概率安全評估和可靠性分析中故障樹的重要度分析

宋述芳，馬藝琰，王璐

(西北工業大學 航空學院，西安 710072)

0 引 言

故障樹分析(Fault Tree Analysis，簡稱FTA)是復雜系統可靠性、安全性和風險評估的一種有效方法[1-2]。FTA方法是由H.A.Watson在1961年首次提出，并應用于民兵式導彈發射系統，取得了卓越的成績。經過幾十年的發展，FTA逐步形成了完整的理論，并廣泛應用于核工業、航空航天、機械制造、電子電力、交通和化工等各個領域。

FTA方法是將系統故障的形成原因按照樹枝狀逐級細化的圖形演繹方法，可以形象地反映故障發生的因果關系。通過概率安全評估的定性和定量分析，可以分析出系統的薄弱環節，指導系統的安全運行，并最終實現系統的優化設計[2]。故障樹的定性分析是通過尋找最小割集，來識別所有導致系統故障的故障模式，從而發現系統的薄弱環節，判別系統的潛在故障，以便優化系統的設計，指導系統的故障診斷。故障樹的定量分析是利用故障樹的計算模型，在已知基本事件發生概率的條件下，求頂事件的發生概率，即失效概率，以及通過臨界重要度分析來全面考慮基本事件對頂事件發生概率的影響程度。

在故障樹的可靠性分析中，將故障樹的基本事件的發生概率看作隨機輸入變量，將故障樹的結構函數作為可靠性分析的狀態函數，可通過數字模擬法求得系統的失效概率[3]。全局靈敏度(也稱為重要測度)[4]可以全面求解基本變量對失效概率的影響，從而確定重要的基本事件，以指導系統的優化設計，具有與臨界重要度相同的目的和作用。

在工程結構分析中，安全性和可靠性都是結構質量管理的重要方面。針對相同的故障樹，安全概率評估和可靠性分析都可以進行結構故障的概率分析和重要度分析，那么兩者分析的頂事件發生的概率以及基本事件的重要度有哪些區別和聯系？由于安全性和可靠性的理論體系有差異，無法直接定量推導進行分析比較。本文通過對三個飛機系統的故障樹進行概率安全評估和可靠性分析，以期得出失效概率和重要度表征的定性結論。

1 概率安全評估的故障樹分析

故障樹分析方法是安全系統工程中常用的一種分析方法。這種方法將系統可能發生的某種事故與導致事故發生的各種原因之間的邏輯關系用樹形圖的方式表示出來，通過對故障樹的定性和定量分析，找出事故發生的主要原因，為確定安全對策提供可靠依據，達到預防和控制事故發生的目的。

1.1 最小割集

將同時發生就能導致頂事件發生的基本事件的組合稱為割集，最小割集是能夠引起頂事件發生的最低數量的基本事件的組合。最小割集指明了哪些基本事件同時發生就可以使頂事件發生的故障模式，即每個最小割集都是頂事件發生的可能途徑。最小割集的數目越多，系統的危險性越大。

1.2 概率函數

故障樹的概率函數是指由基本事件X1,X2,…,Xn發生的概率q1,q2,…,qn組成的頂事件發生概率的計算式g(q)。求出故障樹的最小割集后，可依據其來表達故障樹的概率函數。

(1) 當不同的最小割集中不包含相同基本事件時，故障樹的概率函數可以寫成最小割集邏輯“加”形式。

(2) 有相同的基本事件，需要使用不交化方法，利用布爾代數運算法則，使最小割集的交集變為不交集，然后按每個最小割集發生概率的代數和來計算頂事件的發生概率。

1.3 臨界重要度

定義臨界重要度為基本事件發生概率的相對變化率與頂事件發生概率的相對變化率的比值，反映了當基本事件發生概率變化時，對頂事件發生概率變化量的影響程度。則第i個基本事件的臨界重要度系數Ic(i)[2]為

(1)

2 可靠性估計中的故障樹分析

將故障樹的結構函數作為可靠性分析的狀態函數，將基本事件的發生概率作為隨機輸入變量，就可以對故障樹進行可靠性分析。

2.1 失效概率

假設隨機輸入變量的聯合概率密度分布函數為ρ(X)，用Monte Carlo法隨機抽取N個樣本點xj(j=1,2,…,N)，即可估計得出失效發生的概率Pf[3]為

(2)

2.2 全局靈敏度指標

可靠性分析中，局部靈敏度指標通常用失效概率對分布參數的偏導數來表達，不能考慮參數的變異性對結構響應的影響。全局考慮輸入變量的不確定性對輸出響應不確定性的影響程度，需要進行全局靈敏度分析。

(3)

失效概率全局靈敏度指標具有如下特性：(1)ηi≥0, 如果ηi=0，則輸入變量Xi對失效概率沒有影響；(2)如果設置變量組，則可以考慮該變量組對失效概率的交叉影響，且ηmax=η1,2,…,n。失效概率全局靈敏度指標表征隨機變量的取值規律對失效概率的影響程度，能夠全面地衡量各輸入變量對失效概率的貢獻，為可靠性設計提供有用信息。

3 算例分析及說明

式(2)確定的失效概率與概率安全評估中頂事件發生的概率是否一致？式(1)和式(3)確定的重要度排序是否一致？它們之間是否存在一定的關系？用以下三個飛機結構的故障樹為例，進行分析說明。

算例1 以某飛機襟翼失效[5]為例，將該飛機襟翼機構的單側不對稱運動失效作為傳動及控制系統失效的頂事件。襟翼傳動機構及控制系統運行的聯接關系描述如下：內襟翼由1號和2號作動器驅動，且這兩個作動器都未設置監控內襟翼傾斜角的傳感器。外襟翼由3號和4號作動器驅動，這兩個作動器都設置監控外襟翼傾斜角的傳感器。襟翼傳動機構最外側的扭力管處裝有兩個位置傳感器，用于監控單側襟翼的位置。襟翼位置控制系統由1號和2號襟翼控制單元組成，該控制系統是冗余的，能夠自動隔離故障控制單元的信號從而采用正常的控制裝置進行控制。如果控制單元的信號顯示襟翼系統是傾斜或者非對稱的，那么控制驅動裝置將會使襟翼停止運動并將襟翼控制在安全范圍內。

飛機襟翼的單側不對稱運動故障樹如圖1所示。在圖1中，頂事件T表示襟翼不對稱運動失效事件。故障樹由8個中間事件(用Mi(i=1,2,…,8)表示)、12個基本事件(用Xi(i=1,2,…,12)表示)和多個邏輯門構成。中間事件和基本事件的物理意義如表1所示[6]。

圖1 單側襟翼不對稱運動模型故障樹

事 件物理意義基本事件的發生概率M1可監控的襟翼不對稱運動單側傳動故障且監控功能失效-M2內襟翼分傳動路線故障使內襟翼發生不對稱運動-M3襟翼不對稱運動監控功能失效-M4可監控的單側傳動故障使襟翼不對稱運動-M5總傳動路線故障-M6外襟翼分傳動路線故障-M7外襟翼分傳動翼展方向故障-M8外襟翼分傳動翼弦方向故障-X11號襟翼控制裝置監控功能失效4.6×10-3X22號襟翼控制裝置監控功能失效4.6×10-3X3襟翼驅動裝置至1號襟翼作動器之間的扭力管組件故障4.0×10-4X4兩個105°角齒輪箱中至少一個發生故障5.8×10-2X51號襟翼作動器機械故障不能帶動扭力管運動4.0×10-2X61號襟翼作動器翼弦方向傳動故障不能驅動內襟翼運動1.8×10-6X72號襟翼作動器翼弦方向傳動故障不能驅動內襟翼運動1.8×10-6X82號襟翼作動器翼展方向傳動故障不能帶動外側扭力管3.5×10-4X92號和3號襟翼作動器之間扭力管組件傳動故障4.5×10-2X10161°角齒輪箱中傳動故障不能帶動外側扭力管運動8.5×10-2X113號襟翼作動器翼弦方向傳動故障不能驅動外襟翼運動2.5×10-6X124號襟翼作動器翼弦方向傳動故障不能驅動外襟翼運動2.5×10-6

(1) 概率安全評估的分析結果

頂事件發生的概率：g(q)=8.052×10-6

臨界重要度排序：Ic(1)=Ic(2)>Ic(6)=Ic(7)>Ic(10)>Ic(4)>Ic(9)>Ic(5)>Ic(3)>Ic(8)>Ic(11)=Ic(12)

通過概率安全評估的確定性分析，認為飛機襟翼單側不對稱運動故障中應重點關注1號、2號襟翼作動器翼弦方向故障(X6與X7)和1號、2號襟翼控制裝置對于襟翼不對稱運動的監控功能失效(X1與X2)，同時也應關注161°角齒輪箱中傳動故障不能帶動其外側扭力管運動事件(X10)。

(2) 可靠性模型及分析結果

將可靠性模型的輸出量假定為頂事件T發生的概率，而12個基本事件發生的概率看作模型的輸入量，且用Xi(i=1,2,…,12)來表示[6]。12個輸入變量均服從對數正態分布，其均值在表1最后一列給出，并假定所有輸入變量的誤差因子均為2。可靠性分析所得頂事件發生的概率為8.060×10-6，全局靈敏度指標確定的重要度排序為：η6η7η11η12η1η2η8η3η10η4η5η9。

概率安全評估的臨界重要度和可靠性分析的全局靈敏度指標的對照如表2所示。

表2 算例1臨界重要度和全局靈敏度指標的對照表

故障樹頂事件發生的概率值基本一致；可靠性分析的全局靈敏度指標η所確定的基本事件的重要性排序與概率安全評估中的臨界重要度的排序順序并不一致；{X6,X7,X1,X2}依然是重要基本事件，但{X11,X12}的重要度排序發生了巨大的變化。

算例2 以波音飛機升降舵操縱分系統為例，依據其功能的示意圖(如圖2所示)，建立故障樹。設頂事件為升降舵不能到達指定位置；構建故障樹的邊界條件為：不考慮安定面的影響，并且側重于分析其機械故障[7-8]。構建的升降舵操縱系統的故障樹如圖3所示，其中的頂事件、中間事件及基本事件的名稱說明以及基本事件發生的概率如表3所示。

(1) 概率安全評估的分析結果

頂事件發生的概率：g(q)≈2.464×10-10

臨界重要度排序：Ic(1)>Ic(2)>Ic(3)>Ic(4)>Ic(9)>Ic(6)=Ic(5)>Ic(7)=Ic(10)>Ic(8)=Ic(11)

可以看出：離合器和傳感器的信號傳遞是重要事件，要保證升降舵正常工作，首先要確保的是離合器和傳感器的正常工作，而后的臨界重要度排序基本是按照基本事件發生的概率大小進行排序的，即著重考慮軸承的磨損和間隙等漸變損傷造成的升降舵不能到達指定位置的失效。

圖2 波音737-NG飛機升降舵操縱系統的功能示意圖

圖3 波音737-NG飛機升降舵操縱系統的故障樹

序號事件事件名稱基本事件發生的概率1T升降舵不能到達指定位置-2M1升降舵動作量與指令不符-3M2升降舵機械卡滯無動作助力器與機械操縱卡滯,同時離合器故障-4M3升降舵軸承組件故障-5M4助力器與機械操縱卡滯-6M5左側助力器與機械操縱卡滯-7M6右側助力器與機械操縱卡滯-8M7左側機械操縱卡滯-9M8右側機械操縱卡滯-10X1傳感器故障3.65×10-611X2離合器故障1.85×10-612X3升降舵軸承磨損變形1.87×10-513X4升降舵軸承間隙過大1.66×10-514X5左側助力器卡滯1.00×10-515X6右側助力器卡滯1.00×10-516X7左側搖臂卡滯9.09×10-617X8左側拉桿卡滯7.43×10-618X9方向盤卡滯1.05×10-520X10右側搖臂卡滯9.09×10-621X11右側拉桿卡滯7.43×10-6

(2) 可靠性模型及分析結果

將可靠性模型的輸出量假定為頂事件T發生的概率，而11個基本事件發生的概率看做模型的輸入量，且用Xi(i=1,2,…,11)來表示。11個輸入變量均服從對數正態分布，其均值在表3最后一列給出，并假定所有輸入變量的誤差因子均為2。頂事件發生的概率估計為2.463×10-10，失效概率全局靈敏度指標確定的輸入量的重要性排序為：η2η1η3η4η8η11η9η6η5η10η7。

概率安全評估的臨界重要度和可靠性分析的全局靈敏度指標的對照如表4所示。

表4 算例2臨界重要度和全局靈敏度指標的對照表

概率安全評估和可靠性分析所得的失效概率值基本一致；而基本事件的重要性排序并不一致，但重要的基本事件都是{X1,X2,X3,X4}，且基本事件{X5,…,X11}的重要性影響相差不大。

算例3 某型飛機的起落架系統主要由前、主起落架組成。前起落架固定在前機身，向機頭方向收起到前起落架艙內，艙口有兩塊護板蓋住。兩個主起落架分別連接在左、右機翼主梁和前梁之間的支座上，向機身方向收到機翼的主起落架艙內，艙口有三塊護板蓋住。前、主起落架在正常情況下由液壓系統來收放，當液壓系統發生故障時，可采用應急系統放下前、主起落架。前、主起落架收上時，由上位鎖鎖住，放下時由收放作動筒的鋼珠鎖及液壓油鎖鎖住。由于主起落架系統較為復雜，此處只針對“主起落架未到放下位置”這一故障進行分析。“主起落架未到放下位置”指的是主起落架放不下來，或者主起落架放下后鎖不住。所建立的故障樹如圖4所示，各事件的名稱及基本事件的發生概率如表5所示[9]。

圖4 主起落架未到放下位置的故障樹

序號事件事件名稱基本事件發生的概率1T主起落架未到放下位置-2M1正常情況下未到放下位置-3M2應急情況下未到放下位置-4M3主起落架放不下-5M4主起落架放下后鎖不住-6X1液壓電磁閥失效2.50×10-57X2開鎖作動筒失效1.25×10-58X3護板鎖打不開1.00×10-139X4護板作動筒失效7.15×10-510X5上位鎖機構卡住2.00×10-1311X6主起落架收放作動筒失效1.25×10-512X7液壓油鎖失效2.00×10-813X8主起落架收放作動筒滾珠鎖失效1.50×10-514X9應急放下時上位鎖及護板鎖打不開3.57×10-5

(1) 概率安全評估的分析結果

頂事件發生概率：g(q)≈1.250×10-5

臨界重要度排序：Ic(6)>Ic(9)>Ic(4)>Ic(8)>Ic(1)>Ic(2)>Ic(7)>Ic(5)>Ic(3)

該故障樹的最小割集較多，即造成頂事件發生的途徑較多，因此頂事件發生的危險性高。降低基本事件X6、X8、X9的發生概率，可以大幅降低頂事件發生概率。

(2) 可靠性模型及分析結果

將可靠性模型的輸出量假定為頂事件T發生的概率，而9個基本事件發生的概率看作模型的輸入量，且同理用Xi(i=1,2,…,9)來表示。計算所得頂事件發生的概率為：1.252×10-5。考慮輸入量不同的分布類型和分布參數，概率安全評估的臨界重要度和四種情況下可靠性分析的全局靈敏度指標的結果如表6所示。

表6 算例3臨界重要度和全局靈敏度指標的對照表

概率安全評估和可靠性分析所得的失效概率值基本一致；而從表6可以看出：四種情況下(Case1 輸入量均為對數正態分布，誤差因子為2；Case2輸入量均為對數正態分布，誤差因子為1.2；Case3輸入量均為指數分布；Case4輸入量均為均勻分布)可靠性分析的失效概率全局靈敏度指標所確定的基本事件的重要性排序與概率安全評估中的臨界重要度的排序順序完全不同，概率安全評估中的重要基本事件是{X6,X9,X8}，非重要基本事件是{X5,X3,X7}；而可靠性分析的重要基本事件均為{X3,X5}，四種情況下的基本變量的重要性排序順序也基本一致。

從飛機結構的三個故障樹的分析結果可以看出，概率安全評估和可靠性分析的失效概率值是基本一致的。而可靠性分析的失效概率全局靈敏度指標所確定的基本事件的重要性排序與概率安全評估中的臨界重要度的排序順序不一致，甚至會有顛覆性的排序結果。究其原因是基本事件發生概率的隨機不確定性的引入，且隨機分布類型和分布參數不同，重要性指標數值也不同。若想獲得準確的全局靈敏度指標以高效快速指導可靠性設計，需獲取精準的隨機變量分布類型和分布參數，則需借助于先進的機器學習算法及Bayes理論。

4 結 論

(1) 概率安全評估和可靠性分析所得的失效概率值基本一致；而由于引入基本事件發生概率的隨機性，會使得基本事件的重要性排序發生變化。

(2) 概率安全評估是在基本事件發生概率取其名義值時得出的，其魯棒性欠缺，即當基本事件發生的概率值有微小擾動時，概率安全評估必須要進行重新分析和計算。相對而言，考慮基本事件發生概率的不確定性得出的可靠性結果會更加可靠。

(3) 對于基本事件相關或最小割集相交或不確定信息不完善等情況下，概率安全評估與可靠性分析之間的差異有待進一步考慮，這將為飛行器結構安全工程理論體系的完善依據。