技術規章條款制修訂的安全性分析方法

胡天辰，蔡景

南京航空航天大學，江蘇 南京 211106

適航作為民用飛機安全性的保證，已經成為業內的共識。以適航審定為核心內容的初始適航管理是保證民用飛機滿足安全性的基礎，其中技術規章條款是開展適航審定的基礎。因此，技術規章條款的安全性要求是否充分和適宜對于民用飛機的安全至關重要。我國國產民用飛機的研制起步較晚，因此，在技術規章條款的制修訂方面主要采取跟蹤、參考美國聯邦航空局（FAA）和歐洲航空安全局（EASA）的方式。由于我國民機的運行環境與歐美不同，再加上國產民機的研制技術水平與歐美有差距，因此，適合歐美的技術規章條款不一定適合我國。實踐證明，技術規章條款制修訂非常復雜，考慮因素眾多，不僅需要考慮新技術、新材料在飛機上的推廣應用，同時還需要考慮特定的運行環境、機隊規模等因素。因此，在我國大力發展國產民用飛機的背景下，技術規章條款的制修訂工作已成為我國適航管理中的重要工作之一。

技術規章條款制修訂的核心內容是安全性，目前在安全性方面我國已經開展了大量的研究，如《ARP 4761:民用機載系統和設備安全性評估過程的指南和方法》中提出的功能危害性分析（FHA）、初步系統安全分析（PSSA）和系統安全性分析（SSA），以及由ARP 4754A提供的符合審定要求的全球通用性方法[1-2]。而技術規章條款制修訂是安全、經濟、技術、運行環境等眾多因素綜合權衡的結果，是一個系統性的工作，傳統民機系統安全性設計、分析與評估的理論體系沒有考慮危險因素與人為因素的相互影響，其用于分析軟件密集型系統安全性的有效性正逐漸降低。為了綜合考慮技術規章條款制修訂所涉及的眾多安全性因素，需要從系統中人、飛行器與環境等綜合復雜因素及相互之間的關系出發，改進優化技術規章條款制修訂的安全性分析方法。近年來，一種基于系統理論的過程分析（STPA）方法在針對軟件密集型復雜系統安全性的分析上得到廣泛應用。與其他方法相比，STPA 利用系統和控制理論來考慮系統組件之間的相互作用對系統整體安全性的影響[3]。

目前，基于STPA的安全性分析已被應用并擴展于各個領域。Dakwat 等[4]提出了一種將STPA 和模型檢查相結合的方法, 提高了設計變更的一致性，以更好地解決STPA中確定安全約束的問題；Castilho 等[5]證明將STPA 應用于閉環連續控制的可行性，識別輕型飛機側風起飛的危險，以及使其執行更安全的緩解措施；劉金濤[6]擴展了STPA的具體實施，并能夠自動化實現，使其成為適合于高速列控系統的安全分析方法；趙長嘯等[7]提出了STPA-Bayes安全性分析與評價模型，支持了機載顯示系統的安全性分析；史思楊[8]提出了一種新的系統安全性分析方法——MB-STPA，識別了波音737-NG系列飛機剎車系統的風險致因；陳苗芳[9]提出形式化的STPA控制結構的危險分析方法，對飛行器自動油門控制系統進行危險分析。在現有的研究以及與傳統分析方法的對比評估中，STPA 發現了傳統方法可以發現的所有因果方案，并且它也發現了傳統方法沒有發現的軟件相關非故障的場景。

通過以上分析可知，STPA分析方法具有同時考慮系統中人、飛行器與環境等綜合復雜因素及相互之間關系的優點，與技術規章條款制修訂需要考慮的因素非常契合。因此，本研究將STPA方法融入技術規章條款制修訂過程，提出基于STPA的技術規章條款制修訂的安全性分析方法，并以飛機前輪轉彎系統相應的技術條款為例，驗證該方法的可行性和有效性，為我國今后技術規章條款修制訂提供安全性分析。

1 系統理論過程分析（STPA）方法

1.1 STPA方法簡介

STPA方法由N. G. Leveson[10]提出，這是一種適用于復雜系統危險致因的安全性分析技術，而危險可能是由部件之間的不安全相互作用以及部件故障和失效引起的。STPA基于系統—理論事故模型和過程（STAMP）來分析已識別系統危險的致因。STAMP 的三個核心要點是安全約束、分層安全控制結構和過程模型[11]，認為損失是由未能有效實施安全約束造成的，而系統安全的重點從預防失效轉向實施安全約束。因此，其不僅可以分析組件的失效，還可以分析組件的多方交互作用。

在具體分析過程中，STPA 以控制為中心，以系統中的不安全控制行為為重點，用分層控制結構描述系統組件之間的控制關系。通過過程模型、分類和分析不安全控制行為，找出系統危險和問題的根本原因，最后根據問題的原因導出相應的安全要求。

1.2 STPA方法分析步驟

STPA方法主要分4個步驟，如圖1所示。

圖1 STPA方法分析流程Fig.1 STPA method analysis process

（1） 定義分析目的。通過定義分析目的，明確該分析所要避免的損失，確定被分析的系統與系統邊界。定義分析目的分為定義損失（事故）、識別系統層級危險、確定系統層級安全約束提煉危險（可選）4部分。

（2） 建立一個系統模型，稱為控制結構。控制結構通過一組反饋控制回路對系統建模，以捕捉功能關系和交互。控制結構通常從更抽象的層次開始，并進行迭代調整以捕獲更多的系統細節。

（3） 識別不安全控制行為，旨在分析控制結構中的控制行為，以驗證此類行為如何導致第一步中提到的損失。不安全控制行為（UCA）指的是在特定情境及最壞環境下可能導致危險的控制行為。在完成了事故與危險的識別，以及控制結構的搭建后，即可以通過評估系統設計中的安全控制來確定導致危險狀態的可能性。對于不安全控制行為的分析可以分為4種情況:未提供控制行為導致危險、提供控制行為后導致危險、提供可能安全的控制行為但時間節點或順序錯誤導致危險和控制行為持續時間不當導致危險。

（4） 識別致因場景，主要是識別系統中可能出現不安全控制的原因。構建適當情境以解釋以下內容:出現不安全控制行為并導致損失；提供了安全控制行為卻沒有恰當地遵守或執行并導致損失。

一旦識別了分析對象的場景，即可用于生成其他需求、確定緩解措施、改進系統架構以及提出設計建議。

2 融入STPA的技術規章條款制修訂安全性分析流程

結合過去技術規章條款制修訂案例可知，飛機及發動機結構或部件發生事故、新技術的出現，以及跟隨其他規章的修制訂都會啟動條款制修訂機制。隨后需要判斷危險致因是否明確，如果致因不明確，則重點在于明確條款所涉及的系統，經過STPA方法分析識別出不安全控制行為與相應的致因場景；相反，如果危險致因是明確的，則無須再進行STPA分析。最后，將分析結果作為參考依據或判斷現有條款對全部致因場景的包含情況對條款進行制修訂。融入STPA 方法進行技術規章條款制修訂安全性分析的流程如圖2所示。

圖2 融入STPA方法的技術規章條款制修訂安全性分析流程Fig.2 Safety analysis process for preparation and revision of technical regulations with STPA method

2.1 技術規章條款涉及的系統分析

考慮到技術規章條款的持續修訂和航空技術的發展，需要對適航標準進行系統的技術分析，跟蹤條款的修訂歷史，解讀適航要求的安全意圖和技術含義，正確理解和把握符合性驗證方法[12]。每一條款都會針對一個特定的系統進行解釋說明或要求，因此在分析技術規章條款修制訂的安全性前，應該明確條款所涉及的系統，并且應用STPA方法進行系統級分析，以識別系統事故對應的損失以及危險。

STPA 可針對利益相關者不可接受的任何損失。如果涉及多個損失，如失去生命或遭受人身傷害、交通工具丟失或受損、交通工具外部物品丟失或受損、任務失敗以及客戶滿意度受損。由于每個STPA 結果都可以追溯到一個或多個損失，因此可以簡單地根據所涉及的損失按主次順序排列分析結果。

接下來需要識別系統事故及對應的危險，對所分析的系統風險形成全局認識。系統級危險是通過識別在最惡劣環境條件下會造成損失的系統條件或狀態來定義的。

2.2 構建系統控制結構

分層控制結構指的是由反饋控制回路組成的系統模型。有效地控制結構可以將約束施加到整個系統的行為上。分層控制結構由圖3 中所示的反饋控制回路組成。通常，控制器可以通過提供控制行為來控制程序，并對受控過程的行為施加約束。控制算法代表控制器的決策過程，即決定提供哪些控制行為。控制器還具有其過程模型，該模型代表其先前決策的內部思想。過程模型可以包含關于受控過程或系統/環境的其他相關方面的想法。過程模型可以通過用于觀察受控過程的反饋進行部分更新。一般情況下，大多系統都有幾個重疊且交互控制回路。如圖4所示，多個交互控制回路可通過一個分層控制結構進行建模。

圖3 一般控制回路Fig.3 General control loop

圖4 一般層級控制結構Fig.4 General level control structure

2.3 識別系統不安全控制行為

不安全控制行為指的是在特定情境及最壞環境下可能導致危險的控制行為。一旦識別出系統事故、系統級危險以及相關的安全約束，并確定了安全控制結構，即通過評估系統設計中的安全控制來確定導致危險狀態的可能性。

不安全控制行為應說明在何種情境下控制行為是不安全的。每個不安全控制行為都包含5個部分:（1） 可以提供控制行為的控制器；（2） 情境；（3） 不安全控制行為的類型；（4） 控制行為或命令本身；（5） 關聯所可能導致的危險。

2.4 識別致因場景

致因場景描述的是可能導致不安全控制行為以及危險的誘發因素。此時，需要考慮兩類致因場景:導致不安全控制行為的致因場景和控制行為執行不當或未被執行的致因場景。

2.4.1 識別導致不安全控制行為的致因場景

此類致因場景可通過以不安全控制行為作為起始點，反向解釋是什么導致控制器提供或不提供控制行為進行創建。可導致不安全控制行為的致因場景包括:與控制器相關的故障（僅針對實際控制器）、不充分的控制算法、不安全的控制輸入與不充分的過程模型。

2.4.2 識別控制行為執行不當或未被執行的致因場景

不安全控制行為可能導致危險，但如果控制行為執行不當或未被執行，沒有不安全控制行為的情況下也可能導致危險。為了得到此類致因場景，我們必須考慮會影響控制路徑和受控過程的因素。涉及控制路徑和受控過程的致因場景包括控制行為未執行與控制行為執行不當。

2.5 依據致因對條款進行安全性評估

在識別出不安全控制行為對應的致因場景后，對現有條款進行分析，檢查其是否已經涵蓋了所有應該被考慮的致因場景。如果現有條款已經涵蓋了所有的致因場景，可以認為其安全性滿足要求，安全性評估程序結束；如果未涵蓋所有致因場景，則應該考慮以此為依據啟動條款制修訂程序。

3 飛機前輪轉彎系統技術條款案例分析

3.1 簡述

飛機在地面的轉向運動主要有三種轉向模式:前輪轉彎、不對稱推力和差速制動。其中，前輪轉彎可使飛機靈活轉彎，并具有其他兩種轉向模式的功能。它還減輕了輪胎磨損和差速剎車時的局部高溫現象，即使在主起落架輪胎泄漏的情況下仍能控制飛機。目前，國內外民用飛機和大多數軍用飛機都使用這種方法。此外，飛機前輪轉彎系統是飛機地面控制運動的重要組成部分。其各項性能指標對飛機整體地面運行的穩定性和地面機動性有著非常重要的影響[13]。

一種飛機前輪轉彎系統包含的部件有:（1） 旋轉接頭:旋轉接頭相對于L/G 回縮軸同軸安裝，并在齒輪延伸時提供液壓電源。 當齒輪開始收縮時，旋轉接頭切斷液壓電源。（2） 選擇閥:當選擇閥通電時，壓力通過從動閥施加到伺服閥上。（3） 止回閥/過濾器:液壓供電線路安裝40μm過濾器和止回閥。（4） 伺服閥:伺服閥為偏轉射流式。它配備了線性可變差動換能器（LVDT）傳感器，用于檢測滑動閥的位置。LVDT 為轉向控制提供位置反饋。（5） 可調節隔膜:可調膈膜用于調整流向每個驅動汽缸室的流量，從而調整機輪轉向速度。（6） 止回閥:兩個止回閥確保流體從蓄能器分配到轉向執行器的腔室。（7） 旁通閥:在液壓系統降壓的情況下，旁路閥將轉向執行機構的兩個腔室互連。如果壓力超過273bar （4000lbf/in2，即27300kPa），旁通閥就會打開。（8） 防擺閥:每個轉向執行器室有一個防擺閥，以防止擺振。（9） 轉向執行器:轉向執行器通過齒條和齒輪組件驅動旋轉管，這是NLG結構的一部分。（10） 蓄壓器:防擺振蓄壓器在轉向執行器的兩個腔室之一出現氣穴時提供加壓液體。蓄能器可以提供壓力高達15bar（220lbf/in2，即1500kPa）的液體加壓。（11） 放氣螺釘:放氣螺釘允許液壓塊放氣和減壓。上述部件對應的一種飛機前輪轉彎系統原理簡圖如圖5所示。

圖5 飛機前輪轉彎系統原理簡圖Fig.5 Schematic diagram of aircraft nosewheel turning system

目前，FAA 和中國民用航空局（CAAC）的適航規章尚無針對前輪轉彎系統的條款。只有EASA發布的大型飛機審定規范（CS-25）部25.745 條為針對前輪轉彎系統的條款[14]，其針對前輪轉彎系統在不同環境條件下的控制情況、與其他系統的干涉以及各部件失效對系統安全性的影響等方面提出了要求。

本研究融入STPA方法，對CS-25部25.745條飛機前輪轉向系統技術規章條款進行安全性分析，為將來我國運輸類飛機前輪轉彎系統相關及其他技術規章條款的建立提供安全性分析。

3.2 融入STPA的安全性分析

3.2.1 飛機前輪轉彎系統技術規章條款制修訂啟動機制

未來，我國可能會跟隨制定飛機前輪轉彎系統相關技術條款，并且尚不明確可能導致系統危險的致因場景，因此需要應用融入STPA的安全性分析方法進行分析。

3.2.2 系統級分析

根據STPA的定義，可得到關于飛機前輪轉彎系統的系統級事故包括:所有相關人員的受傷和死亡（A1）、飛機機體或各子系統遭到結構破壞或機械故障（A2）和所有相關的地面或移動設施和設備的損毀（A3）。

系統級危險是指可能導致A1～A3的一系列災難性后果的事件。飛機前輪轉彎系統在日常運行中出現的危險主要有[15]:（1） 轉彎操縱無法脫開（H1），導致拖行時轉彎機構受力過大而損壞，另外導致收放起落架時前輪沒有處于中立位置，使艙門等部件損壞；（2） 轉彎操縱困難（H2），前輪轉彎操縱費力或者左右偏轉角度變小，會造成無法控制角度及反饋前輪位置等現象；（3） 轉彎功能失效（H3），是前輪轉彎系統級危險中最為嚴重的，輕則導致航班延誤，影響其他飛機的正常起飛，重則導致輪胎嚴重磨損甚至爆破，影響機上人員的安全。

針對事故A1，轉彎功能失效（H3）為可能導致人員受傷或死亡的危險情況；事故A2 涉及上述H1、H2、H3 三種危險；事故A3涉及上述H2、H3兩種危險。通過上述分析，可以得到系統級危險與事故的關聯關系，見表1。

表1 系統級事故與危險對應表Table 1 Corresponding table of system level accidents and hazards

3.2.3 控制—反饋結構的構建

轉彎系統處于正常工作狀態時，飛行員可以根據需要自主控制轉彎系統的工作方式，通常包括手輪轉彎、腳蹬轉彎和轉彎減擺三種方式。手輪轉彎用于低速滑行時進行大角度轉彎，可以使飛機獲得良好的地面機動能力，轉彎手輪手柄中心通常設有“腳蹬轉彎斷開”按鈕，按下該按鈕將斷開腳蹬轉彎功能，可以減少前輪胎的磨損；腳蹬轉彎用于中高速滑跑過程中小角度修正滑跑方向，使飛機獲得良好的保持方向的能力；當轉彎開關斷開時，轉彎系統斷開，前輪進入轉彎減擺狀態，此時前輪為無動力轉彎。

根據飛機前輪轉彎系統原理，飛行員和轉彎控制單元（SCU）為控制器，轉彎作動系統（控制閥、作動筒）、駕駛艙部件（手輪、腳蹬、開關）等為執行機構，機輪、液壓系統為被控過程，傳感器有前輪位置傳感器、轉彎指令傳感器等，部件間存在邏輯和功能上的控制與反饋關系，圖6 為正常前輪轉彎模式時系統的安全控制—反饋結構。

圖6 飛機前輪轉彎系統控制結構示意圖Fig.6 Control structure diagram of aircraft nosewheel turning system

3.2.4 識別不安全控制行為

轉彎操縱無法脫開（H1）、轉彎操縱困難（H2）、轉彎功能失效（H3）均屬于嚴重度較高的危險，涉及的事故類型也比較多，因此具有重要的研究意義。接下來將進行識別不安全控制行為的示例分析。

根據飛機前輪轉彎系統原理和安全控制—反饋結構模型可確定系統中的控制器有飛行員和SCU，其中飛行員的控制行為有控制轉彎系統工作方式（CA1）和操作駕駛艙轉彎系統執行機構（CA2）；SCU 的控制行為有實施前輪轉彎操作（CA3）和控制轉彎系統開關狀態（CA4）。可以識別出不安全控制行為見表2。

表2 不安全控制行為列表Table 2 List of Unsafe Control Activitys（UCAS）

3.2.5 識別致因場景

在確定可能導致危險的不安全控制行為后，需要根據飛機前輪轉彎系統的控制—反饋結構圖以及不安全控制行為分類依據進一步確定其產生的原因。根據第二節所述致因場景分類，識別出的全部致因場景包括與控制器相關致因10條，與不充分的控制算法相關致因4條，與不充分的控制輸入相關致因2 條，與執行器及受控過程相關的故障及缺陷相關致因14條，與和反饋有關的故障及缺陷相關致因7條。部分致因場景見表3，其中致因標號的第一位表示由對應編號控制行為的不安全控制行為識別而來。

表3 致因場景列表（部分）Table 3 Causal scenario list （part）

3.2.6 依據致因進行安全性評估

從EASA 發布的《大型飛機的審定規范和可接受的符合性方法》（CS-25）[16]查閱得到，涉及飛機前輪轉彎系統的條款第25.745條包括以下內容:

（1） CS-25.745（a）條款除非前輪轉向系統僅限于低速操縱，否則其設計必須確保在起飛和著陸期間（包括側風情況）以及在起飛運行期間的任何階段動力裝置突然發生故障時，其使用不需要特殊技巧。這必須通過測試來證明。

該條款明確說明在起飛、著陸遭遇側風及動力裝置失效的情況下，無須使用特殊技巧，即專用設備——轉彎手輪，通過腳蹬即可實現糾偏功能。此條涵蓋RC1-1 等與操作方式選擇相關致因場景。

（2） CS-25.745（b）條款必須證明，在任何實際情況下，飛行員轉彎控制裝置的移動（包括起落架縮回或伸展期間或縮回后的移動）不會干擾起落架的正確縮回或伸展。

該條款主要描述了前輪轉彎與起落架收放運動的干涉情況。具體需要通過控制器邏輯以及前起落架轉軸處液壓控制裝置實現。此條主要涵蓋RC3-7等6條與控制算法及模型相關致因場景。

（3） CS-25.745（c）條款在故障條件下，系統必須符合CS-25.1309（b）和（c）的要求。系統的布置必須確保沒有單一故障會使前輪處于導致危險影響的位置。如果依靠前輪轉向來證明其符合CS-25.233 條的要求，則必須證明前輪轉向系統符合CS-25.1309條的要求。

該條款重點需要考慮“確保沒有單一故障會使前輪處于導致危險影響的位置”。此條主要涵蓋RC3-11 等14 條與執行器及受控過程相關致因場景。

（4） CS-25.745（d）條款前輪轉向系統、牽引附件和相關元件必須通過適當的方式進行設計或保護，以便在通過獨立于飛機的方式進行地面操縱操作期間:排除了影響前輪轉向系統安全操作的損壞；如果可能發生損壞，則在開始滑行前向機組發出警報。

該條款主要描述了在“牽引”時，不會對前輪轉彎系統產生損壞，如果可能產生損壞，則在開始滑行前向機組發出警報。此條主要涵蓋RC2-3等7條與受控過程及反饋相關致因場景。

（5） CS-25.745（e）條款除非前輪在下降時自動處于前后姿態，否則必須在前輪最初處于所有可能的偏心位置時證明成功著陸。

該條款要求驗證飛機前輪在任何可能偏轉角度下都可以保證飛機成功著陸。此條款描述著陸過程，不在上述分析范圍內，故不予分析。

由上述分析可以得出:對于飛機前輪轉彎系統，EASA發布的審定規范CS-25.745條款將大多數控制器、執行器及反饋相關致因場景考慮在內，我國CCAR-25 部在建立飛機前輪轉彎系統條款制修訂時，可以將以上致因作為依據進行符合性驗證；而CS-25.745條款對RC2-1等飛行員之間的交流及決策過程等人為因素可能造成危險的致因沒有進行充分考慮，在進行條款制修訂時可作為參考進行補充。

4 結論

通過研究，可以得出以下結論:

（1） 本研究將系統理論過程分析（STPA）方法融入技術規章條款制修訂的安全性分析，同時考慮系統控制結構中人、飛機與環境等維度及其相互關系，提出了基于STPA方法的技術規章條款制修訂的安全性分析方法。

（2） 本研究以運輸類飛機前輪轉彎系統為例，利用所提的安全性分析方法，驗證了EASA 在制定相關條款時對安全考慮的合理性，表明方法的可行性和有效性，為我國制修訂飛機前輪轉彎系統相應及其他技術規章條款提供安全性分析方法。