【正文】 BH值比預想的大很多，因為阿麗亞娜５軌道起始部分與阿麗亞娜４不同，存在更大的水平速度值。為什么缺少異常保護？ 3。 這就導致對軟件無冗余 也就導致兩個正常工作的關鍵設備關機 觀念錯誤： ? 軟件在出現(xiàn)錯誤之前總被認為是正確的 ? 除非被嚴格證明，總應假設軟件中含有錯誤。 軟件重用分析： ? 軟件重用分析基于一個錯誤觀點： 除非證明確有必要，要改變阿麗亞娜４中工作良好的軟件是不明智的 ? 即使如此，不對阿麗亞娜 5與阿麗亞娜 4的差異進行全面細致的分析，無疑是完全錯誤的 其它： 報告中對 OBC軟件的不足只字未提，但似乎還有一些疑義： 1。但測試時不考慮一個完整的工作程序，無疑是有欠缺的。 但是 最初計劃以方法 b將 SRI置于回路。 確實是一個非常重要的方法。 分析總結(jié) ，無與故障 有關的事件發(fā)生； ，對故障的 發(fā)生沒有影響。在恢復的設備中有兩個 SRI，它們已用于分 析。 速度逐漸增大的軌道，該水平速度比阿麗亞 娜４的水平速度大 5倍多。假如用了SRI，故障就會被檢查出來。在任何飛行試驗之前必須進行完整的仿真。 ? 驗證軟件中任何內(nèi)部或傳送變量的取值范 圍。改進技術以保持代碼與說明文件相一致； ? 文實一致，永遠是很重要的 ? 配置管理是一種保證方法，但要嚴格執(zhí)行 ? 同時還需要不斷改進和完善 ? 當然，這一切都建立在首先要寫、要按時寫文檔 ? R13. 建立一個小組，他們?yōu)榘Ⅺ悂喣龋禍蕚滂b定軟件的過程，提出確認這一鑒定的嚴格規(guī)則，并保證在阿麗亞娜５中軟件的規(guī)格說明、軟件的驗證和測試，具有一致的高質(zhì)量。軟件技術評審有其特定含義 ? 3。 ? R5. 評審所有飛行軟件 (包括嵌入式軟件 )， 特別是 ? 判別所有在代碼及其說明文件基于設備提 供的數(shù)量值構(gòu)成的隱含假設。 501故障分析委員會的建議 基于分析和結(jié)論，阿麗亞娜 5故障 分析委員會作出如下 14條建議： ? R1. 起飛后立即關掉 SRI的校準功能。 SRI在技術上 是可行的。采取這一設計決定時，沒有分析或完全理解當在起飛后校準軟件操作時，這個特殊變量會取那些值。 ，主 SRI實際上是傳送診斷信息給運載火箭主計算機，這些信息被當作了飛行數(shù)據(jù)并用于飛行控制計算。 評審完 其它推論： 報告中似乎對 ESA的軟件開發(fā)方法有疑義，有可能是針對開發(fā)過程及過程控制的 這與前面其它問題一起，可以看出，管理上還是有問題的。 測試完 評審的問題： 報告中對評審著墨不多 （可能是評審的技術性太強，不易量化和控制。第二種方法便宜，其性能主要依賴于仿真精度。鑒定測試 2。但缺乏對驗收測試和環(huán)境約束的明確規(guī)定。 觀念錯誤： 傳統(tǒng)思想：只注意硬件隨機故障。其它可能的缺陷 阿麗亞娜 4的問題主要為： 1。 ? 盲目重用、過分強調(diào)控制技術狀態(tài)更改 ? 由于一個稱為 BH(水平偏差 )的內(nèi)部校準功能結(jié)果的值出乎意料的大，運算錯誤就出現(xiàn)了。 ? 為什么 SRI1早一個周期停機？ ? 有專家說： SRI1和 SRI2中各有備份的敏感設備，其測量是有誤差的。 ? 也有遙測數(shù)據(jù)為證 ? 噴管偏轉(zhuǎn)指令由箭載計算機 (OBC)軟件 根據(jù)主慣性制導系統(tǒng) (SRI2)提供的數(shù)據(jù) 發(fā)出，而該時刻的部分數(shù)據(jù)不含有正常飛行數(shù)據(jù)，表示的是SRI2計算機的診斷位模式，但它卻被認為是飛行數(shù)據(jù)。 ? 關于原因有些初步解釋并正在調(diào)查之中。 后來飛行延遲至預報能見度好轉(zhuǎn) （因此天氣不成問題） 起飛情況： 倒計時在 H0(主低溫發(fā)動機點火命令 )－ 7 分鐘之前一直順利進行， H0－ 7分鐘由 于發(fā)射窗口開始時刻 (當?shù)貢r間 08h35)不滿足能見度規(guī)定，發(fā)射推遲。為什么沒有查出這段 “ 盲腸 ” 在阿麗亞娜 5會 “ 發(fā)炎 ” ？ 怎么發(fā)的炎？ ? 根源： ? SRI軟件是由當前被認為最嚴謹?shù)?ADA語言 編制的。 有兩個硬件和軟件完全一樣的 SRI并行工作。建立調(diào)查委員會 調(diào)查委員會被授權(quán) — 確定發(fā)射故障的原因； — 調(diào)查與所發(fā)生問題有關連的鑒定測試和驗收測試是否適合； — 提出糾正措施，以排除異常起因及事故中發(fā)現(xiàn)的系統(tǒng)的其它弱處。 計劃中的第二次飛行已經(jīng)安排在數(shù)月后進行。 對這個全新的設計，運載火箭使用了威力十倍于 阿麗亞娜 4的發(fā)動機。他們被要求在七月中旬提交一份完全獨立的，報告，確定事故的原因，提出為避免如何進一步的事故而設計的修正建議。信息的丟失是由于 SRI軟件的規(guī)格說明和設計錯誤引起的 ? 描述導致失敗的錯誤、產(chǎn)生錯誤的原因 ? 在阿麗亞娜５研制過程中進行的廣泛評審和測試未包括對 SRI或完整的飛行控 制系統(tǒng)進行充分的分析和測試，而這樣的測試是能夠查出潛在的故障的。 ? 同樣有兩個 OBC，飛行控制系統(tǒng)中還有很 多設備都是雙備份的。 怎么發(fā)的炎： ? 影響： ? 由于阿麗亞娜 5軌道的起始部分于阿麗亞娜 4不一樣，水平速度更大，與此相關聯(lián)的水平偏差 BH比預想的大得多。 ? 故障的原因很快局限于飛行控制系統(tǒng)，特別是兩個慣性制導系統(tǒng)，很明顯地在 H0＋ 乎同時失效。已經(jīng)顯示在阿麗亞娜 5操作模式中存在與慣性平 臺有關的故障。 SRI最后向 OBC送了什么？ SRI按需求異常處理不了就停機。被轉(zhuǎn)換的浮點數(shù)值大于 16位帶符號整數(shù)可表達的值，這就導致了一個運算錯誤。 ? 沒有認識到，或不負責任地忽略 產(chǎn)生故障的原因 錯誤的產(chǎn)生包括兩個部分： ? 開發(fā)：為什么要這樣編？ ? 檢測：評審和檢查為什么沒有發(fā)現(xiàn)？ 軟件開發(fā)方面： ? 從全報告看，故障分析委員會試圖對事不對人，只對阿麗亞娜５的故障發(fā)表看法。為什么關機？ 為什么有功能多余物？ 很奇怪，報告只說了校準功能為什么要延長，卻沒有說為什么要延長到點火后的50秒，而不在點火時終止？ 可能是很難辦，如得不到準確點火時間 否則就是一個大失誤 為什么缺少異常保護？ 異常有很多類，除自定義的異常外， ADA支持五種預定義異常：約束異常、數(shù)值異常、程序異常、存儲異常、任務異常 這里出現(xiàn)的轉(zhuǎn)換異?？珊跀?shù)值異常中。 ? 在設計時應考慮到軟件會有異常（允許它出錯并對此預防），有時必須假定它就有錯并對此進行保護。接口問題 2。盡管沒要求 控制系統(tǒng)鑒定測試（沒太多地說） ? 難道控制系統(tǒng)的規(guī)格說明中也沒有提針對阿麗亞娜 5軌道的需求？ ? 控制系統(tǒng)集成后的確認測試