吴哲铭， 葛红娟， 胡寅逍， 潘姝越， 金 辉， 桑益芹

南京航空航天大学 民航学院，江苏 南京 211106)

多电飞机起动发电系统将起动机和发电机功能一体化，是多电飞机运行的关键系统之一[1]。近年来国内外针对起动发电系统原理及其性能优化开展了广泛研究，并取得了较大进展[2-4]，但其适航安全性分析相关工作开展得较为滞后。主流的基于ARP4761的安全性分析方法已经较为成熟，但其效率较低，当系统发生改动时需要重新进行分析。基于模型的系统安全分析(Model-Based Safety Analysis，MBSA)通过将主模型贯穿于产品全寿命周期所有阶段等方式，使安全性分析模型随设计更改同步发生变化，提高了安全性分析效率[5]。

多电飞机起动发电系统部件间失效耦合关系复杂，功能危险性分析法(Functional Hazard Analysis,FHA)、初步系统安全评估(Preliminary System Safety Assessment,PSSA)、故障树分析(Fault Tree Analysis，FTA)、相关图方法(Dependence Diagram,DD)等安全性分析方法仅分析了部件失效率，较少关注部件间的失效耦合关系[6]。决策试验与评估实验室法[7](Decision-Making Trial and Evaluation Laboratory,DEMATEL)是关联性分析的常用方法之一，广泛应用于相互关联要素之间的因果关系分析以及各要素在系统中的重要度分析。张凡等[8]运用DEMATEL方法研究复杂装备研制项目风险因素的关联性和重要性，实现了风险源的识别；史永胜等[9]运用DEMATEL方法对传统FMEA进行改进，对民机货舱动力驱动单元安全性进行评估；Liaw等[6]运用DEMATEL方法计算权重，完成了军机飞控系统可靠度分配。通常DEMATEL方法依赖于专家打分法，由专家评价结果确定直接影响矩阵，对于多电飞机起动发电系统这类复杂度较高、专业性较强的系统，不同专家的评价结果可能存在一定差异，缺少用于减小误差的客观参照[8]。

本文以MBSA为基本思想，将Modelica模型和DEMATEL方法相结合，基于Modelica语言搭建多电飞机起动发电系统仿真模型，通过研究故障注入响应与影响关系评价标度的映射关系确定各部件失效的直接影响矩阵，利用DEMATEL方法计算中心度和原因度等部件失效影响的关系参数，为专家评价指标提供一定程度的客观参照，为复杂系统部件间失效耦合关系的分析提供参考。

1 基于Modelica语言的多电飞机起动发电系统部件失效关联性分析模型构建

1.1 多电飞机起动发电系统部件失效关联性分析流程

多电飞机广泛使用的变频起动发电机(Variable Frequency Starter Generator，VFSG)是一种三级式起动发电机，由主发电机、交流主励磁机、永磁副励磁机和旋转整流器等组成，可实现起动和发电功能的切换，用于提供发动机起动所需转矩和飞机正常运行时所需的电力。以B787为例，飞机正常运行期间，4台VFSG可稳定输出235 V、400 Hz的三相交流电[10]。

多电飞机起动发电系统起动过程分为2个阶段[11]：起动时，分别在主励磁机励磁绕组和主发电机电枢绕组中通入恒频三相交流电和变频三相交流电，由旋转磁场的相互作用带动起动发电机转子转速的不断提升，从而完成飞机发动机的起动；当起动发电机转子达到7000 r/min后，系统切换为发电状态，起动发电机转子转速在飞机发动机的带动下继续提升，最终稳定在12000 r/min附近，同时起动发电机输出稳定的三相交流电供飞机上的负载使用。

多电飞机起动发电系统部件失效关联性分析流程如图1所示，可以概括为“建”“仿”“评”，即根据起动发电系统工作原理建立仿真模型；仿真分析故障波形，获取部件失效影响关系；引入关联性评估算法，输出结果清单。

图1 多电飞机起动发电系统部件失效关联性分析流程

1.2 多电飞机起动发电系统Modelica模型的建立

Modelica是一种非因果关系的建模语言，注重模块之间的相互关系，能够适应复杂系统关联性分析需求[12]。本文利用Modelica语言搭建多电飞机起动发电系统的仿真模型。

多电飞机起动发电系统的Modelica模型包括起动控制模块、发电控制模块、起动发电模块和负载模块，如图2所示。起动控制模块控制起动/发电功能的切换，提供起动阶段所需的外部电源；发电控制模块控制发电阶段输出电压稳定；起动发电模块是多电飞机起动发电系统的核心模块，主要由主发电机(Main_Generator)、交流主励磁机(Main_Exciter)、永磁副励磁机(Permanent_Exciter)和旋转整流器(Rotate_Rectifier)组成，在起动模式下为航空发动机提供初始转速，当航空发动机达到一定转速后切换为发电模式，输出电能供负载模块使用。

利用Modelica模型，对多电飞机起动发电系统正常状态下的起动/发电过程进行仿真，仿真结果如图3所示。由图3(a)可以看出，除起动/发电切换期间出现微小变动外，转子转速基本保持合理的增长率，并在3 s内达到12000 r/min的额定转速，进入稳定状态。分析图3(b)可以得出，起动/发电切换期间主发电机输出电压有效值瞬间增大至正常情况的2倍左右，由于作用时间较短，基本不会对相关部件安全造成影响；转速稳定时主发电机输出电压的有效值为234.99374 V，最大值为332.46075 V，波形近似为理想正弦波，频率为400 Hz，符合MIL-STD-704F[13]规定的电能品质标准。

图3 起动发电过程正常情况下波形

1.3 风险致因要素的确定

多电飞机起动发电系统失效主要由关键部件的失效引起，基于多电飞机起动发电系统的机理及主要构成部件，可以将风险致因要素确定为关键部件的失效，包括主发电机失效、主励磁机失效、副励磁机失效、励磁接触器失效、起动接触器失效、整流桥失效、旋转整流器失效和调压电路失效，共8个关联性影响要素，如表1所示。

表1 多电飞机起动发电系统风险致因要素

2 基于DEMATEL方法的多电飞机起动发电系统部件失效关联性分析

2.1 基于故障注入的直接影响矩阵确认方法

多电飞机起动发电系统风险致因要素间存在着复杂的相互影响关系，借助DEMATEL方法可以对要素间的复杂关系进行解耦。DEMATEL方法是一种结构化建模方法，其运用图论和矩阵工具将复杂的因果关系结构可视化，在分析系统要素之间的因果关系、识别关键要素等方面发挥着重要作用。利用系统中各要素的直接影响矩阵，计算各要素的影响度和被影响度，进而计算各要素的中心度和原因度，最终完成要素间的关联性分析。

通过故障注入和改变关键参数等方法仿真不同故障情况，确定各安全性要素相互的定性关系。参考AC25.1309-1B[14]，制定了多电飞机起动发电系统部件影响关系评价0～4标度表对定性关系进行量化，获得各要素间的定量关系，构建直接影响矩阵。影响关系评价0～4标度表含义如表2所示。

表2 影响关系评价0～4标度表

2.2 直接影响矩阵的确定

本文以三级式同步变频起动发电机中的主发电机失效(F1)为例，来具体说明直接影响矩阵的构建方法。对于主发电机而言，其典型的故障模式有单相接地故障、两相接地故障和三相短路故障。

主发电机两相接地故障发生时，两接地相电压迅速下降为0，电流幅值增大且出现明显的三相不平衡；主励磁机输出的励磁电流瞬间增大至正常情况下的8倍左右，重新稳定后电流明显增大且伴随明显振荡；副励磁机输出的励磁电流瞬间增大至正常情况下的15倍左右，重新稳定后电流明显增大且伴随明显振荡。两相接地故障仿真波形如图4所示，经过分析可以确定，当主发电机发生两相接地故障时，对主励磁机的影响程度为3，对副励磁机的影响程度为4。

图4 两相接地故障仿真波形

以同样的方法对主发电机单相接地故障和三相短路故障进行分析，主发电机故障对主励磁机和副励磁机影响程度示例如表3所示。

表3 主发电机故障对主励磁机和副励磁机影响程度示例

对上述3种故障模式的影响程度求平均值，可以确定主发电机失效(F1)对主励磁机失效(F2)的影响程度为3，对副励磁机失效(F3)的影响程度为3.67。用同样的方法完成不同故障情况的仿真，可得直接影响矩阵O为

(1)

2.3 综合影响关系计算分析

采用行和最大值法规范化直接影响矩阵O，即计算直接影响矩阵O每行之和的最大值，用O的每个元素除以此最大值，得到规范直接影响矩阵N为

(2)

根据规范直接影响矩阵N建立综合影响矩阵T：

(3)

根据综合影响矩阵T计算各安全性要素在起动发电系统中的影响度di、被影响度ci、中心度mi和原因度ri，计算公式为

(4)

各风险致因要素综合影响关系如表4所示。

表4 各风险致因要素综合影响关系

从起动发电系统工作机理角度分析，主发电机和主励磁机的失效会直接导致系统无法正常工作；副励磁机的故障或者调压电路的非正常工作会直接影响发电机的正常电压输出，从而影响系统的正常工作。一方面，从表4可以看出，反映风险致因要素重要程度的中心度排序与起动发电系统的工作和故障机理相一致。另一方面，从故障失效机理角度分析，接触器和调压电路等环节比较容易导致其他风险的发生，其原因度为正；主发电机等主体比较容易受到其他因素影响，其原因度为负。因此，表4给出的分析结果符合系统失效机理和影响关系。

2.4 基于FTA的部件重要度对比分析

利用表4数据计算起动发电系统各部件的DEMATEL重要度ωi，计算公式为

(5)

各风险致因要素重要度如表5所示。

表5 各风险致因要素重要度

在仿真分析的基础上，利用FTA法分析起动发电系统各部件的相对概率重要度。将表1中的风险致因要素作为底事件，建立起动发电系统故障树，如图5所示。参考MIL-HDBK-217F[15]获取各风险致因要素的发生概率，计算相对概率重要度，计算结果如表5所示。

图5 起动发电系统故障树

起动发电系统各部件重要度主要由系统结构和运行机理决定，因此基于DEMATEL方法计算的各部件重要度排序与基于FTA计算的各部件相对概率重要度排序基本相同。同时，DEMATEL方法基于各部件失效影响程度计算重要度，而FTA则基于各部件失效率计算重要度，由于各部件的失效影响程度和失效率之间并不存在严格的单调映射关系，即失效率高不代表失效影响程度大，两种方法得到的各部件重要度排序又存在微小差异。分析表5数据可以看出，采用的部件失效关联性分析方法正确合理。

3 结束语

基于Modelica语言搭建了多电飞机起动发电系统的仿真模型，仿真结果符合相关标准要求，证明了模型的正确性和有效性；基于故障注入的仿真结果构建多电飞机起动发电系统各部件失效直接影响矩阵，为专家打分法提供一定程度的客观参照。利用DEMATEL方法计算中心度、原因度等用于表征部件失效关联性的参数，弥补了传统安全性分析方法对失效耦合关系关注较少的问题。对比DEMATEL方法和FTA方法计算得到的各部件重要度排序，说明了该方法的正确性。所采用的基于主要特征量变化和DEMATEL的部件失效关联性分析方法可推广应用于其他复杂系统部件间失效关联性分析。