航電系統(tǒng)安全性分析工具設(shè)計(jì)與研究

劉 宇 劉永超 /

(上海飛機(jī)設(shè)計(jì)研究院，上海201210)

航電系統(tǒng)安全性分析工具設(shè)計(jì)與研究

劉 宇 劉永超 /

(上海飛機(jī)設(shè)計(jì)研究院，上海201210)

隨著航電系統(tǒng)綜合化程度的不斷提高，傳統(tǒng)的安全性分析方法過(guò)于依賴工程經(jīng)驗(yàn)，難以保證失效模式的完備性。同時(shí)在系統(tǒng)迭代設(shè)計(jì)的過(guò)程中，由于系統(tǒng)的復(fù)雜性，會(huì)導(dǎo)致安全性分析工作量過(guò)大，增加了時(shí)間及經(jīng)濟(jì)成本。針對(duì)上述問(wèn)題，設(shè)計(jì)了一種自動(dòng)化安全性分析工具，基于SysML描述語(yǔ)言建立安全性數(shù)據(jù)模型，采用路徑追溯的方法完成故障樹(shù)自動(dòng)建模，并對(duì)生成的故障樹(shù)進(jìn)行共模分析和區(qū)域安全性分析。以某系統(tǒng)為例的實(shí)驗(yàn)結(jié)果表明，該工具能夠?qū)崿F(xiàn)故障樹(shù)自動(dòng)建模與分析，提高了安全性分析的效率和完備性。

航空電子系統(tǒng)；故障樹(shù)；系統(tǒng)建模語(yǔ)言；安全性分析

0 引言

航空電子系統(tǒng)結(jié)構(gòu)經(jīng)歷了從最初的分立式航電系統(tǒng)、聯(lián)合式航電系統(tǒng)到綜合式航電系統(tǒng)的發(fā)展歷程[1]。目前航空電子的發(fā)展以第三代為主，采用更少的、更加集中的處理單元取代了數(shù)量眾多的獨(dú)立處理器和外場(chǎng)可更換單元(LRU)，在新一代民機(jī)上具有減少重量、節(jié)約維修費(fèi)用、減少資源配置、提高資源效能、降低機(jī)組人員工作負(fù)載等重要的作用[2]。綜合化在帶來(lái)上述收益的同時(shí)，也增加了系統(tǒng)復(fù)雜性，如功能融合、硬件逐漸由軟件替代、系統(tǒng)與飛行員的交互增加，使得系統(tǒng)故障在綜合過(guò)程中的傳播和不確定性對(duì)系統(tǒng)安全性產(chǎn)生很大的影響。傳統(tǒng)的安全性分析方法(如FTA，F(xiàn)MEA)[3]主要依賴于工程經(jīng)驗(yàn)，并且與系統(tǒng)設(shè)計(jì)不是同步進(jìn)行的，隨著系統(tǒng)復(fù)雜程度的提高，很難列舉出系統(tǒng)所有的失效模式和影響，同時(shí)由于系統(tǒng)設(shè)計(jì)的迭代，很難保證安全性需求能及時(shí)地反饋到系統(tǒng)設(shè)計(jì)中。上述問(wèn)題的根本原因在于系統(tǒng)設(shè)計(jì)與安全性分析數(shù)據(jù)不能統(tǒng)一表示，使得系統(tǒng)設(shè)計(jì)不能展示其安全性屬性，安全性分析結(jié)果不能直接反饋到系統(tǒng)設(shè)計(jì)模型中[4]。

針對(duì)上述問(wèn)題，需要對(duì)系統(tǒng)設(shè)計(jì)和安全性分析采用一致的形式化模型，并基于這個(gè)模型實(shí)現(xiàn)自動(dòng)化安全性分析。本文基于SysML描述語(yǔ)言[5]的系統(tǒng)架構(gòu)數(shù)據(jù)模型 ，研究依附于系統(tǒng)架構(gòu)數(shù)據(jù)模型的安全性數(shù)據(jù)模型描述方法；接著，利用模型驅(qū)動(dòng)安全性分析的思想，研究自動(dòng)化故障樹(shù)分析方法和自動(dòng)化安全隔離要求檢查方法；最后基于自動(dòng)化分析方法，設(shè)計(jì)了快速安全性分析工具，并通過(guò)實(shí)驗(yàn)驗(yàn)證了該工具的有效性。

1 基于SysML的安全性數(shù)據(jù)模型描述

SysML是UML在系統(tǒng)工程應(yīng)用領(lǐng)域的擴(kuò)展，能對(duì)系統(tǒng)工程的各種問(wèn)題建模，并有效支持需求說(shuō)明、系統(tǒng)結(jié)構(gòu)設(shè)計(jì)、功能行為和分配。

本文通過(guò)對(duì)基于SysML描述語(yǔ)言的系統(tǒng)架構(gòu)數(shù)據(jù)模型添加安全性屬性來(lái)建立安全性數(shù)據(jù)模型。為了能實(shí)現(xiàn)自動(dòng)化的安全性分析，需要定義出故障樹(shù)分析和安全隔離分析所需的數(shù)據(jù)，如表1所示。

表1 安全性分析數(shù)據(jù)要求

其中架構(gòu)相關(guān)的屬性(如表1中1～5項(xiàng))在架構(gòu)建模中已定義，安全性數(shù)據(jù)(表1中6～9項(xiàng))在架構(gòu)建模時(shí)未獨(dú)立建立模型，需對(duì)其進(jìn)行進(jìn)一步描述。本文采用標(biāo)簽值來(lái)描述分析所需的安全性數(shù)據(jù)模型，并通過(guò)斷言(Assertion)描述輸出異常態(tài)與輸入流之間的關(guān)系，增加的標(biāo)簽值如表2所示。

表2 安全性數(shù)據(jù)模型描述

2 自動(dòng)化故障樹(shù)分析方法研究

2.1 自動(dòng)化故障樹(shù)生成方法

2.1.1 自動(dòng)化故障樹(shù)生成原理

自動(dòng)化故障樹(shù)生成原理如圖1所示。在構(gòu)建SysML系統(tǒng)架構(gòu)模型的同時(shí)建立安全性數(shù)據(jù)模型，并基于這兩種模型導(dǎo)出的XML文件，進(jìn)行解析，自動(dòng)生成故障樹(shù)，并根據(jù)需要選擇分析結(jié)果進(jìn)行顯示，以支持故障樹(shù)分析。

在利用SysML模型數(shù)據(jù)自動(dòng)生成故障樹(shù)時(shí)，第一步是將層次化結(jié)構(gòu)展開(kāi)，得到平面化的系統(tǒng)架構(gòu)模型；其次，查找終端對(duì)象的失效模式，確定其為頂事件，并將其與其他對(duì)象的失效事件相連；然后利用路徑追溯的方法查找故障來(lái)源，根據(jù)與其他對(duì)象的數(shù)據(jù)流關(guān)系得到失效原因的可能組合，依此自動(dòng)建立頂事件故障樹(shù)。基于SysML的航電系統(tǒng)架構(gòu)模型數(shù)據(jù)自動(dòng)生成故障樹(shù)的過(guò)程，只是按需查找失效原因，只關(guān)心與頂事件相關(guān)的其他失效事件。

基于上述自動(dòng)生成故障樹(shù)基本思想，構(gòu)建故障樹(shù)的過(guò)程就可以理解為將SysML結(jié)構(gòu)轉(zhuǎn)化為故障樹(shù)結(jié)構(gòu)的過(guò)程。在故障樹(shù)建模時(shí)，首先需要將安全性數(shù)據(jù)模型注入到SysML模型中，注入的過(guò)程就是基于這兩個(gè)模型，確定元素的故障模式、故障概率以及故障轉(zhuǎn)移方式。其中，故障模式分為喪失(Loss)和錯(cuò)誤(Error)兩大類。最后，將注入的結(jié)果整理成故障樹(shù)的形式即可完成故障樹(shù)建模。

本文所述方法采用的是路徑追溯的故障樹(shù)建模方法，即從終端對(duì)象的故障模式開(kāi)始，根據(jù)數(shù)據(jù)傳播的路徑逆推可能造成這種故障的原因，由此完成注入的過(guò)程。故障樹(shù)建模的基本單元可以描述為：對(duì)于某模塊，其功能故障原因必為其本身故障或數(shù)據(jù)流輸入故障，則有對(duì)如圖2所示的SysML基本單元，建立如圖3所示的故障樹(shù)基本單元。

2.1.2 自動(dòng)化故障樹(shù)生成算法

基于自動(dòng)化故障樹(shù)生成原理，故障樹(shù)生成算法如下：

步驟1，如果系統(tǒng)架構(gòu)模型為層次模型，將其展開(kāi)，使得模型中不包含可以被繼續(xù)劃分為其他元素的元素。

步驟2，確定故障樹(shù)頂事件：查看Package元素中的相關(guān)描述，根據(jù)失效模式標(biāo)簽LossOfFunction和MalFunction確定頂事件。

步驟3，針對(duì)LossOfFunction，做如下操作：

1)對(duì)于某對(duì)象A，構(gòu)造如圖4所示的故障樹(shù)基本單元。其輸出喪失由或門(mén)連接，故障原因?yàn)锳本身喪失，即所對(duì)應(yīng)的A功能喪失(如果已定義了LossOfFunction)，以及A的輸入喪失。

2)對(duì)于某對(duì)象A的輸入喪失，若其數(shù)據(jù)流只來(lái)源于對(duì)象B，則該事件由或門(mén)連接，并且其中一個(gè)故障原因是B喪失，另一個(gè)原因是B輸入喪失。

3)對(duì)于某對(duì)象A的輸入喪失，若其數(shù)據(jù)流來(lái)源于多個(gè)對(duì)象，查看A與其他對(duì)象數(shù)據(jù)流關(guān)系，查找對(duì)個(gè)對(duì)象對(duì)喪失模式的表達(dá)式，將其映射為故障樹(shù)；如果不能找到相應(yīng)的表達(dá)式，則默認(rèn)這幾個(gè)對(duì)象是冗余備份的關(guān)系，用與門(mén)連接它們的輸出喪失事件。

4)對(duì)于沒(méi)有數(shù)據(jù)流來(lái)源的對(duì)象A，用A本身喪失代替A的輸入喪失和A的輸出喪失。

步驟4：針對(duì)MalFuntion的操作與步驟3類似，只是當(dāng)某元素的數(shù)據(jù)流來(lái)源于多個(gè)元素時(shí)，如果不能找到相應(yīng)的Assertion表達(dá)式，則用或門(mén)連接它們的輸出喪失事件，因?yàn)榧词故侨哂鄠浞蓐P(guān)系，任意一個(gè)輸入模塊錯(cuò)誤均會(huì)導(dǎo)致該模塊發(fā)生錯(cuò)誤。

2.2 自動(dòng)化故障樹(shù)分析方法

本文在故障獨(dú)立假設(shè)前提下完成了故障樹(shù)建立，為了保證該假設(shè)成立，除了對(duì)故障樹(shù)進(jìn)行基本的定性及定量分析，還需要對(duì)其進(jìn)行共模分析和區(qū)域安全性分析。

2.2.1 故障樹(shù)分析

本文通過(guò)開(kāi)源故障樹(shù)分析工具XFTA進(jìn)行故障樹(shù)分析，將生成的故障樹(shù)文件轉(zhuǎn)化為符合OPENPSA標(biāo)準(zhǔn)的xml文件，然后將該xml文件作為XFTA的輸入，調(diào)用XFTA計(jì)算算法，計(jì)算每個(gè)中間事件的最小割集和概率，同時(shí)求出結(jié)構(gòu)重要度、概率重要度和關(guān)鍵重要度。

2.2.2 共模分析

自動(dòng)化共模檢查是為了支持共模分析，進(jìn)一步分成最小割集、共模檢查單和共模事件檢查三個(gè)部分。

1)最小割集

基于故障樹(shù)割集計(jì)算算法，可以計(jì)算出某一個(gè)中間事件的割集，因此可以通過(guò)選擇故障樹(shù)中的某一個(gè)中間事件，將最小割集和一階最小割集通過(guò)可視界面顯示出來(lái)。

2)共模檢查單

基于ARP4761中對(duì)于共模源的分類，將共模分析檢查單和記錄表通過(guò)可視界面顯示出來(lái)，用于檢查兩個(gè)硬件類事件的共模源和錯(cuò)誤，以支持自動(dòng)化共模分析。

3)共模事件檢查

基于生成的故障樹(shù)結(jié)果，可以給出一個(gè)“與”門(mén)事件下不同分支中重復(fù)出現(xiàn)的相同硬件底事件，并通過(guò)可視化界面顯示出來(lái)，結(jié)合最小割集以及共模檢查單實(shí)現(xiàn)自動(dòng)化共模分析。

2.2.3 區(qū)域安全性分析

自動(dòng)化安全隔離檢查的目的是為了支持區(qū)域安全性分析，主要包括交集檢查、危險(xiǎn)區(qū)域檢查和隔離距離檢查三個(gè)部分。

1)交集檢查

交集檢查是用于判斷故障樹(shù)中兩個(gè)硬件基本事件是否存在重疊區(qū)域?；诠收蠘?shù)生成結(jié)果，識(shí)別出硬件類型的基本事件，并結(jié)合安全性數(shù)據(jù)模型中的位置和體積信息，生成兩個(gè)基本事件的立體模型，通過(guò)兩個(gè)立體模型的空間位置，判斷這兩個(gè)硬件類型的基本事件是否存在重疊區(qū)域。

2)危險(xiǎn)區(qū)域檢查

危險(xiǎn)區(qū)域檢查是用于判斷故障樹(shù)中同一“與”門(mén)下的兩個(gè)硬件類型的割集事件是否落入同一個(gè)危險(xiǎn)區(qū)域?；诠收蠘?shù)生成結(jié)果，識(shí)別出同一“與”門(mén)下的兩個(gè)硬件類型的割集事件，并結(jié)合安全性數(shù)據(jù)模型中的位置和體積信息，生成兩個(gè)基本事件的立體模型，然后基于人工輸入危險(xiǎn)區(qū)域信息(位置和邊長(zhǎng))，生成危險(xiǎn)區(qū)域立體模型，通過(guò)兩個(gè)割集事件立體模型的空間位置對(duì)于危險(xiǎn)區(qū)域立體模型的空間位置，判斷這兩個(gè)硬件類型的割集事件是否落入定義的同一危險(xiǎn)區(qū)域。

3)隔離距離檢查

隔離距離檢查是用于判斷故障樹(shù)中同一“與”門(mén)下的兩個(gè)硬件類型的割集事件是否滿足距離要求?；诠收蠘?shù)生成結(jié)果，識(shí)別出同一“與”門(mén)下的兩個(gè)硬件類型的割集事件，并結(jié)合安全性數(shù)據(jù)模型中的位置和體積信息，生成兩個(gè)基本事件的立體模型，計(jì)算兩個(gè)割集事件立體模型空間位置之間的距離，然后基于人工輸入距離要求信息，判斷這兩個(gè)硬件類型的割集事件是否滿足指定距離要求。

3 自動(dòng)化安全性分析工具設(shè)計(jì)

3.1 自動(dòng)化安全性分析工具軟件架構(gòu)

自動(dòng)化安全性分析工具架構(gòu)如圖5示，基于EA架構(gòu)模型XML文件，實(shí)現(xiàn)自動(dòng)化安全性分析。

3.2 系統(tǒng)架構(gòu)分析模塊

系統(tǒng)架構(gòu)分析模塊的功能是從EA架構(gòu)模型的XML格式文件中提取信息，轉(zhuǎn)化成“EANode”類，如表3所示，由故障樹(shù)建模模塊直接利用建立故障樹(shù)。該模塊利用Linq到XML的編程接口來(lái)分析EA架構(gòu)模型的XML文件。

表3 EANode類屬性描述

3.3 故障樹(shù)建模模塊

故障樹(shù)建模模塊的功能是將系統(tǒng)架構(gòu)分析模塊提取出來(lái)的“EANode”類屬性轉(zhuǎn)化為故障樹(shù)結(jié)構(gòu)的“TreeNode”類屬性，“TreeNode”類屬性定義如表4所示。在轉(zhuǎn)化過(guò)程中，通過(guò)分析“EANode”類屬性中各個(gè)對(duì)象之間的相關(guān)關(guān)系，產(chǎn)生故障樹(shù)結(jié)構(gòu)數(shù)據(jù)，同時(shí)提取出概率計(jì)算需要的信息。

表4 TreeNode類屬性描述

3.4 故障樹(shù)圖形模型與用戶接口模塊

故障樹(shù)圖形模型與用戶接口模塊主要實(shí)現(xiàn)以下兩個(gè)功能：

1) 故障樹(shù)的圖形表達(dá)。根據(jù)故障樹(shù)建模模塊建立的故障樹(shù)，采用標(biāo)準(zhǔn)故障樹(shù)圖形符號(hào)將故障樹(shù)表示并顯示出來(lái)。

2) 用戶接口。主要包括三個(gè)部分：(1) 用戶可以手動(dòng)對(duì)故障樹(shù)進(jìn)行修改和編輯；(2) 用戶可以通過(guò)點(diǎn)擊圖形和標(biāo)簽選擇顯示故障樹(shù)計(jì)算的結(jié)果；(3) 用戶可以通過(guò)輸入安全性要求，獲得安全性要求檢查結(jié)果。

故障樹(shù)的圖形表達(dá)是通過(guò)將“TreeNode”類屬性與“Northwoods.go，Northwoods.Xml，Northwoods.go.Layout”類庫(kù)進(jìn)行關(guān)聯(lián)后實(shí)現(xiàn)故障樹(shù)的顯示。

故障樹(shù)計(jì)算結(jié)果的輸出功能通過(guò)結(jié)果文件的讀取操作實(shí)現(xiàn)，并直接顯示在故障樹(shù)圖形界面中。

3.5 故障樹(shù)計(jì)算模塊

故障樹(shù)計(jì)算模塊主要基于XFTA開(kāi)源引擎實(shí)現(xiàn)故障樹(shù)概率計(jì)算，通過(guò)調(diào)用XFTA開(kāi)源故障樹(shù)分析軟件來(lái)計(jì)算故障樹(shù)頂事件的概率。XFTA是故障樹(shù)評(píng)估引擎，包含計(jì)算概率、割集等的高效算法。其中，“深度優(yōu)先調(diào)用”功能用于獲得故障樹(shù)的各中間事件概率值和最小割集。

3.6 安全性分析模塊

安全性分析模塊根據(jù)故障樹(shù)計(jì)算模塊的結(jié)果，進(jìn)行共模和安全隔離要求的檢查，并通過(guò)列表形式顯示出來(lái)。

1)ErrorList：列出了故障樹(shù)模型結(jié)構(gòu)中的錯(cuò)誤，例如或門(mén)必須有兩個(gè)或多于兩個(gè)子節(jié)點(diǎn)；

2)IntersecCheck：列出了故障樹(shù)中所有基本事件實(shí)體之間存在兩兩交互的情況；

3)MiniCutSet：根據(jù)選中的頂事件或中間事件，列出該事件的所有最小割集；

4)1-MiniCutSet：根據(jù)選中的頂事件或中間事件，列出該事件的所有一階最小割集；

5)CMAChecklist：列出同一與門(mén)下的割集事件，通過(guò)檢查單方式記錄兩兩事件之間的共模檢查結(jié)果及需求，從方案與設(shè)計(jì)、制造、安裝/綜合與試驗(yàn)、操作、維修、測(cè)試、校準(zhǔn)、環(huán)境八個(gè)方面進(jìn)行檢查，每個(gè)檢查結(jié)果包括N/A(不適用)、待分析、派生緩解需求、獨(dú)立自明性四個(gè)方面；

6)CMEventList：列出同一與門(mén)下不同分支中重復(fù)出現(xiàn)的基本事件；

7)HazardAreaCheck：在屬性區(qū)“Zones”標(biāo)簽下定義危險(xiǎn)區(qū)域，包括中心坐標(biāo)、長(zhǎng)、寬、高，再重新計(jì)算，則會(huì)列出同一與門(mén)下割集事件實(shí)體是否落入該定義區(qū)域中；

8)DistanceHazard：列出同一與門(mén)下割集事件的某一層級(jí)實(shí)體距離定義的危險(xiǎn)區(qū)域的距離；

9)SeparationCheck：列出同一與門(mén)下割集事件的某一層級(jí)實(shí)體之間距離。

4 案例分析

為了驗(yàn)證所設(shè)計(jì)的安全性分析工具的有效性，針對(duì)如圖6所示的系統(tǒng)EA模型，采用上述工具進(jìn)行故障樹(shù)自動(dòng)建模與分析。

4.1 故障樹(shù)建模

在自動(dòng)化安全性分析工具中生成該EA模型的XML文件，并導(dǎo)入。安全性分析工具經(jīng)過(guò)后臺(tái)計(jì)算，將XML文件直接轉(zhuǎn)化為故障樹(shù)，如圖7所示。

4.2 故障樹(shù)分析結(jié)果

針對(duì)每一個(gè)模型，工具會(huì)生成一個(gè)“Loss”類型和一個(gè)“Error”類型失效狀態(tài)的故障樹(shù)，分別顯示在兩個(gè)標(biāo)簽中，同時(shí)在右側(cè)的“概要區(qū)”中顯示整個(gè)故障樹(shù)的情況，如圖7示。在顯示的故障樹(shù)中，同時(shí)也在頂事件、中間事件和基本事件名稱下方顯示了失效概率。

共模和安全隔離要求檢查結(jié)果如下：

1)ErrorList結(jié)果

在本例中不存在模型錯(cuò)誤，因此ErrorList為空，如圖8所示。

2)IntersecCheck結(jié)果

在本例中，“Loss”類型的故障樹(shù)中檢查出6個(gè)存在交集情況的結(jié)果，如圖9所示，包括了包含(前2個(gè))和交集(后4個(gè))兩個(gè)類型。

3)MiniCutset結(jié)果

選擇“Loss”類型故障樹(shù)的頂事件，檢查出21個(gè)最小割集結(jié)果，如圖10所示，包括了1個(gè)一階割集、5個(gè)二階割集、14個(gè)三階割集和1個(gè)四階割集，并給出了該割集的失效概率以及對(duì)頂事件失效概率的貢獻(xiàn)(Contribution)。

4)1-MiniCutset結(jié)果

根據(jù)3)的結(jié)果，“Loss”類型故障樹(shù)的頂事件只有一個(gè)割集，如圖11所示。

5)CMAChecklist結(jié)果

根據(jù)3)的結(jié)果，列出同一與門(mén)下的割集事件兩兩事件，如圖12所示，針對(duì)每?jī)蓚€(gè)事件進(jìn)行共模檢查和記錄，評(píng)估是否需要派生需求。

6)CMEventList結(jié)果

在本例中不存在事件在同一與門(mén)下不同分支中重復(fù)出現(xiàn)，因此CMEventList為空，如圖13所示。

圖13 CMEventList結(jié)果

7)HazardAreaCheck結(jié)果

在進(jìn)行危險(xiǎn)區(qū)域檢查前，需要先定義一個(gè)危險(xiǎn)區(qū)域，在本例中定義了一個(gè)區(qū)域1，如圖14所示，中心位置為(0，0，0)，長(zhǎng)寬高分別為1111、1111和1111的立方體區(qū)域。定義完危險(xiǎn)區(qū)域后，進(jìn)行重新計(jì)算，則會(huì)在“HazardAreaCheck”標(biāo)簽下顯示，如圖15所示，共有38條，每條的“Cutsets”一列列出了同一與門(mén)下處于同一危險(xiǎn)區(qū)域的所有割集，“Detail”一列說(shuō)明了這些割集事件同處于哪一個(gè)危險(xiǎn)區(qū)域中，“LRUs”一列歸納了這些割集同屬于哪些LRU。

8)DistanceHazard結(jié)果

在HazardAreaCheck結(jié)果基礎(chǔ)上，列出了所有處于同一危險(xiǎn)區(qū)域的LRU事件，并給出了它們距離定義危險(xiǎn)區(qū)域的距離，如圖16所示。

9)SeparationCheck結(jié)果

根據(jù)3)的結(jié)果，列出了同一與門(mén)下LRU級(jí)割集事件，并計(jì)算出兩兩之間的距離，給出各個(gè)LRU所處的矩形區(qū)域是否存在交叉的檢查結(jié)果，如圖17所示。

5 結(jié)論

1) 本文設(shè)計(jì)的故障樹(shù)自動(dòng)建模方法相比傳統(tǒng)手工建樹(shù)方法效率更高。

2) 本文設(shè)計(jì)的自動(dòng)化安全性分析方法與傳統(tǒng)方法相比保證了安全性分析與系統(tǒng)設(shè)計(jì)的同步。

因此無(wú)論是從用時(shí)長(zhǎng)短還是在有效性上，該工具采用的方法都優(yōu)于傳統(tǒng)手工建樹(shù)方法。

[1] Vesely W E, Goldberg F F, Roberts N H, et al. Fault tree handbook[R]. Washington DC: Nuclear Regulatory Commission, 1981.

[2] Wang G. Integration technology for avionics system[C]//2012 IEEE/AIAA 31st Digital Avionics Systems Conference. IEEE, 2012:7C6-1-7C6-9.

[3] Li Xiangming, Wu Xuejun. A software design method based on fault-tree analysis[J]. Ordnance Industry Automation, 2011, 30(8): 85-91.

[4] 谷青范, 王國(guó)慶,等. 基于模型驅(qū)動(dòng)的航電系統(tǒng)安全性分析技術(shù)研究[J]. 計(jì)算機(jī)科學(xué), 2015, 42(3): 124-127.

[5] Kyle Hampson. Technical Evaluation of the Systems Modeling Language (SysML)[J]. Procedia Computer Science, 2015, 44(1): 403-412.

Design and Research on Safety Analysis Tool for Avionics System

LIU Yu LIU Yongchao

(Shanghai Aircraft Design and Research Institute, Shanghai 201210,China)

With the continuous improvement of avionics system, the traditional method of safety analysis is difficult to guarantee the completeness of failure mode as it is too dependent on engineering experience. And in the process of system iterative design, due to the complexity of the system, the workload of safety analysis is too large, which increases the time and cost. Aiming at the above problems, an automated safety analysis tool was designed, the safety data model was established based on SysML, automatic fault tree was built by using route tracing method, and the common mode analysis and zone safety analysis were carried out on the generated fault tree. The experimental results of a system show that the tool can realize the automatic modeling and analysis of the fault tree and improve the efficiency and competeness of the safety analysis.

avionics system; fault tree; systems modeling language; safety analysis

10.19416/j.cnki.1674-9804.2017.03.002

劉宇男，碩士，助理工程師。主要研究方向：航電綜合試驗(yàn)。Tel: 021-20864858,E-mail: liuyuchn@sina.com

V243

：A

劉永超男，研究員。主要研究方向：航電系統(tǒng)綜合設(shè)計(jì)與集成驗(yàn)證。Tel: 021-20864760,E-mail: liuyongchao@comac.cc