鮑 晗，左洪福，蔡 景，周 迪

(南京航空航天大學民航學院， 南京 210016)

發(fā)動機控制系統(tǒng)是發(fā)動機的核心子系統(tǒng)，一方面，其功能喪失可能會造成空中停車、完全推力喪失等飛機級功能失效和嚴重后果。另一方面，控制系統(tǒng)是非線性多變量控制復雜系統(tǒng)，故障率高。

傳統(tǒng)的安全壽命管理方法將某一存活率下零部件萌生規(guī)定長度裂紋所需的循環(huán)數(shù)定義為部件的批準壽命，通過限制使用壽命來保障發(fā)動機關鍵部件的安全性[1]。但是由于標準制定或標準符合、設計制造和運行環(huán)境中的不確定因素，發(fā)動機控制系統(tǒng)的實際運行風險往往高于預期[2]，傳統(tǒng)的確定性方法在分析風險時存在較大偏差。

為了克服傳統(tǒng)安全壽命方法的缺點，進一步提高發(fā)動機關鍵部件的安全性，Shah A R等學者提出運用PRA方法，通過對關鍵部件隨機性和缺陷分布的定量分析，在不具備完整描述的條件下更加準確地反映發(fā)動機部件的實際運行狀態(tài)[3]。在此框架下，美國西南研究院聯(lián)合通用電氣等發(fā)動機廠商提出了DARWIN(Design Assessment of Reliability with Inspection)，該方法由有限元分析、概率斷裂力學模型和無損探傷檢查模型組成，基于失效機理對發(fā)動機概率風險進行預測[4]。隨后FAA頒布了咨詢通告AC39-8，針對航空發(fā)動機提出了一種基于部件故障統(tǒng)計、威布爾分析和蒙特卡羅仿真的風險評估方法[5]。盡管以上兩種PRA方法都為發(fā)動機控制系統(tǒng)故障風險評估提供了可借鑒的實施思路，但由于系統(tǒng)的復雜性以及運行數(shù)據(jù)量不足，針對發(fā)動機控制系統(tǒng)的風險評估一直未能有效開展。

近年來，風險模型的不斷優(yōu)化、計算效率的不斷提高、航空基礎數(shù)據(jù)庫的構建等都為使用PRA方法識別和分析復雜系統(tǒng)實際風險提供契機[6]。本文結合控制系統(tǒng)的故障風險模式和實際運營數(shù)據(jù)，將發(fā)動機推力控制喪失(LOTC)事件作為控制系統(tǒng)風險評估的橋梁，運用PRA方法，建立了從底層故障到飛機級嚴重后果的發(fā)動機控制系統(tǒng)故障風險評估模型，并結合實際案例對模型進行演示驗證。

1 發(fā)動機控制系統(tǒng)故障風險模式分析

航空發(fā)動機控制系統(tǒng)的關鍵部件包含電子控制器(EEC)、液壓機械組件(HMU)、作動部件和傳感器4個主要部分，典型的發(fā)動機控制系統(tǒng)如圖1。EEC根據(jù)飛機控制命令和進入EEC的各個傳感器測量信號，計算控制目標值并將其轉化成執(zhí)行機構的電指令，經由HMU進行電液轉換和液壓功率放大，控制作動部件實現(xiàn)對控制對象的控制。通過這一過程實現(xiàn)燃油控制，發(fā)動機推力管理，VBV、VSV、TBV、LPTCC等控制以及發(fā)動機的啟動、關閉、點火控制等功能。

根據(jù)發(fā)動機控制系統(tǒng)的結構和工作原理，表1從4個方面介紹發(fā)動機控制系統(tǒng)故障模式及風險類型[7]。

表1 發(fā)動機控制系統(tǒng)故障風險類型

2 發(fā)動機控制系統(tǒng)故障風險評估模型

LOTC事件是發(fā)動機控制系統(tǒng)的頂層故障事件，定義為不能通過油門桿對發(fā)動機在慢車與90%的最大額定推力之間進行調節(jié)，或發(fā)動機不能滿足33部的工作特性要求，或發(fā)動機推力以不可接受的方式振蕩[9]，LOTC率是衡量發(fā)動機安全性的重要標志。由于直接估計單個故障對整機的安全性影響難度較大，故可以結合設計階段的安全性分析基礎，將LOTC事件作為風險分析的橋梁。如圖 2所示，先通過故障建模的方法分析底層故障發(fā)展成為LOTC事件的風險，再通過事件鏈建模評估LOTC事件發(fā)展成飛機級嚴重后果的風險。最后將實際風險與適航標準比較，不滿足適航要求時需要立即采取糾正措施并對糾正后的風險進行重新評估。

2.1 發(fā)動機控制系統(tǒng)故障建模

通過故障建模確定從發(fā)動機控制系統(tǒng)底層故障發(fā)展到LOTC事件的實際風險，主要考慮兩個方面：單個部件的故障概率和單個故障發(fā)展成LOTC事件的概率。

1) 單個部件的故障概率λ(t)

根據(jù)美國宇航局的統(tǒng)計數(shù)據(jù)表明，航空設備故障率大致可以分為6種類型，其中雙參數(shù)威布爾分布是航空發(fā)動機故障分析中最有價值的分布函數(shù)[10]。在實際風險評估過程中，由于相同部件在不同使用環(huán)境下表現(xiàn)出來的故障規(guī)律各不相同，參數(shù)的隨機性對概率風險評估結果的影響很大[6]，因此考慮部件的實際運維情況。

已知雙參數(shù)威布爾分布的密度函數(shù)為

(1)

其中：m為形狀參數(shù)；η為尺度參數(shù)?？紤]到實際的故障數(shù)據(jù)中有部分是因預防性維修而更換的右截尾壽命數(shù)據(jù)，m和η可以根據(jù)式(2)的超越方程，通過數(shù)值方法迭代求解得到[11]。

(2)

其中：n為數(shù)據(jù)組數(shù)；r為完全數(shù)據(jù)；(n-r)為右截尾數(shù)據(jù)；tp為預防性更換時間。

在已知故障率分布的情況下，綜合考慮部件已使用時間T和檢查間隔τ[12]，在下一個檢查周期[T，T+τ]內，部件故障概率λ(t)可以表示為

(3)

2) 單個故障發(fā)展成LOTC事件的條件概率μ

單個故障A發(fā)展成LOTC事件的條件概率μ可以轉化成在該故障的暴露時間內，相關故障發(fā)生的概率。根據(jù)發(fā)動機控制系統(tǒng)LOTC事件的故障樹，可以通過上行法或者下行法找出包含A故障的最小割集，即導致LOTC事件發(fā)生的最低限度基本事件的組合[13]。最小割集中除了A故障以外的其他故障，即為A故障的相關故障。

如圖3，如果在[T，T+τ]內的t時刻發(fā)生第一個故障，那么該故障的暴露時間為T+τ-t，則該故障暴露時間的期望為

(4)

再結合相關故障的平均故障率λi，i=1,2,…，因此條件概率的表達式為

(5)

如果最小割集中僅包含單個元素，則說明該故障會直接導致LOTC事件，則相應條件概率μ的值為1。

2.2 發(fā)動機控制系統(tǒng)事件鏈建模

事件鏈建模主要用于建立從LOTC事件發(fā)展到各種飛機級嚴重后果的整體過程，如圖4。將數(shù)控系統(tǒng)LOTC作為事件鏈的初因事件，通過建立事件樹或者事件序列圖模型，推演從LOTC事件經由一系列中間事件，最終導致飛機空中解體、墜毀等嚴重不安全后果。

事件鏈中的條件概率根據(jù)故障的循環(huán)比近似得出，循環(huán)比定義為損傷從當前狀態(tài)發(fā)展到下一個狀態(tài)需要的平均飛行循環(huán)數(shù)與部件使用壽命之比，循環(huán)比越高，表明損傷發(fā)展速度越快，從當前狀態(tài)發(fā)展到下一個狀態(tài)的可能性也就越高。表2是條件概率對應表，由FAA和波音公司根據(jù)歷史數(shù)據(jù)制定[14]。在條件概率不明的情況下，一般將條件概率保守假設為1。

表2 循環(huán)比對應的條件概率

針對不安全后果的衡量標準很多，CCAR25.1309中用輕微的、嚴重的、災難性的等嚴重性等級定性地表示后果的嚴重程度。在定量分析中，F(xiàn)AA提出通過人員損傷率表示不安全后果的嚴重程度[15]，損傷率IR的表達式如下

(6)

其中：nfatal表示事故中死亡的人數(shù)，包括事故中機上和地面的致死人員；nonboard表示飛機的全部乘員，包括機組和旅客。根據(jù)FAA的統(tǒng)計，不同類別飛機各種嚴重后果的損傷率見表3。

表3 不安全后果損傷率對應

注：CFIT，即Controlled Flight Into Terrain，可控飛行撞地。

2.3 發(fā)動機控制系統(tǒng)故障風險評估

結合故障模型和事件鏈模型，可以將發(fā)動機控制系統(tǒng)故障風險R表示為

R=λ(t)·μ·∑(CPi·IRi),i=1,2,…

(7)

其中：λ(t)是單個故障在下一次檢查前發(fā)生的概率，見式(3)；μ是在已知故障暴露期間內其相關故障發(fā)生且導致LOTC事件的概率，見式(5)；CPi是LOTC事件發(fā)展到第i種嚴重后果的條件概率，IRi是第i種嚴重后果的損傷率。

風險計算結果需要與適航標準進行比較，進而確定是否需要采取對應的風險控制措施。根據(jù)AC-21-AA-2013-19要求，持續(xù)適航階段的實際風險水平的目標值是飛機設計所必須遵循的最大風險水平[1]。對于發(fā)動機控制系統(tǒng)而言，由發(fā)動機控制系統(tǒng)故障導致的單機風險水平必須低于1×10-7/FH[5]。在實際風險超出適航要求時，必須采取改正或改進措施，包括調整檢查間隔、提早進行更換，在涉及重要檢查和設計更改時發(fā)布適航指令(AD)等強制措施。

3 案例分析

以波音737飛機CFM56-7B發(fā)動機可調靜子葉片(VSV)作動筒故障情況為例對發(fā)動機控制系統(tǒng)故障實際風險進行分析。

在CFM56-7B世界機隊故障統(tǒng)計中,VSV故障頻率較高,在造成飛機延誤/取消的原因中排第一位。VSV作動筒是安全關鍵部件，主要的故障模式包括作動筒的滲漏和卡阻，故障會引起VSV控制異常，造成發(fā)動機喘振，進而引起發(fā)動機空中停車，可能造成人員死亡、墜毀等嚴重后果。同時每臺發(fā)動機的VSV作動筒無備份,因而有必要對機隊VSV作動筒的實際風險進行監(jiān)控和分析。

CFM56-7B發(fā)動機VSV系統(tǒng)主要由VSV作動筒、電液伺服閥和位移傳感器等組成[16]，HMU根據(jù)EEC指令為作動筒提供伺服燃油,從而驅動VSV搖臂,進而改變VSV的角度,保證發(fā)動機的進氣流量合適，作動筒本身帶有的線性差動傳感器(LVDT)將實際位置反饋給EEC,如圖5所示。

在設計階段，根據(jù)供應商提供的測試數(shù)據(jù)，該型VSV作動筒的平均故障率是1.55×10-7，由統(tǒng)計得到相應的風險因子是0.005，因此該VSV作動筒的風險為0.775×10-9/FH，遠低于規(guī)章規(guī)定的10-7/FH，符合安全標準，但該風險顯然沒有充分考慮不同的運行環(huán)境因素和部件退化的影響。

表4收集并整理了某航空公司CFM56-7B型發(fā)動機機隊VSV作動筒的實際使用壽命，單位為FH，其中標記“*”的為預防性更換數(shù)據(jù)。

表4 某發(fā)動機機隊VSV作動筒的壽命數(shù)據(jù)

采用基于截尾數(shù)據(jù)的威布爾參數(shù)極大似然法，根據(jù)式(2)得到威布爾分布的參數(shù)為m=8.136，η=16 467，將其代入式(3)，則在下一次檢查前該類VSV作動筒的故障概率表示為

圖6是發(fā)動機數(shù)控系統(tǒng)LOTC的部分故障樹，可以看出，VSV作動筒故障會直接引發(fā)燃油作動部件導致的VSV開度異常，進而導致VSV控制異常，引發(fā)推力振蕩導致機組不得不關閉發(fā)動機，最終引起LOTC事件。也就是說，VSV作動筒故障會直接導致LOTC事件，即條件概率μ=1。

根據(jù)表2中的條件概率和表3中的損傷率IR可以建立數(shù)控系統(tǒng)LOTC事件導致飛機空中解體、墜毀和偏離跑道等嚴重后果的事件樹，如圖7所示。

因此可以計算得出∑(CPi·IRi)=0.007。

查詢該航空公司的飛機維修方案和相關工程指令，得知目前該航空公司定期對機隊VSV作動筒進行檢查和必要的潤滑及清潔，檢查間隔是250FH，則VSV作動筒故障的單機風險是一個關于運行時間T的函數(shù)，表達式為

隨著運行時間的增加，由VSV作動筒故障引起的風險水平逐漸增加，如圖8所示，在運行時間超過4 000FH后，風險水平快速升高。將實際風險與適航風險標準1×10-7/FH進行比較，運行時間達到6550FH左右時實際運行風險超出適航安全要求。

由表4可知目前該機隊VSV作動筒的使用時間均超過了6 550FH，存在安全風險。在不考慮改變該VSV作動筒設計構型的情況下，可以從控制作動筒的實際使用時間T和縮短檢查間隔τ兩個角度控制實際風險。

在使用時間T不變的情況下，通過優(yōu)化VSV作動筒的檢查間隔τ來控制風險水平。圖9中5條曲線分別表示檢查間隔為100 h、150 h、200 h、250 h和300 h時，實際風險隨使用時間增加而增大的情況。如將使用壽命限制在7 000 h，圖9中豎線與5條直線的交點分別表示運行時間為7 000 h時不同檢查間隔對應的風險水平?？梢园l(fā)現(xiàn)只有當檢查間隔小于150 h，風險水平滿足要求。

在檢查間隔τ確定的情況下，通過提前更換或清潔來控制VSV作動筒的實際使用時間T來控制風險水平。圖10中4條曲線分別表示使用時間分別為5 500 h、6 000 h、6 500 h和7 000 h時，實際風險隨著檢查間隔的增加而增大的情況。若保持目前的檢查間隔250 h不變，僅當運行時間控制在6 500 h以內時，風險水平滿足要求。

由于所有發(fā)動機控制系統(tǒng)事件均可轉化為LOTC事件，其他相關故障均可借鑒此案例中的風險分析過程。

4 結束語

針對發(fā)動機控制系統(tǒng)實際風險高于預期問題，對控制系統(tǒng)故障模式進行分析，基于PRA建立控制系統(tǒng)故障模型、事件鏈模型和風險模型。以CFM56-7B發(fā)動機VSV作動筒故障為例進行實際風險評估，并分析運行時間和檢查間隔對風險的影響。該模型具有一定通用性，為局方在評估不安全事件風險時提供定量參考，同時為航空公司制定使用和維護計劃提供定量的依據(jù)。