功能危险性分析FHA
基于功能危险分析的数控机床主传动系统故障树分析
定义 ， 从而对系统中各故 障模式按其严重程度进行 分类． 考虑到故障造成最坏的潜在后果 ， 并根据最终 可能出现的人员伤亡、 系统损坏或经济损失 的程度
来确定故障影响等级． 主传动系统故障影 响类别及
定 义见 表 １ ．
表 １ 系统故障影响类别及定义
Ｔ ｂ １ Ｃａ ｅ ｏ ｙ ａ ｄ ｄ ｒ ｔ ｎ ｆ ｙ ｔ ａ ｌ ｆｕ ｎ ｅ ａ ． ｔｇ ｒ ｎ ｅ ｍｉ ｏ ｏ ｓａｎ ｆ ｕ ｔｉ ｌ ｅ ｃ ｉ ｓ ｎ
数控机床主传动系统的功能是将主轴 电动机的 原动力变成可供主轴上刀具切削加工的切削力矩和 切削速度． 主传动系统应具有较大的调速范围， 以保 证加工时能选用合理 的切削用量 ， 同时主传动系统
确定故障影响类别 ； 四步与相关专家讨论确定分 第 析结果的准确性． 特别指 出表 中的故障描述是指某 种功能故障情况下系统状态 的描述 ； 障影响是指 故 某一功能故障对系统正常工作的影 响． 能危险性 功 分析见表 ２通过 Ｆ Ａ图表 ２ ． Ｈ 可得 Ｉ 类故障是由于
定产品故障原因的各种可能组合方法或其发生概率 的一种分析技术． 其思想是运用演绎法逐级分析 ， 把
第３ ７卷 第 ３ 期 ２ １ 年 ６月 ０１
兰
州
理
工
大
学
学
报
Ｖｏ． ７ Ｎｏ ３ １３ ．
Ｊ ｕ ｎ ｌ ｆ ａ ｚ ｏ ｉｅ ｓ ｙｏ ｃ ｎ ｌｇ ｏ ｒ ａ ｎ ｈ ｕ Ｕｎｖ ｒｉ ｆ ｏＬ ｔ Ｔｅ ｈ ｏｏ ｙ
Ｊ ｍ ０ １ ｕ ２ １
文章编号 ：１７ －１６ ２ １） ３０ ３—４ ６ ３５ ９ （０ １０ －０ ４０
起落架功能危害分析FHA报告示例
2014-12-01 2/2
滑跑, 着陆 滑跑 滑跑, 着陆 滑跑 飞行中
Effect of Failure Classification Condition 正常 a/c 刹车降级，在 灾难 停机/紧急刹车时可能损 失 50%刹车性能，停车 距离延长 航班前轮转向踏板，LG 危险 收回故障，NLG。可能 损坏到 NLG 和 bay 部 件。LG 收回 没有关于起飞着陆故障 较小 模式的消息反馈给机组 错误的系统运行模式的 消息反馈给机组 飞机方向控制性能严重 降低，机组在飞行中不 能使用踏板 飞机方向控制能力非明 显退化 较大 较大
lg收回危险yes126前轮转向系统无故障信息机轮转向故障滑跑着陆滑跑没有关于起飞着陆故障模式的消息反馈给机组较小yes127一个前轮转向模式下激活信息错误滑跑着陆滑跑错误的系统运行模式的消息反馈给机组较大yes128一个前轮转向模式下激活信息错误飞行中飞机方向控制性能严重降低机组在飞行中不能使用踏板较大yes129前轮转向系统故障信息错全程飞机方向控制能力非明显退化较大1210前轮阻尼缺失滑跑着陆滑跑前轮摆振型振动摆危险yes
Verification Remarks Yes
Yes
Yes
1.2-7 1.2-8
Yes Yes
1.2-9
全程
较大
1.2-10
滑跑, 着陆 滑跑
前轮摆振型振动（摆 振）
危险
Yes
Generated by RAM Commander Software
Author: Group: Project:
Date: Document Nr: Page:
2014-12-01 1/2
XXXX 起落架 rev. rev. D # 1.2-1 Function 前轮转向 Failure Condition 前轮卡住或锁定 Phases 滑跑, 着陆 滑跑
民用飞机功能可靠性评估方法
民用飞机功能可靠性评估方法作者：杨学蕊来源：《科技视界》2020年第17期摘要运营可靠性是航空企业可靠性设计中最核心的指标之一，提高民机可靠性可以降低研制成本和运营费用。
为了达到这一目标，需要研究一种方法能够在设计阶段有效控制运营可靠性指标。
因此，从功能失效状态入手，借鉴功能危险性评估的工作理念，提出分解和验证运营可靠性指标的方法和流程，提高飞机投入市场后的运营可靠度，增强市场竞争力。
关键词可靠性;运营可靠性;功能危险性评估;功能可靠性评估中图分类号： V267 ; ; ; ; ; ; ; ; ; ; 文献标识码： ADOI：10.19694/ki.issn2095-2457 . 2020 . 17 . 560 引言民用飞机具有周期长、复杂度高、市场竞争激烈、重视成本及运营经济性等特点[1]，因此民机的运营可靠性是最受业界和航空公司关注的指标之一，也是民机可靠性设计中最核心的指标之一。
运营可靠度是与运营可靠性有直接关联的可靠性指标，现阶段国内设计工作中对该指标的设计实现方式，是从确定整机运营可靠度开始，然后依据工程经验向系统、设备进行分解分配，之后再反向预计，迭代修改分配结果。
通过型号工作发现，该方法对飞机的设计不是一种正向指导性设计，在设计阶段对提出的运营可靠性指标进行控制和验证时，比较困难，在设计阶段对指标实现工作的管控力度欠缺且方法单一，造成在飞机投入运营后才暴露出运营可靠度低的问题，使运营成本增加，直接影响了飞机的市场竞争力。
因此有必要研究一种在设计阶段提高飞机运营可靠度的设计方法。
通过广泛调研并参考SAE ARP 4754A[2]、国际同行做法等工作，本文提出了功能可靠性评估（FRA）方法，该方法从功能失效状态入手，借鉴功能危险性评估（FHA）工作理念[3-4]，在设计阶段提出明确的可靠性定量要求，通过故障树分析（FTA）和失效模式与影响分析（FMEA）等手段，对影响运营可靠性的设备失效率进行直接控制，提高飞机的运营可靠度。
浅谈飞机级功能危害评估(AFHA)流程
浅谈飞机级功能危害评估(AFHA)流程摘要:本文提供了民用飞机及其相关系统与设备进行安全性评估过程中,实施飞机级功能危害性评估的过程和方法,用于指导相关设计人员在飞机研制初期实施飞机级功能危害性评估。
关键词:飞机级功能危害评估安全性评估失效状态从民用飞机设计角度,CCAR/FAR/CS 25是飞机设计应满足的基本规章。
在飞机设计过程中,除了关于系统、部件、性能等相关的条款外,飞机还应满足特定的与安全性相关的要求,表明对CCAR/FAR/CS 25.1309条款的符合性。
因此,民机适航合格审定过程中,需要对飞机整机进行安全性评估,以期证明飞机设计满足既定的安全性要求。
1 AFHA的作用和目的AFHA是系统、综合地按层次检查飞机级功能的安全性评估方法,以确定在其故障、以及正常工作时可能产生或潜在的危险及后果。
该评估方法起始于飞机概念设计阶段,并为飞机后续研制提供设计要求和安全性要求的重要依据。
分析结果是下一步安全性评估流程(例如:初步系统安全性评估PSSA和系统安全性评估SSA)的必要输入,也为后续系统、子系统设计架构提出安全性设计需求,帮助确认系统架构的可接受性,发现潜在问题和所需的设计更改,确定所需的进一步分析的要求及范围。
AFHA将整机视为研究对象,研究飞机设计的整个飞行包线和不同飞行阶段内,可能影响飞机持续、安全飞行的功能失效状态。
AFHA 是在飞机设计的初始阶段对飞机的基本功能在高层次上进行的定性评估,对识别所有与飞机有关的失效状态,并进行危害等级的划分,分析结果将形成飞机设计必须满足的安全性要求。
AFHA提供对安全性至关重要的那些潜在功能失效状态的相关信息,这些信息可用来确立所需系统的结构方案、软件完整性水平要求、系统分离和隔离要求以及最低限度设备清单(MEL)要求。
2 AFHA的分析假设AFHA评估的首要条件是进行飞行场景描述。
通常情况下,安全性分析人员通过对飞机、系统功能的理解,结合同类机型的设计经验以及飞机特定的飞行阶段和环境条件,描述不同的飞行场景,该飞行场景是定义相应失效状态影响等级的重要依据。
软件可靠性和安全性技术研究
摘要：在简述分析技术的基础上，提出了以系统危险为基础的软件安全性与可靠性分析策略，并结合实例对这一策略的实际应用进行了深入分析，旨在为实际的软件分析工作提供参考，保证软件分析结果的真实性与准确性。
关键词：软件；可靠性；安全性；故障树0引言在航天、军事等领域中，软件密集化程度、规模、复杂度均大幅提高，作为系统的重要组成部分，软件对系统的影响日益增大。
因此，在软件研制与管理过程中，如何保证软件的可靠性和安全性，成为了相关人员关注的焦点。
1分析技术1.1FHAFHA，即功能危险评估，按照从上到下的顺序确定系统功能所处状态，同时对其可能造成的影响进行评估。
它能对产品功能进行综合检查，对不同的功能状态进行识别，判定功能是否存在故障或丧失，并以故障的严重程度为依据进行分类。
1.2PHAPHA，即初步危险分析，可对系统危险进行识别，是对软件安全性进行分析的主要方法。
对于在程序设计与开发时需要跟踪和解决的各项危险和风险，该方法可确定危险清单框架，同时记录通用危险[1]。
1.3SFMEASFMEA，即软件失效模式和影响分析，它是对现有系统分析方法的创新和拓展，基于失效模型，将失效可能造成的影响与后果等作为中心，以分析层次及因果关系等作为依据，通过识别确定软件存在的薄弱环节，同时提出相应的改进措施。
1.4SFTASFTA，即软件故障树分析，它将现有的FTA技术作为基础，尤其适合在需求阶段使用。
该技术自顶向下，将对系统有较大影响的故障作为顶事件，分析导致系统产生故障问题的软件方面的原因。
为确保软件的安全性和可靠性分析能够顺利开展，下面根据以上4种技术方法，提出以系统危险为基础的软件安全性和可靠性分析策略。
2以系统危险为基础的软件安全性和可靠性分析以系统危险为基础的软件安全性和可靠性分析策略分为以下4个步骤：步骤1：对系统危险进行识别与分析，将系统级功能作为入手点，采用FHA技术确定系统不同功能所处的故障状态，通过识别确定系统危险，同时对危险可能造成的影响及危险的级别进行分析。
卫星功能危险性分析方法
卫星功能危险性分析（FHA）方法1目的和意义功能危险性分析（FHA）是自上而下地评估分系统可能发生的所有故障状态，分析每个故障状态对分系统和整星的功能可能产生的影响，对各种危险后果的等级进行划分，并制定可能的控制措施方案。
它与故障模式和影响分析（FMEA）互相补充，并为故障树（FTA）确定顶事件提供可参考的相关事件清单。
功能危险性分析在可行性阶段、方案阶段和详细设计阶段都可以应用。
在可行性阶段，进行功能危险性分析可以使设计人员明确所要设计的分系统的功能要求、薄弱环节和下一阶段需可靠性工作的重点。
并为以后进行分系统设计和设备单机选取提供依据。
2引用文件GJB451-90 可靠性维修性术语GJB768-89 故障树分析GJB900-90 分系统安全性通用大纲GJB1391-92 故障模式、影响及危险性分析程序3功能危险性分析（FHA）的格式和要求功能危险性分析（FHA）报告所包括的主要内容及格式如下：a)分系统概述∙分系统功能∙分系统组成及各组成部件的功能∙分系统工作原理（含功能原理图）∙分系统界面及其环境条件b)分系统功能危险性分析（FHA）∙填写FHA表(详见表1)∙相关事件清单（列出I、II 类功能故障）功能危险性分析（FHA）分析报告中填写FHA表是最为重要的工作。
表1 分系统功能危险性分析表（FHA）要充分发挥的功能危险性分析（FHA）作用就要在填写分系统功能危险性分析表（FHA）的过程中考虑以下相应的要求：第1栏功能：列出整星或分系统的所有功能，包括主要功能和次要功能。
这里不必考虑分系统的硬件构成，只考虑分系统整体上能完成的功能即可，各种功能要分别列出。
第2栏危险说明：此栏填写前面的功能可能会发生的危险（故障）情况，分四种情况填写：A 功能丧失：如果所分析分系统的此项功能不能完成，会出现何种危险情况。
B 故障和不希望的动作：分系统发生故障或执行非预定的不希望的功能时，会发生何种危险的情况。
基于功能危险分析的涡轴发动机适航安全性评估
基于功能危险分析的涡轴发动机适航安全性评估安罡;李艳军;曹愈远;马安祥;汪震宇【摘要】针对涡轴发动机安全性需求,确定了其适航安全性分析的方法及程序.运用整机级功能危险分析法(FHA)对涡轴发动机进行安全性分析,并针对其系统结构的复杂性等问题,提出了整机级FHA功能定义的层级解决方案;利用可靠性模型识别多重失效组合问题;针对功能失效状态影响分析主观性强、难于确定的特点,提出了Delphi法进行专家评估.结果表明:安全性验证程序能够为涡轴发动机安全性验证提供支持,FHA可以较快速识别涡轴发动机整机级危险失效状态,较为客观地确定功能危险影响等级,并有效减少工作量.【期刊名称】《航空发动机》【年(卷),期】2015(041)005【总页数】5页(P98-102)【关键词】适航;功能危险;安全性;Delphi法;涡轴发动机【作者】安罡;李艳军;曹愈远;马安祥;汪震宇【作者单位】南京航空航天大学民航学院,南京211106;南京航空航天大学民航学院,南京211106;南京航空航天大学民航学院,南京211106;南京航空航天大学民航学院,南京211106;南京航空航天大学民航学院,南京211106【正文语种】中文【中图分类】V235.12随着直升机功能的多样化发展，对其动力装置涡轴发动机相关技术研究与探索有迫切的需求[1-2]。
在中国涡轴发动机的研制经历了从国外引进技术到与国外合作研制的过程，航空发动机适航规定（CCAR33）是航空发动机进行适航审定的依据，其中CCAR33.75规定了发动机必须进行安全性分析[3]。
但由于中国航空发动机安全性研究基础薄弱，目前缺少行之有效的安全性分析准则。
本文结合涡轴发动机安全性验证的实际情况，建立航空发动机适航符合性验证程序。
适航符合性验证用于检验涡轴发动机是否满足适航条例要求，申请人采用不同的符合性验证方法来表明适航条款的符合性，其中安全分析是1种重要的符合性验证方法[4-6]。
功能危险性分析FHA
感ห้องสมุดไป่ตู้谢 阅 读
感 谢 阅 读
提供下列结论： (1)根据有关时间及其最大允许发生概率而得出的系统 设计准则 (2)系统分离要求 (3)后续安全性分析要求 (4)性能故障鉴定试验 (5)供应商的补充要求
填写分析报表，提供详细分析情况。
功能风险分析表
功能 风险 阶段 对其它系 对飞机 影响 合格审 备注或
描述
统影响 影响 类别 定方法 建议
从适航条款的规定可以看出，在飞行中舱门的偶然 打开引起的事故是灾难性的，为I 级事故; 而舱门误 示和不能打开引起的事故为重大的，属于 III级事故 "
2) 事故统计数据
通过 FHA 得到引起“级以上失效的故障模式 有:登机门的偶然打开，误示登机门关闭到 位和登机门不能打开，作为某型民机登机 门的主要故障模式”这三种主要故障模式的 确定符合 CCAR 25 R 4.783适航条款对民机 舱门设计的规定，登机门的主要故障模式、 影响等级以及相应的安全性指标如下表所 示
FHA方法介绍
FHA是一种自上而下识别功能失效状态,并 评估其影响的方法 。
FHA是一种工程工具，用来确立系统安全性 设计准则，帮助决定设计方案的可接受性， 发现潜在的问题和所需的设计更改，确定 所需的进一步分析的要求及范围。
FHA分析在系统详细设计开始之前完成，用 以决定所需的后续安全性分析及其深度， 并确立安全性设计准则。
根据影响等级确定安全性设计标准
系统安全性设计指标是根据FAR/CCAR 25.1309的要求以 及适航条例中与该系统有关的安全性要求，通过功能风险 分析确定的。
飞机系统设计如下表
风险等级划分
I 类，灾难性的。此类风险引起人员伤亡或飞机损坏， 且机组极难采取有效的纠正措施以保证飞机继续安全飞 行和着陆。引起此类风险的单点故障状态是补课接受的， 而引起此类风险的多重故障状态必须是极不可能事件。 对此类风险必须进行FMEA和FTA分析。
安全性评估
4、危险的（Ⅱ级）：失效状态会降低飞机的能力或机组处理不利操作情况的能力，包括：(1) 极大地降低安全裕度或功能能力；(2) 身体不适或过分的工作负担导致飞行机组不能准确地或完全地完成其任务；(3) 除了飞行机组以外，可能个别乘员会遭受严重伤害或死亡。
5、灾难的（Ⅰ级）：失效状态会妨碍持续安全飞行和着陆，导致绝大部分或全部乘员死亡以及飞机损毁。
这五类失效状态分别对应着由安全性指标所规定的定性和定量的概率要求，如表2.1 所示，这样就对每种等级的失效状态建立了在设计、制造飞机时必须要达到的安全目标。
表2.1 失效状态等级与安全指标的关系失效状态的等级无安全性影响（Ⅴ级）轻微的（Ⅳ级）重大的（Ⅲ级）危险的（Ⅱ级）灾难的（Ⅰ级）允许的定量概率（每飞行小时的平均概率）无概率要求＜10-3＜10-5＜10-7＜10-9允许的定性概率无概率要求可能的极少的极端少的极不可能的对飞行机组的影响无影响轻微地增加工作负担身体不舒适或明显地增加工作负担身体不适或过分的工作负担削弱了执行任务的能力死亡或丧失（执行任务）能力对乘员的影响（包括乘务人员）不便利身体不舒适身体不适，可能出现受伤个别乘客或乘务人员遭受严重伤害或死亡绝大部分死亡对飞机的影响对营运能力或安全无影响轻微地降低功能能力或安全裕度明显地降低功能能力或安全裕度极大地降低功能能力或安全裕度一般会损毁通常，在对飞机的安全性进行评估时，会在两个层面上进行功能危害性评估。
这两个层面分别是针对飞机级功能的功能危害性评估和针对系统级功能的功能危害性评估。
飞机级FHA 是一个高层级的评估，主要是针对那些在开始研制飞机时定义的飞机基本功能进行的定性评估。
通过飞机级FHA 确定出与飞机级功能相对应的失效状态并划分出等级，不同等级的失效状态分别对应不同的安全要求。
飞机级FHA 的另一作用是确定涉及到多个系统的失效状态，这些失效状态如果单从一个系统来分析划分出的等级可能要低于综合考虑后划分出的等级。
FHA分析和QRA分析材料在LNG调峰站总平面设计中的应用
FHA分析和QRA分析材料在LNG调峰站总平面设计中的应用摘要：本文主要探讨了FHA（火灾危害分析）分析和QRA（定量风险分析）分析在调峰站总平面设计中的应用，以此为基础提出各类分析材料在总图设计中的使用方式和观点。
关键词：方法论、总平面布置、分析报告、应用1应用方法论各类参考材料是工程技术人员解决问题、提出技术方案的重要资料，在其选择和应用上一般遵循两种逻辑思路和应用方法。
1.1 验证式应用方法通过了解工程的特点、需求、条件，查找找相关的参考材料进行验证。
如某工程需确定平面布置方案，可以先分析流程关系、生产关系、人流及物流关系，从而划定功能区块，再根据各区块的主要工艺关系确定方位关系，有针对性的的查找相关的风险、灾害等技术要求性分析材料，这种方法以主观确定的布置方案为主导，以分析材料作为验证信息对防范的安全因素进行考量，从而验证平面布置的合理性与安全性。
1.2 溯根式应用方法通过已知分析材料的信息，确定临近和避让要求，进行相应的布置要求。
同样的还是确定平面布置方案确定的问题，通过风险、灾害等分析，确定出各项危险源，那么在功能分区时应将此危险源作为一个前提，哪些内容可以与之临近，哪些需要远离，从而确定布局情况，这种方法以分析材料的结论为前提，方案设计围绕分析材料的结论开展，可以成为溯根法。
两种思路和方法一种是从方案本身分析如何利用材料的正向方式，一个是从分析材料结论反推方案如何进行设计。
在工程设计中不会只用一种，而是互补使用的，如在各条件没有的情况下设计标准平面方案多用正向思路，在采用规划用地、地质灾害分析等因素时多用反推的方式。
下述章节中主要以先设计方案再通过材料论证的“验证式”方式进行介绍材料的应用。
3、FHA分析报告重要内容选择3.1 主要目标（1）辨识工程范围内正常生产时，对周围带来危险的危险源进行辨识；（2）根据识别出的危险源，开展失效可能性、后果量化分析（池火、闪火、喷射火、气压爆炸等）；（3）依据可信事件事故后果，对工程范围的防火防爆、人员应急逃生通道等设计提供数据支持；（4）提出针对工程范围火灾爆炸的风险管理措施建议。
民用飞机气源系统安全性评估
民用飞机气源系统安全性评估作者：彭丹祺来源：《科技视界》2015年第27期【摘要】通过对SAEARP4761中提出的一套机载系统安全性评估的方法对民用飞机机气源系统安全性评估过程进行了分析和论述，以此表明气源系统的安全性设计对§25.1309条款的符合性。
【关键词】气源系统；安全性；失效0 概述民用飞机机气源系统设计采用系统安全性评估的方法来进行符合性验证适航规章§25.1309条款[1]的要求。
SAEARP4761中提出了一套机载系统安全性评估的方法，包括：功能危害性评估（FHA）、初步系统安全性评估（PSSA）、故障模式及影响分析（FMEA）、故障树分析（FTA）、共因分析（CCA）、系统安全性评估（SSA）等，其中共因分析（CCA）包括区域安全分析（ZSA）、特殊风险分析（PRA）、共模故障分析（CMA）[2-3]。
本文对民机气源系统安全性评估的方法和过程进行了分析和论述。
1 民用飞机气源系统简介典型的民用飞机气源系统通常为从发动机、APU或地面高压气源引气，为空调、机翼防冰、发动机起动、燃油箱惰化及水箱增压提供气源，满足下游用气系统的压力、温度和流量需求。
民用飞机气源系统的主要功能有：1）对选择从发动机引气、APU引气或者地面高压气源引气进行管理，为空调系统、机翼防冰系统、燃油惰化系统、水废水系统及发动机起动系统提供引气；2）发动机压缩机中压级和高压级之间的引气自动转换；3）发动机引气压力控制；4）发动机引气温度控制；5）发动机引气关断功能；6）回流保护功能；7）交输引气与隔离功能；8）实时监控和指示。
2 安全性评估2.1 安全性评估流程根据SAEARP4754和SAEARP4761中的安全性评估方法，系统安全性工作流程见图1。
首先根据飞机级功能和飞机级FHA的输入及系统级功能，开展系统级FHA；其次开展系统PSSA，制定系统构架，对安全性需求进行分配；然后进行共因分析，验证关键设备冗余设计的有效性，保证设计中相关设备功能的相容性和独立性；最后进行SSA分析，运用FMEA＼FTA＼PRA＼CCA等分析方法，验证系统满足安全性要求和适航条款要求。
民用航空机载设备安全性评估技术研究
民用航空机载设备安全性评估技术研究作者：王其国来源：《企业技术开发·下旬刊》2015年第04期摘要：文章着重探讨系统安全性评估技术在民用航空机载设备领域的应用。
文章介绍了系统安全性评估技术在航空机载设备研制过程中开展的时机以及分析过程，对系统安全性技术中常用的四种安全性分析方法进行了深入探讨，对民用航空机载设备安全性评估进行了有益的探索。
关键词：系统安全性；功能危险分析；故障模式及影响分析；故障树分析；共因分析中图分类号：V226 文献标识码：A 文章编号：1006-8937（2015）12-0004-02目前，工业产品的结构和功能越来越复杂，其安全性也越来越受到重视，逐渐成为系统研制和使用中关注的重点。
对于民用航空工业，其安全性不言而喻，一旦发生安全事故，将导致重大人身和财产损失，并造成恶劣的社会影响。
系统安全分析可以有效提高产品的安全性，在工业设计和生产中有着重要的作用。
通常采用定性和定量分析相结合的方法进行系统安全评估，及时发现问题并采取改进措施，以此来保证系统设计的安全性要求。
1 适航规章对系统安全性的有关规定民用航空设备都要求具有较高的安全性、经济性和可靠性，其中安全性居于首要地位，在飞行设备的设计中首先要考虑的就是安全问题，每一种民用航空设备在进入市场之前，都要经过严格的安全测试，同时要经过适航当局的批准才可以进入市场。
在CCAR25.1309（b）中有如下规定：飞机系统与有关部件的设计，在单独考虑以及与其它系统一同考虑的情况下，必须符合下列规定：①发生任何妨碍飞机继续安全飞行与着陆的失效状态的概率为极不可能；②发生任何降低飞机能力或机组处理不利运行条件能力的其它失效状态的概率为不可能。
”其中概率极不可能对应概率需小于10-9，不可能对应概率需小于10-7。
2 系统安全性评估的过程安全性评估过程包括要求的产生和与飞机研制活动相配合的研制性工作。
这个过程是通过一套安全评估方法来对飞机的构造和各功能部件等进行测试评估，发现其存在的安全隐患，并及时作出改进，最后再判断相应的危险是否得到有效控制，保证其投入使用后能够安全运行。
适航管理课程展示1-CCAR25.1309适航标准研究
条款演变
CCAR-25-R4
CCAR-25-R3，R2，R1
(b). (1)发生任何妨碍飞 机继续安全飞行与着陆 的失效状态的概率为极 不可能。 (2) 发生任何降低飞机 能力或机组处理不利运 行条件能力的其它失效 状态的概率为不可能。
(b). (1)发生任何妨碍飞 机继续安全飞行与着陆 的失效情况的概率极小。 (2) 发生任何降低飞机 能力或机组处理不利运 行条件能力的其它失效 情况的概率很小。
审定案例
1996年TWA800航班B747飞机因中央油箱外部导线短 路而导致空中爆炸，造成机上230人全部罹难口]。然 而传统的安全性和可靠性定量分析中并未考虑导线的 故障，导线在可靠性模型中主要是用来说明零部件、 组件间的连接关系。FAA(Federal Aviation Administration)逐渐认识到导线故障对飞机飞行安全 的危害性，开展了燃油箱可燃性、燃油箱防爆、导线 安全性等方面研究，同时将惰化系统引入到民用飞机 ， 提出“电气线路互联系统(EwIS)”概念 。FAA相继发 布
(e) 在表明电气系统和 条款(e)、(f)、均为系 设备的设计与安装符合 统要求，主要涉及系 本条(a)和(b)的规定时， 必须考虑临界的环境条 统、设备对能源的要 件。中国民用航空规章 求。 规定具备的或要求使用 的发电、配电和用电设 备，在可预期的环境条 件下能否连续安全使用， 可由环境试验、设计分 析或参考其它飞机已有 的类似使用经验来表明， 但适航当局认可的技术 标准中含有环境试验程 序的设备除外。 (f) 必须按照25.1709 条 的要求对电气线路互联 系统(EWIS)进行评估。
条款(b)对飞机系统和 有关部件的设计进一步 明确了在安全性方面不 同危害程度失效状态所 允许的概率要求 “失效” 指一个系统或 其中一个零件丧失功能 或有故障。 “失效状态”是指考虑 到在有关的不利工作或 环境情况下，由一个或 多个失效引起或促成的， 直接和间接对飞机和乘 员的影响。
04-1-安全性设计的工具
录
（一）飞机安全性历史和相关标准的背景 （二）适航审查工程师在SSA中的角色 （三）安全性设计：一个综合性的处理方法
（四）安பைடு நூலகம்性设计的工具
（五）确认需求和假设
（六）多少安全性足够 （七）关于25.1309合格审定计划的考虑 （八）安全性设计的误区 （九） 总结
1、安全性设计的“四个工具”
●功能危险性分析（FHA）：制定安全性设计标准； ●故障模式及其影响分析（FMEA）：寻找单故障和潜在故障； ●故障树分析（FTA）：用数量表示组合故障； ●共因分析（CCA）（区域分析ZA、特定风险分析PRA、共模
分析CMA）：寻找冗余违犯者。
2、安全性设计基本内容 ●系统安全性设计过程中必须做的四项基本工作是：建立标 准，评估设计，指导纠正措施，验证符合性。
3、FHA、FMEA、FTA和CCA的概念和相互间的功能关系
安全性评估
4、危险的（Ⅱ级）：失效状态会降低飞机的能力或机组处理不利操作情况的能力，包括：(1) 极大地降低安全裕度或功能能力；(2) 身体不适或过分的工作负担导致飞行机组不能准确地或完全地完成其任务；(3) 除了飞行机组以外，可能个别乘员会遭受严重伤害或死亡。
5、灾难的（Ⅰ级）：失效状态会妨碍持续安全飞行和着陆，导致绝大部分或全部乘员死亡以及飞机损毁。
这五类失效状态分别对应着由安全性指标所规定的定性和定量的概率要求，如表2.1 所示，这样就对每种等级的失效状态建立了在设计、制造飞机时必须要达到的安全目标。
表2.1 失效状态等级与安全指标的关系失效状态的等级无安全性影响（Ⅴ级）轻微的（Ⅳ级）重大的（Ⅲ级）危险的（Ⅱ级）灾难的（Ⅰ级）允许的定量概率（每飞行小时的平均概率）无概率要求＜10-3＜10-5＜10-7＜10-9允许的定性概率无概率要求可能的极少的极端少的极不可能的对飞行机组的影响无影响轻微地增加工作负担身体不舒适或明显地增加工作负担身体不适或过分的工作负担削弱了执行任务的能力死亡或丧失（执行任务）能力对乘员的影响（包括乘务人员）不便利身体不舒适身体不适，可能出现受伤个别乘客或乘务人员遭受严重伤害或死亡绝大部分死亡对飞机的影响对营运能力或安全无影响轻微地降低功能能力或安全裕度明显地降低功能能力或安全裕度极大地降低功能能力或安全裕度一般会损毁通常，在对飞机的安全性进行评估时，会在两个层面上进行功能危害性评估。
这两个层面分别是针对飞机级功能的功能危害性评估和针对系统级功能的功能危害性评估。
飞机级FHA 是一个高层级的评估，主要是针对那些在开始研制飞机时定义的飞机基本功能进行的定性评估。
通过飞机级FHA 确定出与飞机级功能相对应的失效状态并划分出等级，不同等级的失效状态分别对应不同的安全要求。
飞机级FHA 的另一作用是确定涉及到多个系统的失效状态，这些失效状态如果单从一个系统来分析划分出的等级可能要低于综合考虑后划分出的等级。
八大风险评价方法简介(JHA、SCL、LEC等)
（。
常用HAZOP分析工艺参数
流量、温度、压力、液位、时间、PH、频率 分离、组成、速度、黏度、反应等。
HAZOP分析引导词及其意义
引导词 NONE（空白） MORE（过量）
的深度，按其逻辑关系，画出故障树。 7.分析：按故障树结构进行简化，确定各基本事件的结构重要度。 8.事故发生概率：确定所有事故发生概率，标在故障树上，并进而求出顶
上事件(事故)的发生概率。 9.比较：比较分可维修系统和不可维修系统进行讨论，前者要进行对比，
后者求出顶上事件发生概率即可。 10.分析：原则上是上述10个步骤，在分析时可视具体问题灵活掌握，如
10 6 3
1 0.5 0.2 0.1
该方法研究的基本过程是以关键词为引导，寻 找系统中工艺过程或状态的偏差，然后再进一 步分析造成该变化的原因、可能的后果，并有 针对的提出必要的预防对策措施。
HAZOP分析步骤
（1）成立分析小组----根据研究对象，成立一个由多方面专家 （包括操作、管理、技术、设计和监察等各方面人员）组成的分 析小组，一般为4～8人组成，并指定负责人。
果故障树规模很大，可借助计算机进行。目前我国故障树分析一般都考 虑到第7步进行定性分析为止，也能取得较好效果。
故 障 树 分 析 例
事故树分析例子
7.事件树分析
（Event Tree Analysis，缩写ETA）的理论基础 是决策论。它是一种从原因到结果的自上而下 的分析方法。从一个初始事件开始，交替考虑 成功与失败的两种可能性，然后再以这两种可 能性作为新的初始事件，如此继续分析下去， 直到找到最后的结果。
简言之,做FM是发现问题;做EA则是分析问题并 解决问题.
民用飞机功能危险性评估与特定风险分析关系研究
民用飞机功能危险性评估与特定风险分析关系研究作者：陆鹏来源：《科技视界》2016年第17期功能危险性评估（Function Hazard Assessment，FHA）是对功能进行系统而全面的检查，以确定这些功能的失效状态并按其严重程度进行分类的过程。
FHA是新机型或改进机型设计过程中安全性评估的第一步，为新设计或改进设计建立安全性要求。
FHA给出各种危险后果评估，推导或者确认飞机或系统安全性设计准则，提出飞机或系统安全性要求，推荐可能的控制措施，并为其他危险性分析建立框架。
功能危险性评估是对针对功能进行的系统而全面的检查，以确定这些功能的失效状态并按其严重性进行分类的过程，是新机型或改进机型设计过程中安全性评估的第一步。
该评估方法起始于飞机概念设计阶段，并为飞机后续研制提供设计要求和安全性需求的重要依据。
FHA 分析结果是下一步安全性评估的必要输入，也为后续系统、子系统设计架构提出安全性设计需求，帮助确认系统架构的可接受性，发现潜在问题和所需的设计更改，确定所需的进一步分析的要求及范围。
在功能危险性分析过程中，其中有关键的一个步骤就是要确定分析中需要考虑的各种因素，这些因素的考虑决定了FHA的深度、广度、正确性和完整性等，对于FHA的整个过程至关重要，这些因素除了考虑功能的各种失效模式之外，还需要考虑各种外部因素的影响，比如外在风险源、各种特定风险的影响等。
而特定风险分析（PRA）在安全性评估的整个过程中，即作为FHA的一种补充，也是以FHA的分析结论为输入，与FHA是相辅相成的关系。
但是目前还没有工作对FHA和PRA的这种关系进行过深入研究，以更好的指导飞机的安全性设计，因此本文中以SAE ARP 4761《民用机载系统和设备安全性评估过程的指南和方法》为工作指导，结合工程设计经验，对FHA和PRA的关系进行了深入研究，揭示了FHA和PRA相互促进作用，对民用飞机安全性设计有着一定的参考意义。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2) 事故统计数据
通过 FHA 得到引起“级以上失效的故障模式 有:登机门的偶然打开，误示登机门关闭到 位和登机门不能打开，作为某型民机登机 门的主要故障模式”这三种主要故障模式的 确定符合 CCAR 25 R 4.783适航条款对民机 舱门设计的规定，登机门的主要故障模式、 影响等级以及相应的安全性指标如下表所 示
优点：在于他能在设计的早期，在没有也 不需要有细节设计信息的时候，就能提供 关键性的设计指南。 缺点：由于它是演绎式的，所以不可能证 明分析是否完全彻底。因此为了得到一个 可靠的结论必须采用完善的系统的方法来 完成FHA。
FHA分析应该包括以下三个主要方面
列出系统功能 包括严重功能故障状态清单。可以包含一个高层次的功 能图以助理解，但不宜涉及详细的，硬件方面的图纸和 结构，细节设计将根据FHA分析的结论随后进行。 提供下列结论： (1)根据有关时间及其最大允许发生概率而得出的系统 设计准则 (2)系统分离要求 (3)后续安全性分析要求 (4)性能故障鉴定试验 (5)供应商的补充要求 填写分析报表，提供详细分析情况。
FHA方法介绍
FHA是一种自上而下识别功能失效状态,并 评估其影响的方法 。 FHA是一种工程工具，用来确立系统安全性 设计准则，帮助决定设计方案的可接受性， 发现潜在的问题和所需的设计更改，确定 所需的进一步分析的要求及范围。 FHA分析在系统详细设计开始之前完成，用 以决定所需的后续安全性分析及其深度， 并确立安全性设计准则。
功能风险分析表
功能 风险 描述 阶段 对其它系 对飞机 影响 统影响 影响 类别 合格审 定方法 备注或 建议
工作阶段
故障状态的影响等级分类
AC25.1309-1A按故障严重程度将故障状态分为四类： I 类，灾难性的。不能继续安全飞行和着陆，可能 引起人员伤亡或飞机损坏的故障。 II 类，危险的。严重降低飞机的安全裕度，或使机 组人员应付不利操作条件能力严重下降而不能准确、 完全地完成其操作的故障。 III类，重大的。明显降低飞机的安全裕度，或明显 增加机组人员工作负担的故障。 IV类，轻微的。未明显降低飞机安全性和机组易于 采取措施的故障。
根据影响等级确定安全性设计标准
系统安全性设计指标是根据FAR/CCAR 25.1309的要求以 及适航条例中与该系统有关的安全性要求，通过功能风险 分析确定的。
飞机系统设计如下表
风险等级划分
ห้องสมุดไป่ตู้
I 类，灾难性的。此类风险引起人员伤亡或飞机损坏， 且机组极难采取有效的纠正措施以保证飞机继续安全飞 行和着陆。引起此类风险的单点故障状态是补课接受的， 而引起此类风险的多重故障状态必须是极不可能事件。 对此类风险必须进行FMEA和FTA分析。 II 类，危险的。此类事故若机组不立即采取合适的纠正 措施也将严重影响飞机和乘员的安全。必须进行FMEA 和FTA分析。来说明此类风险是极小可能的。 III类，重大的。明显降低飞机的安全裕度，或明显增加 机组人员工作负担的故障，但飞机和乘员没有危险。 IV类，轻微的。不会降低飞机安全性，但可能影响任务 完成。机组易于采取措施。
分析流程
某型民机登机门功能危险性分析 （FHA）
舱门的功能分析——舱门的功能说明及相应的 飞行状态 舱门的危险说明及影响分析 某型民机登机门的 FHA 过程
舱门的功能说明及相应的飞行状态
1) 适航条款要求
中国民用航空适航规章CCAR 25 R 4.783关于民机舱 门设计的规定如下: CCAR 25 R 4.783( a)要求舱门偶然打开事件的发生 是极不可能的; CCAR 25 R 4.783( e) 要求误示舱门关闭#上闩锁定 事件的发生是不可能的; CCAR 25 R 4.783( b) 要求舱门不能打开事件的发生 是不可能的" 从适航条款的规定可以看出，在飞行中舱门的偶然 打开引起的事故是灾难性的，为I 级事故; 而舱门误 示和不能打开引起的事故为重大的，属于 III级事故 "
功能危险性分析法（FHA）
民机系统安全性设计评估技术
Functional Hazard Analysis,
民机适航合格审定过程中,需要对系统进行 安全性评估。系统安全性评估的要求，根 据系统复杂程度、系统功能对飞机安全性 影响的严重性、以往使用经验的积累以及 所采用的评估方法和技术等因素的不同而 不同。因此，在投入大量时间和人力进行 系统安全性评估之前，通常要对系统预期 的功能进行功能风险分析。