首页 › 案例
阿丽亚娜 5 型火箭项目(欧洲航天局与法国国家空间研究中心) · 1996 年

没见过新航线的装置

阿丽亚娜 5 型几乎原样沿用了前代火箭的惯性基准装置,它的规格书却没写新火箭的航线。升空约 30 秒后,两台装置先后停机。

◷ 约 2 分钟

1996 年 6 月 4 日上午,第一枚阿丽亚娜 5 型火箭从法属圭亚那的库鲁升空。箭上是四颗「星簇」(Cluster)科学卫星,这项任务 1982 年 11 月就提出了。

头半分钟左右,飞行一切正常。主发动机点火指令发出后第 36.7 秒,负责测量火箭姿态和运动的备用惯性基准系统停止工作。大约 0.05 秒后,正在工作的那一台也停了,原因相同。它往主计算机发了一串诊断用的比特,主计算机当成飞行数据来读,把助推器和主发动机的喷管摆到极限位置,去纠正一个根本没发生的姿态偏差。第 39 秒前后,火箭开始解体,自毁系统在约 4 公里高处启动。

由法国科学院的雅克-路易·利翁斯担任主席的独立调查委员会,大约六周后交出报告。报告说,这台装置的设计和阿丽亚娜 4 型上正在用的那台「几乎一样」,「软件尤其如此」。

出错的是一段发射前给惯性平台做校准的软件。在 5 型上,火箭一离地它就没有用处,却还要再跑大约 40 秒:4 型遇到倒计时临时中止时需要这项功能,这个要求「出于通用性考虑」被保留下来。5 型头 40 秒里水平速度的增长比 4 型快五倍,一个和这个速度相关的数值大到无法从 64 位浮点数转换成 16 位整数。这次转换没有加保护;规格书规定,遇到这类异常就停掉处理器;两台装置跑的又是同一套软件。

没人让这台装置见过新火箭的航线。委员会查明,各方「共同商定」不把 5 型的飞行轨迹数据写进这台装置的需求和规格书。报告写道:「SRI 的供应商只是在执行交给它的规格书。」没有任何测试让这台装置跑过 5 型的倒计时、飞行时序和轨迹。委员会说,这样一项地面测试本可以让问题暴露出来。

本来还有第二次机会。1992 年,项目决定不把真装置放进全系统闭环飞行仿真,理由之一是这些装置「应被视为在设备一级已完全鉴定合格」。委员会认为这些理由在技术上站得住,但假定关键设备靠单独鉴定、或靠在 4 型上用过就算验证过了,「有明确的风险」。

委员会一共提了 14 条建议,多数关于软件和测试:升空后立即关掉校准功能,测试里尽量放进真设备,规格书里写进飞行轨迹。最后一条讲的是合作各方本身:「需要紧密的工程合作,权责分明,才能实现系统的一致;合作伙伴之间的接口要简单、清楚。」

四年后,「星簇」任务重新出发,分两批,于 2000 年 7 月 16 日和 8 月 9 日各发射两颗。

这件事里藏着几个道理

三种交互模式合作各方把惯性基准装置当成从 4 型拿来的现成盒子,沿用一份没写 5 型航线的规格书,系统测试里也用模拟件顶替。调查委员会要求各方紧密开展工程合作,接口简单、清楚。

出处

  1. 阿丽亚娜 5 型 501 次飞行失败调查委员会报告(主席:Jacques-Louis Lions),巴黎,1996 年 7 月 19 日
  2. 欧洲航天局,Cluster II operations