商用涡扇发动机推力控制故障处置功能解析

鲁劲松 ，张天宏

（1.中国航发商用航空发动机有限责任公司，上海 200241；2.南京航空航天大学能源与动力学院，南京 210016）

0 引言

在以往的航空发动机控制系统中，许多单一的和预期的故障组合会导致发动机推力不可控的危险情况发生，而此时机组人员无法快速和正确地应对、消除和减轻事件的危险性。波音公司新设计的B737MAX 和B787 飞机增加了推力控制故障处置(Thrust Control Malfunction Accommodation，TCMA）和电子超转(Electronic Over Speed，EOS)保护功能。美国联邦航空管理局（Federal Aviation Administration，FAA）发布的B787 飞机型号合格证数据表T00021SE中将推力故障处置列为飞机的型号新设计特征，飞机具有推力故障处置功能。

中国商用飞机和航空发动机的研发时间不长，特别是商用航空涡扇发动机尚处于研发初期，对推力控制故障处置的技术和方法研究还较少。戚学锋等论述了CCAR-25-R4 第25.901(c)适航条款有关不可控高推力的部分申请豁免的思路和方法；李婧分析了航空发动机在发生不可控高推力后的失效状态和风险计划；徐彧开展了自动飞行系统模式的性能指标及符合性验证方法研究，提出了适宜的符合性验证方法，但未讨论25.901(c)的符合性；张雷雷开展了民用航空发动机数控系统的功能危险性评估（Function⁃al Hazard Analysis，FHA）方法研究，同时以CFM56-7B 发动机为研究对象，开展了控制系统失效模式和影响分析（Failure Modes and Effect Analysis，FMEA）的方法与过程研究，但因为B737NG 飞机没有设计TCMA 功能，因而未开展相关内容的研究；姬猛研究了在飞行中飞机推力不对称时的飞行控制律重构技术，但未涉及TCMA系统功能的研究。

智能技术适用于解决被控对象及其环境随时间发生变化的问题，应大力推动智能技术在航空发动机上的应用。本文基于系统工程的方法，按照设计需求来源、需求捕获、需求定义、系统架构、系统功能分配的正向设计步骤对GEnx-1B 发动机的TCMA 功能进行解析研究。

1 需求来源

1.1 安全性需求与符合性验证

中国民用航空规章第25 部《运输类飞机适航标准》CCAR-25-R4 第25.901(c）要求：“对于动力装置和辅助动力装置的安装，必须确认任何单个失效或故障以及可能的失效组合都不会危及飞机的安全运行”。以往的美国联邦航空局(FAA)和欧洲航空安全局(EASA)的咨询公告也指出，如果申请人无法证明飞机在不可控高推力故障条件下满足该条款要求，应申请等效安全或部分豁免。因此，国外多个机型对25.901(c)条款申请了部分豁免。中国民航总局2019年也为C 系列飞机BD-500-1A10/-1A11 颁布《关于对CCAR-25-R4 25.901(c）要求的部分豁免》。

上述豁免基于2种假设：

（1）大部分不可控高推力失效场景可通过发动机控制系统推力控制异常处理功能来纠正。

（2）允许机组确定发动机停车的恰当时机，并通过独立的燃油切断装置关闭故障发动机，以防止这类故障导致灾难性的后果。

但最近欧美适航审查方认为安全性分析中许多假设需要确认，需要重新进行试验验证规划，推荐采用MOC5 和MOC6 方法验证,即采用地面试验和飞行试验的符合性验证方法。

1.2 安全需求驱动飞机设计改进

工程研究和飞机运营经验以及1997 年沙特阿拉伯航空公司波音737-200飞机的空难表明，这类假设条件并不一定总是正确的。1997 年沙特航空公司的一架波音B737-200 飞机在纳季兰（Najran）机场正常起飞过程中，右侧发动机推力增大并且显示超温，机组人员在飞行速度为120 kn（212 km/h）时中断起飞，将2 台发动机的油门杆拉到慢车/反推位置，但是右侧发动机仍然保持起飞推力，飞机最终冲出跑道，遭受结构损伤，主起落架倒塌，造成燃油泄漏引起火灾，使飞机烧毁，在疏散过程中有人员受伤。

事故原因分析表明机组人员处置存在不确定性和没有能够正确处置的问题。而对于复杂的应急场景需要通过融入逻辑推理、自适应控制和智能控制技术才能更好地解决复杂系统运行时的安全问题。解决方案是利用智能技术开发用于侦、探测和处置的新系统，提高机组人员在紧急情况下的处置能力。波音公司和空客公司对新设计飞机的发动机提出了增加推力控制故障调节TCMA功能的需求，当出现推力控制故障（Thrust Control Malfunction,TCM）事件时，由发动机的控制系统自动完成该功能，而不由飞行机组来进行所谓“适当”的处置，这样更有利于保障飞机飞行的安全性。

推力控制故障TCM 定义为无指令和不可控的推力偏离，在这种情况下，油门指令无效。属于单个失效，导致发动机接收到的指令是较低推力状态，而实际上发动机推力大幅增加至高于指令或保持高推力。

推力控制故障处置TCMA 定义为发动机控制系统可以防止推力控制故障TCM 事件对飞机造成危害。TCMA 功能将监控产生的推力和指令推力，确保发动机推力不会反过来影响飞机的安全性。

TCMA 系统目前应用于配装GEnx、LEAP-A/B、Trent1000、Trent XWB 发动机的飞机上，飞机在每次飞行前要实施TCMA 功能自检。波音公司2010 年申请了1 项欧盟专利EP1350 942 B1：推力故障处置系统和方法（Thrust Control Malfunction Accommodation System and Method）。美国发动机燃油控制系统供应商汉胜公司(Hamilton Sundstrand Corporation) 2020年也分别申请了欧盟专利EP3744958(A1)和美国专利US2020378315(A1)：燃油系统与集成推力控制故障保护和方法（Fuel System with Integrated Thrust Control Malfunction Protection and Method）。

1.3 TCM推力控制故障的危害性

推力控制故障会导致发动机推力无法控制，这对飞机运行时产生的危险可能是灾难性的。一种特别危险的情况是飞机在起飞、渐近或着陆时推力控制系统发生故障，导致发动机继续在大推力状态下运行，如果有其中1 台发动机不能响应降低功率的命令，将出现严重的推力不对称的情况，使飞机遭受很大的侧向力，此时飞行员很难控制飞机；即使推力的不对称可以控制，但过大的推力也可能导致飞机的滑行，停止距离超过可用的跑道长度。在这种情况下，即使机组人员拥有高超的驾驶技能和迅速的反应能力，也可能不足以处理和消除这种安全风险。

2 TCMA系统架构

GEnx 发动机的TCMA 系统架构如图1 所示。系统由飞机综合航电系统、发动机电子控制器(Electron⁃ic Engine Controller，EEC)和燃油计量装置（Fuel Me⁃tering Unit,FMU）组成。由飞机的通用数据网(Com⁃mon Data Network,CDN)提供飞行高度信息和油门杆角度信号以及飞行速度信号给发动机电子控制器EEC,EEC判别触发TCMA功能后控制FMU中的TCM/EOS 电液伺服阀液压关闭FMU 中的高压关闭阀(High Pressure Shut off Valve, HPSOV),使燃油不会进入燃油喷嘴和燃烧室。

图1 GEnx发动机TCMA系统架构

波音公司的B787飞机的综合航电系统的通用核心系统（Common Core System，CCS）如图2所示。其具有集成的模块化架构，提供了1 组共享计算、数据总线和输入/输出资源，以支持计算机和系统接口对多飞机飞行系统的需求。该系统包括2 个通用计算设备(Common Computing Resources，CCR)、10 个CDN 和18 个远程 数据 采 集器（Remote Data Concentrator，RDC）等，每个CCR 机柜中都安插有若干个外场可更换模块的通用处理模块（General Processor Module，GPM)以及传输速度为100MB/s 的CDN。与传统的航电系统相比，该系统还综合了燃油控制、电源、液压、环控、防冰和防火等系统。

图2 B787飞机的综合航电系统的通用核心系统

3 TCMA系统需求

TCMA 系统的设计需求来自飞机的安全性需求，通过逻辑分解飞机级安全性需求逐级向下分配给发动机—控制系统—EEC 和执行机构，其中EEC 将控制功能分配到电子硬件和嵌入式软件。整个需求分配过程见表1。

表1 飞机安全性需求分配

4 TCMA功能

4.1 TCM事件侦测

TCM 包含非指令和不受控2 种，TCM 事件的侦测由EEC 内的软件判定，如果同时满足以下条件，1个TCM事件就认为被侦测到：

（1）高压转子转速值（修正）大于“TCMA 边界”。 TCMA 边界定义为门限值为最大额定推力的30%，或者同时有中断起飞事件发生时最大额定推力的25%。当推力小于这些值时不需要TCMA的保护；

（2）修正空速（Calibrated Air Speed，CAS）小于200 kn（370 km/h）。说明飞机此时处于起飞、着陆或者渐进阶段，在这个阶段对发动机进行保护，避免出现推力不平衡；

（3）飞机高度需低于5334 m，TCMA 在低空才起作用。

上述3 个条件只是前提条件，即TCM 事件发生，但不一定触发TCMA 功能，触发TCMA 功能需要符合下一节的TCMA处置逻辑。

4.2 TCMA处置逻辑

当下列条件同时发生并且持续120 ms 之后，即进入TCMA处置过程。

（1）4.1 节所述的TCM 事件都被侦测到（不考虑反推力的位置）。

（2）飞机在地面上，油门杆保持在慢车域，油门杆的角位移传感器的信号值处于设定区间。

（3）转速传感器和进口总温（Total Air Temper⁃ature，TAT）传感器没有故障。

TCMA 逻辑锁定后快速触发TCMA 过程，EEC 将激励FMU 中的TCM/EOS 电液伺服阀，控制高压关闭阀HPSOV切断发动机燃烧室的燃油供应。

4.3 TCMA激活

EEC 的2 个通道通常是相同的，任何一个通道都可以独立控制发动机，在同一时间只有1 个通道控制发动机的作动器和电磁线圈等，该通道被称作控制通道或激活通道，另外一个通道处于待机模式(非激活通道)。只要EEC 的2 个通道是正常的，EEC 将在新的一次航班发动机起动时更换控制通道。

但是激活和非激活的例外是推力控制故障处置TCMA 模式，其功能被设计为激活/激活，只要TCMA事件被侦测到，任何一个通道都可以通过FMU 的HPSOV自动关闭到发动机燃油喷嘴的燃油供应。

4.4 TCMA功能监控与自检BIT

在每次飞行前起动发动机时，发动机电子控制器EEC 需要完成TCMA 功能准备和完整性自我检测,检测逻辑保证激活TCMA 继电器信号而不会激活TC⁃MA 处置。如果EEC 执行的TCMA 准备测试失败，EEC 将通过驾驶舱的发动机指示与机组警报系统（Engine Indication Crew Alerting System，EICAS）显示“ENG TCMA”故障信息并告知机组人员。

TCMA 功能自检是校验飞机上的开关接通与关断电源时FMU 燃油关断功能的电气连接是否正确。该检查在2个EEC 通道上进行，先后在控制通道和备用信道上进行。

TCMA 功能自检验证当FMU 中燃油计量阀（Fuel Metering Valve，FMV）处于某一固定的开度、EEC 的2个通道关闭时，高压关断阀HPSOV 是否关闭。如果HPSOV 未关闭，就会有燃油流量被检测到，TCMA 自检失败。当然EEC 的机内自检主要还是通过自检逻辑检测其他电气性能的降级和漂移。

TCMA 是独立操作项目，不会影响发动机电子超转EOS系统。如果满足所有的超转条件，EOS依然可以关闭发动机。另外，由于TCMA 和EOS共同调用相同的液压系统电液元件，只要条件符合就会激活这2项功能切断供油，没有优先顺序。

5 结论

（1）TCMA 的功能通过1 个集成的智能控制系统实现，主要针对起飞、着陆阶段，在地面避免出现推力不平衡，有效减小不可控高推力故障的危害。TCMA功能可以不依靠飞行机组的干预自动完成推力不可控故障事件的处置，从而保证飞机在TCM 事件发生时不受危害。

（2）TCMA 功能的实现需要飞机与发动机一体化设计，发动机的EEC 是完成TCMA 功能的核心部件。进行飞机系统与发动机控制系统设计时，应完整考虑软硬件的功能分配、架构设计、需求分解、接口定义以及系统的集成验证。

（3）现有TCMA 的系统架构及功能设计是适航审定机构可以接受的一种飞机安全性需求的符合性设计方案，是新型商用航空发动机应该具有的设计特征。