基于贝叶斯网络的某型航空发动机失去推力控制分析

易阳 陆中 李超 杨宇平

摘要：针对某型航空发动机控制系统失去推力控制，提出了一种规范化的安全性建模方法。首先，给出了该航空发动机推力控制系统的功能与组成，分析了导致失去推力控制事件的故障原因，构建了用于描述该航空发动机推力控制功能的功能框图。其次，利用贝叶斯网络节点表示系统部件，考虑部件之间因果关系和条件概率，提出了基于功能框图自动生成贝叶斯网络的建模方法，并给出了基于团树算法的贝叶斯网络概率推理算法。最后，给出了工程案例，并与故障树分析方法进行了对比，验证了本文所提方法的有效性，本文方法避免了传统安全性分析模型过于依赖人员经验的问题，适用于失效具有多态特性的高集成复杂航空发动机系统。

关键词：LOTC；贝叶斯网络；团树算法；航空发动机；适航

中图分类号：V233.6+15文献标识码：ADOI：10.19452/j.issn1007-5453.2021.11.014

安全性分析既是飞机研制过程中开展安全性设计、提高飞机系统安全性的主要手段，也是审定过程中根据适航标准针对民用飞机系统开展符合性验证与适航审定的重要方法[1-2]。在《航空发动机适航规定》第33.28条要求发动机控制系统设计和构造时失去推力控制（LOTC）事件的发生率与预期应用的安全目标一致，保证发动机控制系统部件的单点失效不会导致危害性发动机后果[3]。在美国联邦航空局（FAA）咨询通告文件AC 33.28-3中，LOTC是指涡轮（活塞式）发动机上的控制系统故障事件，导致在正常运行条件下无法获得至少90%（85%）的额定推力或调节推力，并要求LOTC分析作为系统安全性分析的一部分[4]。AC 33.28-3中，规定了对于涡轮发动机，发动机电子控制系统（EECS）不应导致每10万发动机飞行小时超过一个LOTC事件；对于第23部I、II、III类的活塞式发动机，EECS可接受水平的上限为每百万发动机飞行小时45次（或每22222发动机飞行小时1次）的LOTC率。为了满足条款要求，有必要对导致LOTC事件进行安全性分析。

LOTC事件涉及发动机控制系统等，其部件具有多种不同的失效模式，呈现出典型的多状态特性。而传统的安全性分析方法（如故障树、可靠性框图）都是典型的静态二元方法，并不完全适用失效具有多态特性的系统[5-6]；马尔可夫模型虽然可以描述失效的多态性，但是极易出现状态空间爆炸问题[7]。为了克服上述传统方法的不足，近年来贝叶斯网络被广泛应用于复杂系统的可靠性与安全性评估。贝叶斯网络在表示多状态单元和系统，以及不确定概率推理方面有明显优势[8]。综上，目前开展安全性分析主要存在如下不足：（1）传统安全性分析方法大多是基于二态性假设的，且利用贝叶斯网络建模方法也大多基于故障树构建，已经构建好的故障树映射为贝叶斯网络，此时贝叶斯网络的节点仍然是二态性的；（2）目前，安全性分析模型的构建过于依赖分析人员的经验，没有针对系统安全性建模，提出一种规范化的安全性建模方法；（3）现有安全性分析方法主要是计算LOTC发生概率，对LOTC事件发生时各部件发生概率的研究较少。

本文将根据系统的功能框图，建立基于贝叶斯网络的航空发动机的LOTC分析模型。首先对发动机控制系统功能进行介绍，然后对LOTC涉及的部件失效特性进行分析，用贝叶斯网络节点表示部件，节点之间的有向边表示部件之间的功能逻辑关系，然后利用团树算法对建立的模型进行正向推理与反向推理，确定LOTC失效概率及导致LOTC失效的关键部件。最后，通过实例分析与故障树对比对本文方法的有效性进行了验证。

1某型发动机控制系统功能描述

某型商用航空发动机是先进的高涵道比涡轮风扇发动机，通过发动机控制系统来运行，发动机控制系统通过对来自飞机的输入指令做出反应来完全控制发动机系统，也为飞机提供信息，用于驾驶舱指示、发动机状态监控、维修报告与故障排除。该发动机控制系统由电子控制组件（ECU）、液压机械组件（HMU）和外围部件三部分组成。

1.1 ECU

一台双通道的ECU通过电子方式执行发动机控制、计算和监控发动机状态，并且具有超速保护功能。ECU的两个通道A和B是完全相同且同时各自独立进行工作的，通过交叉通道数据链（CCDL）进行连接，当一个通道的重要输入信息输入失效时，ECU的两通道仍然能正常运行。

ECU接收发动机传感器的各类信号，包括压力传感器收集到的环境静压p0、发动机静压ps1；温度传感器收集到的风扇进口温度T12、高压压气机进口温度T25、高压压气机排气温度T3、发动机滑油温度Teo、高压压气机机匣温度Tcase；速度传感器收集到的低压转子转速N1、高压转子转速N2。ECU通过计算输出可变排气阀门（VBV）、可变定子叶片（VSV）、过渡引气阀门（TBV）、燃烧室分级阀门（BSV）、高压涡轮间隙控制阀门（HPTCCV）、低压涡轮间隙控制阀门（LPTCCV）等执行机构的控制信号。

1.2 HMU

一台HMU将源于ECU的电信号转换为液压压力，以驱动发动机阀门与作动筒。HMU内部有燃油计量系统和伺服机械部分，本文主要涉及燃油计量系统。

1.3外围部件

外围部件包括用于控制与监控的阀门、作动筒以及传感器。其中，与发动机控制系统相关的功能包括推力控制功能、反推力控制功能、点火功能、指示功能、起动功能。本文重点对推力控制功能进行分析。推力控制功能是发动机控制系统的燃油控制与分配、几何控制及冷却控制的上一层次功能。其涉及的燃油系统具有燃油分配与流量控制、推力管理控制、温度与压力等关键参数信号的采集、可变几何外形控制等功能，操纵系统的燃油关断控制（高压燃油关断控制、低壓燃油关断控制）等功能，空气系统的冷却空气等功能。

2失去推力控制故障原因分析

飞机LOTC分析的范围包括发动机电子控制系统、燃油系统、可变几何与引气系统、发动机滑油/润滑系统、动力装置系统与安装等，本文针对发动机控制系统开展LOTC分析，仅针对发动机控制系统的相关部件，其他系统的部件不在本文研究范畴之内。

发动机推力控制功能由ECU、燃油计量阀（FMV）、FMV扭矩马达、FMV解析仪、调速先导阀、Δp阀、旁通阀、高压关断阀（HPSOV）、HPSOV电磁线圈及驾驶舱面板等部件完成。发动机的燃油关闭功能由HPSOV实施，HPSOV可以由ECU通过FMV关闭或者驾驶舱面板接收到信号后控制HPSOV电磁线圈来使HPSOV关闭。ECU接受FMV解析仪反馈信号后计算FMV的位置，并通过FMV来控制HPSOV的关闭和开启。FMV根据ECU的指令控制流向发动机燃油喷嘴的燃油。FMV扭矩马达接收到来自ECU的電信号，并将其转换为HPSOV的轴向运动。FMV解析仪为ECU提供与FMV位置成比例的电反馈信号，以实现闭环控制。Δp阀和旁通阀通过在阀门上保持恒定压降来确保计量燃油与FMV面积成比例。Δp阀压力检测器感测到FMV两端的压力差。当Δp阀感知到的FMV压力差发生变化时，旁通阀开启或关闭来增加或减少燃油压力。调速先导阀通过调节流向Δp阀的压力来使得旁通阀开启或增加。

推力控制功能框图如图1所示，FMV故障、FMV力矩马达故障以及ECU输出推力控制信号错误都可能导致LOTC事件。具体部件故障原因如下。

（1）ECU故障模式及原因分析

ECU的故障模式为输出丧失，将导致LOTC事件、输出错误信号或者未输出信号给FMV扭矩马达，其故障原因为：接收错误的FMV解析仪反馈信号、计算错误。

（2）FMV故障模式及原因分析

FMV的故障模式为卡滞，将导致其不能控制适当的燃油量，也无法在ECU控制下关闭HPSOV。FMV的故障原因为：旁通阀输出丧失、机械故障。

（3）FMV扭矩马达故障及原因分析

FMV扭矩马达故障模式为输出丧失，但由于系统冗余设计，此时故障模式为：1个/2个/3个/4个/5个/6个输出丧失。当FMV扭矩马达全部故障时将影响HPSOV的轴向运动。其故障原因为：ECU输出丧失、机械故障。

（4）FMV解析仪故障模式及原因分析

FMV解析仪的故障模式为输出丧失，发生故障时将导致不能输出正确信息给ECU。其故障原因为：FMV卡滞、机械故障。

（5）调速先导阀、Δp阀和旁通阀故障模式及原因分析

调速先导阀、Δp阀、旁通阀的故障模式均为输出故障。调速先导阀故障时将无法输送合适的燃油压力给Δp阀；Δp阀故障时将无法感知到FMV两端的压力差，无法传递正确指令给旁通阀；旁通阀故障时，无法按照指令开启来增加或减少燃油压力。调速先导阀的故障原因为机械故障；ΔP阀门的故障原因为：调速先导阀输出丧失、机械故障；旁通阀的故障原因为：Δp阀输出丧失、机械故障。

（6）HPSOV及其电磁线圈故障模式及原因分析

HPSOV的故障模式为输出丧失，HPSOV电磁线圈的故障模式为不工作。HPSOV故障时无法实现燃油关闭功能，HPSOV电磁线圈故障时无法通电使HPSOV关闭。HPSOV的故障原因为：HPSOV线圈不工作、FMV卡滞、FMV扭矩马达输出丧失、机械故障。HPSOV电磁线圈的故障原因为：驾驶舱面板输出丧失、机械故障。

（7）驾驶舱面板故障模式及原因分析

驾驶舱面板故障模式为输出丧失，故障时无法传递正确的信号，使得HPSOV关闭。其故障原因为机械故障。

3基于贝叶斯网络的LOTC分析

贝叶斯网络是一个有向无环的图解模型。用节点表示随机变量，有向弧表示变量间的关系[9-11]。每个节点都附有一个概率分布，根节点所附的是边缘分布，非根节点所附的是条件概率。贝叶斯网络更新由事件触发，是基于诊断的推理过程。一个简单的贝叶斯网络如图2所示[12]。

3.1基于功能框图的贝叶斯网络构建

一般情况下，贝叶斯网络基于故障树与贝叶斯网络之间的映射关系进行建模，这种建模过程较为繁琐，本文直接利用功能框图进行航空发动机LOTC事件的建模。依据功能框图建立贝叶斯网络的步骤如下。

（1）建立功能框图

功能框图是表示系统各个组成部分所承担的任务或功能间的相互关系，以及系统约定层次间的功能逻辑顺序、信息流与接口的功能模型[13]，是本文开展贝叶斯网络建模的基础。构建功能框图时，第一步是根据失效状态确定相关的功能，并根据功能确定实现该功能的相关系统。第二步是对系统部件分类，按照部件的具体功能将其分为三类：传感检测部件，主要包括各类传感器，对工作状态参数进行检测，并将信息传给信息处理与控制部件；信息处理与控制部件，主要由电子计算机及其接口组成，对收到的信息进行处理并实现控制；执行部件，主要包括各类作动器，完成信息处理与控制部件的各项具体动作。第三步是确定完成功能所需的执行部件，单个执行部件如图3所示。此时，分析导致功能失效的执行部件、导致执行部件失效的信息处理与控制部件及导致信息处理与控制部件失效的传感检测部件，最后按照反方向顺序进行连接。若为两个及以上执行部件，如图4所示。此时，先对每一个执行部件按照单个执行部件情况进行分析，然后考虑两层部件之间是否有联系。若为相同部件，则进行合并；若部件之间存在作用关系，则进行节点连接。同样地，按照分析顺序的反方向进行连接。为了进行功能框图的简化，与功能失效有关的其他影响因素直接用虚框表示。

（2）生成贝叶斯网络结构

基于功能框图的贝叶斯网络有两个层次，第一层是部件层节点，全部来自于功能框图中涉及的部件，其中虚框内的部件称为外部节点。第二层是功能失效节点。

将功能框图中的部件作为贝叶斯网的节点，按照部件间的逻辑关系连接节点。基于功能框图的贝叶斯网络连接形式主要有顺连、分连和汇连三种，如图5所示。

依据对功能失效事件的分析，将部件节点组合指向功能失效节点。由此，生成了贝叶斯网络结构。

（3）确定贝叶斯网络参数

本文贝叶斯网络参数包括两种：一种是确定性逻辑关系，它主要是對各个部件不同失效状态之间的因果关系分析得到的；另一种是部件不确定性，即当父节点代表的部件正常状态时，部件仍失效的概率。

3.2基于团树算法的贝叶斯网络推理

团树传播算法是先构造一个团树，把概率推理计算转为团树节点之间消息的传递，本质也是局部因子之间的乘积和求和运算[14]。本文采用团树传播算法对建立的贝叶斯网络模型进行精确推理，具体步骤如下。

（1）构造端正图

设y为一个有向无圈图。如果将y中每个节点的不同父节点结合，即在它们之间加一条边，然后去掉所有边的方向，所得到的无向图称为y的端正图。

（2）变量消元顺序的确定

采用最大势搜索算法[13]确定消元顺序。规则如下：第一步，任选一个节点作为最后一个消元点，编号为n；第二步，对拥有最多相邻已编号节点的未编号节点，编号为n-1号；第k步，按照第二步的方法找到此未编号节点，将其编号为n-k+1号。若在某一步中可选择的未编号节点有多个，任选一个编号即可。当所有节点都被编号后，按编号从小到大的顺序作为变量消元的顺序。

（3）团树的构建

采用图消元的算法来构建团树[15]。按照一定顺序对端正图中的变量节点进行消元。消去一个变量A之前，先构造一个由A及A所有相邻的变量节点组成的团；消元结束后，将过程中所产生的团用一定的方式连接起来，得到一颗覆盖贝叶斯网络的团树。

（4）后验概率计算流程

4实例分析

LOTC在相应咨询通告（AC）中要求其发生概率小于10-5每发动机工作小时[4]，民用机载系统或设备不满足适航要求将无法装机使用[17]。对某型航空发动机失去推力控制（LOTC）事件，涉及功能框图如图1所示，按照功能框图与贝叶斯网络结构的映射关系建立LOTC的贝叶斯网络模型，如图7所示。对建立的BN模型中每个节点的不同父节点进行连接并去掉所有边的方向，得到LOTC模型的端正图，如图8所示。按照最大势搜索算法可得到消元顺序为：调速先导阀、Δp阀、旁通阀、FMV解析仪、LOTC、FMV、ECU、FMV扭矩马达、HPSOV、HPSOV电磁线圈、驾驶舱面板。按照确定的消元顺序，对端正图进行消元，得到的团树如图9所示。对各个部件节点，不仅考虑了部件之间的相互作用关系，还考虑了当上一层影响部件正常时，故障率根据某航空公司机队运行数据统计分析得到，具体见表1。

假设飞行时间为1h，代入上述故障率，应用已有贝叶斯网络工具GeNIe2.0中的团树算法，对贝叶斯网络进行正向推理，得到LOTC故障概率为2.2599808×10-5，满足要求的概率范围10-5。当需要采用一定措施降低LOTC事件的发生概率时，可以假设LOTC一定发生，即设置证据P（LOTC=1）=1，进行反向推理分别得到各个部件故障发生概率，见表2。

当LOTC事件发生时，HPSOV、HPSOV电磁线圈、驾驶舱面板对LOTC事件的影响几乎可以忽略，即为LOTC的非关键部件。此时，ECU、FMV、FMV解析仪发生故障的概率较高。为了降低LOTC事件的发生概率，需要对ECU、FMV、FMV解析仪等部件的相关参数设定更严格的概率要求。

为了验证模型的有效性，对失去推力控制事件进行故障树构建。如图10所示，故障树构建从分析顶事件发生的原因开始，逐层分析，找出每层事件，直到找出底事件为止。机械故障的概率表（见表1）已给出，代入数据，故障树分析求得的顶事件概率为2.7609687×10-5，与基于贝叶斯网络模型求得的概率2.2499808×10-5非常接近，说明本文所建立的基于贝叶斯网络的航空发动机失去推力控制模型的有效性。此外，对比故障树与贝叶斯网络模型可以知道，利用BN进行建模极大地简化了模型结构，避免重复。

5结束语

本文基于贝叶斯网络对航空发动机失去推力控制（LOTC）事件进行了分析，提出针对系统的安全性建模方法，从某型发动机控制系统功能进行描述，再基于系统功能框图进行故障原因分析，利用贝叶斯网络进行建模与概率求解，所提出的一套流程化规范化的建模方法有效避免了传统安全性分析模型过于依赖人员经验的问题。同时，本文直接利用功能框图建立贝叶斯网络，避免了先建立故障树再转化为贝叶斯网络的繁琐过程，用节点状态表示部件不同失效状态，弥补了故障树转化为贝叶斯网络时的二态性假设的不足；基于团树传播进行正向推理，得到LOTC发生概率，同时进行反向推理，找到LOTC的关键部件，并与故障树分析方法进行对比，验证了本文方法的有效性和实用性。

参考文献

[1]Filippo D F. Airworthiness：An introduction to aircraft certification，guide to understanding JAA，EASA and FAA standards[M]. Oxford：Butterworth-Heinemann Ltd.，2006.

[2]丁水汀，张弓，蔚夺魁，等.航空发动机适航概率风险评估方法研究综述[J].航空动力学报，2011，26（7）：1441-1451. Ding Shuiting， Zhang Gong， Yu Duokui， et al. Reviewing of probabilistic risk assessment on aero-engine airworthiness[J]. Journal of Aerospace Power，2011，26（7）：1141-1151. （in Chinese）

[3]中国民用航空局. CCAR-33-R2航空发动机适航规定[S].北京：中国民用航空局，2011. Civil Aviation Administration of China. CCAR-33-R2 Airworthiness standards： aircraft engines[S]. Beijing： CAAC， 2011. （in Chinese）

[4]Federal Aviation Administration. Airworthiness standards：aircraft engines FAR part 33 amendment33-28[S]. Washington DC：FederalAviation onAdministration，2014.

[5]Ding L，Wang H，Jiang J，et al. SIL verification for SRS with diverse redundancy based on system degradation using reliability block diagram[J]. Reliability Engineering and System Safety，2017，165（9）：170-187.

[6]Ghadhab M，Junges S，Katoen J P，et al. Safety analysis for vehicle guidance systems with dynamic fault trees[J]. Reliability Engineering and System Safety，2019，186（6）：37-50.

[7]Zhang L，Zhang D，Hua T，et al. Reliability evaluation of modular multilevel converter based on Markov model[J]. Journal of Modern Power Systems & Clean Energy，2019，7（5）：1355-1363.

[8]Wood A P. Multistate block diagrams and fault trees[J]. IEEE Transactions on Reliability，1985，34（3）：236-240.

[9]Helge L，Luigi P. Bayesian networks in reliability[J]. Reliability Engineering and System Safety，2005，92（1）：92-108.

[10]Schneider R，Th？ns S，Straub D. Reliability analysis and updating of deteriorating systems with subset simulation[J]. Structural Safety，2017，64（1）：20-36.

[11]Mi J，Li Y F，Peng W，et al. Reliability analysis of com-plex multi-state system with common cause failure based on evidential networks[J]. Reliability Engineering and System Safety，2018，174（1）：71-81.

[12]徐琳，宋萬强，严冲，等.基于威胁评估和扩展Voronoi图的战术飞行轨迹规划方法[J].航空科学技术，2019，30（1）：35-43. Xu Lin， Song Wanqiang， Yan Chong， et al. Tactical flight trajectory planning method based on threat assessment and extendedVoronoidiagram[J].AeronauticalScience& Technology， 2019，30（1）：35-43. （in Chinese）

[13]Wood A P. Multistate block diagrams and fault trees[J]. IEEE Transactions on Reliability，1985，34（3）：236-240.

[14]王飞，刘大有，薛万欣.基于遗传算法的Bayesian网中连续变量离散化的研究[J].计算机学报，2002，25（8）：794-800. Wang Fei， Liu Dayou， Xue Wanxin. Discretizing continuous variables of Bayesian networks based on genetic algorithms[J]. Chinese Journal of Computers，2002，25（8）：794-800. （in Chinese）

[15]李志瑤，宗芳，张屹山.贝叶斯网络推理分析的团树传播算法：以停车行为分析为例[J].长春大学学报，2012，22（5）：505-509. Li Zhiyao， Zong Fang， Zhang Yishan. Cluster tree propagation algorithm for bayesian network reasoning analysis：taking parking behavior analysis as an example[J]. Journal of Changchun University， 2012， 22（5）： 505-509. （in Chinese）

[16]张连文，郭海鹏.贝叶斯网引论[M].北京：科学出版社，2006. Zhang Lianwen， Guo Haipeng. Introduction to Bayesian nets[M]. Beijing： Science Press， 2006. （in Chinese）

[17]李哲，张浩驰，王辉，等.民用机载系统与设备适航取证研究[J].航空科学技术，2019，30（12）：30-37. Li Zhe， Zhang Haochi， Wang Hui， et al. Study on airworthiness forensicsofcivilairbornesystemsandequipment[J]. Aeronautical Science & Technology， 2019， 30（12）： 30-37. （in Chinese）

Analysis of Loss of Thrust Control for a Certain Aeroengine Based on Bayesian Network

Yi Yang1，Lu Zhong1，Li Chao1，Yang Yuping2

1. Nanjing University of Aeronautics and Astronautics，Nanjing 211106，China

2. Zhenjiang Technician College，Zhenjiang 212114，China

Abstract： In view of the loss of thrust control of a certain type of aeroengine control system， this paper proposes a standardized safety modeling method for a certain type of aeroengine control system. Firstly， the function and composition of the thrust control system of the aeroengine are given， the causes of the failures leading to the loss of thrust control events are analyzed， and a functional block diagram describing the thrust control functions of the aeroengine is constructed. Secondly， Bayesian network nodes are used to represent system components， taking into account the causal relationship and conditional probabilities between components. A modeling method for automatically generating Bayesian networks based on functional block diagrams is proposed， and Bayesian networks based on clique tree algorithm are presented. Probabilistic inference algorithm on Bayesian network using clique tree algorithm is carried out. Finally， the analysis of the example is carried out and compared with the fault tree analysis method， which verifies the effectiveness of the method proposed in this paper. The method in this paper avoids the problem that the traditional safety analysis model relies too much on personnel experience， and is suitable for highly integrated and complex aeroengine systems with polymorphic failure characteristics.

Key Words： LOTC； Bayesian network； clique tree algorithm； aeroengine； airworthiness