And besides reliability of engines

By results of the analysis of the statistical given emergency start-up of rockets with liquid engines the number of the refusals falling impellent installations is established{installed}, that, reaches 41 % from total of failures{accidents}. It is natural, understanding, that impellent installation in a rocket technical complex is a powerful power system which functioning is connected with realization of complex{difficult} physical processes. It is powerful огневой a stream and высоконагруженные hydromechanical units.
The aspiration to reach{achieve} a high level of reliability of engines is dictated by necessity of maintenance of a due degree of safety of system for a piloted variant and achievements of the minimal damage connected with losses at possible{probable} emergency outcomes of start-up in a pilotless variant.
The size of damage for such systems as the booster rocket of "Energia", can ощутимо be great because of the big cost of a rocket and, including, the big cost of engines.
Feature of impellent installations of heavy rockets-carriers{-bearers} because of the big total draft of mid-flight engines measured in several thousand of tons, is them многоблочность. There is some optimum quantity{amount} of engines in a sheaf which is defined{determined}, on the one hand, by an opportunity of modern technology of creation of the highly reliable engine of the big dimension, and with another - downturn of reliability of a sheaf of engines of small dimension with growth of their number in structure of a package.
It is known, that application in technical system of elements more conducts than one to decrease{reduction} in general{common} reliability. Applied in rocket systems of a sheaf of homogeneous engines or their any compositions, naturally, have reliability that above, than it is less than engines in a sheaf, than above reliability of the individual engine, than the degree of reservation and duplication is more. Therefore a priority at creation of carriers{bearers} with multiimpellent installations is maintenance of high reliability. Now with reference to technical problems this problem{task} is solved, in particular, due to wide use of methods of the system and regressive analysis, and also methods of likelihood mechanics of destruction of machines{cars} at all stages of creation of similar systems, that is at design stages, design working off, a batch production and operation.
Process of finishing of engines RD-170 and РД-0120 at a design stage, experimental working off up to a corresponding{meeting} level and its{his} consecutive achievement was organized on each engine by corresponding{meeting} comprehensive plans of maintenance of reliability. Thus developers of a booster rocket and the engine started with search of an optimum parity{ratio} of growth of reliability and expenses for development and operational development.
If at orientation to achievement of a due level of reliability of the engine to start with the condition of expenses of means for its{his} creation the similar approach can be presented some parity{ratio} expressing dependence - the above reliability of the engine, the less expected losses because of refusals of engines in flight at operation of a rocket complex. However the increase in reliability of the engine is reached{achieved} due to increase in volume and time of its{his} working off, and consequently, due to increase in cost of this working off. Naturally, dependence of total expenses has a minimum and optimum value of reliability of the engine, defined{determined} of a parity{ratio} of economic restrictions and size of expected losses at low reliability.
For greater{big} rocket complexes, because of their high cost, this optimum value turns out such, that for its{his} achievement unreal expenses of means and time of working off are required. Therefore in the technical project on the engine value of reliability of the engine in view of really admissible financial and time{temporary} expenses for its{his} achievement is accepted. Thus it is considered, what even insignificant decrease{reduction} in reliability of the engine allows to reduce material inputs to its{his} honing tests very essentially.
The analysis of expenses for creation of such complex{difficult} complex has shown, that reliability and safety of system are connected экспоненциальной by dependence with the expenses progressing in the field of high values of reliability. Ways of maintenance of reliability have been shown above and reduced to introduction in system of redundancy and reservation, to introduction of the functional systems reducing possible{probable} damage. A basis maintenance of high quality of technology of all chain of elements as makes bases of reliability.
The minimum of a total cost is reached{achieved} not at the maximal values of reliability of system, and at some level in area of values of reliability 0,995.
It is necessary to pay attention, that prevailing intuitive aspiration of increase of reliability, especially for piloted complexes, inevitably. In this connection developers get in area of sharp increase of expenses even at small size of an increment of reliability. It{this} difference of this integrated complex uniting transport and piloted systems, from complexes of separate type speaks. High cost of development is connected with it{this} along with complexity of system. At the same time reliability of rockets of disposable use, for example "Cyclone", "Union", "Proton", is at high enough level and cost of their development, including various updatings, ощутимо below. As a result of comparison of these expenses arise ambiguity of judgements about advantage of modern rockets-carriers{-bearers} of new development. There is a tendency of preservation of old rocket complexes with carrying out of some modernization and improvement.
However it is not necessary to dismiss, that all booster rockets of early development, that is the sixtieth years, were projected{designed} on the basis of fighting rocket systems. Fighting ballistic missiles were created counting upon maintenance of the certain characteristics connected with the concept дуэльной of a situation. In this connection on principles of designing the specificity was imposed. Reliability, cost, efficiency acted in the simplified kind.
Now it is necessary to represent precisely, that we are in a new epoch of development where more thorough principle of creation of the systems providing a transport stream the Earth-SPACE-ºÑ¼½ operates{works}. Criteria of reliability, and to efficiency now are represented cost in aggregate a safety of flights in new, a perfective aspect. It is necessary to pay for it.
Therefore, except for direct methods of due working off of engines and improvement of quality of manufacturing, the necessary level of reliability is reached{achieved} at use of means and methods of diagnostics.
Systems of ground diagnostics of engines provide an estimation of their technical condition, выбраковку or repair of potentially unreliable copies. It would be possible to illustrate the Overall performance of system a following example. At operation of a booster rocket with восемью the engines having probability of non-failure operation 0,95, there would be 40 refusals, use of ground technical diagnostics with factor of scope of possible{probable} emergencies of the order 0,9 allows to reveal 9 defective engines from 10, that is equivalent to increase of reliability of the individual engine on the order.
Therefore, if it was possible to develop system of diagnostics with efficiency 0,99 creation of multiimpellent rockets-carriers{-bearers} would become quite economic even at reliability of individual engines 0,995. However, as shows experience of development of similar systems for propulsion jet engines, designers are compelled{forced} to be guided by values of a level of efficiency of similar systems smaller, than 0,9.
The structure, structure, the methods applied in system of diagnostics, for each engine on the function are uniform and differ because of specificity of each design.
These systems are in detail enough shown in sections on engines RD-170 and РД-0120.
In maintenance of a sufficient level of reliability of a sheaf of engines the system of inclusion of a reserve has special value. In effect on the beginning of development of a rocket of "Energia" of sufficient experience at founders of engines was not. This system from the beginning of development has received the name of system of emergency protection.
The system of emergency protection is a set of the actions provided in a design of the engine, and the means of the control providing survivability of the engine, refusals of the engine warning under abnormal condition dangerous development. Survivability of the engine is understood as its{his} immunity to malfunctions and refusals of separate elements and units, either change of a mode or refusal of the engine without under abnormal condition-dangerous consequences for adjacent systems of a rocket.
The parameter describing survivability of the engine in view of system of emergency protection, - probability of non-failure operation of the liquid rocket engine is chosen. The technique of an estimation of this parameter is developed.
Reliability of system of emergency protection should be not below reliability of the engine. Thus it is necessary to mean, that concept of reliability of detection of developing refusals or, in other words, false operation of system " reliability of system " enters into an estimation of quality of system under concept.
The analysis of refusals of liquid rocket engines shows, that a part from them (up to 50 % caused by latent defects of manufacturing, weariness, creep and охрупчиванием a material, it is not found out by an existing quality monitoring at a stage of their latent development, and the finishing stage of similar refusal, of the moment when it{he} appears, and before destruction of the engine, lasts all the tenth and even the 100-th shares of second. This circumstance does not allow by means of means of ground diagnostics reliably to predict development of similar kinds of refusals and выбраковывать before flight potentially dangerous engines. It is obvious, that the similar problem{task} can be solved only by means of monitoring systems of the engines working in real time, - onboard systems. Therefore it is expedient to use both systems: System for diagnostics of a technical condition of engines and выбраковки potentially unreliable copies by results of the analysis of the data received both at work, and at all kinds of interflight tests, and onboard system of emergency protection for duly deenergizing engines which latent defects have not been revealed by system of ground diagnostics. In this case even at the moderate efficiency of both systems (the order 0,9) the probability of refusals of engines at flights can be lowered on two orders.
By development and use of these systems it is necessary to consider, that they are not interchangeable and make various demands to features of a design of rockets-carriers{-bearers}. Ground diagnostics does not show any specific requirements to a design of carriers{bearers} and provides essential increase in reliability of impellent installations without appreciable losses of useful loading. But, on the other hand, ground diagnostics does not guarantee revealing almost half of possible{probable} latent defects of manufacturing of engines.
The onboard system of emergency protection working in real time, can theoretically parry any kinds of refusals of engines, providing their duly deenergizing, without explosions and external destructions. In this case, at constantly included reserve engines of the carrier{bearer}, the probability of refusal of impellent installation-sheaf can (at set reliability of individual engines and other equal conditions) to decrease on one-two order, depending on number of reserve engines.
With a view of performance of requirements on maintenance of high reliability of functioning of a booster rocket (up to 0,99) and safety (up to 0,995) at deducing{removing} the orbital ship in structure of a booster rocket hot reservation of mid-flight engines of the first and second steps is stipulated. There is an area of parameters, in which reliability of a sheaf of engines not below reliability of the individual engine at presence of an optimum level of reservation and enough reliable system of inclusion of a reserve. Influence of a degree of reservation has character of saturation which after the certain value practically does not give essential increase. A degree of reservation and consequently, the certain redundancy on draft, has design-layout restrictions in the real scheme{plan} of a rocket. The organization of configuration with reservation in monoblock schemes{plans} of rockets-carriers{-bearers} does not represent greater{big} constructive complexities, and multiefficient enough configuration turns out in batch structure. The matter is that the batch structure demands a possibility перелива components from the block in the block at occurrence of a situation with deenergizing the emergency or preemergency engine and the charge of the remained component in the forced mode through other engines.
By development the constructive scheme{plan} with закольцовкой tanks of the first step of all four blocks on a rocket of "Energia" by results of researches has not been accepted because of of some the problems connected with dynamics{changes} of system as a whole, the big mobility of elements of a design, excessive complicatedness of a pneumatichydraulic power supply circuit by components and, as consequence{investigation}, falling of reliability of system.
Use of reserve engines probably only under condition of duly deenergizing emergency engines before external destruction.
The problem of duly definition of an emergency consists that parameters of working processes, as a rule, do not fall outside the limits, stipulated by the project on the engine, and in some cases the engine does not react to defect down to its{his} physical refusal. The situation is even more complicated by deficiency of time in connection with fast development of emergency processes. High reliability of work of the system warning of occurrence of emergency process that is why should be provided. The probability of a lack of distribution of a false signal of this system should be not below 0,9995 at confidential probability 0,9.
Results of the statistical analysis have shown, that at the working engine all refusals are divided{shared} into three groups on time of development of malfunction from the moment when on parameters of working processes of elements of the engine it is possible to define{determine} presence of malfunction, till the moment of destruction of the engine or other consequences deducing{removing} impellent installation from an efficient condition.
Refusals for which time of development of the malfunction, defined{determined} on parameters of working processes, is less than time necessary for realization of any protective operations concern to the first group. Minimal time of carrying out of protective operations was estimated{appreciated} by the sum of time for operation of the equipment and closing of valves. Refusals concern to the first group basically турбонасосного the unit of the rocket engine. The share of these refusals makes the order of thirty %. The algorithms based{founded; established} on the analysis of working processes, are unsuitable for the control of such refusals as they are found out in last stage of the development. Thus there is an explosion or fast burning of elements of a design. Characteristic time of development of refusal after ignition even is less, than time of closing пироклапанов. Therefore for prevention of emergency consequences of refusals of such type there was necessary a creation of the algorithms based{founded; established} on use of the information on a condition of constructive elements.
Refusals, which time of development defined{determined} on parameters of working processes in elements of impellent installation concern to the second group, makes 0,04-0,05 with. To this group concern, basically, the refusals leading failure of the pump of an oxidizer of the engine, caused by presence of gas inclusions on an input{entrance} in the pump. Refusals of the second group can be localized on the algorithms using the information on parameters of working processes - pressure, temperatures. However and in this case minimal time for operation of the watching{the keeping up} equipment and closing of valves is required.
Refusals which characteristic times make some tens shares with and more concern to the third group. These refusals are successfully localized by means of the algorithms using the information on parameters of working process. Characteristic refusals of this group are негерметичность cavities of components of fuel and gas which can lead to loss of components of working bodies and to full refusal.
The degree of scope of emergencies is measured by factor of scope, which value коррелированно with a level of reliability of system of protection. Really, the more registering{recording} channels and registering{recording} elements, the it is more complex{difficult} algorithms of its{her} functioning, that it{she} is more effective, meaning{keeping in mind} value of factor of scope, but that less it{she} is reliable because of complex{difficult} structure, and on the contrary.
To establish{install} quantitative communication{connection} between parameters of reliability and factor of scope of emergencies of system probably only at due accumulation of statistical data.
The system of emergency protection, possessing properties of the prevention{warning} of refusals and occurrence of an emergency with a wide range of their scope and high reliability, can solve more a challenge in flight, such, as translation{transfer} of the suspected engine into sparing mode, and not just its{his} deenergizing.
Such system is interesting to that in conditions of rigid restrictions on тяговооруженности the carrier{bearer}, and also absence перелива components of fuel in the batch scheme{plan}, enables to expand a range of outputs{exits} from emergencies. Translation{transfer} into a sparing mode is possible{probable} at certain, stipulated in the project, decisions even on rockets with one-impellent mid-flight installation. Применима it{she} also to batch schemes{plans} of rockets with independent blocks with some conditions connected with an opportunity of translation{transfer} of "ill" engines on sparing mode or serviceable - on forced. Loss of draft due to the defective engine in monoblock structure is compensated by speeding up of other engines within the limits of stocks on тяговооруженности. In the batch scheme{plan} without перелива components - it is similar, but only necessarily, proceeding from conditions of preservation of controllability, with the organization of the additional charge of fuel from tanks of the engine working on the sparing mode, there can be even in a variant simple a plum.
The scheme{plan} with a sparing operating mode of the defective engine raises{increases} reliability of a sheaf in a smaller measure, than schemes{plans} with pure{clean} reservation if them to consider{examine} separately, approximately twice. Naturally, real appendix of this scheme{plan} effectively in a complex with reservation.
The increase in a resource of impellent installation due to use of the defective engine enables at запроектированном a reserve on draft to carry out the carrier{bearer} a target problem{task}. At restriction on installed power per employee and in the one-impellent scheme{plan} without stocks on draft the system expands opportunities on the organization of conditions of rescue of crew, and in pilotless flights - withdrawal of an emergency rocket from a starting construction.
However the real factor of scope of the emergencies fixed by system by emergency protection, seldom exceeds 0,9.
Creation of effective system for the first time in our country was carried out by development of impellent installations of a rocket of "Energia". Thus diagnostic parameters at which control duly deenergizing the faulty engine is provided have been chosen; algorithms of work of system of the emergency protection, the provided effectual measures on localizations of malfunctions, and also high probability of absence of erroneous deenergizing of engines are created; the equipment of system of the emergency protection, providing necessary speed and accuracy of the control and possessing is created by necessary reliability датчиковая; the complex of the equipment of system of the emergency protection, providing realization of algorithms of the control of diagnostic parameters and communication{connection} with a control system of a booster rocket is created; Methods of reservation of elements of system of emergency protection - gauges, the equipment, diagnostic parameters in the algorithms providing necessary characteristics of reliability of system of emergency protection as a whole are developed; techniques of an estimation of a system effectiveness of emergency protection are developed.
The decision of the primary goal of system of emergency protection - deenergizing of the emergency engine before its{his} external destruction - is carried out on the basis of measurement of the parameters describing an essence of working processes, proceeding in the engine, and its{his} condition.
The analysis of the liquid rocket engine as object of system of emergency protection is lead. The kinds of refusals demanding duly cessation of work of the engine are certain. Efficiency of the systems which are carrying out functions, similar to system of emergency protection, in engines of previous development is estimated{appreciated}. Time of deenergizing of system of emergency protection and accuracy of work of the equipment is certain. At the decision of these problems{tasks} materials of emergency tests of engines have been used.
In view of the received data the program of development of the algorithms, including a choice of the measured parameters most full reflecting a technical condition of engines, a choice of the diagnostic parameters most sensitive to developing emergencies, definition of time intervals of the control and maximum permissible values on each diagnostic parameter has been created. Algorithms of the control are developed in view of restrictions on accuracy, speed and reliability of the controllable equipment. Thus the choice of type, quantity{amount} and accuracy датчиковой equipments has been made.
Criterion of correctness of a choice of algorithms is performance of requirements to parameters of reliability and the system effectiveness of emergency protection set in the technical project on the engine.
The decision on emergency deenergizing engines is accepted on any algorithm of the control. The choice of controllable parameters is made on the basis of the analysis of cause and effect schemes{plans} of development of refusals. Data first of all are put in a basis of schemes{plans} about defects and the malfunctions which are taken place during bench tests and operation of given type of the engine or its{his} prototype, and also results of the analysis of pneumo-hydroschemes{pneumo-hydroplans} of engines.
The technique of transformation of measured parameters in diagnostic has been created. Thus the requirement of sufficiency of change of diagnostic parameters in emergencies, from the point of view of an opportunity of measurement, is to the cores defining{determining} necessity and suitability both used computing operation, and the chosen parameter of the control.
The basic methodical positions by calculation of marginal levels of parameters of system of emergency protection of engines in view of which techniques of adjustment{option} of system of emergency protection of concrete liquid rocket engines are created are developed. At definition of marginal levels of parameters of system of emergency protection by the core the method of an estimation of statistical characteristics of distributions of parameters is.
The problem{task} of a choice of diagnostic parameters was solved by comparison of deviations{rejections} of parameters in an emergency with maximum permissible values of these parameters. Cases when the emergency signal is indiscernible on a background of handicapes masking it{him} have been revealed. For a concrete definition of computing operations of transformation of a signal from the gauge, with the purpose of increase in accuracy of an estimation of a useful signal up to demanded value, the analysis of errors is lead, kinds of indemnification are certain.
Additive errors are eliminated{erased; removed} by calculations of increments of parameters and parities{ratio} of parameters. The errors having oscillatory character, are compensated by averaging signals.
Presence in liquid rocket engines of several operating modes - start when parameters change with the big speed, and established{installed} mode when parameters are constant and should correspond{meet} settlement, - predetermines necessity for each of modes to have the structure of algorithms. The problem{task} of removal of one algorithms and inclusions in the control of others is solved by two ways: the rigid task of time of switching of algorithms and formation of logic of switching of algorithms, using differences in behaviour of parameters on these modes that has allowed to organize more thin structure of the control. For the first time alongside with the control of parameters of working processes the control of the parameters defining{determining} a technical condition of engines, - axial position of a rotor турбонасосного the unit is used. Such parameter has appeared the most sensitive to every possible defects турбонасосного the unit. Maximum permissible value of diagnostic parameter has been certain, proceeding from limiting elastic deformations of the basic bearing турбонасосного the unit.
In view of the above-stated algorithms of system of emergency protection of engines are developed. Specially the functional gauges having on two independent outputs{exits} that provides necessary reservation of control channels are developed for this system and enables to provide telemetering measurements. Gauges малоинерционны also possess raised{increased} mechanical reliability.
The high-speed complex of the equipment of system of emergency protection is created. The complex carries out gathering and preliminary processing of the information acting from gauges, results{brings} the signals corresponding{meeting} all controllable parameters, to suitable for the organization of the threshold control to a kind, forms commands{teams} of management on automatics of the engine at excess in controllable parameters of their limiting values; in other words, the complex is the basic logic part of system of emergency protection. The equipment of system of emergency protection provides the automatic prestarting control of all elements of system, makes also formation of the telemetering information necessary for the analysis of functioning of system of emergency protection.
Inclusion of channels of the control over work, and also choice of limiting values of all controllable parameters on separate sites of the control of work of the engine is carried out on a command{team} from a complex of independent management.
The complex of the equipment of system of emergency protection represents a hybrid operating computer in which it is applied as discrete, digital, and analog processing of the information that allows to combine high speed with greater{big} logic and computing opportunities. The complex of the equipment allows to set for a part of controllable parameters individual adjustment{option} for each engine.
At creation of system of emergency protection of engine RD-0120 the structure of controllable parameters, algorithms of the control have been chosen, requirements to gauges, the equipment, its{her} interaction with a control system are developed.
Algorithmically the system is constructed on following main principles:
- The account of parameters and characteristics of all stages of start, a mode and deenergizing of the engine, including предогневых processes;
- The task of sizes of marginal levels of parameters depending on an operating mode;
- Use as diagnostic attributes of absolute sizes and increments of parameters;
- An opportunity поднастройки marginal levels of parameters in view of features of a concrete copy of the engine.
Development and working off of system is lead to following stages.
At the first stage malfunctions and refusals before the developed engines have been generalized and on this base parameters of the control of the engine - pressure, temperature, vibration, a pulsation are chosen, algorithms of their transformation and logic processing which have formed a basis объектовой systems are formulated. On these algorithms bench hardware modules have been designed and developed. Various variants of gauges, their reliability, metrological characteristics were fulfilled. Already at this stage the system has shown high efficiency at numerous незапусках запальных devices, having provided safety of the engine. At destruction of units of submission protection, as a rule, did not provide safety of the engine, but allowed to switch off it{him} with the minimal destructions of the stand.
At the second stage the structurally functional analysis of a design of units of engine RD-0120 and results of their honing tests, generalized in the form of the list of emergencies and ways of an output{exit} from them has been lead. Results of working off of algorithms on the first stage on the bench equipment have been analysed and on the basis of this analysis changes in logic of functioning the systems directed on reduction of number of controllable parameters at corresponding{meeting} indemnification due to complication of algorithms and increase of their flexibility are certain. Thus not enough effective control of parameters of pressure has been excluded and the new version of algorithms of the control, including following parameters is developed: turns{turnovers} of the turbine, бустера fuel, temperature in газогенераторе, differences of pressure in a dividing cavity турбонасосного the unit and axial moving of a rotor. All this has allowed to raise{increase} a system effectiveness at its{her} simultaneous simplification. As to working off of system as a whole at this stage have been solved questions of a binding of the regular equipment to the stand.
At the third stage characteristics of system on the basis of объектовой equipments have been fulfilled. At this stage the technology of adjustment{option} of protection and system of monitoring of программно-methodical maintenance is developed and fulfilled, and also the set parameters of working capacity and efficiency of algorithms are confirmed.
As example of a high system effectiveness emergency deenergizing of the engine because of незапуска бустера fuel can serve at огневых bench tests of block TS which has enabled to avoid serious failure{accident} at the stand, to carry out repairs the engine and successfully to repeat test. For the period of operational development almost 90 failures{accidents} of engines have been prevented owing to use of system of protection that has given significant economy of time and means.
The system of emergency protection of engine RD-170 and its{her} bench analogue - system of deenergizing of the engine - during working off have played the important role as means of prevention of greater{big} destructions of the engine and the stand. Besides these systems have expanded opportunities of the analysis of the reasons of failures{accidents} at preservation of designs of engines. The structure of means of systems has included as traditional measurements of pressure, temperatures, turns{turnovers} and (on separate tests) pulsations, and new - axial and radial movings of a shaft and axial forces.
For maintenance of high reliability of functioning and reduction of probability of delivery of a false signal the control over the limited number of the parameters having integrated character, with reference to a technical condition of systems of the engine by means of the algorithms consisting tracking the moment of an output{exit} of parameter for maximum permissible values is used.
Turns{Turnovers} турбонасосного the unit are supervised on the top and bottom limits: in case of an output{exit} of parameters for limits the system gives out a command{team} on emergency deenergizing of the engine. The control over the top limiting value pursues the purpose of fixing of the condition connected with destruction of an equipment, on the bottom limit - a normal course of start of the engine and duly fixing of recession of a mode at refusal of any system.
The control of temperature of gas over the turbine is spent only on the top limiting value. The parameter is more sensitive to the situations connected with growth of temperature of environment{Wednesday}, leading ignition in an oxidizing path.
Use of alloys on the basis of nickel practically solves a problem of protection from ignition in liquid oxidizing pathes. However bearings турбонасосного the unit including oxygen, are made of steel. In these conditions excessive axial loadings on the persistent bearing can cause its{his} damages with the subsequent ignition and destruction of the unit. With the purpose of anticipation of failure{accident} the control of axial position is stipulated.
At separate stages a number{line} of other parameters of type of vibration and corners of turn of drives of adjusting{regulating} bodies was considered{examined}. Algorithms of the control both over a current level of parameters, and on size of their derivatives on time were developed{produced}. Variants of the adaptive control were considered{examined}.
Already at an initial stage of working off became obvious, that the problem{task} of maintenance of high efficiency of this watching{keeping up} system is difficult. Took place both false operations, and numerous cases when operation of system of deenergizing of the engine at the stand did not prevent destructions of the engine and damages of the stand. For first two years of tests at 72 start-up there were 34 refusals: the system has worked 32 times, from which 3 - false. From 29 deenergizings engines have been kept in 10 cases. Later estimation (already for the period of functioning at the stand of regular system of emergency protection with 1984 on 1989) has shown, that from 28 cases of operation of system only in 6 cases engines have been kept.
These estimations speak, basically, taken place at working off быстроразвивающимися (for 0,05-0,08) failures{accidents} at ignitions of the turbine, the pump of an oxidizer and other units. Refusals with ignitions have made nearby 70, and according to all tests of engines to 1990 - 32 %.
According to a system effectiveness of emergency protection of engine RD-170 at value of reliability of the engine 0,9989 parameter безаварийности is received 0,9992 at trust 0,9. The size of a gain 0,0003 - low but if to estimate{appreciate} this size from the point of view of occurrence of failure{accident}, its{her} probability decreases almost twice.
Existing control facilities, diagnosings and emergency protection do not allow to prevent all types arising during work of the engine of the emergencies, especially the first group. In particular, there are not captured heats of the turbine and a gas path on start, and also cracks arising during long work in a rotor of the turbine which are the basic source of emergencies.
Researches of application induction вихретокового a quality monitoring of occurrence of cracks in лопатках turbines of the working engine, and also a quality monitoring of signals of acoustic issue of the working engine for prevention of the specified types of emergencies are carried out.
The special urgency of these researches is connected with increase of a resource and recurrence of use of impellent installations.
There was an opportunity of use of the channel of the control ignition in oxidizing pathes in structure of bench and onboard system of protection. The control is carried out by electrostatic methods by means of indicators of ignition (at an early stage of their development). The difference of electric potential between two probes electro-isolated from the case entered into a stream is measured. At the most initial stage of ignition sharp increase of a signal is fixed.
System engineering of diagnostic check and protection on the basis of gauging density of a spectrum of frequencies was conducted at real work. This system enables, especially at repeated applications of the engine, to receive the information about разбалансе dynamic system of the engine.
By researches it is shown, that the way of increase of scope of possible{probable} emergencies system of emergency protection and diagnostics is the most important and rather economic. Achievement of factor of scope of value 0,9 and above predetermines confidence of development of multiimpellent space-rocket transport systems.

Original version of the text

И опять же надежность двигателей

По результатам анализа статистических данных аварийных пусков ракет с жидкостными двигателями установлено, что число отказов, приходящихся на двигательные установки, доходит до 41 % от общего количества аварий. Это естественно, понимая, что двигательная установка в ракетном техническом комплексе - это мощная энергетическая система, функционирование которой связано с реализацией сложных физических процессов. Это мощный огневой поток и высоконагруженные гидромеханические агрегаты.
Стремление достичь высокого уровня надежности двигателей диктуется необходимостью обеспечения должной степени безопасности системы в пилотируемом варианте и достижения минимального ущерба, связанного с потерями при возможных аварийных исходах пусков в беспилотном варианте.
Размер ущерба для таких систем, как ракета-носитель "Энергия", может быть ощутимо велик из-за большой стоимости ракеты и, в том числе, большой стоимости двигателей.
Особенностью двигательных установок тяжелых ракет-носителей из-за большой суммарной тяги маршевых двигателей, измеряемой несколькими тысячами тонн, является их многоблочность. Существует некоторое оптимальное количество двигателей в связке, которое определяется, с одной стороны, возможностью современной технологии создания высоконадежного двигателя большой размерности, а с другой - понижением надежности связки двигателей малой размерности с ростом их числа в составе пакета.
Известно, что применение в технической системе элементов более одного ведет к снижению общей надежности. Применяемые в ракетных системах связки однородных двигателей или их любые композиции, естественно, имеют надежность тем выше, чем меньше двигателей в связке, чем выше надежность единичного двигателя, чем больше степень резервирования и дублирования. Поэтому первоочередной задачей при создании носителей с многодвигательными установками является обеспечение высокой надежности. В настоящее время применительно к техническим проблемам эта задача решается, в частности, за счет широкого использования методов системного и регрессивного анализа, а также методов вероятностной механики разрушения машин на всех этапах создания подобных систем, то есть на этапах проектирования, конструкторской отработки, серийного производства и эксплуатации.
Процесс доведения двигателей РД-170 и РД-0120 на этапе проектирования, экспериментальной отработки до соответствующего уровня и его последовательного достижения организовывался по каждому двигателю соответствующими комплексными планами обеспечения надежности. При этом разработчики ракеты-носителя и двигателя исходили из поиска оптимального соотношения роста надежности и затрат на разработку и доводку.
Если при ориентации на достижение должного уровня надежности двигателя исходить из условия затрат средств на его создание, то подобный подход можно представить некоторым соотношением, выражающим зависимость - чем выше надежность двигателя, тем меньше ожидаемые потери из-за отказов двигателей в полете при эксплуатации ракетного комплекса. Однако увеличение надежности двигателя достигается за счет увеличения объема и времени его отработки, а следовательно, за счет увеличения стоимости этой отработки. Естественно, зависимость суммарных затрат имеет минимум и оптимальное значение надежности двигателя, определяемое из соотношения экономических ограничений и величины ожидаемых потерь при низкой надежности.
Для больших ракетных комплексов, из-за их высокой стоимости, это оптимальное значение получается таким, что для его достижения требуются нереальные затраты средств и времени отработки. Поэтому в техническом задании на двигатель принимается значение надежности двигателя с учетом реально допустимых финансовых и временных затрат на его достижение. При этом учитывается, что даже незначительное снижение надежности двигателя позволяет очень существенно сократить материальные затраты на его доводочные испытания.
Анализ затрат на создание такого сложного комплекса показал, что надежность и безопасность системы связаны экспоненциальной зависимостью с затратами, прогрессирующими в области высоких значений надежности. Пути обеспечения надежности были показаны выше и сводятся к введению в систему избыточности и резервирования, введению функциональных систем, снижающих возможный ущерб. Основу же составляет обеспечение высокого качества технологии всей цепочки элементов как базы надежности.
Минимум общей стоимости достигается не при максимальных значениях надежности системы, а при некотором уровне в районе значений надежности 0,995.
Следует обратить внимание, что довлеющее интуитивное стремление повышения надежности, особенно для пилотируемых комплексов, неизбежно. В этой связи разработчики попадают в область резкого повышения затрат даже при малой величине приращения надежности. Этим объясняется отличие этого интегрированного комплекса, объединяющего транспортную и пилотируемую системы, от комплексов раздельного типа. С этим связана высокая стоимость разработки наряду со сложностью системы. В то же время надежность ракет одноразового использования, например "Циклона", "Союза", "Протона", находится на достаточно высоком уровне и стоимость их разработки, в том числе и различных модификаций, ощутимо ниже. В результате сравнения этих затрат возникают неоднозначности суждений о преимуществе современных ракет-носителей новой разработки. Существует тенденция сохранения старых ракетных комплексов с проведением некоторой модернизации и усовершенствования.
Однако не следует сбрасывать со счетов, что все ракеты-носители ранних разработок, то есть шестидесятых годов, проектировались на базе боевых ракетных систем. Боевые баллистические ракеты создавались с расчетом на обеспечение определенных характеристик, связанных с концепцией дуэльной ситуации. В этой связи на принципы проектирования накладывалась своя специфика. Надежность, стоимость, эффективность выступали в своем упрощенном виде.
В настоящее время следует четко представлять, что мы находимся в новой эпохе разработок, где действует более основательный принцип создания систем, обеспечивающих транспортный поток Земля-космос-Земля. Критерии надежности, стоимости и эффективности теперь представляются в совокупности обеспечения безопасности полетов в новом, совершенном виде. За это приходится платить.
Поэтому, кроме прямых методов должной отработки двигателей и повышения качества изготовления, достигается необходимый уровень надежности при использовании средств и методов диагностики.
Системы наземной диагностики двигателей обеспечивают оценку их технического состояния, выбраковку или ремонт потенциально ненадежных экземпляров. Эффективность работы системы можно было бы проиллюстрировать следующим примером. При эксплуатации ракеты-носителя с восемью двигателями, имеющими вероятность безотказной работы 0,95, произошло бы 40 отказов, использование наземной технической диагностики с коэффициентом охвата возможных аварийных ситуаций порядка 0,9 позволяет выявить 9 дефектных двигателей из 10, что эквивалентно повышению надежности единичного двигателя на порядок.
Поэтому, если бы можно было разработать систему диагностики с эффективностью 0,99, то создание многодвигательных ракет-носителей стало бы вполне экономически выгодным даже при надежности единичных двигателей 0,995. Однако, как показывает опыт разработки подобных систем для воздушно-реактивных двигателей, конструкторы вынуждены ориентироваться на значения уровня эффективности подобных систем меньшие, чем 0,9.
Структура, состав, методы, применяемые в системе диагностики, для каждого двигателя по своей функции едины и различаются из-за специфики каждой конструкции.
Эти системы достаточно подробно показаны в разделах по двигателям РД-170 и РД-0120.
Особое значение в обеспечении достаточного уровня надежности связки двигателей имеет система включения резерва. В сущности на начало разработки ракеты "Энергия" достаточного опыта у создателей двигателей не было. Эта система с начала разработки получила наименование системы аварийной защиты.
Система аварийной защиты - это совокупность мероприятий, предусматриваемых в конструкции двигателя, и средств контроля, обеспечивающих живучесть двигателя, предупреждающих аварийно опасное развитие отказов двигателя. Под живучестью двигателя понимается его невосприимчивость к неисправностям и отказам отдельных элементов и агрегатов, либо изменение режима или отказ двигателя без аварийно-опасных последствий для смежных систем ракеты.
Выбран показатель, характеризующий живучесть двигателя с учетом системы аварийной защиты, - вероятность безотказной работы жидкостного ракетного двигателя. Разработана методика оценки этого показателя.
Надежность системы аварийной защиты должна быть не ниже надежности двигателя. При этом следует иметь в виду, что понятие достоверности обнаружения развивающихся отказов или, другими словами, ложного срабатывания системы входит в оценку качества системы под понятием "надежность системы".
Анализ отказов жидкостных ракетных двигателей показывает, что часть из них (до 50 % вызываемая скрытыми дефектами изготовления, усталостью, ползучестью и охрупчиванием материала, не обнаруживается существующими методами контроля на стадии их скрытого развития, а завершающая стадия подобного отказа, от момента, когда он появляется, и до разрушения двигателя, длится всего десятые и даже сотые доли секунды. Это обстоятельство не позволяет с помощью средств наземной диагностики надежно прогнозировать развитие подобных видов отказов и выбраковывать перед полетом потенциально опасные двигатели. Очевидно, что подобная задача может быть решена лишь с помощью систем контроля двигателей, работающих в реальном масштабе времени, - бортовых систем. Поэтому целесообразно использовать обе системы: систему для диагностики технического состояния двигателей и выбраковки потенциально ненадежных экземпляров по результатам анализа данных, полученных как при работе, так и при всех видах межполетных испытаний, и бортовую систему аварийной защиты для своевременного выключения двигателей, скрытые дефекты которых не были выявлены системой наземной диагностики. В этом случае даже при умеренной эффективности обеих систем (порядка 0,9) вероятность отказов двигателей при полетах может быть снижена на два порядка.
При разработке и использовании этих систем необходимо учитывать, что они не взаимозаменяемы и предъявляют различные требования к особенностям конструкции ракет-носителей. Наземная диагностика не предъявляет каких-либо специфических требований к конструкции носителей и обеспечивает существенное увеличение надежности двигательных установок без заметных потерь полезной нагрузки. Но, с другой стороны, наземная диагностика не гарантирует выявления почти половины возможных скрытых дефектов изготовления двигателей.
Бортовая система аварийной защиты, работающая в реальном масштабе времени, теоретически может парировать любые виды отказов двигателей, обеспечивая их своевременное выключение, без взрывов и внешних разрушений. В этом случае, при постоянно включенных резервные двигателях носителя, вероятность отказа двигательной установки-связки может (при заданной надежности единичных двигателей и прочих равных условиях) уменьшиться на один-два порядка, в зависимости от числа резервных двигателей.
В целях выполнения требований по обеспечению высокой надежности функционирования ракеты-носителя (до 0,99) и безопасности (до 0,995) при выведении орбитального корабля в составе ракеты-носителя предусмотрено горячее резервирование маршевых двигателей первой и второй ступеней. Существует область параметров, в которой надежность связки двигателей не ниже надежности единичного двигателя при наличии оптимального уровня резервирования и достаточно надежной системы включения резерва. Влияние степени резервирования имеет характер насыщения, которое после определенного значения практически не дает существенного увеличения. Степень резервирования, а следовательно, определенная избыточность по тяге, имеет конструктивно-компоновочные ограничения в реальной схеме ракеты. Не представляет больших конструктивных сложностей организация компоновки с резервированием в моноблочных схемах ракет-носителей, и достаточно многодельная компоновка получается в пакетной структуре. Дело в том, что пакетная структура требует обеспечения возможности перелива компонентов из блока в блок при возникновении ситуации с выключением аварийного или предаварийного двигателя и расходом оставшегося компонента в форсированном режиме через остальные двигатели.
При разработке конструктивная схема с закольцовкой баков первой ступени всех четырех блоков на ракете "Энергия" по результатам исследований не была принята из-за ряда проблем, связанных с динамикой системы в целом, большой подвижностью элементов конструкции, чрезмерной усложненностью пневмогидравлической схемы питания компонентами и, как следствие, падением надежности системы.
Использование резервных двигателей возможно только при условии своевременного выключения аварийных двигателей до внешнего разрушения.
Проблема своевременного определения аварийной ситуации состоит в том, что параметры рабочих процессов, как правило, не выходят за пределы, предусмотренные проектом на двигатель, а в некоторых случаях двигатель не реагирует на дефект вплоть до его физического отказа. Ситуация еще более осложнена дефицитом времени в связи с быстрым развитием аварийных процессов. Вот почему должна быть обеспечена высокая надежность работы системы, предупреждающей о возникновении аварийного процесса. Вероятность невыдачи ложного сигнала этой системы должна быть не ниже 0,9995 при доверительной вероятности 0,9.
Результаты статистического анализа показали, что при работающем двигателе все отказы разделяются на три группы по времени развития неисправности от момента, когда по параметрам рабочих процессов элементов двигателя можно определить наличие неисправности, до момента разрушения двигателя или других последствий, выводящих двигательную установку из работоспособного состояния.
К первой группе относятся отказы, для которых время развития неисправности, определяемое по параметрам рабочих процессов, меньше времени, необходимого для осуществления каких-либо защитных операций. Минимальное время проведения защитных операций оценивалось суммой времени на срабатывание аппаратуры и закрытие клапанов. К первой группе в основном относятся отказы турбонасосного агрегата ракетного двигателя. Доля этих отказов составляет порядка тридцати %. Алгоритмы, основанные на анализе рабочих процессов, непригодны для контроля таких отказов, так как они обнаруживаются в последней стадии своего развития. При этом происходит взрыв или быстрое горение элементов конструкции. Характерное время развития отказа после возгорания даже меньше, чем время закрытия пироклапанов. Поэтому для предотвращения аварийных последствий отказов такого типа оказалось необходимым создание алгоритмов, основанных на использовании информации о состоянии конструктивных элементов.
Ко второй группе относятся отказы, время развития которых, определяемое по параметрам рабочих процессов в элементах двигательной установки, составляет 0,04-0,05 с. К этой группе относятся, в основном, отказы, приводящие к срыву насоса окислителя двигателя, вызываемые наличием газовых включений на входе в насос. Отказы второй группы могут быть локализованы по алгоритмам, использующим информацию о параметрах рабочих процессов - давления, температуры. Однако и в этом случае требуется минимальное время для срабатывания следящей аппаратуры и закрытия клапанов.
К третьей группе относятся отказы, характерные времена которых составляют несколько десятков долей с и более. Эти отказы успешно локализуются при помощи алгоритмов, использующих информацию о параметрах рабочего процесса. Характерными отказами этой группы являются негерметичность полостей компонентов топлива и газа, которые могут привести к потере компонентов рабочих тел и к полному отказу.
Степень охвата аварийных ситуаций измеряется коэффициентом охвата, значение которого коррелированно с уровнем надежности системы защиты. В самом деле, чем больше регистрирующих каналов и регистрирующих элементов, тем сложнее алгоритмы ее функционирования, тем она эффективнее, имея в виду значение коэффициента охвата, но тем менее она надежна из-за сложной структуры, и наоборот.
Установить количественную связь между параметрами надежности и коэффициентом охвата аварийных ситуаций системы возможно только при должном накоплении статистических данных.
Система аварийной защиты, обладая свойствами предупреждения отказов и возникновения аварийной ситуации с широким диапазоном их охвата и высокой достоверностью, может решать более сложную задачу в полете, такую, как перевод подозреваемого двигателя на щадящий режим, а не только его выключение.
Такая система интересна тем, что в условиях жестких ограничений по тяговооруженности носителя, а также отсутствия перелива компонентов топлива в пакетной схеме, дает возможность расширить диапазон выходов из аварийных ситуаций. Перевод на щадящий режим возможен при определенных, предусмотренных в проекте, решениях даже на ракетах с однодвигательной маршевой установкой. Применима она также к пакетным схемам ракет с автономными блоками с некоторыми условиями, связанными с возможностью перевода "заболевших" двигателей на щадящий режим или исправных - на форсированный. Потеря тяги за счет дефектного двигателя в моноблочной структуре компенсируется форсированием других двигателей в пределах запасов по тяговооруженности. В пакетной схеме без перелива компонентов - аналогично, но только по необходимости, исходя из условий сохранения управляемости, с организацией дополнительного расхода топлива из баков двигателя, работающего на щадящем режиме, может быть даже в варианте простого слива.
Схема с щадящим режимом работы дефектного двигателя повышает надежность связки в меньшей мере, чем схемы с чистым резервированием, если их рассматривать раздельно, примерно вдвое. Естественно, реальное приложение этой схемы эффективно в комплексе с резервированием.
Увеличение ресурса двигательной установки за счет использования дефектного двигателя дает возможность при запроектированном резерве по тяге выполнить носителем целевую задачу. При ограничении по энерговооруженности и в однодвигательной схеме без запасов по тяге система расширяет возможности по организации условий спасения экипажа, а в беспилотных полетах - увода аварийной ракеты от стартового сооружения.
Однако реальный коэффициент охвата аварийных ситуаций, фиксируемых системой аварийной защитой, редко превышает 0,9.
Создание эффективной системы впервые в нашей стране осуществлялось при разработке двигательных установок ракеты "Энергия". При этом были выбраны диагностические параметры, при контроле которых обеспечивается своевременное выключение неисправного двигателя; созданы алгоритмы работы системы аварийной защиты, обеспечившие эффективные меры по локализации неисправностей, а также высокую вероятность отсутствия ошибочного выключения двигателей; создана датчиковая аппаратура системы аварийной защиты, обеспечивающая необходимое быстродействие и точность контроля и обладающая необходимой надежностью; создан комплекс аппаратуры системы аварийной защиты, обеспечивающий реализацию алгоритмов контроля диагностических параметров и связь с системой управления ракеты-носителя; разработаны методы резервирования элементов системы аварийной защиты - датчиков, аппаратуры, диагностических параметров в алгоритмах, обеспечивающих необходимые характеристики надежности системы аварийной защиты в целом; разработаны методики оценки эффективности системы аварийной защиты.
Решение основной задачи системы аварийной защиты - выключение аварийного двигателя до его внешнего разрушения - осуществляется на основе измерения параметров, характеризующих суть рабочих процессов, протекающих в двигателе, и его состояние.
Проведен анализ жидкостного ракетного двигателя как объекта системы аварийной защиты. Определены виды отказов, требующие своевременного прекращения работы двигателя. Оценена эффективность систем, выполняющих функции, аналогичные системе аварийной защиты, в двигателях предшествующих разработок. Определено время выключения системы аварийной защиты и точность работы аппаратуры. При решении этих задач были использованы материалы аварийных испытаний двигателей.
С учетом полученных данных была создана программа разработки алгоритмов, включающая в себя выбор измеряемых параметров, наиболее полно отражающих техническое состояние двигателей, выбор диагностических параметров, наиболее чувствительных к развивающимся аварийным ситуациям, определение временных интервалов контроля и предельно допустимых значений по каждому диагностическому параметру. Алгоритмы контроля разработаны с учетом ограничений на точность, быстродействие и надежность контролируемой аппаратуры. При этом был произведен выбор типа, количества и точности датчиковой аппаратуры.
Критерием правильности выбора алгоритмов является выполнение требований к показателям надежности и эффективности системы аварийной защиты, заданных в техническом задании на двигатель.
Решение об аварийном выключении двигателей принимается по любому алгоритму контроля. Выбор контролируемых параметров произведен на основе анализа причинно-следственных схем развития отказов. В основу схем в первую очередь положены данные о дефектах и неисправностях, имевших место в процессе стендовых испытаний и эксплуатации данного типа двигателя или его прототипа, а также результаты анализа пневмо-гидросхем двигателей.
Была создана методика преобразования измеряемых параметров в диагностические. При этом требование достаточности изменения диагностических параметров в аварийных ситуациях, с точки зрения возможности измерения, является основным, определяющим необходимость и пригодность как используемой вычислительной операции, так и выбранного параметра контроля.
Разработаны основные методические положения по расчету предельных уровней параметров системы аварийной защиты двигателей, с учетом которых созданы методики настройки системы аварийной защиты конкретных жидкостных ракетных двигателей. При определении предельных уровней параметров системы аварийной защиты основным является метод оценки статистических характеристик распределений параметров.
Задача выбора диагностических параметров решалась путем сопоставления отклонений параметров в аварийной ситуации с предельно допустимыми значениями этих параметров. Были выявлены случаи, когда аварийный сигнал неразличим на фоне маскирующих его помех. Для конкретизации вычислительных операций преобразования сигнала с датчика, с целью увеличения точности оценки полезного сигнала до требуемого значения, проведен анализ погрешностей, определены виды компенсации.
Аддитивные погрешности устраняются путем вычислений приращений параметров и соотношений параметров. Погрешности, имеющие колебательный характер, компенсируются путем усреднения сигналов.
Наличие в жидкостных ракетных двигателях нескольких режимов работы - запуска, когда параметры изменяются с большой скоростью, и установившегося режима, когда параметры постоянны и должны соответствовать расчетным, - предопределяет необходимость для каждого из режимов иметь свой состав алгоритмов. Задача снятия одних алгоритмов и включения в контроль других решена двумя способами: жестким заданием времени переключения алгоритмов и формированием логики переключения алгоритмов, используя отличия в поведении параметров на этих режимах, что позволило организовать более тонкую структуру контроля. Впервые наряду с контролем параметров рабочих процессов использован контроль параметров, определяющих техническое состояние двигателей, - осевого положения ротора турбонасосного агрегата. Такой параметр оказался наиболее чувствительным к всевозможным дефектам турбонасосного агрегата. Предельно допустимое значение диагностического параметра было определено, исходя из предельных упругих деформаций опорного подшипника турбонасосного агрегата.
С учетом вышеизложенного разработаны алгоритмы системы аварийной защиты двигателей. Специально для этой системы разработаны функциональные датчики, имеющие по два независимых выхода, что обеспечивает необходимое резервирование контрольных каналов и дает возможность обеспечивать телеметрические измерения. Датчики малоинерционны и обладают повышенной механической надежностью.
Создан быстродействующий комплекс аппаратуры системы аварийной защиты. Комплекс осуществляет сбор и предварительную обработку информации, поступающей с датчиков, приводит сигналы, соответствующие всем контролируемым параметрам, к пригодному для организации порогового контроля виду, формирует команды управления на автоматику двигателя при превышении контролируемыми параметрами их предельных значений; другими словами, комплекс является основным логическим звеном системы аварийной защиты. Аппаратура системы аварийной защиты обеспечивает автоматический предпусковой контроль всех элементов системы, производит также формирование телеметрической информации, необходимой для анализа функционирования системы аварийной защиты.
Включение каналов контроля в работу, а также выбор предельных значений всех контролируемых параметров на отдельных участках контроля работы двигателя осуществляется по команде от комплекса автономного управления.
Комплекс аппаратуры системы аварийной защиты представляет собой гибридное управляющее вычислительное устройство, в котором применена как дискретная, цифровая, так и аналоговая обработка информации, что позволяет сочетать высокое быстродействие с большими логическими и вычислительными возможностями. Комплекс аппаратуры позволяет для части контролируемых параметров задавать индивидуальную настройку для каждого двигателя.
При создании системы аварийной защиты двигателя РД-0120 был выбран состав контролируемых параметров, алгоритмы контроля, разработаны требования к датчикам, аппаратуре, ее взаимодействию с системой управления.
Алгоритмически система построена по следующим основным принципам:
- учет параметров и характеристик всех этапов запуска, режима и выключения двигателя, в том числе предогневых процессов;
- задание величин предельных уровней параметров в зависимости от режима работы;
- использование в качестве диагностических признаков абсолютных величин и приращений параметров;
- возможность поднастройки предельных уровней параметров с учетом особенностей конкретного экземпляра двигателя.
Разработка и отработка системы проведена в следующие этапы.
На первом этапе были обобщены неисправности и отказы ранее разработанных двигателей и на этой базе выбраны параметры контроля двигателя - давление, температура, вибрация, пульсация, сформулированы алгоритмы их преобразования и логической обработки, которые послужили основой объектовой системы. По этим алгоритмам были спроектированы и разработаны стендовые аппаратурные модули. Отрабатывались различные варианты датчиков, их надежность, метрологические характеристики. Уже на этом этапе система показала высокую эффективность при многочисленных незапусках запальных устройств, обеспечив сохранность двигателя. При разрушении агрегатов подачи защита, как правило, не обеспечивала сохранности двигателя, но позволяла выключить его с минимальными разрушениями стенда.
На втором этапе был проведен структурно-функциональный анализ конструкции агрегатов двигателя РД-0120 и результатов их доводочных испытаний, обобщенный в виде перечня аварийных ситуаций и способов выхода из них. Были проанализированы результаты отработки алгоритмов по первому этапу на стендовой аппаратуре и на основании этого анализа определены изменения в логике функционирования системы, направленные на сокращение числа контролируемых параметров при соответствующей компенсации за счет усложнения алгоритмов и увеличения их гибкости. При этом был исключен недостаточно эффективный контроль параметров давления и разработана новая версия алгоритмов контроля, включающая следующие параметры: обороты турбины, бустера горючего, температура в газогенераторе, перепады давлений в разделительной полости турбонасосного агрегата и осевое перемещение ротора. Все это позволило повысить эффективность системы при одновременном ее упрощении. Что касается отработки системы в целом, то на этом этапе были решены вопросы привязки штатной аппаратуры к стенду.
На третьем этапе были отработаны характеристики системы на базе объектовой аппаратуры. На этом этапе разработана и отработана технология настройки защиты и системы мониторинга программно-методического обеспечения, а также подтверждены заданные показатели работоспособности и эффективности алгоритмов.
Примером высокой эффективности системы может служить аварийное выключение двигателя из-за незапуска бустера горючего при огневых стендовых испытаниях блока Ц, которое дало возможность избежать серьезной аварии на стенде, провести ремонт двигателя и успешно повторить испытание. За период доводки почти 90 аварий двигателей было предотвращено благодаря использованию системы защиты, что дало значительную экономию времени и средств.
Система аварийной защиты двигателя РД-170 и ее стендовый аналог - система выключения двигателя - в ходе отработки сыграли важную роль как средства предотвращения больших разрушений самого двигателя и стенда. Кроме того, эти системы расширили возможности анализа причин аварий при сохранении конструкций двигателей. Состав средств систем включил как традиционные измерения давлений, температур, оборотов и (на отдельных испытаниях) пульсации, так и новые - осевых и радиальных перемещений вала и осевых сил.
Для обеспечения высокой надежности функционирования и уменьшения вероятности выдачи ложного сигнала используется контроль по ограниченному числу параметров, имеющих интегральный характер, применительно к техническому состоянию систем двигателя с помощью алгоритмов, заключающихся в слежении за моментом выхода параметра за предельно допустимые значения.
Обороты турбонасосного агрегата контролируются по верхнему и нижнему пределам: в случае выхода параметров за пределы система выдает команду на аварийное выключение двигателя. Контроль по верхнему предельному значению преследует цель фиксации состояния, связанного с разрушением материальной части, по нижнему пределу - нормального хода запуска двигателя и своевременной фиксации спада режима при отказе какой-либо системы.
Контроль температуры газа за турбиной проводится только по верхнему предельному значению. Параметр более чувствителен к ситуациям, связанным с ростом температуры среды, приводящему к возгоранию в окислительном тракте.
Использование сплавов на основе никеля практически решает проблему защиты от возгорании в жидкостных окислительных трактах. Однако подшипники турбонасосного агрегата, в том числе и кислородного, изготавливаются из стали. В этих условиях чрезмерные осевые нагрузки на упорный подшипник могут вызвать его повреждения с последующим возгоранием и разрушением агрегата. С целью упреждения аварии предусмотрен контроль осевого положения.
На отдельных этапах рассматривался ряд других параметров типа вибрации и углов поворота приводов регулирующих органов. Вырабатывались алгоритмы контроля как по текущему уровню параметров, так и по величине их производных по времени. Рассматривались варианты адаптивного контроля.
Уже на начальной стадии отработки стало очевидным, что задача обеспечения высокой эффективности этой следящей системы является трудной. Имели место как ложные срабатывания, так и многочисленные случаи, когда срабатывание системы выключения двигателя на стенде не предотвращало разрушений двигателя и повреждений стенда. За первые два года испытаний при 72 пусках было 34 отказа: система сработала 32 раза, из которых 3 - ложных. Из 29 выключений двигатели были сохранены в 10 случаях. Более поздняя оценка (уже за период функционирования на стенде штатной системы аварийной защиты с 1984 по 1989 г.) показала, что из 28 случаев срабатывания системы только в 6 случаях двигатели были сохранены.
Эти оценки объясняются, в основном, имевшими место при отработке быстроразвивающимися (за 0,05-0,08 с) авариями при возгораниях турбины, насоса окислителя и других агрегатов. Отказы с возгораниями составили около 70, а по статистике всех испытаний двигателей к 1990 г. - 32 %.
По оценке эффективности системы аварийной защиты двигателя РД-170 при значении надежности двигателя 0,9989 показатель безаварийности получен 0,9992 при доверии 0,9. Величина прироста 0,0003 - невысокая, но если оценивать эту величину с точки зрения возникновения аварии, ее вероятность снижается почти в четыре раза.
Существующие средства управления, диагностирования и аварийной защиты не позволяют предотвращать все типы возникающих в процессе работы двигателя аварийных ситуаций, особенно первой группы. В частности, остаются не охваченными разгары турбины и газового тракта на запуске, а также возникающие во время длительной работы трещины в роторе турбины, которые являются основным источником аварийных ситуаций.
Проводятся исследования применения индукционного вихретокового метода контроля возникновения трещин в лопатках турбины работающего двигателя, а также метода контроля сигналов акустической эмиссии работающего двигателя для предотвращения указанных типов аварийных ситуаций.
Особая актуальность этих исследований связана с повышением ресурса и многократности использования двигательных установок.
Появилась возможность использования канала контроля возгорании в окислительных трактах в составе стендовой и бортовой системы защиты. Контроль осуществляется электростатическими методами с помощью индикаторов возгорания (на ранней стадии их развития). Измеряется разность электрического потенциала между двумя электро-изолированными от корпуса зондами, введенными в поток. На самой начальной стадии возгорания фиксируется резкое возрастание сигнала.
Велась разработка системы диагностического контроля и защиты на основе замера плотности спектра частот при реальной работе. Эта система дает возможность, особенно при многократных применениях двигателя, получить информацию о разбалансе динамической системы двигателя.
Исследованиями показано, что путь повышения охвата возможных аварийных ситуаций системой аварийной защиты и диагностики является наиболее важным и относительно экономичным. Достижение коэффициента охвата значения 0,9 и выше предопределяет уверенность в разработке многодвигательных ракетно-космических транспортных систем.