事件經過
火星氣候探測者號於1998年12月11日發射,並在1999年9月23日進行軌道插入、進入火星遮蔽區之後的某個時刻失聯。NASA的事故調查委員會將根本原因追溯至一個地面軟體檔案SM_FORCES,該檔案以英制單位提供推進器效能數據,而軌道模型假定這些數據為公制單位,這正是介面文件所要求的。
由於太空船不對稱的太陽能陣列導致角動量去飽和事件的發生頻率比預期高出10至14倍,這個微小的單位誤差在為期九個月的巡航期間不斷累積。在火星軌道插入時,軌道比計畫低了約170公里,因此太空船不是在火星大氣層中燒毀,就是掠過火星重新進入日心軌道。
委員會強調,專案中發生錯誤在所難免;真正失靈的是檢查體系。促成原因包括:速度變化建模錯誤未被察覺、導航團隊不熟悉任務、人員配置與訓練不足、地面軟體驗證薄弱,以及JPL與洛克希德·馬丁之間溝通不良。委員會的建議被應用於火星極地登陸者號,該探測器兩個月後因其他原因失聯。
代價
太空船於1999年9月23日抵達時失聯;NASA的情況說明書將軌道器加登陸器的專案總額列為3.276億美元,其中太空船開發費用為1.931億美元。
原因
SM_FORCES以英制單位輸出推進器數據,而介面要求公制單位。
軌道建模人員假定數據為公制單位,因此這個誤差在九個月內始終未被發現。
頻繁的去飽和機動使每次機動的微小誤差不斷放大。
沒有任何驗證步驟將導航估算值與獨立方法進行比對。
人員配置與訓練不足,使導航團隊無法察覺偏差。
教訓
在每一份介面合約中明確規定單位,並以機器檢查。一個磅對牛頓的誤差持續了九個月,因為沒有任何環節獨立檢查導航輸出——失靈的是檢查機制,而非人員。
後續
NASA強制要求對任務軟體進行單位驗證、對JPL與洛克希德·馬丁之間傳輸的所有數據進行軟體稽核、實施獨立導航檢查,並改善訓練與人員配置。這起事故成為工程教育中單位不匹配失誤的典型案例,也成為任何有承包商交接環節的組織的警示故事。
追溯依據
參考來源
- Mars Climate Orbiter Mishap Investigation Board Phase I Report NASA · llis.nasa.gov ·
- Mars Climate Orbiter: In Depth NASA Science · solarsystem.nasa.gov
- Mars Climate Orbiter Fact Sheet NASA/Jet Propulsion Laboratory · iki.rssi.ru