TSZUAVIA 002-2023 無人機功能危險分析指南

ICS49.020

CCSV04

T/SZUAVIA

團體標準

T/SZUAVIA0022023

無人機功能危險分析指南

Guidetofunctionalhazardanalysis

2023-06-02發(fā)布2023-1001實施

深圳市無人機行業(yè)協會發(fā)布

T/SZUAVIA002—2023

目次

前言...............................................................................II

1范圍....................................................................................1

2規(guī)范性引用文件..........................................................................1

3術語和定義..............................................................................1

4無人機功能..............................................................................2

5產品工作環(huán)境與方式.....................................................................3

■產品工作環(huán)境.......................................................................3

二。任務階段/工作方式..................................................................3

6產品失效狀態(tài)...........................................................................4

rI產品的功能和失效狀態(tài)................................................................4

I-1失效狀態(tài)影響等級及安全性目標......................................................5

7功能危險分析表.........................................................................8

附錄A（資料性）無人機功能危險分析表.............................................10

表1無人機功能清單.......................................................................2

表2飛機級功能及其可能考慮的失效狀態(tài)....................................................4

表3無人機失效狀態(tài)影響等級...............................................................6

表4風險矩陣表...........................................................................8

表5功能危險分析表.......................................................................8

表6功能危險分析表（示例）..............................................................10

I

T/SZUAVIA002—2023

■>/,—1—

刖5

本文件按照GB/T1.1-2020《標準化工作導則第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定

起草。

請注意本文件的某些內容可能涉及專利。本文件的發(fā)布機構不承擔識別專利的責任。本

文件由深圳市無人機行業(yè)協會提出并歸口。

本文件起草單位：工業(yè)和信息化部電子第五研究所、深圳市無人機行業(yè)協會、廣州中科云圖智能科技

有限公司、廣州天海翔航空科技有限公司、沈陽銳取科技有限公司、廣西科技大學、深圳市優(yōu)飛迪科技有限

公司、廣州極飛科技股份有限公司、廣東中科瑞泰智能科技有限公司、廣州市華科爾科技股份有限公司、深

圳市科衛(wèi)泰實業(yè)發(fā)展有限公司、廣東匯天航空航天科技有限公司、武漢市安全技術防范行業(yè)協會。

本文件主要起草人：蔡茗茜、楊金才、楊劍鋒、李騫、王遠航、孫立軍、劉正坤、劉民生、李捷、

魏雅丹、吳其琦、焦萬中、王達、陳世印、陳艷青、夏煒、李建生、劉文威、吳和龍、林森才、宋健偉、陳虎、

陳柏霖。

II

T/SZUAVIA002—2023

無人機功能危險分析指南

1范圍

本文件提供了無人機功能、工作模式、環(huán)境與方式、失效狀態(tài)、功能危險分析表的示例，為開展無人機

功能危險分析提供指導。本文件中所列出的某些功能、工作模式等并不一定適用于所有無人機類型，特定無人

機功能危險分析可根據本文件進行參考。

本文件適用于產品初步設計階段。

2規(guī)范性引用文件

下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文

件。

GJB/Z99-97系統(tǒng)安全工程手冊

GJB900A-2012裝備安全性工作通用要求

RTCAD0-344無人機系統(tǒng)的操作、功能要求及安全目標標準(OperationalAndFunctional

RequirementsAndSafetyObjectives(OFRSO)ForUnmannedAircraftSystems(UAS)Standards)

SAEARP4761民用航空系統(tǒng)和設備安全評估過程指南和方法(GuidelinesandMethodsfor

ConductingtheSafetyAssessmentProcessonCivilAirboneSystemsandEquipment)

3術語和定義

下列術語和定義適用于本文件。

1I

功能危險分析functionaIhazardanalysis

FHA

通過對系統(tǒng)/產品(包括軟件)可能出現的功能故障狀態(tài)的分析，從而識別并評價系統(tǒng)中潛在危險

的一種分析方法。

11)

事故mishap,accident

造成人員傷亡、職業(yè)病、裝備損壞、財產損失或環(huán)境破壞的一個或一系列意外事件。

33

危險hazard

可能導致事故的狀態(tài)。

安全性safety

1

T/SZUAVIA002—2023

產品具有的不導致人員傷亡、職業(yè)病、裝備損壞、財產損失或不危及人員健康和環(huán)境的能力。

危險嚴重性hazardseverity

某種危險可能引起的事故后果的嚴重程度。

?A

航空交通管制airtrafficcontroI

ATC

相關權力部門提供的一項服務，用以提升空中交通的安全性、秩序度和便利度。

4無人機功能

無人機的主要功能包括通訊功能、飛行功能、控制功能、躲避危險功能和迫降功能等，如表1所示。

表1無人機功能清單

第一層功能第二層功能說明

無人機機組成員和其他無人機相關人員之間，通過聲音或數據進行的與至

無人機機組與相關人員之

關重要的安全信息相關的通訊的能力。這類通訊不包括任務相關的操作通

間的內部通訊

訊這種對飛行安全無影響的通訊。

無人機機組與ATC之間的外接到指令時與ATC通訊的能力。這類通訊可以通過聲音、數據鏈進行，或

部通訊者在塔臺機場的視野不好情況下，可以通過燈光信號通訊。

無人機駕駛員與鄰近交通

與無人機鄰近區(qū)域的其他航空器間的通訊。這種通訊并非規(guī)定要求，但是

中的飛行員的外部語言通

在無ATC的情況下，是非常必要的，尤其在儀表飛行的情況下

通訊功能訊

由無人機部分到ATC的外部通過轉發(fā)器、ADS-B（廣播式自動相關監(jiān)視）、數據鏈或其他ATC所需的裝

非語言通訊置，實現無人機與ATC進行數據交換的能力

無人機部分與鄰近交通的通過轉發(fā)器、ADS-B（廣播式自動相關監(jiān)視）及航行燈向附近的航空器傳

外部非語言通訊輸非語言類數據

與航空交通附屬服務（非航空交通控制服務）通訊的能力，用于提交飛行

與附屬服務的外部通訊計劃和接受飛行計劃確認/修正、天氣報告、N0TAM（飛行員通知）、TIS-

B（交通信息服務-廣播）、導航信息等，以支持飛行操控

估計位置和姿態(tài)信息提供無人機的高度信息、姿態(tài)信息以及相對地面位置信息

確定路徑確定無人機在空間的、時間的四維空間中的飛行軌跡

飛行功能

使無人機保持在精確的時間下，從而有效的安全的操作無人機，同時與

估算即時數據

ATC的時間一致，便于傳輸和接收信息

控制無人機的動力/速度、俯仰、滾轉、偏航，以安全改變飛行的動態(tài)和

提供無人機飛行控制指令

靜態(tài)狀態(tài)

向無人機（機組或自動化）提供信息，控制飛行器確認正確的指令執(zhí)行，

控制功能提供無人機飛行控制反饋

和初始飛行控制的狀態(tài)，以及其他影響飛行器安全控制的信息。

提供無人機非飛行控制指

通過地面控制站部分和通訊鏈，由無人機機組向無人機部分傳輸信息。

令

2

T/SZUAVIA002—2023

第一層功能第二層功能說明

提供無人機非飛行控制反

通過機上通訊鏈，由無人機部分向無人機機組傳輸非控制信息。

饋

提供感知和躲避交通的能提供自主隔離功能（保證自身與其他飛行器的距離符合規(guī)定）；提供避免

力碰撞的能力

提供躲避結構、障礙和地與建筑、無線電塔及其他人工建筑或障礙，包括地表運動的交通工具，保

勢的能力持安全距離的能力；與地面和輪廓（如地勢）保持安全距離的能力

提供躲避大氣或氣象危險

與會對無人機造成危險的天氣或大氣保持安全距離

躲避危險功能的能力

提供躲避云的能力根據VFR（通用飛行規(guī)則）中關于躲避云的要求飛行的能力

提供躲避未經授權的領空

當某空域未允許無人機進入時，保持在外圍的能力

的能力

提供躲避低于最低能見度

保持無人機飛行在相關規(guī)定中要求的能見度范圍內

區(qū)域的能力

系統(tǒng)故障緊急降落的能力無人機遭遇系統(tǒng)故障，無法維持飛行，具備開傘降落等迫降功能

迫降功能無人機電池或燃料無法維持飛行至降落點，具備降落在飛行途中緊急降落

能量耗盡緊急降落的能力

點的能力

5產品工作環(huán)境與方式

51產品工作環(huán)境

產品的工作環(huán)境包括：ATC環(huán)境和無ATC環(huán)境。

57任務階段/工作方式

產品飛行時，為了制定無人機操作和功能要求，將整個飛行過程分為七個飛行階段，如下文所述。

但是在進行FHA時，根據安全性要求，在考慮功能危險時，一些階段產品實現的功能是相同的，因此可將

這七個階段簡化合并為三個階段，分別為地面、航站和航行。飛行計劃階段與產品功能無關，因而在FHA中

不考慮，將啟動/地面活動/滑行階段和著陸后階段合并為地面階段，將發(fā)射/起航階段和下降/最后進場/

著陸階段合并為航站階段，將航行/巡航階段和空中作業(yè)階段合并為航行階段。

5.2.1飛行計劃階段

包括與計劃飛行航線、潛在意外事故定位、確定適合的控制和非有效載荷數據鏈覆蓋等等。飛行計劃

極端包括文件歸檔和實施飛行計劃。

5.2.2啟動/地面移動/滑行階段

這一階段始于航空器和地面控制站部分簽出，發(fā)動機啟動、起飛前通訊檢查、地面移動，ATC許可

/指令等等。

5.2.3發(fā)射/起航階段

這一階段始于根據飛行需求提供動力。包括所有的通訊交換，爬升，直到到達初始航行平穩(wěn)。

5.2.4航行/巡航階段

3

T/SZUAVIA002—2023

包括所有不屬于其他飛行階段的巡航飛行，爬升和下降，直到進入空中作業(yè)或下降和到達階段

5.2.5空中作業(yè)階段

這一階段包括除了運送飛機以外的任何飛行活動。例如監(jiān)視、搜索和營救、重復飛行模式等。

5.2.6下降/最后進場/著陸階段

始于從巡航高度下降或到達初始進場點。

5.2.7著陸后階段

著陸后階段包括起落架發(fā)出承重信號，或飛行到達終點之后的所有活動。包括地面移動、滑行、固定

無人機、發(fā)動機剎車、從無人機項地面控制站部分或地面保障部分，無人機剎車等。

6產品失效狀態(tài)

A1產品的功能和失效狀態(tài)

將產品的失效狀態(tài)劃分為兩類，功能喪失和功能錯誤。功能喪失是指產品該項功能完全失效，且不可

恢復。功能錯誤是指某項功能的輸入、程序邏輯或輸出不正常。飛機級功能及其可能考慮的失效狀態(tài)如表2

所示。

表2飛機級功能及其可能考慮的失效狀態(tài)

飛機級功能失效狀態(tài)

喪失無人機機組與相關人員之間的內部通訊功能

無人機機組與相關人員之間的內部通訊

無人機機組與相關人員之間的內部通訊功能錯誤

喪失無人機機組與ATC之間的外部通訊功能

無人機機組與ATC之間的外部通訊

無人機機組與ATC之間的外部通訊功能錯誤

喪失無人機駕駛員與鄰近交通中的飛行員的外部語言通訊功能

無人機駕駛員與鄰近交通中的飛行員的外部語言通訊

無人機駕駛員與鄰近交通中的飛行員的外部語言通訊功能錯誤

喪失由無人機部分到ATC的外部非語言通訊功能

由無人機部分到ATC的外部非語言通訊

由無人機部分到ATC的外部非語言通訊功能錯誤

喪失無人機部分與鄰近交通的外部非語言通訊功能

無人機部分與鄰近交通的外部非語言通訊

無人機部分與鄰近交通的外部非語言通訊功能錯誤

喪失與附屬服務的外部通訊功能

與附屬服務的外部通訊

與附屬服務的外部通訊功能錯誤

喪失估計位置和方向信息功能

估計位置和方向信息

估計位置和方向信息功能錯誤

喪失確定路徑功能

確定路徑

確定路徑功能錯誤

喪失估算即時數據功能

估算即時數據

估算即時數據功能錯誤

喪失提供無人機飛行控制指令功能

提供無人機飛行控制指令

提供無人機飛行控制指令功能錯誤

4

T/SZUAVIA002—2023

飛機級功能失效狀態(tài)

喪失提供無人機飛行控制反饋功能

提供無人機飛行控制反饋

提供無人機飛行控制反饋功能錯誤

喪失提供無人機非飛行控制指令功能

提供無人機非飛行控制指令

提供無人機非飛行控制指令功能錯誤

喪失提供無人機非飛行控制反饋功能

提供無人機非飛行控制反饋

提供無人機非飛行控制反饋功能錯誤

喪失提供感知和躲避交通的能力功能

提供感知和躲避交通的能力

提供感知和躲避交通的能力功能錯誤

喪失躲避結構、障礙和地勢的能力功能

提供躲避結構、障礙和地勢的能力

躲避結構、障礙和地勢的能力功能錯誤

喪失躲避大氣或氣象危險的能力

提供躲避大氣或氣象危險的能力

躲避大氣或氣象危險的能力錯誤

喪失躲避云的能力

提供躲避云的能力

躲避云的能力錯誤

喪失躲避未經授權的領空的能力

提供躲避未經授權的領空的能力

躲避未經授權的領空的能力錯誤

喪失躲避低于最低能見度區(qū)域的能力

提供躲避低于最低能見度區(qū)域的能力

躲避低于最低能見度區(qū)域的能力錯誤

喪失系統(tǒng)故障緊急降落的能力

系統(tǒng)故障緊急降落的能力

系統(tǒng)故障緊急降落的能力錯誤

喪失能量耗盡緊急降落的能力

能量耗盡緊急降落的能力

能量耗盡緊急降落的能力錯誤

67失效狀態(tài)影響等級及安全性目標

安全性是風險低于風險邊界的狀態(tài)。因此在判斷無人機是否符合安全性，則要為其確定風險邊界,

即為安全性目標。

通過分析危害的嚴重程度以及相應的嚴重程度的危害發(fā)生概率來衡量風險。

6.2.1失效狀態(tài)影響對象

在判斷失效狀態(tài)的影響等級前，需要明確其影響的對象：

a）地面非相關人員

指與飛行操作無關的普通人。這一類的對象對于無人機操作、風險等相關知識都不了解。

b）無人機機組

與無人機操作相關的人員，作為飛行機組或發(fā)射與復原人員。無人機機組也可以包括任務負載的操作

者、任務負載的分析員或技術專家。

c）空域用戶

搭乘商業(yè)、軍事或私人航空器的機組人員或乘客。這一類對象對于有人機的操作飛行等具有較深的認

識，但是對于無人機不了解。

d）ATC服務人員

負責航空交通管制的人員或系統(tǒng)。

e）無人機系統(tǒng)

5

T/SZUAVIA002—2023

包含硬件和軟件部分的整個無人機系統(tǒng)。包括無人機本體、地面控制站、通訊系統(tǒng)和相關設備。

6.2.2失效狀態(tài)影響嚴重程度

失效狀態(tài)根據其影響的嚴重程度可以劃分為：

a）無安全影響：失效狀態(tài)對安全性無影響，如失效狀態(tài)對無人機使用能力和人員工作及安全無影響。

b）輕微的：失效狀態(tài)對安全性沒有顯著影響，相關人員的工作也在能力范圍內?；蛘呤顟B(tài)包括

在安全裕度或功能性能方面輕微降低，機組成員的工作負擔輕微增加。

c）重大的：失效狀態(tài)會降低無人機性能或相關人員處理無人機不利飛行狀態(tài)的能力。

d）危險的：失效狀態(tài)急劇降低無人機的性能，大幅度降低相關人員處理不利運行狀態(tài)的能力。

e）災難性的：妨礙無人機繼續(xù)安全飛行和著陸，將會導致多人死亡，通常會使無人機墜毀。“I

類”表示災難性影響，“II類”表示危險影響，“III類”表示重大影響，“IV類”表示輕微影

響。

6.2.3失效狀態(tài)影響等級

具體的無人機失效狀態(tài)影響等級如表3所示：

表3無人機失效狀態(tài)影響等級

對航空交通管制

對地面上的人的影響對無人機機組的影響對空域用戶的影響對無人機系統(tǒng)的影響

（ATC）的影響

可以導致空域用戶或無人機系統(tǒng)的失效狀

可以導致ATC發(fā)出的

乘客經歷如下傷害的態(tài)可以導致：

行動造成以下情況的

無人機失效狀態(tài)：失控或不按預期線路

無人機失效狀態(tài)：

可以導致地面上一人可以導致無人機機組死亡；飛行；

與航空器，障礙物或

災難性的或多人死亡的無人機死亡或喪失行為能力或空中撞擊；或不可控的地面撞

地形發(fā)生撞擊；

失效狀態(tài)的無人機失效狀態(tài)或與障礙物或地形發(fā)擊；

或飛行終止失控（如

生碰撞；或在除了可以恢復的

尾流顛簸，或靜止不

或不能繼續(xù)安全飛行點以外的任意位置發(fā)

動等等）

并著陸的航空器狀態(tài)生地面撞擊

可以導致空域用戶或

乘客經歷如下傷害的

無人機失效狀態(tài)：可以導致ATC發(fā)出的會減弱無人機應對不

差點發(fā)生空中碰撞；行動造成以下情況的利的操作條件的能丈

會導致無人機機組身

有人航空器采取緊急無人機失效狀態(tài)：到以下程度的無人機

體痛苦或工作壓力過

會導致地面上的一火程序；距離過近導致的A類系統(tǒng)失效狀態(tài)：

大（如不能依靠飛行

危險的或多人重傷的無人機突然的躲避機動超過跑道入侵（RD或操作安全裕度或功能能力

機組準確完整的完成

失效狀態(tài)了有人航空器的使用失誤（0E）；大幅度減弱；

他們的任務）的無人

閾值；飛行器間的距離減少計劃外不可控的飛行

機失效狀態(tài)

有人機上發(fā)生了重到標準距離的22.9%終止；

傷；以下強制無條件盡快著陸

身體危難或工作壓力

過大，減弱了有人機

6

T/SZUAVIA002—2023

對航空交通管制

對地面上的人的影響對無人機機組的影響對空域用戶的影響對無人機系統(tǒng)的影響

(ATC)的影響

機組人員的任務完成

能力

可以導致空域用戶或

可以導致ATC發(fā)出的

乘客經歷如下傷害的會減弱無人機應對不

行動造成以下情況的

無人機失效狀態(tài)：利的操作條件的能力

無人機失效狀態(tài)：

會導致無人機機組身重大的飛行員違規(guī)到以下程度的無人機

距離過近導致的B類

體不適或工作壓力明(PD)；系統(tǒng)失效狀態(tài)：

會導致地面上的一人跑道入侵(RD或操作

顯增加或削減無人機采用不正常的程序；安全裕度或功能能力

重大的或多人中等傷害的比失誤(0E)；

機組的效率和效果的溫和的規(guī)避機動；明顯減弱；

人機失效狀態(tài)ATC工作壓力明顯增

情況的無人機失效狀有人機上出現身體痛計劃外不可控的飛行

加；

態(tài)苦或不嚴重的傷害；終止；

飛行器間的距離減少

飛行人員的工作壓力強制按實際情況盡快

到標準距離的23%-

劇增，造成飛行人員著陸

43.9%

效率降低

可以導致ATC發(fā)出的

行動造成以下情況的

會導致以下情況的訝

可以導致空域用戶或無人機失效狀態(tài)：

人機系統(tǒng)失效狀態(tài)：

乘客經歷如下傷害的距離過近導致的C類

安全裕度或功能能士

會導致地面上的一人會導致無人機機組工無人機失效狀態(tài)：跑道入侵(RD或操作

輕微減弱；

輕微的或多人輕微傷害的無作壓力略微增加的無輕微的飛行員違規(guī)失誤(0E)；

計劃外不可控的飛行

人機失效狀態(tài)人機失效狀態(tài)(PD)；ATC工作壓力中度增

終止；

有人機的機組人員工加；

在合適位置非計劃性

作壓力輕微增加；飛行器間的距離減少

著陸

到標準距離的44%-

65.9%；

可以導致ATC發(fā)出的

可以導致空域用戶或

行動造成以下情況的

乘客經歷如下傷害的

無人機失效狀態(tài)：

無人機失效狀態(tài)：

距離過近導致的C類

無安全影響的飛行員

對地面上的人的影響對無人機機組的工作操作機動(卬)或接近對安全性的影響可忽

無安全影違規(guī)(PD)；

可忽略的無人機失教壓力無明顯影響的無事件(PE)；略的無人機系統(tǒng)失多

響的對航空器操作無安全

狀態(tài)人機失效狀態(tài)ATC工作壓力輕度增狀態(tài)

性影響

加；

對有人機的機組人員

飛行器間的距離減少

的影響可忽略；

到標準距離的66%以

造成不便

上

6.2.4失效狀態(tài)的定性概率術語

當使用定性的分析來決定

a)頻繁的

指那些預見到在每架無人機的整個壽命期間會發(fā)生多次的失效狀態(tài)。

7

T/SZUAVIA002—2023

b）可能的

指那些預見到在每架無人機的整個壽命期間會發(fā)生一次的失效狀態(tài)。

c）微小的

指在每架無人機的總的壽命期間內不太可能發(fā)生，但是當考慮到該類型無人機的許多無人機的總

的運行壽命則可能發(fā)生幾次。

d）極微小的

指在每架無人機的總的壽命期間內沒有預見到會發(fā)生某失效狀態(tài)，但是當考慮到該類型所有無人

機的總的運行壽命時則可能發(fā)生幾次。

e）極不可能的

指在某型無人機的所有無人機的整個運行周期不太可能發(fā)生。

6.2.5安全性目標

表4為風險矩陣圖，該圖用于根據危險影響等級和概率等級確定每個失效狀態(tài)的安全性目標。

表4風險矩陣表

無安全性影響輕微的重大的危險的災難的

頻繁的CBAAA

可能的CBAAA

微小的CCBAA

極微小的CCCBA

極不可能的CCCC

a“A”表示高風險，“B”表示中等風險，“C”表示低風險

危險影響等級和概率等級之間存在著一種符合邏輯的可接受的反比關系，在進行定量的分析時，對于

故障發(fā)生概率的可接受范圍而言，概率術語的表達如下：

a）無安全性影響的失效狀態(tài)無概率要求；

b）要求輕微的失效狀態(tài)的發(fā)生概率等級不能超過可能的，即10々〈發(fā)生概率wio，

c）要求重大的失效狀態(tài)的發(fā)生概率等級不能超過微小的，即i（r＜發(fā)生概率W1（T；

d）要求危險的失效狀態(tài)的發(fā)生概率等級不能超過極微小的，即IO"〈發(fā)生概率W102

e）要求災難的失效狀態(tài)的發(fā)生概率等級不能超過極不可能的，即發(fā)生概率W10-6,且不能是由單

點失效導致的。

7功能危險分析表

將FHA工作的結果填入分析表格。功能危險性評估表見表5。

表5功能危險分析表

失效狀態(tài)任務階段危險影響影響等級安全性要求備注

(1)(2)(3)(4)(5)(6)

（1）失效狀態(tài)，對每個假設的失效狀態(tài)作簡要說明。通常針對每個確定功能，從功能全部喪失、功能

部分喪失、其他系統(tǒng)的故障及其他外部事件等危險根源進行考慮。

（2）任務階段，功能失效時所處的任務階段。若失效狀態(tài)的影響由于任務階段不同而不