基于概率風險分析的航空發動機控制系統故障風險評估

鮑 晗，左洪福，蔡 景，周 迪

(南京航空航天大學民航學院， 南京 210016)

發動機控制系統是發動機的核心子系統，一方面，其功能喪失可能會造成空中停車、完全推力喪失等飛機級功能失效和嚴重后果。另一方面，控制系統是非線性多變量控制復雜系統，故障率高。

傳統的安全壽命管理方法將某一存活率下零部件萌生規定長度裂紋所需的循環數定義為部件的批準壽命，通過限制使用壽命來保障發動機關鍵部件的安全性[1]。但是由于標準制定或標準符合、設計制造和運行環境中的不確定因素，發動機控制系統的實際運行風險往往高于預期[2]，傳統的確定性方法在分析風險時存在較大偏差。

為了克服傳統安全壽命方法的缺點，進一步提高發動機關鍵部件的安全性，Shah A R等學者提出運用PRA方法，通過對關鍵部件隨機性和缺陷分布的定量分析，在不具備完整描述的條件下更加準確地反映發動機部件的實際運行狀態[3]。在此框架下，美國西南研究院聯合通用電氣等發動機廠商提出了DARWIN(Design Assessment of Reliability with Inspection)，該方法由有限元分析、概率斷裂力學模型和無損探傷檢查模型組成，基于失效機理對發動機概率風險進行預測[4]。隨后FAA頒布了咨詢通告AC39-8，針對航空發動機提出了一種基于部件故障統計、威布爾分析和蒙特卡羅仿真的風險評估方法[5]。盡管以上兩種PRA方法都為發動機控制系統故障風險評估提供了可借鑒的實施思路，但由于系統的復雜性以及運行數據量不足，針對發動機控制系統的風險評估一直未能有效開展。

近年來，風險模型的不斷優化、計算效率的不斷提高、航空基礎數據庫的構建等都為使用PRA方法識別和分析復雜系統實際風險提供契機[6]。本文結合控制系統的故障風險模式和實際運營數據，將發動機推力控制喪失(LOTC)事件作為控制系統風險評估的橋梁，運用PRA方法，建立了從底層故障到飛機級嚴重后果的發動機控制系統故障風險評估模型，并結合實際案例對模型進行演示驗證。

1 發動機控制系統故障風險模式分析

航空發動機控制系統的關鍵部件包含電子控制器(EEC)、液壓機械組件(HMU)、作動部件和傳感器4個主要部分，典型的發動機控制系統如圖1。EEC根據飛機控制命令和進入EEC的各個傳感器測量信號，計算控制目標值并將其轉化成執行機構的電指令，經由HMU進行電液轉換和液壓功率放大，控制作動部件實現對控制對象的控制。通過這一過程實現燃油控制，發動機推力管理，VBV、VSV、TBV、LPTCC等控制以及發動機的啟動、關閉、點火控制等功能。

根據發動機控制系統的結構和工作原理，表1從4個方面介紹發動機控制系統故障模式及風險類型[7]。

表1 發動機控制系統故障風險類型

2 發動機控制系統故障風險評估模型

LOTC事件是發動機控制系統的頂層故障事件，定義為不能通過油門桿對發動機在慢車與90%的最大額定推力之間進行調節，或發動機不能滿足33部的工作特性要求，或發動機推力以不可接受的方式振蕩[9]，LOTC率是衡量發動機安全性的重要標志。由于直接估計單個故障對整機的安全性影響難度較大，故可以結合設計階段的安全性分析基礎，將LOTC事件作為風險分析的橋梁。如圖 2所示，先通過故障建模的方法分析底層故障發展成為LOTC事件的風險，再通過事件鏈建模評估LOTC事件發展成飛機級嚴重后果的風險。最后將實際風險與適航標準比較，不滿足適航要求時需要立即采取糾正措施并對糾正后的風險進行重新評估。

2.1 發動機控制系統故障建模

通過故障建模確定從發動機控制系統底層故障發展到LOTC事件的實際風險，主要考慮兩個方面：單個部件的故障概率和單個故障發展成LOTC事件的概率。

1) 單個部件的故障概率λ(t)

根據美國宇航局的統計數據表明，航空設備故障率大致可以分為6種類型，其中雙參數威布爾分布是航空發動機故障分析中最有價值的分布函數[10]。在實際風險評估過程中，由于相同部件在不同使用環境下表現出來的故障規律各不相同，參數的隨機性對概率風險評估結果的影響很大[6]，因此考慮部件的實際運維情況。

已知雙參數威布爾分布的密度函數為

(1)

其中：m為形狀參數；η為尺度參數。考慮到實際的故障數據中有部分是因預防性維修而更換的右截尾壽命數據，m和η可以根據式(2)的超越方程，通過數值方法迭代求解得到[11]。

(2)

其中：n為數據組數；r為完全數據；(n-r)為右截尾數據；tp為預防性更換時間。

在已知故障率分布的情況下，綜合考慮部件已使用時間T和檢查間隔τ[12]，在下一個檢查周期[T，T+τ]內，部件故障概率λ(t)可以表示為

(3)

2) 單個故障發展成LOTC事件的條件概率μ

單個故障A發展成LOTC事件的條件概率μ可以轉化成在該故障的暴露時間內，相關故障發生的概率。根據發動機控制系統LOTC事件的故障樹，可以通過上行法或者下行法找出包含A故障的最小割集，即導致LOTC事件發生的最低限度基本事件的組合[13]。最小割集中除了A故障以外的其他故障，即為A故障的相關故障。

如圖3，如果在[T，T+τ]內的t時刻發生第一個故障，那么該故障的暴露時間為T+τ-t，則該故障暴露時間的期望為

(4)

再結合相關故障的平均故障率λi，i=1,2,…，因此條件概率的表達式為

(5)

如果最小割集中僅包含單個元素，則說明該故障會直接導致LOTC事件，則相應條件概率μ的值為1。

2.2 發動機控制系統事件鏈建模

事件鏈建模主要用于建立從LOTC事件發展到各種飛機級嚴重后果的整體過程，如圖4。將數控系統LOTC作為事件鏈的初因事件，通過建立事件樹或者事件序列圖模型，推演從LOTC事件經由一系列中間事件，最終導致飛機空中解體、墜毀等嚴重不安全后果。

事件鏈中的條件概率根據故障的循環比近似得出，循環比定義為損傷從當前狀態發展到下一個狀態需要的平均飛行循環數與部件使用壽命之比，循環比越高，表明損傷發展速度越快，從當前狀態發展到下一個狀態的可能性也就越高。表2是條件概率對應表，由FAA和波音公司根據歷史數據制定[14]。在條件概率不明的情況下，一般將條件概率保守假設為1。

表2 循環比對應的條件概率

針對不安全后果的衡量標準很多，CCAR25.1309中用輕微的、嚴重的、災難性的等嚴重性等級定性地表示后果的嚴重程度。在定量分析中，FAA提出通過人員損傷率表示不安全后果的嚴重程度[15]，損傷率IR的表達式如下

(6)

其中：nfatal表示事故中死亡的人數，包括事故中機上和地面的致死人員；nonboard表示飛機的全部乘員，包括機組和旅客。根據FAA的統計，不同類別飛機各種嚴重后果的損傷率見表3。

表3 不安全后果損傷率對應

注：CFIT，即Controlled Flight Into Terrain，可控飛行撞地。

2.3 發動機控制系統故障風險評估

結合故障模型和事件鏈模型，可以將發動機控制系統故障風險R表示為

R=λ(t)·μ·∑(CPi·IRi),i=1,2,…

(7)

其中：λ(t)是單個故障在下一次檢查前發生的概率，見式(3)；μ是在已知故障暴露期間內其相關故障發生且導致LOTC事件的概率，見式(5)；CPi是LOTC事件發展到第i種嚴重后果的條件概率，IRi是第i種嚴重后果的損傷率。

風險計算結果需要與適航標準進行比較，進而確定是否需要采取對應的風險控制措施。根據AC-21-AA-2013-19要求，持續適航階段的實際風險水平的目標值是飛機設計所必須遵循的最大風險水平[1]。對于發動機控制系統而言，由發動機控制系統故障導致的單機風險水平必須低于1×10-7/FH[5]。在實際風險超出適航要求時，必須采取改正或改進措施，包括調整檢查間隔、提早進行更換，在涉及重要檢查和設計更改時發布適航指令(AD)等強制措施。

3 案例分析

以波音737飛機CFM56-7B發動機可調靜子葉片(VSV)作動筒故障情況為例對發動機控制系統故障實際風險進行分析。

在CFM56-7B世界機隊故障統計中,VSV故障頻率較高,在造成飛機延誤/取消的原因中排第一位。VSV作動筒是安全關鍵部件，主要的故障模式包括作動筒的滲漏和卡阻，故障會引起VSV控制異常，造成發動機喘振，進而引起發動機空中停車，可能造成人員死亡、墜毀等嚴重后果。同時每臺發動機的VSV作動筒無備份,因而有必要對機隊VSV作動筒的實際風險進行監控和分析。

CFM56-7B發動機VSV系統主要由VSV作動筒、電液伺服閥和位移傳感器等組成[16]，HMU根據EEC指令為作動筒提供伺服燃油,從而驅動VSV搖臂,進而改變VSV的角度,保證發動機的進氣流量合適，作動筒本身帶有的線性差動傳感器(LVDT)將實際位置反饋給EEC,如圖5所示。

在設計階段，根據供應商提供的測試數據，該型VSV作動筒的平均故障率是1.55×10-7，由統計得到相應的風險因子是0.005，因此該VSV作動筒的風險為0.775×10-9/FH，遠低于規章規定的10-7/FH，符合安全標準，但該風險顯然沒有充分考慮不同的運行環境因素和部件退化的影響。

表4收集并整理了某航空公司CFM56-7B型發動機機隊VSV作動筒的實際使用壽命，單位為FH，其中標記“*”的為預防性更換數據。

表4 某發動機機隊VSV作動筒的壽命數據

采用基于截尾數據的威布爾參數極大似然法，根據式(2)得到威布爾分布的參數為m=8.136，η=16 467，將其代入式(3)，則在下一次檢查前該類VSV作動筒的故障概率表示為

圖6是發動機數控系統LOTC的部分故障樹，可以看出，VSV作動筒故障會直接引發燃油作動部件導致的VSV開度異常，進而導致VSV控制異常，引發推力振蕩導致機組不得不關閉發動機，最終引起LOTC事件。也就是說，VSV作動筒故障會直接導致LOTC事件，即條件概率μ=1。

根據表2中的條件概率和表3中的損傷率IR可以建立數控系統LOTC事件導致飛機空中解體、墜毀和偏離跑道等嚴重后果的事件樹，如圖7所示。

因此可以計算得出∑(CPi·IRi)=0.007。

查詢該航空公司的飛機維修方案和相關工程指令，得知目前該航空公司定期對機隊VSV作動筒進行檢查和必要的潤滑及清潔，檢查間隔是250FH，則VSV作動筒故障的單機風險是一個關于運行時間T的函數，表達式為

隨著運行時間的增加，由VSV作動筒故障引起的風險水平逐漸增加，如圖8所示，在運行時間超過4 000FH后，風險水平快速升高。將實際風險與適航風險標準1×10-7/FH進行比較，運行時間達到6550FH左右時實際運行風險超出適航安全要求。

由表4可知目前該機隊VSV作動筒的使用時間均超過了6 550FH，存在安全風險。在不考慮改變該VSV作動筒設計構型的情況下，可以從控制作動筒的實際使用時間T和縮短檢查間隔τ兩個角度控制實際風險。

在使用時間T不變的情況下，通過優化VSV作動筒的檢查間隔τ來控制風險水平。圖9中5條曲線分別表示檢查間隔為100 h、150 h、200 h、250 h和300 h時，實際風險隨使用時間增加而增大的情況。如將使用壽命限制在7 000 h，圖9中豎線與5條直線的交點分別表示運行時間為7 000 h時不同檢查間隔對應的風險水平。可以發現只有當檢查間隔小于150 h，風險水平滿足要求。

在檢查間隔τ確定的情況下，通過提前更換或清潔來控制VSV作動筒的實際使用時間T來控制風險水平。圖10中4條曲線分別表示使用時間分別為5 500 h、6 000 h、6 500 h和7 000 h時，實際風險隨著檢查間隔的增加而增大的情況。若保持目前的檢查間隔250 h不變，僅當運行時間控制在6 500 h以內時，風險水平滿足要求。

由于所有發動機控制系統事件均可轉化為LOTC事件，其他相關故障均可借鑒此案例中的風險分析過程。

4 結束語

針對發動機控制系統實際風險高于預期問題，對控制系統故障模式進行分析，基于PRA建立控制系統故障模型、事件鏈模型和風險模型。以CFM56-7B發動機VSV作動筒故障為例進行實際風險評估，并分析運行時間和檢查間隔對風險的影響。該模型具有一定通用性，為局方在評估不安全事件風險時提供定量參考，同時為航空公司制定使用和維護計劃提供定量的依據。