MSCSurv评估系统介绍——M/OD环境下载人航天器及航天员生存力评估系统介绍及对我国的发展启示

武江凯，韩增尧， 庞宝君，张永

(1.中国空间技术研究院载人航天总体部，北京100094;2.中国空间技术研究院，北京100094 3.哈尔滨工业大学航天学院，哈尔滨150001)

1 概述

微流星体是指起源于彗星与小行星带，并在行星际空间中运动的固态粒子 (成分主要为冰、石或裹着冰的铁素体材料)，空间碎片是指轨道上的或重返大气层的无功能人造物体，包括其残块和组件 (成分主要为铝 (65%)，环氧树脂-玻璃、橡胶、钛，铜和铁)；随着人类航天活动的日益增多，空间碎片环境日益恶化。

厘米级以下的微流星体及空间碎片 (M/OD，Meteoroid/Orbital Debris)，由于受目前观测能力的限制，无法进行精确跟踪定轨，其超高速撞击对在轨航天器，特别是长期留轨的载人航天器构成了严重威胁，如密封舱结构、功率电缆、数据电缆、流体回路管路、推进剂储箱、太阳电池翼等关键部组件一旦被M/OD撞击损伤，功能将降级或失效，甚至可能导致航天器系统级失效，直接影响航天器及航天员在轨生存力。

以NASA(National Aeronautics and Space Administration，美国国家航空航天局)为代表的研究及管理部门为了防止微流星体 (Meteoroid)击穿载人航天器的居住密封舱，在舱体防护结构设计初期 (从20世纪70年代开始)，一般都将微流星体撞击作用下密封舱结构非击穿概率作为考核系统生存力指标 (例如，微流星体环境条件下，500次典型任务内，航天飞机乘员舱舱壁和窗户玻璃非击穿概率为0.95)，并依据该指标要求，建立了舱体 (防护)结构的非击穿概率分析模型，用于定量评估微流星体作用下航天器及航天员灾难性失效风险 (注:直至80年代末，NASA逐渐发现了对载人航天器的新威胁——由近地轨道解体卫星形成的空间碎片，才开始将空间碎片纳入到非击穿概率分析中)，并笼统地使用碎片撞击作用下载人航天器密封舱结构被击穿的概率作为航天员的死亡概率，即保守地认为载人航天器居住舱段被M/OD击穿将直接导致航天器损毁以及乘员的死亡，但这种保守的评估方法，导致的一个直接后果就是使航天器设计师们对防护结构进行过设计 (时间、成本和重量)。

另外，对于大型航天器，例如和平号空间站、国际空间站都是由多个可相互隔离、独立的载人舱段模块在轨组装建造而成，每个舱段由相互独立的舱门连接，这将对传统的独立飞行舱段“载人航天器居住舱段一旦被击穿将直接导致航天器损毁以及乘员的死亡”保守评估形成挑战，事实上，密封舱结构被碎片击穿，并不一定会导致航天器损毁以及乘员的死亡，还与舱体击穿效应、系统适应能力、航天员所处位置、航天员反应等因素相关。

为提高国际空间站 (ISS，International Space Station)等航天器及航天员的安全性和生存能力评估准确性，1992年，NASA马歇尔航天飞行中心联合丹福尔大学研究所，成功开发了载人航天器人员生存能力评估代码 (MSCSurv，Manned Spacecraft Crew Survivability Computer Code)，相比非击穿概率评估方法，MSCSurv代码对MOD击穿舱体后的击穿效应 (包括航天器和航天员)进行了进一步分析，表征了一个更低的航天器损毁以及乘员的死亡概率，允许设计师在碎片防护设计上消耗更低的资源代价来保证航天器及乘员的安全，同时，可以对航天器内部构型进行验证和优化以提高MOD撞击作用下航天器及乘员的安全性，以及对已在轨运行的航天器进行舱内防护强化设计 (不需要增加舱外活动)以增加任务效能。

文章主要对MSCSurv代码框架结构、各功能模块设计进行介绍，综述了该评估系统对多种失效模式下载人航天器系统及航天员生存力评估方法和准则，以及MSCSurv对指导M/OD环境下大型载人航天器防护设计、航天员在轨正常及应急飞行方案/工作模式设计的指导意义。

2 M/OD环境下 (载人)航天器及航天员失效风险评估

2.1 风险评估必要性及意义

空间碎片 (广义空间碎片，包括空间碎片和微流星体)环境的不断恶化对在轨运行的航天器特别是载人航天器及航天员的安全造成了巨大威胁，而厘米级及以下空间碎片受目前监测能力的限制而无法实施轨道机动避免撞击，一旦被其击中，在无任何防护措施的情况下，往往会造成航天器的部组件功能、性能退化或失效，甚至造成密封结构泄漏等灾难性失效，空间碎片对在轨航天器的典型撞击模式及效应主要包括:改变表面性能导致光敏或热敏等器件功能下降甚至失效，在航天器表面造成撞击坑造成等离子体云效应，动量传递，舱体穿孔、裂纹导致密封舱失压、容器爆炸破裂或结构碎裂，舱内外关键设备损坏失效等，对于载人航天器，还包括直接击中航天员导致伤亡以及舱体失效模式下航天员的伤亡。

改善空间碎片空间环境任重道远，在不断恶劣的空间碎片环境下，对于航天器在轨长寿命、高可靠、高安全性在轨运行需求，开展M/OD环境下航天器风险评估并指导进行空间碎片防护设计则显得尤为重要。

2.2 风险评估常用方法及软件

M/OD环境下航天器风险评估是将M/OD作为风险源，在失效准则的基础上，对航天器遭受M/OD撞击所引起的失效风险进行定量的评估。目前通常采用非失效概率 (PNF，Probability of No Failure)对航天器的M/OD撞击风险进行定量评估。由于通常将 “击穿”作为航天器结构的失效准则，因此，非失效概率PNF在很多情况下以非击穿概率 (PNP，Probability of No Penetration)予以表征。

但航天器舱壁被击穿，并不一定会导致航天器灾难性失效，为此，在PNP的基础上又提出了非灾难性失效概率 (PNCF，Probability of No Catastrophic Failure)，对M/OD环境下航天器的灾难性失效进行定量评估，其表达式如式 (1)、式(2)所示。

式中，PP表示击穿概率 (PP，Probability of Penetration)，PP=1-PNP，R为航天器某一失效模式的评估因子，表示航天器失效概率在其击穿概率中所占的比例。

目前世界各空间机构已开发了多套M/OD环境下航天器撞击风险评估软件/代码，发展较为成熟的风险评估软件如表1所示。

表1 世界各空间机构发展较成熟的风险评估软件Tab.1 Mature risk assessment software developed by space agencies

3 MSCSurv软件架构概述

为了分析碎片撞击后对航天员及航天器的安全性影响，从1992年开始，NASA委托丹福尔大学研究所基于蒙特卡洛算法开发了碎片撞击作用下载人航天器及航天员的生存力定量评估的MSCSurv代码。MSCSurv代码采用FORTRAN语言编制，共设计7种失效模式，包括临界裂纹失效、(穿孔泄气)姿控失效、舱外关键系统失效、舱内关键设备失效、舱内航天员被碎片击中失效、乘员二级损伤失效和缺氧失效。通过载人航天器和航天员生存力评估计算分析，指导设计者使用最小代价保证系统在轨使用要求以及指导航天员在轨正常及故障工作模式设计。

MSCSurv分析流程图如图1所示，首先根据航天器几何模型和空间碎片环境模型，基于舱体压力墙结构的撞击极限方程，计算每个碎片的撞击效应，如果穿孔事件发生，则按照串行分析方式对7种失效模式顺序判断失效事件是否发生，并同时计算失效导致乘员伤亡概率；单个碎片撞击事件分析完成后，代码继续分析下一个碎片撞击事件；最终，MSCSurv完成单个分析工况下所有碎片撞击事件所导致的的各失效模式对应乘员伤亡概率相加，得到导致航天员死亡的击穿事件占所有击穿事件的百分比，即R因子；直至完成所规定的所有分析工况为止。

图1 MSCSurve分析流程图Fig.1 MSCSurve analysis flow chart

MSCSurv代码输入参数包括:(1)航天器几何信息；(2)空间碎片环境模型 (直径范围1mm～20cm)；(3)航天器碎片防护参数 (所有防护结构为铝板，通过设计铝板厚度来调整参数)；(4)关键设备临界参数；(5)舱体参数 (内部设备布局、结构参数)。另外，通过选项设定参数包括: (1)损伤评估模型；(2)击穿模式下乘员反应模型；(3)各舱门的初始状态 (开还是闭)；(4)乘员在各舱段的分布模型；(5)乘员移动速度；(6)缺氧失效模式下，舱体压力极限；(7)允许乘员到达应急航天器的时间等。

4 MSCSurv主要功能模块

MSCSurv代码主要由粒子撞击模块、击穿和损伤模块、航天器及航天员伤亡评估模块三部分组成。

粒子撞击模块主要用来模拟碎片撞击参数，包括碎片粒子直径、速度大小、撞击接近角度、在航天器上的撞击位置以及相对撞击角度。

击穿和损伤模块首先分析击穿事件是否发生，然后依据程序内部撞击极限方程，计算每次撞击穿孔效应，包括穿孔直径、裂纹长度、穿孔深度和撞击能量。

航天器及航天员失效模块作为核心程序模块，则用来评估分析撞击对应的失效模式，并计算在不同失效模式下航天器失效及航天员的伤亡概率 (R因子，导致航天员伤亡的击穿事件数量占所有击穿事件的比重得到乘员伤亡概率)。

4.1 粒子撞击模块

(1)不同尺寸碎片的概率分布

在MSCSurv软件粒子撞击模块中，航天器遭遇的空间碎片环境模型与其轨道高度、倾角等参数相关；在代码设计过程中，结合结构设计经验及试验数据，首先确定了具备击穿舱壁结构的碎片最小尺寸，同时为了对击穿粒子/碎片累积总数量进行约束，对于碎片最大尺寸，MSCSurv则将撞击概率小于0.0001所对应的粒子尺寸作为撞击碎片的尺寸上限；基于以上假设，MSCSurv完成粒子直径处于下限和上限之间的粒子撞击累积概率随粒子直径变化分布；

(2)航天器几何建模

建立航天器的几何模型，设定航天器的飞行姿态，将每个舱段模型划分为多个面积相近的平板单元，单元尺寸不仅要考虑舱体结构及相应防护设计的配置，还需兼顾单元对应内部设备 (支架)、载荷的厚度或尺寸；

(3)暴露/撞击面积以及碎片撞击速度分布

基于空间碎片环境模型 (1)和航天器几何模型 (2)，则可确定航天器受撞击位置区域；每个舱段接受到的平均撞击面积是每个单元接收到的不同方向上的撞击面积乘以对应方向的撞击概率总和。

4.2 击穿和损伤模块

击穿和损伤模块撞击首先判断撞击在舱体上的碎片是否会发生击穿，以及计算每次撞击穿孔效应，包括穿孔直径、裂纹长度、穿孔深度。

对于每次给定粒子直径、速度和撞击角度等特性的撞击事件，MSCSurv对压力墙的主孔径(最大孔径)和等效孔径 (最大孔径和最小孔径的径向平均值，用于计算等效孔区域)等穿孔特性以及点对点最大裂纹进行计算。

4.3 航天器及乘员伤亡评估模块

对于单次击穿事件，航天员的伤亡概率分析的任务主要包括:

(1)根据裂纹长度、穿孔直径以及击穿深度，分析该次撞击是否为超出临界失效准则的撞击事件；

(2)根据舱体状态、航天员位置、安全应急预案等分析航天器和航天员是否会失效或伤亡。

因此，分析计算航天员伤亡概率的关键是建立各失效模式对应的临界失效准则以及航天器-航天员在轨运行参数模型；根据 “击穿和损伤模块”计算的击穿效应，MSCSurv以串行计算的形式定量计算该击穿事件所属的失效模式，并分析是否会导致航天员或航天器的失效或伤亡。

4.3.1 临界裂纹失效

定义:撞击裂纹是否无控扩展，最终爆炸性失压解体导致航天器失效及所有航天员伤亡，每次计算过程中，MSCSurv计算穿孔直径和裂纹长度，如果裂纹长度超出了临界长度，则说明，该次撞击事件会导致舱体解体，最终因舱体爆炸性失压引起航天员及航天器的失效；MSCSurv代码对穿孔直径和裂纹长度的计算有两种方法:

(1)Schonberg and Williamsen模型:主要应用计算模型；

(2)Burch D90穿孔直径模型:只用来计算第 (1)个模型不适用的防护结构。

4.3.2 姿控失效

定义:从穿孔泄气是否会引起舱体姿态失控(影响因素包括姿态控制能力、航天器重量和转动惯量、撞击位置、穿孔大小以及舱内气体体积)导致航天员无法通过应急航天器逃生而伤亡；在MSCSurv程序中，根据各个单元/网格距离航天器质心距离、气体泄漏时间以及姿态控制系统可耐受的最大姿态角加速度和角速度扰动，先验计算出容许该单元/网格处容许的最大穿孔直径；每次计算过程中，MSCSurv计算每个碎片在对应位置处的穿孔直径，如果超过先验计算结果，则该次击穿事件导致舱体姿态失控。

4.3.3 舱内关键系统失效

定义:位于撞击位置背部舱内关键设备 (压力瓶、陀螺等高能产品/设备、电源总线、供电电缆以及导航控制系统等故障严酷度为I类设备)被碎片撞击后导致航天器功能或系统失效以及航天员伤亡；在MSCSurv程序中，通过计算舱内关键设备暴露面积与外部舱体结构撞击单元/网格面积的比值，对关键设备的失效引起系统 (航天器和航天员)失效进行计算。

4.3.4 舱外关键设备失效

定义:由于舱外推进剂储箱或其他外部关键设备被碎片击中或引起结构断裂导致航天器功能或系统失效以及航天员伤亡。

首先，是否会导致储箱直接爆炸；其次，储箱或气瓶是否会解体 (导致背部的压力墙击穿开口或破碎)；最后，是否会因此因储箱漏气推力导致从舱体上分离 (压力墙被撕裂)。

4.3.5 乘员被碎片击中失效

定义:当碎片击穿进入舱内后进场设备以及航天员正好处于被击穿区域，导致乘员因直接被击中而伤亡；在MSCSurv程序中，将穿孔区域60°锥角、2.13m(84英寸)以内区域定义为航天员会被碎片击中受伤区域 (与所处方向无关)；一旦撞击 (击穿)事件发生，MSCSurv计算此时航天员与穿孔之间的距离，如果正好处于以上区域内，则认为航天员被碎片击中受伤 (导致航天员被击中受伤的碎片临界能量远低于撞击碎片能量)。

MSCSurv建立了航天员位置随时间变化的模型 (包括每小时内各个航天员所处的舱段、对应概率以及在各个舱段内到舱门距离)，以及用于评估航天员睡觉期间的位置及伤亡概率的专门模型。

同时，MSCSurv开发了航天员受伤条件下，营救可行性分析模块。包括:搜寻和转移受伤者以及关闭舱门；通过计算粒子/碎片云能量，分析碎片是否会导致受伤航天员无法自救或被营救后随后会伤亡；软件使用者可以选择计算乘员被击穿后马上伤亡的概率以及被营救后随后伤亡的概率；假如其他航天员无法对受伤航天员进行营救，则MSCSurv会将此次受伤事件定为因碎片击中伤亡失效事件；假如其他航天员可以对受伤航天员进行营救，但受伤航天员立马死亡或随后死亡的概率特别高，则该事件也会被定义为因碎片击中伤亡失效事件。

4.3.6 乘员受二级损伤失效

定义:因碎片击穿事件的次级效应 (闪光(眩晕光照)、压力脉冲 (过压)和温度剧升)导致附近航天员伤亡以及舱体结构因冲击波在壳体背部发生层裂形成二次碎片破坏系统的计算机、通讯设备和行波管等易损部件引起系统失效最终导致航天员伤亡；MSCSurv利用航天员与穿孔距离、击穿能量以及碎片云质量计算过压水平，分析对应过压水平下航天员失能概率，并将该次撞击事件定义为次级损伤失效事件；如果撞击点处的闪光足够强，导致航天员瞬间或永久性失明并失去意识，判定是否为闪光引起次级损伤需满足两个标准:(1)航天员面对着撞击点；(2)距离足够近，闪光会产生损伤效应。

4.3.7 缺氧失效

定义:计算因穿孔导致空气泄漏而最终导致舱体缓慢失压，且在航天员逃生或关闭失压舱门前，导致一名或多名航天员缺氧而最终伤亡；包括正常以及逃生过程中因缺氧失效。

(1)正常缺氧模式定义为由于穿孔直径太大导致舱段失压迅速从而使乘员无法转移安全；

(2)逃生过程缺氧模式则被定义为航天员在逃生过程中，缺氧事件发生且无时间转移到安全处；另外，MSCSurv还会对比乘员臂力与舱体失压过程中的气流，假如乘员臂力小于舱体失压气流推力，则也定义该次撞击事件为缺氧事件。

撞击事件发生后，假如密封舱内的空间压力降低到航天员逃生或关闭舱门所需的最低压力情况下，则由于缺氧导致的航天员伤亡事件发生，影响概率评估的主要因素包括乘员在各舱段的位置分布、在单个舱段分布、乘员睡觉状态以及逃生转移速度、舱门开闭状态、舱内大气容积比、压力墙穿孔大小及乘员及航天器应急措施等；MSCSurv通过对比航天员可用逃生时间与压力下降到航天员缺氧的时间，评估航天员是否会因缺氧而伤亡。

4.4 灵敏度分析

在完成了基本评估分析后，MSCSurv允许设计师进行灵敏度分析，通过对各项参数进行独立配置，开展各项因素 (参数)对最终伤亡概率的影响分析，以指导防护和系统方案设计，最终达到降低航天员伤亡风险的目的；灵敏度分析参数包括:临界裂纹长度、穿孔直径模型、裂纹形成模型、多复合防护结构的穿孔深度方程、给定足够穿孔深度条件下关键设备的失效概率、应急航天器起飞允许的最大姿态角速度、内部碎片云分布、舱内结构面密度、航天员在各舱段分布模型、航天员在各舱段的位置模型、舱门开闭状态、移动到舱门的时间、关闭舱门的时间、航天员逃生前的反应时间、航天员生存大气临界压力、舱内大气占有率、穿孔形状 (泄漏参数)，另外还针对裂纹长度、舱内结构面密度、舱内碎片致死率、临界失压压力、舱门开闭状态等5项因素开展多因素影响灵敏度分析。

4.5 航天员自救能力分析

新版本的MSCSurv相比早期版本具备为航天员可以对击穿事件发生后航天员运动和紧急修复系统进行仿真；在仿真模型中共包括3种救生预案，并分别比较各预案对降低航天员伤亡 (概率)的贡献:

(1)“半站隔离”，航天器内失压报警后，根据航天员的伤亡情况以及剩余逃生时间，决定是否关闭关键舱段舱门，保证剩余舱段不失压。

(2)“顺手隔离泄漏舱段”，在航天器内失压报警，航天员逃生过程中可同时检测确认失压舱段以及穿孔位置，并顺手将该舱段的舱门关闭，以保证剩余舱段的安全。

(3)“穿孔位置快速检测”，借助穿孔位置探测系统去检测失压舱段，由航天员确认并快速关闭该舱段舱门，以保证剩余舱段的安全。

5 我国未来载人航天任务风险评估需求及发展启示

我国载人航天工程的三期任务正在研制的载人空间站系统在轨运行寿命要求将大于10年，且航天员长期在轨驻留，暴露面积大、在轨飞行时间长、M/OD撞击的风险大大增加。现阶段，我国M/OD环境下载人航天器风险评估以 “压力舱击穿”为失效准则，而多舱段在轨组装的空间站及未来超大型载人航天器，系统舱段间冗余、防护设计、舱内压力体制、各舱门开闭状态等诸多设计因素都会影响M/OD环境下载人航天器及航天员的在轨生存力评估结果，以 “压力舱击穿”准则进行系统失效风险评估方法太过保守，评估结果也不够精准。因此急需开展M/OD防护设计及撞击失效 (载人航天器系统失效及航天员伤亡)风险评估研究并尽快服务于工程应用。

MSCSurv代码开发以及在航天飞机、国际空间站项目中的评估应用和防护设计指导等成功应用极大地保障了这些大型空间任务的在轨顺利实施，对我国未来M/OD环境下 (载人)航天器及航天员在轨生存力评估发展具有很强的启示意义:

(1)开展航天器及航天员失效评估方法研究。

基于典型航天器系统方案、在轨飞行任务规划和航天员在轨工作、生活模式设计，以M/OD环境下航天器及航天员失效伤亡作为顶事件，开展航天器失效模式及对应评估准则研究，搭建航天器及航天员生存力评估系统核心框架；

(2)完成典型失效模式的仿真分析及实验验证。

开展易损性评估技术研究，针对航天器系统典型失效模式，基于仿真分析和实验验证手段，开展M/OD超高声速撞击下，壁板结构、关键部件、组件的撞击损伤模型研究，建立失效机理、临界失效准则；

(3)航天器及航天员失效评估模块开发及与传统风险评估系统的集成。

基于撞击损伤模型、失效模式和评估准则，开发通用航天器及航天员失效评估模块，通过信息流嵌入、协同交互，实现与中国空间技术研究院现有成熟 “空间碎片防护设计软件包”(MODAOST，Meteoroid&Orbital Debris Assessment and Optimization System Tools)集成，提升现有风险评估能力；

(4)开展在我国载人航天器的工程应用。

基于我国载人航天器未来长期在轨运营任务需求，立足保证载人航天器系统和航天员在轨安全，开展载人航天器长期在轨飞行风险精准评估，从任务规划层面降低系统失效风险，同时也可用于评估影响载人航天器及航天员生存力的主要因素，并针对性地指导防护措施设计，提高载人航天工程综合任务效能。