朱日兴，白 杰，王 伟

(中国民航大学适航学院, 天津 300300)

传感器作为控制系统的重要组成部分，是实现闭环控制系统的主要信息来源。由于运行环境等因素的影响，传感器失效是难以避免的。据统计，某型飞机减小转速信号的故障中，传感器故障占比超过50%[1]。此外，控制系统中传感器故障及执行器故障通常占总故障的80%以上[2-3]。传感器可能导致整个系统失效，甚至引发灾难性后果。如美国宇航局(NASA)在20世纪80年代的一次试验，由于发动机控制系统中某个传感器失效而导致了严重的爆炸事故[4]。

针对航空发动机控制系统安全性问题，中国民用航空局出台了相关规定，最直接的是《航空发动机适航规定》(CCAR33R2)中的33.28条款[5]。其中明确规定发动机控制系统必须能够容忍“单点故障”，以保证可能出现的局部失效或故障不会导致控制系统失效或故障。此外，美国联邦航空管理局公布的咨询通告AC33.28给出了指导建议，建议申请人可通过备份冗余或者故障检测的方式进行符合性验证[6]。因此，根据上述适航条款要求，控制系统必须能够容忍传感器故障，以降低传感器故障对控制系统的影响。针对发动机控制系统安全性问题，为了提高控制系统的安全性和可靠性，使得故障对系统造成的损害大大降低，高可靠的控制技术是其安全运行的保障。限制保护是一种控制结构，其目的在于对控制系统的关键变量维持在可允许的限制范围内，如转速及涡轮温度[7]。

目前中外对限制保护的研究，都是控制系统处于正常条件下进行的[8-15]，即系统的传感器及执行器处于正常状态。……