——CX780事故留给飞行运行的系统安全启示
关键词：CX780 事故、SAP 颗粒、系统安全
摘 要
2010年4月13日，国泰航空CX780航班在进近香港时失去对两台发动机推力的正常控制，以231节地速接地，停在跑道尽头前309米。调查从发动机燃油计量组件中的微米级颗粒，追溯到泗水机场地井供油管路施工期间进入的盐水。本文依据香港民航处最终调查报告，还原污染逐环穿透多层防线、造成主计量阀卡滞的过程，对照B737NG所用CFM56-7B发动机的燃油计量与控制原理，讨论防线为何被逐一击穿，以及变更管理与接口管理对飞行运行的意义。
一、跑道尽头前309米
香港时间13时43分，B-HLL落在香港国际机场07L跑道上。触地点已越过跑道入口约680米，地速231节——按当时173600公斤的着陆重量，全形态进近速度只有135节。右主起落架触地后弹起，第二次接地时，左发短舱下部擦上了跑道。两台反推只有1号正常展开，机组施加最大人工刹车。飞机滑跑约2630米，停在A10滑行道以东，前轮距跑道尽头约309米。
图1 B-HLL停在07L跑道上，八条撤离滑梯全部放出（香港民航处事故报告2/2013，图2）
刹车温度升到了显示上限，五个主轮因热熔塞熔化而泄压。机场消防确认起落架区域有烟火后，机长下令撤离。八个出口全部打开，八条滑梯同时放出；两分十五秒后，机上322人全部离开飞机。57名旅客和6名乘务员受伤，其中一名旅客重伤。
图2 左发短舱下部擦碰跑道留下的损伤（香港民航处事故报告2/2013，图19）
照片里的飞机完整地停在阳光下，滑梯铺在道面上。很难想象几分钟前驾驶舱里的情形：两根推力杆已经不再听使唤，1号发动机停在约74% N1，2号停在约17% N1的亚慢车状态，机组靠减速板、起落架和高度交换把能量一点点磨掉。超速警告响过，近地警告也响过。调查报告写得很平静：到最后阶段，机组只能把飞机安全落下。
危险并不是最后进近才出现的。四个多小时前，飞机停在泗水朱安达机场8号机位。机长绕机时看见加油员在做油样检查：烧杯里的燃油清澈明亮，水分检查没有异常。加注24400公斤燃油的过程中，加油软管却数次振动，压差表一度指到4 psi。操作员判断那是管路施工后残留的空气，停一停，等振动消失，接着加。加完油的油样依然清澈，每个人都有理由相信燃油没有问题。
飞机于当地上午起飞。爬升中，机组注意到2号发动机EPR在目标值附近异常波动，幅度约±0.015，1号发动机也有较小的波动。在FL390改平后，ECAM先后跳出“ENG 2 CTL SYS FAULT”“ENG 2 SLOW RESPONSE”和“AVOID RAPID THR CHANGES”。机组两次打卫星电话联系维修控制部门，对照FCOM和QRH逐条核对；地面技术人员认为可能与VSV系统有关，以前有过先例；其余参数一度正常，航班继续飞往香港，计划落地后更换2号发动机FMU。
13时19分，下降通过FL300，驾驶舱里传来一声轻微的砰响，随后飘来类似臭氧和焦煳的气味，2号发动机失速。机组按ECAM把2号推力杆收回慢车。十一分钟后，1号发动机也失速。13时32分，机组宣布MAYDAY。后面的进近，是在两根推力杆基本失效的情况下完成的。
二、清澈油样背后的污染链
事故后的拆检把调查人员带进两台发动机的FMU内部。两只主计量阀都卡滞在与发动机最终功率相符的位置，阀芯和阀套之间散布着白色细微颗粒，在阀套底部形成聚集。扫描电镜、能谱和红外光谱的答案一致：颗粒主要是聚丙烯酸钠类超吸水聚合物（SAP），正是加油车过滤监控器里的吸水材料。它们多数只有5至25微米，却出现在飞机油箱、发动机燃油管路、FMU和可调静子叶片控制部件里。
图3 扫描电子显微镜下的SAP球状颗粒（香港民航处事故报告2/2013，附录11）
污染源不在天上，而在泗水的地下。朱安达机场紧邻海岸。2009年起机场扩建机坪，要把供油环网延伸至新建机位，2010年3月5日动工。八处接驳点，手锯切管，打磨坡口，擦拭内壁，电弧焊接。接驳工作坑地势低洼，施工期间连日降雨，3月25日单日就下了139毫米，坑里积水，靠水泵往外抽。距工地约300米有一座调节池，事后取样证实，池水含氯化钠。调查认定，盐水最可能是在管端敞开期间进入地井系统的。
图4 泗水机场供油管路接驳工作坑，坑内积水需水泵抽排（香港民航处事故报告2/2013，图54）
复投环节没有闭环。4月9日，受影响管路做了首次冲洗，冲洗量为延伸管容积的三倍，油样目视“清澈透亮”，实验室结论“符合规格”。但计划中的第二次冲洗没有告知燃油供应商；按规定须由印尼民航当局技术组验收签发的最终接收，到事故当天也没有完成。供应方以为环网已经恢复，5至10号机位的地井供油于4月11日提前恢复。
系统随后接连发出信号。4月11日起，多台加油设备短时间内因压差升高而计划外更换过滤监控器，没有人启动污染调查。4月12日，执行同一航班号的另一架A330在同一机位、由同一辆JUA06加油车加油，飞行中发动机参数波动，落地后更换了1号发动机FMU，换下的FMU油样里检出了同类颗粒。4月13日，轮到B-HLL加油，软管反复振动，压差表又指到4 psi，操作员停一停，接着加。每一个现象都被单独解释掉了，没有人把它们放到同一张图上。
图5 为B-HLL加注燃油的JUA06加油车（香港民航处事故报告2/2013，图28）
盐改变了过滤监控器原本的工作方式。正常工况下，滤芯内的SAP吸水膨胀，靠升高压差直至限制流量，挡住含过量游离水的燃油；含盐水却削弱了这种关断能力。调查提出的可能机制是：SAP吸水成胶后，在持续的低流量循环和加油压力作用下穿过滤层，形成球状颗粒进入下游。模拟试验支持这一机制，但报告同时写明：事故中SAP颗粒生成和积聚的精确过程无法完全确定。
三、五至二十五微米，如何夺走推力控制
在遄达700上，FMU的任务是把EEC算出的推力需求转换为准确的燃油流量：主计量阀由精密配合的阀芯和阀套组成，阀口面积决定通过能力；压差及溢流组合阀维持阀前后压差，使流量与阀位保持确定关系；EEC通过力矩马达发出指令，位置旋变器把阀位反馈送回两个控制通道，构成闭环。计量后的燃油经增压及切断活门、流量传感器和高压滤送往燃油总管和24个喷嘴。
这套系统并不要求阀门有多结实，它要求的是阀芯在极小的配合间隙内始终能够顺畅移动。事故FMU里的SAP颗粒多数为5至25微米。颗粒进入配合面后，起初只是摩擦增大、运动迟滞：指令照常发出，阀位却不再稳定跟随，燃油流量和EPR开始波动——这正是CX780爬升和巡航阶段看到的现象。颗粒继续黏附、聚集，伺服机构能克服的阻力被一点点耗尽，主计量阀最终卡死。1号发动机卡在较大供油位置，2号发动机卡在低供油位置。同一种污染，因卡滞时刻不同，给出了两个完全相反、却同样失控的推力结果。
图6 1号发动机主计量阀剖切视图，阀套底部可见SAP聚集（香港民航处事故报告2/2013，附录10）
调查报告没有越过证据的边界。它确认SAP导致两台FMU从迟滞发展到完全卡滞，但无法确定飞行中颗粒的浓度和积聚速率，也无法重建阀芯每一次受阻的过程。不过有一件事不需要更多证据：颗粒一路走进主计量阀，沿途的油箱、管路、滤芯和监控环节，没有一处拦住它。技术原因查到这里，问题便回到了防线一侧。
四、把镜头转向CFM56-7B
对737NG运行人员而言，这条链路并不陌生。CFM56-7B是737NG系列的专用发动机，推力控制走的仍是同一条链路：电子计算—液压机械执行—阀位反馈。
沿CFM56-7B的供油路径：燃油先进入主燃油泵低压离心级，经主燃滑油热交换器和燃油滤后进入高压齿轮级；高压燃油送入液压机械组件HMU，其中燃油计量活门FMV在压差调节机构配合下控制供往燃烧室的流量，高压切断活门HPSOV负责切断供油；计量燃油再经流量传感器和喷嘴滤供给20个喷嘴。HMU还分出部分燃油作伺服介质，驱动VBV、VSV和高压涡轮主动间隙控制等机构。双通道EEC综合推力杆角度、N1、温度、压力等输入，通过力矩马达控制FMV，并接收解算器送回的阀位反馈。
这条链路，过去同样曾被打破。1998年7月7日，西南航空一架737-700（N701GS）进近伯明翰，下降通过2875英尺时，2号发动机的燃油流量在74秒内从656磅/小时冲到3920磅/小时，EGT从430摄氏度升至973摄氏度，N1反而从25.6%掉到12.8%，机组关车。NTSB查明：HMU内FMV解算器的B通道导线在制造过程中受损，受热到160华氏度以上后输出失稳；当时的EEC软件逻辑锁定在这个异常通道、隔离了另一通道，指令FMV走向全开，瞬间涌入的燃油把核心机压得失速，低压涡轮烧蚀。
这条链上的环节，当年同样被逐环击穿：导线的损伤在制造环节埋下，交付与装机检验都没能发现；解算器输出异常后，本应容错的双通道设计，又被软件逻辑锁死在坏通道上，NTSB的可能原因直指这一点。把两起事件放在一起看，机型不同、起因不同，规律却一致：风险从来不是一步跨进驾驶舱的，它总是一环一环走过来，而沿途的每个环节，都以为后面还有人把守。
五、让风险停在最后一道防线之前
用系统安全的眼光回看，CX780并不是“防线全部失效”的故事。施工隔离、复投验收、冲洗与油样检查、加油设备监控、异常调查、前一航班的技术信息，这些上游防线被先后穿透，驾驶舱和客舱构成最后的减灾防线。机组按程序处置、逐级升级紧急状态，在推力控制已经丧失的情况下完成着陆；乘务组两分十五秒完成撤离。最后一道防线没有让一切恢复正常，但挡住了事故向灾难继续发展。
值得追问的是，风险为什么一定要到驾驶舱里才显出完整的形状。4月11日以后集中出现的计划外换芯，本可以成为带触发阈值的先行指标；4月12日B-HLM换下的FMU，本可以把空中波动与同一机位、同一辆加油车连起来；4月13日的软管振动和异常压差，本可以让加油在污染燃油进入飞机之前停下。问题不在于系统没有数据，在于数据没有变成必须行动的条件。
另一个缺口发生在组织接口。施工方计划二次冲洗，燃油供应方却以为供油环网已经恢复；规定的最终检查没有完成，现场运行却先行开始。每一方都只握有事实的一部分，也都以为另一方已经完成了剩余部分。变更管理未进行下面三个环节的确认：谁有权确认恢复运行，凭什么证据确认，确认之后谁继续监测。
行业后来的动作，几乎每一项都对着这条链上的具体环节。滤芯制造商Facet在2011年推出钢制中心管、符合EI 1583第六版的过滤监控器，先解决滤芯塌陷；但IATA的SAP工作组随后确认了多起同类事件，能源学会最终撤销了EI 1583规范，JIG标准自2023年7月起全面移除过滤监控器，行业转向水屏障过滤和过滤分水器加电子水传感器——靠吸水材料做最后把关的设备，就此退出航空燃油保障。驾驶舱一侧，空客在2010年11月发布SIL 28-094厘清燃油质量责任，次年QRH增加“怀疑发动机燃油系统污染”程序，从罗罗构型扩展到其他构型；国泰把这道程序写进机组手册，并加入IATA燃油质量联合检查组。供油环节也没有落下：ICAO在2012年发布《民用航空喷气燃料供应手册》（Doc 9977），调查报告还向ICAO建议为加油设备加装压差超限自动告警停油装置——4月13日那根反复振动的软管旁边，如果有一台会自动喊停的设备，链条当时就会断掉。
国内的要求同样在收紧。现行《民用航空油料适航管理规定》（CCAR-55）要求油料供应企业对储运、检测、加注全过程实施质量监控，发现可能危及飞行安全的油料质量问题，必须以最快方式报告局方，并在二十四小时内提交书面报告；航空器营运人认为油料存在严重质量问题时，应当拒绝使用。2026年7月1日起施行的新版《民用航空安全管理规定》（交通运输部令2025年第6号），则把识别内外部接口、验证风险控制有效性、建立持续变更管理流程写进了硬性要求。这些条文的落点很清楚：地井管网复投是一次典型的变更，变更是否结束，需要明确的人依据明确的证据来确认；施工方与供应方各执一端，正是规章要求识别的内外部接口；而接连出现的计划外换芯，放在CCAR-55的报告义务下，本应直达局方。这些要求如今写进了规章，不做即是违规。
六、落到一次737NG航班
飞行员不可能从一杯清澈油样里看见5微米的聚合物，也不应被要求成为燃油化学家。机组能做的，是在程序和职责边界内，对“重复、相关、无法自洽”的异常保持敏感。航前读技术记录，不只看故障是否放行，也看同类故障是否反复、前后解释是否一致；核对加油量，不只看数字相加对不对，也留意保障过程有没有非正常中断和未说明的差异。
飞行中，QRH和标准分工始终优先。PF守住飞行轨迹，PM完成程序、通信和状态汇总；发动机参数既看瞬时值，也看趋势和两发之间的关系。若推力响应、燃油流量、N1和EGT出现不能由单一故障解释的组合变化，应及时向维修控制和运行控制传递完整信息，而不是只报最后点亮的一盏灯。“以前见过”可以是经验的起点，不能是关闭调查的终点。
进近阶段尤其需要避免口号化。推力仍然可控时，稳定进近标准和复飞门槛必须守住；一旦推力控制能力本身受损，决策核心就转为尽早争取时间、空域、合适跑道和地面救援资源，严格依照程序处置。CX780的价值，不在于给另一机型一张可以照搬的检查单，而在于一个提醒：当上游的环节一道道失守，驾驶舱就成了最后一道防线，而那时留给机组的选择，已经不多。
结 语
B-HLL最终停在跑道尽头前309米。这个数字令人后怕，但事故真正应该停下的地方，本可以远得多：可以停在施工后尚未完成的验收之前，停在第一次计划外换芯的时候，停在前一架飞机更换FMU的那个晚上，也可以停在那根反复振动的加油软管旁边。
安全工作的专业性，不只体现在识别一个复杂故障，更体现在不轻易放过一个尚未造成后果的异常。让“不放心”能够被记录，让分散的信息能够相遇，让每一次变更都由明确的人依据明确的证据宣布结束、接受效果的验证。做到这些，驾驶舱才不必一次又一次成为系统风险最后显形的地方。
参考文献
[1] Hong Kong Civil Aviation Department. Aircraft Accident Report 2/2013: Report on the Accident to Airbus A330-342 B-HLL Operated by Cathay Pacific Airways Limited at Hong Kong International Airport, Hong Kong on 13 April 2010[R]. Hong Kong, 2013.
[2] National Transportation Safety Board. Aviation Investigation Final Report MIA98IA193: Boeing 737-7H4, N701GS, Birmingham, Alabama, 7 July 1998[R]. Washington, D.C., 2001.
[3] Federal Aviation Administration. Aviation Maintenance Technician Handbook—Powerplant: Engine Fuel and Fuel Metering Systems, FAA-H-8083-32B, Chapter 2[M]. Washington, D.C., 2023.
[4] CFM International. CFM56-5B & CFM56-7B[EB/OL], 2026-08-11.
[5] Boeing. 737NG Flight Crew Operations Manual: Chapter 7, Engines and APU[Z].
[6] 中国民用航空总局. 民用航空油料适航管理规定：CCAR-55[S]. 2005.
[7] 交通运输部. 民用航空安全管理规定：交通运输部令2025年第6号，CCAR-398-R1[S]. 2025.
[8] International Air Transport Association. Investigation of Super Absorbent Polymer (SAP) in Aviation Fuel Filter Monitors[R].
[9] Joint Inspection Group. Bulletin 132: Phase Out of Filter Monitors from JIG Standards[R]. 2020.
作者：工程技术公司技术部 蒋帅
评论 (0)