安全性分析在通用飛機航電系統架構設計中的應用

王焱濱* 曾 強

（中電科航空電子有限公司，成都 611731）

0 引言

據統計，目前全球通用飛機大約占民用飛機數量的90%，而90%的通用飛機注冊在美國和歐洲地區，尤其是美國，通用航空產業非常成熟。雖然我國的通用航空產業當前還處于起步階段，但是在市場需求的推動下，隨著低空的逐步開放，通用航空產業面臨巨大的發展機遇。

航電系統是通用飛機的重要組成部分，安全可靠、經濟舒適的航電系統是飛機市場競爭力的重要保證。目前國外有多家供應商，可以提供通用飛機航電系統產品，比較典型的如Garmin 公司的G1000、Avidyne公司的Entegra、Honeywell公司的Primus Apex以及L-3 公司的SmartDeck 等。不同種類通用飛機的航電系統架構差異很大[1-4]，如Honeywell的Primus Apex系統，采用集成模塊化航電(Integrated Modular Avionics，簡稱IMA)架構，模塊化航電單元(Modular Avionics Units，簡稱MAU)是系統的處理核心；GARMIN的G1000 系統[5]采用顯示和處理功能合二為一的綜合顯示器，綜合顯示器是系統處理核心，通過綜合無線電設備外接大氣、航姿、航管等外圍傳感器；AVIDYNE的Entegra系統是以兩個綜合飛行顯示器(包含液晶顯示模塊與機箱，機箱中包括核心處理、大氣航姿、通信導航、接口等模塊)為核心，通過接口模塊擴展其他功能。因此，首先需要根據飛機的種類和特點以及用戶的不同需求，確定其航電系統架構。不管是25 部飛機還是23 部飛機，其航電系統的開發時均是多階段反復迭代的V形過程[6]，在這個過程中，系統的設計就是各層需求的分解和定義過程，而安全性分析是系統需求分解和架構設計中需要依據的重要手段。近年來國內一些單位雖然開展了通用飛機航電的研究，但主要是針對國外典型產品；在系統架構設計上，目前尚無文獻針對通用飛機航電系統的特點，從安全性分析的角度對其主要功能的冗余備份需求進行系統的論證。

本文按照適航研制要求，以對通用飛機航電系統的基本功能需求、系統特點和基本組成的研究為切入點，通過對CCAR-23 部適航規章[7]及其AC23.1309-1E咨詢通告[8]的分析，研究其功能失效狀態的分類要求；針對典型的II類渦輪螺旋槳式飛機，通過故障樹分析對系統各主要功能的備份策略進行研究，由此探討了通用飛機航電系統的基本邏輯架構。

1 通用飛機航電系統功能需求及實現特點

1.1 功能需求

通用飛機航電系統主要包括駕駛艙顯示控制以及外圍傳感器等部分，其主要系統功能需求如表1 所示。

表1 系統功能需求

1.2 實現特點與系統組成

與運輸類飛機一樣，通用飛機航電系統同樣遵循飛機系統研發的一般規律。但由于通用飛機及其航電系統的技術門檻相對較低，從業單位眾多，競爭激烈，只有控制成本才能保證具有市場競爭力。為了最大限度地降低成本，通用飛機航電的實現一般有以下特點：

(1)綜合化設計。從減小體積重量、降低成本和實用的角度，充分考慮航電系統的綜合化。目前，主流的通用飛機航電系統均是綜合化的系統；

(2)采用常規系統總線。與大型飛機相比，通用飛機航電系統相對簡單，其數據傳輸要求不高，按照經濟實用的原則，系統往往采用一些常規數字總線，如429/422/232/以太網等；

(3)可擴展性設計。采用可擴展的體系架構，在保持基本架構不變的基礎上，功能可以根據需要靈活配置。通過加載軟件或增減設備模塊，適應不同的飛機需求；

(4)通用化設計。對于基本航電所需要的綜合顯示器、大氣、航姿、通信、導航、航管應答等常規功能模塊，采用通用化設計思路，可適用于多種飛機，降低研發成本。

按照以上特點要求，參照國外典型通用飛機航電架構，我們可以得出通用飛機航電的基本組成，主要包括綜合顯示、綜合接口處理、飛機傳感器、獨立儀表等幾個部分。綜合顯示器一般由兩部顯示器，主飛行顯示器(Primary Flight Display，簡稱PFD)和多功能顯示器(Multi-function Display，簡稱MFD)組成，實現綜合顯示、系統操作和核心處理三大功能，飛行員通過綜合顯示器執行相關操作控制、感知和監控飛機的飛行；綜合接口處理主要用于完成飛機傳感器與綜合顯示之間的數據接口和處理；飛機傳感器包括大氣數據、航向姿態、通信、導航和監視等；獨立儀表主要作用是備份顯示重要飛行信息。系統主要組成如圖1 所示，每一個組成部分是否需要冗余備份，需要通過安全性分析等系統設計過程來確定。

圖1 系統主要組成

2 基于安全性分析的架構研究

2.1 安全性分析簡介

在民用飛機系統開發活動中，按照SAE ARP 4754A《民用飛機和系統開發指南》要求，安全性分析過程融合到開發過程的各個階段。安全性分析按照SAE ARP4761《民用機載系統和設備的安全性評估指導和方法》所推薦的方法進行，主要包括功能危害性評估(Function Hazard Assessment，簡稱FHA)、初步系統安全性評估(Preliminary System Safety Assessment，簡稱PSSA)、系統安全性評估(System Safety Assessment，簡稱SSA)、共因分析(Common Cause Analysis，簡稱CCA)等方法[9]。FHA是功能危害性評估，用于檢查和評估飛機系統功能，并按照危害等級定義各功能失效狀態；PSSA是初步安全性評估，通過故障樹等手段分析影響系統功能失效狀態的各種失效條件的組合，將設計保證等級分配到系統各組成部分，確定所設計系統架構能夠滿足系統安全性目標；SSA是安全性評估，對系統研制結果的綜合分析，以評估是否滿足系統相關安全性要求；CCA是共因分析，用于分析系統的冗余、使用共同的組件、共同的作用機制等導致的失效。安全性分析過程在系統開發各個階段迭代進行，不斷改進完善，與系統的設計相互作用。

2.2 通用飛機航電系統安全性需求

民航規章第23 部的咨詢通告對于不同種類通用飛機的不同危害性級別失效狀態，給出了對應的概率要求及軟件/復雜硬件研制保證等級要求，如表2 所示。

表2 不同飛機、失效類別對應的概率和軟/硬件研制等級

按照AC23.1309-1E的飛機功能危害性等級建議，選擇影響系統架構的一些重要功能失效狀態，并參照AC23.1309-1E中的失效狀態類別作為這些功能失效狀態的簡要FHA分析結果，如表3 所示。針對市場占有率較高的典型的渦輪螺旋槳式通用飛機(表2 中II類)確定其定量概率要求。通飛航電重要功能包括氣壓高度、姿態、主導航、空速、話音通信等，它們的功能喪失或誤導的概率要求將直接影響航姿傳感器、大氣數據計算機、GPS、ILS 等主要飛機傳感器設備的配置，同時通過對這些功能失效狀態的分析，也對飛機綜合顯示器、綜合接口處理等公共資源的配置提供指導。

表3 功能失效的危害性分類

2.3 安全性分析過程

PSSA分析將以FHA分析的結果作為輸入，對涉及到的功能失效進行分析，采用理論方法定量探究失效的因果關系，并指導系統架構設計使其滿足安全性需求。分析的方法一般有故障樹分析法(Fault Tree Analysis，簡稱FTA)和馬爾科夫分析法(Markov Analysis，簡稱MA)等。這里采用故障樹分析法分別對姿態、空速、氣壓高度、主導航信息等幾個功能的失效狀態進行分析。通過對系統功能線程涉及到的設備故障概率的分配與評估，從滿足安全性需求的角度論證系統各功能設備是否需要冗余備份。為了簡化分析過程，以下FTA不考慮系統具體的聯接方式，僅從系統邏輯組成的角度進行分析。

2.3.1 姿態信息失效狀態的分析

姿態信息顯示功能包括綜合顯示器顯示和備份儀表顯示。向機組提供姿態信息功能喪失的故障樹圖如圖2 所示。從圖中可以看出，雖然有獨立的地平儀表，但是AC23.1309-1E規定姿態信息主顯示手段喪失的類別是MAJ，因此在故障樹中對顯示器喪失姿態信息分配的概率是1E-5，由此分解下去，基于現有設備可靠性水平，顯然一個航姿或一個綜合接口是無法滿足要求的。所以由姿態信息喪失的安全性分析可以得出系統至少需要兩個航姿和兩個綜合接口。

在研究提供誤導的姿態信息時，存在兩種情況，一種是由于顯示器顯示錯誤信息引起的誤導，另一種是在顯示器顯示信息喪失的情況下備份儀表導致的誤導。對于第一種情況，顯然一個航姿或一個綜合接口無法滿足顯示器顯示誤導信息的概率要求，采用兩個航姿和兩個綜合接口，系統可以通過對主備數據的比對，自動判斷姿態數據是否有誤，只有在主備數據均有誤的情況下才可能導致誤導發生，從而在必要時給出告警信息，極大地避免了顯示誤導信息的可能。故障樹如圖3 所示。

圖2 姿態信息喪失故障樹分析

圖3 姿態信息誤導故障樹分析

2.3.2 空速和氣壓高度信息失效狀態的分析

空速和氣壓高度的失效狀態采用與姿態失效狀態相同的分析方法。從功能喪失的角度分析，由于有空速表和氣壓高度表，而且顯示器功能喪失的類別僅是MIN，所以采用一套大氣數據機即可滿足系統安全性要求。從提供誤導信息的角度分析，因氣壓高度信息誤導的危害程度更高，為CAT類，所以此處對氣壓高度信息誤導進行故障樹分析，分析表明至少應包含兩套大氣數據機，才能滿足安全性要求。氣壓高度誤導的故障樹分析如圖4 所示。

圖4 氣壓高度信息誤導故障樹分析

2.3.3 主導航信息失效狀態的分析

通用飛機航電系統主用導航手段主要是GPS、ILS 等，GPS 是飛機巡航階段主用導航手段，ILS 用于著陸階段。對于主導航信息的失效狀態，雖然其失效類別是MAJ，對應概率要求是1E-5/FH，但是由于沒有獨立備份儀表，從故障樹分析來看，系統需要至少兩套主用導航源，才能滿足功能喪失狀態對應的概率要求。主導航信息喪失的故障樹分析如圖5所示。

2.3.4 通信和監視失效狀態的分析

系統架構研究中，話音通信是一個重要功能。從安全性分析角度看，話音通信的安全性級別要求不高，功能喪失的失效類別僅是MIN，但是從使用的角度，CCAR-91 部第91.411 條款中[10]，明確要求航空器至少需要安裝兩套獨立的無線電通信接收機和發射機。航管應答功能喪失和誤導失效狀態類別均是MIN，因此僅對喪失的失效狀態進行分析，分析表明，系統配備一套應答機即可滿足安全性要求。航管應答功能喪失的故障樹分析如圖6 所示。

3 系統基本邏輯架構

通過以上分析，我們可以得出典型的II類渦輪螺旋槳式通用飛機航電系統各功能設備的基本配置要求，除配置兩臺綜合顯示器外，系統至少需要兩套綜合接口，兩套航姿、大氣數據、GPS 和ILS、通信電臺以及一套航管應答機。分析結果與當前主流通用飛機航電系統產品一致。系統基本邏輯架構如圖7所示。

當然，在系統實際設計中，還需要考慮具體的連接方式，通用飛機航電往往根據具體的數據傳輸需求采用低成本高可靠的常規總線，如429/422/232/以太網等。另外，設備可以設計成多種形態，比如：GARMIN的G1000 系統將一套接口處理、通信、導航等功能集成在一個GIA63 設備中；AVIDYNE的Entegra系統將一套顯示器、接口處理、大氣航姿以及通信導航等功能集成在一個IFD設備中，綜合化程度更高。關于這兩個方面，需要針對系統裝機實際情況和實際需求進行設計考慮，本文不對此進行深入探討。

圖5 主導航信息喪失故障樹分析

圖6 航管應答功能喪失故障樹分析

圖7 系統基本邏輯架構

4 結論

隨著技術的發展，通用飛機航電系統綜合化、智能化程度必然越來越高，為實現系統的安全性和經濟性的平衡，必須對航電系統的架構設計進行充分的論證。本文針對典型的II類渦輪螺旋槳式通用飛機，通過系統故障樹分析方法，研究了航電系統各主要功能配置的一般規律，可以為通用飛機航電系統設計和適航研制提供良好的思路和借鑒。