本文讨论了A320燃油泄露的识别、隔离、定位和处置问题，总结了“三不一要”的处置原则；针对中央泵的恢复使用，提出了“如无必要，无须恢复”的观点；针对程序中的“3000 kg”这个数值，也介绍了一种基于极端的多重失效情形的解释。

注意：这是一份学习笔记，仅供参考和交流；不是操作指南。

1 燃油泄露的识别

▲ 正常程序中的燃油检查频次：飞过航路点或至少每30分钟一次

在正常的燃油检查时、当燃油出现不平衡趋势或者根据其他乘员的报告，飞行员都有可能识别到燃油泄露，而后按照QRH燃油泄露程序来纠正问题。

燃油泄露会带来一系列其他后果，包括燃油不平衡的ECAM提示，但是在大部分飞机上，燃油泄露本身不会触发ECAM程序或提示，通常也没有其他直接的驾驶舱效应（MCDU上的DEST EFOB BELOW MIN信息除外）。判断燃油泄露并正确纠正问题，对于飞行员的技能要求比较高。

但是，在线号靠后的飞机上，这些新的ECAM程序与燃油泄露有关。它们将一部分可以自动化的识别方法用机器来完成，而程序的内容实际上是引导飞行员实施其他的现有程序：

1、FUEL F. USED/FOB DISAGREE

2、ENG 1(2) FUEL LEAK

▲ FUEL F. USED/FOB DISAGREE程序提示机组实施燃油泄露QRH程序

▲ ENG 1(2) FUEL LEAK程序

对于大部分飞机，以下是基本的识别方法：

-计划油量和实际油量有明显偏离

-过大的燃油流量，有造成燃油不平衡的趋势

-机载燃油与已消耗燃油的加和，明显少于初始的机载燃油，或者此数值在减少

▲ FTCM提供了识别燃油泄露的基本方法

FCOM中的QRH程序解析有进一步的展开——

下述情况，可证实存在燃油泄漏：

1、机载燃油与已消耗燃油之和明显小于发动机起动时的机载燃油，或正在减少，或

2、乘客观察到燃油从发动机/吊架或翼尖/鲨鳍处喷射出，或

3、燃油总量以非正常速度减少，或

4、燃油不平衡加剧，或

5、某个油箱油量下降太快（泄漏源于发动机/吊舱，或油箱），或

6、油箱燃油溢出（因油箱中管路破裂），或

7、燃油流量过大(发动机漏油)，或

8、客舱中有燃油气味

9、飞行计划（或燃油预测）页面目的地EFOB显示为琥珀色，或

10、MCDU草稿栏显示“DEST EFOB BELOW MIN”

如果目视条件允许，还可以在客舱通过目视检查来判定燃油泄漏源。

其中第6种将会在后文《一个牵强但有趣的解释》部分中专门提到。

▲ FCOM中的QRH程序解析

2 隔离、定位和处置

这里分析的是传统燃油箱布局的QRH程序。对于大翼油箱不再划分内外侧的飞机以及A321，情况是相似的；中央油箱传输活门起到了传统飞机中央泵的作用。

这个程序既隔离和定位泄露源，也是处置程序。程序将发生燃油泄露的区域划分为吊架/发动机、大翼油箱、中央油箱或APU供油管等区域。“尽快着陆”以正确判断存在漏油为前提，所有动作又以“尽快着陆”为前提；如果已判断出确实存在漏油，并且可以实施着陆程序，则本程序在安全的前提下应让位于着陆程序，因此有可能不会完整地被实施。

简要提炼一下，程序的内容以及关键步骤的含义如下：

1、如果已定位泄露源到某一侧发动机/吊架，则关发并且不要再次起动，视情使用交输活门（根据燃油平衡情况）

2、如果不能确定泄露源是发动机/吊架，或者未能定位泄露源，则关闭中央泵，以便判断泄露源

    a)如果此后两侧燃油以明显不同的速率消耗，则定位泄露源在消耗快的一侧，但需要进一步确定是来自发动机/吊架还是大翼区域，为此，关发以便判断泄露源

        i.如果泄露停止，则所关发动机或它的吊架区域为泄露源，不要再次起动，视情使用交输活门（根据燃油平衡情况）

        ii.如果泄露未停止泄露，则怀疑该侧大翼区域为泄露源，发动机可以考虑恢复使用（并非必须）

    b)如果关闭中央泵以后，两侧燃油相近速率消耗，则排除大翼区域，定位泄露源到APU供油管或中央油箱

        i.如果能在客舱中闻到燃油气味，则定位到APU供油管

        ii.当有一侧的大翼内油箱减少到3000 kg以下，恢复中央泵

进一步，提炼出“三不一要”：

1、已定位到的发动机/吊架，再次起动是不允许的；

2、关发可能导致燃油不平衡，但纠正燃油不平衡不是紧迫的；

3、为了判断泄露源而关闭中央泵以后，如果定位到中央油箱泄漏，恢复使用中央泵也不是紧迫的；

4、一旦定位到泄露源，要尽快着陆。

第一个“不”的理由是显然的，不能确保发动机得到正常供油了，而且泄露区域有高温条件；单发着陆是更好的做法。

对于第二个“不”，根本原因在于燃油泵的实际性能（供油压力）存在不同。纠正燃油不平衡，需要打开燃油交输活门，使两侧的燃油泵并联工作，此时性能较弱的燃油泵会进入“出工不出活”的状态，相应侧的燃油将不会变轻，这可能会导致燃油分布的情况变复杂，从而增加操作负担。

关于燃油泵的“出工不出活”，后续再专门写文章来分析。这里先附上手册“燃油不平衡程序”中的一个告诫，它说明了泄露程序和不平衡程序之间的关系：如果已怀疑泄露，即使存在不平衡，也实施泄露程序，而不要实施不平衡程序。

关于第三个“不”，稍后从“减少燃油损失”的角度来分析。

小结：三不一要——不要重起漏油的发动机、不要着急去做燃油平衡、不要着急恢复中央泵；要尽快着陆。

3 减少燃油损失重要吗？

程序中出现的“3000 kg”这个数值，是理解“不要着急恢复中央泵”的关键。

根据程序，在怀疑有泄露的情况下——如果中央油箱有燃油，通过关闭中央泵来帮助定位到发生泄漏的区域；观察两侧油箱的消耗情况。如果消耗速率相同，则可以排除两侧（发动机和大翼都排除），这样就定位到了APU供油管或中央油箱。假设APU供油管也排除了，那么就最终定位到中央油箱了。

接下来，假如恢复中央泵，那就意味着要在中央油箱被完全泄露之前，通过消耗其中的燃油，来减少燃油损失。问题是：在中央油箱漏油时，减少燃油损失，重要吗？

对于A330，QRH程序给出的回答是肯定的。一旦排除了两侧泄露，即要求恢复使用中央油箱；而一旦进一步排除了APU/配平供油管路，则可以考虑实施另一个QRH程序——“减少燃油损失”。

▲ A330的QRH燃油泄露程序

可见A330的程序是重视减少燃油损失的，这可能是因为体型越大，实施紧急着陆的难度也越大。现在回过来看A320的情况。

对于典型的A320，大翼内侧油箱满油位时大约为5400 kg（与燃油密度有关）。在正常运行中，如果中央油箱有燃油，那就表明大翼内侧油箱的油量在“未满油位”（4900 kg）以上。

这里需要说明一点系统知识。大翼内侧油箱中有若干油位传感器，当被浸湿或变干时，它们向计算机（FLSCU燃油位感测控制组件）发出信号，从而控制中央泵的自动工作：

-当“FULL油位传感器”被浸湿，中央油箱停止运转，于是大翼泵开始消耗内侧油箱中的燃油；

-当油位下降到“UNDERFULL油位传感器”下方，该传感器变干，如果中央油箱中有燃油，那么中央泵又重新运转。

这个逻辑的目的，在于在大翼内侧油箱中留出大约500 kg的空间，容纳从发动机FDRV活门返回的IDG冷却燃油。这个逻辑也确保了：当中央油箱有燃油时，大翼内侧油箱的油量总是在大约4900 kg以上。即便考虑到在前续步骤中，为了对比两侧大翼燃油消耗的速率而消耗了30分钟的燃油（每一侧600 kg），此时也应有4300 kg以上。

因此，当中央油箱有燃油可泄露时，每一侧大翼内侧油箱的油量，距离程序要求重新使用中央泵的3000 kg，还有1300 kg以上，在消耗掉两侧一共2600 kg燃油之前，飞机还能在空中飞行大约1小时。

换言之：在重新使用中央油箱之前，QRH程序允许它被继续泄露至少1个小时。在这1个小时里，中央油箱的泄露不是飞行员应着重关心的，此时尽快着陆是首要任务。

经过简单计算不难看到——假如这个数值不是3000 kg，而是3500 kg，那么留给飞行员的燃油就可能只有1600 kg，在大约40分钟后（很可能正处于着陆期间），就需要恢复使用中央油箱了；如果数值是4000 kg，那么这个燃油量就可能少到600 kg，飞行15分钟后就要去关心中央油箱。可见，3000 kg这个数值对于飞行员而言是更有利的。

进一步追问：为何不是2500 kg 或2000 kg？显然地，这个数值越小，留个飞行员去实施紧急着陆的时间就越充分，相应地，恢复使用中央油箱的可能性就越低。相比之下，3000 kg这个数值，既给了飞行员充分的时间来专注于着陆，又保留了恢复使用中央油箱的可能性。

还可以进一步想到：既然中央油箱已经发生泄露了，那么通过停止使用中央油箱，来直接隔离掉中央油箱，也是符合一般操作原则的（在有安全裕度时，不使用有故障部件）。只有当飞行员在这1个小时里无法完成着陆，并且两侧油量不足够支撑继续飞行，才必须考虑重新使用已发生泄露的中央油箱，然而这是多么小概率的事件……

所以，减少燃油损失重要吗？不重要，重要的是：LAND ASAP！再换个说法：到底要不要以及何时恢复使用中央油箱呢？这不重要，让它漏去（在空中也修复不了啊），赶紧着陆……

因此，程序末尾对中央泵的使用要求，其实可以理解为“如无必要，无须恢复”。所谓“必要”，就是：实在不能在1小时内着陆，大翼消耗了太多燃油，而中央油箱却仍有燃油可用……

以上是本文对“3000 kg”这个数值的理解。以下是另一种理解，一并分享出来。

4 基于极端情形的“官方解释”

关于“3000 kg”这个数值，X机长提供了一个基于极端情形的解释。原文是这样子——

The value of 3 tons for the A320 FCOM Procedure "Fuel Leak /Case 2" was chosen to cover the remote case of a subsequent failure of the full level sensor in the affected inner tank. In such a case, if the center tank pumps are set to ON too early, there could be fuel spilled overboard, due to the fuel going from center tank to the inner tank through the line breakage and the full level sensor being inoperative. Therefore, a conservative value of 3 tons has been set. When reaching 3 tons, there is sufficient place in the inner tank to allow a transfer of fuel from the center tank to the inner tank (through the breakage in the feeding pipe) with a reduced risk of overflow.

阅读理解：

-3000 kg这个数值是为了兼顾到这样一种多重失效情形：1、中央油箱泄露；2、大翼内侧油箱的FULL油位传感器失效；3、位于内侧油箱区域的中央泵供油管破漏。

-在这种情形下，如果过早恢复中央泵，那么中央燃油箱的燃油，将通过破漏的供油管进入内侧油箱，并且无视自动关断逻辑（因为FULL油位传感器失效），持续增加直至充满整个内侧油箱，继而很快就发生溢出。

-为了包容这样一种失效（不至于很快地发生燃油溢出），就要在恢复中央泵之前，在内侧油箱中先预留出足够的空间。因此设置了3吨这个保守的数值（有接近2吨的空间来包容失效！）

诚然，位于内侧油箱区域的中央泵供油管有可能会发生破漏；而且同样位于内侧油箱区域的FULL油位传感器也可能正好失效；但这两者本身就不太可能存在关联，和另一个区域——中央油箱区域发生泄漏也同样不太可能有关。祸不单行，而且还“三重奏”，这就实在是太不可思议了，简直是“纯属虚构”——因此几乎可以说这种解释是牵强的。

但它又是颇有含金量的。因为在假设的这种小概率事件中，理论上，燃油溢出是会发生的，这会加剧燃油损失。溢油是怎么发生的，又是从哪儿溢出呢？马上来看看相关的系统知识。

稍等，顺便说明一下这个解释的来源。根据PPRUNE论坛上2009年发起的一个讨论贴的说法，早在2007年空客就已被咨询过“3000 kg”这个数值的意义，当时的工程师表示不清楚并且计划要删除它。到了2012年，一位读者针对漏油的不同情况回复了详尽的分析，其中就包含了这个解释（表述有所不同）。

再后来，在2015年，我们国内的机长咨询相同的问题，得到的答复即是这个解释了。无论这种解释最初来源何处，现在它是“官方解释”了。这就是为什么3000 kg这个数值最终没有被删除。

5 相关的系统知识

回到正题，先说这个——

5.1 供油管的位置

前边提到破漏的是“位于内侧油箱区域的中央泵供油管”。它的起点是中央泵，终点是发动机，那么具体位置如何呢？它是被包容在油箱内部的，还是裸露在油箱之外呢？这将决定破漏的性质，前一种情况的直接后果是“内漏”（inner leak），后一种情况导致直接损失燃油的“外漏”——也就是燃油泄露程序本身关注的“泄露”。

理论上，燃油泵和用户之间的供油管，只要有可能就应该被包容在燃油箱内部，这在安全上显然更有优势；正如肠胃应该位于人体内部。事实上也确实如此，下面的图片展示了一架空客飞机（可能是A320）油箱内部的一角，图中有供油管和油量传感器（黑色）。

在不得不进入吊架之前，供油管完全位于油箱内部。与供油管直接相连的部件同样位于油箱内部。也这是因此，某些失效情况会产生类似于正常“燃油传输”的效果：大翼内侧油箱中的供油管发生破漏，与IDG冷却系统产生回油，这两者都可以让内侧油箱的油量增加；而内侧油箱供油管的入口端、大翼泵出口处的单向活门，如果发生了内漏，那么当中央泵工作，燃油就会“倒灌”进入内侧油箱，从而产生了中央油箱向大翼油箱传输燃油的假象——这是在进行燃油平衡时可能会遇到的情况。

▲ A320发动机供油管的吊架部分

5.2 油箱通气系统

燃油溢出，从哪里溢出呢？答案是大翼下方的NACA通气口。

大翼油箱的内侧油箱和外侧油箱，向本侧的防波油箱通气。“通气”这个说法，英文原文是vent，但是在中文语境里，可以明确说明，“气”指的是燃油箱惰化系统所产生的氮气（N2）。这正是下图中黄色的三角警告标志的意义——此处排出的氮气可以导致人员窒息。

▲ 通气管道的分布

通常情况下，通气管道用于排出多余的氮气，但也可以起到另外的作用。在地面加油时，如果加油关断活门失效，各个油箱中的过剩燃油可以进入通气管道，最后从位于通气防波油箱（vent surge tank）下方的“NACA通气口”排到机外。而在空中，如果各油箱由于系统故障而满油，同样可以从NACA通气口溢出。

▲ 位于大翼最外侧的通气防波油箱

▲ NACA通气口的细节图

▲ NACA通气口在大翼上的相对位置（实景）

5.3 中央泵的自动逻辑

前文还提到了“大翼内侧油箱的FULL油位传感器失效”，这导致中央泵无法自动关闭，而持续地给发动机供油。那么它的自动工作逻辑是如何的呢？设计的目的又是什么？

逻辑是这样的——

如果

-在自动模式，

-中央泵电门在ON位

-大翼内侧油箱有燃油

那么

-当有一侧的内侧油箱的油位低于UNDERFULL位（传感器变干）时，中央油箱运转

-当有一侧的内侧油箱的油位达到FULL位（传感器浸湿）时，中央油箱停止运转

FULL位对应于内侧油箱满油，理论值是大约5400 kg

UNDERFULL位，与FULL位相差大约500 kg，因此理论值大约是4900 kg

以上自动逻辑的目的，在于始终为发动机IDG冷却回油保留最多大约500 kg的油箱空间。当中央油箱供油，大翼油箱会因为IDG冷却系统所返回的燃油回到大翼油箱而过满，FULL油位传感器在被浸湿后，发送信号发送FLSCU，使中央泵停转。接下来，大翼油箱泵持续供油，直到消耗了大约500 kg，UNDERFULL油位传感器变干，它发送信号使中央泵重新运转。

但是，逻辑的生效与设计目的无关；如果失效情形——例如由中央泵通向发动机的供油管路破漏了——也导致了内侧油箱燃油量的变化，那么以上逻辑依然成立。根据逻辑，中央泵本应在内侧油箱FULL位自动停转。但是祸不单行，传感器失效破坏了这种逻辑。因此，中央泵将继续运转，使内侧油箱中的燃油过剩，继而进入通气管道，最后从大翼下方的NACA通气口溢出。因此，为了避免很快发生这种溢出，不能过早打开中央泵。

以上就是理解那个基于极端情形的“官方解释”所需要的系统知识。回顾一下，针对中央泵的恢复使用，本文的观点是“如无必要，无须恢复”，理解这一点并不需要掌握太多的系统知识，只需要做一些计算题。而针对“3000 kg”这个数值的“官方解释”，背后则有不少系统知识的支撑，本文的后半部分所展开讲述的正是这些知识，希望能帮助到读者。

—— END ——

相关阅读：《劫富不济贫：空中燃油平衡程序》

这是笔者的另一篇文章，以B737NG为例探讨了以下问题：

1. 什么是“燃油不平衡”形态？

2. 燃油平衡程序的目的是什么？

3. 能不能在空中实现燃油箱之间的“倒油”？

4. 如何消除不平衡？

5. 必须关闭中央油箱泵吗？

6. 哪些是“关键步骤”？

7. 步骤的顺序重要吗？