第三讲第三讲 安全性定性分析方法安全性定性分析方法本章主要内容本章主要内容n一、功能危害性评估一、功能危害性评估n二、故障模式、影响及危害性分析二、故障模式、影响及危害性分析 n三、特殊风险分析三、特殊风险分析 n四、共模分析四、共模分析n五、区域安全性分析五、区域安全性分析一、功能危害性评估一、功能危害性评估(FHA)(FHA)n1、FHA背景背景n2、基本概念、基本概念n3、FHA程序程序n4、FHA报告内容报告内容n5、飞机级、飞机级FHA实例实例n6、航空发动机、航空发动机FHA实例实例1 1、背景、背景n1）符合性方法）符合性方法序号序号验证方法类别验证方法类别验证方法代号验证方法代号验证方法名称验证方法名称相关文件相关文件1工程评估MoC 0符合性说明符合性说明/型号设计文件2工程评估MoC 1设计评审评审结论/设计图纸3工程评估MoC 2计算分析计算分析报告4工程工程评评估估MoC 3安全性安全性评评估估安全性分析安全性分析报报告告5试验MoC 4实验室试验试验大纲/试验报告/试验说明6试验MoC 5全机地面试验试验大纲/试验报告/试验说明7试验MoC 6飞行试验试验大纲/试验报告/试验说明8试验MoC 8模拟试验试验大纲/试验报告/试验说明9检查MoC 7.1MoC 7.2制造符合性检查检查 检查记录检查记录10设备鉴定MoC 9机载设备鉴定MoC 1 MoC 9中组合1 1、背景、背景n2）安全性分析方法的作用）安全性分析方法的作用q现代商用飞机越来越多地使用高集成复杂系统（如动力装置、玻璃驾驶舱综合显示系统、飞行控制、飞行管理、导航、通讯、风险规避等系统）；q对这些复杂系统，仅用试验的方法已不能覆盖所有需要考虑的问题；q安全性评估（System Safety Assessment, SSA）是对高集成复杂系统进行适航符合性验证的重要工具；q适用条款：CCAR2X.1309、CCAR33.75 2 2、FHAFHA基本概念基本概念n1）FHA定义定义qqFHAFHA是系统综合地检查产品的是系统综合地检查产品的各种功能各种功能，识别功能的各种，识别功能的各种失效状态失效状态，并根据失效状态的严重程度对其进行分类的一，并根据失效状态的严重程度对其进行分类的一种安全性分析方法种安全性分析方法 n2）FHA的特点的特点qqFHAFHA是从系统功能角度提出来的是从系统功能角度提出来的qq不考虑系统的具体不考虑系统的具体构型或组成无关构型或组成无关qq自上而下评估系统功能的自上而下评估系统功能的所有可能失效状态所有可能失效状态2 2、FHAFHA基本概念基本概念n3）FHA的目的的目的q确定系统安全性设计准则（要求）n功能失效状态的分类及允许的最大失效概率 n为系统、子系统供应商确定安全性要求（与FTA结合）n确定后续进行的安全性评估的深度和范围 q评估功能的失效状态，提出控制措施n设计上的控制措施（冗余设计、防差错设计、研制保证等级）n使用措施：为飞行手册编写提供输入2 2、FHAFHA基本概念基本概念n4）FHA的分类的分类qq飞机级飞机级FHAFHAn n将飞机整机视为研究对象，研究在飞机设计的整个将飞机整机视为研究对象，研究在飞机设计的整个飞行包线飞行包线和不同和不同飞行阶段内飞行阶段内，可能影响飞机持续、安全飞行的功能失效，可能影响飞机持续、安全飞行的功能失效，是，是飞机安飞机安全性分析与设计的第一步。全性分析与设计的第一步。qq系统级系统级FHAFHAn n系统级系统级FHAFHA是指以飞机系统为对象，研究其在飞机设计的整个飞行是指以飞机系统为对象，研究其在飞机设计的整个飞行包线和不同飞行阶段内，可能影响系统乃至飞机整机安全飞行的功包线和不同飞行阶段内，可能影响系统乃至飞机整机安全飞行的功能失效。能失效。3 3、功能危害性评估程序、功能危害性评估程序nFHA的一般过程的一般过程q1) 确定飞机级相关的所有功能功能，包括内部功能和交互功能；q2) 识别飞机功能的所有失效状态失效状态，考虑所有的单一和复合失效状态；q3) 确定该失效状态出现时所处的工作状态工作状态或飞行阶段飞行阶段；q4) 确定失效状态对飞机或人员的影响影响；q5) 确定失效状态的影响等级影响等级，根据失效状态对飞机或人员的影响对其进行分类；q6) 给出用于证明失效状态影响等级的支撑材料支撑材料；q7) 提出对安全性要求的验证验证方法q8）完成FHA分析表格。3 3、功能危害性评估程序、功能危害性评估程序n1）确定功能）确定功能qa）确定功能的输入信息n飞机级：q飞机顶层功能清单（升力、推力、飞行包线等）q飞机设计目标及用户需求（旅客安全性、舒适性、平均航段时间）q飞机初步设计方案（发动机数、常规平尾等）n系统级：q系统的设计要求与需求q系统功能及其与其他系统的功能接口q飞机级FHA中确定的相关功能及相应失效状态q飞机级FHA中确定的设计决策3 3、功能危害性评估程序、功能危害性评估程序n1）确定功能）确定功能qb）确定功能的相关原则n既考虑内部功能亦考虑交互功能：q内部功能飞机级，即飞机的主要功能和飞机内部系统间的交互功能系统级，即所分析系统的功能和系统内部设备间的交互功能q交互功能飞机级，即与其他飞机或地面系统的接口功能系统级，即所分析系统为其他系统提供的功能或从其他系统获得的功能3 3、功能危害性评估程序、功能危害性评估程序n1）确定功能）确定功能qb）确定功能的相关原则（续）n 按照逐步展开的方式，找出所有工作状态和模式下可能的所有功能或子功能n参考相似机型的功能列表n只针对功能进行分析，而不涉及完成功能的具体设备、系统或结构n进行功能定义时应有所属各专业的专家参与3 3、功能危害性评估程序、功能危害性评估程序n1）确定功能）确定功能qc）现代飞机的典型整机级功能n提供动力：推力及控制、反推力及控制n飞行控制：升阻控制、俯仰、偏航、滚转控制n自动飞行：自动油门、自动驾驶、自动着陆、飞行导引、包线保护n通信：机内、机地n导航：高度、速度、航向、方位、姿态等n起落控制：地面减速、地面支撑、地面方向控制、空地过渡n环境控制：空调、照明、防火、防冰除雨n旅客安全性：应急撤离、水上迫降n旅客舒适性3 3、功能危害性评估程序、功能危害性评估程序n1）确定功能）确定功能qd）动力装置的典型整机级功能n1）提供前向推力与控制功能；n2）提供反推力与控制功能；n3）为飞机电源与液压源提供输出功率；n4）提供飞机提供引气功能；n5）发动机点火功能；n6）发动机起动功能；n7）发动机防火功能；n8）发动机防冰功能；n9）提供发动机工作参数。3 3、功能危害性评估程序、功能危害性评估程序n2）功能失效状态决策）功能失效状态决策qa）识别功能失效状态考虑到因素n环境环境q天气q高强度辐射场q火山灰n应急构型应急构型q水上迫降q发动机脱落q释压q丧失通信q液压系统失效q电气系统失效q设备冷却失效q中断起飞3 3、功能危害性评估程序、功能危害性评估程序n2）功能失效状态决策）功能失效状态决策qa）识别功能失效状态考虑到因素n单点故障q功能丧失q无通告的功能丧失q功能故障（有无通告）q无指令动作n多重故障q多余度系统同时失效（液压、通导）q安全装置与功能系统共同失效3 3、功能危害性评估程序、功能危害性评估程序n2）功能失效状态决策）功能失效状态决策qb）典型失效状态 以“推力控制功能丧失”为例n推力锁定n单侧推力丧失n推力无指令增大nV1速度后推力无指令减小n推力无指令减小3 3、功能危害性评估程序、功能危害性评估程序n3）飞行阶段定义）飞行阶段定义3 3、功能危害性评估程序、功能危害性评估程序n3）飞行阶段定义）飞行阶段定义qG地面滑行：起飞前+着陆后qT起飞：松刹车滑跑开始至达到起飞安全高度35英尺 qF1爬升: 35英尺 到巡航高度qF2巡航：从爬升至巡航高度开始到开始下降 qF3下降：巡航高度到1500英尺qF4进近：1500英尺到着陆安全高度50英尺qL着陆：50英尺至接地、滑跑减速到20节 3 3、功能危害性评估程序、功能危害性评估程序n4）失效状态影响）失效状态影响q分析各功能失效状态对飞机、飞行机组、乘客和客舱机组等人员的影响；q对系统级FHA，分析失效状态影响时，还必须考虑飞机上具备的降低失效状态影响的装置或措施；对系统级FHA，还应当考虑失效状态对飞机其他系统的影响；q在评估失效影响时，必须考虑机组处理危险的一般能力以及可能影响机组人员处置危险情况的因素。 3 3、功能危害性评估程序、功能危害性评估程序n5）影响等级）影响等级qa）分类：n灾难性的（Catastrophic）n危害性的（Hazardous）n重大的（Major）n轻微的（Minor）n无安全影响的（No Safety Effect） 3 3、功能危害性评估程序、功能危害性评估程序n5）影响等级）影响等级qb）分类依据与概率要求影响分影响分类类无安全影响无安全影响 轻轻微的微的重大的重大的危害性的危害性的 灾灾难难性的性的 对飞对飞机影响机影响 没有影响 轻微降低飞机运行能力或安全裕度 较大降低飞机运行能力或安全裕度 极大降低飞机运行能力或安全裕度 妨碍飞机继续安全运行或着落 对飞对飞行机行机组组影影响响没有影响 轻微增加工作负荷 不舒适且较大地增加工作负荷 身体极度不适、工作负荷大大增加，完成任务的能力大大降低 致命的或丧失能力 对对乘客和客乘客和客舱舱机机组组影响影响 不方便 身体不舒适 身体极度不适，可能受伤 少部分乘客或客舱机组严重受伤或死亡 较多乘客或客舱机组死亡 定性概率要求定性概率要求 经常 不经常 微小 极微小 极不可能 定量概率要求定量概率要求(每每飞飞行小行小时时）无 10-3 10-5 10-7 10-9 影响等影响等级级V类 IV类 III类 II类 I类 单点失效模式不允许导致灾难性的失效状态单点失效模式不允许导致灾难性的失效状态3 3、功能危害性评估程序、功能危害性评估程序n5）影响等级）影响等级qc）发动机影响的分类（33.75要求）n（1）一台发动机失效，认为是轻微发动机后果。n（2）以下后果认为是危害性发动机后果：qa）非包容的高能碎片；qb）客舱用发动机引气中有毒物质浓度足以使机组人员或乘客失去能力qc）与驾驶员命令的推力方向相反的较大的推力；qd）不可控火情；qe）发动机安装系统失效，导致非故意的发动机脱开；qf）如果适用，发动机引起的螺旋桨脱开；qg）完全失去发动机停车能力。n（3）严重程度介于本条（1）和（2）之间的后果是重要发动机后果。3 3、功能危害性评估程序、功能危害性评估程序n5）影响等级）影响等级qd）发动机影响的其他要求：n引起某一特定的危害性失效状态（发动机影响）的所有原因的概率总和小于10-7每发动机飞行小时，或者，引起危害性失效状态（发动机影响）的单个原因或原因组合的概率小于10-8每发动机飞行小时；n导致重要失效状态（发动机影响）的单个失效模式或失效模式组合的概率不大于10-5每发动机飞行小时，对于重要的发动机影响单个失效模式或失效模式组合（的概率）不需要求和。3 3、功能危害性评估程序、功能危害性评估程序n5）影响等级影响等级qe）确定影响的原则：n指示系统错误指示一般比指示系统故障或失效更严重n应了解并明确飞机对飞行员的操作与控制要求，以便分析失效状态对飞行员操作影响n如果同一功能失效在不同阶段对飞机或人员产生的影响不同，则在分析中要分别列出n飞行员对失效情况的处理能力应以飞机对驾驶员的要求为基础，个别飞行员对失效的处理能力不能作为确定影响等级的依据n要明确通告的失效和未通告的失效的影响等级是否相同3 3、功能危害性评估程序、功能危害性评估程序n6）影响等级支撑材料）影响等级支撑材料 q对于那些影响不容易确定、或者存在争议的失效状态，必须提供支撑材料证明影响等级的确定是正确的。q这些支撑材料包括飞行试验、地面试验、仿真模拟及类似案例等。q为了保证分析结果的正确，对于III类、IV类、V类失效状态，必须进行飞行试验。3 3、功能危害性评估程序、功能危害性评估程序n7）进一步验证方法建议）进一步验证方法建议 q“无安全性影响的”和“轻微的”nFHA本身说明即可q对于“重要的”n分析对象为简单或常规系统，FMEA等定性验证n复杂系统，如有运行经验时，FMEA定性验证；否则FMEA、FTA定量验证q对于“危害性的”和“灾难性的”失效状态nFMEA、FTA定量验证3 3、功能危害性评估程序、功能危害性评估程序n8）表格填写）表格填写q表格填写是FHA的主要工作，上述分析过程的结论主要反映在FHA表格中 1功能2失效状态3工作状态飞行阶段 4危险对飞机或人员的影响 5影响等级 6影响等级支撑材料 7验证方法 8附注 4 4、功能危害性评估报告、功能危害性评估报告n提交给适航当局的提交给适航当局的FHA（飞机级）报告必须包括如下内容：（飞机级）报告必须包括如下内容：q1）系统组成及其功能描述（包括必要的系统方块图和功能流向图）q2）FHA输入功能清单q3）环境和紧急情况清单q4）假设。列出所使用的所有假设，并说明它们的合理性q5）FHA表格q6）分析工作的简要总结，包括危险故障状态清单及其建议措施等5 5、飞机级、飞机级FHAFHA工程实例工程实例5 5、飞机级、飞机级FHAFHA工程实例工程实例5 5、飞机级、飞机级FHAFHA工程实例工程实例5 5、飞机级、飞机级FHAFHA工程实例工程实例6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n一、发动机系统组成及其功能描述一、发动机系统组成及其功能描述6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n二、发动机整机级功能清单确定二、发动机整机级功能清单确定q1 飞机级功能要求飞机级功能要求6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n二、发动机整机级功能清单确定二、发动机整机级功能清单确定q2 发动机顶层功能定义与描述n发动机顶层功能主要包括：q1）提供前向推力与控制功能；q2）提供反推力与控制功能；q3）为飞机电源与液压源提供输出功率；q4）提供飞机提供引气功能；q5）发动机点火功能；q6）发动机起动功能；q7）发动机防火功能；q8）发动机防冰功能；q9）提供发动机工作参数。6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n二、发动机整机级功能清单确定二、发动机整机级功能清单确定q3 初步设计方案n发动机的初步设计方案中各组成部分功能包括：q1）发动机安装：将发动机产生的推力传递至飞机，保护发动机并为发动机整流；q2）发动机本体：产生推力，并将其中部分动力传递给附件齿轮箱提供输出功率；q3）燃油与控制系统，根据飞行推力要求进行燃油分配与控制，发动机几何控制以及间隙控制，实现推力管理；q4）发动机点火系统，产生电火花点燃油气混合气，在地面或者空中使发动机起动；q5）引气系统，提供飞机所需的气源，冷却发动机机匣与涡轮；6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n二、发动机整机级功能清单确定二、发动机整机级功能清单确定q3 初步设计方案n发动机的初步设计方案中各组成部分功能包括：q6）发动机操纵系统，提供油门控制、自动与人工推力模式的选择；q7）发动机指示系统，提供发动机的性能参数；q8）发动机排气系统，把空气和燃气排出，着陆时使气流反向，产生反推力；q9）滑油系统，为发动机的主轴承和附件传动装置提供滑油，用于润滑和散热，同时给燃油加温；q10）发动机起动系统，利用高压引气起动发动机。6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n二、发动机整机级功能清单确定二、发动机整机级功能清单确定q4 发动机整机级功能清单的确定根据上述描述确定发动机整机级功能清单如下：n1）提供结构完整性功能；n2）提供推力及控制功能；n3）提供反推力及控制功能；n4）提供发动机点火功能；n5）油门控制与操纵功能；n6）提供发动机工作参数指示；n7）提供发动机起动功能；6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n二、发动机整机级功能清单确定二、发动机整机级功能清单确定q4 发动机整机级功能清单的确定（续）根据上述描述确定发动机整机级功能清单如下：n8）发动机防火功能；n9）发动机防冰功能；n10）提供地面处理与维护功能；n11）为飞机电源与液压油提供输出功率；n12）提供飞机所需引气。 其中，19为内部功能，1012为与飞机其他系统之间的交互功能，防火与防冰功能源于飞机的安全性要求。6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n三、三、 环境和紧急情况环境和紧急情况q1）防冰功能时的环境为结冰气象条件；q2）考虑防火功能的应急情况为发动机区域着火；q3）考虑反推及控制功能的应急情况为中断起飞机；q4）考虑起动与点火功能的应急情况为推力丧失。6 6、 航空发动机航空发动机FHAFHA工程案例工程案例n四四 假设假设 本分析说使用的假设包括：本分析说使用的假设包括：q1）使用该航空发动机的飞机为双发翼吊、常规平尾窄体干线商用飞机；q2）两台发动机可互相提供起动用引气；q3）飞机燃油系统具有燃油关断活门等保护装置；q4）飞机驾驶舱ECAM上具有告警信息。二、故障模式、影响及危害性分析二、故障模式、影响及危害性分析(FMECA)(FMECA) n主要内容：主要内容：q1、FMEA基本概念q2、FMEA分析过程q3、CA及其分析过程q4、FMECA的输出q5、FMECA注意事项q6、ARP4761中的FMEAq7、FMECA实例1 1、FMEAFMEA基本概念基本概念n1）FMEA定义定义qFMEA是指在产品的设计过程中，通过对产品各组成单元潜在的各种故障模式及其对产品功能的影响进行分析，并将潜在的故障模式按它的严酷程度予以分类，提出可以采取的预防改进措施，以提高产品可靠性的一种设计方法。n2）FMEA在安全性评估中的作用在安全性评估中的作用q自下而上分析，考虑所有零部件的各种故障模式及影响q找到对系统故障有重大影响的零部件和故障模式并分析其影响程度q提出各类危险的预防措施q确定零部件的基本失效数据，从而获得FTA中基本事件的失效率，是进行FTA定量分析的基础（FMES）q区域安全性分析的输入之一（寻找危险源的方法）1 1、FMEAFMEA基本概念基本概念n3）FMEA应用时机应用时机q由于FMEA是一种自下而上，由零件、部件、组件、子系统再到系统的分析方法，进行FMEA分析需考虑产品结构、组成以及单元可靠性数据等产品具体信息，因此FMEA在详细设计阶段方能进行。 1 1、FMEAFMEA基本概念基本概念n4）FMEA分类分类qa) 硬件法。列出每个硬件产品并分析产品所有可能的故障模式，确定严酷度类别，按每个故障模式的严酷度和发生概率的综合影响排序。当设计图纸和有关设计资料已明确地确定，产品时，一般可采用此法。硬件法，一般是从零部件级开始“自下而上”地分析到系统级，但也可以从任一级别向任一方向分析。qb) 功能法。具体做法是，列出输出功能，并分析其故障模式，确定严酷度类别，如获得定量的功能故障模式数据时，则按每个功能故障模式的严酷度和发生概率的综合影响进行排序。在系统研制初期，产品设计尚未完成，得不到详细的零部件清单，或当系统复杂而要求从产品的最高层次向下分析，即“自上向下”分析时，通常可采用此法。采用这种方法较为简单，但容易遗漏某些故障模式。2 2、FMEAFMEA分析过程分析过程n1）产品或功能定义）产品或功能定义n2）故障模式分析）故障模式分析n3）故障原因分析）故障原因分析n4）任务阶段与工作方式）任务阶段与工作方式n5）故障影响）故障影响n6）严酷度类别）严酷度类别n7）故障检测方法）故障检测方法n8）补偿措施）补偿措施n9）表格填写）表格填写2 2、FMEAFMEA分析过程分析过程n1）产品或功能定义）产品或功能定义qa）层次的概念n初始约定层次q要进行FMEA的总的完整的产品所在的层次，即总的分析对象；n约定层次q是FMEA表中正被分析对象的上一层次，是按相对复杂度和功能来划分的层次。2 2、FMEAFMEA分析过程分析过程n1）产品或功能定义）产品或功能定义q系统描述n系统功能q功能框图q可靠性框图n系统组成q结构层次图q功能层次图n任务剖面、任务阶段及工作方式2 2、FMEAFMEA分析过程分析过程n2）故障模式分析）故障模式分析q故障是产品或产品的一部分不能或将不能完成预定功能的事件或状态,故障模式是故障的表现形式，如起落架撑杆断裂、作动筒间隙不当、收放不到位等q典型故障模式n提前运行；n在规定的应工作时刻不工作；n间断地工作；n在规定的不应工作时刻工作；n工作中输出消失或故障；n输出或工作能力下降；n在系统特性及工作要求或限制条件方面的其他故障状态。2 2、FMEAFMEA分析过程分析过程n2）故障模式分析）故障模式分析GJB1391序故障模式序故障模式序故障模式1结构故障(破损)12超出允差(下限)23滞后运行2捆结或卡死13意外运行24错误输入(过大)3振动14间歇性工作25错误输入(过小)4不能保持正常位置15漂移性工作26错误输出(过大)5打不开16错误指示27错误输出(过小)6关不上17流动不畅28无输入7误开18错误动作29无输出8误关19不能关机30(电的)短路9内部漏泄20不能开机31(电的)开路10 外部漏泄21不能切换32(电的)漏泄11超出允差(上限)22提前运行33其它2 2、FMEAFMEA分析过程分析过程n2）故障模式分析）故障模式分析q故障模式可分为以下七大类：n损坏型：如断裂、变形过大、塑性变形、裂纹等。n退化型：如老化、腐蚀、磨损等。n松脱性：松动、脱焊等n失调型：如间隙不当、行程不当、压力不当等。n堵塞或渗漏型：如堵塞、漏油、漏气等。n功能型：如性能不稳定、性能下降、功能不正常。n其他：润滑不良等。2 2、FMEAFMEA分析过程分析过程n3）故障原因分析）故障原因分析q故障原因n直接原因：导致产品功能故障的产品自身的那些物理、化学或生物变化过程等，直接原因又称为故障机理。n间接原因：由于其他产品的故障、环境因素和人为因素等引起的外部原因。n例如起落架上位锁打不开q直接原因：锁体间隙不当、弹簧老化等q间接原因：锁支架刚度差2 2、FMEAFMEA分析过程分析过程n4）任务阶段与工作方式）任务阶段与工作方式q任务剖面（飞行阶段）又由多个任务阶段组成n以起落架为例：起飞、着陆、空中飞行、地面滑行q工作方式：n可替换n有余度以上位锁开锁为例：液压、手动放下q因此，在进行故障模式分析时，要说明产品的故障模式是在哪一个任务阶段的什么工作方式下发生的2 2、FMEAFMEA分析过程分析过程n5）故障影响）故障影响q局部影响:某产品的故障模式对该产品自身和与该产品所在约定层次相同的其他产品的使用、功能或状态的影响q高一层次影响:某产品的故障模式对该产品所在约定层次的高一层次产品的使用、功能或状态的影响q最终影响:指系统中某产品的故障模式对初始约定层次产品的使用、功能或状态的影响2 2、FMEAFMEA分析过程分析过程n6）严酷度类别）严酷度类别q严酷度：产品故障造成的最坏后果的严重程度q严酷度类别定义(GJB1391)严严酷度酷度类别类别严严 重重 程程 度度 定定 义义类(灾难的)这是一种会引起人员死亡或系统(如飞机、坦克、导弹及船舶等)毁坏的故障。类(致命的)这种故障会引起人员的严重伤害、重大经济损失或导致任务失败的系统严重损坏。类(临界的)这种故障会引起人员的轻度伤害，一定的经济损失或导致任务延误或降级的系统轻度损坏。类(轻度的)这是一种不足以导致人员伤害、一定的经济损失或系统损坏的故障，但它会导致非计划性维护或修理。2 2、FMEAFMEA分析过程分析过程n7）故障检测方法）故障检测方法q故障检测方法一般包括目视检查、离机检测、原位测试等手段：n自动传感装置n传感仪器n音响报警装置n显示报警装置q故障检测一般分为事前检测与事后检测两类，对于潜在故障模式，应尽可能设计事前检测方法。2 2、FMEAFMEA分析过程分析过程n8）补偿措施）补偿措施q设计补偿措施n产品发生故障时，能继续安全工作的冗余设备n安全或保险装置(如监控及报警装置)n可替换的工作方式(如备用或辅助设备)n可以消除或减轻故障影响的设计或工艺改进(如概率设计、计算机模拟仿真分析和工艺改进等)q操作人员补偿措施n特殊的使用和维护规程，尽量避免或预防故障的发生n一旦出现某故障后操作人员应采取的最恰当的补救措施2 2、FMEAFMEA分析过程分析过程n9）表格填写）表格填写3 3、危害性分析、危害性分析(CA)(CA)过程过程CA在在FMEA的基础上进行了扩展的基础上进行了扩展3 3、危害性分析、危害性分析(CA)(CA)过程过程n1）故障概率等级或数据来源）故障概率等级或数据来源n2）故障率）故障率n3）故障模式频数比）故障模式频数比n4）故障影响概率）故障影响概率n5）工作时间）工作时间n6）故障模式危害度）故障模式危害度n7）产品危害度）产品危害度3 3、危害性分析、危害性分析(CA)(CA)过程过程n1）故障概率等级或数据来源）故障概率等级或数据来源q故障概率等级定性分析方法nA级-经常发生 20%nB级-有时发生 10% 20%nC级-偶然发生 1% 10%nD级-很少发生 0.1% 1%nE级-极少发生 .0.1%q数据来源n预计值n分配值n外场评估值等3 3、危害性分析、危害性分析(CA)(CA)过程过程n2）故障率）故障率q可预计得到定量方法qGJB/Z-299CqMIL-HDBK-217FqNSWC-06qNPRD20113 3、危害性分析、危害性分析(CA)(CA)过程过程n3）故障模式频数比）故障模式频数比q故障模式频数比是产品的某一故障模式占其全部故障模式的百分比率。如果考虑某产品所有可能的故障模式，则其故障模式频数比之和将为1q模式故障率m是指产品总故障率p与某故障模式频数比的乘积气体控制活门故障模式故障模式频数比产品故障率p模式故障率m不闭合不打开外部漏气34%57%9%0123450.041970.070360.01111总 计10 0.123453 3、危害性分析、危害性分析(CA)(CA)过程过程n4）故障影响概率）故障影响概率q故障影响概率是指假定某故障模式已发生时，导致确定的严酷度等级的最终影响的条件概率。某一故障模式可能产生多种最终影响，分析人员不但要分析出这些最终影响还应进一步指明该故障模式引起的每一种故障影响的百分比，此百分比即为。这多种最终影响的值之和应为13 3、危害性分析、危害性分析(CA)(CA)过程过程n5）工作时间）工作时间q工作时间源于系统设计定义，通常以产品每次任务的工作小时数或工作循环数表示n6）故障模式危害度）故障模式危害度q评价单一故障模式危害性qCm(j)=pt, j=，3 3、危害性分析、危害性分析(CA)(CA)过程过程n7）产品危害度）产品危害度q评价产品的危害性qCr(j)= Cmi(j)，i=1,2,nnn为该产品的故障模式总数，j=，nCmi(j)产品在第j类严酷度类别下的所有故障模式的危害度之和3 3、危害性分析、危害性分析(CA)(CA)过程过程n危害度矩阵危害度矩阵利用危害性矩阵，可以在给定的严酷度下，将故障模式进行比较，以确定采取纠正措施的先后顺序。离原点越远，危害性越大，凡故障模式代码落在矩阵图中阴影区的产品就被确认为可靠性关键产品，应采取措施使其危害性下降，对于无法降低危害性的那部分产品(即落在阴影区的)应填入可靠性关键产品清单中。4 4、FMECAFMECA输出输出nFMECA输出（报告内容）输出（报告内容）q单点故障模式清单q、类故障模式清单q可靠性关键产品清单q不可检测故障模式清单q危害性矩阵图等qFMEA/CA表5 5、FMECAFMECA注意事项注意事项n1）强调）强调“谁设计、谁分析谁设计、谁分析”的原则的原则q“谁设计、谁分析”的原则，也就是产品设计人员应负责完成该产品的FMECA工作，可靠性专业人员应提供分析必须的技术支持。q实践表明，FMECA工作是设计工作的一部分。“谁设计、谁分析”、及时改进是进行FMECA的宗旨，是确保FMECA有效性的基础，也是国内外开展FMECA工作经验的结晶。如果不由产品设计者实施FMECA，必然造成分析与设计的分离，也就背离了FMECA的初衷。5 5、FMECAFMECA注意事项注意事项n2）重视）重视FMECA的策划的策划q实施FMECA前，应对所需进行的FMECA活动进行完整、全面、系统地策划，尤其是对复杂大系统，更应强调FMECA的重要性。其必要性体现在以下几方面：n结合产品研制工作，运用并行工程的原理，对所需的FMECA进行完整、全面、系统地策划，将有助于保证FMECA分析的目的性、有效性，以确保FMECA工作与研制工作同步协调，避免事后补做的现象。n对复杂大系统，总体级的FMECA往往需要低层次的分析结果作为输入，对相关分析活动的策划将有助于确保高层次产品FMECA的实施。nFMECA计划阶段事先规定的基本前提、假设、分析方法和数据，将有助于在不同产品等级和承制方之间交流和共享，确保分析结果的一致性、有效性和可比性。5 5、FMECAFMECA注意事项注意事项n3）保证）保证FMECA的实时性、规范性、有效性的实时性、规范性、有效性q实时性。FMECA工作应纳入研制工作计划、做到目的明确、管理务实；FMECA工作与设计工作应同步进行，将FMECA结果及时反馈给设计过程。q规范性。分析工作应严格执行FMECA计划、有关标准/文件的要求。分析中应明确某些关键概念，比如：故障检测方法是系统运行或维修时发现故障的方法；严酷度是对故障模式最终影响严重程度的度量，危害度是对故障模式后果严重程度的发生可能性的综合度量，两者是不同的概念，不能混淆。q有效性。对分析提出的改进、补偿措施的实现予以跟踪和分析，以验证其有效性。这种过程也是积累FMECA工程经验的过程。5 5、FMECAFMECA注意事项注意事项n4）FMECA的剪裁和评审的剪裁和评审qFMECA作为常用的分析工具，可为可靠性、安全性、维修性、测试性和保障性等工作提供信息，不同的应用目的可能得到不同的分析结果。各单位可根据具体的产品特点和任务对FMECA的分析步骤、内容进行补充，剪裁，并在相应文件中予以明确。5 5、FMECAFMECA注意事项注意事项n5）FMECA的数据的数据q故障模式是FMECA的基础。能否获得故障模式的相关信息是决定FMECA工作有效性的关键。若进行定量分析时还需故障的具体数据，这些数据除通过试验获得外，一般是需要通过相似产品的历史数据进行统计分析。有计划有目的地注意收集、整理有关产品的故障信息，并逐步建立和完善故障模式及频数比的相关故障信息库，这是开展有效的FMECA工作的基本保障之一。n6）FMECA应与其他分析方法相结合应与其他分析方法相结合qFMECA虽是有效的可靠性分析方法，但并非万能。它不能代替其他可靠性分析工作。应注意FMECA一般是静态的、单一因素的分析方法。在动态方面还很不完善，若对系统实施全面分析还需与其他分析方法（如FTA、ETA等）相结合。6 6、ARP4761ARP4761中中FMEAFMEAn1）功能）功能FMEA6 6、ARP4761ARP4761中中FMEAFMEAn2）硬件）硬件FMEA6 6、ARP4761ARP4761中中FMEAFMEAn3）故障模式及影响分析摘要）故障模式及影响分析摘要FMESq将FMEA结果中有相同影响的低一层次的故障模式进行汇总，将该影响作为FMES的故障模式，并分析其对上级系统可能造成的影响的一种方法qFMES可以作为FMEA的一部分，其分析结果用于总结不同故障模式对系统设备的相同影响，将该影响作为单点故障，并通过减少最低层的或门数来简化故障树分析6 6、ARP4761ARP4761中中FMEAFMEAn4）FMES与与FMEA的关系的关系故障模式故障模式故障率故障率故障影响故障影响R 5开路开路A损损失失5V电压电压R 5短路短路B5V电压电压接地接地故障模式故障模式故障率故障率故障影响故障影响C5短路短路C5V电压电压接地接地C5开路开路U58 P2开路开路D丧丧失失电电源供源供应应故障模式故障模式故障故障率率故障影响故障影响潜在故障原因潜在故障原因5V电压电压接地接地B+C无指令信无指令信号号电电路路X-R5短路短路电电路路Y-C5短路短路电路X的FMEA 电路Y的FMEA 部件FMES 7 7、FMECAFMECA实例实例n1）产品描述）产品描述q某型军用飞机升降舵示意图7 7、FMECAFMECA实例实例n1）产品描述）产品描述q某型军用飞机升降舵系统的功能是保证飞机的纵向操纵性。它是由安定面支承、轴承组件、扭力臂组件、操纵组件、配重和调整片所组成 ，如下图7 7、FMECAFMECA实例实例n2）系统功能分析）系统功能分析7 7、FMECAFMECA实例实例n3）系统约定层次划分）系统约定层次划分q根据升降舵的结构和功能，结合FMEA的需要，完成升降舵所属飞机约定层次的划分7 7、FMECAFMECA实例实例初始约定层次： 某型飞机 任务： 飞行 审核：XXX 约定层次：升降舵系统 分析：XXX 批准：XXX 填表日期： XX年XX月XX日代代码产品或品或功能功能标志志功能功能故障模式故障模式 故障原因故障原因任任务阶段与工段与工作方式作方式故障影响故障影响严酷度酷度/ /故障故障发生生概率等概率等级故障故障检测方法方法设计改改进措施措施使用使用补偿措施措施局部影响局部影响高一高一层次影响次影响最最终影响影响0101安定面安定面支承支承支承降支承降升舵升舵安定面后安定面后梁梁变形形过大大刚度度不不够飞行行安定面后安定面后梁梁变形形超超过允允许范范围升降舵升降舵转动卡滞卡滞损伤飞机机/E/E无无增加增加结构构抗弯抗弯刚度度功能功能检查支臂裂支臂裂纹疲疲劳飞行行故障征候故障征候 故障征候故障征候影响影响任任务完完成成/D/D目目视检查或无或无损探探伤增加增加抗疲抗疲劳强强度度增加增加裂裂纹视情情检查螺栓螺栓锈蚀长期期使用使用飞行行故障征候故障征候 影响很小影响很小无影响无影响/F/F目目视检查无无定期定期维修、修、更更换n4）填写）填写FMEA表表三、特殊风险分析三、特殊风险分析 （PRAPRA）n1、PRA基本概念基本概念n2、PRA分析过程分析过程n3、PRA分析表格分析表格n4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析1 1、PRAPRA基本概念基本概念n1） 特殊风险定义特殊风险定义q特殊风险是一些导致飞机、飞机系统发生事故的事件，或威胁飞机、飞机系统安全的因素，这些事件或因素发生在被影响对象（飞机或飞机系统）的外部，会导致飞机、飞机系统的多个零部件同时失效，是导致飞机、飞机系统发生共因失效的重要原因。1 1、PRAPRA基本概念基本概念n2、特殊风险分类、特殊风险分类 根据ARP4761对特殊风险类型的描述，民用飞机及系统具体的和典型的特殊风险类型如下所示：q1）火灾；q2）高能装置故障（转子非包容失效）：na）发动机；nb）辅助动力装置；nc）风扇。q3）高压瓶；q4）高压空气导管破裂；q5）高压空气导管泄露；1 1、PRAPRA基本概念基本概念n2、特殊风险分类（续）、特殊风险分类（续）q6）液体泄露：na）燃油；b）液压装置中的液体；c）电池中的酸性物质；d）水。q7）冰雹、冰、雪；q8）鸟撞；q9）轮胎爆裂、气流抽打轮胎面；q10）轮缘脱落；q11）闪电；q12）高强辐射场；q13）气流抽打传动轴；q14）隔板破裂。1 1、PRAPRA基本概念基本概念n3）特殊风险分析的定义）特殊风险分析的定义qPRA是民用飞机系统安全性分析中CCA的重要方法，主要是分析系统外部的事件或因素对飞机或发动机系统的影响，这些外部事件或因素是导致系统多个部件同时失效、从而导致系统共因失效发生的重要原因。n4）特殊风险分析的作用与时机）特殊风险分析的作用与时机qPRA用于评估外部事件或因素对飞机、发动机系统安全性的影响，由于特殊风险发生于受影响系统的外部，FHA通常无法将其包含在内，因此，PRA可视为对FHA、FTA与FMEA等方法的补充。nPRA分析过程一般包括如下步骤：分析过程一般包括如下步骤：q1）定义特殊风险类型；q2）定义特殊风险的失效模型；q3）列出所需满足的适航条例或设计规范；q4）定义受影响的区域；q5）定义受影响的系统或单元；q6）定义所采取的设计和安装预防措施；q7）评估特殊风险对受影响系统或单元的影响；q8）评估特殊风险导致的单元失效模式对飞机的影响；q9）确定该后果是否可接受。2 2、PRAPRA分析过程分析过程2 2、PRAPRA分析过程分析过程n1）定义特殊风险类型）定义特殊风险类型q确定对何种特殊风险展开研究，并对该特殊风险进行描述，说明该特殊风险发生的原因、时机、规律等；n2） 定义特殊风险的失效模型定义特殊风险的失效模型q确定导致特殊风险的外部事件或者其他飞机系统、部件的失效模式：q以轮胎碎片为例：n用 W2表示的大块碎片，用(0.5W)2的小块碎片，式中W为胎面宽度；n在10%的情况下，第一个轮胎的失效会导致第二个轮胎由于超载而爆破。2 2、PRAPRA分析过程分析过程n3 ）列出所需满足的适航条例或设计规范）列出所需满足的适航条例或设计规范q对于某些特殊风险，当其对系统或单元有影响时，相关适航条款对其有明确的要求，这类特殊风险的分析必须以满足适航条款要求为原则；对于那些适航条款中没有明确要求的特殊风险，可依据相关标准规范（如AC）进行分析与设计，如果有可能，可通过计算验证风险最终影响的分类是否满足相应的概率要求。q以轮胎爆破为例2 2、PRAPRA分析过程分析过程n4 ）定义受影响的区域）定义受影响的区域q确定特殊风险影响范围，并确定特殊风险作用区域。q以轮胎爆破为例n投射在45到180之间的机轮平面上（从地面水平面向朝后方向测量）。在整个135弧区内，均匀分布；n投射到轮胎平面任意一侧的15范围内，正态分布；n物体被碎片击中的概率取决于面对碎片物体的面积以及其相对于轮胎的位置。2 2、PRAPRA分析过程分析过程n5 ）定义受影响的系统或单元）定义受影响的系统或单元q确定风险作用区域内受影响的系统或单元q以轮胎爆破为例n液压系统的管路q绿色q蓝色q黄色n电气线路2 2、PRAPRA分析过程分析过程n6）定义所采取的设计和安装预防措施）定义所采取的设计和安装预防措施q应当借助在ZSA中使用的设计和安装指南进行交叉检查，根据前面特殊风险分析实施过程所得出的结论，应对如何规避特殊风险、降低风险影响后果、提高抵御风险能力等多方面进行综合考虑；q轮胎爆破为例n为刹车系统提供液压源的传感器和控制线缆，一个线路要被安装在主起落架支柱的前面，而另一个线路则在主起落架支柱的后面。2 2、PRAPRA分析过程分析过程n7）评估特殊风险对受影响系统或单元的影响）评估特殊风险对受影响系统或单元的影响q分析特殊风险对作用区域内系统或结构的单个部件单元所产生的影响，确定系统或结构失效模式；此项工作可结合FMEA/PSSA进行交叉检查完成，并且要保证此处确定的影响后果与FMEA中确定的后果相一致。q以轮胎爆破为例n飞机为四发常规平尾宽体客机2 2、PRAPRA分析过程分析过程n7）评估特殊风险对受影响系统或单元的影响）评估特殊风险对受影响系统或单元的影响(续续)q以轮胎爆破为例绿色液压系统失效n（1）ATA 27q（a）襟翼的运行速度减小一半；q（b）缝翼的运行速度减小一半；q（c）双侧机翼1号、5号扰流板不能偏转。n（2）ATA 32q（a）丧失正常刹车系统，自动转换到备用（蓝色）刹车系统；q（b）前轮不能偏转；q（c）起落架不能收起(如果起落架在放下位置)；q（d）依靠重力放下起落架(如果起落架在收上位置)。 n（3）ATA 78q（a）2号反推力装置失效。n失效状态分类：MINOR2 2、PRAPRA分析过程分析过程n7）评估特殊风险对受影响系统或单元的影响）评估特殊风险对受影响系统或单元的影响(续续)q以轮胎爆破为例蓝色液压系统失效n（1）ATA 27q（a）缝翼的运行速度减小一半；q（b）双侧机翼2号、3号扰流板不能偏转；n（2）ATA 32q（a）备用刹车系统失效，如果蓝色刹车管路没有被切断，则通过蓄能器应急刹车，但不保留防滑刹车。n（3）ATA 78q（a）3号反推力装置失效。n失效状态分类：MINOR2 2、PRAPRA分析过程分析过程n7）评估特殊风险对受影响系统或单元的影响）评估特殊风险对受影响系统或单元的影响(续续)q以轮胎爆破为例黄色液压系统失效n（1）ATA 27q（a）襟翼的运行速度减小一半；q（b）双侧机翼4号、6号扰流板不能偏转。n（2）ATA 78q（a）1号、4号反推力装置失效。n失效状态分类：MINOR2 2、PRAPRA分析过程分析过程n7）评估特殊风险对受影响系统或单元的影响）评估特殊风险对受影响系统或单元的影响(续续)q以轮胎爆破为例n绿色、蓝色液压系统同时失效Majorn绿色、黄色液压系统同时失效Majorn蓝色、黄色液压系统同时失效Majorn三套系统同时失效Catastrophic2 2、PRAPRA分析过程分析过程n8）评估特殊风险导致的单元失效模式对飞机的影响）评估特殊风险导致的单元失效模式对飞机的影响q分析特殊风险导致的系统或担忧的失效模式以及失效模式的组合对飞机的影响，此项工作可结合SSA完成，并确保分析结果与SSA中的分析结果相一致。q以上述轮胎爆破为例：2 2、PRAPRA分析过程分析过程n9）确定该后果是否可接受）确定该后果是否可接受q根据可能出现的最终影响后果与采取的预防措施，并结合与具体特殊风险相关的条款的符合性验证文件，给出分析结论：n1）如果可接受，则将分析结论应用于SSA或其他具体的合格审定文件中；n2）如果不可接受，则给出补偿措施、进行设计更改。3 3、PRAPRA分析表格分析表格1）2）3）4）5）6）7）8）风险风险影响影响区域区域影响系影响系统统或或单元元适航条例适航条例或或规规范范设计设计预防防措施措施对系系统或或单元元的影响的影响最最终影响影响后果与分后果与分类结论与与补偿措施措施4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n1）条款与咨询通告）条款与咨询通告n2）背景）背景n3）定义）定义n4）设计考虑）设计考虑n5）各相关系统具体设计措施）各相关系统具体设计措施n6）失效模式）失效模式n7）安全性目标）安全性目标4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n1）条款与咨询通告）条款与咨询通告q第25.901条条 安装安装n(c) 对于动力装置和辅助动力装置的安装，必须确认任何单个失效或故障或可能的失效组合都不会危及飞机的安全运行，但如果结构元件的破损概率极小，则这种破损不必考虑。q第25.903 条发动机条发动机n(d) 涡轮发动机的安装 对于涡轮发动机的安装有下列规定：q(1) 必须采取设计预防措施，能在一旦发动机转子损坏或发动机内起火烧穿发动机机匣时，对飞机的危害减至最小；qAC20-128A“最大程度降低由于涡轮发动机和辅助动力装置及风扇叶片的非包容性损坏所造成的危害的设计考虑”4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n2）背景）背景q发动机n发动机包容性故障发生总数为676起，其中包括93起三类事故和15起四类事故。三类事故定义为对飞机继续安全飞行和着陆有重要影响的事故。四类事故定义为对飞机造成严重损坏的事故包括飞机坠毁、重大的伤亡或飞机解体。报告号时期总数3类事故4类事故AIR15371962-75275445AIR40031976-83237273AIR47701984-89164227总数67693154 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n2）背景）背景q辅助动力装置(APU)nAPU转子非包容性故障的统计报告涵盖了从1962年至1993年间发生的所有相关事件。该报告显示在这一时期的运输类飞机上的机载APU至少250百万的运行小时间，已发生了数起非包容性故障。但都不是三类或四类事故，并且所有故障都发生在地面操作阶段。n导致该类事故的因素多种多样，比如腐蚀，防冻液的吸入，制造和材料的缺陷，机械因素，以及认为因素（维修，检测失误和操作程序）。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n3）定义）定义qa. 转子:指发动机和APU中可以高速旋转的部件，通过分析，测试和/或经验可知在发生非包容性故障时，转子会被抛出。发动机/APU制造商对每一个发动机/APU的型号设计应该详细说明其组成转子的所有零部件。一般转子至少包括轮盘，轮毂，鼓筒，密封件，叶轮，叶片和隔叶块。qb. 叶片：风扇、压缩机和涡轮的旋翼部分(不包括叶台和叶根)。qc. 非包容性故障：为使飞机评估与本咨询通告形成一致,将涡轮发动机非包容性故障定义这类故障，会引起发动机/APU叶片碎片脱离转子飞出,对飞机造成危害的所有故障。上面所说的转子故障是指转子碎片具有相当的能量而足够对飞机造成危害。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n3）定义）定义qd. 关键部件：指当该部件发生失效时，会影响飞机正常安全的飞行和降落。对这类部件应单独进行考虑,并且与之相关联的部件也可能由于非包容性事故产生的相同碎片或其他碎片而遭到破坏。qe. 持续安全飞行和着陆：指能持续稳定的操纵机进行安全的飞行和着陆。在此过程中可能使用应急程序，但应急情形应不需要使用特殊的驾驶技巧或消耗过多的体力，同时也不会造成机组人员过多的工作量以及降低飞机的飞行品质。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n3）定义）定义qf. 碎片飞散角：从单级转子旋转平面的中心(与发动机/APU轴心线的交点)向前或向后量得的表示转子碎片可能散布范围的一个角度。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n3）定义）定义qg. 撞击区域：指非包容性转子故障产生的碎片可能撞击的飞机区域。qh. 发动机/APU失效模式：飞机设计时用于分析的一种描述发动机/APU转子碎片的尺寸,质量,飞散角,能量等级和数目的模型。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n4）设计考虑）设计考虑q使非包容性转子碎片导致的危害最低化的有效手段包括n将关键部件安置于碎片可能撞击的影响范围以外，n对飞机关键部件和/或系统进行隔离、n屏蔽保护n冗余设计。 4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n4）设计考虑）设计考虑qa. 考虑发动机/APU转子相对于飞机上的关键部件、系统或区域的位置n其他任何提供基本功能的发动机或APU;n机身的增压部分和机身,机翼和尾翼其他的主要结构;n驾驶舱部分;n燃油系统部件,输油管和油箱;n控制系统,像主副飞行操纵系统,电源电缆,电线,液压系统,发动机控制系统,易燃液体关断阀,及用于传递操纵的电缆或钢索;n所有货舱,APU,或发动机的灭火器系统包括这些系统中的电线和输送灭火介质的管道;n发动机进气附件和由于风扇叶片残骸导致的发动机机匣变形对附件失效带来的影响;n持续安全飞行和着陆必不可少的仪器仪表;n无意中打开反推系统可能造成灾难性的后果;n高海拔飞行的飞机的氧气系统,其在下降过程中尤其关键。 4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n4）设计考虑）设计考虑qb. 关键系统,部件的布置n如果可以，将关键部件或系统布置在碎片可能撞击的区域以外n如果安装在碎片的撞击范围内，对关键部件或系统进行冗余备份并是两者分隔开来，或者对关键部件或系统提供可接受的保护措施n可以利用机身或附加的保护盾板对关键部件和系统提供保护。q方法：对小碎片有效，关键系统隔离间隔达到1/2的叶片碎片尺寸设置成可由诸如气源导管、内饰件、隔板、长桁等其他内部结构提供相应的保护，或者q通过专门的保护盾板比如机身结构和盾板材料提供的同等水平的保护。q合理选择液体切断和作动装置的位置使得系统损坏时能隔离可燃液体；n令可能接触到火源的可燃液体的泄漏，降到最低程度；n对机身结构组成元件，进行冗余或止裂设计来限制由于非包容性转子碎片可能导致的裂痕进一步扩散；将燃油箱和其他可燃液体系统以及管路（包括通气管路）置于飞机结构之后以减轻溅出的燃油或油箱穿透造成的危害。燃油箱防爆材料、液体管路上的保护盾板或折流挡板可用来把损伤和危害减到最轻程度。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n5）各相关系统具体设计措施）各相关系统具体设计措施qa. 防火n灭火系统 n可燃液体切断阀 n关键功能的防火 n燃油箱 qb. 推力保持qc. 飞机操纵的保持qd. 对乘客和机组人员的保护qe. 结构完整性4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n5）各相关系统具体设计措施）各相关系统具体设计措施q以推力保持为例n(1)燃油保存：油箱应可隔离，使轮盘碎片造成的损坏不会导致完成飞行或安全转场所需燃油的丧失。还应考虑燃油流失造成的重心移动及横向失衡对飞机操纵性的影响n(2)发动机控制：通过撞击区的用于剩余动力装置的发动机控制线路，应隔开一个至少等于1/3轮盘碎片最大尺寸的距离n(3)其他发动机损坏：对任何其他发动机应提供免遭碎片影响的保护：将关键元器件如正常工作所必需的发动机附件（高压燃油管路、发动机控制器件和线路等）布置在具有固有保护（由机身、发动机或短舱包括反推力结构提供）的区域4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n6）失效模式）失效模式qa）1/3轮盘碎片n最大尺寸（扫掠路径宽度）：1/3轮盘加上1/3叶片长度形成的扇形物所对应的最大尺寸；n质量：带叶片的轮盘质量的1/3；n平移运动能量（忽略转动能量）：该扇形物以重心处的速度甩出时具有的能量；n碎片飞散角：3。 4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n6）失效模式）失效模式qb）中等碎片n最大尺寸（扫掠路径宽度）：带叶片的轮盘半径的1/3；n质量：带叶片的轮盘质量的1/30；n平移运动能量（忽略转动能量）：该碎片以轮缘处的速度甩出时所具有的能量；n碎片飞散角：5。 4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n6）失效模式）失效模式qc）可选碎片）可选碎片n在确定飞机上可能受到非包容转子爆破影响的危险区域以及评估非包容转子爆破的后果时，为便于分析，上述1和2两种碎片可用以下一种碎片替代。n最大尺寸（扫掠路径宽度）：1/3轮盘碎片所对应的最大尺寸；n质量：轮盘质量的1/3；n平移运动能量（忽略转动能量）：该扇形物以重心处的速度甩出时具有的能量。n碎片飞散角：5。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n6）失效模式）失效模式qd）小碎片）小碎片n最大尺寸（扫掠路径宽度）：1/2转子叶片长度（叶梢部分）所对应的尺寸（风扇叶片除外）n质量：转子叶片质量的1/2n碎片飞散角：15n使用经验表明，铝质机翼下壁板、吊挂、增压座舱蒙皮等一般均可抵挡住大部分小碎片，但能量最大的小碎片仍有可能穿透这类结构，同时应考虑多块小碎片的影响。对于非关键性结构（如整流罩、尾段、操纵面和非增压舱蒙皮）的穿透概率通常为发生爆破的转子轮盘上叶片总数目的2.5%n对于APU，可假设小碎片的质量相当于上述小碎片的质量，而其平移运动能量在原始级（失效）转子的总转动能量的1%的数量级上4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n6）失效模式）失效模式qe）风扇叶片碎片）风扇叶片碎片n最大尺寸（扫掠路径宽度）：1/3风扇叶片长度（不包括叶根和叶座，但包括叶片的阻尼平台）所对应的尺寸，如图6.4所示；n质量：风扇叶片质量的1/3；n平移运动能量（忽略转动能量）：碎片以重心处的速度甩出时所具有的能量；n碎片飞散角：15。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n6）失效模式）失效模式qf）APU碎片碎片n特定APU安装的转子失效模式取决于有关TSO的规定：q（1）按照TSO-C77b“辅助动力装置技术标准规定”做过转子完整性验证但未经过包容性鉴定的APU，前面a）、b）和c）失效模式适用；q（2）如果APU转子按照TSO-C77b做过包容性鉴定，并且有资料表明服役历史中仍发生过非包容事故，则d）中APU小碎片的规定适用。n此外，应考虑APU碎片（直至整个转子大小）进入尾喷管的情况。4 4、转子非包容失效特殊风险分析、转子非包容失效特殊风险分析n7）安全性目标）安全性目标qa）单个1/3轮盘碎片甩出所造成的灾难性事件的概率不大于1/20；qb）一个中等碎片甩出所造成的灾难性事件的概率不大于1/40；qc）多块轮盘碎片：三块1/3轮盘碎片在3个随机方向上甩出，每一碎片在360方向上具有相同的抛射概率（假设相对于轮盘平面的飞散角为3 ），所引起的双重或多重系统同时损伤而造成灾难性事件的概率不大于1/10；qd）对新设计的非通勤类23部飞机，灾难性事件概率不得大于上述规定值的两倍；qe）对于单个风扇叶片碎片、小碎片以及已通过包容性鉴定的APU和发动机转子级而言，无须进行定量风险评估。四、共模分析四、共模分析n1、共模分析的基本概念、共模分析的基本概念n2、共模故障分析程序、共模故障分析程序 n3、CMA与其他安全性方法的关系与其他安全性方法的关系 n4、CMA工程实例工程实例 1 1、共模分析的基本概念、共模分析的基本概念n1）共因失效）共因失效(CCF)与共模失效与共模失效(CMF)qCCF是指由于同一个原因或事件引起系统中多个部件同时失效，当这些部件的失效模式相同时CCF又称为CMF。q在民用系统设计中常采用余度设计来提高系统的可靠性与安全性，因此在余度系统中子系统之间、部件之间必须满足一定的独立性要求，或者保证由非独立性引起的风险是可以接受的。CMF的出现则表明余度系统存在一定数量的故障是非独立的，这种非独立性的存在，降低了冗余系统的可靠性，增加了系统的失效概率，给飞机的安全性带来了巨大隐患 。1 1、共模分析的基本概念、共模分析的基本概念n2）共模分析的定义）共模分析的定义qCMA是对共模故障进行分析的工具，其通过分析故障树“与门”输入事件（系统中的余度单元）是否满足独立性要求来确定共因事件对系统安全性的影响。CMA分析内容涵盖了设计、制造、操作与维修错误、相同软硬件故障等各类导致共因失效的因素。q需要注意的是，对于那些导致CMF的外部事件或环境因素，除了在CMA中进行分析外，属于PRA与ZSA范畴的，还要分别进行PRA与ZSA。1 1、共模分析的基本概念、共模分析的基本概念n3）共模分析的时机）共模分析的时机q由于CMA的分析对象为故障树“与门”的输入事件，CMA通常在PASA与PSSA中的FTA完成后才进行，并随着设计的进展与故障树的更新而不断更新，因此在安全性分析中，CMA工程在初步设计与详细设计阶段进行。2 2、共模故障分析程序、共模故障分析程序n一般包括如下四个步骤：一般包括如下四个步骤：q1）建立特定的CMA检查单（该清单包括具体的共模故障类型、来源以及失效与错误检查等）；q2）确定CMA需求；q3）CMA实施（对设计进行分析以评估其是否满足需求）；q4）将上述分析结果形成文档。 2 2、共模故障分析程序、共模故障分析程序n1）制定）制定CMA检查单检查单q对设计方案进行独立性检查是CMA的重要内容，而制定CMA检查单则是开展独立性检查的依据。q制定CMA检查单时需要考虑的一些因素：n1）软件开发错误；n2）硬件开发错误；n3）硬件故障；n4）生成、修理缺陷；n5）应力相关事件（如非正常飞行状态、非常差系统构型）；n6）安装错误；n7）需求错误；n8）环境因素（例如温度、振动和湿度等）；n9）继发性（级联）故障；n10）共同外部原因故障 2 2、共模故障分析程序、共模故障分析程序n1）制定）制定CMA检查单检查单实例实例 2 2、共模故障分析程序、共模故障分析程序n1）制定）制定CMA检查单检查单实例实例 2 2、共模故障分析程序、共模故障分析程序n1）制定）制定CMA检查单检查单实例实例 2 2、共模故障分析程序、共模故障分析程序n2）确定）确定CMA需求需求q本部分工作的主要目的是确定CMA需求，即系统中哪些对象必须满足独立性要求。qCMA需求的确定必须以熟悉所分析系统的具体设计特性为基础，其主要来源于两方面，n一类来源于PSSA，n另一类来源于设计与工程经验。 2 2、共模故障分析程序、共模故障分析程序n2）确定）确定CMA需求需求qa）熟悉系统特性）熟悉系统特性 为了执行CMA，首先必须熟悉所分析系统运行和安装的特性，包括：n1）设计构架和安装规划；n2）设备和部件的特性；n3）维修和试验工作；n4）机组程序；n5）系统、设备和软件的技术规范。2 2、共模故障分析程序、共模故障分析程序n2）确定）确定CMA需求需求qa）熟悉系统特性）熟悉系统特性 此外，分析人员还必须熟悉设计中采用的用以消除共模影响、或者使得共模影响最小化的系统设计特性。这些特性包括：n1）多样性（非相似性、冗余）和隔离；n2）测试和预防性维修大纲；n3）设计控制和设计质量等级；n4）程序或技术规范的评审；n5）人员培训；n6）质量控制。2 2、共模故障分析程序、共模故障分析程序n2）确定）确定CMA需求需求qb）PSSA中的中的CMA需求需求的的FTA方法（或等效的方法（或等效的MA、DDA）n1）对于在PSSA中每一个以“灾难性事件”或“危害性事件”为顶事件的故障树，识别每一“与门”事件（故障树中的“与门”），并确定相关的设计独立性原则；n2）检查每一“与”门事件，以确定哪些失效组合必须具有独立的；n3）上述分析得到的“与门”输入事件组合（失效组合）及其独立性要求即为CMA需求。n需要注意的是，故障树中很多“与门”输入事件都是由相同部件故障所导致的，具体分析中，可根据需要对这些具有独立性要求的事件进行简化，重点分析系统中具有冗余的设备，没有必要对所有“与门”进行分析。2 2、共模故障分析程序、共模故障分析程序n2）确定）确定CMA需求需求qc）工程经验中的CMA需求n可能有一些CMA需求，很难从FTA、DD和MA等方法中直接导出，这些需求通常源产品的生产和工程经验。n根据CMA检查单对采用的设计过程、设计细节、选用部件、制造工艺、安装过程以及维修过程进行审查，可得到CMA需求；并且随着评审与评估过程开展，已识别的导致共模事件的每一状态都可总结归纳为CMA需求。n这一类CMA需求在FTA中很难显现出来，它们通常与复杂部件、环境考虑、部件物理位置等导致的失效相关，FTA可能会忽略这些因素。2 2、共模故障分析程序、共模故障分析程序n3）CMA的实施的实施q针对于确定的每一CMA需求，进行如下处理：n1）确定与每一CMA有关的共模故障类型、来源、以及可能的共模失效或错误；n2）分析每个可能的共模失效与错误，以验证其是否满足独立性要求；n3）若认为其不符合独立性，给出可能的解决方案与初步设计纠正措施；n4）实施并跟踪纠正措施，确定纠正后的设计方案的可接受性。2 2、共模故障分析程序、共模故障分析程序n4）CMA文件归档文件归档qCMA的输出结果是CMA报告，报告应该包括以下内容：n1）在分析中使用的参考文件、图表以及支持材料；n2）用于指导CMA的检查单；n3）所分析系统、部件的描述；n4）CMA中发现的问题（可能的失效或错误）；n5）符合CMA需求的理由或证明材料；n6）相关问题的解决方案（纠正措施或证明可接受）；n7）CMA的结论。CMA需求：共模来源共模失效与错误符合性证明材料与纠正措施3 3、CMACMA与其他安全性方法的关系与其他安全性方法的关系n1）CMA使用了FHA与PSSA的结果，例如，灾难性失效状态清单与设计中所考虑的独立性准则；n2）共模分析的对象来源于PSSA中的FTA、MA或DDA中的“与门”事件；n3）PRA和ZSA能够识别潜在的共模影响，如果可能，PRA与ZSA也应对共模影响进行分析；n4）共模分析结果必须包含在SSA中。4 4、CMACMA工程实例工程实例 n1）系统描述）系统描述q以发动机控制系统（控制功能）为例，主要对容易发生CMF的发动机控制组件（ECU）、燃油关断装置、以及反推装置等部件进行描述。qa）ECU组件n1）从EIU接收运行指令（EIU是ECU与飞机系统之间的接口）；n2）接收用于推力计算的高度、总空气温度、总压力与马赫数等大气数据参数，这些参与来源于与ECU双通道相连的大气数据惯性基准组件（ADIRU）；n3）反推力杆的位置（TLA）。n4）ECU同样与其他飞机系统交接（直接方式或者通过EIU） 4 4、CMACMA工程实例工程实例 n1）系统描述）系统描述qb）燃油关断装置 4 4、CMACMA工程实例工程实例 n1）系统描述）系统描述qc）反推装置 4 4、CMACMA工程实例工程实例n2）检查单制定）检查单制定4 4、CMACMA工程实例工程实例n3）需求确定：）需求确定：q1）FADEC系统ECU的通道A与B必须满足独立性要求；q2）FADEC系统的发动机主要参数（N1、N2、EGT）传感器必须满足独立性要求；q3）用于发动机关闭控制的驾驶舱面板与ECU控制必须满足独立性要求； q4）反推装置液压控制组件的方向控制活门与压力控制活门必须满足独立性要求独立；q5）飞机燃油系统的LPSOV与发动机的HPSOV必须满足独立性要求。4 4、CMACMA工程实例工程实例n4）结论）结论CMA表格表格五、区域安全性分析五、区域安全性分析n1、基本概念、基本概念n2、分析程序、分析程序n3、注意事项、注意事项n4、工程实例、工程实例1 1、基本概念、基本概念n1）定义）定义q区域安全性分析（Zonal Safety Analysis, ZSA）是根据特定的分析程序和准则，适时地对飞机或飞机的一部分进行安全性分析检查，判别系统与系统之间，设备与设备之间的相容性，以评定其安全性程度的一种分析技术 1 1、基本概念、基本概念nb）目的）目的qZSA是在飞机上人为划定的区域内，考虑系统或设备安装、维修失误，外部环境变化，系统运行等情况而进行的安全性分析。其目的是：q1）通过对各区域进行相容性检查，判定各系统/设备的安装是否符合安全性设计要求；q2）判定位于同一区域内各系统/设备之间相互影响的程度；q3）分析产生维修失误的可能性及其影响；q4）就环境对系统/设备的影响进行分析和检查；q5）尽早发现可能发生的不安全因素，提出改进意见或措施。q区域安全性分析的最终目标是通过进行区域安全性分析使新设计能防止不正常事件或限制不正常事件的发生，保证各系统之间的相容性和完整性。1 1、基本概念、基本概念nc）分析范围和结果处理）分析范围和结果处理q从以下几点判定系统或设备安装是否满足安全性标准：从以下几点判定系统或设备安装是否满足安全性标准：n安装的基本要求是否能够满足；n分析每一区域内，某设备失效对其相邻或相关设备及其系统的影响；n分析设备/系统维修失误的可能性，及其对设备/系统以至整机的影响；n分析由于某个事故引起的失效对其相应区域内每一设备和系统的影响。q区域分析期间查出的重大缺陷或潜在缺陷按如下方式记录：区域分析期间查出的重大缺陷或潜在缺陷按如下方式记录：n在相应的区域安全性分析报告中详细叙述其重大缺陷或潜在缺陷，并提出解决办法，必要时应提出要求，更改设计；n如果采取了补偿措施，在区域分析报告中应有记录；n如果未采取或仅部分采取了补偿措施，当依据其失效率，若该情况被认为是可以接受的，则在相应的区域安全性分析报告中详细叙述。并且在有关的系统安全性评定中也应该有记录并且作为参考。 2 2、分析程序、分析程序n1）区域划分）区域划分n2）列出每一区域内系统）列出每一区域内系统/设备清单设备清单n3）区域内危险源的确定）区域内危险源的确定n4 ）制定分析准则）制定分析准则n5）分析检查与评价）分析检查与评价n6）作出分析结论）作出分析结论2 2、分析程序、分析程序n1）区域划分）区域划分q飞机区域的划分应当按照梁、隔框、隔板等界面，并考虑检查与维修的要求。在进行区域划分时应符合以下原则：qa）区域划分应简明，其排列应简单且有逻辑性，尽量将故障相关的相邻部分划分在同一个区域内；qb）各区域尽可能按实际有形的边界来划分，就确定区域的界限而言，采用机身和机翼内部有形边界（如框或翼肋）通常比按其外部边界（如蒙皮对接线）更为合适；qc）区域的大小以能在此区域内作仔细的、全面的分析，易于判断其故障影响为宜；qd）区域边界应将相关结构的侧壁包含在内，区域图或图表上的区域边界表示应清楚，应对区域边界作具体说明；qe）为使区域安全性分析有次序地进行并不致遗漏，划分的区域应进行区域编号，编号顺序一般为：机翼由内向外，由前向后；机身由前向后及自地板线向外；垂直安定面由根部向尖部。民机可按ATA100规定进行编号，必要时可根据需要进行特定编号。 2 2、分析程序、分析程序n2）列出每一区域内系统）列出每一区域内系统/设备清单设备清单q列出清单的目的是为了分析检查时具有针对性，不遗漏分析项目。清单形式可视情况确定，推荐的清单形式见如下表。分析阶段：填表：校核：审核：分析区域编号系统/设备名称系统/设备型号备注2 2、分析程序、分析程序n3）区域内危险源的确定）区域内危险源的确定q一般而言，区域内系统或设备的故障都有可能成为导致危险发生的危险源，因此可以综合利用系统或设备FMECA或FMEA的结果，对那些关键的故障模式进行针对性分析检查。 2 2、分析程序、分析程序n4）制定分析准则）制定分析准则 q分析准则是进行区域安全性分析的依据，在新型飞机设计时应根据要求和同类飞机的以往使用经验，制定具体的分析准则，该准则也可用作设计人员的设计指南。q分析准则应包括总则（通用准则）和细则（专用准则）两部分。总则一般规定了系统和设备安装、相互影响、维修、环境影响等方面的要求及限制，每个区域中的每个系统/设备均应符合总则的规定。分析细则是以系统/设备为对象，在其所经过的各个区域内应考虑本系统/设备与其他相邻系统/设备之间就安装、相互影响、维修、环境影响以及系统功能等因素所提出的规定要求。 2 2、分析程序、分析程序n4）制定分析准则）制定分析准则q总则（通用准则）n系统/设备的安装n管路、导管、软管、电线、电缆等的安装n安全警示标志n部件安装n排空n材料的相容性n电搭接n维修保养n注意相互关联系统q细则（专用准则）n空气导管铺设n电气/电子设备、系统n防火系统n燃油系统n液压系统n指示系统n发动机安装n发动机操纵系统2 2、分析程序、分析程序n5）分析检查与评价）分析检查与评价 q对每个区域内的所有系统，进行区域安全性分析应着重检查以下几个方面：na）系统安装设计规则检查系统安装是否符合相应的安装规则；nb）系统间的相互影响分析每一区域内，某设备失效对其相邻或相关设备及其系统的影响；nc）维修失误分析系统维修失误的可能性及其对整机的影响；nd）环境影响分析环境对系统/设备的影响；ne）事故影响分析由于某个事故引起的失效对其相应区域内每一设备和系统的影响等。2 2、分析程序、分析程序n5）分析检查与评价）分析检查与评价2 2、分析程序、分析程序n6）给出分析结论）给出分析结论q经过区域安全性分析并对所发现的重大问题采取了预防改进措施之后，应进行复查并作出分析结论。q根据区域安全性分析结果应写出分析报告，该报告是整机、系统安全性评定内容的组成部分。q分析报告的内容一般有：分析目的、分析阶段、经分析发现的重大故障或潜在故障，对这些故障采取的改进措施；如果没有改进措施或仅部分地采取了改进措施，应对其作出说明。对引起安全性的事件的发生概率应作出定性或定量的评估。2 2、分析程序、分析程序3 3、注意事项、注意事项n各专业的人员应汇集其所涉及区域的系统及设备的各专业的人员应汇集其所涉及区域的系统及设备的FMECA/FTA资料，归资料，归纳各系统通过相关区域的情况，制定出较详细、具体的应用于各系统区域纳各系统通过相关区域的情况，制定出较详细、具体的应用于各系统区域安全性分析的程序。实际分析时，可参考下面的方法：安全性分析的程序。实际分析时，可参考下面的方法：q1）对于各个小区域，应预测该区域内每个零部件的故障及其对周围零部件的影响，并考虑其长期后果和即时后果；q2）检查区域的外部情况（包括环境情况）以及潜在故障因素（如火情、振动、碰撞、温度等）；q3）系统地分析每种故障的潜在危害度，并在故障树分析中注意冗余件的情况；q4）复查各区域分界线上的区域分析情况，以免漏检；q5）确定系统隔离或系统冗余件是否符合要求。4 4、工程实例、工程实例n仍然以动力装置为例仍然以动力装置为例4 4、工程实例、工程实例n1）分析区域及区域内设备）分析区域及区域内设备4 4、工程实例、工程实例n2）危险源分析）危险源分析4 4、工程实例、工程实例n3）区域安全性分析结论表）区域安全性分析结论表谢谢！谢谢！