这一篇文章继续事故调查，介绍史上代价最大的涉氢事故。

图片：发射中的挑战者号航天飞机（来源：Getty）

航天飞机

航天飞机(Space Shuttle)是美国航天航天局(NASA)资助开发的可复用近地轨道载人航天器。

航天飞机项目起始于1969年的可复用航天器计划，官方名称是太空穿梭系统(Space Transportation System/STS)。除了1976年建成的用于测试的企业号，初期共建造了4架可以执行轨道飞行任务的全功能航天飞机，分别是哥伦比亚号，挑战者号，发现号和亚特兰提斯号。航天飞机于1981年开始服役，其中前四次为测试飞行，1982年开始执行正式飞行任务。1986年挑战者号在发射时发生爆炸事故，造成7名航天员丧生。1991年建造了第五架航天飞机奋进号以替代挑战者号。2003年哥伦比亚号在返回时发生事故，再次导致7名宇航员丧生。2011年7月21日，亚特兰提斯号完成最后一次飞行任务，航天飞机全部退役。

三十年时间五架航天飞机总计执行135次任务，总计飞行1323天。

—–

企业号：Enterprise

哥伦比亚号: Columbia

挑战者号：Challenger

发现号：Discovery

亚特兰提斯号：Atlantis

奋进号：Endeavour

——

整个航天飞机系统包括一对火箭推进器（Solid Rocket Booster/SRB），存储燃料（液氢）和氧化剂（液氧）的外置储罐（External Tank/ET），配有三个主发动机和两个OMS发动机(Orbital Maneuvering System)的航天飞机本体。航天飞机像普通火箭一样垂直发射，发射时两个火箭推进器和三个主发动机一起工作，燃料和氧化剂由外置储罐提供。在接近轨道时火箭推进器分离，主发动机继续工作。在进入轨道前，主发动机关闭，外置燃料储罐分离，由OMS发动机将航天飞机送入轨道。航天飞机在返回时重新启动OMS发动机，将航天飞机推离轨道。在进入大气层后由于航天飞机高速飞行时与大气摩擦会产生高温，需要由覆蓋外壳的隔热瓦保护。最终航天飞机像普通飞机一样通过跑道滑行着陆。

图片：挑战者号结构示意（来源：时代周刊）

所有的发射任务都是在佛罗里达的肯尼迪航天中心（KSC）执行。着陆在肯尼迪航天中心或加州的爱德华空军基地（EDW）。如果着陆在EDW，航天飞机将由一架经过改装的波音747运回KSC。

图片：波音747运载航天飞机飞行（来源:NASA）

挑战者号事故

1986年1月28日，挑战者号航天飞机在起飞73秒后爆炸解体， 7名航天员全部遇难。本次发射是挑战者号的第10次发射，也是航天飞机历史上的第25次发射。

挑战者号这次飞行任务的代号是STS-51-L，原计划是在1985年7月发射，因为总总原因延迟到了11月，并最终延迟到了1986年1月。1月的发射原定于1月22日，但是推迟到了1月28日。而正是发射计划的不断推迟为事故的发生埋下了伏笔。

图片: 正在运往发射台的挑战者号（来源：Wiki）

根据天气预报，1月28日发射中心的气温将会创造航天飞机发射史上的低温纪录。据预测，27日夜间的温度将低至-8°C，28日上午发射时段（计划9:30左右）的温度也仅有-3°C。

在发射的前一天，火箭推进器的制造商之一赛奥科（Thiokol）发出警告。基于之前在更加温暖环境下的发射中发现的O形密封圈的受侵蚀情况，赛奥科的工程师担心创记录的低温会影响O圈的密封性能。为此在1月27日晚间召开了电话会议讨论发射的安全问题。在会议中赛奥科的工程师表达了低温可能影响O圈的弹性，进而失去密封性能的担心，并且强调他们并没有足够的数据确定O圈在气温低于12°C时是否还具有有效的密封性能，因此建议推迟发射，直到气温高于12°C。

随后会议暂停，赛奥科的管理层进行私下讨论。会议重新开始后，赛奥科管理层改变了观点，认为O圈可能失效的观点证据不足，并且即使在O圈失效的情况下仍有足够的安全裕量，因此做出了推荐发射的决定，会议终止。（嗅觉灵敏的读者应该可以闻到浓浓的阴谋气息了。）

最终的发射决定由NASA做出，但是在NASA内部做出发射决定的最终讨论中并没有提到O圈的问题。

1986年1月28日11:38分，挑战者号发射升空，73秒后，挑战者号在距地14000米的空中爆炸解体。

图片：挑战者号在空中爆炸（来源：网络）

爆炸发生后载人座舱并未解体，由于上升惯性和爆炸冲击波的助推，继续上升至20000米高空后才开始自由坠落。有迹象表明在爆炸发生后至少有三名航天员仍存活并有意识（呼吸器被打开）。但是挑战者号并没有配备弹射逃生装置。没有奇迹，执行此次任务的7名宇航员无一幸存。

注：航天飞机在设计阶段曾有考虑配置弹射逃生装置，但是由于设计上过于复杂，过高的成本，以及额外增加的重量，最终没有实施。在这次事故后航天飞机增加了弹射逃生装置，但是也只能在返回时的滑行阶段使用，对于发射阶段的爆炸事故无能为力。

图片：挑战者号事故的遇难航天员（来源：Wiki）

事故分析

虽然挑战者号爆炸后碎片分散坠入大西洋，宇航员座舱和其他碎片的搜寻和打捞持续了三个月，正式的事故调查经历了更长时间，但从现场视频的分析和发射前收到的警告，事故原因和事故发生的过程并不难推测。

这一事故的直接原因就是O圈失效，O圈失效导致火箭推进器内部的高温高压燃烧气体外泄。外泄的高温喷射气流烧穿了外置储罐，外置储罐内的液氢泄漏后发生爆炸。

图片：发射时在SRB外壳连接处冒出的烟雾（来源：Wiki）

图片：发射后58.788秒SRB外壳出现的羽流（来源：Wiki）

火箭推进器是分成四个部分在赛奥科位于犹他州的工厂完成生产，然后分别运往KSC发射基地完成组装。各部分之间的外壳需要通过特殊的结构装配夹紧，并通过O圈密封。由于在发射过程中需要承受巨大的压力，装配要求非常高，夹紧结构必须完美配合，装配后密封圈受到的挤压必须适中，且要防止连接处出现扭转，才能保持足够的弹性，在发射过程中防止火箭推进器内部高温高压的燃烧气体泄漏。

事实上，NASA和赛奥科管理层早已悉知O圈的隐患。早在七十年代初火箭推进器的设计阶段即已发现配合件之间公差过大，密封圈在装配之后受到过度挤压。在1977年的模拟发射测试中发现连接处发生了微小旋转（1.3毫米），致使密封性的降低，进而导致燃烧气体侵蚀密封圈。

最初O圈在火箭推进器关键部件清单中被定义为关键1R级，表明O圈故障可能导致机毁人亡的灾难事故，必须配备两级O圈以提供冗余保护（R代表冗余保护）。

在1982年更新的关键部件清单中O圈被定义为关键1级，R被移除，原因是分析和实验表明如果接合处发生旋转，可能导致两个O圈同时失效，因此双O圈结构并不能提供有效的冗余保护。（在安全上这种情况叫做共因失效， Common Cause Failure)

图片：正确安装的连接结构（来源：众院调查报告）

图片：实际安装中产生的间隙（来源：众院调查报告）

此外，不像外置储罐在与航天飞机分离后即在大气层中自由坠落的过程中解体不同，火箭推进器会通过降落伞完整坠入大西洋，随后会被打捞并运回制造商工厂，部分完好的部件经过维修和测试会重新投入使用。通过对之前航天飞机发射后打捞回的火箭推进器的检查，赛奥科的工程师早已发现O圈在实际发射过程中的侵蚀问题。

在1985年1月的发射中，已经发现两级O圈均发生侵蚀，赛奥科的工程师判断是低温导致O圈弹性下降，高温火焰透过第一级主密封圈，对第二级密封圈也产生了侵蚀，所幸并未出现灾难性事故。当时的气温是17°C，密封圈温度受液氢低温的影响只有12°C。

NASA和赛奥科的工程师根据以上O圈的安全隐患（低温导致弹性下降以及装配公差过大造成火箭连接处在发射过程中发生微小扭转，导致两级O圈同时失效）提议对火箭连接处的结构进行重新设计。这一提议事实上已经被采纳，NASA在1985年7月向赛奥科订购了采用新结构的火箭推进器外壳。但是NASA和赛奥科管理层均认为目前的设计有足够的安全裕量，采用原结构的外壳可以继续使用，直到新结构完成设计，通过测试验证。

诚然，挑战者号发射事故有一定偶然性，即使O圈的弹性因为低温下降，高温气体也未必能完全穿透密封，如前几次发射在连接处间隙间形成的氧化铝也能起到一定的密封效果，即使穿透密封，也未必会出现灾难性的后果，只要能再支撑30秒不发生爆炸，就能实现火箭的分离，但是据分析航天飞机可能在关键时刻在高空遭遇了风切变。

但是，没有那么多如果。

注：任何事故的发生都有一定的偶然性，所以对于这个专栏后面计划介绍的功能安全，决定系统安全等级的是风险（Risk），而不是危险（Hazard）。风险是事故发生所造成的潜在后果与事故发生可能性的综合考虑。

事故调查

事故发生当晚，原定发表国情咨文演讲的里根总统推迟了演讲，并在白宫向国民通告这一事故。2月6日成立了调查委员会，以负责人罗杰斯命名。1986年6月9日，罗杰斯委员会发布了著名的罗杰斯调查报告，报告确定了灾难发生的原因，并责令NASA提高航天飞机的安全性和改进其组织架构。

罗杰斯调查报告强烈谴责了发射的决定流程，认为决定流程有严重缺陷。

这次调查引起了很大的争议，因为这次事故本可以避免，O圈的安全隐患早已被发现，并且事故发生前NASA已经收到了警报，却最终做出了灾难性的按时发射决定。而调查的方向却倾向于技术方面，而忽视了NASA的官僚体制和风险管理问题。

图片：Rogers委员会报告

这里特别要提一下理论物理学家理查德.费曼（Richard Feynman）在这次调查中发挥的作用。费曼是1965年诺贝尔物理学奖获得者，MIT的物理学教授，曾参与研制原子弹的曼哈顿计划，据说是生活大爆炸（TBBT）中Sheldon 的原型，但是在TBBT中却被调侃为理论物理学的叛徒，传说智商只有120但是只有智商不到85的人才会相信这个传说。他的畅销自传“别逗了，费曼先生”（Surely, You’re joking, Mr. Feynman）展示了一位自小特立独行，生活放荡不羁的天才的成长历程。

图片：别逗了，费曼先生

费曼貌似浅显的物理学讲义，以及后人根据费曼的学习技巧发展出来的费曼学习法，鼓励了一代代的中二少年，不止是学习技巧，更是一种信念，让求知者相信即使资质平庸的人也可能有所成就。

图片：费曼技巧（来源：网络）

不知道组织者脑袋进了多少水，当时正被癌症折磨的费曼受邀加入了调查委员会。事实证明负责调查的机构的官僚程度并不比NASA差多少，邀请著名搅屎棍费曼的决定的灾难性也不比NASA做出挑战者号发射的决定差多少，至少对于他们自己而言。费曼先生加入委员会后很快获知了发射前夜工程师发出警告并被NASA和赛奥科管理忽视的事情，并立刻发挥其搅屎棍的特长将公众的注意力引导至NASA的官僚体系。

在1986年2月11日的电视听证会上，费曼做了一个简单的冰水试验，向观众演示橡胶弹性在低温下下降的特性。让普通观众明白理解密封圈这一潜在缺陷并不需要高深的物理知识，在NASA和赛奥科管理层收到这一警报后仍坚持按计划发射的决定是多么的冒险和失职。

引用罗杰斯对费曼的著名评价“Feynman is becoming a real pain”就可以知道调查当局对于费曼的愤怒和无奈。

图片：理查德.费曼（来源：网络）

在起草最终报告时，费曼与罗杰斯争锋相对，要求更加严厉的谴责NASA，否则他将把他的名字从报告中撤出。最终调查委员会同意在报告中专门增加一个附录(附录F)刊载费曼自己的评论。

由于罗杰斯报告引发的广泛争议，联邦众议院的科学与技术委员会独立发起了事故调查，并于1986年10月29日发布了一份调查报告。新的调查委员会审核了罗杰斯报告的发现和结论，并重新展开调查。最终的调查报告同意罗杰斯报告的结论，即关于事故发生的直接技术原因是由于火箭推进器连接处密封失效，组织原因是NASA及赛奥科忽略了关于密封失效可能导致事故的大量警告。调查委员会建议重新审核所有关键系统的风险管理。

图片：众议院挑战者号事故调查报告

挑战者事故发生后，航天飞机停飞了两年八个月，经过调查，改进设计，和太空穿梭系统（STS）项目的重组，直到1988年9月29日，发现号航天飞机再次升空。

整改措施

火箭助推器重新设计

为了响应先后两个调查委员会的建议，制造商在一个独立的督导小组的监督下重新设计了火箭推进器SRB，并重新命名为RSRM（Redesigned Solid Rocket Motor）。新设计增加了加热器以在气温过低时维持密封圈的温度，并且重新设计了火箭连接处的结构，在类似失效发生时降低火箭连接处发生旋转的可能性。经过一系列的测试，最终获得NASA的安全认证。

航天飞机设计变更

除了SRB的重新设计， NASA提高了航天飞机其他关键部件的安全标准，更新了关键零部件清单及失效模式分析，并对航天飞机进行了一系列的硬件和软件更改。

NASA组织架构调整

为了应对公众及调查委员会对其官僚管理体系的质疑，NASA对其组织架构进行了调整，成立了一个负责安全，可靠性和质量保证的办公室，由一位直接向NASA总裁汇报的副总裁领导。

不过在2003年哥伦比亚号航天飞机事故后， NASA的官僚体系再次被质疑，其安全办公室被认为不能独立对NASA安全活动进行有效的监督，不能阻止灾难事故的再次发生。

—–

参考资料：

Wiki

挑战者号事故调查报告

———

这一阶段计划的两个事故调查文章都已经完成，再开始新一阶段前，下篇文章会再次做一个小结。

———

同系列的其他事故调查文章：