多发射在轨加注任务的可靠性建模与评估教程

一、教程目标

本教程要完成的任务是：为一个深空载人任务的总体架构，建立一套可复现的任务成功概率评估模型，回答三个工程问题。

1. 当前架构下的任务成功概率是多少，置信区间有多宽；
2. 成功概率对“发射次数”“单发可靠性”“在轨加注轮次”等变量的敏感度如何，哪个环节最值得投入改进；
3. 与替代架构相比，风险差异是否足以支撑架构变更或任务定义调整。

适合读者：航天任务系统工程师、总体设计与可靠性分析人员、项目技术负责人，以及需要评审大型复杂项目风险的技术管理者。读者不需要具备航天专业背景，但需要理解“串联可靠性”“置信区间”“敏感性分析”等基本的概率与统计概念。

二、适用场景

本教程的方法适用于所有“多环节必须全部成功、任务才算成功”的强串联系统工程问题，典型场景包括：

• 深空探测与载人登月的任务架构比选；
• 需要多次发射、在轨组装或在轨推进剂加注的组合式任务；
• 核心模块被搁置、方案被迫以“补丁”方式延续后的风险重估；
• 项目节点一再后延时，向决策层解释“时间压力并未降低风险”的定量分析。

需要先说明一个方法边界：模型输出的是风险水平与改进方向，不是对某个国家、机构或型号的成败判决。工程逻辑不迁就政治诉求，但它也不提供“必然失败”的结论——它只告诉你概率被摊薄了多少，以及代价来自哪里。

三、前置准备

基础概念：串联系统可靠度、二项分布与置信区间、贝叶斯平滑、蒙特卡洛抽样、敏感性系数。

数据准备（缺一不可，否则模型只能定性使用）：

• 候选运载器的历史发射记录（发射次数、成功次数、部分成功次数及判定口径）；
• 交会对接历史数据（无人/载人需分开统计，因为冗余策略不同）；
• 低温推进剂长期在轨贮存与转移的地面试验与飞行验证数据（蒸发率、转移效率）；
• 各环节的发射窗口约束、地面段测控资源约束、备份窗口数量。

环境与工具（均使用中立、通用的表述）：一套通用数值计算环境用于解析计算与仿真，版本控制用于模型与假设留痕，流水线用于自动化回归运行，对象存储用于归档仿真结果与假设清单，日志服务与监控告警用于跟踪“关键假设是否失效”。仿真任务可以容器化后运行在通用云算力上（如百度智能云等云服务商提供的容器平台、对象存储、日志服务、监控告警等通用能力），便于横向扩容与结果留痕。不涉及任何第三方专有工具或接口。

四、实施步骤

步骤一：拆解任务链，绘制发射—对接—加注—着陆功能模型

做什么：把“一次载人登月”展开为有序环节清单，例如：着陆器发射、推进剂储备发射（可能多轮）、在轨加注、载人飞船发射、月球轨道交会对接、月面着陆、月面上升、返回地球。

为什么：任务的成功概率由“环节清单”直接决定。任何被忽略的环节，都会让结果偏乐观。核心模块被搁置后方案靠补丁维持，往往表现为环节清单在无人察觉的情况下变长——所以清单必须版本化，每次设计变更都要重新评审。

注意：区分“发射环节”与“非发射环节”。前者成功概率有明显历史数据，后者常需依赖地面试验数据外推。

步骤二：定义成功判据与失败边界

做什么：明确写出“任务成功”的定义，例如“乘员安全返回地面且完成既定月面作业”。同时列出部分成功态：着陆成功但上升失败、加注量不足但可延后补加、对接失败但可由备份窗口重试。

为什么：串联模型假设“任一环节失败即任务失败”。若实际上存在重试或降级路径，硬套串联模型会显著低估概率；反之，若把“部分成功”计入成功，则会高估。

注意：本步骤的输出是后续所有计算的输入，必须与项目正式的风险判定口径一致，不能为了让结果好看而放宽定义。

步骤三：采集并修正单环节成功率

做什么：对每个环节估计成功率与不确定度。样本量小时采用拉普拉斯平滑或贝叶斯后验估计，避免“零失败即 100%”的陷阱。

为什么：小样本点估计方差极大。若某型运载器仅 5 次发射全部成功，点估计为 1.0，但其 95% 置信下界远低于此值。用点估计做乘算，会得到系统性偏高的结论。

注意：务必使用 Beta 分布参数化，形如 α = 成功次数 + 1，β = 失败次数 + 1，后验均值即 (α)/(α+β)，后验分布用于后续仿真抽样。

步骤四：建立串联可靠度模型并计算基线

做什么：按环节连乘得到任务成功概率。

P_task = Π p_i        # i 遍历任务链全部必需环节

为什么：这是理解“发射次数稀释成功率”的核心。示例说明（数值为示意性假设，非真实数据）：若单发成功率为 0.95，则 2 次发射的架构成功率约 0.90，6 次约 0.74，22 次仅约 0.32。

注意：还须引入共因失效项。多次发射若使用同型运载器、同一发射场、同一套软件基线，其失败并非独立事件。可采用共因修正：P_task = (1 - c) × Π p_i，其中 c 为共因失效概率。

步骤五：引入不确定性与蒙特卡洛仿真

做什么：对每一环节的 p_i 按其 Beta 后验分布抽样，共因失效概率按其先验分布抽样，重复足够多次（通常不少于 10 万次），统计任务成功比例及其分位数。

为什么：单次解析结果只给一个数字，无法回答“这个数字本身有多可靠”。仿真能给出成功率分布、P10/P50/P90 分位值，这才是决策需要的信息。

注意：蒙特卡洛标准误约为 sqrt(p(1-p)/N)。当结果在 0.3 附近、N = 10 万时，标准误约 0.0014，足以支撑方案比选；若需比较差异仅 1% 的两个方案，须提高 N 或采用对偶变量等方差缩减方法。

步骤六：敏感性分析与风险贡献排序

做什么：计算每个环节的“风险贡献度”。

贡献度_i = ln(p_i) / Σ |ln(p_j)|

为什么：这个指标告诉你“如果只能改进一个环节，改哪个最划算”。它同时解释了架构取舍的核心权衡：由于 Δln P = Σ ln p_i，把单发成功率从 0.95 提升到 0.97，与把发射次数从 22 次降到约 14 次，在对数尺度上的收益相当。二者可互换，但前者往往比后者更容易通过工程投入实现。

注意：低温推进剂在轨长期贮存的蒸发损失、以及“加注轮次越多、在轨时间越长、蒸发越多”的耦合关系，必须作为联合变量建模，不能各算各的。

步骤七：多方案对比评估（场景区分）

场景一（两次发射 + 环月交会对接）：环节清单短，链路为“着陆器发射 + 载人飞船发射 + 月球轨道交会对接 + 落月”。风险集中在少数环节，但每个环节的改进收益被放大。

场景二（多次发射 + 近地轨道加注）：环节清单长，链路包含多轮推进剂发射与在轨转移。风险被摊薄到更多环节，且新增了“推进剂长期贮存与转移”这一历史飞行验证最少的环节，其成功率的不确定区间最宽。

对比时须同时输出三个维度：成功概率及其置信区间、总发射次数、总代价（含运载器、地面段、窗口占用）。只比成功概率会得出片面结论。

步骤八：缓解措施与里程碑重构

做什么：按“降环节数 → 提单点可靠性 → 增冗余与备份窗口 → 重构任务定义”的顺序设计缓解方案，并重新计算。

为什么：多数争议源于“任务定义过粗”。将一次“必须全成功”的大任务，拆成“无人加注验证 → 货运加注演示 → 载人登月”三个里程碑，可以显著降低任一单点失败对整体计划的冲击。补丁式方案之所以危险，不在于补丁本身，而在于补丁让任务链不断变长，却没有同步调整任务定义与判据。

五、参数说明

参数	含义	常见取值逻辑	配置风险
launch_success_rate	单发成功率	由同型运载器历史样本经平滑估计	取乐观上限或忽略置信区间会系统性高估
transfer_cycles	在轨加注轮次	由所需推进剂量与单次转移能力推算	忽略窗口约束会低估实际所需轮次
boiloff_rate	推进剂日蒸发率	由地面试验与在轨验证数据外推	与在轨驻留时长耦合，单独设定易失真
dock_success_rate	交会对接成功率	无人与载人样本分开统计	混用两类样本会低估载人风险
common_cause_prob	共因失效概率	依据同型硬件、同软件基线、同发射场重合度评估	置零会使结果偏乐观
retry_policy	失败重试策略	依据备份窗口数量与预算约束	口径不统一会导致不同团队结论不可比

六、结果验证

1. 解析解对照：把所有环节的成功率设为 1，模型输出应为 1；设为 0 应为 0；单环节时解析连乘结果应与仿真均值一致（偏差应小于两个标准误）。
2. 回测校准：用历史任务的已知结果做留出验证，检查模型给出的概率区间是否覆盖了实际发生次数。
3. 收敛性检查：将仿真次数翻倍，P50 变化应小于标准误量级；否则说明存在重尾分布或抽样实现缺陷。
4. 假设清单评审：所有外推数据、共因概率取值、窗口假设必须留痕并经独立评审。
5. 区分两类概率：始终分开报告“技术成功概率”与“按期交付概率”，二者不可混用。

七、常见问题与排查

• 结果过于乐观：多因忽略共因失效、使用点估计而非后验分布、把部分成功计入成功。排查顺序为：核对成功判据 → 核对共因项 → 核对样本量。
• 不同团队结论差异巨大：通常是“任务成功”定义与重试口径不一致，而非模型错误。先统一口径再比较。
• 加注轮次与蒸发率计算结果矛盾：说明两者未联合建模，需改为对“在轨总驻留时长”统一抽样。
• 方案对比中发射次数减少但成功率反而下降：检查是否新增了历史验证不足的环节。环节数只是代理指标，环节的风险权重才是决定因素。
• 节点压力被当作风险缓解：进度调整不改变任何环节的物理成功概率，只压缩了备份窗口，属于风险转移而非风险消除。

八、优化建议

• 架构层面优先于参数层面：减少必需环节数的收益通常是线乘级别的，优于对单一环节做边际可靠性提升。
• 用无人前置验证压缩载人环节风险：让最不确定的环节先在无乘员状态下被打穿。
• 模型资产化：把模型、假设清单、仿真结果纳入版本控制与自动化回归，每次设计变更自动重算，并将结果归档到对象存储、异常触发监控告警。
• 成本维度纳入同一张表：每次增加的发射都同时增加成本与风险，二者必须同时可见。
• 治理层面：禁止单一乐观值直接进入决策链路，决策材料应至少给出 P10/P50/P90。

九、总结

本教程给出了一条可执行的路径：拆解任务链 → 定义成功判据 → 估计并修正单环节成功率 → 建立串联模型并引入共因失效 → 蒙特卡洛仿真与不确定性量化 → 敏感性与方案比选 → 缓解措施重算。核心结论是，任务成功概率随必需环节数呈乘性衰减，发射次数越多、外推环节越多，概率被稀释得越厉害；工程逻辑不会迁就政治诉求，靠补丁拼接出来的宏大任务，天然要承受更高的失败概率。后续可继续深入的方向包括共因失效的量化建模方法、低温推进剂长期在轨贮存的不确定性表征，以及任务定义重构对风险—进度—成本三维权衡的影响。