【正文】 RI中對由 BH引起的超限異常沒有保護 （設(shè)計錯） ? 對 SRI有一項要求：最后出現(xiàn)異常時（因為認為可能的軟件異常都保護了，所以這些異常?異常），關(guān)機。 ? 指出錯誤沒有在事先被發(fā)現(xiàn)的原因 ? 下面詳細描述一下導(dǎo)致失敗的錯誤 ? 如何分析和發(fā)現(xiàn)錯誤并準確定位，在下一部分討論 ? 在再下一部分討論產(chǎn)生錯誤的原因 涉及故障的幾個部件： ? SRI1和 SRI2：雙備份的慣性制導(dǎo)系統(tǒng) ? OBC：箭載計算機 ? 火神發(fā)動機 ? 固體助推器 ? 阿麗亞娜５的飛行控制系統(tǒng)是一個標準設(shè)計。其電子中樞的威力比以前 阿麗亞娜運載火箭的百倍還要強。加強對所有火箭部件的起飛鑒定評 審的調(diào)查權(quán)力，特別要進行一些特殊的審查 2。為什么阿麗亞娜 5的 SRI軟件還有功能多余物？ ? 2。 （個人認為：對故障定位太有用了） 無關(guān)的異常： ? 有些異常在以前試飛時出現(xiàn)過，被認為無關(guān) ? 引起注意異常是控制主發(fā)動機噴管的液壓伺服機構(gòu)的液壓波動，它始于 H0+22 秒并逐漸發(fā)展，變化的頻率約 10Hz。 ? 當(dāng)然，致命的是 SRI軟件無冗余和停機 ? OBC不能切換到備份 SRI1，由于與 SRI2一樣的原因，在前一數(shù)據(jù)周期 (72ms)， SRI1已經(jīng)停止了工作。系統(tǒng)和觀念的問題 4。（可能連軟件的需求分 析都沒有重做） 因此阿麗亞娜 5的問題可能就是：系統(tǒng)規(guī) 格說明不全、軟件重用分析不細、評審和測試問題 阿麗亞娜 5： ? 不能相信阿麗亞娜 5對 SRI的規(guī)格說明會和阿麗亞娜 4完全一樣，多余的功能肯 定不會有了。 第一種方法可進行高精度仿真 (在三軸轉(zhuǎn) 臺帶寬限制內(nèi) )，費用昂貴。 ? 在這些方面，評審過程是這次故障的一個責(zé)任因素。而對校準軟件的其它幾個變量提供了保護。 ? 在阿麗亞娜５研制過程中進行的廣泛評審和測試未包括對 SRI或完整的飛行控制 系統(tǒng)進行充分的分析和測試，而這樣的測試是能夠查出潛在的故障的。評審不能走過場 ? 2。 ? 對箭載計算機軟件，尤其是其轉(zhuǎn)換處的潛 在問題，應(yīng)有項目組提出解決的方法，并 經(jīng)一組外部專家評審，這些專家應(yīng)向箭載 計算機鑒定委員會作出報告。 SRI的軟件和模擬環(huán)境的計算 機上進行，包括了從阿麗亞娜５ 01飛行得到 的實際軌道數(shù)據(jù)。 ?，F(xiàn)象，調(diào)查后表明它們與事故無關(guān) SRI與現(xiàn)應(yīng)用于阿麗亞娜 ４的基本一樣。 評審： ? 防止故障的一個最重要方法是評審 ? 評審是設(shè)計和鑒定過程中的一個組成部分，是在所有層次上必須進行的一項工作，它涉及所有參與工程的各方 (也包括外界專家 )。盡管沒要求 控制系統(tǒng)鑒定測試（沒太多地說） ? 難道控制系統(tǒng)的規(guī)格說明中也沒有提針對阿麗亞娜 5軌道的需求？ ? 控制系統(tǒng)集成后的確認測試不包括對飛行全過程的試驗是不可理解的。 ? 在設(shè)計時應(yīng)考慮到軟件會有異常（允許它出錯并對此預(yù)防），有時必須假定它就有錯并對此進行保護。 ? 沒有認識到，或不負責(zé)任地忽略 產(chǎn)生故障的原因 錯誤的產(chǎn)生包括兩個部分： ? 開發(fā)：為什么要這樣編？ ? 檢測：評審和檢查為什么沒有發(fā)現(xiàn)？ 軟件開發(fā)方面： ? 從全報告看，故障分析委員會試圖對事不對人，只對阿麗亞娜５的故障發(fā)表看法。 SRI最后向 OBC送了什么？ SRI按需求異常處理不了就停機。 ? 故障的原因很快局限于飛行控制系統(tǒng)，特別是兩個慣性制導(dǎo)系統(tǒng)，很明顯地在 H0＋ 乎同時失效。 ? 同樣有兩個 OBC，飛行控制系統(tǒng)中還有很 多設(shè)備都是雙備份的。他們被要求在七月中旬提交一份完全獨立的，報告，確定事故的原因，提出為避免如何進一步的事故而設(shè)計的修正建議。 計劃中的第二次飛行已經(jīng)安排在數(shù)月后進行。 有兩個硬件和軟件完全一樣的 SRI并行工作。 后來飛行延遲至預(yù)報能見度好轉(zhuǎn) （因此天氣不成問題） 起飛情況： 倒計時在 H0(主低溫發(fā)動機點火命令 )－ 7 分鐘之前一直順利進行， H0－ 7分鐘由 于發(fā)射窗口開始時刻 (當(dāng)?shù)貢r間 08h35)不滿足能見度規(guī)定，發(fā)射推遲。 ? 也有遙測數(shù)據(jù)為證 ? 噴管偏轉(zhuǎn)指令由箭載計算機 (OBC)軟件 根據(jù)主慣性制導(dǎo)系統(tǒng) (SRI2)提供的數(shù)據(jù) 發(fā)出，而該時刻的部分數(shù)據(jù)不含有正常飛行數(shù)據(jù)，表示的是SRI2計算機的診斷位模式，但它卻被認為是飛行數(shù)據(jù)。 ? 盲目重用、過分強調(diào)控制技術(shù)狀態(tài)更改 ? 由于一個稱為 BH(水平偏差 )的內(nèi)部校準功能結(jié)果的值出乎意料的大，運算錯誤就出現(xiàn)了。 觀念錯誤： 傳統(tǒng)思想：只注意硬件隨機故障。鑒定測試 2。 測試完 評審的問題： 報告中對評審著墨不多 （可能是評審的技術(shù)性太強，不易量化和控制。 ，主 SRI實際上是傳送診斷信息給運載火箭主計算機，這些信息被當(dāng)作了飛行數(shù)據(jù)并用于飛行控制計算。 SRI在技術(shù)上 是可行的。 ? R5. 評審所有飛行軟件 (包括嵌入式軟件 )， 特別是 ? 判別所有在代碼及其說明文件基于設(shè)備提 供的數(shù)量值構(gòu)成的隱含假設(shè)。改進技術(shù)以保持代碼與說明文件相一致； ? 文實一致，永遠是很重要的 ? 配置管理是一種保證方法，但要嚴格執(zhí)行 ? 同時還需要不斷改進和完善 ? 當(dāng)然，這一切都建立在首先要寫、要按時寫文檔 ? R13. 建立一個小組，他們?yōu)榘Ⅺ悂喣龋禍蕚滂b定軟件的過程，提出確認這一鑒定的嚴格規(guī)則，并保證在阿麗亞娜５中軟件的規(guī)格說明、軟件的驗證和測試，具有一致的高質(zhì)量。在任何飛行試驗之前必須進行完整的仿真。 速度逐漸增大的軌道，該水平速度比阿麗亞 娜４的水平速度大 5倍多。 分析總結(jié) ，無與故障 有關(guān)的事件發(fā)生； ，對故障的 發(fā)生沒有影響。 但是 最初計劃以方法 b將 SRI置于回路。 軟件重用分析： ? 軟件重用分析基于一個錯誤觀點： 除非證明確有必要，要改變阿麗亞娜４中工作良好的軟件是不明智的 ? 即使如此，不對阿麗亞娜 5與阿麗亞娜 4的差異進行全面細致的分析，無疑是完全錯誤的 其它： 報告中對 OBC軟件的不足只字未提，但似乎還有一些疑義： 1。為什么缺少異常保護？ 3。 ? 內(nèi)部 SRI軟件異常是由執(zhí)行從 64位浮點 數(shù)向 16位帶符號整數(shù)轉(zhuǎn)換時引起的。 其它： ? ESA在 6月 14日公告：飛行器設(shè)備艙內(nèi)的大部分設(shè)備已被復(fù)原和審查。 ? 這種轉(zhuǎn)換涉及到的變量中包括 BH，一個與 水平偏差有關(guān)的量。 ? 在七月中旬提交報告 ? 7月 23日 E