Миссия завершилась до первых сближений

NASA сообщила 3 ноября, что малый аппарат Otter компании Starfish Space восстановить не удастся. Его запустили 1 октября в рамках демонстрации SSPICY; первоначальную связь установили, но потеряли во время ввода систем в эксплуатацию. Совместный анализ NASA и Starfish выявил проблему в бортовой защите от сбоев: она ошибочно удерживает радио выключенным. Поэтому операторы не могут вернуть двустороннюю связь. Запланированные задачи — автономно подойти к четырём неработающим американским объектам на низкой орбите и проверить электрореактивную тягу, навигацию, управление и шарнирную стрелу — на этом аппарате выполнены не будут. Важно не путать это с аварией ракеты: Transporter-18 успешно вывел полезные нагрузки, а отказ проявился уже при commissioning самого Otter.

Урок для автономных систем: защита тоже должна быть восстанавливаемой

Fault protection нужна именно тогда, когда наземная команда запаздывает или недоступна: она распознаёт опасное состояние и переводит аппарат в безопасный режим. Но если защитный контур может отключить единственный канал, через который его исправляют, локальный сбой становится потерей всей миссии. Из опубликованного сообщения нельзя заключить, какая именно архитектурная мера отсутствовала у Otter. Зато оно задаёт проверяемые вопросы для будущих аппаратов: есть ли независимый аварийный приёмник или таймер, который возвращает радио; может ли питание связи обходить ошибочное программное состояние; записывает ли аппарат достаточно телеметрии до отключения; можно ли воспроизвести редкие переходы на стенде. NASA говорит, что Starfish намерена продолжить будущие миссии Otter. Следующим существенным доказательством будет не новый рендер, а описанное исправление и успешный полный commissioning на орбите.

Источники