Ричард Фейнман - Не все ли равно, что думают другие?

Оценка надежности твердотопливных ракетных ускорителей (ТРУ) была проведена служащими по обеспечению безопасности на основании изучения опыта всех предшествующих полетов ракет. Из общего числа полетов – примерно 2900 – неудачных 121 (1 из 25). Однако это число включает так называемые «ранние ошибки» – это касается тех ракет, в которых конструкционные ошибки были обнаружены и устранены на первых нескольких запусках. Более разумной цифрой для готовых ракет можно назвать 1 к 50. При особенно тщательном отборе деталей ракет и их проверке может быть достигнут показатель ниже чем 1 к 100, но цифра 1 к 1000, возможно, вообще недостижима при современной технологии. (Поскольку на каждом шаттле имеются два твердотопливных ускорителя, показатели отказов нужно удваивать, чтобы получить показатели отказов шаттла по причине отказа ТРУ.)

Официальные лица НАСА утверждают, что эта цифра намного ниже. Они указывают, что «поскольку шаттл – пилотируемый аппарат, то вероятность успешного выполнения задания непременно очень близка к 1,0». Не очень, впрочем, ясно, что значит эта фраза. То ли вероятность близка к 1, то ли она должна быть близка к 1? Далее они объясняют: «Исторически, именно эта чрезвычайно высокая степень успешности выполнения задания и вызвала разницу в стратегическом подходе между пилотируемыми программами полета в космос и непилотируемыми программами; то есть использование численной вероятности против суждения инженеров». (Эти цитаты взяты из отчета «Данные по космическому шаттлу для анализа безопасности использования РТГ для полетов в космос», страницы 3–1 и 3–2, 15 февраля, 1985, НАСА, Космический центр им. Линдона Джонсона.) Правда, если бы вероятность отказа была такой низкой, как в соотношении 1 к 100 000, то потребовалось бы неимоверное число испытаний, чтобы эту вероятность определить: вы бы не получили ничего, кроме последовательности безукоризненных полетов без какой бы то ни было точной цифры, – можно только сказать, что пока вероятность, похоже, меньше, чем количество таких полетов в последовательности. Но если реальная вероятность не так мала, то полеты выявляли бы проблемы, близкие к аварийным – а возможно, и фактические аварии, – при приемлемом числе испытаний, так что стандартные статистические методы могли бы дать корректную оценку. На самом деле предыдущий опыт НАСА иногда показывал почти такие затруднения, близкие к аварийным, и даже аварии, это все предупреждение, что вероятность аварийного полета не так уж мала.

Еще одна непоследовательность в аргументах в пользу того, что не следует определять надежность через исторический опыт (как это делал сотрудник по безопасности полетов), – это обращение НАСА к истории: «Исторически именно эта чрезвычайно высокая степень успешности выполнения задания…» Наконец, если мы должны заменить стандартно используемую численную вероятность суждением инженеров, почему мы обнаруживаем такое чудовищное несоответствие между оценками руководства и суждением инженеров? Вроде получается, что с той или иной целью – может, для внутреннего, может, для внешнего пользования – руководство НАСА настолько преувеличивает надежность своего продукта, что это уже из области фантастики.

Я не буду повторять здесь историю аттестации и осмотров полетной готовности (см. другие части отчета комиссии), но то, что изоляционные прокладки были все-таки признаны годными к эксплуатации, притом что при предыдущих полетах проявилась эрозия и просачивание газа, – совершенно ясно. Полет «Челленджера» – прекрасный пример: есть несколько ссылок на предыдущие полеты; приемка и успех этих полетов берется как доказательство безопасности. Но ведь эрозия и просачивание газа – это не то, что предусмотрено конструкцией.

Они предупреждают о том, что что-то неисправно. Оборудование работает не так, как ожидалось, а потому существует опасность того, что оно начнет работать с еще большими отклонениями неожиданным и не совсем понятым образом. То, что это раньше не привело к катастрофе, не гарантирует, что такое не произойдет в следующий раз, пока это не будет полностью понятным. При игре в русскую рулетку то, что первый выстрел оказался безопасным, вряд ли утешит на следующем. Происхождение и последствия эрозии и просачивания газа не были поняты. Эрозия и просачивание газа не происходили одинаково во всех полетах и во всех соединениях: иногда они были больше, иногда меньше. И почему – в какой-то момент, когда возникнут подходящие условия, – эрозия и просачивание газа не станут еще больше – что и приведет к катастрофе?

Несмотря на эти то и дело возникающие изменения, официальные лица вели себя так, словно они эти изменения понимают, приводя друг другу вроде бы логичные аргументы – зачастую ссылаясь на «успех» предыдущих полетов. Например, при определении, безопасен ли полет рейса 51-L ввиду эрозии кольца во время рейса 51-С, было замечено, что глубина эрозии была равна лишь одной трети радиуса изоляционного кольца. Было отмечено, что при эксперименте по разрезанию, для того чтобы кольцо вышло из строя, его понадобилось разрезать на глубину в один радиус этого кольца. Вместо того чтобы всерьез обеспокоиться из-за того, что изменения плохо понятых условий могут на этот раз создать более глубокую эрозию, было заявлено, что «коэффициент безопасности (запас прочности) равен трем».

Это весьма странный метод использования инженерного термина «коэффициент безопасности». Если мост строят для того, чтобы он выдерживал определенную нагрузку и чтобы его балки при этом не испытывали постоянную деформацию, не трескались и не ломались, то его могут спроектировать так, чтобы используемые материалы выдерживали тройную нагрузку. Этот «коэффициент безопасности» необходим, чтобы учесть неопределенные превышения нагрузки, неизвестные дополнительные нагрузки или слабые места материала, который может иметь непредвиденные дефекты и так далее. Но если новый мост подвергается предусмотренной нагрузке и на балке при этом появляется трещина, то это недостаток конструкции. И у этого моста вообще нет никакого запаса прочности, даже если он и не обрушится, потому что трещина прошла только на одну треть диаметра. Изоляционные кольца твердотопливных ускорителей по конструкции не должны эродировать. Эрозия указывает, что что-то не так. Эрозия – это не то, что подразумевает безопасность.

Без полного понимания никак невозможно быть уверенным, что в следующий раз не возникнет эрозия в три раза серьезней, чем та, что была в прошлый раз. Тем не менее официальные лица дурачат сами себя, считая, что у них есть такое понимание и уверенность, несмотря на специфические изменения время от времени. Для вычисления эрозии была построена математическая модель. Эта модель основывалась не на физическом понимании, а на подборе эмпирической кривой. В частности, предполагалось, что струя горячего газа ударяется о материал кольца, а тепло определяется в точке покоя (согласно рациональным физическим законам термодинамики). Но чтобы определить, насколько глубоко эродировала резина, допускалось, что эрозия изменяется как 0,58 тепловой мощности, причем число 0,58 определяется ближайшей точкой кривой. Как бы то ни было, подгонкой некоторых других чисел было определено, что модель согласуется с эрозией (на глубину одной трети радиуса кольца). В этом анализе самое неправильное – это полагаться на ответ! Неопределенности появляются в этой модели повсюду. Насколько сильной будет струя газа – непредсказуемо; это зависело от размера отверстий, образовавшихся в замазке. Просачивание газа показало, что кольцо могло отказать даже при частичной эрозии. Всем была известна неопределенность эмпирической формулы, так как кривая проходила не прямо через точки экспериментальных данных, которыми она определялась. Точек была туча: некоторые располагались в два раза выше, другие в два раза ниже сглаженной кривой, так что только по этой причине эрозия могла вдвое превосходить предсказанную. Подобные неопределенности существовали и в отношении других констант в формуле и т. д., и т. п. При использовании математической модели следует обращать особое внимание на неопределенности.