系统安全

序一
我国现代装备正处在跨代发展阶段，对高度综合与复杂系统集成的装备往往存在技术认知上的不足和技术能力上的短板，其表现形式为：研制过程中的主要问题是研制差错；使用过程中的主要问题是使用、维修差错（含维修项目及间隔不当），而使用、维修差错说到底还是研制需求识别不够充分。这些研制差错，可能会给现代装备埋下一定的安全隐患。

我们必须对装备的使用安全怀有敬畏之心。只有经系统安全技术融合的产品才是全寿命周期内有生命力的产品，否则，其充其量只是高新技术的展览区。我们有幸参与装备型号的研制，就应时刻不忘肩上的责任与义务：一是确保所确定的研制需求，汲取了类似装备的经验与教训，涵盖了适航规章（航空装备）等规范、标准规定的要求，能满足使用与维修保障及经济性要求；二是装备的系统规范、研制规范和产品规范要求是在装备系统研制的过程中经过充分的安全性评估过程迭代得出，并证明是能够得到满足的；三是型号的研制过程比结果重要，研制过程中严格执行SAE ARP 4754A，过程受控，能解决目前型号管理中的不细、不严问题，并使研制差错小化。

在编写本书的过程中，作者参考了国外大量文献，介绍了国内尚在启蒙而国外广为应用的成熟理念，从而提升了该书的技术成熟度及其在工程上的应用价值。这就是其难能可贵之处。书中所述内容虽以航空装备为主，但它同样适用于航天等领域现代复杂装备研制与使用时系统安全工作的规划、管理与实施。本书对培养我国系统安全专业的技术人才、规范包括军机在内的航空装备适航性工作、促进装备研制管理和安全文化水平的提升，均有一定的意义。

本书作者之一张弘自2003年起先后担任多型号飞机总设计师，有近四十年航空装备一线研制工作经验的积淀，对装备研制过程既有丰富经验，又有深刻教训。作者工作之余，勿忘皓首穷经，历时十五年，终成心血之作，我们在此表示衷心感谢。

由于国内外专家们的背景、经历和实践的差异，因此有些观点和认识不尽相同。现本着“仁者见仁、智者见智”的精神，推出本书，给读者以研究、思考的广阔空间，并从中受益。

序二
本书作者根据自己在航空装备系统架构及通用质量特性领域几十年的技术积淀与感悟，将ARP 4754标准体系、DOC 9859、MILHDBK516C等国外研制与使用阶段的安全性相关标准、规范有机融合在一起，全面论述了全寿命周期内系统安全工作的基本概念、基本理念与管理技术。本书以安全性引导装备研制为牵引，重点阐述了研制阶段如何自顶而下实施装备的功能分解和自下而上实施装备功能集成的过程。本书以复杂系统研制差错为重点，结合航空装备的适航要求，论述了安全性评估的深度与广度要求，简述了安全性评估关键技术。本书借鉴了国外装备复杂系统的成熟技术，在国内学术思想较为新颖，工程可操作性较强。

在高度综合与复杂系统集成的装备领域，尤其是军用装备领域，我国关于系统安全方面的理论书籍较少。这类复杂装备在技术认知和基础设计能力方面还继承了传统装备的设计理念和思路，总想靠试验和分析的方法解决所有安全性问题，而ARP 4754体系和工程实际表明这是不切实际的。

本书面向我国航空、航天装备复杂系统的研制，从系统安全的角度阐述了装备的研制保证过程。目前，国内论述民机安全性方面的相关书籍有一些，但全面论述复杂装备系统安全的基本理念、以安全性需求引导装备的功能架构及需求分配与评估的同类书籍较少。本书对装备领域深入认识和开展系统安全工作具有很强的实用价值与指导意义。

近30年的航空、航天事故再次警示我们：人类在革新科学技术、创造物质财富、推动社会进步、享受现代生活的同时，也往往在不断地制造着副产品——灾难。灾难总是在人们惊慌、彷徨、绝望之余不期而至，“落井下石”，从而时常让社会变得不那么宁静与和谐。

理念决定了处事的广度与深度。英国社会学家巴里·特纳（Barry Turner）在1978年出版的ManMade Disasters一书中指出：大规模技术系统中的灾难既不是偶然事件的结果，也不是上帝所为；更确切地说，灾难是由一系列非故意的人为与组织因素不断积累而酝酿的结果，其过程通常会长达很多年，这些人为与组织因素主要包括过失与错误、不正确的管理决策、对安全与危险不正确的假设等。

笔者根据自己近40年在航空装备系统架构及通用质量特性领域的工程经验、教训与感悟，认为安全不仅要关注故障，还要关注装备研制、制造与使用全寿命期内的差错、文化与管理，更要关注装备全寿命周期内影响安全的主要矛盾。于是，通过对现役装备安全性问题的分析、统筹与综合，提出了高度复杂与综合系统或装备的研制，应以减缓或消除研制差错为理念、以安全性引导装备研制为思想、以系统安全管理为统领、以装备安全性需求为目标、以功能安全性需求分配与验证为指引、以基于目标与风险的安全性评估为手段、以过程保证为切入点等一体化解决方案，给出了搭建符合ALARP的装备架构方法，展示了现代装备安全性需求的识别、确认、实施与验证的全过程，进而系统而合理地解决了装备安全性要求高与全寿命周期费用低、研制周期短、系统集成度高等各要素之间的矛盾。

本书侧重于装备研制阶段，旨在帮助人们在航空、航天、航海、石化、交通等领域，结合经济可承受性的要求，从概念设计阶段开始，正确地理解和应用系统安全技术，以规范化的组织形式实施系统安全工程，进而减少装备的研制差错，将造成危险的各种差错、事件消灭在萌芽状态或控制在可接受的范围内，限度地降低系统性故障发生的概率，提高装备系统对各类事故的免疫能力，以实现装备使用时的安全、可靠、经济，并为军用航空器适航审定过程提供技术支撑。

本书共8章。第1~3章论述了系统安全技术的基本概念，剖析了系统安全技术的传统理念及误区，并从组织、人为、技术、风险权衡、结构化的设计保证和严格的过程控制等方面介绍并分析了国外有关系统安全的新理念，提出了在大系统、大综保环境下统筹系统安全工作的观点，并据此给出了装备研制阶段系统安全工作的思路；第4章从事故的特点出发，论述了装备的安全文化及研制阶段系统安全管理的要求；第5章重点论述了装备的研制程序及系统安全技术在研制阶段的应用，即如何通过双“V”过程自顶而下确定装备的安全性需求和自下而上验证所确定的需求均得到满足；第6章则重点阐述了安全性评估技术，并对主要的安全性评估工具做了简介；第7章简述了民机主设备清单的原理，并探讨了推广到军机的意义；第8章针对装备在使用过程中暴露出的电缆设计、安装和维修等方面的典型问题，讨论了电气线路互联系统安全性的结构化分析与评估技术。

同“以可靠性为中心的维修”技术一样，系统安全技术也是由航空领域发展而来的，并逐渐渗透到其他工程领域，终在各领域得到广泛应用。鉴于本书的适用范围较广，故亦借鉴“以可靠性为中心的维修”的模式，取名为“系统安全”而非“飞机系统安全”。

在编著本书的过程中，同济大学刘毅教授及同事项勇在适航领域给予了指导并提供了大量的资料；本书的出版得到了中国宇航出版社的大力支持。特此一并致谢！

理论源于实践，只有用于实践才能得到升华。本书主要是在消化国外大量标准、规范及文献的基础上，结合作者的工作教训与体会编写而成的，由于作者英语及专业水平有限，对系统安全工作的部分问题可能理解不透彻，书中不妥之处在所难免，恳请广大项目负责人员、工程技术人员和专家在使用本书时，能就遇到的问题和作者进行探讨。

作者
2022年12月

本书介绍了系统安全的基本概念与基本理念，讨论了系统安全管理的基本内容；详述了如何运用“安全性需求引导装备研制”的“双V”过程，将装备的研制差错控制在可接受的置信水平之内；简述了安全性评估的方法与工具；讨论了MMEL的确定原理及运用于其他航空装备上的意义；探讨了EWIS的工程问题与安全性解决方案。
本书所述内容虽以航空装备为主，但它同样适用于航天、铁路、航海等领域现代复杂装备研制时系统安全工作的规划、管理与实施，可供可靠性、安全性工程技术人员和在校工科师生参考。

1.1近百年来人类十大工业灾难1

1.2“挑战者”号航天飞机失事分析3

1.2.1“挑战者”号航天飞机失事简介3

1.2.2案例分析4

1.2.3教训与启示6

1.3复兴航空ATR72飞机失事分析6

1.3.1ATR72飞机失事简介6

1.3.2案例分析6

1.3.3教训与启示8

1.4系统安全技术发展历程9

1.4.1事故调查阶段10

1.4.2事故预防阶段10

1.4.3系统安全原理阶段10

1.4.4综合预防阶段11

1.4.5研制保证与过程控制阶段11

1.5系统安全技术国外发展趋势12

1.5.1系统安全技术的横向拓展12

1.5.2系统安全技术的纵向深入14

1.5.3结构化的研制保证和严格的过程控制技术的应用14

1.5.4大系统、大综保环境下系统安全工作的统筹15

1.5.5装备使用期间的安全管理由事故调查转向过程管理15

1.5.6高度重视系统安全技术在民用航空领域的应用16

1.5.7特别注重民机适航技术在军机中的推广与应用16

1.5.8非常注重相关标准及规章的系统化与完善17

1.6系统安全技术国内的研究与应用18

1.6.1发展历程18

1.6.2主要问题19

1.7为什么要研究系统安全21

1.7.1安全是永恒的主题21

1.7.2系统安全是我国装备研制的短板22

1.7.3技术变革对系统安全提出新的要求25

1.7.4以经济的方式实现装备的安全性水平27

1.8本书特点27

1.8.1基本理念27

1.8.2期望解决的问题28

1.8.3全书架构29
第2章基本概念30

2.1系统、装备系统与复杂系统30

2.1.1系统30

2.1.2装备系统32

2.1.3复杂性与复杂系统33

2.1.4系统架构34

2.2安全、安全性与可靠性34

2.2.1安全34

2.2.2安全性与可靠性35

2.3安全性、系统安全与系统安全性35

2.3.1安全性是系统属性35

2.3.2系统安全与系统安全性36

2.4故障与故障安全37

2.4.1故障37

2.4.2故障安全37

2.5系统性故障37

2.5.1系统性故障与系统故障37

2.5.2系统性故障产生的原因38

2.5.3系统性故障的特点38

2.5.4系统性故障的控制办法39

2.6差错与工作失误39

2.6.1差错39

2.6.2工作失误40

2.6.3差错的概率40

2.7多重故障、潜伏故障与潜在故障41

2.7.1多重故障与潜伏故障41

2.7.2潜在故障41

2.8潜在状况42

2.9故障状态43

2.9.1定义43

2.9.2故障状态严酷度分类及定性与定量要求44

2.10危险、后果、风险与ALARP45

2.10.1危险与后果45

2.10.2事故、危险与原因的关系46

2.10.3风险47

2.10.4ALARP47

2.11安全性评估48

2.11.1评估与安全性评估48

2.11.2功能危险评估50

2.11.3初步系统安全性评估51

2.11.4系统安全性评估51

2.11.5共因分析51

2.12系统安全工作目的与目标52

2.12.1系统安全工作目的52

2.12.2系统安全工作目标52

2.13系统安全设计要求53

2.14系统安全与相关专业的关系53

2.14.1设计工程54

2.14.2人素工程55

2.14.3可靠性工程56

2.14.4维修性工程56

2.14.5试验工程57

2.14.6制造工程57

2.14.7质量检验和控制57

2.14.8工业卫生和保健57

2.14.9使用和维修保障58

2.14.10人员培训58

2.14.11包装、装卸、储存和运输58

2.15安全性保证过程、研制保证过程与系统安全过程58

2.15.1安全性保证过程与研制保证过程58

2.15.2系统安全过程59

2.16系统规范、研制规范与产品规范60

2.16.1系统规范60

2.16.2研制规范60

2.16.3产品规范61
第3章基本理念62

3.1概述62

3.1.1现代装备的特点62

3.1.2安全性基本理念63

3.1.3现代商用飞机安全性评估文件体系简介64

3.2大系统、大综保环境下统筹系统安全工作68

3.3事故调查不能从根本上解决安全性问题69

3.3.1事故调查的起源69

3.3.2事故调查的作用69

3.3.3事故调查的收获70

3.4有可能出错的地方一定会出错71

3.5符合相关规章和标准不一定能满足安全性需求71

3.5.1规章和标准的局限71

3.5.2正确处理规章与标准73

3.6适航不等同于系统安全74

3.7人为差错的后果取决于环境而不取决于人74

3.8组织不当会造成事故75

3.8.1Reason模型75

3.8.2组织事故发生的时机77

3.8.3组织事故发生的根源77

3.9事故的发生往往是组织、人为和技术3方面因素的相互作用79

3.9.1SHEL 模型的提出79

3.9.2SHEL模型的主要思想79

3.9.3人犯错误是必然的81

3.9.4组织、人为和技术3方面因素的相互作用82

3.10装备的设计必须采用故障安全理念84

3.10.1单个故障理念84

3.10.2故障安全基本理念84

3.10.3故障安全设计目标85

3.10.4故障安全设计原理85

3.11系统架构时的安全性增长86

3.11.1同类或相似装备安全性使用信息的收集86

3.11.2适航规章近期修订案及新增内容87

3.12系统架构力求ALARP88

3.12.1基本理念88

3.12.2ALARP89

3.12.3ALARP的实现90

3.13健康状态管理91

3.13.1基本理念91

3.13.2健康状态管理技术简介91

3.13.3健康状态管理系统局限性93

3.14ARP 4754为研制差错小化提供技术支撑93

3.15研制保证过程95

3.15.1差错95

3.15.2研制保证过程的必要性96

3.15.3研制保证过程的内容与核心97

3.15.4研制保证过程的实施要点97
第4章系统安全管理98

4.1概述98

4.1.1安全性事故示例98

4.1.2事故示例启示100

4.1.3使用与维修差错和需求与设计差错100

4.1.4系统安全管理102

4.2安全管理理念的变革102

4.2.1传统安全管理理念102

4.2.2现代安全管理理念103

4.2.3系统安全管理的特点106

4.3航空装备安全性信息收集107

4.3.1安全性信息的认识107

4.3.2安全性信息的收集109

4.4航空装备使用与维修差错管理113

4.5安全文化115

4.5.1文化、组织文化与组织安全文化115

4.5.2安全文化的误区116

4.5.3有效安全报告与文化119

4.5.4安全文化基础123

4.6型号研制计划125

4.6.1研制计划的目的125

4.6.2计划制订过程125

4.6.3转阶段判据126

4.7安全性工作计划126

4.7.1安全性工作计划内容剪裁127

4.7.2安全性工作计划的作用127

4.7.3安全性工作计划的目的与范围127

4.8安全性工作职责128

4.8.1安全性小组130

4.8.2安全性工作计划131

4.8.3安全性相关要求131

4.8.4飞机级安全性评估专项132

4.8.5安全性合格审定计划133

4.8.6安全性评估133

4.8.7设计审查137

4.9安全性评估策略与过程管理138

4.9.1安全性评估策略138

4.9.2安全性评估过程管理139
第5章装备研制保证过程140

5.1概述140

5.2安全性与装备研制过程141

5.2.1安全性需求引导装备研制141

5.2.2装备及其系统研制过程与研制差错143

5.2.3软硬件研制过程与研制差错144

5.2.4安全性评估与装备研制过程接口144

5.2.5安全性评估简介146

5.2.6设计描述149

5.3装备功能确定149

5.3.1功能确定与实现过程模型149

5.3.2装备功能的确定过程151

5.4装备功能分配152

5.4.1功能分组152

5.4.2装备级功能分配到系统153

5.4.3装备功能分配的输入与输出153

5.5系统架构确定155

5.6系统级需求分配156

5.7装备集成157

5.7.1装备与硬件和软件的信息流157

5.7.2硬件和软件设计与开发159

5.7.3软硬件集成159

5.7.4系统/整机集成159

5.7.5输入与输出160

5.8研制保证等级分配160

5.8.1研制保证等级简介160

5.8.2FDAL和IDAL分配163

5.8.3FDAL分配与外部事件168

5.9研制需求捕获169

5.9.1研制需求识别过程169

5.9.2研制需求类型171

5.9.3需求捕获注意事项174

5.10研制需求确认175

5.10.1确认目标、时机与内容175

5.10.2确认过程模型176

5.10.3正确性检查177

5.10.4完整性检查179

5.10.5假设确认181

5.10.6资料确认184

5.10.7确认的严格程度185

5.11研制需求验证187

5.11.1验证过程的目的、目标与内容187

5.11.2验证过程模型188

5.11.3资料验证189

5.11.4验证的严格程度191

5.12构型管理193

5.12.1构型管理简介193

5.12.2构型管理的作用194

5.12.3构型管理过程的目标194

5.12.4构型管理过程内容196

5.12.5构型管理过程模型196

5.12.6构型管理实施197

5.13过程保证198

5.13.1过程保证计划198

5.13.2研制计划199

5.13.3项目计划审查199

5.13.4过程保证证据199

5.14合格审定和管理工作协调199

5.14.1合格审定目标200

5.14.2合格审定计划200

5.14.3合格审定符合性方法201

5.14.4符合性证明201

5.14.5合格审定资料201

5.15系统研制过程风险缓解202

5.15.1系统研制过程风险分析202

5.15.2系统架构的隔离和独立203

5.15.3软件研制需求与架构204

5.15.4安全性评估205

5.15.5资源使用206
第6章安全性评估208

6.1安全性评估简介208

6.1.1安全性评估目的208

6.1.2安全性评估过程实质209

6.1.3安全性评估的价值209

6.1.4安全性评估的难点与解决途径210

6.2安全性评估方法211

6.2.1安全性评估方法简介211

6.2.2基于风险的安全性评估213

6.2.3基于目标的安全性评估215

6.2.4基于风险的安全性评估与基于目标的安全性评估方法对比216

6.2.5风险与目标相结合的安全性评估218

6.3安全性评估过程221

6.3.1安全性评估流程221

6.3.2安全性评估过程221

6.3.3安全性评估深度224

6.4功能危险评估226

6.4.1FHA简介226

6.4.2FHA过程227

6.4.3FHA报告要求236

6.4.4FHA与其他安全性评估工具接口236

6.5初步系统安全性评估239

6.5.1简介239

6.5.2PSSA过程240

6.5.3PSSA报告要求243

6.5.4PSSA示例244

6.5.5PSSA与FHA、SSA的关系244

6.6系统安全性评估247

6.6.1SSA简介247

6.6.2SSA过程247

6.6.3SSA报告要求250

6.7CCA251

6.7.