ERAM là hệ thống máy tính mới xử lý dữ liệu radar và hiển thị cho kiểm soát viên không lưu đường dài của Cục Hàng không Liên bang Mỹ (FAA). Thử nghiệm trên luồng bay thật năm 2010 lộ lỗi chuyển giao tàu bay giữa các sector, buộc FAA dừng thử nghiệm; mốc hoàn thành lùi từ 12/2010 sang 8/2014, chi phí tăng từ 2,1 lên 2,4 tỷ USD và kéo trễ cả các chương trình NextGen phụ thuộc.
Phòng thí nghiệm chỉ kiểm thử được một số kịch bản hạn chế. Quy trình Kiểm soát chất lượng (Control Quality) và Xác nhận phạm vi (Validate Scope) cần dữ liệu và tình huống do chính người vận hành xây dựng — họ biết những tình huống chuyển giao phức tạp nào hay xảy ra.
FAA biết trước sẽ có lỗi phần mềm nhưng chỉ dành 6–9 tháng dự phòng cho một hệ thống an toàn trọng yếu. Dự phòng lịch (schedule reserve) phải được tính từ phân tích rủi ro định lượng chứ không phải con số ước chừng.
GAO ghi nhận các văn phòng chương trình hiểu mình phụ thuộc vào ERAM, nhưng FAA chưa có danh sách đầy đủ ảnh hưởng của việc trễ ERAM lên các chương trình khác. Quản lý chương trình (program management) phải duy trì bản đồ phụ thuộc và phân tích lan truyền tác động.
Thoả thuận với công đoàn và cơ quan quản lý để có kiểm soát viên tham gia thường xuyên vào đặc tả yêu cầu, rà soát giao diện và kiểm thử — điều FAA chỉ làm sau khi đã trễ.
Tiêu chí cho hệ thống an toàn trọng yếu phải do người vận hành cùng định nghĩa:
Bộ kịch bản kiểm thử do kiểm soát viên đề xuất, bao gồm chuyển giao giữa sector ở mật độ cao.
Không chấp nhận lỗi mất hoặc gán sai dữ liệu chuyến bay ở bất kỳ mức độ nào trước khi mở rộng sang điểm mới.
Mỗi điểm triển khai có quy trình quay về hệ thống cũ đã diễn tập.
Dùng mô phỏng Monte Carlo trên lịch biểu, xét xác suất lỗi phần mềm phát sinh tại điểm thử, để đặt dự phòng thực tế.
Lập ma trận phụ thuộc giữa ERAM và các chương trình NextGen, cập nhật mỗi khi lịch ERAM thay đổi và thông báo cho các văn phòng chịu ảnh hưởng.
Người dùng cuối không chỉ là người nghiệm thu ở cuối dự án. Với hệ thống an toàn trọng yếu, đưa họ vào thiết kế và kiểm thử từ đầu là cách rẻ nhất để phát hiện yêu cầu ẩn — muộn hơn, cái giá là nhiều năm trễ hạn và hàng trăm triệu USD.
Bạn chọn phương án nào?