Подробный разбор катастрофы SpaceShipTwo: только ли погибший пилот виноват?

[lozga.livejournal.com]

На минувшей неделе Национальный совет по безопасности на транспорте (NTSB) опубликовал материалы слушаний по катастрофе SpaceShipTwo. Напомню, 31 октября 2014 года во время испытательного полета корабль разрушился в воздухе, один из двух летчиков-испытателей погиб, а второй получил тяжелые травмы. Команда специалистов NTSB прибыла на место катастрофы в течение суток, и уже 2 и 3 ноября на пресс-конференциях была названа непосредственная причина катастрофы - преждевременный поворот хвостового оперения в тормозное положение. На пресс-конференции специально подчеркивалось, что расследование катастрофы будет заключаться в установлении причины этого события, и займет это примерно год. Результаты расследования появились всего через 9 месяцев. Новостные агентства написали короткие заметки о том, что виноват второй пилот, преждевременно снявший блокировку системы торможения. Но в материалах почти двухчасовых слушаний NTSB вырисовывается более сложная картина.

Материалы слушаний выложены в открытый доступ, и их можно посмотреть здесь.

Матчасть

Прежде, чем говорить о причинах катастрофы, нужно понять, как работает система торможения SpaceShipTwo. В нормальном полете она является критическим компонентом, обеспечивающим торможение аппарата:



Полет SpaceShipTwo состоит из следующих этапов:

1. Сброс с корабля-носителя WhiteKnightTwo на высоте ~15 км и скорости ~0,5 М.


2. Разгон с набором высоты на ракетном двигателе.


3. Подъем по инерции до высоты 110 км.


4. Поворот хвостового оперения в режим торможения.


5. Торможение в плотных слоях атмосферы.


6. Поворот хвостового оперения в самолетный режим.


7. Планирующий полет и посадка на аэродроме вылета.

Уникальность системы торможения заключается в том, что поворотом балок хвостового оперения аппарат переводится в аэродинамически устойчивую конфигурацию и тормозит, сохраняя правильное положение, как бадминтонный волан.



Система была успешно испытана в полете:

Технически, система торможения управляется четырьмя рукоятками:



Две нижние рукоятки управляют левым и правым замками системы торможения, для того, чтобы снять блокировку, нужно их потянуть вниз. Две верхние рукоятки управляют левым и правым исполнительными механизмами (актюаторами) системы торможения, для того, чтобы включить систему торможения, их надо потянуть на себя. Все рукоятки механически защищены от самопроизвольного движения при вибрации аппарата.

Полет снимался несколькими камерами. На слушаниях показаны данные с трех камер: наземной, на самолете-носителе и на хвостовой балке SpaceShipTwo:

На видео отчетливо видно, что хвостовые балки начинают поворачиваться, хотя данные из кабины говорят, что ни пилот, ни второй пилот не активировали систему торможения. В то же время, известно, что замки системы торможения были разблокированы вторым пилотом (погибший Майк Олсбери) после доклада о достижении скорости 0,8 М. Согласно карте полета замки системы торможения нужно было разблокировать после достижения скорости 1,4 М. Из-за того, что замки системы торможения были открыты на трансзвуковой скорости полета, на аппарат стали воздействовать нерасчетные аэродинамические силы, которые оказались сильнее приводов системы торможения и развернули аппарат в режим торможения, что привело к его разрушению:

При разрушении аппарата пилота (Петер Сиболд) вместе с креслом выбросило из кабины, он смог отстегнуть ремни кресла, и его парашют раскрылся автоматически.



Тело второго пилота (Майк Олсбери) было обнаружено в обломках кабины. На слушаниях ничего не было сказано о времени и причине смерти.

План полета, подготовка и другие человеческие аспекты

В этом полете распределение обязанностей между пилотом и вторым пилотом было следующим:



После сброса с самолета-носителя пилот управлял аппаратом и отдавал команду на зажигание ракетного двигателя. Второй пилот производил операции по включению двигателя. По достижении скорости 0,8 М второй пилот объявлял вслух "0,8 М!", чтобы пилот был готов к тряске трансзвукового участка полета. При приближении к скорости звука меняется обтекание аппарата воздухом, и практически любой самолет или ракету начинает трясти. Пилот, кроме непосредственного управления аппаратом, начинал управлять триммером стабилизаторов, а задачей второго пилота было громко сообщать о положении стабилизатора. Типичным был бы непрерывный доклад, например, "Пять градусов! Семь градусов! Девять градусов!". По достижении скорости 1,4 М второй пилот должен был разблокировать замки системы торможения.

В реальности спустя примерно две секунды после объявления "0,8 М", на скорости примерно 0,82 М второй пилот произнес "Разблокирую!" и разблокировал замки системы торможения. Оба пилота успели отметить увеличение тангажа (аппарат начал задирать вверх нос).

Оба пилота проходили специальную предполетную подготовку, которая включала в себя работу на симуляторе SpaceShipTwo, планирующие полеты на WhiteKnightTwo, который в определенной конфигурации имитировал аэродинамику SpaceShipTwo на участке планирующего снижения и посадки, а также тренировки на спортивном самолете для отработки навыков работы в невесомости и вывода самолета из опасных режимов полета. В то же время, тренировки на симуляторе производились не в полетных костюмах (шлем, кислородная маска, высотный костюм), а в обычной одежде, и на симуляторе не имитировались перегрузки и тряска реального полета.

Неизвестной до слушаний особенностью являлось то, что замки системы торможения должны были быть разблокированы до скорости 1,8 М. Если этого не удавалось сделать, то дальнейший разгон необходимо было отменить, потому что в случае отказа замков системы торможения SpaceShipTwo не мог нормально затормозить. В результате на пилотов действовали следующие стрессовые факторы:

• Полетная карта не использовалась в бумаге, операции выполнялись по памяти.


• Операции нужно было выполнить в весьма сжатый срок, по данным полетов в симуляторе примерно 26 секунд.


• Полеты с включением двигателей выполнялись давно, пилоты могли отвыкнуть от тряски и перегрузок.


• Тренировки на симуляторе проводились в обычной одежде, отсутствие привычки к полетному костюму могло дополнительно усилить стресс.


• В документации была прямо указана опасность поздней разблокировки системы торможения, а вот опасность слишком ранней разблокировки, хоть и считалась общеизвестной, в документации прямо указана не была. В результате пилоты могли стремиться разблокировать замки системы торможения как можно раньше, чтобы не вызвать отмену дальнейшего разгона.

При разработке аппарата конструкторы не установили никаких систем информирования о достижении безопасной скорости для разблокировки или защиты от преждевременной разблокировки системы торможения, полностью положившись на квалификацию пилотов. Несмотря на то, что при разработке SpaceShipTwo использовались технологии предупреждения возможных аварий, они оказались недостаточными. Регулирующие органы (FAA/AST) оказались неспособны дать адекватную оценку безопасности аппарата из-за новизны отрасли частных суборбитальных полетов, к тому же, при рассмотрении заявки на них было оказано давление, чтобы заявка была рассмотрена в 120-дневный срок, а решение было положительным. Взаимодействие инспекторов по безопасности и фирмы-разработчика (Scaled Composites) было недостаточно полным, быстрым и качественным. Также, инспекторы по безопасности назначались на полет, но не на разработчика, и не были знакомы с особенностями корабля и проводимых полетов.

Выводы

NTSB сформулировало десять рекомендаций по повышению безопасности. Конструкторы SpaceShipTwo сообщают, что уже разработали механизм, защищающий от преждевременной разблокировки системы торможения.
Формально, эта катастрофа стала первой космической катастрофой, произошедшей по вине экипажа. Но виноваты не только пилоты. Конструкторы, которые "сложили все яйца в одну корзину" и не установили никаких систем предупреждения или блокировки замков системы торможения от раскрытия в неподходящее время, тоже несут ответственность за эту катастрофу. Люди всегда ошибались, ошибаются и будут ошибаться. В ситуации, когда и слишком ранняя, и слишком поздняя разблокировка системы торможения одинаково смертельно опасна, инженеры, фактически, поспособствовали ошибке, напоминая об опасности слишком поздней разблокировки, но ничего не указав в документации или на приборной доске об опасности слишком ранней разблокировки. Практически закономерно, что люди ошиблись всего после восьми полетов.

Тот факт, что конкретно эта причина катастрофы больше не повторится не вселяет в меня оптимизм и уверенность в дальнейшем успехе суборбитального космического туризма от Virgin Galactic. Если бы аппарат проектировался с учетом опасностей скоростных, высотных и космических полетов, то эта авария не стала бы катастрофой. Катапульты или спасаемая капсула экипажа не допустили бы гибели людей даже в случае разрушения аппарата. Но этого нет, и не планируется - SpaceShipTwo спроектирован в идеологии гражданских самолетов, а не космических аппаратов. Инженерно красивая концепция системы торможения является критически важным для безопасности полета компонентом. Но как инженеры обеспечивают ее надежность? Дублированы ли ее исполнительные механизмы? В истории авиации были самолеты с изменяемой стреловидностью крыла - Су-24, МиГ-23, F-111. Но в случае отказа привода поворота крыла у экипажа были катапульты. Какие системы спасения будут для пассажиров SpaceShipTwo, если откажут актюатор или замок системы торможения? Люк в кабине и парашюты, как во Вторую мировую войну? Все пассажиры должны будут проходить обязательную парашютную подготовку, прежде, чем подняться на борт. Но в случае такого отказа аппарат начнет вращаться, и перегрузка не позволит людям даже встать с кресла, сделав эту подготовку совершенно бесполезной. Понятно противоречие - на меры безопасности требуются деньги, и количество туристов, которые могут оплатить полет, станет еще меньше. Но в противном случае SpaceShipTwo может повторить судьбу Спейс Шаттла - сказочно красивого корабля, в котором погибло много людей, а сама концепция дешевого грузовика на орбиту оказалась провалом.

При подготовке публикации кроме видеозаписи слушаний использовались материалы:

• Сайта NTSB.


• Spaceflight 101.


• Space.com.

Другие материалы по космическим авариям и катастрофам по тегу "космические происшествия".

Comments

Этот SpaceShip делается для полёта в космос

[videocontroler.livejournal.com]

Этот SpaceShip делается явно для полноценного полёта в космос, с выходом на орбиту, с полётом к МКС или ещё куда. А совсем не для катания туристов прыжками вверх на 100 км. На туристах просто технология обкатывается.

Двухфюзеляжный самолёт - это первая ступень. SpaceShip - вторая ступень. К его носу по логике должна бы ещё крепиться третья ступень с космическим кораблём, которая бы отделялась от SpaceShip'а в самом верху, и выходила на орбиту. Тогда получается две ступени из трёх - многоразовые. Многоразовый двухфюзеляжник, и многоразовый SpaceShip. И получается крайне дешёвый запуск в космос.

Конкурирующий вариант - это приземляющийся на баржу Falcon-9. Так, что американцы штурмуют тему многоразовости ступеней и удешевления космоса с двух сторон.

[lozga.livejournal.com]

Если бы вы были правы, то SpaceShipOne уже лет десять запускал бы спутники. А они захотели сделать аппарат под большее количество пассажиров, столкнулись с проблемой масштабируемости двигателя, теперь вот эта катастрофа...

[jr0.livejournal.com]

О двухфюзеляжности в статье ничего.

Третьей ступени не предполагалось. Вы что-то путаете.

"Конкурирующий вариант" это XCOR Lynx или Blue Origin New Shepard. Все они полностью многоразовые и суборбитальные. Скорость около 1 км/с, а не 8. Да и высота иная.

[alex-avr2.livejournal.com]

О, а вот и адепты теорий заговора тут как тут.

Re: Этот SpaceShip делается для полётÐ

[anonym-mouse.livejournal.com]

Аппарат делается в первую очередь для доставки
ОРУЖИЯ в любую точку земного шара ОЧЕНЬ БЫСТРО.

В стратегических документах США еще в начале
2000х была прописана возможность нанести карающий
удар в любой точке земного шара через часы.
Доставка ядерного или сверхмошного неядерного
оружия точного наведения решает эту задачу.

Думать, что технология подобного класса делается
для "катания туристов" - идиотизм.
Понятно, американцы сами так говорят,но они же
никого никогда не обманывали, да?

[jr0.livejournal.com]

1. Никто не утверждает, что вся вина лежит на погибшем. Но он был испытателем, знал об опасности, знал, что управляет неотлаженным самолетом. Документация и тренажер тоже следует доводить. И чаще всего, после первых испытаний самолета.

2. Парашютная подготовка не предполагается. Многоместные самолеты не снабжают катапультой. Пассажиров никогда не катапультируют. Неподготовленный человек с произвольными данными не предполагается разработчиками катапульт.

4. Пример боевых самолетов с изменяемой стреловидностью и вовсе притянут. Если уж буквоедствовать, то SpaceShip - самолет с развитой посадочной механизацией, каких много.

5. Катапультирование более чем двоих - редкое решение. Велика опасность столкновения. Затруднено принятие решения.

[lozga.livejournal.com]

1. СМИ отписались "виноват пилот" без подробного разбора

2. Ну так я и сожалею, что SpaceShipTwo строят как гражданский лайнер. На мой взгляд, условия полета совсем другие.

4. Почему? И там и там есть узел, который критически важен для нормального полета. Если на Су-24 откажет механизм поворота крыла, то экипажу остается только катапультироваться, лететь дальше невозможно.

5. В осенней публикации (http://lozga.livejournal.com/84466.html) я размышлял о спасении кабины целиком, как на F-111

[jr0.livejournal.com]

Ответы в ветке заморожены. А у меня есть ответы вам.

[jr0.livejournal.com]

Еще раз: вы заморозили ветку обсуждения. Мне кажется ваше поведение в сообществе неуместным.

[ardelfi.livejournal.com]

Вина пилотов в аварии не меняется из-за "стрессовых факторов" -- это их ручки делали, железо не отказало. Но в этом случае это лишь пустячок -- никто кроме пилотов и заказчика не пострадал, а система управления придумана альтернативно-одарённым архитектором, потому что не секрет что:

> Люди всегда ошибались, ошибаются и будут ошибаться.

В описанных функциях "разблокировки" и прочего нет абсолютно ничего, что требует работы двух человек. Управление пилотам дали без включения мозгов, и получили что заказали. Поэтому очень хорошо, что последствия постигли альтернативных на раннем этапе испытаний, а пилоты оказались "обычными". Эти функции (весь алгоритм старта как минимум) способен выполнить крошечный микроконтроллер с таким количеством резервирования, защит и самопроверок, что авария из-за его дисфункции была бы невозможной. Вместо этого архитектору системы показалось что лучше посадить два мешка с костями, которые...

> всегда ошибались, ошибаются и будут ошибаться

...и ещё сделать для них симулятор вместо автономной системы управления. Что заказали, то и получили. А вместо трёх центнеров балласта (пилоты с их креслами и интерфейсом) такой маленький аппарат можно оснастить парашютом, спасающим его вместе с пассажирами -- это уже придумано (https://spinoff.nasa.gov/Spinoff2010/ps_3.html), как и автономные системы управления для до-, транс- и сверхзвуковых режимов полёта ЛА.

[jr0.livejournal.com]

А теперь представьте, что второй летчик открыл парашют после M=0.8.

[alga.livejournal.com]

Не в тему SpaceShipTwo, но раз уж в кадр попало, то чисто к общему инженерству: правильный овал на на земле на виде с самолета-носителя - бывший Honda Proving Center of California. Раньше основной центр испытаний в пустынных условиях для продукции фирмы, в 2010 закрыт и после этого выставлен на продажу, вроде до сих пор не куплен. Если никакой автомобильный покупатель не заинтересуется, скорее всего землю купят для установки солнечных батарей.

[diechini.livejournal.com]

[cat-miaow.livejournal.com]

Интересный разбор полёта (во всех смыслах).

Соглашусь с предыдущим оратором - непонятно зачем нужны 2 пилота (может, для "самолётного" режима посадки?), и почему вообще люди должны были выполнять серию стандартных но критически важных операций за 26 секунд, да ещё и в определённый момент полёта.
Возможно, пытались сэкономить время и деньги на разработке автоматики?

[glatigpa.livejournal.com]

[lazy-flyer.livejournal.com]

Сама идея этого самолёта попахивает авантюрой.

[saidpod.livejournal.com]

это авантюра и есть, космический аттракцион, ведь никакой необходимости в создании такого типа кораблей нет.

[saidpod.livejournal.com]

Это ведь коммерческий проект, Ричард Бренсон вложил огромные средства, и реализация проекта затянулась уже прилично, чтобы не разориться отправили сырой аппарат, вот и результат.

[fan-d-or.livejournal.com]

Аппарат работает идеально - угробил его сырой экипаж.

ХИНТ: надо подробно разбираться с уровнем квалификации пилотов, привлечённых к работе в проекте.

Очень непохоже, что это профессиональные лётчики-испытатели - наверняка, какие-то "гражданские специалисты", то есть, по сути, рисковые ребята с диагнозом адреналиномании, окончившие школу пилотирования цесн...

[ai-see.livejournal.com]

Я, как программист, негодую. Почему до сих пор разрабатываются аппараты, управляемые людьми? 21-й век на дворе! 2 программиста дешевле 2-х пилотов. А какая экономия по массе? А сколько всяких тестов можно прогнать? Алсо, можно сделать миниатюрную модель корабля, и испытывать на ней всё то же самое, но заметно дешевле (или тут я не прав?)

[ejjvezdeejj.livejournal.com]

"Меньшая модель корабля" звалась SpaceShipOne.
Но зачем тут были два пилота вместо одного микроконтроллера - вопрос правильный.

[ejjvezdeejj.livejournal.com]

А на SS2 есть режим полета, в котором требуется раздельное разблокирование замков стабилизатора или поворот отдельного стабилизатора?

[midtecen.livejournal.com]

[bekinroa.livejournal.com]

[nik-lxiii.livejournal.com]

Кружок "кривые ручёнки".

[mesochorus.livejournal.com]

красивая игрушка и жаль что так плачевно получилось...
изначальные позиции разработки всеже ущербны
на пасажиров пох, вот этого не понимаю, какой к черту авиа концепт там альтернативы нет считай необходимость и риски временнем и растоянием отбиваются, а это туризм сиречь удовольствие, и если на выходе фарш получится гарантировано, а все остальное только если повезет, то кому такое удовольствие, да еще за свои кровные будет нужно, на одних дураках и самоубийцах проект наверно всеже не отобьешь
и опять таки мясо в кабине это все же пережиток
на выходе получаеим тупиковый проект, можно помахать ручкой обречены, ибо наверно и заднюю уже включить немогут, пирог то съеден

[lx-photos.livejournal.com]

спасибо, очень интересно

[fan-d-or.livejournal.com]

>> Прежде, чем говорить о причинах катастрофы, нужно понять, как работает система торможения SpaceShipTwo. В нормальном полете она является критическим компонентом, обеспечивающим торможение аппарата:

Как всегда всё через задницу в СМИ: у СШТ нет "системы торможения"!
Отклоняемое оперение - это устройство ПАССИВНОЙ стабилизации аппарата в гиперзвуковом потоке!

На Спейсшаттле/Буране стабилизация осуществлялось активной системой, требующей использования датчиков пространственного положения и реактивных двигателей ориентации, используемых помимо фазы посадки и в фазе орбитального полёта.

Покатушечный СШТ системой ориентации в космосе вообще не оборудован - его крутит, как придётся!
Что совершенно не мешает в баллистической фазе - ну, летит пассивная болванка хвостом вперёд, да и фиг с ней. Туристы внутри невесомостью наслаждаются.

Главной задачей для конструкторов была необходимость обеспечить нужную пространственную ориентацию в момент входа в плотные слои - если это не выполнено, то скорлупку просто разломает.

ХИНТ: между прочим, эта проблема - необходимость строгой ориентации в потоке - была решена Королёвым тоже весьма просто: "Востоку" придали сферическую форму и потому ориентация в потоке перестала иметь значение.
Правда, такое решение потребовало полной сферической защиты капсулы термоизоляцией - но в тот момент это самое простое решение позволяло существенно ускорить создание КК. Причина ровно та же, что и для СШТ - многократное снижение стоимости разработки за счёт полного отказа от системы ориентации.
Нет системы - нет и проблем с ней.

ХИНТ: американская школа создания космической техники в пику советской всегда опиралась на использование человеческого ресурса в ущерб автоматике - вопреки сложившемуся мнению об отставании СССР в вычислительной технике и приборостроении.
Другими словами, СССР вкладывался в автомат - причём полный! - а в США сажали пилота.
СССР стыковал спутники без людей на борту с самого начала - американцы подошли к этому полвека спустя.
СССР сажал Буран в полном автомате - Америка пихала на борт СШ экипаж, без которого "миссия невыполнима".

Таким образом, концепция Берта Рутана - на 101% американская и не может быть названа в качестве причины катастрофы.

Сами же операции, возложенные на "человеческий фактор" - тупы до безобразия и по сути не отличаются от известного анекдота "покормите собак, и ради бога, ничего не трогайте".
Это медицинский факт - пилотам (вдвоём!) надлежит запалить после сброса двигатель и в НУЖНОЕ ВРЕМЯ разблокировать замки.
И экипаж С ЭТИМ НЕ СПРАВЛЯЕТСЯ!

С инженерной точки зрения проект СШТ - великолепен!
Машина САМА - без всякой автоматики! - выполняет все нужные функции.
Нужно только не мешать ей - но люди именно МЕШАЮТ, делая не то, что нужно сделать.

Экипаж - ЕДИНСТВЕННАЯ причина аварийного сценария: это не отказ техники и не перегруженность человека функциями у правления.

Это просто феноменально низкая квалификация экипажа - начиная с инженерной компоненты подготовки. То есть, понимания экипажем принципов устройства вверенного им летательного аппарата: апеллирование следственной комиссии к инструкции, в которой не указана опасность преждевременной разблокировки хвостового оперения абсолютно равноценно пресловутому запрету на сушку кошек в микроволновке.
И инженерный анализ не сможет дать иного ответа...

[ai-see.livejournal.com]

Вот и я о том же. Женщину выкинуть, автомат поставить! Только:

> Машина САМА - без всякой автоматики! - выполняет все нужные функции.
ОЧЕНЬ сомневаюсь, что это так. Скорее всего, автоматики там море. И сделать аппарат на 100% автоматическим им помешали именно стереотипы. Решать задачу пилотов мог бы микроконтроллер, коих за 10 баксов мешок продают. Для надёжности, этот мешок можно было бы распределить по всему кораблю.

[fiberline.livejournal.com]

Дак, вкладце, что там случилось и кто виноват?

[ejjvezdeejj.livejournal.com]

При разгоне пилот не вовремя снял стопор с тормоза, и тот от тряски включился.
Технически виноват погибший пилот.

[semiliranda.livejournal.com]

Благодарю. Прочёл с интересом!

ТОП: 19:40 (московское)

[magict30p.livejournal.com]

Вы попали в Т30P (http://www.t30p.ru) самых обсуждаемых тем в блогосфере.
Это Ваш 20-й ТОПовый пост в этом году.
Посмотреть статистику автора можно в карточке топблогера (http://rating.t30p.ru/?engineering_ru.livejournal.com&p=tops).