Tên lửa Ariane 5 phát nổ khoảng 37 giây sau khi phóng vì phép chuyển đổi số thực 64 bit sang số nguyên 16 bit bị tràn trong phần mềm kế thừa từ Ariane 4. Phân tích theo báo cáo Hội đồng điều tra ESA: vì sao tái sử dụng không đồng nghĩa với đã kiểm chứng.
ESA ghi nhận các bài thử thiết bị và hệ thống chưa đủ thực tế, mô phỏng không bao gồm chức năng căn chỉnh. Control Quality dựa trên dữ liệu thử nghiệm — nếu kịch bản thử không phản ánh điều kiện vận hành thật, kết quả "đạt" tạo cảm giác an toàn giả.
Hội đồng chỉ ra việc phân tích SRI và toàn bộ hệ điều khiển bay trong các kỳ rà soát chưa đầy đủ. Kiểm toán chất lượng và rà soát thiết kế (design review) cần đặt câu hỏi về giả định và tương tác, không chỉ kiểm tra từng thành phần.
Ghi rõ dải giá trị, môi trường và yêu cầu mà thành phần được kiểm chứng; so sánh với yêu cầu mới và đưa khác biệt vào nhật ký giả định (assumption log) và sổ đăng ký rủi ro.
Thành phần tái sử dụng chỉ được tích hợp khi:
Mọi biến có thể tràn đã được kiểm tra với dữ liệu quỹ đạo/vận hành của sản phẩm mới.
Chức năng không cần trong giai đoạn vận hành phải bị vô hiệu hoá hoặc chứng minh vô hại.
Chạy mô phỏng vòng kín với thiết bị thật và quỹ đạo bay dự kiến.
Ngoại lệ không được phép tắt toàn bộ chức năng quan trọng; áp dụng đa dạng hoá (diversity) để tránh lỗi chung chế độ ở hệ dư thừa.
Theo khuyến nghị của Hội đồng, đưa thiết bị thật vào môi trường kiểm định và mô phỏng quỹ đạo bay thật — chi phí thẩm định cao hơn nhưng nhỏ hơn rất nhiều so với chi phí thất bại.
Tổ chức rà soát liên ngành, tập trung vào tương tác và giả định giữa các phân hệ, có chuyên gia độc lập tham gia.
"Đã chạy tốt ở dự án trước" không phải là bằng chứng chất lượng cho dự án này. PM phải yêu cầu tái kiểm chứng mọi thành phần kế thừa theo yêu cầu mới, và thiết kế kiểm thử phản ánh điều kiện vận hành thật thay vì điều kiện thuận tiện.
Bạn chọn phương án nào?