動力冗余技術對全箭可靠性影響研究

秦 曈，李彩霞，容 易，秦旭東，張 智

（1. 北京宇航系統(tǒng)工程研究所，北京，100076；2. 中國運載火箭技術研究院，北京，100076）

0 引 言

隨著人類進入空間的需求日益增加，運載火箭的規(guī)模和能力也與日俱增，有效載荷的價值和火箭發(fā)射的成本不斷增加，因此對運載火箭的飛行可靠性提出了更高的要求。動力系統(tǒng)是運載火箭四大系統(tǒng)之一，其可靠性直接影響著運載火箭執(zhí)行任務的成功概率。

通過對運載火箭發(fā)射失利案例進行分析，發(fā)現(xiàn)由于動力系數(shù)故障導致的發(fā)射失利次數(shù)是所有系統(tǒng)中最多的，占故障總數(shù)的38%[1]，近年來這一比例更是超過了50%[2]。如何在部分發(fā)動機故障的情況下依然能保證發(fā)射任務的成功，一直是運載火箭總體設計追求的目標。特別是對于新型運載火箭，由于其發(fā)射規(guī)模大、發(fā)射成本高、執(zhí)行的任務影響力大[3]，對在故障狀態(tài)下仍然能完成任務的需求更加強烈。動力冗余是增加動力系統(tǒng)可靠性的有效手段，在國外的運載火箭研制過程中，N-1 火箭、土星五號火箭、航天飛機等均具備一定的動力冗余能力[4]，在實際飛行過程中起到了很好的作用。近年來，美國私營航天公司——太空探索公司的法爾肯9 和法爾肯火箭也應用了動力冗余技術。2020 年3 月18 日，在太空探索公司第6 次“星鏈”組網(wǎng)發(fā)射任務中，一級1 臺發(fā)動機因故障提前關機，通過其余發(fā)動機工作，將衛(wèi)星送入預定軌道，這也是最近一次火箭動力冗余發(fā)揮作用的實例。

動力冗余技術一般適用于“小推力、多臺數(shù)”的情況，如果1 臺發(fā)動機故障，可以通過提升其它發(fā)動機推力等方式實現(xiàn)動力冗余，從而提高全箭的可靠性。但發(fā)動機故障模式有很多種，其中有部分故障模式會引起其它系統(tǒng)的故障[5]，從而導致任務失敗，降低全箭的可靠性。以往的動力冗余對全箭可靠性的研究，是基于故障不擴散假設[6]，但在工程實施過程中并不完備。本文通過考慮發(fā)動機故障引起其它系統(tǒng)故障和在動力冗余實施過程中出現(xiàn)問題的情況，研究動力冗余對全箭可靠性的影響。

1 國外運載火箭動力冗余情況分析

國外部分型號的運載火箭具備動力冗余能力，并應用在真實飛行任務中。

1.1 土星五號

土星五號火箭一級采用5 臺F-1 發(fā)動機，由于F-1發(fā)動機推力太大，不具備動力冗余的能力，而其二級安裝了5 臺J-2 發(fā)動機（見圖1），一定條件下具備動力冗余能力。

圖1 土星五號二級發(fā)動機布局Fig.1 Distribution of 2nd Stage Engines of Saturn V

在土星五號發(fā)射阿波羅13 號時，由于POGO 振動引起二級中心發(fā)動機提前2 min 關機，依靠外圍的4 臺發(fā)動機，土星五號將阿波羅13 號送入了190 km 的地球停泊軌道[7]。

1.2 航天飛機

航天飛機的軌道飛行器采用3臺液氫液氧發(fā)動機，呈120°均布，每臺發(fā)動機可雙擺，如圖2 所示。系統(tǒng)設計可在1 臺發(fā)動機故障時，靠其余2 臺發(fā)動機完成姿態(tài)控制功能。

圖2 航天飛機的發(fā)動機布局Fig.2 Engine Distribution of Space Shuttle

1985 年7 月29 日，挑戰(zhàn)者號航天飛機升空后3 min30 s，主發(fā)動機系統(tǒng)的一個溫度傳感器探測到1 號發(fā)動機超溫93 ℃，安全系統(tǒng)關閉了這臺故障發(fā)動機，并完成了飛行。其軌道飛行器設計就是在1 臺發(fā)動機損壞的情況下，靠其余2 臺發(fā)動機完成控制功能[8]。

1.3 N-1 火箭

N-1 火箭芯一級采用了30 臺發(fā)動機，屬于典型的“小推力、多臺數(shù)”構建動力系統(tǒng)的火箭構型。N-1火箭的姿態(tài)控制并不是通過發(fā)動機搖擺來實現(xiàn)的，而是通過發(fā)動機推力調節(jié)和從渦輪后引出排氣管進行搖擺來實現(xiàn)。

圖3 N-1 一級底部發(fā)動機布局Fig.3 Engine Distribution on the Bottom of N-1

N-1 火箭在設計之初就考慮到了動力冗余，允許最多關閉4 臺發(fā)動機。如果在飛行過程中部分發(fā)動機出現(xiàn)故障，可通過關閉該發(fā)動機及其中心對稱位置的發(fā)動機實現(xiàn)姿態(tài)穩(wěn)定。然而N-1 火箭4 次發(fā)射4 次失利，動力冗余技術并未起到關鍵作用[9]。

第1 次失利是在1969 年2 月21 日，火箭飛行期間12 號發(fā)動機檢測異常被關閉，同時與其對稱的24 號發(fā)動機也被關閉。65 s，一級發(fā)動機艙起火，導致電路短路，造成控制系統(tǒng)發(fā)出錯誤指令，關閉了所有正常的發(fā)動機。故障起因是發(fā)動機燃氣發(fā)生器引壓管斷裂引起其他系統(tǒng)故障。

第2 次失利是在1969 年7 月3 日，火箭起飛后0.22 s，8 號發(fā)動機的氧化劑泵吸入多余物，多余物打破了氧化劑泵的葉片并擊穿了泵的殼體，在發(fā)動機艙內引起爆炸起火，爆炸導致一級推力控制部件損毀，發(fā)動機全部關閉。這次失敗的直接原因是火箭生產(chǎn)過程中質量控制不嚴格，而發(fā)動機單機故障引起的控制系統(tǒng)失效也是動力冗余未能挽救任務的原因。

第3 次失利是在1971 年6 月26 日，本次飛行任務30 臺發(fā)動機均工作正常，但中心6 臺發(fā)動機負責控制火箭滾動的渦輪排氣噴管控制電纜存在極性接反的情況，最后造成火箭的姿態(tài)發(fā)散，從而導致任務失敗。

第4 次失利是在1972 年11 月23 日，在火箭飛到40 km 高空時，內圈6 臺發(fā)動機關機，產(chǎn)生很大的水擊壓力，造成發(fā)動機輸送管斷裂，從而引起發(fā)動機氧泵氣蝕、起火并發(fā)生爆炸。爆炸造成發(fā)動機艙破裂，并在連鎖反應下使控制系統(tǒng)在107 s 關閉了所有一子級發(fā)動機，最終導致任務失敗。這次失敗的直接原因是發(fā)動機關機時水擊壓力過大，而控制系統(tǒng)沒能提供放棄一級并啟動二級的策略。

從N-1 的研制經(jīng)歷看出，動力系統(tǒng)故障能夠引起其他系統(tǒng)故障，導致動力冗余技術失效。所以N-1 之后，“小推力、多臺數(shù)”構建動力系統(tǒng)的火箭構型，由于其系統(tǒng)復雜、動力冗余技術實施難度高，一直不受各航天大國的重視，直到法爾肯系列火箭的出現(xiàn)。

1.4 法爾肯系列火箭

美國太空探索公司的法爾肯系列火箭主要有法爾肯9 和法爾肯重型火箭，一級均具備動力冗余能力。法爾肯9 火箭一級9 臺發(fā)動機，8 臺周向布置，1 臺居中，具備地面起飛時允許1 臺發(fā)動機故障、飛行一段時間后允許2 臺發(fā)動機故障，還能完成任務的冗余能力。法爾肯重型火箭，采用通用芯級構型，一級共計27 臺發(fā)動機，根據(jù)不同的發(fā)射任務，具備地面起飛時允許1 臺或多臺發(fā)動機故障的能力。

圖4 法爾肯重型火箭底部發(fā)動機布局Fig.4 Engine Distribution of Falcon Heavy

法爾肯9 火箭在多次飛行任務中應用動力冗余技術，圓滿完成發(fā)射主任務。與N-1 時代相比，電子信息技術、故障診斷技術以及飛行控制技術等都取得了長足的進步，為動力冗余技術的成功實施奠定了基礎。

2 動力冗余對全箭可靠性的影響

運載火箭的全箭可靠性分為發(fā)射可靠性和飛行可靠性，發(fā)射可靠性還與發(fā)射支持系統(tǒng)可靠性相關，飛行可靠性主要與箭上各分系統(tǒng)相關，某運載火箭飛行可靠性定量評估的情況如表1 所示。

表1 某運載火箭飛行可靠性定量評估結果Tab.1 Reliability Evaluation of a Launch Vehicle

由表1 可知，在主要箭上系統(tǒng)中，動力系統(tǒng)的可靠性評估結果最低。因為一般運載火箭的發(fā)動機臺數(shù)較多，且系統(tǒng)可靠性指標按照串聯(lián)分配。如果認為每型發(fā)動機的可靠性指標一致，則某一火箭子級動力系統(tǒng)的可靠性為

式中 Q 為單臺發(fā)動機可靠性；n 為該子級發(fā)動機總臺數(shù)；R0為非冗余狀態(tài)下子級動力系統(tǒng)的可靠性。

由式（1）可知，在非冗余狀態(tài)下，如果要提升系統(tǒng)可靠性，可行的方法是提升單臺發(fā)動機可靠性Q 和減少發(fā)動機臺數(shù)n。提升發(fā)動機單機可靠性需要大量試車時間，受到試驗條件、研制經(jīng)費和研制進度限制；減少發(fā)動機臺數(shù)，則受到推動比的制約，發(fā)動機臺數(shù)在設計之初已經(jīng)固定。因此，要想有效提升動力系統(tǒng)可靠性，需要考慮應用動力冗余技術。

發(fā)動機變推力是實現(xiàn)動力冗余的方式之一，發(fā)動機數(shù)量與額定狀態(tài)相同，當系統(tǒng)1 臺發(fā)動機出現(xiàn)故障被關閉后，其它發(fā)動機可以通過提高推力的方式彌補故障發(fā)動機的推力損失，從而保障系統(tǒng)的總推力不變。假設單臺發(fā)動機的可靠性與推力大小無關，則冗余1 臺和2 臺發(fā)動機下的系統(tǒng)可靠性為

式中 R1和R2分別為冗余1 臺和2 臺發(fā)動機下的子級動力系統(tǒng)的可靠性；從n 個不同元素中取出m 個元素的組合數(shù)。

發(fā)動機推力是發(fā)動機的重要指標，因此推力提升的范圍一般比較有限，不會超過額定推力的20%。例如美國航天飛機主發(fā)動機SSME，其可在115%的額定推力下工作。因此，一般發(fā)動機臺數(shù)在5 臺以上，可實現(xiàn)變推力的動力冗余技術。采用不同臺數(shù)非冗余和冗余發(fā)動機的子級動力系統(tǒng)可靠性如表2 和圖5 所示。

表2 采用非冗余和冗余發(fā)動機可靠性對比Tab.2 Comparison for Engines with/without Redundancy

圖5 采用非冗余和冗余發(fā)動機可靠性比較Fig.5 Reliability Comparison for Engines with/without Redundancy

由表2和圖5可知，發(fā)動機冗余可以顯著提高動力系統(tǒng)的可靠性，且可冗余的發(fā)動機臺數(shù)越多，可靠性提升越顯著。

3 考慮系統(tǒng)故障情況下動力冗余的可靠性

在火箭飛行過程中，采用動力冗余技術提升飛行可靠性不僅僅與發(fā)動機單機可靠性有關。從N-1 火箭的研制經(jīng)歷可以看出，4 次失利3 次與發(fā)動機故障有關，而其設計的動力冗余技術也沒有發(fā)揮出應有的功效。這3 次發(fā)動機故障，有2 次是因為發(fā)動機單機故障引起了其他系統(tǒng)的故障；有1 次是由于動力冗余的控制策略出現(xiàn)問題。因此，動力冗余技術不僅僅與發(fā)動機單機可靠性有關，還與發(fā)動機故障模式和實現(xiàn)動力冗余的控制策略有關。

本節(jié)以單臺發(fā)動機失效下的動力冗余技術為例，分析在考慮發(fā)動機故障擴散以及動力冗余執(zhí)行失效情況下的動力冗余技術對全箭可靠性的影響。

3.1 發(fā)動機故障導致系統(tǒng)故障的影響

在實際飛行過程中，發(fā)動機發(fā)生故障可能并不僅僅會影響動力系統(tǒng)，例如發(fā)動機爆炸導致控制系統(tǒng)失效，從而影響任務的成敗。而在式（2）中，并沒有考慮到這一因素，認為發(fā)動機的故障是受限的，動力系統(tǒng)可適應任意形式的單機故障。

為了分析單臺發(fā)動機故障對系統(tǒng)的影響，引入單機故障擴散引起系統(tǒng)故障的故障風險系數(shù)，用1ε 表示。該參數(shù)為主要包括發(fā)動機故障診斷失敗、發(fā)動機災難性故障導致其它發(fā)動機失效或動力冗余實施中其它系統(tǒng)失效等風險?？紤]到單機失效動力冗余對可靠性的貢獻應減去該故障風險系數(shù)的影響，式（2）可寫為

式中 R1'為考慮故障風險系數(shù)并冗余1 臺發(fā)動機下的動力系統(tǒng)可靠性；1ε 的取值與發(fā)動機的故障模式有關，取值范圍為0～1。如果發(fā)動機所有故障均受限，不會對其它系統(tǒng)產(chǎn)生影響，則1ε 為0；如果發(fā)動機所有故障一定會影響其他系統(tǒng)并導致動力冗余失效，則1ε 為1。

在不同單臺發(fā)動機可靠性下，不同策略下動力系統(tǒng)的可靠性如表3 所示。由表3 可知，假設某動力系統(tǒng)可由3 臺大推力發(fā)動機或6 臺小推力發(fā)動機組成，在6 臺發(fā)動機允許1 臺冗余的工況下，系統(tǒng)可靠性不一定大于3 臺發(fā)動機無冗余的工況。只有在1ε 較小的情況下，動力冗余技術的優(yōu)勢才能充分發(fā)揮。

表3 考慮不同 1ε 對系統(tǒng)可靠性影響對比Tab.3 Comparison for Different

不同冗余策略下動力系統(tǒng)可靠性不僅與發(fā)動機的冗余能力有關，還與1ε 有關。圖6 顯示在單機可靠性確定時，小推力、多臺數(shù)構建的動力系統(tǒng)，在系統(tǒng)可靠性上超過大推力、少臺數(shù)的情況，除了具備冗余能力外，其發(fā)動機故障風險系數(shù)小于臨界值1Cε （即該冗余策略與3 臺無冗余的動力系統(tǒng)可靠性一致），且該臨界值隨著構建動力系統(tǒng)發(fā)動機臺數(shù)的增多而減小。

圖6 不同冗余策略下故障冗余系數(shù)對系統(tǒng)可靠性影響（Q=0.985）Fig.6 The Influence of Failure Risk Factor on System Reliability with Different Redundant Propulsion Strategy(Q=0.985)

3.2 冗余執(zhí)行失效對動力冗余可靠性的影響

在動力冗余技術實際應用過程中，由于系統(tǒng)的復雜性，還存在執(zhí)行動力冗余策略失效的風險。例如，雖然診斷出某臺發(fā)動機失效，并成功關機，但實施動力冗余技術讓其他發(fā)動機變推力或控制系統(tǒng)重構等策略失效，依然會對動力冗余的可靠性造成影響。

因此，考慮到執(zhí)行動力冗余策略過程中帶來的風險，需要引入冗余風險系數(shù)，用2ε 表示，主要包括推力調節(jié)失效、控制指令分配失效等風險?；谌哂囡L險系數(shù)的影響。引入該參數(shù)后，式（4）可寫為

式中1R''為考慮故障風險系數(shù)和冗余風險系數(shù)并冗余1 臺發(fā)動機下的動力系統(tǒng)可靠性；2ε 的取值與冗余策略的執(zhí)行能力有關，取值范圍0～1。如果在發(fā)動機故障成功診斷并控制的情況下，所有的冗余策略均能成功實施則2ε 為0；如所有冗余策略均失效則2ε 為1。

假定單機可靠性指標為0.985，3 臺大推力發(fā)動機無冗余構建的動力系統(tǒng)可靠性為0.9557。以在6 臺發(fā)動機允許1 臺冗余的動力冗余策略為例，分析故障風險系數(shù)1ε 和冗余風險系2ε 對系統(tǒng)可靠性的影響。不同1ε 和2ε 情況下的系統(tǒng)可靠性如表4 所示。

表4 6 臺冗余1 臺策略 1ε 、 2ε 對系統(tǒng)可靠性影響Tab.4 Comparison for Different 1ε and 2ε

續(xù)表4

由表4 可知，越靠近表左上方區(qū)域，系統(tǒng)的可靠性越高；越靠近表右下方區(qū)域，系統(tǒng)的可靠性越低，甚至有低于3 臺大推力發(fā)動機無冗余的情況。

當選擇是由小推力、多臺數(shù)發(fā)動機具備1 臺冗余能力，還是由大推力、少臺數(shù)發(fā)動機無冗余能力來構建動力系統(tǒng)時，一定要考慮1ε 和2ε 的影響。1ε 和2ε 在不同取值范圍內動力系統(tǒng)可靠性的分布如圖7 所示，越靠近紅色區(qū)域可靠性越高，越靠近藍色區(qū)域可靠性越低。

圖7 6 臺冗余1 臺策略下 1ε 、 2ε 對動力系統(tǒng)可靠性影響（Q=0.985）Fig.7 The Influence of Failure Risk Factor and Redundant Risk Factor on System Reliability with 6 Units 1 Redundant Strategy (Q=0.985)

以可靠性0.9557 為剖面，投影如圖8 所示，陰影區(qū)域表示1ε 和2ε 在此區(qū)域內取值，6 臺小推力發(fā)動機1 臺冗余構建的動力系統(tǒng)可靠性高于3 臺大推力發(fā)動機無冗余構建的動力系統(tǒng)。

本文對1ε 和2ε 進行全域值研究，在實際工程應用中，雖然單臺發(fā)動機發(fā)生擴散性故障和控制執(zhí)行失效的概率根據(jù)不同型號各異，但都比較低，應用動力冗余技術對全箭可靠性提升有明顯效果。隨著運載火箭技術的不斷提高，特別是電子信息技術的飛速發(fā)展以及新材料和新工藝的不斷應用，運載火箭的發(fā)動機水平、傳感器精度、測量和控制技術等都取得了很大的進步。發(fā)動機單機引起系統(tǒng)故障的故障風險和冗余策略執(zhí)行失效的風險也會越來越低。這也是N-1 火箭在20 世紀60 年代4 次發(fā)射均未成功，而法爾肯系列火箭成功實施動力冗余技術的原因之一。

圖8 6 臺冗余1 臺策略下動力系統(tǒng)可靠性超過0.9557 的 1ε 、 2ε取值范圍（單機可靠性0.985）Fig.8 The Range of Failure Risk Factor and Redundant Risk Factor on System Reliability over 0.9957 with 6 Units 1 Redundant Strategy

4 結 論

本文從國外運載火箭動力冗余應用的實例出發(fā)，分析了應用動力冗余技術對提升系統(tǒng)可靠性的作用。同時在傳統(tǒng)動力冗余可靠性計算方法上，引入了故障風險系數(shù)和冗余風險系數(shù)，并分析了它們對系統(tǒng)可靠性的影響，得出以下結論：

a）動力冗余技術對系統(tǒng)可靠性的提升與單機的故障風險系數(shù)有關。對于小推力、多臺數(shù)構建的動力系統(tǒng)，在系統(tǒng)可靠性上超過大推力、少臺數(shù)的情況，除了具備冗余能力外，其發(fā)動機故障風險系數(shù)還要小于臨界值，且該臨界值隨著構建動力系統(tǒng)發(fā)動機臺數(shù)的增多而減小。

b）冗余風險系數(shù)也會影響系統(tǒng)可靠性，當選擇是由小推力、多臺數(shù)發(fā)動機具備1 臺冗余能力，還是由大推力、少臺數(shù)發(fā)動機無冗余能力來構建動力系統(tǒng)時，只有故障風險系數(shù)和冗余風險系數(shù)取值在一定范圍內，采用小推力、多臺數(shù)發(fā)動機具備1 臺冗余能力的策略才會使系統(tǒng)可靠性提升。