Авария «Союза», в которой система спасения сохранила две жизни

Ракета потеряла управление через две минуты после старта. Экипаж выжил благодаря защите, предусмотренной для ситуации, когда всё остальное уже отказало

Две минуты до катастрофы

Байконур, Казахстан. 11 октября 2018 года, 14:40 по местному времени.

Ракета-носитель «Союз-ФГ» отрывается от стартового стола. На борту корабля «Союз МС-10» находятся два человека: командир Алексей Овчинин, уже имевший опыт космического полёта, и американец Ник Хейг, для которого это должно было стать первым посещением орбитальной станции.

Впереди — примерно шесть часов до стыковки с Международной космической станцией (МКС), а затем месяцы научной работы.

Первые две минуты проходят нормально.

Четыре боковых ускорителя ракеты заканчивают работу. Согласно программе полёта, они должны отделиться от центрального блока и отойти в стороны.

Но один из ускорителей отделяется неправильно.

Он ударяет по центральному блоку ракеты, повреждая топливный бак. Ракета теряет устойчивость.

Находящийся внутри корабля экипаж ощущает сильную боковую тряску. Загорается сигнал аварии носителя.

К этому моменту корабль находится примерно в 50 километрах над Землёй и движется с огромной скоростью.

До орбиты ещё далеко. Вернуться на стартовую площадку невозможно. Продолжать полёт — тоже.

Остаётся единственный предусмотренный конструкцией вариант: отделить пилотируемый корабль от аварийной ракеты.

Спасательная башня уже была сброшена

Здесь начинается самая интересная часть истории.

На фотографиях пилотируемых ракет «Союз» хорошо заметна длинная конструкция на самой вершине. Это двигательная установка системы аварийного спасения.

При серьёзной аварии во время старта её ракетные двигатели способны практически мгновенно увести корабль с людьми от повреждённого носителя.

Но 11 октября 2018 года воспользоваться этой установкой было уже невозможно.

Примерно на 114-й секунде полёта спасательная башня была штатно сброшена. Так и предусматривала программа: на следующем участке подъёма защиту экипажа должны были обеспечивать другие элементы системы.

Авария произошла спустя несколько секунд.

Поэтому спасение Овчинина и Хейга обеспечила не знаменитая башня, а двигатели, установленные на головном обтекателе ракеты.

После того как носитель потерял управление, автоматика активировала аварийное отделение.

Четыре небольших твердотопливных двигателя сработали последовательно, отводя корабль в сторону от повреждённой ракеты.

По воспоминаниям Ника Хейга, которыми он поделился на Международном астронавтическом конгрессе в 2021 году, критическая последовательность отделения и увода корабля заняла доли секунды.

Это была принципиально важная особенность конструкции.

Защита экипажа не зависела от одного устройства, работавшего только на определённом этапе полёта. Система предусматривала разные способы спасения в зависимости от того, когда именно произойдёт авария.

Один комплект спасательных двигателей уже выполнил свою штатную задачу и был сброшен. Другой оставался готов к чрезвычайной ситуации.

Именно он сохранил экипажу жизнь.

Семикратная перегрузка на пути домой

После отделения от ракеты корабль ещё некоторое время продолжал движение вверх.

По данным, которые впоследствии приводил Ник Хейг, максимальная высота траектории достигла примерно 92 километров.

Затем началось возвращение на Землю.

Обычный спуск корабля «Союз» с орбиты предусматривает использование аэродинамических сил для управления траекторией и ограничения нагрузок.

Однако при аварийном возвращении экипаж перешёл на баллистический спуск.

Баллистическая траектория означает, что спускаемый аппарат движется преимущественно под действием силы тяжести и аэродинамического сопротивления, практически без управления дальностью и крутизной снижения.

Такой спуск надёжен и относительно прост, но может сопровождаться значительно более высокими перегрузками.

Овчинин и Хейг испытали ускорение около 6,7 g.

Это означает, что действующая на человека инерционная нагрузка достигала примерно 6,7 его обычного веса.

Для человека массой 80 килограммов такая перегрузка соответствует силовой нагрузке, сопоставимой с весом более 530 килограммов в земных условиях.

Разумеется, это не означает, что на астронавта буквально положили полтонны груза. Но сравнение помогает представить величину сил, с которыми должны справляться тело, кресло и система фиксации.

Почему организм способен выдержать такие нагрузки

Человеческое тело относительно хорошо переносит кратковременные высокие перегрузки при правильном положении и надёжной фиксации.

Однако имеют значение не только величина ускорения, но и его продолжительность, направление относительно тела и состояние человека.

Если ускорение направлено от головы к ногам, возникает опасность перераспределения крови и временного ухудшения кровоснабжения головного мозга. Это может привести к потере зрения или сознания.

При перегрузках, действующих преимущественно в направлении от груди к спине, организм обычно способен выдерживать более высокие значения, особенно если тело поддерживается специально сконструированным креслом.

Поэтому космические кресла не просто обеспечивают комфорт.

Они распределяют механические нагрузки, поддерживают позвоночник, ограничивают опасные перемещения тела и помогают уменьшить риск травм.

Не менее важна предварительная подготовка.

Космонавты и астронавты проходят тренировки на центрифугах, знакомятся с ощущениями при высоких ускорениях и отрабатывают действия в условиях физического стресса.

Но даже подготовленный человек не становится невосприимчивым к перегрузкам.

В данном случае нагрузка оказалась высокой, однако находилась в пределах предусмотренных тренировками условий.

Позднее Хейг рассказывал, что при обычном возвращении с орбиты перегрузки могут составлять около 4–5 g, а испытанные во время аварии значения были выше, но переносились достаточно хорошо.

После раскрытия парашюта спускаемый аппарат совершил посадку в казахстанской степи, примерно в 400 километрах от Байконура.

Поисково-спасательные группы быстро добрались до экипажа.

Овчинин и Хейг самостоятельно покинули капсулу. Серьёзных повреждений здоровья у них не обнаружили.

Причиной аварии оказался повреждённый датчик

1 ноября 2018 года российская государственная комиссия представила результаты расследования.

Причина была установлена достаточно точно.

При сборке ракеты на Байконуре повредили шток контактного датчика, участвовавшего в механизме отделения одного из боковых ускорителей.

Согласно опубликованным результатам расследования, шток оказался согнут примерно на 6 градусов 45 минут.

Из-за этой деформации не сработал предусмотренный механизм отвода верхней части бокового блока.

Ускоритель не отошёл от центральной ступени так, как должен был.

Последовавший удар повредил топливный бак и привёл к потере управления ракетой.

Важна природа обнаруженного дефекта.

Речь шла не о принципиальной ошибке в конструкции корабля и не об отказе сложного бортового компьютера.

Система, созданная для вывода людей в космос, потерпела аварию из-за механического повреждения относительно небольшого элемента при сборке.

При этом другая система той же ракеты — аварийного спасения экипажа — выполнила свою функцию.

Почему экипаж продолжил работать после аварии

Овчинин и Хейг не управляли спасательными двигателями вручную.

На критическом этапе решающую роль сыграла автоматика, которая обнаружила недопустимое отклонение от нормального режима и инициировала аварийное отделение.

Но на этом участие людей не закончилось.

Экипаж должен был контролировать состояние корабля, выполнять аварийные процедуры, поддерживать связь и готовиться к посадке вне обычного района приземления.

Хейг впоследствии объяснял, что во время аварии начал выполнять действия, многократно отработанные на тренажёрах.

Овчинин, как более опытный участник экипажа, помогал ориентироваться в происходящем.

На встрече с участниками Международного астронавтического конгресса в 2021 году российский космонавт рассказывал, что они не испытывали страха, поскольку понимали происходящее и знали последовательность необходимых действий.

В этом заключалась ещё одна составляющая безопасности.

Техническая система должна самостоятельно реагировать на события, скорость которых превышает возможности человека.

Но после срабатывания автоматики людям необходимы ясные процедуры, позволяющие довести спасательную операцию до конца.

Без подготовки даже исправная аварийная система не гарантирует благополучного завершения всех последующих этапов.

Полёт отменили, но в космос они всё-таки вернулись

После аварии пилотируемые запуски «Союзов» временно приостановили.

Необходимо было установить причину отказа, проверить другие ракеты и убедиться, что аналогичный дефект не повторится.

Для Международной космической станции это создало серьёзную организационную проблему.

В тот период именно российские корабли «Союз» обеспечивали регулярную доставку экипажей на МКС.

Невозможность продолжать пилотируемые запуски ставила под вопрос график смены экспедиций.

После расследования и дополнительных проверок полёты возобновились.

3 декабря 2018 года корабль «Союз МС-11» успешно доставил на станцию следующий экипаж.

А 14 марта 2019 года Ник Хейг и Алексей Овчинин снова стартовали с Байконура — на этот раз вместе с американской астронавткой Кристиной Кох.

Корабль «Союз МС-12» благополучно достиг Международной космической станции.

Таким образом, оба участника аварийного полёта вернулись к выполнению космической программы спустя пять месяцев.

Почему эта история важна сегодня

Авария «Союза МС-10» показывает важное различие между надёжностью оборудования и безопасностью всей системы.

Надёжность означает, что техника с высокой вероятностью будет выполнять предусмотренные функции.

Безопасность требует большего: даже когда отдельные компоненты отказывают, последствия не должны автоматически становиться катастрофическими.

Космическая отрасль решает эту задачу с помощью резервирования, независимых защитных механизмов, многочисленных испытаний и заранее определённых действий при отказах.

Аналогичная логика применяется в медицине и фармацевтическом производстве, хотя характер рисков и конкретные требования здесь совершенно другие.

Например, на производстве стерильных лекарственных препаратов недостаточно просто рассчитывать, что оборудование всегда будет работать правильно, а персонал никогда не допустит ошибку.

Необходимы подтверждённая пригодность технологических процессов, контроль критических параметров, мониторинг производственной среды, процедуры реагирования на отклонения и независимая оценка качества.

Если один защитный механизм не предотвратил ошибку, другие должны ограничить её последствия до того, как потенциально опасная продукция достигнет пациента.

Сходный принцип действует в клинической практике.

При использовании оборудования для жизнеобеспечения важно предусматривать не только его нормальную работу, но и отключение электропитания, отказ датчика, ошибочное действие оператора или нарушение подачи медицинских газов.

Однако наличие резервной системы само по себе ещё не доказывает её эффективности.

Необходимо понимать, в каких ситуациях она сработает, какие новые риски может создать и насколько персонал подготовлен к её использованию.

История «Союза» показывает ещё один аспект управления безопасностью — необходимость расследовать даже те происшествия, которые закончились без человеческих жертв.

Успешное спасение экипажа не отменило необходимости выяснить, почему произошла авария ракеты.

Результатом стали установление конкретной причины, дополнительные проверки других носителей и корректировка подготовки к следующим запускам.

В фармацевтической отрасли сходную задачу выполняют расследования отклонений и система корректирующих и предупреждающих действий — CAPA (Corrective and Preventive Actions).

Их смысл состоит не только в исправлении обнаруженной ошибки, но и в устранении причин, которые могут привести к её повторению.

Существует и ещё одна параллель.

Обычно эффективность системы безопасности остаётся незаметной.

Если аварийная ситуация не возникает, спасательные механизмы могут годами не использоваться по прямому назначению.

Это создаёт соблазн воспринимать расходы на резервирование, проверки и подготовку персонала как избыточные.

Но именно в момент тяжёлого отказа становится понятно, почему эти расходы были необходимы.