火！火！火！(下)

holycow

. E' n3 p' h& j6 w  n- ?9 I上一篇
" q) f, Z7 a. W3 n4 U# @4 u
/ u) Y% [- w9 a# B在712航班的飞行航道下面陆陆续续地发现了2号发动机第5级低压压气机叶片的碎片，检查结果 -- 金属疲劳。发动机起火的原因是没有疑问了。
, {2 v3 n5 Q. E: R1 |0 ?9 |
在没有烧毁的驾驶舱里发现这架波音707的四个发动机灭火手柄没有一个被拉动过，机械师工作台上的燃油管路关闭阀门也是开着的。

波音707的发动机灭火系统是这样的：四个灭火手柄对应四个发动机，当某一个发动机起火后，驾驶舱内的发动机火警警铃会响，相对应的灭火手柄红灯亮起。此时提拉灭火手柄，通向起火发动机的燃油管道阀门关闭，切断对起火发动机的供油；同时切断起火发动机驱动的液压泵的液压油供应；然后启动起火发动机的两个灭火瓶。如果这时火还没有扑灭，可以打开灭火剂传送开关，从相邻发动机的两个灭火瓶里调配灭火剂再喷一次。
1 c% c4 H+ _8 n; \$ }
' p9 u* o. ~4 Q5 L; w# l$ Z' a

如果没有提拉灭火手柄，燃油泵继续以每分钟225升的速度向发动机供油，真是火上浇油了。当发动机脱离飞机坠下后，由于液压油没有切断，液压油会在短时间内从管道破损处漏走，造成液压系统失去压力。

, G& k/ k' ]) H7 Q" `四个经验丰富的机组加一个检查机长，竟然没有拉灭火手柄！！！

BOAC的飞行人员每年都要操练发动机失效程序和发动机火警程序，对这两套程序应该说早已烂熟于胸，为什么真到出事的时候会漏了这么关键的一步呢？
6 O+ l& {- F* n3 Q6 ~( y% t8 T
* F; M/ |$ r7 L# w/ m调查人员仔细检查了BOAC这两套程序到底是怎么规定的：

6 d" v1 O+ u8 L' v: q1 q3 }当时的发动机失效程序和发动机火警程序都分两部分，第一部分全凭记忆执行，第二部分有检查单。凭记忆执行的第一部分，火警比失效就多出两步：拉灭火手柄，关闭火警警铃。
# v: O6 c6 d& ^; f! o
9 `2 |2 h7 c, Y- \0 @3 R8 Q, y" \一开始机组并不知道发动机起火，警铃也还没响，泰勒机长给的命令是发动机失效程序。正当机械师希克斯执行到一半的时候，起落架警报响了，于是第一反应是先关了那警报再说。

这时第一个阴错阳差发生了，检查机长莫斯先一步替他关了。希克斯脑袋就此短路，误把边上的发动机火警警铃给关了。如果他没有这下误操作，几秒钟之后莫斯发现火情的时候火警一定会响，下面就不会错了。
1 m0 |0 s2 B, O$ C/ L& _* Q3 {" X
然后希克斯又从短路中恢复过来了，索性短路到底把灭火手柄一拉也就万事大吉，可他在最后一秒钟明白过来这不是火警程序，没有拉。
1 x# Z& `0 P/ ]) S
然后莫斯发现了火情，泰勒机长下达了火警程序的命令。由于警铃早已被关闭，驾驶舱内没有警报声，于是希克斯又短路了，没有警报说明警报早被我关了，警报被我关了说明灭火手柄已经拉了。好，现在拿检查单执行第二部分。

此时应该帮助希克斯核实的副驾驶科克兰在哪里？不是被莫斯和泰勒命令去叫五月天了吗？等到叫完回来，第一部分已经做完，拿检查单准备读给希克斯听第二部分的时候，后者已经把第二部分的项目也独立完成了。

3 h" u3 u7 s8 z) Z$ h0 j& S如果科克兰当时能拿第二部分的检查单核对一遍会不会发现错误？答案是不会，因为第二部分的检查单上根本就没有确认灭火手柄已经被提拉这一条。
5 Z" q! N5 G7 o0 t
在此之后有没有可能发现？泰勒的工作负担最重，又要掌控全局，又要操纵飞机返回机场，中间还来个换跑道，是不会没事干去怀疑自己的机械师和副驾驶漏掉了一步的。莫斯一直在看窗外的火情，又要帮泰勒在下降过程中监控情况，注意力根本不在那里。科克兰和希克斯坐的位置使他们很难发现，因为那灭火手柄提拉的方向的朝向这两个人的，行程只有25毫米，坐得那么远很难判断距离上25毫米的区别。二副呢？检查机长一来坐了他的位置，他就被打发到客舱去了。

1 [7 E1 u/ D# l再说这些人都犯了同一个思维定势：没有火警警铃说明程序都做对了，对灭火手柄上那个红灯视而不见。等到发动机脱离机身坠下，红灯熄灭，就再也没有发现的可能了。

# f: b+ n7 \. x0 G7 ~几分钟里一边飞一边往火上浇油，能活着回到地面，真是万幸。着陆以后停下来还没把油路切断，不过这已经无所谓了，左翼油箱一爆炸，供油阀门关不关都一样。要不是客舱服务员超水平发挥，绝对不是死五个人的结果。
9 V; r* [& c# u2 T+ t9 p$ [2 p: j) w
这次乌龙以后，BOAC把发动机失效程序和发动机火警程序合二为一，有杀错无放过通通按火警处理。第二部分检查单的第一项就是确认发动机火警手柄已经提拉，而且指明这一项要机长亲自确认，旁人不得代劳。
/ N, M! f% C0 ?( Z4 W5 F
由于撤离过程中两个充气滑梯瞬间被火烧毁，有关厂商开始研究用阻燃材料来制造充气滑梯。

; c' @" ~1 ]8 }2 P# R检查机长莫斯在这次事件中的表现也备受争议。一方面，作为驾驶舱内最资深的人员，在这种紧急情况下不出手帮忙肯定是不现实的；另一方面莫斯三次出手都鬼使神差地帮了倒忙：关起落架警告直接导致希克斯出错；指出窗外火情很可能使所有人的注意力都集中到窗外，漏看了同时亮起来的灭火手柄红灯；关于MAYDAY的建议直接导致希克斯在仅凭记忆执行第一部分程序时旁边没有一个人监控核实。

大厨多了做不出好菜，把方向盘的多了要翻车。

猫元帅

发现这一系列文章里面的事故大部分都是机器缺陷反制操作人员造成的。

到处停留的叶子

问一个不算离题的问题：你是做菜的，还是把方向盘的？

老马丁

老外头疼医头，脚疼医脚，但是人家疼好后深刻反思形成程序，下次头疼照程序治，几十次上百次大病下来，想出纰漏就不那么容易了。

空气精灵

到处停留的叶子 发表于 2013-4-11 08:34
7 ^* d* ?! a" I* o* Q& Z问一个不算离题的问题：你是做菜的，还是把方向盘的？

他兼吃菜和坐车....

空气精灵

这个乌龙...
那最后事故定性算是机械故障了?

xlan1976

空气精灵 发表于 2013-4-11 09:11
9 T; O2 }3 y5 `8 k5 @这个乌龙...
# ^( Z" t0 `* {0 z那最后事故定性算是机械故障了?

这个应该是一半一半，起火原因是压气机叶片断裂，发动机的包容性设计也有问题。但最终酿成事故还有机组操作的原因。

xlan1976

老马丁 发表于 2013-4-11 09:01
老外头疼医头，脚疼医脚，但是人家疼好后深刻反思形成程序，下次头疼照程序治，几十次上百次大病下来，想出 ...

嘿嘿，所有安全上的东西都是这么来的啊

抱朴仙人

忽然想到咱们出海执行任务也是这架势，船长之外还要配个总指挥。向阳红16号沉下去的时候，驾驶台上不仅仅有船长，还有东海分局党委书记，任务总指挥张志挺。他虽然不是船长，却是最资深正宗船老大，南大洋英雄，还是大领导。
老大多了要翻船这话真是没错呀。
结果当然也是张志挺背了个大处分。

xlan1976

看完了发现，那个时候的火警系统设计和火警处置程序跟现在还是有区别啊。
  m: L0 d2 O  j+ u现在的发动机灭火手柄大都在中央操纵台上，就在油门杆和启动手柄/燃油关断电门的后面，不知是不是因为这次事件往后挪了，以便观擦员座位上的也能看见。
不过现在的发动机失效处置并不要求提灭火手柄，只有在火警下才要求提灭火手柄，火警警告灯指示除了灭火手柄灯还包括火警灯、主警告灯、发动机火警灯和过热灯，发动机火警时这些灯都会亮。
另外要说一下的就是，所有飞行和维修手册都是要经过局方审核批准的，通常各营运人在飞机制造厂商提供的手册基础上编写自己的手册并提交局方审核批准。当然你不在制造厂商的手册基础上编写，局方是不会批的。不知道BOAC的应急处置程序搞成这样是不是跟当时波音的手册一致，如果一样的话，那么处置程序不合理的责任应该由波音和FAA承担。

holycow

抱朴仙人 发表于 2013-4-10 18:20
忽然想到咱们出海执行任务也是这架势，船长之外还要配个总指挥。向阳红16号沉下去的时候，驾驶台上不仅仅有 ...

嗯，这种编外资深人员的情况总是很难搞。
) z" v6 S/ C' j/ t0 {9 I
本来团队里指挥链和各人分工都很明确，来了这么一个编外资深以后每个人心理上总会以为他要做什么，他自己也肯定想做点什么，到头来却没人知道他具体分工，结果就是有些事情谁都没看住，于是集体猪头

xlan1976

holycow 发表于 2013-4-11 13:52
嗯，这种编外资深人员的情况总是很难搞。

本来团队里指挥链和各人分工都很明确，来了这么一个编外资深以 ...

6 {' I  V' J1 M6 X) y0 a: y8 Z这个检查员应该也是在机组任务书里的，做右座没有问题。关键是一来这种事情很难事先预料，另一方面任务分工也很难做到谁来关闭警告这么细。不过在驾驶舱操作时，任何一个机组成员的操作应该在操作的同时大声宣读以便其他人员知晓，作为检查员这一点没有做到不应该。没有注意到灭火手柄灯未熄灭是所有驾驶舱人员共同的责任，而在发现窗外火情后都去看窗外和机械师完成程序没有人核实是当值机长的组织责任，作为检查员应该关注这个但这并不是他的主要责任。

溺水鱼

看了有关空难的这一系列文章，我失眠了！

最近几年每年飞100+航段的我，还活蹦乱跳的，是不是该说自己命大？

真的要减少出差了。

holycow

溺水鱼 发表于 2013-4-18 20:31
看了有关空难的这一系列文章，我失眠了！

最近几年每年飞100+航段的我，还活蹦乱跳的，是不是该说自己命大 ...

给你看个这个

这家伙飞了1000万哩还活蹦乱跳的。每年100+航段，没事体
8 m1 n" \& h; z2 s6 E
, j  U0 N4 Z) \/ Y减少出差有其他更好的理由
# \+ P- \1 d) n8 A4 G" [
# _7 R  j8 c+ |/ D

溺水鱼

holycow 发表于 2013-4-19 13:19
给你看个这个
( E0 G& f( K. P0 S0 ]- N" z
$ Y& r+ H- g  o/ m5 Y这家伙飞了1000万哩还活蹦乱跳的。每年100+航段，没事体

哈，好不容易找了个偷懒的理由，还不让人用！

绿葱头

有没有一个警告的显示屏，把所有的警告都显示上面就好多了吧。
干挨踢的都有类似的活计，列出警告，优先级级高的列上面或者突出显示什么的

晨枫

抱朴仙人 发表于 2013-4-10 20:20
; p  v% w: u( D8 V  C# |忽然想到咱们出海执行任务也是这架势，船长之外还要配个总指挥。向阳红16号沉下去的时候，驾驶台上不仅仅有 ...

) o  o2 t: m# [- u所以我们工厂里规定，紧急情况处理时，当班操作员说了算，哪怕旁边有更资深的操作员在帮忙。

晨枫

绿葱头 发表于 2013-4-22 01:55
! n5 ~9 o& h( D& Q有没有一个警告的显示屏，把所有的警告都显示上面就好多了吧。
干挨踢的都有类似的活计，列出警告，优先级 ...

' \# V$ k# U2 O# S% h# g1 Z早年仪表板空间有限，只能有选择地放警告灯；现在用显示屏了，问题成为alarm flooding，所有警告都显示了等于不显示，反正根本无法分辨哪个才是真正要紧的警告。

绿葱头

晨枫 发表于 2013-4-22 21:07
早年仪表板空间有限，只能有选择地放警告灯；现在用显示屏了，问题成为alarm flooding，所有警告都显示了 ...

中国的领导一般会这样要求，分为三级，极小警告不影响飞行的、一般警告、危险警告。危险警告可以细分等级，要求等级高的增加显示面积，高亮不断闪烁……

晨枫

绿葱头 发表于 2013-4-22 19:16
6 e, [9 B  C! G& e8 e* z中国的领导一般会这样要求，分为三级，极小警告不影响飞行的、一般警告、危险警告。危险警告可以细分等级 ...

这样的领导是外行领导，根本不懂alarm management。这已经成为一门大学问，IEE、ISA、ASM、COP等组织都在研究，已经有很多guideline，看看吧。