Espacio 4 de noviembre de 2026 5 MIN DE LECTURA
Ariane 5, vuelo 501: treinta y siete segundos
Cómo un software reutilizado y un número sin proteger destruyeron un cohete nuevo en 1996, y qué recomendó la investigación oficial.
LA RESPUESTA CORTA
El primer vuelo del Ariane 5, en 1996, se desintegró 37 segundos tras el encendido. Los dos sistemas de referencia inercial se apagaron cuando software reutilizado del Ariane 4 intentó meter en 16 bits un número de 64 bits demasiado grande. La comisión culpó al código sin proteger, a las pruebas insuficientes y a la decisión de apagar el procesador.
En esta página
Treinta y siete segundos
El 4 de junio de 1996 despegó de Kourou, en la Guayana Francesa, el primer cohete Ariane 5. Según el informe de la investigación oficial, el vuelo fue normal hasta unos 37 segundos después del encendido del motor principal. Entonces el vehículo se desvió de golpe de su trayectoria, se desintegró y explotó.
La comisión de investigación, creada por la Agencia Espacial Europea y la agencia espacial francesa CNES y presidida por Jacques-Louis Lions, entregó su informe el 19 de julio de 1996. Se lee con una facilidad poco habitual y señala al culpable con precisión.
Qué falló
El cohete tiene dos sistemas de referencia inercial, que le dicen cómo está orientado y cómo se mueve. Los dos dejaron de funcionar casi a la vez, a unos 36,7 segundos del encendido del motor principal. La unidad activa falló unos 0,05 segundos después que la de reserva, por la misma causa. Con ambas fuera de servicio, la pérdida de la misión era inevitable.
Tras el fallo, la unidad activa envió datos de diagnóstico que el ordenador de vuelo trató como datos de vuelo reales. Ordenó grandes desviaciones de las toberas para corregir un error de actitud que no se había producido. Unos dos segundos después, las cargas aerodinámicas de un ángulo de ataque superior a 20 grados empezaron a destrozar el lanzador, y la separación de los propulsores de combustible sólido activó el sistema de autodestrucción.
Un número que no cabía
La excepción de software surgió al convertir un número de coma flotante de 64 bits en un entero con signo de 16 bits cuando el valor era demasiado grande para caber. El resultado fue un «Operand Error» (error de operando) en el código Ada. La variable era el sesgo horizontal, un indicador ligado a la velocidad horizontal que detecta la plataforma. Su valor era muy superior al previsto.
Suele contarse como un simple desbordamiento, pero el relato de la comisión tiene más capas.
- Una rutina sin función. El código que falló era una rutina de alineación previa al lanzamiento, que no tiene ninguna salida útil después del despegue. Siguió ejecutándose durante unos 40 segundos de vuelo por un requisito del Ariane 4 que el Ariane 5 no necesitaba.
- Reutilización sin revisión. El diseño del sistema de referencia inercial, y sobre todo su software, era prácticamente el mismo que el del Ariane 4. El requisito se mantuvo por lo que la comisión llama razones de uniformidad, al parecer porque no parecía prudente modificar un software que funcionaba. La función del Ariane 4 que lo motivó se había usado una sola vez, en 1989.
- Una trayectoria nueva. El Ariane 5 gana velocidad horizontal cinco veces más rápido que el Ariane 4. Eso llevó la variable más allá del rango que el software podía almacenar.
- Protección a la carta. Un análisis de vulnerabilidad detectó siete variables con riesgo de «Operand Error». Cuatro estaban protegidas y tres, entre ellas esta, no. A la comisión le explicaron que no se protegieron todas las conversiones porque se había fijado un objetivo de carga máxima de trabajo del 80 % para el ordenador.
- Una reacción fatal. Lo que acabó resultando fatal fue la decisión de detener el procesador al producirse una excepción, tal como decía la especificación. Como las dos unidades ejecutaban el mismo software, un único error de diseño apagó dos máquinas que estaban sanas.
La comisión señaló además una laguna en las pruebas. Ninguna comprobó cómo se comportaría el sistema de referencia inercial con la secuencia de vuelo y la trayectoria del Ariane 5, y la comisión afirmó que una prueba así habría dejado al descubierto el mecanismo del fallo.
Qué recomendó la comisión
El informe contiene 14 recomendaciones. Tres son fáciles de recordar.
- Desactivar la función de alineación después del despegue. En general, ninguna función de software debería ejecutarse durante el vuelo si no hace falta.
- No permitir nunca que un sensor deje de enviar sus mejores datos posibles.
- Incluir los datos de trayectoria en las especificaciones y en las pruebas.
Detrás de todo esto hay una postura contraria a la que predominaba en el programa: hay que suponer que el software tiene fallos hasta que los métodos de mejores prácticas demuestren que es correcto.
Cuánto costó
El informe no da ninguna cifra económica. The Independent publicó en su momento que el cohete y su carga de cuatro satélites Cluster valían unos 500 millones de libras y no estaban asegurados, y The New York Times Magazine dijo que la ESA tardó diez años y 7000 millones de dólares en producir el Ariane 5. Ambas son estimaciones de prensa. La ESA aprobó en abril de 1997 una misión de sustitución, Cluster-II, por un total de 214 millones de ECU, y el segundo vuelo de prueba del Ariane 5, el 30 de octubre de 1997, fue también, en palabras de la ESA, un fallo parcial. El tercero, en octubre de 1998, fue un éxito.
Por qué importa
El fallo no tuvo nada de exótico. Es lo que ocurre cuando se da por bueno en un contexto un código que funciona en otro, y cuando se elimina una comprobación de seguridad para ahorrar tiempo de procesador.
Nuestra opinión: el código antiguo era correcto, pero para otro cohete. Lo que falló no fue el programa, sino la suposición de que seguía siendo válido. Esa suposición es el error más difícil de detectar con pruebas.
¿Estás de acuerdo?
Llévalo a Chevlume: escribe tu punto de vista, añade tus fuentes y deja que otros respondan. La alfa cerrada es solo con invitación.
Sigue leyendo
El Disco de Oro de las Voyager
Qué hay en el disco lanzado al espacio interestelar en 1977, cómo debe reproducirlo un extraterrestre, cuánto puede durar y qué polémicas lo rodean.
ESPACIO / DESCUBRIMIENTOMars Climate Orbiter: libras y newtons
Una confusión de unidades dejó una sonda de Marte unos 170 km demasiado baja. Lo que halló la NASA sobre los fallos de personas y de proceso.
ESPACIO / DESCUBRIMIENTOEl ordenador de guiado del Apolo
36 864 palabras de memoria tejidas a mano y un alunizaje que superó cinco alarmas de programa porque el software sabía qué descartar.
Fuentes
- ARIANE 5 Flight 501 Failure: Report by the Inquiry Board · ESA/CNES Inquiry Board (copy hosted by University of Bielefeld, Faculty of Technology) · Consultado el
- Ariane-5: Learning from Flight 501 and Preparing for 502 · European Space Agency (ESA Bulletin 89) · Consultado el
- Bang! went $7bn research, pounds 500m in kit, 10 years' work, dozens of scientists' careers and, probably, Europe's future in space · The Independent (Tom Wilkie) · Consultado el
- Little Bug, Big Bang · The New York Times Magazine · Consultado el
- Summary - Cluster - Science Portal · European Space Agency · Consultado el
- Ariane 5: the story behind the 100 launches... · European Space Agency · Consultado el
Publicado el
Comenta en X