Die SSME: Das Sicherheitskonzept

So, ich habe nun einen Aufsatz über die SSME fertiggestellt und muss ihn noch Korrekturlesen. Er ist ziemlich umfangreich geworden, über 90 Kbyte, nimmt man noch den über den Triebwerkscontroller hinzu dann sind es fast 110 kbyte – das würde bei einem anderen Autor wahrscheinlich schon für ein komplettes „Typenbuch SSME“  reichen. Ich habe eigentlich nur aufgehört, weil ich seit Abschalten der NASA Server nur noch auf meine schon gesicherten Dokumente zurückgreifen konnte. Daher werdet ihr in der nächsten Zeit noch einige Splitter mehr aus dem Aufsatz hier vorfinden:

Der Orbiter hatte drei Triebwerke in einer Dreiecksanordnung. Diese war fail-operational und fail safe. Beide Begriffe sind in bemannten Programmen wichtig. Fail operational bedeutet, eine Komponente kann ausfallen und die Mission ist nicht gefährdet. Fail safe bedeutet, eine Komponente kann ausfallen, die Mission ist zwar nun nicht mehr möglich, aber es gibt keine Gefahr für die Besatzung. Fail Safe bedeutete bei den SSME-Triebwerken, dass ihre Funktion durch den Triebwerkskontroller überwacht wurde und er sie abschaltete, bevor das Triebwerk sich explosiv zerlegte. Dazu wurden Drücke, Temperaturen, Flüsse etc. überwacht und beim Überschreiten von „roten Linien“, also Grenzwerten wurde das Abschalten ausgelöst.

Bedingt waren drei Triebwerke auch fail operational. Es konnte ein Triebwerk nach 150 bis 180 s ausfallen. Nach 360 bis 400 s konnte ein Zweites ausfallen. Da in den ersten 123 s während des Betriebs der SRB in jedem Falle keine Rettung möglich war, waren die Triebwerke während der größten Teil der Mission fail operational. Bei einem frühzeitigen Ausfall eines oder zweier Triebwerke konnte der Orbiter mit den verbliebenen zum Landeplatz zurückkehren, bei einem späten Abbruch konnte er noch einen niedrigeren als geplanten Orbit erreichen. Das kam einmal vor bei der Mission STS-51F als ein Triebwerk nach 345 s aufgrund eines Sensorausfalls abgeschaltet wurde. Die Anordnung der Triebwerke erlaubte es auch, das der bei einem Ausfall entstehende asymmetrische Schub durch Schwenken kompensiert werden konnte.

Wie bei jedem Triebwerk ermittelte man die Sicherheit auch durch theoretische Untersuchungen. Man überlegte für jede Komponente, jedes Konstruktionsdetail welcher Fehler auftreten könnte, dann wie man diesen Fehler vermeiden oder seine Auswirkungen begrenzen konnte und schätze die Eintrittswahrscheinlichkeit ab.

Nur bei bemannten Triebwerken üblich ist ein Test nach der Entwicklung. Die SSME durchliefen danach ein Zertifizierungsprogramm, bei dem es darum ging mit den nun nicht mehr veränderten Triebwerken (während der Entwicklung wurden laufend Komponenten ausgetauscht) viele Tests unter Realbedingungen zu absolvieren und auch über die geplante Lebenszeit.

Schon bei Entwicklungsbeginn gab es die Forderung dass die Triebwerke insgesamt (Entwicklung und Flug Zertifikation) 65.000 s Testzeit akkumuliert haben müssen bevor der Erststart erfolgt. Das entsprach mehr als 40 Missionen. Noch mehr waren es nur beim F-1 das auf über 243.000 s kam. Auch später gab es weitere Tests sowohl während der Weiterentwicklung wie auch der Qualitätskontrolle. Mit dem letzten Flug der Atlantis waren insgesamt über 1 Million Testsekunden aufgelaufen. Davon entfielen gerade mal ein Fünftel auf den Einsatz. Bei unbemannten Triebwerken sind wesentlich weniger Tests üblich. Wie der Vergleicher einiger Triebwerke zeigt:

Jedes Flugtriebwerk wurde auch vor der ersten Verwendung mehrmals getestet. Alleine die dabei akkumulierte Testdauer war länger das die maximale Betriebsdauer jedes anderen US-Triebwerks.