摘要
- 独立调查委员会确定了精确的技术链条。一个与水平偏差相关的 64 位浮点值在从阿丽亚娜 4 号继承的对齐函数中超出了 16 位有符号整数的范围。未受保护的类型转换引发了操作数错误。指定的响应关闭了每个惯性参考处理器，两个相同的单元大约间隔一个数据周期先后失效。
- 类型转换是触发事件，而非充分的机构根本原因。阿丽亚娜 5 号在升空后并不需要该对齐函数；阿丽亚娜 4 号的定时要求因通用性而保留；阿丽亚娜 5 号的轨迹数据未包含在惯性系统规范中；代表性的闭环测试使用了模拟惯性输出而非真实单元或详细模型。
- 控制权是分散但可识别的。欧空局拥有该计划，并将阿丽亚娜 5 号开发管理委托给法国国家空间研究中心。法国国家空间研究中心、工业架构师、惯性系统供应商及其他合同伙伴控制了不同的规范、设计决策、评审和测试。委员会表示，将某些类型转换保持未受保护的决定是在多个合同层级共同做出的，因此记录不支持将责任归结于一名未具名程序员。
- 冗余并未提供独立性。两个惯性系统具有相同的硬件和软件，遇到了相同的确定性条件。因此备用单元复制了主动单元的故障，而非吸收它。后来的指令故障还依赖于一个接口，该接口允许来自故障单元的诊断字被解释为飞行数据。
- 直接冲击已确认：运载火箭和四颗星簇卫星在主发动机点火序列后约四十秒被摧毁。欧空局后来估算通过完成阿丽亚娜 5 号认证的经济影响为 2.88 亿欧洲货币单位，而独立的星簇二号恢复任务在 2.14 亿欧洲货币单位预算内获批。这些计划数字不可与单一损失总额互换。
- 修复证据充分但有边界。欧空局和法国国家空间研究中心接受了全部十四项建议，制定了四十多项详细行动，改变了惯性参考系统异常行为，用真实设备和轨迹注入扩展了系统级测试，使嵌入式软件独立配置受控，设立了软件架构师角色，并采用了外部评审。503 次飞行在 1998 年成功完成认证，正式认证在 1999 年完成。公开记录并未暴露证明每项改革始终保持一致性所需的每一个测试结果、供应商决策文件或长期审计。
溢出是触发器，而非完整解释
501 次飞行已成为软件工程中最常被引用的警示故事之一，因为其直接缺陷容易表述。一个程序试图转换一个对目标类型过大的值，发生异常，火箭丢失。这种描述在某种程度上是准确的，但它也剥离了使一次转换能够摧毁运载火箭的大多数决策。
独立委员会的正式报告（1996 年 7 月 19 日）并未将此事件视为神秘的软件崩溃。它从气动解体反向追溯了因果链：喷管指令、无效惯性数据、处理器关闭、未受保护的类型转换、继承的对齐函数、阿丽亚娜 5 号轨迹以及未能将这些要素结合起来的测试和规范。委员会还指出了其工作的局限性。一份单独的技术报告流传受限；公开委员会并未对所有遥测数据或所有运载火箭系统进行完整评估。其结论在该范围内具有权威性，而非每个工程和合同事实的公共档案。
这一边界对问责至关重要。公开证据足够强大，可以确定技术序列和若干组织控制失效。但它不足以归因于私人动机、确定合同损害、重建每次内部批准或将个人命名为唯一原因。委员会自身的语言将注意力从这种简化中移开：相关设计选择由项目伙伴和合同层级共享，而评审和认证涉及计划的主要参与者。
因此有用的问题不是谁输入了类型转换指令。而是谁控制了该函数是否应该存在、它必须容忍的数值域、异常应如何处理、两个冗余通道是否可能相同失效、故障通道能在总线上放置什么数据、哪些真实设备进入端到端测试，以及认证委员会在飞行前要求什么证据。每个问题有不同的所有者。它们共同解释了为什么一个局部可理解的指令变成了任务级故障。
公开调查实际确认了什么
时间线正常开始。欧空局的首次官方信息发布记录，主发动机于 1996 年 6 月 4 日库鲁当地时间 09:33:59（世界时 12:33:59）点火。固体助推器在 7.5 秒后点火，运载火箭起飞。制导和轨迹在约 H0 加 37 秒前保持正常。遥测随后显示两个固体助推器喷管移动到极限；飞行器急剧倾斜，在气动载荷下断裂，并在结构完整性丧失后被机载自毁系统摧毁。
初始推进性能正常。这一早期事实阻止了调查将可见的解体或爆炸作为原因。调查方向转向电气和软件系统。欧空局和法国国家空间研究中心随后授权独立委员会确定原因，检查认证和验收测试是否适当，并建议纠正措施。6 月 10 日的职权范围还承诺接触工业团队、文档和硬件。这一授权是范围的重要证据：测试充分性不是后来评论者的附加，而是分配给调查的明确问题。
物理回收帮助缩小了证据差距。飞行器设备舱的大部分被回收，欧空局的6 月 14 日更新报告了阿丽亚娜 5 号操作模式下惯性平台的故障。两个惯性参考系统最终都被回收。最后故障的单元的内存提供了遥测中不完全可用的信息，因为详细故障传输已分配给首先故障的单元。调查人员将这些内存内容与源代码、遥测、雷达、光学观测和飞行后模拟进行了比较。
委员会发现备用惯性参考系统在大约 H0 加 36.7 秒时失效。约 0.05 秒后，主动惯性参考系统因相同原因失效。在更详细的序列中，两个单元间隔 72 毫秒的数据周期。主动单元随后传输了一个诊断位模式。机载计算机将该模式解释为飞行数据，并为未发生的姿态偏差生成了巨大的喷管指令。在大约 H0 加 39 秒时，超过 20 度的攻角产生的载荷使助推器与主级分离并触发了自毁。
报告异常完好地支持了这一链条。调查人员在模拟中重现了惯性参考系统的内部事件，从回收内存中读取了故障上下文，并发现代码与场景一致。使用实际 501 次飞行轨迹的飞行后模拟重现了序列。欧空局的委员会报告发布稿将结论总结为惯性参考系统软件中的规范和设计错误，加上对惯性参考系统和整个飞行控制系统的分析和测试不足。
若干观察到的异常被排除。天气可接受。推进在规范内。主发动机喷管执行器中的压力变化足以调查，但被判定与故障无关。自毁系统在运载火箭已经解体后触发；它未导致损失。这些阴性发现是严谨重建的一部分。它们防止叙述将每个异常积累为错误的多原因故事。
四十秒内包含了几种不同的故障
第一个相关的软件功能是对齐。惯性参考系统使用了激光陀螺和加速度计，并在其自身计算机中计算角度和速度。其对齐软件在发射前有意义，当时飞行器占据已知固定位置。继承的阿丽亚娜 4 号要求允许对齐处理在惯性参考系统飞行模式开始后持续五十秒，以便延迟的倒计时暂停无需重复长时间对齐即可恢复。阿丽亚娜 5 号在 H0 前三秒进入惯性参考系统飞行模式。因此该功能在升空后继续运行约四十秒，即使阿丽亚娜 5 号对其没有操作需求。
第二个故障是域假设。在对齐过程中，一个称为 BH 的内置值（水平偏差）与水平速度相关，指示对齐精度。在相关期间，阿丽亚娜 5 号水平速度的增加比阿丽亚娜 4 号快得多。委员会将增长描述为快五倍。一个保持在继承的阿丽亚娜 4 号余量内的值，因此在过时的对齐代码仍在运行时超出了新飞行器的假定范围。
第三个故障是未受保护的类型转换。软件将 64 位浮点 BH 值转换为 16 位有符号整数。类似转换已被识别为操作数错误的可能来源。七个变量被认为有风险；四个受到保护，三个未受保护。报告发现没有源代码证明为什么留下三个未受保护，尽管基本推理存在于更大的文档集中。认为这些值有物理限制或具有较大安全裕度。该推理对阿丽亚娜 5 号轨迹下的 BH 是错误的。
处理器工作量影响了保护决策。委员会被告知惯性参考系统计算机的最大工作量目标为 80%，因此并非每个转换都受到保护。这一事实并不表明资源限制使故障不可避免。它表明在计算、异常保护和假定物理界限之间进行了权衡。问责与用于权衡的证据相关。如果因为相信某个量永远不会超过界限而让转换暴露，那么支持该界限和任务条件必须是明确、可审查和可测试的。
第四个故障是异常策略。操作数错误本身不必破坏任务。惯性参考系统规范要求将检测到的异常在数据总线上宣布，上下文存储在内存中，处理器停止。重启不切实际，因为姿态难以重建。委员会将该策略追溯到专注于随机硬件故障的架构：当物理单元故障时，备份可以接管。确定性软件设计错误违反了该假设，因为备份可能遇到相同条件。
第五个故障是共模冗余。两个惯性参考系统并行运行，具有相同的硬件和软件。一个主动，另一个热备份。这种安排防止了某些独立的硬件故障，但并未创建设计多样性。两个单元从相同的飞行域计算相同的功能，并因相同的软件条件停止。备用首先故障，隐式移除了剩余的恢复路径，就在主动通道故障之前。
第六个故障是接口语义。故障的主动惯性参考系统以机载计算机视为姿态数据的形式通过总线发出诊断信息。强大的故障边界会区分有效导航值、过时尽力值、明确无效和诊断载荷，使得一个不能被接受为另一个。501 次飞行反而将处理器故障变成了错误指令。因此解体所需的不仅仅是溢出：它需要两个通道关闭和非飞行数据在控制路径中被接受。
这些区别在操作上很重要。触发器是超出范围的转换。直接故障模式是处理器关闭。冗余故障是两个惯性参考系统的相同响应。传播机制是被解释为制导的诊断数据。物理损失随后是极端喷管偏转和气动载荷。机构根本原因在于上游：重用的需求、未公开的限制、软件可见性以及非代表性的认证。把所有这一切称为溢出掩盖了本可中断链条的控制措施。
继承的服务历史被误认为新域中的证据
软件重用本身并非鲁莽。阿丽亚娜 4 号惯性参考系统软件具有服务历史，更改稳定代码可能引入新缺陷。委员会将通用性理由记录为一种假设：在阿丽亚娜 4 号上运行良好的软件除非必要不应更改。这是一个合理的初始关切，但对于不同的运载火箭而言不是认证证据。
重用的相关单元不仅仅是源代码。它包括定时要求、数值范围、处理器负载假设、异常策略、总线行为、冗余逻辑、测试替代品和证明文档。阿丽亚娜 5 号从具有不同准备序列和早期轨迹的运载火箭继承了一揽子设计决策。对齐功能的继续执行对阿丽亚娜 4 号有用，对阿丽亚娜 5 号不必要。其数值安全论证仅在不再适用的轨迹域内有效。
这就是为什么成功的历史可能具有误导性。一个组件在恰好保持其假设的条件下可以无故障。重用改变了周围系统：输入、速率、定时、接口、资源、故障后果和恢复选项。阿丽亚娜 4 号从未超过 BH 转换范围的事实表明与阿丽亚娜 4 号兼容，而非软件的通用属性。
委员会发现阿丽亚娜 5 号轨迹数据被共同排除在惯性参考系统需求和规范之外。它还发现实现限制未在系统规范中声明。这些是相关联的故障。没有描述新输入域的需求，供应商无义务对单元进行针对该域的认证。没有描述旧域的声明限制，系统评审者缺乏可见的不兼容性提出质疑。因此合同可能看似满足，而任务适用性仍未证明。
后来的欧洲标准化记录明确表达了这一点，而未假装后来的文档管理 1996 年。欧空局 ECSS现有软件重用手册现在将选择、完成认证、工具认证和重用风险管理视为发射、空间和地面系统的专门活动。当前的软件产品保证标准将保证要求应用于开发和维护，涵盖运载火箭、航天器、有效载荷及相关设施。这些出版物是后来的基准，而非证明 501 次飞行直接产生了每个条款。它们展示了成熟控制框架必须明确的内容：重用是一个新的保证声明，受特定应用限制。
美国国家航空航天局在其自身机构材料中得出了相同的教训。一个关于数值转换的 NASA 经验教训条目使用 501 次飞行警告溢出可能禁用双弦系统中的两个弦。另一个关于重用导航固件的教训强调在一个应用中可接受的模块在另一个应用中可能不可接受。这些是从调查中得出的二级机构教训，而非关于谁做出了阿丽亚娜决策的新证据。它们的价值在于将事故转化为可重用的控制措施，而非将其保留为传说。
测试是广泛的，但决定性的测试边界是错误的
阿丽亚娜 5 号计划并未跳过测试。委员会描述了设备认证、机载计算机软件认证、级集成和系统验证。它还注意到了强大的工程文档和广泛的评审。声称运载火箭未经测试是不准确和无益的。故障来自测试架构假设每个级别已经证明的内容。
在设备级别，惯性参考系统针对环境条件进行了严格测试，在某些方面超出了阿丽亚娜 5 号预期。它未通过阿丽亚娜 5 号倒计时、飞行定时和轨迹进行测试。委员会表示地面测试可以注入源自预测飞行参数的加速度计信号，同时转台表示角运动。如果执行了该设备或验收测试，故障机制本应暴露。
在系统级别，功能模拟设施运行了许多闭环模拟。它模拟了地面段、遥测、运载火箭动力学、标称和退化轨迹、设备故障、隔离和恢复。存在许多真实设备。两个惯性参考系统不在其中。软件模块模拟了它们的输出。使用实际惯性参考系统的测试检查了电气集成和低级总线合规性，而非其在新轨迹下的完整行为。
这种替代创建了循环保证问题。模拟器表示功能正常的惯性参考系统的预期输出，因此它未执行可能故障的继承内部对齐代码。设备测试假定已覆盖单元，而系统测试替换了单元因为假定已认证。两个级别都未锻炼实际惯性参考系统实现与实际阿丽亚娜 5 号飞行域之间的交互。委员会发现，将几乎整个惯性参考系统纳入系统模拟在技术上可行，并且本应检测到故障。
这不是要求每个物理组件放入每个测试。委员会认识到实际限制。控制是重叠：当一个组件在一个级别被模拟时，评审者必须验证早期级别覆盖了遗漏的行为，并且模拟器保留了与更高级别测试相关的每个特性。模拟并非因为产生合理标称数据而具有代表性。只有当其遗漏不能隐藏正在研究的故障模式时，它才具有代表性。
美国国家航空航天局后来的制导、导航与控制最佳实践工作将教训表述为：在相关主机平台上使用标称、故障和退化组件在任务剖面全范围内进行测试。另一个 NASA 工程与安全中心实际事故评估将 501 次飞行映射到遗产分析、共模冗余、端到端测试、轨迹数据库和故障包含。再次，这些来源提供了权威的后续基准，而非独立访问阿丽亚娜的机密文件。
检测还有时间维度。飞行后模拟使用实际轨迹输入重现了故障。因此该机制并非超出建模能力；决定性数据和实现在飞行前未结合。一个有用的问责记录会问何时每个方拥有轨迹、惯性参考系统代码或模型、定时要求、范围假设和需要集成运行的权限。公开报告确立机会存在。它未发布完整的文档路由时间线，显示集成义务在哪里首先应被强制执行。
谁拥有实际控制权
欧空局是计划所有者。其同期发布指出它将阿丽亚娜 5 号开发管理委托给法国国家空间研究中心。欧空局还通过其成员国结构选择和资助了更广泛的计划，与法国国家空间研究中心共同任命了调查委员会，接受了恢复计划，并保留了对认证飞行的责任。这赋予了欧空局对计划需求、治理、资源、认证期望以及委托机构提交的证据是否足够飞行的控制。
法国国家空间研究中心持有委托开发管理和核心技术角色。它参与了规范和认证，在图卢兹接收和处理遥测数据，与欧空局一起参与调查，后来与工业架构师一起批准了软件定义和认证计划。委托并未使欧空局无关，欧空局所有权也未使法国国家空间研究中心成为旁观者。问责遵循了计划和工程权力的实际分工。
工业架构师控制了多家公司供应设备之间的系统一致性。在 501 次飞行之前，嵌入式软件在很大程度上被视为硬件设备的一部分，而非单独可见的配置项。事故后记录说其详细设计及其对运载火箭其他部分软件的影响在计划级别了解不足。这种可见性差距限制了架构师的能力，或要求它的证据，将继承的设备功能作为系统危险提出质疑。
惯性参考系统供应商控制了其规范内的详细实现，包括转换处理和处理器行为。但委员会明确表示供应商遵循了任何检测到的异常应停止处理器的要求。它还表示保护决策由项目伙伴在多个合同层级共同做出，轨迹数据被共同排除在惯性参考系统要求之外。因此证据不支持将整个故障转嫁给组件供应商或单个软件开发人员。
认证和评审机构控制了验收。它们的目的是验证设计决策并获得飞行认证。它们可以要求限制、范围证据、测试覆盖率和集成演示。委员会发现评审未完全分析对齐软件限制或飞行中持续运行的含义。评审过程可以在程序上完整但在实质上薄弱，如果它验证了分析的存在而未质疑其中的假设。
阿丽亚娜航天公司的角色不同。它负责阿丽亚娜发射系统的运营，并参与了恢复演示，但 501 次飞行是开发计划下的欧空局认证飞行。此处使用的公开证据未显示阿丽亚娜航天公司控制了惯性参考系统要求或省略实际惯性参考系统行为的模拟决策。仅仅因为它后来运营了运载火箭就分配设计责任将超出记录。
星簇科学界和公众承担了后果，但未控制运载火箭软件。欧空局自身关于为什么星簇被分配到 501 次飞行的审查说，进度和有吸引力的财务发射机会驱动了选择；咨询机构和首席研究员未反对，该决定在当时被认为是理性的。该记录并未证明有效载荷社区接受了未公开的软件风险。它表明，首飞风险在一股层面有意识可见，而具体认证缺陷则不然。
因此控制是分散的，但未消失。欧空局可以定义计划保证和认证。法国国家空间研究中心可以管理开发并要求技术证据。工业架构师可以集成限制和跨设备行为。供应商可以暴露实现限制并测试其单元。评审委员会可以扣留认证。每个层级都有预防或检测机会。没有单一控制者并非没有可问责的控制。
影响是计划损失、科学延迟和新的资金决策
运载火箭和所有四颗星簇卫星被摧毁。该任务旨在使用四颗卫星同时测量研究太阳风与地球磁层的相互作用。存活的卫星无法提供预期的三维编队科学。欧空局当前的星簇任务历史记录，一颗替换卫星由备件组装，另外三颗卫星及其仪器被订购，两艘联盟号火箭与新的弗雷盖特上面级最终在 2000 年将其成对送入轨道。
这次损失代表了国际工业和科学家网络的多年工作。原始和替换卫星涉及一家主承包商领导 35 家主要承包商，每颗卫星上十一种仪器，以及跨越欧空局成员国和其他国家的科学界。后果不仅是已摧毁硬件的市场价值。团队必须保留专业知识，复现不可用的组件，修改操作，重新认证替换单元，并等待四年以获得预期的观测能力。
欧空局关于星簇重生的记录记录了失败后考虑的选择：由备件组成的一颗凤凰号卫星、新的全尺寸卫星、更小的国家卫星和替代发射安排。科学计划委员会在 2.14 亿欧洲货币单位预算内批准了四颗卫星的星簇二号选项。这是一个确认的计划决策，而非原始卫星的估值或民事损害赔偿。
阿丽亚娜 5 号恢复有其自身财务衡量。欧空局和法国国家空间研究中心在 1996 年 9 月估计，通过认证结束的影响为 2.88 亿欧洲货币单位。该认证恢复计划提议重新分配阿丽亚娜计划资金、增加开发资金、获得行业贡献并使用 503 次飞行商业有效载荷的收入。该数字不应与 2.14 亿欧洲货币单位的星簇二号预算机械相加并描述为完全损失。范围不同，公开记录未确定每个预算项目是否为增量、转移或最终按估计支出。
恢复本身带有约束。欧空局关于星簇二号操作概念的工程材料表示，新任务上限低于原始成本的一半。硬件过时迫使变化，地面基础设施演变，经验丰富的人员已离开，每个飞行模型的测试时间减少。该任务保留了科学回报，但通过另一个受控的重用和重新认证问题实现。该记录说明了技术失败更广泛的经济后果：修复计划从其试图纠正的事件中继承了进度和预算压力。
此处使用的公开记录未识别出 501 次飞行的伤亡人员，解体发生在受控发射区内。欧空局的飞行后工程描述包括了环境监测和碎片回收，包括靠近发射台测量的降落区和发射区外未检测到地面级气体污染。这些事实并不使损失微不足道。它们正确界定了人员和环境声明，同时留下了已确认的财务、科学和计划后果可见。
纠正计划既改变了代码也改变了权力
委员会提出了十四项建议。第一层针对直接链条：升空后立即停止对齐；防止不必要的软件在飞行中运行；防止传感器停止所有有用输出；尽可能限制异常；以及在定义关键组件时重新考虑软件起源的共模故障。这些更改针对功能寿命、异常包含和降级操作，而非仅加宽一个整数。
第二层针对证据。委员会呼吁一个尽可能多真实设备、现实输入和每次任务前完整闭环测试的设施。它要求在规范和测试要求中包含轨迹数据，审查现有设备覆盖范围，明确操作限制，内部和通信值的范围验证，以及对代码和证明文档的同等关注。这使假设从背景知识转化为认证工件。
第三层针对治理。关键软件应成为单独配置控制项。包含软件的设备将接受特定认证评审，工业架构师参与并报告完整系统测试。外部参与者将评审规范、代码和证明，组织应有更清晰的权力、责任和接口。
欧空局详细的501 至 502 次飞行工程记录报告所有建议已成为包含四十多项行动的计划。惯性参考系统更改包括抑制飞行中对齐、避免处理器关闭、如果处理器停止将值冻结在最后有效状态、改进异常处理以及移除飞行中不使用的功能。功能模拟设施获得了实际惯性参考系统处理器、转台上的陀螺平台、上面级和姿态控制模拟器以及主级电气执行器的接口。
治理并行变化。工业架构师正式担任软件架构师角色。嵌入式程序成为受控配置项。架构师和法国国家空间研究中心批准了规范和认证计划，外部软件专家加入了主要评审，电气和软件系统获得了集成认证计划、需求验证计划、系统测试和证明文档。这些是问责修复，因为它们命名了谁必须查看、批准和证明跨系统软件行为。
公开公告显示进度响应了证据而非保持固定。1997 年 3 月502 次飞行活动更新将活动与增加的电气、软件和降级模式工作联系起来。后来，502 次飞行最终准备因完成飞行程序认证和解决模拟中识别出的控制回路振荡而部分延迟。延迟本身并非质量证据，但它是未解决的分析可能推迟发射日期的可观察证据。
1997 年 10 月 30 日的 502 次飞行并未提供简单的清晰终点。它避免了 501 次飞行的软件故障，但过度的滚转扭矩和过早的主级关闭使有效载荷留在低于计划的轨道。欧空局的502 次飞行详细数据分析后来表示整体性能良好，并通过发动机测试解释了主要异常。这对评估修复很重要：一次未重复惯性参考系统故障的飞行支持了具体的修复，而一个单独的异常表明为什么计划认证不能仅依赖于一条纠正路径。
1998 年 10 月 21 日的 503 次飞行成功完成了第三次认证飞行。欧空局的同期结果报告了代表性有效载荷的成功注入，并描述开发阶段已结束。欧空局的1999 年空间运输年度报告记录，在详细 503 次飞行分析后，运载火箭认证委员会于 1999 年 6 月 22 日正式认证了通用型阿丽亚娜 5 号，随后在 12 月进行了首次运营飞行。
该序列比成功发射后立即发布的新闻稿更有力。它结合了文档化的设计更改、修订的权力、扩展的设施、延迟的评审、两次后续认证飞行和后来的正式委员会决策。它仍未公开每个测试向量、异常注入结果、独立评审发现或配置审计。可辩护的结论是，已识别的故障机制和保证过程得到了实质性修复并成功认证，而非每个软件风险被永久消除。
后续成功证明了什么，以及无法证明什么
随后的阿丽亚娜 5 号服务是证据表明飞行器超越了 501 次飞行，但累计成功无法单独验证每个纠正控制。后来的任务使用了演变的运载火箭配置、供应商、软件和操作过程。很长记录没有出现相同的 BH 溢出强烈支持直接缺陷未复发的结论。它未揭示是否每个任务域假设始终文档化或每个模拟器保持代表性。
美国国家航空航天局的系统工程风险材料独立总结了 501 次飞行作为惯性参考系统重用问题：阿丽亚娜 4 号功能和未文档化的操作限制未与阿丽亚娜 5 号协调，闭环系统测试排除了实际惯性单元。它是有用的佐证和机构记忆。它不是欧空局持续合规的审计或配置特定认证证据的替代品。
同样，后来的标准不应被逆向解读为 1996 年自动适用的法律义务。欧空局 ECSS 要求经过数十年演变，欧空局有更早的软件工程标准。事故可以与当前期望进行比较，但公平的问责分析首先应用当时可用的控制和知识。委员会的建议表明，现实注入、范围分析、明确限制、独立评审和清晰权力在 1996 年可行。批判并不依赖于事后引入现代工具链。
修复证据也有发布的对称性。机构通常公开计划、主要里程碑和成功飞行。详细的不利测试结果、豁免、供应商不符合项和内部审计发现较不可见。501 次飞行公开调查关于一个故障异常精确，但表示更详细的技术报告保持受限。没有该记录和后来的认证档案，局外人无法独立重现每个保证声明。
因此最可靠的证据层级是分层的。回收内存、代码检查、遥测和复现模拟建立了故障链。委员会建议和计划文件确立了预期的改革。设施变化和认证评审确立了实施活动。502 和 503 次飞行确立了跨两种配置的操作结果。正式认证确立了机构接受。单独一个都不能证明持久治理；它们一起提供了实质但不完整的记录。
反事实必须从最早可控决策开始
最窄的反事实是保护 BH 转换。范围检查或异常处理程序本可防止操作数错误停止处理器。这在技术上可行，并得到委员会直接支持。它也是薄弱的机构教训，因为它留下了过时的飞行中对齐、未公开的范围假设、相同的故障逻辑和模糊的诊断接口。
一个更强的反事实是在升空后移除对齐函数。委员会的第一条建议正是如此。由于该函数对阿丽亚娜 5 号飞行无目的，禁用它消除了触发计算并在不改变所需制导的情况下减少了攻击面。这是最清晰的预防控制。它并未免除理解为何该函数在设计评审中幸存的需要。
一个更早的反事实是将阿丽亚娜 5 号轨迹数据放入惯性参考系统规范，并要求供应商声明实现限制。BH 范围与阿丽亚娜 5 号早期水平速度之间的不兼容性随后将在设备系统接口可见。委员会表示这种声明对于任务关键设备应是强制性的。这将在代码执行前允许评审，并且较少依赖于希望某个测试恰好越过界限。
最具证据基础的检测反事实是代表性测试。委员会说将预测的加速度信号和角运动注入惯性参考系统本应暴露机制。它还说将几乎整个惯性参考系统纳入整体系统模拟是可行的，并且本应检测到故障。这些不是关于未知工程的推测性声明。它们是调查在重现事件后使用实际轨迹得出的发现。
故障包含提供了另一个反事实。如果异常被限制在非关键的对齐任务而导航继续，或者如果惯性参考系统发送了尽力有效的姿态与明确健康状态，任务可能保持可控。委员会建议了任务级限制和继续的尽力传感器输出。公开证据不包含完整的动力学分析证明每个此类设计都能挽救 501 次飞行，因此结论应保持条件性。
设计多样性冗余也可能防止了共模关闭，但它带来成本和复杂性。独立代码或不同边界的算法可能以不同方式失败并引入新的集成风险。支持的结论更窄：相同的冗余未防止发生的确定性条件，认证必须将软件起源的共模视为单点风险。完全设计多样性是否相称未被公开报告解决。
最后一个反事实涉及有效载荷分配。星簇本可飞到另一枚运载火箭或更晚的阿丽亚娜 5 号测试，但欧空局的回溯发现，根据当时可用信息，将 501 次飞行分配是理性且财务上有吸引力的。更晚的飞行不会自动暴露隐藏的惯性参考系统缺陷；相同的未测试函数可能在任何携带有效载荷的首枚阿丽亚娜 5 号上失败。有效载荷选择改变了谁承担损失，而非根本的认证弱点。
确认的事实、支持的推论和剩余的未知
确认的事实包括发射日期和序列、正常早期飞行、几乎同时的惯性参考系统故障、未受保护的 64 位到 16 位转换、继续的对齐函数、阿丽亚娜 5 号不同的早期轨迹、处理器关闭、诊断词被视为飞行数据、极端喷管指令、解体和解体。委员会确认，轨迹特定的设备测试和将惯性参考系统纳入系统模拟本可检测机制。它确认两个单元使用相同的硬件和软件，以及保护和需求决策跨越了合同层级。
确认的组织事实包括欧空局的计划所有权和对法国国家空间研究中心的委托、独立委员会的授权、所有建议的接受、软件架构师角色、嵌入式软件的单独配置控制、扩展的设施、外部评审和后来的认证序列。确认的影响事实包括四颗星簇卫星的摧毁、阿丽亚娜认证后果的 2.88 亿欧洲货币单位估计、星簇二号的 2.14 亿欧洲货币单位预算以及 2000 年成功替换发射。
支持的推论始于记录连接控制但未文档化每个私人决策之处。通用性、进度、工作量和阿丽亚娜 4 号遗产的信心可能使重用看起来比重设计风险更低。设备与系统软件可见性之间的碎片化可能使过时的对齐函数及其范围界限更难以质疑。这些推论符合委员会的发现和后期的治理变化，但公开报告未提供证明每个激励相对权重的会议记录。
还有一个支持的推论是更好的接口类型或健康状态处理本可防止诊断信息成为控制命令。故障链展示了危险，建议呼吁更好的异常包含和总线信息编目。公开记录未发布足够的协议细节来指定一个保证的替代实现。
未知仍然重要。受限的技术报告不是此处使用的公开证据的一部分。完整源代码、版本历史、供应商合同、内部危险分析、评审记录、测试豁免、轨迹数据路由和个人批准记录并未以允许完整责任矩阵的形式公开。公开记录未确定是否有个人特别警告过 BH，是否提议的集成惯性参考系统测试因成本或进度原因被拒绝，或管理人员如何在发射前量化剩余软件风险。
法律责任也从该记录未知。调查委员会是技术调查，而非法院。此处审查的来源不包括在欧空局、法国国家空间研究中心、阿丽亚娜航天公司、工业架构师、供应商或有效载荷参与者之间分配合同或侵权责任的判决。技术控制和机构问责可以在不声称从未在引用记录中裁决的法律结果的情况下进行分析。
完全经济损失不可得。计划预算描述了恢复和认证资金，而非净社会成本。一些硬件、知识和备件被重用。科学机会被延迟而非永久消除，因为星簇二号最终成功运行了许多年。1996 年至 2000 年间错失观测的反事实价值无法从公开文档中定价。
最后，长期修复的持久性仅部分可观察。后来的飞行成功是强有力的结果证据，当前标准将重用保证制度化。公开来源未披露每次后来的阿丽亚娜更改是否都接受了相同的任务域分析，独立软件评审发现重大缺陷的频率，或者配置和供应商过渡如何被审计。没有复发的 501 次飞行机制不是每个过程的完全证明。
继承的任务软件耐久性问责测试
第一个测试是域定义。在重用批准前，计划能否用可测量术语描述旧和新操作域：值范围、速率、定时、飞行阶段、环境条件、处理器余量、接口和降级状态？像“遗产”或“飞行验证”这样的标签不是域比较。
第二个测试是假设所有权。每个安全相关假设是否附加到所有者、理由、到期条件和验证方法？嵌入在代码、规范和设计记录中的假设是否得到调和？仅存在于供应商推理中的界限无法保护系统集成商。
第三个测试是功能必要性。在关键阶段执行的每个任务是否服务于当前任务需求？未使用的继承函数能否被移除或抑制，并且移除本身是否已认证？501 次飞行表明休眠目的并不意味着休眠执行。
第四个测试是范围和异常完整性。所有转换、算术边界和通信值是否在标称和标称外域上测试？异常是否保留最高价值的安全服务，隔离故障任务，并产生明确健康状态？因非必要计算失败而停止健康传感器不是故障安全行为。
第五个测试是冗余独立性。哪些危险在通道间真正独立，哪些通过相同代码、需求、数据、定时或工具通用？备份计数绝不应被视为可靠性论证，直到共模条件被锻炼。
第六个测试是接口有效性。诊断、过时、无效和操作数据能否在结构上区分，而不仅仅通过约定？消费者是否拒绝不可能的状态转换和域外命令？故障信息不得能够伪装成用于控制飞行器的信息。
第七个测试是代表性重叠。当真实设备从系统测试中省略时，什么低级证据覆盖了省略的行为，谁批准了模拟器的保真度？预测的任务轨迹是否注入实际处理器或详细可执行模型？测试级别必须围绕风险重叠，而非在组件和系统所有权之间留下间隙。
第八个测试是独立挑战。评审者是否检查范围论证、异常策略和重用理由的实质，或仅验证文档的完成？软件保证或认证委员会能否在任务域证据不完整时阻止飞行？无决策权力的独立性可以识别风险而不控制它。
第九个测试是配置可追溯性。嵌入式软件是否单独控制，源代码、编译器、数据、假设、测试结果和理由与飞机构建相关联？调查人员能否重建每个冗余单元执行的确切内容以及模拟器表示什么？硬件序列号控制在软件决定故障行为时不足。
第十个测试是修复证明。修复是否包括原始故障的复现测试、相邻异常和范围条件的测试、闭环集成、降级模式练习和独立评审？后续飞行是否测试了相关域，非重复异常是否被调查而非作为无关成功噪声被驳回？
501 次飞行之所以经久不衰，是因为故障足够简单以解释，又足够系统化以抵抗简单补救。运载火箭不仅因为值太大而丢失，也不仅因为软件被重用，也不仅因为一个单元关闭。它丢失是因为一个继承的假设跨越了任务边界而未成为明确的系统义务；相同的冗余共享了相同的确定性弱点；认证模拟掉了重要的实现；嵌入式软件一致性的权力过于分散。
修复相应地比修补一个转换更广泛。它改变了功能寿命、异常处理、测试设备、轨迹注入、软件配置控制、评审、架构和权力。这些更改，加上重新认证，是机构学习的有意义证据。剩余的问责义务是在每次重用决策中保存该证据。飞行历史可以支持信心，但只有任务特定验证才能表明旧软件的假设在将要实际飞行的系统中仍然成立。