不是推力减半那么简单：单发失效背后的系统考验

2025年6月12日，当地时间上午，印度航空公司一架飞往英国伦敦盖特威克的波音787-8“梦想客机”在古吉拉特邦的艾哈迈达巴德机场起飞后数分钟内，坠毁于附近居民区。这架搭载242人的客机，在起飞阶段突遇严重技术故障，最终造成包括机上人员与地面居民在内共计279人遇难。这不仅是波音787自2011年投入运营以来的首次空难，也是全球首架因事故全损的波音787型飞机。

尽管事故调查仍在进行，但已有初步迹象表明，发动机推力系统在关键阶段可能发生了多点失效。此次悲剧再次引发业内对“单发失效”与“双发失效”状态下系统稳定性的高度关注，也使得“在极限状态下，飞机是否真正安全”这一老生常谈的问题重新浮出水面。发动机是飞机的“心脏”，是整架飞机克服重力、获得升力的根本动力来源。现代喷气客机通常配备两个甚至多个涡轮风扇发动机，每台发动机不仅要提供持续的高推力以驱动飞机在万米高空高速飞行，还需支持一系列关键系统的运行，例如液压系统、电源系统、空调增压系统等。

一架现代民航客机的飞行安全，很大程度上依赖于发动机在全飞行包线内的可靠运行。然而，即便采用了冗余设计、结构加固、健康监测等多种手段，发动机依然是故障率相对集中的部件之一。发动机一旦出现失效，不仅意味着推力损失，还可能带来连锁性的系统干扰，严重时会影响飞控、供电乃至通信等任务链路。

事实上，从喷气支线飞机到大型远程宽体机，设计规范均要求在一台发动机失效后仍能保持稳定飞行状态，满足回返或备降需求，这便是所谓的“单发失效（Single Engine Failure）”。但真正复杂的，并非“发动机坏了怎么办”，而是“坏了一台之后，其他系统是否还能稳住全局”。

“单发失效”在工程术语中属于“重大功能丧失”，其影响不仅止于推力减半，更牵一发动全身：动力系统失衡将直接影响飞控系统的动态调节逻辑，液压与电源分配可能因失效路径重叠而产生级联故障，机组操作负荷陡增亦可能触发人为误操作——这些交织形成的“多因素耦合情形”，才是真正威胁安全的隐患源头。

因此，在飞机适航审定过程中，针对单发失效的仿真与验证，成为评估飞行器系统鲁棒性的核心任务之一。

这类验证并非单纯测算发动机本身的故障概率，更重要的是评估整机在失效发生后的系统响应能力——飞行控制是否能维持航向与姿态？剩余动力是否足以返航或备降？飞行员是否能在有限时间内执行应急流程？这些因素共同构成了一个高度耦合、对时效性要求极高的系统验证闭环。

传统的验证方法，很难满足这类极限场景的系统性验证要求。在实际工程中，发动机失效通常发生在最敏感的时刻，比如起飞后爬升阶段或着陆前的复飞阶段，任何一个参数扰动、响应延迟或传感器误报都可能放大为灾难性后果。问题在于，这些场景既难以在现实中重复，也不可能通过“真实试错”获得验证结果。哪怕在试飞阶段模拟单发失效，也很难构建所有边界条件与耦合链条。更不要说“双发失效”这类极端情况，几乎注定只能在理论分析或模型演绎中被处理。

这正是嵌入式仿真登场的理由。相比传统的试飞、台架测试和静态分析，通过在仿真环境中对嵌入式处理器及其运行行为进行精确建模，快速搭建虚拟硬件模型并提前进行开发、测试和验证工作显然具备更优秀的试验能力，能在不依赖真实硬件的前提下，复现发动机失效、传感器误差、控制滞后、人工干预等多种变量在时间轴上的协同演化过程。

以天目全数字实时仿真软件SkyEye为代表的仿真平台，已经在多个航空系统项目中实现了嵌入式系统的高精度建模。它不仅是一款支持ARM、RISC-V、DSP、PowerPC、MIPS等多种主流嵌入式架构的处理器仿真平台，更具备完整的行为级建模能力与系统级协同调度能力，可在无硬件样机的前提下实现“从指令级到系统级”的多层次验证。

SkyEye能够为综合航空电子系统提供多机多功能目标系统的仿真环境，采用分布式部署方式，通过多路传输数据总线把多种机载电子分系统交联在一起，实现信息的测量、采集、传输、处理、监控和显示功能，并完成飞行控制、发动机控制、导航、性能管理等任务，从而为极限状态下的系统响应能力评估提供了高一致性、高复现性的验证环境，有效支撑复杂耦合场景下的安全性闭环分析与设计前置验证。

▲SkyEye大规模航电系统仿真案例