图1 、B737MAX(ET-AVJ) 残骸
周易之/文
摘要：飞机空中失控（LOC-I[1]）事故的致命风险排在第一位，威胁差错管理（TEM[2]）模型是安全管理的有效工具，本文通过分析飞机空中失控的典型案例，明确飞机失控的主要潜在因素、威胁、和飞行机组差错，结合事故调查统计分析，提出了预防措施和建议。
引言：
2019年3月10日，埃塞俄比亚航空公司的一架B737MAX飞机(注册号ET-AVJ)执行亚的斯亚贝巴至肯尼亚内罗毕的航班，飞机起飞后6分钟坠毁，机上149名旅客和8名机组成员无一生还（图0-1）。2019年2月23日，阿特拉斯航空的一架B767货机（注册号N1217A）在美国休斯敦机场进近过程中“失去控制”，最终机毁人亡（图0-2）。
[1] LOC-I: Loss of Control in Flight
[2] TEM: Threat Error Management
图2、 B767(N1217A)残骸
2018年10月29号，印尼狮航一架波音737 MAX（注册号PK-LQP）飞机从雅加达起飞执行雅加达到槟港的JT-610航班，在起飞后12分钟，坠毁于机场东北约35海里的海面。飞机上共有181名旅客和8名机组成员，其中包括2名儿童和1名婴儿，无人生还（图0-3,0-4）。
图3、 B737MAX(PK-LQP)残骸
图4 、B737MAX(PK-LQP)残骸（2）
事故的初步原因是:飞机离地后因为左右迎角读数不一致（左侧迎角读数错误），左侧驾驶杆出现失速抖杆警告。在人工飞行情况下，襟翼收上之后，飞机特有的机动特性增强系统(MCAS[3])指令飞机自动下俯，机组通过驾驶杆以及人工俯仰配平操纵的升降舵不足以克服飞机机动特性增强系统操纵的水平安定面的下俯，飞机最终坠毁。飞机设计缺陷、机务维护质量、机组对于熟记项目的应用、航空公司的信息传递等都值得我们思考。
[3]MCAS: ManeuveringCharacteristics Augmentation System
2018年2月11日，俄罗斯萨拉托夫航空公司的一架AN-148飞机（注册号RA-61704），从莫斯科多莫杰多沃机场起飞后上升到6000英尺，之后急剧下降坠毁。
图5、AN-148飞机历史照片
图6、AN-148飞机事故照片
事故的初步原因是“飞机的三个皮托管加温都处于关闭状态，飞机1300米后出现了空速不一致。” 飞机坠毁前的俯仰姿态低于地平线大约30-35度，机上65名乘客和6名机组全部遇难。这是两起典型的飞机空中失控事故。
一、飞机空中失控的概念和研究必要性
飞机空中失控（LOC-I）是指飞机在飞行过程中失去飞行操纵，其包括飞机的气动失速和飞机进入复杂状态[1]。飞机复杂状态是飞行过程中无意间超出了正常参数或者正接近不安全参数的一种状态，典型的飞机复杂状态是指飞机俯仰姿态大于 25度或低于-10 度，或坡度角大于45度，或空速与当时状态不匹配[2]。
按照国际航空运输协会（IATA）发布的安全报告[3]，在2013-2017年的五年期间，虽然飞机空中失控事故在数量上只占9%，但是93%的空中失控事故造成人员死亡，飞机空中失控的死亡人数（690）和致命风险（Fatality Risk）也远远高于可控撞 地（CFIT[4] ）等其它类事件（图1-1）。飞机空中失控的研究，就是为了避免或者减少同类事件的发生，从而减少人员伤亡。
[4] CFIT: Controlled Flight Into Terrain
图1-1 2013-2017年致命事故百分比和致命风险
注：此图不包含非致命事故，图中圆圈的大小表示每一类事故造成人员死亡的数量。
二、飞机空中失控案例分析
（一）案例1：印尼亚洲航空A320空难
2014年12月28日一架印尼亚洲航空A320从印尼泗水飞往新加坡，在巡航过程中因飞机失速坠海，机上162人全部遇难。
图2-1印尼亚洲航空A320空难残骸
飞机在32000英尺巡航的过程中，先后出现了四次方向舵限制器故障，前三次机组都是执行了正确的程序，第四次机组偏离了程序。这样做的结果就是飞机的自动驾驶和自动油门断开，飞机开始以每秒6度的速率向左侧滚转，9秒钟后左坡度达到54度。由于机组对飞机的监控不到位，自动驾驶断开9秒后机组才开始操纵飞行，加上在机组错误的操纵致使飞机失速坠毁。
威胁差错管理模型
下面按照威胁差错管理（TEM）模型（图2-2），通过分析引起事件的威胁和差错对此事件原因进行分析。
图2-2威胁差错管理模型
威胁是客观存在的可能引起差错的外部和内部因素，任何需要机组成员花时间和精力并可能导致错误行为的事情都称之为威胁。恶劣天气、飞机故障、机组疲劳等都是典型的威胁。
差错被界定为“导致背离组织机构或个人的意图或期望之操作者个人的作为或不作为” [5]。通俗地将，差错就是做了不该做的事情（过失）、该做的事情没有去做（遗漏）或者行动计划执行之后没有得到预期结果。比如，原本想操作飞机的减速板手柄，却操作了襟翼手柄，就属于过失；忘记了检查单的项目则属于遗漏；因为操纵技能的飞行偏差则属于“没有得到预期结果”。
亚洲航空A320空难原因分析
1．威胁之一：飞机故障
亚洲航空A320空难，飞机故障是导致事故的直接威胁。发生事故的飞机在此前的12个月共出现过23次方向舵行程限制器单元（RTLU[1]）故障（图2-3），机务维护人员采取维修方法是复位飞行增稳计算机（FAC[2]）开关、系统自检或者复位跳开关。这种方法导致飞机由于通电、断电或地面、空中的热循环，使得方向舵行程限制器电路板焊接处产生疲劳现象，最后导致焊接开裂。由于焊接裂纹的存在，使得电流不连续，导致在发生事故的航班中接连四次出现方向舵限制器故障。
[1] RTLU: Rudder Travel Limiter Unit
[2] FAC: Flight Augmentation Computer
图2-3印尼亚洲航空A320事故前12个月RTLU故障次数
2．差错之一：机组偏离标准操作程序
飞机在巡航的过程中，飞机方向舵限制器的故障出现了四次，前三次机组都是按照电子集中飞机监测器（ECAM[1]）程序的要求，关断位于头顶板上飞行增稳计算机（FAC）按压式开关，然后再接通。但在短时间内第四出现同样故障后，飞行员决定采取不同的处理方法，通过复位FAC的跳开关来处理故障。
按照A320快速检查单的要求，机组只能复位在手册列表中的跳开关。飞行增稳计算机的复位程序不在其中，机组的行为是偏离操作程序。当机组先后拔出飞行增稳计算机1和2的跳开关后，导致自动驾驶和自动油门脱开，飞行控制由正常法则转变为备用法则，方向舵向左偏转2度，使得飞机以6°/秒的速率向左侧滚转。
机组复位FAC跳开关程序的行为属于差错，也就是说机组做了不该做的事情。从差错管理的角度，如果机组在复位跳开关前，能拿出快速检查单对照列表进行复位，此差错就有可能会避免。检查单是差错管理的有效工具。
3．差错之二：机组对飞机的监控不到位
机组在任何时候都不能离开对飞机的监控。因为机长错误地复位跳开关，导致飞机自动驾驶断开，但是右座的副驾驶没有履行监控和操纵飞机的基本职责。自动驾驶断开后，飞机并以6°/秒的速率向左侧滚转，9秒钟后飞机左坡度达到54°，在此期间机组没有对飞机的状态进行监控。这种行为表现就是“该做的没有去做”，也属于差错的范畴。
4．差错之三：失速改出动作和机组双操纵
自动驾驶脱开后不到1秒时间内，失速警告响起1秒，停了1秒，之后失速警告继续响起直至飞机坠毁。按照A320快速检查单的要求，一旦发现任何失速指示（可能是语音警告、主飞行显示器显示红色“STALLSTALL”信息），机组则应立刻执行以下动作：机头下俯以减小迎角；飞机坡度改平，等（图2-4）。
[1] ECAM: Electronic Centralized Aircraft Monitor
图2-4 A320机型失速改出程序（部分）
然而实际情况是，右座副驾驶开始操纵后，在修正飞机左坡度的同时向后带杆，飞机的姿态从原来的2至3度增大到 15.1度，致使飞机失速。
空客飞机禁止左座和右座飞行员同时操纵飞机（简称双操作）；如果发生双操作，控制飞机的飞行操纵计算机就会将两个人的输入进行矢量叠加。当副驾驶操纵飞机30秒后，左座机长开始操纵飞机，从此时至飞机坠毁，副驾驶一直在向后拉杆，机长推杆的低头俯仰指令被抵消了。飞机从巡航高度32000英尺最高上升到38500英尺，之后因为飞机失速开始掉高度，平均下降率约12000英尺/分钟。最后，飞机以大仰角、小速度和大下降率的状态坠毁。
按照机组的行为表现，其错误的失速改出操纵和长时间的双操纵行为属于差错，机组的知识和技能缺陷是威胁之一，而造成这种局面的潜在因素就是航空公司的培训和飞行训练。
5．事故的潜在因素
不规范的维修程序是事故的潜在因素之一。机务维护人员没有按照维修手册的要求对故障的组件进行更换，而是一再的进行复位，导致焊接接口处产生了裂纹，为事故埋下了隐患。
潜在因素也包括航空公司的飞行训练，通过机组的行为表现：复位跳开关程序、飞机的监控、失速改出程序、机组双操纵可以看出，机组的资质和能力没有达到应有的标准，其背后的原因就是航空公司的飞行训练管理。
按事故链理论，因为飞行维修的潜在因素，引起了飞机故障，机组在故障处理环节偏离了跳开关复位程序、没有监控好飞机，飞机进入复杂状态。因为飞行训练的潜在因素，造成机组能力缺陷，当飞机进入复杂状态之后，机组错误的操作没有把飞机改出，飞机最终的状态是机毁人亡。
（二）案例2：复兴航空ATR72台北空难
2015年2月4日，复兴航空的一架ATR-72飞机从台北松山机场刚刚起飞就坠毁，机上32人全部遇难。当日世界时10:52:01，ATR-72飞机从台北机场起飞离地，离地后37秒，当飞机的高度通过1200英尺时，飞机的右发动机失效并触发主警告提示。机组在匆忙中关错了发动机，将左侧发动机油门杆收到慢车并关断燃油供给，之后机组试图重新启动左发动机，但是因为高度低速度小，启动没有成功，飞机于10:54:34坠毁。
图2-5行车记录仪拍摄的复兴航空ATR72事故照片
造成此事故的直接原因是右侧发动机故障，按照TEM模型分析，飞机发动机失效是直接威胁，事故的另一个原因是机组判断和处理错误。机组在收油门和关断燃油手柄的执行重大动作时，没有按照标准操作程序进行交叉检查和校对，或者交叉检查证实没有达到预期的效果。事故的潜在因素是航空公司的飞机维修和飞行训练。
（三）案例3：CRJ-200包头空难
2004年11月21日，一架CRJ-200飞机执行包头至上海航班，于北京时间08:21从内蒙古包头机场13号跑道起飞，18秒后坠毁于机场附近的公园,事故造成机上53人全部遇难和地面2人死亡[6]。事故的原因是飞机在包头机场过夜时机翼结霜，起飞前没有按照要求进行除霜，飞机失速临界迎角减小。当飞机刚刚离地，在没有失速警告的情况下机翼失速，并产生非指令性滚转。机组没有意识到飞机处于失速状态，飞行员未能从失速状态中改出，飞机坠毁（图2-6）。
图2-6 CRJ-200包头空难残骸
CRJ-200包头空难是典型的飞机空中失控事故，按照威胁差错模型的分析，此事故的最大的威胁是“飞机机翼结霜”。签派员、机务放行人员、飞行机组都没有认识到此威胁的严重性，机长和机务没有按照要求的工作程序进行检查飞机和除霜，从而导致飞机起飞后直接进入一侧机翼失速的复杂状态，短短的18秒后就坠毁。事故的潜在因素是飞行运行保障。
（四）案例4、5：B757误放襟翼和A300误放缝翼
1999年10月17日，一架B757飞机执行广州至香港航班，在下降过程中，当高度通过20608英尺、指示空速284kts时，右座教员“无意识地将襟翼手柄位移，致使襟翼放出至1位”。自动驾驶为了满足最大放襟翼速度，操纵飞机抬头减速，俯仰角由-0.5度变为9.3度，飞机由下降转为上升。左座的飞行员稳杆制止机头上仰，俯仰角由9.3度变为-6.0度，接着又将飞机拉起，俯仰角有-6.0度变为1.6度。由于机组误放襟翼以及飞机俯仰姿态的急剧变化，造成47人受伤（其中18人重伤），构成一起运输航空一般事故[7]。
1993年4月6日，一架A300执行上海至洛杉矶的航班，在太平洋上空高度33000英尺巡航的过程中，因机组无意间碰到襟翼手柄，导致飞机的缝翼放出，加上机组过量的俯仰操纵，飞机出现失速警告和俯仰的剧烈变化，飞机俯仰最大 9度，最小-24.3度，最大过载 2.06G，最小过载 -1.24G，飞机俯冲5000英尺。当时机上的有旅客235人，机组20人，因为机组失误和过量操纵，造成2人死亡（其中一人在医院去世）、60人重伤，96人轻伤[8]。
按照威胁差错模型的分析，导致案例4和5事故的直接差错是“误放襟翼/缝翼”和机组过量的操纵，其潜在因素就是飞行训练。B757和A300两种机型都没有“高高度和高速度下的襟翼缝翼抑制功能”，飞机保护功能的设计不足也是潜在因素之一。
（五）案例6、7：B747俯冲和B737桂林空难
1985年2月19日一架B747-SP飞机从台北飞往洛杉矶，在太平洋上空高度41000英尺的巡航过程中，4号发动机熄火。在此后的3分钟，机长仍专注于飞机速度的下降，没有察觉驾驶杆朝左，因为自动驾驶仍然处于工作状态，机组也没有觉察到飞机在右转。
接着机组断开自动驾，飞机开始以接近音速的速度俯冲，在20秒内下降10000英尺。当飞机俯冲至云层底部高度约10000英尺时，机长才看见地平线，才以目视参考来控制飞机。整个俯冲持续两分半钟，飞机从30000英尺下降到约10500英尺。飞机平飞以后，机组发现起落架已经不明原因地放下，一个液压系统的压力为零，飞机的升降舵并不能正常运作，飞机的水平尾翼已经受损（图2-7），操纵飞机变得困难。飞机最后在旧金山机场安全降落[9]。
原因分析：飞机在自动驾驶接通的情况下，为了保持方向，驾驶盘向左偏转；但是因为推力的不对称，飞机已经形成右坡度并向右偏转。机组在没有判断飞机的状态情况下，断开自动驾驶，仅凭飞机驾驶盘之前形成的偏转，朝相反方向错误操纵飞机，造成飞机翻转并急剧俯冲。
图2-7 B747飞机水平尾翼受损情况（图片来源：百度百科）
1992年11月24日，一架广州飞桂林的B737飞机，因右侧发动机的自动油门故障，飞机在下降到2200米改平后，左发动机N1转速自动增加到88%，右发动机N1转速一直维持在慢车35%。飞机在自动驾驶接通的情况下，尽力保持航向。但是由于副翼的上下偏转不足以弥补推力差，飞机逐渐右转，并以1 ～2度／秒的滚转速率形成右坡度。在自动驾驶断开之前，飞机右坡度为46度同时向右偏航，飞机高度保持在2200米（7200英尺），指示空速保持在288kts。
自动驾驶仪断开后，飞机向右的滚转率由每秒1-2度变为每秒12度，很快飞机的右坡度达到168度。飞机急剧下俯，俯仰姿态11秒之内由 3度变为-77.7度，高度由7200英尺下降到4256英尺，下降率为15900FPM。飞机撞山前速度为412.5KTS。事故造成机上141人全部遇难[10]。
通过后续的模拟飞行判断，俯冲的最大可能是机组在没有判断飞机的状态情况下，仅凭飞机驾驶盘的之前形成的偏转，朝相反方向错误操纵飞机所造成的。
按照TEM模型进行分析，B747俯冲事件和B737事故中，主要的威胁是飞机故障，主要的差错就是机组没有对飞机的状态和推力进行有效地监控（该做的没有去做），而后续错误的操纵直接导致飞机的复杂状态进一步加剧（做了不该做的事情），潜在因素就是飞机维修和飞行训练。好的维修能够保障飞行发动机的可靠性，完善的飞行训练可以提高机组对飞机的监控和操纵能力。
（六）飞机空中失控的因素统计
回顾以上几起飞机空中失控的事故，各种因素如表3-1所示：
表3-1 七起飞机空中失控事故原因汇总
以上事故的原因分析和IATA对飞机空中失控事故的统计分析基本一致。IATA通过对2013-2017年的29起飞机空中失控事故进行分析[3]，造成事故的潜在因素分别是：飞行运行（30%）、SOP和检查（22%）、安全管理（22%）和飞行训练（17%）；威胁分别是：飞机故障（39%）、气象因素（30%）、缺少目视参考（22%）和发动机失效（22%）；机组差错分别是：标准操作程序的执行（39%）、人工操纵偏差（35%）和机组之间交流（30%）。飞机的复杂状态主要是垂直、水平和速度的偏差（26%）和超出飞机飞行限制（21%）。
三、预防措施和政策建议
（一）飞机空中失控的预防
“上医治未病,中医治欲病,下医治已病”,也就是说医术最高明的医生并不是擅长治病的人,而是能够预防疾病的人。“安全第一、预防为主”的指导思想就是“治未病”，飞机空中失控的预防也不例外，预防优先于改出（图3-1）。通过对潜在因素的分析，减少可能引起飞机空中失控的威胁；通过对威胁的辨识和管理，减少差错；通过差错管理，避免飞机进入复杂状态。飞机一旦进入复杂状态，就要求机组通过飞行操纵，恢复飞机的正常状态，避免进一步的恶化。
图3-1 威胁差错管理模型（预防与改出）
安全管理就是通过连续的危险源识别过程和安全风险管理，将给个人造成的危险或者财产损失的可能性降低至并保持在或者低于一个可以接受水平[5]。预防飞机空中失控也就是通过危险源识别，对主要环节上的安全风险进行有效管理，减少或避免同类事件的发生。民航监管部门加强管理监督和监察指导，飞机制造商建造更好的飞机，避免类似B757和A300误放襟翼/缝翼事件的发生。航空公司改善飞机维修，减少飞机故障所带来的威胁。在飞行运行方面，飞机机组和签派员共同应对雷暴、微下击暴流、冰雪霜等天气威胁，通过延迟起飞进近、备降复飞、除冰防冰程序等工作流程，化解天气威胁所带来的各种不利。航空公司应改善飞行训练，提高机组的职业素养和操纵技能。机组严格执行标准操作程序，减少差错的出现，从而避免或者减少飞机进入复杂状态。一旦飞机进入复杂状态，机组正确地操作飞机避免飞机状态进一步恶化[11]。
（二）政策建议
飞机空中失控的危险性显而易见，建议民航科研单位成立科研小组、设立研究项目，对国内外飞机空中失控的事故、事故征候以及差错级别的事件进行研究，结合行业研究成果和中国民航的实际，为民航规章的制定和更新提供支持。建议民航飞行标准部门发布和更新咨询通告等相关政策规章，并为航空公司的飞行训练提供支持。建议民航安全监管部门结合典型事故和事故征候进行安全专题教育。建议民航科研院校针对大型客机的失速特性等编写辅导教材。建议航空公司改善飞行训练，将飞机非正常姿态的改出训练贯穿到初始训练、机型改装训练、升级训练和教员训练之中。
结语：本文使用威胁差错管理模型分析了7起飞机空中失控的典型案例，结合事故调查统计分析，得出的结论是：造成飞机失控的主要潜在因素是飞行运行和标准操作程序、主要威胁是飞机故障和天气、飞行机组的主要差错是偏离标准操作程序和人工操纵偏差。预防飞机空中失控是政府监管部门、飞机制造商、科研机构和航空公司的共同责任。
参考文献:
[1] Loss of Control In-Flight Accident AnalysisReport［Z］. Montreal：InternationalAir Transport Association，2015.
[2] GuidanceMaterial and Best Practices for the Implementation of Upset Prevention andRecovery Training ［Z］. Montreal：InternationalAir Transport Association，2015.
[3] Safety Report 2017［Z］. Montreal：International Air Transport Association，2018.
[4] PT. IndonesiaAir Asia Airbus A320-216 PK-AXC Karimata Strait Aircraft Accident InvestigationReport［Z］. Jakarta：National Transportation Safety Committee，Republic of Indonesia, 2015.
[5] ICAODOC 9859 安全管理手册（第三版）［Z］. 蒙特利尔：国际民用航空组织，2015.
[6] 民航航空事故汇编（七）2001-2005［Z］.北京：中国民用航空局，2007.185-212.
[7] 民航航空事故汇编（五-六）1990-2000［Z］.北京：中国民用航空局，2010. 325-330.
[8] Aircraft Accident Report AAR-93/07［DB/OL］. https://www.ntsb.gov/investigations/AccidentReports/Pages/AAR9307.aspx, 1993.
[9] China Air 006［Z/OL］https://en.wikipedia.org/wiki/China_Airlines_Flight_006, 2017
[10] 民航航空事故汇编（五-六）1990-2000［Z］.北京：中国民用航空局,2010. 76-82.
[11] Airplane Upset Prevent & Recovery Training Aid (Rev 3.0)［Z/OL］https://www.icao.int/safety/LOCI/AUPRTA/index.html, 2017.
,
