Уроки космических аварий: жесткая дорога к мягкой посаде программы Е-6
«Луна-9» стала первым аппаратом, который совершил мягкую посадку на другое небесное тело. Но менее известно, что «Луна-9» была двенадцатой из серии аппаратов мягкой посадки. И если бы не аварии, то первая мягкая посадка состоялась бы на три года раньше, в 1963 году. Что же случилось с предыдущими одиннадцатью аппаратами, и чему из этого можно научиться? МатчастьДля того, чтобы было понятно, какие узлы где отказывали, необходимо разобраться в конструкции и плане полёта межпланетных станций программы Е-6. В плане полёта можно выделить следующие этапы: Выведение. Первые три ступени ракеты-носителя выводят станцию и четвертую ступень на промежуточную низкую околоземную орбиту. Первая и вторая ступени имели единую систему управления (наследие боевой ракеты), третья и четвертая ступени управлялись системой управления станции.
Разгон к Луне. Спустя примерно час после отделения, над Атлантическим океаном, включалась четвертая ступень и разгоняла станцию к Луне.Полёт к Луне. В процессе полёта производились измерения траектории станции и рассчитывался импульс для коррекции. Примерно на середине полёта станция давала корректирующий импульс, исправляя ошибки траектории и нацеливаясь на район посадки.
Посадка. Как известно, на Луне нет атмосферы, поэтому мягкую посадку на неё можно совершить только на реактивных двигателях.
Ориентация. Траектория полёта рассчитана так, чтобы последний её участок был перпендикулярен поверхности Луны. Используя Солнце, Землю и Луну как маяки, станция ориентировалась по оси траектории.Торможение. Тормозной двигатель (КТДУ) включался за 75 км до поверхности Луны по команде радиовысотомера. Во время торможения сбрасывались ставшие ненужными блоки (меньше масса — проще тормозить) и надувались резиновые баллоны-амортизаторы.Контакт. После основного сеанса торможения КТДУ выключалась, и станция снижалась на управляющих двигателях с небольшой скоростью. Выдвижной щуп фиксировал контакт с Луной, по которому посадочный модуль внутри баллонов-амортизаторов отстреливался от тормозного отсека.
ВключениеПосле того, как «мячик» переставал прыгать по Луне, баллоны-амортизаторы сбрасывались, а посадочный модуль раскрывал защитные лепестки верхней части, а затем антенны.
Передача информации. Главная цель станции — передать панораму лунной поверхности. Поэтому основным научным инструментом была поворачивающаяся камера в герметичном прозрачном контейнере.Рассказ, пусть и с картинками, несколько суховат. К счастью, есть отличный советский фильм, рассказывающий про конструкцию и полёт станции:[embedded content]
Сценарий с «Луной-9» есть в Orbiter’e, но, кому лень ставить, есть хорошо объясняющее план полёта видео:[embedded content]
Аварии
Теперь, когда более-менее понятна конструкция и план полёта станции, можно говорить о том, что, где и почему ломалось.Начальные условия
Ракета 8К78 «Молния» совершила десять пусков до начала полётов по программе Е-6. Из них только в одном пуске все четыре ступени отработали нормально. По вине четвертой ступени произошло 5 аварий, третьей — 2 и первой/второй — 2. Такая жуткая статистика объясняется ракетно-артиллерийским подходом к испытаниям космических аппаратов в СССР, помноженным на политику космической гонки. Во-первых, конструкторы вышли из артиллеристов и ракетчиков, для них привычно было производить множество пусков, отлаживая аппараты уже по результатам аварийных пусков. Сразу необходимо отметить, что для решения космических задач этот подход оказался неподходящим — цена одного пуска и в деньгах и в потраченном времени сильно превышала цену тщательной наземной отработки и тестирования. Во-вторых, престиж отправки межпланетных станций к Марсу и Венере приводил к мышлению «сделали — немедленно пускать, авось улетит». Естественно, результаты показывают, что «авось» не работает.Также необходимо отметить, что анализ причин аварий производился плохо. Дело в том, что запуск четвертой ступени происходил над Атлантичеким океаном, между Южной Америкой и побережьем Африки, и станция не могла передать телеметрию на территорию СССР из-за кривизны Земли. Поэтому точная причина пяти отказов четвертой ступени была неизвестна. К началу пусков программы Е-6 специальный корабль «Долинск» был отправлен в Гвинейский залив для того, чтобы получать телеметрию и передавать её в ЦУП, чтобы там могли узнать о причине отказа.Простейший расчет показывает, что в таких условиях вероятность успешного пуска равна 10% (1 успешный/10 всего). Хотя, если подумать, то она стремится к 0 из-за отказов четвертой ступени, причина которой неизвестна, а обнаружение неполадок велось наугад.Первый пуск
4 января 1963 года, первый пуск по программе Е-6. Авария, отказ четвертой ступени. Корабль «Долинск» уже был на позиции и сумел получить телеметрию. Непосредственной причиной аварии был отказ подачи электрических команд на запуск двигателя (в некоторых источниках указывают, что это были двигатели осаждения, которые использовались для обеспечения запуска главного двигателя). Причиной этого назвали отказ преобразователя тока в блоке системы управления. Блок был заполнен сухим азотом, что вызывало повышенный износ щёток коллектора электродвигателя. Несмотря на то, что при испытаниях блоки обычно выходили из строя за более длительное время, других возможных причин не нашли. В качестве решения азот стали увлажнять и добавлять чуть-чуть кислорода.Причина: Конструктивные недоработки.Решение: Изменение конструкции.Второй пуск
2 февраля 1963 года. Авария на участке работы третьей ступени, ракета отклонилась от курса и упала в районе Тихого океана. Причиной стала неверная установка гироскопов системы управления станции, которая, как вы помните, управляет и третьей ступенью ракеты-носителя. Фактически, третья ступень уже на старте была нацелена в океан. Кроме того, была выявлена недостаточная точность работы гироскопов, так как реальная траектория отличалась от запрограммированной.Причина: Эксплуатационный отказ, также выявлены недостатки конструкции.Решение: Изменение документации и контроля при подготовке к пуску, изменение конструкции.Третий пуск
2 апреля 1963 года. Все четыре ступени срабатывают успешно, станция отправляется к Луне под именем «Луна-4». Авария происходит на этапе выдачи корректирующего импульса на половине пути, станция промахнулась мимо Луны. Причина аварии — отказ системы астронавигации. Непосредственная причина аварии не установлена достоверно, блок системы астронавигации получил множество замечаний. Очень характерно удивление комиссии, описанное у Чертока: «Где вы все были раньше? Для того чтобы обнаружить в столь сложной системе десятки недостатков, вовсе не обязательно лететь к Луне. Все это очевидно при недорогих лабораторных и заводских проверках».Причина: Предположительно, конструктивная недоработка.Решение: Изменение конструкции.Четвертый пуск
21 марта 1964 года. Авария на участке работы третьей ступени — не открылся главный кислородный клапан, третья ступень не запустилась. Причина — обрыв штока клапана, все клапаны для третьей ступени пришлось дорабатыватьПричина: Конструктивные недоработки.Решение: Изменение конструкции.Венера помогла
27 марта 1964 года состоялся пуск ракеты 8К78 с межпланетной станцией к Венере. Опять не включилась четвертая ступень, но, благодаря тому, что на ней стояло новое записывающее устройство, были получены данные о последовательности событий при пуске двигателя. Выяснилось, что конструкторы системы управления не учли тот факт, что силовые переключатели (реле) переключаются не мгновенно. Из-за запаздывания срабатывания переключателя клапаны не получали электропитания и не включались. Четвертая ступень не смогла сориентироваться и кувыркалась на промежуточной орбите.Что характерно, на Земле проблема была устранена за 20 минут работы паяльником.Причина: Конструктивные недоработки.Решение: Изменение конструкции.Пятый пуск
20 апреля 1964. Авария, отказ четвертой ступени, незапуск двигателя. Телеметрия фиксирует отсутствие сигнала на систему обеспечения запуска двигателя. Снова проводятся испытания системы управления И-100 и преобразователя тока ПТ-500. Лабораторные испытания обнаруживают, что, несмотря на удовлетворительный общий температурный режим работы И-100, некоторые его части подвергаются недопустимому местному перегреву. Прибор отправили на доработку, также, перед стартом его стали охлаждать.Обратите внимание, что непосредственная причина аварии совпадает с первым пуском, а причина этого отказа опять не ясна до конца. Проблемы с однозначным установлением причины отказов привели к конфликту между разработчиками блока питания (ПТ-500, главный конструктор Иосифьян) и блока системы управления (И-100, главный конструктор Пилюгин).Причина: Конструктивные недоработки.Решение: Изменение конструкции.Шестой пуск
12 марта 1965 года. Авария, отказ четвертой ступени, незапуск двигателя. Очередные лабораторные испытания на фоне обострения отношений между конструкторами. Сотрудники Пилюгина проверяют на стенде преобразователь ПТ-500 Иосифьяна, и, спустя много часов, обнаруживают возможную причину — балансировочная шайба может задевать винт крепления крышки, что, по их мнению, перегружает и выводит из строя двигатель. Решением аварийной комиссии ПТ-500 заменяется на два преобразователя ПТ-200, тоже производства Иосифьяна, но более старые и уже привычные.
Фото ПТ-500 не нашёл, ПТ-1500 из той же серии, просто в три раза мощнее
Причина: Конструктивные недоработки.Решение: Изменение конструкции.
Седьмой пуск
10 апреля 1965 года. Серийный номер станции достиг цифры 8, и офицеры стартовой команды мрачно шутили «Номер восемь до Луны не добросим». Шутка оказалась верной — авария, отказ третьей ступени. Причина — нарушение работы двигателя из-за отказа системы наддува баков.Причина: Конструктивная или производственная недоработка. Наиболее вероятна производственная недоработка, потому что блок «И» (третья ступень) уже был серийным изделием и был запущен множество раз.Решение: Не указано. Единичный производственный дефект мог не вызывать каких-либо доработок.Восьмой пуск
9 мая 1965 года. Все четыре ступени отработали нормально, и станция отправилась к Луне под названием «Луна-5». Однако уже на половине пути возникли проблемы — с алгоритме работы системы управления было отведено слишком мало времени на прогрев гироскопов. Из-за этого один раз сорвался маневр коррекции траектории (был всё-таки выполнен с третьего раза), и сорвался маневр торможения у Луны. Станция разбилась о поверхность Луны.Причина: Конструктивные недоработкиРешение: Изменение конструкции, изменение алгоритма работы системы управления.Девятый пуск
8 июня 1965 года. Станция успешно стартовала к Луне под именем «Луна-6». Миссия была провалена из-за того, что при проведении коррекции траектории двигатель не выключился и сжёг всё топливо. Причиной стала ошибка в отправленных на «борт» командах с Земли — забыли указать длительность работы двигателя. Станция пролетела мимо Луны.В процессе пролёта мимо Луны станция была использована для испытания работы узлов и механизмов, тех, которые можно было испытать (наддув амортизаторов и т.п.) Что важно — было получено заметное количество замечаний.Причина: Эксплуатационная ошибка.Решение: Не указано. Предположительно, воспитательная работа с персоналом управления, повышение контроля отправляемых на «борт» команд.Десятый пуск
4 октября 1965 года. Станция успешно стартовала к Луне как «Луна-7» и без проблем добралась до начала сеанса торможения. Станция переключилась в режим передачи телеметрии в реальном времени, в ЦУПе зазвучали доклады: «Есть построение лунной вертикали!», «Идут измерения радиовысотомером — до Луны пять тысяч километров», «До Луны четыре тысячи километров». Спустя полчаса прозвучал доклад: «Зарегистрирована потеря Земли». Потеря Земли датчиком астроориентации означала блокировку тормозного двигателя. Станция разбилась о поверхность Луны. Причиной аварии стали ошибки при установке углов датчика Земли — Земля попадала на самый край датчика, и малейшее возмущение означало потерю ориентации. Параллельно были сделаны замечания к аппаратуре построения лунной вертикали.Причина: Эксплуатационные недоработки, конструктивные недоработки.Решение: Доработка конструкции. Предположительно, усиление контроля установки параметров станции перед полётом.Одиннадцатый пуск
3 декабря 1965 года. Станция стартовала к Луне, став «Луной-8». Для большей уверенности незадолго перед торможением был проведен сеанс «ложной коррекции», когда по команде с Земли станция включила астроориентацию и сориентировалась в пространстве, но не включала тормозной двигатель. Однако в процессе сеанса торможения после наддува баллонов-амортизаторов станция потеряла измерения высоты. Судя по докладам, станция закрутилась, и высотомер «потерял» Луну, что блокировало включение двигателя на торможение. Двигатель включился только за 9 секунд до контакта, и станция врезалась в Луну на недопустимой скорости.Потеря ориентации после наддува амортизаторов сделала баллоны главными подозреваемыми. Пять дней экспериментов обнаружили причину — баллоны при наддуве упираются в стеклопластиковый кронштейн антенного крепления, который сломался, образовав острые края, которые проткнули баллоны, а утечка из них привела к потере ориентации. Причина поломки кронштейна — нарушение технологии изготовления, неверная укладка заготовки в пресс-форму. Эта причина указана в «Ракетах и людях» Чертока. В то же время есть альтернативная версия — наддув баллонов вызывал возмущения, с которыми не могла справиться система ориентации на газовых двигателях. В этом случае решением был перенос наддува баллонов на участок работы тормозного двигателя, где запас мощности для стабилизации был.Причина: Производственный дефект (Черток), конструктивный дефект (Сморкалов).Решение: Повышение качества и контроля на производстве (Черток), изменение алгоритма посадки (Сморкалов).Двенадцатый пуск
31 января 1966 года станция «Луна-9» успешно стартовала и 3 февраля 1966 года успешно прилунилась, впервые в мире. Со станцией было проведено семь сеансов связи, и по фотографиям были построены панорамы лунной поверхности: 
Здесь можно посмотреть три панорамы покрупнее.Анализ
Рассмотрим причины аварий этой программы (не учитывая пуски этого же носителя с другими ПН). По месту возникновения отказа: Третья ступень: 3Четвертая ступень: 3Станция: 4Земля: 1Получается, что в половине случаев до станции просто «не доходила очередь» — происходил отказ узла, работавшего до неё. Отдельно необходимо отметить проблемы с 4 ступенью (блоком «Л»), который упорно «не хотел» работать как надо. В случае же, если до станции всё-таки доходила очередь, она отказывала в двух третях случаев. При этом анализ произошедших аварий говорит о подавляющем преобладании конструктивных дефектов, которые могли быть выявлены и устранены во время наземных испытаний, если бы их проводили с достаточной тщательностью. Эта статистика ярко свидетельствует о непригодности для космонавтики метода отработки изделий последовательным улучшением по результатам аварий.
Выводы для IT В IT есть разные области, где-то вполне может успешно существовать программа даже с критическими багами, но всегда стоит балансировать затраты на тестирование определенного уровня, покрытия и качества с потерями от багов (падение репутации у пользователей, отказы заказчиков, штрафы по контрактам и т.п.).Также полезно понимать, что при наличии последовательности элементов, каждый из которых должен сработать успешно для общего успеха, нет смысла в повторных испытаниях до отладки промежуточного элемента. Проще говоря, пока не добились высокой надежности работы «четвертой ступени», нет смысла «отправлять станции к Луне».Источники информации Главный источник — третья книга Б.Е. Чертока «Ракеты и люди. Горячие дни холодной войны».Также использовались материалы Википедии, Encyclopedia Astronautica, GalSpace, КИК СССР, http://jurnal.vniiem.ru/text/124/17.pdf.КДПВ — картина СоколоваДля навигации: посты по тегу «Уроки космических происшествий»
