董余红，黄 兵，黄 辉，李 强，李 茂

（北京宇航系统工程研究所，北京，100076）

0 引 言

中国新一代大型低温运载火箭研制之初，在测试方案设计上，按照继承性原则，充分借鉴了传统低温火箭的设计成果。

根据传统低温火箭的测试方案设计，在出厂测试及发射场测试的总检查测试状态中，为在地面测试时充分覆盖飞行状态，一般要进行动力系统发动机带气状态的测试，以及控制系统脱拔及分离连接器的全脱全拔状态的测试。传统低温火箭将这2次测试状态安排在同一次总检查中进行考核。随着研制任务的开展，在对火箭发射场总检查测试状态深入思考基础上，发现按照原有总检查测试状态设计，将动力系统发动机带气状态与控制系统全脱全拔状态放在一起考核，在一度故障下存在可能导致箭上低温发动机部分阀门产品损坏的隐患。本文提出了在出厂及发射场测试中的改进方案，提升箭上产品的测试安全性。

1 传统低温火箭测试方案设计潜在风险分析

传统低温火箭的测试方案设计中，将动力系统发动机带气状态和控制系统脱拔及分离连接器全脱全拔状态设计为在一次总检查中进行考核，该测试方案在一次总检查中即完成了对两大测试要点的考核，但通过对其进行详细的风险分析，识别出该测试方案存在两大风险。以下针对识别出的两大风险，开展规避风险的手段分析、风险出现后的后果分析、风险出现后的应急处置措施等分析。

1.1 分离动作可能存在潜通路导致的风险

1.1.1 风险识别

在按照传统低温火箭设计的测试方案进行的某次总检查测试（动力系统发动机带气、控制系统全脱全拔）中，由于控制系统在拔级间分离插头时出现的潜通路问题，导致多路二级发动机电磁阀在刚进入二级飞行段不久就异常掉电关闭，3 s后二级电磁阀供电恢复正常，之前异常掉电的电磁阀由于供电恢复而同时上电打开。

由于当时动力系统为发动机带气状态，导致二级发动机泵前阀被异常磨损，存在泵前阀密封性能下降的风险。

图1 潜通路可能导致的风险Fig.1 Potential Risks of Sneak Path

1.1.2 风险规避

对于该问题，在设计阶段控制系统开展全面的潜通路分析工作，并尽量在实验室对可能出现潜通路的情况开展测试验证工作。

在测试阶段，最好的风险规避手段，就是将动力系统发动机带气状态同控制系统全脱全拔状态分开进行，不要放在同一次总检查中进行考核。

如果发射场之前测试状态中，将动力系统发动机带气状态与控制系统全脱全拔状态分开，即使出现潜通路问题导致二级发动机电磁阀异常掉电，由于发动机不带气，也不会导致发动机泵前阀被异常磨损的后果。

1.1.3 后果分析

低温发动机的泵前阀为球阀结构，其打开、关闭都要严格地按照“抬座-转球-落座”的时序动作。在泵前阀异常掉电、异常上电的过程中，均出现未“转球”便“落座”的异常过程，这会导致密封面出现异常磨损，进一步可能会导致阀门密封性能下降，需针对动力系统开展后果分析，评估对飞行的影响。

1.1.4 应急处置措施

按照传统低温火箭设计的测试方案，若在模飞过程中出现上述类似潜通路问题，无应急处置措施，只能在泵前阀密封面磨损后开展影响分析工作。

1.2 模飞结束后箭上未及时断电导致的风险

1.2.1 风险识别

为减缓空间碎片情况，新一代运载火箭在末级飞行段设计了钝化段飞行时序，在钝化段飞行时序中，会定时打开末级火箭的发动机泵前阀，并一直保持打开状态，直到电池耗尽。

在总检查模飞结束后，需要通过手动按按钮的方式发出断电指令或者去箭上电池处断电池插头的方式，给箭上断电。

如果控制系统未能及时给箭上设备断电，飞行时序便会走到钝化段时序，有可能会打开末级发动机的泵前阀。

若末级发动机泵前阀被打开，则控制系统在随后的断箭上电源操作中，将会同时给末级发动机电磁阀断电，也就是在没有抬座的情况下，就直接转球，导致泵前阀密封面异常磨损，进而影响阀门密封性能。

1.2.2 风险规避

可能导致控制系统箭上未能及时断电的原因，有2种：

图2 测试操作可能导致的风险Fig.2 Potential Risks of Test Operating Procedure

a）人员操作稍晚，导致在箭上产品断电前，箭上飞行时序已经走到钝化段时序，将二级泵前阀打开；

b）控制系统地面设备故障，导致未能及时给箭上产品断电。

对于第1种原因，可以通过规程学习、严格操作等进行风险规避：对于由通过手动按按钮发出断电指令的，明确在总检查模飞结束后，按照操作规程要求尽快完成断电操作；对于需要去箭上电池处断电池插头的方式，模飞结束前提前安排人员在电池舱口处待命，待模飞结束后，根据指挥口令尽快完成断电池插头操作。

对于第2种原因，在系统设计阶段规避风险的手段是采用冗余设计，在测试中无规避风险的手段。

1.2.3 后果分析

若由于模飞结束后箭上未及时断电导致飞行时序走到钝化段，本次测试为发动机带气状态，就会使末级发动机泵前阀被打开。由于钝化段时序中，没有关闭泵前阀的动作，因此当箭上设备断电时，被打开的泵前阀会出现在没有抬座的情况下，就直接“转球”，导致泵前阀密封面异常磨损，进而影响阀门密封性能，这就需要动力系统开展后果分析，评估对飞行的影响。

1.2.4 应急处置措施

按照传统低温火箭设计的测试方案，在此种情况下，没有应急处理措施来避免泵前阀密封面异常磨损。

2 测试安全性设计原则的提出

经过上述过程，触发了对运载火箭出厂测试及发射场测试中总检查测试状态设置原则的思考，提出以下2条原则：

a）确保箭上产品安全的原则。

发动机带气状态的总检查测试，是出厂测试及发射场测试阶段动力系统比较复杂且风险也比较大的一种测试状态，稍有不慎，有可能造成箭上产品损坏。

控制系统全脱全拔状态的总检查测试，是一种使箭上产品处于短暂失去地面控制的一种测试状态。

在出厂测试及发射场测试状态设置中，为确保箭上产品安全性，应将比较危险的测试状态与可能导致箭上产品处于某种程度失控的测试状态分开进行。

b）测试状态逐步复杂的原则。

在考虑出厂测试及发射场测试状态设置时，应遵循测试状态逐步递进、逐步复杂的原则，在进行动力系统贮箱带气、发动机带气等较为复杂的测试前，应首先确保电气系统（控制、测量、动力测控等）的相关功能经过考核是正确的。

3 总检查测试方案测试安全性改进设计

3.1 提高了测试安全性的测试方案

发动机带气状态的测试，目的是为了考核发动机各气动阀工作的性能；控制系统全脱全拔状态的测试，目的是为了考核在真实飞行过程中，助推分离、级间分离等分离动作对控制系统工作的影响。2种状态放在1次总检查和分别在2次总检查中考核，都不影响对各自测试目的的考核。

为规避前述两大风险，并遵循保箭上产品安全的原则及测试状态逐步复杂的原则，将新一代大型低温运载火箭出厂测试和发射场测试的总检查测试状态更改如下：

a）第1次总检查中，进行发动机带气状态的测试，该项测试中，控制系统脱拔、分离连接器不脱不拔；

b）第2次总检查中，进行控制系统全脱全拔状态测试，该项测试中，发动机不带气。

3.2 测试方案改进后的安全性提升

以下对改进后的测试方案，针对传统低温火箭测试方案识别出的2个风险，进行适应性分析。

a）针对风险1：分离动作可能存在潜通路导致的风险。

在控制系统拔级间分离插头时出现潜通路问题的总检查测试中，若该次测试设计为发动机不带气状态，仅电磁阀动作，气动阀门不动作，则即使出现因控制系统潜通路导致的二级发动机电磁阀异常掉电3 s后又自动上电过程，也不会导致发动机泵前阀密封面异常磨损的后果。

图3 提升测试安全性-规避潜通路可能导致的风险Fig.3 Improve Tesy Security: Avoid Potential Risks of Sneak Path

b）针对风险2：模飞结束后箭上未及时断电导致的风险。

在发动机带气状态总检查测试中，若出现模飞结束后箭上未及时断电，导致飞行时序走到钝化段，从而使末级发动机泵前阀被打开的情况，按照之前的风险分析，在传统低温火箭的测试方案中，出现此种情况，将可能会造成箭上产品损坏。

发动机的泵前阀一般均设计为箭上、地面都能控制的电磁阀，因此按照改进后的测试方案，在发动机带气状态的总检查测试中，控制系统脱拔、分离连接器为不脱不拔状态，在这种情况下，存在有效的应急措施，可以避免箭上产品损坏，具体如下所示：

a）控制系统箭上设备保持状态；

b）动力测控系统后端测控软件发出泵前阀打开指令；

c）控制系统箭上设备断电；

d）动力测控系统后端测控软件发出泵前阀关闭指令。

按照上述应急预案操作，在发动机带气状态下出现上述非预期的状态，仍能确保箭上发动机产品的安全性。

图4 提升测试安全性-规避测试操作可能导致的风险Fig.4 Improve Tesy Security: Avoid Potential Risks of Test Operating Procedure

针对风险2，按照传统低温火箭的测试方案，若出现上述非预期的状态，由于发动机带气状态与控制系统全脱全拔状态同时进行，因此此时地面动力测控系统无法控制箭上电磁阀，因此也就无法采取措施来确保箭上发动机产品的安全。

3.3 测试方案改进后的测试覆盖性分析

在总检查测试中，重点考核控制、动力等各大系统间射前流程的适应性，接口的协调性、匹配性，发动机带气状态，目的是为了考核发动机各气动阀工作的性能，控制系统全脱全拔状态，目的是为了考核在真实的飞行过程中，助推分离、级间分离对控制系统工作的影响。2种状态放在1次总检查和分别在2次总检查中考核，都不影响对测试目的的考核，不影响测试覆盖性。

如果在控制系统电路设计仍有潜通路的隐患，则发动机不带气状态下的控制系统全脱全拔状态总检查下，该潜通路问题仍有可能暴露出来，这与发动是否带气测试无关。若潜通路问题暴露出来，则改进后的测试方案大大提高了箭上产品的测试安全性。

4 结束语

本文通过对传统低温火箭发射场测试方案设计进行潜在风险分析，识别出两大风险。为此，提出“为确保箭上产品安全性，应将比较危险的测试状态与可能导致箭上产品处于某种程度失控的测试状态分开进行”的测试安全性设计原则，并在此原则的指导下，对中国新一代大型低温液体运载火箭的出厂测试及发射场测试方案进行了安全性改进设计，有效提升了运载火箭测试过程中的箭上产品安全性。