Процедуры аварийного прекращения полётов Space Shuttle NASA

Введение

Процедуры безопасности космического челнока НАСА

Режимы отмены запуска космического челнока представляли собой процедуры, позволявшие прекратить нормальный запуск космического челнока НАСА. Отмена на стартовой площадке происходила после запуска основных двигателей шаттла, но до взлета. Отмена во время набора высоты, приводящая к возвращению орбитального аппарата на взлетно-посадочную полосу или на орбиту ниже запланированной, называлась "отмена без разрушений", в то время как отмена, при которой орбитальный аппарат не мог бы достичь взлетно-посадочной полосы, или любая отмена, связанная с отказом более одного основного двигателя, называлась "аварийной отменой". В некоторых ситуациях, когда орбитальный аппарат не мог совершить посадку на взлетно-посадочную полосу, все еще была возможна эвакуация экипажа.

Отмена последовательности запуска с избыточным набором

Три основных двигателя космического шаттла (SSME) были запущены примерно за 6,6 секунды до старта, и компьютеры контролировали их работу по мере нарастания тяги. В случае обнаружения неисправности, двигатели автоматически выключались, а обратный отсчёт прерывался до зажигания твердотопливных ускорителей (SRB) в момент времени T = 0 секунд. Это называлось аварийным прекращением запуска по системе избыточного последовательного запуска (RSLS) и произошло пять раз: STS-41D, STS-51F, STS-55, STS-51 и STS-68.

Режимы отмены восхождения

Как только твердотопливные ускорители шаттла были запущены, аппарат был необратимо привержен взлету. Если событие, требующее прерывания полета, происходило после запуска твердотопливных ускорителей, начать прерывание было невозможно до их выгорания и отделения, примерно через две минуты после старта. Во время набора высоты было доступно пять режимов прерывания полета, разделенных на категории штатных и аварийных прерываний. Выбор режима прерывания зависел от степени срочности ситуации и досягаемости подходящей площадки для аварийной посадки. Режимы прерывания охватывали широкий спектр возможных проблем, но наиболее вероятной считалась неисправность основного двигателя, приводящая к недостаточной тяге для выхода на запланированную орбиту. Другие возможные неисправности, не связанные с двигателями, но требующие прерывания полета, включали отказ нескольких вспомогательных силовых установок (APU), прогрессирующий отказ гидравлической системы, утечку в кабине и утечку во внешнем топливном баке.

Нетронутые режимы отмены

Существовало четыре штатных режима аварийного прерывания полёта для космического шаттла. Штатные аварийные прерывания полёта были разработаны для обеспечения безопасного возвращения орбитального аппарата на запланированную посадочную площадку или на орбиту ниже запланированной для данной миссии.

Возвращение на стартовую площадку

Возвращение на стартовую площадку (RTLS) было первым доступным режимом аварийного прекращения полёта и могло быть выбрано сразу после отделения твердотопливных ускорителей (SRB). Шаттл продолжал движение по баллистической траектории для выработки остатков топлива, а также изменял тангаж вверх для поддержания вертикальной скорости в случае отказа одного из основных двигателей. После выработки достаточного количества топлива аппарат разворачивался на 180 градусов и начинал двигаться обратно к месту старта. Этот манёвр назывался "powered pitcharound" (PPA) и был рассчитан таким образом, чтобы к моменту возвращения траектории шаттла в район Космического центра Кеннеди во внешнем баке оставалось менее 2% топлива. Кроме того, двигатели шаттла системы орбитального маневрирования (OMS) и системы управления реакцией (RCS) постоянно работали для выработки избыточного топлива OMS, чтобы уменьшить посадочный вес и скорректировать центр тяжести орбитального аппарата. Непосредственно перед выключением основных двигателей орбитальному аппарату давалась команда на опускание носовой части вниз для обеспечения правильной ориентации при отделении внешнего бака, поскольку в противном случае аэродинамические силы могли привести к столкновению бака с аппаратом. Основные двигатели выключались, и бак отделялся, в то время как орбитальный аппарат использовал RCS для увеличения дистанции. Выключение и отделение происходили фактически в верхней атмосфере на высоте около 70 000 м (230 000 футов), достаточной для предотвращения чрезмерных аэродинамических нагрузок и нагрева на внешний бак. Скорость на момент выключения зависела от оставшегося расстояния до посадочной площадки и увеличивалась по мере удаления орбитального аппарата от точки выключения. В любом случае, орбитальный аппарат летел слишком медленно для плавного планирования на такой высоте и начинал быстро снижаться. Серия последовательных манёвров поднимала нос аппарата вверх для выравнивания, как только он достигал более плотных слоёв атмосферы, одновременно обеспечивая, чтобы не были превышены структурные ограничения аппарата (предел эксплуатационной нагрузки был установлен на уровне 2,5 G, а при 4,4 G ожидалось отрыв модулей OMS от орбитального аппарата). После завершения этой фазы орбитальный аппарат находился примерно в 278 км (150 морских миль) от посадочной площадки и находился в стабильном планировании, осуществляя нормальную посадку примерно через 25 минут после старта. Если во время PPA отказывал второй основной двигатель, шаттл не смог бы достичь взлётно-посадочной полосы в KSC, и экипажу пришлось бы катапультироваться. Отказ третьего двигателя во время PPA приводил бы к потере управления и, как следствие, к потере экипажа и аппарата (LOCV). Отказ всех трёх двигателей при приближении горизонтальной скорости к нулю или непосредственно перед отделением внешнего бака также приводил бы к LOCV.

Return to launch site (RTLS) was the first abort mode available and could be selected just after SRB jettison. The shuttle would continue downrange to burn excess propellant, as well as pitch up to maintain vertical speed in aborts with a main engine failure. After burning sufficient propellant, the vehicle would be pitched all the way around and begin thrusting back towards the launch site. This maneuver was called the "powered pitcharound" (PPA) and was timed to ensure that less than 2% propellant remained in the external tank by the time the shuttle's trajectory brought it back to the Kennedy Space Center. Additionally, the shuttle's OMS and reaction control system (RCS) motors would continuously thrust to burn off excess OMS propellant to reduce landing weight and adjust the orbiter's center of gravity. Just before main engine cutoff, the orbiter would be commanded to pitch nose down to ensure proper orientation for external tank jettison, since aerodynamic forces would otherwise cause the tank to collide with the orbiter. The main engines would cut off, and the tank would be jettisoned, as the orbiter used its RCS to increase separation. Cutoff and separation would occur effectively inside the upper atmosphere at an altitude of about 230,000 ft (70,000 m), high enough to avoid subjecting the external tank to excessive aerodynamic stress and heating. The cutoff velocity would depend on the distance still to be traveled to reach the landing site and would increase based on the distance of the orbiter at cutoff. In any case, the orbiter would be flying too slowly to glide gently at such high altitude, and would start descending rapidly. A series of maneuvers in quick succession would pitch the orbiter's nose up to level off the orbiter once it reached thicker air, while at the same time ensuring that the structural limits of the vehicle were not exceeded (the operational load limit was set to 2.5 Gs, and at 4.4 Gs the OMS pods were expected to be torn off the orbiter). Once this phase was complete, the orbiter would be about 150 nmi (278 km) from the landing site and in a stable glide, proceeding to make a normal landing about 25 minutes after liftoff. If a second main engine failed at any point during PPA, the shuttle would not be able to reach the runway at KSC, and the crew would have to bail out. A failure of a third engine during PPA would lead to loss of control and subsequent loss of crew and vehicle (LOCV). Failure of all three engines as horizontal velocity approached zero or just before external tank jettison would also result in LOCV.

Трансокеанская высадка

Трансокеанская аварийная посадка (TAL) предусматривала посадку в заранее определенном месте в Африке, Западной Европе или Атлантическом океане (на аэродроме Лажеш на Азорских островах) примерно через 25–30 минут после взлета. Она должна была использоваться, когда скорость, высота и дальность полета не позволяли вернуться к стартовой площадке по схеме «Возврат на стартовую площадку» (RTLS). Также она применялась в случае менее критичных неисправностей, не требующих более быстрой, но и более рискованной аварийной посадки RTLS. При проблемах с производительностью, таких как отказ двигателя (или двигателей), об аварийной посадке TAL объявлялось примерно между T+2:30 (две минуты 30 секунд после взлета) и T+5:00 (пять минут после взлета), после чего режим аварийной посадки переключался на Abort Once Around (AOA) с последующим Abort To Orbit (ATO). Однако, при возникновении критической неисправности или ситуации, угрожающей безопасности экипажа, например, утечки в кабине или отказа системы охлаждения, TAL мог быть объявлен вплоть до момента выключения основного двигателя (MECO) или даже после MECO при значительном снижении скорости. Шаттл затем совершал посадку на заранее определенной взлетно-посадочной полосе через Атлантический океан. Последними четырьмя площадками TAL были авиабаза Истр во Франции, авиабазы Сарагоса и Морон в Испании и авиабаза RAF Fairford в Англии. Перед запуском шаттла выбирались две площадки на основе плана полета, и на них дежурила группа персонала на случай использования. Список площадок TAL со временем менялся из-за геополитических факторов. Конкретные площадки определялись от запуска к запуску в зависимости от наклонения орбиты. Затем орбитальный аппарат переходил в режим схода с орбиты; NASA могло выбрать посадку на авиабазе Эдвардс, космическом порту Уайт-Сэндс или Космическом центре имени Кеннеди. Центр управления полетами в Космическом центре имени Джонсона зафиксировал отказ SSME и отдал команду: «Челленджер, Хьюстон, отменить ATO». Позже было установлено, что отказ двигателя был вызван случайным выключением, спровоцированным неисправными датчиками температуры. И "RTLS требует непрерывной цепи чудес, перемежаемых с божественным вмешательством, чтобы добиться успеха".

Непредвиденные аборты

В случае аварийных ситуаций, отказ более чем одного SSME приводил бы к тому, что орбитальный аппарат не смог бы достичь взлетно-посадочной полосы. Эти аварийные отключения были предназначены для обеспечения выживания орбитального аппарата в течение достаточного времени, чтобы экипаж мог катапультироваться. Потеря двух двигателей, как правило, была бы преодолима за счет использования оставшегося двигателя для оптимизации траектории орбитального аппарата, чтобы не превышать пределы прочности при повторном входе в атмосферу. Потеря трех двигателей могла быть преодолима за пределами определенных "черных зон", где орбитальный аппарат выходил бы из строя до возможности катапультирования. Особенно важным усовершенствованием стала возможность спасения экипажа. В отличие от катапультируемого кресла в истребителе, шаттл был оснащен системой аварийного спасения экипажа в полете (ICES). Аппарат приводился в стабильное планирование на автопилоте, люк взрывался, и экипаж выходил через штангу, чтобы избежать левого крыла орбитального аппарата. Затем они спускались на парашютах на землю или в море. Хотя поначалу это казалось возможным только в редких случаях, существовало множество сценариев отказа, при которых достижение площадки аварийной посадки было невозможно, но аппарат оставался неповрежденным и под контролем. Перед катастрофой "Челленджера" подобное чуть не произошло на STS-51F, когда один SSME вышел из строя примерно на T+345 секунде. В том случае орбитальный аппарат также был "Челленджер". Второй SSME чуть не вышел из строя из-за ошибочного показания температуры; однако, отключение двигателя было предотвращено быстрой реакцией диспетчера полетов. Если бы второй SSME вышел из строя примерно через 69 секунд после первого, энергии было бы недостаточно для пересечения Атлантического океана. Без возможности спасения экипажа, вся команда погибла бы. После потери "Челленджера" подобные отказы стали преодолимыми. Для облегчения спасения на большой высоте экипаж начал носить скафандр запуска, а затем и усовершенствованный скафандр спасения экипажа во время взлета и спуска. До катастрофы "Челленджера" экипажи оперативных миссий носили только тканевые летные костюмы. Другим усовершенствованием после "Челленджера" стало добавление аварийных посадок на восточном побережье/Бермудских островах (ECAL/BDA). Запуски с высоким наклонением (включая все миссии на МКС) могли бы достичь аварийной взлетно-посадочной полосы на восточном побережье Северной Америки при определенных условиях. Большинство запусков с низким наклонением приземлились бы на Бермудских островах (хотя эта опция была недоступна для запусков с самым низким наклонением – тех, которые имели орбитальный наклон 28,5°, стартовавших строго на восток от KSC и проходивших далеко к югу от Бермудских островов). Аварийное отключение ECAL/BDA было аналогично RTLS, но вместо посадки в Космическом центре Кеннеди орбитальный аппарат пытался бы приземлиться в другом месте вдоль восточного побережья Северной Америки (в случае ECAL) или на Бермудских островах (в случае BDA). Различные потенциальные площадки для посадки ECAL простирались от Южной Каролины до Ньюфаундленда, Канада. Определенной площадкой для посадки на Бермудских островах была военно-морская авиационная станция Бермудских островов (объект ВМС США). ECAL/BDA было аварийным отключением, менее предпочтительным, чем штатное отключение, главным образом из-за ограниченного времени на выбор места посадки и подготовку к прибытию орбитального аппарата. Все заранее определенные площадки были либо военными аэродромами, либо совместными гражданскими и военными объектами. Площадки аварийной посадки ECAL были менее хорошо оборудованы для приема орбитального аппарата, чем те, которые были подготовлены для RTLS и TAL. На этих площадках не было сотрудников или подрядчиков НАСА, а персонал, работающий там, не проходил специальной подготовки для приема шаттла. Если бы они когда-либо понадобились, пилоты шаттла должны были бы полагаться на обычный персонал управления воздушным движением, используя процедуры, аналогичные тем, которые используются для посадки планера, потерпевшего полный отказ двигателей. Было добавлено множество других усовершенствований, в основном связанных с улучшенным программным обеспечением для управления энергией аппарата в различных сценариях аварийного отключения. Это повысило шансы на достижение аварийной взлетно-посадочной полосы при различных сценариях отказа SSME.

Contingency aborts involved failure of more than one SSME and would generally have left the orbiter unable to reach a runway. These aborts were intended to ensure the survival of the orbiter long enough for the crew to bail out. Loss of two engines would have generally been survivable by using the remaining engine to optimize the orbiter's trajectory so as to not exceed structural limits during reentry. Loss of three engines could have been survivable outside of certain "black zones" where the orbiter would have failed before bailout was possible. A particularly significant enhancement was bailout capability. Unlike the ejection seat in a fighter plane, the shuttle had an inflight crew escape system (ICES). The vehicle was put in a stable glide on autopilot, the hatch was blown, and the crew slid out a pole to clear the orbiter's left wing. They would then parachute to earth or the sea. While this at first appeared only usable under rare conditions, there were many failure modes where reaching an emergency landing site was not possible yet the vehicle was still intact and under control. Before the Challenger disaster, this almost happened on STS 51 F, when a single SSME failed at about T+345 seconds. The orbiter in that case was also Challenger. A second SSME almost failed because of a spurious temperature reading; however, the engine shutdown was inhibited by a quick thinking flight controller. If the second SSME had failed within about 69 seconds of the first, there would have been insufficient energy to cross the Atlantic. Without bailout capability, the entire crew would have been killed. After the loss of Challenger, those types of failures were made survivable. To facilitate high altitude bailouts, the crew began wearing the Launch Entry Suit and later the Advanced Crew Escape Suit during ascent and descent. Before the Challenger disaster, crews for operational missions wore only fabric flight suits. Another post Challenger enhancement was the addition of East Coast/Bermuda abort landings (ECAL/BDA). High inclination launches (including all ISS missions) would have been able to reach an emergency runway on the East Coast of North America under certain conditions. Most lower inclination launches would have landed in Bermuda (although this option was not available for the very lowest inclination launches—those to an orbital inclination of 28.5°—which launched due east from KSC and passed far to the south of Bermuda). An ECAL/BDA abort was similar to RTLS, but instead of landing at the Kennedy Space Center, the orbiter would attempt to land at another site along the east coast of North America (in the case of ECAL) or Bermuda (in the case of BDA). Various potential ECAL landing sites extended from South Carolina into Newfoundland, Canada. The designated landing site in Bermuda was Naval Air Station Bermuda (a United States Navy facility). ECAL/BDA was a contingency abort that was less desirable than an intact abort, primarily because there was so little time to choose the landing site and prepare for the orbiter's arrival. All of the pre designated sites were either military airfields or joint civil/military facilities. ECAL emergency sites were not as well equipped to accommodate an orbiter landing as those prepared for RTLS and TAL aborts. The sites were not staffed with NASA employees or contractors and the staff working there were given no special training to handle a shuttle landing. If they were ever needed, the shuttle pilots would have had to rely on regular air traffic control personnel using procedures similar to those used to land a gliding aircraft that has suffered complete engine failure. Numerous other abort refinements were added, mainly involving improved software for managing vehicle energy in various abort scenarios. These enabled a greater chance of reaching an emergency runway for various SSME failure scenarios.

Системы выброса

Система аварийного спасения, иногда называемая "системой спасения при запуске", многократно обсуждалась для шаттла. После катастроф "Челленджера" и "Колумбии" интерес к ней значительно возрос. Все предыдущие и последующие американские пилотируемые космические корабли оснащены системами аварийного спасения, однако по состоянию на 2024 год ни одна из них никогда не использовалась во время американского пилотируемого полета.