【正文】 RI中對(duì)由 BH引起的超限異常沒有保護(hù) （設(shè)計(jì)錯(cuò)） ? 對(duì) SRI有一項(xiàng)要求：最后出現(xiàn)異常時(shí)（因?yàn)檎J(rèn)為可能的軟件異常都保護(hù)了，所以這些異常?異常），關(guān)機(jī)。 ? 指出錯(cuò)誤沒有在事先被發(fā)現(xiàn)的原因 ? 下面詳細(xì)描述一下導(dǎo)致失敗的錯(cuò)誤 ? 如何分析和發(fā)現(xiàn)錯(cuò)誤并準(zhǔn)確定位，在下一部分討論 ? 在再下一部分討論產(chǎn)生錯(cuò)誤的原因 涉及故障的幾個(gè)部件： ? SRI1和 SRI2：雙備份的慣性制導(dǎo)系統(tǒng) ? OBC：箭載計(jì)算機(jī) ? 火神發(fā)動(dòng)機(jī) ? 固體助推器 ? 阿麗亞娜５的飛行控制系統(tǒng)是一個(gè)標(biāo)準(zhǔn)設(shè)計(jì)。其電子中樞的威力比以前 阿麗亞娜運(yùn)載火箭的百倍還要強(qiáng)。加強(qiáng)對(duì)所有火箭部件的起飛鑒定評(píng) 審的調(diào)查權(quán)力，特別要進(jìn)行一些特殊的審查 2。為什么阿麗亞娜 5的 SRI軟件還有功能多余物？ ? 2。 （個(gè)人認(rèn)為：對(duì)故障定位太有用了） 無關(guān)的異常： ? 有些異常在以前試飛時(shí)出現(xiàn)過，被認(rèn)為無關(guān) ? 引起注意異常是控制主發(fā)動(dòng)機(jī)噴管的液壓伺服機(jī)構(gòu)的液壓波動(dòng)，它始于 H0+22 秒并逐漸發(fā)展，變化的頻率約 10Hz。 ? 當(dāng)然，致命的是 SRI軟件無冗余和停機(jī) ? OBC不能切換到備份 SRI1，由于與 SRI2一樣的原因，在前一數(shù)據(jù)周期 (72ms)， SRI1已經(jīng)停止了工作。系統(tǒng)和觀念的問題 4。（可能連軟件的需求分 析都沒有重做） 因此阿麗亞娜 5的問題可能就是：系統(tǒng)規(guī) 格說明不全、軟件重用分析不細(xì)、評(píng)審和測(cè)試問題 阿麗亞娜 5： ? 不能相信阿麗亞娜 5對(duì) SRI的規(guī)格說明會(huì)和阿麗亞娜 4完全一樣，多余的功能肯 定不會(huì)有了。 第一種方法可進(jìn)行高精度仿真 (在三軸轉(zhuǎn) 臺(tái)帶寬限制內(nèi) )，費(fèi)用昂貴。 ? 在這些方面，評(píng)審過程是這次故障的一個(gè)責(zé)任因素。而對(duì)校準(zhǔn)軟件的其它幾個(gè)變量提供了保護(hù)。 ? 在阿麗亞娜５研制過程中進(jìn)行的廣泛評(píng)審和測(cè)試未包括對(duì) SRI或完整的飛行控制 系統(tǒng)進(jìn)行充分的分析和測(cè)試，而這樣的測(cè)試是能夠查出潛在的故障的。評(píng)審不能走過場(chǎng) ? 2。 ? 對(duì)箭載計(jì)算機(jī)軟件，尤其是其轉(zhuǎn)換處的潛 在問題，應(yīng)有項(xiàng)目組提出解決的方法，并 經(jīng)一組外部專家評(píng)審，這些專家應(yīng)向箭載 計(jì)算機(jī)鑒定委員會(huì)作出報(bào)告。 SRI的軟件和模擬環(huán)境的計(jì)算 機(jī)上進(jìn)行，包括了從阿麗亞娜５ 01飛行得到 的實(shí)際軌道數(shù)據(jù)。 ?，F(xiàn)象，調(diào)查后表明它們與事故無關(guān) SRI與現(xiàn)應(yīng)用于阿麗亞娜 ４的基本一樣。 評(píng)審： ? 防止故障的一個(gè)最重要方法是評(píng)審 ? 評(píng)審是設(shè)計(jì)和鑒定過程中的一個(gè)組成部分，是在所有層次上必須進(jìn)行的一項(xiàng)工作，它涉及所有參與工程的各方 (也包括外界專家 )。盡管沒要求 控制系統(tǒng)鑒定測(cè)試（沒太多地說） ? 難道控制系統(tǒng)的規(guī)格說明中也沒有提針對(duì)阿麗亞娜 5軌道的需求？ ? 控制系統(tǒng)集成后的確認(rèn)測(cè)試不包括對(duì)飛行全過程的試驗(yàn)是不可理解的。 ? 在設(shè)計(jì)時(shí)應(yīng)考慮到軟件會(huì)有異常（允許它出錯(cuò)并對(duì)此預(yù)防），有時(shí)必須假定它就有錯(cuò)并對(duì)此進(jìn)行保護(hù)。 ? 沒有認(rèn)識(shí)到，或不負(fù)責(zé)任地忽略 產(chǎn)生故障的原因 錯(cuò)誤的產(chǎn)生包括兩個(gè)部分： ? 開發(fā)：為什么要這樣編？ ? 檢測(cè)：評(píng)審和檢查為什么沒有發(fā)現(xiàn)？ 軟件開發(fā)方面： ? 從全報(bào)告看，故障分析委員會(huì)試圖對(duì)事不對(duì)人，只對(duì)阿麗亞娜５的故障發(fā)表看法。 SRI最后向 OBC送了什么？ SRI按需求異常處理不了就停機(jī)。 ? 故障的原因很快局限于飛行控制系統(tǒng)，特別是兩個(gè)慣性制導(dǎo)系統(tǒng)，很明顯地在 H0＋ 乎同時(shí)失效。 ? 同樣有兩個(gè) OBC，飛行控制系統(tǒng)中還有很 多設(shè)備都是雙備份的。他們被要求在七月中旬提交一份完全獨(dú)立的，報(bào)告，確定事故的原因，提出為避免如何進(jìn)一步的事故而設(shè)計(jì)的修正建議。 計(jì)劃中的第二次飛行已經(jīng)安排在數(shù)月后進(jìn)行。 有兩個(gè)硬件和軟件完全一樣的 SRI并行工作。 后來飛行延遲至預(yù)報(bào)能見度好轉(zhuǎn) （因此天氣不成問題） 起飛情況： 倒計(jì)時(shí)在 H0(主低溫發(fā)動(dòng)機(jī)點(diǎn)火命令 )－ 7 分鐘之前一直順利進(jìn)行， H0－ 7分鐘由 于發(fā)射窗口開始時(shí)刻 (當(dāng)?shù)貢r(shí)間 08h35)不滿足能見度規(guī)定，發(fā)射推遲。 ? 也有遙測(cè)數(shù)據(jù)為證 ? 噴管偏轉(zhuǎn)指令由箭載計(jì)算機(jī) (OBC)軟件 根據(jù)主慣性制導(dǎo)系統(tǒng) (SRI2)提供的數(shù)據(jù) 發(fā)出，而該時(shí)刻的部分?jǐn)?shù)據(jù)不含有正常飛行數(shù)據(jù)，表示的是SRI2計(jì)算機(jī)的診斷位模式，但它卻被認(rèn)為是飛行數(shù)據(jù)。 ? 盲目重用、過分強(qiáng)調(diào)控制技術(shù)狀態(tài)更改 ? 由于一個(gè)稱為 BH(水平偏差 )的內(nèi)部校準(zhǔn)功能結(jié)果的值出乎意料的大，運(yùn)算錯(cuò)誤就出現(xiàn)了。 觀念錯(cuò)誤： 傳統(tǒng)思想：只注意硬件隨機(jī)故障。鑒定測(cè)試 2。 測(cè)試完 評(píng)審的問題： 報(bào)告中對(duì)評(píng)審著墨不多 （可能是評(píng)審的技術(shù)性太強(qiáng)，不易量化和控制。 ，主 SRI實(shí)際上是傳送診斷信息給運(yùn)載火箭主計(jì)算機(jī)，這些信息被當(dāng)作了飛行數(shù)據(jù)并用于飛行控制計(jì)算。 SRI在技術(shù)上 是可行的。 ? R5. 評(píng)審所有飛行軟件 (包括嵌入式軟件 )， 特別是 ? 判別所有在代碼及其說明文件基于設(shè)備提 供的數(shù)量值構(gòu)成的隱含假設(shè)。改進(jìn)技術(shù)以保持代碼與說明文件相一致； ? 文實(shí)一致，永遠(yuǎn)是很重要的 ? 配置管理是一種保證方法，但要嚴(yán)格執(zhí)行 ? 同時(shí)還需要不斷改進(jìn)和完善 ? 當(dāng)然，這一切都建立在首先要寫、要按時(shí)寫文檔 ? R13. 建立一個(gè)小組，他們?yōu)榘Ⅺ悂喣龋禍?zhǔn)備鑒定軟件的過程，提出確認(rèn)這一鑒定的嚴(yán)格規(guī)則，并保證在阿麗亞娜５中軟件的規(guī)格說明、軟件的驗(yàn)證和測(cè)試，具有一致的高質(zhì)量。在任何飛行試驗(yàn)之前必須進(jìn)行完整的仿真。 速度逐漸增大的軌道，該水平速度比阿麗亞 娜４的水平速度大 5倍多。 分析總結(jié) ，無與故障 有關(guān)的事件發(fā)生； ，對(duì)故障的 發(fā)生沒有影響。 但是 最初計(jì)劃以方法 b將 SRI置于回路。 軟件重用分析： ? 軟件重用分析基于一個(gè)錯(cuò)誤觀點(diǎn)： 除非證明確有必要，要改變阿麗亞娜４中工作良好的軟件是不明智的 ? 即使如此，不對(duì)阿麗亞娜 5與阿麗亞娜 4的差異進(jìn)行全面細(xì)致的分析，無疑是完全錯(cuò)誤的 其它： 報(bào)告中對(duì) OBC軟件的不足只字未提，但似乎還有一些疑義： 1。為什么缺少異常保護(hù)？ 3。 ? 內(nèi)部 SRI軟件異常是由執(zhí)行從 64位浮點(diǎn) 數(shù)向 16位帶符號(hào)整數(shù)轉(zhuǎn)換時(shí)引起的。 其它： ? ESA在 6月 14日公告：飛行器設(shè)備艙內(nèi)的大部分設(shè)備已被復(fù)原和審查。 ? 這種轉(zhuǎn)換涉及到的變量中包括 BH，一個(gè)與 水平偏差有關(guān)的量。 ? 在七月中旬提交報(bào)告 ? 7月 23日 E