¿Por qué el KC-46 usa dos sensores para MCAS cuando el 737 Max no lo hace?

Según el artículo, el KC-46 utiliza el sensor dual FCC/AoA para calcular ambos canales FCC y comparar las señales de comando. Con dos señales en desacuerdo, no hay forma de determinar cuál es la correcta y el remedio habitual es desconectar ambas, advertir al piloto y realizar el procedimiento de tripulación apropiado. Y eso requiere entrenamiento.

Se promocionó que el B737MAX solo requería un entrenamiento de diferencias muy limitado en relación con el NG, por lo que la configuración del KC-46 no se pudo copiar. El diseño original de MCAS en el B737MAX también usó dos transductores para la activación, dos tipos diferentes de transductores, los cuales tenían que estar por encima de un valor de umbral, como se menciona en esta respuesta . El MCAS de diseño original solo tenía una autoridad limitada de estabilizador de 0,8 grados. Del informe del accidente de Lion Air 610 , página 204:

MCAS está diseñado para funcionar solo durante el vuelo manual (piloto automático no activado), con los flaps de la aeronave hacia arriba, en un AOA elevado. A medida que avanzaba el desarrollo del 737-8 (MAX), la función MCAS se amplió a números Mach bajos y se incrementó al límite máximo de comando MCAS de 2,5 de movimiento del estabilizador.

El informe establece que en el análisis de fallas, Boeing clasificó la condición de falla del MCAS no comandado como Mayor (que no puede ocurrir más de una vez en 10$^5$horas de vuelo), en lugar de Peligroso (1:10$^7$) o Catastrófico (1:10$^9$) permitiendo de hecho una sola entrada de transductor. Nuevamente del informe, página 206:

Si la probabilidad de una condición de falla no deseada no está por debajo de la probabilidad máxima permitida para esa categoría de peligro, se debe considerar el rediseño del sistema. Si la condición de falla del MCAS no comandado se hubiera evaluado como más grave que Mayor, se debería haber evitado la decisión de depender de un solo sensor AOA.

Por qué todo esto se hizo para el B737, mientras que el KC-46 usa dos sensores, es un conglomerado de factores. Dos sensores es lo mejor. La presión de tiempo para la entrega del avión, la presión de los clientes de las aerolíneas para limitar las diferencias de capacitación, la observación de que las versiones anteriores de los B737 con horas de vuelo acumuladas de 250 millones no habían experimentado fallas catastróficas debido a la falla del sensor AoA (referencia nuevamente del informe del accidente), todo llevó a la creencia quizás justificable de que el único sensor era suficiente. Si la tripulación tomó medidas rápidas para contener la falla, pero la falla no pudo ser reconocida a tiempo. Nuevamente página 206:

Durante el análisis de falla única y múltiple del peor de los casos del sistema de datos aéreos de "falla de un AOA seguido de un AOA erróneo", Boeing concluyó que el efecto sería peligroso hasta que la tripulación de vuelo reconociera el problema y tomara las medidas adecuadas para mitigarlo. Dado que no se proporcionó la capacitación o la orientación para las acciones tomadas en tal situación, la categoría de efecto debería haber seguido siendo peligrosa.

Dado que la FCC que controla el MCAS depende de una sola fuente AOA, se debería haber evaluado la contribución del MCAS a los efectos acumulativos del AOA.

No podemos saber por qué Boeing hizo lo que hizo a menos que nos lo digan y, dadas las implicaciones legales de decir demasiado, hay más ruido que señal. Puedo especular con el resto sobre una respuesta con el resto de ellos.

El 737MAX MCAS estaba destinado a proporcionar una cierta "sensación" en el yugo de control al piloto al realizar maniobras específicas. Se esperaba que el MCAS hiciera correcciones menores al ajuste, lo hacía con poca frecuencia, y se esperaba que cualquier falla pareciera un ajuste fuera de control u otra falla que los pilotos ya estaban capacitados para abordar en el 737NG. Esto no se consideró una función crítica de vuelo y, por lo tanto, utilizó solo un sensor.

En el KC-46, el propósito de MCAS era mitigar el cambio del centro de gravedad a medida que se entregaba combustible a otras aeronaves. MCAS estaría en funcionamiento casi constante, tenía lo que se creía que era un control mucho mayor de cómo funcionaba la aeronave, por lo que usaba dos sensores AoA para la redundancia de entrada.

Como recuerdo, la decisión de usar solo un sensor AoA no fue para reducir la carga de trabajo en la ingeniería y las pruebas, sino para reducir la carga de trabajo en las computadoras de la aeronave, computadoras que ya tenían una carga de trabajo considerable para su capacidad. Un sensor AoA significaba que no era necesario tomar la potencia informática adicional para comparar una entrada con la otra.

Ojalá pudiera recordar dónde leí esto, pero alguien que afirmó saber de qué estaba hablando dijo que habría sido posible no solo comparar un sensor AoA con el otro, sino también calcular el AoA de otros sensores para determinar qué sensor era dando buenos datos si había un desacuerdo. De hecho, se trata de un sensor de AoA "virtual", por lo que puede haber un voto de 2 de 3 sobre cuál es el AoA correcto. Además, esto supuestamente era posible sin exceder la potencia informática de las computadoras a bordo del 737MAX. Suponiendo que esto fuera posible, habría significado trabajo adicional para crear este software y validar que era seguro. Dado que Boeing tenía un cronograma ajustado y que la FAA no consideraba que el MCAS fuera crítico para la seguridad, este trabajo adicional no se realizó.

Si bien los sensores AoA están en todos los aviones 737MAX, no todos tienen esta información disponible para la tripulación. A la tripulación solo se le informaría sobre una falta de coincidencia del sensor AoA si la aerolínea compró la opción para los indicadores AoA en la cabina de vuelo. Aparentemente, esta no era una opción popular, pocos aviones 737MAX tenían indicadores AoA. Nuevamente, hay dos sensores AoA en todas las aeronaves 737MAX, pero no todas las aeronaves tenían indicadores AoA para la tripulación, MCAS tenía esta información, pero es posible que la tripulación no.

Aparentemente, Airbus ve la indicación AoA de manera diferente. Pusieron tres sensores AoA en su avión para que las fallas de un solo sensor puedan detectarse y corregirse. Una vez más, existe la afirmación de que Boeing podría corregir una sola falla del sensor AoA calculando el AoA a partir de otras entradas de sensores, pero optaron por no hacerlo. Es posible que decidieran no hacerlo tanto por razones legales como prácticas y técnicas. Si demostraron la capacidad de calcular AoA para detectar y corregir una sola falla de entrada del sensor de AoA, eso podría abrir otra investigación sobre por qué esto no se hizo antes.

Es posible que Boeing tenga que esforzarse en mantener que AoA es "bueno saberlo" en lugar de ser vital para controlar la aeronave para no atraer a más abogados. No sé cuán importante es conocer AoA para un piloto, ya que no soy piloto. Espero que esto sea debatido durante algún tiempo.