Mars Climate Orbiter'ı kaybettiren birim hatası: Soruşturma raporu asıl sorunu nerede buldu?

23 Eylül 1999 sabahı, Pasadena'daki Jet İtki Laboratuvarı'nda (JPL) ekranlara bakan mühendisler bir sinyalin geri gelmesini bekliyordu. Mars Climate Orbiter dokuz aylık yolculuğunun sonunda ana motorunu UTC saatiyle 09.00.46'da ateşlemiş, birkaç dakika sonra planlandığı gibi Mars'ın arkasına geçmişti. Sinyal 09.04.52'de kesildi; bu, hesaplanandan 49 saniye erkendi. Öngörülen 21 dakikalık gölge süresi doldu, araçtan ses çıkmadı. İki gün boyunca yeniden bağlantı kurma denemeleri sürdü, hiçbiri sonuç vermedi.

Altı gün sonra, 29 Eylül'de nedeni bulundu ve dünya basınına neredeyse bir fıkra gibi yansıdı: Bir ekip pound, öteki newton kullanmıştı. Hikâye o günden beri mühendislik derslerinde "birimlerinizi yazın" uyarısının en meşhur örneği. Ama NASA'nın kurduğu soruşturma kurulunun 10 Kasım 1999 tarihli raporu okunduğunda, asıl dersin bir çarpım hatasından çok daha geniş olduğu görülüyor. Rapor, tek bir kök nedenin yanına sekiz "katkıda bulunan neden" diziyor ve bunların neredeyse hepsi hesapla değil, insanlarla ve örgütle ilgili.

İlk gezegenler arası hava durumu uydusu

Mars Climate Orbiter, 11 Aralık 1998'de bir Delta II roketiyle fırlatıldı. Görevi, Mars'ın yörüngesine yerleşip raporun deyişiyle "ilk gezegenler arası hava durumu uydusu" olmak; atmosferi, iklimi ve yüzeydeki değişimleri izlemekti. Bir de ikinci işi vardı: Aralık 1999'da gezegenin güney kutbu yakınına inecek kardeş araç Mars Polar Lander'ın iletişim aktarıcısı olacaktı. Yani kaybı tek bir aracın değil, iki görevlik bir planın sarsılması demekti.

Araç, gezegene yaklaşırken motorunu ateşleyip hızını kesecek, Mars'ın çekimine yakalanacaktı. Bu manevraya yörüngeye giriş deniyor. Son düzeltme manevrasından sonra hesaplanan ilk yakın geçiş yüksekliği 226 kilometreydi. Raporun verdiği alt sınır ise açık: Aracın dayanabileceği en düşük geçiş yüksekliği 80 kilometre.

Küçük kuvvetler, büyük sapma

Hatanın oturduğu yer, uzay aracının değil yerdeki bir yazılımın içiydi. Araçlar uzayda dönmelerini dengelemek için içlerindeki volanlara, yani tepki tekerleklerine güvenir. Güneş ışığının hafif ama sürekli basıncı bu tekerleklerde zamanla açısal momentum biriktirir; tekerlekler sınırına yaklaşınca küçük iticiler kısa süre ateşlenip fazlalık boşaltılır. Bu işleme "açısal momentum boşaltma" (AMD) deniyor. Her ateşleme aracı çok az da olsa iter ve yörüngeyi azıcık değiştirir.

Seyrüsefer ekibi bu küçük itkileri hesaba katmak için yerdeki SM_FORCES ("küçük kuvvetler") adlı programın ürettiği dosyayı kullanıyordu. İki ekip arasındaki yazılı arayüz belgesi, bu dosyadaki itki değerlerinin metrik birimle, newton-saniye olarak verilmesini şart koşuyordu. Lockheed Martin Astronautics'in Colorado'daki ekibinin hazırladığı yer yazılımı ise değerleri pound-saniye olarak yazdı. Bir pound-kuvvet yaklaşık 4,45 newton olduğundan, JPL'nin seyrüsefer yazılımı her ateşlemenin etkisini 4,45 kat küçük gördü. İlginç olan şu: Aracın kendi üzerindeki yazılım aynı hesabı metrik birimle ve doğru yapıyordu. Yanlış yalnız yerdeydi.

Tek bir ateşlemenin hatası küçüktü. Fakat rapor iki şeyin bu hatayı büyüttüğünü anlatıyor. Birincisi, ateşlemeler beklenenden 10 ila 14 kat daha sık oldu. Neden, aracın güneş panelinin gövdeye göre asimetrik olmasıydı; model alınan önceki araç Mars Global Surveyor'ın panelleri simetrikti. İkincisi, itkinin büyük bölümü Dünya'dan bakış doğrultusuna dik yöndeydi. Seyrüsefer ekibi aracın hareketini Doppler kaymasıyla, yani bakış doğrultusundaki hız değişimiyle ölçebildiği için, bu sistematik sapma ölçümlerde neredeyse görünmez kaldı.

Kayıp barbekü modu

Raporun en öğretici ayrıntılarından biri, unutulmuş bir manevra. Asimetrik panelin yarattığı momentum birikimini azaltmak için aracın her gün 180 derece dönmesi planlanmıştı. Mühendislerin "barbekü modu" dediği bu dönüş, sonradan yapılan sistem mühendisliği değerlendirmelerinde gereksiz bulunup uçuş planından çıkarıldı. Kurulun tespitine göre bu karar ve yörüngeye etkisi seyrüsefer ekibine bildirilmedi. Böylece daha sık ateşleme ile yanlış birim aynı yörüngede buluştu.

E-postayla yürüyen uyarılar

Sorun, aslında aylar önce kendini belli etmişti. Rapora göre yolculuğun ilk dört ayında yer yazılımının dosyaları biçim hataları yüzünden hiç kullanılamadı; seyrüsefer ekibi ateşlemeleri yüklenici firmadan gelen e-postalardan öğrenip etkilerini kendi tahminleriyle modelledi. Dosyalar ancak Nisan 1999'da düzgün biçime kavuştu ve bir hafta içinde verilerin ateşleme etkisini olduğundan düşük gösterdiği fark edildi. Bahar ve yaz boyunca farklı yörünge hesapları birbirini tutmadı; yalnız Doppler verisine dayanan çözümler aracın gezegene beklenenden daha yakın geçeceğini gösteriyordu. Rapor bu tutarsızlıkların "çözülmediğini" yazıyor.

Kurul, ekibin sorunları resmî kayıt sistemine (Olay, Sürpriz, Anormallik bildirimi) işlemek yerine e-postayla halletmeye çalıştığını, bunun da sorunun raporun ifadesiyle "çatlaklardan kaymasına" yol açtığını söylüyor. Seyrüsefer ekibi aracın geliştirme ve test aşamalarına katılmamış, fırlatmadan kısa süre önce göreve gelmişti. Aracı Mars Global Surveyor'ın bir benzeri sanması, onu yeterince tanımamasına yol açmıştı. Örneğin aracın her ateşlemede hız değişimini kendisinin hesaplayıp Dünya'ya gönderdiğini fırlatmadan çok sonra öğrenmişti; kurula göre bu verinin erken karşılaştırılması birim sorununu ortaya çıkarabilirdi.

Yapılmayan son düzeltme

Son düzeltme manevrası 15 Eylül'de yapıldıktan sonra hesaplar ilk geçiş yüksekliğinin 150-170 kilometreye indiğini gösterdi. Giriş manevrasından yaklaşık bir saat önce işlenen daha hassas takip verisi bu değeri 110 kilometreye kadar çekti. Yedekte bir acil düzeltme manevrası, TCM-5 vardı. Rapora göre manevra giriş öncesinde sözlü olarak konuşuldu ama yapılmadı: Hazırlık, test ve prosedürler tamamlanmamıştı, aracın üzerindeki giriş programı zamanı da bırakmıyordu. Kurul, TCM-5'in ne kadar kritik olduğunun ekiplerce tam anlaşılmadığını yazıyor.

Hata düzeltilip olaydan sonra hesap yeniden yapıldığında ilk geçiş yüksekliği 57 kilometre çıktı. Bu, 80 kilometrelik dayanma sınırının çok altındaydı. Kurul, aracın atmosferde parçalandığını ya da atmosferden sekip Güneş çevresinde bir yörüngeye savrulduğunu değerlendiriyor; hangisinin olduğu bilinmiyor.

Tarih / aşama	Soruşturma raporundaki değer
15 Eylül 1999, son düzeltme sonrası hedef	İlk geçiş yüksekliği 226 km
Giriş öncesindeki hafta	150-170 km'ye inen tahmin
Girişten yaklaşık bir saat önce	110 km'ye kadar düşen tahmin
Aracın dayanabileceği en düşük yükseklik	80 km
Birim düzeltilerek yapılan sonraki hesap	57 km

Kurulun teşhisi: Hata değil, onu yakalayamayan sistem

Marshall Uzay Uçuş Merkezi'nin direktörü Arthur G. Stephenson başkanlığındaki kurulun listesi şöyle: fark edilmeyen hız modellemesi hatası, aracı tanımayan seyrüsefer ekibi, yapılmayan TCM-5, geliştirmeden işletmeye geçişi kapsamayan sistem mühendisliği, ekipler arası zayıf iletişim, yetersiz kadro, yetersiz eğitim ve yer yazılımını kapsamayan doğrulama süreci. Kadro maddesinin ayrıntısı çarpıcı: Aynı operasyon birimi o sırada üç görevi birden yürütüyordu ve giriş öncesinde aracın seyrüseferi ekip lideriyle tek bir seyrüsefercinin elindeydi.

Kurul raporun başında hataların her projede olacağını, ama normalde süreçlerin bunları kritik hale gelmeden yakalayacağını; bu projede yakalayamadığını yazıyor. NASA Uzay Bilimleri Müdür Yardımcısı Edward Weiler da 30 Eylül 1999'daki JPL açıklamasında aynı noktaya basmıştı: "İnsanlar bazen hata yapar. Buradaki sorun hata değildi; NASA'nın sistem mühendisliğinin ve süreçlerimizdeki hatayı yakalaması gereken denetimlerin başarısızlığıydı." JPL Direktörü Edward Stone ise "Bu basit hatayı fark edip düzeltememiz büyük sonuçlar doğurdu" demişti.

Raporun önerileri bu yüzden birim tablolarından çok insan ilişkilerine dair. Kurul, ekip üyelerinin kaygılarını gerektiği kadar yukarıya "ısrarla" taşıma yetkisine sahip olmasını, yüz yüze görüşmelerin artırılmasını, hatta her sabah 15 dakikalık ayakta bir tazeleme toplantısı yapılmasını öneriyor. Herkesin şüpheci olmaya teşvik edilmesi de listede.

Açık kalan soru

Önerilerin muhatabı, birkaç hafta sonra Mars'a inecek olan Mars Polar Lander'dı. Aynı açıklamada Weiler kısa vadeli hedefin 3 Aralık'taki inişin başarı şansını en üst düzeye çıkarmak olduğunu söylemişti. O araçtan da iniş sırasında bir daha haber alınamadı ve iki kaybın ardından Mars programı baştan sorgulandı. Mars Climate Orbiter'ın hikâyesi bugün daha çok "inç mi santim mi" esprisiyle anılıyor. Raporun kendisi ise başka bir şey söylüyor: Tek bir yanlış sayı, kimsenin sahiplenmediği bir uyarı, bildirilmeyen bir plan değişikliği ve yapılmayan bir manevra bir araya gelmeden bu araç kaybolmazdı. Karmaşık sistemlerde asıl soru, kimin hata yaptığı değil, hatanın neden dokuz ay boyunca kimsenin masasına resmen ulaşmadığı.

Fotoğraf: NASA/JPL/Corby Waste, Public domain, Wikimedia Commons