航空发动机超转保护系统适航符合性研究

陈君伟

(中国航发控制系统研究所，江苏无锡214063)

航空发动机超转保护系统适航符合性研究

陈君伟

(中国航发控制系统研究所，江苏无锡214063)

适航要求是利益相关方的需要，不能直接作为需求用于设计，如何解读适航要求并实现设计是适航符合性的重点。以民用航空发动机超转保护系统相关适航要求为基础，利用系统工程中的需求分析方法，将超转保护系统的适航要求转化分解为全寿命周期的设计需求。针对分解识别出的设计需求，提出了发动机超转保护系统的适航符合性方法，以及电子和机械超转保护系统在适航审定中的验证内容，可为民用航空发动机超转保护系统的设计、验证提供参考和借鉴。

航空发动机；超转保护；符合性方法；发动机转子；控制系统；适航规章；需求分析

1 引言

现代燃气涡轮发动机控制的基本任务，是在发动机各个气动、热力和机械设计限制内，提供满足飞机各种工作状态所需要的燃油，并相应调节一些可变几何形状，从而得到安全、稳定的发动机性能及快速响应[1]。

在燃气涡轮发动机的机械结构限制中，比较典型的是转子允许的最大转速限制，即发动机超转限制。航空发动机超转事故轻则造成发动机自身物理结构受损(如叶片断裂)，重则危及飞机飞行安全。鉴于超转的巨大危害，超转保护系统被认为是发动机控制系统中最关键的保障系统之一[2-3]。

当前国内外民用航空发动机主要采用了全权限数字电子控制(FADEC)系统，其超转保护系统的实现方式主要有机械液压式和电子式两种。CFM56-5B发动机是典型的机械液压式超转保护系统，其利用离心转子实现转速测量与液压执行机构动作的关联，进而实现对发动机超转的抑制，可防止发动机超过稳态转速106%。应用电子式超转保护的典型是V2500发动机，其由数字电子控制器(EEC)实现超转保护电子电路，硬件和软件信号组合作动力矩马达，驱动燃油计量装置中独立的超转活门，以达到超转后减少燃油流量到最小值的目的[4-5]。

在发动机适航审定过程中，超转保护系统作为发动机的重要保护系统，必然也要满足适航规章要求。美国联邦航空管理局(FAA)在2008年颁布了Amdt33-26号修正案，对FAR33部[6]的发动机控制系统要求进行了修订，明确提出了保护系统的适航要求，因此在其颁布后提出适航审定申请的发动机型号均应满足这一要求。中国民用航空局(CAAC)在2011年参考FAR33部的第21～30修正案对CCAR33部[7]进行了修订，也增加了保护系统的适航要求。但由于国内目前尚无一型自主研发的民用航空发动机通过适航审定，超转保护系统如何落实适航要求、表明对规章的符合性，还没有可参考的经验。因此，充分理解超转保护系统适航要求，将其转化为设计需求并落实，是当前亟需开展的工作。本文使用系统工程的需求分析方法，结合控制系统全寿命周期管理，将超转保护系统相关适航要求分解成为全寿命周期活动中的设计需求，并针对性地提出了适用的符合性方法和验证内容。

2 超转保护系统适航要求及需求转化

2.1 超转保护系统适航要求

美国联邦航空条例FAR33部和中国民用航空条例CCAR33部中，均对发动机超转保护系统做出了要求。以CCAR33部为例，其中对超转保护系统最直接的要求是33.28条款的第f条[7]，其规定为：

(1)发动机控制设备、系统和发动机仪表的设计和功能，以及发动机使用和维护说明，必须合理保证，影响涡轮、压气机、风扇、涡轮增压器转子结构完整性的发动机使用限制在工作中不会被超出。

(2)当提供电子式超转保护系统时，设计必须包括系统的检测方法，以确定保护功能的可用性，并且至少每个发动机起动/停车循环检测一次。该方法必须能以最少的循环数完成系统的全面测试。如果这种测试不是完全自动的，则必须在发动机使用说明手册中包含手动测试的规定。

(3)如果超转保护是液压机械式或机械式的，必须通过试验或其他可接受的方法验证，超转保护功能在检查和维修周期内可用。

从国内外适航规章对发动机超转保护系统的要求可以看出，当前发动机设计无论采用电子式超转保护还是机械式超转保护，都是民航审定许可的方式，只是在检测手段上存在一定差别。可以肯定的是，发动机应具有超转保护系统，且该系统应保证其在需要时可用。另外，超转保护系统如果作为发动机控制系统的一部分，还应满足控制系统的环境限制要求，即在声明的环境条件下，包括电磁干扰(EMI)、高强度辐射场(HIRF)和闪电条件，系统功能不会受到有害影响。

除设计相关的适航规章外，在持续适航阶段也有对超转保护的要求。如在FAA对配装FADEC系统的发动机限时签派的政策[8]中就明确提出，发动机可签派构型必须保持关键的发动机保护能力(包括超转保护或其他关键限制功能)。即在民用发动机日常运营时，当发现超转保护系统发生不能执行保护能力的故障时，必须在飞行前修复，否则不能放飞签派。

2.2 超转保护系统适航要求的需求分解

适航要求本质上属于利益攸关者的要求，不属于设计需求，所以适航要求不能直接用于设计。要想使设计满足适航要求，可以按照系统工程的原则和方法对适航要求进行转化并实现。因此，需要对适航要求开展需求分析，将适航要求转化为可实现的设计需求、验证需求和使用需求等。为保证需求的完整性，适航要求的分解应在系统全寿命周期活动上开展。发动机数控系统的全寿命周期可能包括以下活动，超转保护系统一般作为数控系统的一部分，可以参考相关活动定义：①工程设计_系统定义；②工程设计_工作包线；③工程设计_工作环境；④工程设计_环境排放；⑤工程设计_物理和工作界面；⑥工程设计_硬件设计；⑦工程设计_软件开发；⑧工程设计_硬件验证；⑨工程设计_系统集成与验证；⑩工程设计_安全性(异常工作)；⑪工程设计_安装设计；⑫工程设计_持续适航文件；⑬制造和装配；⑭操作规程；⑮持续适航活动/检查等。

咨询通告(AC)是对适航规章的解读和符合性指导，因此对超转保护系统适航规章开展需求分析时，主要依据AC33.28-3[9]第8章的指导内容。对AC内容进行解析形成规章与需求追溯矩阵，如图1所示。这些需求即可以纳入需求文档，作为设计需求的一部分。

按照图1的解析，形成与发动机超转保护系统相关的需求如下：

R01：控制系统应明确提供超转保护方式，是否是独立的超转保护系统？保护系统采用电子式还是机械式？是否有多个实施途径？(工程设计_系统定义)

R02：发动机应证明任何可签派构型不存在单一失效造成丧失超转保护的超转事件。(工程设计_安全性)

R03：发动机应证明丧失超转保护的超转事件发生的概率小于10-8/飞行小时。(工程设计_安全性)

R04：应避免燃油计量装置和燃油关断装置有共模故障。(工程设计_安全性、硬件设计)

R05：应证明超转保护系统的失效概率小于10-4/飞行小时。(工程设计_安全性)

R06：超转保护系统应具有合理的检测/检查方式用以确定超转保护功能可用。(工程设计_系统定义)

R07：应验证电子超转保护系统每个实施途径的检测方式的完整性，确保超转保护系统丧失可以在飞行前被获知。(工程设计_系统集成与验证)

R08：应描述检查电子超转保护系统每个实施途径的功能可用性的方法和周期。(工程设计_持续适航文件；操作规程)

R09：应在每次飞行前证明电子超转保护系统功能至少有一个实施途径的可用性。(持续适航活动/检查)

R10：应验证机械超转保护系统的耐久性。(工程设计_硬件验证)

R11：应确定机械超转保护系统的检查间隔。(工程设计_安全性)

R12：应描述机械超转保护系统的检查方法和最大检查间隔。(工程设计_持续适航文件)

R13：应制定合理的维修间隔/检查计划。(持续适航活动/检查)

R14：在声明的电磁干扰、高强度辐射场、闪电环境下，超转保护系统仍具有保护能力，且不会产生错误操作。(工程设计_工作环境)

以上需求条目将成为超转保护系统工程设计、使用维护的最直接要求。当然，除此之外可能还存在一些通用的过程要求，如系统开发应满足SAE ARP4754A的系统构型管理要求，若采用FPGA等可编程逻辑器件还需满足DO-254的开发过程。

图1 规章与需求追溯矩阵图Fig.1 Traceable matrix of regulations and requirement

3 超转保护系统适航符合性

3.1 超转保护系统符合性方法

型号合格审查过程中，为获得所需证据资料以表明适航条款的符合性，申请人通常需要采用不同的方法，而这些方法统称为符合性验证方法(简称符合性方法)。航空器型号合格审定程序[10]中推荐了10种符合性方法，方法名称及说明见表1。

参考审定程序推荐的符合性方法，对上文分解的超转保护系统需求提出适用的符合性方法：

R01：①说明性文件。需要在控制系统的超转保护方案中明确阐述超转保护系统的组成及工作原理，并描述超转保护系统功能的实施途径，如采用几种输入，有几种决断方式，输出几路控制量等。②模拟器试验。证明超转保护系统能够在发动机转子超过约定转速时自动实施保护功能。

R02：安全评估。利用安全性评估的方法分析控制系统的每种签派构型，确定在任何可签派构型下不会由单一故障造成发动机超转。

R03：安全评估。采用安全性评估证明相应事件满足概率要求。

R04：安全评估。采用共因分析方法(CCA)分析确定控制系统的燃油控制功能和超转保护功能间不存在共因失效。

R05：安全评估。采用安全性评估证明超转保护系统的功能可用性满足概率要求。

R06：说明性文件。需要在超转保护方案中阐述功能的检测/检查方法，如机内自检测(BIT)的设计，或使用自动检测设备的辅助检测手段等。

R07：模拟器试验。证明电子超转保护发生故障能够被检测并正确通知机组或维护人员。若超转保护功能的实施存在多个途径，应证明每个途径的故障都能被检测。

R08：说明性文件。应在合适的文件中说明电子超转保护系统的检测方法、检测周期及告警方式。

R09：航空器检查。按持续适航文件执行超转保护系统的检测/检查。

R10：试验室试验。验证机械超转保护系统的机械结构件的寿命满足使用要求。

R11：安全分析。通过分析确定能够满足机械超转保护系统可用性的最大检查间隔。

R12：说明性文件。应在合适的文件中说明机械超转保护系统的检测方法和最大检查间隔。

R13：说明性文件。应在合适的文件中给出建议的机械超转保护系统的维修检查间隔。

R14：试验室试验。通过试验证明超转保护系统在特定环境下的可用性和完整性。

3.2 超转保护系统验证内容

通过上文分析得知，超转保护系统的验证至少应包括保护功能验证、检测功能验证、环境适应性验证、安全性验证、机械寿命验证。

(1)保护功能验证

系统集成时应对超转保护功能验证，目的是验证发动机转子转速超过特定值时，系统能够正确执行保护功能。以双转子涡扇发动机为例，超转保护系统可能对低压转子转速(n1)和高压转子转速(n2)都具有保护作用，所以该超转保护系统具有两条保护途径，应对每条保护途径进行功能验证。验证方法是选择发动机典型包线点，将n1物理转速红线值调低(如调整至原红线转速的90%)，利用控制系统使发动机达到最大状态，触发n1超转保护。合格判据是当n1转速超过调整后红线值给定设计判断时间时，超转保护系统应能快速给出燃油关断或降低燃油指令。同理，对n2保护途径进行验证。

(2)检测功能验证

对于电子超转保护系统，应验证系统BIT的有效性。由于规章要求每次飞行前必须保证电子超转保护系统至少有一个保护途径可用，所以一般电子超转保护系统采用飞行前BIT对系统可用性进行检测。对于BIT检测有效性的验证，通常采用故障注入的手段，如探针注入、插拔注入、转接注入、软件注入等。下面给出某型电子超转保护系统检测功能的验证步骤：

①发动机正常起动，系统自动执行自检程序，系统正常不报故，关闭发动机，超转保护系统断电。

②断开控制器向超转保护电磁阀的输出路径，对超转保护控制回路进行故障注入。超转保护系统上电，起动发动机，系统自动执行自检程序，应发现系统故障，并发送既定超转保护系统故障指示。否则检测功能异常，验证失败。关闭发动机，超转保护系统断电。

表1 审定程序推荐的符合性方法Table 1 Means of compliance suggested by AP

③将系统恢复到故障注入前状态，再次执行①步骤，系统故障指示消除。

若超转保护系统有多个途径，应对每个途径进行故障注入，以验证每一保护途径的检测功能符合设计预期。

对于机械超转保护系统，不需要每个飞行周期都进行检测。一般采用物理方法进行地面检查，但有些发动机也采用飞行周期内的检测方法，如CFM56-5发动机通过起动过程和停车过程中离心飞重上接近开关的指示来判断超转保护系统可用性。由于机械结构故障注入会造成试验件损坏，所以不进行检查手段的验证，而是通过寿命验证方式证明超转保护系统能够在规定时间内可用。

(3)环境适应性验证

在控制系统进行电磁干扰、高强度辐射场、雷击试验时，应完成对超转保护系统的验证。一般机械结构不会受到此类环境影响，而常见电子超转保护与发动机控制单元装在一个机箱内，所以该项验证对电子超转保护系统尤为重要。验证应包括两项内容：一是正常控制时，上述环境不会造成超转保护误触发，进而引起涡轮发动机的推力或功率突变。该项验证可与控制系统环境验证合并，在控制系统验证中增加不会错误触发超转保护的合格判据。二是在上述环境下验证超转保护功能，以证明在声明环境条件下超转保护系统的有效性。试验方法与保护功能验证的方法相同，只是将系统置于电磁干扰、高强度辐射场或闪电环境下开展试验，合格判据与保护功能验证一致。

环境验证的试验条件应与发动机型号声明的环境限制条件一致，具体试验方法和设备应满足DO-160[11]第15、19、20、21和22章要求。

(4)安全性验证

安全性验证主要是利用安全评估的方法，验证超转保护系统满足各项安全指标要求。可以利用故障树分析、相关图、马尔可夫分析等方法，证明超转保护系统的失效概率满足10-4/飞行小时的要求。发动机制造商同时要证明在各种签派构型下丧失超转保护的动力涡轮超转满足10-8/飞行小时的要求。此外，应通过共因分析证明发动机控制系统和超转保护系统充分独立，避免由共因失效造成丧失超转保护的动力涡轮超转。

(5)寿命验证

寿命验证主要用于机械超转保护系统，用以表明超转保护系统的机械部件在维修/检查间隔内可以无故障运行。对机械部件开展寿命试验时，至少要证明部件的寿命满足维修/检查间隔要求。若保护系统的机械部件随发动机的机械液压装置按发动机使用寿命考核，则可以合并验证，不必额外开展。

4 结束语

超转保护作为燃气涡轮发动机的重要保护功能，其对保证发动机安全运行起到了至关重要的作用。因此，对超转保护系统适航要求的充分解读，并进行完整设计和充分验证，对发动机适航审定具有重要意义。本文采用系统工程中的需求分析方法，对超转保护系统的适航要求进行了解读和分解，形成了与系统全寿命周期活动关联的、可直接用于设计的需求。针对形成的设计需求，提出了超转保护系统适用的符合性方法，并给出了用于满足适航要求的验证内容，可为超转保护系统设计、验证和民用发动机适航审定提供参考。

[1]许春生，马乾绰.航空发动机电子控制[M].北京：中国民航出版社，1999：2—3.

[2]《航空发动机设计手册》总编委会.航空发动机设计手册：第3册——可靠性及维修性[K].北京：航空工业出版社，2000：315—361.

[3]郭迎清，李睿，薛薇.航空发动机状态监控系统研究[J].航空发动机，2010，36(5)：39—43.

[4]张亦程.150座级商用发动机控制技术对比分析[J].民用飞机设计与研究，2011，(1)：44—49.

[5]蒋文亮，陆千里，于真，等.一种基于FPGA的航空发动机独立超转保护系统[J].航空动力学报，2016，31(2)：477—483.

[6]Federal Aviation Administration.FAR part 33 civil aircraft airworthiness standards aircraft engines[S].

[7]中国民用航空局.CCAR-33R2航空发动机适航规定[S].

[8]ANE-1993-33.28TLD-R1.Policy for time limited dispatch of engines fitted with full authority digital engine controls systems[EB/OL].[2016-10-14].http://rgl.faa.gov/ Regulatory_and_Guidance_library/rgPolicy.nsf/.

[9]AC No:33.28-3.Guidance material for 14CFR§33.28,engine control systems[EB/OL].[2016-10-14].http//www. faa.gov/reulations_policies/advisory_circulars/index.cfm/ go/document.information/documentID/1028989.

[10]中国民用航空局.AP-21-AA-2011-03-R4航空器型号合格审定程序[S].

[11]DO-160.Environmental conditions and test procedures for airborne equipment[S].

Compliance with pertinent regulations for aero-engine overspeed protection system

CHEN Jun-wei
(AECC Control System Institute，Wuxi 214063，China)

Airworthiness regulations are not requirements,but stakeholder’s needs.So the importance is how to transform regulation use to design.Based on pertinent regulations for civil aero-engine overspeed protection system,these regulations were transformed into requirements of life cycle using requirement analysis method of systems engineering.Means of compliance and verification scheme of electronic/mechanical overspeed protection in type certification were brought forward,which could be used as reference to design and verification of aero-engine overspeed protection system.

aero-engine；overspeed protection；means of compliance；engine rotor；FADEC；airworthiness regulation；requirement analysis

V328；V233.7

A

1672-2620(2016)06-0056-05

2016-10-20；

2016-11-30

陈君伟(1988-)，男，内蒙古呼伦贝尔人，工程师，硕士，主要从事航空发动机控制系统可靠性工程及适航技术研究。