Вопросы сертификации ВС (по катастрофам Boeing MAX)

[denokan]

Недавно, года два кажется назад, 737 свалился где-то под Москвой, и благополучно вышел из сваливания. Его экипаж наверное тоже считал что он не попадет на углы на которых в нормальных полетах не летают. Но попал туда.

Для этих случаев придумана MCAS.

 

[Avex]

Для этих случаев придумана MCAS.

Замечательно. Отсюда и следует что это отдельная система с новой функцией. Которая должна пройти сертификацию по современным требованиям. А она им не соответствует. И Боинг скрыл ее наличие в РЛЭ. И что из этой "помощи" вышло сейчас известно.

 

[Appr]

Замечательно. Отсюда и следует что это отдельная система с новой функцией. Которая должна пройти сертификацию по современным требованиям. А она им не соответствует. И Боинг скрыл ее наличие в РЛЭ. И что из этой "помощи" вышло сейчас известно.

Не следует. На NG подобную функцию имела Speed Trim System, в AFM на макс описание STS есть с небольшими отличиями от AFM для NG. MCAS - добавление еще одного алгоритма в STS. В System Differences, датированных январем 2017, ее описание точно есть.

 

[denokan]

Замечательно. Отсюда и следует что это отдельная система с новой функцией. Которая должна пройти сертификацию по современным требованиям. А она им не соответствует. И Боинг скрыл ее наличие в РЛЭ. И что из этой "помощи" вышло сейчас известно.

Что в лоб, что по лбу...
#автоудаление

 

[eton]

Ну почему же? То, что у них начало происходить сразу после взлета достаточно типично для проблем с ППД. Таких случаев и на NG хватает в рамках мирового масштаба.

ППД? У NG STS самостоятельно откручивает стабилизатор при проблемах с ППД "предотвращая" сваливание?

 

[denokan]

ППД? У NG STS самостоятельно откручивает стабилизатор при проблемах с ППД "предотвращая" сваливание?

А что, в этих случаях стабилизатор начал самостоятельно откручивать вниз?
Наверное, в ...тый раз пишу: началось все с Airspeed Unreliable. Выполни они его так, как положено, вполне возможно, что MCAS и не активировался бы.

 

[Avex]

@Avex, на мой неискушённый взгляд, вы взяли неоспоримый факт, то что две катастрофы - это плохо.

Ваш взгляд действительно неискушенный потому что очень плохо даже одна катастрофа.

И настойчиво прикручиваете к этому факту вполне оспоримые спекуляции насчёт того, что дескать всё это легко можно было предусмотреть и предотвратить.

Оспоримые - так оспорьте. Пока никому не удалось объяснить почему МКАС не отключается когда на ее вход попадает недостоверное значение угла атаки хотя это легко предотвращается, и почему по СВС это предусмотрено, а по МКАС нет. Подобного рода решения не пропущены были бы даже в курсовом проекте студента. Как они попали на летающий борт - это основной вопрос который должен рассматриваться, и рассматривается в уголовной плоскости в Америке.

Не то что читать, просматривать по диагонали уже надоело.

Есть простое решение, не читать.

 

[Avex]

Наверное, в ...тый раз пишу: началось все с Airspeed Unreliable. Выполни они его так, как положено, вполне возможно, что MCAS и не активировался бы.

На что я также в 200-ый раз напишу, все началось с другого, с того что на вход МКАС допустили вход априори недостоверного параметра, потому как в условиях АОА disagree, один угол точно недостоверный и откручивать на пикирование по значению недостоверного параметра недопустимо. В конструкции огромная дырка, и не при таких, а при других обстоятельствах все также могло бы кончиться катастрофой. Допустим датчик отказал бы в полете, не на автопилоте, тут и активации ждать не надо, МКАС сразу бы отправила лайнер в землю.

 

[Sholom]

А что, в этих случаях стабилизатор начал самостоятельно откручивать вниз?
Наверное, в ...тый раз пишу: началось все с Airspeed Unreliable. Выполни они его так, как положено, вполне возможно, что MCAS и не активировался бы.

Люди просто не могут понять, что тут есть две отдельные проблемы, а не одна общая.
1. Ошибка в проектировании, не выявленная при сертификации;
2. Недостаточная квалификация экипажа.

Как обычно катастрофы возникают там, где совпадают одновременно несколько факторов, каждый из которых сам по себе не является критическим.
Но согласиться с тем, что устранение одного из факторов исключило бы факт катастрофы - люди не в состоянии. Ибо катастрофа уже есть и надо срочно найти виноватого.
А уж если один из виноватых покойник, то оставшийся в живых получает за себя и за того парня.

 

[eton]

Наверное, в ...тый раз пишу: началось все с Airspeed Unreliable. Выполни они его так, как положено, вполне возможно, что MCAS и не активировался бы.

Вполне возможно. В общем же случае пилоты должны уметь пилотировать, проектировщики - проектировать, сертифицирующие органы - сертифицировать... а еще техники должны уметь ремонтировать. При выполнении любого из этих условий вполне возможно MAXвообще бы не приземлили, но фактическая картина иная. А производители должны реальное положение вещей учитывать.

 

[denokan]

Допустим датчик отказал бы в полете, не на автопилоте, тут и активации ждать не надо, МКАС сразу бы отправила лайнер в землю.

Да ладно? Совсем без шансов? Нет спасения от Runaway Stabilizer?

 

[Appr]

На что я также в 200-ый раз напишу, все началось с другого, с того что на вход МКАС допустили вход априори недостоверного параметра, потому как в условиях АОА disagree, один угол точно недостоверный и откручивать на пикирование по значению недостоверного параметра недопустимо. В конструкции огромная дырка, и не при таких, а при других обстоятельствах все также могло бы кончиться катастрофой. Допустим датчик отказал бы в полете, не на автопилоте, тут и активации ждать не надо, МКАС сразу бы отправила лайнер в землю.

Ну так боинг и оценил это событие как "крайне маловероятное", а случись оно, допущение было, что в кабине экипаж с достаточным уровнем подготовки. На кого, по-вашему, проектировать надо, на идиотов? Что значит "недостоверного параметра"? Какая категория ошибки? No computed data, data invalid, data out of range? Какие нормы проектирования нарушает MCAS? Для этого отчет Роквелла на соответствие изменений DO-178B сначала оспорить надо? Можете?

 

[Avex]

Да ладно? Совсем без шансов? Нет спасения от Runaway Stabilizer?

Отправила - не значит что точно воткнула, но отправила бы в том направлении, то есть активировалась бы, включилась бы в работу.

 

[denokan]

Отправила - не значит что точно воткнула, но отправила бы в том направлении, то есть активировалась бы, включилась бы в работу.

Ну так это самопроизвольная перекладка стабилизатора.

 

[Avex]

Ну так боинг и оценил это событие как "крайне маловероятное",

У оценки точного значения быть не может. Потому это и оценка, и заметьте боинг оценил это в свою пользу, и крупно ошибся. Оценка это нечто эфемерное, в отличии от конкретных и безошибочно работающих мер резервирования и отказоустойчивости.

а случись оно, допущение было, что в кабине экипаж с достаточным уровнем подготовки.

А что помешало принять простые! меры и отключить МКАС при расхождении углов атаки? Почему для СВС выходит алерт, а для МКАС нет и она в результата включается в работу по недостоверному параметру? Пусть будет экипаж, но только как последний рубеж. А когда есть элементарные меры чтобы не доводить до него, то зачем доводить? И тестировать на прочность систему рискуя жизнями пассажиров?

На кого, по-вашему, проектировать надо, на идиотов?

Во-первых, раз вы применяете такие термины, проектировать должны не идиоты. Повторяюсь, такой алгоритм МКАС был бы не пропущен даже в курсовой работе студента.

Что значит "недостоверного параметра"?

Разве надо пояснять? К тому же в алгоритме работы МКАС не было отсечки по невозможным в реальном полете углам, что-то в районе 70 градусов углов атаки в Эфиопии МКАС включилась в работу. Очень грустно наблюдать за таким уровнем конструкторской мысли. Тем более там и конструировать то нечего. Вопрос всего лишь в нескольких строчках алгоритма.

Ну так это самопроизвольная перекладка стабилизатора.

И зачем же создавать условия для ее появления когда можно было легко их избежать?

 

[Appr]

У оценки точного значения быть не может. Потому это и оценка, и заметьте боинг оценил это в свою пользу, и крупно ошибся. Оценка это нечто эфемерное, в отличии от конкретных и безошибочно работающих мер резервирования и отказоустойчивости.

Я верю, что вы заучили "недостоверный параметр", "резервирование", "отказоустойчивость" и FAR 25.761 и 25.672, но повторение этого из поста в пост не носит информативности, один популизм. Оценочные суждения вполне допускаются сертификационным процессом. Насколько они должны быть точны - задача с точки зрения стохастической неопределенности нерешаемая. Что на практике вылезло, то в отчет и попало. Но даже после переоценки точность или классификация событий не поменялась. И это никто не оспаривает. Вы тоже не можете, т.к. см выше. Чем предусмотрены "конкретные меры", вы не назвали. Нормы для того, чтобы система могла называться "системой" в смысле FAR, не привели.

Разве надо пояснять? К тому же в алгоритме работы МКАС не было отсечки по невозможным в реальном полете углам, что-то в районе 70 градусов углов атаки в Эфиопии МКАС включилась в работу. Очень грустно наблюдать за таким уровнем конструкторской мысли. Тем более там и конструировать то нечего. Вопрос всего лишь в нескольких строчках алгоритма.

Очень нужно, потому что в случае с no computed data вероятность активации MCAS нулевая. А между "втыканием носом в землю" и одним недостоверным параметром вы пропускаете важное звено - экипаж. Их действия, как оказывается, далеки от шаблонных. И тоже не могут быть "точно оценены". Так с чем проблема, с сертификацией или экипажем?

 

[Black Cat]

1. Ошибка в проектировании, не выявленная при сертификации;
2. Недостаточная квалификация экипажа.

В одной из двух катастроф еще и п.3 - жесточайший косяк при ремонте датчика.

 

[Avex]

Попадает, так как явилась следствием установки новых двигателей, чтобы привести градиенты усилий на штурвале к заданным NG.

Боинг в своем письме и официальных высказываниях во время расследования указывал что причина появления МКАС в возникающей статической неустойчивости МАХ на повышенных углах атаки, для предотвращения выхода на которые и начинает работать МКАС.

На тех, на которых в нормальных полетах самолёт не летает.

Кстати, в письме Боинга идет речь о повышенных углах атаки. А не то что указано в вашей цитате. Поэтому все-таки узнать что это за повышенные углы атаки думаю было бы интересно.

MCAS - не отдельная система, это - функция системы. Найдете критерии в рамках FAR, которые позволяют определить ее как самостоятельную систему и подвести к новому сертификационному базису - большое будет вам человеческое спасибо.

Я подхожу к этому вопросу с точки зрения сути и смысла, а не с точки зрения подбора необходимых юридических формулировок. А уж смысл я понимаю хорошо. Неважно как назвать эту МКАС, системой, функцией. Главное что она, как самолетная система управления выполняет совершенно новые по смыслу действия, которых таковых на самолете раньше не было и которые должны быть сертифицированы. И все те оправдания по которым якобы это делать не надо, есть просто уловки и хитрости чтобы избежать этого процесса.

Никто обманным путем ничего не нарушал. Все сделали в рамках существующих норм. MCAS не только подверглась анализам, но и была отлетана в симуляторе.

Тут в соседней теме уже приводились данные о том как она была отлетана. С большими проблемами она была отлетана, что послужило причиной очередного витка разбирательств в конгрессе, так как Боинг скрыл наличие этих проблем.

Изменения заявлялись в отношении системы Speed Trim. Как уже упоминал @brother_737, эта система сигнализацию об отказе имеет, отключить можно свичами. Расширение в сертификационных планах было: "According to CP13471, one of the changes to the Stabilizer Trim Control system from the baseline 737-800 (NG) was the incorporation of the MCAS. Implementation of this new function required two new analog discrete signals, generated by the FCCs, to be sent to components within the stabilizer system. One discrete will override the control column cut-out switches located in the First Officer’s Column Switching Module in the “pull” direction when MCAS is operating to prevent the stabilizer command from cutting out during the pilot maneuver. The second discrete overrides the flap position input to enable the higher stabilizer trim motor (STM) operating speed with flaps retracted when MCAS is operating".

Я про что и говорю, это и называется уловкой. Функции спид трим и мкас различаются кардинально, и под сурдинку спид трим по вашим словам Боинг протаскивает и мкас, который сертифицировать не хочет. И который по смыслу вообще никакой не спид трим. А абсолютно новая функция с совершенно другими целями и задачами. А Боинг как бы говорит, да мы там давно существующую систему спид трим немножко доработали, ничего нового и серьезного. Вот в этом я считаю и хитрость и обман.

Уделили бы лучше время на прочтение отчета, а не на развитие теории заговора.

Я уже приводил пример фольксвагена который обманным путем подменял данные по контролю СО2 на своих машинах. А Тойота которая преступно не реагировала на неисправность чтобы не устраивать дорогостоящий массовый отзыв, хотя не один человек погиб от ее конструкторского брака. Заговоры есть, примеров масса. И кстати в отчете присутствует претензия озвученная мной - то что МКАС не указана в РЛЭ.

 

[Black Cat]

Мое мнение в том что ошибки бывает совершаются совершенно случайно - на ровном месте - вот например упрекнувший меня во невнимательности
Black Cat на вопрос "почему 27.672 не применим?" вместо очевидного ответа "потому что 737 не вертолет" ответил ... нечто непонятное. Это очень странно ведь две предыдущие страницы простыней крутились вокруг этих же пунктов. Black Cat совсем не новичок, чем обусловлена его ошибка - той же самой невнимательностью, некомпетентностью, что приписываются при ошибках пилотам, или тем что номера и содержание 27.672 и 25.672 схожи, "глаз замылился" или еще чем-нибудь?

Перелистайте топик еще раз, прежде чем спешить с обвинениями.
Black Cat всего лишь попросил фракцию наиболее пламенных боинго-обвинителей озаботиться вопросом применимости тех пунктов в нарушении которых они и обвиняют "Боинг". Не более того.

 

[Avex]

Теперь боинг признает необходимым, что сигнализация AOA DISAGREE всегда будет доступна, а MCAS будет прекращать работу при рассогласовании показаний уа.

Вы так и не ответили на дважды заданный вам вопрос почему так не было сделано с самого начала? Для СВС сделано, а для МКАС нет. Вы требуете от экипажа голову включать. А я от конструкторов. Ну нельзя же мыслить одними категориями сертификации, оценками, вероятностями.. Должен же быть элементарный здравый смысл. Должен же быть кто-то кто должен сказать, ребята, а что это за ерунда когда на вход мкас попадает недостоверный сигнал, а она по нему работает. Почему такого человека не нашлось? И как это пропустил Главный конструктор?