SpaceX: è stato un errore di progettazione la causa del fallimento di CRS-7

Lo scorso 12 marzo NASA ha finalmente pubblicato il sunto del rapporto sull’indagine relativa all’esplosione in volo del Falcon 9 della missione CRS-7, avvenuta il 28 giugno 2015. Una precisa disposizione del Senato USA nei confronti della FAA ha indirettamente imposto a NASA il rilascio di un dettagliato riassunto di quanto scoperto dalla commissione d’inchiesta indipendente, consentendo al pubblico di approfondire gli aspetti tecnici di quanto accaduto ormai quasi tre anni fa.

La sequenza degli eventi

Il 28 giugno 2015 alle 16:21 CEST SpaceX lanciava la missione di rifornimento alla ISS CRS-7 dal complesso di lancio 40 della Cape Canaveral Air Force Station (CCAFS), utilizzando un Falcon 9 versione 1.1 e una capsula Dragon carica con 1952 kg di carico utile ed esperimenti. A T+139 secondi il vettore ha subito un evento anomalo che ha coinvolto il serbatoio dell’ossigeno liquido del secondo stadio, risultante nella perdita della missione. Il primo stadio del Falcon 9 ha funzionato correttamente. La capsula Dragon non è stata in alcun modo coinvolta tra le cause di quanto accaduto, e anzi è sopravvissuta alla distruzione del secondo stadio mantenendo i contatti radio con il centro di controllo fino a quando non è scomparsa dietro l’orizzonte, candendo in mare. Ecco il video dell’accaduto.

In questa tabella sono riportati i tempi dei principali eventi

Immediatamente dopo l’incidente SpaceX ha formato un team investigativo, l’Accident Investigation Team (AIT), obbedendo alla procedura che era stata a suo tempo vagliata e approvata dalla FAA, e considerata conforme agli standard NASA. Visto però che l’AIT era, di fatto, una commissione interna allo stesso ambiente in cui il problema si era verificato, NASA decise di dar vita ad una seconda commissione di inchiesta, totalmente indipendente da SpaceX e chiamata IRT (Independent Review Team), cui venne affidato il compito valutare in modo autonomo gli eventi che causarono il fallimento di CRS-7, e che le azioni correttive risultanti fossero applicate correttamente.

Inoltre, dal momento che la stessa configurazione del lanciatore stava per essere impiegata per la missione NASA Jason-3, l’agenzia spaziale avrebbe avuto diritto all’ultima parola rispetto sia alle conclusioni raggiunte su tutti gli aspetti dell’inchiesta, incluse l’identificazione della causa primaria, sia sulla determinazione delle azioni correttive.

Il lavoro dell’IRT

Ricostruire la catena degli eventi si dimostrò da subito un compito veramente difficoltoso: la telemetria ricevuta nei momenti immediatamente precedenti l’esplosione non mostrava alcun segno di degradazione o tendenza non nominale, e gli eventi si verificarono in un lasso di tempo assai ristretto pari a circa 800-900 millisecondi. In altre parole il Falcon passò da un volo perfettamente nominale ad una deflagrazione distruttiva in un batter di ciglio. Per comprendere quanto successo l’IRT diede inizio ad un’analisi dei dati con la precisione di un millisecondo, passando in rivista senza particolari rilievi tutti i principali blocchi del fault tree (primo stadio, sistemi propulsivi, avionica, sistema elettrico, capsula Dragon ecc.) con l’ovvia eccezione del secondo stadio.
Grazie all’analisi della telemetria e allo studio delle riprese video e fotografiche del lancio, l’IRT ha potuto determinare con certezza che la causa diretta della distruzione del Falcon 9 fu la rottura del serbatoio di ossigeno liquido (LOx) del secondo stadio. In quanto alla causa di tale rottura, l’IRT valutò attentamente la conclusione dell’altra commissione, l’AIT, che dal lato suo giustificò l’evento con il distacco dai suoi supporti strutturali del serbatoio in compositi per l’elio liquido, immerso dentro al serbatoio di ossigeno liquido, che era poi andato a colpire il fondo dello stesso causandone il cedimento.

Alcuni dei test svolti dalla commissione di inchiesta per acclarare i fatti – (C) NASA

Oltre alla revisione delle determinazioni dell’AIT, l’IRT decise anche di indagare altri possibili scenari di fallimento potenzialmente compatibili con alcune delle letture della telemetria. Il primo caso ha valutato il ruolo di una possibile perdita nel sistema tubazioni che collega il serbatoio del LOx al motore Merlin del secondo stadio (che passa attraverso il serbatoio dell’RP-1 – cherosene altamente raffinato ad uso spaziale). In questo scenario dell’RP-1, che è a temperatura relativamente molto più alta dell’ossigeno liquido, avrebbe potuto penetrare nel raccordo ad anello tra il serbatoio e il tubo del LOX, causandone il surriscaldamento e l’espansione in una sorta di “geyser” distruttivo. Un’accurata analisi termica portò alla rapida dismissione di questo primo caso, in quanto venne determinato che l’energia termica trasmessa dall’RP-1 al LOx non sarebbe stata sufficiente per causare quanto osservato. Il secondo caso invece, più difficile da escludere, vedeva in sostanza il meccanismo opposto, cioè una perdita di LOx nella zona di congiunzione tra il serbatoio e la tubazione. In questo caso l’energia termica trasferita avrebbe potuto essere sufficiente ad innescare la gassificazione violenta del LOx. Dopo due settimane di lavori, che inclusero la costruzione e il di modelli dell’hardware interessato presso il Marshall Spaceflight Center, la commissione IRT determinò che sì, nel contesto del secondo scenario vi era in effetti un aumento della quantità di energia termica dissipata, ma non sufficiente alla formazione di un geyser di LOx esplosivo nel giro di 800-900 millisecondi come osservato sul Falcon.

Le conclusioni dell’IRT furono, quindi:

• che fosse verosimile che la causa intermedia della rottura del serbatoio del LOx del secondo stadio del Falcon 9 sia stato il distacco del serbatoio in COPV dell’elio in esso contenuto.
• che fosse verosimile che la causa iniziale sia stata la rottura del supporto assiale strutturale del serbatoio in COPV dell’elio, che a sua volta causò la rottura delle tubazioni dell’elio gassoso all’interno del serbatoio del LOx.
• che fosse verosimile che il serbatoio in COPV dell’elio si sia distaccato a causa del cedimento di uno dei supporti ad anello in acciaio (cosiddetto “rod end“) e, libero dai suoi supporti strutturali, sia andato a colpire con forza la calotta inferiore del serbatoio del LOx causandone la rottura.
• che il lavoro svolto dall’AIT fosse compatibile con le indagini indipendenti e parallele dell’IRT per quanto riguarda l’individuazione delle cause dirette e immediate del fallimento. I due rapporti però divergevano per quanto riguardava la causa iniziale: mentre l’AIT attribuiva la rottura del supporto ad anello a difetti di fabbricazione, l’IRT vedeva come probabili anche altre situazioni, come un danno causato all’anello durante la fabbricazione oppure il cedimento di una qualsiasi altra parte della struttura di supporto di cui il supporto ad anello faceva parte.

Il giunto in acciaio coinvolto nelle fasi iniziali dell’incidente – (C) NASA

L’IRT individuò inoltre un elemento tecnico ritenuto fondamentale: per la realizzazione degli anelli in acciaio per la struttura di supporto del serbatorio in COPV dell’elio, SpaceX scelse un componente commerciale in acciaio di tipo industriale 17-4 PH SS. Nel prossimo paragrafo spiegheremo l’importanza di questa scoperta.

Le determinazioni dell’IRT

Due sono le principali criticità elencate nel rapporto tecnico, direttamente legate all’incidente della missione CRS-7:

• la causa primaria dell’incidente fu un errore di progettazione da parte di SpaceX. L’azienda di Elon Musk scelse, per realizzare il supporto strutturale del serbatoio COPV, un rod end in acciaio di tipo industriale 17-4 PH SS (acciaio lavorato ad indurimento per precipitazione) che il fabbricante non aveva dichiarato esplicitamente per uso aerospaziale, utilizzandolo comunque a temperature criogeniche e sottoponendolo ai forti stress strutturali tipici del vettore in volo. Secondo l’IRT l’adozione di questo componente non fu accompagnata da un’adeguata comprensione del suo comportamento e nemmeno da sufficienti prove di carico della parte interessata nelle le condizioni in cui doveva operare.
• La modalità tecnica di raccolta e costruzione dei pacchetti di telemetria del Falcon 9 “Full Thrust” causava un’eccessiva latenza, risultando nella perdita di una quantità sostanziale di dati durante lo svolgersi degli eventi legato alle politiche di data buffering implementate nel computer del secondo stadio del vettore.

Le raccomandazioni

Come in ogni rapporto tecnico redatto a seguito di un incidente, la commissione IRT ha anche emesso una serie di raccomandazioni che SpaceX avrebbe dovuto implementare nei suoi processi interni. Ecco le due principali:

• SpaceX avrebbe dovuto applicare maggiore attenzione alle valutazioni sull’utilizzo di parti prettamente commerciali per applicazioni spaziali. SpaceX avrebbe dovuto, in futuro, usare particolare enfasi nella comprensione delle raccomandazioni dei fabbricanti per l’uso di prodotti commerciali in applicazioni spaziali.
• SpaceX avrebbe dovuto ripensare l’architettura del sistema di telemetria e migliorare in modo sostanziale la documentazione.

Conclusioni

In conclusione il rapporto di NASA sul lavoro della commissione IRT rivela alcuni “difetti di gioventù” da parte di SpaceX, che in sostanza ha perduto un importante carico per la ISS a causa dell’utilizzo improprio di parti non specificamente fabbricate per lo spazio, così come preziosi dati di telemetria che avrebbero senza dubbio contribuito ad una migliore comprensione dell’accaduto. Va tenuto presente che tutto questo è ormai già parte del passato e che SpaceX ha senz’altro fatto tesoro dell’esperienza e applicato le raccomandazioni della commissione IRT (considerato anche l’attenzione extra che NASA avrà dato a SpaceX in preparazione dei primi lanci post-incidente) anche in vista di una certificazione del Falcon 9 per il trasporto di equipaggi.

Allo stesso tempo questa vicenda dimostra chiaramente i rischi che si corrono quando si fa uso di prodotti non specificamente progettati e fabbricati per uso astronautico nella fabbricazione di hardware spaziale. In questi casi bisogna essere ben certi di comprenderne appieno prestazioni e limiti, altrimenti quello che poteva sembrare una possibile efficace fonte di risparmio può velocemente trasformarsi in un disastro economico e d’immagine.

Il rapporto completo in formato PDF è disponibile qui.