民用直升機電傳飛控系統適航專用條件分析

馬立群，楊士斌，石林軒

（中國民航大學適航學院，天津300300）

0 引 言

直升機電傳（Fly-by-wire，簡稱FBW）飛控系統是指利用電氣信號形式，通過電纜實現飛行員對直升機運動軌跡和姿態操縱的控制系統［1］。相較于傳統機械連接形式，電傳飛控系統具有一系列明顯優勢，包括：改善飛行品質，提升性能；提高可靠性、維修性及生存性；減輕重量，減小體積，降低費用；消除機械操縱的反常現象等［2］。目前在民用航空器領域，電傳飛控在飛機上應用較多，可以通過設計實現自動飛行、自動著陸、高升力控制和水平安定面控制等功能［3-4］。

電傳飛控在民用直升機上應用較晚。從20世紀70年代中期開始，由于直升機的特殊性：復雜的氣動特性和強軸間耦合，設計師開始考慮將電傳飛控系統應用在直升機上，在此基礎上可以實現復雜控制律設計，并添加更多的解耦和保護功能［4-5］。當前，典型的電傳飛控直升機有Bell-525和S-92等。Bell-525是世界上第一架電傳操縱民用直升機，它作為全球首款同時采用側桿和三余度電傳兩種技術的商用直升機，目前全面設計階段已完成，適航取證階段正在推進。FBW系統是S-92民用直升機設計上的最大亮點，S-92先進飛行控制系統使用三個冗余通道，每個通道都帶有自檢功能，并且有兩重輸入/輸出信號通道，通過冗余設計來保障系統安全性。

從適航設計與審定角度來看，如果適航條款不能覆蓋到所有的新穎設計，需要針對具體設計制定專用條件。專用條件的定義是：當申請人提出展示滿足符合性的適航標準版本和相應的修正案，不包含足夠的針對其設計特點的安全標準規定時，在原有適航標準的基礎上為其制定的條款。電傳飛控相對傳統機械控制來說，由于控制律形式極大豐富，使得控制功能和模式也更為多樣。從表明安全的角度出發，CCAR 29部（以下簡稱29部）適航條款未能完全考慮到這些變化帶來的影響，其中包含：（1）當表明對29部C分部和D分部結構要求的符合性時，未考慮到控制形式變化對結構的影響；（2）29.143條款要求飛行員對操縱權限具有感知能力，而電傳飛控直升機的感知方式與機械式完全不同，條款不能覆蓋特性；（3）目前27部和29部標準并未給出旋翼機先進飛行控制系統對飛行員的提示與告警，因此需要通過專用條件對先進飛行控制的性能提出要求；（4）電傳飛控引入了包線保護系統功能，該系統自身的安全性需要進行表明，適航條款未涉及到這一系統；（5）電傳飛控系統中存在大量的電子元器件，外界環境、電子元器件失效、電子線路變化都可能引起非指令信號故障，對安全產生影響，當前27部和29部規章沒有考慮通過標準電纜使用數字指令和控制線路的新型電子系統的非預期改變信號特性，對這一問題，需要在29.671和29.672的基礎上進行補充。綜上，對于直升機的電傳飛控系統適航審定，現有規章無法全面覆蓋新穎設計，因此需要專用條件補充現有條款來表明設計的安全性。

國內外對電傳飛控的上述設計特征進行了一定的設計考慮和驗證。加拿大NRC的Bell-412電傳飛控直升機在后期改型中，需要加裝飛行載荷單元和聯合多任務光電系統，在設計中充分考慮了電傳飛控系統和其他系統的交聯，并進行了模擬器和試飛試驗［6］；J.M.Morgan［7］結合電傳飛控直升機幾種不同的側桿形式，考慮了力感形式對飛行員操縱的影響，并在Bell-205直升機上進行了飛行員試驗；S-92配備有先進駕駛艙，可以為飛行員提供多級的顯示告警和音頻告警［8］；M.Alexander等［9］為了保證電傳飛控指令信號的正確性，在系統中加入了指令信號確認算法，并通過試飛試驗進行了驗證。

本文結合直升機的電傳飛控系統適航審定背景，針對民用直升機電傳飛控適航專用條件——系統結構交聯專用條件、操縱權限感知專用條件、飛行機組告警專用條件、飛行包線保護專用條件、指令信號完整性專用條件，給出條件關注的技術內容，對條款制定的背景和意義進行分析，結合設計特點和條款給出現有的符合性方法和符合性設計，并提出若干設計思考。

1 專用條件主要內容

1.1 系統結構交聯專用條件

系統結構交聯專用條件主要考慮的是：增加電傳飛控系統會引入很多新功能，需要判斷這些功能的使用過程和故障狀態是否會對結構產生影響和破壞。該專用條件定義的準則僅適用響應和性能對結構有直接影響的系統。

系統結構交聯專用條件內容主要提出：對于配備了系統可直接影響，或其故障與失效會影響結構性能的旋翼航空器，當表明對29部C分部和D分部要求的符合性時，必須考慮到這些系統及其故障狀態的影響。

對于配備了飛行控制系統、自動駕駛儀、增穩系統、載荷減緩系統、燃油管理系統及其他可直接影響，或故障狀態可影響結構性能的旋翼航空器，必須使用一定的準則來表明對該專用條件的符合性。若這些專用條件用于其他系統，則有必要依特定系統調整適用準則。

此外，系統對結構的影響需要分別考慮系統正常工作和發生故障兩種情況，在正常工作時，限制載荷必須在系統的所有正常運行構型下，旋翼航空器必須符合29部中的強度要求和氣動彈性穩定性［10］。而當系統出現任何未表明是極不可能出現的系統失效狀態時，必須表明在失效發生時的結構安全，和失效狀態下繼續飛行的結構安全。此外，還必須具有充分的系統失效的探測和指示。

1.2 操縱權限感知專用條件

傳統的飛行控制是由飛行員對操縱桿和腳蹬相對于操縱止動器位置的固有感知來判斷是否接近操縱限制。電傳飛控系統的操縱裝置與作動器之間沒有機械連接，駕駛艙操縱與主旋翼或尾槳作動器位置之間不具有直連的相關性，因此飛控系統不能通過與操縱位置物理止動或限制相關的駕駛艙操縱位置，為飛行員提供操縱權限反饋的觸覺提示［11］。

因此審定過程中要通過提出操縱權限感知專用條件，作為現有29.143要求的補充：系統設計必須保證，無論主飛行控制以任何方式接近操縱權限邊界時，飛行員都應獲得適當的感知。

1.3 飛行機組告警專用條件

該專用條件要求飛行機組告警必須具備以下功能：（1）提供飛行機組所需信息；（2）在所有可預見的操作條件下，包括在提供多個告警的條件下，對于機組而言是可讀的、易察覺的以及清晰的；（3）當報警條件不存在時及時解除。另外，基于飛行機組意識和響應的緊迫性，告警必須符合優先級排序，即警告—戒備—提示。

警告和戒備必須必要時在每個類別中優先考慮；能夠通過聽覺、視覺或觸覺指示的組合，以至少兩種不同的感覺提示來提供及時的注意力，對于該注意力提示，除非要求提示是連續的，否則應使得每個提示的發生能夠被確認并且能夠被抑制［12］。

告警功能必須通過設計最大限度地減少錯誤和虛假告警。特別是它的設計要滿足：防止發生不適當或不必要的告警；需要提供一種手段，抑制由于告警功能故障觸發警報而導致的注意力分散，從而妨礙飛行員安全操作直升機。這種方式不能過度容易地提供給飛行員，以免其無意中或習慣性地使用。當告警被抑制時，必須清楚明確地告知飛行機組告警已被抑制［13］。

此外，視覺告警指示必須遵循一定的顏色規律，且顏色使用不可妨礙飛行機組告警功能。

1.4 飛行包線保護專用條件

為了實現包線保護，當飛行器接近或超過限制時，電子飛行控制系統（Electric Flight Control System，簡稱EFCS）的控制律將發生顯著改變。相應地，當EFCS發生故障時，飛行包線保護功能也會發生變化或喪失。目前規章無法覆蓋這些新穎、獨特的保護功能，因此需要采用相應的專用條件［11］。

直升機電傳飛控系統飛行包線保護必須滿足以下要求：每一個飛行包線保護功能的啟動特性必須平滑，并與其飛行階段和機動類型相適應，且不會妨礙飛行員改變旋翼航空器飛行航跡、速度或姿態的操縱。受保護的飛行參數限制值（有時也考慮相關警告門限值）必須同結構、機動、臨界條件的裕度、旋翼和漿葉限制等相協調［14］。

航空器必須對駕駛員想要進行的機動作出響應，直至在參數限定的合適范圍內。當大氣條件或無意的駕駛員動作導致超越批準的飛行包線時，飛行包線保護系統不能產生非正常或有害的飛行特性。當包線限制同時啟動時，不能導致不利的耦合或產生不利的優先權。

如果出現未被表明極不可能的飛行包線保護單獨失效，旋翼航空器必須：（1）能夠繼續安全飛行和著陸；（2）能夠實施故障糾正，不需要特殊駕駛技巧和力量；（3）當運行在飛控系統降級模式時，在飛行手冊規定的可用飛行包線內，旋翼航空器仍可操縱和機動；（4）能夠持續儀表飛行，不需要特殊的駕駛技巧；（5）在整個可用飛行包線內，滿足29部B分部規定的操縱性和機動性要求；（6）如果在批準的飛行包線內進一步發生任何未被表明極不可能的失效或故障，航空器應可以安全操縱。

1.5 指令信號完整性專用條件

當前CS25規章已經將“指令信號完整性”專用條件內容要求變為電子飛控系統滿足25.671必須要滿足的內容。PS-ASW-27，29-09政策聲明中也描述了先進飛控主信號提供航空器的唯一控制，必須具有附加層級的仔細檢查。因此需要考慮指令信號的完整性對安全的影響。

指令信號完整性專用條件主要內容考慮：除符合現行671和672的要求外，還需滿足：

（1）無論飛機集成系統環境出現任何故障，或環境內部或外部的干擾，飛行控制系統都必須能持續地執行其預期的功能。

（2）任何氣動力回路內發生故障的系統，不應產生不安全水平的非指令性動作，并應具有在故障影響消除后，自動恢復執行關鍵功能的能力。

（3）氣動力回路內的系統，在暴露于任何故障源之中或暴露后，不應受到不利的影響。

（4）由于故障、內部或外部干擾導致的單個單元或組件損壞，同時這些損壞需要通告機組，要機組采取措施，則必須經審查組識別和批準，以保證機組能夠識別，同時還應保證建議的機組動作能產生預期的效果，使飛機繼續安全飛行和著陸。

（5）由虛假信號，如內部或外部干擾，或是功能故障引發的，導致系統從正常模式到降級模式的自動轉換，必須滿足適當的概率要求。

（6）暴露于內部或外部干擾，或是功能故障的虛假信號，不應導致大于允許概率的危害；必須評估對操縱品質的影響。

（7）必須表明飛行控制系統信號或者不能被無預期地改變，或者己被改變的信號滿足一定要求。

（8）必須表明控制面閉環系統的輸出不會導致飛行控制面非指令性的持續振蕩。對于較小的不穩定性影響，通過充分地評審、記錄和認知是可接受的。

2 專用條件背景與解析

2.1 系統結構交聯專用條件

電傳飛行控制系統及其相關系統的控制功能影響著旋翼航空器的結構完整性。這些系統在正常狀態和故障情況下對結構性能會產生影響，其強度水平與發生概率有關，而現行規章沒有考慮到這部分旋翼航空器載荷。因此需要專用條件來考慮這些特性［15］。

該專用條件常用于采用EFCS的運輸類飛機，現階段電傳飛控系統將逐步推廣到新的旋翼航空器上，因此也需要將該專用條件納入現有電傳飛控直升機的審定中。由于飛行控制技術的不斷提升，現有29部沒有為配備該系統的旋翼航空器達到可接受的安全水平提供依據（與25部類似），因此這些系統的審定需要制定專用條件［16］。

在過去，傳統的旋翼航空器飛行控制系統設計已經結合了助力系統、有限權限的增穩或控制增穩系統，以及部分依29.672和相應AC 29.672而審定通過的自動駕駛儀。這些系統集成到主飛行控制系統中，并具有足夠的控制權限產生機動，導致直升機接近其結構設計限制（29部C分部和D分部所規定的）。因此具有全權限的電傳飛行控制系統先進技術需要額外的要求來考慮飛行控制系統和結構的相互影響。

29部中確定載荷包線的規章并未完全考慮系統對結構性能的影響。自動系統可能失效，或者以小于全系統權限和相關的內置保護功能的降級模式運行。因此，有必要確定結構安全系數和工作裕度，使得在電傳飛行控制系統故障期間由于故障載荷而導致的結構失效概率不大于采用傳統飛行控制系統的旋翼航空器中出現結構失效的概率。為了實現這一目標并確保可接受的安全水平，有必要定義失效狀態及與其相關的發生概率。

傳統的飛行控制系統提供兩種狀態，即全功能正常工作或完全不工作。這兩種狀態對飛行機組來說是顯而易見的。新的主動飛行控制系統具有故障模式，允許系統在降級模式下運行，而無需全權限和相關的內置保護功能。由于這些降級模式對飛行機組來說不明顯，故監控系統需要提供降級系統狀態的通告，避免其對結構造成影響。

2.2 操縱權限感知專用條件

Bell-525型直升機采用了新穎的設計特征：四軸全權限數字電傳飛行控制系統。針對該系統，當前14CFR29部規章不能包含足夠的標準以涵蓋電傳飛控操縱余量感知方面的考慮。旋翼航空器操縱性和機動性適航標準包含在29.143內，這些操縱性要求與大多數電傳飛控系統相協調，而大多數機動性要求不受電傳飛控系統影響。

除了操縱余量，規章的一個目的是確保操縱余量在定義的飛行包線內是足夠的，以避免失去操縱（這是指旋翼航空器有足夠操縱能力，使飛行員能改出潛在危險飛行情況）［7］。其目的是為飛行員提供接近操縱極限的充足感知。當前29.143是針對機械液壓飛行控制系統的，通過其操縱桿和腳蹬相對于操縱止動器的位置，飛行員能夠感知操縱余量。但現有規章不足以用于電傳飛控系統的取證，電傳飛控系統中操縱裝置與飛控作動裝置之間沒有機械連接，沒有駕駛艙操縱與主尾槳作動器位置之間的持續相關性，因此對于所有飛行情況，飛控系統不可以通過與操縱位置物理止動或限制相關的操縱位置，為飛行員提供操縱余量反饋的觸覺提示。

因此基于上述情況，所提出的專用條件將給出最低的安全標準要求，以保證在接近主旋翼或尾槳操縱極限時，為Bell-525直升機飛行員提供感知。操縱權限感知專用條件為Bell-525直升機飛行員提供接近主或尾槳操縱極限感知的最低安全標準。該專用條件提出了兩方面要求：（1）當主飛控接近操縱限制時要通知飛行員；（2）是否要通知以及采用適當的方式通知。這樣可以加強飛行員對直升機的控制。

2.3 飛行機組告警專用條件

飛行機組告警主要考慮的是告警功能要素類型（包括視覺、聽覺和觸覺要素）、告警管理、告警與其他系統的接口或集成，以及顏色標準化［13］。目前的規章對可能的降級模式顯示的處理是不充分的，降級模式下飛行員需要知道主飛行操縱的狀態。

Bell-525型直升機設計了新的先進機組告警系統。其獨特性和先進性體現在聽覺和視覺告警、觸覺傳感器以及CAS信息整合的集成。同29.1322規定的用于警告、戒備和提示告警的離散彩色燈相比，新系統采用了綜合視覺、聽覺、觸覺和告警信息的新技術，可以更有效地進行機組告警并協助他們進行決策。

當前29.1322規定了用于警告、戒備和提示告警各自的彩色燈。但是現有29.1322缺乏足夠的適航標準用于以下不使用各自彩色燈的告警消息和顯示：提供告警信息給機組的非視覺提示，以及同時使用集成的和多個告警的情況。

Bell-525型機組告警系統將具有更有效的集成視覺、聽覺、觸覺和告警信息，這需要特殊適航標準來解決對于關鍵系統失效或異常的機組告警。這些專用條件將從運輸類飛機先進機組告警系統的適航標準25.1322（修正案25-131）中額外增加要求。

因此，建議的專用條件將會定義一個優先級排序方案，擴展顏色的要求，并解決機組告警的性能問題，以反映技術和功能的變化。

飛行機組告警是為了吸引飛行機組的注意力，通知飛行機組需要注意的非正常系統狀態或運行事件，以及建議飛行機組可以采取的行動。告警完成其目的的能力依賴于整個告警功能的設計，包括傳感器和觸發告警的狀態、如何處理信息（包括所分配的緊急程度和優先等級）、以及為表達緊急程度所選擇的告警呈現要素。不需要引起飛行機組注意的狀態不應生成告警。飛行機組告警系統應使用統一的告警狀態、緊急程度和優先等級以及呈現要素等理念。

2.4 飛行包線保護專用條件

飛行包線保護功能包括高迎角保護、法向過載限制、滾轉俯仰姿態限制和高速限制等，EFCS可以具有多種飛行保護功能。這種全時飛行包線保護（限制）功能的飛行控制系統，目的是防止飛行員無意或有意的超出飛行包線參數范圍。這些限制在正常和降級飛行模式時可以選擇是否被激活和被飛行員操控。目前規章尚無法覆蓋這些新穎、獨特的保護功能，因此需要采用相應的專用條件。29.1329自動飛行控制系統適航標準涵蓋了系統基本操作的設計要求，但不涉及自動飛行控制系統的動態飛行包線限制。因此提出專用條件能夠為飛行包線保護制定最低安全要求［11］。

飛行包線保護專用條件從正常飛行、高速限制和旋翼速度等角度提出安全性標準。條件要求旋翼航空器在正常運行下使用包線保護功能避免駕駛員或自動駕駛系統發出使飛機超出其結構或空氣動力學運行限制的控制指令。每個包線保護的進入特性必須是平滑的，并與其飛行階段和機動類型相適應，不與駕駛員改變航空器飛行航跡、速度和姿態的能力相沖突。受保護的飛行參數的限制值和相關的告警閾值必須與航空器結構限制、航空器所需的安全和可控、機動和臨界狀態的裕度兼容。

航空器必須對目標動態操縱做出響應，以保證航空器運行在批準的飛行包線內，并具有合適的參數限制范圍。當包線限制同時啟動，不能導致不利的耦合或不利的優先權。

直升機最大空速、槳葉速度、載荷系數、槳葉揮舞角度均在該條件的考慮范圍之內。同時應該建立旋翼航空器的俯仰滾轉速率、體速包線和周期操縱位置限制，任何限制體速的包線保護技術都應該防止桅桿碰撞，并確保桅桿或其他旋翼航空器部件沒有超出結構限制。

2.5 指令信號完整性專用條件

先進的飛控系統引入數字指令和電子元件，該新穎設計特征受到電磁干擾易產生虛假信號和（或）故障數據導致系統功能不正常，從而引起飛機不可接受的響應，最終導致飛行事故。因此需要采用特殊的設計措施保證系統的完整水平，使得系統具有與傳統液壓機械式設計等價的安全水平，由于第27部和第29部的規章要求僅針對機械飛行控制系統，針對這些特殊設計措施的要求未在當前使用的規章中體現，因此制定專用條件作為補充要求。

對于運輸類飛機來說，現行的適航規章相關條款（如25.671和25.672）主要是針對傳統液壓機械式飛行控制系統的，這些條款還沒有對指令和控制信號不得因內外干擾而改變做出專門的要求。因此，根據CCAR21.16的要求，需要制定專用條件以保持和現行規章等效的安全水平。

對于電傳飛控直升機來說，PS文件給出了可能的先進飛控失效狀態，以下這些都屬于指令信號完整性需要考慮的干擾［7］：（1）包含高于采樣頻率的顯著信號噪聲的傳感器信號，其模數轉換導致的混疊效應；（2）虛假報警，比如告警或警告，由太敏感的監控觸發，是由于監控門限或失效確認時間太短；（3）典型由高控制增益同非線性組合導致的限制周期，應最小化和減少到一個可接受水平；（4）某些影響導致的失效類型；（5）外部源（比如傳感器噪聲、電磁干擾等）或失效的設備（比如電觸點松動）的信號擾動導致虛假數據。

3 符合性方法和驗證技術

符合性方法的設計和制定要考慮多方面因素和限制，既要充分表明符合性，也要同時考慮演示說明成本和安全因素（特別對試飛方法來說）［17］。結合電傳飛控特征和各個專用條件覆蓋的內容，各專用條件可接受符合性方法如表1所示。

3.1 系統結構交聯符合性驗證技術

無論是在正常狀態還是失效狀態下，先進飛行控制系統的運行都有可能直接或因為故障而間接影響旋翼機的結構性能或氣動彈性的穩定性。比如增穩或顫振抑制系統中的主動載荷減緩功能。為了確定該專用條件的適用性，需要結構工程師進行評審，并通過分析、仿真或試驗的方法來證明。其中主要考慮部分包含：主動載荷減緩、故障瞬態、帶故障運行以及駕駛員誘發振蕩（Pilot Induced Oscillation，簡稱PIO）。

PIO是飛行員在試圖控制飛機時而產生的持續振蕩或一系列不可控制的飛機振蕩，是需要重點考慮的因素。先進飛行控制系統的獨特之處在于要特別考慮PIO的三個主要分類：（1）Ⅰ類——線性的飛機—飛行員交互；（2）Ⅱ類——準線性的飛機—飛行員交互；（3）Ⅲ類——高度非線性的飛機—飛行員交互。獨特的設計特征可能加速先進飛控系統Ⅲ類PIO的發生，比如控制律模式更改、自動包線保護系統和系統重構邏輯。先進飛控系統設計應該不易受到非線性特性影響，它會導致飛行員進行非直觀控制輸入來達到期望響應。在符合性表明過程中，識別能夠突然改變控制響應特性的系統非線性，以及評估補償跟蹤任務過程中的飛行條件，是一種可接受的表明方法。

因此，基于上述分析和考慮的審查要素，該專用條件的符合性要通過載荷分析/計算來驗證。若系統失效可能導致PIO，則需要試飛試驗或模擬器試驗或二者相結合的方式進行評估。

3.2 操縱權限感知符合性驗證技術

根據實際直升機的應用，合適的通告應該包括駕駛艙中控制位置顯示、信號燈顯示或者作動器/旋翼位置指示。該顯示和告警也應該考慮某些駕駛員的操縱在預期飛行環境中也是非常必要的。因此，一個設計恰當的簡單告警系統，應該能夠在預期或者控制限制的情況下區分到底是駕駛員的誤操作還是意識指令動作，一個能夠比較直升機運動、槳角變化和駕駛員指令需求的監控系統能夠有效消除虛假告警。

符合性方法主要采用系統設計描述、試驗室試驗、機上地面試驗和飛行試驗表明，特別注意的是通過飛行試驗科目表明主控制接近操縱權限時，系統可以向飛行機組提供告警信息。且告警信息（視覺、聽覺、觸感提示）必須有效的同時，要表明警告是需要的，而非騷擾性的；表明警告指示可以指導飛行員按照旋翼航空器飛行手冊指令采取合適的動作；且通過足夠的操縱裕度（在旋翼和反扭矩系統層級）表明有足夠的操縱能力來改出潛在的危險飛行狀態，可以避免失控。

因此，該專用條件的符合性表明要采用描述的方法，表明當俯仰、偏航和滾轉軸分別接近控制權限限制時，系統將向飛行機組提供EICAS告警信息。并通過鐵鳥試驗、機上地面試驗和飛行試驗進行驗證。

3.3 飛行機組告警符合性驗證技術

為了提高對運輸類飛機先進的飛行機組告警系統的安全性要求，FAA通過131號修正案更新了第25.1322條，該修訂解決了現代飛機關鍵系統的機組告警失效或者故障問題。然而，目前CFR 14第27部和第29部的標準并未給出旋翼航空器機組告警系統的響應標準，因此通過專用條件對該部分的飛行控制性能提出要求，以替代與29.1322中相關的要求。該專用條件要求的符合性表明工作是通過系統描述飛控系統告警指示，并通過試驗室試驗、地面試驗和部分試飛試驗進行驗證。

3.4 飛行包線保護符合性驗證技術

使用飛行包線保護能夠避免駕駛員或自動駕駛系統發出使航空器超出其結構或空氣動力學運行限制的控制指令。每個包線保護的進入特性必須是平滑的，并與其飛行階段和機動類型相適應，不與駕駛員改變航空器飛行航跡、速度和姿態的能力相沖突。受保護的飛行參數的限制值和相關的告警閾值必須與以下內容相兼容：航空器結構限制、航空器所需的安全和可控的機動、臨界狀態的裕度。

飛行包線保護驗證除了要考慮常規情況，還要考慮以下條件：高速限制、旋翼速度、載荷系數限制、體速限制。正常驗證程序應該覆蓋以下內容：法向載荷系數保護、俯仰姿態保護、滾轉姿態保護、高速保護、啟動特性、不安全特性的裕度、大氣干擾和風切變下的運行、保護功能的優先級和相互作用、超過被保護邊界。在審定過程中采用控制律描述文件對飛行包線保護控制律功能和邏輯、電子飛行控制系統（EFCS）失效情況下的控制邏輯與警示、非正常姿態控制進行說明，并通過試驗室試驗、模擬器試驗和試飛試驗協同完成各項的符合性驗證說明。

3.5 指令信號完整性驗證技術

在該專用條件的指令信號完整性驗證符合性表明過程中，需要考慮以下方面：應保持所有空氣動力學閉環系統的穩定增益和相位裕度，但不包括環路控制中的駕駛員；導致控制執行機構非指令運動的虛假信號和/或故障數據必須易于檢測和隔離，或者必須通過其他令人滿意的方式檢測、捕捉到舵面由于非指令信號引起的作動；系統殘留的小振幅的振蕩是可能接受的；為了證明非指令的持續振蕩、電子或電氣指令信號之間的耦合結果、與結構部件一起作動的機械作動系統的運動不會超過系統限制的頻率范圍，需要對不穩定影響進行徹底的調查、記錄和理解。

通過飛控系統描述表明系統架構及監控器設計，識別可能影響飛控系統的干擾，說明系統設計可以保證部分干擾不會導致控制指令發生改變，對于其他可能導致控制指令改變的干擾，將通過安全性評估、試驗室試驗、飛行試驗、工程模擬器試驗和設備鑒定試驗表明符合性。

4 關鍵技術問題

電傳飛控能為直升機帶來功能和性能上的提升，是當前和未來的重要發展趨勢。現已有UH-60、S-92、Bell-205等多型號采用這一系統，但這些型號多為軍用飛機或試驗機。民用方面目前只有Bell-525直升機是按照民用飛機全流程來進行適航取證的。因此從國內外發展情況來看，適航性設計和符合性表明仍然存在一定困難。對于直升機電傳飛控而言，從適航性設計與符合性表明的角度來看，本文認為在型號論證和設計過程中，需要從以下四方面來考慮。

（1）設計需求需要完整且正確。從適航角度來說，電傳飛控會引入大量的新穎設計，這些新穎設計在已取證的直升機型號沒有驗證或驗證不充分，因此在適航性設計里需要重點考慮。需求作為設計輸入，決定著整個設計流程是否正確或是否完整。因此在直升機電傳飛控設計過程中，要從需求入手，從功能、適航、安全性等多方面考量引入電傳飛控給直升機帶來的變化，提出正確和完整的設計輸入，確保正向輸入的完整執行。

（2）安全性分析的執行與貫徹。與軍用飛機“性能優先”的特點不同，民用飛機的最大特點就是始終要把安全性放在首位來考慮。因此安全性分析在民用飛機設計過程中起到重要作用。電傳飛控相對于傳統機械式飛控更為復雜，特別是架構與功能，因此其安全性分析也更為繁瑣。在執行安全性分析的過程中，首先通過FHA確定系統的功能及功能故障情況的描述，確定各種情況下故障造成的影響，故障影響等級分類。隨后進行PSSA來評估系統設計方案，產生安全性要求及目標。一旦系統開發完成，SSA將從所有安全性評估系統中獲取評估結果，其中包括故障模式、影響及危害性分析和共模分析，驗證文件及其對安全性標準的定量符合性分析文件。對于電傳飛控系統來說，安全性分析可以從功能到架構對系統進行充分評估，是整個研制周期中關鍵內容之一，需要重點關注。

（3）通過研制過程保障抑制研制差錯。對于電傳飛控系統來說，由于引入大量的復雜軟硬件，使得系統成為高度綜合的復雜機載系統。對于這種系統，試驗無法完全覆蓋到每一種工況，因此需要通過有效的研制過程保障來確保飛機系統的安全性。研制過程保障不僅可以表明對1309條款的符合性，在保障的執行過程中也可以提升工業方的管理能力，加強系統工程思維。因此在整個設計過程中要強化研制過程保障，提升系統安全性。

（4）考慮電傳飛控與其他系統的交聯。相對于機械飛控來說，電傳飛控的控制律形式多樣，可以極大地豐富直升機的功能和提升性能。但作為直升機的“大腦”，其功能和性能的改變也會影響直升機其他系統的安全性或功能的完整性（Bell-525的試飛墜機就是振動與操縱的耦合導致的）。例如適航中需要考慮的飛行特性、性能、結構、電磁、噪聲、振動、牽引、吊掛系統等，都會受到飛控系統的影響。對于這些交聯的考慮有些是通過正向設計、安全性設計來保證的，有些則是通過工程經驗來判斷，因此在電傳飛控的設計過程中需要對系統交聯進行重點關注。

5 結束語

本文圍繞民用直升機電傳飛控系統適航專用條件展開研究，闡明了對直升機電傳飛控系統附加的安全標準，并提出對直升機電傳飛控的一些思考。電傳飛控系統是未來民用直升機重要發展方向之一，其適航設計與安全性保證也需要進一步加強研究。