T/SZUAVIA

010— 前言

................................................................................

II1

..............................................................................

12

規范性引用文件

....................................................................

13

術語與定義及縮略語

................................................................

14

安全性分析步驟

....................................................................

25

危險識別

..........................................................................

36

風險分析

..........................................................................

47

安全性設計

........................................................................

9附錄

A（資料性附錄） 整機級功能及其可能考慮的失效狀態...............................

11T/SZUAVIA

010—1 范圍和用戶的相關人員全面準確地使用和實施多旋翼無人機系統安全性分析標準。本報準執行。2 規范性引用文件件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GJB/Z

99-97

系統安全工程手冊RTCA

and

Requirements

and

Safety

UnmannedAircraft

GJB/Z

768A-1998

故障樹分析指南GJB

900A-2012

裝備安全性工作通用要求GJB/Z

1391-2006

故障模式、影響及危害性分析指南SAE

ARP4761

民用機載系統和設備安全性評估過程的指南和方法（

forConducting

the

Safety

Assessment

Process

on

Airborne

Equipment）GJB

5433-2005

無人機系統通用要求3 術語與定義及縮略語3.1事故

造成人員傷亡、職業病、裝備損壞、財產損失或環境破壞的一個或一系列意外事件。3.2危險

可能導致事故的狀態。3.3安全性

safety產品具有的不導致人員傷亡、職業病、裝備損壞、財產損失或不危及人員健康和環境的能力。T/SZUAVIA

010—3.4危險嚴重性

hazard

severity某種危險可能引起的事故后果的嚴重程度。3.5航空交通管制

Controller（ATC）門及人員。4安全性分析步驟安全性分析可按下述步驟進行（見圖1a)標、觸發機制）；b)完成所需的操作會發生什么樣的故障或失效，以及潛在的各種危險是什么；c) 在危險源識別的基礎上，進行危險機理分析，確定導致危險或事故發生的根本原因；危險識別風

否

FTA險分

是

析及安全性設

計圖1 多旋翼無人機系統安全性分析步驟T/SZUAVIA

010—d) 進行風險分析，確定危險的嚴重等級及發生概率等級；e) 導安全性設計；f) 重復第

d-e

步，直到風險降低到可接受水平；g)針對殘余風險，建立使用安全保障體系。5 危險識別識別可能由無人機系統本身或外圍設備產生或由于人與無人機系統的相互干擾而產生的危險或危險狀態，使在進行無人機系統設計，和進行風險評價時，便于危險分析。5.1 產品特性分析為了識別危險源，需要明確產品的具體特性，包括性能特性、使用特性以及危險三要素。5.1.1 性能特性明確產品的功能及組成，例如電驅的多旋翼無人機系統一般的組成及功能為：a)無人機機體：包括機身，機臂和腳架。用于支撐安裝產品的功能部件；b)動力系統：包括槳葉、電機和電調，以及電源或發動機。實現旋翼轉動，為產品提供升力；c)

態進行調整，使得其能夠按照指令動作；d)通訊系統：包括信號發射器、地面基站。實現地面對無人機的遙控、控制；e)任務系統：包括實現無人機偵察、拍攝、植保、物流等任務的載荷系統。5.1.2 使用特性程，分析操作使用過程中人員及操作系統本身對無人機系統運行的影響。5.1.3危險三要素a) 小。b) 的可能性。c)的范圍。5.2 危險源識別識別危險源時，應從整套裝備的各個方面來進行考慮：a) 設備方面：無人機、地面控制站。b)設備的使用環境：地形、氣候、電磁環境、障礙物等。c) 干涉而形成的危險。T/SZUAVIA

010—各項。5.2.1多旋翼無人機系統硬件失效或故障引起的危險a)

動力系統故障；b)

飛控系統故障；c)

通訊系統故障；d)

任務系統故障；5.2.2多旋翼無人機系統結構件引起的危險無人機機架、機臂等結構件發生變形、斷裂等故障，無人機槳葉滑脫飛射等。5.2.3 危險環境或條件a) 不利的導航環境；b) 不利的天氣或大氣條件；c) 外部威脅，如固定的障礙物，飛鳥撞擊，附近的其他飛行器等。5.2.4 干擾產生的危險電磁、射頻干擾：由于電磁干擾、射頻干擾，使無人機系統發生失控，造成危險或事故發生。5.2.5 人因差錯產生的危險a)

無人機飛手決定錯誤或判斷失誤；b)

在禁飛區內操作；c)

異常/意外的控制輸入；d)

錯誤的操作/行為。5.3 危險機理分析分析事故發生的根本原因，為后續安全性設計提供基本依據。6 風險分析全措施。6.1 風險分析的要求a) 風險分析應由無人機及其系統的開發者或用戶在系統設計初期進行。b) 當系統設計定型，再完成最后的全面的風險分析并保留文件。c) 風險分析的步驟：1)確定系統危險源和任務階段；2) 進行風險評價；3) 確定降低風險的安全性設計要求和選擇使用保障策略類型；T/SZUAVIA

010—4) 確定風險是否降低到可接受水平。6.2 任務階段/工作方式產品飛行時，為了制定無人機操作和功能要求，將整個飛行過程分為六個飛行階段，如下文所述。//行/巡航階段和空中作業階段合并為航行階段。6.2.1 飛行計劃階段劃極端包括文件歸檔和實施飛行計劃。6.2.2 啟動/地面移動許可/指令等等。6.2.3起航階段這一階段始于根據飛行需求提供動力。包括所有的通訊交換，爬升，直到到達初始航行平穩。6.2.4 航行/巡航階段包括所有不屬于其他飛行階段的巡航飛行，爬升和下降，直到進入空中作業或下降和到達階段。6.2.5 空中作業階段這一階段包括除了運送飛機以外的任何飛行活動。例如監視、搜索和營救、重復飛行模式等。6.2.6 下降/著陸階段始于從巡航高度下降或到達初始進場點。6.3 產品失效狀態產品的故障或失效是多旋翼無人機系統一項主要的危險源，對產品硬件的分析需要詳細?？蓞⒖几戒汚。6.4 影響等級及安全性目標即安全性目標。衡量風險，需要考慮的兩個變量是危害的嚴重程度以及相應的嚴重程度的危害發生概率。6.4.1 失效狀態影響等級在判斷失效狀態的影響等級前，需要明確其影響的對象：a) 地面非相關人員

通管

ATC可以導致地面上一人或多人死亡的無人機可以導致無人機機組死亡或喪失行為能力

行動造成以下情況的無人機失效狀態：與航空器，障礙物或地形發生撞擊；或飛行終止失控（如尾流顛無人機系統的失效狀態可以導致：失控或不按預期線路飛行；或不可控的地面撞擊；或在除了可以恢復的點以外的任意位會導致地面上的一人或多人重傷的無人機會導致無人機機組身體痛苦或工作壓力過大（如不能依靠飛行機組準確完整的完成他們的任務）的無人

行動造成以下情況的無人機失效狀態：距

RIOE的距離減少到標準距

會減弱無人機應對不利的操作條件的能力到以下程度的無人機系統失效狀態：安全裕度或功能能力大幅度減弱；計劃外不可控的飛行終止；強制會導致地面上的一人或多人中等傷害的無會導致無人機機組身體不適或工作壓力明顯增加或削減無人機機組的效率和效果的情況的無人機失效狀

行動造成以下情況的無人機失效狀態：距

RI會減弱無人機應對不利的操作條件的能力到以下程度的無人機系統失效狀態：安全裕度或功能能力明顯T/SZUAVIA

010—b) 指與飛行操作無關的普通人。這一類的對象對于無人機操作、風險等相關知識都不了解。c) 無人機機組d) 的操作者、任務負載的分析員或技術專家。e) 空域用戶f) ATC

服務人員g) 負責航空交通管制的人員或系統。h) 統和相關設備。失效狀態根據其影響的嚴重程度可以劃分為：a) 響。b) 括在安全裕度或功能性能方面輕微降低，機組成員的工作負擔輕微增加。c)重大的：失效狀態會降低無人機性能或相關人員處理無人機不利飛行狀態的能力。d) 危險的：失效狀態急劇降低無人機的性能，大幅度降低相關人員處理不利運行狀態的能力。e) 災難性的：妨礙無人機繼續安全飛行和著陸，將會導致多人死亡，通常會使無人機墜毀。具體的無人機失效狀態影響等級如表1所示：表1 無人機失效狀態影響等級OE）；

壓力明顯增加；飛行器間的距離減少到標

減弱；計劃外不可控的飛行終止；強制按會導致地面上的一人或多人輕微傷害的無會導致無人機機組工作壓力略微增加的無

行動造成以下情況的無人機失效狀態：距

RIOE）；

壓力中度增加；飛行器間的距離減少到標

會導致以下情況的無人機系統失效狀態：安全裕度或功能能力輕微減弱；計劃外不可控的飛行終止；在合適位置非計劃性著對地面上的人的影響可忽略的無人機失效對無人機機組的工作壓力無明顯影響的無

行動造成以下情況的無人機失效狀態：距

ODPE）；

壓力輕度增加；飛行器間的距離減少到標

對安全性的影響可忽略的無人機系統失效T/SZUAVIA

010—6.4.2失效狀態的定性概率術語當使用定性的分析來決定a)頻繁的指那些預見到在每架無人機的整個壽命期間會發生多次的失效狀態。b)可能的指那些預見到在每架無人機的整個壽命期間會發生一次的失效狀態。c)微小的運行壽命則可能發生幾次。d) 極微小的的總的運行壽命時則可能發生幾次。e) 極不可能的指在某型無人機的所有無人機的整個運行周期不太可能發生。6.4.3 安全性目標圖2為風險矩陣圖，該圖用于根據危險影響等級和概率等級確定每個失效狀態的安全性目標。危險影響等級和概率等級之間存在著一種符合邏輯的可接受的反比關系：a) 無安全性影響的失效狀態無概率要求；

T/SZUAVIA

010—b)

要求輕微的失效狀態的發生概率等級不能超過可能的；c)

要求重大的失效狀態的發生概率等級不能超過微小的；d)

要求危險的失效狀態的發生概率等級不能超過極微小的；e)

要求災難的失效狀態的發生概率等級不能超過極不可能的。eq

\o\ac(○,注：) 表示高風險，△表示中等風險，□表示低風險圖eq

\o\ac(○,注：) 表示高風險，△表示中等風險，□表示低風險6.5 風險評價方法法包括功能危險分析，故障樹分析，和故障模式、影響及危害性分析。6.5.1 功能危險分析（FHA）類的過程，是無人機設計或改進過程中安全性評估的第一步。該評估方法起始于無人機概念設計階段，并為后續研制提供設計需求和安全性需求的重要依據。FHA分析結果是下一步安全性評估流程（如PSSA和SSA）的必要輸入，也為后續系統、子系統設計構架提出安全性設計需求，幫助確認系統架構的可接通常在兩個級別上進行，分別為無人機級FHA和系統級FHA。FHA過程是一種自上而下識別功能失效狀態和評估其影響的方法，應按照如下過程進行評估工作：a) 確定與分析層次相關的所有功能；b) 確定并說明與這些功能相關的失效狀態，考慮在正常和惡化環境下的單一和多重失效；c) 確定失效狀態的影響；d) 根據失效狀態對其進行分類（災難性的、危險的、重大的、輕微的和沒有安全性影響的）；e) 給出用于證明失效狀態影響分類所要求的支撐材料；f) 提出用于驗證失效狀態滿足安全性需求的符合性驗證方法。6.5.2 故障樹分析（）目標等定量指標。FTA在安全性分析中的應用步驟如下：a) 系統定義；T/SZUAVIA

010—b)

確定故障判據；c)

確定頂事件；d)

建造故障樹；e)

故障樹規范化、簡化和模塊分解；f)

定性分析；g)

定量分析，確定各層級設備安全性目標。6.5.3故障模式、影響及危害性分析（FMECA）利用FMECA方法，識別安全性分析中所有可能的故障模式、發現故障危險源、分析可能產生安全性措施，以提高產品的安全性水平。FMECA在安全性分析中的應用步驟如下：a) 系統定義，包括危險嚴重性等級和風險指數分類的定義；b) 故障模式分析；c) 故障原因分析；d