白 杰，邬 龙，杨建忠，孙晓哲

（中国民航大学 天津市民用航空器适航与维修重点实验室，天津 300300）

0 引言

飞机作为现代化交通运输最快捷的一种方式，其安全性和适航性尤其引人关注。飞机控制系统具有的主要功能包括环境控制、飞行控制、地面减速、乘客的舒适性和安全性等，而其中飞机的环境控制可以为乘客提供必要的乘坐环境，也是保证机载设备和系统正常工作的基本条件，飞机的环境控制日趋重要，因此对飞机环控系统的安全性评估具有重要意义。ARP4761《民用飞机机载系统和设备安全性评估过程的指南和方法》中对飞机安全性评估及其方法做了详细的介绍，常见的安全性分析方法包括故障树、动态故障树和马尔科夫分析方法等［1－3］。

1 环控系统工作原理

飞机环境控制系统（ECS）为座舱提供合适的温度、压力和湿度等必须的物理条件。图1为飞机座舱环控系统简图。

图1 飞机座舱环控系统简图

某型飞机座舱压力控制系统（CPCS）的组成部件较少，其核心部件是4个外流活门（OFV）和4个外流活门控制器。外流活门的控制模式有自动控制模式和手动控制模式两种，外流活门控制器将机外大气压力和座舱压力比较，根据座舱压力变化表，控制外流活门的开度，进而控制座舱的压力。本文选取压力控制子系统的一个失效状态“座舱压力高度2min持续超过25 000英尺”为例，分别采用故障树（FTA）、动态故障树（DFTA）和马尔科夫方法（MA）进行建模，阐明了不同的安全性分析方法对同一失效状态建模分析的特点［4］。

2 FTA建模

对某型飞机环控系统的压力子系统进行功能危险性分析（FHA），“座舱压力高度2min持续超过25 000英尺”属于Ⅰ级失效状态，可引发灾难性事件，其发生概率必须小于1×10－9每飞行小时。导致该失效状态的原因事件是由于“一个外流活门（OFV）失效打开”和“空调组件供气故障”同时发生，前者可能是由于“OFV控制失效”或“OFV卡阻在开位”引起的。OFV的控制模式分为自动控制模式和手动控制模式，当这两种控制模式同时失效时可引发OFV控制失效。以功能危险状态“座舱压力高度2min持续超过25 000英尺”为例，用FTA方法对这一失效状态进行建模分析，建立的故障树如图2所示。

在图2中，X1∶OFV自动控制模式失效，失效率为λ1＝1.74×10－6；X2∶OFV手动控制模式失效，失效率为λ2＝1.2×10－7；X3∶OFV卡阻在开位，失效率为λ3＝9.9×10－7；X4∶空调组件供气故障，失效率为λ4＝5.6×10－5。

顶事件发生概率记为PT，底事件X1、X2、X3、X4的发生概率记为P1～P4。因此有：

其中：P1＝1－e；P2＝1－e；P3＝1－e；P4＝1－e。

当取t＝16h，计算得每飞行小时顶事件发生概率为8.868 7×10－10＜1×10－9，符合FHA中制定的安全性要求。

图2 “座舱压力高度2min持续超过25 000英尺”为顶事件的故障树

3 DFTA建模

OFV的控制模式分为自动控制模式和手动控制模式，考虑当且仅当“自动控制模式失效”发生在“手动控制模式失效”之前时，OFV控制失效才会发生，因此，引入“优先与门”来描述OFV的控制模式，建立的动态故障树如图3所示。

图3 “座舱压力高度2min持续超过25 000英尺”为顶事件的动态故障树

因此，根据SAE ARP4761，顶事件发生概率为：

各部件的失效率和失效概率同故障树FTA，不再赘述。

当取t＝16h，计算得每飞行小时顶事件发生概率为8.868 1×10－10＜1×10－9，符合FHA中制定的安全性要求。

4 MA建模

仍以“座舱压力高度2min持续超过25 000英尺”为例，已明确导致此故障状态的原因事件包括“OFV自动控制模式失效”、“OFV手动控制模式失效”、“OFV卡阻在开位”和“空调组件供气故障”。描述该失效状态的马尔科夫转移图如图4所示。

图4中，椭圆中4元组表示4个原因事件的状态，0表示不发生，1表示发生；λ1＝1.74×10－6、λ2＝1.2×10－7、λ3＝9.9×10－7、λ4＝5.6×10－5分别表示4个原因事件的失效率。由图4列出微分方程组最终可解得该失效事件发生的概率，建立的微分方程组如下：

图4 “座舱压力高度2min持续超过25 000英尺”的状态马尔科夫转移图

由图4可知，故障状态为状态8、10和11，初始条件P（0）＝［1 0 0 0 0 0 0 0 0 0 0］，顶事件发生概率为：

当t＝16h时，每飞行小时发生概率为9×10－10＜1×10－9，符合FHA中制定的安全性要求。

5 方法对比及结论

将λ数值代入式（1）～式（3）中，取时间参数t＝0h～16h，利用MATLAB软件进行仿真，分析每飞行小时顶事件的失效概率［5］，可以得到“座舱压力高度2min持续超过25 000英尺”的发生概率随时间变化的曲线，如图5所示。图5中，3条曲线基本重合，说明3种方法都可对该子系统建模计算。DFTA在建模时考虑引入动态逻辑门来定义系统，相比普通的FTA建模，能更准确客观地描述系统功能，在实际工程定量求解中应用更加广泛；MA亦可描述动态系统，但是随着部件的增多，马尔科夫转移图中状态个数将呈指数性增长，马尔科夫故障子链也将增多，求解分析难度增加，在实际工程应用中，若分析系统部件种类繁多时应该尽量避免使用此方法。

图5 “座舱压力高度2min持续超过25 000英尺”的发生概率随时间的变化图

［1］宁献文，李运泽，王浚.旅客机座舱综合环境质量评价模型［J］.北京航空航天大学学报，2006，32（2）：158-162.

［2］Bozzano M，Villafiorita A.Integrating fault tree analysis with event ordering information［C］//Proceedings of ESREL.The Netherlands：［s.n.］，2003：247-254.

［3］逯军.民机飞行控制系统的安全性评估和分析研究［D］.天津：中国民航大学，2009：47-50.

［4］胡启明.浅谈波音737飞机空调系统及常见故障剖析［J］.河南科技，2013（2）：118-119.

［5］贺勇军.Matlab——应用数学篇［M］.北京：电子工业出版社，2000.