“彗星”1客机事故

1954年1月10日，一架已飞行1,286架次、3,680飞行小时的”彗星”1，从新加坡飞往伦敦，从最后停靠站罗马再度起飞后半小时爬升到约8,100米的高度时，早天候良好的情况下机身解体并有部分起火燃烧，坠落在意大利厄尔巴岛（Elba）畔的地中海。

但在复飞仅16天后的1954年4月8日，又一架已飞行903架次、2,703飞行小时的”彗星”1执行从罗马飞往开罗的任务。在起飞约半小时，估计已爬升到最高巡航高度时突然完全失去联络，稍后在意大利南部那普勒斯（Naples）畔的地中海发现飞机残骸。

从地中海捞起的第一架”彗星”1失事残骸

“彗星”1的水槽试验

裂纹发生的原因是蒙皮太薄。“彗星”1安装4台德哈维兰发动机公司（de Havilland Engine Company Limited）生产的”幽灵”（Ghost）涡喷发动机，由于当时的喷气式发动机仍在起步阶段，为了减轻机体重量以弥补推力不足，”彗星”1机身蒙皮厚度只有0.07厘米，窗户边蒙皮加厚到0.09厘米，薄蒙皮在舱压作用下的应力（stress，单位面积承受的负载）居高不下，而窗户角落的应力集中（Stress Concentration）效应使高应力情况更加恶化，最后导致产生疲劳裂纹。

另外出厂前的结构测试也有问题，”彗星”1执行全尺寸机体疲劳试验时，机体约经过18,000次的加减舱压后才毁坏，大约是真实疲劳寿命的15倍，与实际情况完全不符。这是因为疲劳试验机体之前也用来执行静力试验，先承受了两倍设计舱压的负载以验证机体静力强度，而在材料内留下了当时世人仍一无所知的余留应力（Residual Stress），而余留应力会提高结构疲劳寿命，致使试验结果失真。

第一架失事”彗星”1初始疲劳裂纹位置

第一架失事”彗星”1的残骸从地中海被捞起重组后，调查人员在机身上方两座自动定向（Automatic Direction Finding）天线的后天线座右后方蒙皮开口（cut-out）角落处发现了问题，在距开口约5厘米处一直径约1厘米的螺栓孔边，发现了疑似初始疲劳裂纹位置，这个疲劳裂纹在飞机失事前几架次飞行中迅速向前后生长到约2.5厘米长度后，即导致飞机在舱压作用下空中解体，与水槽测试所显示的现象相吻合，证实了金属疲劳是失事的原因。”彗星”1在每一次飞行中，起飞后爬升到巡航高度，或是降落前由巡航高度下降到进场高度，机内舱压的变化在窗户角落应力集中的位置产生细小的裂纹，此小裂纹随着飞行时间的增加而生长，当到达临界长度（Critical Length）时，机身就像汽球破裂般地爆裂开来。

残骸的窗户裂纹

水槽试验中出现的窗户裂纹

安全寿命

“彗星”1设计于1946年，依循英国航空注册委员会（Air Registration Board）认可的”安全寿命”（Safe Life）设计观念。在这种设计观念里，飞机在预定的服役期间内需能承受预期的反复性负载，当结构飞行时数到达服役寿命时，认定结构疲劳寿命已经完全耗尽，飞机必须退役。

“安全寿命”设计观念的缺点，在于它的疲劳分析与设计一般是采用”疲劳强度耐久限制”（Fatigue Strength-Endurance Limit）的方法，也就是所谓的麦林法则（Miner's Rule）。它是在实验室里对多片截面积各异的小尺寸材料试片，施加不同的等振幅（Constant Amplitude）负载，直到试片疲劳破坏为止，以获得此材料在各种施加应力和发生疲劳破坏的负载周期之数据，称之为S-N曲线（S-N Curve，S代表施加应力，N代表负载周期数），再以实际结构件在各种设计飞行条件下的应力，找到相对应的疲劳破坏负载周期数，依线性累加的方式加总，就可预测结构的疲劳寿命，并应用于设计。虽然这种方法已行之多年，且普遍为一般飞机结构设计及分析家们所接受，然而这种分析方法有其先天上的缺点，使得分析的结果常不符合实际。

SAE1045钢材的S-N曲线

如果把这种数据应用于飞机结构分析及设计上，由于我们很难相信也无法保证飞机上所有结构零件都处于完美无瑕的情况，换言之，结构上很可能（事实上也早已预先）存在着各式各样微小的裂纹，只是制造时的非破坏性检验能力无法发现。如果结构上早已预先存在着有裂纹，则它的疲劳寿命中就不再包含裂纹初始的那一段时间，而在传统的疲劳试验里，裂纹初始阶段所花的时间约占了全部疲劳寿命的百分之九十以上。传统的麦林法则分析结果，一律包含了裂纹初始及裂纹生长两阶段时间，显然过于乐观，也因此在传统的疲劳设计里，往往要采用一相当大的安全系数（一般是4）来尽量避免这项误失，而这过大的安全系数又常常会造成结构超重。

B-47轰炸机事故

美国空军B-47喷气式轰炸机在50年代发生多起空中解体事故

在B-47机队的服役生涯中共有203架飞机坠毁，约占全机队总数量的十分之一，造成464人丧生。1957和1958年坠机达到最高峰：1957年24架飞机坠毁，63人丧生；1958年25架飞机坠毁，58人丧生。

1958年3月中旬到4月中旬这一个月期间，美国空军5架B-47连续失事。3月份3起：首先是在3月13日，佛罗里达州家园（Homestead）空军基地的一架B-47B起飞后三分钟，在4,500米高空解体，总飞行时数2,077小时30分钟；同一天在俄克拉何马州塔尔萨市（Tulsa）上空，一架TB-47B在7,000米高空处，因左机翼脱落而坠毁，总飞行时数2,418小时45分钟。接下来是3月21日，佛罗里达州埃文帕克（Avon Park）上空，一架B-47E在拉起机头爬升时空中解体，总飞行时数1,129小时30分钟。这3起失事事件中，美国空军认定1起为飞行操控造成的结构超载，另2件则与金属疲劳有关。

接着4月份又连续发生2起失事：4月10日在纽约州兰福德市（Langford）上空，一架B-47E于飞抵空中加油点前在4,000米高空处空中解体，总飞行时数1,265小时30分钟；4月15日，佛罗里达州麦克迪（McDill）空军基地，一架B-47E起飞后飞入暴风圈而空中解体，总飞行时数1,419小时20分钟。

失事调查结果显示，B-47的提前失事源自三大关键因素：全机总重增加、发动机推力增加、过多的低空飞行任务，换言之，飞机的实际负载已与设计负载差异太大。由于B-47是当时美国唯一可低空穿透苏联防空网投掷核弹的高速轰炸机，因此随着服役的年限渐长，被赋予的轰炸任务种类也逐渐增加，导致机内装备越来越多，全机重量也因此水涨船高。为了维持它的速度优势，发动机推力也随之提升增大，并加装火箭发动机协助飞机起飞，而它的轰炸动作也让机体承受极大的应力。B-47的典型轰炸飞行航线是一路低空以接近800公里的时速飞向目标，在距离轰炸目标约一分钟前爬升到1,000米的高度，抛出带有减速降落伞的炸弹后立即迅速大回转脱离目标区。在这些因素交互影响之下，机体结构承受的负载较设计负载超出太多，导致机翼经过一段飞行时数后，就因疲劳破坏造成飞机空中解体。

破损安全

“彗星”1与B-47事件促成了飞机结构设计观念的改变，美国民航局在1956年2月7日修订航空器适航文件，新增的CAR 4b.270章节内，对大型客机结构（含加压客舱 ）的适航认证有更明确的规范，规定除了”疲劳强度”（Fatigue Strength，也就是”安全寿命”）设计外，飞机制造公司也可采用”破损安全强度”（Fail-Safe Strength）设计。

飞机结构中，那些大幅负担空中、地面、舱压负载，一旦损坏又未能发现时，最终会造成飞机坠毁的结构零组件，称为主结构（Principal Structural Element），如：机身上纵梁、机翼蒙皮……等。”破损安全”设计要求当飞机某一主结构局部损坏或完全破坏时，在飞机负载大小不超过百分之八十的限制负载乘以1.15动态因子（Dynamic Factor）的条件下，主结构的负载会由邻近的其它结构分担，飞机不会因结构过度变形致使飞行特性大幅度恶化，也不致有立即的毁灭性破坏顾虑。

在适航认证时，”安全寿命”设计的飞机需有主结构的疲劳分析或试验，且需执行机内舱压与机外气动载荷合并作用下的全机疲劳试验；而采”破损安全”设计的机体，需以分析或试验的方式证明，在前段所述的静力负载（Static Load）作用下，主结构强度符合设计需求（例如：在施加负载下切断一主结构件，或是在机身蒙皮上切出一条短裂缝，此时邻近的其它结构仍能承担规定负载），不硬性要求全机疲劳试验，且旧型飞机雷同设计观念下的服役经验，亦可做为适航佐证。至于是否需对主结构进行定期检查，虽然一般都认为应该要有，但在主结构发生不明显损坏时，是否应依据邻近其它结构的剩余寿命订定检查时距，适航文件中没有明文规定。

“破损安全”设计观念的基本论点，是飞机主结构一旦发生损坏时，在飞行中会使飞行特性明显改变，在地面则是很容易会被一般的目视检查发现，因此只要是在正常的维修或操作情形下，就能防止主结构突然的致命性毁坏。就疲劳而言，这种设计的结构只要无损坏，几乎就可无限期使用，既无需定期更换，也不必订定特定的检查作为，加上未强制执行全机疲劳试验，节约飞机经营成本的优点显而易见，因此当美国民用航空局颁布新规定后，绝大多数的客机主结构都改采这种设计方式。

“破损安全”设计乍看之下飞机结构更加安全，但这种设计本身并未保证主结构的损坏一定很明显。换言之，当主结构损坏后的飞行特性无明显改变，主结构又无强制性的定期检查时，将导致无法及时发现结构损坏并修复，飞机虽然没有立即的飞安顾虑，但主结构负载转由周边结构分担后，加诸于邻近结构的负载大幅增加，如果此负载继续维持一段时间，邻近结构很可能很快就会因疲劳、腐蚀、机械……等因素陆续损坏，最终必会危及飞安。

70年代初期，欧美国家一些民航单位的适航认证人员，开始对”破损安全”的飞机结构长久安全性有所质疑，英国民航局（Civil Aviation Authority）在相同的顾虑下，限制第一代”破损安全”设计的波音707机型在英国国内的安全寿命认证为60,000飞行小时，藉以保障其服役期间的结构安全，而英国的适航规范委员会（Airworthiness Requirements Board）也从1977年3月起，召集英、美的飞机制造业者和美国联邦航空局代表，进行一系列相关的会议研讨，可惜的是当这些会议正在进行中时，就发生了1977年的波音707陆萨卡（Lusaka）事件，暴露了”破损安全”设计的缺失。

F-111空中解体

F-111的可变后掠机翼可根据任务需要改变后掠角度

F-111结构中最特殊的设计是可变后掠机翼，后掠角度由16度到72.5度间呈4段可调式。后掠角度固定不变的机翼在特定的飞行速度、高度、大气温度、大气密度、发动机推力……下，有最佳的性能表现，一旦其中某个因素改变，性能就会降低。针对这个缺点，从40年代迄今，广被采用的改进方式是在主翼的前、后方各增加前缘缝翼（Leading-Edge Slats）和后缘襟翼（Trailing-Edge Flaps），改进飞机于起降以及某些飞行姿态下的性能。而可变后掠机翼则更具威力，它就像是设计各种不同的机翼来配合飞行中不同的飞行情况，譬如：起降时把机翼完全向外伸展，增加机翼的升阻力，缩短起降距离；亚音速巡航时则把机翼部分后掠，减少机翼的阻力；超音速贴地飞行时则将机翼全角度后掠。

美国空军F-111机翼枢纽接头上制造过程遗留的瑕疵

F-111可变后掠机翼结构中最重要的零组件，是贯穿机身的机翼穿越盒（Wing Carry Through Box）和机翼枢纽接头（Wing Pivot Fitting）。由于在”安全寿命”疲劳分析的S-N曲线中，高强度材料在低应力下几乎有无穷尽的疲劳寿命，因此两零组件皆使用特别开发的D6ac高强度合金钢。

1969年12月22日，一架机尾编号67-049仅飞行107架次的F-111A在内华达州内里斯空军基地上空进行武器抛投（Weapons Delivery）训练飞行时坠毁，当时飞机以低高度对一仿真目标发射火箭后，以3.5g±0.5g对称飞行拉起时，左翼掉落，飞机坠毁，两名飞行员当场丧生，飞机残骸中左翼枢纽接头从中间断裂成内外两块，内半块遗留于机身上，外半块与机翼相连。当时的负载因子（Load Factor，即重力加速度 ）、速度、重量都小于设计值。F-111A的设计负载因子为11.0g。

F-111事件清楚昭示了”安全寿命”设计观念的重大缺失：飞机在制造过程中不小心所造成的微小裂纹有可能因检验疏失而随机存在某些结构上，对飞机服役期间的结构安全带来致命威胁，但”安全寿命”的疲劳分析或是全机疲劳试验，都假设结构件上没有任何初始缺陷或裂纹存在，根本无法计入这些随机小裂纹对结构疲劳寿命造成的影响。

损伤容限

F-111事件直接催生了现今的”损伤容限”（Damage Tolerance）设计观念。美国空军于1974年7月颁布军用规范《飞机损伤容限需求》（Airplane Damage Tolerance Requirements, MIL-A-83444），规定往后的军机开发都必须采用”损伤容限”设计，F-16是率先应用这种设计观念的美军飞机。

大型商用客机执行全机疲劳试验的情形

“损伤容限”设计中明确指出︰一、在有裂纹的情况下，结构的余留强度不能低于设计限制负载；对机身而言，则是不能低于1.1倍操作舱压、气动吸力(Aerodynamic Suction)、飞行负载这三者的总和。二、在裂纹生长前述负载下所允许的最大长度前，需能检出此裂纹。

FAR 25.571第45号补充文件《结构损伤容限与疲劳评估》规定：在设计新飞机时，必须假设飞机结构在一出厂时，由于不同的材料、结构制作、以及制程所影响，每一主结构件上应力最大的位置，如：R角、铆钉孔……会预存一定大小的裂纹，此裂纹于飞机服役期间在负载作用下逐渐生长，飞机的设计必需在裂纹存在的情况下，机体结构仍能在一定时间内安全地容忍这些损伤。

一般以为”损伤容限”设计可让飞机在已知有裂纹的情况下继续安全飞行，这是个错误的观念。没有任何设计规范允许在明知情况下，让飞机主结构强度降到极限负载（Ultimate Load，1.5倍的限制负载）以下，”损伤容限”设计主要是对于在正常使用情况下，不预期会发生裂纹，但可能在服役期间因环境因素产生裂纹的主结构，提供定期检查的制订依据。飞机主结构如果有裂纹，除非经工程分析在后续飞行中的结构强度未降到极限负载以下，否则必须马上修复。

FAR 25.571第45号补充文件《结构损伤容限与疲劳评估》中删除的”破损安全”，被美国空军纳为它”损伤容限”的设计选项之一，但要求采用这种设计观念的结构需依据其可检查度（inspectability）而具备特定的属性（attribute）。联邦航空局和美国空军的”破损安全”在观念上很类似，但在细节上有些差异。

损伤容限裂纹缓慢生长设计下，规定预存裂纹初始长度与形状

美国空军的MIL-A-83444《飞机损伤容限需求》中，规定飞机结构需采裂纹缓慢生长（Slow Crack Growth）设计或”破损安全”设计（注：在MIL-A-83444与FAA中，各有其破损安全设计的定义）。所谓的裂纹缓慢生长设计，就是结构上的初始裂纹，在一定期间内不会生长到临界值。单一负载路径结构一定得采用这种设计方式，例如战斗机的纵梁就属这种结构，其预存裂纹生长寿命需大于飞机设计服役寿命；而”破损安全”设计则分成：一、多重负载路径结构，如：战斗机的机翼和机身常以多个接头相接合，任一个接头损坏，其负载会转由其它接头分担。二、裂纹阻滞（Crack Arrest）结构，如：大型飞机的机身沿圆周方向，会在蒙皮内侧每隔 50厘米加贴一裂纹阻滞条，可阻挡沿机身方向延伸的蒙皮裂纹。

美国联邦航空局适航规范中，无强制性的预存裂纹尺寸规定，其用意在让飞机制造商可依据不同的结构型态，弹性选择合宜的预存裂纹尺寸，譬如采干涉配合（Interference Fit）的铆钉孔，其预存裂纹就可假设为半径0.076厘米的四分之一圆。

损伤容限破损安全设计下，规定的预存裂纹初始长度与形状

飞机制造商对预存裂纹的非破坏性能力，需达到”百分之九十五∕百分之九十”的标准，意思是检验人员必需在百分之九十五的信心水平（Confidence Level）下，达到百分之九十的裂纹检出率（probability），也就是说：由一群体（population）中挑出100件裂纹样本进行检验时，至少能正确检出90件；而在100次程序相同的检验中，达到上述检出率的次数不少于95次。如果飞机制造商对更小的预存裂纹也满足上述条件，美国空军和联邦航空局都同意使用较规定更小的预存裂纹尺寸。

定期检查

“损伤容限”设计下的飞机结构安全与否，取决于检验人员能否及时发现裂纹，故需有定期检查的密切配合。美国联邦航空局于1981年5月发布的服务通报AC 91.56中，对检查现役飞机结构的补充性检查文件（Supplement Inspection Document），提出订定指导原则。通报中表示应运用破坏力学（Fracture Mechanics）的方法，制订此项文件。

经由破坏力学的裂纹生长分析，可获得结构在设计负载下，预存裂纹由初始长度生长到余留强度下可容忍最大裂纹长度（即：临界长度 ）所需的时间，此结构的首次检查时机（Inspection Threshold），为裂纹由初始长度生长到检查人员可检出的最小裂纹长度所需的时间；后续的再次检查时距（Repeated Inspection Interval），至多可定为裂纹由可检出最小长度生长到临界长度的一半，以确保在裂纹长度足以造成飞安事故前，至少有二次的检出机会。检查结果如果结构无损伤，飞机可继续飞行；如果发现有损伤，则进行结构修理或更换。换言之，只要按时执行检查并根据检查结果执行适当措施，飞机就可永续飞行。

损伤容限设计下的结构检查时距订定方法

美国空军事后迄今仍持续对非破坏性检验训练及装备不断进行改进，但根据美国空军2007年发表的一份报告，美国空军基地内大多数非破坏性检验人员的的检查能力仍然无法达到上述的标准，导致未能检出许多飞机主结构上的损伤，衍生出飞安顾虑，因此检查结果的不确定性是目前”损伤容限”设计的隐忧，这虽可由缩短检验时距来克服，但会降低飞机的妥善率，增加检验人员的负担。

F-15C空中解体

2007年11月2日上午，一架隶属于美国密苏里州空中国民警卫队（Air National Guard）的F-15C在执行训练任务时，突然空中解体。

失事当时，这架编号80-0034的F-15C正执行基本战斗机动作（Basic Fighter Maneuvers）演练，与僚机进行一对一的空中攻击及防御动作训练。在进行第二次的接战练习时，失事机以450节的空速快速右转，机体承受负载约为7.8g，此时机体开始剧烈抖动，飞行员立即将飞机改为平飞状态，机体承受负载迅速降到.5g，数秒钟后，前机身从座舱罩后方位置处断裂并与机体完全脱离，机体空中解体为二截，飞行员跳伞后平安获救。

2007年11月2日，美国空军一架F-15C因结构疲劳而空中解体

事后的调查报告显示：失事发生原因为斜机身站位（Canted Fuselage Station）CFS 337处的右侧上纵梁断裂，失事机上纵梁残骸经破断面检验后，发现破断面处的厚度仅有0.039英吋（不到一毫米 ）到0.073英吋，完全不符合蓝图规定的0.090英吋到0.110英吋厚度，且上纵梁的表面粗度（Surface Roughness）也较蓝图规定粗糙。过薄的破断面直接造成上纵梁局部应力大幅升高，在反复的飞行负载作用下，上纵梁很容易由粗糙面产生多处的疲劳初始裂纹，继而在后续的飞行负载中持续生长，最后导致上纵梁完全断裂。

事后美国空军在多架F-15C的纵梁上检出了裂纹

这架F-15C于1982年开始服役，失事时飞行时数接近5,900小时。F-15C原始设计观念为”安全寿命”，服役寿限为4,000飞行小时，在美国空军颁布”损伤容限”设计观念后重新依据此规范进行分析，服役寿限延长到8,000飞行小时，并以16,000飞行小时的全机疲劳试验来加以验证。由于分析数据显示上纵梁的疲劳寿限高达31,000飞行小时，远超过飞机的服役寿限，且上纵梁在全机疲劳试验过程中未发现任何损伤，故虽属攸关飞安的主结构件，但依据规范无需进行定期检查。

结语

为维护飞机的飞行安全，飞机结构的设计观念也历经多次的变革。最早的静力强度设计观念完全不考虑疲劳效应，导致发生”彗星”客机的惨剧，接续的”安全寿命”设计观念则企图界定结构的疲劳寿命，当结构使用时数到达此数值时，不论其是否完好如初，皆视为其疲劳寿命已使用殆尽而必须更换新件，因此这种设计的结构安全性被称为”以更换保障安全”（Safety-by-Retirement）。换言之，如果结构疲劳寿命分析失真，结构安全将面临大灾难，美国空军F-111事件就是明证。

“破损安全”设计观念则企图藉由良好的设计，让结构上的裂纹在未造成飞安顾虑前，飞机在正常操作及维修状态下即能轻易发现它，所以这种设计观念的结构安全性被称为”以设计保障安全”（Safety-by-Design），也因此如果结构设计失当时结构安全亦将不保，波音707陆萨卡事件对此做了最好的说明。

目前航天业界普遍采用的”损伤容限”设计观念，则是仰赖定期检查来发现结构上预期会产生的疲劳裂纹，这种设计观念的结构安全性被称为”以检查保障安全”（Safety-by-Inspection），因此如果是检查人员疏忽或未预期的结构上产生疲劳裂纹，结构安全将面临重大挑战，美国空军F-15事件堪称最佳范例。

自有航空工业以来，飞机结构设计的目的就在于保证飞机于设计服役寿命期间正常飞行状态下的飞航安全，但如果深入探讨飞机结构设计观念的内涵、变革、以及相对应的飞机失事事件，就会发现到目前为止仍未完全达到此理想目标，而随着未来对飞机性能要求的逐日提升，以及延长飞机服役年限以获得最佳经济效益的趋势，飞机结构设计将面临更艰巨的挑战。

文章转载自空军之翼，仅供学习交流，知识产权归原作者，侵删。