Tầm quan trọng của từng milimét: Câu chuyện về chuyến bay Qantas 32
(medium.com/@admiralcloudberg)- Ngày 4/11/2010, chuyến bay Qantas Airbus A380 số 32 bị vỡ đĩa turbine động cơ số 2 ngay sau khi cất cánh từ Singapore, khiến cánh, thân máy bay, hệ thống thủy lực, điện, nhiên liệu và phanh đồng thời bị hư hại, nhưng toàn bộ 469 người trên máy bay đều sống sót
- Sự cố bắt nguồn từ ống nhánh cấp dầu bên trong Rolls-Royce Trent 900; trong quá trình chế tạo, lỗ doa đối trọng bị lệch khoảng 0,5 mm, làm độ dày thành ống một bên mỏng chỉ còn 0,35 mm, dẫn đến mỏi kim loại và rò rỉ dầu
- Dầu áp suất cao bị rò rỉ bốc cháy trong khu vực khoảng 365–375°C, ngọn lửa cắt đứt tay dẫn động đĩa turbine IP, khiến đĩa vượt tốc độ tới hạn trong vòng 4 giây và vỡ thành nhiều mảnh
- Trong buồng lái, 34 cảnh báo dồn dập xuất hiện trong 20 giây, mất 55 phút để xử lý các quy trình ECAM; các phi công đã hạ cánh trong tình trạng rò rỉ nhiên liệu, mất 65% khả năng điều khiển lăn, vượt quá trọng lượng hạ cánh tối đa và suy giảm phanh, dừng lại trên đường băng 4.000 m khi chỉ còn 150 m
- Sau đó là kiểm tra toàn bộ ống nhánh của Trent 900, bổ sung bảo vệ quá tốc turbine IP, loại bỏ các hub ổ trục HP/IP, cải tiến quy trình sản xuất và chất lượng của Rolls-Royce, chỉnh sửa phần mềm tính hiệu năng hạ cánh của Airbus; A380 tiếp tục duy trì hồ sơ vận hành không có tai nạn gây thương tích cho hành khách
Hỏng hóc phức hợp ập xuống A380 ngay sau khi cất cánh
- Ngày 4/11/2010, Qantas 32 là chuyến bay Airbus A380 từ London đến Sydney, ghé trung chuyển tại Singapore rồi tiếp tục đi Sydney
- Số đăng ký máy bay là VH-OQA, biệt danh Nancy-Bird Walton
- Trên máy bay có 440 hành khách và 29 thành viên phi hành đoàn, tổng cộng 469 người
- Trong buồng lái có 5 người: cơ trưởng Richard Champion de Crespigny, cơ phó Matt Hicks, Second Officer Mark Johnson, Check Captain Harry Wubben và Senior Check Captain David Evans
- Tổng kinh nghiệm nghề nghiệp của tổ lái là 140 năm, với 71.000 giờ bay
- Khoảng 4 phút sau khi cất cánh từ Singapore lúc 9:56 sáng, khi đang qua độ cao 7.000 feet, một hỏng hóc nghiêm trọng xảy ra ở động cơ số 2
- Phi công và hành khách nghe thấy hai tiếng nổ cách nhau rất ngắn
- Máy bay hơi yaw sang trái và hệ thống tự động lực đẩy bị ngắt
- Cơ trưởng nhấn altitude hold của autopilot để giữ máy bay bay bằng
- ECAM trước tiên hiển thị cảnh báo ENG 2 TURBINE OVERHEAT, sau đó trong 20 giây có thêm 34 thông báo
- Động cơ bị hư hại đã mất đĩa turbine IP và cấu trúc xung quanh, nhưng vẫn đang quay nên không lập tức chỉ hiện là hỏng hoàn toàn
- Khi các phi công giảm công suất động cơ số 2, cảnh báo ENG 2 FIRE xuất hiện trong chốc lát rồi biến mất
- Sau đó thông báo ENG 2 FAIL xuất hiện và họ quyết định tắt động cơ
- Trong hai bình chữa cháy của động cơ số 2, chỉ một bình thực sự hoạt động và đèn xác nhận không sáng
Quá trình rò rỉ dầu bên trong Trent 900 lan thành vỡ đĩa turbine
- Rolls-Royce Trent 900 của Airbus A380 là động cơ turbofan bypass cao, gồm quạt, máy nén, buồng đốt và turbine
- Trent 900 có các hệ thống LP, IP và HP; turbine HP và IP gồm các đĩa turbine một tầng ở phía sau
- Hub ổ trục HP/IP đỡ trục quay, còn khoang ổ trục bên trong được cấp dầu áp suất để chống mài mòn
- Bộ phận gặp sự cố là oil feed stub pipe, ống đưa dầu vào khoang ổ trục
- Ống này là một đoạn cố định ngắn đi qua buffer space giữa inner section và outer section của hub ổ trục HP/IP
- Vào thời điểm tai nạn, bên trong động cơ số 2, ống bị nứt và dầu áp suất cao phun vào buffer space
- Nhiệt độ buffer space được ước tính khoảng 365–375°C, vượt quá nhiệt độ tự bốc cháy 280°C của dầu động cơ
- Dầu phun ra lập tức bốc cháy
- Khi đám cháy làm hỏng triple seal phía trước, không khí áp suất cao từ annulus gas path bị hút vào buffer space
- Dòng không khí đi vào đẩy ngọn lửa về phía sau, chạm trực tiếp vào drive arm của đĩa turbine IP
- Drive arm của đĩa turbine IP là bộ phận chịu ứng suất lớn ngay cả khi vận hành bình thường, và không chịu được nhiệt độ cao nên bị hỏng trong vài giây
- Từ lúc bắt đầu rò rỉ dầu đến khi drive arm gãy ngắn hơn rất nhiều so với 1 phút
- Khi drive arm bị đứt, đĩa turbine IP không còn nối với trục nhưng vẫn tiếp tục nhận năng lượng từ annulus gas path
- Trong vòng 4 giây, đĩa vượt quá tốc độ tới hạn, lực ly tâm vượt giới hạn của đĩa hợp kim nickel và khiến nó vỡ thành nhiều mảnh
- Các mảnh đĩa turbine xuyên thủng vỏ động cơ và cowling, làm hư hại máy bay theo nhiều hướng
- Một mảnh rơi xuống dưới, phá hỏng tường một tòa nhà trên đảo Batam, nhưng không có người dưới mặt đất bị thương
- Một mảnh khác xuyên qua phần bụng thân máy bay và bó dây điện
- Hai mảnh đi qua bên trong cánh trái rồi thoát ra trên mặt trên cánh
- Các mảnh nhỏ cũng gây thêm hư hại ở nhiều vị trí trên cánh và thân máy bay
Buồng lái tính toán khả năng hạ cánh giữa cơn bão cảnh báo
- Mảnh vỡ đĩa turbine gây hư hại thứ cấp trên diện rộng cho các hệ thống chính của máy bay
- Thùng nhiên liệu cánh trái bị rò rỉ
- Cơ cấu vận hành leading edge slat bị hư hại
- Hai wire loom ở wing leading edge và belly area bị cắt đứt hoàn toàn, ảnh hưởng khoảng 650 dây điện
- Mất điều khiển green hydraulic pump, suy giảm yellow hydraulic system, mất nguồn AC của động cơ 1 và 2, mất toàn bộ chức năng slat, mất một phần chức năng spoiler và aileron
- Phanh landing gear ở cánh trái và một phần chức năng anti-skid của phanh wing gear bên phải cũng bị hư hại
- A380 dùng hai hệ thống thủy lực green và yellow, nhưng mỗi bề mặt điều khiển bay có actuator thủy lực dự phòng độc lập nên hạn chế việc mất khả năng điều khiển
- Do hư hại trực tiếp và mất green hydraulic pressure, khả năng điều khiển lăn giảm khoảng 65%
- Chỉ với các spoiler và aileron còn lại, máy bay vẫn có thể được điều khiển
- Các phi công đánh giá máy bay vẫn điều khiển được khi autopilot bật hoặc tắt
- Phi hành đoàn quyết định không hạ cánh ngay mà xử lý các quy trình ECAM và nắm trạng thái máy bay
- Họ yêu cầu ATC cho vào holding pattern và bay vòng trên biển phía đông bắc Singapore
- Hoàn tất các hành động ECAM mất 55 phút, vượt xa phạm vi các phi công dự kiến
- Second Officer Mark Johnson đi kiểm tra tình hình khoang hành khách, xác nhận qua hình ảnh tail camera và quan sát trực tiếp rằng có rò rỉ nhiên liệu ở cánh trái và một lỗ lớn trên mặt trên cánh
- Các phi công cho rằng nếu tắt feed tail camera, hành khách có thể còn bất an hơn nên vẫn giữ
- Tình hình nhiên liệu khiến quyết định hạ cánh khó hơn
- Nhiên liệu rò rỉ từ thùng cánh trái, làm mất cân bằng nhiên liệu trái-phải ngày càng lớn
- ECAM chỉ thị mở fuel transfer valve để cân bằng, nhưng các phi công không làm theo vì cân nhắc việc rò rỉ và cảnh báo hư hại fuel transfer system
- Fuel jettison system cũng không hoạt động, khiến máy bay nặng hơn trọng lượng hạ cánh tối đa hơn 40 tấn
- Phương án bay lâu để đốt bớt nhiên liệu được đánh giá là không phù hợp vì mất cân bằng nhiên liệu và mất 65% điều khiển lăn
- Phần mềm tính hiệu năng hạ cánh của Airbus ban đầu trả về no result
- Phần mềm áp dụng lặp lại operational coefficient, vốn phản ánh một cách bảo thủ sự khác biệt về kỹ thuật điều khiển, cho từng hỏng hóc; vì có nhiều hỏng hóc nên hệ số bị áp dụng tổng cộng 9 lần
- Check Captain Evans nhập thủ công trọng lượng hạ cánh thực tế để vượt qua giả định trọng lượng hạ cánh tối đa
- Trong trường hợp này, logic phần mềm chỉ áp dụng operational coefficient một lần, cho kết quả có thể hạ cánh trên đường băng 4.000 m của sân bay Changi Singapore với khoảng 100 m dự trữ
Cháy và rủi ro sơ tán vẫn còn sau khi hạ cánh
- Cơ trưởng căn thẳng với đường băng từ xa hơn bình thường để giảm gánh nặng điều khiển
- Cảm giác điều khiển ì hơn do điều khiển lăn bị suy giảm
- Trong quá trình tiếp cận, họ lặp lại các kiểm tra điều khiển thủ công để xác nhận đặc tính điều khiển vẫn được duy trì sau khi bung flap
- Động cơ 1 và 4 được giữ ở lực đẩy cố định, và họ quyết định chỉ dùng động cơ 3, vốn ít bị ảnh hưởng hơn, để điều chỉnh tốc độ
- Do hỏng green hydraulic system, landing gear không bung ra dù đã hạ landing gear lever; các phi công dùng hệ thống dự phòng thả càng bằng trọng lực
- Hệ thống dự phòng hoạt động thành công
- Cơ trưởng phải duy trì trong một khoảng rất hẹp giữa tốc độ có nguy cơ stall và tốc độ có nguy cơ vượt quá đường băng sau khi hạ cánh
- de Crespigny nhớ lại rằng dải tốc độ an toàn chỉ khoảng 3–4 knot
- Có lúc low energy alert xuất hiện, nhưng cảnh báo biến mất khi tăng nhẹ công suất động cơ 3
- Qantas 32 hạ cánh xuống runway 20C của sân bay Changi lúc 11:46 sáng
- Ngay trước touchdown, stall warning vang lên trong chốc lát
- Các phi công dùng phần phanh còn lại và reverser của động cơ 3, thuộc reverse thrust chỉ có trên inboard engine của A380
- Máy bay dừng lại khi còn 150 m trên đường băng 4.000 m
- Sau khi dừng, cháy và vấn đề liên lạc vẫn tiếp diễn
- Phanh left body gear chịu tải lớn khi hạ cánh, bị quá nhiệt và 4 lốp bị xì hơi
- Nhiên liệu vẫn tiếp tục rò rỉ; nếu tiếp xúc với phanh nóng có thể gây cháy
- Khi tắt động cơ 3 và 4, máy bay mất điện; APU không kết nối được với hệ thống điện do hư hại hạ tầng phân phối điện
- Họ phải tìm một VHF radio có thể hoạt động chỉ bằng nguồn điện khẩn cấp để liên lạc với đội cứu hỏa
- Động cơ số 1 không tắt được bằng quy trình bình thường
- Do hư hại hệ thống cánh, fuel shutoff valve của động cơ số 1 không hoạt động
- Bình chữa cháy của động cơ số 1 cũng không hoạt động, nên không thể tắt bằng fire handle
- Đội cứu hỏa phun foam lên phanh để ngăn cháy, đồng thời tránh cửa hút và cửa xả động cơ
- Sau đó các kỹ sư Qantas chọn cách dùng foam chữa cháy làm động cơ ngạt; động cơ số 1 dừng lúc 14:53, hơn 3 giờ sau khi hạ cánh
- Việc sơ tán hành khách không được tiến hành ngay bằng cầu trượt khẩn cấp
- Có thống kê rằng 5–10% hành khách có thể bị thương nặng khi sơ tán bằng cầu trượt khẩn cấp, và trên máy bay cũng có người cao tuổi và người khuyết tật
- Khi nguy cơ cháy đã giảm, các phi công đánh giá ở trong cabin an toàn hơn
- Trong lúc điều hòa tắt do mất điện, cầu thang đến sau 50 phút; toàn bộ hành khách rời máy bay qua một cửa duy nhất trong khoảng 1 giờ
- Không một ai trong 440 hành khách bị thương
Lỗi chế tạo 0,5 mm và những thay đổi sau tai nạn
- Nguyên nhân trực tiếp của tai nạn là lỗi khiến một bên thành oil feed stub pipe quá mỏng
- Ống của động cơ gặp nạn bị hỏng do mỏi kim loại sau 677 chuyến bay
- Ở đầu dưới của ống có counter bore để lắp bộ lọc, và counter bore này lệch khỏi tâm khoảng 0,5 mm
- Độ dày thành ống không đồng đều: một bên 1,42 mm, bên đối diện 0,35 mm
- Thay đổi trong quy trình sản xuất đã phá vỡ bảo đảm căn chỉnh
- Thiết kế ban đầu căn chỉnh stub pipe và counter bore theo datum AA, là tâm của outer clearance hole, để bảo đảm độ dày thành ống đủ
- Ở giai đoạn sản xuất, vì khó tìm datum AA sau khi lắp stub pipe, chuẩn tham chiếu của counter bore được đổi sang datum M, là tâm của inner hub counter bore
- Vị trí của chính stub pipe vẫn gắn với datum AA, nhưng không có bảo đảm trực tiếp rằng datum M căn thẳng với datum AA
- Nếu hub dịch chuyển rất nhỏ trong quá trình kẹp lại, vị trí timing pin mà máy ghi nhớ sẽ lệch với vị trí thực tế; inner hub counter bore và stub pipe counter bore cũng lệch tương ứng
- Quy trình kiểm tra và phê duyệt cũng không lọc được lỗi
- Độ dày thành stub pipe không được quy định riêng, mà được bảo đảm gián tiếp thông qua căn chỉnh
- Kiểm tra OP 230 chỉ đo stub pipe counter bore theo datum M, nên không phát hiện được độ lệch so với chính ống
- Kiểm tra OP 70 đo interference bore theo datum M và có khả năng phát hiện bất thường, nhưng cấu trúc khiến nhân viên kiểm tra khó nhận ra khác biệt giữa bản vẽ chế tạo và chuẩn đo CMM
- Hồ sơ CMM của hub gặp nạn không được lưu, nên không thể xác nhận liệu đã có cảnh báo thực tế hay chưa
- Trong quá trình thay đổi chuẩn sản xuất năm 2009, một số counter bore bị lệch đã được xác nhận, nhưng retrospective concession được phê duyệt cho khoảng 100 linh kiện
- Phân tích thống kê được thực hiện dựa trên giá trị đo của 9 hub, ước tính non-conformance tối đa là Ø 0,7 mm
- Phân tích này có độ bất định lớn vì số lượng dữ liệu ít và không có bảo đảm rằng nó đại diện cho sản phẩm đã sản xuất trước đó
- Báo cáo không truyền đạt rõ mức bất định, và Non-Conformance Authority xem là không có ảnh hưởng an toàn nên phê duyệt
- Theo quy trình nội bộ của Rolls-Royce, retrospective concession cũng cần chữ ký của Business Quality Director và Chief Engineer, nhưng phê duyệt này không có các chữ ký đó
- Sau tai nạn là kiểm tra toàn bộ và thay đổi chế độ/quy trình
- Khi đo các HP/IP bearing oil feed stub pipe đang vận hành, nhiều ống vượt quá dung sai Ø 0,20 mm, và một số có độ lệch còn lớn hơn ống gặp nạn
- Hai ống được phát hiện có mức non-conformance khoảng Ø 1,2 mm
- Qantas tạm dừng khai thác đội bay A380 từ ngày 4/11 đến 27/11/2010
- European Aviation Safety Agency bắt buộc kiểm tra Trent 900 oil feed stub pipe
- Rolls-Royce phát triển bảo vệ quá tốc IP turbine, còn Airbus phát hành mandatory service bulletin yêu cầu lắp đặt trên tất cả A380 trong vòng 10 chuyến bay
- Toàn bộ HP/IP bearing hub sản xuất giai đoạn đầu và các hub có độ dày thành stub pipe dưới 0,7 mm bị loại khỏi khai thác
- Rolls-Royce sửa đổi quy trình trao đổi design intent giữa kỹ sư sản xuất và thiết kế, đồng thời chấm dứt thông lệ retrospective concession
- Airbus chỉnh sửa phần mềm hiệu năng hạ cánh để dự đoán hiệu năng thực tế chính xác hơn ở mọi trọng lượng hạ cánh
- Máy bay được sửa chữa trong 535 ngày với chi phí 139 triệu USD, và VH-OQA Nancy-Bird Walton bay trở lại vào năm 2012
- Đây là tai nạn cho thấy một sai lệch dưới 0,5 mm cũng có thể làm hư hại nghiêm trọng máy bay chở khách lớn nhất thế giới
- Đồng thời, sự kết hợp giữa fly-by-wire của A380, thủy lực dự phòng cho bề mặt điều khiển, ECAM, thiết kế dự phòng, phán đoán và tinh thần phối hợp của phi hành đoàn đã kết thúc sự cố mà không có ai trên máy bay bị thương
1 bình luận
Ý kiến trên Hacker News
Mỗi lần đọc chuỗi chi tiết của sự cố trong các báo cáo phân tích hậu sự cố hàng không, tôi lại mỉm cười
Việc có thể lần ngược đến tận một linh kiện lỗi đơn lẻ, rồi truy vết lịch sử và môi trường của linh kiện đó cho đến khi nó được đưa vào vận hành, cho thấy sự vững chắc của ngành hàng không
Sai sót là điều tất yếu, và tôi cho rằng sự vững chắc liên quan nhiều hơn đến cách ứng phó hơn là số lượng sai sót
Với tư cách một người làm SRE tại FAANG và xử lý độ tin cậy, ngành hàng không luôn khiến tôi kính nể, và tôi hy vọng một ngày nào đó ngành phần mềm/công nghệ cũng đạt đến mức này
Cũng xin dành lời khen lớn cho tác giả Kyra Dempsey. Nội dung nặng về kỹ thuật nhưng được viết thật sự rất dễ đọc
Các thảm họa Fukushima và Deepwater Horizon đều là thất bại kiểu khóa kéo, cho thấy còn thiếu tư duy “nếu X hỏng thì tiếp theo là gì?”
Điều quan trọng ở đây là “khi X hỏng” chứ không phải “nếu X có thể hỏng”. Đó là một cách nghĩ khác
Trong khi trên HN, người ta muốn có phân tích hậu sự cố cho sự cố đám mây chỉ trong vài giờ
Ở đó có văn hóa hướng đến cải thiện hơn là chỉ đi tìm thủ phạm
Tuy vậy, theo những gì tôi nghe từ người trong ngành, tính toàn vẹn của chuỗi cung ứng là một vấn đề đang bị đánh giá thấp
Có người đã bị phát hiện dùng thủ đoạn tinh vi để bán linh kiện máy bay giả, và còn có thêm các nhà cung cấp đáng ngờ khác, khiến tôi thấy bất an
“Safran confirmed the fraudulent documentation, launching an investigation that found thousands of parts across at least 126 CFM56 engines were sold without a legitimate airworthiness certificate.”
https://www.businessinsider.com/scammer-fooled-us-airlines-b...
Với bất kỳ thợ cơ khí hay người phụ trách đo lường sản xuất có năng lực ở mức nào đó, sai số đồng tâm 0,5 mm trên một linh kiện cỡ đó về cơ bản chẳng khác gì 0,5 dặm
Đó là một lỗi khổng lồ có thể thấy bằng mắt thường, không phải mức có thể phát sinh từ dao động bình thường, mà là dấu hiệu rõ ràng cho thấy thiết lập có vấn đề nghiêm trọng
Trên bản vẽ thiết kế, dung sai lỗ khoan là Ø 0,05 mm, nhưng trong bản vẽ sản xuất nó bị đổi thành Ø 0,5 mm mà không có giải thích; còn độ không phù hợp của hub gặp sự cố là Ø 0,90~0,98, tức lệch 0,45~0,49 mm, nên thiết bị lẽ ra phải hiển thị điều đó
Do hồ sơ CMM không được lưu giữ, điều tra viên không thể xác nhận liệu lỗi đó có thật sự được ghi nhận hay không
Nếu không biết hiện trường gia công cơ khí thì có thể khó cảm nhận hết ý nghĩa, nhưng nếu có kinh nghiệm thì điều này rất rõ ràng. Nhiều người trong nhà máy đó hẳn đã biết họ đang giao linh kiện ngoài quy cách
Bất kỳ ai từng chạm vào linh kiện đó cũng có thể nhìn ra ngay counterbore bị lệch tâm nghiêm trọng, nhưng thay vì làm lại hoặc tìm nguyên nhân, họ chỉ kiểm tra chất lượng một cách hình thức rồi xuất xưởng, thao túng tài liệu và vứt bỏ bằng chứng
Phân tích thì phức tạp, nhưng nguyên nhân gốc rễ rất đơn giản: sự cẩu thả trắng trợn và hành vi lừa dối trắng trợn che đậy nó
Nếu vậy thì nảy sinh câu hỏi: “Tại sao lại gia công hoàn thiện sau khi hàn ống vào đúng vị trí?”
Có thể gia công khi nó đã gắn với hub thì dễ hơn hoặc nhanh hơn
Ngoài ra chẳng phải phải lắp bộ lọc dầu vào đó sao? Nếu counterbore bị lệch, bộ lọc dầu không bị vướng à?
Tôi cứ tưởng khi chế tạo turbine thì người ta sẽ cẩn thận hơn
30 năm trước, tôi từng phải hạ cánh khẩn cấp vì hỏng động cơ
Phi hành đoàn yêu cầu chúng tôi cởi giày, tập tư thế chống va chạm, và thay đổi chỗ ngồi của hành khách; điều gây ấn tượng nhất là mọi người đều làm theo chỉ dẫn
Không có ai tỏ ra cái tôi quá lớn, và mọi người đều hiểu vì sao tiếp viên có mặt trên chuyến bay, cũng như họ quan trọng thế nào đối với sự sống còn
Việc sơ tán diễn ra trật tự, nhưng xử lý sau đó thì kéo dài. Ví dụ, toàn bộ hộ chiếu đều bị bỏ lại trên máy bay
Gần đây tôi thấy ảnh người ta mang hành lý trượt xuống máng thoát hiểm; trông cực kỳ nguy hiểm vì vừa nguy hiểm ngay trên máng trượt, vừa làm chậm tốc độ sơ tán
Lần của chúng tôi không có lửa trong khoang, nhưng tôi tự hỏi nếu có thì sẽ ra sao
Và cái khuôn mẫu truyền thông chĩa máy quay vào để ghi hình những khuôn mặt hoảng sợ — chuyện đó thật sự đã xảy ra
Không hành lý, không giày, chỉ đi với chính bản thân mình
Nhưng đôi khi người ta phớt lờ, và vì thế mọi người thật sự có thể bị thương
Dù vậy, nghĩ đến cách con người hành xử trong các tình huống khác, việc có nhiều người làm theo chỉ dẫn đến mức đó cũng đã đáng kinh ngạc rồi
Khi rời khỏi máy bay, chúng ta thường hành động theo kiểu “lấy hết đồ của mình”
Vì vậy, dù đã từng nghe rồi, việc nghe hướng dẫn an toàn vẫn rất quan trọng. Sự luyện tập lặp lại giúp ta nhớ cần làm gì ngay cả khi có thêm áp lực
Có phải cứ ngồi chờ hành lý và đồ cá nhân được đưa xuống, rồi sau đó chờ chuyến bay khác không?
Nhìn những cảnh như thế thật sự khiến tôi nổi giận
Công việc đầu tiên của tôi là ở một MRO chuyên đại tu các động cơ nhỏ hơn Trent 900 một chút, nhưng nguyên lý thì giống nhau
Tôi đã làm phần mềm đảm bảo chất lượng để số hóa các quy trình biểu mẫu và chữ ký tương tự như phần trong bài nói là không được ký đúng cách
Những kỹ sư sửa chữa ăn trưa cùng tôi có một kho kiến thức rất sâu về động cơ, và chỉ một chủ đề cũng có thể kéo dài hết giờ trưa rồi tiếp tục thành các cuộc trò chuyện qua nhiều tuần
Một đoạn trong bài chạm đúng vào những điểm rất tinh vi như thiếu chữ ký, kỹ sư không biết quy trình, v.v. Tôi cho rằng phần chỉ trích Rolls-Royce ở đây là hợp lý
Quản lý đảm bảo chất lượng ở MRO nơi tôi làm giống như một thảm họa thiên nhiên: đáng sợ và không thỏa hiệp
Đồng thời, đó cũng là người có chữ ký đủ sức khiến một động cơ phải dừng hoạt động khi đang bay, và đến giờ tôi vẫn kính trọng ông ấy
Những vấn đề nhỏ như thế xảy ra hằng ngày trên mọi mẫu động cơ khắp thế giới. Ngay lúc này, hàng nghìn động cơ đang bay vẫn có những lỗi nhỏ có thể gây dừng động cơ
Một số vấn đề được xác định và được chấp thuận là rủi ro thấp, để lại kiểm tra trong lần đại tu tiếp theo
Khi một kỹ sư đã nhiều lần thấy cùng một lỗi, đường ống nứt sớm, tích tụ carbon, ăn mòn bất thường, rồi đưa tài liệu lên, tài liệu đó sẽ được chuyển lên cấp trên và nằm đó
Nó có thể bị bỏ qua, được dùng làm tham khảo cho thiết kế kế tiếp, được phân loại là cần sửa, được đưa vào diện theo dõi, hoặc tăng tần suất theo dõi
Tuổi thọ linh kiện có thể bị giảm, hoặc bị bắt buộc kiểm tra không phá hủy trong mỗi lần đại tu
Hệ thống kiểu này phức tạp đến mức luôn có vấn đề lặt vặt ở đâu đó, nên mô hình phô mai Thụy Sĩ áp dụng rất chuẩn
Liên quan đến Qantas, cuối bài có nói họ đã tốn chi phí lớn để sửa máy bay; Qantas lấy làm tự hào rằng hãng chưa từng mất một thân máy bay nào
Ngay cả với máy bay vượt quá giới hạn sửa chữa kinh tế, họ vẫn sửa để giữ kỷ lục đó
Tôi nhớ rất rõ mọi người đã hoàn toàn sốc khi QF32 xảy ra, vì người ta cho rằng chuyện như vậy “không bao giờ” xảy ra với Qantas
[1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
Nếu thiếu chữ ký đến mức đó, chúng tôi đã bị lột da sống, và rất có khả năng kiểm toán viên sẽ lật tung công ty để tìm thêm vấn đề
Khi đó cuộc kiểm toán có thể ghi nhận một thất bại nghiêm trọng, hoặc chứng nhận chất lượng có thể bị thu hồi hoàn toàn
Sau đó sẽ đến lượt kiểm toán từ khách hàng, trong trường hợp này là Rolls-Royce, đặt những câu hỏi khó chịu với ban lãnh đạo, xem quy trình concession giữa các công ty có được tuân thủ không, và nội bộ họ sẽ tự hỏi lại “những người này có được phép sản xuất linh kiện này không?”
Theo những gì tôi đọc ở đây, Rolls-Royce đã không gây đủ áp lực về chất lượng lên nhà thầu phụ, và lỏng lẻo đến mức đáng kinh ngạc
Nghĩ về những gì đã thấy, tôi tự hỏi làm sao đổi mới có thể diễn ra trong đó, vì sao mỗi năm không có thêm nhiều vụ “fuck-you-shima” hơn, và bằng cách nào động cơ máy bay không nổ tung mỗi ngày
Nếu tôi nhớ không nhầm, bộ điều khiển động cơ B777 đến giờ vẫn là m68k. Thứ đó đã ngừng sản xuất từ năm 1995
Tôi đã có mặt trên chuyến bay đó, và chính tôi đã chụp bức ảnh được bài viết trích dẫn là “ảnh do hành khách chụp trong khi bay, cho thấy lỗ thoát mảnh vỡ turbine trên mặt trên của cánh. (ATSB)”
Không lâu sau, tôi cố ý lên một chiếc A380 khác, vì muốn không đánh mất niềm tin vào độ an toàn của kỹ thuật
Về mặt tâm lý, có lẽ lựa chọn lên máy bay lại ngay lập tức là khôn ngoan hơn
Bài viết phức tạp và được viết tốt, nhưng giọng điệu đầy cảm giác chiến thắng cùng những lời ca ngợi an toàn bất tận khiến tôi hơi thấy lạ
Không ai đang bán thứ gì, nhưng có những đoạn lại giống như một bài thuyết trình bán hàng
Nếu đọc giống tôi, hẳn bạn cũng đã “hừm...” ở vài chỗ. Vì thực ra đó là những thứ đã không hoạt động đúng
Ví dụ như phần mềm tính toán chưa từng được thử nghiệm với dữ liệu bất thường, máy tính tiếp tục cho động cơ hỏng chạy, may mắn vì thùng nhiên liệu gần như đầy nên không phát nổ, và việc thiếu một công tắc ngắt vật lý để dừng động cơ
Họ có “dư dả” 1 giờ để xử lý mọi checklist, và trong thời gian đó hành khách cùng phi hành đoàn phải chịu đựng, hy vọng không có gì bốc cháy trên vũng nhiên liệu
Cuối cùng, hướng các mảnh vỡ bay đi cũng hoàn toàn ngẫu nhiên
Đây trông không giống câu chuyện về các “lớp an toàn” chồng lên nhau, mà giống câu chuyện về các lớp ngẫu nhiên chồng lên nhau hơn
Tôi thật sự tò mò về phân bố kết quả của mọi quỹ đạo mảnh vỡ có thể có, tức là thực tế họ đã may mắn hoặc xui xẻo đến mức nào
Dĩ nhiên các công ty sẽ không công bố những mô hình như vậy
Ngoài ra, cấu trúc phải khoan chính xác vào một ống hoàn toàn bình thường chỉ vì một khoang đặc biệt cho bộ lọc dầu cũng không hay lắm
Theo tôi hiểu thì dù sao cũng không thể bảo dưỡng nếu không lắp lại toàn bộ, vậy tại sao không làm thành một chi tiết duy nhất?
Nhờ có văn hóa nhìn lại các tai nạn trước đó như UA232, nơi họ mất toàn bộ chức năng điều khiển cùng với một động cơ, hệ thống điều khiển của A380 đã được thiết kế để chịu được hư hại lớn hơn và thực tế đã hoạt động
Tuy vậy tôi đồng ý rằng bài viết chưa tập trung đủ vào các điểm cần cải thiện
Một động cơ do máy tính điều khiển, đang bốc cháy mà vẫn quay trong 60 giây và làm các bộ phận nguy hiểm quay quá nhanh, lẽ ra phải được xử lý từ trước
Quy trình sản xuất động cơ phức tạp đến mức gần như không thể xác minh
Hệ thống quản lý lỗi khi có 40 cảnh báo mà mỗi lần chỉ hiển thị 1–2 cảnh báo cũng là vấn đề
Không nên để tự động hóa đưa ra quyết định trọng yếu như tắt động cơ; đó phải là quyết định của phi công
Về chuyện không có công tắc ngắt vật lý, thực ra có cách dùng van để cắt dòng nhiên liệu. Chỉ là “công tắc ngắt” đó đã bị hư hại
Nếu có thời gian xử lý hết checklist, chẳng phải sẽ an toàn hơn khi để phi công quyết định làm như vậy sao?
Hướng mảnh vỡ là ngẫu nhiên thì với kiểu hỏng hóc này là điều đương nhiên. Nó giống như phàn nàn rằng trong trung tâm dữ liệu, ổ HDD nào sẽ hỏng là ngẫu nhiên
Dữ liệu về mọi quỹ đạo mảnh vỡ có thể có không được công khai, nhưng các quỹ đạo thuận lợi được phân tích ở giai đoạn thiết kế, và các thành phần cấu trúc/hệ thống cũng được tách biệt tương ứng
Trong các tai nạn hàng không cũ, một lỗi đơn lẻ hoặc một hỏng hóc linh kiện đơn lẻ thường dẫn đến hàng chục người chết
Quá trình hình thành sterile flight deck để ứng phó với những tai nạn trong đó phi công bị phân tâm vì trò chuyện cũng là như vậy
Trong các tai nạn hàng không hiện đại, những chuyện như thế dường như ít xảy ra hơn nhiều
Dù động cơ phát nổ và mảnh vỡ xé toạc một nửa dây cáp, cánh, khoang chứa nhiên liệu và hệ thống thủy lực, chiếc máy bay vẫn gần như có thể điều khiển hoàn toàn và có thể hạ cánh
Hãy thử làm điều tương tự với một chiếc ô tô không có tính dư thừa rồi xem nó chịu được bao lâu
Vẻ đẹp của ngành hàng không là mọi người đều cố học từ sai sót và xây dựng thêm trên nền đó
Sự cố này cũng không có người thiệt mạng, nhưng đã dẫn đến các biện pháp giúp những chuyến bay sau này an toàn hơn
Đã có những nỗ lực có hệ thống và có chủ đích nhằm cải thiện an toàn hàng không bất chấp áp lực thương mại
Mô hình pho mát Thụy Sĩ có nghĩa là cần nhiều lớp ngẫu nhiên hơn rất nhiều phải khớp với nhau
Phần lớn các lớp đó đến từ những tai nạn trước đây và hoàn toàn không ngẫu nhiên. Dĩ nhiên cũng không có lớp nào không có lỗ
Nếu chiếc đĩa đó vỡ ra theo cách khác, có thể những lớp khác đã được áp dụng
Liệu có người thiệt mạng không? Có thể. Máy bay có phát nổ ngay lập tức không? Không rõ
Nhưng khá rõ ràng là nếu không có những lớp đó, xác suất xảy ra kết quả thảm khốc hơn nhiều sẽ tăng mạnh
[0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
Tôi đã sốc khi đọc đoạn đó
Tất nhiên cũng có may mắn thuần túy. Các đĩa có thể đã cắt đôi máy bay, hoặc có thể gây thương tích chí mạng cho người nằm trên đường bay của chúng, nhưng chúng đã tránh được phần lớn thân máy bay
Phải biết ơn từng phần may mắn như vậy
Thật khó để không nhìn nhận tích cực một sự cố kết thúc với 0 người chết và 0 người bị thương
Gọi ai đó là “báu vật quốc gia” có thể là sáo rỗng, nhưng Admiral Cloudberg còn tiến thêm một bậc: đó là báu vật của thế giới
Kyra đã viết rất nhiều bài xuất sắc dưới nom de cloud của mình
Chọn bất kỳ bài nào rồi bạn cũng sẽ học được điều gì đó
https://news.ycombinator.com/from?site=admiralcloudberg.medi...
Nên bật những thứ như vậy thay cho đống rác phóng đại đang chiếu trên TV hiện nay
Có những phi công phi thường vẫn hoàn thành nhiệm vụ dưới áp lực khủng khiếp
United Flight 232 là một trường hợp còn cực đoan hơn bài viết này
https://en.wikipedia.org/wiki/United_Airlines_Flight_232
“Dù có người thiệt mạng, tai nạn này vẫn được xem là một ví dụ điển hình về quản lý nguồn lực tổ bay thành công. Phần lớn những người trên máy bay đã sống sót, và ngay cả các phi công thử nghiệm giàu kinh nghiệm trên buồng lái mô phỏng cũng không thể tái hiện một cú hạ cánh có thể sống sót. Nó được coi là một trong những cú hạ cánh ấn tượng nhất trong lịch sử hàng không, được gọi là ‘cú hạ cánh bất khả thi’”
Máy bay mất toàn bộ hệ thống thủy lực, và phải điều khiển chỉ bằng động cơ để hạ cánh trong tình trạng rơi
Một trong các phi công nhìn thẳng vào camera và kể lại câu chuyện
https://www.youtube.com/watch?v=nf33RDu_D6M
“Đội cứu hộ chỉ phát hiện ra phần còn lại của buồng lái và bốn thành viên tổ bay còn sống bên trong sau 35 phút kể từ vụ rơi”
Thật khó tưởng tượng 30 phút chờ được cứu mà không biết hành khách có sống sót hay không
https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...
Tôi gần như bị cuốn đến mức ám ảnh vào các phân tích tai nạn hàng không của Mentour Pilot
Ở đây họ cũng đi sâu hơn
https://www.youtube.com/watch?v=JSMe1wAdMdg
Bài của Admiral Cloudberg thì giống Columbo hơn. Trước hết cho biết chuyện gì đã xảy ra, rồi quay ngược thời gian để tìm và giải thích những chi tiết nhỏ đã dẫn đến nó
Theo một nghĩa nào đó, cách đó logic hơn nhiều
Mentour Pilot cứ phải nói “hãy nhớ điều này, lát nữa nó sẽ quan trọng”
Nhưng vì không biết vì sao nó quan trọng nên ta không nhớ được, và kết quả là mạch kể kém rõ ràng hơn
Tôi tìm thấy kênh đó trong khoảng một năm qua, và đặc biệt thích các nội dung từ góc nhìn của phi công
Nếu thích bài này thì rất có thể bạn cũng sẽ thích Air Disasters
Tùy khu vực, chương trình này còn được biết đến với tên Air Crash Investigations hoặc Mayday
Chương trình dựa trên báo cáo tai nạn và trình bày khá chi tiết, không giật gân, nhưng không đi sâu bằng bài viết này
Điều nổi bật là khoảng tốc độ an toàn khi tiếp cận hạ cánh cực kỳ hẹp
Khoảng cách giữa tốc độ thất tốc và tốc độ tối đa để không lao quá đường băng chỉ khoảng 3–4 knot
Nếu tính thêm tất cả những việc khác mà tổ bay phải làm, việc đưa máy bay xuống an toàn thật sự là một màn điều khiển xuất sắc
Thực tế cảnh báo thất tốc đã vang lên ngay trước khi chạm đất, nên gần như họ đã làm đúng như vậy
Theo bài viết, các phép tính dường như được ghép lại khá tình thế với nhiều override, vì thế họ có vẻ đã tiếp cận thận trọng do một số giả định có thể cần biên độ sai số
Một bài viết đáng kinh ngạc, thật sự được viết rất hay
Xin ngả mũ trước đội vận hành của Qantas, đặc biệt là các phi công. Rõ ràng họ là những người biết rất rõ chuyên môn của mình
Cũng xin ngả mũ trước đội kỹ thuật của Airbus. Đây là một chiến thắng lớn của các hệ thống dự phòng
Việc các phép tính dừng máy bay được cải thiện như một phần của phân tích sau sự cố cũng rất thú vị