RESEARCH / REAL MISSIONS · DISSERTATION § 1.2

When a failure does not end the mission.

Four documented engineering stories: a system loses a resource, changes its configuration or operating mode, and retains part of its ability to complete the mission.

These are historical engineering cases used in the dissertation to formulate the research problem, not experimental validation of Væringjar II algorithms.

01 / Decades of reconfiguration

Voyager 1

One mission. Several viable configurations.

Deposits in the propulsion fuel tubes led engineers to move between thruster branches. The dissertation tracks key transitions in 2002, 2004, 2017, 2024 and 2025.

In May 2025, engineers restored thrusters considered unusable since 2004, providing a backup to preserve attitude control [145].

Media evidence

Dissertation excerpt · original Ukrainian §1.2.1

Апарати Voyager 1 і Voyager 2, запущені 1977 року, є найтривалішим в історії прикладом системи, що зберігає працездатність через послідовність реконфігурацій. Орієнтація апарата на Землю забезпечується рушійною підсистемою, що має три незалежні гілки: дві гілки орієнтації та гілку корекції траєкторії [145].

Механізм деградації є фізичним і незворотним: гумова діафрагма паливного бака з часом виділяє діоксид кремнію, який осідає в паливних трубках і поступово зменшує їх переріз. Первинний діаметр трубки становив 0,25 мм; до 2024 року засмічення зменшило його до 0,035 мм — приблизно половина товщини людської волосини [146].

Послідовність прийнятих рішень утворює траєкторію в просторі конфігурацій. У 2002 році, виявивши засмічення першої гілки орієнтації, інженери перейшли на другу. У 2004 році через втрату живлення двох нагрівачів припинили працювати основні кренові рушії, і апарат перейшов на резервні. У 2017 році ознаки засмічення з’явилися у другої гілки, і керування було передано гілці корекції траєкторії. У 2024 році, коли остання засмітилася сильніше за попередні, було ухвалено рішення повернутися на гілку орієнтації. У травні 2025 року інженери відновили роботу гілки, яку з 2004 року вважали непридатною, щоб мати резерв на випадок повної відмови діючої [145].

Паралельно з реконфігурацією рушійної підсистеми виконується деградація функціональної: за браком потужності наукові прилади вимикаються послідовно. У жовтні 2024 року вимкнено плазмовий прилад Voyager 2, у лютому 2025 року — систему дослідження космічних променів Voyager 1, у березні 2025 року — прилад реєстрації низькоенергетичних заряджених частинок Voyager 2. Заявлена мета — зберегти роботу щонайменше одного приладу до наступного десятиліття [145].

Окремо показовим є випадок 2024 року, коли Voyager 1 самостійно перейшов на резервний радіопередавач, не використовуваний понад сорок років, після вимкнення основного через брак потужності. Це є прикладом реконфігурації, виконаної бортовою логікою без участі оператора за умов, коли затримка сигналу унеможливлює оперативне втручання.

З погляду задачі, що розв’язується в дисертації, випадок Voyager демонструє три властивості одночасно: скінченний каталог наперед спроєктованих конфігурацій, послідовність переходів між ними за роки експлуатації та відмову від частини функцій заради збереження місії. Саме ці властивості формалізуються в розділах 2 і 3.

Artist’s concept of Voyager 1 in interstellar space, NASA/JPL-Caltech, Figure 1.2 — Fig. 1.2 — Voyager in interstellar space. Artist’s concept: NASA/JPL-Caltech. Dissertation source ↗

Thesis timeline of Voyager 1 thruster-branch reconfigurations, Figure 1.3 — Fig. 1.3 — Voyager 1 propulsion reconfiguration timeline (based on [145, 146]).

02 / Unplanned reconfiguration

Apollo 13

A lunar module became a lifeboat.

After an oxygen-tank explosion, Odyssey lost power and oxygen. Aquarius, built for lunar landing, was reassigned to support the crew and enable their return to Earth [149].

The landing objective was abandoned; power allocation and trajectory correction procedures were fundamentally changed to preserve the essential mission.

Media evidence

Dissertation excerpt · original Ukrainian §1.2.2

Політ Apollo 13 у квітні 1970 року є хрестоматійним прикладом реконфігурації, виконаної під час місії за кілька годин, причому ресурс було використано в ролі, для якої він не проєктувався.

Через вибух кисневого бака командно-службовий модуль Odyssey втратив живлення та кисень. Посадковий модуль Aquarius, призначений для висадки на Місяць, було перепризначено на роль рятувального засобу: він забезпечував екіпаж киснем, живленням і охолодженням, а його двигун використали для прискорення повернення замість посадки. У такій конфігурації екіпаж перебував чотири доби [149].

Показовими є три рішення. Перше — часткове знеструмлення Aquarius, що істотно збільшило запас за живленням і охолоджувальною водою; це є прямим аналогом вимкнення функцій нижчого пріоритету заради збереження критичних. Друге — заряджання двох із трьох батарей Odyssey від Aquarius, процедура, яка ніколи раніше не виконувалася і була, по суті, оберненням штатної, у якій командний модуль живить посадковий. Третє — виконання останньої корекції траєкторії двигунами реактивної системи керування посадкового модуля: 23-секундний імпульс за п’ять годин до входу в атмосферу на відстані 44 000 миль від Землі [149].

Ціна конфігурації була відчутною: температура в Aquarius становила близько 11 °C, у Odyssey опускалася до 3 °C, основну мету місії — висадку в районі Fra Mauro — було скасовано. Проте місія в її головній частині, поверненні екіпажу, завершилася успішно: приводнення відбулося через 142 години 54 хвилини 41 секунду польоту, за милю від розрахункової точки [149].

Після відокремлення службового модуля екіпаж уперше побачив наслідки аварії. Дж. Ловелл описав побачене так: цілої панелі корпусу бракувало — від основи майже до двигуна.

Для цієї роботи випадок Apollo 13 важливий тим, що показує межу можливостей наперед спроєктованого каталогу. Конфігурація «посадковий модуль як рятувальний засіб» не була передбачена проєктом; її склали під час польоту із наявних ресурсів. Формалізація такої задачі — синтез конфігурації, якої немає в каталозі, — виходить за межі припущення A1 (2.174) і окреслює напрям подальших досліджень.

Damaged Apollo 13 Service Module after jettison, NASA photo of 17 April 1970, Figure 1.4 — Fig. 1.4 — damaged Apollo 13 Service Module, 17 April 1970. Photo: NASA. Dissertation source ↗

03 / Progressive loss of mobility

Spirit

A rover kept moving with a seized wheel.

In 2006, Spirit lost its right front wheel drive. Instead of stopping the mission, the rover moved largely in reverse, dragging the stationary wheel [147].

When mobility degraded further, it was used as a stationary scientific platform: motion was lost, but observation could continue.

Media evidence

Dissertation excerpt · original Ukrainian §1.2.3

Марсохід Spirit, що працював на поверхні Марса з січня 2004 року, ілюструє деградацію механічної підсистеми та вимушену зміну режиму функціонування.

13 березня 2006 року переднє праве колесо перестало обертатися через обрив кола. Шість ведучих коліс скоротилися до п’яти. Замість припинення місії було змінено режим руху: апарат почав рухатися переважно заднім ходом, тягнучи нерухоме колесо за собою, оскільки тягнути заблоковане колесо виявилося легше, ніж штовхати його в ґрунт. Уже до квітня 2006 року в такому режимі було подолано близько 80 метрів [147].

Зміна режиму мала ціну: знизилася швидкість, ускладнилося подолання схилів, звузився набір допустимих маршрутів, а планування кожного переїзду потребувало окремого опрацювання з використанням задніх камер уникнення перешкод. У термінах моделі, що будується далі, це є переходом до конфігурації з нижчою номінальною спроможністю, але збереженою допустимістю.

У листопаді 2009 року почало збоїти заднє праве колесо, і кількість ведучих скоротилася до чотирьох. Спроби вивільнити апарат із піску, в якому він застряг у травні 2009 року, успіху не мали, і місію було переведено в режим стаціонарної наукової платформи — тобто до найглибшої деградованої конфігурації, у якій функція пересування відсутня повністю, а функція наукових спостережень збережена.

Показовим є побічний наслідок деградації. Заблоковане колесо, яке тягли ґрунтом, діяло як інструмент розкопування. У березні 2007 року поблизу плато Home Plate воно розкрило ділянку світлого ґрунту, вміст кремнезему в якій сягав близько 90 %, що стало свідченням давнього гідротермального середовища. Науковий результат було одержано саме завдяки деградованому стану апарата, а не всупереч йому.

Diagram from the dissertation illustrating Spirit wheel degradation, Figure 1.5 — Fig. 1.5 — progressive degradation of Spirit’s running gear (based on [147]).

04 / Acting before failure

Curiosity

Anticipate damage, rather than wait for immobilization.

Punctures and tears appeared in Curiosity’s aluminum wheels in late 2013. The team adjusted route selection, limited drives over damaging terrain and used reverse driving to reduce further wear [148].

The operating strategy changed based on projected resource degradation, before the rover lost mobility.

Media evidence

Dissertation excerpt · original Ukrainian §1.2.4

Марсохід Curiosity, що працює з серпня 2012 року, ілюструє випадок, коли реконфігурація виконується не після відмови, а за прогнозом деградації.

Наприкінці 2013 року виявлено пошкодження алюмінієвих коліс — проколи та розриви, інтенсивність яких істотно перевищила очікувану. Причиною виявилися міцно зцементовані вентифакти, тобто вітрові гострокутні камені, з якими попередні апарати не стикалися [148].

Заміна коліс на Марсі неможлива, тому було застосовано набір заходів зі зниження швидкості накопичення пошкоджень: обережніше водіння з обходом гострих каменів, скорочення довжини окремих переїздів на небезпечному ґрунті та, що є найпоказовішим, рух заднім ходом. При розвороті апарата середні та передні колеса тягнуться за підтримувальними важелями, а не штовхаються вперед, що істотно зменшує навантаження [148].

Цей випадок відрізняється від попередніх тим, що зміна конфігурації виконана до настання відмови, на підставі оцінки швидкості деградації ресурсу. Саме така постановка — керування конфігурацією за прогнозом стану, а не за фактом відмови — розглядається в підрозділі 3.6.

2013 →WEAR ESTIMATE↓ROUTE ADAPTATION↓MISSION CONTINUES

Further missions · department meeting, 27 Oct 2026

Seven more missions: when degradation was managed — and when it was not.

These examples were presented at the department meeting at which the doctoral dissertation topic was approved. In four of them engineers kept a mission alive by rebuilding it by hand. In three, the failure of a single element ended the mission. Facts are checked against the agencies’ and companies’ own sources, linked under each case.

Managed degradation

Four missions that engineers kept alive by rebuilding the spacecraft by hand.

NASA · 2023–2024

Voyager 1

Mission kept

The code was moved into healthy memory.

On 14 November 2023 Voyager 1 stopped returning usable data: a single chip holding part of the memory and code of the flight data subsystem (FDS) had failed. The chip could not be repaired, so engineers split the affected code into sections, stored them elsewhere in FDS memory and updated the references between them. On 20 April 2024 the spacecraft returned engineering data again.

For the research. A software resource was reconfigured without replacing hardware: the function survived, its placement changed.

Media evidence

NASA · 2016–2018

Curiosity

Mission kept

The arm took over the job of the drill feed.

In December 2016 the drill’s feed mechanism, which moves the bit into and out of rock, stopped moving. The team devised “feed extended drilling”: the bit stays extended past the stabiliser posts, which are no longer used, and the robotic arm itself pushes the bit forward; a force sensor in the arm gives the rover a sense of touch. The technique was first tested on Mars in February 2018.

For the research. The function of a failed mechanism passed to another resource that was not designed for it — at the price of a new procedure and new limits.

Media evidence

ESA · 2011–2012

Mars Express

Mission kept

Commanding moved to a smaller memory.

From mid-August 2011 faults in the solid-state mass memory, which held the mission command timeline, repeatedly forced the spacecraft into safe mode; switching to the redundant memory controller did not help. On 16 October science was suspended to save propellant. The team moved routine commanding to the short hardware timeline of the data management system — only 117 commands — and compressed command sequences with on-board control procedures. Full science operations had resumed by February 2012.

For the research. The function was kept by moving it to a resource of lower capacity; the price was autonomy, which shrank to a few days.

Media evidence

JAXA · 2009–2010

Hayabusa

Mission kept

One engine, assembled from two.

In November 2009, on the way back from asteroid Itokawa, an anomaly was detected in one of the ion engines. JAXA combined the neutraliser of engine A with the ion source of engine B — a pairing the nominal design did not use — and found enough thrust for the rest of the cruise. On 13 June 2010 Hayabusa re-entered the atmosphere and its sample capsule returned to Earth.

For the research. A working configuration was composed from parts of two degraded units — a configuration that was not in the catalogue.

Media evidence

One failure ended the mission

Three missions in which the failure of a single element ended the mission.

Katalyst · NASA · 2026

LINK → Swift

Mission lost

Control was recovered, but the propellant was spent.

LINK, a $30 million mission, launched on 3 July 2026 to capture NASA’s Swift observatory and raise its orbit. During commissioning an electrical power fault took out two of its three reaction wheels, the cold-gas thruster system lost part of its function, and the spacecraft fell into a multi-axis spin. Engineers stopped the spin with the Hall-effect thrusters and new control modes, but not enough propellant was left for capture: the boost was called off on 19 August, and LINK re-entered on 25 September 2026. Swift, in orbit since 2004, ended operations in October 2026 ahead of re-entry.

For the research. Recovery succeeded but consumed the resource the mission needed. Whether a transition is admissible has to be judged together with its cost in resources.

Media evidence

ispace · 2023 and 2025

Hakuto-R

Missions lost

The filter rejected the correct measurement.

Mission 1, 26 April 2023: passing over a crater rim, the altimeter showed a sharp jump in altitude; the estimation software judged it a sensor fault and discarded the correct data. The lander believed it was on the surface while still about 5 km up, kept descending until its propellant ran out and fell. Mission 2, RESILIENCE, 6 June 2025: in the final phase the laser rangefinder delivered valid measurements too late, and the lander could not slow down in time; ispace names degraded or lower-than-expected rangefinder performance as the most likely cause.

For the research. A filter built to protect against sensor faults caused the failure itself: the model of the environment lost validity, and the system did not notice. This is the motivation for treating models as epistemic resources.

Media evidence

JAXA · 2016

Hitomi

Mission lost

The safe mode made things worse.

The X-ray observatory launched on 17 February 2016. On 26 March a star-tracker problem left the attitude system with a false estimate of rotation, and it began to rotate the spacecraft for real. The reaction wheels saturated and the satellite switched to thruster-based safe hold, but thruster parameters entered incorrectly after an earlier boom deployment made the spin faster. Both solar array paddles broke off. The mission was lost 38 days after launch; on 28 April 2016 JAXA concluded that its functions could not be restored.

For the research. The chain ran through several levels: state estimation, an automatic switch to “safe” mode, and unvalidated parameters of that mode. A safe mode without an admissibility check became the hazard.

Media evidence

RESEARCH / SYSTEM BEHAVIOUR

What do the cases have in common?

Failure or predicted degradation → state assessment → selection of an admissible mode → mission continuation at reduced capability. The dissertation uses these cases to motivate a quantitative survivability measure, transition planning and stability constraints.

Explore the mathematical model ↗

General mission-reconfiguration workflow from the dissertation, Figure 1.6 — Fig. 1.6 — What do the cases have in common?

Documentary sources

References [145–149] follow the dissertation bibliography. Figures 1.3, 1.5 and 1.6 preserve the original Ukrainian lettering from the dissertation.

Sources for the seven further cases are linked directly under each of them.

NASA and NASA/JPL-Caltech imagery was extracted from the supplied dissertation, with its credits retained. NASA is not associated with or endorsing Væringjar II. Media links lead to the original publications of NASA, ESA, JAXA, ispace, Katalyst and other sources; nothing from them is hosted on this site.