一句话结论：系统安全评估（SSA）在条款中的落点是符合性的证明义务。按 14 CFR §27.1309(d) 原文，本条要求的符合性「必须以分析证明，必要时以地面、飞行或模拟器试验证明」，且该分析必须涵盖四类内容：可能的失效模式（含误导性数据与外部来源输入）、多重失效与潜伏失效的影响、对旋翼航空器与乘员的后果（考虑飞行阶段与运行条件）、以及机组告警线索与所需纠正措施。
内容详情
先厘清条款结构。§27.1309 首句规定，本分章要求其功能发挥作用的设备、系统与安装，必须经设计与安装以确保在任何可预见运行条件下履行预定功能。随后以一句限定语划定附加要求的适用范围：对任何其失效尚未被本编其他要求专门涵盖的设备项或系统，(a) 至 (d) 款的要求同样适用。也就是说，该条的适用对象是没有被专门条款接管的系统，而这些系统恰恰是新型构型最集中的部分。
在四项附加要求中，(d) 款承担的是证明层面的规定。它包含两层递进：第一层是手段——以分析证明，必要时辅以地面、飞行或模拟器试验；第二层是对象——分析必须涵盖下列四项内容。SSA 在工程实践中的位置正是第一层所述的那份「分析」：它不是又一种识别技术，而是把 (a) 款的对象识别、(b) 款的概率目标、(c) 款的告警义务与 (d)(1) 至 (d)(4) 的各项分析结果汇总为一份可提交的符合性论证。
四项内容各自对应不同的方法输入。(d)(1) 要求涵盖可能的失效模式，且明确包括故障、误导性数据与来自外部来源的输入——这部分由以失效模式为轴的枚举分析提供输入。(d)(2) 要求涵盖多重失效与潜伏失效的影响——这一项无法由单点枚举直接得出，需要沿失效组合路径展开，因为两个单独无害的失效在特定阶段同时出现时可能构成严重后果，而潜伏失效的特征恰恰是在被触发前不显现任何迹象。(d)(3) 要求评估对旋翼航空器与乘员造成的后果，并考虑飞行阶段与运行条件——该项把静态的失效清单转换为与运行场景绑定的后果判断。(d)(4) 要求分析涵盖机组告警线索与所需纠正措施——这一项把结论落到人机界面上，因为再充分的分析若无法在座舱内形成可识别、可处置的线索，其安全价值无法实现。
与 (d)(4) 配套的是 (c) 款：当存在不安全的系统运行状态时，必须提供告警机组的手段，并使其能够采取纠正措施；系统、操纵器件以及相关的监控与机组告警手段，其设计必须尽量减少可能导致附加危险的机组差错。这一款的意义在于把「告警」与「防错」并置：告警本身如果设计不当，会成为新的差错来源，因此条文要求的不只是告警存在，还包括告警不会诱发新的错误。
概率目标则由 (b) 款给出：灾难性失效状态极不可能、重大失效状态不超过不可能，介于两者之间的其他失效状态其概率与后果成反比。§23.2510 给出正常类飞机侧的同构规定，并在引句中直接点明总体要求——平均概率与失效状态严重程度之间须存在逻辑且可接受的逆关系。SSA 汇总时必须逐级回应这些目标，而不能只给出「已分析」的结论。
关于 (a) 款的分析维度，前文所述的双重分析（单独分析并相对于其他系统与安装分析）在此仍然是 SSA 的结构骨架：单独分析支撑失效模式的完整性，相对分析支撑交互与多重失效的识别。缺少任一维度，结论都只能覆盖系统的一部分风险来源。
需要说明的是，本页所描述的是条文对符合性证明的要求，以及工程实践中与该要求相对应的工作产物之间的关系。本次核验的 Part 27 与 Part 23 全文中未出现 System Safety Assessment 或 SSA 这一表述，因此本页不主张条文对该名称的正式使用。
核验边界：本页所述限于 14 CFR §27.1309 与 §23.2510 的条文内容。本页不涉及任何行业方法指南文件中的评估流程、文档结构与判定准则，不涉及概率数值区间的量化口径，也不涉及中国的相应规定。
关键信息（可溯源）
- 英文称谓：System Safety Assessment；缩写 SSA
- 法规位置：14 CFR §27.1309(d)（符合性的证明方式与分析内容）；配套条款 (a)(b)(c)；对照条款 §23.2510
- 符合性方式：必须以分析证明，必要时以地面、飞行或模拟器试验证明（§27.1309(d)）
- 分析须涵盖的第一项：可能的失效模式，包括故障以及误导性数据与来自外部来源的输入（§27.1309(d)(1)）
- 分析须涵盖的第二项：多重失效与潜伏失效的影响（§27.1309(d)(2)）
- 分析须涵盖的第三项：对旋翼航空器与乘员造成的后果，考虑飞行阶段与运行条件（§27.1309(d)(3)）
- 分析须涵盖的第四项：机组告警线索与所需纠正措施（§27.1309(d)(4)）
- 告警与防错：不安全系统运行状态须有告警机组的手段并使其能采取纠正措施；系统、操纵器件与监控告警手段的设计须尽量减少可能导致附加危险的机组差错（§27.1309(c)）
- 适用前提：(a) 至 (d) 款适用于其失效尚未被本编其他要求专门涵盖的设备项或系统（§27.1309 引句）
- 概率目标：灾难性极不可能、重大不超过不可能、中间区间概率与后果成反比（§27.1309(b)）；飞机侧为平均概率与严重程度之间的逻辑且可接受的逆关系（§23.2510）
- 术语说明：本次核验的 Part 27 与 Part 23 全文中未出现 SSA 或其全称
- 数据来源：eCFR · 14 CFR Part 27 — Airworthiness Standards: Normal Category Rotorcraft ｜ eCFR · 14 CFR Part 23 — Airworthiness Standards: Normal Category Airplanes
取证时间线
- §27.1309 出处：Amdt. 27-51，88 FR 8737，2023 年 2 月 10 日
- Part 23 重构：Doc. No. FAA-2015-1621，Amdt. 23-64，81 FR 96689，2016 年 12 月 30 日（§23.2510 属该体系）
- 编纂机构：Office of the Federal Register（美国联邦公报办公室）维护的 eCFR 电子版联邦法规
- 本站依据文本：eCFR 现行（current）版本 §27.1309、§23.2510 全文；页面显示第14编有效版本截至 2026-09-17
- 本站采集时间：2026-09-19（实际下载 Part 27 与 Part 23 全文并确认 HTTP 200）
- 信息核验时间：2026-09-19
- 页面最后更新：2026-09-19
常见问题
SSA 与 FMEA、FTA 是什么关系？
层级不同。FMEA 与 FTA 是识别与推演方法，分别对应 §27.1309(d)(1) 的失效模式枚举与 (d)(2) 的多重、潜伏失效影响；SSA 是把这些结果连同 (b) 款的概率目标、(c) 款的告警义务汇总为符合性论证的过程，对应 (d) 款整体的证明要求。
为什么必须分析潜伏失效？
因为条文明确列入。§27.1309(d)(2) 要求分析涵盖多重失效与潜伏失效的影响。潜伏失效的特点是在被触发前不显现可见征兆，单靠运行观察或单点枚举无法覆盖，必须沿失效组合路径分析才能识别其后果。
告警设计为什么和防错放在同一条？
因为 §27.1309(c) 同时规定了两件事：存在不安全系统运行状态时须有告警机组的手段并使其能采取纠正措施，以及系统、操纵器件与监控告警手段的设计须尽量减少可能导致附加危险的机组差错。告警如果设计不当会成为新的差错来源，两项要求构成一个整体。
条文里用的是 SSA 这个词吗？
不是。本次核验的 Part 27 与 Part 23 全文中未出现 SSA 或其英文全称，§27.1309(d) 使用的是「符合性必须以分析证明」这一表述。本页所述为该条文对证明方式与分析内容的要求，以及实践中与该要求相对应的工作产物，二者不可混同。
信息来源：eCFR（可信级：官方一手来源，美国联邦公报办公室维护的电子版联邦法规，内容权威但非官方出版版），数据截至 2026-09-17；核验状态：verified（以分析为主必要时试验的证明方式、四项分析内容、告警与防错要求、适用前提、两侧概率目标均据本次下载的 Part 27 与 Part 23 全文逐字核验）。