qy球友会

企业在产品研发、生产、销售及维护过程中，都积累了大量的数据。这些数据如何利用，是涉及到企业的产品创新、市场开拓等问题。对于企业可靠来说，通过应用可靠性数据分析、决策与改进后，产品的可靠性逐步提升，可能存在这样的疑惑，可靠性分析工作的困惑：越是可靠的产品，越难获得数据分析、证明产品的可靠。 这是正常的，也是目前国内外较多的机构面临问题。在解决高可靠的产品可靠性分析、评估工作时，更需要对可用大数据进行规范化管理、应用，更需要综合利用不同来源数据，包括产品后期的返修数据库数据、维修记录数据库等。对于可靠性分析评估来说， 可靠性数据分析与一般统计不同的地方，一个是存在删失、一个是存在无存故障问题。

为了解决产品可靠性数据缺少、无故障等问题，可采用如下方法： （1）收集元件/零部件级的数据，根据竞争风险模型（例如，元件一般包括多个故障模式，每个故障模式对于元件是否失效，都是存在竞争关系。根据元件的故障模式竞争关系，进行元件的可靠性评估。 （2）元件到组件或者系统级别的迭代可靠性评估时，可以根据元件与组件/系统的逻辑关系，建立串并联、冗余等结构模型，然后利用元件的数据进行上一层次级别产品的可靠性评估，评估时，可能会用到贝叶斯等方法进行评估。

我们随着技术的变革，我们逐步关注对产品的信息化管理，关注产品的数据采集。数据采集手段也越来越丰富。当前，在产品研制生产、使用过程中，安装相应的传感器或芯片，进而探测产品的运行性能、状态，是一种重要发展趋势。通过数据采集手段，可实时或者非实时采集包括用户使用率、系统载荷、各种环境变量等信息。现在甚至有可能开发相应的可探测、收集器件或者系统的物理、化学、性能降级或者其他指标。我们可以称这些数据为系统运行或者环境数据。

在产品研发过程中，企业一般都会积累一定的研发过程数据，包括设计数据、试验数据等。但是，真正能够有效反应产品的质量可靠性的数据，还是产品投入市场后的现场数据，尤其是返修、维修数据。

当前，公司逐步发现了这些返修数据包含了丰富的可靠性信息。当企业的产品投入市场6-8个月以后，如果返修费用超过了预期值，此时，管理者可能会质疑产品全生命周期的维护费用，从而需要进行产品的市场决策。

这些返修数据，尽管积累了很多，但是存在两个问题：一是缺乏比较合理的故障模式数据（可能故障数据很多，但是可用于指导、判断产品实际故障的数据很少）；二是返修数据往往是经过删减的。因此，如果企业要关注产品的质量可靠性，需要不仅关注产品的维护数据，更要关注产品的其他数据。

维修数据可以作为现场数据的第二类数据。但是，返修数据、维修数据，由于企业管理或者一些报告的规则问题，往往会缺乏一些质量可靠性工程所需的信息。例如，一个阀座被更换时，由于一共有16个阀座，所以，在记录数据是可能不会记录到底是哪个阀座更换了。这使得很难判断类似位置的阀座是否需要更换。（因为可靠性分析时，产品所处的位置、环境是非常关键的因素）

qy球友会能为您提供:

1、qy球友会长期从事产品（包括航空、航天产品、电力、电子等行业）的可靠性分析、评估工作，并采用先进的大数据理念，研发了具有数据深度挖掘与分析的产品可靠性大数据分析平台，基于该平台，可快速帮助企业进行数据资源的整合，并能高效输出企业各层次角色关心的产品质量可靠性信息，包括产品的故障根源分析数据、产品可靠性预测数据、产品诊断分析数据、剩余寿命预测、返修率等预测数据

2、qy球友会建立了一支具备丰富产品质量可靠性数据分析团队，可以帮助企业针对具体产品的数据，进行数据规范化梳理，帮助数据的规范处理、清洗、建模等

由于网络信息系统的特殊性，加上缺乏相应的可靠性分析评价工程技术、规范支撑，以及工程示范推广，这些网络信息系统的可靠性分析评价问题悬而未决，使得网络信息系统可靠性工作的开展，面临巨大的挑战，表现在：

a．可靠性指标体系是否合理、完整、可测，直接关系到最后设计出系统的可靠性水平。由于网络信息系统不仅要求功能可靠，而且要求业务传输可靠、拓扑结构可靠。综观现有的可靠性评价指标体系，更多是从单一的网络结构层面提出的可靠性指标，或是从硬件本身提出的可靠性评价指标，而没有考虑网络信息系统本身特有的网络通信与控制相结合、硬件与软件结合特点，没有全面表征出作战任务、活动与功能、系统之间的相互关联、相互依赖关系。为此，直接套用现有的可靠性指标体系不可取，需要研究、梳理能够全方位表征网络信息系统的作战可靠性要求、功能和业务可靠性、系统可靠性要求的指标体系。

b．由于网络信息系统不仅包括各种形态的网络，而且包括指挥系统、控制系统以及各种任务单元等，包含较多的业务活动和流程、操作控制。要建立网络信息系统的可靠性模型，需要理清网络信息系统的任务、活动、功能、系统、设备之间的关联关系、依赖关系，需要表征出网络信息系统的信息物理融合特点。现有的可靠性建模技术、方法，更多是直接基于装备树形结构，采用可靠性框图的方式建立可靠性模型。这种方法，难以表征网络信息系统的信息物理融合、各组成单元的关联关系、依赖关系等。所以，急需研究、梳理出适用于网络信息系统的可靠性建模方法。

c．受限于网络信息系统的研制周期短、系统复杂、涉及的资源多种多样，系统试验样本小等限制，完全借助试验手段进行网络信息系统的可靠性评价不可取。因此，急需借鉴现有的可靠性评估方法，研究梳理出适用于网络信息系统的可靠性评估方法。

d.由于长期以来，网络信息系统的可靠性工作进展缓慢，且网络信息系统研制过程中，相应的数据收集工作不规范，开展网络信息系统的可靠性分析评价工作时，往往出现数据不足、不规范等问题。为此，需要研究、梳理网络化信息系统研制、试验过程的数据采集方法，制定相应的数据采集模板，并发放到研制单位。 .

基于上述考虑，在收集通信系统相关数据的基础上，基于任务、设备等之间的关联关系，进行通信系统的可靠性评估

产品测试性分析，目前主要基于测试性建模，在测试性模型基础上，进行测试性的指标分析、测试性设计、诊断策略生成以及验证.

现在，企业进行产品的运行性能监测，实时收集产品运行数据，是一个重要发展趋势，也逐步成为了现实。但是收集到的实时运行数据，如何支撑产品的健康预测、分析与诊断，是需要借助相应的技术及工具.

2016年3月，Telcordia正式推出了SR-332 2016版电子产品可靠性预计标准，该标准共9章，给出了电子产品可靠性预计、设备稳态可靠性预计（包括基于黑箱技术、综合实验室数据、综合现场数据的可靠性预计、早期可靠性预计、元器件可靠性预计、系统可靠性预计、设备参数评估、失效率因子等。

可编程逻辑门电路FPGA在航空、航天、核电等工业系统中广泛应用。FPGA是在硬件生产制造出来后，再灌注相应的软件程序进入。FPGA拥有广泛用于航空、航天、核电基础设备或者控制、安全设备上的其他器件的综合特点，例如模拟电路、微处理器、和可编程逻辑控制器PLCs。但是，FPGA在使用过程中，对其进行验证是一项非常关键的工作。也正因如此，使用FPGA的系统的可靠性、安全性评估逐步成为了当前的热点。使用动态流图的方法，是一种有效进行FPGA可靠性分析的手段。他可以用于软件/硬件集成的控制系统中。经过分析，使用动态流图DFM方法，可以有效建立IEEE1164、Dflip-flops、配置逻辑门、和FPGA信号处理器等类型的使用FPGA的系统模型。也就是说，动态流图DFM方法，可以有效分析使用上述四种类型的FPGA 的系统可靠性、安全性。

像航空、航天用的集成电路，对其可靠性具有较高的要求。如何分析复杂集成电路的可靠性，是设计师和管理人员非常关心问题。 为解决复杂集成电路的可靠性分析问题，可借助qy球友会提供的可靠性分析平台实现。平台的核心包括负偏压温度不稳定性/热载流子注入（NBTI/HCI）分析模块、随时间变化的介电击穿（TDDB）分析模块、EM分析模块以及MTTF分析模块。平台集成了包括网表文件（Netlist）、设计库、布线、测试参数、Datasheet、使用条件、故障判据、设计准则、失效物理模型等数据，综合利用这些数据开展NBTI/HCI分析、TDDB分析、EM分析以及MTTF分析。最后可得到复杂集成电路的可靠性分析结果。

• MIL-HDBK-217F - Reliability Prediction of Electronic Equipment电子设备可靠性预计

• EPRD - Electronic Parts Reliability Data电子元件可靠性数据(RIAC)

• NPRD-95 Non-electronic Parts Reliability Data非电元件可靠性数据(RIAC)

• FMD-97 Failure Mode/Mechanism Distributions 故障模式/机理(RIAC)

• SPIDR - System and Part Integrated Data Report (System Reliability Center)系统和元件综合数据报告

• SR-332 Reliability Prediction for Electronic Equipment (Telcordia Technologies)贝尔实验室的SR-332 电子设备可靠性预计

• FIDES (mainly electronic components)

• IEC/TR 62380 Reliability Data Handbook - Universal model for reliability prediction of electronics components, PCBs and equipment可靠性数据手册

• EiReDA - European Industry Reliability Data（Mainly components in nuclear power plants）欧洲工业可靠性数据

• OREDA - Offshore Reliability Data（Topside and subsea equipment for offshore oil and gas production）海洋设备可靠性数据

• Handbook of Reliability Prediction Procedures for Mechanical Equipment 机电设备可靠性预计流程手册- Mechanical equipment - military applications

• T-Book (Reliability Data of Components in Nordic Nuclear Power Plants (ISBN 91-631-0426-1)

• Reliability Data for Control and Safety Systems - PDS Data Handbook Sensors, detectors, valves & control logic控制和安全关键系统可靠性数据

• Safety Equipment Reliability Handbook (exida)Safety equipment (sensors, logic units, actuators)安全设备可靠性手册

• WellMaster (ExproSoft)Components in oil wells

• SubseaMaster (ExproSoft)Components in subsea oil/gas production systems

• PERD - Process Equipment Reliability Data(AIChE)Process equipment工艺设备可靠性数据

• GIDEP (Government-Industry DataExchange Program)

• CCPS Guidelines for Process Equipment Reliability Data, AIChE, 1989Process equipment工艺设备可靠性数据指南

• PERD - Process Equipment Reliability Data (AIChE)Process equipment工艺设备可靠性数据

• IEEE Std. 500-1984: IEEE Guide to the Collection and Presentation of Electrical, Electronic, Sensing Component, and Mechanical Equipment Reliability Data for Nuclear Power Generating Stations

• FASIT (Feil og avbrudd i kraftsystemer)Failure in the electro-power supply system (in Norwegian) 。

随着客户对产品质量可靠性要求的提升，以及市场竞争力的驱动，使得面向可靠性的设计（Design for Reliability, DFR）成为了现在产品设计的主流。DFR技术在产品设计周期，将各阶段的设计技术融合在一起。DFR可以分为六个主要部分：

1）失效物理分析（PoF）；

2）环境和用户使用应力的量化分析；

3）故障分析；

4）应力测试；

5）参数数据分析；

6）生产制造控制。

其中，早期时段，由市场驱动得到可靠性需求，在此阶段需要对相似产品的使用环境、用户使用应力、故障分析进行初步分析。此时，可能使用FMEA、风险指数分析等手段进行分析。

在中期的设计和优化阶段，需要实施应力测试和参数退化分析。此时，可能使用加速试验方法实施。

在试验验证阶段，主要关注可靠性验证试验。此时，基于贝叶斯的试验验证方法可以使用，以降低研制成本和研制周期。

国内外与可靠性相关的主要期刊与杂志：

国外期刊与杂志；

• 工程故障分析Engineering Failure Analysis

• 欧洲应用研究European Journal of Operational Research

• IEEE 可靠性专刊IEEE Transactions on Reliability

• IEEE 设备与材料可靠性专刊IEEE Transactions on Device and Materials Reliability

• 运行工程期刊International Journal of Performability Engineering

• 可靠性与安全性期刊International Journal of Reliability and Safety

• 可靠性、质量与安全性工程International Journal of Reliability, Quality and Safety Engineering

• 质量与可靠性管理期刊International Journal of Quality and Reliability Management

• 质量、统计与可靠性期刊International Journal of Quality, Statistics, and Reliability

• 质量技术与质量管理期刊International Journal on Quality Technology and Quantitative Management

• 可靠性与质量性能International Journal of Reliability and Quality Performance

• 流程工业的损失保护Journal of Loss Prevention in the Process Industries

• 风险与可靠性杂志Journal of Risk and Reliability

• 寿命周期数据分析杂志Lifetime Data Analysis

• 微电子可靠性Microelectronics Reliability

• 性能评估Performance evalsuation

• 质量与可靠性工程Quality and Reliability Engineering International

• 质量技术和质量管理Quality Technology & Quantitative Management

• 可靠性工程和系统安全性Reliability Engineering & System Safety

• 可靠性：理论与应用Reliability: Theory & Applications

• 软件测试、验证和可靠性Software Testing, Verification & Reliability

国内杂志与期刊

• 质量与可靠性

• 电子产品可靠性与环境试验

• 航空维修与工程

可见，国内专业的可靠性相关期刊相对较少。

可靠性数据处理过程中，需要了解与掌握以下几个数据概念：

完全数据。

完全数据，是指试验或者观测时间段内，所有的试验样品均故障，可以观察到所有的样品的故障时间。

右删失数据。

是指试验样品在观测时间段内，一些样品仍未失效，无法判断其具体的失效时间，称为右删失。例如，5个样品开展可靠性试验，其中3个样品在试验期间观测到失效，但是有2个试验结束了仍未失效，则未失效的2个样品，为右删失数据。

测试间隔数据。

在开展试验过程中，我们往往不会实时能够监测到样品的失效时间或者性能，一般是采取间隔测试的方法，检查样品是否失效。因此，测试间隔数据，是指在开展试验过程中，按一定的时间间隔，进行样品是否失效的监测。通过检测，只能判断出样品在哪个时间段内失效，但是无法判断具体的失效时间点。

左删失数据。

步骤一：绘制故障时间与加速变量的图形。

步骤二：分别针对不同应力下的加速变量数据进行分布拟合。在概率图上，绘制出每个加速变量等级下的评估参数的极大似然曲线。使用图中的点和拟合的曲线，进行寿命分布的适用性评估以及σ的假设适用性评估。分别对不同的假设分布进行上述的评估。

步骤三：根据上述分析、评估确定的寿命和加速变量之间得到的分布，进行总体的分布模型的拟合。

步骤四：比较步骤三得到的综合分布模型与步骤二得到的单个分布模型的差异性，以便分析选用分布模型的合理性。

步骤五：对模型进行执行残差分析和其他检查。

步骤六：分析评估加速寿命试验数据进行所需的推断的适用性。

这一技术的出现，使得产品生命周期逐步由原来的线性生命周期变为了环状的生命周期，产品也逐步实现模型化、数字化，从而为产品研发企业构建了从原材料—设计-生产-试验验证-使用维护等全过程的数字化管理、可视化管理。对于产品研发人员来说，产品的创新、协作和验证的流程不仅可以基于产品的数字化表示，更可以通过三维体验平台，来让设计师和客户在产品诞生之前或制造过程中就能与产品进行互动，进行产品测试，理解产品如何工作等。

Digital Twins技术不仅是真实产品的可视化，它更意味着你可以在它身上获得、创造出比实物产品更多的东西。Digital twins是用于创新产品和创造价值的，它远远超过了建模、可视化和仿真。

其中，PTC公司认为，当产品生命周期管理（PLM）流程能够延伸到产品应用的现场，再回溯到下一个设计周期，就建立了一个闭环的产品设计系统。闭环的流程能够带来新的设计灵感，并且能实现在产品出现故障之前进行预测性维修。应对未来智能互联设备世界的复杂性，不仅需要开发物联网应的各种用程序将各种设备连接起来，还需要通过物联网实现产品的售后服务和支持方式的变革。目前在处理海量数据和挖掘有用信息方面，制造企业面临巨大挑战。成百上千产品所产生的海量信息量带来了前所未见的各种问题。应用大数据和预测分析技术后，制造企业将了解哪个产品什么时候会出故障，从而避免故障带来的各项损失。这一优势促使一些企业不断改善客户支持，在产品服务中增加预测性维护，从而提高产品的正常运行时间。虽然产品故障前的预测性维护可以改善产品的售后服务，但使用过程中的产品利用Digital Twin技术后，可以让售后服务与支持更加高效，同时也能获得更高回报。

PTC公司提出的Digital Twin理念认为：Digital Twin技术将传统的产品周期的线性表现，转化为完整循环、回圈。和传统设计产品的流程不同，这里所谓的完整循环就会变成环状的产品周期。

如此一来，产品的设计产出流程，由原先的设计完，出售，完毕，设计者和使用者完全没有任何链接。快速演变为现在的设计者在设计阶段就必须不断验证设计的正确性、可用性并进行各种测试。特别是利用真实使用者，接收他们的意见回覆，还有实际使用上碰到的各种数据资料收集。

ANSYS公司提出了安世亚太公司基于物联网技术及其该公司的仿真平台，推出了基于仿真的产品研发平台。 术。

并给出了具体的例子。

步骤一：在使用现场，通过传感器发现、探测到故障

步骤二：根据检测发现的问题，使用仿真器确定边界，并将边界条件反馈到3D流体结构模型中。比如将压力和电压边界条件反馈到3D仿真模型中

步骤三：通过传感器，将使用过程中的数据输入到仿真器中。虚拟的传感器的数据将反馈到数据分析中。

步骤四：利用专业的分析工具，进行深层次的分析。

步骤五：最后，结合各项仿真数据、性能退化数据等，进行产品的故障预测、判断。例如，可以使用qy球友会信息科技的可靠性分析软件、可用性分析软件Asend进行故障的预测、判断。

随着我国的装备技术发展，装备的功能、性能都有了长足的发展。但是，装备的保障性水平，一直是我国装备在部队使用的一个短板。可能很多单位都不解，为何我们自己研发的装备，功能、性能测试都非常好，可靠性水平也非常高，但是，部队反应回来的信息是，在实战过程中，装备的可用性差呢？关键的一个问题在于，我国的装备的研制，由于各种原因，装备参研单位众多，单位研制水平参差不齐，各单位研制的装备，都是按照自我的设计标准进行设计。在进行装备集成、列装时，可能是各种的不兼容，可能是需要配备五花八门的备件。有些装备，配备的技术人员、备件远远超出了执行任务所能承载的负荷。

就以某装备来说，参研的单位有20多家，在进行装备集成安装时，各设备的数据线就五花八门，当时有技术人员说，这些装备的统一性、标准化水平，还没民用的数据线那么规范、标准。结果，为了使用该装备，配备了各种各样的数据线，光数据线就满满一大箱。这样的设计，如何降低装备的保障性水平、如何提高保障效率？如果一个设备的数据线坏了，还得找专门的数据线，如果找不到，整个装备可能都无法用了。这不是自己给自己找麻烦吗？

为此，要提高装备的保障性水平，不光要开展保障性设计、分析等，更要开展保障性的基础性的工作，比如装备的标准化、互换性设计工作。

随着电子产品的应用场景的多样化、综合化，电子产品使用场景下的应力环境，包括内部和外部环境越来越复杂，应力强度越来越大。如何在产品设计过程中分析产品的使用极限以及极限环境下哪些部件是薄弱环节，是设计师需要解决的问题。

最坏情况电路分析，是分析电路所经历的环境变化、参数漂移以及输入阐述漂移出现的极端情况及其组合，并进行电路性能分析和元器件应力分析。这里所指的环境变化，包括了温度、辐射、电磁、湿度、振动等变化。参数漂移一般是由于温度、辐射、老化等造成的，输入漂移包括输入电源电平漂移、输入激励的漂移等。最坏情况电路分析是电路容差分析的重要内容，是一种极端情况分析。

最坏情况电路分析方法，一般包括极值分析法（EVA），平方根分析方法（RSS）、蒙特卡洛仿真方法。

极值分析法EVA这种方法简便、直观，方便得到电路最坏情性能结果，不需要电路参数的统计输入数据，但是这种方法是最为保守的方法，需要元器件极值数据或者数据库支撑，这个在国内实施起来比较困难。另外，也有人提出了改进的极值分析方法。该方法适用于已知输入参数极值的场合，且需要性能参数的解析方程支持。

平方根分析方法，不要求参数的分布类型，是假设电路性能服从正态分布，需要知道输入参数的均值和方差，利用均值和方差通过相应的计算模型进行计算。

蒙特卡洛仿真方法，是最为实际的方法。这种方法也是国内使用较为多的一种。这种方法是利用SPICE等软件，以电路图或者Netlist文件为基础，输入各电路元件各参数的标称值、漂移量，然后使用蒙特卡洛抽样方式，得到不同仿真次数下的性能参数，最后利用统计方法得到电路的性能统计结果。

可靠性维修性标准

附件下载：国内外可靠性维修性相关标准

基于模型系统工程（Model-Based System Engineering）是采用模型的表达方法来描述整个系统生命周期中的需求、设计、分析、验证和确认等活动，基于模型的可靠性设计分析结合了可靠性设计分析技术最新发展，利用故障物理方法、可靠性与性能一体化设计分析方法以及数字化设计环境下的可靠性设计分析技术对产品进行可靠性预计等一系列活动。可靠性与可靠性工程工作的目标是确保新研和改型的装备达到规定的可靠性，为确定和达到装备的可靠性要求所进行的一系列技术和管理活动。基于模型开展分析，利用现有的自动分析算法（例如故障树FTA，FMECA，可靠性预计）通过计算机实现全自动的可靠性分析，保持和提高装备的可靠性水平，以满足系统完好性和任务成功性要求、降低对保障资源的要求、减少可靠性分析人员重复性工作，降低设计成本、减少寿命周期费用。

50年代末期，国外就己经提出了可靠性建模的思想。随着科技的发展，现代化装备采用了大量高新技术，系统的复杂性也越来越高，为了保证装备完好性、任务的成功率以及减少寿命周期费用，可靠性建模越来越受到科研人员的重视。qy球友会科技自主研发的装备通用质量特性智能设计与分析系统PosVim,就是以国际先进的模型化设计分析思想为指导,促进与实现装备设计可靠性到可靠性设计（DFR）为目的，解决装备通用质量特性工程问题为主旨，严格控制和降低装备质量风险为根本出发点的集成化设计分析平台。

系统是由互相作用和互相依赖的若干单元结合成的具有特定功能的有机整体。系统的各种特性可以采用多种模型来加以描述。例如，原理图反映了系统及其组成单元之间的物理上的连接与组合关系，功能框图及功能流程图反映了系统及其组成单元之间的功能关系，装配图是表达机器或部件装配关系和工作原理的图样，数字样机是在实际生产产品之前为概念设计、机械工程和制造提供可用于研宄的、完整的数字化产品。可靠性模型就是用来描述系统及其组成单元之间的相互联系和相互影响，以及单元故障向系统传播的规律，它通过描述系统故障和修复的行为特征，支持对装备故障分析和可靠性设计分析。qy球友会科技研发的PosVim的功能覆盖装备全生命周期的通用性质量特性工作项目，可满足大至体系，小至元器件或材料的通用质量特性设计分析工程需求，快速帮助企业找出装备通用质量特性设计的薄弱环节（短板），并实现优化设计，提升装备的通用质量特性水平。

在产品的设计阶段进行可靠性建模分析，可以直观地反映出系统故障的逻辑关系，有助于提出产品在非功能方面的参数指标，保障产品在使用时的质量；在产品成型阶段，通过建立可靠性模型及对模型的求解和分析可以得到系统相关的可靠性参数指标，了解系统此时所处的可靠性水平，对未达到可靠性要求的系统进行重新的设计随着现代工程系统的复杂化，各种故障在系统工作期间所占比重增大，需要采用新的可靠性建模技术来应对这种系统的复杂性。传统的系统可靠性建模方法以系统结构和可靠性逻辑描述为主，使用基于统计的数据。主要分为静态模型和动态模型两类，静态模型包括了可靠性框图(RBD)、网络可靠性模型(NR)Ä静态故障树模型(FT)、二元决策图(BDD);动态模型包括动态故障树模型(DFT)、马尔科夫模型（CTMC）、随机Petri网模型(SPN)、GO模型等。

基于模型的可靠性分析流程

目前，PosVim已经在航天、航空、船舰、电子、兵器等装备领域以及高校得到了广泛应用。

1. 引言

汽车上电子/电气系统（E/E）数量不断的增加，一些高端豪华轿车上有多达70多个ECU（Electronic Control Unit电子控制单元），其中安全气囊系统、制动系统、底盘控制系统、发动机控制系统以及线控系统等都是安全相关系统。当系统出现故障的时候，系统必须转入安全状态或者转换到降级模式，避免系统功能失效而导致人员伤亡。失效可能是由于规范错误(比如安全需求不完整)、人为原因的错误(比如：软件bug)、环境的影响( 比如：电磁干扰)等等原因引起的。为了实现汽车上电子/电气系统的功能安全设计，道路车辆功能安全标准 ISO 26262[1]于2011年正式发布，为开发汽车安全相关系统提供了指南，该标准的基础是适用于任何行业的电子/电气/可编程电子系统的功能安全标准IEC 61508[2]。

ISO 26262标准中对系统做功能安全设计时，前期重要的一个步骤是对系统进行危害分析和风险评估，识别出系统的危害并且对危害的风险等级——ASIL等级（Automotive Safety Integration Level，汽车安全完整性等级）进行评估。ASIL有四个等级，分别为A，B，C，D，其中A是最低的等级，D是最高的等级。然后，针对每种危害确定至少一个安全目标，安全目标是系统的最高级别的安全需求，由安全目标导出系统级别的安全需求，再将安全需求分配到硬件和软件。ASIL等级决定了对系统安全性的要求，ASIL等级越高，对系统的安全性要求越高，为实现安全付出的代价越高，意味着硬件的诊断覆盖率越高，开发流程越严格，相应的开发成本增加、开发周期延长，技术要求严格。ISO 26262中提出了在满足安全目标的前提下降低ASIL等级的方法——ASIL分解，这样可以解决上述开发中的难点。

本文首先介绍了ISO 26262标准中的危害分析和风险评估阶段中的ASIL等级确定方法，然后介绍了ASIL分解的原则，并辅以实例进行说明。

2. 危害分析和风险评估

依据ISO 26262标准进行功能安全设计时，首先识别系统的功能，并分析其所有可能的功能故障（Malfunction），可采用的分析方法有HAZOP，FMEA、头脑风暴等。如果在系统开发的各个阶段发现在本阶段没有识别出来的故障，都要回到这个阶段，进行更新。功能故障在特定的驾驶场景下，才会造成伤亡事件，比如近光灯系统，其中一个功能故障就是灯非预期熄灭，如果在漆黑的夜晚行驶在山路上，驾驶员看不清道路状况，可能会掉入悬崖，造成车毁人亡；如果此功能故障发生在白天就不会产生任何的影响。所以进行功能故障分析后，要进行情景分析，识别与此故障相关的驾驶情景，比如：高速公路超车、车库停车等。分析驾驶情景建议从公路类型：比如国道、城市道路、乡村道路等；路面情况：比如湿滑路面、冰雪路面、干燥路面；车辆状态：比如转向、 超车、制动、加速等；环境条件：比如：风雪交加、夜晚、隧道灯；交通状况：拥堵、顺畅、红绿灯等；人员情况：不如乘客、路人等几个方面去考虑。功能故障和驾驶场景的组合叫做危害事件（hazard event）， 危害事件确定后，根据三个因子——严重度（Severity）、暴露率（Exposure）和可控性（Controllability）评估危害事件的风险级别——ASIL等级。其中严重度是指对驾驶员、乘员、或者行人等涉险人员的伤害程度；暴露率是指人员暴露在系统的失效能够造成危害的场景中的概率；可控性是指驾驶员或其他涉险人员能够避免事故或伤害的可能性。这三个因子的分类在表1中给出。

ASIL等级的确定基于这三个影响因子，表2中给出了ASIL的确定方法，其中D代表最高等级， A代表最低等级，QM表示质量管理（Quality Management），表示按照质量管理体系开发系统或功能就足够了，不用考虑任何安全相关的设计。确定了危害的ASIL等级后，为每个危害确定至少一个安全目标，作为功能和技术安全需求的基础。

下面以EPB（Electrical Park Brake）系统为例介绍如何进行危害分析和风险评估。

EPB较传统的驻车制动器，除了驻车功能，还有动态起步辅助功能、紧急制动功能以及自动驻车功能等。这里我们以驻车功能为例，当驻车时，驾驶员通过按钮或其它方式发出制动请求，EPB系统在汽车的后轮上施加制动力，以防止车非预期滑行。该系统的危害有：非预期制动失效、非预期制动启动。相同的危害在不同的场景下的风险是不一样的，所以我们要对不同的驾驶场景进行分析。为了简化问题，这里我们仅对”非预期制动失效”这种功能故障进行风险评估。表3给出了EPB风险评估表，在该表中我们考虑的驾驶场景是车停在斜坡上，驾驶员不在车上。如果驾驶员在车上的话，驾驶员可通过踩刹车控制汽车滑行，可控性增加，那么所评估的ASIL等级会比表中的ASIL D低，但是对于同一个安全目标，如果评估的ASIL等级不同的话，要选择ASIL等级最高的那个。

通过以上分析，得出EPB系统的安全目标为：防止制动失效，ASIL等级为D。

3. ASIL分解原则

通过上节介绍的危害分析和风险评估，我们得出系统的安全目标和相应的ASIL等级，从安全目标可以推导出开发阶段的安全需求，安全需求继承安全目标的ASIL等级。如果一个安全需求分解为两个冗余的安全需求，那么原来的安全需求的ASIL等级可以分解到两个冗余的安全需求上。因为只有当两个安全需求同时不满足时，才导致系统的失效，所以冗余安全需求的ASIL等级可以比原始的安全需求的ASIL等级低。ISO 26262标准的第9章给出了ASIL分解的原则，如图1所示。

分解后的ASIL等级后面括号里是指明原始需求的ASIL等级，比如ASIL D等级分解为ASIL C(D)和ASILA(D)等，因为集成和需求的验证仍然依据其原始的ASIL等级。ASIL 分解可以在安全生命周期的多个阶段进行，比如功能安全概念、系统设计、硬件设计、软件设计阶段。而且ASIL等级可以分多次进行，比如ASIL D等级分为ASIL C(D)和ASILA(D)，ASIL C(D)还可以继续分解为 ASIL B(D)和ASIL A(D )。

但是ASIL 分解的一个最重要的要求就是独立性，如果不能满足独立性要求的话，冗余单元要按照原来的ASIL等级开发。所谓的独立性就冗余单元之间不应发生从属失效（Dependent Failure），从属失效分为共因失效（Common Cause Failure）和级联失效(Cascading Failure) 两种。共因失效是指两个单元因为共同的原因失效，比如软件复制冗余，冗余单元会因为同一个软件bug导致两者都失效，为了避免该共因失效，我们采用多种软件设计方法。级联失效是指一个单元失效导致另一个单元的失效，比如一个软件组件的功能出现故障，写入另一个软件组件RAM中，导致另一个软件组件的功能失效，为了控制该级联失效，我们采用内存管理单元，可以探测到非法写入RAM的情况。

下面以一个例子介绍ASIL 分解的过程。

假设功能F，其输入信号为S1，S2，S3，这三个信号分别测量不同的物理量，是相互独立的，经过ECU内部的逻辑运算后，发送触发信息给执行器Actuator，功能F的架构示意图如图2所示。假设经过危害分析和风险评估后，功能F的ASIL等级为ASIL D，安全目标为避免非预期触发执行器。那么功能F的各个部分继承ASIL等级，即传感器、ECU、执行器都需要按照ASIL D 等级开发，如图3所示。

经过进一步的分析发现，当速度V大于阈值时，非预期触发执行器，才能造成危险。那么我们在功能F的架构中，加入一个安全机制，安全机制的功能是当检测到速度V大于阈值时，不允许触发执行器。那么功能F的架构变为如图4所示。

功能F和安全机制是冗余安全需求，同时来满足安全目标，因此可以将功能F原来的ASIL等级在这两个需求上进行分解，分解为ASIL D(D)和QM(D)，分解后的ASIL等级如图5所示。

原来的传感器S1、S2、S3按照QM开发，速度传感器按照ASIL D开发，ECU里面的软件，原来的逻辑按QM开发，安全机制的逻辑按照ASIL D开发，不同ASIL等级的软件存在于一个ECU内，为了保证软件之间的独立性，保证两者之间不相互影响，需要考虑内存保护机制，合适的调度属性来保证存储空间和CPU时间的独立性，这样会增加软件开发的很多成本。那么我们进一步采取硬件上的分离来保证独立性，我们选择一个成本很低的简单的芯片（比如PGA, Programmable Gate Array）来运行安全机制中的软件（如图6所示）。需要注意的是PGA要使用独立的电源和时钟。

经过分解后，按照ASIL D开发的功能逻辑简单，使得开发变得简单，整体成本也得以降低。

4. 结论

本文以EPB为例介绍了ISO 26262标准中安全目标及其ASIL等级确定的方法，安全目标的ASIL等级被开发阶段安全需求继承，如果安全需求的ASIL等级高，那么需要进行ASIL分解以降低ASIL等级，本文以实例介绍了ASIL分解的原则和步骤。ASIL分解并没有在ISO 26262中被强制要求执行，但是我们可以通过对系统进行分析、进而对系统架构进行调整，实现ASIL分解，可以解决因ASIL等级高而带来的开发成本、开发周期和技术要求等方面的问题。

浅谈飞机关键部件——空速管/皮托管的故障问题

引言

        印度尼西亚狮航的一架波音727 Max-8型飞机，于2018年10月29日，从雅加达飞往邦加槟港。该飞机起飞后13分钟失事，坠入距雅加达东北海岸大约15公里的海域，189名乘客和机组人员全部遇难。根据找到的黑匣子数据初步分析，原因是空速管故障导致。目前，具体的原因仍在分析过程中。为更清楚了解飞机的关键部件——空速管的工作原理、故障原因，以及如何改进、提升空速管的安全性问题，本文逐项进行简要的论述。

1、什么是空速管？

        我们在平常乘坐飞机时，往往会看到在飞机的机头或机翼上一般都会有一根细长的且方向朝着飞机的正前方的管子，这就是空速管（也称皮托管，由法国H.皮托发明而得名）。空速管作为飞机全静压系统中的最核心部件，其故障将对飞机的飞行安全造成严重的影响。

        飞机要获取飞行速度，需要依靠空速测量设备获取数据。目前广泛采用压力式L型空速管（民用航空飞机大部分使用，军用飞机考虑重量因素以及其它因素，已经逐步取消了空速管），相对其它测量方法，其具有成本低、效率高、可靠性较好的优势。

        空速管的工作原理是：L型空速管是一个中空的双层套管，头部为半球形。当测量速度时，空速管头部对准机头方向。当飞机向前飞行时，气流冲进空速管，在管子末端安装的传感器就感受到气流的冲击压力（动压）。飞机飞得越快，冲击压力（动压）就越大。如果将空气静止时的压力即静压与动压相比，就可以知道冲进来的空气到底有多快，也就知道飞机飞行速度多大。

        比较两种压力的传感器是一个用上下两片很薄的金属片制成的表面带波纹的空心圆形盒子，也成为膜盒。这个盒子是密封的，但是有一根管子与空速管相连。如果飞机速度越快，动压便增大，膜盒内压力增大，膜盒会鼓起来。然后通过相应杠杆、齿轮等将压力带来的变形转化为速度指示。

        根据测量的压力计算出流速的原理是伯努利方程，以下图为例，A、B是空速管中的两个不同截面。在空速管截面Ｂ处，如果与头部距离足够远，则该处的气流可以认为未受扰动，所以从空速管外测小孔引入的压力就是大气静压。由此根据伯努利方程得到：

        式中，PA、PB是压力，ρ是密度，V是空气流速。

        由上面计算原理可知，测量的空速会随着飞机所在空域的大气密度变化而变化，而飞机机翼获得的升力、机身阻力、引擎进气量都与大气密度相关，并且这些数据都是有关联关系及规律的。因此，飞机的空速指示可以方便得到飞行包线引擎等数据。迎角一定时，升力和阻力的大小直接取决于动压，因此，指示空速对保证安全飞行，防止失速有重大意义，尤其是起飞和着陆阶段。

2、空速管造成的事故

        1974年至今，部分由于空速管故障造成的事故，如下表所示。

3、空速管的常见故障原因

        空速管可以将故障原因大致概括为：

         空速管加温故障/堵塞

         静压源误差/堵塞

         ADM误差/失效

         ADIRU误差/失效

         迎角/全温探头故障

         全压管路故障

         异物堵塞（昆虫、飞鸟、大雨、泥土等）

         其他...

        根据相关资料统计可知，空速管堵住、空速管结冰的原因占比较高。空速管堵塞会导致全压采集滞后或不准。若空速管进口完全堵死时，全压管内气压压力将保持不变并维持恒定的气压，如地面场压，这将导致地面及低空飞行时指示空速接近于零。此时，很容易出现错误指示甚至安全事故。

        同时，也有部分原因是属于人员维护、操作上的问题，例如地面维修过程中忘记给空速管带上防护罩、地面维修过程中忘记移除空速管罩等。

        另外，根据我国某航空公司的空速管更换记录可知，每年的4~8月份的更换次数较多，属于春季末和夏季。另外，根据统计，该航空公司的飞机执行华东片区的飞机更换空速管占比较高，达到64%。较大可能是与地处华东湿热、降雨较多相关。

4、应对措施及建议

4.1 直接替换传统的空速管

        在60年代，美国国家航空航天局为了满足航天飞机进入大气层时的大气数据测量需求，提出了融于飞行器表面流线的大气数据传感器技术。这种技术依靠嵌入在飞行器前端或机翼的压力传感器阵列来测量飞行器表面的压力分布，并由压力分布间接获得飞行参数的数据传感系统，这就是嵌入式大气数据传感系统(Flush Air Data Sensing FADS)。

        美国在60年代开始了对嵌入式大气数据传感系统的研究。在90年代初期，美国开始应用于超声速战斗机的试验研究上，当时主要目的是解决战斗机大攻角机动时的大气数据测量问题。90年代中期时嵌入式大气数据传感系统应用在了X-33上，整个系统算法的稳定性基本得到解决。此后，又集中在嵌入式大气数据传感系统的算法执行性、故障检测与排除、误差分析与校准等问题上。直到嵌入式大气数据传感系统的日趋成熟在F-35上的应用。

        我国的歼-20在完成早期试验阶段相关测试的大量数据收集工作后取消机头的空速管，也由机头侧面的嵌入式大气数据传感系统代替。

4.2 设计改进

        关于如何改进空速管的设计，部分人提出了空速管进口是否可以增加膜片，以降低堵塞风险[1]。

        另一方面，当空速管堵塞、结冰等造成失效时，往往只能依靠机组人员进行应急判断、处理。但是，由于空速管被堵，无法获得飞机的飞行速度等参数，相当于飞机处于盲飞状态，对于机组人员来说，大大增加了处理的难度。此时，是否可以考虑增加备用检查手段或者备用确认手段，用于提前确认空速管的飞行参数是否正常或者校准，以便决策是否需要采取进一步的应对措施。

        但是，无论是采取增加膜片，还是增加备用检查、确认手段，都需要经过严格的安全评估，不能因为增加相应的防护设备而降低飞机整机的安全性

4.3 加强飞行前的检修管理要求

        由前面的事故及原因分析可知，部分事故的原因是可以通过管理手段进行避免或者杜绝的。例如，可以通过起飞前的再次检查确认（如交叉检查），或者增加相应的检查设备进行空速管的运行状态起飞前检查确认等。为了进一步确保飞行安全，可适当在检修工作规范、流程中考虑增加相应的检修工作项目。

4.4 提升飞机设计的人因及安全分析

        从上面的事故原因也可以看出，人因占据了较大的比例。同时，也反映出飞机设计本身在考虑人因、或者人参与情况下的安全问题是有可提升的空间的。为此，可以引入包括事故场景推演分析、人因可靠性分析等手段进行分析，借助相应的专业可靠性、安全性分析工具，尽量将空速管等设备潜在的事故场景分析到位。

参考文献

        1、 成正强，《皮托管故障引发的灾难性事故案例分析》，中国民航飞行学院学报，2018

        2、 周跃飞，《浅析飞机空速管的典型故障及危害》，中国科技信息，2014