フォボス・グラント。 地球に残るための教訓

問題の歴史を思い出させてください。 昨年の11月9日、ほぼ15年間の開発、いくつかのプロジェクトの中断、打ち上げの延期の後、新しいロシアのフォボスグラント宇宙船を搭載したZenit-2SBロケットがバイコヌールから打ち上げられました。 目標は非常に野心的でした。火星への自動ステーションを立ち上げ、その衛星であるフォボスに到達し、そこから土壌サンプルを採取し、それを地球に戻します。 これらは、研究者に物理的に届けられた地球外物質の最初のテストです（私たちの宇宙船よりも数​​年前に惑星間塵のいくつかの微視的粒子を届ける「フォボス」の絶え間ない遅延のために、ここのレターイーターは日本の「はやぶさ」を非難したでしょう） 「前世紀の」月の研究。 そして、今日の理論によれば、フォボスは火星によって捕らえられた小惑星であるという事実、つまり、太陽系のすべての惑星が一般に形成されたのと同じ原材料のサンプルであるという事実を考慮します（月はまだ地球の「部分」であり、過去に壊れていない実際の「惑星」）、この遠征も前例のない科学的意義を持っていた。 これは、火星とその衛星からのデバイスの最初の「戻り」にもなります。

もう1つの重要な問題は、ソビエト時代に停止していた「深宇宙」、惑星間研究へのロシアの名声と開かれた帰還でした。



悲しいかな、遠征全体はすぐに終了しました。 打ち上げ直後、デバイスは地球の近くの「駐車」軌道に「スタック」し、コマンドに応答せず、プログラムを実行せずに「凍結」状態にあったことが判明しました。 11月24日に操作性を回復する試みは公式に停止され、今年2月にデバイスは制御不能に大気の密な層に入り、幸運なことに、地球上でこのような降下中の誰にもぶつかることなく、海に落ちました。



2月、RoscosmosのWebサイトで簡単な公式レポートが発行されました。 基本的には次のとおりです。



2011年12月9日付けロシア宇宙庁長官の命令に従って形成された、フォボス・グルント宇宙船の飛行試験中に生じた緊急事態の原因の分析に関する部門間委員会の結論の主な規定No.206



ソースhttp://www.roscosmos.ru/main.php?id=2&nid=18647



[考えられるさまざまな原因とその原因をリストする]

委員会の専門家によるこれらのシステムおよびユニットの可能性のある障害の分析は、（状態とTMIを考慮に入れて）NSNの発生時に［緊急事態］、その根本原因になりえないことを示しました。

2.2。 NShSの原因は、CVM22 BVKデバイスの2つのハーフセットの再起動[オンボードコンピューティングコンプレックス]（二重「再起動」）であり、このフライトセクションでフォボスグラウンド宇宙船制御を実行します。その後、BKU操作の論理に従って、通常の宇宙船フライトシーケンス図フォボスグラント」、そして彼は、一定の太陽の向きを維持し、飛行経路の設計ソリューションによって提供されたXバンド通信で地球からのコマンドを待機するモードに切り替えました。 [...]

2.3。 二重の「再起動」の根本原因になりそうな最も可能性の高い要因は、宇宙の重い荷電粒子（TZZ）の局所的な影響であり、これはフォボス-グランド宇宙船の第2軌道での飛行中にTsVM22セットのコンピューティングモジュールのRAMの誤動作を引き起こしました。

RAM障害は、同じタイプのWS512K32V20G24Mの2つのマイクロ回路を含むTsVM22のコンピューターモジュールのセルに対するTCDの影響によるEMIの短期的な動作不能によって引き起こされる可能性があります（コンピューターモジュールのセルは互いに平行な単一のハウジングにあります）。 この影響により、プログラムコードの歪みと「ウォッチドッグ」タイマーのトリガーが発生し、TsVM22ハーフキットの両方が「再起動」されました。 TZZhとECB間のこのような相互作用のモデルは、規範的文書および技術文書によって規制されていません。 欧州委員会は、宇宙空間における電離放射線の最新モデルとその使用ガイドラインを含むRCP組織の規範的および技術的文書を開発および実装する必要があると考えています。



ロシアの宇宙船の搭載コンピューターがどのように設計されているか、そしてそれらが何であるかに関する散らばった断片的な情報から、フォボス・グルントでは、KB Argonの一部門であるTekhcomによって製造された新しい搭載コンピューター複合体BVK TsVM22を使用することが決定されたことが理解できました、 TsVM22への移行が最後の遅延と、前回の起動「ウィンドウ」から現在の起動への起動の転送の原因でした。 約2年間（とりわけ）フォボスは、最新のマイクロエレクトロニクスを使用して作成された新しいコンパクトなBVKに変換されました。 しかし、宇宙では、誰もがキログラムではなく、金でその重量に相当するグラムです（キログラムの貨物を最も低い地球軌道に置くおおよそのコストは約3000-4000USDです）！ しかし、火星への飛行は地球軌道への結論だけではありません。 1キログラムの「鉄」を節約することで、1キログラムのスマート科学機器をデバイスに配置できます。

そのような節約を利用することが非常に魅力的であることは驚くことではありません。



搭載されたPhobosは、2つの独立したTsVM22モジュールであり、ペアでモジュールに障害が発生した場合に、並行して独立して動作し、ホット複製を提供しました。 このような複製は、航空および宇宙技術の一般的な慣行です。



定期的な失敗に起因する一般的な迷惑をきっかけに、最近、ロシアの宇宙計画で、フォボスで大量生産された「中国」の電子機器を使用したとされる非常にin辱的でばかげた噂を聞いたことがあります。失敗しました。 これは実際にはそうではありません。

以下は、James Hamiltonがブログ記事でサーバーハードウェアへのメモリ障害の影響についてチップについて書いているものです。



これらのSRAMはWhite Electronic Designによって製造され、モデル番号はWhite Electronic Designの場合は「W」、SRAMの場合は「S」、32ビット幅アクセスによる512kメモリの場合は「512K32」、「V」は改善マーク、20nsのメモリアクセス時間の場合は「20」、「G24」はパッケージタイプ、「M」は軍用グレードの部品であることを示します。



「これはSRAM（スタティックRAM、通常のDRAMであるダイナミックRAMとは対照的に、循環がなくてもセルを保持するメモリチップであり、「再生」を必要とせず、産業用電子機器で広く使用されています）」 「W」）、StaticRAM（「S」）の構成、「512K32」は32ビットのビット容量を持つ512Kワードを意味します。「V」は改善された特性のマーク、「20」はメモリセルへのアクセス時間20ns、「G24」はケースタイプ、「M 「-」は「軍隊」の製造クラスと許容範囲を示します。



ソース： http : //perspectives.mvdirona.com/2012/02/26/ObservationsOnErrorsCorrectionsTrustOfDependentSystems.aspx



しかし、残念ながら、本物の「白い」アメリカの「軍事用」クラスのマイクロエレクトロニクスの使用でさえ十分ではありませんでした。



建設的な研究が不十分であるという古典的な問題があり、それをもっと広くとると、明らかに、全体としてのエンジニアリング能力が低い。 もちろん、2つのBVKボードの配置を設計して、その中のメモリチップが非常に近く、単一のパーティクルでフラッシュされ、同時に（同時に！）両方の複製されたコンピューターの障害を引き起こすように、これは「トップレベル」の明らかな建設的な欠陥です。



これは、明らかに、「誰がコスチュームを作ったのか」という古典的な問題ですか？彼らの有名な独白のZhvanetsky-Raikinによるものです。 「ボタンについて苦情がありますか？」 素晴らしい、おそらくコンピューティングコンプレックスそのもの。 2つの超小型回路を並べて配置すると、その要素に有害な放射が同時に発生する可能性が高くなるとは誰も思いませんでした。 アセンブリアセンブリでその角度を見た人はいませんでした。 または、公式報告書では、 「TZZh [重荷電粒子（ "宇宙線"）]とECB [電子コマンドユニット]の相互作用のモデルは、規範的および技術的文書によって規制されていません。 。



しかし、悲しいかな、これだけではありません。 どうやら、設計能力のある状況はさらに悪い。

驚くべきことに、それは事実です。2005年、IEEEが出版した「放射線影響データワークショップ」のコレクションで、放射線被曝と電子部品への重荷電粒子の影響のトピックを取り上げました。



Brookhaven National Laboratoriesでの1Mおよび4MモノリシックSRAMの最近のSEEテストは、シングルイベントラッチアップ（SEL）に対して非常に敏感であることを示しています。 Brookhavenで利用可能な最小の重イオンLET、0.375 MeV-cm2 / mgでSELを観測しました。



「ブルックヘブン国立研究所での1Mおよび4MモノリシックSRAMチップの最近のテストは、スナップ効果に対する極端な感度を示しました。 「我々は、ブルックヘブン加速器で利用可能な0.375 MeV cm2 / mgのエネルギーの少なくとも重イオンにさらされたときにこの効果を観察しました。」

ソースhttp://ieeexplore.ieee.org/xpl/freeabs_all.jsp?reload=true&arnumber=1532657



しかし、これらはTsVM22の作成のためにTechcomで選ばれた非常に小さな回路です！ そして、この動作は少なくとも2005年から知られています。



どうやらフォボスは最初から運命づけられていたようです。 遅かれ早かれ、「開放された惑星間空間」というやや放射線過酷な条件では、この効果が捉えられるでしょう。 しかし、運が良ければ、原則として「ラッチング」がバックアップシステムからの複合体の「コールドリセット」で処理されると、両方の複合体の同時故障（主にレポートで示されている設計が原因）が致命的であることが判明しました。 報告書が示すように、失敗は「友好的な方法で」発生したため、フォボスは失敗に関するメッセージを送信することさえしませんでした。オンボードのデジタルコンピューターの不動作と複合施設全体の障害。



上記の「ラッチアップ効果」または「スナップ効果」についてのいくつかの説明的な言葉。 これは、SRAMメモリセルの一種の「フリーズ」を引き起こす特定の効果です（上に示すように、宇宙線の重い荷電粒子が移動するときに発生します）。原則として、機能を復元するにはSRAMモジュールを完全にオフにしてからオンにする必要があります。順不同で発生し、元に戻せません。



記事「ロシアの火星探査機が不良メモリチップを落としたのか？モスクワは、SRAMチップの放射能の残骸を非難するが、それは足し算するのか？」

「不良メモリチップはロシアの火星の宇宙船を破壊しましたか？」 モスクワは、SRAMチップへの宇宙線の影響を非難していますが、それだけがポイントですか？」



ソースhttp://spectrum.ieee.org/aerospace/space-flight/did-bad-memory-chips-down-russias-mars-probe



IEEE Spectrum電子ジャーナルに掲載されたSteven McClure、Jet Propulsion LaboratoryのNASAスペシャリスト（JPL、NASAの最も古い宇宙工学チーム）、Radiation Effects Groupのヘッドは、NASAが宇宙機器でのそのようなSRAMチップの使用に対応していないことを明示的に述べています彼らの有名な専門家による低放射線抵抗のため。



「WS512K32チップはよく知られており、軍事技術や航空技術で広く使用されていますが、宇宙技術では使用されていません」とMcClure氏は述べます。 このチップ。」 「宇宙技術、小規模タスク、軌道車、および重要ではない位置で使用できる可能性がありますが、惑星間ステーションのメインコントロールコンピューティングモジュールのコンポーネントとしては使用できません。 McClureの記事の著者。



また、記事では、何らかの未知の理由により、フォボスアルゴリズムが、実際に不幸が起こった地球付近の軌道で起こったことと同様に、失敗のオプションを考慮していなかったことが指摘されました。 発生したものと同様の障害が発生した場合、デバイスはいわゆるセーフモードに切り替わります。このモードでは、バッテリー放電を回避するためにデバイスが太陽電池パネルを太陽に向ける単純な自動化の愚かな非コンピュータ支援手段を使用し、地球からのコマンドを受信するコマンド無線回線をオンにしますコンソール "）を使用すると、システムを復元できます。



自動化は機能し、デバイスは正しい方向に向けられ、緊急チャネルで無線をオンにしましたが、アルゴリズムは出力段階で誤動作を提供せず（したがって、緊急チャネルを介してコマンドを受信しません）、誤動作の可能性、したがって、地球からの干渉のみが提供されました「飛行軌道」への出発の瞬間。



引用された記事はかなり厳密に述べています。 「2月3日に公式の事故調査結果が発表されたのは、基本的なハードウェアおよびソフトウェアの設計上の欠陥、および安全基準の露骨な違反に関するさらなる噂だけでした。

ソースhttp://spectrum.ieee.org/aerospace/space-flight/did-bad-memory-chips-down-russias-mars-probe



「2月3日の公式レポートのリリースは、ハードウェアとソフトウェアの根本的なエラーの存在、および安全基準の重大な違反（開発中）についてのさらなるうわさだけを提供します。」



このような不条理な事実は、概して、設計上の誤りにより、James Hamiltonにコメントしています。



「この間違いは驚くべきものです。 理にかなった人々、これを許すことができなかったように思えますが、エラーは明らかであり、表面にあります。 それにもかかわらず、大規模システムでのこのようなエラーは、あちこちで何度も発生します。 各分野の専門家は良い仕事をしますが、そのような「垂直」セグメント間の相互作用 （別々に-コンピュータ複合体を個別に設計し、デバイスに配置し、個別にプログラミングし、個別に-「シーケンス図」または操作のシーケンスを開発し、注）起動時および飛行中のアクション注） 複雑であることが判明し、製品の一般的な理解と製品内の「クロスバーティカル」関係が十分に深くない場合、これらの設計上の欠陥は満たされていない可能性があります。 idennymi （「訴訟を起こしたのは誰？」という問題については上記を参照してください。注）。 優れたスペシャリストは優れたコンポーネントを作成しますが、すべてのコンポーネントを統合システムに接続すると、コンポーネントとその相互作用の間に問題が生じることがあります。



多くの場合、優れた「垂直」スペシャリストは、製品全体が作成されていることを認識せず、そのコンポーネントのみを熟知しています。 2つのソリューションは、1）ハードウェアであろうとソフトウェアであろうと、コンポーネント間の明確に定義され、十分に文書化されたインターフェース（広義）、および2）コンポーネント全体の相互作用とシステム全体の操作を特に扱う専任の経験豊富で知識豊富なエンジニアです。 技術的に未熟なマネージャーのそのようなポジションへの任命は、しばしば効果的ではありません。



「複雑性の失明」によって引き起こされる問題とエラーは、しばしば非常に深刻であり、同時に、上記で検討した例のように、「バックデート」によって憂鬱なほど明白です。



PS。 数年前、私はモスクワ航空研究所の卒業生と話をする機会がありました。モスクワ航空研究所は、ツポレフ設計局で卒業前の実習を受けていました。 彼はそこでコミュニケーションをとる機会があった専門家について熱心に話しました。 「祖父は、法外なレベルの経験、ウォーキングガイド、百科事典を備えた本物のバイソンですが、彼らはすべて年金受給者であり、彼らは単に途方もなく死にかけています。 KBでの平均年齢は60歳未満です。 すべてが退職年金または勤務中の年金受給者です。 誰もが若い場合、彼らは非常にまれな愛好家であり、2、3年続く昨日の学生であり、その後、彼らはそれらの給与と絶望をビジネスまたは経営に投棄します。 そして、現在どのような学生がMAIを卒業していますか...「中間」に誰もいません。」

宇宙産業では状況はそれほど変わらないと思います。 そして結果として、これらはそのような物語です。



PPS 私は長い間、このような記事がHabréで必要かどうか、そして一般的にどこに投稿するかを考えていました。 しかし、どういうわけか事件があり、彼らはフォボスの話を話し、テレビからの噂を語り直し、いつものように「くだらないラスカ」をscりました。



PPPS 私は意図的に事実だけにとどまり、ハブですでに慣習となっているヒステリーなしでやりたいと思っていました：「ソーイング」、「非難」、「スコルコボ」、「ロシアの敵は有毒ガスのソケットに入れられ、彼らは彼らの厳しいレーダーで火星ステーションを倒します」。 専門家の事実と直接のスピーチのみ。



UPD：コメントには、NGOの元一流のスペシャリストからの公開レターへのリンクが記載されています。 主な宇宙工学センターであるLavochkinでは、特にフォボスが設計および作成されました。

open-letter.ru/letter/26645

上記の記事で述べたとおり、すべてが非常に期待されています。

「設計局の人為的な部門に言及したいと思います。 センターに分かれており、各センターには独自のディレクター、代理、計画部門などがあります。 そして、そのような組織は、かつて統一された設計局の真の不一致につながりました。

[...]

したがって、一方では、サービスの複製（たとえば、いくつかの部門がそれぞれ独自の方法でギアボックスに従事している）、他方では、同じドライブが3つのセンターで設計されています-一方のコントロールユニット、もう一方の電気技師、および3番目のメカニック。 そして、これらの部分のそれぞれは、他方を理解することを望みません。」



この手紙は2011年3月にSBイバノフ副会長の名前で書かれました。