1、载人航天故障统计分析及其安全性要求体系研究沈作军 一、前言安全性是载人航天活动中一个关键而敏感的问题。国外载人航天活动的经验说明，为保证航天员安全，首先要研究制定和完善安全性要求，而安全性要求一经明确，便成为系统安全性设计的目标和进行安全性验证的依据。分析影响载人航天安全的主要因素是研究制定载人航天安全性要求的重要途径，而这种研究必须以事实为依据，从分析载人航天的历次故障开始。因此，本文通过统计分析国外载人航天活动中的故障，并借鉴其它与安全性密切相关的行业，如民用航空和核电厂，在建立、完善其安全性要求方面的成功经验，提出了载人航天安全性要求的构成体系及其应有内涵。二、国外载人航天故障统计分析故
2、障原因统计分析从年月日美国发射的水星号模型/小兵飞行器开始，直到年底， 在美国、前苏联/俄罗斯进行的次载人航天发射飞行中，故障总数为次。故障原因大体上可划分到质量、管理、操作、环境、设计、制造等方面。其中，失效、失灵、出错、意外等类型的故障原因较多地与产品质量有关。例如，前苏联的上升号飞船制导系统失灵，就是由于太阳光敏感器发生故障造成的。这一类型的故障通常具有概率特性，与元器件、零部件可靠性水平密切相关。设计方面的原因那么较多地反映为设计评审不充分、技术方案有缺陷等。这一类型的故障往往归因于设计人员载人航天知识及经验的局限性。尽管载人航天开展史说明，随着经验和教训的积累、技术方案的成熟，由设计
3、原因造成的故障呈减少的趋势，但现阶段的许多重大载人航天事故往往仍是由设计原因造成的。下页表中列举了美、苏载人航天活动中发生的次航天员死亡事故及其原因和改良措施。表中可见，造成航天员死亡的重大事故大多起因于技术方案的缺陷。在特定条件下，这种缺陷被暴露出来，直接造成严重后果。因此，如结构强度、材料特性、舱内气体成分、舱门应急翻开时间等性能、物理、化学方面的因素直接关系到航天员安全性。此外，操作规程和管理方面的原因也在较大程度上影响了航天员安全性。 .故障阶段和部位统计分析从载人航天飞行阶段内发生故障的次数统计结果看,考虑到轨道运行时间要比主动段和返回着陆段长得多，而主动段和返回段内飞行时间虽较短暂
4、，但环境恶劣且变化剧烈，逃逸救生比拟困难，因而是事故的高发段。次重大事故主要发生于主动段和返回着陆段内。载人航天各主要组成系统发生故障的次数并无较大差异，从某种意义上说明了在当前技术条件下，载人航天主要组成系统保障航天员安全的水平是同一量级的，各组成系统在对航天员的安全保障方面不存在质的差异。由以上对国外载人航天故障的统计分析可知，为保障航天员安全，必须对故障的发生进行有效的控制，针对不同的故障原因和类型、故障的发生阶段和部位，吸取历史经验和教训，采取有效的控制措施。为此，首先必须据此并按照一定的体系，建立完备的安全性要求并明确其内涵。而那些比载人航天有更高安全性要求的大系统，如民用航空、核电
5、厂等，在这方面的成功经验无疑是值得借鉴的。三、可借鉴的大系统安全性要求体系在安全性方面，民用航空和载人航天极为相似。载人航天系统在设计、制造等许多方面借鉴了航空领域的成熟技术和方法。欧空局就明确指出，经欧洲适航当局批准的用于协和、空中客车等民机项目的安全性工作方法经适当修改后适用于载人航天。而核电厂与载人航天系统在安全性方面也存在很多相似之处。例如：两者均是复杂大系统；均将人员安全性置于首位；危险的发生均为小概率事件，且一旦发生，后果均极为严重；人的因素在很大程度上影响两者的安全性等。.民用航空民用航空的安全性，取决于航空器的设计、制造、维修、有关人员的素质、设备和设施的质量以及有关机构的工作
6、水平等因素。适航当局除了提出民航客机发生灾难性事故的概率不得大于的安全性概率要求外，还规定航空器的设计、制造必须符合相应适航性条例要求。而适航性要求在本质上是航空器设计和制造者必须说明对其符合性的“最低安全性水平要求。民用航空器的研制，在其方案论证时就应根据其类型，确定适用的适航条例。 民用航空器的设计必须覆盖其适用适航条例中的所用条款。但适航性条款只是对诸如飞行性能、操稳特性、载荷和强度、结构、动力装置、设备、使用限制等方面影响安全的内容提出要求。例如，飞行性能要求项目是多样的，而适航标准中只是对“失速速度、“中断起飞性能等直接影响安全的内容提出要求。适航性条例中，有的要求是定量的如：应急着
7、陆情况中乘员所受的极限过载限制要求，有的是定性的如燃油系统的闪电防护要求，质量、制造方法的要求，有的要求是微观而具体的如自锁螺母的使用要求等，有的要求是针对整机的如高速特性要求和滑行要求等，有的要求那么是按系统和飞机部位提出的如对结构、动力装置、设备等分别提出的适航要求。总之，除安全性概率要求外，适航条例针对影响飞行安全的各种因素、各种可能情况提出了定量或定性的要求，并成为民用航空器安全性的有力保证。.核电厂国家核安全局除明确提出核电厂有严重放射性后果的事故发生概率不大于-5，人员急性死亡风险低于社会现有急性死亡风险中国为10/人年的等概率要求外，还针对核电厂的安全性特点，制定了工程化、操作性
8、强的安全性要求。其做法是，根据材料、零件、部件、系统、构筑物以及计算机软件等“物项对核电厂安全的重要性，将其划分到不同的安全等级。安全等级确定后，即可在选材、设计、制造、核安全验证和质量保证等方面提出相应的要求。在安全分级中，要求以某一安全功能起作用的概率及该安全功能失效的后果即风险来评价安全重要性，并做出等级划分。另一方面，那么直接对那些安全上非常重要的、其损坏能导致重大放射性释放事故的“物质提出各种要求，而不需要直接考虑损坏的概率或缓解效应。核电厂安全性要求涉及其建设的各个阶段和每一环节，其整体安全性是依赖严格的质保体系的一系列规定来保证的。如果在选址、设计、采购、制造、建造、调试等各阶段
9、及每一环节都符合了相应的具体可操作的质保要求，那么自然到达了其整体安全性目标。可见，核电厂整体安全除概率要求外，还特别强调建立起在工程全过程中步步为营、层层把关执行的安全要求体系。 四、载人航天安全性要求体系通过对载人航天故障的统计分析，并借鉴民用航空、核电厂等大系统安全性工作的经验，可以发现：航天安全性概率要求是重要的安全性要求，但除此之外，还应特别强调某些并不具备概率统计特性的定量要求，如影响航天员安全的某些性能、物理、化学参数要求，以及安全性定性要求。它们各有其内涵，但又综合反映了载人航天安全性要求的全貌。.安全性概率要求航天员安全性很大程度上取决于系统中与其安全性相关局部的任务可靠性及
10、故障检测系统和逃逸救生系统的任务可靠性。 由于载人航天系统在其各个运行阶段中，系统构成及逃逸救生方式有所不同，故而有必要对概率要求按运行阶段进行划分。另一方面，那么应按功能系统、分系统等进行安全度及可靠度的分配。除了前述安全性概率要求外，还存在另一大类直接或间接影响航天员安全的定量要求，即载人航天系统自身的性能、物理、化学参数和指标。例如，辐射、过载、毒气、噪声、冲击等超过一定的限度，即可能直接造成航天员伤亡。此外，如飞船各舱盖应急翻开时间过长、航天服及其零部件安全系数不够、关键电源供电缺乏等，在某些特定条件下，亦会间接影响航天员安全。因此，对这些“参数必须提出相应的定量要求。为严格进行分类管
11、理、控制与验证，与安全性有关的上述参数亦应按系统、分系统及危险源进行分类。例如，美国规定其飞船各舱盖的应急翻开时间范围为秒；应急救生系统启动时，过载不超过等。危险源一般可分为：气象、火灾、爆炸、振动、震荡、噪声、塌爆、热、污染、放电、辐射、生物、生理、心理、撞击、毒性物质等类别。此外，其它如操作规程引入的危险以及如推进、飞控等系统性能超标带来的危险等，亦应通过各类安全性要求予以控制。.安全性定性要求载人航天安全性要求不但包括上述可以定量描述的要求，而且还应包括定性要求。一方面，安全性要求的某些内容更适合于用定性方法描述。例如，使神号系统的安全性定性要求指出：“没有单点故障会导致灾难性的、严重的
12、或重大的后果；对主要结构、承载单元和压力容器均应采用损伤容限设计规那么等。另一方面，针对同一对象，从定性和定量两方面都予以要求，互为补充。例如，对于航天员舱内的锋利突起物，可以定量规定其最大突起尺寸、最小导角半径等，但也可定性要求为：“在任何情况下均不得造成航天员伤害。安全性定性要求又可划分为“通用定性要求和“专用定性要求两大类。通用定性要求适用于载人航天各类产品，具有通用性和广泛的适用性。例如，欧空局针对其载人航天的逃逸与营救、应急规程、安全防护、危险探测、冗余管理、航天员环境等方面做出了通用的安全性定性要求。其中，在安全防护方面，欧空局规定：“系统的设计应提供生存空间的隔离，以防止突然的不
13、可控并危及生命的状况传播到安全舱。以通用定性要求为指导，结合具体型号特点，总结吸收国内外工程经验，可进而确定相应的、有针对性的专用定性要求。这些专用要求可按载人航天系统、分系统以及运行阶段，甚至更进一步的层次进行分类。例如，欧空局对载人航天系统中运载火箭局部规定：“当出现危险故障时，应能安全地关闭运载器各级火箭的主要推进功能；如果在主动段出现了灾难性事故，为了保证航天员安全而要求中止试验或实施航天器逃逸，应提供中止任务的制导与导航功能，并由它对系统实施完全控制。总之，安全性定性要求与定量要求、安全性概率要求与非概率性要求的有机结合构成了较完整的载人航天安全性要求体系。五、结束语航天员安全性是开展载人航天的最重要制约因素。为了高水平地保证航天员安全，必须对载人航天故障进行系统、深入的分析，在总结、吸收历史经验教训的根底上，按照科学的体系，对载人航天系统提出全面的安全性要求，并在设计、生产、试验及安全性验证中完全满足这些要求，才能最终保证载人航天安全。