运输类飞机EWIS安全性评估实施研究

2012-06-05张绍杰黄一敏

航空标准化与质量 2012年4期

张绍杰陶峰黄一敏

（1.中国商飞上海飞机设计研究院，上海 201210；2. 南京航空航天大学，江苏南京 210016）

“电气线路互联系统[1]”（EWIS）是指“安装在飞机上任何区域的，用于在两个或多个端接点之间传输电能（包括数据和信号）的各种电线、端接器件、布线器件或其组合”。针对EWIS的适航规章要求是根据2007年美国运输类飞机适航规章FAR 25的123号修正案正式提出的，之前飞机上的布线只是作为支持飞机系统功能的一部分，没有单独的适航要求。

在FAR 25的123号修正案提出后，新设计飞机的EWIS应按照EWIS适航规章要求进行适航审定。目前已经明确要通过EWIS适航审定[2]的国外民机项目空客A350 XWB和波音B787–9也处于研发阶段，国外申请人和适航当局也尚处于对EWIS规章的理解和审定原则把握的讨论过程中。

系统安全性评估是适航审定过程中的重要工作，§25.1709“EWIS系统安全”提出了对EWIS进行安全性评估的要求。因此，在现阶段开展EWIS安全性评估研究具有重要意义。

系统安全性评估是贯穿飞机设计始终的工作，涉及飞机、系统设计、安全性评估流程和安全性分析方法等内容。FAA发布的咨询通告AC 25.1701–1[3]针对§25.1709给出了参考的安全性评估流程。但如何依据该流程开展安全性评估工作，仍有许多问题需要解决。本文结合AC 25.1701–1的EWIS安全性评估流程，以及飞机、EWIS设计和ARP 4761[4]系统安全性评估过程，研究EWIS安全性评估的实施过程。

1 EWIS安全性评估主要工作分析

AC 25.1701–1给出了型号合格审定过程中进行的EWIS安全性评估的参考流程，主要内容见参考文献[5]。EWIS安全性评估从飞机级“功能危险性评估”（FHA）开始，用以确定与EWIS相关的灾难性和危险的失效状态。然后根据EWIS的物理失效和功能失效对飞机造成的影响，分别进行评估。

1.1 飞机级FHA

这里的FHA是为了符合§25.1309进行的飞机级FHA，并不是专门用来表明符合§25.1709而单独进行的评估。

在进行FHA的过程中，应考虑与EWIS相关的功能失效，并考虑电气线路携带的能量、信号或信息数据。因为EWIS的失效可能导致飞机系统的功能丧失，从而对飞机的安全性产生影响。

1.2 物理失效分析

物理失效分析考虑所有系统的所有布线，而不论系统失效可能造成的功能危险。只分析单共因失效，不考虑多共因失效。

物理失效分析包括EWIS特性的确定、安装标准的确认和验证、减轻措施的设计和确认、合并减轻措施以及生成分析结果5个步骤。需要根据飞机和系统的FHA、初步系统安全性评估（PSSA）和系统安全性评估（SSA）的结果，利用飞机如数字样机、物理样机、飞机参数、历史数据等可用的信息，采用首件制品检查、设计评审、“特定风险分析”（PRA）、“区域安全性分析”（ZSA）、“共模分析”（CMA）、区域检查等检查和分析的方法。对于EWIS部件的磨损、腐蚀等物理失效，主要通过设计、安装、后期维护等尽量避免。对于发生电弧造成的附带损伤、火灾等对飞机安全性的影响，结合历史经验数据、试验分析等方法进行分析，给出必要的设计改进措施。

1.3 功能失效分析

功能失效分析主要分析由于EWIS提供的功能失效对系统和飞机安全性的影响。

功能失效分析包括与EWIS相关系统的安全性评估、失效状态的确定、减轻措施的设计和确认以及生成EWIS安全性评估结论文档4个步骤。同样需要与飞机和系统FHA、PSSA和SSA交互进行评估，采用的主要安全性分析方法有“失效模式及影响分析”（FMEA）、“故障树分析”（FTA）和CMA（分析FTA中与EWIS相关的“与门”）等方法，用以评估EWIS提供的功能失效（短路、开路）对飞机、系统功能的影响，给出必要的设计改进措施。

2 飞机系统安全性评估和EWIS设计过程分析

2.1 飞机设计和系统安全性评估

飞机设计按照系统工程的研制流程，主要包括概念设计、初步设计、详细设计、试制和批量生产阶段。系统安全性评估和飞机系统设计是交互迭代进行的，系统安全性评估[4]主要分为FHA、PSSA和SSA 3个阶段，如图1所示。

FHA分为飞机级FHA和系统级FHA，是在飞机概念设计和初步设计阶段用以确认飞机和系统功能的失效状态、失效状态的影响，并向低层次分配失效状态的定量或定性设计要求。为了支持FHA需要进行FTA或“共因分析”（CCA）。

PSSA是检查所提出的系统构架，确定如何导致FHA确定的功能危险性，如何能够满足FHA要求。PSSA的输入有飞机和系统级FHA、初步CCA、系统构架说明。PSSA的输出为较低层次（软硬件）设计、飞机安装、使用（飞行和维修）等的安全性要求。PSSA失效状态分析需要部分的依赖工程判断以及相似设计的使用经验，其评估过程是迭代的，随着设计的进展而进行完善。进行PSSA的分析方法主要采用FTA和CCA。

SSA是对系统、系统构架和安装进行系统性的、全面的评估，用以验证其是否符合FHA和PSSA的安全性要求。对这些要求的验证采用试验、分析、证明和检查中的一个或多个方法来实现。进行分析的方法主要有FTA、FMEA和CCA。对于不同层次上实施的PSSA，都有对应的SSA。

2.2 EWIS设计过程

图1 飞机设计和系统安全性评估流程图

EWIS设计主要包括EWIS线路互联设计、线束安装设计、综合设计、元器件设计和其他设计等内容。线路互联设计主要是对EWIS提供的功能进行设计，包括原理框图设计、电气原理图设计和线路图设计等。线束安装设计包括空间预留、数字样机设计、线束安装图设计等。综合设计考虑EWIS线路互联设计的系统功能要求和线束安装设计的物理安装要求，是功能与物理的综合。元器件设计和其他设计的主要内容以及飞机设计各阶段的设计进度见表1。

表1 EWIS设计进程表

3 EWIS安全性评估的实施研究

由于EWIS的主要作用是支持各系统与电气线路相关功能的实现，所以其安全性评估过程和方法也与为了符合§25.1309进行的飞机各功能系统的安全性评估过程不同。下文所述FHA、PSSA和SSA是为符合§25.1309而进行的评估，不是单独为了满足EWIS安全性评估而进行的。

在上文分析的基础上，结合EWIS设计过程、AC 25.1701–1的EWIS安全性评估流程和EWIS安全性评估的主要工作内容，以及ARP 4761的系统安全性评估过程，将EWIS安全性评估的实施总结为如下2个阶段。

3.1 FHA和PSSA阶段

系统安全性评估的FHA阶段，主要是确定飞机级功能，进行飞机级FHA；确定系统构架，进行各功能系统FHA。随着设计的细化，将系统功能分配到组件，进行PSSA。用到的分析方法主要为FTA和CCA。

在FHA阶段开展FTA和PSSA阶段进行FTA迭代时，需要考虑EWIS失效的影响，可根据经验和积累的设计数据为EWIS分配相应的失效率。根据EWIS线路互联设计（原理框图、电气原理图）和线束安装设计（空间预留、初步数字样机），依据初步数字样机，考虑EWIS的分开和隔离，以及磨损、腐蚀和电弧等物理失效可能造成的影响，进行初步ZSA。对如转子爆破、轮胎爆破、鸟撞、炸弹爆炸、高压瓶、高压管、摆动轴、大风车等可能对线路、关键系统余度线路和设备布局产生影响的特定风险项目，进行PRA时应予以特别关注。

3.2 SSA阶段

随着系统设计逐步细化到零件和软件、硬件，在SSA阶段FTA再次迭代修改。此阶段的FTA考虑详细线路图，根据支持系统功能的线束分布，针对不同线束段（区域和线束变化），分别考虑短路和开路失效，开展详细的FMEA，进行底事件概率计算，以支持系统的FTA。其中的短路应考虑对不同电压（如115V对28V、28V对28V、115V对115V等）、对地、电线对信号线短路等失效，依据系统和安装特性，通过试验、历史经验数据等方法分配相应的失效率。

CMA主要针对EWIS功能失效分析部分的FTA中与EWIS相关的“与门”，以及线路设计安装中的生产/修理缺陷、安装差错、要求的差错、环境因素等进行分析。包括对EWIS组件内部（部件/组件级CMA）和EWIS设计、安装对系统（系统/飞机级CMA）的影响分析。

依据线束安装和线束综合设计的结果，针对包含布线的区域进行详细的ZSA。进行ZSA时，考虑区域中液压、氧气、燃油等管路和钢索、运动设备等外部危险源对EWIS的影响。以及EWIS作为危险源，发生电弧时对区域内其他系统和设备的影响。