火箭首飞的软件复用事故 (Ariane 5)：一枚全新设计的火箭，为什么是被一段沿用旧型号的代码毁掉的？
复用的代码不是免费的：它的适用边界会随使用场景一起变化
火箭首飞的软件复用事故 (Ariane 5)：巅峰期欧洲新一代大型运载火箭的首飞任务，承载多颗科研卫星，被视为欧洲航天发射能力的关键一步，项目投入巨大；终局是首飞在升空数十秒后解体，火箭与载荷全部损失，事故原因被认定为沿用旧型号的软件在新飞行条件下触发数值异常。
欧洲新一代大型运载火箭的首飞任务，承载多颗科研卫星，被视为欧洲航天发射能力的关键一步，项目投入巨大
首飞在升空数十秒后解体，火箭与载荷全部损失，事故原因被认定为沿用旧型号的软件在新飞行条件下触发数值异常
4,792 votes cast
1 plans · 1 insights
投稿会先进入待审，通过后才进入公开目录和站点地图。
Root Causes Consensus Poll
Vote for the primary fatal error that caused this enterprise to collapse.
复用软件的适用边界未被重新评估
沿用旧型号代码时，新场景的输入范围超出原设计假设
主备计算机运行相同软件
冗余在软件缺陷面前失效，同一错误在两套系统上同时发生
以「已验证」为由减少验证
复用带来的信心替代了针对新场景的测试
首飞失败造成数亿美元损失
火箭与载荷损失、任务推迟，项目成本与时间双双受挫
Timeline: peak to collapse
首飞升空
火箭在预定时间升空，初期飞行正常，随后出现姿态异常
软件失效与自毁
软件数值溢出导致主备计算机同时失效，火箭偏离姿态并触发自毁，载荷全部损失
事故调查
调查委员会认定事故源于复用旧型号软件在新飞行条件下的数值异常，且该异常在旧型号上不会触发
改进与复飞推迟
团队修改软件并增加防护，后续任务推迟，复用策略与验证标准被重新审视
Four-Dimensional Retrospective Breakdown
Background & Golden Era
项目为控制成本与风险，沿用了上一代火箭已经验证过的惯性参考软件，认为经过飞行验证的代码更可靠；新火箭的飞行轨迹与速度特性与旧型号不同，软件中某些处理逻辑的输入范围超出了原设计假设，而这些差异在复用评估时未被充分分析巅峰期的成绩单是：欧洲新一代大型运载火箭的首飞任务，承载多颗科研卫星，被视为欧洲航天发射能力的关键一步，项目投入巨大。此时的它拥有渠道、品牌与资本的合力，看起来没有任何理由会输。
Fatal Turning Point Miscalculation
火箭升空后，软件中的数值处理出现溢出，主备两套计算机因运行相同软件而同时失效，导致姿态控制数据错误，火箭在气动压力下解体；事故造成火箭与全部载荷损失，直接经济损失数亿美元，也导致后续任务推迟底层架构的缺陷被增长掩盖了很多年，真正爆发时表现为线上事故、体验崩塌与迭代停滞，修复成本远高于当年重做的代价。
Internal Culture & Bureaucratic Hubris
技术决策长期被短期交付目标绑架，「先上线，以后再改」变成永久状态，没人对架构健康度负责。
The Collapse & Aftermath
首飞在升空数十秒后解体，火箭与载荷全部损失，事故原因被认定为沿用旧型号的软件在新飞行条件下触发数值异常。火箭首飞的软件复用事故 (Ariane 5)的结局不是某一次意外，而是上面这些判断在数年里不断叠加、又始终没有被纠正的必然结果。
Battle-Tested Actionable Survival Rules
Distilled practical DOs and DONTs forged from costly corporate catastrophes.
复用代码时要重新验证「适用边界」，而不是验证「它以前能用」
把冗余系统的差异性作为设计原则，而不是成本项。
- •对复用组件重新评估输入范围与边界条件
- •让冗余系统在实现上保持差异
- •不要用历史成功替代新场景验证
- •不要让主备系统运行完全相同的软件
Revival Simulation: If you were the CEO at the inflection point, how would you save it?
History cannot be rewritten, but executive decision-making can be honed. Propose decisive divestitures and strategic bets, and let entrepreneurs & VCs vote on feasibility.
先重新界定复用组件的适用边界，再谈复用带来的成本节省
Critical intervention point：1996 年首飞失败、事故报告确认软件复用问题后
- •停止以「验证过」为由跳过新场景测试
- •停止让主备系统运行完全相同的软件
- •停止把复用当作无风险的成本优化
- •对复用组件逐项重估输入范围与边界
- •让冗余系统在实现上保持差异
- •为新场景补充针对性测试与防护
首飞失败影响项目进度与预算，改进需要与载荷方协调。
复用策略建立在重新验证的基础上，冗余设计具备真实差异。
Expert Post-Mortem Insights
Firsthand diagnostic analyses from entrepreneurs, VCs, alumni, and analysts.
事故报告揭示的因果链非常清晰：软件里有一段负责把速度相关数值转换处理的逻辑，在旧型号的飞行剖面下，这个数值始终在安全范围内，因此不会触发异常；新火箭的加速更快，同一个数值超出了设计范围，处理逻辑失效并触发了错误状态，使计算机停止输出正确数据。更致命的是，主备两台计算机运行的是同一套软件，所以它们在同一个瞬间一起失效——冗余设计本应防住这种单点问题，但软件相同让冗余失去了意义。此后工程界对「复用」的态度发生了明显变化：复用可以，但必须重新界定它的适用边界。
冗余的意义在于「不一样」，一样的备份只是同一个错误的两个副本。
Business Post-Mortem Memo · 火箭首飞的软件复用事故 (Ariane 5)
一枚全新设计的火箭，为什么是被一段沿用旧型号的代码毁掉的？
# Business Post-Mortem Memo：火箭首飞的软件复用事故 (Ariane 5) > 一枚全新设计的火箭，为什么是被一段沿用旧型号的代码毁掉的？ > Period: 1996 | Industry: New Economy & Transit > Peak: 欧洲新一代大型运载火箭的首飞任务，承载多颗科研卫星，被视为欧洲航天发射能力的关键一步，项目投入巨大 > Final: 首飞在升空数十秒后解体，火箭与载荷全部损失，事故原因被认定为沿用旧型号的软件在新飞行条件下触发数值异常 ## Overview 复用的代码不是免费的：它的适用边界会随使用场景一起变化。巅峰期欧洲新一代大型运载火箭的首飞任务，承载多颗科研卫星，被视为欧洲航天发射能力的关键一步，项目投入巨大；终局是首飞在升空数十秒后解体，火箭与载荷全部损失，事故原因被认定为沿用旧型号的软件在新飞行条件下触发数值异常。 ## Top-voted root causes 1. [Product & Tech] 复用软件的适用边界未被重新评估 (1,576 votes) 2. [Org & Culture] 主备计算机运行相同软件 (1,324 votes) 3. [Strategy] 以「已验证」为由减少验证 (1,072 votes) ## Actionable lessons ### 复用代码时要重新验证「适用边界」，而不是验证「它以前能用」 > 把冗余系统的差异性作为设计原则，而不是成本项。 - ✅ DOs: - 对复用组件重新评估输入范围与边界条件 - 让冗余系统在实现上保持差异 - ❌ DON'Ts: - 不要用历史成功替代新场景验证 - 不要让主备系统运行完全相同的软件 ## Revival plans ### 先重新界定复用组件的适用边界，再谈复用带来的成本节省 — 良略编辑部 Intervention: 1996 年首飞失败、事故报告确认软件复用问题后 - Must cut: - 停止以「验证过」为由跳过新场景测试 - 停止让主备系统运行完全相同的软件 - 停止把复用当作无风险的成本优化 - Breakthrough moves: - 对复用组件逐项重估输入范围与边界 - 让冗余系统在实现上保持差异 - 为新场景补充针对性测试与防护 - Expected outcome: 复用策略建立在重新验证的基础上，冗余设计具备真实差异。 ## Community insights ### 这段代码在旧火箭上飞了无数次都没出问题，原因是它的输出在新火箭上才第一次超出了取值范围。 — 良略编辑部 (工程师) 事故报告揭示的因果链非常清晰：软件里有一段负责把速度相关数值转换处理的逻辑，在旧型号的飞行剖面下，这个数值始终在安全范围内，因此不会触发异常；新火箭的加速更快，同一个数值超出了设计范围，处理逻辑失效并触发了错误状态，使计算机停止输出正确数据。更致命的是，主备两台计算机运行的是同一套软件，所以它们在同一个瞬间一起失效——冗余设计本应防住这种单点问题，但软件相同让冗余失去了意义。此后工程界对「复用」的态度发生了明显变化：复用可以，但必须重新界定它的适用边界。 - Alternative Move if Replayed 冗余的意义在于「不一样」，一样的备份只是同一个错误的两个副本。 --- Source: 良略 · https://www.lianglue.com/c/ariane-5