Satelitní navigační systémy dnes už používá nevědomky téměř každý z nás. I proto mocnosti nechtějí spoléhat na průkopnický a stále zdaleka nejužívanější americký GPS. Rusko provozuje a modernizuje systém nazvaný GLONASS, Čína začátkem srpna dokončila přeměnu své soustavy BeiDou z regionální na globální. Evropská unie pak v prosinci 2016 zahájila úvodní provoz Galilea.
Systém od té doby stále běží „na zkoušku“ bez větších obtíží. Zatím největší problém měl zhruba před rokem, v červenci 2019, kdy zhruba na šest dní úplně přestal uživatelům poskytovat údaje o poloze. Několikadenního výpadku si všimla velká část světových médií, z praktického hlediska žádný větší problém ovšem neznamenali, protože funkci Galilea přebraly ostatní navigační systémy.
I přesto, že o výpadku se tolik psalo, při pohledu do zprávy evropského navigačního systému za čtvrtletí od červenec až září 2019 (v PDF zde) byste mohli mít pocit, že vás paměť klame a loni v červenci se nic mimořádného nestalo. Systém podle ní splnil všechny základní cíle na jedničku a tabulka tedy „svítí“ zeleně.
Jak je to možné? Zcela jednoduše: kromě výpadku systém pracoval v podstatě stoprocentně. V průměru tedy splnil hlavní požadavek, aby systém byl plně měsíčně k dispozici alespoň 77 procent času. I s výpadkem na dlouhých 136 hodin byla hodnota za červenec 81,27 % – cíl byl tedy splněn.
Zelená zeď. Hodnocení činnosti navigačního systému Galileo během léta 2019. Stopy šestidenního výpadku v ní nenajdete. Práh „úspěšného provozu“ je tak nízký, že i přes výpadek se pod něj systém nedostal.
Bez ohledu na to, že pro praktické nasazení je 77 procent samozřejmě extrémně nízký cíl. Navigační systém, který by téměř čtvrtinu doby nepracoval, by jen těžko našel uživatele. Pokud by se podobná událost měla opakovat, budoucnost systému Galileo by to nepochybně mohlo přinejmenším ohrozit.
I přesto, že jde o událost nepochybně zajímavou a z hlediska provozu systému důležitou, informací o ní bylo především zpočátku velmi málo. Podívejme se na ni s ročním odstupem.
Stejné, ale přece trochu jiné
Začneme rekonstrukcí nehody na základně obecných principů satelitních navigace i údajů, které systém Galileo během ní vysílal. Základní koncept určení polohy pomocí satelitů je jednoduchý: přijímač zachytí signály z jednotlivých satelitů, „změří“ vzdálenost k dostatečnému počtu satelitů a spolu s jejich známou polohou může vyřešením soustavy lineárních rovnic určit i svou polohu a přesný čas. Samozřejmě, pod každým zmíněným krokem jsou skryty složité technické úvahy a obtíže, pro účely článku ale bude stačit se zaměřit na „známou polohu satelitů“.
Původ datData používaná v článku pochází ze záznamů služby IGS (International GNSS Service), která mimo jiné shromažďuje a uchovává data vysílaná jednotlivými navigačními systémy. Databáze má bohužel jedno omezení: k dispozici je v ní pouze seznam platných navigačních zpráv. Nelze se např. dostat k tomu, co skutečně jednotlivé satelity v každý okamžik vysílaly). |
Obecně jsou globální satelitní navigační systémy navrženy tak, že jsou si dráhy jednotlivých satelitů co nejpodobnější. Díky tomu se nemusí některé orbitální parametry udávat v absolutních číslech, ale stačí určit odchylku oproti předem definovaným ideálním parametrům. Což je mimochodem důvod, proč dva satelity Galileo ztracené při selhání ruského nosiče před šesti lety nelze zařadit do almanachu – odchylka je příliš velká a ve stanoveném počtu bitů ji nelze předat.
Pro plné pochopení popisovaných událostí je třeba nejprve přiblížit některé technické aspekty systému. Aby mohl přijímač správně určit polohu, musí nejprve zachytit signály z jednotlivých satelitů. Ty mají dvojí účel – jednak se používají ke změření vzdálenosti od přijímače k satelitu, jednak jsou na nich modulována navigační data. Pomocí těchto dat je pak možné spočítat přesnou polohu satelitu v okamžiku odeslání signálu. Kombinací dostatečného množství poloh satelitů a jejich vzdáleností od přijímače lze nakonec určit, kde se přijímač nachází.
Z hlediska provozovatele systému je klíčové synchronizovat palubní hodiny a správně určit dráhu satelitů. Proto byla vybudována síť sledovacích stanic, které mají za úkol co nejpřesněji monitorovat pohyb navigačních těles po oběžné dráze. V případě Galilea tato síť čítá již 15 stanic rozesetých po celém světě. Americké GPS má 17 stanic taktéž po celé Zemi. Oba západní systémy tak nepřetržitě sledují všechny satelity. Ruský GLONASS to má o něco složitější: jeho stanice se donedávna nacházely jen na území bývalého SSSR, až v posledních letech se rozšiřuje do zemí jako Venezuela, JAR, Argentina, Čína. V každém případě se v každém z těchto systémů na základě údajů pozemních stanic pravidelně přepočítávají orbitální parametry tak, aby se chyba celosvětově pokud možno minimalizovala.
Orbitální parametry každého satelitu jsou známé jako tzv. efemeridy. Systém musí přesně vědět efemeridy satelitů ve stejnou chvíli, musí tedy k sobě vždy správně „přiřadit“ efemeridy ze stejného okamžiku. „Párování“ provádí čítač IODE (Issue of Data Ephemeris), který má rozsah 1-127. Jednou za 21 hodin 10 minut „přetéká“ a začne se znovu počítat od hodnoty 1.
Bez této důležité hodnoty nemůže systém fungovat. Není to jediná pro systém nezbytná hodnota, i další parametry musí být v normě, aby se systém mohl použít, ale ty v tomto kontextu nejsou důležité.
Bez čeho to nejdeJen pro milovníky úplnosti některé z oněch nezbytných parametrů uveďme. Například každá sada dat má například také svůj referenční čas, ke kterému se vztahuje – tzv. TOE (Time of Ephemeris). A kvalita a dostupnost signálu je popsaná třemi dalšími parametry – DVS (Data Validity Status), SHS (Signal Health Status) a SISA (Signal-in-Space Accuracy). Zájemci mohou technické podrobnosti veřejně dostupných služeb systému Galileo, včetně návodu k vypočtení polohy, najít v tzv. Interface Control Document, který je k dispozici z této stránky. |
Informace o poloze satelitu, tedy efemeridy, dostávají uživatelé v tzv. navigační zprávě. Systém má zabudovanou kontrolu „čerstvosti“ těchto informací: pokud je navigační zpráva starší než čtyři hodiny, přestává platit. Důvod je asi zřejmý: chyba v určování polohy se může postupně zvětšovat a nakonec by mohla způsobit nebezpečnou nehodu. V softwaru je tak zakotvena „tvrdá“ hranice, která má tomuto nejhoršímu scénáři zabránit.
Pro ilustraci vlivu stáří efemerid na přesnost určení polohy satelitu jsem chtěl vybrat satelit s co nejčastějšími aktualizacemi navigační zprávy během jednoho týdne a srovnávat polohu spočtenou ze zafixované, nejstarší navigační zprávy a té aktuální. Úkol byl překvapivě těžký - žádný satelit neměl v letech 2017-2019 ani jeden den samé desetiminutové aktualizace, natož celý týden. Nakonec byl zvolen E19 v týdnu od 2. do 9. 4. 2017. Graf ukazuje velikost vertikální složky chybového vektoru v závislosti na stáří efemerid.
Čtyřhodinová „záruční doba“ je horní hranice, které se za běžného provozu systém nepřiblíží. V satelitech se aktualizují jednou za 10 minut až tři hodiny (vždy ale v násobcích 10 minut, takže po 10, 20 nebo třeba 130 minutách). . Většinou k obnově dochází v nejkratším možném intervalu: v letech 2018 a 2019 byly desetiminutové zdaleka nejčastější, těchto bylo více než 50 procent.
Co se stane, když ani po čtyřech hodinách nejsou k dispozici aktualizované údaje o poloze satelitů (efemeridy)?
Rekapitulace
První náznak problémů se objevil 10. července po poledni světového času. Po pravidelné aktualizaci efemerid v navigační zprávě ze 13:40 následovala tříhodinová pauza. Další aktualizace přišla až v 16:40, další následovaly v běžných, desetiminutových intervalech. Potud vše relativně v pořádku: byť je takováto mezera neobvyklá, systém se choval v určených mantinelech.
Ačkoliv tedy systém prozatím fungoval normálně, v signálu se objevila „podivnost“. Již zmíněný čítač IODE (připomínáme, že ten k sobě přiřazuje údaje o poloze satelitů) měl v aktualizaci z 16:40 hodnotu 129 místo normálního rozsahu 1-127. Je to možné proto, že v navigační zprávě má IODE rezervováno 10 bitů, byť normálně se zapisuje maximálně do sedmi bitů, tedy do kombinace maximálně sedmi nul či jedniček. (Pro ty, kdo s dvojkovou soustavu nepracují: 127 se v binární soustavě zapisuje jako sedm jedniček, tedy 1111111. Větší číslo se do sedmi cifer ve dvojkové soustavě nevejde. Číslo 128 už vyžaduje osm míst, osm bitů, protože zapisuje se jako 10000000; 129 se píše jako 10000001 atd.)
Problémy se brzy vrátily, a to necelou hodinu po půlnoci 11. července. V 00:50 se interval nových navigačních zpráv znovu protáhl z deseti minut na tři hodiny a tzv. ukazatel SISA (ukazatel „kvality“ signálu) se zvýšil, signál se tedy „znepřesnil“.
Což by opět nutně neznamenalo potíže, kdyby hodnota IODE nezdivočela. Místo zhruba jednou za 21 hodin, „přetékala“ každé tři hodiny. Nevracela se ovšem zpět na výchozí hodnotu 1, ale zvýšila se vždy o celý rozsah 127.
Navíc se pak kolem poledne objevilo několik aktualizací s podivnými hodnotami IODE. Jejich vlastnosti – zejména SISA zpět v původní hodnotě – naznačují, že se možná řídící středisko pokoušelo o opravu.
Vysílané hodnoty Issue of Data Ephemeris (IODE) byly nejprve správné, pak 10. 7. v 16.40, po první tříhodinové pauze v aktualizacích, přišla podivná, "nadtečená" hodnota 129 - ale po další krátké pauze se systém vrátil zpět do předpokládaných hodnot. Až od časného rána 11. 7. se navigační zprávy aktualizovaly pouze každé tři hodiny, přičemž hodnota IODE byla vždy zvýšena o celý rozsah, tj. 127. Kolem poledne se u některých satelitů objevily navigační zprávy mimo tříhodinovou periodu se zvlášní hodnotou IODE.
Občasné problémy se vyskytly i po opětovném zprovoznění aktualizací navigačních zpráv - jako zde opět "nadtečená" hodnota IODE 151 ve 20.20 17. 7. - pouze pro satelit E07 - ale jak uvidíme dál, tato hodnota stejně neměla být brána v potaz.
Detail zaměřený na první tři hodiny, tedy nejdelší možné období, než mají být efemeridy dle specifikace nahrazeny novými.
Hodnoty Signal-in-Space Accuracy vysílané v navigačních zprávách v červenci 2019. Je vidět, že už po první tříhodinové pauze byly některé satelity dočasně "znepřesněny". Po přechodu na tříhodinový interval mají vyšší SISA všechny satelity, až na oněch několik "pokusů" během dne 11. 7. s hodnotami vesměs zpět v původním stavu. To jsou ty navigační zprávy, jejichž IODE je jakoby "zarovnané" do přímky.
Ve 14.45 zřejmě řídící centrum dospělo definitivně k názoru, že problém v brzké době nedokáže vyřešit a vydalo první upozornění uživatelům Galilea. V něm uvádělo, že „až do odvolání může být úroveň služeb na všech satelitech snížena. To znamená, že signály nemusí být dostupné, ani nemusí splňovat minimální výkonové úrovně definované v dokumentaci a měly by být užívány na vlastní riziko. Nominální služba bude obnovena co nejdříve.“ Počáteční čas události byl uveden jako 1:00, tedy první chybějící desetiminutový update.
Jak dnes víme, snaha o rychlou obnovu se opravdu nezdařila. Poslední zpráva s aktualizovanou polohou satelitů byla do systému odeslána v pátek 11. července 2019 ve 21:50. Když vypršela její čtyřhodinová „záruční lhůta“, tedy v 1:50, všechny přijímače Galileo „umřely“. Nedostávaly od systému ověřené údaje, a tak prostě přestaly fungovat. V praxi to ovšem nehrálo žádnou roli, protože ostatní navigační systémy fungovaly.
Neznámá chyba, záhadné mlčení
Překvapivé bylo, že řídící středisko o výpadku, kterého si dávno předtím mohl všimnout každý poučený uživatel, oficiálně informovalo dalším varováním pro uživatele až v neděli 13. července ve 20:15 večer, tedy bezmála dva dny po začátku výpadku. Bylo to v rámci 72hodinové lhůty, kterou specifikace dovolují, takže Galileo splnil své povinnosti a v tomto ohledu bylo vše v pořádku. Překvapivé to je spíše proto, že selhání systému už bylo obecně známo.
Text varování byl krátký: „až do odvolání je systém nedostupný. Signály nejsou použitelné.“ Počáteční čas byl stanoven na 12. července 1:50, tedy okamžik, kdy vypršela platnost poslední navigační zprávy.
Co se dělo s Galileem během výpadku? Podle všech měření se síla signálu nezměnila, „obsah“ byl také téměř shodný – jen jeho součástí nebyla platná navigační zpráva, takže všechny přijímače údaje ignorovaly, jak mají vepsáno ve svých instrukcích. Když byly softwarové přijímače přesto „přinuceny“ použít zastaralou zprávu, poloha se příliš nelišila od skutečné. Odborná komunita ze zpráv, které systém vysílal, brzy vyvodila, že problém leží v pozemní části systému, ne v satelitech samotných (byť my asi nemusíme zacházet do detailů proč a jak).
Výpadek nakonec trval až do 18:50 v úterý 16. července. Satelity vysílaly zastaralou navigační zprávu celkem 4 dny a 17 hodin. Ovšem ani v úterý večer ještě nebylo vyhráno. Hodnotu tzv. SISA (Signal-in-Space Accuracy), což je důležitý parametr určující očekávanou přesnost navigačních signálů, systém uváděl jako nedostupnou (uživatelé viděli oznámení „No Accuracy Prediction Available“). Některé přijímače přesto začaly takto „nepřesné“ signály používat při výpočtu polohy, byť zásady Galilea výslovně uvádí, že by to v tomto případě dělat neměly. Přijímače s touto vadou určovaly polohu nepřesně, s chybou v řádu maximálně jednotek metrů. To se ovšem nedá vyčítat Galileu, pouze výrobcům nedodržujícím specifikace.
K normálu se vše vrátilo 17. července v 17:50, když byly signály většiny satelitů ve všech ohledech v pořádku. Spolehlivé určení polohy tedy Galileo nakonec neposkytoval celých 5 dní a 16 hodin.
Referenční časy platných navigačních zpráv (Time of Ephemeris) pro jednotlivé satelity Galileo (excentrické E14 a E18 jsou vynechány). Dobře je vidět první tříhodinová mezera i krátká pauza po první následující zprávě s "nadtečeným" IODE. Některé satelity postihl výpadek ještě dřív, než se to stalo systému jako celku.
Řídící středisko i v následujících dnech varovalo, že další problémy nejsou vyloučeny. Jeho zpráva z rána dne 18. července uváděla, že od 20:52 předchozího večera jsou služby obnoveny, ale až do dalšího je možné, že uživatelé můžou zaznamenat nestabilitu systému. Až 22. července v podvečer vyšlo další oznámení o plném obnovení systému od 17:50 stejného dne.
Nic z toho
Výpadek měl mizivý prakticky dopad – na Galileo tedy nikdo příliš netlačí, aby ho vysvětlilo. Evropský systém je v pořadí třetím celosvětovým navigačním systémem, a protože jejich design je velmi podobný, je jednoduché zahrnout do jednoho čipu GPS i Galileo (a není ani příliš složité tam dostat i GLONASS a BeiDou a všechny regionální systémy). Autor těchto řádků nezná žádný běžně dostupný přijímač, který by pracoval výhradně se signálem evropského systému, a tak lze tedy říct, že výpadek Galilea sice „odebral“ část dostupných satelitů pro určení polohy, ovšem přijímače jich i tak měly k dispozici dostatek (především ze systému GPS).
Galileo má nabízet i další služby, například režim „Safety of Life“, který by měl poskytovat bezpečnější navigace pro případy, kde jde doslova o život – měla by sloužit například pro automatické přistávání letadel. Ale ten se stále ještě připravuje, takže ani tady žádné nebezpečí nehrozilo. Z pohledu odborníka výpadek nebyl obecně tak hrozný, jak se může zdát. Navigační služby se posuzují podle čtyřech základních kritérií: dostupnost, kontinuita, integrita a přesnost. Jejich popis by vydal na samostatný článek (možná spíš sérii článků), na tomto místě snad stačí říct, že postižena byla pouze dostupnost. To není nejhorší možný scénář: mnohem horší by bylo, kdyby systém poskytoval nepřesné údaje a nedal to uživatelům nijak na vědomí.
Pravdou také je, že ani další navigační systémy se v minulosti nevyhnuly problémům. Ruský GLONASS v dubnu 2014 ukazoval polohu uživatelům až o stovky kilometrů špatně. Americký GPS zase v roce 2016 zažil potíže s přesnými časovými parametry signálu (určování polohy ovšem fungovalo v pořádku). Je pochopitelné, že i Galileo by mohlo mít své problémy – ostatně je stále ještě ve zkušebním provozu.
Konec dobrý...?
Na druhou stranu, evropský systém takový problém nezažil poprvé. Velmi podobný, ale kratší výpadek zcela bez povšimnutí proběhl již v listopadu 2018. I tehdy systém nedokázal aktualizovat navigační zprávu s údaji o poloze satelitů. Platnost poslední zprávy vypršela konkrétně 8. listopadu 2018 ve 2:10. Výpadek byl ovšem podstatně kratší: k obnově zprávy došlo ve 4:00, tedy zhruba po dvou hodinách.
Průběh událostí byl přitom podobný jako v roce 2019. Už 7. listopadu brzy ráno přestaly být navigační zprávy obnovovány jednou za obvyklých 10 minut a hromadně přešly na tříhodinový interval. Okolo poledne se objevilo několik „pokusů“ o opravu – a pozdě večer pak přestal fungovat úplně (viz zprávu pro uživatele).
V listopadu 2018 se zdá, jako by řídící centrum určité problémy očekávalo, když zvýšilo SISA několik hodin před přechodem na tříhodinové aktualizace navigační zprávy. Dobře je také vidět velké znepřesnění hned po obnovení funkčnosti - nejspíš než opět všechny sledovací hodnoty zkonvergovaly a jejich přesnost již byla zpět v normě.
Referenční časy platných navigačních zpráv (Time of Ephemeris) okolo listopadového výpadku. Hodina, během níž již efemeridy byly starší než 3 hodiny (takže měly být správně nahrazeny novějšími), ale mladší než čtyři (takže stále ještě šly použít pro výpočet polohy), je označena vykřičníkem, výpadek křížkem.
K výpadku provozovatel nevydal žádné další prohlášení či informace. Možná proto, že si ho prakticky nikdo z řad veřejnosti nevšiml. V Evropě panovala hluboká noc a v Americe již bylo po běžné pracovní době. Z těchto důvodů nelze o povaze listopadového výpadku nic soudit, nicméně analýza dostupných dat vykazuje jisté podobnosti s červencovým scénářem.
Šlo v obou případech opravdu o stejnou chybu? A byla opravena tak, že už se nemůže opakovat? Nevíme, protože přesná technická příčina výpadků stále není veřejně známá.
U toho většího z roku 2019 víme alespoň to, že problému došlo v jednom ze dvou kontrolních center (Galileo Control Center), umístěných v německém Oberpfaffenhofenu a italském Fucinu. Podle oficiálního vyjádření z ledna 2020 došlo ke „kombinaci událostí, které nastaly téměř simultánně a nezávisle na sobě, v kontextu dočasného omezení redundance“. Zdá se tedy, že by mělo jít o zcela výjimečnou událost, která by se prakticky nikdy jindy stát nemohla, protože běžně jsou v provozu dvě pozemní střediska.
Podle zpráva o provozu Galilea za třetí čtvrtletí roku 2019 (v PDF) došlo shodou okolností k hned několika chybám a problémům: instalovalo se nové vybavení a obsluha při zacházení s ním udělala nějakou chybu. Analýza problémů si vyžádala nějaký čas a oprava nemohla proběhnout příliš rychle, protože druhé pozemní středisko bylo mimo provoz.
Informace jsou tak neurčité, že na odpověď, zda byla chyba skutečně opravena a už se nemůže opakovat, nelze jednoznačně odpovědět. V podstatě můžeme pouze doufat.
