Bereit zum ersten Start?

Die zweite Zündung ist als Reserve gedacht: Wenn die erste Ladung nicht zündet, kommt anderthalb Sekunden später die zweite. Nur durchläuft sie dabei erneut die volle Verriegelungskette — einschließlich der Mindesthöhe von drei Metern.

Zündet die erste nicht, fällt die Rakete in diesen anderthalb Sekunden rund dreißig Meter und ist längst darunter. Im Simulator löst Kanal eins bei nicht ganz zwanzig Metern aus — und Kanal zwei nie.

Die Redundanz ist damit in genau dem Fall wirkungslos, für den sie existiert.

Der Schirm kommt bei zwanzig Metern über Grund, und daneben steht der Kommentar „etwa zwanzig Meter Scheitel, erhofft“. Das Physikmodell sagt für eine 1,5-Liter-Flasche bei acht bar aber siebzig Meter.

Bei siebzig Metern Scheitel fällt die Auslösung rund eine Sekunde vor dem Aufschlag. Der Schirm hat keine Zeit zu öffnen. Diese Zahl muss die echte Rakete liefern, nicht ein Kommentar.

Die Freigabe verlangt, dass beide Sensoren im laufenden Zyklus gemeldet haben — obwohl die Entscheidung selbst ausschließlich Höhe und Sinkgeschwindigkeit aus dem Barometer benutzt. Fällt der Beschleunigungssensor aus, kommt kein Schirm, obwohl alles Benötigte vorhanden ist.

Ein Sensor, der immer denselben Wert meldet, sieht aus wie eine Rakete, die stillsteht. Der Zustandsautomat bleibt dann hängen und löst nie aus. Der Zähler, der genau das erkennt, existiert bereits — er wird nur an einer einzigen Stelle benutzt und nirgends sonst.

Erkannt wird er daran, dass die gemessene Beschleunigung unter zwei Meter pro Sekundenquadrat fällt. Das heißt in Wahrheit: der Luftwiderstand fällt unter zwei. Über vier geprüfte Raketenkonfigurationen tritt der Übergang durchweg bei 13 bis 15 Metern pro Sekunde ein — also rund anderthalb Sekunden vor dem Scheitel statt zwei Zehntel nach dem Start.

Bleibt er aus, wird der Scheitel nie erreicht und nichts löst aus. Jede spätere Stufe hat für genau diesen Fall eine Zeitreserve. Diese nicht.

Ein Flugsimulator gibt zwei Dinge aus: was die Sensoren melden, und wie die Rakete wirklich lag. Beide entstanden in getrennten Codezweigen, von Hand gepflegt — und sie passten nicht zueinander.

Ein Filter kann keine Drehung verfolgen, die sein Gyroskop nie gemeldet hat. Und weil die waagerechte Position vollständig am Neigungsfehler hängt — 39 Grad Schräglage bedeuten 6,2 Meter pro Sekundenquadrat falsch projizierte Schwerkraft — war damit jede frühere Aussage über die Waagerechte entwertet.

Behoben: Es gibt jetzt nur noch eine Quelle. Die Drehrate wird gemessen statt erfunden, die Lage daraus integriert. Und der Simulator prüft am Ende jedes Laufs seine eigene Stimmigkeit und schreibt sie hin — ein Messgerät, das das nicht tut, bekommt diesen Fehler wieder.

Der Beschleunigungssensor schlägt bei sechzehn g an; beim Start erreicht die Rakete rechnerisch sechsundzwanzig. Für diese Zeit soll der Filter seine Unsicherheit aufweiten, weil die Messung nichts mehr enthält. Der Wert dafür war nach Gefühl gesetzt und nie geprüft.

Er entsprach 0,085 Metern pro Sekundenquadrat angenommener Unwissenheit — gegen 94 echte. Faktor elfhundert. Über die 0,14 Sekunden Anschlag lag die Geschwindigkeit um dreizehn Meter pro Sekunde daneben, während der Filter sich auf drei Zentimeter pro Sekunde sicher wähnte. Das Barometer musste die Differenz erklären — und weil die Geschwindigkeit als sicher galt, landete die Korrektur auf der Lage.

Gemessen über zwanzig Flüge war der ausgelieferte Wert der schlechteste von allen getesteten — schlechter, als die Funktion ganz abzuschalten.

Ein Vorbehalt dazu, am selben Tag nachgemessen. Dieser Vergleich isoliert den einen Wert. In der endgültigen Einstellung — also zusammen mit den beiden anderen Korrekturen weiter unten — schlägt der alte Wert das Abschalten wieder in drei von vier Kennzahlen. Der Befund selbst bleibt: der neue Wert liegt am Anfang eines echten Plateaus und folgt aus der Hardware. Was nicht mehr gilt, ist der Satz „schlechter als ganz abschalten“ — er beschreibt einen Filter, den es seit den anderen beiden Korrekturen nicht mehr gibt.

Fünfzehn Minuten echte Aufzeichnung dieses Boards, still auf dem Tisch, durch den echten Flugcode zurückgespielt: Die Position bleibt bei zwei Millimetern — tadellos. Aber die geschätzte Nullpunktabweichung des Beschleunigungssensors wächst auf 0,58, und zwar bei einem Sensor, dessen gemessene Instabilität bei 0,0006 liegt. Faktor achthundert.

Daneben: Die Lage driftet in derselben Zeit um 3,348 Grad. Und die Abweichung, in Winkel umgerechnet, ergibt 3,363 Grad. Dass diese beiden Zahlen auf drei Stellen übereinstimmen, ist die ganze Diagnose: Neigung und Nullpunkt lassen sich gegeneinander verschieben, ohne dass irgendeine Messung etwas merkt.

Im Stillstand kostet das nichts — deshalb ist jeder Dauerlauf durchgegangen. Beim Abheben kostet es alles: bei sechzehn g sind 3,3 Grad neun Meter pro Sekundenquadrat in die falsche Richtung.

Am Magnetometer-Code stand der ehrliche Vermerk, er sei vorbereitet, aber mangels Sensor nie ausgeführt worden. Das ist eine Aussage über ein fehlendes Bauteil — und wurde gelesen, als decke sie den ganzen Pfad ab. Die Rechnung deckte sie nicht.

Die Funktion, die den Kurs liefern soll, liefert in Wahrheit den Kursfehler: mit der richtigen Lage gefüttert gibt sie für jeden Kurs exakt null. Der Filter zog davon noch einmal den Kurs ab und lief so gegen ungefähr den halben wahren Wert.

Erst nach dieser Korrektur wurde ein zweiter Fehler sichtbar: Die Anfangsunsicherheit stand auf der falschen Achse — auf der Achse des Bauteils statt auf der Senkrechten der Welt. Die decken sich nur, solange das Board waagerecht liegt. Ab vierzig Grad Neigung machte die Korrektur die Schätzung schlechter, als sie sie vorfand.

Der Empfänger läuft heute mit dem, was er beim Einschalten kann: Der Treiber öffnet nur die Schnittstelle und schickt ihm nie eine Konfiguration. Bei einem Fix pro Sekunde sind das auf einem dreißig Sekunden langen Flug dreißig Messungen — für die einzige Größe, die die waagerechte Position überhaupt stützt.

Ehrlich dazu: Bei der heutigen Übertragungsgeschwindigkeit passt zehnfache Rate nicht durch, und ob das Modul sie kann, steht in keinem Datenblatt hier. Und der Simulator würfelt jeden Fix unabhängig — ein echter Empfänger tut das nicht. Der reale Gewinn kommt aus der besseren zeitlichen Auflösung, nicht aus Rauschmittelung, und ist kleiner als die Tabelle sagt. Kleiner, nicht null.

Das einzige Bauteil, das die Kursrichtung im Stillstand überhaupt beobachtbar macht — und das ist genau die Richtung, in die der Filter wandert. Die Vorarbeit ist getan und seit dem Audit auch geprüft: Der Kurs konvergiert jetzt exakt, von waagerecht bis siebenundfünfzig Grad Neigung. Es teilt sich die Leitung mit dem vorhandenen Sensor, es sind also keine neuen Anschlüsse nötig. Was fehlt, ist die Kalibrierung am fertig montierten Flugkörper — nicht am Bauteil.

Die letzten zehn Meter findet man mit den Ohren, nicht mit GPS. Ein Piezo, der ab der Landung im Sekundentakt piept, ist der billigste Punkt der ganzen Liste — und im hohen Gras der Unterschied zwischen Bergung und Verlust.

Dazu: Der Chip hat einen nichtflüchtigen Speicher, er ist in der Partitionstabelle reserviert, und im ganzen Quelltext benutzt ihn nichts. Die letzte Position dort abzulegen kostet wenige Zeilen und macht sie unabhängig davon, ob das Board den Aufprall überstanden hat.

Bevor Pyrotechnik drankommt, fehlen drei Stücke Firmware. Es gibt keinen Zündimpuls — die Auslöselogik setzt eine Markierung und schreibt eine Zeile, aber es existiert kein Begriff von Zünddauer. Die Ausgänge werden nie als Ausgänge konfiguriert; beim Start sind sie undefiniert, und das Einzige, was die Zündkreise unten hält, ist ein Widerstand in der Hardware. Und der Armschalter wird nicht gelesen.