基于安全性分析的民用飞机襟翼倾斜探测设计

谢 剑，徐向荣

(中国商用飞机有限责任公司上海飞机设计研究院，上海 201210)

现代民用飞机的设计特别重视安全性，飞机的安全运营成为飞机设计的首要考虑因素。各国适航监管部门将飞机的安全作为飞机设计的最低要求，所有能够运营的民用飞机均应取得由适航部门颁发的各种适航资格证。民用飞机主制造商必须将安全性分析的理念贯穿飞机设计的全生命周期，FAR25.1309、CCAR25.1309等明确规定，飞机系统与有关部件的设计，发生任何妨碍飞机继续安全飞行与着陆失效状态的概率必须为极不可能，发生任何降低飞机能力或机组处理不利运行条件能力的其他失效状态的概率为不可能[1-3]。

对于飞机各个复杂机载系统的设计，基于安全性评估的设计已经成为一种通用并强制的方法，ARP4761提供了一套详细的机载系统安全性评估流程[4-5]。如何按照ARP4761的规定，将安全性分析与评估贯穿至设计并改进设计成为民用飞机机载系统设计的一个难题。本文以民用飞机襟翼系统倾斜构架设计为例，探讨了一套基于安全性分析的民用飞机襟翼系统倾斜方案设计方法。

1.1 民用飞机襟翼倾斜的条款要求

相关适用性条款主要包括两条：

第一条，FAA,EASA,CCAR 25.571(a)。主要针对襟翼结构及舵面，要求飞机结构应该：“An evaluation of the strength must show that catastrophic failure due to fatigue, corrosion, or accidental damage, will be avoided throughout the operational life of the aeroplane.”相关咨询通告中申明，可在结构设计中采用破损-安全的方法表明符合性。

第二条，FAA,EASA,CCAR25.1309(b)。主要针对飞机机载系统和设备，要求系统和设备应该：“The aeroplane systems and associated components, must be designed so that(1)any catastrophic failure condition(i)is extremely improbable; and(ii)does not result from a single failure.”相关咨询通告中申明，可在系统设计中采用失效-安全的设计方法表明符合性，但同时需要证明任何单点故障都不能造成系统/设备的灾难性失效状态。

1.2 民用飞机襟翼倾斜对飞机的安全性影响

以下两种失效情况可能导致襟翼舵面倾斜。

1)襟翼驱动站位卡阻。

襟翼驱动站位卡阻可能出现在作动器等部件上，也可能出现在结构等部件上。其中一个驱动站位出现卡阻，另一个驱动站位受到襟翼系统继续驱动，导致翼面发生倾斜。在此状态下，翼面为一个柔性刚体，传递传动链系载荷，其变形量取决于前置作动器的驱动力、气动力和后续传动链系所传递的载荷，受力分析较为复杂，翼面可能遭到破坏。

当翼面放下时，扭矩限制器可能被触发。翼面收起时，由于气动力减小了站位的驱动力，扭矩限制器一般不触发。该类由于卡阻导致的翼面倾斜可能破坏翼面，必须通过一定的设计手段及时探测锁定。襟翼驱动站位卡阻导致倾斜的模型如图1所示。

图1 襟翼驱动站位卡阻导致倾斜的模型

2)传动链系脱开空转。

襟翼系统内部驱动部件脱开，或者驱动结构件与翼面脱开，导致翼面悬浮，传动链系空转。当襟翼作动器与襟翼翼面脱开时，翼面受到襟翼作动器驱动力和气动力载荷的作用发生倾斜，翼面刚度决定了倾斜量的大小，此类倾斜影响飞机起降阶段的升力控制，部分场景下还影响飞机操纵性能和操稳品质。传动链系脱开导致的倾斜模型如图2所示。

图2 传动链系脱开导致的倾斜模型

民用飞机襟翼倾斜方案的确定需要经过一个极其复杂的评估过程，为方便论述，本文给出了一套以安全性分析为基础的襟翼倾斜方案确定流程图，如图3所示。

图3 襟翼倾斜探测方案确定流程

1)系统功能危害性评估。

基于系统功能定义与分析，对系统功能进行功能危害性评估，襟翼倾斜影响了飞机的增升功能。一方面，倾斜量过大，可能造成飞机起飞着陆时的升力不够，或者滚转力矩过大不易操作飞机。另一方面，襟翼倾斜将会造成襟翼舵面发生扭转变形，可能造成襟翼舵面结构的损坏。通过对飞机和乘客、机组影响评估，给出襟翼倾斜未被探测或者锁止的失效状态(FC)等级。

功能危害性评估的输出为襟翼倾斜未被探测或者锁止失效等级，也就是失效的概率。它将作为后续系统初步安全性评估的输入。

2)系统初步安全性评估。

系统初步安全性评估最重要的任务是评估系统确定的倾斜构架能否满足1)中确定的襟翼倾斜未被探测或者锁止的概率。通过对该失效状态进行故障树分析，分配系统内各个部件的失效概率指标和接口系统的可用性完整性指标。如果评估显示襟翼倾斜构架不能满足既定安全性要求，必须在早期对系统进行优化，更改其设计逻辑甚至更改设计构架，再次进行初步安全性评估，如此往复迭代最终确定一个可以满足系统安全性要求的襟翼倾斜构架。

图4给出了一个通过故障树模型分析倾斜构架是否满足失效状态要求的简化模型图。

图4 简化故障树分析模型

3)襟翼倾斜方案权衡确定。

如果构架满足安全性要求，按照构架要求，提出多项襟翼倾斜方案，并对若干襟翼倾斜方案进行权衡，权衡时需要综合考虑系统部件安装空间、重量、单机成本等一系列因素。在经过反复权衡后，最终确定襟翼倾斜方案，确定各部件的安装方式、探测方法以及报警阈值。

襟翼倾斜探测的基本原理为：襟翼翼面出现倾斜后，倾斜传感器能够及时探测到相应的倾斜并反馈给计算机，计算机及时向飞行员发出失效警告并锁止襟翼系统。根据襟翼传感器布置的位置不同，目前在役民用飞机襟翼倾斜探测方案一般可以分成以下两种情况。

第一种情况：襟翼倾斜传感器安装在两块襟翼之间，此类传感器多采用长度变化探测传感器，相应的布置如图5所示。

图5 内外襟翼翼间倾斜传感器探测方案

第二种情况：襟翼倾斜传感器安装在两块翼面的每个站位上，每个站位分别由一个倾斜传感器探测其运动角度，并通过对几个站位的传感器角度进行比较来判断是否发生倾斜，此类传感器多采用角度变化探测传感器，相应的布置如图6所示。

图6 各个站位倾斜传感器探测方案

经过对上述两种构架方案的初步安全性分析(参见第2节2)中的故障树分析方法)，探测方案均能满足顶层“襟翼倾斜未被探测或锁止”的失效状态等级要求。

1)内外襟翼翼间倾斜传感器探测方案。

内外襟翼翼间倾斜传感器探测方案的原理为：在内外襟翼翼面之间各选择一个安装点，采用一个长度探测传感器探测两个安装点在正常状态和作动器脱开状态下长度的变化，间接判断襟翼是否发生倾斜。

采用该方案的难点在于如何避开内外襟翼之间运动产生的剪刀差，精确设定倾斜阈值。由于几个站位的襟翼驱动机构参数不一致，导致不同站位运动范围不一致，从而使内外襟翼驱动机构运动不同步，进而产生剪刀差，剪刀差的存在使得长度探测传感器在襟翼正常收放过程中就存在长度的变化。

为了有效避免剪刀差对阈值设置的影响，计算机将襟翼运动全行程的传感器长度储存并补偿正负阈值，传感器的正负阈值在全行程中改变。

该方案有一系列优点：使用单个传感器探测，可以极大地降低倾斜探测部件的全机重量；
方案相对简单，提高了可靠性、派遣率和维修性；
机翼后缘布置空间有限，有助于安装协调等。但使用该方案也需攻克一系列技术难点：确定传感器长度时必须尽可能多地覆盖飞机各个构型，理论上传感器的运动长度需通过采集襟翼运动全过程中的位置计算得来，但由于设计初期飞机的计算数据有限或者计算仿真无法获取所有位置值，传感器的运动长度较难确定；
由于计算仿真采取的保守载荷相比实际飞行载荷偏大，初期设定的传感器长度变化值将比实际变化值大；
传感器变化的阈值区间范围较小，基于设计初期理论分析很难确定正确的阈值来阻止误报警的发生，传感器阈值的选择将是一个很大的风险。

另外，襟翼翼面的刚度将很大程度上影响传感器的长度选择，随着设计持续推进，如果襟翼翼面刚度发生较大变化，将会导致这种方案无法有效探测襟翼倾斜。

2)襟翼各个站位倾斜传感器探测方案。

该方案为在襟翼各个站位安装角度探测传感器，通过探测摇臂的转动角度来判断襟翼是否产生倾斜。正常工况下，内外襟翼的两个作动器角度一致；
当发生作动器脱开时，内外襟翼的两个作动器角度不一致，传感器角度差别超过一定阈值，计算机便报警襟翼倾斜并锁止襟翼作动系统。

该方案克服了襟翼翼间传感器探测方案的很多技术难点：方案无需考虑内外襟翼运动机构剪刀差产生的影响；
各个站位的作动器脱开都能很容易被探测到；
极大地减小了倾斜探测阈值设置的风险。该方案的缺点为：使用了大量传感器，相比较于襟翼翼间传感器探测方案，每架飞机多出很多传感器，增加了飞机重量；
每个站位都需布置传感器，由于后缘站位处有限的布置空间，具有潜在的安装协调风险。

上述两种襟翼倾斜探测方案各有优劣，确定使用哪种方案需要综合飞机的各项设计要求进行权衡，并配合后续大量的地面试验室试验甚至试飞试验来确定各种重要设计参数。

民用飞机襟翼倾斜探测的需求来源于适航条款CCAR 1309(b),襟翼倾斜被探测或锁止极大地影响飞机的飞行安全。基于安全性分析的襟翼倾斜评估是一种有效的表明CCAR 1309(b)符合性的方法，在确定襟翼倾斜构架符合顶层安全性要求后，进一步结合飞机的安装空间、重量、成本和探测阈值进行方案权衡，是民机襟翼倾斜探测设计的主要内容，本文的论述对于后续国内民机设计具有重要的参考意义。