基于故障传播的飞机系统安全性分析方法

《Aerospace》：An Aircraft System Safety Analysis Method Based on Fault Propagation

　　

传统安全性分析方法存在主观性强、一致性低、工作量大等问题。为解决上述问题，本文提出一种基于故障传播的飞机系统安全性分析方法。首先，本研究在Simulink中建立飞机系统的标称模型与扩展模型。建模依据系统数学模型与典型故障模式，所建模型作为故障注入平台。其次，在Simulink中开发监测模块。该模块监测故障发生后部件与系统的性能响应，并自动判定故障影响。第三，注入各子系统的故障组合以探究其对相邻子系统的影响。在此基础上，推导故障传播路径，并获得系统顶事件的最小割集（MCS）及其发生概率。最后，以某型飞机横向控制系统作为工程案例进行验证。将所提方法与经典状态遍历方法进行对比分析。结果表明，所提方法在保证分析精度的同时，以指数方式大幅减少故障组合数量。因此，该方法显著提高了系统安全性分析的效率。

现代飞机系统高度集成且耦合性强，传统安全性分析方法如故障模式与影响分析（FMEA）、故障树分析（FTA）和马尔可夫分析（MA）主要依赖经验驱动，应用于此类系统时需要大量人力和较长分析周期，且分析结果高度依赖研究人员的个人经验，容易导致分析遗漏、结果偏差和结果重复性差。基于模型的安全性分析（MBSA）将安全性分析与系统模型设计相结合，可保证系统开发与安全评估之间的一致性，并支持自动或半自动安全性分析，已成为高度集成机载系统安全性分析的主流发展趋势，SAE ARP4761A已正式将MBSA纳入其推荐的安全性评估实践。然而，在实际工程应用中，故障注入是制约MBSA实施的关键瓶颈，研究人员需合理选择故障类型、注入时间和注入位置，量化每个注入故障的实际效果并处理可能的二次故障；此外，现代飞机系统包含大量耦合部件且故障相关性强，容易导致状态空间爆炸，使大规模仿真与分析难以实施。现有研究可分为四条主流技术路线：基于随机故障注入算法的注入策略优化、基于专家经验的状态空间缩减、基于模型检验（MC）的状态空间缩减以及基于系统架构的故障筛选。现有方法均未利用飞机系统的层次化故障传播特性在保留定量安全评估能力的同时缩减故障状态空间。在复杂机载系统中，部件故障总是沿固定路径传播并逐级放大，最终触发系统级失效；单一部件故障首先引起异常输出，该异常输出通常作为后续部件的输入，进一步导致下游部件的异常状态与输出。追溯从底层部件到顶层系统失效的完整故障传播链，可量化故障对下游模块的多层级影响。本研究的主要贡献如下：第一，提出基于故障传播的安全性分析框架，通过故障注入自动推导相邻子系统间的故障传播关系，并通过正向推导与反向推导求解系统顶事件的MCS；第二，开发基于性能响应的监测模块以自动判定故障效果，消除分析过程中的人工主观判断；第三，在典型电传飞控系统上验证该框架的可行性与效率。

研究人员开展了什么研究：研究人员在Simulink中基于系统设计阶段生成的数学模型建立标称模型与扩展故障模型，所建模型作为故障注入的核心平台；在Simulink中构建专用监测模块，监测故障注入后部件与系统的实时性能响应，实现故障效果的准确判定；通过追溯故障传播路径获得系统顶事件的MCS，并结合各部件故障模式的故障率计算顶事件的发生概率。结论与意义：所提方法消除了主观分析误差，显著提高了飞机系统安全性分析的效率，并在典型电传飞控系统上验证了框架的可行性与效率。

关键技术方法概述（不超过250字）：研究人员基于系统数学模型（微分方程、传递函数、状态空间方程）在Simulink中构建部件级标称模型，并结合典型故障模式构建扩展模型作为故障注入平台；开发基于性能响应的瞬态响应监测模块与相位响应监测模块，实现故障效果的自动判定；采用正向逐级故障传播推导与反向最小割集优化相结合的两阶段流程求解MCS并计算顶事件概率；以某型飞机电传飞控系统横向控制子系统为工程案例，与截断马尔可夫分析、蒙特卡洛仿真及传统状态遍历方法进行对比验证。案例系统架构与部件数学模型取自文献[20,21]，标称与扩展建模方法遵循文献[22]，对比基线遵循文献[19,23]。

研究结果：（1）基于Simulink的飞机系统建模。通过微分方程、传递函数和状态空间方程三种数学形式构建部件级Simulink仿真模型；结合Multiport Switch模块与功能模块实现多种故障模式的统一切换与注入，形成十一种工作状态；将故障模型与标称模型级联得到系统扩展模型，该模型可有效模拟部件故障下飞机系统的动态响应，为后续故障效果分析与系统安全评估提供可靠仿真平台。（2）基于性能响应的故障效果分析。通过定义统一的性能约束公式（|y_i(t) ? y_ir(t)| ≤ r_i）界定部件与系统故障；设计瞬态响应监测模块实时判定阈值越界并在信号偏差超限时立即识别系统故障并终止仿真，输出布尔标志；设计相位响应监测模块导出仿真数据以支持振荡特性与故障类型识别等后处理分析；制定故障传播效果的判定准则，将传播故障在子系统输出端的效果归类为无响应、随机输出、卡死、信号增益、输出损坏和输出漂移等信号级故障模式，并据此准确识别故障传播引起的等效故障模式。（3）基于故障传播的安全性分析。通过正向逐级故障传播推导识别相邻子系统间的故障传播规则并收集各子系统潜在故障，获得初步割集；通过反向推导将传播性潜在故障替换为底层固有故障组合并验证有效性，最终获得仅含固有部件故障的系统顶事件MCS。（4）案例研究。以典型电传飞控系统为对象，系统共含25个独立部件，划分为四级子系统；正向推导表明传感器故障可诱发飞控计算机（PFC）单元的"随机输出"故障模式，经筛选获得54个有效最小传感器故障组合；PFC故障可诱发作动机构的"随机输出"与"信号增益"故障，作动机构故障可进一步诱发操纵面的"随机输出"与"卡死"故障，分别获得14个最小PFC故障组合与40个最小作动机构故障组合；通过功能危害评估（FHA）确定两个顶事件，即滚转控制功能丧失与飞机滚转振荡；经反向推导与筛选，顶事件1的最终MCS含3301个有效割集，顶事件2含3096个有效割集；在部件故障统计独立、任务时间内故障率恒定（指数失效分布）、任务时间为十飞行小时、重叠割集交集概率为高阶小量可合理忽略等假设下，计算得顶事件1在一次飞行任务内的发生概率为3.002661 × 10^?7，顶事件2为1.1406 × 10^?10，对应每飞行小时等效平均发生率分别为3.002661 × 10^?8与1.1406 × 10^?11；通过数值论证表明忽略三阶及以上交集的相对误差小于0.02%，对工程安全评估可完全忽略。（5）分析与验证。与截断马尔可夫分析、蒙特卡洛仿真及传统状态遍历方法进行对比测试，所提方法的MCS与概率值与独立基准的传统状态遍历方法完全一致，验证了方法的正确性；传统状态遍历方法对25部件飞控系统需遍历2.0639 × 10¹⁴个故障组合，而所提方法将系统划分为多级子系统并仅在子系统内生成与验证故障组合，有效减少了故障注入次数；在相同软硬件平台与相同仿真任务时间及步长下，单次注入计算时间恒定，总计算时间与故障注入次数严格成正比；全部仿真在配备两颗Intel Xeon Gold 6226R处理器（2.90 GHz，16核）与256 GB内存、运行Windows 10 Enterprise与MATLAB R2024a/Simulink R2024a的服务器上完成，单次注入平均约5 s，正向推导需84,355次注入、耗时约4.22 × 10⁵ s（约117 h），反向推导需12,794次额外注入、耗时约6.40 × 10⁴ s（约17.8 h），顶事件概率计算为纯算术运算、耗时不足五分钟，完整案例分析总计算时间约4.86 × 10⁵ s（约135 h）；此外，所提方法推导的故障传播关系对特定系统固定不变，可复用于所有顶事件分析，进一步提高整体安全性分析效率。

讨论与结论：本研究针对传统安全性分析方法的固有缺陷，提出一种基于故障传播的飞机系统安全性分析方法。该方法首先建立飞机系统的标称与扩展仿真模型，在此基础上开展自动化故障注入实验并量化相应故障效果，实现系统安全性分析的自动化，最终获得系统顶事件的MCS并计算其发生概率。需要强调的是，案例研究中采用的飞控系统架构与部件数学模型取自已有文献[20,21]，标称与扩展建模方法遵循文献[22]，对比基线遵循文献[19,23]；本研究的新颖之处在于故障传播推导机制、故障效果的自动判定准则以及正向—反向MCS求解流程，这些在现有工作中尚未涉及。所提方法的主要优势总结如下：第一，基于Simulink开发了统一的故障注入与性能监测平台，该平台根据实时性能响应自动判定部件与系统故障，避免了人工分析的主观性，从而提高了分析结果的一致性与可靠性；第二，采用层次化故障传播规则缩减系统状态空间，仅遍历并注入单个子系统的故障组合，以指数方式减小故障组合规模，有效解决了传统分析方法的状态空间爆炸问题；第三，所推导的故障传播关系对固定系统架构具有可复用性，一旦建立即可支持多个顶事件的并行安全性分析，大幅减少多指标系统安全评估的总工作量。然而，本研究受限于对基准文献与仿真数据的依赖，而非真实飞行试验或运行数据。未来工作将聚焦于利用真实运行的工程数据验证所提模型，探索更精细的退化模型（如Gamma过程或Wiener过程），并研究各种运行与环境边界条件下的故障起始与演化规律。