陳楠

【摘 要】介紹波音EICAS和空客ECAM民機(jī)告警系統(tǒng)的發(fā)展歷程，比較兩者在告警理念中最核心的排序和抑制處理方式，體現(xiàn)飛機(jī)駕駛艙自動(dòng)化理念的差異，并在此基礎(chǔ)上，提出民機(jī)告警系統(tǒng)未來的發(fā)展趨勢。

【關(guān)鍵詞】EICAS；ECAM；消息排序；機(jī)組決策

民用飛機(jī)機(jī)組告警系統(tǒng)提供飛機(jī)非正常狀態(tài)消息以提示飛行員關(guān)注并采取相關(guān)操作。告警系統(tǒng)收集全機(jī)海量信號，通過復(fù)雜的計(jì)算形成非正常狀態(tài)的原始描述。當(dāng)前告警系統(tǒng)已發(fā)展形成以波音、空客為代表的第三代發(fā)動(dòng)機(jī)指示與機(jī)告警系統(tǒng)[1]（Engine Indication and Crew Alerting System，簡稱EICAS）和飛機(jī)電子中央監(jiān)控系統(tǒng)（Electronic Centralised Aircraft Monitoring，簡稱ECAM告警系統(tǒng)），在A380、A350、777、787及龐巴迪C系列等機(jī)型得到廣泛應(yīng)用。

1 民機(jī)告警系統(tǒng)發(fā)展歷程

最原始的告警方式。早期以737為代表的飛機(jī)上各個(gè)系統(tǒng)按照自己的情況把原始信息處理為各系統(tǒng)獨(dú)立的告警信息之后，獨(dú)立地在離散的指示燈或集中的告警面板上顯示。除了人機(jī)界面層面讓機(jī)組難以快速準(zhǔn)確地發(fā)現(xiàn)問題、理解問題以外，這種思路很難實(shí)現(xiàn)不同告警信息之間的排序、抑制和組合，導(dǎo)致機(jī)組處理非正常情況的能力下降。

隨著計(jì)算機(jī)的發(fā)展以及在民航飛機(jī)上的廣泛應(yīng)用，航空技術(shù)得到迅猛發(fā)展，從70年代末開始大量采用集成電路，因而出現(xiàn)了新一代的具有綜合性顯示功能的彩色顯示裝置，特別是發(fā)動(dòng)機(jī)指示和機(jī)組警告系統(tǒng)（Engine Indication and Crew Alerting System，簡稱EICAS），告警信息在一塊屏幕區(qū)域集中顯示，且具有全程監(jiān)控、分級報(bào)警和彩色顯示等功能。

EICAS系統(tǒng)分為三代，首先是由波音在757和767上推出的第一代EICAS，隨后又在747-400上引入了簡圖頁，稱為第二代告警系統(tǒng)。到了九十年代波音在777項(xiàng)目中開發(fā)了第三代EICAS，綜合了電子檢查單、簡圖頁和波音特色的頂控板形成了延續(xù)至今的波音設(shè)計(jì)風(fēng)格。因?yàn)镋ICAS理念簡單、易于實(shí)現(xiàn)，在其基礎(chǔ)上其他次要廠商開發(fā)了多種不同的告警系統(tǒng)，在各類25部飛機(jī)中廣為應(yīng)用。

以EICAS以及其周邊設(shè)備是一整套協(xié)調(diào)良好的駕駛艙告警系統(tǒng)，是波音公司駕駛艙自動(dòng)化理念的完整體現(xiàn)。波音相信機(jī)組在出現(xiàn)復(fù)雜形勢時(shí)具備比系統(tǒng)更強(qiáng)的決策能力，為了發(fā)揮主觀能動(dòng)性波音EICAS的各個(gè)環(huán)節(jié)自動(dòng)化程度都較ECAM要低。

空客在1983年推出A300-600以及A310之后轉(zhuǎn)變到了兩人制機(jī)組，考慮如何將飛行工程師的職責(zé)通過自動(dòng)化來替代，其成果就是空客特色的ECAM（Electronic Centralised Aircraft Monitoring）系統(tǒng)。ECAM系統(tǒng)所代表的空客自動(dòng)化理念已經(jīng)成為先進(jìn)民用飛機(jī)自動(dòng)化水平的一個(gè)標(biāo)桿。

第一代ECAM就是A300-600以及A310上推出的。這一代ECAM并沒有完全取代機(jī)電式的發(fā)動(dòng)機(jī)指示，但是已經(jīng)具備了ECAM的幾項(xiàng)設(shè)計(jì)特征：全自動(dòng)電子檢查單、自動(dòng)顯示系統(tǒng)頁面、根源/派生/獨(dú)立故障、飛行階段觸發(fā)簡圖頁、空客特色的ADV以及高級排序機(jī)制。這些機(jī)制并不是一些分散的組織各自憑空想出來然后堆積在一起用的結(jié)果，而是在研究二人制機(jī)組在處理非正常情況時(shí)的操作程序和工作量之后綜合集成設(shè)計(jì)的結(jié)果。后來的第二、三代ECAM雖然改進(jìn)不少，但基本都延續(xù)了A310上ECAM的核心特征。

2 告警消息排序和抑制

波音EICAS的排序機(jī)制非常簡單，等級內(nèi)都是時(shí)間排序。但是如果出現(xiàn)連鎖故障，EICAS原則上也會抑制派生消息。在ECL上會自動(dòng)顯示所有活動(dòng)的操作程序，但是其順序?qū)?yīng)EICAS堆棧，所以機(jī)組需要自己判斷多個(gè)消息之間操作程序的先后順序。簡圖頁的顯示完全是人工控制。EICAS和ECL都不會影響簡圖頁的顯示，機(jī)組自行決定看哪個(gè)簡圖頁

龐巴迪在C系列飛機(jī)上應(yīng)用了EICAS主要的元素，但是在幾個(gè)關(guān)鍵方面有所區(qū)別。C系列的EICAS也是配合ECL、簡圖頁和頂控板一起工作的。在自動(dòng)化理念上C系列有一個(gè)特點(diǎn)，就是在系統(tǒng)能夠自動(dòng)處理故障的情況下也要求人工操作確認(rèn)。例如引氣泄露之后空氣系統(tǒng)能夠自動(dòng)隔離受影響區(qū)域并重構(gòu)氣源，但是即便溫度降低之后，引氣泄露的CAUTION也不會消息，而是要在飛行員操作之后才能消除。

排序是ECAM 最為特殊的一個(gè)方面。研究A310 以來各個(gè)機(jī)型的資料以及與龐巴迪交流的經(jīng)驗(yàn)，基本可以肯定空客ECAM 對所有告警類消息都做了完全排序。這意味著每一個(gè)告警消息在設(shè)計(jì)時(shí)都已經(jīng)有了一個(gè)獨(dú)特的序號，在空中出現(xiàn)情況時(shí)消息的順序不再是按照時(shí)間排序而是按照預(yù)先安排的序號排列。如果這個(gè)排序正確，那么無論以何種組合出現(xiàn)告警，機(jī)組都能夠按照ECAM 的指示以最佳的方式處理特情。

橫向觀察787、MD11、A350的當(dāng)代告警系統(tǒng)，可以發(fā)現(xiàn)它們的任務(wù)都具有以下共同的元素：

1）數(shù)據(jù)處理與診斷：先進(jìn)的EICAS、EIS、ECAM都能夠自動(dòng)收集、處理遍布全機(jī)的傳感器網(wǎng)絡(luò)數(shù)據(jù)，并通過復(fù)雜的計(jì)算形成非正常情況的原始描述；

2）信息排序：對典型的一次飛行少數(shù)獨(dú)立、根源故障的情況進(jìn)行合理的排序，并向機(jī)組告知；

3）信息表達(dá)：通過簡圖頁、檢查單描述等多種方式幫助機(jī)組建立更完整的態(tài)勢感知；

4）決策與操作：以防差錯(cuò)、容錯(cuò)的方式支持機(jī)組機(jī)組基于檢查單執(zhí)行操作，穩(wěn)定并嘗試恢復(fù)喪失、降級的功能；

5）效果確認(rèn)：輔助或代替機(jī)組完成操作程序效果的確認(rèn)；

6）全任務(wù)支持：提供信息支持機(jī)組完成剩余部分飛行任務(wù)和安全降落。

3 告警理念的未來發(fā)展

一個(gè)理想化的告警系統(tǒng)就是在成本、周期、態(tài)勢感知、安全性、工作量、穩(wěn)健度各方面達(dá)到全局最優(yōu)的廣義機(jī)組決策系統(tǒng)。直到今日，飛機(jī)設(shè)計(jì)的水平仍然無法理想化地處理任意非正常情況組合，并支持機(jī)組進(jìn)行最優(yōu)操作排序。這是因?yàn)椋?

首先，操作程序雖多有考慮復(fù)雜根源-派生的情況，但是在本質(zhì)上操作程序仍然是假設(shè)獨(dú)立故障編寫的。類似左右燃油不平衡的告警消息就曾經(jīng)導(dǎo)致了空中雙發(fā)停車，也差點(diǎn)在QF32上機(jī)組將燃油泵到漏油的左側(cè)機(jī)翼油箱。

其次，告警系統(tǒng)雖然已經(jīng)考慮了人在吸收多個(gè)通道信息時(shí)的性能限制，但是傳統(tǒng)的告警燈+音響的方式已經(jīng)使用幾十年，事故教訓(xùn)證明在復(fù)雜情況下這一范式經(jīng)常是和人的能力相悖的。

再次，告警更多考慮的是系統(tǒng)可以檢測到的故障，而對于廣義上的非正常情況只有按照經(jīng)驗(yàn)添補(bǔ)（自動(dòng)飛行正常切斷告警），還沒有能在更廣泛的情況下支持機(jī)組的決策。

最后，派生消息抑制等關(guān)鍵設(shè)計(jì)特征都嚴(yán)格地依賴于1309安全性設(shè)計(jì)體系的完整性。也就是說，在功能獨(dú)立、共模、物理隔離、特定風(fēng)險(xiǎn)沒有問題的情況下，告警系統(tǒng)需要在一次飛行中處理的多重獨(dú)立故障少之又少。但是航空事故歷史一次又一次反復(fù)地證明世界上還有很多我們沒有能考慮到的共模、外部事件和人為差錯(cuò)可能[2]。在出現(xiàn)嚴(yán)重轉(zhuǎn)子爆破、飛機(jī)空中相撞、被高炮導(dǎo)彈戰(zhàn)斗部擊中、人為破壞（機(jī)上炸彈、燃燒彈）、維護(hù)失誤毀壞多個(gè)關(guān)鍵傳感器的情況下，安全性分析假設(shè)不再成立，告警系統(tǒng)也往往就失去了有效輔助機(jī)組進(jìn)行決策的能力。這些就是當(dāng)今最先進(jìn)告警系統(tǒng)的瓶頸。

在未來的發(fā)展中，告警系統(tǒng)穩(wěn)健性大規(guī)模的階躍式增長還需要增強(qiáng)機(jī)上傳感器網(wǎng)絡(luò)。須對傳統(tǒng)的系統(tǒng)傳感器必須由遍布全機(jī)系統(tǒng)、管路、線路甚至是結(jié)構(gòu)上分布式傳感器（形變、溫度等基本物理量）網(wǎng)絡(luò)補(bǔ)充和加強(qiáng)。這些傳感器將能夠在很難預(yù)料的外力沖擊和機(jī)上隱蔽火災(zāi)等情況下通過告警向機(jī)組傳遞更加準(zhǔn)確、全面的態(tài)勢。

此外，另一個(gè)重要的發(fā)展方向是將機(jī)組告警與飛機(jī)派遣進(jìn)行綜合設(shè)計(jì)，實(shí)現(xiàn)全任務(wù)剖面的機(jī)組決策支持功能。目前以777，787，C系列，A350為代表的新機(jī)型已經(jīng)明顯開始重視分離機(jī)組效應(yīng)與派遣效應(yīng)，不僅減少了機(jī)組告警消息數(shù)量也方便了飛機(jī)派遣。

【參考文獻(xiàn)】

[1]杜建勛.發(fā)動(dòng)機(jī)指示和機(jī)組警告原理及應(yīng)用[M].北京：國防工業(yè)出版社，1994：90-95.

[2]Albert，J.Rehmann.Flightdeck Crew Alerting Issues：An Aviation Safety Reporting System Analysis[R].Springfield： NationalTechnicalInformation Service，1996.

[責(zé)任編輯：田吉捷]