为什么一处故障很少会让客机出事

2026 年 10 月的通报

美国联邦航空管理局（FAA）通报，2026 年 10 月 23 日，一架公务机在机组报告液压问题后安全返回出发机场。10 月 26 日，一架从墨西哥飞来的支线客机在机组报告刹车和转向可能有问题后安全落地。FAA 说两起都会调查；两份通报都没有给出原因。

这一页不解释那两次飞行发生了什么，而是解释两次都能安全收场背后的设计思路。

失效安全：先假定它会坏

FAA 关于系统设计的咨询通告（AC 25.1309-1B，2024 年）要求大型飞机的制造商假定：任何一个元件、部件或连接都可能在任何一次飞行中失效，不管可能性多小，而且这样的单一故障不得造成灾难。同一次飞行里接着发生的故障也要考虑在内。

它背后的规章 14 CFR 25.1309 规定：每一种会造成灾难的故障状态都必须「极不可能」，而且不得由单一故障引起。咨询通告把「极不可能」定为每飞行小时约十亿分之一或更低。

备份、隔离和告警

咨询通告列出了设计者组合使用的各种手段，并指出只用一种很少足够。冗余让某项功能在故障后仍能工作，通告自己举的例子就是两台或更多发动机、两套或更多液压系统。隔离让一个系统的故障不会拖垮另一个。故障指示让机组知道出了问题，机组程序则告诉他们该怎么办。

起落架就是一个清楚的例子。美国规章要求：正常系统失效、或者任何单一液压或电力来源失去时，必须有应急放起落架的办法。我们关于起落架故障的那一页讲了它怎样工作。

机组怎么做

告警和程序本身就是设计的一部分，不是事后补上的。告警一出现，机组就按对应的检查单处理，而且常常决定比计划更早落地：返回出发机场，或者在沿途另一个机场降落。这样他们可以有长跑道、地面的机务和应急救援。像 FAA 通报里那样的安全返航，正是备份和程序在发挥作用。

在 AeroFox 里

AeroFox 的教练机只有一台发动机，没有第二台可以接手。即便如此，故障也有练过的应对方法。在「发动机失效」课里，你飞最佳滑翔速度，无动力落在跑道上；在「起飞后发动机失效」课里，你在跑道上中断起飞，起飞后不久发动机停车的话，就直线向前迫降。

如果你是乘客

返航、备降，或者跑道边停着消防车，都可能让人不安。但当某样东西坏了时，一个谨慎的机组和一架设计良好的飞机就是这个样子。系好安全带，听机组广播，按他们的指示做。