惲通世 陳曉東

（中航工業(yè)綜合技術(shù)研究所，北京 100028）

GJB 6387-2008《武器裝備研制項目專用規(guī)范編寫規(guī)定》是編寫軍用直升機系統(tǒng)和產(chǎn)品型號規(guī)范的依據(jù)（以下簡稱GJB 6387）。GJB 6387適用于航天、航空、艦船、核、兵器等5類武器裝備使用，主要規(guī)定5類武器裝備的通用要求。在6.3.10 “安全性”中規(guī)定：a) “實體的安全性定量要求可用總事故風(fēng)險參數(shù)指標(biāo)表示，或采用風(fēng)險分析方法對災(zāi)難、嚴(yán)重、輕度、輕微等4個危險嚴(yán)重性等級的事故發(fā)生概率做出預(yù)估”。b) “實體防止危害性事故發(fā)生的設(shè)計約束條件”。但是，在編寫軍用直升機系統(tǒng)規(guī)范如何貫徹GJB 6387的要求，同時又體現(xiàn)軍用直升機的特殊性要求，是大家關(guān)心的問題。本文以GJB 6387中的安全性要求為準(zhǔn)則，在分析和總結(jié)國內(nèi)外航空器系統(tǒng)規(guī)范安全性要求的基礎(chǔ)上，對軍用直升機系統(tǒng)規(guī)范中宜規(guī)定的安全性要求提出一些看法。

1 軍用直升機宜規(guī)定的安全性要求

GJB 6387規(guī)定的安全性可歸納為：安全性定量要求、安全性風(fēng)險評估、防止事故設(shè)計約束3類安全性要求。

GJB 900-1990《安全性大綱》（簡稱GJB 900）是軍用系統(tǒng)承制方滿足訂購方安全性要求的基本依據(jù)。GJB 900定義：“安全性”是不發(fā)生事故的能力，“危險”是可能導(dǎo)致事故的狀態(tài)，而“風(fēng)險”是用危險可能性和危險嚴(yán)重性表示的發(fā)生事故的可能程度。GJB 900第4.6“風(fēng)險評價”是：“按危險嚴(yán)重性和危險可能性劃分危險的等級進行風(fēng)險評價，并根據(jù)有關(guān)風(fēng)險評價決定對已判定的危險的處理方法”。也就是識別危險，確定危險等級，對不可接受的危險采取控制措施。GJB/Z 99-1997《系統(tǒng)安全工程手冊》（簡稱GJB/Z 99）是GJB 900的支持標(biāo)準(zhǔn)，補充了安全性設(shè)計和應(yīng)用示例。GJB/Z 99附錄A“安全性設(shè)計的定量要求”第A1.4給出了“損失率或損失概率”要求，軍用直升機對應(yīng)的要求為“直升機損失概率”。GJB/Z 99第10章“軟件安全性”明確了軟件危險和軟件開發(fā)中的軟件安全管理。第11章“危險及其控制”給出了防事故要求。

結(jié)合軍用直升機特點適當(dāng)剪裁GJB 6387以及GJB 900、GJB/Z 99規(guī)定的安全性要求，軍用直升機系統(tǒng)規(guī)范安全性要求宜為：安全風(fēng)險評價、直升機損失概率、防事故、抗事故以及軟件安全性要求。以下對這些要求在軍用直升機系統(tǒng)規(guī)范中如何規(guī)定分別進行探討。

2 安全風(fēng)險評價

危險是產(chǎn)生不安全事故的原因。軍用直升機包括直升機系統(tǒng)、分系統(tǒng)（如飛行控制分系統(tǒng)、航空電子分系統(tǒng)等）以及子系統(tǒng)（如供電子系統(tǒng)、液壓子系統(tǒng)、燃油子系統(tǒng)等）。系統(tǒng)涉及不同專業(yè)（如自動控制、航空電子、供電、供油等）和不同學(xué)科（如光、電、機械等），以及所處的不同工作環(huán)境（空中使用、地面維護等）。這些系統(tǒng)的專業(yè)、學(xué)科以及工作環(huán)境都有各自存在的危險因素，它們綜合后危險之間的互相影響使得安全性問題變得更加復(fù)雜。危險導(dǎo)致的事故重則直升機損失、人員傷亡，輕則設(shè)備損壞、人員損傷。要想消除潛在危險和降低危險，必須通過風(fēng)險評價識別各系統(tǒng)可能導(dǎo)致安全關(guān)鍵功能失效的危險，對不可接受危險等級的危險進行控制（如設(shè)計上采取改進措施或給出安全操作程序、防護裝置、警告標(biāo)志等），因此風(fēng)險評價的目的是識別不可接受的危險和控制危險。

軍用直升機系統(tǒng)規(guī)范“風(fēng)險評價”規(guī)定的典型要求：“直升機系統(tǒng)在規(guī)定的環(huán)境執(zhí)行指定的任務(wù)時，對危險風(fēng)險指數(shù)矩陣（見表1）中大于最低閾值的危險風(fēng)險指數(shù)RHI的所有危險項目，其累計危險風(fēng)險指數(shù)RHI*應(yīng)不大于XXX。 “危險風(fēng)險指數(shù)”是“危險風(fēng)險指數(shù)矩陣”中危險項目危險結(jié)果和危險頻率權(quán)重值的乘積，“危險風(fēng)險指數(shù)閾值”是可接受的“危險風(fēng)險指數(shù)”最低值，累計危險風(fēng)險指數(shù)是大于給定危險風(fēng)險指數(shù)閾值的危險項目危險風(fēng)險指數(shù)之和”。

2.1 危險風(fēng)險指數(shù)矩陣

“危險風(fēng)險指數(shù)矩陣”由系統(tǒng)中危險項目的危險風(fēng)險指數(shù)構(gòu)成?！拔ｋU風(fēng)險指數(shù)”等于危險結(jié)果嚴(yán)重性等級（簡稱危險嚴(yán)重性等級）權(quán)重值和危險頻率可能性等級（簡稱危險可能性等級）權(quán)重值的乘積。安全性要求就是將每一個危險項目控制在允許的危險風(fēng)險指數(shù)之內(nèi)。

2.2 危險風(fēng)險指數(shù)閾值

確立“危險風(fēng)險指數(shù)閾值”的目的是，所有大于閾值的危險項目都應(yīng)進行風(fēng)險管理，而且應(yīng)通過風(fēng)險管理使得風(fēng)險指數(shù)之和（累計危險風(fēng)險指數(shù)）限制在預(yù)定可接受值以內(nèi)。危險風(fēng)險指數(shù)閾值的確定，有利于承制方的安全管理。對高于危險風(fēng)險指數(shù)閾值的危險項目，需要進行嚴(yán)格風(fēng)險管理，監(jiān)控消除或降低危險的改進設(shè)計和驗證工作；低于危險風(fēng)險指數(shù)閾值的危險項目，可以不按高風(fēng)險指數(shù)進行管理，這就減少了相應(yīng)研制工作負擔(dān)。

2.3 累計危險風(fēng)險指數(shù)

大于危險風(fēng)險指數(shù)閾值的危險項目規(guī)定“累計危險風(fēng)險指數(shù)”的最大允許值，目的是建立直升機系統(tǒng)安全性的總體要求，對需要控制的危險項目提出限制要求。承制方為了確保所有大于閾值的風(fēng)險指數(shù)之和不應(yīng)超過預(yù)定的累計風(fēng)險指數(shù)，需要采取措施消除危險風(fēng)險，減少危險項目數(shù)量；對無法消除的危險項目，采取措施降低危險風(fēng)險使得危險項目的危險風(fēng)險指數(shù)達到可接受水平。這樣在累計風(fēng)險指數(shù)范圍內(nèi)，允許承制方對大于風(fēng)險閾值的危險項目實施風(fēng)險控制，并提供了安全設(shè)計與成本以及進度的調(diào)整空間。

表1 危險風(fēng)險指數(shù)矩陣

每一個危險項目的危險特性是由危險事件的危險結(jié)果（嚴(yán)重性）和危險頻率（可能性）表示的，即危險的風(fēng)險指數(shù)。訂購方要求承制方通過風(fēng)險評價識別所有危險項目，并確定其風(fēng)險指數(shù)，對不可接受危險風(fēng)險指數(shù)的危險項目要求跟蹤監(jiān)控改進措施，消除危險或降低危險的嚴(yán)重性和可能性，直至危險項目的風(fēng)險指數(shù)控制在可接受范圍內(nèi)（風(fēng)險指數(shù)閾值）。由于危險項目的風(fēng)險指數(shù)等于危險嚴(yán)重性等級權(quán)重值乘危險可能性等級權(quán)重值，在滿足可接受風(fēng)險指數(shù)值的前提下，承制方可以根據(jù)研制成本和進度權(quán)衡選擇改進措施，是偏重于降低危險嚴(yán)重性等級還是偏重于降低危險可能性等級，這使得承制方具有選擇安全性設(shè)計和成本的調(diào)整空間，提高了承制方的安全設(shè)計水平和節(jié)省研制成本。因此，系統(tǒng)安全風(fēng)險評價對訂購方和承制方都是有益的。

2.4 風(fēng)險指數(shù)矩陣填寫示例

典型軍用直升機系統(tǒng)規(guī)范風(fēng)險指數(shù)矩陣可參見表2。如果確定風(fēng)險指數(shù)閾值為6，表中“禁區(qū)”為1001，強制要求承制方必須采取措施排除該組危險項目的危險特性（“危險結(jié)果”和“危險頻率”的組合）直至風(fēng)險指數(shù)值達到可接受范圍。其余大于6的危險項目的風(fēng)險指數(shù)為表中8～20，要求承制方進行風(fēng)險管理，監(jiān)督風(fēng)險控制整改方案的實施。對小于6的危險項目，雖然可以不列入高風(fēng)險級別的管理，但承制方還應(yīng)對這些危險項目負責(zé)。

對于軍用直升機系統(tǒng)規(guī)范的低層次系統(tǒng)規(guī)范，對于安全關(guān)鍵分系統(tǒng)（如飛行控制系統(tǒng)）、安全關(guān)鍵子系統(tǒng)（如供電子系統(tǒng)），也應(yīng)識別各自安全關(guān)鍵功能中的潛在危險，對大于危險風(fēng)險閾值的危險項目實施控制，并向軍用直升機系統(tǒng)規(guī)范“風(fēng)險評價”提供支持?jǐn)?shù)據(jù)。因此，軍用直升機系統(tǒng)、分系統(tǒng)、子系統(tǒng)規(guī)范，均應(yīng)按風(fēng)險評價要求，來識別系統(tǒng)中潛在的危險、確定可接受的風(fēng)險閾值、通過消除危險或降低風(fēng)險最終確保軍用直升機的安全。

表2 各個危險風(fēng)險指數(shù)

消除或降低危險項目“危險風(fēng)險指數(shù)”應(yīng)采取的措施如下：

一是通過設(shè)計消除危險；

二是如果危險無法消除則。

通過安全保護設(shè)施或設(shè)備避免災(zāi)難性事故；引入探測和報警能力，提供危險警告；引入安全操作程序（包括設(shè)備和訓(xùn)練）。

3 直升機損失概率

高機動性的軍用直升機具有較高的災(zāi)難性損失率。如軍用直升機在空中高機動飛行時，由于駕駛員不能適應(yīng)高機動飛行過載造成操縱疏忽或暫時喪失能力而導(dǎo)致災(zāi)難性事故。它通常和飛行任務(wù)類型和駕駛員培訓(xùn)水平有關(guān)，但也和機載設(shè)備設(shè)計有關(guān)，如防撞系統(tǒng)、操縱告警可以彌補任務(wù)類型和駕駛員操縱技術(shù)帶來的危險。系統(tǒng)規(guī)范主要應(yīng)規(guī)定防止飛行安全關(guān)鍵功能的系統(tǒng)或設(shè)備故障導(dǎo)致的災(zāi)難性事故，如飛行控制系統(tǒng)故障導(dǎo)致飛行操縱失控、機載主飛行顯示器“黑屏”導(dǎo)致無法判斷直升機飛行狀態(tài)等等。另外如新的軟件與硬件不協(xié)調(diào)、數(shù)據(jù)更新錯誤、接口通信錯誤等也會導(dǎo)致災(zāi)難性事故。因此，系統(tǒng)規(guī)范應(yīng)規(guī)定軍用直升機損失概率來限制災(zāi)難性事故的發(fā)生。規(guī)定“直升機損失概率”要求可以起到以下6個方面的作用：

為維持作戰(zhàn)能力應(yīng)配備軍用直升機的數(shù)量提供依據(jù)。

防范軍用直升機損失事件發(fā)生，對危險采取的措施提供依據(jù)；（參見消除或降低危險項目“危險風(fēng)險指數(shù)”應(yīng)采取的措施）。

直升機系統(tǒng)以及各層次分系統(tǒng)、子系統(tǒng)由于功能失效導(dǎo)致直升機的損失率分配提供了依據(jù)。

限壽產(chǎn)品、結(jié)構(gòu)部件的壽命提供了跟蹤和更換要求。

分配安全關(guān)鍵系統(tǒng)、設(shè)備、結(jié)構(gòu)部件的可靠性要求。

確定系統(tǒng)、設(shè)備、結(jié)構(gòu)部件維護方案提供依據(jù)。

3.1 系統(tǒng)規(guī)范典型直升機損失概率要求規(guī)定

軍用直升機系統(tǒng)規(guī)范直升機非戰(zhàn)斗損失概率：“由地面或飛行操作以及與材料和設(shè)計缺陷導(dǎo)致的直升機損失率應(yīng)不大于規(guī)定值。典型數(shù)值為10－6數(shù)量級”。

軍用直升機飛行控制系統(tǒng)直升機損失概率：“由于飛行控制系統(tǒng)中‘極罕見’的硬件故障導(dǎo)致每次飛行直升機失事的概率應(yīng)不大于規(guī)定值。典型數(shù)值為10－7數(shù)量級”。

軍用直升機航空電子系統(tǒng)直升機損失概率：“由于飛行、武器、安全關(guān)鍵性功能管理失效導(dǎo)致每次飛行任務(wù)直升機意外損失的概率應(yīng)不大于規(guī)定值。典型數(shù)值為10－9數(shù)量級?！?/p>

“由于任務(wù)關(guān)鍵性功能管理失效導(dǎo)致每次飛行任務(wù)直升機意外損失的概率應(yīng)不大于規(guī)定值。典型數(shù)值為10－7數(shù)量級。”

在規(guī)定直升機損失概率中需要明確在“規(guī)定的條件下”和“規(guī)定的時間內(nèi)”，由于功能失效導(dǎo)致航空器的損失概率。

直升機系統(tǒng)非戰(zhàn)斗損失率要求中“規(guī)定的條件”為地面或飛行操作以及與材料有關(guān)缺陷引起的功能失效，“規(guī)定的時間”為相應(yīng)任務(wù)剖面的時間。直升機飛行控制系統(tǒng)直升機損失概率要求中“規(guī)定的條件”為“極罕見”的硬件故障導(dǎo)致的功能失效，“規(guī)定的時間”為每次飛行任務(wù)。

3.2 確定損失概率的依據(jù)

3.2.1 直升機系統(tǒng)要求的分配

直升機系統(tǒng)規(guī)范經(jīng)過危險風(fēng)險評價，確認直升機損失概率不應(yīng)超過1×10－6次/飛行小時，該指標(biāo)即為低層次系統(tǒng)規(guī)范確定直升機損失概率的依據(jù)。

直升機損失概率典型分配示例如下：直升機系統(tǒng)非戰(zhàn)斗損失率為1×10－6次/飛行小時；直升機分系統(tǒng)（如飛行控制系統(tǒng)）損失率為25×10－7次/飛行小時；直升機子系統(tǒng)（如供電系統(tǒng)、液壓系統(tǒng)）損失率為1×10－8次/飛行小時。

3.2.2 借鑒現(xiàn)役同類直升機統(tǒng)計損失概率

由于直升機損失率不僅和直升機設(shè)計有關(guān)，還取決于操作是否妥當(dāng)，如駕駛員能否在短暫惡劣環(huán)境條件下正確操縱航空器。對不同的飛行任務(wù)，不同培訓(xùn)水平的空/地勤人員，會有不同的航空器損失率。若沒有分配要求，可參考服役軍用直升機的失事概率確定。

3.2.3 國內(nèi)外系統(tǒng)規(guī)范推薦指標(biāo)

在缺少其他可采用的數(shù)據(jù)時，可選擇以下推薦指標(biāo)：

一是美國聯(lián)合軍種規(guī)范指南JSSG 2008《航空器控制與管理系統(tǒng)VCMS》推薦損失概率見表3。二是GJB 2191-1994《有人駕駛飛機飛行控制系統(tǒng)通用規(guī)范》推薦飛行控制系統(tǒng)飛行安全性定量要求見表4。

4 防事故要求

軍用直升機系統(tǒng)規(guī)范宜規(guī)定有關(guān)防火/防爆、防毒、防噪聲、防外來物以及安全操作、安全警告等防事故要求。這些都是需要預(yù)防可能發(fā)生的事故，輕則造成設(shè)備損壞或人員操作能力下降，嚴(yán)重時會導(dǎo)致直升機損失或人員傷亡。事故的原因包括系統(tǒng)或設(shè)備自身的危險、人為操作差錯、有害的環(huán)境。因此，在編寫系統(tǒng)或設(shè)備規(guī)范時宜根據(jù)系統(tǒng)或設(shè)備的特點規(guī)定相應(yīng)的防事故安全要求，如余度設(shè)計也是防事故的安全要求。軍用直升機系統(tǒng)規(guī)范防事故要求舉例如下：

表3 各種類型航空器損失概率

表4 飛行控制系統(tǒng)飛行安全性定量要求

直升機系統(tǒng)規(guī)范：“防火、防爆”和“防意外點火”要求。

發(fā)動機系統(tǒng)規(guī)范：“防火、防爆”和“包容性”要求。

飛行控制系統(tǒng)系統(tǒng)規(guī)范：“安全性規(guī)定”、“防毒性氣體”以及“防電氣、電子危害”等要求。

直升機子系統(tǒng)規(guī)范：“防外來物損傷”、“防噪聲”以及“防安裝風(fēng)險”等要求。

現(xiàn)以飛行控制系統(tǒng)和直升機子系統(tǒng)為例說明。

4.1 飛行控制系統(tǒng)

安全性規(guī)定：“通過安全防護設(shè)備、警告規(guī)定和安全操作程序提供維護人員能預(yù)防災(zāi)難性危險或嚴(yán)重性危險的能力”。

對設(shè)計上難以消除的危險因素，可以通過安全規(guī)定來防止危險事件的發(fā)生。安全性規(guī)定需要注意的危險區(qū)域為：

一是在系統(tǒng)動力源關(guān)閉情況下，預(yù)防機械、液壓、氣壓或電壓能量的無意釋放而傷害維護人員；

二是動力驅(qū)動裝置（控制面作動器、艙門收放驅(qū)動裝置等）的無意動作或動作過快而造成維護人員傷害。

防毒性氣體：“當(dāng)設(shè)備在暴露條件下正常操作、維修、訓(xùn)練時，不應(yīng)泄漏致癌物質(zhì)和有毒氣體”。

電氣和電子危害：“設(shè)計應(yīng)保護相關(guān)人員不會遭到高電壓的傷害”。

4.2 直升機子系統(tǒng)（如供電子系統(tǒng)、液壓子系統(tǒng)、燃油子系統(tǒng)、環(huán)境控制子系統(tǒng)等）

防外來物損傷：應(yīng)確定外來物損傷容限。

防噪聲：應(yīng)規(guī)定子系統(tǒng)噪聲等級的限制值。

防安裝風(fēng)險：子系統(tǒng)安裝和相關(guān)設(shè)備設(shè)計，應(yīng)使子系統(tǒng)的正常操作不會促使或?qū)е缕鸹鸷捅ǖ奈：Α?/p>

子系統(tǒng)安裝和相關(guān)設(shè)備設(shè)計，應(yīng)使由于故障或意外造成的起火和爆炸的危害最小。

航空器外表面共有的子系統(tǒng)安裝邊界，應(yīng)設(shè)計成使火情不會因為航空器內(nèi)空氣自然流動而在子系統(tǒng)之間蔓延”。

“防安裝危險”主要防止子系統(tǒng)火災(zāi)或爆炸事故的發(fā)生。燃油子系統(tǒng)、氧氣子系統(tǒng)以及子系統(tǒng)的電氣設(shè)備、能源輸送管路都是起火或爆炸的危險源，由于子系統(tǒng)安裝考慮不周導(dǎo)致起火和爆炸的危害顯然是需要避免的。因此，進行子系統(tǒng)安裝設(shè)計時，首先應(yīng)考慮防止或避免火情的發(fā)生；當(dāng)故障或意外導(dǎo)致火情發(fā)生時，應(yīng)使得危害最小，同時應(yīng)避免火情的蔓延。

子系統(tǒng)規(guī)范中應(yīng)規(guī)定直升機潛在火區(qū)安裝子系統(tǒng)的約束要求，現(xiàn)歸納如下：

子系統(tǒng)的安裝位置應(yīng)遠離易燃氣體/液體可能排放出口，以避免火災(zāi)和爆炸的發(fā)生；

對可能造成火災(zāi)和爆炸的易燃氣體/液體組件、管路和電線，可采取防護裝置防止由于管路損壞的潛在危險因素導(dǎo)致火情的發(fā)生；

為減少管路結(jié)構(gòu)引起氣體/液體的泄漏或電線絕緣破壞的潛在危險，應(yīng)盡量使得管路長度最短；

為避免易燃液體管路受結(jié)構(gòu)振動或偏移導(dǎo)致管路損壞，管路不應(yīng)在應(yīng)力狀態(tài)下安裝，如管路彎曲半徑過小、管路強迫緊固等；

管路通過艙壁需要開口時，應(yīng)設(shè)計成防火密封，尤其防止火焰蔓延至其他艙內(nèi)的易燃材料。

5 抗事故要求

耐撞性軍用直升機系統(tǒng)規(guī)范或子系統(tǒng)規(guī)范主要的抗事故要求。直升機系統(tǒng)耐撞性是要求軍用直升機座椅結(jié)構(gòu)、人員約束系統(tǒng)以及座位周圍設(shè)備安裝結(jié)構(gòu)，在非常規(guī)應(yīng)急垂直墜落速度條件下具有耐硬著陸的能力。耐撞性應(yīng)規(guī)定以下要求：垂直墜落速度條件；空勤人員/乘客座椅和附近設(shè)備應(yīng)保持處于無危險位置；約束系統(tǒng)應(yīng)限制乘員保持在安全位置上。軍用直升機子系統(tǒng)，應(yīng)規(guī)定在直升機意外硬著陸條件下確保直升機有關(guān)子系統(tǒng)設(shè)備和部件保持在無危險位置。

6 軟件安全性要求

隨著軍用直升機系統(tǒng)和設(shè)備日益增長地采用數(shù)字技術(shù)，對軟件的使用迅速遞增。軟件本身是安全的，但和硬件綜合并執(zhí)行預(yù)定功能時，由于軟件故障（錯誤）導(dǎo)致系統(tǒng)和設(shè)備的功能失效而可能使得軍用直升機發(fā)生災(zāi)難性事故。對基于軟件控制的飛行控制系統(tǒng)及其它航空電子系統(tǒng)、航空器子系統(tǒng)，確保軟件安全性尤其重要。對軍用直升機系統(tǒng)安全關(guān)鍵功能的軟件，應(yīng)規(guī)定以下軟件安全性要求。

6.1 軟件應(yīng)具有“故障—恢復(fù)”功能，以確保軟件發(fā)生故障時仍能連續(xù)處理數(shù)據(jù)

要求主要提出軟件（尤其是安全關(guān)鍵功能軟件）在發(fā)生故障后應(yīng)能夠恢復(fù)，并且在發(fā)生軟件故障時仍能夠連續(xù)處理數(shù)據(jù)，也就是不會在軟件故障恢復(fù)前使得數(shù)據(jù)處理中斷。軟件故障可以恢復(fù)并且在恢復(fù)過程中要確保數(shù)據(jù)處理不能夠中斷是軍用直升機飛行安全的基本保證要求。飛行控制系統(tǒng)如果由于軟件故障使得操縱中斷，哪怕是暫時中斷其結(jié)果也是不可想象。

軟件發(fā)生錯誤需要規(guī)定的安全措施：系統(tǒng)應(yīng)恢復(fù)到“安全狀態(tài)”； 應(yīng)能夠通知操作人員是何種故障；應(yīng)能夠通知操作人員已經(jīng)采取何種動作；系統(tǒng)應(yīng)從無意指令突變中具有“故障-安全狀態(tài)”的恢復(fù)功能；軟件應(yīng)具有報告操作員錯誤輸入的功能。

注：安全狀態(tài)——一旦發(fā)現(xiàn)不安全的情況（錯誤狀態(tài)）就需要恢復(fù)到一個“安全”狀態(tài)或較低的危險狀態(tài)?；謴?fù)技術(shù)包括故障容限（故障運行）、性能降級（故障軟化）以及降級后的系統(tǒng)/分系統(tǒng)（被動故障）的安全切斷。系統(tǒng)安全措施應(yīng)使其返回到“正確”狀態(tài)，當(dāng)無法回到“正確”狀態(tài)時，應(yīng)能夠容忍軟件失效帶來的影響而使得風(fēng)險可以接受。

6.2 系統(tǒng)軟件安全關(guān)鍵項目應(yīng)標(biāo)識，并獨立或區(qū)分于其他次關(guān)鍵軟件

“軟件安全性危害分析已經(jīng)識別影響功能安全的危害，并已經(jīng)消除或控制到可接受的級別。”

對可能造成災(zāi)難或嚴(yán)重危險的軟件項目應(yīng)進行標(biāo)識和控制。危險項目的標(biāo)識應(yīng)包括軟件的風(fēng)險級別，對可能造成災(zāi)難的或嚴(yán)重的危險項目，應(yīng)控制到可接受的風(fēng)險級別。軟件和硬件不同，風(fēng)險級別主要包括危害嚴(yán)重性等級。這是因為軟件是本身“錯誤”導(dǎo)致硬件的功能失效（如功能轉(zhuǎn)換、接口定義處理不當(dāng)造成的程序錯誤，或軟件的數(shù)據(jù)更新造成的數(shù)據(jù)錯誤），而沒有硬件由于失效率導(dǎo)致的危害可能性等級。

7 結(jié)束語

軍用直升機為執(zhí)行預(yù)定作戰(zhàn)或訓(xùn)練任務(wù)，在軸承標(biāo)準(zhǔn)制修訂的管理，加強軸承標(biāo)準(zhǔn)制定在軸承科研過程中的跟進力度，通過將各單位新研的軸承標(biāo)準(zhǔn)進行歸納整理，將一些在行業(yè)內(nèi)通用性較強的產(chǎn)品或技術(shù)制定為行業(yè)以上級標(biāo)準(zhǔn)，在整個行業(yè)內(nèi)推廣使用，逐步解決目前軸承的研制各自為戰(zhàn)的狀況，扭轉(zhuǎn)軸承的標(biāo)準(zhǔn)件特性持續(xù)降低的趨勢，提高軸承產(chǎn)品的通用性。

二是加強已有標(biāo)準(zhǔn)的宣貫執(zhí)行力度，加快軸承新技術(shù)新成果的推廣和使用，提高航空領(lǐng)域?qū)π聵?biāo)準(zhǔn)內(nèi)容的認識和理解，減少因為認識不統(tǒng)一而造成的人力物力的浪費。

2.3 提高航空軸承標(biāo)準(zhǔn)的先進性和及時性

依托航空軸承產(chǎn)品的研制和應(yīng)用研究的成果，及時將航空軸承相關(guān)的成熟的新技術(shù)引入到標(biāo)準(zhǔn)中去，解決目前型號對高性能軸承使用的急需，提高軸承的質(zhì)量和可靠性。同時在依靠自身能力的前提下，注意引進國外先進的航空軸承的標(biāo)準(zhǔn)規(guī)范，將一些新技術(shù)引入到國內(nèi)的軸承行業(yè)中，通過標(biāo)準(zhǔn)的方式促進國內(nèi)軸承行業(yè)整體水平不斷提高。

3 結(jié)論

目前我國航空軸承標(biāo)準(zhǔn)體系主要存在著標(biāo)準(zhǔn)體系不完整，標(biāo)準(zhǔn)管理薄弱，標(biāo)準(zhǔn)技術(shù)內(nèi)容落后等問題，這些問題的存在阻礙了航空軸承技術(shù)的進步和發(fā)展，本文對這些問題產(chǎn)生的原因，以及所帶來的后果進行了初步的分析，并有針對性地提出了相應(yīng)的解決措施和建議。航空軸承標(biāo)準(zhǔn)體系的建設(shè)和完善是一個長期的過程，只有建立一個完善的航空軸承標(biāo)準(zhǔn)體系，才能不斷提高我國航空軸承的產(chǎn)品技術(shù)和應(yīng)用技術(shù)水平。

[1]中國機械工業(yè)標(biāo)準(zhǔn)匯編. 滾動軸承卷（上）[S].2008.

[2]中國機械工業(yè)標(biāo)準(zhǔn)匯編. 滾動軸承卷（下）[S].2008.

[3]GJB 269A-2000 航空滾動軸承通用規(guī)范[S].

[4]《飛機設(shè)計手冊》總編委會.飛機設(shè)計手冊 2 標(biāo)準(zhǔn)和標(biāo)準(zhǔn)件（上）[S].2000.

[5]《飛機設(shè)計手冊》總編委會.飛機設(shè)計手冊 2 標(biāo)準(zhǔn)和標(biāo)準(zhǔn)件（下）[S].2000.