NTSB安全建议翻译：A-88-64至A-88-70（西北航空255相关）

国家交通运输安全委员会

华盛顿 20594
安全建议
日期：1988年6月27日
文档引用安全建议 A-88-64至-70

尊敬的 艾伦.T.麦卡特
管理员
联邦航空管理局
华盛顿 20591
1987年8月16日美国东部时间8点46分，西北航空公司255航班在从密歇根罗幕罗斯底特律韦恩橙县机场（底特律大都会机场）3C跑道起飞后不久坠毁。事故航班是飞往亚利桑那州密歇根的定期航班，事发时由一架注册号为N312RC的麦克唐纳道格拉斯DC-9-82型飞机执飞。目击者报告称，事故机在距离跑道末端1200英尺-1500英尺的地方便开始抬轮，但直到接近跑道尽头才成功离地。起飞后，飞机曾向左向右滚转，最大坡度达35度，随后左翼撞击一个位于跑道延长线距跑道末端2760英尺的电线杆，机身也在此时与位于机场东北方位的一些障碍物。随后，机身撞上另一根电线杆，一处汽车租赁设施的屋顶，最后摔回地面。撞地后，飞机继续沿起飞跑道延长线方向向前滑动，在此过程中，飞机解体，爆燃火焰沿着飞机滑行轨迹生成。三辆行驶在机场临近道路的载客车辆及停靠在汽车租赁设施中的数辆空置汽车遭撞击或（和）爆燃火焰摧毁。所有机上载员中，148名乘客以及6名机组成员死亡，一名乘客系4岁儿童遭到严重伤害。地面人员中，2人死亡，1人遭到严重伤害，4人受轻伤。
驾驶舱声音记录器（cockpit voice recorder,CVR）记录数据编译显示,用于在飞机试图在未恰当构型时试图起飞时像机组发出警告的起飞警告系统，在事发时并未发出警告。在中央声音警告系统（central aural warning system,CAWS）前安置的失效警告灯，在内部系统自检时发现故障的时候会自动亮起，失效警告灯由一个自锁型继电器控制，当失效灯亮起的时候，继电器保持锁定，警告灯将在故障排除，正常开启，并重置之前保持常亮。CAWS组件在事发现场被发现的时候外观上保持完好。失效灯的继电器在被发现的时候不在锁定状态，说明CAWS 在事发的时候没有任何故障。一位来自在事发前曾坐在驾驶舱跳椅上的副驾驶的证词表明，起飞警告系统曾在飞机降落在萨吉诺市时发出警告，表明当时起飞警告系统是正常工作的。
在国家安全委员会声学实验室进行的声音频谱测试可以让委员会分析事故机起飞警告系统的失效方式。这个分析至关重要，因为两个辅助失速警告系统（supplemntal stall recognition system,SSRS）使用不同的电源供应来源，SSRS-2即副驾驶的警告系统使用的是3号CAWS电源，SSRS-1，即机长侧的警告系统，使用的是2号CAWS电源，而起飞警告系统使用的也是2号CAWS电源。
当两个SSRS同事运作发出警告的时候，会产生回声效应，而所做的声音频谱测试中，没有检测到回声效应，这表明在事发时仅有一个SSRS在工作，基于提示词的频率，可以判断是SSRS-2发出的警告。这个判断被驾驶舱中的两个失速警告灯的不同的损坏情况进一步证实，机长侧的失速警告灯中的两个灯泡的灯丝没有明显损坏，而副驾驶侧的失速警告灯中的两个灯泡的灯丝则有明显的拉伸迹象，这是一种在灼热状态下遭受撞击的典型痕迹。
以上的证据表明，启动失速警告灯的电流应该来自于三号CAWS电源供应，以及，基于起飞警告系统和SSRS-1未能正常运作的事实，可以判断二号电源供应没有正常运作。如果二号电源供应的电源输出中断，但飞机的28伏直流电源供应仍然可用，CAWS的失效警告灯应该会亮起。更为重要的是，CAWS警告灯的自锁型继电器会在被地面维修人员解除锁定之前保持锁定状态，但实际上自锁型继电器并不在锁定状态。所以，安全委员会断定，起飞警告系统的失效是CAWS二号电源供应中28伏直流电源断电造成的。
CAWS二号电源供应从左侧28伏电源汇流条，经过P-40断路器接受电流。飞机的28伏左侧汇流条总体断电的可能性可以排除，因为在这种情况下发生的情况对于飞行员而言非常明显，大量的指示灯将会熄灭，大量的仪表也会失效，并且左侧汇流条失效的情况会在顶部提示面板中被提示，主警告灯会亮起，此汇流条失效的情况也会影响电子飞行数据记录器（digital flight data recorder，DFDR）记录情况，实际上DFDR记录数据中没有任何数据能表明左侧汇流条断电，这更加证明了左侧汇流条没有断电。既然汇流条已经充电，P-40断路器至CAWS之间的缆线连接也完整，情况指向了一个在逻辑上最有可能出现故障的地方：P-40断路器。
因为P-40断路器在事故中被严重损毁，NTSB

不可能查明其撞击前情况。断路器的可能失效方式有三：被任一机组或者维修人员有意打开；因电流过载跳出且未被机组重设；阻止电流流经，但未能以跳出的方式向机组发出提醒。

NTSB认为CAWS被机组成员以拔出P-40断路器的方式禁用的可能性最大，造成这种现象的原因是由二号电源供应驱动的声音警告打扰到机组或使其感到厌烦。一名坐在跳椅上的曾搭乘事故机从底特律飞往萨吉诺市的副驾驶证实，曾经听到“襟翼，襟翼”的声音警告。证实二号电源供应在那个时候是正常运转的。因此，声音起飞警告不可能不会被一个增大的发动机推力设定触发，也不可能是触发警告的发动机推力设定未被记录。另外，CVR并未在2013:27到2045:24.7之间记录到声音警告，DFDR记录表明，从萨吉诺登机门到底特律登机门的全过程中，两台发动机皆正常运转。然而SSRS-1、起落架、自动驾驶解除、座舱高度、扰流板警告也由二号电源供应驱动，所以，机组成员可能为关闭其他警告而禁用电源供应，NTSB并不能排除这种可能性。另外，也没有足够的证据排除有任何人在飞机落地萨吉诺市后至从底特律登机门出发前拔出断路器的可能性。
第二种可能性是断路器因为电流过载而跳出，但机组未能意识到这个情况，在这种情况下，不会有任何的声音警告，另外，跳出的断路器也不是太明显，尤其是在光线昏暗的情况下，尽管开始前检查单 的第六个项目要求机组对断路器面板进行检查，机组也需要对此项目做出回应。
P-40断路器，与另外两个总管CAWS输入电源的断路器位于机长座椅的后方，但实际上更容易被副驾驶检测到，2029:28时，副驾驶说：“断路器，嗯呐……”2029:30时，机长回应“检查辽”2029:31时副驾驶说：“自动着陆检查，无线电高度表和飞行指引”。
CVR记录表明，副驾驶本应该负责检查断路器，但并没有做好以及回应好对机长座椅后方上下断路器面板的检查。由副驾驶检查所花的时间考虑，断路器面板检查的通透性受限，另外，P-40断路器可能在进行检查之后跳出，在这种情况之下，飞行员可能不会意识到断路器跳开的情况。
第三种可能则是P-40断路器因为不明原因组织电流流经，尽管断路器看上去已经闭合，这种情况一般出现在断路器被打开然后闭合之后，例如，机组将一个跳开的断路器闭合，这种情形下，外来异物可能侵入并卡阻在两个触点之间，阻止断路器完全闭合。德州仪器公司证实了这种情况是有可能发生的，此失效形式的另一种形式是断路器金属部分通过与空气中所含的物质的反应，在触点上形成了氧化层薄膜，当断路器闭合时，绝缘薄膜会阻止电流流经，绝缘薄膜一般而言是自然形成的，两个原本已经开启的断路器在极少或者没有干扰的情况下的测试表明，绝缘层的形成与附着的确可以导致事故机所呈现断路情况。
以上所提及的两个断路器与事故机在断路器触点方面有着相似之处，当以1.5伏电压电流进行测试的时候，断路器外部存在不连续的绝缘现象，事故机的断路器在事故之后已经在外部环境中暴露了数周之久，所以，事故机断路器上的硫化银层可能来自于这种环境暴露。但是事故机汇流条的其他触点，和P-40断路器暴露在相似的环境中，并没有显现出硫化银层，另外，事故机中没有暴露在外部环境中的有些断路器，也显现出了硫化银层，上文所提及的两个断路器也出现了硫化银层，有理由怀疑是绝缘层的附着阻断了电流。在事故机中的所有断路器中，P-40的硫化银层是最显著的，所以，NTSB推测，即使不是全部，也有大部分的断路器在事故前便出现了氧化层。这个证据的出现使得NTSB不能排除附着在P-40断路器上的绝缘层阻断了电流使得系统失效。
德州仪器厂的工作人员声称他们不知道断路器是否会在未跳出的情况下阻断电流，NTSB考虑到断路器的基本作用，认为这个言论是可信的，另外也没有足够的可信的关于断路器的可信资料可供参考，因为少有关于断路器使用过程中发生的疑难杂症的报告。但是在听证会上，几乎每一个飞行员都证言自己在职业生涯中见到过跳出的断路器，且他们已经学会如何通过拔出和重设断路器的方式来控制系统的运转。自然而然地，在这种情况之下，是系统本身的缺陷，并非断路器本身的问题造成了系统的失效。此外，也有证据表明断路器有时因不明原因阻断系统正常运行。因为这种情况对于机组而言不甚明显，也有可能出现在关键系统上。NTSB认为联邦航空管理局（federal aviation administration，FAA）应当进行调查以查明断路器的可靠性以及在何种内部机械失效方式下可以使系统失效，并且制定必要的修正措施。
这些证据的存在不能使得NTSB探明究竟是三种可能中的具体哪一种组织了电流的流通以使得P-40断路器的失效并打断了CAWS

组件的二号电源供应。
NTSB支持对麦克唐纳道格拉斯在1987年9月1日对所有DC-9-80运营人发布的检查单的改进，并肯定FAA对旨在让检查单更好地为机组服务方面所作出的努力，只有警告系统通过自检装置的运行并且在发现故障点的时候以明确的方式警示机组系统不可用的情况下，检查单程序才能提高机组成员识别与处理起飞警告系统失效的情况。
NTSB在针对P-40断路器的断电原因的调查中发现了一个不同寻常的设计考虑，有证据表明，装配在DC-9-80上的CAWS失效警告灯是为了提高维护效率，制造商认为，如果CAWS在飞行中失效，CAWS将以亮警告灯的方式提示机组成员使其能够在飞机到达目的地之前通知地面维修人员，维修人员便可以预先准备备用组件等待飞机到达，并在飞机到达之时直接进行更换并办理相关手续，以此提高运营效率，CAWS的自检系统的设计纯属出于这个方面的考虑。
CAWS自检系统的设计目的和运作能力也是CAWS未被设计能在28伏直流电源失效的情况下工作的原因。如果是CAWS内部故障导致系统失效，可以通过更换组件解决，但是，从安全角度而言，可以通过改进CAWS失效灯系统，使得其也能在即使是外部电源失效的情况下亮起。这个改进不但满足FAA原本对飞机和系统的标准还能使得系统在原本不能工作的情况下工作，NTSB认为这种类型的警告对于迎接未来警告系统集成化概念的到来非常重要，因为电源供应的中断往往会导致整个警告系统的失效，而有些失效情况不能被机组成员立刻识别。

因为未来所需要的警告系统很可能会因更高的自动化和更复杂的结构性而提高集成化程度。应当制定一个合理的标准来约束系统的设计和认证，这也需要一个标准来确定发布警告的类型和紧急程度，所有种类的喷气机都应当被提供以同等级别的自检系统及警告提示，现在没有一种达成统一标准的方式，最终的结果是FAA不得不和制造商协定，这种协定最终会导致多种不同的标准，不仅制造商和制造商之间的标准不同，甚至同一个制造商不同的生产线之间的标准也有差异。NTSB相信，决定并规范CAWS设计的知道和标准会对将来运输飞机的认证和运行大有裨益。
有足够的证据表明，事故机机组未有遵循公司的《飞行员操作手册》所要求的程序来进行检查单。指认飞行员未正确执行检查单有两种方式。事故机中的任一机组人员都在用一种反常的方式，或者他们的实际表现与该有的表现严重不符。
机长没有表现出任何对副驾驶在其未有指令的情况下开始做检查单有任何的不适应或者不同意迹象，或者没有首先明确是否做好做检查单的准备。副驾驶的行为看起来没有对两个机组成员中的任何一员以自己习惯的方式做检查单的行为表现有异议。事故机中的两个机组都已经默认了这是一种可以代替公司标准程序的做法。一个机组通常会假设，如果另一个机组对这种做法不适应，其会注意到自己的做法并且提出异议或者试图修正。事故机机组成员做检查单的方式被公司的其他同事评价为“标准专业”似乎表明被询问中的每一个人都已经在相当程度上接触过这种不良方式，甚至已经对这种不良方式习以为常。从事故机机组成员以不当方式执行检查单的心安理得与如鱼得水的情况来看，这种不正确做检查单的方式已经被其他曾与他们共同执行过航班的飞行员所接触并且强化。
NTSB不能主动地计数在事故中所属公司下的像事故机组一样用自己习惯的方式代替公司标准程序的飞行员的具体数量。NTSB虽然没有直接的证据表明这种非标准操纵程序的现象已经与业界中评广泛存在，但是NTSB注意到西北航空所印发的操作程序，运行的机型，和所秉持的检查单设计理念与其他航空承运人有着相似之处，所以，NTSB认为FAA应当立刻要求并委派其运行监察员强调正确遵循操作程序和严格执行检查单的重要性。
NTSB认为公司监察员的应用汇带来巨大的好处，以为这可以扩大FAA的服务，在之前的航空公司联盟组织中充当桥梁作用，未培训部门的训练质量把关。飞行监察员基于其高水平的专业表现被选中，并且在被FAA委派之前受过专业的训练。有证据表明，事故航空公司建立起了一套旨在解决机组成员操作不规范的问题的项目。但NTSB仍旧认为飞行监察员在自身的操作标准性问题上也存在一些问题。操作程序上的不同及操作问题的不连续性显现使得飞行监察员对执行检查单错误问题的敏感性降低，或者至少在指出这类问题的时候表现出犹豫。尽管飞行监察员在纠正问题的方面上存在一些问题，NTSB依旧认为这个项目是成功的，因为航空承运人在执行安全运行层面已经有自觉性，并且受自觉性驱动。
尽管有相关法律要求承运人未飞行机组成员印发检查单并为检查单的使用制定恰当程序。但法规并未就检查单的规格做出规范。有些航空承运人将检查单印在长11英寸，宽8

英寸的单幅卡片上，每一面都包含了检查单的某一部分。美国空军将其洛克希德C-141S和C-5的检查单印刷在一个滚筒上，当一个检查单项目被透过小窗进行完之后，使用者转动滚筒，将下一个检查单项目至于正确位置。一个美国航空公司使用单幅卡片印刷除起飞前和降落检查单之外的所有检查单内容，将起飞前检查单和降落检查单置于一个附有机械装置的设备上。当一个检查单项目完成之后，使用者就要滑动滑块，遮住已完成项目。在更晚的现代飞机上，检查单被以电子方式呈现。当所需检查单被选中之后，所有项目被呈现出来，用户需在完成每一个检查项目之后扳动相应的开关，相应的检查单项目的指示灯就熄灭。机械师检查单和电子检查单都不可移动地依附在驾驶舱结构上。
纸质检查单的呈现于你安排方式不会自行变化的特点让未检查和已检查项目在外观上不会呈现任何区别。按照操作顺序编排原则，滑行 起飞前检查单被印刷在同一面上，这样，没有一个显著的翻面动作和外观差异来对未完成的检查单项目进行提示。
西北航空的检查单呈现方式与其他航空公司宽8英寸长11英寸的检查单没有任何本质区别。两种检查单编排方式都需要一个翻面动作，因为所有的检查项目不可能呈现在同一个卡片的同一面。尽管使用期间会有一个翻面动作，这个翻面动作的发生时机可能有所不同，但翻面时机所对应的项目并不需要一个翻面动作来让机组的注意力从一个检查单项目转化到另一个，也不会提供对未完成项目的视觉警示。
NTSB在调查期间发现，遵从程序对恰当完成检查单而言至关重要，来自国家航空航天局的心理学家从管理科学方面对这个言论表示赞同。
但是，这个心理学家声称他“不知道任何设计检查单时应该考虑的因素，也不能从自己的资料库中查询到相关的信息”，NTSB认为FAA应当从国家航空航天局，航空业内，飞行员组选人成立调查组，查明从用户方面而言最恰当的检查单呈现方式。
安全委员会注意到两个机组成员在最后一次模拟机训练和例行检查时接受的但机组成员训练/测试。在这种测试/训练方式下，指导员也占用一个飞行员座位，参与飞行操作。其观察能力和指出非标准操作的能力有限。NTSB也认识到事故机组所受到的训练实际上是不符合西北航空DC-9-82训练部门的制度的。此外，机组受到这种不标准的训练方式与编排困难和未能提前预见到的情况有关，当一个完整的机组成员进行训练的时候，教员可以更好地识别飞行员在沟通、检查单使用、标准运行方面的问题。
在历史上有一段时间，行业普遍采用，联邦航空法规也特别强调对每个飞行员单独进行检查及训练。这种训练没有充分体现每一个机组都应当作为团队的一员进行操作的原则。NTSB认为对每个独立的机组进行训练，以使其提高到和某个（与他人）不相符的水平不能训练出一个高效、高度协调的机组团队。
NTSB认为航线飞行训练（line-oriented flighttraining,LOFT）和对机组配合方面的有效管理将为把机组训练成一个紧密配合的团队提供更多的机会。LOFT关注全机组训练的环境。这样，拓展了单独训练机组的效能，在管理方面和沟通技巧方面训练的优化会提升机组在特定任务下协调所需信息的能力。
自1968年，NTSB从不同角度，向FAA发布了22条建议以解决机组资源管理（crew source management，CRM）方面的问题，1985年4月15日，NTSB建议FAA：
【A-85-27】
就寻求最有效的在CRM方面训练所有机组成员最有效方式开展调查，并且要求所有承运人在飞行训练中体现、运用调查所发现的信息。
FAA，在1986年2月就安全建议A-85-27回应，其已经：
“在旨在发展和应用更高级的行为学分析和技术以提高飞行安全的航空行为学领域启动了一个项目，这个项目中的科目包含加强航线飞行训练，加强机组资源管理，提高驾驶舱座舱沟通与协调质量，并提高飞行员决策训练。”
FAA进一步评论这个项目需要“长时间的努力”。
NTSB认可FAA所作出的努力，并且希望FAA能给予此项目更高的关注度，以使得其效益在航空公司训练中尽快体现。
所有装配有前缘缝翼系统的DC-9型号的飞机都装配了SSRS，SSRS的特点在于其能在攻角不小于失速攻角的情况下提供警示。所以，这个系统可能导致飞行员在超出正常操作攻角飞行时的盲目自信。NTSB发现，一些DC-9-82机长在在SSRS发出警告的时候甚至不会表现出一点顾虑。仅有一名机长声明他会“尽量避免进入入SSRS警告攻角”
这表明，有些机长并没有认识到SSRS警告实际上是失速警告。他们认为SSRS警告，和抖杆器警告一样，是一个距离实际失速有一定距离的警告。另外，这些机长没有对在SSRS

发出警告时在横向操作上失去控制，以及对公司所训练的风切变处理程序中的的爬升性能降级表现出一点顾虑。实际上，这些机组在SSRS警告临界点时不会减少其升降舵输入，而原则上，他们应该这么做。
造成机组对SSRS的误解可能的原因是训练不足或者训练用模拟机不能模拟出接近SSRS警告攻角时飞机的横滚稳定性会大幅降低的特性，以此给予机组一种不实际的安全感。MD-80飞行员应当被告知，在SSRS警告攻角下操作时的横向操作潜在的危险性，以及，在抖杆器启动攻角时的爬升性能减少且极易被小横滚抵消的特性，并尽量避免SSRS警告被触发，除非情况不可避免。
基于事故调查分析，NTSB提出以下安全建议。
l 就查明断路器可靠性以及可能会使系统失效的断路器内部机械方式展开安全调查，并且提出必要的改正措施。（二级优先）（A-88-64）
l 要求所有DC-9-80系列飞机进行改装，使得CAWS的顶部提示面板的失效警告灯在CAWS输入电源失效的情况下也能亮起，使得飞机恢复到原本较低的安全级别。（二级优先）（A-88-65）
l 改进、规范中央警告系统标准，使得其被配备提供警告功能，评估警告关键程度的功能，以及一定程度上的自检功能。（二级优先）（A-88-66）
l 要求所有121、135部承运人和运营成员强调正确使用标准程序，尤其是严格执行检查单程序的重要性。（二级优先）（A-88-67）
l 与国家航空航天局、业内、飞行员组共同合作，探明是否有更好的为使用者提供更好的使用检查单的呈现方式。（二级优先）（A-88-68）
l 加速在121、 135部承运人之间改进团队配合性机组训练，使用的指导原则的进程，使其包含例如CRM LOFT 和其他有利于机组配合和管理技巧的内容。（二级优先）（A-88-69）
l 发布关于121部MD-80初始和当前训练项目的，要求所有运行指导员强调在MD-80在SSRS启动临界点时候的失速和风切变恢复期间的横向衰减，爬升性能丧失，模拟器局限的通告。（二级优先）（A-88-70）

另外，安全委员会也将向所有的121部承运人发布安全建议A-88-71。