【正文】 有獨(dú)立專家參加評審（專心找錯(cuò)誤） ? R10. 在規(guī)格說明和測試需求中包括軌道數(shù)據(jù) ? 虧吃得太大了 ? 有必要通過兩條渠道去提 ? R11. 評審現(xiàn)有設(shè)備的測試覆蓋率，在認(rèn)為必要時(shí)將其擴(kuò)展； ? 按規(guī)范，所有測試都應(yīng)該進(jìn)行測試計(jì)劃、測試完成兩次評審，其中就應(yīng)該包括測試的充分性和測試覆蓋率 ? 看來嚴(yán)格執(zhí)行規(guī)范在 ESA也是一個(gè)問題 ? R12. 給說明文件與代碼同等的重視程度。檢查這些假 設(shè)是否超出該設(shè)備的使用限制。更一 般地說，一切不是飛行所必需的軟件功能，都不能在飛行時(shí)運(yùn)行； ? 剔除直接原因 ? 多余物不要 ? R2. 對準(zhǔn)備的測試設(shè)備，在技術(shù)可行的條件下盡可能多地包括真實(shí)儀器，引入真實(shí)的輸入數(shù)據(jù)，進(jìn)行完整的、閉環(huán)的、系統(tǒng)的測試。基于一些原因，決定使用 SRI的模擬輸出，而不是 SRI本身或其詳細(xì)的仿真模型。 SRI ，由于在飛行前 40秒中軌道與水平速度相關(guān) 的那個(gè)變量沒有達(dá)到軟件中給出的限定值，有足夠的操作裕量，所以沒有出現(xiàn)故障。 ，主計(jì)算機(jī)控制助推器噴管，以及稍后的主發(fā)動機(jī)噴管，去對并未出現(xiàn)的姿 態(tài)偏差作了大的校正； ，由于氣動載荷導(dǎo)致運(yùn)載火箭在 H0后 39秒產(chǎn)生解體； ，在 4Km高度，離發(fā)射臺的 1Km處，按照設(shè)計(jì)，自毀裝置自動點(diǎn)火； 5 。 許多問題最后都會與管理不足有關(guān)。這也是軟件工程技術(shù)正發(fā)展的方向） ，但也承認(rèn)評審是一個(gè)最重要的方法。兩種情況的大部分電子設(shè)備和全部軟件都在真實(shí)的操作環(huán)境中進(jìn)行測試。仿真測試 鑒定（ Qualification）測試： 阿麗亞娜 5控制系統(tǒng)的鑒定測試包括： 設(shè)備鑒定 （ SRI應(yīng)是控制系統(tǒng)的有關(guān)設(shè)備） 軟件鑒定 (OBC軟件 ) 各級綜合 系統(tǒng)確認(rèn)測試 SRI的鑒定測試： ? SRI也應(yīng)按硬、軟、組裝、綜合來測試 ? SRI的規(guī)格說明沒有給全測試要求 ? 供應(yīng)商進(jìn)行了嚴(yán)格的測試，沒有主動地充分測試，而充分的測試可以發(fā)現(xiàn)故障 鑒定測試驗(yàn)證是否完成任務(wù)，以規(guī)格說明為依據(jù)。 ? 這就是有關(guān)規(guī)范和標(biāo)準(zhǔn)不全或沒有被嚴(yán)格執(zhí)行、評審不充分的問題。從這個(gè)觀點(diǎn)出發(fā)，異?；蝈e(cuò)誤處理機(jī)制是為硬件隨機(jī)故障設(shè)計(jì)的，硬件隨機(jī)故障通過備份系統(tǒng)是能夠得到解決。為什么有功能多余物？ 2。這個(gè)水平偏差是與平臺敏感到的水平速度是相關(guān)聯(lián)的，它的計(jì)算值表示了隨時(shí)間變化的校準(zhǔn)精度?？赡苌弦恢芷?BH在邊緣， SRI2中沒有超 限，而 SRI1中超限了。 ? 噴管系統(tǒng)的異常被排除了 ? OBC有沒有問題？ ? SRI肯定有問題，遙測說明它關(guān)機(jī)了 ? 以下的分析大概就要靠復(fù)原和仿真了 ? 主 SRI2沒有傳送正確姿態(tài)數(shù)據(jù)的原因是由于軟件上的異常。 ? 委員會考慮后認(rèn)為該異?，F(xiàn)象雖然重要， 但與阿麗亞娜５ 01故障無關(guān)。后預(yù)報(bào)能見度將好轉(zhuǎn)， H0＝ 09h33mn59s開始發(fā)射。 ? 在 SRI軟件運(yùn)行校準(zhǔn)功能時(shí)，要執(zhí)行一些數(shù) 據(jù)轉(zhuǎn)換語句，將一個(gè)變量的 64位浮點(diǎn)值轉(zhuǎn)換成 16位的帶符號整數(shù)值。以一個(gè) SRI為主，另一個(gè)作為 “ 熱 ” 備份。 ? 委員會在技術(shù)顧問委員會的協(xié)助下，可接觸委員會需要的所有人員、文檔、硬件設(shè)備。在此之前，將盡一切力量去查找事故原因，并進(jìn)行必要的更正以保證第二次試驗(yàn)的成功。北京理工大學(xué) 軟件工程實(shí)踐 湯銘端 中國航天科工集團(tuán)公司 204所 第十六講 歐洲宇航局（ ESA）阿麗亞娜 5 501飛行失敗案例分析 阿麗亞娜 5 501飛行故障分析報(bào)告 說明 ? 分析和報(bào)告主要基于 ESA的報(bào)告 匯報(bào)分六個(gè)部分： ? 501飛行 ? 事故描述 ? 事故分析 ? 產(chǎn)生故障的原因 ? 501故障分析委員會的建議 501飛行 ? 阿麗亞娜 5的 501飛行：阿麗亞娜 5的首 次鑒定（ qualification)飛行 ? 這樣的飛行計(jì)劃安排三次 ? 飛行在 Guiana空間中心進(jìn)行 ? 阿麗亞娜 5計(jì)劃由 ESA授權(quán) CNES（法國 航天局）進(jìn)行管理 ? 主要元部件于 2月 14日到達(dá) Kourou ? 2月 19日和 20日在 CNES進(jìn)行了 501飛行 的飛行就緒評審（ Flight Readiness Review） ? 在對組成火箭的硬件的質(zhì)量與配置進(jìn)行了仔細(xì)試驗(yàn)后，準(zhǔn)許啟動 501飛行戰(zhàn)役 ? 501飛行戰(zhàn)役于 1996年 3月 4日開始 ? 如一切順利，計(jì)劃在 1996年 5月 15日 起飛 ? 其間，由于衛(wèi)星安裝后延，起飛時(shí)間調(diào)整為 5月 30日 ? 5月 25日，在燃料過氧化氮（ N204）的 加注階段出現(xiàn)故障，起飛再次延遲 ? 在 5月 30日和 31日進(jìn)行起飛就緒評審 （ launcher Readiness Review） ? 起飛在 6月 4日 Kourou時(shí)間 08:35至 10:15 進(jìn)行 飛行失敗 ESA/CNES 6月 4日公告 阿麗亞娜 5的首次飛行沒能確認(rèn)歐洲的新型運(yùn)載火箭 這是一個(gè)全新運(yùn)載器的首次飛行，它的每一個(gè)部 件在過去的年月里都在地面被測試。在以后的數(shù)天里將組成一個(gè)調(diào)查委員會。 ? 在七月中旬提交報(bào)告 ? 7月 23日 ESA公布了調(diào)查結(jié)果 ? 7月 25日獲得了 “ 501飛行故障 ” 報(bào)告 ARIANE 5 Flight 501 Failure ? 我們的討論基于這份報(bào)告 ? 另有一份嚴(yán)格限制傳閱的技術(shù)報(bào)告無法獲得 事故描述 ? 阿麗亞娜 501的故障是由于主發(fā)動機(jī)點(diǎn) 火后 37秒 (起飛后 30秒 )制導(dǎo)和姿態(tài)信息 完全丟失造成的。如果OBC檢測到主 SRI出現(xiàn)故障，則立即切換到另一個(gè) SRI，保證該單元正常工作。 ? 這種轉(zhuǎn)換涉及到的變量中包括 BH，一個(gè)與 水平偏差有關(guān)的量?；鹕癜l(fā)動機(jī)和兩個(gè)助推器正常點(diǎn)火并起飛 （點(diǎn)火、起飛也沒問題） 初步分析： ? 運(yùn)載火箭在 H0＋ 36秒前正常工作； ? 備份慣性制導(dǎo)系統(tǒng) (SRI)先失效后，主 SRI也隨即失效 （遙測數(shù)據(jù)） ； ? 兩個(gè)固體助推器噴管轉(zhuǎn)到極限位置，接著火神發(fā)動機(jī)的噴管也轉(zhuǎn)到極限位置，引起運(yùn)載火箭突然轉(zhuǎn)向 （遙測數(shù)據(jù)） ； ? 固體助推器與芯級的連接斷裂引起運(yùn)載火箭的自毀裝置自動點(diǎn)火。 其它： ? ESA在 6月 14日公告：飛行器設(shè)備艙內(nèi)的大部分設(shè)備已被復(fù)原和審查。 ? 這里有疑問的地方很多 疑問 1。 ? 內(nèi)部 SRI軟件異常是由執(zhí)行從 64位浮點(diǎn) 數(shù)向 16位帶符號整數(shù)轉(zhuǎn)換時(shí)引起的。 ? 出現(xiàn)了新情況、新問題 ?