Приложение Ф: личные наблюдения по поводу надежности шаттла (1)

Похожая ситуация просматривается и в истории аттестации КТНВД, но ее детали мы приводить не будем.

В итоге, очевидно, что смотры готовности полета и правила аттестации выказывают снижение критериев в отношении некоторых проблем основных двигателей космического шаттла, очень похожее на снижение, наблюдавшееся в отношении критериев для твердотопливных ракета-носителей.

Авиационная электроника

Под «авиационной электроникой» подразумевается как компьютерная система орбитальной ступени, так и ее входные сенсоры и выходные исполнительные органы. Сначала мы ограничимся исключительно компьютерами и не станем затрагивать надежность входной информации, поступающей от сенсоров температуры, давления и т.п., а также тот факт, точно ли исполнительные органы запуска ракет, механического управления, дисплеев астронавтов и т.п. следуют командам компьютера.

Вычислительный комплекс очень сложен и содержит более 250000 строк программы. Помимо всего прочего, он отвечает за полный автоматический подъем шаттла на орбиту и за его возвращение в атмосферу до момента выбора кнопки, которая определяет желаемое место посадки. Автоматизировать можно было бы всю посадку. (Сигнал, по которому опускаются шасси, был намеренно выведен из-под контроля компьютера, его должен подавать пилот, явно по причинам безопасности.) Во время орбитального полета вычислительная система используется для контроля полезной нагрузки, выведения нужной информации на дисплеи астронавтов и обмена информацией с Землей. Совершенно очевидно, что безопасность полета требует гарантированной точности этой сложной системы программного и аппаратного обеспечения компьютеров.

Короче говоря, надежность аппаратного обеспечения гарантируется наличием четырех, в сущности, независимых идентичных компьютерных систем. Везде, где это возможно, каждый сенсор также имеет несколько копий — обычно четыре, — и каждая копия передает информацию во все четыре серии компьютеров. Если входные сигналы сенсоров не согласуются между собой, то в качестве действующего входного сигнала используется либо определенная средняя величина, либо отбор по принципу большинства, в зависимости от обстоятельств. Поскольку каждый компьютер видит все копии сенсоров, все входные данные и все алгоритмы, согласно которым работает каждый из четырех компьютеров, одинаковы, то результаты, которые получает каждый компьютер, должны быть идентичны на каждом этапе его работы. Время от времени их сравнивают, но, поскольку компьютеры работают с несколько разными скоростями, подключается система остановок и ожиданий в течение определенного времени, после чего и проводится сравнение. Если один из компьютеров выдает не согласующиеся с остальными данные или вообще запаздывает с выдачей ответа, ответ трех других компьютеров, в случае их согласия, считается правильным, и компьютер, который ошибся, изолируется от остальной системы. Теперь, если из строя выйдет другой компьютер, по суждению двух оставшихся, то и он исключается из системы, а полет прекращается: осуществляется возвращение на место приземления, которое происходит под управлением двух оставшихся компьютеров. Совершенно ясно, что это система с резервированием, так как выход из строя одного компьютера не оказывает никакого влияния на выполнение задания. И наконец, в качестве дополнительной гарантии безопасности, существует пятый независимый компьютер, в памяти которого хранятся только программы подъема и спуска и который способен управлять спуском, даже если из строя выйдут более, чем два основных компьютера.

В памяти основных компьютеров не хватает места для всех программ подъема, спуска и полезной нагрузки на весь полет, поэтому астронавты четыре раза загружают память с кассет.

Из-за огромных усилий, необходимых для замены программного обеспечения для такой сложной системы и проверки новой системы, аппаратное обеспечение не менялось с момента создания системы транспортировки шаттла, что произошло 15 лет назад. Существующее аппаратное обеспечение устарело — например, память старого типа на ферритовых сердечниках. Становится все сложнее и сложнее найти производителей, которые могли бы поставить такие старые компьютеры, которые были бы одновременно надежными и достаточно высококачественными. Современные компьютеры более надежны и работают гораздо быстрее. Это упрощает схемы и позволяет выполнить во много раз больший объем работы. Современные компьютеры не потребовали бы столь многочисленной загрузки с кассет, так как обладают гораздо большим объемом памяти. 42 Примечание Лейтона: вариант, напечатанный в качестве Приложения Ф в отчете комиссии, судя по всему, не был отредактирован, поэтому я сам немного его откорректировал.
[1] [2] [3] [4]