【正文】 要達到系統(tǒng)協(xié)調，需要在合作伙伴間具有緊密的工程合作、明確的責任和權力劃分、以及簡單又明確的界面關系。改進技術以保持代碼與說明文件相一致； ? 文實一致，永遠是很重要的 ? 配置管理是一種保證方法，但要嚴格執(zhí)行 ? 同時還需要不斷改進和完善 ? 當然，這一切都建立在首先要寫、要按時寫文檔 ? R13. 建立一個小組，他們?yōu)榘Ⅺ悂喣龋禍蕚滂b定軟件的過程，提出確認這一鑒定的嚴格規(guī)則，并保證在阿麗亞娜５中軟件的規(guī)格說明、軟件的驗證和測試，具有一致的高質量。軟件技術評審有其特定含義 ? 3。確 保這些評審考慮了論據本身，而不是檢查已作完的驗證工作； ? 1。 ? 這些具體的要求應納入技術評審、走查、審查的檢查單 ? 同時也應納入可靠性設計指南 ? 對此在評審中嚴格檢查 ? 對評審的要求要規(guī)范化 ? R6. 若技術上可行，應考慮將異常限制在任務和設備備份能力之內； ? 將自身的異常處理本身就當作一項任務和需求 ? 還要考慮備份－－軟件冗余 ? R7. 為遙測提供較多的關于元部件故障數據，以降低回收設備的必要性； ? 看的出，他們對遙測不滿意 ? 遙測應立足于在失敗后能提供故障分析的足夠數據 ? 首先假設：飛行失敗 ? R8. 重新考慮關鍵部件的定義，把軟件引起的故障考慮進去 (特別是單點失效 )。 ? 驗證軟件中任何內部或傳送變量的取值范 圍。 ? R5. 評審所有飛行軟件 (包括嵌入式軟件 )， 特別是 ? 判別所有在代碼及其說明文件基于設備提 供的數量值構成的隱含假設。所有該設備的使用限制應當向評審委員會明確、顯式地報告。 ? 這一條應作為通用的設計規(guī)范 ? 以后就不用每次都要求在規(guī)格說明中寫明確了 ? 事實上這是最低、最基本的要求，不知怎么給丟了 ? R3. 不允許任何敏感器，如 SRI，停止傳送 正確的數據； ? 應該是對軟件錯誤，應作處理，而不去關機 ? 如是硬件錯誤，也只好關機 ? 本質上是應允許軟件出錯，并對此進行預防、處理和保護 ? 還有，軟件也要冗余，以保護意想不到的錯誤 ? R4. 對每一個與軟件一體的設備項目，組織一個專門的軟件鑒定評審。在任何飛行試驗之前必須進行完整的仿真。 501故障分析委員會的建議 基于分析和結論，阿麗亞娜 5故障 分析委員會作出如下 14條建議： ? R1. 起飛后立即關掉 SRI的校準功能。信息的丟失是由于 SRI 軟件的規(guī)格說明和設計錯誤引起的。這些仿真真實地再現(xiàn)了導 致 SRI故障的事件鏈。假如用了SRI，故障就會被檢查出來。 SRI在技術上 是可行的。 阿麗亞娜５軌道數據。 加的評審過程的目的是確認設計，并通過飛 行試驗資格。 速度逐漸增大的軌道，該水平速度比阿麗亞 娜４的水平速度大 5倍多。采取這一設計決定時，沒有分析或完全理解當在起飛后校準軟件操作時，這個特殊變量會取那些值。 n. 在用于阿麗亞娜４和 5的 SRI軟件設計中，采取了一個決定，即不必對 SRI計算機由于與水平速度相關的變量值過大而產生的不可操作進行保護。在 SRI計算機中產生停 機的軟件部分在發(fā)射前用于校準 SRI， 阿麗亞娜４在倒計時停頓情況下同時保證可迅速地對系統(tǒng)再校準。在恢復的設備中有兩個 SRI，它們已用于分 析。 ，主 SRI實際上是傳送診斷信息給運載火箭主計算機，這些信息被當作了飛行數據并用于飛行控制計算。這是由于一個與運載火箭水平速度有關的內部變量超過計算機軟件要求的限制值引起的 ，硬件、軟件與備份系統(tǒng)一 樣的主SRI由于同樣的原因失效。推進器性能滿足規(guī)格說明的要求 22秒，控制主發(fā)動機噴管的液壓伺服機構開始出現(xiàn)頻率為 10Hz的壓力變化。 分析總結 ，無與故障 有關的事件發(fā)生； ，對故障的 發(fā)生沒有影響。 評審完 其它推論： 報告中似乎對 ESA的軟件開發(fā)方法有疑義，有可能是針對開發(fā)過程及過程控制的 這與前面其它問題一起，可以看出，管理上還是有問題的。沒認識到測試覆蓋不能充分暴露這種軟件上的限制問題，也沒認識到在飛行中允許校準軟件工作可能造成的牽連影響。 ? 在一個如此規(guī)模的研制計劃中，在評審過程中確實已成功地解決了數千個問題和潛在故障，但 ... 評審： ? 但顯然不容易檢測出象引起阿麗亞娜 501故障的主要技術原因這種類型的軟 件設計錯誤。 確實是一個非常重要的方法。 測試完 評審的問題： 報告中對評審著墨不多 （可能是評審的技術性太強，不易量化和控制。 盡管希望得到高精度的仿真，但顯然以犧牲精 度來達到其它目標更可取，其中包括檢驗設 備例如 SRI的系統(tǒng)綜合性能。 委員會認為： 系統(tǒng)仿真測試的目的不僅要檢驗接口，還要把 系統(tǒng)作為完成特定用途的一個整體來檢驗。 但是 最初計劃以方法 b將 SRI置于回路。第二種方法便宜，其性能主要依賴于仿真精度。 不理解： ? 阿麗亞娜 5的 SRI的問題是在阿麗亞娜 5 正常飛行時就會發(fā)生的問題 ? 為什么 SRI、控制系統(tǒng)等層層的測試就 沒有一次是針對阿麗亞娜 5完整的飛行 全過程的？ ? 可能這樣的測試都要寫在規(guī)格說明中，這樣的話，對規(guī)格說明的忽略就是規(guī)范、管理的大問題了 仿真測試： ? 阿麗亞娜 5的仿真測試是驗證系統(tǒng)的性 能、功能、協(xié)調性 ? 不一定所有設備都用實物，但關鍵設備應置于回路 ? SRI由于其重要性，在開始是被要求置 于回路的 將 SRI置于回路有兩種方法： (用于激勵環(huán)形激光陀螺 )，用仿真的方法通過一個專用測試輸入接插件和一個專門為此設計的電路板來代替加速度表的模擬量輸出，這種方法與在設備層測試時提到的方法相似 ，通過一個專用測試 輸入接口來代替加速度表和環(huán)形激光陀螺二者的模擬量輸出。 委員會認為： ? 委員會已注意到 SRI的系統(tǒng)規(guī)格說明沒有 指明對所選用實現(xiàn)方案的操作限制。但測試時不考慮一個完整的工作程序，無疑是有欠缺的。鑒定測試 2。輸出的合理性分析及切換 開發(fā)問題完 評審與測試： 在前面的假設下，估計 SRI軟件是這樣形 成的： ? 首先有 SRI（含軟硬件）的規(guī)格說明（ 無阿麗亞娜 4的附加需求，但也無針對 阿麗亞娜 5的測試要求和操作限制） ? SRI分包商基于繼承性，決定重用阿麗 亞娜 4的 SRI軟件，至少對該決定的評審是不充分的 ? 之后進行的一系列測試，一方面是由于規(guī)格說明中沒有明確規(guī)定，另一方面是自身也沒有主動去求細求全，再有一些觀念問題（后面分析），總之，是