安全性定性分析方法

第三讲安全性定性分析方法本章主要内容一、功能危害性评估二、故障模式、影响及危害性分析三、特殊风险分析四、共模分析五、区域安全性分析一、功能危害性评估(FHA)1、FHA背景2、基本概念3、FHA程序4、FHA报告内容5、飞机级FHA实例6、航空发动机FHA实例1、背景1）符合性方法序号验证方法类别验证方法代号验证方法名称相关文件1工程评估MoC0符合性说明符合性说明/型号设计文件2工程评估MoC1设计评审评审结论/设计图纸3工程评估MoC2计算分析计算分析报告4工程评估MoC3安全性评估安全性分析报告5试验MoC4实验室试验试验大纲/试验报告/试验说明6试验MoC5全机地面试验试验大纲/试验报告/试验说明7试验MoC6飞行试验试验大纲/试验报告/试验说明8试验MoC8模拟试验试验大纲/试验报告/试验说明9检查MoC7.1MoC7.2制造符合性检查检查检查记录检查记录10设备鉴定MoC9机载设备鉴定MoC1～MoC9中组合1、背景2）安全性分析方法的作用现代商用飞机越来越多地使用高集成复杂系统（如动力装置、玻璃驾驶舱综合显示系统、飞行控制、飞行管理、导航、通讯、风险规避等系统）；对这些复杂系统，仅用试验的方法已不能覆盖所有需要考虑的问题；安全性评估（SystemSafetyAssessment,SSA）是对高集成复杂系统进行适航符合性验证的重要工具；适用条款：CCAR2X.1309、CCAR33.752、FHA基本概念1）FHA定义FHA是系统综合地检查产品的各种功能，识别功能的各种失效状态，并根据失效状态的严重程度对其进行分类的一种安全性分析方法2）FHA的特点FHA是从系统功能角度提出来的不考虑系统的具体构型或组成无关自上而下评估系统功能的所有可能失效状态2、FHA基本概念3）FHA的目的确定系统安全性设计准则（要求）功能失效状态的分类及允许的最大失效概率为系统、子系统供应商确定安全性要求（与FTA结合）确定后续进行的安全性评估的深度和范围评估功能的失效状态，提出控制措施设计上的控制措施（冗余设计、防差错设计、研制保证等级）使用措施：为飞行手册编写提供输入2、FHA基本概念4）FHA的分类飞机级FHA将飞机整机视为研究对象，研究在飞机设计的整个飞行包线和不同飞行阶段内，可能影响飞机持续、安全飞行的功能失效，是飞机安全性分析与设计的第一步。系统级FHA系统级FHA是指以飞机系统为对象，研究其在飞机设计的整个飞行包线和不同飞行阶段内，可能影响系统乃至飞机整机安全飞行的功能失效。试验设计需求概念设计设计确认与验证详细设计初步设计时间飞机功能飞机架构飞机要求系统功能系统架构系统要求详细功能详细架构详细要求试验分析飞机级FHA-功能-危险-影响-分类系统级FHA-功能-危险-影响-分类PASAPSSA系统级FTA-定性-分系统预计SSA系统级FMEA/FMES系统级FTA-定量-故障率CCA特殊风险分析PRA区域安全性分析ZSA共模故障分析CMA飞机级FTA-定性-系统预计-系统间的相互关联3、功能危害性评估程序FHA的一般过程1)确定飞机级相关的所有功能，包括内部功能和交互功能；2)识别飞机功能的所有失效状态，考虑所有的单一和复合失效状态；3)确定该失效状态出现时所处的工作状态或飞行阶段；4)确定失效状态对飞机或人员的影响；5)确定失效状态的影响等级，根据失效状态对飞机或人员的影响对其进行分类；6)给出用于证明失效状态影响等级的支撑材料；7)提出对安全性要求的验证方法8）完成FHA分析表格。3、功能危害性评估程序1）确定功能a）确定功能的输入信息飞机级：飞机顶层功能清单（升力、推力、飞行包线等）飞机设计目标及用户需求（旅客安全性、舒适性、平均航段时间）飞机初步设计方案（发动机数、常规平尾等）系统级：系统的设计要求与需求系统功能及其与其他系统的功能接口飞机级FHA中确定的相关功能及相应失效状态飞机级FHA中确定的设计决策3、功能危害性评估程序1）确定功能b）确定功能的相关原则既考虑内部功能亦考虑交互功能：内部功能飞机级，即飞机的主要功能和飞机内部系统间的交互功能系统级，即所分析系统的功能和系统内部设备间的交互功能交互功能飞机级，即与其他飞机或地面系统的接口功能系统级，即所分析系统为其他系统提供的功能或从其他系统获得的功能3、功能危害性评估程序1）确定功能b）确定功能的相关原则（续）按照逐步展开的方式，找出所有工作状态和模式下可能的所有功能或子功能参考相似机型的功能列表只针对功能进行分析，而不涉及完成功能的具体设备、系统或结构进行功能定义时应有所属各专业的专家参与3、功能危害性评估程序1）确定功能c）现代飞机的典型整机级功能提供动力：推力及控制、反推力及控制飞行控制：升阻控制、俯仰、偏航、滚转控制自动飞行：自动油门、自动驾驶、自动着陆、飞行导引、包线保护通信：机内、机地导航：高度、速度、航向、方位、姿态等起落控制：地面减速、地面支撑、地面方向控制、空地过渡环境控制：空调、照明、防火、防冰除雨旅客安全性：应急撤离、水上迫降旅客舒适性3、功能危害性评估程序1）确定功能d）动力装置的典型整机级功能1）提供前向推力与控制功能；2）提供反推力与控制功能；3）为飞机电源与液压源提供输出功率；4）提供飞机提供引气功能；5）发动机点火功能；6）发动机起动功能；7）发动机防火功能；8）发动机防冰功能；9）提供发动机工作参数。3、功能危害性评估程序2）功能失效状态决策a）识别功能失效状态考虑到因素环境天气高强度辐射场火山灰应急构型水上迫降发动机脱落释压丧失通信液压系统失效电气系统失效设备冷却失效中断起飞3、功能危害性评估程序2）功能失效状态决策a）识别功能失效状态考虑到因素单点故障功能丧失无通告的功能丧失功能故障（有无通告）无指令动作多重故障多余度系统同时失效（液压、通导）安全装置与功能系统共同失效3、功能危害性评估程序2）功能失效状态决策b）典型失效状态以“推力控制功能丧失”为例推力锁定单侧推力丧失推力无指令增大V1速度后推力无指令减小推力无指令减小3、功能危害性评估程序3）飞行阶段定义3、功能危害性评估程序3）飞行阶段定义G地面滑行：起飞前+着陆后T起飞：松刹车滑跑开始至达到起飞安全高度35英尺F1爬升:35英尺到巡航高度F2巡航：从爬升至巡航高度开始到开始下降F3下降：巡航高度到1500英尺F4进近：1500英尺到着陆安全高度50英尺L着陆：50英尺至接地、滑跑减速到20节3、功能危害性评估程序4）失效状态影响分析各功能失效状态对飞机、飞行机组、乘客和客舱机组等人员的影响；对系统级FHA，分析失效状态影响时，还必须考虑飞机上具备的降低失效状态影响的装置或措施；对系统级FHA，还应当考虑失效状态对飞机其他系统的影响；在评估失效影响时，必须考虑机组处理危险的一般能力以及可能影响机组人员处置危险情况的因素。3、功能危害性评估程序5）影响等级a）分类：灾难性的（Catastrophic）危害性的（Hazardous）重大的（Major）轻微的（Minor）无安全影响的（NoSafetyEffect）3、功能危害性评估程序5）影响等级b）分类依据与概率要求影响分类无安全影响轻微的重大的危害性的灾难性的对飞机影响没有影响轻微降低飞机运行能力或安全裕度较大降低飞机运行能力或安全裕度极大降低飞机运行能力或安全裕度妨碍飞机继续安全运行或着落对飞行机组影响没有影响轻微增加工作负荷不舒适且较大地增加工作负荷身体极度不适、工作负荷大大增加，完成任务的能力大大降低致命的或丧失能力对乘客和客舱机组影响不方便身体不舒适身体极度不适，可能受伤少部分乘客或客舱机组严重受伤或死亡较多乘客或客舱机组死亡定性概率要求经常不经常微小极微小极不可能定量概率要求(每飞行小时）无10-310-510-710-9影响等级V类IV类III类II类I类单点失效模式不允许导致灾难性的失效状态3、功能危害性评估程序5）影响等级c）发动机影响的分类（33.75要求）（1）一台发动机失效，认为是轻微发动机后果。（2）以下后果认为是危害性发动机后果：a）非包容的高能碎片；b）客舱用发动机引气中有毒物质浓度足以使机组人员或乘客失去能力c）与驾驶员命令的推力方向相反的较大的推力；d）不可控火情；e）发动机安装系统失效，导致非故意的发动机脱开；f）如果适用，发动机引起的螺旋桨脱开；g）完全失去发动机停车能力。（3）严重程度介于本条（1）和（2）之间的后果是重要发动机后果。3、功能危害性评估程序5）影响等级d）发动机影响的其他要求：引起某一特定的危害性失效状态（发动机影响）的所有原因的概率总和小于10-7每发动机飞行小时，或者，引起危害性失效状态（发动机影响）的单个原因或原因组合的概率小于10-8每发动机飞行小时；导致重要失效状态（发动机影响）的单个失效模式或失效模式组合的概率不大于10-5每发动机飞行小时，对于重要的发动机影响单个失效模式或失效模式组合（的概率）不需要求和。3、功能危害性评估程序5）影响等级e）确定影响的原则：指示系统错误指示一般比指示系统故障或失效更严重应了解并明确飞机对飞行员的操作与控制要求，以便分析失效状态对飞行员操作影响如果同一功能失效在不同阶段对飞机或人员产生的影响不同，则在分析中要分别列出飞行员对失效情况的处理能力应以飞机对驾驶员的要求为基础，个别飞行员对失效的处理能力不能作为确定影响等级的依据要明确通告的失效和未通告的失效的影响等级是否相同3、功能危害性评估程序6）影响等级支撑材料对于那些影响不容易确定、或者存在争议的失效状态，必须提供支撑材料证明影响等级的确定是正确的。这些支撑材料包括飞行试验、地面试验、仿真模拟及类似案例等。为了保证分析结果的正确，对于III类、IV类、V类失效状态，必须进行飞行试验。3、功能危害性评估程序7）进一步验证方法建议“无安全性影响的”和“轻微的”FHA本身说明即可对于“重要的”分析对象为简单或常规系统，FMEA等定性验证复杂系统，如有运行经验时，FMEA定性验证；否则FMEA、FTA定量验证对于“危害性的”和“灾难性的”失效状态FMEA、FTA定量验证FHA确定的系统失效状态失效状态是灾难性的或者危险的吗？失效状态是较大的吗？系统复杂成程度高吗？系统是否有相关的使用经验？否是否定性分析与定量分析（FTA与FMEA）定性分析（FMEA）FHA总结是否是否是3、功能危害性评估程序8）表格填写表格填写是FHA的主要工作，上述分析过程的结论主要反映在FHA表格中1功能2失效状态3工作状态飞行阶段4危险对飞机或人员的影响5影响等级6影响等级支撑材料7验证方法8附注4、功能危害性评估报告提交给适航当局的FHA（飞机级）报告必须包括如下内容：1）系统组成及其功能描述（包括必要的系统方块图和功能流向图）2）FHA输入功能清单3）环境和紧急情况清单4）假设。列出所使用的所有假设，并说明它们的合理性5）FHA表格6）分析工作的简要总结，包括危险故障状态清单及其建议措施等5、飞机级FHA工程实例第一层功能及编号第二层功能第二层功能编号提供推力及控制F0101动力F01提供反推力及控制F0102升/阻控制F0201滚转姿态控制F0202俯仰姿态控制F0203偏航姿态控制F0204协调转弯F0205阵风减缓F0206飞行控制F02飞行包线保护F0207地面减速F0301地面方向控制F0302起落架收放控制F0303确定空/地状态F0304地面控制F03地面支撑F0305自动驾驶F0401飞行导引F0402自动飞行操纵F04自动油门F04035、飞机级FHA工程实例第一层功能及编号第二层功能第