Приложение Ф: личные наблюдения по поводу надежности шаттла

Введение

Судя по всему, насчет вероятности неудачного полета с потерей шаттла и человеческих жизней существуют совершенно разные мнения[42]. Оценки колеблются примерно от 1 к 100 до 1 к 100 000. Более высокие цифры исходят от работающих инженеров, а самые низкие – от руководства. В чем же состоят причины и следствия подобного разногласия? Так как вероятность выхода из строя 1 к 100 000 полетов означает, что можно запускать шаттл каждый день в течение 300 лет и ожидать потери всего одного шаттла, то уместно спросить: «Какова причина такой, прямо таки фантастической веры руководителей в данное оборудование?»

Кроме того, мы обнаружили, что критерии оценки, которые используют при смотре готовности полета, зачастую постепенно становятся все менее строгими. Аргумент, связанный с тем, что полеты с той же степенью риска осуществляли и раньше, причем выхода из строя не было, часто принимается в качестве аргумента, что совершенно безопасно осуществлять такие полеты и сейчас. По этой причине очевидные недостатки принимаются снова и снова – порой, даже без достаточно серьезной попытки как-то их исправить, иногда без задержки полета, потому что они присутствуют постоянно.

Имеется несколько источников информации: есть опубликованные критерии оценки, включающие историю модификаций в виде отказов и отклонений; кроме того, записи смотров готовности, проводимых перед каждым полетом, содержат аргументы, которые были использованы, чтобы принять решение о запуске шаттла, несмотря на определенный риск. Эта информация представляет собой прямое свидетельство и доклады сотрудника службы безопасности, Луиса Дж. Уллиана, в отношении истории успешного использования твердотопливных ракет. Он провел дальнейшее изучение (в качестве председателя Совета по Аварийному Прекращению Полета в целях Безопасности, САППБ), пытаясь определить процент возможности несчастных случаев, которые могут привести к радиоактивному загрязнению, при попытке запуска будущих ракет с плутониевым источником питания (который называют радиоактивным термическим генератором, РТГ) на борту. Имеется также исследование этого вопроса НАСА. Что касается истории использования основных двигателей шаттла, то с руководителями и инженерами Маршалла были проведены официальные беседы, а с инженерами Рокетдайна – неофициальные встречи. Была также проведена неофициальная встреча с независимым инженером-механиком (из Калтеха), который консультировал НАСА по вопросу двигателей. В целях сбора информации по надежности авиационной электроники (компьютеры, сенсоры, исполнительные органы) был нанесен визит в Джонсон. Наконец, имеется отчет «Обзор оценочных практик, потенциально применимых для ракетных двигателей многоразового использования», подготовленный в Лаборатории по реактивным двигателям Н. Муром и другими в феврале 1986 года для Штаб-квартиры НАСА, Службы по Космическим Полетам. Он связан с методами, которые используются ФУГА и военными для аттестации своих газовых турбин и двигателей ракет. С авторами этого отчета также проводились неофициальные встречи.

Твердотопливные ракета-носители (ТРН)

Оценка надежности твердотопливных ракета-носителей была проведена служащим по безопасности дальних полетов в процессе изучения опыта всех предыдущих полетов ракет. Из общего числа полетов, равного примерно 2900, не удалось осуществить 121 (1 из 25). Однако это число включает то, что можно назвать «ошибками, обнаруженными на ранней стадии» – ракеты, которые запустили первые несколько раз и в которых ошибки конструкции были обнаружены и исправлены. Более разумной цифрой для готовых ракет можно назвать 1 к 50. Если особенно тщательно отбирать детали ракет и проверять их, то можно достигнуть цифры около 1 к 100, но цифра 1 к 1000 при современной технологии, вероятно, недостижима. (Поскольку на каждом шаттле два ракета-носителя, то частоту отказов ракет нужно умножать на два, чтобы получить частоту отказов шаттла из-за отказов ТРН.)

Официальные лица НАСА утверждают, что эта цифра гораздо ниже. Они указывают, что «поскольку на шаттле есть люди, то вероятность успешного выполнения задания непременно очень близка к 1,0». Это значит, что она действительно близка к 1 или что она должна быть близка к 1? Они продолжают свое объяснение: «Исторически сложилось так, что эта чрезвычайно высокая степень успешности полета породила разницу в философии программ полета в космос пилотируемых и непилотируемых ракет; т.е. использование численной вероятности против суждения инженеров». (Эти цитаты взяты из отчета «Данные по космическому шаттлу для анализа безопасности ТРН, выполняющих задачу полета в космос», страницы 3-1 и 3-2, 15 февраля, 1985, НАСА.) Совершено истинно то, что если бы вероятность отказа была столь низкой, как 1 к 100 000, то потребовалось бы чрезмерно большое количество испытаний, чтобы ее определить: вы бы не получили ничего, кроме вереницы идеальных полетов без какой бы то ни было точной цифры – за исключением того, что, вероятность, скорее всего, не превышает количество таких полетов в данной веренице, которые уже были выполнены. Но если реальная вероятность не так мала, то полеты не проходили бы идеально: возникали бы проблемы, близкие к аварийным ситуациям и, возможно, реальные аварии при разумном числе пробных запусков, так что стандартные статистические методы вполне могли бы обеспечить разумную оценку. На самом деле, предыдущий опыт НАСА, время от времени, показывал почти подобные проблемы, близкие к авариям, и даже аварии, что являет собой предупреждение о том, что вероятность отказа в действительности не так уж мала.

Еще одна несообразность в аргументе, связанном с отсутствием необходимости проверять надежность в процессе опыта (как это делал служащий по безопасности дальних полетов), – это обращение НАСА к истории: «Исторически, эта высокая степень успешности полета…» Наконец, если мы хотим заменить стандартно используемую численную вероятность суждением инженеров, почему мы обнаруживаем такое огромное несоответствие между оценками менеджеров и суждением инженеров? Создается такое ощущение, что, какой бы ни была цель – будь эта оценка предназначена для использования внутри организации или вовне нее, – руководство НАСА преувеличивает надежность своего продукта до уровня фантастики.

Я не буду повторять здесь историю смотров готовности полета и его оценки (см. другие части отчета комиссии), но феномен принятия уплотнений, которые выказали эрозию и прорыв газов при предыдущих полетах, – совершен очевиден. Полет «Челленджера» – превосходный пример: есть несколько ссылок на предыдущие полеты; принятие и успех этих полетов принимаются в качестве доказательства надежности всех последующих. Однако эрозия и прорыв газов конструкцией шаттла не предусмотрены.

Они предупреждают о том, что что-то не в порядке. Оборудование работает не так, как должно, а потому существует опасность того, что оно начнет работать с еще большими отклонениями, совершенно неожиданным и не до конца понятым образом. Тот факт, что ранее это не привело к катастрофе, не гарантирует, что катастрофа не произойдет в следующий раз, если только все это не будет понято до конца. При игре в русскую рулетку тот факт, что при первом нажатии на курок выстрела не последовало, ничуть не гарантирует того, что его не последует и при повторном нажатии на курок. Происхождение и следствия эрозии и прорыва газов не были поняты. Эрозия и прорыв газов не были одинаковыми во всех полетах и во всех стыках: иногда они были сильнее, иногда слабее. Почему не могло случиться так, что однажды, когда определяющие эти явления условия оказались подходящими, произошло их усиление, которое и привело к катастрофе?

Несмотря на эти изменения, которые происходили от случая к случаю, официальные лица вели себя так, словно они все понимают, приводя друг другу, на первый взгляд, логичные аргументы – зачастую ссылаясь на «успех» предыдущих полетов. Например, при определении, насколько безопасно осуществить полет 51-L в виду эрозии кольца во время полета 51-С, было замечено, что глубина эрозии была равна лишь одной трети его радиуса. Во время эксперимента, когда кольцо разрезали, обнаружилось, что разрезание кольца на глубину радиуса необходимо до его выхода из строя. Вместо того, чтобы начать беспокоиться из-за того, что изменения плохо понятых условий на этот раз вполне могут создать более глубокую эрозию, утверждалось, что «коэффициент безопасности равен трем».

Это весьма странный метод использования инженерного термина «коэффициент безопасности». Если мост строят для того, чтобы он выдерживал определенную нагрузку и чтобы его балки при этом не испытывали постоянную деформацию, не трескались и не ломались, то его могут спроектировать так, чтобы используемые материалы выдерживали нагрузку, фактически в три раза большую. Этот «коэфициент безопасности» необходим, чтобы учесть неопределенные превышения нагрузки, неизвестные перегрузки или слабые места материала, который может иметь непредвиденные дефекты и прочее. Но если новый мост подвергается ожидаемой нагрузке и на балке при этом появляется трещина, то это недостаток конструкции. В этом случае ни о каком коэффициенте безопасности не может быть и речи, даже несмотря на то, что мост не развалился, потому что балка треснула только на одну треть диаметра. В конструкции колец твердотопливных ракета-носителей эрозия не предусматривалась. Эрозия являла собой ключ, который указывал на какие-то неполадки. Эрозия не могла служить основой для вывода о безопасности.

Нет совершенно никакого способа, за исключением полного понимания, обрести уверенность в том, что в следующий раз не возникнет эрозия, в три раза большая, чем та, что была в прошлый раз. Тем не менее, официальные лица обманывали сами себя, считая, что они обладают подобным пониманием и уверенностью, несмотря на своеобразные изменения, происходившие от случая к случаю. Для вычисления эрозии была создана математическая модель. Однако эта модель основывалась не на физическом понимании, а на вычерчивании по точкам эмпирической кривой. В частности, предполагалось, что струя горячего газа ударяется о материал кольца, а тепло определяется в точке застывания (согласно разумным физическим законам термодинамики). Но, чтобы определить, насколько глубоко эродировала резина, допускалось, что эрозия изменяется как 0,58 степень от тепла, причем число 0,58 было получено с помощью самой близкой точки эмпирической кривой. Как бы то ни было, при подгонке других чисел было найдено, что модель совпадает с эрозией (на глубину одной трети радиуса кольца). В этом анализе нет ничего более ужасного, чем вера в полученный результат! Неопределенности просто переполняют созданную модель. Невозможно было предсказать силу струи газа; она зависела от размера отверстий, образовавшихся в замазке. Прорыв газов показал, что кольцо могло отказать, несмотря на то, что эрозия поразила его лишь частично. Всем была известна неопределенность эмпирической формулы, так как кривая проходила не прямо через данные точки, посредством которых она была найдена. Точек было целое облако: некоторые располагались в два раза выше, другие в два раза ниже нашей кривой, так что, исходя уже из одной этой причины, можно было предсказать эрозии, в два раза большие. Подобные неопределенности существовали и в отношении других констант в формуле и т.д., и т.п. Однако при использовании математической модели на неопределенности, в ней заложенные, следует обращать особое внимание.

Основные двигатели космического шаттла (ОДКШ)

Во время полета 51-L все три основные двигателя шаттла работали идеально, даже начиная останавливаться в последние мгновения, когда началось прекращение подачи топлива. Однако возникает вопрос, обнаружили ли бы мы – в случае отказа двигателей и столь же детального расследования причины этого отказа нами, какое мы провели для твердотопливных ракета-носителей, – подобное отсутствие внимания к недостаткам и снижение критериев безопасности. Другими словами, ограничивались ли те слабые места организации, которые внесли свой вклад в катастрофу, только сектором твердотопливных ракета-носителей или их можно было назвать общей характеристикой НАСА? В этой связи были исследованы основные двигатели космического шаттла и авиационная электроника. Однако подобного исследования орбитальной ступени или внешнего топливного резервуара проведено не было.

Двигатель представляет собой гораздо более сложную структуру, чем твердотопливный ракета-носитель, так что он требует гораздо более детальных инженерных разработок. В общем, эти разработки производят впечатление высококачественных, и, судя по всему, значительное внимание уделяется недостаткам и нарушениям, обнаруженным в работе двигателя.

Обыкновенно такие двигатели создаются (для военной или гражданской авиации) в виде так называемой составной системы, или по методу проектирования «снизу вверх». Прежде всего, необходимо полностью понять свойства и ограничения материалов, которые будут использоваться (например, для лопаток турбины), для чего на экспериментальных установках проводят специальные испытания. По получении необходимой информации начинают проектировать и по отдельности проверять более крупные детали (такие как подшипники). По мере обнаружения недостатков и ошибок проектирования их исправляют и проверяют на следующем этапе испытаний. Поскольку испытывают только детали, то испытания и модификации обходятся не слишком дорого. Наконец, дело доходит до окончательной конструкции всего двигателя согласно заданным техническим условиям. К этому времени уже высока вероятность того, что двигатель будет работать нормально или что любые отказы можно будет с легкостью устранить и проанализировать, потому что виды отказа, ограничения материалов и тому подобное абсолютно ясны. Существует очень высокая вероятность того, что модификации, которые будут сделаны, чтобы устранить сложности, присутствующие в окончательной конструкции двигателя, окажутся не слишком трудоемкими, так как большая часть серьезных проблем уже была обнаружена и решена ранее, на более дешевых этапах процесса.

Основной двигатель космического шаттла был спроектирован иначе – «сверху вниз», так сказать. Все детали двигателя проектировались и составлялись в одно целое одновременно при относительно небольшом детальном предварительном изучении материалов и составляющих. Но сейчас, когда обнаруживаются неполадки в подшипниках, лопатках турбины, трубах для подачи охлаждающей жидкости и т.п., обнаружить причины всего этого и внести какие-то изменения гораздо сложнее и дороже. Например, на лопатках турбины кислородного турбонасоса высокого давления были обнаружены трещины. Вызваны ли они дефектами материала, влиянием кислородной атмосферы на свойства материала, температурными напряжениями, появляющимися при запуске или остановке, вибрациями и напряжением, создающимися в процессе нормальной работы, или, главным образом, неким резонансом, возникающим при определенных скоростях или чем-то еще? Сколько времени может работать насос от появления трещины до отказа по причине ее появления, и как это зависит от уровня мощности? Использовать весь двигатель в качестве испытательного стенда для разрешения подобных вопросов чрезвычайно дорого. Никто не желает терять целые двигатели, чтобы узнать, где и каким образом возникает проблема. Тем не менее, точное знание этого факта необходимо для появления уверенности в надежности двигателя при его использовании. Без полного понимания о такой уверенности не может быть и речи.

Следующий недостаток метода проектирования «сверху вниз» состоит в том, что, если достигнуто понимание неисправности, простое ее устранение – например, новая форма корпуса турбины – может оказаться невозможным без изменения конструкции всего двигателя.

Основной двигатель космического шаттла – совершенно замечательный механизм. Отношение силы тяги, создаваемой им, к его весу больше, чем у какого-либо предыдущего двигателя. Он создан на грани – за которую, в некоторых отношениях, даже выходит – предыдущего инженерного опыта. А потому, как и можно было ожидать, в нем присутствует много разнообразных недостатков и сложностей. И, поскольку, к несчастью, он был спроектирован по варианту «сверху вниз», эти недостатки сложно обнаружить и исправить. Цель создания двигателя со сроком службы, достаточным для выполнения 55 заданий (27 000 секунд работы либо в каждом задании длительностью по 500 секунд, либо на испытательном стенде), достигнута не была. Сейчас двигатель требует очень частого ремонта и замены важных деталей, таких как: турбонасосы, подшипники, корпуса из листового металла и т.п. Топливный турбонасос высокого давления нужно заменять через каждые три или четыре испытания, эквивалентные заданию (хотя эту проблему можно устранить), а кислородный турбонасос высокого давления – через каждые пять или шесть. Все это составляет максимум 10 процентов технических условий исходной конструкции. На самая главная наша забота – это определение надежности.