Ma il paracadute è uguale a quello di Schiaparelli?
Anche se nessun l’ha mai ammesso ufficialmente, io sono ancora convinto che la colpa dello schianto sia del paracadute, non del SW o dell’accelerometro, che hanno solo riportato il casino che il paracadute stava causando.
Secondo me si vede chiaramente dalle foto del sito dello schianto, che il paracadute non ha funzionato: basta misurare la distanza tra paracadute e backshell, cioè quanto si sono dispiegati i cavi: la metà di tutti gli altri rover atterrati con successo su Marte.
Ergo, si sarebbe schiantato anche se IMU e SW avessero funzionato perfettamente.
Quello che non capisco è perchè il report finale sulla ricerca della “root cause”…non parla affatto di “root cause”, ma solo di effetti derivati!
Comunque già mettere l’anno di lancio dentro al nome ufficiale di una missione, è segno di scarsa conoscenza delle “faccende spaziali”: quando mai nella storia una missione è stata lanciata nella data prevista inizialmente?!? E ora ci si è messa anche la NASA, con Mars 2020; stiamo tornando indietro invece di progredire?!? Mah.
I nuovi test saranno condotti a dicembre e a febbraio
Nell’articolo che avevo riportato sopra il primo test era indicato per novembre, quindi direi che c’è stato un rinvio.
Relativamente all’intervento della NASA mi permetto una domanda ignorante: in casi come questo, l’aiuto fornito da NASA è offerto a titolo gratuito oppure viene pagato da ESA?
I paracadute di Schiapparelli era prodotto dalla Aerosekur di Caselle Torinese.
L’azienda ha cambiato il nome in Arescosmo e ha prodotto anche i paracadute di Kazachok (il lander della Lavochkin).
Conosco il progetto di Schiapparelli e chi ci ha lavorato (sia in TAS che in Arescosmo) e ti posso garantire che non c’è nessuno che io conoscoa che abbia mai avuto dubbi sui paracadute.
(ovviamente devi prendere le mie parole sulla fiducia).
Inoltre a me pare che i problemi avuti nei test del nuovo paracadute siano qualcosa di inedito.
Parlavo proprio di questo assurdo report, che dice:
“è tutta colpa del computer di bordo, che ha fatto una stima errata dell’assetto di volo per via dei dati inattesi che ha ricevuto dall’IMU, e quindi ha spento i retrorazzi troppo presto.”
Ma… siamo pazzi?!? Questa sarebbe una “root cause”? E’ stato lo spirito santo a causare i dati errati??? Sembra un rapporto scritto da Paperino: “Schiaparelli si è schiantato perchè non ha funzionato”.
Cioè sul serio? Non è uscito nessun altro report dopo questo? Nessuno ha cercato di capire a cosa erano dovute le “high angular rates”? Nessuna lesson learnt, tranne aggiungre al SW una riga che, al prossimo guasto del paracadute, invierà la telemetria “sto precipitando” ?
Ho indagato parecchio sulla cosa all’epoca: sapete che nessuno, nemmeno la NASA, ha dati su cosa succede all’assetto di volo subito dopo l’apertura del paracadute dei lander marziani? Tutti i dati successivi all’apertura del paracadute, nelle precedenti missioni NASA, sono considerati “inattendibili”, dal Pathfinder a oggi.
Ho cercato in lungo e in largo le telemetrie complete delle traiettorie dal distacco dal Carrier Module all’atterraggio, ma non esistono, si interrompono tutte all’apertura del paracadute. Ho letto in un paio di “report post-missione” che non è proprio possibile ricostruire la traiettoria successiva per via delle troppe incognite.
Guarda un po’ una di queste incognite ci è costata la faccia e svariati milioni di euro.
E adesso abbiamo 3 test su 3 del paracadute falliti.
Non voglio essere polemico, ma il report mi sembra chiarissimo sulle cause.
“The parachute was deployed, and the parachute inflation triggered some oscillations of Schiaparelli at a frequency of approximately 2.5 Hz.-About 0.2 sec after the peak load of the parachute inflation, the IMU measured a pitch angular rate (angular rate around Z-EDM axis) larger than expected. The IMU raised a saturation flag”
Ora, che ci siano delle oscillazioni durante l’apertura di un paracadute, non mi sembra inaspettato, e non mi sembra si possa definire un “difetto” del paracadute. Sarebbe un difetto se avesse provocato un guasto meccanico, mentre qui si parla di far andare fuori scala un software!
Ma continuando a leggere:
“the GNC Software integrated an angular rate assumed to be equal to the saturation threshold rate”…
“led to an error in the GNC estimated attitude of the EDM of about 165 degrees”…
“the GNC Software projected the RDA range measurements with an erroneous off-vertical angle and deduced a negative altitude … There was no check on board of the plausibility of this altitude calculation”
Ovvero, il software di bordo non era stato progettato correttamente.
No, la riga da aggiungere e’ un check per capire che il calcolo della attitudine era errato. Schiapparelli non stava precipitando, e il paracadute stava funzionando benissimo:
“Schiaparelli was descending at a nominal descent rate, with very small oscillations (< 3 deg) around pitch and yaw axis.”
“The RDA was switched on at 14:46:19 (15s after Front Shield separation acknowledgment) and provided coherent slant ranges, without any indication of anomalies”
E ovviamente i dati telemetrici sono successivi all’apertura del paracadute, e sono continuati fino allo schianto. Quindi non è corretto affermare che “si interrompono tutte all’apertura del paracadute”
Niente in questa risposta aiuta una discussione seria.
Prima di tutto, i toni sono davvero sopra le righe, non vedo perché agitarsi tanto.
Dal mio punto di vista o non hai letto, o non sai comprendere, o non vuoi comprendere quanto esposto nel report, perché nella tua testa hai deciso che sai come sono andate le cose, e quindi è per forza il report ad essere ridicolo e sbagliato.
Per quanto mi riguarda le informazioni nel report sono chiare ed esaustive, le raccomandazioni basate sulle lesson learnt (peraltro tracciate anche da sistemi di issue tracking interne ad ESA) le trovi a partire da pagina 21, e allusioni come quelle che fai tu a conclusioni tratte senza il supporto di prove telemetriche lasciano il tempo che trovano e non sono supportate dai fatti.
Il rapporto non nasconde nulla, anzi, dichiara con chiarezza che il paracadute si è aperto, ma che i suoi comportamenti e le oscillazioni laterali indotte sulla sonda alla velocità di mach 2 non erano state comprese pienamente.
Ridotto ai minimi termini la “root cause” è l’incapacità del software del sistema GNC di gestire correttamente i dati provenienti dalla IMU e dal radar altimetro, causate da oscillazioni oltre il previsto durante l’apertura del paracadute e risultanti nello sgancio prematuro della back shell e del paracadute, sparo istantaneo dei retrorazzi, e conseguente schianto sulla superficie.
Puoi fornire una fonte precisa e verificabile di questa affermazione (che comunque non ha nulla a che fare con ESA, quindi boh)?
A proposito di telemetria, io credo che in molti qui ricordino le famose “dirette” dei 7 minuti di terrore dei lander marziani almeno dal 2012, le abbiamo viste praticamente tutti. Quella roba lì non è mica teatro, è basata sulla telemetria presunta inaffidabile, al punto che la fase di ingresso in atmosfera marziana dei rover NASA è seguita da almeno uno degli orbiter marziani a fare da “ponte radio”. Per non parlare di MarCO-A e MarCO-B.
La telemetria di Schiaparelli in ESA c’è, (ho seguito in diretta da ESOC le fasi dell’atterraggio, nella sala accanto alla main control room, e ho sentito in diretta i dialoghi dei controllori di volo, anche quelli che non sono andati in diretta streaming) ed è stata essenziale per la ricostruzione dei fatti. Certo hai solo la mia parola per questo (e quella di David Parker, direttore ESA per il volo umano e l’esplorazione robotica).
Accettare un fallimento è duro, ma dallo schianto di Schiaparelli, che ricordo essere un piggyback di Exomars TGO per validare svariate tecnologie ancora acerbe in ESA, si è imparato moltissimo.
NASA ha schiantato un bel po’ di sonde marziane, ha investito e riprovato le tecniche di landing fino ad arrivare a una bella sfilza di successi.
Le prove si fanno per scoprire cosa non funziona, e quindi se qualcosa si scopre, per quanto spiacevole, si tratta di una vittoria del sistema di validazione, che ha scovato un problema prima che arrivasse all’esemplare di volo.
Con Schiaparelli la validazione è stata fatta male, per vari motivi, affidandosi anche a subcontractors poi rivelatisi incompetenti, e anche questa è una lesson learnt.
Infine, una nota personale: da contractor ESA con 7 anni di esperienza nelle operazioni, mi sento di respingere con forza le tue allusioni semi-complottiste al mittente. E qui mi fermo, sperando di non dover ricorrere ad @adminbot.
Rispondo “in massa” invece di quotare sennò non si capisce niente:
Ho seguito un seminario sulla ricerca delle root cause nelle missioni spaziali; stando a questo corso, a mio avviso il report è incompleto. La definizione di root cause, infatti, è “causa eliminata la quale la missione avrebbe avuto successo”.
In questo report questa causa non è proprio presente. Dimostrazione: se il SW avesse funzionato correttamente, Schiaparelli sarebbe atterrato con successo? La risposta di questo report è “boh?” (leggetelo bene).
Il motivo di questa mancanza è che la “catena dei perchè” si è interrotta troppo presto.
perchè Schiaparelli si è schiantato?
perchè i retrorazzi erano spenti.
perchè i retrorazzi erano spenti?
perchè li ha spenti il GNC
perchè li ha spenti?
perchè ha male interpretato i dati dell’IMU
perchè li ha interpretati male?
perchè il SW del GNC era fatto male
perchè era fatto male?
perchè era stato programmato per aspettarsi valori diversi da quelli letti
perchè qusti valori erano diversi?
perchè il lander non avrebbe dovuto avere accelerazioni angolari così alte
7) E perchè il lander aveva accelerazioni angolari così alte? Risposta (implicita) del report: chi se ne importa, tanto è colpa del SW.
Eh no. Non ci siamo.
La risposta è: perchè è iniziato un comportamento anomalo al momento dell’apertura del paracadute
e perchè?
Non lo sappiamo, non lo avevamo mica testato il paracadute
Perchè non l’avete testato?
Purtroppo non conosco la risposta a questa domanda, quindi io personalmente non so come continuare la catena dei perchè.
E adesso vengono fuori 3 test falliti su 3 per il paracadute del prossimo Exomars…
Telemetrie finali: ho cercato per molte settimane le telemetrie di assetto dei “6 minuti di terrore” di varie missioni, ma non sono riuscito a trovarle, nè usando genericamente google, nè spulciando manualmente report PDF e dati RAW presi dai siti NASA: si possono trovare quota, pressione, velocità, accelerazione, tutto quello che vi pare, MA non esistono dati sull’assetto del lander dopo l’apertura del paracadute; pare che non sia proprio matemaicamente possibile estrapolarli dai dati delle IMU, per via di due incognite che è impossibile conoscere per un oggetto in volo su Marte: direzione e velocità del vento. (gli aerei sulla terra, possono contare sul supporto dei controllori di volo, dei satelliti, ecc…).
Quindi, in sostanza, una volta aperto il paracadute, si improvvisa.
Proprio così: il GNC improvvisa, non ha un modello di volo pre-caricato. Sa solo che “a un certo punto” della caduta, per motivi puramente balistici e aerodinamici, il suo asse Z sarà “abbastanza verticale” da permettere il funzionamento corretto dei retrorazzi, ma questo succede solo quando l’attrito aerodinamico scende sotto una certa soglia, ossia quando a velocità del lander scende sotto una certa soglia; ma quando questo succeda, dipende dalla densità dell’atmosfera marziana il giorno e l’ora dell’atterraggio, che ovviamente nessuno può sapere a priori.
Scusa, ma su quali basi dici che il comportamento dell’apertura e’ anomalo, e che le accelerazioni erano alte?
Anomalo per me vuol dire essere fuori dalle specifiche. E le specifiche di questo tipo si fanno sul la resistenza del payload, mica sul software!
Le accelerazioni erano alte per il software, mica per il playload.
Se il giroscopio ha letto accelerazioni angolari “troppo” alte, vuol dire che ruotava o oscillava troppo rispetto ai valori nominali preprogrammati nel GNC.
Dove abbiano preso questi valori di riferimento, e quanto è questo “troppo”, non lo so.
No, non funziona cosi’. Stai facendo un ragionamento errato.
Il giroscopio e’ uno strumento di misura. Come tutti gli strumenti, ha un intervallo di funzionamento e una data precisione. E queste due cose sono normalmente legati tra di loro: se ho a disposizione 16 bit per la misura, l’intervallo di funzionamento e’ 65536 volte la precisione.
Quindi, se si vuole avere un intervallo di funzionamento piu’ ampio, tocca avere uno strumento meno preciso. Ma magari questo non e’ possibile, perche’ una data precisione e’ necessaria.
Quindi e’ normale che si possa andare fuori scala. Se succede, il software deve essere in grado di individuare che si e’ fuori scala. Non mandare tutto in vacca…
Questo è un “lander” che sta affrontando “accelerazioni angolari troppo alte”:
Non è un vero e proprio lander, e ovviamente non siamo su Marte, e il paracadute non è più attaccato: si tratta della capsula di rientro Genesis, che ha fatto un bel buco nel deserto dello Utah nel 2004.
Ma il paracadute di un lander marziano ha un singolo punto di connessione, su cui il lander stesso fa perno; se per qualche motivo il lander ha iniziato a fare così, non ci sono retrorazzi che tengano, non c’è software che possa salvare la situazione.
Però se non sbaglio in uno dei prossimi lander marziani dovrebbero installare, per la prima volta, una retrocamera che inquadri il paracadute quando si apre, o sbaglio?
