Катастрофы Боинг 737MAX. Часть 1

Через несколько часов после крушения эфиопского Boeing 737MAX-8 я начал получать множество вопросов вроде "что не так с MAX?", "что ты, Денис, думаешь об этой аварии, должен ли я поменять свои билеты на Airbus?", "как теперь жить" и многие другие.

Прежде всего я хочу заметить, что расследование этого события все еще продолжается. Хоть и прошло уже более трех лет. Опубликован лишь промежуточный отчет комиссии по расследованию, из которого тем не менее можно почерпнуть достаточно информации.

С самого начала эта ситуация выглядела очень похожей на первую катастрофу такого же самолета, которая произошла в Индонезии за полгода до этого. Оба самолета разбились всего через несколько минут после взлета – после того, как вошли в крутое пикирование. Вертикальная скорость и скорость полета были настолько высоки, что от лайнеров в обоих случаях почти не осталось крупных обломков.

Экипаж эфиопского Boeing 737 объявил чрезвычайную ситуацию и сообщил, что у них возникли проблемы с управлением самолетом. Через некоторое время после аварии была найдена часть управляющего винта стабилизатора. Он был в положении, соответствующем отклонению полностью на пикирование. К этому моменту мы уже кое-что знали про новую систему, установленную на этих лайнерах.

Давайте вспомним историю. Хочу подчеркнуть, что все, что я собираюсь в этой статье рассказать, основано на открытых источниках, финальном отчете об аварии в Индонезии и промежуточном отчете о катастрофе в Эфиопии.

Авиакатастрофа в Индонезии

После крушения в Индонезии пилоты 737MAX по всему миру получили неожиданные новости о том, что на MAX установлена новая система,
Система улучшения характеристик маневрирования, или MCAS. Мы действительно не знали о MCAS до катастрофы в Индонезии!

Выяснилось, что MCAS улучшает характеристики устойчивости самолета по тангажу при полете с убранными закрылками, а на больших углах атаки MCAS нейтрализует негативное влияние новых двигателей CFM LEAP-1B на  аэродинамику. MCAS работает только в том случае, если воздушное судно управляется в ручном режиме. Если самолет выходит на определенный (большой) угол атаки, MCAS начинает медленное движение стабилизатора «на пикирование» с максимальной скоростью в 2,5 градуса в секунду в течение примерно 10 секунд.

| Примечание. Вот как это работало в самом начале. Впоследствии логика работы была изменена.

Как только MCAS активируется, если пилот применит триммирование с помощью тумблера, расположенного на любом штурвале, MCAS прекращает свою работу. Но если через 5 секунд условия для его активации все еще существуют, MCAS снова начнет еще один цикл перемещения стабилизатора, 10 секунд с той же скоростью 2,5 градуса в секунду.

MCAS прекратит свою работу, если угол атаки уменьшится до заданного значения.

В ином случае MCAS может перевести стабилизатор в положение «на пикирование» полностью.

***

Естественной реакцией пилотов, когда они услышали о MCAS, было: "Что за черт? Было бы хорошо узнать о такой системе!"

Тем не менее, в руководстве по эксплуатации летного экипажа FCOM не было описания MCAS. Там было единственное слово MCAS. Угадайте, где? В таблице сокращений.

В случае с индонезийском катастрофы MCAS активировалась из-за того, что один из датчиков угла атаки выдавал неверные данные - в компьютер поступало гораздо большее значение, чем было на самом деле. Да сих пор выглядит невероятным то, что Boeing не предусмотрел перекрестной проверки параметров (от другого датчика). Как результат, ошибочные данные были приняты MCAS на веру.

Пилоты управляли самолетов в ручном режиме, и как только закрылки были убраны, MCAS начал перекладывать стабилизатор «на пикирование», тем самым заставляя самолет терять высоту.

В свою очередь, это вызвало много проблем у экипажа, который и так был перегружен иными последствиями неисправного датчика. Штурвал командира непрерывно трясся, поскольку система получила (ложный) высокий угол атаки и включился механизм тряски штурвала. В то же время возникла разница в показаниях воздушной скорости и высоты на дисплеях КВС и второго пилота,
поскольку системы этого самолета используют данные об угле атаки для внесения поправок в барометрическую скорость и высоту.

Итак, неприятная тряска штурвала и ненадежные показания скорости и высоты - это то, с чем пилоты столкнулись практически сразу после взлета. Кроме этого, сработала индикация «Автоматическое торможение выключено» (AUTOBRAKE DISARMED) и «Разница давления в системе имитации усилий на штурвале» (FEEL DIFF PRESSURE)

Экипаж отправился в полет очень ранним утром. Очевидно, что пилоты чувствовали сонливость и их готовность к неприятностям была значительно снижена.

За день до до рокового полета точно такая же ситуация произошла с тем же самым самолетом. Пилоты предыдущего рейса LNI043 столкнулись с такими же отказами сразу же после взлета. К счастью, им удалось справиться - просто используя стандартные действия, которые…

Я хочу подчеркнуть: действия, которые им помогли, были написаны в документах с тех пор, как в небе появились Boeing 737 поколения юрского периода. Они сделали действия в соответствии с чек-листом Runaway Stabilizer («Самопроизвольная перекладка стабилизатора»), и это остановило MCAS. Более того, они проявили и другие качества, которые помогли спасти самолет и жизни (об этом более подробно я напишу во второй части).

В кабине находился еще один человек - квалифицированный пилот из другого экипажа, который помог им в этом полете. Пилоты распознали неконтролируемое движение стабилизатора и отключили его электрический привод, как это предписано Quick Reference Handbook (QRH).

Это остановило электродвигатель и остановило работу MCAS. Они благополучно посадили самолет, вручную управляя стабилизатором с помощью колес.

Являются ли они героями? Да, это так...

Но лишь частично.

После завершения полета командир сделал всего две записи в техническом
журнале: "ALT DISAGREE" («разница в показаниях высоты») и FEEL «DIFFERENTIAL PRESSURE light illuminates» ("загорается индикатор ПЕРЕПАД ДАВЛЕНИЯ"). Они ничего не написали об активации стик-шейкера, ничего о разнице в показании приборной скорости и ничего об их борьбе со стабилизатором.

Нет записи – нет действий. Это важное правило в авиации.

Итак, техники устранили неполадки в соответствии с записями, провели несколько тестов, которые показали, что все в порядке, и позволили самолету отправиться в свой последний полет. Причина шоу – неисправный датчик
угла атаки, который был установлен перед этим проблемным полетом, – не была
обнаружена.

Мы знаем результат.

Через полгода произошла еще одна катастрофа Boeing 737MAX при очень похожих обстоятельствах. Тенденция? Похоже на то.

На одном из интернет-форумов меня спросили: "Похоже, с MCAS не должно возникнуть никаких сложностей, даже если он неисправен?" Этот вопрос был основан на том, что Boeing написал об MCAS в письме, разосланном по авиакомпаниям после первой катастрофы:

Выглядит довольно просто, не так ли?

Давайте вернемся к истории. Через несколько дней после того, как разбился первый 737MAX, Boeing выпустил бюллетень по безопасности, в котором описал, чего ожидать в случае ошибочных данных об угле атаки.

На случай ложной активации MCAS они прописали действие, которое выглядело довольно просто: делайте то, что требуется в случае самопроизвольной перекладки стабилизатора – выполняйте действия по памяти соответствующего
чек-листа QRH, которые каждый пилот 737 должен знать как «Отче наш».

Да, на бумаге все действительно выглядит гладко. Просто делайте то, что от вас ждут с тех пор, как первые 737-е поступили в эксплуатацию. Но были ли они действительно простыми в случае активации MCAS? Нет, потому что в тексте есть ловушка. Я вернусь к этому моменту во второй части рассказа.

На том интернет-форуме я дал следующий ответ на этот вопрос:

"Это то, о чем я размышляю с момента появления информации о подленькой работе MCAS... 

Физика процесса простая:

1. Имеем airspeed unreliable - недостоверные показания приборной
скорости. Выполняем чек-лист, согласно которому пилот отключает автопилот и
автомат тяги (если были включены), директоры, и выдерживает тягу и тангаж
соответственно:

а) закрылки убраны:  75% и 4 градуса

б) закрылки не убраны: 80% и 10 градусов

2. Раз пилот выдерживает тангаж, значит, все его внимание направлено на приборы - на пилотажный дисплей PFD. А так как ему необходимо выдержать тангаж точно, он должен триммировать самолет, то есть снимать усилия на
штурвале до такого состояния, что можно будет его отпустить, и самолет полетит, сохраняя заданный тангаж. А усилия там точно были.

3. Раз пилот должен триммировать самолет, то он использует кнопку триммирования, которая - как мы знаем из письма Боинга - отключает MCAS,
если тот вмешивался в пилотирование. Отключает на 5 секунд. При этом доступно триммирования самолета, понятное дело. Им можно убрать последствия работы MCAS.

4. Предположим, прошло 5 секунд и MCAS снова начинает свою
подлую работу - неторопливо крутить стабилизатор на пикирование. Пилот,
управляя самолетом, сохраняя тангаж, видит это как появление нагрузок на
штурвале. Я не говорю о шуме, которое колесо издает при перемещении - но при
стрессе слух страдает первым, плюс, шум от механизма тряски штурвала мог заглушить шум от вращения колеса).

5. При появлении нагрузок на штурвале инстинктивное, природное действие пилота - нагрузки снять кнопкой триммирования. То есть снова приостановить работу MCAS на 5 секунд.

6. И так далее по кругу, пока пилоты не снизят градус напряжения и не распознают условия для выполнения действий по памяти: Runaway Stabilizer, самопроизвольная перекладка стабилизатора.

Именно так все произошло в полете Lion Air 043, в котором MCAS впервые сработал ложно. Этот полет закончился благополучно несмотря на то, что экипаж не знал о MCAS.

Это то, что ожидалось от подготовленного экипажа Boeing 737 – анализировать и обсуждать возможные угрозы и выполнять QRH.

А после того, как Boeing опубликовал бюллетень, все пилоты 737MAX должны были осознать проблему и понимать, что делать, если они столкнутся с
подобными условиями во время взлета или где-либо еще во время полета.

Но в марте 2019 года разбился еще один 737MAX.

Согласно данным бортового самописца («черного ящика»), в течение шести минут экипаж боролся с MCAS. В течение шести минут экипаж (точнее, командир) периодически применял триммирование с помощью переключателя на штурвалах, компенсируя тем самым отклонение стабилизатора в результате работы MCAS. Шесть минут – это довольно долго, так что же могло помешать экипажу разобраться в ситуации и предпринять необходимые действия, как это сделал экипаж рейса LNI043?

(Я предоставлю более подробную информацию о действиях экипажа во второй части).

Напрашивается ответ: стресс. Очень сильный и внезапный стресс.

Посмотрите на ситуацию под другим углом. Это был очень ранний утренний вылет; экипаж, очевидно, был не в лучшем состоянии. И сразу после взлета они получили:

Первое. Тряска штурвала командира. Упс! Это может быть сваливание! Большая опасность! Инстинктивно, после стольких тренировок на тренажерах, пилоты предпочли бы в этом случае отдать штурвал от себя. Но на самом деле это не сваливание...

Но это уже стресс и давление ситуации.

Второе. Необычные усилия на штурвале. Они могут стать необычными из-за двух причин: неправильного срабатывания системы имитации нагрузок на штурвалах или из-за активации защиты от сваливания.

Третье. Сигнализации о том, что показания приборной скорости и высоты различаются. Другие предупреждения, связанные с неисправным датчиком
AOA.

Стресс, стресс, стресс. Да, ожидается, что пилоты смогут справиться со стрессом, но на самом деле никто не знает, как он будет действовать во внезапно возникшей действительно стрессовой ситуации.

Теперь пилоты должны проанализировать происходящее и расставить приоритеты. Сидя на диване, очевидно, что проблему с IAS DISAGREE («разница в показании скорости») следовало решать в первую очередь. Сидя в кабине пилота, было бы труднее понять это. Но командир на самом деле понимал, какой контрольный список нужен, но он дал команду прочитать NNC, не указав его названия. Второй пилот был сбит этим с толку.

Стресс? Да.

Пилотам следовало выполнить чек-лист Airspeed Unreliable («Ненадежные показания приборной скорости»), который привел бы к необходимости выключить директорную систему. Последнее является большой проблемой в современной авиации. Я опубликовал порядочное количество заметок и статей о проблеме ухудшения базовых навыков пилотирования из-за чрезмерной зависимости от автоматизации в настоящее время. Многие пилоты по всему миру заявляют о той же проблеме! Пилоты больших реактивных самолетов редко выполняют взлеты и заходы на посадку полностью в ручном режиме*, а когда они это делают, большую часть времени используют показания директорных стрелок для пилотирования. Что, поверьте, совсем не то же самое, что управление самолетом без них.

| *Взлет и собственно приземление в большинстве случаев все еще выполняются в ручном режиме.

Зачастую пилоты не проходят проверку на тренажере во время скрининга
кандидатов для трудоустройства в ведущих авиакомпаниях, потому что не могут продемонстрировать достаточное умение управлять самолетом, не используя директорную систему.

В недавнем прошлом (2013 и 2017) FAA выпустило два SAFO, которые предписывали американским авиакомпаниям внедрить такие правила
использования автоматизации, которые бы позволяли и поощряли развивать и поддерживать навык ручного пилотирования у пилотов. Несмотря на появление высокоавтоматизированных самолетов, навык пилотирования все еще является обязательным для каждого пилота, а не только для тех, кто летает по выходным на «Цессне».

В феврале 2018 года я опубликовал в ЖЖ статью о том, как действовать в ситуации Airspeed Unreliable на Boeing 737. Я написал буквально следующее:

«Обратите внимание на то, что действия по памяти содержат пункт “F/D switches (both)…OFF”.  Да, я понимаю вашу радость от того, что наконец-то у вас будет возможность полетать без флайт директоров (наверняка ваша авиакомпания не
поощряет это «баловство» в обычных полетах), но, будучи пассажиром вашего
самолета, данную радость я бы не разделял... если ваша авиакомпания
действительно не поощряет такие полеты в более простых ситуациях. Ну, мы друг друга, конечно же, поняли».

К слову, небольшое время ручного управления самолетом влияет и на навык триммирования самолета. Более того, при заходе на посадку пилоты обычно отключают автопилот уже тогда, когда самолет в целом стриммирован автоматикой, то есть значительное маневрирование уже позади и глубокие перекладки стабилизатора уже не требуется.

Если бы пилоты на регулярной основе отключали автоматику при заходе на посадку до начала выпуска механизации, то с большой степенью вероятности можно утверждать, что необходимый навык был вы наработан до железобетонного состояния.

Четвёртый. Перегрузки. Поскольку самолет гуляет то вверх, то вниз, очевидно, что все на борту будут испытывать не лучшие ощущения, и пилоты не являются исключением. Отрицательные и положительные перегрузки сильно влияют
на наше сознание и способность понимать, что происходит.

***

Итак, на рейсе Lion Air 610 все это дерьмо случилось сразу после взлета.

Когда ничего серьезного не происходит в течение многих дней, месяцев, лет (в наши дни немногие пилоты сталкиваются с реальными проблемами), человек склонен к расслаблению или недооценке факторов угроз.

Мы не можем все время быть натянутыми, как пружина, и всегда быть готовыми к неприятностям. Во время тренировок на тренажере мы асы, потому что знаем, что неприятности, очевидно, сегодня случатся, а иногда мы знаем
конкретно, какие отказы ждать во время сессии.

В реальной жизни дерьмо случается внезапно.