CN107908892B - 一种基于模型的增强视景系统安全性分析方法 - Google Patents

Abstract

本发明公开了一种基于模型的增强视景系统安全性分析方法。本方法包括：确定增强视景系统需求规范，包括系统架构需求、功能需求及安全性需求；根据EVS系统需求规范，建立EVS分层名义模型；识别设备失效模式并为名义模型注入失效信息，生成EVS失效拓展模型；分析系统串、并联架构，建立失效模式致因关系；针对典型失效状态，生成故障树模型；开展定性及定量形式化安全性分析，验证系统安全性需求，并得出安全性分析结论。本发明通过利用形式化安全性分析方法，解决了传统安全性评估方法工作量大、易于出错及缺乏对系统层次架构的考虑与证明等问题，提高了系统安全性分析效率，降低了安全性评估工作量。

Description

一种基于模型的增强视景系统安全性分析方法

技术领域

本发明涉及航电系统安全性分析领域，特别是涉及一种基于模型的增强视景系统安全性分析方法。

背景技术

随着飞行技术的发展及飞机性能的提高，特别是在飞机进近及着陆阶段，飞行员需要获取的实时信息越来越多，使其操作负荷不断增大。增强视景（EVS）系统能够通过机载红外传感器和毫米波雷达生成飞机外景实时图像，并叠加在平视显示器（HUD）上，有效增强飞行员态势感知能力，减少其工作负荷，从而提高飞机安全性，降低飞行事故。

作为航电系统设备在设计之初首先对其实施系统进行安全性评估，并随着系统设计的深入反复迭代，对于提高设备可靠性并通过适航审查具有重要意义。由于EVS系统通过综合模块化航电系统（IMA）获取必要数据，并通过HUD实现其图像显示，因此其在系统层级高度复杂，传统的安全性评估方法工作量大且易于出错；同时，由于传统安全性评估采用对系统整体分解并完成失效分析的方法，缺乏对系统层次架构的考虑与证明，对于涉及IMA系统及多个机载航电设备的EVS，分析过程复杂。因此，需要开发新型的形式化分析方法，对EVS开展定量分析，提高安全性评估效率。

发明内容

为了解决上述背景技术中存在的问题，本发明的目的在于提供一种基于模型的增强视景系统安全性分析方法。本发明通过利用形式化安全性分析方法，解决了传统安全性评估方法工作量大、易于出错及缺乏对系统层次架构的考虑与证明等问题，提高了系统安全性分析效率，降低了安全性评估工作量。

本发明采取的技术方案是：一种基于模型的增强视景系统安全性分析方法，其特征在于，包括如下步骤：

步骤一：确定EVS系统需求规范，包括系统架构需求、功能需求及安全性需求；

步骤二：根据EVS系统需求规范，建立EVS系统分层名义模型；

步骤三：识别设备失效模式并为名义模型注入失效信息，生成EVS系统失效拓展模型；

步骤四：分析系统串、并联架构，建立失效模式致因关系；

步骤五：针对典型失效状态，生成故障树模型；

步骤六：开展定性及定量形式化安全性分析，验证系统安全性需求，并得出安全性分析结论。

在步骤一中，所述的EVS系统架构需求，指捕获EVS系统物理架构，包括探测器、光学模块、信号处理模块、数据处理模块、图像处理模块、监控模块、视频格式转换模块；探测器及光学模块用于捕获外部环境物体发射的红外信息，转换成配置信号及模拟信号，经信号处理模块处理后传送给数据处理模块，进行图形校靶，并由图像处理模块完成非均匀校正，校正后的视频发送给视频格式转换模块，最终，图像被转换成ARINC818格式，并输出到飞机显示装置；所述监控模块包含视频监控和BIT监控两种监控形式。

在步骤一中，所述的EVS系统安全性需求，指通过开展系统功能危害性评估，识别典型失效状态为提供不可检测的错误的增强视景画面，确定其安全性目标小于或等于1E-5/FH。

在步骤二中，所述的EVS系统分层名义模型层次结构与系统层次结构相对应，EVS系统名义模型分为三个层级：飞机级名义模型、系统级名义模型和设备级名义模型；飞机级名义模型用于确定完成相关功能所需要飞机系统及飞机系统之间的功能支持关系；系统级名义模型用于确定系统内部各设备以及设备之间的接口关系；设备级名义模型用于确定设备内部各模块以及模块之间的接口关系。

所述的EVS系统名义模型通过SIMFIA工具建立，包含如下元素：block模块、connector、link、connector类型、connector变量类型、block模块内部states变量类型；其中connector类型包括输入、输出两种；每个connector变量类型具有一个属性值，每个block模块内部states变量类型具有一个属性值。

在步骤三中，所述的失效信息包含失效模式和失效概率两部分；失效信息注入是将设备功能失效模式与connector属性变量绑定，将设备功能失效模式作为connector变量类型的属性值；将设备内部失效模式与内部states属性变量绑定，作为block模块内部states变量类型的属性值。

在步骤四中，所述的失效模式致因关系的建立是开展故障树分析的基础，建立过程具体包括：判断block模块的串、并联关系，通过logical causes属性页面建立与/或门表达形式，为每个block模块设定输入connector、输出connector及内部state致因关系，选择Create serial/redundancy polynomial实现系统致因关系自动连接。

在步骤五中，所述的为了建立失效状态顶事件与所述故障树模型的对应关系，需在SIMFIA工具建立的名义模型中，建立虚拟的“失效状态”模块，以其输出connector代表不同的失效状态，建立输出connector的属性变量类型，并将失效状态名称作为属性值；最后将系统物理架构的数据流出终端追溯到失效状态上，完成相应顶事件的故障树，该故障树代表了整个系统内顶事件发生的致因关系追溯。

在步骤六中，所述的形式化安全性分析，其方法包括定性故障树分析、定量故障树分析及失效模式传播分析；所述的安全性需求验证是基于失效模式及其影响分析，获得EVS系统内部各失效模式的失效率数据，计算顶事件概率，验证系统是否满足安全性需求。

本发明具有的优点在于：

（1）本发明提供的基于模型的增强视景系统安全性分析方法，采用了分层建模技术，建立各层级形式化名义模型，并为之注入失效信息，有效降低了系统复杂程度，解决了EVS系统层级高复杂、缺乏对系统层次架构的考虑与证明问题。

（2）本发明提供的基于模型的增强视景系统安全性分析方法，基于经典故障树理论，明确失效模式致因关系，生成故障树模型，并开展安全性需求分析与验证，有效降低了安全性评估工作量，提高了分析效率。

（3）本发明提供的基于模型的增强视景系统安全性分析方法，通过运用安全性分析工具，使得专业技术人员能将更多精力放在对系统的深入理解上，从而有效地提升了设计质量，节约了设计人员的时间和精力。

附图说明

图1为本发明提供的基于模型的增强视景系统安全性分析方法的流程图；

图2为本发明提供的基于模型的增强视景系统安全性分析方法的EVS物理架构示意图；

图3为本发明提供的基于模型的增强视景系统安全性分析方法的设备级名义模型示意图；

图4为本发明提供的基于模型的增强视景系统安全性分析方法的故障树示意图。

具体实施方式

下面结合附图和具体实施例对本发明提供的基于模型的增强视景系统安全性分析方法进行详细说明。

如图1所示，本发明提供的基于模型的增强视景系统安全性分析方法从整体上分为三部分，包括输入、形式化分析及输出；为建立EVS系统名义模型，需要首先获取EVS系统设计文档和EVS功能需求文档，从而捕获EVS系统架构；通过对EVS失效路径分析，并从EVS-FMEA文档中获取各个失效模式的失效概率，将该失效信息注入EVS名义模型，生成EVS失效拓展模型；最后，对所建立的EVS系统模型进行模型检验，通过EVS安全性分析，验证系统是否满足SFHA中捕获的安全性需求，得出相应的安全性分析结果。

如图2所示，EVS系统架构需求指捕获EVS系统物理架构，包括增强视景系统内部软、硬件组成及数据传输逻辑；具体包括探测器、光学模块、信号处理模块、数据处理模块、图像处理模块、监控模块、视频格式转换模块；探测器及光学模块捕获外部环境物体发射的红外信息，转换成配置信号及模拟信号，经信号处理模块处理后传送给数据处理模块，进行图形校靶，并由图像处理模块完成非均匀校正（NUC），校正后的视频发送给视频格式转换模块，最终，图像被转换成ARINC818格式，并输出到飞机显示装置。监控模块包含视频监控和BIT监控两种监控形式。

EVS名义模型通过SIMFIA工具建立，如图3所示，利用SIMFIA软件中的block模块描述设备名称，对各block模块建立input或者output connectors物理总线连接接口，在具备连接关系的两个或多个设备的input connector和output connector通过link线连接起来代表设备连接关系；接着，定义connector变量类型及属性值，即失效信息注入，失效信息包含失效模式和失效概率两部分，失效信息注入是将设备功能失效模式与connector属性变量绑定，将设备功能失效模式作为FunctionLogic的属性值，将设备内部失效模式与内部states属性变量绑定，作为InternalLogic的属性值；例如针对EVS设备的outputconnector变量类型为EVS_FuntionLogic，属性值为Generate_UE_Enhanced_Vision_Source_Data；同理，定义模块内部state变量类型及属性值，针对EVS设备的内部state变量类型为EVS_InternalLogic，属性值为UE_Operation_of_EVS。

失效模式致因关系的建立是开展故障树分析的基础，建立过程具体包括：判断名义模型中各block模块的串、并联关系，通过logical causes属性页面建立与/或门表达形式，为每个block模块设定输入connector、输出connector及内部state致因关系，选择“Create serial/redundancy polynomial”，整个系统的致因关系链路即可通过形式化模型自动连接；该致因关系应追溯到模块内部state的失效模式。

为了建立失效状态顶事件与所述故障树模型的对应关系，在SIMFIA建立的名义模型中，建立虚拟“失效状态”模块，以其输出connector代表不同的失效状态，建立connector的属性变量类型，并将失效状态名称作为属性值；最后将系统物理架构的数据流出终端追溯到失效状态上，在“失效状态”模块上，右击选择“Safety Tree”，选择相应的失效状态，即顶事件，即可获取相应顶事件的故障树，该故障树代表了整个系统内顶事件发生的致因关系追溯。如图4所示，该故障树以“提供不可检测的错误的增强视景画面”为顶事件，遵循上述过程建立。

对于定量分析（故障树概率计算），首先基于系统安全性评估的底层失效模式及其影响分析（FMEA），获取底事件概率值，然后，通过“safety”菜单下的“edit safety law”页面，设置模块内部state的失效概率数据，分布类型设置为指数分布，通过点击故障树生成页面的“safety computation”，选择“probabilities”概率计算子页面，设置平均飞行时间为3h，点击“compute”即可计算得到顶事件概率。

对于定性分析（割集分析），通过点击故障树生成页面的“safety computation”，选择“Minimal cuts”，设置平均飞行时间为3h，点击“compute”即可得到顶事件按照阶数列出的割集及概率。

失效模式传播分析基于架构基础，仿真失效模式对系统功能的失效影响，可帮助分析人员直观地认识系统失效模式的影响；失效模式传播分析通过“Tool”菜单下“step bystep propagation”实现，选择相应的设备的失效后点击“>”，即可通过颜色的变化反映失效模式影响的传播过程，红色代表设备功能失效。

安全性需求验证是通过故障树分析，比对实际值与系统安全性目标值，判断系统是否满足安全性需求；例如，根据图4生成的故障树进行分析，设置底层失效概率数据，具体包括：信号处理模块导致错误的增强视景画面失效概率值为1.08E-6，数据处理模块导致错误的增强视景画面失效概率值为1.133E-6，光学模块导致错误的增强视景画面失效概率值为1.62E-6，成像软件导致错误的增强视景画面失效概率值为5.4E-7，探测器导致错误的增强视景画面失效概率值为0.248E-3，图像处理模块导致错误的增强视景画面失效概率值为0.191E-3，视频格式转换模块导致错误的增强视景画面失效概率值为0.41E-3，监控模块导致错误的增强视景画面失效概率值为0.294E-3，监控软件导致错误的增强视景画面失效概率值为0.271E-3，A818传递错误导致错误的增强视景画面失效概率值为2.885E-6。

计算顶事件概率：P（GT1）=[EV2*3+EV3*3+（EV6*3+EV7*3+EV8*3）*(EV9*3+EV10*3)+EV4*3+EV5*3+EV1*3]/3。

采用本方法得到顶事件概率值为8.693E-6，小于确定的安全性目标值1E-5/FH，即满足安全性需求。

Claims (1)

1.一种基于模型的增强视景系统安全性分析方法，其特征在于，包括如下步骤：

步骤一：确定EVS系统需求规范，包括系统架构需求、功能需求及安全性需求；

步骤二：根据EVS系统需求规范，建立EVS系统分层名义模型；

步骤三：识别设备失效模式并为名义模型注入失效信息，生成EVS系统失效拓展模型；

步骤四：分析系统串、并联架构，建立失效模式致因关系；

步骤五：针对典型失效状态，生成故障树模型；

步骤六：开展定性及定量形式化安全性分析，验证系统安全性需求，并得出安全性分析结论；

在步骤一中，所述的EVS系统架构需求，指捕获EVS系统物理架构，包括探测器、光学模块、信号处理模块、数据处理模块、图像处理模块、监控模块、视频格式转换模块；探测器及光学模块用于捕获外部环境物体发射的红外信息，转换成配置信号及模拟信号，经信号处理模块处理后传送给数据处理模块，进行图形校靶，并由图像处理模块完成非均匀校正，校正后的视频发送给视频格式转换模块，最终，图像被转换成ARINC818格式，并输出到飞机显示装置；所述监控模块包含视频监控和BIT监控两种监控形式；

在步骤一中，所述的EVS系统安全性需求，指通过开展系统功能危害性评估，识别典型失效状态为提供不可检测的错误的增强视景画面，确定其安全性目标小于或等于1E-5/FH；

在步骤二中，所述的EVS系统名义模型通过SIMFIA工具建立，包含如下元素：block模块、connector、link、connector类型、connector变量类型、block模块内部states变量类型；其中connector类型包括输入、输出两种；每个connector变量类型具有一个属性值，每个block模块内部states变量类型具有一个属性值；

在步骤二中，所述的EVS系统分层名义模型层次结构与系统层次结构相对应，EVS系统名义模型分为三个层级：飞机级名义模型、系统级名义模型和设备级名义模型；飞机级名义模型用于确定完成相关功能所需要飞机系统及飞机系统之间的功能支持关系；系统级名义模型用于确定系统内部各设备以及设备之间的接口关系；设备级名义模型用于确定设备内部各模块以及模块之间的接口关系；

在步骤三中，所述的失效信息包含失效模式和失效概率两部分；失效信息注入是将设备功能失效模式与connector属性变量绑定，将设备功能失效模式作为connector变量类型的属性值；将设备内部失效模式与内部states属性变量绑定，作为block模块内部states变量类型的属性值；

在步骤四中，所述的失效模式致因关系的建立是开展故障树分析的基础，建立过程具体包括：判断block模块的串、并联关系，通过logical causes属性页面建立与/或门表达形式，为每个block模块设定输入connector、输出connector及内部state致因关系，选择Create serial/redundancy polynomial实现系统致因关系自动连接；

在步骤五中，为了建立失效状态顶事件与所述故障树模型的对应关系，需在SIMFIA工具建立的名义模型中，建立虚拟的“失效状态”模块，以其输出connector代表不同的失效状态，建立输出connector的属性变量类型，并将失效状态名称作为属性值；最后将系统物理架构的数据流出终端追溯到失效状态上，完成相应顶事件的故障树，该故障树代表了整个系统内顶事件发生的致因关系追溯；

在步骤六中，所述的形式化安全性分析，其方法包括定性故障树分析、定量故障树分析及失效模式传播分析；所述的安全性需求验证是基于失效模式及其影响分析，获得EVS系统内部各失效模式的失效率数据，计算顶事件概率，验证系统是否满足安全性需求。

Images