楊　可，趙長(zhǎng)嘯

（中國(guó)民航大學(xué) a.工程技術(shù)訓(xùn)練中心；b.適航審定研究中心，天津　300300）

民用飛機(jī)安全性分析中單點(diǎn)失效MTBF的算法

楊可a，趙長(zhǎng)嘯b

（中國(guó)民航大學(xué) a.工程技術(shù)訓(xùn)練中心；b.適航審定研究中心，天津300300）

安全是民航工業(yè)的生命線。按照適航規(guī)章要求，任何妨礙飛機(jī)繼續(xù)安全飛行與著陸的單點(diǎn)失效的出現(xiàn)是極不可能的。傳統(tǒng)的參數(shù)，如平均故障間隔時(shí)間（MTBF），是用來(lái)計(jì)算部件失效概率的常用參數(shù)，但由于關(guān)鍵安全部件可能在平均故障間隔時(shí)間之前出現(xiàn)故障，因此，該參數(shù)的傳統(tǒng)計(jì)算方法對(duì)于單點(diǎn)失效概率的分析并不適用。提出評(píng)價(jià)單點(diǎn)失效概率的分析方法，即基于所給出數(shù)據(jù)樣本量的大小，提出了評(píng)價(jià)單點(diǎn)失效概率的計(jì)算公式。給出了兩個(gè)案例來(lái)進(jìn)一步驗(yàn)證所提方法的有效性。

單點(diǎn)失效；MTBF；概率；安全性評(píng)估

旅客信任航空業(yè)的基礎(chǔ)是安全，要求其產(chǎn)品及運(yùn)行無(wú)事故[1]。安全分析是飛機(jī)安全性設(shè)計(jì)的關(guān)鍵組成部分。通常安全分析由未參與飛機(jī)設(shè)計(jì)過(guò)程的工程師通過(guò)常用的定性方法（如FMEA，失效模式及影響度分析）與定量方法（如FTA，故障樹(shù)分析）相結(jié)合而展開(kāi)分析[2]。

單點(diǎn)失效分析通常采用“自底向上”的分析方法[3]，如FMEA。但當(dāng)失效影響為“隱性”時(shí)，現(xiàn)有假設(shè)“失效的可能組合”僅考慮了單點(diǎn)隱性失效與“下一個(gè)最壞的”失效相結(jié)合，這種分析方式適用于簡(jiǎn)單機(jī)械、液壓機(jī)械或電力系統(tǒng)的評(píng)價(jià)，然而，隨著設(shè)計(jì)中功能的融合和多樣化以及技術(shù)的增加，尤其設(shè)計(jì)中包含了數(shù)字航空電子設(shè)備，其結(jié)果導(dǎo)致了復(fù)雜性、相互依賴性的增加，原有假設(shè)飛機(jī)中失效影響的獨(dú)立性已不成立，同時(shí)零部件計(jì)數(shù)法使得“隱性—下一個(gè)最壞”失效關(guān)于“失效概率結(jié)合”的假設(shè)尚有置疑。因此，為了確保對(duì)于大量存在的失效，設(shè)計(jì)是“失效—安全”的，通常需要利用概率方法。

除了傳統(tǒng)的方法，如故障樹(shù)（FTA）[4]、關(guān)聯(lián)圖（DD）[5]，許多安全評(píng)價(jià)的方法已在航空業(yè)運(yùn)用。例如，達(dá)索7x飛行控制系統(tǒng)通過(guò)AltaRica語(yǔ)言建立數(shù)據(jù)流模型以證明安全性[6]。由ESACS及ISAAC項(xiàng)目提出的擴(kuò)展系統(tǒng)模型（ESM）/失效注入模型（FI）方法介紹了航空領(lǐng)域基于模型的安全評(píng)價(jià)（MBSA）[7]。國(guó)內(nèi)學(xué)者利用BBD方法分析了基于任務(wù)的航空電子網(wǎng)絡(luò)可靠性[8]。

以上研究都試圖解決復(fù)雜系統(tǒng)的安全/可靠性評(píng)價(jià)問(wèn)題，并未太多關(guān)注于單點(diǎn)失效的概率分析。許多工程師認(rèn)為，由于安全關(guān)鍵部件可能會(huì)在平均故障間隔時(shí)間（MTBF）前失效，因此單點(diǎn)失效利用傳統(tǒng)MTBF進(jìn)行計(jì)算分析不再滿足系統(tǒng)安全性需求。

本文提出了如何利用可靠性數(shù)據(jù)MTBF來(lái)計(jì)算單點(diǎn)失效概率的方法，同時(shí)就大樣本量數(shù)據(jù)及小樣本量數(shù)據(jù)分別提出了兩個(gè)計(jì)算公式?；诠I(yè)中常用的風(fēng)險(xiǎn)管理原則，這兩個(gè)公式的置信水平均為95%。同時(shí)，提出兩個(gè)案例以驗(yàn)證所提方法的有效性。

1　問(wèn)題描述

1.1單點(diǎn)失效的安全要求

單點(diǎn)失效作為系統(tǒng)的一部分，一旦發(fā)生將導(dǎo)致整個(gè)系統(tǒng)停止工作。在民航領(lǐng)域，要求任何災(zāi)難性失效狀態(tài)不會(huì)由單點(diǎn)失效導(dǎo)致。因此必須建立故障分析、部件測(cè)試或仿真環(huán)境測(cè)試，驗(yàn)證沒(méi)有單點(diǎn)失效或其可能的失效結(jié)合會(huì)妨礙飛機(jī)的安全運(yùn)行。適航規(guī)章FAA25.1309指出[9]，飛機(jī)系統(tǒng)及相關(guān)部件的設(shè)計(jì)，要單獨(dú)考慮且與其他系統(tǒng)一同考慮，使得災(zāi)難性失效狀態(tài)的概率極為不可能且不是由單點(diǎn)失效導(dǎo)致。同時(shí)，要求任何危險(xiǎn)性失效狀態(tài)概率為極微小的，任何重大失效狀態(tài)概率為微小的。

1.2單點(diǎn)失效出現(xiàn)的概率

適航要求指出，不允許由任何單點(diǎn)失效造成災(zāi)難性失效狀態(tài)。但對(duì)于能造成并非特別嚴(yán)重的失效狀態(tài)如危險(xiǎn)失效狀態(tài)的單點(diǎn)失效，則必須進(jìn)行考慮。問(wèn)題在于如何評(píng)價(jià)“單點(diǎn)失效”的概率以滿足功能危險(xiǎn)性分析（FHA）的安全目標(biāo)。許多工程師認(rèn)為由于安全關(guān)鍵部件可能會(huì)在平均故障間隔（MTBF）[10]之前失效，所以MTBF不再被使用，因此需給出關(guān)于關(guān)鍵單點(diǎn)失效概率的評(píng)價(jià)方法。

當(dāng)對(duì)一個(gè)給定的失效狀態(tài)進(jìn)行概率預(yù)測(cè)時(shí)，故障率影響的方差將會(huì)導(dǎo)致多重失效因素相互抵消。因此，使用部件的平均可靠性（如MTBF）進(jìn)行計(jì)算是合理的，然而這并沒(méi)有考慮單點(diǎn)失效的情況。接受單點(diǎn)失效的一個(gè)重要條件，就是要考慮主要部件可靠性預(yù)測(cè)概率的“最小值”在控制范圍內(nèi)，且在失效狀態(tài)概率分配中不占主導(dǎo)地位。也就是說(shuō)，單點(diǎn)失效的“最小”時(shí)間間隔應(yīng)該比最可能的多重失效情況的“平均”時(shí)間間隔更長(zhǎng)。在下文中將介紹一種新的單點(diǎn)失效概率的預(yù)測(cè)方法。

2　單點(diǎn)失效概率的預(yù)測(cè)方法

2.1預(yù)測(cè)方法

如果單點(diǎn)失效存在，必須要有足夠的置信水平（通常是95%），以確保單點(diǎn)失效的間隔時(shí)間比很可能發(fā)生的多重失效的間隔時(shí)間長(zhǎng)[11]。換言之，令單點(diǎn)失效部件的MTBF等于T，如果該部件95%置信區(qū)間內(nèi)的無(wú)故障時(shí)間間隔為T(mén)0，且T0＞T，則此部件滿足安全需求。這個(gè)過(guò)程可由概率及統(tǒng)計(jì)理論推導(dǎo)。

以部件YK-75為例來(lái)解釋這種方法。部件YK-75單點(diǎn)失效會(huì)造成危險(xiǎn)的失效狀態(tài)FC-T-1，如圖1所示。此案例中平均飛行小時(shí)數(shù)T0為1 h。

圖1　FC-T-1故障樹(shù)Fig.1　FC-T-1 fault tree

根據(jù)AC25.1309-1B（草案）及SAEARP 4761[12]，如果部件的失效分布函數(shù)服從指數(shù)分布，則1/MTBF= λ，進(jìn)而展開(kāi)概率計(jì)算。

根據(jù)統(tǒng)計(jì)理論，由供應(yīng)商提供的YK-75部件的壽命服從正態(tài)分布，MTBF為部件最有可能的壽命。然而，很明顯對(duì)于每一個(gè)部件不可能有完全相同的壽命MTBF，也就是說(shuō)幾乎有一半的部件壽命小于MTBF。換言之，如果將YK-75的MTBF作為基礎(chǔ)計(jì)算數(shù)據(jù)，系統(tǒng)將有50%的可能承擔(dān)“低于預(yù)期的安全”的風(fēng)險(xiǎn)。

假設(shè)YK-75為安全關(guān)鍵部件，其發(fā)生將導(dǎo)致頂事件失效狀態(tài)的發(fā)生，直接使用MTBF計(jì)算單點(diǎn)失效概率則無(wú)可行性。MTBFSF作為決定性參數(shù)，可代替MTBF來(lái)評(píng)價(jià)安全目標(biāo)是否得到滿足，這意味著需要更高的可靠性水平。

這里的“MTBFSF”（SF為單點(diǎn)失效）代表修正過(guò)的MTBF計(jì)算表達(dá)符號(hào)，可直接用于單點(diǎn)失效概率的計(jì)算，其表達(dá)式為

上式表明，MTBFSF是MTBF的函數(shù)。如果這種失效可與其他失效相結(jié)合導(dǎo)致頂事件的發(fā)生，則可直接使用MTBF計(jì)算。但如果這種失效為單點(diǎn)失效，則在故障樹(shù)分析中應(yīng)該使用MTBFSF進(jìn)行計(jì)算。

圖1中故障樹(shù)的頂事件失效狀態(tài)FC-T-1平均每飛行小時(shí)概率計(jì)算為

其中：MTBFSF(YK-75)為單點(diǎn)失效概率，根據(jù)式（1），由供應(yīng)商提供的YK-75的MTBF常量計(jì)算得到；MTBF1與MTBF2為供應(yīng)商提供的常量。因?yàn)槎呤墙M合失效中的元素，因此這些數(shù)據(jù)可被直接使用。

考慮到工業(yè)實(shí)踐經(jīng)驗(yàn)及可靠性數(shù)據(jù)的樣本量，在此給出兩種方法將供應(yīng)商提供的常量MTBF轉(zhuǎn)換為MTBFSF，運(yùn)用以下兩個(gè)公式很容易得到高置信度的MTBFSF的值，以計(jì)算單點(diǎn)失效的概率。

2.2基于大樣本量的MTBF轉(zhuǎn)換公式

由供應(yīng)商AB生產(chǎn)的一大批部件XY，其壽命服從正態(tài)分布X～N（μ1，σ2），整個(gè)統(tǒng)計(jì)分析包含n個(gè)樣本（即樣本變量）為μ1的無(wú)偏估計(jì)量，S2為σ2的無(wú)偏估計(jì)量，即

根據(jù)分布特征，如果n足夠大，則t分布可近似看作標(biāo)準(zhǔn)正態(tài)分布N（0，1），從t分布表中可知，當(dāng)n> 45時(shí)，可以使用正態(tài)分布；當(dāng)n<45時(shí)，仍必須使用t分布進(jìn)行計(jì)算?，F(xiàn)假設(shè)n>45，則以下均為近似值。

圖2顯示了Z的概率密度。

圖2　置信水平分析Fig.2　Confidence level analysis

找到Zα分位點(diǎn)，令Z≤Zα的概率處于95%的高置信水平，陰影面積代表Z≤Zα的概率，則圖2可進(jìn)一步表示為

根據(jù)標(biāo)準(zhǔn)正態(tài)分布得Zα=1.65，于是

因此，在95%的置信度下

部件XY經(jīng)參數(shù)轉(zhuǎn)換后的高置信度MTBFSF可根據(jù)圖3計(jì)算

圖3　MTBF與MTBFSF的關(guān)系Fig.3　Relationship between MTBF and MTBFSF

實(shí)線為高置信度的MTBFSF，虛線為樣本分布。均值μ1為供應(yīng)商提供的MTBF。因此，高置信度的MTBFSF比MTBF計(jì)算單點(diǎn)失效更易接受。

95%的置信度可保證部件XY的MTBF滿足安全目標(biāo)，且此置信水平也可滿足安全需求。因此，如果部件XY滿足此目標(biāo)，就可保證“單點(diǎn)失效可控并能保持系統(tǒng)安全水平”。

大樣本數(shù)據(jù)的計(jì)算公式為

其中：MTBFSF用于直接計(jì)算單點(diǎn)失效概率；MTBF是供應(yīng)商可靠性數(shù)據(jù)庫(kù)中的統(tǒng)計(jì)量；S為樣本標(biāo)準(zhǔn)方差；n為樣本量。

2.3基于小樣本量的MTBF轉(zhuǎn)換公式

上文已介紹了計(jì)算大樣本量的可靠性數(shù)據(jù)置信區(qū)間的方法，然而，通常實(shí)際中單點(diǎn)失效發(fā)生率很低，統(tǒng)計(jì)樣本量n非常有限，如果n很小，則會(huì)導(dǎo)致樣本標(biāo)準(zhǔn)錯(cuò)誤很大，這種情況下用這種方法進(jìn)行數(shù)據(jù)計(jì)算并不適用。因此，以下將給出另一種方法來(lái)計(jì)算在給定的置信水平內(nèi)小概率事件的置信區(qū)間。

通常飛機(jī)故障，失效或缺陷往往是在實(shí)際服務(wù)中才能觀察到的問(wèn)題。用于概率計(jì)算的數(shù)據(jù)即觀察到的事件數(shù)量、航班數(shù)量或飛行暴露時(shí)間。假設(shè)小概率事件發(fā)生的可能性可以近似通過(guò)劃分事件的數(shù)量、飛行小時(shí)數(shù)得到，則概率等于觀察到的事件率。因此，概率計(jì)算簡(jiǎn)單地基于觀察到事件的數(shù)量、飛行小時(shí)數(shù)以及飛行暴露。例如，如果在450 000個(gè)飛行小時(shí)內(nèi)觀察到9起燃油泄漏事件，則事件的平均每飛行小時(shí)概率為9/450 000=2E-5。注意這個(gè)簡(jiǎn)單的計(jì)算提供了一個(gè)單點(diǎn)概率，此值用于平均每飛行小時(shí)的概率，而不考慮產(chǎn)品壽命。因此，假設(shè)失效的概率仍然保持不變，如產(chǎn)品壽命。

當(dāng)概率計(jì)算必須基于觀察到的少量事件時(shí)，結(jié)果就會(huì)受到顯著的統(tǒng)計(jì)不確定性影響。因此，在風(fēng)險(xiǎn)分析假設(shè)中，通過(guò)采用比分析更有效的風(fēng)險(xiǎn)降低計(jì)劃或通過(guò)增加分析結(jié)果的置信范圍以提高結(jié)果的保守性。以下公式適用于獨(dú)立于產(chǎn)品壽命的事件概率，統(tǒng)計(jì)假設(shè)觀察到的事件服從于泊松分布

根據(jù)前例，在450 000飛行小時(shí)內(nèi)觀察到的9起燃油泄漏事件在90%的置信度下可通過(guò)以下參數(shù)值計(jì)算：T=450 000 h，α=1-0.9=0.1，r=9。根據(jù)χ2分布表，得

帶入式（13）可得

3.157E-5為保守概率的上限，此上限提供了一個(gè)調(diào)整后的不確定性統(tǒng)計(jì)的概率值近似。調(diào)整量為樣本量（如9起事件）及選定的置信水平（如90%）的函數(shù)。對(duì)于在450 000飛行小時(shí)中發(fā)生的9起燃油泄漏事件，落入90%置信范圍的概率與通過(guò)觀察得到的“置信因素”的概率之比為1.578。

對(duì)于單點(diǎn)失效（λ=P/T）而言，由于P是平均每飛行小時(shí)的概率（T=1 h），因此事件的MTBF接近于

MTBF90%的置信區(qū)間為

31 496

換言之，有95%的可能使MTBF的值超過(guò)31496h。

假設(shè)燃油泄漏事件是一個(gè)單點(diǎn)失效，MTBF的安全需求為μ，如果μ≤31 496，則至少有95%的概率可以保證MTBF的值大于安全目標(biāo)，這也就意味著單點(diǎn)失效可以滿足安全需求。換言之，當(dāng)單點(diǎn)失效的概率很小時(shí)，由供應(yīng)商提供的可用于可靠性統(tǒng)計(jì)的樣本數(shù)據(jù)很小，MTBF僅可以從很少量的樣本觀察事件中獲得，因此式（14）為小樣本數(shù)據(jù)的函數(shù)

3　實(shí)驗(yàn)

3.1大樣本公式的應(yīng)用

表1中可靠性數(shù)據(jù)來(lái)源于中國(guó)某航空公司的可靠性數(shù)據(jù)中心。

表1　部件XX-1的可靠性數(shù)據(jù)Tab.1　Reliability data of component XX-1

表1中樣本量為65，第5列為每個(gè)部件的失效時(shí)間（min），除以60可換算為小時(shí)。

利用式（1）計(jì)算置信水平為90%的置信區(qū)間：

樣本均值為

樣本標(biāo)準(zhǔn)差為

其中：樣本量n=65；置信水平α=1-0.9=0.1；常用的MTBF=4745 h。

如果計(jì)算單點(diǎn)失效概率，應(yīng)采用式（12）計(jì)算

3.2小樣本公式的應(yīng)用（近似小概率事件）

表2中的可靠性數(shù)據(jù)來(lái)源于中國(guó)某航空公司的可靠性數(shù)據(jù)中心。

表2　部件XX-2的可靠性數(shù)據(jù)Tab.2　Reliability data of component XX-2

表2中的樣本量為5，第5列為每個(gè)部件的失效時(shí)間。

利用2.3中提到的方法計(jì)算在90%的置信水平下部件的置信區(qū)間。利用等式

得出90%置信水平的下限為

通過(guò)近似計(jì)算，部件MTBF90%的置信區(qū)間為

假設(shè)部件失效為單點(diǎn)失效，利用式（14），常用的MTBF=2.5E+7 h。

計(jì)算單點(diǎn)失效概率，則應(yīng)采用以下數(shù)值

4　結(jié)語(yǔ)

如果計(jì)算關(guān)鍵單點(diǎn)失效的概率，在不考慮附加條件的情況下，不能使用平均可靠性數(shù)據(jù)MTBF。由于導(dǎo)致單點(diǎn)失效的時(shí)間間隔應(yīng)大于導(dǎo)致多重失效的平均時(shí)間間隔，因此MTBF不適用于單點(diǎn)失效。

本文提出了評(píng)價(jià)單點(diǎn)失效概率的方法，分別給出了基于大樣本數(shù)據(jù)以及小樣本數(shù)據(jù)的兩個(gè)概率計(jì)算公式?；陲L(fēng)險(xiǎn)管理原則，這兩個(gè)公式都具有95%的置信水平。最后，分析了兩個(gè)真實(shí)的案例以驗(yàn)證所提方法的有效性。

[1]HEWITT J,PHAM J.Quantitative Risk Assessment Enhances Customer TrustinAviation[C]//ReliabilityandMaintainabilitySymposium(RAMS), 2014 Annual.IEEE,2014：1-6.

[2]ZHU Y,ZHANG J,GONG Q,et al.Reliability and Safety Assessment with AltaRica for Complex Aircraft Systems[C]//Reliability,Maintainability and Safety(ICRMS）,2011 9th International Conference on.IEEE, 2011：588-593.

[3]YANG J,HUANG H Z,HE L P,et al.Risk evaluation in failure mode and effects analysis of aircraft turbine rotor blades using Dempster-Shafer evidence theory under uncertainty[J].Engineering Failure Analysis,2011,18(8):2084-2092.

[4]LIU C B.Aircraft Fuel Tank System Fire Disaster Analysis based on FMEA and FTA[C]//QR2MSE 2013,IEEE Computer Society,IEEE, 2013.

[5]MYERS ALBERT,RAUZY ANTOINE.Efficient reliability assessment of redundant systems subject to imperfect fault coverage using binary decision diagrams[J].IEEE Transactions on Reliability,2008,57(2): 336-348.

[6]?KERLUND O,BIEBER P,B?EDE E,et al.ISAAC,a Framework for Integrated Safety Analysis of Functional[C]//Geometrical and Human Aspects,in 3rd European Congress on Embedded Real Time Systems (ERTS).Toulouse,France,2006.

[7]LISAGOR O.A Pragmatic Approach[D].York:The University of York, 2010.

[8]ZHAO C X,CHEN Y,WANG H L,et al.Reliability analysis of aircraft condition monitoring network using an enhanced BDD algorithm[J].Chinese Journal of Aeronautics,2012,25(6):925-930.

[9]FAA.Arsenal Version of AC1309(draft）,System Design and Analysis [S].America：Federal Aviation Administration,2002.

[10]YUN W Y,PARK GOEUN,HAN Y J.An optimal reliability and maintainability design of a searching system[J].CommunicationsinStatistics:Simulation and Computation,2014,43(8):1959-1978.

[11]ZANIN M.Network analysis reveals patterns behind air safety events[J]. Physica A:Statistical Mechanics and its Applications,2014,401:201-206.

[12]SAE.APR4761,Guidelines and Methods for Conducting the Safety Assessment Process on Civil Airborne Systems and Equipments[S].America:The Engineering Society For Advancing Mobility Land Sea Air and Space,1996.

（責(zé)任編輯：楊媛媛）

Single failure MTBF analysis on aircraft safety assessment

YANG Kea,ZHAO Changxiaob
（a.Engineering Techniques Training Center;b.Airworthiness Certification Technology Research&Management Center,CAUC,Tianjin 300300,China）

Safety is the lifeline of civil aviation industry.The regulations proposed by airworthiness authorities require that the occurrence of any single failure which would prevent continuous safe flight and landing of airplanes is extremely improbable.While the ambiguous description makes it difficult to calculate the occurrence of single failure in practice.The traditional parameter,mean time between failure(MTBF),is not suitable for single failure analysis due to the possibility that critical safety components may fail before MTBF.A method is proposed to evaluate the probability of single failure.The evaluating formula for the occurrence probability of single failure basing on sample size is given.Practical cases are used to verify the effectiveness of this method.

single failure;MTBF;probability;safety assessment

V240.2

A

1674-5590（2016）04-0011-05

2016-01-13；

2016-04-05基金項(xiàng)目：國(guó)家自然科學(xué)基金項(xiàng)目（U1533105）

楊可（1985-），女，湖北宜城人，助教，碩士，研究方向?yàn)槊裼煤娇掌骶S修、系統(tǒng)安全性分析.