北斗三號全球組網(wǎng)衛(wèi)星風險控制和管理研究

劉振新，徐忠賓，賈 濤

（北京控制工程研究所，北京 100094）

1 引言

北斗衛(wèi)星導(dǎo)航系統(tǒng)是世界上第三個投入實際使用的衛(wèi)星導(dǎo)航定位系統(tǒng)。我國高度重視北斗系統(tǒng)建設(shè)發(fā)展，自 20 世紀 80 年代開始探索適合國情的衛(wèi)星導(dǎo)航系統(tǒng)發(fā)展道路，形成了“三步走”發(fā)展戰(zhàn)略：2000 年，建成由2 顆衛(wèi)星組成的北斗一號試驗系統(tǒng)，向中國提供服務(wù)；2012 年，建成由14顆衛(wèi)星組成的北斗二號系統(tǒng)，向亞太地區(qū)提供服務(wù)；2018 年年底，完成 19 顆衛(wèi)星發(fā)射組網(wǎng)，完成基本系統(tǒng)建設(shè)，服務(wù)區(qū)域覆蓋“一帶一路”沿線國家及周邊國家，并計劃2020 年年底前，完成 30顆衛(wèi)星發(fā)射組網(wǎng)，全面建成北斗三號系統(tǒng)，向全球提供服務(wù)。2035 年前，將以北斗系統(tǒng)為核心，建設(shè)完善更加泛在、更加融合、更加智能的國家綜合定位導(dǎo)航授時（PNT）體系。[1]屆時北斗將以更強的功能，更優(yōu)的性能服務(wù)全球，造福人類。

北斗三號衛(wèi)星高精度、高穩(wěn)定的要求對控制和推進系統(tǒng)的研制帶來了極高的挑戰(zhàn)，型號自立項至今，陸續(xù)完成了關(guān)鍵技術(shù)攻關(guān)、充分試驗驗證、分系統(tǒng)和整星測試、衛(wèi)星發(fā)射組網(wǎng)等階段成果。與其他型號相比，北斗三號衛(wèi)星具有技術(shù)新穎、組批生產(chǎn)、快速組網(wǎng)等特點，任何一個節(jié)點、環(huán)節(jié)出現(xiàn)問題都會對全球組網(wǎng)衛(wèi)星在軌穩(wěn)定運行帶來風險和隱患，甚至帶來災(zāi)難性后果。因此，在型號研制過程中，通過提前策劃，準確識別風險，并實施有效管控措施，對于北斗衛(wèi)星導(dǎo)航系統(tǒng)的建設(shè)具有重要作用。

2 風險管理概況

按照航科集團公司“系統(tǒng)策劃，識別全面，分析準確，措施有效，風險受控”的風險分析與控制原則，北斗三號控制和推進系統(tǒng)從型號立項初始，就明確了型號兩總、分系統(tǒng)和單機的三級崗位風險責任體系，并充分發(fā)揮各專業(yè)領(lǐng)域?qū)＜业淖饔茫凑詹邉?、識別、控制、改進的風險控制流程，進行型號各階段的技術(shù)風險分析與控制工作，重點加強各階段風險分析與控制的迭代。

2.1 分系統(tǒng)風險識別與控制

在北斗三號全球組網(wǎng)衛(wèi)星研制初期，針對控制和推進分系統(tǒng)開展了風險分析與識別工作，編制了《控制/推進分系統(tǒng)技術(shù)風險分析及控制策劃報告》，對于識別分析出的重大技術(shù)風險的關(guān)鍵環(huán)節(jié)，制定了相應(yīng)的風險控制措施，并將措施細化到分系統(tǒng)整個研制流程中[2]（如圖1 所示），最大程度確保措施有效落實。在分系統(tǒng)交付前，編制了《控制/推進分系統(tǒng)技術(shù)風險分析及控制總結(jié)報告》，對風險控制結(jié)果進行確認與評估，確定風險控制措施是否落實到位。衛(wèi)星出廠前，對分系統(tǒng)風險措施落實情況進行再確認，并制定了全面、可行的故障預(yù)案。

圖1 分系統(tǒng)風險分析與控制工作流程

2.2 單機風險分析和控制

北斗三號全球組網(wǎng)衛(wèi)星控制和推進分系統(tǒng)單機約占整星的1/3，各單機的狀態(tài)穩(wěn)定性對于衛(wèi)星系統(tǒng)的建設(shè)具有決定性的作用。衛(wèi)星控制和推進分系統(tǒng)各單機研制單位通過將風險分析和控制貫穿單機研制的全過程，引入了“DFx”方法，從產(chǎn)品的可制造性、可裝配性、可測試性出發(fā)，加強面向功能和性能的設(shè)計，明確關(guān)鍵特性裕度和三類關(guān)鍵特性，量化產(chǎn)品的控制指標，指明具體過程控制措施，并形成了產(chǎn)品生產(chǎn)、測試和試驗操作指導(dǎo)性文件，從而提升了產(chǎn)品可靠性。

北斗三號系統(tǒng)重點加強了單機生產(chǎn)過程數(shù)據(jù)包管理，確保單機生產(chǎn)過程記錄完整、可追溯。各單機開展產(chǎn)品測試覆蓋性分析，形成單機產(chǎn)品測試覆蓋性分析報告，確定了產(chǎn)品的可測試項目和一、二、三類不可測試項目。產(chǎn)品交付前，產(chǎn)品設(shè)計師須編制測試覆蓋性檢查報告，對全部可測試項目逐條給出明確結(jié)論，對不可測試項目的過程控制措施落實情況及驗證結(jié)果也要給出明確結(jié)論。產(chǎn)品設(shè)計師還須編制完成《單機技術(shù)風險分析與控制總結(jié)報告》，對可靠性與安全性、試驗驗證性、工藝穩(wěn)定性、單點故障模式控制有效性、技術(shù)狀態(tài)更改情況、產(chǎn)品實現(xiàn)過程量化控制情況等方面進行總結(jié)和確認，確保單機狀態(tài)和風險可控。

3 風險分析與控制重點

與其他衛(wèi)星型號相比，北斗三號衛(wèi)星的特點是批量化生產(chǎn)、產(chǎn)品技術(shù)狀態(tài)一致性要求高、衛(wèi)星在軌穩(wěn)定運行要求高。因此，為確保北斗三號工程建設(shè)任務(wù)的順利完成，需要嚴格技術(shù)狀態(tài)管理和生產(chǎn)過程控制，提升控制系統(tǒng)健壯性。為此，研制單位結(jié)合“策劃—實施—檢查—處置”（PDCA）循環(huán)的思想，加強了風險分析的策劃，對識別出的技術(shù)風險項目逐項分析并制定相應(yīng)的控制措施[3]，確保覆蓋型號研制的全過程，使型號研制技術(shù)風險控制措施切實可行、落實到位，風險降低到可接受水平。

3.1 技術(shù)狀態(tài)控制

3.1.1 技術(shù)狀態(tài)的確定和控制

產(chǎn)品技術(shù)狀態(tài)的確定是型號研制的基礎(chǔ)。型號研制初期，通過編制控制和推進分系統(tǒng)技術(shù)狀態(tài)確認報告，對各單機的狀態(tài)進行了梳理，對識別出的技術(shù)狀態(tài)更改項，按照技術(shù)狀態(tài)更改要求開展技術(shù)狀態(tài)更改論證工作，確保更改有效受控。在0 型號研制過程中，嚴格技術(shù)狀態(tài)更改管理，任何涉及單機功能性能、生產(chǎn)基線、設(shè)計文件、生產(chǎn)流程等變更均按照技術(shù)狀態(tài)更改進行控制，對產(chǎn)品最終狀態(tài)有超差項的，嚴格按照不合格品審理程序進行審理和審批。在交付前，完成技術(shù)狀態(tài)紀實和審核，對產(chǎn)品生產(chǎn)過程中的文件類更改、物資變更、例外放行、生產(chǎn)基線檢查和變更、不合格品審理等內(nèi)容進行整理和總結(jié)，確保研制全過程技術(shù)狀態(tài)受控。

3.1.2 技術(shù)狀態(tài)一致性比對

北斗三號控制分系統(tǒng)特別加強了單機和分系統(tǒng)測試數(shù)據(jù)的一致性比對工作，通過提前識別關(guān)鍵性能參數(shù)，建立各單機和分系統(tǒng)的一致性數(shù)據(jù)比對模板，形成了單機產(chǎn)品化數(shù)據(jù)庫。在產(chǎn)品交付前，通過加強數(shù)據(jù)一致性比對，對數(shù)據(jù)臨界項和差異項進行機理分析和確認，識別出了多項單機異常現(xiàn)象，大大提高了產(chǎn)品問題識別和驗收的有效性；通過問題專項分析和閉環(huán)，確保了產(chǎn)品數(shù)據(jù)的一致性和有效性；通過橫向比對分析不同批次產(chǎn)品的數(shù)據(jù)一致性，推動了產(chǎn)品薄弱環(huán)節(jié)改進和成熟度持續(xù)提升。

3.2 生產(chǎn)過程控制

3.2.1 單機生產(chǎn)過程控制

建立完善的產(chǎn)品功能基線、分配基線和生產(chǎn)基線并進行有效的控制是批產(chǎn)衛(wèi)星生產(chǎn)過程控制的重點，是確保產(chǎn)品質(zhì)量合格、穩(wěn)定的保障。而單機生產(chǎn)過程控制則是產(chǎn)品批產(chǎn)化生產(chǎn)的關(guān)鍵，甚至?xí)绊懶l(wèi)星任務(wù)的成敗。因此，應(yīng)通過細化工藝流程、加強關(guān)鍵特性分析、強化各項產(chǎn)保要素落實檢查，有效提高生產(chǎn)過程水平，確保批產(chǎn)化單機生產(chǎn)質(zhì)量。

控制分系統(tǒng)產(chǎn)品的原理和結(jié)構(gòu)較為復(fù)雜，故研制單位提前識別了產(chǎn)品設(shè)計、生產(chǎn)和過程控制關(guān)鍵特性，優(yōu)化部分單機研制技術(shù)流程，將成熟軟件落焊工作提前到單板生產(chǎn)環(huán)節(jié)，并進行影響分析，制定控制措施，在生產(chǎn)過程嚴格落實。同時，加強了產(chǎn)品單點故障的識別和控制，對關(guān)鍵工作環(huán)節(jié)設(shè)置強制檢驗點，強化對產(chǎn)品關(guān)鍵特性指標的檢驗，確保產(chǎn)品功能、性能滿足要求。

多余物控制是推進分系統(tǒng)研制過程質(zhì)量管理的重中之重，在單機生產(chǎn)、系統(tǒng)焊接、總裝測試、加注過程等任何一個環(huán)節(jié)引入多余物，都有可能影響推進系統(tǒng)正常工作，導(dǎo)致衛(wèi)星在軌工作出現(xiàn)異常，甚至引起災(zāi)難性事故。為此，著重推動推進系統(tǒng)可靠性保證工程，建立了北斗三號推進系統(tǒng)焊接、總裝環(huán)節(jié)生產(chǎn)基線，從組織分工、管理制度、防控體系、控制措施等全方位入手，對產(chǎn)品研制和系統(tǒng)集成全過程的多余物控制體系進行了梳理，明確了各生產(chǎn)崗位職責，全面形成了產(chǎn)品和系統(tǒng)多余物的控制措施及要求，并重點加強各環(huán)節(jié)工作的檢測結(jié)果判讀，確保推進系統(tǒng)不帶隱患上天。

3.2.2 國產(chǎn)化元器件使用控制

為改變我國關(guān)鍵產(chǎn)品、關(guān)鍵元器件受制于人的局面，北斗三號衛(wèi)星采用了大量的國產(chǎn)化元器件，目前衛(wèi)星元器件國產(chǎn)化率已經(jīng)達到98.5%，實現(xiàn)了元器件自主可控。然而，國產(chǎn)化元器件的研制基礎(chǔ)相對較為薄弱，大部分國產(chǎn)化元器件未經(jīng)過長期在軌考核，成熟度不高、可靠性子樣較少等因素均會給衛(wèi)星在軌穩(wěn)定運行帶來隱患?？刂品窒到y(tǒng)作為國產(chǎn)化元器件使用的引領(lǐng)方和使用方，制定了如下控制措施：

（1）加強元器件入所篩選及檢查，確保元器件質(zhì)量可靠；

（2）加強單板級、單機級試驗驗證，按照規(guī)定的單板和單機產(chǎn)品測試和試驗驗證規(guī)范，確保單板及單機驗證充分有效；

（3）加強在分系統(tǒng)和整星聯(lián)試和測試試驗判讀，不放過任何異?，F(xiàn)象，確保系統(tǒng)驗證測試強度和產(chǎn)品質(zhì)量與可靠性。

通過強化國產(chǎn)化元器件的試驗驗證、篩選，加強單板測試、整機測試、分系統(tǒng)和整星測試，建立國產(chǎn)化元器件驗證及應(yīng)用履歷數(shù)據(jù)庫，保證了導(dǎo)航衛(wèi)星在軌穩(wěn)定運行，也推動了一批國產(chǎn)化元器件成熟度的快速提升。

3.3 控制系統(tǒng)健壯性

導(dǎo)航衛(wèi)星穩(wěn)定運行、持續(xù)提供服務(wù)的前提是控制系統(tǒng)的高可靠、高穩(wěn)定。因此，必須要加強控制系統(tǒng)的健壯性設(shè)計，確保風險識別到位、措施落實到位。同時，樹立“底線思維”，確立量化的安全邊界并分解落實，加強在軌數(shù)據(jù)判讀，強化在軌自主故障檢測、判斷和處置能力。

3.3.1 在軌故障預(yù)案

北斗三號控制系統(tǒng)和推進系統(tǒng)制定了充分的故障處理預(yù)案，并在地面進行了充分的演練和驗證，確保衛(wèi)星在軌發(fā)生異常時能有效處置，將風險降到最低，保證衛(wèi)星連續(xù)、可靠運行。

根據(jù)預(yù)案，對控制系統(tǒng)開展“再設(shè)計、再分析、再驗證”工作，充分進行衛(wèi)星飛行事件保障鏈分析，建立并動態(tài)維護單機故障模式庫；對控制和推進分系統(tǒng)各時段、各事件進行分解，分析識別每一動作的執(zhí)行條件和保障措施；對各故障模式制定充分的處理對策，并對相應(yīng)的故障處置操作程序（指令或指令鏈）和故障處置的結(jié)果判定進行詳細的仿真和演練；特別加強了對故障對策的風險分析，預(yù)防二次故障或多重故障的發(fā)生。通過在軌衛(wèi)星飛行，部分故障預(yù)案已經(jīng)得到驗證，有效地處理了一些意外情況。后續(xù)將持續(xù)迭代和完善，確保組網(wǎng)衛(wèi)星在軌運行連續(xù)、可靠。

3.3.2 軟件研制管理

衛(wèi)星高可靠、高穩(wěn)定的飛行目標必須以各軟件的可靠運行作保障。研制單位在各軟件研制過程中嚴格貫徹軍用軟件質(zhì)量管理規(guī)定，按照集團公司軟件工程化的要求進行研制和管理。風險控制和可靠性保障措施如下：

（1）各軟件均進行了可靠性設(shè)計，采取重要數(shù)據(jù)三取二、EDAC、時序設(shè)計、中斷沖突分析、數(shù)據(jù)有效性保護等措施，有效保證可靠運行；

（2）軟件開發(fā)經(jīng)過軟件測試、分系統(tǒng)測試、第三方評測和整星測試等階段的全面測試，且分系統(tǒng)專門構(gòu)建了驗證平臺，進一步加強了系統(tǒng)和軟件的強度測試；

（3）完善了“一重故障保業(yè)務(wù)連續(xù)，二重故障保衛(wèi)星安全”的異常應(yīng)對策略，在不影響衛(wèi)星安全的前提下，首先確保衛(wèi)星在軌服務(wù)連續(xù)，對大規(guī)模軟件可實現(xiàn)在軌升級。

4 總結(jié)

隨著北斗三號基本系統(tǒng)完成建設(shè)以及后續(xù)任務(wù)逐步推進，確保在軌衛(wèi)星穩(wěn)定運行的壓力也將不斷增加，這就要求研制單位應(yīng)更加深入開展風險管理工作，增強風險管控能力。目前風險量化分析和風險管理效率尚有諸多不足之處，在下一步工作中各研制單位應(yīng)繼續(xù)研究、探索，不斷提升型號風險分析和控制能力，切實保障北斗導(dǎo)航系統(tǒng)任務(wù)建設(shè)圓滿成功。