楊海峰 肖雪迪 尹驍陽(yáng)

(北京空間飛行器總體設(shè)計(jì)部，北京 100094)

隨著2021年4月29日我國(guó)天和號(hào)核心艙發(fā)射成功，標(biāo)志著我國(guó)載人航天工程“三步走”發(fā)展戰(zhàn)略的第三步“建造空間站，解決有較大規(guī)模的、長(zhǎng)期有人照料的空間應(yīng)用問(wèn)題”正式開始[1]，宣告我國(guó)正式邁進(jìn)空間站時(shí)代。2022年4月16日9時(shí)56分，隨著神舟十三號(hào)返回艙在東風(fēng)著陸場(chǎng)安全降落，標(biāo)志著我國(guó)空間站關(guān)鍵技術(shù)驗(yàn)證階段第二次載人交會(huì)對(duì)接任務(wù)取得了圓滿成功。神舟十三號(hào)在軌運(yùn)行180天，創(chuàng)造了我國(guó)神舟飛船載人飛行任務(wù)時(shí)長(zhǎng)新紀(jì)錄。隨著我國(guó)進(jìn)入空間站任務(wù)時(shí)代，神舟飛船發(fā)射頻率將顯著提高，神舟飛船天地往返運(yùn)輸任務(wù)將成為常態(tài)。

“載人航天，人命關(guān)天”，空間站建造任務(wù)及長(zhǎng)期運(yùn)營(yíng)過(guò)程中，保證航天員全任務(wù)安全性是所有載人航天器研制過(guò)程中需要遵循的首要原則。空間站任務(wù)載人飛船在保證航天員全任務(wù)安全性方面有以下特點(diǎn)：①工程技術(shù)復(fù)雜，產(chǎn)品配套多，大系統(tǒng)接口多，發(fā)生故障概率高；②任務(wù)剖面復(fù)雜，危險(xiǎn)因素多，安全性保證難度大；③載人飛船發(fā)射頻率高，運(yùn)行時(shí)間長(zhǎng)，安全性風(fēng)險(xiǎn)大。從1961年人類首次載人航天飛行成功至今，在載人航天工程地面試驗(yàn)和訓(xùn)練中共有9名宇航員死亡，在載人航天飛行任務(wù)執(zhí)行過(guò)程中，共有18名宇航員死亡[2]。2018年10月11日俄羅斯聯(lián)盟MS-10載人飛船發(fā)射失敗，船上2名宇航員啟動(dòng)應(yīng)急逃逸系統(tǒng)安全著陸[2]，一方面表明了載人航天的高風(fēng)險(xiǎn)；另一方面也說(shuō)明了載人航天器安全性設(shè)計(jì)的重要性，必須持續(xù)關(guān)注載人航天器的安全性問(wèn)題并提升其安全性水平。

針對(duì)空間站任務(wù)航天員安全性保證技術(shù)特點(diǎn)，本文提出了載人飛船系統(tǒng)級(jí)安全性保證方法，通過(guò)神舟飛船“用戶安全性要求→系統(tǒng)安全性分析(危險(xiǎn)源識(shí)別)→系統(tǒng)級(jí)安全性設(shè)計(jì)→安全性實(shí)現(xiàn)及改進(jìn)”等全過(guò)程系統(tǒng)級(jí)安全性保證工作，確保危險(xiǎn)識(shí)別充分，安全性保證措施有效，安全性指標(biāo)滿足要求。

1 空間站任務(wù)載人飛船安全性保證特點(diǎn)

1)安全性指標(biāo)要求高

不同于衛(wèi)星等無(wú)人航天器，空間站任務(wù)由于航天員的參與而對(duì)安全性指標(biāo)有了近乎苛刻的要求。神舟飛船的安全性定量指標(biāo)要求大于0.97，這就需要在設(shè)計(jì)實(shí)現(xiàn)過(guò)程中投入更多的資源去滿足這些要求。例如增加冗余備份、人控設(shè)計(jì)、人機(jī)交互設(shè)計(jì)等，也大大增加了神舟飛船整體方案的復(fù)雜程度和技術(shù)難度。

2)覆蓋全任務(wù)階段

空間站任務(wù)明確要求飛船系統(tǒng)“確保航天員在飛行任務(wù)全過(guò)程的安全”，包括待發(fā)段、發(fā)射段、在軌運(yùn)行段、組合體?？慷?、返回載入段等。不同的任務(wù)階段有不同的工作模式和工作環(huán)境，面臨不同的危險(xiǎn)源，這就需要針對(duì)各個(gè)任務(wù)階段設(shè)計(jì)專項(xiàng)的應(yīng)急方案或預(yù)案，在該任務(wù)階段發(fā)生對(duì)應(yīng)的故障時(shí)，則直接轉(zhuǎn)入相應(yīng)的應(yīng)急分支，確保航天員安全。因此全任務(wù)階段存在危險(xiǎn)源識(shí)別不充分，預(yù)案未全覆蓋的風(fēng)險(xiǎn)。這就需要開展全任務(wù)各階段危險(xiǎn)源分析及應(yīng)急方案設(shè)計(jì)，也將增加神舟飛船整體方案設(shè)計(jì)的難度。

3)實(shí)時(shí)性和長(zhǎng)期性

相比于載人航天二期任務(wù)期間神舟十一號(hào)最長(zhǎng)留軌1個(gè)月，空間站任務(wù)期間航天員乘組輪換及長(zhǎng)期留軌成為常態(tài)?？臻g站任務(wù)設(shè)計(jì)壽命不小于10年，以往短期任務(wù)通過(guò)地面人員24 h人工監(jiān)視判讀的模式已完全無(wú)法適應(yīng)空間站任務(wù)常態(tài)化安全性保證需求。需要在地面自動(dòng)化判讀、應(yīng)急響應(yīng)機(jī)制等方面進(jìn)一步開展工作，以應(yīng)對(duì)空間站任務(wù)期間隨時(shí)可能出現(xiàn)的應(yīng)急情況。例如組合體發(fā)生了失火失壓等故障模式，是否需要緊急撤離;載人飛船本身發(fā)生了不能返回的故障模式，是否需要啟動(dòng)應(yīng)急救援飛船等，均需要第一時(shí)間進(jìn)行準(zhǔn)確判讀、正確處置。

2 系統(tǒng)安全性分析

安全性設(shè)計(jì)的對(duì)象是影響航天員安全的故障危險(xiǎn)源和安全性關(guān)鍵項(xiàng)目，因此首先應(yīng)分析、識(shí)別這些項(xiàng)目，載人航天器研制過(guò)程中最常用的方法有故障模式及影響分析(FMEA)、故障樹分析(FTA)以及經(jīng)驗(yàn)法。同時(shí)在載人航天器長(zhǎng)期的型號(hào)研制及多次飛行試驗(yàn)實(shí)踐中，增加了動(dòng)態(tài)過(guò)程的風(fēng)險(xiǎn)識(shí)別，體現(xiàn)全任務(wù)、全系統(tǒng)識(shí)別安全性薄弱環(huán)節(jié)優(yōu)勢(shì)。提煉總結(jié)了諸如與故障樹相結(jié)合的關(guān)鍵事件分析法、飛行時(shí)域危險(xiǎn)分析法等，從不同的分析維度全任務(wù)、全系統(tǒng)識(shí)別安全性薄弱環(huán)節(jié)，確保安全性設(shè)計(jì)更為全面、準(zhǔn)確不漏項(xiàng)。

1)危險(xiǎn)分析法

危險(xiǎn)分析法比較成熟，一般嚴(yán)格按照標(biāo)準(zhǔn)規(guī)范或用戶制定的安全性大綱開展工作即可。通過(guò)對(duì)照危險(xiǎn)源檢查單，載人航天器一般危險(xiǎn)源包括著火、爆炸、振動(dòng)、沖擊、聲振、熱、污染、輻射、放電、病理生理心理及其它威脅生命和健康的產(chǎn)品；故障危險(xiǎn)源主要考慮故障模式嚴(yán)酷度等級(jí)為I類的所有故障和可能影響航天員安全的II類故障，其中I類故障模式一般指那些能直接導(dǎo)致航天員傷亡、任務(wù)失敗的故障模式，II類故障影響低于I類。I類、II類相關(guān)的軟硬件產(chǎn)品、功能及操作規(guī)程，一般也作為確定安全性關(guān)鍵項(xiàng)目的依據(jù)。

對(duì)識(shí)別出的危險(xiǎn)源從危險(xiǎn)嚴(yán)重性、危險(xiǎn)可能性兩個(gè)維度進(jìn)行風(fēng)險(xiǎn)指數(shù)評(píng)估，根據(jù)風(fēng)險(xiǎn)指數(shù)確定風(fēng)險(xiǎn)是否可接受。一般風(fēng)險(xiǎn)指數(shù)在18～20的不需評(píng)審即可接受，10～17評(píng)審可接受后需備案，1～9一般不可接受。對(duì)于不可接受的風(fēng)險(xiǎn)，需要提出針對(duì)性的安全性設(shè)計(jì)措施，對(duì)于風(fēng)險(xiǎn)不可接受且不再打算進(jìn)一步采取安全性措施的危險(xiǎn)，則定為殘余危險(xiǎn)報(bào)用戶審批備案。

2)基于關(guān)鍵事件時(shí)序分析法

該方法適合已有較為詳盡飛行方案的初樣階段開展，側(cè)重于貼近執(zhí)行飛行任務(wù)的角度，通過(guò)確定任務(wù)的目標(biāo)及成功判據(jù)，對(duì)飛行程序中“每個(gè)動(dòng)作/事件的失敗影響”進(jìn)行分析，按照時(shí)序動(dòng)態(tài)識(shí)別出導(dǎo)致航天員傷亡的一系列關(guān)鍵事件；然后對(duì)關(guān)鍵事件的完成保障條件開展分析，識(shí)別出導(dǎo)致關(guān)鍵事件失敗的產(chǎn)生原因，如測(cè)控條件約束、數(shù)據(jù)注入及協(xié)同匹配等，找出潛在的薄弱環(huán)節(jié)，提出可能采取的預(yù)防和(或)設(shè)計(jì)改進(jìn)措施及在軌補(bǔ)償措施，為安全性設(shè)計(jì)改進(jìn)、故障預(yù)案制定、地面判讀提供參考。該方法的主要思想和過(guò)程如圖1所示[3]。

圖1 基于關(guān)鍵事件的系統(tǒng)級(jí)單點(diǎn)故障識(shí)別方法Fig.1 Single point failure identification method based on critical incident

先明確系統(tǒng)級(jí)任務(wù)目標(biāo)，然后按照任務(wù)階段劃分，對(duì)每個(gè)階段飛行事件執(zhí)行結(jié)果對(duì)任務(wù)目標(biāo)的影響進(jìn)行分析，識(shí)別出關(guān)鍵事件；其次開展以關(guān)鍵事件為頂事件的故障樹分析；最后根據(jù)故障樹分析結(jié)果，識(shí)別出的那些直接導(dǎo)致關(guān)鍵事件不能完成的故障模式作為系統(tǒng)級(jí)單點(diǎn)故障模式，通過(guò)采取隔離故障不擴(kuò)散或采取人工地面補(bǔ)救措施(故障預(yù)案)等，盡可能的將風(fēng)險(xiǎn)降到最低。

例如神舟十二號(hào)載人飛船任務(wù)準(zhǔn)備階段識(shí)別67項(xiàng)關(guān)鍵事件，設(shè)計(jì)、關(guān)聯(lián)了相應(yīng)的故障對(duì)策，編制了監(jiān)視頁(yè)面，任務(wù)中作為地面重點(diǎn)判讀內(nèi)容之一。

該方法在飛行方案詳細(xì)設(shè)計(jì)、飛行任務(wù)準(zhǔn)備階段還可以通過(guò)“角色扮演”的形式組織人員按照飛行程序進(jìn)行推演，這些“角色”包括神舟飛船、空間站、航天員、地面支持等，通過(guò)推演能夠發(fā)現(xiàn)飛行程序中不協(xié)調(diào)的事件(含大系統(tǒng)接口)、安全性薄弱環(huán)節(jié)、不完備的保障資源，為安全性設(shè)計(jì)改進(jìn)提供參考。這種較為隱蔽的“軟故障模式”往往是FMEA、FTA等傳統(tǒng)分析方法很難識(shí)別的。

3)飛行過(guò)程(時(shí)域)危險(xiǎn)分析法

該方法同樣基于飛行程序，同樣進(jìn)行全任務(wù)階段的危險(xiǎn)源識(shí)別，不同之處在于側(cè)重于識(shí)別各任務(wù)階段下特定“環(huán)境因素”所隱藏的“重大危險(xiǎn)源”，這些危險(xiǎn)源涵蓋各大系統(tǒng)，接口復(fù)雜，容易遺漏，且誘發(fā)的事故后果往往是災(zāi)難性的，所以必須將這些危險(xiǎn)源逐一識(shí)別出來(lái)并制定應(yīng)急方案(見(jiàn)圖2)。

圖2 空間站任務(wù)階段神舟飛船任務(wù)剖面示意圖Fig.2 Mission profile of Shenzhou spacecraft in the space station mission

這些應(yīng)急方案一般也直接影響各大系統(tǒng)的方案設(shè)計(jì)，所以分析工作也必須是站在整個(gè)工程總體高度開展。以神舟飛船為例，為執(zhí)行交會(huì)對(duì)接任務(wù)，飛船系統(tǒng)進(jìn)行了全過(guò)程危險(xiǎn)分析、設(shè)計(jì)，針對(duì)船器近距離交會(huì)、組合體長(zhǎng)期停靠等新任務(wù)，進(jìn)行了近距離避撞、組合體應(yīng)急撤離等專項(xiàng)安全性設(shè)計(jì)。

3 系統(tǒng)安全性保證措施與應(yīng)用

3.1 消除危險(xiǎn)設(shè)計(jì)

通過(guò)設(shè)計(jì)手段使得產(chǎn)品和系統(tǒng)本身具有安全性，即使在發(fā)生故障或誤操作的情況下也不會(huì)造成安全性事故，實(shí)現(xiàn)“本質(zhì)安全”。載人飛船方案設(shè)計(jì)之初盡量不使用或減少使用可能對(duì)系統(tǒng)安全構(gòu)成潛在威脅或可能造成危害因素的產(chǎn)品或功能。

以防火設(shè)計(jì)為例，1967年1月阿波羅1號(hào)地面演練時(shí)，駕駛艙起火并劇烈燃燒導(dǎo)致3名航天員死亡。事故的調(diào)查結(jié)果定位在座椅附近的電線短路迸出火花，在密封艙純氧環(huán)境下大量易燃物燃燒并迅速蔓延，且艙門被一系列門閂、棘輪鎖死，打開困難。目前我國(guó)包括神舟飛船在內(nèi)的載人航天器密封艙均采用3∶7的氧氮混合氣體；飛船使用的所有非金屬材料按照選用要求篩選并經(jīng)過(guò)阻燃及燃燒性能檢測(cè)，結(jié)果合格方可裝船；飛船大功率用電設(shè)備有限流措施；飛船還配備了滅火器、防毒面具，制定了專項(xiàng)滅火程序，寫進(jìn)了航天員故障處置手冊(cè)中，由航天員進(jìn)行專項(xiàng)訓(xùn)練。經(jīng)過(guò)一系列措施在密封艙防火性能上實(shí)現(xiàn)“本質(zhì)安全”。

3.2 故障容限設(shè)計(jì)

對(duì)于識(shí)別出的影響航天員安全的關(guān)鍵功能通過(guò)采取冗余、故障重構(gòu)、安全模式等設(shè)計(jì)方法，盡可能消除影響航天員系統(tǒng)級(jí)單點(diǎn)故障模式，達(dá)到提升載人航天器安全性水平的目的。對(duì)于因設(shè)備屬性、資源代價(jià)約束等確實(shí)無(wú)法消除的系統(tǒng)級(jí)單點(diǎn)故障模式，應(yīng)采取充分的可靠性、安全性設(shè)計(jì)措施降低故障模式危險(xiǎn)風(fēng)險(xiǎn)至用戶可接受水平。

神舟飛船設(shè)計(jì)之初就按照“一重故障工作，二重故障安全”原則開展整船方案設(shè)計(jì)，在滿足整船資源約束的條件下，最大可能提升整船安全性水平，見(jiàn)表1。

表1 神舟飛船關(guān)鍵功能故障容限設(shè)計(jì)情況Table 1 Failure tolerance design of key function of Shenzhou spacecraft

3.3 關(guān)鍵功能人控設(shè)計(jì)

與衛(wèi)星等無(wú)人航天器不同，載人航天器因?yàn)橛泻教靻T的參與而更具特點(diǎn)，在載人航天器關(guān)鍵功能實(shí)現(xiàn)上可設(shè)計(jì)人控功能，作為自控的備份。人控功能往往在操作方式、實(shí)現(xiàn)機(jī)理、設(shè)備類型等方面與自控有明顯不同，可以起到消除系統(tǒng)級(jí)單點(diǎn)故障模式、切斷故障傳播等作用，顯著提高載人航天器安全性水平。

以人控交會(huì)對(duì)接功能為例，2021年1月8日神舟十三號(hào)航天員乘組在空間站核心艙內(nèi)采取手控遙操作方式，圓滿完成了天舟二號(hào)貨運(yùn)飛船與核心艙交會(huì)對(duì)接試驗(yàn)，這是繼2012年6月24日神舟九號(hào)乘組劉旺成功實(shí)施神舟九號(hào)與天宮一號(hào)人控交會(huì)對(duì)接后，我國(guó)在軌實(shí)施的第二次人控交會(huì)對(duì)接試驗(yàn)，標(biāo)志著我國(guó)已完整的掌握了自動(dòng)及手動(dòng)交會(huì)對(duì)接技術(shù)。

神舟飛船部分常用關(guān)鍵功能的人控設(shè)計(jì)情況見(jiàn)表2，可以實(shí)現(xiàn)自控故障情況下切換為航天員手動(dòng)控制模式，確保航天員安全。

表2 神舟飛船關(guān)鍵功能人控設(shè)計(jì)情況Table 2 Manual control design of key function of Shenzhou spacecraft

3.4 維修性設(shè)計(jì)

維修性設(shè)計(jì)目前主要應(yīng)用于類似空間站這種長(zhǎng)壽命、高可靠運(yùn)行的航天器，通過(guò)航天員在軌維修確保其長(zhǎng)壽命、高可靠運(yùn)行。例如和平號(hào)空間站設(shè)計(jì)壽命5年，通過(guò)在軌維修延壽到15年，“國(guó)際空間站”設(shè)計(jì)壽命15年，目前已到壽命末期，經(jīng)評(píng)估通過(guò)維修將壽命延長(zhǎng)至20年[4]。對(duì)于載人飛船等短期飛行載人航天器也可結(jié)合自身任務(wù)特點(diǎn)，綜合權(quán)衡資源代價(jià)，對(duì)部分關(guān)鍵功能采取適當(dāng)維修性設(shè)計(jì)，提高系統(tǒng)安全性水平。

例如神舟飛船任務(wù)準(zhǔn)備階段設(shè)計(jì)了“凈化風(fēng)機(jī)停轉(zhuǎn)故障對(duì)策”。凈化風(fēng)機(jī)用于驅(qū)動(dòng)空氣進(jìn)入凈化藥罐吸附密封艙空氣中的二氧化碳，所以風(fēng)機(jī)一旦停轉(zhuǎn)會(huì)導(dǎo)致密封艙二氧化碳濃度上升，直接威脅航天員安全。當(dāng)時(shí)結(jié)合飛船已有的維修工具提出了“割開凈化軟管，將服裝通風(fēng)軟管插入凈化風(fēng)機(jī)軟管并用3M膠帶密封后，使用服裝風(fēng)機(jī)代替凈化”的方案，并在地面進(jìn)行了操作驗(yàn)證。這樣通過(guò)一個(gè)相對(duì)簡(jiǎn)單的維修方案，解決了密封艙有害氣體凈化的重大安全性問(wèn)題。

3.5 人機(jī)交互安全性設(shè)計(jì)

載人航天器中航天員的參與一方面能夠帶來(lái)手控備份、在軌維修等安全性設(shè)計(jì)優(yōu)勢(shì)；另一方面也引入了人為差錯(cuò)等導(dǎo)致安全性事故的新風(fēng)險(xiǎn)，因此必須進(jìn)行人機(jī)交互安全性設(shè)計(jì)。神舟飛船典型人機(jī)交互安全性設(shè)計(jì)要素見(jiàn)表3。

表3 神舟飛船典型人機(jī)交互安全性設(shè)計(jì)要素Table 3 Typical human-comptuer interaction security design elements of Shenzhou spacecraft

3.6 全時(shí)域應(yīng)急方案設(shè)計(jì)

針對(duì)各個(gè)任務(wù)階段識(shí)別出的特定重大危險(xiǎn)源或重大故障模式，制定專項(xiàng)的應(yīng)急方案。在該任務(wù)階段發(fā)生相應(yīng)的故障時(shí)，直接轉(zhuǎn)入相應(yīng)的應(yīng)急分支。神舟飛船系統(tǒng)針對(duì)待發(fā)段到返回段的全任務(wù)過(guò)程危險(xiǎn)源進(jìn)行了分析、識(shí)別，制定了全時(shí)域應(yīng)急方案，確保在任何任務(wù)段、任何時(shí)間段發(fā)生特定的故障模式均能夠轉(zhuǎn)入應(yīng)急模式，最大限度保證航天員安全，見(jiàn)表4。

表4 神舟飛船全時(shí)域應(yīng)急方案設(shè)計(jì)情況Table 4 Full-time domain emergency plan design of Shenzhou spacecraft

1)組合體應(yīng)急撤離

組合體段的應(yīng)急撤離程序設(shè)計(jì)是大系統(tǒng)聯(lián)合進(jìn)行危險(xiǎn)分析、設(shè)計(jì)的典型案例。船、站雙方在各類故障后達(dá)到安全點(diǎn)、故障蔓延時(shí)間分析的基礎(chǔ)上，綜合考慮測(cè)控條件、航天員操作時(shí)間、地面操作及天地匹配等約束情況，完成了組合體應(yīng)急撤離程序設(shè)計(jì)?？纱_保在組合體發(fā)生重大故障模式時(shí)，如密封艙失火、失壓等，根據(jù)故障特點(diǎn)(故障影響、蔓延時(shí)間、航天員安全點(diǎn)等)，正確執(zhí)行相應(yīng)的應(yīng)急撤離程序，極大提高了組合體停靠段安全性水平[5]。

目前，航天員在軌定期進(jìn)行應(yīng)急撤離演練，根據(jù)任務(wù)安排還會(huì)組織各航天器參與的應(yīng)急撤離演練，對(duì)應(yīng)急響應(yīng)機(jī)制、地面設(shè)備人員、應(yīng)急處置程序等進(jìn)行驗(yàn)證，確保應(yīng)急撤離協(xié)同程序?qū)嵤┑钠ヅ湫院陀行浴?/p>

2)應(yīng)急救援能力

相比天宮一號(hào)目標(biāo)飛行器、天宮二號(hào)空間實(shí)驗(yàn)室只有一個(gè)對(duì)接口，空間站增加到3個(gè)對(duì)接停泊口，這就為發(fā)射應(yīng)急救援飛船提供了必要條件。研制人員通過(guò)載人飛船“滾動(dòng)備份、優(yōu)化流程”，在空間站長(zhǎng)期有人駐留期間，保證發(fā)射場(chǎng)有1艘載人飛船和火箭隨時(shí)待命，接到救援任務(wù)后可在8.5天內(nèi)組織發(fā)射，拯救空間站航天員安全返回，大大提高了組合體?？慷伟踩运?。

3.7 故障預(yù)案設(shè)計(jì)

故障預(yù)案是保障載人航天器安全的最后手段，是載人航天器歷次發(fā)射任務(wù)準(zhǔn)備工作中最重要的工作內(nèi)容之一，其工作量甚至可以占比到整個(gè)工作的50%以上，除了正常任務(wù)實(shí)施，大量的工作基本上都是在準(zhǔn)備各種應(yīng)急預(yù)案。根據(jù)神舟飛船飛控歷次工作經(jīng)驗(yàn)，通過(guò)充分準(zhǔn)備工作，故障預(yù)案可以覆蓋在軌發(fā)生的90%的故障，同時(shí)按照預(yù)案實(shí)施處置的有效率可以達(dá)到95%以上。總結(jié)故障預(yù)案的設(shè)計(jì)要點(diǎn)如下。

(1)故障預(yù)案是載人航天器研制之初就確定下來(lái)的，是正向設(shè)計(jì)的結(jié)果。

(2)FMEA是故障預(yù)案設(shè)計(jì)的主要來(lái)源，對(duì)需要采取在軌補(bǔ)償措施、能夠在軌檢測(cè)的故障模式制定飛控故障預(yù)案。

(3)依據(jù)正常飛行方案，識(shí)別出飛行過(guò)程可能發(fā)生的、靜態(tài)FMEA不能涵蓋的其它故障模式，主要包括：其他大系統(tǒng)故障導(dǎo)致須飛船系統(tǒng)應(yīng)急處理的故障模式、需要多個(gè)分系統(tǒng)參與處理的分系統(tǒng)接口相關(guān)故障、地面測(cè)試/試驗(yàn)/演練中發(fā)現(xiàn)的問(wèn)題，都應(yīng)該作為故障模式的來(lái)源積累下來(lái)，分析并制定相應(yīng)的對(duì)策。

根據(jù)以上要點(diǎn)空間站核心艙、載人飛船、貨運(yùn)飛船3個(gè)載人航天器在關(guān)鍵技術(shù)驗(yàn)證階段共設(shè)計(jì)了約3000項(xiàng)故障預(yù)案，有力地保證了航天員的安全及任務(wù)順利實(shí)施。在故障預(yù)案的具體準(zhǔn)備及實(shí)踐過(guò)程形成的經(jīng)驗(yàn)如下。

(1)故障預(yù)案更多是正向設(shè)計(jì)的結(jié)果，與FMEA關(guān)系非常大，應(yīng)提前抓好FMEA工作。對(duì)于發(fā)現(xiàn)的無(wú)預(yù)案的薄弱環(huán)節(jié)及時(shí)改進(jìn)，降低后期改動(dòng)帶來(lái)更多的風(fēng)險(xiǎn)和代價(jià)。

(2)故障預(yù)案需要經(jīng)過(guò)多方討論完善，選擇最優(yōu)、影響最小、可執(zhí)行性最高的對(duì)策。

(3)故障預(yù)案編寫上，要求故障判據(jù)全面、指令參數(shù)準(zhǔn)確、執(zhí)行判據(jù)有效、協(xié)同關(guān)系清楚、處置思路清晰、處置原則統(tǒng)一，真正做到關(guān)鍵時(shí)候“易用、好用、管用”。

(4)故障預(yù)案最終還是需要人來(lái)實(shí)施，因此需要加強(qiáng)關(guān)鍵崗位人員的培訓(xùn)和演練，最好能做到所有相關(guān)技術(shù)人員均能夠熟練掌握。

(5)在資源允許的條件下，對(duì)于一些故障發(fā)生概率高、故障后果影響大、處置時(shí)效性要求高的故障模式，可以考慮優(yōu)先通過(guò)器上軟件自動(dòng)診斷、自動(dòng)處置，降低人為處置帶來(lái)的不確定風(fēng)險(xiǎn)，提高安全性水平。

4 結(jié)束語(yǔ)

本文對(duì)神舟飛船系統(tǒng)級(jí)安全性分析、典型安全性設(shè)計(jì)方法進(jìn)行了系統(tǒng)總結(jié)，同時(shí)結(jié)合工程案例對(duì)分析、設(shè)計(jì)方法的應(yīng)用情況進(jìn)行了說(shuō)明，最后對(duì)后續(xù)空間站載人飛船研制工作提出了建議。

(1)可靠性是安全性的基礎(chǔ)，廣義的可靠性幾乎囊括了載人航天器研制工作的方方面面，因此平臺(tái)產(chǎn)品的可靠性水平直接決定了航天員的安全性水平，在神舟飛船小批量生產(chǎn)、高密度發(fā)射任務(wù)的背景下，需要持續(xù)加強(qiáng)產(chǎn)品質(zhì)量過(guò)程控制；進(jìn)入空間站應(yīng)用階段，在神舟飛船技術(shù)狀態(tài)逐步穩(wěn)定的基礎(chǔ)上，應(yīng)逐步確立以產(chǎn)品質(zhì)量過(guò)程控制為核心的安全性保證體系。

(2)為適應(yīng)空間站階段任務(wù)需求，載人飛船需在現(xiàn)有的基礎(chǔ)上對(duì)部分功能、硬件狀態(tài)進(jìn)行升級(jí)換代，這些更改應(yīng)以不降低自身安全性水平為目標(biāo)。

(3)載人航天器的安全性設(shè)計(jì)應(yīng)充分利用有人參與的優(yōu)勢(shì)，積極發(fā)揮航天員主觀能動(dòng)性，不斷提升整器的安全性水平。對(duì)于神舟飛船，可結(jié)合自身任務(wù)特點(diǎn)，綜合權(quán)衡資源代價(jià)，對(duì)部分關(guān)鍵功能采取適當(dāng)維修性設(shè)計(jì)，提高整船安全性水平。

(4)空間站階段載人飛船飛控任務(wù)具有實(shí)時(shí)性和長(zhǎng)期性，完全靠地面人員進(jìn)行不間斷監(jiān)測(cè)判讀是不現(xiàn)實(shí)的，必須開展自動(dòng)故障診斷工作。載人飛船?？繝顟B(tài)相對(duì)固定，可采取基于規(guī)則的故障診斷方法；同時(shí)應(yīng)不斷提高器上自主健康管理水平，實(shí)現(xiàn)自動(dòng)故障診斷及處置，提高故障處置時(shí)效性，把對(duì)人的依賴性將到最低。