Einheitsfehler, die echtes Geld kosteten: Mars Climate Orbiter und der Gimli Glider

Zwei Katastrophen, eine Ursache

Keiner der folgenden Zwischenfälle wurde durch eine falsche Zahl verursacht. Beide wurden durch eine korrekte Zahl ohne angefügte Einheit verursacht, die von jemandem verwendet wurde, der eine andere voraussetzte. Dieser Unterschied ist wichtig: Ein falscher Umrechnungsfaktor ist ein Rechenfehler, leicht zu erkennen durch Überprüfung der Arithmetik. Ein fehlender oder nicht übereinstimmender Einheitenlabel besteht jeden arithmetischen Check, weil die multiplizierten Zahlen alle korrekt sind — die Software, die Tabellenkalkulation, die Berechnung führen alles genau wie geschrieben aus. Der Fehler liegt vollständig in dem, was ein Mensch annahm, dass die Zahl bedeutete.

September 1999: Ein Mars-Orbiter kommt 169 Kilometer zu tief an

Mars Climate Orbiter verließ die Erde am 11. Dezember 1998 als Teil eines NASA-Programms zur Untersuchung der Marsatmosphäre und des Marsklimas. Seine Flugbahn zum Mars erforderte kleine Kurskorrekturen unterwegs und regelmäßige Zündungen seiner Lageregelungsdüsen zur Entladung der Reaktionsräder des Raumfahrzeugs — eine routinemäßige Wartungsaufgabe, etwa zehnmal täglich während der gesamten neuneinhalbmonatigen Reise durchgeführt.

Die Software, die die Auswirkung jeder Düsenzündung modellierte, wurde von Lockheed Martin Astronautics, dem Erbauer des Raumfahrzeugs, geschrieben, und die Schnittstellenspezifikation der Mission forderte, dass sie den resultierenden Impuls (Schub multipliziert mit Brenndauer) in Newton-Sekunden, der SI-Einheit, ausgibt. Lockheed's Bodensoftware, eine Datei namens SM_FORCES, schrieb ihre Ergebnisse stattdessen in Pfund-Kraft-Sekunden, dem üblichen Äquivalent. Sie schrieb diese Datei in eine andere, die AMD-Datei, die das Navigationsteam des JPL als Eingabe für sein Bahnmodell las — und JPLs Modell nahm an, gemäß der Spezifikation, dass die Zahlen, die es las, bereits in Newton-Sekunden waren. Eine Pfund-Kraft-Sekunde entspricht ungefähr 4,45 Newton-Sekunden, also war jede dieser Düsenzündungen für neuneinhalb Monate mit ungefähr 4,45 mal schwächerem Impuls modelliert als der tatsächliche Impuls, den das Raumfahrzeug erhielt. Niemand bemerkte es, weil beide Seiten des Austauschs intern konsistent waren: Lockheed's Zahlen waren korrekte Pfund-Kraft-Sekunden, JPLs Modell verarbeitete die ankommenden Zahlen korrekt als Newton-Sekunden. Das Dateiformat hatte kein Einheitenfeld.

Das Raumfahrzeug war so ausgelegt, dass es während der Orbiteinfügung 226 km über der Marsoberfläche vorbeiführt — nah genug, damit die Verbrennung funktioniert, weit genug, um über der Atmosphäre zu bleiben. Etwa 24 Stunden vor der Ankunft stellten aktualisierte Verfolgungsdaten (immer noch auf dem gleichen nicht korrigierten Bahnmodell aufgebaut) eine vorhergesagte Höhe näher bei 110 km dar, alarmierend niedrig, aber nach Verständnis des Teams zu dieser Zeit immer noch über der grob 80–90 km Höhe, bei der atmosphärische Kräfte gefährlich würden. Die Nachrekonstruktion des Mishap Investigation Board unter Verwendung der letzten tatsächlich empfangenen Telemetrie versetzte die reale Höhe näher bei 57 km — niedrig genug, dass atmosphärische Erwärmung und Luftwiderstand das Raumfahrzeug wahrscheinlich zerstörten oder es auf eine Fluchtbahn aus der Mars-Umlaufbahn drängten. Der Kontakt ging am 23. September 1999, 09:04:52 UTC verloren, als der Orbiter hinter dem Mars für die Orbiteinfügungsverbrennung vorbeiführt; er tauchte nie wieder auf. Der Phase-I-Bericht des Board, veröffentlicht am 10. November 1999, benannte die Grundursache deutlich: Die Software eines Teams produzierte englische Einheiten, wo die Schnittstellenspezifikation metrische forderte, und kein Verifikationsschritt im Bahnmodellierungsprozess überprüfte die physikalischen Einheiten der Daten, die er verbrauchte, sondern nur ihre numerische Plausibilität.

Das Raumfahrzeug selbst wird häufig mit einem Verlust von 125 Millionen Dollar angegeben — eine Zahl, die nicht mit den 327,6 Millionen Dollar Gesamtkosten des breiteren Mars Surveyor '98-Programms verwechselt werden sollte, das auch die separate Mars Polar Lander finanzierte (verloren in einem anderen, unabhängigen Unfall drei Monate später). Die orbiterspezifische Zahl ist die, die man für diesen Vorfall zitieren sollte.

Juli 1983: Eine Dichtekennzahl überlebt die falsche Einheit

Air-Canada-Flug 143, ein Boeing 767 von Montreal nach Edmonton auf seinem Weg am 23. Juli 1983, lief auf 41.000 Fuß über Red Lake, Ontario, Treibstoff aus und glitt zu einer Notlandung auf einem stillgelegten Luftwaffenstützpunkt in Gimli, Manitoba — mit 69 Menschen an Bord und bemerkenswert ohne Todesfälle. Die unmittelbare Ursache war ein defektes Treibstoffmengen-Messgerät; der Grund, warum die Besatzung trotzdem abreiste, nachdem sie die Treibstofflast manuell berechnet hatte, ist die Einheitengeschichte.

Dieser 767 war eines der ersten Flugzeuge von Air Canada, das in den metrischen Einheiten betrieben wurde, die Kanadas Luftfahrtindustrie gerade übernommen hatte — Treibstoff in Kilogramm und Litern, nicht in Pfund und Gallonen, die die ältere Flotte der Fluggesellschaft und ihre Bodencrew jahrzehntelang verwendet hatten. Mit dem defekten Messgerät maßen die Bodencrew den bereits in den Tanks befindlichen Treibstoff mit einem Messstab, einer mechanischen Messung, und rechneten diese Messung in ein Volumen von 7.682 Litern um. Um herauszufinden, wie viel Treibstoff noch hinzugefügt werden sollte, brauchten sie die Masse des bereits an Bord befindlichen Treibstoffs und verwendeten einen Umrechnungsfaktor von 1,77, um Liter in Masse umzuwandeln — eine echte, korrekte Zahl für die Dichte von Jet-A-1-Treibstoff, aber korrekt nur als 1,77 Pfund pro Liter. In dem Glauben, dass sie in Kilogramm pro Liter arbeiteten, wie der Rest des Betankungsprozesses erforderte, behandelten die Besatzung und der Betankungsunternehmer 1,77 so, als wäre es 1,77 Kilogramm pro Liter, eine Zahl ungefähr 2,2 mal zu hoch.

Der Flug benötigte 22.300 kg Treibstoff insgesamt. Unter Verwendung der falschen Dichte wurde berechnet, dass 7.682 L bereits 13.597 "Kilogramm" (eigentlich Pfund) enthielten, wobei 8.703 "Kilogramm" immer noch benötigt wurden — unter Verwendung des gleichen falschen Faktors zurück in ein Volumen umgerechnet, 4.917 L, was tatsächlich gepumpt wurde. Die Tanks hielten 12.599 L echten Treibstoff, als das Flugzeug abflog, wiegend ungefähr 10.100 kg bei der wahren 0,803 kg/L Dichte: nicht genug, um Edmonton zu erreichen.

Hergeleitetes Beispiel: warum das Manko nicht zufällig war

Die Arithmetik hinter dem Gimli-Betankungsfehler hat eine bemerkenswerte Eigenschaft, wenn sie algebraisch ausgeschrieben wird. Sei V₁ der korrekt gemessene bereits an Bord befindliche Treibstoff (7.682 L, nie in Frage gestellt), ρ die wahre Dichte (0,803 kg/L) und k das Pfund-zu-Kilogramm-Verhältnis (≈2,20462, da der falsche Faktor 1,77 lb/L gleich ρ × k ist). Die Besatzung berechnete:

Zusätzliches Volumen zum Laden, V₂ = [22.300 − V₁×ρ×k] ÷ (ρ×k)

Gesamtvolumen geladen, V₁+V₂ = 22.300 ÷ (ρ×k)

V₁ hob sich vollständig auf. Die korrekte Messstab-Messung war für das Endergebnis völlig irrelevant — der fehlerhafte Dichte-Faktor bestimmte es allein. Tatsächliche geladene Masse = (V₁+V₂) × ρ = 22.300 ÷ k = 22.300 ÷ 2,20462 ≈ 10.113 kg. Rechnen Sie das zurück in Pfund um, und es kommt auf fast genau 22.300 lb heraus — das Kilogramm-Ziel der Besatzung, in Pfund statt in Kilogramm geliefert. Dies ist kein Zufall: Wann immer ein einzelner falscher Einheits-Umrechnungsfaktor konsistent auf beide Seiten einer "was ich habe, was ich noch brauche"-Berechnung angewendet wird, landet das Ergebnis auf der ursprünglichen Zielzahl, nur in der anderen Einheit gemessen. Das Flugzeug trug die Zahl 22.300 — die Besatzung erfuhr einfach nur nie, welche Einheit sie trug, bis die Triebwerke ausfielen.

Kapitän Bob Pearson, ein erfahrener Segelflugpilot außerhalb seines Tagesberufs, verwendete ein Forward-Slip-Manöver — die Steuerungen kreuzen, um den Luftwiderstand zu erhöhen, ohne an Geschwindigkeit zu gewinnen — um Höhe auf Endanflug abzubauen und den antriebslosen 767 sicher zu landen. Zehn Menschen erlitten während der Evakuierung leichte Verletzungen; niemand starb. Air Canadas interne Überprüfung und das Aviation Safety Board der Ära (Vorgänger des heutigen Transportation Safety Board of Canada) wiesen auf den gleichen zugrundeliegenden Fehler hin wie Mars Climate Orbiter sechzehn Jahre später: eine korrekte Zahl und ein Prozess, der nicht überprüft, welche Einheit sie gehörte.

Was die beiden Zwischenfälle gemeinsam haben

Keiner dieser Fehler brauchte eine falsche Zahl. Beide brauchten eine Zahl, deren Label niemand genau an der Stelle überprüfte, wo zwei verschiedene Einheitskonventionen aufeinander trafen.