В ленте Hacker News на днях прошёл пост с сухим техническим заголовком — «STS-51-F Abort-to-Orbit (1985)». Тридцать семь апвоутов, одиннадцать комментариев, обсуждение неторопливое. Повод внешне неброский: в 1985 году один из полётов «Шаттла» прервал подъём — но не развернулся обратно к стартовой площадке, а продолжил путь и всё-таки вышел на орбиту, только пониже расчётной.
Меня в космонавтике обычно тянет к катастрофам: «Челленджер», «Колумбия», разбор причин, цепочки проигнорированных сигналов. Здесь сюжет перевёрнут. Это рассказ не про то, как система дала сбой и убила людей, а про то, как система дала сбой — и всё равно закончилась хорошо. Такие эпизоды почти не помнят: у них нет ни трагедии, ни виноватого, ни мемориала. Тем полезнее в них разглядеть, как на самом деле устроена сложная техника.
Из ста тридцати пяти полётов «Шаттла» ровно один прервал подъём и всё равно улетел. Разбираться в этом стоит не ради самой миссии, а ради вопроса, который она оставляет: сколько инженерного запаса нужно заложить в машину, чтобы авария превратилась в неудобство, а не в катастрофу.
У «Шаттла» была целая лестница сценариев на случай, если что-то пойдёт не так прямо во время подъёма. Назывались они «аварийными режимами», но по сути были заготовками вежливого отступления: вместо «спасайтесь» — «давайте придумаем, куда сесть».
Ступени шли по возрастанию мягкости. Самая жёсткая — возврат на стартовую площадку (RTLS): корабль продолжает лететь вперёд, выжигая лишнее топливо, потом разворачивается прямо в воздухе и идёт обратно к Космическому центру Кеннеди. Этот манёвр и самый быстрый, и самый опасный. Астронавт Майк Маллейн назвал его «противоестественным актом физики», а командир первого полёта «Шаттла» Джон Янг, когда ему предложили сделать RTLS учебным сценарием первой миссии, отказался, сравнив его с русской рулеткой: «RTLS требует непрерывных чудес, разбавленных актами Божьими».
Дальше — посадка по ту сторону Атлантики (TAL): запасные полосы в Испании, Франции, Англии, на Азорских островах. Потом — один виток вокруг Земли (AOA) с приземлением примерно через девяносто минут. И наконец выведение на пониженную орбиту (ATO) — тот случай, когда нужная высота уже недостижима, но стабильная орбита повыше ста километров всё ещё возможна.
За тридцать лет работы программы не пригодился ни RTLS, ни TAL, ни AOA. Все три существовали только на бумаге и в тренировках — при том что на их подготовку каждый раз уходили живые люди и деньги: за неделю до пуска на запасной аэродром в Испании летели два самолёта C-130, восемь параспасателей, два хирурга, медсестра и больше тонны медицинского оборудования. Ровно один раз за всю историю сработал последний, самый мягкий режим. Об этом и речь.
Двадцать девятое июля 1985 года, «Челленджер», миссия Spacelab-2. Экипаж из семи человек — один из самых возрастных на тот момент, средний возраст сорок семь лет, за плечами у всех вместе всего две космические миссии. На борту — связка солнечных телескопов и спектрометров, один из самых сложных научных грузов, какие вообще поднимал «Шаттл».
Ровно за семнадцать дней до этого, 12 июля, тот же экипаж уже пережил срыв: старт прервался на третьей секунде до отрыва, когда клапан охлаждения второго двигателя слишком медленно закрывался. Пилот Рой Бриджес потом вспоминал, как повернулся к командиру и показал пустые ладони: «Гордон, я ничего не трогал. Это автоматика». Тогда им показалось, что полоса невезения исчерпана.
Через шесть минут после старта 29 июля стало ясно, что нет. На пятьдесят сорок третьей секунде температура на выходе топливного насоса центрального двигателя ушла за красную линию, и бортовой компьютер его выключил. Высота — около ста восьми километров, скорость — почти пятнадцать тысяч километров в час. Для возврата к старту уже слишком высоко и быстро. Оставались два варианта: посадка в Европе или выведение на пониженную орбиту.
Борт-инженер Стори Мастрейв в этот момент открыл чек-лист на странице с заголовком «SPAIN», и его сосед Карл Хайнц тихо спросил: «Куда летим, Стори?» — «В Испанию, Карл». Через секунду Мастрейв закрыл страницу: «Мы близко, но пока не настолько». Окно европейской посадки они миновали с запасом всего в тридцать три секунды. Тогда из Хьюстона прозвучало: «Abort ATO».
В шестнадцать часов шесть минут командир Гордон Фуллертон запустил двигатели орбитального маневрирования на сто шесть секунд — сжёг изрядную долю драгоценного топлива, но дотянул корабль до низкой устойчивой орбиты. Планировали круговую орбиту около трёхсот восьмидесяти километров, получили двести шестьдесят пять.
Дальше произошло то, из-за чего этот полёт вообще стоит помнить.
Через две минуты после этого дал сбой ещё один датчик — теперь на третьем двигателе. Его показания тоже ушли за красную линию. Компьютер, действуя строго по инструкции, должен был выключить и второй двигатель подряд.
Этого не случилось по решению одного человека. Руководитель по двигателям в Центре управления Дженни Ховард (позже Ховард-Стайн) уже разобралась, что происходит: отказывали не двигатели, а датчики. Это были тонкие проволочки, чьё электрическое сопротивление меняется от нагрева; от вибрации и перегрева они начали врать. Дженни передала на борт рекомендацию заблокировать дальнейшие автоматические отключения — то есть приказать компьютеру игнорировать показания оставшихся датчиков.
Два уцелевших двигателя проработали ещё сорок девять секунд и выключились на девятой минуте двадцатой секунде после старта. Корабль вышел на орбиту.
Здесь уместно уточнить масштаб того, что едва не случилось, — но осторожно, потому что и сами источники здесь не единодушны. План шёл по «Шаттлу» только с одним отказавшим двигателем на всём протяжении подъёма. Если бы второй отказал в пределах примерно шестидесяти девяти секунд после первого, энергии на то, чтобы дотянуть до Европы, уже не хватило бы, а система аварийного покидания появилась на «Шаттле» только после гибели «Челленджера». Отсюда и осторожность: в одних описаниях это прямо названо возможной потерей экипажа и корабля, в других — та же фраза помечена как утверждение, требующее подтверждения. Само событие бесспорно, а вот «сколько секунд отделяло их от гибели» остаётся оценкой.
Есть в этой истории и вторая бухгалтерия — та, что обычно прячется за восторгами про «успешный аварийный режим».
Из-за ATO корабль оказался ниже, и топлива на орбитальные операции стало меньше. Часть программы пришлось срезать: планировался облёт отделившегося прибора для диагностики плазмы — его отменили, потому что маневрировать было нечем. Первое в истории развёртывание европейской системы точного наведения IPS долго не могло удержать Солнце — одну из крупнейших американских газет цитирували с издевкой: мол, отследить монету с двух миль не выходит, этот инструмент «попал бы разве что по глухой стене сарая». Починили софтом, в воздухе.
Официально миссия всё равно признана успешной. Более того — за счёт экономного расхода топлива её продлили на семнадцать витков, лишний день сверх семидневного графика. Фуллертон потом говорил: «Мы шли на семь дней, а получили восемь».
И есть отдельный горько-смешной пласт. Самым известным грузом той миссии стала не солнечная физика, а банки с газировкой. Coca-Cola и Pepsi привезли на «Челленджер» свои системы для напитков — первая кола в космосе, «войны колы» в разгаре. На последнем предполётном брифинге вместо свежих данных о Солнце перед экипажем выступил главный юрист NASA с инструктажем о том, как правильно фотографировать друг друга за распитием. Физик Лорен Актон, семь лет готовившийся к этой миссии, выгнал его из комнаты. По итогам слепого теста победила Coca-Cola — а экипаж, попробовав обе, предпочёл обычный порошковый Tang.
Трудно удержаться, чтобы не поставить рядом другой полёт. Через три года, в декабре 1988-го, «Атлантис» ушёл на секретную миссию STS-27. Через восемьдесят пять секунд после старта кусок изоляции оторвался от носа ускорителя и ударил по теплозащите корабля.
Экипаж через камеры манипулятора увидел белые полосы повреждений вдоль всего фюзеляжа. Центр управления, разглядывая смазанные зашифрованные снимки на медленном канале, решил, что это артефакты съёмки, и успокоил экипаж. Позже выяснилось, что повреждено было больше семисот плиток, а одна у носа отсутствовала целиком. Командир миссии Хут Гибсон, не веря наземной оценке, сказал своим людям: «Незачем умирать в напряжении» — и экипаж готовился к входу в атмосферу как к последнему в жизни.
Здесь стоит сойти с дорожки публичных версий и посмотреть на холодные факты. Обе катастрофы программы — и «Челленджер», и «Колумбия» — начинались не с отказа, а с проигнорированного сигнала, который на бумаге выглядел как «в пределах нормы». И в 1985-м, и три года спустя железо вело себя предсказуемо: подводили датчики, а решающим оказывалось то, поверит ли человек приборам или собственному рассуждению. Разница между успешным ATO и погибшим экипажем лежала не в двигателях.
Возвращаясь к вопросу из зацепки: откуда берётся запас, превращающий аварию в неудобство.
Четыре аварийных режима «Шаттла» были заготовками на разные степени безнадёжности — от разворота над стартовой площадкой до тихого согласия сесть пониже. Три из них не пригодились ни разу. Сама возможность выбрать — не сесть, а «сесть где-то ещё, попозже и похуже, но сесть» — и была этим запасом. Её проектировали заранее, тренировали, оплачивали запусками C-130 на испанские аэродромы и держали наготове тридцать лет ради единственного дня.
Трагедии космонавтики помнят поименно. Тихий успех 29 июля 1985 года не помнит почти никто: там некому сочувствовать и некого винить. Но именно он показывает, чего на самом деле стоит инженерная честность — не гарантия, что всё будет хорошо, а заранее оплаченное право выбрать, как именно плохо всё пойдёт. Точной цены этого права никто не считал; её вписывают задним числом, и в тот раз она оказалась дешевле катастрофы.