解读NTSB对韩亚214航班事故的最终报告

holycow

! `' v' z! ^) b1 s3 W
经过将近一年的调查，昨天NTSB发表了去年7月6日韩亚214航班在旧金山机场事故的最终调查报告。从事故到出报告结案不到一年，这个速度算是快的，也说明这个事故原因的认定并没有太过复杂之处。

看过调查报告的摘要后，俺决定来写一篇缩水版，对应去年写的那篇四分卫分析
- `; n& J  ~* N0 M  A. i+ m* @/ A
首先，事故的事实和顺序：
- [! R9 ]  U5 D  \' A
1. 空管指令214航班从14海里外进近28L跑道，并在到达5海里距离前保持180节航速
2. 机组下降时垂直速率掌握不好，致飞机高出正常的3度下滑道
9 }' [4 O% |4 o# d# ~# }3. 当时执飞的飞行员（受训机长）为了使飞机下降到正常下滑道，先是在自动驾驶仪上选择每分钟1500英尺的下降速率，改善了偏高的情况；但他后来又改为每分钟1000英尺，使得在5海里处飞机仍然偏高
/ F1 I* c9 G- N' @8 H' E$ i4. 为截获正常下滑道，该飞行员在自动驾驶仪上选择了“飞行高度改变”模式(FLCH)，但未按韩亚规章喊出飞行模式改变，机组其他人也不知道
6 ^8 ?" e- F& B; A$ [( k" k0 d& S5. 由于此前已设定复飞目标高度3000英尺，自动驾驶仪认为飞行员要改变高度至3000英尺，于是控制飞机抬头爬升
7 a1 }$ Z. M8 A" O  Y6. 该飞行员为制止爬升，解除自动驾驶仪，人为超越控制自动油门，将油门收到慢车位，推杆向下
7. 该动作使得自动油门进入预备模式，自动油门不再提供最低速度保护
8. 机组中无人察觉自动油门的模式变化
9. 监控机长按韩亚规章关闭两个Flight Director，再重启自己的那个。但未严格执行两个同时关闭再开一个的操作顺序，致使整个过程中两个F/D总有一个开启（如果有任意时间点两个F/D同时关闭，则自动油门会回到速度模式，最低速度保护功能恢复）
10. 飞机到达500英尺高度时，飞机仍然稍高，下降率每分钟1200英尺，不满足下降率稳定在每分钟700英尺的条件，按韩亚规章应该复飞。机组未复飞
+ g/ j* \  J: _7 h, e8 l/ h9 |11. 500英尺以下，飞机速度降到137节的正常进近速度以下并越来越严重，机组始终未发现
8 ^$ k6 Y  E. X3 j- w4 F- X12. 200英尺高度，机组才发现飞得太低太慢，但仍未及时做复飞决定
13. 100英尺高度决定复飞，为时已晚
  {# l0 ^3 W- P( a6 O5 m
1 D2 x9 y! o1 l8 B" {下面是NTSB的模拟动画





事故链：
) H+ W8 E0 z/ g" c% a
a. 机组未正确管理下降过程，致使飞机在大部分时间内高出下滑道
b. 受训机长未正确理解777自动驾驶仪的各种模式，选择了错误的FLCH模式
: `  u- ~5 n/ Z6 u* C, N( G+ o+ _c. 受训机长未按照韩亚规章喊出模式改变的口令，驾驶舱沟通不良
d. 受训机长未正确理解777自动油门的各种模式，不知道超越控制会导致自动油门进入预备模式，不知道速度保护已解除
e. 监控机长未正确执行韩亚规章中关闭-重启F/D的顺序
# h  p/ W" P) H& f5 uf. 韩亚规章中重启F/D的这一步完全没有必要，如果是简单的关闭两个F/D, 则监控机长操作不可能错误，速度保护恢复
g. 机组未正确监控速度
0 [) |+ I* |5 n) ~, ]h. 500英尺高度未实现稳定下降时，机组未按规章复飞
# W6 J1 W: f6 r4 li. 最终发现飞机太慢太低时未第一时间复飞
$ @; N, y8 J5 O# D$ a7 q
9 W( n$ H% v+ [: S' [事故原因(probable cause)
1 o; i/ J+ a/ t- u% }) Z
机组未正确管理下降过程，无意中解除了速度保护功能，未正确监控速度，未及时复飞

8 T& N; E& J4 q0 a! O1 Q+ }' v其他促成了事故的因素(contributing factors)
, o1 D+ a$ |1 }, b; C
8 o2 U2 y+ i2 W波音手册和韩亚的培训材料中未能全面正确说明自动驾驶和自动油门系统的复杂度，容易使学员误解
- Q$ q+ d6 [5 D3 I! V; L0 Z机组在沟通和协调中的不规范做法
受训机长未受到适当的关于目视进近的培训
监控机长未适当监控
( u. j1 ~/ p- |8 r机组疲劳影响判断力

简评：一起典型的人工控制和自动控制冲突的案例。在华航名古屋空难中，空客的设计哲学是自动系统掌控一切，机组误认为可以人工强行超越，结果冲突造成事故。这一次反过来，波音的设计哲学是机组任何时候可以超越控制，但机组误以为自动系统仍在掌控，还是造成事故。在决策链里如果有人机的互动，这恐怕是一个不可避免的问题。

  U& e& y$ ?6 ^/ c' L# c8 |9 R- F

大哈瑞

早年看电影的时候就知道了大波音进场速度应为144节。我这个外行的都知道。韩航的正副机长在降落过程中都在干什么？居然不去观察速度，这韩航也太不靠谱了吧。

马鹿

- x& Z! G+ n3 ]3 p$ m4 H7 v. h在电力行业中手动控制永远优先于自动控制， 而且我认为这是必须的。
& T! M! N8 T  b" J
& W! o& G- w+ R( R) T$ `! l就像是偶家的电高压锅也得听我的吧

晨枫

自动化程度越高，人机冲突的问题越大。工业界也有这个问题，非常头大。

一身轻松

这个报告，我个人觉得对波音不是很公平
, y& r( p; @! T/ I# Z* a5 R% r4 W
假如是波音的设计，那么类似问题应该在777最初使用的前几年就暴露出来，但没有看到公开的类似案例。在777使用近20年后才出现这个问题，设计上的缺陷可能性极小。

从整个过程看，事实上机组的问题才是根本原因。操控飞行员飞777经验过少，机型转化训练是否真正完成都值得画个问号，而且明显缺乏手动控制777的经验。而按照这个报告里所谓的设计故障，英航38为啥就不死人落地了？说白了就是技术水平的差距。

我要是波音，我也会抗诉。

NTSB出这样一份有偏袒之嫌的报告，恐怕美韩政治关系是主要原因

holycow

一身轻松 发表于 2014-6-25 21:24
这个报告，我个人觉得对波音不是很公平
8 f. [) u- [' |' Q
假如是波音的设计，那么类似问题应该在777最初使用的前几年就暴露 ...

我觉得没有偏袒，首先只是contributing factor，不是probable cause，probable cause那几条，全部指向飞行员和航空公司。

) v9 I2 p  e: e, d4 L7 [1 F% y其次，波音787用的是和777一样的自动油门设计，在取证的时候同时被FAA和EASA的飞行员质疑FLCH模式下自动油门的运作逻辑，认为容易造成误解，这里可没有任何棒子掺和在里面。虽然这个东西可以通过严格培训来解决，但和一般人直觉不一样的设计怎么说也是有改进余地的。这个FLCH模式在欧美的飞行员圈子里被叫做FLCH trap，只是人家培训做得好而已，但隐患总是存在。
& j, ?2 l8 U4 X) P4 E- s) X
( Y: }6 }. {) ~$ F! e自动系统的模式动不动多达二十几个，这是一个系统设计里human factor的问题，你让一个人去记二十几种模式，不可能每一个细节都熟悉的，系统越复杂，误解的可能性越大。培训可以mitigate这个问题，但不能完全避免这个问题。

holycow

马鹿 发表于 2014-6-25 16:03
' N8 N9 o% b* b2 o1 U在电力行业中手动控制永远优先于自动控制， 而且我认为这是必须的。

就像是偶家的电高压锅也得听我的吧 ...

手动控制永远优先于自动控制是没有问题的，但是操作人员手动接管的时候是否完全清楚系统各参数在交接时的状态就是个问题了。如果对一两个参数的状态理解错了，下面就会做出错误的手动操作，这个才是要命的。这个一部分是系统怎样把参数状态present给操作员的问题，另一部分是系统逻辑怎样贴近人的思维常规的问题，但是总有时候something falls through the crack.

xlan1976

一身轻松 发表于 2014-6-26 13:24
这个报告，我个人觉得对波音不是很公平
$ ?+ }: M6 C5 h/ I$ Y0 ]
假如是波音的设计，那么类似问题应该在777最初使用的前几年就暴露 ...

+ M: u$ W8 n6 @/ o2 T0 F5 G  B% W4 t谈不上不公平，因为NTSB的报告并没有把责任归于波音，而是说波音的手册不够详尽，未能清晰说明自动驾驶和自动油门的工作方式，这不是事故原因，而是在其中起到不利影响的因素。说实话，我同意NTSB的这一结论，波音的手册的确存在这样的问题。

xlan1976

事故链F这条可能是韩亚编写手册的人员对飞机系统不熟悉，有可能是对波音手册的相关内容理解错误导致。

xlan1976

看完神牛这个缩水版调查报告，跟前两天看的CAAC有关春秋航厦门事件的调查报告。
$ Q, g  k$ R7 c0 {说实话，这两起事件还是有些相通之处的，都是机组在事件初始阶段对可能出现的问题准备不足，继而又出现一系列的或轻微或严重的错误，导致飞机处于危险的境地。
老实说，我看CAAC的调查报告的时候，觉得CAAC有点吹毛求疵了，因为现实中很难做到有如教科书一样完美。春秋航机组的处置，尤其是在飞机接地后，虽然有瑕疵，但基本还是正确的，当然如果完美就不会导致擦尾了。。
: r6 s8 E7 R, `5 [: E1 e- E不过今天看看神牛的NTSB报告缩水版，发现韩亚的机组所犯的错误跟春秋航相比，虽然是截然不同的问题，但性质上区别也就是毫厘之间（特别是在飞机接地前），所以这个飞行安全啊。。

groovy26

BA38那个是发动机出问题了和韩亚还不太一样吧，怎么说韩亚这个就是飞行员没有搞定近进，而且所有的检查手段都失效…

groovy26

新闻…东航一架737又冲出跑道了

马鹿

holycow 发表于 2014-6-26 00:43
: T; Z/ F2 V" b4 c2 x7 X手动控制永远优先于自动控制是没有问题的，但是操作人员手动接管的时候是否完全清楚系统各参数在交接时的 ...

+ u+ C; A! m0 s3 z4 Q3 v核电行业，操作人员每工作一段时间要重新上模拟机培训几个月，这样保证熟悉各种操作，可以应对紧急状况

xlan1976

马鹿 发表于 2014-6-26 19:25
核电行业，操作人员每工作一段时间要重新上模拟机培训几个月，这样保证熟悉各种操作，可以应对紧急状况 ...

飞行员也是这样的，包括我们的地面发动机试车也是如此。
1 I' i. d2 @7 ^2 H$ W& @* T$ R但在实际飞行中遇到的情况要复杂的多，总会有模拟机上遇不到的情况。

groovy26

马鹿 发表于 2014-6-26 19:25
核电行业，操作人员每工作一段时间要重新上模拟机培训几个月，这样保证熟悉各种操作，可以应对紧急状况 ...

核电站的从业人员数量和航空业没法比，反过来航空业的安全性也没法比

code_abc

xlan1976 发表于 2014-6-26 18:10
看完神牛这个缩水版调查报告，跟前两天看的CAAC有关春秋航厦门事件的调查报告。
4 W6 }- l" V5 B7 Y3 `说实话，这两起事件还是有 ...

这么快就出报告，在哪能看到？

马鹿

groovy26 发表于 2014-6-26 06:45
6 f3 O5 _5 s1 n* Z. y. K核电站的从业人员数量和航空业没法比，反过来航空业的安全性也没法比 ...

核电更安全！

马鹿

xlan1976 发表于 2014-6-26 06:37
飞行员也是这样的，包括我们的地面发动机试车也是如此。
但在实际飞行中遇到的情况要复杂的多，总 ...

5 R' Q( k4 d! W; E' h电厂还有一个本子叫事故预想， 大家不断添加各种在在规程里面情况， 并有解决方案

xlan1976

马鹿 发表于 2014-6-26 23:06
电厂还有一个本子叫事故预想， 大家不断添加各种在在规程里面情况， 并有解决方案 ...

3 a+ N1 k  M3 R! R: e0 Y) r这个类似于现在我们搞得SMS，主动报告系统。
( l  E) t; [( Z- ^每个人可以把在工作中发现的问题和差错以及建议反馈上去，然后系统会在规定的时间内完成调查和给出解决方案。
自己发生的差错或是别人的都可以报告，因为这样可以有一定程度的减免责，如果产生后果被调查出来，那么处罚会比较严厉。
1 O5 X* B' _  I# K" W' z$ U3 M另外，对于报告人还有一定的奖励。

jerf71

" w& l% e% f" G6 A& z! q# V
人/机，自控/手动，永远是矛盾的，就好像永动机一样。特别是当今所谓高科技（high tech）时代，人，相对来说，变“弱智”了，因为要掌握/学习的知识/技能太多了，随便一本使用/维修手册都上千页，年轻时还有好记性，中年时就要靠熟能生巧。一旦有错，酿成惨（大）祸。所以，人也要终生学习，在自己的岗位上不断培训。机器也是一样，特别是IT科技的广泛应用，机器变聪明了，可以自控了，但是如果机器硬件//芯片出问题，那就麻烦了，如果是软件（App/PLC）出问题，那就麻烦大大了。这时就需要人工应急手动，紧急停止机器操作。一旦失败，也是惨（大）祸。
  j% ^) y  B9 X; q3 a; C! B' h4 p( p由于Wi-Fi/4G等远程通讯技术的发展，工业界本来对远程自控/维修保养寄以厚望（无人机！？），就是好像在家里/办公室，可以拿遥控器遥控现场的电视机一样，120%自动化，但现在安静了，一个致命的问题是，办公室如何看到现场的真实情况？最近马航事件说明了，机器再聪明，还是斗不过更聪明的人，还有黑匣子，技术参数早就该提升了，起码法航事件后就该提升了。
回到本题，波音的手册不够详尽，波音的设计问题，不管多久，发现了就要改正，（用户）还有追述的权利，比如波音777，只要还在运营的，都要改正，这和保修期没有联系。