基于嫦娥四号探测器任务特点的产品保证工作实践

付春岭 张熇 吴学英

(北京空间飞行器总体设计部，北京 100094)

嫦娥四号探测器系统包括探测器(含着陆器和巡视器)和中继卫星，实施了2次发射，实现国际首次月球背面软着陆和巡视勘察，以及首次地月L2点中继卫星对地对月的测控、数传中继[1]。嫦娥四号探测器在充分继承嫦娥三号探测器产品和技术的基础上，需要根据任务要求开展全新的方案设计，解决地月L2平动点中继卫星轨道精确设计与控制、地月L2点远距离数据中继、复杂地形环境条件下的安全着陆、同位素温差发电和热电综合利用四大难题。因此，研制过程存在探测任务难、产品状态多、搭载管理模式新等特点。如何针对这些特点采取有效控制措施，确保任务圆满成功，是嫦娥四号研制面临的主要问题。

产品保证工作是航天器产品设计、生产、试验、发射、交付使用等全过程进行的一系列有组织、有计划的技术和管理活动，重点对技术风险进行充分地识别和控制，保证产品满足要求，保证航天器飞行任务圆满成功[2]。相比于传统的质量与可靠性工作，产品保证工作的体系结构和内容要素则更加完备。它包括产品保证管理、质量保证、可信性保证(可靠性、可用性和维修性等的统称)、安全性保证、电子电气与机电元器件保证、材料机械零件与工艺保证、软件保证等。在方法上，强调以技术风险识别与控制为核心，通过一套严密的程序和方法，保证产品达到规定的任务目标，实现安全、可用、可靠[3]。

嫦娥四号探测器的产品保证工作，继承了嫦娥三号探测器在关键环节风险识别与控制、精细化质量管控、最终状态管控等方面的产品保证工作经验，并针对自身的任务特点，按首飞标准，全面、规范、有效地实施了产品保证工作[4-6]。本文分析了嫦娥四号探测器研制任务特点，总结研制过程针对任务特点采取的产品保证控制措施，可为后续航天器研制过程的产品保证工作提供参考。

1 研制任务特点分析

嫦娥四号探测器研制主要具有以下特点。

(1)探测任务难。嫦娥四号着陆区为月球背面南极艾特肯盆地，与整体比较平坦的嫦娥三号着陆的月球正面虹湾地区相比，撞击坑分布更为密集，地势较为崎岖，安全着陆、月面工作风险较大；着陆器和巡视器工作在月球背面，无法对地直接通信，必须采用中继卫星中继的方式实现动力下降过程及月面工作全过程的对地上下行通信，中继轨道的设计与实现、中继通信接口设计等都是面临的难题。

(2)产品状态多。根据工程需要，嫦娥四号探测器大部分平台产品和部分载荷产品已于2012年按照嫦娥三号探测器状态完成投产，作为为继承产品，其发射时面临长达6年的地面贮存期；为了适应新的任务要求，需要研制同位素温差电池、月夜温度采集器和部分科学载荷，或是对原有产品进行改进，为新增或新改产品；还有按原状态重新投产的产品。因此，探测器正样产品包括继承、新增、新改、新投4类，其中新增和新改产品还投产了电性件和鉴定件，产品状态多样。

(3)搭载管理模式新。在完成高难度、高风险的航天重大专项任务的同时，嫦娥四号探测器还承担了国际合作平台和公益科普的职责，其上搭载了国际载荷和全国范围征集的科普载荷，属探月工程首次。搭载载荷研制单位的管理模式与航天体制内单位差异较大，质量管控难度大，搭载载荷一旦发生故障，可能会影响到主任务的安全。

2 产品保证工作主要措施

嫦娥四号探测器以“关注关键，严控变化，确保系统设计正确性；深究细节，严控过程，提升产品的质量与可靠性”为理念，将产品保证工作的各个要素在研制过程中有效贯彻和落实。针对探测任务难，狠抓风险识别与控制；针对产品状态多，实施差异化质量管控重点；针对搭载管理模式新，严控搭载接口安全性管控。

2.1 狠抓风险识别与控制

从嫦娥四号探测器任务特点、嫦娥三号探测器在轨飞行试验结果、“十新”(新技术、新材料、新工艺、新状态、新环境、新单位、新岗位、新人员、新设备、新流程)分析、技术状态更改等方面开展了覆盖全系统、全过程、全要素的风险识别分析工作，向下覆盖到探测器各组件和单机设备，形成技术风险项目清单，制定控制措施。通过仿真分析、试验验证、完善预案等方式，以及各方面的检查、确认，结合风险把关、独立评估、技术回头看、质量复查等活动，对风险项目再分析，对控制措施的落实情况进行再确认。利用信息化手段动态管控，定期检查风险控制措施落实情况，持续监督，确保控制措施落实到位，验证充分。在出厂前组织进行技术风险分析与控制专项评审会，确保风险识别全面、控制措施有效，残余风险可接受。针对着陆区变化带来的风险、对地通信需要中继转发等10余项系统级技术风险，制定相应的风险控制措施并落实，主要内容如下。

1)着陆区变化带来的风险及应对措施

(1)针对动力下降航迹高程差变大的风险，优化动力下降策略，通过对标称工况、故障工况及动力下降参数拉偏工况进行仿真表明，迭代优化后的动力下降策略可以满足功能性能指标及可靠性安全性要求，单重部件故障不会影响动力下降功能性能，系统具有一定的鲁棒性，能够保证着陆器安全着陆。

(2)针对南极艾特肯盆地内地形条件恶劣的风险，通过在轨标定减小7500 N发动机比冲和推力误差，环月增加2次轨道修正等措施，提高着陆精度，缩小着陆区范围；精准选择面积较小的相对较平坦的区域作为主/备着陆区，降低着陆安全风险。

(3)针对月球背面物质成分影响科学载荷正常工作的风险，对微波测距测速敏感器和激光测距敏感器进行设计优化。更改后，微波测距测速敏感器进行暗室零值标定试验、吊车试验、挂飞试验；激光测距敏感器进行外场精度、灵敏度、威力范围标定试验。另外，对激光三维成像敏感器进行外场精度、威力范围标定试验，试验结果均满足要求。

(4)针对中继链路遮挡和光照遮挡的风险，制定在轨着陆器使用降落相机、巡视器使用导航相机识别遮挡的方案，并针对不同阶段发生的遮挡制定应对策略；特别针对中继链路遮挡对休眠的影响，增加延时休眠和自主休眠的功能。在整器上进行测试，测试结果满足要求。

(5)针对月球背面特殊地形可能对巡视器桅杆等多功能复杂结构机构带来耦合性风险，充分识别巡视器集成像、导航与指向通信任务于一体的多功能桅杆构型设计和线束路径规划技术特点，从构型设计、电缆布局和空间润滑长寿命等方面开展风险控制，有效解决了在月球背面定向天线半球覆盖率和多维、大范围精密指向等难题，降低了多机构多功能耦合性因素风险。

2)中继转发带来的风险及应对措施

(1)加强两器一星接口设计确认，确保设计正确性和一定的冗余性，提高链路可靠性。中继卫星前向两路具备4个频点支持能力，返向具备三路2个频点支持能力。着陆器前向链路通过多台接收机热备份提高前向接收可靠性。返向链路包括定向天线与全向天线，其中：定向天线返向链路可作为全向天线返向链路备份，数传调制器双机异频备份。巡视器前向链路通过2台接收机热备份提高前向接收可靠性；返向建立2条链路实现备份，一条是直接对中继卫星的X频段遥测数传通道，另一条是与着陆器之间的超高频(UHF)频段通信链路，可以通过着陆器进行数据转发。

(2)开展两器一星接口验证，确保中继链路验证充分。其中包括：着陆器和巡视器鉴定件与中继卫星电性星地面联试，两器正样与在轨中继卫星的星地联试，中继链路在轨指向标定和链路性能测试，针对中继链路故障预案的试验验证。

2.2 实施差异化质量管控重点

1)加强继承产品长期贮存管理

(1)针对继承产品，重点关注贮存后产品的可靠性。其中包括：开展产品长期贮存可靠性评价技术研究；开展电子类、机电类单机长期贮存产品的薄弱环节要素分析，形成要素检查单，编制贮存产品可靠性预计工作指南；开展电子单机设备长期贮存可靠性分析，形成贮存设备可靠性预计方法，完成贮存产品可靠性预计。

(2)明确长期贮存要求，对产品贮存的环境条件、贮存产品的包装与放置要求、贮存整个过程的试验等进行详细规定。明确交付前补充试验要求，针对探测器先期投产的产品按要求完成相关试验项目，将产品分为“未作任何修复、改装”、“需要更换状态相同的部分电路板/部件”和“需更换状态不同的部分电路板/部件”3类，分别制定不同试验项目和试验量级的再试验要求。贮存期间，项目办公室定期组织开展贮存产品质量检查，确认产品贮存过程符合要求。各单机单位通过定期加电测试和力、热等环境试验，检查产品是否存在可能的失效故障，提前暴露产品经长期贮存导致的潜在缺陷，确保产品贮存安全可靠。

2)加强新研新改产品设计验证

针对新研新改产品，重点关注设计正确、鉴定充分，通过设计评审、试验验证、复核复审等方法，加强系统、分系统、单机各级的设计质量控制。

(1)新研新改产品投产了鉴定件，加强鉴定充分性审查，成立检查组开展鉴定件质量审查工作。工作一次落实到位，从鉴定产品的性能、鉴定产品环境试验有效性、特征阻值数据、技术状态及质量问题更改措施落实情况、元器件/工艺/原材料控制、供电安全性设计与实物检查、遥测遥控接口、软件和FPGA、可靠性和安全性、数据包完整性规范性、热平衡试验结果及分析、产品关键特性及设计裕度结果、产品实物开盖检查等13个方面进行审查，确保鉴定件设计、过程控制及试验验证的充分性、有效性和覆盖性。

(2)通过单机、分系统、系统级试验层面加强产品设计验证，组织开展月夜温度采集传感器与转移机构联合试验、移动装置电缆摆动试验等单机专项试验，以及控制分系统和数管分系统间联试，着陆器月夜阶段热平衡试验、中继接口联试等系统级专项试验和大系统测控对接试验，全面验证新研新改产品的设计正确性。

3)开展新投产品生产状态比对

组织新投单机产品研制单位确认生产基线状态的变化，从外协单位、研制人员、材料(含辅材)、元器件、工艺(含辅助工艺)、试验方法及设备6个方面与嫦娥三号探测器研制过程进行比对和分析，对有差异的项目(如元器件、工艺)进行风险分析。加强生产过程质量精细化控制，在高温隔热屏、电缆网、巡视器移动装置等产品投产和关键工序开展前，从人员、设备、物料、生产依据文件、环境、检验检测6个方面确认产品生产状态基线，组织生产准备评审，确保产品投产状态正确、生产过程质量控制措施有效[7]。

此外，在探测器总装、测试和试验过程中，严格量化控制，制定过程量化控制文件。重点针对安装、连接、拧紧、绑扎、固定、走向、防护、开关、测试等环节进行量化控制；对重要试验和测试前状态，以及不可逆总装操作前的状态进行确认；对关键设备进行安装前状态确认、安装过程控制、安装后状态确认、安装关键特性确认等；对过程强制检验点进行确认。对各阶段测试数据开展“三比”，即纵向比对(比较同一数据在不同测试阶段的测试结果)、横向比对(对比该数据对同类型关联数据的影响性变化情况)和联合比对(对比该数据对不同类型关联数据的影响性变化情况)。通过严密的数据比对，关注测试数据的细微变化趋势，确保数据判读无遗漏。在整器出厂前、发射前，组织开展最终状态确认工作，整器出厂前还进行性能指标符合性确认，确保整器出厂状态受控。在发射场各阶段总装、测试、试验中，严格交接状态管理，保证状态受控。发射前的最终状态，结合总装技术流程在实施过程中逐步确认，对所有需要确认的项目，采用“总体、相关分系统、总装多方联合”的方式进行状态确认。

2.3 严格搭载载荷接口安全性控制

针对搭载的国际载荷、科普载荷研制模式不同、管理体系差异大、协调工作繁重、不确定因素多等问题，签订搭载协议，明确搭载载荷交付前应完成的试验项目及试验条件、交付接口状态、交付时间节点等内容。以“确保搭载载荷在任何情况下不会影响探测器系统本体安全”为指导思想，将确保两器一星可靠性和安全性作为搭载放行的首要管控准则，重点对搭载载荷的接口安全性进行严格控制。编制接口安全性控制要求，提出设计控制、过程控制和验收控制3个方面的具体要求，从机械强度裕度、热接口、供电接口安全等方面给出细化指标。通过强制检验点检查、审查电路图与实物的方式，对其接口安全性进行严格把关。通过正样产品的验收，确认其产品满足要求。此外，针对科普载荷的压力容器安全、接插件防水性能、供配电安全等开展多次专项审查，进行多次再复核、再确认。通过严格的接口安全性管控，确保搭载载荷接口匹配满足要求，不会发生危及主任务安全的情况，圆满完成搭载任务。

3 结束语

嫦娥四号探测器研制产品保证工作，在借鉴以往经验的基础上，充分分析任务特点，在狠抓风险识别与控制、实施差异化质量管控重点、严格搭载载荷接口安全性控制等方面，制定和实施针对性的产品保证措施，通过适时组织专项产品保证活动，将产品保证工作做深、做细、做实、做透，有效确保了探测器产品质量。嫦娥四号探测器于2019年1月3日完成月球背面软着陆和两器分离，1月11日完成了两器互拍，至今7个多月来整器在月球背面超寿命运行，温度条件良好，工作性能稳定，探测成果丰硕，标志着嫦娥四号探测器任务取得了圆满成功。