简述北京理工大学软件工程实践.ppt

北京理工大学软件工程实践 汤铭端 中国航天科工集团公司204所 第十六讲 欧洲宇航局（ESA）阿丽亚娜 5 501飞行失败案例分析 目的 通过案例了解ESA的一些软件工程情况 了解容易发生问题的环节 阿丽亚娜 5 501飞行故障分析报告 说明 分析和报告主要基于ESA的报告 汇报分六个部分： 501飞行 事故描述 事故分析 产生故障的原因 501故障分析委员会的建议 501飞行 阿丽亚娜5的501飞行：阿丽亚娜5的首 次鉴定（qualification)飞行 这样的飞行计划安排三次 飞行在Guiana空间中心进行 阿丽亚娜5计划由ESA授权CNES（法国 航天局）进行管理 主要元部件于2月14日到达Kourou 2月19日和20日在CNES进行了501飞行 的飞行就绪评审（Flight Readiness Review） 在对组成火箭的硬件的质量与配置进行了仔细试验后，准许启动501飞行战役 501飞行战役于1996年3月4日开始 如一切顺利，计划在1996年5月15日 起飞 其间，由于卫星安装后延，起飞时间调整为5月30日 5月25日，在燃料过氧化氮（N204）的 加注阶段出现故障，起飞再次延迟 在5月30日和31日进行起飞就绪评审 （launcher Readiness Review） 起飞在6月4日Kourou时间08:35至10:15 进行 飞行失败 ESA/CNES 6月4日公告 阿丽亚娜5的首次飞行没能确认欧洲的新型运载火箭 这是一个全新运载器的首次飞行，它的每一个部 件在过去的年月里都在地面被测试。 对这个全新的设计，运载火箭使用了威力十倍于 阿丽亚娜4的发动机。其电子中枢的威力比以前 阿丽亚娜运载火箭的百倍还要强。非常多的鉴定 评审和地面测试对所有选择的正确性进行了极其 严格的检查。但是，没有绝对的保证。一个飞行 器的能力只能在真实条件下飞行后才能被确定。 计划中的第二次飞行已经安排在数月后进行。在此之前，将尽一切力量去查找事故原因，并进行必要的更正以保证第二次试验的成功。在以后的数天里将组成一个调查委员会。他们被要求在七月中旬提交一份完全独立的，报告，确定事故的原因，提出为避免如何进一步的事故而设计的修正建议。 阿丽亚娜5是欧洲航天事业的一项主要挑战。该计划 中所有队伍的技能，与所有行政、技术、工业领导的决心和团结一起，使我们对最后的成功充满信心。 6月6日发布了关于501飞行失败的第一次信息 501飞行于1996年6月4日在Kourou的 Guiana空间中心进行 箭上带有四颗研究地球－太阳作用的卫星 09:33:59火神发动机正常点火 H0+7.5s助推器正常点火、正常起飞 至H0+37s飞行导引和轨道正常 速度0.7马赫，高度3500米 根据遥测发现，在H0+37s至H0+39s，所有助推器的喷管转至极限，由此引起火箭急剧倾斜，过大的动力过载导致解体和自毁 对遥测数据的初步分析说明推进器功能正常，调查的方向主要为“电子和软件系统” 6月10日 ESA、CNES的局长决定 1。加强对所有火箭部件的起飞鉴定评 审的调查权力，特别要进行一些特殊的审查 2。建立调查委员会 调查委员会被授权 —确定发射故障的原因； —调查与所发生问题有关连的鉴定测试和验收测试是否适合； —提出纠正措施，以排除异常起因及事故中发现的系统的其它弱处。 委员会在技术顾问委员会的协助下，可接触委员会需要的所有人员、文档、硬件设备。 在七月中旬提交报告 7月23日ESA公布了调查结果 7月25日获得了“501飞行故障”报告 ARIANE 5 Flight 501 Failure 我们的讨论基于这份报告 另有一份严格限制传阅的技术报告无法获得 事故描述 阿丽亚娜501的故障是由于主发动机点 火后37秒(起飞后30秒)制导和姿态信息 完全丢失造成的。信息的丢失是由于 SRI软件的规格说明和设计错误引起的 描述导致失败的错误、产生错误的原因 在阿丽亚娜５研制过程中进行的广泛评审和测试未包括对SRI或完整的飞行控 制系统进行充分的分析和测试，而这样的测试是能够查出潜在的故障的。 指出错误没有在事先被发现的原因 下面详细描述一下导致失败的错误 如何分析和发现错误并准确定位，在下一部分讨论 在再下一部分讨论产生错误的原因 涉及故障的几个部件： SRI1和SRI2：双备份的惯性制导系统 OBC：箭载计算机 火神发动机 固体助推器 阿丽亚娜５的飞行控制系统是一个标准设计。运载火箭的姿态和空间运动是由惯性制导系统(SRI)测量得到，SRI内部带 有计算机，根据带有激光陀螺和加速度表的“捷联”惯性平台提供的信息，计算角度和速度。来自SRI的数据通过数 据总线传输到箭载计算机(OBC)，箭载 计算机执行飞行程序，通过伺服机构控制固体助推器和火神(