Как спасали SOHO. Часть 1. Авария

[voenny]

SOHO
Космическая обсерватория SOHO (Solar and Heliospheric Observatory) является одним из самых успешных научных космических аппаратов. Запущенная в 1995-м году и введенная в эксплуатацию почти 29 лет назад, она до сих пор активно работает и обеспечивает получение новых знаний о Солнечной системе. Одних только комет при помощи инструмента LASCO было открыто более трех тысяч.
Летом 1998 года связь с космическим аппаратом была потеряна на 44 дня из-за ошибок группы управления в Центре космических полетов им. Годдарда NASA. Комиссия, расследовавшая этот случай, пришла к выводу, что борт был спроектирован правильно и работал штатно, все промахи были допущены на Земле.
В этой части описаны устройство обсерватории, ход и анализ событий, которые привели к потере связи. Рассказ о том, как спасли обсерваторию запланирован в следующей серии, тем более, что космический аппарат был спасен дважды: летом 1998 года, когда была восстановлена связь и в январе 1999 года, когда на обсерватории был внедрен режим работы без отказавших датчиков угловой скорости.


Международная обсерватория на гало-орбите



Трехмерная модель космической обсерватории
Проект SOHO является международным, его совместно выполняют Европейское космическое агентство и NASA (США) в рамках программы ISTR (International Solar Terrestrial Program). Вклад NASA состоит в поставке ряда инструментов полезной нагрузки и приборов космической платформы (точные датчики Солнца, усилители мощности радиолиний, магнитофоны), запуске на ракете-носителе Atlas IIAS и управлении полетом космического аппарата (выполняется Центром космических полетов им. Годдарда с привлечением антенн сети дальней космической связи).
В отличной галерее на сайте NASA опубликованы фотографии космического аппарата на разных этапах:



Сборка



Проверки



Установка головного обтекателя ракеты-носителя



Запуск на орбиту

Обсерватория была запущена 2 декабря 1995 года, с ней была штатно установлена связь, проверено раскрытие солнечных батарей и построение солнечной ориентации и начался этап перелета на рабочую гало-орбиту. Перелет длился 4 месяца и содержал две коррекции траектории (через 36 часов и через 20 суток после запуска).



В апреле 1996 года были завершены летные испытания обсерватории на рабочей орбите и началась эксплуатация космического аппарата по назначению. SOHO работает на достаточно необычной орбите, расположенной в окрестности точки L1 системы Земля - Солнце.



Точки Лагранжа в системе Солнце - Земля
В точках Лагранжа (или точках либрации) гравитационные силы, действующие на космический аппарат со стороны Земли и Солнца, уравновешивают друг друга, и находящееся в них тело может оставаться неподвижным относительно и звезды, и планеты. В точке L1 равновесие неустойчивое, ведь при смещении в сторону любого из двух тел, сила притяжения к нему увеличится, и смещение будет нарастать.



Гало-орбита SOHO
SOHO работает на замкнутой периодической гало-орбите возле точки L1. Ранее, в 1978 году, на подобную орбиту был запущен космический аппарат ISEE-3, выполнявший поиск комет. Гало-орбита имеет размеры примерно 206 х 666 х 120 тыс. км., период обращения - 178 дней. Орбита является неустойчивой, требуются регулярные коррекции для её поддержания, впрочем, затраты рабочего тела не слишком велики. К слову, аппарат ISEE-3 тоже оказался космическим долгожителем (хотя и был уведен с гало-орбиты после трех лет работы) - группа энтузиастов проводила сеансы с ним в 2014 году.

Технические характеристики космического аппарата
Исполнитель: Matra Marconi Space, Тулуза, Франция.
Запуск: 02.12.1995 в 08:08:01 UTC с площадки LC-39B базы космических сил США «Мыс Канаверал.
Номер: 23726, 1995-065А.
Ракета-носитель: Atlas IIAS.
Рабочая орбита: круговая гало-орбита в окрестности точки либрации L1 системы Солнце - Земля.
Масса: 1866 кг (из них 252 кг топлива).
Габариты: 4,3х2,7х3,7 м в транспортном положении, 9,5 м с раскрытыми панелями солнечных батарей.
Стоимость проекта: 1,2 млрд. долл.
Срок активного существования: 2 года (запас топлива на 6 лет).
Страница спутника на сайте space.skyrocket.de

Космический аппарат



SOHO состоит из двух конструктивно оформленных модулей: модуля полезной нагрузки с размещенной на нем научной аппаратурой и модуля космической платформы, где размещены обеспечивающие системы.
Про космический аппарат напишу подробнее, чем обычно в рубрике НШС: всегда интересно, как устроена техника, отработавшая почти 5 технических ресурсов.

Полезная нагрузка



Приборы полезной нагрузки
На борту космической обсерватории установлены 12 приборов, созданных в 39 институтах из 15 стран:
CDS: Coronal Diagnostic Spectrometer (Rutherford Appleton Lab., Великобритания);
CELIAS: Charge, Element and Isotope Analysis System (Max-Planck-Institut für
extraterrestrische Physik, Германия / Univ. of Bern, Швейцария /Univ. of Kiel, Германия);
COSTEP: Comprehensive Suprathermal and Energetic Particle Analyser (Univ. of Kiel, Германия);
EIT: Extreme-ultraviolet Imaging Telescope (Institut d’Astrophysique Spatiale, Франция);
ERNE: Energetic and Relativistic Nuclei and Electron experiment (Univ. of Turku, Финляндия);
GOLF: Global Oscillations at Low Frequencies (Institut d’Astrophysique Spatiale, Франция);
LASCO: Large Angle and Spectrometric Coronagraph (Naval Research Lab., США);
MDI: Michelson Doppler Imager (Stanford Univ., США);
SUMER: Solar Ultraviolet Measurements of Emitted Radiation (Max-Planck-Institut für Sonnensystemforschung, Германия);
SWAN: Solar Wind Anisotropies (Institut Pierre Simon Laplace, Lab. Atmosphères, Milieux, Observations Spatiales, Франция);
UVCS: Ultraviolet Coronagraph Spectrometer (Harvard-Smithsonian Center for
Astrophysics, США);
VIRGO: Variability of Solar Irradiance and Gravity Oscillations (Physikalisch
Meteorologisches Observatorium/World Radiation Center, Davos, Швейцария).
Общая масса полезной нагрузки составляет 655 кг. Приборы скомпонованы в модуль размером 2,9х2,5х2,67 м. Для обеспечения качества измерений отдельные приборы термостатированы с точностью ±1° на временном интервале 2 месяца. Температура посадочного места модуля полезной нагрузки поддерживается на уровне 20° ± 2,5°.
Судя по фотографиям, сборка и испытания модуля полезной нагрузки проводятся автономно, а уже затем модуль стыкуется с космической платформой.

Космическая платформа



Функциональная схема

Радиолинии



Остронаправленная антенна с приводом
Командная и телеметрическая радиолинии обсерватории работают в S-диапазоне электромагнитного излучения. Командная информация передается на частоте 2067,27 МГц. Передача научной и телеметрической информации ведется на частоте 2245 МГц. Скорость передачи телеметрии - 1 Кбит/с, научных данных - до 220 Кбит/с. Поляризация сигнала - левая и правая круговая.
Выходная мощность передатчика составляет 10 Вт, усиление ненаправленных антенн, имеющих сферическую суммарную диаграмму направленности - минус 31 дБи, усиление остронаправленной антенны диаметром 80 см - 22,7 дБи. Остронаправленная антенна имеет привод и может перенацеливаться в диапазоне углов ± 32°, такое наведение необходимо при полете по гало-орбите. Запас бюджета радиолинии равен 3 дБ. Точность измерения параметров орбиты составляет ± 5 см.

Система управления



Бортовая вычислительная машина
Система управления космического аппарата построена на базе двух вычислительных машин с 16-разрядными микропроцессорами MAS 281, использующими набор команд по стандарту MIL-STD-1750A. Одна машина обеспечивает общее управление космическим аппаратам, вторая - управление ориентацией и стабилизацией (кроме начального захвата Солнца, эту особо важную задачу оставили первой машине).
Оперативная память вычислительных машин равна 64 тыс. слов, запас по оперативной памяти для основной машины равен 22 %, для машины системы ориентации и стабилизации - 60 %. Кроме того, основная машина имеет оперативную память на 8 КБайт для записи состояния («контекста») при сбоях и авариях.
Постоянное запоминающее устройство основной машины имеет объем 40 тыс. слов (проектный запас - 12 %). Для машины системы ориентации данные параметры равны 32 тыс. слов и 41 % соответственно.
Для хранения целевой и телеметрической информации используются магнитофон емкостью 1 Гбит и твердотельное запоминающее устройство емкостью 2 Гбит.
Точность поддержания бортовой шкалы времени (используется шкала UTC) - ±6х10-9.
Для управления бортовой аппаратурой в состав вычислительной системы входят три оконечных устройства (терминала). Все блоки выполнены резервированными.

Система электропитания



Раскрытие панелей солнечных батарей
Учитывая, что в точке либрации L1 космический аппарат постоянно освещен лучами Солнце, построение системы питания на базе солнечных батарей с буферными аккумуляторными батареями было очевидным ходом.
Солнечные батареи мощностью 1500 Вт выполнены в виде двух крыльев по две панели в каждом. Размеры одного крыла - 3,66 х 2,3 м. Крылья неподвижно закреплены на корпусе космического аппарата, благо приборы полезной нагрузки постоянно наводятся на Солнце с высокой точностью. На каркасах панелей солнечных батарей закреплены кремниевые фотоэлементы с коэффициентом полезного действия 13,2 %. Поэтому в конце срока эксплуатации батареи выдают ток не менее 50 А при напряжении 28 В. Проектный запас мощности солнечных батарей составляет 10 %.
Аккумуляторные батареи (2 шт.) никель-кадмиевые, каждая состоит из 32 соединенных последовательно аккумуляторов емкостью 20 А·ч. Энергоемкость аккумуляторной батареи при разряде на 90 % составляет 900 Вт·ч. Проектный запас емкости аккумуляторных батарей - внушительные 152 %.
Регуляторы заряда батарей (2 шт.) обеспечивают заряд с номинальным током 1 А и компенсацию саморазряда током 90 мА. Коэффициент полезного действия прибора равен 77 %.
Регуляторы разряда батарей (4 шт.) обеспечивают формирование бортовой шины напряжение 28 В ± 1 %. Максимальный ток разряда для каждого из четырех приборов составляет 14,6 А, КПД - 92 %.
Минимальное рабочее напряжение на шине составляет 26 В, при напряжении 23,5 В система электропитания автоматически переходит в защитный режим с отключением большинства потребителей, причем данная защита встроена в коммутаторы питания потребителей.
К слову, в момент пуска ракеты-носителя космический аппарат находится во включенном состоянии с питанием от аккумуляторных батарей: включены вычислительные машины, раскручены роторы гироскопов, более того - обеспечивается поддержание теплового режима.

Система ориентации и стабилизации



Оси ориентации космического аппарата
Как и у большинства орбитальных телескопов, данная система имеет выдающиеся параметры. Точность наведения осей приборов полезной нагрузки на Солнце составляет 1 угл. секунду в течение 15 минут и 10 угловых минут в течение полугода. Точность поддержания угла крена (вокруг оси Х, совпадающей с осями инструментов) - 90 угл. секунд в течение 15 минут. Обратим внимание, что точность в 1 угловую секунду обеспечивается даже при работе механизмов на борту спутника (например, при работе привода антенны), а если приводы отключены точность повышается до нескольких десятых угловой секунды.
В состав системы ориентации входят два звездных датчика, три грубых и два точных датчика Солнца, три гироскопических датчика угловой скорости, а также исполнительные органы - 4 двигателя-маховика. Сброс накопленного кинетического момента двигателей-маховиков требуется один раз в 17 недель. Для выполнения данной операции используются реактивные двигатели.
Оси космического аппарата
Рассказ о нештатной ситуации требует ссылок на оси космического аппарата, вокруг которых происходит вращение. Они приведены на рисунке в начале раздела и определяются примерно так:
Х - ось крена - совпадает с оптическими осями приборов полезной нагрузки, является осью симметрии космического аппарата, в полете всегда должна быть направлена на центр Солнца;
Y - ось тангажа - лежит в плоскости раскрытых солнечных батарей, совпадает их осью симметрии;
Z - ось рыскания - дополняет систему координат до правой, в полете всегда должна быть параллельна оси вращения Солнца.
Режимы ориентации
После отделения от средств выведения SOHO выполняет гашение угловых скоростей, полученных при отделении космического аппарата и наведение на Солнце по сигналам грубых датчиков. При выполнении данных операций для выдачи управляющих моментов используются реактивные двигатели.
Затем выполняется раскрытие солнечных батарей, повторная ориентация на Солнце и переход в точный режим (Mission Mode): включаются точные датчики Солнца, звездные датчики и двигатели-маховики. В данном режиме можно выполнять наблюдения. При этом ось Х (крена) обсерватории всегда направлена на центр Солнца.
Аварийная защита
Для парирования нештатных ситуаций в состав системы введен отдельный модуль электроники FDE (Fault Detection Unit), который аппаратно реализует аварийный режим ESR (Emergency Sun Reacquisition), в котором ось Х направлена на Солнце и отсутствует вращение вокруг этой оси. При этом используются датчики Солнца и угловой скорости, а исполнительными органами являются реактивные двигатели. Система переходит в данный режим автоматически, гарантируется как минимум 48 часов полета в данном режиме без негативных последствий для спутника. Выход из режима ESR возможен только по команде от наземного комплекса управления. При этом управление передается вычислительной машине системы ориентации, и обсерватория переходит в режим ISA (Initial Sun Acquisition). А уже из режима ISA можно перейти в точный режим Mission Mode.
На модуль FDE поступали сигналы как с датчиков угловой скорости, так и от двух предельно простых аварийных датчиков Солнца, выполненных в виде цилиндра, на дне которого размещен фотоэлемент. Грубый датчик Солнца срабатывал, если угол между направлением на светило и нормалью к посадочной поверхности превышал 5°, а второй - при достижении порога в 25°.



Аварийные датчики Солнца
Датчики угловой скорости
Гироскопические датчики угловой скорости используются только в режимах, где в контуре управления используются реактивные двигатели (ESR, ISA и сброс кинетического момента двигателей-маховиков).
Гироскопы А и В подключены к модулю электроники FDE, реализующему аварийный режим ESR, первый просто выполняет функции датчика угловой скорости, а второй - следит за угловой скоростью, и при её превышении инициирует переход в аварийный режим. Третий гироскоп подключен к вычислительной машине системы ориентации.
Датчики угловой скорости SOHO были точно такими же, как и гироскопы спутника BeppoSAX, запущенного 30.04.1996. Опыт летной эксплуатации приборов оказался негативным: за первые 11 месяцев полета вышли из строя 4 из 6 датчиков. Хотя в системе ориентации SOHO датчики угловой скорости большую часть времени не используются, было принято решение экономить их ресурс, для чего всегда держать гироскоп А в режиме готовности, и оперативно включать его только при переходе системы в режим ESR. В общем, Центр имени Хруничева оказался совсем не одинок в своих злоключениях с гироскопическим измерителем вектора угловой скорости на борту «Монитора-Э».
И ещё одна особенность электромеханических приборов: гироскопы требовали регулярной калибровки в полете для измерения дрейфа нуля (т.е. показаний датчика при нулевом значении угловой скорости SOHO). Найденное значение дрейфа нуля гироскопа передавалось на борт и вычиталось из измеренного значения при обработке показаний датчика. Калибровку обычно совмещали с разгрузкой двигателей-маховиков, которую проводили раз в два месяца.

Двигательная установка



Схема расположения двигателей
Двигательная установка SOHO предназначена и для коррекции параметров орбиты, и для выдачи управляющих моментов для ориентации космического аппарата в пространстве. В состав двигательной установки входит сферический бак для гидразина с мембранным разделителем полостей топлива и вытеснительного газа, а также 16 двигателей тягой по 4 Н, объединенных в две ветви (А и В) по 8 двигателей. Ветвь А является основной, В - резервной. Тяга двигателей снижается по мере выработки топлива и уменьшения давления в баке от 4,2 Н в начале эксплуатации (при давлении 22,4 бар) до 2,2 Н в конце (при 6,6 барах давления). Удельный импульс тяги двигателя - 220 с.
Запас топлива составляет 251 кг, что соответствует запасу характеристической скорости в 318 м/с, из которых 275 м/с предназначены для поддержания орбиты.
Гало-орбиты требуют регулярных коррекций для поддержания номинальных параметров. Для SOHO принята стратегия, при которой корректирующие воздействия выдаются вдоль прямой, связывающей обсерваторию и Солнце, т.е. вдоль оси Х. При этом для выдачи импульса тяги в положительном направлении применяются двигатели 1 и 2, в отрицательном - двигатели 3 и 4. Коррекции проводились с интервалами порядка 3 месяцев, всего от момента запуска до нештатной ситуации выполнено восемь маневров. Обычно маневр не превышал 0,5 м/с. Маневр обязательно должен выполняться, если расчетное изменение характеристической скорости достигает 1,5 м/с, ведь далее затраты топлива на маневр растут в геометрической прогрессии, удваиваясь каждые 16 дней.
Одновременно с коррекциями поддержания орбиты выполнялся сброс накопленного кинетического момента двигателей-маховиков. При этом одновременно возникает импульс, влияющий на параметры орбиты и составляющий от 2 см/с (до нештатной ситуации) до 8 см/с (после восстановления работы SOHO). Это влияние обязательно учитывалось при управлении.
На момент нештатной ситуации в баке SOHO оставалось 206 кг гидразина.

Конструкция



Наземный сегмент



Антенны сети дальней космической связи NASA
Управление SOHO осуществляется Центром космических полетов им. Годдарда NASA с привлечением фирмы Allied-Signal Technical Services Corporation. Для связи с обсерваторией используются антенны сети дальней космической связи, расположенных в Голдстоуне, Мадриде и Канберре с диаметром зеркала 26 метров.
Центр управления полетом SOHO был размещен в IMOC (ISTR Mission Operation Control Center), который на момент нештатной ситуации находился на этапе летных испытаний. После понимания, что на борту развивается нештатная ситуация группа управления полетом переместилась в проверенный мобильный комплекс TPOCC (Transportable Payload Operations Control Center).
Типичный цикл управления состоит из одного периода продолжительностью 8 часов, в ходе которого выполняется сеанс связи с непосредственной передачей научных данных, трех периодов по 3,73 ч. без связи (научная информация записывается на накопители) и трех сеансов связи продолжительностью по 1,6 ч, в ходе которых данная информация воспроизводится.
Циклограммы калибровки гироскопов
Для калибровки датчиков угловой скорости были разработаны пять циклограмм, которые были оформлены в виде программ на языке TSTOL (TPOCC System Test & Operations Language). Вот они:
IRU-WAKE - включение всех трех гироскопов;
A-CONFIG-1 - первая фаза калибровки;
A-CONFIG-2 - вторая фаза калибровки;
A_CONFIG_N - настройка гироскопов для штатной эксплуатации;
IRU-REST - отключение гироскопов В и С, перевод гироскопа А в режим готовности, включение функции запуска гироскопа А при переходе в аварийный режим ESR.
В полете примерно раз в два месяца сначала выполнялась калибровка гироскопов путем запуска всех пяти циклограмм, а через сутки - сброс накопленного момента двигателей-маховиков. Для последней операции гироскопы снова «будили», запуская циклограмму IRU-WAKE.
В феврале 1997 года во исполнение решения о сбережении ресурса гироскопов циклограммы были немного доработаны. В частности, в A_CONFIG_N включили команды на отключение гироскопа А, забыв включить команды на его включение в случае аварии. И это было большой ошибкой.

Развитие нештатной ситуации

Пацаны, как всегда, торопились…
«Проф. Лебединский»



Последовательность событий
Февраль 1997 года - доработана циклограмма A_CONFIG_N, в её новой версии исключено включение гироскопа А в случае возникновения аварии.
Апрель и сентябрь 1997 года - калибровка гироскопов успешно выполнена со старой версией циклограммы A_CONFIG_N.
Март 1998 - наблюдался третий за время полета уход в аварийный режим (ESR-3), при выводе космического аппарата из нештатной ситуации в режим попали повторно (ESR-4). Здесь и далее цифра в наименовании режима - это его порядковый номер с момента запуска SOHO. Причиной стали ошибки в наземном программном обеспечении, но полноценного расследования эпизода выполнено не было.
Май 1998 - успешно завершена основная двухлетняя миссия SOHO, начата расширенная миссия продолжительностью 6 лет.
Июнь 1998 - на период с 24 по 29 июня были запланированы технологические работы с обсерваторией, причем график был построен очень жестким ввиду ограничений на сеансы связи с антеннами дальней космической связи и научной программой. Тут от себя отмечу, что проблема является общей: как только аппарат построит штатную ориентацию, все руководители начинают рваться к целевой информации, как танкист к Берлину. А когда она появляется, тут же находятся интересные объекты, наблюдение которых нужно немедленно выполнить. Поэтому на технического руководителя полета обязательно оказывается давление на тему получения максимального объема информации. Так было и в случае с SOHO, план был таким, чтобы за пять суток выполнить:
- калибровку трех датчиков угловой скорости;
- сброс накопленного кинетического момента двигателей-маховиков;
- маневр по рысканию для устранения ранее выявленных отклонений;
- маневр по крену продолжительностью 24 часа;
- техническое обслуживание двигателей-маховиков;
- маневр коррекции орбиты;
- обновление программного обеспечения звездного датчика.
Никогда за время полета работа не планировалась настолько интенсивной. Поэтому разгрузка двигателей-маховиков была запланирована сразу после калибровки гироскопов, в их выключении и последующем включении не было смысла, циклограмму IRU-REST после калибровки не запускали, зато запустили новую версию A_CONFIG_N с отключением гироскопа А. Во время всех последующих событий гироскоп не вращался, на его выходе был нулевой сигнал.
24.06.1998, время UTC
22:30 - обнаружили ошибку в скорости вращения второго двигателя-маховика, возникшую из-за неправильной работы программного обеспечения нового центра управления полетом IMOC. Через двадцать минут ошибку исправили, выдав соответствующую команду.
23:08 - взвели аварийную защиту по угловой скорости крена, ошибочно завысив в 20 раз коэффициент усиления сигнала с гироскопа В, по которому срабатывает защита.
23:16 - и защита сработала, инициировав пятый по счету переход в аварийный режим ESR-5.
23:20 - управление передано в старый проверенный ЦУП (ТРОСС).
23:32 - на борту объявлена авария, заказаны сеансы связи с антеннами диаметром 34 м, на которые через 23 минуты начала поступать телеметрия.
25.06.1998
01:25 - группа управления начала восстановление штатной ориентации SOHO.
01:48 - на борт заложена информация об измеренном дрейфе нуля гироскопа А. Напомню, что этот датчик был отключен после калибровки.
02:16 - выдана команда на передачу управления от блока электроники FDE к вычислительной машине системы ориентации и переход в режим ISA. Машина начинает отрабатывать данный режим, опираясь на показания гироскопа А. С выхода отключенного гироскопа машина считывает нулевое значение, вычитает из него измеренное значение дрейфа нуля и получает угловую скорость крена. Поскольку эта скорость должна быть нулевой, машина выдает команды на реактивные двигатели 6 и 7, отвечающие за канал крена. Двигатели, конечно, включаются, создают момент, космический аппарат начинает вращаться, но машина об этом не знает: на входе по-прежнему нулевое значение, из которого по-прежнему она вычитает дрейф и видит ошибку. Аппарат продолжает вращаться.
02:35:10 - работоспособный гироскоп В (помните, именно отвечает за распознавание нештатной ситуации и объявление тревоги) фиксирует превышение угловой скорости в канале крена, срабатывает защита, аппарат переходит в аварийный режим ESR-6, управление от машины снова передается блоку FDE.
03:21 - группа управления вновь начинает переход в штатный режим ориентации, уж очень им хотелось вписаться в волевой график. Через полчаса на борт вновь передается значение дрейфа нуля гироскопа А. Анализ телеметрии с борта показывает разницу показаний гироскопов А и В. И тут группа управления совершает самую большую ошибку за время полёта SOHO:
03:53 - на борт выдается команда отключить работающий датчик угловой скорости В (а заодно и защиту от превышения угловой скорости по крену). Я так и не смог понять (и нигде не прочитал), что мешало сравнить показания приборов А и В с третьим, работающим гироскопом С - и однозначно понять, кто из трех датчиков дает ложные показания.
04:11 - выдана команда на переход в режим ISA, управление передано вычислительной машине, данные об угловой скорости предписано получить от датчика А.
Дальше всё происходило строго как в прошлый раз: машина отнимает из нулевых показаний датчика значение дрейфа нуля, видит несуществующую ошибку, пытается парировать её, включая двигатели и раскручивая аппарат. Скорость вращения по крену нарастает, гироскоп В, который мог бы объявить тревогу, отключен. Из-за гироскопической связи каналов крена, тангажа и рыскания, аппарат начинает прецессировать, появляется отклонение оси Х от направления на Солнце.
04:38:46 - точный аварийный датчик Солнца фиксирует превышение ошибкой наведения значения 5 градусов и объявляет тревогу, переводя космический аппарат в режим ESR-7 и передав управление FDE. У блока FDE отключены оба источника информации об угловой скорости космического аппарата: гироскопы А и В обесточены. В таких условиях на фоне вращения с большой угловой скоростью реализовать режим оказалось невозможно.
По мере нарастания отклонения оси Х от направления на Солнце, падает освещенность солнечных батарей, снижается энергоприход, и начинается электропитание бортовой аппаратуры от аккумуляторных батарей, «в мирной жизни» работающих в буферном режиме. Как показало последующее расследование, за период с января 1997 по май 1998 года произошло не замеченное группой управления отключение трех (из четырех) регуляторов разряда аккумуляторных батарей, из 40 А·ч энергии, запасенной в двух батареях, доступными остались только 10. Поэтому дальше всё произошло очень быстро.
04:43:56 - потеря телеметрии от SOHO.
07:12 - группа управления оповестила все заинтересованные стороны о потере связи с SOHO. При этом антенна сети дальней космической связи в Мадриде, имеющая диаметр 70 метров зафиксировала слабый радиосигнал со стороны обсерватории. Были экстренно проведены совещания в Тулузе (у разработчика космического аппарата, Matra Marconi Space), в Нордвике (в Европейском центре космических исследований и технологий, ESTEC) и в Гринбелте (в Центре космических полетов им. Годдарда).
22:07 - разработанные в Европе последовательности команд были выданы на аварийную обсерваторию. Успеха это мероприятие не принесло. Привлеченная к обсуждению аварии Лаборатория реактивного движения помогла установить, что слабые сигналы, зарегистрированные антенной в Мадриде, не имеют отношения к SOHO. Позже было установлено, что несущая с борта перестала передаваться в 04:52, через 8 минут после обрыва связи по телеметрической радиолинии.
28.06.1998 - в Центре им. Годдарда состоялось первое заседание аварийной комиссии, в которую вошли представители ЕКА и NASA.

Оценка состояния SOHO на момент потери связи

Тогда считать мы стали раны,
Товарищей считать…
М.Ю. Лермонтов



Варианты деградации гало-орбиты в зависимости от выданного импульса тяги
Комиссия проанализировала телеметрию, полученную от космического аппарата, провела необходимое моделирование и определила состояние обсерватории на момент потери связи.
Радиолинии работали нормально. При переходе в аварийный режим ESR штатно произошла реконфигурация, телеметрия передавалась через одну из ненаправленных антенн.
Система электропитания работала только с одним включенным регулятором разряда аккумуляторных батарей из четырех. На шину была подключена только одна батарея, ток разряда составлял 14,5 А. Это почти в четыре раза меньше 50 А, необходимых для нормального функционирования бортовой аппаратуры, обеспечивающей живучесть аппарата (радиолинии, вычислительные машины и пр.). При снижении напряжения в ходе аварии сработала аварийная защита, ключи питания нагрузок стали отключаться в случайном порядке до тех пор, пока ток разряда не достиг 10 А. Если в ходе вращения на солнечные батареи попадало достаточно света, штатно начинался заряд аккумуляторных батарей.
Динамика ориентации и стабилизации была проанализирована к началу июля, когда удалось добиться сходимости результатов моделирования и данных телеметрии. Определено, что вращение обсерватории вокруг оси Х переходит во вращение вокруг оси Z со скоростью от 4 до 8°/с. Время перехода от Х к Z оценивалось по-разному, от 1 суток до нескольких недель. Одно из направлений оси Z (неизвестно какое) оказывалось направлено в сторону Солнца.
Тепловые режимы были смоделированы Matra Marconi Space для четырех вариантов: на Солнце направлена ось минус Z, ось плюс Z и два промежуточных варианта с углом в 45° между данной осью и направлением на Солнце. Моделирование показало, что попавшие в тень приборы обсерватории охлаждаются до весьма низких температур, например усилители мощности - до минус 62°.
Орбита в принципе нестабильна, но до середины ноября 1998 года без коррекций её параметры деградировали не сильно. Затем возмущения начинают нарастать в геометрической прогрессии, и обсерватория переходит с гало-орбиты на орбиту вокруг Солнца. Поскольку было неясно, какой паразитный импульс был выдан двигателями при реализации авариных режимов ориентации, было рассчитано семейство траекторий для импульсов от 1 до 5 см/с.
Кроме того, было определено, что направление оси Z, вокруг которой теперь вращался космический аппарат, изменяет свое положение в инерциальном пространстве со скоростью порядка 1 градуса в сутки и примерно через 90 дней ось Z будет направлена на Солнце. В таком случае солнечные батареи будут освещены половину периода вращения обсерватории, и появится энергоприход, а значит, есть надежда на спасение.

Анализ аварии



Причины и следствия
31 августа 1998 года комиссией, расследовавшей аварию на борту SOHO, был опубликован отчет [3], содержавший анализ причин, которые привели к потере связи. Помимо прочего, в отчете приведены яркие штрихи к описанию управления космической обсерваторией стоимостью 1,2 млрд. долл. в ценах 1995 года.
Например, измененные группой управления циклограммы проверялись только на симуляторе, разработанном NASA, без проверки их разработчиком SOHO. Более того, отсутствовали твердые копии данных циклограмм, равно как и история их изменений. В циклограмму A_CONFIG_N, предназначенную для настройки гироскопов после калибровки, были внесены команды на отключение гироскопа А, и при этом название циклограммы осталось прежним, а ЕКА и Matra Marconi Space об изменениях не узнали.
Группа управления не осознавала, насколько серьезным событием является автоматический переход космического аппарата в аварийный режим ESR. Вместо того, чтобы детально разобраться в причинах, управленцы начинали процесс восстановления штатной ориентации. Успешный опыт с ESR-3 и ESR-4 придал группе ложное чувство уверенности.
Вообще, к анализу телеметрии группой управления есть серьезные вопросы. Космический аппарат при переходе в аварийный режим сохраняет три последних фрейма телеметрии, инструкция по действиям при нештатных ситуациях на борту прямо предписывает проанализировать эту информацию и убедиться, что гироскоп А находится в рабочем состоянии (реализация режима ESR напрямую зависит от этого гироскопа). Этого сделано не было.
Меня глубоко трогает история про незамеченное отключение трех из четырех регуляторов разряда аккумуляторных батарей... От системы электропитания напрямую зависит живучесть космического аппарата. Электроэнергия в аккумуляторных батареях - это основной ресурс, если будут обесточены радиоприемники, наземный сегмент уже ничем не поможет аварийному борту. Не понимаю, как можно спроектировать системы отображения телеметрии, что факт отключения 3 из 4 преобразователей не будет распознан с первого взгляда. Обычно такая информация выводится красным цветом, который должен ярко гореть вплоть до сброса оператором. И тем более не понимаю, как этот факт можно не увидеть.
Ошибочное решение об отключении датчика угловой скорости В, говорит о неспособности группы управления сопоставить показания разных датчиков системы ориентации и стабилизации. Были проигнорированы изменения показания датчиков Солнца, включения и отключения реактивных двигателей - они не могли наблюдаться при строго нулевой угловой скорости, которую «измерил» отключенный гироскоп А.
Расстановка приоритетов в группе управления вызвала вопросы у комиссии. Например, в момент второго подряд ухода в аварийный режим ESR-6 представитель разработчика обсерватории занимался выяснением, почему отличаются результаты моделирования предстоящего научного маневра на симуляторах ЕКА и NASA. Предвижу вопрос: но ведь моделирование нужно завершить до начала критически важных операций с аппаратом стоимостью 1,2 млрд. долл.? Оно было завершено, но его результаты не устроили операторов: уложить всю последовательность действий в отведенное время не получилось. И видимо было принято решение, начинать работы с бортом, а параллельно продолжить моделирование. Это удвоило нагрузку на персонал, который был нацелен на выполнение волевого плана во что бы то ни стало.
Второй эпизод: один из ключевых специалистов по космическому аппарату вместо поиска выхода из аварийной ситуации занимался обеспечением теплового режима научной аппаратуры.
И в завершение: космический аппарат в момент ухода в аварийный режим сохраняет, а потом передает на Землю три последних фрейма телеметрии. Это должно позволить оценить его состояние в момент начала аварии. В нашем случае, отключенное состояние гироскопа А было бы распознано с вероятностью, близкой к единице. К сожалению, программное обеспечение центра управления полетом не обеспечило отображение этой телеметрии в нормальном, читаемом формате. О проблеме было известно с 1994 года, но решена она не была, ни в старом ЦУПе, ни в новом.
Как говорят на защите диссертаций: выводы разрешите не зачитывать, поскольку они логически вытекают из доклада. Рекомендации из отчета полностью приведены на странице выученных уроков NASA.

Продолжение следует