Наука и техника

Думаю, нечего говорить о том, сколько вопросов посыпалось на меня после катастрофы Боинг 737MAX8 в Эфиопии с просьбой поделиться "экспертным мнением", "почему самолет упал" и "как жить дальше"? Давайте оговоримся сразу - нет никакой официальной информации, за которую можно зацепиться, чтобы предметно высказывать версии.

Тем не менее, внешне эта катастрофа выглядит очень похожей на то, что случилось в Индонезии полгода назад - самолет разбился вскоре после взлета и, как и в первом случае, вошел в землю (там было море) целым, но с большой вертикальной и поступательной скоростью, о чем говорит отсутствие крупных обломков на месте происшествия.

Кроме этого, пилот аварийного самолета докладывал о проблемах, требующих возвращения на аэродром вылета. Официальные источники не сообщают, о чем конкретно доложил пилот. Тем не менее, в Сети появилась аудиозапись, в которой неопознанный человек, ссылаясь на слова своего друга, якобы пилота эфиопского Боинга 777, стоявшего на предварительном старте и слышавшего эфир, что пилот доложил о недостоверных показаниях скорости и о невозможности управления самолета.

Напомню, что после катастрофы индонезийского самолета выяснилось, что на 737MAX8/9 в целях улучшения характеристик лайнера при ручном пилотировании на больших углах атаки была внедрена система MCAS. Она вступает в работу только в ручном режиме управления и только при убранной механизации крыла. Если датчик угла атаки определил, что самолет находится в опасной зоне, MCAS начинает медленно (0.25 град/сек) перекладывать стабилизатор на пикирование - то есть, создавать тенденцию к опусканию носа самолета, уводя его от опасных углов атаки. Диапазон перекладки стабилизатора ограничен 2.5 градусами. При этом, если пилот во время работы MCAS вдруг решит стриммировать самолет (снять нагрузки на штурвале, использовав перекладку стабилизатора через кнопку управления, расположенную на каждом штурвале), то MCAS прекращает свою работу на 5 секунд. Однако, если после этого условия для срабатывания MCAS сохраняются, она снова начинает работать.

2.5 градуса - это не так много. Но вот 5 - это уже до хрена. В общем, нельзя затягивать.

Появление этой системы на MAX8/9 было обусловлено влиянием новых, больших по размеру, двигателей на аэродинамические характеристики самолета на углах атаки, близких к углам сваливания.



Естественной реакций публики, в том числе и пилотов, было: "What's a fuck? Было бы неплохо знать о такой системе!"

Тем не менее, описание MCAS в FCOM 737MAX... отсутствовало. Хотя аббревиатура в списке оных была.

Известно, что в индонезийском случае причиной срабатывания MCAS стала неправильная работа датчика углов атаки, расположенного с левой стороны самолета. Выглядит весьма удивительным, но Боинг не стал внедрять "проверку на вшивость", поэтому дефектный датчик, сдуру посылавший в систему данные о запредельных углах атаки, был принят MCAS на веру, и она, повинуясь коду, заложенному в нее эффективными программистами, нежно и печально начала перекладывать стабилизатор на пикирование, как только появились прочие условия для ее работы - ручное пилотирование и убранные закрылки, создав реальные проблемы и без того взвинченному экипажу. Который, замечу, выполнял очень ранний вылет и, разумеется, не успел нормально выспаться.

Замечу, что до фатального полета индонезийского борта аналогичная ситуация случилась на том же самом самолете, но с другим экипажем. Те справились, применив стандартные действия по памяти, которые предписывается знать наизусть и выполнять в случае непроизвольной перекладки стабилизатора.

Герои? Частично. После успешной посадки пилоты почему-то сделали записи в бортовом журнале: "разногласие в показаниях высоты" и "горит табло FEEL DIFF PRESS" (разница давлений в системе имитации усилий на штурвале). О тряске штурвала, о разнице в показаниях скорости, о своей отчаянной борьбе с перекладывающимся стабилизатором они не написали.

Естественно, это не помогло инженерам найти глобальную причину происшествия. Они выполнили тесты, которые предписывается выполнить в тех случаях, о которых записали пилоты и с чистой совестью выпустили дефектный самолет. Итог мы знаем.

Прошло полгода и в очень схожих /внешне/ обстоятельствах гибнет второй точно такой же самолет. Тенденция?

Очень похоже на то. Тем не менее, позвольте мне не строить гипотезы о том, что все же случилось в небе Эфиопии - повторюсь, официальной информации мало, а все подозрения на то, что события развивались аналогично, строятся на аудиозаписи неизвестно от кого. Но я вернусь к этому позже.

Я порассуждаю о другом. Причиной появления этой статьи стал вопрос одного из участников форума:
"Вроде не должно быть трудностей с MCAS, даже если с ней проблемы ?:

Вольный перевод:

"Обычное триммирование кнопкой на штурвале может прекратить работу MCAS, тем не менее, MCAS начнет работать снова через 5 секунд после того, как переключатель отпущен, если измеренный угол атаки все еще слишком большой. Пилоты могут деактивировать работу MCAS выключателем электромотора и управлять положением стабилизатора вручную, с помощью колес, расположенным по бокам от блока рычагов управления двигателями".



Это не кабина 737MAX, это 737NG. Но на MAX выключатели электромотора привода стабилизатора находятся там же - выделены желтым цветом на картинке

После катастрофы в Индонезии Боинг сподобился выслать бюллетень, в котором описал, что можно ожидать при отказе датчика угла атаки, и как с этим жить. На бумаге все выглядит, поверьте, довольно гладко и просто...



Мой ответ был таким (с некоторыми правками, которые я сделал при написании этой статьи для лучшего понимания):

"Это то, о чем я размышляю с момента появления информации о подленькой работе MCAS...

Физика процесса простая:

1. Имеем airspeed unreliable - недостоверные показания приборной скорости. Выполняем чеклист, согласно которому пилот отключает автопилот и автомат тяги (если были включены), директоры, и выдерживает тягу и тангаж соответственно:

а) закрылки убраны: 75% и 4 градуса
б) закрылки не убраны: 80% и 10 градусов

2. Раз он выдерживает тангаж, значит, все его внимание направлены на приборы - на пилотажный дисплей PFD. А так как ему необходимо выдержать тангаж точно, то он должен триммировать самолет - снимать усилия на штурвале до такого состояния, что можно его отпустить, и самолет полетит, сохраняя заданный тангаж.

3. Раз он должен триммировать самолет, то он использует кнопку триммирования, которая - как мы знаем из письма Боинга - отключает MCAS, если тот вмешивался в пилотирование. Отключает на 5 секунд. При этом доступно триммирования самолета, понятное дело. Им можно убрать последствия работы MCAS.

4. Предположим, прошло 5 секунд и MCAS снова начинает свою подлую работу - неторопливо крутить стабилизатор на пикирование. Пилот, управляя самолетом, сохраняя тангаж, видит это как появление нагрузок на штурвале (я уж не говорю о шуме, которое колесо издает при перемещении - но при стрессе слух страдает первым, опустим этот момент).

5. При появлении нагрузок на штурвале инстинктивное, природное действие пилота - нагрузки снять кнопкой триммирования. То есть, снова приостановить работу MCAS на 5 секунд.

6. И так далее по кругу, пока пилоты не снизят градус напряжения и не распознают условия для выполнения действий по памяти: Runaway Stabilizer, самопроизвольная перекладка стабилизатора. Так случилось в полете, предшествовавшем первой катастрофе, в котором экипаж справился, не имея ни малейшего представления о существовании системы MCAS.

В теории все выглядит очень гладко. Более того, после первой катастрофы предполагалось, что пилоты 737MAX проштудируют появившийся материал и бюллетень, а их летное руководство убедится в этом...

Но!!!

Очень бы хотелось попробовать эту ситуацию на тренажере, чтобы понять, почему такая гладкая на бумаге схема может не сработать. Да только тренажеров 737MAX нет в ближайшей доступности...

Вариант "почему":

Стресс. Мало того, что у тебя очевидные проблемы с индикацией скорости, так еще можем поиметь следующее:

а) Тряска штурвала. Инстинктивное движение штурвалом "от себя" - этому учат на тренажерах. Ведь это же сигнализация о сваливании!

б) Необычные усилия на штурвале, которые могут возникнуть как из-за неправильной работы системы имитации усилий на штурвале (загорание табло FEEL DIFF PRESS), так и из-за защиты при приближении к сваливанию.

в) Необходимость выполнения полета без директорной системы управления. Не раз, не два и даже не триста писал я о проблеме чрезмерного увлечения "планками" в современной авиации. Когда планок AFDS - системы директорного управления - на PFD нет, могут начаться проблемы даже в нормальном полете, если пилот не имеет должного навыка полетов без оных. Поверьте, это реальный бич сегодняшнего дня в авиационном мире - многие пилоты не проходят скрининг в авиакомпаниях лишь потому, что не демонстрируют умение выполнять полеты на тренажере без директоров!

Вот что я писал в статье "Пилотам. Airspeed Unreliable" год назад:

"Обратите внимание на то, что действия по памяти содержат пункт “F/D switches (both)…OFF”.

Да, я понимаю Вашу радость от того, что наконец-то у Вас будет возможность полетать без флайт директоров (наверняка, Ваша авиакомпания не поощряет это «баловство» в обычных полетах), но, будучи пассажиром Вашего самолета, если честно, данную радость я бы не разделял... если Ваша авиакомпания действительно не поощряет такие полеты в более простых ситуациях. Ну, мы друг-друга, конечно же, поняли."

И все это вместе и сразу после взлета. Когда из полета в полет ничего не происходит, любой человек расслабляется. Ну не можем мы быть натянутыми как пружина - это на тренажере мы все асы, так как знаем, что инструктор готовит подлянку. Мы ее ждем. Более того, зачастую мы даже сценарий сессии знаем, что за чем последует. И наша пружина приобретает расслабленный вид."

В реальной жизни шит* наступает внезапно.

*Shit (англ.) - дерьмо

===

Таким был мой ответ. Его концовка оставляет пространство для раздумий, чем я и не устаю заниматься, начиная с дня, когда стали понятны обстоятельства катастрофе самолета в Индонезии. Думаю, каждый пилот не раз задал себе вопрос: "А как бы повел себя я? Смог бы справиться?"

На первый взгляд, все гладко. "Ровно было на бумаге, да забыли про овраги". Ну а что? Начал стабилизатор утягивать тебя вниз, выполни действия по памяти, и все дела! Да вот только этому предшествует весьма серьезное событие - недостоверные показания скорости, которые тоже требуют действия по памяти. Это уже и шит и стресс! Более того, этот шит происходит под аккомпанемент тряски штурвала, а у тебя на подкорке заложено: "Тряска штурвала = сваливание!" Более того, при недостоверном показании скорости ты можешь подспудно верить этой тряске...

Первый экипаж индонезийцев, конечно же, молодцы - сумели совладать с ситуацией, хотя и не молниеносно (этого никто и не ждал). Но вот дальнейший их поступок - не сделать запись в бортжурнале о тряске штурвала, о перекладке стабилизатора - не находит разумного объяснения. Замечу, что я пересказал слова моего коллеги, российского "индонезийца", обратившего мое внимание на то, что я в своей статье упустил этот эпизод. Можно списать это на стресс, полученный от полета и эйфорию от успешного его завершения.

Замечу, что пилоты все же сообщили в авиакомпанию (кратко) о проблемах со стабилизатором по системе добровольных сообщений, предположив, что это стало результатом работы speed trim system - при приближении к сваливанию эта, существующая на 737 с лохматых времен, система, начинает откручивать стабилизатор на пикирование. Напомню, что ни один из экипажей в мире (я так думаю) на тот момент не знал о нововведении в виде MCAS и о логике ее работы. Но система добровольных сообщений работает не мгновенно, и инженеры Lion Air, конечно же, не знали об этом докладе, пока проводили тестирование систем согласно замечаниям из бортового технического журнала.

* * *

Тем временем, многие авиакомпании во всем мире заявили о приостановке полетов на 737MAX. Несколько позже авиавласти США заявили, что не видят основания для директивной остановке полетов самолетов этой модели. Американские эксплуатанты и дубайский flydubai заявили о том, что "доверяют 737MAX и не планируют останавливать их".



Боинг заявил, что обновит программное обеспечение и внесет некоторые усовершенствования в конструкцию "максов" не позже апреля этого года. Хех. Как мне думается, работу надо было форсировать еще полгода назад, как только недостатки новой системы стали очевидными. Правда, зная, насколько это консервативная отрасль, как сложно в ней внедрить что-то системно новое, можно предположить, что полгода - это очень небольшой срок. В эти полгода нам, пилотам 737MAX, предполагалось проштудировать мануалы и быть готовым отключить электромотор стабилизатора при первом намеке на его неправильную работу.

Последний момент меня очень сильно смущает в свете эфиопского случая. Пусть даже там сидел малоопытный второй пилот (которые тем не менее, не жил в вакууме и не мог не знать о выводах и рекомендациях после события в Индонезии), но слева сидел пилот с достаточным опытом на Боингах 737. Не сомневаюсь, что он был в курсе действий, которые необходимо выполнить при первых намеках на ситуацию, схожую с первым случаем.

Это-то и смущает во всей этой истории. А что, если это не такой же случай? Вот тогда жоппа приобретает совершенно иной оттенок.

С уважением ко всем,
Летайте безопасно!

Вместо послесловия

Поверьте, будучи пилотом 737MAX, я заинтересован куда больше многих в том, чтобы знать всю правду и нюансы о причинах этих катастроф. Многие ретивые диванные специалисты уже поторопились мне приписать высказывания, мол, Окань слепо грудью "защищает любимый боинх" и "поливает грязью пилотов-неумех". Бог вам судья, конечно же. Но голову включить бы не мешало, хотя примерно так же, как это сделано выше, и рассмотреть ситуацию глубже, чем она видится на первый взгляд. Каждая катастрофа - это совокупность негативных факторов, и неправильно все валить лишь на пилотов или лишь на самолет.

Как оказалось, даже запись в журнале может за один превратить пилотов из героев в соучастников. К сожалению, безопасность полетов не имеет сослагательного наклонение "а что, если бы..."? И, опять же к сожалению, не всегда самолеты бывают исправными и не всегда погода миллион на миллион и штиль, а в аэропорту полоса 5 км х 60 метров с системами ILS и GLS на выбор. И если я когда-нибудь накосячу, не справившись с ситуацией, с которой я мог бы справиться (пусть и теоретически - имея задокументированные рекомендации на ее счет), я бы не хотел, чтобы меня выгораживали, списывая мою неудачу недостатками в конструкции. Это моя железобетонная позиция - мы сидим в кабине не для красоты и не для получения больших зарплат. Мы там сидим, чтобы сделать все возможное и подчистить косяки - конструкторов, техников, диспетчеров и всех остальных прочих. Поэтому с нас спрашивают, и это нормально, нехер сопли распускать.

Безусловно, конструкция должна минимизировать "героизм" пилотов. Боингу еще предстоит ответить на вопрос, чем они думали, когда встраивали MCAS таким образом. И мне не меньше вашего хочется увидеть, как они это будут делать.

https://denokan.livejournal.com/203852.html