民用飛機電傳飛控系統功能危害性評估方法研究

王曉梅 龔孝懿 李 棋 / WANG Xiaomei GONG Xiaoyi LI Qi

(上海飛機設計研究院，上海 201210)

民用飛機電傳飛控系統功能危害性評估方法研究

王曉梅 龔孝懿 李 棋 / WANG Xiaomei GONG Xiaoyi LI Qi

(上海飛機設計研究院，上海 201210)

民機系統級功能危害性評估(Functional Hazard Assessment, 簡稱FHA)是指對系統功能進行系統性的綜合分析過程，即依據系統功能失效狀態對飛機安全性影響嚴重程度進行評估，從而實現對功能的等級進行識別和分類的過程，是系統頂層關鍵的設計過程。在分析大量相關資料和實際型號經驗的基礎上，得出適用于民機電傳飛控系統的功能定義、功能失效狀態分析和確定功能失效影響等級并對其進行確認的思路和方法，以及保證民機電傳飛控系統級FHA正確性和完整性的具體可行的措施等，該方法已應用到某民機電傳飛控系統級FHA的評估工作中，取得了良好的效果。

民機；電傳飛控系統；功能危害性評估；失效狀態；功能失效影響分級

0 引言

功能危害性評估(Functional Hazard Assessment, 簡稱FHA)是檢查分析飛機及系統功能，以確定潛在的功能失效，并根據具體的失效狀態對功能危害進行分類的安全性評估方法。民機電傳飛控系統級FHA是開發飛控系統架構，驅動系統設計的最為關鍵的安全性需求源之一，也是進行系統安全性評估過程及系統研制過程的重要輸入。如何保證FHA功能定義、功能失效狀態分析和功能失效影響分級的正確性和完整性，是系統構架及滿足適航安全性要求的關鍵。

1 民機電傳飛控系統的功能定義

系統級功能來源于飛機級功能分解，系統功能的準確定義和層級的合理劃分是建立飛控系統級FHA的先決條件，是飛控系統危害分析的關鍵。

依據型號經驗，進行民機電傳飛控系統功能定義時，主要步驟為：1)為每項已經能明確的系統級功能需求生成一項功能；2)構建功能架構和功能框圖(包括外部接口)；3)生成符合功能邏輯層次和功能流程圖的功能；4)創建功能文件；5)進行概念設計，在系統級確認子系統；6)分配功能給子系統，定義產品分解結構(PBS)。

按照上述步驟，民機電傳飛控系統功能定義應遵循的原則為：1)按照逐步展開的方式進行相應的功能分析，找出所有工作狀態和模式下可能的所有功能或子功能，包括功能的定義、所處的工作狀態或飛行階段描述等；2)在進行功能分析時應充分考慮飛機系統間的界面關系；3)只針對分析對象的功能展開分析，而不涉及完成功能的具體設備、系統或結構；4)按照飛機級-系統級進行功能的劃分；5)功能定義綜合分析系統在功能、性能、物理、人機、安全等各方面的需求，應使所有的需求信息通過功能組織架構進行表達。

民機電傳飛控系統功能由軟硬件共同實現，進行系統級FHA設計分析時，既要考慮硬件功能又要考慮軟件功能。功能通常包括內部功能和交互功能兩大類。如果功能之間存在相互補充或相互冗余的關系，需考慮功能之間的耦合和組合失效情況。表1為民機飛控系統按不同層級展開的橫滾控制功能清單示例。確定系統功能定義時要選取合適的層級，具體的技術實現層級和過高層級都應在系統功能定義中避免。表1中：功能層級1屬于飛控系統級功能，層級太高；功能層級2屬于飛控子系統級功能，功能失效對系統運行的影響可直接分析形成；功能層級3屬于具體的技術實現層級，層級太低，若對該層級進行失效分析需考慮過于細節的系統運行情況，難以分析出這些功能失效對系統的危險影響。因此將展開的功能層級2作為系統級功能清單更為合適。

表1 民機飛控系統的橫滾控制功能清單示例

2 功能失效狀態分析

2.1 建立完整功能失效狀態的系統方法

為確保FHA中功能失效狀態的完整性，分析過程全面考慮了系統功能所有可能的失效狀態、功能接口、失效狀態的通告狀態、工作階段及失效狀態場景/緊急情況等情況，其流程如圖1所示。具體分析過程如下：

1)可能的失效狀態

(1)失控(全部或部分)、卡阻或游離；

(2)功能完全失效、部分失效、功能不穩定或降低工作功效；

(3)意外工作或非指令地工作；

(4)特性改變(載荷、速率、剛性、延遲、振蕩等)；

(5)無失效指示/警告或有害的失效指示/警告；

(6)錯誤的數據輸出或數據顯示；

(7)其它。

失效狀態是否通告對某些失效條件影響分級有較大影響。另外，指示系統的錯誤指示通常比指示系統故障或失效的影響更為嚴重。

2)飛行階段及失效狀態場景

在失效影響分析時，應考慮不同的飛行任務和可能的飛行場景等。民機的飛行任務一般分七個階段，如圖2所示。另外，還有復飛、中斷起飛等飛行階段。

功能失效在不同飛行階段產生的影響不同時，要對不同飛行階段的同一功能失效分別進行分析。例如某民機飛控系統級FHA條目“非指令性打開兩塊地面擾流板的地面破升功能”，對于不同的飛行階段，其失效狀態影響等級是不同的。

另外，失效狀態應考慮特殊場景和緊急情況，例如某民機喪失減速板功能為IV類故障，但是當考慮到飛機緊急下降的場景，其失效狀態影響等級評估為II類。對于民機電傳飛控系統，考慮的故障特殊場景和緊急情況至少包括如下情況：①中斷起飛；②緊急下降；③液壓系統失效；④單發失效；⑤飛控系統進入降級模式；⑥共模故障；⑦失效狀態的通告性。

2.2 確保FHA失效狀態完整的其他措施

1)相似性

在形成飛控系統級FHA失效狀態清單后，可與相似機型或系列機型進行對比確認，明確飛控系統級FHA與相似/系列機型FHA之間的差異，分析存在的差異是否合理、可信。不同機型FHA的差異性主要來源于飛機構型的差異，如系統架構、舵面布置、系統所實現的功能差異等。

2)追溯性

飛機級FHA來源于飛機級功能分解，系統級FHA來源于系統級功能分解。由于系統級功能來源于飛機級功能分解、定義，因此飛機級FHA與系統級FHA之間必定存在聯系。通過系統級功能清單建立的飛控系統級FHA應能有效覆蓋飛機級FHA中與飛控系統相關的部分，通過對比分析的方法，可從側面檢查飛控系統功能分解是否完整。

3)工程評審

邀請本專業和相關專業及適航等方面的若干資深專家對系統的FHA進行工程評審，依據專家豐富的經驗對系統級FHA中失效狀態的完整性進行判定，這是工程活動中較為常用和適用的確認方法。

3 系統級FHA失效狀態影響等級的判定原則和方法

3.1 判定原則

根據AC25.1309-1B，故障危害程度與定性、定量要求成反比。對于越嚴重的故障狀態，要求故障發生的概率越小；反之亦然。故障狀態影響等級分為災難性的、危險的、較大的、較小的和無安全性影響五類。

等級I—災難性的：失效情況妨礙繼續安全飛行，造成多個人員死亡和(或)系統破壞。發生概率要求低于1E-9。

等級II—危險的：失效情況導致安全裕度和性能大大降低；飛行機組人員身體受傷或負擔大大增大，使得他們不能準確和完善地執行任務；對乘客產生有害影響，可能發生某些人員嚴重的或許是致命的傷害。發生概率要求在1E-9～1E-7。

等級III—較大的：失效情況導致安全裕度和性能顯著降低；由于工作載荷的增加或由于損害操作者效率情況的出現；使操作者處理不利工作情況的能力有所下降；乘客感到不舒服，可能發生人員受傷的情況。發生概率要求在1E-7～1E-5。

等級IV—較小的：失效情況對安全性沒有顯著的影響，所要求的任何操作安全在操作人員的能力之內。例如，稍微降低飛機的安全裕度和性能，飛行機組的負擔稍微增加、航線飛行計劃改變或乘客感到有些不方便。發生概率高于1E-5～1E-3。

等級V—無安全性影響：對飛機運行能力、安全性和人員無影響。

3.2 判定方法

系統級FHA中失效狀態影響等級一般可通過分析、計算、風洞試驗、工程模擬器試驗以及工程評審等方法，由于飛機研制的成熟度的增加，在飛機設計具有足夠數據后，可進一步對影響等級進行分析和確認，并可通過飛行員在環試驗進行評估和確認。

3.2.1分析

在項目早期，一般通過桌面仿真的方法對系統失效狀態影響等級進行評估。另外，還可借鑒相似機型的相關經驗對失效狀態影響等級進行確認，如相似/系列機型定義的“單個升降舵失效”在不同飛行階段的影響等級均為III類，可在初步建立FHA中失效狀態影響等級時，將其影響等級初步定義為III類。

3.2.2 計算

當飛機氣動數據分析完成后，對影響操穩、性能的失效狀態進行計算確認；當載荷、強度分析完成后，亦對影響結構的失效狀態進行計算確認。如某民機飛控系統失效狀態“襟翼/縫翼的單個操縱面偏斜超出結構限制”通過載荷強度計算，評估該失效狀態影響等級為I級。

3.3 風洞試驗

項目早期通過風洞試驗對部分飛控系統級FHA中失效狀態的影響等級進行評估。如某民機在一期風洞試驗中規劃了“地面擾流板在空中對稱打開”失效狀態的試驗，正常情況地面擾流板在空中是不允許打開的，如果地面擾流板因故障非指令全部打開，其中升力系數和俯仰力矩均明顯增加，在正常的飛行迎角范圍內，將產生負升力和低頭力矩，這在起飛和著陸階段有安全隱患。根據風洞試驗得出的升力系數和俯仰力矩變化，在飛機不同形態下對飛行高度變化和飛行迎角變化進一步分析，地面擾流板空中打開在起飛和著陸階段是災難級的，定為I級，在襟翼收起的巡航狀態是危險的，定為II級。

3.4 工程評審

邀請本專業和相關專業及適航等方面的若干資深專家對系統的FHA進行工程評審，依據專家豐富的經驗對系統級FHA中失效狀態影響等級的正確性進行判定，這是工程活動中較為常用和適用的確認方法。

3.5 工程模擬器試驗

飛控系統級FHA中失效狀態的影響等級可通過工程模擬器試驗進行確認，隨著項目進展，參數和模型、氣動數據得到了調整、修正和優化后，通過工程模擬器試驗對系統級FHA失效狀態的影響等級進行最終確認。其試驗項目可覆蓋系統失效狀態影響等級為II、III、IV類。圖3為通過模擬器試驗方法對失效狀態影響等級進行評定的流程圖。

3.5.1定量評估

當某一功能失效發生后，飛機可能出現不安全的姿態變化及響應。因此，在充分考慮飛行員延遲時間的基礎上，需要在飛控系統失效狀態影響等級判定的定量因素方面引入飛機姿態變化等作為對失效狀態影響等級細分的定量指標評判依據。

進行FHA影響分析時需考慮飛行員延遲時間，飛行員延遲時間應包括意識時間加反應時間加脫開操作的時間。故障試驗時，意識時間為故障出現到飛行員感知應當采取行動的時間，識別故障可能是通過飛機的表現或通過可靠的故障警告系統進行的。反應時間為飛行員感知應當采取行動的時間點到飛行員開始采取動作抵消故障影響的時間。反應時間一般如表2所示。

表2 飛行員反應時間參考

注：(*) 如果需在飛行員之間轉換控制權反應時間為3s。

試驗通過在某一飛行階段下模擬某功能失效且等待一定延遲時間后，對飛機姿態的變化按圖4流程進行影響等級細分的定量判斷。評判方法為：將某一飛行階段下的滾轉角、過載、俯仰角、空速、高度損失、攻角、下沉率等參數，與對應飛行階段各類影響等級(IV—I類)的定量判斷指標比較，確定該失效狀態在某飛行階段的影響等級。最終按最嚴酷的飛行階段影響對該失效狀態的影響等級進行確認。

3.5.2飛行員定性評估

每項試驗中，通過模擬發生功能失效且經過延遲時間后，飛行員對飛機姿態變化進行糾正，并通過執行坡度轉彎、推拉桿操作、側風下操作等機動動作，從瞬態響應、操縱性、操縱力、飛機剩余操縱能力、工作負擔等方面以檢查單形式評估飛機繼續安全飛行和著陸的能力，評估該功能失效狀態對飛機和機組的影響。系統功能失效狀態的影響要結合多次試驗的結果、多名飛行員的評價，以及通過工程人員對飛機剩余飛行能力的數據判定綜合考慮。

4 案例分析

如某型民機在工程模擬器上進行單塊副翼的舵面卡阻試驗，對飛控系統級FHA中 “喪失單個副翼滾轉控制功能”失效狀態的影響等級進行確認，該條失效狀態影響等級為III級。飛機以不同指定構型分別在爬升、巡航、下降階段選取了狀態點進行了試驗，現以飛機在特定構型要求的下降階段試驗為例，表明該狀態點下的評定過程。在飛機特定重量重心，襟縫翼放下，起落架收起，1.23VSR，高度5 000 ft，下滑狀態時，對機組進行該試驗點的試驗要求為：

1)在飛行員操作飛機下降過程中，在后臺注入左側副翼舵面卡阻故障，使左側副翼卡阻至某一位置，出現“副翼不工作”EICAS信息后飛行員等待1s，進行飛機姿態控制；

2)飛行員按照AFM“副翼不工作”的非正常程序操縱飛機；

3)飛行員對飛機姿態進行修正，待飛機配平后，進行60°滾轉機動操縱；

4)飛行員操縱飛機，模擬飛機進場-復飛-巡航-進場-著陸的全過程。

該試驗點的時間歷程曲線圖如圖5所示。

通過對圖4的具體下降階段的定量判斷流程對該狀態點副翼舵面卡阻發生后的飛機姿態變化進行分析，可得出該功能失效狀態在下降階段發生時，對飛機的影響屬于較大的(III級)。

飛行機組對單塊副翼舵面卡阻試驗的定性評估結果為：

1)故障發生后，可通過剩下的滾轉操縱面克服失效帶來的影響，飛機仍能繼續安全飛行和著陸；

2)單側副翼漂浮或卡阻以及單側駕駛盤卡阻后，飛機在后續飛行中具備向左或向右30°坡度轉彎的能力，60°滾轉機動時間可接受；

3)為保持飛機正常滾轉姿態，明顯的增加了飛行員的工作負擔，能完成進場-復飛-巡航-進場-著陸的全過程；

4)飛行員對該失效狀態影響等級的評分為IV級。

綜合所有試驗狀態下定量判斷和定性評估的結果，FHA中給出的“喪失單個副翼滾轉控制功能”失效狀態影響等級為III級是正確的，即完成了對其的工程模擬器試驗確認工作。在飛機后續的研發飛行試驗中，也對該失效狀態的影響等級進行了試飛驗證，其結果與FHA中所定義的等級一致，最終獲得了局方認可。

5 結論

本文在實際型號經驗并分析了大量相關資料的基礎上，整理得出適用于民機電傳飛控系統的功能定義、功能失效狀態分析和確定功能失效影響等級并對其進行確認的思路和方法，以保證民機電傳飛控系統級FHA正確性和完整性。該方法已應用到某民機電傳飛控系統級FHA的設計及評估工作中，取得了良好的效果，并獲得了適航審定方的認可。

[1] SAE ARP4754A Guidelines for Development of Civil Aircraft and System[S]. SAE,2010，12.

[2] SAE ARP 4761 Guideline and Methods for Conducting the Safety Assessment Process on Civil Airborne System and Equipment[S]. SAE,1996，12.

[3] AC/AMJ 25.1309-1B System Design and Analysis[S]. USA: FAA, 2002.

[4] AC25-7C Flight Test Guide For Certification Of Transport Category Airplanes[S]. USA: FAA, 1998.

[5] AC25.672-1 Active Flight Controls[S]. USA: FAA, 1983.

[6] 孫澤鵬，張昊. 民用飛機的功能定義及方法研究[J].廣東科技，2015，24(10)：46-49.

[7] 李亞男，金平，王興波.民用飛機飛行控制系統失效狀態等級確認方法分析[J].民用飛機設計與研究，2013(S2)：77.

[8] 孫有朝，劉建軍，梁力，等.功能危險分析在民機安全性設計中的應用研究[C]//.中國航空學會，中國工程院機械與運載工程學部.大型飛機關鍵技術高層論壇暨中國航空學會，2007年學術年會論文集，2007，7.

Functional Hazard Assessment Methods of Fly-by-wire Flight Control System for Civil Aircraft

(Shanghai Aircraft Design and Research Institute, Shanghai 201210, China)

Civil aircraft system functional hazard assessment refers to the process of systematic comprehensive analysis of the system function, namely according to system function failure condition to evaluate severity influence on the safety of aircraft, so as to realize the function of the level of recognition and classification process, which is the top key system design process. Based on the analysis of a large number of relevant materials and practical experience, this article gives the ideas and methods which applies to commercial fly-by-wire flight control system’s function definition, function of failure condition, analysis and validation of the functional failure affect level, and makes sure that correctness and completeness of fly-by-wire flight control system FHA. The method has been applied to a commercial fly-by-wire flight control system of the evaluation work of FHA.

civil aircraft; flight control system; functional hazard assessment; failure condition; classification of failure condition

V249.1

A

10.19416/j.cnki.1674-9804.2017.04.008

王曉梅女，工程碩士，高級工程師。主要研究方向：民機系統功能危害性評估和飛控系統需求確認；E-mail:wangxiaomei@comac.cc

龔孝懿男，碩士，高級工程師。主要研究方向：民機飛控系統安全性分析；E-mail:gongxiaoqi@comac.cc

李棋男，碩士，工程師。主要研究方向：飛控系統模擬器試驗和試飛運營保障；E-mail:liqi5@comac.cc

DOI: 10.19416/j.cnki.1674-9804.2017.04.009