民用飛機安全性分析中單點失效MTBF的算法

楊　可，趙長嘯

（中國民航大學 a.工程技術訓練中心；b.適航審定研究中心，天津　300300）

民用飛機安全性分析中單點失效MTBF的算法

楊可a，趙長嘯b

（中國民航大學 a.工程技術訓練中心；b.適航審定研究中心，天津300300）

安全是民航工業的生命線。按照適航規章要求，任何妨礙飛機繼續安全飛行與著陸的單點失效的出現是極不可能的。傳統的參數，如平均故障間隔時間（MTBF），是用來計算部件失效概率的常用參數，但由于關鍵安全部件可能在平均故障間隔時間之前出現故障，因此，該參數的傳統計算方法對于單點失效概率的分析并不適用。提出評價單點失效概率的分析方法，即基于所給出數據樣本量的大小，提出了評價單點失效概率的計算公式。給出了兩個案例來進一步驗證所提方法的有效性。

單點失效；MTBF；概率；安全性評估

旅客信任航空業的基礎是安全，要求其產品及運行無事故[1]。安全分析是飛機安全性設計的關鍵組成部分。通常安全分析由未參與飛機設計過程的工程師通過常用的定性方法（如FMEA，失效模式及影響度分析）與定量方法（如FTA，故障樹分析）相結合而展開分析[2]。

單點失效分析通常采用“自底向上”的分析方法[3]，如FMEA。但當失效影響為“隱性”時，現有假設“失效的可能組合”僅考慮了單點隱性失效與“下一個最壞的”失效相結合，這種分析方式適用于簡單機械、液壓機械或電力系統的評價，然而，隨著設計中功能的融合和多樣化以及技術的增加，尤其設計中包含了數字航空電子設備，其結果導致了復雜性、相互依賴性的增加，原有假設飛機中失效影響的獨立性已不成立，同時零部件計數法使得“隱性—下一個最壞”失效關于“失效概率結合”的假設尚有置疑。因此，為了確保對于大量存在的失效，設計是“失效—安全”的，通常需要利用概率方法。

除了傳統的方法，如故障樹（FTA）[4]、關聯圖（DD）[5]，許多安全評價的方法已在航空業運用。例如，達索7x飛行控制系統通過AltaRica語言建立數據流模型以證明安全性[6]。由ESACS及ISAAC項目提出的擴展系統模型（ESM）/失效注入模型（FI）方法介紹了航空領域基于模型的安全評價（MBSA）[7]。國內學者利用BBD方法分析了基于任務的航空電子網絡可靠性[8]。

以上研究都試圖解決復雜系統的安全/可靠性評價問題，并未太多關注于單點失效的概率分析。許多工程師認為，由于安全關鍵部件可能會在平均故障間隔時間（MTBF）前失效，因此單點失效利用傳統MTBF進行計算分析不再滿足系統安全性需求。

本文提出了如何利用可靠性數據MTBF來計算單點失效概率的方法，同時就大樣本量數據及小樣本量數據分別提出了兩個計算公式。基于工業中常用的風險管理原則，這兩個公式的置信水平均為95%。同時，提出兩個案例以驗證所提方法的有效性。

1　問題描述

1.1單點失效的安全要求

單點失效作為系統的一部分，一旦發生將導致整個系統停止工作。在民航領域，要求任何災難性失效狀態不會由單點失效導致。因此必須建立故障分析、部件測試或仿真環境測試，驗證沒有單點失效或其可能的失效結合會妨礙飛機的安全運行。適航規章FAA25.1309指出[9]，飛機系統及相關部件的設計，要單獨考慮且與其他系統一同考慮，使得災難性失效狀態的概率極為不可能且不是由單點失效導致。同時，要求任何危險性失效狀態概率為極微小的，任何重大失效狀態概率為微小的。

1.2單點失效出現的概率

適航要求指出，不允許由任何單點失效造成災難性失效狀態。但對于能造成并非特別嚴重的失效狀態如危險失效狀態的單點失效，則必須進行考慮。問題在于如何評價“單點失效”的概率以滿足功能危險性分析（FHA）的安全目標。許多工程師認為由于安全關鍵部件可能會在平均故障間隔（MTBF）[10]之前失效，所以MTBF不再被使用，因此需給出關于關鍵單點失效概率的評價方法。

當對一個給定的失效狀態進行概率預測時，故障率影響的方差將會導致多重失效因素相互抵消。因此，使用部件的平均可靠性（如MTBF）進行計算是合理的，然而這并沒有考慮單點失效的情況。接受單點失效的一個重要條件，就是要考慮主要部件可靠性預測概率的“最小值”在控制范圍內，且在失效狀態概率分配中不占主導地位。也就是說，單點失效的“最小”時間間隔應該比最可能的多重失效情況的“平均”時間間隔更長。在下文中將介紹一種新的單點失效概率的預測方法。

2　單點失效概率的預測方法

2.1預測方法

如果單點失效存在，必須要有足夠的置信水平（通常是95%），以確保單點失效的間隔時間比很可能發生的多重失效的間隔時間長[11]。換言之，令單點失效部件的MTBF等于T，如果該部件95%置信區間內的無故障時間間隔為T0，且T0＞T，則此部件滿足安全需求。這個過程可由概率及統計理論推導。

以部件YK-75為例來解釋這種方法。部件YK-75單點失效會造成危險的失效狀態FC-T-1，如圖1所示。此案例中平均飛行小時數T0為1 h。

圖1　FC-T-1故障樹Fig.1　FC-T-1 fault tree

根據AC25.1309-1B（草案）及SAEARP 4761[12]，如果部件的失效分布函數服從指數分布，則1/MTBF= λ，進而展開概率計算。

根據統計理論，由供應商提供的YK-75部件的壽命服從正態分布，MTBF為部件最有可能的壽命。然而，很明顯對于每一個部件不可能有完全相同的壽命MTBF，也就是說幾乎有一半的部件壽命小于MTBF。換言之，如果將YK-75的MTBF作為基礎計算數據，系統將有50%的可能承擔“低于預期的安全”的風險。

假設YK-75為安全關鍵部件，其發生將導致頂事件失效狀態的發生，直接使用MTBF計算單點失效概率則無可行性。MTBFSF作為決定性參數，可代替MTBF來評價安全目標是否得到滿足，這意味著需要更高的可靠性水平。

這里的“MTBFSF”（SF為單點失效）代表修正過的MTBF計算表達符號，可直接用于單點失效概率的計算，其表達式為

上式表明，MTBFSF是MTBF的函數。如果這種失效可與其他失效相結合導致頂事件的發生，則可直接使用MTBF計算。但如果這種失效為單點失效，則在故障樹分析中應該使用MTBFSF進行計算。

圖1中故障樹的頂事件失效狀態FC-T-1平均每飛行小時概率計算為

其中：MTBFSF(YK-75)為單點失效概率，根據式（1），由供應商提供的YK-75的MTBF常量計算得到；MTBF1與MTBF2為供應商提供的常量。因為二者是組合失效中的元素，因此這些數據可被直接使用。

考慮到工業實踐經驗及可靠性數據的樣本量，在此給出兩種方法將供應商提供的常量MTBF轉換為MTBFSF，運用以下兩個公式很容易得到高置信度的MTBFSF的值，以計算單點失效的概率。

2.2基于大樣本量的MTBF轉換公式

由供應商AB生產的一大批部件XY，其壽命服從正態分布X～N（μ1，σ2），整個統計分析包含n個樣本（即樣本變量）為μ1的無偏估計量，S2為σ2的無偏估計量，即

根據分布特征，如果n足夠大，則t分布可近似看作標準正態分布N（0，1），從t分布表中可知，當n> 45時，可以使用正態分布；當n<45時，仍必須使用t分布進行計算。現假設n>45，則以下均為近似值。

圖2顯示了Z的概率密度。

圖2　置信水平分析Fig.2　Confidence level analysis

找到Zα分位點，令Z≤Zα的概率處于95%的高置信水平，陰影面積代表Z≤Zα的概率，則圖2可進一步表示為

根據標準正態分布得Zα=1.65，于是

因此，在95%的置信度下

部件XY經參數轉換后的高置信度MTBFSF可根據圖3計算

圖3　MTBF與MTBFSF的關系Fig.3　Relationship between MTBF and MTBFSF

實線為高置信度的MTBFSF，虛線為樣本分布。均值μ1為供應商提供的MTBF。因此，高置信度的MTBFSF比MTBF計算單點失效更易接受。

95%的置信度可保證部件XY的MTBF滿足安全目標，且此置信水平也可滿足安全需求。因此，如果部件XY滿足此目標，就可保證“單點失效可控并能保持系統安全水平”。

大樣本數據的計算公式為

其中：MTBFSF用于直接計算單點失效概率；MTBF是供應商可靠性數據庫中的統計量；S為樣本標準方差；n為樣本量。

2.3基于小樣本量的MTBF轉換公式

上文已介紹了計算大樣本量的可靠性數據置信區間的方法，然而，通常實際中單點失效發生率很低，統計樣本量n非常有限，如果n很小，則會導致樣本標準錯誤很大，這種情況下用這種方法進行數據計算并不適用。因此，以下將給出另一種方法來計算在給定的置信水平內小概率事件的置信區間。

通常飛機故障，失效或缺陷往往是在實際服務中才能觀察到的問題。用于概率計算的數據即觀察到的事件數量、航班數量或飛行暴露時間。假設小概率事件發生的可能性可以近似通過劃分事件的數量、飛行小時數得到，則概率等于觀察到的事件率。因此，概率計算簡單地基于觀察到事件的數量、飛行小時數以及飛行暴露。例如，如果在450 000個飛行小時內觀察到9起燃油泄漏事件，則事件的平均每飛行小時概率為9/450 000=2E-5。注意這個簡單的計算提供了一個單點概率，此值用于平均每飛行小時的概率，而不考慮產品壽命。因此，假設失效的概率仍然保持不變，如產品壽命。

當概率計算必須基于觀察到的少量事件時，結果就會受到顯著的統計不確定性影響。因此，在風險分析假設中，通過采用比分析更有效的風險降低計劃或通過增加分析結果的置信范圍以提高結果的保守性。以下公式適用于獨立于產品壽命的事件概率，統計假設觀察到的事件服從于泊松分布

根據前例，在450 000飛行小時內觀察到的9起燃油泄漏事件在90%的置信度下可通過以下參數值計算：T=450 000 h，α=1-0.9=0.1，r=9。根據χ2分布表，得

帶入式（13）可得

3.157E-5為保守概率的上限，此上限提供了一個調整后的不確定性統計的概率值近似。調整量為樣本量（如9起事件）及選定的置信水平（如90%）的函數。對于在450 000飛行小時中發生的9起燃油泄漏事件，落入90%置信范圍的概率與通過觀察得到的“置信因素”的概率之比為1.578。

對于單點失效（λ=P/T）而言，由于P是平均每飛行小時的概率（T=1 h），因此事件的MTBF接近于

MTBF90%的置信區間為

31 496

換言之，有95%的可能使MTBF的值超過31496h。

假設燃油泄漏事件是一個單點失效，MTBF的安全需求為μ，如果μ≤31 496，則至少有95%的概率可以保證MTBF的值大于安全目標，這也就意味著單點失效可以滿足安全需求。換言之，當單點失效的概率很小時，由供應商提供的可用于可靠性統計的樣本數據很小，MTBF僅可以從很少量的樣本觀察事件中獲得，因此式（14）為小樣本數據的函數

3　實驗

3.1大樣本公式的應用

表1中可靠性數據來源于中國某航空公司的可靠性數據中心。

表1　部件XX-1的可靠性數據Tab.1　Reliability data of component XX-1

表1中樣本量為65，第5列為每個部件的失效時間（min），除以60可換算為小時。

利用式（1）計算置信水平為90%的置信區間：

樣本均值為

樣本標準差為

其中：樣本量n=65；置信水平α=1-0.9=0.1；常用的MTBF=4745 h。

如果計算單點失效概率，應采用式（12）計算

3.2小樣本公式的應用（近似小概率事件）

表2中的可靠性數據來源于中國某航空公司的可靠性數據中心。

表2　部件XX-2的可靠性數據Tab.2　Reliability data of component XX-2

表2中的樣本量為5，第5列為每個部件的失效時間。

利用2.3中提到的方法計算在90%的置信水平下部件的置信區間。利用等式

得出90%置信水平的下限為

通過近似計算，部件MTBF90%的置信區間為

假設部件失效為單點失效，利用式（14），常用的MTBF=2.5E+7 h。

計算單點失效概率，則應采用以下數值

4　結語

如果計算關鍵單點失效的概率，在不考慮附加條件的情況下，不能使用平均可靠性數據MTBF。由于導致單點失效的時間間隔應大于導致多重失效的平均時間間隔，因此MTBF不適用于單點失效。

本文提出了評價單點失效概率的方法，分別給出了基于大樣本數據以及小樣本數據的兩個概率計算公式。基于風險管理原則，這兩個公式都具有95%的置信水平。最后，分析了兩個真實的案例以驗證所提方法的有效性。

[1]HEWITT J,PHAM J.Quantitative Risk Assessment Enhances Customer TrustinAviation[C]//ReliabilityandMaintainabilitySymposium(RAMS), 2014 Annual.IEEE,2014：1-6.

[2]ZHU Y,ZHANG J,GONG Q,et al.Reliability and Safety Assessment with AltaRica for Complex Aircraft Systems[C]//Reliability,Maintainability and Safety(ICRMS）,2011 9th International Conference on.IEEE, 2011：588-593.

[3]YANG J,HUANG H Z,HE L P,et al.Risk evaluation in failure mode and effects analysis of aircraft turbine rotor blades using Dempster-Shafer evidence theory under uncertainty[J].Engineering Failure Analysis,2011,18(8):2084-2092.

[4]LIU C B.Aircraft Fuel Tank System Fire Disaster Analysis based on FMEA and FTA[C]//QR2MSE 2013,IEEE Computer Society,IEEE, 2013.

[5]MYERS ALBERT,RAUZY ANTOINE.Efficient reliability assessment of redundant systems subject to imperfect fault coverage using binary decision diagrams[J].IEEE Transactions on Reliability,2008,57(2): 336-348.

[6]?KERLUND O,BIEBER P,B?EDE E,et al.ISAAC,a Framework for Integrated Safety Analysis of Functional[C]//Geometrical and Human Aspects,in 3rd European Congress on Embedded Real Time Systems (ERTS).Toulouse,France,2006.

[7]LISAGOR O.A Pragmatic Approach[D].York:The University of York, 2010.

[8]ZHAO C X,CHEN Y,WANG H L,et al.Reliability analysis of aircraft condition monitoring network using an enhanced BDD algorithm[J].Chinese Journal of Aeronautics,2012,25(6):925-930.

[9]FAA.Arsenal Version of AC1309(draft）,System Design and Analysis [S].America：Federal Aviation Administration,2002.

[10]YUN W Y,PARK GOEUN,HAN Y J.An optimal reliability and maintainability design of a searching system[J].CommunicationsinStatistics:Simulation and Computation,2014,43(8):1959-1978.

[11]ZANIN M.Network analysis reveals patterns behind air safety events[J]. Physica A:Statistical Mechanics and its Applications,2014,401:201-206.

[12]SAE.APR4761,Guidelines and Methods for Conducting the Safety Assessment Process on Civil Airborne Systems and Equipments[S].America:The Engineering Society For Advancing Mobility Land Sea Air and Space,1996.

（責任編輯：楊媛媛）

Single failure MTBF analysis on aircraft safety assessment

YANG Kea,ZHAO Changxiaob
（a.Engineering Techniques Training Center;b.Airworthiness Certification Technology Research&Management Center,CAUC,Tianjin 300300,China）

Safety is the lifeline of civil aviation industry.The regulations proposed by airworthiness authorities require that the occurrence of any single failure which would prevent continuous safe flight and landing of airplanes is extremely improbable.While the ambiguous description makes it difficult to calculate the occurrence of single failure in practice.The traditional parameter,mean time between failure(MTBF),is not suitable for single failure analysis due to the possibility that critical safety components may fail before MTBF.A method is proposed to evaluate the probability of single failure.The evaluating formula for the occurrence probability of single failure basing on sample size is given.Practical cases are used to verify the effectiveness of this method.

single failure;MTBF;probability;safety assessment

V240.2

A

1674-5590（2016）04-0011-05

2016-01-13；

2016-04-05基金項目：國家自然科學基金項目（U1533105）

楊可（1985-），女，湖北宜城人，助教，碩士，研究方向為民用航空器維修、系統安全性分析.