Mars Climate Orbiter: Pfundkraftsekunden und fehlende Schutznetze

Die NASA-Raumsonde Mars Climate Orbiter ging am 23. September 1999 beim Erreichen des Mars verloren. Eine Bodensoftware lieferte Impulsdaten in Pfundkraftsekunden, obwohl die Schnittstellenspezifikation Newtonsekunden verlangte. Der NASA-Untersuchungsbericht beschreibt jedoch keinen isolierten Umrechnungsfehler: Auch Tests, Kommunikation und organisatorische Zuständigkeiten stoppten ihn nicht.

Der Impuls ist hier das Produkt aus Kraft und Zeit. Kleine Triebwerksmanöver entlasteten die Reaktionsräder der Sonde. Ihre Wirkung auf die Flugbahn berechnete ein Bodenprogramm und übergab sie an die Navigationssoftware.

Die vereinbarte Einheit war Newtonsekunden. Tatsächlich kamen Pfundkraftsekunden an. Dadurch unterschätzte die weitere Verarbeitung die Wirkung der Manöver um den Faktor 4,45. Die nachträgliche Rekonstruktion ergab einen marsnächsten Bahnpunkt, die Periapsis, von etwa 57 Kilometern. Das waren rund 170 Kilometer weniger als der geplante Wert von 226 Kilometern und zu niedrig für das Überleben der Sonde.

Dokumentation ist noch keine durchgesetzte Schnittstelle

Die geforderte Einheit stand in der Software Interface Specification, also der Beschreibung von Format und Bedeutung der ausgetauschten Daten. Sie wurde bei Entwicklung und Test der Bodensoftware nicht korrekt umgesetzt.

Aus heutiger Entwicklungssicht ließe sich eine solche Grenze zusätzlich absichern: mit Einheiten in Datentypen oder Schemas, automatischen Plausibilitätsprüfungen und Testvektoren, deren Ergebnis Erzeuger und Verbraucher unabhängig berechnen. Das sind übertragbare redaktionelle Lehren; der NASA-Bericht selbst fordert unter anderem eine Prüfung der Einheitennutzung und Audits auf Einhaltung der Schnittstellenspezifikation.

Die Anomalie war sichtbar, wurde aber nicht geschlossen

Die Datendatei hatte zunächst Format- und Inhaltsprobleme. Als das Navigationsteam sie ab April 1999 verwenden konnte, erkannte es laut Bericht innerhalb etwa einer Woche auffällige Werte: Die berechnete Wirkung der Entlastungsmanöver auf die Flugbahn war zu klein. Außerdem fanden diese Manöver 10- bis 14-mal häufiger statt als vom Navigationsteam erwartet. Damit summierten sich die falsch modellierten Geschwindigkeitsänderungen.

Der Untersuchungsbericht nennt acht beitragende Ursachen. Sie lassen sich in drei Gruppen lesen:

Navigation und Entscheidungen: Die Geschwindigkeitsänderungen blieben falsch modelliert; das Navigationsteam kannte die Sonde nicht ausreichend; eine fünfte Kurskorrektur wurde nicht ausgeführt.
Übergang und Organisation: Der Wechsel von Entwicklung zu Betrieb, die Kommunikation, die Personalausstattung und die Schulung waren unzureichend.
Softwareprüfung: Verifikation und Validierung der Bodensoftware erfassten die Schnittstelle und die vollständige Verarbeitungskette nicht mit ausreichender Strenge.

Verifikation fragt, ob ein System seine Spezifikation erfüllt. Validierung fragt, ob das resultierende System im vorgesehenen Einsatz funktioniert. Laut Bericht war nicht erkennbar, dass ein durchgängiger End-to-End-Test die erzeugte Datei bis zu ihrer Wirkung im Navigationsmodell gegen die Spezifikation prüfte.

Fünf Fragen für heutige Systeme

Sind Einheiten Bestandteil einer maschinenprüfbaren Schnittstelle oder nur Begleittext?
Wird ein Datenprodukt mit bekannten Testvektoren von Erzeuger und Verbraucher geprüft?
Gibt es eine Gegenrechnung durch ein zweites Verfahren, Werkzeug oder Team?
Wer besitzt eine Anomalie, bis Ursache und Auswirkung geklärt sind?
Testet ein End-to-End-Szenario die vollständige Übergabekette statt nur einzelne Programme?

Der Mars Climate Orbiter scheiterte an einem Einheitenbruch. Nützlich wird die Geschichte, wenn sie nicht dort endet: Der Fehler wurde kritisch, weil mehrere unabhängige Schutzschichten zugleich fehlten oder versagten.

Quellen

NASA Science: Mars Climate Orbiter, Missionsüberblick und Verlustdatum
NASA: Mars Climate Orbiter Mishap Investigation Board Phase I Report, 10. November 1999

Quellenstand: 24. September 2026.