基于FTA-ANN的航空发动机安全风险分析∗

（南京航空航天大学 南京 211106）

1 引言

航空发动机身为飞行器的重要部件，其性能状态不仅对飞机有着直接影响，同时考虑到飞行器全机的维修成本中，航空发动机的维修成本占到了50%以上，将直接影响航空公司运营成本。因此准确评估发动机的运行状态以及其安全风险对民航安全有着重大意义，本文根据某型飞机的故障库和可靠性报告对某型飞机发动机的可靠性进行深度分析。

故障树分析在安全性与可靠性分析中是十分有效的分析工具。FTA被广泛应用于航空电子、核能和化工领域等安全关键领域。ANN可以应用于过程系统的风险评估。FT可作为开发此类ANN模型的信息基础。Zhang和Lowndes［1］应用耦合人工神经网络和故障树分析模型预测了煤和瓦斯方面的突发事件，他们将FT被用于识别主导模型参数作为ANN模型的输入变量。结果发现，他们提出的将FT与ANN耦合的方法可以作为预测采矿业煤与瓦斯突出的有效工具。T.Nagpal，Ys Brar［2］提出了基于人工神经网络算法的实现，以对电力变压器中不同类型的故障进行分类，特别适用于变压器故障分类的非破坏性测试，对概率神经网络（PNN）和反向传播网络分类器进行性能分析，并作了对比研究。Li［3］等基于数据处理和分组，开发了一种神经网络模型来预测CO2泄露的风险，并对其进行验证，解决了未来油井方面建设的实践规划等问题。ANN的参数可以更新为贡献因子的新状态，并从实际现场数据进行训练［4］。ANN不需要有关输入和输出变量之间关系的信息［5］。ANN建模中有许多重要方面会对网络性能产生重大影响，包括数据分析，神经元设置等［6］。贝叶斯网络（BN）也可以明确地表示原因和结果的依赖关系，更新概率，处理不确定性以及合并多状态变量［7～8］。ANN相对于BN的一个明显优势是ANN可以模拟输入变量之间的相关性；而BN假设所有输入变量（即可变状态）都是独立的。这解释了为什么在本研究中选择ANN。

以上研究成果为基础，结合航空发动机系统的特点，通过将故障树映射到人工神经网络来建立可靠性模型，是本文重点解决的问题。本文旨在某型发动机的运行可靠性及安全风险，建立故障树，将其映射到ANN中，进行系统风险评估，并研究该方法在民航安全分析中的有效性。

2 算法设计

本文提出的方法实施流程具体如图1所示。

图1 ANN网络映射方法及预测流程图

步骤1识别故障或危险源，构建出故障树模型。

步骤2针对故障，采集故障数据样本并构建样本矩阵。

步骤3判断所采集的故障样本以及样本数量是否有效可用。当样本数据可用率不够的时候，需要重新采集样本；当样本数不够时，我们就用Boot⁃strap方法随机生成可用数据，然后进行计算，获得初步数据。

步骤4根据样本，确定ANN要训练和调试的输入值以及相应输出的测试数据。根据经验法则设置ANN网络中的参数。随后进行ANN网络的训练，在多次试验后，得到最终的ANN模型。

步骤5 重复试验，得到ANN预测的TE结果。

步骤6 将ANN结果与FT模型预测结果进行对比，统计可用情况。如果匹配程度好，就可用将ANN网络进行实际应用，否则返回步骤4、5，进行重新调试。

2.1 FTA（Fault Tree Analysis）

FT（Fault Tree）用于识别已识别的危险可能导致系统故障或事故的方式。原因正在被演绎地识别，并且以树的图形形式作为中间或基本事件，取决于它们进一步发展的可能性。IE和BE都使用’gate’连接，’gate’是布尔逻辑运算符’OR’或’AND’或’PAND’等。使用历史故障率数据或专家判断的统计分析来估计BE的失败概率。使用“AND”和“OR”门连接的树组件的失败概率（P）由下面式（1）和式（2）分别计算：

其中Pi是事件作为门的输入的概率；P是事件作为门输出的概率。FT用于识别系统故障的原因，作为要开发的ANN中的输入变量。FT应用于有助于识别或选择ANN的适当输入变量。

对于动态故障树中的PAND门以及HSP等，本文采取将其转化为马尔可夫模型来估算失败概率的方法。李彦锋［9］提出了将复杂动态故障树转化成马尔可夫链的相关方法。在这里先介绍故障屏蔽机制，就是指在故障发生前，会出现一个确定概率来避免故障的产生，这里记为PM。故障屏蔽机制能够简化系统，同时减少状态转移的次数。本文假设转换过程中的基本事件服从离散时间概率分布，同时基本事件相互独立。系统状态取“正常”或“故障”两种。设定逻辑门中，输入事件发生的顺序组合作为马尔可夫的基本状态，其状态迁移概率将设置为输入事件故障率。DFT（Dynamic Fault Tree）的 DTMC（Dual Translation Monte Carlo）模型转化以PAND门为例说明如下，FDEP门，HSP等详见文献［10］，本文不再赘述。

图2中，“00”是最初状态，代表两个输入事件均正常工作的系统状态，“01”代表输入事件B失效而A正常运行，“10”代表输入事件A失效而B正常工作，“11”表示两个输入的事件都失效，“Op”表示系统运行正常，“Fail”即指系统处于失效状态，“Mask”是前文提到的故障屏蔽机制产生的状态；pA和pB分别表示输入事件A和B的失效率。pM表示故障屏蔽概率，是一个给定的固定值。

图2 PAND门转化成离散马尔可夫链

输入变量之间的相关性是ANN中必不可少的考虑因素。选择相关性的输入变量分析可以改善ANN在训练阶段及其开发后应用的性能［11］。在FT映射过程中，故障树的元素被转换为ANN的组件。基本事件（BE）和故障树的TE分别被映射为ANN的输入和输出神经元。BE对应于第一层的神经元；而TE成为人工神经网络的输出。FT的逻辑门和IE（Intermediate Event）的数学函数被用作ANN中的突触权重和传递函数。例如，具有两个输入的“AND”逻辑门可以用两个输入神经元和一个输出神经元模拟，其具有指定阈值的步进传递函数和具有突触权重的偏差。具有IE的突触权重和逻辑门之间没有明确的数学关系。基于BE的数量来指定网络的第一层中的神经元的数量；而单个神经元呈现网络输出。

2.2 ANN网络参数配置及训练

该步骤旨在定义ANN参数，包括：1）隐藏层和神经元的数量；2）每层的传递函数；3）学习算法。这些参数正确配置有助于避免过度拟合和欠拟合问题。所谓网络过度拟合，指网络未能对其训练的数据进行概括。这种网络的信息处理能力太大。因此，训练集中的数据量不足以训练隐藏层中所有神经元。基于FT结构和规则，ANN参数配置规则详见文献［12］。

隐藏层的数量根据建模要求确定。在没有隐藏层的情况下，模型仅能够表示线性可分离函数或决策。具有一个隐藏层的网络通常可以近似表示从一个有限空间到另一个有限空间的数据映射的任何函数。具有两个隐藏层的ANN可以使用合理的激活函数表示任意精度的任意决策边界。由于其复杂性和长训练时间而没有充分提高效率，具有三层和更多隐藏层的ANN很少实施［13］。因此，在所提出的方法中选择了两个隐藏层。

反向传播训练算法用于调整连接权重。观察在训练期间从输入到输出和向后的信号的通道，并且使用预测中的相应误差来调整权重［14］。因此，ANN可以根据指定的参数设置处理来自每个节点的输入。在文献［15］中广泛使用的反向传播算法被建议用于所提出的方法。

当BE的实际数据不充分可用时，Bootstrap用于生成本研究中的网络训练数据。由于实际数据量不多且局限性较大，为了说明目的，14个BE中的每一个生成了一组500个随机故障概率。Matlab函数“randn”与给定故障树的计算代码一起实现，以生成500个TE失败概率样本。文中表2显示了在案例研究中用于ANN培训和测试的数据样本。

在训练好ANN网络之后，需要对该网络进行测试。测试目的是用测试数据集检查训练的ANN的性能。回归系数用于确定映射的质量。测试过程包括使用测试数据集进行计算以及将结果与实际输出数据进行比较。此步骤在映射过程中至关重要，因为这些结果可以指示其他数据的需求，网络结构的变化以及映射是否正确。

3 案例分析

3.1 故障树的建立

通过某型飞机可靠性报告以及故障库数据分析，发现发动机故障占到该飞机故障统计表的38.62%。由于航空发动机是飞机飞行中的重要的起飞装置和动力来源，对飞机的正常飞行有着重要的保障意义。开展对某型飞机使用的某型发动机进行发动机危害性后果“发动机起火不可控”的实验。在分析故障发生之间的依赖关系之后，建立故障树，如图3所示。发动机组成单元寿命分布基本符合指数分布规律，本文将假设每个基本事件只有正常运行和故障状态两种情况，而且两状态间相互独立。

图3 “飞机起火不可控”故障树图

该故障树图分析了发动机不可控火情的具体原因。在图3中，椭圆是基本事件，矩形表示中间事件和顶事件。其中基本事件数量是14个，中间事件数量是10个，逻辑门数量为12个（含有5个动态逻辑门）。基本事件描述和发生概率如表1所示。

表1 基本事件描述和失败率数据

故障树的顶事件是发动机起火不可控。根据收集的数据，顶部事件在1000h内发生的概率为3.7983E-7。在采集到初步的数据之后，本文用boostrap方法对数据进行了扩充，具体扩充数据如表2所示。

3.2 ANN的建立

3.2.1 ANN的构架

ANN（见图5）是根据图4所示的FT开发的，根据图形映射（图4）算法以及图1所示流程，将480个样本用作训练数据，并且30个样本专用于测试ANN。所有14个基本事件都被视为网络的输入变量；top事件用作模型的输出。按照经验法则定义具有两个隐藏层和一个输出层的前馈反向传播型ANN。培训功能设定为trainlm，性能函数设定为MSE。隐藏神经元中神经元的传递函数是logig，并且对于输出层是线性的。验证检查用于确保网络概括输入数据的能力。当子集错误率连续超过十个时期迭代增加时，训练停止，数据生成。

图4 从FT到ANN的映射图

图5 构造的ANN网络

3.2.2 映射性能检查

对构建的ANN进行了测试，以便用不同的输入数据模拟FT并预测顶级事件的失败概率。30个不同BE的情况和相应的TE失败概率被用于ANN测试。从ANN和FT模型获得的结果进行了比较，并在图6中显示，其显示出良好的匹配。对于映射性能检查，还计算了这两个模型的结果之间差异的均值，最大值和MSE：1）平均差异为1E-07；2）最大差异为0.0061%；3）MSE为1.12E-07。

设置故障的屏蔽概率值分别是5.00E-6和10.00E-6，每个基本事件（BE）发生导致顶事件（TE）发生概率情况如图7所示，随着MASK的增加，BE导致TE发生概率降低，且对越底层的时间影响越大，其中BE3、BE9是该系统中最不可靠构件，如果发生系统失效的情况，就应该先从“电子元器件”和单向活门开始检修和维护。这为航空发动机维修提供了参考。

图6 DFT和ANN预测比较图

图7 BE失效导致TE失效概率分布图

3.3 实例对比

为了进一步验证本文方法和传统方法的准确性，取原始的ANN网络，BN网络以及FTA方法进行比较。测试样本使用30个不变，训练样本不断增加，结果如图8所示。

图8 四种方法测试准确率对比图

由图8可知，ANN方法相比传统BN方法以及FTA方法在模拟输入变量相关性上效果更好。其次在使用了FTA建模之后的ANN网络在原始ANN上有了很大提升，在仅有的150个训练样本时评估准确率就达到了89.49%，远远好于BN与原始ANN。随着训练样本的增加，FT-ANN与其余两者相比仍有很大优势。

4 结语

本文提出了基于故障树模型与ANN网络结合解决复杂系统的方法，对某型航空发动机危害性后果“发动机起火不可控”进行了分析，针对BE、TE失效率，挖掘TE和BE对发动机安全的影响，提取出有利于评估发动机危害性后果数据。此方法在数据采集过程层运用了bootstrap方法，bootstrap方法可以自原始样本按放回抽样方法扩充样本量，较好地解决了小规模子样试验评估问题。同时，本文在之前静态故障树与ANN结合可靠性分析方法基础之上提出了改进，将动态故障树与静态故障树一起融入ANN网络，解决了静态故障树无法描述系统失效动态行为的缺陷。研究模型结构简单，输入输出直观清晰，只要建立好故障树模型，就能很快地构建ANN网络的输入层和输出层。其准确性和稳定性都优于传统深度学习方法和BN网络。通过实例对比，可知本文方法行之有效，有利于提高航空发动机可靠性分析的准确性，能够为下一个阶段发动机等维修管理内容提出侧重点和具体应对措施，具有相应工程推广价值。本文仅针对DFT与FT融入ANN网络作了一些研究，对于故障树其他定量分析，比如结构的重要度等，尚未做相关研究，后续将对参数优化和结构模型等做进一步优化。