Mars Climate Orbiter, verloren an einer Schnittstelle

Im Dezember 1998 startete die NASA den Mars Climate Orbiter, eine Sonde, die das Klima des Mars beobachten und als Relaisstation für einen Lander dienen sollte. Nach neun Monaten Flug sollte sie am 23. September 1999 in eine Umlaufbahn einschwenken. Geplant war eine Annäherung auf gut 140 Kilometer. Nach späteren Berechnungen kam die Sonde dem Planeten bis auf etwa 57 Kilometer nahe, geriet in die Atmosphäre und ging verloren. Sie hatte rund 125 Millionen US-Dollar gekostet.

Die Untersuchungskommission fand die technische Ursache schnell. Eine Software des Herstellers Lockheed Martin lieferte Daten zur Wirkung kleiner Korrekturmanöver in amerikanischen Einheiten, in Pfund-Kraft-Sekunden. Das Navigationsteam der NASA verarbeitete diese Werte, als seien sie in Newton-Sekunden angegeben, wie es die Schnittstellenvereinbarung vorsah. Jeder Wert war damit um den Faktor 4,45 zu klein angesetzt. Über Monate summierte sich der Fehler zu einer falschen Flugbahn.

Bei diesem Befund blieb die Kommission nicht stehen. Sie stellte fest, dass dem Navigationsteam während des Flugs Abweichungen aufgefallen waren. Die Bedenken wurden informell besprochen und per E-Mail geäußert, aber nicht über das vorgesehene formale Verfahren für Anomalien gemeldet. Ein zusätzliches Korrekturmanöver, das die Flugbahn noch hätte verbessern können, wurde nicht ausgeführt. Die Kommission verwies zudem auf knappe Personalausstattung, unzureichende Einarbeitung und eine mangelhafte Kommunikation zwischen den Teams, in einer Zeit, in der die NASA unter dem Leitspruch „schneller, besser, billiger“ arbeitete.

Die Regel, welche Einheit zu verwenden war, existierte. Niemand prüfte, ob beide Seiten sie einhielten. Wie bei der Sicherheitslücke von Equifax lag zwischen Vorgabe und Umsetzung keine Kontrolle. Solche Lücken entstehen bevorzugt an Schnittstellen, zwischen Abteilungen, zwischen Auftraggeber und Dienstleister oder zwischen zwei Systemen, die Daten austauschen. Jede dieser Schnittstellen braucht eine zuständige Person und einen Test mit echten Daten, der beide Seiten gemeinsam einbezieht.

Einheiten sind dabei nur ein Sonderfall von Definitionen. In vielen Organisationen verstehen zwei Abteilungen unter demselben Begriff Unterschiedliches, etwa unter einer Vollzeitstelle, einem aktiven Mitglied oder dem Umsatz eines Quartals. Solange die Zahlen getrennt bleiben, fällt das nicht auf. Sobald sie in einem Bericht an den Vorstand oder in einem KI-gestützten Auswertungssystem zusammenlaufen, entstehen Fehler, die niemand sieht, weil jede Zahl für sich korrekt ist.

Dass die Sonde verloren ging, obwohl das Navigationsteam etwas ahnte, zeigt zudem den Wert formaler Meldewege. Weil die Zweifel nur informell geäußert wurden, entstand keine Pflicht, ihnen nachzugehen. Organisationen sollten es ihren Beschäftigten leicht machen, eine Unstimmigkeit festzuhalten, ohne vorher beweisen zu müssen, dass ein Problem vorliegt.

Eine Regel an einer Schnittstelle wirkt erst, sobald jemand prüft, ob beide Seiten sie einhalten. Begriffe und Kennzahlen brauchen eine gemeinsame Definition, bevor Zahlen aus verschiedenen Bereichen zusammenlaufen. Zweifel sollten sich leicht formal festhalten lassen, damit sie nicht im Informellen versanden.

Mehr solcher Fälle gibt es hier!