林桂平
（上海飞机设计研究院，中国 上海 201210）
【摘 要】根据《运输类飞机燃油箱系统设计评审：降低可燃性，维护和检查要求》（FAR25-102修正案）和《燃油箱系统容错评估要求》（SFAR88）的要求，型号合格证持有人以及申请人必须制定飞机燃油箱系统点火源防护所涉及的适航限制项目（ALI）。本文对ALI的制定方法与流程进行了研究和分析，从点火源防护安全性评估出发，运用“四元素”评估准则确定“不安全状态”，进而制定出以关键设计构型控制限制( CDCCL)和维修/检查任务为主的适航限制项目（ALI）。
教育期刊网 http://www.jyqkw.com
关键词 适航限制项目；四元素；关键设计构型控制限制
0 引言
燃油系统的安全问题一直以来是航空安全的主要问题之一。自上世纪五十年代起，全世界共发生十多起油箱点燃事故，导致大量的人员伤亡和财产损失。在这些事故中，环球航空TWA800航班事故对与飞机燃油系统设计有关的适航条例产生了巨大影响。在这起事故发生后，美国国家运输安全委员会（NTSB）对于该事故展开了调查，发现事故起因是不明点火源引起中央油箱爆炸。为此，FAA在2001年颁布了与燃油箱系统维护检查相关的《运输类飞机燃油箱系统设计评审：降低可燃性，维护和检查要求》（FAR25-102修正案）和《燃油箱系统容错评估要求》（SFAR88），其中SFAR88包含了适航限制项目(ALI)和其他持续适航文件(ICA)两部分，本文就燃油系统适航限制项目（ALI）的制定方法进行了研究和分析，这对民用飞机适航取证和持续适航具有重要的意义。
1 燃油系统ALI的目的和作用
燃油系统ALI是为了防止燃油箱内部由于潜在的失效、变更、修理或维护措施而引起的潜在点火源，对点火源起到防护作用，降低燃油箱的可燃性，因为点火源若与可燃性燃油蒸汽结合，将有可能会造成燃油箱爆炸并进一步导致飞机失事。
如图1所示为SFAR88的执行流程图，其中也显示了燃油系统ALI的制定过程。燃油系统ALI是燃油系统安全状态分析判断的结果，这些分析判断表明系统存在与SFAR88中所定义的由于系统构型改变、修理或维修差错所导致的与“不安全状态”有关的失效状态。若不按照相关法规采取特定的工作或操作，这些失效状态将会导致燃油箱有着火和爆炸的风险，进而将导致飞机产生严重的后果。
2 燃油系统安全状态的评估
SFAR88要求型号合格证和补充型号合格证申请人/持有人对飞机燃油箱系统进行安全性评估，确定点火源防护特征，制定燃油系统维护和检查指南来保持燃油系统的点火源防护特征，使燃油系统不会有点火源的存在或发展。
对燃油系统安全状态的评估，首先描述所要研究飞机的燃油系统，介绍其组成及各个部件的功能；然后对所研究的飞机燃油系统进行功能风险分析（FHA），找出能导致危险性后果的故障模式，作为故障树分析（FTA）的顶事件；再根据FHA分析出来的顶事件建造故障树，运用故障模式和影响分析（FMEA）对飞机燃油系统进行详细的安全状态评估；最后根据“四元素”法找出符合该方法中所述的单点故障和故障组合，判断它们是否会导致灾难性或危险性点火源的发生，从而确定它们的安全状态。
“四元素”不安全状态评估准则：
经过安全评估后的项目将用表1所述的“四元素”不安全状态评估表来决定是否需要发布适航限制指令。
1）燃油箱可燃性暴露时间确定
燃油箱可燃性暴露时间高低的定性，应采用定性检查和设计审查、定量标准和蒙特卡罗分析法三种方法对燃油箱是否符合低可燃暴露时间油箱特征进行判断。
可燃性暴露时间的确定步骤的：
步骤1：通过定性检查和设计审查，判断燃油箱能否满足低可燃性暴露时间的特征。如果满足，则燃油箱是低可燃性暴露时间燃油箱，如果不满足，则转到步骤2；
步骤2：判断燃油箱是否达到低可燃性暴露时间燃油箱的定量标准。如果达到，则燃油箱是低可燃性暴露时间燃油箱，如果达不到，则转入步骤3；
步骤3：判断燃油箱是否达到使用FAA蒙特卡罗分析法分析的低可燃性暴露时间燃油箱标准，如果达到，则燃油箱是低可燃性暴露时间燃油箱，如果达不到，则燃油箱是高可燃性暴露时间燃油箱。
2）“蒙特卡罗”分析方法
“蒙特卡罗”分析方法，是FAA发展的定量评估燃油箱可燃性的一种分析方法。它的主要内容有：
（1）基于仿真计算软件搭建燃油箱热模型；
（2）通过飞行试验获得燃油箱温度数据对燃油箱热模型进行验证，并表明可满足AC25.981-2A规定的油温仿真精度要求；
（3）将燃油箱热模型输出的燃油箱热参数作为蒙特卡罗模型的输入数据；按照用户手册要求对模型输入参数进行设置并进行计算。
“蒙特卡罗”分析方法的主要流程如图2所示。
3 燃油系统ALI的制定
通过“四元素”不安全状态评估确定的不安全状态，必须制定适航限制项目来纠正。
适航限制项目ALI是局方认可的维修检查项目。包括：
（1）适航维修要求CMR；
（2）部件安全寿命（如50,000架次起降报废起落架等）；
（3）结构重要项目（如基于应力分析，从某时限起定期检查前梁裂纹等）；
（4）关键设计构型控制限制（CDCCL）。
适航限制项目是整个维修工程的一部分。适航限制项目经局方批准，它定义了运营商为维持安全飞行需要的一些维修任务。这些维修任务不得未经局方批准而省略或更改。
与燃油系统相关的适航限制项目主要包含关键设计构型控制限制(CDCCL)和维修/检查任务。
3.1 关键设计构型控制限制（CDCCL）
关键设计构型控制限制（CDCCL）是CCAR25.981(d)强令的。关键设计构型控制限制是为保持飞机对燃油箱不安全状况的防护特性而进行的限制要求，根据FAR25-102修正案，关键设计构型控制限制它的一个目的在于，确保维修人员知晓并处置对影响燃油箱安全性的系统作了更换所造成的影响，包括为维持原始型号设计中已按防止形成点火源的需要所定义的那些设计特性而必需的任何信息。为确保维护、修理或替换不会无意中违反燃油箱系统原始型号设计的完整性，这些信息是必要的。原始设计批准型号合格证持有人必须定义一种方法来确保这些必要信息对实施和批准修理和更换的人员而言是明显的。在飞机上，凡不合适的行动可能降低设计构型完整性的区域，必须设置目视可见的措施，以告诫维修人员。此外，应采取在相应的手册（诸如线路图册）内予以阐述的方法来通告这些信息。
定义关键设计构型控制限制的一般规则如下：
（1）关键设计构型控制限制中列出的零部件的危险点火源的防护特性必须与取证构型保持一致；
（2）关键设计构型控制限制中列出的零部件的危险点火源的防护特性的修复和检查必须按照设计批准的运营商维护手册或局方批准的规范进行；
（3）关键设计构型控制限制中列出的零部件的危险点火源的防护特性的任何改变被认为是重要的改变，须经局方批准；
（4）当部件的危险点火源的防护特性被确定后，任何测试设备和对其进行维修的工具必须按照CMM或局方颁布的维修标准进行。
3.2 维修/检查任务
对于灾难级和危险级故障，需要通过安全性分析证明对25.1309(b)的符合性，安全性分析中提出了一些周期性的维修和机组检查任务。当这些检查不能作为基本的勤务检查时就把他们作为候选适航维修要求项目。
候选适航维修要求项目是对取证飞机运行要求的一些周期性维修检查任务。故障树中那些灾难性且隐蔽性的故障成为候选适航维修要求项目，执行这些任务的间隔也来自于系统安全性分析的故障树分析中的隐蔽时间。
4 结论
本文围绕SFAR88，简要论述了燃油系统ALI的目的和作用，给出了ALI的制定流程，首先进行点火源防护安全性评估，然后要对所评估的项目进行“不安全”状态判断，最后对判断为“不安全”状态的项目，制定适航限制项目（ALI），包括关键设计构型控制限制和维修/检查任务两个方面的制定，使得执行该项目的ALI后，不会对燃油系统的安全产生威胁，进而保障飞机的安全。
这种对适航限制项目制定方法的研究对我国刚刚起步的大型运输类飞机的适航审定工作具有一定的工程应用价值和指导意义。
教育期刊网 http://www.jyqkw.com
参考文献
［1］SFAR 88，Fuel Tank System Fault Tolerance Evaluation Requirements[S].2002.
［2］FAR 25.981，Fuel Tank Ignition Prevention[S].2012.
［3］FAA.AC25.981-2 Fuel tank flammability minimization.U.S.Department of Transportation[S].2001:04.18.
［4］FAA. AC25.1309-1A system design and analysis.U.S.Department of Transportation[S].1988:6.21.
［5］FAA. Policy statement on process for developing SFAR 88-related instructions for maintenance and inspection of fuel tank systems.U.S.Department of Transportation[Z].2004:5.21.
［6］FAR26.39,Newly Produced Airplanes：Fuel Tank Flammability[S].2012.
［责任编辑：刘展］