故障树分析（FTA）

从坠机调查到eVTOL适航：故障树分析如何筑牢低空安全底线

2024年上半年，国内低空经济核心领域通用航空飞行量同比增长24.3%，电动垂直起降飞行器（eVTOL）的研发试飞进程也在多地加速推进：广汽低空飞行验证机在广州从化完成首飞，亿航智能EH216-S在芜湖完成了上千架次常态化试运行，万丰奥威的通航飞机生产线也在浙江新昌实现量产。热闹的产业扩张背后，安全始终是悬在行业头顶的“达摩克利斯之剑”——eVTOL一旦发生动力系统断电，后果就是机毁人亡的恶性事故。如何提前识别潜在风险、从根源上堵住安全漏洞？被波音、空客用于民航客机适航验证的故障树分析（FTA），正在成为国内低空飞行器研发环节的核心安全工具。

很多人对故障树分析的认知，来自民航事故调查领域：作为一种自上而下的演绎式失效分析法，FTA从我们不希望发生的系统级故障（业内称为“顶事件”）出发，通过逻辑门层层拆解，把所有可能导致故障发生的直接、间接原因梳理成树状逻辑图，最终定位到可量化验证的基础故障（即底事件）。和很多“事后复盘”的风险分析方法不同，FTA的核心价值是“前置防控”——在故障实际发生之前，就把所有可能的诱因找出来，从设计阶段就排除风险。这个特性刚好戳中了低空经济的核心痛点：eVTOL作为全新的载人飞行器，没有几十年的运营数据积累，很多故障场景从来没有实际发生过，只能通过系统性推演提前识别。

1960年代，故障树分析最早被波音用于美国民兵洲际导弹的发射控制系统安全评估，后来逐步推广到民航领域，成为全球民航适航验证的标准方法。国内低空产业对FTA的应用，其实早在通用航空领域就已经开始，但直到近两年eVTOL赛道升温，这个分析方法才真正走到产业聚光灯下。国内头部eVTOL研发商亿航智能在EH216-S的适航申请过程中，就针对“飞行中突发掉高”这个顶事件做了完整的故障树分析：拆解后发现，可能导致这个顶事件发生的直接原因包括飞控系统失效、动力系统断电、大气数据传感器失效三类；进一步向下拆解，动力系统断电又可以分为动力电池断电、分布式电机故障、输电线路短路三类底事件，每一类底事件都可以通过模拟实验统计发生概率，最终通过冗余设计来降低整体风险。这套分析方法最终被中国民用航空局认可，成为EH216-S2023年10月获得全球首张eVTOL适航证的核心技术支撑之一。

故障树分析的优势，在于它把模糊的“风险可能性”变成了可量化、可验证的逻辑链条。对于复杂的低空飞行器系统来说，很多风险不是单一故障导致的，而是多个小故障叠加的结果——FTA通过“与门”“或门”的逻辑组合，刚好可以清晰呈现这种叠加关系：比如eVTOL的“降落时悬停不稳”这个顶事件，只有在“GPS信号丢失”AND“视觉避障系统故障”同时发生的情况下才会发生，而单一故障并不会导致事故。通过FTA的梳理，研发团队就可以针对性地给这类“双故障”场景加双重保险：给GPS加差分备份，给视觉避障加红外传感器冗余，把整体故障概率降到适航要求的10-9水平（即每一万飞行小时故障概率不超过1次）。IBM针对全球制造业设备预测性维护的统计数据显示，采用FTA做前置风险分析的企业，非计划停机时间平均降低23%，重大安全事故发生率降低41%，这个数据对于载人低空运营来说，直接就是生命线。

但FTA也不是万能的，它的局限性在新兴的低空产业领域表现得格外明显。根据FTA的方法逻辑，所有底事件都需要有已知的统计数据或者实验结果才能量化分析，但eVTOL采用了很多全新技术，比如分布式多旋翼动力、全电传飞控、固态电池，很多底事件根本没有积累足够的运行数据，只能靠模拟估算，这就会给分析结果带来偏差。另外，FTA是针对特定顶事件做拆解，很容易遗漏跨系统的耦合故障——比如eVTOL在低温环境下飞行，电池活性下降会导致动力输出不足，同时低温还会导致旋翼材料刚度变化引发震动，震动又会影响传感器精度，三个跨系统的故障耦合在一起，可能引发一个从来没有被列入顶事件的新故障，这是传统FTA很难覆盖到的。

国内不少企业已经开始针对低空产业的特性调整FTA方法，补上这些短板。广汽飞行汽车研究院今年上半年针对GOVE飞行汽车做验证的时候，就采用了“FTA+机器学习”的组合方案：先用传统FTA梳理出所有已知的故障路径，再把近万架次试飞的实时运行数据输入机器学习模型，让模型自动识别没有被FTA覆盖到的潜在耦合故障，已经发现了3个原来没有被列入顶事件的风险场景，提前调整了电池热管理系统的设计。而珠海航展上，国内一家从事适航咨询的企业也推出了针对eVTOL的自动化FTA工具，原来手动绘制一棵故障树需要两三个工程师工作一周，现在通过软件自动导入系统架构，一天就能生成完整的故障树，还能自动链接适航条款要求，大大降低了中小研发企业使用FTA的门槛。

现在国内eVTOL行业距离商业化运营还有最后一步：干线载人运营需要满足更高的适航安全标准，而城市低空空域环境比传统通用航空复杂得多，建筑遮挡、无人机闯入、信号干扰都是新的风险场景。这恰恰给FTA提供了更大的应用空间：针对城市低空运行的“城市峡谷信号丢失”“异物撞机”这些全新的顶事件，通过故障树分析层层拆解，就能把看不见的潜在风险变成一个个可解决的具体问题。从波音的导弹控制系统，到空客的客机适航，再到今天中国eVTOL的商业化验证，故障树分析一路走来，本质上都是回答同一个问题：怎么在技术创新和安全之间找到平衡——对于刚刚起飞的低空经济来说，这个问题的答案，就是产业行稳致远的基础。

从目前的产业实践来看，FTA不会是风险分析的终点，未来会和大数据预测、数字孪生等技术进一步结合，弥补传统方法的局限性，但它自上而下抽丝剥茧的分析逻辑，依然是当前低空飞行器安全验证的核心框架。当越来越多的eVTOL把FTA嵌入研发流程的每一个环节，我们才能真的放心坐上飞行汽车，穿梭于城市楼宇之间——这就是故障树分析，藏在蓝天安全背后的隐形骨架。