Warum wurde der SpaceX-Abbruchtest nicht durch einen echten Booster-Ausfall initiiert?

Heute (2020-01-19) hatte SpaceX einen erfolgreichen Flugabbruchtest. Soweit ich verstehen kann, zündete Crew Dragon in einer bestimmten Höhe seine Triebwerke und entkam der Rakete.

Dieser Test sieht aus wie ein sehr sicherer Abbruchtest, Dragon befahl Falcon, herunterzufahren, und zündete erst dann die Super Draco-Triebwerke; Wenn die Booster-Triebwerke noch feuerten, würde es mit Dragon kollidieren? (dh die Beschleunigung des Boosters ohne Drachen wäre mehr als die Beschleunigung des Drachens durch seine Super Draco-Motoren?)

Meine Frage ist, warum dieser Test keine tatsächlichen Fehler verwendet hat, um diesen Abbruch auszulösen? Als ob die Booster-Stufe explodiert und von Crew Dragon erkannt wird und das Fluchtsystem auslöst. Dadurch kann auch die tatsächliche Fehlererkennung validiert werden.

Denn das wird ein anderer Test sein. Diesmal wollen sie nur wissen, ob ihr Fluchtsystem unter relativ idealen Bedingungen funktionieren würde. In der Praxis wird meiner Meinung nach nicht erwartet, dass das Fluchtsystem einer Explosion erfolgreich entkommt. Wenn ja, dann sollte es so getestet werden. Aber mit dem aktuellen Design, wenn sie nicht ein paar Sekunden vor der Explosion entkommen sind, sind sie absichtlich am Arsch. Obwohl dieser Test einige Voraussetzungen hat, ist er eigentlich gar nicht so weit von der Realität entfernt.
@ user3528438, Soweit ich weiß, gibt es keinen anderen Test, der nächste wird ein echter Flug sein. Soweit ich sehen kann, wird der Booster abgeschaltet, kurz bevor Super Draco gefeuert hat.
Es gibt einen anerkannten Punkt beim Testen, an dem das Testen finanziell oder physisch undurchführbar wird - sobald Sie anfangen, den Weg des "Was wäre, wenn ..." einzuschlagen, gibt es Tausende von Szenarien, die ihre eigenen individuellen Tests erfordern würden. Was, wenn der Booster explodiert? Was wäre, wenn der Booster plötzlich um einen erheblichen Betrag vom Kurs abgekommen wäre und eine Querbeschleunigung verursacht hätte? Was, wenn etwas im Kofferraum explodiert? Was wäre, wenn beide Schiffe plötzlich die gesamte Stromversorgung verlieren würden? Etc etc etc. Sie müssen akzeptieren, dass ideale Tests manchmal die einzigen Tests sind, die Sie realistischerweise erhalten werden.
Ich würde immer noch gerne wissen, warum sie den Strom zum Booster abgeschaltet haben. Das könnte ein anspruchsvollerer Test sein als mit dem Booster, oder auch nicht. Aber ich denke nicht, dass das separat gefragt werden muss; es könnte Teil einer Antwort auf diese Frage sein.
@Moo, ja, es gibt viele Szenarien, aber das bedeutet nicht, dass das Testen des einfachsten Szenarios die beste Option ist.
@JithinJose werfen Sie einen Blick darauf, wie Evakuierungstests in der zivilen Luftfahrtindustrie durchgeführt werden - in einem Hangar mit Sitzplätzen mit maximaler Kapazität, mit Personen, die ihre Fitness getestet haben, und daher wird jeder vorab überprüft (oft durch einen einfachen Hindernisparcours). Oftmals sind die Slides bereits aufgeblasen, um dort keine Probleme zu haben. Als der A380-Test vor mehr als einem Jahrzehnt aufkam, haben die Leute lange und laut geschrien, dass es zu einfach sei – dass die Bedingungen viel schlimmer hätten sein sollen (und einige Leute sagten sogar, er hätte für einen „realistischen " prüfen...).
@uhoh, möglicherweise weil eine nicht unmittelbare RUD-Stromausfallsituation als das häufigste Szenario angesehen werden könnte, aus dem die Besatzung fliehen muss? Oft kommt das RUD später (siehe das Problem des Sojus-Flugabbruchs, gefolgt von Flucht, gefolgt von dem Problem, das zu RUD eskaliert). Dies würde alles abdecken, von einem Pumpenversagen, einem Versagen der Motoraufhängung, einem ungeplanten Abschalten des Motors, der Unfähigkeit zu stufen usw. usw.
Ein Triebwerksausfall kaskadiert oft bis zur Struktur der Rakete. Aber das kann dauern. Schaut man sich viele Videos von Raketenausfällen an, vergehen oft wenige Sekunden zwischen Fehlfunktion und Knall. Die Kapsel kann einer Schockwelle nicht entkommen, aber sie kann herauskommen, während die Kaskade stattfindet. Dieser Test simuliert sehr häufige Szenarien und einige, in denen sie dem explodierenden Körper entkommen können. Außerdem war die Rakete mit mehr als Mac 2 unterwegs, keine leichte Aufgabe bei dieser Geschwindigkeit.
Die gestellte Frage ist irreführend: "Dragon befiehlt ... Herunterfahren ..." Der Falcon-Booster hat sein eigenes Gehirn und wurde vorprogrammiert, um früh herunterzufahren. Der Drache musste erkennen , dass der Start fehlschlug und sich entscheiden abzubrechen.
@aml: Die Hosts im Webcast erwähnten, dass Dragon die gesamte Sequenz initiiert, einschließlich des Befehls zum Herunterfahren von F9. Es war etwas zweideutig, ob Dragon dann weiterhin den Schubverlust erkennen und die Flucht einleiten würde oder ob dies nur der nächste Schritt ist, der nach dem Abschalten des Boosters geschieht.
" So wie die Booster-Stufe explodiert und von Crew Dragon erkannt wird und das Fluchtsystem auslöst. " Wenn die Booster-Stufe explodiert, während der Crew Dragon in diesem Moment noch angebracht ist , würde der Crew Dragon sicherlich nicht überleben.
@ TylerH CRS7 - sie sagten, die Kapsel hätte geborgen werden können, wenn sie so programmiert worden wäre, dass sie ihre Rutschen benutzt, nachdem der Booster explodierte.
@LorenPechtel Ich bin skeptisch gegenüber dieser Behauptung (und "erholt" ist etwas vage) ohne Beweise (nicht, dass ich jemals ein Ereignis sehen möchte, bei dem wir Beweise bekommen).
@TylerH Ich denke, SpaceX weiß, wovon sie gesprochen haben. Denken Sie daran, dass das FTS eigentlich nur die Seite der Rakete aufreißt, der Sprengstoff wird der Kapsel keinen Schaden zufügen. Wenn sich die Kapsel an diesem Punkt trennt, wird es einen großen Feuerball auf der Rückseite geben, aber ihr Hitzeschild zeigt in diese Richtung, es sollte ihm egal sein.
@LorenPechtel SpaceX weiß vielleicht, was sie berechnet haben, aber sie haben diese Konfiguration nicht getestet, daher können sie es nicht mit Sicherheit sagen, daher meine Skepsis. Wenn sie das testen wollen, um das Ergebnis zu zeigen, würde ich gerne meine Position revidieren.
@TylerH Der Booster explodierte, aber die zweite Stufe war unversehrt. CrewDragon ist sogar noch weiter entfernt. Ich verstehe nicht wirklich, wie der Crew Dragon " sicherlich nicht überleben würde", wenn die zweite Stufe überlebte, und das ist viel näher als der Drache ...
@Bakuriu verlinke bitte auf die Fotos/Videos, die die zweite Stufe "unversehrt" zeigen, nachdem sich die erste Stufe in einen massiven Feuerball verwandelt hat. Ja, das sind Raketen, die massiven G-Kräften und viel Hitze standhalten sollen. Nein, das bedeutet nicht, dass Sie die Rakete in die Luft jagen können und die Kapsel immer noch angebracht ist.
@Moo: Obwohl es tatsächlich "Tausende potenzieller Fehlermodi" geben kann, scheint mir die ultimative Frage zu sein: Wie robust ist die Kapsel? Wenn es hart genug ist, dann decken Sie tatsächlich „Tausende“ von Szenarien genau dort ab, denn am Ende des Tages geht es darum, „was ist die schlimmstmögliche Kraft, die auf die Kapsel ausgeübt wird?“. Je mehr davon es aufnehmen kann, desto mehr Szenarien werden abgedeckt. Ich denke, wenn Sie ein Kapselsystem bauen können, das eine Raketendetonation überstehen kann, dann sind Sie ziemlich gut genug, um gegen so ziemlich alles anzugehen, oder?
In Bezug auf die Nutzlast, die eine Booster-Explosion überlebte, während sie noch befestigt war: Als das Space Shuttle Challenger während des Starts explodierte, lebten höchstwahrscheinlich zumindest einige Besatzungsmitglieder noch, bis die Mannschaftskabine auf dem Wasser aufschlug.

Antworten (4)

Es war ein echter Fehler (wenn auch eher extern als versehentlich ausgelöst), aber nicht der einzige Fehler, der passieren kann. und es ist der schlimmste Fall einer Reihe der wahrscheinlichsten Ausfallszenarien: mehrere Triebwerksausfälle.

Wenn Sie jede erdenkliche Art und Weise testen möchten, wie eine Rakete versagen kann, sehen Sie sich Tausende, wenn nicht Hunderttausende von möglichen Ausfallszenarien an und werden es nie in den Orbit schaffen, also haben sie eines ausgewählt, auf das sie und der Kunde sich einigen konnten, war typisch .

Vielen Dank für Ihre Antwort. Ja, es wird während Max Q durchgeführt, aber Ruhe und Beenden aller Motorabschaltungen ist das Worst-Case-Szenario? Es gewährleistet eine sehr einfache Trennung (fast wie eine Trennung in der 2. Stufe). Aber es ist verständlich, wenn die Idee war, einen typischen Senso zu testen, anstatt den schwierigsten, für den das Fluchtsystem ausgelegt ist.
@JithinJose plötzliches Abschalten des gesamten Schubes ist so ziemlich der schlimmste Fall. Und die Flugbedingungen waren alles andere als perfekt, mit Winden nahe den Grenzen für die Falcon 9. Das einzig Schlimmere wäre so ziemlich ein plötzlicher Schubstoß nach dem Auslösen der Fluchtsequenz, der eine plötzliche schnelle Beschleunigung verursachte, die den Booster direkt in den Weg trieb der austretenden Kapsel. Und der Schub des Fluchtsystems ist darauf ausgelegt, ein solches Szenario zu verhindern, Computersimulationen wurden zweifellos durchgeführt, um dies zu verifizieren.
Blue Origin hat es geschafft, seinen Max Q-Abbruch mit dem Zünden des Booster-Motors zu testen ... youtube.com/watch?v=_zWkvm7HpH8
Die meisten Leute denken vielleicht, dass Raketenexplosionen der schlimmste Fall sind. Das mag stimmen, aber sie passieren fast immer innerhalb von Sekunden nach dem Start, während die Rakete noch relativ langsam fliegt. Wenn Sie Ihr Fluchtsystem bei Max Q testen möchten, wählen Sie das Worst-Case-Szenario, das wahrscheinlich bei Max Q eintritt.
Ich denke, was sie fragen, ist: Warum nicht einfach mitten im Flug den Selbstzerstörungsknopf drücken und sehen, ob die Kapsel die Explosion der Rakete überleben kann / nicht, während sie noch daran befestigt ist (da Sie nicht ahnen können spontane Detonation per Definition) und sich vom Feuerball entfernen, ohne von der Kraft zerbrochen zu werden und ohne dass die Innentemperatur auf Kochniveau ansteigt?
Wie groß ist der Druck bei einer solchen Explosion genau an dieser Stelle der Rakete im Vergleich zu diesem Szenario? Als ob dies ein schlimmerer Fall wäre, wären das tatsächlich weniger extreme Bedingungen (selbst trotz der vermutlich hypersonischen Schockwelle und [ich denke] > 2000 K Feuerball)?
@Turksarama:SpaceX hatte einen Überdruck der zweiten Stufe und explodierte kurz nach Max Q.

Sie scheinen zu glauben, dass sie unter idealen Bedingungen getestet haben. Das ist so weit von der Wahrheit entfernt, wie Sie bekommen können. Der Abbruch geschah im Moment im Flug mit den schlechtesten aerodynamischen Bedingungen (maxQ genannt), wenn der Booster noch tief genug in der Atmosphäre fliegt, um einen signifikanten Luftwiderstand zu haben, aber bereits schnell genug. Wenn Dragon in diesem Moment entkommen kann, kann er in jedem anderen Moment im Flug entkommen.

Ich glaube auch nicht, dass Dragon Falcon befohlen hat, herunterzufahren. Soweit ich weiß, wurde der Befehl zum Abschalten des Motors aus der Ferne vom Kontrollzentrum gesendet. Erst dann erkannte Dragon abnormale Bedingungen und entschied sich für einen eigenen Abbruch - das war ein wichtiger Aspekt des Tests.

Ich stimme zu, dass sie während des Abbruchs Booster-Motoren eingeschaltet haben könnten, aber dort treffen wir auf das, was andere in Kommentaren gesagt haben, es gibt unendlich viele Fehlerszenarien, und sie können nicht alle testen.

Dragon hat das Herunterfahren befohlen. Das wurde in der Pressekonferenz klargestellt.
@Tim: Es gibt zwei verschiedene Motorabschaltungen, eine war Teil des Tests und eine ist Teil einer Abbruchsequenz. Als ersten Schritt eines Abbruchs befiehlt Dragon das Herunterfahren. Dieser spezifische Abbruch wurde durch das Abschalten der Motoren ausgelöst , wenn das Fahrzeug eine bestimmte Geschwindigkeit/Höhe erreichte, sodass sie bereits abgeschaltet waren, als die Abbruchsequenz begann. Es ist möglich, dass sie den Drachen benutzt haben, um die Befehle dafür zu senden.
@ChristopherJamesHuff Interessant, also führt F9 ein normales Herunterfahren durch, was von Dragon erkannt wird, dann befiehlt es F9, wieder herunterzufahren (ich nehme an, vielleicht zur sicheren Trennung), dann feuert Super Draco. Ist es möglich, Referenzdokumente/-videos zu teilen?
@ChristopherJamesHuff Ich bin mir nicht sicher, ob das stimmt - die Draco-Triebwerke, die wir bereits vor dem Flammenausfall von F9 abfeuern. Ist es nur so, dass zwischen dem Shutdown-Befehl und dem Flameout ein paar Sekunden vergehen?
@Tim: Die SuperDraco-Triebwerke können sicherlich schneller reagieren als die Merlins (die als Abbruchmechanismus konzipiert sind), und die Abbruchsequenz begann wahrscheinlich, als der Schub unter eine bestimmte Schwelle fiel (wahrscheinlich abhängig davon, wie weit er im Flug war) oder begann a schnell genug abfällt, um auf ein nicht behebbares Problem hinzuweisen, nicht wenn es Null erreicht.
@JithinJose: Musk und ich glaube, Shotwell haben es an verschiedenen Stellen beschrieben, obwohl ich im Moment nichts Genaues finden kann. Hier ist John Gardi, der die Sequenz durchgeht, anscheinend mit Elon, der zustimmt (Twitter-Threading ist ziemlich zweideutig, und Musk klärt die Dinge nicht viel auf): mobile.twitter.com/John_Gardi/status/1219148259555532800
@Tim ja, der Abschaltbefehl schaltet die Kraftstoff- / Oxidationsmittelzufuhr zu den Motoren ab, aber es gibt immer noch RP1 und LOX in den Leitungen, die die Verbrennung für kurze Zeit am Laufen halten. Daher die offensichtliche Verzögerung.

Bei der Medienveranstaltung nach dem Start mit Jim Bridenstine und Elon Musk wurde eine ähnliche Frage gestellt und Elon sagte, dass die Kapsel in der Lage sein würde, „durch den Feuerball zu fliegen“, und erklärte, dass die Falcon 9 selbst bei einem kritischen Ausfall dies nicht tut. explodiert nicht wirklich, sondern verursacht einen riesigen Feuerball (keine große Druckwelle). Darüber hinaus wurde erwähnt, dass die Kapsel unter Super-Draco-Schub eine Beschleunigung von 6 g erreichen kann, was mehr als genug ist, um die Kapsel von noch feuernden Triebwerken der ersten Stufe wegzubringen.

Ich denke, Sie gehen hier von einer falschen Annahme aus.

...wenn die Hilfstriebwerke noch zünden würden, würde es mit Dragon kollidieren?

Wenn die Hilfstriebwerke immer noch zünden, gibt es keinen Grund, die Flucht auszulösen – außer einer schweren Fehlfunktion der Steuerung (à la Ariane 5), die hier nicht getestet wurde. Jeder Ausfall des Boosters, der kein Steuerungsfehler ist, bis hin zum vollständigen Brand (z. B. durch geborstene Tanks), führt zu Schubverlust.

Meine Frage ist, warum dieser Test keine tatsächlichen Fehler verwendet hat, um diesen Abbruch auszulösen? Als ob die Booster-Stufe explodiert und von Crew Dragon erkannt wird und das Fluchtsystem auslöst.

Der (realistische) Versagensmodus war hier „unerwarteter Schubverlust“. Der andere Fehlermodus wäre "katastrophale Steuerungsfehlfunktion" gewesen. Sie haben sich einen ausgesucht.

Angenommen, es gab einen unausgeglichenen Schub oder Motoren, die in eine kardanische Verriegelung gerieten. Wie bei Ariane 5 weiß ich, dass Ähnliches bei Sojus und GSLV passiert ist. Die meisten von ihnen schienen nicht zu einem kontrollierten Schubverlust zu führen, entweder führte dies zu einer Explosion oder zu einem hohen AoA. Vielleicht irre ich mich, aber ich habe keine Raketenausfälle gesehen, die alle ihre Booster-Triebwerke gleichzeitig reibungslos abgeschaltet haben. Bitte teilen Sie mir solche Informationen mit, falls verfügbar. Ich werde korrigiert.
@JithinJose: Unausgeglichener Schub entspricht reduziertem Schub. Unausgeglichener Schub und kardanische Verriegelung gleich hoher AoA gleich schwerer Fehlfunktion der Steuerung. Die Explosion des Boosters entspricht einem plötzlichen Schubverlust. Plötzlicher Schubverlust ist ein absolut gültiger Fehlermodus. Eine katastrophale Kontrollstörung ist die andere. Sie haben sich einen ausgesucht. Wenn alle Triebwerke auf vollen Schub und auf Kurs sind, lösen Sie die Flucht nicht aus. Wenn der Booster beginnt, in hohe AoA zu gehen, lösen Sie die Flucht aus und der Booster folgt nicht dem Weg der Kapsel . So oder so entkommt man einem 100%igen Schubverstärker nicht auf seinem Weg .
@JithinJose: Und selbst dann wäre es ein sehr schlecht konstruiertes Fluchtsystem, wenn es das nicht auch könnte. Das ist jedoch eine Frage des Schubs pro Gewicht und muss nicht wirklich gesondert getestet werden. Das Erkennen des Schubverlusts und das Auslösen der Flucht ist der Teil, der getestet wurde, nicht der Fluchtschub (der statisch getestet werden kann, ohne einen Booster zu verbrauchen).
Ich bin anderer Meinung, niemals die Flucht auszulösen, wenn die Motoren richtig brennen. Denken Sie an die Challenger-Katastrophe zurück. Die Art und Weise, wie SpaceX alles instrumentiert, von dem ich vermute, dass sie das Durchbrennen entdeckt hätten, kann ich sehen, wenn eine Kamera es ins Auge fassen könnte, dass die Bodenkontrolle die Gefahr rechtzeitig erkennt und ihnen sagt, dass sie dort verschwinden sollen. Und ich dachte, die Fluchtmotoren seien stark genug, um vor dem Booster davonzulaufen, wenn er noch brannte.
@LorenPechtel: Wie gesagt, überschüssiger Schub zum Abziehen von einem funktionsfähigen Booster kann statisch getestet werden. Ich stimme dem Challenger-Szenario nicht zu: Sie drücken nicht den großen roten Knopf, sobald ein Sensor verrückt spielt, und Sie entkommen sicherlich nicht automatisch. Vom Abfall des externen Tankdrucks (der erste Hinweis, dass etwas wirklich nicht stimmte) bis zum Zerfall des Shuttles vergingen 7 Sekunden. Wie auch immer... hätte der Challenger ein Fluchtsystem gehabt, hätte es immer noch gereicht, um beim plötzlichen Gasverlust von T+73 davonzufahren...
@DevSolar Sie würden Challenger sicherlich nicht automatisch entkommen wollen, aber was ich sagen möchte, ist, dass die Art und Weise, wie SpaceX seine Raketen ausrüstet, ein Mensch den Durchbrand möglicherweise rechtzeitig gesehen hat, um die Gefahr zu erkennen und es ihnen zu sagen getrennt.
@LorenPechtel: Ich verstehe, was du gesagt hast, aber ich bin anderer Meinung. Sensoren gehen "die ganze Zeit" aus, aber niemand drückt sofort auf "Abbruch". Warum nicht? Denn das ist keine hochexplosive Bombe , die hochgeht - im schlimmsten Fall zerfällt der Booster und es entsteht ein großer Feuerball (aber keine Druckwelle). Das ist plötzlicher Schubverlust für Sie. Zünden Sie die Fluchtmotoren und die Kapsel wird sich aus der Feuersbrunst lösen. Besatzung gerettet. (Als weitere historische Referenz: Apollo 13 brach nicht ab, obwohl sie beim Start 1/5 ihres Schubs verloren haben ...)
@DevSolar Sensoren, nein, aber Kameras? Ich spreche von jemandem, der das Durchbrennen des Boosters sieht.
@LorenPechtel: Sie meinen das "Sehen", das niemand bei der Missionskontrolle auch nur kommentiert hat und das eine nachträgliche Überprüfung des Filmmaterials aus verschiedenen Blickwinkeln erforderte, um es herauszufinden? Auch hier drücken Sie nicht aus einer Laune heraus auf die Abbruchtaste und werfen die Mission weg. Sie überlebten den Zerfall des Schiffs , wie zu erwarten war. Fluchtmotoren, die auf T + 73 feuerten, wären ausreichend gewesen.
Warum wurde der SpaceX-Abbruchtest nicht durch einen echten Booster-Ausfall initiiert?
AntwortenHierDatenschutz-Bestimmungen1y, 0v