【正文】 器中，最后 SRI處理器應(yīng)關(guān)機 ? 這個決定是致命的，重新啟動是不可能的 為什么關(guān)機？ ? 上述決定是建立在自認(rèn)： 有異常必是硬件出錯了，修也修不好，沒辦法，關(guān)機了事。阿麗亞娜 5的問題 3。 ? 盲腸 ? 校準(zhǔn)功能工作 50秒，在阿麗亞娜５在 H0－ 3秒啟動的 SRI飛行模式，在起飛后該功能持續(xù)工作約 40秒的飛行時間。 OBC有無缺陷？ 一種設(shè)想： OBC已知 SRI1失效，后來又發(fā)現(xiàn) SRI2失效，反正兩臺 SRI都失效后發(fā)現(xiàn)肯定失敗，于是亂算一氣 另一種設(shè)想：一臺 SRI失效后，對另一臺 SRI就不判別失效，因為失效后，判別也是死，不判別也是死 還有：就是 OBC根本沒有判別出 SRI2失效 總之， OBC功能并不完備。 引起了很高的氣動載荷，導(dǎo)致了助推級與主級分離，繼而運載火箭的自毀系統(tǒng)自動點火。 ? 該設(shè)備的檢驗結(jié)果對分析故障序列是非常有用的。特別是沒有閃電危險，因為在發(fā)射場 地所測到的電場強度可以忽略。 ? 4的要求，為什么 起飛后還要運行校準(zhǔn)功能？ ? 實際上這是 “ 功能多余物 ” ， “ 盲腸 ” ? 阿麗亞娜 4中 SRI的功能多余物導(dǎo)致了阿麗亞娜 5的 501飛行失敗 ? 而阿麗亞娜 5根本就沒有那條多余的需求 問題（對阿麗亞娜 5） ? 1。來自 SRI的數(shù)據(jù)通過數(shù) 據(jù)總線傳輸?shù)郊d計算機 (OBC)，箭載 計算機執(zhí)行飛行程序，通過伺服機構(gòu)控制固體助推器和火神 (Vulcain)低溫發(fā)動 機的噴管。 6月 6日發(fā)布了關(guān)于 501飛行失敗的第一次信息 ? 501飛行于 1996年 6月 4日在 Kourou的 Guiana空間中心進行 ? 箭上帶有四顆研究地球－太陽作用的衛(wèi)星 ? 09:33:59火神發(fā)動機正常點火 ? H0+、正常起飛 ? 至 H0+37s飛行導(dǎo)引和軌道正常 ? 速度 ，高度 3500米 ? 根據(jù)遙測發(fā)現(xiàn)，在 H0+37s至 H0+39s，所有助推器的噴管轉(zhuǎn)至極限，由此引起火箭急劇傾斜，過大的動力過載導(dǎo)致解體和自毀 ? 對遙測數(shù)據(jù)的初步分析說明推進器功能正常，調(diào)查的方向主要為 “ 電子和軟件系統(tǒng) ” 6月 10日 ESA、 CNES的局長決定 1。但是，沒有絕對的保證。非常多的鑒定 評審和地面測試對所有選擇的正確性進行了極其 嚴(yán)格的檢查。該計劃 中所有隊伍的技能，與所有行政、技術(shù)、工業(yè)領(lǐng)導(dǎo)的決心和團結(jié)一起，使我們對最后的成功充滿信心。運載火箭的姿態(tài)和空間運動是由慣性制導(dǎo)系統(tǒng)(SRI)測量得到， SRI內(nèi)部帶 有計算機，根據(jù)帶有激光陀螺和加速度表的 “ 捷聯(lián) ” 慣性平臺提供的信息，計算角度和速度。因為硬件的可 靠性一般比軟件高。 （需求錯） 怎么發(fā)的炎： ? 爆發(fā)： ? 異常得不到保護，引起 SRI2關(guān)機 ? 軟件沒有冗余 （觀念錯） ， SRI1同樣關(guān)機 （ SRI1早一個時鐘周期就關(guān)機了） ? SRI向 OBC傳診斷信息，卻被 OBC當(dāng)作了正 常的姿態(tài)信息 （看來還有接口問題，另外 ，OBC應(yīng)檢測出 SRI2故障并切換） ? OBC指令主發(fā)動機和助推器噴管轉(zhuǎn)至極限 怎么發(fā)的炎： ? 結(jié)果： ? 姿態(tài)迅速改變，氣動載荷導(dǎo)致火箭解體 ? 解體后，自毀裝置自動點火 ? 自毀，爆炸 問題： ? 技術(shù)錯誤如前所述，很多很多，有些還 是觀念錯誤 ? 評審、測試沒有查出錯誤是錯中之錯 ? 過程的錯也反映了管理的錯 事故分析 委員會進行調(diào)查的基礎(chǔ)和原始信息： ? 文檔和實物（未參加 501飛行） ? H0＋ 42秒前地面接收到的遙測數(shù)據(jù) ? 雷達站的軌道數(shù)據(jù) ? 光學(xué)觀測 ? 回收殘骸 天氣情況： 發(fā)射場的天氣對發(fā)射來說是可接受的，在 運載火箭被運至發(fā)射臺時沒有造成阻礙 。 ? 特別有用的是主模式工作并停止在后的SRI2，因為一些與它有關(guān)的信息未能從遙測數(shù)據(jù)中獲得 (遙測數(shù)據(jù)確定了兩 SRI 中哪一個首先失效 －對遙測數(shù)據(jù)不滿 )。 故障事故鏈 ? 運載火箭在大約 H0+39秒時開始解體， 原因是由于攻角大于 20176。 OBC是否發(fā)現(xiàn)了 SRI的異常？ OBC對 SRI的工作流程應(yīng)該為： 輸入、判別是否異常、異常時切換 現(xiàn)在 SRI1已先停機，應(yīng)該已報告 OBC ？ SRI2的輸入應(yīng)包含停機的診斷信息 ？ 如果 OBC判斷出 SRI2失效，為何還要計算 ？ 如果 OBC沒有判別出 SRI2失效， SRI1停不停機都無所謂？ 3。 ? ADA中找錯誤，當(dāng)然先找那些沒有保護的異常 ? 這個錯誤僅會在執(zhí)行捷聯(lián)慣性平臺校準(zhǔn)的那部分軟件中出現(xiàn)，該軟件模塊僅在起飛前作有意義的計算，運載火箭一旦起飛，該功能就沒用了。阿麗亞娜 4的問題 2。 三個變量（含 BH）不保護的原因是：實 際已受限 or有充足余量。 觀念錯誤： ? 軟件故障和硬件不太一樣 ? 硬件會在同樣條件下由于老化等原因失效，軟件確不會 ? 對軟件也應(yīng)有冗余，而且是特殊的冗余，例如多版本軟件等。自身的冗余 4。這樣的對每一個關(guān)鍵設(shè)備都必須強制遵循的對操作限制的聲明，可用來鑒別任何與阿麗亞娜５軌道的不一致性。 假設(shè)象 SRI這樣 關(guān)鍵 的單機通過 自身鑒定 或者它 在阿麗亞娜４中使用過 就被批準(zhǔn)通過，這 肯定是冒險的。 確實，要評審查出數(shù)據(jù)轉(zhuǎn)換的錯誤很難 但評審沒有查出規(guī)格說明、需求、重用的問題是說不過去的 評審： ? 然而，明顯地在評審中，對 SRI軟件的 限制沒作全面分析。這一現(xiàn)象非常重要且未解釋完全，但考慮后認(rèn)為它與故障無關(guān)； H0后 (起飛后約 30秒 )備份 SRI中的計算機變得不可操作，該計算機是制導(dǎo)和姿態(tài)控制備用的計算機。這個重新校準(zhǔn)功能在阿麗亞娜５中無任何目的，然而為了通用的原因保留了，并象阿麗亞娜４那樣允許在起飛后工作近 40秒。在這個過程中，對校準(zhǔn)軟件的 限制沒作全面分析，并且對允許其在飛行中 繼續(xù)工作可能產(chǎn)生的牽連影響也未認(rèn)識。 結(jié)論 ? 阿麗亞娜 501的故障是由于主發(fā)動機點火 后 37秒 (起飛后 30秒 )制導(dǎo)和姿態(tài)信息完 全丟失造成的。系統(tǒng)設(shè)計師應(yīng)參加這些評審，并對該設(shè)備參加整個系統(tǒng)測試作出報告。 ? 把軟件提到與硬件同等的地位 ? 看來 ESA也沒有做到 ? R9. 當(dāng)評審規(guī)格說明、代碼及說明文件時，應(yīng)包括外部 (相對于該項目 )參加者。 ? 提出了行為規(guī)范的問題 ? 責(zé)、權(quán)、利明確分工是先進管理的重要基礎(chǔ)之一 謝謝！ 68389085（ O） 68389504（ H）