李 健，欒家輝，劉春雷

(中國航天標準化與產(chǎn)品保證研究院，北京市豐臺區(qū)100071)

1 引言

神舟十號的成功發(fā)射，標志著我國載人航天工程又向前邁出了堅實的一步。隨著我國載人航天工程的不斷發(fā)展，系統(tǒng)的復雜程度逐步提高、任務剖面更為復雜、在軌工作時間更長、環(huán)境更為嚴酷、航天員參與的程度更高，工程的風險也逐漸增大。在載人航天器的研制與在軌飛行過程中，全面收集產(chǎn)品的相關(guān)信息，分析、評估航天器的風險水平，對于減少事故的發(fā)生和故障的出現(xiàn)、提高載人航天器的安全性與可靠性、改進系統(tǒng)設(shè)計都發(fā)揮著重要的作用。

PRA方法是一項高度集成的風險分析與評價技術(shù)［1-2］，通過運用FMEA、危險分析、主邏輯圖等風險識別方法，同時采用事件樹、故障樹、動態(tài)故障樹、貝葉斯網(wǎng)絡等成熟的建模手段，綜合利用歷史數(shù)據(jù)、相似產(chǎn)品數(shù)據(jù)、試驗數(shù)據(jù)、在軌飛行數(shù)據(jù)與專家判斷等信息，描述系統(tǒng)的不確定性，量化評價工程中存在的風險(包括安全性風險、任務成功風險等)，同時確定系統(tǒng)的薄弱環(huán)節(jié)，輔助工程改進與系統(tǒng)升級，以風險數(shù)據(jù)指導工程決策。PRA在核電、化工等技術(shù)難度大、對安全性要求較高領(lǐng)域有著廣泛的應用。在航天領(lǐng)域，NASA已成功運用了此項技術(shù)，尤其在載人航天這一對可靠性安全性要求較高的領(lǐng)域，NASA將PRA作為評估安全性風險與任務成功風險的有效工具，取得了十分顯著的成效［3］。深入了解NASA載人航天PRA的實施情況，研究其管理與技術(shù)方法，對PRA方法在我國載人航天領(lǐng)域中的應用具有十分重要的意義。

2 PRA在NASA載人航天項目中的應用

PRA作為一項成熟的技術(shù)，在NASA的多個載人航天項目中進行了應用，其中，最具代表性的是在航天飛機、國際空間站與載人登月三個項目中的應用，三個項目分別是在設(shè)計階段、建造階段與成熟階段開展的PRA工作［4-6］。雖然均采用了成熟的PRA方法，但是，每個項目的工作重點與實施細節(jié)各不相同，充分體現(xiàn)了PRA方法在進行不同類型、不同階段項目的風險評估工作中的靈活性。

2.1 設(shè)計過程中的乘員探索飛行器

NASA在2006年5月完成了對乘員探索飛行器(CEV)執(zhí)行載人登月任務過程中的PRA，得到了航天員傷亡(LOC)與登月任務失敗(LOM)的發(fā)生概率。

NASA對此項目開展的PRA工作，正處于CEV的設(shè)計階段，此階段產(chǎn)品信息和數(shù)據(jù)信息十分有限。按照NASA的計劃，在2006年春開展設(shè)計評審，與此項PRA工作相吻合［4］，由此可以看出，CEV的PRA工作是為了對其設(shè)計方案進行定量的風險評估，對其安全性風險與任務成功的風險進行定量的評價。

通過輸入單機產(chǎn)品的可靠性數(shù)據(jù)信息，計算得到LOC與LOM的均值與90%區(qū)間估計［4］，如表1所示。

表1 載人登月任務風險評估結(jié)果Table 1 The result of CEV mission risk assessment

2.2 飛行器在軌組建過程中的國際空間站

國際空間站(ISS)的PRA工作分為四個階段。其中，7A構(gòu)型的PRA最為典型。下面以該階段PRA為例，說明ISS的PRA工作。該階段PRA完成于2000年11月，采用的產(chǎn)品與數(shù)據(jù)信息截止到2000年9月份，而ISS的7A構(gòu)型完成于2001年。從時間上可以看出，此時ISS正處于7A組建過程中，產(chǎn)品信息與數(shù)據(jù)信息較為完整，但缺少在軌飛行數(shù)據(jù)。在該階段開展PRA工作，是對即將完成的7A構(gòu)型的在軌運營風險(主要為安全性風險)進行評估［5］。

NASA對ISS的7A構(gòu)型開展的PRA工作是為了對該構(gòu)型的安全性風險進行評估［5，7］，同時考慮到關(guān)鍵系統(tǒng)損害與壓力艙損壞等情況，識別ISS的初因事件，并針對每一初因事件建立事件鏈模型，描述事件發(fā)展過程，并確定機毀人亡(LOS)、航天員傷亡(LOC)、航天員應急撤離(EVAC)、壓力艙損壞(LOM)、分系統(tǒng)失效(LOSys)和碰撞(COL)六種不良后果狀態(tài)。

通過PRA工作，NASA得到了以下評估結(jié)論［5］:

1)人類活動形成的太空垃圾和自然形成的微流星體與空間碎片(MOD)是導致機毀人亡(LOS)的最大威脅;

2)疾病成為導致航天員傷亡(LOC)和航天員應急撤離(EVAC)的主要原因;

3)由于ISS采用了可靠性設(shè)計方法，如冗余設(shè)計，即使某產(chǎn)品失效也不會直接導致LOS、LOC和EVAC等嚴重的后果狀態(tài)，而只會造成系統(tǒng)失效(LOSys)和密封艙失效(LOM)等一般的后果狀態(tài)。

2.3 成熟飛行中的航天飛機

航天飛機在“挑戰(zhàn)者”號失事后，經(jīng)過反復考量，才決定開展PRA工作。隨后，在1995年完成了初次PRA工作，并隨著航天飛機的飛行時間不斷延長，更改風險模型，補充飛行數(shù)據(jù)，更新評估結(jié)果，尤其在“哥倫比亞”號航天飛機失事后對評估結(jié)果進行了更新［6］。

作為經(jīng)過百余次飛行的航天飛機，雖然出現(xiàn)了兩次致命的事故，導致機毀人亡，但作為載人天地往返運輸工具，其技術(shù)相對成熟，并在飛行過程中出現(xiàn)過嚴重的問題，產(chǎn)品信息與數(shù)據(jù)信息十分充足。開展PRA的主要目的是對航天飛機的安全性進行復核，評估機毀人亡的發(fā)生概率，同時尋找系統(tǒng)的薄弱環(huán)節(jié)，采取風險控制措施，進一步提高系統(tǒng)的安全性。

通過輸入單機產(chǎn)品的可靠性數(shù)據(jù)信息［6］，包括產(chǎn)品的試驗數(shù)據(jù)與實際飛行數(shù)據(jù)等，對模型進行量化，得到后果狀態(tài)LOCV的評估結(jié)果，以及導致LOCV最小割集事件的重要度排序，以確定系統(tǒng)的薄弱環(huán)節(jié)，支持設(shè)計改進。

在1995年對LOCV的評估結(jié)果分別為1/131，在航天飛機成功執(zhí)行三年任務后，在1998年，LOCV的評估結(jié)果更新為1/239，但在2003年2月，“哥倫比亞”號失事后，對航天飛機進行重新評估，其評估結(jié)果為 1/76［6］。

2.4 對比分析

對NASA三個載人航天項目的PRA工作對比分析的結(jié)果如表2所示［4-6］。由于三個項目的任務特點不同，開展PRA工作的任務階段也各不相同，在進行評估時，CEV處于設(shè)計階段;ISS處于建造階段;航天飛機處于成熟飛行階段，并在飛行任務中出現(xiàn)了嚴重的問題。由于開展PRA的階段不同，能夠獲得的產(chǎn)品信息與數(shù)據(jù)信息的信息量不同，例如，CEV只有設(shè)計方案，而沒有試驗數(shù)據(jù)和飛行數(shù)據(jù);ISS具有部分試驗數(shù)據(jù)和飛行數(shù)據(jù);航天飛機具有充足的試驗數(shù)據(jù)和飛行數(shù)據(jù)。

表2 NASA三個載人航天項目PRA工作對比表Table 2 Comparison of PRA in NASA’s three manned space flight programs

3 我國空間站工程開展PRA工作的幾點思考

PRA在國外載人航天風險評估中有著廣泛的應用，并取得了顯著的成效。對于我國空間站工程也可借鑒PRA方法，以進行量化風險評價工作。

3.1 風險評估范圍

風險的范圍十分廣泛，涉及眾多領(lǐng)域。而NASA對其載人航天項目的風險評估，主要是針對安全性風險與任務成功風險，僅涉及與航天員安全與任務成功的相關(guān)風險，評估航天員傷亡與任務失敗的概率，而PRA評估中均未考慮進度風險、費用風險與其它風險因素。

借鑒NASA經(jīng)驗，我國空間站工程若開展風險評估，也應嚴格控制其范圍，立足于安全性與可靠性問題，通過PRA這一有效的集成評估工具，對各系統(tǒng)的風險進行評估，量化航天員傷亡的概率與任務失敗的概率，同時回答安全性與可靠性的定量指標。

3.2 風險評估方案

3.2.1 工作規(guī)劃與評估重點

我國空間站工程的開展具有明顯的階段性，具體可分為綜合論證階段、方案階段、初樣階段、正(試)樣階段、組建階段、運營階段等。通過分析國外多個載人航天項目在不同階段開展PRA工作的目的與評估思路的不同，結(jié)合我國空間站當前的發(fā)展階段，將我國空間站量化風險評價的工作分為:綜合論證與方案階段評估、研制生產(chǎn)階段評估、組建階段評估與運營階段評估4個階段。在空間站風險評價的不同階段，由于階段特點與信息量的不同，其評估目的與實施重點也有所不同。在進行PRA時，應根據(jù)不同階段的特點，充分利用該階段的設(shè)計與數(shù)據(jù)信息，識別風險，并對該階段的風險進行分析與評價，以指導工程決策［8］。

1)綜合論證與方案階段

綜合論證階段與方案階段為空間站任務的最初階段，該階段設(shè)計方案尚未最終確定，仿真與試驗數(shù)據(jù)也十分有限，因此，風險評估的層次可不必太深，其重點是對空間站的總體設(shè)計方案的合理性、新技術(shù)的可行性與成熟技術(shù)的繼承性等進行風險評估。分析過程中，應根據(jù)方案的詳細程度與可獲得數(shù)據(jù)的情況，并有效結(jié)合專家判斷，逐級展開PRA，識別主要的風險因素，利用PRA建模技術(shù)和方法，初步形成空間站方案的事件鏈，對空間站的方案進行初步的風險評估，分析確定空間站項目的頂層風險，并提出降低風險的設(shè)計改進措施，為研制生產(chǎn)者選擇安全可靠的產(chǎn)品提供支持。

2)研制生產(chǎn)階段

與方案論證階段相比，該階段空間站的組裝與運營方案已基本確定，并已逐步開展關(guān)鍵技術(shù)的驗證工作，各單機與分系統(tǒng)的仿真與試驗數(shù)據(jù)不斷豐富，可支持空間站系統(tǒng)PRA的深入分析。因此，本階段應在方案論證階段風險評估的基礎(chǔ)上，利用PRA的技術(shù)和方法，豐富事件鏈模型，并充分利用空間站各組成系統(tǒng)的研制生產(chǎn)過程中的數(shù)據(jù)信息對空間站的任務風險和安全性風險進行定量評價。

3)組裝建造階段

空間站進入組建階段后，確認其系統(tǒng)狀態(tài)與研制生產(chǎn)階段的差別，并將收集到的實際飛行數(shù)據(jù)加入到模型中，使PRA模型得到擴展。本階段的PRA還可根據(jù)在軌工作數(shù)據(jù)，對空間站組裝過程中的風險進行評估，提出降低空間站組裝風險的措施。隨著新的信息的增加，可以進一步增強PRA模型的準確性，以支持工程決策。

4)運營階段

隨著新的在軌工作數(shù)據(jù)的不斷增加，不斷改進PRA模型、修正PRA評估結(jié)果，提高評估的準確性。本階段的工作重點包括:①利用運營過程中的觀測數(shù)據(jù)進行風險計算和自動風險監(jiān)控;②評估常規(guī)或應急的操作、維修活動等對安全風險和任務風險的影響，提出降低風險的操作或維修策略;③評估不同的技術(shù)升級方案的風險，提出風險最小、效益最高的技術(shù)升級方案;④為空間站延壽策略提供風險決策數(shù)據(jù)支持。

通過運營階段的風險評估，可以提供空間站工作的風險數(shù)據(jù)，從而減小運營階段風險，提高空間站工作的可靠性。

3.2.2 實施方案

由于各階段PRA的信息量不同，加之各系統(tǒng)的任務特點各異，導致PRA的分析與建模方法也有所不同。PRA的分析思路與建模方法歸納起來可分為以下兩類:

1)任務階段分析法

在明確評估目的與需求的基礎(chǔ)上，分析任務剖面，劃分任務階段，根據(jù)任務階段建立事件鏈模型，再將事件鏈中的每個階段通過故障樹、動態(tài)故障或貝葉斯網(wǎng)絡等方法逐層展開，實現(xiàn)模型的量化。

2)關(guān)鍵事件識別法

在明確評估目的與需求的基礎(chǔ)上，采用FMEA、危險分析、主邏輯圖等方法全面識別初因事件，并針對每一初因事件建立事件鏈模型，描述事件的發(fā)展過程。隨后根據(jù)事件鏈中的初因事件與中間事件，建立故障樹、動態(tài)故障或貝葉斯網(wǎng)絡等模型，以實現(xiàn)模型的量化。

對于我國空間站工程，在安全性與可靠性方面，重點關(guān)注“單次乘組安全性”、“組建可靠性”與“運營可用性”三個方面，而空間站的風險評估結(jié)果應能夠回答這三個指標，并在此基礎(chǔ)上指導設(shè)計改進與工程決策。

參與空間站工程飛行任務的飛行產(chǎn)品包括空間站系統(tǒng)、運載火箭系統(tǒng)、載人飛船系統(tǒng)、貨運飛船系統(tǒng)等。在對空間站工程進行分析的過程中，根據(jù)第2節(jié)國外三個典型載人航天項目的PRA可以看出，針對不同對象，PRA的最大不同在于事件鏈的建模方法，這是風險評估的基礎(chǔ)。不同的事件鏈，體現(xiàn)著不同的評估思路。對于工程大系統(tǒng)，PRA可針對不同任務開展，根據(jù)具體任務，按照任務階段建立模型，例如:空間站三艙組裝建造任務、單次乘組任務、貨運飛船補給任務等。而對工程各系統(tǒng)的PRA，則應根據(jù)各自的任務特點，選擇合適的事件鏈建模方法。

對于工程大系統(tǒng)，“單次乘組安全性”和“組建可靠性”分別描述了航天員乘組飛行任務與空間站在軌組建任務，因此，PRA可根據(jù)具體任務，按照任務階段建立模型，采用任務階段分析法開展PRA工作;“運營可用性”描述的是空間站的在軌運營狀態(tài)，在運營過程中，除了空間站系統(tǒng)需要正常工作外，還需要完成乘組輪換任務，以保證航天員能夠高效的完成在軌維修與實驗任務，以及貨運飛船補給任務，以保證空間站的推進劑、備品備件與其它貨物的補給，因此，“運營可用性”由空間站系統(tǒng)在軌運營、單次乘組任務、貨運飛船補給任務共同保證，需要對其分別開展PRA，并綜合計算運營可用性結(jié)果。

對于各系統(tǒng)的PRA，則應根據(jù)各自的任務特點，選擇合適的PRA分析方法。其中，運載火箭系統(tǒng)的任務是將航天器發(fā)射入軌;載人飛船系統(tǒng)的任務是執(zhí)行乘組輪換;貨運飛船執(zhí)行物資補給任務，此三個系統(tǒng)的工作均具有明確的階段性，飛行時序相對固定，且均無法進行在軌維修，因此，此三個系統(tǒng)可通過任務過程建立事件鏈模型，采用任務階段分析法開展PRA工作。對于空間站系統(tǒng)，在組建完成后，始終處于在軌運營狀態(tài)，且能夠通過航天員在軌更換與維修活動，保證其運營的可用性，因此，對于空間站系統(tǒng)，可采用關(guān)鍵事件識別法開展PRA工作。

對于我國空間站的PRA思路如圖1所示。左邊第一列為工程的系統(tǒng)組成，列出了參與飛行任務的各系統(tǒng);第二列為各系統(tǒng)的任務與特點，對于工程大系統(tǒng)，需要完成空間站的組建任務，單次乘組任務與貨物補給任務，涉及空間站的13個系統(tǒng);第三列為每項任務或每個系統(tǒng)采用的PRA分析思路與方法;第四列為通過PRA能夠評估的安全性可靠性指標。從圖中可以看出，“單次乘組安全性”與“運營可用性”兩個總體指標以及各系統(tǒng)的指標，可通過對任務與系統(tǒng)的評估直接得到，而空間站的在軌“運營可用性”的評估，需要空間站系統(tǒng)，以及單次乘組任務與貨物補給任務共同保證。

圖1 PRA工作思路Fig.1 Working consideration of PRA

3.3 案例分析

下面以“單次乘組任務”與“空間站系統(tǒng)”兩個不同的評估對象，分別說明“任務階段分析法”與“關(guān)鍵事件識別法”的分析思路與建模方法，以支持空間站工程的評估。

3.3.1 針對單次乘組任務的任務階段分析法

單次乘組任務是航天員乘組從地面發(fā)射到再入返回著陸的整個過程?？臻g站的安全性分析主要圍繞航天員的安全展開，空間站的組建與在軌運營各項工作都是由航天員每班乘組往返飛行任務來完成的，而每次飛行任務中除了空間站系統(tǒng)本身可靠性在變化外(由于空間站系統(tǒng)在軌工作時間長，即使考慮維修，其可靠性也會隨時間增加而有所降低)，其他參與任務的系統(tǒng)在每次任務中都是相對獨立的。因此，對空間站工程中航天員安全性分析的出發(fā)點就是每班乘組飛行無論執(zhí)行的任務性質(zhì)(如在軌組裝、在軌維修、例行的乘組輪換、開展空間實驗等)、任務持續(xù)時間長短(短期到訪或者長期在軌駐留)以及任務是否能夠完成，都要確保航天員能夠安全返回。

單次乘組任務可分為發(fā)射入軌、交會對接、在軌駐留、再入返回等過程，按照單次乘組任務過程，建立事件鏈模型如圖2所示。初因事件為任務啟動，即火箭點火，每個任務過程作為事件鏈模型的中間事件，后果狀態(tài)初步定義為:LOC(航天員傷亡)、LOM(任務失敗)、OK(任務順利完成)。在風險模型的基礎(chǔ)上，對初因事件與各中間事件進行量化，獲得后果狀態(tài)的發(fā)生概率與其它風險信息。

3.3.2 針對空間站系統(tǒng)在軌運營的關(guān)鍵事件識別法

對于空間站系統(tǒng)的PRA，采用關(guān)鍵事件識別法，通過初步構(gòu)建如圖3所示的主邏輯圖，將空間站的風險分為功能類風險、任務類風險、內(nèi)部災害與外部事件、航天員受傷或喪失工作能力四類，并將每類事件逐層展開，直到識別出初因事件，再針對每個初因事件建立事件鏈模型。

圖2 單次乘組任務事件鏈模型Fig.2 The scenario of single crew rotation mission

下面以“內(nèi)部災害與外部事件”中的核心艙遭受MOD撞擊后穿透為例，說明關(guān)鍵事件識別法的風險分析思路。初因事件為“核心艙穿透”，在核心艙穿透后，空間站會采取一系列措施，防止出現(xiàn)事故。定義后果狀態(tài)為:LOS(機毀人亡)、LOC(航天員傷亡)、EVAC(航天員撤離)與 OK(對空間站與航天員無影響)4種。建立事件鏈模型如圖4所示。在風險模型的基礎(chǔ)上，對初因事件與各中間事件進行量化，獲得后果狀態(tài)的發(fā)生概率與其它風險信息。

圖3 空間站系統(tǒng)PRA主邏輯圖(含頂層的四個層次)Fig.3 Top four levels of the space station PRA master logic diagram

圖4 空間站系統(tǒng)MOD穿透事件鏈模型Fig.4 The scenario of MOD penetration into the space station

以上兩個例子只是簡要說明針對兩種不同類型的評估對象，采用的兩種不同的PRA思路。隨著研究的不斷深入，任務階段的不斷向前推進，可用于PRA的產(chǎn)品信息與數(shù)據(jù)信息逐漸增多，對該模型可以不斷細化，使模型與任務的一致度不斷增加，使評估結(jié)果更為準確、更為豐富。

3.4 工作建議

雖然PRA方法在核電、化工領(lǐng)域以及國外航天領(lǐng)域已經(jīng)得到了廣泛的應用，但是，針對我國載人航天的發(fā)展特點，我國空間站要開展PRA工作，還存在著一定的困難，例如，數(shù)據(jù)信息不足、初因事件的識別缺少經(jīng)驗積累等。因此，在現(xiàn)階段就應采取相應措施，加強信息的積累與經(jīng)驗積累。

1)制定空間站風險量化評價規(guī)范與實施指南，統(tǒng)一工作思路;

2)根據(jù)載人航天發(fā)展經(jīng)驗與空間站現(xiàn)有資料，識別空間站頂層故障模式，初步建立空間站系統(tǒng)初因事件列表;

3)針對頂層故障模式，明確風險應對策略;

4)建立載人航天工程數(shù)據(jù)庫，積累載人航天用各類產(chǎn)品的數(shù)據(jù)信息，包括飛行數(shù)據(jù)、地面試驗數(shù)據(jù)等。

4 結(jié)論

選取了NASA三個典型的載人航天項目所開展的PRA工作，對比分析了三個項目PRA開展的背景、實施的目的、方法與評估結(jié)果。在此基礎(chǔ)上，分析我國空間站的特點，并針對安全性可靠性的指標要求，提出我國空間站工程開展PRA工作的思路與分析方法，以評估空間站的安全性與可靠性，并支持設(shè)計改進與工程決策。

［1］NPR 8705.5A TechnicalProbabilistic Risk Assessment(PRA)procedures for safety and mission success for NASA programs and projects［S］.Office of safety and mission assurance.2010

［2］劉金燕，鄭恒，鄭云青，等.基于概率風險評價的對接機構(gòu)可靠性評估［J］.載人航天，2012(3):41-45.

［3］NASA/SP-2011-3421 Probabilistic Risk Assessment procedures guide for NASA managers and practitioners［S］.NASA Headquarters Washington，DC.2011.

［4］Prassinos P G，Stamatelatos M G，Young J，et al.Constellation Probabilistic Risk Assessment(PRA):Design considerations for CEV［R］.OSMA-PRA-07-01，NASA Washington，DC.2006.

［5］O’Connor B，Smith C.International Space Station Probabilistic Risk Assessment［R］.NASA PRA workshop.2001.

［6］Fragola J R，F(xiàn)rank M V.Probabilistic Risk Assessment of the space shuttle，A study of the potential of losing the vehicle during nominal operation，final report［R］.NASA-CR-197808，science application international corporation.New York:Advanced technology division，1995.

［7］Fisher W F，Price C R.Space station freedom external maintenance task team final report［R］.Washington，DC:NASA Johnson Space Center，1990，7.

［8］ISO/WD 16193 Probabilistic Risk Assessment［S］.NASA Washington，DC.2004.