Virgin Galactic & Virgin Orbit

Bei kritischen Systemen wird ja sonst eine "2-Weg"-Aktivierung eingebaut: "arm + fire", so dass eine einzelne Fehlbedienung, bzw. eine einzelne Aktion, nicht zur Katastrophe führt. Wie ist/war das mit dem Unlock-System bei SS2?

So ein "2-Weg" -Aktivierungssystem gab es im SS2 schon. Kann man sehr schön in diesem Video sehen, in dem Chefpilot Dave McKay einem Reporter der BBC den Simulator, in dem die Piloten für den Flug mit SS2 trainieren, vorführt. Man sieht, es gibt erst den Hebel, den man nach unten legen muss (unlock) und dann den, den man herausziehen muss (raise).


https://www.youtube.com/watch?v=VnzQH_IJdso

Wenn ich das noch richtig im Kopf habe, wurde aber auf einer der Pressekonferenzen der NTSB in der Woche nach dem Unfall gesagt, dass der Copilot nur den Hebel betätigt hat, der das System scharf macht, also den, den man nach unten drücken muss, nicht aber den, der das System dann wirklich betätigt. Ausgefahren ist es trotzdem.

Warum wird der Feder-Modus schon scharf geschaltet wenn das Triebwerk noch brennt? In dem Video kann man das schön sehen. Ich mein, so wird doch dieser 2-Stufen Mechanismus ad absurdum geführt. Der Mechanismus soll verhindern, das der Feder-Modus während der Brennphase aktiviert wird. Wenn er aber bereits während der Brennphase scharf geschaltet wird ist die Fehlertoleranz ab dem Zeitpunkt weg.

Grundsätzlich verhindert der 2-Stufen-Mechanismus ja nicht nur ein ungewolltes aktivieren des Feder-Modus, sondern kann auch die Auswirkungen verschiedener technischer Probleme verhindern. Wenn es z.B. einen Kurzschluss im zweiten Feder-Modus-Hebel (Raise) gibt, würde der Federmodus bereits unmittelbar nach dem Scharfschalten aktiviert werden, auch wenn der zweite Hebel gar nicht betätigt ist. Offenbar ist genau das passiert, was wie gesagt den 2-Stufen Mechanismus ad absurdum führt.

Mane

In den Auszügen des Berichts wird betont:
- er hat den Federmechanismus bei Mach 0,81 entriegelt (hätte eigentlich erst bei Mach 1,4 erfolgen sollen)
- bei Mach 0,8 war seine Aufgabe offenbar Instrumente zu beobachten und Mach 0,8 an den Piloten zu melden


So eine Gleichzeitigkeit (A bewusst machen ... B unbewusst falsch mitmachen) könnte ein Indiz für Stress und vielleicht unzureichende Vorbereitung sein. Vielleicht hat er da was durcheinander gebracht.

Ja, hab ich so verstanden.

ABER

Im Video ist eindeutig zu sehen, wie die Entriegelung bereits in der Brennphase betätigt wird. Kann natürlich ein dummer Zufall sein.

Wieso ABER? Dem widerspricht doch keiner. Das ist der Fehler.

Wenns in dem Erklärungsvideo zu sehen ist, ists ein Fehler im Ablauf der Prozedur. Dann wäre es nur bedingt ein Pilotenfehler. Klar, der (Co)Pilot hat den Hebel bedient. Aber wenn das so und zu diesem Zeitpunkt festgelegt gewesen wäre, kann man doch nicht von einem Pilotenfehler sprechen.

Wie gesagt, kann ein Zufall sein dass das Video das Entriegeln innerhalb der Brennphase zeigt.

Wenns in dem Erklärungsvideo zu sehen ist, ists ein Fehler im Ablauf der Prozedur. Dann wäre es nur bedingt ein Pilotenfehler. Klar, der (Co)Pilot hat den Hebel bedient. Aber wenn das so und zu diesem Zeitpunkt festgelegt gewesen wäre, kann man doch nicht von einem Pilotenfehler sprechen.

Wie gesagt, kann ein Zufall sein dass das Video das Entriegeln innerhalb der Brennphase zeigt.

In dem Viedo wurden verschiedene Sequenzen zusammengeschnitten: eine Sequenz zeigt einen Testflug von SS2, die andere zeigt die beiden Typen im Simulator. Das, was jeweils passiert, muss nicht zwingend gleichzeitig im Ablauf zueinander sein. Hier dürfte einfach der Schnitt irreführend sein. Auch dass er im Video sagt, dass die ganze Zeit das Triebwerk brennt (während er den Hebel umlagt) interpretiere ich so, dass es bis zu dem Zeitpunkt die ganze Zeit brennt und nicht weiter. Hat aber Schillrich mehr oder weniger schon geschrieben:

[...]
- er hat den Federmechanismus bei Mach 0,81 entriegelt (hätte eigentlich erst bei Mach 1,4 erfolgen sollen)
[...]

Hallo Zusammen!

Wurde denn vor dem Unfall Untersucht, welche Auswirkungen ein versehentliches Federn bei verschiedenen Geschwindigkeiten und verschiedenen Antriebssituationen haben würde?

Insgesamt sehe ich jetzt persönlich mehrere Bereiche, in denen Fehler gemacht wurden. Und zwar:

- in der Planung
- in der Simulation
- in der Konstruktion
- in der Ausbildung
- im Qualitätsmanagement
- in der Bedienung

In dieser Liste kommt der möglicherweise überlastete Copilot nach allem möglichen Anderen ... Als Insider hat er imho allerdings sicher vor dem Unfall eigene Äußerungs-/Eingriffs-/Entscheidungsmöglickeiten gehabt.

Gruß   Pirx

Hallo!

Noch eine konkrete Frage: Konnte jemand aus den nun verfügbaren Informationen herausdestillieren, ob festgestellt wurde, dass der Copilot BEIDE zum tatsächlichen Aktivieren des Federns nötigen Bedienschritte persönlich ausgeführt hat oder nur den ersten?

Gruß   Pirx

Nach meinem Verständnis hat er entriegelt und die aerodynamische Belastung hat dann das System "geöffnet". Ohne die hohen Lasten wäre es dann wohl nur durch das Entriegeln nicht zum Federn gekommen.

So hatte ich das damals, nach dem Absturz, gelesen. Wie der heutige Stand ist, weiß ich aus den Meldungen nicht.

Hier dann doch von gestern aus SFN zitiert:

But during the October test flight, cockpit video cameras show Alsbury unlocked the mechanism at just eight-tenths the speed of sound, or Mach .8. While the actuators that normally would rotate the feather upward later were not engaged, the aerodynamic lift acting on the fins at that velocity and altitude was strong enough to force the tail fins to suddenly rotate up toward the re-entry position.

Er hat es entriegelt, aber nicht eingeschaltet. Die aerodynamischen Kräfte im transsonischen Bereich haben es aber "von selbst" geschafft.

Hier dann doch von gestern aus SFN zitiert:...
Er hat es entriegelt, aber nicht eingeschaltet. Die aerodynamischen Kräfte im transsonischen Bereich haben es aber "von selbst" geschafft.

Danke Dir!

Gruß   Thomas

Er hat es entriegelt, aber nicht eingeschaltet. Die aerodynamischen Kräfte im transsonischen Bereich haben es aber "von selbst" geschafft.

Damit ist der 2-Stufen Mechanismus (Entriegeln und Auslösen) aber nicht fehlertolerant implementiert. Fehlertolerant wäre, wenn der erste Hebel die Elektrik (Stellmotoren) scharf schaltet aber noch keinerlei mechanische Änderung vornimmt. Erst der zweite Hebel entriegelt mechanisch und aktiviert die Stellmotoren.

Wenn das tatsächlich so war wie geschrieben, ist das meines Erachtens ein schwerer Designfehler. Oben drauf kommt dann noch, das eigentlich gar nichts passieren hätte dürfen, solange das Triebwerk läuft. Selbst wenn beide Hebel bedient worden wären.

Mane

Das NTSB sagt ja: SS2 ist offenbar eine ordentliche designte Maschine, aber "human (error) in the loop" ist im Design nicht ordentlich berücksichtigt. Dass die Besatzung Fehler machen kann, ist "nicht vorgesehen", zumindest nicht ausreichend.

...
Damit ist der 2-Stufen Mechanismus (Entriegeln und Auslösen) aber nicht fehlertolerant implementiert. Fehlertolerant wäre, wenn der erste Hebel die Elektrik (Stellmotoren) scharf schaltet aber noch keinerlei mechanische Änderung vornimmt. Erst der zweite Hebel entriegelt mechanisch und aktiviert die Stellmotoren.

Wenn das tatsächlich so war wie geschrieben, ist das meines Erachtens ein schwerer Designfehler. Oben drauf kommt dann noch, das eigentlich gar nichts passieren hätte dürfen, solange das Triebwerk läuft. Selbst wenn beide Hebel bedient worden wären.
...

Vorgesehen war halt, dass niemand das System in dem Flugzustand bedient. Insofern war es "sicher", sogar tolerant designt. Sie haben den "spontanen" Menschen vergessen ...

Zwei Punkte aus dem NTSB-Bericht, zitiert via NSF, bringen es aus meiner Sicht gut zusammen:

It was cited that there was a large amount of “pressure” on pilots to ensure the feather system was activated during a busy period of the flight milestones, due to fear of the potentially disastrous results of re-entry without deployment.
...
It was also claimed that the training procedures and checklists failed to emphasise the potential of a flight failure via a premature unlocking of the system.

Einerseits gab es starken Druck, dass das Feather-System auf jeden Fall rechtzeitig/frühzeitig aktiviert sein muss, ggf. sogar während einer Phase mit hoher Arbeitsbelastung im Cockpit, um es auf jeden Fall beim Re-Entry parat zu haben. Man kann das so lesen, dass eine zu späte Aktivierung auch schlimm/katastrophal enden kann ... wenn man es quasi vergisst.

Andererseits war nicht wirklich bekannt, dass eine zu frühe Aktivierung auch zur Katastrophe führt.

In der Summe hat das vielleicht den Co-Piloten bewogen "lieber jetzt" als "zu spät" das System zu aktivieren, in einseitiger Kenntnis was "zu spät" bedeuten würde und in Unkenntnis "was zu früh" bedeutet.



So verstehe ich jetzt auch, warum sie das System normalerweise schon bei Mach 1,4 entriegeln (offenbar noch im angetriebenen Steigflug): Es soll beim späteren Re-Entry auf jeden Fall scharf sein. Ab Mach 1,4 ist der Flieger auch klar im supersonischen Bereich, so dass die aerodynamischen Kräfte auf die Struktur wieder deutlich geringer sind ... und das scharfe System dem standhält.

(so interpretiere ich das jetzt)

Ich würde das auch recht ähnlich interpretieren wie Schillrich. Ich denke (ohne natürlich zu wissen, wie es genau aussieht), das bei der "Entriegelung" wirklich irgendwie das Federsystem mechanisch entriegelt wird. Die Größe des Hebels lässt mich zu diesem Schluss kommen. Der Scheint doch recht massiv gebaut zu sein, was unnötig währe, wenn da nur in nem Mikroprozessor irgendwo ne Variable auf "jetzt ist es entriegelt" gesetzt werden würde. Auch der Hebel zum ausfahren des Federsystems ist ziemlich groß und massiv gebaut und muss sehr weit heraus gezogen werden. Ich spekuliere daher mal darauf, das da kein Fly-by-Wire System dazwischen ist, sondern nur eine mechanische, pneumatische oder hydraulische Kraftübertragung. Was diese These stütz, ist, das bekannt ist, das Scaled Composits nicht sehr gerne Computersteuerungen verwendet und auch bei SS1 die Flugsteuerung von der Hand des Piloten bis zur Steuerfläche rein mechanisch abgelaufen ist.
Ich denke daher, das es irgendwie so aubgelaufen sein muss:
Der Copilot hätte das System bei Mach 1,4 entriegeln sollen, wenn (durch den Steigflug) die aerodynamische Belastung auf SS2 gering genug ist, das es sicher ist, das Federsystem zu entriegeln. Dies hat er aber vorher (Mach 0,8) schon getan, wodurch wirklich mechanisch ein Sicherungsmechanismus entfernt wurde, der das Ausfahren des Federsystems bei hohen aerodynamischen Belastungen verhindert. Jetzt hält nur noch der Betätigungsmechanismus das Federsystem in Position, der ist aber zu schwach um den in geringer Höhe noch wirkenden aerodynamischen Belastungen stand zu halten, bricht, die Feder klappt aus, wodurch dann die beiden Leitwerksenden abbrechen und das Schicksal von SS2 besiegeln.

Zwei Punkte aus dem NTSB-Bericht, zitiert via NSF, bringen es aus meiner Sicht gut zusammen:

Zitat

It was cited that there was a large amount of “pressure” on pilots to ensure the feather system was activated during a busy period of the flight milestones, due to fear of the potentially disastrous results of re-entry without deployment.
...
It was also claimed that the training procedures and checklists failed to emphasise the potential of a flight failure via a premature unlocking of the system.

Einerseits gab es starken Druck, dass das Feather-System auf jeden Fall rechtzeitig/frühzeitig aktiviert sein muss, ggf. sogar während einer Phase mit hoher Arbeitsbelastung im Cockpit, um es auf jeden Fall beim Re-Entry parat zu haben. Man kann das so lesen, dass eine zu späte Aktivierung auch schlimm/katastrophal enden kann ... wenn man es quasi vergisst.

Andererseits war nicht wirklich bekannt, dass eine zu frühe Aktivierung auch zur Katastrophe führt.

In der Summe hat das vielleicht den Co-Piloten bewogen "lieber jetzt" als "zu spät" das System zu aktivieren, in einseitiger Kenntnis was "zu spät" bedeuten würde und in Unkenntnis "was zu früh" bedeutet.

Das Zitat des NTSB-Bericht  durch NSF sagt doch:
"Es gab enormen Druck um sicherzustellen, daß das System während einer sehr geschäftigen/aktiven Flugphase aktiviert wurde aus Furcht vor möglicherweise katastrophalen Folgen eines Eintritts ohne ausgefahrenem System.

Es wurde auch behauptet [im NTSB-Bericht] daß die Trainigsprozeduren und die Checklisten darin fehlschlugen, die Möglichkeit eines Flugversagens durch vorzeitiges Entsperren des Systems zu hervorzuheben."

-->  Die haben es gewusst, aber die Piloten nicht ausreichend darauf trainiert.

Ich denke daher, das es irgendwie so aubgelaufen sein muss:
Der Copilot hätte das System bei Mach 1,4 entriegeln sollen, wenn (durch den Steigflug) die aerodynamische Belastung auf SS2 gering genug ist, das es sicher ist, das Federsystem zu entriegeln. Dies hat er aber vorher (Mach 0,8) schon getan, wodurch wirklich mechanisch ein Sicherungsmechanismus entfernt wurde, der das Ausfahren des Federsystems bei hohen aerodynamischen Belastungen verhindert. Jetzt hält nur noch der Betätigungsmechanismus das Federsystem in Position, der ist aber zu schwach um den in geringer Höhe noch wirkenden aerodynamischen Belastungen stand zu halten, bricht, die Feder klappt aus, wodurch dann die beiden Leitwerksenden abbrechen und das Schicksal von SS2 besiegeln.

So wurde es wohl erwartet, aber die Piloten waren nicht ausreichend darauf trainiert es nicht zu früh zu entriegeln.

Das neue SpaceShipTwo hängt zum ersten mal unterm Trägerflugzeug



www.facebook.com/virgingalactic

So verstehe ich jetzt auch, warum sie das System normalerweise schon bei Mach 1,4 entriegeln (offenbar noch im angetriebenen Steigflug): Es soll beim späteren Re-Entry auf jeden Fall scharf sein. Ab Mach 1,4 ist der Flieger auch klar im supersonischen Bereich, so dass die aerodynamischen Kräfte auf die Struktur wieder deutlich geringer sind ... und das scharfe System dem standhält.

(so interpretiere ich das jetzt)

Ich verstehe das so, daß der Feathermechanismus erst oberhalb von Mach 1,4 entriegelt werden darf, um eine Beschädigung durch hohe aerodynamische Lasten im transsonischen Bereich zu vermeiden, anderseits aber noch vor erreichen vom Brennschluss, und damit Vmax, entriegelt sein muß, um bei Versagen der Entriegelung noch einen Flight-Abort machen zu können.

Wenn ich das richtig verstehe, kann das SS2 wohl nicht unbeschadet aus regulärer Suborbialflug-Höhe ohne Feathering zurückkehren (!).

Damit ergeben die beiden gegensätzlichen Rahmenbedingungen (Entriegeln erst oberhalb Mach 1,4 aber so früh wie möglich) ein zwangsweise kleines Zeitfenster. Zusammen mit der ansonsten wohl nicht gerade geringen Arbeitsbelastung während der Brennphase ist das ein echt riskantes Ding, wenn es ausschließlich manuell bedient wird.

Aber das wollen sie ja, wenn ich das richtig verstehe, ändern und eine automatische Entriegelung für die Entriegelung einbauen.
Damit wird's immer absurder....

...um bei Versagen der Entriegelung noch einen Flight-Abort machen zu können.

Wie würde so ein Flight-Abort aussehen? Wenn der Federmodus nicht entriegelt werden kann, hat man so oder so ein Problem. Egal ob das Problem bei Brennschluss oder kurz davor auftritt. Da ja bei weitem keine Orbitalgeschwindigkeit erreicht wird, wird es auch keinen "Lost in Orbit" geben.

Aber das wollen sie ja, wenn ich das richtig verstehe, ändern und eine automatische Entriegelung für die Entriegelung einbauen.
Damit wird's immer absurder....

Ne, keine automatische Entriegelung sondern eine Automatik die eine verfrühte Entriegelung verhindert.

Mane

Ich wundere mich sowieso, warum keine Fallschirme eingesetzt werden, wie bei anderen Raumschiffen.
Ist dieses Federball-System wirklich so effektiv? Die Luftdichte ist doch ziemlich gering in der Höhe, in der dieses Feder-System eingesetzt wird. Wie stark ist denn die Abbremsung bei diesen senkrecht gestellten Flügeln?
Da müsste ein Fallschirm doch effizienter sein. Dazu scheint mir, dass dieses Klapp-System das Fluggerät unstabiler und zerbrechlicher macht.

Grüsse
Froggy

Hallo froggy,

das ist doch jetzt nur "phantom-spekuliert". Das Federsystem an sich arbeitet aerodynamisch erfolgreich. Idee und Umsetzung für das Flugprofil scheinen zu passen und haben bisher funktioniert. Wir haben keine Anzeichen, dass es dort Probleme gäbe. Was offensichtlich nicht passt: die Art der Bedienung/Aktivierung.

Ich wundere mich sowieso, warum keine Fallschirme eingesetzt werden, wie bei anderen Raumschiffen.
Ist dieses Federball-System wirklich so effektiv? Die Luftdichte ist doch ziemlich gering in der Höhe, in der dieses Feder-System eingesetzt wird. Wie stark ist denn die Abbremsung bei diesen senkrecht gestellten Flügeln?
Da müsste ein Fallschirm doch effizienter sein. Dazu scheint mir, dass dieses Klapp-System das Fluggerät unstabiler und zerbrechlicher macht.

Der Fallschirm müsste aber auf jeden Fall nach jedem Flug durchgesehen oder sogar ausgetauscht werden. Weiß eigentlich jemand, ob man so einen Fallschirm überhaupt wiederverwenden kann. Und dann stellt sich noch die Frage nach der Zielgenauigkeit bei Verwendung eines Fallschirms.

Ich wundere mich sowieso, warum keine Fallschirme eingesetzt werden, wie bei anderen Raumschiffen.
Ist dieses Federball-System wirklich so effektiv? Die Luftdichte ist doch ziemlich gering in der Höhe, in der dieses Feder-System eingesetzt wird. Wie stark ist denn die Abbremsung bei diesen senkrecht gestellten Flügeln?
Da müsste ein Fallschirm doch effizienter sein. Dazu scheint mir, dass dieses Klapp-System das Fluggerät unstabiler und zerbrechlicher macht.

Hier gibts offenbar ein grundsätzliches Missverständnis. Der Federmodus soll nicht dafür sorgen, dass SS2 möglichst effektiv gebremst wir. Er soll dafür sorgen, dass SS2 von alleine stabilisiert wird. Mit anderen Worten: Ist der Federmodus aktiv, muss der Pilot "nichts" machen um SS2 zu stabilisieren. Das geht von alleine. Deshalb heißt dieser Modus Federmodus, da sich SS2 wie ein Federball von alleine stabilisiert.

Fallschirme können in dieser Flugphase (Höhe, Geschwindigkeit) nicht eingesetzt werden. Auch bei Raumkapseln werden die Fallschirme erst viel später aktiviert und nicht bei x-facher Schallgeschwindigkeit in 100km Höhe. Abgesehen davon kann man SS2 nicht mit ner Kapsel vergleichen. SS2 ist vielmehr ein Flugzeug als eine Kapsel.

Mane