魯勁松 ，張?zhí)旌?

（1.中國航發(fā)商用航空發(fā)動(dòng)機(jī)有限責(zé)任公司，上海 200241；2.南京航空航天大學(xué)能源與動(dòng)力學(xué)院，南京 210016）

0 引言

在以往的航空發(fā)動(dòng)機(jī)控制系統(tǒng)中，許多單一的和預(yù)期的故障組合會(huì)導(dǎo)致發(fā)動(dòng)機(jī)推力不可控的危險(xiǎn)情況發(fā)生，而此時(shí)機(jī)組人員無法快速和正確地應(yīng)對(duì)、消除和減輕事件的危險(xiǎn)性。波音公司新設(shè)計(jì)的B737MAX 和B787 飛機(jī)增加了推力控制故障處置(Thrust Control Malfunction Accommodation，TCMA）和電子超轉(zhuǎn)(Electronic Over Speed，EOS)保護(hù)功能。美國聯(lián)邦航空管理局（Federal Aviation Administration，F(xiàn)AA）發(fā)布的B787 飛機(jī)型號(hào)合格證數(shù)據(jù)表T00021SE中將推力故障處置列為飛機(jī)的型號(hào)新設(shè)計(jì)特征，飛機(jī)具有推力故障處置功能。

中國商用飛機(jī)和航空發(fā)動(dòng)機(jī)的研發(fā)時(shí)間不長，特別是商用航空渦扇發(fā)動(dòng)機(jī)尚處于研發(fā)初期，對(duì)推力控制故障處置的技術(shù)和方法研究還較少。戚學(xué)鋒等論述了CCAR-25-R4 第25.901(c)適航條款有關(guān)不可控高推力的部分申請(qǐng)豁免的思路和方法；李婧分析了航空發(fā)動(dòng)機(jī)在發(fā)生不可控高推力后的失效狀態(tài)和風(fēng)險(xiǎn)計(jì)劃；徐彧開展了自動(dòng)飛行系統(tǒng)模式的性能指標(biāo)及符合性驗(yàn)證方法研究，提出了適宜的符合性驗(yàn)證方法，但未討論25.901(c)的符合性；張雷雷開展了民用航空發(fā)動(dòng)機(jī)數(shù)控系統(tǒng)的功能危險(xiǎn)性評(píng)估（Function?al Hazard Analysis，F(xiàn)HA）方法研究，同時(shí)以CFM56-7B 發(fā)動(dòng)機(jī)為研究對(duì)象，開展了控制系統(tǒng)失效模式和影響分析（Failure Modes and Effect Analysis，F(xiàn)MEA）的方法與過程研究，但因?yàn)锽737NG 飛機(jī)沒有設(shè)計(jì)TCMA 功能，因而未開展相關(guān)內(nèi)容的研究；姬猛研究了在飛行中飛機(jī)推力不對(duì)稱時(shí)的飛行控制律重構(gòu)技術(shù)，但未涉及TCMA系統(tǒng)功能的研究。

智能技術(shù)適用于解決被控對(duì)象及其環(huán)境隨時(shí)間發(fā)生變化的問題，應(yīng)大力推動(dòng)智能技術(shù)在航空發(fā)動(dòng)機(jī)上的應(yīng)用。本文基于系統(tǒng)工程的方法，按照設(shè)計(jì)需求來源、需求捕獲、需求定義、系統(tǒng)架構(gòu)、系統(tǒng)功能分配的正向設(shè)計(jì)步驟對(duì)GEnx-1B 發(fā)動(dòng)機(jī)的TCMA 功能進(jìn)行解析研究。

1 需求來源

1.1 安全性需求與符合性驗(yàn)證

中國民用航空規(guī)章第25 部《運(yùn)輸類飛機(jī)適航標(biāo)準(zhǔn)》CCAR-25-R4 第25.901(c）要求：“對(duì)于動(dòng)力裝置和輔助動(dòng)力裝置的安裝，必須確認(rèn)任何單個(gè)失效或故障以及可能的失效組合都不會(huì)危及飛機(jī)的安全運(yùn)行”。以往的美國聯(lián)邦航空局(FAA)和歐洲航空安全局(EASA)的咨詢公告也指出，如果申請(qǐng)人無法證明飛機(jī)在不可控高推力故障條件下滿足該條款要求，應(yīng)申請(qǐng)等效安全或部分豁免。因此，國外多個(gè)機(jī)型對(duì)25.901(c)條款申請(qǐng)了部分豁免。中國民航總局2019年也為C 系列飛機(jī)BD-500-1A10/-1A11 頒布《關(guān)于對(duì)CCAR-25-R4 25.901(c）要求的部分豁免》。

上述豁免基于2種假設(shè)：

（1）大部分不可控高推力失效場(chǎng)景可通過發(fā)動(dòng)機(jī)控制系統(tǒng)推力控制異常處理功能來糾正。

（2）允許機(jī)組確定發(fā)動(dòng)機(jī)停車的恰當(dāng)時(shí)機(jī)，并通過獨(dú)立的燃油切斷裝置關(guān)閉故障發(fā)動(dòng)機(jī)，以防止這類故障導(dǎo)致災(zāi)難性的后果。

但最近歐美適航審查方認(rèn)為安全性分析中許多假設(shè)需要確認(rèn)，需要重新進(jìn)行試驗(yàn)驗(yàn)證規(guī)劃，推薦采用MOC5 和MOC6 方法驗(yàn)證,即采用地面試驗(yàn)和飛行試驗(yàn)的符合性驗(yàn)證方法。

1.2 安全需求驅(qū)動(dòng)飛機(jī)設(shè)計(jì)改進(jìn)

工程研究和飛機(jī)運(yùn)營經(jīng)驗(yàn)以及1997 年沙特阿拉伯航空公司波音737-200飛機(jī)的空難表明，這類假設(shè)條件并不一定總是正確的。1997 年沙特航空公司的一架波音B737-200 飛機(jī)在納季蘭（Najran）機(jī)場(chǎng)正常起飛過程中，右側(cè)發(fā)動(dòng)機(jī)推力增大并且顯示超溫，機(jī)組人員在飛行速度為120 kn（212 km/h）時(shí)中斷起飛，將2 臺(tái)發(fā)動(dòng)機(jī)的油門桿拉到慢車/反推位置，但是右側(cè)發(fā)動(dòng)機(jī)仍然保持起飛推力，飛機(jī)最終沖出跑道，遭受結(jié)構(gòu)損傷，主起落架倒塌，造成燃油泄漏引起火災(zāi)，使飛機(jī)燒毀，在疏散過程中有人員受傷。

事故原因分析表明機(jī)組人員處置存在不確定性和沒有能夠正確處置的問題。而對(duì)于復(fù)雜的應(yīng)急場(chǎng)景需要通過融入邏輯推理、自適應(yīng)控制和智能控制技術(shù)才能更好地解決復(fù)雜系統(tǒng)運(yùn)行時(shí)的安全問題。解決方案是利用智能技術(shù)開發(fā)用于偵、探測(cè)和處置的新系統(tǒng)，提高機(jī)組人員在緊急情況下的處置能力。波音公司和空客公司對(duì)新設(shè)計(jì)飛機(jī)的發(fā)動(dòng)機(jī)提出了增加推力控制故障調(diào)節(jié)TCMA功能的需求，當(dāng)出現(xiàn)推力控制故障（Thrust Control Malfunction,TCM）事件時(shí)，由發(fā)動(dòng)機(jī)的控制系統(tǒng)自動(dòng)完成該功能，而不由飛行機(jī)組來進(jìn)行所謂“適當(dāng)”的處置，這樣更有利于保障飛機(jī)飛行的安全性。

推力控制故障TCM 定義為無指令和不可控的推力偏離，在這種情況下，油門指令無效。屬于單個(gè)失效，導(dǎo)致發(fā)動(dòng)機(jī)接收到的指令是較低推力狀態(tài)，而實(shí)際上發(fā)動(dòng)機(jī)推力大幅增加至高于指令或保持高推力。

推力控制故障處置TCMA 定義為發(fā)動(dòng)機(jī)控制系統(tǒng)可以防止推力控制故障TCM 事件對(duì)飛機(jī)造成危害。TCMA 功能將監(jiān)控產(chǎn)生的推力和指令推力，確保發(fā)動(dòng)機(jī)推力不會(huì)反過來影響飛機(jī)的安全性。

TCMA 系統(tǒng)目前應(yīng)用于配裝GEnx、LEAP-A/B、Trent1000、Trent XWB 發(fā)動(dòng)機(jī)的飛機(jī)上，飛機(jī)在每次飛行前要實(shí)施TCMA 功能自檢。波音公司2010 年申請(qǐng)了1 項(xiàng)歐盟專利EP1350 942 B1：推力故障處置系統(tǒng)和方法（Thrust Control Malfunction Accommodation System and Method）。美國發(fā)動(dòng)機(jī)燃油控制系統(tǒng)供應(yīng)商漢勝公司(Hamilton Sundstrand Corporation) 2020年也分別申請(qǐng)了歐盟專利EP3744958(A1)和美國專利US2020378315(A1)：燃油系統(tǒng)與集成推力控制故障保護(hù)和方法（Fuel System with Integrated Thrust Control Malfunction Protection and Method）。

1.3 TCM推力控制故障的危害性

推力控制故障會(huì)導(dǎo)致發(fā)動(dòng)機(jī)推力無法控制，這對(duì)飛機(jī)運(yùn)行時(shí)產(chǎn)生的危險(xiǎn)可能是災(zāi)難性的。一種特別危險(xiǎn)的情況是飛機(jī)在起飛、漸近或著陸時(shí)推力控制系統(tǒng)發(fā)生故障，導(dǎo)致發(fā)動(dòng)機(jī)繼續(xù)在大推力狀態(tài)下運(yùn)行，如果有其中1 臺(tái)發(fā)動(dòng)機(jī)不能響應(yīng)降低功率的命令，將出現(xiàn)嚴(yán)重的推力不對(duì)稱的情況，使飛機(jī)遭受很大的側(cè)向力，此時(shí)飛行員很難控制飛機(jī)；即使推力的不對(duì)稱可以控制，但過大的推力也可能導(dǎo)致飛機(jī)的滑行，停止距離超過可用的跑道長度。在這種情況下，即使機(jī)組人員擁有高超的駕駛技能和迅速的反應(yīng)能力，也可能不足以處理和消除這種安全風(fēng)險(xiǎn)。

2 TCMA系統(tǒng)架構(gòu)

GEnx 發(fā)動(dòng)機(jī)的TCMA 系統(tǒng)架構(gòu)如圖1 所示。系統(tǒng)由飛機(jī)綜合航電系統(tǒng)、發(fā)動(dòng)機(jī)電子控制器(Electron?ic Engine Controller，EEC)和燃油計(jì)量裝置（Fuel Me?tering Unit,FMU）組成。由飛機(jī)的通用數(shù)據(jù)網(wǎng)(Com?mon Data Network,CDN)提供飛行高度信息和油門桿角度信號(hào)以及飛行速度信號(hào)給發(fā)動(dòng)機(jī)電子控制器EEC,EEC判別觸發(fā)TCMA功能后控制FMU中的TCM/EOS 電液伺服閥液壓關(guān)閉FMU 中的高壓關(guān)閉閥(High Pressure Shut off Valve, HPSOV),使燃油不會(huì)進(jìn)入燃油噴嘴和燃燒室。

圖1 GEnx發(fā)動(dòng)機(jī)TCMA系統(tǒng)架構(gòu)

波音公司的B787飛機(jī)的綜合航電系統(tǒng)的通用核心系統(tǒng)（Common Core System，CCS）如圖2所示。其具有集成的模塊化架構(gòu)，提供了1 組共享計(jì)算、數(shù)據(jù)總線和輸入/輸出資源，以支持計(jì)算機(jī)和系統(tǒng)接口對(duì)多飛機(jī)飛行系統(tǒng)的需求。該系統(tǒng)包括2 個(gè)通用計(jì)算設(shè)備(Common Computing Resources，CCR)、10 個(gè)CDN 和18 個(gè)遠(yuǎn)程 數(shù)據(jù) 采 集器（Remote Data Concentrator，RDC）等，每個(gè)CCR 機(jī)柜中都安插有若干個(gè)外場(chǎng)可更換模塊的通用處理模塊（General Processor Module，GPM)以及傳輸速度為100MB/s 的CDN。與傳統(tǒng)的航電系統(tǒng)相比，該系統(tǒng)還綜合了燃油控制、電源、液壓、環(huán)控、防冰和防火等系統(tǒng)。

圖2 B787飛機(jī)的綜合航電系統(tǒng)的通用核心系統(tǒng)

3 TCMA系統(tǒng)需求

TCMA 系統(tǒng)的設(shè)計(jì)需求來自飛機(jī)的安全性需求，通過邏輯分解飛機(jī)級(jí)安全性需求逐級(jí)向下分配給發(fā)動(dòng)機(jī)—控制系統(tǒng)—EEC 和執(zhí)行機(jī)構(gòu)，其中EEC 將控制功能分配到電子硬件和嵌入式軟件。整個(gè)需求分配過程見表1。

表1 飛機(jī)安全性需求分配

4 TCMA功能

4.1 TCM事件偵測(cè)

TCM 包含非指令和不受控2 種，TCM 事件的偵測(cè)由EEC 內(nèi)的軟件判定，如果同時(shí)滿足以下條件，1個(gè)TCM事件就認(rèn)為被偵測(cè)到：

（1）高壓轉(zhuǎn)子轉(zhuǎn)速值（修正）大于“TCMA 邊界”。 TCMA 邊界定義為門限值為最大額定推力的30%，或者同時(shí)有中斷起飛事件發(fā)生時(shí)最大額定推力的25%。當(dāng)推力小于這些值時(shí)不需要TCMA的保護(hù)；

（2）修正空速（Calibrated Air Speed，CAS）小于200 kn（370 km/h）。說明飛機(jī)此時(shí)處于起飛、著陸或者漸進(jìn)階段，在這個(gè)階段對(duì)發(fā)動(dòng)機(jī)進(jìn)行保護(hù)，避免出現(xiàn)推力不平衡；

（3）飛機(jī)高度需低于5334 m，TCMA 在低空才起作用。

上述3 個(gè)條件只是前提條件，即TCM 事件發(fā)生，但不一定觸發(fā)TCMA 功能，觸發(fā)TCMA 功能需要符合下一節(jié)的TCMA處置邏輯。

4.2 TCMA處置邏輯

當(dāng)下列條件同時(shí)發(fā)生并且持續(xù)120 ms 之后，即進(jìn)入TCMA處置過程。

（1）4.1 節(jié)所述的TCM 事件都被偵測(cè)到（不考慮反推力的位置）。

（2）飛機(jī)在地面上，油門桿保持在慢車域，油門桿的角位移傳感器的信號(hào)值處于設(shè)定區(qū)間。

（3）轉(zhuǎn)速傳感器和進(jìn)口總溫（Total Air Temper?ature，TAT）傳感器沒有故障。

TCMA 邏輯鎖定后快速觸發(fā)TCMA 過程，EEC 將激勵(lì)FMU 中的TCM/EOS 電液伺服閥，控制高壓關(guān)閉閥HPSOV切斷發(fā)動(dòng)機(jī)燃燒室的燃油供應(yīng)。

4.3 TCMA激活

EEC 的2 個(gè)通道通常是相同的，任何一個(gè)通道都可以獨(dú)立控制發(fā)動(dòng)機(jī)，在同一時(shí)間只有1 個(gè)通道控制發(fā)動(dòng)機(jī)的作動(dòng)器和電磁線圈等，該通道被稱作控制通道或激活通道，另外一個(gè)通道處于待機(jī)模式(非激活通道)。只要EEC 的2 個(gè)通道是正常的，EEC 將在新的一次航班發(fā)動(dòng)機(jī)起動(dòng)時(shí)更換控制通道。

但是激活和非激活的例外是推力控制故障處置TCMA 模式，其功能被設(shè)計(jì)為激活/激活，只要TCMA事件被偵測(cè)到，任何一個(gè)通道都可以通過FMU 的HPSOV自動(dòng)關(guān)閉到發(fā)動(dòng)機(jī)燃油噴嘴的燃油供應(yīng)。

4.4 TCMA功能監(jiān)控與自檢BIT

在每次飛行前起動(dòng)發(fā)動(dòng)機(jī)時(shí)，發(fā)動(dòng)機(jī)電子控制器EEC 需要完成TCMA 功能準(zhǔn)備和完整性自我檢測(cè),檢測(cè)邏輯保證激活TCMA 繼電器信號(hào)而不會(huì)激活TC?MA 處置。如果EEC 執(zhí)行的TCMA 準(zhǔn)備測(cè)試失敗，EEC 將通過駕駛艙的發(fā)動(dòng)機(jī)指示與機(jī)組警報(bào)系統(tǒng)（Engine Indication Crew Alerting System，EICAS）顯示“ENG TCMA”故障信息并告知機(jī)組人員。

TCMA 功能自檢是校驗(yàn)飛機(jī)上的開關(guān)接通與關(guān)斷電源時(shí)FMU 燃油關(guān)斷功能的電氣連接是否正確。該檢查在2個(gè)EEC 通道上進(jìn)行，先后在控制通道和備用信道上進(jìn)行。

TCMA 功能自檢驗(yàn)證當(dāng)FMU 中燃油計(jì)量閥（Fuel Metering Valve，F(xiàn)MV）處于某一固定的開度、EEC 的2個(gè)通道關(guān)閉時(shí)，高壓關(guān)斷閥HPSOV 是否關(guān)閉。如果HPSOV 未關(guān)閉，就會(huì)有燃油流量被檢測(cè)到，TCMA 自檢失敗。當(dāng)然EEC 的機(jī)內(nèi)自檢主要還是通過自檢邏輯檢測(cè)其他電氣性能的降級(jí)和漂移。

TCMA 是獨(dú)立操作項(xiàng)目，不會(huì)影響發(fā)動(dòng)機(jī)電子超轉(zhuǎn)EOS系統(tǒng)。如果滿足所有的超轉(zhuǎn)條件，EOS依然可以關(guān)閉發(fā)動(dòng)機(jī)。另外，由于TCMA 和EOS共同調(diào)用相同的液壓系統(tǒng)電液元件，只要條件符合就會(huì)激活這2項(xiàng)功能切斷供油，沒有優(yōu)先順序。

5 結(jié)論

（1）TCMA 的功能通過1 個(gè)集成的智能控制系統(tǒng)實(shí)現(xiàn)，主要針對(duì)起飛、著陸階段，在地面避免出現(xiàn)推力不平衡，有效減小不可控高推力故障的危害。TCMA功能可以不依靠飛行機(jī)組的干預(yù)自動(dòng)完成推力不可控故障事件的處置，從而保證飛機(jī)在TCM 事件發(fā)生時(shí)不受危害。

（2）TCMA 功能的實(shí)現(xiàn)需要飛機(jī)與發(fā)動(dòng)機(jī)一體化設(shè)計(jì)，發(fā)動(dòng)機(jī)的EEC 是完成TCMA 功能的核心部件。進(jìn)行飛機(jī)系統(tǒng)與發(fā)動(dòng)機(jī)控制系統(tǒng)設(shè)計(jì)時(shí)，應(yīng)完整考慮軟硬件的功能分配、架構(gòu)設(shè)計(jì)、需求分解、接口定義以及系統(tǒng)的集成驗(yàn)證。

（3）現(xiàn)有TCMA 的系統(tǒng)架構(gòu)及功能設(shè)計(jì)是適航審定機(jī)構(gòu)可以接受的一種飛機(jī)安全性需求的符合性設(shè)計(jì)方案，是新型商用航空發(fā)動(dòng)機(jī)應(yīng)該具有的設(shè)計(jì)特征。