Absichern bei der Engine-Out Capabililty

Bernd Leitenberger

vor 3 Jahren

Heute wieder ein Grundlagenartikel, wenn auch inspiriert von der Diskussion im letzten Blog. Es ist aber ein Grundlagenartikel, kein SpaceX-Artikel. Es mag für bestimmte Menschen undenkbar sein, aber es gibt über 100 Raketentypen, von denen nur wenige von SpaceX sind. Daher findet man in dem Artikel auch keine Erwähnung ihrer Raketen, was primär daran liegt das es anders als bei den besprochenen Raketen auch keine Details über Sicherheitsaspekte gibt, sondern sie nur das Buzzwort „Engine out capability“ reklamieren.

Es geht darum, welche Beweggründe es gibt viele Triebwerke einzusetzen, und wie man sich absichern kann, das trotzdem eine Rakete zuverlässig ist.

Warum viele Triebwerke einsetzen?

Eines ist klar. Jedes Triebwerk kann ausfallen, es ist im Raumfahrtjagron ein „Single Point of Failure“, der zum Scheitern einer Mission führen kann. Da nichts 100 % zuverlässig ist, außer vielleicht, dass es irgendwann kaputt geht, steigt das Risiko eines Ausfalls mit jedem Triebwerk. Daher haben viele Träger möglichst wenige Triebwerke. Es gibt aber einige gute Gründe trotzdem mehr Triebwerke einzusetzen:

Der wichtigste Grund: Man kann ein Triebwerk in der zweiten Stufe einsetzen und mehrere in der Ersten. Das erspart die Entwicklung eines Zweitstufentriebwerks, führt zudem zu einer erhöhten Produktionszahl und einem günstigeren Zweitstufentriebwerk. Das finden wir bei vielen Trägern wie Ariane 1-4, Electron, N-1 oder Saturn V.

Zwar ist ein großes Triebwerk in der Produktion bei der klassischen Raketentechnik meist billiger als mehrere kleine mit demselben Schub. Aber es gibt ja auch die Entwicklungskosten. Die sind für ein großes Triebwerk viel höher. Bei richtig großen Triebwerken kommt man dann auch bei den Anlagen für die Tests auf hohe Summen, das war ein Grund, warum man für die N-1 viermal schubschwächere Triebwerke als bei der Saturn V eingesetzte, dafür erheblich mehr davon. Ich schrieben bewusst „klassischen“ Raketentechnik, denn heute hat man mit dem 3D-Druck neue Technologien, die die Produktion verbilligen können, sehr große 3D-Drucker bedeuten aber höhere Investitionskosten als für „mittelgroße“. Dazu kommt der obige Punkt, dass man die Gesamtkosten für Triebwerke für zwei Stufen senken kann, wenn man nur eines in größere Anzahl baut, anstatt zwei in kleinen Stückzahlen. Das Prometheus ist so ein Beispiel. Es soll ja in einem Ariane 6 Nachfolger zum Einsatz kommen, doch für eine Rakete mit der Nutzlast einer Ariane 6 benötigt man acht bis 12 Prometheus-Triebwerke.

Man kann sich sicher sein, dass auch viele Triebwerke nicht das Gesamtausfallrisiko einer Rakete drastisch erhöhen, wenn es hinreichend zuverlässig ist. Heute ist es möglich ein Triebwerk im Computer zu modellieren und zu testen und so viele Testläufe im Computer durchzuführen, die man in echten Tests aus Zeit- und Kostengründen nie durchführen könnte. Zuletzt sind heute Triebwerke erheblich zuverlässiger als noch vor Jahrzehnten. Hier einige publizierte Zuverlässigkeiten:

Triebwerk	Zuverlässigkeiten
RL10-A-3	0,9984
RS-25	0,9996
RS-68	0,9980
Vulcain 1	0,9946
NK-43	0,9985
RD-275M	0,998
RD-0120	0,992
YF-77	0,999
H-1	0,99

Nehmen wir mal das Vulcain 1. Die Zuverlässigkeit beträgt 0,9946, die Zuverlässigkeit der Ariane 5 ohne Oberstufe 0,99 und mit 0,985. Das heißt bei der zweistufigen Rakete macht das Vulcain 38,6 % des Ausfallrisikos aus und bei der Version ohne Oberstufe 58 %. Es ist also die Komponente mit dem höchsten Ausfallrisiko. Auf der anderen Seite würden zwei Triebwerke das Ausfallrisiko bei der Version mit Oberstufe von 1 Fehlstart auf 67 Starts auf einen Fehlstart alle 52 Starts erhöhen – der Betreiber der Rakete und seine Kunden müssen abschätzen, ob sie dies akzeptieren oder nicht. Eines ist aber klar: wenn man sehr viele Triebwerke hat, dann muss jedes viel zuverlässiger sein als das Vulcain, das in der obigen Liste das Triebwerk mit der geringsten Zuverlässigkeit ist. Würde die Ariane 5, wie die Ariane 44L, acht Triebwerke einsetzen, so würde ihre Gesamtzuverlässigkeit von 99,5 % auf 94,5 % absinken, wenn man einen Triebwerksausfall nicht abfängt.

Absichern gegen einen Triebwerksausfall

Was also muss man tun, um einen Triebwerksausfall abzusichern? Nun man kann gar nichts tun, das ist sogar der Normalfall. Ariane 4 flog mit bis zu acht Triebwerken in der ersten Stufe und zehn in der Rakete und es gab keine Absicherung gegen einen Ausfall, trotzdem war das Modell sehr erfolgreich, erfolgreicher (und auch zuverlässiger) als ihre Konkurrenz, die Atlas die nur fünf Triebwerke einsetzte. Das absichern geht auf verschiedenen Ebenen.

So muss man sich absichern gegen eine Beschädigung anderer Triebwerke, schließlich sind diese eng beieinander angebracht. Es ist selten, dass ein Triebwerk explodiert, aber es kann passieren, wenn dann geht dies fast immer von der Turbopumpe aus, die schnell rotierende Teile enthält, zersplittert ein Rotor so kann sich ein Rotorblatt bei hohen Drehzahlen und damit hoher Drehgeschwindigkeit leicht die Umhüllung der Turbopumpe durchlagen und andere Triebwerke beschädigen. Dagegen kann man sich mechanisch absichern z. B. indem man jedes Triebwerk auf Turbopumpenebene mit einem Vorhang aus strapazierfähigen Fasern wie Kevlar umgibt, die Splitter abfangen. Heute hat man aber einen anderen Ansatz. Es ist kein Problem mehr ein Triebwerk in so kurzen Zeitintervallen zu überwachen, das man ein katastrophales Ereignis schon lange vor dessen Eintreten an veränderten Werten feststellt und das Triebwerk dann abschaltet. Diese Strategie wurde erstmals beim SSME eingesetzt. Signalverarbeitungsprozessoren sollten die schon erwiesene hohe Zuverlässigkeit weiter steigern.

Bedeutender ist die Folge auf den Schubvektor. Nicht ohne Grund sind alle Triebwerke so angeordnet, dass sie einer Symmetrie gehorchen. Dann geht der Schubvektor durch den Schwerpunkt der Rakete. Tut er es nicht, so neigt sich die Rakete oder beginnt zu rotieren. Das kann bei Kursveränderungen gewollt sein, doch wenn es nicht gewollt ist, weil ein Triebwerk ausgefallen ist, so müssen die anderen Triebwerke dies kompensieren. Nun sind diese in der Regel schwenkbar, aber meist nur um wenige Grad, denn eine Rakete macht ja bei ihrem Aufstiegsprogramm keine abrupten Schwenks und es gibt nicht viel Platz zwischen den Triebwerken. Einen Ausfall eines Triebwerks ist so um so besser abfangbar, je kleiner sein Anteil am Gesamtschub ist. Hat man also sehr viele Triebwerke so ist zwar ein Ausfall wahrscheinlicher aber durch schräg stellen auch kompensierbar. Bei wenigen Triebwerken ist dies praktisch unmöglich. Der Schwenkbereich von einigen Graden ist dafür zu gering. So scheiterte ein Ariane 4 Start, (V35) als eines der Triebwerke ausfiel und die Rakete sich immer mehr durch die Schubassymmetrie schräg stellte. Bei Ariane 4 kommt noch dazu, das gilt aber auch für alle Feststoffbooster, das die äußeren Triebwerke nicht schwenkbar sind, sondern fix so justiert, dass ihr Schub durch den Schwerpunkt geht, die Düsen weisen also leicht nach außen. Sie können eine Schubassymmetrie also nicht kompensieren.

Der Einfluss auf die Bahn

Das bisher Geschriebene ist nicht neu, findet sich auch so auf der Website. Neu und durch eine Simulation erstmals mit Daten unterfüttert, ist die praktische Simulation. Das Offensichtlichste bei einem Ausfall ist, dass nun Schub fehlt. Eine Rakete hat ja nicht beliebig hohen Schub bei einer Raketen, die flüssige Treibstoffe einsetzt, setzt man aus Kostengründen – jedes Triebwerk erhöht die Startkosten – auf eine niedrige Startbeschleunigung von typisch 1,25 g. Das heißt: Teilt man den Schub / Masse der Rakete * g, so erhält man 1,25. Das ist eine Größe, die auch steuertechnisch noch behershcbar ist, denn je weniger Schubüberschuss eine Rakete hat ,desto langsamer beschleunigt sie und um so anfälliger ist sie gegenüber Störungen. Es gibt eine Reihe von Raketen, die diesen Wert von 1,25 g sogar noch unterbieten wie die Saturn V und Delta 4H. Wenn eine Rakete die fünf Triebwerke hat, dann eines direkt nach dem Start ausfällt, dann sinkt die Beschleunigung auf 1,0 g und das heißt, die Rakete schwebt, beschleunigt zuerst nicht, dann langsam, denn sie wird ja durch das Verbrennen von Treibstoff leichter. Das ist tatsächlich letztes Jahr passiert. Bei einer Astra fiel am 28.8.2021 beim Start gleich ein Triebwerk herum und die Rakete bewegte sich seitwärts. Das Video des Starts ist daher sehr lehrreich.

Daraus folgt als Erstes, das die Rakete so viel Schubüberschuss hat, das ein Triebwerk auch ausfallen kann, ohne das durch den Schubabfall die Mission gefährdet wird, denn im obigen Fall verbrannte ja die Astra laufend Treibstoff, ohne weiter zu beschleunigen und damit dürfte die erreichte Endgeschwindigkeit nicht mehr ausgereicht haben, um einen Orbit zu erreichen. Was passiert, wenn das Triebwerk etwas später ausfällt, zeigte am 5.9.2021 eine Firefly Alpha bei der auch ein Triebwerk früh ausfiel. Diesmal konnte die Rakete noch weiter langsam steigen, wenn auch sehr langsam, als sie dann aber die Schallmauer erreichte, reichte der Schub nicht mehr aus, die aerodynamischen Kräfte zu kompensieren, die Rakete geriet außer Kontrolle und wurde gesprengt.

Die einzige Rakete, die ich kenne, die vom Start weg gegen einen Triebwerksausfall gewappnet war, war die N-1 die mit 25 Prozent Schubüberschuss in den ersten beiden Stufen ausgestattet war. Bei anderen Raketen ist ein Triebwerksausfall erst nach einer gewissen Zeit abfangbar, bei der Saturn I z.B. nach 90 Sekunden. Dann hat die Rakete schon einen Teil ihres Treibstoffs verbraucht.

Allerdings wurde die Aufstiegsbahn, die der Bordcomputer als Vorgabe bekommt, berechnet für den Fall das alle Treibwerke arbeiten. Diese ist nun nicht mehr aktuell, man ja viel weniger Schub und kann die vorgegebenen Wegpunkte so nicht mehr erreichen. Um dies zu simulieren, habe ich eine Rakete mit zwei Stufen und mittelenergetischen Treibstoffen modelliert. Sie setzt ein Triebwerk in der zweiten Stufe ein und neun identische in der ersten Stufe. Der Schubüberschuss ist so bemessen, das sie mit acht Triebwerken 1,25 g beim Start hat. Es darf also ein Triebwerk ausfallen, ohne das die Rakete dann zu wenig Schub hat. Die Grafik zeigt drei Kurven:

Die Aufstiegsbahn der Rakete, wie sie geplant war.
Die Aufstiegsbahn der Rakete, nachdem ein Triebwerk direkt nach dem Abheben ausfällt, man aber nichts tut um die Bahn anzupassen.
Eine angepasste Aufstiegsbahn, damit man den Orbit (200 km kreisförmig) erreicht.

Man sieht, ohne Anpassung sinkt die Rakete wieder, sie würde wieder in die Atmosphäre eintreten und verglühen. Bei einer angepassten Bahn erreicht man den Orbit, aber es ist nicht die gleiche Kurve wie bei der originalen Rakete, sie muss steiler sein, um den Schubverlust abzufangen.

Doch diese Rakete (mit Ausfall) hat nicht diesselbe Nutzlast. Die lag bei neun aktiven Triebwerken bei 7,4 t. Beim Ausfall eines Triebwerks sinkt sie auf 6,9 t. Die Aufstiegsverluste steigen von 1410 auf 1536 m/s. Das ergibt sich dadurch das die Triebwerke länger brennen, um den Schubverlust zu kompensieren – hier von 148,4 s auf 166,9 s ansteigend. Das bedeutet: über 18 Sekunden kann die Gravitationskraft länger die Beschleunigung in der ersten Stufe reduzieren. Die Rakete beschleunigt ja anfangs netto nur mit 2,8 m/s (neun Triebwerke 4,3 m/s) von 12,5 bzw. 14,1 m/s. das heißt der Anteil der real zur Beschleunigung beiträgt, ist deutlich geringer bei einem Triebwerksausfall. Hier kostet der Triebwerksausfall 6,8 Prozent Nutzlast. Das ist ein Wert für diese Rakete und diesen Orbit, bei anderen Auslegungen (Triebwerkszahl, Schubüberschuss, Masse und Anzahl der Oberstufen und Orbit) sieht es anders aus. Das muss für jeden Fall einzeln durchgerechnet werden. Solange die Rakete aber die Maximalnutzlast nicht ausschöpft, stehen die Chancen gut das sie bei Anpassung der Aufstiegsbahn doch den Zielorbit erreicht.

Problem Booster

Ein grundlegendes Problem sind aber Booster mit flüssigen Treibstoffen. Fällt dann ein Triebwerk in einem der Booster aus, dann hat man ein Problem. Die Zentralstufe und andere Booster sind ausgebrannt, in dem Booster in dem ein Triebwerk ausgefallen ist, ist aber noch Treibstoff. Das man die Triebwerks so schwenken kann, um diese Asymmetrie auszugleichen dürfte ausscheiden. Das bedeutet, man müsste den Booster mit dem Resttreibstoff abtrennen, kann diesen Treibstoff nicht nutzen. Dann ist die Nutzlasteinbuße viel größer, denn nun befinden sich im Worst Case 20,8 t unverbrannter Treibstoff in einem der Booster, das ist mehr als dieser sonst leer wiegt (12 t). Für die obige Rakete nun als 3-Booster Version (wie die Delta 4H) erhöht das die Leermasse aller drei Stufen von 36 auf 56,9 t. Die Nutzlast bricht nun drastisch ein von 21 auf 15 t also um fast ein Drittel. Wir haben also zwei Trends, die beide negative Auswirkungen haben. Mit jedem Booster steigt die Wahrscheinlichkeit eines Ausfalls, gleichzeitig sinkt die Nutzlast bei einem Ausfall drastisch an. Man kann davon ausgehen, dass die meisten Anbieter nicht auf 30 Prozent ihrer Maximalnutzlast als Reserve für einen Ausfall verzichten, sondern jeden Auftrag annehmen denn sie transportieren können. Nur ist die Zahl der Nutzlasten die 7 Prozent unter der Maximalnutzlast liegen (Ausfall in einer Stufe) viel kleiner als die Aufträge die 30 Prozent darunter liegen. Wenn das Triebwerk übrigens in der zentralen Stufe ausfällt, so ist die Auswirkung deutlich kleiner, denn dann kann man die Booster normale abtrennen und die erste Stufe normal weiter brennen lassen. Die Einbuße ist dann sogar kleiner als im Fall ohne Booster, da diese ja keinen Schubverlust hatten, man also von einem Ausfall (für das obige Beispiel) ein Triebwerk von 27 anstatt einem von neun hat.

Gibt es eine Engine-Out Capability?

Soviel zu den Auswirkungen und Vorsichtsmaßnahmen. Ich glaube aber das kein Launch Service Provider heute sich voll gegen Triebwerksausfälle abgesichert hat, das fängt schon damit an, das die wenigsten Träger den Schubüberschuss haben, damit ein Triebwerk kurz nach dem Start ausfallen kann. Man verlässt sich schlicht und einfach darauf, dass ein Ausfall heute viel unwahrscheinlicher ist. Die obige Tabelle enthält veröffentlichte Zuverlässigkeiten, das sind natürlich nur Werte, die gut dastehen. Lediglich das H-1 weist den technischen Stand der Triebwerke der Sechziger Jahre auf und die Saturn I/IB war auch eine der wenigen Raketen, die gegen einen Ausfall gewappnet war. Am erprobte das sogar bei einem Start, als man bewusst ein Triebwerk abschaltete. Verglichen mit dem, Wert des H-1 von 0,99 ist die Zuverlässigkeit eines RS-68 mit 0,998 fünfmal höher – die Ausfallwahrscheinlichkeit beträgt 0,2 Prozent anstatt 1 Prozent. Das heißt aber auch – wenn man die Sicherheit der Sechziger Jahre als Standard nimmt – dass man ohne weitere Maßnahmen fünf RS-68 bündeln kann und ihre Ausfallwahrscheinlichkeit ist dann nicht größer als die eines H-1. (Und das wurde ja auch in der Saturn I achtmal in der ersten Stufe eingesetzt).

Ich habe mal eine kleine Anwendung geschrieben, die über eine Monte-Carlo-Simulation die Ausfallwahrscheinlichkeiten bei beliebiger Triebwerkszahl und Zuverlässigkeit berechnet. (das obige Werte theoretische Werte und nicht durch praktische Tests ermittelt wurden, ist ein anderer Punkt, aber das gilt für alle Angaben, denn niemand kann so viele Versuche bezahlen, dass man auch Ausfallwahrscheinlichkeiten weit unter einem Prozent statisch absichern kann).

Als Negativbeispiel habe ich mal die N-1 genommen die nie erfolgreich flog, trotz engine-out Capability. Sie hatte in den ersten drei Stufen mehr Schub als benötigt. Es dürften drei Triebwerke in der ersten Stufe und je eines in der zweiten und dritten ausfallen. Bei erster und zweiter Stufe wurden zur Schuberhaltung die gegenüberliegenden Triebwerke abgeschaltet, sonst wären es sechs bzw. zwei Triebwerke gewesen.

Die Triebwerke der ersten beiden Stufen NK-15 / NK-15V galten als unzuverlässig. Boris Tschertok bezeichnete sie als „faule Triebwerke“. In der obigen Tabelle findet sich der (angeblich) zuverlässige Nachfolger NK-33/43 (angeblich, weil er bei der Antares einmal ausfiel und auch bei Triebwerktests dies in den USA tat). Setzt man die Sicherheit eines NK-15 auf 0,99 und damit so hoch wie beim H-1 ein, so erhält man für die erste Stufe eine Wahrscheinlichkeit von 26 Prozent das, bis zu drei Triebwerke ausfallen und für die zweite Stufe von 7,4 Prozent das eines ausfällt. Das heißt, ein Ausfall ist nicht unwahrscheinlich, sondern sollte bei jedem dritten Start vorkommen. Nimmt man gleiche Wahrscheinlichkeiten für die noch folgenden drei weiteren Stufen an, so sinkt die Wahrscheinlichkeit, dass ein Start ohne Ausfall erfolgt, auf 61 Prozent ab, drei von fünf Starts sollten also einen Triebwerksausfall haben. Würde man dagegen die Zuverlässigkeit der NK-43 ansetzen so sinkt die Ausfallwahrscheinlichkeit auf 8 Prozent, und davon sind 5 Prozent Fälle, die abfangbar sind. Daher macht man sich heute eben keine Gedanken über einen Ausfall, weil er unwahrscheinlich ist (zumal heute keine Rakete insgesamt 44 Triebwerken im Einsatz ist).

Anhang:

Daten der Rakete mit neun Triebwerken ohne Ausfall:

Rakete: Rakete 9 Triebwerke

Startschub [kN]	Geographische Breite [Grad]	Azimut [Grad]	Verkleidung [kg]	Abwurfzeitpunkt [s]	Startwinkel [Grad]	Konstant für [s]	Starthöhe [m]	Startgeschwindigkeit [m/s]
Startmasse [kg]	Nutzlast [kg]	Geschwindigkeit [m/s]	Verluste [m/s]	Nutzlastanteil [Prozent]	Sattelpunkt [km]	Perigäum [km]	Apogäum [km]
243.400	7.400	7.831	1.107	3,04	130,00	200,00	200,00
3.445	28	90	1.000	250	90	10	10	0
Stufe	Anzahl	Vollmasse [kg]	Leermasse [kg]	Spez. Impuls (Vakuum) [m/s]	Schub (Meereshöhe) [kN]	Schub Vakuum [kN]	Brenndauer [s]	Zündung [s]
1	1	200.000	12.000	3.000	3445,0	3800,0	148,42	0,00
2	1	35.000	3.000	3.200	250,0	270,0	379,26	150,00

Daten der Rakete mit neun Triebwerken mit Ausfall:

Rakete: Rakete Triebwerksausfall

Startschub [kN]	Geographische Breite [Grad]	Azimut [Grad]	Verkleidung [kg]	Abwurfzeitpunkt [s]	Startwinkel [Grad]	Konstant für [s]	Starthöhe [m]	Startgeschwindigkeit [m/s]
Startmasse [kg]	Nutzlast [kg]	Geschwindigkeit [m/s]	Verluste [m/s]	Nutzlastanteil [Prozent]	Sattelpunkt [km]	Perigäum [km]	Apogäum [km]
243.400	7.400	7.831	1.107	3,04	130,00	200,00	200,00
3.062	28	90	1.000	250	90	10	10	0
Stufe	Anzahl	Vollmasse [kg]	Leermasse [kg]	Spez. Impuls (Vakuum) [m/s]	Schub (Meereshöhe) [kN]	Schub Vakuum [kN]	Brenndauer [s]	Zündung [s]
1	1	200.000	12.000	3.000	3062,2	3377,8	166,97	0,00
2	1	35.000	3.000	3.200	250,0	270,0	379,26	168,00

Daten mit drei Boostern:

Rakete: Rakete 3 Erststufen

Startschub [kN]	Geographische Breite [Grad]	Azimut [Grad]	Verkleidung [kg]	Abwurfzeitpunkt [s]	Startwinkel [Grad]	Konstant für [s]	Starthöhe [m]	Startgeschwindigkeit [m/s]
Startmasse [kg]	Nutzlast [kg]	Geschwindigkeit [m/s]	Verluste [m/s]	Nutzlastanteil [Prozent]	Sattelpunkt [km]	Perigäum [km]	Apogäum [km]
656.000	20.000	7.831	852	3,05	130,00	200,00	200,00
10.335	28	90	1.000	250	90	10	10	0
Stufe	Anzahl	Vollmasse [kg]	Leermasse [kg]	Spez. Impuls (Vakuum) [m/s]	Schub (Meereshöhe) [kN]	Schub Vakuum [kN]	Brenndauer [s]	Zündung [s]
1	3	200.000	12.000	3.000	3445,0	3800,0	148,42	0,00
2	1	35.000	3.000	3.200	250,0	270,0	379,26	150,00

Und mit Resttreibstoff durch Ausfall:

Rakete: Rakete 3 Erststufen 1 Ausfall

Startschub [kN]	Geographische Breite [Grad]	Azimut [Grad]	Verkleidung [kg]	Abwurfzeitpunkt [s]	Startwinkel [Grad]	Konstant für [s]	Starthöhe [m]	Startgeschwindigkeit [m/s]
Startmasse [kg]	Nutzlast [kg]	Geschwindigkeit [m/s]	Verluste [m/s]	Nutzlastanteil [Prozent]	Sattelpunkt [km]	Perigäum [km]	Apogäum [km]
651.000	15.000	7.831	831	2,30	130,00	200,00	200,00
9.952	28	90	1.000	250	90	10	10	0
Stufe	Anzahl	Vollmasse [kg]	Leermasse [kg]	Spez. Impuls (Vakuum) [m/s]	Schub (Meereshöhe) [kN]	Schub Vakuum [kN]	Brenndauer [s]	Zündung [s]
1	1	600.000	56.889	3.000	9952,1	10978,0	148,42	0,00
2	1	35.000	3.000	3.200	250,0	270,0	379,26	150,00