趙香娟 劉軼斐

（航空工業(yè)第一飛機(jī)設(shè)計(jì)研究院，陜西 西安 710089）

國外軍民用飛機(jī)系統(tǒng)安全性對比分析

趙香娟 劉軼斐

（航空工業(yè)第一飛機(jī)設(shè)計(jì)研究院，陜西 西安 710089）

以美國《空軍系統(tǒng)安全性手冊》、《FAA系統(tǒng)安全性手冊》為基礎(chǔ)，對國外軍民用飛機(jī)系統(tǒng)安全性進(jìn)行了簡單介紹，并對國外軍民用飛機(jī)系統(tǒng)安全性分析評估的技術(shù)要求、技術(shù)邏輯、方法、過程進(jìn)行了比較，為梳理國內(nèi)系統(tǒng)安全性工作、制定國內(nèi)系統(tǒng)安全性分析評估要求提供參考。

系統(tǒng)安全性；隱患分析；可接受矩陣

系統(tǒng)安全性起源于軍機(jī)的要求，在早期，空軍是系統(tǒng)安全早期發(fā)展的領(lǐng)頭羊，有關(guān)安全性的很多個(gè)第一都是由美國空軍發(fā)起的。20世紀(jì)60年代，民用飛機(jī)系統(tǒng)安全性開始獨(dú)立發(fā)展，并在系統(tǒng)安全性技術(shù)方面逐漸成熟和完善。目前國外民機(jī)的系統(tǒng)安全性工作從僅考慮飛機(jī)零部件級，到以各系統(tǒng)作為頂級分析對象，再發(fā)展到把整個(gè)飛機(jī)作為安全性頂級分析的對象。1997年到現(xiàn)在，飛機(jī)大量采用高度綜合復(fù)雜系統(tǒng)，更加強(qiáng)調(diào)用過程控制的方法保證系統(tǒng)安全性，相繼頒布了SEA ARP 4761《民用飛機(jī)機(jī)載系統(tǒng)和設(shè)備安全性評估過程的指南和方法》、SEA ARP 4754《民用飛機(jī)與系統(tǒng)研制指南》、RTCA DO-178《機(jī)載系統(tǒng)和設(shè)備合格審定中的軟件考慮》、RTCA DO-254《機(jī)載電子硬件設(shè)計(jì)保證指南》，用以指導(dǎo)飛機(jī)系統(tǒng)安全性分析、評估及系統(tǒng)、軟硬件實(shí)施過程的控制。

軍機(jī)的發(fā)展思路與民機(jī)不同，各國政府對軍用飛機(jī)關(guān)注的首要目標(biāo)是其技術(shù)性能。雖然各國政府也很關(guān)注軍用飛機(jī)的安全性，但是相對于民用飛機(jī)安全性取得的成果，軍用飛機(jī)安全性的研究工作成果雖然巨大，但是對具體飛機(jī)安全性改進(jìn)的結(jié)果不如其性能進(jìn)步明顯。目前隨著民用飛機(jī)系統(tǒng)安全性技術(shù)逐步成熟，并在民用飛機(jī)安全性方面取得巨大成果，軍隊(duì)開始利用民用的系統(tǒng)安全性技術(shù)提高其軍用飛機(jī)的安全性，作為軍用飛機(jī)適航性工作的部分內(nèi)容。

1 系統(tǒng)安全性概述

1.1 系統(tǒng)安全性概念

安全性是避免引起人員的傷亡、設(shè)備損壞、財(cái)產(chǎn)損失以及環(huán)境危害的狀態(tài)。系統(tǒng)安全性就是在系統(tǒng)壽命周期所有階段內(nèi)應(yīng)用工程和管理原理、準(zhǔn)則和技術(shù)，在使用效能、時(shí)間和費(fèi)用等約束條件內(nèi)，使系統(tǒng)獲得最佳的安全性。

1.2 系統(tǒng)安全性內(nèi)容

系統(tǒng)安全性包括系統(tǒng)安全性工程和系統(tǒng)安全性管理兩個(gè)部分，前者為識別危險(xiǎn)、消除危險(xiǎn)或減輕風(fēng)險(xiǎn)提供各種工程原理、準(zhǔn)則和技術(shù)；后者提供各種管理程序和方法，以確定系統(tǒng)安全性工作要求，保證各系統(tǒng)安全性工作項(xiàng)目、活動計(jì)劃的實(shí)施與完成跟整個(gè)工程項(xiàng)目要求相協(xié)調(diào)。

1.2.1 系統(tǒng)安全性管理

通過安全性頂層文件的規(guī)定，建立安全性工作的基本原則、分析范圍，并根據(jù)原則和范圍建立與任務(wù)要求相一致的系統(tǒng)安全性風(fēng)險(xiǎn)管理程序，程序的核心內(nèi)容是識別、評估和控制對應(yīng)工作項(xiàng)目的安全性風(fēng)險(xiǎn)。系統(tǒng)安全性管理可通過制定詳細(xì)的系統(tǒng)安全性計(jì)劃實(shí)現(xiàn)；

1.2.2 系統(tǒng)安全性工程

提供系統(tǒng)安全性方法文檔，并使用該方法識別危險(xiǎn)、評估事故風(fēng)險(xiǎn)、采取事故風(fēng)險(xiǎn)減輕措施將事故風(fēng)險(xiǎn)減小到一個(gè)可接受水平，最后對事故風(fēng)險(xiǎn)減輕措施進(jìn)行驗(yàn)證，通過合適的機(jī)構(gòu)對事故風(fēng)險(xiǎn)進(jìn)行審查和接受，對危險(xiǎn)和事故風(fēng)險(xiǎn)進(jìn)行追蹤。

1.3 保證系統(tǒng)安全性工作有效性的要素

系統(tǒng)安全性工作輸出是安全、性能和費(fèi)用三者權(quán)衡的結(jié)果，系統(tǒng)安全性工作是否有效，與管理層的重視程度、可接受標(biāo)準(zhǔn)、評估過程所使用的數(shù)據(jù)等多種因素有關(guān)。保證系統(tǒng)安全性工作有效的要素如下：

● 盡早建立可接受和不可接受標(biāo)準(zhǔn)。一個(gè)均衡的項(xiàng)目會使安全、性能和費(fèi)用達(dá)到最優(yōu)化。系統(tǒng)安全性項(xiàng)目的均衡是系統(tǒng)安全性與費(fèi)用、進(jìn)度和性能之間相互作用的結(jié)果。項(xiàng)目承擔(dān)不起妨礙達(dá)到基本任務(wù)目標(biāo)的事故，項(xiàng)目也承擔(dān)不了由于不合理和不必要的安全要求而無法工作的系統(tǒng)。安全必須放在一個(gè)適當(dāng)?shù)奈恢蒙?。只有?dāng)項(xiàng)目中盡早確立可接受和不可接受的條件，使技術(shù)人員能夠選擇最優(yōu)設(shè)計(jì)和/或運(yùn)作方法時(shí)，才能獲得恰當(dāng)?shù)木?。對高成本的事故預(yù)防而言，確定可接受和不可接受風(fēng)險(xiǎn)與確定成本和性能參數(shù)同樣重要；

● 安全性、環(huán)境保護(hù)、職業(yè)健康以及任務(wù)要求一起被及時(shí)有效設(shè)計(jì)到系統(tǒng)之中。安全性分析和評估進(jìn)行得越早越好。但因安全性要求是對設(shè)計(jì)的約束，在開發(fā)階段的早期，可能出現(xiàn)工作目標(biāo)壓倒對降低安全風(fēng)險(xiǎn)投入的趨勢，或者降低安全風(fēng)險(xiǎn)的工作經(jīng)常被輕視或忽視。有時(shí)安全風(fēng)險(xiǎn)即使得到評估，也不足以對設(shè)計(jì)過程產(chǎn)生影響，結(jié)果，在項(xiàng)目后期，當(dāng)突然發(fā)現(xiàn)重大的安全風(fēng)險(xiǎn)或?qū)嶋H發(fā)生事故時(shí)，可能會對進(jìn)度、成本以及開發(fā)工作的質(zhì)量造成巨大影響。為了避免這種情況，需要采取與所執(zhí)行任務(wù)相稱的減少安全風(fēng)險(xiǎn)的措施，并在合適的生命周期階段，完成包括安全裝置在內(nèi)的安全措施的設(shè)計(jì)與實(shí)施；

● 歷史危險(xiǎn)和安全性數(shù)據(jù)，包括來自其他系統(tǒng)的經(jīng)驗(yàn)，應(yīng)被考慮和使用；

● 有害環(huán)境狀態(tài)導(dǎo)致的事故風(fēng)險(xiǎn)（例如溫度、壓力、噪音、毒性、加速度、振動）、系統(tǒng)操作和后勤中的人的錯誤被最小化；

● 系統(tǒng)用戶保持對系統(tǒng)的安全性最新情況的了解，包括對系統(tǒng)安全性決策過程最新情況的了解。

2 國外軍民用飛機(jī)系統(tǒng)安全性對比

本文主要是基于《FAA系統(tǒng)安全性手冊》及其正在使用的方法指南、《美國空軍系統(tǒng)安全性手冊》和MIL-STD-882D《系統(tǒng)安全性》，對國外軍民用飛機(jī)生命周期階段中跟初始適航階段有關(guān)的系統(tǒng)安全性目標(biāo)、分析評估要求、技術(shù)邏輯、方法、過程進(jìn)行了對比分析。

2.1 工作目標(biāo)對比

系統(tǒng)安全性目標(biāo)是整個(gè)系統(tǒng)安全性工作過程的導(dǎo)向。目標(biāo)不同，會導(dǎo)致設(shè)計(jì)關(guān)注的重點(diǎn)、形成設(shè)計(jì)方案時(shí)的權(quán)衡過程等都會不同。對民用飛機(jī)來說，系統(tǒng)安全性的最終目的是通過識別方案、設(shè)計(jì)和使用過程中的危險(xiǎn)，評估危險(xiǎn)的影響，采取適當(dāng)?shù)拇胧┫ｋU(xiǎn)、或?qū)⑽ｋU(xiǎn)減弱、控制到管理當(dāng)局所能接受的安全水平，最終實(shí)現(xiàn)人員的安全運(yùn)載。軍機(jī)系統(tǒng)安全性的最終目標(biāo)是使戰(zhàn)斗能力最大化。

2.2 分析評估要求對比

根據(jù)2000年發(fā)布的《FAA系統(tǒng)安全性手冊》，要求民機(jī)系統(tǒng)安全性分析項(xiàng)目包括初步危險(xiǎn)分析、要求危險(xiǎn)分析、系統(tǒng)和子系統(tǒng)危險(xiǎn)分析、使用與保障危險(xiǎn)分析、健康危險(xiǎn)分析。軍機(jī)系統(tǒng)安全性分析除包括上述分析項(xiàng)目外，還包括超系統(tǒng)危險(xiǎn)分析和環(huán)境危險(xiǎn)分析。

國外民機(jī)系統(tǒng)安全性工作中要求對上述各種分析結(jié)果是否滿足相應(yīng)安全性要求進(jìn)行評估。軍機(jī)系統(tǒng)安全性中要求進(jìn)行系統(tǒng)安全性評估及系統(tǒng)安全性管理評估，根據(jù)該要求需要對安全性危險(xiǎn)及其相關(guān)風(fēng)險(xiǎn)的減輕措施、正式的風(fēng)險(xiǎn)接受決議所識別的狀態(tài)進(jìn)行評估，評估應(yīng)包括已識別的危險(xiǎn)、已減輕的危險(xiǎn)，以及伴隨已被減輕了風(fēng)險(xiǎn)但沒有被消除的危險(xiǎn)的明確的程序控制和預(yù)防措施。

2.3 分析評估技術(shù)邏輯對比

國外軍機(jī)系統(tǒng)安全性分析邏輯見圖1，國外民機(jī)系統(tǒng)安全性分析邏輯見圖2，圖2中，在概念設(shè)計(jì)階段進(jìn)行初步危險(xiǎn)分析后，在初步設(shè)計(jì)階段需進(jìn)行迭代分析。

2.3.1 相同點(diǎn)

都需經(jīng)過列出初步危險(xiǎn)清單（PHL）、初步危險(xiǎn)分析（PHA）、要求危險(xiǎn)分析（RHA）、子系統(tǒng)和系統(tǒng)危險(xiǎn)分析（SSHA、SHA）、使用與保障危險(xiǎn)分析（O&SHA），其分析邏輯大致相同。分析邏輯如下：

● 列出所關(guān)注區(qū)域的危險(xiǎn)清單，然后對照清單進(jìn)行自上而下的初步危險(xiǎn)分析，認(rèn)識所有伴隨系統(tǒng)所隱含的危險(xiǎn)狀態(tài)；

● 可使用初步危險(xiǎn)清單和初步危險(xiǎn)分析結(jié)果作為要求危險(xiǎn)分析的基礎(chǔ)。通過要求危險(xiǎn)分析將確定存在的危險(xiǎn)與系統(tǒng)設(shè)計(jì)聯(lián)系起來并提出消除或降低危險(xiǎn)到可接受水平的設(shè)計(jì)需求，包括軟件、硬件的需求。

● 在子系統(tǒng)危險(xiǎn)分析中，針對每個(gè)子系統(tǒng)或部件，分析與運(yùn)行或失效模式相關(guān)的危險(xiǎn)，進(jìn)而分析部件的運(yùn)行或失效如何影響整個(gè)系統(tǒng)的安全性。應(yīng)使用系統(tǒng)安全性優(yōu)先原則確定必要的設(shè)計(jì)措施，以消除或降低已識別的危險(xiǎn)到可接受水平。

● 通過系統(tǒng)危險(xiǎn)分析，檢查部件的運(yùn)行或失效如何影響系統(tǒng)及其子系統(tǒng)的安全性。SHA應(yīng)在系統(tǒng)設(shè)計(jì)成熟時(shí)開始，并在設(shè)計(jì)完成前不斷更新。應(yīng)使用系統(tǒng)安全優(yōu)先原則確定必要的設(shè)計(jì)措施，以消除或降低已識別的危險(xiǎn)到可接受水平。

2.3.2 不同點(diǎn)

在PHL中，民用飛機(jī)主要列出跟功能有關(guān)的危險(xiǎn)清單，軍用飛機(jī)需列出所有的危險(xiǎn)清單。另外，根據(jù)圖1和圖2的分析邏輯，軍機(jī)在進(jìn)行初步危險(xiǎn)分析之后，接著進(jìn)行子系統(tǒng)危險(xiǎn)分析，將其分析結(jié)果作為下一步系統(tǒng)危險(xiǎn)分析的輸入；民機(jī)在進(jìn)行初步危險(xiǎn)分析之后，接著進(jìn)行系統(tǒng)危險(xiǎn)分析，而后進(jìn)行子系統(tǒng)危險(xiǎn)分析。

2.4 分析評估方法對比

2.4.1 國外軍機(jī)

《空軍系統(tǒng)安全性手冊》中指出初步危險(xiǎn)清單、初步危險(xiǎn)分析、系統(tǒng)危險(xiǎn)分析、子系統(tǒng)危險(xiǎn)分析可以使用DISAFT-80101《系統(tǒng)安全性危險(xiǎn)分析報(bào)告》中給出的方法。分析的評估是從空軍裝備部系統(tǒng)安全性主任Harvey “Chuck” Dorney所編的《危險(xiǎn)分析的評價(jià)指南》中摘出的，該指南提供了評價(jià)系統(tǒng)安全性分析的方法。該方法分析的基礎(chǔ)是初步危險(xiǎn)清單，典型的初步危險(xiǎn)清單包括，能源、功能、操作、部件、材料、相似類型的經(jīng)驗(yàn)教訓(xùn)、不期望的事故、需要考慮的故障模式和故障狀態(tài)。其它分析在此初步危險(xiǎn)清單的基礎(chǔ)上逐層展開，并隨設(shè)計(jì)細(xì)節(jié)的深入對危險(xiǎn)清單進(jìn)行擴(kuò)充和分析。其優(yōu)點(diǎn)是依賴良好的設(shè)計(jì)經(jīng)驗(yàn)、危險(xiǎn)知識和事故教訓(xùn)，能夠?qū)ξｋU(xiǎn)進(jìn)行比較全面的分析，缺點(diǎn)是危險(xiǎn)清單涉及多個(gè)層次，相對較低層次的危險(xiǎn)，其分析過程不適合復(fù)雜系統(tǒng)，同時(shí)，分析過程的結(jié)構(gòu)化特點(diǎn)相對較弱；

2.4.2 國外民機(jī)

《FAA系統(tǒng)安全性手冊》指出，應(yīng)使用總體方法進(jìn)行分析。危險(xiǎn)分析（包括初步危險(xiǎn)清單、初步危險(xiǎn)分析、子系統(tǒng)、系統(tǒng)危險(xiǎn)分析）合并稱為系統(tǒng)危險(xiǎn)總體分析。為了實(shí)現(xiàn)系統(tǒng)危險(xiǎn)總體分析，應(yīng)對許多與系統(tǒng)風(fēng)險(xiǎn)相關(guān)的概念有所了解，在所分析的情節(jié)構(gòu)成中，前后一致性和關(guān)聯(lián)性很重要，分析完整性也關(guān)系到所分析情節(jié)的構(gòu)成和表達(dá)?；诖艘蟮姆治觥L(fēng)險(xiǎn)識別、風(fēng)險(xiǎn)控制才是有效的，才能針對任何復(fù)雜程度的系統(tǒng)，實(shí)現(xiàn)設(shè)計(jì)一個(gè)復(fù)雜的帶有可接受風(fēng)險(xiǎn)的系統(tǒng)的目標(biāo)。在適航審查中將SEA ARP 4761作為初始適航階段系統(tǒng)安全性評估的指南，該指南以功能危險(xiǎn)分析為基礎(chǔ)，考慮共因危險(xiǎn)，確定飛機(jī)級的安全性要求，同時(shí)將該要求逐層分解到系統(tǒng)、子系統(tǒng)、設(shè)備、LRU（現(xiàn)場可更換單元）。并自LRU級逐層向上評估驗(yàn)證安全性要求是否滿足。該分析評估方法具有極強(qiáng)的結(jié)構(gòu)化特點(diǎn)，可以滿足自初步危險(xiǎn)分析、子系統(tǒng)、系統(tǒng)危險(xiǎn)分析一致性、完整性和關(guān)聯(lián)性的要求，同時(shí)，自頂向下的分析過程比較適合復(fù)雜系統(tǒng)的安全性分析。

2.5 安全性評估過程對比

國外軍機(jī)系統(tǒng)安全性評估過程采用的是基于風(fēng)險(xiǎn)的評估方法，民機(jī)內(nèi)部安全管理系統(tǒng)采用基于風(fēng)險(xiǎn)和基于目標(biāo)綜合的方式。美國聯(lián)邦航空局將危險(xiǎn)的嚴(yán)重程度分為5類，由美國聯(lián)邦航空局根據(jù)一定的程序確定各個(gè)風(fēng)險(xiǎn)類別的公眾可接受安全性目標(biāo)，適航審查時(shí)檢查飛機(jī)設(shè)計(jì)是否滿足已確定的安全性目標(biāo)。

基于風(fēng)險(xiǎn)和基于目標(biāo)的評估方法對比如下。

2.5.1 評估內(nèi)容

基于風(fēng)險(xiǎn)的評估方法能夠評估發(fā)生某種不利后果的可能性（包括任務(wù)失敗、平臺損失、計(jì)劃延遲等），識別整體風(fēng)險(xiǎn)最重要的致因（設(shè)計(jì)、運(yùn)行、維修、管理、環(huán)境等）并對其排序，同時(shí)評估隨風(fēng)險(xiǎn)評估而產(chǎn)生的不確定性，給出哪種替代方案的風(fēng)險(xiǎn)較低。基于目標(biāo)的評估方法能夠識別可能導(dǎo)致危險(xiǎn)的故障模式，給出這些故障模式的安全性目標(biāo)，其更關(guān)注導(dǎo)致事故風(fēng)險(xiǎn)的技術(shù)故障；

2.5.2 風(fēng)險(xiǎn)定義

包括嚴(yán)重性分類和發(fā)生概率定義。由于其分析內(nèi)容不同，基于風(fēng)險(xiǎn)的評估方法關(guān)注的是事故，基于目標(biāo)的分析方法關(guān)注的是風(fēng)險(xiǎn)。二者的定義如表1。

表1 基于風(fēng)險(xiǎn)和基于目標(biāo)的風(fēng)險(xiǎn)定義

2.5.3 風(fēng)險(xiǎn)評估矩陣和可接受標(biāo)準(zhǔn)

根據(jù)基于風(fēng)險(xiǎn)和基于目標(biāo)的風(fēng)險(xiǎn)定義，使用嚴(yán)重性分類和發(fā)生可能性分類構(gòu)成風(fēng)險(xiǎn)評估矩陣，分別使用不同的數(shù)字表示相應(yīng)的風(fēng)險(xiǎn)指數(shù)?；陲L(fēng)險(xiǎn)的方法根據(jù)風(fēng)險(xiǎn)指數(shù)將風(fēng)險(xiǎn)劃分為4個(gè)級別，基于目標(biāo)的方法將風(fēng)險(xiǎn)劃分為3個(gè)級別，并根據(jù)風(fēng)險(xiǎn)級別確定其可接受標(biāo)準(zhǔn)?；陲L(fēng)險(xiǎn)的風(fēng)險(xiǎn)矩陣見表2，可接受標(biāo)準(zhǔn)見表3；基于目標(biāo)的風(fēng)險(xiǎn)矩陣見表4，可接受標(biāo)準(zhǔn)見表5。

2.5.4 評估步驟

基于風(fēng)險(xiǎn)的方法其評估過程分為5個(gè)步驟，分別為識別危險(xiǎn)、對每個(gè)事故危害度進(jìn)行分類、確定每個(gè)事故的發(fā)生概率、通過發(fā)生概率和后果危害度評估對人員、財(cái)產(chǎn)和/或任務(wù)成功的影響、風(fēng)險(xiǎn)管理。基于目標(biāo)的方法其評估過程分為3個(gè)步驟，分別為識別故障模式或者危險(xiǎn)情況、為這些故障模式分配安全性目標(biāo)、證實(shí)安全性目標(biāo)已經(jīng)滿足。

表2 基于風(fēng)險(xiǎn)的風(fēng)險(xiǎn)矩陣

表3 基于風(fēng)險(xiǎn)的可接受標(biāo)準(zhǔn)

表4 基于目標(biāo)的風(fēng)險(xiǎn)矩陣

表5 基于目標(biāo)的可接受標(biāo)準(zhǔn)

2.5.5 優(yōu)缺點(diǎn)

基于風(fēng)險(xiǎn)的評估方法能夠評估發(fā)生某種不利后果的可能性，識別整體風(fēng)險(xiǎn)最重要的致因并對其排序，同時(shí)評估隨風(fēng)險(xiǎn)評估而產(chǎn)生的不確定性，給出哪種替代方案的風(fēng)險(xiǎn)較低。該方法在應(yīng)用于重大事故時(shí)非常有效，在此情況下發(fā)生概率相對較低而對運(yùn)營經(jīng)驗(yàn)要求很高。其缺點(diǎn)是需要制定合適的風(fēng)險(xiǎn)標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)并無公認(rèn)的標(biāo)準(zhǔn)來界定風(fēng)險(xiǎn)是否可容忍，并且所有利害相關(guān)者需達(dá)成一致意見。另外，事故序列存在大量的不確定性，如果要考慮全部因素變量是不切實(shí)際的，因此評估事故序列中每種事件的發(fā)生概率變得非常主觀，同時(shí)，在事故序列中也不可避免地存在著人為錯誤，即使定量評估可能看起來非?？陀^，但核心輸入數(shù)據(jù)通常又很主觀和/或具有預(yù)測性。另外，進(jìn)行可接受性分析時(shí)要求進(jìn)行成本——收益分析，在安全和經(jīng)濟(jì)效益之間進(jìn)行權(quán)衡時(shí)，需要賦予生命一定的價(jià)格；

基于目標(biāo)的評估方法因其更關(guān)注導(dǎo)致事故風(fēng)險(xiǎn)的技術(shù)故障，相對于其它導(dǎo)致事故的因素，技術(shù)故障發(fā)生更確定并且更容易預(yù)測；同時(shí)，基于目標(biāo)的方法為系統(tǒng)失效的嚴(yán)酷度提供了清晰的指南，在分析過程中給出了系統(tǒng)需要滿足的最低安全目標(biāo)，這些目標(biāo)可快速、有效地確定并分配給相關(guān)責(zé)任方來完成。因此，基于目標(biāo)的方法對于系統(tǒng)設(shè)計(jì)人員很有幫助。另外，國際公認(rèn)安全性標(biāo)準(zhǔn)的應(yīng)用為參與方/分包商以及客戶/經(jīng)營方在項(xiàng)目集成和適航認(rèn)證方面提供了公平的環(huán)境。其缺點(diǎn)是在系統(tǒng)設(shè)計(jì)中采取風(fēng)險(xiǎn)減輕措施并不能完全阻斷錯誤，并且一旦時(shí)機(jī)成熟，錯誤仍舊會向著引發(fā)事故的方向發(fā)展，因此系統(tǒng)用戶仍需要進(jìn)行進(jìn)一步的評估來考慮如何將系統(tǒng)付諸實(shí)際使用，并考慮什么風(fēng)險(xiǎn)需要進(jìn)行控制。

3 結(jié)論

以適航審查為主導(dǎo)的國外民用飛機(jī)系統(tǒng)安全性，隨著飛機(jī)系統(tǒng)的集成度和復(fù)雜度越來越高，其分析評估理念和方法在不斷更新，體系在逐漸完善，并易于在具體工程中實(shí)施。國外軍機(jī)系統(tǒng)安全性分析評估方法充分考慮了軍機(jī)安全性要求隨機(jī)種和項(xiàng)目任務(wù)要求變化的特點(diǎn)，但存在不易操作等缺點(diǎn)，尤其是定量評估。因此，在國內(nèi)軍機(jī)系統(tǒng)安全性分析評估要求制定過程中，應(yīng)盡最大可能吸收民機(jī)系統(tǒng)安全性的先進(jìn)理念和方法精髓，并考慮軍機(jī)特點(diǎn)。建議采用將基于風(fēng)險(xiǎn)和基于目標(biāo)的綜合評估方法。在研制早期論證確定安全性目標(biāo)，將基于風(fēng)險(xiǎn)的決策方法轉(zhuǎn)化為基于目標(biāo)的方法，為系統(tǒng)設(shè)計(jì)確定明確的安全性定量、定性要求；在安全性評估過程中針對性能、安全性再次進(jìn)行綜合權(quán)衡，使飛機(jī)的戰(zhàn)斗能力最大化。

[1] MIL-STD-882E System Safety [S].

[2] FAA System Safety Handbook [S].

[3] Air Force System Safety Handbook [S].

[4] Duane Kritzinger. Aircraft System Safety: Military and Civil Aeronautical Applications[M]. CRC Press，2006.

T-65 [文獻(xiàn)標(biāo)識碼] C [文章編號] 1003-6660（2017）04-0043-00

10.13237/j.cnki.asq.2017.04.011

[收修訂稿日期] 2017-05-24

（編輯：勞邊）