FHA在民用飛機(jī)大氣數(shù)據(jù)系統(tǒng)設(shè)計(jì)中的應(yīng)用

摘 要：大氣數(shù)據(jù)系統(tǒng)作為民用飛機(jī)的關(guān)鍵系統(tǒng)，對飛機(jī)安全飛行至關(guān)重要。在大氣數(shù)據(jù)系統(tǒng)研制過程中如何正確實(shí)施功能危險(xiǎn)性評估（FHA）是“確保安全性”目標(biāo)得以實(shí)現(xiàn)的首要環(huán)節(jié)。通過介紹大氣數(shù)據(jù)系統(tǒng)FHA過程，給出了某型飛機(jī)大氣數(shù)據(jù)系統(tǒng)通過FHA過程確立安全設(shè)計(jì)目標(biāo)的實(shí)例，為FHA在民機(jī)安全性驗(yàn)證、分析和評估過程中的應(yīng)用提供參考。

關(guān)鍵詞：功能危險(xiǎn)性評估（FHA）；民用飛機(jī)；大氣數(shù)據(jù)系統(tǒng)；安全性

引言

“確保安全性”是民用飛機(jī)設(shè)計(jì)最為顯著的設(shè)計(jì)目標(biāo)，民用飛機(jī)適航合格審定過程中，需要對系統(tǒng)進(jìn)行安全性評估。SAE ARP 4761[1]是飛機(jī)系統(tǒng)安全性評估的設(shè)計(jì)指南，其中功能危害性評估（FHA）是最重要的安全性評估方法之一[2]。

文章著重以功能的頂層設(shè)計(jì)要求為導(dǎo)向，通過對大氣數(shù)據(jù)系統(tǒng)FHA過程的介紹，分析如何通過FHA來確立系統(tǒng)的安全設(shè)計(jì)目標(biāo)。

1 大氣數(shù)據(jù)系統(tǒng)FHA過程及安全設(shè)計(jì)目標(biāo)的確定

SAE ARP 4761對FHA過程的定義：FHA過程是一種自上而下識別功能失效狀態(tài)并評估其影響的方法。根據(jù)已有的功能定義，識別功能所有的失效模式，結(jié)合飛行階段確定功能失效狀態(tài)及其對飛機(jī)的危害影響等級。需要注意的是，同一功能失效模式在不同的飛行階段，對飛機(jī)的危害影響有可能是不同的，因此失效狀態(tài)也不同。

根據(jù)FHA過程要求[2]，大氣數(shù)據(jù)系統(tǒng)FHA過程可以分為如下步驟：（1）根據(jù)飛機(jī)級功能，確定分配歸屬于大氣數(shù)據(jù)系統(tǒng)需要實(shí)現(xiàn)的飛機(jī)級功能；（2）根據(jù)大氣數(shù)據(jù)系統(tǒng)所需實(shí)現(xiàn)的飛機(jī)級功能，識別與分析大氣數(shù)據(jù)系統(tǒng)在系統(tǒng)層面上所對應(yīng)的所有功能（系統(tǒng)內(nèi)部功能和交互功能）；（3）根據(jù)確定的大氣數(shù)據(jù)系統(tǒng)的系統(tǒng)功能，識別出功能所有的失效模式；（4）根據(jù)確定的大氣數(shù)據(jù)系統(tǒng)的功能失效模式，結(jié)合不同飛行階段，給出對應(yīng)功能失效狀態(tài)；（5）確認(rèn)失效狀態(tài)對飛機(jī)的危害影響等級。

1.1 大氣數(shù)據(jù)系統(tǒng)功能定義

通常大氣數(shù)據(jù)系統(tǒng)的系統(tǒng)級功能應(yīng)來源于飛機(jī)的設(shè)計(jì)需求和對大氣數(shù)據(jù)系統(tǒng)功能界面的定義，并遵循自上而下的分解過程。一般而言，從飛機(jī)級功能的定義和實(shí)現(xiàn)角度上，飛機(jī)對大氣數(shù)據(jù)系統(tǒng)的功能要求通常體現(xiàn)在：（1）提供氣壓高度；（2）提供空速等兩個(gè)方面飛機(jī)級功能層面上。由于飛機(jī)級功能的定義和分解的方法有很多，勢必會帶來不同的功能定義和分解層次，但應(yīng)該遵循如下原則：確保功能的完整性；盡量減少功能的重疊和交叉；盡量提升功能級別，減少功能層次；飛機(jī)級功能與系統(tǒng)級功能的交界面要清晰等。

通過上述兩個(gè)方面飛機(jī)級功能，進(jìn)而確定大氣數(shù)據(jù)系統(tǒng)在其系統(tǒng)內(nèi)部及與其他系統(tǒng)交互時(shí)需要實(shí)現(xiàn)的系統(tǒng)層面上的所有功能，這些功能主要體現(xiàn)在：提供氣壓高度、提供空速等主要功能，提供攻角、提供總溫和靜溫等輔助功能，提供最大飛行速度/馬赫數(shù)、提供修正氣壓高度、提供垂直速度等可視為系統(tǒng)層面的衍生功能。

1.2 大氣數(shù)據(jù)系統(tǒng)功能失效狀態(tài)

確定大氣數(shù)據(jù)系統(tǒng)功能后，通常從功能的可用性和完整性上去識別相應(yīng)的失效模式，再結(jié)合飛機(jī)具體的飛行階段，確定失效模式下的失效狀態(tài)。

確定大氣數(shù)據(jù)系統(tǒng)失效狀態(tài)時(shí)，一方面來源大氣數(shù)據(jù)系統(tǒng)功能失效的分析，另一方面應(yīng)參考飛機(jī)級FHA確定的失效狀態(tài)結(jié)果。一般來說，前者的分析結(jié)果來源于具體功能的失效分析，因此失效模式分類較為完整細(xì)致，后者的分析結(jié)果來源于飛機(jī)頂層自上而下的梳理，往往在初期時(shí)分析較為籠統(tǒng)。為實(shí)現(xiàn)飛機(jī)級和系統(tǒng)級FHA之間的追溯性，失效狀態(tài)需要前后對照保持一致。通常采取的做法是將飛機(jī)級FHA確定的失效狀態(tài)與其下一級結(jié)果作為系統(tǒng)級FHA的輸入，對照前后兩種分析方法的結(jié)果，對飛機(jī)級FHA失效狀態(tài)進(jìn)行補(bǔ)充或刪減。

1.3 大氣數(shù)據(jù)系統(tǒng)功能失效狀態(tài)影響等級

根據(jù)SAE ARP 4761中的定義，失效狀態(tài)影響分為5個(gè)等級，即災(zāi)難性的、危險(xiǎn)的、重大的、較小的和對安全性無影響的。

大氣數(shù)據(jù)系統(tǒng)失效狀態(tài)影響首先是分析失效狀態(tài)對大氣數(shù)據(jù)系統(tǒng)的具體影響，進(jìn)而分析對飛機(jī)、機(jī)組和乘客的影響。大氣數(shù)據(jù)系統(tǒng)失效狀態(tài)影響等級的具體確定原則依賴于以往的事故數(shù)據(jù)、規(guī)章指導(dǎo)材料和設(shè)計(jì)、使用經(jīng)驗(yàn)及工程判斷等。

大氣數(shù)據(jù)系統(tǒng)主要功能是通過飛機(jī)座艙電子飛行顯示器（包括備用顯示）的相應(yīng)指示反饋得以實(shí)現(xiàn)，F(xiàn)AA AC25-11A[3]為大氣數(shù)據(jù)系統(tǒng)FHA的失效狀態(tài)影響等級的判定和到對應(yīng)飛機(jī)級FHA的追溯提供了支撐，F(xiàn)AA AC25-11A可以作為確定大氣數(shù)據(jù)系統(tǒng)失效狀態(tài)的重要參考。

1.4 安全性設(shè)計(jì)目標(biāo)

對于大氣數(shù)據(jù)系統(tǒng)每個(gè)功能的失效狀態(tài)，必須根據(jù)失效狀態(tài)的影響等級來分配失效概率以確立定量的安全性設(shè)計(jì)目標(biāo)，以及通過分配相應(yīng)的功能研制保證等級以確立定性的安全性設(shè)計(jì)目標(biāo)，進(jìn)而來指導(dǎo)整個(gè)大氣數(shù)據(jù)系統(tǒng)架構(gòu)的研發(fā)以滿足所要求的安全性目標(biāo)。功能失效狀態(tài)和安全性設(shè)計(jì)目標(biāo)上的定性和定量要求對應(yīng)關(guān)系見表1[1]：

2 某型飛機(jī)大氣數(shù)據(jù)系統(tǒng)FHA實(shí)例

2.1 確定大氣數(shù)據(jù)系統(tǒng)功能

某型飛機(jī)大氣數(shù)據(jù)系統(tǒng)的功能要求包括：（1）提供氣壓高度；（2）提供空速；（3）提供攻角；（4）提供總溫和靜溫；（5）提供最大飛行速度/馬赫數(shù)；（6）提供修正氣壓高度；（7）提供高度變化率（垂直速度）等等[4]。文章以提供氣壓高度功能為例，介紹大氣數(shù)據(jù)系統(tǒng)FHA后續(xù)過程。

2.2 確定功能的失效狀態(tài)

針對提供氣壓高度功能，失效模式可以分為：喪失提供單側(cè)氣壓高度、喪失提供備用氣壓高度、喪失提供雙側(cè)氣壓高度、喪失提供所有氣壓高度（包括雙側(cè)和備用）；提供單側(cè)氣壓高度誤指示、提供備用氣壓高度誤指示、提供雙側(cè)氣壓高度誤指示、提供所有氣壓高度誤指示（包括雙側(cè)和備用）。

上述失效模式中喪失提供單側(cè)氣壓高度與喪失提供備用氣壓高度可判定為等效失效模式，提供單側(cè)氣壓高度誤指示與提供備用氣壓高度誤指示也同樣可判定為等效失效模式，經(jīng)合理簡化后，該型飛機(jī)大氣數(shù)據(jù)系統(tǒng)的提供氣壓高度功能失效模式見表2：endprint

飛行階段可以大致分為地面、起飛、空中、著陸四個(gè)階段，可以根據(jù)分析的需要，進(jìn)一步細(xì)化飛行階段。

2.3 確定失效狀態(tài)影響等級

以“起飛、空中和著陸階段喪失提供所有氣壓高度（包括雙側(cè)和備用）”這一失效狀態(tài)為例進(jìn)行分析。喪失提供所有的氣壓高度使得飛機(jī)員因?yàn)闊o法感知?dú)鈮焊叨葦?shù)據(jù)而引起飛機(jī)失控造成危險(xiǎn)接近導(dǎo)致撞機(jī)、撞山、撞地等機(jī)毀人亡災(zāi)難性事故，故可以判定“起飛、空中和著陸階段喪失提供所有氣壓高度”失效狀態(tài)的影響等級為I級，即災(zāi)難性的。

此外，依據(jù)AC25-11A[3]中的規(guī)定“喪失所有的氣壓高度顯示，包括備用顯示”的影響等級為災(zāi)難性的，而大氣數(shù)據(jù)系統(tǒng)“喪失所有的氣壓高度（包括雙側(cè)和備用）”這一失效模式會直接導(dǎo)致“喪失所有的氣壓高度顯示，包括備用顯示”這一頂失效事件的出現(xiàn)，所以將“起飛、空中和著陸階段喪失提供所有氣壓高度（包括雙側(cè)和備用）”的失效狀態(tài)定為I級是合理的。

2.4 確定安全性設(shè)計(jì)目標(biāo)

通過和文中表1（系統(tǒng)功能失效狀態(tài)與安全性設(shè)計(jì)目標(biāo)對應(yīng)關(guān)系）進(jìn)行比對，“起飛、空中和著陸階段喪失提供所有氣壓高度（包括雙側(cè)和備用）”采用每飛行小時(shí)1E-10的失效概率是可接受的保守分析值，該型飛機(jī)大氣數(shù)據(jù)系統(tǒng)“提供氣壓高度”的功能研制保證等級為A級（系統(tǒng)級功能的功能研制保證等級以該功能所有失效模式中對應(yīng)的最嚴(yán)重失效狀態(tài)作為分配依據(jù)）。

3 結(jié)束語

出于篇幅的原因，文章僅以某型飛機(jī)大氣數(shù)據(jù)系統(tǒng)的“提供氣壓高度”功能和對應(yīng)的“起飛、空中和著陸階段喪失提供所有氣壓高度（包括雙側(cè)和備用）”這一失效狀態(tài)為例對FHA在大氣數(shù)據(jù)系統(tǒng)中安全性設(shè)計(jì)工作中的具體應(yīng)用和實(shí)施進(jìn)行了闡述，后續(xù)可結(jié)合飛機(jī)交聯(lián)系統(tǒng)及大氣數(shù)據(jù)系統(tǒng)詳細(xì)技術(shù)方案開展全面和深入的大氣數(shù)據(jù)系統(tǒng)的全系統(tǒng)FHA研究，為民用飛機(jī)大氣數(shù)據(jù)系統(tǒng)的安全性驗(yàn)證、分析、評估提供參考。

參考文獻(xiàn)

[1]SAE ARP 4761.Guidelines and methods for conducting the safety assessment process on civil airborne systems and equipment[EB/OL]. Society of Automotive Engineers， Inc ，1996.

[2]朱巖，崔凝，戚學(xué)鋒，等. 民用飛機(jī)動(dòng)力裝置系統(tǒng)FHA研究[J].航空科學(xué)技術(shù)，2012（2）：23-25.

[3]AC25-11A. ELECTRONIC FLIGHT DECK DISPLAYS[EB/OL].FAA， 2007.

[4]趙淑榮，羅云林. A340大氣數(shù)據(jù)慣性基準(zhǔn)系統(tǒng)高度混合通道分析[J]. 電氣傳動(dòng)自動(dòng)化，2002，24（6）：15-17.

作者簡介：湯華（1979-），男，江蘇宜興人，工程師，碩士，主要從事民用飛機(jī)航電系統(tǒng)設(shè)計(jì)。endprint