Ричард Фейнман - Какое ТЕБЕ дело до того, что думают другие?

Во время полета 51-L все три основные двигателя шаттла работали идеально, даже начиная останавливаться в последние мгновения, когда началось прекращение подачи топлива. Однако возникает вопрос, обнаружили ли бы мы — в случае отказа двигателей и столь же детального расследования причины этого отказа нами, какое мы провели для твердотопливных ракета-носителей, — подобное отсутствие внимания к недостаткам и снижение критериев безопасности. Другими словами, ограничивались ли те слабые места организации, которые внесли свой вклад в катастрофу, только сектором твердотопливных ракета-носителей или их можно было назвать общей характеристикой НАСА? В этой связи были исследованы основные двигатели космического шаттла и авиационная электроника. Однако подобного исследования орбитальной ступени или внешнего топливного резервуара проведено не было.

Двигатель представляет собой гораздо более сложную структуру, чем твердотопливный ракета-носитель, так что он требует гораздо более детальных инженерных разработок. В общем, эти разработки производят впечатление высококачественных, и, судя по всему, значительное внимание уделяется недостаткам и нарушениям, обнаруженным в работе двигателя.

Обыкновенно такие двигатели создаются (для военной или гражданской авиации) в виде так называемой составной системы, или по методу проектирования «снизу вверх». Прежде всего, необходимо полностью понять свойства и ограничения материалов, которые будут использоваться (например, для лопаток турбины), для чего на экспериментальных установках проводят специальные испытания. По получении необходимой информации начинают проектировать и по отдельности проверять более крупные детали (такие как подшипники). По мере обнаружения недостатков и ошибок проектирования их исправляют и проверяют на следующем этапе испытаний. Поскольку испытывают только детали, то испытания и модификации обходятся не слишком дорого. Наконец, дело доходит до окончательной конструкции всего двигателя согласно заданным техническим условиям. К этому времени уже высока вероятность того, что двигатель будет работать нормально или что любые отказы можно будет с легкостью устранить и проанализировать, потому что виды отказа, ограничения материалов и тому подобное абсолютно ясны. Существует очень высокая вероятность того, что модификации, которые будут сделаны, чтобы устранить сложности, присутствующие в окончательной конструкции двигателя, окажутся не слишком трудоемкими, так как большая часть серьезных проблем уже была обнаружена и решена ранее, на более дешевых этапах процесса.

Основной двигатель космического шаттла был спроектирован иначе — «сверху вниз», так сказать. Все детали двигателя проектировались и составлялись в одно целое одновременно при относительно небольшом детальном предварительном изучении материалов и составляющих. Но сейчас, когда обнаруживаются неполадки в подшипниках, лопатках турбины, трубах для подачи охлаждающей жидкости и т.п., обнаружить причины всего этого и внести какие-то изменения гораздо сложнее и дороже. Например, на лопатках турбины кислородного турбонасоса высокого давления были обнаружены трещины. Вызваны ли они дефектами материала, влиянием кислородной атмосферы на свойства материала, температурными напряжениями, появляющимися при запуске или остановке, вибрациями и напряжением, создающимися в процессе нормальной работы, или, главным образом, неким резонансом, возникающим при определенных скоростях или чем-то еще? Сколько времени может работать насос от появления трещины до отказа по причине ее появления, и как это зависит от уровня мощности? Использовать весь двигатель в качестве испытательного стенда для разрешения подобных вопросов чрезвычайно дорого. Никто не желает терять целые двигатели, чтобы узнать, где и каким образом возникает проблема. Тем не менее, точное знание этого факта необходимо для появления уверенности в надежности двигателя при его использовании. Без полного понимания о такой уверенности не может быть и речи.

Следующий недостаток метода проектирования «сверху вниз» состоит в том, что, если достигнуто понимание неисправности, простое ее устранение — например, новая форма корпуса турбины — может оказаться невозможным без изменения конструкции всего двигателя.

Основной двигатель космического шаттла — совершенно замечательный механизм. Отношение силы тяги, создаваемой им, к его весу больше, чем у какого-либо предыдущего двигателя. Он создан на грани — за которую, в некоторых отношениях, даже выходит — предыдущего инженерного опыта. А потому, как и можно было ожидать, в нем присутствует много разнообразных недостатков и сложностей. И, поскольку, к несчастью, он был спроектирован по варианту «сверху вниз», эти недостатки сложно обнаружить и исправить. Цель создания двигателя со сроком службы, достаточным для выполнения 55 заданий (27 000 секунд работы либо в каждом задании длительностью по 500 секунд, либо на испытательном стенде), достигнута не была. Сейчас двигатель требует очень частого ремонта и замены важных деталей, таких как: турбонасосы, подшипники, корпуса из листового металла и т.п. Топливный турбонасос высокого давления нужно заменять через каждые три или четыре испытания, эквивалентные заданию (хотя эту проблему можно устранить), а кислородный турбонасос высокого давления — через каждые пять или шесть. Все это составляет максимум 10 процентов технических условий исходной конструкции. На самая главная наша забота — это определение надежности.

За 250 000 секунд работы основные двигатели отказывали, вероятно, раз 16. Инженеры уделяют особое внимание этим отказам и стараются исправить их максимально быстро с помощью изучения испытаний на специальных установках, спроектированных специально для рассматриваемого недостатка, а также тщательной проверки двигателя для обнаружения ключей, способных дать ответ (например, трещин), и их серьезного изучения и анализа. Таким образом, несмотря на сложности конструкции, спроектированной «сверху вниз», благодаря тяжелой работе, множество проблем, судя по всему, были решены.

Список некоторых проблем (и их состояния):

Трещины лопаток турбины в топливных турбонасосах высокого давления (ТТНВД). (Возможно, решена.)

Трещины лопаток турбины в кислородных турбонасосах высокого давления (КТНВД). (Не решена.)

Пробой линии форсажного искрового воспламенителя (ФИВ). (Возможно, решена.)

Отказ контрольного вентиля для выпуска газов. (Вероятно, решена.)

Эрозия корпуса ФИВ. (Вероятно, решена.)

Растрескивание листового металла корпуса турбины ТТНВД. (Вероятно, решена.)

Повреждение футеровки труб для охлаждения ТТНВД. (Вероятно, решена.)

Отказ выходного коленчатого патрубка основной камеры сгорания. (Вероятно, решена.)

Смещение сварного шва входного коленчатого патрубка основной камеры сгорания. (Вероятно, решена.)

Субсинхронный вихрь КТНВД. (Вероятно, решена.)

Система аварийного отключения ускорения полета (частичный отказ системы с резервированием). (Вероятно, решена.)

Растрескивание подшипников. (Частично решена.)

Вибрация с частотой 4 000 герц, которая приводит некоторые двигатели в нерабочее состояние. (Не решена.)

Многие из этих, на первый взгляд, решенных проблем были видны уже на ранних стадиях использования новой конструкции: 13 из них появились в первые 125 000 секунд эксплуатации двигателя и только 3 — во вторые 125 000 секунд. Естественно, никогда нельзя быть уверенным, что все недостатки устранены; однако, возможно, в отношении некоторых недостатков стремились устранить не ту причину. Вполне разумно предположить, что в следующие 250000 секунд может произойти, по крайней мере, один сюрприз: вероятность равна 1/500 на двигатель на задание. На одном задании присутствуют три двигателя, но возможно, что некоторые неполадки будут автономными и повлияют только на двигатель. (Шаттл может прервать выполнение задания всего с двумя двигателями.) Поэтому скажем, что неизвестные сюрпризы, сами по себе, не позволяют нам предположить, что вероятность невыполнения задания из-за отказа основных двигателей шаттла менее, чем 1/500. К этому мы должны добавить вероятность отказа, вызванного известными, но еще нерешенными проблемами. Эти проблемы мы рассмотрим ниже.

(Инженеры в Рокетдайне, где производятся двигатели, оценивают полную вероятность как 1/10 000. Инженеры в Маршалле оценивают ее как 1/300, тогда как руководство НАСА, которому эти инженеры отправляют свои отчеты, утверждает, что вероятность равна 1/100 000. Независимый инженер, дающий НАСА консультации, счел разумной оценкой 1 или 2 к 100.)

История принципов аттестации этих двигателей весьма запутана, поэтому ее сложно объяснить. Исходным правилом, судя по всему, было то, что два образца двигателя должны проработать безотказно в течение времени, в два раза превышающего аттестационное, после определения аттестационного времени работы двигателя (правило 2x). По крайней мере, такова практика ФУГА, и, судя по всему, первоначально она была принята и НАСА, которая ожидала, что аттестационное время будет равно 10 заданиям (соответственно, 20 заданиям на каждый образец). Очевидно, что лучшими двигателями, которые можно использовать для сравнения, были бы те, которые показали бы самое большое полное время работы (полет плюс испытания), так называемые лидеры воздушного флота. Но что если третий образец двигателя и несколько других выйдут из строя за короткое время? Естественно, мы не можем ожидать безопасности, потому что два предыдущих проработали необычно долго. Короткое время может оказаться более обычной характеристикой реальных возможностей, и в духе коэффициента безопасности, равного 2, мы должны рассчитывать только на половину того короткого времени, в течение которого работали последние образцы.