為什麼一處故障很少會讓客機出事

2026 年 10 月的聲明

美國聯邦航空總署（FAA）發布聲明，2026 年 10 月 23 日，一架公務機在機組回報液壓問題後安全返回出發機場。10 月 26 日，一架從墨西哥飛來的支線客機在機組回報煞車和轉向可能有問題後安全落地。FAA 表示兩起都會調查；兩份聲明都沒有給出原因。

這一頁不解釋那兩次飛行發生了什麼，而是解釋兩次都能安全收場背後的設計思路。

失效安全：先假定它會壞

FAA 關於系統設計的諮詢通告（AC 25.1309-1B，2024 年）要求大型飛機的製造商假定：任何一個元件、零件或連接都可能在任何一次飛行中失效，不管可能性多小，而且這樣的單一故障不得造成災難。同一次飛行裡接著發生的故障也要考慮在內。

它背後的法規 14 CFR 25.1309 規定：每一種會造成災難的故障狀態都必須「極不可能」，而且不得由單一故障引起。諮詢通告把「極不可能」定為每飛行小時約十億分之一或更低。

備援、隔離和警告

諮詢通告列出了設計者組合使用的各種手段，並指出只用一種很少足夠。冗餘讓某項功能在故障後仍能運作，通告自己舉的例子就是兩具或更多發動機、兩套或更多液壓系統。隔離讓一個系統的故障不會拖垮另一個。故障指示讓機組知道出了問題，機組程序則告訴他們該怎麼辦。

起落架就是一個清楚的例子。美國法規要求：正常系統失效、或者任何單一液壓或電力來源失去時，必須有緊急放下起落架的辦法。我們關於起落架故障的那一頁講了它怎樣運作。

機組怎麼做

警告和程序本身就是設計的一部分，不是事後補上的。警告一出現，機組就按對應的檢查表處理，而且常常決定比計畫更早落地：返回出發機場，或者在沿途另一個機場降落。這樣他們可以有長跑道、地面的機務和緊急救援。像 FAA 聲明裡那樣的安全返航，正是備援和程序在發揮作用。

在 AeroFox 裡

AeroFox 的教練機只有一具發動機，沒有第二具可以接手。即便如此，故障也有練過的應對方法。在「發動機失效」課裡，你飛最佳滑翔速度，無動力落在跑道上；在「起飛後發動機失效」課裡，你在跑道上中斷起飛，起飛後不久發動機停車的話，就直線向前迫降。

如果你是乘客

返航、轉降，或者跑道邊停著消防車，都可能讓人不安。但當某樣東西壞了時，一個謹慎的機組和一架設計良好的飛機就是這個樣子。繫好安全帶，聽機組廣播，照他們的指示做。