0 引言

发展绿色航空是人类社会形成的基本共识，电动垂直起降（electric vertical takeoff and landing，简称eVTOL）飞行器为实现绿色航空提供了一条光明的技术途径。eVTOL飞行器可以充分利用三维空间资源，有效解决城市道路拥堵，极大提高人们的出行效率，为城市交通带来了质的飞跃。同时，eVTOL飞行器将在城市空中出行、高维货运、应急救援、特色旅游等领域拥有广阔的市场^[1-4]。由于eVTOL飞行器大部分是要进行载人飞行的，所以对其设计过程中进行安全性分析尤其重要。此外，进行制定安全性分析目标的FHA分析是实施安全性分析的第一步。因此，将功能危害性评估方法引入eVTOL飞行器的安全性评估中，为其安全性分配及设计提供依据。首先说明了做功能危害性评估（functional hazard assessment，简称FHA）分析的目的，其次描述了FHA分析的基本过程，再次列出了eVTOL飞行器的部分重要功能以及飞行任务剖面，最后选取eVTOL飞行器某个案例进行了FHA分析。

1 FHA安全性分析方法

FHA是eVTOL飞行器首先要做的安全性分析，它识别危险并为飞行器或系统设定安全性目标。随后，综合飞行器或系统安全性评估将显示设计的飞行器或系统符合FHA^[1]制定的安全性目标。这使得FHA^[5-6]对交付飞行器或系统的最终安全性论证至关重要，除非首先识别和评估危害，否则不可能说危害已得到充分缓解。其次，通过初步系统安全性评估（preliminary system safety assessment，简称PSSA）对FHA提出的安全性目标进行初步分配。最后，通过系统安全性评估（system safety assessment，简称SSA）来验证FHA中提出的安全性目标是否已经实现。其中，故障模式影响（failure mode and effects analysis，简称FMEA）对部件的单一失效进行安全性分析，故障树^[7]（fault tree analysis，简称FTA）对部件的组合失效进行安全性分析。

飞机级的FHA为eVTOL飞行器安全性分析与评估的第一步。将eVTOL飞行器视为研究对象，研究在各个飞行阶段内eVTOL飞行器设计，归纳出可能影响飞行器安全飞行的飞机级功能失效。通过系统综合地列出飞行器的完整功能，识别功能的失效状态，并根据失效影响的严重程度对其进行分类，从而为新机型设计或改进设计确立安全性要求目标。飞行器级FHA是飞行器安全性要求产生和分配的起点，飞行器级FTA以飞行器级FHA的结果为输入，为系统分配安全性要求。飞行器级FHA结果及相关的飞行器级FTA或系统级FHA的输入，是PSSA和SSA的基础。

2 eVTOL飞行器FHA分析的基本过程

FHA^[7]分析的基本过程，分为以下7个步骤:

1）归纳出飞行器级相关的所有功能，其中包括内部功能和级联相关功能；

2）列出飞行器功能的所有失效状态（failure condition，简称FC），其中包括所有的单一和组合失效状态；

3）相同的失效状态处在不同飞行阶段所产生的影响也是不同的，所以需要确定特定FC的飞行阶段；

4）确定特定FC对eVTOL飞行器、人员（机组人员包括地面站机组和乘客）及相关地面人员的影响；

5）确定特定FC的危害性等级，根据特定FC对飞行器、人员以及相关地面人员的影响程度对其进行危害等级分类；

6）列出FC危害性等级的所有原因；

7）提出缓解影响的措施。

3 eVTOL飞行器功能列表

首先建立一个核心功能列表，进行功能分解，以便为识别危险提供一个起点。然后，评估这些危害的潜在后果和相关严重性，再根据严重性和危害源推测缓解措施。进行飞行器级FHA首先需要确定飞行器各级别的所有功能，建立功能清单。在进行飞行器级功能定义时，根据eVTOL飞行器设计目标与要求，在总体专业所定义的飞行器级功能的基础上，进行确认与完善，确定了各层级的功能，列出部分eVTOL飞行器功能清单，见表1。

航空界（包括FAA）普遍认为：飞行、导航和通信是飞机的主要功能，其中飞行是最高优先级^[8]。这与飞机类型、任务和其他变量（例如自主程度）无关。例如，无论是飞行员控制还是软件控制，首要任务是驾驶飞机。在积极控制下，其他顶级功能是将飞机导航到目的地，并按照规定与空中交通管制（ATC）等机构进行通信，以便维持空域管理。以航空为顶级功能进行功能分解，其下级功能包括控制飞行、控制地面运动和控制子系统，其中控制飞行又包括控制飞行路径、控制空地过渡和传递系统状态，依次进行逐级分解，详细内容如表1所示。

表1（续）

4 飞行任务剖面

eVTOL飞行器的飞行任务剖面具体由以下8个阶段构成：

1）爬升到悬停（起飞）。 飞行器从起点起飞和着陆区域（ take-off and landing area，简称 TOLA）处垂直起飞并达到适合转换的高度。

2）过渡到前飞。飞行器从依赖垂直升力机构转变为依赖前飞升力机构。

注意：这种转变可能涉及也可能不涉及重新配置，例如旋翼倾斜，具体取决于概念设计。

3）爬升到巡航。飞行器继续增加高度，直到达到航路飞行的目标高度。

4）巡航。飞行器在目标高度飞行。

5）避障。飞行器进行机动飞行，以避免与检测到的碰撞危险冲突。

注意：冲突探测可以依赖于某种程度的自动化，具体取决于概念。在这个试验中，机上飞行员仍然有责任根据14 CFR 91.113^[9]观察到并避开。

6）进近。飞行器降低高度，直到达到转换的目标高度。

7）过渡到悬停。飞行器从依赖向前飞行升力机构过渡到依赖垂直升力机构。

注意：这种转变可能涉及也可能不涉及重新配置，例如旋翼倾斜，具体取决于概念设计。

8）下降（着陆）。飞行器通过剩余高度垂直下降并降落在目的地TOLA的停机坪上。

5 FHA分析案例

以飞行为顶级功能、控制飞行为二级功能、控制飞行路径为三级功能和控制高度为四级功能进行FHA分析^[10]。飞行阶段包括爬升到悬停、过渡到前飞、爬升到巡航、巡航、避障、进近、过渡到悬停和下降。确定控制高度功能在不同的飞行阶段的不同FC对飞行器、人员以及相关地面人员的影响，通过对影响进行分析，从而确定危害性等级，进而找到原因与提供缓解措施。在功能失效状态中应该根据功能清单逐层分析，做到不重不漏，具体的FHA分析如表2所示。

表2（续）

表2（续）

表2（续）

表2（续）

参照AC 23.1309^[11]系统的安全性分析和评估条款选择安全性验证方法，其中验证方法为失效模式与影响分析（failure mode and effects analysis，简称FMEA）、故障树分析（fault tree analysis，简称FTA）和共因分析（common cause analysis，简称CCA）。关于验证方法的详细信息，可参照文献^[7]和^[11]。

从以上FHA表中可以清晰地看到，在过渡到前飞阶段控制高度功能的不完整或错误的过渡存在灾难性危害。控制高度功能在其他飞行阶段的其他失效状态同样存在多个灾难性危害等级，如表中标红的全都是灾难性危害。因此，控制高度应根据不同飞行阶段实现其相关功能的不同类型设计。在研制保证等级分配中应首先保证灾难性危害等级功能的实现，并优先保证其缓解措施正确实施。

最后，通过其他安全性分析方法如FMEA和FTA等对实现控制高度功能的组件和设备进行分析，来验证FHA分析确定的安全性目标是否达到。

6 结论

近几年来，我国政府出台了多项政策以促进低空飞行的发展。作为低空飞行的重要组成部分，eVTOL飞行器在技术及规模上得到了很大的发展。本文对FHA安全性分析方法进行了研究，其对eVTOL飞行器的安全性分析起到的作用如下：

1）FHA分析为eVTOL飞行器的功能定义、功能失效状态分析和确定功能失效影响等级提供了思路和方法。

2）通过FHA分析确定eVTOL飞行器中安全关键系统，为研制保证分配提供了输入。

3）通过FHA分析确定eVTOL飞行器中影响等级高的功能失效状态，为其PSSA分析提供输入。

本文将FHA分析用在eVTOL飞行器的功能设计中，并得出了eVTOL飞行器的安全关键功能，为其安全性分配及设计提供依据。

参考文献