从事故角度浅谈飞机结构设计理念及规章

徐陈斌，孙 兰

（1.金鹏航空股份有限公司，上海 201323；2.中共上海市浦东新区委员会党校，上海 201210）

2017年9月8日，中国民航局在规章层面印发了《CCAR121大型飞机公共航空运输承运人运行合格审定规则》[1]（对应的FAA规章Subpart AA Continued Airworthiness and Safety Improvements）和相应咨询通告（对应FAA AC 120-84 CHG 1 Aging Aircraft Inspections and Records Reviews[2]等）。其中主要内容《AC-121-FS-2018-71修理和改装的损伤容限检查要求》[3]则明确提出了“损伤容限”的相应要求。

虽然FAA规章Subpart AA早在2007年已经生效，但由于运营人所需的检查或改装方案一般先经OEM设计审定，再由运营人在交付后完成，所以CAAC规章也存在从生产至运营的先后实施顺序，适用厂家的CCAR-26《运输类飞机的持续适航和安全改进规定》[4]于2011年12日7日施行并在2016年再次改版，而适用运营单位的CCAR121R5则于2017年10月10日施行，维修专业新增的附件J工作给予已取证的121单位审定缓冲期至2019年12月31日。

笔者作为121航空公司维修从业人员参与完成了CCAR121单位的维修专业审定，工作中发现虽然CAAC对应修订较晚，但业内已经在多年前积累了大量实例明确保障航空器结构安全的要点或盲点。为了更好理解规章，了解规章制定背后意图，本文举例民航史上的三起典型事故，借此回顾航空器结构安全理念的三个阶段及目前在CAAC现行规章的相应落实条款。

1   安全寿命 Safe Life—“以退役保障安全”   Safety-by-Retirement

民用航空运输业在发展之初就引入了安全寿命（Safe Life）的理念，即 “Palmgren-Miner累积损伤准则”（Palmgren-Miner accumulated fatigue damage rule）：在试验中对材料施加不同的负载获取S-N（应力-周期）曲线，以预测其结构疲劳寿命。

以英国航空公司“彗星1”客机（Comet 1）为例，其在设计和取证之初应用了安全寿命的理念。但在运行中，该航空器仍然发生多起机毁人亡的事故，其中最为典型的是坠毁在意大利的“彗星1”事故。通过分析报告，人们发现“安全寿命”理念中所存在的缺陷。

通过机身残骸的收集，事故报告判定主因是位于ADF天线角落处的蒙皮裂纹。经过一系列分析调查，人们认为该机型在结构上存在两大缺陷。

（1）由于当时增压舱属于新颖设计，对于承受舱压的蒙皮结构，飞机在蒙皮上采用了矩形的窗户、天线开口设计，导致角落处的应力快速集中，见图1。

（2）经过多次起降，飞机增压区舱体结构反复承受增压和减压，舱体产生额外的金属疲劳，最终导致实验室中静强度得出的安全寿命数据不再有效。

图1 “彗星1”ADF蒙皮应力示意

这起事故中，飞机设计明确“安全寿命”的不足：由于用于试验材料都处于“精挑细选”的完美状态，但航空器实际制造时却无法避免初始裂纹的预先存在。而在材料试验中，产生初始裂纹（Crack Initiation）的周期占据全部裂纹“生长”（安全寿命）的90%以上，这两者致使实验室得出的安全寿命不可信。

虽然“以退役保障安全”的理念无法作为飞机，特别是疲劳关键结构的主要设计理念，但“安全寿命”的概念目前仍具体应用在规章中。

1963年FAA发布了民用航空条例CAM（Civil Aeronautics Manual）4b.270（a）[5]和 FAA 现行的规章 FAR25.301[6]，提出航空器在设计寿命内应满足一定结构强度。CCAR-25R4第25.571条同样以适航标准的形式，明确要求服役寿命期内（DSG/LOV设计使用目标/有效性限制），相应机型应能够承受预期的变幅重复载荷作用，且没有可察觉的裂纹，即WFD广布疲劳损伤。

以波音飞机为例，在1988年发生阿罗哈航空B737-200型飞机事故后，波音厂家发布了MOM-MOM-15-0470-01B（R1）[7]，明确相应航空器在超出LOV后，现有的维护和检查方案不能够可靠地排除结构中存在着的广布疲劳损伤，波音也不再为超过LOV值的相应飞机提供支持。相关MOM信息后续又进一步加入波音“AIRWORTHINESS LIMITATIONS（AWLs）AND CERTIFICATION MAINTENANCE REQUIREMENTS（CMRs）”。

目前，“安全寿命”作为普适性的要求被留存下来，用于整体机身的使用限制以保障机身上的结构部件不产生大的变化的期限数据。

持续适航理念认为，航空器是没有寿命限制的，但是在叠加了广布疲劳及其经济性的概念后，持续适航的代价需要极大的投入和维护成本。正因如此，2018年《AC-121-FS-2018-71修理和改装的损伤容限检查要求》[3]中明确：除非获得局方认可，否则对于航空公司不得超出LOV/DSG继续实施航空器运行。以当前我国的民航监管和技术环境，该数值实质上在CCAR121等航空器运营层面成为机型运营安全寿命的限制依据。

2   损伤安全 Fail Safe—“以设计保障安全” Safety-  by-Design

基于“安全寿命”的不确定性，FAA在1953年12月31日发布的CAM 4b.270（b）中提出，在结构强度的基础上，提供另一种对飞机结构的评估方式，即“损伤安全”（Fail Safe）”。其总体理念为对于疲劳强度总要求中，对于主要结构元件（principal structural）增加了在主要结构失效后，其余结构应当能够承受相应的飞行载荷（静载荷乘以相应系数）的要求。

这类“损伤安全（Fail Safe）”的设计理念，在后续进一步扩展至飞机其它系统的设计。FAA在1988年发布的系统设计和分析AC 25.1309-1A条款要求通过设置冗余或备份系统（Randundant or backup systems）的方式，对飞机上故障后妨碍持续安全飞行和着陆的系统提出了设计要求。至此，业内明晰了“以设计保障安全Safety-by-Design”的设计理念。

然而，相应的不安全事故继续发生：1977年，注册号B-BEBP的一架波音707-321C货机由伦敦起飞，经停罗马和内罗毕，计划在卢萨卡（赞比亚首都）国际机场降落。在降落时右水平安定面和舵面突然分离，飞机坠毁在跑道附近3660m处，机组人员全部遇难。

调查发现，这架飞机于1963年出厂，坠毁时总飞行16723CYs，总飞时47621FH，机龄虽然达到14年，但并没有超过飞机的设计使用目标（707DSG为20000CY）。最终调查报告[8]指出，右水平面的一系列不完善的设计理念导致了事故的发生。

首先发现的是“损伤安全”在设计理念上的过度理想化。作为707-300的前身，707-100的设计中已体现了“损伤安全”（多余度）设计理念：后梁使用了“上下双连接销attachment pins”设计。试验迹象表明，哪怕在动态飞行中，上连接销突然失效的情况下，下连接销和前梁依然能够承载本次的降落所需负荷。

707-300延续了这一设计，但由于负载增大，为了继续满足上连接销失效后的“余度设计”，增加了中弦杆（centre chord）及其连接销。由于中弦杆的主要作用是上连接销破损后的应急状态下使用，所以为了保障在正常状态下该备用结构不承受载荷（防止提前产生裂纹），设计方为此调节了上下弦杆的松紧配合。问题就出现在这一未经过充分和正确评估的载荷的传载路径上，由于707-300的加强蒙皮后承载了额外的弯曲载荷及中连接销和下连接销存在，其产生了和707-100完全不同的载荷传递和局部应力行为。在这架坠毁的703-300的实际飞行中，上连接销并未直接失效，而是先产生了变形。基于这种变形，中连接销和下连接销提前开始承受额外载荷。在这样的高负载环境下，紧固件没有达到应有的“高剪切”强度要求，以至于最终产生了裂纹。

根据材料分析推断，在事故发生前相关部件带裂纹飞行了约7200次，这条“提前出现”的裂纹最终导致“多余度”设计中冗余或备份系统（Randundant or backup systems）和主要结构元件（principal structural）在相对应的维修项目到期前提前共同失效。

其二，被调查人员判定为事故原因之一的，是707-300在设计认证流程上的缺陷。

波音在707-100的原始设计机型取证数据中，后翼梁的上弦（upper chord）安全寿命为240000次飞行循环。疲劳试验和迹象表明，在相应的安全寿命内，即使在后翼梁的上弦失效的情况下，其余结构仍能够承载飞行载荷，直至按MP实施下一次维修项目时被检查发现，得出飞机设计能够满足设计目的和使用要求的结论。

而在707-300设计工作中，没有人意识到两个机型的载重差异产生的骨牌效应：由于前期波音完成了对安定面翼梁端头的一体化延展设计以避免截面的突变。因此前期普遍认为已改善了一定性能。设计后期，由于707-300较707-100机型载重更大，初始试验中发现额外的载重导致安定面扭转刚度（torsional stiffness）不足。在基本的静强度分析后，工程师将上下蒙皮进一步改为不锈钢材质以弥补这一问题。

在调查报告[8]中，调查人员认为设计人员没有意识到这一改进设计在提高静强度的同时，却降低了整体的疲劳强度，即加强的蒙皮结构导致较高的表面蒙皮载荷，致使紧固件的载荷升高，最终转移至后翼梁根部。

通过该案例了解到，航空器设计厂家的设计方案和理念对航空器安全会带来关键影响。现阶段规章中，生产阶段适用的CCAR-25 《运输类飞机适航标准》、CCAR-26《运输类飞机的持续适航和安全改进规定》和本次下发的适用于运营阶段的《AC-121-FS-2018-71修理和改装的损伤容限检查要求》[3]，分别从在两个方向明确生产设计厂家的持续技术支持在保障航空器整个寿命周期结构安全的重要性。

在航空器交付之后，为了能持续落实设计时各项要求（如MRBR、燃油箱持续适航、EWIS等），保障航空器安全的责任重心从厂家设计同步衍生转移到运营单位。本次CCAR121R5持续适航和安全改进的重点内容，基于“损伤容限damage tolerant：以检查保障安全Safety-by-Inspection”，也正式揭开面纱。

3   损伤容限 damage tolerant—“以检查保障安全”   Safety-by-Inspection

在一系列航空事故后，人们发现，无论是基于“安全寿命”还是“损伤安全”，都太依赖于原始设计中的分析和判断。例如卢萨卡事故的调查人员同样发现，当时的维修检查项目已经存在针对该部位的检查，但没有明确的检查要求，该缺失也被判定为事故原因之一。

在这样的大背景下，业内提出了基于“以检查保障安全Safety-by-Inspection”的“损伤容限damage-tolerant”理念。

在这一理念中，认为材料是不完美的，无论是出厂就存在的裂纹或在运营中产生的裂纹，都应当评估相应部件在使用负荷下裂纹的生长速度，并计算裂纹生长到临界点的相应时限（Inspection Threshold），并安排人员实施检查及后续的重复检查（Repeated Inspection Interval）（如首次未发现），如图2所示。

《AC-121-FS-2018-71修理和改装的损伤容限检查要求》[3]最主要的要求就是要求运营人在发现航空器损伤后，均需要完成损伤容限分析，对适用的修后部件提供检查的期限和具体方案，并将检查要求落实到运营人维修方案并获得局方的批准。

图2 损伤容限检查时限示意

虽然已经将保障安全的节点从设计方下延到了运营和维修单位，但在这样的理念下，还是发生了华航CI611航班747-200的事故。

2002年，华航B-18255在执行定期航班CI611时发生高空解体坠毁，事件主因是1980年某次降落时擦尾损伤的修理未严格按照SRM手册完成。修理的不规范导致该部分产生了金属疲劳裂纹。

但根据B-18255事故报告[9]的分析和判断，在1980年首次不规范修理之后，该修理的重复检查人员和公司工程管理同样存在过错。

在1988年阿罗哈航班之后，波音颁发了对于机身增压区域的额外检查要求，内容包括CPCP检查和SIP检查。而华航事故飞机分别在1993年、1998年完成覆盖该区域的CPCP检查，而遗憾的是检查人员未能发现该裂纹。

除了未能直接发现损伤，检查员还发现这架飞机在维护上存在工程管理问题：

（1）如图3所示，该架飞机的维修方案CPCP53-12-01对于舱底的检查所要求的间隔为4年，但在上一轮检查推迟了13个月，诧异的是适航当局也并没有批准过该推迟计划。

（2）飞机维修记录上标明了部分部件被更换，但没有标明部件的件号和其它记录；机械师报告了一些损伤项目，但并没有具体标明损伤项目具体数量。

（3）调查未能查阅到部分超过20年的维修记录，而按照法规这些记录应当是被保存的。

图3 B-18255飞机未经批准的CPCP项目延期

（4）2001年，当时的维修单位CAL对这架飞机的外部结构修理进行了一次评估，评估结果显示，在该补丁下可能存在结构损伤（an indication of a possible hidden structural damage beneath the doubler）。但可能是由于维修记录不完整的原因，该次评估未能及时让维修单位关注到该修理并采取措施。

针对以上问题，事故调查人员认为，运营人和维修单位存在相应责任。在本次附件J和相应支持性咨询通告的条款中，可以发现对于以上问题的逐条要求：

针对类似华航偏离维修方案的情况，《AC-121-FS-2018-65-R1 航空器结构持续完整性大纲》[10]附录1 2.4 明确了对于CPCP项目不超过10%的延期限制。

针对类似华航提供的维修记录有缺失的情况，《AC-121-FS-2018-59-R1飞机维修记录和档案》[11]附录对结构维修记录提出了具体要求，运营人应对损伤的位置、损伤情况、修理依据做出详尽记录并作为单机档案予以保存。

针对运营人虽然注意到不规范修理，但由于维修不完全导致无法完整评估的情况，《AC-121-FS-2018-71 修理和改装的损伤容限检查要求》[3]附录2 要求，对于涉及可能不满足最低要求的修理，运营人必须在发现后的首次飞行前采取纠正措施。

针对工程技术标准变化导致的历史遗留问题，《AC-121-FS-2018-69飞机检查和记录审查》[12]5.1和5.2要求，运营人必须在首次检查之后，每隔7年完成一次航空器检查和记录审查，以确保运营人的维护是充分与及时的。

4  结语

基于事故链理论，所有事故都不是单一问题的失效产生的。但对于事故进行分析，仍然能够找到最脆弱、最关键的环节，并通过分析予以最有效的改善。

飞机结构的设计理念，从一开始“以更换保障安全”的“安全寿命”理念推行后，发生了“彗星1”事故，人们了解该理念是建立在完美的材料上，并不能体现航空器制造过程中不可避免的细微缺陷，进一步推出以增加余度的方式继续提高安全性。

在“以设计保障安全”的“损伤安全”理念实施后，人们从“卢萨卡”事故中得到教训，发现多余度的设计理念在实际运行时，本应当作为备份结构的设计达不到设想中的结果。而在极端状态下，备用结构甚至一定程度上影响了维修人员在主结构损伤的窗口期发现问题。

目前有效和推广的“以检查保障安全”的“损伤容限”理念，也是本次121附件J及其相应规章的主要内容，要求运营人应用设计和检查相结合的方式，即从设计方获取损伤容限的检查点，并由维修单位实施检查工作。这一理念是已知的保障航空器结构安全的有效理念，但从华航B-18255事例中不难看出，后续检查过程中，“维护中的检查是否有效”将承担极大的压力，是该理念所存在的忧患。

FAA政策中，检查人员在执行结构非破坏性检查时，需要满足“95%、90%”的要求：即检查人员对100件裂纹样本检查时，应当至少能够检查出90件；同时在100次这样的试样中，达到上述检出率的次数不低于95次。

中国民航局冯正霖局长多次召开安全工作会议，所提出的“三基”建设要求民航从业人员无论是什么单位，都应当在基层、基础、基本功上真正下功夫[13]。归结到航空器结构设计理念和CCAR-121R5规章要求上，当获得检查的机会和要求，却由于检查方式落后或检查人员的能力不足，导致运营人错失发现和纠正问题机会，这样的教训值得警醒。

业内除了关注121运营人如何在工程管理方面满足局方规章的要求，更需要关注如何扎实提升145维修单位维修人员的能力，研究如何将工程管理要求通过维修管理落实到航空器结构安全工作中。规章中的“持续适航和安全改进”相关内容，既是121单位在R5审定中需要注意的要点，也将会是日后145单位及业内推进“三基”建设的切入和落脚点。