安 罡，李艷軍，曹愈遠，馬安祥，汪震宇

（南京航空航天大學(xué)民航學(xué)院，南京211106）

基于功能危險分析的渦軸發(fā)動機適航安全性評估

安 罡，李艷軍，曹愈遠，馬安祥，汪震宇

（南京航空航天大學(xué)民航學(xué)院，南京211106）

針對渦軸發(fā)動機安全性需求，確定了其適航安全性分析的方法及程序。運用整機級功能危險分析法（FH A）對渦軸發(fā)動機進行安全性分析，并針對其系統(tǒng)結(jié)構(gòu)的復(fù)雜性等問題，提出了整機級FH A功能定義的層級解決方案；利用可靠性模型識別多重失效組合問題；針對功能失效狀態(tài)影響分析主觀性強、難于確定的特點，提出了D elphi法進行專家評估。結(jié)果表明：安全性驗證程序能夠為渦軸發(fā)動機安全性驗證提供支持，F(xiàn)H A可以較快速識別渦軸發(fā)動機整機級危險失效狀態(tài)，較為客觀地確定功能危險影響等級，并有效減少工作量。

適航；功能危險；安全性；D elphi法；渦軸發(fā)動機

0 引言

隨著直升機功能的多樣化發(fā)展，對其動力裝置渦軸發(fā)動機相關(guān)技術(shù)研究與探索有迫切的需求[1-2]。在中國渦軸發(fā)動機的研制經(jīng)歷了從國外引進技術(shù)到與國外合作研制的過程，航空發(fā)動機適航規(guī)定（CCAR33）是航空發(fā)動機進行適航審定的依據(jù)，其中CCAR33.75規(guī)定了發(fā)動機必須進行安全性分析[3]。但由于中國航空發(fā)動機安全性研究基礎(chǔ)薄弱，目前缺少行之有效的安全性分析準(zhǔn)則。

本文結(jié)合渦軸發(fā)動機安全性驗證的實際情況，建立航空發(fā)動機適航符合性驗證程序。

1 渦軸發(fā)動機適航安全性驗證程序

適航符合性驗證用于檢驗渦軸發(fā)動機是否滿足適航條例要求，申請人采用不同的符合性驗證方法來表明適航條款的符合性，其中安全分析是1種重要的符合性驗證方法[4-6]。適航符合性驗證工作貫穿于渦軸發(fā)動機整個設(shè)計過程，而安全性分析始于概念設(shè)計階段并導(dǎo)出其安全性要求，同時隨設(shè)計更改作出相應(yīng)變更后進行分析評估，整個過程是迭代的。安全性分析止于設(shè)計滿足安全性要求的驗證[7]。渦軸發(fā)動機適航驗證中安全性分析的過程如圖1所示。

圖1 渦軸發(fā)動機安全性分析過程

1.1 功能危險分析

功能危險分析（FHA）是美國機動工程學(xué)會（SAE）發(fā)布的航空建議文件ARP-4761中推薦的系統(tǒng)安全性分析的第1步[7]，通過對發(fā)動機及系統(tǒng)的綜合檢查，對功能在不利環(huán)境、緊急情況等各種條件下的失效狀態(tài)進行分析，并按照其影響程度進行分級，從而確立其安全性設(shè)計要求。FHA通常在整機級和系統(tǒng)級2個層次上進行分析，其中整機級安全性要求確立后，即相應(yīng)確立系統(tǒng)級安全性要求。

1.2 初步系統(tǒng)安全性評估

初步系統(tǒng)安全性評估（PSSA）用于完成失效狀態(tài)列表以及相應(yīng)的安全性要求。根據(jù)整機級或系統(tǒng)級FHA和初步共因分析（CCA），利用故障樹（FTA）、故障模式影響分析（FMEA）、概率計算等方法對其識別的每一失效狀態(tài)進行評價，來表明系統(tǒng)構(gòu)架和組件滿足安全性要求，然后根據(jù)生成的安全性要求和目標(biāo)設(shè)計導(dǎo)出較低層次的安全性要求。

1.3 系統(tǒng)安全性評估

系統(tǒng)安全性評估（SSA）是在發(fā)動機詳細設(shè)計與試驗階段進行的，對系統(tǒng)及其架構(gòu)進行系統(tǒng)性、綜合性地評估，來表明其滿足相關(guān)的安全性要求。

SSA通常在FTA的基礎(chǔ)上結(jié)合FMEA進行，同時也包括CCA的結(jié)果。通過由下至上的分層次的驗證，可以驗證在PSSA中提出的安全性要求、可靠性要求、結(jié)構(gòu)要求和軟/硬件研制保證等級。因此在對發(fā)動機的系統(tǒng)進行安全性評估過程中，綜合利用FHA、FMEA、FTA、CCA等分析方法，驗證系統(tǒng)是否達到要求的安全性水平。

2 渦軸發(fā)動機整機級FHA

2.1 渦軸發(fā)動機總體描述

渦軸發(fā)動機將燃油中的能量轉(zhuǎn)換成軸功率，為直升機提供動力。渦軸發(fā)動機系統(tǒng)組成如圖2所示。

渦軸發(fā)動機中各系統(tǒng)有機地組合起來，完成發(fā)動機控制、點火、操作、指示與告警等自身功能，并分別為飛機液壓、電源系統(tǒng)和空氣管理系統(tǒng)提供動力源、氣源等。

2.2 功能定義

進行整機級FHA首先要確定渦軸發(fā)動機整機級的所有功能，由于渦軸發(fā)動機本身作為直升機較為復(fù)雜的系統(tǒng)之一，其功能繁多，內(nèi)涵廣泛，如果將其功能劃分過于具體，則不僅工作量巨大，而且難以獲得明確的失效影響。渦軸發(fā)動機頂層功能從發(fā)動機與直升機之間的交互功能和發(fā)動機內(nèi)部功能來劃分。其中交互功能包括提供軸功率、交流電和飛機引氣；內(nèi)部功能包括控制功能、測量與監(jiān)控和安裝功能等。對頂層功能定義展開，并進行編號，以此建立功能列表，見表1。

2.3 失效狀態(tài)識別

在考慮失效狀態(tài)時，首先要確定環(huán)境和緊急情況項目的列表，然后分別考慮渦軸發(fā)動機的內(nèi)部功能、交互功能以及環(huán)境和緊急情況中的各項，由此得到渦軸發(fā)動機整機功能的失效狀態(tài)列表。當(dāng)判斷故障影響時，需要考慮環(huán)境如天氣、火山粉末等對發(fā)動機的影響，還要考慮應(yīng)急情況如水上迫降、發(fā)動機停車等。

表1 渦軸發(fā)動機整機級功能（部分）

渦軸發(fā)動機結(jié)構(gòu)、功能復(fù)雜，多重失效是FHA分析中重要特點之一。如果每種單一失效組合都要分析，那么由于失效組合過多，會使分析工作變得相當(dāng)繁重。而且很多單一失效直接關(guān)聯(lián)并不大，其組合失效對影響分析并無意義。因此，在分析組合失效時，按照一定的原則找出組合失效中每個單一失效[9]。分析的原則是當(dāng)多個單一失效同時發(fā)生產(chǎn)生后果的危害性大于每個單一失效單獨發(fā)生產(chǎn)生后果危害性的總和時，才對其進行多重失效分析。識別多重失效的方法是通過對渦軸發(fā)動機結(jié)構(gòu)工作原理和功能的邏輯關(guān)系進行分析，得出系統(tǒng)原理圖，構(gòu)建可靠性模型，從而得到多重失效組合。對于簡單的失效狀態(tài)，通過系統(tǒng)原理框圖或可靠性框圖就可分析得出多重失效；如果分析層次較深，結(jié)構(gòu)復(fù)雜，則可能需要構(gòu)建故障樹、馬爾可夫模型等較復(fù)雜的可靠性模型。利用上述方法識別多重失效，既保證分析的完備性，又能提高工作效率。

2.4 系統(tǒng)運行階段劃分

渦軸發(fā)動機是功能危險分析的對象，但直升機的飛行階段比渦軸發(fā)動機的工作階段對發(fā)動機功能危險所造成的影響更大，如發(fā)動機喪失停車再起動能力在直升機飛離地面前后存在巨大差異，而與發(fā)動機工作狀態(tài)的關(guān)系則不大。因此，在分析失效狀態(tài)所處的運行階段時，按照直升機的飛行階段來劃分，見表2。

表2 直升機運行階段劃分

2.5 失效狀態(tài)影響及危害等級分析

渦軸發(fā)動機整機級功能失效，會導(dǎo)致不同層次多種影響，為了規(guī)范失效狀態(tài)的影響，同時方便下一步定義影響等級，從系統(tǒng)工作影響、人員傷亡等方面，對功能失效的影響按層次進行分類，依次為對發(fā)動機的直接影響、對直升機的進一步影響、對機組及乘客的影響。根據(jù)SAE ARP-4761，失效狀態(tài)的影響按照危害性由小到大分為5級，而根據(jù)歐洲航空安全局（EASA）CS-E510，失效狀態(tài)影響等級則定為3級。中國民用航空規(guī)章CCAR33.75（R2）中規(guī)定了危害性發(fā)動機后果和重要發(fā)動機后果的預(yù)期發(fā)生概率，分別為不超過10-9和10-7，恰好與SAE ARP-4761中的災(zāi)難性和危險性功能失效概率要求相對應(yīng)。且采用5級準(zhǔn)則可以使安全性要求更為精確，對提高渦軸發(fā)動機安全性更為有利。

需要說明的是，在對渦軸發(fā)動機進行FHA分析時，只考慮發(fā)動機的功能失效狀態(tài)，而直升機默認功能完好。因此確定失效影響時不應(yīng)考慮發(fā)動機和直升機功能同時喪失的情況。

根據(jù)失效狀態(tài)的影響，按照其危害等級提出該失效狀態(tài)發(fā)生的概率限制，即安全性要求。

確定功能失效影響的過程主要由分析人員根據(jù)對系統(tǒng)工作原理進行邏輯分析得到，由于分析人員掌握的數(shù)據(jù)有限，導(dǎo)致分析主觀性較強，結(jié)果可能與實際情況相差較大，因此本文提出利用Delphi法進行評估功能失效影響。

對于每種失效狀態(tài)，有5種可能的危害等級作為評估目標(biāo)，選聘在渦軸發(fā)動機領(lǐng)域經(jīng)驗豐富的專家采用匿名方式分幾輪進行評估，以專家的原始意見為基礎(chǔ)，建立優(yōu)化模型，找到群體決策的最優(yōu)解，達到確定危害等級的目的。

定義專家集合為

式中：Ei（i=1,2,…,m）為第i個專家。

定義評價集合為

式中：（ai,bi,ci,di,ei）（i=1,2,…,m）為第i個專家對5個危害等級給出的名次值。

把每個危害等級的不同名次加起來求和，選擇其中名次總和最低的方案，即專家評價得出的最后的選擇。

專家意見的一致性程度可以用“一致性系數(shù)”表示

式中：C.I.代表一致性系數(shù)，是介于0到1的數(shù)。S代表名次總和的方差和，且

式中：Xi為專家對第i個方案評定的名次總和；M為專家數(shù)；N為方案數(shù)。

以功能失效“單發(fā)喪失軸功率”為例，危害等級可能情況為：無影響、較小影響、較大影響、危險性、災(zāi)難性。選聘9位專家對功能失效影響進行排名，結(jié)果見表3。

表3 Delphi法預(yù)測過程數(shù)據(jù)

從專家評估數(shù)據(jù)中可見，“較大影響”的總名次最低，因此最后評估結(jié)果功能故障“單發(fā)喪失軸功率”的危害等級為“較大影響”。通過計算可得

由于C.I.值接近1，表示專家意見趨向一致，因此結(jié)果可靠性較高。若算得 值接近0則表示專家意見一致性較差，可以將調(diào)查結(jié)果反饋給各位專家，在此基礎(chǔ)上進行第2輪評估，直至得到滿意的結(jié)果為止。

2.6 確定驗證方法

對于每個功能失效狀態(tài)，要確定渦軸發(fā)動機將如何滿足其安全性要求。一般對于危害等級較小的失效狀態(tài)，可以不做進一步分析工作；對于危害等級較大的失效狀態(tài)，一般采用定性FMEA或FTA方法，確保其發(fā)生概率小于10-5；對于危險的和災(zāi)難性的失效狀態(tài)，除一些簡單和常規(guī)的失效或緊急事件，可以通過工程建議判斷而不需要正式程序就能評估災(zāi)難故障發(fā)生概率外，需要采用FMEA、FTA、CCA或其他方法進行詳細地安全性分析。具體分析深度如圖3所示。

圖3 FHA分析深度

2.7 FHA分析結(jié)果

FHA分析表格是工作的核心，結(jié)果用表格的形式可以直觀地說明功能失效的工作階段、危害性影響、危害等級以及最關(guān)鍵的安全性要求和驗證方法。渦軸發(fā)動機整機級FHA分析結(jié)果見表4。

表4 渦軸發(fā)動機整機級FHA分析結(jié)果（部分）

3 總結(jié)

（1）本文以適航標(biāo)準(zhǔn)為依據(jù)，結(jié)合渦軸發(fā)動機安全性分析的工程背景，建立了適航符合性中的安全性驗證程序，在航空發(fā)動機安全性分析實踐中得到了應(yīng)用。

（2）在對渦軸發(fā)動機FHA分析中，利用系統(tǒng)功能框圖和可靠性模型分析多重失效問題，利用Delphi法確定功能失效影響等級。實踐證明該方法科學(xué)有效，并能合理提高分析工作效率?？蔀闇u軸發(fā)動機安全性適航驗證工作提供支持。

[1]周新新，陳玉春，樊巍，等.渦軸發(fā)動機技術(shù)參數(shù)與發(fā)展趨勢評估[J].航空工程進展，2013，4（2）：150-157. ZHOU Xinxin，CHEN Yuchun，F(xiàn)AN Wei，et al.Evaluation of technical parameters and developingtrends for turboshaft engines[J].Advances in AeronauticalScienceandEngineering，2013，4（2）：150-157.(inChinese)

[2]鄧飛.先進渦軸發(fā)動機總體性能設(shè)計研究[D].南京:南京航空航天大學(xué)，2013. DENG Fei.Research of the advanced turboshaft engine performance design [D].Nanjing:Nanjing University of Aeronautics and Astronautics，2013.(in Chinese)

[3]中國民用航空局.CCAR-33-R2航空發(fā)動機適航規(guī)定 [S].北京：中國民用航空局，2011：39-42. Civil Aviation Administration of China.CCAR-33-R2 Aeroengine airworthiness requirements[S].Beijing：Civil Aviation Administration of China，2011：39-42.(in Chinese)

[4]陸中，孫有朝，周伽.民用飛機適航符合性驗證方法與程序研究[J].航空標(biāo)準(zhǔn)化與質(zhì)量，2007（4）：6-8. LU Zhong，SUN Youchao，ZHOU Jia.Airworthinesscompliance approach procedure for civil aircraft[J].Aviation Standardization and Quality，2007（4）：6-8.(in Chinese)

[5]宗蜀寧，端木京順，汪建華，等.飛機整機級系統(tǒng)安全性評估方法探討[J].中國安全科學(xué)學(xué)報，2011，21（10）：125-130. ZONG Shuning，DUAN MU Jingshun，WANG Jianhua，et al.Study on aircraft system safety assessment method in aircraft level[J].China Safety Science Journal，2011，21（10）：125-130.(in Chinese)

[6]丁水汀，鮑夢瑤，杜發(fā)榮.無人機系統(tǒng)適航與安全性分析方法[J].航空動力學(xué)報，2012，27（1）：233-240. DING Shuiting，BAO Mengyao，DU Farong.Safety research on unmanned aircraft system for airworthiness[J].Journal of Aerospace Power，2012，27（1）：233-240.(in Chinese)

[7]ARP-4761,Guidelinesand methodsforconducting thesafety assessment process on civil airborn systems and equipment[S].US： SAE，1996：1-331.

[8]ARP-4754,Certificaion considerations for highly-integrated or complex aircraft systems[S].US：SAE，1996：1-88.

[9]鞏磊，張曙光，劉曉鋒，等.基于功能危險分析的渦扇發(fā)動機數(shù)字控制系統(tǒng)危險識別方法研究[J].航空學(xué)報，2011，32（12）：2194-2203. GONG Lei，ZHANG Shuguang，LIU Xiaofeng，et al.Research on hazard identification of turbofan engine digital control systems based on functional hazard analysis[J].Acta Aeronautica et Astronautica Sinica，2011，32（12）：2194-2203.(in Chinese)

[10]國防科學(xué)技術(shù)工業(yè)委員會.GJB/Z99-97系統(tǒng)安全工程手冊[S].北京：國防科學(xué)技術(shù)工業(yè)委員會,1997：1-306. Commission of Science,Technology and Industry for National Defense. GJB/Z99-97 Engineering handbook for system safety[S].Beijing：The Commission of Science Technology and Industry for National Defense, 1997：1-306.(in Chinese)

[11]孫有朝，劉建軍，梁力，等.功能危險分析在民機安全性設(shè)計中的應(yīng)用研究[C]//大型飛機關(guān)鍵技術(shù)高層論壇暨中國航空學(xué)會2007年學(xué)術(shù)年會論文集.深圳：中國航空學(xué)會，2007：1-7. SUN Youchao，LIU Jianjun，LIANG Li，etal.Investigation of application of functional hazard analysis in civil aircraft safety design [C]//2007 Annual Conference of Chinese Aeronautic Association. Shenzhen：Chinese Aeronautic Association,2007：1-7.(in Chinese)

[12]CS-E,Certification specifications for engines.[S].K?ln：European Aviation Safety Agency，2007.

[13]Wilkinson P J，Kelly T P.Functional hazard analysis for highly integrated aerospace systems[C]//IEEE Seminar on Certification of Ground/Air Sytems.London：IEEE,1998：1-6.

[14]Shyur H J.A quantitative model for aviation safety risk assessment[J]. Computers&Industrial Engineering，2008，54（1）：34-44.

[15]劉偉濤，顧鴻，李春洪.基于德爾菲法的專家評估方法 [J].計算機工程，2011,37（1）：189-191. LIU Weitao，GU Hong，LI Chunhong.Expert evaluation method based on Delphi method[J].Computer Engineering，2011，37（1）:189-191. (in Chinese)

[16]袁勤儉，宗乾進，沈洪洲.德爾菲法在我國的發(fā)展及應(yīng)用研究——南京大學(xué)知識圖譜研究組系列論文 [J].現(xiàn)代情報，2011，31（5）：3-7. YUAN Qinjian，ZONG Qianjin，SHEN Hongzhou.Review of development and application of Delphi method in China[J].Journal of Modern Information，2011，31（5）：3-7.(in Chinese)

[17]田軍，張朋柱，王刊良，等.基于德爾菲法的專家意見集成模型研究[J].系統(tǒng)工程理論與實踐，2004，24（1）：57-62. TIAN Jun，ZHANG Pengzhu，WANG Kanliang，etal.Integrating model of expert's opinion based on Delphi method [J].Systems Engineering Theory&Practice，2004，24（1）：57-62.(in Chinese)

（編輯：肖磊）

Safety Assessment of Turboshaft Engine Airworthiness Based on Functional Hazard Analysis

AN Gang，LI Yan-jun，CAO Yu-yuan，MA An-xiang，WANG Zhen-yu
（College of Civil Aviation，Nanjing University of Aeronautics and Astronautics，Nanjing 211106，China）

Aiming at the turboshaft engine safety,its analysis method and program were defined.The safety analysis of turboshaft engine was conducted by Functional Hazard Analysis（FHA）.The layer solutions of FHA were proposed based on complicated system structure,and multiple failure combinations were identified by reliability models.Due to strong subjective and difficult identification of FHA,Delphi method was proposed to take expert's assessment.The results show that the turboshaft engine safety is validated by its programs.The hazard failure of the whole turboshaft engine is quickly identified by FHA,which can objectively define the functional hazard influence degree and effectively reduce workloads.

airworthiness；functional hazard；safety；Delphi method；turboshaft engine

V 235.12

A

10.13477/j.cnki.aeroengine.2015.05.020

2014-11-27

安罡（1990），男，碩士，主要研究方向為民用航空安全性和可靠性；E-mail：angang@nuaa.edu.cn。

安罡，李艷軍，曹愈遠，等.基于功能危險分析的渦軸發(fā)動機適航安全性研究[J].航空發(fā)動機，2015，41（5）：98-102.AN Gang，LI Yanjun，CAO Yuyuan，et al. Safety assessment of turboshaft engine airworthiness based on functional hazard analysis[J].Aeroengine，2015，41（5）：98- 102.