Ariane 5: por que o sistema reserva também falhou

Em 4 de junho de 1996, o primeiro Ariane 5 deixou a base de Kourou com quatro satélites Cluster. O voo terminou pouco depois. Havia um sistema de referência inercial reserva, mas ele não sustentou a operação quando o principal falhou: já havia parado pelo mesmo motivo. Fontes 1 e 3

A investigação mostra um limite importante da redundância. Duas unidades podem proteger contra a falha isolada de uma peça e, ao mesmo tempo, permanecer vulneráveis a uma condição compartilhada.

O software veio junto com suas hipóteses

O sistema reutilizava software desenvolvido para o Ariane 4. Uma rotina de alinhamento continuava executando depois do início do voo, embora já não fosse necessária nessa fase para o Ariane 5. Dentro dela, uma variável interna relacionada à velocidade horizontal era convertida de ponto flutuante de 64 bits para inteiro com sinal de 16 bits. Fonte 1

O intervalo representável no destino era menor. Nas condições de voo do novo foguete, o valor ultrapassou esse intervalo e provocou uma exceção não tratada naquele trecho.

Não houve troca física de um processador de 64 bits por outro de 16. O problema estava na representação de um número e nas hipóteses sobre quais valores o sistema encontraria. O histórico de funcionamento no Ariane 4 não validava automaticamente essas hipóteses para outra trajetória.

A reserva encontrou o mesmo limite

As duas unidades executavam o mesmo software e estavam sujeitas às mesmas condições. A reserva falhou primeiro; a ativa, quase imediatamente depois. Não eram dois defeitos independentes que coincidiram por azar. Fonte 1

Ao perder informações válidas, o computador de bordo recebeu dados de diagnóstico que foram interpretados como dados de voo. Os comandos resultantes produziram grandes desvios, e as cargas aerodinâmicas levaram à ruptura do veículo. Essa sequência é mais precisa do que dizer que “o computador mandou o foguete explodir”.

Os relógios do relatório também exigem cuidado. H0 marca o início da sequência de ignição do motor principal, não a saída do solo. A perda de informação é situada em torno de H0 mais 37 segundos, aproximadamente 30 segundos após a decolagem; a ruptura ocorre depois. Transformar tudo em “explodiu 37 segundos após decolar” mistura marcos distintos.

O cenário de teste precisava acompanhar o foguete

O sistema havia sido testado. A questão identificada pela comissão foi a representatividade dos testes e das condições usadas na qualificação. A integração não revelou a exposição do software às características do novo voo. Fontes 1 e 2

Reutilizar um componente também significa revisar os pressupostos que o tornavam seguro: entradas possíveis, limites numéricos, funções ainda necessárias e comportamento diante de exceções. O que parece um detalhe local pode invalidar a informação usada pelo conjunto inteiro.

Duplicar não elimina uma causa comum

A ESA documentou revisões e novas atividades de qualificação no plano de ação para o voo seguinte. O registro dessas medidas explica a resposta institucional, sem prometer que qualquer sistema futuro estaria livre de falhas. Fonte 4

A síntese editorial é que a reserva só oferece proteção contra aquilo de que consegue ser independente. Quando as duas unidades compartilham o mesmo limite, a quantidade de cópias não resolve essa vulnerabilidade. Em Marte, a missão Mars Climate Orbiter revelaria outra hipótese incompatível que atravessou a integração sem ser corrigida.