23 сентября 1999 года NASA потеряло межпланетную станцию Mars Climate Orbiter (MCO), предназначенную для изучения климата Марса и ретрансляции связи с посадочным аппаратом. После почти десятимесячного перелёта зонд должен был войти на орбиту и начать длительную программу наблюдений — но связь с аппаратом была безвозвратно утрачена во время манёвра входа в атмосферу.
Миссия стартовала в декабре 1998 года на ракете Delta II 7425; к моменту подхода к Марсу наземные расчёты подготовили серию коррекций траектории и заключительный манёвр на снижение. Накануне входа операторы заметили расхождения между прогнозируемыми и фактическими параметрами, но попытки уточнить позицию не предотвратили трагедию: после прохождения за диском планеты сигнал с MCO не возобновился. Позже расчёты показали, что аппарат прошёл слишком низко — порядка десятков километров вместо проектных ~150 км, и, вероятно, разрушился в атмосфере или ушёл на солнечную орбиту.
Официальное расследование выявило простую, но роковую ошибку: данные о импульсе двигателей, предоставленные подрядчиком (Lockheed Martin), были в фунт-секундах (популярная в США единица), тогда как навигационное программное обеспечение ожидало значения в ньютон-секундах (SI). Эта несогласованность (коэффициент ≈4,45) привела к неправильной оценке коррекций траектории и, в итоге, к чрезмерно низкому входному профилю. В отчёте комиссии отмечалось также, что системный контроль и верификация процедур обмена данными были недостаточными.
Последствия были серьёзны — потерян был дорогой научный аппарат, а вместе с ним и часть коммутационных возможностей для предстоящих миссий. Случай MCO стал классическим примером того, как «человеческие» и организационные ошибки в системной инженерии могут обернуться катастрофой в космических проектах. NASA пересмотрела подходы к требованиям по интерфейсам ПО, верификации единиц измерений и межкомандному контролю, усилила тестирование и процедуры проверки контрактных поставщиков.
Уроки Mars Climate Orbiter — просты и важны: чёткие спецификации данных, обязательная унификация единиц и строгая проверка взаимодействия всех подсистем — не менее критичны, чем качество оборудования. Ошибка единиц стала предметом обучения инженеров и добавила повод для усиления процедур «всё-всё-проверить» в последующих марсианских программах.
