4. 危害与风险基础
在飞控系统功能安全开发中，所有工作的起点并非代码或硬件，而是对“可能造成伤害的事件”的系统性识别与评估。功能安全标准（如DO-178C/DO-254的适航背景、ARP4754A的系统研制保证、以及IEC 61508/ISO 26262的通用框架）均将“危害分析”作为安全生命周期中最关键的前置活动。本章将围绕四个核心概念展开：危害（Hazard）的精确定义、风险矩阵的构建与使用、可接受风险准则的制定逻辑，以及安全目标（Safety Goal）的导出方法。这些概念构成了从“现实世界潜在伤害”到“工程可验证需求”的桥梁，是后续进行FHA（功能危害评估）、FTA（故障树分析）和FMEA（失效模式与影响分析）的共同语言基础。
上图展示了本章四个核心概念之间的逻辑关系：危害是客观存在的潜在伤害源，风险矩阵提供了一种结构化的评价工具，可接受风险准则给出了判定阈值，而安全目标则是最终输出的、可被系统架构和软硬件需求承接的顶层安全要求。下面逐一展开。
4.1 危害定义：从“失效”到“伤害”的因果链
4.1.1 核心原理：危害不等于失效
在飞控语境下，危害（Hazard）是指“在特定运行环境下，由系统状态或物理环境引起的、可能导致人员伤害或设备损坏的潜在事件”。它强调的是后果，而非原因。例如，“飞机在起飞爬升阶段发生非指令俯仰”是一个危害；而“俯仰速率陀螺输出漂移”是导致该危害的失效模式。区分这两者至关重要：危害分析关注“什么情况会伤人”，而失效分析关注“什么部件会坏”。
危害的识别需要结合运行场景（如起飞、巡航、着陆、地面滑行）、环境条件（如阵风、结冰、电磁干扰）和系统状态（如自动驾驶接通、单发失效）。一个完整的危害描述应包含：触发条件 + 系统行为 + 后果。例如：“在进近阶段，当飞行员指令复飞时，飞控系统错误输出最大低头指令，导致飞机撞地”。
4.1.2 判断方法：功能危害评估（FHA）操作流程
FHA是识别危害的标准方法，通常在飞机级和系统级两个层面开展。操作流程如下：
- 定义分析范围：明确飞机型号、飞控系统构型、运行环境包线。
- 列举功能清单：包括正常功能（如俯仰控制、滚转控制、偏航阻尼）和辅助功能（如配平、自动飞行、包线保护）。
- 识别功能失效状态：对每个功能，考虑其失效模式（丧失、错误、非指令、卡阻等）。
- 评估失效影响：结合飞行阶段和环境，判断对飞机、机组、乘客的后果。
- 分类与记录：按严重度分类（见4.2），形成FHA报告。
4.1.3 案例拆解：某无人机飞控系统的危害识别
以一款最大起飞重量25kg的工业级无人机为例，其飞控系统具备姿态稳定、GPS导航、手动/自动模式切换功能。在FHA中，识别出以下危害：
| 功能 | 失效状态 | 运行阶段 | 后果描述 | 严重度 |
|---|---|---|---|---|
| 姿态稳定 | 滚转通道非指令满偏 | 悬停 | 无人机快速横滚，可能撞击人员或设施 | 灾难的 |
| GPS导航 | 位置信息跳变10m | 航线飞行 | 偏离航线，可能进入禁飞区或撞树 | 危险的 |
| 模式切换 | 手动模式无法退出 | 紧急避障 | 操作员无法接管，失控坠地 | 灾难的 |
| 电量监测 | 低电量误报 | 返航 | 提前降落，财产损失（无人员伤害） | 轻微的 |
该案例说明，同一系统在不同功能失效下，其危害严重度差异巨大。识别阶段应尽量穷举，避免遗漏组合失效场景。
4.1.4 常见误区与复盘
- 误区一：将“部件失效”直接当作“危害”。例如“空速管堵塞”是失效模式，而“速度指示错误导致失速”才是危害。前者是FTA的底事件，后者是FHA的顶事件。
- 误区二：忽略运行环境。同一失效在晴天和暴雨中的后果完全不同。危害描述必须包含环境条件。
- 误区三：只考虑单一失效。组合失效（如“发动机失效+飞控降级”）往往导致更严重的后果，应在FHA中单独列出。
4.2 风险矩阵：量化严重度与发生概率
4.2.1 核心原理：风险是二维函数
风险（Risk）定义为危害严重度（Severity）与发生概率（Probability）的乘积。风险矩阵是将这两个维度离散化后形成的二维表格，用于快速判定风险等级。在航空领域，严重度通常分为五级：灾难的（Catastrophic）、危险的（Hazardous）、重大的（Major）、轻微的（Minor）、可忽略的（Negligible）。发生概率通常用每飞行小时或每飞行循环的失效次数表示，也分为五级：频繁（Frequent）、可能的（Probable）、偶然的（Remote）、极不可能的（Extremely Remote）、几乎不可能的（Extremely Improbable）。
4.2.2 构建方法：定制适合飞控的矩阵
构建风险矩阵的步骤：
- 定义严重度等级：结合适航条款（如FAR/CS 25.1309）和公司安全目标，明确每个等级的具体后果描述。
- 定义概率等级：给出定量范围（如“可能的”对应1e-5~1e-3/飞行小时）和定性描述。
- 组合形成矩阵：将严重度作为行、概率作为列，交叉单元格标注风险等级（如“高/中/低”）。
- 确定可接受边界：通常“灾难的”与“可能的”组合为不可接受；“轻微的”与“频繁的”组合可能可接受但需优化。
| 严重度 \ 概率 | 频繁 (≥1e-3) | 可能的 (1e-5~1e-3) | 偶然的 (1e-7~1e-5) | 极不可能的 (1e-9~1e-7) | 几乎不可能 (<1e-9) |
|---|---|---|---|---|---|
| 灾难的 | 不可接受 | 不可接受 | 不可接受 | 可接受(需论证) | 可接受 |
| 危险的 | 不可接受 | 不可接受 | 可接受(需缓解) | 可接受 | 可接受 |
| 重大的 | 不可接受 | 可接受(需缓解) | 可接受 | 可接受 | 可接受 |
| 轻微的 | 可接受(需缓解) | 可接受 | 可接受 | 可接受 | 可接受 |
| 可忽略的 | 可接受 | 可接受 | 可接受 | 可接受 | 可接受 |
4.2.3 实战场景：矩阵在飞控设计评审中的应用
在某型支线客机飞控系统初步设计评审中，针对“升降舵舵面卡阻”这一失效状态，系统安全组评估其严重度为“危险的”（因为可能导致飞机俯仰失控，但机组有剩余能力应对），发生概率为“偶然的”（根据类似机型服役数据，每飞行小时1e-6）。查矩阵可知，该风险位于“可接受（需缓解）”区域。因此，设计团队被要求增加“舵面位置监控”和“备用俯仰控制通道”两项缓解措施，将概率降至“极不可能的”等级，从而满足适航要求。
4.2.4 常见误区与复盘
- 误区一：概率数据来源不透明。应明确概率是基于FTA定量分析、相似产品服役数据还是专家判断，并记录假设条件。
- 误区二：矩阵单元格的边界模糊。例如“可接受（需缓解）”与“不可接受”之间的界限必须清晰，避免评审争议。
- 误区三：忽略时间维度。风险矩阵是静态工具，但系统风险会随老化、维护质量变化。应定期更新概率数据。
4.3 可接受风险准则：ALARP与阈值
4.3.1 核心原理：风险不可能为零
安全是不存在的。可接受风险准则回答的问题是：“多大的风险是可以容忍的？”航空领域普遍采用ALARP（As Low As Reasonably Practicable，合理可行尽量低）原则，将风险分为三个区域：不可接受区（无论收益如何都必须降低）、ALARP区（需权衡成本与收益，尽量降低）、广泛可接受区（无需进一步降低）。
4.3.2 制定方法：从适航要求到企业准则
制定可接受风险准则的步骤：
- 收集适航与行业基准：如FAR 25.1309规定“灾难性失效状态的平均概率不超过1e-9/飞行小时”。
- 定义企业风险偏好：结合公司历史事故率、客户期望、保险成本，确定ALARP区的上下边界。
- 量化成本效益：引入“人的生命价值”或“每起事故损失”等参数，用于判断降低风险的措施是否“合理可行”。
- 形成书面准则：明确每个风险等级对应的设计保证等级（DAL）和验证要求。
4.3.3 案例拆解：某eVTOL项目的风险准则制定
某电动垂直起降（eVTOL）飞行器项目，适航审定基础要求“灾难性失效状态概率≤1e-9/飞行小时”。项目团队进一步制定了企业准则：
- 对于“危险的”失效状态，概率≤1e-7/飞行小时，且必须设计机组告警和恢复程序。
- 对于“重大的”失效状态，概率≤1e-5/飞行小时，且需通过维修检查降低风险。
- 对于ALARP区，要求每年进行一次风险评审，若出现新的缓解技术且成本合理，则必须采纳。
该准则在项目初期即获得工程、适航、运营三方签字确认，避免了后期因风险判定标准不一致导致的反复设计迭代。
4.3.4 常见误区与复盘
- 误区一：将适航最低要求当作企业目标。适航要求是底线，但优秀企业应设定更严格的内部准则以提升安全裕度。
- 误区二：ALARP论证流于形式。应提供具体的成本估算、技术可行性分析、风险降低量计算，而非简单陈述“已尽力”。
- 误区三：准则不随项目阶段更新。在概念设计阶段可适当放宽，在详细设计阶段应收紧，最终以冻结基线为准。
4.4 安全目标概念：从风险到可验证需求的转化
4.4.1 核心原理：安全目标是“可测量的顶层需求”
安全目标（Safety Goal, SG）是针对每个不可接受或ALARP区危害，导出的顶层安全需求。它描述了“系统必须做什么或避免什么”，并附带定量概率要求和设计保证等级（DAL）。例如，对于“非指令俯仰”危害，安全目标可能是：“飞控系统应防止在飞行包线内发生非指令俯仰速率超过5°/s的情况，其发生概率不超过1e-9/飞行小时，DAL A级。”
4.4.2 导出方法：从危害到安全目标的映射
安全目标的导出遵循以下逻辑：
- 选择危害：从FHA结果中筛选出严重度为“危险的”及以上、且风险等级为“不可接受”或“ALARP区”的危害。
- 定义安全状态：明确“什么状态是安全的”。例如，对于“非指令俯仰”，安全状态是“俯仰角保持在-15°~+20°范围内”。
- 制定安全目标：用“防止/确保/限制”等动词描述系统行为，并附上可验证的量化指标。
- 分配DAL等级：根据严重度确定DAL（灾难的→A级，危险的→B级，重大的→C级）。
- 分解为系统需求：将安全目标分解到飞控计算机、作动器、传感器等子系统，形成FTI（故障容错指标）和监控需求。
4.4.3 案例拆解：安全目标在飞控架构设计中的应用
以某大型运输机为例，FHA识别出“起飞滑跑阶段方向舵非指令偏转”为灾难性危害。据此导出安全目标SG-01：“飞控系统应防止方向舵在起飞滑跑阶段（速度>80节）发生非指令偏转超过2°，其发生概率≤1e-9/飞行小时，DAL A级。”该目标进一步分解为：
- 方向舵指令路径需采用双通道监控，任一通道失效即切断指令输出。
- 偏航速率传感器需采用三余度表决，表决逻辑需通过形式化验证。
- 作动器需具备机械限位功能，防止舵面超限。
通过这种分解，安全目标成为系统架构设计的输入，而非事后验证的参考。
4.4.4 常见误区与复盘
- 误区一：安全目标过于模糊。如“确保飞行安全”不可作为安全目标，必须包含可量化的阈值和概率。
- 误区二：安全目标与危害脱节。每个安全目标必须能追溯到具体的危害，否则无法验证其充分性。
- 误区三：忽略DAL的分配。DAL不仅影响开发保证，还影响验证方法的严格程度（如是否需要形式化方法、故障注入测试等）。