パスワードを忘れた? アカウント作成
15412075 story
バグ

着陸直後のエアバス A330 型機でフライトコントロールコンピューターが 3 台すべて停止したトラブル、最終報告書が公開される 66

ストーリー by nagazou
公開 部門より
headless 曰く、

昨年 6 月 14 日に上海発台北行きチャイナエアライン 202 便のエアバス A330 型機で発生したインシデントについて、台湾国家運輸安全調査委員会 (TTSB) が最終報告書を公開している (ニュースリリース報告書: PDFThe Register の記事The Aviation Herald の記事)。

このインシデントでは A330 が台北松山空港の滑走路に接地した直後、3 台のフライトコントロールプライマリコンピューター (FCPC) がほぼ同時に停止している。これによりグラウンドスポイラーや逆推力装置、オートブレーキがすべて使用できなくなった。問題を認識した機長がマニュアルブレーキを適用。3 秒後には副機長にもマニュアルブレーキを要請して 2 人でブレーキペダルをフルに踏み込み、機体は滑走路終端の 30 フィート手前で停止したとのこと。

FCPC が 3 台ほぼ同時に停止した理由として、TTSB ではコマンド / モニター系統の非同期性が非常に大きくなったことを挙げている。接地時には機体の水平制御が飛行用から地上用に切り替わって非同期性が大きくなるが、これにパイロットのペダル操作が加わって 2 系統の差が閾値を超えてしまったと考えられるという。その結果、FCPC1 が最初に停止し、制御の移動した FCPC2 と FCPC3 も次々に停止したとみられる。エアバスではこの問題に対処するソフトウェア改善を行っている。

  • by Anonymous Coward on 2021年09月09日 17時26分 (#4109524)

    入力データや実装されているロジックに問題があればシステムを何重化しようともすべて落ちる、というある意味当たり前の話でしょうか?

    ここに返信
    • by Anonymous Coward

      信頼性向上のために多重化した場合、間欠的に通信しながら演算結果の一貫性を確認しあってるわけだけど、その処理に障害が出たというところですかね
      演算能力に余裕があれば改善は可能だと思いますが.....

  • by Anonymous Coward on 2021年09月09日 18時37分 (#4109588)

    接地時には機体の水平制御が飛行用から地上用に切り替わって非同期性が大きくなるが、
    これにパイロットのペダル操作が加わって 2 系統の差が閾値を超えてしまったと考えられるという。
    その結果、FCPC1 が最初に停止し、制御の移動した FCPC2 と FCPC3 も次々に停止したとみられる。

    ええと、自分の理解が正しいのかいまいち自信ないのだが、なんか

    「通常の運用の範囲内でも起きます」

    と言っているように聞こえるのだが。

    ここに返信
    • by Anonymous Coward

      なんだかなぁ
      入力値がおかしくてゼロ割トラップでHALTしたみたいな挙動と
      見分けがつかないんだが

  • 台湾の航空会社は危険 (スコア:0, フレームのもと)

    by Anonymous Coward on 2021年09月09日 17時14分 (#4109511)

    那覇空港で炎上するわ
    名古屋の空港で墜落するわ
    台湾国内でも度々墜落するわ

    危険すぎる

    ここに返信
    • by Anonymous Coward on 2021年09月09日 17時45分 (#4109539)

      名古屋の件も本件もエアバス社のソフトが原因のひとつ。
      エアバスのソフトは若干あれな気がする。と思ったけどボーイングも737MAXの機種下げとかあるか。

      • by Anonymous Coward

        姿勢情報がおかしくなる幽霊も無かったっけ。
        アップデートで見なくなったというけど、原因分かってないと次のアップデートで現れるかも。

        やはり自動が進んでもいざって時は人間がフォローできないとヤバいよな。

    • by Anonymous Coward

      エバーに乗りなさい

    • by Anonymous Coward

      俺もメーデー!のせいで中華航空は墜ちるイメージが刷り込まれた

      • by Anonymous Coward

        「華航四年大限」ですね
        でも最後の死亡事故は2002年でそれ以来20年ほど死亡事故は起きていません

      • by Anonymous Coward

        メーデー!のせいでボンバルディアの機材には乗りたくない

  • by Anonymous Coward on 2021年09月09日 17時25分 (#4109522)

    FCPC1 「FCPC2なんとかしろ」
    FCPC2 「FCPC3なんとかしろ」
    FCPC3 「機長なんとかしろ」
    機長 「チッ」

    ということか

    ここに返信
    • FCPC1 「やべ…フェイルオーバーするしかない。FCPC2なんとかしろ」
      FCPC2 「やべ…フェイルオーバーするしかない。FCPC3なんとかしろ」
      FCPC3 「やべ…フォールバックするしかない。機長、ブレーキだけでいいから」
      機長「え…わたし…フォールバック…副操縦士、お前もブレーキ踏めよ!」
      副操縦士(当たらないでよ!)

  • by Anonymous Coward on 2021年09月09日 17時41分 (#4109537)

    着陸時に特定のタイミングでペダル操作するとFCPCが落ちるということ?
    むしろよく今まで問題にならなかったな。

    ここに返信
    • Re:障害発生条件 (スコア:5, 参考になる)

      by 90 (35300) on 2021年09月09日 18時42分 (#4109592) 日記

      操作系マッピングが各種センサーの数値で決まるモードによっていろいろ切り替わるようになっていて、かつ切替タイミングが個別自主判断で、判断タイミングが一致しないと異常と判定されるようですね。今回は何らかの原因でFCPC2のみがタイヤは未接地で機体は飛行中と誤認し、既に地上滑走モードで指示しているFCPC1を観察して、飛行中マッピングに照らしてペダル踏込量と舵角が不一致になっており異常、と判断したようです。FCPC1が切り離された後もFCPC2はタイヤ接地を認めず、FCPC2と3も不一致を見て冗長性が失われ、操作モードが直接則(Direct law)モードに切り替わってスポイラーやリバーサーがロックされたと報じられています。

      どのみちモード不一致によって連鎖的に異常検知してしまうことの方が問題だからか、FCPC2のみがタイヤ未接地と誤認した原因は書かれていないですが、長期保管による劣化でタイヤ重量センサーの線が緩んでた切れてたとか、乗客が少なくて閾値に達しなかったみたいなオチはありそう。

      • by Anonymous Coward

        FCPC1(地上)とFCPC3(地上) vs FCPC2(飛行中)、の2対1で
        FCPC2が切り離されるべきだったのにFCPC1が切り離されてしまったということ?

        • by Anonymous Coward

          どこかで聞いた合議制になっているわけではなくて、FCPC1(コマンド)とFCPC2(モニタ)で判断結果が一致せず、
          FCPC2をコマンドに昇格、予備のFCPC3と比較してもやはり判断結果が一致せず、という流れっぽいね。

          • by Anonymous Coward

            狂ったやつが生き残ってしまった
            3系統積むなら1:1比較をA:B,B:C,C:Aと3つやらんと積んだ3系統目を積むだけ重量無駄じゃね
            3つやっとけばBが狂ってもA:BとB:Cが切断されてA:Cが生き残ったのに。

            • by Anonymous Coward on 2021年09月09日 21時56分 (#4109699)

              3つを比較する部分が複雑になると、3つは正常だけどジャッジする機構が狂って全部死ぬパターンも発生する

              • by Anonymous Coward

                その可能性は今回の事故の可能性より高いのかい?

              • by Anonymous Coward

                それが事前にわかるようなら苦労しないわ

              • by Anonymous Coward

                一か所壊れても他がカバーできるようにするのが目的なのに、一か所壊れたらすべてが機能しなくなるポイントを作ってしまうことのリスクを甘く見ていないかい?

        • by Anonymous Coward

          現実には0か1かで判断してるわけじゃないので多数決で決めるのは難しい。
          この場合FCPC1の決めたペダル踏込量や舵角をFCPC2は異常と判断した。
          事後で調べてその食い違いの原因が飛行モード/地上モードの違いによるものだったと判明しただけ。

  • ハードウェア3台冗長構成でも、ソフトウェアが同じだとソフトに問題があると全部止まる

    ソフトウェアも、完全に独立して製作された共用部分が無い3つのソフトウェアが必要
    仕様書部分から完全に独立した3つの制御ソフトウェアが必要

    ここに返信
    • by Anonymous Coward on 2021年09月09日 17時50分 (#4109541)

      一応3系統とも別の会社が開発したソフトウェアで動作していると聞いた記憶がありますが、流石に同一入力同一出力を保証する以上仕様書部分は同一とせざるを得ないでしょうね。

      • by Anonymous Coward on 2021年09月09日 18時31分 (#4109580)
        スペースシャトルなんかだと、5台のうち1台だけ別の実装になってたはず。
        4台同時に落ちたときのバックアップで、4台同時に落ちる状態として想定されてたものが、まさに今回の条件みたいです。
        幸い実フライトでこのバックアップが活躍することは一度もなかったらしいですけどね。
      • by Anonymous Coward

        違うソフトで同じことを同じようにやるように作った。
        んなもん無理に決まってた。
        終わりみたいな。
        それでも落ちなかったので良かった?

    •  まだRTOSが出始めたころの教科書で、センサーを冗長化して多数決とるとき3個にしがちだけど間違い、というのを読んだ記憶があるのだがあれはその著者独自の主張だったのだろうか
       ひとつが故障したら残り2個が異なる場合に故障した方に決定が偏るから、と
      #著者名覚えてないからググってもどの本かわからん……
      #なお、おじいちゃんだからセンサー3個あるの忘れて4個目を欲しがっているわけではないのじゃよ

    • 「a330 TheAvionicsHandbook」で検索すると"12 Electrical Flight Controls, From Airbus A320/330/340 to Future Military Transport Aircraft: A Family of Fault-Tolerant Systems"とかいう詳細なPDFが何だか見れるんだが…斜め読みしてみると、

      件の3系統はFCPC1つとFCSC2つで構成されている。それぞれにcommandチャンネルとmonitorチャンネルのコンピューターを載せていて、commandとmonitorが乖離すると別系統にフェイルオーバーする感じ(読み間違ってたらゴメン)。FCPCだけ自動コーディングを使ってる(多分仕様のパラメータなんかを入れるとcommand側とmonitor側のソースを吐き出すんだろう。開発中等の仕様変更にもすぐに対応できるようにしてるんだろうね。)2つのFCSCは普通に人の手でコーディングされているみたい(開発中はFCPCのみで、ある程度仕様が固まってからFCSCの方を作ってるのかな?)(12.6.3.2 Automatic programming)

      A320のシステムでは例として80186と68010を使って2つのメーカーが別々に開発してるようなことが書いてある。(12.3.1.2 Dissimilarity)だから、3系統別メーカー開発の可能性も大いにある。

      //このPDF興味深いけど基本英語苦手なんだよなぁ…読むしかないことが多いけど…

      • A330は分かりませんが、
        ボーイング777のFBWは3台の別会社のプロセッサを使用していますが、 その設計者はエアバスから引き抜いた技術者で作ったと言われているので、A330も恐らく同じようなデザインだと思われます。

        簡単な概要としては
        高機能なFBW機能を提供するPFCは3台有って、それぞれがCMD/MONIT/STBYのチャンネルがあり、
        プロセッサもINTEL80486/AMD29050/MOTOROLA68040(CH割当はランダム)を採用して、プロセッサ固有の問題を回避しています。
        つまり3台実働,3台監視,3台予備が3BOXの計9台のプロセッサを利用しています。
        これが使用できなくなるとまたACEと呼ばれる別のBOXによって、
        乗員の操縦操作が単純にそのまま反映されるDIRECT MODE(マニュアルモード)によって飛行を継続します。
        ただし、今回のA330と同様に自動機能が一切無いので乗員にとっては相当面倒くさいです。

        A320はA330より先に作られてるのと短距離路線用の小型機種なので
        操縦舵面ごとの分類でELACとSECという2つのBOXに分けた上で、それぞれCMD/MONITORの2CHで作られてるようです。
  • by Anonymous Coward on 2021年09月09日 18時26分 (#4109575)

    最後は人任せ

    ここに返信
    • by Anonymous Coward

      エアバスは最後を人に任せるようになるまでかなりゴネた印象
      パイロットのイメージと違う挙動をする機体のせいでなんぼ墜ちたやら

  • by Anonymous Coward on 2021年09月09日 20時18分 (#4109641)

    30フィート(9.14m)手前とかギリギリだな
    台北松山空港の滑走路の長さは、2605m
    日本の松山空港の滑走路の長さは、2500m(A330-300が就航可能かどうかは知らん)

    ここに返信
  • by Anonymous Coward on 2021年09月09日 20時30分 (#4109643)

    って油圧系統ってことですかね?
    さすがにブレーキブースターありだろうけど、それでも全力で踏んでぎりぎりとはあせる。

    ここに返信
    • 普通はスポイラーやスラストリバーサで減速してからブレーキのところ、ブレーキのみ・人力で止めるのはキツいでしょうね。
      なんとか止まれて良かった。

    • by Anonymous Coward

      SimにFC全滅のシナリオあったのか
      こういう状況の訓練もしていたんだろうけど
      すごいなパイロット

      • by Anonymous Coward

        こんなシナリオがあったかは知らないが、こんな状況でも判断して対応できるようになる訓練はしてるということだろうね

        まあ指示待ちとかしてるような奴じゃ務まらんとか飛行機が落ちるとかだよなあ

    • by Anonymous Coward

      いくらブレーキブースターがあっても旅客機の機体を車輪の制動力だけで止めるのは相当きついだろうね。
      がんばりすぎるとブレーキが焼け死んだりタイヤのバーストもありうるし。

      • by Anonymous Coward

        むしろタイヤがバーストしてくれた方が抵抗になったり

  • by Anonymous Coward on 2021年09月09日 21時21分 (#4109677)

    リセットボタンついてないんですかね?
    ハングしてんだからとりあえず再起動するしかないと思うんだけど。

    ここに返信
    • by Anonymous Coward on 2021年09月09日 21時42分 (#4109691)

      リセット以前に(リセットなどしていたら落ちる)強制マニュアルモード(自動補正一切無し)スイッチが必要。

      • by Anonymous Coward

        > 強制マニュアルモードスイッチ
         
        エアバスのシステムだと、そのスイッチを意図せず押してしまってという未来が...

        • by Anonymous Coward
          それで飛べなくなるならパイロットの資格ねえだろ
    • by Anonymous Coward

      破滅的状態に至るまで秒単位の猶予しかないんだからのんびり再起動なんてやってられません。

      • by Anonymous Coward

        今回はさ、ブレーキ踏んでる間に再起動で復活ってのワンチャンない?

        • by Anonymous Coward

          横からだが
          寝ろ

          • by Anonymous Coward

            普通にリセットできるぞ。知らないのにしゃしゃんなよ。

  • by Anonymous Coward on 2021年09月10日 8時55分 (#4109850)

    CA(当時は中華航空)でエアバス社製、着陸時の事故という点まで符丁する。

    ここに返信
  • by Anonymous Coward on 2021年09月10日 10時24分 (#4109918)

    FCPC1「FCPC2があるからヨシッ!」
    FCPC2「FCPC3があるからヨシッ!」
    FCPC3「機長が居るからヨシッ!」

    ここに返信
typodupeerror

人生の大半の問題はスルー力で解決する -- スルー力研究専門家

読み込み中...