← До досліджень

ДОСЛІДЖЕННЯ / РЕАЛЬНІ МІСІЇ · ДИСЕРТАЦІЯ, § 1.2

Коли відмова не завершує місію.

Чотири задокументовані історії: система втрачає ресурс, змінює конфігурацію або режим керування — і зберігає частину спроможності виконувати місію.

Це інженерні випадки, розглянуті в дисертації для постановки наукової задачі, а не експериментальна верифікація алгоритмів Væringjar II.

01 / Десятиліття реконфігурацій

Voyager 1

Одна місія. Кілька життєвих конфігурацій.

Поступове засмічення паливних трубок змусило інженерів змінювати гілки рушійної підсистеми. Ключові переходи в дисертації простежено для 2002, 2004, 2017, 2024 та 2025 років.

У травні 2025 року відновили роботу рушіїв, які вважали непридатними з 2004 року, щоб отримати резерв для збереження керування [145].

Фрагмент дисертації · оригінал українською §1.2.1

Апарати Voyager 1 і Voyager 2, запущені 1977 року, є найтривалішим в історії прикладом системи, що зберігає працездатність через послідовність реконфігурацій. Орієнтація апарата на Землю забезпечується рушійною підсистемою, що має три незалежні гілки: дві гілки орієнтації та гілку корекції траєкторії [145].

Механізм деградації є фізичним і незворотним: гумова діафрагма паливного бака з часом виділяє діоксид кремнію, який осідає в паливних трубках і поступово зменшує їх переріз. Первинний діаметр трубки становив 0,25 мм; до 2024 року засмічення зменшило його до 0,035 мм — приблизно половина товщини людської волосини [146].

Послідовність прийнятих рішень утворює траєкторію в просторі конфігурацій. У 2002 році, виявивши засмічення першої гілки орієнтації, інженери перейшли на другу. У 2004 році через втрату живлення двох нагрівачів припинили працювати основні кренові рушії, і апарат перейшов на резервні. У 2017 році ознаки засмічення з’явилися у другої гілки, і керування було передано гілці корекції траєкторії. У 2024 році, коли остання засмітилася сильніше за попередні, було ухвалено рішення повернутися на гілку орієнтації. У травні 2025 року інженери відновили роботу гілки, яку з 2004 року вважали непридатною, щоб мати резерв на випадок повної відмови діючої [145].

Паралельно з реконфігурацією рушійної підсистеми виконується деградація функціональної: за браком потужності наукові прилади вимикаються послідовно. У жовтні 2024 року вимкнено плазмовий прилад Voyager 2, у лютому 2025 року — систему дослідження космічних променів Voyager 1, у березні 2025 року — прилад реєстрації низькоенергетичних заряджених частинок Voyager 2. Заявлена мета — зберегти роботу щонайменше одного приладу до наступного десятиліття [145].

Окремо показовим є випадок 2024 року, коли Voyager 1 самостійно перейшов на резервний радіопередавач, не використовуваний понад сорок років, після вимкнення основного через брак потужності. Це є прикладом реконфігурації, виконаної бортовою логікою без участі оператора за умов, коли затримка сигналу унеможливлює оперативне втручання.

З погляду задачі, що розв’язується в дисертації, випадок Voyager демонструє три властивості одночасно: скінченний каталог наперед спроєктованих конфігурацій, послідовність переходів між ними за роки експлуатації та відмову від частини функцій заради збереження місії. Саме ці властивості формалізуються в розділах 2 і 3.

Художнє зображення Voyager 1 у міжзоряному просторі, NASA/JPL-Caltech, рисунок 1.2
Рис. 1.2 — Voyager у міжзоряному просторі. Художня ілюстрація NASA/JPL-Caltech. Джерело з дисертації ↗
Хронологія переключень рушійних підсистем Voyager 1 з дисертації, рисунок 1.3
Рис. 1.3 — послідовність реконфігурацій Voyager 1 (за джерелами [145, 146]).

02 / Непередбачена реконфігурація

Apollo 13

Місячний модуль став рятувальним.

Після вибуху кисневого бака Odyssey втратив живлення та кисень. Посадковий модуль Aquarius, створений для іншого завдання, став джерелом життєзабезпечення й допоміг повернути екіпаж на Землю [149].

Для збереження критичних функцій довелося відмовитися від висадки, змінити розподіл живлення та спосіб корекції траєкторії.

Фрагмент дисертації · оригінал українською §1.2.2

Політ Apollo 13 у квітні 1970 року є хрестоматійним прикладом реконфігурації, виконаної під час місії за кілька годин, причому ресурс було використано в ролі, для якої він не проєктувався.

Через вибух кисневого бака командно-службовий модуль Odyssey втратив живлення та кисень. Посадковий модуль Aquarius, призначений для висадки на Місяць, було перепризначено на роль рятувального засобу: він забезпечував екіпаж киснем, живленням і охолодженням, а його двигун використали для прискорення повернення замість посадки. У такій конфігурації екіпаж перебував чотири доби [149].

Показовими є три рішення. Перше — часткове знеструмлення Aquarius, що істотно збільшило запас за живленням і охолоджувальною водою; це є прямим аналогом вимкнення функцій нижчого пріоритету заради збереження критичних. Друге — заряджання двох із трьох батарей Odyssey від Aquarius, процедура, яка ніколи раніше не виконувалася і була, по суті, оберненням штатної, у якій командний модуль живить посадковий. Третє — виконання останньої корекції траєкторії двигунами реактивної системи керування посадкового модуля: 23-секундний імпульс за п’ять годин до входу в атмосферу на відстані 44 000 миль від Землі [149].

Ціна конфігурації була відчутною: температура в Aquarius становила близько 11 °C, у Odyssey опускалася до 3 °C, основну мету місії — висадку в районі Fra Mauro — було скасовано. Проте місія в її головній частині, поверненні екіпажу, завершилася успішно: приводнення відбулося через 142 години 54 хвилини 41 секунду польоту, за милю від розрахункової точки [149].

Після відокремлення службового модуля екіпаж уперше побачив наслідки аварії. Дж. Ловелл описав побачене так: цілої панелі корпусу бракувало — від основи майже до двигуна.

Для цієї роботи випадок Apollo 13 важливий тим, що показує межу можливостей наперед спроєктованого каталогу. Конфігурація «посадковий модуль як рятувальний засіб» не була передбачена проєктом; її склали під час польоту із наявних ресурсів. Формалізація такої задачі — синтез конфігурації, якої немає в каталозі, — виходить за межі припущення A1 (2.174) і окреслює напрям подальших досліджень.

Пошкоджений службовий модуль Apollo 13 після відокремлення, фотографія NASA 17 квітня 1970 року, рисунок 1.4
Рис. 1.4 — пошкоджений службовий модуль Apollo 13, 17 квітня 1970 р. Фото: NASA. Джерело з дисертації ↗

03 / Ступінчаста втрата рухливості

Spirit

Робот рухався з нерухомим колесом.

У 2006 році в Spirit відмовив привід переднього правого колеса. Марсохід змінив режим руху: переважно їхав заднім ходом, тягнучи заблоковане колесо, замість завершення роботи [147].

Після подальшої втрати рухливості апарат перейшов до стаціонарних наукових спостережень — збережена функція місії при втраті функції пересування.

Фрагмент дисертації · оригінал українською §1.2.3

Марсохід Spirit, що працював на поверхні Марса з січня 2004 року, ілюструє деградацію механічної підсистеми та вимушену зміну режиму функціонування.

13 березня 2006 року переднє праве колесо перестало обертатися через обрив кола. Шість ведучих коліс скоротилися до п’яти. Замість припинення місії було змінено режим руху: апарат почав рухатися переважно заднім ходом, тягнучи нерухоме колесо за собою, оскільки тягнути заблоковане колесо виявилося легше, ніж штовхати його в ґрунт. Уже до квітня 2006 року в такому режимі було подолано близько 80 метрів [147].

Зміна режиму мала ціну: знизилася швидкість, ускладнилося подолання схилів, звузився набір допустимих маршрутів, а планування кожного переїзду потребувало окремого опрацювання з використанням задніх камер уникнення перешкод. У термінах моделі, що будується далі, це є переходом до конфігурації з нижчою номінальною спроможністю, але збереженою допустимістю.

У листопаді 2009 року почало збоїти заднє праве колесо, і кількість ведучих скоротилася до чотирьох. Спроби вивільнити апарат із піску, в якому він застряг у травні 2009 року, успіху не мали, і місію було переведено в режим стаціонарної наукової платформи — тобто до найглибшої деградованої конфігурації, у якій функція пересування відсутня повністю, а функція наукових спостережень збережена.

Показовим є побічний наслідок деградації. Заблоковане колесо, яке тягли ґрунтом, діяло як інструмент розкопування. У березні 2007 року поблизу плато Home Plate воно розкрило ділянку світлого ґрунту, вміст кремнезему в якій сягав близько 90 %, що стало свідченням давнього гідротермального середовища. Науковий результат було одержано саме завдяки деградованому стану апарата, а не всупереч йому.

Діаграма з дисертації: зменшення кількості діючих коліс Spirit, рисунок 1.5
Рис. 1.5 — ступінчаста деградація ходової частини Spirit (за [147]).

04 / Рішення до відмови

Curiosity

Попередити деградацію краще, ніж чекати зупинки.

Наприкінці 2013 року на алюмінієвих колесах Curiosity виявили проколи та розриви. Після аналізу пошкоджень змінили стратегію руху: обирали менш небезпечну місцевість, скорочували окремі переїзди та використовували рух заднім ходом [148].

Режим змінили за прогнозом стану ресурсу — до втрати здатності рухатися.

Фрагмент дисертації · оригінал українською §1.2.4

Марсохід Curiosity, що працює з серпня 2012 року, ілюструє випадок, коли реконфігурація виконується не після відмови, а за прогнозом деградації.

Наприкінці 2013 року виявлено пошкодження алюмінієвих коліс — проколи та розриви, інтенсивність яких істотно перевищила очікувану. Причиною виявилися міцно зцементовані вентифакти, тобто вітрові гострокутні камені, з якими попередні апарати не стикалися [148].

Заміна коліс на Марсі неможлива, тому було застосовано набір заходів зі зниження швидкості накопичення пошкоджень: обережніше водіння з обходом гострих каменів, скорочення довжини окремих переїздів на небезпечному ґрунті та, що є найпоказовішим, рух заднім ходом. При розвороті апарата середні та передні колеса тягнуться за підтримувальними важелями, а не штовхаються вперед, що істотно зменшує навантаження [148].

Цей випадок відрізняється від попередніх тим, що зміна конфігурації виконана до настання відмови, на підставі оцінки швидкості деградації ресурсу. Саме така постановка — керування конфігурацією за прогнозом стану, а не за фактом відмови — розглядається в підрозділі 3.6.

2013 →ОЦІНКА ЗНОСУ↓ЗМІНА МАРШРУТУ↓ПРОДОВЖЕННЯ МІСІЇ

Додаткові місії · засідання кафедри, 27.10.2026

Ще сім місій: коли деградацією керували — і коли ні.

Ці приклади було наведено на засіданні кафедри, де затверджено тему докторської дисертації. У чотирьох із них інженери зберегли місію, перебудувавши апарат уручну. У трьох відмова одного вузла завершила місію. Факти звірено з джерелами агентств і компаній, посилання на які наведено під кожним кейсом.

Керована деградація

Чотири місії, які інженери зберегли, перебудувавши апарат уручну.

NASA · 2023–2024

Voyager 1

Місію збережено

Код перенесли в справні комірки пам’яті.

14 листопада 2023 року Voyager 1 перестав передавати придатні дані: відмовив чип, що зберігав частину пам’яті й коду бортового комп’ютера FDS. Відремонтувати чип неможливо, тож інженери розділили уражений код на частини, розмістили їх в інших ділянках пам’яті FDS і оновили посилання між ними. 20 квітня 2024 року апарат знову надіслав інженерні дані.

Для дослідження. Програмний ресурс переконфігуровано без заміни апаратури: функцію збережено, змінилося лише її розміщення.

NASA · 2016–2018

Curiosity

Місію збережено

Функцію механізму подачі бура взяла на себе рука.

У грудні 2016 року механізм подачі бура, що висуває свердло в породу й назад, перестав рухатися. Команда розробила «буріння з висунутим свердлом»: свердло зафіксовано у висунутому положенні, стабілізаторні опори більше не використовуються, а свердло в породу просуває сама робоча рука; датчик сили в руці дає марсоходу «відчуття дотику». Уперше на Марсі техніку випробували в лютому 2018 року.

Для дослідження. Функцію відмовленого механізму передано іншому ресурсу, який для неї не проєктувався, — ціною нової процедури й нових обмежень.

ESA · 2011–2012

Mars Express

Місію збережено

Командування перенесли в іншу, меншу пам’ять.

З середини серпня 2011 року збої твердотільної масової пам’яті, де зберігався графік команд місії, раз у раз переводили апарат у безпечний режим; перехід на резервний контролер пам’яті не допоміг. 16 жовтня наукову роботу призупинили, щоб зберегти паливо. Команда перенесла штатне командування в коротку апаратну чергу системи керування даними — лише 117 команд — і стиснула послідовності команд за допомогою бортових процедур. До лютого 2012 року повну наукову роботу відновлено.

Для дослідження. Функцію збережено перенесенням у ресурс меншої місткості; ціною стала автономність апарата, що скоротилася до кількох днів.

JAXA · 2009–2010

Hayabusa

Місію збережено

Один двигун, зібраний із двох.

У листопаді 2009 року, на зворотному шляху від астероїда Ітокава, виявлено аномалію одного з іонних двигунів. JAXA поєднала нейтралізатор двигуна A з джерелом іонів двигуна B — штатна схема такого поєднання не використовувала — і тяги вистачило на решту польоту. 13 червня 2010 року Hayabusa увійшов в атмосферу, а капсула зі зразками повернулася на Землю.

Для дослідження. Робочу конфігурацію складено з частин двох деградованих вузлів — конфігурацію, якої не було в каталозі.

Відмова одного вузла

Три місії, які завершилися через відмову одного елемента.

ispace · 2023 і 2025

Hakuto-R

Обидві місії втрачено

Фільтр відкинув правильний вимір.

Місія 1, 26 квітня 2023 року: над краєм кратера висотомір показав різкий стрибок висоти; програма оцінювання вирішила, що це збій датчика, і відкинула правильні дані. Апарат «вважав», що вже на поверхні, перебуваючи приблизно на 5 км, спускався, доки не скінчилося паливо, і впав. Місія 2, RESILIENCE, 6 червня 2025 року: на завершальному етапі лазерний далекомір запізно видав достовірні вимірювання, і апарат не встиг погасити швидкість; найімовірнішою причиною ispace називає деградацію або недостатні характеристики далекоміра.

Для дослідження. Фільтр, створений для захисту від відмов датчика, сам спричинив відмову: модель середовища втратила валідність, а система цього не помітила. Саме це мотивує розгляд моделей як епістемічних ресурсів.

JAXA · 2016

Hitomi

Місію втрачено

Безпечний режим погіршив ситуацію.

Рентгенівську обсерваторію запустили 17 лютого 2016 року. 26 березня через проблему зоряного датчика система орієнтації отримала хибну оцінку обертання і почала обертати апарат насправді. Маховики наситилися, супутник перейшов у безпечний режим на двигунах, але параметри двигунів, хибно введені після розгортання штанги, лише прискорили обертання. Обидві панелі сонячних батарей відірвалися. Місію втрачено через 38 діб після запуску; 28 квітня 2016 року JAXA визнала відновлення неможливим.

Для дослідження. Ланцюг відмов пройшов кілька рівнів: оцінку стану, автоматичний перехід у «безпечний» режим і неперевірені параметри цього режиму. Безпечний режим без перевірки допустимості сам став небезпекою.

RESEARCH / SYSTEM BEHAVIOUR

Що поєднує ці історії?

Відмова або прогноз деградації → діагностування стану → вибір допустимого режиму → продовження місії зі зменшеною спроможністю. У дисертації цей інженерний досвід мотивує кількісну міру живучості, планування переходів і вимоги до їхньої стійкості.

Перейти до математичної моделі ↗
Узагальнена схема поведінки систем після відмови з дисертації, рисунок 1.6
Рис. 1.6 — Що поєднує ці історії?

Документальні джерела

Посилання [145–149] відповідають бібліографії рукопису. На ілюстраціях 1.3, 1.5 та 1.6 збережено оригінальні українські підписи з дисертації.

  1. [145] NASA / JPL · Voyager 1 backup thrusters (2025) ↗
  2. [146] NASA / JPL · Voyager 1 telemetry (2022) ↗
  3. [147] NASA Science · Spirit: After a Drive West of Home Plate (PIA11990) ↗
  4. [148] E. Lakdawalla · Curiosity wheel damage (2014) ↗
  5. [149] NASA · Apollo 13 crew returns safely (2020) ↗

Джерела семи додаткових кейсів наведено безпосередньо під кожним із них.

Ілюстрації NASA і NASA/JPL-Caltech відтворено з наданої дисертації з авторськими підписами та атрибуцією. Вони не означають участі або підтримки NASA проєкту Væringjar II. Посилання на медіа ведуть до оригінальних публікацій NASA, ESA, JAXA, ispace, Katalyst та інших джерел; на цьому сайті вони не розміщені.