【正文】 ? 從殘骸中找回了兩個(gè) SRI。 ? 復(fù)原結(jié)果已報(bào)告故障分析委員會(huì) ? 據(jù)這些信息故障分析委員建立了故障事件鏈及其內(nèi)在聯(lián)系和因果關(guān)系，從火箭自毀開始按時(shí)間追溯到最初起因。它送的診斷信息應(yīng)包括在接口說明中？ 2。雖然在代碼中同一位置的其它變量轉(zhuǎn)換被保護(hù)了，但是這個(gè)數(shù)據(jù)轉(zhuǎn)換指令 (Ada語言 )運(yùn)算數(shù)錯(cuò)誤沒有被保護(hù)。 （這也帶來了一些含糊） ? 故障分析委員會(huì)避開了阿麗亞娜４的問題 ? 但這是避不開的 對(duì)開發(fā)的全面分析可考慮這幾個(gè)方面： 1。 阿麗亞娜 4似乎考慮到了這些異常 －這可 能與 Ada的嚴(yán)格和可靠性設(shè)計(jì)要求有關(guān) 為什么缺少異常保護(hù)？ ? 七個(gè)變量在浮點(diǎn)數(shù)向整數(shù)轉(zhuǎn)換時(shí)有危險(xiǎn) ? 保護(hù)了四個(gè) ? 不全保護(hù)是因?yàn)?SRI已占其能力的 80％ 有異議 異議 ? 保護(hù)工作在不出異常時(shí)不占多少資源 ? 不保護(hù)，難道在真出現(xiàn)異常時(shí)還去為了保護(hù)余量而死機(jī)嗎？（這是軟件問題，軟件沒有冗余，要死全死） 為什么缺少異常保護(hù)？ 異常是否保護(hù)的決定不嚴(yán)謹(jǐn)。以此來保護(hù)系統(tǒng)正常工作。對(duì) SRI的切換控制 3。 委員會(huì)認(rèn)為： ? 委員會(huì)已注意到 SRI的系統(tǒng)規(guī)格說明沒有 指明對(duì)所選用實(shí)現(xiàn)方案的操作限制。 委員會(huì)認(rèn)為： 系統(tǒng)仿真測(cè)試的目的不僅要檢驗(yàn)接口，還要把 系統(tǒng)作為完成特定用途的一個(gè)整體來檢驗(yàn)。 ? 在一個(gè)如此規(guī)模的研制計(jì)劃中，在評(píng)審過程中確實(shí)已成功地解決了數(shù)千個(gè)問題和潛在故障，但 ... 評(píng)審： ? 但顯然不容易檢測(cè)出象引起阿麗亞娜 501故障的主要技術(shù)原因這種類型的軟 件設(shè)計(jì)錯(cuò)誤。推進(jìn)器性能滿足規(guī)格說明的要求 22秒，控制主發(fā)動(dòng)機(jī)噴管的液壓伺服機(jī)構(gòu)開始出現(xiàn)頻率為 10Hz的壓力變化。在 SRI計(jì)算機(jī)中產(chǎn)生停 機(jī)的軟件部分在發(fā)射前用于校準(zhǔn) SRI， 阿麗亞娜４在倒計(jì)時(shí)停頓情況下同時(shí)保證可迅速地對(duì)系統(tǒng)再校準(zhǔn)。 加的評(píng)審過程的目的是確認(rèn)設(shè)計(jì)，并通過飛 行試驗(yàn)資格。這些仿真真實(shí)地再現(xiàn)了導(dǎo) 致 SRI故障的事件鏈。 ? 這一條應(yīng)作為通用的設(shè)計(jì)規(guī)范 ? 以后就不用每次都要求在規(guī)格說明中寫明確了 ? 事實(shí)上這是最低、最基本的要求，不知怎么給丟了 ? R3. 不允許任何敏感器，如 SRI，停止傳送 正確的數(shù)據(jù)； ? 應(yīng)該是對(duì)軟件錯(cuò)誤，應(yīng)作處理，而不去關(guān)機(jī) ? 如是硬件錯(cuò)誤，也只好關(guān)機(jī) ? 本質(zhì)上是應(yīng)允許軟件出錯(cuò)，并對(duì)此進(jìn)行預(yù)防、處理和保護(hù) ? 還有，軟件也要冗余，以保護(hù)意想不到的錯(cuò)誤 ? R4. 對(duì)每一個(gè)與軟件一體的設(shè)備項(xiàng)目，組織一個(gè)專門的軟件鑒定評(píng)審。 ? 這些具體的要求應(yīng)納入技術(shù)評(píng)審、走查、審查的檢查單 ? 同時(shí)也應(yīng)納入可靠性設(shè)計(jì)指南 ? 對(duì)此在評(píng)審中嚴(yán)格檢查 ? 對(duì)評(píng)審的要求要規(guī)范化 ? R6. 若技術(shù)上可行，應(yīng)考慮將異常限制在任務(wù)和設(shè)備備份能力之內(nèi)； ? 將自身的異常處理本身就當(dāng)作一項(xiàng)任務(wù)和需求 ? 還要考慮備份－－軟件冗余 ? R7. 為遙測(cè)提供較多的關(guān)于元部件故障數(shù)據(jù)，以降低回收設(shè)備的必要性； ? 看的出，他們對(duì)遙測(cè)不滿意 ? 遙測(cè)應(yīng)立足于在失敗后能提供故障分析的足夠數(shù)據(jù) ? 首先假設(shè)：飛行失敗 ? R8. 重新考慮關(guān)鍵部件的定義，把軟件引起的故障考慮進(jìn)去 (特別是單點(diǎn)失效 )。要達(dá)到系統(tǒng)協(xié)調(diào)，需要在合作伙伴間具有緊密的工程合作、明確的責(zé)任和權(quán)力劃分、以及簡(jiǎn)單又明確的界面關(guān)系。確 保這些評(píng)審考慮了論據(jù)本身，而不是檢查已作完的驗(yàn)證工作； ? 1。所有該設(shè)備的使用限制應(yīng)當(dāng)向評(píng)審委員會(huì)明確、顯式地報(bào)告。信息的丟失是由于 SRI 軟件的規(guī)格說明和設(shè)計(jì)錯(cuò)誤引起的。 阿麗亞娜５軌道數(shù)據(jù)。 n. 在用于阿麗亞娜４和 5的 SRI軟件設(shè)計(jì)中，采取了一個(gè)決定，即不必對(duì) SRI計(jì)算機(jī)由于與水平速度相關(guān)的變量值過大而產(chǎn)生的不可操作進(jìn)行保護(hù)。這是由于一個(gè)與運(yùn)載火箭水平速度有關(guān)的內(nèi)部變量超過計(jì)算機(jī)軟件要求的限制值引起的 ，硬件、軟件與備份系統(tǒng)一 樣的主SRI由于同樣的原因失效。沒認(rèn)識(shí)到測(cè)試覆蓋不能充分暴露這種軟件上的限制問題，也沒認(rèn)識(shí)到在飛行中允許校準(zhǔn)軟件工作可能造成的牽連影響。 盡管希望得到高精度的仿真，但顯然以犧牲精 度來達(dá)到其它目標(biāo)更可取，其中包括檢驗(yàn)設(shè) 備例如 SRI的系統(tǒng)綜合性能。 不理解： ? 阿麗亞娜 5的 SRI的問題是在阿麗亞娜 5 正常飛行時(shí)就會(huì)發(fā)生的問題 ? 為什么 SRI、控制系統(tǒng)等層層的測(cè)試就 沒有一次是針對(duì)阿麗亞娜 5完整的飛行 全過程的？ ? 可能這樣的測(cè)試都要寫在規(guī)格說明中，這樣的話，對(duì)規(guī)格說明的忽略就是規(guī)范、管理的大問題了 仿真測(cè)試： ? 阿麗亞娜 5的仿真測(cè)試是驗(yàn)證系統(tǒng)的性 能、功能、協(xié)調(diào)性 ? 不一定所有設(shè)備都用實(shí)物，但關(guān)鍵設(shè)備應(yīng)置于回路 ? SRI由于其重要性，在開始是被要求置 于回路的 將 SRI置于回路有兩種方法： (用于激勵(lì)環(huán)形激光陀螺 )，用仿真的方法通過一個(gè)專用測(cè)試輸入接插件和一個(gè)專門為此設(shè)計(jì)的電路板來代替加速度表的模擬量輸出，這種方法與在設(shè)備層測(cè)試時(shí)提到的方法相似 ，通過一個(gè)專用測(cè)試 輸入接口來代替加速度表和環(huán)形激光陀螺二者的模擬量輸出。輸出的合理性分析及切換 開發(fā)問題完 評(píng)審與測(cè)試： 在前面的假設(shè)下，估計(jì) SRI軟件是這樣形 成的： ? 首先有 SRI（含軟硬件）的規(guī)格說明（ 無阿麗亞娜 4的附加需求，但也無針對(duì) 阿麗亞娜 5的測(cè)試要求和操作限制） ? SRI分包商基于繼承性，決定重用阿麗 亞娜 4的 SRI軟件，至少對(duì)該決定的評(píng)審是不充分的 ? 之后進(jìn)行的一系列測(cè)試，一方面是由于規(guī)格說明中沒有明確規(guī)定，另一方面是自身也沒有主動(dòng)去求細(xì)求全，再有一些觀念問題（后面分析），總之，是不充分的。 阿麗亞娜 5的問題： ? 整個(gè)報(bào)告中對(duì) SRI軟件功能和設(shè)計(jì)中的 問題都是針對(duì)阿麗亞娜 4的 SRI軟件的 ? 報(bào)告中介紹：阿麗亞娜 5和阿麗亞娜 4的SRI軟件完全一樣 ? 報(bào)告把重點(diǎn)放在為什么阿麗亞娜 5的檢 測(cè)沒有發(fā)現(xiàn)問題 因此 ... 懷疑： 阿麗亞娜 5的 SRI軟件是在一個(gè)不充分的分析、評(píng)審下，決定完全重用阿麗亞娜 4 的 SRI軟件的。 對(duì) BH，在阿麗亞娜 5肯定錯(cuò)了，在阿麗亞娜 4也危險(xiǎn) （什么是充足？） 但該決定卻被各方認(rèn)可 （懷疑也有走過場(chǎng)，或被不嚴(yán)謹(jǐn)?shù)姆治鏊煜? 為什么關(guān)機(jī)？ ? 運(yùn)算出錯(cuò)，如妥善處理，不一定就會(huì)造成飛行失敗 ? 可怕的是在異常處理的規(guī)格說明中規(guī)定：故障在數(shù)據(jù)總線上應(yīng)該指示出來，故障的來龍去脈也應(yīng)該貯存在 EEPROM貯存