Ariane V88 Trägerrakete

 

 

 

 

 

Ariane V88 Rakete – Vorgeschichte

 

Ariane V88 war die Startnummer des Erstflugs der europäischen Schwerlast-Trägerrakete Ariane 5 am 4. Juni 1996. Die Rakete trug die Seriennummer 501. Der Flug endete etwa 40 Sekunden nach dem Start, als die Rakete nach einer Ausnahmesituation in der Software der Steuereinheit plötzlich vom Kurs abkam und sich kurz darauf selbst zerstörte. Vier Cluster-Forschungssatelliten zur Untersuchung des Erdmagnetfelds gingen dabei verloren.

Die Software, die zur Kursabweichung führte, war unverändert und ohne Systemtests von der Vorgängerrakete Ariane 4 übernommen worden, obwohl sie nicht für die geänderte Flugbahn der Ariane 5 geeignet war und nach dem Abheben der Rakete ohnehin keinen Zweck erfüllte. Die Steuereinheit war redundant, jedoch wurde auf beiden Systemen die gleiche fehlerhafte Software betrieben.

Der Fehlschlag der Ariane V88 mit einem Gesamtverlust von etwa 290 Millionen Euro führte zu einer einjährigen Verzögerung des Ariane-5-Programms, weshalb vorläufig auf die Ariane 4 ausgewichen wurde. Ein neuer Satz von Cluster-Satelliten wurde vier Jahre nach dem Unglück mit russischen Sojus-Raketen gestartet.

 

Startvorbereitungen & Flug

 

Nutzlast

 

Die Nutzlast der Ariane V88 bestand aus vier Forschungssatelliten der Cluster-Mission mit einer Gesamtmasse von 4681 kg. Das Cluster-Programm wurde während einer Ausschreibung der ESA für die nächste Reihe wissenschaftlicher Missionen 1982 vorgeschlagen und unter Beteiligung der NASA entwickelt.

Das Ziel der Mission bestand darin, kleine räumliche und zeitliche Veränderungen der Erdmagnetosphäre und des erdnahen Sonnenwind-Plasmas dreidimensional zu untersuchen. Die vier Satelliten sollten von der Rakete in zwei Paaren in einer geostationären Transferbahn ausgesetzt werden und schließlich eine hochelliptische (HEO-) Bahn erreichen.

 

Startverlauf

 

Der Countdown verlief normal bis sieben Minuten vor Startbeginn (H0–7 min), als er wegen nicht erfüllter Sichtbarkeitsbedingungen gestoppt wurde. Nach einer knappen Stunde wurde der Countdown wieder aufgenommen, und der Start fand um 9:34 Ortszeit (12:34 UTC) statt. Bis H0+36 s, als sich die Rakete in einer Höhe von etwa 3700 m befand, verlief der Flug nominal. In den folgenden Sekunden wich die Rakete von ihrem normalen Kurs ab, begann auseinanderzubrechen und sprengte sich selbst.

In den Tagen nach dem Start setzten der ESA-Generaldirektor Jean-Marie Luton und der Präsident der CNES, Alain Bensoussan, eine neunköpfige Untersuchungskommission unter der Leitung von Jacques-Louis Lions, Präsident der französischen Académie des sciences, ein.

Das unabhängige Team sollte die Unglücksursache feststellen, die Angemessenheit der Validierungsmethoden beurteilen, und Korrekturmaßnahmen aufzeigen. Die Kommission begann ihre Arbeit am 13. Juni 1996 und lieferte ihren Bericht am 19. Juli ab. Der veröffentlichten Zusammenfassung des Berichts zufolge kam es ab H0+36 s zu folgender Kette von Ereignissen:

Der Fehler hatte seine Ursache in einem Softwaremodul beider Inertialen Navigationssysteme (INS) der Steuerungseinheit, das für die Lageberechnung der Strapdown-Inertialplattform zuständig war. Bei der Umwandlung einer 64-Bit-Gleitkomma-Variablen in eine vorzeichenbehaftete 16-Bit-Ganzzahl kam es zu einem arithmetischen Überlauf.

Diese Variable, E_BH (bias horizontal, „horizontale Ausrichtung“), gab die Ausrichtungspräzision der Inertialplattform an und hing mit der horizontalen Geschwindigkeit der Rakete zusammen. Die Codezeile, die zum Fehler führte, lautete wie folgt:

P_M_DERIVE(T_ALG.E_BH) := UC_16S_EN_16NS (TDB.T_ENTIER_16S
                                   ((1.0/C_M_LSB_BH) *
                                   G_M_INFO_DERIVE(T_ALG.E_BH)))

Der unbehandelte Operandenfehler (Operand Error) im Ada-Programm führte zum Ausfall (Übergang in den „degraded mode“) des Reserve-INS und kurz danach des Haupt-INS, und damit zum vollständigen Verlust von Lenk- und Lageinformationen. Von diesem Zeitpunkt an lieferten die INS an den Flugcomputer keine eigentlichen Flugdaten mehr, sondern im Wesentlichen nur noch Diagnoseinformationen.

Der Bordcomputer interpretierte die INS-Diagnoseinformationen als normale Flugdaten, und stellte fälschlicherweise eine große Abweichung von der Flugbahn fest. Daraufhin sendete der Computer an die Düsen der beiden Feststoff-Booster und kurz darauf an das Vulcain-Triebwerk der Hauptstufe das Signal zur Schwenkung, um die vermeintliche Abweichung zu korrigieren.

Durch die Schwenkung der Düsen wich die Rakete mit über 30 Grad pro Sekunde von ihrem Kurs ab. Die Rakete war dem großen Angriffswinkel der Luftströmung nicht gewachsen und begann angesichts der hohen aerodynamischen Kräfte auseinanderzubrechen.

Nachdem die Verbindungen zwischen den Feststoffboostern und der Hauptstufe abrissen, leitete die Rakete – wie in diesem Fall vorgesehen – die automatische Selbstzerstörung ein und explodierte. Anschließend aktivierte zusätzlich die Bodenkontrolle den Befehl zur Sprengung, wenngleich die Rakete zu diesem Zeitpunkt bereits zerstört war.

Zum Zeitpunkt der Explosion befand sich die Rakete in 4000 m Höhe, etwa einen Kilometer östlich der Startrampe. Die Trümmer der explodierten Trägerrakete verteilten sich über eine Fläche von 5 km × 2,5 km; die durch die Explosion entstandene Wolke und die Abgase trieben in Richtung des Ozeans, wo sie sich allmählich auflösten. Einige Bruchstücke fielen nahe dem Startplatz ELA-3 herunter, dieser selbst blieb unversehrt. Menschen kamen bei dem Unglück nicht zu Schaden.

Trotz des sumpfigen Geländes konnten einige Systeme geborgen werden. Dazu zählten die beiden INS, die Daten enthielten, welche nicht per Telemetrie empfangen worden waren. Bruchstücke der vier Cluster-Satelliten wurden ebenfalls geborgen, waren aber nicht mehr verwendbar.

 

Fehlerursachen

 

Der Fehler konnte in einer Simulation, in der die Flugsoftware mit den tatsächlichen Flugdaten ausgeführt wurde, reproduziert werden.

Die Kommission fand außerdem abnorme Schwankungen des hydraulischen Druckes beider Aktoren des Vulcain-Triebwerks, die in der Folge untersucht wurden.

Auf den Fehlstart der Ariane V88 hatte diese Anomalie keinen Einfluss. Es wurden laut der öffentlichen Zusammenfassung des Berichts keine weiteren Schwächen oder externen Faktoren gefunden, die für den Fehlstart verantwortlich gewesen sein könnten.

 

Reaktionen & Folgen

 

Korrekturmaßnahmen

 

Die Untersuchungskommission nannte in der Zusammenfassung ihres Berichts mehrere Empfehlungen, um ein ähnliches Unglück künftig zu vermeiden. So sollten während des Flugs nicht benötigte Softwarefunktionen direkt nach dem Start deaktiviert werden und Systeme eine vollständige Closed-Loop-Simulation durchlaufen, idealerweise unter Einbeziehung von Flugbahndaten.

Außerdem sollten die Auswirkungen von Ausnahmen begrenzt und gegebenenfalls auf Ersatzlösungen ausgewichen werden, sodass kein Sensor aufhört, wenigstens Schätzwerte zu liefern. Begründungsakten (Justification Files) sollte gleich viel Aufmerksamkeit zukommen wie Code, und beide sollten stets konsistent gehalten werden.

Die Kommission empfahl außerdem die Einberufung von Experten, um eine Prozedur zur Qualifikation von Software auszuarbeiten. Für jedes Gerät, das Software enthält, sollte ein gesondertes Software-Qualifikationsreview stattfinden, und projektexterne Personen systematisch die Stichhaltigkeit der bei Reviews hervorgebrachten Argumente überprüfen. Schließlich wurde empfohlen, die Zusammenarbeit der Projektbeteiligten transparenter, mit klaren Befugnissen und Verantwortungen, zu organisieren.

Einige der Empfehlungen der Untersuchungskommission wurden im Nachhinein umgesetzt. So etwa führte Aérospatiale eine Komplettüberprüfung der INS- und Flugsoftware durch. Dabei fand unter anderem eine statische Code-Analyse mittels abstrakter Interpretation von insgesamt 90.000 Zeilen Ada-Code statt.

Diese Tests zählten zu den ersten größeren statischen Analysen eines industriellen Computerprogramms und trugen zu einer weiteren Verbreitung statischer Analyseverfahren bei. In der Flugsoftware wurde der ursächliche Fehler korrigiert, indem E_BH als 32-Bit-Ganzzahl deklariert wurde.

 

Ariane V88 – Nachwirkungen

 

Der Gesamtverlust von Rakete und Nutzlast betrug etwa 1,9 Milliarden Francs (290 Millionen Euro). Für die Cluster-Mission zog der Fehlstart von V88 lange Verzögerungen nach sich. Zunächst erwog die ESA, aus Ersatzteilen einen einzigen Satelliten, „Phoenix“ genannt, zu bauen.

Nachdem sich jedoch die Erkenntnis durchsetzte, dass mit nur einem Satelliten die wissenschaftlichen Ziele der Mission nicht erfüllt werden konnten, wurden weitere drei Satelliten neu gebaut. Die Satelliten wurden paarweise im Juli und August 2000 von einer Sojus-Fregat-Rakete vom russischen Weltraumbahnhof Baikonur aus gestartet.

Nach dem Fehlstart bekräftigte Frankreichs delegierter Minister für Postwesen, Telekommunikation und Raumfahrt, François Fillon, sein Vertrauen in das Ariane-Programm.

Vorläufig ließen sich die Verspätungen im Ariane-5-Programm durch die Vorgängerrakete ausgleichen; bereits elf Tage nach Ariane V88 fand ein erfolgreicher Start einer Ariane 4 statt.

Der zweite Qualifizierungsflug einer Ariane-5-Rakete fand im Oktober 1997 statt, wobei nur Satellitenattrappen sowie der Studentensatellit YES transportiert wurden.

Der Flug war nur ein Teilerfolg, da durch vorzeitige Abschaltung der Triebwerke die Nutzlasten in einem zu niedrigen Orbit ausgesetzt wurden. Dieser Fehler konnte im Anschluss an den Flug erklärt und behoben werden. Dennoch litt das Vertrauen der Kunden in den neuen Träger, sodass die Ariane 4 noch bis 2003 gestartet wurde.

Anmerkungen

Autorenliste Wikipedia

Copyright Fotos / Grafiken v.o.n.u.v.l.n.r.: Philippe Semanaz

Lizenzbestimmungen Creative Commons Attribution-ShareAlike 3.0 Unported (abgekürzt)