Boeing 737 MAX: Когда один датчик становится критической точкой отказа
Современный магистральный лайнер не летает за счёт одной лишь механики или софта. Его безопасность держится на непрерывном взаимодействии аэродинамики, датчиков, компьютеров, исполнительных механизмов и экипажа. Именно поэтому катастрофы Boeing 737 MAX стали одним из самых важных кейсов в истории современного системного инжиниринга. В центр этой истории попала функция MCAS, чья архитектура позволила единственному ошибочному измерительному сигналу стать началом непрерывной цепи автоматических команд.
1. Что на самом деле измеряет самолёт?
Чтобы понять физику события, необходимо одно базовое понятие из аэродинамики. Самолёт движется в воздушной среде, которая постоянно меняется: порывы ветра, турбулентность и изменение скорости непрерывно меняют направление набегающего потока. Для управления критически важен Угол Атаки (Angle of Attack, AoA) — угол между хордой крыла и направлением набегающего воздушного потока. В носовой части фюзеляжа установлены флюгерные датчики AoA. Они выступают исключительно измерительными приборами: они не принимают решений, а лишь передают в вычислители текущий электрический сигнал.
2. Зачем самолёту информация об угле атаки?
Крыло самолёта имеет аэродинамический предел. При увеличении угла атаки подъёмная сила растёт — но лишь до определённого значения. При превышении критического угла атаки происходит срыв воздушного потока с верхней поверхности крыла — самолёт входит в состояние сваливания (stall). Для ряда функций управления и защиты самолёту необходима достоверная информация об аэродинамическом состоянии.
3. Почему два датчика не гарантируют безопасность?
На Boeing 737 MAX установлены два флюгера AoA — по одному с левой и правой стороны носовой части. Наличие двух независимых датчиков интуитивно понятно: если один фиксирует аномально высокий угол, а второй показывает норму, факт расхождения (discrepancy) служит сигналом о неисправности. В инженерии безопасности существует принцип: нельзя позволять одиночному измерительному сигналу становиться безусловной истиной. Однако в первоначальной реализации MCAS использовала показание только одного из двух AoA-сенсоров за один раз.
4. Руль высоты vs Стабилизатор: В чём разница?
На хвостовом оперении самолёта расположены две разные плоскости: Руль высоты (Elevator) — подвижная задняя кромка для оперативного управления тангажем от штурвала, и Переставляемый стабилизатор (Horizontal Stabilizer) — крупная плоскость, меняющая аэродинамическую балансировку (триммирование). Руль высоты отзывается на моментальное движение штурвала, а стабилизатор меняет постоянное аэродинамическое усилие, необходимое для удержания самолёта в заданном положении.
5. Зачем потребовался MCAS?
Boeing 737 MAX представлял собой дальнейшее развитие семейства 737 NG. Новые двухконтурные двигатели LEAP-1B имели больший диаметр, поэтому их пришлось разместить выше и несколько впереди относительно двигателей предыдущих версий 737. На больших углах атаки крупные мотогондолы создавали дополнительный аэродинамический подъёмный момент. Система MCAS была предназначена для изменения характеристик продольного управления и обеспечения требуемых усилий на штурвале в определённых режимах, связанных с высоким AoA. Важно: MCAS не являлся системой непрерывного штатного управления, а включался только при строго определённых условиях (большой угол атаки, убранная механизация, ручное управление).
6. Как возникает порочный цикл
Если один из датчиков AoA выдаёт некорректный высокий сигнал, а софт не проводит перекрёстную проверку, компьютер воспринимает данные как факт: самолёт приближается к сваливанию. MCAS командует электрической системой триммирования переставить стабилизатор в направление nose-down, создавая момент, стремящийся опустить нос самолёта. Пилот мог противодействовать изменению тангажа органами управления и использовать электрический триммер. Однако система не воспринимала само противодействие пилота как доказательство того, что исходное показание AoA было ошибочным. Если условия активации сохранялись и ошибочный сигнал AoA продолжал поступать, MCAS мог снова выдать команду.
7. Почему экипажи оказались в чрезвычайно сложной ситуации?
Экипажи сталкивались с мгновенным развитием множественного сбоя: срабатывание тряски штурвала (Stick Shaker), расхождение показаний скорости и высоты, нарастающие физические усилия на штурвале. Экипажи не были адекватно информированы о существовании и логике MCAS в рамках первоначальной подготовки и эксплуатационной документации. При высокой скорости и значительном отклонении стабилизатора ручное перемещение штурвала и колеса триммирования (Trim Wheel) требовало очень больших физических усилий из-за аэродинамических нагрузок. При распознавании runaway stabilizer процедура предусматривала отключение электрического привода стабилизатора переключателями STAB TRIM CUTOUT.
8. Катастрофы Lion Air 610, Ethiopian 302 и выводы для инженерии
Эта цепь событий реализовалась в рейсах Lion Air 610 (29.10.2018) и Ethiopian Airlines 302 (10.03.2019). Официальные расследования выявили сложное сочетание факторов: ошибочные данные AoA, архитектуру и логику MCAS, особенности индикации и предупреждений, действия экипажей, эксплуатационные процедуры и недостатки процесса разработки и сертификации. При доработке MCAS обязали сравнивать показания ОБОИХ датчиков (с отключением при расхождении > 5.5°). MCAS после доработки ограничена одной командой на одно событие высокого AoA и не должна повторно активироваться на основании продолжающегося ошибочного сигнала.