波音737NG自动飞行系统架构解析：无线电高度表故障与五边指引消失的关联机制

作者：飞行部七大队王俊国
摘要： 本文针对波音737NG无线电高度表（RA）故障导致五边进近阶段飞行指引（F/D）消失的现象，从系统架构层面解析自动飞行指引系统（AFDS）与自动油门系统（A/T）的工作原理及交联关系。通过分析飞行控制计算机（FCC）的数据来源架构、RA双数据总线分发逻辑及左RA作为A/T唯一无线电高度数据源这一关键设计特征，揭示RA故障引发F/D消失、自动驾驶脱开和自动油门异常的内在机制。结合荷兰安全委员会对土耳其航空1951号航班事故的最终调查报告、EASA安全信息通告SIB 2009-12等权威文献，提供安全飞行参考。
关键词： 自动飞行指引系统；无线电高度表；飞行指引；自动油门；飞行控制计算机；波音737NG
1 引言
波音737NG自动飞行系统（AFS）由自动驾驶飞行指引系统（AFDS）和自动油门系统（A/T）组成。在日常运行中，该系统通过高度集成的自动化功能显著降低了机组工作负荷。然而，当系统内部某一数据源发生故障时，由于各子系统间复杂的交联关系，可能引发非预期的驾驶舱效应。
近期，某航空公司B737-800在执行ILS进近过程中发生无线电高度表故障事件：五边进近阶段一侧飞行指引（F/D）指令杆突然消失，同时伴随自动驾驶脱开。在事件复盘中，部分副驾驶对自动飞行系统各组件间的关联关系缺乏清晰认识。
类似的RA故障若未得到及时识别与处置，其后果可能更为严重。2009年2月25日，土耳其航空1951号航班在阿姆斯特丹史基浦机场进近过程中，因左侧RA错误输出-8英尺高度值，导致自动油门提前进入RETARD模式，最终飞机失速坠毁，造成9人遇难。本文旨在从系统架构层面解析RA故障的影响机制，为飞行训练提供理论参考。
2 波音737NG自动飞行系统架构
2.1 系统组成
波音737NG的AFS由AFDS和A/T两大子系统构成，AFDS又可细分为自动驾驶（A/P）和飞行指引（F/D）。A/P和F/D之间的联系比二者分别与A/T的联系更为紧密，核心在于三者共用飞行控制计算机（FCC）作为计算中枢。三大系统的包含关系如图1所示。

2.2 飞行控制计算机（FCC）
FCC是AFDS的核心计算单元，波音737NG配备两部独立的FCC（FCC A和FCC B）。FCC的主要功能包括：
• 计算A/P目标操纵指令：接收MCP、FMC、ADIRS、MMR等系统数据，计算目标操纵指令。
• 计算F/D指引指令：与A/P共用同一计算逻辑，但输出方式不同——A/P指令传输至自动驾驶伺服作动筒驱动飞行控制面，F/D指令通过显示电子组件（DEU）以指引杆形式呈现在PFD上。
• 自动油门功能计算（新构型）：在主流B737-800构型中，独立自动油门计算机已被取消，A/T功能集成于FCC A，仅FCC A被程序销钉“授权”使用该功能。
这一设计意味着，当接通CMD A、F/D开、A/T预位时，三大系统的目标指令均由FCC A计算。一旦FCC A失效，自动驾驶B和右侧飞行指引仍可使用FCC B正常工作，但自动油门将不可用。
2.3 模式控制面板（MCP）与自动油门（A/T）
MCP是机组与AFDS交互的主要界面，位于遮光板上，为两部FCC共享，提供A/P衔接控制、模式选择和参数调定功能。
自动油门系统负责自动控制发动机推力，其主要工作模式包括N1模式、SPEED模式、THR HOLD模式和RETARD模式。RETARD模式正常仅在27英尺以下激活，用于着陆拉平阶段自动收油门至慢车位。
3 无线电高度表与AFDS的交联关系
3.1 RA系统架构与双数据总线
波音737NG配备两套独立的无线电高度表，每套包括一部收发机和两部天线，安装于机腹前部。RA采用调频连续波（FMCW）测距原理，通过向地面发射连续调频波并接收反射信号计算离地高度。
RA收发机获取的高度值通过两条独立的数据总线输出：
数据总线1：飞行控制计算机（FCC A和FCC B）、自动油门功能
数据总线2：显示电子组件（DEU）、近地警告系统（GPWS）、TCAS、DFDAU、气象雷达
这一双总线架构意味着：当RA发生故障时，其影响范围取决于故障类型——是数据总线1的输出异常，还是数据总线2的输出异常，抑或两者同时异常。RA系统的整体架构和数据总线分发逻辑如图2所示。

3.2 左RA作为自动油门的唯一数据源
波音737NG自动飞行系统设计中一个至关重要但常被忽视的特征是：自动油门系统的无线电高度输入仅来源于左侧（系统1）RA，无论当前选用了哪部FCC或哪部自动驾驶。
这一设计在土耳其航空1951号航班事故中产生了致命影响：当左侧RA在下降通过1950英尺时突然输出-8英尺的错误值时，自动油门接收错误信号并进入RETARD模式，而右侧自动驾驶（使用右侧RA正确数据）仍在试图跟踪下滑道，导致飞机在推力减至怠速的情况下俯仰持续增大，最终失速。
3.3 F/D消失机理
波音737NG-FTD-34-15002记录了一个已知问题——“飞行指引意外消失（UNEXPECTED REMOVAL OF FLIGHT DIRECTOR, BIASED OUT OF VIEW）”[2]。波音收到多家航空公司报告：进近阶段飞行指引消失、自动驾驶脱开。
该FTD指出：RA数据总线1向FCC提供数据，数据总线2向DEU等提供数据。即使F/D消失、自动驾驶脱开或NO AUTOLAND出现时，FDR数据也可能不显示RA数据异常变化。这是因为RA收发机内部监控器在检测到故障时，会禁止数据总线1向FCC的输出；但不影响数据总线2的输出。
这一机制解释了F/D消失的原因：当RA收发机内部监控器禁止数据总线1输出时，FCC失去RA数据输入。由于FCC在进近模式下需要RA数据来计算F/D指令（特别是2000英尺以下的模式转换、FLARE预位等），RA数据缺失将导致FCC无法提供有效F/D指引，从而导致指引消失。
在ILS进近模式下（APP模式衔接），FCC对RA数据的依赖性显著增强，多个高度关键的模式转换需要RA触发：2000英尺以下TO/GA复飞预位、1500英尺双通道耦合、350英尺FLARE预位、50英尺FLARE衔接、27英尺RETARD衔接。
4 典型案例分析
4.1 土耳其航空1951号航班事故
2009年2月25日，土耳其航空1951号航班（B737-8F2，TC-JGE）在阿姆斯特丹史基浦机场进近18R跑道时坠毁于跑道入口外约1.5公里处，造成9人遇难。
飞机下降通过1950英尺时，左侧RA突然从正常读数变为-8英尺。由于A/T仅使用左RA数据，-8英尺的错误值触发了RETARD模式（正常仅27英尺以下激活），两台发动机推力被减至进近慢车。右侧自动驾驶继续跟踪下滑道，随着空速下降，飞机俯仰姿态持续增大。机组未能及时识别空速衰减，直到约500英尺时抖杆器触发。副驾驶前推油门杆，但机长接管后仍衔接的自动油门再次收油门至慢车。抖杆触发9秒后油门杆才被完全前推，但飞机已失速，剩余高度不足以改出。
荷兰安全委员会最终报告确认：左RA输出的-8英尺错误值是事故触发因素；自动油门仅使用左RA数据的设计特征是关键系统性因素；波音公司和FAA虽早已知晓737-800机队存在的RA问题，但将其视为技术问题而非飞行安全问题。2006年后制造的737已配备左右RA数据比较功能，当出现差异时断开自动油门，但早期飞机未配备此功能[1]。类似事件也发生于2009年4月澳大利亚悉尼，一架B737-800因左RA输出-7英尺错误值导致自动驾驶脱开和油门杆异常移动，所幸机组及时发现并纠正[3]。
4.2 波音FTD报告的F/D消失事件
737NG-FTD-34-15002记录了大量由RA信号问题导致F/D消失的报告[2]。关键发现包括：该问题最常见于右侧LRRA和FCC-B之间的接口；根源怀疑为RA收发机后部同轴电缆固定夹安装过紧；即使F/D消失、自动驾驶脱开，FDR数据可能并不显示RA数据异常——因为RA内部监控器禁止了数据总线1的输出，但数据总线2仍正常输出，DEU显示的RA读数可能看起来正常。
这意味着机组可能在PFD上看到正常的RA读数，但FCC实际已失去RA数据，从而导致F/D消失。这种“显示正常但实际故障”的隐蔽性增加了机组识别难度。
5 驾驶舱效应综合分析
综合上述分析，RA故障可能产生的驾驶舱效应可归纳为三类：
直接效应：左RA错误输出低高度值导致A/T提前进入RETARD模式、推力杆收至慢车、EGPWS警告；RA数据总线1输出中断导致对应侧F/D消失、自动驾驶脱开、无法衔接双通道进近。
隐蔽效应：RA收发机内部监控器禁止数据总线1输出但数据总线2正常时，PFD显示RA读数正常、FDR记录无异常，但FCC实际已失去RA输入，导致F/D消失。
连锁效应：以土耳其航空1951号航班为例，左RA故障的连锁路径为：左RA故障（-8ft）→A/T RETARD模式→推力减至怠速→空速衰减→俯仰增大→失速。每个环节都依赖前一环节的输出，如机组能在任一环节打断链条（如发现RETARD异常后断开A/T手动加推力），事故即可避免。
6 对飞行训练的启示
6.1 建立系统整体性认知
部分副驾驶对自动飞行系统的理解停留在“自动驾驶管轨迹、自动油门管推力、飞行指引提供指引”的表层认知，缺乏对三者共享FCC计算核心这一架构特征的理解。训练中应加强：FCC作为计算核心的角色、A/T与FCC A的绑定关系、RA数据的不对称分发（左RA数据专门用于A/T逻辑，不可通过选用CMD B来规避）。
6.2 加强FMA监控与模式识别
无论在自动化飞行还是人工飞行中，飞行机组都应仔细监控主要飞行仪表和FMA中的自动飞行模式。训练中应重点关注：RETARD模式的异常出现时机（高于27英尺出现RETARD是RA故障的明确指示）、F/D指令杆的意外消失、自动驾驶意外脱开。
6.3 强化非正常情况处置
建议建立RA故障识别与处置流程：①识别——RA读数差异、FMA异常模式、F/D消失、自动驾驶脱开、EGPWS不当警告；②核实——交叉检查左右PFD的RA读数、检查空速和俯仰姿态；③处置——断开A/T手动控制推力，如自动驾驶异常则断开改为人工飞行；④通报——向ATC通报情况，评估是否需要复飞。很多公司在油门杆管理方面要求机组当进行自动进近、复飞时，PF 应保持一只手在油门杆上并跟随自动油门移动。PF 应根据需要手动调整推力，以确保设置适当的推力，从而防范和纠正任何异常行为。
7 结论
波音737NG自动飞行系统各子系统通过FCC和RA数据交联形成紧密耦合关系。RA故障之所以能引发F/D消失、自动驾驶脱开和自动油门异常等连锁反应，根源在于RA数据在AFDS各组件间的不对称分发——特别是左RA作为A/T唯一数据源这一设计特征。
“三大系统相互独立”这一常见说法需要被正确理解：操作层面，A/P、F/D和A/T确实可以独立或组合工作；但在架构层面，三者共享FCC计算核心，且A/T与左RA存在不可替代的数据绑定关系。这种“操作上独立、架构上耦合”的特征，正是飞行机组需要深入理解的关键。
本文期望通过系统性的架构解析和典型案例分析，帮助飞行机组——特别是副驾驶群体——建立对自动飞行系统整体性的清晰认知，从而在面对非正常情况时能够快速识别、准确判断、果断处置，确保飞行安全。
参考文献
[1] Dutch Safety Board. Final Report: Crash Turkish Airlines Flight 1951, Boeing 737-8F2 TC-JGE, Amsterdam Schiphol Airport, 25 February 2009[R]. The Hague: Dutch Safety Board, 2010.
[2] Boeing. 737NG Fault Tolerance Data (FTD) 34-15002: Unexpected Removal of Flight Director (F/D), Biased Out of View[Z]. Seattle: The Boeing Company.
[3] Australian Transport Safety Bureau. Avionics system event - Boeing 737-800, VH-VYL, Sydney Airport, NSW, 7 April 2009[R]. ATSB Investigation AO-2009-013. Canberra: ATSB, 2010.