楊曉東，劉照興

(中國直升機(jī)設(shè)計研究所，江西 景德鎮(zhèn) 333001)

?

審定維修要求項目產(chǎn)生流程分析

楊曉東，劉照興

(中國直升機(jī)設(shè)計研究所，江西 景德鎮(zhèn) 333001)

介紹了審定維修要求(CMR)的相關(guān)概念及安全性分析與CMR之間的關(guān)系。從安全性的角度出發(fā)，對CMR項目產(chǎn)生的過程和方法以及風(fēng)險暴露時間的計算方法進(jìn)行了全面的分析，用于指導(dǎo)民機(jī)設(shè)計人員在安全性分析過程中確定可能的CMR項目。

CMR項目；潛在失效；系統(tǒng)安全性分析

0 引言

近年來，以AC311、AC313為代表的具有自主知識產(chǎn)權(quán)的國產(chǎn)民用直升機(jī)相繼走向了市場。為保證直升機(jī)滿足適航規(guī)章CCAR2X.1309條規(guī)定的安全性要求，在民用直升機(jī)研制過程中，開展了全面的安全性分析工作。

在系統(tǒng)安全性分析中，得出了一個與安全性相關(guān)的檢查間隔期，用來約束潛在失效的風(fēng)險暴露時間，以保證事故概率滿足安全性目標(biāo)要求。所以，航空器安全性設(shè)計延伸到了運行的維修要求，這就是“審定維修要求(CMR)”[1]。

工業(yè)界于70年代初開始使用定量方法來證明各系統(tǒng)符合§2X.1309和其它需進(jìn)行安全性分析的條款要求，從那時起，便一直使用CMR項目，對幾種在美國和其它國家取得合格證的飛機(jī)，已制定了CMR項目。但是CMR項目的確定在國內(nèi)型號尤其是直升機(jī)型號上起步較晚，直到近年才開始開展這方面的工作。

1 審定維修要求概述

1.1 CMR介紹

CMR用來探查對安全有重要性的潛在失效(safety-significant latent failure)，該失效與一個或多個其它特定失效或事件結(jié)合起來，會造成危險性或災(zāi)難性失效狀態(tài)。

對于潛在失效，CMR項目的任務(wù)是通過證實該項目沒有失效而“將其失效時鐘重置至零”，或者如果失效則使之修理。[2]

1.2 潛在失效

潛在失效是指本身不會直接影響飛機(jī)系統(tǒng)運行，在系統(tǒng)正常運行時，機(jī)組操作人員也無法發(fā)現(xiàn)其失效，但當(dāng)這些失效在與其它特定失效組合后就會影響到飛機(jī)的飛行安全，甚至導(dǎo)致嚴(yán)重的飛行事故，其影響才會被發(fā)現(xiàn)。這些失效往往無法被飛機(jī)的探測系統(tǒng)或告警系統(tǒng)提前探測或告警。

如某單發(fā)直升機(jī)的燃油系統(tǒng)，旁通閥位于燃油濾側(cè)邊，且旁通閥失效機(jī)組人員是無法察覺的。正常情況下旁通閥閉合，不工作，燃油經(jīng)過燃油濾提供給發(fā)動機(jī)；但是當(dāng)燃油濾堵塞時，燃油堵塞告警燈亮，此時在壓力的作用下旁通閥打開，直接通過旁通閥為發(fā)動機(jī)供油。若此時旁通閥不能打開，則燃油系統(tǒng)喪失供油能力，將導(dǎo)致發(fā)動機(jī)停車。

潛在失效的風(fēng)險暴露時間在系統(tǒng)安全性的定量分析中是一個關(guān)鍵要素，限制潛在失效的風(fēng)險暴露時間對系統(tǒng)總的失效概率有著至關(guān)重要的影響。

與潛在失效對應(yīng)的，那些一發(fā)生就被機(jī)組人員覺察或被告警的，稱為顯性失效，顯性失效的風(fēng)險暴露時間即該設(shè)備在每次飛行中的平均工作時間。

2 安全性分析介紹

無論是CMR候選項目的選定，還是風(fēng)險暴露時間的確定，都是通過安全性分析得出的，因此這里有必要對安全性分析做一下介紹，以方便后續(xù)對CMR項目產(chǎn)生過程的說明。

SAE ARP4761中給出一套為工業(yè)界所認(rèn)可的安全性分析指南，安全性分析由功能危險分析(FHA)、初步系統(tǒng)安全性評估(PSSA)和系統(tǒng)安全性評估(SSA)組成。

SAE ARP4761也提供有關(guān)安全性分析所需安全性分析方法的信息。這些方法包括故障樹分析(FTA)、關(guān)聯(lián)圖(DD)、馬爾科夫分析(MA)、失效模式與影響分析(FMECA)、失效模式與影響概要(FMES)以及共因分析(CCA)(共因分析由區(qū)域安全性分析(ZSA)、特定風(fēng)險分析(PRA)和共模分析(CMA)組成)。

在安全性分析方法中，故障樹分析(FTA)、關(guān)聯(lián)圖(DD)、馬爾科夫分析(MA)是等效的。在AC311及AC313取證中，選用的是故障樹分析(FTA)。

圖1以圖示形式給出安全性評估過程(功能危險性評估、初步系統(tǒng)安全性評估和系統(tǒng)安全性評估)以及各種安全性評估方法如何與該過程相關(guān)。

圖1 安全性評估過程

FHA主要用來確立系統(tǒng)安全性設(shè)計目標(biāo)，通過系統(tǒng)、綜合地檢查產(chǎn)品的各種功能，識別各種功能故障狀態(tài)，并根據(jù)其嚴(yán)重程度對其進(jìn)行分類。根據(jù)失效對飛機(jī)、機(jī)組人員影響程度的不同，劃分為5個不同的等級，每一個等級都對應(yīng)著一個定性或定量安全性設(shè)計目標(biāo)，具體如表1所示。

PSSA過程是對所提出的系統(tǒng)構(gòu)架進(jìn)行系統(tǒng)性檢查，以確定失效如何能導(dǎo)致由FHA所識別的功能危險性，以及如何能滿足FHA要求，其實質(zhì)就是頂層危險狀態(tài)發(fā)生概率的逐級分配的一個過程。PSSA是一種自上而下的方法，將通過FHA確定的安全性目標(biāo)，通過故障樹進(jìn)行逐級分配，用于確定較低層面的安全性要求。

SSA是對系統(tǒng)、系統(tǒng)構(gòu)架以及系統(tǒng)安裝進(jìn)行系統(tǒng)性核查，以表明其符合安全性要求。SSA是一種自下而上的方法，通過故障樹中各基本事件的實際失效率來計算出頂事件的失效率，來驗證其是否滿足FHA確定的安全性設(shè)計目標(biāo)。

表1 安全性危險分類表

注1：危險的失效狀態(tài)還包括此類事件：即可通過機(jī)組實施適當(dāng)?shù)牟僮鞒绦騺砜刂圃撌录娘L(fēng)險，但如果機(jī)組執(zhí)行程序有誤或不及時，則會導(dǎo)致災(zāi)難性事故發(fā)生的事件。

注2：此處所列數(shù)值僅作為參考，不必通過定量分析去驗證。

3 CMR的產(chǎn)生過程

3.1 CMR候選項目(CCMR)的選定

供選擇作為CMR的候選項目通常來自安全性分析(如系統(tǒng)安全性評估(SSA))；而基于適當(dāng)證明合理的工程判斷，在有充分的支持性數(shù)據(jù)和經(jīng)驗基礎(chǔ)的條件下也可以不通過正式的安全性分析直接確定為CMR的候選項目[3]。CCMR的產(chǎn)生流程如圖2所示。

圖2 CMR候選項目確定流程

以FHA中確定的災(zāi)難的和危險的失效事件作為頂事件構(gòu)建故障樹，確定出能夠?qū)е略擁斒录l(fā)生的所有可能的基本事件。然后對照FMECA分析檢查與門中的基本事件是否是屬于潛在失效。如果某基本事件的失效屬于潛在失效，那么可能會發(fā)生該潛在失效的部件被列為CMR候選項目。

3.2 CMR候選項目風(fēng)險暴露時間計算

在確定了CMR候選項目之后，需要確定出CMR候選項目的風(fēng)險暴露事件。

典型的故障樹模型如圖3所示，這里考慮兩種情況：一種情況為事件1與事件2中有1個為潛在失效；另一種情況為事件1與事件2均為潛在失效。

圖3 故障樹模型

假設(shè)P為安全性要求的概率目標(biāo)，如果P為頂事件的失效概率，其目標(biāo)為通過FHA確定的安全性目標(biāo)值，如果P為中間事件的失效概率，則是在PSSA的故障樹分配中根據(jù)頂事件的概率要求，利用布爾運算法則逆向推算確定的頂事件與基本事件之間的中間事件的允許失效概率；λ為該事件每飛行小時的故障率；t為已知的顯性失效的風(fēng)險暴露時間，其取值一般是每個飛行架次的平均飛行時間；T為潛在失效事件的暴露時間，即候選CMR項目工作時間間隔。

對于第一種情況，即只有一個潛在失效，而另一個為顯性失效的情況下，根據(jù)故障樹的邏輯關(guān)系和ARP4761中故障樹的概率運算方法，可以得到下面的公式：

如果λ1、λ2、t已知，再考慮安全性概率目標(biāo)即可根據(jù)公式確定潛在失效事件的暴露時間T。

對于第二種情況，即兩個底事件同為潛在失效，同樣根據(jù)故障樹的邏輯關(guān)系和ARP4761中故障樹的概率運算方法，可以得到下面的公式：

如果λ1、λ2、t已知，再考慮安全性概率目標(biāo)即可根據(jù)公式確定潛在失效事件的暴露時間T1和T2。

3.3 CMR候選項目風(fēng)險暴露時間計算示例

某單發(fā)直升機(jī)燃油系統(tǒng)中，在燃油濾堵塞的情況下如果旁通活門打不開，將不能繼續(xù)向發(fā)動機(jī)提供燃油，會導(dǎo)致發(fā)動機(jī)停車，將導(dǎo)致危險性失效事件的發(fā)生。燃油濾堵塞有燈光告警，但旁通活門缺少告警措施，其失效機(jī)組人員是無法察覺的，屬于潛在失效。

圖4 燃油濾組件失效故障樹

在故障樹中，通過PSSA分配的“燃油濾組件故障”安全性目標(biāo)為8.4×10-9；“燃油濾堵塞”為顯性失效，其統(tǒng)計的失效概率為4.34×10-7；“旁通閥打不開”為潛在失效，其失效概率為6.4×10-6；根據(jù)飛行剖面，每個架次大概飛行2小時左右，因此t取2。將以上數(shù)據(jù)帶入計算公式，可計算出“旁通閥打不開”的風(fēng)險暴露時間T為3022Fh。

3.4 CCMR轉(zhuǎn)化為CMR

由型號合格申請人通過系統(tǒng)安全性分析得出的CCMR項目(包括暴露時間T)，提交審定維修協(xié)調(diào)委員會(CMCC)進(jìn)行評審，CMCC對其是否必須成為CMR項目做出決定。

CMCC對型號合格證申請人起到一個咨詢委員會的作用，其會議結(jié)果(即需包括在型號設(shè)計說明中建議的CMR項目和對維修審查委員會(MRB)維修工作任務(wù)和間隔的建議的更改)會由型號合格證申請人轉(zhuǎn)交給工業(yè)指導(dǎo)委員會(ISC)考慮。ISC接受了的、對MRB維修工作任務(wù)和間隔建議的更改將反映在建議的MRB報告中。對ISC未接受的，將考慮作為CMR項目單列，并納入CMR文件。在ISC考慮之后，型號合格證申請人將CMR文件提交負(fù)責(zé)審查工作的飛機(jī)審查辦公室進(jìn)行最終評審和獲得批準(zhǔn)。[4]

4 結(jié)論

CMR是強(qiáng)制性的周期性工作，為保持飛機(jī)的安全性，在飛機(jī)設(shè)計的合格審定期間確定作為型號合格證的運營限制。當(dāng)然對于民用飛機(jī)來說，在滿足安全性的前提下，任何系統(tǒng)設(shè)計的根本目標(biāo)是使CMR的數(shù)量保持絕對最少，最好是一個也沒有。當(dāng)前我國民用飛機(jī)的安全性分析尚處于發(fā)展階段，與國外還有較大的差距，有必要學(xué)習(xí)國外CMR運用的成熟經(jīng)驗，提升對重大潛在失效管理和控制的水平。

[1] 中國民用航空總局.咨詢通告審定維修要求AC-25.1529-1[Z].1996.

[2] 吳麗娜.候選審定維修要求產(chǎn)生過程研究[J].科學(xué)技術(shù)與工程，2011，11(29)7313-7316.

[3] 賈寶惠，王大蘊(yùn)，謝寶良.CMR項目與MSG-3工作比較研究[J].航空維修與工程，2009(4)：73-75.

[4] 謝寶良，黃銘媛.審定維修要求(CMR)的產(chǎn)生過程及審查初探[J].中國民航大學(xué)學(xué)報，2009，27(2)：18-22.

Research on the Process of CMR

YANG Xiaodong，LIU Zhaoxing

(China Helicopter Research and Development Institute, Jingdezhen 333001, China)

Introduced some concept of Certification Maintenance Requirement(CMR) and the relationship between system safety analysis and CMR.From the standpoint of safety,analysised the process and method that used in CMR and the calculated method of the time of hazard exposured,provided, provided guidance for analyst to establish CCMR in the process of system safety analysis.

CMR; dormant failure; system safety analysis

2014-11-12

楊曉東(1981-)，男，河北保定人，工程師，飛行器設(shè)計與工程專業(yè)，現(xiàn)從事直升機(jī)可靠性安全性設(shè)計和分析工作。

1673-1220(2015)04-054-04

V267

A