Неразбериха с Boeing 737 MAX: анализ возможных причин аварий

Original author: Brian Hayes
  • Translation
image

«Столкновение с землёй в управляемом полёте» (Controlled Flight into Terrain) — это авиационный термин, обозначающий аварию нормально функционирующего самолёта из-за того, что пилоты были чем-то отвлечены или дезориентированы. Настоящий кошмар. По моим оценкам, ещё хуже столкновение с землёй в автоматизированном полёте, когда система управления самолётом заставляет его совершать пикирование в землю, несмотря на отчаянные попытки экипажа спасти ситуацию. Такова предполагаемая причина двух недавних аварий новых самолётов Boeing 737 MAX 8. Я попытался разобраться, как могли произойти эти инциденты.

Примечание: изучение катастроф MAX 8 находится на раннем этапе, поэтому многое из статьи основано на данных из непрямых источников, другими словами, на утечках и слухах, а также на рассуждениях тех людей, которые знают или не знают, о чём говорят. Так что учитывайте это, если решите продолжить чтение.

Аварии


Ранним утром 29 октября 2018 года рейс 610 авиакомпании Lion Air вылетел из Джакарты (Индонезия) с 189 людьми на борту. Это был новый, эксплуатировавшийся всего четыре месяца 737 MAX 8 — последняя модель линейки самолётов Boeing, созданной ещё в 1960-х. Взлёт и подъём до высоты примерно 1 600 футов (480 метров) был нормальным, после чего пилоты убрали закрылки (элементы крыла, повышающие подъёмную силу при малых скоростях). В этот момент воздушное судно неожиданно снизилось до 900 футов (270 метров). В радиопереговорах с авиадиспетчерами пилоты сообщали о «проблеме с системой управления» и спрашивали данные о своей высоте и скорости, отображаемых на экранах радаров диспетчеров. Оборудование в кабине экипажа давало переменчивые показания. Пилоты выдвинули закрылки и поднялись до 5 000 футов (1 500 метров), но после убирания закрылков нос самолёта опустился и он снова начал терять высоту. В течение следующих шести-семи минут пилоты боролись с собственным самолётом, они старались поддерживать уровень носа, но система управления полётом постоянно опускала его вниз. В конце концов машина победила. Самолёт на большой скорости врезался в воду и все находящиеся на борту погибли.

Вторая катастрофа произошла 8 марта, когда рейс 302 авиакомпании Ethiopian Airlines упал через шесть минут после взлёта из Аддис-Абебы, погибло 157 человек. Воздушное судно было ещё одним MAX 8, который эксплуатировался всего два месяца. Пилоты сообщали о проблемах с управлением, а данные спутникового наблюдения показывали резкие колебания высоты. Из-за схожести с аварией Lion Air была поднята тревога: если причиной обоих инцидентов стала одинаковая неисправность или изъян конструкции, то могут быть и другие аварии. За несколько дней парк 737 MAX по всему миру был отстранён от полётов. Данные, восстановленные после аварии рейса 302, усилили подозрения в том, что эти два случая тесно связаны.

За печальной судьбой рейса 610 Lion Air можно проследить по данным, извлечённым из «чёрного ящика». (График был опубликован в ноябре в составе предварительного отчёта Национального комитета по безопасности на транспорте Индонезии.)


Общее представление об истории даёт кривая отслеживания высоты в нижней части графика. Первоначальный подъём прерывается резким спуском; за дальнейшим подъёмом следует долгая беспорядочная езда на «американских горках». В конце происходит пикирование, чуть больше, чем за 10 секунд воздушное судно спускается вниз на 5 000 футов (1500 метров). (Почему на графике есть две кривые высоты, разделённые несколькими сотнями футов? К этому вопросу я вернусь в конце своей длинной статьи.)


Все эти подъёмы и спуски были вызваны движениями горизонтального стабилизатора — небольшой, похожей на крыло поверхности в задней части фюзеляжа. Стабилизатор управляет углом тангажа самолёта, т.е. тем, куда направлен нос. На модели 737 он делает это двумя способами. Механизм триммера руля высоты наклоняет весь стабилизатор, в то время как движение штурвала управления пилота (штурвал на себя и от себя) двигает руль высоты — подвижный руль в задней части стабилизатора. В обоих случаях перемещение задней части поверхности вверх заставляет нос самолёта подниматься, и наоборот. Здесь нас в основном интересуют изменения триммера, а не движения руля высоты.

Команды, подаваемые на систему триммера руля высоты, и их влияние на самолёт показаны тремя кривыми из полётных данных, которые я для удобства повторю здесь:


Линия с пометкой «trim manual» (голубая) отражает действия пилотов, «trim automatic» (оранжевая) показывает команды от электронных систем самолёта, а «pitch trim position» (синяя) показывает наклон стабилизатора; более высокое положение на графике обозначает команду на поднятие носа. Именно здесь очевидно заметна борьба между человеком и машиной. Во второй половине полёта автоматическая система балансировки многократно отправляла команды на опускание носа с интервалами примерно в 10 секунд. В перерывах между этими автоматизированными командами пилоты, используя кнопки штурвала управления, триммером поднимали нос вверх. В ответ на эти конфликтующие команды позиция горизонтального стабилизатора колебалась с периодом 15-20 секунд. Пилообразное движение продолжалось примерно 20 циклов, но ближе к концу неумолимые автоматизированные команды опускания носа взяли верх над более коротким командами поднятия носа пилотов. В конце концов стабилизатор перешёл в своё максимальное отклонение пикирования вниз и оставался в нём, пока самолёт не врезался в воду.

Угол атаки


Что следует винить в неправильном поведении автоматической системы балансировки по тангажу? Обвинения направлены в сторону MCAS — новой системы серии моделей 737 MAX. MCAS расшифровывается как Maneuvering Characteristics Augmentation System («система расширения манёвренных характеристик») — удивительно многосложное название, не дающее нам никакого понимания о том, что делает эта система. Насколько я понимаю, MCAS — это не аппаратное устройство; в отсеках электронного оборудования самолёта не найти корпуса с маркировкой MCAS. Система MCAS полностью состоит из ПО. Это программа, выполняемая на компьютере.

MCAS имеет всего один функционал. Она предназначена для предотвращения аэродинамического сваливания — ситуации, в которой нос самолёта поднят относительно окружающего воздушного потока так высоко, что крылья не могут держать его в воздухе. Сваливание немного похоже на ситуацию, возникающую, когда велосипедист поднимается на холм, который становится всё более и более крутым: рано или поздно у человека заканчиваются силы, движение велосипеда становится неустойчивым, а затем он скатывается обратно вниз. Пилоты обучены выбираться из сваливания, но подобный навык они не практикуют на самолётах, заполненных пассажирами. В коммерческой авиации упор делается на избегании сваливаний, так сказать, на их предупреждении. У авиалайнеров есть механизмы распознавания надвигающегося сваливания и они сообщают об этом пилоту световыми и звуковыми индикаторами, а также вибросигнализатором штурвала (stick shaker). На рейсе 610 штурвал капитана вибрировал почти с самого начала и до конца.

Некоторые самолёты при угрозе сваливания не ограничиваются простыми предупреждениями. Если нос судна продолжает подниматься вверх, вмешивается автоматизированная система и опускает его вниз, при необходимости перехватывая у пилота ручное управление. MCAS предназначена именно для этого. Она вооружена и готова к бою при условии соблюдения двух критериев: закрылки убраны (а они выдвинуты только при взлёте и посадке) и самолёт находится в состоянии ручного управления (не автопилота). При соблюдении этих условий система срабатывает, когда аэродинамическая величина, называемая углом атаки (angle of attack, AoA) поднимается до диапазона опасных значений.

Угол атаки — это довольно непонятная концепция, поэтому я нарисую схему:


Схема адаптирована из Review of Research on Angle-of-Attack Indi­cator Effectiveness Lisa R. Le Vie.

Указанные на рисунке углы — это повороты корпуса воздушного судна относительно оси тангажа — линии, параллельной крыльям, перпендикулярной фюзеляжу и проходящей через центр тяжести самолёта. Если вы сидите в одном ряду с выходом, то есть вероятность, что ось тангажа проходит под вашим сиденьем. Вращение по оси тангажа поднимает и опускает нос. Угол тангажа (Pitch attitude) определяется как угол фюзеляжа относительно горизонтальной плоскости. Угол наклона траектории полёта (flight-path angle) измеряется между горизонтальной плоскостью и вектором скорости летательного аппарата, то есть он показывает, насколько плавно он поднимается или спускается. Угол атаки (Angle of attack) — это разность между углом тангажа и углом наклона траектории полёта. Это угол, под которым воздушное судно движется через окружающий её воздух (если допустить, что сам воздух неподвижен, т.е. отсутствует ветер).

AoA влияет и на подъёмную силу (lift) (направленную вверх и обратную силе гравитации), и на сопротивление (drag) (диссипативную силу, противонаправленную движению вперёд и тяге двигателей). При увеличении AoA выше нуля увеличивается подъёмная сила, потому что воздух сталкивается с нижней частью крыльев и фюзеляжа. Но по той же самой причине увеличивается и сопротивление. При дальнейшем увеличении угла атаки поток воздуха через крылья становится турбулентным; после этого момента подъёмная сила уменьшается, но сопротивление продолжает нарастать. И вот здесь начинается сваливание. Критический для сваливания угол зависит от скорости, веса и других факторов, но обычно он не больше 15 градусов.

Рейсы Lion Air и Ethiopian не подвергались опасности сваливания, поэтому если MCAS активировалась, это должно было произойти по ошибке. По рабочей гипотезе, упоминаемой во многих пресс-релизах, система получала ошибочные данные от сбойного датчика AoA и действовала в соответствии с его показаниями.

Концептуально датчик для измерения угла атаки прост. По сути, это просто флюгер, выдающийся в воздушный поток. На показанной ниже фотографии датчик угла атаки — это небольшой чёрный выступ, расположенный прямо перед надписью 737 MAX. Закреплённый спереди, флюгер поворачивается, выравниваясь относительно локального воздушного потока, и генерирует электрический сигнал, описывающий угол флюгера относительно оси фюзеляжа. У 737 MAX есть два датчика угла атаки, по одному на каждой стороне носа. (Устройства над датчиком AoA — это трубки Пито, используемые для измерения скорости воздуха. Ещё одно устройство под словом MAX — это, скорее всего, датчик температуры.)


Угол атаки не отображался на приборах пилотов Lion Air 737, но бортовой самописец фиксировал сигналы, получаемые от двух датчиков AoA:


И здесь происходит что-то ужасающе неправильное. Левый датчик показывает, что угол атаки примерно на 20 градусов круче, чем на правом датчике. Это огромное расхождение. Эти два отдельных показателя никаким реалистичным образом не могли бы отражать истинное состояние движения самолёта в воздухе: левая сторона носа показывала, что он направлен в небо, а правая сторона — что он примерно горизонтален. Одни из измерений должны быть ошибочными, и под подозрение попадают более высокие. Если бы истинный угол атаки достиг 20 градусов, то самолёт уже находился бы в состоянии глубокого сваливания. К сожалению, MCAS рейса 610 считывала данные только с левого датчика AoA. Она интерпретировала эти бессмысленные измерения как верный показатель положения самолёта, и неутомимо пыталась исправить их вплоть до самого момента столкновения рейса с водой.

Автоматизация кокпита


Трагедии в Джакарте и Аддис-Абебе превратились в предостерегающую историю об опасности излишней автоматизации, при которой компьютеры узурпируют власть пилотов. Washington Post заявила:

Вторая фатальная авиакатастрофа с участием Boeing 737 MAX 8 может быть следствием борьбы человека и машины. Этот провал показывает, что регулирующим органам следует внимательнее исследовать системы, забирающие управление у людей, когда на кону стоит безопасность.

Бельгийский журналист Том Дьюзаер, часто пишущий статьи об авиации и вычислениях, предлагает следующее мнение:

Нельзя отрицать того, что у Boeing рейса JT610 были серьёзные компьютерные проблемы. А в высокотехнологичном компьютеризированном мире производителей самолётов, в котором роль пилота часто сведена к нажиманию кнопок и пассивному наблюдению, такие инциденты в будущем вполне могут участиться.

В особенном гневе пилоты, нажимающие кнопки. Пилот и разработчик ПО Грегори Трэвис подытожил свои чувства кратким комментарием:

«Подними нос, HAL».
«Прости, Дэйв, боюсь, я не могу этого сделать».

Даже Дональд Трамп написал твит по этой теме:

Самолёты становятся слишком сложными, чтобы управлять ими. Им теперь нужны не пилоты, а компьютерные учёные из MIT. Я наблюдаю такую картину со многими продуктами. Всегда есть стремление сделать ещё один необязательный шаг вперёд, хотя часто старые и более простые решения намного лучше. Необходимо принимать решения за доли секунды, а сложность создаёт угрозу. Всё это требует огромной цены, но даёт очень мало. Не знаю как вы, а я не хотел бы, чтобы моим пилотом был Альберт Эйнштейн. Мне нужны отличные профессионалы, имеющие возможность быстро и просто брать на себя управление самолётом!

В жалобах на чрезмерную автоматизированность 737 есть значительная ирония; во многих аспектах этот самолёт на самом деле на удивление старомоден. Основа конструкции была создана более 50 лет назад, и даже в последних моделях MAX сохраняется довольно много технологий 1960-х годов. Основные органы управления в нём гидравлические, паутина труб под высоким давлением проходит непосредственно от штурвалов управления в кабине экипажа к элеронам, рулю высоты и рулю управления. Если гидравлические системы откажут, то остаётся полностью механическая резервная система из тросов и блоков для контроля различных плоскостей управления. Основным движителем триммера стабилизатора является электродвигатель, но у него есть механическая замена с ручным маховиком, тянущим тросы, проходящие до самого хвоста.

Намного более зависимо от компьютеров и электроники другое воздушное судно. Основной конкурент 737, Airbus A320 — это средство передвижения, в котором принцип электронного управления реализован всесторонне. Пилот управляет компьютером, а компьютер управляет самолётом. Пилот выбирает, куда двигаться — вверх, вниз, вправо или влево — но компьютер решает, как этого достичь, какие плоскости управления нужно отклонить и насколько. В более современных моделях Boeing — 777 и 787 — тоже используется цифровое управление. На самом деле, последние модели обеих компаний сделали ещё один шаг от «управления по проводам» к «управлению по сети». Основная часть передачи данных от датчиков к компьютерам, а затем к плоскостям управления состоит из цифровых пакетов, отправляемых по одной из версий сети Ethernet. Самолёт — это периферия компьютера.

Так что если вы хотите посокрушаться об опасностях и оскорблении пилотов, вызванных автоматизацией самолётов, то 737 — не самый очевидная цель. А луддитская кампания по уничтожению всей авионики и возврату власти пилотам будет опасно ошибочной реакцией на текущую ситуацию. Нет никаких сомнений, что у 737 MAX есть критическая проблема. Это вопрос жизни и смерти для тех, кто будет на них летать, а возможно и для компании Boeing. Но проблема началась не с MCAS. Она началась с предыдущих решений, сделавших MCAS необходимой. Более того, проблема может не решиться способом, предложенным Boeing — программным обновлением, ограничивающим возможности MCAS и оставляющим пилотам больше полномочий.

Выжимаем из 737 максимум


Первых пассажиров 737 начал перевозить в 1968 году. Он был (и по-прежнему остаётся) самым маленьким реактивным авиалайнером из семейства Boeing, а также самым популярным. Продано более 10 тысяч экземпляров, и у Boeing есть заказы ещё на 4 600. Разумеется, на протяжении этих лет в самолёт вносились изменения, в особенности они коснулись двигателей и приборов. Обновлённая модель 1980-х стала известной под названием 737 Classic, а модель 1997 года называется 737 NG (next generation, «следующее поколение»). (Теперь, после выпуска MAX, модель NG превратилась в предыдущее поколение.) Но несмотря на все эти модификации, основная структура планера практически не изменилась.

Десять лет назад казалось, что 737 наконец достиг конца своей жизни. Boeing объявила, что приступит к разработке совершенно новой конструкции ему на замену, корпус которой будет изготовлен не из алюминия, а из лёгких композитных материалов. Разумеется, конкуренция внесла свои коррективы. У Airbus было преимущество в виде A320neo, обновлённой модели, которая при выпуске в том же сегменте рынка будет обладать более эффективными двигателями. Модифицированный Airbus должен был выйти примерно в 2015 году, в то время как разработка проекта Boeing с нуля заняла бы десяток лет. Возникла угроза оттока клиентов. В частности, давний преданный партнёр Boeing, компания American Airlines проводила переговоры о большом заказе A320neo.

В 2011 году Boeing отказался от плана по созданию совершенно нового дизайна и решил сделать то же, что и Airbus: прицепить к старому планеру новые двигатели. Это позволило бы отказаться от бОльшей части предварительного конструирования, а также от необходимости строительства предприятий для оснастки и производства. Проверки и сертификация FAA (Федерального управления гражданской авиации США) тоже бы ускорились, и первые поставки можно было бы начать спустя пять-шесть лет, не слишком опоздав от Airbus.

Модель 737-800 (выпускавшаяся до MAX) сжигает за час полёта примерно 800 галлонов авиатоплива (3 тыс. литров). То есть затраты составляют примерно 2 000 долларов при цене 2,50 доллара за галлон. Если самолёт летает 10 часов в день, то ежегодно он тратит 7,3 миллиона долларов. Четырнадцать процентов от этой суммы — более 1 миллиона долларов.

Обещалось, что новые двигатели 737 обеспечат эффективность потребления топлива на 14 процентов, что позволит авиакомпании экономить по миллиону долларов эксплуатационных расходов в год. БОльшая экономия топлива также увеличит дальность полёта самолёта. И чтобы подсластить сделку, Boeing предложила оставить неизменной такую часть планера, чтобы новая модель могла эксплуатироваться с теми же «типовыми свидетельствами», что и старая. Пилот, получивший допуск на управление 737 NG, мог взять управление MAX без длительного повторного обучения.


У первой модели 737 1960-х годов было два сигарообразных двигателя, длинных и узких, расположенных под крыльями (на фото выше слева). С тех пор реактивные двигатели стали толстыми и короткими. Они получают больше тяги не от реактивного выхлопа из выходной трубы, а от воздушного потока в наружном контуре, перемещаемого вентилятором большого диаметра. При монтаже под крыльями 737 такие двигатели бы царапались о землю; поэтому они установлены на пилоны, которые выведены вперёд от переднего края крыла. Двигатели на моделях MAX (на фото выше справа) — самые толстые из существующих, а их вентилятор имеет диаметр 69 дюймов (175 см). По сравнению с серией NG, двигатели MAX отодвинуты на несколько дюймов вперёд и висят на несколько дюймов ниже.

В статье New York Times, написанной Дэвидом Геллсом, Натали Китроеф, Джеком Никасом и Ребеккой Р. Руис, разработка этого самолёта описывается как поспешная и сумбурная.

Опаздывая от Airbus на месяцы, Boeing вынуждена была навёрстывать упущенное. По словам бывших и нынешних сотрудников, общавшихся с The New York Times, темп работы над 737 Max был безумным… Бывшие сотрудники утверждают, что инженеров заставляли принимать технические чертежи и конструкции примерно вдвое быстрее обычного.

В статье Times также замечается: «Хоть проект и был сумбурным, нынешние и бывшие сотрудники говорят, что они завершили его, будучи уверенными в безопасности самолёта».

Неустойчивость по тангажу


На каком-то этапе разработки серии MAX компания Boeing обнаружила неприятный сюрприз. При определённых условиях полёта новые двигатели вызывали нежелательное повышение угла тангажа. Когда я впервые прочитал об этой проблеме вскоре после катастрофы рейса Lion Air, я нашёл следующие объяснение в статье Шона Бродерика и Гая Норриса в Aviation Week and Space Technology (Nov. 26–Dec. 9, 2018, pp. 56–57):

Как и во всех турбовениляторных авиалайнерах, в которых линии тяги двигателей проходят ниже центра тяжести, любые изменения тяги 737 будут приводить к изменениям угла наклона траектории полёта, вызванным вертикальной компонентой тяги.

Другими словами, низковисящие двигатели не только толкают самолёт вперёд, но и имеют склонность к вращению его относительно оси тангажа. Это похоже на мотоцикл, делающий трюк с ездой на заднем колесе. Так как двигатели MAX монтируются ещё ниже и перед центром тяжести, они действуют как достаточно длинное плечо рычага и вызывают гораздо более серьёзные движения увеличения тангажа.

Я обнаружил более подробное описание этого эффекта в более ранней статье Aviation Week, отчёте пилота Фреда Джорджа за 2017 год, в котором описывается его первый полёт за штурвалом нового MAX 8.

Летательный аппарат имеет достаточную естественную стабильность скорости в большинстве режимов полёта. Но с учётом целых 58 000 фунтов тяги, обеспечиваемых двигателями, расположенными сильно ниже центра тяжести, при низких скоростях присутствует отчётливая связь тяги и тангажа, особенно при задней центровке и низком общем весе. Boeing оснащает самолёт функцией повышения стабильности скорости, позволяющей компенсировать связь автоматическим отклонением горизонтального стабилизатора в соответствии с показателями скорости, положением рычага управления двигателем и центра тяжести. Тем не менее, пилоты должны знать об эффекте влияния изменения тяги на момент тангажа и противодействовать ему с помощью штурвала управления и триммера руля высоты.

Упоминание «функции повышения», выполняющей «автоматическое отклонение горизонтального стабилизатора» кажется ужасно знакомым, но оказывается, что это не MCAS. Система, компенсирующая связь тяги и тангажа называется speed-trim. Как и MCAS, она работает «без ведома» пилота, внося изменения в плоскости управления без непосредственных команд. Существует ещё одна подобная система, называющаяся mach-trim, которая без предупреждений корректирует другую аномалию тангажа, возникающую при достижении самолётом околозвуковых скоростей, около 0,6 Маха. Ни одна из этих систем не были новинкой серии MAX; они были частью алгоритма управления как минимум с выпуска в 1997 году серии NG. MCAS выполняется на том же компьютере, что и speed-trim с mach-trim, и является частью той же программной системы, но отдельной её функцией. И согласно тому, что я читал за последние несколько недель, она призвана решать другую проблему, которая кажется гораздо более зловещей.

У большинства летательных аппаратов есть удобное свойство статической стабильности. Когда самолёт правильно выровнен для горизонтального полёта, то можно отпустить штурвал — по крайней мере, на время — и он продолжит двигаться по стабильной траектории. Более того, если потянуть штурвал на себя, чтобы поднять нос вверх, а затем снова его отпустить, то угол тангажа вернётся к нейтральному. Расположение различных аэродинамических поверхностей самолёта учитывает такое поведение. Когда нос поднимается, хвост опускается, толкая нижнюю часть горизонтального стабилизатора в воздушный поток. Давление воздуха на эту поверность хвоста обеспечивает создание восстанавливающей силы, возвращающей хвост вверх, а нос вниз. (Именно поэтому он и называется стабилизатором!) Эта петля отрицательной обратной связи встроена в конструкцию самолёта, поэтому любое отклонение от равновесия создаёт силу, препятствующую его нарушению.


Однако поверхность хвоста с её полезным свойством стабилизации — это не единственная конструкция, влияющая на равновесие аэродинамических сил. Реактивные двигатели не рассчитаны на то, чтобы придавать самолёту подъёмную силу, но при больших углах атаки они могут её создавать, потому что воздушный поток сталкивается с нижней поверхностью внешней оболочки каждого из двигателей (мотогондолой). Когда двигатели находятся сильно впереди от центра тяжести, подъёмная сила создаёт момент кручения, повышающий тангаж. Если этот момент превышает уравновешивающую силу от хвоста, то самолёт становится нестабильным. Положение носом вверх создаёт силы, ещё больше поднимающие нос, и побеждает положительная обратная связь.

Подвержен ли 737 MAX подобным увеличениям угла тангажа? Эта вероятность не была мне очевидна, пока я не прочитал на техническом сайте Boeing 737 комментарий о MCAS — веб-публикацию, написанную бывшим пилотом 737 и лётчиком-инструктором Крисом Брэди. Он пишет:

MCAS — это система усовершенствования продольной устойчивости. Она нужна не для предотвращения сваливания и не для того, чтобы MAX управлялся так же, как NG; она была введена для противодействия нелинейной подъёмной силе, вызываемой мотогондолами двигателя LEAP-1B и создаёт стабильное повышение усилия на штурвале при увеличении AoA. Двигатели LEAP больше и расположены выше и ближе к передней части, чем старые двигатели NG CFM56-7, чтобы обеспечить пространство для более крупных вентиляторов. Это новое расположение и размер мотогондолы вызывают турбулентный поток у корпуса мотогондолы и создают при высоких AoA подъёмную силу; так как мотогондола расположена впереди от центра тяжести, эта подъёмная сила вызывает небольшой эффект увеличения угла тангажа (т.е. снижает усилие на штурвале), что может привести к тому, что пилот ещё больше увеличит тянущее усилие на штурвале и приблизит самолёт к сваливанию. Такая нелинейная/снижающая усилие на штурвале сила в соответствии с FAR §25.173 «Static longitudinal stability» недопустима. (FAR — Федеральные авиационные правила (Federal Air Regulations). В части 25 указаны нормы лётной годности для самолётов транспортной категории). Поэтому была создана MCAS, обеспечивающая команды стабилизатора на опускание носа при резких поворотах с повышенными коэффициентами нагрузки (высоким AoA) и во время полётов с закрытыми закрылками при скоростях, близких к возникновению сваливания.

Брэди не подтверждает свои утверждения никакими источниками, и насколько я знаю, Boeing не подтвердила и не опровергла это заявление. Но упомянутая выше Aviation Week, на который я ссылался, объясняя связь тяги и тангажа, в более новом выпуске (за 20 марта) поддержала гипотезу нестабильности подъёмной силы, вызываемой мотогондолами:

Более крупные двигатели MAX CFM Leap 1 создают бОльшую подъёмную силу при высоких AOA и обеспечивают воздушному судну более высокий момент увеличения угла тангажа, чем NG с двигателями CFM56-7. MCAS была добавлена из-за требований сертификации для того, чтобы минимизировать различия в управлении между MAX и NG.

Если предположить, что точка зрения Брэди верна, то возникает интересный вопрос: когда именно компания Boeing заметила нестабильность? Были ли конструкторы в курсе этой опасности с самого начала проекта? Проявилась ли она во время компьютерных симуляций, или во время испытаний в аэродинамических испытаний на моделях в масштабе? История Доминика Гейтса в Seattle Times даёт нам намёк на то, что Boeing могла и не осознавать серьёзность проблемы до лётных испытаний первого экземпляра самолёта, начавшихся в 2015 году.

По данным Гейтса, в переданном Boeing управлению FAA протоколе анализа безопасности указано, что MCAS будет иметь возможность перемещать горизонтальный стабилизатор не более чем на 0,6 градуса. В самолёте, выпущенном на рынок, MCAS может отклонять его на целых 2,5 градуса, и способна действовать многократно, пока не достигнет механического предела движения примерно в 5 градусов. Гейтс пишет:

Этот предел в дальнейшем был увеличен, потому что лётные испытания показали, что для избежания сваливания на высоких скоростях требуется более сильное перемещение хвоста, когда самолёт находится под угрозой потери подъёмной силы и снижения по спирали.

Поведение самолёта в случае сваливания при высоком угле атаки сложно смоделировать аналитически, поэтому в процессе выполнения лётчиками-испытателями процедур выхода из сваливания на новом самолёте часто выполняется настройка ПО управления для улучшения характеристик реактивного летающего аппарата.

Похоже, что нестабильность MAX при высоких AoA является свойством аэродинамической формы всего воздушного судна, и непосредственным способом его подавления было бы изменение этой формы. Например, для восстановления статической стабильности можно увеличить поверхность хвоста. Но подобные модификации планера замедлили бы выпуск самолёта, особенно с учётом того, что их необходимость была обнаружена уже после полётов первых прототипов. Кроме того, конструктивные изменения могли подвергнуть угрозе возможность полётов на новой модели с лётными правами старого типа. Должно быть, изменение ПО вместо модификации алюминиевой конструкции показалось привлекательной альтернативой. Возможно, мы когда-нибудь узнаем, как было принято это решение.

Кстати, по данным Гейтса, переданный FAA документ с анализом безопасности, в котором указан предел в 0,6 градуса, должен быть пересмотрен, чтобы он отражал истинный диапазон возможных команд MCAS.

Полёт в условиях нестабильности


Нестабильность не обязательно является «чёрной меткой» для самолёта. В истории было как минимум несколько успешных нестабильных конструкций, начиная с Wright Flyer 1903 года. Братья Райт намеренно поставили горизонтальный стабилизатор перед крылом, а не за ним, потому что их предыдущие эксперименты с воздушными змеями и планерами показали: то, что мы называем стабильностью, можно также назвать и неповоротливостью. Передние плоскости управления Flyer (называемое передним горизонтальным управлением) усиливали любые незначительные движения носа вверх и вниз. Сохранение стабильного тангажа требовало от пилота высокой концентрации, но в то же время позволяло самолёту реагировать быстрее, когда пилот хотел увеличить или уменьшить тангаж. (Плюсы и минусы подобной конструкции рассмотрены в статье 1984 года Фреда Е.С. Кулика и Генри Р. Джекса.)


Орвилл управляет, Уилбур бежит рядом, Китти-Хок, 17 декабря 1903 года. На этом снимке мы видим самолёт со стороны хвоста. Переднее горизонтальное управление — двойные регулируемые горизонтальные поверхности впереди — похоже, должно вызвать поднятие носа. (Фотография WikiMedia.

Ещё одним серьёзно нестабильным воздушным судном был Grumman X-29, исследовательская платформа, сконструированная в 1980-х. Крылья X-29 были расположены сзади; более того, основные плоскости для управления тангажом установлены спереди крыльев, как и во Wright Flyer.


Целью этого странного проекта было исследование конструкций чрезвычайной вёрткости, жертвующих статической стабильностью ради более быстрого маневрирования. Ни один пилот без поддержки не мог бы справиться с подобным дёрганым транспортным средством. Для него требовалась цифровая система электронного управления, сэмплировавшая состояние и регулировавшая плоскости управления с частотой до 80 раз в секунду. Контроллер был успешным, возможно, даже слишком. Он позволял самолёту безопасно летать, но укрощая нестабильность, он оставлял самолёту довольно ограниченные характеристики управления.

Я лично имел некоторую связь с проектом X-29. В 1980-х я непродолжительное время работал редактором с членами группы в Honeywell, которые разрабатывали и создавали систему управления X-29. Я помогал готовить публикации по правилам управления, а также способствовал их реализации в оборудовании и ПО. Этот опыт дал мне достаточно информации, чтобы понять, что в MCAS есть нечто странное: она слишком медленная для подавления аэродинамической нестабильности реактивного воздушного судна. В то время как контроллер X-29 имел время реакции 25 миллисекунд, MCAS требовалось 10 секунд на перемещение стабилизатора 737 на 2,5 градусов. При таком темпе система, вероятно, не могла бы справиться с силами, поднимающими нос вверх в петле положительной обратной связи.

Этому есть простое объяснение. MCAS не должна была управлять нестабильным самолётом. Она должна была ограничивать его от входа в режим, в котором тот становится нестабильным. Та же стратегия используется другими механизмами предотвращения сваливания — они вмешиваются ещё до того, как угол атаки достигнет критической точки. Однако, если Брэди прав насчёт нестабильности 737 MAX, то эта задача становится для MCAS более насущной. Нестабильность подразумевает резкий и опасный спуск. MCAS — это дорожное ограждение, возвращающее вас обратно на дорогу, когда вы готовы сорваться на машине с утёса.

Что приводит нас к вопросу о заявленном Boeing плане устранения проблемы MCAS. По сообщениям, модифицированная система не будет активировать себя столь неуклонно и будет автоматически отключаться, если обнаружит большую разницу между показаниями двух датчиков AoA. Эти изменения должны предотвратить повторение недавних аварий. Но обеспечивают ли они адекватную защиту против той неисправности, которой должна была заниматься MCAS в первую очередь? При отключении MCAS, ручном или автоматическом, ничто не остановит опрометчивого или введённого в заблуждение пилота от перехода в ту часть области режимов полёта, в котором MAX становится нестабильным.

Без дополнительной информации от Boeing нельзя сказать, насколько серьёзной может быть нестабильность, если она и в самом деле существует. В статье Брэди на техническом сайте Boeing 737 утверждается, что проблема частично вызвана пилотами. В обычном состоянии для длительного поднятия носа необходимо всё сильнее и сильнее тянуть на себя штурвал управления. Однако в области нестабильности сопротивление тянущему усилию внезапно падает, поэтому пилот может нечаянно потянуть штурвал в более крайнее положение.

Является ли воздействие человека необходимой частью возникновения нестабильности, или это просто усиливающий фактор? Другими словами, если убрать пилота из петли обратной связи, будет ли положительная обратная связь по-прежнему вызывать неудержимое поднятие носа вверх? Пока ответа я не нашёл.

Ещё один вопрос: если корнем проблемы является обманчивое изменение силы, сопротивляющейся движениям штурвала, поднимающим нос вверх, то почему бы не решать непосредственно эту проблему?


Загрузочный механизм руля высоты передаёт на штурвал управления пилота «фальшивые» силы. Рисунок взят из презентации элементы управления полётом B737 NG автора theoryce. Презентация создана для серии 737 NG, а не MAX; возможно, архитектура поменялась.

В 737 (и большинстве других больших воздушных судов) сила, «ощущаемая» пилотом через штурвал управления, не является простым отражением аэродинамических сил, действующих на руль высоты и другие плоскости управления. Силы обратной связи в основном синтезированные, они генерируются загрузочным механизмом руля высоты (elevator feel and centering unit) — устройством, которое отслеживает состояние самолёта и генерирует соответствующие гидравлические давления, толкающие штурвал в ту или иную сторону. Этим системам можно было дать дополнительную задачу по поддержанию или увеличению тянущей силы на штурвале, когда угол атаки приближается к значениям нестабильности. Искусственно усиленное сопротивление и так уже является частью системы предупреждения сваливания. Почему бы не расширить её и на MCAS? (Возможно, на это есть разумный ответ, но я его не знаю.)

Где у него кнопка выключения?


Даже после произвольного включения MCAS на Lion Air 610 крушения и жертв можно было избежать, если бы пилоты просто отключили эту штуку. Но почему они этого не сделали? Похоже, что они никогда не слышали об MCAS, не знали, что она установлена на управляемом ими самолёте, и не получили никаких инструкций о том, как её отключить. В кабине пилотов нет переключателей или кнопок с пометкой «MCAS ВКЛ./ОТКЛ.» Система не упоминается в руководстве по лётной эксплуатации (за исключением списка аббревиатур), и не проводилось никаких переходных тренировочных программ для пилотов, переключившихся с 737 NG на MAX. Обучение состояло из одного или двух часов (сведения разнятся) работы с приложением для iPad.

Объяснения этих упущений компанией Boeing приводятся в истории Wall Street Journal:

Одно из высокопоставленных официальных лиц Boeing сообщило, что компания решила не разглашать экипажам подробностей из-за опасений перегрузки обычных пилотов слишком большим объёмом информации, а также значительно большим количеством технических данных, чем они бы могли усвоить.

Назвать это заявление «лицемерным» — значит ничего не сказать. Оно просто абсурдно. Boeing не просто утаила «подробности», она в принципе не упомянула о самом существовании MCAS. А аргумент о «слишком большом объёме» попросту глуп. У меня нет руководства по лётной эксплуатации MAX, но в редакции для NG содержится более 1300 страниц, плюс ещё 800 страниц краткого справочного руководства. Несколько параграфов про MCAS не перегрузили бы пилота, который уже освоил руководство по эксплуатации. Более того, в руководстве подробно описаны системы speed-trim и mach-trim, которые скорее всего относятся к одной категории с MCAS: они действуют автономно и не предоставляют пилоту непосредственного интерфейса для отслеживания и регулирования.

Вследствие инцидента с Lion Air компания Boeing заявила, что процедура отключения MCAS была прописана в руководстве, хотя сама MCAS там и не упоминается. Эта процедура указана в карте устранения проблемы «выхода из под контроля триммера стабилизатора». Она не очень сложна: нужно держаться за штурвал, отключить автопилот и автоматы тяги, если они включены; затем, если проблема не устранена, повернуть два переключателя, помеченные как «STAB TRIM», в положение «CUTOUT». В случае неисправности MCAS на самом деле важен был только последний шаг.

Эта контрольная карта является «действием по памяти»; пилоты должны уметь выполнять эти шаги, не глядя в руководство. Экипаж Lion Air совершенно точно должен был знаком с ней. Но мог ли он понять, что нужно применить именно эту карту в самолёте, поведение которого не походило на то, что они видели при обучении и в полётах на предыдущей модели 737? Согласно руководству, условием, при котором нужно было воспользоваться картой устранения проблемы триммера стабилизатора, было «постоянное самопроизвольное движение триммера стабилизатора». Команды MCAS были не постоянными, а повторяющимися, поэтому для диагностирования проблемы нужно было сделать скачок в рассуждениях.


Ко времени аварии Ethiopian пилоты 737 по всему миру знали о MCAS и процедуре её отключения. В предварительном отчёте, выпущенном в начале месяца Ethiopian Airlines, показано, что через несколько минут борьбы с штурвалом управления пилоты рейса 302 всё-таки воспользовались процедурой из контрольной карты и повернули переключатели STAB TRIM в положение CUTOUT. После этого стабилизатор прекратил реагировать на команды MCAS об опускании носа, но пилотам не удалось вернуть себе управление самолётом.

Полностью пока не ясно, почему они потерпели неудачу и что происходило в кабине пилотов последние несколько минут. Один из возможных факторов заключается в том, что переключатель Cutout отключает не только автоматические движения триммера тангажа, но и ручные, которые управляются кнопками на штурвале управления. Переключатель отключает всё питание электродвигателя, двигающего стабилизатор. В такой ситуации единственным способом перемещения триммера является поворот ручных маховиков, расположенных рядом с коленями пилотов. Во время кризиса рейса 302 этот механизм мог быть слишком медленным для корректирования угла вовремя, или пилоты были слишком сосредоточены на оттягивании штурвала назад с максимальной силой, что не попытались воспользоваться ручными маховиками. Также возможно, что они повернули переключатели обратно в положение NORMAL, восстановив подачу питания на двигатель стабилизатора. В отчёте такая возможность не упоминается, но на неё намекает график из бортового самописца (см. ниже).

Компонент, приводящий к отказу всей системы


Можно спорить о том, хорошей ли идеей является MCAS при её правильной работе, но когда она включается ошибочно и направляет самолёт в море, то никто не осмелится её защищать. Судя по всему, неконтролируемое поведение в катастрофах Lion Air и Ethiopian было вызвано неисправностью единственного датчика. В авиации такого происходить не должно. Невозможно объяснить, почему какой-то из производителей летательных аппаратов намеренно бы создал самолёт, в котором отказ единственной детали привёл бы к смертельной аварии.

Защита от одиночных сбоев обеспечивается избыточностью, и в конструкции 737 настолько полностью воплощён этот принцип, что машину практически можно считать двумя самолётами в одном корпусе.

В воздушных судах, которые используют автоматизацию в большем объёме, все элементы (датчики, компьютеры, приводы) обычно дублируются трижды.

В кабине есть места для двух пилотов, смотрящих на два разных комплекта приборов и использующих отдельные комплекты элементов управления. Левая и правая панели приборов получают сигналы от разных наборов датчиков, сигналы которых обрабатываются разными компьютерами. С каждой стороны кабины есть собственная инерциальная система управления, собственный навигационный компьютер, собственный автопилот. В самолёте два источника электропитания и две гидравлические системы, плюс механические резервные системы на случай двойного отказа гидравлики. Два штурвала управления в обычном состоянии движутся в унисон — под полом они соединены — но если один штурвал застрянет, то это соединение можно разорвать, что позволит второму пилоту продолжить управление самолётом.

В этом перечне дублирующих друг друга систем есть одно исключение: похоже, особого отношения удостоилось устройство под названием «компьютер управления полётом» (flight control computer, FCC). На борту два FCC, но согласно информации технического сайта Boeing 737 на каждом рейсе работает только один из них. Все другие дублируемые компоненты работают параллельно, получают независимые входящие команды, выполняют независимые вычисления и передают независимые командные действия. Но в каждом полёте всю работу выполняет только один FCC, а второй находится в режиме простоя. Схема выбора активного компьютера выглядит до странности произвольной. Каждый день, при включении питания самолёта, FCC в левой части получает управление в первом рейсе, затем устройство в правой части берёт управление во втором рейсе дня, и так две стороны попеременно меняются вплоть до отключения питания. После повторного включения питания попеременное использование начинается снова с левого FCC.

Меня удивляют многие аспекты такой схемы. Я не понимаю, почему к дублируемым устройствам FCC отношение иное, чем к другим компонентам. Если один FCC выйдет из строя, перехватит ли автоматически управление второй? Могут ли пилоты переключаться между ними в полёте? Если да, то будет ли это эффективным способом борьбы с неисправностью MCAS? Я попытался найти ответы в руководствах, но не могу доверять своим интерпретациям прочитанного.

Кроме того, у меня возникли большие сложности с поиском информации о самом FCC. Я не знаю, кто его производит, как он выглядит и как программируется.


На веб-сайте Closet Wonderfuls предмет под названием «737 flight control computer» продаётся за 43,82 доллара с бесплатной доставкой. На веб-сайте Airframer есть списки многих поставщиков деталей и материалов для 737, но сведений о компьютере управления полётом там нет. На устройстве есть шильдик Honeywell. У меня было искушение купить устройство с сайта Closet Wonderfuls, но я практически уверен, что в последних моделях MAX установлено не такое устройство. Я узнал, что раньше FCC назывался FCE (flight control electronics, «электроника управления полётом»), и из этого можно понять, что устройство было аналоговым, оно выполняло интегрирование и дифференцирование с помощью конденсаторов и резисторов. Я уверен, что сегодня FCC догнал нашу цифровую эпоху, но это может быть специализированным оборудованием, выполненным по особому заказу. Или стандартным процессором Intel в необычной упаковке, возможно, даже работающим под Linux или Windows. Я просто не знаю.

В контексте катастроф MAX компьютер управления полётом важен по двум причинам. Во-первых, в нём находится MCAS; это компьютер, в котором запущено ПО MCAS. Во-вторых, любопытная процедура попеременного выбора FCC на каждом рейсе тоже повлияла на то, какой датчик AoA передавал входящие данные в MCAS. Левый и правый датчики присоединены к соответствующим FCC.

Если два FCC используются попеременно, это вызывает интересный вопрос об истории самолёта, потерпевшего крушение в Indonesia. Предварительный отчёт о катастрофе описывает проблемы с различными приборами и элементами управления на пяти рейсах на протяжении четырёх дней (в том числе и на рейсе, завершившемся аварией). Все проблемы возникали с левой стороны авиалайнера или вызывались рассогласованием между левой и правой сторонами.

Рейс во второй строке (Manado → Denpasar) не упомянут в предварительном отчёте, но самолёт должен был вылететь из Манадо в Денпасар, чтобы выполнить рейс на следующий день.

Дата Маршрут Отчёты о проблемах Техобслуживане
26 октября Tianjin → Manado левая сторона: нет показаний скорости воздушного потока и высоты проверить левый компьютер управления сваливанием и стабилизации угла рыскания; выполнено
? Manado → Denpasar ? ?
27 октября Denpasar → Manado левая сторона: нет показаний скорости воздушного потока и высоты; предупреждающие индикаторы speed-trim и mach-trim проверить левый компьютер управления сваливанием и стабилизации угла рыскания; сбой; выполнить сброс устройства данных о воздушной обстановке и инерциальной системы отсчёта; выполнить повторную проверку левого компьютера управления сваливанием и стабилизации угла рыскания; выполнено; зачистить электрические контакты
27 октября Manado → Denpasar левая сторона: нет показаний скорости воздушного потока и высоты; предупреждающие индикаторы speed-trim и mach-trim; отсоединение автомата тяги проверить левый компьютер управления сваливанием и стабилизации угла рыскания; сбой; выполнить сброс устройства данных о воздушной обстановке и инерциальной системы отсчёта; заменить левый датчик AoA
28 октября Denpasar → Jakarta предупредительный сигнал о рассогласовании показаний скорости воздушного потока и высоты левой и правой сторон: вибросигнализатор штурвала [активация MCAS] продуть левую трубку Пито и приёмник статических давлений; зачистить электрические контакты на вычислителе положения руля высоты
29 октября Jakarta → Pangkal Pinang вибросигнализатор штурвала [активация MCAS]

В каких из пяти полётов активным компьютером был левый FCC? Последние два, когда активировалась MCAS, были первыми рейсами дня, поэтому предположительно ими управлял левый FCC. Насчёт остальных сложно сказать, особенно потому, что за операциями техобслуживания могли следовать полные отключения питания самолёта, после которых последовательность попеременного использования компьютеров должна начинаться сначала.

Сообщается, что модернизированное ПО MCAS будет учитывать сигналы с обоих датчиков AoA. Что оно будет делать с дополнительной информацией? Пока опубликовано только одно упоминание: если показания разнятся больше, чем на 5,5 градусов, то MCAS будет отключаться. А что если показания отличаются на 4 или 5 градусов?

Примечание: в недавней статье Даниэля Оссманна из Германского центра авиации и космонавтики обсуждается вопрос алгоритмического обнаружения сбоев датчиков AoA.

Как MCAS будет выбирать датчик, которому нужно доверять? Консервативная (или пессимистичная) инженерная практика должна отдавать предпочтение более высоким показаниям, чтобы обеспечить улучшенную защиту от нестабильности и сваливания. Но этот выбор также повышает риск опасных «исправлений», вызванных неисправным датчиком.

Нынешняя система MCAS с попеременным выбором левого и правого датчика имеет 50-процентную вероятность катастрофы в случае, когда один случайный сбой заставляет датчик AoA передавать ошибочно высокие данные. В случае такого же случайного сбоя с одной стороны в обновлённой MCAS будет 100-процентная вероятность игнорирования попыток пилота перейти в область сваливания. Разве это усовершенствование?

Сломанный датчик


Хоть неисправный датчик и не должен приводить к аварии самолёта, мне всё равно хотелось бы знать, что случилось со флюгером AoA.

Никого не удивляет, что датчики AoA могут оказаться неисправными. Это механические устройства, работающие в агрессивной среде: ветра, превышающие 500 миль в час и температуры ниже –40 градусов Цельсия.


Распространённым видом неисправности является застрявший датчик, что часто вызвано оледенением (несмотря на наличие встроенного противообледенительного нагревателя). Но неподвижный флюгер будет передавать постоянные данные, не зависящие от реального угла атаки, а на рейсе 610 наблюдались другие симптомы. Бортовой самописец показывает небольшие колебания сигналов левого и правого приборов. Более того, колебания двух кривых близко выровнены, и это даёт нам понять, что они оба отслеживали одинаковые движения самолёта. Другими словами, похоже, что левый датчик работал; он просто передавал измерения, смещённые на постоянную величину, примерно равную 20 градусам.

Существует ли какой-то другой вид сбоя, способный создавать наблюдаемое смещение? Разумеется: достаточно всего лишь согнуть флюгер на 20 градусов. Возможно, его задел проезжавший мимо грузовик или трап. Ещё одна догадка: датчик мог быть неверно установлен, и всё устройство оказалось повёрнутым на 20 градусов. Несколько авторов на веб-сайте Professional Pilots Rumour Network изучили эту возможность, но в конце концов заключили, что это невозможно. Производитель, вне сомнений знавший о такой опасности, расположил крепёжные винты и центровочные штифты асимметрично, поэтому устройство можно было установить в отверстие корпус единственным образом.

Тот же эффект можно получить при ошибке сборки во время производства датчика. Флюгер мог быть неправильно прикреплён к валу, или же мог быть неверно закреплён внутренний преобразователь, превращающий угловое положение в электрический сигнал. Обеспечили ли конструкторы невозможность таких ошибок? Я не знаю, мне не удалось найти чертежей или фотографий внутренностей датчика.

Изучая другие возможные причины сбоя, я вкратце просмотрел нормы лётной годности FAA, применяемые при техобслуживании или замене датчиков AoA. Я обнаружил, что их несколько десятков, и в некоторых из них описывается тот же датчик, установленный на 737 MAX (Rosemount 0861). Но ни в одном из прочитанных мной отчётов не описывается неисправность, способная вызвать постоянную ошибку в 20 градусов.

Какое-то время я думал, что сбой, возможно, произошёл не в самом датчике, а где-то дальше по каналу передачи данных. Это могло быть нечто простое, например, неисправный кабель или контакт. Сигналы от датчика AoA передаются в устройство данных о воздушной обстановке и инерциальной системы отсчёта (Air Data and Inertial Reference Unit, ADIRU), в котором компоненты синуса и косинуса комбинируются и оцифровываются для получения числа, представляющего измеренный угол атаки. Также ADIRU получает входящие данные от других датчиков, в том числе от трубок Пито, измеряющих скорость воздушного потока, и от приёмников статического давления, измеряющих давление воздуха. Кроме того, устройство содержит в себе гироскопы и акселерометры инерциальной системы управления, которая может отслеживать движение воздушного судна без опоры на внешние данные. (Отдельные ADIRU есть для каждой из сторон самолёта.) Возможно, проблема возникла в устройстве оцифровки — ошибка в битах, а не во флюгере.

Но полученная в дальнейшем информация разрушила эту идею. Начнём с того, что датчик AoA, демонтированный группой технического обслуживания компании Lion Air 27 октября, сейчас находится в руках следствия. По информации из новостей, он был «признан дефектным», но я пока не слышал никаких упоминаний конкретных дефектов. Кроме того, оказывается, что один из элементов системы управления, компьютер управления сваливанием и стабилизации угла рыскания (Stall Management and Yaw Damper, SMYD) получает от датчика непосредственные аналоговые напряжения синуса и косинуса, а не оцифрованный угол, вычисляемый ADIRU. Именно SMYD управляет функцией вибросигнализатора штурвала. И на рейсе Lion Air, и на рейсе Ethiopian вибросигнализатор был активен почти непрерывно, поэтому эти аналоговые напряжения синуса и косинуса должны были указывать на высокий угол атаки. Другими словами, ошибка уже существовала до попадания сигнала в ADIRU.

Меня по-прежнему сбивает с толку постоянное угловое смещение в данных рейса Lion Air, но теперь этот вопрос кажется чуть менее важным. Из предварительного отчёта по рейсу 302 Ethiopian следует, что левый датчик AoA на этом самолёте тоже ужасно сбоил, но совершенно иначе. Вот соответствующие графики из бортового самописца:


Показания датчиков AoA находятся в самом верху, красная линия — левый датчик, синяя — правый. В левой части графика они немного разнятся, когда самолёт должно быть только начал двигаться, но когда двигаясь по взлётной полосе, самолёт набрал скорость, их показания начали практически совпадать. Однако при взлёте произошло значительное расхождение — левый флюгер начал показывать совершенно невозможный угол подъёма носа в 75 градусов. Позже он снижается на несколько градусов, но в остальном не демонстрирует признаков колебаний, которые бы предполагали реакцию на воздушный поток. В самом конце полёта присутствуют другие неожиданные отклонения.

Кстати, голубой график команд автоматической балансировки дают ещё один намёк на то, что могло произойти в последние моменты рейса 302. Примерно посередине графика были нажаты переключатели STAB TRIM, что привело к тому, что команда автоматического опускания носа не повлияла на положение стабилизатора. Но в самой правой ещё одна команда автоматического опускания носа повлияла на график позиции триммера, и это позволяет предположить, что переключатели Cutout были снова включены.

Другие головоломки


Но есть ещё многое, чего я по-прежнему не понимаю.

Загадка номер 1. Если аварии Lion Air и Ethiopian были вызваны неисправными датчиками AoA, то это значит, что в совершенно новом воздушном судне было три детали со схожими дефектами (в том числе и в запасном датчике, установленном в самолёте Lion Air 27 октября). Из недавних новостей стало известно, что запчасть была не новой, а восстановленной во флоридской мастерской под названием XTRA Aerospace. Этот факт позволяет нам назначить ещё одного возможного виновника, но два датчика, установленных Boeing, предположительно не были восстановленными, так что нельзя винить за всех них только XTRA.

Сейчас в эксплуатации находится примерно 400 самолётов MAX, на которых установлено 800 датчиков AoA. Является ли уровень отказов 3/800 необычным или неприемлемым? Зависит ли это суждение от того, одинаковым ли был дефект во всех трёх случаях?

Загадка номер 2. Давайте снова взглянем на графики балансировки по тангажу (pitch trim) и угла атаки в данных Lion Air 610. Всеобщее внимание привлекли конфликт ручных и автоматических команд, но меня озадачивает и то, что происходит в первые несколько минут.


Во время движения по взлётной полосе система балансировки по тангажу была установлена почти в максимальное положение повышения угла тангажа (синяя линия). Сразу же после взлёта система автоматической балансировки начала передавать команды дальнейшего движения по повышению угла тангажа, и стабилизатор, вероятно, достиг своего механического предела. В этот момент пилоты вручную направили его в сторону уменьшения угла тангажа, и автоматическая система отреагировала на это быстрой последовательностью команд на повышение угла тангажа. Другими словами, «перетягивание каната» между пилотами и автоматикой уже началось, но пилоты и автоматизированное управление тянули в направлениях, противоположных тем, которые они выберут в дальнейшем. Всё это происходило, пока закрылки всё ещё были открыты, то есть MCAS не могла быть активной. Эти команды на повышение тангажа должен был передавать какой-то другой элемент системы управления. Усугубляет загадочность то, что левый датчик AoA уже передавал свои ошибочно высокие показания в левый компьютер управления полётом. Если FCC действовал в соответствии с этими данными, то он не должен был передавать команды на увеличение тангажа.

Загадка номер 3. Показания AoA — это не самые любопытные данные из информации в предварительном отчёте Lion Air. Вот графики высоты и скорости:


Показания высоты слева (красная линия) составляют всего несколько сотен футов. Похоже, ошибка скорее мультипликативна, чем аддитивна, вероятно, она составляет 10 процентов. Левая и правая скорости воздушного потока тоже несогласованы, но график слишком сжат, чтобы оценить разницу количественно. Именно эти расхождения изначально раздражали пилотов рейса 610; они могли видеть их на своих приборах. (В кабине экипажа не было индикаторов угла атаки, поэтому эти конфликты оставались для них невидимыми.)

Высота, скорость воздушного потока и угол атаки — все они измеряются разными датчиками. Могли ли они одновременно выйти из строя? Или существует некая общая точка отказа, способная объяснить всё это странное поведение? В частности, мог ли один ненадёжный датчик AoA вызвать весь этот хаос? Я предполагаю, что да. На датчики высоты, скорости воздушного потока и даже температуры влияет угол атаки. Поэтому измеряемые скорость и давление изменяются для компенсации этой противоречивой переменной, используя для этого выходные данные датчика AoA. Эти выходные данные были ошибочными, поэтому изменения позволили одному потоку ошибочных данных заразить все измерения воздушной обстановки.

Человек или машина


Шесть месяцев назад я писал об ещё одной катастрофе, вызванной вышедшей из под контроля системой управления. В том случае проблемным местом была сеть распределения природного газа в Массачусетсе, неправильно настроенная установка для регулировки давления которой вызвала пожары и взрывы более чем в 100 зданиях, а также смерть одного человека и серьёзные травмы у двадцати. Тогда я сокрушался, что особый пафос технологических трагедий заключается в том, что движущей силой нашего разрушения являются машины, которые конструируем и создаём мы сами.

В мире, где дефектное автоматическое управление взрывает дома и заставляет самолёты падать вниз, сложно аргументировать необходимость большей автоматизации, добавления в системы управления новых слоёв сложности, предоставления машинам большей автономности. Общество склоняется в противоположную сторону. Подобно президенту Трампу, большинство из нас доверяет пилотам больше, чем учёным. Мы не хотим, чтобы на борту была MCAS. Мы хотим видеть Чесли Салленбергера, героя рейса 1549 авиакомпании USAir, направившего свой неисправный A320 на посадку в реку Гудзон и спасшего 155 пассажиров. Никакой уровень автоматизации кабины пилотов не позволит выполнить такой трюк.

Тем не менее, холодный, аналитический взгляд на статистику предполагает другую реакцию. Участие человека не всегда спасает ситуацию. Напротив, ошибка пилота ответственна за самое большое количество катастроф со смертельным исходом. В одном исследовании ошибки пилотов объявляются первопричиной 40 процентов катастоф, а сбой оборудования — только 23 процентов. Никто (пока) не выступает за беспилотную кабину, но на текущем этапе развития авиационных технологий это гораздо более близкая перспектива, чем бескомпьютерная кабина пилотов.

Система MCAS модели 737 MAX представляет собой особо неуклюжий компромисс между полностью ручным и полностью автоматическим управлением. Программам предоставляется большая доля ответственности за безопасность полёта, и им даже даётся возможность блокировки решения пилота. Тем не менее, в случае неисправности системы ответственность за выяснение причин и их исправление полностью ложится на пилота — и исправить ситуацию нужно быстро, иначе MCAS направит самолёт в землю.

Два уничтоженных самолёта и 346 смертей — убедительное доказательство того, что подобная конструкция является плохой идеей. Но что нам с этим поделать? Boeing планирует отойти от автоматического управления, вернув больше ответственности и власти пилотам:

  • Система управления полётом теперь будет сравнивать входящие сигналы от обоих датчиков AOA. Если датчики расходятся на 5,5 или более градусов при закрытых закрылках, то MCAS не будет активироваться. Индикатор в кабине экипажа будет предупреждать об этом пилотов.
  • Если MCAS активируется в нештатных условиях, то она будет обеспечивать только один входящий сигнал на каждое переданное событие повышенного AOA. Нет никаких известных или предполагаемых условий сбоя, при которых MCAS будет передавать множественные входящие команды.
  • MCAS никогда не сможет передавать стабилизатору команды больше, чем те, которым может противостоять экипаж со штурвала. У пилотов по-прежнему всегда будет иметься возможность отключения MCAS и ручного управления самолётом.

В заявлении генерального директора Boeing Денниса Муиленберга говорится, что обновление ПО «гарантирует невозможность повторения аварий рейса 610 Lion Air и рейса 302 Ethiopian Airlines». Я надеюсь, что это правда, но как насчёт происшествий, которые должна предотвращать MCAS? Я также надеюсь, что нам не доведётся читать о сваливании и аварии 737 MAX из-за того, что пилоты посчитали MCAS неисправной и продолжали тянуть на себя штурвалы управления.

Если бы Boeing выбрала противоположный подход — не ограничивать MCAS, усовершенствовать её новыми алгоритмами, работающими с системой управления, то такой план был бы воспринят с негодованием и насмешками. Это и в самом деле кажется ужасной идеей. MCAS была установлена, чтобы не давать пилотам заходить в опасную область. Новая система надсмотра следила бы за MCAS, вступая в дело при её подозрительном поведении. Но разве нам не был бы нужен ещё один смотрящий за смотрящим, и так далее до бесконечности? Более того, при добавлении каждого нового слоя сложности мы получаем новые побочные эффекты, непредусмотренные последствия и возможности поломок. Систему становится сложнее тестировать, а её правильность доказать невозможно.

Это серьёзные возражения, но и рассматриваемая проблема тоже серьёзна.

Допустим, что у 737 MAX не было бы MCAS, но в кабине пилотов имелся индикатор угла атаки. В рейсе Lion Air капитан почувствовал бы, что вибросигнализатор штурвала предупреждает его о надвигающемся сваливании и увидел бы на панели приборов опасно высокий угол атаки. Его навыки подсказали бы ему делать то же, что делала MCAS: опускать нос вниз, чтобы снова заставить крылья работать. Продолжал бы он опускать его, пока самолёт не столкнулся с водой? Конечно нет. Он бы выглянул в окно, перепроверил показания приборов на другой стороне кабины и спустя несколько страшных мгновений осознал бы, что это была ложная тревога. (В темноте или при низкой видимости, когда пилот не видит горизонта, результат мог быть хуже.)

Я вижу в этом гипотетическом примере два урока. Во-первых, ошибочные данные датчиков опасны, кто бы ни управлял самолётом: компьютер или Чесли Салленбергер. Разумно спроектированная система приборов и управления предприняла бы шаги по обнаружению (а в идеале и исправлению) подобных ошибок. В настоящий момент единственной защитой от таких сбоев является резервирование систем, а в немодифицированной версии MCAS даже эта защита оказалась скомпрометированной. Этого недостаточно. Важным моментом, дающим преимущество живым пилотам, заключается в том, что они рассудительны и иногда скептичны относительно показаний приборов. Такая рассудительность вполне возможна и для автоматизированных систем. Можно использовать множество источников информации. Например, рассогласование между датчиками AoA, трубками Пито, приёмниками статического давления и зондами температуры воздуха — это не только сигнал об ошибке, но и возможность понять, какой из датчиков оказался сбойным. Инерциальная система отсчёта обеспечивает независимый контроль положения самолёта; можно даже использовать сигналы GPS. Общепризнанно, что основной сложностью является осознание всех этих данных и извлечение из них правильных выводов.

Во-вторых, у контроллера с обратной связью есть ещё один источник информации: косвенная модель контролируемой системы. Если изменить угол горизонтального стабилизатора, то нужно ожидать, что известным образом изменится состояние самолёта — его угол атаки, угол тангажа, скорость воздушного потока, высота и скорость изменений всех этих параметров. Если результат управляющего воздействия не соответствует модели, то что-то происходит не так. Упорная передача одинаковых команд, когда они не приводят к ожидаемым результатам — это неразумное поведение. В автопилотах есть правила поведения в таких ситуациях; подобные проверки исправности можно внедрить и в низкоуровневые правила управления, выполняемые при полёте в ручном режиме.

Я не утверждаю, что у меня есть решение проблемы MCAS. И я не хотел бы летать на самолёте, который спроектировал сам. (Да и вам этого не захочется.) Но есть общий принцип, который, как я считаю, надо принять всем сердцем: если автономные системы принимают решения «между жизнью и смертью» на основе данных датчиков, то необходимо проверять правильность этих данных.

Дополнение от 11 апреля 2019 года


Boeing продолжает настаивать, что MCAS «не является функцией защиты от сваливания или функцией предотвращения сваливания. Это функция лётных качеств. Мнения о том, что это нечто другое, являются заблуждением». С этим заявлением выступил вице-президент Boeing по разработке продукции и дальнейшего развития самолётов Майк Синнетт; заявление появилось в статье Гая Норриса в Aviation Week, опубликованной 9 апреля.

Я не совсем понимаю, что в этом контексте означают «лётные качества» (handling qualities). Мне это выражение кажется чем-то, что может больше влиять на комфорт, эстетику или удобство, чем на безопасность. Самолёт с другими лётными качествами может по-иному ощущаться пилотом, но всё равно может управляться им без риска серьёзных происшествий. Намекает ли Синнетт на что-то этим заявлением? Если да, то есть если MCAS не критична для безопасности полёта, то я удивлён, что Boeing не хочет просто временно её отключить, чтобы вернуть самолёты обратно в небо, пока компания работает над окончательным решением.

В статье Норриса также цитируются слова Синнетта: «Мы пытаемся избежать ситуации, когда пилот тянет штурвал на себя, внезапно это становится делать проще, и он слишком задирает нос вверх». Эта ситуация, в которой нос оказывается выше, чем хотелось пилоту, напоминает мне состояние, предшествующее сваливанию.

В истории, написанной Джеком Никасом, Дэвидом Геллсом и Джеймсом Глэнцем в New York Times, излагается другая точка зрения: в ней предполагается, что «лётные качества» были мотивацией к созданию первой версии MCAS, но риски возникновения сваливания частично вызвали её дальнейшее усиление.

Изначально система задумывалась для срабатывания только в редких условиях, а именно при высокоскоростных манёврах, чтобы обеспечить более плавное и предсказуемое управление для пилотов, привыкших летать на предыдущих 737. Это сообщили нам на условиях анонимности из-за ведущихся расследований два бывших сотрудника Boeing.

В таких ситуациях действия MCAS были ограничены перемещением стабилизатора — частью самолёта, меняющей вертикальное направление самолёта — примерно на 0,6 градуса за примерно 10 секунд.

Это было приблизительно на том этапе проектирования, когда FAA рассматривала первоначальную конструкцию MCAS. Самолёты ещё не прошли свои первые тестовые полёты.

После того, как в начале 2016 года начались тестовые полёты, пилоты Boeing обнаружили, что непосредственно перед сваливанием на разных скоростях MAX управлялся менее предсказуемо, чем им хотелось. Поэтому по словам бывшего сотрудника, находившегося в курсе переговоров, они предложили использовать MCAS и для таких ситуаций.

И, наконец, ещё одна статья в Aviation Week Гая Норриса излагает убедительную версию того, что произошло с датчиком угла атаки рейса 302 Ethiopian Airlines. По сведениям источников Норриса, флюгер AoA был сбит спустя секунды после взлёта, возможно, вследствие удара о о птицу. Эта гипотеза соответствует графикам, извлечённым из бортового самописца, в том числе странно выглядящим колебаниям в самом конце полёта. Интересно, есть ли надежда найти потерянный флюгер, который должен был упасть не так далеко от конца взлётной полосы?
Support the author
Share post

Comments 428

    +4
    «Закрылков» — это правильное слово? Или всё же закрылок? Я правда не знаю.

    Стоит ещё отметить, что до погибшего первого LA, был ещё один LA, и у него была абсолютно та же проблема, но, видимо (не помню точно) пилоты не триммировали. И успешно сели, не написав должного рапорта о случившемся (но сообщили устно кому-то там в разборе полётов), из-за чего тестировщики не получили свой верный кейс и, отработав его, не нашли проблемы. Мораль? Пишите в сапорт все кейсы и подробно, это может стоить сотни жизней.
      0
      Если у вас у самолёта «крыло» — то «закрылок», а если «крылья» то и «закрылки». Зависит от конструкции. На DC-3, например — закрылок он действительно один на оба крыла (конструктивно — там и крыло — одно). А на современных самолётах- там суммарно закрылков до нескольких десятков можно насчитать (т.к. щелевые и многосекционные).
        +5
        Крыло всегда одно. За исключением бипланов и прочих много-планов. А вот консолей крыла обычно две — правая и левая.
          +1
          Однако истории с закрьілками єто не отменяет.
        +1
        Запись была, но мутной.
        А ремонтники не стали заморачиваться.
        И насколько помню, это был второй разбившийся.
          +25
          Не совсем так — и сильно так, как подано в посте:
          1. В Runaway Stabilizer procedure давно зафиксировано, что при любых сомнениях в поведении стабилизатора следует отключить автоматику управления им.
          Всю автоматику, включая MCAS:
          image
          Появление MCAS не меняет в работе пилотов, соответственно, ничего.
          2. Индонезия. Пилоты 40 (сорок) раз выправляли поведение самолёта штурвалом. MCAS при этом отключается на несколько секунд, управление становилось нормальным — и пилоты «бросали штурвал». Через 5 секунд — всё повторяется. 40 раз — а автоматику не отключили. Виноват, конечно, самолёт.
          3. Эфиопия, предыдущий полёт этого же аппарата. Отказ датчика AOA уже был. Пилоты отключили автоматику, совершенно штатно провели полёт. После приземления описали в журнале наличие сигнализации о расхождении показаний датчиков. Наземный персонал ответил «на земле не воспроизводится» — и выпустил в следующий полёт без изменений. Виноват, конечно, самолёт.
          4. Эфиопия. Тот самый следующий полёт. Пилоты отключают автоматику, как положено. Поведение самолёта меняется на нормальное. Снова включают — снова огребают. Опять отключают… и так 4 раза. Было бы до земли дальше, они бы и больше раз так сделали. Виноват, конечно, самолёт.
          5. Про необходимость трёх датчиков: Боинг такое предлагает, но компании, что индонезийская, что эфиопская — отказались. Сэкономили. И, насчёт «только левого» — неверно. MCAS берёт худшее из двух значение как раз по соображениям безопасности (сваливание ещё опаснее пикирования). Поскольку худшее давал именно левый — то и получилось, что работала по данным от левого.

          Итого:
          а) Низкая квалификация персонала, как лётного, так и наземного. Индонезия и Эфиопия…
          б) Системная проблема: пилоты, управляя самолётом вручную, чувствуют себя крайне некомфортно, и торопятся включить автоматику назад. Не задумываясь. Причина, в том числе, в том, что при ручном управлении растут расходы топлива — и во многих компаниях за каждое ручное вмешательство пилоту приходится объясняться перед руководством. Один мой знакомый в Delta попал на месяц тренажёров (с отстранением от полётов), попытавшись объяснить, что он взял управление, чтобы не потерять навык.

          Ситуация не такая простая: совершенно очевидно, что степень автоматизации будет ещё расти. И мы находимся в том самом месте, когда от пилотов совсем отказаться нельзя, но профессионализм пилотов неустранимо падает.

          2 ksbes:
          На DC-3 были не закрылки, а щитки
          image


          2 novice2001:
          «Илья Муромец» — годится в качестве серийного и применявшегося?
          А ведь статически неустойчив, стабилизатор даже давал подъёмную силу
          image
            +2
            Так я и не заявлял же, что самолёт виноват. Таки даже наоборот. Ну ещё виновато то, что этот момент с MCAS на симуляторах-то не проходили они. И что включается он даже автоматически через (по моему 5 сек), а они то и дело триммируют, убивая себя постепенно.
              +3
              Извините, что отвечаю сразу нескольким, сами понимаете — карма…
              2 sinneren:
              Ну ещё виновато то, что этот момент с MCAS на симуляторах-то не проходили они.
              Нет. Отказ автоматики стабилизатора проходят — достаточно. MCAS не создаёт никакой специфики.

              2 black_semargl:
              Боинг предлагал всего лишь индикацию расхождения показаний датчиков. За $80000.
              Дальше предполагается что пилоты должны сами сообразить что делать.
              Нет! Индикация расхождения значений датчиков АОА есть и так. Более того, запись в журнале нормально выполненного полёта с тем же отказом (в Индонезии, спасибо за поправку) как раз и была о срабатывании этой индикации.
              Предлагаются же третий датчик и индикация срабатывания именно MCAS. Раздельно — можно что-то одно, можно оба. Последнее — действительно, скорее лишнее (бесполезная лишняя информация для пилотов). Первое — полно будет ситуаций, когда не поможет. Все датчики работают по одному физическому принципу — отказ одного с высокой вероятностью может означать и отказ другого/других.

              2 AVDerov:
              «Один мой знакомый в Delta попал на месяц тренажёров (с отстранением от полётов), попытавшись объяснить, что он взял управление, чтобы не потерять навык.» — вот за это собственников компании надо штрафовать пожизненно.
              А, если учесть, что полёт на ручном управлении и опаснее? Ото ж… нет тут простых решений.

              2 DrGluck07:
              Мне кажется вы тут перепутали эфиопию и индонезию. Случаев было три:
              1. Lion Air PK-LQP отказ датчика, пилоты смогли вернуть на землю.
              2. Lion Air PK-LQP, отказ датчика, разбился. Не отключали привод стабилизатора.
              3. Эфиопский ET-AVJ, отказ датчика, разбился.
              Да, я ошибся по памяти — но, поскольку это ничего не меняет в сути, не стал уточнять, копаться. Спасибо за уточнение.
              Судя по графикам, они отключали привод стабилизатора один раз, затем включили и упали.
              Читал, что четырежды. Надо обновить знание. Но, увы, это опять немногое меняет: пилоты торопятся включить автоматику раньше, чем вышли на режим, где это сделать безопаснее. И, кстати, MCAS переставляет стабилизатор на один шаг (из 17) раз в примерно 20 секунд. За то время, пока она работала, сам MCAS не мог так зарулить машину. Это, если вообще ей не мешать, не триммировать стаб ручной командой и не отключать автоматику. Пилоты тупо выбрали не ту высоту для экспериментов.
                +3

                Карма — да, понимаю.


                Нет! Индикация расхождения значений датчиков АОА есть и так. Более того, запись в журнале нормально выполненного полёта с тем же отказом (в Индонезии, спасибо за поправку) как раз и была о срабатывании этой индикации.

                Нет, не было. А была индикация в различии приборной скорости, которая, на самом деле, и была вызвана различиями в AoA, но об этом никто не подумал — грешили на трубки Пито.


                Пилоты тупо выбрали не ту высоту для экспериментов.

                Выбирали не пилоты, а MCAS. И там и одного шага вполне достаточно чтобы создать проблем пилотам, ну уж а 17 — более чем, как показывает практика.

                  +1
                  2 ksbes:
                  была индикация в различии приборной скорости, которая, на самом деле, и была вызвана различиями в AoA, но об этом никто не подумал — грешили на трубки Пито.
                  Это говорит о квалификации наземного персонала, верно.
                  Теперь о том, что было на индикаторе:
                  The AoA Disagree Alert will display «AOA DISAGREE» in amber at the bottom right of the PFD if the AoA vanes disagree by more than 10 degrees for more than 10 continuous seconds.

                  image
                  Upd: запись была вообще DIFF PRESS, о разнобое в работе закрылков. Штрих в картину квалификации.

                  Выбирали не пилоты, а MCAS. И там и одного шага вполне достаточно чтобы создать проблем пилотам, ну уж а 17 — более чем, как показывает практика
                  Неадекватное отклонение — конечно, создаёт проблемы. Но инструкция гласит, что при возникновении проблем следует отключить автоматику. И больше не включать!
                  Инструкция гласит
                  ...insuring that the STAB TRIM CUTOUT switches are set to CUTOUT and stay in the CUTOUT position for the remainder of the flight
                  Отключить — и больше не включать! Список, в каких случаях отключить, широк, резюмируя: «при любой непонятке».

                  2 Rsa97:
                  MCAS переставляет стабилизатор на 2.5 градуса за цикл со скоростью 0.27 градуса в секунду. И активируется MCAS только при выключенном автопилоте.
                  Вы слегка ошиблись: переставка, что MCAS'ом, что триммированием, идёт по шагам. Каждый шаг не 2.5° отклонения стабилизатора, а эквивалент отклонению руля высоты на 2,5°. Логическая проверка: 2,5*17 = 42,5, очевидно, что на 42.5° стабилизатор отклоняться не может.
                  17 шагов в сумме — отклоняют стабилизатор на 2.5°. «Limited to 2.5 degrees» относится именно к этому.
                  MCAS could actually move it 2.5 degrees, or half the physical maximum.
                  То есть всего стабилизатор может отклоняться на 5°, а диапазон регулировки автоматическими системами — половина от этого.
                  Совпадение цифр 2.5, да, путает.
                  Градусы переставки в секунду — указаны тоже в смысле эквивалентного отклонения руля высоты. Не случайно нигде в документах не говорится о градусах при обсуждении переставки стабилизатора, а о unit'ах. В описаниях стабилизатора вообще углы всегда упоминаются в этом смысле. Ну, вот так принято.
                    +1
                    IMHO, вы путаете 17 единиц (units) на шкале положения стабилизатора с шагами. Колесо триммера — оно аналоговое и вращается непрерывно, а не шагами. Со стабилизатором оно связано механически, так что на стабилизаторе тоже никаких шагов нет. В AFM встречаются величины в 1/4 единицы.
                    Что касается диапазона отклонения самого стабилизатора, то мне попадалась такая фраза:
                    The flight crew display of stabilizer is in units from 0 (nose down) to about 17 (nose up). The stabilizer moves from 4.2 degrees leading edge up (pitch nose down) to 12.9 degrees leading edge down (pitch nose up). The travel is about 17 degrees.
                    Таким образом, единица шкалы практически соответствует одному градусу перекладки стабилизатора.
                      0
                      2 Rsa97:
                      Колесо — аналоговое, оно для ручной работы. А работа автоматики триммерной и mcas описывается именно в «юнитах», шагах, каждый из которых соответствует отклонению руля высоты на 2.5°. И в работе автоматики этих шагов — 17.

                      И всем сразу: процедура, скан которой я здесь приводил, гласит «при любой неполадке стабилизатора (плюс список других нештатных ситуаций) отключить автоматику и не включать до конца полёта». Один раз пилоты сделали это — и провели совершенно нормальный полёт. Два раза не сделали — получили катастрофы. Что тут ещё обсуждать?
                        0
                        Что-то я там не вижу слов «при любой неполадке». Там слова «если стабилизатор постоянно самостоятельно переводится в одном направлении». При этом что «постоянно», а что «не постоянно» можно понимать по разному.
                          0
                          > Там слова «если стабилизатор постоянно самостоятельно переводится в одном направлении»

                          Прочитал 4 раза, не увидел.
                            0
                            Condition: Uncommanded stabilizer trim movement occurs continuously.
                            Постоянное происходит движение триммера стабилизатора без команды.
                              0
                              www.b737.org.uk/images/runaway-stab-proc.jpg
                              Вот на этом скрине из под спойлера выше, перечислено больше условий для выполнения этого чеклиста. Вы видимо, смотрите в сам чеклист, выше этого текста.
                                0
                                Если вы про список со своей картинки, то там перечислены возможные признаки ошибочных показаний датчиков угла атаки.
                                В остальном, этот текст практически дублирует действия из чеклиста и не содержит условия, когда чеклист надо применять.
                          0
                          Одна единица шкалы (или «юнит» по вашему) — это один градус перекладки стабилизатора. Этому градусу соответствует примерно 15 оборотов колеса триммера. Если посмотрите какое-либо видео из кабины 737, то можете заметить, что автоматика — автопилот или STS — вращают колесо небольшими импульсами, иногда не делая даже одного оборота за раз.
                            +2
                            «И всем сразу: процедура, скан которой я здесь приводил, гласит «при любой неполадке стабилизатора (плюс список других нештатных ситуаций) отключить автоматику и не включать до конца полёта». Один раз пилоты сделали это — и провели совершенно нормальный полёт. Два раза не сделали — получили катастрофы. Что тут ещё обсуждать?»

                            В одной ситуации пилоты это сделали в положении близком к нейтральному, ручная корректировка проблем не составила. Во второй MCAS успел увести триммер на почти полно пикирование, пытаясь противодействовать этому штурвалом пилоты создавали приличное аэродинамическое давление на поверхностях триммера. В такой ситуации руками крутить ручку крайне тяжело, а из того положения в котором триммер находился — оборотов надо сделать очень много. Есть версия что замкнули цепь электропривода триммера перед крушением для того чтобы попытаться выровнять положение триммера электроприводом, т.к. вручную это не удавалось.
                              0
                              Только не на поверхностях триммера. Нету у 737 таких поверхностей. Триммирование у него выполняется перекладкой всего стабилизатора.
                              Но в целом да, если взять штурвал на себя, то рули высоты давят вниз на заднюю кромку стабилизатора, а его надо поставить на кабрирование, следовательно повернуть заднюю кромку вверх.
                                0
                                Триммирование у него выполняется перекладкой всего стабилизатора.
                                всё верно, у меня крайне плохо с терминологией, но мысль вроде-бы передал.
                                0
                                Во второй MCAS успел увести триммер на почти полно пикирование
                                Вы посчитайте, за какое время MCAS выполняет такую перекладку. Добавьте, что, если вдруг пилоты тянули штурвал, то MCAS отключался (+5сек после окончания воздействий), а автоматическое триммирование стабилизатора при заметном воздействии на штурвал откатывает действие MCAS'а — время критической перекладки становится гораздо больше.
                                Экипаж в этом время стюардес развлекал что делал-то?

                                2 Rsa97:
                                Только не на поверхностях триммера. Нету у 737 таких поверхностей.
                                Вообще-то есть. Как раз то, что на других машинах называется триммером.
                                Но у Боинга называется сервокомпенсатором даже на элеронах.
                                image

                                Разница, конечно, есть:
                                — триммирование стабилизатором разгружает руль высоты по отклонению от стабилизатора. То есть, когда руль высоты сильно отклонён относительно стабилизатора, стабилизатор слегка поворачивается в ту же сторону — что даёт возможность поставить руль высоты строго вдоль стабилизатора. Это и аэродинамически выгоднее, и даёт больший запас по работе рулём.
                                — сервокомпенсатор разгружает актуаторы руля высоты от усилий по его повороту. Он отклоняется в обратную по отношению к повороту руля высоты сторону. Поскольку площадь этой поверхности мала — заметного воздействия на самолёт в целом это не производит. А вот на руль высоты производит. Пошёл сервокомпенсатор вниз — создалось усилие вверх. Тянет заднюю кромку кромку руля высоты вверх — тот и поворачивается вверх.
                                Профит!
                                image

                                Бывают, кстати, и «антикомпенсаторы», и как раз на свежих В-737 в некоторых режимах компенсатор работает как антикомпенсатор. Но это уже подробности :-)

                                Были, замечу, самолёты, где всё управление рулём высоты выполнялось именно так, привода собственно на руль высоты не было. Вертолёты, где так же управляли углом атаки лопастей — тоже были.

                                2 Anarions: извините, что отвечаю Вам в комменте, на который Вы отвечаете — не хочется час времени терять. Но почитайте, пожалуйста, технические описания. MCAS именно не работает, когда пилоты работают штурвалом или выполняют триммирование стабилизатора. В индонезийском случае логи показывали ситуацию «воздействие — MCAS отключился — нет воздействий — MCAS включился» 40 раз подряд.
                                Как и почему при этом пилоты упустили ситуацию до полной перекладки — ну, не знаю. Что в первом, что во втором случае. Техническая сторона анализу может быть подвергнута, человеческая…
                                  +4
                                  Добавьте, что, если вдруг пилоты тянули штурвал, то MCAS отключался (+5сек после окончания воздействий)"


                                  После применения ручного триммирования. Если бы штурвал отключал MCAS — MCAS бы вообще не работал. (ну или по крайней мере не вводил самолёты в смертельное пике)
                            0
                            Вот собственно эти колёса, из предыдущего топика
                            hsto.org/webt/nq/vq/rk/nqvqrkfeeqtaj31q_gbbr2hcoay.jpeg
                            Рядом с ними шкала показывающая текущий статус

                            Что касается 17 раз — так каждый раз после пилоты откручивали назад. А потом всего пару раз пропустили — и всё, он на максимальный угол убежал.
                          +1
                          Но, увы, это опять немногое меняет: пилоты торопятся включить автоматику раньше, чем вышли на режим, где это сделать безопаснее. И, кстати, MCAS переставляет стабилизатор на один шаг (из 17) раз в примерно 20 секунд.
                          MCAS переставляет стабилизатор на 2.5 градуса за цикл со скоростью 0.27 градуса в секунду. И активируется MCAS только при выключенном автопилоте.
                          Разъяснение Boeing
                          image
                        +1

                        "Один мой знакомый в Delta попал на месяц тренажёров (с отстранением от полётов), попытавшись объяснить, что он взял управление, чтобы не потерять навык." — вот за это собственников компании надо штрафовать пожизненно.

                          +3
                          собственников компании надо штрафовать пожизненно

                          Каждого акционера пропорционально количеству акций? Или вы всё-таки имели в виду совет директоров?

                            –2
                            Совет Директоров скорее всего,… хотя собственники тоже должны отвечать.
                            Не можешь управлять — не владей. Аргумент про бабушку, которая на всю пенсию купила акции компании Boeing не готов обсуждать.

                            P.S. У нас свободная страна…
                            (с) Американское кино
                              +2

                              Хорошо, что вы законы не принимаете...

                                0
                                Ну у нас если собственник автомобиля бабушка, то все похороны сбитых её внучком людей — за её счёт. Причём безусловно, виноват её внучёк или они сами под колёса бросились.
                                Так же а авиакомпании у нас — безусловно лечат и хоронят пострадавших в авиапроишествиях.
                                  +2

                                  Ну не думаю, что это хорошая практика. Если начать экстраполировать — самолёт часто принадлежит не авиакомпании, а банку, который сдаёт его в лизинг. Получается, что в случае катастрофы по вине авиакомпании пожизненно штрафовать всех вкладчиков банка по принципу «Не можешь управлять — не вкладывай»? А если кто-то взял в этом банке кредит, купил машину и сбил людей на остановке? Проще тогда сразу всех людей посадить в тюрьму «во избежание».

                                    0
                                    Лизинг — это юридический договор, в котором вполне прописывается кто за какие ситуации отвечает.
                                      0
                                      Гражданская ответственность собственника объекта повышенной опасности — она безусловна и «превыше всего» (т.к. федеральный закон). Никакими договорами её не перекинуть (не путайте собственника и владельца — при аренде собственник — арендодатель, владелец — арендующий).
                                      Так что если вводить ответственность акционеров, то будет (у нас по крайней мере) такой же принцип. Идея на первый взгляд здравая (особенно если освободить от ответственности миноритариев). Но как всегда в деталях есть много НО: начиная от того что законы пишут и лоббируют как раз-таки те же люди, что держат контрольные/блокирующие пакеты акций и заканчивая тем, что не понятно как определять степень и глубину. Всё-таки между наказанием и действиями человека должна быть более-менее прямая связь.
                                        0
                                        Гражданская ответственность собственника объекта повышенной опасности — она безусловна и «превыше всего» (т.к. федеральный закон). Никакими договорами её не перекинуть

                                        ГК РФ 1079.1

                                        Обязанность возмещения вреда возлагается на юридическое лицо или гражданина, которые владеют источником повышенной опасности на праве собственности, праве хозяйственного ведения или праве оперативного управления либо на ином законном основании (на праве аренды, по доверенности на право управления транспортным средством, в силу распоряжения соответствующего органа о передаче ему источника повышенной опасности и т.п.).
                                0
                                Ответственность собственников будет состоять в падении стоимости их акций или невыплате дивидендов. За что они, по идее, должны проредить совет директоров.

                                Штрафуют же как правило компанию и иногда высшее ответственное за принятие оперативных решений лицо (гендиректора, президента, GM).
                            +2
                            Про необходимость трёх датчиков: Боинг такое предлагает, но компании, что индонезийская, что эфиопская — отказались. Сэкономили.
                            Боинг предлагал всего лишь индикацию расхождения показаний датчиков. За $80000.
                            Дальше предполагается что пилоты должны сами сообразить что делать.
                              0
                              И всё-таки плюс один датчик — это не то, что можно выносить в опции. Их должно быть три в базе штатно.
                                +1
                                А потом можно Боингу, четвёртый как опцию предлагать?
                                  +3
                                  Совсем недавно Ан в России расхреначили с 3 штуками датчиков скорости. И с индикацией, и с автоматическим выбором исправного системой управления…
                                  На самом деле, главная проблема всех «умных вещей» в том, что наступает момент, когда «вещь» становится умнее того, кто ею управляет (пользуется).
                                  Да. три датчика — вероятность критического отказа, не распознанного или неправильно распознанного автоматикой, меньше, но и человеку в этом случае труднее труднее разобраться что происходит.
                                  Как в случае с тем самым АНом.
                                  Вначале начинает дурить один датчик, система отбрасывает его показания, но ничего не говорит пилотам, потом умирает второй датчик. И система говорит «я сдаюся, рулите сами», а у пилотов к этому моменту 3 разных показания от 3х датчиков, и уже все неверные… Вогнали самолёт в землю. А первопричина всех проблем — не включили обогрев датчиков и они тупо один за другим замёрзли.
                                  Ругнись система когда отказал первый — может быть, хватило бы времени разобраться что происходит.
                                    +3

                                    Мне вот только интересно — что, профессиональные пилоты сериал "Расследование авиакатастроф" принципиально не смотрят? Уж на что я — дебил дебилом, так и до меня после пятисотого повторения дошло: "Разные показания скорости = проверь, включен ли обогрев трубок Пито".

                                      +1

                                      Вероятно, что пока автопилот работает, пилоты не особо следят за датчиками, а когда система выключается и 3 датчика показывают разные данные, включать обогрев может быть уже немного поздно.

                                        0
                                        «Разные показания скорости = проверь, включен ли обогрев трубок Пито».

                                        Вообще говоря, есть чеклист IAS disagree (на боингах он так называется. У АН — тоже есть, называется вероятно по другому). Там перечислены действия, которые нужно выполнить, чтобы нормально лететь при отказе датчиков. Другое дело, что в случае с АНом, пилоты поверили кривым показаниям и на взлете добровольно вогнали самолет в землю. Вместо того, чтобы выполнить чек-лист. Ситуация отрабатывается на тренажерах. Не является редкой и не является смертельной.
                                        0
                                        Почему наличие третьего датчика должно отменять или запрещать индикацию их неисправности?
                                          0
                                          А первопричина всех проблем — не включили обогрев датчиков и они тупо один за другим замёрзли.
                                          Если датчики чувствительны к температуре, то почему бы не добавить датчик температуры, который будет сигнализировать о проблеме ДО того, как датчики замерзнут?
                                            0
                                            А если отказ датчика температуры?
                                              0
                                              Значит будут лететь дальше без датчика температуры, не фатально.
                                              Но если датчик исправен, а обогрев не включен или не исправен, то пилоты узнают об этом заранее, а не когда у них отрубит датчики от переохлаждения.
                                                +2
                                                В том и дело, что и отказ датчика УА, как в обсуждаемом случае, тоже совершенно не фатален. Можно вообще без этих датчиков обойтись.
                                                Но сам факт того, что лишний датчик может отказать означает лишний риск. Система автоматики и контроля становится сложнее, от пилота требуются дополнительные действия.
                                                А потом к этому, ненужному датчику привинтят ещё какой-нибудь «улучшайзер», который в самый неподходящий момент начнёт рулить самолётом по непонятной пилоту логике.
                                                И вместо повышения надёжности и безопасности, получится «как всегда»
                                                  0
                                                  Насколько я понял, они замёрзли т.к. забыли включить обогрев по чеклисту, а делать обогрев в режиме «включен всегда» нельзя, т.к. без обдува трубка просто сгорит. И автовключение делать нельзя, вдруг оно заглючит.
                                                    0

                                                    А боингах и эирбасах на земле включают обогрев пито, сразу после старта двигателей, и у пилотов много времени чтобы обстоятельно пройтись по чеклисту. На советских бортах — только непосредственно перед взлетом, но там и так надо много действий сделать за короткий промежуток времени, так что до сих пор случаются аварии, связанные с невключением обогрева трубок.

                                                      0
                                                      т.к. забыли включить обогрев по чеклисту,

                                                      А это может означать только одно: квалификацию экипажа. Чек-лист читается всегда. Если ЗАБЫЛИ — значит одно из двух: 1) начихали на чек-лист и тупо прочитали его и не перепроверили 2) выполнили его по памяти и прошляпали.
                                                      В обоих случаях — это косяк экипажа.
                                                        0
                                                        Просто не прочитали чек-лист для момента начала разгона, потому что им внезапно дали команду взлетать с ходу.
                                                        (и он вроде из этого единственного пункта «включить обогрев»)
                                                          0
                                                          Просто не прочитали чек-лист для момента начала разгона,

                                                          Это и есть фатальный косяк. Чек-листы исполняются ВСЕГДА.
                                                            0
                                                            (и он вроде из этого единственного пункта «включить обогрев»)

                                                            Вот для боинга 737:
                                                            PARKING BRAKE.......................................................SET
                                                            FUEL FLOW ........................................RESET,
                                                            then RATEC FUEL PUMPS ........................................AS REQUIRED
                                                            DE-ICE.......................................................AS REQUIRED
                                                            CABIN LIGHTS ..........................................AS REQUIRED
                                                            FLIGHT INSTRUMENTS .......................................CHECK
                                                            ENGINE INSTRUMENTS ......................................CHECK
                                                            TAKE-OFF DATA ...............................(V1, VR, V2) CHECK
                                                            NAV EQUIPMENT ..................................................CHECK
                                                            Request Takeoff Clearance
                                                            LANDING LIGHTS ........................................................ON
                                                            STROBE LIGHT ............................................................ON
                                                            TAXI LIGHTS..............................................................OFF
                                                            TRANSPONDER ......................................................TA/RA
                                                            TFC ....................................................................PUSH ON
                                                            CLOCK ....................................................................START

                                                            Это из одного пункта? :)
                                                              0
                                                              Это PREFLIGHT CHECKLIST. Еще есть BEFORE TAKEOFF CHECKLIST — он очень короткий. Для 737 он из двух пунктов — закрылки во взлетном положении, стабилизатор триммирован на +4 градуса.
                                                                +1
                                                                Нет, я привел именно Before take off check-list. Как видите, он не фига не из двух пунктов. Из двух пунктов taxi check list.
                                                                  0
                                                                  Судя по пунктам — это должно выполняться перед началом движения. Потому как вообще остановка после выезда на взлётную полосу — опциональна.

                                                                  PREFLIGHT
                                                                  PUSHBACK and ENGINE START
                                                                  AFTER ENGINE START
                                                                  TAXI
                                                                  BEFORE TAKEOFF
                                                                  AFTER TAKEOFF
                                                                  CLIMB

                                                                  DESCENT
                                                                  APPROACH
                                                                  BEFORE LANDING
                                                                  AFTER LANDING
                                                                  SHUTDOWN
                                                                    0
                                                                    Судя по пунктам — это должно выполняться перед началом движения.

                                                                    Для каждого чек-листа из приведенного вами списка есть верхний и нижний пределы исполнения. В этом промежутке он и должен быть выполнен.

                                                                    Before take off check list должен быть выполнен после того, как получено разрешение на исполнительный старт (when cleared on to the active runway) и до занятия полосы (Crossing the hold short line).
                                                          0

                                                          Автовключение обогрева есть как минимум на A320, положение «Auto». Подозреваю, что и на большинстве других современных типов так же.

                                                          0
                                                          Значит будут лететь дальше без датчика температуры, не фатально.

                                                          Без датчика угла атаки тоже лететь не фатально. Ситуация не редкая.
                                                          +1

                                                          Датчик температуры — прост как два провода, у него возможны только два отказа: обрыв кабеля или короткое замыкание в кабеле, оба случая элементарно детектятся и в кабине загорается транспарант "отказ датчика", после чего пилоты предупреждены (а значит — вооружены). Главное — чтобы пределы измерения датчика были разумные — отказ из-за дурацких индикаторов температуры мы уже проходили.

                                                          0
                                                          Потому что добавление датчика — это необходимость новой сертификации всего самолёта. И ради одного датчика возиться…
                                                          Тут по уму надо один раз перепроектировать весь самолёт, с добавлением всех современных возможностей. Но нету таких предпринимателей в авиастроении…
                                                        0
                                                        И всё-таки плюс один датчик — это не то, что можно выносить в опции. Их должно быть три в базе штатно.

                                                        Таки запретим летать всем самолетам на которых меньше трех ДУА?
                                                        К сведению, это подавляющее большинство самолетов.
                                                        А, да, на space shuttle тоже было 2 датчика.
                                                          0
                                                          Тут смотря насколько важные функции на сигнал с этих датчиков завязаны.
                                                            0
                                                            Функции ровно те же, что и на самолетах. На шаттле больший набор показателей снимался. Шаттл меряет:
                                                            1) 4 давления
                                                            2) температуру
                                                            На основании этих показателей вычисляет:
                                                            1) угол атаки
                                                            2) скорость
                                                            3) высоту.
                                                            Если air data probe на шаттле отказал, то у пилотов не будет этой информации.
                                                            Поскольку датчиков всего два + 4 модуля ADTA (АЦП), есть определенный набор отказов, который RM (redundancy managment) парирует сам. Понятно, что самостоятельно разрулить RM сможет только косяки оцифровки в ADTA. Как только RM увидит, что с левого ADP и с правого пришли разные показания, выставляется флаг dilemma и показания с дисплеев исчезают. Дальше пилоты могут по своему усмотрению:
                                                            1) лететь без ADP и пользоваться только данными GPS (точность ниже)
                                                            2) самостоятельно решить, показаниям какого датчика верить и вручную разрешить дилемму (air data probe override).

                                                            Также как и на самолетах, на случай, если шаттл возвращается без ADP предусмотрены таблицы с указанием как нужно лететь. А, да, шаттл, как известно, возвращается принципиально без движков.

                                                            И ничего, летали.
                                                              0
                                                              Ну есть подозрение что пилотов шаттла тренируют несколько более усердно, чем пилотов Авиалиний Эфиопии…
                                                                0
                                                                1) Речь именно об этом. Есть подозрение, что эфиопских пилотов тренируют гораздо менее усерднее, чем, например, российских.
                                                                2) Тут некоторые товарищи выдвигали идею, что нельзя экономить на безопасности и как вообще в голову пришло ставить только два датчика угла атаки. Я и привел пример, что, например, конструкторам шаттла тоже пришло в голову ставить только два датчика угла атаки.
                                                                  0
                                                                  По поводу 2: им же пришло в голову создать конструкцию, которая вообще не имеет никаких средств спасения во время взлёта, так что я бы, в деле безопасности, на Шаттл не ровнялся…
                                                                    0
                                                                    у вас есть идеи, как это могло быть реализовано? Насколько я помню, сделать САС для шаттла было очень проблемно, а не из вредности. И, кстати, в шаттле тоже куча внимания уделялась безопасности. Например, было 4 разных варианта вернуться на землю при отказах: RTLS, ATO, TAL, AOA.
                                                                      0
                                                                      у вас есть идеи, как это могло быть реализовано?
                                                                      Например как в Буране? Катапультируемые кресла. Надёжная технология из 60х.

                                                                      И, кстати, в шаттле тоже куча внимания уделялась безопасности.
                                                                      Тем не менее факт остаётся фактом: две аварии — две катастрофы. А Союз недавно «переглючило» — все живы.

                                                                      Посмотрим что Маск изобразит — он хотя бы реально думает о проблеме, а не о том, чтобы регламент соблюсти…
                                                                        0
                                                                        Например как в Буране? Катапультируемые кресла. Надёжная технология из 60х.

                                                                        Но:
                                                                        1) Шаттл отлетал 150 полетов, Буран — 1. И тот беспилотный (хотя это и достижение, само собой)
                                                                        2) Отсюда следует, что на практике неизвестно как себя зарекомендовали бы катапультируемые кресла.
                                                                        3) В вики написано, что «катапультируемые кресла невозможно применить на шаттле». Я не знаю, как это обошли наши инженеры. И, увы, мы не знаем, помогли бы они или нет при реальной аварии.

                                                                        Тем не менее факт остаётся фактом: две аварии — две катастрофы.

                                                                        Это не так. Аварий было больше. 5 раз срабатывал pad abort, 1 раз — ATO (После чего миссия была продолжена).

                                                                        Справедливости ради, катастрофу Колумбии невозможно было предотвратить. Корабль просто разрушился в воздухе на таких скоростях и высотах, что ничего не спасло бы.
                                                                        САС, как на союзах, как вы правильно понимаете, на Шаттле применить не позволяет компоновка.

                                                                        А Союз недавно «переглючило» — все живы.

                                                                        Что, безусловно, говорит в пользу Союза. Вот только, Союз тоже хоронил людей…

                                                                        Посмотрим что Маск изобразит — он хотя бы реально думает о проблеме, а не о том, чтобы регламент соблюсти…

                                                                        Откуда Вы знаете, о чем думает Маск?
                                                                          +1
                                                                          Посмотрим что Маск изобразит — он хотя бы реально думает о проблеме, а не о том, чтобы регламент соблюсти…
                                                                          Откуда Вы знаете, о чем думает Маск?
                                                                          Тут недавно проходила новость. То, что испытания прошли не очень успешно — это, конечно, плохо. Но вот то, что формально можно было выпускать корабль в полёт вообще без них, но Маск их всё-таки провёл — скорее хорошо.
                                                                            0
                                                                            Но вот то, что формально можно было выпускать корабль в полёт вообще без них, но Маск их всё-таки провёл — скорее хорошо.

                                                                            А почему вы считаете, что можно было выпускать корабль в полет без этих испытаний?
                                                                              +1
                                                                              Там же, по ссылке: Их конкуренты вообще отказались от In-flight Abort test, потому что это не обязательный пункт в сертификации и заменили компьютерной симуляцией.

                                                                              Но боюсь после истории с Боингом таких «необязательных пунктов в сертификации» станет меньше…
                                                                                +1
                                                                                Но боюсь после истории с Боингом таких «необязательных пунктов в сертификации» станет меньше…

                                                                                Ну в таком случае, я не боюсь, а надеюсь, что таких необязательных пунктов станет меньше.
                                                                          0
                                                                          Например как в Буране? Катапультируемые кресла.

                                                                          Вероятно вас это удивит, но катапультируемые кресла во время испытательных полетов были не только на Буране, но
                                                                          и на шаттлах (как минимум на «Энтерпрайзе» и «Коламбии»).

                                                                          И в СССР и в США использование этих кресел предполагалось только на этапе испытаний (с экипажами из двух человек). С шаттлами так и было, а у Бурана кресла сняли бы после восьмого полета, когда по планам должно было вырасти количество членов экипажа.
                                                                          Так что уникальность Бурана в этом отношении — не более чем распространённая байка.

                                                                          Обеспечение катапультирования экипажа из 7 человек (а в Буране до, по слухам, до 10), да еще и расположенных на двух ярусах — слишком сложная задача. Особенно учитывая тот факт, что эта система была бы эффективна в чрезвычайно узком диапазоне высот и скоростей (никак не выше 30 км и 3М)
                                                          0
                                                          Мне кажется вы тут перепутали эфиопию и индонезию. Случаев было три:
                                                          1. Lion Air PK-LQP отказ датчика, пилоты смогли вернуть на землю.
                                                          2. Lion Air PK-LQP, отказ датчика, разбился. Не отключали привод стабилизатора.
                                                          3. Эфиопский ET-AVJ, отказ датчика, разбился. Судя по графикам, они отключали привод стабилизатора один раз, затем включили и упали.
                                                            0
                                                            Мне кажется вы тут перепутали эфиопию и индонезию. Случаев было три:

                                                            В таком случае, случаев было не 3, а около 60. Просто 58 из них закончились благополучно и потому про них никто не знает.
                                                            +1
                                                            Ну сам автор статьи склонен считать самолёт без MCAS чуть ли не опаснее чем самолёт с «плохой» MCAS. Так что я бы не стал так утверждать что наличее/отсутствие MCAS не меняет ничего.

                                                            Если пилот на новом самолёте может при отключённой случайно поймать «подхват» двигателями (корпусом двигателей), при нормальном ещё угле атаки (когда штурвал ещё не трясётся — против этого MCAS и нужна, если верить автору), чего не было на предыдущих моделях и этому никого не учат, никому не рассказывают (а летать без MCAS надо уметь, раз есть инструкции по которым её надо отключать), то явно прослеживается некоторая недобросовестность.
                                                              +1
                                                              Мне кажется они добавили MCAS чтоб имитировать поведение NG и, соответственно, снизить расходы на переучивание пилотов. Собственно само переучивание не требует даже реальной лётной сессии, только наземный тренажер (об этом писал Денис в ЖЖ).
                                                              Любой современный самолёт с низким расположением двигателей задирает нос на полной тяге. Пилоты прекрасно знают об этом и умеют с этим бороться. Но MAX делает это слишком сильно и Боинг пытался дать пилотам ощущения «как на NG». В итоге получилось то, что получилось.
                                                                +7
                                                                Дело не в том, что MAX «сильнее задирает нос», а (согласно автору статьи) в том, что при задранном носе у пилота резко (нелинейно) пропадает нагрузка со штурвала и (если он этого не ожидал) он резко возьмёт на себя и «уронит» самолёт.
                                                                Это как картошку тупым ножом резать — сначала тяжело, давишь, а потом (когда проходишь самую толстую часть) нож резко проседает и с характерным стуком режет картошку, доску и палец.
                                                                  +2
                                                                  Эта аналогия войдёт в историю хабра!
                                                                    0
                                                                    Честно говоря, я с трудом представляю себе пилота, который в такой ситуации не среагирует мгновенно и не отдаст штурвал от себя. На самом деле управляющие поверхности реагируют довольно медленно, а движения пилоты совершают достаточно размашистые. Вот примерно как здесь: youtu.be/dAqYvD190s0
                                                                      0
                                                                      режет картошку, доску и палец.

                                                                      Аналогия великолепная, только до сих пор одна мысль гложет: при резке класть картошку на доску — это понятно, а вот зачем ещё и совать под доску палец? Я что, всю жизнь картошку неправильно резал?

                                                                        0
                                                                        Ну а как скользкую мокрую картошку держать? Всей пятернёй!
                                                                  +1
                                                                  Рассуждения диванного теоретика.

                                                                  Разумеется, самолет не при чем. Только индонезийские пилоты вообще не знали о существовании MCAS.
                                                                  Можно подробнее о «знакомом из Delta» и наказании симулятором за ручное управление, или это байка? Куча знакомых летает в Southwest, United и AA, ни разу не слышал о таком.
                                                                  В эфиопии пилоты отключили автоматику и выполнили runaway stabilizer checklist.
                                                                  Где тут про 4 раза, опять байка?
                                                                  Как вообще компания такого уровня могла установить систему, полагающуюся всего на два датчика. Как минимум преступная халатность.
                                                                  Ethiopian Airlines — серьезная авиакомпания с рейсами по всему миру, выпады насчет низкой квалификации — мимо.

                                                                  Possibly contributing factors into the accident:
                                                                  — Corporate Culture within Boeing in designing aircraft
                                                                  — Corporate Culture within FAA in certifying aircraft
                                                                  — Corporate Culture in Ethiopian Airlines, which did not ensure their flight crew were fully aware of the implications of the LionAir Crash and the related EAD as well as Boeing and FAA approved emergency procedures
                                                                  — Less than optimal crew performance, e.g. loss of situational awareness with respect to speed and thrust

                                                                  Самолет и Боинг не виноваты, разумеется.
                                                                    +1
                                                                    Не надо ссориться. И самолёт говно и пилоты обезьяны.
                                                                      0
                                                                      Да ну? Сказали бы им в глаза такое? Пилоты из европейских компаний пишут что пробовали аналогичный сценарий в симуляторе и ничего не смогли сделать. Комментарий Салли.
                                                                      Против Боинга уже подали несколько исков, надеюсь их будет больше. Экономия в угоду безопасности — не то что должны делать лидеры индустрии.
                                                                        0
                                                                        Сказал бы.
                                                                        Потому-что как ещё человека назвать, который 40 раз пытается бороться с самолётом, вместо того-чтобы вырубить электропривод триммера стабилизатора, тумблеры которого стоят на том же месте ещё начиная с бобика 707.
                                                                        И почему-то в Эфиопии один из пилотов (чсх не член экипажа, а просто коллега, которого подбросили на работу) таки догадался, что надо делать.

                                                                        Но самолёт всё равно плохой, так что иски вполне к месту.
                                                                          0
                                                                          Значит, это тоже обезьяны пробовали.
                                                                          Боинг, конечно же, накосячил. Но ничего такого, с чем бы не могли справиться пилоты впринципе.
                                                                          Тут бОльший косяк, КМК, в том, что напрямую никак система не контролирует расхождение показаний датчиков УА. Так же, как на предыдущих моделях.
                                                                          Датчики и раньше ломались, и стабилизаторы и раньше убегали, и процедуры стандартные на эти случаи были, и они же и остались.
                                                                          Другое дело, что добавленный MCAS создал совершенно новую комбинацию нештатных ситуаций.
                                                                          Если без него неисправность датчика УА проявлялась только в рассогласовании скоростей (уже, мягко говоря, идиотизм), выполнялась стандартная процедура, и полёт продолжался. И убегание стабилизатора тоже случалось по разным другим причинам, то тут получилось очень «хитрое» и нехорошее наложение.
                                                                          Неисправность датчика УА, как и раньше, проявилась в рассогласовании показаний скорости, система выдала предупреждение, экипаж занялся чеклистом на эту неисправность. А один из пунктов этого чеклиста — отключить автопилот.
                                                                          А при отключении автопилота и уборке закрылков, включилась эта самая новая MCAS, и начала крутить стабилизатор на пикирование, да ещё и трясти один из штурвалов. От неё (MCAS) просто никто не ожидал такой подлянки, тем более, что в FCOM об этой новой системе ни слова, кроме расшифровки аббревиатуры.
                                                                          Вот всё это одно за другим просто ввело экипаж в опупение, вместе с попытками бороться с автоматикой, и знакопеременными перегрузками — 4 минуты они «колбасились», перетягивая одеяло с MCAS, и НЕ ПОНИМАЯ что на самом деле происходит. Хотя, наверняка, саму по себе неисправность убегания стабилизатора они бы распознали и исправили без проблем. Просто, к тому моменту, как они должны были распознать увод стабилизатора, степень офигения, стресс уже был поднят до критической величины.
                                                                          Вот в этом и есть главная проблема — когда человек перестаёт понимать что делает автоматика и почему это происходит.
                                                                          И Боинг, конечно же, «постарался» для этого.
                                                                          Причины:
                                                                          1. Отсутствие сигнализации рассогласования показаний датчиков УА. (Датчики, впринципе, второстепенные — без них вообще можно летать даже на боинге, указатели в кабине даже опциональные).
                                                                          2. Выдача предупреждения о совершенно другой неисправности, которая была лишь следствием — система рассчитывает поправки к показаниям датчиков скорости, основываясь на показаниях датчиков УА.
                                                                          3. При устранении этой неисправности, неминуемо включается новая, неизвестная пилотам система, которая берёт показания УА с первого попавшегося датчика, нисколько не заботясь о их правдивости, и начинает уже настойчиво вмешиваться в управление стабилизатором.
                                                                          4. А дальше — растерянность экипажа, паника…
                                                                          Если бы не последний пункт, то могли бы лететь столько, сколько понадобилось бы, чтобы понять ситуацию, и вырубить управление стабилизатором. Просто тупо продолжая бороться с MCAS, нажимая кнопки управления стабилизатором на штурвалах.
                                                                            0
                                                                            Это конечно здорово, называть обезьянами погибших людей и профессионалов, пытавшихся воссоздать ситуацию в симуляторе. Экипаж в эфиопии выполнил нужный чеклист и все равно ничего не смог сделать.
                                                                            Такое впечатление что тут каждый второй комментатор или был тест пилотом 737, или как минимум обладатель ATP.
                                                                              –1
                                                                              В предыдущем полёте экипаж без проблем справился с ТОЧНО ТАКОЙ ЖЕ СИТУАЦИЕЙ.
                                                                              Неисправность уже была.
                                                                              Кто там «пробовал на симуляторе всей Европой» я не в курсе.
                                                                              Не надо накручивать лишнего. Хоть это сейчас и принято — закатывать истерики во всех сми по любому поводу, и раздувать из мухи слона.
                                                                                +2
                                                                                «с ТОЧНО ТАКОЙ ЖЕ СИТУАЦИЕЙ. » — там триммер отключили в почти нейтральном положении, корректировка в ручную проблем не составила, тут за 40 секунд MCAS успел открутить триммер до упора, усилие необходимое для вращения ручки триммера рукой в такой ситуации крайне большое, а крутить нужно очень много.
                                                                                  0
                                                                                  А кто позволил загнать стабилизатор в крайнее положение?
                                                                                  Только стресс, паника и неадекватное поведение PF.
                                                                                  Кнопки ручного триммирования на штурвалах работали. Мало того, что работали, так ещё это самое ручное триммирование на 5 секунд отрубает MCAS.
                                                                                  4 минуты вполне удачно боролись с самолётом именно ручным управлением стабилизатором.
                                                                                  И могли бы ещё столько же, и ещё… Пока не додумались бы отключить управление стабилизатором.
                                                                                  Вместо этого, сдались и запаниковали, расцепив в конце концов штурвалы.
                                                                                  Да. Я считаю, что Боинг сильно «помог» экипажу потерять самообладание и управление дурацкой логикой обработки датчиков уа, и дурацкими сигналами. Самолёт сильно мешал экипажу принять правильные решения.
                                                                                  Но факт остаётся фактом — экипаж не справился с тем, с чем справился предыдущий. Т.е., одним из факторов катастрофы был фактор плохой готовности экипажа к этой ситуации.
                                                                                  А с учётом того, что по предыдущей катастрофе было уже много шума и много информации по MCAS, это неподготовленность граничит с халатностью.
                                                                                    0
                                                                                    «это самое ручное триммирование на 5 секунд отрубает MCAS.» — но только я не увидел чтоб оно сбрасывало текущие настройки MCAS, в духе MCAS подвинул на 2 градуса, вы руками возвращаете в нейтральное, MCAS засыпает, но в следующей итерации сдвигает ещё на 2 градуса — тоесть на 4 в сумме, изза чего ситуация становится всё более нестабильной.
                                                                                      0
                                                                                      MCAS двигает не до какого-то положения, а на 2.5° за цикл. И, если пилоты переложили стабилизатор в нейтраль, то следующий цикл MCAS сдвинет его на 2.5°.
                                                                                        +2
                                                                                        Откуда вы взяли «в сумме»?
                                                                                        Если пилот открутил кнопкой в нейтральное положение, то MCAS'у придется снова крутить «с нуля». Причем если пилот в любой момент ткнёт кнопку триммера — автоматика остановится и замрёт на время.
                                                                                        Посмотрите картинку с данными самописца (она трижды в статье приведена: синяя кривая — пилоты, оранжевая — автоматика).

                                                                                        Там же видно, что сперва люди и самолет гоняли стабилизатор туда-сюда вокруг нуля более-менее симметрично, а потом, под конец, человек подустал или потерял концентрацию и MCAS людей перекрутил.
                                                                                          0
                                                                                          Откуда вы взяли «в сумме»?

                                                                                          Я не был уверен ни в своём предположении, ни в вашем варианте описания событий, и если честно по графикам всё ещё не уверен до конца.
                                                                                            0
                                                                                            Тогда посмотрите ещё на график «Pitch trim position».
                                                                                            Он показывает изменения угла установки стабилизатора (как результат управляющих воздействий, зарегистрированных на синем и оранжевом графиках).
                                                                                            Все довольно наглядно.
                                                                                            0
                                                                                            Если про малайзию — то там КВС полез в доки, а рулить начал 2П.
                                                                                    +2
                                                                                    Обезьяна — это тот, кто выполняет заученную последовательность действий без понимания её смысла.
                                                                                    Пилота всё-таки в самолёт сажают чтобы он головой думал в нестандартной ситуации, исполнение пунктов чеклиста и запрограммировать можно.
                                                                                      +1
                                                                                      У них было около трех минут с начала развития ситуации до удара о землю. Еще раз — шеф-пилоты европейских авиакомпаний воспроизводили ситуацию в симуляторе и не могли вывести самолет. Пилоты Ethiopian распознали ситуацию и выполнили необходимый чеклист, после чего пытались воспользоваться ручным триммером, который не смогли пересилить из-за слишком высокой скорости.
                                                                                      Есть подозрение что опыт и навыки этих людей были на несколько порядков выше чем у кучки умников с гиктаймса, рассуждающих на темы в которых не разбираются.
                                                                                        +1
                                                                                        Еще раз — шеф-пилоты европейских авиакомпаний воспроизводили ситуацию в симуляторе и не могли вывести самолет.

                                                                                        То есть они подождали, пока система открутит стабилизатор до точки невозврата и попробовали исправить ситуацию? Если я правильно понял, она делает это медленно, и они должны были распознать некорректную работу автоматики раньше.

                                                                                        denokan у себя в ЖЖ писал:
                                                                                        Сие мне неведомо. Как неведомо и то, почему пилот, управлявший самолетом, этого не сделал, почему не почувствовал.

                                                                                        Почти 10 секунд на то, чтобы отклонить стабилизатор на 2.5 градуса! 10 секунд на то, чтобы ощутить появление нагрузки на штурвале и снять ее, повернув ситуацию вспять! А если ситуация продолжает повторяться — то даже не зная о существовании системы MCAS, в памяти пилотов должен появиться чеклист RUNAWAY STABILIZER — самопроизвольная перекладка стабилизатора. После выполнения которого электромотор отключается.
                                                                                          +1
                                                                                          Небольшое видео на тему на сколько легко вручную, колесом, оттримировать стабилизатор при высокой скорости.
                                                                                            0
                                                                                            Небольшое видео на тему на сколько легко вручную, колесом, оттримировать стабилизатор при высокой скорости.

                                                                                            Инструкцию нужно читать внимательнее. Требуется со штурвала ТРИММЕРОМ вернуть стаб на место. И только ПОСЛЕ этого отключать привод.
                                                                                              +1
                                                                                              Убегание стабилизатора не обязательно связано с MCAS (собственно, герой видео — вроде бы 737NG у которого MCAS вообще нет). Очевидно, что не всегда в такой ситуации возможно стриммировать самолет кнопочками.

                                                                                              Парни в видосе распознали проблему и выполняют действия по памяти.

                                                                                              Вообще, канал этот очень достойный (посмотрел как минимум про «полет в гору» и про отказ обоих двигателей) и, что круто, с подробными разъяснениями.
                                                                                                0
                                                                                                Убегание стабилизатора не обязательно связано с MCAS (собственно,

                                                                                                И? Но мы то говорим именно про катастрофы. При чем, именно про те, в которых отличилась MCAS.
                                                                                                Да, в самом чек-листе нет про сперва отриммировать, потом отключать. Но это есть в письме от боинга, которое разослано по ВСЕМ операторам сразу же после индонезийской катастрофы. Эфиопские пилоты не могли не читать это письмо.

                                                                                                Очевидно, что не всегда в такой ситуации возможно стриммировать самолет кнопочками.

                                                                                                Очевидно. Очевидно, что чек-листы не всесильны. И не в состоянии предотвратить все мыслимые и немыслимые катастрофы. Беда в том, что индонезийской и эфиопской катастроф могло и не быть. У пилотов были возможности парировать отказы техники.
                                                                                                  0
                                                                                                  И? Но мы то говорим именно про катастрофы. При чем, именно про те, в которых отличилась MCAS.

                                                                                                  Не совсем.
                                                                                                  В этой ветке обсуждения мы говорим про ссылку от пользователя elmm на видео про то, насколько легко вручную, колесом, оттримировать стабилизатор при высокой скорости.

                                                                                                  На мой взгляд, видео весьма поучительное. И да, помимо прочего, оно наглядно демонстрирует почему хорошо бы оттриммировать стаб кнопками, прежде чем отключать привод.
                                                                                                    0
                                                                                                    В том же видео сказано что есть два способа разгрузить стабилизатор:
                                                                                                    1. Снизить скорость (в том числе, я так подозреваю, можно выпустить закрылки)
                                                                                                    2. «Качание» самолета
                                                                                                      0
                                                                                                      в том числе, я так подозреваю, можно выпустить закрылки
                                                                                                      Не факт, есть лимит скорости для выпуска закрылков. Если скорость выше, то можно их повредить.
                                                                                                        0
                                                                                                        Я бы подождал окончательного доклада с выводами, а то так можно долго ломать копья, не зная всех нюансов.
                                                                                                        Мы не знаем читали ли они письмо боинга или нет, если не читали, то это по своей вине или организационные ошибки в компании. И многие другие нюансы которые остаётся только додумывать.
                                                                                                          0
                                                                                                          Из графика видно что выключили. Так что скорей всего читали.
                                                                                            0
                                                                                            Тем не менее в течении этих трёх минут, до последней автоматической перекладки стабилизатора — полёт был вполне стабилен и управляем. Пусть и со штурвалом до упора.
                                                                                              –1
                                                                                              У них было около трех минут с начала развития ситуации до удара о землю.

                                                                                              3 минуты в самолете — это считайте вечность. Это не пара секунд, когда точно ничего не исправить.

                                                                                              Еще раз — шеф-пилоты европейских авиакомпаний воспроизводили ситуацию в симуляторе и не могли вывести самолет.

                                                                                              А Денис Окань воспроизводил и смог вывести. Шеф-пилоты европейских авиакомпаний — тоже не умехи? Или просто ученый изнасиловал журналиста? И речь шла о чем-то другом?

                                                                                              Пилоты Ethiopian распознали ситуацию и

                                                                                              Распознали они ее преступно поздно. 3 цикла гуляния стабилизатора они провели в поразительном спокойствии.

                                                                                              и выполнили необходимый чеклист,

                                                                                              и выполнили его неправильно и не полностью. Т.е. не выполнили.
                                                                                              По чек-листу (точнее, по СПЕЦ уведомлению Боинга, которое было доведено до пилотов): СПЕРВА триммируем самолет, ПОСЛЕ — отключаем привод.

                                                                                              после чего пытались воспользоваться ручным триммером,

                                                                                              Это две вялые попытки вы называете «пытались»?
                                                                                              Диалог из расшифровки:
                                                                                              — вручную управляется?
                                                                                              — ща попробую… нет вроде.
                                                                                              — точно нет?
                                                                                              — ща еще попробую… точно нет.

                                                                                              Вы ЭТО называете «воспользоваться»? При том, что там вдвоем вцепиться нужно было в колесо и крутить его со всей дури.

                                                                                              который не смогли пересилить из-за слишком высокой скорости.

                                                                                              С чего вы взяли эту глупость? Про «пересилить не могли» нет ни слова в предварительном отчете. В отчете есть «я попробовал — не работает».

                                                                                              Есть подозрение что опыт и навыки этих людей были на несколько порядков выше чем у кучки умников с гиктаймса, рассуждающих на темы в которых не разбираются.

                                                                                              Есть подозрение, что опыт и навыки этих людей на несколько порядков ниже, чем у профессиональных пилотов, на основании мнения которых и строят свое мнение кучка умников с гиктаймса.

                                                                                              Боинг — признал свою вину. Теперь дело за авиакомпаниями. Именно авиакомпания должна гарантировать, что за штурвалом самолета — опытный спец.

                                                                                              Такие добродетели как вы, могут добиться ситуации, когда боинг вздрюкнут, но аварийность от этого не уменьшится, потому что правильных выводов не было сделано. Еще раз: боинг признала косяк. И еще с октября работает над его устранением. Теперь дело за авиакомпаниями. Безопасность обеспечивается длинной цепью звеньев. КАЖДОЕ из которых важно.
                                                                                                0
                                                                                                Или просто ученый изнасиловал журналиста?
                                                                                                Не знаю, кто тут учёный, кто журналист, но, если сравнить сказки, который вы тут пишите…
                                                                                                А Денис Окань воспроизводил и смог вывести.
                                                                                                … с тем, что Денис Окань пишет сам...
                                                                                                *что интересно, в QRH, в чеклисте Stablizer Trim Inoperative — «отказ системы управлением перекладкой стабилизатора» Боинг пишет, что «эффективности руля высоты достаточно, чтобы выполнить безопасную посадку самолета независимо от положения стабилизатора»:

                                                                                                Ну-ну. Не знаю, не знаю. На тренажере, при стабилизаторе, отклоненном полностью на пикирование, вытянуть «самолет» не получилось ни у меня, ни у других моих коллег, которые делились со мной этим опытом.
                                                                                                … то наблюдается некое отличие в трактовках. Обратите внимание на выделенные строки в мануале от Боинга и последнее предложения Оканя…
                                                                                                  0
                                                                                                  Обратите внимание на выделенные строки в мануале от Боинга и последнее предложения Оканя…

                                                                                                  Так речь была про положение стаба на пикирование. А в инструкции от Боинга после индонезийской катастрофы этот момент учли. И пишут, что СПЕРВА открутите стаб со штурвала, после этого отключайте привод.
                                                                                                  Правильные действия соответственно отрабатывалась и получилось вывести самолет из пикирования.
                                                                                                  0
                                                                                                  Похоже опять отвечают пилоты-испытатели. 3 минуты в такой ситуации — ни разу не вечность. Про пересилить — вы бы знали имя представление о работе триммера.
                                                                                                  И напоследок:
                                                                                                  On Apr 27th 2019 it became known, that four independent whistleblowers, current and former Boeing employees, had called the FAA hotline for whistleblowers regarding aviation safety concerns on Apr 5th 2019. The concerns reported were wiring damage to the AoA related wiring as result of foreign object damage as well as concerns with the TRIM CUTOUT switches. The FAA believes these reports may open completely new investigative angles into the causes of the two crashes in Indonesia and Ethiopia.
                                                                                                    0
                                                                                                    3 минуты в такой ситуации — ни разу не вечность.

                                                                                                    В таком случае, таким пилотам не место в кабине. Жесткий отбор пилотов проводится не просто ради отсева. А как раз на такие вот неприятные, но не смертельные случаи. И как раз для того, чтобы они не стали смертельными.

                                                                                                    Про пересилить — вы бы знали имя представление о работе триммера.

                                                                                                    Даже здесь в комментариях есть видос, про то, как это работает. Ничего сверхъестественного. Более того, ну прочитайте уже письмо боинга. Оно в открытом доступе. У них не было нужды вручную пересиливать колесо.

                                                                                                    On Apr 27th 2019 it became known, that four independent whistleblowers, current and former Boeing employees, had called the FAA hotline for whistleblowers regarding aviation safety concerns on Apr 5th 2019.

                                                                                                    Очередная журналистская утка? В предварительном отчете ничего нет об этом.
                                                                                              0
                                                                                              Эфиопы не выполнили чеклист в полной мере. Они не отключили автомат тяги. Такое впечатление, что они просто забыли о том, что самолёт идёт на полной тяге.
                                                                                              0
                                                                                              > А при отключении автопилота и уборке закрылков, включилась эта самая новая MCAS, и начала крутить стабилизатор на пикирование, да ещё и трясти один из штурвалов.

                                                                                              Тряской штурвала занимается не MCAS, а другая система просто из-за превышения показателей AoA.
                                                                                                0
                                                                                                Ну вот и прикиньте поток бессмысленной на первый взгляд информации.
                                                                                                Вначале система ругается на непонятные ей расхождения показаний скорости, после отключения автопилота, появляется тряска штурвала и одновременно начинает крутить стабилизатор.
                                                                                                Так, как будто самолёт на грани сваливания. Веры показаниям скорости нет (началось всё с ругани на скорость).
                                                                                                Вот из всего этого потока бессмыслицы нужно вычленить первопричину, не зная ничего о MCAS, и одновременно пытаться сохранить параметры полёта.
                                                                                                ИМХО, весьма не простая ситуация, ставшая таковой из-за отсутствия информации по разнице показаний в датчиках УА, и влияния этого датчика на всю систему управления — от показаний саорости, до шейкера штурвала и перекладки стабилизатора.
                                                                                                  0
                                                                                                  Верить показаниям скорости в такой ситуации не надо. Чеклист IAS Disagree предусматривает отключение автоматики и установку тяги и тангажа на определённые значения, при которых самолёт гарантированно не падает (это действия по памяти). После этого уже спокойно сравниваются показания приборов слева и справа, и, по возможности, определяется корректная скорость. Если её получить не удалось, то в руководстве приведены таблицы режимов двигателя для каждого этапа полёта.
                                                                                                    0
                                                                                                    Совершенно верно. Но как выставить правильный тангаж, если MCAS всеми силами пытается этому помешать? Внимание пилота направлено на то чтобы выдерживать параметры полета (тягу и тангаж), чтобы не допустить сваливания. А тут еще добавляется борьба со стабилизатором.
                                                                                                      0
                                                                                                      Так кроме PF (Pilot Flying) в кабине есть ещё и PM (Pilot Monitoring).
                                                                                                      Ну и, собственно, тангаж выставлять штурвалом. Если стабилизатор убегает, а нагрузка растёт, то корректировать триммером. Если корректировать приходится постоянно — вспомнить о Runaway Stabilizer.
                                                                                                        +1
                                                                                                        Всё это понятно. Но для этого нужно понимать что на самом деле происходит с самолётом.
                                                                                                        Потому, что если уже сваливание (а самолёт в левое кресло ОРЁТ об этом и настойчиво опускает нос), то на такой высоте уже даже паниковать поздно.
                                                                                                        Т.е., чтобы всё сделать в этой ситуации так, как Вы написали, нужно чётко видеть картину полёта, что это «не я дурак», а автоматика взбесилась, а самолёт по прежнему летит и управляем, скорость достаточна, высоту держит, колёса внизу…
                                                                                                        Уверен, что если бы в этот момент PF -ом был бы правый, а PM — ом левый, то шансов было бы больше.
                                                                                                        Проблема в том, что при включении в контур управления, пилот получал кучу бессмысленной информации, причём, такой, на которую требуется немедленно реагировать совсем не так, как необходимо в этом конкретном случае.
                                                                                                          0
                                                                                                          В чеклисте «IAS Disagree»/«Airspeed Unreliable» есть примечания о том, что могут ошибочно срабатывать тряска штурвала, предупреждения о превышении скорости и о слишком низкой скорости.
                                                                                                          Автоматической перекладки стабилизатора при приближении к критическому углу атаки на 737 до введения MCAS не было, так что не знающие об этой функции пилоты должны были отработать «Runaway Stabilizer».
                                                                                                          Что касается картины полёта, то мне понравилось высказывание Ершова: «Пилот должен лететь впереди самолёта». Он должен понимать, как ведёт себя самолёт, как могут сказаться на нём действия самого пилота и изменение воздушной обстановки.
                                                                                                          Но для этого у пилота должен быть хороший налёт на ручном управлении, чего не хватает многим современным «операторам самолётов».
                                                                                                            0
                                                                                                            Всё верно Ершов писал… Для времён и уровня автоматизации Ту 154.
                                                                                                            Про «лететь вперед самолёта» — и сейчас верно. Вот только, сегодня эть сложнее. Потому, что «вручную» самолётами уже практически не управляют.
                                                                                                            Даже в режиме «ручного управления», между пилотом и самолётом всёравно остаётся сложная система управления, в рабочем состоянии облегчающая управление, создающая вполне конкретную модель управления для пилота, весьма и весьма отличную от «прямого управления».
                                                                                                            Т.е., пилоту сегодня, чтобы постоянно «лететь впереди самолёта», нужно понимать как работает автоматика, её различные режимы, когда, что, почему и как делает автоматика, помогающая пилоту.
                                                                                                            А ещё нужно знать и уметь определять возможные и невозможные отказы, понимать как при том или ином отказе поведёт себя самолёт, как изменится модель его поведения, реакции на управляющие воздействия…
                                                                                                            Т.е., чтобы всегда «лететь впереди», нужно быть УМНЕЕ «умного самолёта».
                                                                                                            Любое добавление мозгов автоматике требует добавления мозгов тому, кто этой автоматикой управляет.
                                                                                                            А пока авиация развивается другим путём. Автоматизация всё больше стремится «избавиться от человеческого фактора», политика многих АК то же самое — невозможно делать пилота умнее с той же скоростью, с какой развиваются «мозги самолёта».
                                                                                                            Причём, не одного пилота, а массово.
                                                                                                            Поэтому, и «вводные» — «не выключайте автоматику без необходимости». «Автопилот надёжнее». Но, будучи «оператором, которому запрещено вмешиваться», невозможно всё время «лететь впереди». Невозможно всем пилотам знать систему управления на уровне конструктора этой системы. Да и конструкторы зачастую у разных систем разные, и для полного разбора ситуации, и выработки рекомендаций и процедур для нештатных ситуаций, даже конструкторам требуются порой многие часы.
                                                                                                            А для пилота часов нет — есть секунды — максимум минуты, а информация об устройстве и поведении новой системы оказалась по мнению Боинга «лишней для пилотов и АК».
                                                                                                            Вот отсюда и выросли ноги у этой и многих других катастроф, когда пилот не справляется с нештатным поведением автоматики.
                                                                                                      +2
                                                                                                      Угу. Одно «но» — гарантированно не падает он при этом только если ещё не в сваливании.
                                                                                                      А в процессе исполнения этого чеклиста по IAS Disagree, самолёт выдаёт пилоту новые вводные, говорящие что если ещё не в сваливании, то уже на грани сваливания, и делает всё, чтобы опустить нос. Про MCAS пилот вообще не в курсе.
                                                                                                      Полезной информации от самолёта ноль, зато куча бесполезной и вредной.
                                                                                                      Пилот только-только входит в контур управления, а самолёт делает всё, чтобы разрушить картину полёта.
                                                                                                        0
                                                                                                        Угу. Одно «но» — гарантированно не падает он при этом только если ещё не в сваливании.

                                                                                                        Автоматика-то может не распознать эту ситуацию. Но пилот?
                                                                                                        1) обороты стабильны
                                                                                                        2) тангаж стабилен

                                                                                                        С ХРЕНА ЛИ МЫ НА ГРАНИ СВАЛИВАНИЯ? Тем более горит IAS disagree, что как бы намекает, что проблема не в скорости, а в датчике.

                                                                                                        и делает всё, чтобы опустить нос

                                                                                                        flaps one — и MCAS замолкает, поскольку не выполнены условия ее работы. В Индонезии про это не могли знать. В Эфиопии про это не могли не знать.

                                                                                                        Про MCAS пилот вообще не в курсе.

                                                                                                        Что он тогда делает в кабине? Про MCAS все пилоты MAXа в курсе после индонезийской катастрофы.

                                                                                                        Полезной информации от самолёта ноль, зато куча бесполезной и вредной.

                                                                                                        Такому пилоту не место в кабине самолета.
                                                                                                          0
                                                                                                          Такому пилоту не место в кабине самолета.

                                                                                                          Вы видимо профессиональный пилот, имеете обширный опыт принятия решений в аварийных ситуациях. Судя по категоричности этого и других сообщений — нет.

                                                                                                          А вот мнение настоящих профессиональных пилотов:
                                                                                                          Boeing’s ideas of
                                                                                                          • a system that works silently (so pilots don’t realize it is operating)
                                                                                                          • a system that works if just one sensor suggests a high angle of attack
                                                                                                          • a system that has the authority to drive the airplane into a full nose-down trim situation
                                                                                                          • a Band-Aid on the above in the form of a “disagree” warning light

                                                                                                          are all terrible ones, as far as I can tell, and unconventional within the industry.
                                                                                                            0
                                                                                                            Вы видимо профессиональный пилот,

                                                                                                            При чем тут я?

                                                                                                            А вот мнение настоящих профессиональных пилотов:

                                                                                                            Ну так речь не о том, что боинг белые и пушистые. Речь о том, что пилоты могли избежать катастрофы, но не избежали. Вам нравится летать с дилетантами. Мне — нет.
                                                                                                –1
                                                                                                Против Боинга уже подали несколько исков, надеюсь их будет больше. Экономия в угоду безопасности — не то что должны делать лидеры индустрии.

                                                                                                А почему не против авиакомпаний?

                                                                                              0
                                                                                              Только индонезийские пилоты вообще не знали о существовании MCAS.

                                                                                              Знали бы, если бы внимательнее читали FCOM. Да, там система только упоминается. Но MCAS не привносит ничего нового в технику пилотирования самолета. В предпоследнем рейсе индонезийского борта, MCAS проявила себя во всей красе. Но тем не менее, экипаж спокойно призмелил самолет. Более того, нашел на просторах энторнетов, среди пилотов MAXа инфу, что за 2 года эксплуатации по всему миру отказ датчика происходил около 60 раз. И ничего, не падали.

                                                                                              В эфиопии пилоты отключили автоматику и выполнили runaway stabilizer checklist.

                                                                                              В Эфиопии пилоты слишком поздно отключили автоматику. И есть подозрение, что сделали это из положения стаба на пикирование. А инструкция, уточненная после индонезийской катастрофы, требует чтобы СПЕРВА триммером стаб отматывался в нормальное положение и только ПОСЛЕ этого отключать электроприводы.
                                                                                              В предварительном отчете написано, что после stab trim cutout, пилоты не могли управлять стабом вручную. Никто не знает, что это означает. Но, учитывая, что колеса соединены троссовой проводкой со стабом, у них тупо не хватило терпения на отмотку стаба руками. Т.е. там нужно порядка 40 оборотов сделать, чтобы стаб открутить в нужное положение, а они, как я понял, попробовали крутануть — усилия не снимаются, ну и плюнули на это дело.

                                                                                              Т.е. пилоты все же накосячили в выполнении инструкций.

                                                                                              Где тут про 4 раза, опять байка?

                                                                                              Из расшифровки видно, что MCAS срабатывал 4 раза. Из них 3 раза электропривод был включен и экипаж боролся с MCAS, после 3 раза отключили приводы, MCAS ПОДАЛА команду на перекладку, но ничего не произошло, поскольку привод был отключен.
                                                                                              Проблема в том, что слишком поздно отключили привод стаба.

                                                                                              Как вообще компания такого уровня могла установить систему, полагающуюся всего на два датчика. Как минимум преступная халатность.

                                                                                              Например, space shuttle тоже полагается всего на два датчика. Тоже преступная халатность? Как я понимаю, 2 датчика на большинстве самолетов. И ничего.
                                                                                              То, что датчиков 2 — видимо есть какие-то причины. И это не экономия.

                                                                                              Ethiopian Airlines — серьезная авиакомпания с рейсами по всему миру, выпады насчет низкой квалификации — мимо.

                                                                                              С чего это мимо? С тем же успехом можно апеллировать к кому угодно: Боинг — большая и серьезная компания. Выпады насчет низкой квалификации инженеров, накосячивших в MCAS — мимо.

                                                                                              Но мы имеем упрямые факты: пилоты накосячили в стрессовой ситуации. До авиакомпании была доведена памятка после индонезийской катастрофы. Все симптомы там были перечислены. В том числе и правильные действия по парированию ситуации. В том числе уточнение, что СПЕРВА триммируем самолет, только ПОСЛЕ этого — отключаем приводы стаба.

                                                                                              Размер и крутость компании не мешают косячить. Боинг — накосячила в конструкции самолета, ethiopian airlines — накосячила в подготовке экипажа.

                                                                                              Самолет и Боинг не виноваты, разумеется.

                                                                                              Я не очень понимаю стремления свалить ВСЮ вину без остатка исключительно на боинг. Вы уверены, что если комиссия (например, под давлением общественности) примет решение, что пилоты не виноваты, а виноват только боинг, что в этом случае летать будет безопаснее? Вот я — уверен, что с безопасностью полетов будет хуже. Выгораживание пилотов = оправдание плохой квалификации.

                                                                                              Цель расследования — не наказать виновных. Цель — предотвратить. И если виновными будут признаны И боинг, И авиакомпания — это поспособствует усилению безопасности полетов. В двух этих катастрофах возможность спасти самолеты была. КВАЛИФИКАЦИЯ не позволила выжить.
                                                                                                0
                                                                                                Справедливости ради, инструкция не требует, а рекомендует.
                                                                                                image
                                                                                                Тут Окань анализирует FCOM и FCTM, в том числе и по этому поводу:
                                                                                                737MAX, MCAS и рекомендации Боинга. Все ли идеально?
                                                                                                  0
                                                                                                  Справедливости ради, инструкция не требует, а рекомендует.

                                                                                                  Отчего бы не прислушаться к рекомендациям?
                                                                                                  Да, это косяк Боинга. В инструкции стоит «Note», а надо бы «Warning».
                                                                                              0
                                                                                              MCAS берёт худшее из двух значение как раз по соображениям безопасности (сваливание ещё опаснее пикирования). Поскольку худшее давал именно левый — то и получилось, что работала по данным от левого.

                                                                                              В переводе статьи упоминается, что такая логика планируется. А значит, в контексте разбора происшествий на нее не следует опираться.
                                                                                              Сообщается, что модернизированное ПО MCAS будет учитывать сигналы с обоих датчиков AoA.


                                                                                                0
                                                                                                Виноват, конечно, самолёт.
                                                                                                Что-то я не вижу связи между этой бессмыслицей, пусть и повторенной 20 раз, и оригинальным комментарием. Вы пытаетесь тут убедить кого-то в чём-то? Так прямо и говорите: индонезийские пилоты и граунд стаф — макаки, которые недавно слезли с индонезийских пальм и вообще так им и надо.

                                                                                                Такое впечатление создаётся, что тут каждый второй налетал 6000 часов на 737. Особенно это видно по этой логической выкладке:
                                                                                                Про необходимость трёх датчиков: Боинг такое предлагает, но компании, что индонезийская, что эфиопская — отказались. Сэкономили. И, насчёт «только левого» — неверно. MCAS берёт худшее из двух значение как раз по соображениям безопасности (сваливание ещё опаснее пикирования). Поскольку худшее давал именно левый — то и получилось, что работала по данным от левого.
                                                                                                Вот объясните глупому мне эту очень хитрую логическую выкладку: как добавление третьего датчика поможет системе, которая всё равно выберет неисправные показания из соображений безопасности?
                                                                                                  –1
                                                                                                  как добавление третьего датчика поможет системе, которая всё равно выберет неисправные показания из соображений безопасности?

                                                                                                  Про систему с мажоритарным голосованием слышали? Для него нужно три.

                                                                                                    +1

                                                                                                    Может быть и нужно, что дальше? Я не спрашивал о фактической стороне вопроса, а опирался на два утверждения с целью развенчать манеру выдавать домыслы за факты. Я прекрасно понимаю, что ни вы ни он не имеете никакого понятия о том,


                                                                                                    • Используется ли третий датчик MCAS вообще?
                                                                                                    • Если используется — то каким образом организована защита от недостоверных замерах?

                                                                                                    Но тот факт, что некоторые страны запретили пассажирские полёты этой модели без всяких оговорок, как бы, намекает.

                                                                                                      0
                                                                                                      Проблема в том, что у самолёта всего два борта, куда можно эти датчики впиндюрить в относительно равных условиях. Третьей симметричной точки нет. Да и по идее не слишком уж эти датчики важны, чтобы их трёхкратно резервировать, и обрабатывать кучу новых «вводных» при всех возможных комбинациях их отказов.
                                                                                                      Новые варианты отказов, создадут ещё больше вариантов их распознавания, ошибок и прочих неприятностей — излишнее усложнение иногда хуже, чем отказ.
                                                                                                        0

                                                                                                        Вы вообще понимаете что значит добавить датчик? Ничего такого боинг не предлагал, он предлагал выводить индикацию от того что есть на экран.
                                                                                                        С этой "моделью" боинг хорошо постарался подробнее нужно читать не здесь а хотя бы на авиафорум сходить там и пруфов побольше.

                                                                                                        0
                                                                                                        Там все прекрасно, сразу видно специалиста. Между тем существуют другие мнения.

                                                                                                        Boeing’s ideas of
                                                                                                        a system that works silently (so pilots don’t realize it is operating)
                                                                                                        a system that works if just one sensor suggests a high angle of attack
                                                                                                        a system that has the authority to drive the airplane into a full nose-down trim situation
                                                                                                        a Band-Aid on the above in the form of a “disagree” warning light
                                                                                                        are all terrible ones, as far as I can tell, and unconventional within the industry.
                                                                                                          0
                                                                                                          2 geisha:
                                                                                                          как добавление третьего датчика поможет системе, которая всё равно выберет неисправные показания из соображений безопасности?
                                                                                                          Это вопрос не ко мне, а к тем, кто возмущается отсутствием третьего датчика :-) Я же считаю, что множить датчики на едином физическом принципе — толку мало. Сделать датчики именно угла атаки на других принципах можно, кстати. Но будет дороже и весьма сложно.

                                                                                                          2 karavan_750:
                                                                                                          MCAS берёт худшее из двух значение как раз по соображениям безопасности (сваливание ещё опаснее пикирования). Поскольку худшее давал именно левый — то и получилось, что работала по данным от левого.
                                                                                                          В переводе статьи упоминается, что такая логика планируется. А значит, в контексте разбора происшествий на нее не следует опираться.
                                                                                                          Виноват, я не точно написал: MCAS работает от того же датчика, что и активная FCC.

                                                                                                          2 Rsa97:
                                                                                                          или «юнит» по вашему)
                                                                                                          Это не по-моему, а по-боинговски. Скан с соответствующим текстом вроде уже приводил.

                                                                                                          2 dobrobelko, ksbes:
                                                                                                          1. Runaway stabilizer procedure диктует необходимость отключить автоматику и НЕ включать её до конца полёта. Ни один из экипажей этого не выполнил.
                                                                                                          2. Комиссия FAA на днях указала, что обучение пилотов тому, что такое MCAS, не требует переучивания на тренажерах. Можете прочесть об этом здесь.
                                                                                                          MCAS ground training must address system description, functionality, associated failure conditions, and flight crew alerting.
                                                                                                          И — всё. Ознакомиться и изучить.
                                                                                                          Добавлю: вот перевод из Aviation week
                                                                                                          Обновленный вариант минимального курса FAA для переобучения пилотов для полетов на самолетах Boeing 737MAX включает изучение системы улучшения характеристик маневрирования по тангажу (MCAS, maneuvering characteristics augmentation system), но занятия на тренажерах не понадобятся, говорится в проекте нового отчета.

                                                                                                          Больше обсуждать, извините, нечего. Выхожу.
                                                                                                            0
                                                                                                            Это не по-моему, а по-боинговски. Скан с соответствующим текстом вроде уже приводил.
                                                                                                            А ещё по-боинговски не градусы, а «дигрииз», не стабилизатор, а «стабилайзер», не колесо, а «виил»…
                                                                                                            Хотя стоп, это же не боинговский, а английский язык. и unit с него переводится как «единица».
                                                                                                              0
                                                                                                              Налицо троллинг чистой воды, да? У меня:
                                                                                                              А работа автоматики триммерной и mcas описывается именно в «юнитах», шагах
                                                                                                              Поставлено в кавычки и дано вполне русское название. Кстати, более адекватное, чем «единица», в данном контексте.
                                                                                                                0
                                                                                                                Не адекватное, поскольку какие-либо «шаги» есть только у MCAS, да и то весьма условные, его можно прервать в любой момент. Ни автопилот, ни STS, ни перекладка с кнопок на штурвале никаких фиксированных шагов не используют. Боинг даёт информацию в единицах (делениях) шкалы, но там есть и значения, кратные 1/4.
                                                                                                                  0
                                                                                                                  Вы не правы. Триммирование стабилизатора для компенсации работы рулём высоты описывается совершенно в тех же терминах. Если руль высоты ушёл далеко (дальше 2.5°, встречали и 1.5°, возможно, на разных модификациях) из-за работы штурвалом, стабилизатор триммируется на один шаг (соответствующий тем самым 2.5° отклонения руля высоты). Ессно, с соответствующим гистерезисом и прочей отстройкой от дребезга.
                                                                                                                  Прервать — можно в любой момент, но в любом случае алгоритм отрабатывает по шагам такой размерности. Изменяется (в зависимости, например, от скорости полёта) только скорость/число Маха, но не величина перекладки за один цикл работы алгоритма.
                                                                                                                    0
                                                                                                                    Тогда ссылку дайте на документацию Боинга. Или пункт в AFM.
                                                                                                                    Заодно объясните, как пилоту выставить нецелые значения из этой таблицы, если он может двигать триммер только «по шагам».
                                                                                                                    image
                                                                                                              0
                                                                                                              Сделать датчики именно угла атаки на других принципах можно, кстати. Но будет дороже и весьма сложно.

                                                                                                              Попадалось, что на легкомоторной авиации такой датчик представляет собой то-ли глухую трубку на крыле, то-ли глухой колодец в крыле. При опасных углах набегающий поток заставляет её свистеть, что слышно лётчику.
                                                                                                              Добавляем MEMS-микрофон и провод, voila.
                                                                                                                0
                                                                                                                voila.

                                                                                                                Что произойдет с таким «датчиком», если эта трубка замерзнет? В чем повышение надежности, по сравнению с флюгаркой?
                                                                                                                  0
                                                                                                                  В «другом физическом принципе». Обогревать — параллельно с ПВД.
                                                                                                                  Предлагаете финансирование НИОКР? ;-)
                                                                                                                    0
                                                                                                                    Не, вопрос в том, что эта ваша гениальная идея не сработает. Если уж что-то замерзнет, то и ваш датчик замерзнет тоже.
                                                                                                                  0
                                                                                                                  этот способ вряд ли подойдёт для скоростных самолётов :-) Но вообще придумать можно много вариантов. Я уже как-то писал, можно даже группировать, разбить на:
                                                                                                                  — непосредственно реагирующие на угол атаки, вроде традиционного флюгера или неподвижного крылышка с тензометрическим измерением усилия на нём. Причём было бы интересно сделать нормальной работу поверхности в срыве. Тогда не будет проблемы потери адекватности при развитии срыва. Похожую концепцию (active stall), но для иных целей, используют, например, в ветрогенераторах. Для вящего качества работы можно поставить гребёнку, где каждое крылышко установлено со своим углом атаки.

                                                                                                                  — вычисляемые: геодезическое измерение. Точные приёмники GPS в хвосте и носу дадут положение фюзеляжа и скорости горизонтальную и вертикальную. Вместе с приборной скоростью это даст посчитать и угол атаки. Звучит сложно, но, как ни странно, это может оказаться самым дешёвым методом.
                                                                                                                  Вычисляемый воздушный — несколько трубок Пито с вычислением угла атаки по разнице их показаний.
                                                                                                                  Много, что можно придумать, в общем. Но это всё полумеры, правильным решением будет поставить по всей конструкции 100500 тензодатчиков и акселерометров — и завести их все в мозги управления. Возможности управления, все вообще, выйдут на качественно новый, недоступный сейчас, уровень.
                                                                                                                  Вот только человек в такой системе становится совсем не нужен.
                                                                                                                    0
                                                                                                                    Геодезические не годятся, они не учитывают направление воздушного потока.
                                                                                                                    +1
                                                                                                                    При опасных углах набегающий поток заставляет её свистеть, что слышно лётчику.
                                                                                                                    Такой датчик называется stall horn. В сущности, это классическая дудка (никакой электроники, в общем случае, не нужно). Входное отверстие откалибровано так, чтобы при приближении к опасным углам атаки летчик слышал отвратительное дудение:
                                                                                                                    image
                                                                                                                    В сети много забавных фоток про мужиков, прикладывающихся губами к передней кромке крыла. Это не проявление противоестественной любви к родненькой Cessna, а как раз натурный тест этого самого stall horn (справедливости ради, бывают специальные резиновые груши чтоб это дело потестить, не прикладываясь ртом к самолету).

                                                                                                                    Другой распростратенный датчик (т. н. stall warning switch) представляет собой торчащий из крыла под определеным углом металлический язычок, связанный с электрическим переключателем:
                                                                                                                    image
                                                                                                                    Переключатель сохраняет свое положение пока поток набегает под приемлемыми углами.
                                                                                                                    А если угол атаки выходит за рамки допустимого, то поток, воздействуя на пластинку, перебрасывает переключатель и в кабине орёт ревун.
                                                                                                                0
                                                                                                                Один мой знакомый в Delta попал на месяц тренажёров (с отстранением от полётов), попытавшись объяснить, что он взял управление, чтобы не потерять навык.

                                                                                                                И здесь авиакомпанию вполне можно понять: давайте не забывать, что задача пилота — не поддерживать свои навыки и не упражняться в пилотировании самолёта, задача пилота — доставить людей из точки А в точку Б. Да, в этом мало юношеской романтики и грёз о том, как я буду управлять самолётом, а много прагматизма и точного расчёта. Но, простите меня, поддерживать свой скилл нужно на тренажёрах, а не когда у тебя за спиной 150 человек, которых дома ждут.
                                                                                                                  +3
                                                                                                                  То есть по вашему лучше, чтобы при сбое автоматики за штурвалом оказался пилот, который «на руках» последний раз летал полгода назад, сдавая нормативы на тренажёре?
                                                                                                                  Тут палка то о двух концах. С одной стороны, исправная автоматика ведёт самолёт практически от взлёта и до точки принятия решения на посадку, не ошибаясь и не отвлекаясь. С другой стороны, если автоматика таки отказывает, то лучше, чтобы за штурвалом был пилот, а не «оператор самолёта», а для этого пилоту нужно летать.
                                                                                                                  Мнение: Автоматика и бюрократия убивают летные навыки
                                                                                                                  Сферический пилот в вакууме. О фигуре идеального пилота
                                                                                                                    0
                                                                                                                    Да, я читал его мнение, но это всё-таки мнение пилота, которому хочется порулить самолётом (ну не идут в эту профессию люди просто ради того, чтобы в кабине посидеть).

                                                                                                                    Я не могу вспомнить катастроф за последнее время, когда её причиной явилось то, что пилот как-то не так или куда-то не туда рулил. Обычно причиной катастрофы оказывается неадекватная реакция пилота на какой-либо отказ или неправильную работу автоматики. А этот навык всё равно прокачивается только на тренажёрах — можно всю жизнь летать и не встретиться с каким-то конкретным сбоем.
                                                                                                                      +2
                                                                                                                      Даже если пилоты распознали, например, IAS Disagree, то что они должны сделать?
                                                                                                                      1. Выключить автопилот.
                                                                                                                      2. Выключить автомат тяги.
                                                                                                                      3. Выключить флайтдиректоры.
                                                                                                                      И тут начинается самое интересное. Теперь тангаж, крен, высоту, курс и скорость пилоту надо выдерживать самостоятельно. Даже подсказок — тех самых флайтдиректоров — на экранах больше нет. И, если у пилота нет навыков ручного пилотирования, у него начинает расти стресс. А тут ещё и этот чёртов самолёт стремится опустить нос. Через десять минут вспомнили, отключили моторы триммеров. Ой, а крутить колесо вручную в полёте-то тяжело, оказывается.
                                                                                                                      А был бы опыт ручного пилотирования, глядишь, и стресса бы поменьше было, и силы в руках бы прибавилось, и не пришлось бы экспериментировать с повторным включением электропривода…
                                                                                                                        0
                                                                                                                        С одной стороны — да, было бы меньше стресса в ситуациях нештатной работы электроники и действия были бы увереннее и точнее. С другой — повышается вероятность придумать себе приключения на ровном месте, где автоматика справилась бы безо всяких проблем. Потому что, как ни крути, а в условиях, когда все системы работают штатно, и датчики выдают верные показания, самолёт сам справится гораздо лучше, чем кожаный мешок.

                                                                                                                        Как поддерживать лётные навыки, не увеличивая при этом вероятность аварийной ситуации — это вопрос.
                                                                                                                          0
                                                                                                                          Пусть уж лучше «приключение на ровном месте» — это в конце-концов опыт и угробить современный лайнер «на ровном месте» довольно сложно (никто же не предлагает выключать всю автоматику) — чем пилот который не готов лететь «на руках» в сложной ситуации.

                                                                                                                          А ситуации могут быть вполне себе ординарными, например, в аэропорту неисправна/отключена ILS — добро пожаловать на визуальный заход без флайт-директоров; пришлось уйти на запасной аэродром, на котором нет условий для автоматической посадки; сбой компьютера и т.д.

                                                                                                                          Тот же Окань приводит примеры, когда флайт-директоры дают неверную информацию (из-за неверного режима работы FMC), а пилот просто летит по ним, потому что «так научили».
                                                                                                                            0
                                                                                                                            С другой — повышается вероятность придумать себе приключения на ровном месте, где автоматика справилась бы безо всяких проблем.

                                                                                                                            Не должен в кабине находиться человек, для которого ручное пилотирование — вероятность придумать себе приключения на ровном месте. Не забывайте, что речь идет о ПРОФЕССИОНАЛАХ. Т.е. они уже имеют налет в малой авиации (где нет такого понятия, как автопилот), имеют стаж на тренажерах, отлетали обсервером и отлетали стажером.
                                                                                                                            Если пройдя через все это они способны придумать себе приключения на ровном месте, то вопросы уже к авиакомпаниям и регуляторам.
                                                                                                                          0
                                                                                                                          Обычно причиной катастрофы оказывается неадекватная реакция пилота на какой-либо отказ или неправильную работу автоматики.

                                                                                                                          Так в том и дело. А почему пилот не всегда может парировать отказ или неправильную работу автоматики? Не потому ли что у него нет тех самых навыков ручного полета? Следовательно мысль о том что нужно отключить автоматику вызывает у пилота неуверенность. Отсюда нежелание и неготовностью отключать эту самую автоматику, даже если она ведет себя неадекватно.

                                                                                                                          Мало того, как пилот может контролировать работу автоматики, если он не имеет своего внутреннего понимания что сейчас нормально, а что нет? А как он может иметь понимание о нормальности/ненормальности, если у него нет опыта этой самой нормальности/ненормальности полета в ручном режиме, нет «ощущения самолета»? Как пилот может обнаружить сбой, если ему не с чем сравнивать действия автоматики?
                                                                                                                            +1
                                                                                                                            Наоборот. Как раз большинство катастроф на сегодня — ошибка пилота. А шансы ошибиться растут вместе со стрессом.
                                                                                                                            Все варианты отказов и поломок не только не отработать ни на каком тренажёре, но и даже придумать и описать невозможно.
                                                                                                                            А пилот, для которого отключение автоматики и полёт на руках уже нештатная ситуация и стресс, в случае дополнительных отказов ошибётся с гораздо большей вероятностью.
                                                                                                                            Так что, если в нормальной, спокойной обстановке, пилот берёт управление, то шансов «придумать себе приключение» практически ноль. А вот с случае отказа, пилот, потерявший навыки полёта на руках, гораздо хуже справится даже с отработанной на тренажёре ситуацией.
                                                                                                                            Само по себе вовремя включиться в контур управления «по требованию» — это уже непростая задача, а при этом ещё и анализировать какую-то новую, непонятную ситуацию — ещё сложнее.
                                                                                                                              +2
                                                                                                                              Все возможные ситуации на тренажере не отработаешь… И главное, их рабочее время тоже конечное, так что поиграть в штатный полет не получится. При этом, у нас не штаты, где на магистраль физически не попадешь без большого налета на мелочи, а родные осины, где после обучения (после которого реально надо переучивать адекватно летать, ибо наши учебные заведения — это очень грустно) и 150 часах на даймонде с большой долей вероятности будешь устраиваться или на гуманный но простой 320, или летучий, гениально сделанный, но требующий квалификации в сложных условиях 737 (и это еще хорошо что не середина-конец нулевых, когда летающей партой мог стать 154, который ой как ошибки не любит).
                                                                                                                              Поддерживать скилл — простите, какой вы к черту пилот, если скоординированный поворот сделать не можете, или не понимаете что на авиагоризонте индицируется. А так — по МЕЛу лететь без автопилота на руках тоже нормальная ситуация, нудно, но вполне безопасно.
                                                                                                                              Игры с безопасностью — это когда мудаки в Куйбышеве на посадку на рейсовой машине со шторкой пошли, вот это уже п… ц. А выключить автопилот не на трехста футах, а на трех тысячах при видимости миллион на миллион более чем безопасно.
                                                                                                                                0
                                                                                                                                летучий, гениально сделанный, но требующий квалификации в сложных условиях 737
                                                                                                                                В чем заключается эта гениальность по сравнению с эйрбасом? И в каком значении используется «летучий»?
                                                                                                                                  0
                                                                                                                                  При этом, у нас не штаты, где на магистраль физически не попадешь без большого налета на мелочи,

                                                                                                                                  Чего-чего? Вы пробовали стать пилотом? У нас может и требований гораздо меньше, но конъюнктура такова, что опытные пилоты с трудом находят работу. Без большого налета не реально пробиться в большую авиацию.
                                                                                                                                    0
                                                                                                                                    Не надо путать «большой налёт оператором самолёта» и «большой налёт на мелочи вручную»
                                                                                                                                      0
                                                                                                                                      Согласен. «Планер Гимли» спасло именно то что КВС имел большой опыт полета на планере. Посадить самолет аналогичным образом на тренажере никому не удалось.
                                                                                                                                        +1
                                                                                                                                        Да ладно, никто на тренажере не может посадить полностью работоспособный самолет без двигателей на твердую поверхность?
                                                                                                                                        Не верю.
                                                                                                                                          0
                                                                                                                                          Меня там не было, поэтому однозначно утверждать не могу. Но во-первых, не полностью работоспособный — это же Airbus, fly-by-wire, двигатели не работают, основные генераторы не работают, основные приборы не работают, электричество только от аварийного генератора, работающего от «крыльчатки». И чем ниже скорость — тем меньше её эффективность. А это означает, в том числе, низкое давление в гидросистемах, то есть «непослушность» органов управления.
                                                                                                                                          Во-вторых, кроме «посадить» нужно еще и «дотянуть», причем зайти на полосу и сесть с первой попытки. А это означает что нужно попасть в достаточно узкий диапазон скоростей и высот, чтобы оказаться на глиссаде, не слишком высоко и не слишком низко.
                                                                                                                                            +1
                                                                                                                                            Всё так, но «планер Гимли» — это всё-таки Boeing 767-233, а не Airbus…
                                                                                                                                              0
                                                                                                                                              Ваша правда, перепутал. Тем не менее, статья в википедии совершенно определенно утверждает об отказе основных приборов и о проблемах с управлением из-за низкого давления в гидросистеме. Поэтому считать самолет «полностью работоспособным, только без двигателей» я бы все равно не стал.
                                                                                                                                              0
                                                                                                                                              Да, Гимли это 767, как уже сказали, основные приборы у них работали, для этого резервный генератор и был. У них не было только возможности уйти на второй круг, ну и полоса была, мягко говоря, не особо подготовлена. Да, передняя стойка не зафиксировалась. Но высоты было много, качество 767 около 12, если мне не изменяет память, времени на подготовку к посадке было довольно много. Я не говорю, что это раз плюнуть, это нештатная, сложная ситуация, но никогда не поверю, что никто на тренажере её не повторит. Посадки без двигателя в авиации не дикая редкость, а в планеризме вообще норма. И ничего, не бьются.