【正文】 對阿麗亞娜 4） ? ？ ? 目前普遍認(rèn)為，對關(guān)鍵系統(tǒng)，能用硬件實(shí) 現(xiàn)的功能盡量用硬件實(shí)現(xiàn)。因?yàn)橛布目? 靠性一般比軟件高。 ? 4的要求，為什么 起飛后還要運(yùn)行校準(zhǔn)功能？ ? 實(shí)際上這是 “ 功能多余物 ” ， “ 盲腸 ” ? 阿麗亞娜 4中 SRI的功能多余物導(dǎo)致了阿麗亞娜 5的 501飛行失敗 ? 而阿麗亞娜 5根本就沒有那條多余的需求 問題（對阿麗亞娜 5） ? 1。為什么阿麗亞娜 5的 SRI軟件還有功能多余物？ ? 2。為什么沒有查出這段 “ 盲腸 ” 在阿麗亞娜 5會(huì) “ 發(fā)炎 ” ？ 怎么發(fā)的炎？ ? 根源： ? SRI軟件是由當(dāng)前被認(rèn)為最嚴(yán)謹(jǐn)?shù)?ADA語言 編制的。 ? 在 SRI軟件運(yùn)行校準(zhǔn)功能時(shí)，要執(zhí)行一些數(shù) 據(jù)轉(zhuǎn)換語句，將一個(gè)變量的 64位浮點(diǎn)值轉(zhuǎn)換成 16位的帶符號(hào)整數(shù)值。 ? 這種轉(zhuǎn)換涉及到的變量中包括 BH，一個(gè)與 水平偏差有關(guān)的量。 怎么發(fā)的炎： ? 影響： ? 由于阿麗亞娜 5軌道的起始部分于阿麗亞娜 4不一樣，水平速度更大，與此相關(guān)聯(lián)的水平偏差 BH比預(yù)想的大得多。 ? 帶符號(hào) 16位整數(shù)的取值范圍是： ＋ 32767 ~ － 32768 ? 當(dāng) 64位浮點(diǎn)數(shù)超出上述范圍時(shí)，就產(chǎn)生一個(gè)運(yùn)算錯(cuò)誤（異常， exception） ADA語言對異常的處理： ? 任何錯(cuò)誤都不放過 ? 出錯(cuò)后，馬上轉(zhuǎn)到本模塊的異常處理部分 根據(jù)異常類型尋求保護(hù)（那里應(yīng)有相應(yīng)的 保護(hù)措施） ? 本模塊中如無保護(hù)，則跳入上一個(gè)模塊（ 調(diào)用本模塊的模塊）尋求保護(hù) ? 上過程循環(huán)至找到保護(hù)或至主程序 ADA 主程序 子程序 1 子程序 2 子模塊 ADA語句 說明 功能語句 異常處理語句 怎么發(fā)的炎： ? 蔓延： ? 阿麗亞娜 5在起飛后， BH值轉(zhuǎn)換時(shí)超限 （需求錯(cuò)） ? SRI中對由 BH引起的超限異常沒有保護(hù) （設(shè)計(jì)錯(cuò)） ? 對 SRI有一項(xiàng)要求：最后出現(xiàn)異常時(shí)（因?yàn)檎J(rèn)為可能的軟件異常都保護(hù)了，所以這些異常?異常），關(guān)機(jī)。 （需求錯(cuò)） 怎么發(fā)的炎： ? 爆發(fā)： ? 異常得不到保護(hù)，引起 SRI2關(guān)機(jī) ? 軟件沒有冗余 （觀念錯(cuò)） ， SRI1同樣關(guān)機(jī) （ SRI1早一個(gè)時(shí)鐘周期就關(guān)機(jī)了） ? SRI向 OBC傳診斷信息，卻被 OBC當(dāng)作了正 常的姿態(tài)信息 （看來還有接口問題，另外 ，OBC應(yīng)檢測出 SRI2故障并切換） ? OBC指令主發(fā)動(dòng)機(jī)和助推器噴管轉(zhuǎn)至極限 怎么發(fā)的炎： ? 結(jié)果： ? 姿態(tài)迅速改變，氣動(dòng)載荷導(dǎo)致火箭解體 ? 解體后，自毀裝置自動(dòng)點(diǎn)火 ? 自毀，爆炸 問題： ? 技術(shù)錯(cuò)誤如前所述，很多很多，有些還 是觀念錯(cuò)誤 ? 評(píng)審、測試沒有查出錯(cuò)誤是錯(cuò)中之錯(cuò) ? 過程的錯(cuò)也反映了管理的錯(cuò) 事故分析 委員會(huì)進(jìn)行調(diào)查的基礎(chǔ)和原始信息： ? 文檔和實(shí)物（未參加 501飛行） ? H0＋ 42秒前地面接收到的遙測數(shù)據(jù) ? 雷達(dá)站的軌道數(shù)據(jù) ? 光學(xué)觀測 ? 回收殘骸 天氣情況： 發(fā)射場的天氣對發(fā)射來說是可接受的，在 運(yùn)載火箭被運(yùn)至發(fā)射臺(tái)時(shí)沒有造成阻礙 。特別是沒有閃電危險(xiǎn)，因?yàn)樵诎l(fā)射場 地所測到的電場強(qiáng)度可以忽略。唯一的 不確定性是能見度標(biāo)準(zhǔn)的履行情況。 后來飛行延遲至預(yù)報(bào)能見度好轉(zhuǎn) （因此天氣不成問題） 起飛情況： 倒計(jì)時(shí)在 H0(主低溫發(fā)動(dòng)機(jī)點(diǎn)火命令 )－ 7 分鐘之前一直順利進(jìn)行， H0－ 7分鐘由 于發(fā)射窗口開始時(shí)刻 (當(dāng)?shù)貢r(shí)間 08h35)不滿足能見度規(guī)定，發(fā)射推遲。后預(yù)報(bào)能見度將好轉(zhuǎn)， H0＝ 09h33mn59s開始發(fā)射。火神發(fā)動(dòng)機(jī)和兩個(gè)助推器正常點(diǎn)火并起飛 （點(diǎn)火、起飛也沒問題） 初步分析： ? 運(yùn)載火箭在 H0＋ 36秒前正常工作； ? 備份慣性制導(dǎo)系統(tǒng) (SRI)先失效后，主 SRI也隨即失效 （遙測數(shù)據(jù)） ； ? 兩個(gè)固體助推器噴管轉(zhuǎn)到極限位置，接著火神發(fā)動(dòng)機(jī)的噴管也轉(zhuǎn)到極限位置，引起運(yùn)載火箭突然轉(zhuǎn)向 （遙測數(shù)據(jù)） ； ? 固體助推器與芯級(jí)的連接斷裂引起運(yùn)載火箭的自毀裝置自動(dòng)點(diǎn)火。 ? 故障的原因很快局限于飛行控制系統(tǒng)，特別是兩個(gè)慣性制導(dǎo)系統(tǒng)，很明顯地在 H0＋ 乎同時(shí)失效。 殘骸回收： ? 從殘骸中找回了兩個(gè) SRI。 ? 特別有用的是主模式工作并停止在后的SRI2，因?yàn)橐恍┡c它有關(guān)的信息未能從遙測數(shù)據(jù)中獲得 (遙測數(shù)據(jù)確定了兩 SRI 中哪一個(gè)首先失效 －對遙測數(shù)據(jù)不滿 )。 ? 該設(shè)備的檢驗(yàn)結(jié)果對分析故障序列是非常有用的。 （個(gè)人認(rèn)為：對故障定位太有用了） 無關(guān)的異常： ? 有些異常在以前試飛時(shí)出現(xiàn)過，被認(rèn)為無關(guān) ? 引起注意異常是控制主發(fā)動(dòng)機(jī)噴管的液壓伺服機(jī)構(gòu)的液壓波動(dòng)，它始于 H0+22 秒并逐漸發(fā)展，變化的頻率約 10Hz。 ? 關(guān)于原因有些初步解釋并正在調(diào)查之中。 ? 委員會(huì)考慮后認(rèn)為該異?，F(xiàn)象雖然重要， 但與阿麗亞娜５ 01故障無關(guān)。 其它： ? ESA在 6月 14日公告：飛行器設(shè)備艙內(nèi)的大部分設(shè)備已被復(fù)原和審查。已經(jīng)顯示在阿麗亞娜 5操作模式中存在與慣性平 臺(tái)有關(guān)的故障。 ? 復(fù)原結(jié)果已報(bào)告故障分析委員會(huì) ? 據(jù)這些信息故障分析委員建立了故障事件鏈及其內(nèi)在聯(lián)系和因果關(guān)系，從火箭自毀開始按時(shí)間追溯到最初起因。 故障事故鏈 ? 運(yùn)載火箭在大約 H0+39秒時(shí)開始解體， 原因是由于攻角大于 20176。 引起了很高的氣動(dòng)載荷，導(dǎo)致了助推級(jí)與主級(jí)分離，繼而運(yùn)載火箭的自毀系統(tǒng)自動(dòng)點(diǎn)火。 ? 可通過遙測數(shù)據(jù)分析獲得 ? 這個(gè)攻角是由于固體助推器和火神主發(fā)動(dòng)機(jī)噴管的極限偏轉(zhuǎn)造成的。 ? 也有遙測數(shù)據(jù)為證 ? 噴管偏轉(zhuǎn)指令由箭載計(jì)算機(jī) (OBC)軟件 根據(jù)主慣性制導(dǎo)系統(tǒng) (SRI2)提供的數(shù)據(jù) 發(fā)出，而該時(shí)刻的部分?jǐn)?shù)據(jù)不含有正常飛行數(shù)據(jù)，表示的是SRI2計(jì)算機(jī)的診斷位模式，但它卻被認(rèn)為是飛行數(shù)據(jù)。 ? 噴管系統(tǒng)的異常被排除了 ? OBC有沒有問題？ ? SRI肯定有問題，遙測說明它關(guān)機(jī)了 ? 以下的分析大概就要靠復(fù)原和仿真了 ? 主 SRI2沒有傳送正確姿態(tài)數(shù)據(jù)的原因是由于軟件上的異常。 ? 這里有疑問的地方很多 疑問 1。 SRI最后向 OBC送了什么？ SRI按需求異常處理不了就停機(jī)。它送的診斷信息應(yīng)包括在接口說明中？ 2。 OBC是否發(fā)現(xiàn)了 SRI的異常？ OBC對 SRI的工作流程應(yīng)該為： 輸入、判別是否異常、異常時(shí)切換