分离式飞行数据记录与跟踪系统可靠性分析

郭 星 孙建红 张延泰 侯 斌 / GUO Xing SUN Jianhong ZHANG Yantai HOU Bin

(南京航空航天大学航空宇航学院,飞行器环境控制与生命保障工业和信息化部重点实验室，南京 210016)

0 引言

飞行数据记录器(Flight Data Recorder，以下简称FDR)对于航空安全和事故调查有着重要的意义，并为保障飞行安全以及进行日常监控提供科学的依据[1-3]。从法航447和马航370等空难事故中可看出，在飞机坠海后，传统FDR会随飞机残骸一起沉入大洋。由于海底地形复杂以及洋流的作用，设备定位困难，给及时搜救和后续事故调查造成了巨大困难。为了提升FDR搜寻概率，加快其打捞速度，南京航空航天大学孙建红教授所带领的团队与中国商飞美国公司完成了分离式飞行数据记录与跟踪系统的研发与试验工作，该系统又称为报信者(Harbinger，HBG)系统[4]。该系统不仅可以应急弹射飞行数据记录仪，还可在空中捕捉飞机状态，提供动态追踪功能。虽然美国于1983年测试过功能单一的军用飞机可弹射型FDR[5]，但受限于当时的数据信息技术，以及军机本身飞行员弹射救生系统具有相近功能而且日益成熟，因此弹射型FDR没有得到应用。另一方面，尽管在技术发达的今天，在民用航空领域也有不同声音。如波音称，弹射型FDR“需要受到更多研究，尤其是就减少意外后果而言”[6]。因此，在适航要求方面，分离式飞行数据记录与跟踪系统的可靠性问题也日益受到大家关注。

传统的可靠性分析方法主要包括故障模式与影响分析(Failure Mode and Effects Analysis，以下简称 FMEA)、失效物理分析法(Physics of Failure，以下简称 PoF)、故障树分析(Fault Tree Analysis，以下简称FTA)等，其中FTA具有结构简便、逻辑明确等优点。1961年，美国贝尔电话实验室H. A. Watson首先提出故障树分析法，并成功将其应用在民兵导弹发射控制系统的可靠性研究中。随后，波音公司的Hassl、Sohroder和Jackson[7-8]于1965年成功编写了FTA的相关软件，使飞机的设计有了重大改进。近年来，随着FTA的不断发展与完善，其在航空航天领域已被广泛应用。汤旭[9]在某民用飞机氧气系统结构的基础上，通过对氧气系统危险事件进行故障树分析，从而验证了该系统的可靠性符合相关适航规定。E Chung和JS Hamks[10]通过故障树模型来确定飞行构架是否满足系统需要的可靠性和安全性。和麟[11]等以机载气象雷达系统的典型故障为对象，应用FTA，解算出了故障树最小割集，计算了顶事件的概率，同时通过底事件相对概率重要度确定了对各部件进行检查时的优先顺序。李冰月[12]等针对飞机空调系统各主要部件进行了故障模式与影响分析，并结合FTA，对飞机空调系统故障进行了诊断实验，证明了涡轮故障对座舱温度影响最大。但国内外对飞行数据记录系统可靠性研究较少，并且还缺少与跟踪系统一体的综合系统可靠性研究。

因此，为了分析分离式飞行数据记录与跟踪系统的可靠性，寻找系统设计的薄弱环节。在明确HBG系统的组成结构和逻辑功能关系后，基于FTA，搭建了以系统失效为顶事件的故障树。通过定量分析，发现缓降系统为HBG系统可靠性的薄弱环节，进而针对缓降系统进行改进，降低了系统失效的发生概率。

1 报信者系统工作原理

HBG系统是一款集智能判断、快速分离、缓降漂浮和跟踪拍摄等功能于一体的应急飞行数据记录系统。其主要由四个分系统组成，分别是智能弹射与分离系统、拖曳式跟踪系统、缓降与应急漂浮系统以及数据传输系统。从可靠性分析与功能实现角度，可将HBG系统划分为触发系统(S1)、弹射系统(S2)、缓降系统(S3)和拖曳系统(S4)，其系统工作原理如图 1所示。

图1 HBG系统原理图

触发系统可通过机载信号源、飞行员手动开关以及HBG传感器判断飞机是否处于紧急状态，进而决定是否启动报信者系统。弹射系统在接收到触发系统的信号后，舱盖分离装置开始工作。在舱盖打开后，电磁阀被打开，随后气瓶中的气体进入气缸并推动活塞，最终将缓降与拖曳系统弹射出机身。缓降系统主要由弹簧牵引伞和气囊组成，用于辅助弹射分离，降低坠水冲击从而保护核心设备。在弹簧牵引伞的作用下，应急飞行数据记录器(Emergency Flight Data Recorder，以下简称EFDR)从空中缓降入水。入水后，弹簧牵引伞自动脱离，气囊包裹EFDR漂浮在水面上，EFDR发射救援和定位信号，从而引导搜救人员对其进行回收。其中EFDR数据接收装置在缓降系统当中，但其功能的实现在拖曳系统中，用于接收和储存所拍摄到的视频数据。拖曳系统则用于记录飞行姿态和外部破损情况。拖曳跟踪复眼模块在拖曳绳索的牵引下对飞机进行跟踪拍摄，并把拍摄的数据传输给应急飞行数据记录器。

2 HBG系统的FTA分析

故障树分析方法是系统可靠性分析中的一种重要方法，FTA以一个不希望出现的故障事件作为顶事件，通过由上而下的严格按层次的故障因果逻辑分析，逐层找出故障事件的必要而充分的直接原因，最终找出导致顶事件发生的原因和原因组合，并通过底事件的重要度，揭露系统的薄弱环节[13-14]。根据HBG系统的工作原理，结合部件失效的相关资料，采用FTA方法对HBG系统进行可靠性分析，HBG系统故障树见图2。

在建立故障树过程中，不考虑人为操纵的失误，即人的可靠度为1。故障树分为5层，其中顶事件为HBG系统失效，根据HBG系统的工作过程将失效分为触发系统失效、弹射系统失效、缓降系统失效和拖曳系统失效。表 1为故障树事件编号及意义，编号中含有字母X的事件为底事件。

图2 HBG系统故障树

通过下行法求得故障树的所有最小割集：{X1}，{X2}，{X3，X4，X5}，{X6}，{X7}，{X8}，{X9，X10}，{X9，X11}，{X12}，{X13}，{X14}，{X15}，{X16}，{X17}，{X18}，{X19}，{X20}，{X21}，{X22}，{X23}，{X24}，{X25}。该故障树共有最小割集22个，其中最小割集最大容量为3个底事件。

根据Boole代数运算法则，可得顶事件的发生概率为：

依据相关资料[15-16]，各零部件失效率见表 2，由于底事件发生的概率很小，那么最小割集之间可以视为相斥，于是顶事件的发生概率可以近似如下：

P(T)=P(A)+P(B)+P(C)+P(D)

=P(X1)+P(X2)+P(X3X4X5)+P(X6)+

P(X7)+P(X8)+P(X9X10)+

(2)

根据有关文献[16]，HBG系统的任务时间t0=2 000小时，利用式(2)计算出顶事件的发生概率是0.209 3。并计算各分系统的失效概率、概率重要度及关键重要度，从而分析各分系统失效对顶事件的影响情况。计算结果见表 3。

从计算结果可看出，在t0时刻，各分系统的失效概率排序见式(3)：

S3>S4>S2>S1

(3)

分系统关键重要度值越大，其在系统中越薄弱，降低该分系统失效的发生概率对于降低顶事件的发生概率有显著效果。表3确定了当顶事件发生时，进行安全控制所应采取措施的优先顺序。

表1 HBG系统故障树编号及意义

表2 HBG系统部件失效率

表3 各分系统失效概率、概率重要度及关键重要度

由表 3知，缓降系统的关键重要度最大，其值大约为触发系统的36倍，因此它是HBG系统最薄弱的环节，缓降系统失效对顶事件发生的概率贡献最大。因此，可以通过改进缓降系统来快速提高HBG系统的可靠性。

3 HBG系统改进

通过对HBG系统进行可靠性分析，可以得到缓降系统为分系统中最为薄弱的环节，为提高总系统的可靠性，针对缓降系统进行改进。根据系统工作原理，缓降功能主要由充气模块和降落伞分离模块实现，其中充气模块由电机、连杆顶针和气囊组成，降落伞分离模块由传感器、电机和电路构成。为了提高系统可靠性，在组成系统时，可以增补一些工作组件，即使其中之一发生故障，整个系统依旧可以完成任务，这类系统称为储备系统。

依据充气模块特点，可设置多个气囊腔室及相关充气部件，本文仅给出缓降系统采用双充气模块时的故障树(见图3)及事件C发生概率的计算公式，通过图4可以看出，只要其中一套充气模块正常工作，气囊充气过程便可成功完成。

图3 缓降系统双充气模块故障树

(4)

为探究最佳的充气模块数目，分别计算了n (充气模块数目)从2到5时的事件C发生概率，其结果如图4所示。当n=2时，缓降系统失效的发生概率相对降低了53.17%，当n=3时，失效概率相对于n=2只相对降低了9.34%，同理，依次为0.83%、0.17%，可以看出，随着充气模块数目的增加，失效概率的相对降低幅度逐渐变小。综合考虑失效概率降低幅度、部件成本以及设备体积，采用双充气模块较为合理。

图4 不同充气模块数目下缓降系统的失效概率

在采用双充气模块的前提下，针对降落伞分离模块，在原有的传感器-电机降落伞分离基础上，增加水溶线-弹簧机构作为冗余组件。所增加部件失效率见表 4。

表4 增加部件失效率

表5给出了系统改进前后的失效概率，可以看出，在系统改进后，缓降系统的失效概率相对降低了86.04%，总系统的失效概率相对降低了58.29%，从而实现了对整个系统的改进。

表5 系统失效概率

4 结论

本文借助故障树分析技术，在分析分离式飞行数据记录与跟踪系统的组成结构和逻辑功能关系的基础上，搭建了以系统失效为顶事件的故障树，得到了最小割集、顶事件的发生概率及各分系统的失效概率排序(S3>S4>S2>S1)；并通过对比各分系统的关键重要度，找出了缓降系统为HBG系统的薄弱环节。从而在原有结构的基础上对缓降系统进行改进，通过计算发现，当充气模块多于2套时，缓降系统的失效概率并不随着充气模块的递增有显著降低，进而采用水溶线-弹簧与传感器-电机降落伞分离模块、双充气模块，将HBG系统失效的发生概率降低了58.29%。对整个HBG系统的改进具有指导作用。