28 января 1986 года в 11:38 утра по восточному времени, Космический челнок Challenger стартует с мыса Канаверал.Во Флориде Криста МакОлифф стала первой американской гражданкой, побывавшей в космосе. 37-летняя учительница обществознания из Нью-Гэмпшира МакОлифф выиграла конкурс, благодаря которому вошла в состав экипажа шаттла «Челленджер», состоящего из семи человек.
Она прошла многомесячную подготовку на шаттле, но затем, начиная с 23 января, ей пришлось ждать шесть долгих дней, поскольку обратный отсчет до запуска «Челленджера» неоднократно откладывался из-за... погодные и технические проблемыНаконец, 28 января шаттл взлетел.
Спустя 73 секунды сотни людей оказались на земле, включая семью Кристы. Они с недоверием наблюдали, как шаттл рассыпался в столб дыма и огня.Еще миллионы людей наблюдали за этой душераздирающей трагедией в прямом эфире. Выживших не было.
Краткое изложение космической трагедии
В 1976 году Национальное управление по аэронавтике и исследованию космического пространства (НАСА) представило первый в мире многоразовый пилотируемый космический корабль — «Энтерпрайз». Пять лет спустя, Полеты шаттлов начались с того, что «Колумбия» совершила 54-часовой полет в космос.Запущенный с помощью двух твердотопливных ракет-носителей и внешнего топливного бака, этот похожий на самолет челнок вышел на орбиту вокруг Земли.
В конце миссии шаттл включил двигатели для замедления и, после спуска сквозь атмосферу, приземлился как планер. Первые шаттлы доставляли в космос спутниковое оборудование и проводили различные научные эксперименты. Катастрофа «Челленджера» стала первой крупной аварией шаттла.
После катастрофы президент Рональд Рейган Он назначил специальную комиссию для выяснения причин неполадок с шаттлом «Челленджер» и разработки мер по их устранению в будущем. Президентскую комиссию возглавил бывший государственный секретарь Уильям Роджерс. В число участников вошли бывший астронавт Нил Армстронг и бывший летчик-испытатель Чак Йегер..
В ходе расследования было установлено, что причиной катастрофы стало...выход из строя уплотнительного кольца В одной из двух твердотопливных ракет эластичное уплотнительное кольцо не сработало должным образом из-за низкой температуры при запуске, что запустило цепь событий, приведших к массовой поломке. В результате... НАСА не отправляло астронавтов в космос более двух лет. при этом был произведен ряд доработок конструкции космического челнока.
В сентябре 1988Полеты космических шаттлов возобновились после успешного завершения первого полета. Запуск DiscoveryС тех пор космический челнок выполнил множество важных миссий, таких как ремонт и техническое обслуживание. космический телескоп хаббл а также строительство Международной космической станции.
1 февраля 2003 года Соединенные Штаты потрясла вторая катастрофа космического челнока. Когда «Колумбия» разрушилась при входе в атмосферу Земли, все находившиеся на борту погибли. Несмотря на опасения, что проблемы, вызвавшие крушение «Колумбии», не были удовлетворительно решены, полеты космических челноков возобновились 26 июля 2005 года, когда «Дискавери» вернулся на орбиту.
Основные факты об аварии «Челленджера»
- Система: Национальная система космических перевозок (NSTS): космический челнок
- Оценка рисков, проводимая на этапах проектирования и эксплуатации: Предварительный анализ опасностей; анализ видов и последствий отказов с составлением списка критических элементов; различные оценки безопасности, все качественные на системном уровне, но с количественным анализом, проводимым для конкретных подсистем.
- Самая большая ошибка: В результате аварии шаттла «Челленджер» в январе 1986 года горячие газы вывели из строя первичное и вторичное уплотнительные кольца правого твердотопливного ракетного ускорителя.
- Влияние: Ущерб от крушения транспортного средства и экипажа составил 3.000 миллиарда долларов.
- предсказуемость: Длительная история эрозии уплотнительных колец, не предусмотренная в первоначальном проекте.
- причины: Недостатки первоначальной конструкции (шарнир ускорителя повернулся больше, чем предполагалось); ошибочное решение (руководство приняло решение о запуске, несмотря на рекордно низкие температуры и лед на стартовой площадке); возможные непредвиденные внешние события (сильный сдвиг ветра мог быть одним из факторов).
- Извлеченные уроки: На этапе проектирования следует шире использовать вероятностную оценку рисков для анализа и определения приоритетности рисков; на этапе эксплуатации необходимо установить определенные критерии готовности к запуску, от которых никто не сможет отказаться.
- Другие результаты: Перепроектирование шарнира ускорителя и других подсистем шаттла, которые также представляли высокий уровень риска или непредвиденные отказы; переоценка критически важных элементов.
Отсутствие оценки рисков стало причиной катастрофы.
НАСА начало экспериментировать с этой программой в ответ на катастрофу шаттла «Челленджер» 28 января 1986 года, в результате которой погибли 7 астронавтов.Цели программы заключаются в разработке политики управления рисками и проведении оценок рисков, независимых от обычных инженерных анализов.
Однако прогресс идет медленно из-за предыдущей официальной политики, которая отдавала предпочтение «инженерным решениям», а не «вероятностным показателям», в результате чего НАСА не собирает статистические данные об испытаниях и полетах, полезные для количественной оценки рисков.
Внешние силы, как политикаЭти факторы также влияют на реакцию организации. Хотя программа «Аполлон» получила широкую поддержку президента и Конгресса и располагала всем необходимым финансированием, Программа космических шаттлов подверглась резкой критике и с самого начала не имела достаточного финансирования..
Политическое давление в сочетании с отсутствием конкретных числовых данных привело к расхождениям более чем на три порядка в тех немногих количественных оценках причин неудачи при запуске шаттла, которые НАСА было обязано сделать по закону.
Некоторые по-прежнему обеспокоены тем, что, несмотря на Позднее внедрение НАСА количественной оценки рисковВнутренняя культура страны и боязнь политической оппозиции могут подтолкнуть ее к повторению опасных ошибок программы шаттлов в новых космических программах.
НАСА отдает предпочтение подходу к проектированию, ориентированному на обеспечение надежности, который Исключить количественный анализ рисков Это укрепилось после первоначального негативного опыта работы в этой области. Согласно Аггею КоэнуВ период программы «Аполлон», когда он занимал должность заместителя главного инженера НАСА, агентство наняло компанию General Electric Co. в Дейтона-Бич, штат Флорида, для проведения «Полный численный анализ рисков» оценить вероятность успешной высадки человека на Луну и его безопасного возвращения на Землю.
Исследование компании General Electric показало, что Вероятность успеха составляла «менее 5%». Когда результаты были представлены администратору НАСА, он посчитал, что их обнародование может нанести непоправимый вред, и прекратил работу над проектом. В результате... Они избегали численной оценки рисков.
«Тогда мы выбросили весь этот хлам и принялись за работу».
Уилл Уиллоуби сказал.
Компания General Electric заявила, что: «Доверие формируется посредством программ статистического тестирования.».
А НАСА заявило: «Нет, идите запускайте воздушного змея; мы укрепим уверенность с помощью дизайна. Тестирование дает лишь моментальный снимок в определенных условиях. В реальности могут быть иные обстоятельства, и вы можете впасть в ложное чувство безопасности или неуверенности.»
В результате НАСА приняло на вооружение следующее: качественный анализ видов и последствий отказов (FMEA) в качестве основного средства определения проектных характеристик В худшем случае, отказ этой системы может привести к катастрофе..
- Наихудшие случаи были классифицированы как: критичность 1 если они угрожали жизни членов экипажа или существованию транспортного средства;
- De критичность 2 если бы они угрожали миссии;
- И из критичность 3 для любых мелочей.
Политика риска
В конце 60-х и начале 70-х годов, Космический челнок был представлен как многоразовый пассажирский самолет, способный доставлять полезную нагрузку в 15 тонн на околоземную орбиту и 5 тонн на Землю.Астронавты шаттла будут носить рубашки с короткими рукавами во время взлета и посадки, вместо громоздких скафандров, использовавшихся в космических программах «Джемини» и «Аполлон».
Со временем шаттл будет перевозить обычных людей: ученых, не являющихся астронавтами, политиков, школьных учителей и журналистов.
Документы НАСА показывают, что подход авиакомпании также распространялся на управление рисками. Например, в Отчет рабочей группы НАСА по космическим шаттлам за 1969 год.Авторы написали:
«Желательно, чтобы конфигурация транспортного средства обеспечивала безопасность экипажа и пассажиров так же и в той же степени, что и современные коммерческие самолеты».
статистически, Пассажирский самолет — наименее опасный вид транспорта.Это подразумевает высокую надежность. А в начале 70-х годов, когда президент Ричард М. Никсон, Конгресс и Управление по бюджету и управлению (OMB) скептически относились к шаттлу, Демонстрация высокой надежности имела решающее значение для дальнейшего получения финансирования программой..
Управление по бюджету и управлению (OMB) даже обязало НАСА нанять стороннего аналитика для проведения исследования. экономический анализ рентабельности парома По сравнению с другими системами запуска, отметил Джон М. Логсдон, директор программы для аспирантов в области науки, техники и государственной политики в Университете Джорджа Вашингтона в Вашингтоне, округ Колумбия.
«Ни одна предыдущая космическая программа никогда не подвергалась независимой профессиональной экономической оценке», — написал Логсдон в журнале Space Policy в мае 1986 года.
«Это заставило НАСА поверить в необходимость предложить шаттл, способный запускать все прогнозируемые полезные нагрузки... [и] который будет дешевле, чем альтернативные системы запуска».
И что, по сути, он заменит все ненужные ракеты. Кроме того, как отметил Логсдон, политически было необходимо продемонстрировать, что шаттл будет дешевым и рутинным, а не большим и рискованным, как с точки зрения технологий, так и стоимости.
В условиях политической непопулярности, которая угрожала самому существованию программы, «Некоторые сотрудники НАСА начали путать выдавание желаемого за действительное с реальностью.«Об этом заявил Адельберт Тишлер, бывший директор НАСА по ракетам-носителям и двигательным установкам.
«Одним из результатов стала оценка риска с точки зрения того, что считалось приемлемым, без учета проверки этой оценки».
Он добавил: «Следует помнить, что в таких обстоятельствах истинное управление рисками исключено».
Адельберт Тишлер
Игнорирование внешних данных и анализа
В начале 1980-х Было приведено множество цифр, касающихся общего риска для шаттла.при этом оценки катастрофической аварии варьируются от... от менее 1 шанса из 100 до 1 шанса из 100 000.
«Наибольшие показатели (1 из 100) наблюдаются среди работающих инженеров, а очень низкие [1 из 100 000] — среди руководителей», — написал физик Ричард П. Фейнман в приложении к своей работе.Личные наблюдения относительно надежности шаттла" из Доклад Президентской комиссии по расследованию катастрофы космического челнока «Челленджер» в 1986 году..
Эти вероятности были получены в результате серии количественных оценок рисков, которые Межведомственная комиссия по ядерной безопасности (INSRP) потребовала от НАСА в преддверии запуска космического аппарата «Галилео» к Юпитеру, первоначально запланированного на начало 1980-х годов.
Галилео был движим... термоэлектрический генератор на основе радиоизотопа, работающего на плутонииВ директиве Президента США/NSC-25 указывалось, что Президент Соединенных Штатов или директор управления по научно-технической политике должны проверять безопасность любого запуска ядерного материала, прежде чем давать на него разрешение.
INSRP (в состав которой входили представители НАСА как агентства, осуществляющего запуск, Министерства энергетики, которое управляет ядерными устройствами, и Министерства обороны, чьи ВВС обеспечивают безопасность полигона) было поручено определить... количественные риски катастрофического запуска, который приведет к выбросу радиоактивного яда в атмосферуБыло проведено несколько исследований, поскольку верхняя ступень, предназначенная для вывода «Галилео» в межпланетное пространство, несколько раз подвергалась переконфигурации.
Было проведено первое исследование. Компания JH Wiggins из Редондо-Бич, Калифорния.и был опубликован в 3 томах в период с 1979 по 1982 год. В нем количественно оценивался глобальный риск потери шаттла вместе с полезной нагрузкой во время запуска. Один шанс из 1000 и 1 шанс из 10 000.
Наибольший риск представляли твердотопливные ракетные ускорители (ТРУ). Автор работы Уиггинса отметил, что опыт эксплуатации других твердотопливных ракет показал, что они оказались неэффективными. Катастрофические запуски происходят в 1 из 59 случаев и в 1 из 34 случаев. но руководители контракта на проведение исследования, Специальный комитет по безопасности полигона космических шаттлов, приняли «инженерное решение» и «постановили, что снижение расчетной вероятности отказа твердотопливных ускорителей космического шаттла оправдано», потому чтоИсторические данные включают двигатели, разработанные 10 или 20 лет назад.».
Таким образом, Специальный комитет «решили принять вероятность отказа равной 1 x 10⁻⁶.-3 для каждого SRB.«Кроме того, — отметил он, — специальный комитет решил, что следует рассмотреть вторую вероятность... которая на порядок меньше». 1 10.000 в«Это оправдано уникальными усовершенствованиями, внесенными в конструкцию и производственный процесс, которые позволили этим двигателям достичь требуемых характеристик».
В 1983, Компания Teledyne Energy Systems Inc. из города Тимуниум, штат Мэриленд.Он провел второе исследование для Лаборатории вооружений ВВС на авиабазе Киртланд, штат Нью-Мексико. Он охарактеризовал анализ Уиггинса как «интересное представление данных о запусках из различных ракетных программ ВМС, ВВС и НАСА, а также игнорирование этих данных и произвольное присвоение уровней риска, по-видимому, по указанию спонсора», без «нет количественного обоснованияПосле повторного анализа данных авторы из компании Teledyne пришли к выводу, что История развития двигательных установок "свидетельствует о частоте отказов примерно один раз на сто".
Каковы были причины аварии?
НАСА провело собственный внутренний анализ безопасности системы Galileo.который был опубликован в 1985 году Космическим центром имени Джонсона. Авторы проанализировали рабочие листы по видам отказов, присвоив им уровни вероятности.
Например, разрушению корпуса твердотопливного ракетного двигателя или соединений корпуса (подобно аварии, уничтожившей «Челленджер») был присвоен уровень вероятности 2; в отдельной таблице это определяется как вероятность 1 к 100 000. Он охарактеризовал это как «маловероятное» или «настолько маловероятное, что можно предположить, что эта опасность не будет испытана».
Значение 1 к 100 000, как объяснил Фейнман, означало следующее:
«Можно запускать шаттлы каждый день в течение 300 лет и ожидать, что потеряется только один».
Однако даже после катастрофы «Челленджера» главный инженер НАСА... Милтон СильвейраНа слушаниях по термоядерному генератору «Галилео», состоявшихся 4 марта 1986 года в Комитете по науке и технологиям Палаты представителей США, он сказал:
«Мы считаем, что использование числа, подобного 10, может быть полезным».-3Как уже было сказано, это, вероятно, несколько пессимистично; реальный риск составил бы 10.-5И это наша цель в области дизайна.
На вопрос о том, как была получена эта цифра, Сильвейра ответила:
«Мы пришли к этим вероятностям, основываясь на инженерном анализе проекта, а не на использовании статистической базы данных, поскольку считали, что у нас её нет».
После аварии шаттла «Челленджер», Президентская комиссия 1986 года выяснила, что уплотнительные кольца на контактных площадках твердотопливных ракет-носителей шаттла имели... История повреждений коррелирует с низкой температурой воздуха при запуске.Поэтому комиссия неоднократно спрашивала вызванных на слушания свидетелей, почему систематические данные о корреляции температур не были доступны до запуска.
Методология управления НАСА для сбора данных и определения рисков была изложена в анализе безопасности космического аппарата «Галилео», проведенном НАСА в 1985 году. Авторы из Космического центра им. Джонсона пояснили:
«В начале программы было решено не использовать показатели надежности (или вероятности) при проектировании шаттла, поскольку масштаб испытаний, необходимых для статистической проверки численных прогнозов, не считается практически осуществимым».
Кроме того, они отметили:
«Опыт показывает, что при таких требованиях к безопасности, надежности и обеспечению качества, предъявляемых к подрядчикам, занимающимся пилотируемыми космическими полетами, стандартные данные о частоте отказов носят пессимистичный характер».
Вместо использования вероятностных показателей, Национальная система космических перевозок (NSTS) полагается на инженерные решения, основанные на жестких и хорошо документированных методах контроля проектирования, конфигурации, безопасности, надежности и обеспечения качества, заявили авторы исследования Джонсона.
Эта точка зрения определяла данные, которые руководители НАСА требовали от инженеров. Например, для компонентов, подсистем и систем шаттла не велись никакие «индикаторы прошедшего времени», хотя «довольно точную оценку времени и/или циклов можно было получить», — добавили авторы из Космического центра им. Джонсона.
Одной из причин были экономические факторы.По словам Джорджа Родни, заместителя администратора НАСА по вопросам безопасности, надежности, ремонтопригодности и обеспечения качества, получение данных о времени и циклах не представляет сложности, «но это дорого и создает большие проблемы с учетом».
Ещё одной причиной было «нормальное развитие» программ НАСА: «Сбор данных прекращен; компоненты сертифицированы, и мы двигаемся дальше», — заявил заместитель Родни, Джеймс Эл.
«Люди думают, что раз мы совершили 28 полетов, то у нас в 28 раз больше данных, но это не так. У нас, возможно, есть данные только по трем или четырем испытательным полетам из первых опытных образцов».
Кроме того, Родни отметил: «На каждого сотрудника НАСА, который является большим сторонником вероятностной оценки рисков (PRA), я могу найти 10 таких же убежденных в том, что PRA переоценена... они настолько сомневаются в ее важности, что не поверят в целесообразность конечного результата».
Риск и организационная культура
Одна из причин, по которой НАСА так сильно сопротивляется вероятностному анализу рисков, может заключаться в том, что «Метод PRA противоречит всем инженерным традициям, в которых надежность обеспечивается за счет коэффициентов запаса прочности.", Он сказал Элизабет Пате-Корнеллдоцент кафедры промышленной инженерии и управления инженерными проектами Стэнфордского университета в Калифорнии, в настоящее время изучающий организационные факторы и оценку рисков в НАСА.
Кроме того, учитывая, что НАСА очень гордится своей разработкой.Он добавил, что PRA может быть воспринята как оскорбление их возможностей, подразумевающее, что разработанная ими система не является на 100% совершенной и абсолютно безопасной. Таким образом, характер организации влияет на надежность и отказоустойчивость создаваемых ею систем, поскольку ее структура, политика и культура определяют приоритеты, стимулы и каналы связи инженеров и менеджеров, выполняющих работу, сказал он.
«Часть проблемы заключается в том, чтобы заставить инженеров понять, что они используют субъективные методы для определения риска, потому что они не любят в этом признаваться».
«Однако они говорят, создавая видимость объективности, и обманывают себя, думая, что действительно объективны».
Рэй А. Уильямсон, старший научный сотрудник Управления по оценке технологий Конгресса США в Вашингтоне, округ Колумбия, заявил:
«Всё не так просто», — сказал Бухбиндер. «Большинство людей не знакомы с вероятностным образом мышления. Мы не знаем точно, что произойдет каждый раз. Мы можем лишь сказать, что, вероятно, произойдет в определенном проценте случаев».
По его словам, если инженеры и менеджеры не ознакомятся с теорией вероятностей, они не будут знать, что делать с «огромной неопределенностью, отражающей нынешнее состояние знаний».И это нисколько не утешает того, кто принимает неразумные решения и хочет получить простой ответ на вопрос: достаточно ли безопасна эта система?»
В качестве примера того, как меняется «образ мышления» в НАСА в сторону «готовности исследовать другие вещи», можно привести следующее: Бухбиндер упомянул новую программу управления рисками.а также проводимые ею семинары для обучения инженеров и других специалистов методам количественной оценки рисков, и новая политика управленческих инструкций, требующая от НАСА «дисциплинированного и документированного управления рисками на протяжении всего жизненного цикла программ».
«Давайте посмотрим правде в глаза, космическая отрасль — дело рискованное».
«Я всегда воспринимал каждый запуск как едва контролируемый взрыв».
Коэн, бывший руководитель службы безопасности компании Apollo, прокомментировал ситуацию.
