3. 可靠性安全性指标体系构建

航天器总体设计中最容易被忽视、却最容易在后期造成返工的工作之一，就是把任务书里一句“在轨可靠运行”翻译成可计算、可验证、可分解的指标。指标体系构建的本质，是建立一条从任务要求到分系统、单机、元器件指标的“可追溯链路”：任何一条总体指标都必须能回答“它来自哪条任务要求”“它由哪些下级指标支撑”“用什么方法验证”。

3.1 四类核心指标的定义与内涵

任务可靠度是航天器在规定的任务剖面内、规定的时间区间内完成规定功能的概率。它必须绑定三个要素：任务剖面（发射段、入轨段、在轨运行、离轨等）、时间区间（如“在轨运行3年”）、功能定义（如“姿态指向精度优于0.05°”）。脱离任务剖面的可靠度数字没有工程意义。工程上常用R(t)=e^(-λt)描述恒定失效率阶段，其中λ为失效率，t为任务时间。

安全关键功能是指一旦失效会直接导致人员伤亡、平台丧失或不可接受任务损失的功能。识别方法通常从功能失效后果反推：列出全部功能，逐一分析失效影响，凡后果达到“灾难性”或“严重”等级的，即判定为安全关键功能。例如推进剂加注与增压、火工品起爆、姿控推力器误喷、电池热失控抑制等，都属于典型安全关键功能。

失效概率是安全关键功能在给定任务阶段发生失效的量化度量，通常用P_f表示。它与可靠度的关系是P_f=1-R。对安全关键功能，工程上更关注“危险失效概率”，即导致危险后果的失效模式发生概率，而非全部失效概率。

风险接受准则是判定“多大风险可以接受”的边界。常用形式包括：单次任务灾难性失效概率不超过1×10⁻³、人员伤亡风险不超过1×10⁻⁵/任务、安全关键功能危险失效概率不超过1×10⁻⁴等。准则必须与任务等级、载人/无人、发射/在轨阶段相匹配，不能一刀切。

3.2 从任务要求到总体指标的分解方法

分解不是简单地把总体可靠度平均分给各分系统，而是沿着“任务剖面—功能—失效—指标”的逻辑逐层展开。推荐采用以下四步法。

第一步：建立任务剖面与功能清单。把任务按阶段拆开，逐阶段列出必须完成的功能。例如在轨运行段需要“维持姿态”“提供电源”“散热”“数据回传”等功能。每个功能标注其失效后果等级（灾难性/严重/一般/轻微）。

第二步：识别安全关键功能并确定危险失效模式。对后果为灾难性或严重的功能，用FMEA或危险分析找出危险失效模式。例如“推进增压功能”的危险失效模式是“增压过度导致贮箱破裂”，其后果为灾难性。

第三步：选择分解模型。串联系统用R_sys=∏R_i；并联冗余用R_sys=1-∏(1-R_i)；表决系统用二项分布计算。对安全关键功能，通常采用“危险失效概率”串联模型，即P_f,sys≈ΣP_f,i（小概率近似）。

第四步：分配并留余量。按复杂度、成熟度、工作环境严酷度加权分配。成熟度低、环境恶劣的分系统应分配更宽松的指标，但总体必须留出10%~20%的余量。例如总体R≥0.95，各分系统分配后乘积应≥0.96，留出0.01余量应对建模不确定性。

3.3 指标的可验证性与追溯矩阵

指标构建完成后，必须建立“任务要求—总体指标—分系统指标—验证方法”的追溯矩阵。每一行是一条指标链路，每一列是验证手段。验证方法通常分为分析、试验、演示、在轨数据四类。对安全关键功能，优先采用试验验证；对无法试验的（如灾难性失效），采用分析加相似产品数据。

3.4 风险接受准则的落地要点

风险接受准则不能只写在文件里，必须落到设计决策中。工程上常用“风险矩阵”把失效概率和后果严重度组合成风险等级，再对照准则判定是否可接受。若不可接受，必须采取消除、降低、转移或接受四种策略之一。对航天器而言，最优先的是消除危险源（如用无毒推进剂替代有毒推进剂），其次是增加冗余或降额设计。

指标体系构建完成后，应形成一份“指标分解表”，包含指标名称、指标值、来源要求、分解模型、验证方法、责任单位、当前状态七列。这份表是后续设计、评审、验证和归零的共同基线，任何指标变更都必须走更改流程并重新验证追溯链路。