Mars Climate Orbiter verglühte, weil die Bodensoftware englische und metrische Einheiten vermischte

Mars Climate Orbiter startete am 11. Dezember 1998 und ging irgendwann nach dem Eintritt in die Mars-Okkultation während der Orbit-Einführung am 23. September 1999 verloren. Das Mishap Investigation Board der NASA führte die Ursache auf eine Bodensoftware-Datei namens SM_FORCES zurück, die Triebwerksleistungsdaten in englischen Einheiten an Bahnmodelle lieferte, die metrische Daten annahmen, wie es die Schnittstellendokumentation vorschrieb.

Da das asymmetrische Solararray des Raumschiffs Ereignisse zur Desaturation des Drehimpulses 10- bis 14-mal häufiger als erwartet verursachte, summierte sich der kleine Einheitenfehler über die neunmonatige Reise auf. Bei der Mars-Einführung lag die Bahn etwa 170 Kilometer tiefer als geplant, sodass das Raumschiff entweder in der Atmosphäre verglühte oder zurück in den heliozentrischen Raum sprang.

Das Board betonte, dass Fehler bei Projekten passieren; was versagte, war das System der Prüfungen. Zu den beitragenden Ursachen gehörten unentdeckte Fehlmodellierung von Geschwindigkeitsänderungen, ein unerfahrenes Navigationsteam, unzureichende Personalausstattung und Schulung, schwache Verifikation der Bodensoftware und schlechte Kommunikation zwischen JPL und Lockheed Martin. Die Empfehlungen des Boards wurden auf den Mars Polar Lander angewendet, der zwei Monate später aus anderen Gründen verloren ging.

Raumschiff bei der Ankunft am 23. September 1999 verloren; das Fact Sheet der NASA bezifferte das Projekt aus Orbiter und Lander auf 327,6 Mio. US-Dollar, davon 193,1 Mio. US-Dollar für die Entwicklung des Raumschiffs.

SM_FORCES gab Triebwerksdaten in englischen Einheiten aus, während die Schnittstelle metrische verlangte.

Die Bahnmodellierer nahmen an, die Daten seien metrisch, sodass der Fehler neun Monate lang unsichtbar blieb.

Häufige Desaturationsmanöver vervielfachten den kleinen Fehler pro Manöver.

Kein Verifikationsschritt verglich die Navigationsschätzungen mit einer unabhängigen Methode.

Unzureichende Personalausstattung und Schulung ließen das Navigationsteam die Drift nicht bemerken.

Einheiten in jedem Schnittstellenvertrag festlegen und maschinell prüfen. Ein Pfund-gegen-Newton-Fehler lief neun Monate, weil nichts die Navigationsausgabe unabhängig prüfte – die Prüfungen versagten, nicht die Menschen.

Die NASA schrieb die Einheitenverifikation für Missionssoftware vor, Software-Audits bei allen zwischen JPL und Lockheed Martin übertragenen Daten, unabhängige Navigationsprüfungen sowie bessere Schulung und Personalausstattung. Der Vorfall wurde zum kanonischen Beispiel für Einheitenfehler in der Ingenieurausbildung und zur warnenden Geschichte für jede Organisation mit Auftragnehmer-Übergaben.