陸 軍，徐有成，喬 玉

(中國商飛上海飛機(jī)設(shè)計(jì)研究院，上海 200120)

為滿足國際民航組織及各國適航當(dāng)局的適航要求[1-2]，確保民用航空器在其使用壽命期內(nèi)任何時(shí)間滿足適航規(guī)章要求并始終處于安全運(yùn)行狀態(tài)，航空公司/維修機(jī)構(gòu)必須向適航當(dāng)局和航空器制造商報(bào)告各種故障、失效和缺陷情況；后者則對(duì)收集到的信息進(jìn)行分析[3-9]，來判斷飛機(jī)是否存在不安全狀態(tài)；若存在，則制定相關(guān)糾正措施并向航空公司發(fā)布安全相關(guān)服務(wù)通告(SB)或適航指令(AD)，要求從措施制定、發(fā)布到執(zhí)行的整個(gè)過程必須在某個(gè)時(shí)限內(nèi)完成，使受影響飛機(jī)恢復(fù)到應(yīng)有的適航風(fēng)險(xiǎn)水平。其中，這個(gè)時(shí)限直接影響機(jī)隊(duì)安全運(yùn)行與降低運(yùn)營(yíng)成本之間的利益平衡，比如發(fā)現(xiàn)問題時(shí)機(jī)隊(duì)立刻停飛是最安全的，但航空公司和制造商的經(jīng)濟(jì)損失都非常大。隨著我國民機(jī)項(xiàng)目的蓬勃發(fā)展，自主設(shè)計(jì)生產(chǎn)的飛機(jī)將越來越多地投入運(yùn)行，同時(shí)我國軍機(jī)項(xiàng)目也在加快引入適航要求，因此該時(shí)限確定方法的研究與應(yīng)用具有現(xiàn)實(shí)意義。

目前，歐美發(fā)達(dá)國家適航當(dāng)局及民機(jī)制造商主要形成了兩種廣泛認(rèn)可的做法：1)以EASA(European Union Aviation Safety Agency)為首的GM 21A.3B(d)(4)[10]，簡(jiǎn)稱EASA方法；2)以FAA(Federal Aviation Administration)為首的TARAM[11]，簡(jiǎn)稱FAA方法。針對(duì)EASA方法，國內(nèi)學(xué)者已開展了理論研究：謝保良[12]、丁曉宇等[13]介紹了理論依據(jù)及災(zāi)難性和危險(xiǎn)性失效情況下措施時(shí)限的確定方法。然而，在應(yīng)用到實(shí)際工程時(shí)有諸多具體問題需解決，比如這個(gè)時(shí)限的起始點(diǎn)是什么、與SB/AD中符合性時(shí)間是什么關(guān)系、這些方法應(yīng)轉(zhuǎn)化為怎樣的工程應(yīng)用模型、有哪些不適用情況及應(yīng)對(duì)思路等。

本文將從工程應(yīng)用角度出發(fā)，針對(duì)EASA方法，重點(diǎn)圍繞以上問題開展進(jìn)一步研究與總結(jié)，形成相關(guān)結(jié)論以供參考。

1 EASA方法概述

EASA方法主要由兩個(gè)部分組成，即“岡斯頓”法和基于定性后果嚴(yán)重性的單機(jī)/機(jī)隊(duì)風(fēng)險(xiǎn)預(yù)測(cè)模型。其中，“岡斯頓”法本質(zhì)上是一種風(fēng)險(xiǎn)指標(biāo)分配過程，通過假定一個(gè)基本的風(fēng)險(xiǎn)水平(對(duì)于完全符合適航要求的飛機(jī))、一些未來的風(fēng)險(xiǎn)水平以及單架飛機(jī)的全壽命期內(nèi)風(fēng)險(xiǎn)指標(biāo)，為每個(gè)不安全狀態(tài)計(jì)算恰當(dāng)暴露時(shí)間的過程。該方法在20世紀(jì)70年代后期英國航空管理局(CAA)的一份內(nèi)部文件[14]中首次提出，1982年11月正式成為CAA的咨詢材料。2002年6月批準(zhǔn)的JAA ACJ 39.3(b)(4)在原有基于定性后果嚴(yán)重性的單機(jī)/機(jī)隊(duì)風(fēng)險(xiǎn)預(yù)測(cè)基礎(chǔ)上包含此方法。之后，2003年10月批準(zhǔn)的EASA GM 21A.3B(d)(4)沿用至今。

目前EASA方法已經(jīng)被廣泛認(rèn)可，我國適航當(dāng)局也推薦采用該方法[15]。

2 不安全狀態(tài)措施時(shí)限定義

基于風(fēng)險(xiǎn)水平確定、從受影響飛機(jī)的安全問題得到確認(rèn)開始直至糾正措施落實(shí)到位所允許的最大暴露時(shí)間，即為不安全狀態(tài)措施時(shí)限(UCAT)，通常由單機(jī)最大平均暴露時(shí)間來表示，如圖1所示，在這段時(shí)間內(nèi)，允許這些飛機(jī)在未采取額外糾正措施的情況下繼續(xù)運(yùn)營(yíng)，且認(rèn)為仍是安全的。其中，這個(gè)措施時(shí)限的起始點(diǎn)應(yīng)為識(shí)別并確認(rèn)飛機(jī)存在某個(gè)不安全狀態(tài)的那個(gè)時(shí)刻，通常為決策層認(rèn)可風(fēng)險(xiǎn)水平的時(shí)間點(diǎn)，而不是從飛機(jī)本身存在不安全狀態(tài)的時(shí)刻算起。比如因制造偏離而引起的隱性失效事件，可知從飛機(jī)投入使用起該失效風(fēng)險(xiǎn)就已經(jīng)存在，但所確定的措施時(shí)限應(yīng)該從當(dāng)前確認(rèn)的時(shí)刻算起，在此基礎(chǔ)上針對(duì)不同機(jī)齡的飛機(jī)進(jìn)行差異性處理，比如機(jī)齡大的優(yōu)先處理。

圖1 不安全狀態(tài)措施時(shí)限示意圖

對(duì)于民機(jī)制造商，UCAT通常進(jìn)一步可分解為措施準(zhǔn)備時(shí)間(SAPT)、措施執(zhí)行符合性時(shí)間(SACT)以及裕度時(shí)間(MT)之和，即UCAT = SAPT+SACT+MT。其中，SAPT是指從安全問題得到確定開始到SB發(fā)布的時(shí)間段；SACT是指SB中給出的符合性時(shí)間；MT是為管控安全風(fēng)險(xiǎn)留有一定裕度的時(shí)間段。因此，SACT并不等同于UCAT，應(yīng)小于UCAT，是UCAT除去SAPT、MT之后的時(shí)限。

對(duì)于適航當(dāng)局，AD中給出的符合性時(shí)間與SACT類似，應(yīng)小于UCAT。

3 工程應(yīng)用模型建立與特征分析

3.1 工程應(yīng)用模型建立

根據(jù)EASA方法可建立糾正措施時(shí)限計(jì)算工程應(yīng)用模型，見表1,2。其中，長(zhǎng)期是指在飛機(jī)設(shè)計(jì)壽命Tf內(nèi)，短期是指在單獨(dú)一次不安全狀態(tài)措施時(shí)限內(nèi)，計(jì)量單位是飛行小時(shí)；單機(jī)風(fēng)險(xiǎn)是指單架飛機(jī)的風(fēng)險(xiǎn)水平，計(jì)量單位是次數(shù)；機(jī)隊(duì)風(fēng)險(xiǎn)是指所有受影響飛機(jī)(N架)風(fēng)險(xiǎn)之總和，計(jì)量單位是次數(shù)；事件發(fā)生概率P是指不安全事件發(fā)生的每飛行小時(shí)平均概率，計(jì)量單位是次數(shù)/飛行小時(shí)；對(duì)于隨機(jī)失效導(dǎo)致的事件，P通常不隨飛機(jī)或零部件的使用時(shí)間變化而變化，服從某種定常函數(shù)分布，如指數(shù)分布；而對(duì)于早期或損耗失效導(dǎo)致的事件，該值隨飛機(jī)或零部件的使用/日歷時(shí)間變化而變化，服從某種不定常函數(shù)分布，如威布爾分布。

表1 EASA關(guān)于不安全事件的適航風(fēng)險(xiǎn)指標(biāo)設(shè)定

表2 EASA關(guān)于不安全事件的糾正措施時(shí)限計(jì)算公式

該模型的主要特征如下：

1)主要針對(duì)后果嚴(yán)重性等級(jí)為災(zāi)難性、危險(xiǎn)性的兩類事件給出計(jì)算方法；

2)短期單機(jī)風(fēng)險(xiǎn)的適航風(fēng)險(xiǎn)指標(biāo)依據(jù)“岡斯頓”方法進(jìn)行設(shè)定；

3)當(dāng)已知飛機(jī)設(shè)計(jì)壽命、受影響飛機(jī)數(shù)量函數(shù)(一般涉及當(dāng)前飛機(jī)數(shù)量、交付速度、退役速度等因素)、后果嚴(yán)重性等級(jí)以及事件發(fā)生概率(定量)時(shí)，即可通過計(jì)算得到相應(yīng)糾正措施時(shí)限。

針對(duì)不同情況，通過該模型，可方便地實(shí)現(xiàn)糾正措施時(shí)限計(jì)算以及各參數(shù)之間關(guān)系研究。

3.2 工程應(yīng)用模型實(shí)例

以典型民用運(yùn)輸類飛機(jī)為例，假設(shè)Tf為60 000飛行小時(shí)，相應(yīng)適航風(fēng)險(xiǎn)指標(biāo)設(shè)定與糾正措施時(shí)限計(jì)算可簡(jiǎn)化成如表3、表4所示。

表3 EASA關(guān)于不安全事件的適航風(fēng)險(xiǎn)指標(biāo)設(shè)定(Tf=60 000飛行小時(shí))

表4 EASA關(guān)于不安全事件的糾正措施時(shí)限計(jì)算公式(Tf=60 000飛行小時(shí)，隨機(jī)失效)

假設(shè)該飛機(jī)的年利用率為3 000飛行小時(shí)，相應(yīng)日歷時(shí)間與飛行小時(shí)之間的換算關(guān)系為：1年約為3 000飛行小時(shí)，1月約為250飛行小時(shí)，1周約為50飛行小時(shí)。根據(jù)前述模型，當(dāng)N≤666時(shí)，單機(jī)災(zāi)難性事件發(fā)生概率P與UCAT之間對(duì)應(yīng)關(guān)系見表5。也就是說，當(dāng)該飛機(jī)上發(fā)現(xiàn)存在一個(gè)能導(dǎo)致災(zāi)難性事件的不安全狀態(tài)時(shí)，若P超過2.0×10-6，所有受影響飛機(jī)應(yīng)停場(chǎng)或返回基地；若P等于1.0×10-7，措施時(shí)限則為1 500飛行小時(shí)(換算成日歷時(shí)間為6個(gè)月)。需要注意的是，當(dāng)受影響飛機(jī)超過1架(假設(shè)為2架)時(shí)，該措施時(shí)限則并不是最后一架飛機(jī)完成糾正措施的最大暴露時(shí)間，若其中1架飛機(jī)立即可以糾正完成，則另1架飛機(jī)的最大暴露時(shí)間應(yīng)為3 000飛行小時(shí)。

表5 單機(jī)災(zāi)難性事件

當(dāng)N>666時(shí)，假設(shè)N(UCAT)=N，所有受影響飛機(jī)相應(yīng)災(zāi)難性事件的發(fā)生概率(P·N)與UCAT之間對(duì)應(yīng)關(guān)系見表6。

表6 機(jī)隊(duì)災(zāi)難性事件

3.3 糾正措施時(shí)限與飛機(jī)數(shù)量的關(guān)系

假設(shè)單機(jī)災(zāi)難性事件的發(fā)生概率不變(P=1.0×10-7)，且N>666之后N(UCAT)=N，N與UCAT之間關(guān)系如圖2所示，即在N未超過短期單機(jī)/機(jī)隊(duì)風(fēng)險(xiǎn)的臨界數(shù)量666之前，UCAT不隨N的變化而變化，超過666之后則隨著N的增加而減少。

圖2 糾正措施時(shí)限與受影響飛機(jī)數(shù)量的關(guān)系(P=1.0×10-7)

3.4 糾正措施時(shí)限與飛機(jī)壽命的關(guān)系

假設(shè)單機(jī)災(zāi)難性事件的發(fā)生概率不變(P=1.0×10-7)，對(duì)于不同類型的飛機(jī)(比如設(shè)計(jì)壽命為40 000,60 000,80 000,100 000飛行小時(shí))，在N未超過短期單機(jī)/機(jī)隊(duì)風(fēng)險(xiǎn)的臨界數(shù)量(對(duì)應(yīng)值為400,500,666,1 000)之前，飛機(jī)的設(shè)計(jì)壽命越長(zhǎng)則相應(yīng)UCAT越大，如圖3所示。

圖3 糾正措施時(shí)限與飛機(jī)壽命的關(guān)系(P=1.0×10-7)

4 特別關(guān)注

4.1 不適用情況及應(yīng)對(duì)思路

1)對(duì)于后果嚴(yán)重性等級(jí)介于“災(zāi)難的”與“危險(xiǎn)的”之間的不安全事件，適航風(fēng)險(xiǎn)指標(biāo)設(shè)定可對(duì)兩個(gè)等級(jí)對(duì)應(yīng)指標(biāo)進(jìn)行線性內(nèi)插，當(dāng)認(rèn)為實(shí)際后果嚴(yán)重性分別占50%情況時(shí)，則其單機(jī)適航風(fēng)險(xiǎn)水平可取1.5×10-4與1.5×10-2的平均值，即1.5×10-3，機(jī)隊(duì)適航風(fēng)險(xiǎn)水平則為0.3，單機(jī)風(fēng)險(xiǎn)上限則為2.0×10-5。

2)對(duì)于后果嚴(yán)重性等級(jí)為“較大的”或“較小的”不安全事件，不應(yīng)采用本文建立的工程應(yīng)用模型進(jìn)行線性外插計(jì)算，通?；诠こ膛袛嗉熬唧w失效影響來確定。

3)對(duì)于數(shù)據(jù)不可用、質(zhì)量差或者不能收集到相關(guān)定量數(shù)據(jù)，事件發(fā)生概率僅給出定性結(jié)果的不安全事件，如涉及飛行機(jī)組/機(jī)務(wù)維修人因差錯(cuò)、機(jī)隊(duì)初期運(yùn)營(yíng)等，后果嚴(yán)重性等級(jí)為“災(zāi)難的”和“危險(xiǎn)的”不安全事件應(yīng)采取保守策略確定，即定性概率的最保守值，比如“災(zāi)難的”的定性結(jié)果為“微小的”，那么應(yīng)取1.0×10-5所對(duì)應(yīng)的措施時(shí)限。

4)對(duì)于無具體適航風(fēng)險(xiǎn)指標(biāo)要求的不安全事件，比如在緊急情況下使用的系統(tǒng)(備用應(yīng)急系統(tǒng)、火警探測(cè)與保護(hù)系統(tǒng)、應(yīng)急出口、逃生滑梯、撤離援助設(shè)備、應(yīng)急照明系統(tǒng)、應(yīng)急定位器等)、用于事故發(fā)生后問詢調(diào)查的系統(tǒng)(如駕駛艙話音記錄器、飛行數(shù)據(jù)記錄器等)、災(zāi)難性單點(diǎn)失效(如燃油箱中出現(xiàn)潛在點(diǎn)火源等)，可參考相似機(jī)型/系統(tǒng)的AD中符合性時(shí)間和受影響飛機(jī)規(guī)模予以確定。

5)對(duì)于早期失效、損耗失效以及結(jié)構(gòu)疲勞相關(guān)的不安全事件，此情況下得到的糾正措施時(shí)限是單機(jī)最大平均暴露時(shí)間，而每架飛機(jī)所允許的最大暴露時(shí)間與累積飛行小時(shí)/飛行循環(huán)直接相關(guān)，因此對(duì)于損耗失效，機(jī)齡越大的飛機(jī)優(yōu)先；對(duì)于早期失效，機(jī)齡越小的飛機(jī)優(yōu)先；對(duì)于結(jié)構(gòu)疲勞問題，基于飛行小時(shí)或飛行循環(huán)給出。

4.2 工程判斷的重要性

由于相關(guān)參數(shù)涉及較多工程判斷，比如后果嚴(yán)重性進(jìn)行了保守考慮、事件發(fā)生概率的不確定性較大、在未明確根原因情況下保守估計(jì)的受影響飛機(jī)數(shù)量等，EASA方法給出的是一種理論結(jié)果，最終確定仍需要根據(jù)工程判斷、專家直覺等進(jìn)行調(diào)整。因此，在采用EASA方法時(shí)相關(guān)人員需具備廣泛的專業(yè)知識(shí)和豐富的適航經(jīng)驗(yàn)，而不能單純地依賴該方法。

5 結(jié)論

本文明確了不安全狀態(tài)措施時(shí)限定義，對(duì)建立的工程應(yīng)用模型及其參數(shù)關(guān)系進(jìn)行分析，結(jié)果表明：

1)不安全狀態(tài)措施時(shí)限的起始點(diǎn)應(yīng)為識(shí)別并確認(rèn)飛機(jī)存在某個(gè)不安全狀態(tài)的那個(gè)時(shí)刻，通常為決策層認(rèn)可風(fēng)險(xiǎn)水平的時(shí)間點(diǎn)；

2)SB/AD中給出的符合性時(shí)間應(yīng)小于不安全狀態(tài)措施時(shí)限；

3)EASA方法的5種不適用情況應(yīng)按照不同的思路予以應(yīng)對(duì)。