4、危害分析与风险评估：危害识别方法（如FHA、PHA）、风险矩阵、安全目标制定与分配
飞控系统的功能安全设计，其核心逻辑起点并非“如何实现功能”，而是“如果功能失效会发生什么”。危害分析与风险评估（HARA，Hazard Analysis and Risk Assessment）正是回答这一问题的系统性工程方法。在ARP4754A、DO-178C及ISO 26262（针对汽车，但其方法论可借鉴）的框架下，飞控系统的HARA旨在识别飞机级或系统级的潜在危害，评估其严重度、暴露概率和可控性，并据此推导出可量化的安全目标（Safety Goals）与安全需求（Safety Requirements）。本章将围绕危害识别方法（FHA/PHA）、风险矩阵的构建与应用、以及安全目标的制定与分配三个核心模块展开，结合飞控系统的实际工程场景，提供一套可落地的操作指南。
4.1 危害识别方法：从飞机级FHA到系统级PHA
危害识别是HARA的第一步，其目标是穷举所有可能导致飞机、乘员或地面第三方受到伤害的失效状态。在飞控领域，常用的方法包括飞机级功能危害评估（Aircraft-Level FHA）和系统级初步危害分析（PHA）。FHA自上而下，从飞机级功能出发，分析功能丧失或异常对飞机安全的影响；PHA则自下而上，从系统组成、接口和外部环境出发，识别潜在的故障模式。两者互为补充，形成完整的危害识别网络。
4.1.1 核心原理：功能失效与危害状态的映射
FHA的核心在于“功能-失效-影响”的三层映射。例如，飞机级功能“提供俯仰控制”如果完全丧失，可能导致飞机无法维持姿态，进而引发失控坠毁；如果功能异常（如非指令偏转），则可能造成结构过载或人机耦合振荡（PIO）。PHA则更关注系统内部的硬件故障、软件错误、电磁干扰、线缆破损等物理或逻辑层面的失效源。两者结合，既能覆盖“功能看不见”的顶层风险，也能覆盖“部件坏了”的底层风险。
4.1.2 操作流程：FHA与PHA的实施步骤
- 定义分析范围：明确飞机型号、飞行包线（如最大速度、高度、过载）、运营环境（如结冰、雷雨、侧风）、适航规章要求（如CCAR-25部、FAR-25部）。
- 建立功能清单：列出飞机级和系统级所有与安全相关的功能，包括正常功能、降级功能、备用功能。例如：正常俯仰控制、直接模式俯仰控制、备份俯仰控制。
- 识别失效状态：对每个功能，考虑“功能丧失”、“功能异常”、“非指令操作”、“错误指示”等失效类别。使用头脑风暴、检查单、历史事故数据（如ASRS、NTSB报告）辅助。
- 分析影响：评估失效状态对飞机、机组、乘客和地面第三方的影响。影响描述应具体，如“飞机进入不可控俯仰姿态”、“飞行机组失去俯仰配平能力”、“结构载荷超过限制值”。
- 记录危害日志：每个危害分配唯一编号，记录其触发条件、影响、现有防护措施、初步风险等级。
4.1.3 案例拆解：某无人机飞控系统的FHA/PHA实战
以一款中型固定翼无人机（最大起飞重量150kg，飞行高度3000m）为例，其飞控系统包含三余度IMU、双余度飞控计算机、单余度舵机（但每个舵面有双绕组）。在FHA阶段，识别出“飞行中飞控计算机完全失效”这一危害，影响为“无人机失去所有自动控制能力，仅剩遥控器直接控制（若可用）”，严重度评估为“危险”（因可能失控坠毁）。在PHA阶段，进一步分析飞控计算机内部的失效源：CPU时钟故障、电源模块过压、软件跑飞、看门狗失效等。通过故障树分析（FTA）发现，单点故障模式“电源模块输出短路”未被现有架构覆盖，因此新增一条安全目标：要求电源模块具备过流保护且失效概率低于1e-7/飞行小时。
4.1.4 常见误区与总结
- 误区一：认为FHA只是“写文档”，不投入实际分析。实际上，FHA的质量直接决定后续安全目标是否完整。
- 误区二：忽略“组合失效”场景。例如，两个独立传感器同时受结冰影响而输出错误数据，这种共因失效必须通过“共因分析（CCA）”来识别。
- 误区三：危害描述过于笼统。如“飞控系统故障”这种描述无法指导后续设计，应具体到“俯仰速率陀螺输出卡死在最大值”等可验证的失效状态。
4.2 风险矩阵：量化严重度、暴露率与可控性
风险矩阵是连接危害识别与安全目标制定的桥梁。它将定性的危害描述转化为半定量的风险等级，从而帮助团队确定哪些危害需要立即采取缓解措施，哪些可以接受。飞控领域常用的风险矩阵基于SAE ARP4754A和MIL-STD-882E的框架，但需根据具体项目裁剪。
4.2.1 核心原理：三维风险要素
风险等级由三个维度决定：严重度（Severity, S）、暴露率（Exposure, E）和可控性（Controllability, C）。严重度指危害发生后的最坏后果，通常分为灾难级（I级）、危险级（II级）、主要级（III级）、次要级（IV级）和可忽略级（V级）。暴露率指危害发生的概率或暴露于危险环境的频率，例如“每次飞行都可能发生”与“每1000飞行小时发生一次”显然不同。可控性指飞行机组或系统在危害发生后，能否通过剩余能力避免事故，例如“飞行员有10秒反应时间”与“飞行员无任何告警且飞机瞬间失控”的可控性截然不同。
4.2.2 风险矩阵构建与使用
构建风险矩阵时，通常将严重度作为行，暴露率与可控性的组合作为列，形成二维或三维矩阵。下表展示了一个简化的飞控系统风险矩阵示例（S×E×C综合评分）：
| 严重度等级 | 暴露率等级 | 可控性等级 | 综合风险指数 | 风险等级 | 建议措施 |
|---|---|---|---|---|---|
| I（灾难） | 频繁（≥1次/100飞行小时） | 不可控 | 10 | 不可接受 | 必须重新设计架构，消除危害 |
| II（危险） | 偶尔（1次/1000飞行小时） | 部分可控 | 7 | 不可接受 | 必须增加冗余或监控机制 |
| III（主要） | 极少（1次/10000飞行小时） | 可控 | 4 | 可接受（需评审） | 需制定缓解措施并验证 |
| IV（次要） | 极不可能 | 完全可控 | 2 | 可接受 | 无需额外措施，记录即可 |
使用矩阵时，团队需对每个危害进行S、E、C评分，并计算综合风险指数。通常，风险指数≥7为不可接受，4-6为需评审，≤3为可接受。评分过程应邀请飞行试验、系统设计、适航工程师共同参与，避免主观偏差。
4.2.3 案例拆解：风险矩阵在飞控系统中的应用
某通航飞机改装电传飞控系统，在HARA中识别出“升降舵作动器卡阻在中立位”这一危害。严重度评估为II级（危险），因为会导致俯仰控制效能下降，但飞行员可通过配平片和推力差动进行有限控制。暴露率评估为“极少”（作动器MTBF为50000小时，且卡阻模式占所有失效模式的5%）。可控性评估为“部分可控”（飞行员需在5秒内识别并执行备用程序）。综合风险指数为6，属于“需评审”等级。团队决定增加一个“作动器卡阻实时监控”功能，通过比较指令位置与实际位置，在0.5秒内触发告警，并将风险指数降至3。这一案例说明，风险矩阵不仅是评估工具，更是设计改进的驱动力。
4.2.4 常见误区与总结
- 误区一：将风险矩阵视为静态表格，不随设计变更而更新。实际上，每次架构调整、软件升级、运营场景变化后，都应重新评估风险。
- 误区二：忽略“暴露率”与“飞行阶段”的关联。例如，起飞和着陆阶段暴露率远高于巡航阶段，同一危害在不同阶段的风险等级可能不同。
- 误区三：评分标准不统一。建议在项目启动时制定详细的评分准则，并组织培训，确保不同工程师对“频繁”、“偶尔”等词汇的理解一致。
4.3 安全目标制定与分配：从风险等级到可验证的量化指标
安全目标是HARA的最终输出，也是系统设计、验证和适航取证的核心依据。一个合格的安全目标必须满足SMART原则：具体（Specific）、可测量（Measurable）、可达成（Achievable）、相关（Relevant）、有时限（Time-bound）。在飞控系统中，安全目标通常以“失效概率”或“失效事件率”的形式量化，并分配到架构、硬件和软件层面。
4.3.1 核心原理：从风险等级推导安全目标
对于不可接受的风险（风险指数≥7），必须制定安全目标。安全目标的表述应包含：危害描述（如“避免非指令俯仰”）、量化指标（如“俯仰非指令偏转概率≤1e-9/飞行小时”）、适用条件（如“在正常飞行包线内，所有飞行阶段”）、验证方法（如“通过故障树分析+飞行试验验证”）。量化指标的确定通常参考行业基准（如FAA、EASA的适航要求）或通过故障树分析（FTA）反推。
4.3.2 分配流程：从飞机级到部件级
- 飞机级安全目标：例如“飞机在任意飞行阶段发生灾难性失效的概率≤1e-9/飞行小时”。
- 系统级分配：将飞机级目标分配到飞控、动力、液压等系统。例如，飞控系统承担其中60%的预算，即≤6e-10/飞行小时。
- 子系统/部件级分配：进一步分配到传感器、计算机、作动器。例如，三余度IMU的共因失效概率≤1e-11/飞行小时，飞控计算机的软件失效概率≤1e-9/飞行小时（DAL A级）。
- 架构设计反馈：如果分配结果无法满足，则需增加冗余、监控、隔离或降级策略，并重新进行FTA验证。
4.3.3 案例拆解：安全目标分配在双余度飞控计算机中的实践
某中型无人机采用双余度飞控计算机（A/B通道），要求“因飞控计算机失效导致无人机失控坠毁的概率≤1e-7/飞行小时”。初始架构中，A/B通道完全独立，但共享一个电源模块。FTA分析显示，电源模块单点失效概率为1e-5/飞行小时，远超预算。团队采取以下措施：1）将电源模块改为双路冗余，每路失效概率为1e-6/飞行小时，共因失效概率降至1e-12/飞行小时；2）增加通道间交叉监控，若A通道输出异常，B通道在10ms内接管，将“双通道同时失效”的概率从1e-8/飞行小时降至1e-10/飞行小时。最终，系统级失效概率满足目标。这一案例表明，安全目标分配不是简单的数字拆分，而是需要结合架构设计、FTA分析和工程权衡。
4.3.4 常见误区与总结
- 误区一：安全目标过于模糊，如“确保飞控系统安全”。应具体到“在-40°C至+55°C温度范围内，飞控计算机的看门狗失效概率≤1e-8/飞行小时”。
- 误区二：只分配概率目标，不分配功能目标。例如，除了“失效概率”，还应明确“失效后系统应进入安全状态（如自动返航、切换备份通道）”。
- 误区三：忽视安全目标的可验证性。如果目标无法通过测试、分析或仿真验证，则形同虚设。建议在制定目标时同步规划验证方法。