基于HHM的火箭加注系統風險識別方法

任玉彬，索相波，賈寶林，范玉珠

(1.國防大學聯合勤務學院，北京 100036；2.酒泉衛星發射中心，甘肅 酒泉 732750)

0 引言

航天發射具有系統復雜、技術密集、風險環節多等特點，對試驗產品和發射場設施設備的安全性、可靠性有著極為嚴格的要求[1]。國外航天部門如美國航空航天局(NASA)、歐洲空間標準化合作組織(ECSS)等非常注重風險管理研究與應用，并制定了相應的標準和程序文件[2]。為把航天測試發射任務中的風險降低到最小程度，確保航天員和試驗產品安全，確保航天測試發射任務圓滿成功，有必要在航天發射場引入風險管理的理念和方法。

風險識別是風險管理過程的第一步，是風險管理中最重要的步驟，如果不能準確地識別面臨的潛在風險，就可能失去處理這些風險的最佳機會[3-5]。常見的風險識別方法有檢查表法、專家調查法、工作—風險分解結構法、現場調查法、歷史記錄統計法等[6-11]。這些方法均在特定的階段和場景下有其適用的范圍，但又有比較明顯的局限性。由于航天發射場火箭加注系統的復雜性和特殊性，其風險分析通常需要兼顧多個目標且面臨目標難以度量的問題，如加注過程的可靠性安全性要求和加注的及時性準確性要求等。對于像航天發射場火箭加注系統這樣的大型復雜系統而言，只用一個模型展現其所有方面有時是十分困難的[12]。

等級全息建模方法[13-14](hierarchical holographic model，HHM)是大型復雜系統開展風險識別的一種重要方法，“等級”指的是從系統等級的不同層面來分析系統存在的風險；“全息”在這里指的是從系統的不同視角來分析系統存在的風險。HHM是以協作、互補的形式將復雜系統分解為多個等級層次，每個層次都是復雜系統的某一特定視角結構，通過對每個層次進行風險識別分析，最終能得到近乎完備的復雜系統風險集合。目前，HHM方法已經廣泛運用于國防基礎設施、信息安全系統、跨國企業供應鏈、航天任務、新產品開發等領域的風險識別分析[15-17]。

本文從系統的觀念出發，結合等級全息建模的思想，設計一個航天發射場火箭加注系統HHM風險識別框架，應用該識別框架，對加注系統開展風險識別。該HHM框架是一張航天發射場火箭加注系統的多視角立體圖像，從不同的視角分等級描述加注系統，使風險識別及不同風險要素之間的關聯分析更加全面、系統，可改進風險識別的完備性和準確性。此外，這個框架具有良好的動態可擴展性，可適應航天發射場火箭加注系統的擴展變化。

1 航天發射場火箭加注系統風險概述

1.1 風險的定義

根據GJB 9001C—2017《質量管理體系要求》，風險被定義為在規定的費用、進度和技術約束條件下，不能實現任務目標的可能性及所導致后果的一種度量。

Kaplan和Garrick對風險R定義為

R={Si，Li，Xi}c

(1)

式中：Si為第i個風險場景；Li為這種場景發生的可能性；Xi為風險場景引起的損失或影響；下標c表示風險場景集{Si}是完備的，即它包括所有可能的風險場景，或至少是所有重要的場景[18]。

1.2 航天發射場火箭加注系統風險特點

航天發射場火箭加注系統安全性、可靠性要求極高。火箭推進劑具有易燃易爆特性，常規推進劑還有很強的毒性。火箭加注系統工作時，運載火箭和衛星均已上塔，加注系統稍有失誤就會對試驗產品和任務進程造成直接影響，若發生安全事故，會對人員生命和財產造成不可挽回的巨大損失。美國、蘇聯和巴西等國家都曾發生過火箭在塔架爆炸導致大量人員傷亡的災難性事故，教訓深刻。

航天發射場火箭加注系統結構復雜、風險因素多。系統復雜性主要表現為組成、結構、技術狀態的復雜性；風險的來源包括人(操作崗位人員、技術人員、指揮人員等)、設備(控制系統、工藝系統、配套系統)、原料(氧化劑、燃燒劑及所用氣體)、工藝方法、環境因素各個方面。

航天發射場火箭加注系統歷史風險信息較少。由于航天發射高成本、高風險和極高的技術復雜性，實施發射次數有限，因而造成了可供借鑒分析的歷史數據不足，也給風險評估帶來很大的困難。

鑒于航天發射場火箭加注系統風險識別的復雜性和特殊性，本文采用等級全息建模方法開展風險識別，確保風險場景識別的完備性。

圖1 航天發射場火箭加注系統風險識別框架Fig.1 Risk identification framework of space launch site propellant loading system

2 等級全息建模方法的應用

等級全息建模方法的核心是用一個矩陣式框架圖，實現對加注系統不同視角和不同層級風險場景的識別。

2.1 火箭加注系統HHM風險識別框架設計

運載火箭推進劑加注系統是航天發射場的重要組成部分，也是最具有發射場特色的系統，主要起著為運載火箭加注/泄出常規推進劑的作用。加注系統是一個集推進劑轉注、存貯、流量計在線校驗、推進劑調溫及向火箭實施推進劑加注等任務為一體的多功能系統，系統主要由加注工藝設備和加注控制系統組成，運載火箭推進劑加注過程共有30多個相對獨立的工序。

設計提出了加注系統HHM風險識別框架，圖1所示是一個初步的HHM風險識別框架，從系統組成、功能區域、工作階段和職能分工4個視角來描述加注系統。圖中的每一列代表一個風險識別視角，向下細分的樹狀結構表示加注系統在該視角下的層級結構。

“系統組成視角”從系統的基本構成來描述，將加注系統分為加注控制系統、加注工藝系統(加注泵、儲罐、閥門、管路等)和加注配套系統3個子系統，便于從加注設備所屬功能系統定位來識別風險；“功能區域視角”按設備所屬功能區域識別風險場景，分為氧化劑庫區(控制室、罐間、泵間、轉注間)、燃燒劑庫區(控制室、罐間、泵間、轉注間)、塔上和加注外管線及其他區域(配電間、配氣間、調溫間、廢氣處理間等)等場景，便于從不同功能區域分析和統計風險；“工作階段視角”按照加注系統在航天發射任務不同階段所承擔的工作劃分為日常維護、檢修檢測、任務遂行、正式加注和設備恢復等階段。“職能分工視角”按照職能分工分為決策層、指揮層、操作層和保障層，考察的是人為因素風險源。

加注系統HHM風險識別框架是一個開放的框架，框架中的視角和層級都可以根據加注系統風險評估的實際需求進行拓展。比如，在風險信息收集分析過程中，發現某一類風險場景無法在當前的風險識別框架中確定其來源，就可以增加新列(新視角)來擴展該框架模型，使其包含這類風險。通過不斷的完善，最終使風險識別框架可以包含所有可能的風險場景。

2.2 HHM風險識別框架的應用

2.2.1 利用HHM風險識別框架指導加注系統風險管理信息采集

將加注系統風險識別框架作為指導性框架，開展風險管理信息采集。從不同的視角以及每一個視角下不同的層級確定的風險場景，完成風險信息采集，比如風險源、風險事件、風險概率和風險屬性等信息。按照此框架采集的信息的完整性和系統性，不會遺漏重要的風險場景。

完善HHM風險識別框架和利用風險識別框架指導風險信息采集是循環迭代過程，如圖2所示。

圖2 加注系統HHM框架完善過程Fig.2 Improvement process of HHM framework

2.2.2 利用HHM風險識別框架描述加注系統風險事件

利用設計的HHM風險識別框架，逐一分析框架中的風險場景，結合風險分解結構矩陣(見圖3)，可對航天發射場火箭加注系統開展全方位多層級的風險識別。

圖3 航天發射場火箭加注系統風險分解結構Fig.3 Risk decomposition structure of space launch site propellant loading system

航天發射加注系統風險事件按風險屬性(原因)可分為技術風險、管理風險、人力風險、環境風險；按風險影響(后果)可以分為安全風險、質量風險、進度風險、費用風險等，在航天發射試驗工作中，質量風險和進度風險通常比較受關注；按層級可以分為決策層風險、指揮層風險、操作層風險。例如根據加注當天的氣象情況和后續發射塔上環境溫度保障能力的評估情況，研究決定是否進行加注，就屬于決策層風險；加注過程中，一旦出現設備故障，根據加注預案及時采用迂回加注方案確保準確及時地完成加注任務，就屬于指揮層風險；加注過程中準確、可靠、安全地操作各臺設備，就屬于操作層風險[19-21]。

風險識別的過程是按照HHM風險識別框架定義的層級和樹狀結構，逐級開展風險識別。下面以加注系統HHM風險識別框架中部分風險場景為例，使用該框架開展風險識別和風險信息收集分析。分別選擇不同視角下的3個第一級風險場景作為典型場景，分別是系統組成視角下的加注工藝系統場景C2、職能分工視角下的指揮層場景F2和操作層場景F3等三個風險場景，分析該風險場景下的風險源、風險事件及風險后果，結果如表1所示。

在表1的基礎上，按照風險識別框架中的樹狀結構，進一步對下一級風險場景磁性浮子液位計C21、加注泵C22和流量計C23開展風險識別，收集并分析C21、C22和C23場景下的風險信息，并對識別出的風險進行評估分析，主要包括風險事件、激發因素、影響等級、風險概率和風險指數，結果見表2所示。其中，影響等級是指風險事件對航天發射試驗任務影響后果的嚴重程度，分為輕微級(Ⅰ)、顯著級(Ⅱ)、重大級(Ⅲ)、危險級(Ⅳ)和災難級(Ⅴ)五個等級；風險概率即風險發生的可能性，分為極小可能發生(A)、不大可能發生(B)、很可能發生(C)、極有可能發生(D)、頻繁發生(E)五個等級。通過建立概率—影響(P—I)矩陣，可計算出風險事件的風險指數，風險指數=影響等級×風險概率，風險指數越大，風險越大。從表2可以看出，加注泵并泵故障風險指數最大。

本文僅對發射場加注系統部分場景應用HHM風險識別框架開展了風險識別與評估，借助于本文設計的航天發射場火箭加注系統HHM風險識別框架和識別方法，可對航天發射場火箭加注系統進行全方位多層級的風險識別與評估。

表1 航天發射場火箭加注系統部分風險場景風險識別表Tab.1 Risk identification table of partial risk scenarios of space launch site propellant loading system

表2 加注系統加注泵風險識別與評估表Tab.2 Risk identification and evaluation table of the filling pump of propellant loading system

3 結語

1)等級全息建模方法是大型復雜系統開展風險識別的一種重要方法，可以改進風險識別的完備性，對信息采集和風險識別過程有較好的應用效果，能夠提高風險評估的準確性，是開展航天發射場火箭加注系統風險識別的有效方法。

2)本文構建的航天發射場火箭加注系統HHM風險識別框架，從系統組成、功能區域、工作階段和職能分工等四個視角來刻畫加注系統不同類別的風險場景。在該HHM框架指導下，結合加注系統風險分解結構，對加注系統風險場景開展風險識別，可實現對航天發射場火箭加注系統全方位多層級的風險識別。