[Перевод] Неразбериха с Boeing 737 MAX: анализ возможных причин аварий
«Столкновение с землёй в управляемом полёте» (Controlled Flight into Terrain) — это авиационный термин, обозначающий аварию нормально функционирующего самолёта из-за того, что пилоты были чем-то отвлечены или дизориентированы. Настоящий кошмар. По моим оценкам, ещё хуже столкновение с землёй в автоматизированном полёте, когда система управления самолётом заставляет его совершать пикирование в землю, несмотря на отчаянные попытки экипажа спасти ситуацию. Такова предполагаемая причина двух недавних аварий новых самолётов Boeing 737 MAX 8. Я попытался разобраться, как могли произойти эти инциденты.
Примечание: изучение катастроф MAX 8 находится на раннем этапе, поэтому многое из статьи основано на данных из непрямых источников, другими словами, на утечках и слухах, а также на рассуждениях тех людей, которые знают или не знают, о чём говорят. Так что учитывайте это, если решите продолжить чтение.
Аварии
Ранним утром 29 октября 2018 года рейс 610 авиакомпании Lion Air вылетел из Джакарты (Индонезия) с 189 людьми на борту. Это был новый, эксплуатировавшийся всего четыре месяца 737 MAX 8 — последняя модель линейки самолётов Boeing, созданной ещё в 1960-х. Взлёт и подъём до высоты примерно 1 600 футов (480 метров) был нормальным, после чего пилоты убрали закрылки (элементы крыла, повышающие подъёмную силу при малых скоростях). В этот момент воздушное судно неожиданно снизилось до 900 футов (270 метров). В радиопереговорах с авиадиспетчерами пилоты сообщали о «проблеме с системой управления» и спрашивали данные о своей высоте и скорости, отображаемых на экранах радаров диспетчеров. Оборудование в кабине экипажа давало переменчивые показания. Пилоты выдвинули закрылки и поднялись до 5 000 футов (1 500 метров), но после убирания закрылков нос самолёта опустился и он снова начал терять высоту. В течение следующих шести-семи минут пилоты боролись с собственным самолётом, они старались поддерживать уровень носа, но система управления полётом постоянно опускала его вниз. В конце концов машина победила. Самолёт на большой скорости врезался в воду и все находящиеся на борту погибли.
Вторая катастрофа произошла 8 марта, когда рейс 302 авиакомпании Ethiopian Airlines упал через шесть минут после взлёта из Аддис-Абебы, погибло 157 человек. Воздушное судно было ещё одним MAX 8, который эксплуатировался всего два месяца. Пилоты сообщали о проблемах с управлением, а данные спутникового наблюдения показывали резкие колебания высоты. Из-за схожести с аварией Lion Air была поднята тревога: если причиной обоих инцидентов стала одинаковая неисправность или изъян конструкции, то могут быть и другие аварии. За несколько дней парк 737 MAX по всему миру был отстранён от полётов. Данные, восстановленные после аварии рейса 302, усилили подозрения в том, что эти два случая тесно связаны.
За печальной судьбой рейса 610 Lion Air можно проследить по данным, извлечённым из «чёрного ящика». (График был опубликован в ноябре в составе предварительного отчёта Национального комитета по безопасности на транспорте Индонезии.)
Общее представление об истории даёт кривая отслеживания высоты в нижней части графика. Первоначальный подъём прерывается резким спуском; за дальнейшим подъёмом следует долгая беспорядочная езда на «американских горках». В конце происходит пикирование, чуть больше, чем за 10 секунд воздушное судно спускается вниз на 5 000 футов (1500 метров). (Почему на графике есть две кривые высоты, разделённые несколькими сотнями футов? К этому вопросу я вернусь в конце своей длинной статьи.)
Все эти подъёмы и спуски были вызваны движениями горизонтального стабилизатора — небольшой, похожей на крыло поверхности в задней части фюзеляжа. Стабилизатор управляет углом тангажа самолёта, т.е. тем, куда направлен нос. На модели 737 он делает это двумя способами. Механизм триммера руля высоты наклоняет весь стабилизатор, в то время как движение штурвала управления пилота (штурвал на себя и от себя) двигает руль высоты — подвижный руль в задней части стабилизатора. В обоих случаях перемещение задней части поверхности вверх заставляет нос самолёта подниматься, и наоборот. Здесь нас в основном интересуют изменения триммера, а не движения руля высоты.
Команды, подаваемые на систему триммера руля высоты, и их влияние на самолёт показаны тремя кривыми из полётных данных, которые я для удобства повторю здесь:
Линия с пометкой «trim manual» (голубая) отражает действия пилотов, «trim automatic» (оранжевая) показывает команды от электронных систем самолёта, а «pitch trim position» (синяя) показывает наклон стабилизатора; более высокое положение на графике обозначает команду на поднятие носа. Именно здесь очевидно заметна борьба между человеком и машиной. Во второй половине полёта автоматическая система балансировки многократно отправляла команды на опускание носа с интервалами примерно в 10 секунд. В перерывах между этими автоматизированными командами пилоты, используя кнопки штурвала управления, триммером поднимали нос вверх. В ответ на эти конфликтующие команды позиция горизонтального стабилизатора колебалась с периодом 15–20 секунд. Пилообразное движение продолжалось примерно 20 циклов, но ближе к концу неумолимые автоматизированные команды опускания носа взяли верх над более коротким командами поднятия носа пилотов. В конце концов стабилизатор перешёл в своё максимальное отклонение пикирования вниз и оставался в нём, пока самолёт не врезался в воду.
Угол атаки
Что следует винить в неправильном поведении автоматической системы балансировки по тангажу? Обвинения направлены в сторону MCAS — новой системы серии моделей 737 MAX. MCAS расшифровывается как Maneuvering Characteristics Augmentation System («система расширения манёвренных характеристик») — удивительно многосложное название, не дающее нам никакого понимания о том, что делает эта система. Насколько я понимаю, MCAS — это не аппаратное устройство; в отсеках электронного оборудования самолёта не найти корпуса с маркировкой MCAS. Система MCAS полностью состоит из ПО. Это программа, выполняемая на компьютере.
MCAS имеет всего один функционал. Она предназначена для предотвращения аэродинамического срыва — ситуации, в которой нос самолёта поднят относительно окружающего воздушного потока так высоко, что крылья не могут держать его в воздухе. Срыв немного похож на ситуацию, возникающую, когда велосипедист поднимается на холм, который становится всё более и более крутым: рано или поздно у человека заканчиваются силы, движение велосипеда становится неустойчивым, а затем он скатывается обратно вниз. Пилоты обучены выбираться из срывов, но подобный навык они не практикуют на самолётах, заполненных пассажирами. В коммерческой авиации упор делается на избегании срывов, так сказать, на их предупреждении. У авиалайнеров есть механизмы распознавания надвигающегося срыва и они сообщают об этом пилоту световыми и звуковыми индикаторами, а также вибросигнализатором штурвала (stick shaker). На рейсе 610 штурвал капитана вибрировал почти с самого начала и до конца.
Некоторые самолёты при угрозе срыва не ограничиваются простыми предупреждениями. Если нос судна продолжает подниматься вверх, вмешивается автоматизированная система и опускает его вниз, при необходимости перехватывая у пилота ручное управление. MCAS предназначена именно для этого. Она вооружена и готова к бою при условии соблюдения двух критериев: закрылки убраны (а они выдвинуты только при взлёте и посадке) и самолёт находится в состоянии ручного управления (не автопилота). При соблюдении этих условий система срабатывает, когда аэродинамическая величина, называемая углом атаки (angle of attack, AoA) поднимается до диапазона опасных значений.
Угол атаки — это довольно непонятная концепция, поэтому я нарисую схему:
Схема адаптирована из Review of Research on Angle-of-Attack Indicator Effectiveness Lisa R. Le Vie.
Указанные на рисунке углы — это повороты корпуса воздушного судна относительно оси тангажа — линии, параллельной крыльям, перпендикулярной фюзеляжу и проходящей через центр тяжести самолёта. Если вы сидите в одном ряду с выходом, то есть вероятность, что ось тангажа проходит под вашим сиденьем. Вращение по оси тангажа поднимает и опускает нос. Угол тангажа (Pitch attitude) определяется как угол фюзеляжа относительно горизонтальной плоскости. Угол наклона траектории полёта (flight-path angle) измеряется между горизонтальной плоскостью и вектором скорости летательного аппарата, то есть он показывает, насколько плавно он поднимается или спускается. Угол атаки (Angle of attack) — это разность между углом тангажа и углом наклона траектории полёта. Это угол, под которым воздушное судно движется через окружающий её воздух (если допустить, что сам воздух неподвижен, т.е. отсутствует ветер).
AoA влияет и на подъёмную силу (lift) (направленную вверх и обратную силе гравитации), и на сопротивление (drag) (диссипативную силу, противонаправленную движению вперёд и тяге двигателей). При увеличении AoA выше нуля увеличивается подъёмная сила, потому что воздух сталкивается с нижней частью крыльев и фюзеляжа. Но по той же самой причине увеличивается и сопротивление. При дальнейшем увеличении угла атаки поток воздуха через крылья становится турбулентным; после этого момента подъёмная сила уменьшается, но сопротивление продолжает нарастать. И вот здесь начинается срыв. Критический для срыва угол зависит от скорости, веса и других факторов, но обычно он не больше 15 градусов.
Рейсы Lion Air и Ethiopian не подвергались опасности срыва, поэтому если MCAS активировалась, это должно было произойти по ошибке. По рабочей гипотезе, упоминаемой во многих пресс-релизах, система получала ошибочные данные от сбойного датчика AoA и действовала в соответствии с его показаниями.
Концептуально датчик для измерения угла атаки прост. По сути, это просто флюгер, выдающийся в воздушный поток. На показанной ниже фотографии датчик угла атаки — это небольшой чёрный выступ, расположенный прямо перед надписью 737 MAX. Закреплённый спереди, флюгер поворачивается, выравниваясь относительно локального воздушного потока, и генерирует электрический сигнал, описывающий угол флюгера относительно оси фюзеляжа. У 737 MAX есть два датчика угла атаки, по одному на каждой стороне носа. (Устройства над датчиком AoA — это трубки Пито, используемые для измерения скорости воздуха. Ещё одно устройство под словом MAX — это, скорее всего, датчик температуры.)
Угол атаки не отображался на приборах пилотов Lion Air 737, но бортовой самописец фиксировал сигналы, получаемые от двух датчиков AoA:
И здесь происходит что-то ужасающе неправильное. Левый датчик показывает, что угол атаки примерно на 20 градусов круче, чем на правом датчике. Это огромное расхождение. Эти два отдельных показателя никаким реалистичным образом не могли бы отражать истинное состояние движения самолёта в воздухе: левая сторона носа показывала, что он направлен в небо, а правая сторона — что он примерно горизонтален. Одни из измерений должны быть ошибочными, и под подозрение попадают более высокие. Если бы истинный угол атаки достиг 20 градусов, то самолёт уже находился бы в состоянии глубокого срыва. К сожалению, MCAS рейса 610 считывала данные только с левого датчика AoA. Она интерпретировала эти бессмысленные измерения как верный показатель положения самолёта, и неутомимо пыталась исправить их вплоть до самого момента столкновения рейса с водой.
Автоматизация кокпита
Трагедии в Джакарте и Аддис-Абебе превратились в предостерегающую историю об опасности излишней автоматизации, при которой компьютеры узурпируют власть пилотов. Washington Post заявила:
Вторая фатальная авиакатастрофа с участием Boeing 737 MAX 8 может быть следствием борьбы человека и машины. Этот провал показывает, что регулирующим органам следует внимательнее исследовать системы, забирающие управление у людей, когда на кону стоит безопасность.
Бельгийский журналист Том Дьюзаер, часто пишущий статьи об авиации и вычислениях, предлагает следующее мнение:
Нельзя отрицать того, что у Boeing рейса JT610 были серьёзные компьютерные проблемы. А в высокотехнологичном компьютеризированном мире производителей самолётов, в котором роль пилота часто сведена к нажиманию кнопок и пассивному наблюдению, такие инциденты в будущем вполне могут участиться.
В особенном гневе пилоты, нажимающие кнопки. Пилот и разработчик ПО Грегори Трэвис подытожил свои чувства кратким комментарием:
«Подними нос, HAL».
«Прости, Дэйв, боюсь, я не могу этого сделать».
Даже Дональд Трамп написал твит по этой теме:
Самолёты становятся слишком сложными, чтобы управлять ими. Им теперь нужны не пилоты, а компьютерные учёные из MIT. Я наблюдаю такую картину со многими продуктами. Всегда есть стремление сделать ещё один необязательный шаг вперёд, хотя часто старые и более простые решения намного лучше. Необходимо принимать решения за доли секунды, а сложность создаёт угрозу. Всё это требует огромной цены, но даёт очень мало. Не знаю как вы, а я не хотел бы, чтобы моим пилотом был Альберт Эйнштейн. Мне нужны отличные профессионалы, имеющие возможность быстро и просто брать на себя управление самолётом!
В жалобах на чрезмерную автоматизированность 737 есть значительная ирония; во многих аспектах этот самолёт на самом деле на удивление старомоден. Основа конструкции была создана более 50 лет назад, и даже в последних моделях MAX сохраняется довольно много технологий 1960-х годов. Основные органы управления в нём гидравлические, паутина труб под высоким давлением проходит непосредственно от штурвалов управления в кабине экипажа к элеронам, рулю высоты и рулю управления. Если гидравлические системы откажут, то остаётся полностью механическая резервная система из тросов и блоков для контроля различных плоскостей управления. Основным движителем триммера стабилизатора является электродвигатель, но у него есть механическая замена с ручным маховиком, тянущим тросы, проходящие до самого хвоста.
Намного более зависимо от компьютеров и электроники другое воздушное судно. Основной конкурент 737, Airbus A320 — это средство передвижения, в котором принцип электронного управления реализован всесторонне. Пилот управляет компьютером, а компьютер управляет самолётом. Пилот выбирает, куда двигаться — вверх, вниз, вправо или влево —, но компьютер решает, как этого достичь, какие плоскости управления нужно отклонить и насколько. В более современных моделях Boeing — 777 и 787 — тоже используется цифровое управление. На самом деле, последние модели обеих компаний сделали ещё один шаг от «управления по проводам» к «управлению по сети». Основная часть передачи данных от датчиков к компьютерам, а затем к плоскостям управления состоит из цифровых пакетов, отправляемых по одной из версий сети Ethernet. Самолёт — это периферия компьютера.
Так что если вы хотите посокрушаться об опасностях и оскорблении пилотов, вызванных автоматизацией самолётов, то 737 — не самый очевидная цель. А луддитская кампания по уничтожению всей авионики и возврату власти пилотам будет опасно ошибочной реакцией на текущую ситуацию. Нет никаких сомнений, что у 737 MAX есть критическая проблема. Это вопрос жизни и смерти для тех, кто будет на них летать, а возможно и для компании Boeing. Но проблема началась не с MCAS. Она началась с предыдущих решений, сделавших MCAS необходимой. Более того, проблема может не решиться способом, предложенным Boeing — программным обновлением, ограничивающим возможности MCAS и оставляющим пилотам больше полномочий.
Выжимаем из 737 максимум
Первых пассажиров 737 начал перевозить в 1968 году. Он был (и по-прежнему остаётся) самым маленьким реактивным авиалайнером из семейства Boeing, а также самым популярным. Продано более 10 тысяч экземпляров, и у Boeing есть заказы ещё на 4 600. Разумеется, на протяжении этих лет в самолёт вносились изменения, в особенности они коснулись двигателей и приборов. Обновлённая модель 1980-х стала известной под названием 737 Classic, а модель 1997 года называется 737 NG (next generation, «следующее поколение»). (Теперь, после выпуска MAX, модель NG превратилась в предыдущее поколение.) Но несмотря на все эти модификации, основная структура планера практически не изменилась.
Десять лет назад казалось, что 737 наконец достиг конца своей жизни. Boeing объявила, что приступит к разработке совершенно новой конструкции ему на замену, корпус которой будет изготовлен не из алюминия, а из лёгких композитных материалов. Разумеется, конкуренция внесла свои коррективы. У Airbus было преимущество в виде A320neo, обновлённой модели, которая при выпуске в том же сегменте рынка будет обладать более эффективными двигателями. Модифицированный Airbus должен был выйти примерно в 2015 году, в то время как разработка проекта Boeing с нуля заняла бы десяток лет. Возникла угроза оттока клиентов. В частности, давний преданный партнёр Boeing, компания American Airlines проводила переговоры о большом заказе A320neo.
В 2011 году Boeing отказался от плана по созданию совершенно нового дизайна и решил сделать то же, что и Airbus: прицепить к старому планеру новые двигатели. Это позволило бы отказаться от бОльшей части предварительного конструирования, а также от необходимости строительства предприятий для оснастки и производства. Проверки и сертификация FAA (Федерального управления гражданской авиации США) тоже бы ускорились, и первые поставки можно было бы начать спустя пять-шесть лет, не слишком опоздав от Airbus.
Модель 737–800 (выпускавшаяся до MAX) сжигает за час полёта примерно 800 галлонов авиатоплива (3 тыс. литров). То есть затраты составляют примерно 2 000 долларов при цене 2,50 доллара за галлон. Если самолёт летает 10 часов в день, то ежегодно он тратит 7,3 миллиона долларов. Четырнадцать процентов от этой суммы — более 1 миллиона долларов.
Обещалось, что новые двигатели 737 обеспечат эффективность потребления топлива на 14 процентов, что позволит авиакомпании экономить по миллиону долларов эксплуатационных расходов в год. БОльшая экономия топлива также увеличит дальность полёта самолёта. И чтобы подсластить сделку, Boeing предложила оставить неизменной такую часть планера, чтобы новая модель могла эксплуатироваться с теми же «типовыми свидетельствами», что и старая. Пилот, получивший допуск на управление 737 NG, мог взять управление MAX без длительного повторного обучения.
У первой модели 737 1960-х годов было два сигарообразных двигателя, длинных и узких, расположенных под крыльями (на фото выше слева). С тех пор реактивные двигатели стали толстыми и короткими. Они получают больше тяги не от реактивного выхлопа из выходной трубы, а от воздушного потока в наружном контуре, перемещаемого вентилятором большого диаметра. При монтаже под крыльями 737 такие двигатели бы царапались о землю; поэтому они установлены на пилоны, которые выведены вперёд от переднего края крыла. Двигатели на моделях MAX (на фото выше справа) — самые толстые из существующих, а их вентилятор имеет диаметр 69 дюймов (175 см). По сравнению с серией NG, двигатели MAX отодвинуты на несколько дюймов вперёд и висят на несколько дюймов ниже.
В статье New York Times, написанной Дэвидом Геллсом, Натали Китроеф, Джеком Никасом и Ребеккой Р. Руис, разработка этого самолёта описывается как поспешная и сумбурная.
Опаздывая от Airbus на месяцы, Boeing вынуждена была навёрстывать упущенное. По словам бывших и нынешних сотрудников, общавшихся с The New York Times, темп работы над 737 Max был безумным… Бывшие сотрудники утверждают, что инженеров заставляли принимать технические чертежи и конструкции примерно вдвое быстрее обычного.
В статье Times также замечается: «Хоть проект и был сумбурным, нынешние и бывшие сотрудники говорят, что они завершили его, будучи уверенными в безопасности самолёта».
Неустойчивость по тангажу
На каком-то этапе разработки серии MAX компания Boeing обнаружила неприятный сюрприз. При определённых условиях полёта новые двигатели вызывали нежелательное повышение угла тангажа. Когда я впервые прочитал об этой проблеме вскоре после катастрофы рейса Lion Air, я нашёл следующие объяснение в статье Шона Бродерика и Гая Норриса в Aviation Week and Space Technology (Nov. 26–Dec. 9, 2018, pp. 56–57):
Как и во всех турбовениляторных авиалайнерах, в которых линии тяги двигателей проходят ниже центра тяжести, любые изменения тяги 737 будут приводить к изменениям угла наклона траектории полёта, вызванным вертикальной компонентой тяги.
Другими словами, низковисящие двигатели не только толкают самолёт вперёд, но и имеют склонность к вращению его относительно оси тангажа. Это похоже на мотоцикл, делающий трюк с ездой на заднем колесе. Так как двигатели MAX монтируются ещё ниже и перед центром тяжести, они действуют как достаточно длинное плечо рычага и вызывают гораздо более серьёзные движения увеличения тангажа.
Я обнаружил более подробное описание этого эффекта в более ранней статье Aviation Week, отчёте пилота Фреда Джорджа за 2017 год, в котором описывается его первый полёт за штурвалом нового MAX 8.
Летательный аппарат имеет достаточную естественную стабильность скорости в большинстве режимов полёта. Но с учётом целых 58 000 фунтов тяги, обеспечиваемых двигателями, расположенными сильно ниже центра тяжести, при низких скоростях присутствует отчётливая связь тяги и тангажа, особенно при задней центровке и низком общем весе. Boeing оснащает самолёт функцией повышения стабильности скорости, позволяющей компенсировать связь автоматическим отклонением горизонтального стабилизатора в соответствии с показателями скорости, положением рычага управления двигателем и центра тяжести. Тем не менее, пилоты должны знать об эффекте влияния изменения тяги на момент тангажа и противодействовать ему с помощью штурвала управления и триммера руля высоты.
Упоминание «функции повышения», выполняющей «автоматическое отклонение горизонтального стабилизатора» кажется ужасно знакомым, но оказывается, что это не MCAS. Система, компенсирующая связь тяги и тангажа называется speed-trim. Как и MCAS, она работает «без ведома» пилота, внося изменения в плоскости управления без непосредственных команд. Существует ещё одна подобная система, называющаяся mach-trim, которая без предупреждений корректирует другую аномалию тангажа, возникающую при достижении самолётом околозвуковых скоростей, около 0,6 Маха. Ни одна из этих систем не были новинкой серии MAX; они были частью алгоритма управления как минимум с выпуска в 1997 году серии NG. MCAS выполняется на том же компьютере, что и speed-trim с mach-trim, и является частью той же программной системы, но отдельной её функцией. И согласно тому, что я читал за последние несколько недель, она призвана решать другую проблему, которая кажется гораздо более зловещей.
У большинства летательных аппаратов есть удобное свойство статической стабильности. Когда самолёт правильно выровнен для горизонтального полёта, то можно отпустить штурвал — по крайней мере, на время — и он продолжит двигаться по стабильной траектории. Более того, если потянуть штурвал на себя, чтобы поднять нос вверх, а затем снова его отпустить, то угол тангажа вернётся к нейтральному. Расположение различных аэродинамических поверхностей самолёта учитывает такое поведение. Когда нос поднимается, хвост опускается, толкая нижнюю часть горизонтального стабилизатора в воздушный поток. Давление воздуха на эту поверность хвоста обеспечивает создание восстанавливающей силы, возвращающей хвост вверх, а нос вниз. (Именно поэтому он и называется стабилизатором!) Эта петля отрицательной обратной связи встроена в конструкцию самолёта, поэтому любое отклонение от равновесия создаёт силу, препятствующую его нарушению.
Однако поверхность хвоста с её полезным свойством стабилизации — это не единственная конструкция, влияющая на равновесие аэродинамических сил. Реактивные двигатели не рассчитаны на то, чтобы придавать самолёту подъёмную силу, но при больших углах атаки они могут её создавать, потому что воздушный поток сталкивается с нижней поверхностью внешней оболочки каждого из двигателей (мотогондолой). Когда двигатели находятся сильно впереди от центра тяжести, подъёмная сила создаёт момент кручения, повышающий тангаж. Если этот момент превышает уравновешивающую силу от хвоста, то самолёт становится нестабильным. Положение носом вверх создаёт силы, ещё больше поднимающие нос, и побеждает положительная обратная связь.
Подвержен ли 737 MAX подобным увеличениям угла тангажа? Эта вероятность не была мне очевидна, пока я не прочитал на техническом сайте Boeing 737 комментарий о MCAS — веб-публикацию, написанную бывшим пилотом 737 и лётчиком-инструктором Крисом Брэди. Он пишет:
MCAS — это система усовершенствования продольной устойчивости. Она нужна не для предотвращения срыва и не для того, чтобы MAX управлялся так же, как NG; она была введена для противодействия нелинейной подъёмной силе, вызываемой мотогондолами двигателя LEAP-1B и создаёт стабильное повышение усилия на штурвале при увеличении AoA. Двигатели LEAP больше и расположены выше и ближе к передней части, чем старые двигатели NG CFM56–7, чтобы обеспечить пространство для более крупных вентиляторов. Это новое расположение и размер мотогондолы вызывают турбулентный поток у корпуса мотогондолы и создают при высоких AoA подъёмную силу; так как мотогондола расположена впереди от центра тяжести, эта подъёмная сила вызывает небольшой эффект увеличения угла тангажа (т.е. снижает усилие на штурвале), что может привести к тому, что пилот ещё больше увеличит тянущее усилие на штурвале и приблизит самолёт к срыву. Такая нелинейная/снижающая усилие на штурвале сила в соответствии с FAR §25.173 «Static longitudinal stability» недопустима. (FAR — Федеральные авиационные правила (Federal Air Regulations). В части 25 указаны нормы лётной годности для самолётов транспортной категории). Поэтому была создана MCAS, обеспечивающая команды стабилизатора на опускание носа при резких поворотах с повышенными коэффициентами нагрузки (высоким AoA) и во время полётов с закрытыми закрылками при скоростях, близких к возникновению срыва.
Брэди не поддерживает свои утверждения никакими источниками, и насколько я знаю, Boeing не подтвердила и не опровергла это заявление. Но упомянутая выше Aviation Week, на который я ссылался, объясняя связь тяги и тангажа, в более новом выпуске (за 20 марта) поддержала гипотезу нестабильности подъёмной силы, вызываемой мотогондолами:
Более крупные двигатели MAX CFM Leap 1 создают бОльшую подъёмную силу при высоких AOA и обеспечивают воздушному судну более высокий момент увеличения угла тангажа, чем NG с двигателями CFM56–7. MCAS была добавлена из-за требований сертификации для того, чтобы минимизировать различия в управлении между MAX и NG.
Если предположить, что точка зрения Брэди верна, то возникает интересный вопрос: когда именно компания Boeing заметила нестабильность? Были ли конструкторы в курсе этой опасности с самого начала проекта? Проявилась ли она во время компьютерных симуляций, или во время испытаний в аэродинамических испытаний на моделях в масштабе? История Доминика Гейтса в Seattle Times даёт нам намёк на то, что Boeing могла и не осознавать серьёзность проблемы до лётных испытаний первого экземпляра самолёта, начавшихся в 2015 году.
По данным Гейтса, в переданном Boeing управлению FAA протоколе анализа безопасности указано, что MCAS будет иметь возможность перемещать горизонтальный стабилизатор не более чем на 0,6 градуса. В самолёте, выпущенном на рынок, MCAS может отклонять его на целых 2,5 градуса, и способна действовать многократно, пока не достигнет механического предела движения примерно в 5 градусов. Гейтс пишет:
Этот предел в дальнейшем был увеличен, потому что лётные испытания показали, что для избежания срыва на высоких скоростях требуется более сильное перемещение хвоста, когда самолёт находится под угрозой потери подъёмной силы и снижения по спирали.
Поведение самолёта в случае срыва при высоком угле атаки сложно смоделировать аналитически, поэтому в процессе выполнения лётчиками-испытателями процедур выхода из срыва на новом самолёте часто выполняется настройка ПО управления для улучшения характеристик реактивного летающего аппарата.
Похоже, что нестабильность MAX при высоких AoA является свойством аэродинамической формы всего воздушного судна, и непосредственным способом его подавления было бы изменение этой формы. Например, для восстановления статической стабильности можно увеличить поверхность хвоста. Но подобные модификации планера замедлили бы выпуск самолёта, особенно с учётом того, что их необходимость была обнаружена уже после полётов первых прототипов. Кроме того, конструктивные изменения могли подвергнуть угрозе возможность полётов на новой модели с лётными правами старого типа. Должно быть, изменение ПО вместо модификации алюминиевой конструкции показалось привлекательной альтернативой. Возможно, мы когда-нибудь узнаем, как было принято это решение.
Кстати, по данным Гейтса, переданный FAA документ с анализом безопасности, в котором указан предел в 0,6 градуса, должен быть пересмотрен, чтобы он отражал истинный диапазон возможных команд MCAS.
Полёт в условиях нестабильности
Нестабильность не обязательно является «чёрной меткой» для самолёта. В истории было как минимум несколько успешных нестабильных конструкций, начиная с Wright Flyer 1903 года. Братья Райт намеренно поставили горизонтальный стабилизатор перед крылом, а не перед ним, потому что их предыдущие эксперименты с воздушными змеями и планерами показали: то, что мы называем стабильностью, можно также назвать и неповоротливостью. Передние плоскости управления Flyer (называемое передним горизонтальным управлением) усиливали любые незначительные движения носа вверх и вниз. Сохранение стабильного тангажа требовало от пилота высокой концентрации, но в то же время позволяло самолёту реагировать быстрее, когда пилот хотел увеличить или уменьшить тангаж. (Плюсы и минусы подобной конструкции рассмотрены в статье 1984 года Фреда Е.С. Кулика и Генри Р. Джекса.)
Орвилл управляет, Уилбур бежит рядом, Китти-Хок, 17 декабря 1903 года. На этом снимке мы видим самолёт со стороны хвоста. Переднее горизонтальное управление — двойные регулируемые горизонтальные поверхности впереди — похоже, должно вызвать поднятие носа. (Фотография WikiMedia.
Ещё одним серьёзно нестабильным воздушным судном был Grumman X-29, исследовательская платформа, сконструированная в 1980-х. Крылья X-29 были расположены сзади; хуже того, основные плоскости для управления тангажом установлены спереди крыльев, как и во Wright Flyer.
Целью этого странного проекта было исследование конструкций чрезвычайной вёрткости, жертвующих статической стабильностью ради более быстрого маневрирования. Ни один пилот без поддержки не мог бы справиться с подобным дёрганым транспортным средством. Для него требовалась цифровая система электронного управления, сэмплировавшая состояние и регулировавшая плоскости управления с частотой до 80 раз в секунду. Контроллер был успешным, возможно, даже слишком. Он позволял самолёту безопасно летать, но укрощая нестабильность, он оставлял самолёту довольно ограниченные характеристики управления.
Я лично имел некоторую связь с проектом X-29. В 1980-х я непродолжительное время работал редактором с членами группы в Honeywell, которые разрабатывали и создавали систему управления X-29. Я помогал готовить публикации по правилам управления, а также способствовал их реализации в оборудовании и ПО. Этот опыт дал мне достаточно информации, чтобы понять, что в MCAS есть нечто странное: она слишком медленная для подавления аэродинамической нестабильности реактивного воздушного судна. В то время как контроллер X-29 имел время реакции 25 миллисекунд, MCAS требовалось 10 секунд на перемещение стабилизатора 737 на 2,5 градусов. При таком темпе система, вероятно, не могла бы справиться с силами, поднимающими нос вверх в петле положительной обратной связи.
Этому есть простое объяснение. MCAS не должна была управлять нестабильным самолётом. Она должна была ограничивать его от входа в режим, в котором тот становится нестабильным. Та же стратегия используется другими механизмами предотвращения срыва — они вмешиваются ещё до того, как угол атаки достигнет критической точки. Однако, если Брэди прав насчёт нестабильности 737 MAX, то эта задача становится для MCAS более насущной. Нестабильность подразумевает резкий и опасный спуск. MCAS — это дорожное ограждение, возвращающее вас обратно на дорогу, когда вы готовы сорваться на машине с утёса.
Что приво
