庄一欣
中航通飞华南飞机工业有限公司，广东珠海519000
摘要：本文以某大型飞机设计的实践为指导，介绍了飞机研发过程中机载系统共模分析（以下简称CMA）的方法。CMA是一种用来确保系统设计“良好”的定性分析方法。由于设计、制造、维修错误和系统部件失效可能会影响到设计的独立性，因此有必要识别出这些影响独立性的失效状态，并分析判定这些失效影响系统安全性的程度。CMA就是通过分析验证设计中的“与”门事件在设计、制造等过程中是否独立，以识别影响严重失效状态的共模失效，从而来判定设计中是否考虑了共模失效。共模失效的种类很多，例如公共资源失效、软硬件研制错误、安装错误、不合适的维修程序等。这些共模失效涉及到设计、制造、安装、维修各个方面。
关键词：机载系统、系统安全性、失效状态、共模、独立性
1
CMA背景及概述
随着机载系统和设备集成化、综合化的需求不断提升，其组成和原理也日益复杂化，随之而来的是系统重大故障的发生难以通过传统的单一分析方法进行识别和确定。针对这一情况，产生了基于故障树方法的结构化分析方法，其中的重要一环就是以故障树识别的独立性要求为基础，判断系统实现过程中对于独立性要求的是否得到贯彻。
在系统安全性评估中进行故障树分析时，一般假设故障树中“与”门下的事件是相互独立的。“相互独立事件”的定义是：事件A（或B）是否发生对事件B（或A）的发生没有影响，这样的两个事件叫做相互独立事件。但是存在一些常见的共模故障，例如：相同能源故障、相同安装错误、相同温湿度等环境因素可能导致“与门”事件同时发生，从而影响并破坏“与”事件之间的独立性。
CMA的目的就是验证故障树分析（FTA）中的“与门”事件的独立性确实存在，若不存在，即存在共模，需要进一步确定这种共模的可接受性。
2 CMA定义
共模失效：可能影响多个单元或设备独立性的故障或失效。
共模分析：对可能破坏独立性要求的共模故障进行识别和分析的过程称为共模分析。
3 CMA过程
3.1 确定通用检查单
CMA需要考虑的因素很多，一般需要先制定通用检查单。通用检查单包括三部分，即共模类型和来源部分、共模失效和错误部分、可接受方法部分。
3.1.1 通用检查单
通用检查单包括：共模类型、共模子类型、共模源、共模失效和错误。
共模类型是从设计、制造、安装、维修、环境方面对失效进行的初步划分。共模子类型是对共模类型的进一步细化。共模源是在共模子类型的基础上对共模更加具体的描述，共模失效和错误是对造成共模失效原因的具体描述，见表1。
.png)
3.1.2 确定共模分析需求
CMA分析需求的确定主要从PSSA中失效状态故障树的最小割集中获取。确定CMA分析需求分为以下几个步骤：
a)确定需要进行共模分析的失效状态
失效状态是开展共模分析的基础。系统级CMA，其相应来源为SFHA和PSSA。目前规章仅要求灾难性的失效状态必须要进行CMA。
b)形成需要进行共模分析的失效状态清单
列出所有需要开展共模分析的失效状态，形成失效状态清单，同时给出失效状态的类别、定性目标和定量目标，并将这些信息填入失效状态清单中。
c)确定共模分析需求
针对失效状态清单中的每一个灾难性的（Ⅰ类）失效状态，基于失效状态对应的故障树，找出故障树中的每一个“与门”事件，主要找出故障树的二阶、三阶最小割集，作为CMA需求进行进一步分析。
例如，如图1所示供电功能丧失的故障树，可见正常供电丧失和应急供电丧失同时失效会导致供电全部丧失。
.png)
图1确定共模分析需求示例
该故障树的共模需求可以表述为：正常供电和应急电源之间应具有独立性。
3.2 确定共模类型和共模来源
对确定的每一个CMA需求，根据通用检查单，选择共模类型和选择共模来源，分析共模失效和错误，确定独立性需求是否真实存在。
3.2.1 确定共模类型
根据CMA通用检查清单，判断每个共模类型对CMA需求的共模适用性。一旦为CMA需求选择了共模类型，必须针对共模类型详细地确定共模来源。
3.2.2 确定共模来源
确定共模来源分为以下两个步骤：
第一步，针对每种共模类型（例如设计架构），确定CMA需求两部分（例如正常供电和应急电源）的具体工作特性。其中应特别关注与独立性相关的特性。
第二步，分析CMA需求两部分所对应具体特征的相似程度。
经过上述两个步骤，可确定出“正常供电和应急电源之间具有独立性”这一CMA需求在设计架构这一共模类型下的共模来源有两个，分别为“相同通风”和“有相同的软件控制应急电源和检测正常电源失效”。
3.3 分析共模失效和错误
3.3.1 确定共模来源的共模失效和错误
针对每个潜在共模来源，确定其共模失效和错误。例如：“供电完全丧失”失效状态中的一个共模来源是“相同通风”，其共模失效和错误是“相同通风丧失造成正常和应急装置功能丧失”。
3.3.2 确定共模的可接受性
对于不符合独立性要求的共模失效，则应根据设计防护措施和通用可接受方法检查单，来确定此共模是否可接受。
3.4 CMA报告
在CMA过程中，如果存在不可接受的情况，则将拟定和发布一个特定的不符合性清单，并在CMA之外开展可接受性程序。在这个可接受程序内，根据证明材料和对于安全性的影响确定结论，或接受共模危险，或进行设计修改。
4 小结
历史经验表明，在飞机设计过程中内引入共模分析是型号系统安全性水平的必经之路。然而这个过程并不轻松，更不能一蹴而就。其中关键是将各项工作落实，并逐步地深入而不是搞表面工程。相信通过坚持不懈的努力和不断的积累，其效果必然能够突显出来。
参考文献
SAE International，SAE ARP 4761，Guidelines and Methods for conduct the Safety Asssessment Process on Civil Airborne Systems and Equipment
SAE International，SAE ARP 4754A，Guidelines for Development of Civil Aircraft and Systems