Mars climate orbiter ошибка

Катастрофические последствия программных ошибок

Практика не устает доказывать, что в любом ПО самая главная уязвимость — человеческий фактор. И неважно, появился ли баг из-за нехватки квалифицированности специалиста, выжил после долгих часов дебага в поисках ошибки, или считался хитро замаскировавшейся фичей. Среди некоторых разработчиков даже укрепилось мнение, что баги в принципе существуют всегда и везде. Но если ошибки абстрактны и сложно воспроизводимы в реальных условиях, то проблема не является критичной.

В идеальной ситуации баги исправляют все и сразу. Но в жизни всегда есть куча задач, отодвигающих полный и бесповоротный багфикс (новый функционал, срочные хотфиксы, расставленные приоритеты при исправлении багов). Это значит, что в первую очередь находятся и исправляются очевидные и явные проблемы. Остальные тихо ждут своего часа, превращаясь в бомбы замедленного действия. Иногда ошибки приводят не только к неприятностям в жизни рядового разработчика, но и вызывают настоящие катастрофы. Сегодня у нас подборка и объяснение самых кошмарных багов в истории разработки ПО.

Облучение и радиация

Знаменитый случай гибели нескольких человек, получивших смертельную дозу облучения во время сеансов радиационной терапии с применением медицинского ускорителя Therac-25. Ускорители подобного типа используют электроны для создания лучей высокой энергии, высокоточно уничтожающих опухоли. Но некоторые пациенты получили дозы не в несколько сотен рад, как предписывало лечение, а в 20 000 рад; доза в 1000 рад для человека считается несовместимой с жизнью, причем смерть может наступить сразу после облучения.

Всего один программист создал все ПО, используемое в аппаратах Therac — а это 20 тысяч инструкций, написанных на ассемблере. И при этом во всех Therac встречался один тот же пакет библиотек, содержащий ошибки.

Ускоритель Therac-25, ставший третьим в серии успешных аппаратов лучевой терапии, мог работать с рентгеновскими лучами до 25 МэВ. Несколько лет в середине 80-х аппараты Therac-25 работали безупречно, однако со временем начали накапливаться инциденты, повлекшие за собой тяжелые последствия: от ампутации конечностей до гибели пациентов.

Первое время баги просто не замечали, а все неполадки связывали с аппаратными сбоями. Программное обеспечение, безукоризненно проработавшее тысячи часов, воспринималось идеальным и безопасным. Никаких действий для предотвращения последствий возможных ошибок не предпринималось. Кроме того, выдаваемые оператору сообщения о критических с точки зрения безопасности ситуациях выглядели как рутинные. Производитель устройств расследовал каждый инцидент, но при этом не мог воспроизвести сбой. Потребовалось несколько лет исследований сторонних экспертов, привлеченных во время суда после череды смертей, чтобы сделать вывод о наличии большой плеяды именно программных ошибок.

Так при определенной последовательности ввода команд с клавиатуры происходил некорректный вызов процедур, влекущих за собой облучение любого произвольного участка тела пациента. Отсутствие на устройстве аппаратного блокиратора критических и продолжительных доз излучения усугубляло проблему.

Одна и та же переменная в ПО Therac-25, применялась как для анализа введенных чисел, так и для определения положения поворотного круга, отвечающего за направление излучателя. Поэтому при быстром вводе команд аппарат мог принять число дозы излучения за координаты места, куда нужно направить луч — например, прямо в мозг.

Иногда Therac-25 при расчете излучения делил на ноль и соответствующим образом увеличивал величины облучения до максимально возможных. Установка булевской переменной в значение «true» производилась командой «x=x+1» из-за чего с вероятностью 1/256 при нажатии кнопки «Set» программа могла пропустить информацию о некорректном положении излучателя.

Во внутренней документации производителя было обнаружено, что одно и то же сообщение об ошибке выдавалось как в случае ненадлежащей (малой) дозы облучения, так и для большой дозировки — отличить по сообщению об ошибке одно от другого было невозможно.

Если вы разработчик или (что еще лучше) тестировщик, этот случай стоит изучить досконально — есть хорошая статья в wiki, с нее можно начать, а затем ознакомьтесь с большой статьей девятнадцатилетней давности «Мифы о безопасном ПО: уроки знаменитых катастроф». История вобрала в себя большинство классических проблем тестирования.

Как ни печально, но проблемы Therac-25 не остались уникальными. В 2000 году серию аварий вызвал другой софт, точно так же просчитывающий нужную дозу облучения для пациентов, проходящих курс лучевой терапии.

Программное обеспечение Multidata позволяло медицинскому работнику рисовать на экране компьютера порядок размещения металлических блоков, предназначенных для защиты здоровых тканей от радиации. Но софт разрешал использовать только четыре защитных блока, в то время как врачи, в целях повышения безопасности, хотели использовать все пять.

Врачи воспользовались «лайфхаком». Оказалось, что в программе не предусмотрена защита от ввода некорректных данных — можно было нарисовать все пять блоков как один большой блок с отверстием в середине. В медицинском центре онкологии Панамы не понимали, что софт Multidata устанавливал разные показатели конфигурации в зависимости от того, как размещено отверстие: от направления его размещения рассчитывалась правильная доза облучения.
Из-за неверно введенных данных умерли восемь пациентов, в то время как еще 20 получили передозировку, повлекшую серьезные проблемы со здоровьем.

Блэкаут

Маленькая ошибка в программном обеспечении системы мониторинга работы оборудования General Electric Energy привела к тому, что 55 миллионов человек остались без электричества. На Восточном побережье США оказались обесточены жилые дома, школы, больницы, аэропорты.

14 августа 2003 года в 0:15 ночи оператор энергетической системы в Индиане с помощью инструмента мониторинга работы оборудования заметил небольшую проблему. Проблема вызвала раздражающий сигнал об ошибке, который оператор выключил. Оператору удалось за несколько минут решить все трудности, но он забыл перезапустить мониторинг — аварийный сигнал остался в выключенном положении.

Отключение сигнала не стало основной причиной блэкаута. Но когда через несколько часов из-за контакта с деревом вырубились провисшие линии электропередачи в Огайо — об этом никто не узнал. Проблема приняла лавинообразный характер, перегруженные линии передачи и электростанции начали вырубаться в Онтарио, Нью-Йорке, Нью-Джерси, Мичигане и далее.

Ни один из операторов не заметил каскад ошибок, которые медленно убивали энергосистему, из-за единственного выключенного сигнала тревоги — никаких дублирующих систем на этот случай не предполагалось.

Mars Climate Orbiter

В 1998 году NASA потеряло спутник «Mars Climate Orbiter» стоимостью $ 125 млн из-за того, что субподрядчик, работавший над инженерными задачами, не перевел английские единицы измерения (фунты) в метрическую систему. В результате ошибки спутник после 286-дневного путешествия на большой скорости вошел в марсианскую атмосферу, где из-за возникших перегрузок его системы связи вышли из строя. Аппарат оказался на сто километров ниже планируемой орбиты и на 25 км ниже высоты, на которой еще можно было исправить ситуацию. В результате спутник разбился. Такая же участь постигла космический аппарат Mars Polar Lander.

Mariner 1

В 1962 году космический корабль «Mariner 1» был уничтожен с земли после старта из-за отклонения от курса. Авария возникла на ракете из-за программного обеспечения, в котором разработчик пропустил всего один символ. В результате корабль стоимостью 18 миллионов долларов (в деньгах тех лет) получал неверные управляющие сигналы.

При работе над системой управления ракетой программист переводил рукописные математические формулы в компьютерный код. Символ «верхнего тире» (индекса), он воспринял за обычное тире (или знак минус). Функция сглаживания стала отражать нормальные вариации скорости ракеты как критические и недопустимые.

Однако даже допущенная ошибка могла не привести к критическому сбою, но как назло антенна ракеты потеряла связь с наводящей системой на Земле, и управление взял на себя бортовой компьютер.

Запуск баллистических ракет

26 сентября 1983 года спутник эшелона «Око» системы предупреждения о ракетном нападении СССР ошибочно сообщил о запуске пяти баллистических ракет с территории США. Спутник находился на высокой эллиптической орбите, наблюдая за районами базирования ракет под таким углом, чтобы они находились на краю видимого диска Земли. Это позволяло обнаружить факт запуска на фоне темного космического пространства по инфракрасному излучению работающего ракетного двигателя. Кроме того, выбранное расположение спутника снижало вероятность засветок датчиков отраженным от облаков или снега солнечным светом.

После безупречного года работы внезапно выяснилось, что в один день при определенном положении спутника и Солнца свет отражается от облаков, расположенных на больших высотах, оставляя то самое инфракрасное излучение, которое компьютеры восприняли как след от ракет. Заступивший на боевое дежурство подполковник Станислав Петров усомнился в показаниях системы. Подозрение вызвало сообщение о пяти замеченных целях — в случае реального военного конфликта США одновременно произвели бы сотни пусков. Подполковник Петров решил, что это ложное срабатывание системы, и тем самым, вероятно, предотвратил Третью мировую войну.

Подобная ошибка, едва не повлекшая за собой глобальный ядерный конфликт, произошла и по другую сторону океана. 9 ноября 1979 года из-за сбоя компьютера воздушно-космической обороны Северной Америки была получена информация о начале ракетной атаки против США — в количестве 2200 запусков. В то же время спутники раннего предупреждения и радары показали, что никакой информации о советской атаке не поступало — только благодаря перепроверке данных, сделанной за 10 минут, не был отдан приказ о взаимном гарантированном уничтожении.

Причиной всему оказалась самая опасная уязвимость — человеческий фактор. Оператор компьютера, находящегося на боевом дежурстве, загрузил в него пленку с учебной программой, имитировавшей ситуацию массированной ракетной атаки.

За несколько первых лет работы Национального центра управления Объединенного командования аэрокосмической обороны США и Канады было зафиксировано 3703 ложных сигнала тревоги, большая часть из которых появилась из-за атмосферных явлений. Однако случались и компьютерные ошибки. Так один из «боевых» компьютеров 3 июня 1980 года показал постоянно меняющиеся цифры количества ракет, запущенных Советским Союзом. Проблема возникла из-за аппаратного сбоя в микросхеме.

Обновление софта и деление на 0

В 1997 американский ракетный крейсер «Йорктаун» (CG-48), на котором были установлены 27 компьютеров (Pentium-Pro на 200 МГц), решил поделить на ноль и полностью вышел из строя.
Компьютеры работали на Windows NT — и работали они ровно так, как вы и ожидаете, узнав название оси. В то время ВМФ США старался максимально широко использовать коммерческое ПО с целью снижения стоимости военной техники. Компьютеры же позволяли автоматизировать управление кораблем без участия человека.

На компьютеры «Йорктауна» поставили новую программу, управляющую двигателями. Один из операторов, занимавшийся калибровкой клапанов топливной системы, записал в одну из ячеек расчетной таблицы нулевое значение. 21 сентября 1997 года программа запустила операцию деления на этот самый ноль, началась цепная реакция, и ошибка быстро перекинулась на другие компьютеры локальной сети. В результате отказала вся компьютерная система «Йорктауна». Потребовалось почти три часа, чтобы подключить аварийную систему управления.

Схожая проблема с нулем возникла при испытании истребителя в Израиле. Безупречно работавший самолет на автопилоте пролетел над равнинной частью, над горной частью, над долиной реки Иордан и приблизился к Мертвому морю. В этот момент произошел сбой, автопилот выключился, и пилоты посадили истребитель на ручном управлении.

После долгих разбирательств удалось выяснить, что программы автопилота при вычислении параметров управления производили деление на значение текущей высоты истребителя над уровнем океана. Соответственно, у Мертвого моря, лежащего ниже уровня океана, высота становилась нулевой, провоцируя ошибку.

В мире найдется немало историй, когда обновление софта, совершаемое с самыми благими целями, могло повести за собой множество проблем. В 2008 году атомная электростанция в штате Джорджия (США) мощностью 1,759 МВт в экстренном режиме приостановила работу на 48 часов.

Инженер компании, занимающейся технологическим обслуживанием станции, установил обновление на главный компьютер сети АЭС. Компьютер использовался для слежения за химическими данными и диагностики одной из основных систем электростанции. После установки обновлений компьютер штатно перезагрузился, стерев из памяти данные управляющих систем. Система безопасности станции восприняла потерю части данных как выброс радиоактивных веществ в системы охлаждения реактора. В результате автоматика подала сигнал тревоги и остановила все процессы на станции.

Инцидент с F-22

Двенадцать F-22 Raptor (истребитель пятого поколения, состоящий на вооружении США), стоимостью $ 140 млн за штуку, отправились в первый международный вылет в Окинаву. Все шло замечательно, пока эскадрилья не пересекла линию перемены даты, на западной стороне которой дата сдвинута на один день вперед относительно восточной. После пересечения условной линии все 12 истребителей одновременно выдали сообщение об ошибке, эквивалентной синему экрану смерти.

Самолеты потеряли доступы к данным о количестве топлива, датчикам скорости и высоты, частично нарушилась связь. В течение нескольких часов самые современные истребители Америки летели через океан совершенно беспомощными. В конце концов их удалось посадить только благодаря мастерству пилотов.

Так в чем же была ошибка? Проектировщики из Lockheed Martin даже не рассматривали вопрос о возможности пересечения линии перемены дат — им просто не пришло в голову, что где-то понадобится либо прибавлять, либо вычитать одни сутки.

Другие истории

В этой бескрайней теме есть еще несколько интересных историй. О них сложилось либо неправильное мнение, либо уже были подробные статьи на ГТ и Хабре.

Взрыв на советской газотранспортной системе в 1982 году из-за программных ошибок, заложенных ЦРУ. Эксперты категорически отрицают не только взрыв на газопроводе «Уренгой-Сургут-Челябинск» в 1982 году, но и вообще возможность возникновения такого взрыва.

Алгоритмическая ошибка привела к аварии самолета А-330 — в результате инцидента 119 пассажиров и членов экипажа получили ранения, из них 12 тяжелые.

Ракета-носитель Ariane 5 превратилась в «конфетти» 4 июня 1996 года — ошибка произошла в компоненте ПО, предназначенном для выполнения «регулировки» инерциальной платформы. Потеряно 500 млн долларов (стоимость ракеты с грузом).

Toyota: из-за корявой электроники и софта 89 человек погибли с 2000 по 2010 годы.

Источники:

habrahabr.ru/company/mailru/blog/227743
www.wikiwand.com/en/Therac-25
www.baselinemag.com/c/a/Projects-Processes/We-Did-Nothing-Wrong en.wikipedia.org/wiki/Northeast_blackout_of_2003
lps.co.nz/historical-project-failures-mars-climate-orbiter www.jpl.nasa.gov/missions/mariner-1
inosmi.ru/inrussia/20071229/238739.html
https://www.revolvy.com/main/index.php?s=USS%20Yorktown%20(CG-48)
www.defenseindustrydaily.com/f22-squadron-shot-down-by-the-international-date-line-03087

Даже самые талантливые и преданные своему делу ученые совершают большие ошибки.Вот история одной из таких ошибок, которая стоила NASA космического корабля для Марса стоимостью 125 миллионов долларов. И все это из-за путаницы в метрической системе.

Художественная концепция марсианского климатического орбитального аппарата. NASA

Mars Climate Orbiter

Mars Climate Orbiter (MCO) — 338-килограммовый (745 фунтовый) роботизированный космический зонд был запущен NASA 11 декабря 1998 года для изучения Красной планеты и в качестве ретранслятора связи для Mars Polar Lander.

Но по прибытии космического аппарата на Марс что-то пошло не так. «В 09:00:46 UT 23 сентября 1999 года орбитальный аппарат, как и планировалось, начал спуск на орбиту Марса. После прохождения за Марсом космический аппарат должен был восстановить контакт, но, к сожалению, никаких сигналов от него получено не было», — говорится в заявлении NASA.

NASA провело расследование и вскоре выяснило, что навигационная ошибка произошла из-за того, что команды с Земли были отправлены в английских единицах (фунт-секунда) без преобразования в метрический стандарт (Ньютон-секунда). И хотя это может кому-то показаться пустяком, астронавигация — очень точная наука, ошибка привела к тому, что орбитальный аппарат не вышел на запланированную орбиту.

MCO вошел в марсианскую атмосферу на высоте примерно 35 миль (57 километров), загорелся и распался на множество мелких фрагментов. В результате космический корабль был навсегда потерян.

Проблемы культуры

Инженер Ричард Кук, который в то время был руководителем марсианских проектов NASA, рассказал WIRED, что эта ошибка стала культовой. «С этого момента история с единицами измерения стала легендой,
примером в учебнике каждого ребенка», — сказал Кук. «Все были поражены, что мы не заметили этого».

Эта история свидетельствует о том, что даже самые лучшие замыслы могут иметь сбои. Такая простая вещь, как путаница в метрической системе, может иметь катастрофические последствия.

Однако Кук считает, что в этом инциденте было нечто большее, чем просто ошибка. В то время в NASA существовала единая корпоративная культура, в рамках которой сотрудников всё время заставляли работать слишком быстро.

«Лучше, быстрее, дешевле» — такова была мантра в то время», — сказал Кук. «Безусловно, в рамках этого проекта мы пытались сделать очень многое за ограниченные деньги». Возможно, лучший урок, который можно извлечь из этого трагического события, — не торопиться и не выбирать короткие пути для таких важных миссий, как исследование планет.

Судя по всему, NASA сделало правильные выводы, и теперь все миссии на Марс осуществляются на самом высоком уровне.

Источники:    
https://solarsystem.nasa.gov/missions/mars-climate-orbiter/in-depth/
https://www.wired.com/2010/11/1110mars-climate-observer-report/

NASA formed a board to investigate the loss of the spacecraft and reached some high level conclusions. The board cited a number of contributing factors, which I have filtered to include the ones most relevant to the question:

• errors went undetected within ground-based computer models of how small thruster firings on the spacecraft were predicted and then
  carried out on the spacecraft during its interplanetary trip to Mars
• the systems engineering function within the project that is supposed to track and double-check all interconnected aspects of the mission
  was not robust enough, exacerbated by the first-time handover of a
  Mars-bound spacecraft from a group that constructed it and launched it
  to a new, multi-mission operations team
• some communications channels among project engineering groups were too informal
• the small mission navigation team was oversubscribed and its work did not receive peer review by independent experts
• personnel were not trained sufficiently in areas such as the relationship between the operation of the mission and its detailed
  navigational characteristics, or the process of filing formal anomaly
  reports
• the process to verify and validate certain engineering requirements and technical interfaces between some project groups, and between the
  project and its prime mission contractor, was inadequate

Also in the high level report is this quote:

These contributing causes include inadequate consideration of the
entire mission and its post-launch operation as a total system,
inconsistent communications and training within the project, and lack
of complete end-to-end verification of navigation software and related
computer models.

It sounds like it was a failure of management and quality control at multiple levels. The entire report is also available if you’d like some light bedtime reading.

The Mars Climate Orbiter was one of the probes in administrator Goldin’s Faster Better Cheaper (FBC) initiative, which forced tight budgets and very short timelines on projects, which has been controversial ever since as there were several spacecraft failures attributed to failures of management and engineering due to the initiative. The Harvard Business Review has a great article summarizing what went wrong:

In shifting to FBC from a slow, reliable, but costly approach to
development, NASA forced its project managers to invent radically new
processes and procedures. FBC imposed on them budget, schedule, and
weight constraints that could not be met using NASA’s traditional
approaches to spacecraft development. “The attitude was ‘The book’s
not working. So throw out the book, try something different, and then
write a new book,’” one NASA manager explained. Implicit in this
approach was the need for project managers to learn from the
organization’s collective experiences, adopt what worked, and jettison
what didn’t. Unfortunately, NASA undermined this learning process in
several ways.

First, with the launch of each FBC mission, NASA demanded ever faster
development times and even lower costs. But because it typically takes
more than four years for a small spacecraft to go from drawing board
to completed mission, managers were forced to meet the tougher demands
on new projects while earlier projects were still in progress. So they
couldn’t capture all the potential lessons from one mission before
moving to the next. In short, NASA was raising the bar before seeing
if project managers could clear it where it was. By the time the
organization realized it had set the bar too high—around the time the
first FBC missions began to fail—the project pipeline was full of
missions that were potentially compromised. It’s no surprise that
later FBC missions failed more frequently than earlier ones did.

Second, NASA didn’t realize that because the FBC initiative depended
so much on shared learning, it would require a more aggressive and
systematic approach to knowledge management. Although NASA had
implemented a “lessons learned” database in 1995, a 2001 survey found
that only one-quarter of its managers contributed to it. A similar
number of managers were unaware the system even existed. Furthermore,
while “red team reviews”—periodic progress reviews conducted by NASA’s
most experienced managers—proved invaluable in early FBC projects,
NASA conducted fewer of these assessments in later missions. As a
consequence, the transfer of learning across the organization
suffered.

Finally, NASA fell prey to “superstitious learning”—the assumption
that there is more to be gleaned from failed missions than from
successful ones. In the challenging climate of space exploration,
however, the difference between what makes one mission succeed and
another fail can be subtle. There is no reason to believe that success
indicates a flawless process while failure is the result of egregious
bad practice. For example, as many mistakes could have been made in
the celebrated 1997 Pathfinder mission as were made in the failed 1999
Polar Lander mission. But NASA will never know. By not conducting
detailed postmortems on its successful missions, the space agency
missed the opportunity to identify problems (and solutions) that might
have helped avoid later failures.

A summary of this would be that, while there was nothing bad about trying to speed up the pace of missions and cut costs the way it was implemented forced people to cut corners. The strategy depended on shared learning, with newer projects re-using older project’s code, equipment, knowledge and lessons learnt but the agency did not put adequate tools in place to do this nor did it foster a sharing culture. Lessons from earlier projects weren’t learned because the earlier projects weren’t completed before the later projects were started. They didn’t review successes as top management didn’t think there was anything to be learned. There were several spacecraft failures which are attributed to this strategy backfiring, leading to the phrase «Faster Better Cheaper — you can have any 2 you like», however there were many notable successes from the strategy including Mars Pathfinder and the NEAR asteroid rendezvous and in the end all of the 10 FBC spacecraft cost about the same as Cassini.

Прохладная история про погодный зонд, НАСА и невнимательных менеджеров

Золотой фонд менеджерских косяков

Помните историю о том, как из-за одной переменной космическая ракета взорвалась в воздухе после старта? На этот раз ошибки в коде не было, но результат получился тот же самый: навсегда утрачен зонд с научным оборудованием на сумму 125 миллионов долларов.

Что произошло

История начинается в 1996 году, когда в США запускали ракету-носитель Ariane-5. Она пролетела 40 секунд, у неё случился программный сбой, и ракета взорвалась в воздухе. С тех пор в НАСА стали более тщательно проверять код и тестировать его в различных условиях. 

Два года спустя НАСА запустило научный космический зонд Mars Climate Orbiter — он должен был изучать климат Марса, а заодно работать вспомогательным маяком для навигации других научных зондов. 

В течение 9 месяцев полёта всё было отлично — «Орбитер» летел к Марсу по расчётной траектории. Но при заходе на орбиту связь с зондом была потеряна, а сам он распался на куски в атмосфере и упал на планету.

В чём причина

Расследование комиссии показало, что зонд должен был начать торможение перед заходом на орбиту на высоте 110 километров от поверхности Марса, но он начал тормозить только на 57 километрах. Из-за этого зонд вошёл в атмосферу планеты со слишком высокой скоростью и разрушился от перегрузок. 

Когда комиссия стала искать причины, которые вызвали такое позднее торможение, то сначала все подумали про ошибки в коде — после инцидента с Ariane-5 это была очевидная мысль. Но в коде всё было идеально — ни один модуль управления не выдал ошибку после сотни тестов.

Оказалось, что дело не в коде, а в разных системах измерения. Команда-подрядчик, которая писала софт для модуля управления, использовала в формулах и расчётах метрическую систему, а командный центр в НАСА — английскую (там где футы, дюймы, мили, фунты). Когда настало время корректировки скорости и высоты для выхода на орбиту, зонд ожидал данные в метрах и ньютонах, а получил в футах и фунт-силах. Программисты и менеджеры не согласовали с НАСА стандарты разработки и не проверили, какие именно данные и в каком виде будет получать конкретный модуль. 

В итоге вместо 110 000 метров зонд получил от НАСА 360 892 фута. Бортовой компьютер подумал, что лететь ещё долго, и не стал снижать скорость. В итоге зонд снизился на критическую высоту и не выдержал перегрузок. 

Что в итоге

Эта авария постепенно заставила НАСА пересмотреть свой подход к системам измерения. Они поняли, что международные компании-разработчики используют метрическую систему как стандартную для написания кода. Отказаться от подрядчиков НАСА не может, потому что у него нет такого штата высококвалифицированных программистов и инженеров, которые могут написать софт к любому модулю. 

В итоге с 2007 года НАСА использует метрическую систему измерений. Вот так невнимательность менеджеров и программистов поменяла стандарт в космической отрасли целой страны.

В 1999 году аппарат НАСА Mars Climate Orbiter прилетел к Марсу. Однако вместо расчётных 140 он прошёл над поверхностью планеты на высоте всего 57 км и просто сгорел в атмосфере. Позже установили причину аварии: одна группа специалистов при расчётах использовала британские единицы измерения (фунт-сила), а другая — метрические (ньютон).

Источник: Википедия / Mars Climate Orbiter

аварии измерения космонавтика ошибки планета Марс США

4 года назад · 7150 просмотров

Многие студенты ненавидят математику, хотя мир работает на математике.

Источник:

Хроника происшествий, аварий и катастроф, связанных с программными ошибками

Цена программной ошибки сегодня неизмеримо возросла: взрываются ракеты, падают самолеты, нарушаются графики движения поездов, наконец, гибнут пациенты клиник, нарушаются поставки продукции и товаропроизводители несут огромные убытки, а потребители не могут купить нужный товар.

Инциденты с Therac-25 1985–1987

В 1985–87 гг. 6 человек получили смертельную дозу облучения во время сеансов радиационной терапии с применением медицинского ускорителя Therac-25 (количество пациентов, также подвергшихся переоблучению, но выживших, точно не известно).
Расследование показало, что непосредственной причиной инцидентов была программмная ошибка, однако основные ошибки были сделаны на стадии проектирования оборудования и системы автоматизации.

Катастрофа Ariane 5 4 июня 1996 г

Первый запуск ракеты-носителя Ariane 5 – детища и гордости Европейского Сообщества закончился взрывом через неполные 40 сек. полета. Автоподрыв 50-метровой ракеты произошел в районе ее запуска с космодрома во Французской Гвиане. За предшествующие годы ракеты серии Ariane семь раз терпели аварии, но эта побила все рекорды по вызванным ею убыткам. Только находившееся на борту научное оборудование потянуло на пол-миллиарда долларов, не говоря о прочих разноообразных издержках; а астрономические цифры «упущенной выгоды» от несостоявшихся коммерческих запусков и потеря репутации надежного перевозчика в очень конкурентном секторе мировой экономики («стоимость рынка» к 2000 г. должна превысить 60 млрд. долл.) с трудом поддаются оценке. В тоже время предыдущая модель – ракета Ariane 4 – успешно запускалась более 100 раз.

Произошедшая с Ariane 5 катастрофа имела исключительно большой резонанс – и по причине беспрецедентных материальных потерь, и вследствие очень оперативного расследования, характеризовавшегося к тому же открытостью результатов. В результате данное событие вошло в историю не только космонавтики, но и программной инженерии.
Расследование показало, что причиной аварии стала допущенная (и не выявленная при тестировании) программная ошибка, связаная с некорректным повторным использованием программного обеспечения и отсутствием точной спецификации повторно-используемого модуля.

межпланетный зонд «Galileo»

31 января 1999 Американский межпланетный зонд «Galileo» (20298 / 1989 084B), вращающийся по орбите вокруг Юпитера, совершил очередной пролет близ Европы. Часть научной информации, собранной во время сближения, была утеряна вследствии сбоя в работе программного обеспечения.

Источник: http://www.pereplet.ru/space/chrono/1999.html

Mars Climate Orbiter 23 сентября 1999 года

Аппарат для исследования Марса Mars Climate Orbiter был запущен 11 декабря 1998 года. Следом за ним был также запущен Mars Polar Lander — 3 января 1999. Оба аппарата были потеряны вскоре после того, как они достигли красной планеты. Эти два космических корабля стоили NASA около 327,6 миллиона долларов, потраченных на их создание и функционирование. Причина аварии Mars Polar Lander осталась невыясненной.

Причина потери Mars Climate Orbiter залючается в программно-человеческой ошибке, которая превела к тому, что одно подразделение учавствовашее в проекте считало «в дюймах», а другое — «в метрах», прчем выяснилось это уже после потери аппарата.

Подробнее см. Мэтт Тэллес, Юань Хсих, глава из книги «Наука отладки»

Авария ракеты-носителя «Зенит» 12 марта 2000 г.

Запуск ракеты-носителя «Зенит» 12 марта 2000 по программе «Морской старт» (Sea Launch) закончился он аварией. Через несколько минут после старта ракета «Зенит» отклонилась от курса и не смогла вывести на заданную орбиту первый спутник для системы сотовой телефонной связи ICO Global Communications. После аварии участники консорциума Sea Launch образовали несколько комиссий для расследования ее причины. В опубликованных выводах экспертов компании Боинг причиной сбоя называется программная ошибка. Из-за этой ошибки не был закрыт клапан в пневматической системе второй ступени ракеты. Эта система ответственна за выполнение нескольких операций, в том числе за работу рулевого двигателя этой ступени. Из-за того, что клапан не был закрыт, давление в пневматической системе упало больше, чем на 60% от заданного. Поэтому двигатель не смог развить необходимую тягу, а ракета, соответственно, не смогла выйти на заданную орбиту.

Источник: InfoArt News Agency

Выброс радиоактивного вещества в Западной Австралии декабрь 2001

На заводе по переработке урана в Западной Австралии в конце декабря 2001 года произошел выброс радиоактивного вещества. Расследование инцидента показало, что произошел он из-за «логической ошибки» в программном обеспечении компьютеров, установленных на заводе. Разработчиком этого ПО является компания Amec Engineering.

Как сообщается, из-за этой ошибки во время проведения регламентных работ произошло отключение питания системы жидкостного охлаждения. В этой ситуации должны были автоматически отключиться насосы, качающих охлаждающую жидкость, но этого не произошло. Прежде чем персонал успел сделать это вручную, давление в трубопроводах возросло, и один из них не выдержал.

По заявлению компании Heathgate Resources, обслуживающей завод, софтверная фирма Amec исправила ошибку в ПО и вновь проверила работу всей компьютерной системы завода. Название программного продукта, в котором была обнаружена ошибка, не сообщается.

Источник: http://businesspress.ru/newspaper/article_mId_37_aId_100349.html

Катастрофа шаттла Columbia 1 февраля 2003 г.

Космический шаттл Columbia сгорел при входе в атмосферу на высоте порядка 62 километров над территорией штата Техас. Все семеро астронавтов, находившихся на борту челнока, погибли.

Вероятно, что одним из косвенных виновников катастрофы стала программа MS PowerPoint, используемая в NASA для подготовки красивых
презентаций.

По сообщению газеты The New York Times, комиссия по расследованию катастрофы корабля Columbia утверждает, что чрезмерная страсть сотрудников NASA к программе PowerPoint стала одной из причин гибели челнока и семи членов его экипажа. По мнению экспертов, составленный при помощи PowerPoint отчет о повреждениях теплозащитного покрытия крыльев космоплана представлял собой практически нечитаемый слайд.

Вместо того чтобы нарисовать схемы при помощи обычного листка бумаги и
шариковой ручки, служащий NASA, ответственный за составление отчета, подготовил макет на компьютере. Служащий не забыл украсить свой документ кружевами и финтифлюшками из клипартовского арсенала PowerPoint, успешно достигнув главной цели, которую обычно ставят перед собой авторы презентаций: ему удалось создать предельно запутанный, но очень внушительный отчет, вселяющий в аудиторию смутный трепет перед лицом полиграфических возможностей современных компьютеров и не несущий абсолютно никакой информации.

В итоге, дефект просто потерялся под грудой стрелочек и графиков, а корабль отправился в свой последний полет с неисправной обшивкой.

Источник:http://forum.cta.ru/forum_posts.asp?TID=191&KW=%F5%F0%EE%ED%E8%EA%E0

A310 — катастрофы

Как минимум 5 авиакатастроф самолетов A310 можно связать с ошибками в программном обеспечении

ЕГАИС июнь — август 2006

В начале июня 2006 г внедрение Единой государственной автоматизированной информационной системы учета алкогольной продукции (ЕГАИС) практически парализовало оптовые поставки алкоголя в торговые сети России. Участники рынка заявляли, что система «постоянно виснет» и «дает сбои». Поступали жалобы и на технические ограничения системы. Так, число одновременных подключений к ЕГАИС ограничено десятью. Кроме того, в системе отсутствуют номенклатурные справочники со списками предприятий-производителей и товарных позиций.

См. [1]

Программа, которая должна быть установлена на компьютере пользователя системы, при размере в три мегабайта, требует для работы гигабайта памяти и трех гигагерц тактовой частоты процессора, но при этом все равно умудряется безбожно тормозить, половина интерфейса которой — на английском, а другая половина — на русском, а в окне сообщения об ошибке пишет «Game over».

В начале августа 2006 в докладе, направленном министром финансов премьеру Михаилу Фрадкову (07 aигуста 2006) признается что ЕГАИС фактически не работает.

«К причинам сложившейся ситуации относится неготовность технических средств и программного обеспечения ЕГАИС, — говорится в документе. — Это до сих пор не позволяет получить в ходе работы ЕГАИС информацию об объемах поставленной и отпущенной в розничную сеть продукции. ЕГАИС на данный момент не позволяет осуществлять мониторинг рынка».

См. Расследование «ФК-Новости». ВСЯ ПРАВДА ОБ ЕГАИС

Смотри также

• Программная ошибка

Ссылки

• Дмитрий Волков Цена программной ошибки / Открытые системы #06/1998
• Валерий Аджиев Мифы о безопасном ПО: уроки знаменитых катастроф * «Открытые системы» #06/1998 (Инциденты с Therac-25 и Катастрофа Ariane 5)
• Десятка глупейших багов, которые подпортили мир
• ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ 1996
• Segrio. $500 млн за строчку кода или стоимость ошибок ПО в космосе