ReaderMX.
ITPUB

史上最贵 Bug，一行代码 = 5亿欧元

IRUNOOB约 4 分钟
1996 年 6 月 4 日，欧洲航天局（ESA）首次发射了阿丽亚娜（Ariane）5 ，这在太空探索史上是一个重要时刻。
然而，这次任务却因一行代码导致火箭发射后发生了爆炸，价值近 5 亿欧元。
Image
在起飞后约 30 秒，火箭在大约 3700 米的高度上偏离了预定飞行路径并发生解体和爆炸。
Image
这次失败的主要原因在于制导系统中的一个软件缺陷，该系统负责调节火箭的航向。
归根结底是由于一个编码错误，这段代码原本属于十年前阿丽亚娜4 型火箭的一部分，但在阿丽亚娜5 型火箭的设计中没有被适当更新或移除。
在火箭升空后，制导系统负责持续监测并跟踪火箭的飞行轨迹，并将这些数据传输给主计算机，在这一过程中，制导系统需要将测得的速度数据从 64 位浮点数格式转换为 16 位有符号整数格式。
然而，浮点数和整数在表示数值范围上存在本质差异：
16 位
  • 无符号整数（Unsigned Integer）范围：0 到 65535
  • 有符号整数（Signed Integer）范围：-32768 到 32767
64 位
  • 无符号整数（Unsigned Integer）范围：0 到 18446744073709551615
  • 有符号整数（Signed Integer）范围：-9223372036854775808 到 9223372036854775807
16 位无符号整数能够表示的数值范围是 0 到 65535，而16位有符号整数（使用一个位来表示正负号）能够表示的数值范围是 -32768 到 +32767。
如果 64 位浮点数表示的速度值超出了 16 位有符号整数的表示范围，那么在转换过程中就会发生溢出。
火箭发射后，由于速度数据超出了 16 位整数的最大表示能力，转换失败，导致制导系统无法正确传递速度信息给主计算机，从而发生了爆炸。
正常情况下，一个稳健的系统设计会包含错误处理机制，以应对此类溢出情况，但阿丽亚娜5 号火箭的系统设计中并未包含这种机制。结果，由于这个 Bug 火箭失去了导航和姿态控制，最终导致了火箭爆炸。
这次事件告诫我们在软件开发中要避免直接复制粘贴代码，确保异常处理和充分测试，并进行代码审查和建立备份系统，以增强软件的可靠性。
启示：

  • 代码复用的风险：即使是从旧系统中复制的代码，也需要经过彻底的审查和测试，以确保它适用于新系统。

  • 异常处理：系统设计中应包含异常处理机制，以便在出现错误或异常数据时能够妥善响应，避免灾难性后果。

  • 数据类型转换：在进行数据类型转换时，需要确保转换的安全性和准确性，避免因数据溢出或精度丢失导致的问题。

  • 系统测试：全面的系统测试是必要的，包括单元测试、集成测试和压力测试，以确保系统在各种条件下都能正常工作。

  • 代码审查：定期进行代码审查，以识别和修正潜在的缺陷和错误。

  • 文档和注释：保持良好的文档记录和代码注释，有助于理解代码的用途和限制，减少误解和错误使用。

  • 备份和冗余：设计备份系统和冗余机制，以提高系统的可靠性和容错能力。

  • 持续学习和改进：从失败中学习，不断改进设计和开发流程，以防止类似事件再次发生。

  • 跨团队沟通：加强不同团队之间的沟通，确保所有相关人员都了解系统的所有方面，包括潜在的风险和限制。

- END -

IT168与ITPUB技术社区强强联手，收集数百款主流数据库产品，重磅推出“数据库全景图”，旨在打造一款集知识普及、产品对比、选型参考于一体的综合性资源平台。“数据库全景图（11月版）”可扫描上方左侧二维码回复关键词获取，识别右侧二维码直达“数据库全景图”链接（右上角浏览器打开获取更好体验）。

Image

KEEP THE THREAD GOING

更多来源文章