07 | 可靠：如何提高卫星的寿命？

你好，我是彭天放，欢迎跟我一起透视卫星技术前沿。

现在，假设你有了一颗功能齐全的卫星，也申请到了可用的轨道，就能放心发射卫星了么？

其实啊，还不能。

这是因为，卫星作为一个复杂的系统，进入恶劣的太空环境之后，很有可能发生各种故障。

比如，我国的一颗北斗卫星就曾经因为太阳帆板在展开的时候结构短路，导致整个卫星都断了电。

美国也曾经因为软件设置错误，让一颗试验卫星把燃料快速喷射没了，于是提前结束了使用寿命。

但是偏偏，卫星又是最不能出现故障的设备。

毕竟每颗卫星都很贵，光发射成本可能就要好几个亿。如果你折腾半天上去，发现发上去了几吨废铁，那损失实在是太大了。

更不用说航天领域一向是彰显国家实力的平台，故障率太高确实会影响到国际形象。

那我们怎么能尽可能延长卫星的使用寿命，降低故障率呢？

这就是这一讲我们要谈的挑战，如何提高卫星的可靠性。

1.什么是影响卫星寿命的最大挑战？

可靠性这个问题，并不是卫星特有的，其实是一个蛮普遍的问题，所有设备都要面对。

比如说，在二战期间，美国空军的战斗机因为故障而损失的达到了21000架，是战争期间被击落飞机的1.5倍。

而后勤仓库里面的电子设备，有60%被发现是坏的，把这里面能用的设备运输到前线的时候，你发现又有一半发生了故障。

但历史上，促进了可靠性发展的，恰恰是航天技术。这是为什么呢？

我们先来解释一下，什么叫可靠性。

通常，我们把可靠性定义为一个设备在规定的时间内可以正常工作的概率。

就拿卫星来举例吧，根据最近三十年的数据，卫星在一年内能够正常工作的概率是97%，六年内仍然能够工作的概率大概是94%。而十年之内，还能正常工作的概率大概是90%。

你可能很难感受到，这是多么了不起的一项成就。因为在我们看起来，像常用的飞机、高铁，好像都比这些要可靠得多。就连一辆家用汽车，用上十年，也算不上什么大不了的事。

你会有这种感觉，其实是因为这类设备都用到了一个提高可靠性非常有效的方法，定期检修。

刚刚我们说，可靠性的定义是在规定时间之内能够正常工作的概率。那这个规定时间如果越小，可靠性不就越高吗？

我造一个在十年内一次都不发生故障的机器可能很困难，但是要造一个一个星期内都不故障的设备，那可就容易多了。所以这些地面上寿命很长的设备，其实都要靠定期检修来维护。

我们刚才说的像是客机、高铁这种设备，可靠性之所以看起来这么高，很大程度就是因为它的定期检修比较方便。

事实上，哪怕卫星只要具备最基本的检修条件，寿命也是可以非常长的。

比如哈勃太空望远镜，它的寿命就达到了将近三十年。它的寿命为什么可以这么长呢？这主要是因为在它的工作期间，我们派航天飞机给它进行了五次检修。

所以让它最终的寿命，远远超过了最初的设计。

只可惜，大部分的卫星是很难有条件进行定期维修的。

在苛刻的太空条件之下，一旦卫星出现了局部故障，除了一些远程遥控的方式之外，根本就不能维修或者更换部件。甚至很多卫星，连导致故障的原因，都得通过工程师靠有限的回传数据来推测。

这就是我们在谈到卫星的可靠性的时候，所面临最根本的挑战：不可维修性。

所以你反过来再看，当今有超过90%的卫星都可以连续工作10年以上，这确实是一项非常了不起的成就。

因为航天领域对可靠性的贡献，美国在阿波罗计划成功之后，就把可靠性技术的突破，列为了人类登月的三大技术成就之一。

2. 元器件可靠性如何提高？

既然我们说，大部分的卫星都不能通过维修来延长寿命，那在航天工程里，究竟要靠什么来提高卫星的可靠性呢？

主要的做法就是通过定量的方式，让卫星一出生的时候，就把它造得可靠性特别高。

第一步，就是要提高每个器件的可靠性。

你比如说，卫星上就有一种称为裕度设计的方法，这就是指在设计器件指标的时候要留出一些富裕。

举个例子来说吧，卫星在展开太阳能帆板的时候，电机应该使用多大的驱动力呢？

理论上，这个驱动力只要略大于摩擦阻力就可以了。但是卫星上，通常就会留出大概百分之百的裕度，这就是说用大一倍的力去推动它。这样做的好处是，即使发生意外，也有很大的机会能够打开太阳能帆板。

那还有一个问题，为什么这个力是大一倍，而不是两倍和三倍呢？

因为在真实的情况下，摩擦阻力是有一个概率范围的。如果这里可靠性的要求是99%，那么裕度的设置只要刚好能够覆盖到这99%的可能性，就足够了。

如果把裕度设置得太高，在工程上是没有必要的，而且还会出现能耗增加等等很多问题。

当然，我们上面说的是理论原因。在实际的操作中，这一类的参数一般都要靠查技术标准来确定。比如刚刚所说的驱动力裕度，就可以查中国、美国或者欧洲的军用标准。

而这恰恰也是可靠性科学的一个非常重要的特点。这个领域里有大量的技术手册和标准，用来指导具体的操作。你可能很难想到，卫星上一个教你如何焊接电路板的技术手册，都有可能有上千页厚。

而很多时候，这些浩如烟海的技术资料积累，才体现了一个国家的工程技术发展水平。

除了裕度设计，还有一种常用的方法，叫作降额设计。

也就是说，降低一定的额度来使用器件的意思。

这就像是跑马拉松，你明明可以跑全程，但是为了让自己避免受伤，就只跑了半程一样。

我们再举个例子，一般对于芯片而言，运行的速度越快，温度也就越高。而芯片的温度每升高10度，故障的概率就会增加一倍。

我想大家应该都遇到过手机过热最终死机的情况，所以适当降低芯片的运行速度，可以起到延长芯片寿命的效果。

降额和裕度设计，是两种非常典型的方法，经常用来提高卫星器件层面的可靠性。

3.系统可靠性如何提高？

但是光提高元器件的可靠性还不够，因为卫星是一个复杂的系统工程，它会面临在可靠性领域的一个复杂性难题。

关于这个难题，我给你简单地定量阐释一下。

我们假设一个卫星由一万个零件组成，可靠度的要求是在一年之内有90%的概率不出问题。而这一万个零件之间是串联的关系。

在这种情况下，我们通过简单的概率相乘的关系，就能够得出每个器件的可靠性至少应该达到99.999%。

而大型卫星的设计寿命一般在10-15年，零件的数量也可以达到10万这个量级。

在这种情况下，对每个器件的可靠性要求就更高了。

在现实中，如果动不动就要求每个器件的可靠性在十几年之内都有好几个九，那是很难做到的。

那有没有什么办法能够确保这么复杂的系统，能够按照预定的目标正常工作很长时间呢？

这就需要系统层面的可靠性优化设计。

这里面一个最常见的方法就是冗余，简单来说就是多带几套。

比如说一些关键的环节如果可靠性不够，就可以考虑增加冗余备份。

我国的东方红四号卫星平台就广泛采用了这种冗余设计，其中大量的元器件都采用了三套备份的方式。

冗余的设计方法还曾经多次挽救过卫星的生命。

1991年的2月，我国的风云一号B星就因为受到太空辐射，卫星上的主计算机不能正常工作。整个卫星突然失控，在天上翻滚。

但是所幸，由于备用计算机的存在，卫星依然能够进行基本的运算和控制。经过一段时间的远程抢救，最终还是基本恢复了工作。

不过你需要注意的是，冗余设计是一种代价很高的设计方法，并不是哪儿都可以用的。

它有一个底层次优先的原则，从低到高分别是元器件、模块、组件，直到最高的分系统四层。在越低的层次使用冗余设计，所付出的代价就越小，而且设计也越简单。

除了冗余设计之外，卫星中更常用到的是一种面向整个系统的方法，或者说是一种自顶向下的分析系统可靠性的方法。

这类方法里面的大部分，你听起来可能都非常陌生，比如说像是可靠性分配、概率风险评价（PRA）、时间序列图（ESD）等等。

别紧张，你不需要记住这些名字。你需要了解的是，所有这些系统层面的可靠性设计，都是通过图形化和定量的方法，把系统看成一个整体进行可靠性优化。或者换句话说，就是进行一种量化的妥协。

在没办法让所有器件都非常可靠的情况下，这种方法可以协调可接受的风险范围，从而让系统的整体可靠性达到要求。

比如说在刚刚的可靠性分配里面，我们通常首先会搭建一个整个系统的模型。

在这个模型中，复杂度高的单元，我们就允许它可靠性低一点。工作环境恶劣和一直工作的零部件，我们也允许它的可靠性可以低一点。

而相反，对于那些工作条件好、复杂度低的器件，我们就必须严格要求。这样的话，总体的可靠性依旧还是可以保持在一个比较好的水平。

在真实的工程里，我们正是通过这种自顶向下的分析工具，帮助卫星获得了更高的整体可靠性。

本讲总结

总结一下这一讲：

第一，卫星作为一个复杂系统，而且不能维修，可靠性是一个非常重要的问题。

第二，通过裕度和降额这样器件级别的优化方法，可以提高单个器件的可靠性。

第三，通过系统级别的可靠性优化设计，可以在有限的条件下降低整体的风险。

思考题：

最后，我给你留了一道思考题：局部和系统性的方法都可以用来应对风险，在你的工作经验中，有没有什么有效应对风险的方法呢？请在留言区，写下你的思考。

不过更有趣的是，虽然刚才我们说了这么多提高可靠性的技术，卫星领域却正在出现一个新的趋势，让设备朝着可靠性提高相反的方向发展。

这又是怎么回事呢？下一讲，我们来具体说说。

网友互动

????万里通达的铁路，是由一段段铁轨连接起来的，铁轨与铁轨之间因为考虑到冷缩热涨的钢铁的应力，都留有一定的缝隙，这个缝隙就是确保铁轨不会因应力隆起，保证铁路行车安全。

????一部机床，由几十或上百的零部件组装，像是起传动作用的齿轮与齿轮之间，齿轮与齿条之间，用来装卡刀具的主轴与主轴箱之间都设计有装配公差，这个公差的范围保证着机床运转和加工的精密性。组装的前期，每一个零部件本身的加工，也都必须保证其尺寸在严格的公差要求范围内。

每一个零部件加工以及装配的可靠性保证着一部机床的加工精度。

????虹吸原理的应用，利用液面高度差的作用力现象，将液体充满一根倒U形的管状结构内后，将开口高的一端置于装满液体的容器中，容器内的液体会持续通过虹吸管向更低的位置流出。这个应用中，预先充满在管内的液体，可以看做是裕度设计。

????生活中，汽车后面的备胎就是防止车轮胎在行程中爆胎的冗余设计。

~~~~~~~~~~~~~~~~~~~~

~~~~~~~~~~~~~~~~~~~~~·

两个概念应对风险#RAMS#，#FMECA#

RAMS是可靠性（Reliability）、可用性（Availability）、可维修性（Maintainability）和安全性（Safety）这四个英文字母的首字母的缩写。RAMS是从产品的可行性开始到产品报废的整个周期过程中，所要贯彻执行的手段和方法，同时，通过收集大量可靠数据，并利用某些工具，从理论上将过去存在的问题逐个改善和解决。这样产品的可靠性会增加，LCC费用会降低，企业整个管理成本会降低，效益将增加；（LCC：产品生命周期成本，即产品从设计到报废的整个生命周期过程中所产生的成本费用）

FMECA是针对产品所有可能的故障，并根据对故障模式的分析，确定每种故障模式对产品工作的影响，找出单点故障，并按故障模式的严重度及其发生概率确定其危害性。所谓单点故障指的是引起产品故障的，且没有冗余或替代的工作程序作为补救的局部故障。

~~~~~~~~~~~~~~~~~~~~

~~~~~~~~~~~~~~~~~~~~~·

这里有一个问题，请问所谓远程维修是如何实现的呢？很多航天器是不是一旦出现一个故障就几乎接近死寂了，因为无法修理，不过有一个有趣的案例是前几年的一台登月车，为什么他在长期的死寂后可以醒过来？

~~~~~~~~~~~~~~~~~~~~

~~~~~~~~~~~~~~~~~~~~~·

我自己目前所在的是环保行业，主要从事工业废水处理领域的业务。在我的工作中，最大的风险就是来源于用户信息的不确定性，比如说，很多时候，用户提供的初始数据往往都不太准确，需要随着项目的深入，由我们的技术人员不断挖掘出准确的信息。而且，一般国内的工业企业用户，对于环保项目的实施周期要求也会很高。信息的不确定+时间紧张，这就给最初的方案设计带来了很大的风险。针对这一类风险，我们通常会采取两种做法：第一，对于关键的控制指标，在设计阶段就设置一定的裕度。比如说对于核心的水处理单元，我们会考虑将容量适当提高一些比例，以满足能覆盖更大范围的工况。第二，考虑一些紧急的突发情况，我们会预留备选方案，也就是Plan B。因为这类方案只是应对极少数的极端情况，所以我们在设计的时候也会更多的考虑操作的简便和成本的节约，也更能够得到用户的认可。总之，无论任何行业，风险都是无处不在的；不过，只有我们发挥自身的聪明才智，就一定能够想出有针对性的措施，将风险控制在可接受的范围之内。

~~~~~~~~~~~~~~~~~~~~

~~~~~~~~~~~~~~~~~~~~~·

减少局部的风险，也就是说从基础单元做起，控制风险是我们常做的方法，而从整体考虑自顶向下的控制风险，好像还没有运用过。

~~~~~~~~~~~~~~~~~~~~

~~~~~~~~~~~~~~~~~~~~~·

在交通设施建设行业，建设单位为了控制成本和提升效益，一般不会强化设计，能满足使用功能并留有一定的冗余度就行。

而接管单位为了后期运行故障少，免去大量的维修，会在接收前突击要求增加额外的设计来提升使用质量、使用功能。