ISSpresso 的苦涩教训

# ISSpresso 的苦涩教训 Source: https://mceglowski.substack.com/p/bitter-lessons-from-the-isspresso 意大利航天局关于 ISSpresso 设计的官方技术报告中，几乎无法掩饰其宇航员首次进入国际空间站时对环境条件的惊恐。那时的美国宇航员们在那里喝着速溶咖啡，简直像*animali*一样粗糙。 经过两年的研发、四代原型机以及大量的文书工作，Lavazza 与意大利航天局于 2015 年将一台真正的意式咖啡机送上了国际空间站。在地球上，一台基础款 Lavazza 咖啡机售价约 150 美元，重 3.5 公斤。而它的“太空版”兄弟却是一个重达 20 公斤、大小类似烤箱的箱子。其制造成本未予公开，但很可能高达数百万美元。 [](https://substackcdn.com/image/fetch/$s_!ICdq!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F08d26ba5-e9d3-4002-982a-0127a9ce2c27_1336x1096.png)行吧，看看这台 ISSpresso。 追问一台咖啡机为何在太空中变得如此庞大且昂贵，是理解载人航天发射成本驱动因素的一个绝佳途径。 咖啡机在地球上并不具备致命威胁，但在空间站上，如果设计不当，几乎任何设备都可能危及宇航员的生命。因此，ISSpresso 必须向 NASA 证明其不会导致空间站电力系统瘫痪、不会干扰无线电通信、不会泄漏沸水、不会起火、不会用刺眼的灯光晃到乘组、不会让人触电、表面温度不至于危险、不会产生巨大噪音、不会释放有毒气体、不会碎裂成碎片、不会有异味，也不会在发射时的恶劣工况下散架。（其中刺破咖啡胶囊的尖锐针头甚至需要申请特殊的安全豁免。） 撰写 ISSpresso 技术论文的作者在文中列出了他们为获得发射及轨道冲泡许可所必须遵守的部分 NASA 标准。 [](https://substackcdn.com/image/fetch/$s_!D9mQ!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F0fd8cd92-54a8-4532-b1f6-d681bd098444_942x1096.png) 这些文件可读性极低。人们很容易将其视为 NASA 脱离实际的官僚主义作祟，其中确实有一些要求（如手柄形状或外壳颜色）显得颇为随意。此外，文件中充满了大量官僚体系的衔接条款，例如用于协调 NASA 与欧洲、日本航天局之间流程的标准，毕竟各方建造的硬件规格都略有不同。 但列表中绝大多数技术要求都言之有物，大致可归纳为以下几类： - 确保有效载荷在任何情况下（正常运行或出现故障时）都不会损坏空间站。 - 对电气行为及电磁干扰提出极其严苛的规定。 - 接口设计需与其他空间站硬件保持一致。 - 要求提供充分证据，证明 ISSpresso 能承受剧烈的物理冲击（尤其是发射阶段）、忍受宇航员的踢踏、突然的真空减压、电压与水压的骤升骤降以及其他严酷的环境考验。 - 确保加热元件不会引燃周围物品或自燃。在太空中这条更难满足，因为缺乏空气对流散热。 - 针对微重力环境的流体处理要求。ISSpresso 必须防止液体外溢，不能让沸水雾气充满舱室，同时还需与国际空间站的管路系统兼容。 - 舱体需做到“防宇航员损伤”，毕竟它终将被踩踏并当作扶手。这包括确保不会伤到笨手笨脚的宇航员（如去除锋利边角、尖锐开关和夹点），且牢固不易被扯坏。 - 证明 ISSpresso 在发射过程中不会散架，也不会损坏运载器。 - 对所有接触液体的表面及管路采取抗菌措施。 - 类似 OSHA 的基础规定，如噪音限值等。 这些要求毫无一项是多余的，其中一些更是反映了太空飞行的独特危险。如果你的家用咖啡机塑料罩碎了，顶多让你有点不便；但如果这东西在太空里碎裂，则可能引发严重的吸入性和眼部伤害。 诸多技术要求通过“安全审查流程”（Safety Review Process）来落实，该流程本身也是一套高度程式化的规范。在此流程中，设计师必须经历一系列项目里程碑节点和官方评审，最终让 NASA 确信清单上的每一项要求都已达标。 安全审查流程起初只是就总体设计方案进行友好交流，随后严谨程度与压迫感逐级攀升。到了最后的里程碑节点，NASA 的文职人员就会把一盏灯泡直接凑到你眼前，逼你招供所有关于任务风险的细节。仅仅告诉 NASA “我们打算把载荷装上卡车，开去肯尼迪航天中心发射”是远远不够的；你必须分析每一次起重机吊装产生的 g 力，并明确规定卡车的行驶速度。任何可想象的故障模式都必须在《风险报告》（Hazard Report）中被识别，提出修复方案，且该方案必须经过认证。 [](https://substackcdn.com/image/fetch/$s_!AOMG!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2Fd54b9b30-ccb2-4b40-8d3d-3a3149c52fa8_1864x1306.jpeg)一份来自 NASA 安全文档（SSP 52005 修订版 C）的实用流程图，展示了如何处理断裂风险 航空航天界有一句老话：当你花 500 美元买一枚航空认证的图钉时，你真正购买的其实是伴随该产品贯穿生产过程的十本合规文件、认证报告和测试记录，外加一句严厉的承诺——若该流程有任何造假，相关人员将面临牢狱之灾。 这套流程令人痛苦，但它并非 NASA 独有。在航空、军事和医疗领域，只要涉及人类生命安全，我们都会采用类似的版本。它常常显得荒唐可笑，人人讨厌，但它是确保系统按预期运行的唯一可靠途径。 让我用一段切身的经历来说明这一点！ 我住在新墨西哥州乡间的一栋太阳能供电房屋里。房子未接入市电电网；相反，太阳能电池板的电力供给一排电池组，再由一台称为逆变器的设备从电池取电，转换为家用交流电。 我家的太阳能系统理论上应该是完全解耦的。配电柜的一墙之隔放着全套太阳能设备，另一侧则是带有电路断路器的标准接线盒，和你在家里的配置一模一样。对于房屋内部而言，交流电的输入就像来自普通电网一样。而在太阳能侧，逆变器根本不知道也不关心房子里发生了什么。只要总功率消耗不超过一个宽裕的上限，一切本该自动运行良好。 理论上是这么回事。 但去年升级逆变器后，我开始被各种电气“小妖精”困扰。每天有几回灯光会变暗，我能听到鱼缸水泵发出卡顿的异响。此时逆变器屏幕上显示交流电压正在下降。有时逆变器会直接重启，导致全屋断电一分钟。何时发生、频率如何，完全没有规律可循。 我本想忍着这个毛病，直到它开始搞坏我的供暖炉。前两次的受害者是变压器，一块电路板上价值 25 美元的部件，我后来自己学会了更换。但第三次发生时，电压骤降直接烧毁了整块主板，迫使我花高价维修，导致家中断暖整整一周。 那时已是十一月，给房屋供暖变成了一场俄罗斯轮盘赌。我知道供暖炉每多运转一分钟，电路中的一次微小波动就可能让它彻底报废。我问遍了所有人都找不到原因。在房子没法住之前，我必须查出电压下降的根源。 作为一个搞软件出身的，我决定试试二分法排查。某天我关掉了屋内一半的断路器，第二天关掉另一半，以此锁定问题所在的分支。很快我就将范围缩小到房子的某个区域，进而精确到一个卫生间回路。 最终罪魁祸首找到了：一台日本产的智能马桶盖。 这台马桶内置了一个小型加热元件，间歇性工作以维持喷杆和座圈的水温。每当加热器启动，它看似微不足道的耗电量不知为何竟导致逆变器失稳，从而短暂地向全屋其他区域输送更低的电压。虽然大多数电器能承受这种电压波动，但供暖炉不行，结果它就轰然罢工。尽管马桶的功率需求很低，但其对电压和频率的日本标准设定（与美国标准有细微偏差）却让这台国产逆变器瞬间“抓狂”。 查清这个问题花了我数周时间和几千美元。我的错误在于盲目相信电力系统真的完全解耦了——认为屋内没有任何设备能影响到接线盒上游的东西。逆变器规格书、电路图全这么写的，客服也这么告诉我。但事实并非如此。 从那以后我学到，小型加热设备（比如咖啡机或烧水壶）可能是逆变器的“死穴”，这在太阳能安装师傅中几乎是常识。但由此带来的后果——客人随便插个吹风机就能把我家搞瘫痪——依然让人不安且违背直觉。 这正是 NASA 那些接口规范试图防范的一类问题。如果你曾在你的车上遇到过线束故障（Jeep 车主你们懂的），你就知道排查这种间歇性且难以定位的故障有多令人崩溃。NASA 及其合作伙伴之所以甘愿承受高昂得令人咋舌的认证成本，就是为了避免在太空中去诊断这类问题。因为在太空，一半的系统根本无法断电，而且一旦东西坏了，极易导致宇航员丧命。 毫无疑问，NASA 的安全审查流程中有一定比例属于过度管控。但即便我们将监管成本砍掉 75%，像 ISSpresso 这样的设备研发投入仍需数十万美元，且最终造得像坦克一样坚固。载人航天器上硬件故障的波及范围实在太大，注定我们避不开这套“安全舞蹈”。 这对太空梦想家来说，意味着不太舒服的结局。 一种普遍的观点认为，发射成本一直是阻碍太空探索的瓶颈，如今随着成本有望下降两个数量级，大家相应地感到振奋。许多 SpaceX 车粉尤其坚信，Starship 凭借其体积大且便宜的特点解决了一切问题。他们部分说得对！用一艘 1200 吨的火箭把人送上火星，远比尝试将所有必要设备塞进一个按瑞士钟表精度打造的 60 吨级航行栖息舱要容易得多。1 (https://mceglowski.substack.com/p/bitter-lessons-from-the-isspresso#footnote-1) 但廉价的发射成本解决不了设备问题。归根结底，我们放进飞船里的任何东西都必须达到宣传的效果。在我们积累起数百人年的太空栖息生活经验之前，唯一能保证其可靠性的方法就是昂贵的飞行资质认证与测试流程。 这意味着未来的人类太空任务将呈现与当今大型空间望远镜相同的成本结构：发射支出几亿美元，而研发设备及反复调试使其正常运行的费用高达数十亿。 [](https://substackcdn.com/image/fetch/$s_!q5zf!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2Fe6ea205b-cfe2-4d20-9d6a-e1130bd72027_1100x632.jpeg)一个展示 ISSpresso 内部复杂管路的惊艳视角 像所有我们面临的问题一样，这事儿到了火星只会更糟。 人类火星任务的决定性特征是，风险是顺序累积的。链条上的任何一个环节出错，任务即告失败。这意味着早期的火星访问将面对严苛至极的安全与可靠性要求，让国际空间站看起来像个初中科学展览。 这些要求在任务的地表阶段将尤为苛刻。任何着陆火星的设备都必须证明它能经受从地球发射、休眠六个月、承受再入与着陆冲击，并在低重力与沙尘环境中持续无故障运行 17 个月。在乘组到达前提前部署到火星的机械装置（这是任务设计中常见的风险控制手段）也必须证明自己能在户外恶劣气候中屹立两年以上。 雪上加霜的是，送往地表的任何有效载荷都会受到严格的重量限制。这并不是因为没有大型火箭能将它们运往火星，而是因为重型着陆极其困难，其难度会随着着陆质量呈整数指数级增长。2 (https://mceglowski.substack.com/p/bitter-lessons-from-the-isspresso#footnote-2) 只要在太空语境下你需要兼顾轻量化、高可靠性和自主性，就是你捂紧钱包、准备挥金如土的时候了。上周在火星采样返回任务（https://mceglowski.substack.com/p/what-happened-with-mars-sample-return）中我们就见识过此例：一辆唯一的任务就是把几根钛管从地面搬进回收舱的漫游车，最终造价高达五亿美元。 即使未来从地球发射是免费的，同样的困境仍将在我们终于抵达火星时纠缠我们。 [](https://substackcdn.com/image/fetch/$s_!jXgE!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2Fca559bce-aa6a-4df4-b068-349cc959694d_1100x732.jpeg)宇航员 Samantha Cristoforetti 在国际空间站享用太空意式浓缩咖啡 带着廉价火箭时代开启的期待，却仍然无法开展有趣的任务，这相当令人沮丧。早期的火星概念（如 NASA 的 Design Reference Architectures）曾为如何将任务塞进最少的发射次数而绞尽脑汁，因为发射曾是预算中最昂贵的一项。 假如 Starship 和 New Glenn 取得成功，我们或许能随心所欲地带够任务所需的质量。但这只会让我们撞上成本清单上的第二大项，也就是本文探讨的可靠性与测试问题。 那么，怎样才能降低认证与测试的成本呢？ 1. **增加飞行频次。**如果有十几座空间站都需要咖啡机，那么设计 ISSpresso 2.0 及后续型号就会容易得多。经过验证的飞行记录可以替代大量基于第一性原理的测试。 2. **多派机器人。**机器人不喝咖啡，但有科学任务确实需要加压热水源。在不危及宇航员的情况下先验证此类设备，日后改为人用太空飞行装备会容易得多。这对所有载人航天器上都适用的各类设备与传感器均适用。 3. **掌握火星着陆技术。**目前我们一次只能将 2-3 吨载荷送至火星，着陆误差椭圆长达约 20 公里。对于一个切实可行的人类任务，我们需要实现 100 米精度的百吨级（甚至更多）着陆能力，以便预置设备并降落在我们心仪的陨石坑内。这项能力也将使大批量发送低成本“傻大粗”机器人成为可能，取代我们现在那种造价高昂、纯手工打磨的精密机器人。 4. **破解安全棘轮效应。**增加安全约束很容易，但要撤销却难如登天。你我恐怕还没等到被允许拿着一瓶……