王小輝, 朱麗, 車程, 梁力, 馬慶林

(1.中國(guó)航空工業(yè)集團(tuán)公司 西安飛機(jī)設(shè)計(jì)研究所, 陜西 西安 710089;2.中國(guó)飛行試驗(yàn)研究院, 陜西 西安 710089)

近年來(lái)，隨著國(guó)內(nèi)軍民用飛機(jī)系統(tǒng)的設(shè)計(jì)需求信息量越來(lái)越多，復(fù)雜度也相應(yīng)提升，電氣線路日益復(fù)雜、精密，各類線路故障高發(fā)，輕則影響任務(wù)執(zhí)行，重則危及飛行安全。類似的線路問(wèn)題在國(guó)際航空業(yè)同樣非常突出，歷史上曾出現(xiàn)過(guò)多起由于線路問(wèn)題引起的機(jī)毀人亡重大安全事故。為了解決此類問(wèn)題，2007年美國(guó)聯(lián)邦航空安全局對(duì)FAR-25《運(yùn)輸類飛機(jī)適航標(biāo)準(zhǔn)》進(jìn)行了修正，增加H分部“電氣線路互聯(lián)系統(tǒng)”(electrical wiring interconnection system,EWIS)，將線路系統(tǒng)作為一個(gè)獨(dú)立系統(tǒng)進(jìn)行研究和規(guī)范[1]。我國(guó)于2010年、2011年分別轉(zhuǎn)換了相關(guān)條款，提出了新的設(shè)計(jì)要求。

電氣線路互聯(lián)系統(tǒng)安全性評(píng)估作為一個(gè)新生事物，國(guó)外圍繞EWIS風(fēng)險(xiǎn)分析與評(píng)估建立了繁多的符合性設(shè)計(jì)與分析方法模型，如Bigun[2]提出的飛行事故概率模型和隨機(jī)過(guò)程模型，Leveson[3]提出的系統(tǒng)理論過(guò)程模型(STAP)，Enrico等[4]為解決復(fù)雜系統(tǒng)評(píng)估問(wèn)題提出的蒙特卡羅模擬方法，美國(guó)空軍電子系統(tǒng)中心(ESC)也提出了風(fēng)險(xiǎn)矩陣分析方法。目前，在國(guó)內(nèi)各型號(hào)的研制工作中已經(jīng)全面引入了安全性設(shè)計(jì)理念，中國(guó)商飛上海飛機(jī)設(shè)計(jì)研究院、南京航空航天大學(xué)以及中國(guó)民航大學(xué)等[5-7]單位針對(duì)EWIS已開(kāi)展了適航條款的解讀以及評(píng)估模型的探索。但在具體復(fù)雜的軍民用飛機(jī)型號(hào)上，如何開(kāi)展EWIS符合性設(shè)計(jì)與評(píng)估工作等方面的研究就相對(duì)稀少。因此，在當(dāng)前條件下，如何在型號(hào)研制中開(kāi)展EWIS安全性分析與評(píng)估，以切實(shí)解決當(dāng)前軍機(jī)、包括C919和MA700在內(nèi)的新研制民用飛機(jī)存在的突出線路問(wèn)題，就成為了一個(gè)十分急迫的課題，也因此成為相關(guān)的科研工作者急需深入開(kāi)展研究的重要內(nèi)容。

反推裝置裝配在大涵道比渦扇發(fā)動(dòng)機(jī)上，是飛機(jī)著陸后使用的重要組件，若其發(fā)生故障，如在空中異常打開(kāi)，會(huì)帶來(lái)災(zāi)難性事故。1991年，勞達(dá)航空004號(hào)航班空難就是一個(gè)典型案例，事故造成223人遇難。通過(guò)調(diào)查，發(fā)現(xiàn)反推力控制系統(tǒng)中電路短路是造成本次事故的主要原因。因此，反推裝置EWIS的安全性設(shè)計(jì)與分析尤為重要。本文從EWIS功能失效影響和物理失效影響兩方面開(kāi)展安全性分析與評(píng)估，以反推力控制系統(tǒng)中的EWIS為案例，提出其在設(shè)計(jì)以及安裝等方面的系統(tǒng)級(jí)和飛機(jī)級(jí)需求。并對(duì)這些需求進(jìn)行安全性設(shè)計(jì)及符合性驗(yàn)證，以消除或減緩EWIS安全危害影響，為飛機(jī)EWIS安全性設(shè)計(jì)及適航取證提供依據(jù)。

1 CCAR25.1709規(guī)章解讀

CCAR-25-R4版第25.1709條的題目是“系統(tǒng)安全：EWIS”，內(nèi)容為“每個(gè)EWIS的設(shè)計(jì)和安裝必須使得：災(zāi)難性失效狀態(tài)是極不可能的，和不會(huì)因單個(gè)失效而引起。每個(gè)危險(xiǎn)失效狀況是極小的[8]?！?/p>

EWIS主要作用是傳輸電能、數(shù)據(jù)和信號(hào)以支持飛機(jī)其他系統(tǒng)實(shí)現(xiàn)相應(yīng)的功能。第25.1709條的提出是對(duì)EWIS在安全性要求方面的補(bǔ)充。當(dāng)按照第25.1309條開(kāi)展系統(tǒng)功能分析與評(píng)估時(shí)，往往因一些非重要系統(tǒng)功能而簡(jiǎn)化安全性設(shè)計(jì)需求，這就會(huì)不可避免地造成EWIS系統(tǒng)安全性設(shè)計(jì)需求的缺失。但事實(shí)表明，只要系統(tǒng)涉及到EWIS，就存在EWIS失效的風(fēng)險(xiǎn)，有可能造成嚴(yán)重的物理和功能損壞，影響飛機(jī)的安全飛行。如對(duì)于任何用電系統(tǒng)或負(fù)載，當(dāng)存在有功率負(fù)載線時(shí)，都有可能會(huì)產(chǎn)生電弧或電磁干擾而引起整個(gè)線束或相鄰線束的功能失效和物理失效，甚至引發(fā)危險(xiǎn)性或?yàn)?zāi)難性的事件[9]。

因此可以認(rèn)為第25.1709條是在第25.1309條的基礎(chǔ)上，重點(diǎn)考慮EWIS的物理失效和功能失效影響，對(duì)EWIS進(jìn)行結(jié)構(gòu)化的安全性分析與評(píng)估，以驗(yàn)證其在設(shè)計(jì)和安裝等方面需求的符合性。

2 EWIS安全性分析方法和流程

第25.1709條提出的目的是通過(guò)使用第25.1309條失效-安全的設(shè)計(jì)理念，對(duì)EWIS進(jìn)行全面和系統(tǒng)的安全性分析。因此，為了滿足第25.1709條的要求，需要對(duì)每個(gè)EWIS的設(shè)計(jì)和安裝提出安全性需求，并且應(yīng)從定性分析和定量分析兩方面開(kāi)展評(píng)估。在進(jìn)行定性分析時(shí)，需要使用功能危險(xiǎn)分析、初步系統(tǒng)安全性評(píng)估、共因分析以及系統(tǒng)安全性評(píng)估中的安全性指標(biāo)[10-11]，對(duì)EWIS安裝標(biāo)準(zhǔn)和部件特性等需求進(jìn)行確定和定義。結(jié)合系統(tǒng)EWIS部件的失效模式，將第25.1709條識(shí)別的EWIS失效模式嵌入到飛機(jī)級(jí)和系統(tǒng)級(jí)功能危險(xiǎn)分析。通過(guò)系統(tǒng)共因分析(共模分析、區(qū)域安全性分析和特定風(fēng)險(xiǎn)分析等)，應(yīng)能夠表明EWIS部件在系統(tǒng)內(nèi)外部風(fēng)險(xiǎn)場(chǎng)景中，不存在特別是單點(diǎn)故障等因素導(dǎo)致災(zāi)難性事件發(fā)生的可能。同時(shí)，也需要表明導(dǎo)致危險(xiǎn)的失效狀態(tài)發(fā)生風(fēng)險(xiǎn)也處于可接受的范圍內(nèi)。在定量分析方面，可以通過(guò)對(duì)EWIS進(jìn)行系統(tǒng)故障模式及影響分析(FMECA)，確定其故障模式的影響以及發(fā)生概率。

為表明對(duì)第25.1709條要求的符合性，安全性評(píng)估必須考慮EWIS功能失效和物理失效對(duì)飛機(jī)的安全性影響。功能失效分析假定EWIS中相關(guān)部件負(fù)載有電能、數(shù)據(jù)和信號(hào)，因此其失效可能會(huì)引起系統(tǒng)功能降級(jí)甚至喪失或異常的影響。物理失效分析假定EWIS中相關(guān)部件負(fù)載有電能，視其為危險(xiǎn)源(如高溫、電弧等)，其失效后以局部火災(zāi)、煙霧等模式對(duì)周邊其他線纜、系統(tǒng)、結(jié)構(gòu)、人員等產(chǎn)生的影響。通過(guò)功能失效分析和物理失效分析，其結(jié)果都不應(yīng)有災(zāi)難性事件發(fā)生的可能和不可接受的危險(xiǎn)性影響。

圖1 EWIS安全性分析流程

本文提出的分析流程如圖1所示，包含功能失效和物理失效兩部分。在進(jìn)行功能失效分析時(shí)，需要按照第25.1309條的要求，開(kāi)展功能危險(xiǎn)性評(píng)估，梳理出災(zāi)難的(Ⅰ類)和危險(xiǎn)的(Ⅱ類)失效狀態(tài)。同時(shí)，明確這些失效狀態(tài)對(duì)應(yīng)的線路組成，以識(shí)別出所需要分析的EWIS，進(jìn)而獲取其在設(shè)計(jì)與安裝等方面的系統(tǒng)級(jí)和飛機(jī)級(jí)需求，如定性、定量的安全性要求。這里需要說(shuō)明，對(duì)于線路的定量需求需要開(kāi)展系統(tǒng)安全性評(píng)估進(jìn)行失效概率的分配以及符合性驗(yàn)證工作，對(duì)于線路的定性需求需要開(kāi)展符合性驗(yàn)證工作。在進(jìn)行EWIS符合性說(shuō)明時(shí)，可根據(jù)EWIS的設(shè)計(jì)規(guī)范，明確分類并給出EWIS內(nèi)部及與其他設(shè)備之間的分離要求，結(jié)合電子樣機(jī)和物理樣機(jī)共因分析等工作，完成定性安全性要求說(shuō)明，以表明其符合性。在進(jìn)行物理失效分析時(shí)，對(duì)全機(jī)所有的特別是可能對(duì)周邊系統(tǒng)、結(jié)構(gòu)或人員產(chǎn)生危害的EWIS，需要考慮包括電氣故障、物理?yè)p壞和特殊風(fēng)險(xiǎn)等失效影響，以防止災(zāi)難的和危險(xiǎn)的事件發(fā)生。

通過(guò)以上分析應(yīng)該能夠表明在考慮了全部EWIS系統(tǒng)部件后，可有效避免災(zāi)難的和危險(xiǎn)的事件發(fā)生。同時(shí)，系統(tǒng)中不存在可能導(dǎo)致災(zāi)難失效狀態(tài)發(fā)生的單點(diǎn)故障，并且可能導(dǎo)致危險(xiǎn)失效狀態(tài)發(fā)生的單點(diǎn)故障可控。對(duì)于不符合要求的，應(yīng)該能夠提出并驗(yàn)證緩解策略，并評(píng)估驗(yàn)證緩解措施不會(huì)引發(fā)新的失效狀態(tài)。最后給出EWIS安全性評(píng)估結(jié)果。

3 案例分析

3.1 系統(tǒng)原理

反推裝置是大型飛機(jī)重要的組成部分，是飛機(jī)降落時(shí)的一種減速裝置。反推控制系統(tǒng)驅(qū)動(dòng)反推裝置的打開(kāi)與關(guān)閉，改變發(fā)動(dòng)機(jī)排氣方向，如圖2所示，以幫助飛機(jī)在著陸后或中斷起飛時(shí)產(chǎn)生反推力，降低飛機(jī)的速度，縮短滑跑距離，保證飛機(jī)在降落、緊急終止起飛時(shí)(尤其雨雪天氣)的安全[12]。

圖2 反推裝置原理

反推力控制系統(tǒng)根據(jù)飛機(jī)電傳油門臺(tái)的“展開(kāi)”和“收起”指令控制反推力裝置的展開(kāi)和收起。反推系統(tǒng)的組成如圖3所示，其中換向器由2個(gè)獨(dú)立的控制單元控制，一個(gè)是液壓隔離閥(HIV)，通過(guò)地面/空中邏輯開(kāi)關(guān)控制，防止空中打開(kāi)；另一個(gè)是方向控制閥(DCV)，是實(shí)現(xiàn)作動(dòng)筒的“展開(kāi)”和“收起”，通常通過(guò)恒定的彈簧壓力處于收起位置。當(dāng)這2個(gè)控制單元都被激活時(shí)，換向器才能通電至展開(kāi)位置。

圖3 電路控制原理圖

本文將從EWIS功能失效影響和物理失效影響兩方面，采用本文提出的分析方法，按照?qǐng)D1所給出的流程，對(duì)反推力控制系統(tǒng)開(kāi)展安全性分析與評(píng)估。在分析過(guò)程中，結(jié)合功能危險(xiǎn)分析，分別以典型災(zāi)難和危險(xiǎn)的失效狀態(tài)為案例，說(shuō)明EWIS符合性過(guò)程，最后給出安全性建議和結(jié)論。

3.2 EWIS功能失效分析過(guò)程

3.2.1 功能危險(xiǎn)分析

EWIS功能危險(xiǎn)分析使用現(xiàn)有的系統(tǒng)安全分析技術(shù)，考慮到所有可能的EWIS失效情形，分析確定這些EWIS失效是否可能導(dǎo)致危險(xiǎn)的或?yàn)?zāi)難性的事件發(fā)生。第25.1701條(a)中定義的任何組件都可能會(huì)導(dǎo)致EWIS故障。在執(zhí)行EWIS功能分析時(shí)，必須要了解給定EWIS組件的故障模式和限制。對(duì)于反推裝置，本文將分析表1中所列的危險(xiǎn)描述場(chǎng)景，以確定EWIS故障對(duì)飛機(jī)安全水平的影響。

表1 EWIS功能危險(xiǎn)分析

本文重點(diǎn)關(guān)注控制反推器驅(qū)動(dòng)的主要部件HIV和DCV。表2為HIV和DCV故障情況的FMEA。如FHA和FMEA中所述，空中非指令打開(kāi)反推力危險(xiǎn)等級(jí)是災(zāi)難性的，因此要求這種情況發(fā)生的概率為極不可能，必須提供緩解措施，并且EWIS設(shè)計(jì)不應(yīng)有單點(diǎn)故障的存在。

表2 反推力裝置FMEA

反推系統(tǒng)中的每個(gè)發(fā)動(dòng)機(jī)的反推裝置都是完全獨(dú)立的，包括T/R開(kāi)關(guān)、接線和部件。發(fā)動(dòng)機(jī)反推裝置的故障可能是由EWIS故障或機(jī)械故障引起的。其中機(jī)械故障的原因可能是HIV、DCV、液壓油管故障。雖然機(jī)械部件的故障率高于EWIS，但通過(guò)強(qiáng)制檢查反推力裝置，如每36個(gè)月就必須對(duì)與反推力裝置相關(guān)的機(jī)械部件進(jìn)行一次維修和更換，可以減少機(jī)械故障頻率。因此一般認(rèn)為通過(guò)加入維護(hù)間隔，可以將機(jī)械故障的可能性降至最低[13]。當(dāng)引入維護(hù)措施后機(jī)械故障的概率為10-8量級(jí)，而電線斷路的概率為10-7量級(jí)。因此，在本例中，導(dǎo)線故障成為導(dǎo)致發(fā)動(dòng)機(jī)反推喪失的主要故障，如圖4所示。

圖4 反推喪失故障樹(shù)

對(duì)于“在空中非指令打開(kāi)反推”，根據(jù)圖3，非指令是由HIV的“打開(kāi)”命令和DCV的“展開(kāi)”命令共同啟動(dòng)。當(dāng)只有一個(gè)閥運(yùn)行的情況不會(huì)導(dǎo)致反推力裝置移動(dòng)。

3.2.2 識(shí)別導(dǎo)致失效的EWIS

在對(duì)系統(tǒng)功能進(jìn)行評(píng)估分析之后，需要確定EWIS是否為故障發(fā)生的條件。分析表明，HIV或DCV的28 V控制電路(T/R開(kāi)關(guān)和發(fā)動(dòng)機(jī)上的反推模塊之間)EWIS故障(如開(kāi)路)將導(dǎo)致反推力裝置無(wú)法啟動(dòng)，可能導(dǎo)致發(fā)動(dòng)機(jī)反推喪失。圖5描述了要分析的EWIS(粗線所示)。

圖5 識(shí)別要分析的EWIS

對(duì)于“在空中非指令打開(kāi)反推力”，必須同時(shí)激活HIV和DCV。正常情形只有當(dāng)飛機(jī)在地面上并且有飛行員輸入“展開(kāi)”T/R時(shí)，這些閥門才會(huì)被同時(shí)激活,反推工作。當(dāng)T/R開(kāi)關(guān)和空中/地面繼電器下游的EWIS故障(如電磁干擾等)，可能會(huì)導(dǎo)致HIV和DCV的同時(shí)激活，從而導(dǎo)致反推力裝置的在空中非指令地展開(kāi)。根據(jù)第25.1709條的要求，導(dǎo)致災(zāi)難性飛機(jī)影響的EWIS故障不得由單一故障引起，必須證明發(fā)生概率小于或等于極不可能。

3.2.3 制定緩解策略

分析系統(tǒng)的EWIS故障時(shí)，應(yīng)包括第25.1701條(a)(1)～(14)中定義的組件?？赡馨ǖ幌抻谝韵翬WIS組件：電線、電纜、插頭、電連接器等。反推系統(tǒng)的EWIS部件包括與反推力系統(tǒng)相關(guān)的導(dǎo)線、連接器和觸點(diǎn)。根據(jù)分析，需要減少對(duì)EWIS造成損壞的可能性，以降低EWIS導(dǎo)致反推系統(tǒng)故障的總概率。

“喪失全部反推力”這種情況是由通向HIV或DCV導(dǎo)線的斷路造成的。因此，與這些部件相關(guān)EWIS需要增加如防止線纜磨損的要求，如圖6所示。此外，為了解決2臺(tái)發(fā)動(dòng)機(jī)電路中常見(jiàn)的共因故障，需提出EWIS系統(tǒng)獨(dú)立性的要求，并要求發(fā)動(dòng)機(jī)的T/R開(kāi)關(guān)在空間也要獨(dú)立。

圖6 確定緩解措施

在“在空中非指令打開(kāi)反推力”情況下，如果反推力裝置可能因HIV和DCV部件接線中的常見(jiàn)故障而意外展開(kāi)，則必須引入EWIS緩解措施，以解決潛在的災(zāi)難性故障影響。此外，對(duì)增加的緩解措施需要進(jìn)行評(píng)估，以排除是否存在單點(diǎn)失效、是否引入其他的故障模式以及與安裝環(huán)境兼容性等。

對(duì)于“在空中非指令打開(kāi)反推力”還需要增加獨(dú)立性要求。由于EWIS的一個(gè)常見(jiàn)電氣故障與HIV和DCV有關(guān)，可能導(dǎo)致推力反向器在無(wú)人操縱時(shí)展開(kāi)，因此可以對(duì)EWIS提出HIV和DCV電路的空間隔離的要求。此外，還必須保證這2個(gè)電路都與28 V(DC)或115 V(AC)電源在空間相隔離。

3.2.4 驗(yàn)證緩解策略

“喪失全部反推力”已經(jīng)分離并添加了一個(gè)物理屏障，以增加導(dǎo)線的魯棒性，從而最大限度地降低對(duì)反推器控制線路的損壞可能性。將此緩解措施在故障樹(shù)中進(jìn)行分析，可降低斷路的可能性，也保證了發(fā)動(dòng)機(jī)間反推系統(tǒng)的獨(dú)立性。增加的緩解措施不會(huì)引入任何額外的故障模式，并且與系統(tǒng)和操作環(huán)境兼容。

“在空中非指令打開(kāi)反推力”在空間上分離了與HIV和DCV電路相關(guān)的EWIS。此外，還需將與HIV和DCV電路相關(guān)的EWIS同所有28 V(DC)和115 V(AC)電源線路相隔離。通過(guò)分析，增加的緩解措施不會(huì)引入任何額外的故障模式，并且與系統(tǒng)兼容。因此，這些緩解措施的引入解決了潛在的不符合條件，而不引入任何額外的故障模式，詳見(jiàn)表3。

表3 反推力裝置FMEA及緩解措施

3.3 EWIS物理失效分析過(guò)程

物理失效分析中只考慮單一共因事件或者失效，不需要考慮多重共因事件或者失效。在考慮物理影響時(shí)，假設(shè)導(dǎo)線負(fù)載有電能，且此電能可直接或在與其他因素(如燃油、氧氣、液壓油或者乘客破壞等)結(jié)合時(shí)導(dǎo)致危險(xiǎn)的或?yàn)?zāi)難性的影響，這些失效可引起火警、煙霧、毒氣釋放等，損壞安裝于同一地區(qū)內(nèi)的系統(tǒng)和結(jié)構(gòu)或者對(duì)人員造成傷害。

3.3.1 識(shí)別EWIS風(fēng)險(xiǎn)

反推系統(tǒng)中的EWIS位于機(jī)身的4個(gè)縱向線槽中，如圖7所示，其中2個(gè)分別位于下貨艙左右兩側(cè)，2個(gè)位于機(jī)艙頂左右兩側(cè)[14]。

圖7 EWIS的安裝

以左側(cè)電纜管道中的接線和連接器為例，通過(guò)以下5個(gè)步驟對(duì)分析區(qū)域進(jìn)行分類與危害識(shí)別。對(duì)于每個(gè)步驟，圖7中EWIS指示此特定分析案例的適用條件。

1) 確定要分析的飛機(jī)體積和環(huán)境，如應(yīng)力、濕度、溫度、振動(dòng)、污染物(灰塵、污垢、除冰液、液壓液)等。

2) 確定要分析的EWIS和局限性，如電線耐電弧≤115 V(AC)、連接器(插入電介質(zhì)限制)和觸點(diǎn)間距等。

3) 確定要分析的系統(tǒng)元素(EWIS或其他傳輸元素)，如電力、飛行控制等。

4) 基于EWIS系統(tǒng)和操作環(huán)境，定義分析中使用的EWIS危害，如EWIS故障(電弧或過(guò)載)、非EWIS系統(tǒng)故障(液壓或漏水)、外部威脅或特殊風(fēng)險(xiǎn)等。

5) 基于危害的邊界分析區(qū)域，如特定風(fēng)險(xiǎn)是指暴露在潛在威脅范圍內(nèi)。持續(xù)安全飛行和著陸所需的功能必須位于單獨(dú)的電線管道中。對(duì)于不在危害區(qū)域的EWIS，使用EWIS組件和限制來(lái)定義EWIS威脅，即電弧、過(guò)載、電磁威脅等。

3.3.2 EWIS物理失效分析

結(jié)合功能危險(xiǎn)分析，與DCV和HIV相關(guān)的EWIS必須在空間上相互獨(dú)立，并且與其他28 V(DC)或115 V(AC)電源相分離，以減少或避免HIV或DCV因電氣故障而通電的可能性。根據(jù)標(biāo)準(zhǔn)在設(shè)計(jì)時(shí)DCV和HIV EWIS每組之間的間距至少為15 mm[15]。當(dāng)線束中的電氣故障確定時(shí)，任何給定線束分組中的電氣故障將與該故障相隔離，并且不影響相鄰的接線。因此28 V(DC)和115 V(AC)電源保證在空間上分離，大功率的布線均位于所有小功率布線外側(cè)50 mm處，如圖8所示，以最大限度地減少故障造成的損壞和電磁干擾的影響。

圖8 電線電纜布置要求

“喪失全部反推力”的EWIS失效分析將集中在電纜的布置上。結(jié)合功能分析，與DCV和HIV相關(guān)的EWIS必須在空間上相互獨(dú)立，并且必須與其他28 V(DC)或115 V(AC)電源相分離，以減少或避免HIV或DCV因電氣故障而通電的可能性。根據(jù)標(biāo)準(zhǔn)，在設(shè)計(jì)時(shí)DCV和HIV EWIS每組之間15 mm。根據(jù)EWIS特性，當(dāng)線束中的電氣故障確定時(shí)，任何給定線束分組中的電氣故障將與該組故障相隔離，不會(huì)影響到相鄰的接線。所有28 V(DC)和115 V(AC)電源保證在空間上分離，所有大功率的布線均位于所有小功率布線外側(cè)50 mm處，以最大限度地減少故障造成的損壞和電磁干擾的影響。

除了相鄰EWIS故障的危害之外，作為物理分析的一部分，還對(duì)所有系統(tǒng)傳輸元件和結(jié)構(gòu)的分離進(jìn)行了驗(yàn)證。針對(duì)該活動(dòng)，應(yīng)進(jìn)行區(qū)域安全分析[16]?？紤]到反推系統(tǒng)是地面飛機(jī)剎車系統(tǒng)之一，物理分析還需要考慮與其他系統(tǒng)EWIS的集成關(guān)系。

特別地，在檢查EWIS物理安裝時(shí)，反推裝置所有冗余的接線和連接器應(yīng)在空間上相互隔離，任何單個(gè)EWIS故障都不會(huì)導(dǎo)致管束故障，所有與單個(gè)線束分組共用的布線均為冗余。因此，單個(gè)線束的失效不會(huì)導(dǎo)致大于“較大的”失效狀態(tài)的發(fā)生?？紤]到線束的失效概率為1×10-7量級(jí)，2個(gè)線束的失效概率遠(yuǎn)遠(yuǎn)小于極不可能的概率。對(duì)于鳥(niǎo)撞、轉(zhuǎn)子爆破等特殊風(fēng)險(xiǎn)[17-20]，任何單個(gè)事件都不會(huì)導(dǎo)致超過(guò)2條線槽的損失。這些系統(tǒng)之間的關(guān)系要通過(guò)飛機(jī)級(jí)的FHA傳遞，轉(zhuǎn)子爆破如圖9所示。

圖9 轉(zhuǎn)子爆破的影響

3.3.3 制定緩解策略

根據(jù)飛機(jī)級(jí)FHA和系統(tǒng)SSA，冗余系統(tǒng)EWIS應(yīng)符合第25.1309節(jié)和第25.1709節(jié)的要求。為了確保線束中的電氣故障相互隔離，可以在空間進(jìn)行相互分離，這樣也保證了故障模式不會(huì)傳播到相鄰的線束中。基于此分析，反推系統(tǒng)EWIS不需要額外的緩解措施。

3.3.4 驗(yàn)證緩解策略

根據(jù)分析，冗余的EWIS空間分離足以證明符合第25.1709條的要求。按照第25.1709條不需要額外的緩解措施。

3.4 評(píng)估結(jié)論

通過(guò)對(duì)反推系統(tǒng)EWIS的功能和物理分析，考慮了包括電氣故障、物理?yè)p壞和特殊風(fēng)險(xiǎn)等失效現(xiàn)象，提出了與HIV和DCV相關(guān)的EWIS必須在空間上相互獨(dú)立，并與強(qiáng)電源相互隔離，以確保反推力裝置的非命令部署概率至少是極不可能的。結(jié)果表明, 每個(gè)線束群之間的空間間隔足以防止失效的影響。因此，可以確定EWIS故障不會(huì)導(dǎo)致大于“危險(xiǎn)的”以上事件的發(fā)生，這也表明了EWIS物理設(shè)計(jì)符合第25.1709的要求。

4 結(jié) 論

本文依據(jù)CCAR-25-R4版第25.1309條的安全性評(píng)估要求，對(duì)第25．1709條進(jìn)行了解讀并提出了符合性驗(yàn)證流程和方法。以反推裝置系統(tǒng)設(shè)計(jì)為案例，結(jié)合國(guó)內(nèi)民用飛機(jī)電氣線路互聯(lián)系統(tǒng)工作現(xiàn)狀，探索研究了電氣線路互聯(lián)系統(tǒng)安全性工程應(yīng)用方法。結(jié)果表明：

1) 本文提出的EWIS安全性設(shè)計(jì)與分析方法,能夠有效識(shí)別EWIS存在的安全隱患，為飛機(jī)的電纜及相應(yīng)組件提供了一個(gè)全面和結(jié)構(gòu)化的分析方法，為飛機(jī)安全性設(shè)計(jì)提供了依據(jù)。

2) 通過(guò)對(duì)反推裝置EWIS功能失效和物理失效兩方面分析，得出了電氣線路28 V(DC)和115 V(AC)電源保證在空間上分離，并且所有大功率的布線以最大限度地減少故障造成的損壞和電磁干擾的影響等要求。

3) 為了保證反推裝置能夠正常工作，需要增加對(duì)EWIS進(jìn)行定期維護(hù)、檢查和維修等緩解措施；通過(guò)綜合評(píng)估，所增加緩解措施有效可行，不會(huì)引入額外的安全隱患。