Всё началось с одной строки в космической сводке за 29 сентября. Starship Flight 14 впервые вышел на орбиту, ускоритель Super Heavy мягко сел в Мексиканском заливе — и его подорвали. В формулировке было сказано, что это требование регулятора, и добавлено, что в отличие от прошлого раза, когда пиротехника «сделала вид, что не работает», детонация прошла штатно.
Ракета долетела. Села ровно. Ничего не сломалось. И её взорвали.
Вопрос, который тут же захотелось задать: у кого вообще есть право уничтожить ракету, и почему он существует? Оказалось, что за этой кнопкой стоит отдельная инженерная дисциплина с семидесятилетней историей, с нормативом на девятьсот девяносто девять тысячных надёжности и с правилом, которое звучит как оксюморон: система прекращения полёта не имеет права взорвать топливо.
Range safety — то есть обеспечение безопасности полигона — практикуется с 1950 года, с самых первых пусков с мыса Канаверал. Логика простая: ракета, которая потеряла управление, должна быть уничтожена раньше, чем упадёт на людей. Всё остальное — детали реализации, и деталей накопилось много.
На пульте офицера по безопасности было два переключателя. Первый — arm — глушил двигатели жидкостной ракеты и приводил систему разрушения в готовность. Второй, destruct, поджигал детонирующий шнур, обмотанный вокруг баков, после чего топливо разбрасывалось и сгорало в воздухе. Между ними стояла задержка: мгновенное разрушение баков при работающих двигателях дало бы осколки, летящие примерно туда же, куда летела ракета.
Перед офицером висел дисплей с двумя координатами: где ракета сейчас и куда упадёт её обломок, если тягу выключить. Поверх расчётной траектории рисовались «линии разрушения». Пока отметка внутри границ, никто ничего не трогает; как только вышла наружу, начинается процедура. Границы считали так, чтобы для нормального полёта сохранялась уверенность в 99,73%, что аппарат в коридоре останется.
Полномочия полигона закрепили юридически. Соглашение Уэбба — Макнамары от 17 января 1963 года подтвердило, что ВВС вправе требовать систему прекращения полёта на аппаратах NASA точно так же, как на военных, и это право действует от старта до выхода на орбиту.
NASA это не понравилось. Хьюстон полтора года добивался права отправить Apollo к Луне без системы разрушения на корабле: инженеры ссылались на риск ложного срабатывания и на возможность взрыва при стыковке. ВВС отвечали формулировкой из руководства — «и выключение двигателя, и возможность разрушения требуются для каждой ступени». Аргумент, который в итоге сработал, был весовым в буквальном смысле: система на 120 фунтов требовала либо 7500 ньютонов дополнительной тяги, либо облегчения первой ступени. В сентябре 1964 года заявку на исключение подписали.
Случай, где всё это стало видно целиком, произошёл 28 января 1986 года. Офицером по безопасности на пуске Challenger был майор ВВС Джеральд Биринджер. В своём рапорте, написанном через два часа после аварии, он описал, как на 76-й секунде показания основного и резервного источников резко разошлись и как почти одновременно он услышал по внутренней связи о взрыве. Он уже собирался не делать ничего — вся связка, судя по всему, развалилась сама.
Передумал он, увидев на экране боковой ускоритель, который стабилизировался и уходил в левый верхний угол дисплея. Биринджер отправил arm, выждал около десяти секунд, отправил fire — примерно на 110-й секунде.
В этом рапорте спрятана деталь, которая мне кажется важнее самого решения. Все расчёты исходили из того, что преждевременно отделившийся твердотопливный ускоритель будет кувыркаться, и точка его падения предсказуема. Ускорители Challenger не кувыркались: они продолжали работать и лететь стабилизированно. Без живой картинки с телекамер офицер о настоящем поведении ускорителей не знал бы вообще ничего — модель и реальность разошлись, и разошлись молча.
Американский норматив на эту систему изложен в 14 CFR, приложение D к части 417, и читается он как техзадание на паранойю. Прогнозируемая надёжность — 0,999 при доверительной вероятности 95%. Ни один единичный отказ не должен ни заблокировать срабатывание, ни вызвать срабатывание непреднамеренное. Резервные компоненты обязаны быть разнесены структурно, электрически и механически, чтобы повреждение одного не задело второй. Система прекращения полёта должна работать независимо от всех остальных систем ракеты, включая собственное питание — батарей хватает на недели. У каждой ступени и каждого бокового ускорителя, способных долететь до населённой территории, есть свой комплект.
Отдельно стоит команда управления. Офицер на земле должен уметь неразрушающе выключить работающий жидкостный двигатель — до того, как начнётся разрушение. Приём команды на подрыв возможен только после валидной команды на взвод. Радиотракт обязан сохранять запас в 12 децибел по напряжённости поля на 95% сферы вокруг ракеты. В этот бюджет заложено затухание сигнала в факеле собственных двигателей.
Теперь то, ради чего вся эта глава. Пункт D417.3(b) формулирует так: система прекращения полёта не должна приводить к детонации твёрдого или жидкого топлива. То есть системе, чья единственная задача — уничтожить ракету, прямо запрещено то, что публика понимает под словами «взорвать ракету». Задача другая: вскрыть конструкцию, стравить содержимое и лишить аппарат аэродинамической устойчивости, чтобы детонация и горение остались управляемыми и произошли как можно выше над землёй.
Технически это делают линейные кумулятивные заряды — шнуры, которые прорезают обшивку в заданных местах. На криогенных баках их ставят так, чтобы пробивать бак сбоку: смешение кислорода с метаном внутри замкнутого объёма дало бы тот самый неуправляемый взрыв, которого норматив не допускает. На твердотопливных ступенях заглушить двигатель физически нельзя, поэтому корпус вскрывают — заряд перестаёт держать давление, тяга пропадает, хотя масса продолжает гореть.
До 2017 года при каждом пуске Falcon 9 в комнате сидел человек, готовый уничтожить ракету. 22 августа 2014 года на полигоне в Макгрегоре, штат Техас, автономная система сработала на испытательном аппарате F9R Dev1: заклинивший датчик увёл машину с траектории, и бортовая логика прекратила полёт без участия земли. В отрасли это отмечают как первую активацию автономной системы прекращения полёта на американской ракете.
Что дал переход к автоматике, кроме скорости. Человек на решение тратит три–пять секунд, автономная система — миллисекунды. Бортовая логика работает и за горизонтом, где ни камер, ни телеметрических антенн полигона нет.
И самое неожиданное следствие: исчезла необходимость перенастраивать наземное радиооборудование полигона под каждый тип ракеты. Полковник ВВС в отставке Бёртон Катледж приводил цифру 72 часа на такую переконфигурацию. После перехода Восточный полигон США смог обслуживать 48 пусков в год, а стоимость пусковых услуг для одной миссии упала вдвое.
Именно из этого выросла одна из главных экономических перемен в отрасли. Катледж сказал об этом прямым текстом: было бы очень трудно достичь темпа в один-два пуска в неделю, не имея на борту автономной системы безопасности. Ещё один эффект менее очевиден — автономность открыла полярные коридоры с мыса Канаверал. Наземно-командная схема их не допускала из-за банальных радиопомех: факел ракеты, развернувшийся в сторону наземной станции, глушил команду.
Теперь про отказы. Апрель 2023 года, первый связный полёт Starship. Ракета потеряла управление на второй минуте, и автономная система выдала команду на разрушение. Дальше случилось то, что в отраслевом репортаже журнала Aerospace America описывают без утешительных формулировок: аппарат кувыркался целиком ещё около сорока секунд, пока его не разорвала атмосфера. Мгновенного взрыва не было.
Показательна последовательность объяснений. SpaceX сообщила, что система «выстрелила все детонаторы, как ожидалось», но была «неожиданная задержка» перед разрушением. Илон Маск в аудиочате через девять дней заявил, что виноват слишком короткий детонирующий шнур и что «ушло слишком много времени, чтобы разорвать баки». Отдельно он отметил, что падение в нижние, более плотные слои атмосферы, вероятно, помогло аппарату разрушиться. А главный инженер компании Agile Space Industries Чарли Гарсия, разбиравший трансляцию по кадрам, сформулировал суть одной фразой: SpaceX умудрилась взорвать бомбу прямо рядом с кислородом и метаном, и не произошло ничего.
Спасли тогда положение океан и высота. Профессор Калифорнийского политеха Дональд Эдберг сказал, что такой длинной задержки он не видел никогда, и что единственным спасением было то, что всё происходило над водой. Питер Бек из Rocket Lab выразился короче: «Для нас, стоящих в стороне, это как твой худший кошмар». И добавил ещё одну фразу, которая лучше всего объясняет, почему эта тема никого в отрасли не оставляет равнодушным: «Нас всех бы заземлили, если бы случилось событие такого масштаба».
Заземлили, впрочем, и без масштаба. Неудачно сработавшая система прекращения полёта попала в список из 63 корректирующих действий, которые SpaceX обязалась выполнить до разрешения FAA на следующий пуск. В том же списке было требование переделать стартовый стол: измельчённый бетон разлетался до десяти километров от космодрома.
Бывает и противоположный провал — когда система просто не срабатывает. 19 ноября 2024 года, шестой полёт Starship. Посадку ускорителя на башню отменили из-за автоматических проверок стартового стола, и Super Heavy мягко сел в заливе в 32 километрах вниз по траектории.
После посадки он не разрушился: баковый отсек с жидким кислородом остался на плаву, и его топили на следующий день. В обсуждениях тут же появилось слово «отказ», и один из комментаторов сформулировал разграничение, которое стоит держать в голове. Система прекращения полёта предназначена для прекращения полёта, а не для потопления ускорителя после мягкого касания воды. Если она не смогла достаточно быстро прекратить полёт — это отказ, и FAA потребует расследования. Если она не смогла потопить уже севший бак, она для этого и не проектировалась.
Для этого случая у SpaceX, к слову, была прописана лестница решений: сначала дистанционно открыть вентиляционные клапаны и пустить воду внутрь баков, если не вышло — открыть клапаны баков, а если и это не сработало, подвести корабль и провернуть корпус вокруг продольной оси буксирным тросом, чтобы вызвать затопление. Второй вариант сработал. Третий остался на бумаге, и жаль.
Отдельная категория — случаи, когда решение о подрыве не принимают. 25 января 2018 года Ariane 5 ушла в полёт с азимутом 90 градусов вместо расчётных 70: груз летел на нестандартную сверхсинхронную орбиту, и в инерциальные блоки заложили стандартное число. Траектория ушла почти на 20 градусов по наклонению, наземные станции потеряли телеметрию на девятой минуте двадцать шестой секунде.
Стандартный Ariane 5 в такой ситуации уничтожается немедленно. Здесь офицер по безопасности захотел это сделать — и не смог: ракета уже уходила слишком близко к городу Куру, и подрыв дал бы дождь обломков над городом. По оценке отраслевых источников, опасность для местного населения от разрушения аппарата перевешивала опасность продолжения полёта. Оба спутника вышли на связь, оказались здоровы и добрались до целевой орбиты своим ходом — один из них с опозданием на четыре недели.
Самый дорогой случай той же логики — 15 февраля 1996 года, Китай, космодром Сичан, первый пуск Long March 3B. Ракета ушла с траектории через две секунды после старта и ударилась в холм у главных ворот космодрома, в 23 секундах от старта. Система прекращения полёта на борту была. По версии отставного подполковника ВВС США Уэйна Элеазера, её не активировали, чтобы не попасть в дорогостоящие постройки рядом со стартовой площадкой.
Взрыв снёс деревню Майелинь, стоявшую прямо у ворот центра. Официальное агентство Синьхуа сообщило о шести погибших и 57 раненых; западные оценки доходили до 500, документальный фильм CCTV 2003 года называл семь человек. Здесь источники расходятся так, что сводить их к одной цифре нечестно: американские очевидцы утверждали, что официальный список учитывал только военных и не учитывал гражданских, а автор разбора в The Space Review возражал, что население деревни не превышало тысячи человек и было эвакуировано до старта. После 1997 года деревню снесли, жителей переселили.
До этого места всё выглядело набором инженерных компромиссов. Пилотируемые пуски ломают саму логику системы, и ломают её в направлении отказа.
Пиротехника не может отказать безопасно. У неё нет нейтрального состояния: заряд либо сработал, либо нет. Для грузового пуска это означает, что автономные системы проектируют под правило «отказ в срабатывании недопустим» — цена ложного решения здесь ниже цены промедления. Документы инженерно-технического управления безопасности NASA формулируют это прямо: для грузовых пусков система прекращения полёта строится fail-destruct, а не fail-safe, и защит от непреднамеренного срабатывания в ней нет, потому что требования полигона защищают публику и наземный персонал.
Затем на борт садится экипаж, и предпосылка меняется на противоположную. Непреднамеренный подрыв обходит систему аварийного спасения, а значит требует двухотказной толерантности. Обеспечить её резервированием на уровне системы невозможно — защита должна быть внутри каждого блока. Асимметрия видна в деталях требований. Полигон допускает, чтобы переключатель взвода жил в наземном оборудовании и был изъят после того, как персонал покинул площадку. Полигон требует мониторить только те запреты, что срабатывают на земле. Бортовые запреты на команду подрыва мониторить не требуется, потому что для полигона непреднамеренный подрыв в полёте не угрожает ни публике, ни наземной команде. Логика безупречная и совершенно не про тех, кто в этот момент сидит сверху.
Сложность при этом не прячется в железе, а живёт в данных. Автономная система состоит из трёх частей: ядро CASS с логикой вычислений, «обёртка» под конкретный носитель и MDL — файл правил, записанный на XML против схемы полигона. Именно в этом файле зашита вся логика решений о прекращении полёта, его пишут совместно провайдер и полигон, и по размеру и сложности он сопоставим с типовым полётным софтом самой ракеты. NASA отдельно предупреждает, что в MDL есть элементы, не терпящие ни единого отказа.
Так что возвращаюсь к строке, с которой всё началось. Flight 14, 28 сентября 2026 года: ускоритель отработал, сел, и через мгновение после выключения двигателей его система прекращения полёта была активирована. SpaceX описывает это как демонстрацию предохранительной аппаратуры — то есть пуск системы, которая семь минут летела в готовности не понадобиться, устроили ей в награду за то, что не понадобилась. Формально это самая безопасная часть полёта и самая бессмысленная одновременно, и в этом нет ни капли иронии: возможность не сработать нельзя проверить на земле, её можно только потратить.
А вторая половина того же полёта закончилась иначе. Корабль приводнился в Тихом океане севернее Гавайев через три часа с небольшим, завалился на бок, и остатки топлива в баках загорелись сами — этого никто не планировал. Один пуск, две ракеты и две разные смерти: одна по приказу, вторая по инерции.