军机系统安全性概述

苏 多

（中航工业综合技术研究所，北京 100028)

军机系统安全性概述

苏 多

（中航工业综合技术研究所，北京 100028)

从系统安全性的基本概念出发，综述了国内外系统安全性工作的发展历程，就军机系统安全性管理、技术和标准等方面进行了研究，分析目前国内外军机安全性水平的主要差距，明确现阶段国内系统安全性工作的薄弱环节，并对我国军用系统安全性工作下一步重点技术攻关方向提出了建议。

军用航空器；系统安全性；保障

安全性是航空装备所具有的不导致人员伤亡、系统毁坏、重大财产损失或不危及人员健康和环境的能力。安全性是航空装备的一种共性的固有特性，与适航性、可靠性、维修性和保障性密切相关，是必须满足的首要设计与使用要求。安全性是保障航空装备研制与使用安全的重要方面。其属性主要表现为两方面：

设计属性。安全性是航空装备不发生事故的能力，这一能力是设计出来的，它属于航空装备的设计特性，是航空装备设计时必须满足的首要特性；

行为属性。安全性问题首先关注的是对人造成的危害，人的操作使用不当又是造成安全性问题的重要因素，同时还要依靠人来防止安全事故的发生。

航空装备研制最终目标是为了最大限度地发挥战斗力。而战斗力发挥的基础是安全性，失去安全性，再高的性能指标也会失去保证。在实现航空装备最大战斗力过程中，系统安全性承担着保护武器系统和维护其保障设备的作用。系统安全性通过识别和减少由于危险产生的系统风险，以满足成本、时间进度和设计的要求，从而达到事故预防的目的。

1 国内外现状与发展趋势

1.1 安全性发展历程

准备正式下水啦！我先是深吸一口气，闭上嘴巴，然后将整个身体投入水中，可游泳似乎并不像我想的那么简单，因为我在水里还没游几分钟，就被呛了好几口水。

到现在为止，国外安全性技术的发展大致可划分为4个阶段：事故调查阶段（20年代初期至40年代前期）、事故预防阶段（40年代中期至60年代中期）、实施系统安全性阶段（60年代后期至80年代中期）、综合预防阶段（80年代中期至今）。

系统安全性这门现代学科是1962年随着航天运输时代的出现而产生的。20世纪60年代，随着1962年4月美国空军对民兵导弹方案提出系统安全性要求，系统安全性的概念才以合同的形式正式应用。后来《空军弹道导弹研制系统安全性工程》经过修订后，被美国国防部采纳并正式颁发作为所有采购产品和系统的强制要求标准，即MIL-STD-882 System Safety Program for Systems and Associated Subsystems and Equipment。军机系统安全性目标见图1。

图1 军机系统安全性目标

军机系统安全性定义为：“在系统寿命期所有阶段内，在使用效能、适用性、时间和费用等项约束下，运用工程和管理的原理、准则和技术使安全性涉及的所有方面最优化。”[1]军机系统安全性的主要目标是在可接受的安全性水平上提出研制周期短、成本效益高的设计方案，使产品满足国防要求；而民机系统安全性的主要目标是在可接受的安全水平上再满足客户需求，进而提出成本效益高的设计方案，使产品具有竞争性。另外，如图1所示，军机与民机的安全性目标差异主要表现在：军机研制中须“通过系统安全性计划的实施和执行获得安全的系统，其终极目标是最大限度地提升军用航空器的战斗能力”。战斗能力最大化中基本的原理就是保护和保存战斗武器系统及其保障设备，预防灾难性事故和缩减系统损失是保存这些战斗资源的一个重要方面。系统安全性通过评估和最小化与费用、方案和设计要求相关的系统风险，以确定、消除/控制和记录系统的危险；而民机安全性主要通过识别、分析、评估和控制危险，减少和降低型号在研制、使用和维护等全寿命周期的风险。

受益于安全性分析、设计和管理技术的不断发展，对于军用航空装备，其灾难性事故率从20年代初期的每10万飞行小时发生500次左右降低到90年代中期的每10万飞行小时发生1.5次，进入21世纪，定位目标是灾难性事故率百万飞行小时分之一的级别。据统计，国内现有航空器系统安全性整体水平与美国80年代的水平相当。

1.2 安全性管理

军品设计时军品安全性的设计与分析工作，包括确定各级系统和零部件的安全性要求，设计实现各级系统和零部件的安全性要求等工作。具体工作内容包括：建立初步危险表；初步危险分析（PHA）；分系统危险分析（S S H A）；系统危险分析（SHA）；使用和保障危险分析（O&SHA）；职业健康危险分析（OHHA）；工程更改建议的安全性评审；订购方提供的设备和设施的安全性分析。

水工混凝土宜掺合适量的掺合料和外加剂，以改善拌和物性能提高质量、节约成本。原材料要经有资质的第三方检测机构试验选定，生产厂家应相对固定，除常规检验合格外，骨料应遵循优质、经济、就地取材的原则，优先选用石灰岩质的原料，细骨料的表面含水率不宜超过6%

在空军政策指令AFPD 63-12之下，美国空军颁布了空军指示AFI 63-1201《寿命周期系统工程》和空军航空装备司令部指示AFMCI 63-1201《执行使用的安全、适用和效能（OSS&E） 以及寿命周期系统工程》。AFMCI 63-1201明确了寿命周期系统工程必须能够保证系统、分系统或最终项目全寿命周期使用的安全、使用和效能；OSS&E方法和OSS&E基线文件（OBD）是联系采办和后续使用必不可少的工具，确保系统工程过程考虑了全寿命周期；OBD提供的为经批准的技术状态、技术指令和安全性评估。国外军机安全性发展历程见图2。

通过上述分析，可以看出美国空军已将“OSS&E要求”纳入系统工程之中开展。除此之外，美国空军针对航空器使用美国防部以及空军的有关政策指令、指示和应用指南编制发布了《系统工程指南》（2004年），首次将“使用的安全、适用和效能（OSS&E）”纳入到系统功能任务之中。

图2 国外军机安全性发展历程

从国防部角度，关于安全性管理文件，MILSTD-882系列从管理层面上给出了国防部所有航空装备的安全性要求，提出了将可接受风险作为系统安全性计划的标准这一概念，在其理论演变中要求引进风险概率，并根据其发生频率建立适应长期的危险严重性等级。管理活动的职责变得更加具体，越来越多的重点放在了合同的制订上，且航空装备的综合安全性要得到相关部门的确认或检查。

从FAA角度，1988年的《安全的天空》（Safety Skies）报告中曾呼吁FAA建立“强有力的系统安全性方案”以提升航空安全。之后，FAA开始了构建系统安全性方案要素的过程，包括制定FAA指令和《系统安全性手册》草案。1998年6月26日，FAA局长就安全风险管理签署了一份局长令。这项指令提出了FAA的安全风险管理政策和规定了将安全风险管理作为FAA的一种决策工具予以实施的程序。实质上，这项指令呼吁使用正规的、严格的、有文件记录的决策制定过程，以解决与整个产品寿命周期中有重大影响的决策相关的安全风险。

1.4.1 美军MIL-STD-882系列标准

美军颁布的MIL-STD-882应用了系统工程的原理，将航空装备作为一个系统，将其安全性工作（即按MIL-STD-882进行的工作）称为系统安全性工作。MIL-STD-882有不同的版本，最新版本是E版。在MIL-STD-882E《国防部标准实践：系统安全性》[3]中其参考文件引用了民用飞机系统安全性文件AC25.1309-1A《美国联邦航空局资讯通报：系统设计和分析》和SAE ARP4761《对民用机载系统和设备进行安全性评估过程的指导和方法》。在MIL-STD-882E版的技术内容中出现了在民用飞机系统安全性文件SAE ARP4761中使用的技术。

其次，测试自动缠绕功能，将下一盘钢带从平盘放带装置上拉出，与上一盘缠绕完成的钢带通过钢带对焊机焊接好。在操作台上选择自动动功能，按启动按钮运行设备，设备将自动按设定的速度开始缠绕。当缠绕的钢带长度接近已经记忆的长度时，会自动降低速度运行，直到钢带脱离平盘放带装置时，自动停车传感器检测到信号后自动停止设备，同时收带、放带刹车电磁阀自动配合完成刹车动作，结束本次缠绕工序。

1.3.1 美国军品安全性技术

军品安全性技术相关的工作内容主要包括以下内容。

1.3.1.1 军品安全性的设计与分析工作

以空军为例，美空军在管理层面配套颁布了空军政策指令AFPD 63-12《保证使用的安全、适用和效能（OSS&E）》，要求“为系统和最终项目建立能够在使用中持续保持的OSS&E基线；在全寿命周期中保持OSS&E基线；当系统和最终项目更改时更新OSS&E基线”[2]。

1.3.1.2 军品安全性的验证与评价工作

军品设计时军品安全性的设计与分析工作完成后，即完成各级系统和零部件的设计工作后，进行军品安全性的验证与评价工作

目前，我国航空装备研制过程中系统安全性工作的开展和应用主要还存在以下困难。

验证安全性关键系统、硬件、软件是否符合安全性要求。

由于投入产出之间存在滞后期，所有自变量均滞后1期，这样更加符合创新投入产出规律。同时，为消除内生性，采用系统广义矩法(SYSGMM)进行估计，工具变量一般选择自变量的1阶滞后项，以克服差分广义矩法估计量较易受弱工具变量影响的不足。在此，自变量已经滞后1期，因而工具变量实际为自变量滞后2期。

●进行军品安全性的评价工作

在进行试验、使用前或合同完成时，对所假定事故的风险进行全面评价。

对九甜粘一号设置为处理1：2800株/667m2；处理2：3100株/667m2；处理 3：3400 株/667m2；处理 4：3700 株/667m2；处理 5：4000株/667m2五种密度。试验采取3次重复，小区行长5米，4行区。试验按随机区组排列，设置6行保护行。

●进行军品安全符合性的评价工作

进行安全符合性的评价，保证系统安全性设计，同时保证在进行试验、使用前或合同完成时全面评价所假定的风险。

1.3.2 民机安全性技术

民机安全性评估过程开始于概念设计，并且为概念设计提供安全性要求。随着设计的不断深入，应当对其做出修改，修改的设计必须进行重新评估，重新评估可能建立的设计要求。这些要求可能引起设计上的进一步更改。安全性评估过程在确认设计满足了设计要求后结束。图3从顶层对安全性分析与评估过程进行展示以及安全性评估方法在这个过程中所处的位置关系。

相对而言，陆军的BIM发展政策最为完善和系统化。 而其中起决定性作用的是美国陆军工程兵部队 (US Army Corps of Engineers，USACE)。 陆军工程兵部队为美国国防部下属所有国内和海外军事设施提供工程设计、项目管理、施工管理以及运行维护服务。早在2006年10月，陆军工程兵部队下属工程研究与发展中心 (Engineer Research and Development Center，ERDC) 制定并发布了未来15年的BIM发展路线规划，承诺未来所有军事建筑项目都使用BIM技术，其阶段性的目标和长期战略目标见图2。 这意味着BIM在军事建筑领域将全面普及。

图3 民机安全性分析与评估过程

1.3.3 安全性设计技术措施

下面主要从系统安全角度出发，对安全性技术相关的工作内容、具体的安全技术措施方面简要概述。

具体的安全性设计技术措施包括：最小风险设计；采用安全装置；采用报警装置；制定专用规程和进行培训。

1.4 安全性标准

为了保证航空装备在满足技术先进，性能稳定、可靠的基础上达到较高的安全性水平，需要相关安全性规范和标准的支持。目前国际上先进的安全性标准包括：

1.3 安全性技术

MIL-STD-882主要关注美国国防部武器系统的系统安全性计划。它是由BSD 62-41《系统安全工程：空军弹道导弹研发的军用详细规范》文件发展而来的重要的系统安全性标准。

德州仪器（TI）是世界上最大的半导体公司之一。德州仪器始终致力于提供创新半导体技术，帮助客户开发世界最先进的电子产品。德州仪器的模拟、嵌入式处理以及无线技术不断深入至生活的方方面面，从数字通信娱乐到医疗服务、汽车系统以及各种广泛的应用，无所不在。

美国国防部从1969 年7 月发布第一个系统安全军用标准MIL-STD-882，到2012 年5月颁发最新的标准MIL-STD-882E 的42 年中，该标准先后进行了6 次重大修订，平均每7年修订一次，充分体现了美军重视跟踪标准的应用情况并及时进行修订，以保持标准的先进性和适用性。随着美国国防战略计划和目标的改变及科学技术的发展，该标准的目标从保障武器装备和军事人员的安全向保持环境安全和人员职业健康延伸，标准的技术内容从设备硬件向系统软件扩展，实现系统安全目标的方法也从单项技术向系统集成演变。

1.4.2 美军AF SSH《空军系统安全性手册》

美国空军于2000年颁布的《空军系统安全性手册》[2]。该手册明确提出系统安全管理、设计、分析和评价的基本要求、具体工作、实施流程及相关技术方法。此外，该手册对包括核安全、爆炸安全等特性安全，提出了安全性工作要求。该手册涵盖范围较广，可操作性较强，是订购方提出具体系统的安全性要求和承制方制定具体系统的安全性大纲的基本依据。

1.4.3 美国JSSG《航空器国防部联合军种规范指南》

《联合军种规范指南》（JSSG）[4]系列文件是美军航空装备系统、分系统、设备或组件相应标准编制的依据，已广泛应用于航空装备的研制项目中，达到了简化规范编制过程、增强型号研制灵活性的目的，显示和验证了系列文件的预期效果和作用。

工艺流程的终端固体废弃物主要来自预处理单元的沉降污泥和结晶单元的杂类结晶盐，对污泥予以合理填埋，在深度处理结晶盐中，结晶盐中重金属含量超标的，需按固体废弃物处置。

1.4.4 美国民机系统安全性标准

男人如房，转手加价还抢手，女人像车，转手折价也难卖。男人爱车，女人爱房；一辆好车让男人很有面子，一间好房让女人很有安全感；离婚的男人是二手房，这年头，二手房比新开盘的房子还抢手，不管转过几次手，绝对一次比一次贵；离婚的女人是二手车，转一手降一半，两手之后就很难有买主了。

习近平绿色发展理论力求消除贫困，在解决温饱问题的基础上，最终实现人民富裕。人类社会的发展首先要求消除贫困，实现温饱。如果温饱问题没有解决，其他的发展根本无从谈起，在此基础上所进行的所有活动终将会失去意义。温饱问题解决之后，人们所追求的，必然是生活的富裕。不断向人民富裕的方向迈进，正是绿色发展追求的目标。这个过程是漫长的，也必定是充满挑战的，只有既注重经济社会的发展，又注重生态环境的保护，才有可能满足人民群众对未来生活走向富裕的期盼。

目前，在国际民用航空工业中，实施系统/设备安全性的评估方法普遍遵循7份美国适航当局（也是国际适航当局）认可的指导材料： SAE ARP 4761《对民用机载系统和设备进行安全性评估过程的指导和方法》；SAE ARP 4754A《民用飞机和系统研制指南》；RTCA DO-178C《机载系统设备审定的软件考虑因素》；RTCA DO-254《机载电子硬件设计保证指南》；RTCA DO-297《航空电子集成模块指南》；SAE ARP 5150《商用运输类飞机安全性评估指南》；SAE ARP 5151《商用通用类和螺旋桨类飞机安全性评估指南》。

选择柠檬酸添加量0%、0.1%、0.2%、0.3%、0.4%、料液比1:8、白砂糖添加量8%,进行单因素考察,结果见表4。由结果可见,当柠檬酸添加量为0.1%时,果汁呈现漂亮的宝石红色,饮料酸甜可口,感官评价最好。

新时代统一战线的战略定位与发展图景——从“爱国统一战线”到“中华民族伟大复兴统一战线” …………………… 林华山（1·19）

这些标准之间的关系如图4所示。值得指出的是，这4项标准除了在民用航空业被广泛采用外，其中DO-178和DO-254标准在美国和欧洲的军机领域也逐步得到认可。目前美国军方已经全面采纳了DO-178和DO-254标准，空客的军机项目也采纳了DO-254标准。

图4 标准之间的关系

1.4.5 英国军机系统安全性标准

英国国防系统中系统安全性标准为DEF STAN 00-56《国防系统安全管理要求》[5]。其中DEF STAN 00-56不仅仅针对航空领域，它同时支持空军、海军和陆军，即支持整个英国国防系统，但是不包括武器系统。

综上所述，国外航空航天工业先进国家非常重视飞机安全性工作，特别是民机领域经过几十年多个型号的研制经验，形成了一整套完整的安全性管理、设计、分析、试验、评估与验证方法，建立了相应的文件体系和工作指南，能够有效指导飞机的安全性工作，提高飞机安全性水平。目前军机系统安全性工作也在越来越多的借鉴民机安全性相关要求指南和方法技术。

1.4.6 我国航空装备安全性标准

我国在军用飞机研制过程中开展安全性工作较晚，有关部门于1990年参考MIL-STD-882B《系统及其有关的分系统、设备的系统安全大纲要求》颁布了GJB900-1990《系统安全性通用大纲》。该标准规定了军用系统安全性的一般要求和管理与控制、设计分析、验证与评价、培训、软件系统安全性等方面的具体要求，作为订购方提出具体系统的安全性要求和承制方制定具体系统的安全性大纲的基本依据。过去开展的系统安全性工作几乎都停留在大纲层面，缺乏系统性和全面性，航空装备安全事故的频发对保障战斗力造成很大的影响。

1997年，我国军工行业以MIL-HDBK-764《陆军航空装备系统安全工程设计指南》为参照，结合国情需要，颁发了GJB/Z 99-1997《系统安全工程手册》。该手册作为GJB 900-1990的支撑标准，明确了系统安全管理及危险控制、系统安全分析及安全性设计、验证与评价的具体要求，并给出了相应的程序、方法和示例。该手册已经成为我国军用系统研制中贯彻和实施GJB 900-1990的指导性技术文件。

目前我国目前系统安全性标准体系中，仍缺乏底层的标准支持，使得体系中设置的一些工作项目难以在航空装备的研制过程中充分展开，从而使标准缺乏可执行性，如安全性要求的提出、安全性指标的验证与评价等。2013年，新修订的GJB 900A-2012《装备安全性工作通用要求》颁布，用以代替GJB 900-1990《系统安全性通用大纲》。新标准从标准名称到标准内容均发生了较大的变化，但总体来说，目前还缺乏与安全性相关标准规范体系的支持，安全性标准体系结构设置不够完善。

2 主要差距分析

●进行军品安全性的验证工作

这栋房子，留给她的，已经只剩下每月1475.30元的房贷和这把钥匙了，易非攥着钥匙，像是要把它捏碎。当她冒着风雪，穿越了小半个城市，来到自己的房子里时，看到的是一幅温暖的熟睡图。妈和弟弟，还有李倩倩，已经住在里面了。

2.1 缺乏全面指导安全性工作开展的方法、程序和指南

目前国内指导系统安全性工作的顶层标准只有GJB 900A-2012，而且GJB 900A-2012存在的最主要的问题是工作项目对应的支持标准较少，使得标准中设置的工作项目难以在航空装备的研制过程中充分开展，从而影响航空装备的安全性。

2.2 缺乏提出安全性要求的分析、评估和控制技术

国内航空装备系统安全性工作目前由于缺乏完善的理论方法和技术手段支撑，导致安全性设计分析工作滞后于设计工作，造成部分工作开展的深度无法满足航空装备研制和取证进度需要，对航空装备型号研制总体进度产生了较大影响。航空装备系统安全性工作一直处于预先和前期论证阶段，还没走完一个完整的研制过程，还有许多问题需要研究和开发。

2.3 缺乏安全性风险分析与评估底层数据库收集、研究与分析

我国缺乏对航空装备外场使用数据库和故障、维修数据的系统完善的收集、整理和建库工作，无法满足设计部门对航空装备系统、设备的安全性指标进行定量分析论证的需求。

2.4 缺乏系统安全性风险分析与评估的支撑手段

系统安全性工作主要集中在方案和设计阶段，故障安全风险的分析评估只能通过实物或半实物模型去验证，这种模式往往给企业带来很大的困难，在实验中发现问题需要反复迭代，再设计、再制造和再试验，耗费了大量的人力、物力、时间和财力。

3 军机系统安全性技术思路

航空装备系统安全性工作总体思路如图5所示。军机系统安全性工作首先应当基于航空装备整机级功能危险性分析（FHA），自上而下，对航空装备、系统、设备以及元件逐层进行功能危害性分析，确定失效模式及失效概率。安全性评估过程始于概念设计阶段并得出其安全性要求。随着设计的推进会不断有更改产生而这些更改的设计又必须重新进行评估。这种重新评估又可能产生新的设计要求，新的设计要求又可能需要更进一步的设计更改来满足。这种安全性评估过程要持续到验证表明设计已经满足安全性要求为止。

图5 开展军机系统安全性总体思路

针对上节分析的差距和不足，为满足和提升我国军机型号安全性水平，建议在开展下列重点研究方向。

●型号安全性工作指南和程序编制；

●系统安全性风险分析与评估技术研究；

●系统安全性风险分析与评估验证平台研发；

●系统安全性基础数据库研究与构建；

●面向复杂装备系统的基于模型的安全性分析技术研究与应用。

4 结论

随着国内航空装备研制数量和技术水平的提升，急需使用系统安全性技术提高其安全性水平。现在国内航空装备研制单位系统安全性工作还存在诸多不足，本文从航空装备故障安全风险识别、分析、评估与控制技术研究为出发点，提出了航空装备研制中安全性工作未来在方法、程序、指南和手段等方面的重点技术攻关方向。

[1] AFPD 63-12 Operational Safety Suitability and Ef-fectiveness for The Aeronautical Enterprise[S].

[2] AF SSH Air Force System Safety Handbook[S].

[3] MIL-STD-882E Department of Defense Standard Practice-System Safety[S].

[4] JSSG Joint Service Specification Guide Air Vehicle [S].

[5] DEF STAN 00-56 Defense Safety Management Requirements for Defense System[S].

（编辑：雨晴）

V37

C

1003–6660（2015）04–0023–06

10.13237/j.cnki.asq.2015.04.07

[收修订稿日期] 2015-05-04