……… 1 事故调查过程和进展 2 ……………………………………………………………… 1.1 事故摘要 2 ………………………………………………… 1.2 事故调查概要 2 …………………………………………… 1.2.1 调查的组织 2 ………………………………………… 1.2.2 调查的实施 3 …………………………………………………… 1.2.3 中期报告和建议 3 …………………………………………………………………… 1.2.4 公开听证会 3 ………… 1.2.5 听证会,听取与事故原因有关人员的意见 4 ……………………………………………………………… 2 事实信息 5 …………………………………………………………………… 2.1 飞行历史 5 2.1.1 根据机载记录器的记录的飞行历史及………………………………………………………… ATCRocorder 等5 …………… 2.1.2 飞行机组关于飞行历史的陈述 11 ………………………… 2.1.2.1 飞机-A 机长陈述 11 2.1.2.2 受训飞行员的陈述 ( ) 的见习飞行员 ………………………………………………………… 飞机-A 13 …………………… 2.1.2.3 飞机-A 副驾驶的陈述 14 ………………………… 2.1.2.4 飞机-B 机长陈述 15 …………………… 2.1.2.5 飞机-B 副驾驶的陈述 16 ……………………………………… 2.1.3 空中交通管制员的陈述 17 …… 2.1.3.1 受训管制员 ATC 见习飞行员的陈述17()………………………… 2.1.3.2 空中交通管制值班主管的陈述 18 ………………………………………… 2.1.3.3 协调员的陈述 19 ………………………… 2.1.4 事故发生时客舱内的情况 20 ………………………… 2.1.4.1 飞机-A 的 CP 和 CA 的陈述 20 …………………………… 2.1.4.2 飞机-A 的乘客的陈述 21 ……………………………………………………………… 2.2 人员受伤 22 ………………………………………………………… 2.3 飞机损坏 23 …………………… 2.4 有关机组人员和空中交通管制员的信息 24 ………………………………………………………………… 2.4.1 飞行机组 24 …………………………………… 2.4.1.1 日航 907 航班机组人员 24 ………………………………………… 2.4.1.2 日航 958 航班机组人员 26 ……………………………………… 2.4.2 日航 907 航班乘务员 27 ……………………………………………………… 2.4.3 空中交通管制员 28 …………………………………………………………… 2.5 飞机信息 30 ……………………………………………………………… 2.5.1 飞机-A 30 ……………………………………………………………… 2.5.2 飞机-B 30
……… 1 事故调查过程和进展 2 …………………………………………………………………… 1.1 事故摘要 2 …………………………………………………… 1.2 事故调查概要 2 ……………………………………………… 1.2.1 调查的组织 2 ……………………………………………… 1.2.2 调查的实施 3 …………………………………………………… 1.2.3 中期报告和建议 3 …………………………………………………………………… 1.2.4 公开听证会 3 ………… 1.2.5 听取与事故原因有关人员的意见 4 ……………………………………………………………… 2 事实信息 5 …………………………………………………………………… 2.1 飞行历史 5 2.1.1 根据机载记录器和…………………………………………………………… ATCRocer 等 5 …………… 2.1.2 飞行机组关于飞行历史的陈述 11 ……………………………… 2.1.2.1 飞机-A 机长陈述 11 2.1.2.2 正在接受培训的飞行员的陈述 ( ) 飞机-A 的见习飞行员 ………………………………………………………… 13 …………………… 2.1.2.3 飞机-A 副驾驶的陈述 14 ……………………………… 2.1.2.4 飞机-B 机长陈述 15 ………………………… 2.1.2.5 飞机-B 副驾驶的陈述 16 ……………………………………… 2.1.3 空中交通管制员的陈述 17 …… 2.1.3.1 正在接受培训的管制员 ATC 见习飞行员的陈述 17 ( ) ……………………… 2.1.3.2 空中交通管制值班主管的陈述 18 ………………………………………… 2.1.3.3 协调员的陈述 19 ………………………… 2.1.4 事故发生时客舱内的情况 20 ………………………… 2.1.4.1 飞机-A 的 CP 和 CA 的陈述 20 …………………………… 2.1.4.2 飞机-A 的乘客的陈述 21 ……………………………………………………………… 2.2 人员受伤 22 ……………………………………………………………… 2.3 飞机损坏 23 …………………… 2.4 有关机组和空中交通管制员的信息 24 ………………………………………………………………… 2.4.1 飞行机组 24 ………………………………………… 2.4.1.1 飞行机组日航 907 航班的飞行机组人员 24 ………………………………………… 2.4.1.2 日航 958 航班的飞行机组人员 26 ……………………………………… 2.4.2 日航 907 航班的乘务员 27 ……………………………………………………… 2.4.3 空中交通管制员 28 …………………………………………………………… 2.5 飞机信息 30 …………………………………………………………………… 2.5.1 飞机-A 30 …………………………………………………………………… 2.5.2 飞机-B 30
1. 引言 自从飞行开始以来,飞机控制一直是航空业确保安全飞行的首要任务之一。就像人体一样,飞机的每个部件都在确保安全飞行和控制方面发挥着作用。航空运输无疑是近代最安全的交通方式之一。然而,有时确实会发生造成大量人员伤亡的事故或事件。机械故障或飞机部件损坏是继飞行员失误之后导致飞机失事的第二大常见原因,约占所有航空事故的 22% [1]。其他事故原因还包括破坏、失控 (LOC)、天气和其他人为因素。在早期,飞行控制系统是机械的,这意味着飞行员在驾驶舱的控制与控制面之间存在直接联系。多年来,机械飞行控制系统已被允许飞行员直接控制飞机运动的系统所取代。这种数字类型的飞行控制系统使用电信号,被称为“电传操纵”。这种飞行控制系统提高了飞机的稳定性和控制力,也提高了飞行员对飞行干扰的反应时间 [2]。此外,在飞机遇到任何类型的系统故障的情况下,它都会变得不对称,飞行员的工作量会大大增加。浮动配平片、发动机风扇爆裂、鸟撞和控制器冻结都是可能限制飞机控制的一些故障示例。尽管如此,在大多数情况下,当发生这些类型的故障时,只有控制面受到影响,而升力面保持完好。苏城 DC-10 坠机事件就是这种情况的一个非常著名的例子。联合航空 232 航班从丹佛飞往芝加哥时,第二台发动机发生故障,导致所有液压控制装置失效。飞机随后由剩下的两台发动机控制,并在爱荷华州苏城坠毁。共有 111 人伤亡,但 185 人幸存 [3]。这清楚地表明了飞机在没有标准控制面的情况下也能被控制的能力。 2003 年,DHL 的空客 A300B4 左翼遭到地对空导弹袭击。
两架波音 737 Max 飞机不幸坠毁,导致全球范围内的飞机停飞,事故原因也引起了广泛调查。飞机设计(包括其软件)的飞行安全性受到质疑,主要集中在被称为机动特性增强系统 (MCAS) 的软件组件上。在本文中,我们针对故障和缺陷可能进入飞机人机系统 1 的方式的讨论提出了一些初步考虑。鉴于软件开发的速度,软件工程安全性尤其是一个快速变化的主题。它始于对故障模式的非正式定义 [2],并主要通过讨论特定技术及其安全属性而得到扩展。最近,有关事件“事后分析”和系统学习的方法已经开发出来 [3–5]。更一般地说,系统安全(重点是飞行安全)历史悠久,文献丰富(例如,参见 [6–9]),并且与系统稳定性的更广泛概念相关 [1,10,11],但分析工具主要是非正式和启发式的,因此有相当大的空间用于更受约束的分析推理语言。引入承诺理论的某些方面作为此类分析的工具是这项工作的目标之一。软件在当今几乎所有复杂系统中都发挥着作用。人们越来越多地关注“算法”——其中“算法”一词包含了关于系统在特定条件下应该如何反应的一系列设计决策。有人(也许很大胆,当然是非正式地)说算法“决定”系统在不同情况下做出的决策;但算法是可能路径的逻辑树——它们还可以利用实时收集的数据或通过学习技术从经验中收集的数据。在结论部分,我们将回到算法的概念。因此,确定性的建议夸大了算法的能力。我们真正能说的是,他们的承诺会以某种方式影响结果。最近关于使用机器学习的讨论,比如自动驾驶汽车 [12, 13],说明了对软件算法的依赖往往存在复杂性不匹配的情况。当出现重大故障时,某些系统组件(包括软件组件)可能会成为激烈的公开辩论的主题,这些辩论是在高度抽象的层次上进行的,因此远离技术现实。在本研究中,我们基于以下假设进行分析:
飞机事故调查执行摘要 T-38C,T/N 64-3213 德克萨斯州劳克林空军基地 2017 年 11 月 20 日 2017 年 11 月 20 日,当地时间 15:46:28,一架 T-38C,尾号 64-3213,在德克萨斯州 (TX) 劳克林空军基地 (AFB) 西北约 12 英里处坠毁,飞机彻底损毁,坐在后座的事故再认证飞行员 (MRP) 受重伤。事故机组 (MC) 包括坐在前座的事故教练飞行员 (MIP),他正在监督正在执行再认证任务的 MRP。MIP 成功弹射,受轻伤。MRP 没有弹射,在撞击地面时受了致命伤。MIP、MRP 和事故飞机 (MA) 被分配到德克萨斯州劳克林空军基地第 47 飞行训练联队第 87 飞行训练中队。在事故出击 (MS) 期间,事故飞机 (MA) 在报告飞机故障后返回基地时坠毁。被毁坏的飞机价值约为 1100 万美元。MRP 是一架 T-38 教练飞行员,在从非飞行海外部署返回后接受重新认证培训。在一次本地训练出击期间,MA 的左发动机机身变速箱出现故障,导致左交流发电机和左液压泵损坏。MC 完成了所需检查单,并协调立即降落在劳克林空军基地。四分钟后,在进行最后进近机动时,MC 检测到其他电气系统出现故障,同时右发动机液压泵和右机身变速箱也出现故障。由于两个变速箱及其相关液压泵均出现故障,MA 遭受了完全的液压故障,MC 无法控制,因此弹射是唯一合适的选择。MC 传达了弹射的意图,但由于担心下方人口稠密,推迟了弹射。事故调查委员会主席根据大量证据确定,事故原因是双机身变速箱故障。导致这些变速箱故障的一个重要因素是缺乏针对 MA 类似重复故障的维护指导。委员会主席还根据大量证据发现,MRP 遭受致命伤害的原因是 MC 未能完成起飞前检查清单项目,该项目要求正确设置弹射座椅系统。根据 10 U.S.C.最后,委员会主席根据大量证据发现,导致事故的主要因素是任务优先级错误、检查表干扰、仪器和感官反馈系统以及延迟弹射决定。§ 2254(d) 事故调查员在事故调查报告中对事故原因或促成事故的因素的意见(如果有)不得被视为因事故引起的任何民事或刑事诉讼的证据,此类信息也不应被视为美国或这些结论或声明中提及的任何人承认其责任。
2018 年 2 月 20 日 2018 年 2 月 20 日,0838L,一架 F-16CM,尾号 (T/N) 92-3883,在从日本三泽空军基地 (AB) 起飞的例行训练飞行中发生发动机起火,必须立即降落回三泽空军基地。事故飞机 (MA) 驻扎在日本三泽空军基地,隶属于第 35 战斗机联队第 13 战斗机中队。MA 发动机受损,外部油箱丢失,政府损失估计为 987,545.57 美元。事故航班 (MF) 由两架 F-16CM 飞机组成。事故航班的飞行前检查、起飞和滑行都平安无事,直到起飞阶段。事故飞行员 (MP) 离开 28 号跑道 (RWY),比事故长机飞行员 (MLP) 晚离开加力起飞后不久,三泽空中交通管制员通知 MP 和事故领航员 (MLP),MP 飞机后部出现大火。MLP 还就火灾问题联系了 MP。在 MP 上升过程中,他注意到空速和爬升率意外下降。MP 右转返回 28 跑道,当无法保持空速或高度时,MP 按照 F-16CM 关键行动程序抛弃了外挂物(外部油箱)。抛弃后,MA 恢复了一些空速,并实现了更好的爬升率,进入着陆位置。MP 降落在 28 跑道上,并完成了紧急发动机关闭和紧急地面疏散关键行动程序。事故没有造成人员伤亡。MP 在事故过程中的行动是专注、精确和适当的;他的行为不是事故的原因。对维护程序的审查发现了导致事故的几项过去的行为。AIB 主席根据大量证据发现,事故原因是过时的部件断裂,导致发动机过热。2012 年,维护人员订购并安装了一个过时的部件——涡轮框架前整流罩,而几年前它被一个由更坚固的材料和设计制成的前整流罩所取代。物流系统随后运送了过时的前整流罩。维护人员使用更新版本的支架硬件将过时的前整流罩安装在事故发动机 (ME) 上。过时的前整流罩材料较弱,加上不匹配的硬件造成的磨损,最终导致前整流罩在起飞时断裂。断裂后,一块前整流罩被抬起并阻塞了发动机周围的冷却气流,导致阻塞附近区域过热并起火。 AIB 主席进一步通过大量证据发现,2012 年至 2015 年期间的维护实践是导致事故发生的重要原因。根据 10 USC§2254(d)事故调查人员在事故调查报告中对事故原因或促成事故的因素的意见(如果有)不得作为因事故引起的任何民事或刑事诉讼的证据,此类信息也不能被视为美国或这些结论或声明中提及的任何人对责任的承认。
执行摘要 F-35A,T/N 12-005053 佛罗里达州埃格林空军基地 2020 年 5 月 19 日 2020 年 5 月 19 日晚 2126L,事故飞机(MA),一架尾号为 (T/N) 12-005053 的 F-35A 飞机在佛罗里达州 (FL) 埃格林空军基地 (AFB) 的 30 号跑道上坠毁。这架 MA 由第 58 战斗机中队 (FS)、第 33 作战大队 (OG) 操作,隶属于第 33 战斗机联队。事故飞行员 (MP) 安全弹射,但受伤没有生命危险。这架价值 175,983,949 美元的 MA 翻滚、起火并被彻底摧毁。在进近和着陆过程中,MP 设定并保持 202 节校准空速 (KCAS)。飞机以大约 50 KCAS 的速度快速着陆,比着陆要求的倾斜度浅约 8 度,迎角为 5.2 度。飞机着陆持续了大约五秒钟,之后 MP 弹射。飞机机头以高速下降,前起落架在主起落架之后立即接触跑道。接下来,MA 经历了一次明显的机头高弹跳。在最初的弹跳之后,MP 进行了操纵杆输入,试图恢复并设定着陆姿态。然而,MP 的操纵杆输入很快就与飞机俯仰振荡和飞机控制周期不同步。接地两秒后,MP 设定并保持后操纵杆,这通常会使飞机机头抬高。在指挥后操纵杆约一秒钟后,飞行员还指挥油门全开加力燃烧器。这两个动作都与试图建立一种姿态一致,这种姿态将允许飞机起飞并复飞以进行另一次着陆尝试。尽管飞行员保持后操纵杆三秒钟,水平稳定器仍保持完全向下偏转,这会使飞机机头向下。在多次且逐渐恶化的弹跳后试图复飞失败后,MP 松开操纵杆进行弹射。AIB 主席根据大量证据发现,事故首先是由 MA 以 202 KCAS 速度着陆引起的,其次是由 MA 飞行控制面(即飞机尾部)在着陆时与 MP 输入相冲突引起的,导致 MP 无法从飞机振荡中恢复。AIB 主席还根据大量证据发现,另外四个因素是导致事故的重要因素。根据美国法典第 10 章主要影响因素包括:MP 在着陆时开启了速度保持功能并使用了备选交叉检查方法,MP 头盔显示器未对准导致 MP 在飞行的关键阶段分心,MP 因疲劳导致认知能力下降,并且 MP 缺乏飞行控制逻辑的系统知识。§ 2254(d) 事故调查员在事故调查报告中对事故原因或促成事故的因素的意见(如果有)不得被视为因事故引起的任何民事或刑事诉讼的证据,此类信息也不得被视为美国或这些结论或声明中提及的任何人承认承担责任。
执行摘要 美国空军飞机事故调查 F-16CM,T/N 89-2142 路易斯安那州博勒加德教区 2022 年 3 月 23 日 2022 年 3 月 23 日,大约美国中部标准时间上午 10:58,一架 42 区 F-16CM,尾号 (T/N) 89-2142,隶属于俄克拉荷马州塔尔萨空军国民警卫队基地空军国民警卫队第 125 战斗机中队 (FW),在德克萨斯州休斯顿埃灵顿联合预备役基地第 1 支队 138 FW 执行拦截一架通用航空 (GA) 飞机后坠毁。没有人员死亡;事故飞行员 (MP) 隶属于 138 FW,在撞击前安全弹射,受了轻伤。事故飞机 (MA) 在撞击时被摧毁,总损失价值 26,950,985.00 美元。飞机在私人土地上的一片荒凉地区坠毁,造成地表景观损坏。事故航班 (MF) 的任务是练习从埃灵顿机场发射两架 F-16 战机进行航空航天控制警报 (ACA) 发射,这是北美航空航天防御司令部 (NORAD) 任务的一部分。MP 是双机编队飞行中的第二架。在 ACA 发射后,MF 在其指定的训练空域内进行了继续训练,即位于路易斯安那州博勒加德教区附近的勇士军事作战区 (MOA)。MF 计划练习拦截和空中加油。第一次拦截演习没有发生任何意外,事故飞行指导 (MFL) 充当 MP 练习 ACA 拦截程序的训练辅助工具。这次演习之后,MP 发现一架通用航空 (GA) 飞机在 MOA 下方,飞行高度为 1,700 英尺 (MSL)。MFL 指示编队拦截 GA 飞机,训练目标是完成低/慢速目视识别 (VID) 拦截。在这次计划外和无协调的拦截中,MP 未能在低空速状态下保持积极的飞机控制。MP 错误地评估飞机已在低于不受控制的弹射最低限度的情况下偏离受控飞行,导致 MP 弹射。事故调查委员会 (AIB) 主席根据大量证据发现,事故原因是 MP 从 MA 中弹射出来,因为他错误地评估 MA 已偏离受控飞行。MP 无意中将数字备份 (DBU) 开关置于 BACKUP,导致错误评估飞机已偏离受控飞行,并误以为在开始弹射之前无法恢复 MA。根据 10 U.S.C.此外,根据大量证据,委员会主席发现导致事故发生的两个重要因素是:1) 缺乏飞行领导力和 2) 缺乏飞行纪律,MFL 和 MP 违反了各种训练规则,包括拦截未参与的 GA 飞机,以及在低速和低空环境下错误操作 F-16。§ 2254(d) 事故调查员在事故调查报告中对事故原因或促成事故的因素的意见(如果有)不得被视为因事故引起的任何民事或刑事诉讼的证据,此类信息也不应被视为美国或这些结论或声明中提及的任何人承认承担责任。