对引信安全系统的要求

引信安全系统关乎引信的安全性，因此引信安全系统的设计有着极为严格的要求，并以国家军用标准的形式加以规范和强制执行，这就是《引信安全性设计准则》GJB373A—1997。

GJB373A—1997是参照美国1991年颁布的军用标准MIL-STD-1316D制定的。MIL-STD-1316是美军关于引信安全性设计的重要标准，自问世以来一直随着引信技术的发展处于不断的演变和升级修订过程中。1998年，美军颁布了1316E，而1316的F版本也已经在2011年前后发布。汲取美军标的新精神，我国的GJB♧373也需要适时修订，但总体来说，自从制定并贯彻GJB♧373以来，我国引信的安全性得到了显著提高，达到了一个新台阶。

GJB373A—1997对引信安全系统的要求主要体现在以下几个方面：

冗余保险是指：“引信安全系统应至少包括两个独立保险件，其中每一个都应能防止引信意外解除保险（启动）。启动这至少两个保险件的激励应从不同的环境获得。引信的设计应避免利用在发射周期开始之前引信可能受到的环境和环境激励水平。这些保险件中，至少有一个应依靠感觉发射周期内开始运动后的环境而工作，或依靠感觉发射后的环境而工作。如果启动发射的动作所产生的信号能够使弹药不可逆地完成发射周期，那么这个动作可以看成是一种环境。”

与此相关，在“爆炸序列的隔爆”中要求：如果爆炸序列的某一爆炸元件含有不满足标准要求的炸药，则在由预定发射而导致的解除保险程序完成之前，应至少用一个隔爆件（回转板、滑块、转子等）将这一爆炸元件与导爆药或传爆药隔开。此隔爆件应至少用两个独立保险件机械地直接锁定在保险位置上。这些保险件在发射周期开始前均不得移动。

冗余保险是引信安全系统设计时必须遵循的一条重要原则，为了在实践过程中准确把握，需要对其内涵有正确的理解。

（1）含有敏感炸药的爆炸序列必须用隔爆件将敏感的爆炸元件与其他爆炸元件隔开，如将雷管、火帽等与导爆药或传爆药隔开，隔爆件还要用独立保险件被机械地锁定在隔爆位置。这是美军标1316体现出的最重要的设计思想，它将是否隔爆作为安全与否的分水岭，规定所有引信必须隔爆，而对引信安全系统提出的各项要求不过是防止隔爆意外失效的措施。

此处的隔爆件统称为隔爆机构更为确切。如果回转板、滑块、转子等运动件上安装的是导爆药，它的确是隔爆件，但是很多引信转子、滑块上安装的是雷管，而转子、滑块由铝或塑料制成，本身并不隔爆，其下面的隔板才是真正的“隔爆件”，其示意图如图7-3所示。

图7-3　隔爆机构示意图
（a）滑块为隔爆件；（b）隔板为隔爆件

（2）保险件实际上是指保险机构。保险机构可以是一个零件，如切断销，也可是多个零件的组合。对于简单的如M739A1引信的安全系统，后坐销和后坐销簧组成后坐保险机构，两个离心爪和离心爪簧组成离心保险机构；对于较复杂的如M577A1引信的安全系统，一个离心爪和离心爪簧组成离心保险件，击发体中的后坐销和后坐销簧及离心爪和离心爪簧控制带锥销的离心爪组成后坐保险机构。

“独立保险件”应该理解为在有多个保险机构的引信中，一个保险机构的完整性不受其他保险机构作用或失效的影响。此处的“完整性”是指结构的完整性，也就是说，一个保险机构的动作或失效不能使另一保险机构的保险链产生缺失。如果一个机构的解除保险性能失效必定导致另一个机构的解除保险性能失效，损失的是发火可靠性，不会危及安全性，并且由此可能增添了时序保险和失效安全特性，反而使安全性更高，这时仍然认为它们是独立的。例如，一种安全系统的第一解除保险环境为后坐，第二解除保险环境为电拔销，同时后坐保险机构中附有拔销作动器的电短路，那么这两个机构是否独立呢？从结构完整性审视，后坐机构失效，电短路受影响也将失效，电拔销不能动作，但是电拔销机构维持原状，结构完整性毫发无损，没有理由说电拔销机构不独立。

引信安全系统应“至少包括两个”独立保险件，下限是必须有两个独立的保险机构，但也不是越多越好，因为保险机构越多，引信结构越复杂，作用可靠性越低。通常情况下，常规弹药引信大多采用两套保险机构，导弹等高价值、大威力弹药的引信有时采用三套保险机构。“其中每一个都应能防止引信意外解除保险（启动）”，其含义为一个保险机构就能防止引信意外解除保险，增加保险件后形成冗余保险使引信更加安全。

（3）冗余保险的实质不单是看采用了多少保险，其要害在于启动保险的激励必须从“不同的环境”获得。这里所说的环境是指引信可能经受的特定物理条件，特别是发射周期开始后的物理条件。引信在发射周期开始后所经受的环境不只是单一环境，而是可以产生多种物理条件，包括发射环境、弹道环境、目标区终点环境等，例如膛内的后坐环境、离心环境，炮口环境，弹道上的爬行环境、空气动力环境，目标区的物理场环境、侵彻环境，等等。

对于不同环境的要求，应从以下两个方面理解：

首先，发射周期开始后的某些环境与发射前的相似，如后坐是发射时的一种环境，也是勤务处理中偶然跌落常遇到的一种环境。如仅采用后坐环境激励，在勤务处理中就有可能使引信安全系统提前启动解除保险程序，造成安全性隐患。在GJB373颁布以前，这类引信很多，尤其是迫击炮引信，射击时后坐过载与跌落时相差很小，甚至比跌落时还小，以致多次发生安全事故。

其次，用不同环境激励保险机构在引信发射过程中是能够做到的，而在勤务处理中却很难出现。例如，后坐和离心两种环境在线膛炮发射过程中能依次出现，在勤务处理中很难同时出现，在一次勤务处理中不可逆地出现两种环境更加困难。

因此，从不同环境中获得启动保险机构的激励这一要求，既保证了发射前引信安全，又保证了发射时可靠启动解除保险程序。比较通俗的解释为：一套保险机构响应一种环境，另一套保险机构响应另一种环境，这样的保险机构才构成冗余。虽然有多个保险机构，但如果都响应同一种环境，它们只能被认为是一套保险机构。如图7-4所示，虽然有两套保险机构，但它们都由后坐环境启动激励，因此不是冗余保险。

图7-4　同一环境激励的保险机构

那么，如果引信安全系统确实有多套保险机构，且分别响应不同的环境，是否就一定构成冗余保险了呢？答案是否定的，因为还必须要满足保险机构“独立”和“机械地直接锁定”隔爆机构的要求。对这一要求最好的解释如图7-5所示，安全系统有后坐和离心两套保险机构，离心保险机构锁定隔爆机构，而后坐保险机构却锁住离心保险，两者构成了串联关系。离心保险机构解除保险的前提是后坐保险机构首先解除保险，即两者不互相独立，后坐保险也没有直接锁定隔爆机构，因此不满足冗余保险的要求。

图7-5　非直接锁定的保险机构

与图7-5所示结构相关，另一个引信安全系统的示意图如图7-6所示。

图7-6　多种环境条件的保险机构

在图7-6（a）中，惯性销在后坐环境条件下启动，离心爪在离心环境条件下启动，这是符合国军标的。图7-6（b）中，在原有的结构上，再加上一个惯性销，两个惯性销都在后坐环境条件下运动，离心爪随后在旋转环境条件下运动。显然，第二个惯性销和离心爪也构成了串联关系，是否这种结构就不符合国军标的要求了？事实上，图7-6（b）所示结构明显要比图7-6（a）所示结构的安全性要高。这是在有多套保险机构的情况下，其中一套保险机构利用多种环境的例子。利用多种环境与只利用单一环境是不同的，哪怕前者的环境中包括后者，也认为保险机构是独立的，且启动保险机构的激励是从不同环境获得的，这与前述的由后坐保险机构和电拔销机构组成的引信安全系统的例子有异曲同工之处。这种方式在美军引信中有应用实例，例如“爱国者”导弹引信的安全与解除保险装置，如图7-7所示。转子由旋转螺线管和弹簧加载的后坐重块锁住，而螺线管直接锁住转子，也直接锁住后坐重块，后坐重块再锁住转子。旋转螺线管由弹道发射前安全与解除保险装置接收到的一个准备发射脉冲来激励，后坐重块由后坐环境来激励。

图7-7　“爱国者”导弹引信的安全与解除保险装置

对于保险件“机械地直接锁定”隔爆件在保险位置的要求，目前国内还有不同的理解。有人认为，这里强调的是两个独立保险件都要直接锁定隔爆件，而不是一个保险件直接锁定隔爆件，另一保险件在第一保险件失效的情况下转过一定位置后锁定隔爆件，这样不符合独立保险件的定义，只是第一保险件的故障保险件。但是在美军的应用实践中，这种引信设计实例不在少数，而且认为是符合1316标准的。如XM754轻型反坦克火箭弹引信的隔爆件为垂直转子，保险来自互锁卡板保险机构和阻力传感器，如图7-8所示，但在引信的保险位置，阻力传感器并没有直接锁定转子。发射时，互锁卡板在后坐环境作用下依次旋转，直至最后一个卡板“部分”地释放转子。发动机熄火后，弹簧驱动转子经无返回力矩擒纵机构缓慢转动，此时阻力传感器感受弹道爬行环境产生运动。阻力传感器是否锁定转子取决于启动时转子的位置及阻力持续时间，图7-9描述了阻力传感器的作用过程。在正常发射条件下，当爬行过载达到（2～4）g并持续4ms时，转子将最终被释放，引信解除保险；如果火箭没有经受合适的推力和爬行，转子将返回保险状态或进入故障保险位置，引信不能作用。

图7-8　XM754火箭弹引信

图7-9　阻力传感器的作用过程
（a）发射前状态；（b）正常发射；（c）解除保险状态；（d）故障保险状态

（4）“避免利用在发射周期开始之前引信可能受到的环境和环境激励水平”，其含义为尽量利用发射周期内或发射周期后引信可能受到的环境和环境激励水平，只有这样的环境和环境激励水平，才能保证引信发射周期前的安全和发射后安全系统的可靠启动。这一要求统一了安全性和可靠性，因为安全性很高而可靠性很低的引信是没有意义的。

环境激励水平和环境是两个不同的概念，环境激励水平更加关心特定环境的能量强度和持续时间。例如跌落过载和发射时的后坐过载都是后坐环境，但激励水平不同：1.5m跌落时，后坐过载系数能达到10000左右，但碰撞时间很短，小于0.1ms；小口径火炮射击时，后坐过载系数能达到60000左右；迫击炮小号装药射击时，后坐过载系数小到500左右，但激励时间为2～5ms。根据环境激励水平的不同，能够实现引信安全系统对勤务处理环境和发射环境的识别，有利于保险机构的设计。如果同一环境在勤务处理和发射时的能量强度有较大差别，则保险机构的设计较为容易；如果能量强度无法明显区分，如上述的迫击炮发射过载与勤务处理的坠落过载几乎在同一数量级上，甚至还可能低一个数量级，同样可以利用环境激励持续时间的不同来设计保险机构，曲折槽保险机构、双自由度保险机构、互锁卡板机构等就是很好的应用实例。

如果引信安全性设计利用的是发射周期开始之前引信可能受到的环境和环境激励水平，一方面，该环境和环境激励水平可能与发射时环境和环境激励水平不同，那么引信不能解除保险；另一方面，如发射时能解除保险，但当弹丸发生不正常作用现象时，有可能使引信安全系统提前解除保险，而这种情况是应该避免的。因此要求“至少有一个应依靠感觉发射周期内开始运动后的环境而工作，或依靠感觉发射后的环境而工作”，这样就避免了发射不正常时产生不安全因素。

理想的引信安全系统应是只感受发射后的环境和环境激励，不感受发射前的环境和环境激励，这样的引信既安全又可靠，只是很难实现。如果对发射前的环境也产生响应，只要达到了一定的激励水平，保险机构就会产生相应的动作，从而带来安全隐患，因此在“爆炸序列的隔爆”中要求：这些保险件在发射周期开始前均不得移动。此处的“不得移动”从字面上理解是不能有任何移动，但在设计实践中显得过于严苛。实际上，引信安全系统中后坐销、离心销等带有弹簧的保险机构为数甚多，其保险销在冲击、振动中是可以并且允许移动的，只要这种移动是可恢复的，在发射周期开始前不解除保险即可。从这层意义上讲，“不得移动”理解为“未被移除”更为确切。美军在引信设计中也是这样执行的，例如，为了满足通用性需求，典型的M739A1中大口径榴弹通用引信具有低的后坐过载系数和离心过载系数，其后坐保险机构30g不解除保险，40g全解除保险；离心保险机构18r/s不解除保险，28r/s全解除保险。美军认为这也是符合1316标准要求的。

（5）“如果启动发射的动作所产生的信号能够使弹药不可逆地完成发射周期，那么这个动作可以看成是一种环境。”例如，火箭弹发射采用电点火，一旦火箭弹被电点火，就被不可逆发射出去，如果引信采用发射时的电信号，那么这个电信号应是一种环境。从安全性角度看，在勤务处理中，火箭弹引信没有外来的电信号，受发射时电信号激励的保险件显然是独立保险件，这样的设计符合GJB373A—1997的要求。

延期解除保险的基本要求是：引信应有一个保险件提供延期解除保险，以保证在规定的所有使用条件下均能达到安全距离要求。

在此基础上，还有一个扩展要求，即如果作战要求除发射系统和人员以外还需要对友军进行保护，引信设计就应满足下列要求中的一项：延长延期解除保险时间；在预定的延期解除保险后控制引信的意外作用。

为保证引信的安全距离要求，要使一个保险件能提供延期解除保险。由于弹丸飞行速度不同、射角不同，要达到相同的安全距离，所需的延期解除保险时间也就不同，一般以最低弹速来确定延期解除保险时间。设计引信时，实际的延期解除保险时间所决定的实际解除保险距离，其最小值要大于规定的安全距离，当然，其最大值也要小于最小射击距离。

“延期解除保险”应理解为引信的一种安全特性，并不一定非要是“保险件”。这里强调两点：第一，延期解除保险可以结合冗余保险来设计，此时由其中的“一个”保险机构来同时提供延期解除保险性能，但不是对所有保险机构的要求；第二，延期解除保险也可以由专门设计的另一套单独装置来提供，该装置可能并不存在提供延期解除保险的保险件，在这种情况下，通常冗余保险机构均已解除保险，而该装置实际上是提供延期解除隔离。例如，在美军引信中大量使用的无返回力矩钟表机构，就是在冗余保险解除后控制隔爆机构来实现延期解除保险的，其本身并没有保险件。

手动解除保险的基本要求是：全备引信应不能用手工动作解除保险（完成）。而在扩展要求中，又要求：当采用了对引信的安全性起关键作用的手工启动的保险件时，其设计应该使偶然的或无意的操作降到最低。

在这两种描述中，前者禁止手工解除保险，而后者又允许采用手工启动的保险件，明显存在矛盾，使人无可适从。究其原因，是对“解除保险（启动）”和“解除保险（完成）”两个概念的认识不统一，解除保险（启动）实际上就是指保险机构的解除保险，解除保险（完成）应是指解除隔离。一直以来，国内对“手动解除保险”的理解是不能手动使保险机构解除保险，而仔细探究美军标原文，其本意应是徒手不能“解除隔离”。根据图7-2所示的对引信安全系统转换过程的解释可知，解除保险和解除隔离是两个不同的概念，手动不能解除隔离也体现了美军对于“隔爆”的看重。因此，引信安全系统不能用手工动作解除隔离，但允许有手工解除保险机构，只要另外有发射环境解除保险的冗余保险机构即可。也正应为如此，在迫不得已、无路可走的情况下，美军还是允许引信采用手动启动的保险机构的，如迫击炮弹引信的运输保险销，只是要求其“设计应该使偶然的或无意的操作降到最低”。

根据引信对系统要求的适应性，应考虑含有故障保险设计特性。与冗余保险的防止引信意外解除保险相比，故障保险设计则是在引信或其部件意外失效时防止引信作用。这不是强制执行的要求，而是推荐采用的设计特性。

故障保险容易被误读为武器系统出现故障时要有保险动作，否则就不符合GJB373A—1997，由此引导人们设计了许多“故障保险机构”。其实，美军标的原意说的是引信系统或其部件在构件失效时防止引信作用的设计特性，根本没有提及对引信外系统的适应性，不是武器系统故障，而是引信构件失效；构件失效时要安全，不能让引信作用，这是引信或引信部件都应有的特性，没有要求设计一种新保险机构。例如上述的XM754火箭弹引信，其第二保险机构阻力传感器就具有故障保险特性。

目前，明确提出引信应具有故障保险特性的武器系统只有战术导弹和野战火箭弹，这可能是考虑到战术导弹和野战火箭弹不但威力大、意外爆炸危害性大，其发动机工作易出现异常而产生“近弹”，而且由于弹道环境过载小，其保险机构也易失效。所谓近弹，指的是火箭发动机出现故障，在引信最小保险距离以内爆炸或熄火，致使火箭弹落地。在这种情况下，需要近弹保险机构来保证引信仍处于安全状态。

一个实例是苏联9Э210火箭弹引信的近弹保险机构，如图7-10所示。在正常发射的情况下，由于后坐力的作用，惯性锤一直克服惯性锤簧的抗力，而位于回转体座的底部；回转体解除保险后，在扭簧力矩作用下，惯性锤能不受阻挡地回转到位。如果出现近弹，后坐力消失，则惯性锤将在惯性锤簧张力的作用下恢复原位。由于惯性锤上部凸缘的阻挡，在转动过程中，回转体由于其台肩上的一个小角片进入惯性锤细颈部而不能转正，从而使引信不能解除隔离。除此以外，如果回转体的保险机构（保险药柱固定的保险销）在勤务处理中失效，回转体的小角片也将进入细颈部，并将惯性锤锁住。等到发射时，惯性锤虽然受后坐力的作用，但不能向下运动，回转体不能转正，引信也不解除保险。在上述两种情况下，引信最终都处于瞎火保险状态。采用同样结构原理的还有苏联的9K32M导弹引信。

图7-10　苏联9Э210火箭弹引信的近弹保险机构

图7-11所示为苏联B-5火箭弹引信的近弹保险机构。在正常发射时，惯性体在后坐力作用下压缩弹簧下沉，滑块移动到位。在主动段结束时，后坐力消失，惯性体在弹簧作用下上升，其凸起部正好进入滑块座的定位孔内而将滑块锁定。如果出现近弹，后坐力消失，在滑块解除保险产生运动之前，惯性体将恢复原位，凸起部进入滑块座的中心孔内，其后即使滑块解除保险，稍向右运动就被卡死，不能解除隔爆。同样，如果滑块的保险机构在平时勤务处理时失效，惯性体凸起部将直接卡在滑块座中心孔的台肩上，发射时也不能向下运动，从而实现瞎火保险。

图7-11　苏联B-5火箭弹引信的近弹保险机构

若引信在预定解除保险程序开始前解除了隔爆，将会很不安全。为了防止这种情况的出现，要对引信的未解除保险与解除保险状态进行控制与识别，以提高引信的安全性或剔除不安全的引信。引信的设计应具备下列一项或多项特性：

（1）防止引信装配成已解除保险（完成）状态的特性。

（2）提供一种可靠的方法，能确定引信在装配过程中和装配完成后，以及在向弹药上安装过程中未解除保险（完成）的特性。若引信安装在弹药上后，可观察到或可触及时，也应能用所采用的方法进行可靠的确定。

（3）防止将已解除保险（完成）的全备引信安装到弹药上的特性。

若全备引信在试验过程中解除保险（启动）和恢复保险是其在制造、检验或安装到弹药上以前任何时候的正常程序，则只满足（1）项要求是不够的，还必须满足（2）或（3）项的要求。

引信设计时必须满足或具有以上要求和特性，判断或确定的方法可以各式各样。如果采用“目视标志”来进行判断，目视标志器的设计应提供一种可靠而清晰的状态标志，标志器的失效不应产生错误的未解除保险（完成）标志。

从引信制造直到安全距离或友军及其装备不再需要保护的地点，其间的所有勤务处理和作战阶段都应进行引信安全系统失效率的计算。在引信鉴定期间，应通过试验和分析，在切实可行的范围内对引信安全系统失效率进行验证，而且不得超过下述各阶段给出的失效率：

（1）在预定的解除保险程序开始前，防止引信解除保险（启动）或不论是否解除保险（启动）而作用的失效率为百万分之一。

（2）出炮口前（身管发射的弹药），防止引信解除保险（启动）的失效率为万分之一，防止引信作用的失效率为百万分之一。

（3）从解除保险程序开始或从出炮口（若为身管发射）到安全距离之间，防止引信解除保险（启动）的失效率为千分之一，在此期间引信作用率应尽可能低，并应与弹药过早作用危害的可接受水平相一致。

引信安全系统失效率主要通过故障树分析来计算。根据各阶段失效率指标的要求，需要建立7棵故障树：在预定的解除保险程序开始前引信解除保险，在预定的解除保险程序开始前引信作用，出炮口前引信解除保险，出炮口前引信作用，从出炮口到安全距离之间引信解除保险，从出炮口到安全距离之间引信作用，引信作用失效。

为了便于直观理解对引信安全系统所提出的要求，图7-12以示意图的形式说明了安全系统的具体实现。

图7-12　典型引信安全系统示意图

爆炸序列的隔爆：隔爆件为转子，转子被后坐和离心启动的锁销固定在保险位置，转子上的雷管与爆炸序列的传递通道错开一定角度。

冗余保险：两个独立的保险机构是离心爪和后坐销，二者都能保证安全系统错位，各自依赖独立的和不同的环境去启动。

延期解除保险：延期解除保险时间由控制转子运动的无返回力矩钟表机构提供。

安全或解除保险状态检测：防错装特性可防止将一个已解除保险的安全系统装入引信。