【正文】 要達到系統(tǒng)協(xié)調(diào)，需要在合作伙伴間具有緊密的工程合作、明確的責(zé)任和權(quán)力劃分、以及簡單又明確的界面關(guān)系。改進技術(shù)以保持代碼與說明文件相一致； ? 文實一致，永遠是很重要的 ? 配置管理是一種保證方法，但要嚴(yán)格執(zhí)行 ? 同時還需要不斷改進和完善 ? 當(dāng)然，這一切都建立在首先要寫、要按時寫文檔 ? R13. 建立一個小組，他們?yōu)榘Ⅺ悂喣龋禍?zhǔn)備鑒定軟件的過程，提出確認(rèn)這一鑒定的嚴(yán)格規(guī)則，并保證在阿麗亞娜５中軟件的規(guī)格說明、軟件的驗證和測試，具有一致的高質(zhì)量。軟件技術(shù)評審有其特定含義 ? 3。確 保這些評審考慮了論據(jù)本身，而不是檢查已作完的驗證工作； ? 1。 ? 這些具體的要求應(yīng)納入技術(shù)評審、走查、審查的檢查單 ? 同時也應(yīng)納入可靠性設(shè)計指南 ? 對此在評審中嚴(yán)格檢查 ? 對評審的要求要規(guī)范化 ? R6. 若技術(shù)上可行，應(yīng)考慮將異常限制在任務(wù)和設(shè)備備份能力之內(nèi)； ? 將自身的異常處理本身就當(dāng)作一項任務(wù)和需求 ? 還要考慮備份－－軟件冗余 ? R7. 為遙測提供較多的關(guān)于元部件故障數(shù)據(jù)，以降低回收設(shè)備的必要性； ? 看的出，他們對遙測不滿意 ? 遙測應(yīng)立足于在失敗后能提供故障分析的足夠數(shù)據(jù) ? 首先假設(shè)：飛行失敗 ? R8. 重新考慮關(guān)鍵部件的定義，把軟件引起的故障考慮進去 (特別是單點失效 )。 ? 驗證軟件中任何內(nèi)部或傳送變量的取值范 圍。 ? R5. 評審所有飛行軟件 (包括嵌入式軟件 )， 特別是 ? 判別所有在代碼及其說明文件基于設(shè)備提 供的數(shù)量值構(gòu)成的隱含假設(shè)。所有該設(shè)備的使用限制應(yīng)當(dāng)向評審委員會明確、顯式地報告。 ? 這一條應(yīng)作為通用的設(shè)計規(guī)范 ? 以后就不用每次都要求在規(guī)格說明中寫明確了 ? 事實上這是最低、最基本的要求，不知怎么給丟了 ? R3. 不允許任何敏感器，如 SRI，停止傳送 正確的數(shù)據(jù)； ? 應(yīng)該是對軟件錯誤，應(yīng)作處理，而不去關(guān)機 ? 如是硬件錯誤，也只好關(guān)機 ? 本質(zhì)上是應(yīng)允許軟件出錯，并對此進行預(yù)防、處理和保護 ? 還有，軟件也要冗余，以保護意想不到的錯誤 ? R4. 對每一個與軟件一體的設(shè)備項目，組織一個專門的軟件鑒定評審。在任何飛行試驗之前必須進行完整的仿真。 501故障分析委員會的建議 基于分析和結(jié)論，阿麗亞娜 5故障 分析委員會作出如下 14條建議： ? R1. 起飛后立即關(guān)掉 SRI的校準(zhǔn)功能。信息的丟失是由于 SRI 軟件的規(guī)格說明和設(shè)計錯誤引起的。這些仿真真實地再現(xiàn)了導(dǎo) 致 SRI故障的事件鏈。假如用了SRI，故障就會被檢查出來。 SRI在技術(shù)上 是可行的。 阿麗亞娜５軌道數(shù)據(jù)。 加的評審過程的目的是確認(rèn)設(shè)計，并通過飛 行試驗資格。 速度逐漸增大的軌道，該水平速度比阿麗亞 娜４的水平速度大 5倍多。采取這一設(shè)計決定時，沒有分析或完全理解當(dāng)在起飛后校準(zhǔn)軟件操作時，這個特殊變量會取那些值。 n. 在用于阿麗亞娜４和 5的 SRI軟件設(shè)計中，采取了一個決定，即不必對 SRI計算機由于與水平速度相關(guān)的變量值過大而產(chǎn)生的不可操作進行保護。在 SRI計算機中產(chǎn)生停 機的軟件部分在發(fā)射前用于校準(zhǔn) SRI， 阿麗亞娜４在倒計時停頓情況下同時保證可迅速地對系統(tǒng)再校準(zhǔn)。在恢復(fù)的設(shè)備中有兩個 SRI，它們已用于分 析。 ，主 SRI實際上是傳送診斷信息給運載火箭主計算機，這些信息被當(dāng)作了飛行數(shù)據(jù)并用于飛行控制計算。這是由于一個與運載火箭水平速度有關(guān)的內(nèi)部變量超過計算機軟件要求的限制值引起的 ，硬件、軟件與備份系統(tǒng)一 樣的主SRI由于同樣的原因失效。推進器性能滿足規(guī)格說明的要求 22秒，控制主發(fā)動機噴管的液壓伺服機構(gòu)開始出現(xiàn)頻率為 10Hz的壓力變化。 分析總結(jié) ，無與故障 有關(guān)的事件發(fā)生； ，對故障的 發(fā)生沒有影響。 評審?fù)? 其它推論： 報告中似乎對 ESA的軟件開發(fā)方法有疑義，有可能是針對開發(fā)過程及過程控制的 這與前面其它問題一起，可以看出，管理上還是有問題的。沒認(rèn)識到測試覆蓋不能充分暴露這種軟件上的限制問題，也沒認(rèn)識到在飛行中允許校準(zhǔn)軟件工作可能造成的牽連影響。 ? 在一個如此規(guī)模的研制計劃中，在評審過程中確實已成功地解決了數(shù)千個問題和潛在故障，但 ... 評審： ? 但顯然不容易檢測出象引起阿麗亞娜 501故障的主要技術(shù)原因這種類型的軟 件設(shè)計錯誤。 確實是一個非常重要的方法。 測試完 評審的問題： 報告中對評審著墨不多 （可能是評審的技術(shù)性太強，不易量化和控制。 盡管希望得到高精度的仿真，但顯然以犧牲精 度來達到其它目標(biāo)更可取，其中包括檢驗設(shè) 備例如 SRI的系統(tǒng)綜合性能。 委員會認(rèn)為： 系統(tǒng)仿真測試的目的不僅要檢驗接口，還要把 系統(tǒng)作為完成特定用途的一個整體來檢驗。 但是 最初計劃以方法 b將 SRI置于回路。第二種方法便宜，其性能主要依賴于仿真精度。 不理解： ? 阿麗亞娜 5的 SRI的問題是在阿麗亞娜 5 正常飛行時就會發(fā)生的問題 ? 為什么 SRI、控制系統(tǒng)等層層的測試就 沒有一次是針對阿麗亞娜 5完整的飛行 全過程的？ ? 可能這樣的測試都要寫在規(guī)格說明中，這樣的話，對規(guī)格說明的忽略就是規(guī)范、管理的大問題了 仿真測試： ? 阿麗亞娜 5的仿真測試是驗證系統(tǒng)的性 能、功能、協(xié)調(diào)性 ? 不一定所有設(shè)備都用實物，但關(guān)鍵設(shè)備應(yīng)置于回路 ? SRI由于其重要性，在開始是被要求置 于回路的 將 SRI置于回路有兩種方法： (用于激勵環(huán)形激光陀螺 )，用仿真的方法通過一個專用測試輸入接插件和一個專門為此設(shè)計的電路板來代替加速度表的模擬量輸出，這種方法與在設(shè)備層測試時提到的方法相似 ，通過一個專用測試 輸入接口來代替加速度表和環(huán)形激光陀螺二者的模擬量輸出。 委員會認(rèn)為： ? 委員會已注意到 SRI的系統(tǒng)規(guī)格說明沒有 指明對所選用實現(xiàn)方案的操作限制。但測試時不考慮一個完整的工作程序，無疑是有欠缺的。鑒定測試 2。輸出的合理性分析及切換 開發(fā)問題完 評審與測試： 在前面的假設(shè)下，估計 SRI軟件是這樣形 成的： ? 首先有 SRI（含軟硬件）的規(guī)格說明（ 無阿麗亞娜 4的附加需求，但也無針對 阿麗亞娜 5的測試要求和操作限制） ? SRI分包商基于繼承性，決定重用阿麗 亞娜 4的 SRI軟件，至少對該決定的評審是不充分的 ? 之后進行的一系列測試，一方面是由于規(guī)格說明中沒有明確規(guī)定，另一方面是自身也沒有主動去求細求全，再有一些觀念問題（后面分析），總之，是