2014年12月28日 印尼亚航A320-216PK-AXC航班事故（机组操作脱离SOP、人工飞行能力下降、情景意识丧失）

2014年12月28日，一架亚航空客A320-216飞机（从印尼泗水飞往新加坡），在32000英尺高度巡航过程中失速坠海，机上162人（飞行机组2人，客舱机组4人，乘客156人其中包括一名本公司工程师）全部遇难。此次事故由印尼运输安全委员会（KNKT）组织调查，澳大利亚、法国、新加坡和马来西亚派出委任代表参加调查。

1事实情况

事故飞行中，副驾驶作为PF，操控飞机；机长作为PM，监控飞行员（PM）。飞机起飞、爬升正常，到达32000英尺巡航高度后，驾驶舱内开始出现ECAM琥珀色“AUTOFLTRUDTRVLIM1”警告。

调查发现，由于通电/断电或地面/空中的热循环，使得事故飞机方向舵行程限位器组件电路板焊接处产生疲劳现象，最后导致焊接开裂。（如图）连接A通道和B通道的焊接接头处产生了裂纹，由于裂纹的存在，使得电流不连续，进而在ECAM上先后出现4次琥珀色RTLU故障信息“AUTOFLTRUDTRVLIMSYS”。

图1事故飞机方向舵行程限位器组件的电路板

图2焊接接头处的裂纹

机组针对前3个主警戒信息实施了ECAM程序，即采取一个一个地重置头顶上的FAC1和FAC2复位键，使得RTLU功能恢复正常，故障消除。但在短时内第4个主警戒信息发出后，由于前3次的操作没有成功地彻底清除故障，飞行员试图采取不同的处理方法来应对。通过FDR分析发现，第4次主警戒信息触发后，飞行员没有执行ECAM操作，而是先拔出FAC1的跳开关，致使FAC1断电，导致“ECAMFAC1FAULT”信息出现并触发了第5次主警戒信息。10秒钟之后，FAC1电源接通。但是头顶上的FAC1复位键没有重置，FAC1的功能依然没有恢复，它所控制的所有设备均不能操作。当FAC1断电，方向舵偏转约0.6°时，FAC2接管了FAC1的功能，这时自动驾驶依然接通，副翼的偏转补偿了因为方向舵偏转导致的气动滚转，因此飞机航向没有任何改变。

在重置FAC1跳开关后，机长又起身去重置FAC2跳开关。因此，当FAC1断电17秒后，FAC2也出现了断电，导致第6次主警戒信息出现，ECAM显示“AUTOFLTFAC1+2FAULT”的故障信息。结果是自动驾驶和自动油门脱开，飞行控制由正常法则转变为备用法则，方向舵向左偏转2°，使得飞机以6°/秒的速率向左侧滚转。这是由于两个FAC都脱开时，方向舵运动不能自动补偿的结果。自动驾驶脱开后，飞行员不得不采用手动驾驶，但是在9秒钟之内，飞行员没有采用侧杆来阻止飞机的滚转，使得飞机向左滚转坡度达到54°，飞机出现非指令滚转。自动驾驶脱开后不到1秒时间内，失速警告响起1秒，停了1秒，之后继续响起直至最后。

自动驾驶脱开9秒后右座开始操纵驾驶杆，修正飞机左坡度并向后带杆至15.1度。使飞机坡度变成向左9度，但俯仰角远大于所需角度，之后又向左操作侧杆导致飞机回到左坡度50度。副驾驶操纵飞机30秒后，机长侧杆开始有输入，先是低头指令，然后多是在中立位，从此时至事故发生，副驾驶在这一阶段一直在向后拉杆，一度触发了双侧杆输入，左侧杆的低头（向前）俯仰指令被抵消。

此间，飞机了离开应飞高度32000英尺最高上升到38500英尺，最大坡度为左104度。之后飞机开始掉高度，下降率最大到20000英尺/分钟。当飞机高度达29000英尺时，飞机俯仰和坡度都接近0度，空速在100节到160节之间变化。迎角几乎一致保持在+40度，平均下降率在12000英尺/分钟。整个过程中速度围绕平均140节速度上下波动，直至记录结束。飞机入水状态是空速83节，俯仰20度向上，迎角50度，左坡度8度，下降率8400英尺/分钟，无线电高度118英尺。

飞机在各时间节点状态和机组操作详见图3-7：

图3：飞机横滚54°向左 

图4：第一次失速警告响起

图5：仰角最大时的飞机姿态

图6：飞机在复杂状态

图7：姿态恢复

2分析

2.1机组操作脱离SOP

机组未遵循SOP，导致FAC失效，自动驾驶和自动油门断开。

飞机在事发前出现了四次“AUTOFLTRUDTRDVLIMSYS”的ECAM警戒信息，前三次机组严格按照ECAM指令完成了处理动作，系统恢复了正常，第4次机组采取了脱离正常标准程序的方法处理故障，即分别重置FAC1、2跳开关，而FAC的工作逻辑是，在空中一旦跳开关被拔出，即使复位，也需要重置PushButton按钮才能恢复FAC的功能，而机组没有完成此动作，在FAC1未恢复功能的情况下7秒后机组又复位了FAC2跳开关造成了双FAC失效故障，从而导致了后续的自动驾驶及自动油门断开等一系列不正常情况，引发事故。

QRH规定：“飞行机组只能对计算机复位列表中列出的计算机进行复位。若要复位其他计算机，机组必须完全了解其后果才可以进行复位”。机组不但脱离了正常的处理程序也违背了手册的要求。

现代飞机设备多样、功能结构复杂，为了使机组能够简单、正确地使用和操作飞机，飞机制造厂商设计了标准运行程序（SOP）应对可能出现的各种状况，SOP考虑到了飞机的设计、性能、工作逻辑及可行性等各方面的因素，基本是可靠有效的，在绝大多数的情况下使机组能够在判明问题后简单并正确有效地处理问题，所以现代飞机的飞行员又被称为程序飞行员，可以说依照程序飞行的理念对人类航空安全水平的提高有重大贡献。

正常程序能够应对绝大部分情况，这是行业运行安全的保障，而机组一旦脱离了程序来处理问题就会失去程序的保护，可能会引发其他问题，正如此次事故中的情况。当然，SOP也不能穷尽所有的情况，在一些特殊情况下也需要依靠机组自己的判断和处置方法来应对，但总体说来，坚持程序，利大于弊。

2.2人工飞行能力下降

飞机系统设计制造日趋复杂，但是飞行员培训却日趋简化，造成机组人工飞行能力下降。机长没有在复位跳开关后按压PushButton按钮恢复FAC功能，此动作反映出机组对机上设备的工作原理及工作逻辑不了解，对所采取行动的后果估计不足。造成这种情况的原因可能是飞机系统功能日益复杂，而飞机制造商提供给飞行员的使用手册却越来越简单。培训注重操作，对飞机系统工作原理及构造讲解相对粗浅，这就造成了飞行员对自动化设备及飞机系统的工作原理了解不全面，只知道正常使用方法的现状。一旦出现特殊情况需要脱离程序，飞行员就容易迷乱不知如何处置或处置不当，飞行员独立自主能力降低，进而降低飞行的安全裕度，在某些极端情况下，飞行员可能会无力拯救飞机。

2.3人为因素：情景意识

事故报告中数次提到了飞行员丧失了情景意识。情景意识是指特定的时段和情境中对影响飞机和机组的各种因素和条件的准确认知。简单来说就是知道发生了什么，正在发生什么，将要发生什么，影响情景意识的因素包括：飞行动作技能、飞行经验和训练水平、充分的准备、注意力分散、空间定向能力，CRM能力、及机组的健康与态度等等。而情境意识下降的表现为：专注某项事物，既定目标不符，使用不适宜的程序，发出模棱两可的信息，无人操作飞机或无人监控飞机状态。通过以上标准对比机组的表现，我们可以判定该机组的情景意识是下降甚至是丧失的。

3事故原因

调查认为造成事故原因如下：

——A、B通道焊接接头的裂纹，导致电流不连续，从而造成方向舵行程限制器(RTLＵ)故障;

——对于现有的维修数据分析导致短期内无法解决的故障重复发生，同样故障在本航班发生了４次；

——飞行机组对于前３次故障依照ECAM信息进行了处置，FDR在第4次故障发生后记录了不同的操作，参数显示此操作类似于复位FACCB后导致FAC计算机电路中断的情况；

——FAC电路中断导致自动驾驶脱开，飞行控制逻辑从正常法则转为备用法则。方向舵向左偏转2度导致飞机姿态滚转至54度坡度角；

——机组在备用法则下无法操纵飞机，导致飞机从正常包线进入长时间失速状态，机组未能改出。

4安全建议

4.1給飞机制造商的建议

（1）研究空客飞机在高空高速小姿态的失速改出技巧，并给航空公司提供相应培训；

（2）就自动化飞行对人工操作能力的影响开展课题研究，提出解决办法。

4.2给航空公司的建议

（1）提高国内培训技巧和方法，加强教员的业务能力水平，使培训中所遇特殊情况更加逼真，以期提高机组的应变能力。

（2）在培训中增加实际进入失速情况的改出培训内容，而不仅仅是预防失速。

（3）日常培训中强化飞行员操控飞机、遵守SOP的意识。

4.3给运营商维修部门的建议

（1）建议运营商维修部门及时跟踪空客的TFU（技术跟踪报告），检查TFU27.23.00.004及TFU27.23.00.007的执行情况；

（2）建议运营商维修部门检查公司内部是否能全面将飞行员报告的故障或疑似故障以及航后相关故障报告（如A320中PFR的故障报告、B777中MAT上的维护信息等）中记录的故障信息记录下来（如记录在技术日志本TLB中）；

（3）建议运营商检查维修部门是否具备有效的方法或维修管理系统来识别重复性故障，且重复性故障识别的数据来源是否全面、充分，能否全面涵盖飞行员报告的故障或疑似故障、相关的故障报告、定检数据、客舱报告等。

4.4其他维修方面建议

建议探索基于QAR或者无线QAR大数据识别重复性故障并提出预警的方法研究。