民用飛機燃油箱系統點火源防護分析方法研究

田玉雯 張 斌 郭軍亮

(上海飛機設計研究院，上海 201210)

0 引言

FAA 25部中關于民用飛機燃油箱點燃防護的規章要求起源于1967年，最初的點火源防護中僅包括燃油箱最高溫度的要求，后續隨著102號修正案的頒布，增加了考慮各種失效情況下不能產生點火源的要求，并建立關鍵設計構型控制限制[1]。2018年，FAA發布了146號修正案[2]，進一步明確了閃電類點火源的防護設計和分析方法等。一系列修正案的發布逐步完善了民用飛機點火源防護的分析思路，由于國內在民用飛機燃油箱系統點火源防護的經驗上較為缺乏，為了對點火源防護的分析思路進一步明確，本文通過參考FAR 25.981條款和FAA咨詢通告，總結歸納出了民用飛機燃油箱系統點火源防護的分析思路。

1 點火源防護設計通用要求

燃油箱系統內的點火源主要有五種表現形式，分別為電弧電火花、細絲加熱電流、摩擦火花、高溫表面引燃或自燃、靜電。具體各個點火源類型的定義可參考AC25.981-1D[3]。

針對五種類型的點火源，能量限制要求包括：

1) 高溫表面點火源。位于燃油箱系統內的每個部件，在正常工作、失效或故障(可能提高油箱內部溫度)情況下，都不應導致燃油箱內或壁板上的溫度超過400 °F(204 ℃)；

2) 電弧電火花點火源。燃油箱內系統或部件(如燃油測量系統)在正常情況下進入油箱的能量不應超過50 μJ，系統或部件失效情況下進入油箱的能量不能超過200 μJ，或因電磁環境影響(如閃電)導致燃油箱內產生的電弧或者電火花，產生瞬間能量不應超過200 μJ；

3) 細絲加熱點火源。正常情況下燃油測量系統進入油箱的穩態電流不應超過25 mA RMS，失效情況下電流不應超過50 mA RMS，閃電引起的瞬間峰值電流不應超過125 mA。

針對五種類型的點火源，如果無法滿足以上能量限制時，需要增加防護設計，對于防護設計架構的要求如下：

1) 不允許單點失效，至少有兩重獨立的冗余防護設計特征；

2) 如果采用了兩重防護且其中包含了潛在失效，該潛在失效的概率應小于10-7；

3)所有防護設計特征的組合失效概率應小于10-9。

針對燃油箱系統點火源防護要求，提出了一些具體的設計指南，如為了避免燃油系統靜電，應限制加油時的燃油流速[4]，同時在燃油箱系統中線纜的布置應進行有效隔離[5]。

2 點火源防護分析

2.1 分析假設

1)燃油箱可燃性

由于預測燃油箱比較困難，所以在進行點火源分析時假設燃油箱內的環境總是可燃的。

2)失效等級

除非設計特征能明顯減小由燃油箱點火引起的危害后果，例如聚氨酯泡沫或足夠的結構強度等，一般分析假設點火源的存在是災難級失效等級。

3)失效情況

在進行點火源分析時不考慮非包容性轉子碎片、發動機外部著火、爆炸物質引起的破壞、墜機后失火、通過燃油通氣系統火蔓延進入油箱等失效情況。

2.2 分析過程

適航條款25.981(a)(1)定義了燃油箱的最高溫度，25.981(a)(2)要求燃油箱中任何一處的溫度，在正常、失效和故障的條件下都不能超過25.981(a)(1)中定義的最高溫度。

為了表明對25.981(a)(3)條款要求的符合性，應對燃油箱系統潛在點火源進行安全性評估，以證實點火源不會出現在燃油箱中，燃油箱系統點火源安全性評估分析思路如圖1所示。

主要工作包含：

1)按點火源的類型，識別出所有可能產生潛在點火源的失效模式，如線纜磨損、燃油泵干轉、緊固件斷裂等；

2)判斷防護設計特征是否可僅通過定性安全評估表明符合性。針對固有安全設計或其他能證明在任何預期失效事件下都不會破壞其防護設計特征，可僅通過定性分析表明對條款的符合性。若驗證不通過，需進一步開展安全性定量分析工作；

3)判斷防護特征是容錯設計還是非容錯設計。針對非容錯設計(僅針對燃油箱結構閃電類點火源)，依據AC25.954-1可通過定性或定量分析來表明符合性，如不能證明，需糾正改進或增加額外防護；

4)針對容錯設計，如果是閃電類點火源，可直接通過證明其有效和可靠來表明符合性。如果不是閃電類點火源，將開展進一步定量分析。所有防護設計組合失效概率須小于10-9，如果采用兩重防護且包含潛在失效，其任一潛在失效概率須小于10-7；

5)對于每重防護設計都需要進行有效性驗證(在其他防護特征失效情況下驗證)，典型驗證方法可參考RTCA DO-160G[6]和MIL-STD-810[7]；

在改編中，引子、A段、B段基本保持了原曲風貌，伴奏則采用了不和諧的小二度音程，以模仿鑼鼓的效果，渲染節日的熱鬧氣氛。

6)針對點火源防護特征，為保證其持續有效，應作為關鍵設計構型控制限制(Critical Design Configuration Control Limitation,簡稱CDCCL)項進行持續管理。

3 點火源防護分析說明

3.1 失效模式梳理

基于燃油箱系統的設計，對所有可能產生點火源的設計特征進行失效模式的梳理，以支持后續逐條開展安全性分析工作。例如，對于燃油系統燃油泵，常見的失效模式包括碎屑進入泵內部產生摩擦火花、泵在空油箱中長時間干轉產生高溫表面、泵組件與結構搭接失效產生電弧電火花等多種失效情況，表1依據點火源類型舉例梳理了部分燃油泵的失效模式，具體燃油泵的安全性分析可參考SAE ARP 6385[8]。

表1 燃油泵部分失效模式梳理

圖1 燃油箱系統點火源分析思路圖

3.2 固有安全設計

固有安全設計的判斷是對梳理出的失效模式清單逐一進行判斷及分析。如果在正常操作條件下以及可預期發生的失效條件下，不會釋放足夠點燃油氣的電能或熱能，可判斷其為固有安全設計。在燃油箱系統中固有安全設計的舉例如下：

1)具有足夠厚度的高導電性燃油箱結構，確保閃電附著到表面也不至于引起熱點或油箱內的點火源；

2)燃油指示系統線路在采用瞬態抑制/能力限制裝置后，使其進入油箱后的能量小于能產生點火源能量值。

3.3 定量分析

定量分析可以用來表明點火源防護設計特征的失效概率滿足對應要求或者表明在各種情況下點火源發生概率小于10-9，定量分析應基于SAE ARP 4761《民用飛機機載系統和設備安全性評估過程的指南和方法》中的安全性評估分析方法[9]。圖2給出了定量分析的簡要示意，分析需證明相互獨立的防護特征A、B和C同時失效時，導致頂事件產生點火源事件發生的概率應小于10-9。

圖2 定量分析示意圖

3.4 閃電類點火源分析

針對由閃電引起的點火源而采用的防護特征，通常分為容錯類閃電點火源防護(兩重及以上防護特征)和非容錯類閃電點火源防護(一重防護特征)。

對于非容錯類閃電點火源防護，首先應盡量避免非容錯的點火源防護設計，如的確不可行(如燃油箱部分區域結構件的疲勞開裂和緊固件承受高強度拉伸而斷裂的失效模式，無法采用容錯的閃電防護設計特征)，才可通過非容錯點火源防護分析方法進行符合性分析。針對該類點火源防護分析，可通過定性分析或定量分析來開展符合性分析工作。如果防護方法可靠，潛在失效模式較少，用于確定失效率的可參考服役數據有限，建議采用定性評估。如果已有各種失效概率，并且數值評估合理準確，建議采用定量評估。非容錯類閃電點火源防護的定性或定量分析的要求可參考AC25.954-1[10]。

3.5 持續適航考慮

根據25.981(d)的要求，必須建立必要的關鍵設計構型控制限制、檢查或其他程序，以保證點火源防護特征的完整性。對所有與點火源相關的關鍵防護特征必須進行定期檢查維護，保證點火源防護特征的不退化和不降級。同時，這些CDCCL項、檢查和程序必須納入持續適航文件的適航限制部分。通常，燃油箱系統CDCCL項應根據各個型號飛機的情況開展相應的梳理和分析。表2中列舉了部分燃油箱系統典型的CDCCL項。

表2 典型的燃油箱CDCCL項

4 結論

通過參考FAR 25.981條款和FAA咨詢通告，總結歸納出了民用飛機燃油箱系統點火源防護的分析思路，主要有：

1) 基于燃油箱系統的設計，應梳理出所有可能產生點火源的失效模式，再逐一進行安全性分析；

2)如果能證明在任何預期失效或事件下都不會產生點火源，可通過安全性定性分析表明對條款的符合性，否則需進一步開展安全性定量分析工作表明符合性；

3)針對閃電引起的點火源，須明確容錯類設計或非容錯類設計。若為容錯類設計，可僅驗證可靠并有效即可，若為非容錯類設計，需根據相應情況開展定性或定量分析；

4)對所有與點火源相關的關鍵防護特征需建立必要的關鍵設計構型控制限制、檢查或其他程序，以保證點火源防護特征的完整性。