Фобос-Грунт. Уроки для оставшихся на Земле



    Напомню историю вопроса. 9 ноября прошлого года, после почти 15 лет разработки, нескольких приостановок проекта и переносов запуска, с Байконура была запущена ракета-носитель Zenit-2SB с новым российским космическим аппаратом «Фобос-Грунт». Цели были поставлены весьма амбициозные: запустить автоматическую станцию к Марсу, достичь его спутника — Фобоса, взять с него пробы грунта, которые затем были бы возвращены на Землю. Это бы были первые пробы внеземного материала, физически доставленные в руки исследователей (ну, буквоеды бы тут мне попеняли японским «Хаябуса», из-за постоянных задержек «Фобоса» доставившим несколько лет назад отдельные микроскопические частицы межпланетной пыли ранее нашего аппарата), со времен исследований Луны «в прошлом веке». А с учетом того, что, по сегодняшней теории, Фобос — это захваченный Марсом астероид, то есть образец того самого исходного материала, из которого вообще образовалась все планеты Солнечной Системы (Луна — это все же отколотый в прошлом «кусок» Земли, а не настоящая «планета»), эта экспедиция имела и беспрецедентное научное значение. Это был бы также первый «возврат» аппарата от Марса и его спутника.
    Немаловажным был также вопрос престижа и открытого возвращения России в «глубокий космос», к межпланетным исследованиям, прекратившимся еще во времена СССР.

    Увы, вся экспедиция закончилась довольно скоро. Сразу после запуска выяснилось, что аппарат «застрял» на околоземной «парковочной» орбите, не отвечает на команды, и находится там в «зависшем» состоянии, не выполняя программу. 24 ноября были официально прекращены попытки восстановить работоспособность, а в феврале этого года аппарат неуправляемо вошел в плотные слои атмосферы, и упал в океан, никого, к счастью, при таком спуске на Земле не задев.

    Краткий официальный отчет был опубликован в феврале на сайте Роскосмоса. Вот что там, по существу, говорится:

    Основные положения Заключения Межведомственной комиссии по анализу причин нештатной ситуации, возникшей в процессе проведения летных испытаний космического аппарата «Фобос-Грунт», образованной в соответствии с приказом руководителя Роскосмоса от 9 декабря 2011 года № 206

    Источник http://www.roscosmos.ru/main.php?id=2&nid=18647

    [перечисляются рассмотренные различные возможные причины и их источники]
    Проведённый экспертами комиссии анализ возможных отказов этих систем и агрегатов показал (с учетом их состояния и ТМИ), что к моменту возникновения НШС [нештатной ситуации] они не могли стать её первопричиной.
    2.2. Причиной возникновения НШС является перезапуск двух полукомплектов устройства ЦВМ22 БВК [Бортовой Вычислительный Комплекс] (двойной «рестарт»), выполнявших на этом участке полёта управление КА «Фобос-Грунт», после чего в соответствии с логикой работы БКУ произошло прерывание штатной циклограммы полета КА «Фобос-Грунт», и он перешёл в режим поддержания постоянной солнечной ориентации и ожидания команд с Земли в X-диапазоне связи, который был предусмотрен проектными решениями для перелетной траектории. […]
    2.3. Наиболее вероятным фактором, который мог стать первопричиной двойного «рестарта», является локальное воздействие тяжелых заряженных частиц (ТЗЧ) космического пространства, которое привело к сбою в ОЗУ вычислительных модулей комплектов ЦВМ22 во время полёта на втором витке КА «Фобос-Грунт».
    Сбой ОЗУ мог быть вызван кратковременной неработоспособностью ЭРИ вследствие воздействия ТЗЧ на ячейки вычислительных модулей ЦВМ22, которые содержат две микросхемы одного типа WS512K32V20G24M (ячейки вычислительных модулей располагаются в едином корпусе параллельно друг другу). Воздействие привело к искажению программного кода и срабатыванию «сторожевого» таймера, что стало причиной «рестарта» обоих полукомплектов ЦВМ22. Модель подобного взаимодействия ТЗЧ с ЭКБ не регламентирована нормативно-техническими документами. Комиссия считает необходимым разработать и внедрить в организациях РКП нормативно-технические документы, содержащие современные модели ионизирующих излучений космического пространства и руководства по их использованию.


    Из разрозненных и обрывочных сведений о том, как конструируются и что собой представляют бортовые компьютеры российских космических аппаратов, удалось понять, что в Фобос-Грунте было решено применить новый бортовой вычислительный комплекс БВК ЦВМ22, производства компании «Техком», подразделения КБ «Аргон», именно переходом на ЦВМ22 объяснялась последняя задержка и перенос запуска с предыдущего «окна» пуска на текущее. Примерно два года (среди прочего) Фобос переоборудовался под новый, компактный БВК, созданный с использованием современной микроэлектроники, и весящий не 30, как прежний, а всего 1,5кг. А ведь в космосе каждый даже не килограмм, грамм на вес золота (примерная стоимость вывода килограмма груза на самую низкую околоземную орбиту — около 3000-4000USD)! А ведь полет к Марсу это не только вывод на околоземную орбиту. Каждый сэкономленный килограмм «железа» позволяет поставить на аппарат килограмм умного научного прибора.
    Ничего удивительного, что воспользоваться такой экономией было очень заманчиво.

    На борту Фобоса размещалось два независимых модуля ЦВМ22, работающих параллельно, независимо, и обеспечивающих горячее дублирование, на случай выхода из строя любого модуля в паре. Такое дублирование — общепринятая практика в авиационной и космической технике.

    На волне всеобщего раздражения, вызванного регулярными неудачами, в последнее время, в российской космической программе, приходилось слышать даже уж совсем обидные и нелепые слухи, о том, что, якобы, в Фобосе использовалась ширпотребная «китайская» электроника, вот она-де, и подвела. На самом деле это не так.
    Вот что пишет о указанной микросхеме в своем блоге Джеймс Гамильтон, в статье о влиянии сбоев в памяти на работу серверного оборудования:

    These SRAMS are manufactured by White Electronic Design and the model number can be decoded as “W” for White Electronic Design, “S” for SRAM, “512K32” for a 512k memory by 32 bit wide access, “V” is the improvement mark, “20” for 20ns memory access time, “G24” is the package type, and “M” indicates it is a military grade part.

    «Это SRAM (Static RAM, микросхема памяти, ячейка которой, в отличие от привычной по персональным компьютерам DRAM — Dynamic RAM, сохраняет свое состояние при отсутствии обращения и не требует „регенерации“, широко применяется в промышленной электронике) произведена компаний White Electronic Design (»W"), имеет организацию StaticRAM («S»), «512K32» означает 512Kслов разрядностью 32 бита. «V» отметка улучшенных характеристик, «20» — 20ns время доступа к ячейке памяти, «G24» — тип корпуса, «M» — указывает на «военный» класс изготовления и допусков."

    Источник: http://perspectives.mvdirona.com/2012/02/26/ObservationsOnErrorsCorrectionsTrustOfDependentSystems.aspx

    Однако, увы, даже использования настоящей «белой» американской микроэлектроники «military-grade» класса оказалось недостаточно.

    Налицо классическая проблема недостаточной конструктивной проработки, а если взять шире, то, по-видимому, низкой инженерной компетенции в целом. Конечно спроектировать такое расположение двух плат БВК, чтобы микросхемы памяти в них была расположены так близко, что прошивались-бы одной частицей, и вызывали (одновременный!) сбой сразу обоих сдублированных компьютеров, это уже явная конструктивная недоработка «верхнего уровня».

    Это, судя по всему, классическая проблема «кто сшил костюм?» их известного монолога Жванецкого-Райкина. «К пуговицам претензии есть?». Прекрасный, возможно, вычислительный комплекс сам по себе. Просто никто не подумал, что размещая две микросхемы рядом мы повышаем вероятность губительного одновременного радиационного воздействия на его элементы. Никто не посмотрел под таким углом на узел в сборе. Или, как сухо выражается официальный отчет: «Модель подобного взаимодействия ТЗЧ [тяжелых заряженных частиц (»космических лучей")] с ЭКБ [электронным командным блоком] не регламентирована нормативно-техническими документами.".

    Но это, увы, не все. Еще хуже, по-видимому, обстоит дело с конструкторской компетенцией.
    Удивительно, но факт: еще в 2005 году, в сборнике работ «Radiation Effects Data Workshop», опубликованный IEEE, посвященному теме радиационного воздействия и воздействия тяжелых заряженных частиц на компоненты электроники, прямо отмечалось:

    Recent SEE testing of 1M and 4M monolithic SRAMs at Brookhaven National Laboratories has shown an extreme sensitivity to single-event latchup (SEL). We have observed SEL at the minimum heavy-ion LET available at Brookhaven, 0.375 MeV-cm2/mg.

    «Недавнее тестирование монолитных чипов SRAM емкостью 1M и 4M, проведенное в Брукхейвенской Национальной Лаборатории, показало их крайнюю чувствительность к эффекту „защелкивания“. Мы наблюдали этот эффект при воздействии по меньшей мере доступных на ускорителе в Брукхейвене тяжелых ионов, энергией 0,375МэВ-см2/мг.»
    Источник http://ieeexplore.ieee.org/xpl/freeabs_all.jsp?reload=true&arnumber=1532657

    А ведь это те самые микросхемы, которые выбрали в Техкоме для создания ЦВМ22! И известно об этом их поведении было еще, по меньшей мере, с 2005 года.

    Судя по всему Фобос был обречен с самого начала. Рано или поздно, в довольно радиационно-суровых условиях «открытого межпланетного космоса» этот эффект был бы словлен. Но если «защелкивание» в принципе, если повезет, лечится «холодной перезагрузкой» комплекса с дублирующей системы, то одновременный сбой обоих комплексов (вызванный, в первую очередь, как указывает отчет, их конструкцией) оказался фатальным. Как указывает отчет, сбой произошел настолько «дружно», что Фобос даже не отправил сообщение о сбое, и с зарубежной помощью Центру управления удалось получить только довольно отрывочные телеметрические данные (по-видимому с «тупой» автоматики), которые говорили лишь о практически полном бездействии ЦВМ на борту и выходе всего комплекса из строя.

    Несколько поясняющих слов о упомянутом выше «latchup effect» или «эффекте защелкивания». Это специфический эффект, который вызывает своеобразное «зависание» ячейки памяти SRAM (как показано выше, он происходит при пролете тяжелой заряженной частицы космических лучей), и, как правило, он требует полного выключения-включения модуля SRAM для восстановления его работоспособности, а иногда выход из строя бывает и необратим.

    В статье «Did Bad Memory Chips Down Russia’s Mars Probe?Moscow blames radiation wreckage on an SRAM chip, but does it add up?»
    «Плохой чип памяти погубил русский марсианский космический аппарат? Москва винит воздействие космических лучей на чип SRAM, но только ли в этом дело?»

    Источник http://spectrum.ieee.org/aerospace/space-flight/did-bad-memory-chips-down-russias-mars-probe

    опубликованной в e-журнале IEEE Spectrum, Steven McClure, специалист NASA из Jet Propulsion Laboratory (JPL, старейшем отделе NASA, занимающейся конструированием для космоса), руководитель Radiation Effects Group, прямо указывает, что в NASA использование в космическом оборудовании подобных чипов SRAM не рассматривается по причине их, хорошо известной специалистам, низкой радиационной устойчивости.

    «Чип WS512K32 хорошо известен и широко применяется в военной и авиационной технике, но не в космической технике» — говорит McClure, «Ни его изготовитель, ни коммерческие вендоры, использующие этот чип, не проводили радиационное тестирование и не публиковали нормы и спецификации такого воздействия на данный чип». «Он, возможно, может быть использован в космической технике, для небольших по времени задач, в орбитальных аппаратах, и на некритичных позициях, но не как компонент главного управляющего вычислительного модуля межпланетной станции, которая должна проработать в открытом космосе несколько лет.» — говорит автору статьи McClure.

    Также в статье отмечалось, что, по непонятной причине, в алгоритмах Фобоса не рассматривался вариант отказа, подобного случившемуся, на околоземной орбите, где, собственно, несчастье и произошло. В случае отказа, подобного случившемуся, аппарат переходит в так называемый Safe-mode, при котором «тупыми», некомпьютерными средствами простой автоматики аппарат ориентируется солнечными батареями на Солнце, чтобы избежать разряда батарей, и включает командную радиолинию для приема команд с Земли («дает консоль»), с помощью которых можно восстановить работоспособность системы.

    Автоматика сработала, аппарат был правильно сориентирован и включил радиоприем на аварийном канале, однако в алгоритме не был предусмотрен сбой (и, соответственно, прием команд по аварийному каналу) на этапе вывода, возможность сбоя и, соответственно, вмешательства с Земли, была предусмотрена только с момента выхода на «отлетную траекторию».

    В вышепроцитированной статье довольно жестко указывается: «The release of the official accident investigation results on 3 February served only to further rumors of fundamental hardware and software design flaws, and of blatant violations of safety standards.
    Источник http://spectrum.ieee.org/aerospace/space-flight/did-bad-memory-chips-down-russias-mars-probe

    »Выпуск официального отчета от 3 февраля дает лишь пищу для дальнейших слухов, о наличии фундаментальных ошибок в оборудовании и программном обеспечении, а также грубых нарушений норм безопасности (при разработке)"

    Факт такой нелепой, по большому счету ошибки проектирования, комментирует Джеймс Гамильтон:

    «Эта ошибка поразительна. Разумные люди, казалось бы, ни в коем случае не могли допустить такое, ошибка очевидна и лежит на поверхности. Тем не менее такого рода ошибки в больших системах допускаются то тут, то там, снова и снова. Эксперты, каждый в своей области, делают хорошую работу, но взаимодействие между такими „вертикальными“ сегментами (отдельно — конструирование вычислительного комплекса, отдельно — его размещение в аппарате, отдельно — его программирование, отдельно — разработка „циклограммы“, или последовательности выполняемых операций и действий при старте и во время полета. Прим.) оказываются сложными, и, если общее понимание продукта и „кросс-вертикальных“ отношений в нем недостаточно глубоко, эти конструктивные недостатки могут остаться неувиденными (см. выше про проблему „кто сшил костюм?“. Прим.). Хорошие специалисты создают хорошие компоненты, но при соединении всех компонентов в целостную систему, то тут, то там мы видим проблемы между компонентами и в их взаимодействии.

    Часто хорошие „вертикальные“ специалисты не видят создаваемый продукт в целом, хорошо зная только свой компонент. Два решения это 1) хорошо определенные и хорошо документированные интерфейсы (в широком смысле) между компонентами, неважно, аппаратными или программными, и 2) выделенные опытные и знающие инженеры, которые занимаются именно вопросами взаимодействия компонент и работой системы в целом. Назначение на такую позицию, как это бывает, технически неквалифицированного менеджера, часто не является эффективным.

    Проблемы и ошибки, вызванные „сложностной слепотой“ (complexity blindness) часто очень серьезны, и, при этом, удручающе очевидны „задним числом“, как в рассмотренном выше примере».


    PS. Несколько лет назад мне довелось разговаривать с выпускником МАИ, проходившим преддипломную практику в КБ Туполева. Он в восторгом рассказывал о тех специалистах, с кем ему там довелось общаться. «Деды — настоящие зубры, с запредельным уровнем опыта, ходячие справочники и энциклопедии, но они там уже все пенсионеры, и просто тупо вымирают. Средний возраст в КБ — под 60 лет. Все либо дорабатываюшие до пенсии, либо работающие пенсионеры. Если кто помоложе — так редкие энтузиасты, вчерашние студенты, которых хватает года на два-три, после чего они сваливают с тех зарплат и беспросветности либо в бизнес, либо в руководство. Да и какие сейчас студенты из МАИ выходят… В „середине“ же нет никого.»
    Думаю, что в космической отрасли ситуация ненамного отличается. А в результате — вот такие вот истории.

    PPS. Долго думал, нужна ли такая статья на Хабре, и куда ее вообще постить такую. Но тут как-то было дело, пообсуждали историю Фобоса, попересказывли слухи из телевизора и поругали «сраную Рашку», как водится, и мне показалось, будет кому-нибудь интересно то, «чем дело закончилось» и как все обстояло на самом деле.

    PPPS. Я намеренно хотел ограничиться только фактами, и обойтись без уже привычной на хабре истерии «пилят», «валить», «Сколково» и «враги России пускают в розетку отравляющих газов сбивают наши марсианские станции своими цеерушными радарами». Только факты и прямая речь специалистов.

    UPD: В комментариях привели ссылку на открытое письмо бывшего ведущего специалиста из НПО им. Лавочкина, нашего основного космического инженерного центра, в котором, в том числе, проектировался и создавался «Фобос».
    open-letter.ru/letter/26645
    Излагается все вполне ожидаемое, в соответствии со сказанным в статье выше:
    «Хочу упомянуть и об искусственном разделении структуры ОКБ. Оно поделено на Центры, в каждом из которых свой директор, его замы, плановые отделы и т.п. И такая организация привела к реальной разобщенности некогда единого ОКБ.
    [...]
    Отсюда с одной стороны дублирование служб (например, несколько подразделений занимаются редукторами, каждое на свой лад), с другой стороны тот же привод проектируется в трех Центрах – блок управления в одном, электрика в другом, механика – в третьем. И каждая из этих частей не хочет понимать другую.»


    Письмо было написано на имя зампредправительства С.Б.Иванова в марте 2011 года.
    Поделиться публикацией
    Реклама помогает поддерживать и развивать наши сервисы

    Подробнее
    Реклама
    Комментарии 241
    • +8
      Блог, подходящий в данному случае в буквальном смысле — «Железо»…
      • +2
        Большое спасибо за статью. Распечатал и отнес разработчикам
        • +37
          Фобос-грунта?
          • +1
            Прошу прощения, интересно стало, каким разработчикам?
            • +2
              Сорри, своим конечно :) Чужие уроки
              • –22
                — Армяне лучше, чем грузины!
                — Ну чем, чем они лучше?
                — Чем грузины!

                вот вы точно так же отвечаете на воросы.
                • 0
                  Что же вы разработчиков без доступа на Хабр держите? Это же негуманно! =)
                  • 0
                    Думается мне nbandrei распечатал эту статью как книжку-напоминание «Как не надо делать». :)
              • –1
                Аналогично, надо будет завтра показать кое-кому… Точнее, послезавтра — завтра весь день на «облака без бла-бла-бла» уйдёт.
              • 0
                Сорри, своим конечно:) Чужие уроки
                • +7
                  Почему только 2 блока? В самолетах же как правило по 3 ставят.
                  • +1
                    в бцвм ракет тоже 3
                    • +1
                      3 ставят в системах с мажорированием.
                      На ФГ 1 вычислитель горячий, остальные теплые.
                    • 0
                      А в Буране 4 стояло. Вот это я понимаю резервирование.
                    • –3
                      Мне кажется не стоит катить бочку на Роскосмос за этот прокол. Все же разработка космических аппаратов это очень сложная отрасль и там есть куда развиваться всем странам. Вон американцы с Хабблом накосячили так, что фейспалм это еще мягкая реакция на ту историю. Пусть на роботах тренируются, потом миссия с людьми будет надежнее.
                      • +11
                        Ну, катить, безусловно, не нужно, но уроки извлечь стоит, и не только «по космосу». Собственно историю я прочитал в блоге Гамильтона, который главный архитектор Amazon Web Services, откуда я его и читаю. Он там прямо говорит, что подобные ошибки, к сожалению, встречаются в любой системе.

                        Впрочем, использование микросхемы, про которую уже лет пять всем читающим профильные сборники IEEE должно быть известно, что они непригодны для использования в радиационно-жестких условиях космоса, это уже, как раз, некомпетентность. Или невладение английским, что тоже нередко встречается.
                        • +7
                          Да, хочу уточнить, что я говорил не про статью. Она наоборот, очень доходчивая и полезная. Я про общую ситуацию в интернете — все разговоры про Тихоокеанскую группировку спутников, про Меридиан и 2011 год космоса. Народ по инерции от других событий в стране гребет и космические провалы туда же. Все же фейл ракеты с глонассом и фейл от самого существования «как бы нашего» китайского телефона с глонассом это разные вещи и надо их различать.
                          • 0
                            Там, скорее всего, все микросхемы такие.
                            На другие денег никто сегодня не даёт.
                            — Почему?
                            — А зачем? И так летает!

                            Хотя и не всегда :)
                            • 0
                              На самом деле там дело явно не в деньгах, или не только в них: микросхемы в «военном» исполнении изначально стоят намного дороже своих «обычных» собратьев, да ещё и напрямую попадают под экспортный контроль США, что тоже не удешевляет конечный экземпляр в России.
                              • +1
                                Ну вы как-то совсем в 70-х застряли.
                                США покупают у нас реактивные двигатели для «Дельт», запускают своих астронавтов к своей МКС на «Союзах», у нас с ними совместный ЦУП по МКС, у Роскосмоса с НАСА много лет ведется научное и технологическое сотрудничество, сотни совместных научных проектов — а вы все про какой-то «экспортный контроль США».
                                Вылезайте уже из противоатомного бункера, там некомфортно-же :)
                                • 0
                                  Эмм… нехочу вас огорчать, но «экспортный контроль США» таки никто не отменял, и всё что под него попадает, поставляется только после утверждения в специальных структурах.

                                  В России есть компания Компэл, они занимаются поставками электронных компонентов. Так вот они видимо тоже сидят в бункере… и компания Texas Instruments сидит в бункере, отказывая в прямых поставках «военных» версий компонентов…

                                  Вобщем у нас тут большой бункер, и в нём действительно весьма некомфортно, но выпускать нас что-то никто не спешит! :(
                                  • 0
                                    Отказывая кому, лично вам? Возможно. Я же пока только про структуры Роскосмоса говорю. Для НПО им.Лавочкина проблемы получить что-то из под «экспортного контроля» в первую очередь бюрократические, но не более.
                          • +15
                            Всё же замечу, что это как минимум третья _подряд_ неудача с нашими межпланетными КА.
                            Первая — Фобос (1988-89 гг.) — потеря связи сначала с одним, потом со вторым ( ru.wikipedia.org/wiki/%D0%A4%D0%BE%D0%B1%D0%BE%D1%81_%28%D0%9A%D0%90%29 )
                            Вторая — Марс-96. Не смог стартовать к Марсу, сгорел в атмосфере Земли ( ru.wikipedia.org/wiki/%D0%9C%D0%B0%D1%80%D1%81-96 )
                            Ну и теперь Фобос-Грунт.
                            Так что бочку катить всё же стоит.
                            Что касается Хаббла — они накосячили, но они его и починили. Сколько с тех пор мы с Хаббла данных получили — огромное количество.
                            • 0
                              Это далеко не третья, еще были экспедиции на Венеру, там тоже косячили не раз. Но это очень сложная область, так что я бы не придирался.
                              • +3
                                Было время когда мертвых космонавтов доставали из посадочных капсул, а стоящим рядом журналистам говорили что герой устал после выполнения полета, а тут всего-то пара плат сгорела. Через тернии к звездам.
                                • –5
                                  Это сложный вопрос. На деньги потраченные на создание Фобос-Грунта можно было бы спасти жизни очень многих людей (которым не сделали операции, которые не смогли купить жизненно необходимых лекарств и т.д.)
                                  Просто раньше романтики было больше.
                                  • +9
                                    С одной стороны да, а с другой стороны, экстраполируя такой подход, чере несколько поколений мы получим просто набор существ, которые только питаются, размножаются и… хм… и все. На то мы и человеки, чтобы к чему-то стремиться, но это так… философия.
                                    • 0
                                      Получим. Но есть подозрение, что большинство человеков этого и хочет…
                                      • +1
                                        большинство человеков этого и хочет.
                                        именно поэтому, большинство не должно определять вектор развития, т.к. это вектор наибольшего сопротивления, а большинство хочет двигаться с наименьшим.
                            • +3
                              Еще давным давно же было известно о поведении электроники в космосе. Для этих исследований и создавали космические станции.
                              Когда прочитал был очень удивлен компоновке вычислительного блока. Я всегда думал что применяют 4 абсолютно идентичных компьютера, как и везде. Так что ни о каких нерегламентированых параметрах речи быть не должно — уже не первый десяток лет отправляют аппараты в космос.
                              Точка зрения о слаженности работы разных подрядчиков — уже ближе к истине. И неясно из-за чего это. Неужели финансирования недостаточно для должного контроля качества
                              • +3
                                Про компоновку — тут шаблонного решения быть не может. Зависит от того, что и куда запускаем. Космический аппарат, даже для околоземки — это не автомобиль, чтобы к нему шаблонные решения были легко применимы. Тут компоновка полостью объясняется стремлением выгадать в массе аппарата и в полезном объёме. И почему рядом было размещено — тут могу предположить несколько причин. Первая — КБ, которое разрабатывает модуль, получает ТЗ (с этим же вообще беда бывает, кстати, грамотно составленное ТЗ получить — это событие редкое и может вызвать у разработчика предоргазменное состояние), в котором их творению тупо отводится определённый объём. Вот и крутись в нём, как знаешь… Второе — любой электронный модуль надо как-то охлаждать, близкое расположение двух компонент даёт возможность использовать для них единый охлаждающий блок (с охлаждением электроники в космосе ведь тоже беда, если что). Ну и третье — при разнесении модулей неизбежно возникает проблема коммутации между ними, а, думается, в космическом аппарате шина как-раз может стать весьма уязвимым элементом.
                                • +1
                                  Вы все верно говорите, но статья как раз о том, что подход «как в ТЗ написано, так и делаем, а остальное не ипет» — это как раз и есть проблема в разработке таких сложных систем. Автор как раз считает (и думаю правильно), что отсутствие более широкого системного взгляда, проблемы «горизонтальной» интеграции и отсутствие обратной связи — и есть причина того, что получили то, что получили. Вертикальная разработка и узкие специалисты несомненно нужны, но так же и очень важно, что узкий специалист заметив проблему (даже есть так сказано сделать в ТЗ) мог эффективно донести это до интегратора, и от него не отмахнулись бы «делай как сказали». И наоборот — что бы интегратор хорошо представлял себе общую картину и мог бы заметить проблемы, которые не видны на уровне отдельных компонент.
                              • –2
                                Проблема в отсутствии стимула к производству в России. Необходима перетряска налогового законодательства и таможенных пошлин в пользу местного производства. Тогда будут появляться все больше Инженеров, которые не допустят таких ошибок.
                                • +5
                                  На автомобили повысили таможенные пошлины… И толку? Гранта?
                                  • +5
                                    Как раз пошлины и бюрократия убивают всё. Помнится один чел написал статью, как он хотел создавал производство раций в России и Китае. Так на растаможку комплетующих для разработки нужно было каждую радиодеталь записать в деклации, в одной деклации не более 8 штук, а таких радиодеталей было 8 тысяч наименований, там на одно заполнение деклараций ушло больше денег, чем на эти детали, не говоря о времени. В то время, как в Китае декларируются только готовые товары, а всякая комплектуха тупо на вес.
                                    Плюс нет такого дебилизма как вещи двойного назначения, когда для создания обычной рации еще кучу разрешений у вояк, фсб и прочих получить. Так что бизнес наоборот тянется туда, где меньше всяких таможенных запретов, пошлин, бюрократии.

                                    В общем почитайте www.novayagazeta.ru/society/43605.html весьма интересно.
                                  • –3
                                    Преподобный как всегда был прав. Безобразие конечно.
                                    • –4
                                      карма не дала вставить ссылку goo.gl/tahGf
                                      • +1
                                        Извините, не осилил, чересчур живописно пишет.

                                        Отчасти поэтому я предпочитаю зарубежные источники. Сравните слог у Spectrum с вот этим вот.

                                        Мне не кажется, что авария это повод глумиться над чем-либо в принципе.
                                        • –2
                                          Видимо у вас ссылка не вставилась тоже.
                                          Давно его читаю, дядка не глумится и весьма компетентен, на мой взгляд. А по его тексту чувствуется: за державу обидно.
                                      • +1
                                        Безобразие бесконечно.
                                        • +5
                                          Вот приведём отрывок из того, что в Воронеже, в конце января, сказал на «разборе полётов» глава Роскосмоса Владимир Поповкин: «Там микросхемы, которые были применены, в отличие от тех микросхем, которые раньше применялись на „Фрегате“, — они меньше по типономиналу. Там вместо 200 нанометров где-то 90 нанометров. Но это импортная компонентная база, и, конечно, вот причина, наверное, в этом». Так. Поразительно интересно! Что, существует закон природы, согласно которому переход на следующее поколение микросхем, с меньшими допусками, сам по себе должен сопровождаться снижением их надёжности? Надо же…


                                          Видимо автор не удосужился подумать о том, что чем меньше тех. процесс, тем больше влияние ионизирующей радиации на чип.
                                        • +3
                                          «чтобы микросхемы памяти в них была расположены так близко, что прошивались-бы одной частицей, и вызывали (одновременный!) сбой сразу обоих сдублированных компьютеров, это уже явная конструктивная недоработка «верхнего уровня». „

                                          Хм, а как надо было расположить?
                                          Через 2 точки (2 микросхемы памяти) всегда можно провести 1 прямую (трейс частицы).
                                          Выход — тройное дублирование как в авиации, но космос, все дела, дорого дубли размещать вместо полезного груза.
                                          Получается что просто не повезло.
                                          • +3
                                            В космос всегда по 4 посылали и ничего
                                            • +9
                                              Микросхемы все же не точки, чем дальше их расположить, тем меньше можно провести прямых под разными углами.
                                              • +7
                                                Там ниже написано, что эти компоненты на устойчивость радиации не проверялись. Поэтому ставить их на космический аппарат нельзя было в принципе.
                                                • 0
                                                  Ну это-то понятно.
                                                  Я не зря же фрагмент цитируемый выделил.
                                                • +2
                                                  Только вот микросхемы памяти — не точки. Этим и объясняется, почему чем дальше они друг от друга, тем меньше вероятность попасть на ту самую приямую, по которой летит частица. Попробуйте нарисовать.
                                                • +5
                                                  Спасибо, отличная подборка фактов. И история в целом поучительная, только проект жалко.
                                                  • +4
                                                    Неправдоподобно же, что вот так вот 1 частица пролетела и вывела 2 блока. Может, просто в программе ошибка была? или это какой-нибудь кусок солнечного шторма (или как называются потоки частиц, которое оно иногда испускает?) прошил спутник? Или жителя Фобоса не хотят, чтобы их исследовали?
                                                    • +15
                                                      Там было сразу несколько ошибок. Одна с микросхемами, а вторая, проявившаяся после сбоя, что, после перехода в Safemode на орбите, не был предусмотрен прием команд с запущенного аварийного канала. Он предполагался использовать только далее, на отлетной траектории, до которого дело не дошло. То есть штатно включившийся Safemode, после срабатывания watchdog, повис без возможности вывести систему из него. То есть, как я понимаю, аналог знакомого нам «перезагрузился, встал в BIOS и ждет нажатия Any Key, когда клавиатуры у системы нет». Ну это я утрированно, и образно, чтобы понятнее было ситуацию по аналогии.
                                                      К сожалению российский космос весь засекречен, ни слова, ни подсказки потенциальному противнику. Все приходится вычитывать по крохам из зарубежных журналов :-/
                                                      • 0
                                                        Хм, а что мешало возложить такую банальную задачу как перезагруз БЦВК на «тупую автоматику»?
                                                        • 0
                                                          Перезагружать нужно с чего-то, а тут оба хранилища погорели. Потому и включается связь с Землёй — чтобы загрузить программу заново.
                                                          • 0
                                                            А, вы в этом смысле. Просто шла речь о поломке ОЗУ, ПЗУ ведь при этом может быть исправным.
                                                            • 0
                                                              В статье, к сожалению, не так много точной технической информации, но я понял что там было два «горячих» блока с ОЗУ и ПЗУ не предполагалось. Если я ошибаюсь, действительно встаёт вопрос почему с него нельзя было попробовать загрузиться.
                                                              • 0
                                                                Возможно предполагалось, что все это должно происходить не само. А раз сбой, значит у него есть серьезная причина, значит рапортуем на Землю, встаем в safe mode, включаем радиоканал и «поднимаем консоль», и пускай специалисты смотрят, что произошло.
                                                                А тут так получилось, что радиоканал включили, а запуск «консоли» до отделения разгонного блока, то есть до выхода с околоземной орбиты, почему-то не предусмотрен был. То есть передавать команды можно, а на том конце их никто не принимает.
                                                                Ну вот такой процедурный глюк.
                                                                • +1
                                                                  Видимо, ПЗУ не предусматривалось. В теперешнем мире я даже не знаю есть ли адекватные целям, ценам, надёжности и объёму ПЗУ. Даже не очень понятно использовались ли вообще там ПЗУ и ранее. Хорошо ведь известны истории с перепрограммированием в полёте американских межпланетных аппаратов. С ПЗУ такое ведь невозможно.
                                                                  • 0
                                                                    Тем не менее ПЗУ есть в американских марсоходах.
                                                                    • 0
                                                                      Ну, я рад за них и даже и не спорю. :)
                                                                      Проблема там может быть ещё и в другом — записываемое ПЗУ зачастую так же уязвимо к действию космических лучей, как ОЗУ. А программируемое на этапе изготовления сильно не технологично в случае изготовления единичных экземпляров.
                                                                      • 0
                                                                        Я так подозреваю, что ПЗУ, как и ОЗУ, и любые другие комплектующие производят с маркировкой space. Ведь спутники давно переходят на цифру, а там без ОЗУ, ПЗУ, Flash-накопителей никуда.
                                                                    • 0
                                                                      ПЗУ там есть, а перепрограммируют flash, eeprom и т.д. — тоже своего рода ПЗУ (в смысле данные не пропадают без питания), но стираемые. И они обычно намного надежнее, чем ОЗУ.

                                                                      Скорее всего просто софт недотестировали. Сразу всего не предусмотришь, нужно множество испытаний «в ситуациях приближенных к боевым».

                                                                      Пишу простые земные встраиваемые приложения на железе, в котором мало что может поломаться — никто их в печку не ставит, рентгеном не просвечивает, молотком не бьёт и даже на пол не роняет. Но вот сегодня при прошивке очередной партии устройств три штуки не прошли последующие испытания — не включается USB, тупо виснет при попытке включить этот модуль контроллера. И в моей программе возможность этого невключения никак не предусматривалась, и в результате вся система висит, хотя всё остальное и без USB могло бы свои функции выполнять, т.е. на 90% работать. И даже пока не знаю, как такую ситуацию обрабатывать — о том, что USB не пашет, не узнать, пока его не включишь, а при попытке включения — железо виснет, включая watchdog. Т.е. нужен «внешний наблюдатель», которого в устройстве нет — есть живой оператор, который может перевключить систему, и отнести её в ремонт, если не пашет. В космосе такие штуки не пройдут, поэтому надо все возможные ситуации заранее просчитать, промоделировать и отладить…
                                                          • +6
                                                            А марсиане оказывается еще те расисты — не хотят, чтобы их изучали именно российские аппараты
                                                        • +2
                                                          Спасибо за конструктивную статью!
                                                          • 0
                                                            хорошо, что решили написать. спасибо за статью.
                                                            • +3
                                                              У Бурана, кажись, 4 компьютера было на борту. Хорошо задублировали

                                                              Хотя тут понятно, много железа с собой на Марс не потянешь. Но лучше бы это, чем решение прикрепить туда китайский микроспутник до кучи
                                                              • 0
                                                                Китацы-то поди валютой заплатили :-/
                                                              • +7
                                                                > Только факты и прямая речь специалистов.

                                                                А я ещё подумал, почему так понравилось изложение? Наверное поэтому :)
                                                                • +8
                                                                  Интересный форум по теме.

                                                                  Вообще то про то что виновата именно эта микруха — это просто догадки. Из фактов у них по всей видимости только то что 2 модуля перезагрузились из за срабатывания вочдогов.

                                                                  Теоретически тут и софт может быть виноват, особенно если в двух модулях одинаковая прошивка…

                                                                • +6
                                                                  Глубокий космос? По-английски он может и deep, а вот по нашему дальний.
                                                                  Солнечная ориентация на ФГ средствами «тупой» автоматики это байки.
                                                                  • –4
                                                                    Надо все-таки, достать обломки с глубины океана для дальнейшего тщательного анализа.
                                                                    • 0
                                                                      Спасибо. Очень надеюсь, что этот инцидент даст нужным людям самое дорогое (в данном случае 5*10^9 только рублей, не считая других, более… неприятных в психологическом плане, потерь) — опыт.
                                                                      • –3
                                                                        Надейтесь.
                                                                        • 0
                                                                          Потеряно не так уж и много денег — аппарат был застрахован на фактическую стоимость его изготовления. И хотя большая часть стоимости программы — это не сборка, а разработка, но технологии никуда не делись, поэтому можно сказать, что ничего не потеряли.
                                                                          • 0
                                                                            Уверены насчет полной стоимости? Были же даже скандалы из-за того, что страховали только часть стоимости спутников, и более того страховая компания находилась в здании Роскосмоса.
                                                                            • 0
                                                                              Нет, не уверен — по новостям просто как-то говорили о том, что застраховали стоимость сборки. Могли конечно и наврать или сказать полуправду :)
                                                                        • +5
                                                                          Ах, отличный стиль написание статьи, читал как триллер.
                                                                          • +11
                                                                            >На борту Фобоса размещалось два независимых модуля ЦВМ22, работающих параллельно, независимо, и обеспечивающих горячее дублирование, на случай выхода из строя любого модуля в паре. Такое дублирование — общепринятая практика в авиационной и космической технике.

                                                                            Какое ламерство! Помнится, в «Да вы наверное, шутите, мистер Фейнман!» автор рассказывал о бортовых компьютерах шаттлов американских (без малого полвека назад) — так там было 5 (пять, блин!) дублирующих компьютеров в разных частях шатла, с системой автоматического выбора глюкнутых коллег методом голосования. А у нас забыли старую морскую пословицу о том, что выходить в море с двумя компасами бесполезно — надо брать либо один, либо три.
                                                                            • +3
                                                                              У пилотируемых и автоматических аппаратов разные критерии в смысле дублирования систем.
                                                                              • +8
                                                                                Ну, ок, предложите алгоритм выбора верного значения от двух разных систем. Вот сказал вам один датчик, что температура +100, а второй — что +200. Кому верить?
                                                                                • 0
                                                                                  Я думаю здесь дублирование не смысле сравнения данных и голосования, а в смысле возможности отключить один (когда становится известно что он неработоспособен) и переключиться на другой.
                                                                                  • +2
                                                                                    Так в том-то и дело, откуда вы узнаете какая система работает неправильно? Или дублирование только от случаев полного выхода из строя?
                                                                                    • +2
                                                                                      Да — от полного. Ну например (чисто фантазирую) написать софт так, чтобы он раз в секунду выдавал сигнал на тупое устройство. Если сигнала нет две секунды, тупое устройство вырубает молчащий комп и врубает второй. Вероятность того, что сбой произойдёт непосредственно перед выполнением маневра — невысока. Поэтому это вполне вариант.
                                                                                      • +2
                                                                                        А если сбой произойдёт в контролирующем модуле? И он не то выключит?
                                                                                        • 0
                                                                                          Этот «контролирующий модуль» — не микросхема, а глупое примитивное устройство из пары транзисторов, резисторов и конденсаторов. С одним входом и одним выходом. Оно просто выдаёт сигнал на выход, если на входе долго ничего нет :)
                                                                                      • +2
                                                                                        А если комп работает, но не так? Скажем изза сбоя памяти заглючила некая переменная и результат вычислений пошел не такой какой надо?
                                                                                        • 0
                                                                                          Чтобы такого не было надо использовать память с обнаружением и коррекцией ошибок.
                                                                                          • +2
                                                                                            Глюк может быть и в регистре процессора. Тут все не проконтроллируешь. Надо сравнивать систему в целом. Мажоритарными механизмами.
                                                                                  • 0
                                                                                    Ну, если уж на то пошло, то пожалуйста: глюк в работе датчика вряд-ли даст постоянную дельту на сто градусов, так что у одного из них сто градусов — это мгновенная погрешность. Просто понаблюдаем за процессом: если на первом датчике появляются цифры +150, +75 и даже 0, а на втором показания колеблются в пределах +_ пары-тройки градусов, то больной обнаружен.
                                                                                    Если не ошибаюсь, примерно так определяется неисправность датчика в авиационных алгоритмах, недавно тут как раз статья была.
                                                                                    • +3
                                                                                      >недавно тут как раз статья была
                                                                                      ага, и в той статье рассказывали о троекратном дублировании систем. Не двукратном.
                                                                                      • –2
                                                                                        Всё верно, да только не совсем. Само по себе резервирование по количеству n не является показателем надёжности системы. Было-бы так — летали бы самолёты с 15 модулями, на самолёте-то такой безумной экономии нету.
                                                                                        Легко описать систему из двух элементов, которая будет гораздо надёжнее системы из трёх, пяти и так далее элементов. Тут в топе совершенно верно заметили: общая надёжность системы — функция от произведения надёжностей её компонент.
                                                                                        • +2
                                                                                          Если бы это было правильное определение надежности системы, то в дублировании не было бы смысла, т.к. оно только ухудшает надежность.
                                                                                          • 0
                                                                                            Каждый следующий элемент увеличивает надежность системы все меньше и меньше. Более 4 одинаковых элементов как правило уже тупо не окупаются.
                                                                                            • 0
                                                                                              На шаттлах по 5 ставили.
                                                                                              • 0
                                                                                                Обратите, пожалуйста, внимание на словосочетание «как правило».
                                                                                            • +1
                                                                                              Надежность одной системы — да, ненадежности перемножаются. Но дублирование и прочее резервирование — это параллельные системы, их перемножать не нужно, т.к. они не в одной цепи. Вот понятная аналогия — у нас два глаза, каждый из которых легко повредить, но лишиться сразу двух глаз труднее, чем одного. Один выколотый глаз может быть «напоролся на ветку», но два выколотых глаза — это уже результат чьего-то злого умысла. Так и с космосом: один вырубившийся выч.модуль может быть случайностью «шальная пуля», а два вырубившихся одновременно модуля — это хуже, это где-то серьезная ошибка.
                                                                                          • +2
                                                                                            Возможно датчик с большой дельтой как раз прав, а второй тупо перестал снимать данные и выдает какой то небольшой фон.
                                                                                        • 0
                                                                                          Я бы по-другому сформулировал. У стотонных орбитальных аппаратов и межпланетных АМС с полезной нагрузкой в считанные центнеры весом несколько разные критерии в смысле дублирования систем.
                                                                                          • 0
                                                                                            Так и во времена когда делали шатлы компы были намного больше. Тут в статье писалось, что и так почти 30 кг сэкономили, на новых компах, так что спокойно могли поставить 3 или 5 компов, вместо одного старого.
                                                                                            • +2
                                                                                              Да судя по результату — лучше бы старый оставили, честное слово.
                                                                                              • +1
                                                                                                Учитывая, что основная проблема была не столько в железе, а в подборе этого железа и правильной компоновке. То не факт, что старый бы нормально отработал.
                                                                                                • +2
                                                                                                  Я думаю старому «теплому ламповому» (сарказм) жесткое излучение было бы нипочем. 8) И я всё-таки позволю не согласиться с вашим мнением, так как вы только подтверждаете, что дело в железе: «а в подборе этого железа».
                                                                                                  • 0
                                                                                                    Я думаю его не от хорошей жизни меняли. А учитывая как Роскосмос умудрялся топить спутники, переливом нескольких тонн топлива, то и «теплое ламповое» не факт, что выручит.
                                                                                                    • +4
                                                                                                      Ну вот есть такое мнение, что вот, «при СССР все лучше было». На самом деле тогда косячили, вспоминаю давно читанные воспомнания по Бурану:
                                                                                                      buran.ru/htm/memory11.htm

                                                                                                      Весьма живописно описан процесс приемки оборудования производства космической отрасли, тогда еще сильнейшей в мире космической державы.
                                                                                                      Просто тогда везло, а сейчас, по-видимому, уже не везет. Или вот такого въедливого лейтенантика не нашлось.

                                                                                                      Кто захочет целиком, если вдруг, то читать отсюда:
                                                                                                      buran.ru/htm/memory.htm
                                                                                                      • –2
                                                                                                        Да в принципе и звание сильнейшей космической державы уже тогда сомнительно было. Во времена Бурана первыми уже однозначно были штаты. И на Луну слетали, и Буран слизывали с Шаттла.
                                                                                                        • +1
                                                                                                          Спасибо, перечитал с большим удовольствием.
                                                                                          • 0
                                                                                            В 1996ом по причине расхождения в показаниях двух указателей воздушной скорости (один датчик находится у капитана, другой – у второго пилота) разбился рейс 301 Birgenair, унеся жизни 189 человек – самые большие потери в авиакатастрофах с участием Boeing 757.

                                                                                            Фильм можно посмотреть, например, здесь (называется NASEKOMIE.mp4).
                                                                                          • +1
                                                                                            Всё же, версия о воздействии ТЗЧ — это всего лишь версия, означающая, что не смогли выяснить причину одновременной перезагрузки двух БЦВМ.
                                                                                            • +4
                                                                                              Кстати, вот тоже вопрос на сто миллионов. Прежние ЭВМ весили 30кг, новые — 1,5кг. То есть, выгода — в 20 раз. Почему бы не организовать не двойное, а трех- или четырехкратное дублирование систем?.. Ведь, как ни звучало бы цинично и бездушно, но такой проект — это даже не пассажирский лайнер, а огромная махина (в плане трудо- и денежных затрат), которую не каждый год получится реализовать.

                                                                                              Вот бы узнать мнение хоть одного специалиста, а не «комиссии».
                                                                                              • НЛО прилетело и опубликовало эту надпись здесь
                                                                                                • +8
                                                                                                  Что-то Вы не то насчитали, понятное дело что выход одного устройства из 5 более вероятен, но поскольку это всё дублирующие устройства, то нужно считать одновременный выход из строя всех 5 устройств, а не части из них. А то по вашим расчетам получится, что надежнее вообще ничего не дублировать.
                                                                                                  • 0
                                                                                                    Все было бы так если бы был 100% надежный механизм обнаружения неисправности и ввода резерва.
                                                                                                    • +2
                                                                                                      Это не столь важно. Механизмы обнаружения тоже можно дублировать.
                                                                                                      • +1
                                                                                                        Участвовал в одном из проектов одного НИИ где требовался примерно такой механизм. Реализовали просто: все механизмы соединены шиной (примитивной 1 провод) и как только с один их механизмов определяет что от другого идет бред, то сразу берет на себя роль основного. Если вдруг первый починится (бывает и такое) то он становится в резерв. Соответственно таких можно сколько угодно плодить и не потребуется отдельного механизма обнаружения.
                                                                                                      • 0
                                                                                                        Этот механизм проще и сам по себе надежней дублируемых устройств. От того насколько именно он надежней зависит предельное/оптимальное количество дублей.
                                                                                                        • 0
                                                                                                          Очевидно, все же, предыдущий комментатор прав… чем больше дублей — тем ниже надежность на бумаге. Теперь мне немного более ясно, что на самом деле творится: считают сферические цифры вместо того, чтобы просчитывать вероятность того, что объект достигнет цели.
                                                                                                          • 0
                                                                                                            Если правильно считать, то на бумаге и в железе должно быть одинаково (с учетом погрешностей модели).
                                                                                                            • +1
                                                                                                              Смотря что считать надежностью. Пусконаладчики не любят мажоритар лютой ненавистью, т.к. они штамп «Принято» получат только лишь тогда когда система заведется с 100% готовностью, а на троированой системе верояютность этого в три раза меньше. Это считать сдавать не одну систему, а три, да еще в синхроне.

                                                                                                              Но работоспособность троированой системы намного выше. т.к. отказ одного не рушит все.
                                                                                                            • +1
                                                                                                              Ок, возьмем наглядный пример, RAID-массив с зеркалированием.
                                                                                                              Допустим вероятность выхода из строя винта за гарантийный срок 5%, т.е. 0,05. Имеем надежность 0,95.
                                                                                                              Итак получается если мы сделаем RAID 1 на 4 винтах, то по расчетам автора получим надежность системы 0,95*0,95*0,95*0,95 = 0,82.
                                                                                                              В таком случае внимание вопрос, накой тогда нужно тратит бабло на 4 винта, если это только ухудшает надежность?

                                                                                                              А все потому, что перемножать нужно не вероятность работы (работа у нас не является чрезвычайной ситуацией или каким-то единичным случаем), а перемножать нужно вероятности отказа (о чем кстати написано в той же Wiki).
                                                                                                              Т.е. нужно 0,05*0,05*0,05*0,05 = 0,00000625, соответственно наглядно видно, что вероятность загибания 4 дисков одновременно крайне маловероятна, и тогда в применении RAID 1 появляется смысл.
                                                                                                        • 0
                                                                                                          Что есть «холодный резерв»? Как он становится «горячим резервом»?
                                                                                                          В чем преимущество второй железки в «горячем резерве», ведь железки изнашиваются одинаково?
                                                                                                          • 0
                                                                                                            Преимущество в отсутствии паузы в работе, как я понимаю.
                                                                                                            • НЛО прилетело и опубликовало эту надпись здесь
                                                                                                              • 0
                                                                                                                Остаются вопросы:
                                                                                                                Кто включает «холодный резерв»? Все тот же «маленький супернадёжный» арбитр?

                                                                                                                Каковы критерии выбраковки? Время принятия решения арбитром?
                                                                                                                Некоторые системы сложны, так просто и быстро определить неисправную вряд ли получится.
                                                                                                                • НЛО прилетело и опубликовало эту надпись здесь
                                                                                                                  • 0
                                                                                                                    Благодарю.
                                                                                                                    Мне надо для одного проекта практические и математические нормы/методы резервирования, поэтому и уточнил.
                                                                                                      • +10
                                                                                                        Сначала статья делает уклон в опровержение тезиса «Роскосмос === идиоты» и в то, что проектирование таких сложных вещей — это очень-очень тяжелая задача а, потом — в проблемы кадров. Мне кажется, последнее — это никак не логическое развитие первого.

                                                                                                        Вот после того, как вы говорите о сложности «вертикального» взаимодействия специалистов в этом проекте, разумно было бы после слов о проблеме кадров написать хоть строчку о том, что возможной причиной ошибки в проектировании стала смена не одного поколения тех самых «вчерашних студентов», которые год-два-три поработают, и сваливают на нормальные зарплаты в бизнес/руководство.

                                                                                                        Лично я так понял эту статью.
                                                                                                        • +1
                                                                                                          Я может чего-то не понимаю, но неужели экраны не спасают?
                                                                                                          • +2
                                                                                                            От частиц высоких энергий понадобятся такие экраны (свинец такой толщины), что никакая ракета «Энергия» (сто тонн ПН на низкой орбите) не поднимет. Простите за тавтологию.
                                                                                                          • 0
                                                                                                            А тем временем жёлтая пресса вона чего пишет.
                                                                                                            • +6
                                                                                                              Есть нехорошее подозрение, что за 20 лет у нас разучились делать сложные технические системы во многих отраслях.
                                                                                                              Нам в институте даже не пытались «проектирование систем» дать. Просто в зачетке расписались и гуляй.
                                                                                                              • +3
                                                                                                                Буквально вчера с соседом по даче общался на эту тему. Он устроился работать на какое-то предприятие в Москве, которое занимается космосом. Говорит, что был в шоке от увиденного — всё оборудование на предприятии 50-60 годов прошлого века, нового нет вообще НИЧЕГО. Офигел, когда увидел, как обрабатываются детали для космических аппаратов — приходит «дядя вася» и напильником стачивает заусенцы на деталях, пальцем проверит и дальше напильником… После этого ничуть не удивительно, что у нас то одно упадёт, то второе не взлетит.
                                                                                                                • +6
                                                                                                                  Ой, да, сосед по даче — это источник, заслуживающий особого доверия. Уровень достоверности — просто зашкаливающий: «какое-то предприятие, занимающееся космосом...».
                                                                                                                  Вот что я расскажу: года два назад у нас, в Питере, в Сосновом Бору АЭС взорвалась. Что, не знаете? А ведь полгорода тогда точно знало, что взорвалось, или утекло что-то, или облако зелёное вылезло и радиацией так и светит. И все, кто про это знал — точно были уверены, потому что у всех был сосед-военный, который обо всём и рассказал.
                                                                                                                  Вот такие жуткие вещи творятся в этой стране. И не узнали бы мы ничего и никогда, если бы не честные соседи, знакомые сотрудников на работе и отдалённые родственники.
                                                                                                                  • 0
                                                                                                                    Вопрос доверия к источникам всегда нетривиален. Тут уж абсолютно не факт, кому больше верить — какому-то блогеру, соседу по даче, тележурналисту или какому-нибудь пресс-секретарю.
                                                                                                                    • +1
                                                                                                                      Действительно, ведь для кого-то и фон Браун был соседом по даче )
                                                                                                                    • 0
                                                                                                                      а какой смысл ему что-то придумывать? Это не новость о какой-то аварии, он не рассказал каких-то жареных историй… дядьке уже за 50, он просто поделился впечатлениями от новой работы.

                                                                                                                      ну и сопоставляя различные факты и небылицы из различных источников, можно с большой долей уверенности утверждать, что всё примерно так и обстоит на самом деле.

                                                                                                                      Совсем недавно тут же на хабре была новость о том, как кучка диггеров шарилась по некому московскому особоохраняемому заводу, который испытывает двигатели для ракет. несколько ночей эти «вражины» спокойно обшаривали этот завод, попутно всё фотографируя. при этом они даже ни разу не встретились с охраной.
                                                                                                                  • 0
                                                                                                                    Не только у нас. У американцев уже утерян секрет изготовления Шаттлов… Не говоря уже об Апполонах лунной программы.
                                                                                                                    • НЛО прилетело и опубликовало эту надпись здесь
                                                                                                                      • 0
                                                                                                                        С чего это утеряно? Просто Шаттлы как и Апполоны давно морально устарели, плюс задачи сменились, сильно развились беспилотники и прочая робототехника. Вы видели какой марсоход запустили американцы сразу после Фобос-Грунта, да там целая махина весом 900 кг, а какая у него система посадки хитрая.
                                                                                                                    • +2
                                                                                                                      Фиговина. Глобально дело совсем в другом — наивно предполагать что разработчики не знают о влиянии излучения на микроэлектронику. Может не с точностью до цифр и вероятностей (те, кто не занимается этим специально), но общий смысл понятен всем. Недавно приходилось общаться с группой товарищей, связаных с космическими разработками — общий посыл в том, что «денег на радиационно-стойкие технологии никто не даст — просто не вписаться в указанный заказчиком бюджет». Ну и вторая проблема — микросхемы для космических применений купить кому попало (например организациям из России) весьма непросто. Поэтому ставят то, что имеет хоть какие-то сертификации для специальных применений, делают дублирование-троирование и надеются, что «пронесет». Ну либо используют отечественный микросхемы, предназначенные для подобной эксплуатации, но функционально отставшие десятка на два лет (тот самый коспьютер весом 30 кг вместо полутора).
                                                                                                                      • +15
                                                                                                                        За пол года да запуска Фобос-Грунт один с сотрудников написал открытое письмо, в котором говорит, что делают недобросовестно. Рекомендую всем почитать.
                                                                                                                          • 0
                                                                                                                            «цель стратегии — обеспечение мирового уровня российской космонавтики и закрепление России к 2030 году в тройке ведущих мировых космических держав.»
                                                                                                                            С первого взгляда хорошая такая цель, если только не вспоминать, что по количеству запусков в год Россия пока на первом месте, т.е. цель не дать спуститься ниже третьего места :)
                                                                                                                            • +5
                                                                                                                              Но исследование космоса это не только ракетные запуски. Например из межпланетного космоса и многих областей научных исследований Россия ущла уже много лет назад. А США, например и James Webb запускают, и New Horizons, и к Сатурну, и к Меркурию, и на Марсе «тележки» уже сколько лет ездят.

                                                                                                                              Россия же словно удовлетворилась свое ролью «космического бомбилы»
                                                                                                                              — Шеф, на околоземную!
                                                                                                                              — Э! Покажешь как лететь — садись!
                                                                                                                              • 0
                                                                                                                                Ну со штатами то понятно, но походу уже готовятся и Китай пропустить вперед.
                                                                                                                        • +3
                                                                                                                          При СССР довелось поработать на «Прогрессе». Видел кто и как изготавливал детали спутников. Видел(где-то ещё завалялись) отечественные электронные компоненты, на которых не было живого места от обилия цветных маркеров о прохождении ступеней отбора и тестирования. Даже на наземное оборудование шли детали с не менее тремя маркерами. Какие к чёрту «military-grade» made in ненаше. Хотя и тогда Лунный модуль утопили. Тяжёлый был, торопились Американцев опередить. Но это был инцидент а не серия.
                                                                                                                          • 0
                                                                                                                            Не серия? А почему тогда Н-1 так и не полетела?
                                                                                                                            • +1
                                                                                                                              Считается, что решили не строить стенд для испытания двигателей в связке т.к. это долго и дорого (испытывали только по-отдельности каждый). А в связке они повели себя иначе.
                                                                                                                              Но это всё конечно детали, в целом же просто технически и организационно слишком отставали от США. Ну и финансово тоже, естественно. Вопрос — зачем, понимая это, нужно было ввязываться в эту лунную гонку, если можно было заняться другим проектом. Нельзя быть всегда первыми во всём.
                                                                                                                              • +2
                                                                                                                                По-моему, проблема с двигателями была с самого начала, из-за чего и пришлось использовать три десятка двигателей Р-7. И если мне не изменяет память, большая часть неудачных пусков объяснялась аварией одного из трёх десятков этих достаточно надёжных поодиночке двигателей. На мой взгляд, ближайший по надёжности аналог такой системы — гирлянда из последовательно соединённых лампочек.
                                                                                                                                • 0
                                                                                                                                  Двигатели были одноразовые, к повторному запуску не пригодные. Строили партию из 5-7 двигателей (не помню точно, читайте Чертока «Ракеты и люди») и убивали 1-2 двигателя на испытаниях. По результатам испытаний судили о надежности всей партии.
                                                                                                                                • 0
                                                                                                                                  Потому, что это сверхдорогой проект. Их было где-то всего четыре запуска.
                                                                                                                                  Ракету не доработали конструктивно, а не потому, что пичкали некачественной электроникой.
                                                                                                                              • 0
                                                                                                                                Стыдно за себя стало, за отношение к работе/учебе. Спасибо, очень интересная статья.
                                                                                                                                • +5
                                                                                                                                  2.3. Наиболее вероятным фактором, который мог стать первопричиной двойного «рестарта», является локальное воздействие тяжелых заряженных частиц (ТЗЧ) космического пространства, которое привело к сбою в ОЗУ вычислительных модулей комплектов ЦВМ22 во время полёта на втором витке КА «Фобос-Грунт».

                                                                                                                                  В переводе на человеческий язык: «Мы ни хрена не знаем, что произошло, но что-то типа влияния космических лучей на загробную жизнь мандавошек» :)

                                                                                                                                  Простите… :))