摘 要: 航空器駕駛艙自動(dòng)化在提高駕駛艙效率、降低運(yùn)行費(fèi)用、改善飛行安全方面作出了貢獻(xiàn)。然而,自80 年代以來(lái),民航安全的改善收效甚微,本文主要從安全的角度對(duì)自動(dòng)化飛機(jī)事故的特征進(jìn)行了若干分析。
高度自動(dòng)化的飛機(jī)有效地避免了如飛機(jī)相撞、失控等傳統(tǒng)飛機(jī)經(jīng)常發(fā)生的事故。但是FMS( FlightManagement System ) 、FMC ( Flight ManagementComputer) 、CDU (Cont rol Display Unit) 、FADEC(FullAuthority Digital Elect ronics Cont rol) 的使用帶來(lái)了新工作方式, 引入了新的人機(jī)關(guān)系和人機(jī)界面, 這些新的東西與傳統(tǒng)的工作方式和思維方式發(fā)生了矛盾和沖突, 從而導(dǎo)致了新問(wèn)題的發(fā)生。另外, 自動(dòng)化裝置(或系統(tǒng)) 都是在分析已知問(wèn)題的基礎(chǔ)上設(shè)計(jì)的, 換言之它所能處理的是設(shè)計(jì)者所能考慮到的情況, 一旦設(shè)計(jì)者沒(méi)有考慮到的情況發(fā)生, 自動(dòng)化系統(tǒng)也就可能變得無(wú)能為力了。通過(guò)對(duì)現(xiàn)代噴氣客機(jī)與自動(dòng)化相關(guān)事故的分析, 可以看出其事故有如下特征。
1 錯(cuò)誤地選用飛行模式
現(xiàn)代飛機(jī)增加了預(yù)先輸入數(shù)據(jù)、預(yù)定飛行模式的工作方式。當(dāng)選擇了不恰當(dāng)?shù)墓ぷ鞣绞斤w行時(shí),遇上復(fù)雜情況時(shí)就有可能導(dǎo)致事故。例如, 巴西Brasilia 公司的一架飛機(jī)自動(dòng)飛行時(shí)采用的是俯仰方式而不是爬升或空速方式爬升至巡航高度。高俯仰角使空速減慢, 并由于機(jī)體結(jié)冰導(dǎo)致突然失速, 損失3 65716m(12 000ft) 的高度,飛機(jī)在改出下降的過(guò)程中和隨后的緊急著陸時(shí)遭到損壞。
2 過(guò)分依賴自動(dòng)駕駛, 忽略了對(duì)飛機(jī)的監(jiān)控
由于自動(dòng)駕駛成功地取代了許多原先由人來(lái)完成的工作, 在某些方面甚至比人做的更好, 因此某些駕駛員產(chǎn)生了過(guò)分依賴自動(dòng)駕駛的思想。當(dāng)飛行環(huán)境發(fā)生變化或飛機(jī)發(fā)生某些故障時(shí), 自動(dòng)駕駛儀將仍按照正常設(shè)計(jì)條件運(yùn)作, 自動(dòng)地進(jìn)行調(diào)節(jié)以維持給定模態(tài)進(jìn)行飛行, 設(shè)定的參數(shù)被自動(dòng)駕駛儀維持著, 但其它的參數(shù)發(fā)生了變化, 飛機(jī)的姿態(tài)發(fā)生了變化, 使飛機(jī)進(jìn)入危險(xiǎn)狀態(tài)。另外, 自動(dòng)駕駛修正能力有限, 一旦修正能力飽和, 就失去了修正能力, 如果此時(shí)駕駛員仍然指望自動(dòng)駕駛, 那就更加危險(xiǎn)了。
例如, 1992 年某航空公司一架B7372300飛機(jī), 在臨近機(jī)場(chǎng)下降改平飛時(shí), 自動(dòng)油門發(fā)生故障, 右發(fā)一直保持慢車位, 造成飛機(jī)長(zhǎng)時(shí)間推力不對(duì)稱, 結(jié)果自動(dòng)駕駛橫側(cè)操縱能力飽和致使飛機(jī)坡度不斷增加。當(dāng)飛行員發(fā)現(xiàn)情況異常時(shí), 為時(shí)已晚。
另一次類似的事故發(fā)生在1995 年, 一架羅馬尼亞航空公司的A310 飛機(jī),起飛時(shí)使用了自動(dòng)油門和自動(dòng)控制推力。當(dāng)飛機(jī)爬升到60916m(2 000ft) 高度時(shí),自動(dòng)控制推力選擇了爬升推力, 此時(shí)自動(dòng)油門發(fā)生故障, 飛機(jī)左發(fā)推力降為慢車, 而右發(fā)仍然維持起飛推力, 造成飛機(jī)推力不對(duì)稱, 飛機(jī)坡度迅速增加、高度降低。這兩起事故都是由于自動(dòng)油門故障導(dǎo)致的事故。實(shí)際上, 兩起事故都可以由駕駛員及時(shí)斷開(kāi)自動(dòng)油門改為手動(dòng)操縱油門得以避免。但是, 對(duì)自動(dòng)駕駛的依賴性, 導(dǎo)致駕駛員沒(méi)有對(duì)飛機(jī)和自動(dòng)駕駛實(shí)施有效的監(jiān)控, 駕駛員沒(méi)有及時(shí)改為手動(dòng)操縱, 結(jié)果貽誤了時(shí)機(jī)導(dǎo)致了事故。
3 人與自動(dòng)化相互“溝通”發(fā)生困難
現(xiàn)代飛機(jī)的自動(dòng)駕駛系統(tǒng)已發(fā)展到比較完善的程度, 只要飛行員輸入一些指令, 自動(dòng)駕駛系統(tǒng)就能承擔(dān)其幾乎全部操縱任務(wù)。因此帶來(lái)了人與自動(dòng)駕駛系統(tǒng)的“溝通”和人與人的溝通問(wèn)題。當(dāng)自動(dòng)駕駛系統(tǒng)按照駕駛員給定的輸入進(jìn)行工作時(shí)發(fā)生了一些特殊情況, 飛行員上手操作時(shí)使情況就可能變得非常復(fù)雜, 甚至造成人與自動(dòng)化系統(tǒng)的對(duì)抗。一架華航A3002600 在名古屋失事就是一個(gè)典型的例子, 1994 年A3002600 在名古屋“進(jìn)近”時(shí), 副駕駛非故意地按下了“復(fù)飛”按鈕。飛機(jī)處于“復(fù)飛”模態(tài), 推力增加到“復(fù)飛”推力。在這種情況下,在占用儀表著陸系統(tǒng)后, 自動(dòng)飛行必須用一個(gè)開(kāi)關(guān)脫離, 不能象較老的飛機(jī)上僅僅對(duì)操縱桿用力就可以脫開(kāi)。但駕駛員繼續(xù)進(jìn)近, 并用力推桿力圖使機(jī)頭低下去。自動(dòng)駕駛儀將此作為一個(gè)有害輸入信號(hào),并使機(jī)頭上仰補(bǔ)償配平。駕駛員用升降舵工作, 而自動(dòng)駕駛儀(有更大的權(quán)力) 用安定面工作, 人與自動(dòng)駕駛儀產(chǎn)生了矛盾, 導(dǎo)致了對(duì)抗, 使飛機(jī)的上仰姿態(tài)越來(lái)越大。當(dāng)機(jī)長(zhǎng)發(fā)現(xiàn)不能著陸改為“復(fù)飛”時(shí), 飛機(jī)俯仰姿態(tài)迅速增加, 速度減少, 進(jìn)入失速。
4 自動(dòng)化邏輯異常
自動(dòng)化所能處理的是設(shè)計(jì)者預(yù)想到的情況, 而飛行是非常復(fù)雜的活動(dòng), 受到“人、機(jī)、環(huán)境”的影響, 情況千差萬(wàn)別, 時(shí)常會(huì)出現(xiàn)預(yù)想不到的事情。遇到這些預(yù)想不到的情況自動(dòng)化系統(tǒng)就可能作出不恰當(dāng)?shù)奶幚? 導(dǎo)致事故的發(fā)生。1994 年英國(guó)一架B7372200 飛機(jī)起飛時(shí)選擇了功率和飛機(jī)輕(97000kg) 的設(shè)置。飛機(jī)以大迎角爬升, 飛機(jī)自動(dòng)駕駛儀高度截獲狀態(tài)定在1 524m (5 000ft ) 。因?yàn)轱w機(jī)的上升率太大, 飛機(jī)在穿越670156m (2 200ft ) 高度時(shí), 自動(dòng)駕駛儀就被激活了, 自動(dòng)駕駛儀控制飛機(jī)自動(dòng)收油門。由于在大迎角下減少了推力, 飛機(jī)的空速迅速減少, 導(dǎo)致了事故的發(fā)生。1994 年,A330 在空客總部法國(guó)圖魯茲進(jìn)行試飛, 當(dāng)飛機(jī)自動(dòng)駕駛系統(tǒng)進(jìn)行發(fā)動(dòng)機(jī)故障“復(fù)飛”模擬試驗(yàn)時(shí), 飛機(jī)自動(dòng)駕駛儀定位在高度“捕獲”狀態(tài)。自動(dòng)駕駛儀一開(kāi)始工作, 飛機(jī)維持著高度保持的模態(tài), 造成飛機(jī)推力損失后飛機(jī)不能下俯, 導(dǎo)致速度降低, 失去控制。2 次事故自動(dòng)控制系統(tǒng)都沒(méi)有出現(xiàn)故障,自動(dòng)駕駛系統(tǒng)控制狀態(tài)異常造成了飛行事故。
高度自動(dòng)化的飛機(jī)有效地避免了如飛機(jī)相撞、失控等傳統(tǒng)飛機(jī)經(jīng)常發(fā)生的事故。但是FMS( FlightManagement System ) 、FMC ( Flight ManagementComputer) 、CDU (Cont rol Display Unit) 、FADEC(FullAuthority Digital Elect ronics Cont rol) 的使用帶來(lái)了新工作方式, 引入了新的人機(jī)關(guān)系和人機(jī)界面, 這些新的東西與傳統(tǒng)的工作方式和思維方式發(fā)生了矛盾和沖突, 從而導(dǎo)致了新問(wèn)題的發(fā)生。另外, 自動(dòng)化裝置(或系統(tǒng)) 都是在分析已知問(wèn)題的基礎(chǔ)上設(shè)計(jì)的, 換言之它所能處理的是設(shè)計(jì)者所能考慮到的情況, 一旦設(shè)計(jì)者沒(méi)有考慮到的情況發(fā)生, 自動(dòng)化系統(tǒng)也就可能變得無(wú)能為力了。通過(guò)對(duì)現(xiàn)代噴氣客機(jī)與自動(dòng)化相關(guān)事故的分析, 可以看出其事故有如下特征。
1 錯(cuò)誤地選用飛行模式
現(xiàn)代飛機(jī)增加了預(yù)先輸入數(shù)據(jù)、預(yù)定飛行模式的工作方式。當(dāng)選擇了不恰當(dāng)?shù)墓ぷ鞣绞斤w行時(shí),遇上復(fù)雜情況時(shí)就有可能導(dǎo)致事故。例如, 巴西Brasilia 公司的一架飛機(jī)自動(dòng)飛行時(shí)采用的是俯仰方式而不是爬升或空速方式爬升至巡航高度。高俯仰角使空速減慢, 并由于機(jī)體結(jié)冰導(dǎo)致突然失速, 損失3 65716m(12 000ft) 的高度,飛機(jī)在改出下降的過(guò)程中和隨后的緊急著陸時(shí)遭到損壞。
2 過(guò)分依賴自動(dòng)駕駛, 忽略了對(duì)飛機(jī)的監(jiān)控
由于自動(dòng)駕駛成功地取代了許多原先由人來(lái)完成的工作, 在某些方面甚至比人做的更好, 因此某些駕駛員產(chǎn)生了過(guò)分依賴自動(dòng)駕駛的思想。當(dāng)飛行環(huán)境發(fā)生變化或飛機(jī)發(fā)生某些故障時(shí), 自動(dòng)駕駛儀將仍按照正常設(shè)計(jì)條件運(yùn)作, 自動(dòng)地進(jìn)行調(diào)節(jié)以維持給定模態(tài)進(jìn)行飛行, 設(shè)定的參數(shù)被自動(dòng)駕駛儀維持著, 但其它的參數(shù)發(fā)生了變化, 飛機(jī)的姿態(tài)發(fā)生了變化, 使飛機(jī)進(jìn)入危險(xiǎn)狀態(tài)。另外, 自動(dòng)駕駛修正能力有限, 一旦修正能力飽和, 就失去了修正能力, 如果此時(shí)駕駛員仍然指望自動(dòng)駕駛, 那就更加危險(xiǎn)了。
例如, 1992 年某航空公司一架B7372300飛機(jī), 在臨近機(jī)場(chǎng)下降改平飛時(shí), 自動(dòng)油門發(fā)生故障, 右發(fā)一直保持慢車位, 造成飛機(jī)長(zhǎng)時(shí)間推力不對(duì)稱, 結(jié)果自動(dòng)駕駛橫側(cè)操縱能力飽和致使飛機(jī)坡度不斷增加。當(dāng)飛行員發(fā)現(xiàn)情況異常時(shí), 為時(shí)已晚。
另一次類似的事故發(fā)生在1995 年, 一架羅馬尼亞航空公司的A310 飛機(jī),起飛時(shí)使用了自動(dòng)油門和自動(dòng)控制推力。當(dāng)飛機(jī)爬升到60916m(2 000ft) 高度時(shí),自動(dòng)控制推力選擇了爬升推力, 此時(shí)自動(dòng)油門發(fā)生故障, 飛機(jī)左發(fā)推力降為慢車, 而右發(fā)仍然維持起飛推力, 造成飛機(jī)推力不對(duì)稱, 飛機(jī)坡度迅速增加、高度降低。這兩起事故都是由于自動(dòng)油門故障導(dǎo)致的事故。實(shí)際上, 兩起事故都可以由駕駛員及時(shí)斷開(kāi)自動(dòng)油門改為手動(dòng)操縱油門得以避免。但是, 對(duì)自動(dòng)駕駛的依賴性, 導(dǎo)致駕駛員沒(méi)有對(duì)飛機(jī)和自動(dòng)駕駛實(shí)施有效的監(jiān)控, 駕駛員沒(méi)有及時(shí)改為手動(dòng)操縱, 結(jié)果貽誤了時(shí)機(jī)導(dǎo)致了事故。
3 人與自動(dòng)化相互“溝通”發(fā)生困難
現(xiàn)代飛機(jī)的自動(dòng)駕駛系統(tǒng)已發(fā)展到比較完善的程度, 只要飛行員輸入一些指令, 自動(dòng)駕駛系統(tǒng)就能承擔(dān)其幾乎全部操縱任務(wù)。因此帶來(lái)了人與自動(dòng)駕駛系統(tǒng)的“溝通”和人與人的溝通問(wèn)題。當(dāng)自動(dòng)駕駛系統(tǒng)按照駕駛員給定的輸入進(jìn)行工作時(shí)發(fā)生了一些特殊情況, 飛行員上手操作時(shí)使情況就可能變得非常復(fù)雜, 甚至造成人與自動(dòng)化系統(tǒng)的對(duì)抗。一架華航A3002600 在名古屋失事就是一個(gè)典型的例子, 1994 年A3002600 在名古屋“進(jìn)近”時(shí), 副駕駛非故意地按下了“復(fù)飛”按鈕。飛機(jī)處于“復(fù)飛”模態(tài), 推力增加到“復(fù)飛”推力。在這種情況下,在占用儀表著陸系統(tǒng)后, 自動(dòng)飛行必須用一個(gè)開(kāi)關(guān)脫離, 不能象較老的飛機(jī)上僅僅對(duì)操縱桿用力就可以脫開(kāi)。但駕駛員繼續(xù)進(jìn)近, 并用力推桿力圖使機(jī)頭低下去。自動(dòng)駕駛儀將此作為一個(gè)有害輸入信號(hào),并使機(jī)頭上仰補(bǔ)償配平。駕駛員用升降舵工作, 而自動(dòng)駕駛儀(有更大的權(quán)力) 用安定面工作, 人與自動(dòng)駕駛儀產(chǎn)生了矛盾, 導(dǎo)致了對(duì)抗, 使飛機(jī)的上仰姿態(tài)越來(lái)越大。當(dāng)機(jī)長(zhǎng)發(fā)現(xiàn)不能著陸改為“復(fù)飛”時(shí), 飛機(jī)俯仰姿態(tài)迅速增加, 速度減少, 進(jìn)入失速。
4 自動(dòng)化邏輯異常
自動(dòng)化所能處理的是設(shè)計(jì)者預(yù)想到的情況, 而飛行是非常復(fù)雜的活動(dòng), 受到“人、機(jī)、環(huán)境”的影響, 情況千差萬(wàn)別, 時(shí)常會(huì)出現(xiàn)預(yù)想不到的事情。遇到這些預(yù)想不到的情況自動(dòng)化系統(tǒng)就可能作出不恰當(dāng)?shù)奶幚? 導(dǎo)致事故的發(fā)生。1994 年英國(guó)一架B7372200 飛機(jī)起飛時(shí)選擇了功率和飛機(jī)輕(97000kg) 的設(shè)置。飛機(jī)以大迎角爬升, 飛機(jī)自動(dòng)駕駛儀高度截獲狀態(tài)定在1 524m (5 000ft ) 。因?yàn)轱w機(jī)的上升率太大, 飛機(jī)在穿越670156m (2 200ft ) 高度時(shí), 自動(dòng)駕駛儀就被激活了, 自動(dòng)駕駛儀控制飛機(jī)自動(dòng)收油門。由于在大迎角下減少了推力, 飛機(jī)的空速迅速減少, 導(dǎo)致了事故的發(fā)生。1994 年,A330 在空客總部法國(guó)圖魯茲進(jìn)行試飛, 當(dāng)飛機(jī)自動(dòng)駕駛系統(tǒng)進(jìn)行發(fā)動(dòng)機(jī)故障“復(fù)飛”模擬試驗(yàn)時(shí), 飛機(jī)自動(dòng)駕駛儀定位在高度“捕獲”狀態(tài)。自動(dòng)駕駛儀一開(kāi)始工作, 飛機(jī)維持著高度保持的模態(tài), 造成飛機(jī)推力損失后飛機(jī)不能下俯, 導(dǎo)致速度降低, 失去控制。2 次事故自動(dòng)控制系統(tǒng)都沒(méi)有出現(xiàn)故障,自動(dòng)駕駛系統(tǒng)控制狀態(tài)異常造成了飛行事故。