[原创]以一个局外人的眼光看中国的大飞机计划，分题一： ...

原创文章，如有意转载，请注明是大炮（BIGGUN）原著。其它权利保留。本ID仅在超大和HSH由本人注册。

中国的大飞机的梦想，从运十到干线，从干线到AE100，从AE100到ARJ，再到现在的C919，算是走了一个半径不小的螺旋式上升的过程。这几个项目，有着几代工程师的辛劳甚至血汗，更有着他们当年梦想的生成，破灭，重生，再破灭和再重生。这当中的辛酸和喜乐，痛苦和绝望，是局外人很难体会的。如今ARJ项目在收尾，C919刚开始，笔者想以一个局外人的观点，分析一下中国的大飞机计划中做得成功或是不成功的地方。同时，以借此机会分析一下波音和空客各自的成功之处，来和中国的大飞机计划比较一下，看看能 不能对现在也好，将来也好的中国民机工业有所帮助。本人将以讨论重点的形式分题展开。因为时间有限，只能一个星期写一点，所以将会以分题更新帖子的形式发表，还请有兴趣的同好耐心等候文章的写完。

分题一：安全

看到过很多人说过坚决不会坐中国设计生产的飞机，认为那是不安全的。虽然本人和大多数人一样，对这种思维嗤之以鼻，但不同的是，我在这里要告诉有这种思维的人，你们的这种想法错在哪里。不是因为你是否爱国或是否爱自己，而是告诉你们，什么才是真正安全的飞机，还有他们的设计方法。

稍微懂行一点的军友，应该都知道FAR25部这个设计指导规范。但是我想可能这里没有谁有这个耐心和毅力把他看完的，所以可能也就没有多少人知道这个指导规范是怎么来的。所以在谈民用客机的安全性之前，让我们先来谈谈什么是FAR25部。

FAR-25/CS-25

FAR25/CS25规定，任何想得到FAR或是EASA认证的新设计的大型客机（不包括空乘人员的乘客人数在19人以上的螺旋桨推进的飞机，或是10人以上的喷气推进的飞机。想想为什么运十二的载客量是19座而不是20座），都要符合FAR25/CS25部的设计规范。小于19/10座的要符合FAR23/CS23部的设计规范。
现在我们来看看什么是FAR25/CS25部以及得到FAR25/CS25部认证的意义是什么。那什么是FAR25/CS25部呢？有人说这是民用客机设计的圣经，但我觉得它更象是如来佛的手心。因为如果你至少稍微看过它，就会发现它里面虽然有时也会有公式和具体的数字，但更多的时候，它都只是在说XX XX的设计，要保证不会因为单一的故障（FAILURE）而产生“严重”（CATASTROPHIC）的后果。为什么这样做，是有原因的。这当中有很深远的背景，考虑到本文的篇幅，我们就不扯远了。简单来说，FAA和EASA只是对设计提出要求，具体怎么设计，FAA和EASA并不想捆住设计厂家的手脚，而影响对新设计和新材料的引入。也就是说他们对于孙猴子们怎么翻跟头并不感兴趣，因为这样一来会限制创新。但对于孙猴子不能翻出他们的手心，他们可是看得非常非常的紧的。很多人说FAA/EASA会卡中国人的脖子，其实他们不光是卡中国人的，他们卡所有人的。但这是后话，我先按下不表。

民用航空发展到现在，可以说有了非常详细和大规模的样本空间。对于飞机的结构来说，一般民用飞机的飞行包线都是约定俗成的。所以25部会有具体的设计要求。比如大家熟悉的全机静力，起落架落震，环境，寿命等等。但对于飞机的系统，就不一样了。我这里重点讨论一下系统的设计。

统计显示，对一个新设计的飞机来说，一般在一千万个飞行小时左右，会出现一次“灾难性”事故，（比如波音777在伦敦的那次事故，虽然没有死人，但飞机毁了，没死人只是运气，所以算是一次CATASTROPHIC的事故），或者说，一架新设计的整机，平均来说，不管是否经过FAR25/CS25认证过的，它出现严重飞行事故的几率是在10-7左右。因此，FAR25/CS25部的对于系统的最终要求，也可以说是唯一的要示，就是看你新设计的飞机系统，是不是能达到这个“灾难性故障”率的要求。这个要求分到各个系统，也就因此会更苛刻。为了简单起见，25部中，假设一架飞机会有一百个系统（实际上要少得多），因此各个系统的设计，也就是要求出现“灾难性”故障的几率在10-9以下。具体到各个厂家，他们都有一套和这个25部相对应的设计规范策略，以确保他们设计的飞机能够通过认证。而这个内部的设计规范，则是各个厂家经验的集成，可以说在各方面又会比25部的要求来得苛刻和具体。根据故障后果的不同，故障也分为几级，“灾难性”以下，还有“有害 HAZADUS”，“严重 MAJOR”，“轻微 MINOR”有及 “无安全隐患 NO SAFETY EFFECT”四级，他们可以发生的几率也以100为单位上升，分别是10-7，10-5，10-3，和10-1。

但这样问题就来了。怎么验证一个系统或是整机设计在出现“灾难性”故障的几率能符合这个要求呢？简单的想法就是实验，用实验的数据证明这一点。有些系统，因为在设计上的继承性，在现役的飞机上已经服役多年，用实际应用的具体统计数字是最有说服力的。但这里有一个鸡和蛋的问题。对于中国商飞，以及中国的系统供应商来说，他们旗下没有任何的已通过认证装机的例子可言，所以这个办法行不通。（题外话，这也是为什么ARJ和C919一开始会选用国外成熟供应商的产品的一个主要原因，如果全用中国自己的供应商，先不说能否提供两机所需要性能的系统，就算可以，他们因为没有任何已经认证产品，在系统认证方面，他们就不得不花很大的精力和金钱来补这个不足。问题是即使它们有时间和财力补上这个不足，ARJ也好，C919也好，他们可能都到了退役的时代了。所以先不说有没有必要全用中国的产品，就是你想要这样，也是有很长的一个过程的。）而另一个方法，就是对于一个新设计的飞机来说，他们的系统，在设计之初，就进行安全分析，以理论的形式，证明这个设计能达到这个要求。任何机械电子系统，他们如何运作都是可以推断的。同时如果他们失效，失效的后果也在绝大多数情况下是可以预料的。（为什么说绝大多数？因为总有误判的时候。但如果真的出现了，代价是巨大的，比如丰田的刹车系统。这是后话）这就引出了一个DAMAGE-TOLERANCE（损伤容限）或是FAIL-SAFE（破损安全）的设计方法。

25部的一个首要要求，就是不能因为一个系统，或是一个系统内的某个设备的单一故障，而直接或连带影响其它设备故障并最终导致飞机出现“灾难性”故障。所以当今新设计的飞机，在系统是有备份的，根据系统重要性的不同有的甚至是多重备份的，比如飞机的操控系统。因为系统出故障在所难免，要的是出了故障，飞机还能安全落地。（比如澳航的发动机出了那么大的故障，这在以前几乎肯定是机毁人亡，但就是因为有备份，加上好的RP，安全着陆，无人伤亡）。具体到实施这样的设计，就是在系统，以及系统内的每一个设备，在他们正常工作的条件下，他们的故障率都是经过分析研究甚至实验过，以至于FAA 和EASA有足够的信心这些设计是能达到要求的。这种分析的细致达到什么程度？就是飞机每一根导线，接头的针脚，铆钉，螺丝，连杆，以及逐层向上组成的所有系统，全部有故障分析和后果分析以及他们可能发生的几率。为了在整机这一级能达到10-7，在设计之初，各个系统在各种飞行状态下可能发生的故障，都会有分级，以至于当把这些故障综合考虑以后的飞机总的出现“灾难性”的后果的故障几率在10-7以下。10-7，或者说一千万飞行小时是什么概念？对于一架飞机，那是一千一百四十一年半。如果一架飞机的产量和保有量是一千多架以上，一年可能才能摊上一次“灾难性”的后果。这是对所有的经过认证飞机而言。

特殊案例安全分析

上面我们谈到了飞机的系统安全分析。这种分析虽然已经非常的细致，但还不全面。航空安全分析，一般都是基于一个常用的模型。是什么呢，就是这几十年的客运经验下来，一般的系统会出什么问题，在多大的程度上会出问题，这些东西业内的人都是非常的清楚了。所以在做安全分析的时候，会有一些基本的假设，那就是一个系统内，一般只会同时出现一个故障，个别情况两个或是三个。这个很好理解，因为如果假设所有的故障全是同时出来，那也就不用搞设计了，因为这是不可能。可以说，这个假设虽然看上去过于乐观，但实际上和实际飞行中曾经出过故障的故障率还是非常吻合的。（懂行的人可能这时候会想到MEL或是MMEL，这个我们暂时不表，容我以后再说。）所以说这个假设还是科学的，但有一些特殊（有的其实还相当的常见）的情况下，这个假设不成立。对于这些“特殊”的案例，设计部门还要进行所谓的特殊案例安全分析。

一般案例主要有如下几种：
1．        鸟撞，也有称是“鸟袭”
2．        非包容性主发动机故障
3．        非包容性辅发动机故障
4．        高压容器破裂
5．        螺浆破裂故障
6．        个别起落架为收起状态时降落
7．        擦尾
8．        系统生存
9．        后承压壁穿孔
等等。
这九个是比较常见的，但肯定不止这些。有些可能还不能公开。当这些特殊事件发生时，因为受到损坏而不能工作的系统设备可能就不只是一两个了。这时候就要以最坏的情况估计可能的故障，让飞机在这种情况下还能安全降落。

非包容性发动机故障



因为最近还真出了几件大事，所以我们不妨从头条新闻的澳航事故说起。也就是第二条，非包容性主发动机故障。（第三条其实和这个很相似，但一般APU所在的位置比较敏感，所以要单独分析。）

这种事故发生的频率并不高，远小于1还有6和7出现的可能性。但在所有的特殊案例中，这种事故是最难分析和预测的。因为发动机内部件的动能和压力巨大，一旦转子部件破裂，以现在的材料和技术，尚不具备在商业上可行的方案有可能包住破片。风扇做为转速最低的转子，在应用新材料和新的制造工艺以后，已经做到可以包容了。但核心机还不行。忘了在哪里看过了，大推力转子发动机的破片的最大能量，和刚出炮口的三十多毫米的加农炮弹相当。大家可以想一下，民用飞机上有什么地方能抗住这样的冲击。所以在分析这种故障的时候，都把破片当成是无限能量，所经之处，一率被毁。所以在飞机上的设备，一般都不会放在转子盘破片路径上的。如果不考虑操控的影响，飞机的发动机甚至都不应该对称分布（当然这是不可能的了）。另外布线设计，有专门避开这种故障的设计，避不开的地方，系统和备份系统的线路要保证不被同一块碎片击中。被击中的线束中也不能有相同系统，相同设备的线路。线束间也要有足够的间隔。能看到飞机布线图的，有时可能会不明白为什么在对重量非常敏感的飞机上，有些线路却是绕着圈走。不用问，就是防着这个的。

所以这次A380出了这样的事，还能安全的降落，并不奇怪。这次损坏的系统包括一套液压系统，前缘襟翼驱动轴和控制电路，两个油箱穿孔，后缘襟翼穿孔，同边另一发动机的部份操控电路，燃油横向输送阀的操控等等。未经证实的消息还有声称另一套液压系统也有部分损坏。这些故障加起来，这在以前是足够让飞机摔下来的。但经过当年那些血的教训，FAR都陆续在25部内有针对性地提出设计要求，让飞机在这些情况下还能安全降落。比如当年DC10的事件，虽然有四套液压系统，但不幸都通过同一个区域而同时失效，酿成惨剐。那以后FAR引入了“相同模式分析”“非相似性设计”等等，以图解决这个问题。同时工业界也发明了液压“保险丝”，以及现在最新的电液伺服系统，彻底把这种危险减到了最低限度。

但是能做到所有成员没有伤亡，还是需要一点人品的。网上有的一些这方面的照片，可以看出这个事故可能造成的影响。

鸟撞

这个案例非常的常见。前年也出过一个这样的事故，而且是双发失效。但飞行员以非凡的技术和胆识，把飞行安全地降在了水面上。这件事当然让飞行员出了名，但当事的飞机制造商也没有闲着， 在各种场合也多方面展示飞机在这件事中的表现，比如飞控的AUTO TRIM，应急电源系统，还机体的强度等等。

另外大家非常熟悉的就是飞机发动机在认证以前，都要做吞鸟试验等等。但大家可能不知道的是，在设计一架新客机的时候，所有可能被鸟撞上的地方（系统），都要做分析，确保没有系统的损失会导致飞机无法安全降落。网上也有不少这样方面的照片。特别要提到的是，鸟撞到飞机的发动机，也是有可能造成前面所说的发动机非包容性故障的。所以在这次A380事故初期，权威机构并不排除有可能是鸟撞的原因。

鸟撞对于飞机的机头，风挡，前缘襟翼，发动机，发动机吊架，尾翼前缘，起落架等等，都提出了专门的要求。这方面25部都有相应的要求。而且鸟撞也不局限于低空的起飞降落阶段，有在万米高空撞上过老鹰的。



有些案例可能过于专业，就不一一详述了，如果大家有兴趣，我回头再增加。下来本来要作一个安全方面的结论，但看到有朋友对于安全生产有担心。本来我是想在分题二，“文档”当中涉及的。考虑到这的确也是一个安全问题，还是有中国特色的安全问题，所以在下一期里，我将单独讲述安全生产方面的问题。在此也做为下一期的预告。

飞机的生产和营运安全

下面有朋友这样说道：“TG人做事情更多的是上有政策下有对策，工人素质很关键。我的意见是不一定照拌米国人的“规定” 而是用TG自己的方法，狠抓工程质量，管理人员真实反映数据。航天口就是个很好的例子。航天质量管理直得学习。”

这个说法听上去很对。不过这个建议的核心其实就是“人治”。只要是人做事，不管是TG还是米共，其实都有一个工人素质的问题。在人和机械的组合当中，最不可靠的还就是人，机械本身可比人的可靠性要高多了。要不机械这个词也不会有形容词的用法。现代航空的高安全性和高可靠性，靠的就是不断地排除或是弱化人的因素才达到的。如果是人治，天天都会有飞机摔下来。而且FAR/CS 25部，也不是什么米国人的“规定”。不是人家为了收买路钱设下的关卡。这是一部在多少血与火的教训和经验后总结出来的行业精华。要不为什么当我们的国家还是在文革的这种政治背景下，还会按照它的“规定”去设计我国的第一架民用运输机运十？它里面的这些“规定”，就是让你避免出安全事故，或是实在避免不了的情况下不死人，而实在不能不死人的情况下少死人。这样的“规定”，你为什么不去学习遵守，而要去另搞一套呢？当然你可以不照他们的办，你的飞机一样还是可以在这个“规定”管不着的地方飞。前苏联怎么样？航空工业比中国强吧？他们的飞机都不是按这个“规定”设计生产的，你更愿意坐他们的飞机吗？

航天产品基本上是实验室性质的生产方式，根本没有批量的概念和形式，当然也就没有办法在航空领域推广。航天产品对质量的要求，又是航空产品不能比的。成本和需求摆在那里。而航空工业的产品的量，是航天产品没有办法比的。想想每天在天上飞的飞机数量，你以这个数量发火箭，你生产制造得过来吗？所以中国在航天的那套经验，是不能照搬到航空上来的，虽然那种精神的确是值得航空人学习。

不同的行业，生产和运营的方式是不一样的。不一样在哪里呢？那就是，航空产品从生产到运营直到寿命的终结，它都是在被监视的。一件用在飞机的零件，除了象螺丝铆钉这种通用零件以外，其它所有在飞机上用的设备，他们都有“户口本”的，什么时间，在什么厂家，由那个工人生产的，曾在什么时间段内用在哪架飞机上，什么时候送过修，翻过新，后来又用在哪架飞机上，经手人是谁，等等 等等。全都有记录。如果一件设备被证明是摔飞机的罪魁祸首，生产维修它的公司可能会吃官司，如果查出是人为的错误，相关的人会做牢。美国西北航空公司的一架SAAB340曾经出过一次螺旋桨飞出发动机的事故，机毁人忘，有人幸存。事后查出是汉胜（当时还叫汉密尔顿）的一个工人在组装的时候醉着酒在干的活，负责检查的上司是闭着眼签的字。汉胜输了刑事还有民事官司，罚钱自不用说，公司上下几个人进了局子。那个工人被判了十四年。和汽车工业不一样，在航空业工作的人，中国的我不知道，南北美和欧洲的所有航空工业的工人工程师，签合同的时候都被告知，这个行业是有渎职罪的。如果没有按照行业的规章制度工作，出了事是有坐牢的危险的。

这个户口本是什么？就是成山成海的文档。无论是设计文档还是生产文档还是运营文档，所有的流程都是有几个不同级别，不同部门的人在相互审核前一个流程工作的质量的，一个设计，一个零件，从生成的到被批准使用，中间少的也要有三四个环节，多的甚至上十个环节。个个环节都是要人签字画押的，为的就是安全。但是话也要说回来，人的因素还是不可能完全排除的。这些安全规定，最终还是要人来实施，百分之百的安全是没有的。

有人质疑国内工人的素质。的确有太多这方面的负面新闻。MADE IN CHINA，至少到现在也不是质量的代名词。但我们也要看看这背后的因素。比如大家可能都觉得中国的工人不认真，偷工减料。但是大家也不能忽略这样一个问题，那就是生产厂家付给工人多少的工钱？他们给工人多少的时间？他们让工人用什么样的工具？他们有没有为工人的安全和健康着想？他们有没有让工人觉得在这里工作是值得的？有保障的？如果这些工人的后顾之忧都不是问题，他们凭什么生产不出来质量过硬的东西？

和那些血汗工厂不一样，哪怕是在中国，航空企业的工厂，尤其是做外贸产品的，上面说的都不是问题。而且大家可能看不到的是，现在天上飞的很大一部分的波音和空客的飞机里，有很多中国航空企业生产的零部件。从来还没有听说有飞机掉下来是和他们有关的。也没有听说过波音和空客抱怨过中国生产的零部件有什么质量差的新闻。别的不说，就说A320的应急逃生舱门吧，XX年后都是中国生产的，也没看见有谁说过因为这个不坐A320的。反到是这个位置的空间大，大家都抢着坐。这个门如果生产质量有问题，在飞行中漏气或是飞离，这在安全上是CATASTROPHIC的事故等级，不摔飞机也会有个把人被吸出去的。。。

至于运营安全，FAA和EASA都是一直在监视着全球所有航空公司的运营记录的。如果发现违规，他们罚起款来是一点也不手软的。前几个星期美国航空公司就被FAA罚了几千万，仅仅是因为他们有个别较轻微的故障事件没有上报。国内的某航空公司用了水货零件，结果出了重大事故，还好是发生在地面，保险公司还不赔，公司也被FAA警告。要不是有这样一个安全生产运营的制度在，光凭人来管理，还不知道会乱成什么样呢。

总结

安全是民用航空的头等大事，其实还有很多可以说的。但我开题的是谈中国的大飞机计划，一个分题写得太多，会影响大家看下去的耐心的，下面也有朋友抗议了，所以就此打住。写到这里的时候，澳航380事故的飞机损伤初布检查报告已经透露出来了一部分。其中比较引人注目的是左翼前大梁被击伤，好在380的机翼在损伤部分附近有分载的设计，避免了折翼的事故，这是为客安全设计背书的一个亮点。还有就是虽然发动机的控制线路，在机翼内是分两路走的，但这次分别被两块不同的碎片割断，造成一号发动机落地后无法关机。这当然有一定的偶然因素在，但这并不是重点。这两路线路中还有启动一二号发动机吊架中灭火器的启动电路，以及中断发动机供油的发动机“起火关机”控制电路，导致一二号发动机在出事后如果起火将无法扑灭。考虑到飞机当时的漏油情况，没有起火真是万幸。这也说明，空客有必要在未来更改这些电路的分布，避免在相同情况下再发生这样的故障。这起事故，将肯定影响未来飞机安全设计的着眼点和力度。这也说明即使在现代飞机已经从设计上非常安全的情况下，还是不能完全排除事故发生的可能性。

事实证明，飞机的安全设计，永远是一个进行时。因为你不知道什么时候会出一个什么样的事故，会让飞机设计师们发现自己以前知识的不足。人类的知识虽然永远是不足的，但只要能学习每一次运气或是教训换来的知识，就可以让这种不足越来越小。我也希望我国的民用客机的设计人员，能从波音，空客还有其它存在或是已经不存在公司的设计范例中学习他们的经验和教训，为国产飞机的安全历史，开始书写自己的篇章。

分题一到此结束，敬请关注下一分题：文档


谢谢过目！

原创文章，如有意转载，请注明是大炮（BIGGUN）原著。其它权利保留。本ID仅在超大和HSH由本人注册。

中国的大飞机的梦想，从运十到干线，从干线到AE100，从AE100到ARJ，再到现在的C919，算是走了一个半径不小的螺旋式上升的过程。这几个项目，有着几代工程师的辛劳甚至血汗，更有着他们当年梦想的生成，破灭，重生，再破灭和再重生。这当中的辛酸和喜乐，痛苦和绝望，是局外人很难体会的。如今ARJ项目在收尾，C919刚开始，笔者想以一个局外人的观点，分析一下中国的大飞机计划中做得成功或是不成功的地方。同时，以借此机会分析一下波音和空客各自的成功之处，来和中国的大飞机计划比较一下，看看能 不能对现在也好，将来也好的中国民机工业有所帮助。本人将以讨论重点的形式分题展开。因为时间有限，只能一个星期写一点，所以将会以分题更新帖子的形式发表，还请有兴趣的同好耐心等候文章的写完。

分题一：安全

看到过很多人说过坚决不会坐中国设计生产的飞机，认为那是不安全的。虽然本人和大多数人一样，对这种思维嗤之以鼻，但不同的是，我在这里要告诉有这种思维的人，你们的这种想法错在哪里。不是因为你是否爱国或是否爱自己，而是告诉你们，什么才是真正安全的飞机，还有他们的设计方法。

稍微懂行一点的军友，应该都知道FAR25部这个设计指导规范。但是我想可能这里没有谁有这个耐心和毅力把他看完的，所以可能也就没有多少人知道这个指导规范是怎么来的。所以在谈民用客机的安全性之前，让我们先来谈谈什么是FAR25部。

FAR-25/CS-25

FAR25/CS25规定，任何想得到FAR或是EASA认证的新设计的大型客机（不包括空乘人员的乘客人数在19人以上的螺旋桨推进的飞机，或是10人以上的喷气推进的飞机。想想为什么运十二的载客量是19座而不是20座），都要符合FAR25/CS25部的设计规范。小于19/10座的要符合FAR23/CS23部的设计规范。
现在我们来看看什么是FAR25/CS25部以及得到FAR25/CS25部认证的意义是什么。那什么是FAR25/CS25部呢？有人说这是民用客机设计的圣经，但我觉得它更象是如来佛的手心。因为如果你至少稍微看过它，就会发现它里面虽然有时也会有公式和具体的数字，但更多的时候，它都只是在说XX XX的设计，要保证不会因为单一的故障（FAILURE）而产生“严重”（CATASTROPHIC）的后果。为什么这样做，是有原因的。这当中有很深远的背景，考虑到本文的篇幅，我们就不扯远了。简单来说，FAA和EASA只是对设计提出要求，具体怎么设计，FAA和EASA并不想捆住设计厂家的手脚，而影响对新设计和新材料的引入。也就是说他们对于孙猴子们怎么翻跟头并不感兴趣，因为这样一来会限制创新。但对于孙猴子不能翻出他们的手心，他们可是看得非常非常的紧的。很多人说FAA/EASA会卡中国人的脖子，其实他们不光是卡中国人的，他们卡所有人的。但这是后话，我先按下不表。

民用航空发展到现在，可以说有了非常详细和大规模的样本空间。对于飞机的结构来说，一般民用飞机的飞行包线都是约定俗成的。所以25部会有具体的设计要求。比如大家熟悉的全机静力，起落架落震，环境，寿命等等。但对于飞机的系统，就不一样了。我这里重点讨论一下系统的设计。

统计显示，对一个新设计的飞机来说，一般在一千万个飞行小时左右，会出现一次“灾难性”事故，（比如波音777在伦敦的那次事故，虽然没有死人，但飞机毁了，没死人只是运气，所以算是一次CATASTROPHIC的事故），或者说，一架新设计的整机，平均来说，不管是否经过FAR25/CS25认证过的，它出现严重飞行事故的几率是在10-7左右。因此，FAR25/CS25部的对于系统的最终要求，也可以说是唯一的要示，就是看你新设计的飞机系统，是不是能达到这个“灾难性故障”率的要求。这个要求分到各个系统，也就因此会更苛刻。为了简单起见，25部中，假设一架飞机会有一百个系统（实际上要少得多），因此各个系统的设计，也就是要求出现“灾难性”故障的几率在10-9以下。具体到各个厂家，他们都有一套和这个25部相对应的设计规范策略，以确保他们设计的飞机能够通过认证。而这个内部的设计规范，则是各个厂家经验的集成，可以说在各方面又会比25部的要求来得苛刻和具体。根据故障后果的不同，故障也分为几级，“灾难性”以下，还有“有害 HAZADUS”，“严重 MAJOR”，“轻微 MINOR”有及 “无安全隐患 NO SAFETY EFFECT”四级，他们可以发生的几率也以100为单位上升，分别是10-7，10-5，10-3，和10-1。

但这样问题就来了。怎么验证一个系统或是整机设计在出现“灾难性”故障的几率能符合这个要求呢？简单的想法就是实验，用实验的数据证明这一点。有些系统，因为在设计上的继承性，在现役的飞机上已经服役多年，用实际应用的具体统计数字是最有说服力的。但这里有一个鸡和蛋的问题。对于中国商飞，以及中国的系统供应商来说，他们旗下没有任何的已通过认证装机的例子可言，所以这个办法行不通。（题外话，这也是为什么ARJ和C919一开始会选用国外成熟供应商的产品的一个主要原因，如果全用中国自己的供应商，先不说能否提供两机所需要性能的系统，就算可以，他们因为没有任何已经认证产品，在系统认证方面，他们就不得不花很大的精力和金钱来补这个不足。问题是即使它们有时间和财力补上这个不足，ARJ也好，C919也好，他们可能都到了退役的时代了。所以先不说有没有必要全用中国的产品，就是你想要这样，也是有很长的一个过程的。）而另一个方法，就是对于一个新设计的飞机来说，他们的系统，在设计之初，就进行安全分析，以理论的形式，证明这个设计能达到这个要求。任何机械电子系统，他们如何运作都是可以推断的。同时如果他们失效，失效的后果也在绝大多数情况下是可以预料的。（为什么说绝大多数？因为总有误判的时候。但如果真的出现了，代价是巨大的，比如丰田的刹车系统。这是后话）这就引出了一个DAMAGE-TOLERANCE（损伤容限）或是FAIL-SAFE（破损安全）的设计方法。

25部的一个首要要求，就是不能因为一个系统，或是一个系统内的某个设备的单一故障，而直接或连带影响其它设备故障并最终导致飞机出现“灾难性”故障。所以当今新设计的飞机，在系统是有备份的，根据系统重要性的不同有的甚至是多重备份的，比如飞机的操控系统。因为系统出故障在所难免，要的是出了故障，飞机还能安全落地。（比如澳航的发动机出了那么大的故障，这在以前几乎肯定是机毁人亡，但就是因为有备份，加上好的RP，安全着陆，无人伤亡）。具体到实施这样的设计，就是在系统，以及系统内的每一个设备，在他们正常工作的条件下，他们的故障率都是经过分析研究甚至实验过，以至于FAA 和EASA有足够的信心这些设计是能达到要求的。这种分析的细致达到什么程度？就是飞机每一根导线，接头的针脚，铆钉，螺丝，连杆，以及逐层向上组成的所有系统，全部有故障分析和后果分析以及他们可能发生的几率。为了在整机这一级能达到10-7，在设计之初，各个系统在各种飞行状态下可能发生的故障，都会有分级，以至于当把这些故障综合考虑以后的飞机总的出现“灾难性”的后果的故障几率在10-7以下。10-7，或者说一千万飞行小时是什么概念？对于一架飞机，那是一千一百四十一年半。如果一架飞机的产量和保有量是一千多架以上，一年可能才能摊上一次“灾难性”的后果。这是对所有的经过认证飞机而言。

特殊案例安全分析

上面我们谈到了飞机的系统安全分析。这种分析虽然已经非常的细致，但还不全面。航空安全分析，一般都是基于一个常用的模型。是什么呢，就是这几十年的客运经验下来，一般的系统会出什么问题，在多大的程度上会出问题，这些东西业内的人都是非常的清楚了。所以在做安全分析的时候，会有一些基本的假设，那就是一个系统内，一般只会同时出现一个故障，个别情况两个或是三个。这个很好理解，因为如果假设所有的故障全是同时出来，那也就不用搞设计了，因为这是不可能。可以说，这个假设虽然看上去过于乐观，但实际上和实际飞行中曾经出过故障的故障率还是非常吻合的。（懂行的人可能这时候会想到MEL或是MMEL，这个我们暂时不表，容我以后再说。）所以说这个假设还是科学的，但有一些特殊（有的其实还相当的常见）的情况下，这个假设不成立。对于这些“特殊”的案例，设计部门还要进行所谓的特殊案例安全分析。

一般案例主要有如下几种：
1．        鸟撞，也有称是“鸟袭”
2．        非包容性主发动机故障
3．        非包容性辅发动机故障
4．        高压容器破裂
5．        螺浆破裂故障
6．        个别起落架为收起状态时降落
7．        擦尾
8．        系统生存
9．        后承压壁穿孔
等等。
这九个是比较常见的，但肯定不止这些。有些可能还不能公开。当这些特殊事件发生时，因为受到损坏而不能工作的系统设备可能就不只是一两个了。这时候就要以最坏的情况估计可能的故障，让飞机在这种情况下还能安全降落。

非包容性发动机故障



因为最近还真出了几件大事，所以我们不妨从头条新闻的澳航事故说起。也就是第二条，非包容性主发动机故障。（第三条其实和这个很相似，但一般APU所在的位置比较敏感，所以要单独分析。）

这种事故发生的频率并不高，远小于1还有6和7出现的可能性。但在所有的特殊案例中，这种事故是最难分析和预测的。因为发动机内部件的动能和压力巨大，一旦转子部件破裂，以现在的材料和技术，尚不具备在商业上可行的方案有可能包住破片。风扇做为转速最低的转子，在应用新材料和新的制造工艺以后，已经做到可以包容了。但核心机还不行。忘了在哪里看过了，大推力转子发动机的破片的最大能量，和刚出炮口的三十多毫米的加农炮弹相当。大家可以想一下，民用飞机上有什么地方能抗住这样的冲击。所以在分析这种故障的时候，都把破片当成是无限能量，所经之处，一率被毁。所以在飞机上的设备，一般都不会放在转子盘破片路径上的。如果不考虑操控的影响，飞机的发动机甚至都不应该对称分布（当然这是不可能的了）。另外布线设计，有专门避开这种故障的设计，避不开的地方，系统和备份系统的线路要保证不被同一块碎片击中。被击中的线束中也不能有相同系统，相同设备的线路。线束间也要有足够的间隔。能看到飞机布线图的，有时可能会不明白为什么在对重量非常敏感的飞机上，有些线路却是绕着圈走。不用问，就是防着这个的。

所以这次A380出了这样的事，还能安全的降落，并不奇怪。这次损坏的系统包括一套液压系统，前缘襟翼驱动轴和控制电路，两个油箱穿孔，后缘襟翼穿孔，同边另一发动机的部份操控电路，燃油横向输送阀的操控等等。未经证实的消息还有声称另一套液压系统也有部分损坏。这些故障加起来，这在以前是足够让飞机摔下来的。但经过当年那些血的教训，FAR都陆续在25部内有针对性地提出设计要求，让飞机在这些情况下还能安全降落。比如当年DC10的事件，虽然有四套液压系统，但不幸都通过同一个区域而同时失效，酿成惨剐。那以后FAR引入了“相同模式分析”“非相似性设计”等等，以图解决这个问题。同时工业界也发明了液压“保险丝”，以及现在最新的电液伺服系统，彻底把这种危险减到了最低限度。

但是能做到所有成员没有伤亡，还是需要一点人品的。网上有的一些这方面的照片，可以看出这个事故可能造成的影响。

鸟撞

这个案例非常的常见。前年也出过一个这样的事故，而且是双发失效。但飞行员以非凡的技术和胆识，把飞行安全地降在了水面上。这件事当然让飞行员出了名，但当事的飞机制造商也没有闲着， 在各种场合也多方面展示飞机在这件事中的表现，比如飞控的AUTO TRIM，应急电源系统，还机体的强度等等。

另外大家非常熟悉的就是飞机发动机在认证以前，都要做吞鸟试验等等。但大家可能不知道的是，在设计一架新客机的时候，所有可能被鸟撞上的地方（系统），都要做分析，确保没有系统的损失会导致飞机无法安全降落。网上也有不少这样方面的照片。特别要提到的是，鸟撞到飞机的发动机，也是有可能造成前面所说的发动机非包容性故障的。所以在这次A380事故初期，权威机构并不排除有可能是鸟撞的原因。

鸟撞对于飞机的机头，风挡，前缘襟翼，发动机，发动机吊架，尾翼前缘，起落架等等，都提出了专门的要求。这方面25部都有相应的要求。而且鸟撞也不局限于低空的起飞降落阶段，有在万米高空撞上过老鹰的。



有些案例可能过于专业，就不一一详述了，如果大家有兴趣，我回头再增加。下来本来要作一个安全方面的结论，但看到有朋友对于安全生产有担心。本来我是想在分题二，“文档”当中涉及的。考虑到这的确也是一个安全问题，还是有中国特色的安全问题，所以在下一期里，我将单独讲述安全生产方面的问题。在此也做为下一期的预告。

飞机的生产和营运安全

下面有朋友这样说道：“TG人做事情更多的是上有政策下有对策，工人素质很关键。我的意见是不一定照拌米国人的“规定” 而是用TG自己的方法，狠抓工程质量，管理人员真实反映数据。航天口就是个很好的例子。航天质量管理直得学习。”

这个说法听上去很对。不过这个建议的核心其实就是“人治”。只要是人做事，不管是TG还是米共，其实都有一个工人素质的问题。在人和机械的组合当中，最不可靠的还就是人，机械本身可比人的可靠性要高多了。要不机械这个词也不会有形容词的用法。现代航空的高安全性和高可靠性，靠的就是不断地排除或是弱化人的因素才达到的。如果是人治，天天都会有飞机摔下来。而且FAR/CS 25部，也不是什么米国人的“规定”。不是人家为了收买路钱设下的关卡。这是一部在多少血与火的教训和经验后总结出来的行业精华。要不为什么当我们的国家还是在文革的这种政治背景下，还会按照它的“规定”去设计我国的第一架民用运输机运十？它里面的这些“规定”，就是让你避免出安全事故，或是实在避免不了的情况下不死人，而实在不能不死人的情况下少死人。这样的“规定”，你为什么不去学习遵守，而要去另搞一套呢？当然你可以不照他们的办，你的飞机一样还是可以在这个“规定”管不着的地方飞。前苏联怎么样？航空工业比中国强吧？他们的飞机都不是按这个“规定”设计生产的，你更愿意坐他们的飞机吗？

航天产品基本上是实验室性质的生产方式，根本没有批量的概念和形式，当然也就没有办法在航空领域推广。航天产品对质量的要求，又是航空产品不能比的。成本和需求摆在那里。而航空工业的产品的量，是航天产品没有办法比的。想想每天在天上飞的飞机数量，你以这个数量发火箭，你生产制造得过来吗？所以中国在航天的那套经验，是不能照搬到航空上来的，虽然那种精神的确是值得航空人学习。

不同的行业，生产和运营的方式是不一样的。不一样在哪里呢？那就是，航空产品从生产到运营直到寿命的终结，它都是在被监视的。一件用在飞机的零件，除了象螺丝铆钉这种通用零件以外，其它所有在飞机上用的设备，他们都有“户口本”的，什么时间，在什么厂家，由那个工人生产的，曾在什么时间段内用在哪架飞机上，什么时候送过修，翻过新，后来又用在哪架飞机上，经手人是谁，等等 等等。全都有记录。如果一件设备被证明是摔飞机的罪魁祸首，生产维修它的公司可能会吃官司，如果查出是人为的错误，相关的人会做牢。美国西北航空公司的一架SAAB340曾经出过一次螺旋桨飞出发动机的事故，机毁人忘，有人幸存。事后查出是汉胜（当时还叫汉密尔顿）的一个工人在组装的时候醉着酒在干的活，负责检查的上司是闭着眼签的字。汉胜输了刑事还有民事官司，罚钱自不用说，公司上下几个人进了局子。那个工人被判了十四年。和汽车工业不一样，在航空业工作的人，中国的我不知道，南北美和欧洲的所有航空工业的工人工程师，签合同的时候都被告知，这个行业是有渎职罪的。如果没有按照行业的规章制度工作，出了事是有坐牢的危险的。

这个户口本是什么？就是成山成海的文档。无论是设计文档还是生产文档还是运营文档，所有的流程都是有几个不同级别，不同部门的人在相互审核前一个流程工作的质量的，一个设计，一个零件，从生成的到被批准使用，中间少的也要有三四个环节，多的甚至上十个环节。个个环节都是要人签字画押的，为的就是安全。但是话也要说回来，人的因素还是不可能完全排除的。这些安全规定，最终还是要人来实施，百分之百的安全是没有的。

有人质疑国内工人的素质。的确有太多这方面的负面新闻。MADE IN CHINA，至少到现在也不是质量的代名词。但我们也要看看这背后的因素。比如大家可能都觉得中国的工人不认真，偷工减料。但是大家也不能忽略这样一个问题，那就是生产厂家付给工人多少的工钱？他们给工人多少的时间？他们让工人用什么样的工具？他们有没有为工人的安全和健康着想？他们有没有让工人觉得在这里工作是值得的？有保障的？如果这些工人的后顾之忧都不是问题，他们凭什么生产不出来质量过硬的东西？

和那些血汗工厂不一样，哪怕是在中国，航空企业的工厂，尤其是做外贸产品的，上面说的都不是问题。而且大家可能看不到的是，现在天上飞的很大一部分的波音和空客的飞机里，有很多中国航空企业生产的零部件。从来还没有听说有飞机掉下来是和他们有关的。也没有听说过波音和空客抱怨过中国生产的零部件有什么质量差的新闻。别的不说，就说A320的应急逃生舱门吧，XX年后都是中国生产的，也没看见有谁说过因为这个不坐A320的。反到是这个位置的空间大，大家都抢着坐。这个门如果生产质量有问题，在飞行中漏气或是飞离，这在安全上是CATASTROPHIC的事故等级，不摔飞机也会有个把人被吸出去的。。。

至于运营安全，FAA和EASA都是一直在监视着全球所有航空公司的运营记录的。如果发现违规，他们罚起款来是一点也不手软的。前几个星期美国航空公司就被FAA罚了几千万，仅仅是因为他们有个别较轻微的故障事件没有上报。国内的某航空公司用了水货零件，结果出了重大事故，还好是发生在地面，保险公司还不赔，公司也被FAA警告。要不是有这样一个安全生产运营的制度在，光凭人来管理，还不知道会乱成什么样呢。

总结

安全是民用航空的头等大事，其实还有很多可以说的。但我开题的是谈中国的大飞机计划，一个分题写得太多，会影响大家看下去的耐心的，下面也有朋友抗议了，所以就此打住。写到这里的时候，澳航380事故的飞机损伤初布检查报告已经透露出来了一部分。其中比较引人注目的是左翼前大梁被击伤，好在380的机翼在损伤部分附近有分载的设计，避免了折翼的事故，这是为客安全设计背书的一个亮点。还有就是虽然发动机的控制线路，在机翼内是分两路走的，但这次分别被两块不同的碎片割断，造成一号发动机落地后无法关机。这当然有一定的偶然因素在，但这并不是重点。这两路线路中还有启动一二号发动机吊架中灭火器的启动电路，以及中断发动机供油的发动机“起火关机”控制电路，导致一二号发动机在出事后如果起火将无法扑灭。考虑到飞机当时的漏油情况，没有起火真是万幸。这也说明，空客有必要在未来更改这些电路的分布，避免在相同情况下再发生这样的故障。这起事故，将肯定影响未来飞机安全设计的着眼点和力度。这也说明即使在现代飞机已经从设计上非常安全的情况下，还是不能完全排除事故发生的可能性。

事实证明，飞机的安全设计，永远是一个进行时。因为你不知道什么时候会出一个什么样的事故，会让飞机设计师们发现自己以前知识的不足。人类的知识虽然永远是不足的，但只要能学习每一次运气或是教训换来的知识，就可以让这种不足越来越小。我也希望我国的民用客机的设计人员，能从波音，空客还有其它存在或是已经不存在公司的设计范例中学习他们的经验和教训，为国产飞机的安全历史，开始书写自己的篇章。

分题一到此结束，敬请关注下一分题：文档


谢谢过目！