冷丽兰
以全权数字式发动机控制（FADEC）系统为代表的数字化技术，为直升机飞行带来了一场悄无声息的革命，大幅降低了飞行员有效管理发动机所需的认知负荷。同时，它也让发动机的全部性能得以更轻松、更安全地发挥——尤其是在紧急情况下，并为维护人员提供了关键的健康与使用数据。这场革命仍在进行中，不过在深入探讨最新进展之前，我们有必要先了解一下FADEC出现之前的发动机控制方式。
在FADEC问世前，涡轴发动机由被称为燃油控制单元（FCU）的模拟式液压机械计算机控制，后来又加入了独立的电气/电子限制器与辅助装置。这些设备构成了一套混合半模拟系统，飞行员在动力装置管理中需要承担更直接、更繁重的操作任务。
机械时代的前身
燃油控制单元（FCU）通过齿轮、凸轮、飞轮、弹簧、波纹管和阀门组成的系统，根据总距杆角度、燃气发生器转速、进气压力与温度、压气机排放压力等输入信号，以机械方式计算出正确的燃油流量，并平衡这些作用力来计量燃油（燃油同时也充当液压油）。
燃油控制单元的设计十分精巧，但飞行员仍需在控制回路中承担关键任务。其中一项就是通过总距杆及其集成的旋转握把油门，将主旋翼负载与发动机输出功率进行匹配。提升总距杆时，飞行员需要同时增加油门，以防止旋翼转速（Nr）下降。
后来的系统通过机械相关器将总距杆与燃油控制单元连接，减轻了飞行员的工作负担。但这类相关器通常精度有限，飞行员仍需通过旋转握把调整燃油流量，才能让功率与负载精确匹配，并保持正确的涡轮出口温度（TOT）或涡轮级间温度（ITT）。
飞行员还必须持续监控多个发动机仪表，在机动、通信和保持整体态势感知的同时，确保所有参数都处于正常范围内。
随后，基础的电子限制器和辅助装置被加入系统，以保护发动机免受飞行员操作失误或部件故障的影响。这些装置能够中断或修改发送给燃油控制单元的信号，但并不具备全权控制权限。
当涡轮出口温度或涡轮级间温度接近红线时，温度限制器会介入并降低燃油流量，覆盖飞行员的操作指令；而另一个限制器则会防止发动机超过其最大扭矩输出限制。
除了这些限制器外，还出现了动力涡轮调节器这类辅助装置，它能自动将动力涡轮转速（以及主旋翼转速Nr）控制在规定范围内。
第一代FADEC系统的出现，让飞行员转变为监督者的角色，只需向数字系统发出指令，系统就能以最佳精度执行指令，并提供内置保护。
这也释放了发动机的全部性能潜力——更精准、更可靠的控制，让发动机在不牺牲安全性的前提下，能更接近热极限和机械极限进行常规运行。
部分系统包含手动备份模式：若FADEC的两个通道同时失效，飞行员仍可使用旋转握把进行控制，这意味着飞行员必须通过定期训练保持这项技能。
集成化优势
现代FADEC正越来越多地与飞行器管理系统（VMS）集成，提供自动化的功率保障功能，让发动机相关的紧急情况更易处理。
基于模型的控制技术能实现精准的功率裕度计算和故障容错，使维护模式从“按计划维护”转变为真正的“视情维护”。这意味着飞行员工作负荷降低，安全性得到提升；燃油效率得到优化；同时，预测性诊断技术也提高了飞机的可用率。
最新一代的FADEC系统是实现下一代技术的关键，无论是管理混合动力推进系统，还是支持自主飞行，都离不开它，这也让FADEC成为垂直起降飞行器未来发展的核心支撑技术。
先进的FADEC仍承担着维持发动机参数在限定范围内、优化燃油效率等核心功能，但在此基础上，它们拥有更强的处理能力、更多的传感器，并与其他机载系统实现了更深层次的集成。
例如，FADEC与飞控计算机持续通信，实现主动式旋翼转速维持、负载补偿和单发失效协调响应等功能。
在功率需求变化时维持旋翼转速，FADEC的作用是：若预计转速会下降，则增加燃油流量以提升功率，恢复转速；若有超速风险，则减少燃油流量以防止转速过高。与此同时，飞控系统会自动调整总距。
这是前馈式主动控制的典型例子，负载补偿功能可以更清晰地体现这一点。
飞行器管理系统或电传飞控计算机会监控飞控指令位置和飞行器状态，通常还会直接测量吊钩负载和传动系统扭矩，通过这些数据计算出飞控指令所需的额外功率。
系统随后会向FADEC发送预判信号，命令其立即提升功率，提前应对即将到来的功率需求。
最终结果是旋翼转速始终保持稳定——功率提升与负载增加同步进行，而非等转速下降后再被动反应。
先进的故障防护
当前一代FADEC采用双通道架构以实现冗余设计，而先进系统的开发则进一步深化了对飞机的保护。
普惠加拿大公司直升机与通用航空发动机开发项目高级主管凯西·勒布朗表示：“普惠加拿大采用共模分析技术，确保我们的FADEC架构不存在任何单点故障，避免其对发动机或飞机造成危险或灾难性影响。这需要在架构设计上确保故障无法从一个电子发动机控制（EEC）通道蔓延至另一个通道。”
下一代FADEC可能会在架构上进一步升级，例如采用非相似软件和分区设计，以确保容错能力并消除共因故障。
这类系统的架构设计，一方面受到欧洲航空安全局（EASA）针对发动机控制系统的CS-E法规推动，另一方面也源于客户对更高内置安全性和可靠性的需求——这些需求高于法定最低标准，旨在保护资产、机组人员和乘客。
这其中的关键是软件的设计保证等级（DAL），它从A到E划分等级，决定了开发过程的严谨程度。FADEC软件通常为DALA级（最高等级），需要最全面的测试和文档记录，以杜绝软件错误。
这类系统还必须通过验证，证明其能在极端环境下可靠运行，包括极端温度、振动、潮湿和电磁干扰——尤其是来自地面雷达、其他飞行器通讯发射机的高强度辐射场（HIRF），以及雷电干扰。
数字系统比其取代的燃油控制单元更容易受到电涌影响，因此线束屏蔽和FADEC外壳的抗干扰加固，对防止发动机意外停车至关重要。
散热是一大挑战：现代FADEC计算机内部的处理器和固态开关持续高负荷工作，会产生大量热量；同时，燃油计量单元电机、驱动点火器和引气阀的定子叶片及电磁阀也会产生热量。
更重要的是，为缩短线束长度（以降低电磁干扰和高强度辐射场的影响、方便发动机拆卸、减轻重量），FADEC直接安装在发动机上，这也让它们不可避免地承受更多热量。
FADEC的冷却方式主要有两种：一种是安装在发动机进气口附近，通过导管引导气流流过FADEC电子外壳上的散热片；另一种是安装在冷却板上，让低温燃油流过冷却板进行散热。
FADEC计算机最危险的时刻是发动机刚停机后。此时发动机仍在散热，但冷却气流已停止，因此FADEC通常会保持通电状态，监控并记录内部温度，必要时还会启动专用冷却风扇。此外，还必须遵循航空航天推荐实践（ARP）标准，例如ARP4754，它为FADEC这类高集成度系统的整个开发过程提供了正式框架，确保从初始规范到最终验证的全过程，安全性都得到系统性保障。
赛峰直升机发动机公司发动机控制系统主管帕斯卡·多里亚克向《旋翼机国际》表示：“这一新一代平台的核心特性是单故障容错能力。”这意味着，任何组件（无论是硬件还是软件）的单点随机故障，都不能导致系统无法继续安全运行——这是DALA级标准的核心要求。
分区防护技术
赛峰公司还在研究分区技术，用于容纳不同供应商提供的软件模块，这些模块负责混合动力系统能量管理、螺旋桨控制律等多种功能。
分区是一种常由硬件强制执行的软件架构技术，它在单一计算平台内创建隔离、受保护的“分区”，防止一个分区内的软件破坏或干扰其他分区的软件。通过这种方式，可以用更少的物理计算机承载多种功能。
为实现最高等级的软件完整性和安全性，赛峰正在评估在“指令—监控”（COM/MON）架构框架中使用非相似软件。
非相似软件是一种开发策略：开发两套独立的软件包（理想情况下由不同团队使用不同工具和算法编写），执行相同或互补的功能，从而降低两套软件出现相同漏洞的风险。
在指令—监控系统中，指令（COM）通道运行主控制软件（功能复杂），而监控（MON）通道运行独立软件包，检查指令通道的输出是否安全。若监控通道发现异常，可覆盖指令通道的输出。
下一代FADEC系统将为其控制的发动机配备嵌入式数字孪生模型——真实发动机的行为可以与模型进行实时对比。
这一技术的目标是提升控制精度，并为区分“发动机性能下降”和“监控传感器故障”提供依据。
多里亚克表示，在控制层面，通过与数字孪生模型对比，可以优化发动机的加减速响应，从而提升系统对性能衰减的安全裕度。在监控层面，这种对比能提高飞行中发动机检查的准确性，从而优化传感器错误的排除流程，并简化维护工作。嵌入式算法会持续监控主传感器的状态，以检测突发故障或缓慢漂移。
预测性维护能力
除了趋势监控功能外，最新一代FADEC系统还具备预测性维护能力。系统会监控包括滑油和燃油管路在内的所有子系统，捕捉与部件老化相关的性能衰减，并能在合适的时机向飞行员发出警告。
赛峰还在为其FADEC系统研发自适应控制技术。这是一次重大变革：从静态控制——基于全新发动机的固定保守模型，转变为动态学习控制——根据所控制发动机的实时性能数据，持续更新内部模型。
该技术的用途之一是在发动机全寿命周期内优化燃油消耗率，但赛峰的研发重点在于优化涡轮机械的老化过程。例如，自适应控制可重新优化控制计划，以适应磨损的压气机或涡轮叶片特性变化，在相同功率输出下降低燃油消耗和热应力。
它还能根据单台发动机的实际状态（而非机队平均水平）“定制”控制裕度，在需要时最大化可用功率，并保持性能稳定。
借助预测性维护技术，系统可在非关键飞行阶段通过温和降功率运行，降低老化部件的应力，从而延长翻修间隔（TBO），同时避免过早故障。最后，精准的故障隔离健康诊断技术，能实现有针对性的及时维护。
本质上，自适应控制让FADEC从被动响应式控制器，转变为主动式“守护者”：实时优化性能和磨损，平滑发动机老化曲线，从而延长使用寿命、降低全寿命周期成本，并提高出勤可靠性。
减轻飞行员工作负荷一直是FADEC技术的核心优势之一，这一点在单驾驶仪表飞行规则（IFR）飞行中尤其重要——任何能帮助飞行员保持态势感知的技术都是一大助力。
赛峰的最新系统设计遵循“尽可能简化”的原则，通过将温度、转速和扭矩裕度整合在一个指示器中，向飞行员提供最低限度的必要直接信息。
多里亚克表示：“只要发动机处于正常运行范围内，系统就不会显示其他健康信息。”他补充道，在单发失效的情况下，FADEC会主导发动机限制管理，让飞行员能专注于操纵飞行器；同时，系统记录的故障前数据，对飞行后分析也很有价值。
功率保障
功率保障（PA）是FADEC的另一项关键功能，基于模型的控制技术大幅提升了这一能力。功率保障功能会向飞行员持续提供可操作的功率裕度信息（即可用功率与当前飞行状态所需功率的差值），判断是否有足够的额外功率完成预期机动。
FADEC利用实时模型、传感器融合和环境条件数据，计算出发动机在该时刻的最大可用功率（考虑到发动机健康衰减），并以直观方式向飞行员显示可用功率百分比，或通过“环形”仪表展示当前功率与最大功率之间的缓冲空间。系统还会主动防止飞行员发出超过可用功率的操作指令。
对赛峰而言，嵌入式发动机模型让系统能在飞行包线内和不同功率等级下，更准确地预测功率裕度。多里亚克说：“它的设计不再过度保守，为发动机在役期间的性能衰减提供了更大的裕度。先进的FADEC技术还将提供更多数据驱动支持，推动视情维护（CBM）的更广泛应用。我们的新一代FADEC包含维护核心模块和通讯接口，能存储并向地面传输比之前更多的发动机飞行数据，这大幅提升了故障排查能力，因为系统能记录更多背景信息和参数。此外，这些数据通过我们的地面算法处理后，能让我们更深入地了解发动机的实际使用情况和状态，从而调整维护任务。通过基于性能、振动监控和视情维护的服务，降低成本并提高飞机可用率。”
随着FADEC的联网程度不断提高，防范网络威胁变得至关重要。多里亚克指出，符合网络安全标准是新法规（如CS-E第6修正案和第1S部分）以及市场预期的核心要求。因此，他们正在开发一条安全保障等级链，覆盖从FADEC本身、地面信息系统到运营商地面设备的全过程。这可以向FADEC加载安全的控制系统软件，并下载未被篡改的发动机数据。
超越FADEC
随着航空业寻求开发混合动力推进系统（将燃油燃气轮机与电池驱动电机结合），控制系统必须升级，在不增加飞行员负担的前提下，可靠、高效地管理这些系统。
这种更广泛的控制范围催生了新术语，FADEC可能会被集成动力与推进控制器（IPPC）这类通用系统取代或纳入其中。除了执行传统FADEC的功能外，集成动力与推进控制器还必须管理电机/发电机的转速、扭矩和温度；监控电池的充电状态、健康状况、温度和功率限制；同时控制逆变器和转换器，并监控总线电压。
集成动力与推进控制器的核心任务之一是动态功率分配：根据飞行阶段，决定如何组合不同动力源，以满足特定的功率需求。
例如，为了在最优涡轮负载下实现巡航效率，它可能选择仅使用涡轮发动机；为了实现安静进近或滑行，则可能仅使用电力驱动。起飞阶段，它可能让涡轮发动机以最高效的稳态运行，同时叠加电力辅助，以达到起飞功率要求。
此外，它还可能让涡轮发动机以高于飞行所需的功率运行，利用多余功率为电池充电。例如，系统会持续优化动力组合，以降低总燃油消耗/能源使用、降低噪声、控制系统温度、管理电池充电状态并延长部件寿命，通过电力满足瞬态功率需求，减少涡轮发动机的启停循环次数。当旋翼由两个动力特性差异巨大的独立动力源驱动时（一个是需要数秒才能达到额定转速的燃气轮机，一个是扭矩响应仅需毫秒级的电机），旋翼转速调节器的功能也变得更加复杂。
集成动力与推进控制器必须无缝应对快速负载变化：在涡轮发动机提升转速的同时，指令电机提供瞬时扭矩稳定旋翼转速，消除响应滞后，大幅改善操纵品质。
混合动力系统不可避免地存在更多故障模式，因此集成动力与推进控制器必须能在涡轮发动机失效时，切换至纯电力模式，实现可控的紧急迫降；或在电力系统故障时，切换至纯涡轮模式。它还必须应对部分故障情况，例如电池降功率运行，并在新的限制条件下协调两种动力源的输出。
发动机控制系统向“能源生态系统协调者”的转变，意味着推进控制概念的彻底重构，也让集成动力与推进控制器成为下一代高效、低排放混合动力旋翼机的核心支撑技术。