prin urmare, consecințele nu fuseseră anticipate înainte de decolarea Ariane 5. din sarcinile programului Ariane este activată erorile aleatorii și momentane ale dispozitivele. În aceste cazuri, un dispozitiv identic de rezervă va face de obicei trucul. Problema provine din faptul că cele două dispozitive erau strict identice ca design și ceea ce poate provoca eșecul unuia dintre ele are o mare probabilitate de a provoca și eșecul celui de-al doilea. Prin urmare, este foarte posibil să „pierdem” ambele în același timp, ceea ce lasă pilotarea automată a rachetei în cea mai completă neclaritate.
- O unitate inerțială măsoară cantități fizice, cum ar fi accelerația și viteza unghiulară, care sunt foarte greu de reprodus în laborator. Testele de laborator constau în înlocuirea măsurătorilor unității inerțiale cu valori false, simulate artificial. Verificarea fiabilă a unității inerțiale + asamblarea computerului de bord se poate face numai în timpul zborurilor de testare (o practică obișnuită în industria aeronautică și astronautică). Conform specificațiilor unității inerțiale, o eroare de computer din interiorul dispozitivului trebuie să provoace oprirea imediată a acestuia, eroarea trebuie introdusă într-o memorie permanentă a dispozitivului ( EEPROM ) și un semnal de eroare trebuie transmis către alte dispozitive. Este alegerea de proiectare pentru a opri aeronava în cazul unui incident fatal pentru Ariane 5.
- Calculatorul unității inerțiale este echipat cu protecții, care împiedică apariția unei erori a computerului dacă măsurarea este prea mare (blocare din cauza revărsării ). Pentru unele valori, este imposibil din punct de vedere fizic să se atingă limita, sau există o marjă mare de siguranță și, prin urmare, s-a decis să nu punem protecție, proiectanții considerând că aceste locații de memorie nu ar putea fi niciodată saturate cu o valoare prea mare. Cu toate acestea, a fost incidentul depășirea unei valori neprotejate. Aceste decizii de protecție au fost luate în comun între diferiți contractori în timpul programului spațial Ariane 4 .
După investigații, inginerii CNES au realizat că, pentru a economisi bani, software-ul de navigație pentru racheta Ariane 5 era cel care fusese conceput pentru Ariane 4 , ceea ce a dus la o incompatibilitate între software și hardware.
Totul se datora unei singure variabile mici: aceea alocată accelerării orizontale. Într-adevăr, accelerația orizontală maximă produsă de Ariane 4 a dat o valoare zecimală de aproximativ 64. Valoarea accelerației orizontale a rachetei procesate într-un registru de memorie de 8
biți , aceasta oferă în
baza binară 2 8 = 256 de valori disponibile, un număr suficient pentru a codifica valoarea 64, care dă în binar 1000000 și necesită doar 7 biți. Dar Ariane 5 a fost mult mai puternic și mai brutal: accelerația sa ar putea ajunge la valoarea 300, care dă 100101100 în binar și necesită un registru de 9 biți. Astfel, variabila codificată pe 8 biți a experimentat o
revărsare , deoarece locația memoriei sale nu a fost suficient de mare pentru a accepta o valoare atât de mare. Ar fi trebuit să fie codificat pe încă un bit, deci 9 biți, ceea ce ar fi făcut posibilă stocarea unei valori limită de 2 9 -1 = 511, apoi suficientă pentru a codifica valoarea 300. Această revărsare a dus la o valoare absurdă .în variabilă, care nu corespunde realității. Prin efect domino, software-ul a decis să autodistrugă racheta din aceste date eronate.
[ref. necesar]
Note și referințe
Note
-
În aeronautică, un derapaj descrie fenomenul prin care o aeronavă zboară într-o direcție specifică, dar a cărei axă longitudinală este decalată de la cursul urmat. Această manevră, indiferent dacă este voluntară sau nu, este în mod normal controlată sau corectată de controlul de gălăgie .
Referințe
-
(în) Ariane 501 Anquiry Board Ariane 5 Flight 501 Failure , Paris,19 iulie 1996, 60 p. ( citiți online [PDF] ) , pagina 5, paragraful 3.
-
Îmbunătățirea testării software: dezvoltări tehnice și organizaționale , Tim A. Majchrzak
-
„ Raportul Comisiei de anchetă Ariane 501 ” , pe deschamp.free.fr ,23 iulie 1996(accesat pe 10 mai 2018 )
Vezi și tu
Articole similare
linkuri externe