Der mittlerweile bereits seit dem 26. August 2009 andauernde Sicherheitsmodus des Mars Reconnaissance Orbiters (MRO) wird aller Voraussicht nach noch mehrere Wochen andauern.
Ein Beitrag von Ralph-Mirko Richter. Quelle: Spaceflight Now, Planetary Society, Arizona Daily Star, Raumcon-Forum. Vertont von Peter Rittinger.
(Bild: NASA, JPL, University of Arizona)
Am 6. August 2009 kam es bereits zum vierten Mal in diesem Jahr zu einem unerwarteten Ausfall des Hauptcomputers des Mars Reconnaissance Orbiters. Der Orbiter versetzte sich daraufhin, wie für solche Fällen vorgesehen, in einen sogenannten Sicherheitsmodus, in welchem lediglich die notwendigsten Systeme der Sonde aktiv sind (Raumfahrer.net berichtete). Die mit mittlerweile drei Monaten sehr lange Dauer dieses Sicherheitsmodus erklärt sich laut Mitarbeitern des JPL dadurch, dass die verantwortlichen Techniker und Ingenieure bei der Behebung des zugrunde liegenden Problems extrem behutsam vorgehen wollen, um eine Gefährdung oder gar einen Totalverlust der Sonde auszuschließen.
Bei der Analyse des letzten Ausfalls des Bordcomputers konnten die Mitarbeiter des JPL schließlich die vermutliche Ursache der Reboots identifizieren. Demzufolge tritt zeitweise ein Fehler bei einem angezeigten Spannungswert innerhalb der Bordelektronik der Raumsonde auf. Unklar ist jedoch weiterhin, ob dieser Fehler tatsächlich existiert oder ob lediglich ein Messinstrument einen Spannungswert falsch gemessen hat, ohne dass dieser Wert sich außerhalb der vorgegebenen Parameter bewegte. Diese Daten haben, so ein Artikel des Arizona Daily Star, im Verlauf der letzten Monate dreimal zu einem “Reset” des Hauptcomputers geführt, während beim letzten Ereignis ein Umschalten auf den Backup-Computer erfolgte.
Das Problem bei einer Umschaltung auf das Backup-Computersystem besteht darin, dass hierbei der MRO potentiell gefährdet ist. Diese Umschaltung benötigt eine Zeitspanne von einer Minute. In dieser Zeit werden die aktuellen Betriebsdaten und Parameter des MRO vom Hauptcomputer in den Speicher des Backup-Systems übertragen. Sollte währenddessen allerdings ein weiteres Mal ein anormaler Spannungswert registriert werden, so würde dies auch zu einem Reboot des Backup-Systems führen. Sollte dieses Szenario eintreten, so wäre der Mars Reconnaissance Orbiter verloren, da in einem solche Fall alle nicht fest gespeicherten Daten gelöscht wären und nicht mehr aus einem der Computersysteme heraus kopiert werden könnten. Dieser Datenverlust hätte zur Folge, dass der MRO davon ausgeht, dass er sich immer noch auf der Erde befindet. Er würde entsprechend seiner ursprünglichen Programmierung versuchen, ausschließlich über eine Steckkabel-Verbindung mit dem Kontrollzentrum zu kommunizieren, welche in der Realität natürlich nicht mehr vorhanden ist. Damit wäre der gesamte Funkverkehr zwischen dem Orbiter und dem Deep Space Network der NASA lahmgelegt, was zu einem vollständigen Verlust der Kontrolle über die Raumsonde führen würde.
Diese Verkettung unglücklicher Umstände wird von den Verantwortlichen des JPL zwar als extrem unwahrscheinlich aber als trotzdem möglich eingestuft. Da sich die Computer-Ausfälle außerdem in letzter Zeit gehäuft haben und zudem in immer kürzeren Abständen erfolgten, geht man von genau diesem schlimmsten Fall aus und belässt den MRO vorerst auch weiterhin im aktuellen Sicherheitsmodus.
Die Techniker und Ingenieure des JPL arbeiten derzeit in zwei Gruppen an einer Lösung des Problems. Das eine Team ist damit beschäftigt, den Bordcomputer des MRO dahingehend umzuprogrammieren, dass dieser standardmäßig davon ausgeht, sich im Marsorbit und nicht etwa auf einer Startrampe auf der Erde zu befinden. Diese Umprogrammierung erfordert einen erheblichen Eingriff in die gesamte Flugsoftware des Orbiters. Daher sind sehr ausführliche und leider auch sehr zeitaufwändige Tests dieser neuen Softwaresequenzen notwendig, denn vor der endgültigen Übermittlung an den MRO werden diese neuen Algorithmen zuerst ausführlich auf das Vorhandensein eventueller Programmierfehler getestet.
Die zweite Gruppe versucht unterdessen, den ursächlichen Fehler genauer zu bestimmen. Neben einem fehlerhaften Messgerät werden dabei auch ein eventueller Kurzschluss in der Elektronik der Raumsonde, kurzzeitige Spannungsspitzen und das Auftreten kosmischer Strahlung als auslösende Faktoren in Betracht gezogen.
Allerdings geht man mittlerweile davon aus, dass die neuen Softwaresequenzen komplett an den Bordcomputer des MRO übermittelt werden, bevor die Fehlerquelle endgültig identifiziert wurde. Laut Jim Erickson, dem Projekt-Manager des Mars Reconnaissance Orbiters, werden noch mehrere Wochen bis ein Monat vergehen, bevor die Raumsonde ihre wissenschaftliche Arbeit wieder aufnehmen kann.
Raumcon-Forum