6.4 – Megbízás, végrehajtás és felügyelet – Auftrag, Ausführung und Aufsicht

1. 1999 áprilisában a Mars Climate Orbiter pályáját követő navigátorok észrevették, hogy a pályahelyzet-szabályozó hajtóművek kis erejű bekapcsolásai nem eredményezték a modelljük által előre jelzett sebességváltozásokat.

2. Az eltérés csekély volt, de olyan út során jelentkezett, amelynek során a kis hibák hónapokig felhalmozódhattak, mielőtt a szonda olyan manőver elé került volna, ahol alig volt lehetőség a korrekcióra.

3. Szeptember 23-án az űreszköz a Mars mögött eltűnt a pályára állás során, és soha többé nem állította vissza a rádiókapcsolatot.

4. Rendszerei a közeledésig nagyrészt engedelmeskedtek a parancsoknak.

5. A hiányzó jel feltárta egy olyan hibát, amely több asztalon is átment, mielőtt eljutott volna a bolygóhoz.

6. Az űreszköz nem rossz mértékegységekben végzett számításokat.

7. A hiba egy földi szoftverfájlban kezdődött, amelyet a Lockheed Martin készített, amely egyben az űreszközt is gyártotta és üzemeltette.

8. A „Small Forces” nevű program szolgáltatta az adatokat a hajtóművek bekapcsolásából származó impulzusokról.

9. Az interfész-specifikáció metrikus mértékegységeket írt elő, míg a szállított értékek angol mértékegységeket használtak, így ugyanaz a kinyomtatott szám az átadás mindkét oldalán eltérő fizikai impulzust jelentett.

10. A JPL navigátorai a pálya becslésekor a számokat a megadott metrikus értékekként kezelték.

11. Egy mértékegység hiányzott anélkül, hogy egy szám nyilvánvalóan hibásnak tűnt volna.

12. Az ismételt hajtómű-bekapcsolások ezután torz képet adtak az űreszköz mozgásáról, amely bekerült a hosszú utazás során végzett navigációs számításokba.

13. A vizsgálat a metrikus értékek előállításának elmulasztását azonosította a hiba technikai kiváltó okaként.

14. Nem állapította meg, hogy egyetlen személy egyszerűen csak rossz gombot nyomott meg.

15. A szerződés feladatokat osztott ki, de a küldetés a vállalkozó teljesítménye és a JPL általi felhasználás közötti összhangtól függött.

16. A NASA határozta meg a program átfogóbb céljait és korlátait.

17. A JPL irányította a projektet, és felelősséget vállalt a küldetés tervezéséért, a navigációért, a rendszermérnöki munkáért és a minőségbiztosításért, míg a Lockheed Martin az űreszköz-rendszer fontos részeit gyártotta és üzemeltette.

18. Minden szerep valós volt, és egyik sem tette láthatatlanná a munkájuk közötti határt.

19. Egy adatfájl teljesnek tűnhet, ha formátumát elfogadják, még akkor is, ha a fogadó program a számokból önmagukban nem tudja megállapítani, hogy az előállító a megállapodás szerinti mértékegységet használta-e.

20. Jelentése azonban egy olyan feltételezésen múlik, amely a fogadó számára láthatatlan lehet.

21. A mértékegység-specifikáció papíron kifejezetten megfogalmazta ezt a feltételezést, de maga nem ellenőrizte a program kimenetét, és nem figyelmeztette a navigátort, ha egy valószínűnek tűnő érték téves jelentést hordozott.

22. Gyakorlati hatékonysága attól függött, hogy a tényleges kimenetet összehasonlították-e a specifikációval.

23. A korai fájlhibák miatt a műveleti navigátorok az űrrepülés első hónapjaiban nem tudták felhasználni a hajtómű-adatokat.

24. Ehelyett a vállalkozótól érkező értesítésekre és a hajtóműindításokról alkotott saját becsléseikre támaszkodtak.

25. Amikor áprilisban végre megérkeztek a használható fájlok, az adatok továbbra is alulbecsültnek tűntek a megfigyelt hatáshoz képest.

26. Ez csak egy nyom volt, nem pedig diagnózis.

27. A rádiós nyomkövetés az egyes hajtóműindítások hatásának csak egy részét tudta egyértelműen feltárni, mivel a hajtóművek többnyire a Földről látható vonal mentén tolódtak, ami miatt nehezebb volt elkülöníteni a szisztematikus hibát.

28. A navigátoroknak ezért okuk volt a eltérés kivizsgálására, de nem tudták közvetlenül leolvasni a rádiójelből az egységhibát, és nem oszthatták egyszerűen a megfigyelt mozgást a jelentett impulzus értékével.

29. Ha minden rendellenességet egy ismert ok bizonyítékaként kezelnének, az nem tenné megbízhatóbbá a vizsgálatot.

30. Azonban az is veszélyes, ha egy tartós rendellenességet rutinszerűnek tekintenek csak azért, mert oka ismeretlen – éppen ellenkező okból.

31. A megkülönböztetés fontos: a csapat már akkor felismerte, hogy a modell hibás, mielőtt bárki is azonosította volna az okát.

32. A későbbi NASA-vizsgálat megállapította, hogy a navigációs megoldások közötti eltérések a Mars felé vezető úton is megoldatlanul fennmaradtak.

33. Az egyik módszer ismétlődően közelebbi elhaladást jelezett, mint a többi.

34. Ez az eltérés önmagában nem biztosított biztonságos, korrigált pályát, mivel az alternatív becsléseket még mindig össze kellett vetni a nyomkövetési adatokkal, az űreszköz viselkedésével és a fennmaradó korrekciós lehetőségekkel.

35. Ez azonban azt mutatta, hogy a küldetés közeledéséről alkotott kép kevésbé volt egyértelmű, mint amit egy egyetlen becslés sugallt.

36. A vizsgálat azt is megállapította, hogy az üzemeltetési navigációs csapat későn csatlakozott, és nem vett részt a főbb tervezési felülvizsgálatokban, illetve a földi szoftver tesztelésében.

37. Egy működő rendszert örököltek, anélkül, hogy ugyanolyan hozzáférésük lett volna annak alapfeltevéseihez.

38. A tudás nem teljes körűen került át a fejlesztésből az üzemeltetésbe.

39. Az egységhiba ezért több volt, mint egy hosszú lánc végén elkövetett elírás.

40. Azért maradt fenn, mert egy megígért interfészt nem ellenőrizték a készítő programtól a fogadó navigációs számításig, bár az út két vége különböző szakemberekhez tartozott.

41. Egy végpontok közötti teszt megvizsgálta volna, hogy a fájl értékei valóban azt jelentik-e, amit a modell feltételezett, reprezentatív adatok felhasználásával, ahelyett, hogy a helyesen formázott fájlt bizonyítékként kezelte volna.

42. A vizsgálók nem tudták megállapítani, hogy az ilyen tesztelést kellő alapossággal végezték-e el.

43. Kérdésesnek tartották azt is, hogy elvégezték-e a földi szoftver független ellenőrzését, ami azért fontos, mert egy független ellenőr képes ellenőrizni azokat a feltételezéseket, amelyekben a fejlesztő és a felhasználó egyaránt osztozik.

44. A független felülvizsgálat feladata eltér az eredeti kód írásától.

45. Azt vizsgálja, hogy a követelménytől a használható eredményig vezető teljes út bemutatásra került-e, különösen akkor, ha a különálló csapatoknak jó okuk van bízni a saját részükben.

46. Ez az út az embereket is magában foglalta, nemcsak a szoftvert.

47. A NASA-jelentés a projekt elemei közötti gyenge kommunikációról és egy igényes műveletek között megosztott navigációs csapatról számolt be.

48. A létszámhiány csökkenti a rendelkezésre álló időt arra, hogy megkérdőjelezzék egy valószínűnek tűnő értéket, összehasonlítsák a módszereket, és utánajárjanak egy olyan eltérésnek, amelyre nincs egyértelmű magyarázat, különösen akkor, ha ugyanaz a műveleti csoportnak más küldetéseket is támogatnia kell.

49. Ez azt is eredményezheti, hogy egy hivatalos figyelmeztetés csupán üzenetváltássá válik a már amúgy is leterhelt szakemberek között.

50. A vizsgálat megállapította, hogy egyes konfliktusokat e-mailben kezelték a küldetés hivatalos rendellenesség-kezelési folyamatának helyett, így nem maradt megbízható nyoma annak, hogy az alapul szolgáló műszaki kérdés megoldódott volna.

51. Egy e-mail pontosan közvetítheti a megfigyelést, de a státusza mégis bizonytalan maradhat.

52. Az első kérdés az volt, hogy ki volt a felelős a megoldatlan eltérésért, miután az átkerült a vállalkozói adatokból a JPL navigációs munkájába, és elkezdte befolyásolni egy kritikus pálya becsléseit.

53. A második kérdés az volt, hogy egy felhatalmazással rendelkező személy előírhat-e újabb tesztet a kritikus manőver előtt, még akkor is, ha a rendelkezésre álló mérési eredmények nem azonosították az okot.

54. A válasznak el kellett jutnia ahhoz a személyhez, aki felvetette az aggályt, mivel a vezetőség jóváhagyása nem jelentette a technikai megoldást.

55. A NASA nyomozói arra ösztönözték a csapatokat, hogy a különböző szakterületeken és a vezetői hierarchiában is jelentsék az aggályokat, miközben a kezdeményezőt a hivatalos lezárásig bevonják a folyamatba, hogy a választ össze lehessen vetni az eredeti észrevétellel.

56. A lényeg nem az volt, hogy minden szokatlan mérési értéket válsággá emeljenek.

57. Hanem annak megakadályozása volt, hogy egy megmagyarázhatatlan mérési érték eltűnjön, amikor a felelősség egyik beérkező levelek mappájából a másikba kerül.

58. A hivatalos lezárás azt jelenti, hogy a javasolt magyarázatot tesztelik, következményeit értékelik, és a döntést rögzítik olyan helyen, ahol az érintett csapatok láthatják, mielőtt az anomáliát lezártnak tekintenék.

59. Ezen lépések nélkül egy aggályt társadalmilag „megválaszolhatnak”, miközben műszakilag nyitott marad.

60. Ez a különbségtétel annál is fontosabbá vált, minél közelebb került a szonda a Marshoz.

61. Szeptember 15-én került sor az utolsó tervezett korrekciós manőverre, de a későbbi navigációs becslések szerint a legközelebbi megközelítés a vártnál kisebb távolságon történt.

62. Egy további manőverről tárgyaltak, de azt végül nem hajtották végre.

63. A vizsgálat megállapította, hogy az adott vészhelyzetre vonatkozó elemzés, eljárások és próbák nem voltak teljes körűek.

64. A tervben szereplő korrekció nem feltétlenül hajtható végre, ha szűkül az idő, mert az embereknek továbbra is szükségük van kritériumokra, tesztelt parancsokra és az eredmény ellenőrzésének módjára.

65. Ez volt egy újabb határvonal a kijelölt feladatok és az üzemkész állapot között.

66. Miután a jel nem érkezett vissza, a nyomozók rekonstruálni tudták az adatokat a korrekcióval ellátott egységekkel.

67. Becslésük szerint a legközelebbi megközelítés jóval a űrhajó számára biztonságosnak ítélt magasság alatt történt.

68. A jelentés nem tudta megfigyelni a végső becsapódást.

69. Arra a következtetésre jutott, hogy az űrrepülőgép a tervezettnél jóval alacsonyabb pályán lépett be a Mars légkörébe, és ezáltal veszett el, miközben az utolsó jelzés utáni pontos sorsa tisztázatlan maradt.

70. A visszatekintő számítás magyarázatot ad a veszteségre; áprilisban azonban a navigátorok nem rendelkeztek ezzel az ismerettel.

71. Feladatuk akkor az volt, hogy még a terv módosítására lehetőség nyílt, megvizsgálják, mit jelent ez az eltérés, ahelyett, hogy feltételezték volna, hogy a végső veszteség már eleve nyilvánvaló volt.

72. A technikai kiváltó ok meghatározza, hol került a rendszerbe egy megelőzhető hiba.

73. A közreható okok elmagyarázzák, hogyan maradt fenn a hiba, és miért nem tudta a szervezet megakadályozni.

74. Egyik megjelölés sem bizonyítja önmagában egy adott személy jogi vagy erkölcsi felelősségét.

75. A vizsgálat olyan munkafolyamatot tárt fel, amelynek több pontján is szigorúbb ellenőrzésekre volt szükség.

76. Téves lenne azt is állítani, hogy a NASA-nak minden, a vállalkozója által elvégzett számítást meg kellett volna ismételnie, mert a szakosodott munka megismétlése erőforrásokat emészthet fel anélkül, hogy a kritikus átadási pontokat tesztelnék.

77. A feladatátruházás lehetővé teszi, hogy egy szakosodott csapat elvégezze azokat a feladatokat, amelyeket a megbízó nem tud hatékonyan megismételni, feltéve, hogy az eredmény ellenőrizhető.

78. A megbízónak továbbra is meg kell határoznia az eredményt, finanszíroznia kell a kompetens ellenőrzést, és meg kell győződnie arról, hogy az eredmény működik-e az összeállított rendszerben, ahol több, egyenként helyes komponens is ütközhet egymással.

79. A NASA második vizsgálata pontosan ezt a megkülönböztetést tette, amikor minden alvállalkozói feladat kormányzati felügyelete helyett mélyebb felülvizsgálatokat szorgalmazott.

80. A felügyelethez műszaki kérdésekre van szükség, nem csupán egy újabb aláírásra.

81. A fogadó modell egységekre vonatkozó feltételezéseit közvetlenül össze kellett hasonlítani a generáló kód kimenetével.

82. Az üzemeltető csapatnak össze kellett vetnie a tényleges repülési fájlt olyan mintaértékekkel, amelyek egységei és várható hatásai ismertek voltak.

83. A navigátornak emellett szüksége volt egy módszerre, amellyel megkérdőjelezheti a becslést, és dokumentált választ kaphat a manőver előtt.

84. Ezek a kérdések összekapcsolják a felhatalmazást egy adott felülettel és egy adott döntéssel.

85. Emellett elegendő számú, megfelelő ismeretekkel rendelkező személyre is szükség van, aki feltegye őket.

86. Egy vezető nem orvosolhatja a létszámhiányos navigációs csapat problémáját azzal, hogy óvatosságra int.

87. Az erőforrások határozzák meg, hogy a manőverablak lezárulása előtt mennyi kétséget lehet kivizsgálni, mert egy olyan kérdést, amely három csapat bevonását igényli, egy magányos szakember nem tudja a rutin feladatok mellett kivizsgálni.

88. Ugyanakkor a személyzet létszámának növelése önmagában nem garantálná, hogy a hibát felfedezik.

89. A kérdés az volt, hogy a határt átlépő információt össze lehet-e vetni egy függetlenül értelmezett elvárással.

90. Egy második űrhajós küldetés megmutatja, mire képes egy ilyen ellenőrzés.

91. A Cassini az európai Huygens szondát vitte a Szaturnusz Titán nevű holdja felé, ahol a szondának a leereszkedés során – amely nem volt megismételhető – megfigyeléseket kellett küldenie a keringő űrhajón keresztül.

92. Mindkét űreszköz 1997-ben indult, még a Mars Climate Orbiter elvesztése előtt.

93. A Huygens-csapatnak nem a navigációs fájlokkal, hanem a rádiókapcsolattal kapcsolatos kockázattal kellett szembenéznie.

94. Egy javasolt repülés közbeni teszt során a földi állomásoknak olyan jelet kellett küldeniük a Cassini-nak, amely szimulálta azt, amit a Huygens a leszállás során továbbított volna, így a vevőt a változó frekvenciák releváns tartományában tesztelték.

95. A teszt jóváhagyása előtt ellenállásba ütközött.

96. 2000 februárjában kiderült, hogy a vevő nem tudta megfelelően kezelni a szonda jelében várható Doppler-eltolódást – egy olyan hibát, amelyet a Földdel folytatott szokásos kommunikáció során nem tártak fel.

97. A relatív mozgás megváltoztatja a vevő által érzékelt frekvenciát.

98. Az eredeti találkozási terv szerint ez az eltolódás azzal fenyegetett, hogy a Huygens adatainak nagy része olvashatatlanná válik.

99. Itt is meghibásodott az együttműködés, annak ellenére, hogy a feladatok megosztása az ügynökségek és a szakértői csapatok között már megtörtént.

100. A különbség abban rejlett, hogy mi történt, amíg a szonda még repülésben volt.

101. Az ESA kivizsgálta az eredményt, független vizsgálatot szervezett, és a NASA-val és az iparral együttműködve olyan helyreállítási tervet dolgozott ki, amely a teszt eredményét a küldetés problémájaként kezelte, nem pedig kellemetlen kivételként.

102. A kérdés elég sokáig nyitott maradt ahhoz, hogy a csapatok kipróbálhassák a tényleges kommunikációs probléma lehetséges megoldásait.

103. Végül megváltoztatták a Cassini korai Szaturnusz-körpályáit és a Titán közelében történő áthaladását, módosítva ezzel a relatív mozgást.

104. A Cassini így sokkal távolabbról vette volna a Huygens jelét, ami elég mértékben csökkentette volna a rádióútvonal mentén fellépő zavaró eltolódást ahhoz, hogy az adás a vevő működőképes hatótávolságába kerüljön.

105. Ez egy működési változtatás volt a vevő hibájának kompenzálására, nem pedig annak állítása, hogy a hiba soha nem is létezett.

106. Ez felemésztett némi tartalék üzemanyagot, és késleltette a Titán melletti elhaladást.

107. A költségek azért voltak fontosak, mert a korrekció korlátozott lehetőségek közül választott döntés volt, nem pedig szabad visszatérés az eredeti tervhez, és a módosított pálya üzemanyagot fogyasztott, miközben késleltette a szonda Titán melletti elhaladását.

108. 2005. január 14-én a Huygens leszállt a Titán légkörén keresztül, és a Cassini-n keresztül adatokat küldött a Földre.

109. Ez az eredmény nem bizonyítja, hogy a szervezet hibátlan volt.

110. A tesztet kezdetben ellenezték, és a végső helyreállításhoz éppen azoknak a határoknak a túllépését igénylő együttműködésre volt szükség, amelyek miatt a hiba következményes lett – a rádiómérnöki munkától a pályatervezésig.

111. A helyreállítás sem csupán a Mars-misszió kudarcából levont tanulság volt; a Cassini-Huygens-misszió már folyamatban volt.

112. Ez egy konkrétabb lehetőséget mutat: egy aggasztó eredményt értelmezhetővé lehet tenni, kivizsgálás alá lehet vetni, és változássá lehet alakítani, amíg még van idő.

113. Ugyanez a folyamat hiányzott a szonda megoldatlan navigációs eltéréséből.

114. Egy anomália-nyilvántartás nem végezheti el a teszt feladatát, és egy teszt sem döntheti el, milyen kompromisszumokat kell elfogadnia egy küldetésnek, de mindkettő rávilágíthat egy döntésre, mielőtt az visszafordíthatatlanná válna.

115. Együttesen közös alapot nyújtanak a szakértőknek és a vezetőknek az értékeléshez.

116. Azon személynek, aki aggályt vet fel, szüksége van egy útvonalra azokhoz, akik kivizsgálhatják azt, valamint felhatalmazásra, hogy megtudja, hogyan oldották meg a problémát, még akkor is, ha a válasz egy másik szervezettől érkezik.

117. Az irat címzettjének bizonyítékra van szüksége arra, hogy az abban szereplő számok valóban az ígért jelentést hordozzák.

118. A szponzornak tudnia kell, hogy a személyzet, az idő és a független ellenőrzés elegendő-e az általa átruházott kockázatok kezeléséhez, mivel egy interfész ellenőrzésére vonatkozó utasítás értelmetlen, ha nincs kapacitás annak végrehajtására.

119. A Mars-program során egy kis szám megbízható ellenőrzés nélkül lépte át a szervezeti határt.

120. A Titannál egy tesztjel átlépett egy határt, és olyan problémaként tért vissza, amelyet a csapatok még meg tudtak oldani.

121. Egy feladat akkor tekinthető befejezettnek, ha a hozzá fűzött feltételezések kiállják a próbát azoknál az embereknél és gépeknél, amelyek rá támaszkodnak, és ha egy eltérés addig nyitott marad, amíg valaki meg nem mutatja, mit jelent.

1. Im April 1999 stellten die Navigatoren, die den Mars Climate Orbiter verfolgten, fest, dass kurze Zündungen seiner Lageregelungsdüsen nicht zu den Geschwindigkeitsänderungen führten, die ihr Modell vorhergesagt hatte.

2. Die Abweichung war gering, trat jedoch während einer Reise auf, bei der sich kleine Fehler über Monate hinweg summieren konnten, bevor das Raumfahrzeug vor einem Manöver stand, bei dem kaum Spielraum für Korrekturen blieb.

3. Am 23. September verschwand das Raumfahrzeug beim Einbringen in die Umlaufbahn hinter dem Mars und nahm den Funkkontakt nie wieder auf.

4. Seine Systeme hatten bis zur Annäherung weitgehend die Befehle befolgt.

5. Das fehlende Signal deckte einen Fehler auf, der mehrere Instanzen durchlaufen hatte, bevor er den Planeten erreichte.

6. Das Raumfahrzeug hatte nicht in falschen Einheiten gerechnet.

7. Der Fehler hatte seinen Ursprung in einer von Lockheed Martin erstellten Bodensoftware-Datei; das Unternehmen hatte das Raumfahrzeug auch gebaut und betrieben.

8. Ein Programm namens „Small Forces“ lieferte Daten über die Impulse dieser Triebwerkszündungen.

9. Die Schnittstellenspezifikation verlangte metrische Einheiten, während die gelieferten Werte englische Einheiten verwendeten, sodass dieselbe ausgedruckte Zahl auf beiden Seiten der Übergabe einen unterschiedlichen physikalischen Impuls darstellte.

10. Die Navigatoren des JPL behandelten die Zahlen bei der Schätzung der Flugbahn als die vorgeschriebenen metrischen Werte.

11. Eine Einheit war fehlgegangen, ohne dass eine Zahl offensichtlich fehlerhaft aussah.

12. Wiederholte Zündungen führten dann dazu, dass während des langen Flugabschnitts verzerrte Bewegungsdaten des Raumfahrzeugs in die Navigationsberechnungen einflossen.

13. Die Untersuchung identifizierte dieses Versäumnis, metrische Werte zu liefern, als die technische Grundursache.

14. Es hieß nicht, dass eine einzelne Person einfach den falschen Knopf gedrückt habe.

15. Ein Vertrag legte die Aufgaben fest, doch der Erfolg der Mission hing davon ab, dass die Leistungen des Auftragnehmers mit den Anforderungen des JPL übereinstimmten.

16. Die NASA legte die übergeordneten Ziele und Rahmenbedingungen des Programms fest.

17. Das JPL leitete das Projekt und trug die Verantwortung für Missionsplanung, Navigation, Systemtechnik und Qualitätssicherung, während Lockheed Martin wichtige Teile des Raumfahrzeugsystems baute und betrieb.

18. Jede Rolle war real, und keine ließ die Grenze zwischen den jeweiligen Arbeitsbereichen verschwinden.

19. Eine Datendatei kann vollständig erscheinen, wenn ihr Format akzeptiert wird, auch wenn das empfangende Programm allein anhand der Zahlen nicht erkennen kann, ob der Ersteller die vereinbarte Einheit verwendet hat.

20. Ihre Bedeutung hängt jedoch von einer Annahme ab, die für den Empfänger möglicherweise nicht erkennbar ist.

21. Die Einheitenspezifikation machte diese Annahme auf dem Papier explizit, überprüfte jedoch weder selbst die Ausgabe des Programms noch warnte sie einen Navigator, wenn ein plausibler Wert die falsche Bedeutung hatte.

22. Ihre Wirksamkeit in der Praxis hing davon ab, die tatsächliche Ausgabe anhand der Spezifikation zu überprüfen.

23. Frühzeitige Dateifehler hinderten die Einsatznavigatoren in den ersten Flugmonaten daran, die Triebwerksdaten zu nutzen.

24. Stattdessen verließen sie sich auf Mitteilungen des Auftragnehmers und ihre eigenen Schätzungen der Zündvorgänge.

25. Als im April endlich brauchbare Dateien eintrafen, schienen die Daten den beobachteten Effekt immer noch zu unterschätzen.

26. Das war ein Hinweis, keine Diagnose.

27. Die Funkortung konnte nur einen Teil der Wirkung jedes Zündvorgangs eindeutig aufzeigen, da die Triebwerke größtenteils quer zur Sichtlinie von der Erde aus stießen, was einen systematischen Fehler hinterließ, der schwerer zu isolieren war.

28. Die Navigatoren hatten daher Grund, eine Diskrepanz zu untersuchen, aber sie konnten den Einheitsfehler nicht direkt aus dem Funksignal ablesen oder einfach eine beobachtete Bewegung durch einen gemeldeten Impuls dividieren.

29. Jede Anomalie als Beweis für eine bekannte Ursache zu betrachten, würde eine Untersuchung nicht zuverlässiger machen.

30. Eine anhaltende Anomalie als Routine zu behandeln, weil ihre Ursache unbekannt ist, ist aus dem gegenteiligen Grund gefährlich.

31. Die Unterscheidung ist wichtig: Das Team erkannte, dass das Modell falsch war, noch bevor jemand den Grund dafür identifiziert hatte.

32. Die spätere Untersuchung der NASA ergab, dass die Diskrepanzen zwischen den Navigationslösungen auf dem Weg zum Mars ohne Lösung fortbestanden.

33. Eine Methode deutete wiederholt auf einen näheren Vorbeiflug hin als die anderen.

34. Diese Diskrepanz lieferte für sich genommen keine sichere korrigierte Flugbahn, da alternative Schätzungen noch anhand von Verfolgungsdaten, dem Verhalten des Raumfahrzeugs und den verbleibenden Korrekturmöglichkeiten überprüft werden mussten.

35. Es zeigte sich jedoch, dass das Bild der Mission von ihrer Annäherung weniger eindeutig war, als eine einzelne Schätzung vermuten ließ.

36. Die Untersuchung ergab außerdem, dass das Navigationsteam des Betriebs spät hinzugekommen war und nicht an wichtigen Entwurfsüberprüfungen oder Tests der Bodensoftware teilgenommen hatte.

37. Es übernahm ein funktionierendes System, ohne denselben Zugang zu dessen Annahmen zu haben.

38. Das Wissen wurde unvollständig von der Entwicklung an den Betrieb weitergegeben.

39. Der Einheitenfehler war daher mehr als nur ein Tippfehler am Ende einer langen Kette.

40. Er blieb unentdeckt, weil eine zugesagte Schnittstelle vom erzeugenden Programm bis zur empfangenden Navigationsberechnung nicht überprüft wurde, obwohl die beiden Enden dieses Pfades zu unterschiedlichen Spezialisten gehörten.

41. Bei einem End-to-End-Test wäre geprüft worden, ob die Werte der Datei das bedeuteten, was das Modell annahm – und zwar unter Verwendung repräsentativer Daten, anstatt eine korrekt formatierte Datei als Beweis zu betrachten.

42. Die Ermittler konnten nicht feststellen, dass solche Tests mit ausreichender Gründlichkeit durchgeführt worden waren.

43. Sie stellten zudem in Frage, ob eine unabhängige Überprüfung der Bodensoftware erfolgt war, was von Bedeutung ist, da ein unabhängiger Prüfer Annahmen überprüfen kann, von denen sowohl der Hersteller als auch der Empfänger ausgehen.

44. Eine unabhängige Überprüfung hat eine andere Aufgabe als das Schreiben des ursprünglichen Codes.

45. Sie hinterfragt, ob der gesamte Weg von der Anforderung bis zum nutzbaren Ergebnis nachgewiesen wurde, insbesondere dort, wo separate Teams gute Gründe haben, ihrem eigenen Teil zu vertrauen.

46. Dieser Weg umfasste sowohl Menschen als auch Software.

47. Der NASA-Bericht beschrieb eine mangelhafte Kommunikation zwischen den Projektkomponenten und ein Navigationsteam, das über anspruchsvolle Einsätze verteilt war.

48. Personalmangel schränkt die verfügbare Zeit ein, um einen plausiblen Wert zu hinterfragen, Methoden zu vergleichen und einer Diskrepanz nachzugehen, für die es keine eindeutige Erklärung gibt – insbesondere, wenn dieselbe Einsatzgruppe auch andere Missionen unterstützen muss.

49. Dies kann auch dazu führen, dass aus einer formellen Warnung ein Nachrichtenaustausch zwischen ohnehin schon ausgelasteten Spezialisten wird.

50. Die Untersuchung ergab, dass einige Konflikte per E-Mail statt über den formellen Anomalieprozess der Mission behandelt wurden, sodass keine verlässliche Dokumentation darüber vorlag, dass die zugrunde liegende technische Frage geklärt worden war.

51. Eine E-Mail kann eine Beobachtung zwar korrekt wiedergeben, ihren Status jedoch weiterhin ungewiss lassen.

52. Die erste Frage war, wer für die ungelöste Diskrepanz verantwortlich war, sobald diese von den Daten des Auftragnehmers in die Navigationsarbeit des JPL überging und begann, die Schätzungen einer kritischen Flugbahn zu beeinflussen.

53. Eine zweite Frage war, ob jemand mit Entscheidungsbefugnis einen weiteren Test vor dem kritischen Manöver verlangen konnte, selbst wenn die verfügbaren Messwerte die Ursache nicht identifizierten.

54. Die Antwort musste die Person erreichen, die den Bedenken Ausdruck verliehen hatte, da eine Genehmigung durch die Leitung keine technische Lösung darstellte.

55. Die Ermittler der NASA drängten die Teams, Bedenken fachübergreifend und über Hierarchieebenen hinweg weiterzuleiten und dabei den Urheber bis zum formellen Abschluss einzubeziehen, damit eine Antwort anhand der ursprünglichen Beobachtung überprüft werden konnte.

56. Es ging nicht darum, jeden ungewöhnlichen Messwert zu einer Krise zu machen.

57. Es ging vielmehr darum, zu verhindern, dass ein ungeklärter Messwert unterging, wenn die Verantwortung von einem Posteingang zum nächsten weitergereicht wurde.

58. Ein formeller Abschluss bedeutet, dass eine vorgeschlagene Erklärung geprüft, ihre Konsequenzen bewertet und die Entscheidung dort festgehalten wird, wo die zuständigen Teams sie einsehen können, bevor die Anomalie als geklärt betrachtet wird.

59. Ohne diese Schritte kann ein Bedenken zwar auf gesellschaftlicher Ebene „beantwortet“ werden, bleibt aber technisch gesehen weiterhin offen.

60. Diese Unterscheidung gewann an Bedeutung, je näher der Orbiter dem Mars kam.

61. Ein letzter geplanter Korrekturmanöver fand am 15. September statt, doch spätere Navigationsschätzungen deuteten auf eine geringere minimale Annäherung hin als erwartet.

62. Ein zusätzliches Manöver wurde diskutiert, aber nicht durchgeführt.

63. Die Untersuchung ergab, dass die Analyse, die Verfahren und die Proben für diesen Notfall nicht abgeschlossen worden waren.

64. Eine in einem Plan vorgesehene Korrektur ist nicht zwangsläufig eine verfügbare Maßnahme, wenn die Zeit knapp wird, da die Beteiligten dennoch Kriterien, getestete Befehle und eine Möglichkeit zur Überprüfung des Ergebnisses benötigen.

65. Dies war eine weitere Grenze zwischen zugewiesener Arbeit und Einsatzbereitschaft.

66. Nachdem das Signal nicht zurückkam, konnten die Ermittler die Daten unter Berücksichtigung der korrigierten Einheiten rekonstruieren.

67. Nach ihrer Schätzung lag die größte Annäherung weit unter der für das Raumfahrzeug als sicher erachteten Höhe.

68. Der Bericht konnte keinen endgültigen Aufprall feststellen.

69. Er kam zu dem Schluss, dass der Orbiter verloren ging, nachdem er auf einer weitaus niedrigeren Flugbahn als geplant in die Marsatmosphäre eingetreten war, während sein genaues Schicksal nach dem letzten Signal ungeklärt blieb.

70. Die nachträgliche Berechnung erklärt den Verlust; sie vermittelt den Navigatoren dieses Wissen im April jedoch nicht.

71. Ihre Aufgabe bestand damals darin, zu untersuchen, was diese Abweichung bedeutete, solange noch Spielraum für eine Planänderung bestand, anstatt davon auszugehen, dass der letztendliche Verlust bereits offensichtlich war.

72. Eine technische Grundursache identifiziert, an welcher Stelle ein vermeidbarer Fehler in das System gelangte.

73. Mitwirkende Ursachen erklären, wie sich der Fehler fortsetzte und warum die Organisation ihn nicht eindämmen konnte.

74. Keine dieser Bezeichnungen allein begründet die rechtliche oder moralische Schuld einer bestimmten Person.

75. Die Untersuchung beschrieb eine Arbeitskette, die an mehreren Stellen strengere Kontrollen erforderte.

76. Es wäre auch falsch zu sagen, die NASA hätte jede Berechnung ihres Auftragnehmers duplizieren müssen, da die Duplizierung spezialisierter Arbeit Ressourcen verbrauchen kann, ohne dass die entscheidende Übergabe geprüft wird.

77. Durch Delegation kann ein spezialisiertes Team Arbeiten ausführen, die der Auftraggeber nicht effizient wiederholen kann, vorausgesetzt, das Ergebnis lässt sich überprüfen.

78. Der Auftraggeber muss dennoch das Ergebnis festlegen, eine kompetente Überprüfung finanzieren und sich vergewissern, ob das Ergebnis im zusammengebauten System funktioniert, in dem mehrere einzeln korrekte Komponenten dennoch miteinander in Konflikt geraten können.

79. Die zweite Untersuchung der NASA traf genau diese Unterscheidung, als sie tiefgreifendere Überprüfungen forderte, anstatt eine staatliche Aufsicht über jede einzelne Aufgabe der Auftragnehmer.

80. Aufsicht erfordert technische Fragen, nicht nur eine weitere Unterschrift.

81. Die Annahmen des empfangenden Modells bezüglich der Einheiten erforderten einen direkten Vergleich mit der Ausgabe des erzeugenden Codes.

82. Das Betriebsteam musste die tatsächliche Flugdatei anhand von Beispielwerten mit bekannten Einheiten und erwarteten Auswirkungen testen.

83. Ein Navigator benötigte zudem eine Möglichkeit, die Schätzung anzufechten und vor dem Manöver eine dokumentierte Antwort zu erhalten.

84. Diese Fragen verknüpfen die Entscheidungsbefugnis mit einer bestimmten Schnittstelle und einer bestimmten Entscheidung.

85. Sie erfordern zudem genügend Mitarbeiter mit dem entsprechenden Fachwissen, um sie zu stellen.

86. Ein Manager kann ein unterbesetztes Navigationsteam nicht durch die Anweisung, vorsichtig zu sein, wieder auf Vordermann bringen.

87. Die Ressourcen bestimmen, wie viele Zweifel vor Ablauf des Manöversfensters geprüft werden können, denn eine Frage, die den Einsatz von drei Teams erfordert, kann nicht von einem einzelnen Spezialisten neben seinen Routineaufgaben untersucht werden.

88. Doch mehr Personal allein würde nicht garantieren, dass der Einheitsfehler entdeckt worden wäre.

89. Die Frage war, ob die Informationen, die eine Grenze überschritten, anhand einer unabhängig verstandenen Erwartung überprüft werden konnten.

90. Eine zweite Raumfahrtmission zeigt, was eine solche Überprüfung ermöglichen kann.

91. Cassini beförderte die europäische Sonde Huygens zum Saturnmond Titan, wo die Sonde während eines einmaligen Abstiegs Beobachtungen über den Orbiter senden sollte.

92. Beide Raumfahrzeuge waren 1997 gestartet, noch bevor der Mars Climate Orbiter verloren ging.

93. Das Huygens-Team sah ein Risiko eher in der Funkverbindung als in einer Navigationsdatei.

94. Ein vorgeschlagener Test während des Fluges erforderte, dass Bodenstationen ein Signal an Cassini sendeten, das das Signal simulierte, das Huygens während des Abstiegs übertragen würde, um so den Empfänger unter einem relevanten Bereich wechselnder Frequenzen zu testen.

95. Der Test stieß auf Widerstand, bevor er genehmigt wurde.

96. Im Februar 2000 zeigte sich, dass der Empfänger die erwartete Dopplerverschiebung im Signal der Sonde nicht richtig verarbeiten konnte – ein Fehler, der bei der normalen Kommunikation mit der Erde nicht zutage getreten war.

97. Relative Bewegung verändert die Frequenz, die ein Empfänger empfängt.

98. Nach dem ursprünglichen Plan für die Annäherung drohte diese Verschiebung, einen Großteil der Daten von Huygens unlesbar zu machen.

99. Auch hier versagte die Schnittstelle, trotz der Arbeitsteilung zwischen den Behörden und den Spezialistenteams.

100. Der Unterschied bestand darin, was geschah, während sich das Raumfahrzeug noch im Flug befand.

101. Die ESA untersuchte das Ergebnis, veranlasste eine unabhängige Überprüfung und erarbeitete gemeinsam mit der NASA und der Industrie einen Sanierungsplan, der das Testergebnis als Missionsproblem und nicht als unangenehme Ausnahme behandelte.

102. Die Frage blieb lange genug offen, damit die Teams mögliche Abhilfemaßnahmen gegen das tatsächliche Kommunikationsproblem testen konnten.

103. Schließlich änderten sie die frühen Saturnumlaufbahnen von Cassini und dessen Vorbeiflug am Titan, wodurch sich die Relativbewegung änderte.

104. Cassini würde das Signal von Huygens aus viel größerer Entfernung empfangen, wodurch die störende Verschiebung entlang der Funkstrecke so weit reduziert wurde, dass die Übertragung in den nutzbaren Bereich des Empfängers fiel.

105. Dies war eine operative Änderung, um einen Empfängerfehler auszugleichen, und kein Behauptung, dass der Fehler nie existiert hätte.

106. Dabei wurde etwas Reserve-Treibstoff verbraucht und die Titan-Begegnung verzögert.

107. Die Kosten spielten eine Rolle, da die Korrektur eine Entscheidung unter begrenzten Optionen war und keine uneingeschränkte Rückkehr zum ursprünglichen Plan, und die geänderte Flugbahn Treibstoff verbrauchte und gleichzeitig die Begegnung der Sonde verzögerte.

108. Am 14. Januar 2005 stieg Huygens durch die Atmosphäre des Titan ab und sendete über Cassini Daten zur Erde.

109. Dieses Ergebnis beweist nicht, dass die Organisation fehlerfrei war.

110. Der Test war zunächst auf Widerstand gestoßen, und die letztendliche Wiederherstellung erforderte Zusammenarbeit über genau jene Grenzen hinweg, die den Defekt erst folgenschwer gemacht hatten – von der Funktechnik bis zur Bahnplanung.

111. Die Rettung war auch nicht einfach eine Lehre, die aus dem Verlust auf dem Mars gezogen wurde; Cassini-Huygens war bereits im Gange.

112. Sie zeigt eine konkretere Möglichkeit auf: Ein beunruhigendes Ergebnis kann verständlich gemacht, einer Untersuchung zugeordnet und in eine Änderung umgesetzt werden, solange noch Zeit bleibt.

113. Genau diese Abfolge fehlte bei der ungelösten Navigationsabweichung des Orbiters.

114. Ein Anomalienregister kann nicht die Arbeit eines Tests übernehmen, und ein Test kann nicht entscheiden, welche Kompromisse eine Mission eingehen sollte, aber beide können eine Entscheidung in den Blickpunkt rücken, bevor sie unumkehrbar wird.

115. Zusammen bieten sie Fachleuten und Führungskräften eine gemeinsame Grundlage für die Beurteilung.

116. Wer Bedenken äußert, benötigt einen Weg zu den Personen, die diese untersuchen können, sowie die Befugnis, zu erfahren, wie das Problem gelöst wurde – selbst wenn die Antwort von einer anderen Organisation kommt.

117. Der Empfänger einer Datei benötigt den Nachweis, dass die darin enthaltenen Zahlen die versprochene Bedeutung haben.

118. Der Auftraggeber muss wissen, ob Personal, Zeit und unabhängige Überprüfung für die von ihm delegierten Risiken ausreichend sind, da eine Anweisung zur Überprüfung einer Schnittstelle ohne die entsprechenden Kapazitäten bedeutungslos ist.

119. Bei Mars überschritt eine kleine Zahl eine Organisationsgrenze ohne zuverlässige Überprüfung.

120. Bei Titan überschritt ein Testsignal eine solche Grenze und kehrte als Problem zurück, das die Teams dennoch lösen konnten.

121. Eine Aufgabe ist abgeschlossen, wenn ihre Annahmen den Einsatz durch die Menschen und Maschinen, die darauf angewiesen sind, überstehen und wenn eine Unstimmigkeit so lange offen bleibt, bis jemand aufgezeigt hat, was sie bedeutet.