胡 維，蔡 景

（1.武漢第二船舶設計研究所，武漢 430074；2.南京航空航天大學民航學院，南京 211106）

航空發(fā)動機全權限電子控制系統(tǒng)(FADEC,full authority digital engine control）的時間限制性派遣（TLD,time-limited dispatch）分析是飛機系統(tǒng)安全性分析的重要內容，是商用飛機及航空發(fā)動機型號合格審定的一項必要工作[1]。為了保證FADEC 系統(tǒng)的可靠性，采用雙通道全備份設計，且通道之間采用交叉鏈路數據通道（CCDL,cross channel digital line） 進行數據交互，FADEC 系統(tǒng)概念圖如圖1所示。

圖1 FADEC 系統(tǒng)概念圖Fig.1 Concept map of FADEC system

在TLD 分析指導性文件ARP5107B[2]中，給出兩種推薦的TLD 分析方法：一種是時間加權平均（TWA,time weighted average）方法；另一種是馬爾科夫模型（MM,Markov model）方法。無論哪種方法都需要獲得一個重要數據，即FADEC 系統(tǒng)部件失效后的推力控制喪失（LOTC,loss of thrust control）率。在ARP5107B中，根據FADEC 系統(tǒng)的特點（雙通道全備份冗余設計），推薦采用功能分析法來獲得這一數據。功能分析法通過尋找故障發(fā)生后會導致系統(tǒng)進入LOTC 狀態(tài)的單個繼發(fā)故障，來確定部件失效后系統(tǒng)LOTC 率。如油門桿角度（TLA,thrust level angle）信號丟失故障發(fā)生后，能造成FADEC 系統(tǒng)進入LOTC 狀態(tài)的單個繼發(fā)故障，即只有另一通道CPU、電源或備份油門桿角度信號也丟失，才會使系統(tǒng)進入LOTC 狀態(tài)，TLA 故障后，系統(tǒng)LOTC 率可表示為這3 個故障的失效率之和。該方法在系統(tǒng)復雜程度不高時，應用較為簡單，但隨著FADEC 系統(tǒng)復雜程度增加，功能分析法會出現分析過于復雜且不夠全面、多故障耦合問題分析困難等問題。如當CCDL 發(fā)生故障時，由于不存在發(fā)生LOTC 事件的單個繼發(fā)故障，故功能分析法不適用。目前，國內外對于FADEC系統(tǒng)的TLD 分析開展了不少研究，如Prescott 等[3]提出使用蒙特卡羅仿真方法進行TLD 分析，陸中等[4-5]將任務可靠度與平均安全水平概念引入到TLD 分析中。而這些研究在進行TLD 分析時，都使用功能分析法得到部件失效后系統(tǒng)LOTC 率。

故障樹方法作為一種系統(tǒng)可靠性的分析模型，具有定性與定量分析功能。通過分析FADEC 系統(tǒng)原理，結合失效模式與影響分析（FMEA,failure model and effect analyze），建立以發(fā)動機LOTC 為頂事件、底層部件失效為底事件的故障樹模型，以此來替代功能分析法在TLD 分析中的作用[6]。

1 TLD 分析

ARP5107B 中推薦的兩個TLD 分析方法中，TWA方法只是將FADEC 系統(tǒng)LOTC 率表示為幾類故障的失效率時間加權之和，精度較低。而目前主流飛機制造商如波音、空客在進行TLD 分析時都采用MM 方法。FADEC 系統(tǒng)具有低失效率、高修復率的特點，系統(tǒng)在帶故障派遣期間發(fā)生新故障的概率非常低，多故障同時出現的概率較小，因此，在實踐中美國聯邦航空管理局（FAA,Federal Aviation Administration）允許使用單故障馬爾科夫模型進行TLD 分析。

單故障馬爾科夫模型只考慮系統(tǒng)發(fā)生單個故障狀態(tài)，其對應的馬爾科夫模型如圖2所示。其中：P1為系統(tǒng)無故障狀態(tài)的概率；Pi為部件i 處于故障狀態(tài)的概率；PLOTC為系統(tǒng)處于LOTC 狀態(tài)的概率；λi為部件i的失效率；λi-LOTC為部件i 失效后系統(tǒng)的LOTC 率；λHM+UC為機械/液壓故障與未覆蓋故障失效率之和；μi為部件i 的修復率，即派遣時長的倒數；μFB為系統(tǒng)從LOTC 狀態(tài)修復到全勤狀態(tài)的修復率。

圖2 單故障馬爾科夫模型Fig.2 Markov model with single fault

根據故障發(fā)生后對系統(tǒng)冗余度的影響，將直接導致系統(tǒng)進入LOTC 狀態(tài)的故障歸為不準派遣故障（ND,no dispatch），將對系統(tǒng)冗余度影響較大的故障歸為短時派遣故障（ST,short term），將對系統(tǒng)冗余度影響較小的故障歸為長時派遣故障（LT,long term），且為每類故障規(guī)定了不同的派遣時長。

對于n 狀態(tài)系統(tǒng)，以1 狀態(tài)為完好狀態(tài)，2 到n-1為中間故障狀態(tài)，n 狀態(tài)為LOTC 狀態(tài)。在TLD 分析指導性文件ARP5107B[2]中，FADEC 系統(tǒng)LOTC 率定義為系統(tǒng)進入LOTC 狀態(tài)的概率Pin-LOTC與系統(tǒng)處在非LOTC 狀態(tài)的概率之比，可表示為

式中

在系統(tǒng)達到穩(wěn)定狀態(tài)時，即可認為進入與離開某個狀態(tài)概率相等，即dPi/dt=0，且系統(tǒng)處在各狀態(tài)概率之和為1，可得

再根據式（2）和式（3），將式（1）轉化為

式中

代入式（4）得到

由于部件失效率λi及機械/液壓故障與未覆蓋故障失效率之和λHM+UC已知，只要得到部件i 失效后系統(tǒng)LOTC 率即可得到系統(tǒng)在修復率μi下的LOTC 率，即可完成TLD分析。

2 故障樹應用實例

為了獲得部件失效后FADEC 系統(tǒng)的λi-LOTC，以某一在役FADEC 系統(tǒng)為例建立故障樹，系統(tǒng)共有85個部件。

故障樹建立的第一步是確定故障樹的分析目標，即確定故障樹的頂事件。以FADEC 系統(tǒng)失效導致發(fā)動機進入LOTC 狀態(tài)為頂事件，記為TP1。在頂事件確定后，需要找到直接導致發(fā)動機控制系統(tǒng)LOTC 事件的直接原因，通過前期對發(fā)動機控制系統(tǒng)故障機理的分析，并結合發(fā)動機控制系統(tǒng)及其主要部件的功能危害分析（FHA,functional hazard analysis）和FMEA，確定導致LOTC 的直接原因有：燃油不能實現連續(xù)控制，推力振蕩導致機組不得不關閉發(fā)動機，錯誤參數限制推力和由數控系統(tǒng)導致的發(fā)動機停車[7]。對上述4 個中間事件繼續(xù)進行原因分析，分別找出導致這4 個中間事件的全部直接原因。繼續(xù)按此方式進行分析，直至追查到已知的原始故障機理或概率分布，最終形成完整的故障樹。

若失效會對飛機造成LOTC，則該故障會被納入到TLD 分析范圍。FMEA 分析主要記錄以下內容：故障或失效模式、故障或失效對系統(tǒng)的影響及故障發(fā)生的概率。通過FMEA 分析，得到發(fā)動機LOTC 事件所有可能的故障模式與原因。這些故障模式與原因構成了故障樹的中間事件與底事件。

由于發(fā)動機控制系統(tǒng)結構復雜，故障樹共包含19個邏輯門和18 個中間事件，最終得到85 個底事件，故障樹部分模型如圖3所示。每個底事件的失效率記作λi（i=1，2，…，85），底事件失效率來源于FHA 與FMEA分析，部分部件失效率數據如表1所示。通過設置底層部件失效，得到部件失效后系統(tǒng)LOTC 率，并依據ARP5107B 中故障分類標準，判斷部件故障類別。

表1 部分部件失效率數據Tab.1 Partial failure rate data

圖3 FADEC 系統(tǒng)部分故障樹Fig.3 Partial fault tree diagram of FADEC system

通過故障樹的最小割集分析發(fā)現有10 個故障會直接導致系統(tǒng)進入LOTC 狀態(tài)，為ND 類故障；有2 個故障對系統(tǒng)冗余度影響較大，為ST 類故障；剩下73個故障對系統(tǒng)冗余度影響較小，為LT 類故障。

3 故障后系統(tǒng)LOTC 率計算與分析

通過可靠性軟件Isograph 建立FADEC 系統(tǒng)LOTC故障樹后，設置FADEC 底層部件失效率。通過修改單個部件失效率為1 后，通過軟件自帶故障樹分析，可直接得到部件失效后系統(tǒng)LOTC 率λi-LOTC。將得到的結果與功能分析法相比較，部分結果如表2所示。

通過比較表中兩種方法得到的λi-LOTC發(fā)現，功能分析法得到的結果總是略大于故障樹方法。原因是功能分析法簡單將λi-LOTC表示為幾種故障失效率之和，從可靠性角度來看，該方法重復計算了幾種故障同時發(fā)生的概率。部分部件失效后系統(tǒng)LOTC 率很難通過功能分析法得到，如CCDL 故障。從功能角度來看，只要FADEC 系統(tǒng)雙通道各發(fā)生一個故障，使得兩個通道都處于不可用狀態(tài)，則系統(tǒng)就會進入LOTC 狀態(tài)，而這種情況下，雙通道之間不能進行數據交互，不存在導致系統(tǒng)進入LOTC 狀態(tài)的單個繼發(fā)故障，因此，功能分析法無法得到CCDL 故障后系統(tǒng)LOTC 率。針對這種情況，用故障樹方法得到的數據代替功能分析法不能獲得的數據，得到兩種分析方法下完整失效率表。取短時派遣間隔TS=125 h，進行TLD 分析，得到系統(tǒng)LOTC率隨長時派遣間隔TL變化的情況，如圖4所示。

從圖4中可以看出，在TL較小時，兩種方法得到的λi-LOTC基本相等，但隨著TL增大，兩種方法得到的λi-LOTC相差越來越大。結合表2和圖4，發(fā)現即使兩種方法得到的部件失效后λi-LOTC相差較小，在進行TLD分析時，得到的結果λi-LOTC相對誤差較大（2%）。這是由于功能分析法得到的每個部件故障后系統(tǒng)λi-LOTC都偏大，最后在TLD 分析時，這部分誤差相疊加，使得TLD 分析結果過于保守。

表2 部件失效后系統(tǒng)LOTC 率Tab.2 LOTC rate of the system with component failure

圖4 TLD 分析結果Fig.4 TLD analysis result

4 結語

通過對FADEC 系統(tǒng)進行FMEA 分析，建立系統(tǒng)LOTC 故障的故障樹，用于FADEC 系統(tǒng)的TLD 分析。通過分析發(fā)現：①與功能分析方法相比，故障樹方法對FADEC系統(tǒng)建模，可用于任意復雜FADEC 系統(tǒng)，得到的結果更加精確；②故障樹方法彌補了功能分析法分析結果過于保守、分析不夠全面、在不存在單個繼發(fā)故障引起LOTC 情況時不適用的缺點。

隨著FADEC 系統(tǒng)復雜程度提高，故障樹方法與功能分析法相比分析誤差更小，可較好地應用于限時派遣技術中。