解读NTSB对韩亚214航班事故的最终报告

holycow

9 ^4 T7 q( R7 E7 S
经过将近一年的调查，昨天NTSB发表了去年7月6日韩亚214航班在旧金山机场事故的最终调查报告。从事故到出报告结案不到一年，这个速度算是快的，也说明这个事故原因的认定并没有太过复杂之处。
  e% @( K" |1 u2 v
看过调查报告的摘要后，俺决定来写一篇缩水版，对应去年写的那篇四分卫分析

首先，事故的事实和顺序：
* h( l' s. t: W# L  q" ?
1. 空管指令214航班从14海里外进近28L跑道，并在到达5海里距离前保持180节航速
' e1 v5 F: [; \2. 机组下降时垂直速率掌握不好，致飞机高出正常的3度下滑道
3. 当时执飞的飞行员（受训机长）为了使飞机下降到正常下滑道，先是在自动驾驶仪上选择每分钟1500英尺的下降速率，改善了偏高的情况；但他后来又改为每分钟1000英尺，使得在5海里处飞机仍然偏高
4. 为截获正常下滑道，该飞行员在自动驾驶仪上选择了“飞行高度改变”模式(FLCH)，但未按韩亚规章喊出飞行模式改变，机组其他人也不知道
( P4 D2 J/ |; P5. 由于此前已设定复飞目标高度3000英尺，自动驾驶仪认为飞行员要改变高度至3000英尺，于是控制飞机抬头爬升
2 k% r4 a5 _' l: e# K" R# d8 S6. 该飞行员为制止爬升，解除自动驾驶仪，人为超越控制自动油门，将油门收到慢车位，推杆向下
. [' _. z- a" A5 v7. 该动作使得自动油门进入预备模式，自动油门不再提供最低速度保护
* l7 ^1 L$ I: p0 S8. 机组中无人察觉自动油门的模式变化
9 N6 \' X+ H6 e  U* i) M( W3 E9. 监控机长按韩亚规章关闭两个Flight Director，再重启自己的那个。但未严格执行两个同时关闭再开一个的操作顺序，致使整个过程中两个F/D总有一个开启（如果有任意时间点两个F/D同时关闭，则自动油门会回到速度模式，最低速度保护功能恢复）
. d1 H8 Z" r8 v0 t( L10. 飞机到达500英尺高度时，飞机仍然稍高，下降率每分钟1200英尺，不满足下降率稳定在每分钟700英尺的条件，按韩亚规章应该复飞。机组未复飞
11. 500英尺以下，飞机速度降到137节的正常进近速度以下并越来越严重，机组始终未发现
) R# X* O! N% I; Y* U$ a! r4 g$ c* ^12. 200英尺高度，机组才发现飞得太低太慢，但仍未及时做复飞决定
13. 100英尺高度决定复飞，为时已晚
) q! S! L6 N8 E0 z
下面是NTSB的模拟动画
2 k% x& v( r* _* j0 ~
5 a/ v+ u0 V  _0 q9 C4 J2 m


- n' q% g6 \0 e+ t, J" o
/ m3 s! V5 ]/ @" s8 h& M6 {( C事故链：

a. 机组未正确管理下降过程，致使飞机在大部分时间内高出下滑道
b. 受训机长未正确理解777自动驾驶仪的各种模式，选择了错误的FLCH模式
c. 受训机长未按照韩亚规章喊出模式改变的口令，驾驶舱沟通不良
d. 受训机长未正确理解777自动油门的各种模式，不知道超越控制会导致自动油门进入预备模式，不知道速度保护已解除
. H) u1 I3 t/ |7 u6 `. I' ]e. 监控机长未正确执行韩亚规章中关闭-重启F/D的顺序
( o# u/ i! J; o+ B# \/ t1 kf. 韩亚规章中重启F/D的这一步完全没有必要，如果是简单的关闭两个F/D, 则监控机长操作不可能错误，速度保护恢复
6 T6 l# o. w! {, f) sg. 机组未正确监控速度
; {: I) Z/ W- th. 500英尺高度未实现稳定下降时，机组未按规章复飞
' H+ r8 H" d$ g- n8 _i. 最终发现飞机太慢太低时未第一时间复飞
9 ?5 u7 `$ m5 Z
事故原因(probable cause)

$ h8 }2 j) U' R$ T机组未正确管理下降过程，无意中解除了速度保护功能，未正确监控速度，未及时复飞

$ {1 X5 `) K5 p" f, n3 f其他促成了事故的因素(contributing factors)
2 V+ ], L& N' z7 k: J+ j/ Y
波音手册和韩亚的培训材料中未能全面正确说明自动驾驶和自动油门系统的复杂度，容易使学员误解
机组在沟通和协调中的不规范做法
5 M! g+ X. r( o9 H* o0 h; r  [8 W受训机长未受到适当的关于目视进近的培训
3 ~0 @. l8 P8 O2 n9 f2 s+ D. q监控机长未适当监控
机组疲劳影响判断力
7 W1 m  }! ]# g8 L2 y% E/ I- j
简评：一起典型的人工控制和自动控制冲突的案例。在华航名古屋空难中，空客的设计哲学是自动系统掌控一切，机组误认为可以人工强行超越，结果冲突造成事故。这一次反过来，波音的设计哲学是机组任何时候可以超越控制，但机组误以为自动系统仍在掌控，还是造成事故。在决策链里如果有人机的互动，这恐怕是一个不可避免的问题。
8 ~' q; a2 k2 D

holycow

一身轻松 发表于 2014-6-25 21:24
这个报告，我个人觉得对波音不是很公平

假如是波音的设计，那么类似问题应该在777最初使用的前几年就暴露 ...

我觉得没有偏袒，首先只是contributing factor，不是probable cause，probable cause那几条，全部指向飞行员和航空公司。

! K& U  @8 x( n( C5 R其次，波音787用的是和777一样的自动油门设计，在取证的时候同时被FAA和EASA的飞行员质疑FLCH模式下自动油门的运作逻辑，认为容易造成误解，这里可没有任何棒子掺和在里面。虽然这个东西可以通过严格培训来解决，但和一般人直觉不一样的设计怎么说也是有改进余地的。这个FLCH模式在欧美的飞行员圈子里被叫做FLCH trap，只是人家培训做得好而已，但隐患总是存在。
* c/ l8 x; U7 Q( |" T
自动系统的模式动不动多达二十几个，这是一个系统设计里human factor的问题，你让一个人去记二十几种模式，不可能每一个细节都熟悉的，系统越复杂，误解的可能性越大。培训可以mitigate这个问题，但不能完全避免这个问题。

holycow

马鹿 发表于 2014-6-25 16:03
在电力行业中手动控制永远优先于自动控制， 而且我认为这是必须的。
/ g3 v! h9 {9 S' \& |& n1 G
3 v. g) {; O9 W; h2 p) p- R2 h7 L就像是偶家的电高压锅也得听我的吧 ...

6 s, ^, \. p; l( Q9 ?+ I1 G5 }+ J手动控制永远优先于自动控制是没有问题的，但是操作人员手动接管的时候是否完全清楚系统各参数在交接时的状态就是个问题了。如果对一两个参数的状态理解错了，下面就会做出错误的手动操作，这个才是要命的。这个一部分是系统怎样把参数状态present给操作员的问题，另一部分是系统逻辑怎样贴近人的思维常规的问题，但是总有时候something falls through the crack.