相关文章链接：
引言
在航空领域，安全性是最核心的要求。为了保障飞行安全，飞机的设计、制造和运营都必须满足严格的适航标准。其中，失效概率是衡量飞机及其系统在运行过程中发生故障并导致灾难性后果的可能性的重要指标。本文将探讨失效概率的来源、如何通过适航标准进行合理的分配，以及这些分配过程如何在技术与经济性之间取得平衡。
第一部分：适航的起源与目的
1.1 为什么有适航？
随着航空技术的发展，飞机逐渐变得复杂且昂贵，同时飞行的频率和范围不断扩大。早期航空事故频发，公众开始担忧飞行安全，促使政府和行业出台适航法规。适航就是为了确保飞机设计、制造、维修和运行中的安全性，其目的是通过一系列规章标准，保障航空器能够在设计范围内的所有条件下安全飞行。
适航规章（如 CCAR-25、FAR-25 和 CS-25）定义了飞机设计和运行中必须满足的基本安全标准。这些标准确保飞机在各种飞行环境中安全可靠，避免重大安全事故，从而保护公众的生命和财产安全。
1.2 公众、飞机制造商和运营商的利益平衡
在制定航空安全标准时，需要平衡公众、飞机制造商和运营商的不同利益：
公众：希望飞行安全，要求飞机失效导致灾难性事故的概率极低。
飞机制造商：在设计飞机时，必须考虑技术的复杂性和成本。过高的安全性要求可能会显著增加设计和制造成本。
飞机运营商：希望飞机在满足安全性要求的同时，具备可持续的经济性。过于复杂的设计将增加维护成本，降低经济效益。
因此，适航标准 在公众对安全的期望与制造商、运营商的经济可行性之间做出了折中，定义了各方都能接受的失效概率。
第二部分：失效概率的来源及计算
2.1 飞机失效概率的来源
飞机失效概率的标准主要基于航空历史数据和事故统计。通过多年的全球飞行数据，航空业界确定了各种失效模式和重大事故的发生概率。例如，根据 国际航空运输协会（IATA） 和 美国国家运输安全委员会（NTSB） 的数据，商用航空的重大事故发生率约为 1E-6/FH，即每 百万飞行小时 发生一次严重事故。
该数据展示了现代飞机的高安全性。这种安全标准不仅保护了乘客的生命，也确保了飞机运营商和制造商的经济可持续性。适航标准普遍接受这一失效概率，将 1E-6 作为基准用于制定飞机系统的失效概率分配。
2.2 每小时意外死亡率的计算
这意味着，每小时发生意外死亡的概率大约为 1.71 × 10^-6。该值与航空业中较低的失效概率1E-6/FH接近，表明公众能够接受这种量级的风险水平。
2.3 机载系统失效与飞机失事的关系
假设飞机整体的失效概率为 1E-6/FH，那么系统失效导致的事故比例约为 10%，则机载系统失效导致的事故概率为：
这意味着，机载系统的失效概率必须低于 1E-7/FH，即每千万飞行小时一次事故，以确保整体飞机失效概率达到适航标准。
2.4 复杂系统中的灾难性失效概率分配
这意味着，每个灾难级失效状态的发生概率必须小于 1E-9/FH，才能确保飞机整体的安全性符合适航标准。
第三部分：25.1309条款中的失效概率要求
3.1 25.1309概述
CCAR/FAR/CS 25.1309 是全球适航标准中的核心条款之一，专门定义了飞机系统的安全性要求。25.1309 条款通过分析不同失效模式对飞行安全的影响，规定了不同等级的失效概率要求，以确保飞机能够在关键系统失效的情况下仍然保持安全。
3.2 失效等级与失效概率要求
25.1309 条款将系统失效按其对飞机安全的影响程度进行分类，每个等级的失效概率要求如下：
灾难性失效（Catastrophic Failure, I类）：可能导致机毁人亡，失效概率必须低于 1E-9/FH，即每十亿飞行小时一次。
危险性失效（Hazardous Failure, II类）：可能导致飞行员工作负担显著增加或对乘客造成严重伤害，失效概率需低于 1E-7/FH，即每千万飞行小时一次。
重大失效（Major Failure, III类）：可能导致轻微伤害或操作困难，失效概率限制为 1E-5/FH，即每十万飞行小时一次。
次要失效（Minor Failure, IV类）：对飞行安全影响较小，可能导致一些不便或设备故障，失效概率限制为 1E-3/FH，即每千飞行小时一次。
| 影响等级 | 无安全性影响 | 较小的 | 较大的 | 危险级 | 灾难级 |
|---|---|---|---|---|---|
| 失效状态分类 | V类 | IV类 | Ⅲ类 | II类 | l类 |
| 对飞机影响 | 对飞机运行能力和安全性没有影响 | 轻微降低飞机运行能力或安全裕度 | 较大降低飞机运行能力或安全裕度 | 极大降低飞机运行能力或安全裕度 | 妨碍飞机持续安全飞行或着陆 |
| 对飞行机组影响 | 无影响 | 机组使用正常程序，轻微增加工作负荷 | 机组使用非正常程序，身体不舒适且较大的增加工作负荷 | 机组使用应急程序，并处于危险状态，工作负荷极大增加，完成任务的能力极大降低 | 致命的或丧失能力 |
| 对乘客和客舱机组影响 | 不方便 | 身体不舒适 | 身体极度不适，可能受伤 | 少部分乘客或客舱机组严重受伤或死亡 | 较多乘客或客舱机组死亡 |
| 定性概率要求 | 经常 | 不经常 | 微小的 | 极小的 | 极不可能的 |
| 定量概率要求 | 无 | <10E-3/FH | <10E-5/FH | <10E-7/FH | <10E-9/FH |
第四部分：失效概率分配的实际应用
4.1 系统失效概率分配的挑战
在现代飞机的设计中，系统失效的管理是一个高度复杂且至关重要的过程。飞机是由多个子系统组成的复杂整体，且这些子系统之间高度耦合。每个系统或子系统的失效都有可能引发其他系统的连锁反应，导致灾难性后果。因此，失效概率的合理分配变得极为关键。
为了实现 1E-6/FH 的飞机整体失效概率目标，必须对每个潜在失效状态进行详细的分配和评估。每个系统或子系统的失效概率需要符合严格的适航标准，并通过系统设计确保在任何情况下，失效不会导致灾难性后果。
4.2 失效状态的分配与安全研制等级
在失效概率的分配中，除了严格遵循 1E-6 的总体失效概率要求外，还需对不同系统失效状态进行分类，并分配适当的安全研制等级。具体的失效概率分配通常参考如下步骤：
失效概率的分配为了达到适航要求，通常需要将失效概率分配给飞机的每个关键子系统。例如，对于灾难性失效，失效概率通常要控制在 1E-9/FH（每十亿飞行小时一次）。
安全研制等级（FDAL）的分配FDAL（Functional Design Assurance Level，功能设计保证等级） 是针对系统功能安全性的重要分级标准。FDAL 的分配基于系统失效对飞机安全的影响程度：
FDAL 是系统功能设计安全性的重要基础，确保每个子系统在设计中满足与其功能影响相对应的安全要求。
FDAL A：与灾难性失效相关，可能导致机毁人亡，因此其要求最高，失效概率必须小于 1E-9。
FDAL B：与危险性失效相关，可能导致严重伤害或飞行员操作负担显著增加，失效概率要求为 1E-7。
FDAL C：与重大失效相关，影响飞行安全但不会致命，失效概率为 1E-5。
FDAL D：与次要失效相关，对飞行影响有限，失效概率为 1E-3。
FDAL 与 IDAL 的关系在某些情况下，系统的安全性不仅依赖功能设计的安全性，还涉及具体的硬件和软件实施。这时，FDAL 的分配还需进一步分配给硬件和软件的设计和实施，即 IDAL（Item Design Assurance Level）。IDAL 是对系统实现层（硬件和软件）的安全保证等级分配，确保硬件和软件在实施层次上的可靠性满足安全需求。FDAL 和 IDAL 的配合能够确保从功能设计到实施层面都符合适航标准中的安全性要求。
FDAL A 的功能通常需要 IDAL A 的硬件和软件支持，确保最高级别的安全性。
对于 FDAL B 和以下的功能，其实现所需的 IDAL 等级可以根据功能复杂度和失效影响进行适当的降低，但仍需满足系统级别的安全要求。
4.3 实际应用中的例子
在实际飞机系统设计中，如飞行控制系统，系统设计师必须确保系统的不同功能模块和实现模块符合 FDAL 和 IDAL 的要求。例如：
飞行控制系统 通常被分配为 FDAL A，因为其失效可能直接导致灾难性事故。其所有相关硬件和软件都必须分配 IDAL A，以确保整个系统的安全性。
机载导航系统，视功能重要性，可能被分配为 FDAL B 或 FDAL C，其相关的实现模块也需要符合相应的 IDAL 要求。
通过这种严格的失效概率分配和 FDAL/IDAL 的分配，确保每个系统的设计和实现都符合安全标准，避免潜在灾难性失效，保障飞机在复杂环境下的安全运行。
第五部分：结论
5.1 总结失效概率的来源与分配
本文探讨了飞机失效概率的来源，通过历史数据和公众意外死亡率的对比，解释了航空业如何定义合理的失效概率，并详细分析了失效概率的分配过程。通过合理分配失效概率，飞机设计师能够确保每个系统的失效概率符合适航标准，从而实现安全性、技术复杂性和经济性之间的平衡。
5.2 确保系统设计符合安全要求
通过严格的适航标准和失效概率分配，飞机设计制造商能够确保每个系统的设计符合安全性要求，最终确保飞行安全性极高。
