民用飞机ETOPS重要系统适航审定研究

王稳江，李新

（1.上海飞机设计研究院飞机架构集成工程技术所，上海 201210）

（2.中国民用航空上海航空器适航审定中心 动力装置室，上海 200335）

0 引言

延程运行（Extended Operations，简称ETOPS）是指在飞机计划运行的航路上至少存在一点，到任一延程运行可选备降机场的距离超过飞机在标准条件下静止大气中以经批准的一台发动机不工作时的巡航速度飞行60 min对应的飞行距离（以两台涡轮发动机为动力的飞机），或超过180 min对应的飞行距离（以多于两台涡轮发动机为动力的载客飞机）的运行。

ETOPS被广泛应用于民用航空大型客机的洲际航线，尤其是跨洋飞行。民用飞机进行ETOPS航线运行需同时具备两个条件：

（1）飞机—发动机组合获得适航当局的ETOPS型号设计批准；

（2）运营机构（航空公司）获得适航当局的ETOPS运行批准。

飞机—发动机组合获得ETOPS型号设计批准是先决条件。波音和空客对于ETOPS型号设计（审定）都非常成熟，其现役的大型客机基本都具备ETOPS资质认证。由于国内民用大型客机研发起步晚，加上国外的技术封锁，我国自主研制大型客机的ETOPS型号设计和取证仍是空白。尽管国内的航空公司具备多年的ETOPS航线运行经验（南方航空公司早在1997年成为亚洲首家运行120 min ETOPS的航空公司），但是，国内对于民用飞机ETOPS型号设计和审定的研究却是近些年在国产大型客机项目的牵引作用下才逐渐发展的。王稳江等对ETOPS型号设计进行探索研究；李昊燃等研究了发动机的ETOPS型号设计和符合性验证方法；谈琳娓等研究了ETOPS试飞验证技术。然而，上述研究对于ETOPS重要系统的适航审定，仍然缺乏系统性的理论研究和方法指导。

ETOPS型号设计批准过程中一项重要工作就 是ETOPS重 要 系 统 适 航 审 定。ETOPS重要系统，对于民用飞机制造商而言，是民用飞机ETOPS型号设计与取证过程中主要的设计与验证对象；对于民用飞机运营商而言，是民用飞机ETOPS运营过程中的主要监控和维护对象。由此可见，ETOPS重要系统的适航审定，贯穿民用飞机主制造商的研制和运营商的运营过程，无论对于制造商的ETOPS型号设计批准，还是运营商的ETOPS运行都至关重要。目前，国内对于ETOPS重要系统适航审定的理论研究和方法指导鲜有研究。我国自主研制大型客机ETOPS型号设计批准处于起步阶段，扎实做好ETOPS重要系统相关的设计和验证工作，能够为国产大型客机的ETOPS型号设计批准和将来的ETOPS运行批准打下坚实基础。

本文主要针对ETOPS重要系统适航审定开展研究，分析ETOPS重要系统相关适航条款要求，提出ETOPS重要系统的确定方法和验证方法，以期为我国自主研制大型客机的ETOPS型号设计审查人员和设计人员提供指导。

1 ETOPS重要系统概述

1.1 ETOPS发展现状

自1984年FAA首 次 提 出ETOPS概 念以来，世界民用航空运输业得到了飞速发展，大规模的ETOPS航线得以开辟（1984年ETOPS航线如图1所示，2018年ETOPS航线如图2所示），双发飞机也被大量用于跨洋飞行。波音和空客现役的双发飞机型号基本都具备180 min及以上的ETOPS能力（如表1所示）。

图1 ETOPS航线（1984年）［12］Fig.1 ETOPS flights in 1984［12］

图2 ETOPS航线（2018年）［12］Fig.2 ETOPS flights in 2018［12］

表1 波音和空客双发机型的ETOPS能力Table 1 Boeing and Airbus twin-engine aircraft ETOPS capability

1.2 ETOPS重要系统

在“ETOPS Significant System”（ETOPS重要系统）这个概念被正式提出之前，FAA在咨询通告AC120-42A中曾用“critical”“primary”和“essential”搭配“ETOPS Systems”作为术语，但并未给出明确定义。

“ETOPS Significant System”（ETOPS重要系统，也译作ETOPS关键系统）这一名词，最早是由波音提出的，是对那些受ETOPS维护要求影响的飞机系统（包括动力装置系统）的统称。

ETOPS重要系统是指失效或者故障时可能对ETOPS飞行的安全，或者对在ETOPS改航过程中飞机的继续安全飞行和着陆产生不利影响的飞机系统，包括推进系统。

1.3 ETOPS重要系统分类原则

根据AC120-42B/AMC20-6 rev.2/AC25.1535-1X（草案），ETOPS重要系统可以分为两类。对于ETOPS重要系统分类原则，虽然AC和AMC在表述上略有差异，但本质上是一致的。鉴 于AMC20-6 rev.2中 对 于 组 类2的ETOPS重要系统的描述更为详细，在民用飞机ETOPS型号设计和适航审定过程中建议依据AMC20-6 rev.2的分类原则开展工作。

ETOPS重要系统按以下原则分为组类1和组类2。

组类1系统包括与飞机发动机数量相关，并且对于飞机安全进行ETOPS飞行很重要的任何系统。

（1）失效—安全冗余特性与发动机数量直接相关的系统；

（2）对发动机正常功能的影响程度达到可能导致空中停车或非指令推力丧失的系统；

（3）对单发失效ETOPS改航的安全性至关重要，并且特意为因单发失效而丧失的系统提供冗余度的系统，包括备用系统；

（4）诸如防冰系统等，在单发高度延长运行所必需的系统。

组类2系统与飞机发动机数量无关，但是对飞机安全运行ETOPS飞行至关重要。

（1）某些失效状态会降低飞机能力或机组处理ETOPS改航能力的系统；

（2）时间限制系统；

（3）系统失效会引起ETOPS改航过程中过多的机组工作负荷（比如在一次最大ETOPS改航中，令人疲乏不堪的飞行控制力，或要求持续燃油平衡以保持合适重心的系统失效）；

（4）为提高远程运行和ETOPS改航安全性特意安装的系统。

2 适航条款要求

CCAR-21-R4，CCAR-25-R4，CCAR-33-R2和CCAR-121-R7中 都 有ETOPS相 关的条款，涉及ETOPS型号设计批准的条款主要内容收录在CCAR-25-R4附录K中，其中提及ETOPS重要系统的条款有12项，如表2所示。

表2 ETOPS重要系统的条款要求Table 2 Airworthiness requirements of ETOPS significant systems

除表2所 列 的 条 款 外，K25.1.1和K25.1.6条款虽然没有直接提到ETOPS重要系统，但是参考AC25.1535-1X的 解 读，K25.1.1条 款 是ETOPS重要系统相应要求的来源和通用性条款；而K25.1.6条款所要求的《构型、维护和程序》（Configuration，Maintenance，and Procedures，以下简称CMP）文件中主要构型、运行和维护要求、硬件寿命、MMEL等都和ETOPS重要系统密切相关。

CCAR-25-R4对ETOPS重要系统的要求中，可以归结为以下六个方面的审查要素。

（1）申请人应确定出候选飞机—发动机组合的ETOPS重要系统清单；

（2）型号设计阶段的ETOPS重要系统验证；

（3）试飞/服役阶段的ETOPS重要系统验证；

（4）申请人应确定时间限制的ETOPS重要系统的时间性能；

（5）ETOPS重要系统相关的构型、维护、程序等信息收录在CMP文件中；

（6）模拟ETOPS重要系统失效的演示试飞。

3 ETOPS重要系统的确定方法

适航条款中除了对发动机有空中停车率（In-Flight Shut Down）有 明 确 阀 值 要 求 外，对 其 他ETOPS重要系统的设计指标并没有明确的量化要求，因此在ETOPS型号设计过程中，申请人应从飞机型号设计的具体系统设计和架构出发，以安全性评估的定性分析过程为手段，同时需要考虑具体型号设计的ETOPS运行目标，如ETOPS最大飞行时间、最大ETOPS改航时间等，对全机各系统开展失效影响分析（Failure Effect Analysis），再依据 本文1.3节中列 出的ETOPS重要系统分类原则，从系统级到分系统级逐级进行筛选，将失效影响对应ETOPS重要系统分类原则的系统/分系统都列入ETOPS重要系统清单，然后再依据ETOPS重要系统分类原则进行分类，最终形成ETOPS重要系统清单，并与适航当局达成一致。

4 ETOPS重要系统的验证方法

ETOPS重要系统验证方法的过程分为两个阶段：设计验证阶段和试飞/服役验证阶段。

设计验证阶段的ETOPS重要系统验证，主要是采用安全性评估的定量分析过程为手段，考虑平均ETOPS任务时间（综合考虑飞机—发动机组合航程范围内会如何使用，并分析潜在可用的航线结构和城市对而确定）和最大ETOPS改航时间，确认满足飞机在ETOPS航线飞行过程以及ETOPS改航期间的安全飞行和着陆要求。具体来说，对于飞机系统，应表明符合CCAR25.1309的 要 求；对 于 推 进 系 统，则 应 表 明 符 合CCAR25.901（c）的要求。在设计验证阶段，如果出现个别系统/子系统/设备无法满足ETOPS设计指标要求，那就需要进行必要的设计更改。此时的设计更改，应权衡考虑采用更为严格的维护/操作程序，或者增加限制，或者通过更换可靠性更高的系统/子系统/设备这三种方法中之一，如果能够达到ETOPS设计指标要求，那就产生了ETOPS构型项，应纳入到CMP文件中，验证过程如图3所示。

图3 设计验证阶段ETOPS重要系统验证流程示意Fig.3 Verification process of ETOPS significant system in design and verification phase

如果上述三种方法都无法满足ETOPS设计指标要求，那就要考虑更改系统构架设计，比如增加系统冗余度等。

试飞/服役验证阶段的ETOPS重要系统验证，对于服役经历方法的ETOPS型号设计批准，采用候选飞机—发动机组合的ETOPS重要系统，在试飞/服役过程中可用的在役可靠性数据表明飞机系统的CCAR25.1309（b）条款的符合性，此时，候选飞机—发动机组合在试飞/服役验证阶段的ETOPS重要系统评估是CMP要求的主要来源；而对于早期ETOPS方法的ETOPS型号设计批准，可以采用“技术转移分析”（Technical Transfer Analysis）的方法，将早期ETOPS机型和候选飞机—发动机组合的试飞/服役过程的在役可靠性数据应用于候选飞机—发动机组合的ETOPS重要系统评估中，相应地，CMP要求增加了另一个来源：附录K25.2.2（h）条指定的问题跟踪和解决系统下遇到和报告的问题的纠正措施。

在 附 录K25.2.1（e）、K25.2.2（g）、K25.3.1（c）和K25.3.2（d）要求的演示试飞中，要对服役过程中可能发生的ETOPS重要系统失效和故障的情况进行模拟，并证明飞机的ETOPS改航能力。具体需要在演示试飞中模拟验证哪些ETOPS重要系统失效和故障状态，由审查方和申请人共同决定。

5 有时间限制的ETOPS重要系统的审定

有时间限制的ETOPS重要系统是一类比较特殊的ETOPS重要系统，所谓有时间限制，是指系统一旦开始工作，其功能/性能只能持续有限的时间。最典型的例子就是货舱抑火系统，由于灭火瓶容量限制，灭火剂一旦开始释放，其作用时间显然是有时间限制的。

附录K25.1.3（c）条款要求申请人确定每一个有时间限制的ETOPS重要系统的系统时间能力。附录K25.1.7（d）要求AFM中列出最受时间限制的C级货舱或行李舱火警抑制系统之外最受时间限制的ETOPS重要系统的系统时间能力，还要求AFM列出除C级货舱或行李舱火警抑制系统之外最受时间限制的ETOPS重要系统的系统时间能力。由于这两类ETOPS重要系统的时间能力在运行规章中确定ETOPS航线最长改航时间的方法不同，因而有必要在AFM中指定每一类ETOPS重要系统的时间能力。

针对不超过180 min的ETOPS和北太平洋区域内的不超过207 min的ETOPS，在标准条件下静止大气以经批准的一台发动机失效巡航速度备降至计划的ETOPS指定备降机场所需的时间，不能超过该飞机时间限制最严格的ETOPS重要系统（包括货舱抑火系统）所规定的最长时间限制减去15 min。

针对超过180 min的ETOPS，对于货舱抑火系统，在正常的全发巡航高度，修正了风和温度的影响，以全发运行的巡航速度备降至计划的ETOPS指定备降机场所需的时间，不能超过该飞机抑火系统的最大合格审定时限减去15 min；对于货舱抑火系统之外的ETOPS重要系统，在正常的一台发动机失效巡航高度上，修正了风和温度的影响，以经批准的一台发动机失效巡航速度备降至计划的ETOPS指定备降机场所需的时间，不能超过该飞机ETOPS重要系统（不包括货舱抑火系统）最大时限减去15 min。

6 结论

（1）ETOPS重要系统适航审定是ETOPS型号设计批准的重要环节，对于制造商的ETOPS型号设计批准，以及运营商的ETOPS运行都至关重要。

（2）本文所提出的ETOPS重要系统的确定方法和验证方法，在国内大型民用客机项目工程实践中得到了实践检验，并取得了实质性进展。实践证明，本文所提出的方法合理可行，并且能够为大型民用客机的ETOPS型号设计与审定工作提供指导。