Page 228 - 航空电子传感器技术的研究与应用

第四章 飞机飞行控制系统

失效概率一般在 10E-4 ～ 10E-3 次 / 小时，如果系统为单余度配置，则显然无法
满足电传飞控系统安全性指标小于 10E-7 的要求。在 20 世纪 80 年代初期，经过
大量的理论研究人员和工程技术人员的合作，很好地解决了这个问题。其基本工

程方法便是采用余度构架，通过表决、监控技术容忍故障、检测故障、隔离故障，
重构系统。对于典型的四余度系统设计，发生任意的二次故障不影响任务的完成。
对故障模型的理论探讨认为，表决策略的探讨应形式化，证明了余度构架对于提
升系统任务可靠性的有效性。对电传飞控系统进行余度架构设计，使得系统能够

容忍任意二次故障而不影响飞行任务。实际上，从各类飞机的实际飞行数据也能
总结出，在绝大多数情况下，电传飞控系统在空中报故后，往往可以凭借其系统
的冗余设计而保证飞机安全返航。

2. 功能危害性分析
功能危害性分析是指系统地、全面地按层次检查系统的各种功能，识别各种
功能失效状态，分析这些功能失效状态对相关系统、人员等方面的各种潜在影响，
以确定这些功能失效可能产生或促使诱发产生的潜在危险及其后果，并根据严酷
程度确定危险的严重性等级。对于电传飞控系统而言，功能危害性分析需要对系

统所提供的每一项功能（例如纵向、横航向控制功能）在各个飞行阶段（例如滑
跑、爬升、巡航、下降、着陆等）发生失效后，对飞行操纵的影响进行分析。根
据影响程度确定其严重性等级，并根据系统的安全性指标要求，确定该功能失效
的概率要求。一般而言，功能失效对系统的危害度可以划分为灾难的、严重的、

轻度的、轻微的、无安全影响五个等级。针对不同危害性的功能模式，系统对其
发生失效概率的要求是不同的。例如，以某型机为例，丧失升降舵的俯仰控制功
能，在飞行的任意阶段，其危害度均为灾难性的，产生该功能失效的故障模式的
发生概率必须小于 10E-8。而丧失航向配平位置指示功能，在飞行的任意阶段，

其危害度均为轻微的（该功能危险项不影响飞行安全，仅会导致驾驶员不能了解
航向配平状态，需谨慎使用航向配平，增加了驾驶员的工作负担），而对产生该
功能失效的故障模式的发生概率在系统级并未做出强制性要求。通过功能危害性
分析可以看到，电传飞控系统中各项功能失效对系统的危害性是存在区别的，部

分功能的失效不会影响飞行安全。
3. 故障模式影响及危害性分析
针对电传飞控系统，开展故障模式影响及危害性分析，是对所实现系统进行

213