民用飞机气源系统安全性评估

《民用飞机气源系统安全性评估》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、民用飞机气源系统安全性评估-机电论文民用飞机气源系统安全性评估彭丹祺（上海飞机设计研究院环控氧气系统设计研究部，中国上海201210）【摘要】通过对SAEARP4761中提出的一套机载系统安全性评估的方法对民用飞机机气源系统安全性评估过程进行了分析和论述，以此表明气源系统的安全性设计对§25.1309条款的符合性。关键词气源系统；安全性；失效0概述民用飞机机气源系统设计采用系统安全性评估的方法来进行符合性验证适航规章§25.1309条款[1]的要求。SAEARP4761中提出了一套机载系统安全性评估的方法，包括：功能危害性评估（FHA）、初步系统

2、安全性评估（PSSA）、故障模式及影响分析（FMEA）、故障树分析（FTA）、共因分析（CCA）、系统安全性评估（SSA）等，其中共因分析（CCA）包括区域安全分析（ZSA）、特殊风险分析（PRA）、共模故障分析（CMA）[2-3]。本文对民机气源系统安全性评估的方法和过程进行了分析和论述。1民用飞机气源系统简介典型的民用飞机气源系统通常为从发动机、APU或地面高压气源引气，为空调、机翼防冰、发动机起动、燃油箱惰化及水箱增压提供气源，满足下游用气系统的压力、温度和流量需求。民用飞机气源系统的主要功能有：１）对选择从发动机引气、APU引气或者地面高

3、压气源引气进行管理，为空调系统、机翼防冰系统、燃油惰化系统、水废水系统及发动机起动系统提供引气；2）发动机压缩机中压级和高压级之间的引气自动转换；3）发动机引气压力控制；4）发动机引气温度控制；5）发动机引气关断功能；6）回流保护功能；7）交输引气与隔离功能；8）实时监控和指示。2安全性评估2.1安全性评估流程根据SAEARP4754和SAEARP4761中的安全性评估方法，系统安全性工作流程见图1。首先根据飞机级功能和飞机级FHA的输入及系统级功能，开展系统级FHA；其次开展系统PSSA，制定系统构架，对安全性需求进行分配；然后进行共因分析，验

4、证关键设备冗余设计的有效性，保证设计中相关设备功能的相容性和独立性；最后进行SSA分析，运用FMEAFTAPRACCA等分析方法，验证系统满足安全性要求和适航条款要求。2.2功能危险性评估（FHA）FHA是系统综合地检查产品的各种功能，识别功能的各种失效状态，并根据失效状态的严重程度对其进行分类的一种安全性分析方法。系统级FHA以各ATA章节或系统为对象，研究其在飞机设计的整个飞行包线和不同飞行阶段内，可能影响系统乃至飞机整机安全飞行的功能失效。系统级FHA给出各种功能的危险后果评估，推导或者确认系统安全性设计准则，提出系统安全性要求，推荐

5、可能的控制措施。气源系统是是为飞机用气系统提供能源的一个系统，其系统失效对系统本身影响不大，失效影响等级的确定需根据气源失效对下游系统的影响来进行确定，较为关键的是空调系统和防冰系统。飞机级FHA关注的气源系统失效状态为：无法为用气系统提供引气，失效状态定义为较大的（Ⅲ级）。在进行气源系统FHA时，除考虑飞机级FHA外，更多应考虑气源系统本身功能失效对下游系统及飞机的影响，如系统的调温/调压功能、回流保护功能和交输引气功能等。值得注意的是，在已有的双发飞机两侧发动机引气气源系统设计中，还需特别关注单发引气是否具备同时满足下游空调和机翼防冰等用气系

6、统的用气需求。2.3初步系统安全性评估（PSSA）PSSA是一个自上而下的分析方法，其关键是确定失效如何导致由FHA识别的功能危险性的。PSSA主要包括以下内容：１）确定FHA所产生的一组初始安全性要求；2）确定失效状态清单以及相应的安全性要求；3）提出满足初始安全性要求的设计决策；4）结合初始安全性要求和设计/构架决策，产生一组完整的系统安全性要求；5）用故障树分析设计决策对安全性要求的符合性；6）确立安装要求、组件级要求、对其他系统的要求和安全性维修要求。PSSA过程是对所提出的系统构架进行系统性核查，以确定失效如何能导致由FHA所识别的功能

7、危险性，以及如何能够满足FHA的要求，确立系统和部件的研制保证等级、系统安装/维修要求及其对其他系统的安全性要求。气源系统PSSA首先对确立的系统构架进行评估，对系统设计实施的功能冗余度、功能隔离和功能独立性进行评判；其次进行PSSA故障树分析，确立系统功能研制保证等级和软/硬件研制保证等级及对其他系统的安全性需求；最后确立系统的安装维护要求。2.4失效模式和影响分析（FMEA）FMEA是确定系统、产品、功能或零件的故障模式，及其对高一层次设计的影响的一种系统方法，是一种系统性的自下而上的分析方法。典型的FMEA信息表见图2。气源系统FMEA是针

8、对系统每个部件，填写完善FMEA信息表，识别出可能导致灾难级（Ⅰ类）或危险级（Ⅱ类）的失效和部件的潜在失效，对风险进行控制或消除。当确定