相关文章链接：
1. 引言
1.1 航空安全与系统开发中的复杂性
随着航空技术的发展，民用飞机的设计和操作日趋复杂，涉及多个系统和设备的集成。随着复杂性增加，潜在的安全隐患也随之增多。确保飞机在所有操作条件下的安全运行成为设计和开发的核心任务，而这需要系统化的安全性评估流程。在每个开发阶段，识别潜在的失效模式并采取适当的预防措施对保证飞行安全至关重要。
1.2 文章目的
本文的目的是详细阐述民用飞机开发中的安全性评估方法，包括AFHA（航空器功能危害评估）、PASA（初步航空器安全评估）、ASA（航空器安全评估）以及FHA（功能危害评估）、PSSA（初步系统安全评估）、SSA（系统安全评估），并展示设备级别如何与系统级别保持一致。此外，硬件和软件组件不进行独立的安全性评估，但需完成相应的合格审定计划，确保它们符合航空适航标准。
图来自田莉蓉老师的《机载电子产品设计保证实践》
2. 飞机级别的安全性评估
2.1 航空器功能危害评估（AFHA）
AFHA 是飞机级别的初步安全性评估，旨在识别和分析飞机的关键功能失效对飞行安全的影响。AFHA 是整个安全性评估过程的起点，为后续的系统和设备评估提供基础。
实施步骤：
识别飞机的核心功能：确定如飞行控制、导航、推进系统等核心功能。
分析失效模式：识别可能的失效模式，并评估其对飞行安全的潜在影响。
风险分类：根据失效模式对飞行安全的影响程度，将风险分类为灾难性、严重、中度等。
作用：
AFHA 的结果为系统和设备层的安全性评估提供指导，确保在设计初期就明确潜在的高风险区域，并提出必要的安全性改进建议。
2.2 初步航空器安全评估（PASA）
PASA 是在飞机初步设计阶段进行的安全性评估，目标是评估设计是否满足初期的安全性需求，并在早期识别潜在的设计缺陷。
实施步骤：
评估初步设计的安全性目标：确保飞机的初步设计与安全性需求一致。
识别设计缺陷：通过设计评审和失效模式分析，识别潜在的设计缺陷。
评估失效影响：评估这些设计缺陷对飞行安全的影响，并提出相应的修正建议。
2.3 航空器安全评估（ASA）
ASA 是在飞机集成阶段进行的全面安全性评估，目标是确保飞机的整体设计在各种操作条件下满足适航标准。ASA 是最终评估过程，通过对所有系统和设备集成后的整体安全性进行验证。
实施步骤：
系统集成评估：对所有子系统和设备进行集成评估，确保各部分安全性一致。
运行条件评估：通过模拟和实际飞行测试，验证飞机在不同操作条件下的安全性。
安全性确认：生成最终的安全性报告，作为适航认证的依据。
3. 系统级别的安全性评估
3.1 系统功能危害评估（FHA）
FHA 是系统级别的初步安全性评估，目的是识别系统内关键功能失效对飞机整体安全的影响。它是系统层的基础评估方法，与AFHA相辅相成，确保各个系统在设计初期就考虑到安全性要求。
实施步骤：
识别关键系统功能：如飞行控制系统、导航系统等核心系统。
失效模式分析：识别系统中的潜在失效模式，评估其对飞机安全的影响。
定义安全目标：根据失效模式，确定系统的安全性要求，确保其满足飞机整体安全性需求。
3.2 初步系统安全评估（PSSA）
PSSA 在系统架构设计阶段进行，目标是在设计早期识别潜在失效模式，并通过设计改进降低系统的安全性风险。PSSA 侧重于确保系统设计在结构上具有足够的冗余性和容错能力。
实施步骤：
分析系统架构设计：评估系统设计是否满足安全性目标，确保关键功能有足够的冗余设计。
失效模式分析（FMEA）：通过 FMEA 分析潜在的系统失效模式，并提出相应的设计改进建议。
优化设计：根据分析结果，进行系统设计的优化调整，确保其安全性。
3.3 系统安全评估（SSA）
SSA 是在系统集成后进行的最终安全性评估，验证系统的实际操作性能是否符合之前设定的安全性目标。SSA 通常通过全面的系统测试和仿真进行。
实施步骤：
制定测试计划：根据系统要求制定全面的测试计划，涵盖所有关键功能。
执行系统测试：在实际和模拟环境下测试系统的运行性能，验证其安全性。
安全性确认：根据测试结果，确认系统是否满足安全性要求，并生成安全性报告。
4. 设备级别的安全性评估
设备级别的安全性评估与系统级别的评估方法一致。设备作为系统的一部分，其评估目标和步骤与系统保持同步，确保设备能够安全、有效地支持系统的运行。
4.1 设备功能危害评估（FHA）
设备 FHA 通过与系统级 FHA 类似的方法，识别设备的功能失效模式及其对系统的影响。设备层面的 FHA 直接支持系统层的评估，确保设备能够在系统中正常运行。
4.2 初步系统安全评估（PSSA）
设备 PSSA 通过分析设备架构设计中的潜在失效模式，确保其设计在早期就具备足够的冗余性和容错能力。设备级 PSSA 的结果会反馈至系统级，确保设备与系统的设计协调一致。
4.3 系统安全评估（SSA）
设备层的 SSA 与系统集成后一起进行，验证设备在系统中运行时的安全性。设备的最终评估结果直接影响系统整体的安全性评估。
5. 硬件组件和软件组件的合格审定计划
在硬件和软件组件层面，不进行独立的安全性评估，但需要完成相关的合格审定计划（Qualification Plan），以确保这些组件符合适航标准和设计要求。
5.1 硬件组件合格审定计划
硬件组件的合格审定计划包括对其设计、开发、验证和合规性的审定。在开发过程中，硬件组件需通过一系列测试和验证，确保其符合预定的操作环境和适航标准。硬件审定的核心目标是确保组件具备足够的耐久性、可靠性，并能够与系统无缝集成。
5.2 软件组件合格审定计划
软件组件的合格审定计划同样遵循适航标准，确保软件在开发过程中完成严格的测试和验证。特别是在 DO-178C 标准下，软件必须通过详细的代码审查、功能验证和性能测试，确保其逻辑正确、稳定性高，并符合系统安全性要求。
5.3 合格审定过程的集成
硬件和软件组件的合格审定计划与系统和设备的安全性评估相辅相成。在系统和设备级别的安全性评估过程中，硬件和软件组件的合规性审定结果作为重要依据，确保整体系统的设计和集成满足适航要求。
