Летом 2007 года на Международной космической станции случилась авария, которая ничего не разрушила, никого не убила и почти не попала в учебники. Но именно она обнажила фундаментальный изъян в том, как инженеры думают о надёжности.
Июнь 2007 года — МКС переживает одну из самых насыщенных фаз сборки. Шаттл «Атлантис» (миссия STS-117) пристыкован к станции и привёз ферменную конструкцию S3/S4 с новой парой солнечных батарей. Экипаж 15-й долговременной экспедиции — командир Фёдор Юрчихин и бортинженер Олег Котов — работает на борту вместе с астронавтами шаттла. Станция растёт, её энергетическая архитектура усложняется, новые панели начинают подавать электричество в общую сеть. Это нормальный рабочий момент: каждый новый элемент конструкции чуть меняет электрический баланс станции, и наземные центры тщательно отслеживают параметры питания. Всё штатно — до тех пор, пока 13 июня российский сегмент не замолкает.
Не целиком. Не в том смысле, что гаснет свет и прекращается подача воздуха. Но замолкает мозг: шесть бортовых компьютеров управления — три центральных (ЦВМ) и три терминальных (ТВМ) — отключаются одновременно. Эти машины, разработанные немецкой компанией DASA (позднее вошедшей в Astrium) по заказу ESA и РКК «Энергия», отвечали за ориентацию российского сегмента, навигацию и контроль ряда бортовых систем. Три основных и три резервных — классическая схема тройного резервирования, которая должна была гарантировать, что хотя бы один канал всегда останется в строю. Все шесть упали разом.
Тройное резервирование — это инженерная религия космонавтики. Идея проста: если один компьютер откажет, его функции подхватит второй, а если и второй — третий. Вероятность одновременного отказа трёх независимых систем исчезающе мала. Но в том-то и штука: слово «независимых» здесь ключевое, и 13 июня оно оказалось под вопросом.
Когда на экранах ЦУП-Москва погасли телеметрические данные от всех шести машин, первая реакция была — перезагрузка. Стандартная процедура: выключить, подождать, включить. Не помогло. Компьютеры включались и тут же снова отключались, словно кто-то дёргал рубильник. Российский сегмент потерял автоматическое управление ориентацией — а это значит, что станцию нужно было удерживать в правильном положении другими средствами. Американский сегмент со своими гироскопами (CMG — Control Moment Gyroscopes) и собственными компьютерами мог частично компенсировать потерю, и именно это произошло: функцию поддержания ориентации взял на себя пристыкованный «Атлантис» и американская система управления. Экипажу не грозила немедленная эвакуация, система жизнеобеспечения продолжала работать, кислород поступал. Но ситуация была тревожной по другой причине: никто не понимал, почему это произошло.
Меня в этой истории цепляет именно этот момент — не сам отказ, а пауза непонимания. Шесть компьютеров, спроектированных для независимой работы, отказали синхронно. Это как если бы в больнице одновременно остановились три дефибриллятора и три запасных — причём стоящие в разных палатах и подключённые, как все думали, к разным розеткам.
Первые версии появились быстро — и были, по сути, попыткой объяснить невозможное. Российские руководители полёта указали на NASA: новые солнечные батареи, привезённые «Атлантисом», начали генерировать электричество, и в российскую часть станции могло попасть так называемое «грязное» напряжение 28 В — с помехами, скачками, нештатными характеристиками. Другая версия звучала ещё экзотичнее: плазменное воздействие. Солнечные панели, работая в ионосфере, действительно взаимодействуют с окружающей плазмой, и теоретически это может вызывать паразитные токи. Обе гипотезы были технически возможны, но ни одна не объясняла главного — почему отказали все шесть машин, включая резервные.
Грубо говоря, «грязное» напряжение — это шум в электрической сети. Компьютеры, конечно, чувствительны к качеству питания, но они проектируются с фильтрами и защитными цепями именно на такой случай. Плазменная гипотеза и вовсе выглядела натяжкой: взаимодействие панелей с ионосферой — реальный эффект, но он не мог избирательно вывести из строя шесть конкретных устройств, не затронув остальную электронику. Тем не менее обе версии активно обсуждались в первые дни, и между ЦУП-Москва и ЦУП-Хьюстон шли напряжённые переговоры. Каждая сторона защищала свою архитектуру: российские специалисты подозревали влияние американского оборудования, американские — искали проблему в российском сегменте.
Пока инженеры на Земле спорили, экипажу на орбите нужно было действовать. Шаттл «Атлантис» не мог оставаться пристыкованным бесконечно — у него был ограниченный ресурс по времени, и отстыковка была запланирована на 19 июня. После отстыковки функцию удержания ориентации должен был снова взять на себя российский сегмент, а без работающих компьютеров это было невозможно. Часы тикали в буквальном смысле.
Решение, к которому пришли наземные специалисты, было элегантным в своей грубости. Раз компьютеры отключаются при подаче штатного питания — нужно подать питание нештатно, обойдя подозрительный участок цепи. Юрчихин и Котов получили с Земли подробные инструкции: установить перемычки — jumper cables — которые обходили блок контроля питания и защитную цепь на компьютерах. По сути, экипаж хирургически вырезал из электрической схемы тот элемент, который, по предположению инженеров, вызывал ложное срабатывание команды на отключение.
Работа была кропотливой. Каждый компьютер нужно было переподключить индивидуально, проверить, убедиться, что он запускается и держит нагрузку. Космонавты работали в тесных отсеках, среди жгутов кабелей, по голосовым инструкциям из Москвы. Это не было похоже на героический монтаж из фильма — скорее на многочасовую работу электрика в подвале, только подвал летит со скоростью почти восемь километров в секунду. Постепенно, один за другим, компьютеры возвращались в строй. К моменту отстыковки «Атлантиса» 19 июня российский сегмент восстановил автоматическое управление ориентацией. Шаттл ушёл, станция продолжила полёт.
Но вопрос «почему?» оставался открытым. Перемычки — это обходной манёвр, заплатка. Они доказали, что проблема лежит в цепи питания, но не объяснили, что именно в этой цепи сломалось. Компьютеры были исправны — это стало ясно, когда они заработали от альтернативной схемы. Значит, дело было не в самих машинах, а в чём-то между ними и источником электричества. В чём-то, что одновременно затронуло все шесть каналов.
Ответ нашёлся уже через несколько недель после аварии. Юрчихин, Котов и работавший с ними астронавт NASA Клейтон Андерсон разобрали блоки контроля питания и жгуты кабелей и осмотрели каждый угол — щупы и приборы ничего не находили, а вот глаза и пальцы нашли: пины разъёма блока контроля питания — того самого, что они обошли перемычками, — были мокрые и покрытые коррозией. Виновницей оказалась обескураживающе бытовая штука — капли конденсата от неисправного осушителя воздуха.
На орбите влага ведёт себя иначе, чем на Земле. Без гравитации капли не стекают вниз, а висят там, где образовались, или медленно дрейфуют с потоками воздуха. По замыслу инженеров кабелям конденсат не грозил: тепло от рабочего тока и циркуляция воздуха должны были держать их выше точки росы. Но осушитель работал с дефектом: его частые циклы «включился-выключился» выбрасывали порции водяного пара, а струя холодного воздуха с другого его патрубка периодически опускала температуру кабелей ниже точки росы. Конденсат оседал на контактах снова и снова — контакты окислились, сопротивление изменилось, и в определённый момент произошло короткое замыкание.
Но вот что превращает эту историю из рядовой поломки в инженерный урок. Все шесть компьютеров — три основных и три резервных — были подключены к единой линии команды «отключение питания» (power off). Эта линия существовала как защитный механизм: при обнаружении аварийной ситуации она должна была обесточить систему, чтобы предотвратить повреждение оборудования. Логика проектировщиков была понятной — нужен общий рубильник на случай пожара или другой чрезвычайной ситуации. Проблема в том, что коррозия со временем довела кабель до короткого замыкания — и замкнуло саму эту линию. Команда на отключение, которую никто не подавал, родилась прямо в проводе, уходящем ко всем трём каналам. Общий рубильник сработал — и выключил всё, включая резервные каналы, которые по замыслу должны были быть независимыми.
Мне кажется, в этом есть какая-то горькая ирония: механизм, созданный для защиты, стал причиной отказа. Предохранитель, который должен был спасти систему от катастрофы, сам устроил катастрофу — пусть и управляемую.
У этого типа отказа есть строгое инженерное название — common-mode failure, отказ по общей причине. Концепция известна давно: если несколько резервных систем разделяют какой-либо общий элемент — источник питания, канал связи, физическое пространство, — то отказ этого элемента уничтожает всю резервную архитектуру разом. Учебники по надёжности пишут об этом в первых главах. И тем не менее инженеры, проектировавшие систему управления российского сегмента, допустили именно эту ошибку.
Это не было халатностью или глупостью. Общая линия power off имела своё обоснование: в аварийной ситуации нужна возможность быстро обесточить всё. Но «всё» включало и резерв, и это превращало тройное резервирование в декорацию. На бумаге — три независимых канала. В реальности — один провод, который мог убить все три. Разница между схемой и реальностью проходила через крошечный участок цепи, который на функциональной диаграмме выглядел как незначительная деталь.
Авиационная и ядерная индустрии знакомы с common-mode failure не понаслышке. Чернобыльская авария, гибель шаттла «Челленджер», катастрофа Boeing 737 MAX — в каждом из этих случаев можно найти элементы отказа по общей причине, когда резервные системы оказывались не такими независимыми, как предполагалось. Инцидент на МКС в июне 2007 года не привёл к жертвам и даже не потребовал эвакуации, но он продемонстрировал тот же принцип с хрестоматийной чистотой. Шесть коробок с электроникой, три из которых существуют специально на случай отказа трёх других, — и все шесть выведены из строя каплей воды на общем проводе.
Отдельная линия этой истории — взаимодействие наземных центров управления. МКС — проект пятнадцати стран, но операционно станция управляется из двух главных точек: ЦУП-Москва (Королёв) и ЦУП-Хьюстон (Джонсон). Российский и американский сегменты имеют разные системы управления, разные компьютерные архитектуры, разные протоколы. В штатном режиме каждый центр управляет «своей» половиной станции, координируясь с другим по установленным каналам.
13 июня эта схема была проверена на прочность. Когда российские компьютеры упали, американский сегмент сохранил полную работоспособность. Гироскопы CMG и система управления ориентацией шаттла «Атлантис» взяли на себя удержание станции в правильном положении. Хьюстон обеспечивал критические функции, пока Москва искала причину отказа и разрабатывала процедуру восстановления. Это была именно та ситуация, ради которой МКС проектировалась как двухсегментная: если одна половина теряет управление, другая способна поддерживать станцию.
Но здесь же проявились и трения. Версия о «грязном» напряжении от новых американских солнечных батарей, выдвинутая российской стороной, по сути означала обвинение: ваше оборудование сломало наши компьютеры. Хьюстон, естественно, не соглашался. Обе стороны проводили параллельный анализ, обменивались данными, но каждая работала в рамках собственной инженерной культуры и собственных предположений. Когда несколько недель спустя выяснилась реальная причина — конденсат и коррозия, — стало ясно, что проблема была целиком внутри российского сегмента и не имела никакого отношения к американским батареям. Ложный след с «грязным» напряжением съел драгоценное время и добавил напряжённости между центрами управления.
Этот инцидент редко упоминается в популярных рассказах о МКС. Он не оставил фотогеничных следов — никаких дыр в обшивке, никаких утечек воздуха, никаких драматичных выходов в открытый космос для экстренного ремонта. Два космонавта в тесном модуле переподключали кабели по голосовым инструкциям — это плохо монтируется в трейлер. Медийная память сохранила другие эпизоды: утечку аммиака в 2013-м, разгерметизацию «Союза МС-09» в 2018-м, трещины в модуле «Звезда». История с компьютерами растворилась в потоке новостей, оставив после себя только сухие строчки в технических отчётах.
А между тем она заслуживает внимания именно потому, что ничего страшного не произошло. Это тот редкий случай, когда система отказала достаточно серьёзно, чтобы обнажить конструктивный изъян, но не настолько, чтобы привести к необратимым последствиям. Идеальный учебный кейс. Капля конденсата от сломанного осушителя, коррозия контактов, короткое замыкание на общей линии power off, одновременный отказ всех шести компьютеров, спор двух центров управления, ложные версии, ручной обход цепи, постепенное восстановление, обнаружение окисленных пинов уже через несколько недель. Каждый элемент этой цепочки — урок о том, что надёжность — свойство не отдельных компонентов, а связей между ними.
После инцидента конструктивный изъян устранили радикально: во время августовского визита «Индевора» старую компьютерную сеть разобрали до последнего блока — за снятыми блоками экипаж нашёл конденсат пополам с плесенью — и собрали заново на свежих машинах и кабелях, доставленных ESA. Один из новых кабелей оказался на сорок сантиметров короче нужного; старый проверили прозвонкой, коррозии не нашли — и вернули на место. А чтобы конденсат больше не подбирался к разъёмам, между осушителем и электроникой соорудили тепловой барьер — из запасного справочника и серой ленты. Всё это — тихие, невидимые изменения, которые не попадают в заголовки, но из которых, по сути, и состоит реальная инженерная работа на орбите. Станция летает уже больше двадцати пяти лет, и каждый год её надёжность определяется не рекламными цифрами о тройном резервировании, а тем, насколько честно инженеры на Земле ответили на вопрос: а что у этих трёх «независимых» каналов общего?