Die engine out capability
Also erst Mal einen Dank an ALDI und SpaceX – dank des Trekking Fahrrades im aktuellen ALDI Prospekt und des SpaceX Startversuchs wurde der Sonntag der bisher am meisten besuchte Tag des Blogs. Und SpaceX ist doch auch ein schönes Thema. Zeit einmal die viel beschworene Engine-out capability zu beurteilen. Zum einen, was ist das und wie ist es nützlich.
Es ist die Fähigkeit ein Triebwerk während des Fluges abzuschalten und diesen Ausfall auch abzufangen. Das erste ist relativ gut beherrschbar. Heute kann man so viele Triebwerksdaten in so kurzer Zeit verarbeiten, dass man selbst bei gravierenden Ereignissen noch rechtzeitig die Ventile zu einem Triebwerk schließen kann. Als zusätzlichen Schutz kann man jedes Triebwerk durch einen Kevlarvorhang vor Splittern schützen.
Das ist Punkt 1, schwieriger ist Punkt 2. Was passiert bei einem Triebwerksausfall? Der erste Punkt ist, der Schub fällt ab. Nehmen wir an, es ist recht spät, dann ist die einfachste Folge, dass man einen höheren Treibstoffverbrauch hat. Bei der ersten Stufe (die oberen Stufen haben meist weniger Triebwerke, sodass ein Ausfall kaum abfangbar ist) ist die Hauptaufgabe, eine Aufstiegsbahn zu erreichen die ihren Scheitelpunkt in der Höhe des Orbits hat. Nur der Teil der Beschleunigung, der über 1 g hinaus geht, bewirkt eine Beschleunigung in der Vertikalen, also einer Aufstiegsbahn mit dem gewünschten Scheitelpunkt (später kann man noch einen Teil für den Aufbau der horizontalen Beschleunigung nutzen). Fällt nun spät ein Triebwerk aus, so fehlt Beschleunigung was sich in einem höheren Treibstoffverbauch neiderschlägt, da nun die Erdgravitation länger wirkt (die Brenndauer ist ja durch das ausgefallene Triebwerk verlängert).
Problematischer ist ein Ausfall sehr kurz nach dem Start. Die Falcon 9 der COTS Flüge wiegt rund 314 t nach SpaceX Presskit. (ich meine es sind mehr, da die Brenndauer der Stufen länger als COTS 1 sind, die Tabelle aber vom ersten Presskit übernommen wurde) Der Startschub beträgt 3.800 kN. Das entspricht einer Beschleunigung von 12,1 m/s. Das ist auch die Minimalbeschleunigung die ein Träger aufweisen darf. Bei meinen Recherchen für die Saturn stolperte ich immer wieder über die Beschleunigung 1,25 g (12,26 m/s) als Minimalwert. Darunter steigen die Gravitationsverluste stark an und auch die Steuerung ist schwieriger. Das letzte ist leicht nachvollziehbar. Eine Rakete die gerade mit 1 g beschleunigt also praktisch still steht ist nicht gerade stabil, eine Rakete die ständig schneller wird, ist durch ihre Geschwindigkeit stabiler. Aus diesem Grunde musste bei der Saturn auch bei Ausfall eines Triebwerks eine Beschleunigung von mindestens 1,25 g gewährleistet sein.
Überträgt man dieses Kriterium auf die Falcon 9, so müsste sie mit mehr als 13,7 m/s beschleunigen um einen Triebwerksausfall direkt nach dem Start abzufangen. Sie startet aber mit 12,1 m/s. So ist die Engine-out capability nicht nach dem Start gegeben.
Das zweite Kriterium ist die Steuerbarkeit nach dem Ausfall. Es gibt hier zwei Möglichkeiten. Das eine ist es ein gegenüberliegendes Triebwerk abzuschalten und so die Schubsymmetrie aufrecht zu erhalten. Das ist die technisch einfachste Lösung, bedeutet aber dass man noch größere Reserven im Treibstoffvorrat und beim Startschub vorrätig halten muss. Das zweite ist die Möglichkeit die Triebwerke zu schwenken und so den asymmetrischen Schub aufzufangen. Bei den bei der Falcon eng zusammenliegenden Düsen erscheint es sehr schwer denkbar, dass sie so weit geschwenkt werden können um einen Ausfall aufzufangen.
Immerhin gibt es hier einen Präzedenzfall. Beim Arianestart V36 fiel ein Triebwerk nicht aus, aber der Brennkammerdruck betrug nur knapp die Hälfte. Trotz acht Triebwerken in der ersten Stufe fiel es immer schwerer diesen asymmetrischen Schub (das Triebwerk hatte nun nur noch 50% seiner Leistung) auszugleichen. Nach 90 s standen die Triebwerke beim Maximalausschlag und konnten den asymmetrischen Schub nicht mehr kompensieren, die Rakete drehte sich und 11 s später gab es Brüche in der Struktur, die das Selbstzerstörungssystem auslösten.
In diesem falle konnte also bei acht Triebwerken nicht der teilweise Ausfall eines Triebwerks kompensiert werden.
Basierend auf diesen Daten kann man nun folgendes ableiten:
| Falcon 9 (Merlin 1C) | Falcon 9 (Merlin 1D) | Falcon Heavy | |
| Mittleres Triebwerk darf ausfallen nach | 44 s | 41 s | 10 s |
| Äußere Triebwerke dürfen ausfallen nach | 67 s | 65 s | 26 s |
Die Daten beruhen auf der Annahme, dass die Beschleunigung nicht unter 1,25 g fallen darf und den von SpaceX angegebenen Werten für den Schub und Startmasse (Merlin 1C: 423 kN, Merlin 1D: 620 kN, Falcon 9: 314 und 4780 t, Falcon Heavy 1.400 t) sowie der Annahme, dass bei einem Ausfall eines äußeren Triebwerks zwei Triebwerke abgeschaltet werden müssen, während beim mittleren Triebwerk die Symmetrie erhalten bleibt.
Man sieht: die Falcon Heavy ist hier gutmütiger, aber durch 27 Triebwerke ist ein Ausfall auch dreimal wahrscheinlicher.
Schwer zu beziffern ist der erhöhte Treibstoffverbrauch. Man findet aber bei SpaceX keinerlei Angaben, dass es hier Reserven gibt um diesen aufzufangen. Dabei ist dieser unstriittig aufgrund der höheren Gravitationsverluste. Im Extremfall (zwei Triebwerke werden nach 67 s abgeschaltet) müssten die verbliebenen Triebwerke 31,7 s länger arbeiten, was bedeutet, dass die Erdbeschleunigung 31,7 s lang länger auf den Träger winwirken kann. Das dies mit einem höheren Treibstoffverbrauch einhergeht, dürfte klar sein. Genaue Werte sind jedoch nur bei Kenntnis der Aufstiegsbahn ermittelbar.
Natürlich, nur um dies noch zu erwähnen ist ein Ausfall bei der zweiten Stufe nicht abfangbar. Aufgrund dessen ist die Zuverlässigkeit schwer direkt berechenbar. Ich habe daher eine Monte Carlo Simulation durchgeführt. Dreh- und Angelpunkt ist natürlich die unbekannte Zuverlässigkeit eines Triebwerks. Das Vulcain 1 wurde für eine Zuverlässigkeit von 0,9946 ausgelegt. Es wurde anders als die Merlin wirklich extensiv getestet. Nimmt man dieses Kriterium auch für die Merlin an, so ergibt sich für die Falcon 9 eine Zuverlässigkeit von 0,977 und für die Falcon Heavy eine von 0,974. Das sind natürlich nur die Werte für die Triebwerke, andere Ereignisse die Katastrophal sein können (Stufentrennung, Steuerung, Avionik …) sind nicht berücksichtigt. Nimmt man nur 0,99 an, so sinkt die Zuverlässigkeit schon auf 95,8% (Falcon 9) bzw. 95,3% (Falcon Heavy) ab.
Doch man kann auch das vorliegende Datenmaterial nehmen. Bisher gab es fünf Falcon 1 Starts und zwei Falcon 9 Starts. Beim ersten Falcon 1 Start fiel ein Merlin aus, und beim letzten Falcon 9 Start ebenso. Bei 25 eingesetzten Triebwerken sind dies zwei Ausfälle oder eine Zuverlässigkeit von 23/25 oder 0,92. Nimmt man dies als Vorgabe für die Simulation, so wird es wirklich übel: 70,4% für eine Falcon 9 und 67,7% für eine Falcon Heavy. Das halte ich schon für zu gering. Doch irgendwo zwischen 0,985 und 0,99 würde ich die Triebwerke schon einsortieren. Das ergibt dann eine Zuverlässigkeit der Rakete von 0,93 bis 0,958 je nach Konfiguration. Ariane 5 sollte 0,985 aufweisen.
Die Zahl hat nicht nur akademische Bedeutung: Sollte die Versicherungsprämie um 5% höher sein, so ist bei den typischen Kosten eines kommerziellen Starts dies mit Mehrkosten von rund 12,5 Millionen Dollar bei einem Falcon 9 Start verbunden, die natürlich den niedrigeren Startpreis der Rakete relativieren (oder sie um diesen Betrag teurer machen. Bei der Falcon Heavy wären es wegen der teureren Satelliten (größere Nutzlast) rund 26 Millionen Dollar.
Vielen Dank für die Zahlen! Dass SpaceX sich bei der Zuverlässigkeit hoffentlich zwischenzeitlich auf ca. 80% hochgearbeitet hat, nachdem sie ja anfangs nicht mal 50% erreichten, sind wir uns einig.
Bei den gravitativen Verlusten nach Triebwerksausfall in einer Unterstufe ist es hingegen zum Glück nicht ganz so schlimm, wie Du schreibst. Zum einen hat die Rakete 30 oder 60 Sekunden nach dem Start schon eine gewisse Horizontalgeschwindigkeit und eine gewisse Höhe erreicht, was beides die zu überwindende Erdanziehung jeweils im einstelligen Prozentbereich reduziert.
Zum anderen – und das ist der wichtigere Effekt – muss die Rakete ihren Anstellwinkel bei mittleren Beschleunigungen nur etwas erhöhen, um dennoch weiterhin die Erdbeschleunigung zu kompensieren. Beispiel: Die Rakete fliegt zum Zeitpunkt des Triebwerksausfalls mit 1 km/s Horizontalgeschwindigkeit in 100 km Höhe, und beschleunigt unmittelbar vor dem Ausfall mit 2,5 g. Durch Triebwerksausfall und Abschaltung des gegenüberliegenden Triebwerks sinkt der Schub auf 7/9 * 2,5 g = 1,9444 g.
In der genannten Höhe beträgt die Erdanziehung noch g = 9,5 m/s. Die „Fliehkraft“ beträgt 0,15 m/s. Also müssen noch 9,35 m/s gegen die Schwerkraft aufgebracht werden, oder 0,953 g.
Nach Kräfteparallelogramm und Pythagoras ergibt sich die Horizontalbeschleunigung bei 2,5 g Schub zu sqrt(2,5^2 – 0,953^2) = 2,311 g. Nach dem Ausfall dann nur noch sqrt(1,9444^2 – 0,953^2) = 1,695 g. Jedoch sinkt durch den Ausfall auch der Treibstoffverbrauch und die Rest-Brennzeit steigt auf 9/7 des ursprünglichen Werts. Die 1,695 g nach dem Triebwerksausfall wirken somit 9/7 mal so lang auf die Rakete ein, so dass die „effektive“ Beschleunigung unter Rausrechnung der längeren Brennzeit dann 9/7 * 1,695 g = 2,179 g ist.
Effektiv fehlen also nur 0,14 g.
Je höher die Rakete nun fliegt, je näher sie an die Orbitalgeschwindigkeit kommt, und je höher die Gesamtbeschleunigung ist, desto kleiner wird die Differenz bei der Horizontalbeschleunigung. Für 200 km, 2,5 km/s und 4g sind es zum Beispiel nur noch 3,91 g versus 3,85 g, es fehlen gerade mal noch 0,06 g.
Zu noch späteren Zeitpunkten, wo ohne Triebwerksausfall sowieso Triebwerke reduziert werden müssen, gibt es u.U. dann sogar gar keine Differenz mehr, so das Steuerprogramm „clever“ genug ist.
Durchschnittlich 0,1 g Verlust bei der Horizontalbeschleunigung mal einer Restbrenndauer (ohne Ausfall) von 2 Minuten ergibt ein Delta-V von 120 m/s. Das erscheint mir ein Wert, den man als Reserve in der Unter- oder Oberstufe durchaus mitführen kann.
Klar ist aber auch, dass ein früherer Ausfall, wenn die Gesamtbeschleunigung noch deutlich unter 2 g liegt, viel mehr Verlust an Horizontalbeschleunigung mit sich zieht, und ein viel größeres Reserve-Delta-V benötigt. Andererseits liegt in den frühen Flugphasen der Schwerpunkt noch höher (die Tanks sind ja voller), so dass die Triebwerke weniger stark geschwenkt werden müssen, um den außerhalb der Mitte des „Raketenboden“ ansetzenden Schubvektor durch den Schwerpunkt der Rakete gehen zu lassen. Es ist in den frühen Flugphasen also einfacher, auch bei Ausfall eines außenliegenden Triebwerks das gegenüberliegende Triebwerk zumindest teilweise noch mitlaufen zu lassen.
Komplett unklar sind mir die Bedingungen während des atmosphärischen Flugs: Hier einfach die Triebwerke zu schwenken, geht nicht, da Flugrichtung und Ausrichtung der Rakete in dieser Phase nicht voneinander abweichen dürfen.
Kai
Am leichtesten fällt es immer Behauptungen zu widerlegen, die so nie aufgestellt wurden. SpaceX sagt selbst:
„We need to lift off with all nine [engines], which is why we aborted. You can lose up to two engines and still make your mission, just not at lift-off.“
http://www.bbc.co.uk/news/science-environment-18118136
Das sagen sie jetzt. Auf ihrer Website und bei allen anderen Presseankündigungen stand vorher das Gegenteil wie hier:
http://spaceflightnow.com/falcon9/001/100602rollout/index.html
„SpaceX says the launcher’s kerosene-fueled first stage has engine-out capability, meaning it can overcome the failure of a Merlin engine at any point during its three-minute burn.“
Huete hat’s geklappt: Die Dragon ist im Orbit.
es ist sehr interessant, hier einige nähere Angaben zur engine out capability zu finden. Ein Aspekt ist bisher jedoch unbeachtet geblieben, nämlich die Ausfallwahrscheinlichkeit eines Triebwerks über des Zeitraum des Betriebs. Die Wahrscheinlichkeit eines Ausfalls dürfte über den Zeitraum des Betriebs nicht gleichmäßig verteilt sein. Wie die von Bernd Leitenberger errechneten Zahlen zeigen, ist vor allem die erste Minute der Brenndauer kritisch, weil während dieser Zeit die Rakete den Ausfall eines Triebwerks nicht verkraften könnte. Wäre die Wahrscheinlichkeit eines Triebwerksausfalls zu Beginn des Flugs gering und würde hernach stetig ansteigen, käme dies der Zuverlässigkeit der Rakete zugute. Würde die Ausfallwahrscheinlichkeit zum Brennschluss hin stark ansteigen, könnte der Träger den Ausfall eines Triebwerks meist gut verkraften. Wären dahingegen die (sagen wir) ersten 30 Sekunden des Fluges besonders kritisch, wäre dies von Nachteil (man denke an den spektakulären Fehlstart bei Sea launch). Wie steht es mit Erfahrungswerten, die eine Aussage erlauben, wie lange ein Triebwerk durchhält, bevor es versagt? Wie hätte es ausgehen können, wenn die Falcon bereits mit dem defekten Triebwerk gestartet wäre? Ist dies nicht ein Aspekt, den man bei der Beurteilung der engine out capability berücksichtigen sollte.
Prinzipiell ist bei technischen Geräten und Bauteilen die Ausfallwahrscheinlichkeit meist eine „Badewannenkurve“, also anfangs recht hoch, dann sinkt sie deutlich ab, bleibt einige Zeit niedrig, und steigt dann irgendwann wieder an. Das liegt daran, dass von Anfang an vorhandene Mängel sich bei Inbetriebnahme meist sehr schnell zeigen. Ist die Anfangsphase überstanden, dann hält das Teil aber längere Zeit, bis sich Alters- und Abnutzungserscheinungen durch erhöhte Ausfallwahrscheinlichkeit bemerkbar machen.
Bei Triebwerken dürfte es ähnlich sein; die Anfangsphase lässt sich sicherlich durch Vorabtests entschärfen. Auch kann man die Triebwerke ein paar Sekunden arbeiten lassen, bevor die Rakete abhebt, um die Phase höchster Ausfallwahrscheinlichkeit noch am Boden abfangen zu können. Die Verschleißphase beginnt dann hoffentlich erst, wenn ein Ausfall kompensiert werden kann.
Also ohne eine Studie anführen zu können ist es so, dass Probleme beim Triebwerk sich meistens beim Start oder kurz danach ankündigen. Bei den meisten Fehlstarts aufgrund von Triebwerksausfällen war dies so dass dies recht früh war, bei Oberstufen war es sogar recht oft schon beim Start so. Bei drei Ausfällen von Falcon 1 begannen die Probleme übrigens auch nach dem Start und verstärkten sich dann immer mehr.
Das ist auch der Grund warum die meisten Träger am Boden einige Sekunden fixiert werden (das ist nicht nur bei der Falcon 9 so, wie SpaceX betont sondern bei den meisten westlichen Trägern die ich kenne).
Eine Badewannenkurve kann ich nicht erkennen, das liegt aber auch daran, dass ein Triebwerk so ausgelegt ist viel länger als die nominelle Lebensdauer zu arbeiten. Ein Vulcain ist z.B. für 6.000 s ausgelegt und arbeitet nur 600 s.
Das F-1 wurde vor dem Start länger getestet als der Flug selbst dauerte. Auch das war kein Problem, das Triebwerk hätte zehnmal so lange betrieben werden können wie die nominelle Betriebsdauer beträgt.
Daher ist man beim Normalbetrieb noch nicht am Ende der Badewannenkurve.
Den Artikel gibt es inzwischen auch erweitert um die Saturn und N-1 auf der Webseite
http://www.bernd-leitenberger.de/engine-out-capability.shtml
Natürlich ist jeder kompetente Chief Rocket Engineer bestrebt, beim Brennschluss noch weit vom Ende der Badewanne entfernt zu sein. Aber wir reden hier ja von SpaceX; ich vermute, man findet keine zuverlässigen Angaben über maximale Betriebsdauern?