航空維修專業(yè)者,每天和你分享不一樣的飛機(jī)新鮮事!“解決方案陷阱”是筆者生造的詞匯,是指機(jī)組面臨混亂、矛盾的信息時,遵循錯誤信息引導(dǎo)選擇解決方案,導(dǎo)致情況進(jìn)一步惡化的現(xiàn)象。 在閱讀法航447空難報告時,筆者注意到這樣一個現(xiàn)象。 機(jī)組最早注意到的是ECAM上的超速提示。所以盡管后續(xù)處置中,很多跡象表明空速偏低,只要飛行指引桿出現(xiàn),機(jī)組就死追指引;只要飛行指引桿消失,機(jī)組就按超速處置。 這就是非常典型的機(jī)組喪失態(tài)勢感知能力,墜入“解決方案陷阱”的案例。 過往的不安全事件表明,機(jī)組一旦落入“解決方案陷阱”,其思維勢必陷入“管道效應(yīng)”無法自拔,想要重新“跳”出來,幾乎是不可能的。 如何在特情初始,協(xié)助機(jī)組恢復(fù)態(tài)勢感知能力,是避免“解決方案陷阱”的關(guān)鍵。我們現(xiàn)有的處置程序、人機(jī)交互界面、機(jī)組訓(xùn)練等都還有很大的改進(jìn)空間。 在遭遇失效(特殊情況)時,我們一般說機(jī)組的正確反應(yīng)有:“首先控制飛機(jī),然后快速判斷故障,之后在合適的條件下找到并執(zhí)行正確的程序”。然而實(shí)際情況是,機(jī)組有可能遭遇到從未遇見甚至極端的(故障)條件,在思考時間有限的情況下,機(jī)組有可能完全喪失理解力和判斷力,我們的安全模式局限性就在于,如果機(jī)組一開始不能抓住“重點(diǎn)”,那么后續(xù)的控制力和判斷力也就無從談起了。這種安全模式也只能是“一般失效模式”。AF447在初期未能良好的控制好飛機(jī)最終導(dǎo)致事故也例證了這一點(diǎn)。 ——《法航447航班事故調(diào)查報告》 第一節(jié) B737空速不可靠故障中的“解決方案陷阱” 以下一條或多條可證實(shí)空速或馬赫指示不可靠: ● 速度/姿態(tài)信息與俯仰姿態(tài)和推力調(diào)定不一致 ● SPD 失效警告旗 ● SPD LIM 失效警告旗 ● IAS DISAGREE 警報 ● 空速顯示空白或波動 ● 機(jī)長和副駕駛空速顯示之間有差異 ● 雷達(dá)天線罩損壞或丟失 ● 超速警告 ● 同時出現(xiàn)超速和失速警告。 ——《空速不可靠檢查單》 以上是《空速不可靠檢查單》所羅列出的9種空速不可靠現(xiàn)象。 通常而言,在B737飛機(jī)上越是危險或緊迫的特情,其警告方式也就越直接。 當(dāng)B737的空速數(shù)據(jù)出現(xiàn)錯誤時,可能觸發(fā)的諸如“airspeed low”、失速、超速、風(fēng)切變等虛假警告,均具備非常強(qiáng)烈的視覺、音響、抖桿刺激。 反倒是最關(guān)鍵的“IAS DISAGREE”信息,僅以琥珀色小字顯示在速度帶下方,是所有警告信息中最不醒目的一項(xiàng)。 更為雪上加霜的是,錯誤的空速還會誤導(dǎo)自動飛行系統(tǒng)進(jìn)行“偏差修正”。機(jī)組略做遲疑,就可能進(jìn)入復(fù)雜狀態(tài)。人工操縱令機(jī)組工作量呈幾何倍數(shù)增加,進(jìn)一步削弱機(jī)組的態(tài)勢感知能力。 人工操縱飛機(jī),飛行姿態(tài)異常、飛行參數(shù)混亂,警告相互矛盾。機(jī)組應(yīng)當(dāng)何去何從? 失速改出? 超速改出? 風(fēng)切變改出?(空速異常可能誘發(fā)風(fēng)切變警告。) 地形警告改出?(低空可能導(dǎo)致接近危險地形。) 安定面配平失控記憶項(xiàng)目? 空速不可靠記憶項(xiàng)目? 事實(shí)證明,當(dāng)面臨巨大的心理時,機(jī)組更傾向于遵從最直接、最強(qiáng)烈的警告采取措施,其陷入“解決方案陷阱”的概率是很高的。 在大量警告信息堆砌的背后,是B737飛機(jī)明顯的“人機(jī)功效”缺陷——警告指向性模糊,無法識別和隔離錯誤數(shù)據(jù),必須通過機(jī)組的邏輯分析才能判定故障! B737這樣一款有幾十年歷史的經(jīng)典機(jī)型為什么會出現(xiàn)這樣的問題呢? 這還要從B737的儀表數(shù)據(jù)架構(gòu)缺陷說起。 第二節(jié) B737的儀表數(shù)據(jù)架構(gòu) B737的儀表數(shù)據(jù)架構(gòu),可以大致分為四個部分: (一)皮托靜壓系統(tǒng) 皮托靜壓系統(tǒng),主要由空速管、靜壓孔和全溫探頭組成。其探測數(shù)據(jù)經(jīng)過ADR處理后,可以提供空速、高度、高度變化率、全溫、靜溫等參數(shù)。 (二)慣性導(dǎo)航基準(zhǔn)組件 慣性導(dǎo)航基準(zhǔn)組件,主要由激光陀螺和加速度計組成,可以提供姿態(tài)、垂直速度、地速,以及垂直軌跡角度等數(shù)據(jù)。 (三)迎角傳感器 B737安裝有兩個風(fēng)標(biāo)式迎角傳感器,可以提供迎角數(shù)據(jù)。迎角用于指示飛機(jī)翼弦與氣流的夾角。 (四)傳感器數(shù)據(jù)間的交叉修正 單一探測機(jī)理獲得的數(shù)據(jù),都會存在誤差。所以系統(tǒng)會利用其它探測系統(tǒng)的數(shù)據(jù)進(jìn)行交叉修正。 我們以垂直速度為例。 慣導(dǎo)通過加速度計數(shù)據(jù),可以積分計算獲得垂直速度。這個“慣導(dǎo)垂直速度”,略超前于飛機(jī)實(shí)際的位置移動,靈敏但易受顛簸等瞬時過載干擾。 皮托靜壓系統(tǒng)通過靜壓的變化率,也可以計算出垂直速度。這個“靜壓垂直速度”略滯后于飛機(jī)實(shí)際位移,但數(shù)據(jù)穩(wěn)定。 如果在五邊飛CDFA,我會希望使用“慣導(dǎo)垂直速度”。這樣可以及時發(fā)現(xiàn)和修正垂直剖面的偏差。 如果在顛簸環(huán)境巡航,那我更傾向于使用“靜壓垂直速度”,避免不必要的俯仰操縱。 B737NG飛機(jī)采用以“慣導(dǎo)垂直速度”為主,輔以“靜壓垂直速度”修正后的綜合數(shù)據(jù)。IRU故障會導(dǎo)致VS指示消失,ADR故障則不會。而據(jù)說B777飛機(jī)則剛好相反。 至于這個交叉修正是如何完成的,那應(yīng)該算是制造商的核心機(jī)密之一了。至少從結(jié)果看,波音的交叉修正的算法是很成功的。 好,現(xiàn)在問題來了。 如果皮托靜壓數(shù)據(jù)出現(xiàn)錯誤,交叉修正會不會導(dǎo)致垂直速度不可靠呢? 會。 此時可否切斷傳感器數(shù)據(jù)間的修正呢? 不可以。 因?yàn)椴ㄒ?37的儀表數(shù)據(jù)是在一個非常陳舊的架構(gòu)下,漸次堆砌新技術(shù)構(gòu)成的。 三套傳感器獲得的數(shù)據(jù), 是分散在大氣數(shù)據(jù)基準(zhǔn)組件(ADR)、慣性基準(zhǔn)組件(IRU)、飛行管理計算機(jī)(FMC)、飛行控制計算機(jī)(FCC)、自動油門計算機(jī)、近地警告計算機(jī)(GPWC)等系統(tǒng),分別按需處理的。 說地通俗一點(diǎn),ADIRUS就像個菜市場大嬸,把白菜幫子剝了,豬肉毛剃干凈,醬油裝瓶,鹽裝袋。 DEU就像個快遞小哥,把這些半成品打包送到各家各戶。 至于各位計算機(jī)“大大”們是好咸口還是甜口,做川菜、魯菜還是冒菜,吃了會不會拉肚子——您自己看著辦。 有的系統(tǒng)有“潔癖”,譬如EEC,只要發(fā)現(xiàn)數(shù)據(jù)比對不一致,就拒收全部數(shù)據(jù),自己蹲屋里泡面吃(EEC備用方式)。 有的系統(tǒng)信奉“不干不凈吃了沒病”,譬如自動油門計算機(jī)和這次出事兒的MCAS,吃壞了肚子就開始抽風(fēng)胡來。 雖然每一代B737飛機(jī)都會引入當(dāng)時最先進(jìn)的設(shè)備,但其基礎(chǔ)的儀表數(shù)據(jù)架構(gòu)與機(jī)械儀表時代并無二致。 它缺少一個集中采集、處理、監(jiān)控各個傳感器數(shù)據(jù)的“食堂大廚”。重集成,輕對比,無隔離,一旦某個傳感器數(shù)據(jù)出現(xiàn)錯誤,就會廣泛影響。 找一輛“東方紅”拖拉機(jī),發(fā)動機(jī)換成奔馳的,變速箱換成寶馬的,輪胎換成法拉利的,這車能不能開? 當(dāng)然可以,但這樣并不能將子系統(tǒng)的優(yōu)勢完全發(fā)揮出來。 第三節(jié) “少數(shù)服從多數(shù)”原則的缺陷 我們?nèi)匀换氐紹737NG的空速不可靠故障。受探測系統(tǒng)間交叉修正的影響,空速、高度、垂直速度、FPV、靜溫等均被視作不可靠數(shù)據(jù)。 QRH承認(rèn)的四項(xiàng)數(shù)據(jù)可靠:姿態(tài)、N1、地速和無線電高度。單純依靠這四項(xiàng)數(shù)據(jù),無法實(shí)現(xiàn)跨探測系統(tǒng)的交叉檢查。 所以縱觀整個“空速不可靠”處置流程,對比三塊速度表間的讀值差異是主要手段,輔以姿態(tài)和推力的檢查。 筆者本人就曾經(jīng)在航班上遇到過三塊速度表依次相差20節(jié)的情況。按照B737的QRH又如何解決呢? 類似的問題在空客320飛機(jī)上也存在。在XL888T空難中,結(jié)冰導(dǎo)致1號和2號迎角傳感器卡阻。原本正常的3號迎角傳感器數(shù)據(jù),因?yàn)榕c其他二者差異過大,也被系統(tǒng)拒絕。(When the real angle of attack increased, the blockage of AOA sensors 1 and 2 at similar values caused the rejection of the ADR 3 anemometric values, even though these were valid.——《XL888T空難調(diào)查報告》 ) 對比同一探測機(jī)理的三個傳感器數(shù)據(jù),然后以“少數(shù)服從多數(shù)”的方式確定錯誤數(shù)據(jù),從概率上講可以接受,但從邏輯上講太過草率。 第四節(jié) “跨系統(tǒng)交叉檢查”的儀表架構(gòu)設(shè)想 下面我們將機(jī)載傳感器分割為三個部分:皮托靜壓、慣導(dǎo)和迎角,嘗試?yán)每缦到y(tǒng)的交叉檢查,識別和屏蔽錯誤數(shù)據(jù)。 這個方法可以用于改良儀表數(shù)據(jù)架構(gòu),也可以用于改良人機(jī)交互界面,但最終的目的還是幫助機(jī)組恢復(fù)態(tài)勢感知能力。 筆者選取了三個典型案例,基于以下四點(diǎn)假設(shè)前提分析: (1)使用B737NG標(biāo)配的機(jī)載設(shè)備。 (2)在起始階段,機(jī)組不清楚哪個系統(tǒng)故障,但不盲從于任一系統(tǒng)的指示。 (3)當(dāng)數(shù)據(jù)發(fā)生異常時,探測器間的集成修正會被切斷。 (4)駕駛艙儀表具備FPV和AOA顯示,且每一個AOA數(shù)據(jù)均具備獨(dú)立指針。 案例一 法航447空難 A330飛機(jī)在巡航高度37000英尺進(jìn)入對流云團(tuán)。三根空速管同時結(jié)冰,導(dǎo)致所有空速指示異常。機(jī)組脫開自動駕駛,并收油門帶桿,俯仰姿態(tài)增加至10°以上,垂直速度7000英尺/分鐘。飛機(jī)經(jīng)過短暫的爬升后進(jìn)入失速,最終墜毀。 帶桿,還是推桿? 收油門,還是加油門? 這都基于飛行員對當(dāng)前狀態(tài)的認(rèn)知——飛機(jī)到底是臨近超速,還是臨近失速?所以恢復(fù)機(jī)組的態(tài)勢感知能力是當(dāng)務(wù)之急。 (1) 如果法航447安裝有迎角指示器,機(jī)組會發(fā)現(xiàn)其讀值遠(yuǎn)高于正常水平。也就是說飛機(jī)在快速接近失速。(事故調(diào)查報告中也指出未安裝迎角指示器是重要缺陷。) 那我們又如何確定迎角數(shù)據(jù)的可靠性呢? (2)俯仰姿態(tài)、和FPV均源自慣導(dǎo)系統(tǒng),其二者的差值近似等于迎角。(為便于描述,我們后文簡稱其為“慣導(dǎo)迎角”。)我們可以利用“慣導(dǎo)迎角”來檢查迎角傳感器的可靠性。 上述過程,意在恢復(fù)機(jī)組的態(tài)勢感知能力。機(jī)組只需要清醒意識到空速不可靠,執(zhí)行“475/1080”記憶項(xiàng)目,整個特情處置就成功一半兒了。 “475/1080”記憶項(xiàng)目會以高度作為“能量海綿”,保持飛機(jī)既不失速,也不超速;既不超過升限,也不低于10000英尺。(詳見《475/1080》一文)。 案例二 XL888T空難 A320飛機(jī)在4000英尺高度進(jìn)行“失速迎角保護(hù)”演示飛行。1號和2號迎角傳感器因結(jié)冰卡阻,3號迎角傳感器工作正常。但由于三組迎角數(shù)據(jù)差異過大,所以全部被系統(tǒng)拒絕,進(jìn)而導(dǎo)致自動配平失效。 機(jī)組加油門改出失速,由于升降舵氣動效能低于水平安定面,且機(jī)組未使用人工配平,故而俯仰姿態(tài)始終無法減小。最終飛機(jī)失速墜毀。 乍看起來,XL888T空難與前一段時間發(fā)生的獅航610空難非常相似。但其實(shí)二者有著很大的差異。 波音737只有兩個迎角傳感器,不能識別錯誤數(shù)據(jù),也不能隔離錯誤數(shù)據(jù)。所以在獅航610空難中,一個迎角傳感器故障,系統(tǒng)即放任錯誤數(shù)據(jù)誘導(dǎo)MCAS向前驅(qū)動配平。 空客320有三個迎角傳感器,能夠識別迎角數(shù)據(jù)錯誤,也能夠隔離不可靠數(shù)據(jù),但不能確定哪個傳感器故障。所以在XL888T空難中,兩個迎角指示器故障,導(dǎo)致全部三個迎角數(shù)據(jù)被系統(tǒng)拒絕。自動配平失效在當(dāng)前位置,并且向機(jī)組提供了“USE MAN PITCH TRIM”警告信息。 同樣是迎角傳感器故障。 同樣遭遇水平安定面氣動效能超過升降舵的問題。 同樣以失控墜海收場。 但必須要說,A320與B737機(jī)型在儀表數(shù)據(jù)架構(gòu)上的水平,還是高下立判的。 如果XL888T不是刻意進(jìn)入高迎角狀態(tài),演示飛行高度再高一些,機(jī)組能夠注意到“USE MAN PITCH TRIM”警告,原本是很有希望改出的。 好了,我們回到本節(jié)的“跨系統(tǒng)交叉檢查”的思路上來。 (1)如果XL888T駕駛艙配備迎角指示器,那么機(jī)組會發(fā)現(xiàn),在失速進(jìn)入階段“慣導(dǎo)迎角”在持續(xù)增大,而迎角指示器讀值則維持不變。二者間顯著的差異,會讓機(jī)組意識到系統(tǒng)存在異常,并中止演示飛行。 (2)“慣導(dǎo)迎角”持續(xù)增大,迎角讀值保持不變,而空速在持續(xù)減小。很顯然“慣導(dǎo)迎角”與空速間表現(xiàn)出更合理匹配的關(guān)系。我們可以藉此確認(rèn),錯誤出現(xiàn)在迎角傳感器系統(tǒng)。從理論上講,我們甚至可確認(rèn)是哪個迎角傳感器故障,繼而“釋放”3號迎角傳感器的數(shù)據(jù)。 (3)如果“慣導(dǎo)迎角”的可靠性被確認(rèn),機(jī)組人工介入的時機(jī)會更早,而不是意識到“迎角保護(hù)功能”失效后才倉促采取措施??账僭降停刀媾c水平安定面的效能差距就越大。 (4)在姿態(tài)最高的階段,機(jī)組采取向右壓坡度的方式,減小升力豎直方向的分力,以獲得低頭力矩。這是一個“教科書式的”失控改出技巧。 但很不幸,所有失控改出技巧均基于這樣一個默認(rèn)的前提——飛機(jī)未進(jìn)入失速。而在失速狀態(tài)下主動進(jìn)入橫滾,則可能進(jìn)入更復(fù)雜的狀態(tài)。這何嘗不是一個“解決方案陷阱”呢? 相較之下,B737飛機(jī)的“模擬桿力”會促使機(jī)組本能地向操縱同向使用人工配平。這是 筆者非常贊賞的一個“落后設(shè)計”。瑕不掩瑜,我們“空中健身房”也不全是一無是處。 案例三 獅航610空難 B737MAX飛機(jī)左側(cè)迎角傳感器故障,左側(cè)迎角讀值較右側(cè)高15度左右。空速指示未見異常。左側(cè)迎角傳感器錯誤導(dǎo)致多次失速警告,并誤導(dǎo)MCAS向前配平。機(jī)組多次使用主電配平糾正MCAS的錯誤。最終MCAS將配平驅(qū)動至前止位,超過了升降舵權(quán)限。飛機(jī)高速俯沖墜毀。 我們首先以“跨系統(tǒng)交叉檢查”的思路審視這個案例: (1)如果駕駛艙內(nèi)配備迎角指示器,機(jī)組會發(fā)現(xiàn)左右側(cè)迎角指示差異巨大。 (2)與“慣導(dǎo)迎角”進(jìn)行對,機(jī)組會發(fā)現(xiàn)右迎角數(shù)據(jù)更加可信。 (3)5000英尺(大氣數(shù)據(jù))保持平飛(VS/FPV慣導(dǎo)數(shù)據(jù)),空速250節(jié)(大氣數(shù)據(jù)),俯仰姿態(tài)(慣導(dǎo)數(shù)據(jù))應(yīng)當(dāng)在2°左右,證明慣導(dǎo)與大氣數(shù)據(jù)合理匹配。此時的迎角怎么可能是15°呢? (4)確認(rèn)飛機(jī)真實(shí)迎角,會堅定機(jī)組保持當(dāng)前狀態(tài)的決心,更頻繁的使用主電配平對抗MCAS,甚至于考慮將配平馬達(dá)斷電(波音技術(shù)通告中建議切斷主電和自動駕駛配平切斷電門)。 在獅航610空難后,波音公司發(fā)布了針對B737MAX機(jī)型MCAS系統(tǒng)缺陷的技術(shù)通告,在業(yè)內(nèi)引發(fā)了廣泛的討論。 在一些已經(jīng)公開的事故數(shù)據(jù)中,我們可以看到機(jī)組曾經(jīng)使用主電配平短時恢復(fù)了對狀態(tài)的控制。 這說明只要機(jī)組有拉起機(jī)頭的主觀意愿,失控就是有希望改出的。但反復(fù)出現(xiàn)的失速警告和MCAS配平,很可能動搖了機(jī)組帶桿增加姿態(tài)的判斷。以至于MCAS的錯誤配平最終占據(jù)上風(fēng),將水平安定面驅(qū)動至前止位,導(dǎo)致飛機(jī)俯仰失控。 說到底,機(jī)組態(tài)勢感知能力的喪失,對飛機(jī)狀態(tài)的認(rèn)知錯誤,才是導(dǎo)致獅航610空難的根本原因。 如果由筆者負(fù)責(zé)波音的危機(jī)公關(guān),我會非常樂見業(yè)界對MCAS系統(tǒng)的爭議和指責(zé)。 因?yàn)楦倪M(jìn)MCAS是成本最低的解決方案。而想要把B737的儀表數(shù)據(jù)架構(gòu)推到重來,則無異于設(shè)計一款全新的飛機(jī)。繼續(xù)裝聾作傻,頭痛醫(yī)頭,腳痛醫(yī)腳,是波音唯一的選擇。 反觀空客系列飛機(jī),已經(jīng)初步具備了錯誤數(shù)據(jù)的識別和隔離理念,進(jìn)一步改良架構(gòu)不存在技術(shù)上的障礙。但有波音這樣的“豬對手”擋在前面,恐怕空客也未必多有動力投入資源。 反倒是C919和A220這樣的后發(fā)機(jī)型,如果能夠在設(shè)計之初謹(jǐn)慎規(guī)劃儀表數(shù)據(jù)架構(gòu),則會給未來的技術(shù)升級打下良好的基礎(chǔ)。 番外篇 “半部現(xiàn)代航空儀表史” 筆者經(jīng)常與人戲言:波音737飛機(jī)的失速警告信息,就是“半部現(xiàn)代航空儀表史”。 (一)抖桿器 B737飛機(jī)的駕駛桿安裝有抖桿器。抖桿器是由一個電動馬達(dá)和一個“偏心鐵環(huán)”構(gòu)成的。 失速警告被觸發(fā)時,馬達(dá)驅(qū)動“偏心鐵環(huán)”抖動,同時發(fā)出巨大的噪音。在“機(jī)械儀表 無線電羅盤領(lǐng)航”時代,這無疑是一個很巧妙的設(shè)計。 (二)俯仰極限指示 俯仰極限指示器,俗稱“小胡子”或“小耙子”,既可以為失速改出提供直觀的指示,也可以提供粗略的抖桿余度提示。 筆者專門咨詢了很多飛過B737CL全機(jī)械儀表型號的前輩。據(jù)他們回憶,在機(jī)械式ADI上就已經(jīng)有俯仰極限指示桿了。B737機(jī)型幾經(jīng)變化,但俯仰極限指示的形式并未改變。 (三)MCP板低速極限符號 飛機(jī)無法達(dá)到指令的空速時,在MCP面板的速度窗中會出現(xiàn)速度限制符號。 低速限制符號為閃爍的“A”。超速限制符號為閃爍的“8” 為什么是“A”和“8”? 回家找個老式計算器看看就明白了。 (四)BUFFET ALERT信息 隨著B737飛機(jī)配備FMC,在飛機(jī)觸發(fā)抖桿前CDU草稿欄里會默默地出現(xiàn)一條“BUFFET ALERT”信息。這一提示功能也保留至今。 (五)速度帶 B737CL機(jī)型早期的電子飛行儀表系統(tǒng)(EFIS)中是沒有速度帶的,只有快慢指針。在較晚批次的CL機(jī)型上開始配備速度帶顯示,但仍保留機(jī)械式空速表。 與俯仰極限指示相比,速度帶(下琥珀色區(qū)、下紅區(qū))可以更為量化的顯示抖桿余度。這一顯示方式也被后續(xù)的B737機(jī)型所繼承。 (五)“air speed low ”語音 在B737NG后期版本選型中,開始出現(xiàn)“air speed low ”語音警報。其觸發(fā)時機(jī)早于抖桿,大致在速度帶下琥珀色區(qū)中段后。 低速/失速警告是B737儀表數(shù)據(jù)架構(gòu)的一個縮影。整個B737的儀表數(shù)據(jù)是基于一個非常陳舊的架構(gòu),不斷的利用新技術(shù)補(bǔ)強(qiáng)而來的。 來自:藝不壓身 |