1. 课程导入与总体设计定位

航天器可靠性安全性总体设计，是在型号任务全生命周期内，由总体设计人员牵头，把“可靠性”和“安全性”这两类通用质量特性要求，转化为可分配、可验证、可追溯的总体技术方案与接口约束的一门工程方法学。它既不是单纯的概率统计计算，也不是把可靠性指标简单摊派给分系统，而是在任务需求、总体构型、飞行时序、故障处置与验证资源之间做系统性权衡。

先明确两个基本概念。可靠性指航天器在规定条件下和规定时间内完成规定功能的能力，常用指标包括任务可靠度、单点故障率、寿命末可靠度等；安全性指航天器在任务全过程中不导致人员伤亡、不造成重大财产损失、不引发危险事件的能力，常用指标包括危险严重度等级、危险发生概率等级、安全关键功能失效概率等。二者共享故障数据与失效模式，但关注点不同：可靠性关注“功能能不能持续完成”，安全性关注“失效会不会造成危害”。总体设计必须同时满足两类要求，并在冲突时给出优先级判断。

总体设计的范围可以概括为“一条主线、三个层次、四类接口”。一条主线是从任务书指标到分系统指标的逐级分解与逐级验证；三个层次是任务级、航天器级、分系统级；四类接口是机械接口、电气接口、信息接口和操作接口。可靠性安全性总体设计人员的工作，就是在这条主线和这些接口上，把通用质量特性要求“嵌”进去，而不是事后补做。

与分系统设计的关系，可以用“总体定约束、分系统做实现、总体再验证”来理解。总体设计人员不替代分系统做详细电路或结构设计，但必须给出可执行的设计约束。例如，总体要求某姿控推力器支路“单点故障不导致姿态失控”，分系统据此选择双绕组冗余或交叉供电方案；总体再通过 FMEA 检查该支路是否存在共因失效，通过故障注入试验验证切换时间是否满足姿态控制周期要求。

下面这张图给出总体设计在型号任务中的定位与接口关系。图中以航天器总体为中心，左侧是任务输入，右侧是分系统输出，上方是可靠性安全性专业支撑，下方是验证与闭环。箭头方向表示要求分解与验证反馈的双向关系。

从图中可以看到，总体设计人员处在“任务输入—总体—分系统—验证”的中间位置，既是要求的下发者，也是验证的归口者。实际工作中，这种定位会落到具体接口上。以某遥感卫星为例，任务书要求“在轨寿命 5 年，任务可靠度不低于 0.92，安全关键功能失效概率不高于 1×10⁻³”。总体设计人员需要先识别安全关键功能，例如“姿控系统保持对地定向”“电源系统持续供电”“数管系统正确执行指令”，再把这些功能对应的失效概率分配到分系统。

假设该卫星姿控分系统承担 40% 的安全关键功能失效风险，则其分配指标约为 4×10⁻⁴。总体设计人员不会直接要求“姿控分系统可靠度做到 0.9996”，而是进一步分解到敏感器、控制器、执行机构三个环节，并明确冗余方式。例如，陀螺采用三正交加一斜装冗余，反作用飞轮采用四斜装配置，允许任意一只飞轮失效后仍能完成姿态控制。此时总体需要检查：飞轮供电是否独立？飞轮转速指令是否经过同一总线？如果共用总线，则总线成为共因失效点，必须增加总线冗余或降级通道。

接口协调是总体设计人员日常工作量最大的部分。机械接口要确认冗余单机的安装位置不会因同一结构失效而同时损坏；电气接口要确认冗余供电的熔断器、线缆和连接器是否独立；信息接口要确认故障检测与重构逻辑不会因单点数据错误而误切换；操作接口要确认地面测控指令在故障模式下仍可注入。四类接口中任何一类留下单点，总体可靠性安全性指标就无法真正达标。

总体设计人员还需要掌握“什么时候介入”。可靠性安全性工作不能等到初样阶段才启动。方案阶段就要完成安全关键功能识别和初步 FMEA；初样阶段要完成指标分配、冗余架构确定和接口约束下发；正样阶段要完成故障注入试验、安全性验证和问题归零。每个阶段都有明确的输入、输出和评审节点，总体设计人员是这些节点的组织者和把关者。

最后需要强调，总体设计不是“把分系统报上来的数据汇总一下”。总体设计人员必须理解分系统的失效模式，能够判断哪些故障会传播、哪些会耦合、哪些会被掩盖。例如，某分系统报告“单机失效率满足要求”，但总体发现该单机与另一关键单机共用同一供电母线，那么单机本身的失效率再低，也不能消除母线单点故障带来的任务风险。总体设计的价值，正是在分系统视角之上，识别并消除这类跨系统、跨接口的隐患。

本节的核心结论可以概括为三句话：可靠性安全性总体设计是任务指标与分系统实现之间的桥梁；总体设计人员的职责是指标分解、架构约束、接口协调、验证把关和闭环控制；与分系统设计的关系是“总体定约束、分系统做实现、总体再验证”的双向迭代关系。理解这一定位，是后续学习指标分配、FMEA、故障树和验证方法的基础。