民用飛機ETOPS重要系統適航審定研究

王穩江，李新

（1.上海飛機設計研究院飛機架構集成工程技術所，上海 201210）

（2.中國民用航空上海航空器適航審定中心 動力裝置室，上海 200335）

0 引言

延程運行（Extended Operations，簡稱ETOPS）是指在飛機計劃運行的航路上至少存在一點，到任一延程運行可選備降機場的距離超過飛機在標準條件下靜止大氣中以經批準的一臺發動機不工作時的巡航速度飛行60 min對應的飛行距離（以兩臺渦輪發動機為動力的飛機），或超過180 min對應的飛行距離（以多于兩臺渦輪發動機為動力的載客飛機）的運行。

ETOPS被廣泛應用于民用航空大型客機的洲際航線，尤其是跨洋飛行。民用飛機進行ETOPS航線運行需同時具備兩個條件：

（1）飛機—發動機組合獲得適航當局的ETOPS型號設計批準；

（2）運營機構（航空公司）獲得適航當局的ETOPS運行批準。

飛機—發動機組合獲得ETOPS型號設計批準是先決條件。波音和空客對于ETOPS型號設計（審定）都非常成熟，其現役的大型客機基本都具備ETOPS資質認證。由于國內民用大型客機研發起步晚，加上國外的技術封鎖，我國自主研制大型客機的ETOPS型號設計和取證仍是空白。盡管國內的航空公司具備多年的ETOPS航線運行經驗（南方航空公司早在1997年成為亞洲首家運行120 min ETOPS的航空公司），但是，國內對于民用飛機ETOPS型號設計和審定的研究卻是近些年在國產大型客機項目的牽引作用下才逐漸發展的。王穩江等對ETOPS型號設計進行探索研究；李昊燃等研究了發動機的ETOPS型號設計和符合性驗證方法；談琳娓等研究了ETOPS試飛驗證技術。然而，上述研究對于ETOPS重要系統的適航審定，仍然缺乏系統性的理論研究和方法指導。

ETOPS型號設計批準過程中一項重要工作就 是ETOPS重 要 系 統 適 航 審 定。ETOPS重要系統，對于民用飛機制造商而言，是民用飛機ETOPS型號設計與取證過程中主要的設計與驗證對象；對于民用飛機運營商而言，是民用飛機ETOPS運營過程中的主要監控和維護對象。由此可見，ETOPS重要系統的適航審定，貫穿民用飛機主制造商的研制和運營商的運營過程，無論對于制造商的ETOPS型號設計批準，還是運營商的ETOPS運行都至關重要。目前，國內對于ETOPS重要系統適航審定的理論研究和方法指導鮮有研究。我國自主研制大型客機ETOPS型號設計批準處于起步階段，扎實做好ETOPS重要系統相關的設計和驗證工作，能夠為國產大型客機的ETOPS型號設計批準和將來的ETOPS運行批準打下堅實基礎。

本文主要針對ETOPS重要系統適航審定開展研究，分析ETOPS重要系統相關適航條款要求，提出ETOPS重要系統的確定方法和驗證方法，以期為我國自主研制大型客機的ETOPS型號設計審查人員和設計人員提供指導。

1 ETOPS重要系統概述

1.1 ETOPS發展現狀

自1984年FAA首 次 提 出ETOPS概 念以來，世界民用航空運輸業得到了飛速發展，大規模的ETOPS航線得以開辟（1984年ETOPS航線如圖1所示，2018年ETOPS航線如圖2所示），雙發飛機也被大量用于跨洋飛行。波音和空客現役的雙發飛機型號基本都具備180 min及以上的ETOPS能力（如表1所示）。

圖1 ETOPS航線（1984年）［12］Fig.1 ETOPS flights in 1984［12］

圖2 ETOPS航線（2018年）［12］Fig.2 ETOPS flights in 2018［12］

表1 波音和空客雙發機型的ETOPS能力Table 1 Boeing and Airbus twin-engine aircraft ETOPS capability

1.2 ETOPS重要系統

在“ETOPS Significant System”（ETOPS重要系統）這個概念被正式提出之前，FAA在咨詢通告AC120-42A中曾用“critical”“primary”和“essential”搭配“ETOPS Systems”作為術語，但并未給出明確定義。

“ETOPS Significant System”（ETOPS重要系統，也譯作ETOPS關鍵系統）這一名詞，最早是由波音提出的，是對那些受ETOPS維護要求影響的飛機系統（包括動力裝置系統）的統稱。

ETOPS重要系統是指失效或者故障時可能對ETOPS飛行的安全，或者對在ETOPS改航過程中飛機的繼續安全飛行和著陸產生不利影響的飛機系統，包括推進系統。

1.3 ETOPS重要系統分類原則

根據AC120-42B/AMC20-6 rev.2/AC25.1535-1X（草案），ETOPS重要系統可以分為兩類。對于ETOPS重要系統分類原則，雖然AC和AMC在表述上略有差異，但本質上是一致的。鑒 于AMC20-6 rev.2中 對 于 組 類2的ETOPS重要系統的描述更為詳細，在民用飛機ETOPS型號設計和適航審定過程中建議依據AMC20-6 rev.2的分類原則開展工作。

ETOPS重要系統按以下原則分為組類1和組類2。

組類1系統包括與飛機發動機數量相關，并且對于飛機安全進行ETOPS飛行很重要的任何系統。

（1）失效—安全冗余特性與發動機數量直接相關的系統；

（2）對發動機正常功能的影響程度達到可能導致空中停車或非指令推力喪失的系統；

（3）對單發失效ETOPS改航的安全性至關重要，并且特意為因單發失效而喪失的系統提供冗余度的系統，包括備用系統；

（4）諸如防冰系統等，在單發高度延長運行所必需的系統。

組類2系統與飛機發動機數量無關，但是對飛機安全運行ETOPS飛行至關重要。

（1）某些失效狀態會降低飛機能力或機組處理ETOPS改航能力的系統；

（2）時間限制系統；

（3）系統失效會引起ETOPS改航過程中過多的機組工作負荷（比如在一次最大ETOPS改航中，令人疲乏不堪的飛行控制力，或要求持續燃油平衡以保持合適重心的系統失效）；

（4）為提高遠程運行和ETOPS改航安全性特意安裝的系統。

2 適航條款要求

CCAR-21-R4，CCAR-25-R4，CCAR-33-R2和CCAR-121-R7中 都 有ETOPS相 關的條款，涉及ETOPS型號設計批準的條款主要內容收錄在CCAR-25-R4附錄K中，其中提及ETOPS重要系統的條款有12項，如表2所示。

表2 ETOPS重要系統的條款要求Table 2 Airworthiness requirements of ETOPS significant systems

除表2所 列 的 條 款 外，K25.1.1和K25.1.6條款雖然沒有直接提到ETOPS重要系統，但是參考AC25.1535-1X的 解 讀，K25.1.1條 款 是ETOPS重要系統相應要求的來源和通用性條款；而K25.1.6條款所要求的《構型、維護和程序》（Configuration，Maintenance，and Procedures，以下簡稱CMP）文件中主要構型、運行和維護要求、硬件壽命、MMEL等都和ETOPS重要系統密切相關。

CCAR-25-R4對ETOPS重要系統的要求中，可以歸結為以下六個方面的審查要素。

（1）申請人應確定出候選飛機—發動機組合的ETOPS重要系統清單；

（2）型號設計階段的ETOPS重要系統驗證；

（3）試飛/服役階段的ETOPS重要系統驗證；

（4）申請人應確定時間限制的ETOPS重要系統的時間性能；

（5）ETOPS重要系統相關的構型、維護、程序等信息收錄在CMP文件中；

（6）模擬ETOPS重要系統失效的演示試飛。

3 ETOPS重要系統的確定方法

適航條款中除了對發動機有空中停車率（In-Flight Shut Down）有 明 確 閥 值 要 求 外，對 其 他ETOPS重要系統的設計指標并沒有明確的量化要求，因此在ETOPS型號設計過程中，申請人應從飛機型號設計的具體系統設計和架構出發，以安全性評估的定性分析過程為手段，同時需要考慮具體型號設計的ETOPS運行目標，如ETOPS最大飛行時間、最大ETOPS改航時間等，對全機各系統開展失效影響分析（Failure Effect Analysis），再依據 本文1.3節中列 出的ETOPS重要系統分類原則，從系統級到分系統級逐級進行篩選，將失效影響對應ETOPS重要系統分類原則的系統/分系統都列入ETOPS重要系統清單，然后再依據ETOPS重要系統分類原則進行分類，最終形成ETOPS重要系統清單，并與適航當局達成一致。

4 ETOPS重要系統的驗證方法

ETOPS重要系統驗證方法的過程分為兩個階段：設計驗證階段和試飛/服役驗證階段。

設計驗證階段的ETOPS重要系統驗證，主要是采用安全性評估的定量分析過程為手段，考慮平均ETOPS任務時間（綜合考慮飛機—發動機組合航程范圍內會如何使用，并分析潛在可用的航線結構和城市對而確定）和最大ETOPS改航時間，確認滿足飛機在ETOPS航線飛行過程以及ETOPS改航期間的安全飛行和著陸要求。具體來說，對于飛機系統，應表明符合CCAR25.1309的 要 求；對 于 推 進 系 統，則 應 表 明 符 合CCAR25.901（c）的要求。在設計驗證階段，如果出現個別系統/子系統/設備無法滿足ETOPS設計指標要求，那就需要進行必要的設計更改。此時的設計更改，應權衡考慮采用更為嚴格的維護/操作程序，或者增加限制，或者通過更換可靠性更高的系統/子系統/設備這三種方法中之一，如果能夠達到ETOPS設計指標要求，那就產生了ETOPS構型項，應納入到CMP文件中，驗證過程如圖3所示。

圖3 設計驗證階段ETOPS重要系統驗證流程示意Fig.3 Verification process of ETOPS significant system in design and verification phase

如果上述三種方法都無法滿足ETOPS設計指標要求，那就要考慮更改系統構架設計，比如增加系統冗余度等。

試飛/服役驗證階段的ETOPS重要系統驗證，對于服役經歷方法的ETOPS型號設計批準，采用候選飛機—發動機組合的ETOPS重要系統，在試飛/服役過程中可用的在役可靠性數據表明飛機系統的CCAR25.1309（b）條款的符合性，此時，候選飛機—發動機組合在試飛/服役驗證階段的ETOPS重要系統評估是CMP要求的主要來源；而對于早期ETOPS方法的ETOPS型號設計批準，可以采用“技術轉移分析”（Technical Transfer Analysis）的方法，將早期ETOPS機型和候選飛機—發動機組合的試飛/服役過程的在役可靠性數據應用于候選飛機—發動機組合的ETOPS重要系統評估中，相應地，CMP要求增加了另一個來源：附錄K25.2.2（h）條指定的問題跟蹤和解決系統下遇到和報告的問題的糾正措施。

在 附 錄K25.2.1（e）、K25.2.2（g）、K25.3.1（c）和K25.3.2（d）要求的演示試飛中，要對服役過程中可能發生的ETOPS重要系統失效和故障的情況進行模擬，并證明飛機的ETOPS改航能力。具體需要在演示試飛中模擬驗證哪些ETOPS重要系統失效和故障狀態，由審查方和申請人共同決定。

5 有時間限制的ETOPS重要系統的審定

有時間限制的ETOPS重要系統是一類比較特殊的ETOPS重要系統，所謂有時間限制，是指系統一旦開始工作，其功能/性能只能持續有限的時間。最典型的例子就是貨艙抑火系統，由于滅火瓶容量限制，滅火劑一旦開始釋放，其作用時間顯然是有時間限制的。

附錄K25.1.3（c）條款要求申請人確定每一個有時間限制的ETOPS重要系統的系統時間能力。附錄K25.1.7（d）要求AFM中列出最受時間限制的C級貨艙或行李艙火警抑制系統之外最受時間限制的ETOPS重要系統的系統時間能力，還要求AFM列出除C級貨艙或行李艙火警抑制系統之外最受時間限制的ETOPS重要系統的系統時間能力。由于這兩類ETOPS重要系統的時間能力在運行規章中確定ETOPS航線最長改航時間的方法不同，因而有必要在AFM中指定每一類ETOPS重要系統的時間能力。

針對不超過180 min的ETOPS和北太平洋區域內的不超過207 min的ETOPS，在標準條件下靜止大氣以經批準的一臺發動機失效巡航速度備降至計劃的ETOPS指定備降機場所需的時間，不能超過該飛機時間限制最嚴格的ETOPS重要系統（包括貨艙抑火系統）所規定的最長時間限制減去15 min。

針對超過180 min的ETOPS，對于貨艙抑火系統，在正常的全發巡航高度，修正了風和溫度的影響，以全發運行的巡航速度備降至計劃的ETOPS指定備降機場所需的時間，不能超過該飛機抑火系統的最大合格審定時限減去15 min；對于貨艙抑火系統之外的ETOPS重要系統，在正常的一臺發動機失效巡航高度上，修正了風和溫度的影響，以經批準的一臺發動機失效巡航速度備降至計劃的ETOPS指定備降機場所需的時間，不能超過該飛機ETOPS重要系統（不包括貨艙抑火系統）最大時限減去15 min。

6 結論

（1）ETOPS重要系統適航審定是ETOPS型號設計批準的重要環節，對于制造商的ETOPS型號設計批準，以及運營商的ETOPS運行都至關重要。

（2）本文所提出的ETOPS重要系統的確定方法和驗證方法，在國內大型民用客機項目工程實踐中得到了實踐檢驗，并取得了實質性進展。實踐證明，本文所提出的方法合理可行，并且能夠為大型民用客機的ETOPS型號設計與審定工作提供指導。