Inhalt
Um 9.04 Uhr Weltzeit am 23. September 1999 reißt das Funksignal ab. Die Sonde Mars Climate Orbiter hat gerade ihr Triebwerk gezündet, um in eine Umlaufbahn um den Mars einzuschwenken. Geplant war eine erste Annäherung auf 226 Kilometer Höhe. Die spätere Nachrechnung ergibt etwa 57 Kilometer. Als überlebbar galten mindestens 80. Das Signal kommt nicht wieder. Ein Beispiel zum Teamprinzip vom schwächsten Glied.
Eine Datei zwischen zwei Teams
Situation
Die Sonde startet am 11. Dezember 1998. Gebaut hat sie Lockheed Martin, die Navigation liegt beim Jet Propulsion Laboratory (JPL). Die Sonde trägt nur ein Solarpaneel auf einer Seite. Der Druck des Sonnenlichts verdreht sie deshalb stärker als ihr Vorgängermodell, und sie muss zehn- bis vierzehnmal öfter als erwartet mit kleinen Triebwerksstößen ausgeglichen werden. Jeder Stoß verändert die Bahn ein wenig. Eine Bodensoftware von Lockheed Martin berechnet den Impuls und schreibt ihn in eine Datei für die Navigatoren. Die Schnittstellenvereinbarung verlangt Newtonsekunden. Die Software liefert Pfund-Kraft-Sekunden. Die Navigationssoftware des JPL liest die Zahlen als metrisch. Der Fehler beträgt den Faktor 4,45 und summiert sich über neun Monate Flug.
Bezug zum Teamprinzip
Das Teamprinzip vom schwächsten Glied sagt: Wo alle aufeinander angewiesen sind, bestimmt der Schwächste das Ergebnis. Der Ökonom Michael Kremer hat 1993 ein Modell für solche Lagen beschrieben: Wenn ein Vorhaben viele Schritte braucht und ein Fehler in einem einzigen Schritt den Wert des Ganzen zerstört, dann addieren sich die Qualitäten der Schritte nicht, sie multiplizieren sich. Das ist ein theoretisches Modell, keine Messung, aber es beschreibt diesen Fall genau. Triebwerke, Funk, Bahnmechanik und Steuerung haben funktioniert. Eine Zahl in der falschen Einheit an einer Übergabe hat genügt.
Die Zweifel bleiben in den E-Mails
Situation
Den Navigatoren fallen während des Flugs Unstimmigkeiten auf. Sie besprechen sie informell per E-Mail und nicht über das förmliche Meldeverfahren, das dafür vorgesehen ist. Das Navigationsteam des Betriebs ist vom Entwicklungsteam getrennt. Es hat an den Entwurfsprüfungen nicht teilgenommen und kennt Eigenheiten der Sonde nicht. In der Anflugphase betreut ein einziger Navigator die Sonde und zugleich eine zweite Mission.
Bezug zum Teamprinzip
Eine schwache Stelle wird erst dann zum Verhängnis, wenn auch die Sicherungen dahinter schwach sind. Hier waren es drei: ein Meldeweg, der nicht benutzt wurde, ein Team, das die Vorgeschichte nicht kannte, und eine Besetzung, die für Zweifel keine Zeit ließ. Es wäre deshalb falsch, die Geschichte als Fehler eines einzelnen Programmierers zu erzählen. Die schwächste Stelle lag zwischen den Menschen, nicht in einem von ihnen.
Die letzte Korrektur, die nicht kam
Situation
Kurz vor dem Einschwenken deuten die Rechnungen nicht mehr auf 226 Kilometer, sondern auf 110 bis 170. Ein fünftes Korrekturmanöver hätte die Bahn anheben können. Es ist nicht vorbereitet und wird nicht ausgeführt. Am 23. September beginnt das Einschwenkmanöver, und die Sonde geht verloren.
Bezug zum Teamprinzip
Wer weiß, dass seine Kette eine dünne Stelle haben kann, baut einen Puffer ein. Das fünfte Manöver wäre so ein Puffer gewesen. Dass es nicht bereitstand, zeigt: Das Team rechnete an dieser Stelle nicht mit einem Fehler. Das Prinzip verlangt nicht, jede Schwäche zu beseitigen. Es verlangt, dort Reserve zu haben, wo ein einziger Fehler alles kostet.
Was die Kommission fand
Situation
Die Untersuchungskommission unter Arthur G. Stephenson legt am 10. November 1999 ihren ersten Bericht vor. Als Grundursache nennt sie die falsche Einheit in einer Bodensoftware. Dazu kommen acht beitragende Ursachen, darunter mangelhafte Kommunikation zwischen den Projektteilen, zu dünne Besetzung, fehlende Schulung und eine Softwareprüfung, die die Bodensoftware nicht erfasste.
Bezug zum Teamprinzip
Eine Ursache, acht Mitursachen: Der Bericht beschreibt keine einzelne Panne, sondern eine Kette, deren Prüfglieder nacheinander nachgaben. Bemerkenswert ist, was geprüft wurde und was nicht. Die Software an Bord der Sonde wurde geprüft. Die Software am Boden, die nur eine Datei schrieb, fiel durch das Raster. Das schwächste Glied ist oft das, das niemand für wichtig genug hält, um es zu prüfen.
Das nimmst du mit
Die wichtigsten Lektionen
- Such das schwächste Glied nicht nur bei Personen. Prüfe die Übergaben: Wer liefert wem was, in welcher Form, in welcher Einheit?
- Schreib Vereinbarungen an Schnittstellen nicht nur auf, sondern teste, ob sie eingehalten werden.
- Gib Zweifeln einen verbindlichen Weg. Was nur im Flurgespräch oder per E-Mail geäußert wird, hat keinen Empfänger, der handeln muss.
- Halte dort eine Korrekturmöglichkeit bereit, wo ein einzelner Fehler das ganze Vorhaben kostet.
- Achte darauf, wer in der kritischen Phase allein zuständig ist und wie viel er daneben noch trägt.
Zusammenfassung
Der Mars Climate Orbiter ging verloren, weil zwei Programme an einer Übergabe verschiedene Einheiten verwendeten und niemand es rechtzeitig förmlich meldete. Die Untersuchung fand neben dieser Grundursache acht weitere Schwächen in Kommunikation, Besetzung, Schulung und Prüfung. Das Teamprinzip vom schwächsten Glied wird hier im Scheitern sichtbar: Viele gute Teile ergeben kein gutes Ganzes, wenn eine Verbindung nicht hält. Wer führt, prüft deshalb die Nahtstellen so gründlich wie die Teile.