國外火星探測典型失敗案例分析與應對策略研究

董捷 饒煒 王闖 譚志云 鄭旸

(北京空間飛行器總體設計部，北京 100094)

火星探測環境復雜，任務風險高，目前國外火星探測任務成功率極低，且僅實現了火星環繞、表面著陸及巡視科學探測，大部分失敗案例集中在制動捕獲、進入下降與著陸(EDL)兩個關鍵階段。火星探測器地火轉移至火星捕獲階段通常時間較長，對產品工作可靠性要求高；火星進入下降與著陸階段各種自然環境條件與地球返回差異大，工作階段多且時間短，受時延影響地面全程均無法支持，必須具有較強的自主能力。

本文針對火星捕獲和進入下降著陸兩個關鍵環節開展典型失敗(或故障)案例分析，分類梳理了火星探測器需重點關注的設計要點，提出了應對策略。

1 國外火星探測典型失敗(或故障)案例分析

以下對國外火星探測典型失敗(或故障)案例開展分析。其中以在軌案例為主，部分涉及地面驗證試驗故障案例。

1.1 火星捕獲段

1)日本希望號火星探測器近火捕獲失敗[1]

1998年7月3日，日本發射希望號火星探測器，目標實現火星環繞探測。

故障現象：原計劃通過2次月球借力+1次地球借力飛行后進入地火轉移軌道，于1999年10月到達火星。但1998年12月20日，在進行地球借力飛越及變軌時，氧化劑自鎖閥未完全打開，雙組元發動機不能產生足夠的推力，導致軌道修正比預期減少了100 m/s的速度增量。

隨后任務調整了飛行程序，設計以兩次以上地球引力及月球引力的借力飛行，計劃在2003年12月再次到達火星。探測器經過了4年的飛行，2002年4月，又出現星上通信和電子系統損壞，從而無法再次制動捕獲進入環火軌道。

故障原因：①第一次地球借力飛行時由于氧化劑自鎖閥門故障未能完全打開，氧化劑供應不足；②太陽耀斑造成電子設備發生短路，姿軌控系統無法正常工作。

2)美國火星氣候軌道器近火捕獲高度過低[2]

1998年12月11日，美國發射火星氣候軌道器，目標實現環火遙感探測。

故障現象：1999年9月23日，在探測器進行火星制動捕獲時，軌道高度比設計值偏低，導致探測器進入火星大氣層而被燒毀。

故障原因：推力模型所用的參數錯誤。推力器推力采用了英制單位而不是規定的公制單位，導致在每次采用推力器進行動量輪卸載時，軌道計算模型存在偏差(卸載約每天一次)，從而使地面定軌結果存在明顯偏差。

3)美國火星觀測者號探測器在火星捕獲前與地面失去聯系[3]

1992年9月25日，美國發射火星觀測者號探測器，目標實現環火遙感探測。

故障現象：1993年8月21日，火星觀測者號探測器在進入火星軌道前3天，進行推進分系統電爆閥操作時，為避免起爆對行波管放大器產生影響，關閉了行波管，但之后火星觀測者號探測器與地面失去聯系。

故障原因：

根據文獻[3]推斷有如下原因，其中推進系統故障的可能性最大。

(1)推進系統故障：①推進系統單向閥泄漏使氧化劑和燃燒劑異常混合，管路發生爆炸，產生無法控制的增壓氣體和推進劑的排放，使探測器失去姿態控制和推進能力；②積累的N2O4蒸汽滲過單向閥腐蝕增壓系統限流器的釬焊材料，腐蝕物堵塞推進系統氣體壓力調節閥，造成無法關閉，推進劑貯箱超壓破裂；③推進系統電爆閥引爆時，因為閥門組件中用來固定引爆裝置的螺栓損壞，造成引爆裝置以200 m/s的速度從閥門中彈出，擊中推進貯箱，造成破裂損壞。

(2)電子設備故障：①電子設備的短路使供電系統發生故障；②推進系統增壓時，電爆閥起爆產生的感應電流使電子器件鎖死，使計算機系統發生故障；③測控通信系統中的電子部件鎖死導致發射機工作異常。

4)美國海盜號探測器接近火星時軌道器貯箱增壓異常[3]

1975年8月20日，美國發射海盜1號探測器，探測器包括軌道器和著陸器兩部分，目標一次任務實現火星環繞和著陸。

故障現象：1976年6月19日，探測器在接近火星實施推進劑加壓準備時，遙測顯示貯箱壓力在達到工作狀態后仍持續上升，導致燃料每小時泄露0.16 kg。采取的解決方法是增加第一次軌道機動的推進劑消耗量，隨后關閉高壓氣路，第二次軌道機動采用落壓方式。導致軌道近火點位置偏離，相應改變了著陸點。

一個月后，對海盜2號的操作程序重新進行了修改，近火制動變軌前，才進行貯箱增壓。使用時發現也存在減壓閥泄漏問題。

故障原因：減壓閥內漏超標，存在多余物卡滯，使閥門無法完全密封。

1.2 進入下降與著陸段

1)蘇聯火星2號著陸序列設計錯誤[4]

1971年5月19日，蘇聯發射火星2號探測器，探測器包括軌道器和著陸器兩部分，目標一次任務實現火星環繞和著陸。

故障現象：1971年11月27日，探測器到達火星前4.5 h，軌道器首先分離著陸器，著陸器進入火星大氣層，由于著陸序列中明顯出現故障，進入角過陡，墜毀在火星表面。軌道器繼續飛行，通過近火捕獲進入1380 km/25 000 km的火星軌道，周期18 h。

故障原因：著陸序列出現故障，火星2號在到達火星前6天的自動軌道修正時，由于電子設備故障等原因，器上未更新為最新的變軌參數，以致變軌后著陸器進入火星的進入角過大，在降落傘展開前，著陸器已撞擊火星表面。

2)蘇聯火星3號著陸后僅實現短時通信[4]

1971年5月28日，蘇聯發射火星3號探測器，其任務設計與火星2號相同。

故障現象：1971年12月2日，軌道器分離著陸器，著陸器以6 km/s的速度進入火星大氣層，過載敏感器觸發超聲速開傘時，由于主降落傘故障，主傘在馬赫數1附近才打開。在離火星表面20～30 m時，制動火箭啟動，主傘分離拋出，最后以20.7 m/s速度著陸。著陸器配置有特制減振器，可以減輕著陸時沖擊，實現軟著陸。著陸后1 min30 s通過軌道器傳回一張圖像異常的火星表面圖像。14 s后，2個數據通道均停止傳輸，且再未恢復通信。火星3號軌道器由于發生推進劑泄露，在火星制動捕獲時減速發動機未減速到位，僅進入周期303 h的大橢圓軌道(目標周期為25 h)。

根據文獻[3-4]推斷有如下原因：①著陸器成功著陸后，在塵暴影響下，干燥的沙塵顆粒相互碰撞積累了較高的電荷，加劇了電暈放電現象，造成通訊中斷；②軌道器中繼通信異常且由于進入非目標軌道，無法有效對地轉發著陸器信息；③著陸時遭遇火星有記錄以來的最大沙塵暴。塵暴吹翻著陸器，導致拍攝到難以識別的圖像。

3)蘇聯火星6號減速動力異常[4]

1973年8月5日，蘇聯發射火星6號探測器，探測器包括火星飛越器和著陸器兩部分，飛越器在釋放著陸器后直接飛越火星。

故障現象：1974年3月12日，著陸器開始火星大氣進入，減速著陸程序與火星3號基本相同，開傘時速度約600 m/s，在降落過程中曾傳回采集的224 s大氣數據。在主傘打開后148 s，即在著陸前幾秒時所有信號中斷，失去聯系。

根據文獻[3-4]推斷有如下原因：末期制動火箭點火出現問題，導致無法有效減速，造成以61 m/s的速度直接撞擊火星表面。同時，由于計算機芯片異常，著陸過程傳回數據很多無法判讀。

4)蘇聯火星7號未正常進入著陸前軌道[4]

1973年8月9日，蘇聯發射火星7號探測器，探測器任務設計與火星6號相同。

故障現象：1974年3月9日，探測器到達火星時，軌道器提前4 h將著陸器分離，著陸器隨軌道器以1300 km高度飛越火星，未進入著陸前軌道。

根據文獻[3-4]推斷有如下原因：由于軌道器計算機芯片異常，無法正常控制分離著陸器動作。

5)美國火星極地著陸器進入過程故障[3]

1999年1月3日，美國發射火星極地著陸器，任務實現火星高緯度地區著陸探測。

故障現象：1999年12月3日，火星極地著陸器與巡航級分離后，進入火星大氣時與地面失去聯系。據2000年火星環球勘探者(MRO)衛星發回的圖像判讀，發現了火星極地著陸器的撞擊后殘骸與降落傘，相距幾百米。

根據文獻[3]推斷有如下原因：正常設計是發動機需要在著陸器的觸火信號發出50 ms之內關閉。著陸器上的飛行軟件以100 Hz的速率采集3個觸火傳感器的信號。第一個觸火的著陸腿發出的信號使軟件在信號發出后25 ms內關閉所有12個下降發動機閥門。而在飛行中，在著陸緩沖機構離著陸面40 m高度展開時，機構展開沖擊引發提前給出觸地信號，飛行軟件誤將觸地敏感器發出的不穩定信號作為觸地確認信號，距火面40 m處提前關閉發動機，致使著陸器以22 m/s速度撞擊火星而墜毀。

6)美國勇氣號和機遇號地面降落傘強度試驗時發生破損[5]

美國分別于2003年6月10日和2003年7月7日，發射了勇氣號與機遇號火星探測器，任務實現火星表面巡視探測。

故障現象：發射前的2002年，美國勇氣號與機遇號探測器研制后期，在地面利用直升機進行降落傘強度空投試驗驗證時，發生降落傘嚴重破損情況(見圖1)。

圖1 兩次試驗時降落傘開傘后破損狀態示意(NASA)

故障原因：降落傘相對于火星探路者任務，傘頂孔尺寸隨降落傘中“帶”部分的增大進行了同步放大，造成開傘受力與設計不一致。此外，降落傘傘衣受力方向也與預期設計相反：吊繩需縫在傘體上，為了不讓接縫承受拉力，把吊繩縫制在了傘體外部；實際在開傘充氣后，吊繩連接處受力超出設計要求，從外部脫離傘體。

最終解決方案：由于在發射前1年發生該問題，無法大規模修改降落傘設計，也不可能顯著降低開傘時速度，最后改為采用和火星探路者任務相同的降落傘構型。

7)歐洲航天局獵兔犬2號在著陸過程中失去聯系[3]

2003年6月2日，歐洲航天局發射“火星快車/獵兔犬”火星探測器，目標實現火星環繞探測和著陸技術驗證。

故障現象：2003年12月20日，火星快車軌道器成功釋放獵兔犬2號著陸器后，獵兔犬2號進入火星，隨后失去聯系。直至2015年1月，根據美國MRO衛星觀測圖像，獵兔犬2號著陸于火星表面。

基于MRO觀測結果推斷故障原因如下：獵兔犬2號在著陸火星時緩沖氣囊泄露，造成著陸沖擊過大，導致太陽翼未能全部展開，而通信天線放置于太陽翼基板下部，因此無法指向到位與火星軌道器建立通信。

8)歐洲航天局“火星生物學2016”探測器著陸數據融合錯誤[6]

2003年6月2日，歐洲航天局發射“火星生物學2016”(ExoMars 2016)火星探測器，探測器包括軌道器和著陸器兩部分，目標實現火星環繞探測和著陸技術驗證。

故障現象：2016年10月19日，軌道器與斯基亞帕雷利(Schiaparelli)著陸器分離，著陸器氣動減速、彈傘、大底分離過程均執行正常，但降落傘分離提前，發動機工作3 s后即關閉。隨后超高頻(UHF)中繼遙測中斷，根據在軌MRO衛星拍攝的圖像，證實著陸器已墜毀(見圖2)。

故障原因：減速傘開傘沖擊導致慣導設備(IMU)中陀螺短期飽和，丟失姿態基準，進而造成器上導航高度數據偏差較大，與微波測量數據融合后未能有效修正高度，從而提前觸發降落傘和背罩分離，減速發動機提前關機致使墜毀。

圖2 Schiaparelli著陸器墜毀遙感圖像(ESA)Fig.2 The remote sensing image of Schiaparelli lander crash(ESA)

1.3 小結

根據前面典型案例分析，可以進行相應故障分類(見表1)。在故障分類上可以歸納如下這些環節直接關系到火星捕獲、進入下降與著陸任務成敗。

(1)特殊環境適應性不足：針對開傘、接觸火面等力學環境，塵暴、低氣壓等大氣自然環境。

(2)關鍵系統安全性故障：對空間輻照等常規工作環境影響認識不充分或設計可靠性不足，造成推進系統、電子設備、降落傘、測控通信等直接危及整星安全的關鍵系統故障。

(3)動力學與軌道控制問題：軌道動力學建模、進入前初始軌道實現等精度不滿足要求。

進一步可歸納為特殊環境條件適應性設計、推進/降落傘等關鍵系統安全性設計、軌道動力學分析與變軌策略3類，從而在此基礎上開展應對策略研究。

表1 火星探測器典型失敗(或故障)分類

續 表

2 設計應對策略研究

2.1 進入與著陸特殊環境條件適應性設計

進入過程經歷的環境條件復雜，不僅涉及火星稀薄大氣與沙塵條件，還包括多次火工品起爆的沖擊，經歷彈傘、開傘、觸火沖擊等事件，必須要開展針對性設計。以下結合當前國內外研究情況梳理歸納應對策略。

2.1.1 重點環節力學環境適應性設計

1)開傘后大角速度適應性設計

針對歐洲航天局ExoMars2016任務Schiaparelli著陸器在軌出現的開傘后陀螺飽和丟失姿態基準問題，在已公開的后續任務改進思路基礎上，梳理出應重點開展的三方面工作。

(1)充分研究降落傘喘振、局部塌陷等特殊現象的動力學建模，加強彈傘/開傘、傘降過程動力學仿真分析[7]，研究開傘后降落傘主導的多體系統下角速度的最大包絡，從而為慣導設備(IMU)設計提供依據，并做好IMU量程與測量精度的權衡設計。

(2)根據降落傘喘振變化規律：隨著開傘馬赫數(Ma)降低，喘振影響逐漸減少(Ma為1.4以下可不考慮喘振影響[8])，可以綜合著陸區地形高程與進入下降著陸各級減速系統設計方案，在保證后續減速高程余量滿足安全要求的前提下，適當降低開傘Ma。

(3)增加開傘后制導、導航與控制(GNC)系統的故障診斷及系統重構設計。當判斷IMU飽和后，及時引入微波測距測速雷達的測量信息建立相對地面的安全姿態基準，修正相對當地平面姿態[9]，實現連續獲取準確的導航高度，保證著陸安全性。

2)觸火關機信號觸發設計

針對火星極地著陸器著陸時提前關閉減速發動機的問題，在采用著陸腿式著陸方式時應充分關注足墊觸火信號的引入時機，設計合理的時間保護策略。結合國內月球及深空任務研制經驗，具體應考慮如下內容。

(1)避免過早引入觸火信號進行判斷，特別是應在著陸緩沖機構完成展開，且不再有火工品起爆動作后再引入，同時做好觸火信號對減速發動機點火振動環境的適應性設計及試驗驗證。

(2)觸火信號的采樣頻率應避免過高，防止對火工品起爆等高頻信號沖擊源產生誤判。

3)機構類產品的適應性

針對獵兔犬2號發生的異常問題，在系統設計層面需考慮如下措施。

(1)考慮進入下降與著陸階段特殊的力學環境多，太陽翼、天線等不使用的關鍵機構應采用火工品壓緊方式，避免受到力學沖擊影響造成機構損壞。

(2)著陸后太陽翼、天線展開過程盡量避免展開過程串行耦合，如受安裝空間限制必須采用串行設計時，也應做好機動驅動線路、繞組等關鍵產品備份設計；在供電上具有一定面積的體裝太陽翼，與基于驅動機構控制的太陽翼進行備份，保證最低安全供電需求；通信方案上具有低增益通道，與基于驅動機構控制的高增益通道進行備份，保證大波束角低碼速率的上下行的最低通信條件。

2.1.2 大氣環境適應性設計

針對火星3號著陸后失聯問題，應重點關注火星大氣沙塵、密度等條件對系統設計的影響。

1)著陸時機選擇

基于國內外開展的火星塵暴周期研究[10]，火星著陸日期選擇時應避免火星全球塵暴季節，同時EDL前利用環火軌道器加強在軌飛行塵暴觀測，開展局部塵暴預測。如無法避免塵暴，相對無塵暴季節著陸，在進入器系統設計時應具有更強的魯棒性，如加強降落傘系統、防熱承力結構強度設計，增加防熱層厚度或更換耐熱防熱材料等。美國洞察號(Insight)火星著陸器在設計時就考慮在塵暴季節著陸，在系統設計上相對鳳凰號任務均進行了改進。此外，還要評估大氣條件的不確定性對進入彈道航程影響從而增大落點偏差，要防止著陸至危險地形區域。

2)低氣壓環境適應性

針對火星表面低氣壓環境，火星表面成分CO2相對空氣的放電電壓閾值更高，基于地球環境驗證可以覆蓋火星使用條件。另外與地球衛星(發射段短期出現低氣壓)的主要區別是在火面低氣壓環境下工作時間長。這要求電子單機加強防低氣壓放電設計，研制過程做好靜電防護，保證可靠放氣與控制內部間隙。

3)GNC系統適應性設計

針對火星稀薄大氣環境及大氣參數極大的不確定性，在大氣進入控制時，GNC系統通常要具備進入彈道的調整能力，保證探測器到達滿足要求的開傘點條件(高度、動壓、馬赫數等)以及落點精度，因此采用具有制導能力的彈道-升力式大氣進入方式是發展趨勢。由于火星大氣密度的不確定性大，不適宜采用月球著陸或地球返回的預測制導方案，以火星科學實驗室任務為代表應用的參考軌跡制導[11]是現階段火星大氣進入的主要制導方法。

在大底分離后通常選用微波體制敏感器實現相對表面距離和速度測量，相較激光體制敏感器更能適應火星大氣沙塵環境條件，防止沙塵對激光能量可能造成的衰減。

2.2 關鍵系統安全性設計

2.2.1 推進系統安全性設計

地火轉移軌道飛行時間長，通常為半年到一年時間，期間將經歷近地段高溫至近火段低溫條件的漸變過程，同時在軌長期處于真空與空間輻照環境。針對希望號火星捕獲任務失敗、海盜號近火捕獲內漏、火星6號減速動力異常等問題，對于軌控或進入著陸使用的推進系統，基于國內外推進系統研制的經驗教訓，需要重點關注推進系統密封性、長壽命及冗余備份設計。

1)推進系統安全性設計

推進系統在設計時，應做好推進劑氧燃路、氣路開關備份設計，包括采用氣液路電爆系統冗余備份，自鎖閥備份設計。同時設計推進供氣路超壓管理防止推進系統過壓，以降低推進系統發生泄露的風險。

國外部分深空探測器還采用了混合模式推進系統[12]，如單雙元混合推進系統，基于單組元可靠性高的特點，將單組元模式用于姿控；利用雙組元推力大、比沖相對較高的特點，由雙組元模式完成軌控[13]。采用該方式一方面可以保證在氧化劑路未正常供應的條件下仍可以利用單組元模式保證整星姿態，確保能源、熱控等平臺狀態安全，同時還可以兼做軌控備份方案使用。

推進系統正常工作需要熱控系統保證較為合理的溫度，防止系統結冰或系統超壓，因此熱控加熱回路的設計應做好主備份冗余與故障診斷設計，對于無法工作的加熱回路有備份可支持；發生加熱回路無法關斷、熱敏電阻異常等情況，能夠剔除相應加熱回路和熱敏電阻判斷，提高推進熱控的可靠性。

針對采用表面張力貯箱的推進系統，為保證落壓工作期間氧、燃蒸汽的可靠隔離，應設置多級隔離措施。如在單向閥下游還應設置自鎖閥，在系統不需要恒壓工作期間，關閉該自鎖閥，保證氧、燃增壓氣路通過自鎖閥和單向閥兩道隔離措施進行隔離，以減少推進劑蒸汽對單向閥的影響。

推進系統研制各環節還需嚴防多余物對閥門/推進管路類產品的堵塞、卡滯，加強過程控制。

2)減速發動機的配置與可靠性設計

減速發動機能否正常工作直接影響火星制動、進入下降著陸末期減速成敗。在產品配置上可以綜合推力與比沖，選擇雙組元或單組元發動機，同時采用多組發動機配合使用，盡可能避免系統設計單點。在產品研制環節需要特別關注在使用前的長期飛行期間，發動機自身的溫度條件及密封性能，進行充分的考核驗證。

2.2.2 降落傘系統設計

目前成功著陸火星任務的降落傘均采用基于“盤-縫-帶”傘的一級減速方案，利用火工品彈射降傘包彈出[14]。兩級傘減速系統開傘過程環節多，設計復雜，可靠性低；根據前面蘇聯、歐洲航天局的案例，采用兩級傘減速系統的任務均未成功。

根據降落傘工作特性，降落傘設計時應充分考慮在軌開傘工況對傘衣強度、穩定性的影響。如傘頂孔大小設計時，隨降落傘大小調整需進行適應性設計；各連接環節需充分考慮縫紉、轉接設計等工藝對強度的影響；傘衣及傘繩的設計強度需考慮在軌長期貯存后空間環境帶來的縮減效應、開傘條件的不確定性，具備較高的安全裕度(如1.5倍的安全系數)。

2.2.3 控制計算機容錯系統結構設計

針對蘇聯火星任務中單粒子引起計算機失效、日本希望號任務太陽耀斑引起的星上電源控制電路損壞、火星7號未正常進入預定軌道問題，應充分評估空間輻射環境影響，進行充分的屏蔽設計，采取單粒子防護措施。考慮火星探測轉移及探測任務飛行時間長，壽命要求高，長期飛行期間可采用計算機冷備份方案[15]，以降低系統設計難度；針對火星捕獲、進入下降與著陸等窗口時序緊張、時機唯一且不可逆的環節，為了保證故障處理的實時性、可靠性，宜采用三機三取二的熱備份方式。

2.2.4 測控安全性設計

針對美國火星觀測者任務與地面失聯問題，測控通信設備在研制時需要針對火工品起爆沖擊等條件開展減振設計，并做好冗余備份。特別是針對調姿、變軌等特殊環節，應建立全向天線通道低增益通信條件，作為高增益定向天線通道的備份，防止造成測控鏈路永久性中斷，無法恢復。在由于測控設備異常出現測控鏈路中斷的條件下，可通過GNC分系統配合實現整器調姿，逐漸由低增益過渡至高增益對地指向狀態，恢復對地通信鏈路。

2.3 軌道動力學分析與變軌策略

1)開展軌道動力學精確建模

針對火星氣候軌道器在軌發生的近火捕獲異常問題，應充分識別探測器自身姿控、推力器卸載、以及不同姿態下太陽光壓阻力帶來的干擾影響，在軌道計算時進行動力學精確建模。發射前地面提前開展探測器不同飛行姿態下基于精確外形模型的光壓分析；在軌針對巡航飛行期間姿控、推力器卸載產生的速度增量進行定期標定；對變軌期間的飛控動作，應加強關鍵過程軌道計算、變軌策略設計的多方復核復算。

2)大氣進入前軌道實現

EDL大氣初始進入條件(包括進入角、初始位置、時刻等關鍵參數)對保證彈道安全至關重要。針對火星2號出現的進入初始軌道偏差較大問題，需要通過EDL前最后一次變軌保證精度。根據美國火星科學實驗室任務的研制經驗[16]，需要綜合評估測定軌精度、變軌精度、地面操作復雜性等條件，盡可能在接近EDL時執行。同時進入器應盡可能具備一定自主判斷邏輯，并配置對外導通、對稱安裝的成對姿控推力器，可以在最后一次變軌異常時自主實現軌控修正。

3)軌控故障預案設計

針對火星捕獲這種一次性不可逆過程，一旦推進系統主發動機無法點火工作或點火時間不足，將進入繞日飛行軌道。在這種情況下，應該充分做好故障預案設計，進行繞日交會備份軌道設計(如日本希望號)，研究地球、月球等借力飛行方案，盡可能通過軌道設計及飛行程序調整來挽救任務。

3 結束語

火星捕獲段、進入下降與著陸段具有時間短、窗口唯一和不可逆的特點，期間涉及的環境要素多，且地面驗證難度大，必須要開展極端工況分析，加強力學、大氣等環境條件適應性設計；要充分重視飛行期間軌道動力學分析與正常變軌策略優化，保證近火捕獲安全高度、大氣進入前初始條件等關鍵參數；同時開展完備的軌控故障預案設計，應對可能出現的變軌極端故障，盡可能挽救任務；此外，尤其應關注推進、測控等關鍵系統的安全性設計，通過系統性的冗余與裕度設計提高關鍵動作執行的可靠性。本文通過對國外典型火星探測失敗案例的分析，系統歸納了設計上的關鍵要素與風險點，并提出了應對策略，可以為后續的火星探測任務提供參考借鑒。