相关文章链接：
1. 引言
在航空领域，安全性 是最为重要的设计目标之一。随着民航飞机和航空系统的复杂性不断增加，功能失效的潜在危险性也随之增加。为了确保飞机及其系统能够在各种预期和意外情况下安全运行，功能危险性评估（FHA） 在设计的早期阶段至关重要。
FHA 是一种系统性、定性的分析方法，用于识别飞机和系统的功能失效状态，评估这些失效状态对飞机、机组和乘客的潜在影响，并据此确定适当的安全目标。这一过程帮助设计团队在开发早期明确潜在风险，采取措施防止重大安全问题的发生。
2. FHA的定义和目的
FHA（功能危险性评估，Functional Hazard Assessment） 是一种自上而下的系统性安全分析方法，其核心目的是识别飞机和系统功能失效的潜在危险，评估其对飞行安全的影响，并为此设定相应的安全性目标。
FHA 的主要目的是：
识别功能失效状态：从飞机和系统的功能入手，识别出所有潜在的功能失效。
评估失效的影响：评估这些失效状态对飞行器、机组人员、乘客等的安全影响。
设定安全性目标：根据失效的影响等级，确定对应的安全性目标，以确保飞机能够在特定条件下安全飞行。
FHA 在航空系统生命周期的早期阶段执行，它是后续安全性设计与评估的基础，尤其是为 初步飞机安全性评估（PASA） 和 初步系统安全性评估（PSSA） 提供关键输入。
3. FHA的分类
3.1 飞机级 FHA（AFHA）
飞机级 FHA（AFHA）是在飞机设计的早期阶段进行的，着眼于整个飞机层面的功能失效及其潜在影响。AFHA 的评估对象是飞机的各项基础功能，与系统的实现无关。AFHA 的输出是顶层安全要求，这些要求指导飞机架构设计，并通过初步飞机安全评估（PASA）将这些要求分解到各个系统中。
AFHA 的目的是通过识别飞机级功能失效对飞行安全的影响，提出全局性的安全要求。举例来说，失去升力或推力功能会导致飞机失控，影响等级可能为灾难性。
3.2 系统级 FHA（SFHA）
系统级 FHA（SFHA）是在系统开发初期进行的，它基于系统的初步架构，评估与系统功能相关的失效状态及其影响。不同于AFHA，系统级 FHA 会考虑具体系统实现架构的影响。
SFHA 更为细致，考虑单个系统的失效以及系统之间的交互。例如，某个系统失效可能会导致其他系统的连锁反应，从而引发更大的问题。因此，SFHA 需要与架构设计紧密结合。
AFHA 与 SFHA 的联系：AFHA 提供飞机级的安全性要求，SFHA 则细化并具体化这些要求到各个系统的功能实现。二者是从飞机级到系统级的连续过程，共同构成完整的功能危险性评估框架。
4. FHA的评估流程
FHA 的评估流程包括以下关键步骤：
4.1 功能识别
在开展 FHA 之前，首先要明确飞机和系统的功能。对于飞机级 FHA，主要考虑的是飞机的外部功能（如提供升力、推力、控制飞行等）；对于系统级 FHA，功能的识别则更加细化，可能包括系统内部的子功能。
例如，飞控系统的主要功能是控制飞机的姿态和方向。该功能可以进一步分解为：
姿态控制：调节飞机的俯仰、滚转、偏航。
高度控制：调节飞行高度。
4.2 失效状态的识别
接下来要识别与这些功能相关的潜在失效状态。失效状态包括：
功能丧失：系统完全失去其功能，例如失去推力或电力供应。
功能异常：系统功能执行不当，如控制失调导致飞机偏航。
组合失效：多个系统或功能同时失效，可能导致更严重的后果。
失效状态的识别过程不仅要考虑单一失效，还要评估组合失效的影响。例如，失去液压系统与控制系统同时失效可能会导致飞机操控失灵。
4.3 失效影响的评估
一旦识别出功能失效状态，下一步就是评估这些失效状态对飞机安全的影响。根据行业标准（如ARP4761、ARP4754A），失效影响通常分为以下几类：
I类（灾难性）：可能导致飞机失控或乘客、机组成员的严重伤亡。
II类（危险）：对飞行安全产生重大影响，但不一定导致失控。
III类（主要）：对飞行操作产生显著影响，但不会严重威胁安全。
IV类（次要）：对机组工作负荷或舒适性有影响，但不直接影响安全。
V类（无影响）：对飞行安全无实质性影响。
4.4 支撑材料和分析方法
为了支持失效影响评估，分析人员需要依靠各种支撑材料。这些材料可以包括：
其他机型的经验：参考类似机型的失效和应对经验。
事故/事件数据：通过历史事故或事件分析，评估潜在失效对飞行安全的影响。
模拟器试验：通过飞行模拟器评估失效对机组工作负荷及操作的影响。
常用的分析工具包括：
故障树分析（FTA）：用来分析系统失效路径并量化失效的影响。
失效模式影响分析（FMEA）：识别失效模式并评估其影响。
5. FHA在安全性设计中的应用
5.1 安全性目标的设定
根据失效影响的评估，FHA 设定每个功能的安全性目标。这些目标定义了在不同失效情况下，系统需要达到的最低可靠性标准。例如：
灾难性失效的目标通常要求极低的发生概率（例如 10−910^{-9}10−9 每飞行小时）。
次要失效的目标则允许较高的失效概率（如 10−510^{-5}10−5 每飞行小时）。
5.2 设计冗余和缓解措施
为了实现设定的安全性目标，设计人员可以采用多种方法来降低系统失效的风险，包括：
增加冗余：例如在飞控系统中设计多个备份通道。
功能隔离：确保一个系统失效不会影响其他系统的正常运行。
系统健康监控：实时监测系统状态，及时发现并处理潜在问题。
5.3 验证安全性目标的符合性
FHA 不仅设定安全性目标，还要验证系统能否满足这些目标。对于灾难性和危险性失效，通常需要通过定量分析（如FTA或FMEA）来证明设计的可靠性。
6. FHA输出与追溯性
6.1 报告和文档输出
FHA 的结果应形成正式的报告，包括以下内容：
功能清单：明确评估的功能和子功能。
失效状态：描述每个功能的潜在失效及其组合失效。
影响评估：对每个失效状态进行的影响等级评估。
安全性目标：根据影响评估设定的安全性目标。
设计改进建议：提出降低失效影响的设计改进方案。
6.2 FHA的可追溯性
为了确保整个开发过程中的安全性要求始终得到满足，FHA 的所有分析和试验结果都应妥善保存。这确保了在后续开发和适航取证阶段，可以追溯并验证设计是否符合早期设定的安全性目标。
7. FHA与其他安全性评估方法的关系
FHA 通常是安全性评估过程中的起点，它为后续的初步安全性评估（PASA、PSSA）提供关键输入。同时，FHA 与其他分析方法（如故障树分析、失效模式影响分析）相辅相成。
FHA 的结果在PASA和PSSA的基础上进一步细化和验证，以确保系统设计从顶层到子系统都能满足安全性目标。
8. 案例研究：典型 FHA 应用
8.1 背景介绍
在本案例中，我们关注的是飞机的 飞行控制系统（FCS）。该系统的主要功能是控制飞机的姿态、方向和高度，使飞机能够在不同飞行阶段保持稳定并执行飞行指令。FCS 包括以下子功能：
俯仰控制：控制飞机的机头向上或向下。
滚转控制：控制飞机围绕纵轴的旋转，影响飞机的左右倾斜。
偏航控制：控制飞机的水平转向，影响飞机的左右移动。
高度控制：控制飞机的垂直高度。
自动驾驶功能：在飞行期间自动维持飞机的稳定和姿态。
为了确保飞行控制系统在各种条件下都能安全运行，设计团队在开发过程中使用了 功能危险性评估（FHA） 方法来识别系统的潜在失效状态，并评估这些失效状态对飞行安全的影响。
8.2 功能识别
首先，设计团队需要明确 FCS 的各项功能，并分层次对其进行定义。在这个过程中，FCS 的功能可以按照如下层级进行划分：
顶层功能：
控制飞机的姿态和方向。
第二层功能：
俯仰控制。
滚转控制。
偏航控制。
高度控制。
第三层功能（子功能）：
自动驾驶功能（涉及俯仰、滚转、偏航和高度的自动控制）。
通过这些功能层次划分，设计团队能够清楚地了解 FCS 的整体功能和子功能，并准备进行失效状态的识别。
8.3 失效状态识别
在确定了飞行控制系统的功能后，下一步是识别与这些功能相关的失效状态。失效状态的识别包括考虑正常运行和应急环境下的单个失效和组合失效。以下是设计团队识别出的几种典型失效状态：
俯仰控制功能丧失：此失效状态可能导致飞机无法有效调整机头方向，从而引发飞行不稳定或飞机失控。
滚转控制功能异常：此失效状态可能导致飞机左右倾斜控制失效，导致飞行姿态不稳甚至翻滚。
偏航控制未通告的失效：偏航控制功能丧失且未通告，可能导致飞行员在不知情的情况下进行错误操作，进一步恶化问题。
自动驾驶功能故障：自动驾驶功能未能正确响应飞行指令，可能导致飞行姿态无法自动保持，增加飞行员的负担。
组合失效：例如，在俯仰控制和偏航控制同时失效的情况下，飞机可能完全失控，无法在飞行中保持姿态稳定。
8.4 失效影响评估
一旦识别出潜在的失效状态，设计团队需要对这些失效状态的影响进行评估，以确定每种失效的严重程度。按照行业标准（如 ARP4761）中的危害等级分类，失效影响可以分为 灾难性、危险、较大影响、较小影响 以及 无影响。下面是对上述失效状态的具体影响评估：
俯仰控制功能丧失：
影响：在某些飞行阶段（如起飞、着陆）可能导致飞机失控，严重时导致坠机。
等级：灾难性（I 类）。
滚转控制功能异常：
影响：飞行姿态不稳定，可能导致飞机翻滚，增加飞行员负担，并可能影响飞行安全。
等级：危险级（II 类）。
偏航控制未通告的失效：
影响：飞行员无法察觉系统问题，可能错误操作导致飞行姿态不稳或偏航失控。
等级：主要影响（III 类）。
自动驾驶功能故障：
影响：飞行姿态无法自动保持，飞行员需手动接管控制，增加工作负担，但不直接威胁安全。
等级：较小影响（IV 类）。
组合失效（俯仰和偏航控制失效）：
影响：飞机可能完全失控，特别是在关键飞行阶段，失效组合严重威胁飞机和乘客的安全。
等级：灾难性（I 类）。
8.5 支撑材料与分析方法
为了支撑这些影响等级的评估，设计团队采用了一系列分析方法和试验手段，包括：
历史数据分析：通过分析其他机型的失效事件和事故报告，了解类似失效对飞行安全的影响。
飞行模拟器测试：通过飞行模拟器测试俯仰、滚转和偏航控制失效对机组人员的负担和飞行稳定性的影响。
故障树分析（FTA）：设计团队使用 FTA 方法，分析系统的各个失效路径，并评估不同失效组合的潜在影响。
这些方法确保失效影响的评估是基于实际数据和经验的，进一步提高了评估结果的可靠性。
8.6 设计改进与安全措施
基于失效状态的评估结果，设计团队提出了多项改进和缓解措施，以降低这些失效状态的发生概率，确保系统满足安全性要求。主要的设计改进和安全措施包括：
增加冗余：在 FCS 中为关键的俯仰、滚转和偏航控制功能增加冗余系统。如果主系统发生故障，冗余系统可以自动接管控制，防止飞机失控。
健康监控系统：引入健康监控系统，实时检测 FCS 的工作状态。如果检测到任何异常或失效，系统将立即向飞行员发出警告，避免未通告的失效状态。
自动故障隔离：当检测到系统故障时，系统能够自动隔离故障部件，防止失效的传播或导致其他子系统的失效。
优化自动驾驶算法：改进自动驾驶算法，确保即使在关键控制功能部分失效时，自动驾驶系统仍能维持飞机的基本姿态控制，帮助飞行员在应急情况下稳定飞机。
组合失效防护措施：针对组合失效，设计团队通过进一步优化系统的硬件架构和软件逻辑，确保在关键子系统失效时，飞机仍能保持可控状态。
8.7 验证安全性目标
为确保这些设计改进和安全措施能够满足设定的安全性目标，设计团队进行了严格的验证，包括：
定量分析：使用 FTA、FMEA 等定量分析方法验证系统冗余和自动故障隔离措施的可靠性。
飞行模拟测试：通过飞行模拟器测试验证健康监控和自动驾驶改进的有效性。
实际飞行试验：在实际飞行测试中模拟部分功能失效，验证系统在应急情况下的响应能力和飞行员的工作负担。
通过这些验证，设计团队确保飞行控制系统满足航空安全标准，能够在各种复杂环境下安全运行。
8.8 总结
通过这个案例，展示了 FHA 在实际项目中的应用 过程。设计团队通过详细的功能识别、失效状态分析、影响评估和设计改进，成功识别并消除了可能的系统危险性。FHA 不仅帮助团队发现潜在的安全风险，还为系统设计提供了明确的改进方向，确保飞行控制系统在任何情况下都能安全运行。
这个案例展示了 FHA 在航空安全设计中的重要性，它作为早期分析工具，为系统架构和安全性目标设定提供了坚实的基础。
