La sonde Mars Climate Orbiter a brûlé dans l'atmosphère parce que le logiciel au sol mélangeait unités anglaises et unités métriques

Mars Climate Orbiter a été lancée le 11 décembre 1998 et a été perdue peu après son entrée en occultation martienne lors de l'insertion en orbite, le 23 septembre 1999. La commission d'enquête sur l'accident de la NASA a identifié comme cause première un fichier logiciel au sol, SM_FORCES, qui fournissait des données de performance des propulseurs en unités anglaises à des modèles de trajectoire qui supposaient des données métriques, comme l'exigeait la documentation de l'interface.

Parce que le panneau solaire asymétrique de l'engin spatial provoquait des événements de désaturation du moment cinétique 10 à 14 fois plus souvent que prévu, la petite erreur d'unité s'est accumulée pendant les neuf mois de croisière. Lors de l'insertion à Mars, la trajectoire se trouvait environ 170 kilomètres plus bas que prévu, de sorte que l'engin spatial a soit brûlé dans l'atmosphère, soit rebondi vers l'espace héliocentrique.

La commission a souligné que les erreurs arrivent dans les projets ; ce qui a échoué, c'est le système de vérifications. Parmi les causes contributives figuraient une modélisation erronée non détectée des changements de vitesse, une équipe de navigation peu familière, un effectif et une formation insuffisants, une faible vérification du logiciel au sol et une mauvaise communication entre le JPL et Lockheed Martin. Les recommandations de la commission ont été appliquées à Mars Polar Lander, perdue deux mois plus tard pour des raisons distinctes.

Engin spatial perdu à l'arrivée le 23 septembre 1999 ; la fiche d'information de la NASA chiffrait le projet orbiteur plus atterrisseur à 327,6 M$, dont 193,1 M$ pour le développement de l'engin spatial.

SM_FORCES produisait des données de propulseurs en unités anglaises alors que l'interface exigeait des unités métriques.

Les modélisateurs de trajectoire supposaient que les données étaient métriques, de sorte que l'erreur est restée invisible pendant neuf mois.

Les manœuvres fréquentes de désaturation ont multiplié la petite erreur par manœuvre.

Aucune étape de vérification ne comparait les estimations de navigation à une méthode indépendante.

Un effectif et une formation insuffisants ont empêché l'équipe de navigation de remarquer la dérive.

Spécifier les unités dans chaque contrat d'interface et les vérifier automatiquement. Une erreur de livre contre newton a duré neuf mois parce que rien ne vérifiait indépendamment les résultats de navigation — ce sont les vérifications qui ont échoué, pas les personnes.

La NASA a rendu obligatoire la vérification des unités dans tous les logiciels de mission, des audits logiciels sur toutes les données transférées entre le JPL et Lockheed Martin, des vérifications de navigation indépendantes ainsi qu'une meilleure formation et un meilleur effectif. L'accident est devenu l'exemple canonique d'une défaillance due à une incompatibilité d'unités dans l'enseignement de l'ingénierie et un conte d'avertissement pour toute organisation comportant des transferts entre sous-traitants.