基于功能危險分析的渦軸發動機適航安全性評估

安 罡，李艷軍，曹愈遠，馬安祥，汪震宇

（南京航空航天大學民航學院，南京211106）

基于功能危險分析的渦軸發動機適航安全性評估

安 罡，李艷軍，曹愈遠，馬安祥，汪震宇

（南京航空航天大學民航學院，南京211106）

針對渦軸發動機安全性需求，確定了其適航安全性分析的方法及程序。運用整機級功能危險分析法（FH A）對渦軸發動機進行安全性分析，并針對其系統結構的復雜性等問題，提出了整機級FH A功能定義的層級解決方案；利用可靠性模型識別多重失效組合問題；針對功能失效狀態影響分析主觀性強、難于確定的特點，提出了D elphi法進行專家評估。結果表明：安全性驗證程序能夠為渦軸發動機安全性驗證提供支持，FH A可以較快速識別渦軸發動機整機級危險失效狀態，較為客觀地確定功能危險影響等級，并有效減少工作量。

適航；功能危險；安全性；D elphi法；渦軸發動機

0 引言

隨著直升機功能的多樣化發展，對其動力裝置渦軸發動機相關技術研究與探索有迫切的需求[1-2]。在中國渦軸發動機的研制經歷了從國外引進技術到與國外合作研制的過程，航空發動機適航規定（CCAR33）是航空發動機進行適航審定的依據，其中CCAR33.75規定了發動機必須進行安全性分析[3]。但由于中國航空發動機安全性研究基礎薄弱，目前缺少行之有效的安全性分析準則。

本文結合渦軸發動機安全性驗證的實際情況，建立航空發動機適航符合性驗證程序。

1 渦軸發動機適航安全性驗證程序

適航符合性驗證用于檢驗渦軸發動機是否滿足適航條例要求，申請人采用不同的符合性驗證方法來表明適航條款的符合性，其中安全分析是1種重要的符合性驗證方法[4-6]。適航符合性驗證工作貫穿于渦軸發動機整個設計過程，而安全性分析始于概念設計階段并導出其安全性要求，同時隨設計更改作出相應變更后進行分析評估，整個過程是迭代的。安全性分析止于設計滿足安全性要求的驗證[7]。渦軸發動機適航驗證中安全性分析的過程如圖1所示。

圖1 渦軸發動機安全性分析過程

1.1 功能危險分析

功能危險分析（FHA）是美國機動工程學會（SAE）發布的航空建議文件ARP-4761中推薦的系統安全性分析的第1步[7]，通過對發動機及系統的綜合檢查，對功能在不利環境、緊急情況等各種條件下的失效狀態進行分析，并按照其影響程度進行分級，從而確立其安全性設計要求。FHA通常在整機級和系統級2個層次上進行分析，其中整機級安全性要求確立后，即相應確立系統級安全性要求。

1.2 初步系統安全性評估

初步系統安全性評估（PSSA）用于完成失效狀態列表以及相應的安全性要求。根據整機級或系統級FHA和初步共因分析（CCA），利用故障樹（FTA）、故障模式影響分析（FMEA）、概率計算等方法對其識別的每一失效狀態進行評價，來表明系統構架和組件滿足安全性要求，然后根據生成的安全性要求和目標設計導出較低層次的安全性要求。

1.3 系統安全性評估

系統安全性評估（SSA）是在發動機詳細設計與試驗階段進行的，對系統及其架構進行系統性、綜合性地評估，來表明其滿足相關的安全性要求。

SSA通常在FTA的基礎上結合FMEA進行，同時也包括CCA的結果。通過由下至上的分層次的驗證，可以驗證在PSSA中提出的安全性要求、可靠性要求、結構要求和軟/硬件研制保證等級。因此在對發動機的系統進行安全性評估過程中，綜合利用FHA、FMEA、FTA、CCA等分析方法，驗證系統是否達到要求的安全性水平。

2 渦軸發動機整機級FHA

2.1 渦軸發動機總體描述

渦軸發動機將燃油中的能量轉換成軸功率，為直升機提供動力。渦軸發動機系統組成如圖2所示。

渦軸發動機中各系統有機地組合起來，完成發動機控制、點火、操作、指示與告警等自身功能，并分別為飛機液壓、電源系統和空氣管理系統提供動力源、氣源等。

2.2 功能定義

進行整機級FHA首先要確定渦軸發動機整機級的所有功能，由于渦軸發動機本身作為直升機較為復雜的系統之一，其功能繁多，內涵廣泛，如果將其功能劃分過于具體，則不僅工作量巨大，而且難以獲得明確的失效影響。渦軸發動機頂層功能從發動機與直升機之間的交互功能和發動機內部功能來劃分。其中交互功能包括提供軸功率、交流電和飛機引氣；內部功能包括控制功能、測量與監控和安裝功能等。對頂層功能定義展開，并進行編號，以此建立功能列表，見表1。

2.3 失效狀態識別

在考慮失效狀態時，首先要確定環境和緊急情況項目的列表，然后分別考慮渦軸發動機的內部功能、交互功能以及環境和緊急情況中的各項，由此得到渦軸發動機整機功能的失效狀態列表。當判斷故障影響時，需要考慮環境如天氣、火山粉末等對發動機的影響，還要考慮應急情況如水上迫降、發動機停車等。

表1 渦軸發動機整機級功能（部分）

渦軸發動機結構、功能復雜，多重失效是FHA分析中重要特點之一。如果每種單一失效組合都要分析，那么由于失效組合過多，會使分析工作變得相當繁重。而且很多單一失效直接關聯并不大，其組合失效對影響分析并無意義。因此，在分析組合失效時，按照一定的原則找出組合失效中每個單一失效[9]。分析的原則是當多個單一失效同時發生產生后果的危害性大于每個單一失效單獨發生產生后果危害性的總和時，才對其進行多重失效分析。識別多重失效的方法是通過對渦軸發動機結構工作原理和功能的邏輯關系進行分析，得出系統原理圖，構建可靠性模型，從而得到多重失效組合。對于簡單的失效狀態，通過系統原理框圖或可靠性框圖就可分析得出多重失效；如果分析層次較深，結構復雜，則可能需要構建故障樹、馬爾可夫模型等較復雜的可靠性模型。利用上述方法識別多重失效，既保證分析的完備性，又能提高工作效率。

2.4 系統運行階段劃分

渦軸發動機是功能危險分析的對象，但直升機的飛行階段比渦軸發動機的工作階段對發動機功能危險所造成的影響更大，如發動機喪失停車再起動能力在直升機飛離地面前后存在巨大差異，而與發動機工作狀態的關系則不大。因此，在分析失效狀態所處的運行階段時，按照直升機的飛行階段來劃分，見表2。

表2 直升機運行階段劃分

2.5 失效狀態影響及危害等級分析

渦軸發動機整機級功能失效，會導致不同層次多種影響，為了規范失效狀態的影響，同時方便下一步定義影響等級，從系統工作影響、人員傷亡等方面，對功能失效的影響按層次進行分類，依次為對發動機的直接影響、對直升機的進一步影響、對機組及乘客的影響。根據SAE ARP-4761，失效狀態的影響按照危害性由小到大分為5級，而根據歐洲航空安全局（EASA）CS-E510，失效狀態影響等級則定為3級。中國民用航空規章CCAR33.75（R2）中規定了危害性發動機后果和重要發動機后果的預期發生概率，分別為不超過10-9和10-7，恰好與SAE ARP-4761中的災難性和危險性功能失效概率要求相對應。且采用5級準則可以使安全性要求更為精確，對提高渦軸發動機安全性更為有利。

需要說明的是，在對渦軸發動機進行FHA分析時，只考慮發動機的功能失效狀態，而直升機默認功能完好。因此確定失效影響時不應考慮發動機和直升機功能同時喪失的情況。

根據失效狀態的影響，按照其危害等級提出該失效狀態發生的概率限制，即安全性要求。

確定功能失效影響的過程主要由分析人員根據對系統工作原理進行邏輯分析得到，由于分析人員掌握的數據有限，導致分析主觀性較強，結果可能與實際情況相差較大，因此本文提出利用Delphi法進行評估功能失效影響。

對于每種失效狀態，有5種可能的危害等級作為評估目標，選聘在渦軸發動機領域經驗豐富的專家采用匿名方式分幾輪進行評估，以專家的原始意見為基礎，建立優化模型，找到群體決策的最優解，達到確定危害等級的目的。

定義專家集合為

式中：Ei（i=1,2,…,m）為第i個專家。

定義評價集合為

式中：（ai,bi,ci,di,ei）（i=1,2,…,m）為第i個專家對5個危害等級給出的名次值。

把每個危害等級的不同名次加起來求和，選擇其中名次總和最低的方案，即專家評價得出的最后的選擇。

專家意見的一致性程度可以用“一致性系數”表示

式中：C.I.代表一致性系數，是介于0到1的數。S代表名次總和的方差和，且

式中：Xi為專家對第i個方案評定的名次總和；M為專家數；N為方案數。

以功能失效“單發喪失軸功率”為例，危害等級可能情況為：無影響、較小影響、較大影響、危險性、災難性。選聘9位專家對功能失效影響進行排名，結果見表3。

表3 Delphi法預測過程數據

從專家評估數據中可見，“較大影響”的總名次最低，因此最后評估結果功能故障“單發喪失軸功率”的危害等級為“較大影響”。通過計算可得

由于C.I.值接近1，表示專家意見趨向一致，因此結果可靠性較高。若算得 值接近0則表示專家意見一致性較差，可以將調查結果反饋給各位專家，在此基礎上進行第2輪評估，直至得到滿意的結果為止。

2.6 確定驗證方法

對于每個功能失效狀態，要確定渦軸發動機將如何滿足其安全性要求。一般對于危害等級較小的失效狀態，可以不做進一步分析工作；對于危害等級較大的失效狀態，一般采用定性FMEA或FTA方法，確保其發生概率小于10-5；對于危險的和災難性的失效狀態，除一些簡單和常規的失效或緊急事件，可以通過工程建議判斷而不需要正式程序就能評估災難故障發生概率外，需要采用FMEA、FTA、CCA或其他方法進行詳細地安全性分析。具體分析深度如圖3所示。

圖3 FHA分析深度

2.7 FHA分析結果

FHA分析表格是工作的核心，結果用表格的形式可以直觀地說明功能失效的工作階段、危害性影響、危害等級以及最關鍵的安全性要求和驗證方法。渦軸發動機整機級FHA分析結果見表4。

表4 渦軸發動機整機級FHA分析結果（部分）

3 總結

（1）本文以適航標準為依據，結合渦軸發動機安全性分析的工程背景，建立了適航符合性中的安全性驗證程序，在航空發動機安全性分析實踐中得到了應用。

（2）在對渦軸發動機FHA分析中，利用系統功能框圖和可靠性模型分析多重失效問題，利用Delphi法確定功能失效影響等級。實踐證明該方法科學有效，并能合理提高分析工作效率。可為渦軸發動機安全性適航驗證工作提供支持。

[1]周新新，陳玉春，樊巍，等.渦軸發動機技術參數與發展趨勢評估[J].航空工程進展，2013，4（2）：150-157. ZHOU Xinxin，CHEN Yuchun，FAN Wei，et al.Evaluation of technical parameters and developingtrends for turboshaft engines[J].Advances in AeronauticalScienceandEngineering，2013，4（2）：150-157.(inChinese)

[2]鄧飛.先進渦軸發動機總體性能設計研究[D].南京:南京航空航天大學，2013. DENG Fei.Research of the advanced turboshaft engine performance design [D].Nanjing:Nanjing University of Aeronautics and Astronautics，2013.(in Chinese)

[3]中國民用航空局.CCAR-33-R2航空發動機適航規定 [S].北京：中國民用航空局，2011：39-42. Civil Aviation Administration of China.CCAR-33-R2 Aeroengine airworthiness requirements[S].Beijing：Civil Aviation Administration of China，2011：39-42.(in Chinese)

[4]陸中，孫有朝，周伽.民用飛機適航符合性驗證方法與程序研究[J].航空標準化與質量，2007（4）：6-8. LU Zhong，SUN Youchao，ZHOU Jia.Airworthinesscompliance approach procedure for civil aircraft[J].Aviation Standardization and Quality，2007（4）：6-8.(in Chinese)

[5]宗蜀寧，端木京順，汪建華，等.飛機整機級系統安全性評估方法探討[J].中國安全科學學報，2011，21（10）：125-130. ZONG Shuning，DUAN MU Jingshun，WANG Jianhua，et al.Study on aircraft system safety assessment method in aircraft level[J].China Safety Science Journal，2011，21（10）：125-130.(in Chinese)

[6]丁水汀，鮑夢瑤，杜發榮.無人機系統適航與安全性分析方法[J].航空動力學報，2012，27（1）：233-240. DING Shuiting，BAO Mengyao，DU Farong.Safety research on unmanned aircraft system for airworthiness[J].Journal of Aerospace Power，2012，27（1）：233-240.(in Chinese)

[7]ARP-4761,Guidelinesand methodsforconducting thesafety assessment process on civil airborn systems and equipment[S].US： SAE，1996：1-331.

[8]ARP-4754,Certificaion considerations for highly-integrated or complex aircraft systems[S].US：SAE，1996：1-88.

[9]鞏磊，張曙光，劉曉鋒，等.基于功能危險分析的渦扇發動機數字控制系統危險識別方法研究[J].航空學報，2011，32（12）：2194-2203. GONG Lei，ZHANG Shuguang，LIU Xiaofeng，et al.Research on hazard identification of turbofan engine digital control systems based on functional hazard analysis[J].Acta Aeronautica et Astronautica Sinica，2011，32（12）：2194-2203.(in Chinese)

[10]國防科學技術工業委員會.GJB/Z99-97系統安全工程手冊[S].北京：國防科學技術工業委員會,1997：1-306. Commission of Science,Technology and Industry for National Defense. GJB/Z99-97 Engineering handbook for system safety[S].Beijing：The Commission of Science Technology and Industry for National Defense, 1997：1-306.(in Chinese)

[11]孫有朝，劉建軍，梁力，等.功能危險分析在民機安全性設計中的應用研究[C]//大型飛機關鍵技術高層論壇暨中國航空學會2007年學術年會論文集.深圳：中國航空學會，2007：1-7. SUN Youchao，LIU Jianjun，LIANG Li，etal.Investigation of application of functional hazard analysis in civil aircraft safety design [C]//2007 Annual Conference of Chinese Aeronautic Association. Shenzhen：Chinese Aeronautic Association,2007：1-7.(in Chinese)

[12]CS-E,Certification specifications for engines.[S].K?ln：European Aviation Safety Agency，2007.

[13]Wilkinson P J，Kelly T P.Functional hazard analysis for highly integrated aerospace systems[C]//IEEE Seminar on Certification of Ground/Air Sytems.London：IEEE,1998：1-6.

[14]Shyur H J.A quantitative model for aviation safety risk assessment[J]. Computers&Industrial Engineering，2008，54（1）：34-44.

[15]劉偉濤，顧鴻，李春洪.基于德爾菲法的專家評估方法 [J].計算機工程，2011,37（1）：189-191. LIU Weitao，GU Hong，LI Chunhong.Expert evaluation method based on Delphi method[J].Computer Engineering，2011，37（1）:189-191. (in Chinese)

[16]袁勤儉，宗乾進，沈洪洲.德爾菲法在我國的發展及應用研究——南京大學知識圖譜研究組系列論文 [J].現代情報，2011，31（5）：3-7. YUAN Qinjian，ZONG Qianjin，SHEN Hongzhou.Review of development and application of Delphi method in China[J].Journal of Modern Information，2011，31（5）：3-7.(in Chinese)

[17]田軍，張朋柱，王刊良，等.基于德爾菲法的專家意見集成模型研究[J].系統工程理論與實踐，2004，24（1）：57-62. TIAN Jun，ZHANG Pengzhu，WANG Kanliang，etal.Integrating model of expert's opinion based on Delphi method [J].Systems Engineering Theory&Practice，2004，24（1）：57-62.(in Chinese)

（編輯：肖磊）

Safety Assessment of Turboshaft Engine Airworthiness Based on Functional Hazard Analysis

AN Gang，LI Yan-jun，CAO Yu-yuan，MA An-xiang，WANG Zhen-yu
（College of Civil Aviation，Nanjing University of Aeronautics and Astronautics，Nanjing 211106，China）

Aiming at the turboshaft engine safety,its analysis method and program were defined.The safety analysis of turboshaft engine was conducted by Functional Hazard Analysis（FHA）.The layer solutions of FHA were proposed based on complicated system structure,and multiple failure combinations were identified by reliability models.Due to strong subjective and difficult identification of FHA,Delphi method was proposed to take expert's assessment.The results show that the turboshaft engine safety is validated by its programs.The hazard failure of the whole turboshaft engine is quickly identified by FHA,which can objectively define the functional hazard influence degree and effectively reduce workloads.

airworthiness；functional hazard；safety；Delphi method；turboshaft engine

V 235.12

A

10.13477/j.cnki.aeroengine.2015.05.020

2014-11-27

安罡（1990），男，碩士，主要研究方向為民用航空安全性和可靠性；E-mail：angang@nuaa.edu.cn。

安罡，李艷軍，曹愈遠，等.基于功能危險分析的渦軸發動機適航安全性研究[J].航空發動機，2015，41（5）：98-102.AN Gang，LI Yanjun，CAO Yuyuan，et al. Safety assessment of turboshaft engine airworthiness based on functional hazard analysis[J].Aeroengine，2015，41（5）：98- 102.