空间站工程空间应用载荷安全性认定技术研究

王　伟，王　功（中国科学院空间应用工程与技术中心，北京100094）

空间站工程空间应用载荷安全性认定技术研究

王伟，王功
（中国科学院空间应用工程与技术中心，北京100094）

针对我国空间站工程大规模空间应用的安全性需求，提出了空间站工程空间应用载荷安全性认定的概念与内涵，明确了载荷上站安全性认定工作的关键技术要素，涉及基于多因素风险的载荷分类原则、有效载荷危险分级技术以及有效载荷安全性认定的技术要求体系等工程技术范畴，在此基础上，制定了空间应用载荷安全性认定的技术实施流程，为后续开展空间站大规模空间应用载荷上站安全性认定工作提供了参考。

空间站；安全性认定；空间应用载荷；危险源

1　引言

空间站是开展空间科学与应用最为广阔的实验平台，在已有国际空间站上，以NASA、RSA、ESA等为代表的国外空间研究机构开展了大量的空间应用与科学实验［1-4］。NASA在国际空间站项目实施过程中，对有效载荷安全性实施全过程的监控，特别是针对有效载荷全寿命周期的安全性评审工作进行了严密的组织管理与规划，对安全性评审要求进行了明确规定［5-8］。国际空间站典型的经验是在空间站工程层面成立了有效载荷安全性评审委员会PSRP（Payloads Safety Review Panel）负责对所有有效载荷的安全性工作进行评审把关，全过程安全性评审工作分为阶段0、Ⅰ、Ⅱ、Ⅲ等四个主要阶段，其中前三个阶段主要针对有效载荷研制过程中的安全性评审，而阶段Ⅲ的安全性评审则要求在有效载荷完成安全性验证后，交付到发射场前30天内完成［9］，该项特殊的安全性评审实际上是NASA在工程顶层对有效载荷的安全性是否满足上站使用要求的最后确认，属于有效载荷安全性认定范畴。

另外，NASA在安全性评审工作的组织管理模式上也有一套完整的体系。由PSRP负责所有各级有效载荷飞行产品的安全性评审工作，安全性评审过程中需要有效载荷提供商PO（Provider Organization）参与并提交相关的安全性信息，同时，又借助相关的安全性专业机构提供专业的技术支持，如病毒学组、生物安全评审小组BRB（Biosafety Review Board）、激光器安全办公室LSO（Laser Safety Office）等［9］，这样的“一横一纵”的安全性保证体制是确保国际空间站项目得以成功实施的有力保障。

本文借鉴NASA管理国际空间站大型载人空间工程的经验，结合空间站工程空间应用载荷研制需求和安全性工作特点，研究提出了一种基于“载荷分类、危险分级”的空间应用载荷安全性认定技术体系，以综合风险为主线对不同载荷产品进行分类，然后对于每类载荷所涉及的危险源的危害后果进行分级，从而实现了空间应用载荷安全性保证工作进行聚类和细化的过程控制，为解决领域跨度大、应用范围覆盖广、产品种类繁多的空间站工程大规模空间应用项目的安全性认定工作提供可行的工程解决方案，为我国未来空间站空间应用系统开展载荷安全性认定工作提供参考。

2　有效载荷安全性认定的概念与内涵

2.1安全性要求的确定与验证过程

安全性工程属于系统工程范畴，根据NASA系统工程方法［12］，安全性要求可分为用户的使用要求和研制方的设计要求，针对安全性要求的验证过程相应地可分为两个方面，一个是对有效载荷安全性设计要求的验证，目的是验证整个设计满足合同中所规定的设计要求；另一方面就是对使用要求的确认，其目的是对设计完成的产品是否满足最终使用条件的确认。因此，有效载荷安全性要求的验证与确认是相互联系又相互区别的两个过程。按照系统工程方法，规划有效载荷安全性要求及验证的全过程，其示意图如图1所示。

可见，有效载荷安全性设计要求的验证问题以及安全性使用要求的确认问题，是空间应用载荷安全性工程两个急需解决的问题，本文将对空间有效载荷的安全性使用要求的确认问题开展深入的技术方法研究。

图1　有效载荷安全性要求与验证示意图Fig.1 Sketchmap of requirements and verification of payloads safety

2.2有效载荷安全性认定的内涵

本文所研究的空间应用载荷安全性认定是指由工程总体层面组织实施，针对空间应用载荷安全性是否满足飞行任务所需的安全性使用要求、是否具备上站飞行的安全状态而进行的审查和确认过程。其内涵可从以下三方面进行说明：

1）空间应用载荷安全性认定过程有别于载荷研制单位所进行的安全性设计评审。有效载荷研制单位所组织实施的安全性评审重点是考核本单位研制的有效载荷是否满足自身的安全性设计要求，即使满足了设计要求，集成到系统中时是否满足飞行任务的安全性使用要求尚待确认。如文献［6］中规定了除了要求PO进行有效载荷/货物项目的评审外，还要求进行更高层次的集成安全性评审（Integrated Safety Review）。这实际上就是从更高层次角度（系统层次）考虑系统的安全性问题。

2）空间应用载荷安全性认定过程有别于有效载荷研制过程中的安全性验证过程（Safety Verification）。有效载荷自身所开展的安全性验证工作（包括分析验证、仿真验证、试验验证等）是对有效载荷满足安全性设计要求的证明，而安全性认定是根据有效载荷的安全性设计及验证结果对其满足飞行任务的安全性使用要求的确认（Validation）。有效载荷的安全性设计要求有别于安全性使用要求，验证了满足设计要求之后，一项重要的工作就是对是否满足使用要求的确认（尽管设计要求是由使用要求转化而来，但仍可能存在偏差，因此需要进行确认）。安全性认定过程就是根据有效载荷研制单位所提交的经验证的安全性数据包等相关信息来对有效载荷的安全性设计满足相关要求的确认过程，确认只要经过安全性认定的有效载荷就具备了飞行任务所需的安全性条件和状态，此过程与NASA针对有效载荷交付到发射场前开展的阶段Ⅲ的安全性评审工作相一致［9］。

3）“certification”一词可以理解为“认证”或者“认定”，文献［7］对安全性认证工作进行探讨，更多涉及的是安全性评审相关的组织与管理，强调的是制度层面；本文所研究的安全性认定更多地强调技术层面，属于安全性认证制度中的技术范畴，因此，本文采用的是有效载荷“安全性认定”这一概念表述。

另一个方面，有效载荷安全性认定过程是在安全性验证结果的基础上对最终使用的安全性进行确认过程，更多的形式是以安全性评审、复核复算等管理的形式体现，同时也涉及了一些关键的技术要素，本文研究重点就是针对有效载荷安全性认定过程中所涉及的各项关键技术要素。

3　空间危险源的类型与来源

安全性工作的对象就是各类危险源［13］，因此，空间站工程空间应用载荷产品的安全性认定工作重点是从危险源识别入手。各种科学实验平台既存在机、电、热、控等共性的安全性问题，也由于科学实验领域和需求的不同，存在着诸如生物安全、激光器、电离辐射、高温燃烧、低温制冷等特有的安全性问题（危险源分布如图2所示）。

图2　空间应用系统科学实验载荷危险源分布Fig.2 Distribution of danger sources in science payloads of the space utilization systems

危险源的正确识别是安全性认定的一个重要内容，在开展安全性认定工作时首先需要确认的就是危险源识别的覆盖性和充分性、以及危害后果分析的合理性和正确性。对危险源的识别如果存在遗漏，将为后续的安全性设计带来隐患。在安全性认定工作中所进行的危险源识别实际上是对设计过程中危险源识别工作的复核和再确认。

4　空间应用载荷安全性认定的关键技术要素

4.1基于多因素风险度量的有效载荷类型划分

NASA从所涉及的危险源角度对有效载荷进行了分类［6］，分为基本型、中等型和复杂型三类载荷。根据不同的载荷类型规定了不同的评审要求和数据提交要求。ESA在其载荷研制过程中也对有效载荷按照风险进行了分类［7］，主要包括两类，类型1（低危害硬件）和类型2（又分为Case a，Case b两种情况），同样针对不同类型的有效载荷硬件所采取的设计要求、验证要求以及数据提交要求也不尽相同。可见，对有效载荷进行分类处理，是国外宇航先进国家对载荷安全性要求进行细化，优化设计方案，以及制定合理可行的验证计划等安全性工作的通行做法和成功经验［10］。

我国未来空间站工程面临的是大规模的空间应用，所涉及的有效载荷种类繁多，应用领域、重要程度、复杂程度以及安全性要求等方面也不尽相同。因此，考虑多因素影响所产生的风险，对有效载荷按照风险等级进行分类，对于解决形式各异的大规模空间应用有效载荷的安全性问题，优化安全性实施策略，以及采取适度合理的安全性控制措施具有重要的工程实际意义，同时也是一个有效的解决途径。

多因素风险主要考虑直接影响有效载荷安全性实施功效的诸多因素［14］，本文中重点考虑了有效载荷的重要性、安全性风险（可能导致航天员损伤或航天器关键功能丧失的一类风险）、任务时间、成本、在轨维修难度、任务类型等因素，通过对有效载荷综合风险等级的划分，就能在不降低任务总体安全性要求的前提下，对具体的有效载荷实施更为适度和合理的安全性保证策略，从而提升整个空间应用系统有效载荷安全性工作的整体效能。空间应用系统有效载荷的风险等级划分如表1所示。

有效载荷产品研制方可以根据相应的风险等级确定安全性、可靠性等相关设计特性的保证目标及保证工作计划，一般原则如下：

1）应采用一切可行的手段保障Ⅰ级有效载荷任务成功，采用最高等级安全性保障标准，如采用故障容限与最小风险设计相结合的设计方案、采取多级的危害包覆设计、采取多重的阻断控制设计等；

2）应采用严格保障标准保证Ⅱ级有效载荷任务成功，但允许存在较低风险，同时要求采取系统级和单机级的验证方案；

3）对于Ⅲ级可接受中等程度任务风险，保障标准可有所降低，可仅开展单机级验证；

4）允许Ⅳ级有效载荷存在中等或较大任务风险，可采用最低的保障标准。

表1　有效载荷风险等级划分原则Table1 Principle of risk classification for payloads

4.2空间应用有效载荷危险分级技术

与可靠性主要针对故障开展工作相区别，安全性工作主要针对的对象是危险源［13］，又包括一般危险源和故障危险源。不同的危险源对于航天员或航天器所产生的后果不尽相同，即使同一种危险源，不同的含量或水平下，其所产生的影响也将大相径庭。安全性控制的实质就是消除危险源或者将识别出来的危险源所可能产生的后果控制到可接受的水平。因此，对于一些特定危险源的危险水平进行分级［5］，能够实现对危害进行更为精细化的控制，能够对危险控制做到有的放矢，从而实现对安全性控制的目的性、合理性和有效性的统一。

图3　特定危险源的危害分级示意图Fig.3 Sketch m ap of hazards level of specific danger sources

NASA的又一工程实践经验就是对特定危险源进行分级，如BRB规定对生物安全等级（BSL，Biosafety Level）分为四级［10］，针对每项涉及生物实验的有效载荷都分配一个BSL，根据不同的BSL制定相应的安全性要求和采取相应的控制措施。同样，对于激光器安全也进行了分级管理（如分为1级、2级、3R、3B、4级等）。因此，对特定危险源的危害进行分级将有利于有效载荷研制单位设计合理的安全性设计准则和控制策略。

特定危险源的危害分级如上图3所示。

需要说明的是，对于采用最低可接受限值或者采取门限值表征的危险源，广义上讲，可以将其分为两个级别，即可接受级和不可接受级。因此，各类危险源均可通过对危害后果的定量描述来进行分级表征。对于不同的危害后果，将采取的控制措施也不尽相同，如对于生物安全等级BSL-1级生物危害物质，在设计上采用1级包覆设计即可，而对于BSL-2等级中高风险生物危害物质则要求至少满足3级包覆设计要求。可见对危险源进行分级是对有效载荷开展安全性设计的关键技术环节［5］。

4.3空间应用载荷安全性认定的技术要求体系

针对不同的危险源可制定相对应的安全性认定技术要求［5］，该要求体系包括定量要求和定性的安全性设计准则两类。安全性认定技术要求的框架如图4所示。

有效载荷安全性认定过程实际上就是对各项技术要求的满足程度进行确认，确保有效载荷的设计状态满足飞行任务所需的安全性要求。因此，系统地制定载荷安全性认定的技术要求体系是实施载荷安全性认定的依据和关键技术要素。

5　空间应用载荷安全性认定实施流程

对于有效载荷安全性认定工作的组织实施，NASA的经验是由一个统一的组织PSRP负责实施，同时成立一些专业组对PSRP的工作进行支撑，即PSRP负责有效载荷安全性认定工作，各专业组，如BRB、LSO负责解决相关专业的技术问题（如生物安全等级的划分，生物危害的评估等都由BRB来解决［11］）。

制定空间站工程空间应用载荷的安全性认定工作的实施流程应符合我国载人航天工程组织管理模式和研制特色，同时也应借鉴国外成功的工程经验。因此，可以规划出我国空间站工程空间应用载荷的安全性认定流程，其核心是采用“载荷分类、危险（源）分级”的原则进行有效载荷产品及其所涉及危险源的细分，根据不同类型不同等级的有效载荷产品制定合理的安全性要求，采取适度的安全性控制措施，从而有效地优化认定过程，提高认定工作的有效性、合理性和适度性。有效载荷安全性认定技术流程如图5所示。

从图5可以看出，有效载荷安全性认定的实施过程应由工程总体授权的安全性认定机构或部门负责组织完成，需要工程总体安全性审查组织、载荷研制单位以及专业组织的参与和支持。载荷研制单位负责提供有关产品的设计信息，包括安全性数据包等，并负责将其他各方的设计要求进行落实；安全性审查组织负责为有效载荷进行分类，同时对不同等级的有效载荷规定特定的安全性设计准则；而专业组织的职责主要是发挥自身的专业优势（如微生物、激光、辐射、热控等），对载荷所涉及的危险源进行分级，并提出相应的技术要求（如门限值等）。三方的共同参与，并在统一的安全性认定流程的规范下，就实现了工程总体对有效载荷安全性使用要求的确认。

图5　有效载荷安全性认定实施流程Fig.5 Im p lementation process of safety certification for payloads

6　结论

本文在充分借鉴国外空间站有效载荷安全性评审工作的基础上，提出了我国空间站工程开展有效载荷上站安全性认定的技术体系。基于“载荷分类、危险分级”的思想，归纳了载荷安全性认定所涉及的关键技术要素，包括基于多因素风险的载荷分类原则、有效载荷危险分级技术以及载荷安全性认定的技术要求体系等，并以此为基础，规划了有效载荷安全性认定的实施流程，从而为我国后续空间站工程开展大规模空间应用载荷的安全性认定工作提供了技术参考，规划了可行的解决思路。

需要补充说明的是，我国的空间站工程的载荷安全性认定工作应在建立健全相关技术体系的同时，在工程总体层面建立有效载荷安全性认定的组织机构，建立有效载荷上站安全性认定的制度，制定规范的实施流程和管理办法，这将为后续大规模的空间应用提供更为切实的组织保证，也将是我国空间站工程有效载荷安全性保证工作的有益尝试。

［1］Penley N J，Schafer C P，Bartoe JD F.The international space station as amicrogravity research platform［J］.Acta astronautica，2002，50（11）：691-696.

［2］Evans C A，Robinson JA，Tate-Brown J，et al.International space station science research accomplishments during the assembly years：an analysis of results from 2000-2008［R］. NASA/TP-2009-213146，2009.

［3］Robinson JA，Thumm T L，Thomas D A.NASA utilization of the International Space Station and the Vision for Space Exploration［J］.Acta Astronautica，2007，61（1）：176-184.

［4］Alvar Saenz-Otero.Design Principles for the Development of Space Technology Maturation Laboratories Aboard the International Space Station［D］.Cambridge，Massachusetts：Massachusetts Institute of Technology，2005.

［5］NSTS/ISS 13830C Payload Safety Review and Data Submittal requirement［S］.NASA Johnson Space Center，1998.

［6］ESA-ATV-PR-13830 ATV pressurized payload/cargo safety certification process［S］.ECSS，2009.

［7］温楠，栾家辉，刘春雷，等.国际空间站有效载荷安全性认证工作探讨［J］.载人航天，2013，19（6）：91-96. Wen Nan，Luan Jiahui，Liu Chunlei，etal.Discussion on International Space Station payload safety certification［J］. Manned Spaceflight，2013，19（6）：91-96.（in Chinese）

［8］卿寿松，陈凤熹，李福秋，等.我国空间站安全与任务保证工作若干问题探讨［J］.载人航天，2014，20（2）：159-164. Qing Shousong，Chen Fengxi，Li Fuqiu，et al.Discussion on some issues of china’s space station safety andmission assurance［J］.Manned Spaceflight.2014，10（2）：159-164.（in Chinese）

［9］SSP 30599E Safety Review Process［S］.NASA Johnson Space Center，2011.

［10］David Lengyel.Exploration Systems Risk Management Plan［R］.ESMD-RMP-04.06 Rev 2，NASA HQ，2007.

［11］JSC 63828B Biosafety Review Board Operations and Requirements Document［S］.NASA Johnson Space Center，2010.

［12］Kapurch S J.NASA Systems Engineering Handbook［R］. NASA/SP-2007-6105，NASA HQ，2007.

［13］MIL-STD-882D Standard Practice for System Safety［S］. DoD，2000.

［14］NPR 8705.4 Risk Classification for NASA Payloads［S］. NASA HQ，2004.

Study on Safety Certification Technology for Space Utilization Payloads in Space Station Program

WANGWei，WANG Gong
（Technology and Engineering Center for Space Utilization，Chinese Academy of Sciences，Beijing 100094，China）

Aiming at safety requirements of the large-scale space utilization in China’s space station program，the definition and concept of on-board safety certification for space utilization payloads of space station were presented.The key technological factors for on-board safety certification of payloads were identified including payloads classification criteria based on multi-factors risks，hazard level of payloads and quantitative/qualitative technological requirements architecture ofsafety certification etc.Then the process of safety certification for large-scale space utilization payloads were put forward.Itwill serve as a reference for on-board safety certification of space utilization payloads in our country’s space station.

space station；safety certification；space utilization payloads；source of danger

V476.1；V528

A

1674-5825（2015）02-0146-07

2014-08-26；

2015-01-27

王伟（1977-），男，博士，高级工程师，研究方向为航天产品安全性、可靠性技术与方法。E-mail：wangwei@csu.ac.cn