民用飛機適航驗證中的飛機安全性評估技術研究

2015-08-01 10:08:23馮臻

航空標準化與質量 2015年6期

馮臻

（上海飛機設計研究院，上海 201210）

馮臻

（上海飛機設計研究院，上海 201210）

[摘要]通過研究相關工業標準并總結民機型號研制經驗，闡述了在飛機驗證階段開展飛機安全性評估的過程與方法。隨后給出某民機型號的工程實例，展現了飛機安全性評估的實際應用和具體內容，為民機安全性評估與適航合格審定工作提供有力的技術支持。

[關鍵詞]安全性評估；民用飛機；需求驗證；研制保證過程

民用飛機的安全性評估工作對于項目研制以及適航取證尤為重要，多年來業界相關工作一直按照美國汽車工程師協會（SAE）和航空無線電技術協會（RTCA）發布的相關標準如SAE ARP 4754/4761 和RTCA DO 178/254中給出的流程和方法指南來執行。然而，隨著民用飛機系統的高度綜合化和集成化，尤其在飛機層級，傳統的安全性指標的分配與綜合驗證技術已不能滿足新型飛機的研制需要[1]。SAE于2010年12月發布了ARP 4754A《民用飛機與系統研制指南》代替了ARP 4754，美國聯邦航空管理局（FAA）隨后通過發布咨詢通告AC 20-174對該文件進行了認可。

ARP 4754A核心理念是：“如果沒有一個從飛機級到軟硬件級的研制保證過程，則與軟件和電子硬件相關的過程（DO-178B和DO-254中所描述的工作）已不再被認為足以減少飛機或系統錯誤”[2]。相應地，在安全性評估工作中加入了初步飛機安全性評估（Preliminary Aircraft Safety Assessment, PASA）和飛機安全性評估（Aircraft Safety Assessment, ASA）的飛機層次的綜合工作。其中，PASA是指對提出的飛機架構進行系統性的檢查，通過將飛機級功能危險性評估（Aircraft Functional Hazard Assessment, A F H A）當中的失效狀態（F a i l u r e Condition, FC）分配到單個或者多個系統的方式，確定飛機級的安全性需求（例如功能研制保證等級、獨立性、概率方面的要求等）；而ASA是指對飛機實施的設計進行系統的綜合的評估，證明由AFHA確立失效狀態開始衍生出的所有的安全性需求都能被滿足。本文結合型號研制的工程實踐，給出了ASA過程的分析思路與方法，并以某民機型號安全性工作實例進行了具體說明。

1 ASA概述

圖1 ARP 4754A中提出的安全性評估過程

由圖1 ARP 4754A給出的安全性評估過程模型可知，ASA應當在最終的飛機驗證階段開展，是安全性需求雙“V”（Validation與Verification）環節的最終一環。因此，ASA的目的是確定安全性工作計劃當中規定的安全性工作都已經完成，并且飛機架構能夠滿足安全性需求。其主要工作內容可以概述為通過收集、分析及用文件證明的方式來驗證，所研制的飛機是否滿足由PASA確立的安全性需求。

依據ARP 4761《民用飛機機載系統和設備安全性評估過程的指南和方法》相關內容以及國際業界對其換版研討的最新動向，結合目前在民機型號研制當中的安全性實際工作，可以得出ASA的過程模型主要如圖2所示，本文隨后章節將進行詳細闡述。

圖2 飛機安全性評估（ASA）過程模型

2 ASA的輸入

由于ASA應當在飛機架構的具體實施都已完成時開展，因此梳理清楚ASA的輸入格外重要。如圖2所示，ASA的輸入主要包括兩方面：飛機和系統安全性評估工作方面的輸入、飛機研制工作方面的輸入。

2.1 來自安全性評估工作方面的輸入

綜合安全評估工作，對于ASA的輸入如下。

2.1.1 AFHA結果

ASA用到AFHA確定的所有的飛機級失效狀態。

2.1.2 PASA結果

飛機的實施滿足PASA中確立的安全性需求。

2.1.3 系統安全性分析（System Safety Assessment, SSA）結果

全機各系統需要完成SSA，提取與ASA相關的信息。SSA能夠提供下述信息：

概率數據，如故障樹分析（Fault Tree Analysis, FTA）數據；

研制保證等級的以及相關等級已被滿足的信息，主要包括功能研制保證等級（Function Development Assurance Level, FDAL）和軟硬件研制保證等級（Item Development Assurance Level, IDAL）；

證明系統的獨立性需求被滿足的相關設計信息；

安全性導出的維修任務；

機組程序與相關的駕駛艙告警；

失效模式與影響分析（Failure Mode and Effect Analysis, FMEA）信息、失效模式與影響摘要（Failure Modes and Effects Summary, FMES）信息。

2.1.4 共因分析（Common Cause Analysis, CCA）結果

CCA工作能夠給ASA提供的支持包括：

共模分析（Common Mode Analysis, CMA）結果證明飛機設計能滿足獨立性需求；

特定風險分析（Particular Risk Analysis, PRA）結果用以證明面對所定義的一系列風險威脅發生時，飛機設計能夠確保所引起的后果被最小化且處于可接受的水平；

區域安全性分析（Zonal Safety Analysis, ZSA）用以證明飛機系統之間的物理干涉不會違背相關的獨立性需求[3]。

2.2 來自飛機研制工作方面的輸入

ASA來自飛機型號研制工作方面的輸入經總結可包含如表1所示的相關信息

3 ASA的具體評估工作

根據圖2以及上述可知，ASA的具體評估對象主要包括安全性工作開展情況和AFHA當中的失效狀態。飛機架構相關的安全性需求始于飛機級AFHA的失效狀態，在PASA當中確定失效狀態相關的系統，這些失效狀態可以分為兩大類：失效狀態可通過單獨一個系統的SSA進行分析；失效狀態涉及多個系統的SSA，在ASA當中綜合分析。

ASA的具體工作因此也分為兩大方面：

3.1 通過評估飛機研制進程與安全性工作的相關資料，確定安全性需求的的有效性，主要工作包括以下要點：

表1 ASA飛機研制工作方面的輸入

3.1.1 確定滿足安全性工作計劃的要求；

3.1.2 確定安全性分析假設是正確的；

3.1.3 確定AFHA和PASA過程已經完成；

3.1.4 確定安全性相關驗證工作已經完成；

3.1.5 確定是否存在安全性相關的問題報告的開口項或者延期項；

3.1.6 確定安全性相關操作程序是否恰當。

3.2 對飛機最終架構的安全性評估，主要工作可能包含：

3.2.1 對于PASA中分解到多個系統的失效狀態（主要是Ⅰ類、Ⅱ類）開展綜合評估，確保滿足相關安全性需求；

3.2.2 ASA需要確保通過PASA給系統功能分配的FDAL以及后續分配的IDAL與安全性分析相匹配，同時對應相應研制保證等級的研發工作被執行與完成；

3.2.3 確保飛機級失效狀態的獨立性需求被滿足，主要是通過PRA、ZSA和CMA等分析結果來表明。

4 某型民用飛機的ASA示例

本節給出民用飛機Y-1型號ASA的應用示例。Y-1飛機參照ARP 4754A提供的流程開展研制，在最終的驗證階段開展了ASA工作，具體內容如下：4.1 飛機研制安全性工作總結

Y-1飛機在項目啟動階段制定了Y-1飛機安全性評估目標與要求、Y-1飛機安全性工作計劃、Y-1飛機安全性需求管理與確認驗證計劃。概念設計階段開始開展AFHA與系統級功能危險性評估（System Function Hazard Assessment, SFHA）工作并制定安全性公共數據文件，在初步設計階段、詳細設計階段開展了持續迭代的多輪PASA與初步系統安全性評估（Preliminary System Safety Assessment, PSSA）工作，試飛取證階段完成SSA工作，在此過程中穿插進行了相關需求確認與驗證工作。因此，Y-1飛機的安全性工作按照安全性計劃全部完成。

4.2 飛機架構安全性評估結論

4.2.1 AFHA失效狀態清單與定量分析（FTA）結果

Y-1飛機AFHA根據Y-1飛機功能共識別出150條失效狀態，通過PASA將失效狀態分配給相關系統，有些直接分配給單個系統負責，有些以故障樹形式分配到多個系統。各系統PSSA、SSA對SFHA中Ⅰ、Ⅱ、Ⅲ類失效狀態完成了定量評估。結合PASA的分析，在ASA當中得出AFHA中Ⅰ、Ⅱ、Ⅲ類失效狀態的最終定量分析結果，如表2所示。各系統提供分析數據的追溯表如表3所示。

Y1-FC-01在飛機級進行了合并計算，故障樹如圖3所示。

4.2.2 全機SFHA失效狀態與定量分析結論Y-1飛機共20個系統，各系統失效狀態數量與定量分析結果如表4所示。