[21空调] 调查报告 | 2018年7月13日瑞安航空B737-800客舱增压故障

2018年7月13日，一架瑞安航空737-800客机，执行从爱尔兰都柏林飞往克罗地亚扎达尔的客运航班，飞行中由于一个客舱压力控制器（CPC）计算错误，导致外流活门（OFV）打开，在FL370处发生了客舱快速释压。

在随后机组在人工关闭OFV的情况下进行紧急下降时，座舱压力上升至最大压差。在海拔9000英尺处，飞机平飞，机组人工打开OFV，导致第二次快速释压。随后，飞机降落在法兰克福哈恩机场。事件造成33人身体不适。

原报告地址：

https://www.bfu-web.de/EN/Publications/Investigation%20Report/2018/Report_18-0975-EX_B737_GrostenquinVOR.pdf;jsessionid=DBDBB629A9867263D43968B7354D22EA.live21303?__blob=publicationFile

21时05分，飞机在都柏林机场起飞，飞往扎达尔。机上有6名机组人员和190名乘客。

机长是操纵飞行员，副驾驶是监控飞行员。

22时14分24秒，在贝加尔航路点之前，在FL370副驾驶用无线电与空管联系。

根据QAR，22:43:30时，座舱压力高度为7925英尺；OFV在9秒的时间内开始打开，从最初的18°到完全打开（104°）。

根据舱音记录，机组人员在4秒后注意到机舱压力下降。当座舱压力高度超过9470英尺后，座舱高度警告在2秒后响起。两名飞行员都表示，由于压力下降，他们的听力出现了严重问题，当时座舱压力高度指示以超过4000英尺/分钟的速度上升。他们记不起OFV的位置或自动增压故障和备用灯的的状态。

22:43:40，在13153英尺的座舱压力高度下，OFV压力电门被触发，OFV开始以每秒约19°的速度自动关闭，直到达到18°。22:43:41，两名飞行员都戴上了氧气面罩，开始完成快速释压的记忆项目。由于面罩部分被雾化，这使得情况更加复杂。同时，没有语言交流。与此同时，座舱高度警告喇叭响起。在大约25秒的时间内，OFV的位置在18°和28°打开之间振荡四次（图12），同时座舱压力高度增加到14639英尺。

22:44:00，客舱内的“系好安全带”标志被激活。22:44:02，副驾驶将外流活门切换至人工控制模式，然后将外流活门关闭至9.3°位置。在之前的32秒内，座舱压力高度以12950英尺/分钟的平均速度增加至14830英尺。在OFV关闭后，座舱高度开始下降。22:44:13，机长使用客舱PA系统，喊出三次“紧急下降”，然后对副驾驶说“人工关闭活门”，副驾驶回答“OK”。22:44:17，机组操纵飞机开始紧急下降。当时，座舱压力高度已经下降了2000英尺。

根据空管雷达记录，飞机于20:44:31通过FL367，地速470节，东南航向，MCP选择在FL220。22:44:36，空管收到飞机挂出的紧急代码，准备紧急降落至FL 100。

22:45:17，OFV被人工完全关闭。在接下来的12分钟内，座舱压力高度下降，最大下降速度为3300英尺/分钟。22:45:22，副驾驶开始执行座舱高度警告或快速释压检查单。

22:47:44，副驾驶阅读座舱高度警告或快速释压检查单中的第3项和第4项：“增压模式选择器：MAN；外流活门开关：保持关闭，直到外流活门指示显示完全关闭”。副驾驶开始完成第5项“如果客舱高度无法控制（机长在这一点进行了确认）：旅客信号：打开；旅客氧气开关：打开”。

22:48:07，当飞机下降通过FL 190时，客舱压力高度降到了海平面以下。副驾驶继续按照机长的指示完成紧急下降检查单的程序。

副驾驶读到：“紧急下降；情况：出现一种或多种情况：座舱高度无法控制；需要快速下降”，然后问道：“这是正确的，你同意吗？”

机长回答：“明白，是的[…]”。

根据雷达数据，22:49:15，飞机通过FL 156，机长通知管制员，他现在将速度降低到250节。管制员回答：“好的，嗯，你打算去法兰克福国际机场，对吗？”

机长回答说：“嗯，你能帮我们查一下晚上机场开放时间吗〔…〕，所以开放，啊，我们从你那里得到天气情况〔…〕”。

管制员说：“是的，他们会打开的，嗯，当你准备好复制法兰克福天气时联系我。”。

22:52:05，飞行高度在9900英尺，机长说：“座舱高度是[…]24000英尺[…]有点稳定，它正在缓慢下降[…]总的来说，我不太清楚为什么会出现这种释压。”

根据QAR数据，当时座舱压力高度大约低于海平面7000英尺。在22:52:15，飞机达到了9500英尺，18秒后，机长说，“现在，它还在下降。”[…]它正在下降[…]它在赶上飞机高度。”。在22:54:28时，机长将控制转移给副驾驶，然后说：“现在座舱高度是25000英尺。”

副驾驶回答说“OK？”

机长说道：“[…]法兰克福机场是开放的，这是一个很好的机会。”然后：“现在座舱高度看起来还在上升——33000英尺[…]它不工作了。我们要做的是完全打开外流活门。我们需要打开外流活门释压。”

根据当时的雷达数据，飞机处于FL 89，速度为260 节。FDR分析表明，在此之前，座舱压力高度大约低于海平面 7000 英尺，持续4分20秒。座舱最大压差为8.72 psi，两个释压活门处于打开位置。OFV完全打开后，座舱压力高度在2分钟内增加。座舱高度最大爬升速度约为20000英尺/分钟，在22:56:04，达到飞机的高度。

不久之后，乘务长从客舱联系机组。在机长解释了情况后，他询问了机舱内的情况，并被告知机组人员和乘客正在使用氧气面罩，每个人“或多或少都没事”。22:57，机组在海拔9000英尺摘下氧气面罩。随后，机长与乘务长进行了一次简报，乘务长在简报中告诉他，一位在机尾客舱的同事报告了一声巨大的嘶嘶声。他询问在着陆后是否可能要紧急撤离，PIC否认了这一点。

23:00，管制员再次询问紧急情况、机上人数和剩余燃油。机长随后根据当前的稳定状态，将紧急状态从Mayday降低到Pan，并寻求法兰克福哈恩机场的主要天气状况。管制员确认机组人员确实想飞往法兰克福哈恩机场，而不是法兰克福主机场。23:01，他通知机组270°的新航向（图3）、主要天气状况和预期着陆方向。经询问，机长不需要在着陆后提供进一步救援。

在继续进近过程中，机长说：“[…]外流活门现在完全打开。非常奇怪，因为座舱高度超过30000英尺。”

副驾驶回答：“我也不知道这是怎么发生的。”

23:14，飞机进入法兰克福哈恩机场03号跑道后，移交塔台控制。23:19，正常着陆。23:22，飞机到达停机位后，发动机关闭。机长广播通知要求需要就医的乘客保持就座，并伸手告知乘务员。乘务长报告说另外两名乘客感觉不舒服。

共有33人在现场接受了救援人员的医疗治疗或被送往医院。

飞机的环境控制系统（ECS）主要由增压机身、两台空气循环机（ACM）和一个外流活门（OFV）组成，ACM提供新鲜空气和温度，OFV用于空气流通和增压。OFV的开度由两个座舱压力控制器（CPC）调节，其中一个主动控制OFV，另一个备用。CPC通过压力传感器直接在控制器处测量座舱压力，并接收来自DSP、ADIRUs、SMYDC和PSEU的数据输入。主备CPC每个飞行航段改变。

OFV是一个由两部分组成的活门，位于机身右下方。它配备有三个马达，通过机械连接改变两块阀板的位置。其中两个马达（自动控制马达1和2）由CPC控制，而第三个马达（人工控制马达）通过人工控制模式的拨动开关控制。自动马达由直流汇流条1和2供电，人工控制马达由电瓶汇流条提供28V直流电。

如果座舱压力控制系统发生故障，两个正压安全释压活门和一个负压安全释压活门可保护增压座舱免受高压差的影响。OFV还配备了两个压力开关，它们相互独立运行，如果座舱压力高度超过14500英尺，则关闭OFV。这些压力开关位于OFV的电气盒部分，与用于在自动调节期间测量座舱压力的压力传感器（位于CPC上）分开。

▲外流活门OFV在打开位置

数字座舱压力控制系统由位于右前头顶板上的数字式选择面板（DSP）控制。

模拟仪表上显示了以下参数：

• 座舱压力高度

• 压差

• 客舱爬升或下降率

• OFV位置

还可以选择OFV、飞行和着陆高度模式。在该面板中集成了座舱高度警告系统。

模拟座舱压力高度指示器的指针没有零位卡住点。如果座舱在正压下运行，反映出低于MSL的座舱高度，在通过MSL后，指针将进一步逆时针移动，以再次进入表示座舱高度低于海平面高度的刻度。

操作模式

在自动模式下，ECS在爬升和下降过程中，在乘客舒适的范围内调节最大座舱压力变化率。

在巡航飞行期间，该系统通过控制OFV的打开来保持恒定的压差，该压差取决于增压座舱和环境之间的相应高度或飞行高度。

在FL 370巡航飞行期间，压差为7.8±0.05 psi。如果DSP预选的巡航高度与实际高度的外部压力之间的压差超过0.25 psi，则自动触发下降模式。当座舱压力高度在15000英尺和8000英尺之间时，系统根据选装构型，控制自动模式下降期间的压力变化，在这种情况下，最大下降速率为350英尺/分钟。着陆后，OFV打开，给客舱释压。

通过CPC以电子方式自动控制OFV的位置。主CPC将实际座舱压力与相应飞行阶段和高度计算的参考压力进行比较。如果两个值之间存在差异，则CPC为OFV的两个自动控制马达之一生成相应的打开或关闭指令信号。OFV的实际位置被发送到CPC，并与计算出的OFV参考位置进行比较。如果CPC检测到其自身控制电路中存在故障，它将结束主动控制，DSP上的Auto Fail和Altn指示将点亮，第二个CPC变为主用。

对于人工模式操作，DSP上的相应开关必须切换到人工模式。当弹簧加载的拨动开关保持在中立位时，OFV的位置可以人工改变。OFV位置在该开关上方的模拟指示处指示。

飞机上的发现

事发当天，BFU调查人员在白天目视检查了飞机。没有发现外部损伤。在驾驶舱内，两个氧气面罩已从盒中取出；在客舱和厕所里，旅客服务组件是打开的，面罩掉落。

在人工模式下对OFV进行功能测试；没有机械故障的迹象。

当时仍装机的两台CPC的BITE显示了一致的信息：

- MANUAL SWITCH

- CAB RATE HI

- CAB ALT 10000 FT

- CAB ALT 13500 FT

- CAB PRES SW ACTIVE

此外，CPC1显示信息“NO AUTO FAIL”。

在制造商处检查了飞机的以下ECS部件：

• CPC1
  

• CPC2

• OFV
  

• E-Box 1

• E-Box 2

• Gearbox
  

• Digital Selector Panel

对各个部件进行了测试，并对整个系统进行了几次飞行模拟，以确定部件之间的配合情况。

检查后，制造商得出以下结论：

• […]对CPC、OFV和DSP都进行了测试。结果是没有确定故障。

• 事件分析基于QAR数据和CPC的内存数据。[…]

• 对OFV移动的主要原因的分析表明，OFV的打开很可能是由单粒子效应造成的数据记录损坏引起的。在软件分析范围内，有可能证明这种类型的CPC对SEU（Single Event Upset）的敏感性。[…]

单粒子效应（SEU）是与半导体元件功能相关的所谓“软错误”，在航空航天中，这主要是由高空电离辐射引起的。例如，带电粒子通过半导体元件时会发射能量。这可能导致元件中的电荷分布发生变化，并可能导致所谓的电位翻转（p-n开关转换）。此时会影响计算结果。SEU不会对部件造成任何损坏，并且仅在发生时对其产生影响。

使SEU最小化的措施可以是物理性质的，通过屏蔽组件免受辐射，也可以是功能性的，通过实施所谓的三模块冗余（TMR）。TMR意味着相关计算将进行三次，最后通过所谓的比较器对结果进行比较，从而实现并消除错误结果。

QAR数据的详细读数显示，对于CPC2，在正确测量的座舱压力高度下，OFV的位置出现了计算错误。图11是在通过10000英尺座舱压力高度和CPC2停用时的示例性说明。虽然参考座舱压力海拔高度与实际测量的座舱压力高度之间的关系计算准确，但当计算OFV的参考位置时，结果不是预期的关闭信号，而是OFV更大开度的控制命令。

通过数学模拟，制造商能够识别参数的SEU影响导致记录故障的两个计算过程。这两个计算过程都是OFV的CPC控制功能的一部分。它们影响OFV的命令信号和OFV参考值的计算。这些计算表明，共有14个参数存在SEU风险。其中一个参数受SEU影响的概率在10[-5]和10[-13]之间。

此外，制造商得出以下结论：

• […]第一个压力开关激活后的振荡是由压力电门和CPC1自动控制之间的重复控制转换引起的。在第一次压力电门停用时，座舱下降率为3420 ft/min。在这种情况下，CPC的指令为350英尺/分钟。据此，CPC命令OFV重新打开，压力电门再次触发。这导致了阻尼振荡，系统在几次循环后达到正常运行模式，座舱下降率为350英尺/分钟。

• 在达到正常运行模式之前，机组将系统切换到人工模式，并完全关闭OFV约9分钟。在机组进行紧急下降后，他们完全打开了OFV。[…]

根据飞机制造商的声明，如果出现最坏情况，SEU的发生概率为每飞行小时3.5x10-8。这意味着每2840万飞行小时发生一次紧急情况。此外，他们得出结论，所有快速释压事件中有2.7%是由SEU引起的CPC故障造成的。因此，制造商估计在整个机队的预期使用寿命内还会发生9次类似事件。由于ECS冗余度很高，此故障概率符合有效的认证要求。

ECS中有三个冗余级别：

• 两个CPC，其中一个足以控制座舱增压；

• 两个OFV压力电门，在座舱压力高度超过14500英尺时关闭OFV；

• 机组可通过DSP手动控制OFV位置。

EASA认证要求给出“CS-25大型飞机”的适航符合性方法（AMC），AMC 25.1309章“系统设计和分析”的描述：在系统故障情况下的必要安全水平。为了满足要求，考虑了故障的影响以及故障概率。

虽然在这种情况下，根据AMC 25.1309 7.a.（3），总系统损失的影响必须被视为重大（[…]机组人员工作量的显著增加，[…]或乘客或机组人员的身体痛苦，可能包括受伤），但3,5x10-8的发生概率被归类为极为遥远（AMC 25.1309 7.c.（iii）），导致达到可接受的安全水平（AMC 25.1309.8）。

此外，AMC 25.1309和9.b（5）（iii）规定：

[……]然而，目前认为对机组或维修失误概率进行定量评估是不可行的。如果故障指示被认为是可识别的，并且所需的措施不会造成过大的工作量，则为了分析的目的，可将采取纠正措施的概率视为1。

直到编写本报告之前，都不可能确定受伤人员的最终人数，因为不同的来源报告了不同的人数。起初，德国联邦警察局称有15人受伤。到第二天早上，这个数字已经增加到21个，营运人引用了这个数字。根据救援人员的记录，15名患者在现场接受了治疗，另有28名患者用救援车送往4家医院。利比亚联邦警察局的最后报告称，共有33人受伤。

对治疗乘客的医院进行的调查显示，有以下受伤情况：

-导管通气障碍

-膜后出血

-鼻出血

-气压性创伤

据确定，没有鼓膜破裂。所有旅客都为门诊患者，没有住院。

BFU咨询了位于fürstenfeldbruck的德国中央航空公司的耳鼻喉科医生。

他得出的结论是，中耳损伤极有可能是由于在下降过程中的超压阶段舱内再增压造成的。这些损伤都是由人体听觉器官和平衡器官的单独部分之间不适当的压力平衡造成的。

解剖学上现有的覆盖有粘膜的补偿管能够转移并因此补偿快速发生的负压，如快速释压的情况。随着超压的突然发生，膜被“推到一起”，从而形成阀门机构，从而关闭补偿管。这只能通过相关人员的吞咽和压力操作在一定程度上旁通。如果压差持续，结果是在受到不同压力的人体声学和平衡器官的两个部分的边界处，出现压差，导致小血管撕裂，包括周围区域出血等。因此，再加上由于压差，鼓膜不再自由摆动，结果是传导性听力损失。

鼻窦损伤和鼻出血通常由相同的机制引起，但根据专家的说法，也可能由快速释压和过度增压引起。然而，再增压的机制更有可能。

在飞行员的培训期间，定期讨论快速释压和紧急下降的主题。

该培训基于飞机制造商（FCOM 1、FCOM 2、FCTM和QRH）和公司的文件，应确保在飞行员职业生涯的所有阶段进行定期培训。因此，营运人转换课程（OCC）、航空公司飞行员标准课程（APS）、类型评级（TR）、过渡类型评级（TTR）和升级课程（CU）涵盖了上述主题。该培训也是经常性模拟机培训（RST）计划的一部分，在三年周期的第一年和第二年有两种培训场景。这超过了三年一次接受培训的监管要求（第1178/2011 FCL.740.a号法规（欧盟）；附录9 B 6.3.4.1）。

第43页《紧急下降模拟机学习指南》中指出，除其他外：[…]在快速或爆炸性释压后必须考虑结构损坏，其中压力损失是瞬时的，瞬时压力损失通常与机身/蒙皮破裂或窗户爆裂有关，这两种情况都可能危及机身的结构完整性。[…]

第108页说明了有关快速释压的最重要项目如下：

每当你听到高度警告喇叭时，机组人员的第一反应必须是戴上氧气面罩并建立通信。然后可以调查该问题。[…]

目标：

记忆项目的正确操作

立即戴上氧气面罩，100%模式

取消座舱高度警告喇叭

迅速决策和有效沟通

紧急下降检查单的及时行动

此外：快速释压的原因包括门爆裂。[…]和：

快速释压的物理效应

严重耳部和鼻窦疼痛

血液中氮气泡膨胀引起的胸部和关节疼痛

强制呼气

你会觉得很冷

[…]在模拟机检查期间，快速释压和紧急下降程序通常失败。机组人员最常犯的错误是匆忙进行这一程序。[…]

模拟器教员指南中的“快速释压和紧急下降”一章指出：

模拟器真实感仅限于声音效果和仪表指示，因此，提醒学员释压过程中可能遇到的其他效果非常重要。[…]

机组应识别所经历的释压类型，这将确定如果结构完整性有疑问，飞机是否可以以Vmo/Mmo或机组限制的空速降落。[…]

建议允许机组人员在进行任何主要操作/程序练习之前进行“接触演练”。例如，要求每个学院在插入“快速释压”故障之前大声回顾他们的操作。这使他们有更大的机会在第一次尝试时正确完成练习，从而建立信心并创造积极的学习体验。

据BFU所知，在过去10年中，波音737发生了三起类似事件，很可能是SEU导致的CPC故障。所涉及的两个CPC采用了较旧的软件版本，并且关键的计算参数与当前案例中的参数不同。当时，制造商提供了软件补丁，为相关参数实施了TMR程序。

2019年，西班牙民用航空事故和事件调查委员会（CIIAC）发布了IN-008/2018号调查报告，内容涉及一架B737-700型飞机在巡航飞行中发生CPC故障，导致压力迅速下降。调查人员的结论是，除其他外，由于没有其他触发因素，CPC故障可能是由SEU引起的。他们的分析还表明，机组人员在降落期间没有充分监测指示的OFV位置。

ECCAIRS数据库查询显示，自1998年以来，BFU共记录了35起客舱压力损失以及随后的紧急下降。19起发生快速释压；在12起中，压力损失是渐进的。在任何事件，都不是座舱结构物理损伤导致的。

只有在一起中，在紧急下降期间可以恢复座舱增压。事实上，原因是个别ECS组件的临时或永久故障或机组的操作错误。

在巡航飞行中，在FL370处，CPC2的错误计算结果导致了对OFV位置参考值的错误计算，从而导致OFV打开并随后飞机快速释压。机组被迫使用氧气面罩。他们人工关闭OFV，座舱压力又开始增加。随后，在仍然人工关闭OFV的情况下进行紧急下降。在几分钟内，驾驶舱被增压到最大允许压差。在从紧急下降中稳定下来后，机组将OFV完全打开，并进行了第二次快速释压。乘客遭受的伤害很可能是由两次释压之间的再增压阶段造成的。

环境控制系统

Environmental Control System

座舱压力控制器CPC

CPC 2的错误计算很可能是由软错误引起的，即所谓的单粒子效应（SEU）。CPC制造商通过排除法得出此结论，因为CPC未显示任何功能异常或任何硬件损坏。根据制造商的说法，具有此类后果的SEU事件发生一次的概率最多为每飞行小时3.5x10-8。因此，它符合CS-25大型飞机关于整个系统故障概率的认证要求。

系统余度

根据认证要求，故障概率考虑了整个系统单个部件的可靠性，包括机组作为最后手段对每种情况下的系统故障做出正确反应。在这种情况下，冗余不足以及时将座舱压力高度恢复到正常水平。

CPC2故障后，座舱压力高度继续升高。由于OFV控制在剩余的CPC和压力开关之间快速切换，发生了持续数秒的OFV振荡。由于座舱压力高度未超过15000英尺，且出于方便的原因，在CPC逻辑中实施的最大座舱下降率限制导致压力开关重复触发，因此出现了这种不必要的控制。

由大量不可逆泄漏引起的快速释压将迅速导致座舱压力高度超过15000英尺，因此预计不会出现这种振荡型控制。由于阻尼振荡，这将在几个周期后消退。根据重新建立稳定系统功能之前的等待时间，BFU认为此类系统行为似乎不合适。一方面，在这一阶段，座舱压力高度继续增加1500英尺，尽管已经超过了几个报警限值。另一方面，系统故障持续了足够长的时间，最终作为最后手段，机组不得不通过人工控制OFV进行干预。

根据“座舱高度警告或快速释压”非正常检查单，他们将OFV切换到人工操作模式，因此可以控制OFV位置。然而，在随后的紧急下降过程中，他们既不能正确确定触发故障的原因，也不能正确实施抵消或有效监测ECS的系统行为。

BFU进行的ECCAIRS数据查询显示，自1998年以来，共发生了35起运输飞机上的释压案例。所有这些都导致了紧急下降。仅仅在一起案例，可以重新给座舱增压。必须假设在其他34种情况下，ECS系统冗余不足以防止快快速释压。在任何案例下，都没有预密封机舱的结构损坏导致的。

数字式选择面板

驾驶舱中数字式选择面板的安装位置和设计使得飞行机组更难正确识别座舱压力高度的情况并对其进行监控。

右上方面板的位置使得两名飞行员都必须积极地将注意力向上集中，以便监控相关仪表。BFU认为，在造成快速释压的情况下，不在飞行员直接视线内的仪表很可能比他们前面面板上的仪表受到的关注少。快速释压导致氧气面罩部分冷凝，这使得目视验证座舱压力高度更困难。

必须假设面板设计与模拟仪表的多种组合对飞行员的态势感知没有积极贡献。必须评估客舱压力高度指示的设计是否允许指针从高海拔移动到刻度盘中，这一点至关重要。飞机通常不会在客舱压力高度低于MSL的情况下运行，但客舱压力高度指示不应允许任何误解。

除了所述的模拟组合仪表外，没有声音或光学报警装置，可提醒机组压力舱的以下异常构型：

• 在巡航飞行期间OFV完全打开

• 下降过程中通过MSL的座舱压力和高度

• 最大正座舱压差

这些参数能正确识别的前提是飞行员能主动关注。

飞行机组

机组人员在前一天一起沿同一航线飞行，因此可能会有某种常规。然而，在发生时，由于一天中的时间原因，他们的生理表现并不高。在巡航飞行过程中，工作负荷较低，因此，可以假设在巡航飞行的最初几秒钟内会发生惊吓效应。

飞行员按照飞机制造商和公司的要求进行了培训。在定期复训期间，定期训练客舱快速释压以及随后紧急下降的情景。在三年的周期内两次完成该培训超过了监管要求。由于在模拟机中准确表示座舱释压的局限性以及缺乏任何相关生理效应，要求教员通过仅选择一个快速释压模拟机场景来尽可能明确地复现场景，这确保受训者清楚地理解，机舱释压已经发生。

此外，飞行员用于准备的文件表明，在这种压力损失的情况下，飞机很可能在结构上受损，因此无法恢复增压。因此，模拟机场景专门以一种方式进行训练，即紧急下降到安全高度是绝对必要的，因为必须假设永久释压。

尽管培训文件表明，大多数错误都是由于采取必要措施的速度过快造成的，但这种类似演练的明确培训在飞行员关于触发和情况进一步发展的确认偏差方面产生了一定的预期。只有这一点可以解释某些与实际工作理论相矛盾的参数和指示，例如，在下降过程中关闭OFV后，OFV完全打开、主动故障和备用灯指示，或者在压差增大的情况下，座舱压力高度迅速降低，这些都没有被注意到。

此外，最初OFV未完全关闭或人工关闭后未进行充分检查。如果OFV完全关闭，座舱压力会更明显地增加，进而可能影响机组启动紧急下降的决定。

尽管快速释压和紧急下降的QRH检查单中包含了“客舱高度可控”项目，并且机组人员已相应阅读了该项目，但并未监控座舱压力高度的发展，并且与实际状态相反，他们继续假设座舱在释压。

BFU认为，机组优先考虑及时完成程序，因为在注意到释压后的28秒，OFV切换到人工控制，15秒后开始紧急下降；没有就后续程序的协调决策进行口头简报。

这些行动是两名飞行员的共同行动，而不是口头表达。BFU认为，将程序分为两部分是明智的：一部分是快速和演练式的，直到所有乘客都能安全获得氧气供应，另一部分主要不是时间关键型的，由类似FORDEC的简报发起，飞行机组在此基础上评估当前情况并得出后续策略。这一过程将积极支持情境意识的创建。

飞行员们把重点放在让飞机飞到一个安全的高度，人类可以在没有机舱增压的情况下生存。这导致注意力分散到客舱压力高度进一步发展的不利因素上，因此，下降过程中的过度增压几乎肯定会导致乘客受伤，但未被识别。也没有注意到座舱压力高度指示器通过MSL。下降后，这需要机组进行大量的知识交流，以便正确识别状况并采取正确的应对措施。

机组没有充分考虑到DSP上显示的全关闭OFV和三个系统显示的约9000英尺高度时的最大座舱压差。必须将这些参数的总和视为足以使飞行员在改平后识别错误的高的座舱压力高度指示。如果是这种情况，则OFV的人工打开很可能发生在更可控的情况下。第二次快速释压是可以防止的。

营运人模拟机学习指南中的相应指导以及西班牙CIIAC调查报告中因类似事件而发布的结论表明，在快速释压后，仓促完成相关程序和对客舱压力参数的监控不足是飞行机组的常见错误源。

BFU分析还表明，在过去22年中，几名营运人报告的35起涉及座舱释压和随后紧急下降的事件中，只有一起恢复了座舱增压并终止了紧急下降。即使数据库没有显示是否多次试图恢复座舱增压，但必须假设接受过类似训练的机组人员在相同的情况下做出类似的反应。

此外，对35起案件的调查表明，没有一架飞机受到结构损坏。释压是由单个ECS部件的故障造成的。必须假设，在快速释压场景训练期间传播的结构损伤与现实统计不符，并且能够在飞行机组中产生错误的预期（确认偏差），如当前调查所示。

BFU认为，对快速释压的训练场景进行修改是明智的，以使飞行机组更清楚地认识到，只有在每位乘客安全获得氧气之前的部分才是时间关键的。在接下来的部分中，更重要的是正确完成检查单，并准确识别和监控潜在故障。

在意识到释压的七秒钟后，机组人员戴上了氧气面罩。这意味着他们不再出现缺氧症状。在启动后约15分钟内，确保客舱机组人员和乘客的氧气供应。

此外，营运人应考虑实施与快速释压有关的不同培训场景，包括恢复座舱增压，以使飞行机组认识到在紧急下降期间监控座舱压力参数的重要性，并将确认偏差的可能性降至最低。

发现

机组人员根据现有的法律要求获得了飞行许可。两名机组成员都完成了规定的培训。他们的飞行经验很丰富。飞机适航，在事件发生之前，环境控制系统未出现任何异常情况。

座舱压力控制器2在巡航飞行期间命令OFV完全打开。

该控制命令基于OFV参考位置的错误计算。这很可能是由CPC 2中的SEU引起的。

CPC2自动停用后，OFV开始振荡，导致座舱压力进一步升高。振荡是由OFV的压力电门和CPC1之间的控制快速交替切换引起的。

根据快速释压记忆项目，机组人员戴上氧气面罩，激活了客舱氧气面罩。

机组将OFV切换到人工控制，最初将其关闭到9.3°开度位置，然后完全关闭。

在紧急下降开始时，客舱压力高度下降了约2000英尺。机组没有注意到这一点。

在关闭OFV的下降过程中，座舱压力上升至最大压差8.72 psi，两个正压释压活门均被激活。机组人员没有注意到这一点。座舱压力控制系统指示的位置和设计使得正确识别状况更加困难。

座舱压力高度在飞机通过FL190时通过MSL，并在低于MSL 7000英尺的压力下持续约4分20秒。尽管事实上，在这种情况下，无法证明这种超压或两次快速释压对人造成了伤害，但从医学角度来看，超压情况对人造成伤害的风险更高。

快速释压的标准化模拟机训练总是导致紧急下降，且座舱压力无法恢复。这可能影响了机组人员的预期。

BFU对涉及快速释压和随后紧急下降的事件的统计分析表明，35起中只有1起ECS功能恢复，紧急下降终止。无法追溯机组人员是否曾试图恢复座舱增压，或者尝试是否无效。在每种情况下，ECS故障都是快速释压的原因，而不是飞机的结构损坏。

在紧急下降到稳定后，飞行机组无法正确识别座舱压力控制系统的状态，因为他们没有在人工操作模式下充分监控ECS功能，并且他们的内心预期与真实情况不符。

在紧急下降到稳定下来后，考虑到所有可用参数，可以正确了解状况。然而，飞行员们不得不推翻他们的工作假设，应用学到的知识。

完全手动打开OFV导致第二次快速释压，根据飞机高度调整座舱压力高度。

原因

该事件是由于在FL370巡航飞行期间，ECS命令OFV完全打开引起的。

故障是由一个座舱压力控制器中的一个SEU引起的。

在这种情况下，座舱压力控制系统的系统冗余设计不足以防止快速释压。

安全措施

2019年，相应的营运人修改了针对飞行员的重复模拟机培训，以便更紧密地涵盖ECS数字式选择面板指示的使用和解释。此外，在定期培训文件中实施了一个培训场景，其中增压座舱在紧急下降期间重新增压，机组必须做出相应反应。

安全建议

无