北京理工軟件工程實踐：軟件工程實踐16a-wenkub
2022-10-28 17:08:00 本頁面
【正文】 ? 指出錯誤沒有在事先被發(fā)現的原因 ? 下面詳細描述一下導致失敗的錯誤 ? 如何分析和發(fā)現錯誤并準確定位，在下一部分討論 ? 在再下一部分討論產生錯誤的原因 涉及故障的幾個部件： ? SRI1和 SRI2：雙備份的慣性制導系統(tǒng) ? OBC：箭載計算機 ? 火神發(fā)動機 ? 固體助推器 ? 阿麗亞娜５的飛行控制系統(tǒng)是一個標準設計。 有兩個硬件和軟件完全一樣的 SRI并行工作。 ? SRI和 OBC都只是硬件冗余！ 涉及故障的部件關系 SRI 2 SRI 1 OBC 備份 OBC 火神發(fā)動機 固體助推器 固體助推器 SRI的理想工作時序（軟件實現） 校準 制導 （飛行模式） 起飛時刻 但阿麗亞娜 4因其它原因給 SRI加了新功能 （阿麗亞娜 5的 SRI軟件是阿麗亞娜 2的重用） ? 背景： ? SRI飛行模式啟動前－ 9至－ 5秒，倒計時在 極少的情況下會停頓 ? 重新啟動火箭要化幾個小時 ? 而地面恢復控制需約幾十秒 ? 由此：要求 SRI不斷重校準至恢復控制 （ 50秒內） 阿麗亞娜 4對 SRI軟件的設計 不出現停頓時： 校準 制導 0秒 50秒 起飛時刻 阿麗亞娜 4對 SRI軟件的設計 出現停頓時： 0秒 50秒 起飛 倒計時停頓 問題（對阿麗亞娜 4） ? ？ ? 目前普遍認為，對關鍵系統(tǒng)，能用硬件實 現的功能盡量用硬件實現。為什么沒有查出這段 “ 盲腸 ” 在阿麗亞娜 5會 “ 發(fā)炎 ” ？ 怎么發(fā)的炎？ ? 根源： ? SRI軟件是由當前被認為最嚴謹的 ADA語言 編制的。 ? 帶符號 16位整數的取值范圍是： ＋ 32767 ~ － 32768 ? 當 64位浮點數超出上述范圍時，就產生一個運算錯誤（異常， exception） ADA語言對異常的處理： ? 任何錯誤都不放過 ? 出錯后，馬上轉到本模塊的異常處理部分 根據異常類型尋求保護（那里應有相應的 保護措施） ? 本模塊中如無保護，則跳入上一個模塊（ 調用本模塊的模塊）尋求保護 ? 上過程循環(huán)至找到保護或至主程序 ADA 主程序 子程序 1 子程序 2 子模塊 ADA語句 說明 功能語句 異常處理語句 怎么發(fā)的炎： ? 蔓延： ? 阿麗亞娜 5在起飛后， BH值轉換時超限 （需求錯） ? SRI中對由 BH引起的超限異常沒有保護 （設計錯） ? 對 SRI有一項要求：最后出現異常時（因為認為可能的軟件異常都保護了，所以這些異常?異常），關機。 后來飛行延遲至預報能見度好轉 （因此天氣不成問題） 起飛情況： 倒計時在 H0(主低溫發(fā)動機點火命令 )－ 7 分鐘之前一直順利進行， H0－ 7分鐘由 于發(fā)射窗口開始時刻 (當地時間 08h35)不滿足能見度規(guī)定，發(fā)射推遲。 殘骸回收： ? 從殘骸中找回了兩個 SRI。 ? 關于原因有些初步解釋并正在調查之中。 ? 復原結果已報告故障分析委員會 ? 據這些信息故障分析委員建立了故障事件鏈及其內在聯系和因果關系，從火箭自毀開始按時間追溯到最初起因。 ? 也有遙測數據為證 ? 噴管偏轉指令由箭載計算機 (OBC)軟件 根據主慣性制導系統(tǒng) (SRI2)提供的數據 發(fā)出，而該時刻的部分數據不含有正常飛行數據，表示的是SRI2計算機的診斷位模式，但它卻被認為是飛行數據。它送的診斷信息應包括在接口說明中？ 2。 ? 為什么 SRI1早一個周期停機？ ? 有專家說： SRI1和 SRI2中各有備份的敏感設備，其測量是有誤差的。雖然在代碼中同一位置的其它變量轉換被保護了，但是這個數據轉換指令 (Ada語言 )運算數錯誤沒有被保護。 ? 盲目重用、過分強調控制技術狀態(tài)更改 ? 由于一個稱為 BH(水平偏差 )的內部校準功能結果的值出乎意料的大，運算錯誤就出現了。 （這也帶來了一些含糊） ? 故障分析委員會避開了阿麗亞娜４的問題 ? 但這是避不開的 對開發(fā)的全面分析可考慮這幾個方面： 1。其它可能的缺陷 阿麗亞娜 4的問題主要為： 1。 阿麗亞娜 4似乎考慮到了這些異常 －這可 能與 Ada的嚴格和可靠性設計要求有關 為什么缺少異常保護？ ? 七個變量在浮點數向整數轉換時有危險 ? 保護了四個 ? 不全保護是因為 SRI已占其能力的 80％ 有異議 異議 ? 保護工作在不出異常時不占多少資源 ? 不保護，難道在真出現異常時還去為了保護余量而死機嗎？（這是軟件問題，軟件沒有冗余，要死全死） 為什么缺少異常保護？ 異常是否保護的決定不嚴謹。 觀念錯誤： 傳統(tǒng)思想：只注意硬件隨機故障。以此來保護系統(tǒng)正常工作。但缺乏對驗收測試和環(huán)境約束的明確規(guī)定。對 SRI的切換控制 3。鑒定測試 2。 委員會認為： ? 委員會已注意到 SRI的系統(tǒng)規(guī)格說明沒有 指明對所選用實現方案的操作限制。第二種方法便宜，其性能主要依賴于仿真精度。 委員會認為： 系統(tǒng)仿真測試的目的不僅要檢驗接口，還要把 系統(tǒng)作為完成特定用途的一個整體來檢驗。 測試完 評審的問題： 報告中對評審著墨不多 （可能是評審的技術性太強，不易量化和控制。 ? 在一個如此規(guī)模的研制計劃中，在評審過程中確實已成功地解決了數千個問題和潛在故障，但 ... 評審： ? 但顯然不容易檢測出象引起阿麗亞娜 501故障的主要技術原因這種類型的軟 件設計錯誤。 評審完 其它推論： 報告中似乎對 ESA的軟件開發(fā)方法有疑義，有可能是針對開發(fā)過程及過程控制的 這與前面其它問題一起，可以看出，管理上還是有問題的。推進器性能滿足規(guī)格說明的要求 22秒，控制主發(fā)動機噴管的液壓伺服機構開始出現頻率為 10Hz的壓力變化。 ，主 SRI實際上是傳送診斷信息給運載火箭主計算機，這些信息被當作了飛行數據并用于飛行控制計算。在 SRI計算機中產生停 機的軟件部分在發(fā)射前用于校準 SRI， 阿麗亞娜４在倒計時停頓情況下同時保證可迅速地對系統(tǒng)再校準。采取這一設計決定時，沒有分析或完全理解當在起飛后校準軟件操作時，這個特殊變量會取那些值。 加的評審過程的目的是確認設計，并通過飛 行試驗資格。 SRI在技術上 是可行的。這些仿真真實地再現了導 致 SRI故障的事件鏈。 501故障分析委員會的
法律信息相關推薦
鄂ICP備17016276號-1