发动机FADEC系统对虚假信号的容错性分析与改进

杨波 周华鹏 谌昱

摘 要：针对某民用涡轴发动机“紧急停车”信号的采集机理，对发动机FADEC系统进行容错性分析和验证，研究发现该涡轴发动机FADEC系统对于虚假信号的识别能力不足。通过增加双通道采集信号比对和二次电源监控等措施，对系统关键信号故障识别逻辑进行优化改进。结果表明，改进后的FADEC系统可以有效增强系统容错能力，为今后发动机FADEC系统关键信号的采集与通道控制逻辑设计提供了参考。

关键词：全权限数字电子控制系统;虚假信号;容错能力;逻辑优化

中图分类号：TB 文献标识码：A doi：10.19311/j.cnki.1672-3198.2021.30.077

0 引言

现代航空发动机的一个显著特点是采用全权限数字电子控制（FADEC）系统。与传统机械液压控制系统相比，FADEC系统无论对提高航空发动机性能潜力、减轻重量，还是易于改变控制方案和规律、实现飞/发综合控制等方面都有显著优势。目前国内外主流FADEC系统均采用双通道架构，两个通道具有相互独立的软硬件。系统能够对自身及采集参数的有效性进行实时判断，并根据判断结果进行主控通道的选择，当主控通道出现故障时，能够自动切换到备份通道并稳定工作。

随着FADEC系统软、硬件的发展，系统可靠性问题越来越得到重视。容错设计是提高以计算机为基础的系统可靠性的主要手段，因此系统容错设计将是未来FADEC系统的一个重点研究内容。同时，在现有涡轴发动机使用过程中，暴露出FADEC系统的容错能力不足的问题。以一起单通道虚假停车信号造成某民用涡轴发动机空中停车故障为例。该涡轴发动机在某次试飞运转过程中，FADEC系统A通道主控，当A通道异常采集到“紧急停车”信号后，即控制发动机停车电磁阀接通，导致发动机停车。整个过程B通道始终未采集到“紧急停车”信号。通过对故障的排查分析，发现是A通道开关量采集模块上电容器件烧蚀，引发A通道二次电源异常，从而导致A通道“紧急停车”信号采集异常。

本文以该虚假信号导致的发动机停车故障为例，通过对故障进行分析，提出有效改进方案。同时，从故障引发对FADEC系统容错能力不足的探讨，为今后国内发动机FADEC系统设计提供参考。

1 虚假信号产生机理

该涡轴发动机电子控制器内部的A、B通道采用了二次电源采集电路，其作用是将外部输入的28V电源转换成A、B通道内部信号处理电路需要使用的15V电源。15V电源用于向开关量输入采集电路进行二次供电。为了保证电源稳定，电路中使用了电容器件对15V二次电源进行滤波。当滤波电容失效短路时，二次电源负载阻抗下降、输出电流增大，在转换器自身的过流保护作用下，使输出的15V 二次电源电压下降，导致A 通道“紧急停车”开关量信号的采集异常。

紧急停车功能是发动机在特殊情况下实现快速停车的应急功能，它受驾驶舱内的“紧急停车”开关控制。开关产生的开关量信号通过电子控制器采集、调理后作用到发动机停车电磁阀上，进行燃油切断，实现发动机紧急停车。该涡轴发动机“紧急停车”信号采集及控制原理见图1。

正常情况下，直升机“紧急停车”开关KG1处于断开状态，A点电压为外部28V电压，B点电压经R1与R2电阻对15V二次电源进行分压，电压为10V，大于基准电压9V，比较器输出高电平。处理器经总线数据采集该信号，并通过该信号状态判断“紧急停车”开关状态。比较器输出高电平时，判断为开关断开，外部无“紧急停车”信号输入;当直升机“紧急停车”开关KG1处于闭合状态时，A点通过开关接地，A点电压为0V，B点电压小于基准电压9V，比较器输出低电平。处理器经总线数据采集该信号，并通过该信号状态判断“紧急停车”开关状态。比较器输出低电平时，判断为开关闭合，外部“紧急停车”信号输入。

当15V二次电源滤波电容异常时，电容阻抗下降，导致15V二次电源电压下降，当二次电源电压下降至低于13.5V时，图1中B点电压小于9V，比较器输出低电平。处理器误判定为“紧急停车”信号，发动机停车电磁阀A线圈接通，发动机断油停车。

“紧急停车”信号误采集逻辑框图如图2所示。

2 系统容错性分析

系统容错性是指元器件出现故障时，系统仍具有完成基本功能的能力。容错性是系统安全性和可靠性的一种体现。本案例中FADEC系统同样采用了双通道余度设计，但主控通道的电容元器件失效，导致了发动机异常停车，表明系统在容错设计方面存在一定不足。为了进一步验证，对该发动机FADEC系统进行了半物理试验。

将电子控制器A通道滤波电容取下，接入滑动变阻器，模拟电容失效阻抗下降效应，进行故障注入试验。在半物理模拟试验台上，设定A通道主控，并将发动机起动到飞行状态。缓慢调整滑动变阻器阻值，在此过程FADEC系统采集到“紧急停车”信号，并执行发动机停车控制。在此状态下手动切换至B通道主控，重新起动发动机，FADEC系统能够控制发动机正常起动和工作。整个过程出现的信号异常现象与机理分析预期一致。

从故障机理分析可以看出，该发动机的“紧急停车”信号经过了FADEC系统内部的二次电源电路调理，而二次电源的异常导致了“紧急停车”关键信号的异常采集。另外，从试验结果可以看出，主控通道异常采集到“紧急停车”信号，而此时备份通道信号正常，仍可以控制发动机正常工作，但数控系统未能识别出主控通道的信号异常，从而未能及时进行通道切换，导致了发动机异常停车。综上，该FADEC系统在容错设计方面至少存在以下两点不足：

（1）关键信号引入了二次处理，导致了系统故障模式增加。

（2）双通道之间信号相互独立，但对于关键开关量信号通道间无比对、表决等故障识别措施，系统自诊断以及容错能力不足。

3 FADEC系统容错设计改进及驗证

3.1 容错性设计改进