航空發動機超轉保護系統適航符合性研究

陳君偉

(中國航發控制系統研究所，江蘇無錫214063)

航空發動機超轉保護系統適航符合性研究

陳君偉

(中國航發控制系統研究所，江蘇無錫214063)

適航要求是利益相關方的需要，不能直接作為需求用于設計，如何解讀適航要求并實現設計是適航符合性的重點。以民用航空發動機超轉保護系統相關適航要求為基礎，利用系統工程中的需求分析方法，將超轉保護系統的適航要求轉化分解為全壽命周期的設計需求。針對分解識別出的設計需求，提出了發動機超轉保護系統的適航符合性方法，以及電子和機械超轉保護系統在適航審定中的驗證內容，可為民用航空發動機超轉保護系統的設計、驗證提供參考和借鑒。

航空發動機；超轉保護；符合性方法；發動機轉子；控制系統；適航規章；需求分析

1 引言

現代燃氣渦輪發動機控制的基本任務，是在發動機各個氣動、熱力和機械設計限制內，提供滿足飛機各種工作狀態所需要的燃油，并相應調節一些可變幾何形狀，從而得到安全、穩定的發動機性能及快速響應[1]。

在燃氣渦輪發動機的機械結構限制中，比較典型的是轉子允許的最大轉速限制，即發動機超轉限制。航空發動機超轉事故輕則造成發動機自身物理結構受損(如葉片斷裂)，重則危及飛機飛行安全。鑒于超轉的巨大危害，超轉保護系統被認為是發動機控制系統中最關鍵的保障系統之一[2-3]。

當前國內外民用航空發動機主要采用了全權限數字電子控制(FADEC)系統，其超轉保護系統的實現方式主要有機械液壓式和電子式兩種。CFM56-5B發動機是典型的機械液壓式超轉保護系統，其利用離心轉子實現轉速測量與液壓執行機構動作的關聯，進而實現對發動機超轉的抑制，可防止發動機超過穩態轉速106%。應用電子式超轉保護的典型是V2500發動機，其由數字電子控制器(EEC)實現超轉保護電子電路，硬件和軟件信號組合作動力矩馬達，驅動燃油計量裝置中獨立的超轉活門，以達到超轉后減少燃油流量到最小值的目的[4-5]。

在發動機適航審定過程中，超轉保護系統作為發動機的重要保護系統，必然也要滿足適航規章要求。美國聯邦航空管理局(FAA)在2008年頒布了Amdt33-26號修正案，對FAR33部[6]的發動機控制系統要求進行了修訂，明確提出了保護系統的適航要求，因此在其頒布后提出適航審定申請的發動機型號均應滿足這一要求。中國民用航空局(CAAC)在2011年參考FAR33部的第21～30修正案對CCAR33部[7]進行了修訂，也增加了保護系統的適航要求。但由于國內目前尚無一型自主研發的民用航空發動機通過適航審定，超轉保護系統如何落實適航要求、表明對規章的符合性，還沒有可參考的經驗。因此，充分理解超轉保護系統適航要求，將其轉化為設計需求并落實，是當前亟需開展的工作。本文使用系統工程的需求分析方法，結合控制系統全壽命周期管理，將超轉保護系統相關適航要求分解成為全壽命周期活動中的設計需求，并針對性地提出了適用的符合性方法和驗證內容。

2 超轉保護系統適航要求及需求轉化

2.1 超轉保護系統適航要求

美國聯邦航空條例FAR33部和中國民用航空條例CCAR33部中，均對發動機超轉保護系統做出了要求。以CCAR33部為例，其中對超轉保護系統最直接的要求是33.28條款的第f條[7]，其規定為：

(1)發動機控制設備、系統和發動機儀表的設計和功能，以及發動機使用和維護說明，必須合理保證，影響渦輪、壓氣機、風扇、渦輪增壓器轉子結構完整性的發動機使用限制在工作中不會被超出。

(2)當提供電子式超轉保護系統時，設計必須包括系統的檢測方法，以確定保護功能的可用性，并且至少每個發動機起動/停車循環檢測一次。該方法必須能以最少的循環數完成系統的全面測試。如果這種測試不是完全自動的，則必須在發動機使用說明手冊中包含手動測試的規定。

(3)如果超轉保護是液壓機械式或機械式的，必須通過試驗或其他可接受的方法驗證，超轉保護功能在檢查和維修周期內可用。

從國內外適航規章對發動機超轉保護系統的要求可以看出，當前發動機設計無論采用電子式超轉保護還是機械式超轉保護，都是民航審定許可的方式，只是在檢測手段上存在一定差別。可以肯定的是，發動機應具有超轉保護系統，且該系統應保證其在需要時可用。另外，超轉保護系統如果作為發動機控制系統的一部分，還應滿足控制系統的環境限制要求，即在聲明的環境條件下，包括電磁干擾(EMI)、高強度輻射場(HIRF)和閃電條件，系統功能不會受到有害影響。

除設計相關的適航規章外，在持續適航階段也有對超轉保護的要求。如在FAA對配裝FADEC系統的發動機限時簽派的政策[8]中就明確提出，發動機可簽派構型必須保持關鍵的發動機保護能力(包括超轉保護或其他關鍵限制功能)。即在民用發動機日常運營時，當發現超轉保護系統發生不能執行保護能力的故障時，必須在飛行前修復，否則不能放飛簽派。

2.2 超轉保護系統適航要求的需求分解

適航要求本質上屬于利益攸關者的要求，不屬于設計需求，所以適航要求不能直接用于設計。要想使設計滿足適航要求，可以按照系統工程的原則和方法對適航要求進行轉化并實現。因此，需要對適航要求開展需求分析，將適航要求轉化為可實現的設計需求、驗證需求和使用需求等。為保證需求的完整性，適航要求的分解應在系統全壽命周期活動上開展。發動機數控系統的全壽命周期可能包括以下活動，超轉保護系統一般作為數控系統的一部分，可以參考相關活動定義：①工程設計_系統定義；②工程設計_工作包線；③工程設計_工作環境；④工程設計_環境排放；⑤工程設計_物理和工作界面；⑥工程設計_硬件設計；⑦工程設計_軟件開發；⑧工程設計_硬件驗證；⑨工程設計_系統集成與驗證；⑩工程設計_安全性(異常工作)；?工程設計_安裝設計；?工程設計_持續適航文件；?制造和裝配；?操作規程；?持續適航活動/檢查等。

咨詢通告(AC)是對適航規章的解讀和符合性指導，因此對超轉保護系統適航規章開展需求分析時，主要依據AC33.28-3[9]第8章的指導內容。對AC內容進行解析形成規章與需求追溯矩陣，如圖1所示。這些需求即可以納入需求文檔，作為設計需求的一部分。

按照圖1的解析，形成與發動機超轉保護系統相關的需求如下：

R01：控制系統應明確提供超轉保護方式，是否是獨立的超轉保護系統？保護系統采用電子式還是機械式？是否有多個實施途徑？(工程設計_系統定義)

R02：發動機應證明任何可簽派構型不存在單一失效造成喪失超轉保護的超轉事件。(工程設計_安全性)

R03：發動機應證明喪失超轉保護的超轉事件發生的概率小于10-8/飛行小時。(工程設計_安全性)

R04：應避免燃油計量裝置和燃油關斷裝置有共模故障。(工程設計_安全性、硬件設計)

R05：應證明超轉保護系統的失效概率小于10-4/飛行小時。(工程設計_安全性)

R06：超轉保護系統應具有合理的檢測/檢查方式用以確定超轉保護功能可用。(工程設計_系統定義)

R07：應驗證電子超轉保護系統每個實施途徑的檢測方式的完整性，確保超轉保護系統喪失可以在飛行前被獲知。(工程設計_系統集成與驗證)

R08：應描述檢查電子超轉保護系統每個實施途徑的功能可用性的方法和周期。(工程設計_持續適航文件；操作規程)

R09：應在每次飛行前證明電子超轉保護系統功能至少有一個實施途徑的可用性。(持續適航活動/檢查)

R10：應驗證機械超轉保護系統的耐久性。(工程設計_硬件驗證)

R11：應確定機械超轉保護系統的檢查間隔。(工程設計_安全性)

R12：應描述機械超轉保護系統的檢查方法和最大檢查間隔。(工程設計_持續適航文件)

R13：應制定合理的維修間隔/檢查計劃。(持續適航活動/檢查)

R14：在聲明的電磁干擾、高強度輻射場、閃電環境下，超轉保護系統仍具有保護能力，且不會產生錯誤操作。(工程設計_工作環境)

以上需求條目將成為超轉保護系統工程設計、使用維護的最直接要求。當然，除此之外可能還存在一些通用的過程要求，如系統開發應滿足SAE ARP4754A的系統構型管理要求，若采用FPGA等可編程邏輯器件還需滿足DO-254的開發過程。

圖1 規章與需求追溯矩陣圖Fig.1 Traceable matrix of regulations and requirement

3 超轉保護系統適航符合性

3.1 超轉保護系統符合性方法

型號合格審查過程中，為獲得所需證據資料以表明適航條款的符合性，申請人通常需要采用不同的方法，而這些方法統稱為符合性驗證方法(簡稱符合性方法)。航空器型號合格審定程序[10]中推薦了10種符合性方法，方法名稱及說明見表1。

參考審定程序推薦的符合性方法，對上文分解的超轉保護系統需求提出適用的符合性方法：

R01：①說明性文件。需要在控制系統的超轉保護方案中明確闡述超轉保護系統的組成及工作原理，并描述超轉保護系統功能的實施途徑，如采用幾種輸入，有幾種決斷方式，輸出幾路控制量等。②模擬器試驗。證明超轉保護系統能夠在發動機轉子超過約定轉速時自動實施保護功能。

R02：安全評估。利用安全性評估的方法分析控制系統的每種簽派構型，確定在任何可簽派構型下不會由單一故障造成發動機超轉。

R03：安全評估。采用安全性評估證明相應事件滿足概率要求。

R04：安全評估。采用共因分析方法(CCA)分析確定控制系統的燃油控制功能和超轉保護功能間不存在共因失效。

R05：安全評估。采用安全性評估證明超轉保護系統的功能可用性滿足概率要求。

R06：說明性文件。需要在超轉保護方案中闡述功能的檢測/檢查方法，如機內自檢測(BIT)的設計，或使用自動檢測設備的輔助檢測手段等。

R07：模擬器試驗。證明電子超轉保護發生故障能夠被檢測并正確通知機組或維護人員。若超轉保護功能的實施存在多個途徑，應證明每個途徑的故障都能被檢測。

R08：說明性文件。應在合適的文件中說明電子超轉保護系統的檢測方法、檢測周期及告警方式。

R09：航空器檢查。按持續適航文件執行超轉保護系統的檢測/檢查。

R10：試驗室試驗。驗證機械超轉保護系統的機械結構件的壽命滿足使用要求。

R11：安全分析。通過分析確定能夠滿足機械超轉保護系統可用性的最大檢查間隔。

R12：說明性文件。應在合適的文件中說明機械超轉保護系統的檢測方法和最大檢查間隔。

R13：說明性文件。應在合適的文件中給出建議的機械超轉保護系統的維修檢查間隔。

R14：試驗室試驗。通過試驗證明超轉保護系統在特定環境下的可用性和完整性。

3.2 超轉保護系統驗證內容

通過上文分析得知，超轉保護系統的驗證至少應包括保護功能驗證、檢測功能驗證、環境適應性驗證、安全性驗證、機械壽命驗證。

(1)保護功能驗證

系統集成時應對超轉保護功能驗證，目的是驗證發動機轉子轉速超過特定值時，系統能夠正確執行保護功能。以雙轉子渦扇發動機為例，超轉保護系統可能對低壓轉子轉速(n1)和高壓轉子轉速(n2)都具有保護作用，所以該超轉保護系統具有兩條保護途徑，應對每條保護途徑進行功能驗證。驗證方法是選擇發動機典型包線點，將n1物理轉速紅線值調低(如調整至原紅線轉速的90%)，利用控制系統使發動機達到最大狀態，觸發n1超轉保護。合格判據是當n1轉速超過調整后紅線值給定設計判斷時間時，超轉保護系統應能快速給出燃油關斷或降低燃油指令。同理，對n2保護途徑進行驗證。

(2)檢測功能驗證

對于電子超轉保護系統，應驗證系統BIT的有效性。由于規章要求每次飛行前必須保證電子超轉保護系統至少有一個保護途徑可用，所以一般電子超轉保護系統采用飛行前BIT對系統可用性進行檢測。對于BIT檢測有效性的驗證，通常采用故障注入的手段，如探針注入、插拔注入、轉接注入、軟件注入等。下面給出某型電子超轉保護系統檢測功能的驗證步驟：

①發動機正常起動，系統自動執行自檢程序，系統正常不報故，關閉發動機，超轉保護系統斷電。

②斷開控制器向超轉保護電磁閥的輸出路徑，對超轉保護控制回路進行故障注入。超轉保護系統上電，起動發動機，系統自動執行自檢程序，應發現系統故障，并發送既定超轉保護系統故障指示。否則檢測功能異常，驗證失敗。關閉發動機，超轉保護系統斷電。

表1 審定程序推薦的符合性方法Table 1 Means of compliance suggested by AP

③將系統恢復到故障注入前狀態，再次執行①步驟，系統故障指示消除。

若超轉保護系統有多個途徑，應對每個途徑進行故障注入，以驗證每一保護途徑的檢測功能符合設計預期。

對于機械超轉保護系統，不需要每個飛行周期都進行檢測。一般采用物理方法進行地面檢查，但有些發動機也采用飛行周期內的檢測方法，如CFM56-5發動機通過起動過程和停車過程中離心飛重上接近開關的指示來判斷超轉保護系統可用性。由于機械結構故障注入會造成試驗件損壞，所以不進行檢查手段的驗證，而是通過壽命驗證方式證明超轉保護系統能夠在規定時間內可用。

(3)環境適應性驗證

在控制系統進行電磁干擾、高強度輻射場、雷擊試驗時，應完成對超轉保護系統的驗證。一般機械結構不會受到此類環境影響，而常見電子超轉保護與發動機控制單元裝在一個機箱內，所以該項驗證對電子超轉保護系統尤為重要。驗證應包括兩項內容：一是正?？刂茣r，上述環境不會造成超轉保護誤觸發，進而引起渦輪發動機的推力或功率突變。該項驗證可與控制系統環境驗證合并，在控制系統驗證中增加不會錯誤觸發超轉保護的合格判據。二是在上述環境下驗證超轉保護功能，以證明在聲明環境條件下超轉保護系統的有效性。試驗方法與保護功能驗證的方法相同，只是將系統置于電磁干擾、高強度輻射場或閃電環境下開展試驗，合格判據與保護功能驗證一致。

環境驗證的試驗條件應與發動機型號聲明的環境限制條件一致，具體試驗方法和設備應滿足DO-160[11]第15、19、20、21和22章要求。

(4)安全性驗證

安全性驗證主要是利用安全評估的方法，驗證超轉保護系統滿足各項安全指標要求。可以利用故障樹分析、相關圖、馬爾可夫分析等方法，證明超轉保護系統的失效概率滿足10-4/飛行小時的要求。發動機制造商同時要證明在各種簽派構型下喪失超轉保護的動力渦輪超轉滿足10-8/飛行小時的要求。此外，應通過共因分析證明發動機控制系統和超轉保護系統充分獨立，避免由共因失效造成喪失超轉保護的動力渦輪超轉。

(5)壽命驗證

壽命驗證主要用于機械超轉保護系統，用以表明超轉保護系統的機械部件在維修/檢查間隔內可以無故障運行。對機械部件開展壽命試驗時，至少要證明部件的壽命滿足維修/檢查間隔要求。若保護系統的機械部件隨發動機的機械液壓裝置按發動機使用壽命考核，則可以合并驗證，不必額外開展。

4 結束語

超轉保護作為燃氣渦輪發動機的重要保護功能，其對保證發動機安全運行起到了至關重要的作用。因此，對超轉保護系統適航要求的充分解讀，并進行完整設計和充分驗證，對發動機適航審定具有重要意義。本文采用系統工程中的需求分析方法，對超轉保護系統的適航要求進行了解讀和分解，形成了與系統全壽命周期活動關聯的、可直接用于設計的需求。針對形成的設計需求，提出了超轉保護系統適用的符合性方法，并給出了用于滿足適航要求的驗證內容，可為超轉保護系統設計、驗證和民用發動機適航審定提供參考。

[1]許春生，馬乾綽.航空發動機電子控制[M].北京：中國民航出版社，1999：2—3.

[2]《航空發動機設計手冊》總編委會.航空發動機設計手冊：第3冊——可靠性及維修性[K].北京：航空工業出版社，2000：315—361.

[3]郭迎清，李睿，薛薇.航空發動機狀態監控系統研究[J].航空發動機，2010，36(5)：39—43.

[4]張亦程.150座級商用發動機控制技術對比分析[J].民用飛機設計與研究，2011，(1)：44—49.

[5]蔣文亮，陸千里，于真，等.一種基于FPGA的航空發動機獨立超轉保護系統[J].航空動力學報，2016，31(2)：477—483.

[6]Federal Aviation Administration.FAR part 33 civil aircraft airworthiness standards aircraft engines[S].

[7]中國民用航空局.CCAR-33R2航空發動機適航規定[S].

[8]ANE-1993-33.28TLD-R1.Policy for time limited dispatch of engines fitted with full authority digital engine controls systems[EB/OL].[2016-10-14].http://rgl.faa.gov/ Regulatory_and_Guidance_library/rgPolicy.nsf/.

[9]AC No:33.28-3.Guidance material for 14CFR§33.28,engine control systems[EB/OL].[2016-10-14].http//www. faa.gov/reulations_policies/advisory_circulars/index.cfm/ go/document.information/documentID/1028989.

[10]中國民用航空局.AP-21-AA-2011-03-R4航空器型號合格審定程序[S].

[11]DO-160.Environmental conditions and test procedures for airborne equipment[S].

Compliance with pertinent regulations for aero-engine overspeed protection system

CHEN Jun-wei
(AECC Control System Institute，Wuxi 214063，China)

Airworthiness regulations are not requirements,but stakeholder’s needs.So the importance is how to transform regulation use to design.Based on pertinent regulations for civil aero-engine overspeed protection system,these regulations were transformed into requirements of life cycle using requirement analysis method of systems engineering.Means of compliance and verification scheme of electronic/mechanical overspeed protection in type certification were brought forward,which could be used as reference to design and verification of aero-engine overspeed protection system.

aero-engine；overspeed protection；means of compliance；engine rotor；FADEC；airworthiness regulation；requirement analysis

V328；V233.7

A

1672-2620(2016)06-0056-05

2016-10-20；

2016-11-30

陳君偉(1988-)，男，內蒙古呼倫貝爾人，工程師，碩士，主要從事航空發動機控制系統可靠性工程及適航技術研究。