Катастрофа самолета Boeing 737 Max 8 в Индонезии 29.10.2018 - обсуждение

[denokan]

Вольный перевод. Система MCAS (после апгрейта ПО имеется ввиду) ни при каких обстоятельствах не сможет задать команду на перекладку стабилизатору которая не может быть остановлена отклонением штурвальной колонки на себя.

Неверный перевод.

 

[atcstager]

Неверный перевод.

Вот поэтому и спросил на русском, как понимается

 

[denokan]

Я так понимаю, проще выложить, чем ссылки давать.

Мнение и схема

Список отличий от NG

Ну а письмо Боинга про логику работы MCAS и способы отключения я приводил выше, позвольте не повторяться. Спасибо.

 

[serg2044]

denokan,
принято, против схем не поспоришь.

 

[stranger267]

Именно так. MCAS не переложит стабилизатор на угол больший, чем сможет компенсировать пилот штурвалом. Каким боком это относится к теме диспута?

Все ссылки я привёл выше, не поленитесь глянуть.

так я так понимаю это ТЕПЕРЬ когда они стали ограничивать МКАС.

 

[Appr]

Всем доброго времени суток. Из отчета : "For the normal flight envelope, Boeing identified and classified two hazards associated with “uncommanded MCAS” activation as “major”. The major classification used by Boeing indicated a remote probability of this hazard occurring and that it could result in reduced control capability, reduced system redundancy, or increased crew workload...This assessment of Major failure effect did not require Boeing to more rigorously analyze the failure condition in the safety analysis, using Failure Modes and Effects Analysis (FMEA) and Fault Tree Analysis (FTA), as these are only required for Hazardous or Catastrophic failure conditions...The FHA for uncommanded MCAS activation was classified as Major therefore, the FMEA and FTA were not required...FTA would have also been able to show if the system architecture meets the numerical criteria set by the FHA".
Из моего сообщения еще 12 марта сего года:

Next question is about MCAS assessment according to ARP4761 “Guidelines and Methods for Conducting the Safety Assessment Process on Civil Airborne Systems and Equipment”. Functional hazard assessment (FHA) identifies and classifies the failure conditions and their severity rationale associated with aircraft level functions. Qualitative FHA considers single or combination of system failures that affect an aircraft function and becomes the starting point for generation and allocation of safety requirements. Common cause analysis provides tools to verify independence between functions, systems, items and identifies individual failure modes or external events which can lead to catastrophic or hazardous/severe or major failure conditions.
Let’s assume failure condition - erroneous autopilot command with failure of override or disengagement capability. The effect of failure condition on aircraft/crew in the case of failure to recognize the problem will be unsafe airplane flight path due to inability of crew to regain control resulting in loss of airplane. Classification – catastrophic failure condition. Actually, having zero knowledge about MCAS and its operation of stabilizer the crew was unable to recognize the problem and to cope with it. We know that MCAS is not mentioned in Flight Crew Operating Manual (FCOM). On the other hand, let’s assume that Speed Trim System is running for stall prevention. It is discussed in FCOM and crew must recognize erroneous control behaviour and coordinate autopilot disconnect with necessary autopilot function override forces to maintain desired flight path (runaway stabilizer check-list). The effect of failure condition on aircraft/crew will be loss of normal control surface capability due to erroneous operation of autopilot. But classification is major failure condition.

Кто-то меня убеждал, что это не существенно. Оказывается, существенно. Но вот реакция боинга после повторного анализа: "In a 2019 presentation to the investigation team, Boeing indicated that the MCAS hazard classification of “major” for uncommanded MCAS function (including up to the new authority limits) in the Normal flight envelope" отдает сарказмом.

 

[Pokemon]

“In addition, MCAS will now only turn on if both AoA sensors agree, will only activate once in response to erroneous AOA, and will always be subject to a maximum limit that can be overridden with the control column”.

О чем с самого начала и толдычили. Не должны «защиты» уволить рулевые поверхности так, что возникающие моменты не могут быть компенсированы с помощью отклонения поста управления. Ну молодцы что хоть сейчас до этого дошли.

 

[Azvar]

At 23:30:48 UTC, the Captain asked the FO to take over control of the aircraft.
At 23:30:54, the FO replied “I have control”.
At 23:31:53 UTC, MCAS activated until the DFDR stopped recording

Получается окончательно самолет угробил 2й пилот. Кто-то тут вроде высказывал эту версию.

At 23:31:36 UTC, the FO exclaimed the aircraft was flying down which then the Captain responded: “it’s ok”.

Напоминает сцену из "Каламбур"-а

The engineer in Denpasar provided to the investigation some photos of the SMYD unit during an installation test as evidence of a satisfactory installation test result. The investigation confirmed that the SMYD photos were not of accident aircraft and considered that the photos were not valid evidence.

Нормально техники работают.

 

[denokan]

так я так понимаю это ТЕПЕРЬ когда они стали ограничивать МКАС.

Да.

 

[Avex]

О чем и речь целый год... Эти катастрофы куда больше важных проблем вскрыли, чем просто кривой дизайн.

До этого МАХа летали в мире с этими важными проблемами. Но Боинг выпустил новый самолет, который оказался менее безопасным. Хотя все должно быть наоборот. А надо было такой кровью вскрывать эти важные проблемы? Зачем тестировать систему БП на прочность? Откуда у вас такая странная логика? Не проще ли выпускать безопасные самолеты которые не летят в пике по отказу одного датчика, чем немедленно решать поистине глобальные, в масштабе всей планеты, вопросы подготовки летного состава? Да в миллион раз проще. И безопаснее для пассажиров.

И добавлю - то ли еще будет в финальном отчете по Эфиопии, где вообще ничего не делали из необходимого.

Вы всегда уже год опускаете один момент. Им вообще ничего не надо было бы делать, если бы МАХ был нормально спроектирован, если бы он прошел сертификацию не хитрыми обходными путями с помощью чиновников ФАА путем написания отписок что если наша байда откажет, то пусть экипаж поработает головой и ручками, если бы просто было нормальное резервирование и автоматическое отключение МКАС. Как и СВС. И также забываете сказать что экипажу сильно бы помогло в ситуации если бы была сигнализация отказа не в виде платной опции за 90 т. долларов, если бы была кнопка отключения МКАС, если бы работа МКАС была описана в эксплуатационной документации, то есть были бы выполнены нормы сертификации. А этого ничего не было сделано. Но у вас только один всегда виновный. Экипаж. А Боинг, как жена Цезаря, вне подозрений.
В отчете указаны основные причины катастрофы. Они технические. Недостатки в конструкции. А не действия экипажа. Что я вам ранее и говорил.

 

[Virus_KNet]

Вот читаю и диву даюсь. Половина форума на полном серьёзе считает, что боинг ДОЛЖЕН был сообщить, описать, проинформировать, выдать на FMA, повторить голосом для непонятливых, а еслм всё равно не поеяли и не сумели - самостоятельно долететь до АП, приземлится и выгнать из кабины отобрав пилотское... Косяки в построении систем были, есть и будут. Если, уж извините, экипаж "недавно с пальмы слез" (судя по их действиям описанным в отчете) - то ему ничего не поможет. Даже особо умный Airbus бессилен против отсутствия умений или знаний. По себе знаю)) Как пассажиру мне бы очень хотелось, чтобы уровень подготовки пилотов был как можно выше. И хрен с ней, с техникой. Она ломалась, ломается и будет ломатся. А с усложнением еще и глючить начнет. Поэтому мне, как паксу, абсолютно всё равно, сколько раз за 1000 летных часов у крафта что-то происходит, мне нужно, чтобы те кто им управляет могли справится. И с тем что есть в QRH, и с тем, что потом туда допишут. Поэтому мне как-то очень странно читать высказывания адекватных и уважаемых тут людей, которые клянут мкас, бобинг и фаа. Да и бог с ними. Там, в небе, в воздухе, есть самолет и экипаж. Нет конструктора, которому можно набить морду, за очень плохое решение, нет прокурора перед которым придётся отвечать, нет много чего, есть только два пилота и одна железка с крыльями. И чтобы иметь возможность набить чего-то конструктору и предстать перед прокурором её нужно безопасно приземлить. И, ИМХО, экипаж обязан уметь это делать, в любом случае, пока самолет находится в воздухе одним куском. Извините за эмоции.

 

[TIMER]

Вот читаю и диву даюсь. Половина форума на полном серьёзе считает, что боинг ДОЛЖЕН был сообщить, описать, проинформировать, выдать на FMA, повторить голосом для непонятливых, а еслм всё равно не поеяли и не сумели - самостоятельно долететь до АП, приземлится и выгнать из кабины отобрав пилотское... Косяки в построении систем были, есть и будут. Если, уж извините, экипаж "недавно с пальмы слез" (судя по их действиям описанным в отчете) - то ему ничего не поможет. Даже особо умный Airbus бессилен против отсутствия умений или знаний. По себе знаю)) Как пассажиру мне бы очень хотелось, чтобы уровень подготовки пилотов был как можно выше. И хрен с ней, с техникой. Она ломалась, ломается и будет ломатся. А с усложнением еще и глючить начнет. Поэтому мне, как паксу, абсолютно всё равно, сколько раз за 1000 летных часов у крафта что-то происходит, мне нужно, чтобы те кто им управляет могли справится. И с тем что есть в QRH, и с тем, что потом туда допишут. Поэтому мне как-то очень странно читать высказывания адекватных и уважаемых тут людей, которые клянут мкас, бобинг и фаа. Да и бог с ними. Там, в небе, в воздухе, есть самолет и экипаж. Нет конструктора, которому можно набить морду, за очень плохое решение, нет прокурора перед которым придётся отвечать, нет много чего, есть только два пилота и одна железка с крыльями. И чтобы иметь возможность набить чего-то конструктору и предстать перед прокурором её нужно безопасно приземлить. И, ИМХО, экипаж обязан уметь это делать, в любом случае, пока самолет находится в воздухе одним куском. Извините за эмоции.

Так полагаю, люди эти из числа патриотов, рвущих рубаху на груди в благородном порыве " АТУ ЕГОшников" за поруганную честь российской , да и советской авиации, так и не выбившейся в мировые лидеры авиастроения. Понять, простить...
#ay#

 

[denokan]

Финальный отчет и комментарии.

Flight Crew Workload
Before the flaps were retracted and MCAS activated, the workload for the flight crew was high but should have been manageable.

До того, как закрылки были убраны и /вследствие этого при наличии ложного сигнала об угле атаки и выключенном автопилоте/ включился в работу MCAS, рабочая нагрузка на экипаж была высокой, но в принципе управляемой.

Об этом (с акцентом на катастрофу в Эфиопии, т.к. она наиболее показательная) я писал в статье "Могли ли справиться" и рассказывал с картинками в видео с аналогичным названием.

В ситуации, именуемой Airspeed Unreliable (недостоверные показания приборной скорости), пилотам Боинг 737 предписывается незамедлительно выполнить действия по памяти - выключить автопилот, автомат тяги, директоры, установить соответствующие конфигурации самолета тангаж и обороты двигателей. Надо запомнить всего несколько цифр - 10 градусов и 80%, если закрылки не убраны и 4 градуса и 75%, если убраны.

Я подчеркну - Боинг предписывает эти действия выполнять незамедлительно. Airspeed Unreliable - это ситуация, тренируемая на тренажерах довольно-таки часто. Тем не менее...

И в катастрофе в Индонезии, и в катастрофе в Эфиопии, эти действия выполнены не были. Экипажи продолжали набор высоты, убирали закрылки и получали вдовесок к уже имеющейся нагрузке срабатывание системы MCAS, уводящей стабилизатор на пикирование.

Чеклист Airspeed Unreliable, после того, как экипаж обеспечил безопасное пилотирование (установив тангаж и тягу), содержит пункт о выявлении достоверного прибора, после нахождения которого (если таковой имеется. В наших случаях - PFD второго пилота, ВП) жизнь налаживается и, собственно, продолжая выполнять боинговские рекомендации, полет не представляет особых трудностей.

Поправлюсь - не должен представлять особых трудностей для тренированного экипажа.

After the IAS DISAGREE had been identified, the Captain instructed the FO to perform memory items of Airspeed Unreliable, and the FO did not perform them.

КВС, после того, как табло IAS DISAGREE (разница в показаниях приборной скорости) было отмечено, дал команду ВП на выполнение действий по памяти по чеклисту Airspeed Unreliable. ВП действия не выполнил.

The Captain repeated the command about two minutes after without mentioning the NNC title and the FO was confused of the memory items to be performed.

Примерно через две минуты КВС повторил команду, без упоминания названия чеклиста. ВП не понял, какие действия надо выполнять.

About 1 minute later, the FO asked to the Captain of the memory item to be performed to which the Captain responded “Airspeed Unreliable”. The FO acknowledged and started to locate the checklist. About 1 minute later, the FO found the checklist and started to read the checklist.

Еще через минуту ВП спросил, какие действия по памяти надо выполнять, на что КВС ответил: "Airspeed Unreliable". ВП подтвердил и... начал поиски чекслиста. Примерно через еще одну минуту он его нашел и начал читать.

Повторюсь, этот чеклист содержит действия по памяти, которые должен выполнить пилотирующий пилот. Для этого пилот не должен быть TRI/TRE. Это всего лишь установить тангаж, тягу и, стриммировав самолет как следует, определить исправный прибор, после чего принять решение о дальнейших действиях.

И в Индонезии, и в Эфиопии пилоты этот чеклист не сделали.

The Airspeed Unreliable procedure is one of the checklists which are listed on the Quick Action Index. The Quick Action Index is available on the cover page of the QRH and the Airspeed Unreliable is on the second line of the list.

Airspeed Unreliable - один из т.н. чеклистов, относящихся к "Quick Action" - то есть, выполнение которых не подлежит затягиванию после распознания ситуации. Список названий таких чеклистов с указанием ссылки на страницу, его содержащую - на титульной странице QRH. Airspeed Unreliable - вторая строчка сверху

The inability for the FO to perform memory items and locate the checklist in the QRH in a timely manner indicated that the FO was not familiar with the NNC. This condition was reappearance of misidentifying NNC which showed on the FO’s training records.

Неспособность ВП своевременно найти чеклист в QRH свидетельствует то, что ВП не был знаком с чеклистом. Этот факт стал повторением проблем с поиском чеклистов, который был обнаружен в прошлых тренировках ВП.

Выполни действия правильно и своевременно, то есть, выполни данный чеклист, определи исправный прибор, прими решение вернуться на аэродром вылета и, как следствие, не убирай закрылки (смысла нет) - ситуация не дошла бы до срабатывания MCAS.

Насчет решения о возвращении на аэродром вылета. Предыдущий экипаж (который сумел MCAS победить) принял решение лететь до аэропорта назначения, хотя весь полет у него работал механизм тряски левого штурвала. Боинг не дает конкретного указания выполнить посадку на ближайшем аэродроме при выполнении любого из чеклистов, которые имели отношение к данной ситуации. Тем не менее, расследователи сошлись во мнении, что продолжать полет до аэропорта назначения в такой ситуации было крайне необычным решением.

The decision to continue a flight with stick shaker continually activated is not common. The Boeing records showed that reported events related to stick shaker activation during or shortly after takeoff on Boeing 737 aircraft had occurred 27 times between 2001 and 2018. Of those cases, the flight crew elected to return in 18 flights, three flights diverted to the nearest airport, five flights continued to their destination (including the LNI043 flight) and one flight unknown. The LNI043 flight crew decision to continue with stick shaker active is not common in comparison to previous events of erroneous stick shaker.
When combined with the runaway stabilizer situation recognized by the flight crew, the decision to continue was highly unusual.

После того, как MCAS начал работать, нагрузка значительно увеличилась. И если в период пилотирования самолета капитаном MCAS успешно парировалась, то решение передать управление второму пилоту оказалось фатальным.

During the repetitive MCAS activations, the Captain managed to control the aircraft altitude when the pitch trim was maintained above 5 units by commanding the ANU pitch trim to counter the MCAS trim down.

Во время повторяющихся циклов включения MCAS командир был способен контролировать высоту полета, поддерживая положение стабилизатора выше 5 единиц (по лимбу на шкале положения), триммируя самолет (ANU - airplane nose up) - на кабрирование /с помощью кнопки триммирования на штурвале/.

The FO was unable to control the aircraft as the repetitive MCAS activations were not countered by adequate trim up input.

ВП был неспособен контролировать полет, т.к. повторяющиеся активации MCAS им не были парированы адекватно посредством триммирования.

The common flight crew reaction to a heavy control column is by providing adequate trim.

В своем видео я говорил о том, что триммировать самолет - то есть, снимать возникающие усилия, препятствующие выдерживать установившийся профиль полета (например, горизонтальный полет), это "в крови пилотов". Примерно то же написано в выделенной выше фразе.

This suggests that while the Captain’s training or experience enabled him to recognize the need for sustained nose up trim, the FO’s training and experience did not.

Это говорит о том, что в то время, как подготовка или опыт КВС помогла ему распознать необходимость применения продолжительного триммирования на кабрирование, подготовка и опыт ВП - не помогли.

This condition was also in agreement with the FO’s training records that showed several comments indicating that the FO had difficulty in aircraft handling.

Что соответствует замечаниям, выявленным в прошлых тренировках второго пилота, которые содержат несколько записей о том, что у ВП были трудности с пилотированием самолета.

----

Любая катастрофа - это цепь событий. Кривая логика MCAS, использующая данные от одного датчика угла атаки, ошибки в софте, которые привели к тому, что имеющаяся опция индикации "AOA DISAGREE" - "Разница в углах атаки" - на этом самолете не была активирована, неправильная установка датчика после замены и невыполнение действий по тестированию системы после замены датчика, незапись уцелевшим экипажем Lion Ai замечаний после полета, и т.д. и т.п. - все это вместе навалилось комом на экипаж, который имел определенные проблемы - в подготовке, в состоянии здоровья (простуда у КВС), ранний вылет, стресс - и не смог оказаться последним рубежом защиты.

Что касается случая в Эфиопии, где пилоты обязаны были знать, что такое MCAS, и как проявляется отказ датчика угла атаки - увы, там не было вообще действий, направленных на спасение самолета. Хоть некоторые СМИ поспешили заявить, что "пилоты делали все, что могли".

Повторю свою позицию, озвученную уже не раз - не снимая ответственности с производителей и авиационных властей, нельзя закрывать глаза на очевидное. Пилоты - последний рубеж защиты от дураков. Данная ситуация была управляемой и решаемой всего лишь при условии следования экипажем инструкциям и рекомендациям Боинга в ситуации, именуемой "Airspeed Unreliable". До ситуации, в которой надо было бороться с MCAS, надо было еще "долететь". И даже при активации MCAS, шансов на спасение было очень много, лишь пилотируй пилоты самолет так, как это "заложено в крови" (снимай нагрузки, триммируй самолет!) и выполни, опять же, стандартный чеклист "Runaway Stabilizer" - в первых двух случаях, и бюллетень Боинга - во втором.

Подготовке пилотов должно уделяться серьезнейшее внимание. Если в течение многих лет пилот демонстрирует прохождение тренировок и проверок на грани - может быть, не стоит тянуть такого пилота?

С другой стороны, получив вот такую вот неприглядную современную правду о том, что пилоты не всегда оказываются способными применить стандартные процедуры, которые отрабатываются на тренажерах, производителям надо бы задуматься о том, что в 21 веке надо минимизировать шансы на проявление "героизм" среднестатистическому экипажу, привыкшему к тому, что на современном высокоавтоматизированном самолете всё, как правило, работает хорошо. И надо бы глядеть чуть дальше собственного носа при проектировании систем, способных воздействовать на такой важный элемент, как управление самолетом.

 

[eton]

Повторю свою позицию, озвученную уже не раз - не снимая ответственности с производителей и авиационных властей, нельзя закрывать глаза на очевидное. Пилоты - последний рубеж защиты от дураков. Данная ситуация была управляемой и решаемой всего лишь при условии следования экипажем инструкциям и рекомендациям Боинга в ситуации, именуемой "Airspeed Unreliable".

Есть такой интересный момент - MCAS сама является защитой от дураков, ведь пилот выполняющий все инструкции и рекомендации не создаст условий для ее активации - т.е. она ему не нужна и строчка вида "при пилотировании не допускать угол тангажа более [...] в диапазоне скоростей [...]" или например "Пилотировать плавно" способна полностью заменить MCAS. И вся суть резонанса в том что в данном случае защита от дураков оказалась дурнее самих дураков - т.е. ее действие оказалось более опасным чем отсутствие каких либо действий.
И если система рассчитана на противодействие настолько тупым пилотам что они не способны правильно выдержать и самостоятельно исправить тангаж (т.е. сами условия активации уже задают определенную планку уровня), то рассчитывать что такой пилот правильно выполнит действия по гораздо более редкой в его практике ситуации - отказу системы после ее активации, было ммм... не дальновидно.
И получается парадокс - подготовленному и выполняющему пилоту MCAS и так не нужна, а неподготовленного при своем отказе запутает до последствий ... вплоть до катастрофических. Делать как для дураков а спрашивать потом как с умных... ну не знаю на сколько это хороший план.
А вообще все как всегда сводится к классическому «Это не самолет плохой, это вы на нем летать не умеете!». В данном случае конечно не весь самолет а одна конкретная система, при проектировании которой никаких защит от дураков-проектировщиков явно не применялось. Ладно резервирование - не хотели они лишние флюгарки лепить - их дело, но не реализовать автоматическое отключение при недостоверных показаниях с соответствующим предупреждением - это тоже определенный уровень, это тоже надо суметь.
В общем принцип - хочешь сделать систему для дурака - думай как дурак не прокатил.

 

[atcstager]

Логика срабатывания mcas(не сама mcas) стала последней каплей. На NG в притирочку к краю, но прокатывало, тут понадобилось чуть больше.
В общем получается картина, что нет запаса прочности во многих местах на планете.
Знакомый симмер рассказывал, что пилот приглашал на тренак, кажется 320, и утверждал, что симмер не сможет нормально зайти и сесть без директоров, мол и для пилотов это СЛОЖНО(это при том, что lnav на nd наглядная, как в игре. Не по стрелкам приводов же). Но речь не о симмерах, а об лютой привязке к крестику всемогущему или птичке.

Что-то в этом не так

 

[Pokemon]

Логика срабатывания mcas(не сама mcas) стала последней каплей. На NG в притирочку к краю, но прокатывало, тут понадобилось чуть больше.
В общем получается картина, что нет запаса прочности во многих местах на планете.
Знакомый симмер рассказывал, что пилот приглашал на тренак, кажется 320, и утверждал, что симмер не сможет нормально зайти и сесть без директоров, мол и для пилотов это СЛОЖНО(это при том, что lnav на nd наглядная, как в игре. Не по стрелкам приводов же). Но речь не о симмерах, а об лютой привязке к крестику всемогущему или птичке.

Что-то в этом не так

У многих пилотов напрочь причинно-следственные связи отсутствуют. Симмер вполне себе может весь полет выполнить безопасно.
FFS - full flight SIMULATOR.

 

[Отто Кац]

denokan, можно вопрос?
Есть ли возможность на 737 после выполнения "airspeed unreliable" и, соответственно, выявления отказавшей "стороны" ее отключить (соответствующий ADR)? И что после этого будет с самолетом?

P.S. Это именно вопрос без подвоха. "А" такие манипуляции рекомендует, интересно как "В"?
P. P. S. Я не некоторые, спорить не стану!

 

[atcstager]

Вроде на 737 нет кнопочек выключения ADR (на А есть)

 

[denokan]

denokan, можно вопрос?
Есть ли возможность на 737 после выполнения "airspeed unreliable" и, соответственно, выявления отказавшей "стороны" ее отключить (соответствующий ADR)? И что после этого будет с самолетом?

P.S. Это именно вопрос без подвоха. "А" такие манипуляции рекомендует, интересно как "В"?
P. P. S. Я не некоторые, спорить не стану!

Что такое ADR? Если вы имеете в виду индикацию на неисправном - то нет, нельзя.

После выявления исправного прибора, можно включить директорную систему и автопилот на исправной стороне (если А/П подключится, что в данной ситуации не факт)

 

[Нехочуха]

Да.

ТЕПЕРЬ сколько градусов?