民用运输类飞机驾驶舱门适航要求及验证

刘文成 /

(上海飞机设计研究院，上海201210)

0 背景

美国“9.11”事件后同年11月19日，美国国会指示FAA 颁布命令将执行四项安保要求作为最终法则，而无须征求公众意见，并在次年1月15日发布了《运输类飞机驾驶舱门设计的安保事项》的最终法则，公布了FAR 25-106修正案和121-288 修正案，在25部中新增了25.795条。该条款提出了保护驾驶舱免受未经许可人员的暴力入侵、轻型武器火力和爆炸装置穿透的要求，以期进一步提高安全水平。2008年11月，FAA颁布了127号修正案，在原106号修正案的基础上增加了LRBL、火情抑制等内容。CAAC在25部R4版中纳入了FAR 25-106修正案25.795条的要求。

但早在1988年“洛克比空难”后，国际民航组织(ICAO) 已经启动了航空安保设计标准的制定工作，并在1997年3月发布了国际民航组织公约附件8的第97号修正案，其中就包括了驾驶舱门安保内容，但国际民航公约附件8的标准不直接用于飞机设计，而是通过其成员国的适航标准实施。FAA在1999年10月已在研究将附件8第97号修正案纳入飞机设计的立法建议。但遗憾的是在悲剧发生前，附件8的标准尚未成为FAA的适航标准。

1 驾驶舱门设计及验证概述

飞机驾驶舱门布置常在驾驶舱与客舱或机组休息区之间，其目的是为飞行员安全飞行提供安静且不受打扰的空间。驾驶舱门主要由门框结构、门体结构、门锁及密码系统等组成，如图1所示。

图1 驾驶舱门结构示意图

对于增强型驾驶舱门的适航验证，包括防侵入、防穿透、可靠性、泄压载荷、进入驾驶舱功能、E3等方面，其验证工作涉及面广，验证工作之间有一定交叉，下文将主要就防侵入及防穿透、泄压及进入驾驶舱要求的验证工作进行介绍。

2 驾驶舱门防侵入及防穿透要求及验证

2.1 防侵入及防穿透适航要求

CCAR25.795 保安事项[1](a)驾驶舱的保护中规定，如果运行规则需要有驾驶舱门，舱门的安装必须设计成： (1) 抵御未经许可人员的暴力入侵，门上关键部位能够承受300 J (221.3 ft·lb)的冲击，同时在旋钮和把手处能够承受1 113 N(250 lb)的定常拉伸载荷。

(2) 抵御轻型武器的火力和爆炸装置的穿透，达到中国民用航空局适航部门的要求。

第(1)项要求驾驶舱门能够承受300 J的冲击及手柄处施加的最大250 lb的拉伸载荷。如果能通过某些方式限制手柄上可施加最大载荷值，使其低于250 lb，则更低的拉伸载荷值也可接受。300 J的冲击能量比 (National Institute of Law Enforcement and Criminal Justice，简称NILECJ)标准0306.00中规定的最高等级的能量还要高50%，而选择250 lb的拉力是因为FAA认为该拉力可以产生相当于300 J冲击能量，从而达到所要求的抗入侵能力。该项要求仅延缓非授权侵入的时间或企图，而非阻止非授权人员采用非常规方式或花大量时间侵入驾驶舱。

第(2)项要求的目的是为了将客舱侧产生的爆炸碎片或由小型武器射出的子弹穿透驾驶舱门的概率减至最小，从而保护飞行机组及飞行关键设备。本项要求的意图不是为了使驾驶舱“不可穿透”，而是为了给驾驶舱提供高水平的保护，该措施足以防止驾驶舱门免受最大威力的手枪弹和手榴弹弹片的破坏。

2.2 防侵入及防穿透试验验证

驾驶舱防侵入设计中，需对驾驶舱门完成四种基本冲击/拉伸载荷试验，且每个试验均需使用新试验件。试验项目如表1所示。

表1 防侵入试验验证

在使用钢制撞锤进行冲击试验时，为保证冲击能量不小于300 J，需计算确定撞锤的摆起高度，并将撞锤固定在叉式升降机的叉头上或类似设备上，从而使每次试验的冲击高度是一致的。

在试验过程时，撞锤的冲击能量会通过撞击点传递到舱门的安装固定结构上，并通过这些结构平衡该载荷，如果舱门安装夹具刚度过强或过弱均不能反映驾驶舱门实际承受冲击载荷的能力，所以试验夹具提供的约束必须模拟驾驶舱门在飞机上的安装刚度。与装机构型相比，试验件的支撑不应显著增强结构阻尼和能量吸收水平。

在采用试验的方式验证驾驶舱门防穿透特性时，对于连续隔板，射弹以0°和30°两种入射射击就足够了，对于非连续隔板则可能需要采用更大入射角。试验时采用两种规定子弹对驾驶舱门观察孔、舱门与门框的结合部位、舱门泄压板之间的结合部位等处进行射击。此外当子弹冲击驾驶舱门时会产生剧烈震动，在此震动冲击下可能会有危害飞行安全的小的舱门零件飞出，所以需要在试验件后方6 in处放置牛皮纸，试验后若纸张有破损则需评估其影响。

在驾驶舱门完成防侵入试验后，该舱门无需具有抵御射弹穿透的能力。但在对驾驶舱门进行子弹穿透试验时，如果舱门壁板、格栅等打开，导致驾驶舱和客舱之间没有有效的障碍抵御入侵，则认为试验失败；如果在飞机泄压发生中驾驶舱门或其释压板打开，驾驶舱门也无需提供抵御暴力入侵或射弹穿透的能力。

3 驾驶舱门泄压要求及验证

3.1 泄压对于驾驶舱门的影响

飞机在增压时，由于地板、隔板等分隔板能够通气且增压过程缓慢，各隔舱之间没有压差，只由外壁承受静压。如果出现舱门脱落、离散源损伤或壁板局部疲劳破坏等，将引起所在隔舱突然泄压，使相邻隔舱间产生压差。这种压差可能导致结构破坏或操纵失效，影响飞行安全。25.365(e)(f)条明确规定了当飞机增压舱突然泄压时的安全要求，对那些将增压舱分隔开的结构，如隔板、隔框或地板等结构，其设计应能承受任一隔舱压力突降的影响。但仅通过结构设计来承受泄压载荷并不经济，有时也是不现实的，为此设计上常采用泄压板的方式促进泄压发生后各舱室之间的压力平衡。

3.2 泄压板设计

作为驾驶舱与客舱的分界，驾驶舱门上泄压板的面积、作动压力及开启时间对于泄压情况下的飞行安全非常重要。业界常采用机械式和电子式两种泄压板控制方式，两种方式均需检测驾驶舱门两侧的压力差，该差值达到一定值时，开启泄压板[2]。

泄压发生后，增压舱中压差分布与各舱容积及通风面积有关，当驾驶舱与客舱之间的压差达到某一压力值时，控制驾驶舱门泄压板的锁拴或销子等类似机构开始动作，经过若干毫秒后，泄压板完全打开。根据隔舱容积、有效通风面积、25.365(e)中规定的方法及设计数据确定的大孔洞面积，并考虑隔舱中存在泄压板等泄压方式的隔舱泄压情况，最终通过理想气体状态方程和空气流过孔口的流量公式等，计算确定某压力高度下各舱室的压差载荷。

保证泄压板在规定压差及规定时间内完成泄压，这对于保证机身安全具有至关重要的作用。

3.3 验证思路及考虑

飞机泄压要求既包括泄压面板或类似排气装置的最小有效通风面积还包括其最大开启时间。如果将整个驾驶舱门作为大型泄压板，则申请人应额外考虑泄压板门闩对释放时间的影响、闩系统在泄压载荷下释放的可靠性以及由于舱门质量增加、特殊或额外的门铰链等导致泄压板开启时间的增加。此外如果驾驶舱门设计中具有格栅、百叶窗或类似设计特征，则还需要考虑泄压面积减少的情况。

泄压机构的失效可能导致驾驶舱结构的灾难性故障，如果通过电气或机械方式来释放泄压机构，申请人应根据AC25.1309-1A中的分析方法进行定性和/或定量评估。在进行安全性分析(MOC3)时，必须考虑泄压板无法开启的情况，这种情况可能是灾难性的。业界对泄压事件发生的概率没有统一的说法，但通常认为该概率远远小于10-4，如果要达到25.1309(b)(1)中规定的“发生任何妨碍飞机继续安全飞行与着陆的失效状态的概率是极不可能”，那么泄压通风系统的失效概率不能大于10-5。

泄压板最大开启时间及有效通风面积对于泄压载荷及能否达到泄压目的至关重要。泄压板通常并不在最大压差时才开启，因此需通过试验室试验(MOC4)或设备鉴定(MOC9)试验的方式验证开启时间和有效通风面积是否与设计要求相吻合或更为保守，在此情况下进行的泄压载荷计算及分析才有意义。申请人应通过计算分析(MOC2)或试验室试验(MOC4)验证驾驶舱门及与周围结构的连接强度。

驾驶舱门静强度试验验证常通过液压杆、沙袋等方式进行加载，如图2所示[3]。

图2 驾驶舱门静力试验

4 紧急进入驾驶舱要求及验证

4.1 条款要求

在CCAR 25-R4第25.772(c)款有以下规定：必须有紧急措施使飞行乘务员能够在飞行机组失去能力的情况下进入驾驶舱；在CCAR121-R4中也明确规定营运人应建立应急程序使得乘务员在机组失能时能够进入驾驶舱。

在某些飞行阶段，如果飞行员失能，而乘务员能够进入驾驶舱提供一定协助，这对于保证飞行安全无疑是非常必要的。

4.2 设计措施及验证

针对25.772(c)的设计和验证基于以下假设：(1)仅在怀疑机组失能情况下，乘务员才能使用该紧急进入系统进入驾驶舱；(2)对于紧急进入驾驶舱的请求，机组的瞬时反应是拒绝进入。

以某型驾驶舱门为例，该舱门在客舱侧设计有数字小键盘，通过输入紧急进入代码，驾驶舱中会产生警告以通知飞机机组有人在客舱一侧启动了舱门紧急解锁程序，如果飞行机组未失能，则会立刻禁止舱门解锁，并评估客舱侧人员的安全性，如果机组失能，则在经过一定时间延迟后舱门自动解锁。

无论是禁止舱门解锁还是舱门自动解锁，都需要合理的时间延迟供机组解除舱门警告。如果延迟时间较短，飞行机组未能及时反应驾驶舱门即解锁，这显然与设计目的相违背，此外飞机在下降阶段或严重失控情况下，即使延迟时间短，乘务员进入驾驶舱的作用也非常有限；如果延迟时间较长，在飞机平稳飞行且机组失能时，乘务员不能短时间内进入驾驶舱也会影响飞行安全。鉴于此，应急解锁的延迟时间应在30 s～60 s之间，如果短于30 s或超过60 s，则需提供具体理由，但不会接受短于15 s，长于120 s的时间延迟。延迟完成后，舱门保持解锁的时间不能少于5 s。当飞机机组拒绝紧急进入请求后，系统小键盘处于禁止输入的时间不能超过30 min[4]。

针对上述设计，需通过符合性说明(MOC1)和机上地面试验(MOC5)的方式表明符合性。在符合性说明(MOC1)验证时，除说明驾驶舱门系统设计原理外，还需说明针对延迟时间的设定、乘务员紧急进入与日常进入驾驶舱的设计特征等内容；在机上地面试验(MOC5)验证时，需针对装机后的驾驶舱门进行机上试验，试验构型(包括软件构型)须与取证构型保持一致，试验时就紧急进入功能、机组拒绝进入功能、延迟时间等进行验证。

5 结语

除上述要求及验证外，飞机驾驶舱门还需考虑通风窗在外侧无法开启情况下的驾驶舱救援、驾驶舱门卡住情况下机组进入客舱、驾驶舱门阻燃及舱门安装固定等问题。

工业实践和适航法规是逐步发展和完善的过程，在这个过程中可能并不完美。美国联邦航空局调查显示：2002-2012 年，美国发生的空难事故中，其中8起由飞行员自杀所致，约占0.3%。如果乘务员或1名客舱侧的飞行员怀疑驾驶舱内机组有自杀倾向而请求紧急进入驾驶舱被拒绝的情况下，客舱侧的人员则无计可施[5]。

参考文献：

[1] 中国民用航空局. 中国民用航空规章第25部运输类飞机适航标准: CCAR-25-R4 [S]. 中国: 中国民用航空局， 2011.

[2] 安琳琳，汪洋.民机驾驶舱门卸压方式选择探讨[J].机械管理开发，2014，29(04):69-70+73.

[3] 刘文成.民用运输类飞机驾驶舱门静力试验验证研究[J]. 航空标准化与质量，2014(02)：24-25+56.

[4] FAA. Certification of Strengthened Flightdeck Doors on Transport Category Airplanes [S]. USA: FAA, 2002.

[5] 田晔. 透过“德国之翼”坠机看民用航空安全的“理智与情感”[N].中国航空报，2015-04-11(004).