Почему пассажирские самолеты принимают данные, которые заставят самолет выполнять опасные маневры, для которых он не предназначен?

Вообще говоря, пилотам не нравится, когда компьютер интерпретирует или ограничивает их действия. Они хотят окончательного контроля. Они не всегда добиваются своего, но это их предпочтения.

Если я правильно помню, Боинг склонен придерживаться философии, согласно которой «пилот является окончательным арбитром». Airbus, скорее всего, упреждает действия пилотов и модифицирует их.

Хотя большинство аварий и происшествий заканчиваются ошибкой пилота, в изменении действий пилота есть серьезный недостаток. Этот недостаток возникает в случае сбоя системы.

По определению режимы отказа предполагают, что что-то идет не так. Когда что-то идет не так, практически невозможно спланировать в автоматическом режиме все непредвиденные обстоятельства. Люди гораздо лучше реагируют на неизвестность, чем системы автоматизации.

Возьмем, к примеру, правило, согласно которому «угол крена > 45 градусов опасен и поэтому запрещен». Как самолет узнает, что угол крена > 45 градусов? Ну это конечно датчик, а если датчик вышел из строя? Неисправный датчик либо подаст сигнал о принятии мер, когда в них нет необходимости, либо не подаст сигнал, когда требуется действие. Что делать, если рулевые поверхности вышли из строя и самолет не может скорректировать угол крена?

Обычный ответ на это — резервные системы, высоконадежные детали и конструкция и т. д. Все это, конечно, здорово и, безусловно, очень помогает. Однако у нас все еще есть инциденты и аварии.

В конце концов, вопрос: кому вы больше доверяете? Пилот или машина? А статистика и наука помогают вам здесь лишь наполовину. Опыт, предубеждения и чувства человека могут многое сказать о том, как он ответит. И под «человеком» понимаю, что я включаю клиентов, платящих людей.

Философия заключается в том, что пилот знает лучше. Если им нужно совершить маневр, им следует это доверить.

Хотя существуют абсолютные ограничения, такие как структура, другие ограничения менее точны и зависят от условий (и даже структура построена таким образом, чтобы выдерживать дополнительные запасы, отказы и повреждения). Что-то, что квалифицируется как «расстройство», конечно, не является рутиной, но это также не обязательно фатально и может быть использовано для решения определенных ситуаций.

Серьезной причиной для резких маневров будет уклонение от препятствия. В случае местности это, как правило, крутой подъем или, возможно, крутой поворот. Но это также может быть и другой самолет, и в этом случае пилот может захотеть быстро снизиться.

Давайте просто сосредоточимся на броске. Та же самая команда, которая может использоваться для крена самолета от угла крена от 0° до 30°, может использоваться для его крена от 30° до 60°. Кто должен решать, при каком угле крена находится самолет и что с этого момента дальнейшие команды по крену неприемлемы?

Очевидно, управляемая компьютером FCS , если мы решим, что пилотам нельзя доверять. Но можем ли мы больше доверять FCS? Что послужило бы основанием для установления правильного угла крена?

1. Гирос? Время от времени их нужно калибровать, потому что все гироскопы дрейфуют. Кто-то больше, кто-то меньше, но никакая технология не может помешать им показывать опасно неверные показания, когда они работают достаточно долго.

2. Акселерометры, которые показывают вектор гравитации? Как только самолет совершает скоординированный разворот , должно быть очевидно, что он направлен только в сторону от вектора подъемной силы. Нет игральных костей.

3. Радиовысотомер на законцовках крыла? Подлетите достаточно высоко и они станут бесполезными. Это может работать для полета на малых высотах, но не на всех этапах полета.

4. Камера и обработка изображений, чтобы найти отношение к горизонту? Перестает работать ночью или в тумане.

Я мог бы расширить список, но сейчас должно стать ясно, что это не так просто, как кажется. В частности, конструкция FCS для автономных БПЛА довольно сложна и требует сопоставления входных данных различных датчиков, чтобы установить горизонтальный полет. Компания Aurora Flight Sciences на собственном горьком опыте убедилась в этом во время летных испытаний своего прототипа Perseus A. Полагаясь только на гироскоп, команда не осознавала, что датчик отклонялся и управлял все более крутыми углами крена. Когда самолет разрушился, команда даже не сразу поняла, что произошло, потому что максимальное значение скорости снижения на нисходящем канале полетных данных соответствовало всего 20 м/с - просто застряло на -1023 отсчетах. В результате аварии прототип самолета был полностью разрушен .

Perseus A перед последним 21-м полетом.

Наверное, это последний форум во всем Интернете, где нужно объяснять, что полагаться на идеально работающее программное обеспечение глупо. Каким-то образом пилоты-люди по-прежнему лучше справляются с непредвиденными трудностями по тем же причинам, по которым они иногда необъяснимым образом облажались.

Большинство новых проектов не принимают такие входные данные. Это включает:

• Модели Airbus, начиная с A320 и далее (включая A318 и A319, которые являются вариантами A320).
• Боинг моделей B777 и B787.
• Сухой СуперДжет Су100.

У Airbus предел крена 65°, а не 45°, но он автоматически возвращается максимум к 33° без постоянного давления на ручку управления. Я не могу найти явное ограничение по тангажу, но у него есть альфа-лимит (угол атаки, зависит от типа, 17 ° для A320, тангаж вниз, чтобы не превышать его), максимальная скорость и ограничение по Махам (тангаж вверх при превышении). и минимальная и максимальная нагрузка на крыло (вертикальное ускорение, от -1G до +2,5G в чистом виде, от 0G до +2G с закрылками)

Пилоту следует доверять больше, чем чему-либо другому (и даже самолеты Airbus принимают любые данные в соответствии с прямым законом, обычный закон не всегда применяется). Во время полета может возникнуть любая непредвиденная ситуация. Компьютеры не могут справиться со всеми нештатными ситуациями.

Хорошим примером такой ситуации является случай с рейсом 705 компании FedEx . Угонщик атаковал пилотов кувалдой. Они, вероятно, были бы мертвы, если бы не предпринятые экстремальные маневры. Они вывели свой самолет DC-10 далеко за его пределы (угол крена до 140°, превышение скорости около 1,0 Маха). Если бы компьютер помешал им это сделать, самолет мог разбиться, и все они были бы мертвы.

Как пилот авиакомпании (и летчик-испытатель) я люблю держать свой самолет под контролем (как и все другие пилоты авиакомпаний). Есть школа Boeing и школа Airbus. Самолеты Боинг предупредят вас не залезать в эти конверты. Airbus не позволит вам войти в этот режим (конверт защиты). В любом случае вы можете обойти это, изменив закон или отключив бортовые компьютеры. В крайних случаях, когда ситуация безнадежна, я, не колеблясь, отвергну компьютер и пойду на крайние меры, если мне нужно спасти жизни. Имейте в виду, что все в авиации спроектировано с запасом прочности от 30% до 60% в некоторых случаях.

Итак, отвечая на ваш вопрос: вы на эшелоне FL370, потягиваете кофе, у вас на борту пожар. Дрон ограничивает вашу вертикальную скорость и скорость во время снижения (или угол крена, если вы хотите повернуть назад). Вас бы устроили такие ограничения? Сам, нет. Нам платят большие деньги вперед, чтобы мы принимали решения.

Второй сценарий (фейк). FL340, круиз, ваша TCAS вышла из строя, но вы не знаете (как я уже сказал, это фальшивый сценарий). Внезапно вы видите, что другой парень направляется к вам. Тот же ФЛ. Но ваш компьютер говорит: «Извините, вы не можете сильно тянуть из-за защиты G», вы ударяете другого парня: вы официально мертвы, потому что вы не нагрузили планер.

Последний пример: сразу после отправления в 16-часовой полет у вас возник пожар в грузовом отсеке. Системы пожаротушения не работают. Вы должны приземлиться, но не можете, потому что у вас лишний вес (тонн на 100, я бы сказал, как минимум). Что бы ты сделал?

Надеюсь, я что-то затронул в вашем вопросе. Кстати, я на 777.

Пара причин, но по сути все сводится к «Потому что иногда это может быть меньшее из двух зол».

1. Инструменты выходят из строя. Ломаются трубки Пито, шатаются гироскопы и т. д. Иногда пилот действительно знает лучше. Автопилоты отключаются, когда они не уверены, что делать, то же самое относится к автопилотам, ограничивающим управление в системе управления полетом по проводам... что происходит, когда самолет думает, что сваливается, но это не так? Он пытается предотвратить поднятие носа или фактически опускает нос до тех пор, пока самолет не упадет на землю.

2. «Виртуально гарантированное сваливание» может однажды стать лучшим вариантом, чем «фактически гарантированное столкновение» — если ваш выбор — сильно подтянуться или влететь в гору, я рискну и попытаюсь выйти из сваливания.

1 маловероятно (и, учитывая, как часто самолеты летают по ППП, вероятно, повлияет на пилота так же, как и на автопилот), 2, вероятно, еще более маловероятно, но это ситуация, которая вызовет тысячи вопросов: «Почему пилот не может ездить на автопилоте?» вопросы.

В конце концов, люди по-прежнему не доверяют компьютерам. Они могут делать это правильно в 99,9999% случаев, но они все равно не могут «думать на ходу», как люди.

Сейчас элементы этого уже есть в конструкции самолетов. Например, все современные авиалайнеры имеют звуковые/визуальные предупреждения об опасных ситуациях (высокая скорость снижения, предупреждения о сваливании и т. д.). И Airbus идет еще дальше, используя средства управления «по проводам», которые действительно предотвращают большинство «обычных» ситуаций сваливания в так называемом «нормальном законе». Однако Airbus отдает окончательный контроль пилоту, если компьютер не на 100% уверен в ситуации.

Еще одна вещь, которую следует учитывать, заключается в том, что знания, необходимые для управления самолетом, увеличиваются с появлением таких систем.

Несколько лет назад в Германии чуть не произошла авиакатастрофа (см. видео с посадкой), когда самолет садился при сильном боковом ветре. Проблема заключалась в том, что органы управления полетом реагировали по-разному, когда самолет касался земли или нет. Об этом не знали летчики. Они справились с ситуацией, но им было бы легче, зная такое поведение. Это поведение даже не было задокументировано в руководстве.

РЕДАКТИРОВАТЬ:
Из отчета о расследовании (спасибо @DeltaLima): Раздел 3.1

Пилоты не могли знать о конкретных характеристиках реакции органов управления полетом во время посадки при порывистом боковом ветре и, следовательно, не могли учитывать их в процессе принятия решений.

И далее в этом разделе

• Когда левая основная опора шасси впервые коснулась взлетно-посадочной полосы, состояние системы бокового управления удовлетворяло всем требованиям для перехода из режима полета в режим наземного управления, поэтому система переключалась из режима бокового полета в режим бокового наземного управления, несмотря на то, что самолет был еще раз в воздухе.

• Самолет спроектирован таким образом, чтобы влияние боковых органов управления (вдоль продольной оси) уменьшалось примерно на половину полного отклонения при касании одной из основных стоек шасси.

• Сниженный эффект органов управления не был задокументирован в описании системы и был неизвестен пилотам или учебному отделу.

• Во время посадки поведение системы самолета способствовало непреднамеренному и нежелательному для пилотов положению в полете, и контакт законцовки крыла с землей больше нельзя было предотвратить.

Одной из проблем с коммерческими самолетами является огромное количество часов полета, которое предстоит увидеть любому конкретному типу самолетов, и огромное количество различных условий и отказов, которые неизбежно возникнут во время всего этого полета.

Мне поручили написать программу, которая проверяла законы управления для систем управления центром тяжести некоторых из этих зверей. На самом деле нет возможности полностью проанализировать все возможные «режимы полета». Система FCGMS не относилась к той же категории, что и органы управления полетом, но БЫЛА «системой, критически важной для безопасности полета». Было проведено много проверок, и это было чисто функциональное тестирование, а не весь тот огромный набор тестов на уровне модулей, который использовался в программном обеспечении для полетов. Дело в том, что у вас есть 20 ящиков на этих самолетах, все они делают важные вещи, все построены разными людьми и т. д.

В конце концов, кто-то должен суметь взяться за палку и ПОТЯНУТЬ ВВЕРХ! когда это требуется и получить прямой ответ. Совершенно верно, что эта возможность может быть очень часто вредной, но вы просто не можете и никогда не сможете полностью проанализировать код и узнать, что он будет делать, когда куски отвалятся от самолета.

Давайте подумаем об этом под другим углом. Иногда не только действия пилота приводят самолет в небезопасное положение. Теперь, если самолет вынужден входить в тяжелый крен, набирать высоту или пикировать из-за внешних сил, но пилот ограничен в том, какую реакцию он может дать самолету, чтобы приспособиться...

Также подумайте о сильном тумане и проблемах со связью. два самолета рискуют столкнуться. Самолет говорит пилоту: «Нет, ты не можешь вилять, потому что это подвергнет нас риску».

В нормальных условиях полета вы бы хотели летать в пределах рабочих параметров. Но когда пресловутые вещи бьют по вентилятору, вам нужен полный контроль, чтобы попытаться избежать трагедии.

На ваш вопрос можно ответить простым аргументом reductio ad absurdum. Если самолет знал, какие входы безопасны, то зачем вообще пилот?

На самом деле современные коммерческие рейсы уже в значительной степени выполняются автоматически, и у них есть механизмы, позволяющие избежать потенциально опасных входов. Проблема в том, что обнаружение сбоев затруднено, потому что, когда что-то выходит из строя, система (по определению сбоя) не имеет достоверных данных для принятия решений. По той же причине сумасшедшие могут не знать, что они сумасшедшие. Пилот должен принимать решения в условиях неопределенности.

Конечно, иногда пилот тоже принимает неверное решение, и самолет разбивается. См. Air France 447 .

Но чаще они принимают правильное решение, и все живут. См . Планер Гимли .

Как правило, ограничители оптимизированы и предназначены для выполнения определенной функции или ролевого соотношения, такого как полный рычаг управления Airbus в кормовой части для достижения максимального угла атаки во время уклонения от местности. Однако не все ограничители надежны, несмотря на то, что их рекламируют производители. Пределы могут быть превышены в зависимости от того, как реализованы функции ограничителя и FCS, например, с использованием динамических маневров, таких как повторяющиеся толчки и вытягивания с разумной частотой, или внезапных маневров на скоростях, для которых FCS не предназначена, или в ухудшенных режимах самолета. Хотя эти возможности существуют, они обычно не имеют значения, потому что это крайние случаи, с которыми вряд ли можно столкнуться.

Об аварии АФ. Основы полета: ШАГ, МОЩНОСТЬ, ЭФФЕКТИВНОСТЬ. Это означает, что когда что-то не так, вы отключаете всю автоматику и получаете ручное управление кораблем. Ключевым моментом помимо PPP является то, что почти в любой конкретной ситуации, применяя шаг, настройку мощности и конфигурацию (закрылки, предкрылки, шасси....), вы будете летать. С автоматизацией эти вещи давно ушли в прошлое. Во время полета я каждый час записывал мощность, направление ветра, температуру (среди топлива и прочих легальных вещей). Те, кто начинал летать без автотяги и на турбовинтах, знают, что это такое.

Пилоты хотят иметь контроль над самолетом. Лично, если бы я был ATP, я бы никогда не управлял автоматизированным самолетом FBW, таким как Airbus, именно по этой причине.

Вы не должны быть в штопоре или смертельной спирали, а затем обнаружить, что не можете выбраться из него, потому что «компьютер не позволит ввести этот ввод», и поверьте мне, если вы находитесь в самолете, который входит в штопор, вы определенно хотят, чтобы пилот имел ПОЛНЫЙ контроль над самолетом.

Вы можете подумать: если компьютер управляет самолетом, он никогда не войдет в штопор. Не так. Некоторые грозы могут возникать очень быстро и неожиданно и быть настолько сильными, что могут заставить самолет развернуться или принять другое положение, на которое у компьютера нет никаких шансов правильно отреагировать. «Хорошие» компьютеры в этот момент отключаются.

Самые передовые самолеты FBW имеют функцию, называемую «автоматическое восстановление», которая позволяет им автоматически восстанавливаться после некоторых условий сваливания, но в экстремальных условиях изменение положения будет происходить так быстро, что для этого потребуется человек.