运载火箭为什么配备自毁系统？

在大众认知中，火箭的所有设计都是为了飞向太空、精准入轨、平稳回收。但很少有人了解，每一枚运载火箭出厂必装、且100%强制检定的一套系统，用途只有一个：在必要时刻，主动炸毁自己。这套设备就是火箭自毁系统，专业名称为飞行终止系统（FTS）。

它不是故障冗余，不是备选功能，而是航天发射安全体系的最后一道底线。火箭动力系统、控制系统、气动结构都是为“成功飞天”服务，唯独自毁系统，专为“控制失败风险、保护地面人员设施”而生。

一、自毁系统的定位

航天发射全程存在不可控工况：姿态失稳、弹道偏移、发动机故障、动力异常。一旦火箭脱离预定弹道，无法受控修正，就会偏离落区、朝向人口区、建筑群坠落，造成地面重大安全事故。自毁系统的核心价值，就是主动终结失控飞行、限定故障影响范围、杜绝地面次生灾难。所有现役运载火箭，无论长征系列还是商业可回收火箭，均标配双重安全体制：箭上自主自毁 + 地面遥控炸毁，全程无死角兜底。

二、两套独立安全体制

火箭自毁并非单一触发模式，依靠两套完全独立、互不干扰的系统协同工作，满足航天最高等级冗余设计要求。

1. 箭上自主自毁系统

整套系统集成测量传感、故障解算单元、起爆执行机构，全程自主运行，无需地面干预。飞行过程中，系统实时比对姿态角、角速度、飞行高度、弹道轨迹、速度参数。当火箭出现姿态翻滚、持续偏航、弹道超差，且超出伺服控制、气动纠偏的修正极限时，箭载计算机自动判定飞行失效，直接触发自毁程序。整个判断与执行过程完全自主，响应速度达到毫秒级，杜绝人工操作延迟风险，应对突发失控故障。

2. 地面无线电遥控安全系统

地面测控雷达全程实时跟踪火箭轨迹，持续比对预设安全走廊。一旦火箭飞出允许空域、航向指向危险区域，或地面监测到箭上无法识别的隐性故障，地面安全指挥员可人工下发炸毁指令。指令通过专用加密信道传输，箭上接收机解码识别后，启动起爆机构，完成空中终止飞行。两套系统相互独立、互为备份。箭上系统应对突发自主失控，地面系统兜底预判风险，确保任何故障场景都能可靠触发终止。

三、自毁的两种工程模式

航天自毁不是无差别爆破，根据火箭类型、燃料属性、飞行工况，分为两种精准可控的终止方式，兼顾安全性与环保性。

1. 爆破式终止

通过箭体预置的聚能切割索、爆炸装置，精准切开燃料贮箱、氧化剂贮箱。让剩余燃料在空中快速混合、弥散、燃烧消耗，彻底摧毁箭体结构与飞行能力。核心目的不是炸碎残骸，而是杜绝完整箭体带动力坠落地面。

2. 关机式终止

新一代液体运载火箭具备独立动力切断机制。故障判定后优先关闭所有发动机推力，终止动力飞行，让箭体沿惯性弹道坠入预设无人落区。仅在姿态完全失控、无法预判落点的极端工况下，才启动爆破程序。这种模式最大程度降低残骸散落范围，适配高频次、商业化发射场景。

四、触发自毁的严格判定条件

航天自毁拥有严苛的判定阈值，不会因小幅波动、正常震荡随意触发，仅在三类致命故障下启动。

1. 姿态彻底失稳

火箭俯仰、偏航、滚转角度超出设计阈值，伺服系统、气动舵面完全无法纠偏，箭体持续翻滚、姿态彻底发散，飞行状态不可控。

2. 弹道严重超差

飞行轨迹偏离预设安全走廊，落点脱离预定落区，存在坠入居民区、城市、设施区的明确风险。

3. 动力系统致命故障

发动机关机异常、推力骤降、持续偏推力，导致火箭无法维持飞行姿态，无法完成轨道机动，任务彻底失效且存在安全隐患。正常飞行扰动、Max Q区间气动震颤、小幅轨迹偏差，都在控制系统修正范围内，绝对不会触发自毁。

五、自毁系统的极致可靠性设计

作为航天最高优先级安全系统，FTS拥有远超火箭其他设备的可靠性标准。整套系统全程多级机械保险+电气保险，地面测试、塔架待发、初始爬升阶段逐级解锁，杜绝误触发、误起爆。

飞行全程独立供电、独立传感、独立解算，不依赖动力系统、惯导系统、伺服系统的工作状态。哪怕火箭主控制系统全部失效，自毁系统依旧独立正常工作。同时所有触发逻辑、起爆时序、信道加密，经过上万次地面试验与飞行验证，实现“不误爆、不漏爆、该爆必爆”的工程指标。

六、自毁与复用的平衡设计

很多人存在疑问：可回收火箭如果触发自毁，是否直接报废、无法复用？

新一代可回收火箭的安全逻辑已经迭代升级：

故障轻微、可控的工况，优先关机、迫降、终止任务，保留箭体结构完整性；

只有危及地面安全的极端失控，才会启动完全终止程序。

这套逻辑既守住地面安全底线，又最大限度保护航天资产，适配商业火箭重复使用、低成本发射的发展需求。