Подробный разбор катастрофы SpaceShipTwo: только ли погибший пилот виноват?

[lozga.livejournal.com]

На минувшей неделе Национальный совет по безопасности на транспорте (NTSB) опубликовал материалы слушаний по катастрофе SpaceShipTwo. Напомню, 31 октября 2014 года во время испытательного полета корабль разрушился в воздухе, один из двух летчиков-испытателей погиб, а второй получил тяжелые травмы. Команда специалистов NTSB прибыла на место катастрофы в течение суток, и уже 2 и 3 ноября на пресс-конференциях была названа непосредственная причина катастрофы - преждевременный поворот хвостового оперения в тормозное положение. На пресс-конференции специально подчеркивалось, что расследование катастрофы будет заключаться в установлении причины этого события, и займет это примерно год. Результаты расследования появились всего через 9 месяцев. Новостные агентства написали короткие заметки о том, что виноват второй пилот, преждевременно снявший блокировку системы торможения. Но в материалах почти двухчасовых слушаний NTSB вырисовывается более сложная картина.

Материалы слушаний выложены в открытый доступ, и их можно посмотреть здесь.

Матчасть

Прежде, чем говорить о причинах катастрофы, нужно понять, как работает система торможения SpaceShipTwo. В нормальном полете она является критическим компонентом, обеспечивающим торможение аппарата:



Полет SpaceShipTwo состоит из следующих этапов:

1. Сброс с корабля-носителя WhiteKnightTwo на высоте ~15 км и скорости ~0,5 М.


2. Разгон с набором высоты на ракетном двигателе.


3. Подъем по инерции до высоты 110 км.


4. Поворот хвостового оперения в режим торможения.


5. Торможение в плотных слоях атмосферы.


6. Поворот хвостового оперения в самолетный режим.


7. Планирующий полет и посадка на аэродроме вылета.

Уникальность системы торможения заключается в том, что поворотом балок хвостового оперения аппарат переводится в аэродинамически устойчивую конфигурацию и тормозит, сохраняя правильное положение, как бадминтонный волан.



Система была успешно испытана в полете:

Технически, система торможения управляется четырьмя рукоятками:



Две нижние рукоятки управляют левым и правым замками системы торможения, для того, чтобы снять блокировку, нужно их потянуть вниз. Две верхние рукоятки управляют левым и правым исполнительными механизмами (актюаторами) системы торможения, для того, чтобы включить систему торможения, их надо потянуть на себя. Все рукоятки механически защищены от самопроизвольного движения при вибрации аппарата.

Полет снимался несколькими камерами. На слушаниях показаны данные с трех камер: наземной, на самолете-носителе и на хвостовой балке SpaceShipTwo:

На видео отчетливо видно, что хвостовые балки начинают поворачиваться, хотя данные из кабины говорят, что ни пилот, ни второй пилот не активировали систему торможения. В то же время, известно, что замки системы торможения были разблокированы вторым пилотом (погибший Майк Олсбери) после доклада о достижении скорости 0,8 М. Согласно карте полета замки системы торможения нужно было разблокировать после достижения скорости 1,4 М. Из-за того, что замки системы торможения были открыты на трансзвуковой скорости полета, на аппарат стали воздействовать нерасчетные аэродинамические силы, которые оказались сильнее приводов системы торможения и развернули аппарат в режим торможения, что привело к его разрушению:

При разрушении аппарата пилота (Петер Сиболд) вместе с креслом выбросило из кабины, он смог отстегнуть ремни кресла, и его парашют раскрылся автоматически.



Тело второго пилота (Майк Олсбери) было обнаружено в обломках кабины. На слушаниях ничего не было сказано о времени и причине смерти.

План полета, подготовка и другие человеческие аспекты

В этом полете распределение обязанностей между пилотом и вторым пилотом было следующим:



После сброса с самолета-носителя пилот управлял аппаратом и отдавал команду на зажигание ракетного двигателя. Второй пилот производил операции по включению двигателя. По достижении скорости 0,8 М второй пилот объявлял вслух "0,8 М!", чтобы пилот был готов к тряске трансзвукового участка полета. При приближении к скорости звука меняется обтекание аппарата воздухом, и практически любой самолет или ракету начинает трясти. Пилот, кроме непосредственного управления аппаратом, начинал управлять триммером стабилизаторов, а задачей второго пилота было громко сообщать о положении стабилизатора. Типичным был бы непрерывный доклад, например, "Пять градусов! Семь градусов! Девять градусов!". По достижении скорости 1,4 М второй пилот должен был разблокировать замки системы торможения.

В реальности спустя примерно две секунды после объявления "0,8 М", на скорости примерно 0,82 М второй пилот произнес "Разблокирую!" и разблокировал замки системы торможения. Оба пилота успели отметить увеличение тангажа (аппарат начал задирать вверх нос).

Оба пилота проходили специальную предполетную подготовку, которая включала в себя работу на симуляторе SpaceShipTwo, планирующие полеты на WhiteKnightTwo, который в определенной конфигурации имитировал аэродинамику SpaceShipTwo на участке планирующего снижения и посадки, а также тренировки на спортивном самолете для отработки навыков работы в невесомости и вывода самолета из опасных режимов полета. В то же время, тренировки на симуляторе производились не в полетных костюмах (шлем, кислородная маска, высотный костюм), а в обычной одежде, и на симуляторе не имитировались перегрузки и тряска реального полета.

Неизвестной до слушаний особенностью являлось то, что замки системы торможения должны были быть разблокированы до скорости 1,8 М. Если этого не удавалось сделать, то дальнейший разгон необходимо было отменить, потому что в случае отказа замков системы торможения SpaceShipTwo не мог нормально затормозить. В результате на пилотов действовали следующие стрессовые факторы:

• Полетная карта не использовалась в бумаге, операции выполнялись по памяти.


• Операции нужно было выполнить в весьма сжатый срок, по данным полетов в симуляторе примерно 26 секунд.


• Полеты с включением двигателей выполнялись давно, пилоты могли отвыкнуть от тряски и перегрузок.


• Тренировки на симуляторе проводились в обычной одежде, отсутствие привычки к полетному костюму могло дополнительно усилить стресс.


• В документации была прямо указана опасность поздней разблокировки системы торможения, а вот опасность слишком ранней разблокировки, хоть и считалась общеизвестной, в документации прямо указана не была. В результате пилоты могли стремиться разблокировать замки системы торможения как можно раньше, чтобы не вызвать отмену дальнейшего разгона.

При разработке аппарата конструкторы не установили никаких систем информирования о достижении безопасной скорости для разблокировки или защиты от преждевременной разблокировки системы торможения, полностью положившись на квалификацию пилотов. Несмотря на то, что при разработке SpaceShipTwo использовались технологии предупреждения возможных аварий, они оказались недостаточными. Регулирующие органы (FAA/AST) оказались неспособны дать адекватную оценку безопасности аппарата из-за новизны отрасли частных суборбитальных полетов, к тому же, при рассмотрении заявки на них было оказано давление, чтобы заявка была рассмотрена в 120-дневный срок, а решение было положительным. Взаимодействие инспекторов по безопасности и фирмы-разработчика (Scaled Composites) было недостаточно полным, быстрым и качественным. Также, инспекторы по безопасности назначались на полет, но не на разработчика, и не были знакомы с особенностями корабля и проводимых полетов.

Выводы

NTSB сформулировало десять рекомендаций по повышению безопасности. Конструкторы SpaceShipTwo сообщают, что уже разработали механизм, защищающий от преждевременной разблокировки системы торможения.
Формально, эта катастрофа стала первой космической катастрофой, произошедшей по вине экипажа. Но виноваты не только пилоты. Конструкторы, которые "сложили все яйца в одну корзину" и не установили никаких систем предупреждения или блокировки замков системы торможения от раскрытия в неподходящее время, тоже несут ответственность за эту катастрофу. Люди всегда ошибались, ошибаются и будут ошибаться. В ситуации, когда и слишком ранняя, и слишком поздняя разблокировка системы торможения одинаково смертельно опасна, инженеры, фактически, поспособствовали ошибке, напоминая об опасности слишком поздней разблокировки, но ничего не указав в документации или на приборной доске об опасности слишком ранней разблокировки. Практически закономерно, что люди ошиблись всего после восьми полетов.

Тот факт, что конкретно эта причина катастрофы больше не повторится не вселяет в меня оптимизм и уверенность в дальнейшем успехе суборбитального космического туризма от Virgin Galactic. Если бы аппарат проектировался с учетом опасностей скоростных, высотных и космических полетов, то эта авария не стала бы катастрофой. Катапульты или спасаемая капсула экипажа не допустили бы гибели людей даже в случае разрушения аппарата. Но этого нет, и не планируется - SpaceShipTwo спроектирован в идеологии гражданских самолетов, а не космических аппаратов. Инженерно красивая концепция системы торможения является критически важным для безопасности полета компонентом. Но как инженеры обеспечивают ее надежность? Дублированы ли ее исполнительные механизмы? В истории авиации были самолеты с изменяемой стреловидностью крыла - Су-24, МиГ-23, F-111. Но в случае отказа привода поворота крыла у экипажа были катапульты. Какие системы спасения будут для пассажиров SpaceShipTwo, если откажут актюатор или замок системы торможения? Люк в кабине и парашюты, как во Вторую мировую войну? Все пассажиры должны будут проходить обязательную парашютную подготовку, прежде, чем подняться на борт. Но в случае такого отказа аппарат начнет вращаться, и перегрузка не позволит людям даже встать с кресла, сделав эту подготовку совершенно бесполезной. Понятно противоречие - на меры безопасности требуются деньги, и количество туристов, которые могут оплатить полет, станет еще меньше. Но в противном случае SpaceShipTwo может повторить судьбу Спейс Шаттла - сказочно красивого корабля, в котором погибло много людей, а сама концепция дешевого грузовика на орбиту оказалась провалом.

При подготовке публикации кроме видеозаписи слушаний использовались материалы:

• Сайта NTSB.


• Spaceflight 101.


• Space.com.

Другие материалы по космическим авариям и катастрофам по тегу "космические происшествия".

Comments

[fan-d-or.livejournal.com]

>> Прежде, чем говорить о причинах катастрофы, нужно понять, как работает система торможения SpaceShipTwo. В нормальном полете она является критическим компонентом, обеспечивающим торможение аппарата:

Как всегда всё через задницу в СМИ: у СШТ нет "системы торможения"!
Отклоняемое оперение - это устройство ПАССИВНОЙ стабилизации аппарата в гиперзвуковом потоке!

На Спейсшаттле/Буране стабилизация осуществлялось активной системой, требующей использования датчиков пространственного положения и реактивных двигателей ориентации, используемых помимо фазы посадки и в фазе орбитального полёта.

Покатушечный СШТ системой ориентации в космосе вообще не оборудован - его крутит, как придётся!
Что совершенно не мешает в баллистической фазе - ну, летит пассивная болванка хвостом вперёд, да и фиг с ней. Туристы внутри невесомостью наслаждаются.

Главной задачей для конструкторов была необходимость обеспечить нужную пространственную ориентацию в момент входа в плотные слои - если это не выполнено, то скорлупку просто разломает.

ХИНТ: между прочим, эта проблема - необходимость строгой ориентации в потоке - была решена Королёвым тоже весьма просто: "Востоку" придали сферическую форму и потому ориентация в потоке перестала иметь значение.
Правда, такое решение потребовало полной сферической защиты капсулы термоизоляцией - но в тот момент это самое простое решение позволяло существенно ускорить создание КК. Причина ровно та же, что и для СШТ - многократное снижение стоимости разработки за счёт полного отказа от системы ориентации.
Нет системы - нет и проблем с ней.

ХИНТ: американская школа создания космической техники в пику советской всегда опиралась на использование человеческого ресурса в ущерб автоматике - вопреки сложившемуся мнению об отставании СССР в вычислительной технике и приборостроении.
Другими словами, СССР вкладывался в автомат - причём полный! - а в США сажали пилота.
СССР стыковал спутники без людей на борту с самого начала - американцы подошли к этому полвека спустя.
СССР сажал Буран в полном автомате - Америка пихала на борт СШ экипаж, без которого "миссия невыполнима".

Таким образом, концепция Берта Рутана - на 101% американская и не может быть названа в качестве причины катастрофы.

Сами же операции, возложенные на "человеческий фактор" - тупы до безобразия и по сути не отличаются от известного анекдота "покормите собак, и ради бога, ничего не трогайте".
Это медицинский факт - пилотам (вдвоём!) надлежит запалить после сброса двигатель и в НУЖНОЕ ВРЕМЯ разблокировать замки.
И экипаж С ЭТИМ НЕ СПРАВЛЯЕТСЯ!

С инженерной точки зрения проект СШТ - великолепен!
Машина САМА - без всякой автоматики! - выполняет все нужные функции.
Нужно только не мешать ей - но люди именно МЕШАЮТ, делая не то, что нужно сделать.

Экипаж - ЕДИНСТВЕННАЯ причина аварийного сценария: это не отказ техники и не перегруженность человека функциями у правления.

Это просто феноменально низкая квалификация экипажа - начиная с инженерной компоненты подготовки. То есть, понимания экипажем принципов устройства вверенного им летательного аппарата: апеллирование следственной комиссии к инструкции, в которой не указана опасность преждевременной разблокировки хвостового оперения абсолютно равноценно пресловутому запрету на сушку кошек в микроволновке.
И инженерный анализ не сможет дать иного ответа...

[ai-see.livejournal.com]

Вот и я о том же. Женщину выкинуть, автомат поставить! Только:

> Машина САМА - без всякой автоматики! - выполняет все нужные функции.
ОЧЕНЬ сомневаюсь, что это так. Скорее всего, автоматики там море. И сделать аппарат на 100% автоматическим им помешали именно стереотипы. Решать задачу пилотов мог бы микроконтроллер, коих за 10 баксов мешок продают. Для надёжности, этот мешок можно было бы распределить по всему кораблю.

[fan-d-or.livejournal.com]

При переходе на парадигму полной автоматизации стоимость всего проекта возрастёт на порядки - в силу необходимости обеспечения проверки автоматов во всех мыслимых и немыслимых режимов.
Для реализации такой программы придётся построить огромное количество наземных стендов - для каждой подсистемы автоматического корабля.
При этом, сам стенд тоже надо сертифицировать - то есть доказать испытаниями достаточного объёма его пригодность для решения поставленной задачи.

Относительно функционального принципа, заложенного в этот самолёт - что б понять суть утверждения, надо владеть аэродинамикой, авиаконструированием и кучей прочих инженерных дисциплин, выходящих далеко за рамки "программирования".

В этом летательном аппарате применены принципы выполнения нужных функций не за счёт гибкости управления, а за счёт сочетания первичных физических законов.

Потому тут вообще нет сервоприводов!

То есть, пресловутому процессору попросту нечем управлять!

СШТ управляется чистой механикой - как самолёты 20-х...30-х годов!

На нём нет электромеханических систем!
Нет вообще!

Приводы тех же замков - механические тяги от ручек, за которые дёргает экипаж.
Точно так же, как убирал шасси пилот И-16, крутя маховик лебёдки в кабине, связанный с тросами, привязанными к колёсам.

[ai-see.livejournal.com]

Можно вести разработку по принципу: "Автомат вместо человека". Навесить сервоприводы на все рычаги, задать алгоритм действий в зависимости от таймера и ситуации с датчиками. Можно построить дерево всех возможных сочетаний положений ручек управления и сигналов с датчиков, и если на каждый такой вариант автомат будет реагировать адекватно, значит идеальный пилот получен. Дёргать для этого живую машину не обязательно. Компьютерное моделирование позволит отработать все экзотические ситуации, а штатные ситуации и вероятные нештатные всё равно пришлось бы отрабатывать с живым пилотом.

Может я правда чего не понимаю? Ну не вижу я тут возрастания сложности на порядки. Обычная работа, которую всё равно приходится делать и для проекта без полной автоматики.

[fan-d-or.livejournal.com]

Вот потому вы и не годитесь для работы в ЭТОЙ отрасли - потому, что не понимаете сути вопроса:
В данном случае всё определяется ценой НИОКР.

[ai-see.livejournal.com]

И она выходит больше цены обучения пилота? Цены жизни пилота? Почему-то никто не может объяснить здесь, откуда берётся такое ценообразование? Прошивку для микроконтроллера квадрокоптера, так и вовсе можно забесплатно скачать =) Но я примерно представляю сколько труда вложено в неё. И цена этого труда, как я оцениваю, меньше, чем стоил бы хотя бы интерфейс ручного управления двигателями, опроса датчиков и т.п. Не говоря уже о том, что следить за этим всем, принимать правильные решения и воплощать их для такого медленного существа как человек, было бы просто невозможно.

[fan-d-or.livejournal.com]

О ценообразовании: я ещё раз объясняю - переход к автоматическим системам помимо стоимости самих систем (а она, уж поверьте специалисту, много больше механики), требует развёртывания на этапе НИОКР серьёзного стендового хозяйства, включая необходимость сертификации самого этого хозяйстве перед развёртыванием полнообъёмного процесса испытания и отработки автоматических систем.

Ваши критерии, взятые из опыта гражданской жизни, категорически неприменимы для данного случая.
К примеру, отечественная космонавтика сильно обожглась в недавнем прошлом - когда отправила за бугор амбициозный проект
марсианских АМС.

Причина банальна - "а давайте ставить не специализированные и сертифицированные для космического применения микросхемы, а их полные функциональные аналоги из гражданского сектора."
Вот оно и сдохло, не выйдя на отлётную трассу.

А просто в отрасль пришли вундеркинды, набравшиеся опыта на клепании спектрумов, но не понимающие, в чём фундаментальная разница.

[ai-see.livejournal.com]

Т.е. из-за того, что эти ребята не учли, что в космосе есть радиация, прогорел весь проект. Замечательно. Но почему есть такая иррациональная вера в пилота? Если для него не сделать защиты от радиации, он тоже помрёт. Может не так же быстро как микросхемы, но..

Вот зарубежные товарищи придумали логику массива самоперепрограммирующихся FPGA, которые обнаруживают какой кусок железа выбило не в меру быстролетящей частицей и куда теперь перенести логику, за которую отвечала отказавшая часть микросхемы.

Да, гражданская жизнь.. Вот мне приходилось писать бота, который торгует на бирже. И если этот бот вдруг будет как-то не так торговать, он может за пару часов просадить несколько моих зарплат. Такое происходило? Нет, ни разу. Тесты, определённый стиль программирования, все дела. Мог бы на месте бота торговать человек? Да, но это дорого, и человек, несмотря на всю свою обученность, нередко ошибается. А вот хороший алгоритм не ошибается, и работает 24 часа в сутки. Он при любой неожиданности должен быть способен вывести ситуацию в режим наименьшего ущерба.

Для меня чётким показателем непонимания ситуации является неспособность объяснить, чем же внезапно проект с полной автоматизацией становится дороже проекта с пилотом. Пока что я вижу такое: "Электронику надо долго и упорно тестировать, это дорого, а пилот сам за свою шкуру отвечает, авось пронесёт, сориентируется".

[jr0.livejournal.com]

Демонизируете американские подходы. Они разнообразны. И в области автоматики или телеуправления, в том числе посадки, были впереди СССР на десятилетия.

Вопреки вашим выкладкам, автоматическое оборудование Apollo или Shuttle совершеннее подобного советского.

[ejjvezdeejj.livejournal.com]

Не споря о перегибах, когда "Спейс Шаттл" совершал автоматическую посадку?

[jr0.livejournal.com]

По сути, совершал. Но подготовленным астронавтам в здравом состоянии не хотелось отдавать задачу автомату.

Не думаю, что экипаж Бурана был бы рад его удивительным фортелям на посадке.

В США до полетов челноков совершали автоматическую посадку даже на палубу авианосца. И были сотни истребителей, переоборудованных телеуправлением.

[ejjvezdeejj.livejournal.com]

Экипаж Бурана сделал бы своих собственных удивительных фортелей при посадке. :) Решение АСУ было верным - хоть для наземных служб и оказалось неожиданным.

Телеуправление - это не автоматическое управление, опять же если быть строго точным. :)
И кстати, в СССР каждый истребитель ПВО был оборудован аппаратурой телеуправления, начиная с Су-15Т и МиГ-23.

[jr0.livejournal.com]

Нет, не сделал бы.

Телеуправление это телеуправление. Какая проницательность. Я имел ввиду взлет, выполнение задачи полета и посадку сверхзвуковых самолетов с 50-х годов. И, разумеется, автоматическую посадку Су-15 не выполняли.

Как и всюду, отставали на десятилетие, по крайней мере.

[ejjvezdeejj.livejournal.com]

Жаль, что таких изумительных людей на остальные ЛА не хватает. Вечно кто-нибудь напортачит.

[jr0.livejournal.com]

Авиация имеет низкий уровень аварийности. Как же достали меня журнализмы вместо анализа.

[fan-d-or.livejournal.com]

Тем не менее, факт остаётся фактом - даже первый "Восток" обеспечивал автоматическую посадку без участия пилота в процессе управления.

Все американские КК, вплоть до Аполло, опирались на ручное управление - некоторые технологические операции по осуществлению сквозной миссии мог выполнить только пилот.

Эта тенденция сохранена на СпейсШаттле - без пилотов он не садится.
Буран, как известно, слетал в полностью беспилотном режиме.

Так, что не надо демонизировать советский опыт.

[jr0.livejournal.com]

Факт в том, что автоматические исследования космоса в США очень давно превосходят советские и российские успехи.

Давайте придерживаться фактов, а не рекордов.

[fan-d-or.livejournal.com]

Факт прежде всего в том, что продвинутые американцы платят за извоз тушек их пилотов этим отсталым русским.

И этот факт начисто перекрывает любые успехи в дальнем внеземелье...

[jr0.livejournal.com]

Китайцы превзошли американцев, по-вашему? Это факт, по-вашему?

[fan-d-or.livejournal.com]

А что, китайцы уже возят амеров?

Интересный факт...

[jr0.livejournal.com]

Американцы мерило? Интересный факт.

[lozga.livejournal.com]

Это именно система торможения, аппарат переводится в устойчивую конфигурацию, при которой тормозит "брюхом" вперед. Решение красивое, потому что в тормозной конфигурации корабль сам займет нужное положение, как спускаемый аппарат "Востока".

[fan-d-or.livejournal.com]

Это устройство называется "система аэродинамической перебалансировки" - не нужно умножать сущности сверх необходимого.

Если вам хочется ткнуть пальцем в "тормоз" - то тыкайте в брюхо аппарата, которым он тормозит.

А хвостовое оперение находится в противоположной стороне от "органа торможения"...

[lozga.livejournal.com]

Насколько я знаю, в русском языке нет адекватного перевода этого девайса из-за его уникальности. Мне нравится функциональный перевод - система торможения. Потому что используется она для торможения. Это немного похоже на спойлер, но, в отличие от щитков, открывающихся на крыле, тут поворачиваются хвостовые балки

[fan-d-or.livejournal.com]

Язык тут вообще никаким боком - потому, что инженерный анализ не опирается на лингвистические выкрутасы.

Функциональное назначение отклоняемого оперения не меняется при его отклонении - его назначение остаётся прежним: стабилизировать летательный аппарат в потоке.
И ничего кроме.

Торможение достигается за счёт изменения аэродинамического качества при изменении альфы. То бишь, угла атаки...

Спойлер тут никаким боком - потому, что при его применении угол атаки ЛА не меняется и именно спойлер оказывается поперёк потока.

В данном ЛА отклонившееся оперение остаётся в потоке всё в том же положении!
То есть, этот элемент не тормозит при всём желании.

ХИНТ: единственно правильным и технически грамотным является для этого аэродинамического органа наименование "устройство перебалансировки".

ХИНТ: устройство сие ни в малой степени не уникально и чрезвычайно широко применяется в авиации - отклоняемый (переставляемый) в полёте стабилизатор (при наличии отдельного руля высоты) применён на множестве ЛА.
К примеру, на Ту-134, Ту-154.
И функциональное назначение полностью идентично - балансировка ЛА в потоке.

Уникален в данном случае только угол отклонения стабилизатора - что вызвано необходимостью увеличить угол атаки в специфической фазе полёта. И только в ней - для посадки необходимо вернуть стабилизатор в основное положение.

ХИНТ: назначение этого аэродинамического узла на СШТ - не тайна за семью печатями и самоочевидно любому мало мальски соображающему в аэродинамике специалисту.
Оно, можно сказать, вопиёт о себе при первом же взгляде на конструкцию.
И никакого описания от разработчиков не надо для объяснения принципов его функционирования ввиду самоочевидности.

ХИНТ: а вот с фактами непонимания ЛЁТЧИКАМИ основ аэродинамики я по жизни сталкивался - ога, летали по инструкциям... До поры, до времени - пока жареный петух не посетит в воздухе...