ボーイング737 MAXとの混同：事故の考えられる原因の分析

「 地形への制御飛行 」は、パイロットが何かに気を取られたり混乱したりすることによる、正常に機能している航空機のcrash 落を表す航空用語です。 本当の悪夢。 私の推定によると、 自動操縦飛行での地面との衝突は 、状況を保存するために乗組員の必死の試みにもかかわらず、航空機制御システムが地面に飛び込むように強制すると、さらに悪化します。 これが、新しいボーイング737 MAX 8の最近の2つのクラッシュの原因であると言われています。これらのインシデントがどのように発生したかを把握しようとしました。

注：MAX 8災害の研究は初期段階であるため、記事の多くは間接的な情報源からのデータ、言い換えると、リークや噂、および彼らが話していることを知っているか知らない人々の推論に基づいています したがって、読み続けることに決めた場合は、これを考慮してください。

クラッシュ

2018年10月29日の早朝、ライオンエアの610便はインドネシアのジャカルタを出発し、189人が搭乗しました。 それはたった4か月しか続かなかった新しい737 MAX 8であり、1960年代に作成されたボーイングの航空機ラインの最新モデルです。 離陸および約1,600フィート（480メートル）の高さへの上昇は正常であり、その後、パイロットはフラップ（低速で揚力を増加させる翼要素）を取り外しました。 この時点で、航空機は突然900フィート（270メートル）に落ちました。 航空管制官との無線会話で、パイロットは「制御システムの問題」を報告し、管制官のレーダーの画面に表示される高度と速度のデータを要求しました。 コックピット内の機器は、揮発性の測定値を示しました。 パイロットはフラップを引き抜いて5,000フィート（1,500メートル）まで登りましたが、フラップを格納した後、航空機の機首が下がり、再び高度を失い始めました。 次の6〜7分間、パイロットは自分の航空機と戦い、機首の高さを維持しようとしましたが、飛行制御システムは常にそれを下げました。 最後に、車が勝った。 飛行機は高速で水にcrash落し、乗船中のすべてが死亡しました。

2番目の災害は3月8日、エチオピア航空302便がアディスアベバから離陸した6分後にcrash落し、157人が死亡しました。 この航空機は別のMAX 8であり、わずか2か月で運用されました。 パイロットは制御の問題を報告し、衛星観測データは高度の急激な変動を示しました。 Lion Airの事故と類似しているため、アラームが発生しました。同じ誤動作または設計上の欠陥が両方のインシデントを引き起こした場合、他の事故が発生する可能性があります。 数日で、世界中の737 MAX艦隊は飛行を停止されました。 302便の事故から回収されたデータは、2つの症例が密接に関連しているという疑いを補強しました。

610ライオンエア便の悲しい運命は、ブラックボックスから抽出されたデータに由来しています。 （このチャートは、インドネシアの国家交通安全委員会の予備報告の一部として11月に発行されました。）


履歴の一般的な考え方は、グラフの下部にある高さ追跡曲線によって提供されます。 最初の上昇は急降下によって中断されます。 さらに登ると、不安定なジェットコースターが長く続きます。 最後に飛び込みがあり、10秒を少し超えると、航空機は5,000フィート（1,500メートル）降下します。 （グラフ上に数百フィート離れた2つの高さ曲線があるのはなぜですか？長い記事の最後でこの質問に戻ります。）


これらすべての浮き沈みは、水平尾翼-胴体後部の小さな翼のような表面-の動きによって引き起こされました。 スタビライザーは、航空機のピッチ角を制御します。 鼻が向けられている場所に。 737では、これを2つの方法で行います。 エレベータートリマーメカニズムはスタビライザー全体を傾け、パイロットコントロールホイール（ステアリングホイールがあなたに近づいたり離れたりする）がエレベーターを動かします。これは、スタビライザーの後ろにある可動ハンドルです。 どちらの場合も、サーフェスの背面を上に移動すると、航空機の機首が上昇し、その逆も同様です。 ここでは、エレベータの動きではなく、主にトリマーの変更に関心があります。

エレベータートリマーシステムに与えられたコマンドと航空機への影響は、フライトデータの3つの曲線で示されています。便宜上、ここで繰り返します。


「トリムマニュアル」 （青）とマークされた行はパイロットの動作を反映し、「トリム自動」 （オレンジ）は航空機の電子システムからのコマンドを示し、「ピッチトリム位置」 （青）はスタビライザーの傾斜を示します。 チャート上の高い位置は、鼻を上げるコマンドを示します。 これは、人間と機械の間の闘争が明らかであるところです。 フライトの後半では、自動バランスシステムが約10秒の間隔で機首を下げるコマンドを繰り返し送信しました。 これらの自動化されたチームの間に、パイロットはコントロールホイールのボタンを使用して、トリマーで鼻を上げました。 これらの矛盾するコマンドに応じて、水平尾翼の位置は15〜20秒の周期で変動しました。 のこぎり歯の動きは約20サイクル続きましたが、最後には、短いパイロットの機首上げコマンドよりも、容赦ない自動機首下げコマンドが優先されました。 最終的に、スタビライザーは最大潜水偏差まで下がり、飛行機が水にcrash落するまでそこにとどまりました。

迎え角

自動ピッチバランスシステムの誤動作の原因は何でしょうか。 申し立ては、737 MAXモデルシリーズの新しいシステムであるMCASに向けられています。 MCASはManeuvering Characteristics Augmentation Systemの略で、驚くほど多音節の名前であり、このシステムが何をするのか全くわかりません。 私が理解しているように、MCASはハードウェアデバイスではありません。 航空機の電子機器のコンパートメントでは、MCASというラベルの付いたケースは見つかりません。 MCASは完全にソフトウェアベースです。 これは、コンピューターで実行されるプログラムです。

MCASには1つの機能しかありません。 空力失速を防ぐように設計されています-飛行機の機首が周囲の気流に対して高くなり、翼が空中に保持できない状態です。 失速は、サイクリストが丘を登るときの状況に少し似ています。それはますます急になります。遅かれ早かれ、人がエネルギーを使い果たし、自転車は不安定になり、その後、転がり落ちます。 パイロットは失速から抜け出すように訓練されていますが、乗客で満たされた飛行機ではそのようなスキルを練習していません。 民間航空では、いわば、失速を防ぐことに重点が置かれています。 旅客機は、切迫した失速を認識するためのメカニズムを備えており、光と音のインジケータ、およびスティックシェーカーの振動アラームを使用してパイロットに通知します。 フライト610では、キャプテンの舵がほぼ最初から最後まで振動しました。

失速の恐れがある一部の航空機は、単純な警告に限定されません。 船の船首が上がり続けると、自動システムが介入し、必要に応じて下げて、パイロットからの手動制御を妨害します。 MCASはまさにそのために設計されています。 それは武装しており、戦闘の準備ができており、次の2つの基準があります。フラップが取り外され（離陸および着陸時にのみ拡張される）、航空機が手動操縦（自動操縦ではない）にある。 これらの条件下では、迎え角（AoA）と呼ばれる空気力学的値が危険な値の範囲に達すると、システムがトリガーされます。

迎え角はかなりあいまいな概念なので、図を描きます。


攻撃角インジケータの有効性に関する研究のレビューから改編 Lisa R. Le Vie。

図に示されている角度は、ピッチの軸に対する機体の回転です。これは、翼に平行で、胴体に垂直で、航空機の重心を通る線です。 出口のある列に座っている場合、ピッチ軸が座席の下を通過する可能性があります。 ピッチ軸に沿った回転は、ノーズを上げ下げします。 ピッチ角（ピッチ姿勢）は、水平面に対する胴体の角度として定義されます。 飛行経路の経路角（飛行経路の角度）は、水平面と航空機の速度ベクトルとの間で測定されます。つまり、航空機の上昇または下降の滑らかさを示します。 迎え角は、ピッチ角と飛行経路の傾斜角の差です。 これは、航空機が周囲の空気を通過する角度です（空気自体が静止している、つまり風がないと仮定）。

AoAは、揚力（上方および逆重力）と抗力（前方およびエンジンの推力とは反対の散逸力）の両方に影響します。 AoAがゼロより上に増加すると、空気が翼と胴体の底に衝突するため、揚力が増加します。 しかし、同じ理由で、抵抗が増加しています。 迎え角がさらに大きくなると、翼を通る空気の流れは乱流になります。 この瞬間、持ち上げ力は減少しますが、抵抗は増加し続けます。 そして、ここから失速が始まります。 ストールに重要な角度は、速度、重量、その他の要因によって異なりますが、通常は15度以下です。

ライオンエアとエチオピアのフライトは失速する危険性はなかったため、MCASがアクティブになった場合、これは誤って発生したはずです。 多くのプレスリリースで言及されている作業仮説によれば、システムは故障したAoAセンサーから誤ったデータを受け取り、その読み取り値に従って動作しました。

概念的には、迎え角を測定するセンサーは簡単です。 実際、それはただ気流に突き出ている風見鶏です。 下の写真では、迎え角センサーは、737 MAXの真正面にある小さな黒い棚です。 前面に固定された羽根は、局所的な空気の流れに合わせて回転し、胴体の軸に対する羽根の角度を表す電気信号を生成します。 737 MAXには、鼻の両側に1つずつ、計2つの迎え角センサーがあります。 （AoAセンサーの上にあるデバイスは、空気速度を測定するために使用されるピトー管です。MAXという言葉の下にある別のデバイスは、おそらく温度センサーです。）


Lion Air 737パイロットの計器には迎角は表示されませんでしたが、フライトレコーダーは2つのAoAセンサーから受信した信号を記録しました。


そして、ここでひどく間違ったことが起こります。 左のセンサーは、迎え角が右のセンサーよりも約20度急であることを示しています。 これは大きな矛盾です。 これら2つの別々のインジケーターは、現実的な方法ではなく、空中の航空機の動きの実際の状態を反映できます。機首の左側は空に向かっていることを示し、右側はほぼ水平であることを示しています。 一部の測定値は誤っている必要があり、より高い測定値が疑われます。 真の迎え角が20度に達した場合、飛行機はすでに深い失速状態にあります。 残念ながら、フライト610のMCASは左側のAoAセンサーからのデータのみを読み取ります。 彼女は、これらの意味のない測定値を航空機の位置の確実な指標と解釈し、フライトが水と衝突する瞬間まで精力的に修正を試みました。

コックピット自動化

ジャカルタとアディスアベバの悲劇は、コンピューターがパイロットの力を奪う過度の自動化の危険性に関する警告物語に変わりました。 ワシントンポスト は次のように述べています。

ボーイング737 MAX 8が関与する2回目の致命的な飛行機crash落事故は、人間と機械との闘争の結果である可能性があります。 この失敗は、安全性が危ぶまれているときに、規制当局が人々から制御を奪うシステムを慎重に調べる必要があることを示しています。

ベルギーのジャーナリストTom Duserは、航空とコンピューティングに関する記事を頻繁に執筆しており、次の意見を述べています。

JT610のボーイングに深刻なコンピューターの問題があったことは否定できません。 また、パイロットの役割がボタンを押すことや受動的な観測に限定されることが多い航空機メーカーのハイテクなコンピューター化された世界では、このような事件は将来より頻繁になる可能性があります。

特に怒り、パイロットがボタンを押します。 パイロットおよびソフトウェア開発者のグレゴリートラビスは、簡単なコメントで彼の気持ちをまとめました。

「鼻を持ち上げて、HAL。」
「ごめんなさい、デイブ、私はこれができないのではないかと心配している。」

ドナルド・トランプでさえ、このトピックについてツイートしました。

航空機は飛ぶには複雑​​すぎます。 現在、パイロットは必要ありませんが、MITのコンピューター科学者です。 私は多くの製品でそのような写真を観察します。 多くの場合、より古くてシンプルなソリューションの方がはるかに優れていますが、別のオプションの一歩を踏み出すことが常に望まれています。 決定はほんの一瞬で行わなければならず、複雑さが脅威となります。 これらすべてに莫大な価格が必要ですが、それはごくわずかなものです。 あなたのことは知りませんが、パイロットをアルバート・アインシュタインにしたくありません。 機体を素早く簡単に制御できる優秀な専門家が必要です！

過剰自動化737の苦情はかなり皮肉です。 多くの面で、この飛行機は実際には驚くほど時代遅れです。 設計の基盤は50年以上前に作成され、最新のMAXモデルでさえ1960年代からの多くの技術を保持しています。 その主な制御は油圧式で、高圧下のパイプのウェブはコックピットの制御ホイールからエルロン、エレベータ、ステアリングホイールに直接移動します。 油圧システムに障害が発生した場合、ケーブルとブロックの完全に機械的なバックアップシステムが残り、さまざまなコントロールプレーンを制御します。 スタビライザートリマーのメインムーバーは電動モーターですが、手動フライホイールと機械的に交換し、ケーブルを最後まで引っ張ります。

別の航空機は、コンピューターと電子機器にはるかに依存しています。 737の主なライバルであるエアバスA320は、電子制御の原理が包括的に実装された車両です。 パイロットはコンピューターを制御し、コンピューターは飛行機を制御します。 パイロットは移動する場所（上、下、右、左）を選択しますが、コンピューターはこれを達成する方法、拒否するコントロールプレーン、およびその量を決定します。 最新のボーイングモデル-777および787-もデジタル制御を使用しています。 実際、両社の最新モデルは、「ワイヤ管理」から「ネットワーク管理」へと新たな一歩を踏み出しました。 センサーからコンピューター、そしてコントロールプレーンへのデータ送信の主要部分は、イーサネットネットワークのいずれかのバージョンを介して送信されるデジタルパケットで構成されます 。 飛行機はコンピューターの周辺です。

したがって、航空機の自動化によって引き起こされるパイロットの危険性とand辱を嘆いたい場合、737は最も明白な目標ではありません。 すべてのアビオニクスを破壊し、パイロットに力を取り戻すというルディタイトのキャンペーンは、現在の状況に対する危険な誤った反応になります。 737 MAXに重大な問題があることは間違いありません。 これは彼らを飛ぶ人にとって、そしておそらくボーイングにとっては生と死の問題です。 しかし、問題はMCASからは始まりませんでした。 MCASを必要とした以前の決定から始まりました。 さらに、MCASの機能を制限し、パイロットにより多くの権限を与えるソフトウェアアップデートであるボーイングが提案する方法では、問題を解決できない場合があります。

737のうち最大を絞る

最初の乗客737は1968年に輸送を開始しました。 彼はボーイングファミリーで最も小さいジェット旅客機であり、現在でも最も人気があります。 1万枚以上のコピーが販売され、ボーイングはさらに4,600枚の注文があります。もちろん、長年にわたって、特にエンジンやデバイスに触れる航空機に変更が加えられました。 1980年代の更新されたモデルは737クラシックとして知られるようになり、1997年のモデルは737 NG（次世代）と呼ばれます。 （現在、MAXのリリース後、NGモデルは前世代になりました。）しかし、これらのすべての変更にもかかわらず、機体の基本構造はあまり変更されていません。

10年前、737はようやく寿命を迎えたようでした。 ボーイングは、これに代わる完全に新しいデザインの開発を開始すると発表しました。そのボディはアルミニウムではなく、軽量の複合材料でできています。 もちろん、競争は調整を行いました。 エアバスはA320neoの形で有利でした。A320neoは、同じ市場セグメントで発売された場合に、より効率的なエンジンを搭載する最新モデルです。 変更されたエアバスは2015年頃に発売される予定でしたが、ボーイングプロジェクトをゼロから開発するには10年かかりました。 顧客の解約のリスクがありました。 特に、ボーイングの長年の献身的なパートナーであるアメリカン航空は、A320neoの大量注文を交渉しています。

2011年、ボーイングは完全に新しいデザインを作成する計画を放棄し、エアバスと同じことを行うことを決定しました。古いグライダーに新しいエンジンを取り付けることです。 これにより、予備設計の大部分を放棄し、ツールと生産のために企業を構築する必要性がなくなります。 FAA（米国連邦航空局）による検査と認証も加速され、最初の配送はエアバスから遅すぎることなく5〜6年後に開始できます。

モデル737-800（MAXより前に製造）は、飛行時間あたり約800ガロンのジェット燃料（3,000リットル）を燃焼します。 つまり、コストはガロンあたり2.50ドルの価格で約2,000ドルです。 飛行機が1日10時間飛行する場合、年間730万ドルを費やします。 この金額の14％は100万ドル以上です。

新しい737エンジンは14％の燃料効率を提供することが約束されており、これにより航空会社は年間100万ドルの運用コストを節約できます。 燃費が向上すると、航空機の飛行範囲も広がります。 そして、取引を甘くするために、ボーイングは機体のそのような部分を変更せずに残し、新しいモデルが古いものと同じ「型式証明書」で運用できるようにすることを提案しました。 737 NGの操作を許可されたパイロットは、長時間の再トレーニングなしでMAXを制御できます。


1960年代の最初の737モデルには、翼の下にある細長い葉巻エンジンが2つありました（左上の写真） 。 それ以来、ジェットエンジンは厚く短くなっています。 それらは、排気管からのジェット排気からではなく、大径ファンによって動かされる外側回路内の空気流からより多くの牽引力を得ます。 翼737の下に取り付けられると、そのようなエンジンは地面に傷がつきます。 したがって、翼の前端から前方に引っ張られたパイロンに取り付けられています。 MAXモデルのエンジン（上の写真）は既存のものの中で最も厚く、ファンの直径は69インチ（175 cm）です。 NGシリーズと比較すると、MAXエンジンは数インチ前方に押し出され、数インチ下にぶら下がっています。

デビッド・ゲルズ、ナタリー・キトローフ、ジャック・ニカス、レベッカ・R・ルイスが書いたニューヨーク・タイムズの記事では、この航空機の開発は性急で面倒であると説明されています。

エアバスから数ヶ月遅れたため、ボーイングは追いつくことを余儀なくされました。 ニューヨークタイムズに話した元従業員と現在の従業員によると、737 Maxの仕事のペースは狂っていた...元従業員は、エンジニアが通常の約2倍の速さで技術的な図面と設計を採用せざるを得ないと言った

タイムズの記事には、「プロジェクトは混oticとしたものでしたが、現従業員および元従業員は、航空機の安全性に自信を持ち、完了したと述べています。」

ピッチ不安定

MAXシリーズの開発のある段階で、ボーイングは不快な驚きを見つけました。 特定の飛行条件では、新しいエンジンがピッチ角の望ましくない増加を引き起こしました。 ライオンエアのcrash落事故の直後にこの問題について初めて読んだとき、ショーンブロデリックとガイノリスによるAviation Week and Space Technologyの記事（2018年11月26日〜12月9日、56〜57ページ）で次の説明を見つけました。

エンジンの推力線が重心より下に伸びるすべてのターボファン旅客機と同様に、推力737の変化は、垂直推力成分によって引き起こされる飛行経路の傾斜角の変化につながります。

言い換えれば、ローハングエンジンは航空機を前方に押すだけでなく、ピッチ軸の周りで航空機を回転させる傾向があります。 後輪のトリックをしているオートバイのように見えます。 MAXエンジンはさらに低く、重心の前に取り付けられているため、かなり長いレバーアームとして機能し、より深刻なピッチ増加運動を引き起こします。

この効果のより詳細な説明は、以前のAviation Weekの記事 、パイロットFred Georgeの2017年のレポートで見つかりました。このレポートでは、新しいMAX 8の舵取りでの彼の最初の飛行について説明しています。

航空機は、ほとんどの飛行モードで十分な自然速度安定性を備えています。 しかし、重心よりかなり下に位置するエンジンによって提供される最大58,000ポンドの推力で、特に後部センタリングと低総重量で、低速で推力とピッチの間に明確なリンクがあります。 ボーイングは、速度安定性を向上させる機能を航空機に装備します。これにより、速度インジケーター、エンジンコントロールレバーの位置、および重心に従って水平スタビライザーを自動的に偏向させることにより、接続を補正できます。 ただし、パイロットはピッチング時の推力変化の影響を認識し、コントロールホイールとエレベータトリマーを使用してそれを打ち消す必要があります。

「自動偏向水平スタビライザー」を実行する「ブースト機能」についての言及は非常によく知られていますが、これはMCASではないことがわかります。 トラクションとピッチを補正するシステムは、 speed-trimと呼ばれます 。 MCASと同様に、パイロットの「知識がなくても」機能し、直接コマンドなしでコントロールプレーンを変更します。 マッハトリムと呼ばれる別の同様のシステムがあります。これは、飛行機が音速約0.6マッハに近づいたときに発生する別のピッチ異常を警告なしで修正します。 これらのシステムはいずれもMAXシリーズの新機能ではありません。 少なくとも1997年のNGシリーズのリリース以来、これらは制御アルゴリズムの一部でした。 MCASは、speed-trimとmach-trimと同じコンピューターで実行され、同じソフトウェアシステムの一部ですが、その機能は異なります。 そして、過去数週間にわたって私が読んだことによると、それは別の問題を解決するように設計されています。

ほとんどの航空機には、静的安定性という便利な特性があります。飛行機が水平飛行のために正しく位置合わせされると、少なくとも一時的に舵を放すことができ、安定した経路に沿って移動し続けます。さらに、ハンドルを自分の方に引いて鼻を上げてから再び離すと、ピッチ角はニュートラルに戻ります。航空機のさまざまな空力面の位置では、この動作が考慮されます。鼻が上がると、尾が下がり、水平尾翼の下部が気流に押し込まれます。この尾部表面の空気圧は、尾部を上下に戻す復元力を提供します。 （それがスタビライザーと呼ばれる理由です！）この負のフィードバックループは航空機の構造に組み込まれているため、バランスから逸脱すると、破損を防ぐ力が発生します。


ただし、空力特性のバランスに影響を与えるデザインは、その安定化特性を備えたテールの表面だけではありません。ジェットエンジンは航空機に揚力を与えるようには設計されていませんが、空気の流れが各エンジン（ナセル）の外側シェルの下面に衝突するため、大きな迎え角で航空機を作成できます。エンジンが重心からはるかに進んでいる場合、揚力によりピッチが増加するねじりモーメントが発生します。この瞬間が尾部からの平衡力を超えると、航空機は不安定になります。逆さまに立つと、鼻をさらに持ち上げる力が発生し、正のフィードバックが勝ちます。

737 MAXは同様のピッチ角の増加の影響を受けますか？読み続けるまで、この確率は私には明らかではありませんでした MCASに関するボーイング737技術サイトの解説は、以前の737パイロットおよびフライトインストラクターのクリスブレイディによって書かれたWeb出版物です。彼はこう書いている：

MCAS — . , MAX , NG; , LEAP-1B AoA. LEAP , NG CFM56-7, . AoA ; , (.. ), , . / FAR §25.173 «Static longitudinal stability» . (FAR — (Federal Air Regulations). パート25は、輸送カテゴリーの航空機の耐空性基準を示しています）。したがって、MCASが作成されました。MCASは、高負荷係数（高AoA）での急旋回時や、ストールに近い速度でフラップを閉じた飛行中に機首を下げるための安定化コマンドを提供します。

ブレイディはいかなる情報源でも彼の主張を確認しておらず、私が知る限り、ボーイングはこの声明を確認または反証していない。しかし、新しい問題（3月20日）で、トラクションとピッチの関係を説明する上記の航空週間は、ナセルによって引き起こされる揚力の不安定性の仮説を支持しました。

MAX CFM Leap 1 AOA , NG CFM56-7. MCAS - , MAX NG.

ブレイディの視点が正しいと仮定すると、興味深い疑問が生じます。ボーイングはいつ不安定に気付いたのですか？設計者はプロジェクトの最初からこの危険に気付いていましたか？コンピューターシミュレーション中に、または大規模なモデルの空力試験で明らかになりましたか？シアトルタイムズのドミニクゲートの物語は、2015年に開始された最初の航空機の飛行試験の前に、ボーイングが問題の深刻さを認識していなかった可能性があることを示唆しています。

ゲイツによると、ボーイング社の経営陣に渡されたFAAセキュリティ分析プロトコルは、MCASが水平安定装置を0.6度以下で移動できることを示しました。市場に打ち上げられた航空機では、MCASは最大2.5度偏向することができ、約5度の機械的移動限界に達するまで繰り返し動作することができます。ゲイツは書いている：

, , , .

, - .

高AoAでのMAXの不安定性は、航空機全体の空力形状の特性であり、それを抑制する直接的な方法は、この形状を変更することです。たとえば、静的な安定性を復元するために、尾の表面を増やすことができます。しかし、このような機体の変更は、特に最初のプロトタイプの飛行後に必要性が発見されたという事実を考慮して、航空機のリリースを遅くします。さらに、設計変更により、旧型の飛行権を持つ新しいモデルを飛行する可能性が危険にさらされる可能性があります。アルミニウム構造を変更する代わりにソフトウェアを変更することは、魅力的な選択肢のように思われたに違いありません。おそらく、いつかこの決定がどのように行われたかを知るでしょう。

ところで、ゲイツによると、0.6度の制限を指定する安全性分析を含むFAA文書は、可能なMCASコマンドの真の範囲を反映するように修正する必要があります。

不安定性

不安定性は必ずしも飛行機のブラックマークではありません。 1903年のライトフライヤー以来、歴史上、少なくともいくつかの成功した不安定なデザインがあります。ライト兄弟は、カイトとグライダーを使った以前の実験が示したように、安定性をスローネスと呼ぶこともできるため、意図的に水平尾翼を翼の前ではなく後ろに配置しました。フライヤーフロントコントロールプレーン（フロント水平コントロールと呼ばれる）は、鼻のわずかな上下運動を強化します。安定したピッチを維持するには、パイロットに高い集中力が必要でしたが、同時に、パイロットがピッチを上げたり下げたりしたいときに、航空機がより速く反応することができました。 （この設計の長所と短所は、記事で説明されています1984フレッドE.S. サンドパイパーとヘンリーR.ジャックス）


オービルが支配し、ウィルバーは1903年12月17日にキティホークの近くを走ります。この写真では、尾の側面から飛行機が見えます。前面の水平制御-前面のデュアル調整可能な水平面-は、鼻の隆起を引き起こすようです。（ウィキメディアによる写真。

別の深刻に不安定な航空機は、1980年代に設計された研究プラットフォームであるグラマンX-29でした。X-29翼は後部に配置されました。 。


この奇妙なプロジェクトの目標は、より速い操縦のために静的な安定性を犠牲にした極端なドライバー設計を調査することでした。このようなぎくしゃくした乗り物に対応できるパイロットは一人もいません。デジタル電子制御システムが必要でした。これは、状態をサンプリングし、1秒あたり最大80回の頻度で制御プレーンを調整しました。コントローラーは、おそらく成功しすぎました。彼は飛行機を安全に飛行させたが、不安定さを抑えて、かなり限られた制御特性を飛行機に残した。

私は個人的にX-29プロジェクトと何らかのつながりがありました。 1980年代、私は短い間、X-29制御システムを設計および構築したHoneywellのグループのメンバーと編集者として働きました。管理ルールに従って出版物を準備するのを手伝い、ハードウェアおよびソフトウェアでの実装にも貢献しました。この経験は、MCASに奇妙なものがあることを理解するのに十分な情報を与えてくれました。ジェット機の空力的不安定性を抑えるには遅すぎるということです。 X-29の応答時間は25ミリ秒でしたが、MCASは737スタビライザーを2.5度動かすのに10秒かかりました。このペースでは、システムはおそらく正のフィードバックのループで鼻を持ち上げる力に対処できませんでした。

これには簡単な説明があります。 MCASは不安定な航空機を飛行させることは想定されていませんでした。彼女は彼が不安定になる政権に入ることを制限することになっていた。他のメカニズムでも失速を防ぐために同じ戦略が使用されます。攻撃の角度が臨界点に達する前でも介入します。ただし、Bradyが737 MAXの不安定性について正しい場合、このタスクはMCASにとってより緊急になります。不安定とは、急激で危険な降下を意味します。 MCASは、車で崖をはがす準備ができたら道路に戻る道路フェンスです。

発表されたボーイングMCAS修正計画の問題に至ります。伝えられるところによれば、変更されたシステムはそれほど安定してアクティブにならず、2つのAoAセンサーの読み取り値の大きな差を検出すると自動的にシャットダウンします。これらの変更は、最近の事故の再発を防ぐはずです。しかし、そもそもMCASが対処すべき障害に対して適切な保護を提供していますか？手動または自動でMCASをオフにしても、無謀または誤解を招くパイロットが、MAXが不安定になるフライトモードエリアのその部分に移動するのを止めることはありません。

ボーイングからの追加情報がなければ、実際に存在する場合、どれほど深刻な不安定性があるかを言うことはできません。ボーイング737の技術サイトに関するBradyの記事は、問題の一部はパイロットに起因していると主張しています。通常の状態では、ノーズリフトを長くするには、コントロールホイールをますます引く必要があります。しかし、不安定な分野では、引っ張り抵抗が突然低下するため、パイロットが誤ってヘルムを極端な位置に引っ張ってしまう可能性があります。

人体への暴露は不安定性の必要な部分ですか、それとも単なる強化要因ですか？言い換えれば、パイロットをフィードバックループから削除しても、ポジティブフィードバックは制御不能なノーズリフトを引き起こしますか？まだ答えが見つかりません。

もう1つの質問：問題の根本が、鼻を持ち上げるヘルムの動きに抵抗する力の不正な変更である場合、この問題を直接解決しないのはなぜですか？

エレベータエレベータローディングメカニズムは、「誤った」力をパイロットのコントロールホイールに伝達します。理論によるB737 NG飛行制御のプレゼンテーションからの画像。プレゼンテーションはMAXではなく737 NGシリーズ用に作成されました。おそらくアーキテクチャが変更されました。

737（および他のほとんどの大型大型航空機）では、操縦者が操縦輪を介して「感じた」力は、エレベータおよび他の操縦面に作用する空力の単純な反映ではありません。フィードバック力は主に合成され、エレベータの感触とセンタリングユニットによって生成されます。これは、航空機の状態を監視し、適切な油圧を生成してヘルムを一方向または他方向に押すデバイスです。これらのシステムには、迎え角が不安定性の値に近づいたときに、舵の引っ張り力を維持または増加させるという追加のタスクを与えることができます。人工的に強化された抵抗は、すでに失速防止システムの一部です。なぜMCASに拡張しないのですか？ （おそらくこれには合理的な答えがありますが、私は彼を知りません。）

彼の電源ボタンはどこにありますか？

ライオンエア610でMCASが誤ってオンにされた後でも、パイロットがこの機能を無効にしただけでクラッシュと死傷者を回避できたはずです。 しかし、なぜ彼らはしなかったのですか？ 彼らはMCASのことを聞いたことがなく、制御された航空機にMCASがインストールされていることを知らず、MCASを無効にする方法についての指示も受け取らなかったようです。 「MCAS ON / OFF」とマークされたコックピットにはスイッチやボタンはありません。システムはフライトマニュアルには記載されていません（ 略語のリストを除く ）。また、737 NGからMAXに切り替えるパイロット用の移行トレーニングプログラムはありませんでした。 トレーニングは、iPad用アプリケーションを使用した1〜2時間（情報は異なります）で構成されました。

ボーイングは、 ウォールストリートジャーナルの歴史におけるこれらの省略について説明しています。

ボーイングのある高官は、通常のパイロットに多くの情報を詰め込むことや、学んだはずの技術データよりもはるかに多くの技術データを積み込むことを恐れて、クルーに詳細を明かさないことにしたと語った。

この文を「偽善的」と呼ぶことは、何も言わないことを意味します。 それは単にばかげています。 ボーイングは「詳細」を差し控えただけでなく、基本的にMCASの存在について言及していませんでした。 そして、「ボリュームが多すぎる」という議論は単純に愚かです。 MAXフライトマニュアルはありませんが、 NGエディションには1300ページを超えるページがあり、さらに800ページのクイックリファレンスマニュアルがあります。 MCASについてのいくつかの段落は、すでに操作マニュアルを習得しているパイロットに負担をかけないでしょう。 さらに、このマニュアルでは、スピードトリムシステムとマッハトリムシステムについて詳細に説明します。これらは、MCASと同じカテゴリに分類される可能性が最も高くなります。

ライオンエア事件の結果、ボーイングはMCASのシャットダウン手順がマニュアルに記載されていると述べましたが、MCASはそこに記載されていません。 この手順は、「スタビライザートリマーの制御から抜け出す」問題を解消するためのマップに示されています。 それほど複雑ではありません。舵を握って、自動操縦と牽引制御がオンになっている場合はオフにする必要があります。 その後、問題が解決しない場合は、「STAB TRIM」とマークされた2つのスイッチを「CUTOUT」位置に回します。 不具合が発生した場合、MCASは実際には最後のステップに過ぎませんでした。

このコントロールカードは「メモリアクション」です。 パイロットは、マニュアルを見なくてもこれらの手順を完了できる必要があります。 ライオンエアの乗組員は確かに彼女を知っているべきでした。 しかし、彼は、このカードが、以前の737で訓練および飛行したときに見た行動とは似ていない飛行機に適用する必要があることを理解できましたか？ マニュアルによれば、スタビライザートリマーの問題を解消するためにカードを使用する必要があった条件は、「スタビライザートリマーの絶え間ない自発的な動き」でした。 MCASコマンドは一定ではありませんでしたが、繰り返されたため、問題を診断するには、推論を飛躍させる必要がありました。


エチオピアの事故の時までに、世界中の737人のパイロットがMCASとMCASをシャットダウンする手順を知っていました。 エチオピア航空が今月初めに発表した予備報告書は、コントロールホイールと数分間戦った後、フライト302のパイロットがコントロールカードの手順を利用して、STAB TRIMスイッチをCUTOUTに切り替えたことを示しました。 その後、スタビライザーは機首の降下に関するMCASコマンドへの応答を停止しましたが、パイロットは航空機の制御を取り戻すことができませんでした。

なぜ失敗したのか、過去数分間コックピットで何が起こったのかはまだ完全には明らかではありません。 考えられる要因の1つは、カットアウトスイッチがピッチトリマーの自動移動だけでなく、コントロールホイールのボタンで制御される手動の移動も無効にすることです。 スイッチは、スタビライザーを動かす電気モーターへのすべての電力をオフにします。 このような状況では、トリマーを動かす唯一の方法は、パイロットの膝の隣にあるハンドルを回すことです。 302フライトの危機の間、このメカニズムは遅すぎて時間内に角度を調整できなかったか、またはパイロットがハンドルを使用しようとしない最大の力でヘルムを引き戻すことに集中しすぎた可能性があります。 また、スイッチを通常に戻し、スタビライザーモーターへの電力を復元することも可能です。 このような可能性についてはレポートに記載されていませんが、フライトレコーダーのチャートからヒントが得られます（以下を参照） 。

システム障害の原因となっているコンポーネント

MCASが正常に機能する場合にMCASが良いアイデアであるかどうかについて議論することはできますが、 誤ってオンになって飛行機を海に向けると、誰もそれを守る勇気がありません。 どうやら、ライオンエアとエチオピアの災害における制御不能な行動は、単一のセンサーの誤動作が原因でした。 これは航空では起こらないはずです。 航空機の製造業者が、単一部品の故障が致命的な事故につながる飛行機を意図的に作成する理由を説明することは不可能です。

単一の障害に対する保護は冗長性によって提供され、この原理は737の設計に完全に組み込まれているため、マシンは1つの建物内の2機の航空機と見なすことができます。

大量のオートメーションを使用する航空機では、すべての要素（センサー、コンピューター、ドライブ）が通常3回複製されます。

コックピットには、2つのパイロットが2つの異なる機器セットを見て、別々のコントロールセットを使用する余地があります。 左右のダッシュボードは、センサーの異なるセットから信号を受信し、その信号は異なるコンピューターによって処理されます。 コックピットの両側には、独自の慣性制御システム、独自のナビゲーションコンピューター、および独自の自動操縦装置があります。 航空機には、2つの電源と2つの油圧システムがあり、さらに油圧が2回故障した場合の機械的なバックアップシステムがあります。 通常の状態の2つのコントロールホイールは一斉に移動します-それらは床下で接続されています-しかし、1つのホイールが動けなくなると、この接続が壊れ、2番目のパイロットが航空機の制御を継続できます。

この複製システムのリストには1つの例外があります。フライトコントロールコンピューター（FCC）と呼ばれるデバイスには特別な扱いが与えられているようです。 機内には2つのFCCがありますが、ボーイング737の技術Webサイトによると、各フライトで動作するのはそのうちの1つだけです。 他のすべての冗長コンポーネントは並行して動作し、独立した着信コマンドを受信し、独立した計算を実行し、独立したコマンドアクションを送信します。 ただし、各フライトでは、1つのFCCのみがすべての作業を実行し、2番目のFCCはアイドルモードです。 アクティブなコンピューターを選択するためのスキームは、奇妙にarbitrary意的に見えます。 毎日、航空機の電源をオンにすると、左側のFCCが最初のフライトで制御を受け取り、右側のデバイスがその日の2番目のフライトで制御を取得するため、電源がオフになるまで両側が交互に変化します。 電源を再接続した後、左側のFCCで代替使用が再び開始されます。

このようなスキームの多くの側面に驚いています。 FCC複製デバイスと他のコンポーネントとの関係が異なる理由がわかりません。 1つのFCCが失敗した場合、2番目のFCCが自動的に2番目のFCCを制御しますか？ パイロットは飛行中にパイロットを切り替えることができますか？ もしそうなら、これはMCASの失敗に対処する効果的な方法でしょうか？ マニュアルで答えを見つけようとしましたが、読んだ内容の解釈を信用できません。

さらに、FCC自体に関する情報を見つけるのは非常に困難でした。 誰がそれを生産し、どのように見え、どのようにプログラムされているかはわかりません。


Closet Wonderfulsの Webサイトでは、「737フライトコントロールコンピューター」という商品が43.82ドルで送料無料で販売されています。 Airframerの Webサイトには、737の多くの部品および材料サプライヤーのリストがありますが、飛行制御コンピューターに関する情報はありません。 デバイスにはHoneywellネームプレートがあります。 Closet WonderfulsのWebサイトからデバイスを購入したいと思いましたが、最新のMAXモデルにはそのようなデバイスがインストールされていないことを確信しています。 FCCは以前はFCE（フライトコントロールエレクトロニクス）と呼ばれていたことを学びました。このことから、デバイスがアナログであり、コンデンサと抵抗の助けを借りて統合と差別化を行ったことがわかります。 今日、FCCはデジタル時代に追いついたと確信していますが、これは注文に応じて作られた特殊な機器かもしれません。 または、珍しいパッケージの標準Intelプロセッサ、おそらくLinuxまたはWindowsでも実行できます。 知りません

MAX災害の状況では、飛行制御コンピューターは2つの理由で重要です。 まず、MCASが含まれています。 これは、MCASソフトウェアを実行しているコンピューターです。 第二に、各フライトで交互にFCCを選択するという奇妙な手順は、どのAoAセンサーがMCASに着信データを送信するかに影響しました。 左右のセンサーはそれぞれのFCCに取り付けられています。

2つのFCCを同じ意味で使用すると、インドネシアでplane落した飛行機の歴史について興味深い疑問が生じます。 予備的なクラッシュレポートでは、4日間の5フライト（クラッシュしたフライトを含む）でのさまざまな機器とコントロールの問題について説明しています。 すべての問題は旅客機の左側で発生したか、左側と右側の不一致が原因でした。

2行目の飛行（マナド→デンパサール）は予備レポートには記載されていませんが、飛行機は翌日飛行を行うためにマナドからデンパサールまで飛行する必要がありました。


5つのフライトのうち、左側のFCCはアクティブなコンピューターでしたか？ MCASが有効になった最後の2つはその日の最初のフライトであったため、おそらく左FCCによって運転されたと思われます。 特にメンテナンス作業に続いて航空機の完全な電源切断が行われ、その後コンピュータの代替使用のシーケンスが再び開始される可能性があるため、残りについて言うのは困難です。

アップグレードされたMCASソフトウェアは、両方のAoAセンサーからの信号を考慮すると報告されています。 追加情報はどうなりますか？ これまでのところ、公表されている言及は1つだけです。読み取り値が5.5度以上異なる場合、MCASはオフになります。 しかし、読み取り値が4度または5度異なる場合はどうなりますか？

注：ドイツ航空宇宙センターのダニエルオスマンによる最近の記事では、AoAセンサーの障害を検出するアルゴリズムの問​​題について説明しています。

MCASは信頼するセンサーをどのように選択しますか？ 保守的な（または悲観的な）エンジニアリングの実践では、不安定性と失速に対する保護を改善するために、より高い測定値を優先する必要があります。 ただし、この選択は、センサーの故障に起因する危険な「修正」のリスクも高めます。

左右のセンサーを交互に選択する現在のMCASシステムでは、1つの偶発的な障害によりAoAセンサーが誤って大量のデータを送信した場合に大惨事が発生する可能性が50％あります。 一方、同じ偶発的な失敗の場合、更新されたMCASは、パイロットが失速エリアに移動しようとする試みを無視する確率が100％になります。 これは改善ですか？

壊れたセンサー

センサーの故障は飛行機の事故につながるべきではありませんが、AoAの天候ベーンに何が起こったのかを知りたいです。

AoAセンサーが誤動作していることには誰も驚かない。 これらは、時速500マイルを超える風と摂氏–40度以下の厳しい環境で動作する機械装置です。


よくあるタイプの誤動作は、センサーが詰まっていることです。これは、多くの場合、氷結によって引き起こされます（氷結防止ヒーターが内蔵されているにもかかわらず）。 しかし、静止した天候ベーンは、実際の迎え角とは無関係に一定のデータを送信し、飛行610で他の症状が観察されました。 フライトレコーダーは、左右の計器の信号にわずかな変動を示します。 さらに、2つの曲線の振動は密接に整合しているため、これらは両方とも航空機の同じ動きを追跡していることがわかります。 つまり、左のセンサーが機能していたようです。 彼は、約20度の一定値だけシフトした測定値を単に送信しました。

観察可能なバイアスを作成できる他の種類の障害はありますか？ もちろん、風向計を20度曲げるだけです。 おそらく、彼は通り過ぎるトラックまたは通路に触れられたのでしょう。 もう1つのヒント：センサーが正しくインストールされていない可能性があり、デバイス全体が20度回転していることが判明しました。 Professional Pilots Rumor Network Webサイトの何人かの著者はこの可能性を探りましたが、最終的には不可能であると結論付けました。 製造業者は、この危険性を間違いなく知っていたため、取り付けネジとセンタリングピンを非対称に配置したため、デバイスはハウジングの穴にしか取り付けられませんでした。

センサーの製造中に組み立てエラーが発生しても、同じ効果が得られます。 風向計がシャフトに正しく取り付けられていないか、角度位置を電気信号に変換する内部コンバーターが正しく固定されていない可能性があります。 設計者はそのようなエラーの不可能性を保証しましたか？ センサーの内部の図面や写真を見つけることができませんでした。

故障のその他の考えられる原因を調査して、AoAセンサーの保守または交換の際に使用されるFAAの耐空性基準を簡単に確認しました。 数十個あることがわかりましたが、そのうちのいくつかは、737 MAX（ Rosemount 0861 ）にインストールされた同じセンサーを説明しています。 しかし、私が読んだレポートのいずれにも、20度の永続的なエラーを引き起こす可能性のある誤動作が記載されていません。

しばらくの間、障害はセンサー自体ではなく、データ伝送チャネルのどこかで発生したのではないかと考えました。 たとえば、ケーブルや接点の不良など、単純なものである可能性があります。 AoAセンサーからの信号は、大気データおよび慣性基準ユニット（ADIRU）に送信されます。そこで、サインとコサインの成分が組み合わされてデジタル化され、測定された迎え角を表す数値が生成されます。 ADIRUは、空気の流れを測定するピトー管や空気圧を測定する静圧レシーバーなど、他のセンサーからの入力も受け取ります。 さらに、このデバイスには、外部データに依存せずに航空機の動きを追跡できる慣性制御システムのジャイロスコープと加速度計が含まれています。 （航空機の各側に個別のADIRUがあります。）おそらく、デジタイズデバイスで問題が発生しました-天候ベーンではなく、ビットのエラー。

しかし、将来受け取った情報はこの考えを破壊しました。 そもそも、10月27日にLion Airのメンテナンスチームによって解体されたAoAセンサーが現在調査中です。 ニュース報道によると、彼は「欠陥があると宣言された」が、特定の欠陥についての言及はまだ聞いていない。 さらに、制御システムの要素の1つである失速管理およびヨーダンパー（SMYD）制御コンピューターは、ADIRUによって計算されたデジタル化された角度ではなく、センサーから直接アナログ正弦および余弦電圧を受け取ります。 ハンドル振動アラームの機能を制御するのはSMYDです。 ライオンエアとエチオピアの両方のフライトで、バイブレーターはほぼ連続して作動していたため、これらのアナログ正弦および余弦電圧は高い迎え角を示しているはずです。 つまり、信号がADIRUにヒットする前にエラーがすでに存在していました。

Lion Airの飛行データの角度オフセットが一定であることにまだ混乱していますが、今ではこの質問の重要性はやや低くなっています。エチオピアの302便に関する予備報告から、この飛行機の左のAoAセンサーもひどくcrash落したが、まったく異なる方法で衝突したことがわかります。フライトレコーダーの関連グラフは次のとおりです。


AoAセンサーの測定値は最上部にあり、赤い線は左側のセンサー、青い線は右側のセンサーです。グラフの左側では、飛行機がちょうど動き始めたはずのときはわずかに異なりますが、滑走路に沿って動くと飛行機は速度を増し、それらの測定値はほぼ一致し始めました。しかし、離陸するとき、大きな矛盾がありました-左の天候ベーンは75度の完全に不可能なノーズアングルを示し始めました。後で数度減少しますが、そうでなければ、気流への反応を示唆する振動の兆候を示しません。飛行の最後に、他の予期しない逸脱があります。

ちなみに、自動バランスコマンドの青いグラフは、フライト302の最後の瞬間に何が起こったのかを示す別のヒントです。グラフのほぼ中央で、STAB TRIMスイッチが押されました。しかし、右端では、別の自動ノーズダウンコマンドがトリム位置グラフに影響を与えました。これは、カットアウトスイッチが再びオンになったことを示しています。

その他のパズル

しかし、私はまだ理解していないことがたくさんあります。

謎1。ライオンエアとエチオピアの事故が故障したAoAセンサーによって引き起こされた場合、これは新品の航空機に同様の欠陥のある3つの部品があったことを意味します（10月27日にライオンエア航空機に取り付けられたスペアセンサーを含む）。最近のニュースから、スペアパーツは新しいものではなく、XTRA Aerospaceと呼ばれるフロリダのワークショップで修復されたことがわかりました。この事実により、私たちは別の可能性のある犯人を任命することができますが、ボーイングによってインストールされた2つのセンサーはおそらく復元されなかったので、XTRAのみがそれらのすべてを責めることはできません。

現在、約400台のMAX機が稼働しており、800台のAoAセンサーが設置されています。3/800の直帰率は異常ですか、受け入れられませんか？この判断は、3つのケースすべてで欠陥が同じかどうかに依存しますか？

謎2。LionAir 610データのピッチトリムとアタックアングルのグラフをもう一度見てみましょう。手動コマンドと自動コマンドの競合が注目を集めましたが、最初の数分で起こることも不可解です。


滑走路を走行中、ピッチバランスシステムは、ピッチ角を大きくするためにほぼ最大位置に設定されました（青線）。離陸直後、自動平衡システムはピッチ角を大きくするためにさらに移動するためのコマンドを送信し始め、スタビライザーはおそらく機械的な限界に達しました。この時点で、パイロットはピッチ角を小さくする方向に手動で指示し、自動システムはピッチ角を大きくするためのコマンドのクイックシーケンスで応答しました。言い換えれば、パイロットと自動化の間の「綱引き」はすでに始まっているが、パイロットと自動化された制御は、彼らが将来選択するものと反対の方向に引っ張った。これはすべて、フラップがまだ開いている間に発生しました。つまり、MCASをアクティブにできませんでした。ピッチを上げるこれらのコマンドは、制御システムの他の要素を送信する必要がありました。神秘性は悪化する左のAoAセンサーがすでに誤って高い読み取り値を左の飛行制御コンピューターに送信していたこと。 FCCがこれらのデータに従って行動した場合、ピッチを上げるコマンドを送信すべきではありませんでした。

謎3。AoA測定値は、Lion Air予備レポートの情報から最も興味深いデータではありません。高度と速度のグラフは次のとおりです。


左側の高度の読み取り値（赤い線）はわずか数百フィートです。エラーは加算よりも乗法的である可能性が高く、おそらく10パーセントであると思われます。左右のエアフローレートにも一貫性がありませんが、グラフはタイトすぎて差異を定量化できません。当初、フライト610のパイロットを苛立たせたのはこれらの不一致でした。彼らは自分のデバイスでそれらを見ることができました。（コックピットには迎角の指標がなかったため、これらの競合は見えませんでした。）

高度、気流速度、迎え角はすべて、異なるセンサーで測定されます。同時に失敗することはありますか？それとも、この奇妙な振る舞いをすべて説明できる、ある種の一般的な障害点がありますか？特に、1つの信頼性の低いAoAセンサーがこのような混乱を引き起こす可能性はありますか？はい。高度、気流、さらには温度センサーは、迎え角の影響を受けます。したがって、測定された速度と圧力は、AoAセンサーからの出力を使用してこの矛盾する変数を補正するために変更されます。この出力は誤っていたため、変更により、誤ったデータの1つのストリームがすべての空中測定に感染することが許可されました。

人または車

半年前に、制御不能な制御システムによって引き起こされる別の災害について書きました。その場合、問題はマサチューセッツ州の天然ガス配給ネットワークであり、100を超える建物で火災と爆発を引き起こし、20人で1人が死亡し重傷を負った不適切に構成された圧力調整設備でした。それから私は、技術的悲劇の特別な悲劇は、私たちが構築し、自分自身を作成する機械が私たちの破壊の原動力であるという事実にあると嘆きました。

欠陥のある自動制御が自宅で爆発し、飛行機が落下する世界では、それ以上を主張するのは困難です自動化、制御システムに新たな複雑さの層を追加し、マシンに大きな自律性を提供します。社会は反対方向に傾いています。トランプ大統領と同様に、私たちのほとんどは科学者よりもパイロットを信頼しています。 MCASを搭乗させたくありません。 USAir Airlinesの1549便のヒーローであるChesley Sullenbergerが、失敗したA320をハドソン川に着陸させ、155人の乗客を救うことを望んでいます。コックピットのどのレベルの自動化も、このようなトリックを許可しません。

ただし、統計を冷静に分析的に見ると、異なる反応が示唆されています。人間の参加が常に状況を救うわけではありません。対照的に、パイロットエラーは、最も多くの致命的な事故の原因となります。ある研究ではパイロットエラーは災害の40％の根本原因であると宣言されており、機器の故障はわずか23％です。 （今のところ）無人のコックピットを提唱する人はいませんが、航空技術の開発の現在の段階では、これはコンピューターのないコックピットよりもはるかに近い見通しです。

MCAS Model 737 MAXは、完全な手動制御と完全な自動制御の間で特に厄介な妥協点です。プログラムには、飛行の安全性に対する大きな責任が与えられており、パイロットの決定を阻止する機会さえ与えられています。それでも、システムが故障した場合、原因とその修正を発見する責任はパイロットに完全にあります。状況を迅速に修正する必要があります。そうしないと、MCASが飛行機を地上に送ります。

2機の破壊された飛行機と346人の死は、そのような設計が悪い考えであるという説得力のある証拠です。しかし、それについて何ができるでしょうか？ボーイングは自動制御から脱却し、より多くの責任と力をパイロットに返します。

• 飛行制御システムは、両方のAOAセンサーからの着信信号を比較します。フラップを閉じた状態でセンサーが5.5度以上発散すると、MCASは作動しません。コックピットのインジケーターは、これについてパイロットに警告します。
• MCASが異常な状態でアクティブになった場合、AOAが増加した送信イベントごとに1つの着信信号のみが提供されます。MCASが複数の着信コマンドを送信する既知の、または疑われる障害状態はありません。
• MCAS , , . - MCAS .

Boeing , « 610 Lion Air 302 Ethiopian Airlines». , , , MCAS? , 737 MAX - , MCAS .

ボーイングがMCASを制限せず、制御システムと連携する新しいアルゴリズムでMCASを改善するという反対のアプローチを選択した場合、そのような計画はinりと笑で認識されます。それは本当にひどいアイデアのようです。 MCASは、パイロットが危険な領域に進入するのを防ぐために設置されました。新しい監視システムがMCASを監視し、その疑わしい動作に介入します。しかし、他の人が見ている人の世話をする必要はありませんか？さらに、複雑な新しい層が追加されるたびに、新しい副作用、意図しない結果、および故障の可能性が生じます。システムのテストがより困難になり、その正確性を証明することは不可能です。

これらは深刻な異論ですが、検討中の問題も深刻です。

737 MAXにはMCASは搭載されていませんが、コックピットには迎角のインジケーターがあります。ライオンエアのフライトでは、キャプテンはヘルム振動警告装置が失速が近づいていることを警告し、計器パネルに危険なほど大きな迎え角が見えると感じたでしょう。彼のスキルは、MCASがしたことをするように彼に言いました：彼の翼を再び機能させるために彼の鼻を下げます。飛行機が水と衝突するまで、彼はそれを下げ続けますか？もちろん違います。彼は窓の外を見て、タクシーの反対側で楽器の測定値を再確認し、いくつかの恐ろしい瞬間の後、それが誤報であることに気づきました。（暗闇や視界が悪い場合、パイロットが地平線を見ていないと、結果が悪化する可能性があります。）

この架空の例には2つの教訓があります。第一に、飛行機を制御するのが誰であろうと、誤ったセンサーデータは危険です：コンピューターまたはチェスリー・サレンバーガー。合理的に設計された計器および制御システムは、このようなエラーを検出する（そして理想的には修正する）手順を実行します。現時点では、このような障害に対する唯一の保護はシステムの冗長性であり、変更されていないバージョンのMCASでは、この保護さえ侵害されました。これでは十分ではありません。ライブパイロットに利点を与える重要なポイントは、彼らが合理的であり、時には楽器の測定値について懐疑的であるということです。このような裁量は、自​​動システムでは非常に可能です。多くの情報源を使用できます。たとえば、AoAセンサー、ピトー管、静圧レシーバーと気温プローブはエラー信号だけでなく、理解する機会でもありますどのセンサーが故障していることが判明しました。慣性参照システムは、航空機の位置の独立した制御を提供します。 GPS信号を使用することもできます。一般に、主な困難はこれらすべてのデータの認識とそれらからの正しい結論の抽出であると認識されています。

第二に、フィードバックを備えたコントローラーには別の情報源があります。それは、制御対象システムの間接モデルです。水平尾翼の角度を変更する場合、機体の状態が既知の方法で変化することを期待する必要があります。迎え角、ピッチ角、風速、高度、およびこれらすべてのパラメーターの変化率です。制御アクションの結果がモデルと一致しない場合、何かが間違っています。期待される結果が得られない場合に同一のコマンドを永続的に送信することは、不合理な動作です。自動操縦では、このような状況での行動規則があります。同様のヘルスチェックは、手動飛行中に実行される低レベルの制御ルールにも実装できます。

MCASの問題の解決策があると言っているのではありません。そして、自分で設計した飛行機で飛びたいとは思いません。（はい、あなたはしたくありません。）しかし、一般的な原則があります。私は心からとらなければならないと信じています。自律システムがセンサーデータに基づいて「生と死の間」を決定する場合、これらのデータの正確性を検証する必要があります。

2019年4月11日更新

ボーイングは、MCASは「失速保護機能でも失速防止機能でもない」と主張し続けています。これは飛行品質の関数です。これが他の何かであるという意見は誤解です。」この声明は、ボーイングの製品開発および航空機開発の副社長であるマイク・シネットによって作成されました。この声明は、4月9日に発行されたAviation Weekの Guy Norrisの記事に掲載されました。

この文脈で「処理品質」が何を意味するのか、私にはよくわかりません。この表現は、安全よりも快適さ、美学、または利便性に影響を与える可能性があるもののように思えます。他の飛行品質を備えた飛行機は、パイロットによって異なって感じることができますが、重大な事故のリスクなしに制御することができます。 Sinnettはこの声明を暗示していますか？はい、つまり、MCASが飛行の安全性にとって重要ではない場合、会社が最終的な解決策に取り組んでいる間、ボーイングが飛行機を空に戻すために一時的に無効にしたくないことに驚いています。

: « , , , ». , , , , .

, , New York Times , : , « » MCAS, .

, , , 737. - Boeing.

MCAS — , — 0,6 10 .

, FAA MCAS. .

, 2016 , Boeing , MAX , . , , MCAS .

, , Aviation Week , 302 Ethiopian Airlines. , AoA , , . , , . , , ?