基于FMEA方法的船舶IBS航行安全分析

董 翔

（滬東中華造船（集團(tuán)）有限公司，上海 200129）

1 FMEA方法

1.1 FMEA方法的定義

故障模式和影響分析（Failure Mode and Effect Analysis, FMEA）方法是一種重要的綜合安全分析方法，用來分析系統(tǒng)內(nèi)每個(gè)部件的潛在失效模式，并按嚴(yán)重程度予以歸類，確認(rèn)各種失效模式對(duì)整個(gè)系統(tǒng)安全的影響。FMEA能建立實(shí)現(xiàn)最小化失效可能性的系統(tǒng)需求，識(shí)別促使失效的某些設(shè)計(jì)特征，最大程度地減少或消除對(duì)應(yīng)的影響，確保任何可能出現(xiàn)的失效都不會(huì)對(duì)整個(gè)系統(tǒng)造成嚴(yán)重的影響，從而提高產(chǎn)品的可靠性和安全性[1]。

故障模式即產(chǎn)品故障的表現(xiàn)形式，如無顯示、停機(jī)和報(bào)警等。故障可按表現(xiàn)形式分為顯性故障和隱性故障2種，其中：顯性故障是指相關(guān)分析人員可不借助額外的設(shè)備或工具，立即發(fā)現(xiàn)的故障，例如斷電、無畫面和發(fā)生報(bào)警等；隱性故障是指相關(guān)分析人員需借助額外的設(shè)備或工具，通過一段時(shí)間的監(jiān)測之后才能發(fā)現(xiàn)的故障，例如發(fā)電機(jī)內(nèi)部絕緣老化等。隱性故障往往難以分析和發(fā)現(xiàn)，造成的危害相比顯性故障更大。在進(jìn)行故障模式分析時(shí)，尤其需對(duì)隱性故障予以重視[2]。

1.2 FMEA的基本步驟

FMEA 的基本步驟如下：

1) 明確分析范圍和邊界條件；

2) 明確系統(tǒng)的功能定義，繪制功能框圖；

3) 分析故障模式，即故障的表現(xiàn)形式；

4) 分析故障原因，即引發(fā)故障的原因；

5) 分析故障影響，即故障導(dǎo)致的各種后果，包括對(duì)部件自身的影響、對(duì)系統(tǒng)的影響和對(duì)總體安全的影響；

6) 探尋故障檢測方法；

7) 提出可能的預(yù)防改進(jìn)措施；

8) 填寫FMEA工作表，編制FMEA報(bào)告。

1.3 FMEA的主要分析方法

FMEA是一種從功能和硬件方面對(duì)系統(tǒng)安全進(jìn)行分析的技術(shù)。根據(jù)系統(tǒng)實(shí)際情況，可分為功能分析和硬件分析2類。

1) 任何復(fù)雜系統(tǒng)都是由彼此聯(lián)系的功能模塊組成一個(gè)有機(jī)整體，進(jìn)而形成完整的功能體系。功能分析法正是利用復(fù)雜系統(tǒng)的這種特點(diǎn)，從系統(tǒng)內(nèi)部的各功能模塊入手，分析其故障模式和帶來的影響。

2) 硬件分析法根據(jù)系統(tǒng)的功能框圖或可靠性框圖分析系統(tǒng)內(nèi)各單元要素所有可能出現(xiàn)的故障模式和對(duì)應(yīng)的影響，并將整個(gè)分析過程轉(zhuǎn)化為表格形式，是一種周密嚴(yán)謹(jǐn)?shù)姆治龇椒ā?/p>

這2種方法各有利弊，在實(shí)際工程應(yīng)用中，可根據(jù)具體信息和資料的豐富程度來選擇合適的方法。本文采用硬件分析法。

2 某型船的IBS

2.1 IBS配置

目標(biāo)船的綜合橋樓系統(tǒng)（Integrated Bridge System, IBS）的主要配置如下。

2.1.1 海圖雷達(dá)

該船配置有2套海圖雷達(dá)，分別為：

1) X波段的海圖雷達(dá)，型號(hào)為FURUNO FAR-3020X，位于航行及操縱工作站；

2) S波段的海圖雷達(dá)，型號(hào)為FURUNO FAR-3030S，位于監(jiān)控工作站。

2套雷達(dá)均具有自動(dòng)雷達(dá)標(biāo)繪（Automatic Radar Plotting Aid, ARPA）功能和海圖雷達(dá)功能，并能通過網(wǎng)絡(luò)集線器互相連接，共享相關(guān)的圖像信息；同時(shí)，2套雷達(dá)既可自成體系，又可互為備份，任何一套雷達(dá)發(fā)生故障，都不會(huì)對(duì)整個(gè)系統(tǒng)造成實(shí)質(zhì)性的影響。

海圖雷達(dá)的電源部分除了由 220V航行分電箱供電以外，還額外提供一路 10min的獨(dú)立不間斷電源（Uninterrupted Power Supply, UPS），其中220V航行分電箱由220V主配電板和220V應(yīng)急配電板雙路供電。該電源供電設(shè)計(jì)保證船舶220V電源發(fā)生故障之后，雷達(dá)能在應(yīng)急電源供電之前正常運(yùn)行。

2.1.2 電子海圖系統(tǒng)

該項(xiàng)目配置3套型號(hào)為FMD-3300的電子海圖系統(tǒng)，分別位于航行及操縱工作站、監(jiān)控工作站和航行計(jì)劃站。3套電子海圖系統(tǒng)能通過網(wǎng)絡(luò)集線器連接，通過以太網(wǎng)技術(shù)實(shí)現(xiàn)相互間的數(shù)據(jù)交換和共享，互為冗余。航行計(jì)劃站的電子海圖系統(tǒng)能通過網(wǎng)絡(luò)將航線計(jì)劃數(shù)據(jù)發(fā)送給航行及操縱工作站和監(jiān)控工作站的電子海圖系統(tǒng)。每套電子海圖系統(tǒng)都具有TCS（Track Control System）功能，能配合自動(dòng)操舵儀對(duì)船舶進(jìn)行航跡控制。

電子海圖系統(tǒng)的電源設(shè)計(jì)與海圖雷達(dá)相同，同樣額外提供一路10min的獨(dú)立UPS，保證船舶220V電源發(fā)生故障之后，電子海圖系統(tǒng)能在應(yīng)急電源供電之前正常運(yùn)行。

2.1.3 橋樓報(bào)警管理系統(tǒng)/CONNING

CONNING工作站位于駕駛臺(tái)中心位置，不僅能顯示各種導(dǎo)航傳感器和推進(jìn)器的數(shù)據(jù)信息，而且集成了橋樓報(bào)警管理系統(tǒng)模塊，能實(shí)時(shí)顯示IBS相關(guān)系統(tǒng)和設(shè)備的運(yùn)行狀態(tài)，并通過與機(jī)艙監(jiān)測報(bào)警系統(tǒng)互聯(lián)，實(shí)時(shí)顯示全船的報(bào)警狀態(tài)信息。

2.1.4 自動(dòng)操舵系統(tǒng)

該船的航跡控制系統(tǒng)包含自動(dòng)操舵系統(tǒng)和TCS。自動(dòng)操舵系統(tǒng)功能框圖見圖1。自動(dòng)操舵主控板、模式選擇控制板和自動(dòng)操舵儀控制箱布置在IBS的航行及操作工作站上。自動(dòng)舵左翼、右翼控制板和FU（Follow-Up）控制板分別布置在駕駛室左翼、右翼的靠港工作站上。主操舵儀控制箱、備用操舵儀控制箱和伺服單元布置在舵機(jī)間內(nèi)。舵機(jī)上安裝2臺(tái)舵機(jī)反饋傳感器。雖然自動(dòng)操舵系統(tǒng)不是完全囊括在IBS中的，但由于其直接對(duì)接船舶控制，有必要完整展現(xiàn)其功能框圖，以便后續(xù)實(shí)施FMEA。

圖1 自動(dòng)操舵系統(tǒng)功能框圖

2.1.5 導(dǎo)航傳感器

該船的位置傳感器配置有2套衛(wèi)星定位系統(tǒng)（Global Positioning System, GPS）；艏向信號(hào)設(shè)備配置有2臺(tái)艏向傳感器陀螺羅經(jīng)，提供相關(guān)信號(hào)供導(dǎo)航系統(tǒng)和其他相關(guān)設(shè)備使用；測深儀和計(jì)程儀傳感器各配置有1臺(tái)傳感器陀螺羅經(jīng)。

2.2 IBS功能框圖

該船的IBS網(wǎng)絡(luò)由主干網(wǎng)和傳感器信息網(wǎng)組成，其中：主干網(wǎng)由3套電子海圖和2套海圖雷達(dá)通過集線器HUB連接組成；傳感器信息網(wǎng)由傳感器適配器和2臺(tái)傳感器交換機(jī)組成。傳感器信號(hào)可通過串口信號(hào)協(xié)議直接傳輸給電子海圖和海圖雷達(dá)的處理器主機(jī)。電子海圖和海圖雷達(dá)的處理器主機(jī)均配置相同的接口硬件設(shè)備，配置的顯示器均為多功能顯示器，通過安裝功能不同的軟件，在顯示器上實(shí)現(xiàn)不同功能畫面的輸出和自由切換。

該部分的電源為雙路電源設(shè)計(jì)，一路為正常的220V航行分電箱電源，另一路為UPS。220V航行分電箱電源來自于220V主配電板和應(yīng)急配電板。當(dāng)220V主電源發(fā)生故障時(shí)，220V航行分電箱電源自動(dòng)切換至220V應(yīng)急電源；當(dāng)220V航行分電箱電源發(fā)生故障時(shí)，自動(dòng)切換至UPS供電，實(shí)現(xiàn)系統(tǒng)不間斷運(yùn)行（電源部分的FMEA在后續(xù)表格中不再展開）。具體功能框圖見圖2。

圖2 目標(biāo)船IBS功能框圖

3 基于FMEA方法的IBS航行安全分析

3.1 確定FMEA對(duì)象

本文分析的對(duì)象為某船的IBS，該系統(tǒng)滿足挪威船級(jí)社（Det Norske Veritas, DNV）的IBS入籍符號(hào)NAUT-AW的要求。該IBS較為復(fù)雜，涉及的輔助系統(tǒng)和設(shè)備眾多。若對(duì)所有系統(tǒng)和設(shè)備都進(jìn)行分析，過程十分繁瑣。為更有針對(duì)性地進(jìn)行分析，本文將不重要的輔助系統(tǒng)和設(shè)備（如自動(dòng)電話、甚高頻電話和霧笛等）剔除，同時(shí)將FMEA對(duì)象鎖定在航行及操縱工作站和監(jiān)控工作站等主要用于保證船舶安全航行的工作站上。

3.2 FMEA任務(wù)目標(biāo)

本文進(jìn)行FMEA的目的是確定影響船舶安全航行的最惡劣故障模式及其造成的影響，深入分析引發(fā)故障的各種可能的原因，并提出相應(yīng)的改進(jìn)措施和補(bǔ)償手段，進(jìn)一步提升船舶的安全航行性能。

3.3 實(shí)施FMEA的邊界條件

1) 所有的IBS都正常運(yùn)行；

2) 其他相關(guān)系統(tǒng)都正常運(yùn)行；

3) 在分析時(shí)，相關(guān)故障均為單點(diǎn)故障；

4) 單點(diǎn)故障觸發(fā)系統(tǒng)發(fā)生故障時(shí)，其備用系統(tǒng)工作正常，運(yùn)轉(zhuǎn)無障礙；

5) 在分析過程中，僅評(píng)價(jià)某個(gè)系統(tǒng)當(dāng)前的狀態(tài)，其備用系統(tǒng)工作正常，運(yùn)轉(zhuǎn)無障礙。

3.4 FMEA的故障模式

IBS設(shè)備通常由電源模塊、操作單元、接口單元網(wǎng)絡(luò)、網(wǎng)絡(luò)集線器、傳感器適配器和處理單元等部件組成。預(yù)計(jì)的失效模式大致可分為電源故障、傳感器故障、網(wǎng)絡(luò)集線器故障和其他組件故障等。

3.5 FMEA的安全等級(jí)

FMEA的安全等級(jí)一般按嚴(yán)重程度分為致命、嚴(yán)重、臨界和輕微等4個(gè)級(jí)別，其中：“致命”的等級(jí)最高，極易造成重大的安全事故；“嚴(yán)重”的等級(jí)其次，可能會(huì)造成事故；“臨界”的等級(jí)不會(huì)造成明顯的損失；“輕微”的等級(jí)可忽略不計(jì)。具體FMEA安全等級(jí)分類見表1[3]。

表1 FMEA安全等級(jí)分類

3.6 目標(biāo)船的FMEA

根據(jù)FMEA方法和步驟，結(jié)合具體的功能框圖，對(duì)目標(biāo)船的IBS進(jìn)行FMEA，所得結(jié)果以表格的形式呈現(xiàn)，具體見表2（由于No.2 ECDIS和No.3 ECDIS與No.1ECDIS相同，為節(jié)省篇幅，這里將二者省略）。

表2 目標(biāo)船IBS的FMEA

4 結(jié)論分析

由該船IBS的FMEA結(jié)果可知：由于IBS的網(wǎng)絡(luò)結(jié)構(gòu)體系和設(shè)備配置的冗余性設(shè)計(jì)，任何一個(gè)單點(diǎn)故障發(fā)生之后，IBS偵測到故障時(shí)立即啟動(dòng)對(duì)應(yīng)的補(bǔ)償機(jī)制，不會(huì)出現(xiàn)高安全等級(jí)的故障模式，對(duì)船舶安全航行不會(huì)造成任何實(shí)質(zhì)性的影響。

IBS的安全性設(shè)計(jì)主要體現(xiàn)在網(wǎng)絡(luò)和設(shè)備2個(gè)方面。下面以碰撞和擱淺這2種主流航行安全事故為例，結(jié)合該船的實(shí)際情況展開具體分析。

1) 以船舶碰撞事故為例，為避免船舶發(fā)生碰撞事故，國際海事組織（International Maritime Organization,IMO）的相關(guān)規(guī)范要求最低需配置的硬件設(shè)備為1套具有ARPA功能的海圖雷達(dá)和1套具有提供艏向信號(hào)功能的傳感器[4-5]。本文所述目標(biāo)船共配置2套具有ARPA功能的海圖雷達(dá)和2套陀螺羅經(jīng)。任何一套海圖雷達(dá)發(fā)生故障，另一套海圖雷達(dá)都可作為避碰預(yù)警雷達(dá)使用。同時(shí)，2套陀螺羅經(jīng)均可提供艏向信號(hào)給當(dāng)前的海圖雷達(dá)使用。另外，若導(dǎo)航主干網(wǎng)絡(luò)發(fā)生故障，當(dāng)前的海圖雷達(dá)可作為獨(dú)立的避碰預(yù)警雷達(dá)正常運(yùn)行。若傳感器信息網(wǎng)的網(wǎng)關(guān)發(fā)生故障，可切換至備用網(wǎng)關(guān)繼續(xù)發(fā)送相關(guān)信息。若整個(gè)傳感器信息網(wǎng)失效，陀螺羅經(jīng)的艏向信號(hào)可直接傳輸給當(dāng)前的海圖雷達(dá)，保證其相關(guān)功能正常，確保避碰功能正常實(shí)現(xiàn)。若正常電源發(fā)生故障，當(dāng)前海圖雷達(dá)的電源立即切換至備用UPS，雷達(dá)的避碰預(yù)警功能不會(huì)受到任何影響。因此，任何單點(diǎn)出現(xiàn)故障都不會(huì)對(duì)船舶的避碰功能產(chǎn)生實(shí)質(zhì)性的影響，該船的IBS相關(guān)設(shè)計(jì)完全滿足避碰預(yù)警的安全要求。

2) 以船舶擱淺事故為例，IMO相關(guān)規(guī)范要求的最低硬件配置為至少保持1套電子海圖系統(tǒng)正常工作[4-5]。該船共配置3套功能相近的電子海圖設(shè)備和1套測深儀傳感器。電子海圖不僅可規(guī)劃船舶航行軌跡，而且可根據(jù)海圖數(shù)據(jù)庫的信息查詢出相關(guān)海域的水深信息。在正常情況下，船舶的水深數(shù)據(jù)是通過安裝在艙底的測深儀傳感器，利用多普勒聲學(xué)效應(yīng)測量、計(jì)算得出的。當(dāng)傳感器信息網(wǎng)失效之后，測深儀傳感器的數(shù)據(jù)可直接發(fā)送給當(dāng)前的電子海圖系統(tǒng)。若測深儀傳感器失效，電子海圖系統(tǒng)可根據(jù)海圖數(shù)據(jù)庫中的海域水深信息輔助進(jìn)行擱淺預(yù)警決策。另外，根據(jù)附錄FMEA表格的分析結(jié)果，任何單點(diǎn)出現(xiàn)故障時(shí)，系統(tǒng)都能保證至少1套功能完整的電子海圖系統(tǒng)正常工作。因此，任何單點(diǎn)出現(xiàn)故障都不會(huì)對(duì)船舶的擱淺預(yù)警功能產(chǎn)生實(shí)質(zhì)性的影響，該船的IBS相關(guān)設(shè)計(jì)完全滿足擱淺預(yù)警的安全要求。

綜上所述，該船的IBS設(shè)計(jì)能在任何單點(diǎn)出現(xiàn)故障時(shí)正常實(shí)現(xiàn)船舶避碰和避免擱淺功能，完全滿足船舶安全航行的需求。

5 結(jié) 語

本文以某型船的IBS為實(shí)例，采用FMEA方法具體分析了其安全性設(shè)計(jì)，驗(yàn)證了其功能結(jié)構(gòu)體系設(shè)計(jì)完全滿足船舶安全航行的需求，為今后類似船的IBS設(shè)計(jì)提供了參考依據(jù)。