航空發(fā)動(dòng)機(jī)FADEC閃電防護(hù)部件檢查間隔分析

陳君偉

（中國航發(fā)控制系統(tǒng)研究所，江蘇無錫 214063）

0 引言

受電子技術(shù)飛速發(fā)展的影響，從20 世紀(jì)40 年代渦輪發(fā)動(dòng)機(jī)誕生以來，簡單的液壓機(jī)械式控制逐漸被電子發(fā)動(dòng)機(jī)控制取代，發(fā)動(dòng)機(jī)控制已經(jīng)發(fā)展為能夠?qū)崿F(xiàn)全部控制功能的全權(quán)限數(shù)字電子控制（Full Authority Digital Engine Control，F(xiàn)ADEC）系統(tǒng)，并且正在向主動(dòng)式、智能化的方向發(fā)展[1-3]。現(xiàn)今市場占有率較高的商業(yè)運(yùn)輸機(jī)發(fā)動(dòng)機(jī)（如CFM56系列和LEAP 系列發(fā)動(dòng)機(jī)）在控制架構(gòu)上均使用了FADEC 系統(tǒng)。與簡單的液壓機(jī)械式控制相比，F(xiàn)ADEC 系統(tǒng)最大的特點(diǎn)是采用了大量的電子/電氣部件作為核心部件[4]，在提高發(fā)動(dòng)機(jī)控制穩(wěn)定性、控制精度、降低發(fā)動(dòng)機(jī)質(zhì)量等方面起到了關(guān)鍵作用，但同時(shí)也成為了閃電攻擊的主要對象。各項(xiàng)統(tǒng)計(jì)數(shù)據(jù)表明，閃電平均每天發(fā)生約800 萬次，飛機(jī)每飛行3000 h，便可能遭受一次雷擊，其中發(fā)動(dòng)機(jī)遭受雷擊的比例約為9%，并且在所有飛行不安全事件中，由于雷擊原因?qū)е碌氖录s占總數(shù)的9%[5]。航空發(fā)動(dòng)機(jī)系統(tǒng)是飛機(jī)上的關(guān)鍵系統(tǒng)之一，如果在飛行中出現(xiàn)難以恢復(fù)的故障，如空中停車等，雙發(fā)停車一般被認(rèn)為會(huì)產(chǎn)生災(zāi)難性后果。無論飛機(jī)還是旋翼機(jī)，其發(fā)動(dòng)機(jī)的位置一般被當(dāng)作抗閃電環(huán)境最為嚴(yán)苛的1 區(qū)，是對閃電防護(hù)要求最高的區(qū)域。而FADEC 作為飛行安全關(guān)鍵部件，主要適航當(dāng)局均要求其能承受飛機(jī)受到的嚴(yán)酷雷擊的影響，并在適航規(guī)章中提出了最低要求[6-8]。當(dāng)前主流FADEC中都具有防雷模塊/電路，用以抑制閃電環(huán)境下的瞬時(shí)電應(yīng)力過載影響，若這些防雷部件的功能失效，將使FADEC部分或全部控制功能處于無保護(hù)狀態(tài)。民用航空已有的事件研究和事故調(diào)查記錄表明，F(xiàn)ADEC 在閃電防護(hù)功能不足時(shí)遭遇閃電，確實(shí)會(huì)導(dǎo)致推力控制喪失[9]。防雷功能失效并不影響FADEC 的正常控制功能，一般很難實(shí)施在線檢測，所以對FADEC 的防雷部件進(jìn)行適當(dāng)?shù)臋z查和維護(hù)以保持其處于可用狀態(tài)也是非常重要的。

針對雷擊、閃電防護(hù)與維護(hù)，國外一些工業(yè)標(biāo)準(zhǔn)[10]主要從飛機(jī)整機(jī)角度給出了防雷部件檢修指導(dǎo)，對于FADEC 防雷部件的維修只在操作層面上有少量指導(dǎo)。而國內(nèi)學(xué)者如郝新德等[11]、鄭陽等[12]的研究，大多是從飛機(jī)遭受雷擊后如何修復(fù)損傷的角度開展；近年孔祥明等[13]關(guān)于FADEC 閃電防護(hù)的研究也主要聚焦于試驗(yàn)驗(yàn)證技術(shù)，而關(guān)于防雷部件維護(hù)的方法和間隔的研究幾乎是空白。

本文討論了FADEC 內(nèi)部防雷部件檢查間隔的分析方法，為合理制定防雷部件檢查計(jì)劃以保持其處于適航狀態(tài)提供指導(dǎo)。

1 分析假設(shè)及思路

經(jīng)驗(yàn)表明，閃電環(huán)境的間接效應(yīng)主要影響FADEC 電子電氣部件，為便于分析，典型雙通道FADEC 構(gòu)型的簡化模型如圖1 所示。從圖中可見，F(xiàn)ADEC具有2個(gè)完全相同的電子通道，每個(gè)通道具有各自的防雷部件。

圖1 雙通道FADEC簡化模型

在該模型中，每個(gè)通道與推力控制喪失（Loss of Thrust Control，LOTC）相關(guān)的控制部件發(fā)生的故障均被認(rèn)為是可檢測故障，其總的失效率為r；用于保護(hù)控制部件的防雷部件，其功能失效被認(rèn)為是不可檢測故障，其總的失效率為ru。

此外，對分析對象做如下假設(shè)：

（1）FADEC 具備限時(shí)派遣（Time Limited Dispatch，TLD）運(yùn)行的能力，即在維修有故障的單元之前，允許飛行一定的運(yùn)行時(shí)數(shù)；

（2）根據(jù)現(xiàn)役FADEC 經(jīng)驗(yàn)，本文分析的FADEC僅針對2 種典型構(gòu)型：2 個(gè)通道處于1 個(gè)航線可更換單元（Line Replaceable Unit，LRU）中或是2 個(gè)通道獨(dú)立成2個(gè)LRU；

（3）在防雷部件失效的情況下，如果遭遇閃電，被保護(hù)的FADEC 單元一定會(huì)損壞，這個(gè)假設(shè)相對于實(shí)際情況是最嚴(yán)酷的。

如前所述，防雷部件故障后在閃電環(huán)境下，能夠?qū)е翭ADEC的LOTC事件，所以本文利用限時(shí)派遣分析方法，建立包含F(xiàn)ADEC 防雷部件失效的雙狀態(tài)馬爾可夫模型，分析FADEC 在各種狀態(tài)下的完整性水平，建立FADEC的平均LOTC率與防雷部件的檢查間隔相互關(guān)系，進(jìn)而確定FADEC 在滿足平均完整性要求（LOTC 事件發(fā)生率小于1×10-5h/次）的前提下防雷部件的檢查間隔[14-15]。

2 防雷部件檢查間隔分析

2.1 集成LRU構(gòu)型分析推導(dǎo)

FADEC（如CFM56 系列發(fā)動(dòng)機(jī)數(shù)字電子控制器）的2 個(gè)通道集成在1 個(gè)LRU 中。在不考慮單獨(dú)制定防雷部件單獨(dú)檢查計(jì)劃的情況下，如果任一通道中發(fā)生可檢測故障，2 個(gè)通道中的防雷部件的失效都可以被發(fā)現(xiàn)并被修復(fù)，對其建立的雙狀態(tài)馬爾可夫模型如圖2所示。

圖2 集成LRU的馬爾可夫模型

圖中：全勤狀態(tài)的PFU為FADEC 中不含有相關(guān)失效的全勤狀態(tài)(或者說初始狀態(tài))的概率；P1對應(yīng)2 個(gè)通道中任一防雷部件有不可檢測失效狀態(tài)1 的概率；P2為2 個(gè)通道中任一電子控制部分有可檢測失效狀態(tài)2 的概率；P3為2 個(gè)通道防雷部件均有失效狀態(tài)3的概率；P4為1 個(gè)通道有可檢測失效且另1 通道防雷部件有失效狀態(tài)4 的概率；PLOTC為雙通道均失效導(dǎo)致LOTC 狀態(tài)的概率；λfail-lotc為從1 個(gè)通道有可檢測失效的狀態(tài)到雙通道均有失效導(dǎo)致LOTC 狀態(tài)的轉(zhuǎn)換率，該轉(zhuǎn)換率也就是在TLD 計(jì)算過程中某個(gè)失效狀態(tài)下的瞬時(shí)LOTC 率；μ為有可檢測失效的修復(fù)率，其值為1/TREPAIR，由于雙通道FADEC 具有限時(shí)派遣能力，所以在單通道出現(xiàn)失效后，一般不立即修復(fù)，而是帶故障運(yùn)行一定的時(shí)間TREPAIR；μfb為FADEC 從LOTC 狀態(tài)恢復(fù)到初始狀態(tài)的修復(fù)率，由于FADEC在LOTC狀態(tài)是不允許派遣的，所以需要立即修復(fù)，因此μfb=1；σ為雷擊的發(fā)生率，如果在設(shè)備的防雷部件中有不可檢測失效時(shí)遭遇雷擊，則足以使被保護(hù)的電子部件失效。

從圖2 中可見，從初始狀態(tài)到狀態(tài)1 或狀態(tài)2，因?yàn)槿我环览撞考螂娮硬考加锌赡苁В赞D(zhuǎn)換率分別是2ru或2r；從狀態(tài)1 到狀態(tài)2，1 個(gè)通道防雷部件已失效，在遭遇雷擊后，該通道部件失效，或者是本通道部件自身隨機(jī)失效，所以狀態(tài)轉(zhuǎn)換率是σ+r；因?yàn)榧俣ㄔ诜览撞考闆r下，遭遇雷擊必然使被保護(hù)電子部件失效，所以在狀態(tài)3 遭遇雷擊后，雙通道控制都會(huì)失效而轉(zhuǎn)入LOTC 狀態(tài)；狀態(tài)4 是1 個(gè)通道有電子失效且另1 個(gè)通道有防雷部件失效，所以當(dāng)遭遇雷擊時(shí)，防雷部件失效的通道電子控制會(huì)失效即雙通道都失效，或者未遭遇雷擊但由于健康通道部分失效與已失效通道的組合失效導(dǎo)致LOTC，所以狀態(tài)4到LOTC的轉(zhuǎn)換率為σ+λfail-lotc。

僅防雷部件失效被認(rèn)為是隱蔽故障，在航線上不可檢測，所以從狀態(tài)1、3不會(huì)回到全勤狀態(tài)，只有當(dāng)1個(gè)通道電子失效或2 個(gè)通道均失效時(shí)，在修復(fù)電子部件故障時(shí)才順便檢查防雷部件失效并修復(fù)，因此只有狀態(tài)2、4 和LOTC 狀態(tài)具有反饋環(huán)，即FADEC 從1 個(gè)通道具有防雷部件失效修復(fù)到全勤狀態(tài)有2 種方式：（1）在LRU 中有可檢測電子失效，在特定時(shí)間內(nèi)被更換修復(fù)；（2）雷擊強(qiáng)度足以引起設(shè)備故障，從而導(dǎo)致其在特定派遣時(shí)間內(nèi)被修復(fù)或進(jìn)入LOTC 狀態(tài)而立即被更換修復(fù)。

為求解穩(wěn)態(tài)馬爾可夫模型，根據(jù)流入狀態(tài)的概率等于留出狀態(tài)的概率，建立各狀態(tài)方程，F(xiàn)ADEC 在各狀態(tài)的概率之和為1，即

當(dāng)部件失效率、雷擊發(fā)生率已知時(shí)，λLOTC即為故障修復(fù)率μ或修復(fù)間隔TREPAIR的函數(shù)。

2.2 獨(dú)立LRU構(gòu)型分析推導(dǎo)

2 個(gè)通道分別在2 個(gè)獨(dú)立LRU 中的構(gòu)型，如現(xiàn)役的Leap-1C 發(fā)動(dòng)機(jī)數(shù)字電子控制器。對其建立的馬爾可夫模型如圖3所示。

圖3 獨(dú)立LRU的馬爾可夫模型

圖3 與圖2 最大的差別在于狀態(tài)4 經(jīng)過修復(fù)后回到狀態(tài)1，而不是初始狀態(tài)，即如果1個(gè)通道有防雷部件的不可檢測失效，而另1 個(gè)通道有電子部件可檢測失效，當(dāng)修復(fù)電子部件可檢測失效時(shí)，并不能發(fā)現(xiàn)和修復(fù)另1 個(gè)通道防雷部件失效，直至失效的防雷部件所在通道有電子部件可檢測故障需要修復(fù)時(shí)，才會(huì)被發(fā)現(xiàn)并修復(fù)。簡言之即2個(gè)通道的修復(fù)互不相干。

因此，獨(dú)立LRU 構(gòu)型與單個(gè)LRU 構(gòu)型在求解馬爾可夫模型時(shí)，唯一不同的只有狀態(tài)1的方程

2.3 對比基準(zhǔn)的建立

為了便于展示防雷部件失效及修復(fù)/檢查間隔對FADEC 的影響，還應(yīng)該建立一個(gè)對比基準(zhǔn)，即在不考慮防雷部件失效對FADEC 的影響時(shí)FADEC 的平均LOTC 率，該參數(shù)可以從常規(guī)限時(shí)派遣分析獲得。不考慮防雷部件失效的FADEC 單故障馬爾可夫模型如圖4所示。

從圖中可見，由于剔除了防雷部件的失效狀態(tài)，所以圖2 中的4 個(gè)中間狀態(tài)僅留下了狀態(tài)2。經(jīng)推導(dǎo)，F(xiàn)ADEC的LOTC率為

從圖4 中還可見，在不考慮防雷部件失效影響時(shí)，F(xiàn)ADEC 的LOTC 率與集成LRU 或獨(dú)立LRU 構(gòu)型無關(guān)。

2.4 分析示例

以某型發(fā)動(dòng)機(jī)FADEC 失效數(shù)據(jù)和TLD 分析結(jié)果為例，其單個(gè)通道可檢測故障的總失效率為r=5×10-5h-1，單個(gè)通道雷擊部件不可檢測故障的失效率為ru=5×10-7h-1。當(dāng)1 個(gè)通道帶有可檢測故障的瞬時(shí)平均LOTC 率λfail-lotc=3.4×10-5h-1，可檢測故障的修復(fù)率設(shè)為μ=1/TREPAIR，TREPAIR=125、250、500、1000 h，F(xiàn)ADEC 遭遇閃電的頻率設(shè)為σ=1/2500、1/7500、1/12500、1/17500、1/22500、1/27500、1/32500、1/37500 h-1。

基于以上數(shù)據(jù)，F(xiàn)ADEC 的LOTC 率可以看作是修復(fù)時(shí)間和雷擊頻率的雙變量函數(shù)。以集成LRU 構(gòu)型為例，在考慮防雷部件失效影響和不考慮防雷部件失效影響時(shí)，其FADEC的LOTC率計(jì)算結(jié)果見表1。

由此計(jì)算并繪制不同修復(fù)/檢查間隔條件下FADEC 的LOTC 率與平均雷擊間隔時(shí)間曲線，如圖5所示。

從表1 和圖5 中可見，考慮和不考慮防雷部件失效影響的LOTC 率點(diǎn)線圖幾乎是重合的，隨著雷擊頻率的提高，LOTC率會(huì)略微提高。同時(shí)，修復(fù)時(shí)間的延長會(huì)放大防雷部件失效的影響，當(dāng)平均雷擊間隔為2500 h、修復(fù)間隔為1000 h時(shí)，LOTC率提高2%。

選取雷擊間隔固定為2500 h（頻率遠(yuǎn)高于發(fā)動(dòng)機(jī)遭遇雷擊的頻率，相當(dāng)保守），得到FADEC的LOTC率隨檢查/修復(fù)間隔的變化曲線，如圖6所示。從圖中可見，在獨(dú)立LRU構(gòu)型下，防雷部件失效對FADEC的影響小于1%，可以忽略不計(jì)。

圖6 FADEC的LOTC率隨檢查/修復(fù)間隔的變化曲線

以上數(shù)據(jù)表明，在FADEC 修復(fù)可檢測故障時(shí)順帶檢查防雷部件的可用狀態(tài)，如果發(fā)現(xiàn)其失效即一并修復(fù)的方案是合理可行的。

但同時(shí)應(yīng)該注意到，在上述案例中，防雷部件的失效率本身很低，只有FADEC 可檢測部件失效率的百分之一。假若防雷部件失效率較高，例如提高10倍，以集成LRU 構(gòu)型為對象進(jìn)行分析的結(jié)果如圖7所示。從圖中可見，防雷部件高失效率對FADEC 的影響是顯而易見的，不過仍然沒有超出1×10-5h-1的要求，但這是沒有考慮FADEC 系統(tǒng)機(jī)械液壓部件失效和未覆蓋故障的計(jì)算結(jié)果，在同時(shí)考慮這些因素時(shí)，可能使得FADEC 系統(tǒng)超出平均完整性要求，這時(shí)就需要考慮為防雷部件增加額外的檢查計(jì)劃。

圖7 ru較大時(shí)集成LRU構(gòu)型的FADEC的LOTC率

2.5 制定防雷部件額外檢查計(jì)劃分析

因思路基本相同，且由上述分析可知防雷部件失效對集成LRU 構(gòu)型的FADEC 影響更大，所以此處僅以集成LRU構(gòu)型為例建立分析過程。

在對防雷部件制定單獨(dú)檢查計(jì)劃的情況下，集成LRU構(gòu)型的馬爾可夫模型如圖8所示。

圖8 集成LRU的馬爾可夫模型（有額外檢查計(jì)劃）

從圖中可見，與圖2 相比，在狀態(tài)1、3 上增加了2項(xiàng)反饋，如果FADEC 僅存在防雷部件失效，依然可以在規(guī)定的時(shí)間內(nèi)修復(fù)到初始狀態(tài)。因此，狀態(tài)方程的變化主要體現(xiàn)在：

狀態(tài)1方程

在圖7 使用數(shù)據(jù)的基礎(chǔ)上，取防雷結(jié)構(gòu)檢查間隔分別為500、1000、2000、4000 h，對于不可檢測故障，一般假定故障發(fā)生在2 次檢查任務(wù)中間，所以防雷部件的修復(fù)率μ2=1/250、1/500、1/1000、1/2000。以此數(shù)據(jù)繪制FADEC的LOTC率曲線，如圖9所示。

圖9 防雷部件有獨(dú)立檢查計(jì)劃的FADEC的LOTC率曲線

從圖中可見，通過制定防雷部件的獨(dú)立檢查計(jì)劃，使防雷部件失效和雷擊對FADEC的LOTC影響明顯減小，有助于保持FADEC 的適航狀態(tài)。但太過頻繁的定時(shí)檢查不利于產(chǎn)品的經(jīng)濟(jì)性，會(huì)降低產(chǎn)品的市場競爭力，需要進(jìn)行與經(jīng)濟(jì)性相關(guān)的綜合權(quán)衡。

上述分析可為確定防雷部件檢查間隔合理性提供參考，在制定發(fā)動(dòng)機(jī)持續(xù)適航文件時(shí)，可以利用上述分析方法確定在FADEC 滿足平均完整性水平下的防雷部件的最大檢查間隔。

3 結(jié)論

（1）在當(dāng)代發(fā)動(dòng)機(jī)控制系統(tǒng)中，防雷部件失效和雷擊頻率對FADEC 平均完整性水平的影響是顯而易見的，且防雷部件的影響與FADEC 構(gòu)型相關(guān)，在雙通道集成LRU 和獨(dú)立LRU 構(gòu)型中，防雷部件失效影響略有不同，集成LRU構(gòu)型的相對偏高。

（2）限時(shí)派遣分析方法可以用于確定防雷部件檢查間隔的合理性，并應(yīng)在發(fā)動(dòng)機(jī)維護(hù)手冊中給出防雷部件檢查間隔的建議。

（3）在防雷部件失效率足夠低的情況下（低于被保護(hù)部件的百分之一），防雷部件的檢修可以安排在修復(fù)FADEC 可檢測故障時(shí)進(jìn)行；當(dāng)防雷部件失效率相當(dāng)高時(shí)，需要根據(jù)分析制定專門的檢修計(jì)劃以保持FADEC的持續(xù)適航性。