Tàu Mars Climate Orbiter trị giá khoảng 327,6 triệu USD bị mất khi tiếp cận sao Hỏa vì một phần mềm mặt đất xuất dữ liệu theo đơn vị Anh (pound-force giây) trong khi bên nhận dùng hệ mét. Phân tích vì sao lỗi nhỏ lọt qua mọi lớp kiểm soát chất lượng và PM nên làm gì.
Các trao đổi kỹ thuật quan trọng diễn ra qua kênh không chính thức, quy trình báo cáo bất thường (anomaly reporting) không được dùng. Theo tinh thần Manage Quality, quy trình phải tạo được cơ chế để dữ liệu bất thường bắt buộc được ghi nhận, phân tích và đóng lại — thay vì phụ thuộc vào việc một người có đủ kiên trì để lên tiếng hay không.
Độ lệch giữa quỹ đạo dự báo và quỹ đạo đo được chính là một "điểm ngoài giới hạn kiểm soát" trên biểu đồ kiểm soát (control chart). Khi tín hiệu đó không kích hoạt phân tích nguyên nhân gốc (root cause analysis), tổ chức đánh mất cơ hội rẻ nhất để sửa lỗi. Phát biểu của lãnh đạo NASA sau sự cố tóm gọn vấn đề: lỗi không đáng sợ bằng việc hệ thống kiểm tra chéo không phát hiện ra lỗi.
Một bộ kiểm tra đơn vị tự động trên tệp dữ liệu giao diện, hay một buổi rà soát độc lập, có chi phí phòng ngừa rất nhỏ. Chi phí thất bại bên ngoài (external failure cost) ở đây là toàn bộ con tàu và nhiều năm công sức. Đây là minh hoạ kinh điển cho nguyên lý: chi phí phòng ngừa và thẩm định luôn rẻ hơn chi phí thất bại.
Mỗi luồng dữ liệu giữa các nhóm/nhà thầu phải có một người chịu trách nhiệm, định dạng, đơn vị, dải giá trị hợp lệ và cách kiểm tra. Đưa tài liệu này vào đường cơ sở (baseline) và kiểm soát thay đổi.
Quy định trong kế hoạch quản lý chất lượng và kiểm tra tự động trước khi dữ liệu được dùng:
Tệp phải khai báo đơn vị trong siêu dữ liệu; sai đơn vị hoặc thiếu khai báo thì bị từ chối tự động.
So sánh giá trị nhận được với mô hình độc lập; lệch quá ngưỡng đã thống nhất thì dừng và mở phiếu bất thường.
Mỗi phiên bản phần mềm mặt đất chạy lại kịch bản kiểm thử toàn chuỗi với dữ liệu bay mô phỏng trước khi đưa vào vận hành.
Mọi sai lệch dẫn đường vượt ngưỡng phải được ghi vào nhật ký vấn đề (issue log), có người phân tích, thời hạn đóng và cấp phê duyệt rõ ràng. Không để mối lo ngại kỹ thuật "chết" trong email hay hành lang.
Với hạng mục rủi ro cao như dẫn đường, cần rà soát đồng cấp (peer review) độc lập và kiểm toán chất lượng (quality audit) định kỳ. Đội quá tải là tín hiệu rủi ro chất lượng — PM phải đưa vào sổ đăng ký rủi ro và đề xuất bổ sung nguồn lực.
Hội đồng điều tra ghi nhận khoảng trống kiến thức khi chuyển sang đội vận hành mới. Kế hoạch chuyển giao phải có buổi trình bày khác biệt so với nhiệm vụ trước, danh sách giả định và bài kiểm tra hiểu biết.
Lỗi nghiêm trọng nhất thường nằm ở điểm giao giữa các nhóm, nơi ai cũng nghĩ người kia đã kiểm tra. PM phải biến mỗi giao diện thành một hạng mục chất lượng có chủ sở hữu, tiêu chí chấp nhận và kiểm chứng đầu–cuối, và coi mọi dữ liệu bất thường là tín hiệu cần phân tích chứ không phải nhiễu.
Bạn chọn phương án nào?