【正文】 建議 基于分析和結(jié)論，阿麗亞娜 5故障 分析委員會(huì)作出如下 14條建議： ? R1. 起飛后立即關(guān)掉 SRI的校準(zhǔn)功能。 ? 這一條應(yīng)作為通用的設(shè)計(jì)規(guī)范 ? 以后就不用每次都要求在規(guī)格說明中寫明確了 ? 事實(shí)上這是最低、最基本的要求，不知怎么給丟了 ? R3. 不允許任何敏感器，如 SRI，停止傳送 正確的數(shù)據(jù)； ? 應(yīng)該是對(duì)軟件錯(cuò)誤，應(yīng)作處理，而不去關(guān)機(jī) ? 如是硬件錯(cuò)誤，也只好關(guān)機(jī) ? 本質(zhì)上是應(yīng)允許軟件出錯(cuò)，并對(duì)此進(jìn)行預(yù)防、處理和保護(hù) ? 還有，軟件也要冗余，以保護(hù)意想不到的錯(cuò)誤 ? R4. 對(duì)每一個(gè)與軟件一體的設(shè)備項(xiàng)目，組織一個(gè)專門的軟件鑒定評(píng)審。 ? R5. 評(píng)審所有飛行軟件 (包括嵌入式軟件 )， 特別是 ? 判別所有在代碼及其說明文件基于設(shè)備提 供的數(shù)量值構(gòu)成的隱含假設(shè)。 ? 這些具體的要求應(yīng)納入技術(shù)評(píng)審、走查、審查的檢查單 ? 同時(shí)也應(yīng)納入可靠性設(shè)計(jì)指南 ? 對(duì)此在評(píng)審中嚴(yán)格檢查 ? 對(duì)評(píng)審的要求要規(guī)范化 ? R6. 若技術(shù)上可行，應(yīng)考慮將異常限制在任務(wù)和設(shè)備備份能力之內(nèi)； ? 將自身的異常處理本身就當(dāng)作一項(xiàng)任務(wù)和需求 ? 還要考慮備份－－軟件冗余 ? R7. 為遙測(cè)提供較多的關(guān)于元部件故障數(shù)據(jù)，以降低回收設(shè)備的必要性； ? 看的出，他們對(duì)遙測(cè)不滿意 ? 遙測(cè)應(yīng)立足于在失敗后能提供故障分析的足夠數(shù)據(jù) ? 首先假設(shè)：飛行失敗 ? R8. 重新考慮關(guān)鍵部件的定義，把軟件引起的故障考慮進(jìn)去 (特別是單點(diǎn)失效 )。軟件技術(shù)評(píng)審有其特定含義 ? 3。要達(dá)到系統(tǒng)協(xié)調(diào)，需要在合作伙伴間具有緊密的工程合作、明確的責(zé)任和權(quán)力劃分、以及簡單又明確的界面關(guān)系。改進(jìn)技術(shù)以保持代碼與說明文件相一致； ? 文實(shí)一致，永遠(yuǎn)是很重要的 ? 配置管理是一種保證方法，但要嚴(yán)格執(zhí)行 ? 同時(shí)還需要不斷改進(jìn)和完善 ? 當(dāng)然，這一切都建立在首先要寫、要按時(shí)寫文檔 ? R13. 建立一個(gè)小組，他們?yōu)榘Ⅺ悂喣龋禍?zhǔn)備鑒定軟件的過程，提出確認(rèn)這一鑒定的嚴(yán)格規(guī)則，并保證在阿麗亞娜５中軟件的規(guī)格說明、軟件的驗(yàn)證和測(cè)試，具有一致的高質(zhì)量。確 保這些評(píng)審考慮了論據(jù)本身，而不是檢查已作完的驗(yàn)證工作； ? 1。 ? 驗(yàn)證軟件中任何內(nèi)部或傳送變量的取值范 圍。所有該設(shè)備的使用限制應(yīng)當(dāng)向評(píng)審委員會(huì)明確、顯式地報(bào)告。在任何飛行試驗(yàn)之前必須進(jìn)行完整的仿真。信息的丟失是由于 SRI 軟件的規(guī)格說明和設(shè)計(jì)錯(cuò)誤引起的。假如用了SRI，故障就會(huì)被檢查出來。 阿麗亞娜５軌道數(shù)據(jù)。 速度逐漸增大的軌道，該水平速度比阿麗亞 娜４的水平速度大 5倍多。 n. 在用于阿麗亞娜４和 5的 SRI軟件設(shè)計(jì)中，采取了一個(gè)決定，即不必對(duì) SRI計(jì)算機(jī)由于與水平速度相關(guān)的變量值過大而產(chǎn)生的不可操作進(jìn)行保護(hù)。在恢復(fù)的設(shè)備中有兩個(gè) SRI，它們已用于分 析。這是由于一個(gè)與運(yùn)載火箭水平速度有關(guān)的內(nèi)部變量超過計(jì)算機(jī)軟件要求的限制值引起的 ，硬件、軟件與備份系統(tǒng)一 樣的主SRI由于同樣的原因失效。 分析總結(jié) ，無與故障 有關(guān)的事件發(fā)生； ，對(duì)故障的 發(fā)生沒有影響。沒認(rèn)識(shí)到測(cè)試覆蓋不能充分暴露這種軟件上的限制問題，也沒認(rèn)識(shí)到在飛行中允許校準(zhǔn)軟件工作可能造成的牽連影響。 確實(shí)是一個(gè)非常重要的方法。 盡管希望得到高精度的仿真，但顯然以犧牲精 度來達(dá)到其它目標(biāo)更可取，其中包括檢驗(yàn)設(shè) 備例如 SRI的系統(tǒng)綜合性能。 但是 最初計(jì)劃以方法 b將 SRI置于回路。 不理解： ? 阿麗亞娜 5的 SRI的問題是在阿麗亞娜 5 正常飛行時(shí)就會(huì)發(fā)生的問題 ? 為什么 SRI、控制系統(tǒng)等層層的測(cè)試就 沒有一次是針對(duì)阿麗亞娜 5完整的飛行 全過程的？ ? 可能這樣的測(cè)試都要寫在規(guī)格說明中，這樣的話，對(duì)規(guī)格說明的忽略就是規(guī)范、管理的大問題了 仿真測(cè)試： ? 阿麗亞娜 5的仿真測(cè)試是驗(yàn)證系統(tǒng)的性 能、功能、協(xié)調(diào)性 ? 不一定所有設(shè)備都用實(shí)物，但關(guān)鍵設(shè)備應(yīng)置于回路 ? SRI由于其重要性，在開始是被要求置 于回路的 將 SRI置于回路有兩種方法： (用于激勵(lì)環(huán)形激光陀螺 )，用仿真的方法通過一個(gè)專用測(cè)試輸入接插件和一個(gè)專門為此設(shè)計(jì)的電路板來代替加速度表的模擬量輸出，這種方法與在設(shè)備層測(cè)試時(shí)提到的方法相似 ，通過一個(gè)專用測(cè)試 輸入接口來代替加速度表和環(huán)形激光陀螺二者的模擬量輸出。但測(cè)試時(shí)不考慮一個(gè)完整的工作程序，無疑是有欠缺的。輸出的合理性分析及切換 開發(fā)問題完 評(píng)審與測(cè)試： 在前面的假設(shè)下，估計(jì) SRI軟件是這樣形 成的： ? 首先有 SRI（含軟硬件）的規(guī)格說明（ 無阿麗亞娜 4的附加需求，但也無針對(duì) 阿麗亞娜 5的測(cè)試要求和操作限制） ? SRI分包商基于繼承性，決定重用阿麗 亞娜 4的 SRI軟件，至少對(duì)該決定的評(píng)審是不充分的 ? 之后進(jìn)行的一系列測(cè)試，一方面是由于規(guī)格說明中沒有明確規(guī)定，另一方面是自身也沒有主動(dòng)去求細(xì)求全，再有一些觀念問題（后面分析），總之，是不充分的。 軟件重用分析： ? 軟件重用分析基于一個(gè)錯(cuò)誤觀點(diǎn)： 除非證明確有必要，要改變阿麗亞娜４中工作良好的軟件是不明智的 ? 即使如此，不對(duì)阿麗亞娜 5與阿麗亞娜 4的差異進(jìn)行全面細(xì)致的分析，無疑是完全錯(cuò)誤的 其它： 報(bào)告中對(duì) OBC軟件的不足只字未提，但似乎還有一些疑義： 1。 阿麗亞娜 5的問題： ? 整個(gè)報(bào)告中對(duì) SRI軟件功能和設(shè)計(jì)中的 問題都是針對(duì)阿麗亞娜 4的 SRI軟件的 ? 報(bào)告中介紹：阿麗亞娜 5和阿麗亞娜 4的SRI軟件完全一樣 ? 報(bào)告把重點(diǎn)放在為什么阿麗亞娜 5的檢 測(cè)沒有發(fā)現(xiàn)問題 因此 ... 懷疑： 阿麗亞娜 5的 SRI軟件是在一個(gè)不充分的分析、評(píng)審下，決定完全重用阿麗亞娜 4 的 SRI軟件的。 這就導(dǎo)致對(duì)軟件無冗余 也就導(dǎo)致兩個(gè)正常工作的關(guān)鍵設(shè)備關(guān)機(jī) 觀念錯(cuò)誤： ? 軟件在出現(xiàn)錯(cuò)誤之前總被認(rèn)為是正確的 ? 除非被嚴(yán)格證明，總應(yīng)假設(shè)軟件中含有錯(cuò)誤。 對(duì) BH，在阿麗亞娜 5肯定錯(cuò)了，在阿麗亞娜 4也危險(xiǎn) （什么是充足？） 但該決定卻被各方認(rèn)可 （懷疑也有走過場(chǎng)，或被不嚴(yán)謹(jǐn)?shù)姆治鏊煜? 為什么關(guān)機(jī)？ ? 運(yùn)算出錯(cuò)，如妥善處理，不一定就會(huì)造成飛行失敗 ? 可怕的是在異常處理的規(guī)格說明中規(guī)定：故障在數(shù)據(jù)總線上應(yīng)該指示出來，故障的來龍去脈也應(yīng)該貯存在 EEPROM貯存器中，最后 SRI處理器應(yīng)關(guān)機(jī) ? 這個(gè)決定是致命的，重新啟動(dòng)是不可能的 為什么關(guān)機(jī)？ ? 上述決定是建立在自