从安全寿命到损伤容限——飞机结构设计的观念变化与演进

万磁王

波音707陆萨卡空难

　　1977年5月14日接近正午时，一架隶属于英国丹尼航空公司（Dan-Air Services Ltd）的波音707-321C货机，由伦敦飞往赞比亚（Zambia），在天候良好情况下将降落于陆萨卡国际机场时，距跑道头约4公里处右水平尾翼突然完全飞脱，飞机立即从约240米的高度垂直下坠，直接撞击地面并起火燃烧，机上5名机员及1名乘客丧生。波音707的设计寿命为20,000飞行架次，失事飞机1963年出厂，当时已飞行16,723架次，47,621飞行小时。

波音707的坠毁轨迹

万磁王

　　波音707-300系列水平尾翼为707-100系列水平尾翼的改进型，707-100系列水平尾翼后梁由上下盖帽（chord）和介于盖帽间的腹板（web）所组成，707-300系列水平尾翼后梁则增加了一根中盖帽。波音称之为“破损安全盖帽”（Fail-Safe Chord），设计理念是当上盖帽（或下盖帽 ）损坏时，水平尾翼的负载可改由未损坏的下盖帽（或上盖帽）与中盖帽共同承担。另因707-300系列的起飞重量较重，故其水平尾翼要比707-100系列的大，且在水平尾翼根部起约2.3米的范围内，上蒙皮加贴一片0.127厘米厚的补强钢片，下蒙皮加贴一片0.16厘米厚的补强铝片，以增强水平尾翼的扭转刚性。

陆萨卡空难波音707-321C水平尾翼结构型态及初始疲劳裂纹位置

陆萨卡空难波音707-321C水平尾翼上盖帽疲劳破坏破断面，颜色较深区域为疲劳裂纹生长区，裂纹从左边固定件孔边向右生长

　　707-100型在申请适航认证时，是以全尺寸试验证明水平尾翼“破损安全”设计，试验中故意破坏受力最大的后梁根部上接合插销（Upper Attachment Pin），水平尾翼负载由前梁完全承担并向后传递；707-300系列在申请适航认证时，仅以分析报告显示当后梁上盖帽损坏，后梁实际承载件仅余中盖帽、下盖帽、以及与两盖帽相搭接的腹板时，水平尾翼有足够的余留强度（Residual Strength）承担规定的负载。但失事后的水平尾翼疲劳试验结果显示，当前梁上盖帽完全损坏时，水平尾翼结构的静力行为表现，远较适航认证时所假设的上盖帽完全无用复杂许多。

　　失事调查结果显示：由于707-300系列水平尾翼靠近根部处结构较强，固定件传送的负载也较大，经过一段飞行时数后，此区域内固定件孔产生微小的塑性变形，降低了传送负载的能力，使得区域后方的固定件开始承受较设计预期为高的负载，失事飞机大约经过9,500飞行架次后，离翼根约36厘米处的后梁上盖帽第11颗固定件孔处开始产生疲劳裂纹，而不是707-100型的翼根接合插销处。失事发生前约75到100飞行架次，后梁上盖帽已完全损坏，此时水平尾翼负载改由中、下盖帽承受，但这两根盖帽却不足以支撑原负载。换言之，虽然设计者认为后梁具备多重负载路径（Multiple Load Path）的特性，但实际结构行为却与单一负载路径（Single Load Path）无异，而“破损安全”设计又无定期检查强制规定，加上飞行特性并无剧烈改变，故此损坏情况一直无人知晓，直到最后酿成惨剧。

　　失事后对521架同型机检查的结果显示在36架的水平尾翼后梁上发现雷同的裂纹，其中3架的裂纹位置是在与失事飞机相同的第11颗固定件，33架的裂纹位置则分布于第2到第21颗固定件，有4架的裂纹长度已到达必须立即更换后梁的程度。

　　在“破损安全”的设计理想中，飞机结构在使用寿命期间不会有安全顾虑，但陆萨卡事件显示主观的设计错误认定以及缺乏适当的定期检查规定是“破损安全”设计的最大隐忧。以陆萨卡事件为例，上盖帽构型为T形剖面，上方两侧凸缘各与水平尾前、后上蒙皮搭接，裂纹由上盖帽前角落处开始生长，初期隐藏于前上蒙皮下，但在飞机失事前约,000飞行架次期间，裂纹已长出前上蒙皮覆盖区域，如果有定期检查规定，不难在此段期间内检出裂纹，从而避免悲剧的发生。

万磁王

F-111空中解体

　　F-111起源于1960年的战术战斗机X（Tactical Fighter X）项目，当时的美国国防部试图结合空、海军的需求，为两军种发展空优战斗机。通用动力（General Dynamics）于1962年赢得研制合约，为美国空海军各设计出F-111A、F-111B。F-111A于1967年10月进入美国空军服役；F-111B则因机体太重，无法满足航母上的操作需求，被美国海军取消后续发展。

　　F-111的结构设计遵循美国空军于B-47事件后所发布的《结构疲劳验证计划细部需求》，结构研发过程涵盖了分析、发展试验、以及1960年代前后所发展的军机各种典型全尺寸试验。设计采用当时的“安全寿命”设计观念，假设结构上没有任何初始缺陷或裂纹存在，并以静力试验及四倍服役寿命16,000飞行小时的全机疲劳试验，来证明结构的安全性符合当时美国空军的需求。由于全机疲劳试验机体所施加的负载谱，要比预期使用飞行情况来得剧烈，美国空军因此判定F-111的结构疲劳寿命应可达6,000飞行小时。

F-111的可变后掠机翼可根据任务需要改变后掠角度

万磁王

　　F-111结构中最特殊的设计是可变后掠机翼，后掠角度由16度到72.5度间呈4段可调式。后掠角度固定不变的机翼在特定的飞行速度、高度、大气温度、大气密度、发动机推力……下，有最佳的性能表现，一旦其中某个因素改变，性能就会降低。针对这个缺点，从40年代迄今，广被采用的改进方式是在主翼的前、后方各增加前缘缝翼（Leading-Edge Slats）和后缘襟翼（Trailing-Edge Flaps），改进飞机于起降以及某些飞行姿态下的性能。而可变后掠机翼则更具威力，它就像是设计各种不同的机翼来配合飞行中不同的飞行情况，譬如：起降时把机翼完全向外伸展，增加机翼的升阻力，缩短起降距离；亚音速巡航时则把机翼部分后掠，减少机翼的阻力；超音速贴地飞行时则将机翼全角度后掠。

美国空军F-111机翼枢纽接头上制造过程遗留的瑕疵

　　F-111可变后掠机翼结构中最重要的零组件，是贯穿机身的机翼穿越盒（Wing Carry Through Box）和机翼枢纽接头（Wing Pivot Fitting）。由于在“安全寿命”疲劳分析的S-N曲线中，高强度材料在低应力下几乎有无穷尽的疲劳寿命，因此两零组件皆使用特别开发的D6ac高强度合金钢。

　　F-111A于1964年12月完成首飞，1967年10月第一个F-111A联队在内华达州（Nevada）内理斯（Nellis）空军基地正式成立，8个月之后的1968年3月17日，6架F-111被派驻泰国执行越南战场上的轰炸任务。经过几个架次的熟悉环境飞行后，F-111立即开始执行任务，但3月28日一架飞机未返航，二天后另一架飞机也未见踪影，第三次则是发生在4月27日。由于每一架飞机的飞行计划都是由飞行组员自行拟定，且飞行途中需保持无线电静默，因此没人知道到底发生了什么事。

　　1969年12月22日，一架机尾编号67-049仅飞行107架次的F-111A在内华达州内里斯空军基地上空进行武器抛投（Weapons Delivery）训练飞行时坠毁，当时飞机以低高度对一仿真目标发射火箭后，以3.5g±0.5g对称飞行拉起时，左翼掉落，飞机坠毁，两名飞行员当场丧生，飞机残骸中左翼枢纽接头从中间断裂成内外两块，内半块遗留于机身上，外半块与机翼相连。当时的负载因子（Load Factor，即重力加速度 ）、速度、重量都小于设计值。F-111A的设计负载因子为11.0g。

　　美国空军立即全面停飞F-111A，并展开有史以来规模最大的飞机结构疲劳失事调查。美国空军把残骸送交通用动力执行破断面检验（Metallurgical Examination），结果在机翼枢纽接头下缘发现有个制造过程遗留的半椭圆形淬火裂纹（Quench Crack），宽约2.5厘米，深度几乎穿透厚度，此初始裂纹在经过大约100飞行架次后，就生长到使接头强制破坏的临界长度。机翼枢纽接头在生料（Raw Material）、热处理、焊接到最后机制加工成形的过程中，共需执行超音波（Ultrasonic）检验、磁粒（Magnetic Particle）检验、以及X光检验，但初始裂纹垂直于结构表面，让超音波检验无法检出它的存在；接头特殊的几何形状不利于电磁场下金属粒子的移动，让初始裂纹躲过了磁粒检验；而初始裂纹的紧闭和方向则让X光检验无从发挥。

　　F-111事件清楚昭示了“安全寿命”设计观念的重大缺失：飞机在制造过程中不小心所造成的微小裂纹有可能因检验疏失而随机存在某些结构上，对飞机服役期间的结构安全带来致命威胁，但“安全寿命”的疲劳分析或是全机疲劳试验，都假设结构件上没有任何初始缺陷或裂纹存在，根本无法计入这些随机小裂纹对结构疲劳寿命造成的影响。

万磁王

损伤容限

　　F-111事件直接催生了现今的“损伤容限”（Damage Tolerance）设计观念。美国空军于1974年7月颁布军用规范《飞机损伤容限需求》（Airplane Damage Tolerance Requirements, MIL-A-83444），规定往后的军机开发都必须采用“损伤容限”设计，F-16是率先应用这种设计观念的美军飞机。

　　美国民航局于1958年改名为联邦航空署（Federal Aviation Agency），1967年再度更名为联邦航空局（Federal Aviation Administration，FAA），民航法规也改为联邦航空法规（Federal Aviation Regulations，FAR），原先一般大型客机的 CAR 4b.270《结构疲劳评估（Fatigue Evaluation of Structure）》章节，也被运输类飞机适航标准（Part 25 Airworthiness Standards: Transport Category Airplanes）中的FAR 25.571取代，但内容完全未更动，“安全寿命”和“破损安全”依然并存。但经过1977年的波音707陆萨卡事件后，联邦航空局在1978年12月1日发布FAR 25.571第45号补充文件（Amendment 45），将此章标题由《结构疲劳评估》改为《结构损伤容限与疲劳评估》（Damage-Tolerance and Fatigue Evaluation of Structure），内容中删除原本的“破损安全”条文，增加“损伤容限”设计规定：新飞机的主结构设计需采用“损伤容限”设计，某些主结构以此方式设计不切实际时，才可以采用“安全寿命”设计。

大型商用客机执行全机疲劳试验的情形

万磁王

　　联邦航空局同时发布的服务通报（Advisory Circular）AC 25.571-1中，列举“损伤容限”设计可能不切实际的两处主结构范例：起落架、发动机吊点，但在1986年3月5日发布的修订版AC 25.571-1A中，删除发动机吊点，仅余起落架结构可应用“安全寿命”设计。

　　“损伤容限”设计中明确指出︰一、在有裂纹的情况下，结构的余留强度不能低于设计限制负载；对机身而言，则是不能低于1.1倍操作舱压、气动吸力(Aerodynamic Suction)、飞行负载这三者的总和。二、在裂纹生长前述负载下所允许的最大长度前，需能检出此裂纹。

　　FAR 25.571第45号补充文件《结构损伤容限与疲劳评估》规定：在设计新飞机时，必须假设飞机结构在一出厂时，由于不同的材料、结构制作、以及制程所影响，每一主结构件上应力最大的位置，如：R角、铆钉孔……会预存一定大小的裂纹，此裂纹于飞机服役期间在负载作用下逐渐生长，飞机的设计必需在裂纹存在的情况下，机体结构仍能在一定时间内安全地容忍这些损伤。

　　一般以为“损伤容限”设计可让飞机在已知有裂纹的情况下继续安全飞行，这是个错误的观念。没有任何设计规范允许在明知情况下，让飞机主结构强度降到极限负载（Ultimate Load，1.5倍的限制负载）以下，“损伤容限”设计主要是对于在正常使用情况下，不预期会发生裂纹，但可能在服役期间因环境因素产生裂纹的主结构，提供定期检查的制订依据。飞机主结构如果有裂纹，除非经工程分析在后续飞行中的结构强度未降到极限负载以下，否则必须马上修复。

　　FAR 25.571第45号补充文件《结构损伤容限与疲劳评估》中删除的“破损安全”，被美国空军纳为它“损伤容限”的设计选项之一，但要求采用这种设计观念的结构需依据其可检查度（inspectability）而具备特定的属性（attribute）。联邦航空局和美国空军的“破损安全”在观念上很类似，但在细节上有些差异。

损伤容限裂纹缓慢生长设计下，规定预存裂纹初始长度与形状

万磁王

　　美国空军的MIL-A-83444《飞机损伤容限需求》中，规定飞机结构需采裂纹缓慢生长（Slow Crack Growth）设计或“破损安全”设计（注：在MIL-A-83444与FAA中，各有其破损安全设计的定义）。所谓的裂纹缓慢生长设计，就是结构上的初始裂纹，在一定期间内不会生长到临界值。单一负载路径结构一定得采用这种设计方式，例如战斗机的纵梁就属这种结构，其预存裂纹生长寿命需大于飞机设计服役寿命；而“破损安全”设计则分成：一、多重负载路径结构，如：战斗机的机翼和机身常以多个接头相接合，任一个接头损坏，其负载会转由其它接头分担。二、裂纹阻滞（Crack Arrest）结构，如：大型飞机的机身沿圆周方向，会在蒙皮内侧每隔 50厘米加贴一裂纹阻滞条，可阻挡沿机身方向延伸的蒙皮裂纹。

　　“损伤容限”设计必需假设飞机主结构件上，最容易产生裂纹的临界位置（Critical Area）上有一定大小的预存裂纹。就裂纹缓慢生长结构而言，在固定件孔边的初始裂纹长度与形状为：若结构厚度大于0.127厘米)，为半径0.127厘米的四分之一圆；若结构厚度小于或等于0.127厘米，则为长度0.127厘米的穿透裂纹。在非固定件孔边位置的初始裂纹长度与形状为：若结构厚度大于0.318厘米，为直径0.635厘米的半圆；若结构厚度小于或等于0.318厘米，则为长度0.635厘米的穿透裂纹。

　　就“破损安全”结构而言，初始裂纹长度与形状在固定件孔边为：如果结构厚度大于0.051厘米，为半径0.051厘米的四分之一圆；如果结构厚度小于或等于0.051厘米，则为长度0.051厘米的穿透裂纹。在非固定件孔边位置的初始裂纹长度与形状为：如果结构厚度大于0.127厘米，为直径 0.254厘米的半圆；如果结构厚度小于或等于0.127厘米，则为长度0.254厘米的穿透裂纹。

　　飞机制造出厂时，需以非破坏性检验（Non-Destructive Inspection）确定机体上没有大于上述尺寸的裂纹；飞机服役后，使用单位的地面维修人员，也要能以非破坏性检验，在这些预存裂纹的长度生长到临界长度造成飞机失事前，发现并予以修复。

　　美国联邦航空局适航规范中，无强制性的预存裂纹尺寸规定，其用意在让飞机制造商可依据不同的结构型态，弹性选择合宜的预存裂纹尺寸，譬如采干涉配合（Interference Fit）的铆钉孔，其预存裂纹就可假设为半径0.076厘米的四分之一圆。

损伤容限破损安全设计下，规定的预存裂纹初始长度与形状

　　飞机制造商对预存裂纹的非破坏性能力，需达到“百分之九十五∕百分之九十”的标准，意思是检验人员必需在百分之九十五的信心水平（Confidence Level）下，达到百分之九十的裂纹检出率（probability），也就是说：由一群体（population）中挑出100件裂纹样本进行检验时，至少能正确检出90件；而在100次程序相同的检验中，达到上述检出率的次数不少于95次。如果飞机制造商对更小的预存裂纹也满足上述条件，美国空军和联邦航空局都同意使用较规定更小的预存裂纹尺寸。

万磁王

定期检查

　　“损伤容限”设计下的飞机结构安全与否，取决于检验人员能否及时发现裂纹，故需有定期检查的密切配合。美国联邦航空局于1981年5月发布的服务通报AC 91.56中，对检查现役飞机结构的补充性检查文件（Supplement Inspection Document），提出订定指导原则。通报中表示应运用破坏力学（Fracture Mechanics）的方法，制订此项文件。

　　经由破坏力学的裂纹生长分析，可获得结构在设计负载下，预存裂纹由初始长度生长到余留强度下可容忍最大裂纹长度（即：临界长度 ）所需的时间，此结构的首次检查时机（Inspection Threshold），为裂纹由初始长度生长到检查人员可检出的最小裂纹长度所需的时间；后续的再次检查时距（Repeated Inspection Interval），至多可定为裂纹由可检出最小长度生长到临界长度的一半，以确保在裂纹长度足以造成飞安事故前，至少有二次的检出机会。检查结果如果结构无损伤，飞机可继续飞行；如果发现有损伤，则进行结构修理或更换。换言之，只要按时执行检查并根据检查结果执行适当措施，飞机就可永续飞行。

　　在美国空军规范或是美国联邦航空局政策里，都规定结构执行非破坏性检查时，检查人员的裂纹检验能力必须达到“百分之九十五∕百分之九十”的标准。美国空军在1978年颁布《飞机损伤容限需求》的同时，委请洛克希德公司（Lockheed）进行美国空军有史以来规模最大的非破坏性检验人员能力评估，涵盖范围包括21处空军基地、300位空军非破坏性检验人员。评估报告让美国空军及航天业界大吃一惊：“只有一种检验方法满足‘百分之九十五∕百分之九十’的规范需求，其它检验方法在极端勉强下，可对1.27厘米长的裂纹达到规范需求。”在现实情况下，许多飞机结构的裂纹临界长度小于1.27厘米，因此无人可接受如此的结果。

损伤容限设计下的结构检查时距订定方法

　　美国空军事后迄今仍持续对非破坏性检验训练及装备不断进行改进，但根据美国空军2007年发表的一份报告，美国空军基地内大多数非破坏性检验人员的的检查能力仍然无法达到上述的标准，导致未能检出许多飞机主结构上的损伤，衍生出飞安顾虑，因此检查结果的不确定性是目前“损伤容限”设计的隐忧，这虽可由缩短检验时距来克服，但会降低飞机的妥善率，增加检验人员的负担。

万磁王

阿罗哈事件

　　客机的机体宽大，使用时间长达数十年，结构损伤机会更多。1988年4月28日，美国阿罗哈航空公司一架波音737-200型客机在夏威夷上空7,200米的高度巡航时，机身客舱前段头等舱处由机身站位360到540间一段长约4.57米的上蒙皮突然飞脱，幸好11分钟后飞机紧急安全降落。当时机上共有95名乘员：2名驾驶、3名空服员、89名乘客和1名坐在折迭式座椅的联邦航空局飞航管制人员（Air Traffic Controller），除1名头等舱空服员在空中被强风卷走外，其余94名乘员安然无恙。

　　失事的这架飞机于1969年出厂，为生产在线第152架飞机，序号20209，安装2台普惠JT8D-9A发动机，1969年5月10日送交阿航。飞机失事时已服役19年，累积飞行时数35,496小时，89,680次飞行架次，是全球737型飞机飞行架次排名第二的飞机。排名第一的也在阿航机队中，机尾编号N73712，累积飞行架次90,051次，当时正在阿航机棚内进行维护。

　　波音737机身蒙皮内沿机身方向，每隔50厘米有一圆形隔框，沿圆周方向每隔25厘米有一加强条。由隔框和加强条所围成的小区域，称为隔框室（Frame Bay），机身蒙皮“破损安全”的设计需求是：即使在两个隔框室损坏的情况下，也不能影响机身的结构强度。

　　波音737的设计吸取了“彗星”1失事的教训，“彗星”1失事固然肇因于疲劳裂纹，但如果机身蒙皮的设计可以阻挡疲劳裂纹快速延伸，就可以防止事件的发生。波音737机身蒙皮的“破损安全”设计方式，是在机身蒙皮内沿圆周和机身方向，每间隔25厘米安贴一止裂条（Tear Strap），用以把外物损伤产生的裂纹行进走向，导引到与裂纹垂直的方向，并停止于止裂条前。它的理论依据是：止裂条提供了另一条负载路径，使负载能绕过破坏的蒙皮由止裂条传递至其它结构，降低蒙皮上裂纹尖端的应力，裂纹因而不再继续延伸。

1988年美国阿罗哈航空公司一架波音737-200型客机前机身撕裂脱落

　　波音在申请 737适航认证时，用一个断头台式的试验来展示机身的“破损安全”特性。试验时以两把38厘米长的刀子前后并排刺进加满舱压的机身两隔框室，机身蒙皮立即裂开100厘米长，两隔框室中间的止裂条断裂，但就如设计所预期的，裂纹行进立即转向圆周方向停止于止裂条前，蒙皮向外破开造成渐进式的泄压。由圆周方向刺入也有类似的现象，裂纹行进方向会转变成纵向。

　　为什么阿航的失事机机身蒙皮没有如设计所预期的“破损安全”呢？美国国家运输安全委员会（National Transportation Safety Board）事后调查发现：波音737-200设计使用寿限为75,000飞行架次，失事机已飞行近90,000飞行架次，远超过飞机的使用寿限，失事机在19年的服役生涯中，机身顶部和侧面蒙皮相互搭接处许多搭接铆钉孔边已存有腐蚀（corrosion）及疲劳所造成的小裂纹，机身舱压变化使得这些裂纹陆续生长并逐渐相互连接，最后连成一条很长的贯穿裂纹，因此裂纹未受止裂条影响在生长过程中改变方向，最终导致蒙皮撕裂并飞脱。

万磁王

散布型疲劳损伤

　　阿罗哈事件后，美国联邦航空局的FAR 25.571《结构损伤容限与疲劳评估》中，对“损伤容限”的定义修改为：“结构上因疲劳、腐蚀、意外而存在一定大小之单一或分散的损伤下，其仍能维持一段时间的余留强度。”原先假设单一结构件应力最大的位置上存在着单一损伤的假设，则被可能存在的散布型疲劳损伤（Widespread Fatigue Damage）假设所取代，美国联邦航空局定义这种损伤为：“在多处位置上同时存在的损伤，其大小及分布密度使得结构无法满足FAR 25.571（b）规定的余留强度需求。”其特征为在多处形状雷同且连续的结构细节处（如：固定件孔边），承受均匀应力周期下，同时产生小裂纹。散布疲劳损伤的种类，分成同一结构件上，多处同时发生，且会连接成一长裂纹的多重位置损伤（Multiple Sites Damages）；以及同类型的相互搭接结构件上，各相邻搭接处同时发生，且会彼此交互作用（interaction）的多重组件损伤（Multiple Element Damages）。

阿罗哈事件中典型的机身蒙皮散布型疲劳损伤