Даглас Хёрли и Боб Бенкен в капсуле Индевор

Компания SpaceX ведёт стремительную разработку проектов сразу по нескольким направлениям. Первая ступень ракеты Falcon 9 после запуска полезной нагрузки в космос возвращается на Землю для повторного использования, подобное тестируют для прототипов Starship. На МКС корабль Crew Dragon доставляет экипаж, готовится второе поколение грузовиков Dragon. Рой спутников связи Starlink выдаёт больше сотни мегабит в секунду для реальных пользователей открытого бета-теста.

Все эти проекты требуют высокой степени автоматизации, за которую отвечает команда разработки программного обеспечения. Про неё специалисты SpaceX рассказывают с удовольствием: это не только важно для привлечения соискателей на открытые вакансии, но и интересно для всех остальных.

Сложность космоса

14 декабря 1966 года в беспилотном испытательном запуске Союзакорабль 7К-ОК1 встал на стартовой площадке: не сработала зажигалкана одном из двигателей. Автоматика остановила последовательность действий запуска до того, как ракета успела отделиться от поверхности стартового стола. Персонал приблизился к ракете для её осмотра и оценки возможности повторного запуска. Внезапно сработала система аварийного спасения (САС) Союза. Её пороховые двигатели бережно вынесли спускаемый аппарат на высоту 700 метров и отдали его во власть парашютов, но также зажгли разлившуюся горючую жидкость системы терморегулирования приборного отсека, который остался на Земле. Верхушка ракеты загорелась. Как вспоминает Черток, память о катастрофе Неделина заставила людей покидать стартовую площадку бегом. Погиб один человек.

Выяснение причин срабатывания САС на неподвижной ракете началось ещё до тушения стартовой площадки. Во время полёта ракета постоянно сравнивает отклонения инерциальной системы отсчёта от расчётной траектории. Если разница слишком велика, то срабатывает САС. Стоящая на стартовой площадке ракета всё же движется: она вращается с Землёй, а гироскопы привязанык звёздам. При проектировании аварийных систем Земля предполагалась неподвижной. За 27 минут набежало примерно 8 градусов, и на 32 пиротехнических заряда САС поступил сигнал зажигания.

Этот баг упустили из виду даже без сложностей современных компьютеров. Сегодня электроникой управляются все критические системы любого космического аппарата. Это уже даже не самый дорогой дефис в истории зонда Маринер-1 1962 года: в современных системах пространство для ошибок исчисляется десятками, сотнями тысяч строк кода. Любой заметный сбой программного обеспечения вызывает деградацию качества работы или вовсе приводит к потере аппарата.

Кажется, что зрелость направления и сама культура аэрокосмической разработки свели на нет любые детские ошибки. Но это не так. До сих пор ракеты взрываются с ошибкой преобразования переменной, марсоходы зависают с инверсией приоритета, а орбитальные зонды падают из-за значения не в той системе измерения. Даже Старлайнер, прямой конкурент Crew Dragon, не долетел до МКС из-за качества софта.


SpaceX выложила этот видеоролик с любовью к своей культуре проб и ошибок

На этом фоне любопытно выглядит пример SpaceX. Эта относительно молодая компания с заметными достижениями не случилась бы без программного обеспечения, которое быстро разрабатывают и тестируют небольшие команды.

Сокол на x86

Проблемы вызывает не только надёжность кода космос враждебен даже к железу. На Земле от радиации мы защищены магнитным полем и атмосферой. В космосе поток высокоэнергетических частиц с лёгкостью превратит единицу в ноль в ячейке памяти или вообще выведет из строя компоненты. Космическая микроэлектроника как минимум требует специальной сертификации, а иногда прибегает к специальным микросхемам, к примеру, на технологиях полупроводников кремния на сапфире.

В SpaceX игнорируют сформировавшееся щепетильное отношение к космическому оборудованию. Компания с момента основания выделялась своей любовью к относительно дешёвым компонентам. К примеру, в 2005 году журналисты сообщали, что в ракете Falcon 1 компьютеры общались по обычному кабелю Ethernet.

Как рассказывали (1, 2) инженеры SpaceX на конференции GDC 2015, на ракете Falcon 9 на каждой из ступеней установлены по три двухъядерных компьютера архитектуры x86. В каждом компьютере на каждом из двух ядер независимо друг от друга работает операционная система с полётным софтом. Также в ракете установлены микроконтроллеры архитектуры PowerPC. Они управляют разными исполнительными механизмами: двигателями, решётчатыми рулями и так далее.

Всё это оборудование объединено в систему actor-judge.

• Почти всё выражается в традиционном для ТАУ виде контура управления: много раз в секунду с датчиков приходят данные, по ним и прошлым состояниям системы принимается решение, компьютер выдаёт сигналы устройствам.
• Ядра выполняют вычисления независимо друг от друга. Результат работы двух ядер сравнивается. Если на обоих ядрах получился разный результат, этот инстанс команду не посылает.
• Микроконтроллеры получают команды от трёх разных компьютеров. Микроконтроллер решает, кому из трёх верить, и выполняет команду. При рассинхронизации компьютеров контроллер положится на тот, который был самым точным в прошлом.
• Успешный полёт Falcon 9 возможен всего с одним оставшимся компьютером из трёх.

Такая архитектура как упрощает тестирование на Земле, так и обеспечивает необходимый уровень устойчивости к радиации. Не нужны специальные дорогие микросхемы, у которых к тому же может оказаться архитектура, знакомая лишь небольшому числу разработчиков на рынке труда.

Управляющие компьютеры тестируют на так называемом стенде table rocket, ракете на столе. Мозги Falcon 9 раскладывают на плоской поверхности и соединяют так, как они работают в реальной ракете. Затем специалисты запускают полный симулированный полёт, следят за поведением системы, её производительностью и возможными отказами. Во время симуляции могут отключить один из полётных компьютеров, чтобы понять, как на это ответит ракета.

Также всю систему управления в состоянии виртуализировать одна рабочая станция, что делает возможными массовое автоматизированное тестирование и проверку кода для полёта всего за сутки.

Похожая система с тройной избыточностью установлена в космическом корабле Dragon, говорили на GDC 2015. В ответах 2020 года сотрудники туманно намекнули, что кораблём Crew Dragon управляет отдельный четырёхъядерный процессор, сравнимый по вычислительной мощности со смартфоном пятилетней давности.

Вообще, SpaceX не отчитывается о точных моделях процессоров. Возможно, контроллеры PowerPC это радиационно устойчивый RAD750, хорошо зарекомендовавший себя в марсоходах и зондах, а процессоры x86 промышленные встраиваемые решения с низким тепловыделением и скромной производительностью.

Но для космоса многого не нужно. Сама МКС управляется процессором Intel 80386SX-20 с математическим сопроцессором 80387. Даже на момент запуска станции это был продукт десятилетней давности.

В космос в браузере

30 мая компания SpaceX впервые запустила людей на орбиту. Наконец появилась вторая опция доставки экипажа на Международную космическую станцию. С 2011 года единственным решением для этого были российские Союзы.

Аудитория онлайн-трансляции обратила внимание, насколько корабль Crew Dragon выглядел крупнее трёхместной капсулы Союза. При схожем внутреннем объёме у корабля SpaceX 4 метра диаметра против союзовских 2,2 м. SpaceX изначально рекламировала корабль как семиместный, но НАСА будет запускать на пилотируемых Драконах четырёх астронавтов.

Кроме физических различий наиболее заметно было то, как управляли кораблём люди. Союз не отходит от традиций авиационно-космического машиностроения: экипаж нажимает на тумблеры и клавиши, а сигнальные табло выводят информацию. Крю Дрэгон всё делает по-своему. Для футуристичного корабля SpaceX основной элемент тачскрин.

Экраны Crew Dragon работают на браузерном движке Chromium, то есть интерфейсы созданы на HTML с использованием веб-компонентов, JavaScript и CSS. Внутри компании написали собственную реактивную библиотеку. Разработка интерфейсов идёт по методологии Agile с высокой планкой для покрытия юнит-тестами.


Скриншот браузерного симулятора стыковки.

Ещё до первого пилотируемого запуска SpaceX опубликовала браузерный симулятор стыковки Крю Дрэгона к МКС. Симулятор начинался как хобби двух разработчиков компании. Затем его решили закончить и опубликовали для широкой публики.

Симулятор остаётся симулятором: ничего общего с реальным кодом у него нет. Хотя оба продукта писала одна и та же команда, это два абсолютно разных проекта.

Всё это не значит, что космический корабль летает на JavaScript. Chromium на корабле используется только как средство отрисовки элементов пользовательского интерфейса. Слой взаимодействия с полётным программным обеспечением имеет все необходимые меры резервирования и находится за пределами дисплеев, говорят сотрудники SpaceX. Бэкенд написан на C/C++.

Обычный браузерный движок в космическом корабле дерзкое решение. В ответах сотрудники SpaceX заверяли, что вне зависимости от технологического стэка стандарты разработки одинаковы, принципы написания надёжного и производительного ПО не меняются, а для понимания возможных ошибок тестирование идёт под разнообразными условиями. На случай отказов есть соответствующие уведомления и процедуры. Наконец, к тестированию добавляются сотни часов обучения астронавтов на полётных симуляторах на Земле.

На всякий случай под тач-дисплеями расположены физические клавиши. Они предназначены для критических ситуаций, к примеру, пожара в кабине корабля. Также есть физические кнопки начатьи прерватьдля большинства операций, которые можно вызвать с дисплеев. НАСА разработало специальные требования к самим экранам, и решение SpaceX им соответствует.

Сотрудники SpaceX также объясняли, как они пришли к такому внешне нетрадиционному для аэрокосмической отрасли решению. Проект начинался как прототип для демонстрации образца дизайна для НАСА. Затем прототип с успехом запустили на реальном полётном железе. Разработчикам понравились современные функции, которые присутствовали в браузерном движке, да и разработчиков под него на рынке достаточно.


Диаграмма показывает, как код на JavaScript изолирован от основных систем управления телескопа Джеймс Уэбб

Если отвлечься от опыта SpaceX, то ничего возмутительного в выборе JavaScript для космической области нет. В случае космического телескопа Джеймс Уэбб код на JS будет выполняться прямо на аппарате. Он не будет напрямую контролировать, к примеру, двигатели, он будет лишь вызывать другие программы.

Почему в космосе нет звука?

Потому что ракета летает на Linux.

Софт Falcon 9 регулярно обновляют. Почти каждый запуск ракета летит с незначительно обновлённым кодом. Хотя обновления настолько часты, базу под каждый конкретный запуск специально не адаптируют. Этим занимаются другие отделы SpaceX, которые вносят свои коррективы в полётные конфиги: задают переменные ветра в день запуска, меняют пределы отказоустойчивости и так далее.

Crew Dragon управляется операционной системой Linux с патчем PREEMPT_RT для работы в реальном времени. В SpaceX не используют какой-то стандартный сторонний дистрибутив. В компании собрали собственное ядро и связанные с ним утилиты. За годы разработки ядро почти не модифицировали. Были лишь мелкие изменения и несколько специализированных драйверов для работы с аппаратным обеспечением.

Среди используемых проектов с открытым исходным кодом загрузчик операционной системы Das U-Boot, система сборки дистрибутива Buildroot, стандартная библиотека С++ и библиотека языка C Musl. Но вообще в SpaceX используют не так много написанного вне компании софта и выбирают открытые проекты только с максимально возможным качеством.

В SpaceX тесты пишут на Python, тестируют в LabVIEW, а летают на С++. При написании в С++ используют объектно-ориентированные техники языка, хотя предпочитают сохранять всё как можно более простым.

SpaceX на уровне кода закладывает возможность нормальной работы с потерей маршевых или маневровых двигателей с компенсацией алгоритмом. В конечные автоматы заложены всевозможные аварийные ситуации. К примеру, в конечный автомат корабля Дрэгон заложен автономный переход от сближения со станцией к уходу, если наблюдаются некоторые отказы.

Сотрудники SpaceX говорят, что в Dragon нет ИИ (вероятно, подразумеваются нейросетевые алгоритмы), хотя какое-то машинное зрение для навигации используется. Разработчики пояснили, что не исключают использование программ с машинным обучением когда-нибудь в будущем.

Starlink

Проект спутникового Интернета Starlink это ещё больше компьютеров. В каждом запуске ракета Falcon 9 выводит на орбиту 60 спутников, которые содержат более 4 тысяч компьютеров на Linux. SpaceX вывела на околоземную орбиту десятки тысяч нод на Linux и более тысячи микроконтроллеров.


Анимация показывает, как раскрывается солнечная панель спутника

Полгода назад Starlink генерировал около 5 ТБ телеметрии в сутки, и группировка стала лишь крупнее. Растёт число спутников, идёт работа над уменьшением объёма пересылаемых данных. Чтобы снизить объём данных, которые хранятся на борту и пересылаются на Землю, часть проблем диагностируются на самом устройстве.

Каждый из спутников Starlink снабжён двигателем на эффекте Холла. За счёт него спутник занимает нужную позицию в рое и уходит от столкновения с космическим мусором. Но эти манёвры ещё нужно правильно выполнить, а отдел управления у крупнейшей группировки спутников крошечный.

Поэтому программисты озадачились тем, как избегать столкновений и управлять положением спутников автоматически. В разработанной системе спутникам задают, в какое окно нужно попасть и они самостоятельно отправляются туда. Также несколько раз в сутки спутники получают с Земли данные по сближениям с другими объектами на орбите. Затем спутники самостоятельно вычисляют нужные манёвры и уходят от космического мусора.

Дублирование внутренних систем в случае спутника Starlink выполняется лишь до определённого предела. Из-за общего числа спутников отряд не заметит потери бойца. При отказе одной ноды пользователь на Земле будет подключаться к другому видимому в небе спутнику.

При разработке и тестировании каждый из спутников флотилии Starlink рассматривают не как отдельный спутник, а как сервер в дата-центре. Часть задач критически важна: это управление, обновление программного обеспечения, питание и безопасность. Под эти приложения пишутся отдельные тесты. Многие другие функции допускают более гибкий подход, похожий на разработку веб-сервисов. Поэтому команда разворачивает тестовый билд на небольшое число спутников и сравнивает, как они себя ведут в сравнении с остальной группировкой. Далее при возникновении проблем софт улучшают или откатываются к предыдущей версии.

Этот процесс тестирования нужен для быстрого улучшения системы. Разработчики SpaceX утверждают, что много раз так удавалось найти и исправить отказы, которые на Земле предугадать было невозможно.

Спутник Starlink пропускает через себя пользовательские данные, и компьютерный взлом угрожает прослушкой. В SpaceX предусмотрели этот случай и добавили оконечное шифрование. Также каждый из компонентовспутники, шлюзы и пользовательские терминалыисполняет только подписанный код, поэтому надолго в системе злоумышленнику не прописаться.

Культура разработки

Большая часть инженеров программного обеспечения SpaceX работает в Сиэтле (штат Вашингтон) и Хоторне (Калифорния), часть из офисов в Техасе.


Команда разработчиков ПО SpaceX, 2013 год

Традиционную аэрокосмическую отрасль повергает в шок и скорость разработки, и размер подразделений SpaceX. Как в 2019 году заявил (подкаст, отметка 44:00) главный директор по программному обеспечению ВВС США Николас Чайллан, там, где у государственных агентств потребовалось бы как минимум 2,5 тысячи программистов, SpaceX нанимает 50. При этом команда разработчиков пишет софт на девять разных аппаратов и проверяет код за 24 часа.

SpaceX пытается привлекать разработчиков из игровой индустрии. На GDC 2015 представители компании говорили, что у обладетелей диплома с направлением computer science навыков управления памятью нет. Неожиданно, но для космоса подходят темп работы и методы оптимизации игровых разработчиков. Как говорит Илон Маск, по сравнению с MMO стыковка двух кораблей это элементарно просто.

В рамках AMA на Реддите в 2013 году сотрудники рассказали про структуру отделов разработки программного обспечения.

• В команде полётного программного обеспечения 7 лет назад было 35 человек. Примеры деятельности отдела: программы для ракеты Falcon 9, прототипа для отработки посадки первой ступени Grasshopper и космического корабля Dragon. Команда пишет основные компоненты для этих платформ, тестирует полётный код, разрабатывает программное обеспечение для связи и анализа данных на наземных станциях. Иногда эти сотрудники помогают в местном ЦУПе обеспечивать полёт.
• С продуктами отдела разработки внутреннего корпоративного софта сталкиваются все сотрудники SpaceX. Основное направление внутреннее веб-приложение компании. Через него, к примеру, создают заказы на оборудование, проводят инвентаризацию и отслеживают часы работы. Для всего этого есть сторонние решения, но в SpaceX предпочитают самописную систему. Стэк разработки типичное веб-программирование начала десятых годов: C#, MVC4, EF, SQL; Javascript, Knockout, Handlebars, LESS; REST API, положительно охарактеризованный сотрудниками как super sexy.
• В 2013 году 9 человек писали софт для полётных компьютеров, которые не летают. Чтобы управлять космическим аппаратом из современного ЦУПа, нужно передавать много данных в высокораспределённых системах. Эта команда разработчиков реализует сложные пользовательские интерфейсы со строгими требованиями.
• Команда тестирования авионики работает с конструкторами авиационной электроники и пишет программы для тестирования аппаратного обеспечения. Такой софт обычно работает во время механических тестов в реальной среде. Цель этого отдела автоматизация поиска проблем с оборудованием.

Компания постоянно нанимает разработчиков и инженеров, и далеко не для каждой позиции нужно специальное образование. В офисах SpaceX звучит много разных акцентов, в том числе с пространства бывшего СССР. В компанию могут нанять не только обладателя американского паспорта, хотя ограничения режима контроля экспорта технологий военного назначения существуют. Для найма иностранцу потребуется вид на жительство грин-карта США. На её получение с нуля уйдёт несколько лет. Если гринка уже есть, то вопрос лишь в умении показать уровень квалификации на собеседовании.

Глава и технический директор SpaceX Илон Маск известен своей нелюбовью к 40-часовым рабочим неделям. Он неоднократно заявлял, что работает по 80120 часов в неделю. Каков поп, таков и приход. Частая жалоба на Glassdoor про SpaceX плохой баланс жизни и работы. В анонимных отзывах сотрудники и стажёры говорят про частое выгорание и ставшие нормой 12 часовые смены.

Вечером 2 августа закончился испытательный полет Crew Dragon SpaceX Demo-2. После двух месяцев на МКС астронавты Даг Хёрли и Боб Бенкен приводнились в Мексиканском заливе. И это время астронавты провели не в праздности, а выполняли работы как полноценные участники миссии 63 Международной космической станции, пусть их вахта и оказалась в три раза короче обычной.


Приводнение Crew Dragon, фото NASA/Bill Ingalls

Посадка

Фото NASA/Bill Ingalls

Crew Dragon отстыковался от МКС в 23:35 UTC 1 августа. Затем корабль выполнил четыре плановых маневра увода, чтобы отойти от станции и не пересекаться с ней в ближайшие витки, и фазируюший маневр, длившийся шесть минут и сформировавший орбиту, проходящую над местом посадки в нужное время. 2 августа в 17:51 UTC был сброшен сервисный модуль с солнечными батареями и радиаторами системы обеспечения теплового режима. В 17:56 начался одиннадцатиминутный тормозной импульс. Корабль вошел в атмосферу после 18:11, прошел район управляемого торможения в плотных слоях атмосферы, раскрыл тормозные парашюты в 18:44, основные в 18:45 и совершил успешное приводнение в 18:48 около побережья Мексиканского залива. После чего корабль подняли на борт судна Go Navigator, и после небольшой паузы, вызванной обнаружением токсичных компонентов топлива снаружи корабля, открыли люк и эвакуировали астронавтов.


Фото NASA/Bill Ingalls

Четыре выхода в открытый космос

Астронавт Боб Бенкен на ВКД, фото NASA

За два месяца экипаж Crew Dragon принял участие в четырех выходах в открытый космос. Во всех случаях внекорабельную деятельность осуществляли Боб Бенкен и Крис Кэссиди, прилетевший на МКС на Союзе МС-16 9 апреля. Три из четырех ВКД были связаны с завершением более чем трехлетней кампании по замене аккумуляторов станции со старых никель-водородных на новые литий-ионные две старые батареи меняются на одну новую с адаптером. 26 июня за шесть часов и семь минут Боб и Крис сняли пять из шести никель-водородных батарей на первой шине ферменной конструкции S6 правого борта и установили две из трех литий-ионных батарей с адаптерами. Первого июля, во время второго выхода в открытый космос, закончили работы на первой шине, сняв последнюю старую батарею и установив новую. Также провели подготовительную работу по замене батарей второй шины ослабили крепления старых батарей. ВКД заняла шесть часов и одну минуту. И 16 июля работы были закончены на второй шине сняли шесть старых батарей и заменили на три новых с адаптерами. В общем, за три с половиной года 48 старых батарей заменили на 24 новых. Но это еще не все в апреле 2019 вышла из строя одна из новых батарей, временно вернули две старые, и сейчас на ферменной конструкции ждет своей очереди батарея на замену, привезенная в январе этого года.

Четвертый выход в открытый космос занял шесть с половиной часов. Бенкен и Кэссиди установили контейнер с двумя наружными датчиками утечки аммиака для канадского робота Декстр (двурукий робот, расширение манипулятора Canadarm2). Аммиак используется в системе охлаждения американского сегмента и, например, в 2013 году экипаж обнаружил утечку по улетающим от станции снежинкам. Также сняли нижние крепления солнечных панелей ближней ферменной конструкции левого борта они использовались на земле при подготовке к полету и уже давно не нужны. Модуль МКС Tranquility подготовили для установки шлюза коммерческих нагрузок, который привезут позже. Шлюз позволит выставлять в космос коммерческие или государственные эксперименты. Ну и, по мелочи, уложили кабели локальной сети станции и сняли фильтр на внешней камере. Также в результате Боб и Крис стали третьим и четвертым американскими астронавтами, записавшими на свой счет 10 выходов в открытый космос.

Наука

Международная космическая станция интересное место. Например, здесь можно давить фруктовый пунш во имя науки.



И это не игра с едой, а потенциально очень полезный эксперимент по наполнению капиллярных пенных структур (Capillary Structures Infill). Дело в том, что в невесомости не так-то просто разделить жидкость и газ, сейчас для этого используются вращающиеся или движущиеся конструкции. И то, что Даг Хёрли успешно выдавил питьевой пакет равномерными усилиями примерно за пятнадцать секунд в тестовую пенную форму, в будущем может привести к более легким и надежным системам жизнеобеспечения, где капиллярные структуры будут, например, отделять влагу из выдыхаемого воздуха или даже использоваться в системах поглощения углекислоты.


Фото NASA

Боб и Даг также активно пускали пузыри в установке электролиза, меняя тестовые образцы и фиксируя результаты. При всей кажущейся простоте этот эксперимент может привести, например, к созданию более эффективных пластырей для доставки лекарств через кожу.


Фото NASA

Был на станции и, если так можно выразиться, обратный эксперимент в специальной перчаточной камере Microgravity Science Glovebox изучалось формирование капель в невесомости от душевой насадки Delta Faucets H2Okinetic. Сейчас, для экономии воды, в конструкциях душевых насадок часто снижают поток воды. Но люди замечают, что новые насадки работают, как им кажется, хуже, и принимают душ дольше, сводя идею экономии на нет. До сих пор изучены не все эффекты от гравитации на формирование капель воды, так что этот эксперимент может привести к созданию более экологичных душевых.



Конечно, астронавты выполняли работы по техническому обслуживанию, например, пришлось временно снять станционную оранжерею Advanced Plant Habitat Facility, чтобы добраться до того, что находится за ней. Также установили в модуль Columbus новый шкаф для экспериментов European Drawer Rack Mark 2, доставленный недавней миссией грузового корабля HTV. Ну и, безусловно, участвовали в ведущемся постоянно эксперименте по наблюдению Земли в результате получаются не только очень красивые, но и полезные для науки, несмотря на всё изобилие метеорологических спутников, фотографии.

Вчера, во время трансляции посадки американского космического корабля Crew Dragon, многие обратили внимание на заминку, которая возникла перед открытием бокового люка. Газоанализатор показал превышение концентрации тетраоксида азота токсичного топливного компонента двигателей корабля. Астронавтам пришлось полчаса ждать чтобы химия выветрилась, а команда спасателей это время провела в противогазах.

Некоторые российские комментаторы поспешили сообщить, что корабль опасен для людей, а всему виной Илон Маск, одержимый идеей сажать корабли на ракетных двигателях вместо парашютов. Планы ракетодинамической посадки у SpaceX действительно были, но от них отказались несколько лет назад по настоянию заказчика NASA. Корабль будут сажать по старинке на воду, как возвращали Mercury, Gemini и Apollo полвека назад. Конкуренты же SpaceX из компании Boeing решили проблему иначе сделали надувные подушки, как у десантной техники, и планируют сухопутные приземления.

Однако мощные двигатели Super Draco, которые SpaceX планировала использовать для посадки, в корабле всё же оставили и теперь они там на всякий случай как двигатели системы аварийного спасения.



Предполагается их использовать только в случае аварии ракеты, в нормальном же полете они не участвуют. Штатная система ориентации и коррекции орбиты использует малые двигатели Draco, которые имеют независимую топливную систему. Так первый испытательный беспилотный полет Crew Dragon в 2019 году прошел успешно, но в послеполетных испытаниях включение Super Draco привело к уничтожению корабля на стенде.



Причина аварии оказалась в клапанах между гелиевыми баками наддува и топливными баками Super Draco. На следующем корабле опасные клапаны заменили на одноразовые разрушаемые мембраны, и отправили людей в космос. При возвращении снова возникли проблемы с топливом, но на этот раз снаружи корабля. На трансляции посадки можно увидеть этот момент на 7:03:56: специалист подносит газоанализатор к замку бокового люка корабля, и тут же дает команду отойти от корпуса:



Достаточно быстро выяснилось, что газоанализатор показал присутствие тетраоксида азота окислителя, который используется в двигателях ориентации Draco и двигателях системы аварийного спасения Super Draco. После получасового ожидания люк всё же открыли и астронавтов успешно извлекли из корабля. Экспедиция завершилась, а ситуацию прокомментировали представители SpaceX: Да, нашлись пары NTO, в следующий раз будем лучше проветривать двигательную систему, а вообще ветра нет, волнения на море нет, мы такое не ожидали.

Попробуем разобраться насколько серьезна эта проблема, почему она возникла и причем тут вода и ветер.

Идея использовать ядовитое топливо на пилотируемых космических кораблях кажется не самой удачной, но это не выдумка хипстера Маска. У конструкторов кораблей в принципе выбор не большой: топливо в полете должно храниться недели и месяцы, поэтому криогенные кислород или водород не годятся. Ионные или плазменные двигатели на пилотируемых кораблях использовать нельзя из-за слишком малой тяги. Есть еще перекись водорода, но и она в высоких концентрациях токсична, а эффективность как топлива хуже в два раза. Поэтому остается летать на вонючке, она еще и самовоспламеняется, что упрощает конструкцию двигателя. На ней в космосе летают практически все пилотируемые космические корабли за последние полвека, включая Space Shuttle и Международную космическую станцию. Исключение только у Бурана, но там применялась сложная система хранения кислорода.

Во время использования ракетных двигателей в вакууме далеко не всё топливо стремительно улетает от корабля. Часть разлетается с малой скоростью или оседает вокруг двигателя. Вот как выглядит процесс маневрирования российского корабля Союз при стыковке:



А служебный модуль МКС Звезда за двадцать лет покрылся заметными ядовитыми коричневыми пятнами вокруг двигателей коррекции. В следующий раз, когда увидите наших космонавтов карабкающихся по корпусу станции, вспоминайте эти пятна. Не удивительно, что перчатки там расходный материал.



Значит топливо и на Союзах и на Crew Dragon одинаково токсичное, однако газоанализаторы на посадке наших кораблей не требуются, и тому есть причины. Во-первых, российские корабли в космосе снаружи покрыты экранно-вакуумной теплоизоляций, которая защищает корабль от перегрева на солнечном свету или от переохлаждения в тени. Компоненты топлива оседают на этой оболочке, которую срывает воздушным потоком во время посадки.



Во-вторых, в Союзах обитаемое пространство (бытовой отсек и спускаемый аппарат) физически отделено от служебного (приборно-агрегатного) отсека, на котором размещаются двигатели и баки с токсичным топливом.



Подобная конструкция также идет с первых кораблей, и сохраняется на большинстве современных и будущих: Союз, китайский ПТК НП, Starliner, Orion, Федерация/Орел



Все новые корабли предполагают многоразовое использование спускаемого аппарата, но служебные отсеки у них одноразовые и сбрасываются перед входом в атмосферу. Crew Dragon также состоит из двух частей, но в его случае вторую часть, с модными крылышками, целесообразнее называть грузовым отсеком или вспомогательным, а не служебным.



Большая часть служебных систем Crew Dragon, включая двигатели ориентации и баки с топливом, включены в возвращаемый корпус, хотя и никак не сообщаются с обитаемым пространством.



На спускаемых аппаратах Союзов тоже есть небольшие двигатели, для управляемого спуска в атмосфере, но там уже перекись водорода, которая не представляет опасности в малых концентрациях. Перед приземлением у наших кораблей срабатывают твердотопливные двигатели мягкой посадки, которые также не дают токсичных осадков.



Crew Dragon использует токсичное топливо не только на орбите, но и во время управляемого снижения в атмосфере. Внешней экранно-вакуумной теплоизоляции у него нет, а для отражения солнечного света достаточно белой краски. Всё это способствует тому, что остатки топлива могут оказаться на корпусе и после посадки. Зато садится он на воду, и в сочетании с атмосферой это должно помогать в очищении корабля до безопасного уровня. В NASA не возражали против такого технического решения, видимо, потому что подобная практика была и раньше, например, во время программы Apollo. Командные модули Apollo также оборудовались двигателями ориентации на токсичном топливе, экранно-вакуумная теплоизоляция наклеивалась на корпус и частично оставалась после посадки на воду.



Но между посадкой Apollo и Crew Dragon можно заметить разницу. Двигатели ориентации Apollo располагались в нижней части модуля, которая заливалась водой в ходе приводнения. Crew Dragon же имеет ватер-линию ниже блока двигателей ориентации. Кроме морских волн, в очистке корпуса остается полагаться только на атмосферное воздействие, и, судя по всему, оно неплохо справляется с внешней поверхностью. Но вот с механизмом замка уже не вышло.



Посмотрим на то место, где располагается замок бокового люка Crew Dragon, где обнаружилось загрязнение тетраоксидом азота.



Видим, что один из двигателей Draco смотрит почти прямо на замок, под заметным углом к поверхности. Включения этого двигателя могли доставить топливные компоненты в механизм замка, где они и остались в следовых количествах. Вероятно, в будущем конструкцию заглушки замка изменят или в регламент обслуживания добавят дополнительную продувку этого элемента сжатым воздухом.

Осталось разобраться почему такая проблема могла возникнуть.

Все вышеперечисленные технические решения Crew Dragon:
Система аварийного спасения внутри спускаемого аппарата;
Отсутствие внешней экранно-вакуумной теплоизоляции;
Служебные системы внутри спускаемого аппарата;
Двигатели ориентации выше ватер-линии
Преследуют одну цель: максимально возможное снижение стоимости многократного использования космического корабля. Стремление Илона Маска снизить стоимость доступа в космос, как для спутников, так и для людей, намного важнее красивой ракетной посадки. Эта цель неоднократно декларировалась основателем SpaceX, и практически каждое его решение связано с этим.

Не всегда получается задуманное, например пока ракеты с ножками смогли снизить стоимость запуска спутников в космос только в два раза, хотя Маск надеялся в десять. Crew Dragon пока дороже Союзов, но при достижении определенной частоты полетов, все заложенные конструктивные решения позволят реализовать свой экономический потенциал.

Как часто бывает в инженерном деле, чтобы выиграть в одном приходится чем-то пожертвовать в другом. В данном случае десятью минутами на продувку замка двери в космос.

Сейчас Crew Dragon с первой штатной миссией летит к МКС, но на момент написания этого материала вероятность подходящей погоды для запуска составляла 50%. В любом случае будет небезынтересно разобраться в условиях отмены пуска и в том, на какие этапы делится участок выведения с точки зрения работы системы аварийного спасения.


Вывоз ракеты-носителя с кораблем на старт, фото NASA

Что отменяет пуск

Первая попытка запуска миссии Crew-1 14 ноября была перенесена на сутки из-за погодных условий прибрежного ветра и тропического шторма Эта, задержавшего выход из порта и прибытие в расчетную точку баржи для посадки первой ступени. А список погодных условий, из-за которых отменяется пуск ракеты-носителя Falcon 9 с пилотируемым кораблем Crew Dragon, представлен на сайте NASA. Факторов довольно много:


Ракета и корабль перед пуском 30 мая, фото NASA/Bill Ingalls

Сильный ветер, превышающий 48 км/ч на отметке (высоте) 50 метров стартового комплекса, или высотный сдвиг ветра (явление, когда с небольшим увеличением высоты ветер заметно меняет силу или направление) означают отмену пуска.
Молния, гроза или грозовое облако также недопустимы. Замеченная в радиусе 16 км молния откладывает пуск минимум на 30 минут, за исключением специальных условий. Тот же радиус 16 км (т.е. 10 миль) применяется к грозовым облакам с характерной наковальней. Также недопустимы кучевые облака, сформировавшиеся в результате столба дыма, или соединенные с землей через такой столб.
Условия обледенения также отменяют пуск трасса ракеты не может пройти через облако толщиной 1,3 км, которое достигает высоты, где температура ниже нуля, или, без специальных условий, вообще проходить рядом с облаком, верхняя часть которого находится в зоне отрицательных температур.


Электростатический флюксметр

На фото электростатический флюксметр, специальное устройство, измеряющее напряженность электростатического поля, или, говоря простыми словами, насколько наэлектризована атмосфера. На мысе Канаверал стоит три десятка таких устройств, и одного, показывающего значение больше 1500 вольт на метр достаточно, чтобы отменить пуск. 1000 вольт на метр допустимы при наличии специфических условий.

Также за погодой наблюдают в примерно 50 участках по трассе полета недопустимые значения ветра, волн, осадков в точке, которая может стать местом аварийной посадки, также отменяют пуск.

Стоит отметить, что эти ограничения формировались на протяжении всей истории американской космонавтики и не связаны с конкретными кораблем или ракетой. Например, до Аполлона-12, в который ударила молния, единственным запретом, касающимся опасности атмосферных разрядов, был запрет на пролет непосредственно сквозь грозовое облако. Также ограничения пришлось ужесточить после того, как в 1987 году удар молнии привел к ошибочной команде на поворот и разрушению в воздухе ракеты-носителя Атлас-Центавр. А эксперименты с флюксметрами в 1990-1992 позволили, наоборот, несколько ослабить ограничения, разрешив пролет через облака, верхняя часть которых имеет температуру -5С (до этого было +5С).

Аварийные режимы

Испытания системы спасения в полете, фото SpaceX

Аварийные режимы спейс шаттла имели свои названия RTLS (возвращение на старт), TAL (посадка на другой стороне Атлантического океана), ATO (аварийный режим с выходом на орбиту). У Crew Dragon используется нумерация в стиле Аполлонов от 1a до 2e.

1a начинается в момент старта (0:00). В случае аварии ракеты-носителя корабль отделится от нее и уйдет в сторону на восьми двигателях SuperDraco. Затем двигатели ориентации развернут его дном по направлению полета, и парашютная система раскроется сразу или, если корабль уже успел подняться высоко, в процессе снижения на стандартной высоте. Корабль должен будет приводниться на линии, проходящей от штата Флорида до штата Северная Каролина.
1b активируется в 01:15 и отличается только районом приводнения у берега штата Вирджиния.
Самый длинный режим 2a включается в 02:36, в районе отделения первой ступени, и длится до начала девятой минуты полета. В этом случае корабль включит двигатели, чтобы прицелиться в конкретную точку аварийной посадки в северной Атлантике.
2b должен включиться в 08:05, и в этом случае корабль развернется и притормозит, чтобы приводниться в точке аварийной посадки недалеко от канадской провинции Новая Шотландия.
Очередь 2c наступит в 08:29, и корабль будет разгоняться, чтобы достигнуть района посадки недалеко от Ирландии.
Для 2d, начинающегося в 08:39 район посадки будет тем же, но кораблю придется тормозить.
И самый последний и самый короткий режим 2e, который активен последние две секунды полета 08:49-08:50, является аналогом ATO у шаттла корабль довыведется своими двигателями на орбиту и продолжит полет.

Общая информация

Миссия SpaceX Crew-1, она же USCV-1 или просто Crew-1 первый штатный, не испытательный, полет корабля Crew Dragon к Международной космической станции. Четыре астронавта, Майкл Хопкинс, Виктор Гловер, Соити Ногути (JAXA) и Шеннон Уокер должны присоединиться к уже работающим на МКС росиянам Сергею Рыжикову, Сергею Кудь-Сверчкову и американке Кэтлин Рубинс и проработать на станции обычную полугодовую вахту.

Этапы типового полета корабля Crew Dragon к МКС можно посмотреть по реконструкции в симуляторе Orbiter на примере испытательной миссии DM-2.