秦 曈，李彩霞，容 易，秦旭东，张 智

（1. 北京宇航系统工程研究所，北京，100076；2. 中国运载火箭技术研究院，北京，100076）

0 引 言

随着人类进入空间的需求日益增加，运载火箭的规模和能力也与日俱增，有效载荷的价值和火箭发射的成本不断增加，因此对运载火箭的飞行可靠性提出了更高的要求。动力系统是运载火箭四大系统之一，其可靠性直接影响着运载火箭执行任务的成功概率。

通过对运载火箭发射失利案例进行分析，发现由于动力系数故障导致的发射失利次数是所有系统中最多的，占故障总数的38%[1]，近年来这一比例更是超过了50%[2]。如何在部分发动机故障的情况下依然能保证发射任务的成功，一直是运载火箭总体设计追求的目标。特别是对于新型运载火箭，由于其发射规模大、发射成本高、执行的任务影响力大[3]，对在故障状态下仍然能完成任务的需求更加强烈。动力冗余是增加动力系统可靠性的有效手段，在国外的运载火箭研制过程中，N-1 火箭、土星五号火箭、航天飞机等均具备一定的动力冗余能力[4]，在实际飞行过程中起到了很好的作用。近年来，美国私营航天公司——太空探索公司的法尔肯9 和法尔肯火箭也应用了动力冗余技术。2020 年3 月18 日，在太空探索公司第6 次“星链”组网发射任务中，一级1 台发动机因故障提前关机，通过其余发动机工作，将卫星送入预定轨道，这也是最近一次火箭动力冗余发挥作用的实例。

动力冗余技术一般适用于“小推力、多台数”的情况，如果1 台发动机故障，可以通过提升其它发动机推力等方式实现动力冗余，从而提高全箭的可靠性。但发动机故障模式有很多种，其中有部分故障模式会引起其它系统的故障[5]，从而导致任务失败，降低全箭的可靠性。以往的动力冗余对全箭可靠性的研究，是基于故障不扩散假设[6]，但在工程实施过程中并不完备。本文通过考虑发动机故障引起其它系统故障和在动力冗余实施过程中出现问题的情况，研究动力冗余对全箭可靠性的影响。

1 国外运载火箭动力冗余情况分析

国外部分型号的运载火箭具备动力冗余能力，并应用在真实飞行任务中。

1.1 土星五号

土星五号火箭一级采用5 台F-1 发动机，由于F-1发动机推力太大，不具备动力冗余的能力，而其二级安装了5 台J-2 发动机（见图1），一定条件下具备动力冗余能力。

图1 土星五号二级发动机布局Fig.1 Distribution of 2nd Stage Engines of Saturn V

在土星五号发射阿波罗13 号时，由于POGO 振动引起二级中心发动机提前2 min 关机，依靠外围的4 台发动机，土星五号将阿波罗13 号送入了190 km 的地球停泊轨道[7]。

1.2 航天飞机

航天飞机的轨道飞行器采用3台液氢液氧发动机，呈120°均布，每台发动机可双摆，如图2 所示。系统设计可在1 台发动机故障时，靠其余2 台发动机完成姿态控制功能。

图2 航天飞机的发动机布局Fig.2 Engine Distribution of Space Shuttle

1985 年7 月29 日，挑战者号航天飞机升空后3 min30 s，主发动机系统的一个温度传感器探测到1 号发动机超温93 ℃，安全系统关闭了这台故障发动机，并完成了飞行。其轨道飞行器设计就是在1 台发动机损坏的情况下，靠其余2 台发动机完成控制功能[8]。

1.3 N-1 火箭

N-1 火箭芯一级采用了30 台发动机，属于典型的“小推力、多台数”构建动力系统的火箭构型。N-1火箭的姿态控制并不是通过发动机摇摆来实现的，而是通过发动机推力调节和从涡轮后引出排气管进行摇摆来实现。

图3 N-1 一级底部发动机布局Fig.3 Engine Distribution on the Bottom of N-1

N-1 火箭在设计之初就考虑到了动力冗余，允许最多关闭4 台发动机。如果在飞行过程中部分发动机出现故障，可通过关闭该发动机及其中心对称位置的发动机实现姿态稳定。然而N-1 火箭4 次发射4 次失利，动力冗余技术并未起到关键作用[9]。

第1 次失利是在1969 年2 月21 日，火箭飞行期间12 号发动机检测异常被关闭，同时与其对称的24 号发动机也被关闭。65 s，一级发动机舱起火，导致电路短路，造成控制系统发出错误指令，关闭了所有正常的发动机。故障起因是发动机燃气发生器引压管断裂引起其他系统故障。

第2 次失利是在1969 年7 月3 日，火箭起飞后0.22 s，8 号发动机的氧化剂泵吸入多余物，多余物打破了氧化剂泵的叶片并击穿了泵的壳体，在发动机舱内引起爆炸起火，爆炸导致一级推力控制部件损毁，发动机全部关闭。这次失败的直接原因是火箭生产过程中质量控制不严格，而发动机单机故障引起的控制系统失效也是动力冗余未能挽救任务的原因。

第3 次失利是在1971 年6 月26 日，本次飞行任务30 台发动机均工作正常，但中心6 台发动机负责控制火箭滚动的涡轮排气喷管控制电缆存在极性接反的情况，最后造成火箭的姿态发散，从而导致任务失败。

第4 次失利是在1972 年11 月23 日，在火箭飞到40 km 高空时，内圈6 台发动机关机，产生很大的水击压力，造成发动机输送管断裂，从而引起发动机氧泵气蚀、起火并发生爆炸。爆炸造成发动机舱破裂，并在连锁反应下使控制系统在107 s 关闭了所有一子级发动机，最终导致任务失败。这次失败的直接原因是发动机关机时水击压力过大，而控制系统没能提供放弃一级并启动二级的策略。

从N-1 的研制经历看出，动力系统故障能够引起其他系统故障，导致动力冗余技术失效。所以N-1 之后，“小推力、多台数”构建动力系统的火箭构型，由于其系统复杂、动力冗余技术实施难度高，一直不受各航天大国的重视，直到法尔肯系列火箭的出现。

1.4 法尔肯系列火箭

美国太空探索公司的法尔肯系列火箭主要有法尔肯9 和法尔肯重型火箭，一级均具备动力冗余能力。法尔肯9 火箭一级9 台发动机，8 台周向布置，1 台居中，具备地面起飞时允许1 台发动机故障、飞行一段时间后允许2 台发动机故障，还能完成任务的冗余能力。法尔肯重型火箭，采用通用芯级构型，一级共计27 台发动机，根据不同的发射任务，具备地面起飞时允许1 台或多台发动机故障的能力。

图4 法尔肯重型火箭底部发动机布局Fig.4 Engine Distribution of Falcon Heavy

法尔肯9 火箭在多次飞行任务中应用动力冗余技术，圆满完成发射主任务。与N-1 时代相比，电子信息技术、故障诊断技术以及飞行控制技术等都取得了长足的进步，为动力冗余技术的成功实施奠定了基础。

2 动力冗余对全箭可靠性的影响

运载火箭的全箭可靠性分为发射可靠性和飞行可靠性，发射可靠性还与发射支持系统可靠性相关，飞行可靠性主要与箭上各分系统相关，某运载火箭飞行可靠性定量评估的情况如表1 所示。

表1 某运载火箭飞行可靠性定量评估结果Tab.1 Reliability Evaluation of a Launch Vehicle

由表1 可知，在主要箭上系统中，动力系统的可靠性评估结果最低。因为一般运载火箭的发动机台数较多，且系统可靠性指标按照串联分配。如果认为每型发动机的可靠性指标一致，则某一火箭子级动力系统的可靠性为

式中 Q 为单台发动机可靠性；n 为该子级发动机总台数；R0为非冗余状态下子级动力系统的可靠性。

由式（1）可知，在非冗余状态下，如果要提升系统可靠性，可行的方法是提升单台发动机可靠性Q 和减少发动机台数n。提升发动机单机可靠性需要大量试车时间，受到试验条件、研制经费和研制进度限制；减少发动机台数，则受到推动比的制约，发动机台数在设计之初已经固定。因此，要想有效提升动力系统可靠性，需要考虑应用动力冗余技术。

发动机变推力是实现动力冗余的方式之一，发动机数量与额定状态相同，当系统1 台发动机出现故障被关闭后，其它发动机可以通过提高推力的方式弥补故障发动机的推力损失，从而保障系统的总推力不变。假设单台发动机的可靠性与推力大小无关，则冗余1 台和2 台发动机下的系统可靠性为

式中 R1和R2分别为冗余1 台和2 台发动机下的子级动力系统的可靠性；从n 个不同元素中取出m 个元素的组合数。

发动机推力是发动机的重要指标，因此推力提升的范围一般比较有限，不会超过额定推力的20%。例如美国航天飞机主发动机SSME，其可在115%的额定推力下工作。因此，一般发动机台数在5 台以上，可实现变推力的动力冗余技术。采用不同台数非冗余和冗余发动机的子级动力系统可靠性如表2 和图5 所示。

表2 采用非冗余和冗余发动机可靠性对比Tab.2 Comparison for Engines with/without Redundancy

图5 采用非冗余和冗余发动机可靠性比较Fig.5 Reliability Comparison for Engines with/without Redundancy

由表2和图5可知，发动机冗余可以显著提高动力系统的可靠性，且可冗余的发动机台数越多，可靠性提升越显著。

3 考虑系统故障情况下动力冗余的可靠性

在火箭飞行过程中，采用动力冗余技术提升飞行可靠性不仅仅与发动机单机可靠性有关。从N-1 火箭的研制经历可以看出，4 次失利3 次与发动机故障有关，而其设计的动力冗余技术也没有发挥出应有的功效。这3 次发动机故障，有2 次是因为发动机单机故障引起了其他系统的故障；有1 次是由于动力冗余的控制策略出现问题。因此，动力冗余技术不仅仅与发动机单机可靠性有关，还与发动机故障模式和实现动力冗余的控制策略有关。

本节以单台发动机失效下的动力冗余技术为例，分析在考虑发动机故障扩散以及动力冗余执行失效情况下的动力冗余技术对全箭可靠性的影响。

3.1 发动机故障导致系统故障的影响

在实际飞行过程中，发动机发生故障可能并不仅仅会影响动力系统，例如发动机爆炸导致控制系统失效，从而影响任务的成败。而在式（2）中，并没有考虑到这一因素，认为发动机的故障是受限的，动力系统可适应任意形式的单机故障。

为了分析单台发动机故障对系统的影响，引入单机故障扩散引起系统故障的故障风险系数，用1ε 表示。该参数为主要包括发动机故障诊断失败、发动机灾难性故障导致其它发动机失效或动力冗余实施中其它系统失效等风险。考虑到单机失效动力冗余对可靠性的贡献应减去该故障风险系数的影响，式（2）可写为

式中 R1'为考虑故障风险系数并冗余1 台发动机下的动力系统可靠性；1ε 的取值与发动机的故障模式有关，取值范围为0～1。如果发动机所有故障均受限，不会对其它系统产生影响，则1ε 为0；如果发动机所有故障一定会影响其他系统并导致动力冗余失效，则1ε 为1。

在不同单台发动机可靠性下，不同策略下动力系统的可靠性如表3 所示。由表3 可知，假设某动力系统可由3 台大推力发动机或6 台小推力发动机组成，在6 台发动机允许1 台冗余的工况下，系统可靠性不一定大于3 台发动机无冗余的工况。只有在1ε 较小的情况下，动力冗余技术的优势才能充分发挥。

表3 考虑不同 1ε 对系统可靠性影响对比Tab.3 Comparison for Different

不同冗余策略下动力系统可靠性不仅与发动机的冗余能力有关，还与1ε 有关。图6 显示在单机可靠性确定时，小推力、多台数构建的动力系统，在系统可靠性上超过大推力、少台数的情况，除了具备冗余能力外，其发动机故障风险系数小于临界值1Cε （即该冗余策略与3 台无冗余的动力系统可靠性一致），且该临界值随着构建动力系统发动机台数的增多而减小。

图6 不同冗余策略下故障冗余系数对系统可靠性影响（Q=0.985）Fig.6 The Influence of Failure Risk Factor on System Reliability with Different Redundant Propulsion Strategy(Q=0.985)

3.2 冗余执行失效对动力冗余可靠性的影响

在动力冗余技术实际应用过程中，由于系统的复杂性，还存在执行动力冗余策略失效的风险。例如，虽然诊断出某台发动机失效，并成功关机，但实施动力冗余技术让其他发动机变推力或控制系统重构等策略失效，依然会对动力冗余的可靠性造成影响。

因此，考虑到执行动力冗余策略过程中带来的风险，需要引入冗余风险系数，用2ε 表示，主要包括推力调节失效、控制指令分配失效等风险。基于冗余风险系数的影响。引入该参数后，式（4）可写为

式中1R''为考虑故障风险系数和冗余风险系数并冗余1 台发动机下的动力系统可靠性；2ε 的取值与冗余策略的执行能力有关，取值范围0～1。如果在发动机故障成功诊断并控制的情况下，所有的冗余策略均能成功实施则2ε 为0；如所有冗余策略均失效则2ε 为1。

假定单机可靠性指标为0.985，3 台大推力发动机无冗余构建的动力系统可靠性为0.9557。以在6 台发动机允许1 台冗余的动力冗余策略为例，分析故障风险系数1ε 和冗余风险系2ε 对系统可靠性的影响。不同1ε 和2ε 情况下的系统可靠性如表4 所示。

表4 6 台冗余1 台策略 1ε 、 2ε 对系统可靠性影响Tab.4 Comparison for Different 1ε and 2ε

续表4

由表4 可知，越靠近表左上方区域，系统的可靠性越高；越靠近表右下方区域，系统的可靠性越低，甚至有低于3 台大推力发动机无冗余的情况。

当选择是由小推力、多台数发动机具备1 台冗余能力，还是由大推力、少台数发动机无冗余能力来构建动力系统时，一定要考虑1ε 和2ε 的影响。1ε 和2ε 在不同取值范围内动力系统可靠性的分布如图7 所示，越靠近红色区域可靠性越高，越靠近蓝色区域可靠性越低。

图7 6 台冗余1 台策略下 1ε 、 2ε 对动力系统可靠性影响（Q=0.985）Fig.7 The Influence of Failure Risk Factor and Redundant Risk Factor on System Reliability with 6 Units 1 Redundant Strategy (Q=0.985)

以可靠性0.9557 为剖面，投影如图8 所示，阴影区域表示1ε 和2ε 在此区域内取值，6 台小推力发动机1 台冗余构建的动力系统可靠性高于3 台大推力发动机无冗余构建的动力系统。

本文对1ε 和2ε 进行全域值研究，在实际工程应用中，虽然单台发动机发生扩散性故障和控制执行失效的概率根据不同型号各异，但都比较低，应用动力冗余技术对全箭可靠性提升有明显效果。随着运载火箭技术的不断提高，特别是电子信息技术的飞速发展以及新材料和新工艺的不断应用，运载火箭的发动机水平、传感器精度、测量和控制技术等都取得了很大的进步。发动机单机引起系统故障的故障风险和冗余策略执行失效的风险也会越来越低。这也是N-1 火箭在20 世纪60 年代4 次发射均未成功，而法尔肯系列火箭成功实施动力冗余技术的原因之一。

图8 6 台冗余1 台策略下动力系统可靠性超过0.9557 的 1ε 、 2ε取值范围（单机可靠性0.985）Fig.8 The Range of Failure Risk Factor and Redundant Risk Factor on System Reliability over 0.9957 with 6 Units 1 Redundant Strategy

4 结 论

本文从国外运载火箭动力冗余应用的实例出发，分析了应用动力冗余技术对提升系统可靠性的作用。同时在传统动力冗余可靠性计算方法上，引入了故障风险系数和冗余风险系数，并分析了它们对系统可靠性的影响，得出以下结论：

a）动力冗余技术对系统可靠性的提升与单机的故障风险系数有关。对于小推力、多台数构建的动力系统，在系统可靠性上超过大推力、少台数的情况，除了具备冗余能力外，其发动机故障风险系数还要小于临界值，且该临界值随着构建动力系统发动机台数的增多而减小。

b）冗余风险系数也会影响系统可靠性，当选择是由小推力、多台数发动机具备1 台冗余能力，还是由大推力、少台数发动机无冗余能力来构建动力系统时，只有故障风险系数和冗余风险系数取值在一定范围内，采用小推力、多台数发动机具备1 台冗余能力的策略才会使系统可靠性提升。