TSZUAVIA 010-2019 多旋翼無人機系統(tǒng)安全性分析規(guī)范

ICS 49.020V09團 體 標 準多旋翼無人機系統(tǒng)安全性分析規(guī)范Safetyanalysisspecificationforunmannedaircraftsystemswithmulti-rotorsT/多旋翼無人機系統(tǒng)安全性分析規(guī)范Safetyanalysisspecificationforunmannedaircraftsystemswithmulti-rotors2019-12-23發(fā)布 2020-1-1實施深圳市無人機行業(yè)協(xié)會 發(fā)布T/SZUAVIA010T/SZUAVIA010—2019II目 次前言 II112范引文件 13語定及略語 14全分步驟 25險別 36險析 47全設計 9附錄A（料附）整機功及可考的失狀態(tài) 11T/SZUAVIA010T/SZUAVIA010—2019IIII前 言本標準按照GB/T1.1-2009給出的規(guī)則起草。本標準由深圳無人機行業(yè)協(xié)會提出并歸口。（本標準于2019年12月首次發(fā)布。T/SZUAVIA010T/SZUAVIA010—2019PAGEPAGE13多旋翼無人機系統(tǒng)安全性分析規(guī)范范圍GJB/Z99-97系統(tǒng)安全工程手冊RTCADO-344OperationalandFunctionalRequirementsandSafetyObjectivesforUnmannedAircraftSystemsStandardsGJB/Z768A-1998故障樹分析指南GJB900A-2012裝備安全性工作通用要求GJB/Z1391-2006故障模式、影響及危害性分析指南SAEARP4761民用機載系統(tǒng)和設備安全性評估過程的指南和方法（GuidelinesandMethodsforConductingtheSafetyAssessmentProcessonCivilAirborneSystemsandEquipment）GJB5433-2005無人機系統(tǒng)通用要求3.1事故mishap造成人員傷亡、職業(yè)病、裝備損壞、財產損失或環(huán)境破壞的一個或一系列意外事件。3.2危險hazard可能導致事故的狀態(tài)。3.3安全性safety產品具有的不導致人員傷亡、職業(yè)病、裝備損壞、財產損失或不危及人員健康和環(huán)境的能力。3.4危險嚴重性hazardseverity某種危險可能引起的事故后果的嚴重程度。3.5航空交通管制AirTrafficController（ATC）安全性分析可按下述步驟進行（見圖1所示）：（殘余風險安全性設計殘余風險安全性設計安全性要求危險源識別使用安全保障安全操作規(guī)范應急預案FMECAFTAFHA使用特性性能特性危險機理分析危險三要素危險識別風險分析及安全性設計是風險評價否圖1 多旋無機統(tǒng)全分析驟d-e識別可能由無人機系統(tǒng)本身或外圍設備產生或由于人與無人機系統(tǒng)的相互干擾而產生的危險或危險狀態(tài)，使在進行無人機系統(tǒng)設計，和進行風險評價時，便于危險分析。為了識別危險源，需要明確產品的具體特性，包括性能特性、使用特性以及危險三要素。明確產品的功能及組成，例如電驅的多旋翼無人機系統(tǒng)一般的組成及功能為：GPS識別危險源時，應從整套裝備的各個方面來進行考慮：無人機機架、機臂等結構件發(fā)生變形、斷裂等故障，無人機槳葉滑脫飛射等。電磁、射頻干擾：由于電磁干擾、射頻干擾，使無人機系統(tǒng)發(fā)生失控，造成危險或事故發(fā)生。異常/分析事故發(fā)生的根本原因，為后續(xù)安全性設計提供基本依據(jù)。啟動許可這一階段始于根據(jù)飛行需求提供動力。包括所有的通訊交換，爬升，直到到達初始航行平穩(wěn)。航行包括所有不屬于其他飛行階段的巡航飛行，爬升和下降，直到進入空中作業(yè)或下降和到達階段。這一階段包括除了運送飛機以外的任何飛行活動。例如監(jiān)視、搜索和營救、重復飛行模式等。下降始于從巡航高度下降或到達初始進場點。產品的故障或失效是多旋翼無人機系統(tǒng)一項主要的危險源，對產品硬件的分析需要詳細。A衡量風險，需要考慮的兩個變量是危害的嚴重程度以及相應的嚴重程度的危害發(fā)生概率。在判斷失效狀態(tài)的影響等級前，需要明確其影響的對象：ATC失效狀態(tài)根據(jù)其影響的嚴重程度可以劃分為：1表1 無人失狀影等級對地面上的人的影響對無人機機組的影響（ATC）的影響對無人機系統(tǒng)的影響災難性的可以導致地面上一人或多人死亡的無人機失效狀態(tài)可以導致無人機機組死亡或喪失行為能力的無人機失效狀態(tài)ATC行動造成以下情況的無人機失效狀態(tài)：與航空器，障礙物或地形發(fā)生撞擊；或飛行終止失控（如尾流顛無人機系統(tǒng)的失效狀態(tài)可以導致：失控或不按預期線路飛行；或不可控的地面撞擊；或在除了可以恢復的點以外的任意位置發(fā)生地面撞擊危險的會導致地面上的一人或多人重傷的無人機失效狀態(tài)會導致無人機機組身體痛苦或工作壓力過大（如不能依靠飛行機組準確完整的完成他們的任務）的無人機失效狀態(tài)ATC行動造成以下情況的無人機失效狀態(tài)：距離過近導致的A道入侵（RI）或操作失誤（OE的距離減少到標準距離的22.9%以下會減弱無人機應對不利的操作條件的能力到以下程度的無人機系統(tǒng)失效狀態(tài)：安全裕度或功能能力大幅度減弱；計劃外不可控的飛行終止；強制無條件盡快著陸重大的會導致地面上的一人或多人中等傷害的無人機失效狀態(tài)會導致無人機機組身體不適或工作壓力明顯增加或削減無人機機組的效率和效果的情況的無人機失效狀ATC行動造成以下情況的無人機失效狀態(tài)：距離過近導致的B道入侵（RI）或操作會減弱無人機應對不利的操作條件的能力到以下程度的無人機系統(tǒng)失效狀態(tài)：安全裕度或功能能力明顯態(tài)失誤（OE；AC壓力明顯增加；飛行器間的距離減少到標準距離的23%-43.9%減弱；計劃外不可控的飛行終止；強制按實際情況盡快著陸輕微的會導致地面上的一人或多人輕微傷害的無人機失效狀態(tài)會導致無人機機組工作壓力略微增加的無人機失效狀態(tài)ATC行動造成以下情況的無人機失效狀態(tài)：距離過近導致的C道入侵（RI）或操作失誤（OE；AC壓力中度增加；飛行器間的距離減少到標會導致以下情況的無人機系統(tǒng)失效狀態(tài)：安全裕度或功能能力輕微減弱；計劃外不可控的飛行終止；在合適位置非計劃性著陸無安全影響的對地面上的人的影響可忽略的無人機失效狀態(tài)對無人機機組的工作壓力無明顯影響的無人機失效狀態(tài)ATC行動造成以下情況的無人機失效狀態(tài)：距離過近導致的C作機動（OD）或接近事件（PE；AC壓力輕度增加；飛行器間的距離減少到標準距離的66%以上對安全性的影響可忽略的無人機系統(tǒng)失效狀態(tài)當使用定性的分析來決定指那些預見到在每架無人機的整個壽命期間會發(fā)生多次的失效狀態(tài)。指那些預見到在每架無人機的整個壽命期間會發(fā)生一次的失效狀態(tài)。指在某型無人機的所有無人機的整個運行周期不太可能發(fā)生。圖2為風險矩陣圖，該圖用于根據(jù)危險影響等級和概率等級確定每個失效狀態(tài)的安全性目標。危險影響等級和概率等級之間存在著一種符合邏輯的可接受的反比關系：影響概率 等級等級無安全性影響輕微的重大的危險的災難的頻繁的□△○○○可能的□△○○○微小的□□△○○極微小的□□□△○極不可能的□□□□△○注：○表示高風險，△表示中等風險，□表示低風險圖2 風險陣圖（FHA）FHA如PSSA和SSA）FHAFHAFHAFHA過程是一種自上而下識別功能失效狀態(tài)和評估其影響的方法，應按照如下過程進行評估工作：（）；（FTA）FTA在安全性分析中的應用步驟如下：（FMECA）利用FMECAFMECA在安全性分析中的應用步驟如下：應進行最小風險設計，消除危險或將風險降低到可以接受的程度。安全性設計的一般要求有：針對多旋翼無人機使用性能特性，需進行相關安全性設計：附 錄 A（資料性附錄）整機級功能及其可能考慮的失效狀態(tài)表A.1 整機功及可考的失狀表整機級功能失效狀態(tài)無人機機組與ATC之間的外部通訊喪失無人機機組與ATC之間的外部通訊功能無人機機組與ATC之間的外部通訊功能錯誤由無人機部分到ATC的外部非語言通訊喪失由無人機部分到ATC的外部非語言通訊功能由無人機部分到ATC的外部非語言通訊功能錯誤與附屬服務的外部通訊喪失與附屬服務的外部通訊功能與附屬服務的外部通訊功能錯誤估計位置和方向信息喪失估計位置和方向信息功能估計位置和方向信息功能錯誤確定路徑喪失確定路徑功能確定路徑功能錯誤估算即時數(shù)據(jù)喪失估算即時數(shù)據(jù)功能估算即時數(shù)據(jù)功能錯誤提供無人機飛行控制指令喪失提供無人機飛行控制指令功能提供無人機飛行控制指令功能錯誤提供無人機飛行控制反饋喪失提供無人機飛行控制反饋功能提供無人機飛行控制反饋功能錯誤提供無人機非飛行控制指令喪失提供無人機非飛行