Artemis II ist nicht flugsicher

• Der Defekt am Hitzeschild der Orion-Kapsel wird als zentrales Problem benannt, das beim bemannten Flug von Artemis II das Überleben der Crew bedrohen könnte
• Beim Wiedereintritt von Artemis I löste sich Avcoat-Material in großem Umfang ab, wodurch strukturelle Schäden entstanden; ein Bericht des NASA Office of Inspector General (OIG) bestätigte den Ernst der Lage
• NASA erklärte als Ursache explosionsartiges Abplatzen durch eingeschlossene Gase und behauptete, das Problem lasse sich durch eine geänderte Flugbahn beheben, entschied jedoch, denselben Hitzeschild mit demselben Defekt weiterzuverwenden
• Interne Fachleute und ehemalige Ingenieure warnen, dass sich selbsttäuschende Entscheidungsprozesse ähnlich wie bei den Unfällen von Challenger und Columbia wiederholen
• Unter politischem Druck und bei festem Zeitplan wird das strukturelle Risiko einer bemannten Mission ohne unbemannten Testflug bei NASA erneut sichtbar

---

Defekt der Orion-Kapsel und die Sicherheitsdebatte um die Artemis-II-Mission

• Die Artemis-II-Mission soll 4 Astronauten in eine Mondumlaufbahn bringen und ist der zweite Flug der SLS-Rakete sowie der erste bemannte Flug der Orion-Kapsel
• Der Hitzeschild (heat shield) von Orion zeigte beim vorherigen unbemannten Flug (Artemis I) Schäden und Materialablösungen während des Wiedereintritts, was einen Defekt offenlegte, der für das Überleben der Crew kritisch sein könnte
• NASA spielte das Problem zunächst herunter, doch ein Bericht des Office of Inspector General (OIG) und veröffentlichte Fotos bestätigten die Schwere der Schäden
• NASA stufte die Ursache als „explosionsartiges Abplatzen durch eingeschlossene Gase“ ein und erklärte, das Problem lasse sich durch eine geänderte Flugbahn beheben, entschied jedoch, denselben Hitzeschild mit demselben Defekt weiterzuverwenden
• Fachleute kritisieren die Entscheidung von NASA, einen bemannten Flug ohne unbemannten Test durchzuführen, und warnen, dass sich organisatorische Selbsttäuschung ähnlich wie bei den Unfällen von Challenger und Columbia wiederhole

Die bei Artemis I sichtbar gewordenen Schäden am Hitzeschild

• Bei der Artemis-I-Mission 2022 löste sich das Avcoat-Hitzeschildmaterial der Orion-Kapsel beim Wiedereintritt in großen Stücken ab, wodurch tiefe Rillen und Löcher entstanden
  • Einige große Bolzen waren teilweise angeschmolzen, doch in der ersten Pressemitteilung von NASA wurde das Problem nicht erwähnt
• Auf Fotos, die im Mai 2024 vom NASA Office of Inspector General (OIG) veröffentlicht wurden, wurde das volle Ausmaß der Schäden sichtbar
  • Es handelte sich nicht um bloßen Oberflächenverschleiß, sondern um strukturelle Schäden an Hitzeschildblöcken
• Avcoat sollte eigentlich gleichmäßig verkohlen und dabei seine Oberflächenform beibehalten, doch Orion ist mehr als doppelt so schwer wie die Apollo-Kapsel und verwendet ein experimentelles segmentiertes Design
  • Ein Hitzeschild dieser Bauart wurde bei Mondrückkehrgeschwindigkeit noch nie getestet

Drei kritische Risiken laut OIG

• 1. Abplatzungen am Hitzeschild (Spalling)

  • Durch die Materialablösung könnte der ungeschützte Kapselrumpf freigelegt werden
  • Der Luftstrom könnte verändert werden, wodurch lokale Überhitzung und Kettenreaktionen von Schäden möglich wären

• 2. Kollisionsrisiko durch Hitzeschildfragmente

  • Abgelöste Stücke könnten das Fallschirmfach treffen
  • NASA konnte Fallschirme und Abdeckungen nicht bergen, daher ist unklar, ob es tatsächlich zu Kollisionen kam

• 3. Bolzenerosion

  • 3 von 4 großen Trennbolzen waren angeschmolzen

    • Wenn heiße Gase hinter den Hitzeschild eindringen, besteht Gefahr eines Strukturversagens und des Todes der Besatzung

NASAs Reaktion und organisatorischer Druck

• Die Orion-Kapsel ist bereits mit dem Servicemodul verbunden, sodass ein Austausch des Hitzeschilds praktisch unmöglich ist
  • Auch Budget und Zeitplan lassen weder neue Hardware noch einen Testflug zu
• Unter Budgetbeschränkungen und Termindruck versucht NASA, eine Schlussfolgerung der Art „kein Problem“ selbst zu rechtfertigen
  • Admiral Harold Gehman, Vorsitzender der Columbia Accident Investigation Board, warnte, NASA treffe bei festem Zeit- und Budgetrahmen wiederholt Entscheidungen, die Sicherheitsmargen abbauen
• 2024 wurde ein unabhängiges Prüfungsgremium eingerichtet, dessen Ergebnisse jedoch nicht veröffentlicht wurden
  • NASA erklärte, die Ursache sei eine „Explosion durch eingeschlossene Gase“, und kündigte an, das Problem sei durch Änderung der Wiedereintrittsbahn lösbar
  • Der für Artemis II vorgesehene Hitzeschild wurde jedoch sogar mit einem Design gefertigt, das noch geringere Gasdurchlässigkeit aufweist

Interne Kritik und technisches Misstrauen

• Ab Artemis III will NASA ein neues Hitzeschilddesign einsetzen, doch auch dessen erster Test soll während eines bemannten Flugs stattfinden
• Externe Beobachter wie Eager Space weisen darauf hin, dass NASA bei ähnlichen Schäden an privaten Raumfahrzeugen wie Dragon oder Starliner sofort eine Neuauslegung und einen erneuten unbemannten Test verlangt hätte
• Die von NASA verwendeten Modelle und Simulationswerkzeuge sind dieselben Systeme, die das Problem bereits nicht vorhergesagt haben; ihre Zuverlässigkeit unter neuen Bedingungen kann daher nicht garantiert werden
• Der ehemalige NASA-Ingenieur und Astronaut Charles Camarda warnte intern wie öffentlich eindringlich
  • Er kritisierte, NASA rechtfertige die Aussage, etwas sei „sicher“, mit einfachen Modellen ohne physikalische Grundlage
  • Das entspreche derselben selbsttäuschenden Entscheidungsstruktur wie bei Columbia und Challenger

Die Unnötigkeit des bemannten Flugs und organisatorische Blindheit

• Artemis II war ursprünglich als einziger bemannter Testflug vor einer Mondlandung geplant,
  • doch 2026 fügte NASA eine neue Artemis-III-Mission (Test in erdnaher Umlaufbahn) hinzu und verschob die Mondlandung auf Artemis IV
• Dadurch gibt es ausreichende Gründe, Artemis II unbemannt durchzuführen
  • Es wäre deutlich sicherer, Probleme in der Erdumlaufbahn zu prüfen, und auch der Hitzeschild ließe sich verifizieren
  • Dennoch will NASA den bemannten Flug wegen Gesichtsverlust und versunkener Kosten durchziehen

Die sich wiederholende Risikostruktur und das Fazit

• Das Personal innerhalb von NASA ist kompetent und vorsichtig, doch der politische und organisatorische Kontext verzerrt Sicherheitsentscheidungen
  • ein Mondprogramm, in das über 25 Jahre rund 100 Milliarden Dollar geflossen sind, ohne ausreichende Ergebnisse,
  • Budgetkürzungen und Personalabbau,
  • sowie politischer Druck mit dem Ziel einer Mondlandung vor 2029
• Dadurch entsteht eine Atmosphäre, in der die offensichtliche Tatsache, dass der Hitzeschild bei Mondrückkehrgeschwindigkeit erfolgreich getestet werden muss, offiziell nicht anerkannt werden kann
• Falls Artemis II beim Wiedereintritt einen Unfall erleidet, sind die vorhersehbaren Ursachen bereits alle offengelegt
  • Jahrelange Untersuchungen, Kritik im Kongress und Programmverzögerungen wären danach unvermeidlich
• Der Text endet mit der Warnung: „Ich hoffe, dass Artemis II sicher zurückkehrt, aber es darf nicht wieder nötig sein, dass Astronauten sterben, damit diese Lehre erneut gelernt wird.“

[GN⁺]

Hacker-News-Kommentare

• Ich halte morgen in Harvard eine Vorlesung über die systemischen Ursachen von Entscheidungsversagen.
  Dabei behandle ich die Unfälle von Columbia und Challenger als Fallstudien, und gestern habe ich die Folien überarbeitet und Artemis II hinzugefügt.
  Diese kaputte Sicherheitskultur existiert schon seit den frühen Tagen des Shuttle-Programms.
  1980 warnte Gregg Easterbrook in „Goodbye, Columbia” davor, dass NASAs auf „Erfolg“ ausgerichtete Planung eine Katastrophe heraufbeschwören würde, und sagte tatsächlich das Problem mit dem Hitzeschild der Columbia voraus.
  Nach Challenger (1986) wies die Rogers-Kommission auf Hierarchien, Kommunikationsversagen und das Ignorieren technischer Urteile durch das Management hin, aber bei Columbia (2003) wiederholten sich dieselben Probleme.
  Im CAIB-Bericht steht ebenfalls ausdrücklich, dass die Empfehlungen von 1986 nicht umgesetzt wurden.
  Jetzt warnt Charles Camarda vor genau dem Gleichen.

  • Wenn man Charles Camardas Eindrücke nach der Sitzung liest, könnte man meinen, sie seien 1986 oder 2003 geschrieben worden.
    Das Shuttle war schon in der Entwurfsphase ein System mit inhärenten Mängeln, und es ist schmerzhaft zu sehen, wie sich diese Kombination aus Sicherheits-, Budget- und Terminzwang nach Jahrzehnten immer noch wiederholt.
  • Das ist kein Problem, das nur NASA betrifft.
    Auch in Organisationen, in denen ich gearbeitet habe, waren egozentrische Manager mehr auf Gesichtswahrung und Belohnungen fixiert als auf Sicherheit.
    Manche Manager gaben Fehler nie zu, andere deckten Probleme zu, um Konflikte zu vermeiden.
    Diese machoartige Angeberei-Kultur ruiniert die Sicherheit.
  • In den 80ern gab es den Druck, die Sowjetunion zu schlagen, aber Artemis ist ein Projekt, das sich über Jahrzehnte zieht.
    Die Menschheit hat sich so weit entwickelt, warum sollten wir da Sicherheit opfern? Das verstehe ich nicht.
  • Ich empfehle, auch den vollständigen CAIB-Bericht zu lesen.
  • Falls jemand aktuelles Material zur Sicherheitskultur-Forschung kennt, würde ich mich über Empfehlungen freuen.

• Ich habe Challenger und Columbia intensiv gelesen, und in diesem Artikel fielen mir besonders zwei Punkte auf.
  Dass sich das Avcoat-Material „in Brocken ablöst“, sei laut Design eigentlich unmöglich.
  Auch bei Challenger wurde Gasleckage durch den O-ring als „akzeptables Niveau“ abgetan, und bei Columbia war es ähnlich.
  Am Ende war das Problem, dass man das Risiko per Modellierung rechtfertigte.
  In so einer Situation sollte Artemis II meiner Meinung nach den Hitzeschild mit einem unbemannten statt bemannten Flug testen.

  • Laut Charles Camardas Dokument war die Ursache von Challenger nicht der O-ring, sondern ein fehlerhaftes Joint-Design.
    Das hat mich überrascht, weil es von Feynmans Erklärung abweicht.
  • Es war schockierend, dass NASA die Sicherheitsrechnung umdrehte und annahm: „Wenn die Gesamt-Ausfallwahrscheinlichkeit 1/1000 ist, dann hat jede Komponente 1/10000.“
    Das heißt, man berechnete Sicherheit mit Zahlen auf dem Papier, ohne reale Verifikation.
  • Ich finde, bemannte Exploration sollte man zu diesem Zeitpunkt als Entertainment-Budget betrachten.
  • NASA sollte auch ohne SLS mit Falcon Heavy einen unbemannten Wiedereintrittstest durchführen können.
    Die Orion-Masse liegt in den 20 Tonnen, das sollte also gut möglich sein.
  • Dieses Phänomen lässt sich mit „Normalization of deviance“ erklären.

• Ich finde, der Ars-Technica-Artikel bietet eine etwas ausgewogenere Sicht.
  Camarda vertritt eine Minderheitsmeinung, und die meisten NASA-Ingenieure und Astronauten halten es für sicher.
  Anders als bei Challenger und Columbia erkennt und analysiert man das Problem diesmal.

  • Aber wie bei „Russisch Roulette einmal spielen und die meisten sterben nicht, trotzdem ist es nicht sicher“ gilt: Eine niedrige Wahrscheinlichkeit bedeutet nicht automatisch Sicherheit.
    Ich mache mir Sorgen, dass groupthink innerhalb der NASA wieder auftaucht.
  • Der angeblich „ausgewogene Artikel“, der Camardas Position verzerrt, war in Wirklichkeit ein PR-Narrativ.
    In Camardas direktem Bericht sagt er, dass seine Sorgen nach der Sitzung sogar noch größer geworden seien.
  • „Mit hoher Wahrscheinlichkeit sicher“ und „nicht sicher genug zum Fliegen“ können beide zugleich wahr sein.
    Wenn die Wahrscheinlichkeit eines Wiedereintrittsversagens 10 % beträgt, treffen beide Aussagen zu.
  • Früher sagte das NASA-Management immer „kein Problem“, ignorierte in Wirklichkeit aber Warnungen der Ingenieure.
    Bei Challenger drängte man auf ein „no-go“, bei Columbia auf eine „unsafe“-Unterschrift.
    Hoffentlich ist es diesmal anders.
  • Sicherheit ist kein Schwarz-Weiß, sondern ein Kontinuum der Risikobewertung.
    Das ist nur eines von Tausenden Risiken; wenn es schiefgeht, wirkt man wie ein Prophet, und wenn es gutgeht, wird es vergessen.

• Ich habe mich gefragt, warum man wieder Avcoat verwendet, das schon bei Apollo im Einsatz war, und trotzdem ein neues Design braucht.

  • Apollo füllte Avcoat in eine Metall-Wabenstruktur, Orion klebt es dagegen in Blockform auf.
    Die Wabenmethode war zu arbeitsintensiv.
  • Orion ist viel größer und schwerer, daher meinen viele, Apollo sei bereits die maximale Grenze dessen gewesen, was mit Avcoat möglich war.
  • Laut dem Camarda-Dokument waren Probleme mit Rissen und Gasdurchlässigkeit schon in den 1960ern bekannt.
  • Tatsächlich ist das Ziel von Artemis nicht einfach nur eine Mondlandung, sondern die Weiterentwicklung der Raumfahrttechnik.
    Die Verbesserung des Hitzeschilds ist Teil davon.
  • Wie beim Apollo-1-Brand drei Menschen starben, leben wir heute nicht mehr in einer Zeit dieses rücksichtslosen Vorwärtsdrangs.
  • Mich würde auch das Hitzeschildmaterial von SpaceX Dragon interessieren. Ich frage mich, ob es sich auf Orion anwenden ließe.

• Es hat mich überrascht, den Satz zu lesen, dass das Artemis-Programm in 25 Jahren 100 Milliarden Dollar gekostet habe.
  Ich verstehe, warum NASA so unter Zeitdruck steht, aber gemessen an der Größe der USA ist das als Budget für ein Langzeitprojekt gar nicht so groß.

• Die Aussage der NASA zu den Grenzen von Hitzeschild-Tests fand ich seltsam.
  Früher gab es bei Johnson und Ames Anlagen, die echte Wiedereintrittsbedingungen nachbilden konnten.
  Der Arc Jet Complex ist auch weiterhin in Betrieb.

  • Allerdings ist Orions Hitzeschild mit 16 Fuß so groß, dass die Grenze darin besteht, dass nur Materialtests auf Bauteilebene möglich sind.

• Ich bin eher ängstlich, aber wenn ich trotzdem die Chance hätte, bei Artemis II mitzufliegen, würde ich mich freiwillig melden.
  Selbst wenn es scheitert, würde es nur ein paar Sekunden wehtun.

  • Andere könnten so eine Aussage als Signal für Suizidgedanken auffassen.
  • Das Leben ist wertvoll, und vielleicht warten in der Zukunft noch großartige Dinge.
  • Als ich jung war, hätte ich so etwas vielleicht gesagt, aber mit dem Alter würde ich wohl „nein“ sagen.
  • HN hat im Allgemeinen eher eine lebensbejahende Stimmung, daher wird es dafür wohl wenig Zustimmung geben, aber es wäre vermutlich trotzdem sicherer als ein Kriegsschauplatz.

• Ich habe am EFT-1-Projekt gearbeitet.
  Damals war der Hitzeschild Avcoat ohne Wabenstruktur, und das Risiko war eindeutig.
  Der Testflug 2014 war beeindruckend, aber wegen des strukturellen Risikos habe ich das Projekt gewechselt.

  • Exploration Flight Test-1 war ein unbemannter Start im Dezember 2014.

• Wenn man wirklich die Erforschung des Mondes will, sollte man zuerst mit Dutzenden unbemannten Landern die Grundlage schaffen.
  Schon ab der zweiten Mission bemannt zu fliegen, ist ein fehlerhaftes Konzept.

  • Das könnte aber politische Gründe haben.
    Eine Lesart ist, dass Trump mit einem nostalgiegetriebenen Mondversprechen Stimmung machen wollte.

• NASA erlebt etwa alle 20 Jahre einen großen Unfall.
  1967 Apollo 1, 1986 Challenger, 2003 Columbia.
  Jetzt sind 23 Jahre vergangen, und ich mache mir Sorgen, dass sich dieser Zyklus nachlassender organisatorischer Wachsamkeit wiederholt.