Отход АП-29 от количественных требований в части отказобезопасности в определенной мере обусловлен и спецификой винтокрылого аппарата, особенностями его летных свойств и конструкции. Способность вертолета лететь на малой скорости и висеть, садиться на режиме авторотации при отказе двигателей устраняет характерную для самолета фатальную неизбежность катастрофы при целом ряде функциональных отказов. Пока вертолет сохраняет целостность силовых деталей, способны вращаться и управляемы несущий и рулевой винты, а при полетах в отсутствие видимости сохранена индикация пространственного положения — возможны безопасная посадка и благополучное завершение полета. Поэтому сердцевина проблемы безопасности полета вертолета — это специфичные вертолетные детали: втулки несущих винтов, автоматы перекоса, лонжероны лопастей, постоянно видоизменяющиеся и по виду, и по применяемым материалом, и по используемым технологиям производства.
Подтвердить вероятность 10'8 на час полета «статистической оценкой безотказности подобных конструкций за длительный период эксплуатации» нереально, если иметь в виду, что суммарный налет всего мирового парка вертолетов оценивается цифрой порядка 10'8 часов, а применительно к конкретной конструкции речь может идти не более чем о 10'5 часов налета. Математический аппарат, как бы он ни был совершенен, не даст результатов более достоверных, чем исходные данные — для того, чтобы приготовить вкусные котлеты, недостаточно иметь хорошую мясорубку.
Требования АП-29
В АП-29 нет ни одной цифры, «нормирующей» вероятность какого-либо события. Вместе с тем, требования к отказобезопасности конструкции, в основном детерминистические, проходят красной нитью через все части этих Норм. Вот один из многих примеров такого рода требований (применительно к конструкции несущего и рулевого винтов): «Должна быть произведена оценка конструкции, включая детальный анализ отказов, чтобы установить все отказы, которые могут воспрепятствовать безопасному продолжению полета, и должны быть установлены средства, сводящие к минимуму вероятность их появления».
Вероятностные требования в системном виде появляются только в разделе F «Оборудование», однако и здесь цифровое выражение требований по вероятностям отсутствует.
Нормы НЛГВ-2 и НЛГС-3 де-факто определяют приемлемый уровень безопасности полета цифровыми значениями вероятностей отказных состояний и обусловленных отказными состояниями особых ситуаций. Это приводит к обязательности выполнения соответствующих расчетов.
Как было показано ранее, далеко не всегда можно выполнить вероятностный расчет с приемлемой достоверностью. Исключение из Норм летной годности количественных требований к надежности избавляет от обязательности расчетов. Однако в тех случаях, когда расчеты необходимы и возможны, они могут и должны производиться. Необходимость таких расчетов должен выявить качественный анализ надежности и отказобезопасности конструкции.
Именно такой анализ следует поставить во главу угла для доказательства того, что по своим летным свойствам и надежности конструкции вертолет обеспечивает требуемый уровень безопасности полета.
Качественный анализ отказобезопасности не сводится к одномоментному действию. Он начинается с самого начала проектирования при задании функций элемента. В процессе проектирования, изготовления и сертификационных испытаний проводятся различные исследования с более глубоким анализом результатов. Отметим наиболее важные моменты анализа отказобезопасности.
Система обороны тем более надежна, чем глубже она эшелонирована. Желательно иметь несколько линий обороны. В технике это называется резервированием. Качественный анализ отказобезопасности призван выявить все уязвимые звенья в цепи защитных мероприятий, обеспечивающих безопасность полета. Первая и важнейшая задача — выявить все критические части вертолета, нерезервируемые компоненты, единичный отказ которых приводит к катастрофическим последствиям.
По методике анализа и способам минимизации риска катастрофических последствий конструкцию вертолета можно «разбить» на две группы: силовая конструкция, призванная поддерживать целостность вертолета и его составных частей, к которой применимы требования разделов Си D АП-29; функциональные системы силовой установки и оборудования, к которым применимы требования разделов E и F АП-29.
Анализ первой группы конструкции позволяет составить перечень критических частей. Затем разрабатывается план работ, призванный обеспечить контролируемость критических частей в процессе проектирования, изготовления и эксплуатации и сохранить характеристики, на которых была основана сертификация, в течение всего времени эксплуатации. Планом предусматриваются все мыслимые реально выполнимые мероприятия для исключения возможности отказа (разрушения или опасной деформации) любой критической части.
При создании современной вертолетной техники редко используются конструктивные способы резервирования силовых элементов или отказобезопасные конструкции. Примером такой конструкции является торсионная подвеска лопастей. Втулки и валы несущих винтов, автоматы перекоса, поводки, тяги и другие детали управления несущими винтами, зубчатые колеса и валы редукторов остаются пока критическими. Поэтому перечень критических частей механической части вертолетной конструкции неизбежно оказывается весьма большим.
Иное дело функциональные системы и оборудование. Задача здесь — полностью исключить критические части. Опыт эксплуатации самолетов и вертолетов показывает, что частота отказов готовых изделий, применяемых в вертолетных системах и оборудовании, лежит в области вероятных значений, кроме того, отсутствуют методы, полностью исключающие возможность (подтверждающие практическую невероятность) отказов типовых изделий функциональных систем и оборудования.
Вторая задача — проверить выполнение вероятностных требований к отказным состояниям, содержащимся в п. 29.901 (с), п. 29.1309(b)(2) и других параграфах АП-29.
Методики анализа отказов механической конструкции и функциональных систем существенно различаются. Если механическая деталь имеет лишь один путь передачи нагрузок («однопутное» нагружение) — это критическая часть. Возможность отказа критической части исключается комплексом названных выше мероприятий.
Топливная, гидравлическая, электрическая, пилотажно-навигационная и другие системы построены, как правило, на принципах функциональной избыточности и резервирования. Они используют электрические, электронные, гидравлические и иные связи между подсистемами, реализующие алгоритмы переключения подсистем, предусматривают индикацию и сигнализацию отказных состояний и т. д. Если индикацию пространственного положения вертолета в условиях полета по приборам обеспечивают три авиагоризонта, не факт, что это гарантирует нужную степень безопасности полета. Достаточно посадить все приборы на одну шину электропитания — шина становится критической частью, причем отказ шины вряд ли можно отнести к категории практически невероятных событий.
Отказобезопасность систем подтверждается несколькими видами анализа, основным из которых является рассмотрение отказных состояний методом «сверху вниз». Такой анализ предусматривает ранжирование выполняемых системой функций по степени их критичности, установление возможных причин частичной или полной потери функций, проверку наличия индикации и сигнализации отказов, оценку правильности и достаточности указаний РЛЭ экипажу, установление (с учетом предыдущего) возможных последствий отказного состояния, установление категорий вероятности и степени опасности возникающих в полете ситуаций. При необходимости результаты анализа варьируются в зависимости от этапа полета и наличия определенных внешних условий (полеты в условиях обледенения, в горах, над водной поверхностью и т. д.).
Анализ методом «сверху вниз» дополняется анализом «снизу вверх», когда рассматривается каждый элемент системы, все возможные виды его отказов, последствия и прочее. Такой вид анализа позволяет не пропустить «общие» точки, отказ которых приводит к потере работоспособности одновременно основной и резервной частей, а также так называемые «латентные», или «спящие», отказы. «Спящий» отказ не проявляется ни в полете, ни при оперативном техническом обслуживании. Выявить недопустимую погрешность показаний приборов и датчиков часто можно только с помощью специальных стендов при проведении регламентных работ. В межрегламентный период погрешности накапливаются, вероятность отказа со временем растет. Если по результатам анализа отказобезопасности отказ таких приборов или датчиков может привести к опасным последствиям, то разумно расчетом обосновать периодичность регламентных работ, при которых вероятность отказа этих компонентов «обнуляется».