Почему самолёты не врезаются друг в друга⁠⁠

Вы когда-нибудь сидели у иллюминатора, смотрели на облака внизу и думали: а много ли вокруг других самолётов прямо сейчас? Если лететь из Москвы в Сочи в пятницу вечером, рядом с вами в небе находятся буквально десятки бортов. Они идут на разных высотах, в разных направлениях, часть из них не видна в облаках. И вы летите через всё это — и почему-то не сталкиваетесь.

Диспетчер следит, скажете вы. Следит!

Но диспетчеры — живые люди, которые устают, иногда работают в ночную смену в одиночку, иногда у них ломается оборудование в самый неподходящий момент. И именно для таких случаев в каждом авиалайнере есть система, которая наблюдает за небом сама. Без перерывов, без усталости, без права на ошибку. Называется TCAS — и это одна из самых интересных инженерных историй в авиации.

Всё началось с катастрофы над Большим каньоном

30 июня 1956 года над Большим каньоном столкнулись два пассажирских самолёта — United Airlines DC-7 и TWA Constellation. 128 погибших.

Оба экипажа летели на глаз, диспетчеры не контролировали их эшелон — и в безоблачном небе над каньоном два самолёта просто не увидели друг друга вовремя.

После этой катастрофы США начали реструктуризацию системы управления воздушным движением — и параллельно возникла идея, что самолёт должен сам следить за соседями, не полагаясь только на землю.

Первые прототипы систем предупреждения появились в 60-х.

Логика была суперпростой: система должна орать, когда чужой борт подходит ближе определённого расстояния.

Но это не работало — при сближении на встречных курсах расстояние тает слишком быстро, и к моменту срабатывания тревоги уже некогда реагировать.

Потом инженеры сообразили: считать надо не километры, а секунды. Не «насколько далеко», а «через сколько мы окажемся в одной точке, если ничего не изменится». Этот параметр назвали tau — греческая буква, время до ближайшей точки сближения.

Он до сих пор лежит в основе любого TCAS.

Разработка заняла три десятилетия. TCAS II в нынешнем виде стал обязательным для коммерческой авиации США в 1993-м, для международной — с 2003-го. Сейчас стоит на каждом самолёте тяжелее 5 700 кг или с более чем 19 пассажирскими местами.

Как самолёт «видит» соседей

Чтобы понять TCAS, нужно сначала разобраться с транспондерами, они есть на каждом коммерческом борту.

Транспондер — это радиоответчик. Он молчит, пока к нему не обратятся, но когда получает запрос — отвечает пакетом данных. Старые стандарты (Mode A и Mode C) давали минимум: четырёхзначный идентификационный код и барометрическую высоту. Этого хватало земным радарам, чтобы отображать точку на экране.

Современный стандарт называется Mode S — S от Select, «избирательный».

У каждого борта с Mode S есть уникальный 24-битный ИКАО-адрес. Это 16 777 216 возможных комбинаций — достаточно, чтобы каждый летящий самолёт в мире имел свой персональный номер. Благодаря этому TCAS может обращаться к конкретному борту напрямую, не засоряя весь эфир.

Вот как работает TCAS каждую секунду:

Борт посылает запрос на частоте 1030 МГц — примерно как радарная станция, только с самолёта. Все транспондеры в радиусе около 74 километров слышат его и отвечают на 1090 МГц: вот мой адрес, вот моя высота. Из этих ответов TCAS собирает трёхмерную картину.

Расстояние до каждой цели считается из времени прохождения сигнала туда-обратно — со скоростью света это элементарная математика. Высота берётся из данных транспондера. Пеленг — направление, с которого пришёл ответ — определяет направленная антенна, установленная на верхней части фюзеляжа.

Получается: вот борт на таком-то расстоянии, на такой-то высоте, вот откуда он. А из серии таких снимков, сделанных несколько раз в секунду, TCAS вычисляет вектор — куда летит каждая цель и с какой скоростью сближается с нами. Дальше считается tau: расстояние делится на скорость сближения, получаются секунды до точки максимального сближения. Отдельно — горизонтальный tau, отдельно — вертикальный.

Если оба tau одновременно падают ниже пороговых значений — начинается реакция.

Два уровня, два разных разговора

Traffic Advisory (TA) — первый уровень, tau около 40-45 секунд. В кабине голос: «Traffic, traffic». На навигационном дисплее появляется жёлтый кружок (см.картинку выше) — вот откуда угроза. Это просто предупреждение: посмотри на экран, будь готов.

Resolution Advisory (RA) — второй уровень, tau около 25-35 секунд. Вот здесь система переходит от информации к приказу. «Climb, climb» или «Descend, descend» — голос, который не обсуждают. На вертикальном индикаторе скорости загорается зелёная зона: туда нужно попасть, и красная: туда категорически нельзя. Задача пилота — немедленно выйти на вертикальную скорость в зелёном секторе.

Пилот выполнять эту команду немедленно, даже если диспетчер в этот момент говорит что-то прямо противоположное. Особенно если диспетчер говорит противоположное...

Есть ещё превентивные RA — они не требуют манёвра, но ограничивают: «Monitor vertical speed» (не меняй то, что делаешь прямо сейчас) или «Level off» (прекрати набор или снижение). Это на случай, когда угроза ещё не критическая, но любое изменение режима полёта может её создать.

Как два компьютера договариваются без людей

Два самолёта сближаются, у обоих TCAS. Если оба независимо решат, что нужно набирать высоту — они полетят навстречу друг другу, что хуже исходной ситуации.

Когда TCAS первого борта обнаруживает угрозу и начинает выбирать манёвр, он одновременно посылает второму борту по Mode S короткое сообщение координации: «я намерен набирать». Второй TCAS получает это и выбирает противоположное — снижение. Оба пилота получают согласованные команды уже готовыми, расходящимися.

Всё это происходит до того, как хоть что-то сказано людям в кабинах. Два компьютера договорились по радио за доли секунды — и только потом позвали пилотов выполнять.

Если по какой-то причине второй борт не выполняет свой манёвр, система это отслеживает и корректирует команду первого. Эта возможность называется reversal advisory — она появилась в версии 7.1 после анализа конкретной катастрофы. В более ранних версиях TCAS, если один из бортов не выполнял свою команду, система ничего не делала.

Ужасная ночь

1 июля 2002 года. Небо над Германией, примерно в районе Боденского озера. Эшелон FL350 — около 10 650 метров.

Ту-154М авиакомпании «Башкирские авиалинии»: 69 человек на борту.

52 из них — дети из Башкирии, школьники, которые летели на каникулы в Испанию. Поездку организовал башкирский комитет ЮНЕСКО как поощрение за отличную учёбу. Дети ждали этой поездки весь год.

Грузовой Boeing 757 компании DHL: три члена экипажа, стандартный коммерческий груз.

В диспетчерском центре Skyguide в Цюрихе ночью работал один человек — Петер Нильсен, 34 года.

Второй диспетчер ушёл на перерыв. Автоматическая система оповещения об опасном сближении была выключена: плановое техобслуживание. Основная телефонная линия межцентровой связи не работала по той же причине.

В диспетчерском центре Карлсруэ немецкие коллеги видели опасное сближение двух бортов на своих радарах. Они пытались дозвониться до Нильсена одиннадцать раз. Телефон не отвечал.

Нильсен заметил ситуацию поздно. Он дал Ту-154 команду снижаться. В ту же секунду TCAS на Ту-154 выдал экипажу противоположную команду: «Climb, climb» — набирать высоту. TCAS Boeing к тому моменту уже скоординировался и выдал своему экипажу: «Descend, descend».

Система сработала правильно. Она развела бы самолёты — один вверх, другой вниз.

Но экипаж Ту-154 выбрал диспетчера. По российским нормам 2002 года TCAS считался вспомогательной системой, а команды диспетчера были приоритетными. Второй пилот Иткулов обратил внимание остальных на сигнал TCAS — ему ответили, что диспетчер уже дал команду снижаться. Самолёт продолжал идти вниз.

Boeing, выполняя команду своего TCAS, тоже снижался.

Оба летели навстречу друг другу.

В 21:35:32 они столкнулись почти под прямым углом. Ту-154 разрушился в воздухе, его обломки упали в трёх разных местах. Boeing потерял хвостовое оперение и упал в нескольких километрах. Выживших не было: 71 человек, из которых 52 ребёнка.

Петер Нильсен в момент столкновения работал у второго терминала — там с ним пытался связаться экипаж Boeing, чтобы доложить о выполнении команды TCAS. Нильсен не услышал. Когда он вернулся к первому экрану, всё было кончено.

Что изменила эта ночь

Расследование установило несколько причин: ошибка диспетчера, системные нарушения в Skyguide, техобслуживание с отключением критического оборудования в ночную смену. Но основной вывод звучал так: экипаж Ту-154 выбрал команду диспетчера вместо TCAS — это было смертельной ошибкой.

В остальном мире к тому моменту уже действовало другое правило: RA — это последний рубеж. Его выполняют немедленно, диспетчер в этот момент вторичен. В России нормативы привели в соответствие после катастрофы. Теперь правило единое для всей мировой авиации: TCAS RA выполняется всегда, без обсуждений.

TCAS обновили до версии 7.1 с механизмом reversal advisory — система стала отслеживать, выполняет ли второй борт свою команду, и корректировать собственную в случае отклонения.

Петер Нильсен так и не предстал перед судом. 24 февраля 2004 года архитектор из Владикавказа Виталий Калоев, потерявший в катастрофе жену, сына и дочь, пришёл к его дому. По словам Калоева, он пришёл за извинениями. Нильсен его оттолкнул — фотографии погибших упали на землю. Нильсен был убит у порога собственного дома, на глазах своей семьи. В 2005-м Калоев был осуждён за убийство. В 2007-м четверо менеджеров Skyguide признаны виновными в непредумышленном убийстве.

В центре Skyguide стоит мемориал с двумя датами. В той диспетчерской, откуда Нильсен управлял теми рейсами, всегда живая роза.

Что TCAS не умеет — и что придёт следующим

TCAS II командует только по вертикали: набирай или снижайся.

Горизонтальных команд — «отверни вправо» — не даёт. Причина техническая: пеленг по антенне определяется с точностью в несколько градусов, и при сближении на малой дистанции ошибка в несколько градусов — это катастрофа. Разводить по высоте надёжнее и проще.

Ложные тревоги случаются — примерно один RA на тысячу лётных часов на коротких маршрутах. Чаще всего при параллельных заходах на посадку, когда два самолёта сближаются контролируемо, но TCAS об этом не знает.

На подходе — ACAS X. Вместо фиксированных tau-порогов там динамическое программирование: система выбирает оптимальный манёвр под конкретную ситуацию, а не применяет один алгоритм для всех. ACAS Xa — для авиалайнеров, ACAS Xu — для беспилотников, которых в небе становится всё больше. Горизонтальные манёвры тоже планируются, но пока сертификация не завершена.

Когда у меня на дисплее появляется жёлтый кружок — чужой борт где-то рядом — я каждый раз думаю, сколько итераций, сколько катастроф и сколько инженерных решений ушло на то, чтобы эта маленькая иконка просто появилась на экране. Версия 7.1, в которой буквально зашита память о конкретной ночи над Боденским озером.

TCAS — это коллективная память авиации о том, что бывает, когда люди не успевают договориться. И о том, что иногда решение за 25 секунд лучше доверить машине.

Если вам зашла эта статья — скорее всего, вам вообще интересна авиация.

Как устроены самолёты, что происходит в кабине, почему всё работает именно так и иногда не работает. Я пишу об этом в своём телеграм-канале @budnipilot, без занудства, с деталями и живыми историями. Там уже разбирали MEL (почему самолёт иногда взлетает со сломанным оборудованием), хейтили DC-10 и A320neo, разбирали аэропорты изнутри и снаружи.

Заходите: t.me/budnipilot