Beim europäischen Satellitennavigationssystem Galileo ist vieles doppelt ausgelegt: Nicht nur die hochpräzisen Atomuhren sind mehrfach in den Satelliten verbaut, um Ausfälle zu minimieren. Es gibt auch zwei Kontrollzentren, die im Notfall für das jeweils andere einspringen können. Trotzdem ist das System Mitte Juli für eine Woche zusammengebrochen.

Der Grund: Die Betreiber haben nach ersten Informationen bewusst auf diese Back-up-Funktion verzichtet, um die Software zu aktualisieren. Die Europäische Kommission hat wegen der Panne mittlerweile ein Untersuchungskomitee berufen: Vier Experten aus Spanien, Frankreich, Deutschland und Italien sollen die Ursachen ermitteln. Erste Ergebnisse sind nach Kommissionsangaben im Oktober zu erwarten, der Schlussbericht Ende des Jahres.

Updates mit 150 Servern

Die Betreiber hatten das Galileo-System mit derzeit 26 Satelliten Mitte Juli herunterfahren müssen. Als Ursache nannte die ­Galileo-Behörde GSA in Prag ­damals eine «Fehlfunktion in der Galileo-Bodeninfrastruktur», wodurch es nicht möglich gewesen sei, die genaue Position der Satelliten zu berechnen. GSA-Chef Carlo des Dorides präzisierte einige Tage später im ­Industrieausschuss des Europäischen Parlaments, dass sich die Panne im Kontrollzentrum in Fucino bei Rom ereignet habe. Da im zweiten Kontrollzentrum in Oberpfaffenhofen bei München gerade ein Sicherheitsupdate eingespielt worden sei, habe das deutsche Team nicht als Back-up einspringen können, sagt er auf der Website «Politico». Nach Informationen unserer Zeitung ist der Worst-Case-Fall aber vor allem deshalb ­eingetreten, weil in beiden Kontrollzentren gleichzeitig unterschiedliche Software-Upgrades in das System hochgeladen wurden. Dies hätte nicht zur gleichen Zeit passieren dürfen.

Die Updates in den Kontrollzentren sind mathematisch so komplex, dass sie Tage dauern, weil sie jeweils etwa 150 Server betreffen. Normalerweise werden solche Updates deshalb nicht zeitgleich in beiden Kontrollzentren gefahren, damit im Notfall das jeweils andere übernehmen kann. Als nun aber genau solch ein Notfall in Fucino eintrat, weil es dort Probleme mit einem Upgrade gegeben habe und die alte Version nicht mehr verfügbar war, sei die deutsche Bodenstation wegen eines eigenen Updates nicht in der Lage gewesen, Aufgaben aus Italien zu übernehmen, sagt ein Insider.

Man habe den Absturz des Systems praktisch sehenden Auges verursacht. Das berechnete Restrisiko sei nicht besonders hoch gewesen, deshalb habe man sich dazu entschieden, vorübergehend auf die Redundanz zu verzichten. Folge war, dass die Satelliten zwar Signale gesendet haben, diese aber nicht verarbeitet werden konnten, um die exakte Position der Satelliten zu berechnen. Dies ist die Grundvoraussetzung für eine Navigationsbestimmung und ein Zeitsignal, weil jeder Satellit durch Gravitationskräfte und andere Einflüsse wie Sonneneinstrahlung und Sonnenwinde von der Umlaufbahn abweichen kann. Eine Nanosekunde Zeitverzögerung bedeutet etwa 30 Zentimeter Ungenauigkeit auf der Erde. «Alle 90 Minuten bekommt der Satellit prognostizierte Positionsdaten, wo er sich in den nächsten 14 Stunden befinden wird. Wenn er keine neuen Daten nachgeschoben bekommt, läuft das aus», so der Insider.

Grosser Zeitdruck

Ein Grund, warum das Galileo-Team die eigene Redundanz-Strategie nicht konsequent einhielt, war wohl der Zeitdruck: Das Milliardenprojekt, das Europa unabhängig vom amerikanischen GPS-System machen soll, ist seit Jahren in Verzug und von Pannen begleitet.

Die nächsten beiden Galileo-Satelliten sollen im Herbst 2020 starten. Auch wenn die Satelliten nach einer Woche wieder online gegangen sind, ist das System noch immer nicht komplett funktionsfähig. Ein Team des Industriebetreuers Thales aus Toulouse arbeitet dem Vernehmen nach daran, das System der Bodendienste in Fucino nach dem missglückten Update wieder voll aufzusetzen. Anschliessend sollen die etwa 50 Experten dasselbe in Oberpfaffenhofen erledigen. Dies könnte Ende November abgeschlossen sein, heisst es.

Das bedeutet aber auch, dass die Galileo-Kontrolle bis dahin immer noch nicht voll gesichert ist. Ein weiterer Ausfall in Fucino zum jetzigen Zeitpunkt ­würde also wohl nach sich ziehen, dass Galileo erneut offline gehen müsste. Weder Thales noch der deutsche Betreiber DLR äussern sich dazu. Hinderlich für das Notfallmanagement sind auch die Galileo-Strukturen: Eine Panne wie im Juli, die nur der Hersteller beheben kann, muss über GSA, Kommission und Raumfahrtagentur ESA an Thales gemeldet werden – ein schnelles Telefonat reicht da nicht.

Ein Eingreifteam soll 2022 eingesetzt werden. Die Nutzer bemerken solche Pannen bislang kaum: Das Navi funktioniert mit dem amerikanischen GPS-Signal, Galileo ist erst im Aufbau. Die GSA probt derweil wieder Normalität: Gerade veröffentlichte die Behörde im Internet eine Art Trostpflaster: einen Bastelbogen zum Ausdrucken, damit Fans sich ihren eigenen Galileo-Satelliten bauen können.