Операторы самолета Почему пилоты слишком полагаются на автоматику и как это могло повлиять на катастрофу SSJ 100

17 мая появился первый документ Росавиации с подробностями катастрофы самолета SSJ 100 «Аэрофлота» в аэропорту Шереметьево, в которой погиб 41 человек. В сообщении содержится призыв проверить подготовку пилотов авиакомпаний по ручному управлению на SSJ 100. Неспособность многих пилотов управлять самолетами в ручном режиме и зависимость их от автоматики в последние десятилетия называют главной причиной авиапроисшествий во всем мире. «Медуза» рассказывает, чем опасна «автопилотная зависимость» и как с ней борются в разных странах.

Автоматика на самолете — это только автопилот?

Нет. С 1980-х годов, когда появились первые самолеты модели Airbus А320 (первые машины с электронным — Fly-by-wire — управлением), компьютеры помогают управлять самолетом не только в режиме автопилота, но и вручную. В режиме нормального управления (на SSJ 100 — Normal Mode, на эйрбасах — Normal Law) компьютер сначала считывает все управляющие действия пилотов, затем устраняет большую часть ошибок и неточностей и только потом подает сигнал на двигатели и управляющие поверхности самолета.

Идея о необходимости глубокой автоматизации пришла к конструкторам из-за большого количества катастроф, которые были связаны с ошибками пилотов. За несколько десятилетий объемы коммерческих перевозок выросли в разы, и индустрия не могла подготовить достаточное количество хорошо обученных пилотов.

Современные автопилоты не просто поддерживают скорость и курс, они могут управлять самолетом по всему маршруту начиная с момента сразу после взлета и до выхода на посадочную прямую. На многих специально оборудованных аэродромах возможна автоматическая посадка. При этом включенный автопилот не означает, что компьютер полностью контролирует самолет. Пилот может передать автопилоту не все управление, а только часть: например, поручить ему выдерживать заданную скорость или поддерживать обороты двигателя. Экипажу в этом случае нужно лишь следить за тем, как компьютер выдерживает параметры полета, и за пространственным положением самолета с помощью директорных планок, а также иногда вносить изменения в программу с помощью задатчиков курса, скорости и других органов управления.

К началу 2000-х, после того как идею повышенной автоматизации подхватили другие авиапроизводители, в том числе Boeing, модернизировавший свою самую распространенную модель B737, количество авиакатастроф пошло на спад, несмотря на продолжающийся рост объемов авиаперевозок.

SSJ 100, спроектированный через 20 лет после первого А320, — одна из самых автоматизированных моделей в современной авиации; компьютеры на нем обеспечивают полную защиту от «человеческого фактора» — не дают пилотам ввести самолет в опасный крен, выйти на углы атаки, близкие к сваливанию, слишком сильно разогнать самолет или ударить машину хвостом о взлетную полосу. Пилоты SSJ 100 говорят, что самолет способен «защититься» при любой попытке ввести его в экстремальный режим полета.

Как автоматизация повлияла на пилотов?

Пилоты быстро вошли во вкус автоматических полетов: многие стали летать по принципу «взлетел — включил автопилот — вышел на прямую при посадке — выключил автопилот — выполнил посадку». К таким пилотам стали применять уничижительный термин «операторы самолета». Проблемы стали возникать в тех случаях, когда автоматическое управление — полностью или частично — было невозможным. Общее количество авиакатастроф продолжало снижаться, но выросло число инцидентов, вызванных потерей пилотами контроля за самолетом.

Проблему окончательно осознали в США и в Европе после двух катастроф в 2009 году. В феврале при посадке в Баффало разбился самолет Bombardier de Havilland Canada DHC-8 одного из подразделений крупной авиакомпании Continental Airlines; погибли 50 человек. При расследовании выяснилось, что опытный, но невыспавшийся командир корабля плохо умел управлять самолетом в ручном режиме в условиях, близких к сваливанию. В американской авиаиндустрии осознали, что пилоты повсеместно подвержены «автопилотной зависимости».

В итоге в США за несколько лет была полностью изменена система тренировки и проверки пилотов, а также правила отдыха экипажей. Теперь упор делается на тренировки ручного управления, в том числе в сложных ситуациях. Эти изменения были утверждены законом конгресса в 2010 году. Если за десять лет до катастрофы под Баффало погибли 474 пассажира американских авиакомпаний (не считая жертв терактов 11 сентября 2001 года), то после — и по сей день — всего одна женщина, которую в 2018 году убило осколком взорвавшегося двигателя; тогда самолет произвел успешную посадку, несмотря на отказ большинства систем.

В июне того же 2009 года посреди Атлантического океана упал Airbus А330 компании Air France, следовавший из Рио-де-Жанейро в Париж; погибли 228 человек. Расследование показало, что из-за обледенения датчиков скорости компьютер самолета лишился правильных показаний, из-за чего перешел из режима Normal Law в режим Alternate Law, в котором нет защиты от сваливания. В кабине находились два неопытных пилота (один из них подменял капитана, который вышел в салон). Пилоты не справились с управлением и своими действиями ввели исправный самолет в штопор; вывести его из снижения по спирали они не смогли. Катастрофа повлекла за собой изменения в подготовке пилотов в ЕС, аналогичные американским. Проведенные в то время исследования показали, что из-за слишком большого доверия к автоматизации пилоты теряют не только механические навыки ручного управления, но и способность критически оценивать ситуацию. Однако исследования и доклады регулирующих органов показывают, что проблема все еще не решена полностью даже в США и ЕС.

Как обстоят дела в России и других странах?

До России, равно как и до многих других стран, решительная борьба с «автопилотной зависимостью» пока не добралась. Вызванные этим катастрофы по-прежнему случаются регулярно: в частности, эта проблема проявила себя при крушении новейших боингов.

В марте 2019 года пилоты Boeing 737 MAX авиакомпании Ethiopian Airlines пытались бороться с вышедшим из строя компьютерным помощником — новой системой MCAS, которая призвана не допустить сваливания самолета в ручном режиме управления. Это был уже не первый случай ложного срабатывания MCAS — в октябре 2018 года из-за того, что экипаж не справился с такой же ситуацией, разбился индонезийский самолет. Boeing после катастрофы в Индонезии выпустила инструкцию по борьбе с MCAS: эта система упорно перекладывала стабилизатор на пикирование, а значит, экипажам нужно просто отключить электромотор стабилизатора и перекладывать его вручную; при этом требуется вручную управлять и прочими системами самолета. Эфиопский экипаж пытался следовать инструкции, однако забыл о других параметрах — пилоты оставили двигатели на взлетном режиме, из-за чего скорость быстро поднялась выше порога, на который рассчитан самолет. Как потом было показано, при такой скорости ручная перекладка стабилизатора невозможна.

Что известно о работе автоматики и действиях пилотов сгоревшего суперджета?

Важно. Официальное расследование катастрофы пока не завершено, предварительные данные с расшифровкой параметров полета также пока не опубликованы. Информация об обстоятельствах катастрофы появляется в основном из анонимных источников СМИ.

Управление в Direct Mode на суперджете — это не просто ручной режим, а ручной режим, лишенный помощи от компьютера, который обычно исправляет все ошибки пилотов, а также большей части систем и режимов, используемых в регулярных полетах.

По сообщению Росавиации, которое цитирует РИА «Новости» (оно же, возможно, появилось в более полном виде на одном из интернет-форумов), 5 мая суперджет «Аэрофлота» заходил на посадку при сдвиге ветра и при подходе к полосе оказался ниже глиссады (правильного угла захода). Командир увеличил обороты двигателя, из-за чего приборная скорость самолета стала выше, чем это должно было быть на этом этапе полета, — почти на 30 километров в час. Перед самой посадкой пилот совершил несколько разнонаправленных (нос вверх — нос вниз) движений джойстиком. Также экипаж не выпустил интерцепторы (в Normal Mode, к которому привыкли пилоты, они выпускаются автоматически). Все это привело к развитию «прогрессирующего козла». Перегрузки при втором и третьем ударах о полосу превысили 5g. При очередном ударе о полосу шасси пробили баки самолета, и лайнер загорелся.

Это не первый раз, когда у SSJ 100 возникают похожие сложности при посадке: самолет «закозлил» в 2011 году во время авиашоу в Ле-Бурже, тогда говорили, что во всем виноват сдвиг ветра.

Как пилотов суперджетов обучают полетам в ручном режиме?

«Предположение, что у пилотов SSJ 100 недостаточно практического опыта пилотирования в ручном режиме, не соответствует действительности», — заявили в «Аэрофлоте» после катастрофы.

Авиакомпания утверждает, что пилоты SSJ 100 проходят тренажерное обучение использованию Direct Mode при освоении самолета. Во время регулярных полетов тренировка в этом режиме просто невозможна: на него можно было сознательно переключиться только в тестовых моделях. На самолетах, которые поставляются авиакомпаниям, такой опции нет. В обычном полете самолет может переключиться в Direct Mode только при отказе всех трех бортовых компьютеров. До 5 мая о подобных ситуациях с суперджетами ничего не сообщалось. Тренировка полетов с отказом автоматизированных систем на тренажере, согласно «Руководству по производству полетов» (РПП) «Аэрофлота», производится раз в три года.

«Аэрофлот» также рассказал, что эксплуатация SSJ 100 включала «регулярную отработку полетов в ручном режиме» в том числе в Direct Mode. Однако в РПП самой авиакомпании в графике проверок на тренажерах значится, что отработка полетов при отказах автоматизированной системы управления проводится лишь каждое шестое полугодие — то есть всего лишь раз в три года. В остальные полугодовые тренировочные сессии проверяют готовность к другим отказам.

Несмотря на то что автоматизация облегчает работу пилотов и снижает нагрузку на экипаж, Росавиация рекомендует не полагаться на компьютеры и следовать международной практике. Вот как это надо делать, по мнению регулятора:

• Желание использовать высокий уровень автоматизации «там, где это не нужно» — вредно
• Пилот должен быть готов взять управление на себя на любом этапе полета
• Экипаж должен находиться в постоянной готовности отключить автопилот и, если требуется, автомат тяги, если это обусловлено быстрыми изменениями условий полета
• «Пилоты должны четко представлять, что, полагаясь постоянно на [высокие] уровни автоматизации, их базовые навыки пилотирования могут деградировать… В хороших погодных условиях, если воздушная обстановка и рабочая нагрузка невысоки, в целях поддержания навыков приветствуется ручное пилотирование»