Mars Climate Orbiter: a unidade errada que atravessou todas as verificações

A Mars Climate Orbiter viajou até Marte e perdeu contato com a Terra em 23 de setembro de 1999. A explicação mais lembrada é uma mistura entre unidades inglesas e métricas. Ela está correta no essencial, mas esconde uma pergunta maior: por que a incompatibilidade não foi descoberta durante a missão? Fonte 1

O erro estava em dados usados em terra para calcular a trajetória. Não era uma simples conversão da altitude exibida em uma tela, nem uma troca entre quilômetros e milhas no computador da sonda.

O que as unidades mediam

Pequenas atuações dos propulsores produziam impulso, uma grandeza que combina força e duração. O arquivo de solo usado nessa parte da navegação fornecia valores em libra-força-segundo. A especificação exigia newton-segundo, que era a unidade esperada pelo processamento seguinte. Fonte 1

Uma libra-força-segundo corresponde a aproximadamente 4,45 newtons-segundo. Se o número é lido sem a conversão, o efeito físico considerado fica em escala errada. O dado pode ser perfeitamente legível pelo programa e ainda assim representar a coisa errada.

Essa é a diferença entre compatibilidade de formato e compatibilidade de significado. Duas equipes podem trocar um arquivo sem erro de leitura, mas discordar silenciosamente sobre o que seus números querem dizer.

Pequenos efeitos se acumulavam

A navegação precisava levar em conta essas atuações dos propulsores ao reconstruir e prever o movimento da sonda. O relatório apontou que sua frequência foi maior que a esperada e que as estimativas se afastavam da trajetória real. Fonte 1

Havia divergências a resolver. As verificações de ponta a ponta do software de solo foram insuficientes, e problemas de comunicação e de tratamento das discrepâncias contribuíram para que o erro sobrevivesse. O anúncio preliminar do JPL já destacava a falha de engenharia de sistemas e das verificações, além da troca incorreta de informações. Fonte 3

A pergunta relevante não é apenas quem escreveu a unidade errada. É quem deveria detectar que o conjunto estava deixando de representar o movimento real.

Quatro altitudes, quatro significados

O relatório registra um alvo de primeira passagem de 226 quilômetros e uma solução final de navegação que previa aproximadamente 110 quilômetros. Após a perda, a reconstrução indicou cerca de 57 quilômetros, abaixo dos 80 quilômetros considerados suportáveis. Fonte 1

Esses números não são quatro medições sucessivas da sonda descendo. São um objetivo, uma previsão, uma estimativa posterior e um limite. Mantê-los separados mostra como a equipe podia trabalhar com uma previsão aparentemente aceitável enquanto a trajetória real se tornava perigosa.

Uma manobra adicional, a TCM-5, não foi executada. A investigação discutiu limitações de preparação, análises, testes, procedimentos e tempo. Dizer apenas que alguém “decidiu não corrigir” omitiria as condições que limitavam aquela opção.

A perda foi certa; o destino final, não

A fase I apresentou duas possibilidades para o destino da sonda: destruição na atmosfera ou retorno a uma órbita em torno do Sol. A investigação não observou uma explosão ou um impacto que permitisse fechar uma dessas imagens como fato. Fonte 1

A fase II ampliou o exame para recursos, treinamento, gestão e rigor dos processos. A incompatibilidade de unidades era o mecanismo imediato, mas a organização da missão ajuda a explicar por que ele não foi contido. Fonte 2

Nossa conclusão editorial é que uma unidade física faz parte do contrato entre sistemas. Se só o número é verificado, uma informação incorreta pode atravessar uma arquitetura complexa sem parecer inválida. O Ariane 5 também mostra como hipóteses herdadas chegam ao voo quando a integração não as coloca à prova.