Представьте, что вы летите на борту одного из самых безопасных самолётов в мире, и вдруг, без всякого предупреждения, ваш мир переворачивается. Автопилот отключается, предупреждения о «срыве с курса» и «превышении скорости» заполняют экран, а пассажиры, не успевшие пристегнуться, метаются по салону, врезаясь в потолок и друг в друга. Это не сюжет фильма, а реальная катастрофа, произошедшая с рейсом 72 авиакомпании Qantas, когда технический сбой — редкое явление, о котором никто не думал — привел к травмам 119 человек. Но что стало причиной этой аварии? И что ещё скрывает невидимая угроза, которую мы часто не замечаем, пока она не приводит к катастрофе?
7 октября 2008 года рейс 72 авиакомпании Qantas неспешно прокладывал маршрут над Индийским океаном, направляясь в Перт, когда внезапно, без какого-либо предупреждения, самолёт резко пошёл вниз. Пока пилоты пытались осознать происходящее, история повторилась — казалось, лайнер решил жить своей жизнью. Сердце Airbus A330, его центральный компьютер, дало сбой, вызвав хаос на борту.
Хотя пилотам удалось посадить самолёт, названный позже "упрямцем", травм избежать не удалось. Более ста пассажиров пострадали, причём некоторые довольно серьёзно. Вдобавок значительный ущерб был нанесён салону — словно кто-то устроил там тренировку для тяжёлой артиллерии.
Расследование показало, что корень проблемы скрывался в некорректных данных, отправленных системой Air Data/Inertial Reference Unit, которые запустили цепочку программных сбоев. В какой-то момент автопилот решил, что 10-градусное пикирование — отличный способ разнообразить полёт.
Как получилось, что "призраки кода" едва не устроили катастрофу одному из самых надёжных перевозчиков в мире? Первопричину, несмотря на усилия следователей, так и не удалось выявить. Но инцидент стал ярким примером того, как сложность современной авиации может стать источником новых, непредсказуемых рисков. Рейс 72 — не просто история о сбоях в технике, а урок о том, куда мы можем прийти, если перестанем понимать собственные технологии.
Рейс 72 авиакомпании Qantas, выполнявший регулярный маршрут из Сингапура в Перт, стал эпицентром событий, заслуживающих целого романа. На борту Airbus A330 с просторным фюзеляжем находились 303 пассажира и 12 членов экипажа. Вылетев из Сингапура в 9:32 утра, самолёт пересекал Индийский океан, спокойно устремляясь на юг. Руководили полётом опытнейшие капитан Кевин Салливан и первый помощник Питер Липсетт, каждый с более чем 10 000 часами налёта. В помощь им был второй помощник Росс Хейлс, обеспечивавший ротацию для отдыха экипажа. Около середины пути, в 12:39, Липсетт передал управление Хейлсу и отправился на заслуженный отдых.
Тем временем в сердце самолёта, где расположены системы авионики, начала разворачиваться драма. Один из трёх блоков ADIRU (блок инерциальных данных воздушного судна), а именно ADIRU 1, дал сбой. Эта система — ключевой источник данных для самолёта, предоставляющий информацию о скорости, высоте и угле атаки.
Каждый ADIRU подключён к независимым сенсорам и передаёт данные в бортовые компьютеры через 32-битные двоичные «слова». Эти слова — настоящая загадка для непосвящённых, но жизненно важный инструмент для пилотов. Они содержат 8-битную метку, объясняющую, что именно передаётся (например, высота или скорость), идентификатор источника, фактические данные, индикатор достоверности и контрольный бит. Последний служит своеобразным сторожевым псом, отбрасывая некорректные данные, если те не проходят проверку.
Однако, как оказалось, даже такой сложный механизм может подвести. ADIRU 1 внезапно начал посылать не ту информацию, запуская череду проблем, которые пилотам предстояло разрулить.
Как только произошёл сбой, ADIRU 1 начал отправлять на бортовые компьютеры искажённые данные, которые становились базой для следующих расчётов, создавая эффект снежного кома. Это касалось как ключевых параметров, так и отчётов о состоянии систем, что усложняло диагностику. Причиной могла быть ошибка процессора при чтении значений из оперативной памяти. Встроенные механизмы проверки данных оказались бесполезными, поскольку повреждение происходило после их валидации, а взаимосвязанные параметры, такие как угол атаки, скорость и угол тангажа, были искажены одновременно, делая дальнейшие проверки бессмысленными.
Бортовой компьютер, получая данные от всех трёх ADIRU, регулярно сравнивал их значения и вычислял медиану, отбрасывая любые данные, которые стабильно отклонялись от неё. Однако скрытый изъян в системе допускал ошибки. Если всплеск некорректных данных исчезал в течение односекундного интервала сравнения, а затем возвращался спустя 0,2 секунды, компьютер ошибочно считал эти данные корректными, используя их для расчётов в течение 1,2 секунды. В итоге некорректные значения AOA и путевой скорости, проходя через все уровни проверки, воспринимались как достоверные, влияя на дальнейшие расчёты и работу систем управления самолётом.
В кабине пилотов последствия сбоя проявились молниеносно. Автопилот отключился, не справившись с противоречивыми данными от трёх ADIRU, и капитан Салливан взял управление на себя. Следом на экране центральной консоли вспыхнул шквал предупреждений: сообщения о неисправностях, противоречивые сигналы о «срыве с курса» и «превышении скорости» путались между собой. Показания скорости и высоты на дисплее капитана начали хаотично скакать, а индикаторы неисправности ADIRU 1 добавляли хаоса.
Салливан отключил автопилот, перешёл на ручное управление с использованием резервных приборов и вызвал Липсетта в кабину. Но прежде чем тот появился, ситуация ухудшилась. Ошибочные данные ADIRU 1 активировали системы защиты Airbus, предназначенные предотвращать опасные манёвры, однако они сработали некорректно. Система защиты от превышения угла атаки и система компенсации крена вверх одновременно подали команды на максимальное отклонение руля высоты вниз — 4 и 6 градусов соответственно. В итоге руль высоты внезапно отклонился вниз на 10 градусов, что привело к резкому снижению самолёта, несмотря на то, что его полёт оставался стабильным.
Команда «снизить нос на 10 градусов» во время крейсерского полёта обернулась резким пике, превратившим салон в хаос. Пассажиров, не пристёгнутых ремнями безопасности, в считаные секунды подбросило к потолку, многие ударились о багажные отсеки. Более 60 человек, включая членов экипажа и тех, кто находился в проходах или направлялся в туалет, испытали силу отрицательной перегрузки, буквально сбившую их с ног. Чемоданы и рюкзаки высыпались из открывшихся отсеков, напитки и еда разлетелись по салону, а ноутбуки и книги добавили неразберихи, превращая самолёт в неконтролируемую зону турбулентности.
В кабине пилотов, где отрицательная перегрузка удерживала их в креслах только поясными ремнями, капитан Салливан пытался поднять нос самолёта, но автоматические системы не реагировали. Лишь после того, как всплеск некорректных данных прекратился, управление вернулось, и самолёт начал выравниваться. Ослабление перегрузки вернуло людей из потолка обратно на пол, вызвав множество травм — переломы, сотрясения и порезы. Пассажиры и экипаж, всё ещё в шоке, пытались справиться с хаосом. Салливан и Хейлз, занявшись устранением неисправностей, столкнулись с повторным всплеском данных, вызвавшим ещё одно, хоть и менее крутое, пикирование. На этот раз большинство пассажиров были пристёгнуты, но травмы у раненых усугубились. Несмотря на неисправное оборудование и шквал предупреждений, экипаж принял решение совершить экстренную посадку в Лирмонте. Салливан объявил «бедствие», запросив медицинскую помощь на земле. Управляя самолётом вручную и игнорируя ложные сигналы, пилоты благополучно приземлились в 13:32, положив конец драматичному полёту.
В результате происшествия травмы получили по меньшей мере 119 из 315 человек на борту, из них 12 — тяжёлые. Интерьер самолёта был разрушен: разбиты потолочные панели, повреждены багажные отсеки и оборудование для обслуживания пассажиров, пол был усыпан мусором, едой и пролитой кровью. Хотя никто не погиб, травмы некоторых пассажиров останутся с ними на всю жизнь. Всё это произошло из-за загадочной ошибки в системе. Расследование выявило, что подобные сбои уже случались: в 2006 и 2008 годах другие рейсы Qantas у берегов Западной Австралии столкнулись с аналогичными проблемами в ADIRU. В двух из трёх случаев был задействован один и тот же блок ADIRU, но причинно-следственной связи с регионом установить не удалось, несмотря на многочисленные теории и призывы запретить полёты над этим районом.
ATSB так и не смог окончательно определить причину, по которой ADIRU начал отправлять ложные данные. Единственной рабочей гипотезой остался эффект единичного события (SEE), когда высокоэнергетическая космическая частица, например нейтрон, меняет бит данных в памяти с единицы на ноль или наоборот. Если сбой произошёл в критически важном участке памяти процессора ADIRU, это могло запустить цепь событий. Хотя прямых доказательств этой теории не нашлось, факт, что сбои произошли в процессорах ADIRU с близкими серийными номерами, вызвал подозрения о возможном аппаратном дефекте в этой партии процессоров, делавшем их более уязвимыми.
Опасность сбоя ADIRU заключалась не только в его возникновении, но и в том, что неверные данные смогли пройти через множество уровней проверок, не будучи отклонёнными. Если бы всплески данных были помечены как недействительные на каком-то этапе, это не привело бы к угрозе безопасности полёта. Однако, новый режим сбоя позволил неверным данным пройти через системы фильтрации, заставив компьютер считать их действительными. Хотя ADIRU отсеивал 93,5% неверных данных до их обработки компьютером, этого было недостаточно для предотвращения серьёзных последствий. В целом, несмотря на эти инциденты, модель ADIRU оставалась достаточно безопасной, с крайне низким уровнем вероятности сбоя — всего три случая за 128 миллионов часов эксплуатации.
Последним аспектом расследования ATSB стал вопрос использования ремней безопасности среди пассажиров. Во время катастрофы непристёгнутые пассажиры, оказавшись в полёте с высокой перегрузкой, не только получили травмы, но и нанесли ущерб другим пассажирам, которые были пристёгнуты. Хотя несколько факторов могли объяснить редкое использование ремней безопасности, универсальной причины для этого не выявили. Проблема заключалась в том, что авиакомпании не могут заставить людей пристегиваться, когда сигнал «Пристегните ремни» не горит. Постоянное включение знака «Пристегните ремни» оказалось непрактичным, так как пассажиры начинали его игнорировать. Исследователи пришли к выводу, что для решения этой проблемы требуется провести дополнительные исследования, чтобы определить наилучшие методы для обеспечения безопасности в этом вопросе.
В своём окончательном отчете ATSB указала, что расследование инцидента рейса 72 было чрезвычайно сложным и затронуло новые аспекты, которые ранее не становились предметом расследований авиационных происшествий. Авторы отчета подчеркнули, что такие происшествия, как этот, могут стать всё более распространёнными в условиях растущей сложности авиасистем. Через несколько дней после катастрофы Airbus разослал всем операторам A330 бюллетень с инструкцией для пилотов: в случае неисправности «NAV IR» необходимо немедленно отключать повреждённый ADIRU. Это могло бы предотвратить аналогичный инцидент на рейсе 71 Qantas, где пилоты отключили неисправный блок только через 28 секунд. Регулирующие органы по всему миру сделали этот совет официальным правилом, а Airbus пересмотрел логику бортового компьютера для проверки данных AOA, устранив возможность пропуска синхронизированных всплесков данных. Компания также улучшила методы тестирования программного обеспечения для учёта подобных всплесков, что ранее не было предусмотрено.
После катастрофы с рейсом 72 Qantas ATSB столкнулась с новой задачей: как можно было предсказать такие события в будущем? Особенно учитывая редкость таких сбоев, которые были связаны с эффектом единичного события (SEE) или другими источниками некорректных данных, что сделало их трудно предсказуемыми. Однако расследование привело к важным выводам относительно уязвимости бортовых компьютеров, которые могут быть подвержены программным ошибкам или иным сбоям.
Одним из способов уменьшения таких рисков было устранение ошибок в программном обеспечении на этапе проектирования. После инцидента Европейское агентство по авиационной безопасности потребовало от производителей более тщательно учитывать такие уязвимости, что сделало бы их продукцию менее уязвимой. В США, на тот момент, Федеральное управление гражданской авиации продолжало изучать, как лучше всего решать подобные проблемы.
Рейс 72 Qantas стал первым случаем, когда была подробно исследована серьёзная программная ошибка такого рода, что подчеркивает важность не только технической надежности, но и правильного обучения и подготовки экипажа. Вдобавок, события на борту рейса 72 стали напоминанием о том, как важно всегда пристёгивать ремень безопасности, особенно в условиях потенциальных сбоев системы, которые могут привести к неожиданным и опасным последствиям.