Радость познания - Ричард Фейнман

Другой обнаруженный факт свидетельствует, что критерий сертификации, используемый в «Руководствах по подготовке полетов», часто разрабатывается с постепенным понижением его точности. Аргумент, что подобные риски имели место и раньше и не приводили к авариям, принимается как свидетельство в пользу допустимой безопасности. По этой причине критерий сертификации снова и снова ослабляется — нередко без достаточно серьезных попыток уменьшить риски или отложить полет из-за их постоянного присутствия.

Существует несколько источников информации. Публикуются критерии сертификации, включающие историю их изменений в форме отказа от требований и стандартизированных отклонений. Кроме того, в «Руководстве по подготовке полетов» для каждого документа по полетам приведены аргументы для установления полетных рисков. Информация была получена мною из прямых свидетельских показаний и докладов офицера службы безопасности полигона, Льюиса Уллиана, относящихся к успешному запуску ракет на твердом топливе. Существуют и более поздние его исследования (как главы группы экспертов по безопасному прерыванию запусков (LASP)) по определению рисков, в том числе в случае несчастий, ведущих к радиоактивному заражению при использовании плутониевого топлива (RTG) для будущих межпланетных полетов. Доступно также исследование НАСА по этому вопросу. Для получения информации об основных двигателях космического челнока я побеседовал с руководством и инженерами из центра космических полетов имени Маршалла и, кроме того, пообщался с инженерами из «Рокетдайн»[23]. Я имел неофициальную беседу с независимым инженером-механиком из Калтеха, который консультируете НАСА производство и сборку двигателей. Визит к Джонсону был обусловлен сбором информации о надежности авиационной радиоэлектроники (компьютеров, датчиков и эффекторов). И наконец, существует доклад «Обзор сертификационной деятельности, потенциально применимой к ракетным двигателям многократного использования, пригодным для полетов человека», подготовленный в Лаборатории реактивного движения Н. Муром с сотрудниками в феврале 1986 года для руководства по управлению космическими полетами НАСА. В докладе рассматриваются методы, применяемые Федеральным авиационным агентством (FAA) и военными для сертификации газовых турбин и ракетных двигателей. С авторами доклада также состоялся неформальный разговор.

Оценка надежности ракет на твердом топливе была выполнена офицером службы безопасности полигона, изучившим опыт всех предыдущих полетов ракет. Из полного числа порядка 2900 полетов 121 оказался неудачным (1 к 25). Сюда, однако, включены так называемые ранние ошибки, когда ракета запускалась по нескольку раз, при этом определялись и фиксировались конструкторские ошибки. Более разумные цифры для ракет с продуманным дизайном — 1 к 50. При особой тщательности в выборе деталей и надежном обследовании эти цифры могут стать ниже и достигнуть значения 1 к 100, правда, цифра 1 к 1000 вряд ли достижима при современной технологии. (На космическом челноке две такие ракеты, поэтому скорость его крушения из-за отказа ракет-носителей на твердом топливе должна удваиваться.)

Официальные представители НАСА приводят доводы в пользу гораздо меньших цифр. Они утверждают, что эти цифры справедливы для ракет, не укомплектованных людьми, но так как челнок является средством, управляемым людьми, «вероятность успешного полета очень близка к 1,0». Не очень ясно, что означает эта фраза. Означает ли это, что цифра близка к 1 или должна быть близка к 1? Они продолжают объяснять: «исторически эта чрезвычайно высокая степень успешного полета объясняется разницей философий между программами космического полета с экипажем и без экипажа; то есть употребление численной вероятности против выводов инженеров». (Эти цитаты взяты из «Space Shuttle Data for Planetary Mission RTG Safety Analysis», pages 3–1,3–2, February 15, 1985, NASA, JSC.) Ясно, что, если бы вероятность крушения составляла 1 к 100 000, необходимо было бы провести чрезмерно большое число тестов для ее определения (вы ничего не получите, кроме цепочки успешных полетов, из которых не вытекает никакая правильная цифра, а только то, что вероятность вряд ли меньше числа таких полетов в цепочке). Но если фактическая вероятность не так мала, полеты должны вызывать тревогу, обоснованные оценки должны вызывать опасение реального крушения. Весь предыдущий опыт НАСА указывает на возможность случайных трудностей, почти несчастных случаев и самих несчастных случаев — все это служит предупреждением, что вероятность крушения полетов не так мала. Непоследовательность аргументации не определяет надежности на основе истории полетов и испытания двигателей, как это делает офицер службы безопасности и к чему апеллирует НАСА: «Исторически такая высокая степень успешных полетов…» В конце концов, если мы сравним стандартную численную вероятность и заключения инженеров, откуда такое огромное расхождение между оценкой руководства и выводами инженеров? Может оказаться, что для любой цели, для внутреннего и внешнего потребления, руководство НАСА преувеличивает надежность своего продукта до фантастических цифр.

Не буду здесь заново излагать историю сертификации и «Руководство по подготовке к полетам». (Смотрите соответствующие разделы докладов комиссии.) Совершенно очевидно допустить в предыдущих полетах такие явления, как газопропуск (просачивание газа) и эрозию. Полет «Челленджера» — тому поучительный пример. Имеется несколько ссылок на предыдущие полеты. Одобрение и успех предыдущих полетов рассматриваются как доказательство безопасности. В конструкции не предполагалось ни эрозии, ни газопропуска — следовательно, если она есть, значит, конструкция «предупреждает»: что-то работает не так. Агрегаты работают не так, как ожидалось, и потому существует опасность, что они могут работать даже с большими отклонениями, причем неожиданным и не вполне понятным образом. Тот факт, что эта опасность не приводила раньше к катастрофе, не является гарантией, что ничего не случится в дальнейшем, если только все полностью не понять и не проанализировать. При игре в русскую рулетку, если в первой попытке вы избежали опасности, это дает небольшую надежду избежать ее в следующей. Причина и следствие возникновения газопропуска и эрозии не понятны. Они не проявляются одинаково во всех полетах и всех узлах; иногда больше, иногда меньше. Почему когда-нибудь в будущем, когда условия станут более подходящими, это не может привести к катастрофе?

Несмотря на происходящие от случая к случаю отклонения, официальные лица ведут себя так, словно им все понятно, обмениваясь, по их мнению, логичными доводами, часто зависящими от «успеха» предыдущих полетов. Например, если полет 51-L был безопасен — они бравируют тем, что эрозии уплотнительного кольца не произошло — а в полете 51-С отмечалось, что глубина эрозии составляла только одну треть радиуса. В эксперименте с разрезанием кольца было замечено, что перед поломкой кольца его надо разрезать на глубину одного радиуса. Вместо того чтобы принять во внимание, что изменения плохо изученных условий могут внезапно привести к сильной эрозии, они объявляют эрозию «фактором безопасности три». Странное использование инженерного термина «фактор безопасности». Если мост строится с расчетом на определенную нагрузку, соответствующую отсутствию постоянной деформации балок, трещин или разрушений, его следует конструировать из материалов, которые устоят при утроенной нагрузке. «Фактор безопасности» не должен соответствовать точно определенному превышению нагрузки, или неизвестной дополнительной нагрузке, или слабым местам материала, в котором могут появляться неожиданные дефекты и тому подобное. Если в результате ожидаемой нагрузки на новый мост появится трещина в балке, здесь налицо неудачная конструкция. Не существует никаких факторов безопасности; даже несмотря на то что мост реально не разрушается, потому что трещина составляет только одну треть величины балки. Уплотнительные кольца ракеты-носителя на твердом топливе не должны конструироваться из материала, подвергающегося эрозии. Эрозия — это «звонок» о том, что в конструкции что-то неправильно, и никак не фактор, из которого можно сделать заключение о безопасности.