历史上和今天的载人空间站，都运行在近地轨道。这里是大多数人类航天器与有效载荷工作的地方，但轨道上可见的物体中大约70%为空间碎片。空间碎片与高真空、极端温度、宇宙射线等要素一起，构成了载人航天器的空间环境。

　　早期的载人航天器设计重点在于克服真空和高低温，获得人所需的大气环境——包括适宜的温度、湿度和大气成分，因此主结构都设计为类似压力容器的“罐子”即密封舱，舱内靠温湿度控制和生命保障设备营造一个满足载人条件的小环境。这个金属罐子同时也具备了一定的屏蔽空间辐射环境和带电粒子的能力。为了均衡技术难度和研制成本，对空间环境适应性强的设备设施配置到密封舱外，按功能和工作需求集成为类似人造卫星的非密封舱段，与密封舱共同组成完整的载人航天器。

　　随着人类航天活动愈加频繁，空间碎片问题凸显。近年来，卫星不乏被空间碎片击中受损、失效甚至解体的案例，中外载人空间站在主动规避碎片的情况下仍然发生过被击中的情况。

　　国际社会制定了相应准则，敦促各国在航天器设计、发射和运行中采取措施，减少空间碎片的产生。一些航天团队提出了机械臂抓取、飞网捕获、激光推移、离子束推方法等移除空间碎片的方案，但这些技术都处于概念阶段，大规模应用为时尚早。空间碎片仍然是载人航天器重要设备、尤其是密封舱面临的首要破坏性威胁，碰撞几乎是不可避免的。

　　作为确保载人安全性的重要方面，空间站针对空间碎片威胁进行了专门设计。这些设计覆盖材料、部件、系统和任务层面，承载了航天器与空间环境相互作用的载人航天工程系统理念。这些设计为空间站提供了有效应对碎片的盾牌与法则，并将进一步挖掘空间站主动作为、降低碎片撞击风险的潜力。

　　击水中流不畏其险，因为我们不仅有探索宇宙的勇气，更有追寻、掌握与应用空间规律的智慧。

　　地球不同轨道上的空间碎片态势（图源：Pablo Carlos Budassi/）

　　人类早期太空活动需要提防的撞击，主要来自宇宙天体自然形成的微小流星。对于广阔的地球轨道空间而言，流星体的数量密度并不大而当时的航天器数量极少，流星体击中在轨运行航天器的可能性很小。而且，绝大多数流星体都是迅疾地“擦肩而过”，极少会有被地球引力俘获而长时间停留在地球轨道上的情况。因此，航天器被天然流星体击中的概率基本可忽略。

　　今天，对航天器形成撞击威胁的主要是人造天体形成的空间碎片。有资料表明，随着人造物体入轨数量的增加以及碎片自身解体与相互碰撞破碎，地球轨道上人类制造的空间碎片从1960年代末的数百片已经激增到目前的上亿个。根据欧洲航天局空间碎片办公室（ESAs Space Debris Office）2023年提供的估算数据，地球轨道上尺寸在10cm以上空间碎片约有36500个,1～10cm之间的约100万个,1mm～1cm之间的约1.3亿个。在讨论碰撞及其影响时，微流星和轨道碎片（micro-meteoroid & orbital debris/MMOD)可以被归为一类，统称为空间碎片。

　　北美防空司令部(NORAD)自1957年苏联发射第一颗人造卫星普特尼克一号（Sputnik 1）起开始对空间目标进行编号和跟踪。ESA所属空间碎片办公室（Space Debris Office）公开的资料表明，2021年美国空间监视网（Space Surveillance Networks）保持跟踪、编目的在轨碎片约28600个。

　　此外，卫星特别是微小卫星的增多和大型、巨型星座的建设运行，导致大量机动能力有限且相互之间完全“陌生”的卫星形成了又一类碰撞危险源，同样产生与“空间碎片”等效甚至更为严重的影响。

　　从来源上分，载人航天器在300~500km高度的运行轨道上面对的碎片威胁包括以下几类：

　　失效卫星、火箭末级和碰撞或爆炸形成的星箭残骸，是真正意义上的“碎片”。这类不受控的碎片形态各异、姿态紊乱，即使观测到了也很难、或者说不可能准确预测其飞行轨道，只能获得有一定偏差量的预估数值。

　　在300~500km高度，大气对航天器产生的阻力是可观的，例如空间站每隔2~3个月需要进行轨道维持机动，才能始终保持在一定高度。这些无控的碎片受大气阻力影响，轨道高度在整体趋势上会逐渐衰减。但也因如此，更高轨道的碎片也会逐渐降轨到造成更大威胁的高度层。

　　碎片还会因意外事件突然产生和增多，比如在轨卫星解体。最近的此类事件发生在今年6月26日，一颗已经退役的俄罗斯卫星在轨解体，地面观测到它突然产生了100多块碎片。国际空间站上的9名航天员按避险程序紧急撤离到飞船中躲避了约一个小时，碰撞警报解除后才回到空间站恢复正常起居和工作。

　　碎片撞击本身也是大量新碎片产生的原因。2009年2月，已退役报废14年的宇宙2251卫星和在役的铱星33相撞。这一世界上首起两颗在轨卫星发生碰撞的事件导致两颗卫星全毁，产生的新碎片超过2200枚。美国科学家唐纳德‧J‧凯斯勒（Donald J. Kessler）1978年提出的“凯斯勒效应”（Kessler Syndrome）即在轨物体碰撞引发的连锁效应成为现实，似乎已并不遥远。

　　宇宙2251卫星和铱星33撞击事件碎片分析效果图（图源：JagranJosh）

　　近年来微小卫星入轨数量激增，尤其是利用电推进作为动力的小卫星主动变轨、迅速机动的能力是非常有限的。有些试验性的立方星甚至完全没有变轨能力，在其短暂的试验周期结束后即形成无控的太空垃圾。

　　更重要的是，空间站和卫星之间、卫星与卫星之间，互相是不知晓对方的。而且这些航天器的控制权分属不同国家不同部门，待地面监控发现碰撞危险，还需通过各种协调手续甚至外交渠道，才能让各自的控制中心相互配合，制定协调的规避方案（比如双方都机动或一方动另一方不动）并实施避让。

　　天上卫星的运行不会等待地面漫长的协调过程。2019年，一颗法国卫星与一颗星链卫星有相撞风险，协调未果，法国卫星最终主动避让。也有协调成功的案例：2021年3 月 30 日，一颗星链卫星和 一颗OneWeb卫星运行接近，经两家公司协商达成一致，由OneWeb卫星实施机动，成功避让。

　　“新航天”催生了大规模卫星星座的部署，星座卫星数量从铱星的数十到OneWeb的数千、直至星链的数万。全球主要大型星座计划部署的卫星数量，甚至超过了目前的空间碎片编目数量。

　　由于操作失误，航天员将一些物品遗落在了太空中。1965年6月3日，美国第一次（也是世界第二次）出舱活动中，双子星4号航天员爱德华·怀特（Edward White）刚开舱门就掉落了一只备用手套。2008 年和2017年，国际空间站都有过航天员在舱外作业中遗失工具的情况。最近报道的一次发生在2023年11 月 2 日，NASA航天员茉莉・莫格贝利（Jasmin Moghbeli）和洛拉尔・奥哈拉（Loral O’Hara）在进行舱外维修时不慎让一个工具包漂到了太空中。

　　一些废弃设备被有意丢弃在轨道上。早期的太空飞行似乎没有环保概念，毕竟那时的太空是线号第3次出舱活动中，航天员都曾扔掉废弃设备。

　　随着航天活动的发展，出于技术难度考虑，一些空间活动产生的废弃物没有靠飞行器回收，而是受控丢弃。1979年8月15日，礼炮6号的苏联航天员弗拉基米尔·利亚霍夫（Vladimir Lyakhov）和瓦列里·柳明（Valeri Ryumin）的出舱任务是丢弃KRT-10射电望远镜蝶形天线号航天员列奥尼德·齐兹米（Leonid Kizim）和弗拉基米尔・索洛维约夫（Vladimir Solovyov）在更换了空间站太阳电池阵后，将新太阳阵的包装箱和旧太阳阵都扔到了轨道上，并专门选择释放方向以控制丢弃物的轨道，防止与空间站相撞。最近引起关注的在太空有意扔垃圾事件发生在2021年3月，国际空间站上2.9吨重的旧电池及其托盘被丢弃。这个庞然大物倒是没有伤害到在轨飞行器，但它再入大气层后残余的一枚重约1kg的金属块今年3月8日撞穿了美国佛罗里达州一所房子的屋顶和两层楼。

　　还有些特殊的人造物体被有意释放。2006年11月，俄罗斯航天员米哈伊尔•秋林（Mikhail Tyurin）为了执行俄罗斯航天局的广告项目，在国际空间站外打出一杆太空高尔夫球。这个特制的高尔夫球内部安装了定位系统以便地面观测跟踪，就像是一颗微型卫星。这是最简单的“环保措施”，即设法让人造天体“可见”，使其至少可被跟踪监视，而不是成为看不见的危险源。对1U立方星的使用限制和要求也是出于这种考虑。

　　2023年11月2日国际空间站出舱活动中掉落的工具包（图源：NASA/JSC）

　　2013年的好莱坞电影《地心引力》以空间碎片撞毁国际空间站的场景开头，去年上映的俄罗斯电影《挑战》也设置了航天员因空间碎片受伤、需要地面派医生上天的故事背景。

　　实际上，空间碎片袭击空间站造成的损伤已经真实发生在各国载人飞行任务中，其危险程度并不亚于文艺作品。

　　在星链这样的巨型星座部署之前，地面可观测编目的空间目标（绝大多数是空间碎片）有大约3/4分布在300km~1600km的轨道范围。300km以下大气阻力大，碎片会迅速坠落；1600km以上则即将进入并非卫星常用轨道的范艾伦辐射带（Van Allen radiation belts），自然也不会产生太多碎片。再高的碎片集中区就是半地球同步轨道的20000km和地球同步轨道的36000km附近了。

　　SpaceX星链的入轨方案是先用火箭将卫星送到300km附近高度轨道，完成测试、确认健康后再通过电推进抬升轨道，最终进入约550km的工作轨道。这样，那些未能通过测试、尤其是推进系统发生故障的卫星，很快就会因大气阻力造成轨道衰减，再入大气层烧毁。对所有太空探索者来说，失效卫星不会滞留太空成为空间碎片；而对太空探索者公司SpaceX而言，失效卫星的坠落为健康卫星腾出了宝贵的轨道资源，不影响组网。

　　空间站之所以选择350km~450km的轨道高度，是因为载人飞行要尽量避开南大西洋上空的辐射带，不宜过高；为方便地面测控和返回，又希望轨道具有一定的回归特性。这个高度正好位于碎片密集区间的下缘，虽然密度不是最大，但大部分自然衰减的碎片会经过空间站的工作区间，而星链卫星向上爬升也会穿过这一范围。因此，空间站面临的空间碎片环境是很复杂的。

　　空间站在体量规模上远大于一般卫星，表面积大，飞行时间长，被碎片撞击的概率也更大。

　　而且，大多数无人飞行器在任意方向投影面积上的关键设备/要害部位只是若干局部区域，而载人空间站的主体结构为密封舱，整个投影面积都是危险区，任何一个点的泄漏都将带来全局性的危险。加之密封舱被打穿这样的损伤很难修复，被迫放弃或隔离受损舱段的代价都是非常高昂的。因此，空间站密封舱在碎片撞击这类威胁面前呈现出特有的“脆弱性”。

　　卫星和无人飞行器若有故障或损伤，可以采取降级使用等方式继续任务。但对于空间站，一旦存在涉及航天员安全性的风险，后果是不可接受的，处置是不容权衡的。

　　特别是在出舱活动中，航天员的唯一保护手段即航天服，但资料显示速度10km/s、尺寸0.5mm的碎片即可穿透标准航天服。再加上泄复压安全性、太空辐射等对人体的影响，出舱活动虽然技术成熟，仍被各航天国家定义为高风险任务：高度关注空间碎片，且非必要不出舱。

　　自航天飞机时代始，空间碎片对载人飞行的影响直接可见。返回地面的航天飞机外表多有被碎片击中的痕迹。

　　挑战者号STS-7任务中舷窗被碎片击中（左）和奋进号STS-118中散热器被碎片击中（右）（图源：NASA）

　　近年来国际空间站公布了很多被碎片撞击的情况，从重要设备到载人飞船都有被击伤甚至打坏失效的情况。

　　2021年5月12日的例行检查中，加拿大2机械臂的臂杆被发现一处损伤。所幸空间碎片未击中要害，只是打穿了结构外壳，不影响机械臂性能。

　　停靠在国际空间站的两艘俄罗斯飞船疑似先后两次被碎片击中，直接导致整船重要功能性能损失，后果比机械臂严重得多。

　　2022年12月14日，联盟MS-22载人飞船热控流体回路泄漏，散热能力失效，飞船失去载人返回能力，后不得不发射一艘新飞船将航天员接回。俄罗斯航天局分析认为是碎片撞击导致，这一判断也得到NASA认可。2023年2月11日，进步MS-21货运飞船也被发现冷却剂泄漏。这次事件尚无明确证据表明是碎片撞击所致，但其发生时间距离联盟MS-22受损不到两个月且现象类似，新闻报道总是将两次事故联系在一起，不排除碎片嫌疑。

　　空间碎片撞击能量大，飞行器若硬抗需要非常“结实”的结构，代价不菲。而大多数空间碎片只要能够观测，其运行规律即可循。因此，空间站对碎片威胁采取躲防结合的对策：对可观测、跟踪并预报的碎片，尽可能提前变轨规避；同时加强自身防护措施，对不可观测的碎片具备一定的防护能力。

　　规避。以当前的技术能力，特征尺度≥10cm的碎片可以被地面观测、编目并预报飞行轨迹。结合空间站飞行轨道及轨控计划，可以提前预警碎片与空间站的交会风险。空间站变轨机动，躲开来袭碎片。

　　防护。空间站通过系统设计和防护结构的配置，能够抵御约1cm尺寸或更小碎片的直接撞击，不会产生灾难性后果。主要航天国家这方面能力相当。根据NASA标准，国际空间站的防护结构要求能够经受住1.3cm铝制球体以7km/s速度且垂直于表面的撞击。

　　应急。对于无法观测又防不住的碎片，空间站要有一系列的专门设计应对破坏性撞击，包括感知撞击、重点设备冗余和备份、系统降级进入安全模式、航天员参与定位密封舱漏点并堵漏、航天员紧急撤离和事后恢复受损设备、舱体等。

　　尺寸较大、可观测的碎片，大多外形不规则且姿态失控，对其进行轨道测定和外推存在较大误差，外推时间越长误差越大。进行碎片撞击预警时必须考虑这些误差因素，预判尽可能准确以免动辄虚警，还要尽可能早地得到足够精度的判定，给空间站执行变轨规避留足时间，因此判定方法需简单方便。工程上常用的方法有两种：

　　1）Box区域判定：碎片的测轨、定轨和轨道预报都存在误差，根据误差大小选择适当尺度的Box区域作为判定依据。具体地说，就是在空间站周围定义一大一小两个长方体空间，大的作为预警区域，小的作为规避区域。当预报结果表明碎片将进入预警区域时，发出警报，空间站进行变轨准备，地面密切跟踪该碎片并根据新测定的数据持续外推碎片轨道。后续预报如果表明碎片不再进入预警区域，则警报解除；若在预期交会时刻足够近（例如空间站实施一次变轨所需时间）时预报结果显示碎片仍将进入碰撞区域，则决策空间站变轨规避。

　　2）碰撞概率判定：将测、定轨和预报误差按概率定义，则可以得到碰撞发生概率。Box区域法只以交会距离作为判据，而碰撞概率分析包含了轨道相对关系、定位和预报误差模型的因素，对Box区域判断形成有益的补充。在选择适当概率阈值的情况下，可以进行综合判断。

　　特别注意的是，规避方案需要保证空间站实施轨道机动后，在新的轨道上也不会与其他碎片发生碰撞。因此在进行碰撞预警的同时要制定空间站变轨方案，并且要对轨控后的新轨道进行仿真，分析是否有其他碎片产生新的碰撞风险。如果有，则需调整变轨方案，直到选出短期内无碰撞风险的新轨道作为轨控目标。

　　国际空间站主动规避碎片是常规动作。根据2022年12月NASA空间碎片报告，国际空间站1999年以来实施了32次轨道机动，以避开卫星和可追踪的空间碎片。这一功能同时分解到了对保障飞行器的要求中，如欧洲货运飞船ATV的功能需求就包含对接上国际空间站后能为空间站规避碎片提供轨控推力。

　　有轨控能力的卫星也采取同样的措施。SpaceX今年7月1日向美国联邦通信委员会（FCC）提交的《半年度星座状态报告》显示，过去6个月内星链卫星进行了近50000次碰撞规避机动。规避次数多的原因一方面是星多、避让目标多，另一方面也是因为这段时间里SpaceX为提升安全系数，将规避机动阈值又降低了一个量级，即碰撞概率仅为百万分之一时就会避让。这个阈值比行业标准低了100倍，因此规避机动会更频繁。

　　以目前大多数国家对空间碎片的观测和跟踪能力，小于10cm尺度的碎片很难被有效观测、稳定跟踪，只能根据空间碎片环境模型进行估计和开展数值模拟。无法观测跟踪，也就无法对这些碎片可能造成的撞击进行预警，空间站要时刻准备着被这类碎片撞击。换言之，即使在观测-预警-规避都完美实施的最理想情况下，空间站也一定会被小于10cm尺度的空间碎片撞击。利用空间碎片环境模型，结合空间站的几何构型、飞行轨道及姿态、飞行时间等，可以对站上各部位遭受不同尺度碎片撞击的概率做出量化评估。

　　为应对不可避免的碰撞，空间站在设计时也需要通过多种方式对关键部位进行防护。保证人员安全总是第一位的，因此密封舱是最关键的保护区域，其次是关键设备如推进贮箱、管路、重要电子设备、主干电缆、电源驱动机构等。无论哪个部位被碎片击中，防护结构都应尽量减小撞击对空间站的损害。

　　长期飞行的载人航天器都在碎片防护上做了相应的设计和评估。为了在获得有效防护的同时尽可能减轻防护结构的重量，空间站专门设计了高效率的防护结构，结合飞行器需求优化防护结构并筛选了防护区域。

　　1947年，美国天体物理学家弗雷德·惠普尔（Fred Whipple）提出一种微流星防护结构，即在距离飞行器外壁1英寸的周围包上一层1mm厚的金属片作为“流星防护罩”（meteor bumper）。当流星体的尺寸与这层金属片厚度相当时，二者的高速相撞会产生爆炸效应，流星体和金属片的材料都会在极高温度下气化和电离。根据动量和能量守恒原理，此时耗散的能量将比流星体的穿透能量大数倍。

　　试验证明了Whipple的理论和设计。NASA试验表明，对于超高速的微流星和轨道碎片，多层的防护结构可以提供更高效的防护。下面第一张图是7km/s高速铝球对单层结构的撞击效果，穿透深度达到了球体直径的4倍。第二张图是Whipple类结构，多层结构能够以小于铝球直径的总厚度防住超高速撞击。航天器出于降低发射重量的需求，通常使用铝这类轻质材料制造结构，并且厚度不会很大。因此，材料利用效率极高的Whipple结构显然是非常适合用作防护层的。

　　采用Whipple结构并利用整流罩内空间尽可能将外层防护罩支高、远离舱体一定距离，是非常有效的碎片防护手段。当碎片打中防护罩产生爆炸效应后，碎片和被破坏的防护罩都碎裂为更细小的颗粒，伴随着熔化和气化形成微粒碎片云继续膨胀，并最终作用在航天器舱壁上。

　　从此，这类被定名为Whipple结构的防护结构以及源于此原理的各种优化和改良方案成为航天器青睐的高效防护装置。下图左为标准Whipple结构；中为高强度纤维填充式Whipple结构；右为适应充气式展开舱段的柔性多层结构。当然也有硬质的多层防护结构。

　　填充式Whipple结构是目前应用较为成熟的一类。它充分利用现代高强度纤维如陶瓷纤维布（Nextel）和高强度复合材料纤维布（Kevlar）的力学与结构特性，在重量、成本、制造难度和防护效果等方面的性能都比较均衡，易于工程实现。它的基本原理是，来袭物体撞击外层防护罩爆炸破碎形成的微粒碎片云受到填充层阻挡，Nextel陶瓷纤维布能够在高温下保持强度和韧性，进一步耗散碎片云团的能量，而Kevlar纤维布的比强度高于铝，可有效减缓碎片云速度。另外，这两种填充材料的纤维直径都很小，自身破碎后也小于均质金属产生的碎片。综合这些优势，该结构最终更有效地减小了来袭物体对舱壁的冲击和侵彻。

　　其他的Whipple改进型结构原理相近，都是将应对来袭整块碎片撞击的“硬抗”转化为更有效处理高能量碎片云团的各种方法，提升总的材料利用效率，或者说达到在实现同样防护效果的条件下总重量最轻。

　　空间站普遍采用Whipple类型的防护结构，因各国工业与技术基础不同而在设计上略有差别。下图所示为国际空间站上不同国家舱段基于填充式Whipple结构的个性化设计。

　　空间站进行系统设计时，同时对各舱段的防护能力提出设计要求，来访飞行器也要对指标进行分析确认，因为组合体中任何一个密封段的泄漏都会影响整个空间站的载人环境。

　　下图中红点所示的分片外壳，为国际空间站Node2（后命名为Harmony/和谐号节点舱）舱外的陨石碎片防护系统MDPS（Meteorite Debris Protection System）。2007年10月23日随发现号航天飞机发射升空的该节点舱，将美国命运号实验舱和欧空局哥伦布号实验舱、日本希望号实验舱连接在一起。

　　国际空间站上的穹顶舱（Cupola）为保护大幅窗户不被碎片破坏，安装了可开合的防护机构。在穹顶舱不开展对地观测活动时，合拢机构盖住窗户。

　　国际空间站上的柔性充气舱BEAM也利用了Whipple结构原理，选择多层柔性材料适应充气式舱体，柔性层之间以开孔泡沫保持间距。下图可见穹顶舱防护机构合拢的状态（黄色箭头处）和BEAM舱的碎片防护层及其结构。

　　装上防护结构的“盔甲”，航天器就部分具备与碎片正面较量的能力了。但空间站有些关键部位无法防护甚至无法局部维修，如大型太阳翼的远端；某些设备设施太重要，即便被碎片击坏的概率很小也“赌”不起，如供电主母线短路以及各种气液泄漏。这些情况都需要系统设计从源头消解风险。

　　碎片撞击造成的损伤是局部的，而系统设计的目标就是避免局部损伤造成全局损失。合理布局能让重要设备得到尽可能多的保护，系统冗余则可避免“鸡蛋放在同一个篮子里”。空间站的空间足、体量大，特别有利于分布式的布局和系统冗余。

　　电源与供配电：太阳电池片串并联，任意一片损伤或一小串失效不影响整翼发电供电；主母线的正负线拉开间距走线，不会被一个碎片打短路；每个舱的一对太阳翼可以分别独立供电。中国空间站还特别针对跨舱段供电做了专门设计：正常情况下，如载荷需要可跨舱段调配能源，均衡负载；应急情况下，不仅可以动用舱段间供电能力，还能够由天舟货运飞船向核心舱输电，保证整站的安全供电。

　　热控流体回路：前文提到的俄罗斯联盟MS-22飞船舱外只有一条热控循环回路，一旦被碎片击穿发生工质泄漏，就无法继续工作散热，进而导致飞船无法按高功率状态飞行，被迫放弃载人返回。空间站体量比飞船大得多，舱外散热可以多回路并联，任何一路泄漏只要及时隔离都不会造成整体失效，只是性能下降，损失部分散热能力。中国空间站在这方面同样设计了跨舱段连通回路，与供电（即热耗）调配相协调，还可以应对某个舱段辐射器散热能力下降的情况。

　　载人环境：若某个密封舱段被碎片击穿泄漏，可以关闭舱门将漏气舱段隔离，这是多舱段空间站必备的能力。中国空间站进一步加强了环境控制设备冗余，在天和核心舱和问天实验舱各配置一套再生生保系统。这样的配置不仅能满足应急需求，而且与非再生、消耗式生保系统相比能够在更长期地保持稳定的载人环境，为舱段损伤后的修复争取了更好的条件。

　　以系统工程理念设计的中国空间站，三舱一体化设计，统一分配功能，三舱中有两个具备完整的平台功能，第三个舱仍然备份控制器、计算机等关键设备。若核心舱完全失效或被隔离，问天实验舱可以完全接管空间站控制权。三舱中任何一个被隔离，整站仍然能安全飞行并保持工作和长期驻留航天员的能力。

　　空间站运行是体系工程，在应对空间碎片威胁上同样也有“托底”的任务级措施，停靠在站上的载人飞船和地面的应急救援船就是保证人安全的底线。空间站上的飞船停靠原则是有多少人就要有多少个飞船座位，因此所有送人上去的飞船都要停靠等待，与客轮上的救生艇角色一致。在停靠过程中，如果需要调整对接口，相应飞船的航天员要回到该飞船，随同飞船一起重新对接，防止因对接失败造成救生座位少于总人数的危险情形。

　　若天上停靠的救生艇出了问题，地面需要尽快发射救援飞船。前述俄罗斯联盟MS-22飞船遭碎片撞击热控工质泄漏后失去载人返回能力，最终以低功耗热耗的无人状态返回。地面调整了飞行任务，将原本执行下一个乘组发射任务的联盟MS-23以无人状态提前发射，对接上国际空间站。天上有了完好的救生艇，返回就不那么急迫了。原MS-22乘组在轨飞行时间最终延长了6个月，乘组中的NASA航天员弗兰克·卢比奥（Frank Rubio）还因此创造了单次飞行371天的美国新纪录。

　　中国空间站在任务级安全措施上考虑了多重故障下的最坏情况，神舟飞船采取滚动备份方式，备一打一。发射场的下一艘飞船具备发射救援状态后，前一发才能执行飞行任务，始终保持任务有托底。

　　值得一提的是，今年6月5日波音公司新飞船星际快车（Starliner）发射后出现故障，原定10天的飞行计划被延迟到60天以上，至今仍停靠在国际空间站上，尚未确认是否能够安全返回。这艘飞船滞留天上期间，承担着载人龙飞船发射任务的猎鹰9号火箭罕见地因为卫星发射失败停飞，直到故障调查完成后才复飞。两起意外事件的叠加，使得国际空间站在7月11日至27日期间出现了天上救生船不可用、地面无救援船（除非专门购买俄罗斯联盟号座位）的空白地带，事实上已经违背了空间站载人飞行安全原则。这种非常危险的状态，可以说是任务级安全措施的反面例子。

　　空间站的设计状态确定后需开展仿真评估，得到特定时间段内组合体被碎片击穿/击坏的概率，进而从高概率部位识别出防护薄弱环节并研究对策。

　　几乎是在国际空间站启动在轨组装建设的同时，美国国家研究委员会（National Research Council）应NASA要求成立了一个专业委员会，研究流星体和轨道碎片对国际空间站的影响以及空间站的防护措施。他们评估认为，较早时期研制的俄罗斯星辰号（Zvezda）服务舱和联盟号（Soyuz）载人飞船、进步号（Progress）货运飞船的防护能力偏弱。

　　国际空间站的第三个舱段——星辰号2000年发射入轨，但其基本框架结构来自上世纪80年代中期苏联计划建造的“和平号-2”（Mir-2）空间站的核心舱，因时代限制并未充分考虑空间碎片防护需求。联盟和进步两型飞船的设计研制更早，为1960~1970年代定型的产品。

　　这几个俄罗斯舱段的暴露面积只占当时空间站总表面积的15%，但对击穿概率的贡献却是86%。于是，该研究项目提出了为其碎片防护能力在轨补强的方案建议。

　　其中，星辰号的补救方案是以两个可展开的防护翼对舱体进行保护，并安装23块补强防护板。但这样的补救方案是难以兼顾多功能的：防护翼可保护的方向有限并且约束了帆板转动角度，对发电能力可能造成影响。

　　如果在辐射器设计阶段就考虑碎片防护问题，辐射器的面板完全可以充当Whipple结构的外防护罩，其下敷设纤维填充层，并设计好辐射器面板和填充层距离密封舱壁的高度，则可以兼顾散热和防护功能。在此基础上，将流体管路和电缆尽可能布局在辐射器底下，在填充层之下紧贴舱壁走线，不仅可以获得良好的碎片防护效果，温度环境也能更加稳定。然而，这些都未能纳入星辰号的原始设计，导致大面积辐射器及其覆盖范围事后没有好的补强办法。

　　国际空间站星辰号服务舱新增防护翼方案（图源：ScienceDirect）

　　值得注意的是，这项评估完成之后的大约20年间，国际空间站没有发生过永久舱段被击穿或击坏的情况。到了2022年和2023年，恰恰是停靠其上的进步号和联盟号飞船——评估中的高风险模块——先后发生碎片撞击导致破坏性后果的事件。这20年中，国际空间站的构型发生了变化，空间碎片环境也更加恶劣。当时的评估在量化概率的绝对值上不一定多么准确，但在同等条件下的相对值是有意义的，当时的仿真结果也是合理并值得参考的。

　　人在太空现场，是载人航天独有的优势。如果碎片撞击对空间站产生损伤，航天员可以设法对受损设备进行维修，并在长期飞行中持续补强防护设施。

　　2002年，国际空间站航天员通过出舱活动为星辰号服务舱安装了6块补强防护板。

　　根据中国载人航天官方发布，神舟17号和18号两个乘组已经连续4次完成了碎片撞击维修相关的出舱活动——

　　2023年12月21日和2024年3月2日，神舟17号乘组进行了两次时长分别为7.5小时和8小时的出舱活动，完成了天和核心舱太阳翼维修工作，消除了前期因太空微小颗粒撞击产生的影响，太阳翼发电性能恢复正常。这是我国航天员首次完成在轨航天器舱外设施的维修任务。航天员汤洪波在返回地面接受媒体采访时表示，太阳翼维修要避开阳照发电阶段，因此很多操作必须在阴影区进行，整个维修时间相对较长。

　　2024年5月28日和2024年7月3日，神舟18号乘组分别通过8.5小时和6.5小时的出舱活动为空间站的部分舱外管路、电缆及关键设备安装了空间碎片防护装置，并进行了舱外设备设施巡检。

　　这些在轨工作表明我国载人航天已经进入较高水平的应用飞行阶段，但同时也说明空间碎片对长期飞行空间站的影响不容忽视。

　　思考1：飞船的碎片防护。对于每条船而言，飞行和停靠的时间是比较短的，大多数任务在半年左右，飞行中和停靠空间站期间被碎片击中的概率很低。但空间站组合体始终有飞船停靠，如果飞船的防护水平弱，则意味着组合体始终有能力薄弱的舱段存在；一旦发生问题，大概率出现在这些短板部分。这是空间站长期飞行需要系统考虑的问题。

　　思考2：返回式飞行器的难题。不论是飞船使用的烧蚀材料还是航天飞机用的防热陶瓷，因为有气动外形的要求，都难以进行大面积的直接防护；一旦在轨受损，又没有可行的修复方法。好在停靠期间如果出现问题且被发现，可以采取地面应急发射救生船这样的任务级安全措施。飞船返回飞行时间很短，只要确保返回前状态良好，风险是可接受的。正因此，国际空间站和中国空间站都要在飞船返回前利用图像等手段确认其状态，中国空间站还会以机械臂辅助检查飞船外观，确认是否有碎片撞击损伤情况。

　　思考3：结构与载荷的发射质量分配。出舱活动补强防护结构是可行和有效的，但显然代价高昂，并且舱外活动终究是高风险任务。根据传统的航天器设计思路，发射时的飞行器平台、尤其是结构需要尽可能减轻重量，尽量多装载荷设备。但空间站的独有特点和优势是可以不断上行、安装各类设备设施。相对而言，安装载荷设备、尤其是舱内设备是容易的，风险也小；补强结构是困难的，而且必须由航天员出舱进行，动用机械臂天地协同，其风险、代价和任务组织难度都很大。在空间碎片日益增多的今天，空间站设计应改变策略，将发射重量更多地分配给平台，打造足够结实的结构，载荷设备则交给后续货运航班来补充。

　　不论是碰撞预警后的规避，还是被碎片击中后的防护，都是事发后的应对。那么对于潜在的“碎片”，是否可以防患于未然？

　　随着大规模星座部署带来的卫星数量剧增，在役卫星由于相互之间不知晓或来不及规避造成的碰撞概率加大，且后果比普通“碎片”更为严重。不过，可控的飞行器只要及时沟通并且采取协调一致的规避措施，总是比应对非合作的空间碎片要容易。换言之，这类问题的难度不在技术，而在协调机制。

　　2021年3月18日，NASA宣布与SpaceX签署飞行安全协调协议，不仅确定了双方在太空安全协调与数据、信息共享方面的协同关系，而且在技术上充分利用了星链星座的轨道规划和自主定轨、变轨能力：星链卫星配有GPS接收器用于定轨，带离子推进系统和自主机动能力；根据协议，SpaceX同意其星链卫星将自动或通过地面控制实施主动避让，以确保NASA的科学卫星和其他任务能够不间断运行。

　　空间碎片是可以预防、预警、规避的，但世界上总有防不胜防的意外。一旦真的被威胁较大的碎片击中、甚至被击穿密封舱，空间站将按事件时序和撞击的严重程度逐步开展下列工作：

　　对于比较严重的撞击，即时感知到是非常重要的，能为后续处置赢得宝贵时间。有效的感知来自对冲击力和漏气的实时监测。

　　中国空间站密封舱结构上专门配置了撞击感知和结构健康监测系统，全时监测整舱结构状态。碎片对舱壁的冲击力达到阈值后，传感器立即知晓撞击事件的发生。根据传感器分布及响应，可粗略确定撞击部位。

　　撞击发生时不一定击穿舱壁，因此舱内压力需要持续监测。对于大的泄漏，以大气总压力作为泄漏判据。若发生微小泄漏，以氮气分压作为判据，氮分压异常下降则触发泄漏预警。这是因为空间站内航天员总在消耗氧气、产生二氧化碳，电解制氧系统也在工作，大气总压力始终是波动的，但空气中的氮气是不消耗的。

　　只有撞击没有压力下降，说明撞击虽严重但未造成密封舱壁贯穿。但只要舱压报警，无论是否感知到撞击，都需要尽快定位具体漏点。

　　如果有撞击且有泄漏，根据撞击传感器的粗略定位，可以直接到定位范围附近寻找漏点。密封舱内空气外泄到真空中，会在漏孔附近产生超声波。国际空间站配置了超声波检测仪，用于寻找准确的漏气位置。

　　如果仅有泄漏并未感知到撞击，就要立即关闭各舱段间舱门，将整站连通的大空间隔断为若干密封段，通过观察各密封段的压降判定泄漏位置。国际空间站多次因故障和结构老化出现舱内气压下降问题，都是以这种方式先定位到泄漏舱段，再仔细寻找具体泄漏点。

　　一旦发现泄漏，就要立即根据漏气的速率并结合剩余气压以及存贮的气体评估空间站可以坚持的时间。这一评估结果将用于决策是按部就班寻找漏点并维修，还是需要动用储备气瓶补气并同时紧急抢修，亦或隔离并暂时放弃受损舱段。

　　这项工作与漏点定位同步进行。一旦漏率被判定大于阈值，则触发最高优先级的决策，终止寻找漏点及堵漏，撤出人员并隔离漏气舱段，避免局部损伤将整站陷于灾难之中。当然，漏率小就可以近似“正常”地处置了。例如国际空间站2018年8月29日发现微小泄漏，时值美国时间夜里，空间站上的航天员们都在睡觉。地面判断泄漏率很小，于是决定不打扰航天员休息，直到他们第二天正常起床才告知他们并组织寻找漏点，颇有点艺高人胆大之风。

　　完全找到结构上的泄漏点并进行处置，需要拆除附近设备。因此空间站在设计时就要考虑设备断电和维修状态下的布局问题，确保舱内壁任一部位都可以在有限时间内由航天员使用配备工具“清理”出来。航天员根据漏孔的具体情况选择堵漏方法，完成后再恢复设备安装状态。

　　前面提到的2018年8月29日国际空间站泄漏事件，通过舱段隔离确定问题出在联盟MS-09飞船，随后成功找到了一个2mm的漏孔。航天员们拆除轨道舱隔板后露出了漏孔，然后用环氧树脂、纱布和特殊胶水将漏孔堵死。

　　在压力泄漏较大的情况下，需要用站上存贮的高压气瓶向舱内补气，维持足够的压力，保证人可以在此环境中工作。航天员甚至可以戴上氧气面罩进行抢修——这实际上是权衡安全风险，在保证人员安全的前提下尽可能地挽救空间站。

　　如果漏率过大，即使补气也没有足够时间让航天员完成抢修，这时必须决策放弃受损舱段。对于多舱段的空间站，可以关闭舱段间的密封门，将受损段隔离，人撤离到完好的舱段。

　　这种情况属于万不得已。但只要整站的安全保住了，受损舱段的维修和恢复就有机会从长计议。

　　这是最极端的情况。在封闭舱段也无效的情况下，航天员可以撤离到救生艇——停靠空间站的载人飞船上，启动紧急分离与撤离程序。若受损的是飞船本身则不需要紧急撤离，但需要地面发射救生飞船来接人，如联盟MS-23。

　　前文所述让碎片话题显得有些紧张，似乎我们即便开展了再多未雨绸缪的工作，仍然可能遭遇不知道何时到来的碎片撞击。面对充满不确定性的太空环境，空间站真的只能适应环境而无力主动作为吗？不是的。

　　执行任务过程中，空间站本身会因有意无意的行为产生空间垃圾碎片。这些恰好位于同高度轨道的碎片会威胁空间站自身安全，大件废弃物（如国际空间站的电池）还可能因为无控陨落伤及地面，因此空间站首先能为太空环境做的工作就是“保护环境，从我做起”。

　　轨道环保工作的关键是不乱扔垃圾。它不仅是航天员们的行为，更是空间站的设计要求。

　　日常工作、尤其是出舱活动中的工具、设备需要进行防掉落设计，避免工具等小件物品遗失。气闸舱内加强设备设施固定，清理控制多余物，避免开舱门后物品漂出舱外。

　　空间站的功能设计要便于废弃物收集整理，并合理管理上下行物资，充分利用货运飞船装载废弃物。在这方面，半开放和全开放式货运飞船是有必要的，既可以上行大型设备，也可装载大件废弃设施（如电池组、更换下来的太阳翼等），带着它们受控离轨。

　　空间站规模都在百吨以上，再入陨落过程中很难完全在大气层烧蚀干净，残留物体掉落地面无疑是安全风险。空间站这样的复杂构型在大气中自然衰减、无控再入的理论落点偏差是以千公里计的，其运行轨道倾角对应的南北纬度之间地区理论上都可能是坠落点。不仅如此，庞大的空间站在再入过程中解体后，最终到达地面的残骸可能分布在数千公里的范围。因此，为了避免空间站退役后自身成为碎片危险源，必须进行受控离轨设计。

　　2001年3月23日，和平号空间站按设计参数和任务计划，在约5个小时中执行了3次制动点火，最终所有碎片坠落到预定的南太平洋空旷海域。和平号的建造开创了多舱段组合式空间站的新纪元，其运行充分发挥人的作用，不仅取得大量科研成果，而且将运行时间从5年设计寿命延长到了15年。它的退役又成功验证、实施了大型航天器安全干净的离轨处置，寿终正寝，善始善终。

　　单体飞行器的受控陨落是空间站受控离轨的基础，如我国每年1~2艘货运飞船积累了很好的工程实践经验。但对于多舱段复杂构型的空间站，仍然需要进行专门设计。

　　NASA已签发一份价值8.43亿美元的合同，由SpaceX开发名为“美国离轨航天器”（USDV）的飞行器用于国际空间站离轨。根据目前披露的消息，USDV质量估计超过30吨，包括16吨推进剂；接受离轨操作的国际空间站总重约460吨。USDV到达国际空间站并检查完毕后，空间站轨道自然衰减至330公里，最后一批宇航员就会返回地球。之后轨道继续衰减大约6个月，空间站在USDV帮助下受控离轨。NASA估计它再入大气层后仍未燃尽的碎片尺寸可能从微波炉到轿车大小不等，最后坠入一片长约2000公里的狭窄海域。

　　世界上已有航天机构发射了用于空间碎片在轨监测的卫星。而空间站作为长期在轨飞行的太空基地，天然具备保障相关监测设备在轨运行、为空间碎片观测提供有益帮助的条件。

　　空间碎片监测分为地基和天基两种模式，观测手段包括雷达和光学。地基主要依靠各种地面站，优势是技术成熟、成本相对较低，而且在地面保障条件下对设备尺寸、功率等的制约较小。但地基观测的弱点也是明显的：只有全球布站才可能实现较好的连续监视、跟踪和精确测量，光学观测更是只有当测站所在地处于晨昏时段才能获得好的观测效果，并且还会受到大气和气象条件的干扰。因此，地面站的观测效率是相对比较低的。

　　与地面观测受到的地域、观测时间时机限制相比，天基观测覆盖范围要广得多，完全没有大气影响，而且可以从不同方位对目标进行观测。加上现在的卫星都有全球定位与导航设备，实时精确定轨对观测定位碎片非常有利。我国地面站多在国土范围内，天基观测是很好的补充。

　　传统的天基观测系统受卫星规模限制，用于观测和信息处理及传输的资源有限，要获得好的观测效果需要很大投入。美国自20世纪90年代开始研制、部署天基空间态势感知卫星，2010年开始建设天基太空监视系统（Space Based Space Surveillance/SBSS），空间目标监测进入天基时代。据称SBSS系统可将美国空间目标监测能力提高50%，覆盖中高低各类轨道或弹道目标，并具有目标特性探测能力。

　　到目前，美国已经建立了空、天、地一体的全域覆盖监测网，在服务军事目的同时也致力于获取完整准确的空间碎片编目及模型。ESA和加拿大等也开展了相关研究，并发射了观测卫星。

　　如前文所述，空间站对看得见的大尺寸碎片进行规避，对看不见的小碎片只能防护。问题在于，这两个对策目前并不闭合：看得见的碎片尺寸在10cm以上，而防得住的碎片只达到1cm尺寸或更小量级；从1cm到10cm的“中间尺寸”，实际上成了只能靠概率“听天由命”的残余风险。

　　因此，空间碎片防护一方面要不断增强防护能力，抬高可防护的上限；另一方面加强观测能力，降低可观测的下限。对于后者，空间站可以贡献力量，上下努力压缩残余风险对应的“中间尺寸”，直至观测和防护能力衔接。

　　空间站可利用各舱段的载荷适配器安装不同观测方向的多个碎片监测设备，构建一个天基观测站。这个观测站支持监测技术和设备的飞行验证，也可以直接参与空间碎片监测任务。其工作模式包括：

　　利用空间站上的观测信息补充地基观测的不足。例如发现地基观测不到的碎片，补充编目；对在编碎片积累观测数据，补充完善相关信息，进一步提高观测精度和目标特性准确度。

　　1993年，NASA约翰逊航天中心（Johnson Space Center）和洛克希德工程与科学公司（Lockheed Engineering and Sciences Company）的研究者们曾提出一个有意思的方案：在国际空间站（当时还叫“自由”号，Space Station Freedom/SSF）上安装天基雷达形成电磁篱笆；地面雷达提供碎片的轨道预测信息，空间站上（沿轨道面）的电磁篱笆在预测位置探测碎片实际穿越轨道面的时间、俯仰角、距离及距离变化率等数据并传回地面，计算处理出更新更精确的碎片轨道，最后据此生成空间站规避预警信息。

　　该方案现在不一定适用了，但这种天地配合、协同一体的工作模式是值得探讨的。以现在的天地通信能力和计算处理水平，大量数据的实时交互与计算分析比30年前要强大和便捷得多。空间站和地面站的数据及其中的有效信息不仅是简单叠加，而且是可以迭代增强的。

　　为了更加全面观测空间碎片，很多研究也提出了用多个观测平台组网工作的设计，包括同高度和不同高度的多观测点组网。

　　空间站可以与观测卫星组网。作为观测网的一个节点，空间站不仅可以提供多方向的观测数据，而且可以利用自身的信息处理及天地通信能力成为观测数据汇集、处理和中转的信息节点，提高监测效率。

　　1）保障资源丰富。与卫星平台相比，空间站能支持尺寸、重量、功耗都大得多的观测设备，可以设计并配置多台设备对多个方向多个角度同时进行观测，还可以进行微波、可见光、红外等不同体制的同步观测。此外，空间站的高性能天地数据链路也是非常有力的保障。

　　2）长期稳定飞行。一般的中低轨道卫星由于轨道衰减等因素，寿命通常在8年左右。空间站则可以通过推进剂补加连续飞行15年甚至更长时间，从而获得长期的观测数据积累。

　　3）人在现场。空间站上的设备可维护、可维修、可升级、可替换、可增配，这对于电子信息等迅速发展的设备是非常有利的。利用这一优势，很多技术和产品还可以先开展验证，改进更替后再正式服役。

　　空间站的劣势也是有的，其最大弱项是不可能为了碎片观测去设计和改变轨道；相比专门用于观测的卫星，效率无法达到最高。另外，如果空间站要承担星座节点作用，也需要增加星-站之间的直接通信能力。

　　钱学森在1962年出版的《星际航行概论》中提出“星际航行码头”构想，即把人造卫星或空间站作为人类深空探索和星际旅行的起点或中转站。当人类空间站承担起这一使命，未来载人航天与今天空间站所面临的空间碎片环境又不同了。

　　首先，空间环境中基本没有人造物体和碎片了，航天器面对的将是真正的微流星体。其撞击概率会比近地碎片小得多，但因为飞行器和微流星体相对速度更高，且深空飞行路径上的探测预警能力远低于近地空间，撞击后果可能更为严重。其次，脱离了地球磁场保护，再加上以月和年计的飞行时间，载人飞行器对防辐射的要求大大高于近地空间站，这就要求飞行器的防护结构需要有足够的密度。

　　综合考虑对微流星体和宇宙辐射的防护，深空载人飞行器的设计将与近地空间站有非常大的差异，以至于很多业内同行怀疑现有的飞行器结构形式根本无法在几个月到一两年的深空飞行中有效保护航天员免受过量辐射危害。在讨论辐射防护时，一位同行朋友曾提出一个设想：俘获一颗小行星，将其装上控制系统和推进装置，挖个洞作为人的庇护所，以改造后的这颗小行星充当星际飞行器。这样的飞行器当然兼顾了宇宙辐射和微流星的防护。

　　到了实现星际移民的那一天，我们的子孙在回首太空探索艰险历程时也许会想起中国人熟悉的一句诗词：