Грузовую дверь оставили открытой. Потом исчезла скорость.
Самые опасные отказы сложных инженерных систем не всегда начинаются там, где в итоге возникает проблема. В случае Boeing 747-400 SF G-ONEE всё началось ещё на земле — с открытой грузовой двери во время дождя. Вода попала внутрь самолёта, достигла электрического оборудования под грузовой палубой и стала причиной отключения двух электрических шин AC. В результате обогрев всех четырёх приёмников полного давления оказался отключён. Критическая для управления ситуация возникла позже, когда самолёт начал снижение в условиях обледенения. Приёмники полного давления замёрзли, все три указателя скорости стали показывать заниженные значения, а автопилот отреагировал на ложные данные тангажом вниз. Расследование показывает, как совершенно обычное условие наземной эксплуатации может пройти через несколько уровней архитектуры самолёта и в итоге превратиться в проблему управления полётом.
1. Проблема началась ещё до взлёта
Грузовой Boeing 747-400 должен был выполнить рейс из Лондона Хитроу в Гонконг без груза на борту. Во время ночных технических работ левая передняя дверь L1 оставалась открытой. В течение последних двух часов перед окончанием работ шёл умеренный дождь. Расследование установило, что коврик у двери L1 и прилегающий участок грузовой палубы намокли. Значительных луж не было, однако грузовая палуба подвергалась воздействию дождя. После вылета первые электрические проблемы появились уже во время разбега.
2. Вода добралась до оборудования, которое не должно было намокнуть
Main Equipment Centre (MEC) расположен под основной грузовой палубой. На стойках E1 и E2 находятся блоки управления генераторами и другое электрическое и электронное оборудование. Расследование обнаружило признаки попадания воды в GCU 1 и GCU 4. После снятия GCU 4 из блока вытекала вода, а вокруг места его установки также была обнаружена влага. Исследование блоков выявило коррозию, остатки влаги и признаки, соответствующие проникновению воды. Точный путь воды от грузовой палубы к GCU установить не удалось.
3. Система электрической защиты отреагировала на воду
В GCU 4 возникли отказы, связанные с внутренними функциями электрической защиты. Записанные данные показали, что AC Bus 4 была отключена после обнаружения GCU неисправности Sync Bus Protection, за которой последовала неисправность Shorted Rotating Diode. Расследование рассматривало попадание воды как возможную причину этих отказов. Вскоре после этого была потеряна и AC Bus 1. GCU отдали команду на размыкание соответствующих контакторов, изолировав шины. После замены GCU 4 зарегистрированные отказы исчезли, и обе AC-шины могли нормально получать питание. GCU 1 также заменили.
4. Потеря двух AC-шин означала и потерю обогрева Пито
Boeing 747-400 оснащён четырьмя комбинированными приёмниками полного и статического давления. Информация о скорости и высоте на дисплеях командира и второго пилота формируется на основе данных этих приёмников, а интегрированный резервный дисплей использует левый вспомогательный приёмник. Обогрев системы Пито-статического давления питался от AC Bus 1 и AC Bus 4. После потери обеих шин обогрев всех четырёх приёмников полного давления и обоих датчиков полной температуры воздуха TAT отключился. Экипаж знал об этом последствии, а QRH прямо предупреждал избегать обледенения, поскольку показания скорости командира, второго пилота и резервного прибора могли стать недостоверными.
5. Экипаж пытался не входить в обледенение
Экипаж объявил PAN и начал уход в сторону аэропорта Амстердам-Схипхол. Команда понимала, что запланированное снижение может пройти через зону обледенения, и начала готовиться к возможной недостоверной воздушной скорости. Одновременно высота в кабине начала расти и превысила 8600 футов. Чтобы избежать дополнительных сложностей, связанных с кислородными масками в случае достижения 10 000 футов, командир начал снижение в режиме FLCH, продолжая уход на Схипхол. Экипаж уже обсудил возможность потери достоверной скорости и использовал QRH для подготовки параметров снижения. Однако ситуация требовала снижаться именно тогда, когда ожидалось обледенение.
6. А потом скорость стала ложной
Примерно на высоте 12 000 футов самолёт вошёл в условия обледенения. Значения на всех трёх указателях скорости начали уменьшаться, и самолёт начал уходить тангажом вниз. Пилот, управлявший самолётом, немного увеличил тягу, но показания скорости продолжали падать. Записанные данные показывали, что автопилот оставался включённым, а отказы обогрева Пито, TAT и связанных систем были активны. Воздушная скорость и путевая скорость начали значительно расходиться, что соответствовало обледенению приёмников полного давления. Расследование пришло к выводу, что все три трубки Пито замёрзли во время снижения. При обледенении в снижении лёд блокирует трубку, запирая внутри давление, из-за чего указатель скорости начинает занижать значение.
7. Автопилот сделал именно то, что говорили ему данные
Самолёт находился в режиме FLCH, в котором автопилот управляет тангажом для достижения заданной воздушной скорости или числа Маха. Когда из-за обледенения приёмников показание скорости стало уменьшаться, автопилот начал увеличивать тангаж вниз, пытаясь восстановить заданную скорость. Тангаж достиг 7,6° вниз, а вертикальная скорость снижения составила около 6240 футов в минуту. Экипаж получил сообщение IAS disagree и, по его воспоминаниям, уже собирался вмешаться. Но до этого самолёт прошёл примерно 10 000 футов и вышел из зоны обледенения. Приёмники очистились ото льда, показание скорости резко выросло, и автопилот отреагировал увеличением тангажа вверх.
8. Когда Пито очистился ото льда, опасность снова изменилась
После выхода из зоны обледенения показание скорости командира резко выросло примерно с 260 до 345 узлов за четыре секунды. Это соответствовало освобождению заблокированного приёмника полного давления и восстановлению более точного измерения давления. Автопилот отреагировал на резкий рост показания скорости увеличением тангажа. Тем не менее самолёт получил превышение скорости: зарегистрированное максимальное значение составило 383 KIAS. После этого экипаж объявил MAYDAY и продолжил справляться с оставшимися отказами систем и проблемами с конфигурацией перед посадкой в Амстердаме.
9. Скрытая проблема находилась в системе защиты от воды
Расследование не смогло установить один подтверждённый путь воды от двери L1 к GCU. Вместо этого были обнаружены несколько слабых мест в защите, предназначенной для отвода воды от критически важного электрического оборудования. На основной палубе над стойками E1 и E2 были обнаружены участки повреждённой или отсутствующей влагозащитной и полиуретановой ленты. На дренажном щите над стойками имелись повреждения герметика с обеих сторон, в том числе над местами установки GCU 1 и GCU 4. В районе коврика двери L1 также отсутствовал герметик и были выявлены другие условия, которые могли позволить воде перемещаться под грузовым полом.
10. Сложный отказ без единого чек-листа
Экипаж столкнулся с множественными одновременными отказами, которые выходили за рамки одной стандартной процедуры. Для одновременной потери AC Bus 1 и AC Bus 4 отдельной процедуры QRH не существовало. Поэтому экипажу пришлось одновременно выполнять несколько процедур, справляясь также с проблемой герметизации кабины и возможностью потери достоверной скорости. AAIB отмечает, что настолько редкие комбинации отказов невозможно полностью охватить отдельными чек-листами, поэтому в таких ситуациях экипаж может быть вынужден опираться на собственное решение и опыт. Экипаж использовал структурированный процесс принятия решений и имел поддержку третьего члена экипажа.
11. Цепочка отказов оказалась длиннее финальной проблемы
Этот случай хорошо показывает, как критическое для полёта событие может пройти через несколько, на первый взгляд не связанных между собой, инженерных уровней. Это был не просто «отказ Пито». Сначала возникло воздействие окружающей среды, затем попадание воды, срабатывание электрической защиты, потеря двух AC-шин, потеря обогрева Пито, обледенение, недостоверная скорость и, наконец, автоматическая реакция системы управления на неправильные данные. Каждый отдельный элемент выполнял свою инженерную функцию. Опасность возникла именно из их взаимодействия.