A Mars Climate Orbiter queimou na atmosfera porque o software de solo misturou unidades inglesas e métricas

A Mars Climate Orbiter foi lançada em 11 de dezembro de 1998 e foi perdida em algum momento após entrar em oclusão por Marte durante a inserção em órbita, em 23 de setembro de 1999. O Conselho de Investigação de Acidentes da NASA identificou como causa raiz um arquivo de software de solo, SM_FORCES, que fornecia dados de desempenho dos propulsores em unidades inglesas a modelos de trajetória que pressupunham dados métricos, como exigia a documentação da interface.

Como o painel solar assimétrico da espaçonave causava eventos de dessaturação do momento angular de 10 a 14 vezes mais frequentemente do que o esperado, o pequeno erro de unidade acumulou-se ao longo dos nove meses de cruzeiro. Na inserção em Marte, a trajetória estava cerca de 170 quilômetros mais baixa do que o planejado, de modo que a espaçonave ou queimou na atmosfera ou passou de volta ao espaço heliocêntrico.

O conselho enfatizou que erros acontecem em projetos; o que falhou foi o sistema de verificações. Entre as causas contribuintes estavam a modelagem incorreta não detectada das variações de velocidade, uma equipe de navegação pouco familiarizada, pessoal e treinamento inadequados, verificação fraca do software de solo e comunicação deficiente entre o JPL e a Lockheed Martin. As recomendações do conselho foram aplicadas à Mars Polar Lander, que foi perdida dois meses depois por motivos distintos.

Espaçonave perdida na chegada em 23 de setembro de 1999; a ficha informativa da NASA estimou o projeto do orbitador mais o módulo de pouso em US$ 327,6 milhões, sendo US$ 193,1 milhões para o desenvolvimento da espaçonave.

O SM_FORCES produzia dados dos propulsores em unidades inglesas, enquanto a interface exigia o sistema métrico.

Os modeladores de trajetória pressupunham que os dados eram métricos, de modo que o erro ficou invisível por nove meses.

Manobras frequentes de dessaturação multiplicaram o pequeno erro por manobra.

Nenhuma etapa de verificação comparou as estimativas de navegação com um método independente.

Pessoal e treinamento inadequados deixaram a equipe de navegação incapaz de perceber o desvio.

Especifique unidades em todo contrato de interface e faça verificação automatizada. Um erro de libra versus newton persistiu por nove meses porque nada verificou a saída de navegação de forma independente — as verificações falharam, não as pessoas.

A NASA passou a exigir verificação de unidades em todo o software de missão, auditorias de software em todos os dados transferidos entre o JPL e a Lockheed Martin, verificações independentes de navegação e melhor treinamento e dimensionamento de pessoal. O acidente tornou-se o exemplo canônico de falha por incompatibilidade de unidades no ensino de engenharia e um alerta para qualquer organização com transferências entre contratantes.