El pasado 25 de enero despegaba desde la rampa ELA-3 de Kourou (Guayana Francesa) el cohete Ariane 5 ECA L5101 en la misión VA241. Contra todo pronóstico, el cohete siguió un rumbo —azimut— de unos 110º, 20º más al sur de lo normal. Afortunadamente el cohete no sobrevoló ninguna zona poblada y los satélites de comunicaciones SES-14 y Al Yah 3 alcanzaron la órbita de transferencia, aunque con una inclinación de 20,5º en vez de los 3º esperados. Debido a esta órbita anómala los satélites tardarán más tiempo en llegar a la órbita geoestacionaria y gastarán más combustible en el proceso. Pero lo realmente grave del asunto es que nadie en el centro Júpiter para el control de la misión se dio cuenta de la trayectoria errónea del lanzador. No sería hasta 9 minutos y 26 segundos tras el despegue cuando se percataron de que algo iba mal. En ese momento el cohete, volando más al sur de lo planeado, quedó fuera del alcance de las estaciones de tierra situadas en África y se perdió la telemetría del vehículo. La telemetría no se volvería a recibir hasta que los dos satélites ya estaban situados en órbita, aunque para entonces los encargados de la misión pensaban que el lanzamiento había sido un fracaso e incluso llegaron a disculparse públicamente por el error.
Finalmente la misión no fracasó por poco. Si los satélites hubieran llevado un sistema de propulsión tradicional totalmente químico en vez de incorporar un sistema de propulsión eléctrica con motores iónicos o, si en vez de la órbita geoestacionaria el objetivo hubiese sido otro, muy probablemente la carga útil habría terminado en una órbita inútil. El análisis posterior mostró que el cohete había funcionado perfectamente y que desde un principio la trayectoria fue incorrecta. También surgieron dudas acerca del funcionamiento del sistema de destrucción o FTS (Flight Termination System). ¿Por qué no entró en acción?¿No fue necesario o, algo más preocupante, simplemente no se dieron cuenta del fallo? Aproximadamente un mes después ya tenemos algunas respuestas oficiales.
La comisión de investigación independiente (Independent Enquiry Commission) a cargo de la ESA deja muy claro que las causas del fallo se han identificado claramente y que no se trata de ningún problema de diseño del cohete, sin duda un mensaje destinado a tranquilizar a los actuales y futuros clientes de Arianespace. ¿Pero qué pasó exactamente? Pues, como muchos se temían, no se trató de un fallo de hardware, sino de un simple error de software. Para la misión VA241 el sistema de referencia interno (IRS) del cohete debía haberse programado con respecto a un azimut inicial de 70º, pero alguien metió la pata e introdujo el valor de 90º. El error es comprensible porque 90º es el valor usado en la mayoría de misiones del Ariane 5. La elección de 70º en vez de los 90º habituales se debió al deseo de uno de los dos clientes que querían que su satélite se separase de la segunda etapa en un ángulo recto con respecto a la trayectoria de vuelo.
Por tanto, el cohete despegó creyendo que estaba orientado con un azimut de 70º (hacia el noreste), cuando en realidad el azimut de referencia era de 90º (hacia el este). Como la trayectoria estaba programada para dirigirse 20º más al sur, el vehículo terminó con un azimut de 110º (el Ariane 5 gira sobre sí mismo unos 17 segundos tras el despegue para orientarse en el azimut correcto para cada misión, como la inmensa mayoría de lanzadores). Evidentemente, la culpa no es de la persona o personas que introdujeron el dato incorrecto —siempre hay que contar con que se van a producir errores humanos de este tipo—, sino de los controles de calidad y seguridad que no detectaron el error. En cualquier caso, no me gustaría estar en su piel.
La NASA ha participado en la comisión de investigación, aunque por el momento no se ha pronunciado. Recordemos que el telescopio espacial James Webb debe volar en el Ariane 5 el año que viene y nadie quiere que un proyecto de ocho mil millones de dólares fracase porque alguien ha tenido un mal día y se ha equivocado al teclear un simple número. Es normal que los fantasmas de otras misiones que fallaron en el pasado por causas similares, como el primer lanzamiento del Ariane 5 o la malograda sonda soviética Fobos 1, nos vengan a la cabeza. Más recientemente, en noviembre del año pasado el satélite Meteor M2-1 y 18 microsatélites se quemaron en la atmósfera porque el software de la etapa superior Fregat del vector Soyuz había sido programado con un azimut incorrecto para el cosmódromo de Vostochni (era la primera vez que se lanzaba un Soyuz con una Fregat desde Vostochni). Es posible que a muchos de los que en Europa se rieron de la metida de pata de los rusos ya no les haga tanta gracia el asunto.
No obstante, a la espera de tener disponible el informe final —por el momento lo que se ha hecho público es una simple nota de prensa— quedan un par de puntos por aclarar. Primero, ¿por qué no actuó el sistema de destrucción? De acuerdo con la documentación pública existente, parece ser que el límite en azimut para que el FTS entre en acción es de 113º. Si el cohete hubiera sobrepasado este ángulo debería haber sido destruido, independientemente de si los sistemas funcionaban bien o no, lo que quiere decir que durante la VA241 el lanzador se acercó peligrosamente a este límite, pero no lo superó.
Cuatro personas son las que deciden si el Ariane 5 debe ser destruido o no en cada misión. La primera es el oficial de telemetría (A/CVI), encargado de comprobar que todo transcurre según lo previsto de acuerdo con la información que llega del lanzador. La segunda es el oficial de seguridad adjunto (RSV-A), que además de supervisar la telemetría del A/CVI, vigila la trayectoria de lanzamiento usando imágenes y datos provenientes de estaciones de radar en tierra (las imágenes sirven para seguir al vehículo hasta los 250 metros de altura). También puede controlar la trayectoria mediante sensores GPS localizados en el cohete que son independientes de los usados para el sistema de guiado. La tercera persona es el oficial de seguridad jefe (RSV), que supervisa al RSV-A y es el único con autoridad para mandar la señal de destrucción al vehículo. La última persona es el operador de reserva (Remplaçant), que debe sustituir a cualquiera de los otros tres en caso de que sufran alguna indisposición. La destrucción del lanzador propiamente dicha se produce por la acción de cargas explosivas situadas en lugares especialmente sensibles o por el apagado del motor de la primera o segunda etapa, dependiendo de la fase del vuelo. Las cuatro personas se encuentran juntas en una pequeña habitación durante cada lanzamiento denominada FSCR (Flight Safety Control Room).
Aclarado —parcialmente— el tema del FTS, quedan un par de incógnitas por despejar. La más significativa es la falta de reacción del centro de control de la misión Júpiter, donde aparentemente no se enteraron de nada hasta mucho después. ¿De qué tipo de «centro de control de la misión» estamos hablando si no fueron capaces de ver que su cohete se había desviado 20º con respecto a la trayectoria prevista? Su actuación durante el incidente da la razón a los que afirman que este centro es un «teatrillo» dirigido a los medios de comunicación, VIPs y clientes de Arianespace. Es de todos conocido que el centro de control de los lanzamientos del Ariane 5 está situado en el edificio CDL3 (Centre De Lancement 3), lejos de las cámaras, pero muchos creíamos que Júpiter, al ser el centro de control de la misión, tenía alguna capacidad de decisión tras el lanzamiento. Visto lo visto, está claro que no es así.
Y hay otras cuestiones que quedan por despejar. El cohete parece que comenzó la maniobra de giro antes de los 17 segundos usuales, aunque se desconoce si este hecho tiene algo que ver con el error de azimut del software o estaba planeado desde un principio (algo difícil de creer, puesto que las maniobras de giro no se suelen ejecutar hasta que el lanzador está lejos de la torre de lanzamiento). La segunda duda es si el reciente traspaso del control del lanzamiento de la empresa Arianespace a ArianeGroup, fabricante del Ariane 5 y el futuro Ariane 6, ha tenido algo que ver con el problema. De hecho, esta era la primera misión cuyo lanzamiento corría exclusivamente a cargo de ArianeGroup, una decisión destinada al ahorro de dinero y que quizás ha salido un poco cara.
Las buenas noticias son que el fallo es fácil de corregir y es de esperar que el Ariane 5 no tarde mucho en volver a surcar los cielos. Las malas son… bueno, ¿cómo es posible que nadie se diese cuenta del error hasta que fue demasiado tarde?
Referencias:
- http://www.arianespace.com/press-release/independent-enquiry-commission-announces-conclusions-concerning-the-launcher-trajectory-deviation-during-flight-va241/
- http://dx.doi.org/10.1016/j.jsse.2017.03.001
- https://twitter.com/DutchSpace
Me alegra que el A5 funcionase de forma nominal. Parece un fallo humano y del sistema de control de calidad (consecuencia quizás de la reducción de costes).
Como dice la Ley de Murphy:
«Es imposible hacer un software a prueba de tontos, porque los tontos son muy astutos»
«y/o juegan a Space Invaders en horario de trabajo».
– Ostras, ¿a dónde se ha ido el petardo?
– Tranquilo, lo tengo en la mira.
– No, tío, el «otro» cohete…
Esto es el colmo de la incompetencia en serio alguien mete mal unos digitos en la computadora de el cohete y nadie se entera
Ni los chinos o hindúes son tan incompetente
Esto abre la hipótesis del sabotaje o auto sabotaje valla a saber de quien pero me parece muy grave si el satélite hubiera sido el jamn weep hubiera sido una pifiada multi billonaria 🙁
Ay, «valla» toalla! ¿el programa espacial chino está libre de errores? Di que sí, vamos a comparar el nivel de seguridad y fiabilidad del Ariane 5 con los larga marcha. Ya les gustaría a los chinos que ahora están comenzando con los combustibles criogénicos …
Pues yo creo, y no tengo pruebas, que esto ha sido hecho a propósito con el fin de mejorar los sistemas de control para el JWST.
Tienes alma de empresario. Joder un lanzamiento multimillonario a propósito para hacer algo que podrías hacer igualmente.
Eres un lince.
un empresario al mirar esto, diría (datos de wikipedia sin miramientos):
$8.7 billion >>>>>> $60 million
Pues si, que pete, y así me curo en salud, yo os pago lo que cuesta, y así aprendemos.
Es curioso el ímpetu de algunos en quedar como tarados.
Me ha hecho gracia lo del «teatrillo».
No conocía yo ese aspecto de los lanzamientos comerciales del Ariane.
En fin , que han librado el desastre por los pelos y rozando el larguero. Pero esto no es fútbol, no sólo el resultado importa. A ponerse las pilas!
Sigo pensando que la inteligencia artificial va a remplazar a los tontos XD.
va a reemplazar es a los humanos
Difícilmente van a reemplazar a los humanos sistemas que no sabe ni cómo funcionan( redes neuronales multicapa )que necesitan la intervención de los humanos , y que no pueden autorreplicarse, por mucho que los agoreros de la ciencia-ficción y los conferenciantes interesados nos planteen escenarios catastrofistas ..
Eres un visionario secret deberias hablar con alguien y contarle tus teorias para hacerlas realidad . Pero ahora en serio, si no pones un link de esos sin sentido con la noticia nadie te tomara en serio.
Ahí van algunos datos que a lo mejor puedes utilizar la próxima vez que escribas un artículo «serio» sobre el CSG, sus centros de control y la toma de decisiones:
Como todo el mundo sabe (o al parecer no…) en el CSG hay varios centros de control. En concreto Jupiter está gestionado por el CNES y se encarga de la base de lanzamiento y sus sistemas, no del cohete.
Respecto a la capacidad de decisión, desde Jupiter se puede cancelar un lanzamiento, evidentemente ésto se realizara durante la crono negativa, porque una vez el cohete es lanzado, la base de lanzamiento deja de ser relevante.
Para finalizar, indicarte que el tratamiento de datos no se hace ni en Jupiter, ni en el CDL3 (donde por cierto también hay prensa y espectadores), ni en Kourou, así que por favor, seamos serios a la hora de escribir, dejemos los sensacionalismos para la prensa rosa y hagamos los deberes antes de emitir juicios de valor.
Agradezco tus indicaciones y tus críticas, MGM. Lamento no haber dejado claro la diferencia entre el centro de control de la misión y el de lanzamiento, aunque sinceramente creo que el tratamiento no es sensacionalista, pero bueno. En todo caso, sigo sin saber cómo es posible que no se dieran cuenta en Júpiter de la desviación de trayectoria. Si puedes arrojar luz al respecto, lo agradecería sinceramente.
Me sigue sin quedar claro lo que entiendes por “centro de control de la misión” y “centro de control de lanzamiento”, ambos son centros de control solo que tienen competencias técnicas diferentes: uno se ocupa de la parte suelo y el otro de la parte vuelo.
A que te refieres por Júpiter? Al CNES? a Arianespace? Al cliente satélite? “Júpiter” es un concepto amplio que no dice nada.
Durante el lanzamiento hubo una anomalía, todo el mundo se dio cuenta. Las investigaciones sobre las anomalías se tratan a posteriori con todos los datos encima de la mesa, pero no solo para el Ariane 5, también para el resto de lanzadores (al menos aquellos que yo conozco).
Desde mi punto de vista y conociendo bien de lo que hablo, el tratamiento del artículo no responde a la realidad: datos “inexactos”, otros directamente falsos y poca claridad en los conceptos. Se intenta simplificar un proceso bastante complejo, que involucra muchos actores y que bajo ningún concepto se resume a la introducción de un dato en un programa y al respectivo control de calidad. Aunque sin duda, lo que colma el vaso, es el supuesto “Teatrillo” de “Jupiter”, el cual cuenta con más 600 actores dando un servicio 7/7, 24/24.
tu no estas aportando nada, solo criticas, Daniel te pregunto que ya que sabes tanto nos ilumines y nos digas porque el control de vuelo no se dio cuenta de la trayectoria y no ordeno al cohete que la corrigiera.
Porque en vuelo no se puede ordenar nada al cohete salvo su autodestrucción. El cohete es autónomo y va pilotado por un ordenador de abordo que va respetando la trayectoria definida en su programa de vuelo y orientándose con los sistemas inerciales.
Entiendo que, si como podría dar a entender, mantiene una relación estrecha con la ESA, se escriba desde la inquina, porque la nota da pie a ello. Lo entiendo, lo comprendo y lo apoyo! Sr. Metro Goldwyn Mayer, anytime, … pero porqué jugar al «aquí te pillo» para desenmascarar a Dani? No quiero decirle cómo tiene que expresarse, sin embargo, a los demás (Dani también se lo ha pedido) nos ayudaría mucho más que no se limitase a senalar los puntos deficientes del post, sino que los explicara sin demasiado misterio. Y ya de paso, como está por aquí, sería increíble si encima nos contara otras cosas de forma desinteresada, como hace el autor del blog, que es un entusiasta sin acceso 7/7, 24/24 a información privilegiada.
Repito, entiendo su mosqueo, pero no que en sus 2 posts insista en no explicar porqué está tan mal redactado el artículo más allá de acusar de falta de conocimiento al autor.
PD: Esto no pretendía ser una defensa a Dani, pero seguro he fallado en mi plan, jaja. Sé que no me necesita xD, pero tenía un rato libre.
Gracias por contestar MGM. Creo que está claro que con Júpiter me refiero a la parte que se puede ver en todas las transmisiones de Arianespace sobre los lanzamientos del Ariane 5. Y me refiero al hecho de que durante la misión VA241 nadie (públicamente) se dio cuenta del error e incluso se disculparon por la pérdida de la carga útil. Por supuesto que me imagino que en las instancias adecuadas se dieron perfecta cuenta de lo que estaba pasando. Pero de cara al público, no, no todo el mundo se dio cuenta (repito, se disculparon en directo porque pensaban que habían perdido la carga útil tras perder la telemetría). La pregunta que nos hacemos muchos (no estoy solo en esto) es cómo es posible que durante la transmisión no se diesen cuenta del fallo. Simplemente eso. Nada más. No me parece normal y algo me dice que, a partir de ahora, algunos procedimientos van a cambiar (de acuerdo con el manual del Ariane 5, entre las atribuciones del Mission Control Centre en el edificio Jupiter está el «providing data exchange and decisional process and flight monitoring»).
Si he cometido errores, lo siento. He intentado informarme lo mejor posible y créeme, no ha sido fácil. La documentación pública sobre CSG y el Ariane 5 no solo es escasa, en muchos aspectos es inexistente. Y, por supuesto, claro que he simplificado el artículo. Siempre lo hago, pero agradecería que me señalases los datos «falsos» y los corregiré con gusto (si quieres mándame un mail a skydma@gmail.com).
¡Amén! Lo último que un espaciotrastornado desea es tener que volver a experimentar esa angustia en vivo y en directo, de ahí que nuestras críticas sean viscerales, sin término medio.
Como entusiastas del programa Ariane ponemos el grito en el cielo para que esto no vuelva a ocurrir. Algo tiene que cambiar, y ojo, cambiar hacia el lado transparente de La Fuerza… lo otro ya sabemos cómo termina.
Si, creo que con lo de «teatrillo» has patinado.
Nunca te habia leido decir algo asi por la imagen que transmite SpaceX por ejemplo, que consiste en tres chavales con unos PCs con un escaparate detras lleno de becarios gritando :/
Entiendo que la palabra teatrillo pueda ser excesiva. Mis disculpas si alguien se ha sentido ofendido. Por otro lado, es la primera vez que alguien me critica por ser benevolente con SpaceX. ¡Logro superado!
Hostia con los profesionales de sentirse ofendidos…
1) ¿Qué lanzamiento NO es un show? Escena meticulosamente preparada, ídolo impoluto y erecto en el altar presto a descargar su furia, suspenso anudaestómagos, luz, cámara, logos (muchos logos), cuenta regresiva rompenervios… ¡acción!
2) Los teatrillos de SpaceX son tan explícitos, tan honestamente autoparódicos, que las agencias espaciales de todo el mundo deberían estar tomando nota. Los nombres de las barcazas son un bonus 🙂
3) El último teatrillo que montaron esos tres chavales y su cortejo de hooligans becarios… no lo puede igualar nadie. NADIE.
4) ¡Logro superado! XDDD
La verdad para mi los teatrillos de Space X le matan el encanto. Cuando lanzaron el Falcon heavy tuve que ponerle mute al video porque los gritos se me hicieron insoportables. Cada vez que el narrador pestañeaba o o movía un dedo, sonaban gritos de celebración histéricos, era exageradisimo y se me hizo molesto. Hubiera entendido esos gritos una vez que ya hubiera despegado por un momento, pero fue griterío constante durante horas. Siento que le mata lo épico y grandioso al momento y lo convierte en una fiesta adolescentes en la playa.
MGM, creo que te equivocas… El máximo responsable del lanzamiento y de la fase de seguridad de la misión es el Director de Operaciones (DDO) que pertenece al CNES/CSG y coordina todo desde el Centro de Control del edificio Júpiter. Es el Jefe de Misión (CM), que pertenece a Arianespace, quien debe proporcionar al DDO toda la información sobre el estado del lanzador. El DDO puede abortar el lanzamiento manualmente hasta 4 minutos antes del lanzamiento. Después, el lanzamiento aún puede ser abortado automáticamente hasta el segundo -7. Tras el lanzamiento hay una fase de 8 minutos, de ‘seguridad de la misión’ que sigue siendo coordinada desde el CDC del edificio Júpiter (que los datos se envíen al Centro de Tratamiento de Telemetría de Touluse es irrelevante), el responsable de esta fase es quien toma la decisión de destruir el lanzador por control remoto si lo considera necesario. Por supuesto, aunque a continuación el seguimiento ya no dependa de ellos, nadie en el edificio Júpiter se relaja hasta que se comprueba que los satélites en están en la órbita correcta. Ante cualquier anomalía se forma una comisión técnica para el tratamiento de incidentes (CTTI) dirigida por el Subdirector de Operaciones (también del CNES/CSG). Lo extraño es que un centro moderno, con equipos duplicados, cientos de técnicos, coordinadores y responsables, preparado para cualquier contingencia, haya -aparentemente- tardado tanto en reaccionar ante una anomalía grave.
Solamente por el «centro moderno» afirmaria que nunca has trabajado alli, y mucho menos haciendo chronologias.
Los parámetros del lanzamiento deberían introducirlos tres personas distintas incomunicadas en tres edificios distintos al mismo tiempo y que el sistema los vaya comparando para ver si son iguales.
Esperando que los tres no cometan el mismo error.
Acabo de recordar un episodio de Los Simpson con un infalible plan de las profesoras del colegio para no perder niños en una excursion, que era juntarlos por parejas y a la hora de volver les preguntaban si les faltaba su pareja. No contaban con perder una pareja completa.
Daniel, das a entender que el error viene del operador que introduce el azimuth en los sistemas inerciales y su correspondiente control de calidad.
Pero estas especificaciones son definidas bastante antes, en los despachos de Europa.
No crees que el error podria ir arrastrado desde la definicion del azimuth? Eso explicaria que el control de calidad no lo detectase tampoco, al basarse tambien en un azimuth erroneo.
Evidentemente, no tengo ni idea de dónde surgió el error. Seguramente no es algo sencillo de detectar, pero por ahora no lo sabemos.
El lexico de hoy definiría el error como «una oportunidad de mejora».
Expresión que puede tomarse en serio o en broma, ambas interpretaciones son válidas.
Me sumo a la pequeña crítica al autor ya realizada por otros: La introducción de una cifra errónea no es un “error de software”, es más bien un “error humano” de toda la vida.
Por lo demás, muchas gracias como siempre por la entrada.
Por si el título de la entrada no es suficientemente explícito:
«¿Pero qué pasó exactamente? Pues, como muchos se temían, no se trató de un fallo de hardware, sino de un simple error de software. Para la misión VA241 el sistema de referencia interno (IRS) del cohete debía haberse programado con respecto a un azimut inicial de 70º, pero alguien metió la pata e introdujo el valor de 90º.»
La oración resaltada (por mí) en negrita obviamente NO es la explicación, es una introducción a la explicación, y su intención es dejar claro desde el vamos que no se trató de un fallo del cohete en sí (hardware). Inmediatamente a continuación (punto y seguido) la explicación propiamente dicha (en ese y sucesivos párrafos) deja clarísimo que fue un error de input, es decir, un «error humano» de toda la vida.
¿Qué parte no se entiende, o es que Daniel también va a tener que ofrecer cursos acelerados de interpretación literaria en su blog?
Un error de input no es una error DEL software, pero ciertamente ocasiona una falla a nivel de software. Decir que «ocasiona» una falla de software, o decir que «es» una falla de software, da igual en una oración que NO es la explicación propiamente dicha.
Ganas de buscarle la 5ta pata semántica al gato.