文/董力 吳雨婷 韓冰 陸中

1 引言

航空發(fā)動(dòng)機(jī)電子控制系統(tǒng)完整性喪失通常表現(xiàn)為出現(xiàn)推力控制功能喪失（LOTC）事件，其事件的出現(xiàn)通常會(huì)對(duì)飛機(jī)安全造成嚴(yán)重后果。根據(jù)航空發(fā)動(dòng)機(jī)適航規(guī)章CCAR-33-R2規(guī)定，航空發(fā)動(dòng)機(jī)定型中需要對(duì)發(fā)動(dòng)機(jī)控制系統(tǒng)進(jìn)行安全評(píng)估，該項(xiàng)評(píng)估必須確定可能導(dǎo)致推力改變或影響發(fā)動(dòng)機(jī)工作特性從而產(chǎn)生喘振或失速的故障以及這些故障的發(fā)生概率，并要求LOTC發(fā)生概率限制在1/105發(fā)動(dòng)機(jī)工作小時(shí)。

故障樹分析（FTA）是一種演繹性的失效分析方法，廣泛應(yīng)用于系統(tǒng)安全性評(píng)估工程領(lǐng)域，以揭示系統(tǒng)失效的原因。故障樹分析中分析人員從某一特定的不希望事件（頂事件）開始，在低一級(jí)的下一個(gè)層次上，系統(tǒng)地確定系統(tǒng)功能模塊中可能導(dǎo)致該事件發(fā)生的、全部可信的單一故障及失效組合，并逐級(jí)向下展開分析，最終相繼通過(guò)更細(xì)化（即低一層）的設(shè)計(jì)層次揭示出所有的初級(jí)事件或滿足該頂層危險(xiǎn)事件的要求為止。

圖1：ECU結(jié)構(gòu)及其輸入輸出信號(hào)

圖2：推力控制功能喪失故障樹

圖3：子樹A

圖4：子樹B

本文以某型航空發(fā)動(dòng)機(jī)電子控制系統(tǒng)為研究對(duì)象，在詳細(xì)闡述其系統(tǒng)組成的基礎(chǔ)之上借助故障樹分析法對(duì)LOTC事件展開安全性分析，并利用CARMES軟件工具繪制相應(yīng)的故障樹，通過(guò)對(duì)其事件開展定性、定量的安全性分析，驗(yàn)證其該系統(tǒng)設(shè)計(jì)方案能夠滿足規(guī)定的安全性要求。

2 與推力控制功能相關(guān)的系統(tǒng)組成

航空發(fā)動(dòng)機(jī)電子控制系統(tǒng)一般由發(fā)動(dòng)機(jī)電子控制組件（ECU）、機(jī)械液壓組件（HMU）、伺服機(jī)構(gòu)以及傳感器等部件組成。

2.1 發(fā)動(dòng)機(jī)電子控制組件ECU

ECU是由兩臺(tái)名為通道A與通道B的電子計(jì)算機(jī)組成，其主要功能是實(shí)現(xiàn)發(fā)動(dòng)機(jī)控制計(jì)算以及監(jiān)控發(fā)動(dòng)機(jī)狀態(tài)。通道A和通道B完全相同并且同時(shí)工作，但各自獨(dú)立運(yùn)行。通道A和通道B接收輸入信號(hào)并分別進(jìn)行信號(hào)處理，但是只有一個(gè)通道實(shí)施控制，輸出指令，稱為主用通道；另一個(gè)通道稱為備用通道。為了提高ECU的可靠性，通道A與通道B通過(guò)交叉通道數(shù)據(jù)鏈（CCDL）連接，這使得兩個(gè)通道內(nèi)的輸入信息互通，即使一個(gè)通道的重要輸入信息輸入失效時(shí)，也能保證ECU能夠正常運(yùn)行。ECU結(jié)構(gòu)域輸入輸出信號(hào)示意圖如圖1所示。

2.1.1 ECU輸入輸出信號(hào)

對(duì)于關(guān)鍵參數(shù)，ECU的通道A和通道B分別從獨(dú)立的信號(hào)源（傳感器）接受信號(hào)，這些參數(shù)主要有：圖1中右側(cè)部分的機(jī)械液壓組件中的執(zhí)行機(jī)構(gòu)、解析儀的位置傳感器和一些活門的位置電門，如可變靜子葉片（VSV）、可變引氣活門（VBV）、燃油計(jì)量活門（FMV）、可變旋轉(zhuǎn)差動(dòng)傳感器（RVDT）等；圖1中左側(cè)部分的靜壓（PS12、PS3、P0）、溫度（T25、T12、T3等）以及轉(zhuǎn)速（N1、N2）參數(shù)。對(duì)于重要程度稍低的參數(shù)，通道A和通道B從相同的信號(hào)源接收信號(hào)，如圖1中部的推力桿角度（TLA）、發(fā)動(dòng)機(jī)排氣溫度（EGT）等相關(guān)參數(shù)。

ECU根據(jù)上述輸入?yún)?shù)與控制律計(jì)算并輸出相關(guān)執(zhí)行機(jī)構(gòu)的控制信號(hào)。

2.1.2 ECU電源ECU的通道A與B均接受來(lái)自飛機(jī)的28V直流電源以及來(lái)自專用發(fā)電機(jī)的交流電源，其中通道A接受來(lái)自飛機(jī)的28V主直流電源與專用發(fā)動(dòng)機(jī)電磁線圈A中的交流電源，通道B接受來(lái)自的飛機(jī)的28V應(yīng)急直流電源以及專用發(fā)動(dòng)機(jī)電磁線圈B中的交流電源，專用發(fā)電機(jī)的線圈A與B是獨(dú)立的。這種余度設(shè)計(jì)能夠防止ECU電源中斷，保證某一電源失效時(shí)ECU仍然能夠安全工作。

2.2 機(jī)械液壓組件與伺服機(jī)構(gòu)

HMU的主要功能是將電信號(hào)控制轉(zhuǎn)化為液壓作動(dòng)，HMU分為兩個(gè)子系統(tǒng)，一個(gè)是燃油計(jì)量系統(tǒng)，一個(gè)是伺服機(jī)構(gòu)；燃油計(jì)量系統(tǒng)主要包括：FMV、FMV解算器、FMV馬達(dá)、旁通活門、壓差活門、增壓和關(guān)斷活門等；伺服機(jī)構(gòu)主要包括：力矩馬達(dá)、VSV、VBV、燃燒分級(jí)活門（BSV電磁活門）、瞬態(tài)引氣活門（TBV）、高壓渦輪間隙控制活門（HPTCC）、低壓渦輪間隙控制活門（LPTCC）、超限保護(hù)裝置等。

2.3 傳感器

航空發(fā)動(dòng)機(jī)狀態(tài)傳感器一般分為壓力傳感器、溫度傳感器、速度傳感器、振動(dòng)傳感器四類。常見(jiàn)的壓力傳感器為石英電容壓力傳感器，石英器件的振動(dòng)頻率將隨著氣壓產(chǎn)生的應(yīng)力的變化而變化，從而計(jì)算出壓力值。溫度傳感器通常包括熱電阻與熱電偶兩種類型：熱電阻傳感器是利用其電阻值隨物體溫度變化而變化的特征來(lái)測(cè)量溫度的；熱電偶傳感器利用熱電勢(shì)原理進(jìn)行溫度測(cè)量。速度傳感器用于檢測(cè)發(fā)動(dòng)機(jī)的轉(zhuǎn)速，利用曲軸位置傳感器來(lái)檢測(cè)發(fā)動(dòng)機(jī)的轉(zhuǎn)速并向ECU輸出轉(zhuǎn)速信號(hào)。振動(dòng)傳感器安裝在發(fā)動(dòng)機(jī)振動(dòng)監(jiān)控組件內(nèi)，通常包括兩個(gè)加速度計(jì)，用于感知并測(cè)量垂直位移。

3 發(fā)動(dòng)機(jī)推力控制功能喪失分析

LOTC在航空發(fā)動(dòng)機(jī)控制系統(tǒng)安全評(píng)估過(guò)程中是一種最主要頂層失效狀態(tài)，這里以發(fā)動(dòng)機(jī)LOTC事件為頂事件，通過(guò)構(gòu)建相應(yīng)的系統(tǒng)故障樹，研究分析某型航空發(fā)動(dòng)機(jī)電子控制系統(tǒng)設(shè)計(jì)方案是否滿足規(guī)定安全性要求。

3.1 故障樹構(gòu)建

航空發(fā)動(dòng)機(jī)的控制與調(diào)節(jié)功能主要由FMV來(lái)完成，其通過(guò)ECU由力矩馬達(dá)控制，并借助解析儀將FMV位置信號(hào)反饋給ECU。因此FMV本身故障、FMV力矩馬達(dá)故障以及ECU控制邏輯輸出信號(hào)喪失都可能導(dǎo)致LOTC事件，ECU控制邏輯輸出信號(hào)喪失又分為兩種信號(hào)喪失情況。如圖2給出了某型航空發(fā)動(dòng)機(jī)以LOTC事件為頂事件的故障樹，表1給出了故障樹底事件及對(duì)應(yīng)的故障率。

表1：故障樹底事件及底事件故障率（故障率單位：1/h）

表2：故障樹最小割集

3.2 最小割集及頂事件發(fā)生概率計(jì)算

最小割集是導(dǎo)致故障樹頂事件發(fā)生的不能再減少的底事件的集合，對(duì)所構(gòu)建的故障樹求解，求得導(dǎo)致LOTC事件的所有最小割集如表2所示。

根據(jù)上述圖2，表1、表2，求解頂事件LOTC發(fā)生概率7.59E-6/小時(shí)，可以看出，LOTC事件發(fā)生概率低于航空發(fā)動(dòng)機(jī)電子控制系統(tǒng)安全性要求的1/105發(fā)動(dòng)機(jī)工作小時(shí)，表明了該系統(tǒng)設(shè)計(jì)方案能夠滿足規(guī)定的安全性要求。分析中，F(xiàn)MV卡滯、FMV電磁線圈不工作等是導(dǎo)致LOTC事件中的單點(diǎn)故障，建議在航空發(fā)動(dòng)機(jī)電子控制系統(tǒng)使用中應(yīng)定期對(duì)該類部件進(jìn)行檢查，以減少單點(diǎn)故障事件發(fā)生。

4 結(jié)論

LOTC是航空發(fā)動(dòng)機(jī)最主要的頂層失效狀態(tài)，其事件的發(fā)生會(huì)對(duì)飛機(jī)安全造成嚴(yán)重后果。本文基于故障樹分析方法對(duì)某型航空發(fā)動(dòng)機(jī)電子控制系統(tǒng)開展了安全性分析，介紹了系統(tǒng)主要組成，利用CARMES軟件工具繪制了以LOTC事件為頂事件的故障樹，分析并揭示了LOTC事件產(chǎn)生原因，發(fā)生概率，從定性和定量分析兩個(gè)方面驗(yàn)證了發(fā)動(dòng)機(jī)電子控制系統(tǒng)滿足規(guī)定的安全性要求。