【正文】 行一些特殊的審查 2。 ? 委員會在技術(shù)顧問委員會的協(xié)助下，可接觸委員會需要的所有人員、文檔、硬件設(shè)備。信息的丟失是由于 SRI軟件的規(guī)格說明和設(shè)計(jì)錯(cuò)誤引起的 ? 描述導(dǎo)致失敗的錯(cuò)誤、產(chǎn)生錯(cuò)誤的原因 ? 在阿麗亞娜５研制過程中進(jìn)行的廣泛評審和測試未包括對 SRI或完整的飛行控 制系統(tǒng)進(jìn)行充分的分析和測試，而這樣的測試是能夠查出潛在的故障的。運(yùn)載火箭的姿態(tài)和空間運(yùn)動(dòng)是由慣性制導(dǎo)系統(tǒng)(SRI)測量得到， SRI內(nèi)部帶 有計(jì)算機(jī)，根據(jù)帶有激光陀螺和加速度表的 “ 捷聯(lián) ” 慣性平臺提供的信息，計(jì)算角度和速度。 ? 為了提高可靠性，在設(shè)備層有不少冗余。以一個(gè) SRI為主，另一個(gè)作為 “ 熱 ” 備份。 ? 同樣有兩個(gè) OBC，飛行控制系統(tǒng)中還有很 多設(shè)備都是雙備份的。因?yàn)橛布目? 靠性一般比軟件高。為什么阿麗亞娜 5的 SRI軟件還有功能多余物？ ? 2。 ? 在 SRI軟件運(yùn)行校準(zhǔn)功能時(shí)，要執(zhí)行一些數(shù) 據(jù)轉(zhuǎn)換語句，將一個(gè)變量的 64位浮點(diǎn)值轉(zhuǎn)換成 16位的帶符號整數(shù)值。 怎么發(fā)的炎： ? 影響： ? 由于阿麗亞娜 5軌道的起始部分于阿麗亞娜 4不一樣，水平速度更大，與此相關(guān)聯(lián)的水平偏差 BH比預(yù)想的大得多。 （需求錯(cuò)） 怎么發(fā)的炎： ? 爆發(fā)： ? 異常得不到保護(hù)，引起 SRI2關(guān)機(jī) ? 軟件沒有冗余 （觀念錯(cuò)） ， SRI1同樣關(guān)機(jī) （ SRI1早一個(gè)時(shí)鐘周期就關(guān)機(jī)了） ? SRI向 OBC傳診斷信息，卻被 OBC當(dāng)作了正 常的姿態(tài)信息 （看來還有接口問題，另外 ，OBC應(yīng)檢測出 SRI2故障并切換） ? OBC指令主發(fā)動(dòng)機(jī)和助推器噴管轉(zhuǎn)至極限 怎么發(fā)的炎： ? 結(jié)果： ? 姿態(tài)迅速改變，氣動(dòng)載荷導(dǎo)致火箭解體 ? 解體后，自毀裝置自動(dòng)點(diǎn)火 ? 自毀，爆炸 問題： ? 技術(shù)錯(cuò)誤如前所述，很多很多，有些還 是觀念錯(cuò)誤 ? 評審、測試沒有查出錯(cuò)誤是錯(cuò)中之錯(cuò) ? 過程的錯(cuò)也反映了管理的錯(cuò) 事故分析 委員會進(jìn)行調(diào)查的基礎(chǔ)和原始信息： ? 文檔和實(shí)物（未參加 501飛行） ? H0＋ 42秒前地面接收到的遙測數(shù)據(jù) ? 雷達(dá)站的軌道數(shù)據(jù) ? 光學(xué)觀測 ? 回收殘骸 天氣情況： 發(fā)射場的天氣對發(fā)射來說是可接受的，在 運(yùn)載火箭被運(yùn)至發(fā)射臺時(shí)沒有造成阻礙 。唯一的 不確定性是能見度標(biāo)準(zhǔn)的履行情況。后預(yù)報(bào)能見度將好轉(zhuǎn)， H0＝ 09h33mn59s開始發(fā)射。 ? 故障的原因很快局限于飛行控制系統(tǒng)，特別是兩個(gè)慣性制導(dǎo)系統(tǒng)，很明顯地在 H0＋ 乎同時(shí)失效。 ? 特別有用的是主模式工作并停止在后的SRI2，因?yàn)橐恍┡c它有關(guān)的信息未能從遙測數(shù)據(jù)中獲得 (遙測數(shù)據(jù)確定了兩 SRI 中哪一個(gè)首先失效 －對遙測數(shù)據(jù)不滿 )。 （個(gè)人認(rèn)為：對故障定位太有用了） 無關(guān)的異常： ? 有些異常在以前試飛時(shí)出現(xiàn)過，被認(rèn)為無關(guān) ? 引起注意異常是控制主發(fā)動(dòng)機(jī)噴管的液壓伺服機(jī)構(gòu)的液壓波動(dòng)，它始于 H0+22 秒并逐漸發(fā)展，變化的頻率約 10Hz。 ? 委員會考慮后認(rèn)為該異?，F(xiàn)象雖然重要， 但與阿麗亞娜５ 01故障無關(guān)。已經(jīng)顯示在阿麗亞娜 5操作模式中存在與慣性平 臺有關(guān)的故障。 故障事故鏈 ? 運(yùn)載火箭在大約 H0+39秒時(shí)開始解體， 原因是由于攻角大于 20176。 ? 可通過遙測數(shù)據(jù)分析獲得 ? 這個(gè)攻角是由于固體助推器和火神主發(fā)動(dòng)機(jī)噴管的極限偏轉(zhuǎn)造成的。 ? 噴管系統(tǒng)的異常被排除了 ? OBC有沒有問題？ ? SRI肯定有問題，遙測說明它關(guān)機(jī)了 ? 以下的分析大概就要靠復(fù)原和仿真了 ? 主 SRI2沒有傳送正確姿態(tài)數(shù)據(jù)的原因是由于軟件上的異常。 SRI最后向 OBC送了什么？ SRI按需求異常處理不了就停機(jī)。 OBC是否發(fā)現(xiàn)了 SRI的異常？ OBC對 SRI的工作流程應(yīng)該為： 輸入、判別是否異常、異常時(shí)切換 現(xiàn)在 SRI1已先停機(jī)，應(yīng)該已報(bào)告 OBC ？ SRI2的輸入應(yīng)包含停機(jī)的診斷信息 ？ 如果 OBC判斷出 SRI2失效，為何還要計(jì)算 ？ 如果 OBC沒有判別出 SRI2失效， SRI1停不停機(jī)都無所謂？ 3。 ? 當(dāng)然，致命的是 SRI軟件無冗余和停機(jī) ? OBC不能切換到備份 SRI1，由于與 SRI2一樣的原因，在前一數(shù)據(jù)周期 (72ms)， SRI1已經(jīng)停止了工作。可能上一周期 BH在邊緣， SRI2中沒有超 限，而 SRI1中超限了。被轉(zhuǎn)換的浮點(diǎn)數(shù)值大于 16位帶符號整數(shù)可表達(dá)的值，這就導(dǎo)致了一個(gè)運(yùn)算錯(cuò)誤。 ? ADA中找錯(cuò)誤，當(dāng)然先找那些沒有保護(hù)的異常 ? 這個(gè)錯(cuò)誤僅會在執(zhí)行捷聯(lián)慣性平臺校準(zhǔn)的那部分軟件中出現(xiàn)，該軟件模塊僅在起飛前作有意義的計(jì)算，運(yùn)載火箭一旦起飛，該功能就沒用了。這個(gè)時(shí)序是根據(jù)阿麗亞娜４的要求制定的，但阿麗亞娜５沒有此要求。這個(gè)水平偏差是與平臺敏感到的水平速度是相關(guān)聯(lián)的，它的計(jì)算值表示了隨時(shí)間變化的校準(zhǔn)精度。 ? 沒有認(rèn)識到，或不負(fù)責(zé)任地忽略 產(chǎn)生故障的原因 錯(cuò)誤的產(chǎn)生包括兩個(gè)部分： ? 開發(fā)：為什么要這樣編？ ? 檢測：評審和檢查為什么沒有發(fā)現(xiàn)？ 軟件開發(fā)方面： ? 從全報(bào)告看，故障分析委員會試圖對事不對人，只對阿麗亞娜５的故障發(fā)表看法。阿麗亞娜 4的問題 2。系統(tǒng)和觀念的問題 4。為什么有功能多余物？ 2。為什么關(guān)機(jī)？ 為什么有功能多余物？ 很奇怪，報(bào)告只說了校準(zhǔn)功能為什么要延長，卻沒有說為什么要延長到點(diǎn)火后的50秒，而不在點(diǎn)火時(shí)終止？ 可能是很難辦，如得不到準(zhǔn)確點(diǎn)火時(shí)間 否則就是一個(gè)大失誤 為什么缺少異常保護(hù)？ 異常有很多類，除自定義的異常外， ADA支持五種預(yù)定義異常：約束異常、數(shù)值異常、程序異常、存儲異常、任務(wù)異常 這里出現(xiàn)的轉(zhuǎn)換異常可含在數(shù)值異常中。 三個(gè)變量（含 BH）不保護(hù)的原因是：實(shí) 際已受限 or有充足余量。 ? 這是由嚴(yán)重的觀念錯(cuò)誤造成的。從這個(gè)觀點(diǎn)出發(fā)，異?；蝈e(cuò)誤處理機(jī)制是為硬件隨機(jī)故障設(shè)計(jì)的，硬件隨機(jī)故障通過備份系統(tǒng)是能夠得到解決。 ? 在設(shè)計(jì)時(shí)應(yīng)考慮到軟件會有異常（允許它出錯(cuò)并對此預(yù)防），有時(shí)必須假定它就有錯(cuò)并對此進(jìn)行保護(hù)。 觀念錯(cuò)誤： ? 軟件故障和硬件不太一樣 ? 硬件會在同樣條件下由于老化等原因失效，軟件確不會 ? 對軟件也應(yīng)有冗余，而且是特殊的冗余，例如多版本軟件等。（可能連軟件的需求分 析都沒有重做） 因此阿麗亞娜 5的問題可能就是：系統(tǒng)規(guī) 格說明不全、軟件重用分析不細(xì)、評審和測試問題 阿麗亞娜 5： ? 不能相信阿麗亞娜 5對 SRI的規(guī)格說