Может Ли Быть Слишком Много Автоматизации В Самолете?

В процессе обсуждения моего статьи По поводу поиска ошибки в программном обеспечении контроллера авиационного двигателя (FADEC) был поднят ряд вопросов, не имеющих прямого отношения к теме той статьи.

Видя довольно большой интерес читателей к авиационно-компьютерной тематике, я решил рассказать еще об одной истории, довольно известной в узких кругах, где ошибка в логике системы принесла экипажу несколько очень интересных моментов, и немало головная боль производителю.

На всякий случай предупреждение – если вы думаете, что можете подхватить авиафобию (или она у вас уже есть), то лучше не переворачивать страницу.

Так, в 2005 году состоялся первый полет самолета Dassault Falcon 7X, а спустя пару лет первые самолеты этого типа были переданы заказчикам.

Falcon 7X — представитель сверхдальнемагистральных бизнес-джетов (сейчас стоимость которых составляет менее $60 млн) с одной весьма существенной особенностью — это первый бизнес-джет, построенный по принципу Fly-By-Wire (FBW).

Хотя эта технология уже довольно давно используется на пассажирских самолетах, 7X был первым бизнес-самолетом, в котором использовалась архитектура FBW для всех основных органов управления.

О 7Х имею достаточно общее представление (к сожалению, у меня пока нет рейтинга по пилотированию этой модели), поэтому заранее извиняюсь, если не смогу рассказать о каких-то нюансах во всех тонкостях, да еще и об этом.

здесь вроде не нужен.

Технология FBW подразумевает (в большинстве случаев) не только отсутствие прямой связи между приводными механизмами (штурвал/сайдстик, педали) и поверхностями управления (элероны, рули направления и рули высоты), но и совершенно иной подход во взаимодействии пилота.

с самолетом.

В классическом самолете пилот напрямую управляет положением рулей, используя их, чтобы заставить самолет совершать необходимые изменения.

В архитектуре FBW пилот сообщает самолету (точнее, управляющему компьютеру), что именно он хочет получить от самолета, а компьютер сам решает, как этого добиться (какие поверхности управления и в каком объеме использовать).

Под пилотом мы подразумеваем и человека, и автопилот — сути дела это не меняет. Небольшой пример — простой прямой полет. На обычном самолете в установившемся режиме вам не нужно ничего делать, пока вы не столкнетесь, например, с небольшой турбулентностью.

Как только локальное возмущение воздушной среды изменит положение самолета, пилот должен немедленно противодействовать этому изменению с помощью органов управления.

Самолет накренился влево и, соответственно, начал разворачиваться в ту же сторону - это значит, что с помощью штурвала включаем элероны, возвращаем самолет в прежнее горизонтальное положение, поворачиваем вправо, чтобы компенсировать предыдущий поворот, затем возвращаемся на предыдущий курс, после чего окончательно возвращаем элероны в нейтральное то же положение.

На самолете с FBW для обеспечения прямолинейного полета нужно выставить руль прямо, и.

все! Теперь самолет знает, что ему нужно лететь прямо, и решает эту проблему самостоятельно.

Порыв ветра не о чем беспокоиться, система самостоятельно использует элероны и все остальное, что необходимо – пилот вообще ничего не делает. Если маневрирование необходимо, то не стоит беспокоиться о влиянии скорости и веса самолета на его «отзывчивость» — самолет всегда будет реагировать на определенное отклонение руля абсолютно одинаково.

Классический самолет, чем он более загружен и чем медленнее летит, тем «вяло» он реагирует на органы управления.

FBW также обеспечивает защиту от перевода самолета в «неправильные» режимы полета.

Например, если самолет летит медленно, близко к скорости сваливания, то сколько бы вы ни тянули штурвал, система управления просто не создаст тангажа большего, чем тот, при котором самолет еще может сохранять безопасную скорость.

Конечно, все во много раз сложнее, чем я здесь описал.

Например, в большинстве случаев самолет (вернее, система управления) будет иметь разные наборы правил (законов), описывающих взаимоотношения между органами управления и поверхностями управления.

Например, «нормальный» закон работает так, как описано выше.

«Прямой» закон имитирует поведение классической системы управления – с точки зрения пилота он непосредственно отклоняет рули, хотя, как правило, такие движения все же ограничиваются механизмами, предохраняющими самолет от попадания в опасную зону.

позиция.

Есть и другие законы (например, аварийные – когда система управления обнаруживает неисправность в своих цепях), но это тема совсем другой статьи.

Вернемся к нашему Соколу.

Хотя поначалу многие крайне настороженно относились к столь радикальному подходу к организации системы управления, до 2011 года система FWB (насколько мне известно) не создавала серьезных проблем, реально влияющих на безопасность полетов.

Мелочей было много, что вполне объяснимо — думаю, большинство читателей Хабра легко представят сложность как аппаратной, так и программной части такой системы, и согласятся, что проблемы, выявленные на начальном этапе эксплуатации, — это просто мелочь.

Необходимое зло.

Однако все изменилось в мае 2007 года, когда произошло событие, о котором официально объявила компания-производитель (а я знаком с непосредственными участниками событий):

Может ли быть слишком много автоматизации в самолете?

За этой сухой информацией скрывается следующее.

Самолет спокойно снизился и через некоторое время начал заход на посадку.

На высоте примерно 12 000 футов (3,5 км) горизонтальный стабилизатор внезапно начал неконтролируемо крениться вверх.

Несмотря на все усилия экипажа, самолет начал резко набирать высоту, при этом перегрузка достигла 4,5G. Справиться с самолетом удалось только после набора дополнительных 10 000 футов (около 3 км), а для устранения положительного тангажа экипажу пришлось некоторое время создавать крен в 100 градусов.

Теперь по порядку.

Одним из важнейших показателей самолета является его центр тяжести – отношение центра тяжести к центру подъемной силы.

Если выравнивание будет слишком передним, то самолет просто не сможет взлететь – руля высоты не хватит, чтобы поднять нос.

Если во время взлета центрирование будет слишком смещено назад, самолет поднимет нос, начнет терять высоту и заглохнет. Соответственно, существует ряд приемлемых ориентаций, которые необходимо соблюдать на определенных этапах полета.

Современные скоростные самолеты вынуждены решать задачу центровки сразу с двух сторон - во время полета меняется как вес самолета (вырабатывается топливо), так и в зависимости от скорости меняется и центр подъемной силы - при приближаясь к скорости звука, возникают сложные аэродинамические явления.

Сам руль высоты не способен справиться с таким диапазоном изменений центровки, поэтому на помощь ему приходит горизонтальный стабилизатор.

Имея большую площадь, ГС способен обеспечить необходимый диапазон центровки за счет относительно медленного изменения угла установки (но и центровка меняется сравнительно медленно), а руль высоты используется для управления тангажем.

При этом, надеюсь, понятно, что если площадь ГС будет больше площади руля высоты, то этот самый руль высоты вряд ли сможет преодолеть ГС (особенно на высоких скоростях).

Поэтому механизм, регулирующий угол центровки, является одним из самых строго сертифицированных на всем самолете.

Необходимо иметь не только дублирование (часто утроение) систем механизма, но и обеспечить возможность немедленной остановки движения гидросистемы при начале неуправляемого движения.

Даже кнопка движения чаще всего состоит из двух полукнопок, соединенных последовательно – если одну заклинит, то велика вероятность, что вторая при отпускании все равно разорвет цепочку.

Немного о том, что пережил экипаж.

4.5G – по пилотным меркам это не очень много.

Однако это на пилотажных самолетах, да еще и тогда, когда пилот заранее знает, что он будет делать.

Для обычного пассажира уже 1,5G станет поводом при первой же возможности броситься к компьютеру и начать писать на всех форумах историю о том, как он только что чудом избежал верной гибели в разваливающемся в воздухе самолете.

В общем, все, что до 2G, в пассажирской авиации более-менее приемлемо, все, что больше, — это ЧП.

Так что 4,5 – это очень и очень серьёзно.

Крен 100 градусов.

Некоторое время назад был фильм (я его не смотрел), где пьяный пилот спас самолет, перевернув его вверх дном после того, как в самолете произошло что-то вроде заклинивания цилиндров.

Итак, в данном случае ситуация была очень похожа на киношную.

Для пассажирского самолета нормальные крены до 30 градусов, а при 30-градусном крене особо впечатлительные пассажиры начинают падать в обморок.

100 градусов – слегка перевернут; вообще такие самолеты так не летают. Аварийная процедура вывода самолета из положения носа вверх включает в себя крен на 60 градусов; в данном случае ребята немного перестарались (это простительно).

На следующий день полеты на самолетах этого типа были запрещены по всему миру до выяснения и устранения причин происшествия, производитель начал разбираться в причинах происшествия, а заинтересованные лица (в первую очередь пилоты) попытались понять, почему экипаж не устранил проблему в первые секунды самое естественное в такой ситуации не отключить полностью механизм перемещения Г???? Еще одно замечание: учитывая потенциальные проблемы, которые могут создать неконтролируемое триммирование разбега, у большинства самолетов есть один или несколько способов отключить эту систему.

Это может быть отдельная кнопка, предохранитель со специальным колпачком, по которому его (предохранитель) можно мгновенно опознать, а чаще всего даже оба этих устройства.

Кроме того, при перемещении ГС дольше определенного времени (0,5 – 1,5 с) слышен характерный писк.

А процедура отключения ГС отработана до автоматизма - тем более, что она элементарна.

Поэтому было очень странно, что опытный (в этом не было сомнений) экипаж боролся с ГС более 2-х минут (!!!), вместо того, чтобы выключить его за пару секунд (максимум).

Хорошо, теперь давайте вспомним, что я говорил о работе FWB. По «обычному» закону система сама решает, что делать с поверхностями управления, к которым относится ГС.

Если на обычном самолете пилот сам задает необходимый угол горизонтальной плоскости, то на 7Х это (как и все остальное) остается за компьютером.

Более того, в ходе сертификации компания Dassault научно доказала, что ее решения обеспечивают такой уровень надежности в газовом контроле, что не требуются ручные предохранительные цепи.

В принципе, кнопка перемещения (но не выключения) ГС еще есть, только она активируется в "аварийном" или "прямом" законе, и почему-то во время ЧП самолет считал, что все в порядке и остался в «нормальном» праве.

Я считаю, что именно здесь и заключалась главная ошибка разработчиков - в явно аварийной ситуации система продолжала совершенно не знать о проблеме, и не позволяла пилотам исправить ситуацию.

Предохранителей (в классическом авиационном понимании) на столь высокотехнологичном самолете также практически нет, поэтому не было возможности даже просто отключить всю систему гидросистемы.

После того как все борта были поставлены на прикол, началось такое столпотворение, что наши занятия с ТР даже детским лепетом назвать нельзя было.

Представьте себе — под сотню самолетов каждый стоимостью около $50 млн их владельцы были слегка недовольны тем, что внезапно лишились средств передвижения.

Хотя Dassault бросила на решение проблемы почти все свои ресурсы, проблема решилась не так легко, как все надеялись изначально.

Больше месяца все самолеты оставались на земле, когда, наконец, производитель заявил, что разобрался в проблеме и вскоре начнет необходимые действия по приведению самолета в летное состояние.

К сожалению, у меня нет инсайдерской информации о том, в чем именно заключалась проблема, но кое-что можно увидеть из описания того, что нужно было сделать, чтобы привести самолет в порядок.

Может ли быть слишком много автоматизации в самолете?

Как видно из этого документа, должны быть заменены блоки управления (читай: специализированные компьютеры) горизонтального стабилизатора, а главное, обновлено практически все программное обеспечение системы управления самолетом.