模式牛原创 洞穴之外 理念世界的影子
目前大家都有一种观念，商业航天搞固体火箭没有前途，搞液氧煤油前途一般，搞液氧甲烷才是真正有前途。
这么说有其道理，因为产业上，搞液氧甲烷最有可能率先迈入“融合模式”；商业上，搞液体才有可能做火箭做大，才有可能回收，取得价格优势。
产业和商业，宏观战略上都利好液体，但还有第三个操作上的逻辑：行业逻辑。
固体、液体都只是推进剂的一种类型，本来是很简单的技术问题，但它背后隐藏的是两种模式：一体化模式和分布式模式。
固体火箭一出厂就自带推进剂，是典型的一体化模式。其特点包括：1）使用便利，对发射场供气保障要求低；2）出厂状态固定，使用不灵活，并涉及运输、起吊等突出问题，天生做不大；3）系统简单、集成，可靠性环节集中。
液体火箭推进剂为发射前加注，是典型的分布式模式。其特点包括：1）使用灵活，火箭可扩展性强，天生可以做大；2）不涉及运输起吊的突出困难，但对靶场加注供气保障条件要求高；3）系统分散，薄弱环节散布，提高固有可靠性涉及环节众多。
航天这个行业的特点是异乎寻常地看中成功，尤其是商业航天初创期，对可靠性要求极高，只有当企业做大了，具备了一定的风险抵御能力后，才有可能容忍更多失败。而此时，固体火箭以其一体化的特点，在可靠性水平上具有突出优势，这也是很多商业航天公司选择“先固后液”、“固液并举”路线的最大原因。
下图为对大力神、德尔塔和航天飞机等已成熟的火箭故障率统计数据，从图中可以看出，氢氧发动机故障率高达16‰，而煤油为8‰，固体发动机(整体式)为0.6‰，即氢氧机故障率为煤油机的2倍，为固发的近30倍。
采用动力冗余技术后，氢氧火箭故障率降到7‰，煤油火箭降到1.2‰，即氢氧火箭故障率为煤油火箭的6倍，为固体火箭的10倍。
当然，这里没有统计的是，固体火箭曾多次因为伺服系统故障导致飞行失利，与液体火箭多台发动机伺服自带冗余不同，固体火箭伺服为单点环节，尤其需要关注其技术和产品状态。
图 成熟火箭故障率统计
从统计，成熟火箭动力系统中，出故障排序为：
氢氧>煤油>氢氧(动力冗余)>煤油(动力冗余)>固体
由于这个故障统计是基于成熟火箭，而且故障率都是千分之一级别，为典型的小概率事件，无法得到确定性结论。本文无意再讨论国内液体什么时候能成等没有答案的问题。只是希望回答：液体火箭怎么能提高可靠性？
年度观点为：液体只有上了动力冗余，以及与之类似的静态点火、牵制释放等才能真正提高可靠性，这也是笔者十分向往、但中国航天暂时并没有采用的三项技术。此处摘抄之前三篇文章中的部分观点，详细介绍可读原文。
《洞穴之外|提高运载火箭成功率的三大研制理念(3)—动力冗余》
《洞穴之外|提高运载火箭成功率的三大研制理念(2)—牵制释放》
《洞穴之外|提高运载火箭成功率的三大研制理念(1)—静态点火》
火箭能否成功，是个技术问题，采用什么的方式来确保成功，则是个管理问题。技术问题管理解决！
火箭的研制和验证涉及许多学科的交互作用。如静态和动态载荷及其分布、结构分析和设计、结构动力学、声学、空气动力学、流体力学、流体动力学、机械设计、热分析和设计、水力学、推进系统设计、材料科学(性能、腐蚀、断裂力学、裂纹扩展、生命周期等)、电力和配电、电力控制、计算机和软件。
这么多学科知识及其交互影响，是否能全盘被设计人员所掌控？管理上是否能找到学科与学科交叉之间可能丢失的地带？甚至产品生产质量能否彻底受控？对上述这些进行检验的方法只有试验。
最接近真实飞行状态的全面验证就是静态点火。基本上，所有与高温(燃烧)、低温(推进剂)、强振动(发动机振动)耦合的验证，只能通过静态点火予以验证。相对于其它研制试验，静态点火提供了一个唯一真正的端对端检验。
增加一项静态点火试验，是在以往工作上的进一步加码呢？不是！
就静态点火而言，除技术上提供更真实全面的验证环境外，还存在微妙的心理因素。
运载火箭各单机的安装和测试项目繁多，但均是例行公事，人很容易产生疲倦感。永远不要指望人不犯错误。国内外各种航天事故和失利，已充分证明，即使采用表格化管理，采用一检二检制度，采取严格的质量检验，仍不时有错误漏网而出。
为揭示潜在问题，一种手段是复查，通过对历史过程、数据的回溯和比较，力求能从蛛丝马迹中发现不正常处。但不正常总是少而又少，在海量重复性的正常数据中查找不正常，不亚于大海捞针，这需要极大的精神和意志才能开展。因为人对于重复性的事情总是会产生疲倦感，继而发展为消极怠工、效率低下，效率低下漏掉问题后又带来各种名目的复查，从而变成恶性循环。
静态点火的引入，可能弱化这个恶性循环。一方面，管理者放心了，对技术状态放心了，因为经过了集成验证，对产品状态也放心了，因为基本上参加静态点火的产品都是准备上天或与上天同批次的产品；另一方面，员工收心了，开展能直接看到效果的工作，员工多半不会抵触，他们会真心实意地围绕这项工作花时间、想办法，以保证试验成功。
高手从不解决问题，只转移问题。一项管理者认为有价值、员工认为有意义的工作，架设了管理者和员工之间的一个桥梁，让双方能找到结合点，这可能是静态点火在技术价值之外，提供的管理意义。
那么，进行静态点火试验，就能解决推进系统可靠性问题了？当然不可能，这不符合哲学的逻辑。
静态点火的实施是一个费钱费神的工作，天天操作，总有疲倦的一天，将渐有鸡肋之感。这时候是否取消，只差一个技术的契机。
牵制释放就是契机，牵制释放可以视为一种蜕化的静态点火！
发动机在启动、关机的非稳定工作段出问题可能性较大，在发射台上检测后释放，可以避免这种故障模式发生；多台发动机中一台未点火将可能造成灾难性事故，检测所有发动机都工作正常后释放，可以避免这种故障模式发生。
与全套的静态点火相比，牵制释放存在考核时间短、判读时间短、判读不全面的缺点，但它有与发射任务高度集成的突出优点。也就是利用发射的机会，顺带把简配版的静态点火给干了。
既然说牵制释放是个契机，但为什么有些型号没有上呢？这是个管理问题。
设想一下，一个型号在论证要不要采用牵制释放技术时，支持的人自然可以抛出启动、一台不点火下安全等等好处。
不支持的人理由也很正当，损失运载能力还是小事，如果牵制了无法释放怎么办？假如从四个方向牵住了火箭，但最后3个解锁了，1个没有成功解锁，火箭会倒。不支持方不仅是说不放心，还可以举案例，如1959年8月14日进行大力神B-5飞行试验时，牵制释放机构的爆炸螺栓在设计时间之前，由于发动机点火引起的冲击和振动峰值下出现故障而过早起爆，导弹升空，但控制系统尚未收到起飞信号，仍处于非起飞状态，在升高1.2~1.6米后紧急关机，导弹坠落发射台爆炸。如果不采用牵制释放，就不会出现失败了。
这时候，面对各自的潜在风险（没有量化的潜在风险），和巨大的决策责任，决策者会怎么选？
多半会选择习惯！
启动故障、未点火是大家内心潜在接受的习惯，但牵制释放故障不是。如果因为启动、未点火出现问题，别人会说工作不细、运气不好，但如果真的因为牵制释放出故障，那得到的评价多半会是好大喜功、穷兵黩武。
这种非技术的心理考量，营造了阻挡技术类型多样化或技术进步的怪圈。怎么打破怪圈？三种办法。
第一种是纯技术方法：量化。如果可以计算出启动故障、未点火故障等概率，以及牵制释放出故障概率，并取得认可，则此时技术的取舍就非常简单了。
量化计算有先验的，抽象出重要因素，提炼出关键模型，通过敏感因素分析，得到对系统的量化认知。但在面对系统工程问题时，这种方法会显得比较虚弱。举个简单的例子，汽车比自行车复杂多了，但汽车的故障反而比自行车少，这个结论能通过模型提前分析出来吗？很难。在工程上，很多时候采用的都是后验的，统计的方法。
这里形成了一个悖论，新技术没有机会上，就没有机会进行后验统计。这也是在航天这个领域，采纳新技术极为缓慢的原因。
第二种方法是等待。总有那么些契机，可从其它地方找到筹码，影响技术的走向。譬如宇宙神1%的不稳定燃烧概率，成为当时采用牵制释放技术的主要原因。因此牵制释放技术得以成立，并经过多次考核，让大家觉得，这项技术也没有想象中那么危险，从而变成了习惯。
契机的到来是随机的，可类比于守株待兔，因此这种方法比较盲目和被动。
第三种方法是主动创造契机。在一个体系孕育成熟，到可能产生锁死倾向时，有意识地创造一系列新的、小的体系。新的、小的体系会存在各种各样问题，他们也会想尽一切办法去解决这些问题，在这个解决过程中，新技术就会层出不穷，并反哺原体系；同时，新机构管理层级简单，存在较大的个人意志空间，在推行某些新技术、新理念时阻力更小，起到为旧体系试错的作用。当然，在这个过程中，肯定也会有一些选择了正确的技术路径、团结了更多的人才、并有着更好运气的小体系会脱颖而出、发展壮大，最终变成一个大体系，然后又开始新一轮的循环。
有很多新技术，如交叉输送、如牵制释放、如垂直起降。在以往文献中，交叉输送更愿意探讨推进剂气液分离插头设计、牵制释放更愿意分析风险比较和牵制释放装置、垂直起降跑不掉发动机推力调节和凸优化算法。
诚然，这些技术实现都非常重要，但使它们得以生根发芽的土壤，和关于技术取舍契机的分析也很重要。交叉输送的能力区间在哪和哪项好处最吸引人？牵制释放拿出什么新筹码才可以从正反派中脱颖而出？垂直起降的管理问题在哪和怎么破解？
那么，牵制释放的契机是哪儿呢？笔者认为它可能着落在海射上，这个后续有机会再写。
静态点火和牵制释放都在地面执行，在火箭飞行中也有一种方法提高可靠性，这就是动力冗余。
冗余是提高飞行可靠性的有效方法，可以将冗余分为元器件冗余、单机冗余、系统内冗余、系统间冗余四个层面。动力冗余是典型的系统间冗余，动力系统出现故障，通过控制系统予以吸收和补救。
冗余是技术问题，但采用此技术的驱动力，则是管理问题。
单机的所有权明确，坏了是我的责任；冗余了、降低了失败概率，是我方案设计正确，因此元器件冗余和单机冗余非常容易取舍。
系统内冗余，涉及的单位很多，但只要有一个负责任的总体单位管，取舍起来也不是那么难。譬如速率陀螺坏了，采用惯组内陀螺的数值代替，编程可能复杂点，控制品质可能会变差点，但总归是控制系统内部事情，控制系统抓总单位真要推行也不是不行。
但对于动力冗余这种系统间冗余，关系就复杂了。发动机出现问题，控制系统补救，听起来总体最优。但这里有两个心理因素。
第一个因素：发动机出现了故障，结果控制系统补救了，错误是我的，功劳是你的，我不开心呀。
都是国家任务，有你说的这么 low 吗？
人性有其阴暗面。明朝末期，崇祯筹款十年依然穷的叮当响，李自成用七天抢到七千万两白银，这些当时哭穷的人不知道国和家之间的关系吗？怎么可能不知道。共和党和民主党深陷党争无法自拔，难道他们不知道美国当前的困境吗？怎么可能不知道。但特定的社会结构下，不同利益集团间的冲突才是最重要的。正如有个故事：天下所有母鸡商量，总下蛋还要被杀，不如一起不下蛋了。很久没有鸡蛋吃人类很苦恼。这时候有个人说这有何难，他选出一只母鸡，说这是一只会下蛋的鸡，是母鸡中的战斗机。全国巡游，给予最高的礼遇和待遇，风光后，其它母鸡终于不忿了：她是谁？当年下的蛋比我又小又少，凭什么全国巡游，凭什么待遇这么高？于是所有母鸡又一起下起蛋了。鸡蛋问题也就解决了。
航天人不low，但责权利不统一时，只要有可能，最好不要给任何人这种人性选择。利用外部环境的变化，在关键时候出手，将比强行要求do it强太多；通过引入新技术，调整研制模式或组织模式，避免或弱化这种人性选择，则更有作为得多。就像在载人运载火箭进行故障检测和逃逸系统研制，推行起来就顺畅得多；载人火箭上将逃逸功能放到火箭系统而不是飞船系统上，火箭系统内部就可以完成设计闭环，且责权利统一，工作开展也会顺畅很多。
第二个因素：存在漏判和误判可能性。花了很多人力和经费开发了故障检测系统，漏判了不好交代；误判了，关了本不该关的发动机，就更不好交代了。
对于任何一项新技术，它的能力边界是一个重要的考量因素。“捡个鼠标想开网吧”的心态是新技术最大的敌人，”这也想要那也想要”的要求会将所有的激情消耗殆尽。动力冗余不是包治百病的灵丹妙药，除却部分发动机故障检测错误外，还存在发动机故障对其它系统影响，如N-1火箭的第一次飞行，燃气发生器导管断裂后引起了发动机机舱着火，致使1000Hz直流和交流电路短路，并最终引起火箭爆炸，此时已无法依靠动力冗余技术解决问题。对新技术的边界的充分讨论和广泛认同，是新技术顺利推行的必要条件。
没有动力冗余时，发动机故障扩展是一个典型的开环系统；采用动力冗余技术后，故障检测、控制重构和执行三个环节，它们组成了一个闭环系统。
与开环系统仅仅涉及执行相比，闭环系统多了故障检测和控制重构两个环节，也引入了更多设计因素。一是工况的复杂性，造成设计和仿真工况的大幅增加，即设计升维了；二是测量系统的技术定位，即测量参数是否可信的问题。
第一个问题是工况的复杂性。在编程中，对于函数会返回一个数字编码，作为错误类型的标识码。一般采用0作为成功标识，而其它数值代表错误标识。成功只有一种情况，用0就够了，而错误的可能性千变万化，需要采用更多的数字。
对于故障的识别，依赖于对动力系统单位的总体牵引和大量经费支持。
美国是最早开展故障诊断技术研究的国家，应用在飞机自动驾驶、人造卫星、航天飞机、核反应堆等各个尖端部门，处于世界领先地位。上世纪70年代初，美国在火箭发动机发动机监控方面做了很多工作，如宇宙神（Atlas）和大力神（Titan）等火箭的发动机的一些关键参数设置了上、下限监控。80年代后期，NASA MSFC/洛克达因研制了用于SSME地面试车过程监控的“异常与故障检测系统”(SAFD)。后洛克达因公司研制了更为实用的火箭发动机健康管理系统(HMSRE)。在研究过程中，洛克达因公司曾针对七种型号发动机（MA-3、MA-5、RS-27、F-1、H-1、J-2、SSME）研制过程中的故障进行统计，从交付的2500台进行过1000次飞行的发动机中统计出85000次故障，对故障记录进行评定、筛选、归类，缩减到1771次故障，并归结为十六种故障模式，并附以故障传播图表示，用于发动机的故障分析和预测。
对于故障的重构，依赖于各单位间设计模型和软件工具的有效集成。
在设计时，成功只有一种工况，设计和仿真时只需要考虑一种工况，即使存在多个单位，即使仿真工具不太好用，尚可以牺牲效率为代价，完成设计和仿真。但采用动力冗余后，由于飞行中故障可能发生在任意时刻，故障类型和量级也多种多样，设计和仿真数量从一种变成了成百上千种，必须依赖于准商业化的通用仿真工具。而且由于系统间冗余涉及较多单位，为了多工况仿真可以进行，要实现交换模型的研制模式，代替简单的交换数据和文件的模式。
第二个问题是测量系统的技术定位。在以往飞行中，测量系统仅用于获取信息，可靠性要求远远低于控制系统，重视程度也远远低于控制系统。在很多时候，它所表现的可靠性也远远低于控制系统，在进行发动机参数检测时，所有关于转速、燃烧室压力的数据或多或少是不被信任的。处理这种方法有两种思路，自顶而下，和自底而上。
自顶而下是用控制系统信息辅助判断（甚至抛弃发动机参数直接判断），如发动机参数异常时，同时观察箭体过载、姿态等是否存在异常。如果存在，则表明发动机的确出现问题了，而不是传感器错误。这种方式看起来很保险，但实际上，发动机故障的扩展，富燃循环发动机一般在500毫秒级，而富氧循环发动机一般在50毫秒级，采信发动机参数还有可能提前进行判断，真正等到箭体有反应时，发动机早已出现不可挽回的故障（这种现象在某些型号上已经观察到了）。
另一种思路是从基础做起，为什么不能直接用发动机的测量参数？Falcon 9火箭就是这样用的，针对3月18日的发动机在线关机，马斯克表示，导致这台引擎失效的原因是有“少量”的异丙醇（清洁液）被困在传感器的死角、并在飞行中被点燃。作为一款在无菌环境中常用的清洁消毒剂，其似乎有些意外地被留在了发动机流体系统中压力阀传感器的外壳中，然后在发动机点火时燃烧了起来。尽管此事可能不足以损坏发动机，但传感器还是认为热量超过了材料可承受的极限，从而触发了保护性停机。SpaceX 后续在清洁后再次仔细地检查，以避免发生类似的意外。该公司担任本次发射网播解说的人员莱昂斯称，本次发射所用火箭未采取这道清洗程序。
有人说，我们正是要规避这种测量错误模式的产生。但现实是，测量错误的概率远远小于正确实施动力冗余的概率。因为测量系统不可信只是目前研制模式下的结果，并不是必然。自底而上的思路是，从基础做起，从源头上提高测量系统可靠性(如采用元器件和单机冗余)。基础做牢了，数据积累多了，自底而上的路自然就通了，只有在缺乏数据的情况下，才会选择看起来保险，其实未必管用的自顶而下的方法。
静态点火、牵制释放、动力冗余三者不是孤立的，笔者称为运载火箭三大研制理念，它们之间有一个隐形的联系：故障检测技术。
静态点火是试车后的人工故障检测、牵制释放是发射过程中的在线故障检测、动力冗余是飞行中的在线故障检测和决策。
检测都是为了行动服务，静态点火通过人工判断产品是否正常以决策是否更换产品、牵制释放用于在线判断产品是否正常以决策是否紧急关机更换产品、动力冗余用于在线判断产品是否正常以决策是否在线关机并通过控制重构吸收故障。
火箭研制，是一项系统工程，在过去，我们聚焦于“A执行”环节，从无到有实现了载人航天、嫦娥登月、北斗工程，而引入“OODA”—博伊德循环(Observation观察、Orientation判断、Decision决策、Action执行)—的闭环环节后，是从系统到体系的跨越，实现的将是质量、效益和效率的大幅提高。
系统工程运行的60年，让我们步入了航天大国，而这之后必将是体系的运行，它承载是我们从航天大国迈入航天强国的航天梦。
