審定維修要求項目產生流程分析

楊曉東，劉照興

(中國直升機設計研究所，江西 景德鎮 333001)

?

審定維修要求項目產生流程分析

楊曉東，劉照興

(中國直升機設計研究所，江西 景德鎮 333001)

介紹了審定維修要求(CMR)的相關概念及安全性分析與CMR之間的關系。從安全性的角度出發，對CMR項目產生的過程和方法以及風險暴露時間的計算方法進行了全面的分析，用于指導民機設計人員在安全性分析過程中確定可能的CMR項目。

CMR項目；潛在失效；系統安全性分析

0 引言

近年來，以AC311、AC313為代表的具有自主知識產權的國產民用直升機相繼走向了市場。為保證直升機滿足適航規章CCAR2X.1309條規定的安全性要求，在民用直升機研制過程中，開展了全面的安全性分析工作。

在系統安全性分析中，得出了一個與安全性相關的檢查間隔期，用來約束潛在失效的風險暴露時間，以保證事故概率滿足安全性目標要求。所以，航空器安全性設計延伸到了運行的維修要求，這就是“審定維修要求(CMR)”[1]。

工業界于70年代初開始使用定量方法來證明各系統符合§2X.1309和其它需進行安全性分析的條款要求，從那時起，便一直使用CMR項目，對幾種在美國和其它國家取得合格證的飛機，已制定了CMR項目。但是CMR項目的確定在國內型號尤其是直升機型號上起步較晚，直到近年才開始開展這方面的工作。

1 審定維修要求概述

1.1 CMR介紹

CMR用來探查對安全有重要性的潛在失效(safety-significant latent failure)，該失效與一個或多個其它特定失效或事件結合起來，會造成危險性或災難性失效狀態。

對于潛在失效，CMR項目的任務是通過證實該項目沒有失效而“將其失效時鐘重置至零”，或者如果失效則使之修理。[2]

1.2 潛在失效

潛在失效是指本身不會直接影響飛機系統運行，在系統正常運行時，機組操作人員也無法發現其失效，但當這些失效在與其它特定失效組合后就會影響到飛機的飛行安全，甚至導致嚴重的飛行事故，其影響才會被發現。這些失效往往無法被飛機的探測系統或告警系統提前探測或告警。

如某單發直升機的燃油系統，旁通閥位于燃油濾側邊，且旁通閥失效機組人員是無法察覺的。正常情況下旁通閥閉合，不工作，燃油經過燃油濾提供給發動機；但是當燃油濾堵塞時，燃油堵塞告警燈亮，此時在壓力的作用下旁通閥打開，直接通過旁通閥為發動機供油。若此時旁通閥不能打開，則燃油系統喪失供油能力，將導致發動機停車。

潛在失效的風險暴露時間在系統安全性的定量分析中是一個關鍵要素，限制潛在失效的風險暴露時間對系統總的失效概率有著至關重要的影響。

與潛在失效對應的，那些一發生就被機組人員覺察或被告警的，稱為顯性失效，顯性失效的風險暴露時間即該設備在每次飛行中的平均工作時間。

2 安全性分析介紹

無論是CMR候選項目的選定，還是風險暴露時間的確定，都是通過安全性分析得出的，因此這里有必要對安全性分析做一下介紹，以方便后續對CMR項目產生過程的說明。

SAE ARP4761中給出一套為工業界所認可的安全性分析指南，安全性分析由功能危險分析(FHA)、初步系統安全性評估(PSSA)和系統安全性評估(SSA)組成。

SAE ARP4761也提供有關安全性分析所需安全性分析方法的信息。這些方法包括故障樹分析(FTA)、關聯圖(DD)、馬爾科夫分析(MA)、失效模式與影響分析(FMECA)、失效模式與影響概要(FMES)以及共因分析(CCA)(共因分析由區域安全性分析(ZSA)、特定風險分析(PRA)和共模分析(CMA)組成)。

在安全性分析方法中，故障樹分析(FTA)、關聯圖(DD)、馬爾科夫分析(MA)是等效的。在AC311及AC313取證中，選用的是故障樹分析(FTA)。

圖1以圖示形式給出安全性評估過程(功能危險性評估、初步系統安全性評估和系統安全性評估)以及各種安全性評估方法如何與該過程相關。

圖1 安全性評估過程

FHA主要用來確立系統安全性設計目標，通過系統、綜合地檢查產品的各種功能，識別各種功能故障狀態，并根據其嚴重程度對其進行分類。根據失效對飛機、機組人員影響程度的不同，劃分為5個不同的等級，每一個等級都對應著一個定性或定量安全性設計目標，具體如表1所示。

PSSA過程是對所提出的系統構架進行系統性檢查，以確定失效如何能導致由FHA所識別的功能危險性，以及如何能滿足FHA要求，其實質就是頂層危險狀態發生概率的逐級分配的一個過程。PSSA是一種自上而下的方法，將通過FHA確定的安全性目標，通過故障樹進行逐級分配，用于確定較低層面的安全性要求。

SSA是對系統、系統構架以及系統安裝進行系統性核查，以表明其符合安全性要求。SSA是一種自下而上的方法，通過故障樹中各基本事件的實際失效率來計算出頂事件的失效率，來驗證其是否滿足FHA確定的安全性設計目標。

表1 安全性危險分類表

注1：危險的失效狀態還包括此類事件：即可通過機組實施適當的操作程序來控制該事件的風險，但如果機組執行程序有誤或不及時，則會導致災難性事故發生的事件。

注2：此處所列數值僅作為參考，不必通過定量分析去驗證。

3 CMR的產生過程

3.1 CMR候選項目(CCMR)的選定

供選擇作為CMR的候選項目通常來自安全性分析(如系統安全性評估(SSA))；而基于適當證明合理的工程判斷，在有充分的支持性數據和經驗基礎的條件下也可以不通過正式的安全性分析直接確定為CMR的候選項目[3]。CCMR的產生流程如圖2所示。

圖2 CMR候選項目確定流程

以FHA中確定的災難的和危險的失效事件作為頂事件構建故障樹，確定出能夠導致該頂事件發生的所有可能的基本事件。然后對照FMECA分析檢查與門中的基本事件是否是屬于潛在失效。如果某基本事件的失效屬于潛在失效，那么可能會發生該潛在失效的部件被列為CMR候選項目。

3.2 CMR候選項目風險暴露時間計算

在確定了CMR候選項目之后，需要確定出CMR候選項目的風險暴露事件。

典型的故障樹模型如圖3所示，這里考慮兩種情況：一種情況為事件1與事件2中有1個為潛在失效；另一種情況為事件1與事件2均為潛在失效。

圖3 故障樹模型

假設P為安全性要求的概率目標，如果P為頂事件的失效概率，其目標為通過FHA確定的安全性目標值，如果P為中間事件的失效概率，則是在PSSA的故障樹分配中根據頂事件的概率要求，利用布爾運算法則逆向推算確定的頂事件與基本事件之間的中間事件的允許失效概率；λ為該事件每飛行小時的故障率；t為已知的顯性失效的風險暴露時間，其取值一般是每個飛行架次的平均飛行時間；T為潛在失效事件的暴露時間，即候選CMR項目工作時間間隔。

對于第一種情況，即只有一個潛在失效，而另一個為顯性失效的情況下，根據故障樹的邏輯關系和ARP4761中故障樹的概率運算方法，可以得到下面的公式：

如果λ1、λ2、t已知，再考慮安全性概率目標即可根據公式確定潛在失效事件的暴露時間T。

對于第二種情況，即兩個底事件同為潛在失效，同樣根據故障樹的邏輯關系和ARP4761中故障樹的概率運算方法，可以得到下面的公式：

如果λ1、λ2、t已知，再考慮安全性概率目標即可根據公式確定潛在失效事件的暴露時間T1和T2。

3.3 CMR候選項目風險暴露時間計算示例

某單發直升機燃油系統中，在燃油濾堵塞的情況下如果旁通活門打不開，將不能繼續向發動機提供燃油，會導致發動機停車，將導致危險性失效事件的發生。燃油濾堵塞有燈光告警，但旁通活門缺少告警措施，其失效機組人員是無法察覺的，屬于潛在失效。

圖4 燃油濾組件失效故障樹

在故障樹中，通過PSSA分配的“燃油濾組件故障”安全性目標為8.4×10-9；“燃油濾堵塞”為顯性失效，其統計的失效概率為4.34×10-7；“旁通閥打不開”為潛在失效，其失效概率為6.4×10-6；根據飛行剖面，每個架次大概飛行2小時左右，因此t取2。將以上數據帶入計算公式，可計算出“旁通閥打不開”的風險暴露時間T為3022Fh。

3.4 CCMR轉化為CMR

由型號合格申請人通過系統安全性分析得出的CCMR項目(包括暴露時間T)，提交審定維修協調委員會(CMCC)進行評審，CMCC對其是否必須成為CMR項目做出決定。

CMCC對型號合格證申請人起到一個咨詢委員會的作用，其會議結果(即需包括在型號設計說明中建議的CMR項目和對維修審查委員會(MRB)維修工作任務和間隔的建議的更改)會由型號合格證申請人轉交給工業指導委員會(ISC)考慮。ISC接受了的、對MRB維修工作任務和間隔建議的更改將反映在建議的MRB報告中。對ISC未接受的，將考慮作為CMR項目單列，并納入CMR文件。在ISC考慮之后，型號合格證申請人將CMR文件提交負責審查工作的飛機審查辦公室進行最終評審和獲得批準。[4]

4 結論

CMR是強制性的周期性工作，為保持飛機的安全性，在飛機設計的合格審定期間確定作為型號合格證的運營限制。當然對于民用飛機來說，在滿足安全性的前提下，任何系統設計的根本目標是使CMR的數量保持絕對最少，最好是一個也沒有。當前我國民用飛機的安全性分析尚處于發展階段，與國外還有較大的差距，有必要學習國外CMR運用的成熟經驗，提升對重大潛在失效管理和控制的水平。

[1] 中國民用航空總局.咨詢通告審定維修要求AC-25.1529-1[Z].1996.

[2] 吳麗娜.候選審定維修要求產生過程研究[J].科學技術與工程，2011，11(29)7313-7316.

[3] 賈寶惠，王大蘊，謝寶良.CMR項目與MSG-3工作比較研究[J].航空維修與工程，2009(4)：73-75.

[4] 謝寶良，黃銘媛.審定維修要求(CMR)的產生過程及審查初探[J].中國民航大學學報，2009，27(2)：18-22.

Research on the Process of CMR

YANG Xiaodong，LIU Zhaoxing

(China Helicopter Research and Development Institute, Jingdezhen 333001, China)

Introduced some concept of Certification Maintenance Requirement(CMR) and the relationship between system safety analysis and CMR.From the standpoint of safety,analysised the process and method that used in CMR and the calculated method of the time of hazard exposured,provided, provided guidance for analyst to establish CCMR in the process of system safety analysis.

CMR; dormant failure; system safety analysis

2014-11-12

楊曉東(1981-)，男，河北保定人，工程師，飛行器設計與工程專業，現從事直升機可靠性安全性設計和分析工作。

1673-1220(2015)04-054-04

V267

A