載人登月任務(wù)人-機(jī)系統(tǒng)安全性分析及對(duì)策研究

周文明,李孝鵬,李福秋,陳 露,王春慧,肖 毅

(1.中國(guó)航天標(biāo)準(zhǔn)化與產(chǎn)品保證研究院,北京100071；2.中國(guó)航天員科研訓(xùn)練中心,北京,100094)

1 引言

近年來,深空探索越來越受到重視,各航天科技發(fā)達(dá)國(guó)家依據(jù)本國(guó)國(guó)情和發(fā)展戰(zhàn)略,逐步開始規(guī)劃和實(shí)施深空探索活動(dòng)。針對(duì)未來載人登月任務(wù),為了提高飛行任務(wù)可靠性和航天員安全性,應(yīng)及早開展相應(yīng)的人-機(jī)系統(tǒng)安全性分析及對(duì)策研究,在型號(hào)研制早期強(qiáng)化設(shè)計(jì)人員對(duì)人-機(jī)系統(tǒng)安全性的認(rèn)識(shí),把人-機(jī)系統(tǒng)安全性問題留在研制階段。如果把問題積累下來威脅到航天器平臺(tái)安全,甚至航天員的生命,則會(huì)造成更大的損失。自1961年人類進(jìn)入太空以來,威脅航天員健康與生命安全的重大事故已發(fā)生過數(shù)十起,共有22名航天員獻(xiàn)出了寶貴的生命(其中4人在地面訓(xùn)練和試驗(yàn)時(shí)喪生)。本文以載人登月任務(wù)為例,在研究分析任務(wù)人-機(jī)系統(tǒng)安全性影響因素的基礎(chǔ)上,基于“事件樹+故障樹”方法構(gòu)建安全性分析模型,識(shí)別影響關(guān)鍵任務(wù)過程實(shí)施的關(guān)鍵影響因素,并對(duì)提高載人登月任務(wù)人-機(jī)系統(tǒng)安全性的對(duì)策措施進(jìn)行研究,為我國(guó)載人登月任務(wù)人-機(jī)系統(tǒng)安全性分析與管理提供借鑒。

2 典型載人登月任務(wù)過程

我國(guó)載人航天活動(dòng)以近地空間探測(cè)為基礎(chǔ),以載人月球探測(cè)為重點(diǎn),逐步具備載人地月往返、月面機(jī)動(dòng)、人-機(jī)聯(lián)合探測(cè)等基本能力。載人登月任務(wù)涉及航天器、測(cè)控通信、發(fā)射回收等多個(gè)方面,特別是由于航天員的參與使系統(tǒng)變得更為復(fù)雜,對(duì)人的安全性和操作可靠性要求更高,是一個(gè)巨復(fù)雜系統(tǒng)工程,圖1為典型載人登月任務(wù)過程[1]。載人登月任務(wù)風(fēng)險(xiǎn)大,挑戰(zhàn)艱巨,任務(wù)設(shè)計(jì)必須考慮應(yīng)急返回情況下航天員的安全,同時(shí)應(yīng)能保證任務(wù)時(shí)間內(nèi)任意時(shí)刻為返回登月艙上升段提供可靠安全的機(jī)動(dòng)支持[2]。與近地軌道載人飛行任務(wù)相比,載人登月任務(wù)面臨新的人-機(jī)-環(huán)境問題,如駕駛登月艙在月面著陸的運(yùn)動(dòng)及駕駛定位問題、月面活動(dòng)面臨的月塵和特殊地貌以及人機(jī)協(xié)作等。

圖1 典型載人登月任務(wù)過程(示意)Fig.1 Typical processes of manned lunar mission(sketch)

載人登月整個(gè)任務(wù)過程可以分解為登月任務(wù)、月面任務(wù)、返回任務(wù)。其中登月任務(wù)在月球引力范圍內(nèi)任務(wù)流程可分為：載人登月飛船(分為返回艙、登月艙,返回艙又稱指令服務(wù)艙)從地月轉(zhuǎn)移軌道進(jìn)入近月軌道；在近月軌道登月艙與返回艙分離；登月艙下降著陸,返回艙仍在原軌道運(yùn)行。返回任務(wù)可以分為：航天員完成任務(wù)后,乘坐登月艙上升段(上升艙)入軌與返回艙完成交會(huì)對(duì)接；拋掉登月艙上升段,返回艙進(jìn)入月地轉(zhuǎn)移軌道返回地球。從飛行任務(wù)過程來看,載人登月任務(wù)主要包括以下特點(diǎn)：

1)要經(jīng)歷地球大氣、地球空間、行星際空間、月球空間和月表等整個(gè)地月空間,所經(jīng)歷環(huán)境復(fù)雜多變,對(duì)航天器和航天員空間活動(dòng)造成很大影響,也給空間環(huán)境適應(yīng)性設(shè)計(jì)提出了新要求。

2)軌道設(shè)計(jì)復(fù)雜,如自由返回軌道、混合軌道以及多段自由返回軌道,但這些軌道不能滿足長(zhǎng)期多次任務(wù)的需求,在綜合考慮航天器平臺(tái)和航天員安全性、平臺(tái)可靠性以及任務(wù)成功性的前提下,需要開展飛行任務(wù)軌道優(yōu)選設(shè)計(jì)。

3)與近地軌道飛行任務(wù)相比,載人登月任務(wù)涉及的系統(tǒng)更多、結(jié)構(gòu)組成更復(fù)雜,如載人登月飛船系統(tǒng)包括軌道器、著陸器、上升器和返回器,這些飛船系統(tǒng)內(nèi)航天器的接口關(guān)系、關(guān)聯(lián)任務(wù)的可靠性直接影響載人登月任務(wù)的成敗。

4)將會(huì)遇到許多新的與人的因素相關(guān)的問題,主要包括人的工作能力、乘組組成、航天員選拔訓(xùn)練、航天員醫(yī)監(jiān)醫(yī)保、心理健康維護(hù)、營(yíng)養(yǎng)食品保障、環(huán)境醫(yī)學(xué)和工效學(xué)、登月服技術(shù)等醫(yī)學(xué)工程問題,研究解決好這些問題,才有可能保證載人登月任務(wù)中航天員的安全、健康和高效工作[3]。

3 人-機(jī)-環(huán)境系統(tǒng)

人-機(jī)系統(tǒng)是指“人”與他所對(duì)應(yīng)的“物”構(gòu)成的系統(tǒng)。在人-機(jī)系統(tǒng)中,“人”定義為所研究系統(tǒng)中參與系統(tǒng)過程的人,“機(jī)”則定義為與人處于同一系統(tǒng)中與人交換信息能量的物,“機(jī)”是個(gè)泛指的概念,一般所謂人-機(jī)系統(tǒng)就是指人-機(jī)-環(huán)境系統(tǒng)[4]。在載人登月任務(wù)中,航天員、載人航天器和空間飛行環(huán)境共同構(gòu)成一個(gè)典型的人-機(jī)-環(huán)境系統(tǒng)。人即航天員(包括指令長(zhǎng)、駕駛員、載荷專家等角色)；機(jī)為航天器平臺(tái)(如空間站等),主要是操縱部件和顯示部件；而環(huán)境即載人空間飛行環(huán)境,包括艙內(nèi)人造環(huán)境及艙外空間環(huán)境。

在空間相對(duì)密閉的環(huán)境中,能夠產(chǎn)生相互作用和影響的有人員、設(shè)備和環(huán)境3方面因素,這些因素也是安全性工作的開展對(duì)象[5]。對(duì)于整個(gè)飛行任務(wù),除了考慮登月階段航天員、載人航天器、空間飛行環(huán)境外,還需考慮月面定點(diǎn)著陸、月面工作期和月面上升期的人-機(jī)-環(huán)問題。

開展人-機(jī)系統(tǒng)安全性分析的基礎(chǔ)是構(gòu)建合理有效的人-機(jī)系統(tǒng)安全性分析模型,國(guó)外早期人-機(jī)系統(tǒng)安全性建模與仿真技術(shù)研究以平臺(tái)自身安全性研究為主,但數(shù)次重大安全性事故使得國(guó)外開始開展人因可靠性研究和應(yīng)用,人因可靠性建模與分析成為人-機(jī)系統(tǒng)安全性技術(shù)研究的重點(diǎn)。國(guó)外空間人-機(jī)系統(tǒng)安全性建模與仿真技術(shù)研究以概率安全評(píng)價(jià)PSA(Probability Safety A-nalysis)為核心,綜合考慮人因可靠性HR(Human Reliability)和空間環(huán)境對(duì)系統(tǒng)安全性的影響,并針對(duì)國(guó)際空間站、航天飛機(jī)、軌道空間飛機(jī)OSP(Orbital Space Plane)、載人救援飛船CRV(Crew Rescue Vehicle)、載人探月飛船CEV(Crewed Exploration Vehicle)等空間人-機(jī)系統(tǒng)進(jìn)行了安全性建模和仿真分析工程應(yīng)用。由于基于地面信息的HR分析技術(shù)只能適應(yīng)短期在軌任務(wù)和繞月飛行任務(wù),對(duì)于長(zhǎng)期月面任務(wù)以及月球以遠(yuǎn)任務(wù)無法勝任,目前NASA已經(jīng)將人-機(jī)系統(tǒng)可靠性、安全性分析從基于地面轉(zhuǎn)向基于空間以解決長(zhǎng)期空間任務(wù)人因可靠性分析和人因風(fēng)險(xiǎn)預(yù)測(cè)問題,并就此開展相應(yīng)的訓(xùn)練、程序設(shè)計(jì)以及人-機(jī)多因素影響分析等工作[6]。

近年來國(guó)內(nèi)逐步開展了人-機(jī)系統(tǒng)安全性建模與仿真技術(shù)研究,主要包括兩個(gè)方面,一方面以“機(jī)”子系統(tǒng)為研究對(duì)象,將“人”子系統(tǒng)作為安全性影響因素,通過人為差錯(cuò)分析量化研究“機(jī)”子系統(tǒng)安全性能。另一方面以“人”子系統(tǒng)為對(duì)象,將“人”子系統(tǒng)置于人-機(jī)系統(tǒng)總體安全約束下,研究“人”子系統(tǒng)需要滿足的可靠性、安全性要求。

4 人-機(jī)系統(tǒng)的安全性影響因素分析

安全性事故是人-機(jī)系統(tǒng)人為差錯(cuò)、設(shè)備故障、環(huán)境擾動(dòng)及其耦合作用突破控制措施,不受約束地傳播和演化的結(jié)果,事故表現(xiàn)為一系列不期望事件的發(fā)生。事故本質(zhì)是系統(tǒng)控制措施的相繼失效。安全性影響因素是導(dǎo)致任務(wù)失敗和空間人-機(jī)系統(tǒng)安全性事故發(fā)生和傳播的直接原因。系統(tǒng)安全行為特性受到人員、設(shè)備以及環(huán)境等諸多不安全因素的影響,特別是隨著科學(xué)技術(shù)的進(jìn)步和生產(chǎn)制造水平的提高,設(shè)備集成度和智能化水平越來越高,潛在深層次缺陷、人機(jī)復(fù)雜交互使得人員因素導(dǎo)致事故的比例不斷增加。我國(guó)載人航天雖然沒發(fā)生過重大事故,但也出現(xiàn)過一些險(xiǎn)情和差錯(cuò),如出艙艙門開啟不暢、返回艙著陸未及時(shí)切傘等。對(duì)載人登月任務(wù)人-機(jī)系統(tǒng)的安全性進(jìn)行定性定量分析時(shí),主要從人為因素、設(shè)備因素以及環(huán)境因素3方面進(jìn)行分析,具體到某個(gè)任務(wù)或任務(wù)過程,則需進(jìn)一步剖析相關(guān)的3種因素,并確定各因素之間的相互關(guān)系以及與具體任務(wù)過程之間的邏輯關(guān)系。以載人登月為例,影響任務(wù)的因素主要有[7]：

1)計(jì)劃的任務(wù)飛行剖面設(shè)計(jì)；

2)平臺(tái)(地面)導(dǎo)航功能執(zhí)行的位置點(diǎn)選擇；

3)飛行器落月過程中的速度約束；

4)著陸點(diǎn)的選擇及不確定性；

5)著陸點(diǎn)的控制精度等；

6)航天員操作各種設(shè)備對(duì)系統(tǒng)可靠性、安全性帶來的影響(載人任務(wù))；

7)載人登月任務(wù)飛行器、乘員裝備及航天員自身能力滿足任務(wù)需求的程度(載人任務(wù))。

圖2給出從人-機(jī)-環(huán)境角度開展載人登月任務(wù)落月過程安全性分析應(yīng)考慮的影響因素分類。通過開展任務(wù)過程的安全性影響因素分析,可以確定任務(wù)過程中可能涉及的人-機(jī)-環(huán)境交互作用,并據(jù)此開展詳細(xì)的安全性建模分析。下面采用事件樹、故障樹等分析方法對(duì)載人登月任務(wù)進(jìn)行安全性建模和安全性影響因素分析。

圖2 (載人)落月任務(wù)過程影響因素Fig.2 Influence factors in lunar landing process

4.1 事件樹和故障樹分析

結(jié)合長(zhǎng)期低軌道飛行任務(wù)的技術(shù)水平和實(shí)踐,載人登月任務(wù)涉及發(fā)射、變軌、著陸、駐留、返回等過程,依據(jù)任務(wù)規(guī)劃進(jìn)行任務(wù)階段劃分,明確各階段任務(wù)相關(guān)系統(tǒng)狀態(tài)和任務(wù)成功準(zhǔn)則,依據(jù)任務(wù)成功準(zhǔn)則確定任務(wù)后果狀態(tài)。構(gòu)建載人登月任務(wù)事件樹模型,以奔月點(diǎn)火為初因事件,中間事件包含月球環(huán)繞、落月、上升、月球附近交會(huì)對(duì)接、飛船返回與再入等過程。任務(wù)成功準(zhǔn)則定義為允許備份策略,在確保平臺(tái)和航天員安全的前提下,完成載人登月任務(wù)。按照該準(zhǔn)則,出現(xiàn)應(yīng)急情況成功返回地球事件,任務(wù)屬于失敗。當(dāng)然在實(shí)際工程分析時(shí),任務(wù)成功準(zhǔn)則和后果狀態(tài)視具體情況而有所區(qū)分。具體來說,依據(jù)任務(wù)成功準(zhǔn)則把載人登月任務(wù)過程事件樹后果狀態(tài)分為兩種：成功、失敗。在獲得任務(wù)過程事件樹模型后(圖3為典型載人登月過程飛行任務(wù)事件樹模型),構(gòu)建以各中間事件為頂事件的故障樹模型,在故障樹模型中將人-機(jī)交互過程、人為失誤等以基本事件的形式予以表達(dá)。

圖3 典型載人登月過程飛行任務(wù)事件樹模型(示意)Fig.3 The Event Tree model of typical processes in manned lunar mission(sketch)

在得到飛行任務(wù)事件樹模型后,針對(duì)各中間事件(或初因事件)開展故障建模。這些中間事件常常涉及軟硬件可靠性、人為可靠性、共因失效和環(huán)境影響,其邏輯模型背后一般有另外的模型做支持,用來確定這些事件的成敗[8]。本文通過故障樹進(jìn)行中間事件的故障建模。圖4給出落月過程故障樹模型。故障樹基本事件包括航天器平臺(tái)相關(guān)功能失效或異常、航天員操作或處置不當(dāng)以及地球測(cè)控中心人員操作或處置不當(dāng)?shù)?通過故障樹將具體任務(wù)過程中的人、機(jī)、環(huán)因素綜合起來,通過事件樹將各中間過程的故障樹聯(lián)系起來,從而為任務(wù)安全性分析提供模型基礎(chǔ)。

載人落月過程是登月任務(wù)最關(guān)鍵的一步,以美俄探月統(tǒng)計(jì)數(shù)據(jù)為例,月面著陸失敗率在30%左右,其高失敗率使得載人月面著陸成為載人登月任務(wù)過程的關(guān)鍵環(huán)節(jié)。該階段如果出現(xiàn)問題將會(huì)導(dǎo)致無法安全可靠地實(shí)施應(yīng)急返回,嚴(yán)重時(shí)可能會(huì)因?yàn)閼?yīng)急返回的巨大沖擊力造成航天器結(jié)構(gòu)的損毀或因剩余燃料無法滿足入軌交會(huì)對(duì)接造成航天器砸向月面,導(dǎo)致器毀人亡的情況發(fā)生。從整個(gè)任務(wù)過程來看,(載人)落月過程是整個(gè)載人登月任務(wù)中風(fēng)險(xiǎn)較高的階段,接近月面階段和最后落月階段既是登月成功中最重要的一步,也是最可能失敗的一步。因此,從系統(tǒng)工程角度對(duì)落月過程進(jìn)行細(xì)致的分析,綜合考慮引入人的智慧和臨機(jī)決策能力,從任務(wù)過程設(shè)計(jì)和任務(wù)可靠性、安全性角度挖掘可能的薄弱環(huán)節(jié)和危險(xiǎn)因素。

應(yīng)保證軟硬件設(shè)備的可靠性,確保在進(jìn)入登月“死亡區(qū)間”前以及過程中各設(shè)備均能可靠運(yùn)行,防止出現(xiàn)虛警、誤警對(duì)任務(wù)的影響。

在完成登月任務(wù)及月面任務(wù)后,航天員將乘坐上升器進(jìn)入月球軌道并與軌道目標(biāo)飛行器進(jìn)行對(duì)接,形成組合體,接著飛船將進(jìn)入月地轉(zhuǎn)移軌道,而后返回地球軌道,經(jīng)過多次變軌調(diào)相后進(jìn)入再入地球階段,圖5為飛船返回與再入過程故障樹。

圖4 落月任務(wù)過程故障樹Fig.4 The Fault Tree model of lunar landing process

圖5 飛船返回/再入過程故障樹(示意)Fig.5 The Fault Tree of return/reentry process(sketch)

4.2 最小割集分析

最小割集是導(dǎo)致事故發(fā)生的最基本事件的集合。在系統(tǒng)安全性分析中,最小割集占有非常重要的地位,對(duì)系統(tǒng)安全性事故分析有很大幫助,能有效、經(jīng)濟(jì)地控制系統(tǒng)安全性事故的發(fā)生。而且利用最小割集能對(duì)安全性事故進(jìn)行定性定量分析,把事故的發(fā)生率控制在最低點(diǎn),從而避免造成人員傷亡和經(jīng)濟(jì)損失。下面采用最小割集分析方法對(duì)任務(wù)過程進(jìn)行分析,獲得影響任務(wù)成敗的關(guān)鍵因素。

通過最小割集分析可以找出安全系統(tǒng)中存在的漏洞,并制定相應(yīng)的預(yù)防措施,全面地控制事故的發(fā)生,從而提高系統(tǒng)的安全性。在載人登月任務(wù)的人-機(jī)系統(tǒng)安全性分析中,主要考慮影響系統(tǒng)安全性的I、II階最小割集。通過構(gòu)建“事件樹+故障樹”的安全性分析模型,可以得到不同后果狀態(tài)下的最小割集,影響落月任務(wù)過程成功的I階最小割集詳見表1。

通過最小割集分析,導(dǎo)致載人登月任務(wù)失敗的人的因素包括：操作指令失敗、地面遙操作異常以及應(yīng)急條件下人為差錯(cuò)等；機(jī)的因素包括：測(cè)控通信系統(tǒng)故障、軌道轉(zhuǎn)移發(fā)動(dòng)機(jī)故障、落月發(fā)動(dòng)機(jī)故障等；環(huán)境因素包括：月面突出物、登月過程中的其他空間環(huán)境條件等,這些都是影響落月任務(wù)安全性的關(guān)鍵因素。

4.3 基本事件的結(jié)構(gòu)重要度分析

對(duì)于故障樹、事件序列和后果狀態(tài)還可以計(jì)算其結(jié)構(gòu)重要度。表2給出與落月任務(wù)相關(guān)的基本事件的結(jié)構(gòu)重要度。

通過分析求出底層因素的結(jié)構(gòu)重要度,從而為后續(xù)安全性對(duì)策措施的制定提供依據(jù)。結(jié)合任務(wù)模型及中間事件故障樹模型,根據(jù)表1和表2分析結(jié)果可知,影響任務(wù)成功的因素很多,既包含設(shè)備故障,也包含人操作失誤和環(huán)境因素。安全性影響因素研究結(jié)果有利于后續(xù)進(jìn)一步的分析工作,并為后續(xù)采取相應(yīng)對(duì)策措施提供輸入。

表1 系統(tǒng)安全性I階最小割集Table 1 Minimum cut set of system safety

表2 基本事件的結(jié)構(gòu)重要度Table 2 Structural importance of basic events

5 提高人-機(jī)系統(tǒng)安全性的對(duì)策措施

載人登月是一項(xiàng)極其復(fù)雜的深空飛行任務(wù),任務(wù)過程展現(xiàn)出顯著的多階段任務(wù)特點(diǎn)。從落月過程安全性分析結(jié)果可知,影響落月任務(wù)安全性的主要因素包括人、機(jī)、環(huán)境3類。從結(jié)構(gòu)重要度分析結(jié)果來看,影響任務(wù)成功的主要是機(jī)的因素(軟件、硬件設(shè)備),其次是環(huán)境因素,最后為人的因素。從分析結(jié)果來看,好的設(shè)計(jì)依然是確保任務(wù)安全可靠的基礎(chǔ),而惡劣的地-月、環(huán)月軌道以及月面環(huán)境也影響著任務(wù)的可靠實(shí)施,人則是落月以及月面工作中的主角。為了確保載人登月任務(wù)過程中航天員和航天器平臺(tái)的安全可靠,在實(shí)施相關(guān)工程活動(dòng)時(shí),需從人因失誤控制、機(jī)(軟、硬件設(shè)備)故障控制、環(huán)境擾動(dòng)控制以及計(jì)劃管理方面采取相對(duì)的對(duì)策措施。

5.1 人因失誤控制

對(duì)人因失誤控制應(yīng)當(dāng)從人-機(jī)系統(tǒng)的匹配度來考慮,適當(dāng)提高人-機(jī)系統(tǒng)匹配度有助于提高整個(gè)系統(tǒng)的可靠性和執(zhí)行任務(wù)的成功性。以美國(guó)阿波羅載人登月為例,繞月飛行中全自動(dòng)飛行成功率為22%,而航天員主動(dòng)參與的繞月飛行成功率則高達(dá)93.5%,自動(dòng)和手動(dòng)備份操作提高了任務(wù)的成功性。應(yīng)從以下幾方面提高人-機(jī)匹配度,提高人的可靠性,降低人因失誤發(fā)生的可能性：

1)航天員多種形式的地面訓(xùn)練

針對(duì)未來載人長(zhǎng)期飛行任務(wù),開展多種形式的航天員水下、封閉及微重力條件下的模擬訓(xùn)練。訓(xùn)練航天員如何在狹小、隔離、陌生且相對(duì)危險(xiǎn)的環(huán)境下克服心理與生理的多重挑戰(zhàn),安全有效地開展各項(xiàng)工作,訓(xùn)練他們的領(lǐng)導(dǎo)力、服從性、團(tuán)隊(duì)協(xié)作及決策能力。

2)人-系統(tǒng)接口(Human System Interface)

良好的人-系統(tǒng)接口設(shè)計(jì)是任務(wù)成功的必要條件,人-系統(tǒng)接口包含兩方面內(nèi)容：一是系統(tǒng)對(duì)人的適應(yīng)能力,二是人對(duì)系統(tǒng)的適應(yīng)能力。系統(tǒng)對(duì)人的適應(yīng)能力就是在系統(tǒng)設(shè)計(jì)過程中確保設(shè)備有良好人機(jī)界面和防誤操作措施；人對(duì)系統(tǒng)的適應(yīng)能力就是人對(duì)系統(tǒng)的熟悉程度、操作靈活性以及對(duì)系統(tǒng)內(nèi)部深層次機(jī)理的認(rèn)識(shí)。如果人-系統(tǒng)接口設(shè)計(jì)優(yōu)良,則人在操作和使用系統(tǒng)時(shí)能夠圓滿地執(zhí)行各種情境下的任務(wù)；若系統(tǒng)接口設(shè)計(jì)存在缺陷或與標(biāo)準(zhǔn)規(guī)范要求存在偏差,則可能導(dǎo)致在緊急情況下人無法對(duì)系統(tǒng)表現(xiàn)出的異常行為進(jìn)行判斷,無法發(fā)揮出人的能動(dòng)性,來處理任務(wù)期間的應(yīng)急事件,從而導(dǎo)致災(zāi)難性事故的發(fā)生[9]。另外,對(duì)于載人登月活動(dòng),應(yīng)當(dāng)挑選具有相關(guān)專業(yè)背景的領(lǐng)域?qū)＜易鳛楹教靻T,以備不時(shí)之需。正如航天員科林斯在第1次載人登月遇到的情況,他具備的良好的計(jì)算機(jī)知識(shí)在確認(rèn)和排除近月階段的虛警中起到了關(guān)鍵作用。

3)航天員與機(jī)器人接口

航天員與機(jī)器人接口能力包括手段、程序和實(shí)現(xiàn)航天員與機(jī)器人之間無縫交互作用的技術(shù)。具體的接口有手動(dòng)輸入裝置、預(yù)編程的手勢(shì)和命令、生物電子接口等。

4)操作者的作業(yè)能力

在人-機(jī)系統(tǒng)中,操作者的作業(yè)能力是指其完成某種作業(yè)所具備生理、心理特征,綜合體現(xiàn)個(gè)體所蘊(yùn)藏的內(nèi)部潛力,這些生理、心理特征,可以從操作者單位時(shí)間內(nèi)完成操作的質(zhì)量與數(shù)量間接地反映出來。

5.2 機(jī)(軟、硬件設(shè)備)故障控制

在載人登月過程中,機(jī)(軟、硬件設(shè)備)故障對(duì)航天員來說是極大的考驗(yàn),人類首次載人登月期間,在接近登月“死亡區(qū)間”前發(fā)生了計(jì)算機(jī)警報(bào)(計(jì)算機(jī)被要求在同一時(shí)間執(zhí)行過多的任務(wù),因而不得不把一些任務(wù)延后執(zhí)行而產(chǎn)生的警報(bào))[10],這對(duì)航天員和地面指控中心人員都是極大的考驗(yàn),差點(diǎn)造成首次載人登月的失敗。因此良好容錯(cuò)能力和低虛警率的軟件系統(tǒng)是確保載人登月成功的重要組成,應(yīng)加強(qiáng)軟件可靠性、安全性的設(shè)計(jì)及驗(yàn)證工作,確保軟件工具安全可靠。

關(guān)于軟、硬件設(shè)備的故障控制應(yīng)從以下幾方面考慮：

1)加強(qiáng)軟、硬件協(xié)同設(shè)計(jì)

隨著大量處理芯片用于航天器,芯片內(nèi)置軟件與外圍設(shè)備的接口可靠性問題開始凸顯出來。當(dāng)前我國(guó)載人航天相關(guān)型號(hào)已經(jīng)開展了一系列的軟件可靠性與安全性分析研究工作,并取得了不錯(cuò)的成績(jī)。對(duì)于載人登月任務(wù)而言,其所使用的技術(shù)和設(shè)備不同于美國(guó)阿波羅登月時(shí)的技術(shù),要加強(qiáng)軟件的安全性設(shè)計(jì)與驗(yàn)證工作,防止任務(wù)期間系統(tǒng)進(jìn)入不期望狀態(tài)而影響整個(gè)任務(wù)的成功實(shí)施。

2)設(shè)備可靠性、安全性定量評(píng)估驗(yàn)證工作

要想在載人登月任務(wù)實(shí)施之前做到胸中有數(shù),增大成功把握,必須對(duì)系統(tǒng)中各個(gè)組成部分可能出現(xiàn)故障的概率加以認(rèn)證分析、研究,并進(jìn)行可靠性、安全性估計(jì)和控制。設(shè)備可靠性是設(shè)備安全可靠工作的基礎(chǔ),應(yīng)結(jié)合登月特點(diǎn),綜合開展任務(wù)過程的可靠性與安全性評(píng)估工作。通過評(píng)估驗(yàn)證為設(shè)備可靠性、安全性提升提供有效依據(jù),確保設(shè)備的安全可靠。

3)加強(qiáng)新技術(shù)的研究及應(yīng)用工作

應(yīng)開展精確著陸和月面地形環(huán)境危險(xiǎn)探測(cè)與規(guī)避技術(shù),提升和加強(qiáng)載人登月導(dǎo)航、制導(dǎo)和控制GNC(Navigation,Guidance and Control)系統(tǒng)能力以及任務(wù)和環(huán)境的態(tài)勢(shì)感知能力和決策機(jī)制,以確保登月艙和航天員等的安全。NASA的自主著陸與危險(xiǎn)規(guī)避技術(shù)(ALHAT,Autonomous Landing Hazard Avoidance Technology)目標(biāo)就是實(shí)現(xiàn)重返月球的安全精確著陸,具體來說包括開發(fā)技術(shù)成熟度(TRL,Technology Readiness Level)達(dá)到6級(jí)的自主月面著陸GNC和感知系統(tǒng),確保能在月球極端環(huán)境下保證登月艙和航天員等安全并實(shí)現(xiàn)十米級(jí)著陸精度。

5.3 環(huán)境擾動(dòng)控制

1)月面環(huán)境

首先,證據(jù)表明長(zhǎng)期暴露于可吸入的月塵環(huán)境下對(duì)人體的健康是有害的[11]。在載人登月任務(wù)期間,進(jìn)入月球艙的月巖灰塵會(huì)帶來很多麻煩,月球低重力延長(zhǎng)了月塵停留在艙內(nèi)大氣中的時(shí)間,也增加了皮膚、眼睛和呼吸系統(tǒng)受損的機(jī)會(huì)。為降低航天員身體受損的風(fēng)險(xiǎn),應(yīng)通過了解月塵的特性,在現(xiàn)有航天服基礎(chǔ)上研發(fā)能夠抵抗月塵環(huán)境的新航天服和航天器,開發(fā)有效的灰塵控制程序,從而降低登月任務(wù)中吸入顆粒、損傷皮膚和眼睛的風(fēng)險(xiǎn)。

其次,需要?jiǎng)?chuàng)建合適的長(zhǎng)期居住條件,以保證乘員任務(wù)期間的安全和健康。生活環(huán)境將防護(hù)乘員不會(huì)暴露在銀河宇宙線、太陽(yáng)粒子環(huán)境中。這種能力也將支持長(zhǎng)期飛行中乘員神智和情緒的穩(wěn)定,乘員必須克服在高風(fēng)險(xiǎn)、狹窄環(huán)境和與地球只有有限通信等環(huán)境長(zhǎng)時(shí)間生存的諸多限制。

2)變重力環(huán)境

與近地軌道載人飛行相比,載人登月任務(wù)將會(huì)遇到許多新的與人的因素相關(guān)的問題,對(duì)航天員的生理和心理提出了更為嚴(yán)峻的挑戰(zhàn)[9]。對(duì)于載人登月任務(wù)而言,航天員將經(jīng)歷從地球1 g重力→失重→月球表面1/6 g重力→失重→地球1 g重力變化。同時(shí),載人登月航天器要經(jīng)歷地球大氣、地球空間、行星際空間、月球空間和月表等整個(gè)地月空間,其環(huán)境復(fù)雜多變,對(duì)載人登月航天器及航天員登月活動(dòng)影響很大,給載人登月空間環(huán)境保障提出了新的更高的要求。為了降低變重力環(huán)境對(duì)航天員乘組的影響,應(yīng)加大變重力環(huán)境對(duì)航天員乘組影響研究,開展水下微重力環(huán)境適應(yīng)性訓(xùn)練和重力變化條件下人為失誤分析、人因可靠性分析等工作。建議在載人登月論證方面增加類似美國(guó)“寶瓶座”海底實(shí)驗(yàn)室的試驗(yàn)設(shè)備的研制工作,這不僅為未來載人登月提供變重力試驗(yàn)環(huán)境,也能為近地空間站任務(wù)提供有效的地面試驗(yàn)訓(xùn)練環(huán)境,提升參與空間任務(wù)航天員對(duì)變重力環(huán)境的適應(yīng)能力。

5.4 計(jì)劃管理方面

計(jì)劃管理工作是最終關(guān)系到計(jì)劃成敗的一個(gè)重要因素。由于人的先天不足(粗心大意、判斷錯(cuò)誤等),每一項(xiàng)計(jì)劃都需要有嚴(yán)格的檢查審查制度。對(duì)載人登月任務(wù)所涉及的各系統(tǒng)進(jìn)行反復(fù)檢查,對(duì)所有失效和更改的內(nèi)容詳盡解釋,這是取得成功的重要因素。

1)完善載人登月工程體系

為了確保載人登月任務(wù)的順利實(shí)施,建議參照現(xiàn)有的航天工程系統(tǒng)[12],研究完善適用于載人登月重大工程系統(tǒng)的理論體系、方法體系和標(biāo)準(zhǔn)體系。

2)制定有效的故障處置及應(yīng)急預(yù)案

載人登月任務(wù)由于有人的參與,航天員安全就成了首要問題。除著力提高可靠性外,航天員系統(tǒng)在設(shè)計(jì)上還要考慮出現(xiàn)重大故障時(shí)的救生手段和措施,以防患于未然。

同時(shí),應(yīng)開展天地聯(lián)合試驗(yàn),在開展載人登月任務(wù)前,應(yīng)驗(yàn)證故障處置及應(yīng)急預(yù)案的有效性和充分性,確保在異常情況下航天員和航天器平臺(tái)的安全。

3)制定詳細(xì)完備的任務(wù)計(jì)劃

應(yīng)盡量減少航天員自主操作的數(shù)量,避免因過多的操作任務(wù)對(duì)航天員的操控、生理以及心理水平考驗(yàn)和消耗,同時(shí)也應(yīng)考慮在應(yīng)急情況下航天員自主參與相關(guān)操作的可能。軌道交會(huì)對(duì)接應(yīng)盡量采用遙控、自動(dòng)與自主交會(huì)對(duì)接,避免航天員手動(dòng)。

4)關(guān)鍵技術(shù)成熟度評(píng)價(jià)

由于載人登月重大工程全壽命周期內(nèi)涉及對(duì)預(yù)先研究等方面的技術(shù)創(chuàng)新成果的正確性和可用性評(píng)價(jià),應(yīng)對(duì)型號(hào)工程項(xiàng)目擬選用關(guān)鍵技術(shù)的成熟度進(jìn)行定量分析,盡早識(shí)別和分析技術(shù)風(fēng)險(xiǎn)。

5.5 其他

載人登月(包括其他載人深空飛行任務(wù))對(duì)測(cè)控通信系統(tǒng)的要求較高,隨著我國(guó)地球軌道、地月系、太陽(yáng)系內(nèi)的航天器數(shù)目不斷增加,對(duì)目前的航天測(cè)控模式和體制都會(huì)帶來適應(yīng)性影響,應(yīng)當(dāng)在各重大工程研制初始就開展測(cè)控通信系統(tǒng)對(duì)任務(wù)的匹配適應(yīng)研究。采用集中式和分布式協(xié)同的測(cè)控通信體制能夠較好地滿足未來多任務(wù)、多航天器并行的測(cè)控通信需求。另外,由于測(cè)控通信系統(tǒng)將面對(duì)海量的數(shù)據(jù)信息,有必要提前對(duì)測(cè)控通信系統(tǒng)接口關(guān)系進(jìn)行統(tǒng)一規(guī)定,提高系統(tǒng)處理數(shù)據(jù)的能力,確保數(shù)據(jù)的時(shí)效性。

此外,為了確保航天員在任何應(yīng)急時(shí)刻能夠安全返回地球,在進(jìn)行載人登月軌道設(shè)計(jì)時(shí),應(yīng)考慮安全風(fēng)險(xiǎn)最低的軌道,可采取多段自由返回軌道[13,14]開展載人登月活動(dòng),確保飛船發(fā)生故障不執(zhí)行近月制動(dòng)的情況下仍可安全自由返回,不需要施加任何機(jī)動(dòng)操作,可有效保障航天員的安全。對(duì)于再入返回,應(yīng)采用跳躍式再入,這樣能有效降低最大過載,避免過載高于航天員安全標(biāo)準(zhǔn)最高值[15]。

6 結(jié)論

本文針對(duì)載人登月任務(wù),基于“事件樹+故障樹”的安全性建模分析方法,構(gòu)建了載人登月任務(wù)過程的事件樹模型,并以落月任務(wù)過程為例給出了包含人-機(jī)-環(huán)3類因素的故障樹模型。在此基礎(chǔ)上,綜合利用最小割集和結(jié)構(gòu)重要度分析方法,開展載人登月任務(wù)過程安全性關(guān)鍵影響因素分析,識(shí)別出影響任務(wù)成功的關(guān)鍵因素。從結(jié)果來看,關(guān)鍵因素涉及設(shè)備故障、人操作失誤和環(huán)境因素3方面,如過載導(dǎo)致飛行器結(jié)構(gòu)破壞、發(fā)動(dòng)機(jī)故障、航天員應(yīng)急處置不當(dāng)導(dǎo)致應(yīng)急上升以及環(huán)境因素導(dǎo)致閥門故障等。結(jié)合載人登月任務(wù)特點(diǎn),從人因失誤、軟硬件設(shè)備故障、環(huán)境擾動(dòng)以及計(jì)劃管理等方面提出了相應(yīng)的安全性對(duì)策措施。本文的安全性建模分析、關(guān)鍵影響因素識(shí)別方法以及制定的相關(guān)控制措施可為后續(xù)載人登月任務(wù)的安全性建模和分析以及安全性措施的制定提供參考。