¿Por qué la prueba de aborto de SpaceX no se inició por una falla real del refuerzo?

Hoy (2020-01-19) SpaceX tuvo una prueba exitosa de aborto de vuelo. Por lo que puedo entender, a una altitud específica, Crew Dragon encendió sus motores y escapó del cohete.

Esta prueba parece una prueba de aborto muy segura, Dragon le ordenó a Falcon que se apagara y solo entonces encendió los motores Super Draco; si los motores de refuerzo todavía estuvieran encendidos, ¿chocaría con Dragon? (es decir, ¿la aceleración del propulsor sin dragón sería mayor que la aceleración del Dragón con sus motores Super Draco?)

Mi pregunta es ¿por qué esta prueba no usó fallas reales para activar ese aborto? Al igual que la etapa de refuerzo explota, y es detectado por Crew Dragon y activa el sistema de escape. Eso también podrá validar la detección de fallas reales.

Porque esa será una prueba diferente. Esta vez solo quieren saber si el sistema de escape funcionaría en condiciones relativamente ideales. En la práctica, no creo que se espere que el sistema de escape escape con éxito de una explosión. Si es así, entonces debería probarse de esa manera. Pero con el diseño actual si no escaparon unos segundos antes de la explosión, están jodidos, por diseño. Entonces, aunque esta prueba tiene algunas condiciones previas, en realidad no está tan lejos de la realidad.
@user3528438, Según tengo entendido, no hay otra prueba, la próxima será un vuelo real. También, por lo que puedo ver, el refuerzo se apagó justo antes de que Super Draco disparara.
Hay un punto reconocido para las pruebas en el que las pruebas se vuelven financiera o físicamente inviables: una vez que comienza a seguir el camino de "qué pasaría si..." hay miles de escenarios que requerirían sus propias pruebas individuales. ¿Qué pasaría si explotara el propulsor? ¿Qué pasa si el propulsor se desvía repentinamente de su curso en una cantidad significativa, causando una aceleración lateral? ¿Qué pasa si algo en el maletero explota? ¿Qué pasaría si ambas naves perdieran repentinamente toda la energía eléctrica? Etc, etc, etc. Debe aceptar que, a veces, las pruebas ideales son las únicas pruebas que obtendrá de manera realista.
Todavía me gustaría saber por qué cortaron la energía al amplificador. Esa podría ser una prueba más desafiante que con el refuerzo alimentado, o podría no serlo. Pero no creo que eso deba preguntarse por separado; podría ser parte de una respuesta a esta pregunta.
@Moo, Sí, hay muchos escenarios, pero eso no significa que probar el escenario más fácil sea la mejor opción.
@JithinJose mire cómo hacen las pruebas de evacuación en la industria de la aviación civil: en un hangar, con capacidad máxima de asientos, con personas a las que se les ha evaluado su estado físico y, por lo tanto, todos son preseleccionados (a menudo haciendo una simple carrera de obstáculos). A menudo, las diapositivas están preinfladas para garantizar que no haya problemas allí. Cuando surgió la prueba del A380 hace más de una década, la gente gritaba larga y duramente que era demasiado fácil, que las condiciones deberían haber sido mucho peores (y algunas personas incluso decían que debería haber sido arrojado al mar por un "realismo"). " prueba...).
@uhoh, ¿posiblemente porque se podría pensar que una situación de pérdida de energía RUD no inmediata es el escenario más común del que la tripulación necesita escapar? A menudo, el RUD viene más tarde (consulte el problema de aborto en vuelo de Soyuz, seguido de escape, seguido de un problema que se convierte en RUD). Esto cubriría cualquier cosa, desde fallas en la bomba, fallas en el cardán del motor, apagado no planificado del motor, incapacidad para organizar, etc., etc.
Una falla del motor a menudo cae en cascada hasta la estructura del cohete. Pero puede llevar tiempo hacerlo. Si ve muchos videos de fallas de cohetes, a menudo hay unos segundos entre el mal funcionamiento y el boom. La cápsula no puede correr más rápido que una onda de choque, pero puede salir mientras ocurre la cascada. Esta prueba simula escenarios muy comunes y algunos en los que pueden escapar del cuerpo explotando. Además, el cohete viajaba a más de Mac 2, una tarea difícilmente fácil a esa velocidad.
La pregunta tal como se indica es engañosa: "Dragón ordena ... apagar ..." El propulsor Falcon tiene su propio cerebro y fue preprogramado para apagarse antes de tiempo. El Dragón tuvo que detectar que el lanzamiento estaba fallando y decidir abortar.
@aml: Los anfitriones del webcast mencionaron que Dragon inicia toda la secuencia, incluido el comando F9 para que se apague. Era un poco ambiguo si Dragon continuaría detectando la pérdida de empuje e iniciaría el escape o si ese es solo el siguiente paso que ocurre después del apagado del refuerzo.
" Al igual que la etapa de refuerzo explota, y Crew Dragon lo detecta y activa el sistema de escape " Si la etapa de refuerzo explota con el Crew Dragon todavía conectado en ese momento, el Crew Dragon ciertamente no sobreviviría.
@TylerH CRS7: dijeron que la cápsula podría haberse recuperado si hubiera sido programada para usar sus rampas después de que explotara el refuerzo.
@LorenPechtel Soy escéptico con respecto a esa afirmación (y "recuperado" es un poco vago) sin ninguna prueba (no es que alguna vez quiera ver un evento en el que obtengamos alguna prueba).
@TylerH Me imagino que SpaceX sabe de lo que estaban hablando. Recuerde, el FTS en realidad solo abre el costado del cohete, los explosivos no dañarán la cápsula. Si la cápsula se separó en este punto, habrá una gran bola de fuego en su parte trasera, pero tiene su escudo térmico apuntando de esa manera, no debería importarle.
@LorenPechtel SpaceX puede saber lo que han calculado, pero no han probado esa configuración, por lo que no pueden estar seguros, de ahí mi escepticismo. Si quieren probar eso para mostrar el resultado, estaría feliz de revisar mi posición.
@TylerH El propulsor explotó, pero la segunda etapa salió ilesa. CrewDragon está aún más lejos. Realmente no veo cómo Crew Dragon " ciertamente no sobreviviría" cuando la segunda etapa sobrevivió y eso está mucho más cerca que Dragon...
@Bakuriu, enlace a las fotos/videos que muestran la segunda etapa "ilesa" después de que la primera etapa se convirtiera en una enorme bola de fuego. Sí, estos son cohetes destinados a soportar fuerzas g masivas y mucho calor. No, eso no significa que puedas explotar el cohete y la cápsula estará bien unida.
@Moo: si bien puede haber "miles de posibles modos de falla", me parece que la pregunta final es: ¿qué tan resistente es la cápsula? Si es lo suficientemente resistente, entonces cubre " miles" de escenarios allí mismo, ya que al final del día se trata de "¿cuál es la peor fuerza posible que se ejercerá sobre la cápsula?" Cuanto más de eso pueda tomar, más escenarios cubrirá. Creo que si puedes construir un sistema de cápsula que pueda sobrevivir a la detonación de un cohete, entonces eres bastante bueno para ir contra casi cualquier cosa, ¿no?
Con respecto a la carga útil que sobrevivió a la explosión de un propulsor mientras aún estaba conectado: cuando el transbordador espacial Challenger explotó durante el lanzamiento, al menos algunos miembros de la tripulación probablemente todavía estaban vivos hasta que la cabina de la tripulación golpeó el agua.

Respuestas (4)

Fue una falla real (aunque desencadenada externamente en lugar de accidentalmente), pero no es la única falla que puede ocurrir. y es el peor caso de una serie de los escenarios de falla más probables: falla múltiple del motor.

Si desea probar todas las formas imaginables en que un cohete puede fallar, está buscando miles, si no cientos de miles, de posibles escenarios de falla y nunca llegará a la órbita, por lo que eligieron uno que ellos y el cliente podrían estar de acuerdo en que era típico. .

Gracias por su respuesta. Sí, se hace durante Max Q. Pero, ¿calmarse y apagar todo el motor es el peor de los casos? Asegura una separación muy fácil (casi como la separación de la segunda etapa). Pero es comprensible que la idea fuera probar un sensio típico en lugar del más difícil para el que está diseñado el sistema de escape.
El apagado repentino de @JithinJose de todo el empuje es prácticamente el peor de los casos. Y las condiciones de vuelo estaban lejos de ser perfectas, con vientos cercanos a los límites para el Falcon 9. Prácticamente, lo único peor sería un aumento repentino de empuje después de activar la secuencia de escape, lo que provocaría una aceleración repentina y rápida que llevaría al propulsor directamente hacia el camino. de la cápsula que escapa. Y el empuje del sistema de escape está diseñado para protegerse contra tal escenario, sin duda se realizaron simulaciones por computadora para verificar eso.
Blue Origin logró probar su cancelación Max Q con el motor de refuerzo encendido... youtube.com/watch?v=_zWkvm7HpH8
La mayoría de la gente podría pensar en las explosiones de cohetes como el peor de los casos. Eso podría ser cierto, pero casi siempre ocurren segundos después del despegue mientras el cohete todavía viaja relativamente lento. Si desea probar su sistema de escape en Max Q, elija el peor de los casos que probablemente suceda en Max Q.
Creo que lo que están preguntando es: ¿por qué no simplemente presionar el botón de autodestrucción en medio del vuelo y ver si la cápsula puede o no sobrevivir a la explosión del cohete mientras aún está unida a ella (ya que no puede anticipar un detonación espontánea por definición), y alejarse de la bola de fuego sin que la fuerza la rompa y sin que la temperatura interior alcance niveles de cocción?
¿Qué tan mala es la presión en tal explosión en ese lugar del cohete, exactamente, en comparación con este escenario? Como si se supusiera que este es el peor de los casos, ¿serían condiciones menos extremas (incluso a pesar de la onda de choque presumiblemente hipersónica y [supongo]> bola de fuego de 2000 K)?
@Turksarama: SpaceX tuvo una sobrepresión en la segunda etapa y explotó justo después de Max Q.

Parece que piensas que estaban probando en condiciones ideales. Eso es lo más lejos de la verdad que puedes conseguir. El aborto ocurrió en el momento del vuelo con las peores condiciones aerodinámicas (llamado maxQ), cuando el propulsor todavía vuela lo suficientemente bajo en la atmósfera como para que exista una resistencia significativa, pero ya lo suficientemente rápido. Si Dragon puede escapar en este momento, puede escapar en cualquier otro momento en vuelo.

Tampoco creo que Dragon haya ordenado a Falcon que se apague. Tengo entendido que el comando de apagado del motor se envió de forma remota desde el centro de control. Dragon solo entonces reconoció condiciones anormales y decidió abortar por sí mismo; ese era un aspecto importante para la prueba.

Estoy de acuerdo en que podrían tener motores de refuerzo encendidos durante el aborto, pero ahí nos encontramos con lo que otros dijeron en los comentarios, hay una cantidad infinita de escenarios de falla y no pueden probarlos todos.

Dragon ordenó el apagado. Se aclaró en la rueda de prensa.
@Tim: Hay dos apagados de motor diferentes, uno fue parte de la prueba y el otro es parte de una secuencia de cancelación. Dragon ordenará el apagado como el primer paso en un aborto. Este aborto específico se desencadenó al apagar los motores cuando el vehículo alcanzó cierta velocidad/altitud, por lo que ya estaban apagados cuando comenzó la secuencia de aborto. Es posible que usaran al Dragón para enviar los comandos para hacerlo.
@ChristopherJamesHuff Interesante, entonces F9 hará un apagado normal, que es detectado por Dragon, luego le ordena a F9 que se apague nuevamente (supongo que tal vez para una separación segura) luego Super Draco dispara. ¿Es posible compartir algún documento/video de referencia?
@ChristopherJamesHuff No estoy seguro de que eso sea cierto: los propulsores draco que ya estamos disparando antes de que F9 se apague. ¿Es solo que transcurren unos segundos entre el comando de apagado y el apagado?
@Tim: Los propulsores SuperDraco ciertamente pueden responder más rápido que los Merlins (están diseñados como un mecanismo de cancelación), y la secuencia de cancelación probablemente comenzó cuando el empuje cayó por debajo de cierto umbral (probablemente dependiendo de qué tan avanzado fue el vuelo) o comenzó un declive lo suficientemente rápido como para indicar un problema irrecuperable, no cuando llegó a cero.
@JithinJose: Musk y creo que Shotwell lo describió en varios lugares, aunque no puedo encontrar nada específico en este momento. Aquí está John Gardi repasando la secuencia, aparentemente con la aprobación de Elon (los subprocesos de Twitter son bastante ambiguos y Musk no aclara mucho las cosas): mobile.twitter.com/John_Gardi/status/1219148259555532800
@Tim, sí, el comando de apagado apaga el suministro de combustible/oxidante a los motores, pero todavía hay RP1 y LOX en las líneas que mantendrán la combustión durante un período breve. De ahí el aparente retraso.

En el evento de medios posterior al lanzamiento con Jim Bridenstine y Elon Musk, se hizo una pregunta similar y Elon dijo que la cápsula sería capaz de "volar a través de la bola de fuego" y explicó cómo incluso en una falla crítica, el Falcon 9 no Realmente no explota, sino que provoca una gran bola de fuego (sin una gran onda de presión). Además, se mencionó que la cápsula con empuje superdraco es capaz de alcanzar 6 ge de aceleración, lo que es más que suficiente para alejar la cápsula de los motores de la primera etapa que todavía están encendidos.

Creo que estás trabajando a partir de una suposición defectuosa aquí.

...si los motores de refuerzo todavía estuvieran encendidos, ¿chocaría con Dragon?

Si los motores de refuerzo todavía están encendidos, no hay razón para desencadenar el escape, aparte de un mal funcionamiento grave del control (al estilo Ariane 5), que no fue lo que se probó aquí. Cualquier tipo de falla del propulsor que no sea un mal funcionamiento del control, hasta la conflagración total (por ejemplo, debido a tanques rotos), resultará en una pérdida de empuje.

Mi pregunta es ¿por qué esta prueba no usó fallas reales para activar ese aborto? Al igual que la etapa de refuerzo explota, y es detectado por Crew Dragon y activa el sistema de escape.

El modo de falla (realista) aquí fue "pérdida inesperada de empuje". El otro modo de falla habría sido "mal funcionamiento catastrófico del control". Eligieron uno.

Suponga que hubo un empuje desequilibrado o motores que se bloquearon. Al igual que Ariane 5, sé que sucedió algo similar con Soyuz y GSLV. La mayoría de ellos no parecieron dar como resultado una pérdida de empuje de equilibrio controlado, ya sea que condujo a una explosión o se fue a un AoA alto. Tal vez me equivoque, pero no me parecieron fallas en los cohetes, que apagaron todos sus motores de refuerzo sin problemas al mismo tiempo. Comparta conmigo cualquier información de este tipo si está disponible. Me corregiré.
@JithinJose: el empuje desequilibrado equivale a un empuje reducido. El empuje desequilibrado y el bloqueo del cardán equivalen a un AoA alto, lo que equivale a un mal funcionamiento grave del control. La explosión del propulsor equivale a una pérdida repentina de empuje. La pérdida repentina de empuje es un modo de falla perfectamente válido. El mal funcionamiento del control catastrófico es el otro. Eligieron uno. Cuando todos los motores están a pleno rendimiento y en curso, no desencadena el escape. Si el propulsor comienza a tener un AoA alto, usted activa el escape y el propulsor no sigue el camino de la cápsula . De cualquier manera, no escapará de un impulsor de empuje del 100% en su camino .
@JithinJose: E incluso entonces, sería un sistema de escape muy mal diseñado si no pudiera hacer eso también. Eso, sin embargo, es una cuestión de empuje por peso y realmente no necesita pruebas por separado. Detectar la pérdida de empuje y activar el escape es la parte que se probó, no el empuje de escape (que se puede probar estáticamente, sin gastar un refuerzo).
No estoy de acuerdo con nunca activar el escape cuando los motores están funcionando correctamente. Piense en el desastre del Challenger. La forma en que SpaceX instrumenta todo, sospecho que habrían detectado el quemado, si una cámara pudiera observarlo, puedo ver que el control de tierra se da cuenta del peligro a tiempo y les dice que salgan de allí. Y pensé que los motores de escape eran lo suficientemente potentes como para huir del propulsor cuando aún estaba ardiendo.
@LorenPechtel: Como dije, el exceso de empuje para alejarse de un refuerzo funcional se puede probar estáticamente. No estoy de acuerdo con el escenario del Challenger: no presionas el gran botón rojo en el momento en que un sensor se vuelve loco, y ciertamente no escapas automáticamente en él. Desde la caída de la presión del tanque externo (la primera indicación de que algo andaba realmente mal) hasta la desintegración del transbordador transcurrieron 7 segundos. De todos modos... si el Challenger tuviera un sistema de escape, aún habría sido suficiente para alejarse ante la repentina pérdida de aceleración de T+73...
@DevSolar Ciertamente no querrías escapar automáticamente de Challenger, pero lo que digo es que la forma en que SpaceX equipa sus cohetes, un humano muy bien podría haber visto el incendio a tiempo para reconocer el peligro y decirles que lo hagan. separado.
@LorenPechtel: Entiendo lo que decías, pero no estoy de acuerdo. Los sensores se apagan "todo el tiempo", pero nadie presiona inmediatamente "abortar". ¿Por qué no? Porque eso no es una bomba de alto explosivo que explota; en el peor de los casos, el refuerzo se desintegra y una gran bola de fuego (pero no una onda de presión). Eso es una pérdida repentina de empuje para ti. Encienda los motores de escape y la cápsula se liberará de la conflagración. Tripulación salvada. (Para otra referencia histórica, el Apolo 13 no abortó a pesar de que perdió 1/5 de su empuje en el lanzamiento...)
@DevSolar Sensors, no, pero ¿cámaras? Estoy hablando de alguien que vio la quema del propulsor.
@LorenPechtel: ¿Te refieres al "ver" que nadie en el control de la misión comentó, y que requirió la revisión del metraje desde varios ángulos después del hecho para averiguarlo? Nuevamente, no presionas el botón de cancelar por capricho, tirando por la borda la misión. Sobrevivieron a la desintegración de la nave , como era de esperar. Los motores de escape disparando a T+73 habrían sido suficientes.
¿Por qué la prueba de aborto de SpaceX no se inició por una falla real del refuerzo?
RespuestasAquíPolítica de privacidad1y, 0v