Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO 28701:2021 航天系统 — 安全原则与要求
航天系统全生命周期安全原则、要求和风险管理框架
范围与基础安全原则
ISO 28701:2021为所有航天系统——包括运载火箭、航天器、有效载荷以及配套地面设备——在其整个生命周期内提供了全面的安全框架。该标准认识到航天运行面临着独特的安全挑战：发射和轨道飞行的极端物理环境、许多失效模式的不可逆性，以及可能对地面人员和轨道资产造成灾难性后果的潜在风险。三大基础原则贯穿标准始终：人身安全的绝对优先权、系统的危险源识别与控制，以及通过多重独立安全屏障实现纵深防御。
纵深防御原则要求任何单一故障——无论是硬件、软件还是人为失误——都不得导致灾难性事件。这意味着每个关键危险必须由至少两个独立且可验证的安全屏障来控制。
ISO 28701定义的安全生命周期涵盖七个阶段：概念研究、初步设计、详细设计、制造与集成、试验与验证、发射与运行、以及处置。在每个阶段，要求进行正式的安全评审并设置关卡批准。标准强调安全工程不能追溯性地应用——必须从最早的概念阶段就加以整合。在概念设计阶段启动的危险分析为系统安全态势提供架构性决策依据。
危险分析与风险评估方法
ISO 28701要求采用多种互补技术进行结构化的危险分析。初步危险分析在概念设计阶段识别顶层危险。随着设计细节的成熟，分系统危险分析和系统危险分析逐步完善危险清单。标准要求按严重度对危险进行分类——从可忽略的（无伤害，轻微系统损坏）到灾难性的（生命损失，任务损失）。概率类别从极不可能到频繁不等，严重度和概率的组合通过既定的风险矩阵确定风险可接受性。
| 严重度类别 | 定义 | 示例 | 最大可接受概率 |
|---|---|---|---|
| 灾难性 | 生命损失，永久残疾，系统损失 | 运载火箭爆炸，乘员舱失压 | 极不可能（≤ 每次飞行10⁻⁷） |
| 严重性 | 重伤，主要系统损坏，环境危害 | 有毒推进剂泄漏，降落伞展开失败 | 不可能（≤ 每次飞行10⁻⁵） |
| 临界性 | 轻伤，中等系统损坏 | 通信链路中断，小型电气火灾可控 | 很少发生（≤ 每次飞行10⁻³） |
| 可忽略 | 无伤害，最小系统影响 | 单传感器异常，非关键软件故障 | 频繁（可接受，需监控） |
采用ISO 28701原则的现代运载火箭在载人任务中实现了低于五百分之一的灾难性故障概率，相较于未在系统安全框架下设计的无人运载器，提高了两个数量级。
全生命周期安全要求
标准按工程领域建立了详细的安全要求。结构安全要求在所有载荷工况下保持正安全裕度，包括1.25的极限安全系数。推进系统安全涉及压力容器防爆保护、推进剂泄漏检测和推力终止能力。电气安全涵盖容错配电、搭接与接地以及部分真空环境下的电弧防护。软件安全要求尤为严格，要求开发保证等级与危险严重度相匹配，并要求安全关键功能经核证符合DO-178C或等效指南。
航天系统异常调查中反复出现的发现是冗余安全关键功能之间的隔离不充分。ISO 28701要求物理和功能分离并经验证独立——单次事件（如微陨石撞击、火灾、电气故障）造成的共因故障不得击穿所有冗余通道。
靶场安全要求涉及发射操作的独特危险，包括在命令发出后250毫秒内摧毁故障运载火箭的飞行终止系统。轨道安全要求涵盖碰撞规避、按照ISO 24113空间碎片减缓指南在25年内进行任务末段处置，以及储存能源（电池、压力容器、飞轮）的钝化以防止任务后碎裂。
推进剂系统操作代表了航天系统中的最高残余风险。ISO 28701要求所有推进剂处理操作在经批准的程序下进行，并实时监控温度、压力和泄漏检测。自燃推进剂转移操作要求具备完整的远程操作能力和防爆屏障。
安全验证与认证
ISO 28701要求综合运用分析、检验和试验相结合的安全验证计划。验证方法包括演示、试验、分析和检查。安全验证矩阵必须将每个危险控制措施追溯至其验证方法并表明闭环。在每个主要项目节点提交安全数据包，记录所有危险分析、风险评估、验证结果和未解决风险。对于载人任务和高价值机器人任务，建议由独立的第三方进行安全评估。
常见问题
问：ISO 28701与ECSS和NASA-STD-8719等其他航天安全标准的关系如何？
答：ISO 28701作为总体框架，协调了ECSS-Q-ST-40、NASA-STD-8719和MIL-STD-882中的概念，为跨国航天项目和商业发射服务提供国际认可的要求。
答：ISO 28701作为总体框架，协调了ECSS-Q-ST-40、NASA-STD-8719和MIL-STD-882中的概念，为跨国航天项目和商业发射服务提供国际认可的要求。
问：ISO 28701是否适用于小卫星和立方星？
答：适用，但应用严格程度应与风险成比例。小卫星开发者至少应实施危险分析框架，对于携带危险材料或具有显著轨道碎片风险的卫星，应完整应用标准要求。
答：适用，但应用严格程度应与风险成比例。小卫星开发者至少应实施危险分析框架，对于携带危险材料或具有显著轨道碎片风险的卫星，应完整应用标准要求。
问：安全评审中发现的最常见不合规问题是什么？
答：冗余安全功能之间的独立性不完整或验证不充分。隔离要求常因共享电源、共同结构连接或软件在同一处理器上运行且分区不充分而受到损害。
答：冗余安全功能之间的独立性不完整或验证不充分。隔离要求常因共享电源、共同结构连接或软件在同一处理器上运行且分区不充分而受到损害。
问：航天项目中首次安全评审应在何时进行？
答：初步安全评审应在A阶段（概念设计）结束前进行，通常为项目启动后3-6个月。将安全评审推迟到详细设计阶段，往往因安全要求迫使架构变更而需要昂贵的返工。
答：初步安全评审应在A阶段（概念设计）结束前进行，通常为项目启动后3-6个月。将安全评审推迟到详细设计阶段，往往因安全要求迫使架构变更而需要昂贵的返工。
