Der Ablauf war mit der über den Trace Gas Orbiter übertragenen Daten rekonstruierbar. Die schon kurz nach dem Unglück aufgekommene Vermutung wurde bestätigt.<\/p>\n
Als sich der Fallschirm öffnete, das war noch bei hoher Geschwindigkeit, über Mach 2, kam es zu starken Bewegungen von Schiaparelli, er bewegte sich sowohl in der Vertikalen und rotierte um die eigene Achse. Schiaparelli hat eine IMU, eine Inertialeinheit an Bord. Sie stellt die räumliche Lage fest. Das ist wichtig, weil der Lander horizontal landen soll und nicht schräg. Durch diese abrupten Bewegungen kam es zu einer kurzzeitigen Sättigung der IMU. Sie setzte deswegen ein Flag, das dies signalisierte. Dieses Flag, so nahmen die Ingenieure der ESA an, würde maximal 15 ms lang gesetzt sein. Kommuniziert mit dem Hersteller der Inertialeinheit wurde das aber nicht. In der Praxis wurde es viel länger gesetzt. Solange es gesetzt war, gab die IMU nicht die reale Lage wieder, sondern maximal möglichen Höchstwert, selbst als die Schwankungen sich nach einigen Sekunden legten.<\/p>\n
Mit diesem Wert berechnete der Bordcomputer nach Öffnung des Fallschirms die Ausrichtung der Sonde und berechnete einen Korrekturfaktor für die Radardaten. In der Endphase wird mit diesem Korrekturfaktor die Distanz verrechnet. Schaut das Radar schräg, so ist die Höhe viel kleiner als die aus der Laufzeit bestimmte Distanz. Dazu wird der Cosinus berechnet, entsprechend einem rechtwinkeligen Dreieck, bei der Berechnung der Ankathete, wenn die Hypotenuse bekannt ist. Nun ist der Cosinus bei Winkeln über 90 Grad negativ und der übermittelte Winkel war 165 Grad.<\/p>\n
Benutzt wurde der Korrekturfaktor erst, als der Fallschirm abgelöst wurde und die Triebwerke aktiviert werden sollten. Dann wurde die vom Radar gelieferte Höhe mit dem Korrekturfaktor multipliziert, und da dieser negativ war, nahm der Bordrechner an, Schiaparelli wäre gelandet und stellte die Triebwerke ab. So zerschellte der Lander auf der Oberfläche.<\/p>\n
Nach dem Board ist daher die primäre Ursache Sättigungsflag und es kommt zum Schluss, dass wenn es wie von der ESA-Seite angenommen nur 15 ms lang gesetzt gewesen wäre, es nicht zu dem Fehlverhalten gekommen wäre. Nur war diese Annahme nicht zum Hersteller kommuniziert worden und es gab auch keine Tests. Das so extreme Schwingungen auftreten konnten, war zwar nicht bei den Simulationen vorhergesehen worden, doch sie war nicht so außergewöhnlich. Ähnliche Erfahrungen machte schon die NASA bei ihren Landungen.<\/p>\n
Das Ganze ist aber nur ein Teilaspekt. Die GNC (Guidance-Navigation-Control) Software hat mit diesem Wert ja gerechnet, ohne ihn zu hinterfragen. Es ist nun mal physikalisch unmöglich, das Schiaparelli\u00a0165 Grad zum Boden geneigt am Fallschirm hängt – dann müsste der Fallschirm Richtung Oberfläche zeigen. Ebenso erfolgte keine Prüfung, ob der Korrekturfaktor negativ ist, auch das ist physikalisch unmöglich und zuletzt hinterfragte die Software die Daten nicht, wie plötzlich die Sonde in einem Sekundenbruchteil von 3,7 km Höhe über dem Boden auf 2,5 km unterhalb des Bodens ankam.<\/p>\n
In der Software Welt war die Software nicht „robust“ genug. Vieles erinnert an den Fehlstart der ersten Ariane 5, als durch eine zu hohe horizontale Beschleunigung in einem von der Ariane 4 übernommenen Programm, es bei der Konvertierung einer Zahl einen Überlauf kam und der Bordcomputer diesen Überlauf als reale Position nahm und die Rakete abrupt schwenkte, wodurch sie auseinanderbrach.<\/p>\n
Diskussion<\/h3>\n
Soweit der Text aus der Webseite<\/a>.<\/p>\n Ich verstehe selbst nach Lesen des Berichtes einiges nicht. So wurde der Korrekturfaktor für die Ausrichtung berechnet, als der Fallschirm geöffnet wurde. Warum? Verwendet wurde dieser Wert erheblich später, nämlich erst als die untere Abdeckung abgeworfen wurde und der Radarhöhenmesser aktiv wurde, denn dessen Daten sollten ja korrigiert werden. Das istfast eine Minute später. Der Sinn erschließt sich mir nicht. Schlussendlich muss die Ausrichtung bei Auslösung des Fallschirms ja nicht die gleiche sein wie beim Abwerfen der Abdeckung. Vor allem hätten sich da ja alle Schwingungen abgebaut.<\/p>\n Der einzige Grund, den ich kenne, für eine solche Vorgehensweise wäre, dass die Berechnung eines Korrekturfaktors sehr lange dauert, sodass man ihn sehr frühzeitig berechnen muss. Doch nach der Lektüre des Berichts scheint es eine einfache Cosinus-Berechnung zu sein. Das kann es also nicht sein.<\/p>\n Das nächste ist, dass dem Bordcomputer über ein \u201eSättigungsflag\u201c signalisiert wurde, dass die IMU gesättigt ist. Der Tatbestand weicht hier von dem Ariane 501 Versagen ab, wo man den Fehlercode als Messwert interpretierte. Der Bordcomputer wurde über das Flag informiert, das die IMU keinen korrekten Wert liefert. Warum benutzt er dann die Ausrichtung welche die IMU liefert? Bevor ich falsche Daten nehme, nehme ich lieber gar keine Daten. (Nein liebe FDP, diesen Sachverhalt, kann man nicht aufs Regieren übertragen). Dann gibt es eben keine Korrektur einer Schräglage und Schiaparelli kommt schräg auf. Vielleicht scheitert dann die Landung, aber dann zu einem späteren Zeitpunkt, wo man noch mehr Teile der Landung erprobt hat. Die ESA wurde ja nicht müde zu betonen, man habe die Daten, die man für die Landung 2020 braucht, gewonnen und das wäre der eigentliche Sinn der Mission.<\/p>\n Wie der Report auch schreibt, gab es \u201econsistency checks\u201c. Der Bordcomputer überprüft Höhe und Geschwindigkeit. Irgendwie komisch. Er überprüft also, ob er in der richtigen Höhe ist, aber erst nachdem er diese durch den Korrekturfaktor verändert hat. Sollte er nicht die Rohdaten aus Plausibilität prüfen?.<\/p>\n Natürlich muss eine Software \u201erobust\u201c sein, also mit Ausfällen zurecht kommen. In diesem Falle geht das weiter sie muss auch physikalisch korrekte Inhalte überprüfen. Es ist nun mal nicht möglich das man sich plötzlich weit unterhalb der Oberfläche befindet oder verkehrt herum am Fallschirm hängt. Etwas schwerer ist es, mit den Folgen fertig zu werden. Hier war ja die Ursache, dass man den Wert abgefragt hatte, als er ungültig war. Aber was wäre passiert, wenn es wirklich einen Ausfall der IMU gegeben hätte? Man könnte mit dem letzten Wert arbeiten. Da das Landeradar die Daten über Höhe und Geschwindigkeit liefert, wäre noch eine Landung möglich, aber sie war riskanter. Man weiß nicht, wie Schiaparelli orientiert ist, also senkrecht unter dem Fallschirm hängt oder leicht schräg. Das birgt nicht nur die Gefahr, das Schiaparelli beim Aufsetzen umkippt. Die Höhendaten stimmen auch nicht. Denn wenn das Radar dann auch leicht schräg zur Seite schaut, so ist die Distanz zum Boden kleiner, als die gemessene. In der Folge würde Schiaparelli mit höherer als geplanter Geschwindigkeit aufsetzen. Wobei die Endphase ja ein Sinken mit konstanter Geschwindigkeit ist, daher wären die Auswirkungen nicht so hoch.<\/p>\n Es gibt für mich auch andere offene Punkte. Der Report listet, dass man um 14:47:22 den Funkkontakt verloren hat. Das war aber schon 6 Sekunden vor der Landung. Was ist da passiert?<\/p>\n Vor allem, wie kommt die ESA auf die Überzeugung, die Mission wäre erfolgreich? Nach meiner Überzeugung ist ab der Fallschirmablösung alles schief gegangen. Die Backshell wurde verfrüht abgeworfen, die gesamte Endphase der Landung, also das Abbremsen auf langsame Geschwindigkeit in 4 m Höhe wurde nicht erprobt.<\/p>\n Peinlich finde ich dann auch die Ausreden, die fielen. Zusammengefasst liefen die so: \u201eEs ist unsere erste Mission zum Mars, deswegen haben wie die Landung ja auch vor dem Rover der 2020 abgesetzt wird erprobt. Wegen der dünnen Luftschicht ist das riskant und es sind ja schon so viele Missionen verloren gegangen\u201c.<\/p>\n Na ja. Natürlich ist es schwieriger als auf der Erde und dem Mond. Auf der Erde reicht fast eine alleinige Fallschirmlandung aus, auf dem Mond muss man mit Triebwerken landen. Die Problematik ist, dass es anders als beim Mond mehr Störeinflüsse gibt. Verschiedene Temperaturen, verschiedene Druckwerte und Seitenwind, je nach Landegebiet und aktuellen Wetter. Doch das Grundprinzip das alle Landungen einsetzen berücksichtigt das.<\/p>\n Es ist seit Viking eigentlich unverändert: Der Fallschirm bremst die Sonde soweit ab, bis man eine Referenzhöhe erreicht bei der die Triebwerke arbeiten, die ein Programm haben, das die Sonde nahe der Oberfläche auf niedrige Geschwindigkeit abbremst. Gesteuert wird das durch einen Radarhöhenmesser der Distanz und Geschwindigkeit misst. Die Treibstoffvorräte sind groß genug ausgelegt um auch Abweichungen vom Soll abzufangen und der Fallschirm so groß dimensioniert, dass man eine Geschwindigkeit beim Start der Triebwerke hat, die man sicher abfangen kann. Die Referenzhöhe ist so hoch, dass es genügend Zeit zum Abbremsen gibt. Bei Schiaparelli z. B. wurde der Fallschirm in 7 km Höhe entfaltet und schon in 1,2 km Höhe begann der Triebwerksstart. Das lässt genügend Zeit, um die Restgeschwindigkeit abzubauen.<\/p>\n Dazu braucht man keine ausgeklügelte Software. Viking landete 1975 mit einer Feedback-Steuerung, überwacht durch den Bordcomputer mit der Leistung eines C64. Die größten Risiken, die es damals gab, lagen nicht bei der Landung, sondern dem Landegebiet. Vergleicht man die ersten Aufnahmen nach dem Aufsetzen von Viking, Pathfinder einerseits und den beiden MER, Phoenix und Curiosity so fällt auf das die Letzteren in weitestgehend \u201eleerem\u201c Gebiet, also fast ohne Steine niedergingen. Das ist das Ergebnis, das man bei den ersten beiden Sonden Bilder mit maximal 40 m Auflösung des Landegebietes hatte und bei den folgenden dann von 2 m und später 0,3 m Auflösung. Auf den grob auflösenden Aufnahmen konnte man keine Felsen ausmachen, die in einer Größe sind, wo ein Lander umkippen kann, wenn er auf ihnen aufkommt oder zumindest in der Funktion beeinträchtigt ist. Viking Lander 1 kam wenige Meter neben einem 1,5 m hohen Felsbrocken \u201eBig Joe\u201c auf. 7 m weiter und er wäre auf ihm gelandet und umgekippt. Ebenso landete Pathfinder nur wenige Meter neben einem 1 m großen Felsbrocken \u201eYogi\u201c. Eine Landung auf ihm wäre auch das aus der Mission gewesen.<\/p>\n Ich finde insgesamt, das das Exomarsprogramm kein Ruhmesblatt für die ESA ist. Siehe dazu auch der letzte Blog<\/a>. Die Frage, die ich mir stelle ist, wofür man 1,5 Milliarden Euro ausgibt. Ein Orbiter, der nur wenige Instrumente trägt und bei der Software für die eh schon kastrierte Mission (warum hat man nicht wenigstens die Oberfläche mit Solarzellen bedeckt, um eine längere Betriebszeit zu ermöglichen. Per se ist es aber ein Witz einen Lander abzusetzen der nur einige Tage arbeitet. Wenn man für 2020 eine Landeplattform baut, die dauerhaft arbeitet, warum setzt man die nicht 2016 ein. Das wäre dann auch eine realistische Generalprobe. Den komplexen Rover kann man dann 2020 hinzunehmen. Ich war stolz darauf, dass die ESA es mit Venus- und Marsexpress hinbekam, preiswerte Missionen zu designen, die trotzdem wissenschaftlich wertvoll sind. Derzeit läuft es darauf hinaus, dass man nur teure Missionen designt, die wissenschaftlich nicht so wertvoll sind. Klar, auch bei den USA ist die Zeit der preiswerten Missionen vorbei. Insight ist im Prinzip von der Sonde her ein Nachbau des Mars Polar Landers. Der kostete 234 Millionen Dollar (inflationskorrigiert) Insight 838 Millionen Dollar. Aber dort sind es wenigstens nicht Sonden, die einige Tage lang wenige Messwerte liefern. Es setzt sich ja fort: 2020 gibt es trotz eines Proton-Starts (Nutzlast zum Mars rund 5,2 t) nur eine Cruise Stage. Ich glaube nicht das die Landeplattform so schwer ist, als das man da nicht noch einen Orbiter mitnehmen könnte. Vielleicht nicht so ein Monster wie der TGO<\/a>, aber einen in der Größe von Mars Express in jedem Fall. Auch hier: gespart aber am falschen Ende.<\/p>\n Mein Resümee: Das war kein Ruhmesblatt. [Edit]<\/p>\n<\/p>\n