安全性评估流程在现役飞机维修中的应用研究

朱林寰 安磊 韩梁 钱玉生 汪建华/

1 国营芜湖机械厂 2 空军研究院航空兵研究所 3 中国航空综合技术研究所

0 引言

目前，国际主流的全寿命周期飞机安全性评估流程与方法已经成熟并不断发展，具体体现在SAE ARP 4754A《民用飞机和系统研制指南》、SAE ARP 4761《民用机载系统和设备安全性评估过程指南和方法》、SAE ARP 5150《商用运输飞机安全性评估指南》及SAE ARP 5151《商用通用类飞机和旋翼类飞机的安全性评估指南》等工业标准中，能够在飞机研制过程中识别飞机整机和系统架构及详细设计中存在的缺陷，并反馈给设计人员，帮助其完善设计[1]。飞机系统安全评估是对系统存在的危险进行定性和定量的分析，得出系统发生危险的可能性及对其程度的评估，以寻求最低事故率、最少损失和最优安全投入收益[2]。这种流程和方法针对整机、系统功能和架构以及详细设计待定的对象，是随着整机和系统设计阶段性深入而阶梯开展工作的。这种方法也可用于在研制阶段未应用安全性评估流程和方法设计的飞机维修，其具体的工作项目大致相同，但各个工作项目的目标和输入、输出等与研制阶段的安全性评估工作项目存在差异。本文基于飞机研制过程中使用的安全性评估流程与方法，研究提出一种适用于功能、构型、系统详细设计均已确定的现役飞机机载系统维修质量安全风险识别与防控的思路和方法，可作为维修企业提升飞机维修质量安全水平的参考。

1 研究背景

现役的部分国产飞机在研制阶段尚未应用国际主流的安全性评估流程和方法，且限于研制指标等要求，客观上存在不少因单点故障导致飞行事故、飞行事故征候的问题，给维修企业带来了严峻的挑战。尤其是飞机维修前，维修企业无法全面掌握飞机存在哪些单点故障可能导致飞行事故、飞行事故征候，维修质量安全工作难以抓住重点。根据对部分历史事故征候及以上重大问题的梳理分析，很多导致事故发生的故障点是可以通过科学评估方法予以识别的，如果在飞机维修前开展安全性评估工作，并充分利用历史故障及历史数据，可以提前识别飞机的维修安全风险点，掌握关键部附件修理技术要求，并在维修中制定防范措施，降低经修飞机发生不安全事件的概率。

2 总体研究思路及方案

总体研究思路为：以维修为对象，应用飞机研制过程中使用的安全性评估流程和方法，以飞机功能、构型为基础，以历史飞行事故、事故征候和故障数据为参考，进行全寿命周期的飞机安全性评估流程与方法梳理，开展飞机机载系统安全性关键部附件及关键故障模式识别流程和方法、安全性关键部附件内零组件级关键故障模式识别方法、安全性关键部附件的修理技术要求识别方法等研究。

总体研究方案为：在飞机研制阶段的安全性评估流程和方法的基础上，综合采用系统级功能性危险分析（FHA），考虑系统所有功能、所有功能失效模式、危险组成部分、具有冗余或者被冗余影响的系统、系统正常或异常工作状态、外部因素、人为因素等[3]，采用FTA、FMEA 等分析方法，建立适应于维修的安全性评估方法和流程（见图1）。

3 研究内容

3.1 飞机机载系统安全性关键部附件及关键故障模式识别流程和方法

为有效防范维修质量问题导致飞行事故征候等不安全事件，首先要识别出飞机上存在哪些部附件的哪些故障模式可能导致飞机发生飞行事故征候及以上问题。参照研制阶段的飞机安全性评估流程和方法，对各个工作项目的目标和输入、输出进行适应性调整。例如，研制阶段的“飞机级初步安全性评估工作（PASA）”是一项用于评估飞机级功能分解的合理性，初步判断功能架构设计能否满足整机级安全性要求，并向各相关系统分解传递安全性要求的工作[4]。而对于已经定型的飞机，该项工作的目的是识别各个系统中存在的可能导致I类和II 类飞机级功能失效的有关系统功能失效状态，将其称为“飞机级故障树分析（AFTA）”更为合适。

图1 适用于维修的安全性评估方法和思路研究流程图

图2 全寿命周期的飞机安全性评估流程

因此，需要研究制定一个流程和方法，针对功能、构型均已确定的飞机，全面、准确地识别出存在哪些部附件的哪些故障模式可能导致飞机发生飞行事故征候及以上问题，并在此基础上采取措施。这些部附件称为“安全性关键部附件”，其可能导致飞行事故征候及以上问题的故障模式称为“安全性关键部附件的关键故障模式”。

基本的研究流程是以飞机研制阶段的安全性评估流程和方法为基础，逐一分析其中各工作项目的目的、输入和输出以及采用的方法等要素，对比已经确定功能、构型和系统详细设计飞机的情况，研究提出针对在役飞机的机载系统安全性关键部附件及关键故障模式识别流程和方法。

3.2 安全性关键部附件内零组件级关键故障模式识别方法

在识别出安全性关键部附件可能导致飞行事故、事故征候问题的关键故障模式基础上，研究识别可能导致这些故障模式的部附件内零组件故障模式的方法。这些零组件级故障模式称为“零组件级关键故障模式”。

基本的研究流程是采用故障模式及影响分析（FMEA）方法，以安全性关键部附件的关键故障模式为目标，以部附件的功能、工作原理和详细构造为对象，分析哪些零组件的哪些参数、工艺等偏差因素可能导致这些结果，形成一个完整的零组件级关键故障模式识别方法。

本项研究工作结合上述第3.1 节中的研究内容，可建立起零组件级故障模式与部附件故障模式，直至与飞机顶层功能失效发生飞行事故征候及以上问题的逻辑关系，为正向提出部附件修理技术要求、准确有效地防控维修质量安全风险奠定基础。

例如，影响起落架收放系统工作性能的关键产品包括控制输入部件起落架收放手柄、液压电磁开关、两用活门以及收放作动筒等，影响这些关键产品性能的因素包括收放手柄的积炭、电磁开关插头断针、转换阀芯磨损卡死、两用活门内部弹簧失效、活门不密封，以及收放作动筒无法开锁等。需要自上而下地正向维修分析，系统性地识别零组件故障模式和导致故障的根本原因。

3.3 安全性关键部附件的修理技术要求识别方法

在识别安全性关键部附件的零组件级关键故障模式的基础上，研究提出相关技术方法，以全面准确地识别出部附件维修中的哪些参数、工艺等环节有可能造成这些故障模式，并形成部附件维修关键技术要求。

基本的研究流程是，系统梳理机载系统部附件内部机械零部件、电气部件的修理技术要求以及部附件、系统组装和试验的技术要求，形成比较完整、详尽的修理技术要求要素框架。以该框架为基础，对不同的部附件进行适用性分析，针对其各个关键故障模式逐项梳理形成关键修理技术要求。

3.4 机载系统修理质量安全风险识别与防控应用

在研究完成上述流程、方法的基础上，以某型飞机某系统为对象进行应用研究。主要的应用研究工作如下。

一是针对待研究某系统，采用研究制定的飞机机载系统安全性关键部附件及关键故障模式识别流程和方法，应用相关的软件工具，识别出系统中存在的可能导致飞行事故征候及以上问题的安全性关键部附件及关键故障模式。

二是针对各个安全性关键部附件及关键故障模式，应用研究确定的零组件级关键故障模式识别方法，识别出可能导致安全性关键部附件关键故障模式的零组件级关键故障模式。这样，就建立起了零组件级关键故障模式与部附件关键故障模式、直至飞机顶层功能失效发生飞行事故征候及以上问题的逻辑关系，准确识别出维修质量安全风险点。

三是针对这些维修质量安全风险点，应用部附件修理技术要求识别方法，逐一识别出这些部附件维修的关键技术要求。

四是对比分析。在前述工作的基础上，将所识别出的部附件维修关键技术要求与原有的部附件维修关键技术要求进行对比，分析其共性和差异，评估其作用及效果，为后续将分析结果纳入相关部附件的修理技术要求、提升维修质量安全水平奠定基础。

4 研究技术路线

4.1 全寿命周期的飞机安全性评估流程与方法梳理

全寿命周期的飞机安全性评估流程可以分为型号研制阶段和型号使用阶段。两个阶段的安全性评估工作与型号研制和使用的关系如图2 所示[5-7]。

研制阶段的安全性评估工作，主要用以评估飞机功能和机载系统设计的完整性和正确性，反馈给飞机设计。通过安全性评估，对系统构架和详细设计进行评估，发现可能存在的隐患问题，推动设计方案的不断完善。研制阶段的安全性评估流程与飞机功能和系统设计活动的关系如图3 所示[8]。研制过程各阶段的安全性评估工作流程如图4 所示。安全性评估过程始于概念设计阶段并得出其安全性要求。

随着设计的推进会不断有更改产生，对这些更改的设计必须重新进行评估。这种重新评估可能产生新的设计要求，新的设计要求又可能需要更进一步的设计更改来满足。这种安全性评估过程要持续到验证表明设计已经满足安全性要求为止。

图3 研制阶段的安全性评估流程

图4 研制各阶段的安全性评估流程

图5 使用阶段的安全性评估流程

图6 使用阶段的详细安全性评估流程

使用阶段的安全性评估流程包括5个步骤，如图5 所示。详细的使用阶段安全性评估流程见图6。图6 对图5 中5 个步骤中每一个步骤进行了细化。概括地讲，使用阶段的安全性评估流程，以研制阶段建立的安全性评估模型为基础，通过收集使用、维修中的相关参数和事件信息，进行安全风险评估，并根据风险等级水平制定相应的行动措施，予以实施并持续监控效果。从技术上讲，使用阶段的安全性评估流程还能用以证实或修正研制阶段安全性评估中采用的相关假设和判断，对功能危险分析等工作的完整性和准确性予以证实或修正，从而不断提升研制阶段的安全性评估工作水平。

不难看出，上述研制阶段的安全性评估和使用阶段的安全性评估可以有效地协助从设计上提升飞机安全性水平，在使用中监控、发现和解决安全性问题，但没有明确指出对于一型没有在研制阶段开展安全性评估工作的既定飞机应采用什么样的流程和方法以及如何识别其中存在的安全性隐患问题，这一问题急需研究解决。

4.2 适用于在役飞机的飞机机载系统安全隐患识别流程和方法研究

基于飞机研制阶段的安全性评估流程，借鉴飞机使用阶段安全性评估工作中收集、分析数据和事件信息的思想，针对功能、构型已经确定的现役飞机，初步提出飞机机载系统安全性隐患识别流程，以识别出可能导致飞机发生飞行事故征候及以上问题的部附件相关故障模式，如图7 所示。该流程包括8个主要工作项目：飞机级功能危险分析（AFHA），飞机级初步故障树分析（APFTA），系统级功能危险分析（SFHA），系统级初步故障树分析（SPFTA），部附件故障模式及影响分析/概要（FMEA/FMES），系统级故障树分析（SFTA），飞机级故障树分析（AFTA）以及共因分析（CCA）。在这些分析工作过程中均需要应用待分析机型及同类机型的事故、事故征候、故障数据和案例等信息。

4.3 适用于在役飞机的安全性关键部附件内零组件级关键故障模式识别方法和修理技术要求识别方法研究

图7 适用于在役飞机的飞机机载系统安全隐患识别流程和方法

飞机维修工作面对的是部附件及组成的零组件维修。因此，必须在识别出“安全性关键部附件的关键故障模式”的基础上，进一步识别可能导致这些故障模式的部附件内零组件故障模式，称之为“零组件级关键故障模式”。将采用故障模式及影响分析（FMEA）方法，分析哪些零组件的哪些参数、工艺等偏差因素可能导致这些结果，并形成一个完整的零组件级关键故障模式识别方法。该方法也需要应用大量的部附件故障案例数据、关键部附件维修故检数据、试验数据，以及有关系统试验数据作为参考。

例如，起落架收放控制电磁开关内油针卡滞故障，可以导致三个起落架全部放不下，属于“安全性关键部附件的关键故障模式”。根据电磁开关的功能，除了相应加工尺寸和硬度的金属杂质可能导致油针卡滞以外，油针的直径、同轴度，与配合面之间的间隙值，表面和各个凸台的加工毛刺等参数/工艺偏差达到一定值时，均有可能导致实际使用中发生油针卡滞，这些具体参数/工艺等偏差过大问题就是零组件级关键故障模式。通过该步骤工作，建立了零组件级故障模式与部附件故障模式、直至飞机顶层功能失效发生飞行事故征候及以上问题的逻辑关系。而识别出的这些零组件级故障模式、部附件故障模式、系统级功能失效模式、飞机级功能失效模式正是维修过程中需要提升维修质量、重点防范安全风险的对象 所在。

在识别安全性关键部附件的零组件级关键故障模式的基础上，研究提出相关技术方法，以全面准确地识别出部附件维修的哪些参数、工艺等环节有可能造成这些故障模式，例如，针对液压油中相应尺寸和硬度的金属杂质可能导致起落架电磁开关卡滞、导致三个起落架放不下来的问题，不仅在电磁开关修理技术要求中需要明确如何在零组件维修中消除可能存在的毛刺等，还应在整个液压系统涉及的部附件修理技术要求中明确相同要求以预防类似问题，另外，在液压系统部附件安装、清洗和联试等过程中也需要明确各个环节的污染物、外来物的防控措施。这就涉及零组件、部附件（含管路）、系统三个层级的修理技术要求，涉及维修、组装、部件试验、系统试验各个环节，在综合考虑上述因素之后才能完整形成部附件修理关键技术要求[9-10]。

5 结论

随着一部分在研制阶段未采用安全性评估流程和方法研制的现役国产飞机日益使用老旧，机载系统部附件的损耗也随之增大，之前未发生过的问题也将陆续暴露，同时飞机使用强度持续增加，飞行性能边界不断逼近，对现役国产飞机质量安全水平提出了更为严峻的挑战，需要寻求科学的思路和方法来保障此类飞机使用安全。本文借鉴飞机研制阶段的安全性评估流程和方法，提出在功能、构型、系统详细设计均已确定的飞机上开展机载系统维修质量安全风险识别与防控的思路和方法，可应用于正向补充完善飞机修理技术要求，提升飞机维修质量，防控质量安全风险。