Наша ответственность как ученых, понимающих огромную ценность философии незнания и огромный прогресс, который является плодом свободы мысли, состоит в том, чтобы провозглашать ценность этой свободы, учить не бояться сомневаться, приглашать к дискуссии и требовать этой свободы — это наше обязательство перед всеми грядущими поколениями.
7. Особое мнение Ричарда Фейнмана, касающееся следствия по делу космического корабля-челнока «Челленджер»
Когда космический корабль «Челленджер» взорвался вскоре после запуска 28 января 1986 года, трагически погибли шесть профессиональных астронавтов и один преподаватель. Нация была потрясена, и НАСА (государственная организация США, занимающаяся исследованием космоса — National Aeronautic and Space Administration) встряхнули от благодушия, вызванного годами успешных космических полетов — или по крайней мере полетов без смертельных исходов. Была создана комиссия, возглавляемая государственным секретарем Уильямом Роджерсом, в состав которой вошли политики, астронавты, военные и один ученый — они должны были проанализировать случившееся и рекомендовать меры по предотвращению в будущем подобных происшествий. Тот факт, что Ричард Фейнман оказался тем единственным ученым, привело к достаточно резкому различию в ответах на вопрос, почему «Челленджер» потерпел крушение — и, может быть, именно он приоткрыл завесу вечной тайны гибели корабля. Фейнман был человеком бесстрашным и не побоялся озвучить свою точку зрения на всю страну, донести ее до инженеров, которые понимали, что, по сути, подготовкой и безопасностью программы космических челноков руководила пропаганда. Его доклад поставил НАСА в неудобное положение и всячески замалчивался комиссией, но Фейнман боролся за его включение в выводы комиссии; и в результате он был опубликован в приложении. Когда комиссия устроила пресс-конференцию для ответов на вопросы журналистов, Фейнман проделал свой ныне знаменитый настольный эксперимент с одним из уплотнителей корабля — уплотнительным кольцом — и чашкой с ледяной водой. Этот опыт с очевидностью доказывал, что ключевые уплотнители ломались, а предупреждения инженеров о том, что снаружи слишком холодно для ухода корабля со старта, не были приняты во внимание менеджерами, во что бы то ни стало желающими пунктуально соблюдать расписание полетов в угоду своим боссам. Перед вами этот исторический доклад.
Существует, как я понимаю, колоссальное несоответствие мнений членов комиссии, по-разному трактующих потерю космического корабля и трагическую гибель людей. Грубая оценка диапазона вероятности крушения колеблется от 1/100 до 1/100000. Более высокие цифры получены работающими в проекте инженерами, а самые низкие — руководством. Что же произошло, и каковы следствия несогласованности мнений? 1 случай из 100 000 означает, что можно запускать челнок каждый день в течение 300 лет с предполагаемой потерей одного корабля за все время запусков. Собственно, напрашивается вопрос: «В чем причина фантастической веры руководства в двигатели ракеты?»
Другой обнаруженный факт свидетельствует, что критерий сертификации, используемый в «Руководствах по подготовке полетов», часто разрабатывается с постепенным понижением его точности. Аргумент, что подобные риски имели место и раньше и не приводили к авариям, принимается как свидетельство в пользу допустимой безопасности. По этой причине критерий сертификации снова и снова ослабляется — нередко без достаточно серьезных попыток уменьшить риски или отложить полет из-за их постоянного присутствия.
Существует несколько источников информации. Публикуются критерии сертификации, включающие историю их изменений в форме отказа от требований и стандартизированных отклонений. Кроме того, в «Руководстве по подготовке полетов» для каждого документа по полетам приведены аргументы для установления полетных рисков. Информация была получена мною из прямых свидетельских показаний и докладов офицера службы безопасности полигона, Льюиса Уллиана, относящихся к успешному запуску ракет на твердом топливе. Существуют и более поздние его исследования (как главы группы экспертов по безопасному прерыванию запусков (LASP)) по определению рисков, в том числе в случае несчастий, ведущих к радиоактивному заражению при использовании плутониевого топлива (RTG) для будущих межпланетных полетов. Доступно также исследование НАСА по этому вопросу. Для получения информации об основных двигателях космического челнока я побеседовал с руководством и инженерами из центра космических полетов имени Маршалла и, кроме того, пообщался с инженерами из «Рокетдайн»[23]. Я имел неофициальную беседу с независимым инженером-механиком из Калтеха, который консультируете НАСА производство и сборку двигателей. Визит к Джонсону был обусловлен сбором информации о надежности авиационной радиоэлектроники (компьютеров, датчиков и эффекторов). И наконец, существует доклад «Обзор сертификационной деятельности, потенциально применимой к ракетным двигателям многократного использования, пригодным для полетов человека», подготовленный в Лаборатории реактивного движения Н. Муром с сотрудниками в феврале 1986 года для руководства по управлению космическими полетами НАСА. В докладе рассматриваются методы, применяемые Федеральным авиационным агентством (FAA) и военными для сертификации газовых турбин и ракетных двигателей. С авторами доклада также состоялся неформальный разговор.
Ракеты на твердом топливе (SRB)
Оценка надежности ракет на твердом топливе была выполнена офицером службы безопасности полигона, изучившим опыт всех предыдущих полетов ракет. Из полного числа порядка 2900 полетов 121 оказался неудачным (1 к 25). Сюда, однако, включены так называемые ранние ошибки, когда ракета запускалась по нескольку раз, при этом определялись и фиксировались конструкторские ошибки. Более разумные цифры для ракет с продуманным дизайном — 1 к 50. При особой тщательности в выборе деталей и надежном обследовании эти цифры могут стать ниже и достигнуть значения 1 к 100, правда, цифра 1 к 1000 вряд ли достижима при современной технологии. (На космическом челноке две такие ракеты, поэтому скорость его крушения из-за отказа ракет-носителей на твердом топливе должна удваиваться.)
Официальные представители НАСА приводят доводы в пользу гораздо меньших цифр. Они утверждают, что эти цифры справедливы для ракет, не укомплектованных людьми, но так как челнок является средством, управляемым людьми, «вероятность успешного полета очень близка к 1,0». Не очень ясно, что означает эта фраза. Означает ли это, что цифра близка к 1 или должна быть близка к 1? Они продолжают объяснять: «исторически эта чрезвычайно высокая степень успешного полета объясняется разницей философий между программами космического полета с экипажем и без экипажа; то есть употребление численной вероятности против выводов инженеров». (Эти цитаты взяты из «Space Shuttle Data for Planetary Mission RTG Safety Analysis», pages 3–1,3–2, February 15, 1985, NASA, JSC.) Ясно, что, если бы вероятность крушения составляла 1 к 100 000, необходимо было бы провести чрезмерно большое число тестов для ее определения (вы ничего не получите, кроме цепочки успешных полетов, из которых не вытекает никакая правильная цифра, а только то, что вероятность вряд ли меньше числа таких полетов в цепочке). Но если фактическая вероятность не так мала, полеты должны вызывать тревогу, обоснованные оценки должны вызывать опасение реального крушения. Весь предыдущий опыт НАСА указывает на возможность случайных трудностей, почти несчастных случаев и самих несчастных случаев — все это служит предупреждением, что вероятность крушения полетов не так мала. Непоследовательность аргументации не определяет надежности на основе истории полетов и испытания двигателей, как это делает офицер службы безопасности и к чему апеллирует НАСА: «Исторически такая высокая степень успешных полетов…» В конце концов, если мы сравним стандартную численную вероятность и заключения инженеров, откуда такое огромное расхождение между оценкой руководства и выводами инженеров? Может оказаться, что для любой цели, для внутреннего и внешнего потребления, руководство НАСА преувеличивает надежность своего продукта до фантастических цифр.
Не буду здесь заново излагать историю сертификации и «Руководство по подготовке к полетам». (Смотрите соответствующие разделы докладов комиссии.) Совершенно очевидно допустить в предыдущих полетах такие явления, как газопропуск (просачивание газа) и эрозию. Полет «Челленджера» — тому поучительный пример. Имеется несколько ссылок на предыдущие полеты. Одобрение и успех предыдущих полетов рассматриваются как доказательство безопасности. В конструкции не предполагалось ни эрозии, ни газопропуска — следовательно, если она есть, значит, конструкция «предупреждает»: что-то работает не так. Агрегаты работают не так, как ожидалось, и потому существует опасность, что они могут работать даже с большими отклонениями, причем неожиданным и не вполне понятным образом. Тот факт, что эта опасность не приводила раньше к катастрофе, не является гарантией, что ничего не случится в дальнейшем, если только все полностью не понять и не проанализировать. При игре в русскую рулетку, если в первой попытке вы избежали опасности, это дает небольшую надежду избежать ее в следующей. Причина и следствие возникновения газопропуска и эрозии не понятны. Они не проявляются одинаково во всех полетах и всех узлах; иногда больше, иногда меньше. Почему когда-нибудь в будущем, когда условия станут более подходящими, это не может привести к катастрофе?
