Два пилота, четыре стажера и инспектор вылетели из Таллина, Эстония осуществить обычный тренировочный полет на борту Airbus A320 по программе подготовки пилотов стажеров. Но как только последний стажер -летчик осуществил посадку в ручном режиме, самолет был сокрушен серией запутанных механических сбоев. Пилоты потеряли контроль над рулями высоты, самолет потерял высоту, провалился и заскреб взлетно-посадочную полосу своими двигателями, прежде чем снова взмыть в воздух. Рули были заклинены, другие органы управления полетом вышли из строя, закрылки не работали, правый двигатель горел.
Все мыслимые предупреждения прозвучали одновременно! Столкнувшись с надвигающейся катастрофой, пилоты использовали то немногое, что у них было, чтобы выровнить самолет перед заходом на взлетно-посадочную полосу, для отчаянной аварийной посадки. На последнем заходе оба двигателя отказали, но, выжимая последние остатки скорости, капитан сумел довести самолет до самого порога взлетно-посадочной полосы, где он тяжело приземлился и выкатился в снег. Благодаря стальным нервам все на борту были спасены.
Но что же привело к этой почти полной катастрофе при тренеровочном полете?
Ответ был неожиданным для всех: с управлением полетом все было в порядке. Последовательность событий на самом деле началась, когда кто — то использовал не соответствующую смазку, чтобы смазать невидимую тягу глубоко внутри горизонтального стабилизатора. — Маленькая деталь и ошибка в химическом составе применяемой смазки, которая привела к эскалации серии компьютерных сбоев, которые почти стоили жизни семи людям.
SmartLynx Airlines Estonia-стопроцентная дочерняя компания SmartLynx Airlines, независимого латвийского перевозчика, специализирующегося на чартерных рейсах из стран Балтии в места отдыха. Как эстонский филиал компании, SmartLynx Estonia управляет парком из трех самолетов Airbus A320, базирующихся за пределами главного аэропорта страны в Таллинне, столице страны.
Но рейс 9001 авиакомпании SmartLynx Estonia не должен был покидать страну: на самом деле он даже не мог далеко улететь из Таллина. Цель полета состояла в том, чтобы дать студентам-пилотам, работающим в рамках собственной учебной программы A320 авиакомпании, практику взлетов, посадок и обходов. В течение примерно трехчасового сеанса четыре пилота-стажера с ограниченным опытом полета каждый взлетал, выполнял облет, выполнял пять приземлений в касание и затем приземлялся по-настоящему под наблюдением инструктора. Кроме того, на борту находились пилот службы безопасности, квалифицированный для полетов на А320 в случае чрезвычайной ситуации, и инспектор эстонского Управления гражданской авиации, который следил за учебной программой SmartLynx Estonia. Самолету, на котором они летели, было 18 лет, но он был новым для авиакомпании: SmartLynx купил его в начале этого месяца.
Под бдительным оком инструктора — 63-летнего летчика-ветерана с более чем 24 000 летными часами — первые три стажера выполнили свои упражнения без происшествий. Была только одна небольшая заминка, раздражающее предупреждение, которое возвращалось снова и снова: “ошибка тангажа ELAC 1”. пилоты знали, что это означает, что что-то не так с одним из компьютеров самолета, но руководство говорило, что все, что им нужно сделать, это выключить компьютер и снова включить, так что они это сделали.
Airbus A320 является самолетом fly-by-wire, что означает, что пилотные управляющие входы подаются в банк компьютеров, которые, в свою очередь, увеличивают эти входы, прежде чем приказать управляющим поверхностям двигаться. Это позволяет самолету летать более плавно, помогает пилотам извлечь максимальную производительность и эффективность из самолета, а также предотвращает их от внесения входов, которые могут привести к потере управления. Для обеспечения избыточности каждый набор управляющих поверхностей присоединяется к другому компьютеру, каждый из которых имеет несколько резервных копий, которые могут сработать в случае сбоя основного компьютера. Среди этих компьютеров есть два Elac, сокращенно от Elator Aileron Computers, которые передают входы от пилота и автопилота к рулю высоты, элеронам и горизонтальному стабилизатору.
(ESIB)
ELACs являются частью многоуровневой системы, предназначенной для обеспечения целостности управления полетом в любое время. Обычно ELAC 2 отвечает за подъем, но если он сталкивается с проблемой, эта ответственность может быть передана ELAC 1. Если оба Elac потерпят неудачу, еще не все потеряно! В этот момент другая пара компьютеров, называемых Спойлерными лифтовыми компьютерами или сек, которые обычно контролируют состояние спойлеров самолета, может вмешаться, чтобы также управлять рулем высоты. Таким образом, чтобы потерять контроль над лифтами, четыре компьютера должны выйти из строя одновременно. Нетрудно понять, почему экипаж рейса 9001 не волновался, когда самолет продолжал рассказывать им о проблеме с ELAC 1.
Никому на борту не было известно, что предупреждение, которое они получили, было лишь верхушкой айсберга. Источник проблемы лежал в Триммируемом приводе горизонтального стабилизатора (THSA). Это гидравлический привод, который физически перемещает горизонтальный стабилизатор, поверхность управления, которую пилоты и автопилот используют для регулировки угла, на котором самолет устойчив. В отличие от рулей высоты, которые предназначены для одноразовых вводов, обшивка стабилизатора предназначена для более длительной регулировки, гарантирующей, что самолет остается на том угле тангажа, на котором этого хотят пилоты или автопилот. Кроме того, в отличие от рулей высоты, обшивка стабилизатора механически связана с управлением полетом пилотов и все еще может использоваться даже без каких-либо функционирующих компьютеров.
Порядок, в котором четыре компьютера берут на себя управление рулями высоты и дифферентом стабилизатора. (ESIB)
Всякий раз, когда рейс 9001 заходил на посадку, колеса касались земли, и через пять секунд THSA входил в то, что известно как “наземная установка».” Чтобы облегчить посадку, при заходе на посадку ELAC выравнивает стабилизатор носом вниз, помогая пилоту посадить самолет на взлетно-посадочную полосу. Но при приземлении в касание, когда самолет будет оставаться на Земле всего несколько секунд, прежде чем снова взлететь, такая автоматическая регулировка стабилизатора нежелательна. Таким образом, для того, чтобы помочь с неизбежным взлетом, инструктор будет использовать ручное уравновешивающее колесо в кабине, чтобы переопределить компьютер и удерживать стабилизатор в положении носа вверх для взлета. С помощью ручного триммера колесо отсоединяет привод триммера тангажа (PTA), который посылает электрические сигналы от компьютеров к THSA, и на его месте подключает устройство, называемое механизмом переопределения, которое вставляется вниз по потоку от PTA и передает пилотные входы в THSA вместо компьютерных входов.
Между тем, ELAC постоянно сравнивает положение управляемого стабилизатора с его фактическим положением, чтобы обнаружить любую механическую неисправность в системе. Он выполняет это путем сопоставления значений из двух каналов данных: командного канала, который передает командную позицию, и канала мониторинга, который передает фактическую позицию. Если расхождение между ними длится более одной секунды, срабатывает неисправность. В своем стандартном состоянии эта очень простая функция не сможет определить разницу между пилотом, перекрывающим автопилот с помощью колеса дифферента, и отказом горизонтального стабилизатора, потому что компьютер будет продолжать посылать сигналы в родительский комитет, несмотря на то, что он больше не подключен к стабилизатору. Чтобы исправить это, всякий раз, когда пилот прикладывает крутящий момент к отделочному колесу в кабине, поршень переопределения внутри PTA перемещается вниз и контактирует с тремя микропереключателями, которые передают сигнал, говорящий компьютерам прекратить сравнение командного канала с каналом мониторинга.
(ESIB)
Однако эта система на данном конкретном А320 содержала крошечный недостаток: масло, используемое на поршне управления, было в два раза более вязким, чем масло, предписанное в руководстве. В результате трение на поршне управления было слишком велико, и он иногда не мог вытянуться достаточно далеко, чтобы соприкоснуться с микропереключателями. Это означало, что во время многих посадок на посадку инструктор управлял компьютерами с помощью ручного колеса регулировки тангажа, но микропереключатели не вступали в контакт с поршнем, и компьютер продолжал сравнивать каналы управления и контроля. Обнаружив, что его команды не влияют на положение стабилизатора, ELAC 1, который обычно управляет стабилизатором, регистрировал неисправность и отключался. Его обязанности будут переданы ELAC 2, и на экране между двумя пилотами появится предупреждение “ошибка тангажа ELAC 1”.
(ESIB)
Поскольку отказ одного ELAC считается консультативным вопросом без серьезных последствий для безопасности, это сообщение будет появляться только после того, как самолет поднимется на высоту 1500 футов после каждого приземления, чтобы не отвлекать экипаж во время взлета. Каждый раз, когда появлялось это сообщение, пилоты просто выключали и снова включали ELAC 1, и проблема исчезала. Но на одной из посадок с третьим стажером пилоты не заметили предупреждающего сообщения и так и не сбросили ELAC 1.
Когда через несколько минут четвертый стажер вошел для третьего касания, ELAC 1 все еще был выключен, а отделка стабилизатора контролировалась ELAC 2. Когда инструктор схватился за руль, чтобы не дать стабилизатору сдвинуться носом вниз, снова произошла та же последовательность событий: микропереключатели не подключились, компьютер обнаружил несоответствие между заданным положением и фактическим положением, а ELAC 2 зарегистрировал неисправность и отключился.
Когда оба Elac не работали, управление лифтами и горизонтальным стабилизатором было передано SEC 1 (Spoiler Elevator Computer 1). Но удивительное совпадение должно было ввергнуть всех на борту в гораздо большую опасность.
Основная роль SECs заключается в том, чтобы облегчить автоматическое развертывание спойлеров при приземлении. Спойлеры-это панели, которые поднимаются от крыльев, чтобы уменьшить подъемную силу и заставить самолет выйти на взлетно-посадочную полосу. Для того, чтобы определить, должны ли быть развернуты спойлеры, SECs постоянно контролируют датчики в шасси, которые обнаруживают, находится ли самолет на земле или в воздухе. Хотя пилоты не включали спойлеры при приземлении в ручную, сек все равно продолжали следить за этими датчиками.
SEC получают информацию о шасси от пары компьютеров, называемых интерфейсными блоками управления шасси (LGCIUs). Как и ELACs, SEC имеют командный канал и канал мониторинга для обнаружения сбоев в любом LGCIU. Командный канал подается от LGCIU 1, в то время как канал мониторинга получает данные от LGCIU 2; таким образом, если один блок говорит, что самолет находится на земле, а другой говорит, что он находится в воздухе, SECs обнаружит это несоответствие и отключится, предотвращая автоматическое развертывание спойлеров в полете из-за неправильной индикации одним из LGCIUs.
(ESIB)
Почти в тот самый момент, когда управление рулями высоты и горизонтальным стабилизатором было передано на сек, самолет отскочил от взлетно-посадочной полосы и поднялся в воздух примерно на одну секунду. По чистому совпадению, это событие пробило брешь в логике, используемой SECs, чтобы определить, была ли ошибка с LGCIUs. Хотя оба LGCIUs отправляют данные о воздушном/наземном состоянии самолета в сек каждые 120 миллисекунд, они не синхронизированы, что означает, что они не отправляют эти данные одновременно.
Если Секи получают показания от обоих LGCIUs о том, что самолет находится в воздухе в течение одной секунды или более, Секи переключаются в “режим полета».” Режим полета остается активным минимум 20 секунд. Но поскольку командный и контрольный каналы не отбирают данные синхронно, один канал мог обнаружить, что самолет находится в воздухе, в то время как другой канал этого не делал, пока самолет находился в воздухе лишь чуть более одной секунды — что эквивалентно примерно девяти 120-миллисекундным интервалам отбора проб после округления. Поэтому, если самолет поднимался в воздух, скажем, на 1,15 секунды, было возможно, что девять или восемь полных интервалов выборки попадали в этот период 1,15 секунды, в зависимости от точного времени интервалов (для более подробного объяснения этого примера обратитесь к диаграмме ниже). Таким образом, если интервалы выстраиваются таким образом, что командный канал обнаруживает состояние полета через девять интервалов, а канал мониторинга-состояние полета через восемь интервалов, командный канал увидит, что односекундный порог достигнут, и переключится в режим полета на 20 секунд, в то время как канал мониторинга обнаруживает период полета менее одной секунды и остается в наземном режиме. С одним каналом в режиме полета, а другой в наземном режиме, SEC считают, что произошел сбой одного из LGCIUs, и они оба отключаются (так как они оба получают свои данные из одного и того же источника).
Объяснение того, как отскок, длящийся чуть больше одной секунды, может привести к тому, что командные и контрольные каналы обнаружат различные активные законы управления. (ESIB + собственная работа)
Именно это и произошло, когда рейс 9001 отскочил примерно на секунду во время посадки в Таллинне. Поскольку оба Elac уже потерпели неудачу, SEC 1 отвечал за контроль тангажа самолета, когда он обнаружил несоответствие закона полета/Земли и отключился. Управление должно было быть перенесено на 2 сек, но этот компьютер уже отключился по той же самой причине. Примечательно, что все четыре компьютера, способные управлять лифтами и горизонтальным стабилизатором, теперь вышли из строя, и лифты были заблокированы в нейтральном положении!
В этот момент пилот-стажер попытался отклонить Стик свой боковой рычаг, чтобы подняться подальше от взлетно-посадочной полосы, но, к его удивлению, самолет не отреагировал на его сигналы.
Видя, что они не поднимаются, инструктор скомандовал: Rotate! Rotate!”
ответил студент.
Внезапно на экране появились два красных предупреждающих сообщения: «F/CTL L+R ELEV FAULT » и “используйте только MAN PITCH TRIM”, а также Громкий непрерывный сигнал. Эти сообщения означали, что оба руля высоты вышли из строя, и пилоты смогут управлять тангажем только с помощью ручных подрезных колес, которые были механически соединены со стабилизатором.
Пока еще не зная о характере проблемы, инструктор объявил, что у него есть контроль и попытался поднять нос с помощью джостика управления рулями, но он тоже не смог произвести никакого действия. Самолет начал набирать высоту очень медленно, под влиянием слегка задранного носом положения стабилизатора.
Ориентация полета и контрольные позиции в 15:05:08. (ESIB)
В этот момент инструктор, возможно, ненадолго задумался о том, чтобы попытаться прервать взлет, поскольку он уменьшил мощность двигателя до холостого хода на четыре секунды. Но быстро стало ясно, что им не хватит места, чтобы остановиться на взлетной полосе, поэтому он изменил свой ввод, применив взлетную мощность и начав обычные процедуры взлета, включая уборку шасси и закрылков.
Обычно потеря подъемной силы, вызванная уборкой закрылков после взлета, противостоит тот факт, что самолет направлен носом вверх и набирает высоту с большим углом атаки. Но в данном случае, когда самолет летел почти на уровне носа, втягивания закрылков в сочетании с кратковременным уменьшением тяги было достаточно, чтобы привести самолет в снижение. С максимальной высоты 48 футов А320 медленно опускался на землю, пока не ударился о взлетно-посадочную полосу за 200 метров до конца. Поскольку шасси в момент удара было частично убрано, самолет приземлился на свои двигатели, которые заскрежетали по взлетно-посадочной полосе, выбрасывая ливень искр и нанося серьезные повреждения критическим вспомогательным устройствам двигателя. Тем не менее, скорость самолета продолжала увеличиваться, пока через две секунды он снова не поднялся в воздух, после чего он быстро накренился вверх и начал набирать высоту со скоростью 6000 футов в минуту.
(ESIB)
Когда самолет резко взмыл вверх, инструктор попытался опустить нос вниз, но его усилия опять не возымели никакого эффекта. Одновременно появилось несколько новых предупреждений, указывающих на то, что закрылки заклинило и двигатель № 2 загорелся. Теперь поверх непрерывного звона заревел главный сигнал тревоги.
“Только ручная регулировка тангажа, только ручная регулировка тангажа! — крикнул пилот с места наблюдателя. Поняв, что ему нужно использовать дифферент стабилизатора, чтобы наклониться вниз, инструктор схватил ручное колесо дифферента и начал поворачивать его в положение носа вниз, но он слишком сильно скорректировался. Самолет резко накренился вниз, входя в пикирование со скоростью 7200 футов в минуту с высоты всего 1500 футов над землей. Прозвучало предупреждение о приближении к земле: “SINK RATE! TERRAIN! TERRAIN! WHOOP WHOOP, PULL UP,” — еще больше усиливая какофонию сигналов тревоги, уже заполнявших кабину. Когда быстро приближающаяся земля заполнила его лобовое стекло, инструктор яростно крутанул штурвал в противоположном направлении, и самолет вышел из пикирования на высоте 596 футов, набирая скорость 2,4 G когда он пикировал, перешел в очередной крутой набор высоты.
Быстро поднявшись на высоту 1200 футов, инструктор, наконец, сумел остановить полет на американских горках, используя комбинацию установки углов стабилизатора, входов крена и тяги двигателя. Заметив все сигналы тревоги, он спросил:”
“Второй двигатель горит!” доложил пилот.
Инструктор кричал: “Mayday, mayday, mayday”, но забыл включить микрофон, чтобы передать сообщение в диспетчерскую.
Теперь пилот безопасности начал зачитывать список предупреждающих сообщений. “Итак, у нас есть блокировка закрылков, неисправность левого/правого руля высоты, максимальная скорость 320, использование ручного уравновешивания тангажа, не возможность использовать воздушные тормоза, — сказал он. Пока он перечислял все неудачи, самолет продолжал колебаться между носом вверх и носом вниз, пока инструктор изо всех сил пытался сохранить контроль.
Ориентация полета и контрольные позиции в 15:05:37. (ESIB)
Когда инструктор развернул самолет на 180 градусов, чтобы вернуться на взлетно-посадочную полосу, пилот безопасности вызвал вышку и сказал: “Мэйдэй, Мэйдэй, Мэйдэй, у нас сбой управления полетом!” Диспетчер разрешил им сделать правый поворот и визуально приблизиться к взлетно-посадочной полосе. Тем временем пилот безопасности занял место первого офицера, в то время как студент и инспектор ECAA вернулись в кабину.
Инструктор нажал на главную кнопку предупреждения, чтобы заглушить громкий сигнал тревоги. — Каков курс взлетно-посадочной полосы?” он спросил.
“262,” сказал пилот безопасности. “Таллиннская башня,” добавил он по радио, “мы идем на взлетно-посадочную полосу 26!” Он также сообщил, что у них возник пожар в двигателе, и потребовал, чтобы пожарные машины прибыли на самолет после посадки.
К этому времени они уже прошли большую часть поворота, входя наискосок, так что взлетная полоса была в поле зрения. Это не имело значения; в крайнем случае, они могли выстроиться в линию в последний момент.
Пилот безопасности предложил заглушить горящий двигатель. В движении, которое могло бы спасти жизни, инструктор отказался. “Если я теряю двигатель и лечу только на крыльях и с различными подъемными силами, — сказал он, — я предпочитаю приземляться, когда двигатели работают.” Поскольку поврежденный двигатель все еще вырабатывал энергию, он решил, что правильным шагом будет выжать из него столько тяги, сколько он сможет дать.
(ESIB)
72 секунды до приземления. Пилот безопасности выпустил шасси.
Через 19 секунд второй двигатель испустил дух и вышел сам. Зазвучала пожарная тревога, и на экране появилось предупреждающее сообщение “ENG 2 FAIL”. “Второй двигатель заглушен!” доложил пилот. Но инструктор едва отреагировал. Отказ двигателя не имел значения — взлетная полоса была прямо впереди, и все, что ему нужно было сделать, это добраться до нее…
33 секунды до приземления. Поврежденный двигатель № 1 также вышел из строя. Самолет на короткое время потерял всю электроэнергию, приборы потемнели, и черные ящики перестали записывать. Остальные компьютеры отключились, оставив пилотов неспособными использовать какие-либо элементы управления полетом, кроме обшивки стабилизатора и руля направления, которые имели механические резервные копии команд.
Секундой позже воздушная Турбина Ram, или RAT, развернулась из нижней части фюзеляжа, чтобы привести в действие критические электро системы. Некоторые элементы управления полетом снова включились, и диктофон кабины снова начал записывать.
— Механизм отключен. У нас нет двигателей! — сказал пилот безопасности. “Скорость 150!” Их скорость быстро падала. “Скорость 130! Скорость 120!”
Это видео свидетеля запечатлело приземление и посадку рейса 9001. Смотрите со звуком здесь: https://www.youtube.com/watch?v=YGAgmeQOSp8 (Кирилл Киль)
Инструктор выжал из них всю оставшуюся скорость. Притормозив самолет едва ли до 100 узлов, намного ниже нормальной скорости захода на посадку, он сумел заскользить на нем почти до порога взлетно-посадочной полосы. Самолет жестко приземлился в снегу в 150 метрах от взлетно-посадочной полосы, выбросив вверх пыльное белое облако. Под хлопанье лопающихся шин А320 выскользнул на асфальт, скатился с левой стороны взлетно-посадочной полосы и затормозил.
Удар был настолько сильным, что офицер Службы безопасности и один из студентов получили незначительные травмы, включая сотрясение мозга, но никто серьезно не пострадал, и поскольку правый двигатель, возможно, все еще горел, инструктор приказал эвакуироваться. Когда пожарные машины обрызгали самолет пеной, все семь человек, находившихся на борту, вышли через спасательные надувные, уходя в полуденные сумерки. Несмотря ни на что, они спасли свой самолет и свои жизни.
Прибыв на место происшествия, следователи эстонского бюро расследований безопасности полетов (ESIB) обнаружили, что ущерб самолету был гораздо больше, чем кто-либо предполагал ранее. Оба двигателя были повреждены без ремонта после удара о взлетно-посадочную полосу. Все шины лопнули, а ободья колес были изношены до основания. Фюзеляж был искорежен и помят во многих местах, а в нижней части корпуса и обтекателях крыла были вмятины и проколы. Шасси было сильно повреждено, а створки шасси находились в плачевном состоянии — по крайней мере, те, которые все еще были прикреплены к самолету. Некоторые из дверей шасси действительно отделились в полете и были найдены в нескольких километрах от аэропорта. На самом деле повреждения были настолько масштабными, что SmartLynx пришлось списать самолет как полную потерю, и в конце концов он был продан немецкой армии для использования в учебных симуляторах для спецназа.
Повреждение нижней части фюзеляжа. (Аверальд)
Однако, несмотря на обширные повреждения, следователи быстро установили, что все это произошло в результате потери управления: до неожиданного столкновения с взлетно-посадочной полосой на взлете никаких повреждений у самолета не было. Тесты показали, что все органы управления полетом работали нормально, как и компьютеры, которые ими управляли. Следователи в конце концов поняли, что неисправности с компьютерами элеронов руля высоты (ELACs) соответствовали точкам, в которых инструктор использовал ручное уравновешивающее колесо для переопределения триммера. Данный факт привел их к открытию и зависанию, посредством того, что поршень переопределения в механизме, который должен был сообщить компьютеру постоянные данные положения самолета, но не мог постоянно контактировал с микропереключателями. Это, в свою очередь, привело к обнаружению, что для смазки поршня был использован неправильный тип масла, в результате чего поршень заклинило.
Происхождение масла с ошибочным химсоставом, отследить оказалось невозможно. Последний зарегистрированный капитальный ремонт приводов стабилизаторов произошел в Соединенных Штатах в 2017 году, но записи показали, что был использован правильный тип масла и что после этого поршень управления работал нормально. Были ли записи неверны, или кто-то другой заменил масло в последующие месяцы? ESIB так и не смог ответить на этот вопрос.
Повреждения шасси и колес. (ESIB)
Тем не менее, казалось удивительным, что такая крошечная ошибка могла привести к почти катастрофе. Могло ли неправильное масло на непонятном поршне действительно привести к отказу четырех компьютеров, потере нескольких систем управления полетом и отказу обоих двигателей?
Невероятно, но ответ был утвердительным.
Неспособность поршня войти в контакт с микропереключателями привела к тому, что оба Elac ошибочно восприняли ручные входы инструктора как неисправность стабилизатора, в результате чего один из них отключился, а затем и другой некоторое время спустя. Когда SECs включились в качестве резервных компьютеров управления тангажем, дефект конструкции в их логике закона полета/Земли заставил компьютеры ложно обнаружить отказ одного или нескольких интерфейсных блоков управления шасси, когда самолет подпрыгнул в воздух примерно на одну секунду. Это привело к одновременному отключению обеих секций, что привело к потере контроля над лифтами. Включились автоматические центрирующие устройства, чтобы зафиксировать рули высоты в нейтральном положении, не давая им совершать случайные, незапланированные движения, в то время как предупреждающие сообщения сообщали экипажу, что им нужно будет управлять тангажем только с помощью стабилизатора. Но прежде чем пилоты полностью поняли, что происходит, самолет пошел на снижение, которому они не могли понять, как противостоять, в результате чего двигатели ударились о взлетно-посадочную полосу, поскольку шасси было в пути. Повреждение двигателей еще больше осложнило и без того опасную ситуацию.
Повреждение двигателей и аксессуаров двигателя. (ESIB)
Несмотря на то, что пилот — инструктор почти потерял контроль, пытаясь понять, как летать без рулей высоты, ему удалось превратить самолет в нечто вроде горизонтального полета-отчасти благодаря своевременным вызовам пилота безопасности. С этого момента инструктор и пилот безопасности работали вместе как эффективная команда, управляя своими приоритетами в море неудач и предупреждений, которые могли бы сокрушить менее опытный экипаж.
24 000 летных часов инструктора дали ему суждение, в котором он нуждался, чтобы решить, на чем он должен сосредоточиться, а на чем он может игнорировать. Выстроиться в торец с взлетно-посадочной полосой с обычного расстояния? В этом нет необходимости. Выключение неисправных двигателей в соответствии с надлежащей процедурой? Плохая идея, пока они все еще генерируют энергию. Он точно знал, где нужно нарушить правила, чтобы спасти свой самолет, и это было хорошо, потому что если бы он попытался сделать стабилизированный последний заход на посадку, выключив неисправные двигатели, они не достигли бы взлетно — посадочной полосы, и самолет, вероятно, врезался бы в лес.
Повреждение некоторых дверей шасси. (ESIB)
Следователи также выясняли, почему тренировочные полеты были продолжены, несмотря на неоднократные сообщения о неисправности тангажа ELAC-1. Они обнаружили, что руководство не предусматривает ограничения на количество раз, когда это предупреждение может появиться, прежде чем будет сочтено разумным прекратить полеты. Поэтому у команды не было никаких оснований полагать, что они не могут просто продолжать выключать и снова включать компьютер бесконечно. Теоретически это было верно, но когда они забыли сбросить его после контакта с третьим учеником, слой избыточности был удален на относительно длительный период. Кроме того, тот факт, что предупреждающие сигналы подавлялись до тех пор, пока самолет не достигал высоты 1500 футов, не позволял инструктору установить связь между своими входными данными дифферента и предупреждением, придавая этим сообщениям некоторую абстрактность, которая могла бы заставить его воспринимать их менее серьезно. И, наконец, выводить самолет из эксплуатации на длительный период для проведения тренировочных полетов-дело дорогое, и он, возможно, почувствовал бы давление, чтобы убедиться, что тренировка была завершена в отведенные сроки.
В результате этой катастрофы произошло несколько изменений. Airbus изменил свои процедуры подготовки к приземлению на посадку, предписав пилотам сверяться с минимальным перечнем оборудования, если во время такого полета произойдет сбой, и с этой целью каждая посадка на посадку должна рассматриваться как начало нового полета. Airbus изменил свои процедуры, проинструктировав пилотов не сбрасывать Elac несколько раз в полете, что, в свою очередь, делает сообщение о неисправности тангажа ELAC разумным основанием для прекращения полетов до тех пор, пока проблема не будет устранена. Airbus также улучшил программное обеспечение конструкции ELACs для смягчения последствий типа отказа, произошедшего на рейсе 9001, и исправил дефект конструкции, который привел к остановке обеих сек. SmartLynx Estonia также внесла ряд изменений, включая то, что самолеты, которые имеют менее одного года записей технического обслуживания Smartlynx, не могут использоваться для учебных полетов, и что инструкторы должны прекратить учебные полеты, если есть сообщение об ошибке, относящееся к управлению полетом (или любой другой критической системе), а также подчеркнув, что командиры имеют право прекратить полетную деятельность в любое время, если они чувствуют, что существует угроза их безопасности.
Фюзеляж Эс-Сан перевозится в Германию на специализированном бортовом грузовике. (Justin Stöckel)
Близкая Катастрофа рейса 9001 SmartLynx Estonia представляет собой одну из самых серьезных неисправностей технологии fly-by-wire Airbus с момента ее внедрения в 1988 году. В то же время такая последовательность событий была совершенно невероятной. Головокружительное количество конкретных событий с определенным временем должно было собраться вместе, чтобы преодолеть все уровни защиты, встроенные в передовые компьютерные системы А320. Даже не меняя ничего в самолете, шансы не обязательно в пользу того, что это когда-нибудь повторится.
Возможно, лучшим выводом из этой аварии является то, насколько безопасными стали современные авиалайнеры. Четыре компьютера управления полетом вышли из строя последовательно, оба двигателя вышли из строя, и электричество было потеряно. И все же, даже после того, как так много вещей пошло не так, было еще больше резервных систем. А320 был спроектирован так, чтобы летать, используя только механические резервные системы для отделки стабилизатора и руля направления в случае полного отказа всех его компьютеров. И на практике оказалось, что это сработало. Но мы не должны принимать как должное истинную последнюю линию обороны: самих пилотов. В наши дни редко случается достаточно неудач, чтобы мастерство пилота стало единственным барьером между спасением и катастрофой. Но в тот холодный день над Эстонией это произошло — напоминание о том, почему мы все еще должны требовать, что летчики авиакомпании будут лучшими из нас, теми, кто, когда все рубежи защиты падают побежденными и смерть на горизонте, пилот должен противостоять посредством навыка и обучающих технических средств и тренажеров, чтобы встретить подобную ситуацию во все оружие.
Источник: https://admiralcloudberg.medium.com/the-dark-side-of-logic-the-near-crash-of-smartlynx-estonia-flight-9001-68b9f42b1fb2
_____________________
