当火箭发射遭遇失败 宇航员要如何逃生？

1959年5月，当第一批美国宇航员在一次试验发射中看到阿特拉斯火箭发生爆炸，成为一个巨大的火球时，他们清楚地认识到美国第一个载人航天项目有可能会变成什么样子。这次爆炸是运载火箭第四次连续失败了。格斯·格里森(Gus Grissom)知道了这一点后，转向他的宇航员朋友，怀疑地问道：“我们真的要坐着这样的一个东西升空吗?”两年后，艾伦·谢泼德(Alan Shepard)就这样做了，他冒着变成火球的危险，成为了第一个进入太空的美国人。

不久，宇航员将再次乘坐未经载人测试的火箭升空。这一次，这些飞行器的设计、制造和运营将不再由美国国家航空航天局(NASA)负责，而是由美国私营公司波音(Boeing)和SpaceX负责。美国国家航空和宇宙航行局(NASA)已启动新的商业载人计划，让美国宇航员往返国际空间站，以后NASA就无需再购买俄罗斯联盟号(Soyuz)的发射座位了。自2011年航天飞机项目结束以来，NASA一直通过购买联盟号座位的方式往返空间站。除了想要结束对俄罗斯的依赖，并找到一张更便宜的轨道票(俄罗斯人目前的票价超过8000万美元一个座位，波音公司和SpaceX公司的一个座位将只要5800万美元)之外，美国宇航局还希望能够鼓励太空运输和太空旅游业的发展。这次，NASA在开发和测试这些载人硬件方面的作用将会比以往任何时候都要小，但它要通过一种被称为“人工评级”的严格认证过程来确保宇航员的安全。这一过程的一个关键部分就是：在所有其他保障措施都失效的情况下，为宇航员提供一种逃生的方式——一个可以在紧急情况下使宇航员撤离的中止系统。”

得赖于将近60年的经验和航天技术的巨大进步，火箭发射事业比它的初期要安全得多。例如即将把波音公司的CST-100星际航班太空舱送入轨道的阿特拉斯V型火箭，自2002年以来的近80次发射中，它的任务成功率几乎达100%。再比如埃隆·马斯克的SpaceX公司，它将会用猎鹰9号火箭搭载龙飞船运送宇航员到国际空间站，虽然SpaceX发射猎鹰9号火箭的次数没阿特拉斯V型火箭发射的那么多，但目前其成功率是96.6%，马斯克曾表示，他希望猎鹰9号是“有史以来最可靠的火箭。”

尽管如此，在美国宇航局的文献中，商业宇航员计划的目标是“安全、可靠、符合成本效益的进出国际空间站的通道”，该机构正努力保证目标中第一个词：“安全”。在对运载火箭和宇宙飞船进行认证时，NASA将借鉴其与俄罗斯联盟号合作的经验。商业乘务计划管理人员凯西•吕达斯(Kathy Lueders)表示，在开始预订联盟号(Soyuz)航班之前对俄罗斯安全标准进行审核的过程，有助于NASA相对放松其对商业乘务飞船的管理。

为了确保船员龙飞船和星际航班满足NASA的安全要求，Lueders和她的团队能从两家公司和来自美国宇航局的航天项目获得大量的分析测试数据，NASA与波音、SpaceX公司在设计航天器方面都有密切合作。

Lueders说，就对运载火箭的人工评级而言，该机构并不打算做出改变。她表示：“理想情况下，我们不希望对具有飞行经验、有可靠记录的(发射)载具做出任何改变。无论在什么时候，如果你做了一些不同的事情，你都会增加这次操作的风险。”

但有一个变化至关重要：增加一个集成自动紧急情况探测系统，它可以检测到正在酝酿的潜在致命故障，并立即触发返回舱的中止系统，中止系统将会把航天器从火箭发射出去，并展开降落伞着陆。

发射逃逸系统，又称为中止系统，它从的航空事业的起步就已经进入太空飞行。美国的双子座和苏联的Vostok太空舱都使用弹射座椅。水星、阿波罗、俄罗斯的联盟号以及中国的神舟飞船都在宇航员舱上方安装了火箭，以便在运载火箭失事时迅速将整个宇宙飞船拉到安全的地方。如果出了问题的话，航天飞机通常依赖于轨道飞行器的能力滑翔回安全地带，但在某些情况下，这是不可能的，机组人员就会利用一条火柱从轨道飞行器上滑下来并展开其降落伞。(在重新认证航天飞机的建议中，哥伦比亚事故调查委员会(Columbia Accident Investigation Board)表达了对该系统是否可行的担忧。)

美国国家航空航天局(NASA)即将发射的猎户座载人飞船使用了与水星和阿波罗号(Apollo)相同的中止系统：一枚火箭将从太空舱上方把太空舱拉离运载火箭。但是龙飞船和星际航班上的中止系统将会在太空舱内安装推进火箭。

SpaceX公司载人航天高级顾问、前宇航员加勒特•赖斯曼(Garrett Reisman)表示，这种推进方式的风险较小。如果使用“拉”的方法的话，中止火箭下方的发射塔必须被抛弃，否则太空舱就无法展开着陆降落伞，即使在不使用中止系统的正常飞行中也是如此。赖斯曼将这种发射逃逸系统的发射塔比作每次飞行都要使用的弹射座椅。“它应该是你在非常危险的那一天才依赖的东西，”他说，“而不是在每一个好日子里都要用到的东西。”

Reisman说，内置的中止系统有另一个好处，它可以随着返回舱返回，从而可以被重复使用。中止火箭(在龙飞船中则是有8个液体燃料、16000磅重的推力引擎，被称为“SuperDraco号”)可以与太空舱用于在太空活动的小型推进器共享推进剂，这样的话，如果没有必要启动中止系统，航天器在轨道上和重返大气层时就有更多的燃料可供使用。(值得注意的是，NASA的“猎户座”(Orion)探测器将采用抛弃发射塔的方法，这样它就可以在长途旅行到月球或火星附近之前摆脱所有不必要的重量。)

推进系统今天能被使用仅仅是因为宇宙飞船建造者现在已经拥有巨大的计算能力。NASA几十年前没有使用推力火箭的部分原因是推力火箭太难控制，需要不断调整以保持太空舱稳定。而今天的计算机可以很容易就可以完成这项工作。

事实上新机组上的整个中止系统都是自动的。计算机在发射过程中会监视着运载火箭性能的每一个参数，一旦出现任何问题就会立即触发中止。这甚至与航天飞机上的技术相差甚远，后者通常需要人工决策和手动命令才能启动中止。赖斯曼曾三次参与飞往国际空间站的航天飞机任务，他说，你的iPhone比航天飞机上的飞行计算机拥有更多的计算能力。

“我们必须在我们脑海里做减法：‘好吧，如果这个屏幕一片空白，而且警告面板有四个灯亮着的话，减去下面的两个灯，就意味着这个盒子出问题了，’”瑞斯曼回忆说。现在，他说，“计算机可以更快更可靠地完成所有这些工作。”

但是，Reisman说，对于某些情况你是无法写出有效的算法来应对的——根据任务的情况判断是否承担给定的风险——在这种情况下，你仍然需要一个人参与到决策其中。因此，新的载人航天器，以及地面控制人员，也将有手动启动中止系统的决定权。

航天飞机项目的一个遗留问题是，如果在火箭发射前发生了紧急情况，商业机组人员将如何离开发射台。他们将通过乘务人员的通道离开太空舱，然后跳进装有拉链的篮子里，然后篮子会把他们安全地带到地面。在那里，他们将坐进装甲车，逃离危险。“猎鹰9号”和“阿特拉斯5号”的乘务人员通道臂比航天飞机的要高，Reisman说，所以宇航员们可以期待拉链下降得“更动感”。

在载人航天历史上，中止系统很少被需要，而且只有一次是由一个人实际挽救了生命。(Ed注释：其实是两次。联盟号的MS-10机组人员在2018年10月11日发射时成功启动中止系统)1983年9月26日深夜，两名俄罗斯宇航员在联盟号助推器上的联盟号太空舱里等待着发射。在发射前不到两分钟，一个有问题的阀门导致了燃料泄漏，然后火箭底座起火。机组成员弗拉基米尔·提托夫和根纳迪·斯特雷卡洛夫无法手动触发中止。当大火吞噬了火箭时，距离发射台几英里远的两个独立房间里，两名不同的地面控制人员不得不同时用无线电广播发出中止指令，使中止系统正常工作。据估计，太空舱与火箭分离和火箭爆炸前后仅隔了两秒钟。(联盟号太空舱在离发生爆炸的发射台几英里处安全着陆，工作人员还为宇航员提供了伏特加压惊。)

从这个意义上说，当正常工作时，中止系统在挽救宇航员方面从来没有失败过。到目前为止唯一致命的美国飞行事故只有那两次航天飞机事故，但这两次事故都发生在轨道飞行器的轨道上，在那里中止系统并不能正常工作。这些“盲区”是美国宇航局航天飞机项目承担的其中一部分风险，这是为了可以在航天飞机上换取更巨大的载货能力和可重用性而进行的设计权衡。

而龙飞船和星际航班则不会有航天飞机这样的“盲区”问题。他们内置的中止系统可以在发射轨道的任何地方使用，甚至是在空间站。

这种能力伴随着巨大的工程挑战。无论火箭是在发射台上，还是在大气层外以每小时数千英里的速度运行，中止系统的表现都应该一样良好。在发射台启动中止系统时，太空舱必须在沿着火箭发射轨道发射，并且要被发射到足够远的地方，以避开爆炸火箭的影响，以及有足够的高度以便展开降落伞。星际航班将有能力降落在水面或固体地面上，但龙飞船如果在发射台启动了中止系统的话，那中止系统必须把飞船带到海洋，因为龙飞船的最初设计只考虑到海洋溅落的情况。

另一方面，如果在低空飞行中启动中止系统的话，这要求中止系统在超音速飞行的剧烈动力压力下能将太空舱脱离火箭。如果是在海拔较高的地方，太空舱必须在很少或没有大气的地方滑行，并重新定位以重新进入大气层。

波音公司和SpaceX公司必须证明，从火箭发射到进入轨道每一个10秒钟，机组人员都至少有95%的机会在他们的飞行器中止行动中幸存下来。

布伦特·w·杰特(Brent W. Jett)曾是一名宇航员，现在是美国宇航局航空航天安全咨询委员会(ASAP)的成员，该委员会目前有8位专家，作为NASA安全方面的外部观察员和提议员。早在2007年，杰特就帮助编写了NASA的人工评级要求。

该委员会最近讨论的话题之一是SpaceX公司计划在发射最后一刻才为“猎鹰9号”(Falcon 9)灌输燃料的行为，在发射前的最后一刻，机组人员已经登机，地面人员全部撤离。载人火箭此前一直都是在搭载宇航员之前灌输燃料，但SpaceX认为该公司的过程总体来说可能更安全，因为它将爆炸的风险限制在更短的时间内，而且不会让地勤人员暴露在这种风险之下。虽然新方法需要仔细审查，但ASAP成员表示，“如果环境和危害得到理解和充分控制”，这不失为一种选择。

但实际上评估风险只是权衡利弊的问题。没有一个系统是完美的，每个设计和方法都有缺点。这就是美国NASA人员损失比率(LOC)背后的理念——本质上，该机构的目标是让龙飞船和星际航班机组人员发生致命故障的几率低于270分之一。从表面上看，这似乎把一个生死攸关的决定归结为一个简单的统计概率，但据美国国家航空航天局的凯西·吕达斯(Kathy Lueders)说，这并没有这么简单。

她说：“人们看到这一要求时会说，‘269分之一还不够安全，270分之一才安全。’”她解释说，这个数字并不是一个硬性的标准，而只是一个设计工具，让工程师能够评估某些变化将如何影响航天器的整体安全，并为他们讨论风险提供通用语言。

Lueders说：“你一直在做取舍。你可以说，‘我希望有大量的MMOD护体’(针对微陨石和轨道碎片的防护)，但如果这样做的话会使得飞行器非常沉重，那我就必须再增加一个助推器，你猜怎么着?再增加一个助推器也会增加风险。”

Lueders说，商用载人航天器最终可能无法达到270分之一的目标，但这是可以接受的。在某种程度上，持续改变航天器会产生递减的回报。不过如果这个目标没有实现，美国宇航局和公司将不得不想出一个理由来解释为什么他们认为飞行器可以安全飞行。

航天计划总是使用统计数据来评估风险，但是使用LOC比率作为设计工具是一个相对较新的发展。哥伦比亚号失事后，NASA评估了轨道飞行器再次发生致命事故的可能性，发现平均几率为每100人就有1人遇难。该机构希望它的下一艘载人飞船，也就是后来的“星座”和“猎户座”，能安全10倍。但很快发现这个数字是不切实际的。

“我们还在学习，”Lueders说。

五六十年前，当第一批人类进入太空时，了解一架飞行器是否安全的主要方法就是进行测试。但问题是，有时候如果你在测试中没有发现问题，你就不知道这个问题的存在。在1997年的一次采访中，宇航员汤姆·斯塔福德(Tom Stafford)讲述了1965年的一次意外。在那次意外中，他和指挥飞行员沃利·斯基拉(Wally Schirra)在泰坦II号火箭发射失败后，差点从双子座6号太空舱中弹出，但最后他们还是决定用老式的方法安全逃生，这是一件好事——弹射系统从未在发射前的纯氧舱条件下进行过测试，如果启动的话，火会立即点燃离舱机组人员周围的空气。

斯塔福德说：“如果我们不得不选择弹射的话，那我们看到的将会是两支燃尽的罗马蜡烛。”

斯塔福德知道这一点是因为仅仅在一年多以后，三名阿波罗号宇航员在他们的太空舱里进行发射模拟时死于一场火灾，当时太空舱内灌满了纯度为百分之一百的纯氧。格斯·格里森(Gus Grissom)就是其中之一，八年前，他曾经拿过阿特拉斯号(Atlas)火箭的安全开玩笑。在火灾发生后，纯氧环境的危险变得非常清晰，NASA这才将太空舱里的空气变成了氧气和氮气的混合物。

现代航天器同样也经过了仔细的测试。2015年，SpaceX公司进行了一次发射台中止试验，在试验中，太空舱直接从发射台发射，使用SuperDraco中止引擎。在飞机上有一个装有传感器的假人，用来收集中止行动的巨大重力将如何影响机组人员的有关数据。(由于2018年6月在新墨西哥州白沙进行的一次测试中星际航班的中止引擎出现问题，波音公司的发射台中止测试推迟到2019年春季进行。)SpaceX公司还将在今年晚些时候在空中对龙飞船的中止系统进行测试，届时将在无人驾驶的情况下发射完全组装好的火箭，两款航天器的首次载人测试飞行计划在下年年初进行。(两种中止系统都不会进行载人测试。)

但如今，机组人员失事率这样的数据只有一小部分来自现实中的测试。工程师们所知道的航天器安全率绝大部分都是由计算机模型衍生出来的，这些模型产生的数据比实际测试中收集到的数据要多得多。虚拟飞行器会经历数千次模拟飞行，工程师每次都会改变飞行轨迹和周围环境，随机插入故障，以观察航天器将如何反应。例如，只要运载火箭大体是直立的话中止系统就可以正常工作，但如果它倾斜超过一定程度，中止系统就会失效。在商业领域，这些意想不到的情况被称为航班“差数”。

ASAP主席帕特丽夏·桑德斯(Patricia Sanders)表示，人们的评级是基于对这些差数的理解，这样你就能判断风险是否可以接受。

桑德斯说：“因为(太空)是一个非常危险的环境，它永远都不会完全安全。对于决策者来说，他们要决定他们愿意为了怎样的利益而接受怎样的风险，这样的决定永远都会接踵而至。

在载人航天计划中对安全的最大威胁之一是人们认为需要接受一定程度的风险，才能继续执行任务，这通常被称为“飞行理由”。杰特解释说，NASA选择资助由两家独立公司运营的两艘商业航天器的开发，部分原因是为了减轻飞行的压力。无论多么紧急，总有不止一种方法可以让人们进出空间站。没有任何一个承包商或单一的火箭发射会完全承受计划的压力。

杰特说，NASA在早期载人航天飞行中所冒的风险来自于想做一些全新的事情，类似于今天计划让人们登陆火星，并让他们安全回家。如今把航天器发射到轨道上这样简单的活动已经不神秘了。“我们已经做这个做了50多年了，”杰特说，“我认为我们应该能够在不再造成人员伤亡的情况下做到这一点。”

虽然有些人表示担心将宇航员的安全问题交给商业机构是错误的，但ASAP委员会对NASA的认证方法充满信心。当然，认证本身将会是一系列妥协的结果，并且会产生任意数量的人员损失。

“你永远都说不准，”杰特在谈到人工评级的过程时说，“这太复杂了，不过最终你会做出决定的，你会说，‘好吧，我想我已经完全明白了，冒这个险是值得的。’然后你就走了。”

与此同时，大量的私人资本(更不用说税收和计算能力)正被用于确保新一代宇宙飞船可以保证人类的安全，或者，至少是足够安全。