【正文】 不充分的。對 SRI的切換控制 3。 軟件重用分析： ? 軟件重用分析基于一個錯誤觀點： 除非證明確有必要，要改變阿麗亞娜４中工作良好的軟件是不明智的 ? 即使如此，不對阿麗亞娜 5與阿麗亞娜 4的差異進(jìn)行全面細(xì)致的分析，無疑是完全錯誤的 其它： 報告中對 OBC軟件的不足只字未提，但似乎還有一些疑義： 1。但缺乏對驗收測試和環(huán)境約束的明確規(guī)定。 阿麗亞娜 5的問題： ? 整個報告中對 SRI軟件功能和設(shè)計中的 問題都是針對阿麗亞娜 4的 SRI軟件的 ? 報告中介紹：阿麗亞娜 5和阿麗亞娜 4的SRI軟件完全一樣 ? 報告把重點放在為什么阿麗亞娜 5的檢 測沒有發(fā)現(xiàn)問題 因此 ... 懷疑： 阿麗亞娜 5的 SRI軟件是在一個不充分的分析、評審下，決定完全重用阿麗亞娜 4 的 SRI軟件的。以此來保護系統(tǒng)正常工作。 這就導(dǎo)致對軟件無冗余 也就導(dǎo)致兩個正常工作的關(guān)鍵設(shè)備關(guān)機 觀念錯誤： ? 軟件在出現(xiàn)錯誤之前總被認(rèn)為是正確的 ? 除非被嚴(yán)格證明，總應(yīng)假設(shè)軟件中含有錯誤。 觀念錯誤： 傳統(tǒng)思想：只注意硬件隨機故障。 對 BH，在阿麗亞娜 5肯定錯了，在阿麗亞娜 4也危險 （什么是充足？） 但該決定卻被各方認(rèn)可 （懷疑也有走過場，或被不嚴(yán)謹(jǐn)?shù)姆治鏊煜? 為什么關(guān)機？ ? 運算出錯，如妥善處理，不一定就會造成飛行失敗 ? 可怕的是在異常處理的規(guī)格說明中規(guī)定：故障在數(shù)據(jù)總線上應(yīng)該指示出來，故障的來龍去脈也應(yīng)該貯存在 EEPROM貯存器中，最后 SRI處理器應(yīng)關(guān)機 ? 這個決定是致命的，重新啟動是不可能的 為什么關(guān)機？ ? 上述決定是建立在自認(rèn)： 有異常必是硬件出錯了，修也修不好，沒辦法，關(guān)機了事。 阿麗亞娜 4似乎考慮到了這些異常 －這可 能與 Ada的嚴(yán)格和可靠性設(shè)計要求有關(guān) 為什么缺少異常保護？ ? 七個變量在浮點數(shù)向整數(shù)轉(zhuǎn)換時有危險 ? 保護了四個 ? 不全保護是因為 SRI已占其能力的 80％ 有異議 異議 ? 保護工作在不出異常時不占多少資源 ? 不保護，難道在真出現(xiàn)異常時還去為了保護余量而死機嗎？（這是軟件問題，軟件沒有冗余，要死全死） 為什么缺少異常保護？ 異常是否保護的決定不嚴(yán)謹(jǐn)。為什么缺少異常保護？ 3。其它可能的缺陷 阿麗亞娜 4的問題主要為： 1。阿麗亞娜 5的問題 3。 （這也帶來了一些含糊） ? 故障分析委員會避開了阿麗亞娜４的問題 ? 但這是避不開的 對開發(fā)的全面分析可考慮這幾個方面： 1。 ? 出現(xiàn)了新情況、新問題 ? BH值比預(yù)想的大很多，因為阿麗亞娜５軌道起始部分與阿麗亞娜４不同，存在更大的水平速度值。 ? 盲目重用、過分強調(diào)控制技術(shù)狀態(tài)更改 ? 由于一個稱為 BH(水平偏差 )的內(nèi)部校準(zhǔn)功能結(jié)果的值出乎意料的大，運算錯誤就出現(xiàn)了。 ? 盲腸 ? 校準(zhǔn)功能工作 50秒，在阿麗亞娜５在 H0－ 3秒啟動的 SRI飛行模式，在起飛后該功能持續(xù)工作約 40秒的飛行時間。雖然在代碼中同一位置的其它變量轉(zhuǎn)換被保護了，但是這個數(shù)據(jù)轉(zhuǎn)換指令 (Ada語言 )運算數(shù)錯誤沒有被保護。 ? 內(nèi)部 SRI軟件異常是由執(zhí)行從 64位浮點 數(shù)向 16位帶符號整數(shù)轉(zhuǎn)換時引起的。 ? 為什么 SRI1早一個周期停機？ ? 有專家說： SRI1和 SRI2中各有備份的敏感設(shè)備，其測量是有誤差的。 OBC有無缺陷？ 一種設(shè)想： OBC已知 SRI1失效，后來又發(fā)現(xiàn) SRI2失效，反正兩臺 SRI都失效后發(fā)現(xiàn)肯定失敗，于是亂算一氣 另一種設(shè)想：一臺 SRI失效后，對另一臺 SRI就不判別失效，因為失效后，判別也是死，不判別也是死 還有：就是 OBC根本沒有判別出 SRI2失效 總之， OBC功能并不完備。它送的診斷信息應(yīng)包括在接口說明中？ 2。 ? 這里有疑問的地方很多 疑問 1。 ? 也有遙測數(shù)據(jù)為證 ? 噴管偏轉(zhuǎn)指令由箭載計算機 (OBC)軟件 根據(jù)主慣性制導(dǎo)系統(tǒng) (SRI2)提供的數(shù)據(jù) 發(fā)出，而該時刻的部分?jǐn)?shù)據(jù)不含有正常飛行數(shù)據(jù)，表示的是SRI2計算機的診斷位模式，但它卻被認(rèn)為是飛行數(shù)據(jù)。 引起了很高的氣動載荷，導(dǎo)致了助推級與主級分離，繼而運載火箭的自毀系統(tǒng)自動點火。 ? 復(fù)原結(jié)果已報告故障分析委員會 ? 據(jù)這些信息故障分析委員建立了故障事件鏈及其內(nèi)在聯(lián)系和因果關(guān)系，從火箭自毀開始按時間追溯到最初起因。 其它： ? ESA在 6月 14日公告：飛行器設(shè)備艙內(nèi)的大部分設(shè)備已被復(fù)原和審查。 ? 關(guān)于原因有些初步解釋并正在調(diào)查之中。 ? 該設(shè)備的檢驗結(jié)果對分析故障序列是非常有用的。 殘骸回收： ? 從殘骸中找回了兩個 SRI?；鹕癜l(fā)動機和兩個助推器正常點火并起飛 （點火、起飛也沒問題） 初步分析： ? 運載火箭在 H0＋ 36秒前正常工作； ? 備份慣性制導(dǎo)系統(tǒng) (SRI)先失效后，主 SRI也隨即失效 （遙測數(shù)據(jù)） ； ? 兩個固體助推器噴管轉(zhuǎn)到極限位置，接著火神發(fā)動機的噴管也轉(zhuǎn)到極限位置，引起運載火箭突然轉(zhuǎn)向 （遙測數(shù)據(jù)） ； ? 固體助推器與芯級的連接斷裂引起運載火箭的自毀裝置自動點火。 后來飛行延遲至預(yù)報能見度好轉(zhuǎn) （因此天氣不成問題） 起飛情況： 倒計時在 H0(主低溫發(fā)動機點火命令 )－ 7 分鐘之前一直順利進(jìn)行， H0－ 7分鐘由 于發(fā)射窗口開始時刻 (當(dāng)?shù)貢r間 08h35)不滿足能見度規(guī)定，發(fā)射推遲。特別是沒有閃電危險，因為在發(fā)射場 地所測到的電場強度可以忽略。 ? 帶符號 16位整數(shù)的取值范圍是： ＋ 32767 ~ － 32768 ? 當(dāng) 64位浮點數(shù)超出上述范圍時，就產(chǎn)生一個運算錯誤（異常， exception） ADA語言對異常的處理： ? 任何錯誤都不放過 ? 出錯后，馬上轉(zhuǎn)到本模塊的異常處理部分 根據(jù)異常類型尋求保護（那里應(yīng)有相應(yīng)的 保護措施） ? 本模塊中如無保護，則跳入上一個模塊（ 調(diào)用本模塊的模塊）尋求保護 ? 上過程循環(huán)至找到保護或至主程序 ADA 主程序 子程序 1 子程序 2 子模塊 ADA語句 說明 功能語句 異常處理語句 怎么發(fā)的炎： ? 蔓延： ? 阿麗亞娜 5在起飛后， BH值轉(zhuǎn)換時超限 （需求錯） ? SRI中對由 BH引起的超限異常沒有保護 （設(shè)計錯） ? 對 SRI有一項要求