Softwarefehler in der Raumfahrt: In den Neunzigern stürzte alles ab

Ein Kommafehler führt zum Absturz einer Rakete? Ist alles schon vorgekommen. Softwarefehler waren in den neunziger Jahren die häufigste Fehlerquelle in der Raumfahrt.

Artikel von Frank Wunderlich-Pfeiffer veröffentlicht am 24. November 2015, 12:02 Uhr

Explosion der ersten Ariane-5-Rakete am 4. Juni 1996 (Bild: Esa)

Die neunziger Jahre waren die finanziell verlustreichsten in der Raumfahrt. Eine Mission nach der anderen scheiterte. Es wurden neue Raketen eingeführt, und sie explodierten oder gerieten außer Kontrolle - und die Nutzlast war gestrandet. Raumsonden flogen zum Mars und wurden nie mehr gehört oder gesehen. Die Ursache waren Softwarefehler durch Bereichsüberschreitungen von Variablen und Kommafehler beim Abtippen von Konstanten. Das war ein schmerzhafter Lernprozess für die Raumfahrtorganisationen, wie unsere Liste der verlorenen Missionen zeigt.

Der erste Flug der Ariane 5

1996 startete die Esa ihre neue Ariane-5-Rakete zum ersten Mal. Anders als ursprünglich geplant, war die Ariane 5 keine verbesserte Ariane 4, sondern eine völlig neue Rakete. Kein Teil war mehr gleich. Jeder der beiden Feststoffbooster hatte allein schon mehr Schub als die größte Variante der Ariane 4. Bei 66 Prozent mehr Startmasse hatte die Ariane 5 einen um 140 Prozent größeren Schub. Sie hob viel schneller ab und es wirkten im Flug viel größere Kräfte. Die Hardware war völlig neu. Nur die Software sollte von der alten Ariane übernommen werden, weil sie bisher zuverlässig funktioniert hatte und die Neuentwicklung viel teurer gewesen wäre. Die Ariane 5 sollte trotzdem von Anfang an so zuverlässig sein wie die Ariane 4. Schon beim ersten Flug sollte sie vier Cluster-Satelliten im Wert von 370 Millionen US-Dollar tragen.

37 Sekunden bis zur Selbstzerstörung

Nur 37 Sekunden nach dem Start musste die Rakete aber gesprengt werden. Die viel größeren Querbeschleunigungen wurden ihr zum Verhängnis. Der Messwert der Beschleunigung wurde als (signed) 16-bit Integer weitergegeben. Als die den magischen Wert von 32768 übersprang und zur -32767 wurde, löste das eine Fehlermeldung aus, die in ADA standardmäßig zum Abbruch des Steuerprogramms führte. Daraufhin blieben die Steuerdüsen in ihrer Position stecken und die Rakete drehte sich quer zur Flugrichtung.

Die Variable wurde aus Performancegründen aus der Kontrolle auf Wertbereichsüberschreitung herausgenommen. Der Programmteil, in dem das alles passierte, wurde tatsächlich in der Ariane 5 auch nicht mehr gebraucht. Er wurde nur übernommen, um die Unterschiede in den Softwareversionen der Raketen zu minimieren.

Der Fehler wäre mit dem Prinzip "Test as you fly, fly as you test" wohl erkannt worden. Anstatt mit Daten aus dem echten Trägheitsnavigationssystem der Rakete war das Steuersystem aber nur mit Werten aus einer Simulation getestet worden. Und selbst diese Simulationen folgten nicht der eigentlichen Flugbahn der neuen Ariane-5-Missionen. So rutschte dieser Fehler durch und verursachte das Desaster. Die heute vergessenen Peinlichkeiten der Ariane 5 endeten nach 14 Flügen, von denen nur zehn erfolgreich waren. Den Report der Esa zum Absturz der ersten Ariane 5 gibt es hier.