【正文】 不包括對飛行全過程的試驗是不可理解的。 但最后還是用模擬軟件代替了 SRI 只是為了檢驗 OBC和 SRI的協調性，用真 實的 SRI進行了一些開環(huán)試驗 不用真實 SRI的理由： ● 單機 SRI在設備層認為是完全合格的 ●箭載計算機導航軟件的精度主要取決于 SRI測量精度，在 ISF中這個精度不能通過電子線路 產生測試信號來達到 ●故障模式的仿真不可能采用實際設備，而只 采用模型 ● SRI的周期是 1ms，而在 ISF中仿真的周期是 6ms，這樣增加了接口電路的復雜性，從而可能影響仿真精度。 評審： ? 防止故障的一個最重要方法是評審 ? 評審是設計和鑒定過程中的一個組成部分，是在所有層次上必須進行的一項工作，它涉及所有參與工程的各方 (也包括外界專家 )。未發(fā)現外部關聯因素； ，環(huán)境 (噪聲和振動 )對運載火箭和有效載荷的影響與事故無關。 ?，F象，調查后表明它們與事故無關 SRI與現應用于阿麗亞娜 ４的基本一樣。在 40秒內，阿麗亞娜５產生的高水平速度超過限值，該值引起 SRI計算機停止 工作。 SRI的軟件和模擬環(huán)境的計算 機上進行，包括了從阿麗亞娜５ 01飛行得到 的實際軌道數據。必須達到大的測試覆蓋率。 ? 對箭載計算機軟件，尤其是其轉換處的潛 在問題，應有項目組提出解決的方法，并 經一組外部專家評審，這些專家應向箭載 計算機鑒定委員會作出報告。要考慮將外部 RAMS專家包括進來； ? 成立專門的 QA（質量保證）小組 ? R14. 在阿麗亞娜５研制中必須考慮工作伙伴間更為透明的合作組織結構。評審不能走過場 ? 2。把所有關鍵軟件作為一個配置控制項目 (CCI)； ? 一是評審要全面、明確 ? 第二很重要，不僅要把軟件當作產品，關鍵軟件還要嚴格控制。 ? 在阿麗亞娜５研制過程中進行的廣泛評審和測試未包括對 SRI或完整的飛行控制 系統進行充分的分析和測試，而這樣的測試是能夠查出潛在的故障的。因而沒有在模擬阿麗 亞娜５飛行條件下測試重新校準功能，設計 錯誤沒被發(fā)現。而對校準軟件的其它幾個變量提供了保護。由于 備份 SRI已經不可操作，以至不能繼續(xù) 獲得正確的制導和姿控信息，不可避免地喪失這次飛行任務。 ? 在這些方面，評審過程是這次故障的一個責任因素。制導系統的精度可通過分析和計算機仿真來得到驗證。 第一種方法可進行高精度仿真 (在三軸轉 臺帶寬限制內 )，費用昂貴。 測試問題： 考慮到 SRI軟件的重用，有兩類測試可以 發(fā)現故障： 1。（可能連軟件的需求分 析都沒有重做） 因此阿麗亞娜 5的問題可能就是：系統規(guī) 格說明不全、軟件重用分析不細、評審和測試問題 阿麗亞娜 5： ? 不能相信阿麗亞娜 5對 SRI的規(guī)格說明會和阿麗亞娜 4完全一樣，多余的功能肯 定不會有了。 ? 這是由嚴重的觀念錯誤造成的。系統和觀念的問題 4。這個時序是根據阿麗亞娜４的要求制定的，但阿麗亞娜５沒有此要求。 ? 當然，致命的是 SRI軟件無冗余和停機 ? OBC不能切換到備份 SRI1，由于與 SRI2一樣的原因，在前一數據周期 (72ms)， SRI1已經停止了工作。 ? 可通過遙測數據分析獲得 ? 這個攻角是由于固體助推器和火神主發(fā)動機噴管的極限偏轉造成的。 （個人認為：對故障定位太有用了） 無關的異常： ? 有些異常在以前試飛時出現過，被認為無關 ? 引起注意異常是控制主發(fā)動機噴管的液壓伺服機構的液壓波動，它始于 H0+22 秒并逐漸發(fā)展，變化的頻率約 10Hz。唯一的 不確定性是能見度標準的履行情況。為什么阿麗亞娜 5的 SRI軟件還有功能多余物？ ? 2。 ? 為了提高可靠性，在設備層有不少冗余。加強對所有火箭部件的起飛鑒定評 審的調查權力，特別要進行一些特殊的審查 2。一個飛行 器的能力只能在真實條件下飛行后才能被確定。其電子中樞的威力比以前 阿麗亞娜運載火箭的百倍還要強。 阿麗亞娜 5是歐洲航天事業(yè)的一項主要挑戰(zhàn)。 ? 指出錯誤沒有在事先被發(fā)現的原因 ? 下面詳細描述一下導致失敗的錯誤 ? 如何分析和發(fā)現錯誤并準確定位，在下一部分討論 ? 在再下一部分討論產生錯誤的原因 涉及故障的幾個部件： ? SRI1和 SRI2：雙備份的慣性制導系統 ? OBC：箭載計算機 ? 火神發(fā)動機 ? 固體助推器 ? 阿麗亞娜５的飛行控制系統是一個標準設計。 ? SRI和 OBC都只是硬件冗余！ 涉及故障的部件關系 SRI 2 SRI 1 OBC 備份 OBC 火神發(fā)動機 固體助推器 固體助推器 SRI的理想工作時序（軟件實現） 校準 制導 （飛行模式） 起飛時刻 但阿麗亞娜 4因其它原因給 SRI加了新功能 （阿麗亞娜 5的 SRI軟件是阿麗亞娜 2的重用） ? 背景： ? SRI飛行模式啟動前－ 9至－ 5秒，倒計時在 極少的情況下會停頓 ? 重新啟動火箭要化幾個小時 ? 而地面恢復控制需約幾十秒 ? 由此：要求 SRI不斷重校準至恢復控制 （ 50秒內） 阿麗亞娜 4對 SRI軟件的設計 不出現停頓時： 校準 制導 0秒 50秒 起飛時刻 阿麗亞娜 4對 SRI軟件的設計 出現停頓時： 0秒 50秒 起飛 倒計時停頓 問題（對阿麗亞娜 4） ? ？ ? 目前普遍認為，對關鍵系統，能用硬件實 現的功能盡量用硬件實現。 ? 帶符號 16位整數的取值范圍是： ＋ 32767 ~ － 32768 ? 當 64位浮點數超出上述范圍時，就產生一個運算錯誤（異常， exception） ADA語言對異常的處理： ? 任何錯誤都不放過 ? 出錯后，馬上轉到本模塊的異常處理部分 根據異常類型尋求保護（那里應有相應的 保護措施） ? 本模塊中如無保護，則跳入上一個模塊（ 調用本模塊的模塊）尋求保護 ? 上過程循環(huán)至找到保護或至主程序 ADA 主程序 子程序 1 子程序 2 子模塊 ADA語句 說明 功能語句 異常處理語句 怎么發(fā)的炎： ? 蔓延： ? 阿麗亞娜 5在起飛后， BH值轉換時超限 （需求錯） ? SRI中對由 BH引起的超限異常沒有保護 （設計錯） ? 對 SRI有一項要求：最后出現異常時（因為認為可能的軟件異常都保護了，所以這些異常?異常），關機。 殘骸回收：