type-conversion - 在 Ada 中，将 64 位 float 分配给 16 位整数时代码失败怎么可能？

Question

我刚刚发现了这份关于阿丽亚娜5号火箭失败原因的报告。根据报告，失败发生在将 64 位浮点数分配给 16 位整数时。

Ada 是一种可靠的语言的众多原因之一是它使用强类型，并正确处理异常。我不明白如何编写尝试这种转换并使其正确编译的代码。

还有一个问题，为什么这种情况下不存在异常处理程序，这也很奇怪，但也许更多的是程序员的失败而不是语言的失败——尽管 Ada 项目留下了带有潜在异常的实时代码，但没有异常处理程序是难以想象的。

有任何想法吗？

http://www-users.math.umn.edu/~arnold/disasters/ariane5rep.html

Answer 1

答案很简单:总是可以显式转换，这似乎是用 Ariane 5 代码完成的:

-- Overflow is correctly handled for the vertical component
L_M_BV_32 := TBD.T_ENTIER_16S((1.0 / C_M_LSB_BH) *
                                   G_M_INFO_DERIVE(T_ALG.E_BH));
if L_M_BV_32 > 32767 then
 P_M_DERIVE(T_ALG.E_BV) := 16#7FFF#;
elseif L_M_BV_32 < -32768 then
 P_M_DERIVE(T_ALG.E_BV) := 16#8000#;
else
 P_M_DERIVE(T_ALG.E_BV) := UC_16S_EN_16NS(TBD.T_ENTIER_16S(L_M_BV_32));
end if;

-- But not for the horizontal one
P_M_DERIVE(T_ALG.E_BH) := UC_16S_EN_16NS(TBD.T_ENTIER_16S
                                   ((1.0 / C_M_LSB_BH) *
                                   G_M_INFO_DERIVE(T_ALG.E_BH));

这里 T_ENTIER_16S函数无疑将浮点数转换为 16 位有符号值。请注意，“ENTIER”是法语，因此该函数可能可以从内部库中获得。

如何在 Ada 中处理显式浮点到整数转换当然可用 from your favorite Q/A site .

对于 Ada 来说，转换是非常明确的；程序员应该考虑过这个场景。但也许他们做到了并认为它永远不应该发生。计算可能也需要高性能；毕竟，在飞行火箭时，时间至关重要。

从垂直计算可以清楚地看出计算结果不需要非常高的精度:它只是最大化 16 位有符号整数的值，而不是将整数升级到 32 位。返回接近于零的负值是导致失败的原因 - 它会使计算扭曲太多。

请注意，最大化有界整数值是一种权宜之计，可能不适用于所有情况。用于该项目的“最终解决方案”可能不适用于您的项目。

请注意，不知何故，他们认为返回一个几乎随机的值比在 T_ENTIER_16S 中抛出异常更有意义。功能。这可能是由于性能原因；该函数可以简单地复制相应的位，节省两个 if检查溢出/下溢的语句。

异常很好，但它们在运行时对此类计算几乎没有值(value)。问题是火箭依赖于正确执行的功能。如果没有，它将失败并崩溃。只有在有追索权时才有异常(exception)。否则，异常可能有助于事后分析错误。

在这种情况下，可以在 T_ENTIER_16S 中使用断言保护语句。 .如果测试集的输入足够的话，这个错误就会在测试过程中被发现。不幸的是，当时，断言在 Ada 中不可用。

并且飞行代码 - 当断言被禁用时 - 可能会返回 MIN/MAX 值而不是直接位表示。任何事情都比返回完全出乎意料的结果要好。也就是说:如果对值的额外测试对于函数的运行时间来说不是问题。