Радость познания

Ракеты на твердом топливе (SRB)

Оценка надежности ракет на твердом топливе была выполнена офицером службы безопасности полигона, изучившим опыт всех предыдущих полетов ракет. Из полного числа порядка 2900 полетов 121 оказался неудачным (1 к 25). Сюда, однако, включены так называемые ранние ошибки, когда ракета запускалась по нескольку раз, при этом определялись и фиксировались конструкторские ошибки. Более разумные цифры для ракет с продуманным дизайном — 1 к 50. При особой тщательности в выборе деталей и надежном обследовании эти цифры могут стать ниже и достигнуть значения 1 к 100, правда, цифра 1 к 1000 вряд ли достижима при современной технологии. (На космическом челноке две такие ракеты, поэтому скорость его крушения из-за отказа ракет-носителей на твердом топливе должна удваиваться.)

Официальные представители НАСА приводят доводы в пользу гораздо меньших цифр. Они утверждают, что эти цифры справедливы для ракет, не укомплектованных людьми, но так как челнок является средством, управляемым людьми, «вероятность успешного полета очень близка к 1,0». Не очень ясно, что означает эта фраза. Означает ли это, что цифра близка к 1 или должна быть близка к 1? Они продолжают объяснять: «исторически эта чрезвычайно высокая степень успешного полета объясняется разницей философий между программами космического полета с экипажем и без экипажа; то есть употребление численной вероятности против выводов инженеров». (Эти цитаты взяты из «Space Shuttle Data for Planetary Mission RTG Safety Analysis», pages 3–1,3–2, February 15, 1985, NASA, JSC.) Ясно, что, если бы вероятность крушения составляла 1 к 100 000, необходимо было бы провести чрезмерно большое число тестов для ее определения (вы ничего не получите, кроме цепочки успешных полетов, из которых не вытекает никакая правильная цифра, а только то, что вероятность вряд ли меньше числа таких полетов в цепочке). Но если фактическая вероятность не так мала, полеты должны вызывать тревогу, обоснованные оценки должны вызывать опасение реального крушения. Весь предыдущий опыт НАСА указывает на возможность случайных трудностей, почти несчастных случаев и самих несчастных случаев — все это служит предупреждением, что вероятность крушения полетов не так мала. Непоследовательность аргументации не определяет надежности на основе истории полетов и испытания двигателей, как это делает офицер службы безопасности и к чему апеллирует НАСА: «Исторически такая высокая степень успешных полетов…» В конце концов, если мы сравним стандартную численную вероятность и заключения инженеров, откуда такое огромное расхождение между оценкой руководства и выводами инженеров? Может оказаться, что для любой цели, для внутреннего и внешнего потребления, руководство НАСА преувеличивает надежность своего продукта до фантастических цифр.

Не буду здесь заново излагать историю сертификации и «Руководство по подготовке к полетам». (Смотрите соответствующие разделы докладов комиссии.) Совершенно очевидно допустить в предыдущих полетах такие явления, как газопропуск (просачивание газа) и эрозию. Полет «Челленджера» — тому поучительный пример. Имеется несколько ссылок на предыдущие полеты. Одобрение и успех предыдущих полетов рассматриваются как доказательство безопасности. В конструкции не предполагалось ни эрозии, ни газопропуска — следовательно, если она есть, значит, конструкция «предупреждает»: что-то работает не так. Агрегаты работают не так, как ожидалось, и потому существует опасность, что они могут работать даже с большими отклонениями, причем неожиданным и не вполне понятным образом. Тот факт, что эта опасность не приводила раньше к катастрофе, не является гарантией, что ничего не случится в дальнейшем, если только все полностью не понять и не проанализировать. При игре в русскую рулетку, если в первой попытке вы избежали опасности, это дает небольшую надежду избежать ее в следующей. Причина и следствие возникновения газопропуска и эрозии не понятны. Они не проявляются одинаково во всех полетах и всех узлах; иногда больше, иногда меньше. Почему когда-нибудь в будущем, когда условия станут более подходящими, это не может привести к катастрофе?

Несмотря на происходящие от случая к случаю отклонения, официальные лица ведут себя так, словно им все понятно, обмениваясь, по их мнению, логичными доводами, часто зависящими от «успеха» предыдущих полетов. Например, если полет 51-L был безопасен — они бравируют тем, что эрозии уплотнительного кольца не произошло — а в полете 51-С отмечалось, что глубина эрозии составляла только одну треть радиуса. В эксперименте с разрезанием кольца было замечено, что перед поломкой кольца его надо разрезать на глубину одного радиуса. Вместо того чтобы принять во внимание, что изменения плохо изученных условий могут внезапно привести к сильной эрозии, они объявляют эрозию «фактором безопасности три». Странное использование инженерного термина «фактор безопасности». Если мост строится с расчетом на определенную нагрузку, соответствующую отсутствию постоянной деформации балок, трещин или разрушений, его следует конструировать из материалов, которые устоят при утроенной нагрузке. «Фактор безопасности» не должен соответствовать точно определенному превышению нагрузки, или неизвестной дополнительной нагрузке, или слабым местам материала, в котором могут появляться неожиданные дефекты и тому подобное. Если в результате ожидаемой нагрузки на новый мост появится трещина в балке, здесь налицо неудачная конструкция. Не существует никаких факторов безопасности; даже несмотря на то что мост реально не разрушается, потому что трещина составляет только одну треть величины балки. Уплотнительные кольца ракеты-носителя на твердом топливе не должны конструироваться из материала, подвергающегося эрозии. Эрозия — это «звонок» о том, что в конструкции что-то неправильно, и никак не фактор, из которого можно сделать заключение о безопасности.

Нет другого пути, кроме полного понимания проблемы — следует быть абсолютно уверенным, что условия в следующий момент не приведут к эрозии, в три раза более сильной, чем раньше. Тем не менее официальные лица обманывают себя, полагая, что они во всем разобрались и во всем убеждены, несмотря на специфические отклонения, происходящие от случая к случаю. Для расчета эрозии мы создали математическую модель. Эта модель основана не на физическом понимании, а на подгонке эмпирических кривых. Более подробно — предполагалось, что поток горячего газа сталкивается с материалом уплотнительного кольца, определялось тепло в точке застоя (в соответствии с действующими физическими термодинамическими законами). При определении того, насколько покрышку кольца разъела эрозия, исходим из того, что все зависит только от этого тепла, расчет проводился по формулам с данными для подобного материала. График в логарифмическом масштабе представлял прямую линию, поэтому считалось, что эрозия меняется как степень 0,58 от тепла; число 0,58 определяется по ближайшей подгоночной кривой. В любом случае при подгонке некоторых других чисел определяется, что модель согласуется с величиной эрозии (с глубиной, составляющей одну треть радиуса уплотнительного кольца). Нет ничего более вредного, чем доверять ответам! Везде возникают неопределенности. Нельзя предсказать, насколько сильный поток газа обтекает уплотнитель, он зависит от отверстий, образованных в замазочном слое. Просачивание газа показало, что кольцо может сломаться при частичной эрозии или даже при ее отсутствии. Хорошо известно, что эмпирическая формула будет неопределенной, если она не применяется именно к тем экспериментальным точкам, с помощью которых была определена. Есть скопления точек, некоторые встречаются дважды: над и под подгоночной кривой; так что двойное предсказание эрозии достаточно надежно, даже исходя из одного этого случая. Подобные неопределенности встречаются и в других константах в формулах и т. д. При использовании математической модели особое внимание следует обращать на ее неопределенности.