导航系统引发的不安全事件-(NXPowerLite)

由于导航系统故障或不可靠数据引发的不安全事件分析技术服务中心背景随着航空电子技术的日益发展，飞机的自动化程度随之提高，各类自动驾驶、自动油门及飞行控制计算机对导航系统和各传感器提供的高度、速度、姿态、位置等数据的准确性和可靠性的要求也越来越高，近年来国际上发生的几起空难和严重不安全事件的主要原因都归结为导航系统的故障或提供了不可靠的导航参数，现将结合案例对几个主要导航系统的原理和失效后可能带来的风险进行分析。大气数据惯性基准系统(ADIRS)案例一：法航AF447空难2009年6月1日由空客A330-203型客机执飞的法航AF447号航班，从里约热内卢的加雷欧国际机场起飞，目的地为法国巴黎戴高乐机场。该机在起飞后3个半小时后与交通管制中心最后一次联络，此后再未能与机组成员取得进一步的联系。后证实该机坠入大西洋中，机上机组人员和乘客共228人全部遇难。事故简述•根据事故调查机构7月2日发布的首份正式调查报告，飞机当时的航路上存在强对流的积雨云，之前报道所称的空速管结冰或空速不可靠是事故发生的原因之一，但并不能证实该原因是造成事故的直接原因。飞机在飞行过程中没有损坏，它似乎是伴随着很高的垂直加速度直线撞击坠入海面的。•AIRBUS曾下发SIL34-086说明法航安装的Thales生产的空速管排水孔过小，可能会引起积水或结冰，建议扩孔并用细长的磁铁吸出金属屑，法航失事飞机并未执行此改装。事故原因AF447传回的ACARS数据根据ACARS传回的数据来看，有ADRDISAGREE信息，说明至少两个空速参数失效，飞机已经转入备用法则，AP，A/THR断开。近期发生的两起类似事件•2009年5月21日，巴西TAM航空公司一架A330-200飞机，注册号为PT-MVB，执行JJ-8091航班，从美国迈阿密飞往巴西圣保罗。飞行途中，机组注意到外界大气温度OAT突然下降，接着大气数据系统失去工作，自动驾驶和自动油门脱开，空速指示和高度指示失去。机组使用备用仪表系统，5分钟后主系统恢复可用。飞机安全降落圣保罗机场。•2009年6月23日，美国西北航空公司一架A330-300飞机，注册号为N805NW，执行NW-8航班，从香港飞往东京。飞行途经中国东海时，机组注意到外界大气温度OAT下降，大气数据系统失去工作，自动驾驶和自动油门脱开，空速指示和高度指示失去。机组使用备用仪表系统，后主系统恢复可用。飞机安全降落东京成田机场这两架飞机装的空速管都是Thales的产品，ADIRU为Honeywell产品，与法航AF447失事飞机构型一样。据悉，法航空客喷气机去年至少发生了9起空速管结冰事件。应对措施•空客下发了AIRBUSAF447AITn°2对出现空速数据不可靠的情况下，机组应参照AFM、FCOM和QRH采取的措施进行了说明。•工程部下发TAMULT-34-017《大气数据系统机组操作，车间维护和航材订货等注意事项》。•计划对A330（6116、6118）、A340和A319机队执行加装BUSS(BACKUPSPEEDSCALE)系统的改装，BUSS的功能是在空速不一致时对机组进行相应的警告，在空速不可靠，3部ADR都关断的情况下，以AOA角度代替空速指示，以GPS高度代替气压高度指示，结合飞机的全重、飞行阶段等参数计算出当前安全的飞行速度范围并给出指示。案例二：QantasA330非指令俯冲2008年10月7日，澳航的一架A330客机执行新加坡至澳大利亚的航班，当飞机在FL370高度巡航时，AP自动脱开，出现多条不同系统的警告信息，当机组正在按程序处理这些故障信息时，飞机突然急剧下降650FT，在机组操纵飞机改平后不久，飞机再次非指令下降400FT，飞机随后安全备降，一名乘务员和13名乘客严重受伤。之后不久，澳航的另一架A330飞机也出现了一起同样的事件，无人员受伤。事件原因飞机左AOA传感器在空中出现间歇性故障，数次输出角度数值突变的错误数据给ADIRU1，ADIRU1未能识别此错误数据，将其输出给FMGEC和FCPC，FCPC的信号判断逻辑也没有识别出ADIRU1输出的错误AOA数据，使FCPC认为飞机目前处于失速状态，从而发出机头向下的指令，同时，FE做出大攻角保护和防止机头向上补偿保护，使得飞机两次急剧俯冲。类似事件2005年8月马来西亚航空公司一架B777执行珀斯(PERTH，澳大利亚)-吉隆坡航班任务，由于在航路飞行时出现姿态异常，不得不返航珀斯备降。ATSB认为由于飞机软件系统出现问题，导致大气数据惯性基准组件（ADIRU）采用了一个故障已知加速计的测量数据，ADIRU这一错误的数据又被主飞行计算机使用，最终导致了飞行姿态异常。ATSB认为导致此不安全事件的原因还有：软件的异常没有在ADIRU初始检测和认证中发现；飞机手册没有姿态异常的详细信息和操作指导。应对措施•EASA和CAAC下发AD2009-0012-E和CAD2009-MULT-02要求修改A330/340AFM，在出现类似情况时，要求机组彻底关断受影响的ADIRU，以消除错误参数对其他系统的影响。•澳大利亚交通安全局（ATSB)在其调查报告中建议空客改良其PRIM(FCPC)系统的数据处理逻辑。•工程部下发TAA33-34-001以符合AD及CAD的要求。案例三：冰岛航空B757-200在爬升过程中失速2002年10月19日，冰岛航空的一架B757-200飞机在从FL330向FL370爬升的过程中发生失速，当机组从失速状态改出时，飞机下坠了7000FT的高度，后安全备降，无人员受伤或飞机受损。地面检查发现左侧全压管路中有灰尘颗粒形成堵塞，导致左侧空速数据不可靠。事件过程分析•起飞过程中，左侧空速指示为80节，右侧指示为100节，机长观察发现右侧空速指示与备用仪表一致，决定继续起飞；•初步判定左侧空速为不可靠数据•起飞后左FD消失，随后故障消失，空速指示也恢复正常、一致；•FDR译码显示APC接通VNAV模式，FCCC使用ADCL的数据，导致左FD指引杆消失事件过程分析•飞机从10000FT向33000FT爬升的过程中故障再现，随即又消失，机长认为虽然本侧仪表没有故障旗显示，但机长侧的空速指示是不正常的，所以将大气数据源选择到备用位；•机长侧仪表使用ADCR的数据，正副驾驶和备用仪表显示一致•机组使用AP和AT从FL330向FL370爬升时，出现超速警告，机组认为是由于空速不正常引起，未采取措施，继续爬升；•AT使用ADCL的错误数据，而此数据低于ADCR输出的实际空速，所以AT增加推力，使空速增大且机头有向上抬起的趋势•副驾驶观察到本侧的空速有下降的趋势，认为右侧的数据也不可信，机长随即将AP转换到FCCRVNAV模式，不久后飞机开始抖杆进而整个机身开始剧烈抖动；•飞机抬头使空速降低，AP转换到右侧后，AT使用ADCR的数据，但AP衔接在VNAV模式，其俯仰指令由FMC发出，FMC一直使用ADCL的数据，使得FMC认为飞机实际速度比目标速度要快，所以通过AP操纵机头向上以减速，最终导致失速•机组断开AP和AT，改出失速状态，依靠备用仪表安全备降。•整个事件是由于空速管路污染而导致空速指示不正常，使飞行员无法判断正确的信号源，同时飞行员对系统信号源转换原理不清，过分依赖自动飞行系统。事件过程分析空中交通与防撞系统(TCAS)TCAS系统由TACS处理机和上下天线组成，TCAS是通过连续发送询问信号和接受应答信号，根据发射信号和应答信号间的时间间隔来计算距离。同时根据方向天线确定方位，及应答方的高度信号计算飞机的动向和可能的危险接近（即接近率）发出警告。其控制收发和计算都由TACS处理机完成。案例：海航B767在郑州区域发生飞行冲突事故征候2008年9月16日，B-2490执飞的HU7281航班在郑州区域出现TCAS警告，机组按照RA指引操纵飞机上升后与南航CZ3152航班和国航CA1322航班发生飞行冲突，构成一起飞行事故征候。飞机于进入郑州区域后，飞行高度37120英尺TCAS突然出现黄色TA信息，显示其后下方有目标接近并处于上升状态，随后TA信息很快转变为红色RA信息，瞬间显示同高度。机组随即脱开自动驾驶和自动油门，操纵飞机爬升高度并右转偏离航路，同时向郑州区域管制室报告了情况。当时，南航CZ3152航班相对飞行，高度38100英尺；国航CA1322航班同向飞行，高度39100英尺。管制员了解情况后，指挥HU7281右转，指挥国航CA1322左转予以避让。HU7281航班上升到38870英尺后，RA发出下降的反向指引信息，飞行员立即操纵飞机下降，在高度37319英尺时，RA指引消失。此后，三个航班恢复正常飞行，其间触发了南航航班的TA信息。事件描述事件原因•综合调查情况，触发HU7281航班飞机TCAS告警的可能原因是该机TCAS系统产生了“假信号”。•根据对事发区域和郑州机场相关活动的调查，可以排除航管雷达、地面飞机引发“假信号”的可能，也可以排除不明飞行触发HU7281航班的可能性。•根据国际民航有关信息通告，旅客便携式电子设备的信号、客舱电子设备信号及其耦合，也会对TCAS天线接收信号产生干扰。鉴于TCAS系统处理过程的复杂性和信号源的多样性，系统有可能产生“假信号”。本次事件发生后，TCAS计算机、两部ATC应答机、TCAS上下天线及相关线路测试结果均显示正常。本次排故过程中发现的唯一缺陷就是TCAS与ATC、DME之间的信号抑制电缆有压痕且同轴电缆插头变形。此抑制电缆的作用是在TCAS发射询问信号时，抑制ATC和DME的发射，以免TCAS接收到本机发射的信号，产生“自问自答”的现象，该现象主要表现为：没有TA过渡直接产生RA警告，入侵飞机与本机位置重合且高度一致，不随规避动作而降级或消失，目前尚不能证明此缺陷是导致该事件发生的原因。工程部下发了TAMULT-34-013R1《关于虚假TCAS警告的说明》台湾一波音757因过度依靠TCAS致20人受伤事件的起因是远东空中运输公司飞机飞行员忽然以12000英尺每分钟的速度下降高度。操作过程导致三人骨折、一人因碰撞失去知觉，另有十名乘客和六名乘务人员受轻伤，此外飞机结构也遭到破坏。事件原因在调整过程中发现，由于TCAS系统发出“下降”指令的影响，在飞行员试图降低高度并使飞机重新平飞的过程中飞机先是受到持续四秒的向上反向1.06g加速度，后是受到持续两秒的向下正向2.48g加速度。台湾民航安全管理局的调查结果是：由于TCAS系统没有给出合适的处理标准同时机组没有完全按照TCAS所建议的标准操作流程进行操作，而是选择了一种过激的高速率下降的操作，导致飞机采取了过激的躲避动作。其它导航系统案例：土耳其航空B737-800空难2009年2月25日，一架载有135人的土耳其航空公司波音737-800型客机在荷兰阿姆斯特丹坠毁，造成9人丧生和55人受伤。飞机在降落过程中失事坠毁到机场附近的田地中。在巨大冲力作用下，整个机身断成两截，尾翼也从机体上脱落，有一个严重受损引擎被甩到了距离坠毁地点200米远处。相关资料显示，这架飞机一直都按要求进行定期保养和维护。事故原因•失事飞机FDR数据显示：机组使用APB通道和自动油门进近，飞机下降到1950英尺的时候，右侧无线电高度表提供正确的高度信号，而左侧RA提供了错误的高度数据，无线电高度数值突然从1950转变到-7/-8英尺，自动油门用左RA的数据将工作模式转变为着陆拉平模式，并将油门杆收回到慢车止挡位保持了大约100秒，空速比所选择的进近空速值小了40节，飞机的速度降低到了最小飞行速度，并出现失速警告，发生抖杆后机组将油门杆推到最大，但是此时飞机高度已经太低，最终导致事故发生。•机组最初通过EGPWC起落架放下警告注意到左无线电高度表工作不正确，但是当时没有认为会对飞机操作会造成影响，但是实际上飞机AP和A/T系统对这种突然的变化产生了响应，错误的认为飞机离地只有几米。机组最初对此情况未采取措施最终导致了飞机的失速。应对措施•波音提供了一部RA失效情况下机组操作临时措施