The Ariane 5 Flight 501 Failure - A Case Study in System Engineering for Computing Systems

The report issued by the Inquiry Board in charge of inspecting the Ariane 5 flight 501 failure concludes that causes of the failure are rooted into poor S/W Engineering practice. From the failure scenario described in the Inquiry Board report, it is possible to infer what, in our view, are the real causes of the 501 failure. We develop arguments to demonstrate that the real causes of the 501 failure are neither S/W specification errors nor S/W design errors. Real causes of the failure are faults in the capture of the overall Ariane 5 application/environment requirements, and faults in the design and the dimensioning of the Ariane 5 on-board computing system. These faults result from not following a rigorous System Engineering approach, such as applying a proof-based System Engineering method. What is proof-based System Engineering for Computing Systems is also briefly presented. DISCLAIMER This analysis is meant to-hopefully-help those partners in charge of and involved in the Ariane 5 programme. System engineers cannot be " blamed " for not having applied a proof-based System Engineering method, given that it is only recently that such methods have emerged. This analysis is also meant to-hopefully-explain why it is inappropriate to " blame " S/W engineers. La défaillance du vol 501 d'Ariane 5-Une étude de cas de Génie Système en Informatique Résumé : le rapport de la Commission d'Enquête constituée à la suite de l'échec du vol de qualification 501 du lanceur Ariane 5 attribue les causes de cette défaillance à des erreurs de Génie Logiciel. A partir du scénario de défaillance décrit dans le rapport officiel, il est possible d'identifier ce que sont, d'après nous, les véritables causes de l'échec du vol 501. On présente des arguments destinés à démontrer que les causes ne sont ni des erreurs de spécification du logiciel, ni des erreurs de conception du logiciel. Les véritables causes de la défaillance sont des fautes de capture des besoins applicatifs et des hypothèses d'environnement relatifs à Ariane 5, ainsi que des fautes de conception et de dimensionnement du système informatique embarqué à bord d'Ariane 5. L'existence de ces fautes provient d'un manque de méthode rigoureuse en Génie Système comme, par exemple, l'absence de méthode imposant des obligations de preuves. On présente brièvement ce qu'est le Génie Système prouvable pour les systèmes informatiques.