Ariane 5-ulykken - Liten tue velter stort lass

Av Arne Mo

Som de fleste nå sikkert vet, endte den første oppskytingen av Ariane 5 den 4. juni 1996 i et fullstendig havari. Om lag 40 sekunder etter at oppskytingen ble startet, og ved en høyde på ca. 3700 meter, skar raketten plutselig ut av den planlagte banen, brakk i stykker og eksploderte.

Umiddelbart etter ulykken ble det av ESAs toppsjef Jean-Marie Luton satt ned en uavhengig granskningskommisjon som den 23. juli presenterte sin rapport.

Rapporten sier blant annet: «Analyser av alle tilgjengelige data fram til havaritidspunktet viser:

• Alt foregår normalt frem til H₀+36 s.
• Da svikter plutselig begge de to innebygde treghetsnavigasjonssystemene (IRS).
• Dette fører først til at dysene på de to faststoffrakettene dreies til ekstrem posisjon og deretter dreies dysene på Vulcain-hovedmotoren på samme måte. Dette får i sin tur raketten til å bryte skarpt ut av sin bane.
• Som en følge av dette blir rakettenes selvdestruksjonssystem automatisk innkoblet, og tiendedeler senere eksploderer raketten.

Ariane 5-ulykken ble forårsaket av en fullstendig stans i systemet som forsyner raketten med data om navigasjon og høydeinformasjon 37 sekunder etter at hovedmotoren ble startet (30 sekunder etter start). Denne svikten skyldes feil i den programvaren (både design og spesifikasjon) som styrer IRS.

Selv om Ariane 5 har vært gjennom en rekke tester og evalueringer, har disse testene ikke vært gode nok til å avdekke de feil vi nå har sett. Spesielt er det viktig å merke seg at den delen av programvaren som forårsaket feilen (og som kun har en funksjon før oppskyting, men som er aktiv en stund etterpå), ikke ble tatt med i de testene som ble utført. Disse testene var med andre ord ikke gode nok.»

Her følger en litt mer «popularisert» fremstilling av det som skjedde: Ariane 5 har to identiske IRS, hvor det ene er reserve i tilfelle det første svikter. Deler av programvaren som styrer IRS ble overført umodifisert fra Ariane 4 sitt identiske system, som hadde fungert utmerket i mange år. En spesiell funksjon i IRS sin programvare sørger for å balansere raketten før start. Funksjonen har ingen betydning etter start. Denne funksjonen ble av en eller annen grunn ikke skrudd av etter start, men fungerte en stund etterpå, noe som skulle få fatale følger. Et problem, som de ansvarlige utrolig nok ikke tok hensyn til, var at Ariane 5 oppfører seg en god del annerledes enn Ariane 4. Blant annet har Ariane 5 40 sekunder etter start en horisontal hastighet som er mer enn 5 ganger så høy som Ariane 4s. Dette førte til at systemet (som jo burde vært skrudd av ved start) produserte det vi på norsk kaller dataoverflyt og kuttet så ut hele IRS. Reserveutstyret overtok, men genererte naturlig nok samme feilmelding og stanset 0,05 sekunder etter det første. De som designet dette hadde ikke tatt hensyn til at det kunne oppstå feil i programvaren. De hadde regnet med at en «hardwarefeil» kunne oppstå og designet systemet slik at det kuttet ut og reservesystemet overtok.

Da begge systemene som forsyner raketten med viktige navigasjonsdata stanset opp, trodde rakettens hoveddatasystem at noe alvorlig var galt (selv om dette reelt sett ikke var tilfelle). Det ble generert abnorme kommandoer til rakettdysene, som i sin tur brakte raketten ut av bane. Deretter ble rakettens innebygde system for selvødeleggelse startet, og raketten eksploderte i det vi nå kjenner som århundrets fyrverkeri.

Rapporten foreslår en rekke tiltak for å hindre at lignende episoder skal oppstå i fremtiden. Disse tiltakene vil umiddelbart bli fulgt opp og inkluderer blant annet:

• korrigering av selve problemet i IRS som førte til ulykken
• gjennomgang av all programvare som er involvert i rakettens ulike systemer.
• forberede testprosedyrer for å avdekke slike og lignende feil.
• forbedret informasjonssystem til og fra de ulike systemene i raketten.
• forbedret funksjonalitet i håndteringen av ulike måle- og analysedata.

Kort sagt konkluderer rapporten med at design, testing og gjennomgang av all programvare har vært altfor lavt prioritert, og at man i fremtiden setter inn mye større ressurser på dette området for å skape en balanse med all den ekspertisen Ariane-prosjektet har på «hardwaresiden» i de ulike delene av raketten.

Ulykken fører naturlig nok til både forsinkelser og ytterligere budsjettoverskridelser i det allerede anstrengte Ariane 5-programmet. Hvordan dette skal håndteres er det i dag ikke tatt stilling til, men man snakker om neste reelle oppskyting i mars-april 1997, og at den kommersielle introduksjonen av Ariane 5 først kommer i 1998, to år etter de opprinnelige planene. Dette fører også til et dilemma med hensyn til utfasing av Ariane 4, og kan tvinge ESA til fortsatt å bruke mye ressurser på å utvikle nye Ariane 4- raketter de nærmeste årene.

Tekster til illustrasjoner brukt i artikkelen

Slik så den første Ariane 5-oppskytingen ut, 40 sekunder ut i ferden. Nedslagsfeltet var flerfoldige km langt.

Ariane 5-raketten under oppstigning. De første 30 sekundene forløp normalt.