印度尼西亚737 MAX事故:维护不当如何导致设计缺陷严重

印度尼西亚737 MAX事故:维护不当如何导致设计缺陷严重

T自狮航610航班(一架波音737 MAX飞机)从印度尼西亚雅加达起飞起飞几分钟后坠入海中以来,已经有近两年的惨痛坠机,机上有189名灵魂(请参见第37页,显示飞行路线)。这是五个月内发生的两次MAX事故中的第一起,促使世界上最热销的客机停飞。

事故发生前,波音公司订购了数千架喷气式飞机。现在有些人怀疑该公司是否会从声誉受损中恢复过来。就在上个月,国会委员会发布了一份严厉的报告,其中详细描述了波音和联邦航空局在飞机设计中的许多失误。“操纵特性增强系统”—或MCAS —已添加到737系列机身中,以提供防失速运动,以补偿发动机功率和空气动力效率的提高。在事故期间,MCAS从损坏的迎角(AOA)传感器接收到错误的指示,该传感器在起飞后反复尝试将飞机的机头对准飞机。

我知道了。美国联邦航空局(FAA)和波音公司(Boeing)做出的关于机组人员对故障做出反应的假设(即使与当前行业准则相一致)被证明是错误的。作为一名航空工程师,令我震惊的是,MCAS被设计为仅依靠单个AOA传感器,因此容易受到错误输入的影响。我自由地承认,波音和联邦航空局必须对这次坠机事故的部分责任负责。

狮航610航班从雅加达起飞'的Soekarno-Hatta国际机场于2018年10月29日清晨。不到15分钟后,它坠入海中,机上所有人丧生。
狮航610航班从雅加达起飞’的Soekarno-Hatta国际机场于2018年10月29日清晨。不到15分钟后,它坠入海中,机上所有人丧生。

但是,在同样令人震惊的调查结果中发现的教训-维护不当的结果-并未听到公众对红肉的怒吼,以反对美国公司的贪婪和自负以及过度授权FAA认证。简而言之,这些鲜为人知的发现清楚地表明,如果航空公司,其维修提供者和美国维修站进行了适当的维修,就不会发生狮航事故。

事故和外国调查

610航班意外发生在星期一星期一早上6:33在印度尼西亚,那是我在华盛顿特区的星期天晚上。日期是2018年10月29日,离我计划退休的美国联邦航空局事故调查部主任还差两个月。接到电话后,我知道这很重要。在机组人员起飞后几分钟报告飞行控制问题后的晴天,这是一种新设计的美国飞机模型。这架飞机离工厂车间只有三个月的时间,事故发生时总共只记录了443次飞行。通过如此大规模的调查,退休后的工作量大增。

由于事故发生在外国,因此NTSB和FAA只是调查的“参与者”,由印尼当局根据长期的国际协议牵头进行调查。如果一个国家设计,制造或运营的飞机坠毁在另一个国家的领土内,则该国家(在本例中为美国)有权参加另一个国家的调查,以便其处理任何内部问题。美国派遣了一个由NTSB领导的由12名调查人员组成的团队,其中包括波音,GE发动机公司和FAA的“顾问”。我立即派出我的一名调查员担任FAA首席顾问,在他的陪同下有FAA 737项目测试飞行员。

记录的610航班航迹的ADS-B数据指示了一系列的过山车动作。鉴于飞行员的空中交通传输是关于飞行控制问题的,波音和FAA很快就确定MCAS指挥了水平稳定器装饰系统的重复运动。 MCAS在没有飞行员输入的情况下被激活,并且仅在手动襟翼飞行期间被激活。当AOA超过基于空速和高度的阈值时,MCAS功能将激活(请参见上图)。我实际上是从美国联邦航空局(FAA)认证工程师那里获得有关飞机设计的速成课程,而他们是在撞我,以获取事故中的任何零星信息。事故发生三天后,FAA向所有737 MAX操作员发出了紧急适航指令,以在发生类似情况时立即关闭电稳定器微调开关。同时,波音公司承诺会修复该软件。

后来被误解的新MCAS软件推翻了飞行员'的指示,并多次将鼻子往下压。
后来被误解的新MCAS软件推翻了飞行员’的指示,并多次将鼻子往下压。

可疑维护活动

但是,与所有事故一样,故事还有很多。印尼人立即采访了最后在飞机上工作过的机械师,但他们不允许任何美国团队参加这些采访。相反,他们转达了机械师所说的话。回顾事故飞机的飞行和维护日志,发现以前的飞行记录表明高度计读数存在问题,并且在事故发生前的三天内指示了空速。

事故飞机上的飞行数据记录器显示,在上一次飞行中,机长的空速指示器在启动时不起作用,但机组人员仍然起飞了。
事故飞机上的飞行数据记录器显示,在上一次飞行中,机长的空速指示器在启动时不起作用,但机组人员仍然起飞了。

所有故障指示均出现在驾驶舱显示屏的左侧(机长)。各自的工作人员反复写下来。在两次飞行之间,机械师试图解决问题。他们进行了内置(BITE)测试,重置了断路器,清洁了零件并重新连接了电插头。他们一直将故障消息归零,并在未确定根本原因的情况下批准飞机进行收益飞行。他们不断地与乘客反复派遣一架故障飞机。

当从海底恢复飞行数据记录器时(见图),它指示飞行员即使在启动时机长的空速指示器不起作用的情况下仍起飞了其中一个航班!自从1999年成立以来,狮航(Lion Air)就有11起事故和事件的记录不全。关于安全文化不足的谣言在印度尼西亚迅速发展的低成本航空器中流传。不幸的是,调查并未深入研究这些问题。

此处显示的是737 MAX单元,可为维护人员提供存储的系统信息。如果在驾驶舱内发现问题,机修工可以访问机载维护功能(OMF)以确定必要的维护措施。
此处显示的是737 MAX单元,可为维护人员提供存储的系统信息。如果在驾驶舱内发现问题,机修工可以访问机载维护功能(OMF)以确定必要的维护措施。

更换AOA传感器

在最后一次飞行的前两天,事故飞机抵达巴厘岛,飞行机组报告说,随着自动油门的松开,空速和高度标志再次出现。 737 MAX配备了为维护人员提供存储的系统信息的单元。如果在驾驶舱内发现问题,机修工可以访问机载维护功能(OMF)以确定必要的维护措施(请参见本页图形)。

为了响应指示可能的AOA发生故障的错误消息,巴厘岛的机械师需要更换飞机机头上的左侧AOA叶片(见图)。但是,没有库存,因此机械师向雅加达航空公司的维修控制中心要求了一个。他没有收到新零件,而是收到了比飞机本身更旧的二手零件。 AOA探测器已在佛罗里达州的145部分维修站进行了重新加工,并于一年前运送到Lion Air。稍后将进一步讨论该问题。但是,如果您的航空公司要购买数十亿美元的737 MAX飞机,为什么不存有几个新的AOA指标呢?

在巴厘岛的维护日志中,公司技术人员记录了AOA叶片的更换情况并完成了必需的“安装测试”,以确保对其进行了正确的校准。该测试包括上下偏转AOA叶片,同时观察航空电子设备隔舱中档位管理偏航阻尼器(SMYD)计算机箱上每个位置的数字显示指示。日志表明测试已完成,但其中未包含根据公司的维护程序需要记录的记录的测试值。飞机被扣好,载满乘客,飞机从巴厘岛出发前往雅加达。

在飞往雅加达的航班上,FDR记录了左侧AOA传感器中的值大约比右侧AOA传感器高21度。这种差异应该已经由机械师声称已执行的安装测试发现。由于错误的AOA输入,机长一侧的飞机摇杆开始颤抖,多个座舱信号灯都亮起,机组人员努力保持飞机水平。他们最终关闭了电动微调开关,但随着摇杆振动,继续飞行了一个多小时。当他们降落在雅加达时,他们报告了几盏信号灯,但没有传达飞行中发生的实际伤害。结果,机械师再次检查并重置了一些按钮,并清除了飞机的下一次飞行-事故飞行。

在巴厘岛的维护日志中,公司技术人员记录了AOA叶片的更换情况并完成了必需的“安装测试”,以确保对其进行了正确的校准。后来确定该测试可能实际上未完成。
在巴厘岛的维护日志中,公司技术人员记录了AOA叶片的更换情况并完成了必需的“安装测试”,以确保对其进行了正确的校准。后来确定该测试可能实际上未完成。

这张图片怎么了?

坠机事故发生大约两周后,NTSB和FAA的调查人员要求印尼人提供该机修工的更多详细信息,该机修工称他在巴厘岛进行了AOA传感器安装测试。几个小时后,机械师向调查人员提供了SMYD装置的照片,这些照片据称是在事故飞机的实际测试中拍摄的,以证明安装测试结果令人满意。机修工为什么要为他的维护工作拍照?为什么在调查这么晚的时候提供这些信息?有点不对劲。

我看了看照片,并与波音公司和FAA工程师一起工作,他们从数字显示器和部件编号中收集了信息。零件编号与事故飞机不符。其中一个显示屏上显示的时间是AOA传感器备件到达之前的时间。调查人员证实,SMYD装置和座舱显示器的照片不是事故机的照片。令我惊讶的是,最终报告中引用的这些事实很少引起注意。作为DOT监察长办公室的前雇员,我可以告诉您,如果在美国发生类似事件,某人将入狱。

尚余的教训

为了加重伤害,提供有故障的AOA传感器的佛罗里达维修站使用了AOA的《组件维护手册》中未指定的几台测试设备。此外,未编写任何书面说明来操作正在使用的测试设备。调查人员认为,如果不小心放置了某个模式开关,那么不合适的测试设备可能会在AOA探头中引入一个偏差,该偏差与飞行数据记录仪上看到的偏差大小相似。对我来说很明显,AOA传感器在经过FAA认证的维修站未正确校准。随后,美国联邦航空局飞行标准办公室采取了执法行动。

由于狮航事故,我在联邦航空局呆了一段时间,直到调查发现尘埃落定为止。几个月后,印尼人发表了最终报告。我在埃塞俄比亚发生的第二次737 Max事故之前约两周退休。该调查仍在进行中。我在媒体上读到,一次鸟击可能已将起飞时的AOA探测器之一取出来,促使MCAS开火。不过,我仍然对在Lion Air之后发布的FAA紧急适航指令后发生的事故有疑问。

是的,对于有缺陷的设计,波音和联邦航空局必须承担部分责任。但是,事故总是由一系列事件引起的,例如链中的链接(请参见图形)。在我看来,狮子航空事故表现出维护失当行为,可与我在2020年3月的《航空维护》一书中写到的20年前的阿拉斯加261航班意外相抗衡。与那起事故和Lion Air 610的相似性是不可否认的。在水平稳定器意外移动之后,两架客机均坠入海中,后来确定是单点故障。

在飞行前或飞行中,如果中断Lion Air 610航班事件链中的任何链接,可能会防止事故发生。
在飞行前或飞行中,如果中断Lion Air 610航班事件链中的任何链接,可能会防止事故发生。

在阿拉斯加261航班上,有关不当维护的经验教训是丰富而有效的。不幸的是,由于反波音的嗡嗡声,Lion Air 610不能说同样的话。如果您正在阅读本文,请听这些课。