民机燃油箱防爆闪电防护新适航要求研究



民机燃油箱防爆闪电防护新适航要求研究

Research on New Airworthiness Requirements of Lightning Protection for Civil Aircraft Fuel Tank Explosion Prevention

张斌岳鹏薛勇周宇穗 / Zhang BinYue PengXue YongZhou Yusui

(上海飞机设计研究院，上海 201210)

(Shanghai Aircraft Design and Research Institute，Shanghai 201210，China)

0引言

当闪电击中飞机时，高能量的闪电有可能导致结构件融化、烧毁或变形；同样，高能量的电流不仅会流经机体，而且会在油箱内的管路、线缆等部件上产生诱导电压和电流，可能会产生电弧或火花，若此刻燃油蒸气可燃，则会导致飞机燃油箱爆炸，历史上与闪电有关的空难事件出现过数次。

因此适航条款对民用飞机燃油箱系统闪电防护设计的要求是燃油箱防爆设计及验证的一个重要方面，受到局方及航空工业界的高度关注。

2014年12月18日，FAA官方正式发布了FAA-2014-1027号文件[1]，关于燃油箱系统闪电防护相关条款的修订通告(NPRM)，主要涉及§25.954和§25.981条款的修改。

本文基于FAA最新的NPRM，通过研究FAA关于民用飞机燃油箱系统防爆方面闪电防护的适航要求演变，总结了相应条款的演变内容、符合性方法及未来变化趋势，提供民用飞机的闪电防护设计及适航验证前瞻指导。

1适航条款要求及分析

1.1　适航条款要求

1963年12月8日波音707空难事故后，FAA于1967年通过25-14修正案颁布了§25.954燃油系统闪电防护的适航条款(条款内容一直沿用至今)。但此条款未考虑失效或降低状态下防护要求，既无相关容错设计的要求，也无评估相关失效概率的要求。

1.1.1§25.954燃油系统的闪电防护

燃油系统的设计和布局，必须防止由于下列原因而点燃系统内的燃油蒸气：

(a) 雷击附着概率高的区域直接被闪击；

(b) 扫掠雷击可能性高的区域被扫掠雷击；

(c) 燃油通气口处的电晕放电和流光。

1996年，波音747飞机TWA800航班起飞不久即坠毁，这一事故彻底震动了FAA和航空工业界。随后FAA要求美国航空规章制定咨询委员会(ARAC)形成联合调查小组并给出调查报告。调查表明可能是中央翼油箱线缆老化，发生电弧导致油箱着火。虽然本事故并非由闪电击中导致，但FAA认为在闪电的情况下亦可以导致相同后果。

2001年5月，FAA针对§25.981颁布了102号修正案，第一次对燃油箱系统点火源防护设计提出严格的多重容错设计及失效降级考虑，同时也提出了降低可燃性的初步要求。FAA相应颁布了相关的指导文件AC25.981-1C，在AC中明确，闪电属于点火源的一种形式，适用§25.981(a)(3)。且在分析点火源时，应考虑闪电发生的概率是1，同时燃油蒸气是一直可燃的(可燃性概率也是1)。

1.1.2§25.981(a)燃油箱点燃防护

(a) 在可能由于燃油或其蒸气的点燃导致灾难性失效发生的燃油箱或燃油箱系统内的任一点不得有点火源存在。必须通过以下表明：

(1) 确定燃油箱或燃油箱系统的最高温度低于预期燃油箱内燃油的最低自燃温度，并留有安全裕度。

(2) 证实其内的燃油可能被点燃的每个油箱内，任何一处的温度不会超过本条(a)(1)确定的温度。如果某些部件的工作、失效或故障可能提高油箱内部的温度，则必须在每一部件所有可能的工作、失效和故障条件下验证本条。

(3) 证实点火源不会由每个单点失效、每个单点失效与每个没有表明为极小的潜在失效条件的组合或者所有没有表明为极不可能的失效组合引起。必须考虑制造偏差、老化、磨损、腐蚀以及可能的损伤的影响。

2008年，鉴于已经对燃油箱可燃性特性的深入了解，FAA为了明确可燃性的要求，针对§25.981颁布125号修正案，细化了可燃性指标，但点火源方面的要求没有改变。

目前基于民用飞机燃油箱防爆已经颁布的闪电防护适航条款要求，主要针对§25.954和§25.981条款。

这期间，整个航空工业界或局方关于闪电防护设计或验证相关的指导文件主要如表1所示[2-3]。并对飞机燃油箱系统的一些关键区域开展了相关研究，如图1所示。

表1　闪电防护设计或验证指导文件

图1　燃油箱系统闪电防护潜在危险区域

1.2　适航条款分析

1.2.1§25.981(a)(3)条款要求的局限性

随着公众对条款理解及闪电认识的提高，发现§25.981(a)(3)款关于闪电防护的要求在具体执行及符合性验证时存在一定局限性。

基于§25.981(a)(3)款要求，燃油箱系统(包括结构和系统两部分)设计一般应具有三重独立的点火源防护功能，对于只有两重防护的设计，可通过定期检查维护或者安装特殊功能检测装置等方式保证防护特征的持续有效来满足条款要求。

由目前飞机燃油箱结构的闪电防护设计可知，很多情况不满足条款要求，如：传统金属结构飞机的燃油箱结构闪电防护，一般具有两重独立的闪电防护功能，即紧固件与油箱结构之间的过盈装配及结构紧固件的密封胶，能保证单点失效不产生点火源；但此两重结构闪电防护特征的失效形式为潜在失效。如帽形密封件的脱胶和松动，以及紧固件与蒙皮结构连接的破损等，无法通过安装监控设备及时发现失效，也无法通过定期检查保持闪电防护特征的持续有效。

另外，部分结构在特定失效模式下闪电防护特征无法提供容错设计，如高载荷紧固件的断裂和随之密封胶脱落的失效模式等。

因此飞机燃油箱结构部分区域的闪电防护设计不能直接符合§25.981(a)(3)款要求。同时FAA研究发现，无论从关键闪电击中概率还是燃油箱可燃性，条款的假设均极度保守。如关键闪电集中概率，几乎是1/100 000，加之现在的燃油箱可燃性，对于有惰化系统的飞机小于1%，对于没有惰化系统的飞机也一般为1%~5%。

2009年，FAA颁布了政策备忘录ANM-112-08-002[4]，指出针对燃油箱结构闪电防护的§25.981(a)(3)要求，申请人考虑闪电发生概率、燃油箱可燃性等方面进行符合性验证。局方一般通过向申请人颁布专用条件或豁免进行§25.981(a)(3)条款的间接符合。

同年，FAA要求闪电防护的航空条款制定委员会(ARC)组织重新评估§25.954条款及§25.981相关修正案。经过两年评估，ARC于2011年5月完成评估，并形成报告呈交FAA。主要建议包括：

(a)三重防护设计对于系统而言，是可行的，但是这样设计的结果是导致系统非常复杂，且可能会引入潜在不安全因素。为了“提供可接受的安全水平”的目的来讲，没有必要这么做，建议FAA对待系统的闪电防护要求处理方式应同燃油箱结构一样(若证明发生点火的概率为极不可能(结合闪电、可燃性)，则可以不提供容错设计)。

(b)研究发现，很多闪电防护特征往往在维修过程中引发失效，故建议除了关键设计构型控制限制(CDCCL)中明确要求外，应在维修手册中也直接体现警告信息，贯彻到终端环节。

2014年6月24日，FAA颁布了过渡性的政策指导文件PS-ANM-25.981-02[5]，取代ANM-112-08-002，采纳了ARC的建议。

1.2.2新条款要求

由于考虑到§25.981(a)(3)款要求的局限性，2014年12月18日 FAA发布了FAA-2014-1027号文件，关于修正燃油箱系统闪电防护相关条款的NPRM。

该条款修订的相关建议均来自闪电ARC的研究报告。此次提案修改的条款涉及§25部中与燃油箱系统(除了燃油箱结构，还包括安装在油箱内或者穿过壁面的、有可能受到关键闪电导致点火源的管路、部件、线缆等)闪电防护相关的条款，即§25.954和§25.981条款。

主要更改内容归纳如下：

(1) §25.954条款

i.除了原有的要求，计划增加由于闪电导致的诱导或者导通电流的考虑；

ii.新增一条要求：燃油箱系统的设计和布置应保证由于闪电导致的灾难性事件发生为极不可能，应结合考虑燃油箱可燃性、关键闪电发生概率及系统失效概率进行评估；

iii.关于燃油箱外和闪电相关的可燃液体防火，仍然由§25.863涵盖；

iv.新增闪电防护特征的CDCCL的要求，类似102修正案CDCCL要求；

v.新增闪电防护特征的持续适航文件要求。

(2)§25.981(a)(3)条款

i.除去针对闪电防护的要求；

ii.重新表达CDCCLs的要求，不产生歧义。

(3)附录H持续适航文件条款

i.H25.4中新增闪电防护特征的适航限制项目；

ii.新增H25.X，明确闪电防护特征的持续适航文件。

(4)相关AC

i.新发布AC将指导§25.954条款的符合性验证(AC_25_954-X)；

ii.更新两份现有AC(AC_25_981-1X和AC_20-53C)。

上述可知，FAA将闪电导致点火源的防护要求从§25.981(a)(3)中删除，进一步理清了闪电要求的条款辖属关系，以便航空工业界理解与验证，且明确了应基于性能的研究办法进行评估闪电导致灾难性事件发生；另外，针对闪电防护，燃油系统的适航要求和燃油箱结构一致，都可以基于性能进行评估；最终，为了保证闪电防护特征的持续有效，新增相关适航限制项目(ALI)和持续适航指令(ICA)的持续适航要求。

1.2.3符合性验证方法

由于新条款的要求，对应符合性方法随之而变，其中最关键的是闪电导致燃油箱爆炸的定量分析符合性验证。早期条款要求只考虑点火源防护特征失效导致燃油箱爆炸发生的概率，而闪电发生及燃油蒸气可燃的概率均假设为1，显然是不合理的。现在均需按实际进行计算分析，下面着重对各因素的实际分析方法进行阐述。

(1)关键闪电定义及发生概率

由FAA-2014-1027 号NPRM可知，关键闪电的定义是指闪击到飞机某个闪电防护特征失效的区域且闪击能量能够引起燃油蒸气点燃的闪电。

由SAE AE-2闪电组织的研究文件[6]可知，关键闪电发生的概率应考虑三方面因素：航线中闪电的发生概率、击中飞机特定区域的因数、点火源发生的阀值因子；三者相乘即为关键闪电发生的概率。同样，文献中给出了每个值的选择或计算分析方法，如“航线中闪电的发生概率”可以从SAE ARP5412A获得，通常3.33E-04飞行小时是一个可以接受的水平。

(2)闪电防护特征失效概率

对闪电防护特征失效的概率分析，类似§25.981(a)(3)中传统分析方法，即以部件或结构元件实际的失效概率为准，同样，SAE AE-2闪电组织的研究文件[6]给出燃油箱结构元件的失效概率评估方法。

(3)燃油箱可燃性水平

首先，需要引入两条适航条款专业术语定义，即机队平均可燃暴露率和可燃性暴露评估时间。

由§25.981条款可知，机队平均可燃暴露率通常简称为燃油箱可燃性水平，表示某类型飞机机队在各种飞行距离、各种环境条件和燃油性能条件下飞行时，其燃油箱气相部分是可燃的时间与可燃性暴露评估时间的百分比。而可燃性暴露评估时间是指飞机从准备起飞开始，经过飞行和着陆，直到所有货物被卸完，乘客和机组人员都已离开的时间。

自从2001年FAA针对§25.981颁布102号修正案后，航空工业界关于燃油箱的可燃性分析工作就正式展开，即利用FAA发布的蒙特卡罗分析程序对燃油箱进行可燃性评估，得出其可燃性水平，判断是否满足适航条款的定量要求。FAA颁布的相关指导文件有AC 25.981-2A[7]及DOT/FAA/AR-05/8[8]，蒙特卡罗分析程序主界面如图2所示。

此次新的NPRM，FAA明确可以将蒙特卡罗分析的燃油箱可燃性水平作为一个考虑因素，按通常燃油箱的可燃性水平为3%计算，几乎比先前默认的可燃概率为“1”降低了近1E-02。

图2　蒙特卡罗分析程序主界面

由上述得出三项概率或数值后，分别相乘即可获得单个特征失效且由闪电导致点火源发生的概率，最后对所有特征的点火源发生概率相加，即可获得最终的失效概率，判断是否小于1E-09。

由分析可知，新§25.954条款的符合性验证不仅涉及传统的燃油专业，还涉及E3、结构、可靠性等专业，需协同开展工作才能完成此项适航验证。

1.2.4新要求带来的影响

按照美国一系列联邦或组织法案，新发布条款需要进行详细的评估分析。经FAA评估，此次修正条款，属于航空工业界和局方共收益的更改，并没有任何支出。评估显示，进行此次条款更改，收益情况为：最大83.6亿美元，最小38.4亿美元。

可以看出，相比以前，未来民用飞机燃油箱系统的闪电防护设计要求将间接放宽，且不仅针对燃油箱结构，油箱内机载系统的闪电防护设计要求也将放宽，FAA此项要求的松动能使申请人更加容易实现飞机的闪电防护设计及符合性验证，另外还能大幅降低相关航空产品的研发或运营投入以及诸多成本，对航空工业界纯属利好驱动力。显然飞机运营成本的降低，公众也会间接受益。

例如，目前航空工业界为了满足闪电导致燃油箱爆炸的失效概率小于1E-09，鉴于修正前的规章认为关键闪电概率和可燃性水平均为“1”，需将闪电防护特征失效的概率设计为小于1E-09才能满足要求，故部件的闪电防护设计非常复杂，拥有多重闪电防护特征，如图3、图4所示，分别是多重自搭接柔性接头和增加额外电搭接线的管路接头组件，无论是设计、鉴定、安装、检查及维护等方面均非常复杂、昂贵。

图3　多重自搭接柔性接头

图4　油箱内管路接头组件电搭接线

若按FAA最新NPRM要求，为满足闪电导致燃油箱爆炸的失效概率小于1E-09，若假设关键闪电概率为1E-04，燃油箱可燃性水平为1E-02，则将闪电防护特征失效的概率设计为小于1E-03即可满足要求，相比从前降低了近1E-06。故航空工业界可以简化部分闪电防护的冗余设计特征，大幅降低研发及运营维护成本。

2结论

通过对FAA关于民用飞机燃油箱系统防爆闪电防护适航要求演变的分析研究，明确了最新闪电防护的适航要求、符合性方法及对航空工业界的影响，结论如下：

(1)鉴于§25.981(a)(3)款对闪电防护要求的局限性，FAA对条款进行了更改完善；

(2)最新NPRM，FAA明确了燃油箱系统(结构和系统)的闪电防护设计要求，即考虑闪电发生概率、燃油箱可燃性水平、防护特征失效概率等方面进行符合性验证；相对降低燃油箱系统闪电防护设计的单方面要求；

(3)由于设计要求的间接放宽民用飞机设计及制造业将大幅降低该领域的研发及运营维护成本；

(4)FAA通过增加持续适航的要求，强调了在各个环节控制或预防点火源特征失效的重要性。

参考文献：

[1]FAA-2014-1027.Transport Airplane Fuel Tank and System Lightning Protection[S].Dec 18, 2014.

[2]AC 25.981-1C.Fuel Tank Ignition Source Prevention Guidelines[S].Sep 19, 2008.

[3]SAE ARP5416.Aircraft lightning test methods[S].Mar 2005.

[4]ANM-112-08-002.Policy on Issuance of Special Conditions and Exemptions Related to Lightning Protection of Fuel Tank Structure[S].May 26, 2009.

[5]PS-ANM-25.981-02.Policy on Issuance of Special Conditions and Exemptions Related to Lightning Protection of Fuel Tank Structure and Systems[S].Jun 24, 2014.

[6]SAE AE-2 Lightning Committee. Policy Guidance for Fuel Tank Structural Lightning Protection[S].July 5, 2011.

[7]AC 25.981-2A.Fuel Tank Flammability Reduction Means[S].Sep 19, 2008.

[8]DOT/FAA/AR-05/8.Fuel Tank Flammability Assessment Method User’s Manual[S].May 2008.

摘要：

民用飞机燃油箱系统防爆设计是飞机设计的一个重要方面，其中适航对燃油箱系统闪电防护设计要求作为燃油箱防爆设计及验证的一个重要组成部分，历来受到航空工业界及美国联邦航空局(FAA)的普遍关注。通过研究FAA关于民用飞机燃油箱系统防爆方面闪电防护的最新适航要求，总结了相关条款的变化内容及相应的符合性验证方法，并预判了未来航空工业界由此产生的影响，对民用飞机适航验证有一定借鉴意义。

关键词：民用飞机；燃油箱系统；防爆；闪电防护；适航

[Abstract]Fuel tank system explosion prevention of civil aircraft is an important part of aircraft design, and airworthiness requirements lightning protection regulatory for fuel tank system as an important part of fuel tank explosion proof design and validation, has attracted widespread attention in the aviation industry and Federal Aviation Administration(FAA). This paper studies the latest FAA lightning protection airworthiness requirements of civil aircraft fuel tank system, summarized the evolution of the corresponding provisions and compliance validation method, and also predicted the future effect on aviation industry. The results show the method can provide useful reference for the civil aircraft airworthiness certification.

[Key words]civil aircraft；fuel tank system；explosion prevention；lightning protection；airworthiness

中图分类号：V228.1+1

文献标识码：A