Почему бы не больше аварий Max 8?

С хорошо работающим датчиком угла атаки 737 MAX был в безопасности. Только неисправность, которая позволяет датчику сообщать о большем угле, чем реальный, приведет к повторной попытке MCAS опустить нос самолета вниз.

Такая неисправность — редкое явление ( 10 в год на всех типах, летающих в США). Это должно объяснить многие полеты 737 без происшествий. Однако полагаться только на один датчик было преступной халатностью. Безопасная конструкция должна иметь встроенную избыточность . По иронии судьбы, у 737 MAX есть такой второй датчик (как раз напротив того, который питал MCAS), но программное обеспечение не перепроверило показания.

Дополнительные замечания

Теперь было так много комментариев, и все они были вызваны моим довольно беглым описанием проблемы, что я лучше расширю этот ответ, чтобы люди не чувствовали необходимости добавлять дополнительные комментарии.

MCAS уже была представлена ​​​​в Boeing 707 и KC-46 (танкерная версия 767), но добавляла дифферент носом вниз только один раз, если превышен предписанный угол атаки.

С более мощными двигателями LEAP 737 MAX устойчивость по тангажу при больших углах атаки и высокой тяге станет отрицательной, что сделает невозможным сертификацию любого самолета в соответствии с действующими правилами для гражданских самолетов . Более переднее расположение воздухозаборников и сильное всасывание на воздухозаборнике при большом угле атаки потребовали бы большего горизонтального хвостового оперения, если бы применялись надлежащие правила проектирования.

Но Boeing управляется бывшим руководством McDonnell-Douglas, где сокращение расходов важнее, чем применение надлежащих правил проектирования. Более крупное горизонтальное оперение привело бы к конструктивным изменениям всей задней части самолета, потребовало бы новых приспособлений и испытаний, а также гораздо более сложной сертификации. Более простые решения также не сработали: было введено несколько аэродинамических решений, таких как изменение полосы сваливания передней кромки и модификация вихрей передней кромки, но их было недостаточно для прохождения регулирования. Так что нестабильность пришлось исправлять программно.

Результатом стала система, которая считывала данные с одного датчика и при правильных условиях (закрылки подняты и автопилот отключен) изменяла тангаж на 2,5 градуса при повороте стабилизатора при превышении заданного угла атаки и повторяла это бездумно через пять секунд . если бы угол атаки был еще слишком велик. Никаких условий для неисправного датчика не было. Обеспокоенность инженеров и летчиков-испытателей по поводу опасностей, связанных с отказом датчика, в конечном итоге была отклонена. В конце концов, Boeing официально предположил, что пилоты будут реагировать на неожиданную активацию MCAS, как если бы это было событие триммера стабилизатора, и сделают это в течение четырех секунд.

Все 737 имеют два датчика AoA, но MAX MCAS полагался только на один датчик за раз, переключаясь между левым и правым в каждом полете. Кстати, MCAS KC-46, хотя и менее мощный, использует входы двух датчиков и триммирует стабилизатор всего на 0,6° и только один раз за активацию.

Затем, чтобы ограничить объем обучения пилотов для нового типа до уровня B (без тренажера), MAX должен ощущаться пилотом как Боинг 737 следующего поколения. Это позволило летать на MAX с рейтингом типа для обычный 737, большой аргумент в пользу продаж для авиакомпаний, которые уже эксплуатировали 737. MCAS помогла достичь этого, и информация о его деталях не была частью обязательного обучения (которое состояло из двухчасового учебного курса для iPad). Повторяя изменение триммера по тангажу, MCAS стала критически важной для безопасности, чего не было в более ранних версиях. Тем не менее, информация о нем была скрыта и большинство пилотов даже не знали о его существовании после перехода на МАКС.

Еще одним фактором было недостаточное финансирование и регулятивный контроль.FAA в последние десятилетия, у которого было меньше персонала для проверки новых конструкций, поэтому оно с радостью передало большую часть испытаний для сертификации производителям: Уполномоченные представители Boeing — это сотрудники Boeing, которым предоставлено специальное разрешение представлять интересы FAA и действовать от имени FAA при проверке соответствия авиационных систем и конструкций требованиям FAA. Основная функция процесса сертификации, позволяющая второй паре опытных глаз осмотреть новые вещи, была передана на аутсорсинг тем же людям, которые санкционировали эти проекты. Кроме того, FAA неверно представило возможности MCAS как дополнение к регулировке скорости, чтобы избежать более тщательного изучения и испытаний. Более поздние расследования выявили тревожную тенденцию, когда руководство FAA относилось к операторам благосклонно и благосклонно.отменяет работу технических экспертов .

Как обычно, было упущено несколько возможностей избежать того, что произошло, и несколько причин сговорились, чтобы превратить MCAS в ловушку, в которую она превратилась.

Большинство авиационных происшествий происходят не из-за одной неисправности или ошибки, а из-за множества сопутствующих факторов . Если бы один из них был устранен, аварии бы не произошло (или она была бы менее серьезной). Это часто называют моделью швейцарского сыра :

^{(Источник изображения: Википедия )}

Только когда все отверстия в сыре совпадут, линия может пройти. В авиации это означает, что авиационное происшествие происходит только тогда, когда все способствующие факторы возникают одновременно. Задача расследования несчастного случая состоит в том, чтобы определить все способствующие факторы и опубликовать их в окончательном отчете, чтобы можно было заполнить дыры в сыре (что означает, что проблемы могут быть устранены), чтобы можно было предотвратить будущие несчастные случаи из-за этих факторов.

Крушения 737 MAX в основном были результатом следующего (полный список факторов, способствующих крушению Lion Air, см. В конце этого ответа):

• Решение Boeing использовать только один датчик AoA для MCAS и не ограничивать его активацию.
• Сломан датчик AoA на аварийном самолете, что привело к вводу неверной информации в MCAS.
• Недостаточная подготовка летного экипажа, приводящая к неправильной реакции пилотов на триммер стабилизатора.

Неправильно возлагать вину за несчастные случаи на какой-то один фактор (например, обвинять только Боинг или только пилотов). Все способствующие факторы важны, и в отчетах об авариях эти факторы не классифицируются по серьезности.

К настоящему времени MCAS была обновлена, чтобы использовать оба датчика AoA и активировать только один раз:

Эта необходимая программная функция работает только в необычных условиях полета и теперь опирается на два датчика, активируется только один раз и никогда не отменяет возможности пилота управлять самолетом.

^{( Боинг )}

Большинство регулирующих органов также требуют, чтобы пилоты прошли обучение на тренажере, прежде чем им снова разрешат летать на 737 MAX:

Речь идет не только об изменениях конструкции самолета: каждый отдельный пилот 737 MAX должен пройти разовое специальное обучение, в том числе обучение на тренажере, чтобы убедиться, что он полностью знаком с модернизированным 737 MAX и обучен работе в конкретных сценариях. которые могут возникнуть в полете.

^{( ЕАСА )}

Таким образом, по крайней мере две дыры теперь заполнены, и даже если датчик AoA снова сломается на 737 MAX, это не должно привести к новой аварии.

Для полноты картины вот полный список факторов, способствующих крушению Lion Air. Окончательный отчет об авиакатастрофе в Эфиопии еще не опубликован, а в промежуточном отчете не перечислены способствующие факторы.

1. Во время проектирования и сертификации Boeing 737-8 (MAX) были сделаны предположения о реакции летного экипажа на неисправности, которые, хотя и соответствовали текущим отраслевым нормам, оказались неверными.

2. На основании неверных предположений о реакции летного экипажа и неполного анализа связанных с этим множественных эффектов в кабине экипажа, использование MCAS одного датчика было сочтено целесообразным и отвечающим всем сертификационным требованиям.

3. MCAS был разработан, чтобы полагаться на один датчик угла атаки, что делало его уязвимым для ошибочных данных от этого датчика.

4. Отсутствие указаний по MCAS или более подробное использование триммеров в руководствах по летной эксплуатации и при обучении летных экипажей затрудняло для летных экипажей надлежащее реагирование на неуправляемые MCAS.

5. Предупреждение AOA DISAGREE не было правильно включено во время разработки Boeing 737-8 (MAX). В результате он не появлялся во время полета с неправильно откалиброванным датчиком угла атаки, не мог быть задокументирован летным экипажем и, следовательно, не мог помочь техническому обслуживанию идентифицировать неправильно откалиброванный датчик угла атаки.

6. Сменный датчик угла атаки, который был установлен на самолете, потерпевшем аварию, был неправильно откалиброван во время предыдущего ремонта. Эта неправильная калибровка не была обнаружена во время ремонта.

7. В ходе расследования не удалось установить, что проверка установки датчика угла атаки была проведена должным образом. Неправильная калибровка не обнаружена.

8. Отсутствие документации в журнале полетов и технического обслуживания самолета о встряхивателе непрерывного действия и использовании стабилизатора разгона NNC означало, что информация не была доступна ни бригаде технического обслуживания в Джакарте, ни аварийной бригаде, что усложняло задачу для каждой из них. принять соответствующие меры.

9. Невозможно было эффективно управлять многочисленными предупреждениями, повторяющимися активациями MCAS и отвлекающими факторами, связанными с многочисленными сообщениями УВД. Это было вызвано сложностью ситуации и производительности при ручном управлении, выполнении NNC и общении с летным экипажем, что привело к неэффективному применению CRM и управлению рабочей нагрузкой. Эти характеристики ранее были выявлены во время обучения и вновь проявились во время аварийного полета.

^{( Заключительный отчет рейса 610 компании Lion Air )}

Все ответы здесь хороши, и они касаются того, что вы, вероятно, собирались спросить. Но я хочу ответить на вопрос, который вы буквально задали

Почему бы не больше аварий Max 8?

т.е. почему аварий Макса 8 было ровно две , а не, скажем, три, или пять, или десять?

Давайте пересмотрим временную шкалу

29 октября 2018 г.: Крушение 1: рейс 610 Lion Air 10 марта 2019 г.: Крушение 2: рейс 302 Ethiopian Airlines 13 марта 2019 г.: FAA приземлило флот 13 марта (многие другие страны вскоре приземлятся)

Давайте представим гипотетическую параллельную вселенную с этой временной шкалой:

29 октября 2018 г.: Крушение 1: рейс 610 Lion Air 1 декабря 2018 г.: Крушение 2: рейс 123 авиакомпании XYY.

Что было бы тогда? Что ж, скорее всего, FAA приземлило бы флот 4 декабря 2018 года. Таким образом, рейс 302 Эфиопских авиалиний никогда бы не состоялся. У вас все равно будет только две аварии.

Вы можете представить множество различных вариаций этого. Например, возможно, рейсу 610 Lion Air повезло, так что Авиакомпания «Эфиопия» на самом деле была Крушением 1, а какой-то другой рейс потерпел крушение в июне 2019 года, а через несколько дней после этого произошло крушение. У вас все равно будет только две аварии.

Я хочу сказать, что если в течение короткого промежутка времени произойдет две крупные аварии со смертельным исходом, которые кажутся связанными, авиационные власти собираются остановить флот до того, как произойдет третья. Может быть, если две аварии не имеют явно одинаковых причин, их может стать три. В некоторых случаях флот будет остановлен после всего лишь одного крушения. Но нет такой вселенной, в которой по одной и той же причине произойдет десять или двадцать смертельных аварий без посадки флота на мель.

Чтобы было ясно, предостережения здесь следующие:

• Крупные аварии со смертельным исходом. Определенно были повторяющиеся инциденты, которые не приводили к немедленной посадке на мель (например, поломка лопастей вентилятора, как на Southwest Flight 1380), но они не приводили к потере корпуса и гибели всех на борту.
• Короткий промежуток времени. Если бы два инцидента с 737 Max произошли с разницей в несколько лет, второй, возможно, не привел бы к немедленному заземлению.
• Связанная причина.

Частично это связано с тем, как был спроектирован 737-MAX. Я объяснил это более подробно в этом ответе , но TL; DR здесь

1. Max 8 был спроектирован так, чтобы быть максимально идентичным существующим самолетам 737, поэтому переподготовка пилотов и полная сертификация FAA не требовались.
2. MCAS можно было отключить теми же методами, что и стабилизатор разгона (проблема, с которой могут столкнуться все 737-е). Предыдущий экипаж самолета Lion Air 610 понял это и избежал крушения.

   Озадаченный экипаж в кабине сверился с кратким справочным справочником, выполняя другие аварийные действия, прежде чем успешно восстановить контроль над самолетом, выполнив контрольный список для неуправляемого стабилизатора. Это отключило MCAS, и оставшуюся часть пути экипаж летел вручную.

Другими словами, он в основном вел себя как хорошо известный самолет. Вы просто должны были быть в состоянии правильно диагностировать проблему до того, как самолет разбился. Кажется, в большинстве случаев это делал экипаж. Проблема в том, что цена отсутствия диагностики неприемлемо высока...