应急放油综合控制系统的制作方法

1.本发明涉及航空机载系统领域，具体涉及空中飞机放油控制领域。


背景技术：

2.应急放油系统设置的目的是保证在空中紧急情况下能够实现快速空中放油，确保即使在飞机起飞时就出现故障等极端情况下，飞机能具有足够的安全水平返场着陆。但需对放油量进行密切监测，若过度放油会影响后续飞行。
3.目前主流机型的放油控制方法有两种，一种是采用手动/自动中止空中应急放油控制系统，另一种方法只针对专门设置应急放油泵用于应急放油的机型。上述两个常见方法均存在不足之处：
4.(1)两者均未脱离燃油测量管理系统，均使用燃油测量管理系统提供的燃油量或低油位信号，属于单链路控制模式，过于依赖燃油测量管理系统，无法在燃油测量系统出现故障情况下仍能实现安全、可靠和有效的应急放油；
5.(2)应急放油切断阀多数采用单电机作动器切断阀，容易造成阀的共模失效；
6.(3)上述需要求a级系统研制保障等级(development assurance level，dal)，研制系统成本相对较高；
7.(4)通过控制应急放油泵安装高度会额外增加应急放油泵及其安装、供电控制等相关附属设备，增加飞机重量，而且应急放油泵的安装必须选择一定高度，对飞机布置难度加大，增加了飞机设计匹配难度。


技术实现要素：

8.本发明的一个目的是提供一种应急放油综合控制系统，能够有效避免过度放油，保证飞行安全。
9.为实现上述目的的应急放油综合控制系统包括第一切断组件、第二切断组件、独立应急放油控制系统和燃油测量管理系统。
10.第一切断组件包括第一电机和第一切断阀，所述第一切断阀用于切断应急放油，并由所述第一电机独立作动；第二切断组件包括第二电机和第二切断阀，所述第二切断阀也用于切断应急放油，并由所述第二电机独立作动；独立应急放油控制系统包括第一油位传感器组件和应急控制模块，所述应急控制模块被配置成，在接收所述第一油位传感器组件的信号控制后所述第一切断组件的开启，以实现应急放油的切断；所述燃油测量管理系统包括燃油测量管理模块、第二油位传感器组件和油量传感器组件，所述燃油测量管理模块被配置成，在接受所述油量传感器组件传递的信号后控制所述第二切断组件的开启，以实现应急放油的切断，在接受所述第二油位传感器组件传递的信号后同时控制所述第一切断组件和所述第二切断组件的开启。
11.在一个或多个实施例中，所述第一油位传感器组件和所述第二油位传感器组件、所述第一切断组件和所述第二切断组件均采用非相似设计。
12.在一个或多个实施例中，所述第一油位传感器组件在油箱内的油位低于第一阈值时发出第一信号，所述第二油位传感器组件在油箱内的油位低于第二阈值时发出第二信号，所述第一阈值大于所述第二阈值，所述油量传感器组件在油箱内的油量低于第三阈值时发出第三信号，所述第三阈值对应的油箱油位大于所述第一阈值和所述第二阈值。
13.在一个或多个实施例中，所述应急控制模块包括第一控制单元和第一开关组件，所述第一控制单元被配置成在接收所述第一油位传感器组件传递的信号后开启所述第一开关组件，以使所述第一电机控制切断所述第一切断阀，进而开启所述第一切断阀以切断所述应急放油。
14.在一个或多个实施例中，所述燃油测量管理模块包括第二控制单元和第二开关组件，所述第二控制单元被配置成，在接收来自所述油量传感器组件传递的信号后开启所述第二开关组件以使所述第二电机控制切断所述第二切断阀，在接收来自所述第二油位传感器组件传递的信号后开启所述第二开关组件以使所述第一电机和所述第二电机分别控制所述第一切断阀和所述第二切断阀同时切断所述第一切断阀和所述第二切断阀。
15.在一个或多个实施例中，所述燃油测量管理模块包括第二控制单元和第二开关组件，所述第二控制单元被配置成，在接收来自所述油量传感器组件传递的信号后开启所述第二开关组件以使所述第二电机通电控制切断所述第二切断阀，在接收来自所述第二油位传感器组件传递的信号后开启所述第二开关组件以使所述第二电机控制所述第二切断阀实现切断，还被配置成，在接收来自所述第二油位传感器组件传递的信号的同时向所述应急控制模块交换数据，以通过所述应急控制模块驱动所述第一电机实现所述第一切断阀的切断。
16.在一个或多个实施例中，在该系统的第一模式中，在所述燃油测量管理系统失效后，所述独立应急放油控制系统通过第一油位传感器组件独立感知油箱内油位，并在低于所述第一阈值时通过所述应急控制模块指令所述第一切断组件开启，以切断应急放油。
17.在一个或多个实施例中，在该系统的第二模式中，在所述独立应急放油控制系统失效后，所述燃油测量管理系统通过油量传感器组件感知油箱内油量，并在低于所述第三阈值时通过燃油测量管理模块指令第二切断组件开启，以切断放油；
18.在所述第二切断组件无法接受所述燃油测量管理模块指令时，通过所述第二油位传感器组件感知油箱内油位，并在低于第二阈值时通过燃油测量管理模块指令第二切断组件实现切断，还通过所述燃油测量管理模块实现所述第一切断组件的同时切断。
19.在一个或多个实施例中，在该系统的第三模式中，在所述第二油位传感器组件失效后，该系统通过所述油量传感器组件检测油箱内油量，并在低于所述第三阈值时通过燃油测量管理模块指令第二切断组件切断应急放油；
20.在所述第二切断组件无法接受所述燃油测量管理模块的指令时，该系统通过第一油位传感器组件测量油箱内油位，并在低于所述第一阈值时通过应急控制模块指令第一切断组件切断应急放油。
21.在一个或多个实施例中，在该系统的第四模式中，在所述油量传感器组件失效后，该系统通过所述第一油位传感器组件检测油箱内油位，并在低于所述第一阈值时通过应急控制模块指令第一切断组件切断应急放油，
22.在所述第一切断组件无法接收所述应急控制模块的传递指令时，该系统通过第二
油位传感器组件感知油箱内油位，并在低于所述第二阈值时通过燃油测量管理模块指令第一切断组件实现切断，还通过所述燃油测量管理模块实现所述第二切断组件的同时切断。
23.在一个或多个实施例中，在该系统的第五模式中，在所述油量传感器组件和所述第一油位传感器组件均失效后，该系统通过所述第二油位传感器组件感知油箱内油位，并在低于所述第二阈值时通过燃油测量管理模块指令第一切断组件实现切断，还通过所述燃油测量管理模块实现所述第二切断组件的同时切断。
24.在一个或多个实施例中，在该系统的第六模式中，在所述第二油位传感器组件和所述第一油位传感器组件均失效后，该系统通过所述油量传感器组件感知油箱内油位，并在低于所述第三阈值时通过燃油测量管理模块指令第二切断组件以切断应急放油。
25.在一个或多个实施例中，在该系统的第七模式中，在所述第二油位传感器组件、所述第一油位传感器组件和所述油量传感器组件均正常时，该系统通过所述油量传感器组件感知油箱内油量，并在低于所述第三阈值时通过燃油测量管理模块指令第二切断组件开启，以切断放油；
26.在所述第二切断组件无法接受所述燃油测量管理模块的指令时，该系统通过第一油位传感器组件独立感知油箱内油位，并在低于所述第一阈值时通过应急控制模块指令所述第一切断组件开启。
27.在一个或多个实施例中，该应急放油综合控制系统还包括前置自检处理单元，所述前置自检处理单元内置自检程序，该程序用于在放油前检测油箱内油量。
28.在一个或多个实施例中，在所述前置自检处理单元的第一自检程序中，该系统通过所述第一油位传感器组件感知油箱内油位，并在低于第四阈值时通过应急控制模块控制所述第一切断组件处于锁定切断状态。
29.在一个或多个实施例中，在所述前置自检处理单元的第二自检程序中，该系统通过所述第二油位传感器组件感知油箱内油位，并在低于第四阈值时通过燃油测量管理模块控制所述第一切断组件处于锁定切断状态。
30.在一个或多个实施例中，所述燃油测量管理模块还被配置成，在接受所述油量传感器组件传递的信号后还能控制所述第一切断组件的开启，并在所述前置自检处理单元的第三自检程序中，该系统通过所述油量传感器组件感知油箱内油量，并在低于第四阈值所对应的油量时通过燃油测量管理模块控制所述第一切断组件处于锁定切断状态。
31.在一个或多个实施例中，在所述前置自检处理单元的第四自检程序中，该系统通过所述第二油位传感器组件感知油箱内油位，并在低于第四阈值时通过燃油测量管理模块和所述应急控制模块之间的数据交换，从而凭借所述应急控制模块控制所述第一切断组件处于锁定切断状态。
32.在一个或多个实施例中，在所述前置自检处理单元的第五自检程序中，该系统通过所述油量传感器组件感知油箱内油量，并在低于第四阈值所对应的油量时通过燃油测量管理模块和所述应急控制模块之间的数据交换，从而凭借所述应急控制模块控制所述第一切断组件处于锁定切断状态。
33.在一个或多个实施例中，该系统能够控制飞机各油箱上的多个应急放油通道的切断。
34.上述应急放油综合控制系统通过设置两个彼此相对独立的燃油测量管理系统和
独立应急放油控制系统，形成了双链路控制结构，不需要依赖燃油测量管理系统内的油位测量数据和/或油量测量数据，而凭借独立的第一油位传感器组件单独测量油箱内的油位，解决了主流机型依赖于燃油测量管理系统而导致的单链路控制模式带来的安全问题，且第一切断组件和第二切断组件独立运行，由独立电机独立控制切断阀，双余度实现了应急放油最低量的监控，实现了在燃油测量系统出现故障情况下高完整性、高可靠性的应急放油控制，避免共模失效的发生。
附图说明
35.本发明的上述的以及其他的特征、性质和优势将通过下面结合附图和实施例的描述而变得更加明显，其中：
36.图1是应急放油综合控制系统的控制逻辑的一个实施例的示意图。
37.图2是应急放油综合控制系统的控制逻辑的另一个实施例的示意图。
38.图3是应急放油综合控制系统的管路架构示意图。
39.图4是应急放油综合控制系统的一个实施例的简化图。
40.图5是应急放油综合控制方法的流程图。
41.图6是应急放油综合控制系统的自检程序流程图。
42.符号标记说明
43.15 供油管路
44.16 应急放油口
45.17 应急放油管路
46.100 燃油测量管理系统
47.102 第二油位传感器组件
48.103 油量传感器组件
49.105 第二控制单元
50.111 远程数据集中器
51.112 飞机航电网络
52.113 驾驶舱显示屏
53.114 驾驶舱顶控板
54.160 燃油测量管理模块
55.200 独立应急放油控制系统
56.201 第一油位传感器组件
57.205 第一控制单元
58.260 应急控制模块
59.310 第一开关组件
60.320 第二开关组件
61.400 第二切断组件
62.402 第二电机
63.450 第二切断阀
64.500 第一切断组件
65.501 第一电机
66.550 第一切断阀
具体实施方式
67.下面结合具体实施例和附图对本发明作进一步说明，在以下的描述中阐述了更多的细节以便于充分理解本发明，但是本发明显然能够以多种不同于此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下根据实际应用情况作类似推广、演绎，因此不应以此具体实施例的内容限制本发明的保护范围。需要注意的是，这些以及后续其他的附图均仅作为示例，其并非是按照等比例的条件绘制的，并且不应该以此作为对本发明实际要求的保护范围构成限制。
68.目前民用飞机应急放油系统的设计需求主要来源于两方面：爬升梯度要求和最大着陆重量要求。
69.根据爬升梯度要求，按适航规章要求ccar25.1001，飞机在最大起飞重量减去15分钟发动机耗油后的重量情况下必须满足规章要求25.119和25.121(d)的爬升梯度要求。否则，必须设置应急放油系统，并在15分钟内完成放油。此时总飞行时间为30分钟，包括15分钟放油时间和15分钟典型返场复飞时间，使飞机重量降低到可以满足25.119和25.121(d)的爬升梯度要求的重量以下。
70.根据最大着陆重量要求，即使飞机可以满足25.119和25.121(d)的爬升梯度要求，但如不能满足最大着陆重量的要求，比如不能保证不超出合格审定批准的机轮速度、刹车能量、跑到制动距离等的限制，也需要飞机具有应急放油功能，此时不要求放油时间限制在15分钟之内。
71.典型飞机的放油时间为60分钟。目前在b787、a330、a350双发宽体飞机等主流机型应急放油系统架构中，一般使用机翼供油泵和中央翼超控泵进行应急放油，采用切断阀实现与加油系统和供油系统的隔离，并共用部分加油管路作为应急放油管路。此外，某些机型若对放油率或者放油时间有要求，且单纯机翼供油泵或者中央翼超控泵能力不足时，会额外增加专门的应急放油泵进行应急放油，如b777双发宽体飞机。
72.目前主流机型的放油控制方法有两种。
73.一种是采用手动/自动中止空中应急放油控制系统，比如b777、b787、a330、a350双发宽体飞机。这种方法在应急放油时，首先会选择应急放油量，默认是最大着陆重量对应的燃油量，然后开启应急放油，当剩余燃油量达到目标油量时自动中止应急放油；若自动切断未正常触发，可手动中止应急放油功能。
74.另一种方法只针对专门设置应急放油泵用于应急放油的机型，比如b777双发宽体飞机。为保证安全即不过度放油，在到达某个预定的安全最低油量时产生低油位信号，应急放油泵的进口就露出燃油油面，中止应急放油功能。
75.上述方法均存在不足之处。为防止过度放油，均设置手动放油切断功能，但该功能完全依赖于飞行机组的处理水平和能力，在应急放油时需要机组来实时关注和处置，然而一般需要起动应急放油时，飞机都是出现非正常的异常紧急情况，此时飞行机组精力非常宝贵，而且容易因人为原因比如机组疏漏带来安全隐患。
76.为防止过度放油，应急放油系统增加专用应急放油泵构型，但是这种额外增加应
急放油泵及其安装、供电控制等相关附属设备合计至少约15kg，因此并不是主流机型设计方向。而且应急放油泵的安装必须选择一定高度，对飞机布置难度加大，并与飞机设计时需保证外翼储油量足够大、可满足应急放油后余量的安全燃油量的设计标准相矛盾，增加了飞机设计匹配难度，且还存在单一失效导致不能应急放油的可能，例如单侧机翼应急放油泵出现故障，将无法执行该侧机翼应急放油。
77.为解决上述不足之处，本公开提供一种应急放油综合控制系统，该系统凭借两条相对独立控制链路实现对应急放油的综合控制，且能够应对多种紧急失效情况，从而提高控制的安全性和全面性。
78.结合图1和图2所示，该应急放油综合控制系统包括燃油测量管理系统100、独立应急放油控制系统200、第一切断组件500和第二切断组件400。
79.第一切断组件500包括第一电机501和第一切断阀550，第一切断阀550用于切断处于应急放油管路17上的应急放油。具体的，结合图2所示，应急放油口16用于实现应急放油管路17上的放油，第一切断阀550用于切断应急放油管路，阻止供油管路15中的燃油从应急放油口16继续放油。第一切断阀550由第一电机501独立作动。
80.第二切断组件400包括第二电机402和第二切断阀450，第二切断阀450也用于切断应急放油，并由第二电机402独立作动。
81.也即第一切断组件500和第二切断组件400彼此独立运行，形成双备份切断阀组，解决了主流机型单电机驱动单阀或者双电机驱动单阀存在的共模失效和单点失效问题，保障控制的安全性。
82.切断阀可选择插板阀，闸板的运动方向与流体方向相垂直，通过电机驱动实现切断阀的全开和全关。也可以选择球阀、套筒阀、蝶形阀等结构，实现流道中油路的切断。
83.本领域技术人员可以理解到，能够实现切断作用的阀体均可应用于本公开。
84.在一个实施例中，第一切断组件500和第二切断组件400均采用失效安全设计。在阀门失效设计下，断电时阀门将自动切断，从而在阀体出现故障时保持放油油路在切断状态。
85.优选的，阀体均带开关状态信号反馈功能，从而能够及时向独立应急放油控制系统200和燃油测量管理系统100反馈状态。
86.独立应急放油控制系统200包括第一油位传感器组件201和应急控制模块260，应急控制模块260被配置成，在接收第一油位传感器组件201的信号控制后第一切断组件500的开启，以实现应急放油的切断。
87.燃油测量管理系统100包括燃油测量管理模块160、第二油位传感器组件102和油量传感器组件103，燃油测量管理模块160被配置成，在接受油量传感器组件103传递的信号后控制第二切断组件400的开启，在接受第二油位传感器组件102传递的信号后同时控制第一切断组件500和第二切断组件400的开启，以实现应急放油的切断。
88.油量传感器组件103通过测量密度、体积、质量等特性获得油量数据，油位传感器通过测量油箱内液位获得油位数据。
89.在一个实施例中，为进一步提高独立应急放油控制系统200相对于燃油测量管理系统100的独立性，第一油位传感器组件201和第二油位传感器组件102用于检测油位的物理特性不同；第一切断组件500和第二切断组件400用于实现切断的物理特性不同。也即第
一油位传感器组件201和第二油位传感器组件102、第一切断组件500和第二切断组件400均采用非相似余度原理设计。
90.航空工业出版社于2000年出版的《中国航空百科词典》第383页记载了非相似余度(non-similar redundancy)的概念，其指利用功能特性相似或相关而物理特性不同的部件构成部件或系统，物理特性包括物理结构、物理原理等参数。因此，将第一油位传感器组件201和第二油位传感器组件102用于检测油位的物理特性设置成不同，即采用了非相似余度设计原理，例如均用于测量油位的两油位传感器组件采用不同设计架构、不同物理参数、不同衡量基准等不同原理，从而能够降低共态故障概率，提高硬件的可靠性。第一切断组件500和第二切断组件400用于实现切断的机械原理也采用非相似余度原理设计，以实现彼此独立性。
91.例如，在一个实施例中，第一油位传感器组件201用于凭借第一物理参数测量油位，第二油位传感器组件102用于凭借第二物理参数测量油位，用于测量油位的第一物理参数与第二物理参数不同；或第二油位传感器组件102与第一油位传感器组件201采用同一物理参数的不同测量物理结。，因此独立应急放油控制系统200不再依靠燃油测量管理系统100获得的油位数据。
92.例如，其中之一采用电容式油位传感器，利用正负探极间充入液体介质形成的电容随着液位呈线性变化，将电容的变化量，即液位的变化量转换成标准的电信号输出，以通过电容变化获得液位数据；其中另一采用浮球式传感器，利用液体对磁性浮球的浮力以及浮球液位计干簧的磁性吸合，将液面位置变化成电信号，实现液位数据的获取。
93.第二油位传感器组件102与第一油位传感器组件201包括但不限于选择采用上述两种原理的油位传感器，其他诸如磁浮式油位传感器、磁伸缩式油位传感器等其他种类的油位式传感器均可应用于本公开，但应保证二者采取不同物理特性，以实现彼此独立性。
94.由上所述，通过采用不同种类的第二油位传感器组件102与第一油位传感器组件201，保证对油位的识别准确性，在其中之一失效时，另一油位传感器作为备用仍能对油位数据进行采集，从而进一步实现了完全独立的双链路控制系统，避免出现因单链路逻辑模型而导致的共模故障，实现对应急放油系统安全可靠的控制。
95.在一个实施例中，第一油位传感器组件201在油箱内的油位低于第一阈值时发出第一信号，第二油位传感器组件102在油箱内的油位低于第二阈值时发出第二信号，第一阈值大于等于第二阈值。
96.油量传感器组件103在油箱内的油量低于第三阈值时发出第三信号，第三阈值对应的油箱油位大于等于第一阈值和第二阈值。
97.例如，当油箱内油量为akg时，油量传感器组件103先感知并发出信号；当油箱内油量进一步下降至bkg时，第一油位传感器组件201能够感知相应液位并发出信号；当油箱内油量继续进一步下降至ckg时，第二油位传感器组件102能够感知相应液位并发出信号，其中，a≥b≥c。
98.当a＝b＝c时，可以通过设置传感器的优先触发次序实现对油量的多重检测。
99.继续参照图1和图2，在一个实施例中，应急控制模块260包括第一控制单元205和第一开关组件310，第一控制单元205被配置成在接收第一油位传感器组件201传递的信号后开启第一开关组件310，以使第一电机501控制切断第一切断阀550，以切断应急放油。
100.例如，第一开关组件310可选择包括继电器在内的电气电路。通过第一控制单元205控制向第一开关组件310的输入量，调整第一开关组件310的输出形态，以使触点常闭，从而实现对第一电机501的供电，并进一步促进第一切断阀550开启，以切断油路。又如，第一电机501也可通过断电实现第一切断阀550的切断。
101.在一个实施例中，燃油测量管理模块160包括第二控制单元105和第二开关组件320，第二控制单元105被配置成：在接收来自油量传感器组件103传递的信号后开启第二开关组件320以使第二电机402控制切断第二切断阀450；在接收来自第二油位传感器组件102传递的信号后开启第二开关组件320以使第一电机501和第二电机402同时切断第一切断阀550和第二切断阀450。
102.在另一实施例中，燃油测量管理模块160包括第二控制单元105和第二开关组件320，第二控制单元105被配置成，在接收来自油量传感器组件103传递的信号后开启第二开关组件320以使第二电机402通电控制切断第二切断阀450，在接收来自第二油位传感器组件102传递的信号后开启第二开关组件320以使第一电机501控制切断第二切断阀450，还被配置成，在接收来自第二油位传感器组件102传递的信号的同时向应急控制模块260交换数据，以通过应急控制模块260切断第一切断阀550。
103.也即，燃油测量管理模块160接受来自第二油位传感器组件102和油量传感器组件103的两种信号，但对于两种信号的处理路径不同。
104.具体的实现方式结合图1和图2理解，实线表示受第二油位传感器组件102所影响的处理路径，虚线表示受油量传感器组件103所影响的处理路径，点划线表示受第一油位传感器组件201所影响的处理路径。
105.第二油位传感器组件102向第二控制单元105传递信号后，可以通过图1所示的由第二控制单元105控制第二开关组件320直接实现对第一切断组件500和第二切断组件400的开启，也可以第二控制单元105接受信号后将该信号通过图2所示的飞机航电网络112传递至应急控制模块260，因此通过应急控制模块260控制第一切断组件500，并通过燃油测量管理模块160控制第二切断组件400，实现对第一切断组件500和第二切断组件400的同时控制。
106.在图1所示的示例中，第二开关组件320可选择包括具有多触点的继电器实现上述操作。继电器可选择诸如电磁式继电器、电子式继电器、感应式继电器等继电器或任何能够实现控制开关功能的控制模块。通过调整向第二开关组件320输入量，诸如电压、电流等输入量的时间、频率等，调整第二开关组件320的输出形态，并通过设置多个触点，实现对多条电路的开关，从而实现图1中所示的对第一电机501和第二电机402的同时控制。
107.优选的，第一开关组件310和第二开关组件320采用非相似余度原理，保证开启第一切断组件500和第二切断组件400的独立性，以避免共模失效。
108.一般而言，由于油量传感器组件103、第一油位传感器组件201和第二油位传感器组件102发出信号时，油箱内的油量依次减少。也即对于同一油箱内的油量含量，油量传感器组件103、第一油位传感器组件201和第二油位传感器组件102所测得的油量依次降低。
109.因此，当第二油位传感器组件102激发信号时，一般表明油箱油量处于较低水平，有较大风险，因此作为最后一道防线，在第二油位传感器组件102发出低油位信号后，将同时控制第二切断阀450和第一切断阀550同时处于切断状态，通过操作两道阀门操作以确保
停止放油。
110.继续参照图3所示，该系统能够控制飞机各油箱上的多个应急放油通道的切断。如图3的左右两侧代表飞机左右两翼的油箱，两个独立应急放油控制系统200均分别与飞机左右两翼的油箱连接，从而实现对各应急放油通道的控制。
111.位于油箱内的油量传感器组件103和第二油位传感器组件102均将数据传递至远程数据集中器111，远程数据集中器111用于实现各数据的收集和中转。
112.第一油位传感器组件201独立测量油位后，在低于第一阈值的情况下第一信号传递至第一控制单元205；第二油位传感器组件102在油箱内的油位低于第二阈值时发出第二信号并传递至第二控制单元105；油量传感器组件103在油箱内的油量低于第三阈值时发出第三信号并传递至第二控制单元105，实现油箱内数据的双链路传递。
113.此外，第二控制单元105和第一控制单元205还与飞机航电网络112连接，飞机航电网络112用于实现各部件网络数据的彼此连通交换。驾驶舱显示屏113用于为驾驶员展示多种数据。驾驶员还通过驾驶舱顶控板114上的按钮开关实现对应急放油的操作。
114.容易理解，应急放油综合控制系统适用于飞机上的各应急放油通道，能够实现对应急放油架构的整体控制，保证在燃油测量系统出现故障情况下能实现各放油通道安全、可靠和有效的应急放油。
115.下面结合多个实施例对该系统进行进一步介绍。
116.在该系统的第一模式中，在燃油测量管理系统100失效后，独立应急放油控制系统200通过第一油位传感器组件201独立感知油箱内油位，并在低于第一阈值时通过应急控制模块260指令第一切断组件500开启，以切断应急放油。
117.即，当独立应急放油控制系统200正常，而燃油测量管理系统100的第二油位传感器组件102和油量传感器组件103均发生故障，此时仅由第一油位传感器组件201感知油箱内的油位。当第一油位传感器组件201感测到油位数值后向第一控制单元205发出信号，第一控制单元205接收信号后控制第一切断组件500开启，通过第一切断阀550的切断阻止进一步放油。
118.在该系统的第二模式中，在独立应急放油控制系统200失效后，燃油测量管理系统100通过油量传感器组件103感知油箱内油量，并在低于第三阈值时通过燃油测量管理模块160指令第二切断组件400开启，以切断放油；在第二切断组件400无法接受燃油测量管理模块160指令时，通过第二油位传感器组件102感知油箱内油位，并在低于第二阈值时通过燃油测量管理模块160指令第二切断组件400切断油路，并通过燃油测量管理模块160控制实现第一切断组件500的同时切断。
119.即，当独立应急放油控制系统200故障，而燃油测量管理系统100的各个环节均处于正常时，此时第二油位传感器组件102和油量传感器组件103均正常。由于油量传感器组件103先感知到油箱内的油量，因此油量传感器组件103向第二控制单元105传递信号，第二控制单元105感知油量信号后控制第二切断组件400开启，使第二切断阀450处于关闭状态，阻止放油。
120.成功关闭第二切断阀450后，油箱停止放油，第二油位传感器组件201不会被触发。
121.若因第二电机402出现故障或者线路故障，导致第二切断组件400无法接受燃油测量管理模块160指令时，无法实现第二切断阀450的阻断。若因第二电机402故障，则第二油
位传感器组件102感知油箱内的低油位，并将信号传递给第二控制单元105，第二控制单元105控制第一切断组件500的开启，仅使第一切断阀550处于关闭状态，阻止放油。
122.若因线路故障等其他原因无法实现第二切断阀450的阻断，例如第二切断组件400无法接受来自燃油测量管理模块160的指令，则燃油测量管理模块160能够直接指令第二控制组件400实现切断，且燃油测量管理模块160还可以实现第一切断组件500的同时切断，实现方式可以通过图1所示的示例，也可以通过图2所示的示例，这里不再赘述。
123.在该系统的第三模式中，在第二油位传感器组件102失效后，该系统通过油量传感器组件103检测油箱内油量，并在低于第三阈值时通过燃油测量管理模块160指令第二切断组件400切断应急放油通道；在第二切断组件400无法接受燃油测量管理模块160指令时，该系统通过第一油位传感器组件201测量油箱内油位，并在低于第一阈值时通过应急控制模块260指令第一切断组件500切断应急放油。
124.即，燃油测量管理系统100中的第二油位传感器组件102失效，而油量传感器组件103正常。此时油量传感器组件103先于第一油位传感器组件201发出信号。当油量传感器组件103感测到油量数值后向第二控制单元105发出信号，第二控制单元105接收信号后控制第二切断组件400开启，通过第二切断阀450的切断阻止进一步放油。
125.成功关闭第二切断阀450后，油箱停止放油，第一油位传感器组件201不会被触发。
126.但当第二切断组件400的第二电机402发生故障失效或者传递线路故障，导致第二切断组件400无法接受燃油测量管理模块160指令时，无法实现第二切断阀450的阻断，则继续通过第一油位传感器组件201感知油箱内的低油位，并将信号传递给第一控制单元205，第一控制单元205控制第一切断组件500开启，使第一切断阀550处于关闭状态，阻止放油。
127.在该系统的第四模式中，在油量传感器组件103失效后，该系统通过第一油位传感器组件201检测油箱内油位，并在低于第一阈值时通过应急控制模块260指令第一切断组件500切断应急放油通道，在第一切断组件500无法接收应急控制模块260的传递指令时，该系统通过第二油位传感器组件102感知油箱内油位，并在低于第二阈值时通过燃油测量管理模块160指令第二切断组件400切断油路，并通过燃油测量管理模块160控制实现第一切断组件500的同时切断。
128.即，燃油测量管理系统100中的油量传感器组件103失效，而第二油位传感器组件102正常。此时由第一油位传感器组件201先于第二油位传感器组件102感测到油位。当第一油位传感器组件201感测到油位数值后向第一控制单元205发出信号，第一控制单元205接收信号后控制第一切断组件500开启，通过第一切断阀550的切断阻止进一步放油。
129.成功关闭第一切断阀550后，油箱停止放油，第二油位传感器组件102不会被触发。
130.但出现其他故障，如线路中断，第一切断组件500无法接受应急控制模块260的指令时，便无法实现第一切断阀550的阻断。则系统继续通过第二油位传感器组件102感知油箱内的低油位，并将信号传递给第二控制单元105。油测量管理模块160通过图1或图2所示的示例同时实现第一切断阀550和第二切断阀400的同时切断，这里不再赘述阻止放油。
131.在该系统的第五模式中，在油量传感器组件103和第一油位传感器组件201均失效后，该系统通过第二油位传感器组件102感知油箱内油位，并在低于第二阈值时通过燃油测量管理模块160指令第二切断组件400切断油路，并通过燃油测量管理模块160实现第一切断组件500的同时切断。
132.即，当独立应急放油控制系统200发生故障，燃油测量管理系统100的油量传感器组件103发生故障，但第二油位传感器组件102正常时，仅由第二油位传感器组件102感知油箱内的油量。
133.当第二油位传感器组件102感测到油量数值后向第二控制单元105发出信号，实现第二切断组件400和第一切断组件500的同时切断，以阻止进一步放油。
134.在该系统的第六模式中，在第二油位传感器组件102和第一油位传感器组件201均失效后，该系统通过油量传感器组件103感知油箱内油位，并在低于第三阈值时通过燃油测量管理模块160指令第二切断组件400切断应急放油通道。
135.即，当独立应急放油控制系统200发生故障，燃油测量管理系统100的第二油位传感器组件102发生故障，但油量传感器组件103正常时，仅由油量传感器组件103感知油箱内的油量。
136.当油量传感器组件103感测到油量数值低于第三阈值后向第二控制单元105发出信号，第二控制单元105接收信号后控制第二切断组件400开启，通过第二切断阀450的切断，以阻止进一步放油。
137.在该系统的第七模式中，在第二油位传感器组件102、第一油位传感器组件201和油量传感器组件103均正常时，该系统通过油量传感器组件103感知油箱内油量，并在低于第三阈值时通过燃油测量管理模块160指令第二切断组件400切断所述应急放油通道；在第二切断组件400无法接受燃油测量管理模块160的指令时，该系统通过第一油位传感器组件201独立感知油箱内油位，并在低于第一阈值时通过应急控制模块260指令第一切断组件500切断所述应急放油通道。
138.即，当燃油测量管理系统100和独立应急放油控制系统200均正常时，此时第一油位传感器组件201、第二油位传感器组件102和油量传感器组件103均正常。由于油量传感器组件103先感知到油箱内的油量，因此油量传感器组件103向第二控制单元105传递信号，第二控制单元105感知油量信号后控制第二切断组件400开启，使第二切断阀450处于切断状态，阻止放油。
139.成功关闭第二切断阀450后，油箱停止放油，第一油位传感器组件101和第二油位传感器组件202不会被触发。
140.但是若因出现故障而导致无法实现第二切断阀450的阻断，则第一油位传感器组件201感知油箱内油位，并在低于第一阈值将信号传递给第一控制单元205，第一控制单元205控制第一切断组件500的开启，使第一切断阀550处于切断状态，阻止放油。
141.在一个实施例中，该应急放油综合控制系统还包括前置自检处理单元，前置自检处理单元内置自检程序，用于在放油前检测油箱内油量。在前置自检程序中检测到有足够油量能够放油时，正常使用应急放油综合控制系统；但在前置自检程序中检测到油量不足以进行正常放油时，需要将第一切断组件500设置成锁定切断状态，始终保持对放油通道的切断，避免放油。
142.下述列举了五种自检程序，实际操作中使用任一一种均能够实现前置自检过程。五种自检程序的选择可以由机组人员在处理单元中预先设定。
143.在一实施例中，结合图1和图5所示，在第一自检程序中，该系统通过第一油位传感器组件201感知油箱内油位，并在低于第四阈值时通过应急控制模块260控制第一切断组件
500处于锁定切断状态。
144.第四阈值大于等于第三阈值对应的油箱油位。
145.在一实施例中，继续结合图1和图5所示，在第二自检程序中，该系统通过第二油位传感器组件102感知油箱内油位，并在低于第四阈值时通过燃油测量管理模块160控制第一切断组件500处于锁定切断状态。
146.在一实施例中，燃油测量管理模块160还被配置成，在接受油量传感器组件103传递的信号后还能控制第一切断组件500的开启，并在第三自检程序中，该系统通过油量传感器组件103感知油箱内油量，并在低于第四阈值所对应的油量时通过燃油测量管理模块160控制第一切断组件500处于锁定切断状态。
147.在此第三自检程序中，油量传感器组件103向燃油测量管理模块160传递信号后，燃油测量管理模块160能同时控制第一切断组件500和第二切断组件400。但该逻辑顺序仅在第三自检程序被应用。
148.在一实施例中，结合图2和图5所示，在第四自检程序中，该系统通过第二油位传感器组件102感知油箱内油位，并在低于第四阈值时通过燃油测量管理模块160和应急控制模块260之间的数据交换，以凭借应急控制模块260控制第一切断组件500处于锁定切断状态。
149.在一实施例中，继续结合图2和图5所示，在第五自检程序中，该系统通过油量传感器组件103感知油箱内油量，并在低于第四阈值所对应的油量时通过燃油测量管理模块160和应急控制模块260之间的数据交换，以凭借应急控制模块260控制第一切断组件500处于锁定切断状态。
150.通过对上述多个实施例的介绍，可知上述应急放油综合控制系统能够应对多种紧急情况，从而全面的实现对放油架构的控制。
151.飞机应急放油综合控制方法的实施方式如图5所示。
152.首先进行步骤s601，对第一切断组件500和第二切断组件400进行自检和预位。
153.具体自检过程参照图6所示。进行步骤700开始自检后，进行步骤701，对飞机进行初始化上电。
154.继续进行步骤702，对第一切断组件500进行打开和关闭自检，确保第一切断组件500的功能完整性；进行步骤703，对第一切断组件500进行功能性判断，检查其开启和关闭是否正常；在第一切断组件500功能正常后，进行步骤704，切断第一切断组件500，使放油通道受第一切断组件500的切断。
155.继续进行步骤705，对第二切断组件400进行打开和关闭自检，确保第二切断组件400的功能完整性；进行步骤706，对第二切断组件400进行功能性判断，检查其开启和关闭是否正常；在第二切断组件400功能正常后，进行步骤707，切断第二切断组件400，使放油通道处于双重切断状态。
156.可以理解的是，对第二切断组件400和第一切断组件500的检测顺序也可以置换。
157.继续进行步骤708，根据上述对自检程序的介绍，通过第一油位传感器组件201或第二油位传感器组件102或油量传感器组件103判断油箱油位或油量，进行步骤709，判断是否低于应急放油安全裕度设置的底线油量，该底线油量即对应第四阈值对应的油量。
158.因此第四阈值对应的油量大于第三阈值，底线油量的数值为在自检过程中设置的一个单独数值，其目的是检测在起飞时飞机油箱油量是否低于应急放油安全裕度值。
159.如果起飞时飞机油箱油量低于应急放油安全裕度值，表明飞机油箱内油量过少，应谨慎放油，因此进行步骤710，将第一切断组件500设置成处于锁定切断状态，即保证第一切断组件500对放油通道的始终切断，避免进一步减少油量；进而实现步骤711，在第一切断组件500处于锁定切断状态后，本公开所述的应急放油综合控制方法将不再适用于第一切断组件500，第一切断组件500后续不支持应急放油。
160.如果起飞时飞机油箱油量大于应急放油安全裕度值，表明飞机油箱内油量较多，有可能实现放油。随后进行步骤712，打开第一切断组件500，即保持第一切断组件500对放油通道的畅通。需要说明的是，基于步骤707，此时第二切断组件400处于切断状态。也即在进行步骤712后，第二切断组件400处于切断状态而第一切断组件500处于不切断状态。
161.该过程能够简化后续放油环节，不需要在后续放油时同时打开第一切断组件500和第二切断组件400，而仅需要开启第二切断组件400，简化操作过程和步骤。
162.在完成步骤713和步骤711之后，完成步骤714结束自检和应急放油切断预位过程，结束自检预位操作。
163.回到判断步骤703和判断步骤706，若在对第一切断组件500和第二切断组件400进行自检时并未通过，而是发现第一切断组件500和第二切断组件400出现故障，此时进行步骤722，报机载维护系统(onboard maintenance system，oms)和机组警告系统(crew alerting system，cas)，帮助机组人员快速定位故障部件；随后进行步骤723，第一切断阀550和第二切断阀450均处于失效断电关闭状态，实现前述阀的安全失效设计；随后进行步骤724，工作人员实施排故，或根据民航总局批准的主最低设备清单按需(master minimum equipment list，mmel)派遣后再排故，随后进行步骤725结束该过程。
164.回到图5，在进行自检和预位完毕之后，进行步骤602，进行应急放油预位准备。
165.在需要应急放油时，和现有机型应急放油控制系统一样，通过驾驶员操作驾驶舱顶控板114上的按钮开关实现应急放油的预位操作，如可自动选择最大着陆重量目标燃油量，也可以手动设置其他目标燃油量。此时燃油测量管理系统100参与控制，根据目标燃油量等多种条件确认是否需要抑制，比如判断飞机是否在地面等情况。在满足条件情况下，实现应急放油预位准备，准备放油。
166.继续进行步骤603，开始应急放油。根据步骤712-714的叙述，此时第一切断组件500已处于开启状态，只需要将第二切断组件400打开，即可实现放油过程。
167.继续进行步骤604，在放油过程进行一段时间后，需要切断应急放油时，会出现多种应急情况。可根据上述记载的第一实施例一至第七实施例记载的不同逻辑情况进行放油，这里不再赘述。
168.上述飞机应急放油综合控制方法采用两条独立控制链路，彼此所采集的油箱信息来源不同，因此解决了现有架构设计仍未脱离燃油测量管理系统的依赖性。
169.同时，燃油测量管理系统100和独立应急放油控制系统200共采用两套切断组件，每个切断阀分别由独立电机控制，每套切断组件独立作用彼此互不影响，因此避免发生了单点失效、共模失效的问题。该方法全程自动化实现，不需要依靠机组人员手动操作，节省了飞行机组人员的精力。
170.此外，由于目前主流机型应急放油控制系统的失效一般被列为i类cat失效等级，属于较高的a类等级，因此对系统研制保障等级dal提出较高要求，研制系统成本相对较高。
而上述方法将该a级功能分解为两个b级功能，分别通过两个b级系统避免过度放油，可降低系统的研制保证等级dal，减少系统研制成本；而且也可防止过度放油导致的油料浪费，提高经济性。
171.应当注意的是，为了简化本技术披露的表述，从而帮助对一个或多个发明实施例的理解，前文对本技术实施例的描述中，有时会将多种特征归并至一个实施例、附图或对其的描述中。但是，这种披露方法并不意味着本技术对象所需要的特征比权利要求中提及的特征多。实际上，实施例的特征要少于上述披露的单个实施例的全部特征。
172.本发明虽然以较佳实施例公开如上，但其并不是用来限定本发明，任何本领域技术人员在不脱离本发明的精神和范围内，都可以做出可能的变动和修改。因此，凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何修改、等同变化及修饰，均落入本发明权利要求所界定的保护范围之内。