Чудовищная оплошность ценою в миллионы: роковая разница в расчетах погубила дорогостоящую миссию NASA

Космический аппарат весом 638 кг, плод труда лучших инженеров Lockheed Martin и сотен миллионов долларов бюджета, погиб не из-за вспышки на Солнце или отказа электроники. Его уничтожила ошибка уровня начальной школы. В 1999 году Mars Climate Orbiter сгорел в атмосфере Красной планеты, потому что две группы специалистов говорили на разных языках, буквально.

В ходе расследования выяснилось: навигационная программа на Земле рассчитывала импульсы двигателей в фунтах силы (британская имперская система), а бортовой компьютер зонда ожидал данные в ньютонах (метрическая система СИ). Один фунт силы равен примерно 4,45 ньютона. Из-за этой разницы аппарат подошел к Марсу по траектории, которая была значительно ниже расчетной.

Хроника навигационного хаоса

Зонд запустили в декабре 1998 года. Цель была амбициозной: изучать марсианский климат и работать ретранслятором для модуля Mars Polar Lander. Девять месяцев полета все казалось штатным, но при попытке выхода на орбиту 23 сентября 1999 года связь прервалась на 49 секунд раньше срока. Тишина в эфире означала катастрофу.

Почему никто не заметил подвоха за 286 дней полета? Навигаторы JPL (Лаборатории реактивного движения) видели странности в данных, но списали их на мелкие погрешности. Проблема была организационной: инженеры Lockheed Martin передавали файлы с данными о работе маневровых двигателей в фунт-секундах, а софт JPL читал их как ньютон-секунды. Разница в четыре с лишним раза накопилась и «втолкнула» зонд в плотные слои атмосферы, где он мгновенно перегрелся и развалился.

По оценке физика Дмитрия Лапшина, инцидент с Mars Climate Orbiter — классический пример пренебрежения размерностями величин. В физике число без единицы измерения не имеет смысла, и автоматизация расчетов без жесткого протокола верификации превращает любую ошибку в фатальную.

Уроки стоимости 327 миллионов долларов

Эта неудача перестроила всю систему управления полетами в NASA. Вместо слепого доверия к софту ввели независимый аудит и сквозную проверку всех единиц измерения. Провал Mars Climate Orbiter показал, что самые сложные системы уязвимы перед человеческим фактором и отсутствием внятной коммуникации между ведомствами.

Как отмечает историк науки Сергей Белов, эта авария завершила эпоху «быстрее, лучше, дешевле», заставив космические агентства вернуться к более консервативным, но надежным методам тестирования программного обеспечения.

Ответы на популярные вопросы о Mars Climate Orbiter

Могли ли спасти зонд в последний момент?

Нет, данные о критическом отклонении были получены слишком поздно. Маневр вывода на орбиту автоматизирован, и при входе в атмосферу на высоте 57 км конструкция аппарата не была рассчитана на возникшие аэродинамические нагрузки.

Использует ли NASA сейчас имперскую систему мер?

После 1999 года был принят строгий стандарт перехода на метрическую систему (СИ) во всех внутренних и внешних расчетах, чтобы исключить возможность повторения подобных ошибок.

По мнению инженера по промышленной безопасности Виталия Корнеева, основная причина трагедии кроется в системном сбое регламентов: отсутствие «защиты от дурака» в интерфейсах взаимодействия разных команд привело к тому, что критическое несоответствие игнорировалось месяцами.

Ежедневно — 24 истории о научных открытиях
Все они в наших соцсетях, подпишись

Автор Егор Щукин