AC 25.1309-1 - Википедия - AC 25.1309-1

AC 25.1309–1 это FAA Консультативный циркуляр (AC) (Предмет: Системный дизайн и анализ), в котором описаны приемлемые средства демонстрации соответствия требованиям летной годности § 25.1309 Федеральные авиационные правила. Нынешний неизданный, но рабочий проект AC 25.1309–1 является пересмотром, рекомендованным Консультативным комитетом по разработке правил авиации. Б-Арсенал Драфт (2002); настоящее вышел версия - A (1988). FAA и EASA приняли предложения сертификат типа претенденты на использование проекта «Арсенал» в последних программах развития.[1][2]

AC 25.1309–1 устанавливает принцип, согласно которому чем серьезнее опасность, возникающая в результате отказа системы или оборудования, тем меньше вероятность такого отказа. Катастрофические сбои должны быть крайне маловероятными.[3]

Стандарты летной годности

В требования к летной годности за категория транспорта самолеты содержатся в Разделе 14 Свода федеральных правил (14 CFR), часть 25 (обычно именуемая частью 25 Федеральные авиационные правила (ДАЛЕКО)). Производители самолетов транспортной категории должны показать, что каждый самолет, который они производят, шрифтовой дизайн соответствует соответствующим стандартам части 25.

AC 25.1309–1 описывает приемлемые средства демонстрации соответствия этим требованиям летной годности. Он признает Рекомендуемую практику в аэрокосмической отрасли ARP4754 и ARP4761 (или их преемников) в качестве таких средств:[4]

  • ARP4754 А, Руководство по разработке гражданских самолетов и систем, это рекомендация от SAE International, имея дело с процессами разработки, которые поддерживают сертификация из Авиационные системы. Этот ARP также признает интеграцию DO-297, DO-178, и DO-254 в руководство по разработке и признает ARP5150 / 5151 как руководство по эксплуатации и техническому обслуживанию.
  • ARP4761, Руководство и методы проведения процесса оценки безопасности бортовых систем и оборудования гражданского назначения

Фон

AC 25.1309–1 обеспечивает основу для важных концепций и вопросов, связанных с проектированием и анализом систем самолета.

Уровень катастрофических отказов

В циркуляре приводится обоснование верхнего предела средней вероятности на час полета для условий катастрофического отказа, равного 1 x 10.−9 или «Крайне невероятно».[5] Условия отказа, имеющие менее серьезные последствия, могут иметь относительно большую вероятность возникновения; то есть обратная зависимость между серьезностью и вероятностью.

Концепция отказоустойчивой конструкции

Этот AC представляет FAA Концепция отказоустойчивой конструкции, который применяет основные цели, касающиеся отказов:

  1. Отказ любой системы следует предполагать для любого данного полета независимо от вероятности, и такие отказы «не должны препятствовать продолжению безопасного полета и посадки» или иным образом значительно снижать безопасность.
  2. Следует также предполагать последующий отказ во время того же полета.

AC перечисляет принципы или методы проектирования, используемые для обеспечения безопасного проектирования. Обычно для обеспечения отказоустойчивой конструкции требуется сочетание по крайней мере двух безопасных методов проектирования; то есть гарантировать, что условия серьезного отказа являются отдаленными, условия опасного отказа - чрезвычайно отдаленными, а условия катастрофического отказа - чрезвычайно маловероятными.

Принципы и методы безопасного проектирования
  • Созданная целостность и качество
  • Резервирование или резервные системы
  • Изоляция и / или разделение систем, компонентов и элементов
  • Доказанная надежность
  • Предупреждение или индикация неисправности
  • Порядок действий летного экипажа
  • Возможность проверки
  • Расчетные пределы воздействия отказа
  • Разработанный путь отказа
  • Маржа или факторы безопасности
  • Допуск к ошибкам
Высокоинтегрированные системы

С появлением высокоинтегрированные системы которые выполняют сложные и взаимосвязанные функции, в частности, за счет использования электронных технологий и программных методов [например, Интегрированная модульная авионика (IMA) ], возникла обеспокоенность, что традиционно количественный Методы проектирования и анализа на функциональном уровне, которые ранее применялись к более простым системам, больше не подходили. Таким образом, AC включает расширенные методические подходы, как качественные, так и количественные, которые учитывают интеграция «Целый самолет и его системы».[6]

Определения и классификации

Основная задача AC 25.1309–1 - предоставить стандартные определения терминов (включая классификации опасностей и вероятностей) для последовательного использования во всей структуре, созданной для обеспечения функциональной безопасности самолетов. В правилах (FAR) и стандартах (ARP) могут использоваться такие термины, как состояние отказа, и крайне невероятно, AC 25.1309–1 определяет их конкретные значения.[7] В этом отношении AC 25.1309–1 сопоставим с ISO 26262–1 Словарь, по крайней мере, в отношении относительных зависимых стандартов. Ключевые определения включают:

Ошибка, Неудачи, и Условия отказа
Повторное введение Ошибка AC признает роль человеческой ошибки (при разработке, производстве, эксплуатации или техническом обслуживании) как источник сбоев системы, особенно в сложной и интегрированной авионике. Период, термин Условия отказа предусматривает сосредоточение внимания на последствиях отказа отдельно от причин.
Классификация условий отказа по степени воздействия
Катастрофический, Опасно, Основной, Незначительный, или же Нет эффекта безопасности
Состояние катастрофического отказа - это условие, "которое может привести к множеству смертельных случаев, обычно с потерей самолета.[8]"
Определение вероятностных терминов
Крайне невероятно, Чрезвычайно удаленный, Удаленный, или же Вероятно
Крайне невероятная неисправность настолько маловероятна, что не ожидается, что она произойдет в течение всего срока эксплуатации всех самолетов одного типа. Количественно, эти вероятностные члены определяются следующим образом: Крайне невероятно (10−9 или меньше), чрезвычайно удаленный (10−7 или меньше), Дистанционное (10−5 или меньше), вероятное (более 10−5).[9]

Цели безопасности

Классифицированным условиям отказа назначаются качественные и количественные цели безопасности, дающие рекомендации по развитию и эксплуатации.

Количественный

AC определяет приемлемый уровень безопасности для оборудования и систем, установленных на самолете, и устанавливает обратную зависимость между средней вероятностью на час полета и серьезностью последствий условий отказа:

  1. Условия отказа, не влияющие на безопасность, не требуют вероятности.
  2. Возможны незначительные неисправности.
  3. Состояния серьезного отказа должны быть не более частыми, чем Дистанционные.
  4. Условия опасных отказов должны быть не более частыми, чем Чрезвычайно отдаленные.
  5. Условия катастрофического отказа должны быть крайне маловероятными.

Цели безопасности, связанные с условиями катастрофического отказа, могут быть выполнены путем демонстрации того, что:

  1. Ни один единичный отказ не приведет к состоянию катастрофического отказа; и
  2. Каждое состояние катастрофического отказа крайне маловероятно.
Качественный

Условия отказа Катастрофический через Нет эффекта безопасности присвоены функциональные уровни и уровни гарантии проектирования изделия A, B, C, D, E соответственно.[10]

История

Впервые выпущенный в 1982 году, AC 25.1309–1 был пересмотрен, чтобы учесть накопившийся опыт в разработке самолетов и решить все большую интеграцию и компьютеризацию функций самолета.

AC 25.1309–1 (исходный выпуск)

Критичность функции

AC 25.1309–1 рекомендовал, чтобы нисходящий анализ идентифицировал каждую функцию системы и оценивал ее критичность, то есть несущественную, существенную или критическую. Были определены термины «Ошибка», «Отказ» и «Состояние отказа». Функции были классифицированы как критические, важные и несущественные в соответствии с серьезностью условий отказа, в которые они могут повлиять; но условия не были четко классифицированы. Ожидалось, что отказы критических, важных и несущественных функций будут, соответственно, крайне маловероятными (10–9 или меньше), Невероятно (10–5 или меньше), или не хуже, чем Probable (10–5).[11]

Качественные методы

Ранее анализ безопасности системы был количественным; то есть он зависел от оценки вероятности сбоев системы из-за физических неисправностей компонентов. Но с ростом использования цифровой авионики (то есть программного обеспечения) было признано, что ошибка разработки является значительной причиной сбоев системы. Во время сертификации системы в конце 1970-х стало ясно, что классические статистические методы оценки безопасности для систем на основе программного обеспечения, критически важных для полетов, невозможны.[12] Существующие количественные методы не могут предсказать частоту отказов системы в результате ошибок разработки. Качественный Вместо этого были рекомендованы методы для уменьшения количества ошибок в спецификациях, проектировании и реализации при разработке цифровой авионики.

Руководство DO-178 (начальная версия) было рекомендовано AC 25.1309–1 для разработки основных и критических функций, реализованных в программном обеспечении.[13]

AC 25.1309–1A

AC 25.1309–1A представил концепцию отказобезопасного проектирования FAA в этом консультативном циркуляре. [14] В этом пересмотре также представлены рекомендуемые принципы или методы проектирования для обеспечения безопасного проектирования.[15]

Классификация состояний отказа по степени серьезности

На смену понятию критичности функции пришла классификация состояний отказа по тяжести последствий (см. Вероятностная оценка риска ). Условия отказа, имеющие катастрофические, серьезные или незначительные последствия, должны были иметь ограниченную вероятность, соответственно, крайне невероятной (10–9 или меньше), невероятно (10–5 или меньше), или не хуже, чем Probable (10–5).[16]

Программное обеспечение по-прежнему считалось оцениваемым и контролируемым другими средствами; то есть, RTCA / DO-178A или более поздней версии, через Консультативный циркуляр AC 20-115A.[17]

AC 25 1309–1B

В мае 1996 года Консультативному комитету по разработке правил авиации (ARAC) FAA было поручено провести обзор согласованных FAR / JAR 25.1309, AC 1309-1A и связанных с ними документов, а также рассмотреть вопрос о пересмотре AC 1309-1A с учетом недавней практики, повышающей сложность интеграции. между функциями самолета и системами, которые их реализуют,[18] и последствия новых технологий. Это задание было опубликовано в Федеральном реестре по адресу 61 FR 26246-26247 (1996-05-24). Основное внимание было уделено оценке безопасности и отказоустойчивым критическим системам.

В 2002 году FAA предоставило Уведомление о предлагаемом нормотворчестве (NPRM) в соответствии с 14 CFR Часть 25. К этому уведомлению прилагается Арсенал драфт AC 1309–1.[19] Существующие определения и правила в § 25.1309 и связанных с ним стандартах создают определенные проблемы при сертификации самолетов транспортной категории. Указанные проблемы подробно обсуждаются в NPRM. FAA предложило пересмотреть несколько связанных стандартов, чтобы устранить такие проблемы и прояснить цель этих стандартов. В некоторых предлагаемых изменениях определения или соглашения, разработанные в правилах или стандартах более низкого уровня, были приняты или пересмотрены в последующем Консультативном циркуляре.

Уточнение классификаций условий отказа

Опыт применения предыдущих циркуляров и ARP свидетельствовал о разделении Основной состояние отказа на два состояния (например, опасно-серьезное / серьезное и серьезное).[20] Кроме того, этот опыт подтвердил существование условий отказа, которые не влияет на безопасность, которые могли быть классифицированы таким образом и, следовательно, не иметь целей безопасности. Состояние катастрофического отказа ранее определялось как «любое состояние отказа, которое препятствует продолжению безопасного полета и посадки»; но теперь определяется как «Условия отказа, которые могут привести к множеству смертельных случаев, обычно с потерей самолета.[8]"

Распространение контроля качества на функции воздушного судна

Сохраняются концепция отказоустойчивого проектирования FAA и принципы проектирования или методы безопасного проектирования. Однако из-за все большего развития высокоинтегрированных систем в самолетах контроль качества, который ранее считался необходимым для безопасной разработки программного обеспечения, распространяется на функциональный уровень самолета.[6] (Аналогичное руководство (Рамки функциональной безопасности ) была предоставлена ​​для высокоинтегрированных автомобильных систем до 2011 г., выпуск ISO 26262.[21])

Смотрите также

Рекомендации

  1. ^ Спитцер, Кэри Р., изд. Справочник по цифровой авионике, 2-е изд., Авионика, Разработка и внедрение, CRC Press, Бока-Ратон, Флорида. 2007, стр. 7-9.
  2. ^ AC 25-19A В архиве 2014-04-13 в Wayback Machine, Требования к сертификации, 2011 г., стр. 2
  3. ^ «Сертификация программного обеспечения». Авиация сегодня. 31 октября 2005 г.. Получено 2014-03-31.
  4. ^ Спитцер, стр. 7-9
  5. ^ АС 25.1309–1Б Арсенал Драфт (В архиве 2014-04-13 в Wayback Machine ), 2002, с. 5-6.
  6. ^ а б АС 25.1309–1Б - Проект «Арсенал», с. 7.
  7. ^ АС 25.1309–1Б - Проект «Арсенал», с. 3.
  8. ^ а б АС 25.1309–1Б - Проект «Арсенал», с. 8.
  9. ^ АС 25.1309–1Б - Проект «Арсенал», с. 9.
  10. ^ ARP4754A, Руководство по разработке гражданских самолетов и систем, SAE Aerospace, Декабрь 2010 г., стр. 38
  11. ^ AC 25.1309–1, 1982, с. 3-5.
  12. ^ Джонсон, Лесли А. (Шад). DO-178B, "Рекомендации по использованию бортового программного обеспечения".. Сиэтл, Вашингтон: Flight Systems, Группа коммерческих самолетов Boeing.
  13. ^ АС 25.1309–1, с. 9.
  14. ^ AC 25.1309–1A, 1988, с. 2.
  15. ^ AC 25.1309–1A, п. 3.
  16. ^ AC 25.1309–1A С. 4,5,7, 13-15.
  17. ^ AC 25.1309–1A, п. 7.
  18. ^ ARP4754A, стр. 7
  19. ^ Пересмотренные общие требования к функциям и установке оборудования, систем и установок на самолетах транспортной категории, Уведомление о предлагаемом нормотворчестве, проект R6X, этап 1 - июнь 2002 г., также известный как Арсенал Драфт АС 25.1309-1Б В архиве 2014-04-13 в Wayback Machine
  20. ^ RTCA /DO-178B (впоследствии DO-178C, Рекомендации по программному обеспечению при сертификации бортовых систем и оборудования, Радиотехническая комиссия по аэронавтике, 1 декабря 1992 г., с. 7
  21. ^ Биби, Мартин, DO-178C будущее сертификации авионики, atego HighRely, стр. 6–7