由于结构及使用环境的特殊性，民用航空发动机投入运行后的持续适航风险评估过程与民用飞机有很大的不同。随着国产民用航空发动机的项目立项以及研制取证活动的加速，相关证后持续适航工作急需启动。

航空安全是一种状态，即通过持续的危险识别和风险管理过程，将人员伤害或财产损失的风险降至并保持在可接受的水平或以下。根据《中国民用航空规章》（CCAR）21.5条，在运输类航空产品运行阶段若发生影响飞行安全的故障，航空运营方和生产厂家必须在规定时间内报告监管部门，同时尽快启动故障原因调查，确定失效事件的危险等级，评估安全风险，制定纠正措施以及制订控制计划。随着国产ARJ支线飞机的投入运行，我国对民用航空飞机及航空发动机的持续适航风险评估从研究走向实践，逐渐成熟。本文利用持续适航评估方法（CAAM），基于一型飞机增压泵导线由于发动机振动摩擦，而导致导线裸露的实际案例，说明了民用航空发动机持续适航评估的全过程，揭示了CAAM中5级危险等级情况的实际运用，可为后续相应邻域持续适航风险评估，以及建立技术流程体系等工作提供借鉴，这也是民用航空产品投入运行的前提条件。

民用航空发动机持续适航发展

持续适航评估方法委员会于1991年由美国航空航天工业协会（AIAA）组织成立，该委员会开发了用于识别、优先排列和解决民用航空发动机持续适航过程中安全性相关问题的方法，即持续适航性评估方法。持续适航性评估方法从飞机的角度，分析并给出了历史上由各型发动机和辅助动力装置（APU）故障引起的飞机级事故的发生原因、频率和危害程度。美国联邦航空局（FAA）于1994年将CAAM作为其持续适航安全管理程序的重要组成部分，并于2003年颁布咨询通告（AC），提出了航空飞行风险水平的可接受标准。

不同于民用航空飞机，民用航空发动机的持续适航风险评估具有一定的特殊性。但由于国内尚未有成熟的投入运行的国产民用航空发动机，故相应的工作尚处于起步状态，大多仍停留在国外案例研究阶段，未能开展实践。例如，高艳蕾等基于故障风险分析及评估方的故障风险分析及评估方法，介绍了国外一型涡扇发动机第8级压气机盘断裂失效故障的风险分析与评估过程；顾海健等基于蒙特卡洛仿真并结合失效概率模型，介绍了国外一型民用航空飞机APU 转子非包容失效的持续适航风险评估过程。

民用航空发动机持续适航评估方法

根据国际民航组织（ICAO）颁布的《适航手册》（DOC 9760）的定义，持续适航过程指航空器在其使用寿命内的任何阶段都符合其型号合格审定的适航要求，并始终处于安全运行状态。持续适航的目的包括：及时准确判定不安全状态，确定这个不安全状态可容忍时间，以及制定有效的改正、改进措施，并发布必要的强制措施，消除不安全状态等。

运用民用航空发动机持续适航的评估方法，开展定义失效危险等级、评估风险、制定并评估纠正措施等，主要过程包括如下几个步骤。

一是针对不安全状态开展风险评估，计算预期的失效次数。先采用威布尔（Weibull）分析法等航空发动机故障数据统计方法，获取发动机相关部件故障分布函数，从而建立故障模型；然后采用蒙特卡罗（Monte Carlo）等数值仿真方法，预测此故障预期的特定时间范围内失效事件发生的次数。

二是定义故障风险的CAAM风险等级计算危险系数。通常情况下，利用该故障导致的失效事件的历史数据，计算出对应CAAM风险等级的危险系数，即该故障导致发生某等级危险事件的频率或可能性。遇到特殊情况，如缺少历史数据，则可以通过计算条件概率等方法等获取相应危险系数。基于对飞机和人员（乘客及机组）带来的后果的严重程度，CAAM定义了5级危险等级，后果最严重为5级，反之为1级，持续适航风险评估工作需重点关注并消除危险等级在3级及以上的事件，详见表1。

表1   CAAM风险事件危险等级

三是计算风险因子。通过预期的失效次数和危险系数，即可计算出风险因子，即特定危险等级的失效事件发生的次数，由预期的失效次数与危险系数相乘便可得出。

四是对比分析风险因子与相应的CAAM风险准则表，评估目前故障所涉及的风险是否可接受或是否需要立即采取措施，详见表2。例如，短期（60天内）风险水平超出CAAM风险准则表内对应的限制值，则须立即采取措施降低风险，从而控制该风险的发生。

表2   CAAM风险准则

以4级事件为例，按表2中CAAM风险准则对飞行风险区域进行划分，获得CAAM4级事件飞机飞行风险区域，如图1所示。其中，当4级事件风险因子大于0.1，或每次飞行风险大于1×10^-9时，该事件为高风险事件，必须采取强制性措施，降低风险至可接受水平。当在图中顶端水平线之上的区域时（每次航班概率大于4×10^-6），可以按5级事件建立近似值。虽然CAAM尚未对5级事件正式确定相应限制值，但参考3级及4级事件相应关系，默认5级事件限制值比相关的4级事件限制值小一个数量级；当4级事件风险因子小于1，或每次飞行风险介于4×10^-6和1×10^-9之间时，代表了出现了过量风险，需要进一步关注，CAAM建议可以采取制造厂家建议的纠正措施，以达到有效的风险管理；当4级事件每次飞行风险在1×10^-9以下，或风险因子小于0.1时，风险发生可能性较小。

案例分析

对一架运输飞机燃油泄漏问题的检查显示，泄漏是由于管道与管道内的增压泵导线之间，由于发动机振动引起的摩擦擦伤了绝缘材料，并产生电弧导致管道烧穿，穿透的管道位于燃料箱内，因此可能引起燃料箱着火。针对上述风险事件进行具体分析及评估，相关工作如下。

建立故障分布函数

在本案例飞机类型上的增压泵导线常见于所有的型号，整个世界范围内涉及大约3000架飞机。由于可能影响摩擦后果的不同发动机类型的振动特性尚不清楚，因此必须假定机队中的所有飞机都可能受到影响。

基于研发数据建立导线的威布尔分布函数，通过数据分析表明磨损的可能性随着导线的使用年限不断增加。通过此模型，开展蒙特卡罗故障仿真，计算故障发生概率，经过计算校验模型得出结论：到目前为止应发生了0.92次管道烧穿，与实际情况相吻合，证明该模型有效。

判定故障风险等级

历史上曾有一架不同型号的飞机发生了一起无法解释的灾难性燃油箱起火，这也是唯一的实际燃油箱着火导致的5级事件。虽然该飞机着火时停在地面，但许多乘客被烧死，飞机遭毁坏，该意外的原因没有被记录，但是分析依旧得出结论认为，任何在燃油箱内的着火源可能会导致5级事件。

计算故障发生概率

利用上述模型，结合机队实际暴露情况，预测运行超过30000h的飞机极有可能处在裸露导线事件的风险中。尽管目前只有一架飞机被发现有烧穿的管道，但分析表明，可能还有76架飞机在有未检测到的暴露导线的情况下运行，并在剩余机队役龄中会出现更多，须立即采取行动。

由于没有已知的因裸露导线引发着火事件的历史经历，因此由研制单位估计危险率（裸露导线事件已经发生的情况下着火事件的条件概率Pc），即危险系数。保守地估计，在预计的76架导线裸露的飞机中的1架即将发生着火事件。利用上述分析建立的模型，计算出每架飞机在裸露导线事件发生后预计的暴露飞行时间，模型预测的76架飞机裸线后累计飞行小时数为624217。因此危险系数Pc的估计值为1/624217，约等于1.6×10^-6。

按CAAM要求，需计算短期（60天）内的风险。预计此型飞机在一个60天内平均有341h的飞行，利用威布尔分布模型估计，在接下来60天内会发生6起额外的裸露导线事件。加上机队中原本的76个潜在裸露导线事件，因此预期的失效次数为76+6=82，乘以已有裸露导线事件条件下的概率Pc，得出在未来60天内机队产生5级事件概率，即风险因子为0.045。

评估风险是否可接受

该风险在未来60天内没有超过短期可接受4级风险。但是，因为预测中的事件后果有很大的伤害，且基于上述分析，可能产生5级风险，所以仍旧认为应立即采取减缓措施。

措施制定与评估

根据上面产生的信息，并结合模型计算，建立能满足风险指南的检查和维修计划，并通过适航指令（AD）发布：所有飞行小时大于65000的飞机在20天内检查和维修；飞行小时大于55000、小于65000的飞机在40天内检查；飞行小时大于45000、小于55000的飞机在60天内检查；飞行小时大于38000、小于45000的飞机在90天内检查；飞行小时大于25000、小于38000的飞机在180天内检查；飞行小时小于25000的飞机应该在其达到25000飞行小时做检查。

上述措施都已通过模型校验，得出在全面检查的期间机队有0.09起等级5的事件。因为这是一个保守估计（到目前没有事件），这样的风险结论对一个5级事件来说是可接受的。

同时，颁布的AD中用于消除磨损问题的纠正措施包含了用特氟龙护套保护原来的导线捆。因为没有时间证实纠正措施会长期有效，机队需要检查以确保在未来维持安全性目标。因此基于实际运行情况，AD得到进一步修正，要求在新的或上一次更换了导线后，对管道和导线在30000飞行小时内做检查。

结束语

持续适航的核心在于在事故发生之前发现相关航空产品的安全隐患，并采取有效措施，防止航空事故的发生。持续适航过程的主要任务并不是追求100%的安全，而是达到风险可以接受、风险较小或风险可控的状态，即确保飞机每次都在可接受风险区域飞行。CAAM方法可以应用于民用航空发动机相关的持续适航风险评估，当CAAM未给出某事件的历史发生记录时，可采用条件概率等方式计算该事件的危险系数。虽然CAAM尚未对5级事件正式确定相应限制值，即便只满足4级事件风险，但仍需综合考虑实际风险的危害性，立即采取减缓措施。我国的民用航空发动机制造厂家，在产品投入市场运行前，须尽快基于CAAM建立起企业内部的持续适航风险评估技术体系，保障民用航空发动机产品的安全性。

（蔡彬，中国航发商发，工程师，主要从事航空发动机适航研究）