La Mars Climate Orbiter se lanzó el 11 de diciembre de 1998 y se perdió en algún momento después de entrar en ocultación por Marte durante la inserción orbital el 23 de septiembre de 1999. La Junta de Investigación de Siniestros de la NASA atribuyó la causa raíz a un archivo de software de tierra, SM_FORCES, que entregaba datos de rendimiento de los propulsores en unidades inglesas a modelos de trayectoria que suponían datos métricos, como exigía la documentación de la interfaz.
Debido a que el conjunto solar asimétrico de la nave provocaba eventos de desaturación del momento angular con una frecuencia de 10 a 14 veces mayor de lo esperado, el pequeño error de unidades se acumuló durante los nueve meses de crucero. En la inserción en Marte, la trayectoria era unos 170 kilómetros más baja de lo previsto, por lo que la nave o se quemó en la atmósfera o rebotó de vuelta al espacio heliocéntrico.
La junta subrayó que en los proyectos se cometen errores; lo que falló fue el sistema de comprobaciones. Entre las causas contribuyentes figuraron un modelado erróneo no detectado de los cambios de velocidad, un equipo de navegación poco familiarizado, dotación y capacitación insuficientes, una verificación débil del software de tierra y una comunicación deficiente entre el JPL y Lockheed Martin. Las recomendaciones de la junta se aplicaron al Mars Polar Lander, que se perdió dos meses después por razones distintas.
La nave se perdió a su llegada el 23 de septiembre de 1999; la hoja informativa de la NASA cifró el proyecto del orbitador más el aterrizador en 327,6 millones de dólares, de los cuales 193,1 millones correspondían al desarrollo de la nave.
SM_FORCES producía datos de los propulsores en unidades inglesas mientras que la interfaz exigía el sistema métrico.
Los modeladores de trayectoria supusieron que los datos eran métricos, por lo que el error fue invisible durante nueve meses.
Las frecuentes maniobras de desaturación multiplicaron el pequeño error de cada maniobra.
Ningún paso de verificación comparó las estimaciones de navegación con un método independiente.
La dotación y la capacitación insuficientes impidieron que el equipo de navegación advirtiera la desviación.
Especificar las unidades en cada contrato de interfaz y comprobarlas automáticamente. Un error de libra frente a newton se prolongó nueve meses porque nada verificaba de forma independiente la salida de navegación: fallaron las comprobaciones, no las personas.
La NASA exigió la verificación de unidades en todo el software de las misiones, auditorías de software en todos los datos transferidos entre el JPL y Lockheed Martin, comprobaciones de navegación independientes y mejor capacitación y dotación de personal. El siniestro se convirtió en el ejemplo canónico de fallo por discrepancia de unidades en la enseñanza de la ingeniería y en una advertencia para cualquier organización con traspasos a contratistas.
CONSULTA LAS PRUEBAS
Las fuentes
- Mars Climate Orbiter Mishap Investigation Board Phase I Report NASA · llis.nasa.gov ·
- Mars Climate Orbiter: In Depth NASA Science · solarsystem.nasa.gov
- Mars Climate Orbiter Fact Sheet NASA/Jet Propulsion Laboratory · iki.rssi.ru