31 октября 2014 года экспериментальный космический самолет, эксплуатируемый Virgin Galactic, внезапно разрушился на высоте 55,000 футов во время испытательного полета, разбросав обломки на обширной территории пустыни Мохаве в Калифорнии. Хотя один из двух испытательных пилотов погиб, другой удивительным образом выжил, выбравшись с парашютом вопреки всем шансам. Разрушение VSS Enterprise и смерть одного из пилотов обещали стать серьезным ударом для индустрии коммерческих космических полетов, которая тогда, как и сейчас, находилась на стадии становления. Критика не заставила себя долго ждать: не переусердствовала ли Virgin Galactic под руководством миллиардера сэра Ричарда Брэнсона в погоне за игрушкой для сверхбогатых? Некоторые ставили под сомнение саму основу коммерческих космических полетов; другие предполагали, что проблема именно в Брэнсоне. На этом фоне Национальная транспортная совета безопасности, проводя свое первое крупное расследование авиакатастрофы, стремилась выяснить причины разрушения корабля. Ответ оказался как шокирующим, так и разочаровывающим: погибший второй пилот допустил одну ошибочную манипуляцию с управлением, что вызвало катастрофическое разрушение в полете, вызвав серьезные вопросы касательно конструкции космического корабля, его устойчивости к ошибкам человека и неспособности производителя усвоить уроки, которые коммерческая авиационная индустрия изучила десятилетия назад.
В 2004 году британский миллиардер сэр Ричард Брэнсон, основатель группы Virgin, запустил маловероятный проект, целью которого было продвижение границ коммерческого транспорта за счет того, что однажды платящие пассажиры смогли бы совершать регулярные поездки в космос. Владение Брэнсоном Virgin Airlines и его дочерними компаниями, а также его подвиги с воздушными шарами, принесли ему репутацию энтузиаста аэрокосмической индустрии, но разработка многоразового пассажирского космического корабля была непростой задачей, и многие скептически относились к тому, что новая компания Брэнсона, получившая название Virgin Galactic, когда-либо взлетит.
На тот момент идея создания «космического самолета», который летал бы в космос, находился там несколько минут, а затем садился в аэропорту, была не нова и существовала уже несколько лет. Одна аэрокосмическая компания, уже работавшая над таким проектом, была Scaled Composites, которая в партнерстве с миллиардером, сооснователем Microsoft Полом Алленом, строила аппарат под названием «SpaceShipOne». Целью SpaceShipOne было доставить пилота и двух пассажиров в космос, стартуя с под крыла носителя самолета на большой высоте, что было интересным и новым подходом, позволяющим экономить вес и топливо, приближая аппарат к космосу перед включением ракетного двигателя. SpaceShipOne впервые поднялся в полет на собственных двигателях в 2004 году, став первым человеческим космическим полетом, полностью финансируемым частным капиталом. Это привлекло внимание Ричарда Брэнсона и его новосозданной компании по космическому туризму, которая вскоре стала основным заказчиком планируемого преемника космического корабля Scaled Composites, SpaceShipTwo.
Как следует из вышесказанного, SpaceShipOne был лишь доказательством концепции и никогда не предназначался для настоящей коммерческой эксплуатации. Создание прибыли на рейсах, перевозящих только двух пассажиров, было одной из нескольких причин, по которым производство немедленно началось на SpaceShipTwo, который должен был быть гораздо больше, но использовать многие из тех же конструктивных и эксплуатационных особенностей, что и SpaceShipOne. Космический корабль длиной 18 метров и весом 9,700 кг должен был висеть под крылом двухфюзеляжного «материнского корабля» под названием WhiteKnightTwo, отпускаться на высоте 50,000 футов, активировать свой единственный ракетный двигатель, подниматься почти вертикально до высоты 110,000 метров (360,000 футов), а затем планировать обратно на землю с выключенным двигателем, перевозя до шести платящих пассажиров. Помимо острых ощущений от самой поездки, пассажиры испытали бы примерно шесть минут невесомости, когда аппарат входил в космос на высшей точке своей параболической траектории, известной как апогей. Ричард Брэнсон обещал, что билеты будут стоить 200,000 долларов США, делая поездку доступной не только сверхбогатым, но и просто очень богатым.
Одной из наиболее значительных проблем, с которыми сталкивается любой космический самолет, является необходимость выдерживать вход в атмосферу Земли, наказывающий опыт, который расплавил бы обычный самолет. Космический шаттл, например, входил в атмосферу со скоростью около 26,000 километров в час, и замедление с этой скорости вызывало такое сильное сжатие от нагрева, что требовался дорогостоящий и тяжелый тепловой щит на всех частях шаттла, обращенных к воздушному потоку. В отличие от этого, SpaceShipTwo не был предназначен для достижения орбиты и, следовательно, входил в атмосферу с относительно умеренной скоростью около 4,000 километров в час, что позволяло использовать совсем другую технику входа в атмосферу. Как и космический шаттл, SpaceShipTwo имел теплозащищенное днище, позволяющее создавать сопротивление, поддерживая большой угол атаки, но он также включал систему «перьевого» входа в атмосферу, которая увеличивала сопротивление еще больше и могла стабилизировать космический корабль независимо от его угла входа.
Система «перьевого» входа представляла собой огромную петлю в задней части космического корабля, которая могла поворачивать весь его хвостовой отсек, включая управляющие поверхности, на 60 градусов вверх, почти складывая аппарат пополам. Это заставляло космический корабль вести себя скорее как воланчик для бадминтона, переворачиваясь в положение с центром тяжести вниз, независимо от его положения при входе в атмосферу. Космический корабль мог войти в атмосферу вверх дном, и аэродинамические силы, действующие на «перьевый» хвостовой отсек, немедленно перевернули бы его в вертикальное положение с высоко поднятым носом, идеальное для входа в атмосферу, без каких-либо вмешательств со стороны экипажа. Эта конструкция должна была сделать космический корабль более безопасным и легким в управлении, и действительно, это было доказано на практике, когда во время испытательного полета в 2011 году произошел инцидент. Во время инцидента пилоты на короткое время потеряли управление над космическим кораблем, но смогли восстановить контроль, активировав систему «перьев», которая немедленно вернула аппарат в безопасное положение для спуска.
Как и в любом космическом проекте, разработка SpaceShipTwo сопровождалась трудностями. Это считалось нормальным и не представляло серьезной проблемы, если бы Ричард Брэнсон не постоянно рассказывал СМИ о необоснованных прогнозах о скором начале коммерческой эксплуатации корабля. Еще в 2008 году, когда строился первый прототип, Брэнсон неоднократно заявлял, что первый коммерческий полет состоится через 18 месяцев, но в 2011 году — после нескольких прогнозов — он все еще говорил потенциальным клиентам, что коммерческая служба начнется через 18 месяцев.
Между тем, Scaled Composites продолжала контролировать разработку и испытания космического корабля, начиная с его первого «пленного» полета — без отделения от WhiteKnightTwo — в марте 2010 года, за которым последовал первый полет на планировании в октябре. Полеты проводились на космодроме Мохаве в пустыне Калифорнии и выполнялись опытными испытательными пилотами, работающими на Scaled Composites, чья задача состояла не только в том, чтобы управлять космическим кораблем, но и в том, чтобы выявлять области, где есть возможности для улучшения. Таких областей находили много, и космический корабль постоянно модифицировался на протяжении всего процесса испытаний.
В 2013 и начале 2014 года программа перешла к испытаниям с включением ракетного двигателя, в ходе которых ракетный двигатель SpaceShipTwo активировался на все более длительные периоды времени, в конечном итоге достигая полного 60-секундного горения, необходимого для достижения запланированного апогея на высоте 360,000 футов. Эти испытательные полеты проходили в основном без происшествий, однако они показали, что ракетный двигатель был недостаточно мощным и вызывал серьезные вибрации, из-за которых пилотам было трудно читать свои приборы, что вынудило прекратить испытания до тех пор, пока Scaled Composites совместно с подрядчиком двигателей, компанией Sierra Nevada Corp., не переработала двигатель.
Летом 2014 года две компании создали новый ракетный двигатель, который вырабатывал больше мощности и меньше вибраций за счет использования твердого топлива на основе нейлона вместо ранее использовавшегося резинового топлива. С новым двигателем на месте, Scaled Composites планировала возобновить испытательные полеты SpaceShipTwo осенью того же года, установив крайний срок в конце октября.
Октябрьский тест, обозначенный как «полет с включением двигателя №4», или PF04, должен был стать первым полетом с включением двигателя с января 2014 года и предполагал 38-секундную работу ракетного двигателя, самую длительную на тот момент. Подготовка к полету началась за несколько месяцев, начиная с получения необходимых разрешений от федерального правительства до тренировки экипажа, который провел лето и раннюю осень, проводя десятки макетных испытательных полетов на симуляторе SpaceShipTwo компании Scaled Composites.
Экипаж должен был состоять из 43-летнего Пита Сейболда и 39-летнего Майкла Олсбери, оба из которых имели командирские рейтинги на SpaceShipTwo. Оба обладали обширным опытом испытательных полетов и входили в крошечную группу элитных пилотов, квалифицированных для управления космическим кораблем. Они были тесно знакомы как с SpaceShipTwo, так и с его материнским кораблем WhiteKnightTwo, и оба участвовали в экипаже одного или другого корабля во всех, кроме двух из 30 планируемых и трех реактивных полетов, проведенных до сих пор. В этом последнем полете Сейболд должен был быть пилотом, управляющим с левого сиденья, в то время как Олсбери действовал в качестве второго пилота с правого сиденья. Кроме двух пилотов SpaceShipTwo, главный пилот Virgin Galactic должен был служить капитаном на борту WhiteKnightTwo вместе с вторым пилотом и инженером летных испытаний, который был менеджером программы SpaceShipTwo в Scaled Composites. В испытании также участвовал самолет Extra EA-300L для выполнения акробатических задач с одним пилотом и фотографом на борту.
После пятидневной задержки, PF04 наконец был готов начаться 31 октября 2014 года. Ранним утром экипажи собрались в космодроме Мохаве для брифинга и подготовки к полету, который должен был стать самым амбициозным на тот момент. План предусматривал, что WhiteKnightTwo поднимет SpaceShipTwo на высоту 46,400 футов, отпустит космический корабль, обеспечит достаточное разделение, затем начнется 38-секундная работа ракетного двигателя. После окончания работы двигателя космический корабль должен был долететь до апогея, прежде чем перейти в конфигурацию перьевого входа в атмосферу, снизиться обратно в плотные слои атмосферы и, наконец, развернуть хвостовой отсек и планировать обратно в космодром Мохаве.
Для выполнения этой последовательности маневров потребовалось немало усилий со стороны пилотов. Большинство необходимых задач, включая время работы ракетного двигателя и развертывание системы перьев, не были автоматизированы, и последняя была особенно сложной. План миссии требовал, чтобы пилоты сначала разблокировали, но не развертывали систему перьев, пока космический корабль ускорялся до Мах 1.4 (1.4 раза быстрее скорости звука) в начале ускоренной фазы, чтобы гарантировать, что систему можно будет развернуть позже. Этот шаг был предназначен для выявления любых проблем с системой перьев вовремя, чтобы прервать работу двигателя до того, как корабль достиг бы высоты, требующей маневра входа в атмосферу, который был бы гораздо более опасен, если бы хвостовой отсек не мог быть развернут.
Для разблокировки системы перьев второй пилот должен был переместить ручку разблокировки перьев на центральной стойке вправо, а затем вниз, освобождая крюки на основном крыле, которые захватывают стальные замки на «клыках», передних точках хвостового отсека перьев, как показано выше. Когда эти замки на месте, развернуть перья невозможно. Однако, как только замки сняты, второй пилот может затем потянуть другую ручку перьев наружу, заставляя два идентичных актуатора перьев поворачивать хвостовой отсек вокруг его шарнира до достижения угла в 60 градусов в развернутом положении.
Одна из уязвимостей этой системы заключалась в том, что если она была разблокирована в фазе полета, когда на хвостовую часть оказывалась значительная восходящая аэродинамическая сила, эта сила могла преодолеть актуаторы и вызвать непроизвольное развертывание перьев. Эта опасность была особенно высока в трансзвуковой области, близкой к скорости звука, где воздушный поток над некоторыми частями космического корабля мог достигать сверхзвуковой скорости, в то время как в других областях оставался дозвуковым, подвергая аппарат необычным аэродинамическим силам. В SpaceShipTwo это проявлялось в виде «трансзвукового боббла», когда меняющиеся модели воздушного потока временно перемещали центр подъемной силы космического корабля вперед, а затем снова назад. Во время этого боббла общая аэродинамическая сила на хвосте смещалась с направленной вниз (перья втянуты) на направленную вверх (перья развернуты), прежде чем возвращаться вниз после достижения сверхзвуковых скоростей. Поэтому запрещалось разблокировать систему перьев раньше Мах 1.4, так как без замков это восходящее аэродинамическое усилие на хвостовом отсеке могло бы привести к обратному движению актуаторов и заставить перья развернуться.
Среди инженеров Scaled Composites не было сомнений, что этот шаг будет выполнен правильно, так как оба пилота были тщательно обучены тому, когда следует разблокировать перья. Действительно, во время утреннего брифинга пилоты SpaceShipTwo неоднократно упоминали, что разблокируют перья на скорости Мах 1.4, как и ожидалось.
После отправки WhiteKnightTwo в 9:19 утра, с SpaceShipTwo, подвешенным под ним, Сейболд и Олсбери продолжали проводить различные рутинные проверки, с одним значительным исключением — моментальным сбоем основного многофункционального компьютеризированного дисплея, который был устранен перезагрузкой компьютера.
К 9:59 WhiteKnightTwo достиг высоты запуска 46,400 футов, и пилоты SpaceShipTwo проводили проверку "за 10 минут до запуска" или L минус 10.
"Электрическая система?" спросил Олсбери.
"Все в порядке," ответил Сейболд.
"Хорошо. Пневматика?"
"Выше 23, давления регулятора в норме."
"Правильно, а вот замки перьев. Вот они," сказал Олсбери.
Чтобы проверить, работают ли замки перьев правильно, Олсбери переместил ручку разблокировки перьев вправо и вниз, в результате чего на приборной панели загорелся желтый индикатор "перья разблокированы". Загорание индикатора подтвердило, что перья действительно были разблокированы. "Давление хорошее, показания и блокировка," сказал Олсбери. Затем он вернул ручку перьев в заблокированное положение. "И показывает заблокировано," добавил он. "Запасные индикаторы выглядят хорошо."
В течение следующих нескольких минут пилоты продолжали проводить десятки рутинных проверок различных систем и элементов управления полетом. Все выглядело нормальным, так что экипаж перешел к следующему списку проверок, L минус четыре. Они проверили, что таймер сжигания ракетного топлива установлен правильно, проверили, что тормоз скорости отключен, выключили обогрев окон, убедились, что транспондер включен, и проверили наличие предупреждающих индикаторов (их не было). Получив разрешение на посадку от диспетчерской вышки Мохаве, капитан Сейболд еще раз проговорил их план. "Хорошо, ты можешь вооружить [ракетный двигатель] при отделении от пилона, я дам команду на огонь," сказал он. "Дай команду на подъем, опускание, отрегулируй, разблокировка перьев на 1.4. Затем после выключения, вращение усиления, пока у нас есть скорость, вращение усиления будет выключено. Основная РСУ включена. Установи углы... перья вверх на апогее... сбросить регулировки на минус десять... ты можешь развернуть перья на апогее, если я не дам команду, и напомни мне о регулировках, если я не доберусь до них."
Простыми словами, план на первые 30 секунд после отделения выглядел следующим образом: сначала второй пилот Олсбери вооружил ракетный двигатель, затем Сейболд дал ему команду включить его, когда будет готов. Затем Олсбери должен был объявить о подъеме и опускании, связанных с трансзвуковым бобблом, затем, когда космический корабль прошел трансзвуковую зону, они "отрегулировали" нос вверх для "гамма-поворота", перехода от неглубокого подъема к вертикальному взлету. Во время гамма-поворота, на скорости Мах 1.4, Олсбери должен был разблокировать перья.
В 10:07, после завершения инструктажа и проверок, пилот WhiteKnightTwo через радио объявил: "Пять. Четыре. Три. Два. Один. Отделение, отделение, отделение."
В этот момент SpaceShipTwo отделился от пилона отделения WhiteKnightTwo и начал отдаляться от материнского корабля.
"Чистое отделение," объявил кто-то.
Менее чем через секунду после этого Сейболд объявил: "Огонь."
Олсбери дотянулся до переключателя вооружения ракетного двигателя, переключил его, затем мгновенно переключил переключатель пуска ракетного двигателя. "Вооружен. Огонь," он объявил.
Дисплеи пилотов переключились в режим BOOST, и космический корабль мгновенно рванул вперед и вверх, устремляясь вперед под огромной мощью ракетного двигателя. Напрягаясь против перегрузок, Сейболд объявил: "Хорошее зажигание. Йиху!"
Через семь секунд после отделения Олсбери объявил их скорость как "Точка восемь."
Затем камера в кабине зафиксировала, как Олсбери поместил свою левую руку на ручку разблокировки перьев, видимо, в предвкушении разблокировки перьев на Мах 1.4, которую они должны были достигнуть примерно через 15 секунд. Но вместо того, чтобы подождать, Олсбери сразу объявил: "Разблокирую," и в течение следующей полусекунды переместил ручки разблокировки перьев вправо и вниз, пока индикатор "перья не заблокированы" снова не замигал. Скорость космического корабля была всего Мах 0.92, все еще глубоко в трансзвуковой зоне и далеко не в той точке, где система перьев должна была быть разблокирована.
Прежде чем кто-либо успел заметить или отреагировать, замки перьев отключились, и восходящая аэродинамическая сила на хвостовом отсеке начала преодолевать актуаторы перьев. В течение двух секунд хвостовой отсек начал некомандованное вращение вверх в перьевое положение, заставляя космический корабль без предупреждения поднять нос. Сейболд крикнул: "Подъем носа," после чего последовали напряженные стоны, поскольку внезапный маневр усилил давление перегрузок на пилотов. Под воздействием мощных аэродинамических сил хвостовой отсек быстро достиг 60-градусного развернутого положения и продолжил движение, вызывая трещины на крыльях и фюзеляже, поскольку вся задняя часть угрожала оторваться. Три секунды после того, как Олсбери разблокировал перья, видеотрансляция из SpaceShipTwo внезапно прервалась, когда космический корабль сделал один кульбит и полностью разрушился, исчезнув в граде обломков на высоте 55,000 футов.
Коллеги пилотов на борту WhiteKnightTwo, в самолете-преследователе и на базе могли только с ужасом наблюдать, как обломки SpaceShipTwo рассеивались в небе над пустыней Мохаве. В течение трех минут они наблюдали, как обломки падали на землю, все шире рассеиваясь при падении, пока вдруг пилот самолета-преследователя не объявил, что он увидел что-то невероятное — парашют.
Осознав, что по крайней мере один пилот мог выжить в аварии, персонал испытаний и диспетчеры немедленно начали действия по как можно более быстрой отправке медицинских работников на место крушения. Через девяносто секунд после того, как парашют был впервые замечен, основные обломки космического корабля ударились о землю в удаленном участке пустыни Мохаве около Кантила, Калифорния. Однако из-за недостатков в планировании на космодроме Мохаве не было размещено вертолета, оборудованного для экстренной медицинской эвакуации. Вертолет, управляемый округом Керн, отправился в 10:30, через 23 минуты после аварии, а другой отправился в 10:41, прибыв через 11 минут. Экипажу удалось обнаружить красно-белый парашют, разложенный в пустыне, и после посадки они подтвердили, что, несмотря на все трудности, пилот Пит Сейболд каким-то образом выжил после разрушения в воздухе. Хотя среди первых спасателей был летный хирург, этот вертолет не был оборудован для медицинской эвакуации, и пришлось вызвать не связанный медицинский вертолет с испытательного полета на техническое обслуживание, который прибыл на место более чем через час после крушения. Хотя травмы Сейболда были серьезными, он был настолько стабилен, что задержка не стоила ему жизни, и он прибыл в больницу Антелоп Вэлли в Ланкастере в 11:53. К сожалению, второй пилот Майкл Олсбери не был таким счастливым: его тело было найдено пристегнутым к сиденью в кабине, его парашют все еще находился в упаковке.
Исключительное спасение Сейболда сделало его первым человеком, когда-либо выжившим в космической аварии, в которой погиб кто-то другой. Несмотря на первоначальные предположения о том, что он катапультировался, на самом деле у Сейболда не было времени на реакцию, и он был буквально выброшен из аппарата в своем кресле, когда он начал распадаться. Он был выброшен в разреженный воздух на высоте 55,000 футов, почти в два раза выше, чем Маунт-Эверест, со скоростью более 960 километров в час, и тем не менее каким-то образом остался жив, чтобы рассказать о случившемся. Он рассказал следователям, что помнит громкий шум, жесткое поднятие носа на высоких перегрузках и ощущение внезапной декомпрессии, прежде чем его память временно стерлась. Следующее, что он помнил, — это падение, все еще пристегнутый к своему креслу, глядя вниз на Мохаве с большой высоты. Он расстегнул ремень безопасности и принял положение свободного падения, затем снова потерял сознание, вероятно, из-за недостатка кислорода, проснувшись только тогда, когда его парашют автоматически раскрылся на меньшей высоте. Затем он попытался использовать встроенный запас кислорода парашюта, но не смог заставить кислород течь. Следователи позже отметили, что система подачи кислорода была плохо спроектирована, требуя большой силы для активации потока кислорода, но даже если бы Сейболд смог активировать его, он бы не получил кислород, потому что ключевая трубка была отключена. С другой стороны, они похвалили систему автоматического раскрытия парашюта, которая, вероятно, спасла жизнь Сейболда, когда он падал без сознания на землю.
Сразу после аварии Национальный совет по безопасности на транспорте начал расследование. Однако NTSB никогда ранее не расследовал аварии в коммерческих космических путешествиях, и его полномочия явно не указывали, что у него есть юрисдикция в этом вопросе, что заставило агентство отправить в Конгресс обоснование своих полномочий по этому делу. Обоснование было принято соответствующими комитетами Палаты представителей и Сеата, официально установив полномочия NTSB расследовать аварии в коммерческом космосе, что стало интересным, хотя и эзотерическим элементом за кулисной бюрократии.
На земле следователи NTSB начали анализировать огромные объемы телеметрических данных и восстановленных видеозаписей с фатального испытательного полета, чтобы выяснить, что пошло не так. Ответ стал немедленно очевиден: каким-то образом хвостовой отсек перьев, который должен был развернуться только во время входа в атмосферу, открылся, когда космический корабль приближался к скорости звука во время восхождения. Аэродинамические силы затем оторвали хвостовой отсек, и остальная часть космического корабля разрушилась через долю секунды. Кадры из кабины, которые постоянно транслировались на землю, дополнительно подтвердили, что второй пилот Майкл Олсбери преждевременно разблокировал перья.
Инженеры Scaled Composites объяснили NTSB, что если система перьев была разблокирована в трансзвуковой зоне, аэродинамические силы могли преодолеть актуаторы и вызвать развертывание перьев, сценарий, о котором они знали, что он будет катастрофическим. Это привело к двум параллельным направлениям расследования: первое — почему Майкл Олсбери слишком рано разблокировал перья; второе — почему ему вообще было возможно это сделать?
Первый вопрос был далеко не простым. Майкл Олсбери был признан высококвалифицированным и компетентным испытательным пилотом, и его коллеги были шокированы и удивлены, что он мог допустить такую элементарную ошибку, как преждевременная разблокировка перьев. Действительно, трудно рационализировать это даже после анализа возможных причин. Однако NTSB в конечном итоге нашла несколько факторов, способствующих возникновению такой ошибки, даже если они не могли точно определить причину, по которой Олсбери потянул ручку разблокировки перьев на скорости Мах 0.9 вместо Мах 1.4.
Одно из замеченных следователями обстоятельств заключалось в том, что окно, в котором Олсбери должен был разблокировать перья, было чрезвычайно узким. Запрещалось разблокировать перья до достижения Мах 1.4, но если он ждал бы до Мах 1.5, на приборной панели загорелся бы предупреждающий индикатор, и если бы он не потянул ручку к Мах 1.8, миссия была бы прервана. Реальное время между Мах 1.4 и Мах 1.5 составляло всего 2.7 секунды, невероятно короткое окно, которое тем не менее ожидалось, что он будет соблюдать на каждом полете.
Изучение записей тренировок Олсбери показало, что он не всегда попадал в это окно. За четыре дня до крушения Олсбери разблокировал перья после Мах 1.5 во время тренировки на симуляторе, что вызвало предупреждающее сообщение и последующий разбор полетов о том, что пошло не так. Этот опыт, вероятно, был свеж в его памяти, когда он отправился на роковой полет, возможно, вызвав у него тревогу, чтобы не разблокировать перья слишком поздно.
В отличие от этого, мало что указывало на то, что Олсбери мог бы беспокоиться о слишком ранней разблокировке перьев. Хотя он знал, что Мах 1.4 является жестким нижним пределом, он, возможно, не был полностью осведомлен о причинах существования этого предела. NTSB искала письменные доказательства того, что пилотам сообщалось о катастрофических последствиях слишком ранней разблокировки перьев, но нашла эту информацию только в одном электронном письме 2010 года и на слайде презентации PowerPoint 2011 года. Руководство по эксплуатации пилотов не упоминало о катастрофической природе такой ошибки, и это также не входило в учебную программу. Хотя пилоты, вероятно, узнали об этом в какой-то момент устно, NTSB не смогла найти никаких доказательств того, что они столкнулись с какой-либо официальной информацией об этом более чем за три года. Все это, похоже, указывало на то, что пилоты могли быть только смутно осведомлены о последствиях слишком ранней разблокировки перьев. И без этого осознания Олсбери мог быть гораздо более обеспокоен тем, чтобы не разблокировать перья после Мах 1.5, чем до Мах 1.4. Этот тип акцента на одной границе в ущерб другой может привести к чрезмерной компенсации, заставляя человека нарушать менее выраженную границу, пытаясь изо всех сил избежать более заметной.
NTSB также отметила, что Олсбери не выполнял полеты с включенным ракетным двигателем на SpaceShipTwo с апреля 2013 года, то есть за полтора года до аварии. Это могло сказаться на его привычке к мощным перегрузкам и вибрациям, которые возникают во время работы ракетного двигателя, что могло негативно повлиять на его способность справляться с этим напряженным периодом полета. Хотя он интенсивно тренировался на симуляторе, верность этих симуляций была низкой, поскольку симулятор имел фиксированную базу и не мог воспроизводить высокие перегрузки или вибрации, и пилоты не носили полные летные костюмы, парашюты, шлемы и кислородные маски во время тренировок на нем. Хотя прямой связи между этими факторами и решением выпустить перья когда он это сделал, не было установлено, известно, что верность тренировочного упражнения коррелирует с способностью человека впоследствии воспроизводить конкретную последовательность действий.
Одна потенциальная причина, однако, была исключена: то, что Олсбери неправильно прочитал свои показания скорости. Фактически, за две секунды до того, как он объявил, что начинает "разблокировку", он правильно сообщил скорость Мах 0.8. Таким образом, Олсбери был осведомлен о их скорости, но также знал, что не должен был разблокировать перья до Мах 1.4, что делает его ошибку трудной для понимания. Если что-то и напоминает это, так это то, что человеческий мозг — это несовершенная машина, способная содержать одновременно противоречивые понятия.
Это именно то обстоятельство, которое побудило NTSB спросить, почему вообще было возможно для пилота разблокировать перья в фазе полета, когда последствия могли быть катастрофическими. Ответ Scaled Composites на этот вопрос поражал своей наивностью: они просто не думали, что пилот когда-либо это сделает.
Нужно сказать, что отношение к испытательным пилотам, выраженное Scaled Composites, было безнадежно романтичным. Факт того, что испытательный пилот сделал эту якобы немыслимую ошибку после того, как SpaceShipTwo накопил всего 6.3 часа работы ракетного двигателя, подчеркивает его абсурдность. Одно из основных предположений, сделанных при современном проектировании самолетов, заключается в том, что если пилот может что-то сделать, то рано или поздно какой-то пилот это сделает. Даже если мы примем ложное предположение о том, что испытательные пилоты непогрешимы, трудно понять, как Scaled Composites могла ожидать, что SpaceShipTwo однажды будет проводить регулярные коммерческие полеты с обычными пилотами, продолжая игнорировать эту фундаментальную реальность.
Обзор программы безопасности Scaled Composites показал, что компания провела глубокий анализ множества потенциальных механических неисправностей и внедрила избыточные системы для их устранения, но почти не уделяла внимания человеческим факторам. У компании не было отдела человеческих факторов и не было выделенного эксперта по человеческим факторам, ни она не нанимала внешнего эксперта для консультаций. Некоторые инженеры Scaled Composites заявили, что проходили университетские курсы по человеческим факторам, но на этом все. Что касается эргономических вопросов, таких как дизайн пользовательского интерфейса, инженеры полагались исключительно на отзывы пилотов после того, как тестирование уже было начато.
Этот огромный пробел в процессе проектирования привел к ряду странных решений, которые опытный авиапроизводитель, вероятно, не принял бы. Например, инженеры учли возможность того, что пилот попытается заблокировать перья до того, как они полностью сомкнутся после повторного входа в атмосферу, поэтому они добавили на многофункциональный дисплей уведомление "OK TO LOCK", чтобы помочь им. Однако они не подумали включить уведомление "OK TO UNLOCK", чтобы предотвратить противоположную ошибку. Также они не включили какой-либо механический блокировочный механизм, который бы предотвратил перемещение ручки разблокировки перьев во время фаз полета, где это могло бы стать, по сути, большой красной кнопкой "самоуничтожения".
То, что компания в 2014 году приняла такие решения по дизайну, является непростительным, учитывая объем доступной им информации о человеческих факторах в авиационном дизайне. В самом деле, чтобы найти аналогичную авиакатастрофу, возможно, пришлось бы вспомнить 1970 год, когда пилот Douglas DC-8 компании Air Canada случайно активировал земные тормозные щитки до того, как самолет коснулся земли, что привело к жесткой посадке и пожару, уничтожившему самолет. К тому времени большинство производителей уже поняли важность включения блокировки, чтобы предотвратить активацию земных тормозных щитков в полете, так как их единственная цель — предотвратить генерацию подъемной силы крыльями после приземления. Очевидно, нет никакой причины, по которой пилот должен иметь возможность убрать всю подъемную силу самолета в воздухе, поэтому DC-8 был впоследствии перепроектирован с блокировкой, предотвращающей активацию земных тормозных щитков, если колеса на самом деле не касаются земли. Применимость этого урока к случаю с SpaceShipTwo очевидна, но если кто-то в Scaled Composites знал о катастрофе рейса Air Canada 621 или о похожем инциденте, они не установили связь.
То, что Scaled Composites не знала об основных уроках, извлеченных авиационной индустрией десятилетия назад, свидетельствует о неблагоприятной корпоративной культуре безопасности. Эта плохая культура безопасности, возможно, лучше всего иллюстрируется инцидентом, который произошел, практически незамеченным, во время второго реактивного полета SpaceShipTwo в 2013 году. Во время этого полета космический корабль использовал очень короткую работу ракетного двигателя, из-за чего он достиг своего апогея все еще в атмосфере. В результате, когда он приближался к апогею, космический корабль замедлялся, вновь проходя через трансзвуковую зону на высоте, где воздух все еще присутствовал, чтобы создать восходящую силу на хвостовом отсеке. Поскольку пилоты уже разблокировали систему перьев, когда они впервые ускорились до Мах 1.4, хвостовой отсек удерживался на месте только актуаторами, когда он вновь вошел в зону восходящих сил на хвосте. Эти силы превысили реактивные способности актуаторов перьев на протяжении одной секунды, вызвав смещение хвостового отсека на 0.8 градуса в сторону развернутого положения, прежде чем силы снова уменьшились. Эта чрезвычайно опасная ситуация была абсолютно предсказуема на основе запланированных параметров теста, и тем не менее либо никто этого не предсказал, либо кто-то решил, что тест должен продолжаться. Любое из этих объяснений составляло бы серьезное нарушение безопасности.
Теперь внимание следствия переключилось на другой связанный вопрос: почему Федеральное управление гражданской авиации (FAA) не заметило плохую культуру безопасности у Scaled Composites? Компания уже имела фатальную аварию ранее, когда ракетный двигатель SpaceShipTwo взорвался на испытательном стенде в 2007 году, убив трех инженеров. Однако проблема заключалась не столько в том, что FAA не знало об этом, сколько в том, что FAA это не волновало.
Для получения экспериментального разрешения на полет от FAA, Scaled Composites должна была провести анализ опасностей, целью которого было выявление опасностей из различных источников, включая ошибки человека. Scaled Composites утверждала, что основывала свой анализ опасностей на консультативном циркуляре, выпущенном Управлением Федерального управления гражданской авиации по коммерческим космическим перевозкам, или FAA/AST, который гласил, что анализ опасностей должен учитывать ошибки человека, включая «ошибки принятия решений, такие как использование управления полетом в неподходящее время».
Однако в своем анализе опасностей Scaled Composites рассматривала возможность человеческой ошибки только в ответ на другую неисправность. Возможность того, что пилот может слишком рано разблокировать перья, не рассматривалась, и FAA/AST об этом не сообщалось, что это будет катастрофическим. Компания, однако, использовала положение консультативного циркуляра, которое позволяло исключить определенные человеческие ошибки из анализа опасностей, если оценка показала, что исключение разумно на основании доказательств. После аварии Scaled Composites утверждала, что возможность слишком раннего разблокирования перьев можно было исключить на основании этого положения, потому что она обучила своих пилотов разблокировать перья в подходящее время. Это было чрезмерно упрощенным взглядом на вопрос, так как производительность пилота зависит от множества факторов, помимо обучения. Стоит отметить, что давние теории системной безопасности считают обучение наименее эффективным из трех основных методов повышения безопасности, уступая место изменениям в конструкции и предупреждающим устройствам. К тому же, Scaled Composites не предприняла попыток разработать программу обучения, направленную на эмпирическое снижение риска слишком раннего разблокирования перьев.
Как и было изначально одобрено, так и позже FAA/AST продлила экспериментальное разрешение Scaled Composites, несмотря на эти недостатки в анализе опасностей и программе смягчения последствий. Однако после продления разрешения в 2013 году инженер по системной безопасности FAA/AST выразил обеспокоенность тем, что анализ опасностей Scaled Composites не соответствовал регуляторным требованиям из-за отсутствия учета человеческих и программных ошибок. FAA/AST подтвердило эти недостатки в ходе последующего обзора, но вместо того чтобы попросить Scaled Composites улучшить свой анализ опасностей, агентство просто предоставило компании исключение, освобождающее ее от необходимости включать человеческие и программные ошибки в свой анализ опасностей. Scaled Composites даже не просила такого исключения, но FAA/AST выдало его односторонне, потому что считало, что компания уже разработала космический аппарат для смягчения последствий этих типов ошибок. NTSB, с своей стороны, не могло понять, как FAA/AST пришло к этому выводу, учитывая, что анализ опасностей Scaled Composites даже не определял, какие человеческие ошибки возможны, не говоря уже о том, что делала компания для их смягчения. Действительно, некоторые предполагаемые меры смягчения, упомянутые в обосновании FAA/AST для исключения, позже оказались не реализованными.
Дальнейшее расследование NTSB показало, что надзор FAA/AST за деятельностью Scaled Composites был хаотичным и неэффективным на всех уровнях. Не было ясно, кто несет ответственность за обеспечение выполнения смягчающих мер, указанных в исключении, и инспекторы FAA/AST, задействованные в работе с компанией, заявили, что они не рассматривали положения об исключении как регуляторные требования. Фактически, никто не контролировал, действительно ли Scaled Composites внедряла указанные меры безопасности.
Кроме того, коммуникация между FAA/AST и Scaled Composites осуществлялась через единую точку контакта, создавая узкое место для информации. Инженеры FAA/AST жаловались, что их технические вопросы «фильтровались» менеджментом перед тем, как передавать их в Scaled Composites, и к тому времени, когда ответы компании возвращались через точку контакта, первоначальный смысл вопросов часто терялся. Инженеры с опытом в области космических перевозок были особенно разочарованы тем, что их вопросы изменялись менеджерами FAA/AST, которые обладали ограниченными знаниями в области космических полетов. Эти недоработки препятствовали персоналу FAA/AST в получении полного понимания работы SpaceShipTwo и операций Scaled Composites.
Более того, у FAA/AST была практика назначать инспекторов на отдельные космические запуски, вместо того чтобы иметь одного инспектора, постоянно работающего с конкретной космической компанией, как это принято в авиационной индустрии. NTSB отметило, что инспектор, ответственный только за конкретный запуск, не мог полноценно оценить качество операций держателя разрешения.
И, наконец, самое поразительное откровение пришло, когда инспекторы FAA/AST признались NTSB, что они чувствовали политическое давление на утверждение экспериментальных разрешений для компаний коммерческих космических путешествий в стандартные сроки обзора в 120 дней, даже если они чувствовали себя неуютно с заявлением. Правительство США стремилось продвигать молодую индустрию и, по-видимому, хотело утвердить как можно больше заявок. К сожалению, это слабое надзорное внимание позволило небезопасной компании проскользнуть сквозь трещины.
В результате этих выводов NTSB рекомендовало, а FAA внедрило, крупные изменения в механизмах и процедурах, используемых для надзора за компаниями коммерческих космических путешествий.
Крушение и выводы NTSB неизбежно подняли вопрос о том, обладает ли индустрия коммерческих космических путешествий, и особенно индустрия космического туризма, правильным настроем для успешного завоевания последнего рубежа. Многие публикации критиковали саму идею космического туризма как игровую площадку для миллиардеров, которая не приносит ничего ценного, и учитывая, сколько денег было вложено в Virgin Galactic и другие подобные компании с небольшими результатами, у критиков были основания для таких заявлений. Другие направляли свою критику на Ричарда Брэнсона в частности, поскольку многие в индустрии считали его недооценивающим масштаб задачи. «Это Брэнсон... который всегда был самым тревожным из космических ковбоев — продавая не только себя своим лихорадочным мечтам, но и своих доверчивых клиентов», — написал колумнист журнала Time в свете крушения. Действительно, Брэнсон сделал заголовки, вызвав некоторое недоумение, сначала дистанцировавшись от аварии, а затем заявив, что испытания SpaceShipTwo будут продолжаться, и что этот несчастный случай не помешает космическому кораблю вскоре начать перевозить платных пассажиров. Хотя некоторые клиенты, внесшие предоплату, отказались от услуг, большинство этого не сделали, и через два года замена SpaceShipTwo вернулась к испытаниям на космодроме Мохаве.
Крушение, однако, стимулировало серьезные размышления в Scaled Composites, что привело к внесению нескольких значительных изменений в конструкцию для повышения безопасности SpaceShipTwo. Одним из таких изменений стало введение электромеханического блокировочного устройства, предотвращающего развертывание перьев в трансзвуковой фазе. Под руководством Virgin Galactic компания также обновила руководство по эксплуатации для пилотов, предупреждая о последствиях слишком раннего разблокирования перьев; внедрила комплексную программу тренинга по управлению ресурсами экипажа; добавила протокол вызова и ответа для всех критически важных задач в полете; и начала более широкий обзор для выявления и устранения любых других «одиночных действий человеческой производительности, которые могли бы привести к катастрофическому событию».
Есть аргумент, и он не лишен оснований, что разработка современных космических аппаратов, как и разработка ранних самолетов, по своей сути опасна, и потеря одного корабля не должна ставить препятствия для всей отрасли. По мнению автора, это очевидная истина, хотя есть те, кто с этим не согласится. В то же время, однако, эта истина не оправдывает Scaled Composites и их плохую философию проектирования. Конечно, многие аспекты космических полетов толкают границы человеческих технологических возможностей, и когда что-то идет не так на пределе нашего знания и предвидения, это простительно. Но крушение SpaceShipTwo было вызвано чистой небрежностью. Такого не должно было случиться. Установка блокировки на рычаг разблокировки перьев была бы простой, и необходимость в ней должна была быть очевидной.
Также стоит задаться вопросом, были ли миллиардеры, финансирующие большинство коммерческих космических проектов, должным образом поучены этой аварией и ее уроками. Хотя есть много обоснованных критических замечаний к спорным космическим проектам Джеффа Безоса и Илона Маска, эти проекты до сих пор развивались так медленно, как это было необходимо, и избегали фатальных аварий. Что касается Ричарда Брэнсона, его заявление в 2009 году о том, что SpaceShipTwo начнет проводить регулярные коммерческие полеты через 18 месяцев, выглядит особенно глупо, учитывая, что по состоянию на 2022 год Virgin Galactic провела всего один пассажирский полет, который включал четырех сотрудников Virgin Galactic, включая самого Брэнсона, в прозрачной попытке опередить аналогичный полет Джеффа Безоса на следующей неделе.
Virgin Galactic в своем последнем обновлении заявила, что коммерческие полеты начнутся в «середине 2022 года», но по состоянию на сентябрь первый запланированный полет еще не состоялся. В отличие от этого, Blue Origin Джеффа Безоса на момент написания провела шесть успешных космических туристических полетов и, похоже, готова продолжать выполнять их все более регулярно. Конечно, это не должно быть гонкой, даже если миллиардеры относятся к этому как к соревнованию. Продвижение границ человеческих космических путешествий само по себе является достойной целью, независимо от того, кто заявляет о своем первенстве. Миллиардеры, особенно Брэнсон, должны это помнить. Они также должны стремиться к тому, чтобы их проекты обогащали человечество, а не только их собственные амбиции — что многим из них пока трудно демонстрировать. И хотя они должны признать, что несчастные случаи и аварии могут быть неизбежны, они должны избегать использования этой неизбежности в качестве оправдания для игнорирования уроков, которые мы уже извлекли. Наш путь к становлению космической цивилизацией не должен быть вымощен телами, но если мы будем верить, что это так, то это убеждение станет самоисполняющимся пророчеством.
