Technische Universität

Transkript

1 Technische Universität München Fakultät für Informatik Forschungs- und Lehreinheit Informatik V Analyse von Softwarefehlern: Mars Climate Orbiter, Mars Polar Lander und andere Raumfahrt-Bugs Hauptseminar Christian Aust, Achille Chimi, Jörg König Termin: 20. November 2002

2 1 Inhaltsverzeichnis 1 Einführung 3 2 Mars Climate Orbiter (MCO) und Polar Lander (MPL) Das Mars Surveyor 98 Programm Mars Cimate Oribiter Mission der Sonde Versagen des Mars Climate Orbiter Mars Polar Lander Die Mission Kontaktverlust zu MPL Die Untersuchung Das Debakel Eine kleine Analyse Kurz zusammengefaßt Andere Software Bugs in der Raumfahrt Pioneer Mariner Voyager Phobos Clementine NEAR CONTOUR

3 INHALTSVERZEICHNIS 2 Literaturverzeichnis 23

4 3 Kapitel 1 Einführung Computer in der Raumfahrt operieren in den verschiedensten Ausführungsumgebungen. An Bord von Raumfahrzeugen bei erdfernen Missionen kommen zumeißt Systeme zum Einsatz die im Realtime-Mode operieren. Diese Systeme verarbeiten asynkrone Inputs und Outputs. Die Anforderungen an ein Echtzeit-System bei einem Raumfahrzeug findet man gewöhnlich nicht in sogenannten Earth-based Systems. Eine der größten Anforderungen ist die Zuverlässigkeit. Diese bezieht sich nicht nur auf die verwendete Hardware, sondern auch auf die verwendete Software. Diese besonders hohe Zuverlässigkeit wird zum einen erreicht, das diese Systeme redundant ausgelegt sind. Spätestens nach dem Ariane 5 Debakel beudetet Redundanz nicht nur einfach mehrfach. Falls das Primärsystem ausfallen sollte, springt das Ersatzsystem ein. Dieses Ersatzsystem muß eindeutig die gleiche Funktion erfüllen, aber eine komplett andere Lösung (im Hinblick auf die Realisierung) sein. Computer in unbemannten Raumfahrzeugen unterscheiden sich von denen in bemannten Raumfahrzeugen darin, das sie so geschaffen sind, das sie länger und resourcenschonender arbeiten können. Eine typische bemannte Mission dauert in der Regel ca. eine Woche, oder weniger (eine Ausnahme bildet Skylab oder die ISS). Unbemannte Missionen im Erdorbit oder zu entfernten Planeten benötigen große Reserven an Energie. Diese Energie wird zum einen aus dem mitgenommenen Treibstoff gewonnen und zum anderen auch aus sogenannten Solarpanels. All dies ist bei der Auslegung der Computersysteme zu berücksichtigen.

5 4 Kapitel 2 Mars Climate Orbiter (MCO) und Polar Lander (MPL) 2.1 Das Mars Surveyor 98 Programm Der Mars Polar Lander (MPL) und der am 23. September 1999 beim Eintritt in die Marsumlaufbahn verloren gegangenen Mars Climate Orbiter (MCO) bildeten das Mars Surveyor 98 Programm. MPL war im Rahmen dieses Programmes die zweite Mission der Raumfahrtbehörde NASA zum roten Planeten. Die Mission hatte die Erforschung des roten Planeten in biologischer, klimatologischer und planetologischer Hinsicht über den Zeitraum von einem Jahrzehnt hinweg, zum Ziel. Es sollten bei jeder Startgelegenheit (etwa alle 26 Monate) Raumsonden auf den Weg zu unserem äußeren Nachbarplaneten geschickt werden. Damit sollten die Grundlagen für zukünftige wissenschaftliche Langzeitmissionen und mögliche bemannte Marsmissionen geschaffen werden. Ergänzt wurde dies durch Missionen im Rahmen des Discovery Programmes, wie z.b. Mars Pathfinder, und des New Millennium Programmes, wie z.b. Deep Space 2. Lockheed Martin Astronautics (LMA) war der primäre Zulieferer. Das Jet Propulsion Laboratory (JPL) und das California Institute of Technology übernahmen das Management im Auftrag der Abteilung Weltraumwissenschaften der NASA. Der MPL wurde unter höchstem finanziellem Druck entwickelt. Die Gesamtentwicklungskosten von MPL und MCO waren so groß wie für den Mars Pathfinder allein (Start des Pathfinders inklusive). Das MPL-Project nahm die Herausforderung an, das Project mit neuen Entwicklungsmethoden umzusetzen.

6 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) Mars Cimate Oribiter Bearbeiter: Achille Chimi Mission der Sonde Der Mars Climate Orbiter (im folgenden MCO genannt) startete im Rahmen des Mars Surveyor Programmes (MSP) der NASA am 11. Dezember Seine Primäraufgabe bestand in der für 5 Jahre ausgelegten Mission darin, die Oberfläche des Planeten Mars auf eine vergangene bzw. heutige Existenz von Wasser zu untersuchen. Desweitern sollte der für den Mars Polar Lander (MPL) als Telekommunikationsvermittler zur Erde dienen. Mars Climate Orbiter Die Raumsonde hatte bereits am 7. September 1999 aus 4,5 Millionen km Entfernung den Mars fotografiert. Am 15. September wurde der Kurs zum letzten Mal durch Zünden der Triebwerke korrigiert. Am 23. September 1999 gegen 11 Uhr MEZ arbeitete das Haupttriebwerk für ca. 16 Minuten um die Geschwindigkeit der Sonde von 5,5 km/s auf 4,4 km/s herabzusetzen. Das Raumfahrzeug gelangte dadurch in eine stark elliptische Umlaufbahn um den roten Planeten. Durch wiederholtes Eintauchen in die obere Marsatmosphäre (Aerobraking) wurde diese Bahn allmählich immer enger und kreisförmiger. Ende November war dann die gewünschte polare Umlaufbahn in etwa 405 km Höhe erreicht.

7 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 6 Darstellung des sogenannten Aerobraking Ab März 2000 begann der MCO mit seinem Forschungsprogramm. Ausgerüstet war er mit zwei Forschungsinstrumenten, dem Kamerasystem MARCI (Mars Color Imager) und dem Radiometer PMIRR (Pressure Modulator InfraRed Radiometer). Die Raumsonde sollte Temperatur-, Staub- und Wasserdampfprofile der Marsatmosphäre und von der Oberfläche bis in eine Höhe von 80 km erstellen.

8 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 7 Schematische Darstellung des MCO Die Daten von PMIRR sind für das Studium der Strahlungsbilanz der Marsatmosphäre sehr wichtig; sie sollten helfen, die Prozesse zu verstehen, die das Wetter und das Klima des Mars beeinflussen. PMIRR war ein Gemeinschaftsprojekt amerikanischer, russischer

9 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 8 und britischer Forscher. Die verantwortlichen Wissenschaftler waren Dr. Daniel McCleese (USA) und Prof. Vasily Moroz (Rußland). Die wichtigste Mission der Sonde war also, eine systematische Beobachtung der Atmosphäre und der Oberfläsche des Planeten, um der jahreszeitlich meteorologischen Veränderung von März 2000 bis Januar 2002 zu folgen. Die Sonde ist 2m lang; 1,6m breit und 2,1m hoch, wiegte 629 kg bei dem Abschuss, 291 Kg waren Kraftstoff Versagen des Mars Climate Orbiter Menschliche Versagen Die letzten empfangenen Daten hatten gezeigt, dass sich die Raumsonde bis auf 57 Kilometer der Marsoberfläche genähert hatte, als der Antrieb zu arbeiten begann, um in die Kreisbahn einzutreten. Die Wissenschaftler gingen aber von einer Umlaufbahn in mindestens 85 bis 100 km Höhe aus, um einen Absturz der Sonde zu vermeiden. Vorgesehen war eine tatsächliche Flughöhe von 140 Kilometern. Die NASA geht davon aus, dass der 125 Millionen Dollar teure Mars Climate Orbiter abgestürzt ist, und stellte die Suche nach Radiosignalen von der Raumsonde mittels Deep Space Network nach einigen Wochen ein. Das für die Mission verantwortliche Jet Propulsion Laboratory(JPL) nennt als Ursache für den Absturz der Sonde vor allem menschliches Versagen. Zwischen zwei Teams, dem Navigationsteam in Kalifornien und dem für die Raumsonde zuständigen Team in Colorado hatte offenbar die Kommunikation nicht geklappt. Für ein entscheidendes Manöver der Raumsonde verwendete ein Team metrische Maße und das andere englische Maße. Dieser Irrtum aber wurde von den Teams nicht erkannt und konnte so auch nicht korrigiert werden. Menschen begehen manchmal Fehler, kommentiert Edward Weiler von der NASA. Das Problem war hier aber nicht der Fehler, sondern die mangelhafte Systemtechnik der NASA, sowie der Überprüfungen in unseren Verfahren, den Fehler zu entdecken. Deswegen haben wir die Raumsonde verloren. Die NASA wollte die Gründe für die Panne genau untersuchen, das kurzfristige Ziel jedoch sei, alles zu tun, um die Landung des Mars Polar Lander wenig später am 3. Dezember auf dem Mars erfolgreich durchführen zu können. Der Mars Polar Lander benötige nicht unbedingt den Climate Orbiter, weil er direkt mit der Erde kommunizieren könne. Überdies könne für die Kommunikation zwischen der Bodenstation und dem Polar Lander auch der Mars Global Surveyor eingesetzt werden.

10 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) Technisches Versagen Der Fehlerbericht identifiziert acht Faktoren die unvermeidlich zum Verlust des MCO führten : Fehler innerhalb des Computermodells des Weltraumfahrzeuges Das Operationteam war unvollständig informiert Das Triebwerk des Raumfahrzeugs war nicht leistungsfähig genug Die Funktion des technischen Systems innerhalb des Projekts, das miteinander verbundenen Aspekte der Mission unterstützen,und überprüfen sollte, war nicht robust genug Die Kommunikation zwischen den Projektgruppen waren zu formlos Das kleine Navigationteam der Mission war überlastet Das zuständige Personal war nicht genug ausgebildet (im Hinblick der Zusammenhänge zwischen Funktion der Mission und der Navigation) Das Verfahren zur Überprüfung und Validation der technischen Anforderungen und den technischen Schnittstellen war fehlerhaft 2.3 Mars Polar Lander Bearbeiter: Jörg König

11 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) Die Mission Eine Darstellung der kompletten Phase zwischen Eintritt und Landung, während der die Sonde in weniger als fünf Minuten von km/h auf 9 km/h abgebremst wird. Der MPL begann seine Reise zum Mars am an der Spitze einer Delta II-Rakete. Mit an Bord die beiden Mikrosonden Amundsen und Scott (gehören zum Deep Space 2 Programm der NASA), die Huckepack am Raumfahrzeug befestigt waren und kurz vor der Landung am abgeworfen werden sollten. Nach dem Aufsetzen auf der Marsoberfläche sollten die Mikrosonden etwa zwei Tage lang aktiv sein. In dieser Zeit sollten sie Daten über das Vorhandensein von Wasser in etwa zwei bis drei Metern Tiefe unterhalb der Marsoberfläche liefern, bevor das Ende der Batteriekapazität zum Ende der Deep Space 2-Mission führt. MPL hingegen sollte parallel dazu in der Nähe des Südpols aufsetzen und seine dreimonatige Primärmission zur Erforschung der Region beginnen Kontaktverlust zu MPL Der MPL befand sich am 3. Dezember 1999 im Landeanflug zum Mars. Anscheinend war er zu diesem Zeitpunkt in einem technisch einwandfreien Zustand. Eine abschließende Flugbahnkorrektur wurde 6.5 Stunden vor Eintritt durchgeführt. Um 12:02 h begann

12 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 11 der Eintritt in die Marsumlaufbahn. In dieser Phase wurde die Antenne in den Off-Earth- Modus geschalten und somit verlor die Bodenstation, wie erwartet, das Signal zum Lander. Der Touchdown wurde um 12:14 h erwartet. MPL sollte eine 45 minütige Datenübermittlung 24 Minuten nach dem Touchdown beginnen. Der erste Kontakt zum Lander sollte 7 Stunden später (am 4. Dezember um 7:25 h) stattfinden. Aber der Kontakt zum MPL blieb aus Die Untersuchung Die meißten Defizite bei der Verifikation und Validation finden sich in den drei EDL- Bereichen(Entry, Descent, Landing) Fallschirm Eintritt und Abstieg des MPL Touchdown des MPL Dies sind auch die drei Bereiche in denen das Testen sehr aufwendig (und damit auch teuer) wird. Die einzelnen Bereiche wurden zwar durch Anwendung von Simulationen überprüft, aber die Robustheit des Gesamtsystems konnt dadurch nicht gewährleistet werden. Hinzu kommt, daß die Touchdown-Software nicht in der eigentlichen Flugkonfiguratiorn getestet wurde. In dem offiziellen Untersuchungsbericht [NJ00] hat man nach gründlicher Analyse folgende Fehlermöglichkeiten erarbeitet: Vorzeitiges Abschalten der Bremstriebwerke Die Bodenbeschaffenheit der Landeumgebung (Felsen, etc) Verlust der Kontrolle durch dynamische Effekte Fallschirm bedeckte den Lander Hitzeschild versagte z.b durch Micrometeoride Nach Auswertungen von Wahrscheinlichkeiten stellte sich der erste Punkt als die wahrscheinlichte Fehlerursache heraus,die das Fehlschlagen der Mission bedeutete.

13 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 12 Letzte Überprüfungen vor dem Funktionstest in einer Weltraumsimulationskammer. Hier sind zwei der drei Landefüße, die Elektronik-Box und ein Treibstofftank sichtbar Das Debakel Als Ergebins stand fest: Der Mars Polar Lander (MPL) stürzte im Dezember m oberhalb der Oberfläche mit 80 km/h auf den Mars. Ursache: Durch die Erschütterung beim Ausfahren der Landebeine hatten die Sensoren reagiert, was von der Software (Touchdown-Monitor (TDM)) als Bodenberührung interpretiert wurde und zu einem Abschalten der Bremsraketen führte. Daraufhin stürzte das Raumfahrzeug aus einer Höhe von 40 Metern auf die Marsoberfläche. Kosten: 165 Millionen Dollar Eine kleine Analyse Die Software an Bord des Polar Landers wurde von Lockeed Martin Space Systems Company Astronautics Operations (LMAO - Denver) entworfen und relatisiert. Der Touchdown- Monitor (TDM) lief unter dem Betriebssystem VxWorks der Firma WindRiver. Analysen des TDM haben gezeigt, das das Versagen der Mission auf einen Fehler in dieser Software zurückzuführen war. An jedem Landebein des MPL ist ein magnetischer Sensor dafür

14 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 13 veranwortlich, anzuzeigen, wenn der Touchdown erfolgt ist. Dieser Impuls des Sensors sollte von der Boardsoftware ausgewertet werden und das Abschalten der Bremstriebwerke veranlassen Testmethoden Die meistenfehler in Softwaresysteme können durch das systematische Testen gefunden werden. Trotz unbestreitbarer Fortschritte im Bereich formaler Verifikation stellt das Testen nach wie vor eine der wichtigsten Techniken zur Softwareprüfung dar. Testen ist intuitiv verständlich und, im Gegensatz zu formaler Verifikation, flexibel anwendbar für unterschiedlichste Prüfszenarien unter Verwendung verschiedenartigster Spezifikationskonzepte (z.b. auch reiner Prosatext). Andererseits ist die Aussagekraft des Testens problematisch. Aus dem Stichproben-Charakter des Testens folgt, dass Testen lediglich die Anwesenheit von Fehlern, nicht jedoch deren Abwesenheit zeigen kann, wie bereits Dijkstra formulierte. Das allgemeine prinzipielle Vorgehen liegt nun darin, im Rahmen des sog. Testentwurfs wirksame Testfälle zu ermitteln, welche möglichst viele Fehler aufdecken durch deren Korrektur die Softwarequalität gesteigert werden kann. Dazu finden geeignete Methoden Anwendung, welche schlussendlich auf Erfahrung und Kenntnis über fehlerträchtige Aspekte basierend, Testfälle entweder aus der Implementierung, d.h. dem Programm, oder der entsprechenden Spezifikation ableiten. Letzterer Ansatz hat zwar den Nachteil, dass eine präzise Spezifikation vorliegen muss (bestenfalls als Modell), besitzt dafür jedoch die unbestreitbaren Vorteile, dass benötigte Sollresultate direkt abgeleitet sowie Testfälle nicht erst im Anschluss an die Implementierung ermittelt werden können. Aufgrund aus der hohen Anforderungen an die Softwarequalität führen die Probleme und Techniken zu umfangreichen Testaktivitäten im Entwicklungsprozess. Während die Effizienz der Testdurchführung unter Anwendung kommerzieller Testautomatisierungswerkzeuge bereits heute enorm gesteigert werden kann, stellt die häufig noch rein manuelle Ermittlung der Testfälle eine fehleranfällige und aufwändige und damit kostenintensive Tätigkeit dar. Somit ist schon der erste wichtige Punkt aufgezeigt: Testen ist kostenintensiv! Die NASA hatte aber schon einge Rückschläge (z.b. Mars Sourjourner) erlebt. Und so stand die Entwicklung der MPL-Software unter zeitlichen und finanziellem Druck. Hier wurde wohl beim Test der relevanten Software gespart. Ein Vorgehen, welches heute leider immernoch durchaus üblich ist! Beim Testen von Softwaresystemen gibt es zwei grundsätzliche Ansätze:

15 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 14 Funktionelles Testen (Black-Box Testing): Hierzu zählt das modellbasierte Testen: Der Tester erzeugt eine abstrakte Repräsentation des Testobjekts, aus der Testfälle und Testdaten automatisch generiert werden. Eingabedaten werden in sogenannte Äquivalenzklassen eingeteilt. Voraussetzung ist, dass ineinandergreifende Werkzeuge für Modellierung, Modell-Verifikation, Testgenerierung und Testausführung verfügbar sind. Strukturelles Testen (White-Box Testing): Die Kenntnis der Implementation (Quellcode) beinflußt hierbei die Auswahl der Testdaten. Hierzu zählt z.b der Pfad-Test. Architektur eines generischen Test-Generation-System Um die Komplexheit des Testens, ganz besonders für Echtzeitsysteme (wie beim Polar Lander), zu verdeutlichen, möchte ich noch anmerken, das die Zeit bei diesen Systemen eine sogenannte Funktionelle Anforderung ist. Das bedeutet das sich die Testdaten (bzw. Äquivalenzklassen) sich über die Zeitachse verschieben oder ganz ändern können. Somit ist das Erstellen von Testfällen eine Problemstellung die bis heute noch nicht ganz gelöst ist. Es gibt Ansätze. Diese haben aber das Stadium der Forschung noch nicht verlassen.

16 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) Anwendung des modellbasierten Testens Nach einem Bericht [Bla00] des Software Productivity Consortium/T-VEC und LMAO - Denver hat man zeigen können, das nach Anwendung diverser Tools zum Erzeugen von Testdaten, Test-Treibern, etc. der Fehler in der Software hätte gefunden werden können. Nachdem mit dem Test Automation Framework (TAF) ein Modell der TDM-Requirements erstellt wurde, konnten mit den zugehörigen TAF -Tools die Tests generiert werden. Ein Durchlauf dieser Tests konnte den Fehler in der MPL-Software nachweisen. Requirement Modelling mit TAF Kurz zusammengefaßt Der Test von Realzeit-Systemen wird durch viele Faktoren gegenüber konventionellen Software-Systemen erschwert.werden zeitliche Forderungen bezgl. des Systemverhaltens gestellt (Zeit als funktionale Eigenschaft), so steigt die Komplexität und der Umfang des Testens drastisch an. Die zentrale Testaktivität ist die Testfallermittlung, da hier Art und Umfang der Prüfung festgestellt werden. Für den Test des logischen Systemverhaltens stehen dem Tester Testmethoden zur Verfügung, aus denen er, unter Berücksichtigung der für den Test geltenden Randbedingungen, die am besten geeigneten auswählen und miteinander kombinieren kann. Ganz anders sieht es für den Test des zeitlichen Systemverhaltens bei Realzeit-Systemen aus. Es gibt derzeit dafür keine speziellen, industriell einsetzbare Testmethoden.

17 KAPITEL 2. MARS CLIMATE ORBITER (MCO) UND POLAR LANDER (MPL) 16 Der allgemeine Vorgang des Testens fällt leider sehr häufig aus zeitlichen und finanziellen Gründen sehr knapp oder sogar garnicht statt. So war es auch beim MPL. Modellbasiertes Testen hätte den Fehler in der Bord-Software aufzeigen können.

18 17 Kapitel 3 Andere Software Bugs in der Raumfahrt Bearbeiter: Christian Aust 3.1 Pioneer 1958 Das Pioneer-Programm [Wil99] der USA bestand aus einer Reihe von Sonden zur Erforschung des Sonnensystems. Nach dem Fehlstart von Pioneer 0 unter der Leitung der U.S. Air Force wurde das Pioneer- Programm der neu gegründeten NASA übertragen, die mit Pioneer 1 am 11. Oktober 1958 den ersten Raketenstart ihrer Geschichte durchführte. Auf Grund eines Programmierfehlers erreichte die Sonde jedoch nicht ihr Ziel, den Mond. So wurde der Schub und die Ausstrahlgeschwindigkeit falsch berechnet. Pioneer 1 entfernte sich 113,800 km von der Erde und trat nach 43 Stunden über dem Pazifik wieder in die Erdatmosphäre ein. Jedoch konnten trotz des Fehlschlags einige wichtige Daten wie z.b. über das Magnetfeld der Erde übertragen werden. Pioneer 1 war baugleich zu Pioneer 0 und 2 Es folgten weitere 16 Starts, die trotz einer Serie anfänglicher weiterer Fehlschläge schließlich die gewünschten Erfolge brachten. Mit Pioneer 10 gelang sogar das erstaunliche Kunst-

19 KAPITEL 3. ANDERE SOFTWARE BUGS IN DER RAUMFAHRT 18 stück, die Lebensdauer der anfänglich für einen sechsmonatigen Messbetrieb konzipierten Sonden soweit zu verlängern, dass diese Sonde mittlerweile in Bereiche jenseits unseres Sonnensystems vordringen konnte. 29 Jahre nach dem Start wurde mit Pioneer 10 am 28. April 2001 der letzte Kontakt hergestellt! Den Rekord hält Pioneer 6. Sie übermittelte noch 35 Jahre nach dem Start Daten zur Erde, zuletzt am 8. Dezember Mariner 1962 Mariner 1 war die erste Mariner Mission [Wil00] mit dem Ziel, am Planeten Venus vorbeifliegen. Beim Start am 22. Juli 1962 von Cape Canaveral sass sie auf der Spitze einer Atlas LV-3A Trägerrakete. Die Mission wurde bereits nach 293 Sekunden nach dem Start durch die Zerstörung der Rakete beendet, da sie vom Kurs in nordostliche Richtung abwich und nicht mehr kontrolliert zu steuern war. Es bestand die Gefahr, dass die Rakete in bewohntes Gebiet oder in eine Schifffahrtsstrasse zu stürzen drohte. Der Zerstörungsbefehl wurde 6 Sekunden vor der geplanten Abkopplung, nach der das Raumfahrzeug unversehrt geblieben wäre, gesendet. In der anschliessenden Untersuchung wurde herausgefunden, dass der Fehler aus der Kombination von zwei Faktoren entstand. Die Datenübertragung der steuerungsrelevanten Informationen wie Geschwindigkeit und Höhe wurde 4 mal für 1,5 bis 61 Sekunden unterbrochen. Zusätzlich fand man einen Fehler im FORTRAN-Code der Steuerungssoftware. An einer Stelle im Programmtext fehlte ein Bindestrich, so dass falsche Steuerungssignale an das Raumfahrtzeug gesendet wurden. Während der Datenunterbrechungen führte das Fehlen des Bindestriches zu einer fälschlicherweise zu einer Übernahme der Abtastungsfrequenz der Bodenstation zur Wiederherstellung des Kontaktes in die Steuerungsdaten, welche von dem funktionstüchtigen Teil des Steuerungsssystems verwertet wurden. Der Computer startete automatisch in eine Serie von unnötigen Kurskorrekturen durch falsche Steuerungsbefehle, wodurch das Raumfahrtzeug schliesslich vom Kurs abkam. Mit 80 Millionen Dollar der teuerste Bindestrich in der Geschichte der Menschheit. Die Nachfolgemission Mariner 2 startete am 27. August 1962 und wurde ein Erfolg. Mariner 2 war das erste interplanetare Raumfahrzeug, als es am 14. Dezember 1962 in 34,883 Kilometern Entfernung an der Venusoberfläche vorbeiflog und wissenschaftliche Daten zur Erde übertrug. Der Kontakt zu der Sonde ging allerdings am 3. Januar 1963 verloren. Die NASA startete zwischen 1962 und 1973 insgesamt 10 unbemannte Mariner Missionen zu den Planeten Venus, Mars und Merkur. Mariner 1, 3 und 8 schlugen fehl, wobei Mariner 3 und 8 nicht auf Softwarefehler zurückzuführen sind. Trotzdem ist das Marinerprogramm einer der Meilensteine der unbemannten Raumfahrt, da zum ersten mal fremde Planeten angeflogen und aus der Nähe fotografiert werden konnten.

20 KAPITEL 3. ANDERE SOFTWARE BUGS IN DER RAUMFAHRT 19 Mariner 4: Die erste Nahaufnahme vom Mars ( ) Das Marinerprogramm wurde schliesslich vom Voyagerprogramm abgelöst. 3.3 Voyager 1977 Die beiden baugleichen Raumsonden Voyager 1 und Voyager 2 dringen im Weltraum in Regionen vor, in denen noch nie ein von Menschenhand gebautes Objekt gekommen ist. Im 25. Jahr nach ihrem Start sind sie weiter von Erde und Sonne entfernt, als es der Planet Pluto ist und nähern sich dem Rand unseres Sonnensystems, der Heliopause, um in den interstellaren Raum vorzudringen. Voyager 1 hat mit einer Reisegeschwindigkeit von 17 Kilometern pro Sekunde eine doppelt so große Entfernung wie der Planet Pluto erreicht. Beide Raumschiffe senden immer noch wissenschaftliche Informationen über ihre Umgebung zur Erde.

21 KAPITEL 3. ANDERE SOFTWARE BUGS IN DER RAUMFAHRT 20 Voyager 1 und 2: Momentane Standorte in unserem Sonnensystem (2002) Die ursprüngliche Mission [AK87] der beiden Sonden war die Erforschung der Planeten Jupiter und Saturn. Nachdem dort eine Fülle von Entdeckungen, wie zum Beispiel die aktiven Vulkane auf dem Jupitermond Io oder neue Erkenntnisse über die Ringe des Saturn gemacht wurden, entschloss man, die Missionen auszuweiten. Voyager 2 flog zu den Planeten Uranus und Neptun, und ist bis heute das einzige Raumschiff das je diese beiden äusseren Planeten besuchte. Nun haben die beiden Sonden den Auftrag den Rand unseres Sonnensystems zu erforschen und weiter in den Weltraum vorzudringen. Voyager 1 startete am 5. September 1977 von Cape Canaveral an der Spitze einer Titan 3E Trägerrakete um die Planeten Jupiter und Saturn zu besuchen. Voyager 2 startete 2 Wochen früher am 20. August 1977 auf einer Trägerrakete gleichen Typs und bewältigte die einzigartige Tour Jupiter-Saturn-Uranus-Neptun. So passierte die Sonde am 9. Juli 1979 Jupiter, am 26. August 1981 Saturn, am 24. Januar 1986 Uranus, und am 25. August 1989 Neptun. Allerdings kam es kurz vor dem Uranus-Vorbeiflug zu Problemen: Das Programm zur Flugbahnberechnung lieferte Daten, die nicht mit den gemessenen Daten übereinstimmten. Die Anfangsschätzung der Uranus-Masse war um 0.3 Prozent zu klein angesetzt, so dass das Ergebnis des Programms zur Berechnung der Masse des Planeten gegen ein falsches Maximum konvergierte und fortlaufend korrigiert werden musste. Nach Verstehen der komplexen Problemlage gelang die Korrektur. Desweiteren traten 6 Tage vor dem Vorbeiflug Fehler in den zur Erde gesendeten Bildern auf (die Übertragung eines

22 KAPITEL 3. ANDERE SOFTWARE BUGS IN DER RAUMFAHRT 21 Bildes dauerte 3 Stunden). Die Ursache war ein beschädigter Speicherplatz, auf den das Datenkomprimierungsprogram zugriff. Für den Uranus-Vorbeiflug wurden schliesslich fast alle Bord-Programme umgeschrieben: Mitdrehen der Sonde bei der Bildaufnahme (1.5 Sekunden Belichtung bei km/h relativ), Verhindern des Drehimpulses beim schnellen Spulen des Bandgerätes, zeitweises Ausschalten einiger Geräte, dazu spezielle Programme zur Komprimierung und Codierung. 3.4 Phobos 1988 Auch die UdSSR [Gie02a] schickte sich an, den Weltraum mit Sonden zu erforschen. Dabei mussten die Sovjets auch Rückschläge entgegennehmen, die sich auf Softwarefehler begründen lassen. Am 1. August 1988 startete die erste Raumsonde der UdSSR zum Mars und zum Marsmond Phobos. Kurz nach dem Start wurden der Sonde mehrere Kommandos zur Kurskorrektur geschickt. Jedoch vergaß man bei einem Kommando einen Buchstaben. Dieses verkürzte Kommando wurde jedoch als ein anderes (nur beim Bodentest vorgesehenes) Kommando interpretiert. Somit begann die Sonde so zu rotieren, daß kein Kontakt mehr mit ihr hergestellt werden konnte. Die Bodentest-Software blieb im ROM- Speicher der Sonde. Als Konsequenz dieses Verlustes wurde dem Operator gekündigt, dabei hätte man aber besser dem Entwickler/Programmierer kündigen sollen. Auch die Schwester-Sonde Phobos 2 ging im März 1989 (bei Phobos) wegen eines Software-Fehlers verloren. 3.5 Clementine 1994 Die Foto-Mondsonde Clementine sollte nach erfolgreicher Mondmission [Gie02b] im Mai 1994 zum Asteroiden Geographos fliegen. Dazu wurden die Antriebsraketen gezündet. Auf Grund eines Software-Fehlers hörten sie aber erst auf zu feuern, nachdem sämtlicher Treibstoff verbraucht war. Der Satellit verschwand im All: Kosten: 80 Millionen US-Dollar 3.6 NEAR 1998 Für den Flug der Near-Earth Asteroid Rendevous Sonde (NEAR) [NEA02] zum Asteroiden Eros im Dezember 1998 wurden in der Sonnenumlaufbahn die Antriebsraketen gezündet. Die Software war aber darauf abgestimmt, unkontrollierte Beschleunigungen zu verhindern: Abschalten der Düsen. Nach einer Änderung des Programms konnte erst 13 Monate später der Asteroid angeflogen werden.

23 KAPITEL 3. ANDERE SOFTWARE BUGS IN DER RAUMFAHRT CONTOUR 2002 Ziel der am 3.Juli 2002 gestarteten Mission CONTOUR [CON02] ist es, in den Jahren 2003 bis 2008 mindestens drei Kometen anzusteuern, ihre Kerne zu fotografieren und Spektralmessungen durchzuführen. Ausserdem soll von den Kometen abströmendes Gas und Staub eingefangen und an Bord der Sonde Analysiert werden. Zunächst soll im November 2003 der Komet Encke besucht werden, im Juni 2006 der Komet Schwassmann-Wachann 3 und im August 2008 der Komet D Arrest. Die Mission ist dabei so flexibel ausgelegt, dass auch ein möglicher neuentdeckter Komet in diesem Zeitraum angesteuert werden könnte. Am 15 August 2002 wurden ein Bahnmanöver eingeleitet, um die Sonde aus dem Erdorbit in eine heliozentrische Flugbahn zu bringen. danach konnte kein Kontakt mehr zu der Sonde hergestellt werden. Auf teleskopischen Aufnahmen erkannte man 3 Objekte an der Stelle, an der man die Sonde vermutete. Die Ursache für den Verlust des Kontaktes ist nach wie vor unklar. Die NASA hofft auf einen neuen Kontakt bei günstiger Position im Dezember Es ist unklar, ob es sich um einen Softwarefehler handelt. Ein Untersuchungsteam wurde gebildet um den vermeintlichen Verlust der Sonde aufzuklären.

24 23 Literaturverzeichnis [AK87] James G. Williams Allen Kent. Computers in Spaceflight: The NASA Experience. NASA, computers/ch6-2.html. [Bla00] Marc Blackburn. Mars Polar Lander Fault Indentification Using Model-based Testing. Software Productivity Consortium, pub/taf/downloads/mars_polar_lander_2001.pdf. [CON02] Comet Nucleus Tour [ea99] S.R.Dalal et al. Model-Based Testing in Practice. ACM and Bellcore, [Gie02a] Ingolf Giese. Warum explodierten Mariner 1, Ariane 5,... oder: Was kümmern mich die Probleme der Datenverarbeitung. GSI Darmstadt, http: //www-aix.gsi.de/~giese/swr/fehler01.html. [Gie02b] Ingolf Giese. Warum explodierten Mariner 1, Ariane 5,... oder: Was kümmern mich die Probleme der Datenverarbeitung. GSI Darmstadt, http: //www-aix.gsi.de/~giese/swr/fehler21.html. [NEA02] Near Earth Asteroid Rendezvous Mission. JHUAPL, jhuapl.edu/. [NJ00] NASA-JPL. Report of the Loss of the Mars Polar Lander and Deep Space 2 Missions (Casani Report). NASA, marsreports.html. [Wil99] Dr. David R. Williams. NSSDC Master Catalog: Spacecraft Pioneer 1. NSSDC, A. [Wil00] Dr. David R. Williams. NSSDC Master Catalog: Spacecraft Mariner 1. NSSDC,