王曉梅 龔孝懿 李 棋 / WANG Xiaomei GONG Xiaoyi LI Qi

(上海飛機設(shè)計研究院，上海 201210)

民用飛機電傳飛控系統(tǒng)功能危害性評估方法研究

王曉梅 龔孝懿 李 棋 / WANG Xiaomei GONG Xiaoyi LI Qi

(上海飛機設(shè)計研究院，上海 201210)

民機系統(tǒng)級功能危害性評估(Functional Hazard Assessment, 簡稱FHA)是指對系統(tǒng)功能進行系統(tǒng)性的綜合分析過程，即依據(jù)系統(tǒng)功能失效狀態(tài)對飛機安全性影響嚴(yán)重程度進行評估，從而實現(xiàn)對功能的等級進行識別和分類的過程，是系統(tǒng)頂層關(guān)鍵的設(shè)計過程。在分析大量相關(guān)資料和實際型號經(jīng)驗的基礎(chǔ)上，得出適用于民機電傳飛控系統(tǒng)的功能定義、功能失效狀態(tài)分析和確定功能失效影響等級并對其進行確認(rèn)的思路和方法，以及保證民機電傳飛控系統(tǒng)級FHA正確性和完整性的具體可行的措施等，該方法已應(yīng)用到某民機電傳飛控系統(tǒng)級FHA的評估工作中，取得了良好的效果。

民機；電傳飛控系統(tǒng)；功能危害性評估；失效狀態(tài)；功能失效影響分級

0 引言

功能危害性評估(Functional Hazard Assessment, 簡稱FHA)是檢查分析飛機及系統(tǒng)功能，以確定潛在的功能失效，并根據(jù)具體的失效狀態(tài)對功能危害進行分類的安全性評估方法。民機電傳飛控系統(tǒng)級FHA是開發(fā)飛控系統(tǒng)架構(gòu)，驅(qū)動系統(tǒng)設(shè)計的最為關(guān)鍵的安全性需求源之一，也是進行系統(tǒng)安全性評估過程及系統(tǒng)研制過程的重要輸入。如何保證FHA功能定義、功能失效狀態(tài)分析和功能失效影響分級的正確性和完整性，是系統(tǒng)構(gòu)架及滿足適航安全性要求的關(guān)鍵。

1 民機電傳飛控系統(tǒng)的功能定義

系統(tǒng)級功能來源于飛機級功能分解，系統(tǒng)功能的準(zhǔn)確定義和層級的合理劃分是建立飛控系統(tǒng)級FHA的先決條件，是飛控系統(tǒng)危害分析的關(guān)鍵。

依據(jù)型號經(jīng)驗，進行民機電傳飛控系統(tǒng)功能定義時，主要步驟為：1)為每項已經(jīng)能明確的系統(tǒng)級功能需求生成一項功能；2)構(gòu)建功能架構(gòu)和功能框圖(包括外部接口)；3)生成符合功能邏輯層次和功能流程圖的功能；4)創(chuàng)建功能文件；5)進行概念設(shè)計，在系統(tǒng)級確認(rèn)子系統(tǒng)；6)分配功能給子系統(tǒng)，定義產(chǎn)品分解結(jié)構(gòu)(PBS)。

按照上述步驟，民機電傳飛控系統(tǒng)功能定義應(yīng)遵循的原則為：1)按照逐步展開的方式進行相應(yīng)的功能分析，找出所有工作狀態(tài)和模式下可能的所有功能或子功能，包括功能的定義、所處的工作狀態(tài)或飛行階段描述等；2)在進行功能分析時應(yīng)充分考慮飛機系統(tǒng)間的界面關(guān)系；3)只針對分析對象的功能展開分析，而不涉及完成功能的具體設(shè)備、系統(tǒng)或結(jié)構(gòu)；4)按照飛機級-系統(tǒng)級進行功能的劃分；5)功能定義綜合分析系統(tǒng)在功能、性能、物理、人機、安全等各方面的需求，應(yīng)使所有的需求信息通過功能組織架構(gòu)進行表達。

民機電傳飛控系統(tǒng)功能由軟硬件共同實現(xiàn)，進行系統(tǒng)級FHA設(shè)計分析時，既要考慮硬件功能又要考慮軟件功能。功能通常包括內(nèi)部功能和交互功能兩大類。如果功能之間存在相互補充或相互冗余的關(guān)系，需考慮功能之間的耦合和組合失效情況。表1為民機飛控系統(tǒng)按不同層級展開的橫滾控制功能清單示例。確定系統(tǒng)功能定義時要選取合適的層級，具體的技術(shù)實現(xiàn)層級和過高層級都應(yīng)在系統(tǒng)功能定義中避免。表1中：功能層級1屬于飛控系統(tǒng)級功能，層級太高；功能層級2屬于飛控子系統(tǒng)級功能，功能失效對系統(tǒng)運行的影響可直接分析形成；功能層級3屬于具體的技術(shù)實現(xiàn)層級，層級太低，若對該層級進行失效分析需考慮過于細(xì)節(jié)的系統(tǒng)運行情況，難以分析出這些功能失效對系統(tǒng)的危險影響。因此將展開的功能層級2作為系統(tǒng)級功能清單更為合適。

表1 民機飛控系統(tǒng)的橫滾控制功能清單示例

2 功能失效狀態(tài)分析

2.1 建立完整功能失效狀態(tài)的系統(tǒng)方法

為確保FHA中功能失效狀態(tài)的完整性，分析過程全面考慮了系統(tǒng)功能所有可能的失效狀態(tài)、功能接口、失效狀態(tài)的通告狀態(tài)、工作階段及失效狀態(tài)場景/緊急情況等情況，其流程如圖1所示。具體分析過程如下：

1)可能的失效狀態(tài)

(1)失控(全部或部分)、卡阻或游離；

(2)功能完全失效、部分失效、功能不穩(wěn)定或降低工作功效；

(3)意外工作或非指令地工作；

(4)特性改變(載荷、速率、剛性、延遲、振蕩等)；

(5)無失效指示/警告或有害的失效指示/警告；

(6)錯誤的數(shù)據(jù)輸出或數(shù)據(jù)顯示；

(7)其它。

失效狀態(tài)是否通告對某些失效條件影響分級有較大影響。另外，指示系統(tǒng)的錯誤指示通常比指示系統(tǒng)故障或失效的影響更為嚴(yán)重。

2)飛行階段及失效狀態(tài)場景

在失效影響分析時，應(yīng)考慮不同的飛行任務(wù)和可能的飛行場景等。民機的飛行任務(wù)一般分七個階段，如圖2所示。另外，還有復(fù)飛、中斷起飛等飛行階段。

功能失效在不同飛行階段產(chǎn)生的影響不同時，要對不同飛行階段的同一功能失效分別進行分析。例如某民機飛控系統(tǒng)級FHA條目“非指令性打開兩塊地面擾流板的地面破升功能”，對于不同的飛行階段，其失效狀態(tài)影響等級是不同的。

另外，失效狀態(tài)應(yīng)考慮特殊場景和緊急情況，例如某民機喪失減速板功能為IV類故障，但是當(dāng)考慮到飛機緊急下降的場景，其失效狀態(tài)影響等級評估為II類。對于民機電傳飛控系統(tǒng)，考慮的故障特殊場景和緊急情況至少包括如下情況：①中斷起飛；②緊急下降；③液壓系統(tǒng)失效；④單發(fā)失效；⑤飛控系統(tǒng)進入降級模式；⑥共模故障；⑦失效狀態(tài)的通告性。

2.2 確保FHA失效狀態(tài)完整的其他措施

1)相似性

在形成飛控系統(tǒng)級FHA失效狀態(tài)清單后，可與相似機型或系列機型進行對比確認(rèn)，明確飛控系統(tǒng)級FHA與相似/系列機型FHA之間的差異，分析存在的差異是否合理、可信。不同機型FHA的差異性主要來源于飛機構(gòu)型的差異，如系統(tǒng)架構(gòu)、舵面布置、系統(tǒng)所實現(xiàn)的功能差異等。

2)追溯性

飛機級FHA來源于飛機級功能分解，系統(tǒng)級FHA來源于系統(tǒng)級功能分解。由于系統(tǒng)級功能來源于飛機級功能分解、定義，因此飛機級FHA與系統(tǒng)級FHA之間必定存在聯(lián)系。通過系統(tǒng)級功能清單建立的飛控系統(tǒng)級FHA應(yīng)能有效覆蓋飛機級FHA中與飛控系統(tǒng)相關(guān)的部分，通過對比分析的方法，可從側(cè)面檢查飛控系統(tǒng)功能分解是否完整。

3)工程評審

邀請本專業(yè)和相關(guān)專業(yè)及適航等方面的若干資深專家對系統(tǒng)的FHA進行工程評審，依據(jù)專家豐富的經(jīng)驗對系統(tǒng)級FHA中失效狀態(tài)的完整性進行判定，這是工程活動中較為常用和適用的確認(rèn)方法。

3 系統(tǒng)級FHA失效狀態(tài)影響等級的判定原則和方法

3.1 判定原則

根據(jù)AC25.1309-1B，故障危害程度與定性、定量要求成反比。對于越嚴(yán)重的故障狀態(tài)，要求故障發(fā)生的概率越?。环粗嗳?。故障狀態(tài)影響等級分為災(zāi)難性的、危險的、較大的、較小的和無安全性影響五類。

等級I—災(zāi)難性的：失效情況妨礙繼續(xù)安全飛行，造成多個人員死亡和(或)系統(tǒng)破壞。發(fā)生概率要求低于1E-9。

等級II—危險的：失效情況導(dǎo)致安全裕度和性能大大降低；飛行機組人員身體受傷或負(fù)擔(dān)大大增大，使得他們不能準(zhǔn)確和完善地執(zhí)行任務(wù)；對乘客產(chǎn)生有害影響，可能發(fā)生某些人員嚴(yán)重的或許是致命的傷害。發(fā)生概率要求在1E-9～1E-7。

等級III—較大的：失效情況導(dǎo)致安全裕度和性能顯著降低；由于工作載荷的增加或由于損害操作者效率情況的出現(xiàn)；使操作者處理不利工作情況的能力有所下降；乘客感到不舒服，可能發(fā)生人員受傷的情況。發(fā)生概率要求在1E-7～1E-5。

等級IV—較小的：失效情況對安全性沒有顯著的影響，所要求的任何操作安全在操作人員的能力之內(nèi)。例如，稍微降低飛機的安全裕度和性能，飛行機組的負(fù)擔(dān)稍微增加、航線飛行計劃改變或乘客感到有些不方便。發(fā)生概率高于1E-5～1E-3。

等級V—無安全性影響：對飛機運行能力、安全性和人員無影響。

3.2 判定方法

系統(tǒng)級FHA中失效狀態(tài)影響等級一般可通過分析、計算、風(fēng)洞試驗、工程模擬器試驗以及工程評審等方法，由于飛機研制的成熟度的增加，在飛機設(shè)計具有足夠數(shù)據(jù)后，可進一步對影響等級進行分析和確認(rèn)，并可通過飛行員在環(huán)試驗進行評估和確認(rèn)。

3.2.1分析

在項目早期，一般通過桌面仿真的方法對系統(tǒng)失效狀態(tài)影響等級進行評估。另外，還可借鑒相似機型的相關(guān)經(jīng)驗對失效狀態(tài)影響等級進行確認(rèn)，如相似/系列機型定義的“單個升降舵失效”在不同飛行階段的影響等級均為III類，可在初步建立FHA中失效狀態(tài)影響等級時，將其影響等級初步定義為III類。

3.2.2 計算

當(dāng)飛機氣動數(shù)據(jù)分析完成后，對影響操穩(wěn)、性能的失效狀態(tài)進行計算確認(rèn)；當(dāng)載荷、強度分析完成后，亦對影響結(jié)構(gòu)的失效狀態(tài)進行計算確認(rèn)。如某民機飛控系統(tǒng)失效狀態(tài)“襟翼/縫翼的單個操縱面偏斜超出結(jié)構(gòu)限制”通過載荷強度計算，評估該失效狀態(tài)影響等級為I級。

3.3 風(fēng)洞試驗

項目早期通過風(fēng)洞試驗對部分飛控系統(tǒng)級FHA中失效狀態(tài)的影響等級進行評估。如某民機在一期風(fēng)洞試驗中規(guī)劃了“地面擾流板在空中對稱打開”失效狀態(tài)的試驗，正常情況地面擾流板在空中是不允許打開的，如果地面擾流板因故障非指令全部打開，其中升力系數(shù)和俯仰力矩均明顯增加，在正常的飛行迎角范圍內(nèi)，將產(chǎn)生負(fù)升力和低頭力矩，這在起飛和著陸階段有安全隱患。根據(jù)風(fēng)洞試驗得出的升力系數(shù)和俯仰力矩變化，在飛機不同形態(tài)下對飛行高度變化和飛行迎角變化進一步分析，地面擾流板空中打開在起飛和著陸階段是災(zāi)難級的，定為I級，在襟翼收起的巡航狀態(tài)是危險的，定為II級。

3.4 工程評審

邀請本專業(yè)和相關(guān)專業(yè)及適航等方面的若干資深專家對系統(tǒng)的FHA進行工程評審，依據(jù)專家豐富的經(jīng)驗對系統(tǒng)級FHA中失效狀態(tài)影響等級的正確性進行判定，這是工程活動中較為常用和適用的確認(rèn)方法。

3.5 工程模擬器試驗

飛控系統(tǒng)級FHA中失效狀態(tài)的影響等級可通過工程模擬器試驗進行確認(rèn)，隨著項目進展，參數(shù)和模型、氣動數(shù)據(jù)得到了調(diào)整、修正和優(yōu)化后，通過工程模擬器試驗對系統(tǒng)級FHA失效狀態(tài)的影響等級進行最終確認(rèn)。其試驗項目可覆蓋系統(tǒng)失效狀態(tài)影響等級為II、III、IV類。圖3為通過模擬器試驗方法對失效狀態(tài)影響等級進行評定的流程圖。

3.5.1定量評估

當(dāng)某一功能失效發(fā)生后，飛機可能出現(xiàn)不安全的姿態(tài)變化及響應(yīng)。因此，在充分考慮飛行員延遲時間的基礎(chǔ)上，需要在飛控系統(tǒng)失效狀態(tài)影響等級判定的定量因素方面引入飛機姿態(tài)變化等作為對失效狀態(tài)影響等級細(xì)分的定量指標(biāo)評判依據(jù)。

進行FHA影響分析時需考慮飛行員延遲時間，飛行員延遲時間應(yīng)包括意識時間加反應(yīng)時間加脫開操作的時間。故障試驗時，意識時間為故障出現(xiàn)到飛行員感知應(yīng)當(dāng)采取行動的時間，識別故障可能是通過飛機的表現(xiàn)或通過可靠的故障警告系統(tǒng)進行的。反應(yīng)時間為飛行員感知應(yīng)當(dāng)采取行動的時間點到飛行員開始采取動作抵消故障影響的時間。反應(yīng)時間一般如表2所示。

表2 飛行員反應(yīng)時間參考

注：(*) 如果需在飛行員之間轉(zhuǎn)換控制權(quán)反應(yīng)時間為3s。

試驗通過在某一飛行階段下模擬某功能失效且等待一定延遲時間后，對飛機姿態(tài)的變化按圖4流程進行影響等級細(xì)分的定量判斷。評判方法為：將某一飛行階段下的滾轉(zhuǎn)角、過載、俯仰角、空速、高度損失、攻角、下沉率等參數(shù)，與對應(yīng)飛行階段各類影響等級(IV—I類)的定量判斷指標(biāo)比較，確定該失效狀態(tài)在某飛行階段的影響等級。最終按最嚴(yán)酷的飛行階段影響對該失效狀態(tài)的影響等級進行確認(rèn)。

3.5.2飛行員定性評估

每項試驗中，通過模擬發(fā)生功能失效且經(jīng)過延遲時間后，飛行員對飛機姿態(tài)變化進行糾正，并通過執(zhí)行坡度轉(zhuǎn)彎、推拉桿操作、側(cè)風(fēng)下操作等機動動作，從瞬態(tài)響應(yīng)、操縱性、操縱力、飛機剩余操縱能力、工作負(fù)擔(dān)等方面以檢查單形式評估飛機繼續(xù)安全飛行和著陸的能力，評估該功能失效狀態(tài)對飛機和機組的影響。系統(tǒng)功能失效狀態(tài)的影響要結(jié)合多次試驗的結(jié)果、多名飛行員的評價，以及通過工程人員對飛機剩余飛行能力的數(shù)據(jù)判定綜合考慮。

4 案例分析

如某型民機在工程模擬器上進行單塊副翼的舵面卡阻試驗，對飛控系統(tǒng)級FHA中 “喪失單個副翼滾轉(zhuǎn)控制功能”失效狀態(tài)的影響等級進行確認(rèn)，該條失效狀態(tài)影響等級為III級。飛機以不同指定構(gòu)型分別在爬升、巡航、下降階段選取了狀態(tài)點進行了試驗，現(xiàn)以飛機在特定構(gòu)型要求的下降階段試驗為例，表明該狀態(tài)點下的評定過程。在飛機特定重量重心，襟縫翼放下，起落架收起，1.23VSR，高度5 000 ft，下滑狀態(tài)時，對機組進行該試驗點的試驗要求為：

1)在飛行員操作飛機下降過程中，在后臺注入左側(cè)副翼舵面卡阻故障，使左側(cè)副翼卡阻至某一位置，出現(xiàn)“副翼不工作”EICAS信息后飛行員等待1s，進行飛機姿態(tài)控制；

2)飛行員按照AFM“副翼不工作”的非正常程序操縱飛機；

3)飛行員對飛機姿態(tài)進行修正，待飛機配平后，進行60°滾轉(zhuǎn)機動操縱；

4)飛行員操縱飛機，模擬飛機進場-復(fù)飛-巡航-進場-著陸的全過程。

該試驗點的時間歷程曲線圖如圖5所示。

通過對圖4的具體下降階段的定量判斷流程對該狀態(tài)點副翼舵面卡阻發(fā)生后的飛機姿態(tài)變化進行分析，可得出該功能失效狀態(tài)在下降階段發(fā)生時，對飛機的影響屬于較大的(III級)。

飛行機組對單塊副翼舵面卡阻試驗的定性評估結(jié)果為：

1)故障發(fā)生后，可通過剩下的滾轉(zhuǎn)操縱面克服失效帶來的影響，飛機仍能繼續(xù)安全飛行和著陸；

2)單側(cè)副翼漂浮或卡阻以及單側(cè)駕駛盤卡阻后，飛機在后續(xù)飛行中具備向左或向右30°坡度轉(zhuǎn)彎的能力，60°滾轉(zhuǎn)機動時間可接受；

3)為保持飛機正常滾轉(zhuǎn)姿態(tài)，明顯的增加了飛行員的工作負(fù)擔(dān)，能完成進場-復(fù)飛-巡航-進場-著陸的全過程；

4)飛行員對該失效狀態(tài)影響等級的評分為IV級。

綜合所有試驗狀態(tài)下定量判斷和定性評估的結(jié)果，F(xiàn)HA中給出的“喪失單個副翼滾轉(zhuǎn)控制功能”失效狀態(tài)影響等級為III級是正確的，即完成了對其的工程模擬器試驗確認(rèn)工作。在飛機后續(xù)的研發(fā)飛行試驗中，也對該失效狀態(tài)的影響等級進行了試飛驗證，其結(jié)果與FHA中所定義的等級一致，最終獲得了局方認(rèn)可。

5 結(jié)論

本文在實際型號經(jīng)驗并分析了大量相關(guān)資料的基礎(chǔ)上，整理得出適用于民機電傳飛控系統(tǒng)的功能定義、功能失效狀態(tài)分析和確定功能失效影響等級并對其進行確認(rèn)的思路和方法，以保證民機電傳飛控系統(tǒng)級FHA正確性和完整性。該方法已應(yīng)用到某民機電傳飛控系統(tǒng)級FHA的設(shè)計及評估工作中，取得了良好的效果，并獲得了適航審定方的認(rèn)可。

[1] SAE ARP4754A Guidelines for Development of Civil Aircraft and System[S]. SAE,2010，12.

[2] SAE ARP 4761 Guideline and Methods for Conducting the Safety Assessment Process on Civil Airborne System and Equipment[S]. SAE,1996，12.

[3] AC/AMJ 25.1309-1B System Design and Analysis[S]. USA: FAA, 2002.

[4] AC25-7C Flight Test Guide For Certification Of Transport Category Airplanes[S]. USA: FAA, 1998.

[5] AC25.672-1 Active Flight Controls[S]. USA: FAA, 1983.

[6] 孫澤鵬，張昊. 民用飛機的功能定義及方法研究[J].廣東科技，2015，24(10)：46-49.

[7] 李亞男，金平，王興波.民用飛機飛行控制系統(tǒng)失效狀態(tài)等級確認(rèn)方法分析[J].民用飛機設(shè)計與研究，2013(S2)：77.

[8] 孫有朝，劉建軍，梁力，等.功能危險分析在民機安全性設(shè)計中的應(yīng)用研究[C]//.中國航空學(xué)會，中國工程院機械與運載工程學(xué)部.大型飛機關(guān)鍵技術(shù)高層論壇暨中國航空學(xué)會，2007年學(xué)術(shù)年會論文集，2007，7.

Functional Hazard Assessment Methods of Fly-by-wire Flight Control System for Civil Aircraft

(Shanghai Aircraft Design and Research Institute, Shanghai 201210, China)

Civil aircraft system functional hazard assessment refers to the process of systematic comprehensive analysis of the system function, namely according to system function failure condition to evaluate severity influence on the safety of aircraft, so as to realize the function of the level of recognition and classification process, which is the top key system design process. Based on the analysis of a large number of relevant materials and practical experience, this article gives the ideas and methods which applies to commercial fly-by-wire flight control system’s function definition, function of failure condition, analysis and validation of the functional failure affect level, and makes sure that correctness and completeness of fly-by-wire flight control system FHA. The method has been applied to a commercial fly-by-wire flight control system of the evaluation work of FHA.

civil aircraft; flight control system; functional hazard assessment; failure condition; classification of failure condition

V249.1

A

10.19416/j.cnki.1674-9804.2017.04.008

王曉梅女，工程碩士，高級工程師。主要研究方向：民機系統(tǒng)功能危害性評估和飛控系統(tǒng)需求確認(rèn)；E-mail:wangxiaomei@comac.cc

龔孝懿男，碩士，高級工程師。主要研究方向：民機飛控系統(tǒng)安全性分析；E-mail:gongxiaoqi@comac.cc

李棋男，碩士，工程師。主要研究方向：飛控系統(tǒng)模擬器試驗和試飛運營保障；E-mail:liqi5@comac.cc

DOI: 10.19416/j.cnki.1674-9804.2017.04.009