- Safety communication - Safety communication

BỘ GIAO THÔNG VẬN TẢI

HỌC VIỆN HÀNG KHÔNG VIỆT NAM
KHOA KHAI THÁC HÀNG KHÔNG

BÀI TẬP MÔN HỌC AN TOÀN HÀNG KHÔNG

ĐIỀU TRA VỤ TAI NẠN

Giảng viên hướng dẫn: Sinh viên nhóm 3Học sinh thực hiện:
Ths. HOÀNG THỊ KIM QUY NGUYỄN Y BẢO HÂN
MSSV: 2158420042
HOÀNG LÊ NHẬT LAN
MSSV: 2158420020
PHẠM HÀ CHÂU
MSSV: 2158420012
TRỊNH HOÀNG MỸ NGỌC
MSSV: 2158420024
VŨ THỊ HOÀI AN
MSSV: 2158420051
ĐẶNG NHẬT KHANG
MSSV: 2158420029
NGUYỄN XUÂN DƯƠNG
MSSV: 2158420023

Thành phố Hồ Chí Minh, tháng 6 năm 2023

1
I. Khái quát chung
Theo khuyến cáo của ICAO, các nhà cung cấp dịch vụ hàng không nên triển khai và xây dựng
một hệ thống quản lý an toàn hàng không SMS bao gồm 4 thành tố và 12 nhân tố như sau:
1. Chính sách và mục tiêu an toàn (Safety policy and objectives): Gồm 5 nhân tố:
1.1 Cam kết và trách nhiệm về quản lý an toàn.
1.2 Trách nhiệm giải trình về an toàn.
1.3 Bổ nhiệm nhân viên an toàn chủ chốt.
1.4 Phối hợp lập kế hoạch ứng phó khẩn nguy.
1.5 Tài liệu SMS.
2. Quản trị rủi ro an toàn (Safety Risk Management - SRM): Gồm 2 nhân tố:
2.1 Nhận diện mối nguy hiểm.
2.2 Đánh giá rủi ro mối nguy hiểm và công tác giảm thiểu rủi ro (đến một mức AloSP).
3. Đảm bảo an toàn (Safety Assurance – SA): Gồm 3 nhân tố:
3.1 Đo lường và giám sát hiệu quả an toàn.
3.2 Quản lý sự thay đổi.
3.3 Cải tiến liên tục SMS.
4. Tăng cường tính an toàn (Safety promotion): Gồm 2 nhân tố:
4.1 Đào tạo và huấn luyện.
4.2 Truyền thông về an toàn.

2
Mục lục

I. Tóm tắt vụ tai nạn.................................................................................................................3

II. Các nguồn thông tin được sử dụng trong việc điều tra tai nạn.......................................4

III. Liên hệ với Swiss-Cheese Model.......................................................................................5

3.1 Lỗi từ tổ chức...................................................................................................................5

3.2 Môi trường làm việc........................................................................................................6

3.3 Lỗi do con người..............................................................................................................6

3.4 Lá chắn.............................................................................................................................8
3.4.1 Chính sách..................................................................................................................8
3.4.2 Đào tạo.......................................................................................................................8
3.4.3 Kỹ thuật......................................................................................................................8

IV. Nguyên nhân gây ra tai nạn...............................................................................................8

4.1 Nguyên nhân chính gây ra tai nạn:...............................................................................8
4.2 Về kĩ thuật.....................................................................................................................8
4.3 Về Phi hành đoàn:.........................................................................................................9

3
I. Tóm tắt vụ tai nạn

Ngày 29 tháng 10 năm 2018, 6 giờ 32 phút giờ địa phương (23 giờ 32 phút giờ Quốc
tế), chiếc Boeing 737-8 Max của hãng hàng không Lion Air mang số hiệu PK-LQP. Chuyến
bay từ Jakarta đến Pangkal Pinang. Khi máy bay biến mất khỏi radar sau khi báo cho kiểm
soát viên không lưu, máy bay va chạm với mặt nước tại Tanjung Karawang, toàn bộ 189
người đều thiệt mạng gồm 2 phi công, 6 tiếp viên và 181 hành khách cũng như là toàn bộ
chiếc máy bay đều bị phá huỷ.
Chiếc máy bay xảy ra vụ tai nạn đã gặp sự cố từ nhiều chuyến bay trước. Phải kể đến
đầu tiên chính là chuyến bay từ China đến Manado (Indonesia), khi này flag SPD và ALT
hiển thị không chính xác. Nhưng kỹ sư tại Manado không thể sửa được do không đủ phụ tùng
nên máy bay đã bay đến Denpasar để sửa chữa. Tại Denpasar, kỹ sư đã sửa chữa và thay cảm
biến AOA của cánh trái máy bay do phát hiện một số lỗi. Tuy nhiên, trong chuyến bay từ
Denpasa đến Jakarta, chiếc máy bay càng thể hiện nhiều lỗi kỹ thuật hơn từ cảm biến AOA
cánh trái lệch 21˚đến các cảnh báo IAS DISAGREE, ALT DISAGREE và đèn FEEL DIFF
PRESS sáng. Sau nhiều nỗ lực thì tổ bay đã đáp thành công xuống Jakarta. Tuy cơ trưởng có
báo cáo sau chuyến bay về các lỗi của tàu bay nhưng báo cáo không đầy đủ nên tổ kỹ sư
không sửa chính xác, và chiếc máy bay còn lỗi thực hiện chuyến bay từ Jakarta đến Pangkal
Pinang và gặp tai nạn.

Tóm tắt chuyến bay LNI610:

Khi chuyến bay bắt đầu, stick shaker bắt đầu rung.
Cơ trưởng muốn tăng tốc, cơ phó đề nghị quay lại vì nhận thấy tàu bay có vấn đề
nhưng cơ trưởng không trả lời.
Phi hành đoàn thay đổi độ cao, mở cánh tà và đã có cảnh báo Air speed low.
Tình huống nguy hiểm bắt đầu xảy ra, cơ trưởng yêu cầu cơ phó làm theo check list
khi nguy hiểm nhưng cơ phó phải lật sách để tìm kiếm nội dung này.
Nhiều âm thanh liên tục vang lên trong buồng lái: tiếng báo động áp suất, tiếng báo
động độ cao, tiếng chuyển động của trim wheel, tiếng lật sách làm tăng sự căng thẳng cho phi
hành đoàn.
Tiếng stick shaker, cảnh báo tốc độ tiếp tục vang lên. ATC ra nhiều huấn lệnh về
hướng nhưng phi hành đoàn vẫn đang tập trung về checklist nguy hiểm nên việc giao tiếp
không hiệu quả mà chỉ tăng thêm khủng hoảng.

4
 Tàu bay đã kết nối được với cơ quan tiếp cận, ARR cho tàu hạ cánh ở đường băng
25L, hướng 070. Lúc này, theo CVR ghi lại, giao tiếp giữa hai bên vẫn chưa hiệu quả vì tình
huống căng thẳng ở phía phi hành đoàn.
Tàu bay được chấp nhận giảm độ cao để hạ cánh, nhưng khi tàu hạ cánh, cơ trưởng đã
yêu cầu bay lên lại. Cuối cùng tàu rơi xuống biển.

II. Các nguồn thông tin được sử dụng trong việc điều tra tai nạn
- AFML - Aircraft flight maintenance (tài liệu giám sát và bảo trì máy bay).
- CVR - cockpit voice record.
- DFDR - Dữ liệu từ thiết bị ghi lại dữ liệu chuyến bay (DFDR).
- Báo cáo của tổ lái sau chuyến bay.
- Các thử nghiệm của boeing.
- AFML - nguồn giám sát sự cố máy bay hàng ngày.
- Engineering Simulator – Mô phỏng kỹ thuật.
- Quản lý tài nguyên phi hành đoàn (CRM).
- Các thông tin về khí tượng, phương tiện dẫn đường, sân bay,…
- Hồ sơ phi hành đoàn và những người liên quan đến chuyến bay.
- AMM - Aircraft Maintenance Manual (Sổ tay bảo dưỡng tàu bay).
- SDS - System Description Section (Mô tả hệ thống).
- FCOM - Flight Crew Operations Manual (Sổ tay vận hành phi hành đoàn).
- Các thông tin về hệ thống tàu bay
- Các thông tin về tổ chức và quản lý (Nhà khai thác tàu bay, Tổ chức bảo trì được phê
duyệt, Xtra Aerospace LLC, Chứng nhận máy bay của Cục Hàng không Liên bang
(FAA))

5
III. Liên hệ với Swiss-Cheese Model

3.1 Lỗi từ tổ chức

3.1.1 Boeing không gửi đầy đủ cách ứng phó trường hợp MCAS bị lỗi và FAA không phát
hiện
MCAS được thiết kế để phụ thuộc vào một cảm biến AOA duy nhất, khiến nó dễ bị
ảnh hưởng bởi thông tin sai lệch từ cảm biến đó. Trong quá trình thiết kế và chứng nhận của
Boeing 737-8 (MAX), đã đưa ra giả định về phản ứng của phi hành đoàn đối với các sự cố kỹ
thuật, nhưng lại không tính đến nhiều yếu tố môi trường và con người nên không đưa ra
hướng dẫn về cách xử lý cho phi công. Việc thiếu hướng dẫn về MCAS là một sai lầm vô
cùng lớn nhưng FAA lại không nhận ra và xét duyệt cho thiết kế của Boeing.
3.1.2 BAT và Lion Air quản lý không nghiêm ngặt việc sửa chữa tàu bay và việc thả tàu bay
bị lỗi
Trước chuyến bay bị tai nạn thì đã có tận 3 chuyến bay có lỗi kỹ thuật, việc này cho
thấy sự quản lý về quy trình sửa chữa của hãng bay còn nhiều thiếu sót. Đặc biệt là chuyến
bay đáp tại Manado, kỹ sư không sửa được tàu bay nhưng lại thả chiếc tàu bay đang lỗi đó
đến Denpasar. Lion Air đã có quy định về việc tàu bay “KHÔNG ĐƯỢC ĐI” nhưng lại chưa
thể kiểm soát chặt chẽ nó. Việc sửa chữa và thay cảm biến AOA tại Denpasar cũng không
được xác định là chắc chắn đã sửa đúng hay chưa vì kỹ sư không quay lại quá trình thử
nghiệm theo yêu cầu của BAT và BAT cũng không kiểm tra lại việc sửa chữa này.
3.1.3 Chương trình đào tạo SMS không đủ
Cuộc điều tra cho rằng lượng thời gian dành cho chủ đề nhận dạng mối nguy hiểm
trong giáo trình đào tạo SMS là không đủ. Điều này có thể làm giảm khả năng của nhân viên
trong việc xác định và báo cáo mối nguy hiểm. Ví dụ cơ trưởng chuyến bay LNI043 đã báo

6
cáo nhưng chưa đầy đủ dẫn đến việc báo cáo không phải là báo cáo sự cố nghiêm trọng, cũng
không được đánh giá là nguy hiểm cho chuyến bay tiếp theo. Do vậy, khi báo các ngoài giờ
hành chính Ban Giám đốc An toàn và An ninh không được xử lý cho đến giờ hành chính vào
ngày hôm sau.
Việc đào tạo SMS không đầy đủ và nhân viên không có khả năng xác định mối nguy
hiểm cũng có thể được chỉ ra bởi báo cáo sau chuyến bay không đầy đủ về các sự cố xảy ra
trên LNI043. Báo cáo không đầy đủ trở thành một mối nguy hiểm vì các khiếm khuyết đã biết
hoặc nghi ngờ không được báo cáo, điều này có thể khiến kỹ sư không thể duy trì đúng khả
năng bay của máy bay.
3.2 Môi trường làm việc

3.2.1 Âm thanh stick shaker bị chồng chéo lên tiếng hoạt động của MCAS
Nhiều âm thanh của các thiết bị trong buồng lái, cộng thêm vấn đề của tàu bay gây
mất tập trung và tạo áp lực lên hai phi công.
3.2.2 Kiểm soát viên không lưu
Do có sự nghi ngờ về độ cao và tốc độ trên màn hình hiển thị, cơ phó đã liên hệ Kiểm
soát viên để hỏi nhưng không nhận được câu trả lời vì thông tin mà kiểm soát viên có cũng
chỉ từ tàu bay đưa xuống. Không thể xác định nguồn nào không đáng tin cậy có thể làm tăng
căng thẳng cho phi hành đoàn.
Khối lượng công việc của tổ bay tăng lên cùng với liên lạc kiểm soát viên cung cấp
tám huấn lệnh chỉ hướng khi tổ bay báo cáo rằng máy bay đang gặp sự cố điều khiển chuyến
bay. Do tổ bay không tuyên bố tình trạng khẩn cấp nên kiểm soát viên không xem đây là tình
huống khẩn cấp để hạn chế liên lạc.
3.2.3 Cơ phó làm việc ngoài lịch trình chính thức và cơ trưởng bị cảm

3.3 Lỗi do con người

3.3.1 Phi hành đoàn do không biết dùng MCAS nên làm tăng sức nâng cần điều khiển
Không có thông tin về MCAS được đưa ra trong tài liệu hướng dẫn tổ bay và MCAS
không được đưa vào huấn luyện tổ bay. Vì thế, phi hành đoàn đã vô tình làm tăng sức nâng
cần điều khiển dẫn đến việc tàu bay rơi nhanh hơn. Lỗi vô ý.
3.3.2 Cơ trưởng và cơ phó không làm việc chung với nhau
CVR quay lại được các hành động của tổ lái trong vụ tai nạn, thấy rõ rằng cơ trưởng
không chia sẻ phần công việc của mình với cơ phó, hai người cũng không giao tiếp hiệu quả
với nhau. Cơ trưởng thì mải mê với việc cân bằng lại tàu bay còn cơ phó thì đọc lại NNC. Lỗi
cố ý.
7
3.3.3. Cơ phó không thuộc NNC
Sau khi IAS DISAGREE đã được xác định, Cơ trưởng đã hướng dẫn cơ phó thực hiện
các mục bộ nhớ của Airspeed Unreliable và cơ phó đã không thực hiện chúng. Bốn mục đầu
tiên của Airspeed Unreliable NNC là các mục bộ nhớ được thực hiện bằng bộ nhớ và phải
được thực hiện trước khi đọc danh sách kiểm tra. Cơ trưởng lặp lại mệnh lệnh khoảng hai
phút sau mà không nhắc đến chức danh NNC và cơ phó bối rối về các mục bộ nhớ sẽ được
thực hiện. Việc cơ phó không thể thực hiện các mục bộ nhớ và định vị danh sách kiểm tra
trong QRH một cách kịp thời cho thấy rằng cơ phó không quen thuộc với NNC. Điều này
cũng được ghi lại nhiều lần trong hồ sơ đào tạo của cơ phó. Lỗi cố ý.
3.3.4 Kỹ sư tại Manado
Sau báo cáo của chuyến bay từ China đến Manado, tổ kỹ sư đã xem xét nhưng do
không đủ phụ tùng và họ cho rằng do thời tiết nên quá trình kiểm tra có thể gây nguy hiểm (có
thể bị sét đánh) nên họ đã khuyên tổ bay bay đến Denpasar để sửa. Ta thấy được hành vi thả
tàu bay đang bị lỗi đi là sai với quy định của hãng Lion Air. Cả kỹ sư và phi công chịu bay
đến Denpasar đều có lỗi. Lỗi cố ý.
3.3.5 Kỹ sư tại Denpasar
Sau khi tàu bay đáp đến Denpasar, tổ kỹ sư tại đây đã tiến hành thay cảm biến AOA
bên cánh trái tàu bay, nhưng sau khi sửa cảm biến AOA của cánh trái lại lệch 21˚ so với cánh
phải. Lỗi vô ý.
Trong quá trình thử nghiệm tại tàu bay sau khi sửa chữa, do tại Denpasar không có
thiết bị để thử nghiệm nên đã dùng phương pháp thử nghiệm thay thế. Theo quy định của
BAT, tổ kỹ sư khi thử nghiệm phải quay lại toàn bộ quá trình nhưng kỹ sư lại không thực
hiện. Sau khi thử nghiệm, kỹ sư đã cho rằng tàu bay được sửa thành công mà không có bất kỳ
sự đảm bảo nào. Lỗi cố ý.
3.3.6. Cơ trưởng của chuyến bay LNI043
Cơ trưởng của chuyến bay LNI043 có rất nhiều lỗi, đầu tiên chính là việc tiếp tục thực
hiện chuyến bay đến Jakarta trong khi biết tàu bay có khả năng bị stall rất cao. Nó cũng được
quy định trong NNC và cơ phó cũng hỏi rằng có nên quay lại không thì cơ trưởng tự tin về
khả năng của mình tiếp tục chuyến bay. Lỗi cố ý.
Sau khi đáp thành công xuống Jakarta, cơ trưởng thực hiện báo cáo sau chuyến bay
nhưng lại báo cáo không đầy đủ. Việc này làm ảnh hưởng đến việc sửa chữa của kỹ sư cũng
như báo cáo không được đánh giá là khẩn cấp khiến Ban Giám đốc SS không làm việc đúng
với mức độ báo cáo.

8
3.4 Lá chắn

3.4.1 Chính sách

MCAS tự động bật lên bật xuống bị Boeing đánh giá là “Major”, việc này dẫn đến
Boeing không phân tích sâu hơn về những ứng phó khi gặp phải. Cũng như việc mất cảm biến
AOA làm ảnh hưởng MCAS, nhưng Boeing lại không có hướng dẫn cụ thể cách xử lý.
3.4.2 Đào tạo
Thiếu hụt đào tạo về SMS dẫn đến phi công báo cáo không đầy đủ sau chuyến bay.
Có đào tạo về MCAS nhưng chưa được thực hành cụ thể dẫn đến những phi hành
đoàn khá lúng túng về các lỗi cũng như cách vận hành của MCAS.
3.4.3 Kỹ thuật
Lỗi hiển thị tốc độ, độ cao, cảm biến AOA không hiệu quả ở nhiệt độ lạnh.
MCAS được thiết kế để phụ thuộc vào một cảm biến AOA duy nhất, khiến nó dễ bị
ảnh hưởng bởi thông tin sai lệch từ cảm biến đó.
Tàu bay không được cài đặt cảnh báo AOA DISSAGREE, làm khó khăn cho kỹ sư
trong việc sửa chữa. Việc này cũng không phù hợp với mô tả của Boeing, cho thấy có lỗi sai
sót về quá trình lắp đặt.
Xtra Aerospace đã kiểm tra và hiệu chuẩn cảm biến AOA, có khả năng cao là do đơn
vị này đã hiệu chuẩn sai cảm biến từ trước. Khi được gửi đến BAT thì kỹ sư tại Denpasar đã
lắp vào dẫn đến quá trình sửa cảm biến AOA bị sai lệch.
CVR không ghi lại chuyến bay LNI034 nên tổ lái LNI610 không biết những lỗi gì từ
chuyến bay cũ.
IV. Nguyên nhân gây ra tai nạn

4.1 Nguyên nhân chính gây ra tai nạn:

Nguyên nhân chính gây ra tai nạn là Hệ thống Tăng cường tính năng điều khiển bay
(MCAS). MCAS là thiết bị dùng để đo góc tấn hoặc độ nghiêng của máy bay. Khi máy bay
dốc lên trên quá nhiều, thiết bị sẽ tự điều chỉnh mũi máy bay để lấy lại tốc độ. Cụ thể, hệ
thống này hoạt động lấy thông tin dựa vào cảm biến AOA và cảm biến AOA trên chuyến bay
tai nạn bị điều chỉnh sai nên MCAS bị lỗi.
Thêm vào đó, phi hành đoàn của chuyến bay trên đã bối rối và thiếu kỹ năng trong
việc liên lạc và xử lý khi bất ngờ gặp sự cố trên.
4.2 Về kĩ thuật
Kỹ sư tại Denpasar đã thay thế cảm biến AOA mới nhưng lại không căn chỉnh đúng,
sai lệch khoảng 21 độ. Phần mềm MCAS sử dụng dữ liệu từ một cảm biến AOA duy nhất
9
này, và sự cố hoặc bất thường của cảm biến AOA có thể gây kích hoạt MCAS bất thường,
gây khó khăn cho phi hành đoàn trong việc kiểm soát máy bay.
Trong Phân tích Nguy cơ Chức năng Functional Hazard Analysis (FHA), lỗi liên
quan đến MCAS được Boeing xếp vào “Major” thay vì Hazardous hay Catastrophic nên lỗi
MCAS hoạt động bất thường này không được phân tích nghiêm ngặt.
Boeing giả định rằng lỗi MCAS có thể được khắc phục bằng cách sử dụng Bánh lái độ
cao elevator nhưng thực tế xảy ra trên chuyến bay cho thấy ngược lại với giả định của Boeing.
Xtra Aerospace đã hiệu chuẩn sai cảm biến AOA từ trước nên khi sửa cho tàu bay gây
ra lỗi.
4.3 Về Phi hành đoàn:
Không có thông tin về MCAS được cung cấp trong các hướng dẫn cho phi hành đoàn
và MCAS không được bao gồm trong quá trình đào tạo phi hành đoàn. Điều này làm cho phi
hành đoàn không nhận thức về hệ thống MCAS và tác động của nó.
Stick shaker đã hoạt động liên tục sau cất cánh và âm thanh này có thể gây nhiễu loạn
để phi hành đoàn phát hiện ra hoạt động của MCAS. Ngay sau khi cất cánh, stick shaker bên
trái đã kích hoạt, nhiều thông báo trên màn hình PFD đã xuất hiện, MCAS liên tục kích hoạt
và sự tương tác với ATCo – những yếu tố trên đã làm tăng khối lượng công việc cho phi hành
đoàn khiến họ quá áp lực để đối phó với lỗi MCAS – yếu tố mà Boeing đã bỏ qua khi thử
nghiệm.
Khi MCAS bị lỗi, phi hành đoàn không thể tuyên bố khẩn cấp (PAN PAN) hoặc tình
trạng khẩn cấp (MAYDAY), hoặc yêu cầu xử lý đặc biệt vì MCAS chỉ được xếp vào “Major”
khiến ATCo không ưu tiên chuyến bay đó.
Phi hành đoàn đã cố cản lại MCAS bằng cần điều khiển và trong giai đoạn cuối cùng
của chuyến bay, lực tác động lên cần điều khiển vượt quá 100 pounds, vượt quá giới hạn 75
pounds được quy định trong quy định. Lực cần tác động là mạnh – cũng như Mô phỏng kỹ
thuật đã làm, sau mỗi lần MCAS kích hoạt đều đòi hỏi lực kéo lên cần điều khiển rất mạnh.
Cả hai phi công của LNI610 đều bị mải mê với các nhiệm vụ riêng biệt, cho thấy việc
phối hợp của phi hành đoàn không được thực hiện tốt.

10