茶年 · 中文维基百科

星簇卫星

Wikipedia · 2025-01-21 维基百科 👁 1 阅读

阿丽亚娜V88飞行（Ariane flight V88）是1996年6月4日阿丽亚娜航天公司阿丽亚娜-5运载火箭首次失败的发射，该枚编号为501的运载火箭搭载了四颗由欧洲航天局研究卫星所组成的卫星群。

由于软件设计中的多个错误，发射以失败告终：对整数溢出保护不足的死代码（其运行仅有效于阿丽亚娜4号运载火箭），导致异常处理不当—停止整个惯性导航系统（否则就不会受到影响）。使火箭在发射37秒后偏离飞行轨道，在高空气动力作用下开始解体，最后通过自动飞行终止系统自毁。这一惨痛的失败成为历史上最著名、代价最昂贵的软件漏洞之一，这次失败造成的损失超过3.7亿美元。

发射失败
阿丽亚娜5型火箭沿用了阿丽亚娜4型惯性导航平台的代码，但两者的不同之处在于阿丽亚娜5型火箭早期飞行阶段的水平速度更高，这导致校准函数计算出的内部水平偏差值（BH）出乎意料地高。根据阿丽亚娜4型的需求，校准函数可运行约40秒的飞行时间。阿丽亚娜5号升空后校准函数实际不起任何作用：

P_M_DERIVE(T_ALG.E_BH) := UC_16S_EN_16NS (TDB.T_ENTIER_16S
((1.0/C_M_LSB_BH) *
G_M_INFO_DERIVE(T_ALG.E_BH)))
由于担心星载计算机运算能力的限制，软件开发前，程序员仅保护了七个关键变量中的四个免于溢出，并依赖三个未保护变量错误的假定取值范围（尽管这些假设对阿丽亚娜4型火箭轨迹是正确的）。该异常使两个惯性导航系统模块停止运行，虽然它们原本为冗余的。主动模块向星载计算机提交了被解释为飞行数据的诊断数位模式，尤其引起固体助推器和武尔坎主引擎喷嘴完全偏转，使攻角超过20度，进而造成助推器与主火箭分离，触发火箭自毁系统并中断飞行。关于坠毁事件的官方报告（由雅克·路易斯·利昂领导的调查委员会进行）指出，“阿丽亚娜5号开发的一个基本思路是倾向减少随机故障。惯性导航系统（SRI）的供应商只是遵循了给定的规范，即一旦检测到任何异常，就立即停止处理器工作。但这次发生的异常并非由于随机故障而是设计错误所产生。异常虽被检出，但处理并不恰当，因为直到故障出现前，该软件一直被认为是正确的[...]。尽管故障是由于系统软件设计错误造成，但可以引入机制来缓解此类问题。例如，惯性导航系统内的电脑应能继续提供所需姿态信息的最佳估测。允许甚至要求在软件异常时停止正在处理任务关键设备处理器的这一模式令人担忧。事实上，失去适当的软件功能非常危险，因为相同的软件在两台惯导单元中运行。在阿丽亚娜501火箭的案例中，它导致了两台仍正常的关键设备被关闭” 。

报告确认的有关测试的其他问题：

  • 水平速度和由此计算出的水平偏差数值等变量范围应明确量化，而实际情况是，仅假定为16位范围。
  • 校准任务应在适当的时候停用，实际情况是，起飞后就开始运行。
  • 应分析惯性导航平台的故障模型，以确保在整个飞行过程中能持续服务，而非只假定最多一台仪器会失效。现实情况是两台仪器都出现了故障，输出的诊断信息被解释为飞行数据，而不是正常终止飞行。

酬載
星簇卫星由四颗重1200公斤（2600磅）、安装有224瓦供电太阳能板的圆柱形自旋稳定航天器组成。四颗卫星将以四面体的形式飞行，旨在对地球磁层进行研究。卫星将被插入到17200x120600公里（10700x74900英里），朝赤道倾斜90度的高椭圆轨道上。
后果
故障发生之后，又建造了四颗替代的星簇2号卫星。2000年，它们搭载在联盟-U/佛盖特火箭上被成对发射升空。

发射失败使与复杂计算系统相关的高风险引起了公众、政界人士和高管层的重视，从而增加了对确保安全攸关系统可靠性研究的支持。随后对阿丽亚娜代码（用Ada语言编写）的自动分析是首个通过抽象解释进行大规模静态代码分析的示例。

这一失败也损害了欧洲航天局火箭系列的优异发射记录，这是由阿丽亚娜4型的高成功率所创造的。直到2007年，阿丽亚娜5型火箭才被公认为与以前的型号一样可靠。
另请查看

  • 火星气候探测者号从早期火星气候轨道器改编的软件在发射前没有经过充分测试。
  • 阿波罗制导计算机—阿波罗主要制导、导航和控制系统（PGNCS）故障，航天器导航计算机因子系统不适当地保持运行而受到影响。

参考文献
延伸阅读
*Thomas, L.D. (2007) Selected Systems Engineering Process Deficiencies and their Consequences. Acta Astronautica, 61, 406–415.
外部链接

#程式錯誤 #卫星发射失败 #Ada编程语言

评论 (0)

  • 还没有评论，来抢沙发吧。