«Столкновение с землёй в управляемом полёте» (Controlled Flight into Terrain) — это авиационный термин, обозначающий аварию нормально функционирующего самолёта из-за того, что пилоты были чем-то отвлечены или дезориентированы. Настоящий кошмар. По моим оценкам, ещё хуже столкновение с землёй в автоматизированном полёте, когда система управления самолётом заставляет его совершать пикирование в землю, несмотря на отчаянные попытки экипажа спасти ситуацию. Такова предполагаемая причина двух недавних аварий новых самолётов Boeing 737 MAX 8. Я попытался разобраться, как могли произойти эти инциденты.
Примечание: изучение катастроф MAX 8 находится на раннем этапе, поэтому многое из статьи основано на данных из непрямых источников, другими словами, на утечках и слухах, а также на рассуждениях тех людей, которые знают или не знают, о чём говорят. Так что учитывайте это, если решите продолжить чтение.
Аварии
Ранним утром 29 октября 2018 года рейс 610 авиакомпании Lion Air вылетел из Джакарты (Индонезия) с 189 людьми на борту. Это был новый, эксплуатировавшийся всего четыре месяца 737 MAX 8 — последняя модель линейки самолётов Boeing, созданной ещё в 1960-х. Взлёт и подъём до высоты примерно 1 600 футов (480 метров) был нормальным, после чего пилоты убрали закрылки (элементы крыла, повышающие подъёмную силу при малых скоростях). В этот момент воздушное судно неожиданно снизилось до 900 футов (270 метров). В радиопереговорах с авиадиспетчерами пилоты сообщали о «проблеме с системой управления» и спрашивали данные о своей высоте и скорости, отображаемых на экранах радаров диспетчеров. Оборудование в кабине экипажа давало переменчивые показания. Пилоты выдвинули закрылки и поднялись до 5 000 футов (1 500 метров), но после убирания закрылков нос самолёта опустился и он снова начал терять высоту. В течение следующих шести-семи минут пилоты боролись с собственным самолётом, они старались поддерживать уровень носа, но система управления полётом постоянно опускала его вниз. В конце концов машина победила. Самолёт на большой скорости врезался в воду и все находящиеся на борту погибли.
Вторая катастрофа произошла 8 марта, когда рейс 302 авиакомпании Ethiopian Airlines упал через шесть минут после взлёта из Аддис-Абебы, погибло 157 человек. Воздушное судно было ещё одним MAX 8, который эксплуатировался всего два месяца. Пилоты сообщали о проблемах с управлением, а данные спутникового наблюдения показывали резкие колебания высоты. Из-за схожести с аварией Lion Air была поднята тревога: если причиной обоих инцидентов стала одинаковая неисправность или изъян конструкции, то могут быть и другие аварии. За несколько дней парк 737 MAX по всему миру был отстранён от полётов. Данные, восстановленные после аварии рейса 302, усилили подозрения в том, что эти два случая тесно связаны.
За печальной судьбой рейса 610 Lion Air можно проследить по данным, извлечённым из «чёрного ящика». (График был опубликован в ноябре в составе предварительного отчёта Национального комитета по безопасности на транспорте Индонезии.)
Общее представление об истории даёт кривая отслеживания высоты в нижней части графика. Первоначальный подъём прерывается резким спуском; за дальнейшим подъёмом следует долгая беспорядочная езда на «американских горках». В конце происходит пикирование, чуть больше, чем за 10 секунд воздушное судно спускается вниз на 5 000 футов (1500 метров). (Почему на графике есть две кривые высоты, разделённые несколькими сотнями футов? К этому вопросу я вернусь в конце своей длинной статьи.)
Все эти подъёмы и спуски были вызваны движениями горизонтального стабилизатора — небольшой, похожей на крыло поверхности в задней части фюзеляжа. Стабилизатор управляет углом тангажа самолёта, т.е. тем, куда направлен нос. На модели 737 он делает это двумя способами. Механизм триммера руля высоты наклоняет весь стабилизатор, в то время как движение штурвала управления пилота (штурвал на себя и от себя) двигает руль высоты — подвижный руль в задней части стабилизатора. В обоих случаях перемещение задней части поверхности вверх заставляет нос самолёта подниматься, и наоборот. Здесь нас в основном интересуют изменения триммера, а не движения руля высоты.
Команды, подаваемые на систему триммера руля высоты, и их влияние на самолёт показаны тремя кривыми из полётных данных, которые я для удобства повторю здесь:
Линия с пометкой «trim manual» (голубая) отражает действия пилотов, «trim automatic» (оранжевая) показывает команды от электронных систем самолёта, а «pitch trim position» (синяя) показывает наклон стабилизатора; более высокое положение на графике обозначает команду на поднятие носа. Именно здесь очевидно заметна борьба между человеком и машиной. Во второй половине полёта автоматическая система балансировки многократно отправляла команды на опускание носа с интервалами примерно в 10 секунд. В перерывах между этими автоматизированными командами пилоты, используя кнопки штурвала управления, триммером поднимали нос вверх. В ответ на эти конфликтующие команды позиция горизонтального стабилизатора колебалась с периодом 15-20 секунд. Пилообразное движение продолжалось примерно 20 циклов, но ближе к концу неумолимые автоматизированные команды опускания носа взяли верх над более коротким командами поднятия носа пилотов. В конце концов стабилизатор перешёл в своё максимальное отклонение пикирования вниз и оставался в нём, пока самолёт не врезался в воду.
Угол атаки
Что следует винить в неправильном поведении автоматической системы балансировки по тангажу? Обвинения направлены в сторону MCAS — новой системы серии моделей 737 MAX. MCAS расшифровывается как Maneuvering Characteristics Augmentation System («система расширения манёвренных характеристик») — удивительно многосложное название, не дающее нам никакого понимания о том, что делает эта система. Насколько я понимаю, MCAS — это не аппаратное устройство; в отсеках электронного оборудования самолёта не найти корпуса с маркировкой MCAS. Система MCAS полностью состоит из ПО. Это программа, выполняемая на компьютере.
MCAS имеет всего один функционал. Она предназначена для предотвращения аэродинамического сваливания — ситуации, в которой нос самолёта поднят относительно окружающего воздушного потока так высоко, что крылья не могут держать его в воздухе. Сваливание немного похоже на ситуацию, возникающую, когда велосипедист поднимается на холм, который становится всё более и более крутым: рано или поздно у человека заканчиваются силы, движение велосипеда становится неустойчивым, а затем он скатывается обратно вниз. Пилоты обучены выбираться из сваливания, но подобный навык они не практикуют на самолётах, заполненных пассажирами. В коммерческой авиации упор делается на избегании сваливаний, так сказать, на их предупреждении. У авиалайнеров есть механизмы распознавания надвигающегося сваливания и они сообщают об этом пилоту световыми и звуковыми индикаторами, а также вибросигнализатором штурвала (stick shaker). На рейсе 610 штурвал капитана вибрировал почти с самого начала и до конца.
Некоторые самолёты при угрозе сваливания не ограничиваются простыми предупреждениями. Если нос судна продолжает подниматься вверх, вмешивается автоматизированная система и опускает его вниз, при необходимости перехватывая у пилота ручное управление. MCAS предназначена именно для этого. Она вооружена и готова к бою при условии соблюдения двух критериев: закрылки убраны (а они выдвинуты только при взлёте и посадке) и самолёт находится в состоянии ручного управления (не автопилота). При соблюдении этих условий система срабатывает, когда аэродинамическая величина, называемая углом атаки (angle of attack, AoA) поднимается до диапазона опасных значений.
Угол атаки — это довольно непонятная концепция, поэтому я нарисую схему:
Схема адаптирована из Review of Research on Angle-of-Attack Indicator Effectiveness Lisa R. Le Vie.
Указанные на рисунке углы — это повороты корпуса воздушного судна относительно оси тангажа — линии, параллельной крыльям, перпендикулярной фюзеляжу и проходящей через центр тяжести самолёта. Если вы сидите в одном ряду с выходом, то есть вероятность, что ось тангажа проходит под вашим сиденьем. Вращение по оси тангажа поднимает и опускает нос. Угол тангажа (Pitch attitude) определяется как угол фюзеляжа относительно горизонтальной плоскости. Угол наклона траектории полёта (flight-path angle) измеряется между горизонтальной плоскостью и вектором скорости летательного аппарата, то есть он показывает, насколько плавно он поднимается или спускается. Угол атаки (Angle of attack) — это разность между углом тангажа и углом наклона траектории полёта. Это угол, под которым воздушное судно движется через окружающий её воздух (если допустить, что сам воздух неподвижен, т.е. отсутствует ветер).
AoA влияет и на подъёмную силу (lift) (направленную вверх и обратную силе гравитации), и на сопротивление (drag) (диссипативную силу, противонаправленную движению вперёд и тяге двигателей). При увеличении AoA выше нуля увеличивается подъёмная сила, потому что воздух сталкивается с нижней частью крыльев и фюзеляжа. Но по той же самой причине увеличивается и сопротивление. При дальнейшем увеличении угла атаки поток воздуха через крылья становится турбулентным; после этого момента подъёмная сила уменьшается, но сопротивление продолжает нарастать. И вот здесь начинается сваливание. Критический для сваливания угол зависит от скорости, веса и других факторов, но обычно он не больше 15 градусов.
Рейсы Lion Air и Ethiopian не подвергались опасности сваливания, поэтому если MCAS активировалась, это должно было произойти по ошибке. По рабочей гипотезе, упоминаемой во многих пресс-релизах, система получала ошибочные данные от сбойного датчика AoA и действовала в соответствии с его показаниями.
Концептуально датчик для измерения угла атаки прост. По сути, это просто флюгер, выдающийся в воздушный поток. На показанной ниже фотографии датчик угла атаки — это небольшой чёрный выступ, расположенный прямо перед надписью 737 MAX. Закреплённый спереди, флюгер поворачивается, выравниваясь относительно локального воздушного потока, и генерирует электрический сигнал, описывающий угол флюгера относительно оси фюзеляжа. У 737 MAX есть два датчика угла атаки, по одному на каждой стороне носа. (Устройства над датчиком AoA — это трубки Пито, используемые для измерения скорости воздуха. Ещё одно устройство под словом MAX — это, скорее всего, датчик температуры.)
Угол атаки не отображался на приборах пилотов Lion Air 737, но бортовой самописец фиксировал сигналы, получаемые от двух датчиков AoA:
И здесь происходит что-то ужасающе неправильное. Левый датчик показывает, что угол атаки примерно на 20 градусов круче, чем на правом датчике. Это огромное расхождение. Эти два отдельных показателя никаким реалистичным образом не могли бы отражать истинное состояние движения самолёта в воздухе: левая сторона носа показывала, что он направлен в небо, а правая сторона — что он примерно горизонтален. Одни из измерений должны быть ошибочными, и под подозрение попадают более высокие. Если бы истинный угол атаки достиг 20 градусов, то самолёт уже находился бы в состоянии глубокого сваливания. К сожалению, MCAS рейса 610 считывала данные только с левого датчика AoA. Она интерпретировала эти бессмысленные измерения как верный показатель положения самолёта, и неутомимо пыталась исправить их вплоть до самого момента столкновения рейса с водой.
Автоматизация кокпита
Трагедии в Джакарте и Аддис-Абебе превратились в предостерегающую историю об опасности излишней автоматизации, при которой компьютеры узурпируют власть пилотов. Washington Post заявила:
Вторая фатальная авиакатастрофа с участием Boeing 737 MAX 8 может быть следствием борьбы человека и машины. Этот провал показывает, что регулирующим органам следует внимательнее исследовать системы, забирающие управление у людей, когда на кону стоит безопасность.
Бельгийский журналист Том Дьюзаер, часто пишущий статьи об авиации и вычислениях, предлагает следующее мнение:
Нельзя отрицать того, что у Boeing рейса JT610 были серьёзные компьютерные проблемы. А в высокотехнологичном компьютеризированном мире производителей самолётов, в котором роль пилота часто сведена к нажиманию кнопок и пассивному наблюдению, такие инциденты в будущем вполне могут участиться.
В особенном гневе пилоты, нажимающие кнопки. Пилот и разработчик ПО Грегори Трэвис подытожил свои чувства кратким комментарием:
«Подними нос, HAL».
«Прости, Дэйв, боюсь, я не могу этого сделать».
Даже Дональд Трамп написал твит по этой теме:
Самолёты становятся слишком сложными, чтобы управлять ими. Им теперь нужны не пилоты, а компьютерные учёные из MIT. Я наблюдаю такую картину со многими продуктами. Всегда есть стремление сделать ещё один необязательный шаг вперёд, хотя часто старые и более простые решения намного лучше. Необходимо принимать решения за доли секунды, а сложность создаёт угрозу. Всё это требует огромной цены, но даёт очень мало. Не знаю как вы, а я не хотел бы, чтобы моим пилотом был Альберт Эйнштейн. Мне нужны отличные профессионалы, имеющие возможность быстро и просто брать на себя управление самолётом!
В жалобах на чрезмерную автоматизированность 737 есть значительная ирония; во многих аспектах этот самолёт на самом деле на удивление старомоден. Основа конструкции была создана более 50 лет назад, и даже в последних моделях MAX сохраняется довольно много технологий 1960-х годов. Основные органы управления в нём гидравлические, паутина труб под высоким давлением проходит непосредственно от штурвалов управления в кабине экипажа к элеронам, рулю высоты и рулю управления. Если гидравлические системы откажут, то остаётся полностью механическая резервная система из тросов и блоков для контроля различных плоскостей управления. Основным движителем триммера стабилизатора является электродвигатель, но у него есть механическая замена с ручным маховиком, тянущим тросы, проходящие до самого хвоста.
Намного более зависимо от компьютеров и электроники другое воздушное судно. Основной конкурент 737, Airbus A320 — это средство передвижения, в котором принцип электронного управления реализован всесторонне. Пилот управляет компьютером, а компьютер управляет самолётом. Пилот выбирает, куда двигаться — вверх, вниз, вправо или влево — но компьютер решает, как этого достичь, какие плоскости управления нужно отклонить и насколько. В более современных моделях Boeing — 777 и 787 — тоже используется цифровое управление. На самом деле, последние модели обеих компаний сделали ещё один шаг от «управления по проводам» к «управлению по сети». Основная часть передачи данных от датчиков к компьютерам, а затем к плоскостям управления состоит из цифровых пакетов, отправляемых по одной из версий сети Ethernet. Самолёт — это периферия компьютера.
Так что если вы хотите посокрушаться об опасностях и оскорблении пилотов, вызванных автоматизацией самолётов, то 737 — не самый очевидная цель. А луддитская кампания по уничтожению всей авионики и возврату власти пилотам будет опасно ошибочной реакцией на текущую ситуацию. Нет никаких сомнений, что у 737 MAX есть критическая проблема. Это вопрос жизни и смерти для тех, кто будет на них летать, а возможно и для компании Boeing. Но проблема началась не с MCAS. Она началась с предыдущих решений, сделавших MCAS необходимой. Более того, проблема может не решиться способом, предложенным Boeing — программным обновлением, ограничивающим возможности MCAS и оставляющим пилотам больше полномочий.
Выжимаем из 737 максимум
Первых пассажиров 737 начал перевозить в 1968 году. Он был (и по-прежнему остаётся) самым маленьким реактивным авиалайнером из семейства Boeing, а также самым популярным. Продано более 10 тысяч экземпляров, и у Boeing есть заказы ещё на 4 600. Разумеется, на протяжении этих лет в самолёт вносились изменения, в особенности они коснулись двигателей и приборов. Обновлённая модель 1980-х стала известной под названием 737 Classic, а модель 1997 года называется 737 NG (next generation, «следующее поколение»). (Теперь, после выпуска MAX, модель NG превратилась в предыдущее поколение.) Но несмотря на все эти модификации, основная структура планера практически не изменилась.
Десять лет назад казалось, что 737 наконец достиг конца своей жизни. Boeing объявила, что приступит к разработке совершенно новой конструкции ему на замену, корпус которой будет изготовлен не из алюминия, а из лёгких композитных материалов. Разумеется, конкуренция внесла свои коррективы. У Airbus было преимущество в виде A320neo, обновлённой модели, которая при выпуске в том же сегменте рынка будет обладать более эффективными двигателями. Модифицированный Airbus должен был выйти примерно в 2015 году, в то время как разработка проекта Boeing с нуля заняла бы десяток лет. Возникла угроза оттока клиентов. В частности, давний преданный партнёр Boeing, компания American Airlines проводила переговоры о большом заказе A320neo.
В 2011 году Boeing отказался от плана по созданию совершенно нового дизайна и решил сделать то же, что и Airbus: прицепить к старому планеру новые двигатели. Это позволило бы отказаться от бОльшей части предварительного конструирования, а также от необходимости строительства предприятий для оснастки и производства. Проверки и сертификация FAA (Федерального управления гражданской авиации США) тоже бы ускорились, и первые поставки можно было бы начать спустя пять-шесть лет, не слишком опоздав от Airbus.
Модель 737-800 (выпускавшаяся до MAX) сжигает за час полёта примерно 800 галлонов авиатоплива (3 тыс. литров). То есть затраты составляют примерно 2 000 долларов при цене 2,50 доллара за галлон. Если самолёт летает 10 часов в день, то ежегодно он тратит 7,3 миллиона долларов. Четырнадцать процентов от этой суммы — более 1 миллиона долларов.
Обещалось, что новые двигатели 737 обеспечат эффективность потребления топлива на 14 процентов, что позволит авиакомпании экономить по миллиону долларов эксплуатационных расходов в год. БОльшая экономия топлива также увеличит дальность полёта самолёта. И чтобы подсластить сделку, Boeing предложила оставить неизменной такую часть планера, чтобы новая модель могла эксплуатироваться с теми же «типовыми свидетельствами», что и старая. Пилот, получивший допуск на управление 737 NG, мог взять управление MAX без длительного повторного обучения.
У первой модели 737 1960-х годов было два сигарообразных двигателя, длинных и узких, расположенных под крыльями (на фото выше слева). С тех пор реактивные двигатели стали толстыми и короткими. Они получают больше тяги не от реактивного выхлопа из выходной трубы, а от воздушного потока в наружном контуре, перемещаемого вентилятором большого диаметра. При монтаже под крыльями 737 такие двигатели бы царапались о землю; поэтому они установлены на пилоны, которые выведены вперёд от переднего края крыла. Двигатели на моделях MAX (на фото выше справа) — самые толстые из существующих, а их вентилятор имеет диаметр 69 дюймов (175 см). По сравнению с серией NG, двигатели MAX отодвинуты на несколько дюймов вперёд и висят на несколько дюймов ниже.
В статье New York Times, написанной Дэвидом Геллсом, Натали Китроеф, Джеком Никасом и Ребеккой Р. Руис, разработка этого самолёта описывается как поспешная и сумбурная.
Опаздывая от Airbus на месяцы, Boeing вынуждена была навёрстывать упущенное. По словам бывших и нынешних сотрудников, общавшихся с The New York Times, темп работы над 737 Max был безумным… Бывшие сотрудники утверждают, что инженеров заставляли принимать технические чертежи и конструкции примерно вдвое быстрее обычного.
В статье Times также замечается: «Хоть проект и был сумбурным, нынешние и бывшие сотрудники говорят, что они завершили его, будучи уверенными в безопасности самолёта».
Неустойчивость по тангажу
На каком-то этапе разработки серии MAX компания Boeing обнаружила неприятный сюрприз. При определённых условиях полёта новые двигатели вызывали нежелательное повышение угла тангажа. Когда я впервые прочитал об этой проблеме вскоре после катастрофы рейса Lion Air, я нашёл следующие объяснение в статье Шона Бродерика и Гая Норриса в Aviation Week and Space Technology (Nov. 26–Dec. 9, 2018, pp. 56–57):
Как и во всех турбовениляторных авиалайнерах, в которых линии тяги двигателей проходят ниже центра тяжести, любые изменения тяги 737 будут приводить к изменениям угла наклона траектории полёта, вызванным вертикальной компонентой тяги.
Другими словами, низковисящие двигатели не только толкают самолёт вперёд, но и имеют склонность к вращению его относительно оси тангажа. Это похоже на мотоцикл, делающий трюк с ездой на заднем колесе. Так как двигатели MAX монтируются ещё ниже и перед центром тяжести, они действуют как достаточно длинное плечо рычага и вызывают гораздо более серьёзные движения увеличения тангажа.
Я обнаружил более подробное описание этого эффекта в более ранней статье Aviation Week, отчёте пилота Фреда Джорджа за 2017 год, в котором описывается его первый полёт за штурвалом нового MAX 8.
Летательный аппарат имеет достаточную естественную стабильность скорости в большинстве режимов полёта. Но с учётом целых 58 000 фунтов тяги, обеспечиваемых двигателями, расположенными сильно ниже центра тяжести, при низких скоростях присутствует отчётливая связь тяги и тангажа, особенно при задней центровке и низком общем весе. Boeing оснащает самолёт функцией повышения стабильности скорости, позволяющей компенсировать связь автоматическим отклонением горизонтального стабилизатора в соответствии с показателями скорости, положением рычага управления двигателем и центра тяжести. Тем не менее, пилоты должны знать об эффекте влияния изменения тяги на момент тангажа и противодействовать ему с помощью штурвала управления и триммера руля высоты.
Упоминание «функции повышения», выполняющей «автоматическое отклонение горизонтального стабилизатора» кажется ужасно знакомым, но оказывается, что это не MCAS. Система, компенсирующая связь тяги и тангажа называется speed-trim. Как и MCAS, она работает «без ведома» пилота, внося изменения в плоскости управления без непосредственных команд. Существует ещё одна подобная система, называющаяся mach-trim, которая без предупреждений корректирует другую аномалию тангажа, возникающую при достижении самолётом околозвуковых скоростей, около 0,6 Маха. Ни одна из этих систем не были новинкой серии MAX; они были частью алгоритма управления как минимум с выпуска в 1997 году серии NG. MCAS выполняется на том же компьютере, что и speed-trim с mach-trim, и является частью той же программной системы, но отдельной её функцией. И согласно тому, что я читал за последние несколько недель, она призвана решать другую проблему, которая кажется гораздо более зловещей.
У большинства летательных аппаратов есть удобное свойство статической стабильности. Когда самолёт правильно выровнен для горизонтального полёта, то можно отпустить штурвал — по крайней мере, на время — и он продолжит двигаться по стабильной траектории. Более того, если потянуть штурвал на себя, чтобы поднять нос вверх, а затем снова его отпустить, то угол тангажа вернётся к нейтральному. Расположение различных аэродинамических поверхностей самолёта учитывает такое поведение. Когда нос поднимается, хвост опускается, толкая нижнюю часть горизонтального стабилизатора в воздушный поток. Давление воздуха на эту поверность хвоста обеспечивает создание восстанавливающей силы, возвращающей хвост вверх, а нос вниз. (Именно поэтому он и называется стабилизатором!) Эта петля отрицательной обратной связи встроена в конструкцию самолёта, поэтому любое отклонение от равновесия создаёт силу, препятствующую его нарушению.
Однако поверхность хвоста с её полезным свойством стабилизации — это не единственная конструкция, влияющая на равновесие аэродинамических сил. Реактивные двигатели не рассчитаны на то, чтобы придавать самолёту подъёмную силу, но при больших углах атаки они могут её создавать, потому что воздушный поток сталкивается с нижней поверхностью внешней оболочки каждого из двигателей (мотогондолой). Когда двигатели находятся сильно впереди от центра тяжести, подъёмная сила создаёт момент кручения, повышающий тангаж. Если этот момент превышает уравновешивающую силу от хвоста, то самолёт становится нестабильным. Положение носом вверх создаёт силы, ещё больше поднимающие нос, и побеждает положительная обратная связь.
Подвержен ли 737 MAX подобным увеличениям угла тангажа? Эта вероятность не была мне очевидна, пока я не прочитал на техническом сайте Boeing 737 комментарий о MCAS — веб-публикацию, написанную бывшим пилотом 737 и лётчиком-инструктором Крисом Брэди. Он пишет:
MCAS — это система усовершенствования продольной устойчивости. Она нужна не для предотвращения сваливания и не для того, чтобы MAX управлялся так же, как NG; она была введена для противодействия нелинейной подъёмной силе, вызываемой мотогондолами двигателя LEAP-1B и создаёт стабильное повышение усилия на штурвале при увеличении AoA. Двигатели LEAP больше и расположены выше и ближе к передней части, чем старые двигатели NG CFM56-7, чтобы обеспечить пространство для более крупных вентиляторов. Это новое расположение и размер мотогондолы вызывают турбулентный поток у корпуса мотогондолы и создают при высоких AoA подъёмную силу; так как мотогондола расположена впереди от центра тяжести, эта подъёмная сила вызывает небольшой эффект увеличения угла тангажа (т.е. снижает усилие на штурвале), что может привести к тому, что пилот ещё больше увеличит тянущее усилие на штурвале и приблизит самолёт к сваливанию. Такая нелинейная/снижающая усилие на штурвале сила в соответствии с FAR §25.173 «Static longitudinal stability» недопустима. (FAR — Федеральные авиационные правила (Federal Air Regulations). В части 25 указаны нормы лётной годности для самолётов транспортной категории). Поэтому была создана MCAS, обеспечивающая команды стабилизатора на опускание носа при резких поворотах с повышенными коэффициентами нагрузки (высоким AoA) и во время полётов с закрытыми закрылками при скоростях, близких к возникновению сваливания.
Брэди не подтверждает свои утверждения никакими источниками, и насколько я знаю, Boeing не подтвердила и не опровергла это заявление. Но упомянутая выше Aviation Week, на который я ссылался, объясняя связь тяги и тангажа, в более новом выпуске (за 20 марта) поддержала гипотезу нестабильности подъёмной силы, вызываемой мотогондолами:
Более крупные двигатели MAX CFM Leap 1 создают бОльшую подъёмную силу при высоких AOA и обеспечивают воздушному судну более высокий момент увеличения угла тангажа, чем NG с двигателями CFM56-7. MCAS была добавлена из-за требований сертификации для того, чтобы минимизировать различия в управлении между MAX и NG.
Если предположить, что точка зрения Брэди верна, то возникает интересный вопрос: когда именно компания Boeing заметила нестабильность? Были ли конструкторы в курсе этой опасности с самого начала проекта? Проявилась ли она во время компьютерных симуляций, или во время испытаний в аэродинамических испытаний на моделях в масштабе? История Доминика Гейтса в Seattle Times даёт нам намёк на то, что Boeing могла и не осознавать серьёзность проблемы до лётных испытаний первого экземпляра самолёта, начавшихся в 2015 году.
По данным Гейтса, в переданном Boeing управлению FAA протоколе анализа безопасности указано, что MCAS будет иметь возможность перемещать горизонтальный стабилизатор не более чем на 0,6 градуса. В самолёте, выпущенном на рынок, MCAS может отклонять его на целых 2,5 градуса, и способна действовать многократно, пока не достигнет механического предела движения примерно в 5 градусов. Гейтс пишет:
Этот предел в дальнейшем был увеличен, потому что лётные испытания показали, что для избежания сваливания на высоких скоростях требуется более сильное перемещение хвоста, когда самолёт находится под угрозой потери подъёмной силы и снижения по спирали.
Поведение самолёта в случае сваливания при высоком угле атаки сложно смоделировать аналитически, поэтому в процессе выполнения лётчиками-испытателями процедур выхода из сваливания на новом самолёте часто выполняется настройка ПО управления для улучшения характеристик реактивного летающего аппарата.
Похоже, что нестабильность MAX при высоких AoA является свойством аэродинамической формы всего воздушного судна, и непосредственным способом его подавления было бы изменение этой формы. Например, для восстановления статической стабильности можно увеличить поверхность хвоста. Но подобные модификации планера замедлили бы выпуск самолёта, особенно с учётом того, что их необходимость была обнаружена уже после полётов первых прототипов. Кроме того, конструктивные изменения могли подвергнуть угрозе возможность полётов на новой модели с лётными правами старого типа. Должно быть, изменение ПО вместо модификации алюминиевой конструкции показалось привлекательной альтернативой. Возможно, мы когда-нибудь узнаем, как было принято это решение.
Кстати, по данным Гейтса, переданный FAA документ с анализом безопасности, в котором указан предел в 0,6 градуса, должен быть пересмотрен, чтобы он отражал истинный диапазон возможных команд MCAS.
Полёт в условиях нестабильности
Нестабильность не обязательно является «чёрной меткой» для самолёта. В истории было как минимум несколько успешных нестабильных конструкций, начиная с Wright Flyer 1903 года. Братья Райт намеренно поставили горизонтальный стабилизатор перед крылом, а не за ним, потому что их предыдущие эксперименты с воздушными змеями и планерами показали: то, что мы называем стабильностью, можно также назвать и неповоротливостью. Передние плоскости управления Flyer (называемое передним горизонтальным управлением) усиливали любые незначительные движения носа вверх и вниз. Сохранение стабильного тангажа требовало от пилота высокой концентрации, но в то же время позволяло самолёту реагировать быстрее, когда пилот хотел увеличить или уменьшить тангаж. (Плюсы и минусы подобной конструкции рассмотрены в статье 1984 года Фреда Е.С. Кулика и Генри Р. Джекса.)
Орвилл управляет, Уилбур бежит рядом, Китти-Хок, 17 декабря 1903 года. На этом снимке мы видим самолёт со стороны хвоста. Переднее горизонтальное управление — двойные регулируемые горизонтальные поверхности впереди — похоже, должно вызвать поднятие носа. (Фотография WikiMedia.
Ещё одним серьёзно нестабильным воздушным судном был Grumman X-29, исследовательская платформа, сконструированная в 1980-х. Крылья X-29 были расположены сзади; более того, основные плоскости для управления тангажом установлены спереди крыльев, как и во Wright Flyer.
Целью этого странного проекта было исследование конструкций чрезвычайной вёрткости, жертвующих статической стабильностью ради более быстрого маневрирования. Ни один пилот без поддержки не мог бы справиться с подобным дёрганым транспортным средством. Для него требовалась цифровая система электронного управления, сэмплировавшая состояние и регулировавшая плоскости управления с частотой до 80 раз в секунду. Контроллер был успешным, возможно, даже слишком. Он позволял самолёту безопасно летать, но укрощая нестабильность, он оставлял самолёту довольно ограниченные характеристики управления.
Я лично имел некоторую связь с проектом X-29. В 1980-х я непродолжительное время работал редактором с членами группы в Honeywell, которые разрабатывали и создавали систему управления X-29. Я помогал готовить публикации по правилам управления, а также способствовал их реализации в оборудовании и ПО. Этот опыт дал мне достаточно информации, чтобы понять, что в MCAS есть нечто странное: она слишком медленная для подавления аэродинамической нестабильности реактивного воздушного судна. В то время как контроллер X-29 имел время реакции 25 миллисекунд, MCAS требовалось 10 секунд на перемещение стабилизатора 737 на 2,5 градусов. При таком темпе система, вероятно, не могла бы справиться с силами, поднимающими нос вверх в петле положительной обратной связи.
Этому есть простое объяснение. MCAS не должна была управлять нестабильным самолётом. Она должна была ограничивать его от входа в режим, в котором тот становится нестабильным. Та же стратегия используется другими механизмами предотвращения сваливания — они вмешиваются ещё до того, как угол атаки достигнет критической точки. Однако, если Брэди прав насчёт нестабильности 737 MAX, то эта задача становится для MCAS более насущной. Нестабильность подразумевает резкий и опасный спуск. MCAS — это дорожное ограждение, возвращающее вас обратно на дорогу, когда вы готовы сорваться на машине с утёса.
Что приводит нас к вопросу о заявленном Boeing плане устранения проблемы MCAS. По сообщениям, модифицированная система не будет активировать себя столь неуклонно и будет автоматически отключаться, если обнаружит большую разницу между показаниями двух датчиков AoA. Эти изменения должны предотвратить повторение недавних аварий. Но обеспечивают ли они адекватную защиту против той неисправности, которой должна была заниматься MCAS в первую очередь? При отключении MCAS, ручном или автоматическом, ничто не остановит опрометчивого или введённого в заблуждение пилота от перехода в ту часть области режимов полёта, в котором MAX становится нестабильным.
Без дополнительной информации от Boeing нельзя сказать, насколько серьёзной может быть нестабильность, если она и в самом деле существует. В статье Брэди на техническом сайте Boeing 737 утверждается, что проблема частично вызвана пилотами. В обычном состоянии для длительного поднятия носа необходимо всё сильнее и сильнее тянуть на себя штурвал управления. Однако в области нестабильности сопротивление тянущему усилию внезапно падает, поэтому пилот может нечаянно потянуть штурвал в более крайнее положение.
Является ли воздействие человека необходимой частью возникновения нестабильности, или это просто усиливающий фактор? Другими словами, если убрать пилота из петли обратной связи, будет ли положительная обратная связь по-прежнему вызывать неудержимое поднятие носа вверх? Пока ответа я не нашёл.
Ещё один вопрос: если корнем проблемы является обманчивое изменение силы, сопротивляющейся движениям штурвала, поднимающим нос вверх, то почему бы не решать непосредственно эту проблему?
Загрузочный механизм руля высоты передаёт на штурвал управления пилота «фальшивые» силы. Рисунок взят из презентации элементы управления полётом B737 NG автора theoryce. Презентация создана для серии 737 NG, а не MAX; возможно, архитектура поменялась.
.jpg){kind=link}
В 737 (и большинстве других больших воздушных судов) сила, «ощущаемая» пилотом через штурвал управления, не является простым отражением аэродинамических сил, действующих на руль высоты и другие плоскости управления. Силы обратной связи в основном синтезированные, они генерируются загрузочным механизмом руля высоты (elevator feel and centering unit) — устройством, которое отслеживает состояние самолёта и генерирует соответствующие гидравлические давления, толкающие штурвал в ту или иную сторону. Этим системам можно было дать дополнительную задачу по поддержанию или увеличению тянущей силы на штурвале, когда угол атаки приближается к значениям нестабильности. Искусственно усиленное сопротивление и так уже является частью системы предупреждения сваливания. Почему бы не расширить её и на MCAS? (Возможно, на это есть разумный ответ, но я его не знаю.)
Где у него кнопка выключения?
Даже после произвольного включения MCAS на Lion Air 610 крушения и жертв можно было избежать, если бы пилоты просто отключили эту штуку. Но почему они этого не сделали? Похоже, что они никогда не слышали об MCAS, не знали, что она установлена на управляемом ими самолёте, и не получили никаких инструкций о том, как её отключить. В кабине пилотов нет переключателей или кнопок с пометкой «MCAS ВКЛ./ОТКЛ.» Система не упоминается в руководстве по лётной эксплуатации (за исключением списка аббревиатур), и не проводилось никаких переходных тренировочных программ для пилотов, переключившихся с 737 NG на MAX. Обучение состояло из одного или двух часов (сведения разнятся) работы с приложением для iPad.
Объяснения этих упущений компанией Boeing приводятся в истории Wall Street Journal:
Одно из высокопоставленных официальных лиц Boeing сообщило, что компания решила не разглашать экипажам подробностей из-за опасений перегрузки обычных пилотов слишком большим объёмом информации, а также значительно большим количеством технических данных, чем они бы могли усвоить.
Назвать это заявление «лицемерным» — значит ничего не сказать. Оно просто абсурдно. Boeing не просто утаила «подробности», она в принципе не упомянула о самом существовании MCAS. А аргумент о «слишком большом объёме» попросту глуп. У меня нет руководства по лётной эксплуатации MAX, но в редакции для NG содержится более 1300 страниц, плюс ещё 800 страниц краткого справочного руководства. Несколько параграфов про MCAS не перегрузили бы пилота, который уже освоил руководство по эксплуатации. Более того, в руководстве подробно описаны системы speed-trim и mach-trim, которые скорее всего относятся к одной категории с MCAS: они действуют автономно и не предоставляют пилоту непосредственного интерфейса для отслеживания и регулирования.
Вследствие инцидента с Lion Air компания Boeing заявила, что процедура отключения MCAS была прописана в руководстве, хотя сама MCAS там и не упоминается. Эта процедура указана в карте устранения проблемы «выхода из под контроля триммера стабилизатора». Она не очень сложна: нужно держаться за штурвал, отключить автопилот и автоматы тяги, если они включены; затем, если проблема не устранена, повернуть два переключателя, помеченные как «STAB TRIM», в положение «CUTOUT». В случае неисправности MCAS на самом деле важен был только последний шаг.
Эта контрольная карта является «действием по памяти»; пилоты должны уметь выполнять эти шаги, не глядя в руководство. Экипаж Lion Air совершенно точно должен был знаком с ней. Но мог ли он понять, что нужно применить именно эту карту в самолёте, поведение которого не походило на то, что они видели при обучении и в полётах на предыдущей модели 737? Согласно руководству, условием, при котором нужно было воспользоваться картой устранения проблемы триммера стабилизатора, было «постоянное самопроизвольное движение триммера стабилизатора». Команды MCAS были не постоянными, а повторяющимися, поэтому для диагностирования проблемы нужно было сделать скачок в рассуждениях.
Ко времени аварии Ethiopian пилоты 737 по всему миру знали о MCAS и процедуре её отключения. В предварительном отчёте, выпущенном в начале месяца Ethiopian Airlines, показано, что через несколько минут борьбы с штурвалом управления пилоты рейса 302 всё-таки воспользовались процедурой из контрольной карты и повернули переключатели STAB TRIM в положение CUTOUT. После этого стабилизатор прекратил реагировать на команды MCAS об опускании носа, но пилотам не удалось вернуть себе управление самолётом.
Полностью пока не ясно, почему они потерпели неудачу и что происходило в кабине пилотов последние несколько минут. Один из возможных факторов заключается в том, что переключатель Cutout отключает не только автоматические движения триммера тангажа, но и ручные, которые управляются кнопками на штурвале управления. Переключатель отключает всё питание электродвигателя, двигающего стабилизатор. В такой ситуации единственным способом перемещения триммера является поворот ручных маховиков, расположенных рядом с коленями пилотов. Во время кризиса рейса 302 этот механизм мог быть слишком медленным для корректирования угла вовремя, или пилоты были слишком сосредоточены на оттягивании штурвала назад с максимальной силой, что не попытались воспользоваться ручными маховиками. Также возможно, что они повернули переключатели обратно в положение NORMAL, восстановив подачу питания на двигатель стабилизатора. В отчёте такая возможность не упоминается, но на неё намекает график из бортового самописца (см. ниже).
Компонент, приводящий к отказу всей системы
Можно спорить о том, хорошей ли идеей является MCAS при её правильной работе, но когда она включается ошибочно и направляет самолёт в море, то никто не осмелится её защищать. Судя по всему, неконтролируемое поведение в катастрофах Lion Air и Ethiopian было вызвано неисправностью единственного датчика. В авиации такого происходить не должно. Невозможно объяснить, почему какой-то из производителей летательных аппаратов намеренно бы создал самолёт, в котором отказ единственной детали привёл бы к смертельной аварии.
Защита от одиночных сбоев обеспечивается избыточностью, и в конструкции 737 настолько полностью воплощён этот принцип, что машину практически можно считать двумя самолётами в одном корпусе.
В воздушных судах, которые используют автоматизацию в большем объёме, все элементы (датчики, компьютеры, приводы) обычно дублируются трижды.
В кабине есть места для двух пилотов, смотрящих на два разных комплекта приборов и использующих отдельные комплекты элементов управления. Левая и правая панели приборов получают сигналы от разных наборов датчиков, сигналы которых обрабатываются разными компьютерами. С каждой стороны кабины есть собственная инерциальная система управления, собственный навигационный компьютер, собственный автопилот. В самолёте два источника электропитания и две гидравлические системы, плюс механические резервные системы на случай двойного отказа гидравлики. Два штурвала управления в обычном состоянии движутся в унисон — под полом они соединены — но если один штурвал застрянет, то это соединение можно разорвать, что позволит второму пилоту продолжить управление самолётом.
В этом перечне дублирующих друг друга систем есть одно исключение: похоже, особого отношения удостоилось устройство под названием «компьютер управления полётом» (flight control computer, FCC). На борту два FCC, но согласно информации технического сайта Boeing 737 на каждом рейсе работает только один из них. Все другие дублируемые компоненты работают параллельно, получают независимые входящие команды, выполняют независимые вычисления и передают независимые командные действия. Но в каждом полёте всю работу выполняет только один FCC, а второй находится в режиме простоя. Схема выбора активного компьютера выглядит до странности произвольной. Каждый день, при включении питания самолёта, FCC в левой части получает управление в первом рейсе, затем устройство в правой части берёт управление во втором рейсе дня, и так две стороны попеременно меняются вплоть до отключения питания. После повторного включения питания попеременное использование начинается снова с левого FCC.
Меня удивляют многие аспекты такой схемы. Я не понимаю, почему к дублируемым устройствам FCC отношение иное, чем к другим компонентам. Если один FCC выйдет из строя, перехватит ли автоматически управление второй? Могут ли пилоты переключаться между ними в полёте? Если да, то будет ли это эффективным способом борьбы с неисправностью MCAS? Я попытался найти ответы в руководствах, но не могу доверять своим интерпретациям прочитанного.
Кроме того, у меня возникли большие сложности с поиском информации о самом FCC. Я не знаю, кто его производит, как он выглядит и как программируется.
На веб-сайте Closet Wonderfuls предмет под названием «737 flight control computer» продаётся за 43,82 доллара с бесплатной доставкой. На веб-сайте Airframer есть списки многих поставщиков деталей и материалов для 737, но сведений о компьютере управления полётом там нет. На устройстве есть шильдик Honeywell. У меня было искушение купить устройство с сайта Closet Wonderfuls, но я практически уверен, что в последних моделях MAX установлено не такое устройство. Я узнал, что раньше FCC назывался FCE (flight control electronics, «электроника управления полётом»), и из этого можно понять, что устройство было аналоговым, оно выполняло интегрирование и дифференцирование с помощью конденсаторов и резисторов. Я уверен, что сегодня FCC догнал нашу цифровую эпоху, но это может быть специализированным оборудованием, выполненным по особому заказу. Или стандартным процессором Intel в необычной упаковке, возможно, даже работающим под Linux или Windows. Я просто не знаю.
В контексте катастроф MAX компьютер управления полётом важен по двум причинам. Во-первых, в нём находится MCAS; это компьютер, в котором запущено ПО MCAS. Во-вторых, любопытная процедура попеременного выбора FCC на каждом рейсе тоже повлияла на то, какой датчик AoA передавал входящие данные в MCAS. Левый и правый датчики присоединены к соответствующим FCC.
Если два FCC используются попеременно, это вызывает интересный вопрос об истории самолёта, потерпевшего крушение в Indonesia. Предварительный отчёт о катастрофе описывает проблемы с различными приборами и элементами управления на пяти рейсах на протяжении четырёх дней (в том числе и на рейсе, завершившемся аварией). Все проблемы возникали с левой стороны авиалайнера или вызывались рассогласованием между левой и правой сторонами.
Рейс во второй строке (Manado > Denpasar) не упомянут в предварительном отчёте, но самолёт должен был вылететь из Манадо в Денпасар, чтобы выполнить рейс на следующий день.
| Дата | Маршрут | Отчёты о проблемах | Техобслуживане |
|---|---|---|---|
| 26 октября | Tianjin > Manado | левая сторона: нет показаний скорости воздушного потока и высоты | проверить левый компьютер управления сваливанием и стабилизации угла рыскания; выполнено |
| ? | Manado > Denpasar | ? | ? |
| 27 октября | Denpasar > Manado | левая сторона: нет показаний скорости воздушного потока и высоты; предупреждающие индикаторы speed-trim и mach-trim | проверить левый компьютер управления сваливанием и стабилизации угла рыскания; сбой; выполнить сброс устройства данных о воздушной обстановке и инерциальной системы отсчёта; выполнить повторную проверку левого компьютера управления сваливанием и стабилизации угла рыскания; выполнено; зачистить электрические контакты |
| 27 октября | Manado > Denpasar | левая сторона: нет показаний скорости воздушного потока и высоты; предупреждающие индикаторы speed-trim и mach-trim; отсоединение автомата тяги | проверить левый компьютер управления сваливанием и стабилизации угла рыскания; сбой; выполнить сброс устройства данных о воздушной обстановке и инерциальной системы отсчёта; заменить левый датчик AoA |
| 28 октября | Denpasar > Jakarta | предупредительный сигнал о рассогласовании показаний скорости воздушного потока и высоты левой и правой сторон: вибросигнализатор штурвала [активация MCAS] | продуть левую трубку Пито и приёмник статических давлений; зачистить электрические контакты на вычислителе положения руля высоты |
| 29 октября | Jakarta > Pangkal Pinang | вибросигнализатор штурвала [активация MCAS] |
В каких из пяти полётов активным компьютером был левый FCC? Последние два, когда активировалась MCAS, были первыми рейсами дня, поэтому предположительно ими управлял левый FCC. Насчёт остальных сложно сказать, особенно потому, что за операциями техобслуживания могли следовать полные отключения питания самолёта, после которых последовательность попеременного использования компьютеров должна начинаться сначала.
Сообщается, что модернизированное ПО MCAS будет учитывать сигналы с обоих датчиков AoA. Что оно будет делать с дополнительной информацией? Пока опубликовано только одно упоминание: если показания разнятся больше, чем на 5,5 градусов, то MCAS будет отключаться. А что если показания отличаются на 4 или 5 градусов?
Примечание: в недавней статье Даниэля Оссманна из Германского центра авиации и космонавтики обсуждается вопрос алгоритмического обнаружения сбоев датчиков AoA.
Как MCAS будет выбирать датчик, которому нужно доверять? Консервативная (или пессимистичная) инженерная практика должна отдавать предпочтение более высоким показаниям, чтобы обеспечить улучшенную защиту от нестабильности и сваливания. Но этот выбор также повышает риск опасных «исправлений», вызванных неисправным датчиком.
Нынешняя система MCAS с попеременным выбором левого и правого датчика имеет 50-процентную вероятность катастрофы в случае, когда один случайный сбой заставляет датчик AoA передавать ошибочно высокие данные. В случае такого же случайного сбоя с одной стороны в обновлённой MCAS будет 100-процентная вероятность игнорирования попыток пилота перейти в область сваливания. Разве это усовершенствование?
Сломанный датчик
Хоть неисправный датчик и не должен приводить к аварии самолёта, мне всё равно хотелось бы знать, что случилось со флюгером AoA.
Никого не удивляет, что датчики AoA могут оказаться неисправными. Это механические устройства, работающие в агрессивной среде: ветра, превышающие 500 миль в час и температуры ниже –40 градусов Цельсия.
Распространённым видом неисправности является застрявший датчик, что часто вызвано оледенением (несмотря на наличие встроенного противообледенительного нагревателя). Но неподвижный флюгер будет передавать постоянные данные, не зависящие от реального угла атаки, а на рейсе 610 наблюдались другие симптомы. Бортовой самописец показывает небольшие колебания сигналов левого и правого приборов. Более того, колебания двух кривых близко выровнены, и это даёт нам понять, что они оба отслеживали одинаковые движения самолёта. Другими словами, похоже, что левый датчик работал; он просто передавал измерения, смещённые на постоянную величину, примерно равную 20 градусам.
Существует ли какой-то другой вид сбоя, способный создавать наблюдаемое смещение? Разумеется: достаточно всего лишь согнуть флюгер на 20 градусов. Возможно, его задел проезжавший мимо грузовик или трап. Ещё одна догадка: датчик мог быть неверно установлен, и всё устройство оказалось повёрнутым на 20 градусов. Несколько авторов на веб-сайте Professional Pilots Rumour Network изучили эту возможность, но в конце концов заключили, что это невозможно. Производитель, вне сомнений знавший о такой опасности, расположил крепёжные винты и центровочные штифты асимметрично, поэтому устройство можно было установить в отверстие корпус единственным образом.
Тот же эффект можно получить при ошибке сборки во время производства датчика. Флюгер мог быть неправильно прикреплён к валу, или же мог быть неверно закреплён внутренний преобразователь, превращающий угловое положение в электрический сигнал. Обеспечили ли конструкторы невозможность таких ошибок? Я не знаю, мне не удалось найти чертежей или фотографий внутренностей датчика.
Изучая другие возможные причины сбоя, я вкратце просмотрел нормы лётной годности FAA, применяемые при техобслуживании или замене датчиков AoA. Я обнаружил, что их несколько десятков, и в некоторых из них описывается тот же датчик, установленный на 737 MAX (Rosemount 0861). Но ни в одном из прочитанных мной отчётов не описывается неисправность, способная вызвать постоянную ошибку в 20 градусов.
Какое-то время я думал, что сбой, возможно, произошёл не в самом датчике, а где-то дальше по каналу передачи данных. Это могло быть нечто простое, например, неисправный кабель или контакт. Сигналы от датчика AoA передаются в устройство данных о воздушной обстановке и инерциальной системы отсчёта (Air Data and Inertial Reference Unit, ADIRU), в котором компоненты синуса и косинуса комбинируются и оцифровываются для получения числа, представляющего измеренный угол атаки. Также ADIRU получает входящие данные от других датчиков, в том числе от трубок Пито, измеряющих скорость воздушного потока, и от приёмников статического давления, измеряющих давление воздуха. Кроме того, устройство содержит в себе гироскопы и акселерометры инерциальной системы управления, которая может отслеживать движение воздушного судна без опоры на внешние данные. (Отдельные ADIRU есть для каждой из сторон самолёта.) Возможно, проблема возникла в устройстве оцифровки — ошибка в битах, а не во флюгере.
Но полученная в дальнейшем информация разрушила эту идею. Начнём с того, что датчик AoA, демонтированный группой технического обслуживания компании Lion Air 27 октября, сейчас находится в руках следствия. По информации из новостей, он был «признан дефектным», но я пока не слышал никаких упоминаний конкретных дефектов. Кроме того, оказывается, что один из элементов системы управления, компьютер управления сваливанием и стабилизации угла рыскания (Stall Management and Yaw Damper, SMYD) получает от датчика непосредственные аналоговые напряжения синуса и косинуса, а не оцифрованный угол, вычисляемый ADIRU. Именно SMYD управляет функцией вибросигнализатора штурвала. И на рейсе Lion Air, и на рейсе Ethiopian вибросигнализатор был активен почти непрерывно, поэтому эти аналоговые напряжения синуса и косинуса должны были указывать на высокий угол атаки. Другими словами, ошибка уже существовала до попадания сигнала в ADIRU.
Меня по-прежнему сбивает с толку постоянное угловое смещение в данных рейса Lion Air, но теперь этот вопрос кажется чуть менее важным. Из предварительного отчёта по рейсу 302 Ethiopian следует, что левый датчик AoA на этом самолёте тоже ужасно сбоил, но совершенно иначе. Вот соответствующие графики из бортового самописца:
Показания датчиков AoA находятся в самом верху, красная линия — левый датчик, синяя — правый. В левой части графика они немного разнятся, когда самолёт должно быть только начал двигаться, но когда двигаясь по взлётной полосе, самолёт набрал скорость, их показания начали практически совпадать. Однако при взлёте произошло значительное расхождение — левый флюгер начал показывать совершенно невозможный угол подъёма носа в 75 градусов. Позже он снижается на несколько градусов, но в остальном не демонстрирует признаков колебаний, которые бы предполагали реакцию на воздушный поток. В самом конце полёта присутствуют другие неожиданные отклонения.
Кстати, голубой график команд автоматической балансировки дают ещё один намёк на то, что могло произойти в последние моменты рейса 302. Примерно посередине графика были нажаты переключатели STAB TRIM, что привело к тому, что команда автоматического опускания носа не повлияла на положение стабилизатора. Но в самой правой ещё одна команда автоматического опускания носа повлияла на график позиции триммера, и это позволяет предположить, что переключатели Cutout были снова включены.
Другие головоломки
Но есть ещё многое, чего я по-прежнему не понимаю.
Загадка номер 1. Если аварии Lion Air и Ethiopian были вызваны неисправными датчиками AoA, то это значит, что в совершенно новом воздушном судне было три детали со схожими дефектами (в том числе и в запасном датчике, установленном в самолёте Lion Air 27 октября). Из недавних новостей стало известно, что запчасть была не новой, а восстановленной во флоридской мастерской под названием XTRA Aerospace. Этот факт позволяет нам назначить ещё одного возможного виновника, но два датчика, установленных Boeing, предположительно не были восстановленными, так что нельзя винить за всех них только XTRA.
Сейчас в эксплуатации находится примерно 400 самолётов MAX, на которых установлено 800 датчиков AoA. Является ли уровень отказов 3/800 необычным или неприемлемым? Зависит ли это суждение от того, одинаковым ли был дефект во всех трёх случаях?
Загадка номер 2. Давайте снова взглянем на графики балансировки по тангажу (pitch trim) и угла атаки в данных Lion Air 610. Всеобщее внимание привлекли конфликт ручных и автоматических команд, но меня озадачивает и то, что происходит в первые несколько минут.
Во время движения по взлётной полосе система балансировки по тангажу была установлена почти в максимальное положение повышения угла тангажа (синяя линия). Сразу же после взлёта система автоматической балансировки начала передавать команды дальнейшего движения по повышению угла тангажа, и стабилизатор, вероятно, достиг своего механического предела. В этот момент пилоты вручную направили его в сторону уменьшения угла тангажа, и автоматическая система отреагировала на это быстрой последовательностью команд на повышение угла тангажа. Другими словами, «перетягивание каната» между пилотами и автоматикой уже началось, но пилоты и автоматизированное управление тянули в направлениях, противоположных тем, которые они выберут в дальнейшем. Всё это происходило, пока закрылки всё ещё были открыты, то есть MCAS не могла быть активной. Эти команды на повышение тангажа должен был передавать какой-то другой элемент системы управления. Усугубляет загадочность то, что левый датчик AoA уже передавал свои ошибочно высокие показания в левый компьютер управления полётом. Если FCC действовал в соответствии с этими данными, то он не должен был передавать команды на увеличение тангажа.
Загадка номер 3. Показания AoA — это не самые любопытные данные из информации в предварительном отчёте Lion Air. Вот графики высоты и скорости:
Показания высоты слева (красная линия) составляют всего несколько сотен футов. Похоже, ошибка скорее мультипликативна, чем аддитивна, вероятно, она составляет 10 процентов. Левая и правая скорости воздушного потока тоже несогласованы, но график слишком сжат, чтобы оценить разницу количественно. Именно эти расхождения изначально раздражали пилотов рейса 610; они могли видеть их на своих приборах. (В кабине экипажа не было индикаторов угла атаки, поэтому эти конфликты оставались для них невидимыми.)
Высота, скорость воздушного потока и угол атаки — все они измеряются разными датчиками. Могли ли они одновременно выйти из строя? Или существует некая общая точка отказа, способная объяснить всё это странное поведение? В частности, мог ли один ненадёжный датчик AoA вызвать весь этот хаос? Я предполагаю, что да. На датчики высоты, скорости воздушного потока и даже температуры влияет угол атаки. Поэтому измеряемые скорость и давление изменяются для компенсации этой противоречивой переменной, используя для этого выходные данные датчика AoA. Эти выходные данные были ошибочными, поэтому изменения позволили одному потоку ошибочных данных заразить все измерения воздушной обстановки.
Человек или машина
Шесть месяцев назад я писал об ещё одной катастрофе, вызванной вышедшей из под контроля системой управления. В том случае проблемным местом была сеть распределения природного газа в Массачусетсе, неправильно настроенная установка для регулировки давления которой вызвала пожары и взрывы более чем в 100 зданиях, а также смерть одного человека и серьёзные травмы у двадцати. Тогда я сокрушался, что особый пафос технологических трагедий заключается в том, что движущей силой нашего разрушения являются машины, которые конструируем и создаём мы сами.
В мире, где дефектное автоматическое управление взрывает дома и заставляет самолёты падать вниз, сложно аргументировать необходимость большей автоматизации, добавления в системы управления новых слоёв сложности, предоставления машинам большей автономности. Общество склоняется в противоположную сторону. Подобно президенту Трампу, большинство из нас доверяет пилотам больше, чем учёным. Мы не хотим, чтобы на борту была MCAS. Мы хотим видеть Чесли Салленбергера, героя рейса 1549 авиакомпании USAir, направившего свой неисправный A320 на посадку в реку Гудзон и спасшего 155 пассажиров. Никакой уровень автоматизации кабины пилотов не позволит выполнить такой трюк.
Тем не менее, холодный, аналитический взгляд на статистику предполагает другую реакцию. Участие человека не всегда спасает ситуацию. Напротив, ошибка пилота ответственна за самое большое количество катастроф со смертельным исходом. В одном исследовании ошибки пилотов объявляются первопричиной 40 процентов катастоф, а сбой оборудования — только 23 процентов. Никто (пока) не выступает за беспилотную кабину, но на текущем этапе развития авиационных технологий это гораздо более близкая перспектива, чем бескомпьютерная кабина пилотов.
Система MCAS модели 737 MAX представляет собой особо неуклюжий компромисс между полностью ручным и полностью автоматическим управлением. Программам предоставляется большая доля ответственности за безопасность полёта, и им даже даётся возможность блокировки решения пилота. Тем не менее, в случае неисправности системы ответственность за выяснение причин и их исправление полностью ложится на пилота — и исправить ситуацию нужно быстро, иначе MCAS направит самолёт в землю.
Два уничтоженных самолёта и 346 смертей — убедительное доказательство того, что подобная конструкция является плохой идеей. Но что нам с этим поделать? Boeing планирует отойти от автоматического управления, вернув больше ответственности и власти пилотам:
- Система управления полётом теперь будет сравнивать входящие сигналы от обоих датчиков AOA. Если датчики расходятся на 5,5 или более градусов при закрытых закрылках, то MCAS не будет активироваться. Индикатор в кабине экипажа будет предупреждать об этом пилотов.
- Если MCAS активируется в нештатных условиях, то она будет обеспечивать только один входящий сигнал на каждое переданное событие повышенного AOA. Нет никаких известных или предполагаемых условий сбоя, при которых MCAS будет передавать множественные входящие команды.
- MCAS никогда не сможет передавать стабилизатору команды больше, чем те, которым может противостоять экипаж со штурвала. У пилотов по-прежнему всегда будет иметься возможность отключения MCAS и ручного управления самолётом.
В заявлении генерального директора Boeing Денниса Муиленберга говорится, что обновление ПО «гарантирует невозможность повторения аварий рейса 610 Lion Air и рейса 302 Ethiopian Airlines». Я надеюсь, что это правда, но как насчёт происшествий, которые должна предотвращать MCAS? Я также надеюсь, что нам не доведётся читать о сваливании и аварии 737 MAX из-за того, что пилоты посчитали MCAS неисправной и продолжали тянуть на себя штурвалы управления.
Если бы Boeing выбрала противоположный подход — не ограничивать MCAS, усовершенствовать её новыми алгоритмами, работающими с системой управления, то такой план был бы воспринят с негодованием и насмешками. Это и в самом деле кажется ужасной идеей. MCAS была установлена, чтобы не давать пилотам заходить в опасную область. Новая система надсмотра следила бы за MCAS, вступая в дело при её подозрительном поведении. Но разве нам не был бы нужен ещё один смотрящий за смотрящим, и так далее до бесконечности? Более того, при добавлении каждого нового слоя сложности мы получаем новые побочные эффекты, непредусмотренные последствия и возможности поломок. Систему становится сложнее тестировать, а её правильность доказать невозможно.
Это серьёзные возражения, но и рассматриваемая проблема тоже серьёзна.
Допустим, что у 737 MAX не было бы MCAS, но в кабине пилотов имелся индикатор угла атаки. В рейсе Lion Air капитан почувствовал бы, что вибросигнализатор штурвала предупреждает его о надвигающемся сваливании и увидел бы на панели приборов опасно высокий угол атаки. Его навыки подсказали бы ему делать то же, что делала MCAS: опускать нос вниз, чтобы снова заставить крылья работать. Продолжал бы он опускать его, пока самолёт не столкнулся с водой? Конечно нет. Он бы выглянул в окно, перепроверил показания приборов на другой стороне кабины и спустя несколько страшных мгновений осознал бы, что это была ложная тревога. (В темноте или при низкой видимости, когда пилот не видит горизонта, результат мог быть хуже.)
Я вижу в этом гипотетическом примере два урока. Во-первых, ошибочные данные датчиков опасны, кто бы ни управлял самолётом: компьютер или Чесли Салленбергер. Разумно спроектированная система приборов и управления предприняла бы шаги по обнаружению (а в идеале и исправлению) подобных ошибок. В настоящий момент единственной защитой от таких сбоев является резервирование систем, а в немодифицированной версии MCAS даже эта защита оказалась скомпрометированной. Этого недостаточно. Важным моментом, дающим преимущество живым пилотам, заключается в том, что они рассудительны и иногда скептичны относительно показаний приборов. Такая рассудительность вполне возможна и для автоматизированных систем. Можно использовать множество источников информации. Например, рассогласование между датчиками AoA, трубками Пито, приёмниками статического давления и зондами температуры воздуха — это не только сигнал об ошибке, но и возможность понять, какой из датчиков оказался сбойным. Инерциальная система отсчёта обеспечивает независимый контроль положения самолёта; можно даже использовать сигналы GPS. Общепризнанно, что основной сложностью является осознание всех этих данных и извлечение из них правильных выводов.
Во-вторых, у контроллера с обратной связью есть ещё один источник информации: косвенная модель контролируемой системы. Если изменить угол горизонтального стабилизатора, то нужно ожидать, что известным образом изменится состояние самолёта — его угол атаки, угол тангажа, скорость воздушного потока, высота и скорость изменений всех этих параметров. Если результат управляющего воздействия не соответствует модели, то что-то происходит не так. Упорная передача одинаковых команд, когда они не приводят к ожидаемым результатам — это неразумное поведение. В автопилотах есть правила поведения в таких ситуациях; подобные проверки исправности можно внедрить и в низкоуровневые правила управления, выполняемые при полёте в ручном режиме.
Я не утверждаю, что у меня есть решение проблемы MCAS. И я не хотел бы летать на самолёте, который спроектировал сам. (Да и вам этого не захочется.) Но есть общий принцип, который, как я считаю, надо принять всем сердцем: если автономные системы принимают решения «между жизнью и смертью» на основе данных датчиков, то необходимо проверять правильность этих данных.
Дополнение от 11 апреля 2019 года
Boeing продолжает настаивать, что MCAS «не является функцией защиты от сваливания или функцией предотвращения сваливания. Это функция лётных качеств. Мнения о том, что это нечто другое, являются заблуждением». С этим заявлением выступил вице-президент Boeing по разработке продукции и дальнейшего развития самолётов Майк Синнетт; заявление появилось в статье Гая Норриса в Aviation Week, опубликованной 9 апреля.
Я не совсем понимаю, что в этом контексте означают «лётные качества» (handling qualities). Мне это выражение кажется чем-то, что может больше влиять на комфорт, эстетику или удобство, чем на безопасность. Самолёт с другими лётными качествами может по-иному ощущаться пилотом, но всё равно может управляться им без риска серьёзных происшествий. Намекает ли Синнетт на что-то этим заявлением? Если да, то есть если MCAS не критична для безопасности полёта, то я удивлён, что Boeing не хочет просто временно её отключить, чтобы вернуть самолёты обратно в небо, пока компания работает над окончательным решением.
В статье Норриса также цитируются слова Синнетта: «Мы пытаемся избежать ситуации, когда пилот тянет штурвал на себя, внезапно это становится делать проще, и он слишком задирает нос вверх». Эта ситуация, в которой нос оказывается выше, чем хотелось пилоту, напоминает мне состояние, предшествующее сваливанию.
В истории, написанной Джеком Никасом, Дэвидом Геллсом и Джеймсом Глэнцем в New York Times, излагается другая точка зрения: в ней предполагается, что «лётные качества» были мотивацией к созданию первой версии MCAS, но риски возникновения сваливания частично вызвали её дальнейшее усиление.
Изначально система задумывалась для срабатывания только в редких условиях, а именно при высокоскоростных манёврах, чтобы обеспечить более плавное и предсказуемое управление для пилотов, привыкших летать на предыдущих 737. Это сообщили нам на условиях анонимности из-за ведущихся расследований два бывших сотрудника Boeing.
В таких ситуациях действия MCAS были ограничены перемещением стабилизатора — частью самолёта, меняющей вертикальное направление самолёта — примерно на 0,6 градуса за примерно 10 секунд.
Это было приблизительно на том этапе проектирования, когда FAA рассматривала первоначальную конструкцию MCAS. Самолёты ещё не прошли свои первые тестовые полёты.
После того, как в начале 2016 года начались тестовые полёты, пилоты Boeing обнаружили, что непосредственно перед сваливанием на разных скоростях MAX управлялся менее предсказуемо, чем им хотелось. Поэтому по словам бывшего сотрудника, находившегося в курсе переговоров, они предложили использовать MCAS и для таких ситуаций.
И, наконец, ещё одна статья в Aviation Week Гая Норриса излагает убедительную версию того, что произошло с датчиком угла атаки рейса 302 Ethiopian Airlines. По сведениям источников Норриса, флюгер AoA был сбит спустя секунды после взлёта, возможно, вследствие удара о о птицу. Эта гипотеза соответствует графикам, извлечённым из бортового самописца, в том числе странно выглядящим колебаниям в самом конце полёта. Интересно, есть ли надежда найти потерянный флюгер, который должен был упасть не так далеко от конца взлётной полосы?
sinneren
«Закрылков» — это правильное слово? Или всё же закрылок? Я правда не знаю.
Стоит ещё отметить, что до погибшего первого LA, был ещё один LA, и у него была абсолютно та же проблема, но, видимо (не помню точно) пилоты не триммировали. И успешно сели, не написав должного рапорта о случившемся (но сообщили устно кому-то там в разборе полётов), из-за чего тестировщики не получили свой верный кейс и, отработав его, не нашли проблемы. Мораль? Пишите в сапорт все кейсы и подробно, это может стоить сотни жизней.
ksbes
Если у вас у самолёта «крыло» — то «закрылок», а если «крылья» то и «закрылки». Зависит от конструкции. На DC-3, например — закрылок он действительно один на оба крыла (конструктивно — там и крыло — одно). А на современных самолётах- там суммарно закрылков до нескольких десятков можно насчитать (т.к. щелевые и многосекционные).
FiLunder7
Крыло всегда одно. За исключением бипланов и прочих много-планов. А вот консолей крыла обычно две — правая и левая.
Googlist
Однако истории с закрьілками єто не отменяет.
saege5b
Запись была, но мутной.
А ремонтники не стали заморачиваться.
И насколько помню, это был второй разбившийся.
Bedal
Не совсем так — и сильно так, как подано в посте:
1. В Runaway Stabilizer procedure давно зафиксировано, что при любых сомнениях в поведении стабилизатора следует отключить автоматику управления им.
sinneren
Так я и не заявлял же, что самолёт виноват. Таки даже наоборот. Ну ещё виновато то, что этот момент с MCAS на симуляторах-то не проходили они. И что включается он даже автоматически через (по моему 5 сек), а они то и дело триммируют, убивая себя постепенно.
Bedal
Извините, что отвечаю сразу нескольким, сами понимаете — карма…
Нет. Отказ автоматики стабилизатора проходят — достаточно. MCAS не создаёт никакой специфики.2 sinneren:
2 black_semargl:
Нет! Индикация расхождения значений датчиков АОА есть и так. Более того, запись в журнале нормально выполненного полёта с тем же отказом (в Индонезии, спасибо за поправку) как раз и была о срабатывании этой индикации.
Предлагаются же третий датчик и индикация срабатывания именно MCAS. Раздельно — можно что-то одно, можно оба. Последнее — действительно, скорее лишнее (бесполезная лишняя информация для пилотов). Первое — полно будет ситуаций, когда не поможет. Все датчики работают по одному физическому принципу — отказ одного с высокой вероятностью может означать и отказ другого/других.
2 AVDerov:
А, если учесть, что полёт на ручном управлении и опаснее? Ото ж… нет тут простых решений.
2 DrGluck07:
Да, я ошибся по памяти — но, поскольку это ничего не меняет в сути, не стал уточнять, копаться. Спасибо за уточнение.
Читал, что четырежды. Надо обновить знание. Но, увы, это опять немногое меняет: пилоты торопятся включить автоматику раньше, чем вышли на режим, где это сделать безопаснее. И, кстати, MCAS переставляет стабилизатор на один шаг (из 17) раз в примерно 20 секунд. За то время, пока она работала, сам MCAS не мог так зарулить машину. Это, если вообще ей не мешать, не триммировать стаб ручной командой и не отключать автоматику. Пилоты тупо выбрали не ту высоту для экспериментов.
ksbes
Карма — да, понимаю.
Нет, не было. А была индикация в различии приборной скорости, которая, на самом деле, и была вызвана различиями в AoA, но об этом никто не подумал — грешили на трубки Пито.
Выбирали не пилоты, а MCAS. И там и одного шага вполне достаточно чтобы создать проблем пилотам, ну уж а 17 — более чем, как показывает практика.
Bedal
2 ksbes:
Это говорит о квалификации наземного персонала, верно.Теперь о том, что было на индикаторе:
Upd: запись была вообще DIFF PRESS, о разнобое в работе закрылков. Штрих в картину квалификации.
Неадекватное отклонение — конечно, создаёт проблемы. Но инструкция гласит, что при возникновении проблем следует отключить автоматику. И больше не включать!
Rsa97
IMHO, вы путаете 17 единиц (units) на шкале положения стабилизатора с шагами. Колесо триммера — оно аналоговое и вращается непрерывно, а не шагами. Со стабилизатором оно связано механически, так что на стабилизаторе тоже никаких шагов нет. В AFM встречаются величины в 1/4 единицы.
Таким образом, единица шкалы практически соответствует одному градусу перекладки стабилизатора.Что касается диапазона отклонения самого стабилизатора, то мне попадалась такая фраза:
Bedal
2 Rsa97:
Колесо — аналоговое, оно для ручной работы. А работа автоматики триммерной и mcas описывается именно в «юнитах», шагах, каждый из которых соответствует отклонению руля высоты на 2.5°. И в работе автоматики этих шагов — 17.
И всем сразу: процедура, скан которой я здесь приводил, гласит «при любой неполадке стабилизатора (плюс список других нештатных ситуаций) отключить автоматику и не включать до конца полёта». Один раз пилоты сделали это — и провели совершенно нормальный полёт. Два раза не сделали — получили катастрофы. Что тут ещё обсуждать?
ksbes
Что-то я там не вижу слов «при любой неполадке». Там слова «если стабилизатор постоянно самостоятельно переводится в одном направлении». При этом что «постоянно», а что «не постоянно» можно понимать по разному.
Endeavour
> Там слова «если стабилизатор постоянно самостоятельно переводится в одном направлении»
Прочитал 4 раза, не увидел.
Rsa97
Endeavour
www.b737.org.uk/images/runaway-stab-proc.jpg
Вот на этом скрине из под спойлера выше, перечислено больше условий для выполнения этого чеклиста. Вы видимо, смотрите в сам чеклист, выше этого текста.
Rsa97
Если вы про список со своей картинки, то там перечислены возможные признаки ошибочных показаний датчиков угла атаки.
В остальном, этот текст практически дублирует действия из чеклиста и не содержит условия, когда чеклист надо применять.
Rsa97
Одна единица шкалы (или «юнит» по вашему) — это один градус перекладки стабилизатора. Этому градусу соответствует примерно 15 оборотов колеса триммера. Если посмотрите какое-либо видео из кабины 737, то можете заметить, что автоматика — автопилот или STS — вращают колесо небольшими импульсами, иногда не делая даже одного оборота за раз.
black_semargl
Вот собственно эти колёса, из предыдущего топика
hsto.org/webt/nq/vq/rk/nqvqrkfeeqtaj31q_gbbr2hcoay.jpeg
Рядом с ними шкала показывающая текущий статус
Что касается 17 раз — так каждый раз после пилоты откручивали назад. А потом всего пару раз пропустили — и всё, он на максимальный угол убежал.
Rsa97
AVDerov
"Один мой знакомый в Delta попал на месяц тренажёров (с отстранением от полётов), попытавшись объяснить, что он взял управление, чтобы не потерять навык." — вот за это собственников компании надо штрафовать пожизненно.
staticlab
Каждого акционера пропорционально количеству акций? Или вы всё-таки имели в виду совет директоров?
AVDerov
Совет Директоров скорее всего,… хотя собственники тоже должны отвечать.
Не можешь управлять — не владей. Аргумент про бабушку, которая на всю пенсию купила акции компании Boeing не готов обсуждать.
P.S. У нас свободная страна…
(с) Американское кино
staticlab
Хорошо, что вы законы не принимаете...
ksbes
Ну у нас если собственник автомобиля бабушка, то все похороны сбитых её внучком людей — за её счёт. Причём безусловно, виноват её внучёк или они сами под колёса бросились.
Так же а авиакомпании у нас — безусловно лечат и хоронят пострадавших в авиапроишествиях.
staticlab
Ну не думаю, что это хорошая практика. Если начать экстраполировать — самолёт часто принадлежит не авиакомпании, а банку, который сдаёт его в лизинг. Получается, что в случае катастрофы по вине авиакомпании пожизненно штрафовать всех вкладчиков банка по принципу «Не можешь управлять — не вкладывай»? А если кто-то взял в этом банке кредит, купил машину и сбил людей на остановке? Проще тогда сразу всех людей посадить в тюрьму «во избежание».
black_semargl
Лизинг — это юридический договор, в котором вполне прописывается кто за какие ситуации отвечает.
ksbes
Гражданская ответственность собственника объекта повышенной опасности — она безусловна и «превыше всего» (т.к. федеральный закон). Никакими договорами её не перекинуть (не путайте собственника и владельца — при аренде собственник — арендодатель, владелец — арендующий).
Так что если вводить ответственность акционеров, то будет (у нас по крайней мере) такой же принцип. Идея на первый взгляд здравая (особенно если освободить от ответственности миноритариев). Но как всегда в деталях есть много НО: начиная от того что законы пишут и лоббируют как раз-таки те же люди, что держат контрольные/блокирующие пакеты акций и заканчивая тем, что не понятно как определять степень и глубину. Всё-таки между наказанием и действиями человека должна быть более-менее прямая связь.
Rsa97
ГК РФ 1079.1
black_semargl
Дальше предполагается что пилоты должны сами сообразить что делать.
dom1n1k
И всё-таки плюс один датчик — это не то, что можно выносить в опции. Их должно быть три в базе штатно.
grassInTheYard
А потом можно Боингу, четвёртый как опцию предлагать?
pop70
Совсем недавно Ан в России расхреначили с 3 штуками датчиков скорости. И с индикацией, и с автоматическим выбором исправного системой управления…
На самом деле, главная проблема всех «умных вещей» в том, что наступает момент, когда «вещь» становится умнее того, кто ею управляет (пользуется).
Да. три датчика — вероятность критического отказа, не распознанного или неправильно распознанного автоматикой, меньше, но и человеку в этом случае труднее труднее разобраться что происходит.
Как в случае с тем самым АНом.
Вначале начинает дурить один датчик, система отбрасывает его показания, но ничего не говорит пилотам, потом умирает второй датчик. И система говорит «я сдаюся, рулите сами», а у пилотов к этому моменту 3 разных показания от 3х датчиков, и уже все неверные… Вогнали самолёт в землю. А первопричина всех проблем — не включили обогрев датчиков и они тупо один за другим замёрзли.
Ругнись система когда отказал первый — может быть, хватило бы времени разобраться что происходит.
Wesha
Мне вот только интересно — что, профессиональные пилоты сериал "Расследование авиакатастроф" принципиально не смотрят? Уж на что я — дебил дебилом, так и до меня после пятисотого повторения дошло: "Разные показания скорости = проверь, включен ли обогрев трубок Пито".
staticlab
Вероятно, что пока автопилот работает, пилоты не особо следят за датчиками, а когда система выключается и 3 датчика показывают разные данные, включать обогрев может быть уже немного поздно.
MarazmDed
Вообще говоря, есть чеклист IAS disagree (на боингах он так называется. У АН — тоже есть, называется вероятно по другому). Там перечислены действия, которые нужно выполнить, чтобы нормально лететь при отказе датчиков. Другое дело, что в случае с АНом, пилоты поверили кривым показаниям и на взлете добровольно вогнали самолет в землю. Вместо того, чтобы выполнить чек-лист. Ситуация отрабатывается на тренажерах. Не является редкой и не является смертельной.
dom1n1k
Почему наличие третьего датчика должно отменять или запрещать индикацию их неисправности?
DaneSoul
Stas911
А если отказ датчика температуры?
DaneSoul
Значит будут лететь дальше без датчика температуры, не фатально.
Но если датчик исправен, а обогрев не включен или не исправен, то пилоты узнают об этом заранее, а не когда у них отрубит датчики от переохлаждения.
pop70
В том и дело, что и отказ датчика УА, как в обсуждаемом случае, тоже совершенно не фатален. Можно вообще без этих датчиков обойтись.
Но сам факт того, что лишний датчик может отказать означает лишний риск. Система автоматики и контроля становится сложнее, от пилота требуются дополнительные действия.
А потом к этому, ненужному датчику привинтят ещё какой-нибудь «улучшайзер», который в самый неподходящий момент начнёт рулить самолётом по непонятной пилоту логике.
И вместо повышения надёжности и безопасности, получится «как всегда»
engine9
Насколько я понял, они замёрзли т.к. забыли включить обогрев по чеклисту, а делать обогрев в режиме «включен всегда» нельзя, т.к. без обдува трубка просто сгорит. И автовключение делать нельзя, вдруг оно заглючит.
tbl
А боингах и эирбасах на земле включают обогрев пито, сразу после старта двигателей, и у пилотов много времени чтобы обстоятельно пройтись по чеклисту. На советских бортах — только непосредственно перед взлетом, но там и так надо много действий сделать за короткий промежуток времени, так что до сих пор случаются аварии, связанные с невключением обогрева трубок.
MarazmDed
А это может означать только одно: квалификацию экипажа. Чек-лист читается всегда. Если ЗАБЫЛИ — значит одно из двух: 1) начихали на чек-лист и тупо прочитали его и не перепроверили 2) выполнили его по памяти и прошляпали.
В обоих случаях — это косяк экипажа.
black_semargl
Просто не прочитали чек-лист для момента начала разгона, потому что им внезапно дали команду взлетать с ходу.
(и он вроде из этого единственного пункта «включить обогрев»)
Gutt
Автовключение обогрева есть как минимум на A320, положение «Auto». Подозреваю, что и на большинстве других современных типов так же.
MarazmDed
Без датчика угла атаки тоже лететь не фатально. Ситуация не редкая.
Wesha
Датчик температуры — прост как два провода, у него возможны только два отказа: обрыв кабеля или короткое замыкание в кабеле, оба случая элементарно детектятся и в кабине загорается транспарант "отказ датчика", после чего пилоты предупреждены (а значит — вооружены). Главное — чтобы пределы измерения датчика были разумные — отказ из-за дурацких индикаторов температуры мы уже проходили.
black_semargl
Потому что добавление датчика — это необходимость новой сертификации всего самолёта. И ради одного датчика возиться…
Тут по уму надо один раз перепроектировать весь самолёт, с добавлением всех современных возможностей. Но нету таких предпринимателей в авиастроении…
DrGluck07
Мне кажется вы тут перепутали эфиопию и индонезию. Случаев было три:
1. Lion Air PK-LQP отказ датчика, пилоты смогли вернуть на землю.
2. Lion Air PK-LQP, отказ датчика, разбился. Не отключали привод стабилизатора.
3. Эфиопский ET-AVJ, отказ датчика, разбился. Судя по графикам, они отключали привод стабилизатора один раз, затем включили и упали.
MarazmDed
В таком случае, случаев было не 3, а около 60. Просто 58 из них закончились благополучно и потому про них никто не знает.
ksbes
Ну сам автор статьи склонен считать самолёт без MCAS чуть ли не опаснее чем самолёт с «плохой» MCAS. Так что я бы не стал так утверждать что наличее/отсутствие MCAS не меняет ничего.
Если пилот на новом самолёте может при отключённой случайно поймать «подхват» двигателями (корпусом двигателей), при нормальном ещё угле атаки (когда штурвал ещё не трясётся — против этого MCAS и нужна, если верить автору), чего не было на предыдущих моделях и этому никого не учат, никому не рассказывают (а летать без MCAS надо уметь, раз есть инструкции по которым её надо отключать), то явно прослеживается некоторая недобросовестность.
DrGluck07
Мне кажется они добавили MCAS чтоб имитировать поведение NG и, соответственно, снизить расходы на переучивание пилотов. Собственно само переучивание не требует даже реальной лётной сессии, только наземный тренажер (об этом писал Денис в ЖЖ).
Любой современный самолёт с низким расположением двигателей задирает нос на полной тяге. Пилоты прекрасно знают об этом и умеют с этим бороться. Но MAX делает это слишком сильно и Боинг пытался дать пилотам ощущения «как на NG». В итоге получилось то, что получилось.
ksbes
Дело не в том, что MAX «сильнее задирает нос», а (согласно автору статьи) в том, что при задранном носе у пилота резко (нелинейно) пропадает нагрузка со штурвала и (если он этого не ожидал) он резко возьмёт на себя и «уронит» самолёт.
Это как картошку тупым ножом резать — сначала тяжело, давишь, а потом (когда проходишь самую толстую часть) нож резко проседает и с характерным стуком режет картошку, доску и палец.
engine9
Эта аналогия войдёт в историю хабра!
DrGluck07
Честно говоря, я с трудом представляю себе пилота, который в такой ситуации не среагирует мгновенно и не отдаст штурвал от себя. На самом деле управляющие поверхности реагируют довольно медленно, а движения пилоты совершают достаточно размашистые. Вот примерно как здесь: youtu.be/dAqYvD190s0
dobrobelko
Рассуждения диванного теоретика.
Разумеется, самолет не при чем. Только индонезийские пилоты вообще не знали о существовании MCAS.
Можно подробнее о «знакомом из Delta» и наказании симулятором за ручное управление, или это байка? Куча знакомых летает в Southwest, United и AA, ни разу не слышал о таком.
В эфиопии пилоты отключили автоматику и выполнили runaway stabilizer checklist.
Где тут про 4 раза, опять байка?
Как вообще компания такого уровня могла установить систему, полагающуюся всего на два датчика. Как минимум преступная халатность.
Ethiopian Airlines — серьезная авиакомпания с рейсами по всему миру, выпады насчет низкой квалификации — мимо.
Possibly contributing factors into the accident:
— Corporate Culture within Boeing in designing aircraft
— Corporate Culture within FAA in certifying aircraft
— Corporate Culture in Ethiopian Airlines, which did not ensure their flight crew were fully aware of the implications of the LionAir Crash and the related EAD as well as Boeing and FAA approved emergency procedures
— Less than optimal crew performance, e.g. loss of situational awareness with respect to speed and thrust
Самолет и Боинг не виноваты, разумеется.
dunkelfalke
Не надо ссориться. И самолёт говно и пилоты обезьяны.
dobrobelko
Да ну? Сказали бы им в глаза такое? Пилоты из европейских компаний пишут что пробовали аналогичный сценарий в симуляторе и ничего не смогли сделать. Комментарий Салли.
Против Боинга уже подали несколько исков, надеюсь их будет больше. Экономия в угоду безопасности — не то что должны делать лидеры индустрии.
dunkelfalke
Сказал бы.
Потому-что как ещё человека назвать, который 40 раз пытается бороться с самолётом, вместо того-чтобы вырубить электропривод триммера стабилизатора, тумблеры которого стоят на том же месте ещё начиная с бобика 707.
И почему-то в Эфиопии один из пилотов (чсх не член экипажа, а просто коллега, которого подбросили на работу) таки догадался, что надо делать.
Но самолёт всё равно плохой, так что иски вполне к месту.
pop70
Значит, это тоже обезьяны пробовали.
Боинг, конечно же, накосячил. Но ничего такого, с чем бы не могли справиться пилоты впринципе.
Тут бОльший косяк, КМК, в том, что напрямую никак система не контролирует расхождение показаний датчиков УА. Так же, как на предыдущих моделях.
Датчики и раньше ломались, и стабилизаторы и раньше убегали, и процедуры стандартные на эти случаи были, и они же и остались.
Другое дело, что добавленный MCAS создал совершенно новую комбинацию нештатных ситуаций.
Если без него неисправность датчика УА проявлялась только в рассогласовании скоростей (уже, мягко говоря, идиотизм), выполнялась стандартная процедура, и полёт продолжался. И убегание стабилизатора тоже случалось по разным другим причинам, то тут получилось очень «хитрое» и нехорошее наложение.
Неисправность датчика УА, как и раньше, проявилась в рассогласовании показаний скорости, система выдала предупреждение, экипаж занялся чеклистом на эту неисправность. А один из пунктов этого чеклиста — отключить автопилот.
А при отключении автопилота и уборке закрылков, включилась эта самая новая MCAS, и начала крутить стабилизатор на пикирование, да ещё и трясти один из штурвалов. От неё (MCAS) просто никто не ожидал такой подлянки, тем более, что в FCOM об этой новой системе ни слова, кроме расшифровки аббревиатуры.
Вот всё это одно за другим просто ввело экипаж в опупение, вместе с попытками бороться с автоматикой, и знакопеременными перегрузками — 4 минуты они «колбасились», перетягивая одеяло с MCAS, и НЕ ПОНИМАЯ что на самом деле происходит. Хотя, наверняка, саму по себе неисправность убегания стабилизатора они бы распознали и исправили без проблем. Просто, к тому моменту, как они должны были распознать увод стабилизатора, степень офигения, стресс уже был поднят до критической величины.
Вот в этом и есть главная проблема — когда человек перестаёт понимать что делает автоматика и почему это происходит.
И Боинг, конечно же, «постарался» для этого.
Причины:
1. Отсутствие сигнализации рассогласования показаний датчиков УА. (Датчики, впринципе, второстепенные — без них вообще можно летать даже на боинге, указатели в кабине даже опциональные).
2. Выдача предупреждения о совершенно другой неисправности, которая была лишь следствием — система рассчитывает поправки к показаниям датчиков скорости, основываясь на показаниях датчиков УА.
3. При устранении этой неисправности, неминуемо включается новая, неизвестная пилотам система, которая берёт показания УА с первого попавшегося датчика, нисколько не заботясь о их правдивости, и начинает уже настойчиво вмешиваться в управление стабилизатором.
4. А дальше — растерянность экипажа, паника…
Если бы не последний пункт, то могли бы лететь столько, сколько понадобилось бы, чтобы понять ситуацию, и вырубить управление стабилизатором. Просто тупо продолжая бороться с MCAS, нажимая кнопки управления стабилизатором на штурвалах.
dobrobelko
Это конечно здорово, называть обезьянами погибших людей и профессионалов, пытавшихся воссоздать ситуацию в симуляторе. Экипаж в эфиопии выполнил нужный чеклист и все равно ничего не смог сделать.
Такое впечатление что тут каждый второй комментатор или был тест пилотом 737, или как минимум обладатель ATP.
pop70
В предыдущем полёте экипаж без проблем справился с ТОЧНО ТАКОЙ ЖЕ СИТУАЦИЕЙ.
Неисправность уже была.
Кто там «пробовал на симуляторе всей Европой» я не в курсе.
Не надо накручивать лишнего. Хоть это сейчас и принято — закатывать истерики во всех сми по любому поводу, и раздувать из мухи слона.
black_semargl
Обезьяна — это тот, кто выполняет заученную последовательность действий без понимания её смысла.
Пилота всё-таки в самолёт сажают чтобы он головой думал в нестандартной ситуации, исполнение пунктов чеклиста и запрограммировать можно.
dobrobelko
У них было около трех минут с начала развития ситуации до удара о землю. Еще раз — шеф-пилоты европейских авиакомпаний воспроизводили ситуацию в симуляторе и не могли вывести самолет. Пилоты Ethiopian распознали ситуацию и выполнили необходимый чеклист, после чего пытались воспользоваться ручным триммером, который не смогли пересилить из-за слишком высокой скорости.
Есть подозрение что опыт и навыки этих людей были на несколько порядков выше чем у кучки умников с гиктаймса, рассуждающих на темы в которых не разбираются.
hatari90
То есть они подождали, пока система открутит стабилизатор до точки невозврата и попробовали исправить ситуацию? Если я правильно понял, она делает это медленно, и они должны были распознать некорректную работу автоматики раньше.
denokan у себя в ЖЖ писал:
black_semargl
Тем не менее в течении этих трёх минут, до последней автоматической перекладки стабилизатора — полёт был вполне стабилен и управляем. Пусть и со штурвалом до упора.
DrGluck07
Эфиопы не выполнили чеклист в полной мере. Они не отключили автомат тяги. Такое впечатление, что они просто забыли о том, что самолёт идёт на полной тяге.
Endeavour
> А при отключении автопилота и уборке закрылков, включилась эта самая новая MCAS, и начала крутить стабилизатор на пикирование, да ещё и трясти один из штурвалов.
Тряской штурвала занимается не MCAS, а другая система просто из-за превышения показателей AoA.
pop70
Ну вот и прикиньте поток бессмысленной на первый взгляд информации.
Вначале система ругается на непонятные ей расхождения показаний скорости, после отключения автопилота, появляется тряска штурвала и одновременно начинает крутить стабилизатор.
Так, как будто самолёт на грани сваливания. Веры показаниям скорости нет (началось всё с ругани на скорость).
Вот из всего этого потока бессмыслицы нужно вычленить первопричину, не зная ничего о MCAS, и одновременно пытаться сохранить параметры полёта.
ИМХО, весьма не простая ситуация, ставшая таковой из-за отсутствия информации по разнице показаний в датчиках УА, и влияния этого датчика на всю систему управления — от показаний саорости, до шейкера штурвала и перекладки стабилизатора.
Rsa97
Верить показаниям скорости в такой ситуации не надо. Чеклист IAS Disagree предусматривает отключение автоматики и установку тяги и тангажа на определённые значения, при которых самолёт гарантированно не падает (это действия по памяти). После этого уже спокойно сравниваются показания приборов слева и справа, и, по возможности, определяется корректная скорость. Если её получить не удалось, то в руководстве приведены таблицы режимов двигателя для каждого этапа полёта.
Akela_wolf
Совершенно верно. Но как выставить правильный тангаж, если MCAS всеми силами пытается этому помешать? Внимание пилота направлено на то чтобы выдерживать параметры полета (тягу и тангаж), чтобы не допустить сваливания. А тут еще добавляется борьба со стабилизатором.
Rsa97
Так кроме PF (Pilot Flying) в кабине есть ещё и PM (Pilot Monitoring).
Ну и, собственно, тангаж выставлять штурвалом. Если стабилизатор убегает, а нагрузка растёт, то корректировать триммером. Если корректировать приходится постоянно — вспомнить о Runaway Stabilizer.
pop70
Всё это понятно. Но для этого нужно понимать что на самом деле происходит с самолётом.
Потому, что если уже сваливание (а самолёт в левое кресло ОРЁТ об этом и настойчиво опускает нос), то на такой высоте уже даже паниковать поздно.
Т.е., чтобы всё сделать в этой ситуации так, как Вы написали, нужно чётко видеть картину полёта, что это «не я дурак», а автоматика взбесилась, а самолёт по прежнему летит и управляем, скорость достаточна, высоту держит, колёса внизу…
Уверен, что если бы в этот момент PF -ом был бы правый, а PM — ом левый, то шансов было бы больше.
Проблема в том, что при включении в контур управления, пилот получал кучу бессмысленной информации, причём, такой, на которую требуется немедленно реагировать совсем не так, как необходимо в этом конкретном случае.
Rsa97
В чеклисте «IAS Disagree»/«Airspeed Unreliable» есть примечания о том, что могут ошибочно срабатывать тряска штурвала, предупреждения о превышении скорости и о слишком низкой скорости.
Автоматической перекладки стабилизатора при приближении к критическому углу атаки на 737 до введения MCAS не было, так что не знающие об этой функции пилоты должны были отработать «Runaway Stabilizer».
Что касается картины полёта, то мне понравилось высказывание Ершова: «Пилот должен лететь впереди самолёта». Он должен понимать, как ведёт себя самолёт, как могут сказаться на нём действия самого пилота и изменение воздушной обстановки.
Но для этого у пилота должен быть хороший налёт на ручном управлении, чего не хватает многим современным «операторам самолётов».
pop70
Всё верно Ершов писал… Для времён и уровня автоматизации Ту 154.
Про «лететь вперед самолёта» — и сейчас верно. Вот только, сегодня эть сложнее. Потому, что «вручную» самолётами уже практически не управляют.
Даже в режиме «ручного управления», между пилотом и самолётом всёравно остаётся сложная система управления, в рабочем состоянии облегчающая управление, создающая вполне конкретную модель управления для пилота, весьма и весьма отличную от «прямого управления».
Т.е., пилоту сегодня, чтобы постоянно «лететь впереди самолёта», нужно понимать как работает автоматика, её различные режимы, когда, что, почему и как делает автоматика, помогающая пилоту.
А ещё нужно знать и уметь определять возможные и невозможные отказы, понимать как при том или ином отказе поведёт себя самолёт, как изменится модель его поведения, реакции на управляющие воздействия…
Т.е., чтобы всегда «лететь впереди», нужно быть УМНЕЕ «умного самолёта».
Любое добавление мозгов автоматике требует добавления мозгов тому, кто этой автоматикой управляет.
А пока авиация развивается другим путём. Автоматизация всё больше стремится «избавиться от человеческого фактора», политика многих АК то же самое — невозможно делать пилота умнее с той же скоростью, с какой развиваются «мозги самолёта».
Причём, не одного пилота, а массово.
Поэтому, и «вводные» — «не выключайте автоматику без необходимости». «Автопилот надёжнее». Но, будучи «оператором, которому запрещено вмешиваться», невозможно всё время «лететь впереди». Невозможно всем пилотам знать систему управления на уровне конструктора этой системы. Да и конструкторы зачастую у разных систем разные, и для полного разбора ситуации, и выработки рекомендаций и процедур для нештатных ситуаций, даже конструкторам требуются порой многие часы.
А для пилота часов нет — есть секунды — максимум минуты, а информация об устройстве и поведении новой системы оказалась по мнению Боинга «лишней для пилотов и АК».
Вот отсюда и выросли ноги у этой и многих других катастроф, когда пилот не справляется с нештатным поведением автоматики.
pop70
Угу. Одно «но» — гарантированно не падает он при этом только если ещё не в сваливании.
А в процессе исполнения этого чеклиста по IAS Disagree, самолёт выдаёт пилоту новые вводные, говорящие что если ещё не в сваливании, то уже на грани сваливания, и делает всё, чтобы опустить нос. Про MCAS пилот вообще не в курсе.
Полезной информации от самолёта ноль, зато куча бесполезной и вредной.
Пилот только-только входит в контур управления, а самолёт делает всё, чтобы разрушить картину полёта.
0xd34df00d
А почему не против авиакомпаний?
karavan_750
В переводе статьи упоминается, что такая логика планируется. А значит, в контексте разбора происшествий на нее не следует опираться.
geisha
Такое впечатление создаётся, что тут каждый второй налетал 6000 часов на 737. Особенно это видно по этой логической выкладке:
Вот объясните глупому мне эту очень хитрую логическую выкладку: как добавление третьего датчика поможет системе, которая всё равно выберет неисправные показания из соображений безопасности?
Wesha
Про систему с мажоритарным голосованием слышали? Для него нужно три.
geisha
Может быть и нужно, что дальше? Я не спрашивал о фактической стороне вопроса, а опирался на два утверждения с целью развенчать манеру выдавать домыслы за факты. Я прекрасно понимаю, что ни вы ни он не имеете никакого понятия о том,
Но тот факт, что некоторые страны запретили пассажирские полёты этой модели без всяких оговорок, как бы, намекает.
pop70
Проблема в том, что у самолёта всего два борта, куда можно эти датчики впиндюрить в относительно равных условиях. Третьей симметричной точки нет. Да и по идее не слишком уж эти датчики важны, чтобы их трёхкратно резервировать, и обрабатывать кучу новых «вводных» при всех возможных комбинациях их отказов.
Новые варианты отказов, создадут ещё больше вариантов их распознавания, ошибок и прочих неприятностей — излишнее усложнение иногда хуже, чем отказ.
dobrobelko
Там все прекрасно, сразу видно специалиста. Между тем существуют другие мнения.
Boeing’s ideas of
a system that works silently (so pilots don’t realize it is operating)
a system that works if just one sensor suggests a high angle of attack
a system that has the authority to drive the airplane into a full nose-down trim situation
a Band-Aid on the above in the form of a “disagree” warning light
are all terrible ones, as far as I can tell, and unconventional within the industry.
Bedal
2 geisha:
Это вопрос не ко мне, а к тем, кто возмущается отсутствием третьего датчика :-) Я же считаю, что множить датчики на едином физическом принципе — толку мало. Сделать датчики именно угла атаки на других принципах можно, кстати. Но будет дороже и весьма сложно.2 karavan_750:
Виноват, я не точно написал: MCAS работает от того же датчика, что и активная FCC.
2 Rsa97:
Это не по-моему, а по-боинговски. Скан с соответствующим текстом вроде уже приводил.
2 dobrobelko, ksbes:
1. Runaway stabilizer procedure диктует необходимость отключить автоматику и НЕ включать её до конца полёта. Ни один из экипажей этого не выполнил.
2. Комиссия FAA на днях указала, что обучение пилотов тому, что такое MCAS, не требует переучивания на тренажерах. Можете прочесть об этом здесь. И — всё. Ознакомиться и изучить.
Добавлю: вот перевод из Aviation week
Больше обсуждать, извините, нечего. Выхожу.
Rsa97
Хотя стоп, это же не боинговский, а английский язык. и unit с него переводится как «единица».
Bedal
Налицо троллинг чистой воды, да? У меня:
Поставлено в кавычки и дано вполне русское название. Кстати, более адекватное, чем «единица», в данном контексте.Rsa97
Не адекватное, поскольку какие-либо «шаги» есть только у MCAS, да и то весьма условные, его можно прервать в любой момент. Ни автопилот, ни STS, ни перекладка с кнопок на штурвале никаких фиксированных шагов не используют. Боинг даёт информацию в единицах (делениях) шкалы, но там есть и значения, кратные 1/4.
Bedal
Вы не правы. Триммирование стабилизатора для компенсации работы рулём высоты описывается совершенно в тех же терминах. Если руль высоты ушёл далеко (дальше 2.5°, встречали и 1.5°, возможно, на разных модификациях) из-за работы штурвалом, стабилизатор триммируется на один шаг (соответствующий тем самым 2.5° отклонения руля высоты). Ессно, с соответствующим гистерезисом и прочей отстройкой от дребезга.
Прервать — можно в любой момент, но в любом случае алгоритм отрабатывает по шагам такой размерности. Изменяется (в зависимости, например, от скорости полёта) только скорость/число Маха, но не величина перекладки за один цикл работы алгоритма.
Rsa97
Тогда ссылку дайте на документацию Боинга. Или пункт в AFM.
Заодно объясните, как пилоту выставить нецелые значения из этой таблицы, если он может двигать триммер только «по шагам».
LIJaMaH
И здесь авиакомпанию вполне можно понять: давайте не забывать, что задача пилота — не поддерживать свои навыки и не упражняться в пилотировании самолёта, задача пилота — доставить людей из точки А в точку Б. Да, в этом мало юношеской романтики и грёз о том, как я буду управлять самолётом, а много прагматизма и точного расчёта. Но, простите меня, поддерживать свой скилл нужно на тренажёрах, а не когда у тебя за спиной 150 человек, которых дома ждут.
Rsa97
То есть по вашему лучше, чтобы при сбое автоматики за штурвалом оказался пилот, который «на руках» последний раз летал полгода назад, сдавая нормативы на тренажёре?
Тут палка то о двух концах. С одной стороны, исправная автоматика ведёт самолёт практически от взлёта и до точки принятия решения на посадку, не ошибаясь и не отвлекаясь. С другой стороны, если автоматика таки отказывает, то лучше, чтобы за штурвалом был пилот, а не «оператор самолёта», а для этого пилоту нужно летать.
Мнение: Автоматика и бюрократия убивают летные навыки
Сферический пилот в вакууме. О фигуре идеального пилота
LIJaMaH
Да, я читал его мнение, но это всё-таки мнение пилота, которому хочется порулить самолётом (ну не идут в эту профессию люди просто ради того, чтобы в кабине посидеть).
Я не могу вспомнить катастроф за последнее время, когда её причиной явилось то, что пилот как-то не так или куда-то не туда рулил. Обычно причиной катастрофы оказывается неадекватная реакция пилота на какой-либо отказ или неправильную работу автоматики. А этот навык всё равно прокачивается только на тренажёрах — можно всю жизнь летать и не встретиться с каким-то конкретным сбоем.
Rsa97
Даже если пилоты распознали, например, IAS Disagree, то что они должны сделать?
1. Выключить автопилот.
2. Выключить автомат тяги.
3. Выключить флайтдиректоры.
И тут начинается самое интересное. Теперь тангаж, крен, высоту, курс и скорость пилоту надо выдерживать самостоятельно. Даже подсказок — тех самых флайтдиректоров — на экранах больше нет. И, если у пилота нет навыков ручного пилотирования, у него начинает расти стресс. А тут ещё и этот чёртов самолёт стремится опустить нос. Через десять минут вспомнили, отключили моторы триммеров. Ой, а крутить колесо вручную в полёте-то тяжело, оказывается.
А был бы опыт ручного пилотирования, глядишь, и стресса бы поменьше было, и силы в руках бы прибавилось, и не пришлось бы экспериментировать с повторным включением электропривода…
LIJaMaH
С одной стороны — да, было бы меньше стресса в ситуациях нештатной работы электроники и действия были бы увереннее и точнее. С другой — повышается вероятность придумать себе приключения на ровном месте, где автоматика справилась бы безо всяких проблем. Потому что, как ни крути, а в условиях, когда все системы работают штатно, и датчики выдают верные показания, самолёт сам справится гораздо лучше, чем кожаный мешок.
Как поддерживать лётные навыки, не увеличивая при этом вероятность аварийной ситуации — это вопрос.
Akela_wolf
Пусть уж лучше «приключение на ровном месте» — это в конце-концов опыт и угробить современный лайнер «на ровном месте» довольно сложно (никто же не предлагает выключать всю автоматику) — чем пилот который не готов лететь «на руках» в сложной ситуации.
А ситуации могут быть вполне себе ординарными, например, в аэропорту неисправна/отключена ILS — добро пожаловать на визуальный заход без флайт-директоров; пришлось уйти на запасной аэродром, на котором нет условий для автоматической посадки; сбой компьютера и т.д.
Тот же Окань приводит примеры, когда флайт-директоры дают неверную информацию (из-за неверного режима работы FMC), а пилот просто летит по ним, потому что «так научили».
Akela_wolf
Так в том и дело. А почему пилот не всегда может парировать отказ или неправильную работу автоматики? Не потому ли что у него нет тех самых навыков ручного полета? Следовательно мысль о том что нужно отключить автоматику вызывает у пилота неуверенность. Отсюда нежелание и неготовностью отключать эту самую автоматику, даже если она ведет себя неадекватно.
Мало того, как пилот может контролировать работу автоматики, если он не имеет своего внутреннего понимания что сейчас нормально, а что нет? А как он может иметь понимание о нормальности/ненормальности, если у него нет опыта этой самой нормальности/ненормальности полета в ручном режиме, нет «ощущения самолета»? Как пилот может обнаружить сбой, если ему не с чем сравнивать действия автоматики?
pop70
Наоборот. Как раз большинство катастроф на сегодня — ошибка пилота. А шансы ошибиться растут вместе со стрессом.
Все варианты отказов и поломок не только не отработать ни на каком тренажёре, но и даже придумать и описать невозможно.
А пилот, для которого отключение автоматики и полёт на руках уже нештатная ситуация и стресс, в случае дополнительных отказов ошибётся с гораздо большей вероятностью.
Так что, если в нормальной, спокойной обстановке, пилот берёт управление, то шансов «придумать себе приключение» практически ноль. А вот с случае отказа, пилот, потерявший навыки полёта на руках, гораздо хуже справится даже с отработанной на тренажёре ситуацией.
Само по себе вовремя включиться в контур управления «по требованию» — это уже непростая задача, а при этом ещё и анализировать какую-то новую, непонятную ситуацию — ещё сложнее.
Gourry_aka_pm
Все возможные ситуации на тренажере не отработаешь… И главное, их рабочее время тоже конечное, так что поиграть в штатный полет не получится. При этом, у нас не штаты, где на магистраль физически не попадешь без большого налета на мелочи, а родные осины, где после обучения (после которого реально надо переучивать адекватно летать, ибо наши учебные заведения — это очень грустно) и 150 часах на даймонде с большой долей вероятности будешь устраиваться или на гуманный но простой 320, или летучий, гениально сделанный, но требующий квалификации в сложных условиях 737 (и это еще хорошо что не середина-конец нулевых, когда летающей партой мог стать 154, который ой как ошибки не любит).
Поддерживать скилл — простите, какой вы к черту пилот, если скоординированный поворот сделать не можете, или не понимаете что на авиагоризонте индицируется. А так — по МЕЛу лететь без автопилота на руках тоже нормальная ситуация, нудно, но вполне безопасно.
Игры с безопасностью — это когда мудаки в Куйбышеве на посадку на рейсовой машине со шторкой пошли, вот это уже п… ц. А выключить автопилот не на трехста футах, а на трех тысячах при видимости миллион на миллион более чем безопасно.
MaxDamage
Wesha
Ну так пускай возит паксов на автомате, а по прилёте идёт на тренажер и тренируется
до опупенияпока не надоест. Почему надо обязательно на живыхтаксахпаксах тренироваться? Они не за это бабло платили.Rsa97
Потому что рабочее время пилота тоже лимитировано. И авиакомпании вовсе не хочется содержать дополнительных пилотов. Ей проще и дешевле взять «операторов самолёта».
Ну а то, что с такими «набранными по объявлению» летунами вероятность катастрофы выше — так она ведь только вероятность. Обязательный минимум то на тренажёрах они сдают, ну или, по крайней мере, запись о сдаче нормативов есть.
Artemis86
Что-то я не слышал о том чтобы авиакомпании были готовы предоставлять пустой самолёт для тренировки пилотов. Тренажёр это всё-таки тренажёр. Не уподобляйтесь тому эпичному полковнику, который ляпнул что игроманы WoT могут управлять танковыми подразделениями. Тренажёр НИКОГДА не заменит реальный самолёт.
black_semargl
Само собой, тренажёр не заменит самолёт. Но с другой стороны на нём можно отработать те ситуации в которых самолёт разобьётся.
И даже тот полковник прав — игроман на порядок лучший командир чем необученный боец. А обучение в войсках… не надо о печальном.
Wesha
Это зависит от степени достоверности игры. А то получится —
— Сержант Петров, почему до сих пор гусеница не поменяна?
— Работаем, товарищ майор!
— Вы что, обурели? Норматив по замене сбитой гусеницы — 15 секунд. Я точно знаю, в World of Tanks именно столько!
Сами белорусы в своё время в нитервью говорили, что если бы они стали делать в игре всё-всё правдоподбно, играть было бы невозможно — враги посбивали бы друг другу гусеницы с расстояния в километр и одиноко стояли бы в поле до окончания матча, "Тигр" башню бы по полминуты разворачивал, и т.п.
0xd34df00d
А достоверность...
Я не танкист, я мамкин летчик, и тут есть проблема, например, что настоящие энергетические характеристики ВВ ракет (и, тем более, алгоритмов управления, ECCM) вам никто не даст, а это очень влияет на тактику.
А вообще я удивлён, что Боинг дал относительно точную информацию по Хорнету, например, включая даталинк.
Wesha
Ну, найти "настоящие характеристики" исторических танков — того же "Тигра" — не проблема: зашёл в Кубинку с секундомером, завёл, повернул башню. А современных в WoT нет.
Gourry_aka_pm
Предоставляют иногда, но тогда идет именно тренировка взлетов-посадок конвейером, для кучи пилотов сразу.
MarazmDed
Справедливости ради, в предварительном отчете комиссии сказано, что пилоты перевели stab trim в положение cutout. После чего командир спросил у второго пилота: проверь, колесом управляется? На что второй пилот ответил, что не управляется. И в самописцах зафиксировано, что после отключения stab trim, mcas послала команды стабилизатору, но поскольку электропривод был отключен, он дальше не отклонялся.
Вопрос в этой истории один: что означает «вручную не управляется»? Что это было? Проводка порвалась, что сомнительно. Или тупо они чек-лист выполнили по диагонали? В чек-листе есть: «Сперва ОТТРИММИРУЙТЕ самолет, после этого отключайте электропривод». Мне кажется, что им тупо не хватило фантазии энергично отматывать стаб на кабрирование — 17 оборотов надо сделать (со слов Дениса Оканя).
Rsa97
NetBUG
Вдогонку к вашей идее.
Отказ 3/800 датчиков угла атаки — норма. Даже немного, я бы сказал.
Но сам этот датчик — лишь индикатор для пилота, без них летали и всё в порядке было. Не говоря уже о том, что MCAS — это следующий добавленный уровень абстракции над ними.
Я понимаю, почему замёрзшие трубки Пито вызвали катастрофу AF447 в 2007, хотя и там звучали слова «если бы пилоты не спали и с самого начала понимали, что происходит, у них был бы шанс не треснуться о воду насмерть». Но когда ломается, условно, спидометр в автомобиле (аналогия хромает на обе ноги, но лучше не могу придумать) — это не должно приводить к непредсказуемому её поведению!
Gutt
Мне представляется, что тут больше психологическая проблема: не привыкли пилоты «глупых» Боингов к самодеятельности самолёта. Из этого многое и проистекает. Дополнительная помогалка приводит в замешательство пилотов, привыкших к прямому управлению. И да, это натягивание совы недо-fly-by-wire на старую концепцию в попытке не конструировать новый самолёт, а осовременить имеющуюся конструкцию.
MacIn
Закрылок — это он, значит, «закрылков».
Если бы было «закрылка» (т.е. она), то тогда было б верным «закрылок».
Мне не понятно, почему не использовали мажорантную систему с тремя датчиками.
Rsa97
Потому что на 737 стоят два FCC (Filght Control Computer) и каждый использует датчики своей стороны. FCC-1 использует комплект с левого борта, FCC-2 — с правого.
На Classic и NG этого хватало, каждый FCC самостоятельно вычислял параметры полёта и отображал их на МФД свое стороны, включая тряску своего штурвала при необходимости. По каким-то параметрам они сверяли показания, например, зажигая транспарант «IAS Disagree» при расхождении показаний воздушной скорости.
При этом полётом они управляют по очереди, после включения питания FCC-1, в следующем полёте FCC-2 и т.д., пока полностью не выключат питание.
До появления MCAS этого хватало. Раз трясётся штурвал только с одной стороны и горит «IAS Disagree», значит есть сбой в показаниях датчиков. Отключаем автопилот, и пилотируем вручную.
Но MCAS — это подсистема FCC, и активируется она как раз при выключении автопилота. Раз датчик со стороны управляющего FCC оказался неисправен, то и MCAS принимал неверные решения на перекладку стабилизатора. Теоретически, пилоты должны были выполнить чеклист «Runaway Stabilizer», отключив электромоторы триммеров. Почему они этого не сделали — плохая подготовка, стресс, что-то ещё — вопрос открытый.
MacIn
Это-то понятно; два компьютера — резервирование все дела. Но датчик (важный) по итогу получается один, вместо трех.
8street
Кстати, непонятно, почему не сделано горячее резервирование компьютеров вместо симметричного резервирования. Ну например, как в космоаппаратах. Один комп навернулся или сбоит — переключили на другой.
black_semargl
Штурвал трясут с одной стороны, но между собой они жёстко связаны и трясутся оба.
Rsa97
Жёстко только на Classic. На NG и MAX стоит рассоединитель, позволяющий управлять самолётом при заклинивании одного из штурвалов.
Механизм тряски (моторчик с эксцентриком) висит прямо на штурвальной колонке, так что не факт, что на втором штурвале тряска будет сильно ощутима.
Ну и сам Boeing в качестве признаков рассогласования датчиков пишет о тряске штурвала с одной стороны.
black_semargl
Рассоединитель есть, но пока соединено — трястись будут оба. И даже рули высоты будут трястись.
Rsa97
На видео не видно, чтобы штурвал ходил ходуном. Вибрация достаточно низкоамплитудная и высокочастотная, через демпферы она можит и не пройти.
black_semargl
Вибрация да, низкоамплитудная и высокочастотная. Но на рули она вполне проходит. И демпфером тут уже масса самолёта служит.
Видел видео где со словами «да чего ты боишься-то?» пилот штурвал на всю амплитуду качает, самолёт просто не успевает отреагировать. А уж просто вибрация…
Wesha
Да прольётся свет знаний на Вашу голову!
Mike_soft
а что, по английски «трос» и «кабель» звучат одинаково? (
)уже не первый раз попадается «тянут за кабель».
PatientZero Автор
Спасибо за подсказку. Да, и то, и другое по-английски cable (один из них даже в тексте встречается в значении «электрический кабель»). Типичный ложный друг переводчика. Исправил.
Gourry_aka_pm
1) Гидравлическая? ХА! Там система управления тросовая, гидравлика работает в качестве усилителей, примерно как на нашем 154.
2) ЕМНИП по показаниям АоА корректируются данные о воздушной скорости.
3) По поводу отключить MCAS — как минимум на NG, как я понял, один trim cutout switch на центральном пьедестале отрубал привод стабилизатора от автопилота, другой — привод от переключателей тримирования на штурвале. На MAX все еще два переключателя, но они просто дублируют друг друга.
4) По поводу первой катастрофы — да, не знали. По поводу второй — судя по всему прочитали бюллетень по диагонали и не поняли. Ибо сначала вырубили питание и попробовали вручную открутить наверх — а там такие условия что это физически невозможно, нужно сначала оттримировать со штурвала, а потом уже крутить колесо (технически, MCAS уходит на таймаут после поступления управляющего сигнала, и пока тримируешь, она не активируется), И все это — на взлетной тяге, продолжая разгоняться.
5) Все еще остается вопрос с тем, какого черта случилось с датчиком. На лионовском борту это был стремный плавающий баг, который они ловили четыре полета, пока не разложили борт.
6) По поводу опасных углов атаки. Традиционно, пилотирование на 737 идет по другим параметрам, и боинг оставлял покупателю право выбирать, индицировать его или нет (сигнализация AOA DISAGREE бесплатна, но, индикация угла на PFD — платная опция). Вроде, по МКАС доработкам, которые сейчас сертифицируются, эта индикация будет принудительно включена на всех максах.
DrGluck07
Почему они не отключили AT мне решительно непонятно. В runaway stabilizer есть пункт:
Autothrottle (if engaged).......... .Disengage
Do not re-engage the autothrottle.
Rsa97
SandroSmith
Уточнение насчёт повёрнутого крыла только запутало бы объяснение, сути это не меняет. Да и везде ли есть этот наклон? Но инфа интересная, да.
Насчёт несовпадения траектории — а что, кроме ветра (про отсутствие которого есть уточнение) влияет на это?
Rsa97
Угол установки есть практически на всех самолётах. Цель его простая — в крейсерском полёте фюзеляж должен быть расположен горизонтально, чтобы минимизировать сопротивление воздуха. При этом крыло для баланса подъёмной силы будет иметь некоторый угол к оси. Ну и при выпуске механизации хорда крыла отклоняется, разница с осью фюзеляжа увеличивается.
Кроме собственно ветра — восходящие и нисходящие потоки, турбулентность. Собственно, для полётов в сложных условиях есть определённый диапазон скоростей, в том числе и для того, чтобы неожиданный вертикальный поток не вывел самолёт на закритические углы атаки.
port443
Ну вообще-то классическое крыло создаёт подъёмную силу совсем не из-за угла атаки.
Тут можно ещё и про крутку вспомнить, но это ещё более запутает и без того перегруженную статью.
Rsa97
Угол атаки — это один из параметров, влияющих на подъёмную силу. Профиль крыла, несомненно, важен, но попробуйте полетать, например, при AoA = -10°. А у спортивно-пилотажных самолётов, зачастую, вообще крыло симметричного профиля, там на нулевом угле атаки подъёмной силы нет в принципе.
abagler
Почитайте ЖЖ пилота, в т.ч. и 737 MAX:
denokan.livejournal.com
Дополнительные факты:
И вообще у него подход немного другой. Таких систем, как в MCAS, в самолёте полно и они иногда выходят из строя. Часть работы пилота состоит в том, чтобы подчищать огрехи конструкторов в полете. В данном полете пилоты тоже совершили ошибку, не применив вовремя инструкцию, хотя и их можно понять. Стресс…
old_gamer
Тот же Окань неоднократно писал, что спокойно сидя дома в кресле очень легко разобраться и принять правильное решение. А в кабине самолета, который не слушается управления все немного по-другому.
Kwisatz
Как раз по этому поводу очень понравился фильм «чудо на гудзоне». Подбродненько многократно все разобрано.
ksbes
Есть разница между «иногда» и «регулярно и непонятно почему». «Инцидентов» не должно быть, а если есть, то не по вине одного единственного датчика, причём непонятно какого даже наземной службе.
Plesser
Спасибо за перевод!
Вот только прочитав эту статью понял объем информации которые необходимо систематизировать людям, которые расследуют эти катастрофы…
port443
А вы почитайте настоящие окончательные отчёты.
Вот например: Qantas Flight 32
Настоящие технические детективы.
Plesser
Спасибо, обязательно почитаю!
tretyakovpe
Кто в теме, скажите: в кабине пилотов больше нет гироскоп(-ичного, -ного) авиагоризонта?
Gourry_aka_pm
Разумеется есть. Выводится на PFD (экраны перед пилотами)+как правило есть дублирующий полностью отделенный от них. Как раз в кокпите того же МАКСа хорошо видно
Внешние экраны+центральный маленький
Rsa97
Это всё электронные проборы. Старого доброго механического авиагоризонта на MAX-е нет.
FiLunder7
Что значит механического? Все гироскопы в самолетах механические и основные и резервные. Просто вывод его показаний на экран, а не на механический шарик.
Rsa97
Классический механический авиагоризонт не выводит показания, взятые откуда-то ещё. Он сам себе и датчик и индикатор. Требуется только электропитание или вакуум для раскрутки маховика.
FiLunder7
Но чем плох авиагоризонт с экраном? Резервный точно так же берет данные со своего собственного маховика. И ему точно так же требуется только электропитание.
Rsa97
Например, наличием электроники.
FiLunder7
И? Чем она плоха? Механика тоже ломается, с точно такой же вероятностью что и электроника. Тем более что полностью механические авиагоризонты и сами имеют недостатки.
Rsa97
Так электронных и так хватает — четыре МФД стоят.
FiLunder7
Но резервный он же независимый. Он отдельный самодостаточный прибор. На то он и резервный.
JerleShannara
АГД-1 чем вам не классический? Тем, что он сельсины для передачи использует?
SobakaRU
Это заблуждение.
В большом количестве современных самолетов используются немеханические гироскопы: кольцевые лазерные или оптоволоконные.
Вы удивитесь, но даже на Ту-204 устанавливали такую технику в бородатые годы.
FiLunder7
Ну я имел в виду резервные авиагоризонты. Они как правило механические.
SobakaRU
Нет, это не совсем так.
В новых «больших» самолетах, да и в свежих ревизиях старых моделей не используют механические авиагоризонты (я говорю как чисто про индикацию, так и про всю эту жужжащую прецизионную механику в карданных подвесах).
Одного авиагоризонта в качестве резервного прибора для пилотирования самолета недостаточно. Нужны еще хотя бы альтиметр и указатель скорости. А это уже несколько приборов — неудобно и громоздко иметь в кабине такую резервную «солянку».
Сейчас используются комплексные резервные приборы такого рода (в экосистеме airbus это называется Integrated standby instrument system). ISIS — это целиком электронный блок с ЖК-индикатором, который выглядит как полноценный PFD, только маленький.
К этому блоку подведены независимые воздушные линии полного и статического давления и надежное электропитание. Инерциальный блок (IMU) там, конечно, свой собственный встроенный, но твердотельный (обычно это комплекс из дублированных или троированных MEMS-гироскопов, а также акселерометров, инклинометров и магнетометров).
Поскольку прибор электронный, то, помимо собственных датчиков, он может общаться и с системами самолета, если они исправны (например с навигационными приёмниками). Что еще добавляет ему полезного функционала.
FiLunder7
Вот как раз в том, фотку которого вы привели (Thales C16221WB01) Горизонт электро-механический.
Sunny-s
Реально механический гироскоп? Я думал это прошлый век и уже лет 50 как не используется. Авиагоризонты, гиростабилизаторы, гирокомпасы и прочие инерциальные системы навигации — бесплатформенные оптоволоконные или лазерные устройства.
FiLunder7
Ну гибридные, можно так сказать. Тот же лазерный все равно имеет механические части. Да и чисто механические начала 20-го века это не те приборы которые делают сейчас. Но точно не твердотельные, только как вспомогательные.
black_semargl
Лазерные к сожалению подвержены «дрейфу нуля», у них каждый раз измеряется новый фотон. И ошибка округления вполне может накапливаться.
А механический раз выставил и он всё время одно и то же направление показывает.
Sunny-s
направление? если вы про гирокомпас, то этот прибор измеряет вектор вращения Земли вокруг своей оси, и точность его зависит от собственного дрейфа гироскопа, как механического, так и лазерного-оптоволоконного, и у механического точность гораздо меньше, чем у остальных.
Про фотон, извините, не понял. Световые гироскопы измеряют, грубо говоря, смещение дифракционной картины от двух пучков света, прошедших разными путями.
black_semargl
Именно. И если смещение дифракции например 0.4 линии — оно выдаёт как 0. Но за час даже с таким отклонением от прямой уже градусы набегут.
Механический гироскоп эти градусы покажет, а лазерный нет.
AssMoFun
PatientZero Автор
Спасибо, исправлю. Про опечатки лучше писать в личку.
Rsa97
И сейчас делают самолёты по схеме «утка». Только у них свои проблемы.
Wesha
Не наезда ради, а просвещения для
dididididi
Легаси 60-х годов допилили новыми двигателями в 2018, подкостылили МКАСом и в продакшн. А потом удивились почему оно упало.
EvgeniyNuAfanasievich
Если бы можно придумать ещё что-то более аэродинамически-выгодное уже давно бы сделали. Не они, так другие.
Делать из композита дорого-написано жеж.
Но вообще не нам судить, т.к. я вот лично не спец и больше бояться летать на 737 не начал, после прочтения.
Yeah
Там главная причина была не в стоимости, а в том, что Airbas мог выпустить 320neo быстрее, а на доводку нового самолета нужны годы. А еще сертификация...
Lerk
Большинство современных истребителей, например, вообще нестабильны и управлять ими без умного бортового компьютера невозможно в принципе. Правда, их специально такими делают, но не суть. Суть в том, что такому подходу(и ПО) уже много лет, и фирма Боинг прекрасно это знает. Ничего плохого в наличии такого ПО нету до тех пор, пока оно грамотно спроектировано.
Что касается датчиков, то это крайне любопытный вопрос. Типичные СКВТ(синусно-косинусно вращающиеся трансформаторы) крайне надежны. А вот оцифровка данных может выполняться по разному. И один из вариантов это применение микросхемы с внутренней моделью поведения СКВТ(т.н. следящая модель), поведение которой корректируется по данным реального датчика. И вот уже угол поворота модели выдается в канал данных. Так что если по какой-то причине глючит модель, реализованная в микросхеме, то может вполне быть и постоянное смещение. Так что между пилотом и датчиком есть еще и этот уровень абстракции, который тоже может работать со сбоями.
Indemsys
Внутренней моделью поведения для такого датчика была бы модель самолета.
Что, естественно, нереально.
Но вот простые фильтры там наверняка стоят.
Не факт, что в этих датчиках используются классические СКВТ. Датчики выдают 4-е разных типа сигналов. Либо это разные версии, либо там процессор конвертирующий интерфейсы.
А физическим датчиком может быть и емкостная схема как тут — www.cui.com/product-spotlight/capacitive-absolute-encoders-amt20-series
Lerk
В микросхеме АЦПВТ может быть заложена модель поведения СКВТ(и во многих реальных микросхемах такого типа так и сделано, что, впрочем, не делает эти микросхемы лучше других, где используется иной принцип оцифровки). Самолет тут никаким боком. Это универсальное изделие, которое может быть установлено где угодно.
Что касается датчиков, то про боинг не знаю, а вот на наших СКВТ по-прежнему применяются очень широко. И тому есть вполне конкретные причины.
Indemsys
В чипах ресолверов от TI, AD применяются некие способы демодуляции, но не модели.
Может вы имеете в виду Angle Tracking Observer в демодуляторах?
Но в статье говориться о прямой подаче синуса и косинуса в бортовой компьютер.
О каких синусах с косинусами тогда идет речь?
Lerk
Вот, например: пдфка про отечественный ацпвт. И такой подход не уникален. Но опять же повторю — существуют и принципиально другие способы оцифровки. Это один из вариантов.
Indemsys
Так это и есть Angle Tracking Observer.
Назвать это моделью датчика крайне неуместно. Этот обсервер всего лишь рациональная функция для сходимости итерационного процесса минимизации ошибки.
Функция обсервера тюнингируется. Т.е. подбирается методом тыка, что говорит об отсутствии знаний о реальной модели.
Artemis86
Вот-вот! В десятку как говорится. Столько разговоров про кто виноват, а ответ прост, одно слово-ЖАДНОСТЬ. Новые двигатели экономичнее, но больше, давайте прихреначим как-нибудь и сэкономим керосин. Автомобилестроители так уже не делают, а тут-авиация, Боинг! Позорище. При этом на рынке авиапроизводителей нет России. А что будет когда китайцы начнут сами самолёты клепать? До какого дна дойдём?
Endeavour
Ну да, общественное мнение и журналажа все уже давно решили. Чего только эти расследователи там делают.
novice2001
Довольно странно написать о Wright Flyer и X-29 как об успешных статически нестабильных самолетах. То и другое — опытные разработки.
В то время как существует серийный Су-27 и все его семейство.
Lerk
Это ж перевод, автору гораздо ближе западные разработки, чем наши :)
0serg
F-16 тоже статически неустойчивы и они появились гораздо раньше
Lerk
Только вот в качестве примера получения профита в маневренности от статически нестабильного планера наши подходят гораздо лучше ;)
speakingfish
Тем не менее для F-16 существуют записи видео манёвров по уклонению от ракет ПВО:
Kwisatz
Господа а раз уж тут собрались знатоки авионики, а где можно почитать описание всех элементов на дисплее пилота?
Rsa97
AFM — Aircarft Flight Manual.
Вот, например, руководство 200 года на 737: www.avsim.su/f/avia-dokumentaciya-15/737-flight-manual-7306.html
speakingfish
HUD F-16
Индикатор перегрузки там в левом верхнем углу где «звёздочка».
Kwisatz
Шикарно, спасибо. А может есть что нибудь такое же по вертолетам огневой поддержки?
ЗЫ ну и совсем шикарно было бы почитать чегой нить по наведение неуправляемых ракет. Даже не знаю как загуглить правильно, все на игры ведет.
dunkelfalke
lx-photos.livejournal.com/89619.html
0xd34df00d
Если не ограничиваться F-16, то, например, F-14B. Я б скинул на F/A-18C ещё, но он не готов.
Lerk
Вы так говорите, как будто я говорю, что у F-16 с маневренностью всё плохо. Отнюдь. И я даже не обсуждаю необходимость применения фигур высшего пилотажа в бою.
Я всего лишь утверждаю, что на тренировочных полетах перед МАКСом, например, наши пилоты на истребителях такое вытворяют, что американским самолетам и не снилось. Ну и как бы отсутствие каких либо вменяемых видео на ютубчике тому лишнее подтверждение. Они(амеры), конечно, заявляют, что у них другая методика боя, мол, всех собьют на дистанции, потому и маневренность не особо нужна. Но факт есть факт)
speakingfish
Я говорю про то, что даже на древнем F-16 манёвры ограничены выносливостью лётчика.
Соответственно, на более манёвренном Су-27 они будут ограничены тем же.
А потрясающая сверхманёвренность Су-27 демонстрируется на низких скоростях, которые больше подходят для авиашоу, чем для повседневной или боевой эксплуатации.
ps. Не понял, что можно подтвердить отсутствием видео?
0serg
Я Вам больше того скажу — F-15 лучше удерживает в маневре скорость чем Су-27. На скоростях выше 600 км/ч он «маневреннее» в смысле того что быстрее будет крутить устоявшийся поворот. Это эффективно для ухода из под огня противника тогда как красиво крутящийся на низких скоростях самолет напротив оказывается очень уязвим. Боевой вертолет даст 100 очков вперед по сверхманевренности любому самолету, но идеальной платформой для воздушного боя это его не делает :).
0xd34df00d
А смысл, если есть Р-73 (ну или AIM-9X)? Вы ж не от пушечного огня уходить будете.
0serg
От ракет тоже желательно уходить на высокой скорости.
0xd34df00d
Не уверен.
Если у ракеты осталось мало энергии (или если вы в 70-х или 80-х), то выгоднее получить побольше g при малой скорости (потребное ускорение от ракеты при пропорциональной навигации пропорционально отношению скорости ракеты и вашей скорости, если не квадрату отношения). Но при ближнем бое это бессмысленно, особенно с ракетами, которые могут выдавать десятки g, и с НСЦУ, которые облегчают захват.
Но обогнать ракету всё равно вряд ли получится.
0serg
А когда цель почти останавливается, то маневренность ракеты необходимая для поражения почти неподвижной цели устремляется к бесконечности, ага. Ракета не следует по той же траектории что и цель, особенно при пропорциональной навигации. Если бы следовала, то да, для прохода по той же траектории с большей скоростью требуется ускорение пропорциональное квадрату соотношения скоростей. Но ракета так и не делает, она «срезает углы» и идет к текущему положению цели а не к тому где цель была раньше. Чем меньше скорость — тем меньше будет промах, при любой системе наведения.
Indemsys
Странно что автор анализирую датчик Model 0861 AOA Transmitter не упоминает еще Model 0020 Electronic Signal Conditioning Module.
Как понимаю, сигналы прямо с 0861 не могли идти непосредственно в Air Data and Inertial Reference Unit, ADIRU или в Stall Management and Yaw Damper, SMYD. Их как минимум надо фильтровать, усиливать или аттенюировать, масштабировать и проч. Ведь системы типа ADIRU наверняка не проектируются под конкретный датчик третьей фирмы.
Для этого есть вещи типа Model 0020, которые сигналы датчиков приводят к стандартному виду для систем более высокого ранга.
И вот в этой Model 0020 собака скорее всего и порылась, начиная с того что там мог просто отключится регулятор подогрева, и кончая тем что там возможно тоже не стояло опции самотестирования.
Art3
Подскажите, на КДПВ самолет не выглядит как спикировавший в воду с высоты 1,5 км, по моим представлениям от него только ошметки должны остаться…
Doomsday_nxt
Это фотка другого самолёта. Судя по открытым запасным выходам — есть выжившие…
Вот нашел:
13 апреля 2013 года. «Боинг-737-800» не долетел до ВПП аэропорта Денпасара, приземлился на мелководье и разломился на две части. Выжили все 108 человек на борту.
old_gamer
Это ещё и другой самолёт. NG, а не МАХ
DrGluck07
Отвечаю на вопрос про «кто подавал автоматические команды когда закрылки были выпущены»: в этот момент они уже включили автопилот и команды подавала система STS. Т.е. до уборки закрылков полёт шёл нормально и всё контролировалось.
Также отвечаю на вопрос «как MCAS должна выбирать какому датчику верить»: а никак, она должна диагностировать расхождение показаний датчиков и предупредить об этом экипаж. После чего MCAS больше не должна работать. Пилоты должны перейти на полностью ручное управление и лететь к ближайшему аэродрому.
У меня больше вопросов вызывают действия эфиопского экипажа. Они взлетели, сразу после взлёта у капитана сработал шейкер штурвала, предупреждающий об угрозе сваливания. Тем не менее, капитан спокойно включает LNAV, VNAV, CMD и убирает закрылки. В какой-то момент автопилот отключился и вот тогда начались проблемы с MCAS. Далее они так и керосинили на полном газу с включенным автоматом тяги, пока не поймали оверспид. Если бы они (зная о предыдущих двух случаях!) при сработавшем шейкере перешли на ручное управление и не стали убирать закрылки (убрали в положение 5 или 1), то всё было бы хорошо.
Rsa97
STS работает при выключенном автопилоте. При включённом работает сам автопилот.
Здесь у Оканя есть сравнение систем MAX и NG со сканами из FCOM.
DrGluck07
Да, это я немного неправильно сказал. Но главное то, что MCAS в этот момент не работала.
Hizenberg
Валидация и верификация данных весьма актуальная проблема. И в таких системах она должна быть налажена на 100%, пилот должен понимать когда он получает достоверную информацию, если есть хотя бы малейший намек на противоречивость данных они должны исключаться из всех автоматических алгоритмов (исключая работу этих алгоритмов). Ну и дублирование (у капитана, у второго пилота, еще один датчик), что бы была возможность исключить неисправный прибор.
Indemsys
Ага, и включить в мозгу несколько десятков контуров управления.
Человек с одним контуром плохо справляется: скорость — педаль газа.
Нет, проблема в переоценке надежности датчика AoA. А надежность — это цена.
В технике широко применяется понятие риска — произведение вероятности катастрофы на стоимость катастрофы в количестве человеческих жизней.
Как не цинично, но может оказаться, что две последние катастрофы для Боинга не подняли планку риска с учетом предыдущей истории, о они соответственно не предпримут никаких кардинальных мер.
Hizenberg
Любая система автоматического управления прекращает управлять процессом правильно, когда ее кормят ложными данными. Поэтому и надо понимать когда можно и нужно управлять, а когда надо отключить алгоритмы управления и дать возможность человеку принять решения. Раньше человек гораздо более эффективно справлялся с контурами управления имея в своем распоряжении силу гидравлики и аналоговые измерительные приборы с простым выводом информации. С появлением систем автоматики уровень мастерства пилотирования значительно снизился, но это другая история.
Понятие надежности все таки остается. Даже если заявленная вероятность выхода из строя измерительного прибора 1:1000000, то вероятность есть! (нет вечных вещей).
Как вариант, при таком раскладе, когда очевидно расхождение параметров с разных приборов, система автоматики должна перейти в режим советчика и пилот должен определить какой из приборов неисправен и исключить его из системы управления, либо система должна делать это сама с подтверждением пилота.
Kelsink
Дублирование тут не помогает. У вас есть два датчика. Один врет. Не оторвался, а именно показывает не верные данные. Как узнать какой?
Чтобы сказать наверняка — нужен третий датчик.
Давным давно делали для нефтянки упраляюще ПО, где добавлялся третий «виртаульный» датчик, снованный на мат. модели системы и показаниях соседних — реальных.
Для примера. Датчик уровня. Сам уровень всегда можно пересчитать, если есть показания расходов. Правда в нефтянке проще. Там есть ПАЗ, который дернет рубильник…
Hizenberg
Про третий датчик я писал чуть выше, он должен быть опорным. В промышленности все гораздо проще, как правило сигналов больше и можно провести какую то корреляцию. Цифровой двойник, основанный на мат. модели для виртуальной телеметрии можно использовать, если быть уверенным в правильности написанной модели (за бугром активно пользуют данные технологии, дикая экономия).
В этой истории по сути ПАЗ как таковой стал причиной аварии.
Wesha
"Человек, имеющий одни часы, всегда скажет вам, который час. Человек, имеющий двое часов, никогда ни в чем не уверен". © Или один, или три — но никогда не два.
Rsa97
Хорошо, три датчика и три разных значения. Что делать? Какой врёт?
Wesha
Который не согласен с двумя остальными. Вы как с Луны свалились.
(Во всяком случае, вероятность того, что врёт именно он, значительно выше, чем одновременно, да ещё и одинаково, врут два других. Извините, в данный момент мне некогда приводить математическое обоснование, для Вас это могут сделать другие комментаторы).
Rsa97
Так, есть три датчика. Один показывает 5 попугаев, другой 10, третий — 15. Кто врёт?
JerleShannara
«ALL SENSORS MAILFUNCTION, AUTO OFF, MANUAL CONTROL» в общем случае. Не в общем — как и для одного датчика надо рассчитывать вероятность отказа. А то таким образом у нового самолёта, на котором вы летите реально могут отвалиться оба двигателя, потечь все топливные баки, коротнуть проводка от ВСУ, одновременно с чем случится сбой унитаза, на котором сидит пассажир. И это реально, правда с вероятностью 10^-100 или около того
MacIn
Тот, кто ставит вопрос с такими условиями.
Есть три датчика, у каждого одна и та же вороятность выхода из строя.
Значит, для ситуации, когда сдох один датчик веротяность n, для двух сразу n^2. Т.е. много более вероятна ситуация, когда сдох 1 датчик, а показания двух других совпадают (при этом уже регистрируется неисправность датчика для ближайшего ТО). Ситуация, когда все три дают разные показания, означает, что испорчены как минимум два датчика.
Вы раз за разом задаете в теме «каверзные» вопросы, размышляя в терминах абсолютной надежности, тогда как речь идет о повышении надежности.
Вероятность отказа мажорантной системы с тремя датчиками — n^2 против n для системы с одним.
Rsa97
Три датчика работают в одинаковых условиях. Неверные показания могут быть результатом не неисправности самих датчиков, а влиянием среды. Для датчиков угла атаки, например, вполне вероятно их более-менее одновременное обледенение.
Wesha
Вот, добавили ещё одну вероятность, замечательно. Только не забывайте, что вероятности, что все события произойдут — они не складываются, они перемножаются, так что Вы предлагаете всё менее и менее вероятные случаи.
Датчки хоть в чуть-чуть, но всё же в разных условиях, соответственно, и обледенение будет происходить не строго одновременно, а если так — то у мало-мальски разумного (и желающего остаться в живых) пилота должна закрадываться мысль — "А с какого перепугу у нас датчики
мрутврут как мухи? Не включить ли нам, милостивые государи, обогрев?".Rsa97
Для этого система должна сразу же выдавать предупреждение о расхождении показаний датчиков, не пытаясь молча игнорировать показания одного из них. После чего решение на отключение предположительно неисправного датчика должен принимать пилот.
Такое можно сделать и при двух датчиках.
Wesha
А вот тут я с Вами полностью согласен — пилоты не должны бегать по самолёту, пытаясь разобраться "а что тут у нас, собственно,
происходитотказало?", они об этом должны информироватьсяна блюдечке с голубой каёмочкойв чёткой и понятной формеAndrey_Dolg
Хех Чернобыль тоже был крайне маловероятен, однако же все случилось.
Wesha
Вот давайте только Чернобыль сюда не вовлекать, а то я опять начну долго и красочно материться про дебилов-проектировщиков, благодаря которым полностью вытянутые поглощающие стержни при возврате в реактор сперва вводят положительную реактивность вместо отрицательной, и дебилов-эксплуатантов, которые вывели из реактора стержней больше, чем положено по всем мыслимым и немыслимым нормам, потому что «насяльника сказала».
Andrey_Dolg
Хах надо ещё добавить паровой коэффициент и закрытые шлюзы сброса давления в копилку. И перемножить все эти вероятности и получим скромное число. Ах да там ещё начальника из энергосетей сказал включайте назад. Ну и ещё кучка факторов. =)
Wesha
зловещим голосом Человеческих!
В том-то всё и дело, что автоматика делала всё, что могла, чтобы станцию спасти, а человеки — всё, чтобы её угробить — и им это, наконец, удалось. Это именно человеки отключили защиту (автозаглушение) по минимальному запасу реактивности, защиту по минимальному уровню воды в реакторе, и нарушили инструкции, согласно которым при попадании в йодную яму реактор надо глушить, а не играться с ним. В том числе и потому, что "насяльника из энергосетей сказала".
Andrey_Dolg
Ну я на малую вероятность намекал. Но идейка верна человеческий фактор может сказку сделать былью, в контексте разговора конечно скорее трагедию, но не удержался от грубой аллюзии. На счет автоматики увы, самый дешевый реактор, был таковым не просто так. )
Wesha
Нормальная была автоматика, но "в схватке автомата* и идиота побеждает последний".
* не того, который Калашникова
radonit
Врёт тот, у которого больше отклонение от оставшихся
dunkelfalke
Бывает так, что два датчика врут.
Но всё равно, чем больше, тем надёжнее. У А350 три мультифункциональных датчика и ещё по одному запасному однофункциональному каждого типа.
Kelsink
Бывает конечно, но вероятность такого события гораздо меньше. Тут же баланс цены/надежности.
Я не просто так говорил про «виртуальные» датчики. Тогда тоже был тренд на сокращение расходов. Доходило до того, что живой датчик один (и он сбоил, но система работала) + два виртуальных на основе разных моделей и входных данных.
Тут мы могли чудить так как за нами — ПАЗ. Правда там тоже простои, пуск оборудования и т.д.
imperror
Интересно, а почему двигатели ставят именно на крыло? Почему отошли от схемы расположения как у ту-154, например?
Gourry_aka_pm
Плюсы в виде более приятной аэродинамики перекрываются кучей минусов:
1) Прикол с затенением стабилизатора на малых скоростях гораздо неприятнее, чем кабирующий момент при подвесе под крылом, см. плоский штопор.
2) Контринтуитивно, но больше проблем с дрянью с полосы (все то, что поднимает передняя стойка и частично основные прекрасно летит в воздухозаборники).
3) Сложнее обслуживание (особенно средний двигатель на три-джетах).
4) При разрушении движка или пожаре выше вероятность повреждения всего окружающего (насколько это «весело» — можно посмотреть на примере польских ИЛ-62).
Но на мелочи, где крыло низко расположено, и сзади до сих пор ставят (кроме редких зверей типа хонды)
Arson
Ещё шумность в салоне, чем дальше двигатель от фюзеляжа — тем тише.
kolu4iy
Про помпаж забыли. Возникающий в результате срыва потока воздуха на входе в двигатели в силу затенения крыльями. Собственно, затенение стабилизатора с помпажом как раз и определяют невозможность выхода из срывных режимов. Потому вариант один — в них не попадать…
SobakaRU
Движки тяжелые.
Да еще и комуникации к ним надо в хвост тянуть (топливопроводы, электропроводку). У самолета получается перетяжеленный хвост. Как результат, довольно легко прийти вот к таким казусам:
А у Ил-62 для предотвращения подобного — вообще целая опора с колесиками под хвостом. И бак с водой в носу для того, чтоб центровка при полетах порожняком держалась в рамках допустимого.
ksbes
Это полбеды. В воздухе такая схема тоже не очень хорошо себя ведёт. В частности, если происходит срыв, то самолёт обязательно переходит в плоский штопор, выйти из которого невозможно. Схема с двигателями под крылом — просто начнёт пикировать и, если есть запас высоты, можно вывести.
catharsis
Но почему? Какая разница штопору где двигатели?
khim
Штопору пофиг где двигатели, но сильно не пофиг где стабилизатор. А если вы разместили в том месте, где обычно живёт стабилизатор, двигатели, то стабилизатор приходится размещать выше. И если задрать нос очень высоко, то стабилизатор окажется в аэродинамической тени от крыла — после чего его влияние на дальнейшее поведение самолёта начнёт стремиться к нулю.
Вывести из штопора подобный самолёт можно с помощью механизации крыла, то это уже сильно-сильно специфический навык — плюс везение в придачу.
Gourry_aka_pm
Ну да, и то — даже с летчиками-испытателями предпочитали противоштопорный парашют, а не играть в русскую рулетку.
black_semargl
Да, и двигатели крылом тоже затеняются и перестают давать тягу.
ksbes
Если говорить грубо, то из-за сильно смещённого назад центра тяжести, всё (крыло, двигатели, хвостовое оперение) находится в одном месте (просто посмотрите на ту-154 — не самолёт, а ракета!). Если что идёт не так, всё друг друга начинает затенять, рычаги сил маленькие — моменты сил никакие. А вот далеко выдающийся вперёд фюзеляж создаёт и большие моменты сил (на даёт опустить нос при штопоре) и даёт большой момент инерции.
propell-ant
из-за шума в салоне
ksbes
При прочих равных (шумоизоляция, тип двигателя) схема с задними двигателями менее шумна в салоне. Даже для задних рядов (мимо них не дует выхлоп). У Ту-134/154 это (малошумность в салоне) считалось (по началу) преимуществом :)
Но такая схема (двигатели под крылом) позволяет засунуть малошумящие турбовентиляторные двигатели и вообще лучше модернизируется.
catharsis
На Як-42 турбовентиляторные двигатели помещаются в хвосте, так что само по себе это вряд ли проблема
Akela_wolf
Выражение «закрылки открыты/закрыты» некорректное. Насколько я знаю, в английском используется flaps up / flaps down, в русском — закрылки убраны (up) / выпущены (down)
GerrAlt
Если не ошибаюсь на железной дороге есть специальность «машинист», а есть «водитель электровоза», такое ощущение что за штурвалами в этих двух случаях были не пилоты, а «водители самолета»
black_semargl
Дело не в том кто был, а в том что Боинг счёл их квалификацию достаточной.
AVDerov
На мой взгляд, статья для апологетов АСУ ТП на АЭС, бубнящих, что автоматика наконец то избавит от "человеческого фактора" аварий.
black_semargl
Автоматику делают тоже люди.
JerleShannara
Следует учесть ещё, что АСУ и САУ это несколько разные вещи.
AVDerov
Спасибо за поправку.
Wesha
И
тебя тоже вылечатВас просвещу — сам раньше не знал.JerleShannara
А это тут вообще зачем? Я человеку дал справку о том, что АСУ и САУ весьма прилично различаются, и доводы, которые годны для АСУ, для САУ спокойно могут быть вообще мимо.
Wesha
Ну кагбе недавно ввеённая функция хабра — думал, Вы не знали. Я лично не знал, мне тоже вот таким образом показали.
JerleShannara
А зачем мне в данном случае нужна функция о сообщении об ошибке, если я пользователю хочу сказать, что доводы для САУ не годятся для АСУ? Я так к примеру могу сообщить вам о том, что в гугле есть поиск по картинкам.
AVDerov
Спасибо!!))
vladimirad
Почему не используется мажоритарное исправление ошибок вычислительных систем? Такое применяется успешно в других областях техники. Два или даже три блока могут одновременно считать по одинаковым программам, а после сравнивать показания.
black_semargl
Используется.
Просто для данной системы не сочли нужным.
vladimirad
Хаха. Это очень грустное хаха. Даже совсем не хаха.
Тут нужно что-то менять. В консерватории.
Интересно в Тесломобиле есть дублирование?
Antares19
В Тесле начиная с новых чипов, коорые с этого года ставятся на замену NVidia, два SoC которые будут работать идентично в параллель. Возможно в будущем изменят схему, но пока ресурсов с избытком, будут крутиться две одинаковые нейросети.
Antares19
Еще, кстати, Тесла в любых условияъ отдает приоритет вводу пилота.
Интересно когда это поведение измениться :)
vladimirad
Возможно уже сейчас есть моменты, когда не дает приоритета, люди пока не попадали в такую ситуацию или сочетание факторов.
black_semargl
Изначально датчики угла атаки были сильно вспомогательной системой — для пилотирования есть авиагоризонт.
Но когда потребовалось прикрутить фичу — просто добавили строк в программу, не посмотрев что данные берутся всего с одного датчика.
Gourry_aka_pm
На современных бортах так и делается, но макс по идеологии — НЕ современный борт, там архитектура в целом весьма старомодная. Например на а320, насколько я знаю, три вычислителя, у каждого из которых своя программа (результат они при этом, естественно, обязаны выдавать одинаковый) — чтобы отсекались и проблемы с софтом. То есть, три вычислителя, в которых была бы закинута логика МКАС, были бы полностью исправны, и точно так же мажоритарно пытались загнать борт в землю.
polus
Я правильно понял, что в 737 макс нет резервирования?
Gourry_aka_pm
Внутри блоков — есть. Имеется в виду другое. Современные борта магистральные, как правило, идут с ЭДСУ, которая управляет самолетом по указаниям пилота. Сошлюсь сюда, в частности habr.com/ru/post/145371
А 737 в этом плане более старомодный, там тросовая система управления с гидравлическими бустерами + различные блоки (автопилот, система триммирования к которой как раз и относится злополучный MCAS, автомат тяги), которые облегчают работу пилоту.
Rsa97
vladimirad
Вы не в курсе принципов построения отказоустойчивых систем, резервируется и программа. Строго говоря — программ несколько.
JerleShannara
Это не точно, но слышалось, что на аэробусах блоки выполнены не то, что с разным софтом, но и с разной аппаратной архитектурой. На случай ошибок в софте и железе.
S-trace
?
Rsa97
И сводить показания тремя разными арбитрами, а их показания — тремя разными суперарбитрами. Хм, кажется бесконечная рекурсия получается.
Zhuravell
У Вас на КДПВ фото Boeing 737NG, выкатившегося в Денпасаре по соврешенно иным причинам.
avherald.com/h?article=460aeabb
MUTbKA98
«На датчики высоты, скорости воздушного потока и даже температуры влияет угол атаки. Поэтому измеряемые скорость и давление изменяются для компенсации этой противоречивой переменной, используя для этого выходные данные датчика AoA.» — эта фраза повергла меня в глубокое изумление. Кто-то реально (нелинейно) вмешивается в индикацию показаний с трубки Пито? А зачем?
black_semargl
В индикацию — нет. Но для управления полётом — они все входят в алгоритм расчёта действий.
Rsa97
А трубка Пито даёт правильные показания, если её расположить, например, под 20° к потоку?
black_semargl
Она даёт привычные пилоту показания.
Привычные с тех пор, когда она шла прямо на манометр на пульте.
arthur_veber
— Что-то у нас ваши Боинги падают…
— А вы прошивку обновите.
Yeah
Надо было чебурашку делать:
SandroSmith
Насколько я помню, такое расположение двигателей даёт единственное преимущество — безопасность при взлёте с неподготовленных площадок вплоть до грунтовок. Минусов при этом намного больше.
Upd. Это по памяти. Сейчас почитал про эффект Коанда. Может и не всё так просто.
speakingfish
С разработкой Ан-72 тоже всё было непросто:
DirectX
Вот ещё короткое изложение событий: www.youtube.com/watch?v=H2tuKiiznsY
Oval
«Когда двигатели находятся сильно впереди от центра тяжести, подъёмная сила создаёт момент кручения, повышающий тангаж. „
Вот это утверждение совсем не очевидно для меня, если не сказать ошибочно.
Чем дальше вперед двигатель от центра тяжести, тем разворачивающая сила тяги двигателей больше отклоняется на плече поворота (линия приложения тяги — центр тяжести) от максимально эффективного угла 90 градусов (под центром тяжести). Но и плечо становится длиннее. Тут наверное одно другое уравновешивает.
Чем дальше вперед (тяжелый) двигатель от центра тяжести тем больше момент инерции всего самолета. Вот тут значит сложнее повернуть самолет.
ksbes
Тут не про силу тяжести, а про подъёмную: автор хотел сказать, что корпус двигателя (большой и приплюснутый) становится чем-то вроде передних стабилизаторов братьев Райт.
nikodll
На реддите бывший инженер Боинга интересно пишет о том как они там инженерят. Смотрите коммент от Dan Heidel.
rs7
Система дистанционного управления СДУ-10МК (самолет СУ-30МК)
Состав изделия
* 2 сдвоенных блока питания. Энергоснабжение СДУ осуществляется от двух независимых источников постоянного тока с номиналом напряжения 27В, работающих в буфере с аккумуляторными батареями, и двух независимых источников переменного трёхфазного тока напряжением 115В частотой 400Гц. Выдерживает кратковременные скачки напряжения по постоянному току до 50 вольт. СДУ — жизнеобеспечивающая система. Самолет просто упадет если СДУ откажет
* Вычислители. Объединены в несколько блоков и шкаф. В общей сложности, состоят из 60 модулей (читай — печатных плат). Производят обработку сигналов от датчиков и выдают исполнительные сигналы на рулевые машины. Вычислители работают одновременно и формируют средние результирующие сигналы. Система продолжает работать при двух независимых отказах в разных каналах вычислителей. То есть при отказе в одном из вычислителей его выходные сигналы начинают отличаться от сигналов других вычислителей. При превышении (принижении) заданного порога, вычислитель отключается и выдается сигнал в речевой информатор и на пульт управления. Его можно попробовать перезапустить с пульта управления. При нескольких отказах сигналы сравнивать становится не с чем и система переходит в режим жесткой связи (В этом режиме управлять истребителем практически невозможно, так как он имеет несбалансированную аэродинамическую схему и его постоянно уводит). Ни одной катастрофы, связанной с отказом СДУ-10МК не было. Авария вроде была одна.
* Датчики. Преобразуют различные физические параметры полета в электрические сигналы. Датчики в СДУ полностью независимы от других систем. То есть, например, у навигационного комплекса (ПНК) и у СДУ есть аналогичные по функционалу датчики. Все датчики 4-х кратно дублированы. СДУ «снимает» следующие параметры полета:
— Давление статическое и динамическое (ДАД, ДДД — датчик абсолютного давления, датчик дифференциального давления) для измерения скорости и высоты полета. Эти параметры необходимо знать, так как на разных высотах разная плотность воздуха, а на разных скоростях разное сопротивление
— Угловые скорости (ДУС, БДГ — датчик угловых скоростей, блок датчиков гироскопических). Требуется для определения угловой скорости вращения вокруг своих осей. СДУ моментально возвращает самолет в исходное положение при любых отклонениях планера
— Положение ручки управления и педали (ДПР — датчик положения резервированный). Эти датчики преобразуют в электрический сигнал положение ручки управления в двух плоскостях (крен, тангаж) и педали (курс)
* Пульты. ПП, ПУ — пульт проверки, пульт управления. Предназначены для выполнения проверки работоспособности СДУ и управления СДУ во время работы а также для контроля работоспособности и перезапуска системы во время полета
* Рулевые машины. Предназначены для преобразования электрических сигналов СДУ в механические. Механические сигналы предварительно усиливаются гидравлическими машинами которые в состав СДУ не входят
karavan_750
Странно видеть, как один из комментов обвиняющий пилотов набирает рейтинги.
По-моему, кто-то не берет в расчет, что эти пилоты управляли системой, которую инженеры дестабилизировали заменой одного из компонентов (двигателей), а затем еще и окостылили (MCAS), пытаясь компенсировать дестабилизацию.
khim
Вообще функция пилотов там — это в первую очередь компенсация отказов техники и всяких дестабилизаций. Если они этого не могут и могут только тупо включать автопилот и следовать указаниям директоров — то зачем они там вообще сидят и за что деньги получают?
P.S. И, разумеется, с Боига при этом ответственности тоже никто не снимает. Ну разумеется самолёт не должен самопроизвольно хотеть спикировать в землю. За то, чтобы получить нормально летающую машину компании платят не большие, а очень большие деньги. Но, увы, 100% надёжность даже за очень большие деньги получить нельзя, так что пилот должен проблемы компенсировать. Это его работа.
karavan_750
Да, безусловно. Но не следует этим оправдывать «подванивающую» процедуру модернизации системы.
Rsa97
Процитирую Дениса Оканя:
Habivax
Ну вот мне, как пассажиру, менее интересно что сделали инженеры и соответственно более интересно что сделал экипаж для спасения самолёта. Я как бы авиакомпании заплатил за свою безопасность. И когда выясняется что одни «профессионалы» справились с неисправностью (действуя по инструкции), но ума не хватило правильно объяснить наземникам проблему, а другие «профессионалы» тупо смотрели на самостоятельно крутящееся и громко трещащее «полосатое колёсико» под боком, пока вертикально об воду не сплющили самолёт — ну извините. Как выше написано — конечно это самолёт виноват.
Это, извините, конечно эмоции, но данная неисправность наглядно показала уровень подготовки «профессионалов» с огромным налетом часов. Включить автопилот — скушать курочку — выключить автопилот — получить зарплату. Я чуть раньше аварии этими рейсами и компаниями летал и очень себе представляю как там было. Так кто должен был любой ценой спасать людей, инженеры Боинга или севшие за штурвал «водители самолёта»?
Кто виноват — это правильный вопрос, но чья работа в любом случае вернуть людей живыми несмотря ни на что? Вот и плюсуют. Почитайте Денокана, он конечно очень дипломатично пишет, но посыл пытается донести правильный — пилот крайний, ему за всё жизнями отвечать, а по этому он должен быть готов ко всему.
ion2
1. Колесо трещит тихо. Громко было на предыдущих моделях.
2. В стрессовой ситуации слух отключается первым.
karavan_750
Rsa97, Habivax, Почитал я Дениса Оканя, но теперь у меня не меньше вопросов к самому Денису.
Пару раз он не просто упоминает, а делает акцент на стрессовость возникающих ситуаций предваряющих включение недокументированной MCAS. Но завершает свои статьи выводами «Мы пилоты, мы обязаны быть готовыми ко всему». Может быть он особый человек и легко контролирует самого себя, не знаю. Я при каждой нештатке в небе, кроме разрешения ситуации, прикладываю усилие к самому себе не впасть в панику и это усилие не прекращается до самого приземления. А нештатная ситуация отработанная на земле, даже многократно, очень редко идентична происходящему в небе.
В случае этих происшествий я все же останусь при своем мнении:
1. В нелегкой конкурентной борьбе за рынок сбыта, компания Boeing в спешке модернизирует давно известный и зарекомендовавший себя ЛА.
2. Но, видимо, сроки освоения рынка были важнее доведения сырой системы до ума, что вместе с новой фичей вылезает новый баг (момент вращения вокруг поперечной оси)
3. Тут их самая большая ошибка — вместо отказа от текущей фичи и поиска бескомпромиссного решения, бага принимается за штатное поведение и этому поведению назначается штатный смотрящий MCAS.
4. Чтобы скрыть факты поспешной разработки новой модели ЛА, «случайно» забыли добавить в документацию описание бага и костыля и ограничились легким «Новый ЛА ни чем не отличается от предыдущей модели, переучиваться не требуется»
Отдельно замечу, что я не против автоматизации, я против любой спешки в разработке систем.
black_semargl
Как я понимаю — для компенсации момента от по-новому расположенных движков следовало увеличить площадь стабилизатора.
Но это же всё перепроектировать надо — и поэтому решили его вращать для компенсации.
ksbes
Скажем так, пилот должен сохранять себе и людям жизнь независимо от того что случилось, если это вообще возможно. Верно ведь? Даже если самолёт — «летающий гроб» (вроде F-104 или Як-38).
С данными боингами — самолёт управлялся? Управлялся. Да, не так как обычно, да что-то делал сам. Но у пилотов было много возможностей что-то сделать.
Чего у них не было — это времени и умения «решать кризисы».
Так что у меня по пилотам двойственная позиция. С одной стороны они простые «воздушные извозчики». Но с другой стороны это не снимает с них ответственности за то что они не сделали всё что могли.
(По самому Боингу позиция однозначная — нельзя так).
mechatroner
На первой картинке запечатлена совсем другая авария: 2013 год Бали. Зачем вводить читателей в заблуждение?
VT100
Имеется в виду сваливание в штопор?
Desavian
«На каком-то этапе разработки серии MAX компания Boeing обнаружила неприятный сюрприз. При определённых условиях полёта новые двигатели вызывали нежелательное повышение угла тангажа.»
Исходить надо всегда из причин… Изменили часть конструкции самолета, конкретно двигатели, начались проблемы, попытались исправить программно — не удалось. В некоторых случаях, как выяснилось, проблема приводит к крушению.
Вот с этого и надо начинать… а не с кучи костылей и надстроек, которые в итоге так нормально и не отработали. И не с пилотов.
rexen
Мне одному кажется, что ВСЕГО ДВА датчика угла для судна с сотней пассажиров — это какая-то дичь. Причём, датчики мало того, что жизненно критичные, так ещё и подвержены, как упоминалось, неблагоприятным факторам. Почему система не анализирует их динамику? Тут некоторые ардуинщики для домашних погремушек показания энкодера фильтруют через хитрые математические окна, выкидывая статистически недостоверные шумы (иными словами — «антизвон»). А здесь — цельная миллиардная индустрия что, «экономит на спичках»? Да там не дублирование, а «четвертирование» должно быть со статистическим предсказанием, а не раскладыванием пасьянса на левый-правый.
Wesha
Если бы дело было только в датчиках… Но к каждому датчику должен вести кабель, к каждому кабелю (с другого конца) подключаться считывающее устройство, и т.д. и т.п., а проводов в самолёте и так 570 километров, и все они добавляют веса, который самолёту надо в каждом полёте таскать… Поэтому датчики дублируют-дублируют, но в какой-то момент всё же останавливаются.
rexen
1) Датчики эти там возле кабины — недалеко тянуть. Плюс выше упоминалось — современные тенденции таки сдались на милость не то что цифровым, а даже сетевым технологиям — по этим километрам не просто «цифру» гоняют, но ещё и в уплотнённом виде — такая себе LAN-сеть, где на одной «витухе» висят гроздья самой разной «периферии». Это не только путь удешевления, но и повышение надёжности (если грамотно делать).
2) Всё-таки получается торг — «километры проводов» или «жизни пассажиров».
MaxDamage
Rsa97
На самом деле второй не простаивает, а точно так же работает, получая данные с датчиков и выводя информацию на МФД своей стороны. Часть параметров, например воздушную скорость, они сравнивают между собой. Чередуется только доступ к управлению.