基于HHM的火箭加注系统风险识别方法

任玉彬，索相波，贾宝林，范玉珠

(1.国防大学联合勤务学院，北京 100036；2.酒泉卫星发射中心，甘肃 酒泉 732750)

0 引言

航天发射具有系统复杂、技术密集、风险环节多等特点，对试验产品和发射场设施设备的安全性、可靠性有着极为严格的要求[1]。国外航天部门如美国航空航天局(NASA)、欧洲空间标准化合作组织(ECSS)等非常注重风险管理研究与应用，并制定了相应的标准和程序文件[2]。为把航天测试发射任务中的风险降低到最小程度，确保航天员和试验产品安全，确保航天测试发射任务圆满成功，有必要在航天发射场引入风险管理的理念和方法。

风险识别是风险管理过程的第一步，是风险管理中最重要的步骤，如果不能准确地识别面临的潜在风险，就可能失去处理这些风险的最佳机会[3-5]。常见的风险识别方法有检查表法、专家调查法、工作—风险分解结构法、现场调查法、历史记录统计法等[6-11]。这些方法均在特定的阶段和场景下有其适用的范围，但又有比较明显的局限性。由于航天发射场火箭加注系统的复杂性和特殊性，其风险分析通常需要兼顾多个目标且面临目标难以度量的问题，如加注过程的可靠性安全性要求和加注的及时性准确性要求等。对于像航天发射场火箭加注系统这样的大型复杂系统而言，只用一个模型展现其所有方面有时是十分困难的[12]。

等级全息建模方法[13-14](hierarchical holographic model，HHM)是大型复杂系统开展风险识别的一种重要方法，“等级”指的是从系统等级的不同层面来分析系统存在的风险；“全息”在这里指的是从系统的不同视角来分析系统存在的风险。HHM是以协作、互补的形式将复杂系统分解为多个等级层次，每个层次都是复杂系统的某一特定视角结构，通过对每个层次进行风险识别分析，最终能得到近乎完备的复杂系统风险集合。目前，HHM方法已经广泛运用于国防基础设施、信息安全系统、跨国企业供应链、航天任务、新产品开发等领域的风险识别分析[15-17]。

本文从系统的观念出发，结合等级全息建模的思想，设计一个航天发射场火箭加注系统HHM风险识别框架，应用该识别框架，对加注系统开展风险识别。该HHM框架是一张航天发射场火箭加注系统的多视角立体图像，从不同的视角分等级描述加注系统，使风险识别及不同风险要素之间的关联分析更加全面、系统，可改进风险识别的完备性和准确性。此外，这个框架具有良好的动态可扩展性，可适应航天发射场火箭加注系统的扩展变化。

1 航天发射场火箭加注系统风险概述

1.1 风险的定义

根据GJB 9001C—2017《质量管理体系要求》，风险被定义为在规定的费用、进度和技术约束条件下，不能实现任务目标的可能性及所导致后果的一种度量。

Kaplan和Garrick对风险R定义为

R={Si，Li，Xi}c

(1)

式中：Si为第i个风险场景；Li为这种场景发生的可能性；Xi为风险场景引起的损失或影响；下标c表示风险场景集{Si}是完备的，即它包括所有可能的风险场景，或至少是所有重要的场景[18]。

1.2 航天发射场火箭加注系统风险特点

航天发射场火箭加注系统安全性、可靠性要求极高。火箭推进剂具有易燃易爆特性，常规推进剂还有很强的毒性。火箭加注系统工作时，运载火箭和卫星均已上塔，加注系统稍有失误就会对试验产品和任务进程造成直接影响，若发生安全事故，会对人员生命和财产造成不可挽回的巨大损失。美国、苏联和巴西等国家都曾发生过火箭在塔架爆炸导致大量人员伤亡的灾难性事故，教训深刻。

航天发射场火箭加注系统结构复杂、风险因素多。系统复杂性主要表现为组成、结构、技术状态的复杂性；风险的来源包括人(操作岗位人员、技术人员、指挥人员等)、设备(控制系统、工艺系统、配套系统)、原料(氧化剂、燃烧剂及所用气体)、工艺方法、环境因素各个方面。

航天发射场火箭加注系统历史风险信息较少。由于航天发射高成本、高风险和极高的技术复杂性，实施发射次数有限，因而造成了可供借鉴分析的历史数据不足，也给风险评估带来很大的困难。

鉴于航天发射场火箭加注系统风险识别的复杂性和特殊性，本文采用等级全息建模方法开展风险识别，确保风险场景识别的完备性。

图1 航天发射场火箭加注系统风险识别框架Fig.1 Risk identification framework of space launch site propellant loading system

2 等级全息建模方法的应用

等级全息建模方法的核心是用一个矩阵式框架图，实现对加注系统不同视角和不同层级风险场景的识别。

2.1 火箭加注系统HHM风险识别框架设计

运载火箭推进剂加注系统是航天发射场的重要组成部分，也是最具有发射场特色的系统，主要起着为运载火箭加注/泄出常规推进剂的作用。加注系统是一个集推进剂转注、存贮、流量计在线校验、推进剂调温及向火箭实施推进剂加注等任务为一体的多功能系统，系统主要由加注工艺设备和加注控制系统组成，运载火箭推进剂加注过程共有30多个相对独立的工序。

设计提出了加注系统HHM风险识别框架，图1所示是一个初步的HHM风险识别框架，从系统组成、功能区域、工作阶段和职能分工4个视角来描述加注系统。图中的每一列代表一个风险识别视角，向下细分的树状结构表示加注系统在该视角下的层级结构。

“系统组成视角”从系统的基本构成来描述，将加注系统分为加注控制系统、加注工艺系统(加注泵、储罐、阀门、管路等)和加注配套系统3个子系统，便于从加注设备所属功能系统定位来识别风险；“功能区域视角”按设备所属功能区域识别风险场景，分为氧化剂库区(控制室、罐间、泵间、转注间)、燃烧剂库区(控制室、罐间、泵间、转注间)、塔上和加注外管线及其他区域(配电间、配气间、调温间、废气处理间等)等场景，便于从不同功能区域分析和统计风险；“工作阶段视角”按照加注系统在航天发射任务不同阶段所承担的工作划分为日常维护、检修检测、任务遂行、正式加注和设备恢复等阶段。“职能分工视角”按照职能分工分为决策层、指挥层、操作层和保障层，考察的是人为因素风险源。

加注系统HHM风险识别框架是一个开放的框架，框架中的视角和层级都可以根据加注系统风险评估的实际需求进行拓展。比如，在风险信息收集分析过程中，发现某一类风险场景无法在当前的风险识别框架中确定其来源，就可以增加新列(新视角)来扩展该框架模型，使其包含这类风险。通过不断的完善，最终使风险识别框架可以包含所有可能的风险场景。

2.2 HHM风险识别框架的应用

2.2.1 利用HHM风险识别框架指导加注系统风险管理信息采集

将加注系统风险识别框架作为指导性框架，开展风险管理信息采集。从不同的视角以及每一个视角下不同的层级确定的风险场景，完成风险信息采集，比如风险源、风险事件、风险概率和风险属性等信息。按照此框架采集的信息的完整性和系统性，不会遗漏重要的风险场景。

完善HHM风险识别框架和利用风险识别框架指导风险信息采集是循环迭代过程，如图2所示。

图2 加注系统HHM框架完善过程Fig.2 Improvement process of HHM framework

2.2.2 利用HHM风险识别框架描述加注系统风险事件

利用设计的HHM风险识别框架，逐一分析框架中的风险场景，结合风险分解结构矩阵(见图3)，可对航天发射场火箭加注系统开展全方位多层级的风险识别。

图3 航天发射场火箭加注系统风险分解结构Fig.3 Risk decomposition structure of space launch site propellant loading system

航天发射加注系统风险事件按风险属性(原因)可分为技术风险、管理风险、人力风险、环境风险；按风险影响(后果)可以分为安全风险、质量风险、进度风险、费用风险等，在航天发射试验工作中，质量风险和进度风险通常比较受关注；按层级可以分为决策层风险、指挥层风险、操作层风险。例如根据加注当天的气象情况和后续发射塔上环境温度保障能力的评估情况，研究决定是否进行加注，就属于决策层风险；加注过程中，一旦出现设备故障，根据加注预案及时采用迂回加注方案确保准确及时地完成加注任务，就属于指挥层风险；加注过程中准确、可靠、安全地操作各台设备，就属于操作层风险[19-21]。

风险识别的过程是按照HHM风险识别框架定义的层级和树状结构，逐级开展风险识别。下面以加注系统HHM风险识别框架中部分风险场景为例，使用该框架开展风险识别和风险信息收集分析。分别选择不同视角下的3个第一级风险场景作为典型场景，分别是系统组成视角下的加注工艺系统场景C2、职能分工视角下的指挥层场景F2和操作层场景F3等三个风险场景，分析该风险场景下的风险源、风险事件及风险后果，结果如表1所示。

在表1的基础上，按照风险识别框架中的树状结构，进一步对下一级风险场景磁性浮子液位计C21、加注泵C22和流量计C23开展风险识别，收集并分析C21、C22和C23场景下的风险信息，并对识别出的风险进行评估分析，主要包括风险事件、激发因素、影响等级、风险概率和风险指数，结果见表2所示。其中，影响等级是指风险事件对航天发射试验任务影响后果的严重程度，分为轻微级(Ⅰ)、显著级(Ⅱ)、重大级(Ⅲ)、危险级(Ⅳ)和灾难级(Ⅴ)五个等级；风险概率即风险发生的可能性，分为极小可能发生(A)、不大可能发生(B)、很可能发生(C)、极有可能发生(D)、频繁发生(E)五个等级。通过建立概率—影响(P—I)矩阵，可计算出风险事件的风险指数，风险指数=影响等级×风险概率，风险指数越大，风险越大。从表2可以看出，加注泵并泵故障风险指数最大。

本文仅对发射场加注系统部分场景应用HHM风险识别框架开展了风险识别与评估，借助于本文设计的航天发射场火箭加注系统HHM风险识别框架和识别方法，可对航天发射场火箭加注系统进行全方位多层级的风险识别与评估。

表1 航天发射场火箭加注系统部分风险场景风险识别表Tab.1 Risk identification table of partial risk scenarios of space launch site propellant loading system

表2 加注系统加注泵风险识别与评估表Tab.2 Risk identification and evaluation table of the filling pump of propellant loading system

3 结语

1)等级全息建模方法是大型复杂系统开展风险识别的一种重要方法，可以改进风险识别的完备性，对信息采集和风险识别过程有较好的应用效果，能够提高风险评估的准确性，是开展航天发射场火箭加注系统风险识别的有效方法。

2)本文构建的航天发射场火箭加注系统HHM风险识别框架，从系统组成、功能区域、工作阶段和职能分工等四个视角来刻画加注系统不同类别的风险场景。在该HHM框架指导下，结合加注系统风险分解结构，对加注系统风险场景开展风险识别，可实现对航天发射场火箭加注系统全方位多层级的风险识别。