Modeling Unlikely Space-Booster Failures in Risk Calculations

RTI Report No. RTI/5180/77-43F · Contract No. FO4703-91-C-0112 · Final Report · September 10, 1996

Prepared by James A. Ward, Jr. and Robert M. Montgomery, Research Triangle Institute (RTI), Center for Aerospace Technology, Launch Systems Safety Department. Prepared for the Department of the Air Force, 45th Space Wing (AFSPC) Safety Office — 45 SW/SE, Patrick AFB, FL 32925 and 30th Space Wing (AFSPC) Safety Office — 30 SW/SE, Vandenberg AFB, CA 93437.

Distribution limited to US Government agencies and their contractors (administrative/operational use data, 10 September 1996). 180 pages. Unclassified.

---

Reading (EN)

Abstract

Missile and space-vehicle performance histories contain many examples of failures that cause, or have the potential to cause, significant vehicle deviations from the intended flight line. In RTI's risk-analysis program DAMP ("facility DAMage and Personnel injury"), such failures are referred to as Mode-5 failure responses. Although Mode-5 responses are much less likely than those that result in impacts near the flight line, risk-analysis studies are incomplete without them.

This report shows how impacts from Mode-5 failures are modeled in DAMP. The impact density function used for this purpose contains two shaping constants (A and B) that control the rate at which the density drops as angular deviation from the flight line and impact range increase. Certain Mode-5 malfunctions are simulated, and the two shaping constants are then chosen by trial and error so that impacts from the simulated malfunctions and the theoretical density function are in close agreement.

An appendix (Appendix D) contains a listing and brief narrative failure history of Atlas, Delta, and Titan missile and space-vehicle launches from the Eastern and Western Ranges from the beginning of each program through August 1996. Each entry gives the vehicle configuration, whether the flight was a success, the flight phase in which any anomalous behavior occurred, and a classification of vehicle behavior per defined failure-response modes.

---

1. Introduction

DAMP models six possible failure-response modes that affect ground risks (five failure responses + one nominal). Impacts from Modes 1, 2, and 3 occur within a mile or two of the launch point. Mode 4 impacts occur near the flight line. Mode 5 — while having only a small share of total failure probability — can produce nearly all or a significant part of the risks to population centers more than a mile or so uprange or many miles from the flight line.

The Mode-5 impact-density function characteristics:

1. Impacts can occur in any direction from the launch point and at any range within the vehicle's energy capabilities.
2. At any given impact range, likelihood of impact decreases as angular deviation from the flight line increases, being least likely in the uprange direction. For any fixed angular deviation, likelihood decreases as range increases.
3. At fixed ranges near the launch point, the density function changes gradually as the impact direction swings 180° from downrange to uprange. At larger ranges the decrease becomes progressively more rapid with change in direction.

The study's primary purpose (Task No. 10/95-77, Paragraph 2.0, Contract FO4703-91-C-0112): "Perform a study to determine the best values for Mode-5 failure probability and the Mode-5 density-function shaping constant A."

---

2. Examples Showing Need for Mode 5

Specific vehicle performance cases extracted from historical records that illustrate Mode-5 necessity (none can be classified Mode 1, 2, 3, or standard Mode 4):

1. Atlas BE, 24 Jan 61 — Stability lost at ~161 sec after BECO. Sustainer shut down at 248 sec. Impact 1,316 miles downrange and 215 miles crossrange.
2. Titan M-4, 6 Oct 61 — One-bit error in W velocity accumulation. Impact 86 miles short and 14 miles right of target.
3. Atlas 145D (Mariner R-1), 22 Jul 62 — Intermittent guidance rate beacon; erroneous guidance commands. Maximum yaw deviation 60°, pitch deviation 28° at 270 sec. Vehicle destroyed by RSO at 293.5 sec.
4. Atlas SLV-3 (GTA-9), 17 May 66 — Unstable when B2 pitch control lost at 121 sec. Pitch-down maneuver >90°. Vehicle stabilized in abnormal attitude after BECO; SECO, VECO, and Agena separation occurred normally from programmer commands.
5. Atlas 95F (ABRES/AFSC), 3 May 68 — Immediately after liftoff: erratic roll and yaw rates, hard yaw left then hard yaw right. Vehicle crossed flight line and pitched violently. Destructed at ~45 sec, altitude ~14,000 ft, ~9 miles downrange. Major pieces impacted less than a mile offshore.
6. Delta Intelsat III, 18 Sep 68 — Rate gyro loss; undamped pitch oscillations at 20 sec. Vehicle pitched down 270°, up 210°, large yaw left. Regained quasi-control at 72 sec, flew stably until 100 sec, then broke up at 103 sec. Pieces impacted ~12 miles downrange and 2 miles left.
7. Delta Pioneer E, 27 Aug 69 — First-stage hydraulics failed before burnout. Pitched down, yawed left, tumbled. Second stage regained control after ~20 sec in yaw-right, pitch-up attitude; flew stably for ~240 sec until destroyed by RSO at T+484 sec.
8. Atlas 68E, 8 Dec 80 — Lube oil pressure dropped at 102.7 sec; engine shutdown; asymmetric thrust caused attitude loss; sustainer pivoted to retrofire attitude; continued thrusting until ~282.9 sec when reentry heating caused shutdown and breakup.

Additional real examples: Prospector (Joust), Eastern Range, June 1991 — radical pitch-up at T+14 sec due to aft-skirt structural failure; RSO impact trace showed impacts well away from flight line during 18–25 sec window. Red Tigress sounding rocket, Cape Canaveral, 20 Aug 91 — near 90° right turn within a second of clearing launcher; pieces impacted ~2–3 miles from pad.

---

3. Understanding the Mode-5 Failure Response

Unlike Modes 3 and 4, Mode-5 is not a direct function of time from launch. The Mode-5 primary impact-density function (Eq. 3) uses shaping constants A and B:

• A (dimensionless) — controls how rapidly density drops with angular deviation
• B (dimensionless) — controls range-related drop-off

For many years, A = 2.5 and B = 1,000 were used in Eastern Range ship-hit computations. More recently, A was increased to 3.0 based on the observation that modern vehicles experiencing Mode-5 responses seem less likely to deviate significantly from the flight line than earlier developmental vehicles.

The secondary Mode-5 density function (Eq. 2) is circular normal, accounting for debris dispersion due to vehicle breakup and aerodynamic effects during free fall.

3.1 Effects of Mode-5 Shaping Constants

Table 1. Effects of Mode-5 Shaping Constant A on Atlas IIA Risks (B = 1,000)

Results in Mode column directly proportional to Mode-5 failure probability (1/200 = 0.005 assumed for Atlas IIA).

DAMP results are far more sensitive to A than to B. Constant A can significantly affect the 10⁻⁶ risk contour location (illustrated for Atlas IIAS with A = 3.0 vs. 3.5).

---

4. Methodology for Assessing Failure Probabilities

Two approaches for estimating launch-vehicle failure probabilities:

4.1 The Parts-Analysis Approach

Involves reliability block models of launch subsystems. Key limitations (per Booz·Allen & Hamilton, 1992, and Office of Technology Assessment, 1988):

• Assumes interrelationships among subsystems are fully understood
• Assesses reliability under perfectly assembled conditions, ignoring manufacturing/operations variations
• Overlooked effects: improper component installation, erroneous computer programs, support-personnel fatigue, lightning strikes, aging (especially solid propellants), corrosion, icing, instrumentation errors
• All such approaches involve a subjective K-factor to compensate for the difference between test and flight environments
• Cannot account for undetected design flaws

RTI did not use this approach.

4.2 The Empirical Approach

Based on actual flight-test performance. Per the Office of Technology Assessment: "The only completely objective method of estimating a vehicle's probability of failure is by statistical analysis of number of failures observed in identical vehicles under conditions representative of those under which future launches will be attempted." RTI relied exclusively on this method, acknowledging that total objectivity cannot be claimed since results depend heavily on how data are filtered.

---

5. Computation of Failure Probabilities

Test results for Atlas (532 launches), Delta (232 launches), Titan (337 launches), and Thor (85 Eastern Range launches) from Appendix D were used for three purposes:

1. Predict overall failure probability for each vehicle per flight phase
2. Establish relative and overall probabilities for Response Modes 1–5
3. Establish relative tumble frequency for Response Modes 3 and 4

5.1 Overall Failure Probability

Three filtering/weighting methods were evaluated:

• Equal weighting — overweights old data; less suitable for large samples
• Index-count weighting — too volatile for small samples (40% weight on last test in sample of 4), under-weights current data for large samples
• Exponential weighting — preferred by RTI; F = 0.98 chosen as best balance

Table 2. Predicted Failure Probabilities for Representative Configurations (selected columns)

*Includes response mode 'NA'

Key findings: Atlas and Delta launch reliability appears to be improving (exponential filter produces lower probabilities as F decreases = more weight on recent data). Titan shows reverse trend, suggesting reliability may not be improving.

Table 6. Best-Estimate Failure Probabilities for Atlas, Delta, and Titan (F = 0.98)

For Delta, the same 0.013 value applies to both phases since no second-stage failure occurred in 125 representative-configuration flights. An 80%-confidence upper bound for Delta second-stage failure probability: ≤0.013.

5.2 Relative and Absolute Probabilities for Response Modes

Failure counts from all vehicle configurations (1,186 total flights across Atlas, Delta, Titan, Thor):

Combined Failure Counts (Flight Phases 0–2)

Most recent failures by response mode:

• Mode 1: Atlas 03/02/65, Titan 12/12/59, Thor 04/19/58
• Mode 2: Atlas 12/18/81, Titan 05/01/63, Thor 12/30/58
• Mode 3: Atlas 04/25/61 (none for Delta, Titan, or post-1959 Thor)
• Mode 4: Atlas 08/22/92, Delta 05/03/86, Titan 10/05/93
• Mode 5: Atlas 12/08/80, Delta 08/27/69, Titan 11/30/65

Exponential filter F = 0.993 chosen for the composite 1,186-flight sample (F = 0.98 would effectively eliminate the 986 oldest tests needed for adequate Mode-1/3/5 sample sizes). Observations:

• Modes 1, 3, 5 occurrence percentages decrease as filter memory decreases → these modes have been declining over the years
• Modes 2 and 4 are relatively insensitive to filter factor → their occurrence rates have not changed much

Table 15. Recommended Response-Mode Percentages for Flight Phases 0–2

Table 17. Absolute Failure Probabilities for Response Modes 1–5 (Mature Systems)

5.3 Relative Probability of Tumble for Response Modes 3 and 4

Through flight phase 2: 33 tumbles out of 132 Mode-3 and Mode-4 responses. The percentage of Mode-4 responses ending in thrusting tumble has been gradually increasing. RTI will assume approximately one-third of Mode-3 and Mode-4 failure responses end with a thrusting tumble.

Table 18. Percent of Response Modes 3 and 4 That Tumble

---

6. Shaping Constants Through Simulation

Since adequate test data are not available to establish Mode-5 shaping constants empirically, RTI developed simulation-based methods.

6.1 Malfunction Turn Simulations

6.1.1 Random-Attitude Failures

Guidance/control failure resulting in a fixed erroneous thrust direction. RTI developed the Random-Attitude Failure Impact Point (RAFIP) program (Fortran, 3,900 lines) using Monte Carlo approach: 10,000 impact samples at each starting time (10-sec intervals). Breakup occurs if q·α (dynamic pressure × angle of attack) exceeds a specified limit.

6.1.2 Slow-Turn Failures

Engine nozzle locked near null with small thrust misalignment (normally distributed, zero mean, σ = 0.1°). Angular acceleration proportional to thrust offset angle. Similar to random-attitude failures in impact distribution — slow-turn computations not performed for Delta, Titan, and LLV1.

6.1.3 Factors Affecting Malfunction-Turn Results

• Random-attitude vs. slow-turn weighting: 3:1 ratio (random to slow), reflecting historical occurrence rates
• Breakup qα: Critical — three constant values used: 5,000, 10,000, 20,000 deg-lb/ft²
• End time T5: Mode-5 density function extends until instantaneous impact point vanishes; p5 × (T5 − Tp) must remain constant if T5 changes
• Vacuum calculations: Atmospheric effects accounted during thrusting turn; vacuum used for free-fall after breakup/burnout

6.1.4 Atlas IIAS Malfunction-Turn Results

270,000 total trajectories (4 breakup conditions × 10,000 per time point). For failures between 40–105 sec, >80% breakup occurs even for qα = 20,000 deg-lb/ft². Beyond 170 sec, vehicle remains intact through 280 sec (dynamic pressure stays low).

Sample impact distribution for Atlas IIAS (no breakup, 270,000 points across 14 time steps from 15–275 sec): ~32.5% of impacts in 0°–5° sector (near flight line), dropping to ~0.75% in the 175° sector (uprange). Table 19 provides complete breakdown.

6.2 Shaping Constants for Atlas IIAS

6.2.1 Optimum Mode-5 Shaping Constants

Table 20. Shaping Constants for Atlas IIAS

*interpolated

Key finding: A is highly sensitive to qα and B; risks are highly sensitive to A but insensitive to B (for B values from 1,000 to 5,000,000, Mode-5 risks differ by only ~12% when proper A is used for each B).

6.2.2 Launch-Area Mode-5 Risks (Table 21)

Old baseline (Ps = 0.005, TB = 118 sec, qα = 14,000, B = 1,000, A = 3.00): Mode-5 Ec = 227 × 10⁻⁶.

New baseline (Ps = 0.0025, TB = 280 sec, B = 1,000, A = 3.00, qα = 14,000): Mode-5 Ec = 49.1 × 10⁻⁶.

At qα = 5,000 deg-lb/ft² (most realistic): Mode-5 Ec ranges from 19.8–22.0 × 10⁻⁶ across all tested B values (1,000–5,000,000).

6.2.3 Best-Fit Conditions for Atlas IIAS (Table 22)

Ship-hit contour analysis (Figures 16–21): When all response modes are included, contour differences between different A/B pairs are "almost imperceptible," showing total dominance of Mode 4 near the flight line. Mode 4 is ~10.9× more likely than Mode 5 for mature systems.

6.2.4 Range Distributions

Theoretical Mode-5 and random-attitude ranges (for qα = 5,000 deg-lb/ft²) agree well to 190 miles. Maximum absolute difference beyond 190 miles: only ~0.4%.

6.3 Shaping Constants for Delta-GEM

260,000 simulations from 6–270 sec. Over 50% of vehicles break up for turns beginning between 10–115 sec. Best-fit shaping constants (Table 23):

Table 23. Shaping Constants for Delta-GEM

For qα = 5,000 deg-lb/ft², the currently-used B = 1,000 cannot produce a good fit; B = 2,000 or higher needed.

6.4 Shaping Constants for Titan IV

290,000 simulations from 18–300 sec. Similar breakup characteristics to Atlas and Delta.

Table 24. Shaping Constants for Titan IV

Risk calculations in the launch area were not made for Titan IV.

6.5 Shaping Constants for LLV1

290,000 simulations from 1–290 sec. Due to LLV1's higher acceleration, the rapid drop-off from near 100% breakup occurs earlier than for Atlas, Delta, and Titan.

Table 25. Shaping Constants for LLV1 (T5 = 290 sec)

For all breakup conditions, the currently-used B = 1,000 provided the best data fit for LLV1. No launch-area risk calculations were made for LLV1.

6.6 Shaping Constants for Other Launch Vehicles

Table 26. Summary of A Values for B = 1,000 (Best-Fit)

For new vehicles, the same simulation procedure should be followed. As an alternative, A and B can be estimated by comparison with the four listed vehicles.

---

7. Potential Future Investigations

Due to contract funding and deadline limitations, the following items were not fully investigated:

1. Effects on A and B of using more precise breakup (qα) conditions during malfunction-turn simulations
2. Effects on A and B (and risks) if different values of T5 are used in computing theoretical and simulated impacts
3. Effects if drag is accounted for in free-fall impact points after a malfunction turn (would require extensive DAMP modifications)
4. Effects on A and B when simulated impact data at angles less than 5° are used (e.g., 1° or 2°)
5. Effects on relative failure probabilities for solid-propellant vehicles if unclassified solid-propellant vehicle data are used (e.g., Pershing, Polaris, Poseidon, Trident)

Other future tasks:

• (a) Update absolute failure probabilities for Atlas, Delta, Titan, and other vehicles
• (b) Develop suitable A and B shaping constants for new vehicles

---

Appendix C: Filter Characteristics

The three filtering methods described and compared:

Equal-weight filter: Assigns equal weight to all data. Recursive filter factor = 1/n. Simple but overweights old data for large samples.

Index-count filter: Weights each datum by its position (index) in chronological sequence. Filter factor for nth point = 2n/(n+1). Overweights recent data for small samples; underweights for large samples (last 50 of 1,000 tests get only 9.7% of weight).

Exponential (fading-memory) filter: Each datum weighted by F^i where i is its "age-count" (0 = most recent). Filter constant F chosen between 0 and 1. Recursive filter factor = (1−F)/(1−F^n), asymptotically approaching (1−F).

• For F = 0.98: last data point always weighted ≥2% of total; sample of 200+: oldest half gets only ~11.7% of weight
• For F = 0.98, limit of the geometric series = 50 (effective sample size)
• Values below 0.97 or above 0.99 produce undesirable weightings
• RTI's preferred value: F = 0.98 for individual vehicle absolute failure probabilities; F = 0.993 for the 1,186-flight composite sample

Table 37. Filter Application for Failure Probability (example: 10 flights, failures on flights 2 and 4)

---

Appendix D: Launch and Performance Histories

Data sources included 22 references: Eastern Range and Vandenberg launch histories, Booz·Allen & Hamilton 1992 analysis, AIAA International Reference Guide (Isakowitz, 1995), 45 SW and 30 SW missile/space vehicle files, Lockheed Martin Atlas and Titan flight history records, and Aerospace Corporation reports.

Flight-Phase Definitions (Table 38)

Representative Configuration Criteria (Booz·Allen, 1992):

• Atlas: SLV-3 and later (excluded: A, B, C, LV-3A/B/C, D, E, F)
• Delta: 291X and later (excluded: earlier configurations)
• Titan: Titan IIIC and later (excluded: I, II)

D.2 Atlas Launch and Performance History

Atlas vehicles derived from ICBM series developed in the 1950s. Currently manufactured by Lockheed Martin. Primary 1½-stage vehicle played major role in Ranger, Lunar Orbiter, Surveyor (lunar exploration), and Mariner, Pioneer (planetary probes). Latest HAS configuration uses liquid oxygen/RP-1 plus four Castor IVA solid-rocket motors (two ground-lit, two air-lit at T+60 sec) and Centaur upper stage (LOX/LH2).

Atlas Configuration Summary (Table 40)

Atlas Launch History (Table 41): 535 flights, 1957–1996. Key failure narrative examples:

• 1 (4A, 11 Jun 57, Mode 4T, Phase 1): B2 engine fuel drop at 24.7 sec; both engines shutdown; fire; missile destroyed at 50.1 sec, impacted ~¼ mile south of pad.
• 9 (3B, 19 Jul 58, Mode 4T, Phase 1): Random yaw-rate gyro failure; LOX tank rupture; broke up at ~42 sec; impact ~2 miles downrange.
• 18 (13B, 15 Jan 59, Mode 5, Phase 1): Erratic pitch/yaw/roll from ~101 sec; excessive rates at 106.6 sec; impacted ~170 miles downrange and 7.5 miles left.
• 47 (51D, 10 Mar 60, Mode 1, Phase 1): Combustion instability; explosion in B1 chamber before missile movement; destroyed at 2.5 sec.
• 57 (74D Tiger Skin, 22 Jul 60, Mode 5, Phase 1): Pitchover rate 69% above nominal; vehicle breakup at 69.2 sec.
• 66 (3E, 11 Oct 60, Mode 5, Phase 2): Sustainer hydraulic pressure loss; tumbling at booster staging; 270-mile farther downrange and 27 miles crossrange impact. Exploded at 155 sec.
• 76 (BE, 24 Jan 61, Mode 5, Phase 2): Stability lost at ~161 sec; sustainer at 248 sec; impact 1,316 miles downrange, 215 miles crossrange. [Defining Mode-5 example]
• 137 (Mariner 1, 22 Jul 62, Mode 5, Phase 2): Intermittent rate beacon; erroneous guidance; destroyed by RSO at 293.5 sec.
• 241 (AC-5, 3 Mar 65, Mode 1, Phase 1): Last Atlas Mode-1 failure; combustion instability.
• 257 (White Pine, 12 Jul 65, Mode 4&5, Phase 2&3): Multiple mode failure.
• 453 (Atlas 68E, 8 Dec 80, Mode 5, Phase 1): Lube oil pressure failure; retrofire attitude; breakup at ~283 sec. [Last Atlas Mode-5 failure]
• 506 (Galaxy 1R/AC-71, 22 Aug 92, Mode 4T, Phase 3): Last significant Atlas failure in representative sample.

D.3 Delta Launch and Performance History

Delta originated in 1959 NASA contract to Douglas Aircraft (now McDonnell Douglas). First launched 13 May 1960 with 179-pound Echo-I satellite from Cape Canaveral. Latest configuration Delta 7925: three-stage vehicle with nine solid strap-on GEMs. Stage 1: RP-1/LOX. Stage 2: N₂O₄/aerozine-50. Stage 3: solid PAM. Six GEMs lit at liftoff; remaining three lit ~65 sec later.

Delta representative sample: 125 flights. Only 8 failures through Phase 5; no second-stage failure in representative sample.

Key Delta failure narratives:

• 59 (Intelsat III A, 18 Sep 68, Mode 5, Phase 1): Rate gyro loss; violent pitch/yaw maneuvers; broke up at 103 sec. [Defining Mode-5 example]
• 73 (Pioneer E, 27 Aug 69, Mode 5, Phase 1): Hydraulics failure; tumbled; second stage regained control; destroyed at T+484 sec. [Last Delta Mode-5 failure]
• 134 (OTS, 13 Sep 77, Mode 4, Phase 1): Core exploded at 57 sec; burn-through on #1 Castor IV motor forward end.
• 178 (GOES-G, 3 May 86, Mode 4, Phase 1): Electrical short in first-stage relay box; premature engine shutdown at 71 sec; vehicle tumbled; RSO destruct at ~91 sec. [Last Delta Mode-4 failure in representative sample]

D.4 Titan Launch and Performance History

Titan family established 1955 (Martin Company contract). Titan I: first two-stage ICBM, first silo-based. Titan II: storable propellants, man-rated for Gemini. Titan IV began as 10-launch short-term program; after Challenger (1986) grew to 41 vehicles. Titan representative sample: 171 flights.

Key Titan failure narratives:

• 7 (B-5, 14 Aug 59, Mode 1, Phase 1): Umbilicals prematurely pulled; engine shutdown; pad impact. [First Titan failure]
• 20 (J-2, 1 Jul 60, Mode 2, Phase 1): Hydraulic power to actuators lost; missile veered northwest; destroyed by RSO 11 sec after liftoff.
• 42 (M-3, 7 Sep 61, Mode 5, Phase 2): Guidance transient at 218.35 sec; impact 20 miles short and 2.8 miles left.
• 45 (M-4, 6 Oct 61, Mode 5, Phase 2): One-bit error in W velocity accumulation; impact 86 miles short and 14 miles right of target.
• 81 (Titan II "Thread Needle", 20 Jun 63, Mode 5, Phase 2): Low second-stage thrust after BECO; vehicle closely followed intended track but well behind schedule; slow turn to left at ~480 sec; SECO indication; destruct at 532 sec after loss of track.
• 107 (Titan I "West Wind I", 8 Dec 64, Mode 5, Phase 1): Power-level malfunction + guidance deviations; drifted far left then overcorrected far right, passing north of Midway Island.
• 329 (Landsat 6, 10 Oct 93, Mode 4, Phase 2): Last Titan failure in representative sample.

D.5 Thor Launch and Performance History (Not Including Delta)

85 Eastern Range Thor launches; Western Range not included (incomplete records). Covers both weapons systems tests and space flights from January 1957 through 23 February 1965 (last Thor launch).

Key Thor failure narratives:

• 1 (101, 25 Jan 57, Mode 1, Phase 1): Fuel-system valve failure; missile fell back on pad after reaching 9 inches altitude. [First Thor launch — failure on pad]
• 3 (103, 21 May 57, Mode 1, Phase 1): Fuel-tank regulator failure; over-pressurization; fuel tank burst at T−5 min.
• 9 (112, 7 Dec 57, Mode 5, Phase 1): Electrical failure at 107 sec; missile broke up at ~224 sec (well after MECO at 156 sec); impact 200 miles downrange and 40 miles left.
• 11 (114, 28 Jan 58, Mode 5, Phase 1): Guidance failure at 95 sec; erroneous steering; destroyed by RSO at 152 sec; impacted ~60 miles downrange.
• 24 (138, 5 Nov 58, Mode 5, Phase 1): Missile drifted uprange and left; pitch-gyro failure caused excessive pitch down; command destruct at 34.6 sec.

---

References

1. Montgomery, R. M., and Ward, J. A., "Computations of Hit Probabilities From Launch-Vehicle Debris", RTI/4666/02F, September 19, 1990.
2. Eastern Test Range Directorate of Safety Post-Test Report, Test D1000, 18 June 1991. [Joust failure]
3. Ward, James A., "Baseline Launch-Area Risks for Atlas and Delta Launches", RTI/5180/60/40F, September 30, 1995.
4. Booz·Allen & Hamilton, Inc., "Spacelift Effective Capacity: Part 1 – Launch Vehicle Projected Success Rate Analysis", Draft, 19 February 1992 (Air Force Space Command).
5. Office of Technology Assessment, "Launch Options for the Future: Special Report", July 1988.
6. Silke, Kevin, "Reliability Growth Model Overview", General Dynamics Reliability Bulletin 92-02. 7–9. Eastern Range and Vandenberg AFB Launch History summaries (45 SW and 30 SW History Offices).
7. Isakowitz, Steven J. (updated by Jeff Samella), International Reference Guide to Space Launch Systems, 2nd ed., AIAA, 1995. 11–22. Additional launch history, mission analysis, and failure report sources including Lockheed Martin Atlas and Titan documentation, McDonnell Douglas Delta orbit parameters, 45 SW missile files, 30 SW launch logs, Aerospace Corporation reports (Chang, 1996; Quintero, 1996), and multiple USAF Accident/Incident Reports.

---

Leitura (PT-BR)

Resumo

Históricos de desempenho de mísseis e veículos espaciais contêm inúmeros exemplos de falhas que causam, ou têm potencial para causar, desvios significativos do veículo em relação à trajetória pretendida. No programa de análise de risco DAMP ("facility DAMage and Personnel injury") do RTI, tais falhas são denominadas respostas de falha Modo 5. Embora as respostas Modo 5 sejam muito menos prováveis do que aquelas que resultam em impactos próximos à trajetória, análises de risco são incompletas sem elas.

Este relatório mostra como os impactos de falhas Modo 5 são modelados no DAMP. A função densidade de impacto utilizada para esse fim contém duas constantes de forma (A e B) que controlam a taxa de queda da densidade com o aumento do desvio angular em relação à trajetória e do alcance do impacto. Certas avarias Modo 5 são simuladas e as duas constantes são escolhidas por tentativa e erro até que os impactos das avarias simuladas e da função teórica entrem em estreita concordância.

Um apêndice (Apêndice D) contém um histórico tabular e narrativo sucinto das falhas de lançamentos Atlas, Delta e Titan nos Ranges Leste e Oeste desde o início de cada programa até agosto de 1996.

---

1. Introdução

O DAMP modela seis possíveis modos de resposta à falha que afetam riscos no solo (cinco respostas à falha + um veículo normal). Os impactos dos Modos 1, 2 e 3 ocorrem dentro de um ou dois quilômetros do ponto de lançamento. O Modo 4 resulta em impactos próximos à trajetória. O Modo 5 — embora com apenas uma pequena parcela da probabilidade total de falha — pode produzir quase todos ou uma parte significativa dos riscos para centros populacionais situados a mais de dois quilômetros no sentido oposto ao voo ou a vários quilômetros da trajetória.

O objetivo primário do estudo (Tarefa No. 10/95-77, Parágrafo 2.0, Contrato FO4703-91-C-0112): "Realizar um estudo para determinar os melhores valores para a probabilidade de falha Modo 5 e a constante de forma A da função densidade do Modo 5."

---

2. Exemplos que Demonstram a Necessidade do Modo 5

Casos históricos que ilustram a necessidade do Modo 5 (nenhum pode ser classificado como Modo 1, 2, 3 ou Modo 4 padrão):

1. Atlas BE, 24 jan 1961 — Estabilidade perdida ~161 s após BECO. Impacto a 1.316 milhas no sentido do voo e 215 milhas transversal.
2. Titan M-4, 6 out 1961 — Erro de 1 bit no acúmulo de velocidade W; impacto 86 milhas aquém e 14 milhas à direita do alvo.
3. Atlas 145D (Mariner R-1), 22 jul 1962 — Farol de taxa de guia intermitente; desvio máximo de 60° em guinada e 28° em arfagem; destruído pelo RSO aos 293,5 s.
4. Atlas SLV-3 (GTA-9), 17 mai 1966 — Instabilidade por perda de controle de arfagem B2 aos 121 s; atitude anormal pós-BECO; SECO, VECO e separação Agena ocorreram normalmente por comandos de programação.
5. Atlas 95F (ABRES/AFSC), 3 mai 1968 — Imediatamente após a decolagem: taxas erráticas de rolamento e guinada, forte guinada à esquerda e depois à direita. Destruído em ~45 s a ~14.000 pés de altitude e ~9 milhas no sentido do voo.
6. Delta Intelsat III, 18 set 1968 — Perda do giroscópio de taxa; oscilações de arfagem sem amortecimento; série de manobras violentas entre 59–72 s (arfagem de 270° para baixo, depois 210° para cima, guinada para a esquerda); ruptura do primeiro estágio aos 103 s; peças impactaram ~12 milhas no sentido do voo e 2 milhas à esquerda da trajetória.
7. Delta Pioneer E, 27 ago 1969 — Falha do sistema hidráulico do primeiro estágio antes da queima completa; tombamento; segundo estágio recuperou controle após ~20 s em atitude de guinada-direita/arfagem-para-cima; destruído pelo oficial de segurança em T+484 s.
8. Atlas 68E, 8 dez 1980 — Queda de pressão de óleo lubrificante aos 102,7 s; desligamento do motor; perda de controle de atitude; motor sustentador pivotou o míssil para atitude de retrofoguete; continuou operando até ~282,9 s quando aquecimento de reentrada causou desligamento e ruptura do veículo.

Exemplos adicionais: Prospector (Joust), Range Leste, junho de 1991 — manobra abrupta de arfagem em T+14 s por falha estrutural na saia traseira; traço de impacto do console RSO mostrou impactos bem distantes da trajetória durante a janela de 18–25 s. Foguete de sondagem Red Tigress, Cabo Canaveral, 20 ago 1991 — curva de quase 90° para a direita dentro de um ou dois segundos após deixar o lançador; peças impactaram ~2–3 milhas do local de lançamento.

---

3. Compreendendo a Resposta de Falha Modo 5

Ao contrário dos Modos 3 e 4, o Modo 5 não é função direta do tempo desde o lançamento. A função densidade de impacto primária do Modo 5 (Eq. 3) usa as constantes de forma A e B:

• A (adimensional) — controla a velocidade com que a densidade cai com o desvio angular
• B (adimensional) — controla a queda relacionada ao alcance

Por muitos anos, foram usados A = 2,5 e B = 1.000 nos cálculos de acerto de navios no Range Leste. Mais recentemente, A foi aumentado para 3,0 com base na observação de que veículos modernos que experimentam respostas Modo 5 parecem menos propensos a se desviar significativamente da trajetória pretendida do que veículos desenvolvidos anteriormente.

Os resultados do DAMP são muito mais sensíveis a A do que a B.

---

4. Metodologia para Avaliação de Probabilidades de Falha

Duas abordagens comuns para estimar probabilidades de falha de veículos de lançamento:

4.1 Abordagem de Análise de Partes (Engenharia)

Envolve modelos de blocos de confiabilidade dos subsistemas de lançamento. Limitações-chave (conforme Booz·Allen & Hamilton, 1992, e Office of Technology Assessment, 1988):

• Assume que as inter-relações entre subsistemas são completamente compreendidas
• Avalia a confiabilidade sob condições perfeitamente montadas, ignorando variações de fabricação/operações
• Efeitos negligenciados: instalação incorreta de componentes, programas de computador errôneos, fadiga do pessoal de suporte, raios, efeitos de envelhecimento (especialmente propelentes sólidos), corrosão, formação de gelo
• Todas essas abordagens envolvem um fator K subjetivo para compensar a diferença entre os ambientes de teste e de voo
• Não pode contabilizar falhas de projeto não detectadas

O RTI não utilizou esta abordagem.

4.2 Abordagem Empírica

Baseada no desempenho real dos ensaios de voo. Segundo o Office of Technology Assessment: "O único método completamente objetivo de estimar a probabilidade de falha de um veículo é pela análise estatística do número de falhas observadas em veículos idênticos sob condições representativas daquelas em que os lançamentos futuros serão tentados." O RTI baseou-se exclusivamente neste método.

---

5. Cálculo das Probabilidades de Falha

Resultados de ensaios do Atlas (532 lançamentos), Delta (232 lançamentos), Titan (337 lançamentos) e Thor (85 lançamentos no Range Leste) foram utilizados para três propósitos:

1. Prever a probabilidade global de falha de cada veículo por fase de voo
2. Estabelecer probabilidades relativas e globais para os Modos de Resposta 1–5
3. Estabelecer a frequência relativa de tombamento para os Modos 3 e 4

5.1 Probabilidade Global de Falha

Três métodos de filtragem/ponderação foram avaliados:

• Ponderação igual — sobrepondera dados antigos; menos adequada para amostras grandes
• Ponderação por contagem de índice — muito volátil para amostras pequenas; subpondera dados atuais para amostras grandes
• Ponderação exponencial — preferida pelo RTI; F = 0,98 escolhido como melhor equilíbrio

Probabilidades de falha recomendadas (Tabela 6, F = 0,98):

O Atlas e o Delta mostram melhoria de confiabilidade ao longo dos anos. O Titan apresenta tendência inversa.

Para o Delta, as mesmas probabilidades para as fases 0–1 e 0–2 refletem a ausência de qualquer falha do segundo estágio nos 125 voos da amostra representativa. O limite superior de confiança a 80% para a probabilidade de falha do segundo estágio Delta: ≤0,013.

5.2 Probabilidades Relativas e Absolutas para Modos de Resposta

Contagens de falhas de todos os 1.186 lançamentos (Atlas, Delta, Titan, Thor) nas fases 0–2:

Datas das falhas mais recentes por modo:

• Modo 1: Atlas 02/03/1965, Titan 12/12/1959, Thor 19/04/1958
• Modo 2: Atlas 18/12/1981, Titan 01/05/1963, Thor 30/12/1958
• Modo 3: Atlas 25/04/1961 (nenhuma para Delta, Titan ou Thor pós-1959)
• Modo 4: Atlas 22/08/1992, Delta 03/05/1986, Titan 05/10/1993
• Modo 5: Atlas 08/12/1980, Delta 27/08/1969, Titan 30/11/1965

Constante F = 0,993 escolhida para a amostra composta de 1.186 voos. Observações:

• As frequências de ocorrência dos Modos 1, 3 e 5 diminuíram ao longo dos anos
• Os Modos 2 e 4 são relativamente insensíveis ao fator de filtro → suas taxas de ocorrência não mudaram muito

Percentuais de modos de resposta recomendados para sistemas maduros (F = 0,993), fases 0–2: Modo 1: 0,4% · Modo 2: 5,4% · Modo 3: 0,1% · Modo 4: 86,2% · Modo 5: 7,9%

Probabilidades absolutas de falha para sistemas maduros:

5.3 Probabilidade Relativa de Tombamento para Modos 3 e 4

Até a fase de voo 2: 33 tombamentos em 132 respostas dos Modos 3 e 4. A porcentagem de respostas Modo 4 que terminam em tombamento com propulsão tem aumentado gradualmente. O RTI adotará aproximadamente um terço das respostas Modo 3 e 4 terminando em tombamento com propulsão.

---

6. Constantes de Forma por Simulação

Como não há dados de ensaio suficientes para estabelecer empiricamente as constantes de forma do Modo 5, o RTI desenvolveu métodos de simulação. Dois subtipos de falhas foram investigados:

Falhas de atitude aleatória (random-attitude failures): Falha de guia/controle resultando em direção de empuxo errônea e fixa. Programa RAFIP (Fortran, 3.900 linhas), abordagem Monte Carlo, 10.000 amostras de ponto de impacto por tempo inicial.

Falhas de giro lento (slow-turn failures): Bocal do motor travado próximo ao neutro com pequeno desalinhamento de empuxo (distribuição normal, média zero, σ = 0,1°). Produz distribuições de impacto semelhantes às falhas de atitude aleatória.

Constantes de forma derivadas

Atlas IIAS: Para B = 1.000 e qα = 14.000 deg-lb/pé² (interpolado): A = 3,00 (valor de referência anterior). Com nova probabilidade total de falha (0,031) e probabilidade condicional Modo 5 (0,08): probabilidade absoluta Modo 5 = 0,0025; Ec Modo 5 = 49,1 × 10⁻⁶ (comparado a 227 × 10⁻⁶ com pressupostos anteriores).

Delta-GEM: Para B = 1.000 e qα = 10.000: A = 4,30. Para qα = 5.000 deg-lb/pé², B = 1.000 não produz boa concordância; B = 2.000 necessário.

Titan IV: Para B = 1.000 e qα = 5.000: A = 3,50. Cálculos de risco de área de lançamento não realizados.

LLV1: Para B = 1.000, qα = 5.000: A = 2,75. Nenhum cálculo de risco realizado. O valor atualmente em uso B = 1.000 forneceu o melhor ajuste para todas as condições de ruptura.

Princípio fundamental: O valor de A é altamente sensível à qα e a B. Os riscos Modo 5 são altamente sensíveis a A mas insensíveis a B (para B de 1.000 a 5.000.000, os riscos Modo 5 diferem em apenas ~12% quando o A adequado é usado para cada B).

Para outros veículos novos: Seguir o mesmo procedimento de simulação. Como alternativa, estimar A e B por comparação com os quatro veículos listados (Atlas, Delta-GEM, Titan IV, LLV1). Valores médios para veículos sem dados: qα = 5.000 → A ≈ 3,1; qα = 10.000 → A ≈ 2,1; qα = 20.000 → A ≈ 1,9.

---

7. Investigações Futuras Potenciais

Por limitações de contrato (prazo e verbas), os seguintes pontos não foram completamente investigados:

1. Efeitos sobre A e B do uso de condições de ruptura (qα) mais precisas nas simulações de giro por avaria
2. Efeitos sobre A e B (e riscos) caso diferentes valores de T5 sejam usados nos cálculos teóricos e simulados
3. Efeitos se o arrasto for contabilizado nos pontos de impacto em queda livre após giro por avaria (exigiria modificações extensas no DAMP)
4. Efeitos sobre A e B usando setores menores que 5° (por exemplo, 1° ou 2°) para comparação dos dados
5. Efeitos nas probabilidades relativas de falha para veículos de propelente sólido se dados de veículos como Pershing, Polaris, Poseidon e Trident forem incluídos

Outras tarefas futuras:

• (a) Atualizar probabilidades absolutas de falha para Atlas, Delta, Titan e outros veículos
• (b) Desenvolver constantes de forma A e B adequadas para novos veículos

---

Apêndice C: Características dos Filtros

Três métodos de filtragem descritos e comparados:

Filtro de ponderação igual: Atribui peso igual a todos os dados. Fator de filtro recursivo = 1/n. Simples, mas sobrepondera dados antigos para amostras grandes.

Filtro de contagem de índice: Cada dado é ponderado por sua posição na sequência cronológica. Fator = 2n/(n+1). Muito volátil para pequenas amostras (40% do peso para o último teste numa amostra de 4 lançamentos). Para grandes amostras, os últimos 50 de 1.000 testes recebem apenas 9,7% do peso.

Filtro exponencial de memória decrescente: Cada dado ponderado por F^i (i = idade). Fator recursivo = (1−F)/(1−F^n), assintoticamente convergindo para (1−F).

• Para F = 0,98: o dado mais recente sempre recebe ≥2% do peso total; para amostras ≥200: a metade mais antiga dos dados recebe apenas ~11,7% do peso
• Valores abaixo de 0,97 ou acima de 0,99 produzem ponderações indesejáveis
• Valor preferido pelo RTI: F = 0,98 para probabilidades absolutas de falha por veículo; F = 0,993 para a amostra composta de 1.186 voos

---

Apêndice D: Históricos de Lançamento e Desempenho

D.2 Atlas — Histórico e Narrativas de Falha (resumo das principais)

• 13B, 15 jan 1959 (Modo 5, Fase 1): Taxas erráticas de arfagem/guinada/rolamento a partir de ~101 s; impacto ~170 milhas no sentido do voo e 7,5 milhas à esquerda.
• 4C, 27 jan 1959 (Modo 5, Fase 2): Sistema de guia inoperante; trajetória controlada pelo sistema pré-programado; impacto ~80 milhas além e 30 milhas à esquerda do ponto-alvo.
• 3E, 11 out 1960 (Modo 5, Fase 2): Perda de pressão hidráulica do sustentador a partir de 41 s; tombamento na separação do propulsor; empuxo continuou por ~18 s movendo o ponto de impacto ~270 milhas além e 27 milhas transversal; explosão aos 155 s.
• 4E, 29 nov 1960 (Modo 5, Fase 2): Perda de pressão hidráulica do sustentador; tombamento pouco após separação do propulsor; ponto de impacto moveu ~120 milhas além e 44 milhas transversal durante a fase solo do sustentador.
• BE, 24 jan 1961 (Modo 5, Fase 2) [exemplo definidor do Modo 5]: Estabilidade perdida em ~161 s; desligamento do sustentador aos 248 s; impacto a 1.316 milhas no sentido do voo e 215 milhas transversal.
• Atlas 145D / Mariner R-1, 22 jul 1962 (Modo 5, Fase 2): Desvio máximo de 60° em guinada e 28° em arfagem; destruído pelo RSO aos 293,5 s.
• Atlas 68E, 8 dez 1980 (Modo 5, Fase 1) [última falha Modo 5 do Atlas]: Motor sustentador pivotou o míssil para atitude de retrofoguete; continuou operando até ~282,9 s quando aquecimento de reentrada causou desligamento e ruptura.
• Atlas SLV-3 (GTA-9), 17 mai 1966 (Modo 5, Fase 1): Instabilidade por perda de controle de arfagem B2 aos 121 s; SECO, VECO e separação Agena ocorreram normalmente por comandos de programação, apesar da trajetória anormal.

D.3 Delta — Histórico e Narrativas de Falha (resumo das principais)

• Intelsat III A, 18 set 1968 (Modo 5, Fase 1) [exemplo definidor]: Perda do giroscópio de taxa; oscilações de arfagem e guinada violentas dos 59 aos 72 s; ruptura do primeiro estágio aos 103 s; peças impactaram ~12 milhas no sentido do voo e 2 milhas à esquerda.
• Pioneer E, 27 ago 1969 (Modo 5, Fase 1) [última falha Modo 5 do Delta]: Falha hidráulica do primeiro estágio; tombamento; segundo estágio recuperou controle em atitude de guinada-direita/arfagem-para-cima e voou estavelmente por ~240 s; destruído pelo oficial de segurança em T+484 s.
• GOES-G, 3 mai 1986 (Modo 4, Fase 1) [última falha significativa do Delta na amostra representativa]: Curto-circuito elétrico na caixa de relés do primeiro estágio; desligamento prematuro do motor principal aos 71 s; tombamento; RSO enviou destruição em ~91 s.

D.4 Titan — Histórico e Narrativas de Falha (resumo das principais)

• M-3, 7 set 1961 (Modo 5, Fase 2): Transitório no computador de guia aos 218,35 s; impacto 20 milhas aquém e 2,8 milhas à esquerda do alvo.
• M-4, 6 out 1961 (Modo 5, Fase 2) [exemplo definidor]: Erro de 1 bit no acúmulo de velocidade W; impacto 86 milhas aquém e 14 milhas à direita do alvo.
• Titan II "Thread Needle", 20 jun 1963 (Modo 5, Fase 2): Segundo estágio com baixo empuxo após BECO; veículo seguiu de perto a trajetória pretendida mas bem atrás do cronograma; giro lento à esquerda em ~480 s; SECO indicado ~10 s depois; destruição aos 532 s.
• Titan I "West Wind I", 8 dez 1964 (Modo 5, Fase 1): Mau funcionamento do nível de potência do primeiro estágio + desvios de guia; desviou muito para a esquerda, depois supercorrigiu muito para a direita, passando ao norte das Ilhas Midway.
• Landsat 6, 5 out 1993 (Modo 4, Fase 2) [última falha do Titan na amostra representativa].

D.5 Thor — Histórico e Narrativas de Falha (resumo das principais)

• 101, 25 jan 1957 (Modo 1, Fase 1) [primeiro lançamento Thor — falha no lançador]: Falha de válvula do sistema de combustível; míssil caiu de volta no lançador após atingir apenas ~22,9 cm de altitude.
• 112, 7 dez 1957 (Modo 5, Fase 1): Falha elétrica aos 107 s; ruptura do veículo em ~224 s (bem após MECO aos 156 s); impacto 200 milhas no sentido do voo e 40 milhas à esquerda da trajetória.
• 138, 5 nov 1958 (Modo 5, Fase 1): Míssil derivou na direção contrária ao voo e para a esquerda; falha no giroscópio de arfagem; destruição por comando aos 34,6 s.

---

Referências

1. Montgomery, R. M., e Ward, J. A., "Computations of Hit Probabilities From Launch-Vehicle Debris", RTI/4666/02F, 19 de setembro de 1990.
2. Eastern Test Range Directorate of Safety Post-Test Report, Teste D1000, 18 de junho de 1991. [Falha do Joust]
3. Ward, James A., "Baseline Launch-Area Risks for Atlas and Delta Launches", RTI/5180/60/40F, 30 de setembro de 1995.
4. Booz·Allen & Hamilton, Inc., "Spacelift Effective Capacity: Part 1 – Launch Vehicle Projected Success Rate Analysis", Rascunho, 19 de fevereiro de 1992 (Air Force Space Command).
5. Office of Technology Assessment, "Launch Options for the Future: Special Report", julho de 1988. 6–22. Históricos de lançamentos dos Ranges Leste e Vandenberg, guias de referência AIAA, arquivos de mísseis/veículos espaciais da 45ª e 30ª Asa Espacial, documentação Lockheed Martin Atlas e Titan, relatórios McDonnell Douglas Delta, relatórios da Aerospace Corporation (Chang, 1996; Quintero, 1996), e múltiplos Relatórios de Acidente/Incidente da USAF.