Mars-Lander: Wie kann man sowas steuern?

Ein Mars-Lander stellt nicht zuletzt ein regelungstechnisches Problem dar. Klar, die Hardware muss mitspielen, aber an zentraler Stelle sitzt eine Regelung, die von Sensoren (also Hardware) Eingaben bekommt und an die Aktuatoren (auch Hardware, aber andere) Kommandos schickt. Es ist offensichtlich möglich, so eine Regelung falsch auszulegen. Da stellt sich die Frage, wie ein robustes Steuerungssystem ausssehen könnte.

Die typische Dauer für die Phase vom atmosphärischen Eintritt bis zum Aufsetzen auf dem Marsboden ist etwa 7 Minuten. Wirklich gefordert ist das Regelungssystem aber nur während der letzten Hälfte dieser Zeit. Ich beschränke mich im Folgenden auf den Teil des Abstiegs, der vor der Endphase unter Triebwerksschub liegt. Das Regelungsproblem im letzten Teil ist durch einen geschlossenen Regelkreis mit Input vom Radar, der Gyroskopen und dem Triebwerken zu lösen und verdient eine getrennte Betrachtung. Es ist aber wichtig, dass der Mars-Lander in die Antriebsphase mit einem korrekt funktionierenden Regelungssystem hinein geht.

Um zu erläutern, worum es mir geht, brauche ich eine realistische Eintrittstrajektorie. Ich benutze der Einfachheit halber die, die ich mal für Schiaparelli vorausberechnet habe. Mit der tatsächlich geflogenen Trajektorie dieser Landesonde am 19.10.2016 haben meine Ausführungen aber nicht direkt  zu tun. Ich beschreibe, was ich tun würde, wenn man mich mit dem Entwurf eines Steuerungssystems für einen Mars-Lander beauftragen würde. Das hat aber wohlgemerkt nie einer getan.

Also, hier ist die theoretische Trajektorie eines funktionierenden Mars-Landers, bis hinunter zum Abtrennen des Fallschirms. Kurz darauf würden die Triebwerke zünden und der Endabstieg beginnen. Aber wie gesagt, um diesen letzten Teil des Abstiegs geht es hier mal gerade nicht.

Die ersten zwei Diagramme zeigen die Höhe über Grund und die Geschwindigkeit relativ zur rotierenden Atmosphäre, zuerst beginnend beim Unterschreiten der Bahnhöhe von 120 km, dann von 12 km. Die Diagramme 3 und 4 zeigen die Höhe über Grund und den Flugwinkel. Der Flugwinkel (Englisch: Flight Path Angle) ist der Winkel zwischen der Horizontebene und dem Geschwindigkeitsvektor. Ein negativer Flugwinkel bedeutet Sinkflug.

Vorausberechnetes Zeitprofil von Höhe über Grund und Geschwindigkeit relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016

Credit: Michael Khan, Darmstadt / Vorausberechnetes Zeitprofil von Höhe über Grund und Geschwindigkeit relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016

Vorausberechnetes Zeitprofil von Höhe über Grund und Geschwindigkeit relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016, Beginn ab 12 km Höhe

Credit: Michael Khan, Darmstadt / Vorausberechnetes Zeitprofil von Höhe über Grund und Geschwindigkeit relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016, Beginn ab 12 km Höhe

Vorausberechnetes Zeitprofil von Höhe über Grund und Flugwinkel relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016

Credit: Michael Khan / Vorausberechnetes Zeitprofil von Höhe über Grund und Flugwinkel relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016

Vorausberechnetes Zeitprofil von Höhe über Grund und Flugwinkel relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016, Beginn ab 12 km Höhe

Credit: Michael Khan / Vorausberechnetes Zeitprofil von Höhe über Grund und Flugwinkel relativ zur rotierenden Atmosphäre für einen Fall ähnlich dem atmosphärischen Flug von Schiaparelli am 19.10.2016, Beginn ab 12 km Höhe

Was macht die Steuerung in dieser Phase?

Eigentlich nicht viel. Die Hyperschallphase läuft komplett passiv ab. Die Sonde ist drallstabilisiert und wird ab einer Höhe von etwa 70 km durch den gewaltig zunehmenden atmosphärischen Widerstand gebremst, wie man im ersten Diagramm sieht. Das dauert rund zweieinhalb Minuten. Die Sensoren, aus deren Messdaten die Bahn- und Lageinformation berechnet wird, messen lineare Beschleunigungen (Akzelerometer)  und Winkelgeschwindigkeitsänderungen (Gyroskope). Sie sind üblicherweise in einer Trägheitsplattform integriert, dessen gesammelter Output an den Bordrechner mit der darauf implementierten Steuerungssoftware überreicht wird.

Unabhängige Sensoren wie Startracker, Sonnensensoren oder Horizontdetektoren wären prinzipell zwar nützlich, lassen sich aber vor der Abtrennung der aerodynamischen Umhüllung gar nicht und vor Abwurf des Fallschirms nur bedingt einsetzen. Unerlässlich sind sie nicht.

Die Steuerung kann in dieser Phase weder der Position noch an der Ausrichtung der Sonde etwas ändern. Sie kann nur  von den als bekannt vorausgesetzten Anfangswerten ausgehen. Durch Aufintegration der Daten der Trägheitsplattform kann sie die aktuelle Position und Lage bestimmen. Wichtig ist zunächst einmal die Geschwindigkeit. Unterschreitet diese eine vorgegebene Schwelle, dann muss der Fallschirm geöffnet werden. Im Fall von Schiaparelli lag die Schwelle bei etwa Mach 1.9.

Auf das Ausfahren des Fallschirms folgt ein gewaltiger Ruck. Binnen weniger Sekunden geht die Geschwindigkeit von fast 450 m/s auf unter 100 m/s herunter. Der Ruck wird durch die Flexibilität in den Fallschirmleinen aufgefangen, was allerdings unweigerlich zu starken Schwingungen mit erheblichen Änderungen der Winkelgeschwindigkeiten in allen drei Achsen kommt. Die Schwingungen klingen aber wegen der erheblichen Dämpfungswirkung der Atmosphäre auch schnell ab.

Sättigung eines Gyroskops, Verlust der Lageinformation

Wenn es einen Moment gibt, an dem eines oder mehrere Gyroskope gesättigt sein können, dann jetzt. Der Ausgabe eines gesättigten Sensors kann man eigentlich nur zuverlässig die Information entnehmen, dass und wie lange er gesättigt war. Man weiß damit schon einmal, dass man der aktuell berechneten Ausrichtung der Raumsonde besser nicht trauen sollte. Das ist schon mal eine ganz wichtige Information.

Was nun? Angenommen, das Steuerungssystem weiß wirklich nicht mehr, wie die Landesonde ausgerichtet ist. Spätestens, wenn die Triebwerke eingeschaltet werden, muss die Lage aber bekannt sein. Dann muss die Steuerung dafür sorgen, dass der Triebwerksschub immer schön nach unten zeigt und sich die Sonde nicht etwa auf die Seite legt. Aber bis dahin ist noch etwas Zeit.

Schauen wir uns einfach den Verlauf des Flugwinkels im letzten der vier Diagramme an. Sobald der Fallschirm entfaltet wurde, bewegt sich dieser steil auf -90 Grad zu. Nur eine Minute nach Ausfahren des Fallschirms – dann durften auch die Schwingungen weitgehend abgeklungen sein – fliegt die Landesonde unter dem Fallschirm bereits fast senkrecht nach unten – der Flight Path Angle ist bei -85 Grad und bewegt sich weiter auf -90 Grad zu. Die Höhe über Grund ist dann immer noch 6 km. Das ist noch unproblematisch.

Wenn die Flugrichtung fast genau senkrecht nach unten ist, dann hat man eine Referenzrichtung, um das Steuerungssystem neu zu initialisieren. Das System könnte einfach nach Verlust der Lageinformation – kurz nach Ausfahren des Fallschirms – einen Timeout von etwa einer Minute abwarten. Wenn dann angenommen wird, dass die Sonde genau senkrecht ausgerichtet ist, dann liegt diese Annahme nur um 5 Grad daneben. Für den  „Notbetrieb“- immerhin liegt ja eine schwere Fehlfunktion der Trägheitsplattform vor – düfte das allemal ausreichen.

Ein Mars-Lander wird üblicherweise um die Hochachse rotierend in die Atmosphäre eintreten. Auch jetzt unter dem Fallschirm wird er noch eine Rest-Rotation beibehalten haben. Das stört aber nicht. Im Gegenteil, es hilft sogar, aus den Radarmessungen die Abweichung der Ausrichtung von der Senkrechten zu bestimmen.

Nach Ausfahren des Fallschirms und Abklingen der Schwingungen kann der vordere Teil des Hitzeschilds abgeworfen werden. Ein Mars-Lander muss ein Radar haben, um den Abstand zur Oberfläche messen können. Angenommen, die Lage wird um 5 Grad falsch angenommen. Der Cosinus von 5 Grad ist 0.996. Das heißt, die Radarmessungen werden nur um 0.4% falsch berechnet. Das ist allemal hinnehmbar – um Längen besser als die Berechnung einer negativen Höhe aufgrund einer vollkommen falsch berechneten Ausrichtung.

Schlussfolgerung

Die Berechnung der Ausrichtung im Raum ist für einen Mars-Lander eher eine unkritische Sache. Zwar ist nach Ausfahren des Fallschirms mit starken Schwingungen und möglicherweise einem Verlust der Kenntnis der Ausrichtung zu rechnen. Das Regelungssystem muss gegen einen solchen Ausfall robust sein. Es kann allerdings gezeigt werden, dass es selbst in diesem Fall ausreicht, etwa eine Minute lang abzuwarten. Danach kann man in guter Näherung davon ausgehen, dass der Mars-Lander unter seinem Fallschirm senkrecht zur Oberfläche ausgerichtet ist. Für die Umrechnung der Radardaten wie auch die sichere Ausführung der finalen Abbremsphase unter Triebwerksschubist diese Annahme ausreichend.

Ich bin Luft- und Raumfahrtingenieur und arbeite bei einer Raumfahrtagentur als Missionsanalytiker. Alle in meinen Artikeln geäußerten sind aber meine eigenen und geben nicht notwendigerweise die Sichtweise meines Arbeitgebers wieder.

12 Kommentare Schreibe einen Kommentar

  1. Solche Überlegungen haben sich die sowjetischen und amerikanischen Ingenieure, die bereits mehrere Sonden auf dem Mars gelandet haben, sicher schon gemacht. Wobei Marslandungen mit Abbremsung durch Raktentriebwerke wohl nur die Amerikaner durchgeführt haben.
    Scheinbar nennt man den Einsatz von Raketenschub zum Landen Retrorocket. Im Wikipedia-Artikel liest man man über Einsätze der Retrorocket-Technik beim Landen von Raketen und beim Abbremsen von Flugzeugen auf kurzer Landebahn. Das sind zwei Einsatztypen, die es schon lange gibt. Neu hinzugekommen ist folgendes: „New uses are emerging in the 2010s for retro-thrust rockets in reusable launch systems.“

    Da es hier konkret um eine Marslandung geht, muss man sich mit dem typischen Verlauf einer Marslandung beschäftigen, also quasi die generische Marslandung im Hinterkopf haben. Klar kann jede Marslandung etwas anders verlaufen, aber so gross werden die wichtigsten Parameter und aktuell auftretenden Werte sich nicht voneinander unterscheiden. Wenn nun Instrumente während der Landung Werte anzeigen, die nicht kompatibel mit der generischen Marslandung sind, dann gibt es eigentlich nur zwei Möglichkeiten: 1) Der Fehler liegt an den Instrumenten 2) Der Lander ist ausser Kontrolle geraten.
    Bei 2) kann man sowieso nichts mehr machen. Also ist es vernünftig 1) anzunehmen. Da eine Marslandung sehr teuer ist und man sich einen Misserfolg nicht leisten kann, muss man sogar 1) annehmen.

    • Nochmals: Der Abstieg unter Triebwerksschub kommt erst nach der hier behandelten Phase. Damit die Schubphase überhaupt klappen kann, muss aber vorher das Regelungssystem bereits Position und Ausrichtung hinreichend genau kennen. Ich sehe da eigentlich gar kein fundamentales Problem, denn bei Verlust der Lageinformation gibt es eine robuste Rückfalloption. Trotzdem ist es in mindestens einem Fall gelungen, bereits in dieser Phase ein Scheitern der Landung herbeizuführen.

  2. Als Laie ohne Vorwissen würde ich eine automatische Landung vorsehen, ohne Steuerung von der Erde aus.
    Jede Kamera, die einen Autofocus besitzt steuert das Objektiv. Also steuert hier der Autofocus die Bremsdüsen.
    Dieses System könnte man an Drohnen auf der Erde ausprobieren.

    • Eine Steuerung von der Erde aus ist nicht möglich und war auch hier nicht das Thema. Selbstverständlich muss die Steuerung automatisch erfolgen. Das ist aufgrund des Abstands Erde-Mars gar nicht anders denkbar.

      Die Regelung der Bremstriebwerke ist ein ganz anderes Thema, um das es hier noch gar nicht geht. Ich schrieb hier von der Phase davor.

      Die Regelung der Bremstriebwerke bedarf einerseits der Messung des Abstands zum Boden. Besser und genauer, insbesondere über große Strecken, als die von Ihnen angesprochenen passive optische Messungen ist ein Radar. Aber das reicht noch nicht zur Regelung, man muss auch feststellen, ob die Sonde sich neigt und sofort gegenhalten, indem die Triebwerke auf der Seite, zu der hin die Neigung erfolgt, stärker gepulst werden.

      Damit aber der letzte Abstieg unter Bremsschub überhaupt gelingen kann, muss das Steuerungssystem vorher schon die Höhe und die Lage hinreichend genau wissen. Bei Schiaparelli gelang genau dies nicht. Hier geht es darum, was man in der Phase anders machen sollte.

  3. @Kahn
    „Die Regelung der Bremstriebwerke ist ein ganz anderes Thema, um das es hier noch gar nicht geht.“
    Liest sich so, als käme da eventuell noch der ein oder andere Artikel zu dem Thema 😉
    Sehr interessant und anschaulich

    Könnte man die Lage nicht auch über die Horizontlinie ermitteln(setzt wahrscheinlich zu viel voraus – Helligkeit, Rechenkapazität, rundum Kameras, in niedrigeren Regionen nicht mehr verwendbar) ? Aber als Rückfallebene bis zur Auslösung der Bremstriebwerke, bis zu deren Einsatz die Lage nicht 100%ig genau bekannt sein muss, evtl machbar.

  4. Wie bewerten Sie denn Konzepte, bei denen man auf Fallschrime verzichtet und auch die Abbremsung aus dem supersonischen Bereich durch Triebwerke stattfindet?
    Natürlich bedeutet das einen Nutzlastverlust da mehr Treibstoff nötig ist, aber die Masse ist ja nicht immer limitierend. Z.B. dürfte die Proton für den ExoMars Rover nicht bis an die Grenze ausgelastet sein.
    Demgegenüber steht der Vorteil, dass man die Komplexität verringert und diese Technik sehr generisch einsetzbar ist. Masse und Luftwiderstand sind dann letztendlich nur Parameter für die Triebwerkssteuerung, während die Konstruktion von Fallschirmen sehr aufwändig an die jeweiligen Bedingungen angepasst werden muss. Und abrupte Änderungen in der Orientierung werden dadurch ebenfalls vermieden, weshalb ein Sensor in Sättigung deutlich unwahrscheinlicher wird.
    Außerdem lässt sich eine treibwerksgestützte Landetechnik eventuell sogar auf andere Himmelskörper (Mond?) mit wenig Aufwand portieren.
    Alles in allem sehe ich als Laie dafür mehr Vor- als Nachteile.

    • Ich finde das Argument der Anwendbarkeit auf anderen Himmelskörpern nicht so überzeugend.

      Wenn gleich nach dem Abtrennen des Thermal Protection Systems die Triebwerke zünden, dann werden fast 500 m/s fällig anstatt 80-100. Das könnte man ein wenig reduzieren, indem man den Hitzeschild größer macht, damit er mehr abbremst, aber viel ist da nicht drin. Es müsste also etwas neues sein, beispielsweise ein Ballute. Aber dann könnte man ja auch gleich beim Fallschirm bleiben. Das ist wenigstens demonstrierte Technologie.

    • Zuerst einmal ist die Tatsache, dass es überhaupt ein Radarsignal gibt, eine wertvolle Information, denn dies bedeutet, dass der Winkel zwischen „unten am Mars-Lander“ und „Richtung vom Mars-Lander zum Mars-Mittelpunkt“ deutlich kleiner als 90 Grad sein muss. Sonst könnte das Radar die vom Boden reflektioerten Wellen gar nicht empfangen oder es käme ein absurder Messwert heraus.

      Das heißt, wenn es ein Radar-Signal gibt, sollte die Steuerung eigentlich wissen, dass die Lage mehr oder weniger nominal ist. Dann sollte sie eigentlich auch gar nicht auf die Idee kommen, dass die Höhe ganz plötzlich negativ geworden ist.

      Die Aussage lässt sich noch verfeinern. Das Steuerungssystem bes hypothetischen Mars-Landers, über den ich hier theoretisierem müsste die Höhe noch korrekt berechnet haben. Die ebenfalls hypothetische Sättigung eines Gyroskops bedeutet ja nicht, dass die Beschleunigungsmesserdaten auch ungültig werden. Wenn nun die Radardaten größer als die berechnete Höhe ist, ist das nominal, denn das Radar guckt erst einmal nicht direkt nach unten, misst also eine längere Strecke. Das gibt einen Hinweis auf die augenblickliche Ausrichtung des Mars-Landers

      Wenn man auch noch davon ausgeht, dass es auf dem hypothetischen Mars-Lander mehrere Radar-Sende-/Empfangsantennen gibt, deren Aussenderichtung jeweils um einige Grad von der Symmetrieaachse abweichen, dann bekommt man vier verschiedene Messwerte, die sich zeitlich ändern. Mit diesen Messwerten und ihrer zeitlichen Änderung kann sogar die Variation der Ausrichtung des Mars-Landers eingrenzen, und zwar ohne großen mathematischen Aufwand.

      Das Radar funktioniert allerdings erst nach Abwurf des vorderen Teils des Hitzeschilds, eine gewisse Zeit nach Ausfahren des Fallschirms, denn man muss erst einmal das Abklingen der Schwingungen abwarten, bevor der Hitzeschild sicher abgesprengt werden kann.

  5. Der Kernel eines Marslanders sollte nicht mit Rohdaten sondern mit „kuratierten“ Mess-Daten arbeiten, womit ich je nach Eintrittsphase anders gewichtete, eventuell gar synthetisierte Daten meine. Mit diesem Ansatz kommen unsinnige Daten gar nie beim „Kernel“, also dem eigentlichen Entscheider an. Um Daten je nach Eintrittsphase richtig interpretieren zu können, muss allerdings mindestens der Übergang von Phase zu Phase eindeutig erkannt werden. Das System muss also zuverlässig erkennen können wann der Fallschirm geöffnet werden muss und ob er sich korrekt entfaltet und wann das Hitzeschild abzuwerfen ist und ob dieser Abwurf gelungen ist. „Kuratierte Daten“ bedeuten nun in Bezug auf den Lagewinkel, also die Ausrichtung des Landers, dass nicht nur der vom Gyroskop gelieferte Wert berücksichtigt wird, sondern auch der aufgrund der Eintrittsphase erwartete Wert und dass auch die übrigen Daten wie etwa die Existenz eines Radarsignals bei der Berechnung des „kuratierten“ Lagewinkels eine Rolle spielen. Mit diesem Ansatz erhält man ein wesentlich robusteres System als wenn man Reaktionen der Steuersoftware direkt an bestimmte Rohmesswerte bindet.

    • Das zentrale Steuerungssystem löst doch auch den Fallschirmmechanismus aus, schaltet das Radar ein und steuert alle anderen Mechanismen an Bord des Mars-Landers. Das System „weiß“ somit exakt, wann die Auslösung des Fallschirms erfolgt. Ob er korrekt ausgelöst ist oder gar nicht bzwe. nur teilweise, ist nur bedingt feststellbar, aber wahrscheinlich auch egal. Im Fall einer schwere Fehlfunktion ist die Mission ohnehin verloren. Welches System sollte denn die Daten vorfiltern?

      Die Plausibilitätsprüfung sollte schon in der zentralen Steuerungseinheit stattfinden. Das ist aber eigentlich auch nicht besonders schwierig. Die meisten Plausibilitätschecks sind trivial, wie bereits angesprochen.

      Das Steuerungssystem „weiß“ ja auch, wann welchem Sensor in der Trägheitsplattform nicht zu trauen ist. Wenn eine gewisse Zeit von einem Sensor nur „FFFFFF“ kommt, dann ist der mit hoher Wahrscheinlichkeit während dieser Zeit gesättigt. Also kann man ihm nicht trauen und es muss das vorprogrammierte Notfallprogramm angeworfen werden, etwa „Mögliche fehlfunktion in Trägheitsplattform detektiert. Notprogramm aktivieren. Nach nn Sekunden Timeout den (nicht das) Hitzeschild absprengen. Das initiiert Sequenz zum Einschalten des Radars. Jetzt noch weiteren Timeout von nn Sekunden abwarten, damit die Schwingungen ausgedämpft und der Flight Path Angle nache -90 Grad ist. Bis dahin Inhibit aller Auslösungen von Mechanismen. Widersprüchliche Attitude-Daten bis dahin ingnorieen. Dann Reinitialisierung der Attitude-Daten unter Annahme eines senkrechten Flugs. Danach Rückkehr zu nominaler Steuerung.“

      Klingt jetzt erst mal gar nicht so furchtbar kompliziert. Eine ganz klare Kette von Anweisungen, ausgelöst durch ganz klar definierte Ereignisse.

Schreibe einen Kommentar




Bitte ausrechnen und die Zahl (Ziffern) eingeben