民用直升机电传飞控系统适航专用条件分析

2021-11-21马立群杨士斌石林轩

航空工程进展 2021年3期

马立群，杨士斌，石林轩

（中国民航大学适航学院，天津300300）

0 引言

直升机电传（Fly-by-wire，简称FBW）飞控系统是指利用电气信号形式，通过电缆实现飞行员对直升机运动轨迹和姿态操纵的控制系统［1］。相较于传统机械连接形式，电传飞控系统具有一系列明显优势，包括：改善飞行品质，提升性能；提高可靠性、维修性及生存性；减轻重量，减小体积，降低费用；消除机械操纵的反常现象等［2］。目前在民用航空器领域，电传飞控在飞机上应用较多，可以通过设计实现自动飞行、自动着陆、高升力控制和水平安定面控制等功能［3-4］。

电传飞控在民用直升机上应用较晚。从20世纪70年代中期开始，由于直升机的特殊性：复杂的气动特性和强轴间耦合，设计师开始考虑将电传飞控系统应用在直升机上，在此基础上可以实现复杂控制律设计，并添加更多的解耦和保护功能［4-5］。当前，典型的电传飞控直升机有Bell-525和S-92等。Bell-525是世界上第一架电传操纵民用直升机，它作为全球首款同时采用侧杆和三余度电传两种技术的商用直升机，目前全面设计阶段已完成，适航取证阶段正在推进。FBW系统是S-92民用直升机设计上的最大亮点，S-92先进飞行控制系统使用三个冗余通道，每个通道都带有自检功能，并且有两重输入/输出信号通道，通过冗余设计来保障系统安全性。

从适航设计与审定角度来看，如果适航条款不能覆盖到所有的新颖设计，需要针对具体设计制定专用条件。专用条件的定义是：当申请人提出展示满足符合性的适航标准版本和相应的修正案，不包含足够的针对其设计特点的安全标准规定时，在原有适航标准的基础上为其制定的条款。电传飞控相对传统机械控制来说，由于控制律形式极大丰富，使得控制功能和模式也更为多样。从表明安全的角度出发，CCAR 29部（以下简称29部）适航条款未能完全考虑到这些变化带来的影响，其中包含：（1）当表明对29部C分部和D分部结构要求的符合性时，未考虑到控制形式变化对结构的影响；（2）29.143条款要求飞行员对操纵权限具有感知能力，而电传飞控直升机的感知方式与机械式完全不同，条款不能覆盖特性；（3）目前27部和29部标准并未给出旋翼机先进飞行控制系统对飞行员的提示与告警，因此需要通过专用条件对先进飞行控制的性能提出要求；（4）电传飞控引入了包线保护系统功能，该系统自身的安全性需要进行表明，适航条款未涉及到这一系统；（5）电传飞控系统中存在大量的电子元器件，外界环境、电子元器件失效、电子线路变化都可能引起非指令信号故障，对安全产生影响，当前27部和29部规章没有考虑通过标准电缆使用数字指令和控制线路的新型电子系统的非预期改变信号特性，对这一问题，需要在29.671和29.672的基础上进行补充。综上，对于直升机的电传飞控系统适航审定，现有规章无法全面覆盖新颖设计，因此需要专用条件补充现有条款来表明设计的安全性。

国内外对电传飞控的上述设计特征进行了一定的设计考虑和验证。加拿大NRC的Bell-412电传飞控直升机在后期改型中，需要加装飞行载荷单元和联合多任务光电系统，在设计中充分考虑了电传飞控系统和其他系统的交联，并进行了模拟器和试飞试验［6］；J.M.Morgan［7］结合电传飞控直升机几种不同的侧杆形式，考虑了力感形式对飞行员操纵的影响，并在Bell-205直升机上进行了飞行员试验；S-92配备有先进驾驶舱，可以为飞行员提供多级的显示告警和音频告警［8］；M.Alexander等［9］为了保证电传飞控指令信号的正确性，在系统中加入了指令信号确认算法，并通过试飞试验进行了验证。

本文结合直升机的电传飞控系统适航审定背景，针对民用直升机电传飞控适航专用条件——系统结构交联专用条件、操纵权限感知专用条件、飞行机组告警专用条件、飞行包线保护专用条件、指令信号完整性专用条件，给出条件关注的技术内容，对条款制定的背景和意义进行分析，结合设计特点和条款给出现有的符合性方法和符合性设计，并提出若干设计思考。

1 专用条件主要内容

1.1 系统结构交联专用条件

系统结构交联专用条件主要考虑的是：增加电传飞控系统会引入很多新功能，需要判断这些功能的使用过程和故障状态是否会对结构产生影响和破坏。该专用条件定义的准则仅适用响应和性能对结构有直接影响的系统。

系统结构交联专用条件内容主要提出：对于配备了系统可直接影响，或其故障与失效会影响结构性能的旋翼航空器，当表明对29部C分部和D分部要求的符合性时，必须考虑到这些系统及其故障状态的影响。

对于配备了飞行控制系统、自动驾驶仪、增稳系统、载荷减缓系统、燃油管理系统及其他可直接影响，或故障状态可影响结构性能的旋翼航空器，必须使用一定的准则来表明对该专用条件的符合性。若这些专用条件用于其他系统，则有必要依特定系统调整适用准则。

此外，系统对结构的影响需要分别考虑系统正常工作和发生故障两种情况，在正常工作时，限制载荷必须在系统的所有正常运行构型下，旋翼航空器必须符合29部中的强度要求和气动弹性稳定性［10］。而当系统出现任何未表明是极不可能出现的系统失效状态时，必须表明在失效发生时的结构安全，和失效状态下继续飞行的结构安全。此外，还必须具有充分的系统失效的探测和指示。

1.2 操纵权限感知专用条件

传统的飞行控制是由飞行员对操纵杆和脚蹬相对于操纵止动器位置的固有感知来判断是否接近操纵限制。电传飞控系统的操纵装置与作动器之间没有机械连接，驾驶舱操纵与主旋翼或尾桨作动器位置之间不具有直连的相关性，因此飞控系统不能通过与操纵位置物理止动或限制相关的驾驶舱操纵位置，为飞行员提供操纵权限反馈的触觉提示［11］。

因此审定过程中要通过提出操纵权限感知专用条件，作为现有29.143要求的补充：系统设计必须保证，无论主飞行控制以任何方式接近操纵权限边界时，飞行员都应获得适当的感知。

1.3 飞行机组告警专用条件

该专用条件要求飞行机组告警必须具备以下功能：（1）提供飞行机组所需信息；（2）在所有可预见的操作条件下，包括在提供多个告警的条件下，对于机组而言是可读的、易察觉的以及清晰的；（3）当报警条件不存在时及时解除。另外，基于飞行机组意识和响应的紧迫性，告警必须符合优先级排序，即警告—戒备—提示。

警告和戒备必须必要时在每个类别中优先考虑；能够通过听觉、视觉或触觉指示的组合，以至少两种不同的感觉提示来提供及时的注意力，对于该注意力提示，除非要求提示是连续的，否则应使得每个提示的发生能够被确认并且能够被抑制［12］。

告警功能必须通过设计最大限度地减少错误和虚假告警。特别是它的设计要满足：防止发生不适当或不必要的告警；需要提供一种手段，抑制由于告警功能故障触发警报而导致的注意力分散，从而妨碍飞行员安全操作直升机。这种方式不能过度容易地提供给飞行员，以免其无意中或习惯性地使用。当告警被抑制时，必须清楚明确地告知飞行机组告警已被抑制［13］。

此外，视觉告警指示必须遵循一定的颜色规律，且颜色使用不可妨碍飞行机组告警功能。

1.4 飞行包线保护专用条件

为了实现包线保护，当飞行器接近或超过限制时，电子飞行控制系统（Electric Flight Control System，简称EFCS）的控制律将发生显著改变。相应地，当EFCS发生故障时，飞行包线保护功能也会发生变化或丧失。目前规章无法覆盖这些新颖、独特的保护功能，因此需要采用相应的专用条件［11］。

直升机电传飞控系统飞行包线保护必须满足以下要求：每一个飞行包线保护功能的启动特性必须平滑，并与其飞行阶段和机动类型相适应，且不会妨碍飞行员改变旋翼航空器飞行航迹、速度或姿态的操纵。受保护的飞行参数限制值（有时也考虑相关警告门限值）必须同结构、机动、临界条件的裕度、旋翼和浆叶限制等相协调［14］。

航空器必须对驾驶员想要进行的机动作出响应，直至在参数限定的合适范围内。当大气条件或无意的驾驶员动作导致超越批准的飞行包线时，飞行包线保护系统不能产生非正常或有害的飞行特性。当包线限制同时启动时，不能导致不利的耦合或产生不利的优先权。

如果出现未被表明极不可能的飞行包线保护单独失效，旋翼航空器必须：（1）能够继续安全飞行和着陆；（2）能够实施故障纠正，不需要特殊驾驶技巧和力量；（3）当运行在飞控系统降级模式时，在飞行手册规定的可用飞行包线内，旋翼航空器仍可操纵和机动；（4）能够持续仪表飞行，不需要特殊的驾驶技巧；（5）在整个可用飞行包线内，满足29部B分部规定的操纵性和机动性要求；（6）如果在批准的飞行包线内进一步发生任何未被表明极不可能的失效或故障，航空器应可以安全操纵。

1.5 指令信号完整性专用条件

当前CS25规章已经将“指令信号完整性”专用条件内容要求变为电子飞控系统满足25.671必须要满足的内容。PS-ASW-27，29-09政策声明中也描述了先进飞控主信号提供航空器的唯一控制，必须具有附加层级的仔细检查。因此需要考虑指令信号的完整性对安全的影响。

指令信号完整性专用条件主要内容考虑：除符合现行671和672的要求外，还需满足：

（1）无论飞机集成系统环境出现任何故障，或环境内部或外部的干扰，飞行控制系统都必须能持续地执行其预期的功能。

（2）任何气动力回路内发生故障的系统，不应产生不安全水平的非指令性动作，并应具有在故障影响消除后，自动恢复执行关键功能的能力。

（3）气动力回路内的系统，在暴露于任何故障源之中或暴露后，不应受到不利的影响。

（4）由于故障、内部或外部干扰导致的单个单元或组件损坏，同时这些损坏需要通告机组，要机组采取措施，则必须经审查组识别和批准，以保证机组能够识别，同时还应保证建议的机组动作能产生预期的效果，使飞机继续安全飞行和着陆。

（5）由虚假信号，如内部或外部干扰，或是功能故障引发的，导致系统从正常模式到降级模式的自动转换，必须满足适当的概率要求。

（6）暴露于内部或外部干扰，或是功能故障的虚假信号，不应导致大于允许概率的危害；必须评估对操纵品质的影响。

（7）必须表明飞行控制系统信号或者不能被无预期地改变，或者己被改变的信号满足一定要求。

（8）必须表明控制面闭环系统的输出不会导致飞行控制面非指令性的持续振荡。对于较小的不稳定性影响，通过充分地评审、记录和认知是可接受的。

2 专用条件背景与解析

2.1 系统结构交联专用条件

电传飞行控制系统及其相关系统的控制功能影响着旋翼航空器的结构完整性。这些系统在正常状态和故障情况下对结构性能会产生影响，其强度水平与发生概率有关，而现行规章没有考虑到这部分旋翼航空器载荷。因此需要专用条件来考虑这些特性［15］。

该专用条件常用于采用EFCS的运输类飞机，现阶段电传飞控系统将逐步推广到新的旋翼航空器上，因此也需要将该专用条件纳入现有电传飞控直升机的审定中。由于飞行控制技术的不断提升，现有29部没有为配备该系统的旋翼航空器达到可接受的安全水平提供依据（与25部类似），因此这些系统的审定需要制定专用条件［16］。

在过去，传统的旋翼航空器飞行控制系统设计已经结合了助力系统、有限权限的增稳或控制增稳系统，以及部分依29.672和相应AC 29.672而审定通过的自动驾驶仪。这些系统集成到主飞行控制系统中，并具有足够的控制权限产生机动，导致直升机接近其结构设计限制（29部C分部和D分部所规定的）。因此具有全权限的电传飞行控制系统先进技术需要额外的要求来考虑飞行控制系统和结构的相互影响。

29部中确定载荷包线的规章并未完全考虑系统对结构性能的影响。自动系统可能失效，或者以小于全系统权限和相关的内置保护功能的降级模式运行。因此，有必要确定结构安全系数和工作裕度，使得在电传飞行控制系统故障期间由于故障载荷而导致的结构失效概率不大于采用传统飞行控制系统的旋翼航空器中出现结构失效的概率。为了实现这一目标并确保可接受的安全水平，有必要定义失效状态及与其相关的发生概率。

传统的飞行控制系统提供两种状态，即全功能正常工作或完全不工作。这两种状态对飞行机组来说是显而易见的。新的主动飞行控制系统具有故障模式，允许系统在降级模式下运行，而无需全权限和相关的内置保护功能。由于这些降级模式对飞行机组来说不明显，故监控系统需要提供降级系统状态的通告，避免其对结构造成影响。

2.2 操纵权限感知专用条件

Bell-525型直升机采用了新颖的设计特征：四轴全权限数字电传飞行控制系统。针对该系统，当前14CFR29部规章不能包含足够的标准以涵盖电传飞控操纵余量感知方面的考虑。旋翼航空器操纵性和机动性适航标准包含在29.143内，这些操纵性要求与大多数电传飞控系统相协调，而大多数机动性要求不受电传飞控系统影响。

除了操纵余量，规章的一个目的是确保操纵余量在定义的飞行包线内是足够的，以避免失去操纵（这是指旋翼航空器有足够操纵能力，使飞行员能改出潜在危险飞行情况）［7］。其目的是为飞行员提供接近操纵极限的充足感知。当前29.143是针对机械液压飞行控制系统的，通过其操纵杆和脚蹬相对于操纵止动器的位置，飞行员能够感知操纵余量。但现有规章不足以用于电传飞控系统的取证，电传飞控系统中操纵装置与飞控作动装置之间没有机械连接，没有驾驶舱操纵与主尾桨作动器位置之间的持续相关性，因此对于所有飞行情况，飞控系统不可以通过与操纵位置物理止动或限制相关的操纵位置，为飞行员提供操纵余量反馈的触觉提示。

因此基于上述情况，所提出的专用条件将给出最低的安全标准要求，以保证在接近主旋翼或尾桨操纵极限时，为Bell-525直升机飞行员提供感知。操纵权限感知专用条件为Bell-525直升机飞行员提供接近主或尾桨操纵极限感知的最低安全标准。该专用条件提出了两方面要求：（1）当主飞控接近操纵限制时要通知飞行员；（2）是否要通知以及采用适当的方式通知。这样可以加强飞行员对直升机的控制。

2.3 飞行机组告警专用条件

飞行机组告警主要考虑的是告警功能要素类型（包括视觉、听觉和触觉要素）、告警管理、告警与其他系统的接口或集成，以及颜色标准化［13］。目前的规章对可能的降级模式显示的处理是不充分的，降级模式下飞行员需要知道主飞行操纵的状态。

Bell-525型直升机设计了新的先进机组告警系统。其独特性和先进性体现在听觉和视觉告警、触觉传感器以及CAS信息整合的集成。同29.1322规定的用于警告、戒备和提示告警的离散彩色灯相比，新系统采用了综合视觉、听觉、触觉和告警信息的新技术，可以更有效地进行机组告警并协助他们进行决策。

当前29.1322规定了用于警告、戒备和提示告警各自的彩色灯。但是现有29.1322缺乏足够的适航标准用于以下不使用各自彩色灯的告警消息和显示：提供告警信息给机组的非视觉提示，以及同时使用集成的和多个告警的情况。

Bell-525型机组告警系统将具有更有效的集成视觉、听觉、触觉和告警信息，这需要特殊适航标准来解决对于关键系统失效或异常的机组告警。这些专用条件将从运输类飞机先进机组告警系统的适航标准25.1322（修正案25-131）中额外增加要求。

因此，建议的专用条件将会定义一个优先级排序方案，扩展颜色的要求，并解决机组告警的性能问题，以反映技术和功能的变化。

飞行机组告警是为了吸引飞行机组的注意力，通知飞行机组需要注意的非正常系统状态或运行事件，以及建议飞行机组可以采取的行动。告警完成其目的的能力依赖于整个告警功能的设计，包括传感器和触发告警的状态、如何处理信息（包括所分配的紧急程度和优先等级）、以及为表达紧急程度所选择的告警呈现要素。不需要引起飞行机组注意的状态不应生成告警。飞行机组告警系统应使用统一的告警状态、紧急程度和优先等级以及呈现要素等理念。

2.4 飞行包线保护专用条件

飞行包线保护功能包括高迎角保护、法向过载限制、滚转俯仰姿态限制和高速限制等，EFCS可以具有多种飞行保护功能。这种全时飞行包线保护（限制）功能的飞行控制系统，目的是防止飞行员无意或有意的超出飞行包线参数范围。这些限制在正常和降级飞行模式时可以选择是否被激活和被飞行员操控。目前规章尚无法覆盖这些新颖、独特的保护功能，因此需要采用相应的专用条件。29.1329自动飞行控制系统适航标准涵盖了系统基本操作的设计要求，但不涉及自动飞行控制系统的动态飞行包线限制。因此提出专用条件能够为飞行包线保护制定最低安全要求［11］。

飞行包线保护专用条件从正常飞行、高速限制和旋翼速度等角度提出安全性标准。条件要求旋翼航空器在正常运行下使用包线保护功能避免驾驶员或自动驾驶系统发出使飞机超出其结构或空气动力学运行限制的控制指令。每个包线保护的进入特性必须是平滑的，并与其飞行阶段和机动类型相适应，不与驾驶员改变航空器飞行航迹、速度和姿态的能力相冲突。受保护的飞行参数的限制值和相关的告警阈值必须与航空器结构限制、航空器所需的安全和可控、机动和临界状态的裕度兼容。

航空器必须对目标动态操纵做出响应，以保证航空器运行在批准的飞行包线内，并具有合适的参数限制范围。当包线限制同时启动，不能导致不利的耦合或不利的优先权。

直升机最大空速、桨叶速度、载荷系数、桨叶挥舞角度均在该条件的考虑范围之内。同时应该建立旋翼航空器的俯仰滚转速率、体速包线和周期操纵位置限制，任何限制体速的包线保护技术都应该防止桅杆碰撞，并确保桅杆或其他旋翼航空器部件没有超出结构限制。

2.5 指令信号完整性专用条件

先进的飞控系统引入数字指令和电子元件，该新颖设计特征受到电磁干扰易产生虚假信号和（或）故障数据导致系统功能不正常，从而引起飞机不可接受的响应，最终导致飞行事故。因此需要采用特殊的设计措施保证系统的完整水平，使得系统具有与传统液压机械式设计等价的安全水平，由于第27部和第29部的规章要求仅针对机械飞行控制系统，针对这些特殊设计措施的要求未在当前使用的规章中体现，因此制定专用条件作为补充要求。

对于运输类飞机来说，现行的适航规章相关条款（如25.671和25.672）主要是针对传统液压机械式飞行控制系统的，这些条款还没有对指令和控制信号不得因内外干扰而改变做出专门的要求。因此，根据CCAR21.16的要求，需要制定专用条件以保持和现行规章等效的安全水平。

对于电传飞控直升机来说，PS文件给出了可能的先进飞控失效状态，以下这些都属于指令信号完整性需要考虑的干扰［7］：（1）包含高于采样频率的显著信号噪声的传感器信号，其模数转换导致的混叠效应；（2）虚假报警，比如告警或警告，由太敏感的监控触发，是由于监控门限或失效确认时间太短；（3）典型由高控制增益同非线性组合导致的限制周期，应最小化和减少到一个可接受水平；（4）某些影响导致的失效类型；（5）外部源（比如传感器噪声、电磁干扰等）或失效的设备（比如电触点松动）的信号扰动导致虚假数据。

3 符合性方法和验证技术

符合性方法的设计和制定要考虑多方面因素和限制，既要充分表明符合性，也要同时考虑演示说明成本和安全因素（特别对试飞方法来说）［17］。结合电传飞控特征和各个专用条件覆盖的内容，各专用条件可接受符合性方法如表1所示。

3.1 系统结构交联符合性验证技术

无论是在正常状态还是失效状态下，先进飞行控制系统的运行都有可能直接或因为故障而间接影响旋翼机的结构性能或气动弹性的稳定性。比如增稳或颤振抑制系统中的主动载荷减缓功能。为了确定该专用条件的适用性，需要结构工程师进行评审，并通过分析、仿真或试验的方法来证明。其中主要考虑部分包含：主动载荷减缓、故障瞬态、带故障运行以及驾驶员诱发振荡（Pilot Induced Oscillation，简称PIO）。

PIO是飞行员在试图控制飞机时而产生的持续振荡或一系列不可控制的飞机振荡，是需要重点考虑的因素。先进飞行控制系统的独特之处在于要特别考虑PIO的三个主要分类：（1）Ⅰ类——线性的飞机—飞行员交互；（2）Ⅱ类——准线性的飞机—飞行员交互；（3）Ⅲ类——高度非线性的飞机—飞行员交互。独特的设计特征可能加速先进飞控系统Ⅲ类PIO的发生，比如控制律模式更改、自动包线保护系统和系统重构逻辑。先进飞控系统设计应该不易受到非线性特性影响，它会导致飞行员进行非直观控制输入来达到期望响应。在符合性表明过程中，识别能够突然改变控制响应特性的系统非线性，以及评估补偿跟踪任务过程中的飞行条件，是一种可接受的表明方法。

因此，基于上述分析和考虑的审查要素，该专用条件的符合性要通过载荷分析/计算来验证。若系统失效可能导致PIO，则需要试飞试验或模拟器试验或二者相结合的方式进行评估。

3.2 操纵权限感知符合性验证技术

根据实际直升机的应用，合适的通告应该包括驾驶舱中控制位置显示、信号灯显示或者作动器/旋翼位置指示。该显示和告警也应该考虑某些驾驶员的操纵在预期飞行环境中也是非常必要的。因此，一个设计恰当的简单告警系统，应该能够在预期或者控制限制的情况下区分到底是驾驶员的误操作还是意识指令动作，一个能够比较直升机运动、桨角变化和驾驶员指令需求的监控系统能够有效消除虚假告警。

符合性方法主要采用系统设计描述、试验室试验、机上地面试验和飞行试验表明，特别注意的是通过飞行试验科目表明主控制接近操纵权限时，系统可以向飞行机组提供告警信息。且告警信息（视觉、听觉、触感提示）必须有效的同时，要表明警告是需要的，而非骚扰性的；表明警告指示可以指导飞行员按照旋翼航空器飞行手册指令采取合适的动作；且通过足够的操纵裕度（在旋翼和反扭矩系统层级）表明有足够的操纵能力来改出潜在的危险飞行状态，可以避免失控。

因此，该专用条件的符合性表明要采用描述的方法，表明当俯仰、偏航和滚转轴分别接近控制权限限制时，系统将向飞行机组提供EICAS告警信息。并通过铁鸟试验、机上地面试验和飞行试验进行验证。

3.3 飞行机组告警符合性验证技术

为了提高对运输类飞机先进的飞行机组告警系统的安全性要求，FAA通过131号修正案更新了第25.1322条，该修订解决了现代飞机关键系统的机组告警失效或者故障问题。然而，目前CFR 14第27部和第29部的标准并未给出旋翼航空器机组告警系统的响应标准，因此通过专用条件对该部分的飞行控制性能提出要求，以替代与29.1322中相关的要求。该专用条件要求的符合性表明工作是通过系统描述飞控系统告警指示，并通过试验室试验、地面试验和部分试飞试验进行验证。

3.4 飞行包线保护符合性验证技术

使用飞行包线保护能够避免驾驶员或自动驾驶系统发出使航空器超出其结构或空气动力学运行限制的控制指令。每个包线保护的进入特性必须是平滑的，并与其飞行阶段和机动类型相适应，不与驾驶员改变航空器飞行航迹、速度和姿态的能力相冲突。受保护的飞行参数的限制值和相关的告警阈值必须与以下内容相兼容：航空器结构限制、航空器所需的安全和可控的机动、临界状态的裕度。

飞行包线保护验证除了要考虑常规情况，还要考虑以下条件：高速限制、旋翼速度、载荷系数限制、体速限制。正常验证程序应该覆盖以下内容：法向载荷系数保护、俯仰姿态保护、滚转姿态保护、高速保护、启动特性、不安全特性的裕度、大气干扰和风切变下的运行、保护功能的优先级和相互作用、超过被保护边界。在审定过程中采用控制律描述文件对飞行包线保护控制律功能和逻辑、电子飞行控制系统（EFCS）失效情况下的控制逻辑与警示、非正常姿态控制进行说明，并通过试验室试验、模拟器试验和试飞试验协同完成各项的符合性验证说明。

3.5 指令信号完整性验证技术

在该专用条件的指令信号完整性验证符合性表明过程中，需要考虑以下方面：应保持所有空气动力学闭环系统的稳定增益和相位裕度，但不包括环路控制中的驾驶员；导致控制执行机构非指令运动的虚假信号和/或故障数据必须易于检测和隔离，或者必须通过其他令人满意的方式检测、捕捉到舵面由于非指令信号引起的作动；系统残留的小振幅的振荡是可能接受的；为了证明非指令的持续振荡、电子或电气指令信号之间的耦合结果、与结构部件一起作动的机械作动系统的运动不会超过系统限制的频率范围，需要对不稳定影响进行彻底的调查、记录和理解。

通过飞控系统描述表明系统架构及监控器设计，识别可能影响飞控系统的干扰，说明系统设计可以保证部分干扰不会导致控制指令发生改变，对于其他可能导致控制指令改变的干扰，将通过安全性评估、试验室试验、飞行试验、工程模拟器试验和设备鉴定试验表明符合性。

4 关键技术问题

电传飞控能为直升机带来功能和性能上的提升，是当前和未来的重要发展趋势。现已有UH-60、S-92、Bell-205等多型号采用这一系统，但这些型号多为军用飞机或试验机。民用方面目前只有Bell-525直升机是按照民用飞机全流程来进行适航取证的。因此从国内外发展情况来看，适航性设计和符合性表明仍然存在一定困难。对于直升机电传飞控而言，从适航性设计与符合性表明的角度来看，本文认为在型号论证和设计过程中，需要从以下四方面来考虑。

（1）设计需求需要完整且正确。从适航角度来说，电传飞控会引入大量的新颖设计，这些新颖设计在已取证的直升机型号没有验证或验证不充分，因此在适航性设计里需要重点考虑。需求作为设计输入，决定着整个设计流程是否正确或是否完整。因此在直升机电传飞控设计过程中，要从需求入手，从功能、适航、安全性等多方面考量引入电传飞控给直升机带来的变化，提出正确和完整的设计输入，确保正向输入的完整执行。

（2）安全性分析的执行与贯彻。与军用飞机“性能优先”的特点不同，民用飞机的最大特点就是始终要把安全性放在首位来考虑。因此安全性分析在民用飞机设计过程中起到重要作用。电传飞控相对于传统机械式飞控更为复杂，特别是架构与功能，因此其安全性分析也更为繁琐。在执行安全性分析的过程中，首先通过FHA确定系统的功能及功能故障情况的描述，确定各种情况下故障造成的影响，故障影响等级分类。随后进行PSSA来评估系统设计方案，产生安全性要求及目标。一旦系统开发完成，SSA将从所有安全性评估系统中获取评估结果，其中包括故障模式、影响及危害性分析和共模分析，验证文件及其对安全性标准的定量符合性分析文件。对于电传飞控系统来说，安全性分析可以从功能到架构对系统进行充分评估，是整个研制周期中关键内容之一，需要重点关注。

（3）通过研制过程保障抑制研制差错。对于电传飞控系统来说，由于引入大量的复杂软硬件，使得系统成为高度综合的复杂机载系统。对于这种系统，试验无法完全覆盖到每一种工况，因此需要通过有效的研制过程保障来确保飞机系统的安全性。研制过程保障不仅可以表明对1309条款的符合性，在保障的执行过程中也可以提升工业方的管理能力，加强系统工程思维。因此在整个设计过程中要强化研制过程保障，提升系统安全性。

（4）考虑电传飞控与其他系统的交联。相对于机械飞控来说，电传飞控的控制律形式多样，可以极大地丰富直升机的功能和提升性能。但作为直升机的“大脑”，其功能和性能的改变也会影响直升机其他系统的安全性或功能的完整性（Bell-525的试飞坠机就是振动与操纵的耦合导致的）。例如适航中需要考虑的飞行特性、性能、结构、电磁、噪声、振动、牵引、吊挂系统等，都会受到飞控系统的影响。对于这些交联的考虑有些是通过正向设计、安全性设计来保证的，有些则是通过工程经验来判断，因此在电传飞控的设计过程中需要对系统交联进行重点关注。