龙细英 彭 平
（中国特种飞行器研究所，湖北荆门 448035）
故障树分析方法在民机安全性分析中的应用
龙细英彭平
（中国特种飞行器研究所，湖北荆门 448035）
对故障树分析方法进行了系统地研究，结合民用飞机的研制流程，介绍故障树分析方法的使用及其优缺点，给出了故障树分析的流程和各个环节应考虑的主要因素，推荐了故障树分析报告的格式。最后通过实例介绍了故障树分析方法在民机安全性设计分析中的具体应用，为民用飞机研制中故障树分析的深入研究与应用提供了参考。
安全性分析 故障树分析 顶事件 民机
安全性对于民用飞机来说至关重要。所谓安全性分析，是一种系统性的检查、研究和分析技术，它用于检查产品在每种使用模式中的工作状态、确定潜在的危险以及预计这些危险对人员伤害或对飞机损坏的可能性，并确定消除或减少危险的方法，以便能够在事故发生之前消除或尽量减少事故发生的可能性或降低事故有害影响的程度。
故障树分析（Fault Tree Analysis，FTA）目前已被广泛用于系统安全分析，并越来越引起人们的重视。故障树分析是一种自上而下的分析方法，它对导致不希望事件发生的故障进行并行和有序的综合分析，研究每种故障及其原因，以给出不希望事件在给定环境条件下可能发生的概率，揭露设计的薄弱环节，以便改进设计，提高系统的可靠性、安全性水平和经济效益。
1 故障树分析
1.1故障树基本概念及特点
故障树指用以表明产品哪些组成部分的故障或外界事件或它们的组合将导致产品发生的一种给定故障的逻辑图。故障树是一种逻辑因果关系图，构图的元素是事件和逻辑门。图中的事件用来描述系统和元、部件故障的状态，逻辑门把事件联系起来，表示事件之间的逻辑关系。它是一种自上而下的图解演绎方法，具有很大的灵活性和综合性。
1.2故障树分析方法的优缺点
故障树分析克服了FMECA、PHA和FHA等分析存在的缺点和限制，可以分析与部件的硬件故障、人为差错有关的故障事件，以及导致不希望发生的其他相关事件。它既可用于定性分析也可用于定量分析。在定量分析中，故障树将指出所有产品层次所需的可靠性数据，直到单个零件，这些数据用于确定故障概率和风险评价。
故障树分析的优点有:（1）故障树分析从分析不利影响发生的概率出发，只考虑与该顶事件有关的信息和条件，减少了分析费用和时间；（2）利用故障树分析，系统安全技术人员可以审查系统设计，隔离导致故障的最关键部件，识别可能导致事故的各种事件和条件的复杂组合；（3）在设计早期进行故障树分析有助于消除由于更改和改装带来的昂贵费用；（4）与故障模式影响分析相比，故障树分析可包括环境因素和人为差错等外部影响；（5）故障树分析利用图解演绎自上而下的逻辑因果关系，表现手法直观，容易观察故障原因、影响和系统各部件的相互关系；（6）故障树分析既可作为定性亦可作为定量分析工具，适用于多故障分析，特别是复杂的数字电路。
缺点:（1）与FMECA相比，故障树分析方法较复杂，如若涉及定量分析的期间还需要借助计算机或分析软件进行分析，对分析人员自身数理逻辑思维要求较高；（2）在故障树的逻辑图中仅包括条件和事件的原因、影响和相互关系，因此，必须补充某些材料，使读者便于理解；（3）在故障树建树中，对独立事件和从属事件的辨别比较困难。
1.3故障树分析工作步骤
安全性分析应贯穿在飞机研制各阶段，不同阶段选用不同的分析方法。在工程研制阶段的初步设计阶段只需进行定性的故障树分析；随着设计深入，到详细设计阶段时需进行定量故障树分析；在设计定型阶段根据试验、试飞的故障情况对故障树进行修改。故障树分析通常可按以下步骤进行，具体如图1所示。
1.3.1准备工作
在进行故障树分析之前必须熟悉设计说明书、原理图（流程图、结构图）、运行规程、维修规程和有关资料。应掌握系统设计意图、结构、功能、边界（包括人机接口）和环境情况；辨明人的因素和软件对系统的影响；辨识系统可能采取的各种状态模式及它们和各单元状态的对应关系，辨识这些模式之间的相互转换，必要时应绘制系统可靠性框图以帮助正确形成故障树的顶部结构和实现故障树的早期模块化以缩小树的规模；此外，建树者还应随时征求有经验的设计人员和使用、维修人员的意见，最好有上述人员参与建树工作，方能保证建树工作的顺利开展，同时确保建成的故障树的正确性达到预期的安全性分析目的。
1.3.2确定顶事件
顶事件是指系统不希望发生的显著影响系统技术性能、经济性、可靠性和安全性的故障事件。这种事件可能不止一个，在充分熟悉资料和系统的基础上，做到既不遗漏又能分清主次地将全部重大故障事件一一列举，必要时可应用故障模式影响分析（FMEA）， 通过故障模式影响分析找出影响安全和任务成功的关键故障模式，然后再根据分析目的和故障判据确定出本次分析的顶事件。
1.3.3建造故障树
将已确定的顶事件写在顶部矩形框内，将引起顶事件的全部必要而又充分的直接原因事件置于相应事件符号中画出第二排，再根据实际系统中它们的逻辑关系用适当的逻辑门连接顶事件和这些直接原因事件。如此，遵循建树规则逐级向下发展，直到所有最低一排原因事件都是底事件为止。
1.3.4故障树分析报告
故障树分析报告一般应包括系统概述、系统工作原理介绍、故障树分析内容（如建造故障树、定性或定量的分析）、对系统潜在不安全因素的综合评估等。报告具体内容可视实际的分析情况确定，某型飞机故障树分析报告的内容如下:
（1）前言:指明本次分析的任务和所涉及的范围；（2）系统概述:说明系统功能原理、边界定义和运行状态；（3）基本假设:说明本次FTA的约束条件；（4）系统故障的定义和判据；（5）系统顶事件的定义和描述；（6）故障树建造；（7）故障树的定性分析；（8）分析结论及建议。
2 实例
以下结合某型民用飞机的起动系统进行故障树分析，起动机供电电路如图2所示:正常起动程序:合上开关6P将接触器4P的线圈接通，通过接触器4P将蓄电池向应急汇流条供电的支路接通，此时再合上开关1J，接通接触器2K的线圈，随即起动机得电工作。
2.1建造故障树
对于民用飞机，发动机在空中停车时起动机无法再起动发动机将是致命的，因此以发动机空中停车时起动机无法工作为顶事件进行建树，详细故障树如图3所示。
2.2定性分析
根据下行法进行分析，得到最小割集如下:｛4K故障，发动机空中停车｝、｛1J断路故障，发动机空中停车｝、｛1K断路故障，发动机空中停车｝、｛2K故障，发动机空中停车｝、｛4P断路故障，发动机空中停车｝、｛2P断路故障，发动机空中停车｝、｛6P断路故障，发动机空中停车｝、｛1P无电压输出，发动机空中停车｝。其中“发动机空中停车”是未展开事件。由这些最小割集可以看出故障树中的所有底事件和未展开事件同时发生均能导致顶事件的发生，因此在设计时除了控制与减小“发动机空中停车”这一未展开事件发生的概率外，对分析出的各底事件进行过程控制，最大限度地减少其发生的概率。
2.3定量分析
收集到系统工作4小时的故障树底事件的故障数据如下:
1J断路故障发生的概率:0.1×10-6
1K断路故障发生的概率:0.2×10-6
2K故障发生的概率:0.2×10-6
4K故障发生的概率:5.3×10-6
4P断路故障发生的概率:0.2×10-6
2P断路故障发生的概率:0.2×10-6
6P断路故障发生的概率:0.1×10-6
1P断路故障发生的概率:0.5×10-6
发动机空中停车的故障概率保守估计为10-7（参考亚太地区飞机发动机故障概率为10-8）
根据上述数据计算应急电源供电功能丧失的概率P1=1-（1-0.2 ×10-6）（1-0.2×10-6）（1-0.1×10-6）（1-0.5×10-6）≈1.0×10-6
2K触点不能闭合的概率P2=1-（1-0.1×10-6）（1-0.2×10-6）（1-0.2×10-6）（1-1.5×10-6）≈2.0×10-6
起动电机无法工作发生的概率P3=1-（1-P2）（1-5.3×10-6）≈7.3 ×10-6
最后算出顶事件发生的概率P4=7.3×10-6×1×10-7≈7.3× 10-13
上述计算为系统工作4小时时顶事件发生的概率，即1小时时，顶事件发生的概率为:1.83×10-13。根据适航要求，灾难性故障事件每飞行小时发生的概率应小于1×10-9，由定量分析得出本例顶事件每飞行小时发生的概率为1.83×10-13远小于10-9，因此认为该起动系统的设计是可接受的、安全的。
3 结语
本文介绍了安全性分析中有关故障树分析方法的基本概念、优缺点及分析步骤，并结合我国某型民用飞机安全性设计分析的工程实践，系统地介绍了故障树分析在民机安全性设计分析中的具体应用，给出了民用飞机故障树分析各个环节应考虑的主要因素，为进一步开展故障树分析在理论与工程应用研究提供了参考。
由于目前我国民机研制水平与发达国家相比有较大差距，关于民机安全性分析的理论与工程应用研究基础薄弱，利用故障树分析等方法全面进行民机安全性设计方面的研究才刚起步，因此，今后还有大量的工程实践问题需要分析、研究和总结。
［1］GJB768A-1998.故障树分析方法.
［2］GJB/Z 99-97.系统安全工程手册.
［3］飞机设计手册总编委员会编.飞机设计手册第20册—可靠性、维修性设计.北京：航空工业出版社，1999.
龙细英（1982—），女，江西万年人，本科，工程师。研究方向：航空电气系统设计；
彭平（1980—），男，贵州六盘水人，硕士，高级工程师。研究方向：飞行器电气系统设计。
