风险登记册 · 条目
Q3 · 工程化Air France 447 号航班（法航 447）
三个结冰的传感器把客机交还给机组，机组一路保持机头上仰，直到坠海。
紧密耦合的系统：一个小故障层层传导，最终让整台机器停摆。
为什么是这个象限
该事件属于 Q3，因为一类传感器上一个小而短暂的故障，通过一个紧耦合的飞行控制与机组界面架构，蔓延成整机损失。空速管被冰晶堵塞持续不到一分钟，但它使空速失效，从而自动断开自动驾驶和自动油门，并把飞行控制从正常法则重构为备用法则，取消了机组受训依赖的包线保护，同时产生 ECAM 告警级联和失速警告，而失速警告后来因空速数据已失效而中断。耦合就是机制：传感器故障、控制律重构、告警逻辑和机组的诊断模型不是彼此独立的层，而是同一条链条，飞机在其仪表最不可信的时刻被交还给机组。
记录在案
- 2009 年 6 月 1 日，注册号 F-GZCP 的空客 A330-203 上机上 228 人全部遇难：12 名机组成员（3 名飞行机组、9 名客舱机组）和 216 名乘客。确定
- 失速警告连续响了 54 秒后停止，原因是所有记录的空速都已失效；当时飞机高度约 35,000 英尺，迎角超过 40 度，垂直速度约为 -10,000 英尺／分钟。确定
- 自动驾驶和自动油门在 2 时 10 分 05 秒断开，记录在 2 时 14 分 28 秒停止，从空速丢失到撞击约为 4 分 20 秒；最后记录到的垂直速度为 -10,912 英尺／分钟，俯仰姿态为机头上仰 16.2 度。确定
- BEA 研究了此前在与 AF447 类似条件下发生的 17 起事件；在其中几乎所有事件里，听到失速警告的机组都认为这个警告令人意外且不相干。确定
- 首批用于替换的 Thales C16195BA 空速管于 2009 年 5 月 26 日运抵法国航空，即 F-GZCP 坠毁前 6 天；事故飞机仍装配着原来的 C16195AA 空速管。确定
来源
通讯
每周一则风险故事，像这一则一样被拆开：什么是已知的，什么被忽视了，以及它真正属于哪个象限。
不发垃圾邮件，每周一封。