航空發(fā)動機(jī)FADEC閃電防護(hù)部件檢查間隔分析

陳君偉

（中國航發(fā)控制系統(tǒng)研究所，江蘇無錫 214063）

0 引言

受電子技術(shù)飛速發(fā)展的影響，從20 世紀(jì)40 年代渦輪發(fā)動機(jī)誕生以來，簡單的液壓機(jī)械式控制逐漸被電子發(fā)動機(jī)控制取代，發(fā)動機(jī)控制已經(jīng)發(fā)展為能夠?qū)崿F(xiàn)全部控制功能的全權(quán)限數(shù)字電子控制（Full Authority Digital Engine Control，F(xiàn)ADEC）系統(tǒng)，并且正在向主動式、智能化的方向發(fā)展[1-3]?，F(xiàn)今市場占有率較高的商業(yè)運輸機(jī)發(fā)動機(jī)（如CFM56系列和LEAP 系列發(fā)動機(jī)）在控制架構(gòu)上均使用了FADEC 系統(tǒng)。與簡單的液壓機(jī)械式控制相比，F(xiàn)ADEC 系統(tǒng)最大的特點是采用了大量的電子/電氣部件作為核心部件[4]，在提高發(fā)動機(jī)控制穩(wěn)定性、控制精度、降低發(fā)動機(jī)質(zhì)量等方面起到了關(guān)鍵作用，但同時也成為了閃電攻擊的主要對象。各項統(tǒng)計數(shù)據(jù)表明，閃電平均每天發(fā)生約800 萬次，飛機(jī)每飛行3000 h，便可能遭受一次雷擊，其中發(fā)動機(jī)遭受雷擊的比例約為9%，并且在所有飛行不安全事件中，由于雷擊原因?qū)е碌氖录s占總數(shù)的9%[5]。航空發(fā)動機(jī)系統(tǒng)是飛機(jī)上的關(guān)鍵系統(tǒng)之一，如果在飛行中出現(xiàn)難以恢復(fù)的故障，如空中停車等，雙發(fā)停車一般被認(rèn)為會產(chǎn)生災(zāi)難性后果。無論飛機(jī)還是旋翼機(jī)，其發(fā)動機(jī)的位置一般被當(dāng)作抗閃電環(huán)境最為嚴(yán)苛的1 區(qū)，是對閃電防護(hù)要求最高的區(qū)域。而FADEC 作為飛行安全關(guān)鍵部件，主要適航當(dāng)局均要求其能承受飛機(jī)受到的嚴(yán)酷雷擊的影響，并在適航規(guī)章中提出了最低要求[6-8]。當(dāng)前主流FADEC中都具有防雷模塊/電路，用以抑制閃電環(huán)境下的瞬時電應(yīng)力過載影響，若這些防雷部件的功能失效，將使FADEC部分或全部控制功能處于無保護(hù)狀態(tài)。民用航空已有的事件研究和事故調(diào)查記錄表明，F(xiàn)ADEC 在閃電防護(hù)功能不足時遭遇閃電，確實會導(dǎo)致推力控制喪失[9]。防雷功能失效并不影響FADEC 的正?？刂乒δ?，一般很難實施在線檢測，所以對FADEC 的防雷部件進(jìn)行適當(dāng)?shù)臋z查和維護(hù)以保持其處于可用狀態(tài)也是非常重要的。

針對雷擊、閃電防護(hù)與維護(hù)，國外一些工業(yè)標(biāo)準(zhǔn)[10]主要從飛機(jī)整機(jī)角度給出了防雷部件檢修指導(dǎo)，對于FADEC 防雷部件的維修只在操作層面上有少量指導(dǎo)。而國內(nèi)學(xué)者如郝新德等[11]、鄭陽等[12]的研究，大多是從飛機(jī)遭受雷擊后如何修復(fù)損傷的角度開展；近年孔祥明等[13]關(guān)于FADEC 閃電防護(hù)的研究也主要聚焦于試驗驗證技術(shù)，而關(guān)于防雷部件維護(hù)的方法和間隔的研究幾乎是空白。

本文討論了FADEC 內(nèi)部防雷部件檢查間隔的分析方法，為合理制定防雷部件檢查計劃以保持其處于適航狀態(tài)提供指導(dǎo)。

1 分析假設(shè)及思路

經(jīng)驗表明，閃電環(huán)境的間接效應(yīng)主要影響FADEC 電子電氣部件，為便于分析，典型雙通道FADEC 構(gòu)型的簡化模型如圖1 所示。從圖中可見，F(xiàn)ADEC具有2個完全相同的電子通道，每個通道具有各自的防雷部件。

圖1 雙通道FADEC簡化模型

在該模型中，每個通道與推力控制喪失（Loss of Thrust Control，LOTC）相關(guān)的控制部件發(fā)生的故障均被認(rèn)為是可檢測故障，其總的失效率為r；用于保護(hù)控制部件的防雷部件，其功能失效被認(rèn)為是不可檢測故障，其總的失效率為ru。

此外，對分析對象做如下假設(shè)：

（1）FADEC 具備限時派遣（Time Limited Dispatch，TLD）運行的能力，即在維修有故障的單元之前，允許飛行一定的運行時數(shù)；

（2）根據(jù)現(xiàn)役FADEC 經(jīng)驗，本文分析的FADEC僅針對2 種典型構(gòu)型：2 個通道處于1 個航線可更換單元（Line Replaceable Unit，LRU）中或是2 個通道獨立成2個LRU；

（3）在防雷部件失效的情況下，如果遭遇閃電，被保護(hù)的FADEC 單元一定會損壞，這個假設(shè)相對于實際情況是最嚴(yán)酷的。

如前所述，防雷部件故障后在閃電環(huán)境下，能夠?qū)е翭ADEC的LOTC事件，所以本文利用限時派遣分析方法，建立包含F(xiàn)ADEC 防雷部件失效的雙狀態(tài)馬爾可夫模型，分析FADEC 在各種狀態(tài)下的完整性水平，建立FADEC的平均LOTC率與防雷部件的檢查間隔相互關(guān)系，進(jìn)而確定FADEC 在滿足平均完整性要求（LOTC 事件發(fā)生率小于1×10-5h/次）的前提下防雷部件的檢查間隔[14-15]。

2 防雷部件檢查間隔分析

2.1 集成LRU構(gòu)型分析推導(dǎo)

FADEC（如CFM56 系列發(fā)動機(jī)數(shù)字電子控制器）的2 個通道集成在1 個LRU 中。在不考慮單獨制定防雷部件單獨檢查計劃的情況下，如果任一通道中發(fā)生可檢測故障，2 個通道中的防雷部件的失效都可以被發(fā)現(xiàn)并被修復(fù)，對其建立的雙狀態(tài)馬爾可夫模型如圖2所示。

圖2 集成LRU的馬爾可夫模型

圖中：全勤狀態(tài)的PFU為FADEC 中不含有相關(guān)失效的全勤狀態(tài)(或者說初始狀態(tài))的概率；P1對應(yīng)2 個通道中任一防雷部件有不可檢測失效狀態(tài)1 的概率；P2為2 個通道中任一電子控制部分有可檢測失效狀態(tài)2 的概率；P3為2 個通道防雷部件均有失效狀態(tài)3的概率；P4為1 個通道有可檢測失效且另1 通道防雷部件有失效狀態(tài)4 的概率；PLOTC為雙通道均失效導(dǎo)致LOTC 狀態(tài)的概率；λfail-lotc為從1 個通道有可檢測失效的狀態(tài)到雙通道均有失效導(dǎo)致LOTC 狀態(tài)的轉(zhuǎn)換率，該轉(zhuǎn)換率也就是在TLD 計算過程中某個失效狀態(tài)下的瞬時LOTC 率；μ為有可檢測失效的修復(fù)率，其值為1/TREPAIR，由于雙通道FADEC 具有限時派遣能力，所以在單通道出現(xiàn)失效后，一般不立即修復(fù)，而是帶故障運行一定的時間TREPAIR；μfb為FADEC 從LOTC 狀態(tài)恢復(fù)到初始狀態(tài)的修復(fù)率，由于FADEC在LOTC狀態(tài)是不允許派遣的，所以需要立即修復(fù)，因此μfb=1；σ為雷擊的發(fā)生率，如果在設(shè)備的防雷部件中有不可檢測失效時遭遇雷擊，則足以使被保護(hù)的電子部件失效。

從圖2 中可見，從初始狀態(tài)到狀態(tài)1 或狀態(tài)2，因為任一防雷部件或電子部件都有可能失效，所以轉(zhuǎn)換率分別是2ru或2r；從狀態(tài)1 到狀態(tài)2，1 個通道防雷部件已失效，在遭遇雷擊后，該通道部件失效，或者是本通道部件自身隨機(jī)失效，所以狀態(tài)轉(zhuǎn)換率是σ+r；因為假定在防雷部件失效情況下，遭遇雷擊必然使被保護(hù)電子部件失效，所以在狀態(tài)3 遭遇雷擊后，雙通道控制都會失效而轉(zhuǎn)入LOTC 狀態(tài)；狀態(tài)4 是1 個通道有電子失效且另1 個通道有防雷部件失效，所以當(dāng)遭遇雷擊時，防雷部件失效的通道電子控制會失效即雙通道都失效，或者未遭遇雷擊但由于健康通道部分失效與已失效通道的組合失效導(dǎo)致LOTC，所以狀態(tài)4到LOTC的轉(zhuǎn)換率為σ+λfail-lotc。

僅防雷部件失效被認(rèn)為是隱蔽故障，在航線上不可檢測，所以從狀態(tài)1、3不會回到全勤狀態(tài)，只有當(dāng)1個通道電子失效或2 個通道均失效時，在修復(fù)電子部件故障時才順便檢查防雷部件失效并修復(fù)，因此只有狀態(tài)2、4 和LOTC 狀態(tài)具有反饋環(huán)，即FADEC 從1 個通道具有防雷部件失效修復(fù)到全勤狀態(tài)有2 種方式：（1）在LRU 中有可檢測電子失效，在特定時間內(nèi)被更換修復(fù)；（2）雷擊強(qiáng)度足以引起設(shè)備故障，從而導(dǎo)致其在特定派遣時間內(nèi)被修復(fù)或進(jìn)入LOTC 狀態(tài)而立即被更換修復(fù)。

為求解穩(wěn)態(tài)馬爾可夫模型，根據(jù)流入狀態(tài)的概率等于留出狀態(tài)的概率，建立各狀態(tài)方程，F(xiàn)ADEC 在各狀態(tài)的概率之和為1，即

當(dāng)部件失效率、雷擊發(fā)生率已知時，λLOTC即為故障修復(fù)率μ或修復(fù)間隔TREPAIR的函數(shù)。

2.2 獨立LRU構(gòu)型分析推導(dǎo)

2 個通道分別在2 個獨立LRU 中的構(gòu)型，如現(xiàn)役的Leap-1C 發(fā)動機(jī)數(shù)字電子控制器。對其建立的馬爾可夫模型如圖3所示。

圖3 獨立LRU的馬爾可夫模型

圖3 與圖2 最大的差別在于狀態(tài)4 經(jīng)過修復(fù)后回到狀態(tài)1，而不是初始狀態(tài)，即如果1個通道有防雷部件的不可檢測失效，而另1 個通道有電子部件可檢測失效，當(dāng)修復(fù)電子部件可檢測失效時，并不能發(fā)現(xiàn)和修復(fù)另1 個通道防雷部件失效，直至失效的防雷部件所在通道有電子部件可檢測故障需要修復(fù)時，才會被發(fā)現(xiàn)并修復(fù)。簡言之即2個通道的修復(fù)互不相干。

因此，獨立LRU 構(gòu)型與單個LRU 構(gòu)型在求解馬爾可夫模型時，唯一不同的只有狀態(tài)1的方程

2.3 對比基準(zhǔn)的建立

為了便于展示防雷部件失效及修復(fù)/檢查間隔對FADEC 的影響，還應(yīng)該建立一個對比基準(zhǔn)，即在不考慮防雷部件失效對FADEC 的影響時FADEC 的平均LOTC 率，該參數(shù)可以從常規(guī)限時派遣分析獲得。不考慮防雷部件失效的FADEC 單故障馬爾可夫模型如圖4所示。

從圖中可見，由于剔除了防雷部件的失效狀態(tài)，所以圖2 中的4 個中間狀態(tài)僅留下了狀態(tài)2。經(jīng)推導(dǎo)，F(xiàn)ADEC的LOTC率為

從圖4 中還可見，在不考慮防雷部件失效影響時，F(xiàn)ADEC 的LOTC 率與集成LRU 或獨立LRU 構(gòu)型無關(guān)。

2.4 分析示例

以某型發(fā)動機(jī)FADEC 失效數(shù)據(jù)和TLD 分析結(jié)果為例，其單個通道可檢測故障的總失效率為r=5×10-5h-1，單個通道雷擊部件不可檢測故障的失效率為ru=5×10-7h-1。當(dāng)1 個通道帶有可檢測故障的瞬時平均LOTC 率λfail-lotc=3.4×10-5h-1，可檢測故障的修復(fù)率設(shè)為μ=1/TREPAIR，TREPAIR=125、250、500、1000 h，F(xiàn)ADEC 遭遇閃電的頻率設(shè)為σ=1/2500、1/7500、1/12500、1/17500、1/22500、1/27500、1/32500、1/37500 h-1。

基于以上數(shù)據(jù)，F(xiàn)ADEC 的LOTC 率可以看作是修復(fù)時間和雷擊頻率的雙變量函數(shù)。以集成LRU 構(gòu)型為例，在考慮防雷部件失效影響和不考慮防雷部件失效影響時，其FADEC的LOTC率計算結(jié)果見表1。

由此計算并繪制不同修復(fù)/檢查間隔條件下FADEC 的LOTC 率與平均雷擊間隔時間曲線，如圖5所示。

從表1 和圖5 中可見，考慮和不考慮防雷部件失效影響的LOTC 率點線圖幾乎是重合的，隨著雷擊頻率的提高，LOTC率會略微提高。同時，修復(fù)時間的延長會放大防雷部件失效的影響，當(dāng)平均雷擊間隔為2500 h、修復(fù)間隔為1000 h時，LOTC率提高2%。

選取雷擊間隔固定為2500 h（頻率遠(yuǎn)高于發(fā)動機(jī)遭遇雷擊的頻率，相當(dāng)保守），得到FADEC的LOTC率隨檢查/修復(fù)間隔的變化曲線，如圖6所示。從圖中可見，在獨立LRU構(gòu)型下，防雷部件失效對FADEC的影響小于1%，可以忽略不計。

圖6 FADEC的LOTC率隨檢查/修復(fù)間隔的變化曲線

以上數(shù)據(jù)表明，在FADEC 修復(fù)可檢測故障時順帶檢查防雷部件的可用狀態(tài)，如果發(fā)現(xiàn)其失效即一并修復(fù)的方案是合理可行的。

但同時應(yīng)該注意到，在上述案例中，防雷部件的失效率本身很低，只有FADEC 可檢測部件失效率的百分之一。假若防雷部件失效率較高，例如提高10倍，以集成LRU 構(gòu)型為對象進(jìn)行分析的結(jié)果如圖7所示。從圖中可見，防雷部件高失效率對FADEC 的影響是顯而易見的，不過仍然沒有超出1×10-5h-1的要求，但這是沒有考慮FADEC 系統(tǒng)機(jī)械液壓部件失效和未覆蓋故障的計算結(jié)果，在同時考慮這些因素時，可能使得FADEC 系統(tǒng)超出平均完整性要求，這時就需要考慮為防雷部件增加額外的檢查計劃。

圖7 ru較大時集成LRU構(gòu)型的FADEC的LOTC率

2.5 制定防雷部件額外檢查計劃分析

因思路基本相同，且由上述分析可知防雷部件失效對集成LRU 構(gòu)型的FADEC 影響更大，所以此處僅以集成LRU構(gòu)型為例建立分析過程。

在對防雷部件制定單獨檢查計劃的情況下，集成LRU構(gòu)型的馬爾可夫模型如圖8所示。

圖8 集成LRU的馬爾可夫模型（有額外檢查計劃）

從圖中可見，與圖2 相比，在狀態(tài)1、3 上增加了2項反饋，如果FADEC 僅存在防雷部件失效，依然可以在規(guī)定的時間內(nèi)修復(fù)到初始狀態(tài)。因此，狀態(tài)方程的變化主要體現(xiàn)在：

狀態(tài)1方程

在圖7 使用數(shù)據(jù)的基礎(chǔ)上，取防雷結(jié)構(gòu)檢查間隔分別為500、1000、2000、4000 h，對于不可檢測故障，一般假定故障發(fā)生在2 次檢查任務(wù)中間，所以防雷部件的修復(fù)率μ2=1/250、1/500、1/1000、1/2000。以此數(shù)據(jù)繪制FADEC的LOTC率曲線，如圖9所示。

圖9 防雷部件有獨立檢查計劃的FADEC的LOTC率曲線

從圖中可見，通過制定防雷部件的獨立檢查計劃，使防雷部件失效和雷擊對FADEC的LOTC影響明顯減小，有助于保持FADEC 的適航狀態(tài)。但太過頻繁的定時檢查不利于產(chǎn)品的經(jīng)濟(jì)性，會降低產(chǎn)品的市場競爭力，需要進(jìn)行與經(jīng)濟(jì)性相關(guān)的綜合權(quán)衡。

上述分析可為確定防雷部件檢查間隔合理性提供參考，在制定發(fā)動機(jī)持續(xù)適航文件時，可以利用上述分析方法確定在FADEC 滿足平均完整性水平下的防雷部件的最大檢查間隔。

3 結(jié)論

（1）在當(dāng)代發(fā)動機(jī)控制系統(tǒng)中，防雷部件失效和雷擊頻率對FADEC 平均完整性水平的影響是顯而易見的，且防雷部件的影響與FADEC 構(gòu)型相關(guān)，在雙通道集成LRU 和獨立LRU 構(gòu)型中，防雷部件失效影響略有不同，集成LRU構(gòu)型的相對偏高。

（2）限時派遣分析方法可以用于確定防雷部件檢查間隔的合理性，并應(yīng)在發(fā)動機(jī)維護(hù)手冊中給出防雷部件檢查間隔的建議。

（3）在防雷部件失效率足夠低的情況下（低于被保護(hù)部件的百分之一），防雷部件的檢修可以安排在修復(fù)FADEC 可檢測故障時進(jìn)行；當(dāng)防雷部件失效率相當(dāng)高時，需要根據(jù)分析制定專門的檢修計劃以保持FADEC的持續(xù)適航性。