Весьма интересный длиннопост о проблемах SLS.
Первоисточник, Перевод
Об авторе: Кейси Хэндмер - с 2018 года архитектор ПО в Лаборатории реактивного движения НАСА в Калифорнии, до того работал в Hyperloop One, Лаборатории передовых исследований НАСА (Frontier Development Lab) и Калифорнийском технологическом институте.
Предупреждение: текст насыщен Американским Патриотизмом, лицам с патологической непереносимостью данной субстанции рекомендуется воздержаться от чтения
Предупреждение: все совпадения с программами “Союз”, “Буран”, “Ангара”, “Орел” и другими случайны (на самом деле нет)
SLS (Space Launch System) по определению не может быть выгодна для американских налогоплательщиков. В этом плане она уже провалилась, даже если в итоге сможет вывести на орбиту пару полезных нагрузок уровня “Фэлкон Хэви”.
Вопрос скорее в том, допустимо ли так унижать американское общество, или оно все же заслуживает реально инновационной космической программы, руководимой настоящими техническими экспертами?
Лучше всего было отменить программу SLS 15 лет назад. Но раз нет - давайте закроем её сейчас.
А, да, чуть не забыл. Юридическая оговорка. Я не выступаю от имени своего работодателя. Этот пост не следует рассматривать как нападку на рядовых сотрудников, которые не имеют власти, или идеологически мотивированы, или считают, что такая программа лучше, чем никакой. Я знаю и уважаю многих людей, которые не согласятся с этим постом как минимум частично. Обычно я пишу более конструктивные, перспективные эссе, но время от времени приходится делать и грязную работу.
Поскольку теперь у всех нынче есть soundcloud, этот пост можно послушать там (на английском).
В отличие от упомянутых мною в более ранних постах мифов о космосе, SLS обычно освещается в СМИ достаточно адекватно - т.е. в основном негативно, по крайней мере, в последнее время. Несмотря на это давление, порою кажется, что единственные перемены в программе - это дедлайны, которые все съезжают вправо, и бюджет, который стабильно растет. После недавней неудачи с испытанием SLS Green Run я искал статью, в которой бы разбирались архитектурные и организационные проблемы программы, и почему-то не нашел ничего интересного, поэтому решил самостоятельно задокументировать этот огромный, сложный, многоуровневый провал.
Как SLS обижает меня? Давайте посмотрим… с чего бы начать. SLS - это настолько монументальный, эпохальный провал на всех возможных уровнях; она самоподобна, как фрактал. Этот пост изначально задумывался компактным и элегантным (он начался вообще как твиттер-тред), но таким же образом в процессе написания раздулся до размеров, превышающих все разумные пределы.
Краткая история (вынужденно неполная)
“Сатурн-5” была самой мощной ракетой-носителем для своего времени; она доставила 12 человек на Луну в период с 1969 по 1972 годы. Это был блестящий результат 10 лет упорной работы по программе “Аполлон”, монументальное достижение, и во многих отношениях лучшая ракета для решения конкретной задачи: доставить людей на Луну в кратчайшие сроки, невзирая на затраты.
А вот чего у этой ракеты не было, так это сколь бы то ни было реалистичного плана по удешевлению и универсализации, поэтому после выполнения основной задачи программа была закрыта (оставшиеся ракеты выполнили миссии “Союз-Аполлон” и “Скайлэб”), и начались работы над новой системой. Идея многоразовых кораблей тогда казалась неплохой (да и до сих пор таковой является), и после удовлетворения запросов всех заинтересованных сторон мы получили “Спейс Шаттл”.
Тут надо сделать небольшое лирическое отступление. В конструкции летательных аппаратов часто доводится до совершенства какая-то одна функция, даже если в ущерб другим. Как гласит старая пословица, “индейка - это курица, разработанная комитетом”, и “Шаттл”, имевший слишком много “хозяев”, оказался в итоге неизлечимо болен.
Технически совершенный, многоразовый (по крайней мере, на бумаге), с огромным грузовым отсеком для доставки и возврата спутников или блоков космических станций - “Шаттл” обещал рутинные и недорогие запуски, но так никогда и не достиг этой цели. На разработку программы ушло более десяти лет, но и к моменту ее завершения (еще 30 лет спустя) ни одно из первоначальных требований не было полностью выполнено. Стоимость запуска оказалась в 100 раз выше, чем планировалось, частота запусков - в 20 раз меньше, а безопасность… мы потеряли два корабля с экипажами. Далекие от официальных заявлений “один на миллион”, более точно оцененные риски катастрофы для “Шаттлов” варьировались от 1/10 для первых полетов до примерно 1/100 для более поздних. На это улучшение было потрачено много времени и сил, но все же преобладает мнение, что нам очень повезло потерять только два челнока.
Бейсджампинг безопаснее. Намного безопаснее. Как-то такой слоган не очень годится для “рутинных” космических полетов.
Как такое может быть? Может, космические полеты по природе своей должны быть смертельно опасными? Нет. Но конструкция “Шаттла” включала в себя высокие архитектурные риски, и поэтому вся система целиком никогда не могла бы выйти за рамки научно-технического эксперимента.
Программа “Шаттл” позволила добиться невероятных результатов, но она не сделала космические путешествия доступными или рутинными. “Шаттлы” были слишком дороги и с финансовой точки зрения, и с репутационной. И завершена это программа была, как и “Аполлон”, без достойной замены.
Еще в начале 1990-х годов изучалась реконфигурация “Шаттла” для создания более традиционной ракеты-носителя с большей второй ступенью и значительно большей грузоподъемностью. Помните, что хотя грузоподъемность “Шаттла” составляла 25 тонн на НОО, сам орбитер весил около 80 тонн, так что даже без разгонного блока на НОО выводилось в сумме 105 тонн - почти как у “Сатурна-5”.
Двух- и трехступенчатые ракеты могут доставить на НОО больший груз, чем “полторы ступени” “Шаттла”, поэтому добавление полноценной второй ступени должно бы, по идее, увеличить нагрузку примерно до 200 тонн на НОО.
Эта идея сверхтяжелой ракеты легла в основу концепции Mars Direct Зубрина и Бейкера, по которой один запуск в год мог бы поддержать экспедицию из 4-6 астронавтов на поверхности Марса. Предков SLS можно проследить через “Ares-V” до ракеты-носителя “Mars Direct Ares”, в свою очередь выросшей из “90-дневного исследования”.
Ares-V
Без цели
То есть, SLS собрана из политически ценных частей программы “Шаттл” - но для чего, для какой миссии она предназначена?
Не вся путаница здесь - заслуга самой SLS. В начале 2000-х Конгресс менял приоритеты освоения космоса с каждым новым президентом, что приводило к ситуации типа “Люси и футбол” (running joke из комикса “Peanuts”, где Люси убирает мяч из-под ног Чарли, когда тот готовится ударить, и мальчик падает - прим. пер.) Луна? Марс? Астероиды? Как насчет программы, которая не ведет вообще никуда?
Проблема в том, что экстремально сложные системы (в том числе летающие) часто могут хорошо делать только одно дело. “Сатурн-5” был урезан, жестоко урезан, чтобы точно выполнить требования поставленной задачи. Как говорил Джон Хуболт: “Так мы хотим полететь на Луну или как?”; к сожалению, непохоже, чтобы его идеологические потомки хотели и могли бы внести такую же ясность в последующие программы разработки ракет-носителей НАСА.
SLS, равно как и корабль Orion, не имеет цели. Они не обладают достаточной производительностью даже для выхода на низкую лунную орбиту и возвращения, что делали еще советские “пилотируемые” системы начала 70-х годов, хоть в том случае единственными пассажирами и были лишь пара черепах.
Я участвовал в нескольких проектах по разработке миссий разной степени серьезности, например - Caltech Space Challenge. Даже в таких гипотетических сценариях, если допустить, что SLS доступна для использования, ее все равно удивительно трудно вписать в любой адекватный процесс исследования человеком Луны, Марса или дальнего космоса. Хотя ее грузоподъемность на НОО незначительно выше, чем у Falcon Heavy, но низкая частота запусков, непроверенная конструкция, непредсказуемый график и скрытые политические привязанности делают ее слишком рискованной для каких-либо критических задач. Даже если бы SLS не была архитектурно небезопасной, плохо управляемой, невероятно дорогой, технологически тупиковой, устаревшей и мучительно долго изготавливаемой, ей все равно некуда было бы лететь.
Так что, SLS разрабатывается в течение двух десятилетий без четкой цели, которая могла бы как-то определить требования. Так дела не делаются, и первые руководители программы SLS при Обаме даже пытались говорить об этом, в том числе публично.
Не поймите неправильно, я на 100% поддерживаю щедрое финансирование Конгрессом разработок оборудования для пилотируемых экспедиций в космос, но, может быть, как-нибудь нам нужно сначала решить, куда мы направляемся и что мы собираемся там делать? В ином случае, чего сейчас удивляться, что SLS - это в лучшем случае невероятно дорогая “индейка”, которая никому не нужна?
Каждое решение вроде бы было направлено на снижение затрат и рисков, но почему-то имело прямо противоположный эффект.
Реконфигурация существующего оборудования “Шаттлов” на бумаге выглядит неплохо, но реальность внесла свои коррективы. Даже если убрать орбитальный самолет, все равно прото-SLS, который тогда назывался Ares-V в рамках программы Джорджа Буша “Созвездие” (“Constellation”) остается с неуклюжей водородной первой ступенью, гигантскими (почти) неуправляемыми твердотопливными ускорителями (ТТУ), привередливыми главными двигателями (SSME), и получает вдобавок все прелести “индустриальной археологии”. Переиспользование оборудования “Шаттла” должно было сохранить персонал и снизить риски, но тут надо помнить: даже после более 100 полетов практически ни один основной компонент “Шаттла” не достиг ни достаточной архитектурной надежности, ни хотя бы соответствия какому-либо стандарту сертификации.
Cessna 172
Что это значит?
Допустим, я хочу модифицировать C-172 (Cessna 172, самый массовый самолет в мире - прим. пер.) для полета на скорости 300 узлов (около 550 км/ч - прим. пер.) - окей, но для этого мне понадобится гораздо более обтекаемое крыло с требующими гораздо большего мастерства от пилота летными характеристиками. И если мой новый самолет свалится в штопор на скорости более 61 узлов (112 км/ч - прим. пер.), FAA просто не сертифицирует его для гражданской авиации, в соответствии с частью 91 FAR. Я могу наклеить стикер “экспериментальный” на борт моего самолета и попрощаться со своей страховкой, но я никогда не смогу всерьез поверить, что моя “экспериментальная” Cessna соответствует требованиям сертификации.
У “Шаттла” вышла примерно такая же история. Пытаясь “сверху-вниз” построить систему с непревзойденными показателями, мы в итоге получили отличное подтверждение Закона Конвея (“Организации проектируют системы, которые копируют структуру коммуникаций в этой организации” - прим. пер.) для случая крупных аэрокосмических подрядчиков и технологий 1970-ых. Можем ли мы сегодня, 50 лет спустя, сделать лучше? Да, и намного. Сегодня многие частные ракетные компании поставляют более надежные и производительные (при прочих равных) двигатели, чем SSME.
Ящик с запчастями от “Шаттла” никогда не сможет стать “низкорисковым”.
В программе SLS НАСА попыталось снизить риски за счет повторного использования компонентов “Шаттла”, которые, в свою очередь, во многом основаны на дизайне “Сатурн-5” - таким образом, наша “новая” ракета использует технологии 50-летней давности. Причем, компоненты “Шаттла” не отличаются высокой надежностью: мы потеряли два челнока, но комплексный анализ FMEA обнаружил тысячи потенциально катастрофических типов отказов. Игра в “стукни крота” с архитектурно обусловленными конструктивными недостатками, да еще спустя десятилетия после ухода конструкторов на пенсию, со скоростью “один баг на одну потерянную миссию” - это очень плохой способ вести программу.
Например, “Челленджер” потерпел крушение, потому что горячие газы из ТТУ выходили через негерметичные уплотнительные кольца и повредили основной топливный бак.
Почему? Поскольку было слишком холодно, инженерные аргументы были отклонены в пользу “пусковой лихорадки”, а уплотнительные кольца не были достаточно гибкими при низких температурах.
Почему? Потому что руководство программы было мотивировано видеть версию реальности, в которой “Шаттл” был надежной, управляемой системой, а не бомбой замедленного действия.
Почему? Потому что ТТУ должны быть собраны из нескольких секций и герметизированы резиновыми уплотнительными кольцами.
Почему? Потому что в предыдущих запусках были обнаружены признаки прогаров уплотнительных колец, но они не привели к катастрофе, хотя в принципе могли бы.
Почему? Потому что люди склонны нормализовать отклонения.
Почему? Потому что конструкция требовала огромных и слабо контролируемых ТТУ, чтобы компенсировать низкую тягу главных двигателей при взлете. Просто спросите любого астронавта “Шаттла”, что они думают о сценарии прерывания RTLS (“возврат на стартовую площадку”).
Почему? Потому что при проектировании настаивали на архитектуре “почти SSTO”, полагая, что это снизит стоимость.
Почему? Потому что к этому моменту немецкие специалисты в основном покинули американскую программу разработки ракет.
Почему? Потому что ветераны Vanguard (“морская” ракетная программа США, конкурент “артиллерийской” Redstone и “авиационной” Atlas - прим. пер.) подумали, что пришло время американцам возглавить программу разработки ракет.
Почему? Потому что ветераны программы Х-15 считали, что космические самолеты лучше обычных ракет.
Почему? Поскольку результат этого каскада проектных решений оказался у команды разработчиков, и никто не имел достаточно власти сказать: “Очевидно, была сделана ужасная ошибка: эта архитектура никогда не сможет достичь обещанных целей, давайте начнем сначала”.
Вместо этого они пошли и построили невозможное. Такое вот высокомерие.
SSME был первым ЖРД замкнутой схемы, разработанным в США, поэтому у него был ряд весьма серьезных “детских болезней”: нестабильность горения, трещины лопаток турбин, протекающие уплотнения, и т.д. В процессе запуска двигатели работали с мощностью до 109% от проектной, исключая возможность компенсации отказа одного из них вплоть до самых поздних этапов запуска. На этапе проектирования это было не лишено смысла: двигатели должны были быть столь же надежны, как турбореактивные двигатели гражданских лайнеров. К сожалению, оценка надежности была завышена в тысячу (или около того) раз, поэтому каждый двигатель “многоразового использования” приходилось тщательно перебирать и испытывать перед каждым полетом, что требовало огромных затрат времени и средств.
Известный физик Ричард Фейнман был членом Комиссии Роджерса, расследовавшей гибель “Челленджера”, и в итоге опубликовал свое известное “особое мнение” о причинах катастрофы. Благодаря своей известности и противоречивому характеру, ему удалось получить от сотрудников НАСА и подрядчиков уникальную (в т.ч. неофициальную) информацию, что привело его к выводам о природе проблемы на управленческом уровне. К сожалению, эти выводы были включены в приложение к отчету (не налагающее ни на кого конкретных обязательств) только после того, как Фейнман пригрозил публично выйти из комиссии.
Так вот, уже в 1986 году в отчете Фейнмана указывалось, что ни один из произведенных SSME даже близко не соответствовал квалификационным требованиям проектирования. По идее, такие выводы должны были бы привести к радикальному перепроектированию двигателей и, возможно, даже изменению или отмене программы в целом, но вместо этого руководители программы привычно “поправляли” целевые показатели, не обращая внимания на возражения инженеров, и без какого-либо тщательного анализа. Например, вместо того, чтобы выяснить, почему в двигателях проявился заметный износ после одного испытательного запуска, когда они были рассчитаны на десятки полетов между проверками, было решено, что раз не произошло катастрофического отказа (т.е. полного отказа с разрушением двигателя) после одного цикла, то двигатели находятся в пределах проектного запаса прочности.
Более глубокий смысл политически спорного доклада Фейнмана заключался в том, что Комиссия Роджерса начала свою работу с готовых выводов - даже после того, как попытка НАСА сокрыть информацию провалилась. Конкретнее, что за год или два обширных инвестиций в программу “Шаттл” ее можно “починить”, и в итоге выполнить первоначальное обещание о доступном безопасном космическом аппарате “на каждый день”. Конечно, это было физически невозможно; Фейнман и тысячи других людей прекрасно это понимали, и этот вывод Комиссии был 100% фарсом. Но любой, кто знаком с крупными проектами, государственными или частными, знает, что комиссия, сообщающая о таких малоприятных фактах, не является политически жизнеспособной. Реальность 1981 (первые пуски), 1986 (“Челленджер”), 2003 (“Колумбия”) и 2021 (подставить нужный) годов показала, что подвести итог программы “Шаттл” можно так: она оказалась плохо продуманной и отвратительно исполненной; не только серьезно небезопасной, но и буквально смертельной.
Катастрофа Челленджера в 1986
Известны случаи, когда разработка самолета была свернута, когда тестирование показало серьезные проблемы с безопасностью. Но вместо этого Комиссия Роджерса уступила политическому давлению, отпустила программу на все четыре стороны, и предрешила судьбу “Колумбии STS-107”. Тогда, как и сейчас, катастрофа была лишь вопросом времени.
Не убеждены? Позвольте мне процитировать абзац из Приложения Фейнмана, касающийся концепции “запаса прочности”.
Несмотря на эти колебания от случая к случаю, чиновники вели себя так, как будто точно понимали, что происходит, приводя друг другу внешне логичные аргументы, часто основанные на “успехе” предыдущих полетов. Например, при определении безопасности полета рейса 51-L (“Челленджер”) при наблюдаемой эрозии кольца в полете 51-C было замечено, что глубина эрозии составляла только одну треть его толщины, а эксперименты по оценке пределов прочности кольца показали, что необходимо было повредить его на всю толщину, чтобы кольцо разрушилось. Но вместо того, чтобы изучить процесс эрозии, или избавиться от неё вовсе, было решено, что существует “коэффициент безопасности, равный трем”. Это странное использование инженерного термина “коэффициент безопасности”. Если нужно построить мост, выдерживающий определенную нагрузку без деформации, трещин и изломов балок, можно спроектировать его на нагрузку в три раза больше. Этот “коэффициент безопасности” будет учитывать случайные превышения нагрузки при эксплуатации, неизвестные заранее дополнительные силы, слабые места в материале, неожиданные дефекты, и т.д. Если теперь на новый мост действует ожидаемая нагрузка, и в балке появляется трещина, это априори проблема. Никакого запаса прочности нет вовсе, хоть мост и не разрушился (“трещина прошла через балку только на треть”). Уплотнительные кольца ТТУ не были рассчитаны на эрозию; она - признак неизвестных проблем. Эрозия не может свидетельствовать о безопасности.
Я не большой фанат простановки “галок”, но в своей жизни достаточно сделал вещей, которые люди обычно оными отмечают: получил лицензию пилота, прыгал с парашютом, нырял с аквалангом, ходил в горы, и вот до сих пор жив. Но это фейнмановское описание ориентированной на результат подделки критериев проектирования каждый раз заставляет меня внутренне орать. “Шаттл” изобиловал системами, в которых конструкция не соответствовала требованиям, отказывала всевозможными странными и пугающими способами, и все это в основном игнорировалось в угоду Большой Цели - ускорению следующего раунда “русской рулетки”. Поэтому вряд ли стоит удивляться, что “проверенное в полетах” оборудование “Шаттлов”, которое так и не достигло хотя бы приблизительно безопасных характеристик, продолжает давать сбои на протяжении всей программы разработки SLS, но почему-то это не оказывается достаточной причиной для задержавшегося на 40 лет полного перепроектирования.
В 1986 году еще оставалось достаточно ветеранов “Аполлона”, и если бы у кого-нибудь из участников программы хватило смелости объявить “Шаттл” полной неудачей и поставить его на прикол, то вполне вероятно, ракета типа “Фэлкон-9” могла бы быть сертифицирована и введена в эксплуатацию к 1990 году, наметив реальный путь к многоразовости и снижению стоимости, а также вернув NASA в нашу реальность с ее неудобными фактами.
Простите, этот пост не про бесконечные дифирамбы SpaceX, но очень показательно, что с малой долей времени и денег, выделенных SLS, но мотивированные правильными архитектурными вопросами, они разработали ракету “Фэлкон-9” и космический корабль “Дрэгон” - систему, значительно менее экзотичную, чем “Шаттл”, но при этом на порядки дешевле, безопаснее и эффективнее.
Сегодня на складах осталось несколько десятков SSME - изысканных образцов техники 1970-х, не уступающих по красоте яйцу Фаберже; они отлично подходят для музея, но не для современной ракеты. Достаточно ли они надежны? Нет. Являются ли они выгодными “расходниками”? Нет. Ну, наверное, они дешевы - ведь они у нас уже есть? Тоже нет. Подрядчики предоставляют их для SLS по цене $150 млн за двигатель.
Еще раз. Мы собираемся взять эти бесценные старинные многоразовые ракетные двигатели, пролететь на них один раз и сбросить в Атлантический океан. И одни только 4 этих двигателя обойдутся нам примерно в ту же сумму, что и 10 полетов “Фэлкон-9”.
Давайте теперь о водороде. Конструкторы “Шаттлов” выбрали водород, потому что его удельный импульс значительно выше, чем у других видов топлива, а для “Шаттла” производительность была на первом месте. Современная же точка зрения заключается в том, что если учесть стоимость, сложность и дополнительную массу (баков, прежде всего - прим.пер.), необходимую для работы с водородом, его характеристики становятся хуже, чем у более традиционных видов топлива (керосин RP-1 или метан), особенно для запуска на НОО. Например, температура сжижения водорода крайне низка, он требует дополнительной теплоизоляции, а значит - массы.
Он легко протекает через субмикронные зазоры, просачивается через металлы, вызывая охрупчивание, и настолько холоден, что это само по себе сильно ограничивает выбор материалов. Кроме того, удельный импульс - это не единственная значимая характеристика, при старте ракета движется медленно и не особо нуждается в высокой скорости истечения и эффективности; но нужна большая тяга, чтобы преодолеть атмосферу. Здесь водород почти бесполезен, поэтому “Шаттлу” приходилось играть в “русскую рулетку” с гигантскими ТТУ.
Для сравнения, “Фэлкон-9” имеет аналогичную грузоподъемность (~22 тонн на НОО), использует пару керосин-кислород и стоит примерно 5% от “Шаттла”, в пересчете на килограмм нагрузки на НОО. Не на 5% дешевле. В 20 раз дешевле. Для постройки МКС потребовалось около 35 полетов “Шаттла”. Если бы модули запускались по ценам “Фэлкон-9”, все они были бы запущены за меньшую сумму, чем стоимость двух полетов “Шаттла” (или одного года работы программы “Шаттл” в целом), и скорее всего, станцию мы бы построили не за 20 лет, а намного быстрее.
SLS примерно на 30% больше “Шаттла”. У нее 4 двигателя, а не 3. У него более мощные ТТУ и больше топлива. И все же ее планируемая нагрузка на НОО составляет всего 70 (странно, Вики говорит про 95 - прим.пер.) тонн - всего чуть-чуть больше, чем у хорошо мотивированного “Фэлкон Хэви” (63 тонны - прим.пер.). “Шаттл” мог вывести 105 тонн, включая массу орбитального самолета. SLS - это упрощенный, выглаженный и увеличенный в размерах стек “Шаттла”, который почему-то потерял около половины своей производительности.
Добавление второй ступени (EUS) должно улучшить ситуацию, но проектирование и постройка этой ступени даже еще не финансируются и, как ожидается, займут по меньшей мере еще десятилетие (почему так долго? понятия не имею), так что SLS будет бесполезна как минимум до 2035 года - почти 100 лет после разработки некоторых ее компонентов!
Как может быть, что ракета, собранная из существующих компонентов, прошедших летные испытания, оказывается умопомрачительно дорогой, трудной в производстве, имеет отвратительный график запусков и вызывает серьезные опасения в своей безопасности? Я поспрашивал знакомых, и ни один старший инженер ни в одной крупной аэрокосмической компании не смог толком объяснить, как так вышло. Лучшее предположение: поскольку инженеры MSFC (Marshall Space Flight Center - прим.пер.) не создавали новых систем уже несколько десятилетий (по меркам отрасли это все равно что вечность), они итеративно вводили запасы на безопасность здесь и там, пока не растеряли половину мощности.
Я, кстати, далеко не первый, кто выявил непреодолимые структурные проблемы в программе SLS. Еще в 2015 году, когда график едва начал срываться, Рэнд Симберг указал, что программа SLS в лучшем случае является воплощением “аполлоизма”, идеи о том, что исследование глубокого космоса возможно только при наличии всенародного порыва и огромной дорогой ракеты, потому что именно так все сработало в 60-ые. Анализ Симберга включает также подробный разбор текстов актов Конгресса, которые привели к созданию SLS. В прошлом году Эли Дурадо опубликовал статью “SLS - неисправимая ошибка”.
Я же сосредоточился на управлении рисками на архитектурном и организационном уровне - первопричине предыдущих трагедий НАСА и уроке, который еще предстоит усвоить.
