1996 年 6 月 4 日上午,第一枚阿丽亚娜 5 型火箭从法属圭亚那的库鲁升空。箭上是四颗「星簇」(Cluster)科学卫星,这项任务 1982 年 11 月就提出了。
头半分钟左右,飞行一切正常。主发动机点火指令发出后第 36.7 秒,负责测量火箭姿态和运动的备用惯性基准系统停止工作。大约 0.05 秒后,正在工作的那一台也停了,原因相同。它往主计算机发了一串诊断用的比特,主计算机当成飞行数据来读,把助推器和主发动机的喷管摆到极限位置,去纠正一个根本没发生的姿态偏差。第 39 秒前后,火箭开始解体,自毁系统在约 4 公里高处启动。
由法国科学院的雅克-路易·利翁斯担任主席的独立调查委员会,大约六周后交出报告。报告说,这台装置的设计和阿丽亚娜 4 型上正在用的那台「几乎一样」,「软件尤其如此」。
出错的是一段发射前给惯性平台做校准的软件。在 5 型上,火箭一离地它就没有用处,却还要再跑大约 40 秒:4 型遇到倒计时临时中止时需要这项功能,这个要求「出于通用性考虑」被保留下来。5 型头 40 秒里水平速度的增长比 4 型快五倍,一个和这个速度相关的数值大到无法从 64 位浮点数转换成 16 位整数。这次转换没有加保护;规格书规定,遇到这类异常就停掉处理器;两台装置跑的又是同一套软件。
没人让这台装置见过新火箭的航线。委员会查明,各方「共同商定」不把 5 型的飞行轨迹数据写进这台装置的需求和规格书。报告写道:「SRI 的供应商只是在执行交给它的规格书。」没有任何测试让这台装置跑过 5 型的倒计时、飞行时序和轨迹。委员会说,这样一项地面测试本可以让问题暴露出来。
本来还有第二次机会。1992 年,项目决定不把真装置放进全系统闭环飞行仿真,理由之一是这些装置「应被视为在设备一级已完全鉴定合格」。委员会认为这些理由在技术上站得住,但假定关键设备靠单独鉴定、或靠在 4 型上用过就算验证过了,「有明确的风险」。
委员会一共提了 14 条建议,多数关于软件和测试:升空后立即关掉校准功能,测试里尽量放进真设备,规格书里写进飞行轨迹。最后一条讲的是合作各方本身:「需要紧密的工程合作,权责分明,才能实现系统的一致;合作伙伴之间的接口要简单、清楚。」
四年后,「星簇」任务重新出发,分两批,于 2000 年 7 月 16 日和 8 月 9 日各发射两颗。