嫦娥五號探測器安全性設計與管理實踐

呂鵬 曹瑞強 張正峰 張高

(北京空間飛行器總體設計部，北京 100094)

安全性是航天器在地面研制和在軌飛行過程中需重點關注的方面之一[1]，需要在全任務周期過程中落實安全性工作理念。深空探測任務是典型的復雜、高風險航天項目，探測環境復雜、實施難度大，在國際上深空探測任務實施過程中，曾經出現過多次由于安全性設計不完善、控制措施落實不到位導致人員傷亡、探測器損壞、在軌故障乃至任務失敗的情況，如1966年美國阿波羅一號飛船在測試過程中艙內起火導致3名宇航員死亡事件，2016年歐洲航天局火星生物學2016著陸器降落傘提前分離導致著陸器墜毀，2019年印度月船2號著陸器控制軟件設計錯誤導致著陸失敗等，都反映出在深空探測器研制過程中需要高度重視安全性設計及管理等相關工作，以確保任務圓滿成功。

嫦娥五號任務是我國國家科技重大專項之一，于2020年12月17日首次實現了地外天體采樣返回[2]。不同于以往月球探測任務中環繞、著陸與巡視等探測方式，嫦娥五號探測器還需經歷月面采樣封裝、月面起飛上升、月球軌道交會對接與樣品轉移、高速再入返回等關鍵飛行過程，均為首次在軌實施，任務過程和系統復雜程度顯著增加，是一項復雜程度高、技術跨度大、風險因素多的系統工程，對安全性設計和管理提出了很高的要求。本文結合嫦娥五號探測器的任務特點和難點，圍繞安全性工作目標，對探測器系統在系統設計、產品研制全過程、飛控與回收任務中所采取的安全性設計與管理措施進行了總結。

1 安全性設計與管理難點分析

嫦娥五號探測器采用一次發射、完成月面采樣后返回環月軌道、在月球軌道上進行樣品轉移并返回地球的任務方案，探測器由軌道器、返回器、著陸器和上升器四器組成(見圖1)，共包括15個分系統。

圖1 嫦娥五號探測器系統組成圖

與以往月球探測任務相比，嫦娥五號探測器需要完成我國首次月面采樣封裝、起飛上升、交會對接及樣品轉移、攜帶月球樣品高速再入返回等任務，需突破7大項系統級關鍵技術，并完成各項試驗驗證工作。因此研制過程中，在安全性設計和管理方面具有以下難點。

(1)任務過程與探測環境復雜。探測器在軌期間共經歷11個飛行階段，涉及四器組合、三器組合、兩器組合和單器等6種工作模式，需進行5次器/艙間分離，對各階段狀態設置的正確性要求非常高；各關鍵飛行事件環環相扣，對各類指令執行的實時性要求高，必須在特定時間完成規定的動作，指令未執行或執行錯誤均會影響任務的安全性；此外在月面著陸、采樣封裝及起飛上升過程中還因著陸區地形地貌和地質條件的不同面臨著很大的不確定性，需進一步增強探測器對復雜環境的適應性，確保在軌各項工作均能安全順利完成。

(2)新研產品多、危險源數量多。探測器為全新研制，共有655臺/套硬件產品，新研產品數量約占40%，需要開展鑒定級試驗以及相關的摸底考核試驗，對產品設計的安全性提出了較高要求；器上共有119件火工裝置，25臺/套機構運動部件、4套雙組元推進系統(含14個貯箱和8個高壓氣瓶，攜帶推進劑約5400 kg)、3套熱控管路系統、1套核源敏感裝置，危險源數量多，如果發生火工品誤點火、運動部件運動干涉、推進劑泄漏、高壓部件誤操作、核源敏感裝置防護不到位，都會對探測器產品乃至人員安全造成損傷，需在產品研制和試驗驗證過程中加強安全性管理。

(3)研制項目多、地面驗證難。在探測器方案、初樣和正樣3個研制階段中，除常規AIT工作項目外，還進行了月面分離穩定性試驗等10項摸底驗證試驗和著陸沖擊、著陸與起飛、交會對接與樣品轉移、返回器空投等16項系統級專項試驗，研制過程復雜，工作項目及工況多、參與單位及人員多，組織實施難度大，部分外場試驗風險系數高，對各項工作的準備充分性、狀態有效性、過程規范性、故障處置及安全控制預案設計提出了很高的要求，需要在安全性方面開展系統的設計和管理。

(4)操作難度大、風險因素多。受運載火箭包絡空間和發射質量等方面因素嚴格限制，探測器構型布局設計緊湊，操作空間受限，研制過程中，需完成整器/器間/艙段對接、整器/組合體吊裝、火工裝置安裝、推進劑加注、鉆取采樣裝置等大型復雜機構安裝等各項操作，實施環節多、操作難度大、精度要求高，部分操作還存在視場受限、危險性高、火箭整流罩內操作等不利情況，需確保操作過程中的規范性，避免誤操作、工裝墜落等安全事件發生，加強過程中檢驗的及時性和有效性，確保各項操作滿足要求，無遺留風險。

2 安全性設計與管理目標

為確保過程安全可控、任務圓滿完成，嫦娥五號探測器基于系統工程的思想，根據第1節安全性設計與管理的難點，制定了在全任務周期中確保人員、產品、設施和環境安全的安全性設計與管理目標，具體分解如下。

(1)有效貫徹安全性設計要求，確保系統設計正確，增強系統應對不確定性環境和在軌故障的能力，提高探測器系統本質安全性。

(2)在全任務周期內實現對風險和危險源的有效識別和管控，降低系統殘余風險，避免對探測器產品、人員、設施和環境造成損傷。

(3)實現系統設計、試驗驗證和過程控制等各環節的閉環管理，確保“設計無隱患、過程無差錯、結果無疑點”。

3 安全性設計與管理主要措施

嫦娥五號探測器涉及任務成敗的關鍵環節多，如月面著陸、起飛上升、再入返回等，對動作序列執行情況極其嚴格，需探測器自主完成，地面無法實施干預，對系統的安全性提出了非常高的要求，在單機產品層面，需要增強產品的健壯性和可靠性，實現預定的功能；在系統級層面，要求探測器具有較強應對不確定性風險的能力，具有一定冗余備份能力和產品故障容限能力，并確保各項狀態設置正確到位。針對此情況探測器系統按照“預防第一、設計引領、注重細節、嚴控過程”的原則，將安全性工作貫穿于系統設計、單機產品研制、系統AIT研制、飛控與回收等全任務周期中，分別制定了安全性措施并進行管理落實，項目分解如圖2所示，確保了研制與任務實施過程中各個環節的安全性。

圖2 探測器安全性工作項目分解圖

3.1 系統設計

3.1.1 系統安全性設計

探測器系統根據在軌飛行任務，開展了故障模式及影響分析(FMEA)和關鍵事件的故障樹分析(FTA)[3-4]，共識別出Ⅰ、Ⅱ類單點故障模式30項，一般危險源和故障危險源28項，對這些薄弱環節采取了冗余、降額、故障容限等安全性設計思路和方法，完善了設計方案，并制定了控制措施，顯著地提高了系統的可靠性和安全性，減小了發生故障后的影響和危害。在系統級層面采用的安全性設計措施包括以下內容。

1)風險消除與控制設計

設計正確是實現探測器安全最重要的前提條件。探測器系統進行了全面的任務剖面分析，首先從設計上消除和控制風險項目，降低風險發生的概率和影響。例如在著陸器同組元推進劑貯箱之間增加連通管路，使貯箱排放不均衡度由3%提高到1%，顯著降低了著陸過程中不平衡排放導致的質心偏差過大帶來的安全性風險。針對著陸緩沖機構展開時的包絡空間、表取采樣機械臂工作時的運動路徑、交會對接時軌道器和上升器凸出物的浮動范圍進行了仿真分析，分別設定了最小安全距離并進行控制，消除了此類干涉和碰撞風險。在推進系統閥門經歷較大的振動和沖擊載荷后，從飛行程序上增加了閥門關閉指令，防止閥門意外打開影響整器的安全性。

2)系統冗余設計

為避免單個產品發生故障影響功能的實現或任務的完成，采用了必要且優化的功能和軟硬件冗余設計措施，例如在供配電方面，軌返組合體和著陸上升組合體具備相互進行供電的能力，確保了在四器組合體狀態下的系統可靠能源供應；在測控數傳方面，四器組合體飛行狀態下軌道器和上升器均可實現與地面的測控通信，著陸上升組合體飛行狀態下著陸器數傳通道可作為上升器遙測下行的備份通道，確保了測控信道的安全性。

3)不確定性風險應對設計

探測器在軌期間主要面臨著著陸區地形地貌不確定性大的風險。著陸區地形崎嶇會影響軟月面著陸和起飛過程中的安全性。針對此問題，對著陸區的地形地貌、標稱航跡飛行安全性進行了全面的分析，分析得到了優選著陸區及著陸中心點，確保了著陸和起飛上升過程中探測器的飛行高度始終位于月面地形上方，處于安全狀態。針對著陸區地表環境影響采樣封裝任務的問題，探測器配備了兩種采樣裝置，鉆取采樣裝置能夠采集月面2 m以下深度的月壤和巖石顆粒，表取采樣機械臂能夠采集周邊6.5 m2區域的月壤，并配置了鏟挖和夾取兩種采樣器，能夠適應不同的月壤和巖石組分，提高了采樣任務的可靠性。

為確保設計正確，探測器系統在研制過程中組織開展了關鍵技術專項審查、重要設計評審、關鍵環節獨立評估等復核復審工作，對發現的薄弱環節進行了完善設計，并補充開展了試驗驗證。

3.1.2 軟件安全性設計

針對采樣返回任務自主性要求高等特點，探測器系統依據軟件工程化的要求，完成了軟件系統設計及可靠性安全性分析工作，從系統工作模式、操控使用、飛行事件和故障模式等4個維度進行分析，共識別需軟件參與處置的系統級故障模式51項，明確了各層級軟件用戶需求，并采取了安全性控制措施。將導航、制導與控制(GNC)分系統和數管分系統的重要數據相互保存備份，可以確保重要設備在故障模式下可靠切機/重啟；GNC分系統控制計算機部分采用三機熱備份方式，月面著陸圖像處理單元、交會測量數據處理器實現多種數據源的實時融合，顯著降低了部組件發生故障時的切換時間；對遙控指令譯碼采取漢明編碼進行檢錯、對程控觸發信號設置使能禁止功能，防止指令的錯發和誤發；對于影響關鍵事件和安全性的指令和遙測通道進行冗余設計，確保了遙控指令執行正確、遙測數據正常、系統在軌穩定運行。

各軟件項目在開發完成后均通過了第三方評測，評測項目包括靜態分析、人工走查、功能性能測試、邊界余量測試、可靠性測試、安全性測試、強度測試等，對發現的問題進行了修正，并獲得評測合格證明。

3.1.3 關鍵項目安全性設計

探測器系統通過任務剖面分析、功能分析和危險分析等方法，共確定安全性關鍵項目16項，分別是3次太陽翼展開、3臺大推力發動機點火、5次器/艙間分離、5次機構產品解鎖展開。針對這些關鍵項目，從設計正確性、環境適應性、驗證充分性、過程控制有效性等方面進行了嚴格控制。

1)太陽翼展開及機構產品解鎖展開安全性設計

針對軌道器、著陸器和上升器三器太陽翼和著陸緩沖機構、著陸器定向天線、鉆取裝置擺桿、表取機械臂、返回器艙門機構5種產品，進行了空間環境適應性分析，確保能夠安全可靠工作；針對需在月面高溫條件下貯存和工作的火工品，對其藥劑進行了改進以適應180 ℃的溫度環境并能夠安全點火，顯著提高了產品的安全性；針對解鎖后的運動包絡空間進行了專項復核并制定了控制措施，確保了解鎖展開過程中與周邊產品無干涉情況。

2)器/艙間分離安全性設計

針對與軌道器分離面相關的24件火工連接解鎖裝置，通過優化設計將單作動器改為雙作動器，提高了機械分離的可靠性；針對器/艙間的10個電連接器，除采用電分離措施外，分別采取了火工作動、分離彈簧等強脫措施，提高了電分離的安全性；針對5次器/艙間分離均進行了分離安全性專項復核，并制定了控制措施，確保了器/艙間分離過程中無相關干涉、鉤掛情況發生。

3)大推力發動機點火安全性設計

為保證軌道器和上升器3000 N發動機、著陸器7500 N發動機可靠點火，對發動機自鎖閥的驅動線路采用了串、并聯功放管設計；在嫦娥三號的基礎上，對大推力發動機的涂層進行了改進，增強了抗氧化和防沖刷性能，提高了發動機的安全性。針對探測器89臺發動機開展了全面的羽流影響分析，制定了羽流防護方案；為3000 N和7500 N發動機分別設計了高溫隔熱屏，完成了月面起飛時刻的羽流導流設計和試驗驗證，確保了發動機羽流對飛行安全無影響。

3.2 單機產品研制過程安全性管理

為保證單機產品安全可靠，探測器系統在產品研制過程中重點對產品健壯性設計和生產工藝過程進行了嚴格管理，消除了安全性風險和隱患。

3.2.1 產品健壯性設計

在單機產品設計方面提出了明確要求，以確保產品功能和性能滿足要求、安全可靠的實現預定功能。除遵循常規的力學、熱、防輻射、電磁兼容等安全設計準則外，按產品類別制定了健壯性設計要求。對結構和機構類產品，提出了安全系數和靜力矩裕度要求，對各運動副提出了潤滑處理要求并開展了專項復核復算；對壓力密封等產品，要求推進劑貯箱、高壓氣瓶等壓力容器強度系數不小于2，電池單體和熱控管路不小于2.5，同時對同批次產品開展了批抽檢測試和爆破試驗；對電氣和電子類產品，要求嚴格按照元器件降額準則、防輻射和防靜電要求進行設計，加強了元器件選用分析和控制，對功率大于0.3 W的元器件進行了全面復查確認，采用互補金屬氧化物半導體(CMOS)保護電路、關鍵元件串聯電阻、設置濾波電路等措施提高了電路防靜電能力，降低了系統的失效率。

3.2.2 生產工藝過程管理

探測器各單機產品生產過程嚴格按照設計與工藝文件要求執行，并對生產準備、檢驗記錄和驗收測試等情況進行了重點控制。

(1)在產品生產階段，強調工藝準備文件和過程記錄的完整性。產品生產前，組織開展生產準備情況評審，從人員、設備、材料、工藝、環境和測量6個方面嚴格審查，確保符合設計狀態要求；生產過程中認真落實檢驗制度，嚴格進行工藝記錄，對重點環節設置了強制/關鍵檢驗點，確保工藝記錄的規范性，并對重要工序實施前后的狀態留存多媒體照片。

(2)在產品驗收環節，制定了驗收專項管理規定。認真開展產品驗收測試工作，從安全性設計、FMEA、供電模塊安全性、多余物防護等多方面，嚴格檢查研制過程中形成的數據包，對測試結果、試驗數據、多媒體照片材料進行比對和分析，確保了產品不帶風險和隱患交付系統AIT工作。

3.3 系統AIT過程安全性管理

探測器系統AIT階段主要工作包括總裝集成、電性能測試和地面試驗3個方面。為了有效控制本階段的風險，采取了預先危險性分析法(PHA)[5]，對危險因素進行預先分析，辨識潛在的危險并制定相應的管理措施。

3.3.1 總裝集成過程管理

探測器總裝集成涉及高空、高壓、火工品安裝、探測器吊裝和推進劑加注等多種復雜操作，精度要求高、實施難度大。為嚴控狀態、確保安全，探測器系統采取了如下措施。

(1)事前確定要求：對人員、產品和環境等因素進行預先分析，辨識潛在的危險并確定等級，制定相應的技術安全要求和控制措施并組織相關方進行審查確認，作為現場安全性控制的依據。

(2)事中安全控制：實施過程中嚴格落實人員安全責任，強化過程管控，對合艙、加注、火工品安裝等安全性重要環節，實施表格化控制和狀態確認，并留存多媒體記錄，做到記錄完整、量化、可追溯，確保探測器最終狀態滿足設計要求。

(3)事后閉環檢查：階段性工作完成后，對安全性控制措施的落實情況進行檢查，對落實不到位或記錄不完整的情況進行再次確認，確保總裝過程安全性管理工作閉環。

3.3.2 電性能測試過程管理

探測器飛行過程復雜、狀態切換多，地面開展電性能測試的難度大。測試過程中狀態設置錯誤、指令錯發或漏發都將損傷器上產品。為確保電測工作安全開展，探測器系統采取了如下措施。

1)電測安全性設計

在電性能測試方案設計過程中，同步開展電測安全性分析與設計，針對關系電測安全性的測控通道、供電用電、接地安全等10個方面，全面識別危險因素并制定控制措施，明確了測試文件、產品狀態和人員操作要求。

2)電測過程管理

為了保證測試狀態和程序正確，提出并采取了“靜態表+動態表”的控制方法。“靜態表”從設備安裝、電連接器插拔、器表保護件狀態等多個維度對探測器的狀態進行記錄，每次工序交接通過“靜態表”明確交接狀態和后續工作的基線。“動態表”對器上閥門開閉、繼電器開關、機構運動狀態等信息進行跟蹤，做到狀態實時受控。該方法的成功應用確保了電測狀態嚴格受控，降低了測試風險，保證了測試的安全性。

3.3.3 地面試驗過程管理

探測器系統開展了大量的地面驗證試驗，除力學、熱等常規試驗外，在方案、初樣和正樣階段還開展了26項系統級摸底驗證試驗和專項驗證試驗，如著陸起飛綜合驗證試驗、返回器綜合空投試驗等，部分試驗涉及高溫和高空、戶外作業等不利條件，實施難度大、風險因素多、參與單位及人員多。安全性管理是地面試驗過程中的重點工作內容，探測器系統采取了如下措施。

1)試驗安全性設計

將安全性設計作為試驗方案的一部分，全面識別試驗過程中的危險源和危險因素，以此為依據對試驗方案進行完善，對于不能消除的風險，制定相應的控制措施及故障預案，并進行評審把關和風險交底。

2)試驗過程管理

建立安全性管理小組，明確職責分工，組織參試人員進行專題培訓和演練。針對外場大型試驗，設置專職安全管理崗，全程參與試驗并進行現場監督。試驗前對參試設備和設施、環境安全性進行檢查，確保狀態良好；試驗過程中嚴格按照規程進行操作，確保各項動作執行到位、過程安全受控。表1為某地面試驗安全檢查記錄表。

表1 某地面試驗安全檢查記錄表

續 表

3.4 飛控與回收過程安全性管理

3.4.1 飛控過程安全性管理

探測器系統根據在軌故障模式分析結果[6]，針對識別出的196項故障制定了詳細的故障預案處置卡，并對10個關鍵任務環節中可能出現的51項故障情況，開展了健壯性測試，驗證了系統應對故障的能力、預案合理可行。

探測器系統在任務實施前對在軌飛行程序進行了全面的推演，識別出飛控工作質量和安全控制點，明確了支持和保障工作項目清單，為飛控工作的順利實施奠定了堅實的基礎。嫦娥五號探測器成功在軌飛行23天后安全返回，共采集月球樣品1731 g，在軌期間所有動作均按程序嚴格執行，保證了飛行過程的安全性。

3.4.2 回收過程安全性管理

返回器再入過程中需經歷嚴酷的氣動環境[6]，落地后可能出現結構嚴重損壞、推進劑泄漏、彈射天線火工品未正常起爆等危險情況，完成現場處置后還需通過直升機進行遠距離吊運，均對回收工作的安全性提出了很高的要求。為保證回收處置工作順利完成，探測器系統針對飛行故障、環境影響和工序故障等3類13種非正常狀況制定了應急處置預案，并在任務實施前進行了實地演練或推演(見圖3)，確保了現場處置程序和應急預案正確合理。

圖3 返回器回收前現場實地演練

回收當日，嫦娥五號返回器在內蒙古四子王旗著陸，著陸時剩余約3 kg的推進劑。返回器落地后狀態正常，為保證貯箱內推進劑不結凍，采用了保暖貼+棉星衣的保暖預案，順利將剩余推進劑安全泄出，保證了現場處置和轉運過程的安全性。

4 任務實施及驗證情況

嫦娥五號探測器于2011年1月啟動研制，2012年12月完成方案設計和關鍵技術攻關，2015年9月完成初樣研制和試驗驗證，2020年11月完成正樣研制發射入軌，地面研制過程中，單機產品和系統研制工作順利完成(見圖4)，各專項試驗項目達到了預期的目標，安全性設計與管理措施到位，未發生安全責任事件。

圖4 上升器月面起飛驗證試驗圖

探測器于2020年11月24日發射入軌，12月17日安全著陸返回。在軌過程中各項任務均按照預定程序執行，產品功能性能正常，順利完成了太陽翼和機構產品解鎖展開、器/艙間分離、月面采樣封裝、起飛上升和交會對接及樣品轉移任務(見圖5)，未發生干涉、磕碰與鉤掛情況，各項安全控制措施有效，在軌飛控及回收工作順利完成，任務取得圓滿成功。

圖5 著陸上升組合體分離后在軌狀態圖

嫦娥五號探測器將安全性設計與管理工作貫穿于全系統、全周期研制過程中，充分有效的識別風險點和危險源，采取了一系列有針對性的安全性工作方法，主要體現在以下3個方面。

(1)加強系統的健壯性設計，從系統、單機和部組件等各個層面提高可靠性和安全性，提高探測器系統的本質安全性，增強應對不確定性風險的能力，降低殘余風險。

(2)強化單機產品研制和系統AIT過程中的安全性管理，確保系統研制的全流程狀態受控，產品最終狀態滿足設計要求，不引入新的風險項目和危險因素。

(3)在軌飛控和回收過程中，加強故障模式分析和預案設計、過程推演和動作演練，確保在軌飛控和地面處置零差錯，采取有效措施應對環境條件的變化，保證各項任務順利完成。

以上措施確保了探測器在地面研制和飛行過程中的安全性，在軌飛控與回收過程中未發生質量問題和安全事件。

5 結束語

嫦娥五號探測器系統組成復雜、研制難度大、風險因素多，安全性設計和管理具有較大難度。本文結合任務特點和難點，系統地總結了探測器研制過程中所采取的安全性控制措施和特色做法。嫦娥五號探測器將安全性設計與管理工作貫穿于全系統、全周期研制過程中，保證了探測器在研制過程中的安全性，在軌飛控與回收任務期間未發生質量問題和安全事件，任務取得圓滿成功，可為后續深空探測任務的安全性設計與管理工作提供借鑒。