¿Por qué los aviones de pasajeros aceptan información que hará que la aeronave realice maniobras peligrosas para las que no fue diseñada?

En términos generales, a los pilotos no les gusta que una computadora interprete o limite sus acciones. Quieren el control final. No siempre se salen con la suya en esto, pero esa es su preferencia.

Si no recuerdo mal, Boeing tiende a apegarse a la filosofía de que "el piloto es el árbitro final". Es más probable que Airbus se adelante a las entradas del piloto y las modifique.

Aunque la mayoría de los choques e incidentes terminan siendo errores del piloto, hay una falla grave al modificar las entradas del piloto. Esa falla es en el caso de falla de los sistemas.

Por definición, los modos de falla implican que las cosas van mal. Cuando las cosas van mal, es imposible planificar, en la automatización, para todas las contingencias. Las personas responden mucho mejor a lo desconocido que los sistemas de automatización.

Tomemos, por ejemplo, la regla de que "los ángulos de inclinación > 45 grados son peligrosos y, por lo tanto, están prohibidos". ¿Cómo sabe el avión que el ángulo de alabeo es > 45 grados? Bueno, es un sensor, por supuesto, pero ¿y si el sensor ha fallado? Un sensor averiado indicará que se tomen medidas cuando no se necesiten o no lo hará cuando se requiera una acción. ¿Qué pasa si las superficies de control han fallado y el avión no puede corregir el ángulo de alabeo?

La respuesta habitual a eso es sistemas redundantes, piezas y diseño de alta confiabilidad, etc. Todos esos son geniales, por supuesto, y ciertamente ayudan mucho. Sin embargo, todavía tenemos incidentes y accidentes.

Al final la pregunta es: ¿En quién confías más? ¿Un piloto o una máquina? Y las estadísticas y la ciencia solo te ayudan a mitad de camino aquí. La experiencia, los prejuicios y los sentimientos de una persona tendrán mucho que decir sobre cómo responde. Y por "persona", entiéndase que estoy incluyendo a los clientes, al público que paga.

La filosofía es que el piloto sabe más. Si necesitan hacer una maniobra, se debe confiar en que lo harán.

Aunque existen límites absolutos como la estructura, otros límites son menos exactos y dependen de las condiciones (e incluso la estructura se construye para soportar márgenes adicionales, fallas y daños). Algo que califica como "trastorno" ciertamente no es rutinario, pero tampoco es necesariamente fatal, y puede usarse para lidiar con ciertas situaciones.

Una gran razón para maniobras abruptas sería evitar un obstáculo. En el caso del terreno, generalmente sería una subida empinada, o posiblemente un giro empinado. Pero este también podría ser otro avión, en cuyo caso el piloto puede querer descender rápidamente.

Centrémonos en rodar. El mismo comando que se puede usar para girar la aeronave desde un ángulo de giro de 0° a 30° se puede usar para hacerlo de 30° a 60°. ¿Quién debe decidir en qué ángulo de balanceo está el avión y que de ahora en adelante no se aceptan más comandos de balanceo?

Un FCS controlado por ordenador , obviamente, si decidimos no se puede confiar en los pilotos. Pero, ¿podemos confiar más en el FCS? ¿Cuál sería la base para que establezca el ángulo de balanceo correcto?

1. ¿Giroscopios? Deben calibrarse de vez en cuando, porque todos los giroscopios se desvían. Algunos más, otros menos, pero ninguna tecnología puede evitar que muestren lecturas peligrosamente incorrectas cuando se dejan funcionando el tiempo suficiente.

2. ¿Acelerómetros que muestran el vector de gravedad? Tan pronto como el avión vuele un viraje coordinado , debería ser obvio que apuntan solo en dirección opuesta al vector de sustentación. No dados.

3. ¿Altímetro de radar en las puntas de las alas? Vuela lo suficientemente alto y se vuelven inútiles. Esto podría funcionar para vuelos de bajo nivel, pero no en todas las fases de vuelo.

4. ¿Cámara y procesamiento de imágenes para encontrar la actitud hacia el horizonte? Deja de funcionar por la noche o en la niebla.

Podría extender la lista, pero a estas alturas debería quedar claro que esto no es tan fácil como parece. Especialmente, el diseño de FCS para UAV autónomos es bastante complicado y necesita correlacionar las entradas de diferentes sensores para establecer un vuelo nivelado. Esto lo aprendió de la manera más difícil Aurora Flight Sciences cuando probó en vuelo su prototipo Perseus A. Confiando solo en el giroscopio, el equipo no se dio cuenta de que el sensor se alejó y ordenó ángulos de inclinación cada vez más pronunciados. Cuando la aeronave se desintegró, el equipo ni siquiera se dio cuenta de inmediato de lo que había sucedido porque el valor máximo de la tasa de caída en el enlace descendente de datos de vuelo correspondía a solo 20 m/s; simplemente se quedó atascado en -1023 conteos. El prototipo de la aeronave quedó totalmente destruido en el accidente .

Perseus A antes de su último vuelo número 21.

Supongo que este es el último foro de Internet en el que hay que explicar que confiar en un software que funciona a la perfección es una tontería. De alguna manera, los pilotos humanos aún son mejores para resolver dificultades imprevistas, por las mismas razones por las que a veces cometen errores inexplicables.

La mayoría de los diseños nuevos no aceptan tales entradas. Eso incluye:

• Modelos de Airbus desde el A320 en adelante (incluye A318 y A319 que son variantes del A320).
• Boeing modelos B777 y B787.
• Sukhoi SuperJet Su100.

Airbus tiene un límite de balanceo de 65°, no de 45°, pero vuelve automáticamente a un máximo de 33° sin presión constante en la palanca. No puedo encontrar un límite de cabeceo explícito, pero tiene un límite alfa (ángulo de ataque, depende del tipo, 17° para A320, cabeceos hacia abajo para no excederlo), velocidad máxima y límite de Mach (se inclina hacia arriba si se excede) y carga alar mínima y máxima (aceleración vertical, -1G a +2.5G limpia, 0G a +2G con flaps)

Se debe confiar en el piloto por encima de cualquier otra cosa (e incluso los aviones Airbus aceptan cualquier entrada en la ley directa, la ley normal no siempre se aplica). Cualquier situación imprevista puede surgir durante el vuelo. Las computadoras no pueden manejar todas las situaciones anormales.

Un buen ejemplo de tal situación es el caso del vuelo 705 de FedEx . Los pilotos fueron atacados con un mazo por un secuestrador. Probablemente estarían muertos, si no fuera por las maniobras extremas que intentaron. Llevaron su avión DC-10 mucho más allá de sus límites (ángulo de alabeo de hasta 140°, sobrevelocidad cercana a Mach 1,0). Si la computadora les hubiera impedido hacer esto, el avión podría haberse estrellado y todos estarían muertos.

Como piloto de línea aérea (y piloto de pruebas), me gusta mantener mi avión bajo control (como lo hacen todos los demás pilotos de línea aérea). Está la escuela Boeing y la escuela Airbus. Los aviones Boeing te advertirán que no te metas en esos sobres. Airbus no te permitirá entrar en ese régimen (sobre de protección). En cualquier caso, puede anular eso cambiando la ley o desconectando las computadoras de vuelo. En casos extremos donde la situación es desesperada, no dudaré en hacer caso omiso de la computadora y entrar en los sobres extremos si necesito salvar vidas. Tenga en cuenta que todo en la aviación está diseñado con un factor de seguridad del 30% al 60% en algunos casos.

Entonces, para responder a su pregunta: está en FL370, tomando café, tiene un incendio a bordo. La aeronave limita su velocidad vertical y su velocidad durante el descenso (o el ángulo de alabeo si desea regresar). ¿Estarías de acuerdo con tales límites? Yo mismo, no. Nos pagan mucho dinero en el frente para tomar decisiones.

Segundo escenario (falso). FL340, crucero, tu TCAS falló pero no lo sabes (como dije, es un escenario falso). De repente ves que el otro chico se dirige hacia ti. Misma FL. Pero su computadora dice "lo siento, no puede tirar con fuerza debido a la protección G", golpea al otro tipo: está legalmente muerto porque no ha estresado el fuselaje.

Último ejemplo: justo después de partir para un vuelo de 16 horas, tiene fuego en la carga. Los sistemas de extinción de incendios no funcionan. Debes aterrizar, pero no puedes porque tienes sobrepeso (de 100 toneladas diría que al menos). ¿Qué harías?

Espero haber desencadenado algo sobre tu pregunta. Por cierto, estoy en 777.

Un par de razones, pero esencialmente se reduce a "Porque a veces puede ser el menor de dos males".

1. Los instrumentos fallan. Los tubos de Pitot se rompen, los giroscopios no funcionan, etc. A veces, el piloto sabe lo que es mejor. Los pilotos automáticos se desconectan cuando no están seguros de qué hacer, lo mismo se aplica a los pilotos automáticos que limitan el control en una configuración de vuelo por cable... ¿qué sucede cuando la aeronave cree que se está estancando pero no es así? Intenta evitar que el morro se eleve, o en realidad baja el morro, hasta que el avión toque el suelo.

2. Una "pérdida virtualmente garantizada" puede ser algún día una mejor opción que una "colisión realmente garantizada".

1 es poco probable (y teniendo en cuenta la frecuencia con la que los aviones vuelan bajo IFR, probablemente afectaría al piloto de la misma manera que al piloto automático), 2 es probablemente aún más improbable, pero es la situación que generaría miles de preguntas "¿Por qué el piloto no puede pasar por alto?" montar el piloto automático?" preguntas.

Al final del día, la gente todavía desconfía de las computadoras. Puede que lo hagan bien el 99,9999 % de las veces, pero aún así no pueden "pensar rápido" como un ser humano.

Ahora, ya hay elementos de esto en el diseño de aeronaves. Por ejemplo, todos los aviones de pasajeros modernos tienen advertencias audibles/visuales cuando se presentan situaciones peligrosas (altas tasas de caída, advertencias de entrada en pérdida, etc.). Y Airbus va más allá, utilizando controles de "vuelo por cable" que de hecho evitan la mayoría de las situaciones de pérdida "normales" en lo que se denomina "ley normal". Sin embargo, Airbus le da el control final al piloto si la computadora no está 100% segura de la situación.

Otra cosa a considerar es que el conocimiento requerido para controlar la aeronave está aumentando con la implementación de tales sistemas.

Casi hubo un accidente de avión en Alemania hace algunos años (ver este video que muestra el aterrizaje), cuando un avión estaba aterrizando con fuertes vientos laterales. El problema era que los controles de vuelo reaccionaban de manera diferente cuando el avión tocaba tierra o no. Eso no lo sabían los pilotos. Manejaron la situación, pero podría haber sido más fácil para ellos sabiendo ese comportamiento. Este comportamiento ni siquiera estaba documentado en el manual.

EDITAR:
Del informe de investigación (gracias a @DeltaLima): Sección 3.1

Los pilotos podrían no haber sido conscientes de las características específicas de respuesta de control del sistema de vuelo durante un aterrizaje con rachas de viento cruzado y, por lo tanto, no pudieron incorporarlo en su proceso de toma de decisiones.

Y más adelante en esta sección

• Cuando el tren de aterrizaje principal izquierdo tocó la pista por primera vez, la condición del sistema de control lateral cumplió con todos los requisitos para la transición del modo de vuelo al modo de tierra, por lo que el sistema cambió del modo de vuelo lateral al modo de tierra lateral a pesar de que la aeronave estaba una vez más en el aire.

• La aeronave fue diseñada para que el efecto de los controles laterales (a lo largo del eje longitudinal) se redujera a la mitad de la deflexión total tan pronto como aterrizara un tren de aterrizaje principal.

• El efecto reducido de los controles no estaba documentado en la descripción del sistema y era desconocido para los pilotos o el departamento de capacitación.

• Durante el aterrizaje, el comportamiento del sistema de la aeronave contribuyó a una actitud de vuelo no intencionada ni deseada por los pilotos y ya no se pudo evitar el contacto con el suelo con la punta del ala.

Uno de los problemas con los aviones comerciales es la gran cantidad de horas de vuelo que verá cualquier tipo de avión y la gran cantidad de diferentes condiciones y fallas que inevitablemente surgirán durante todo ese vuelo.

Tuve el trabajo de escribir el software que validaba las leyes de control de los sistemas de gestión del centro de gravedad de varias de estas bestias. Realmente no hay manera de analizar completamente todos los posibles "modos de vuelo". El sistema FCGMS no estaba exactamente en la misma categoría que los controles de vuelo, pero ERA un 'sistema crítico de seguridad de vuelo'. Hubo mucha validación involucrada, y esta fue solo una prueba puramente funcional, no toda la amplia gama de pruebas a nivel de unidad que se incluyeron en el software de vuelo. La cosa es que tienes 20 cajas en estos aviones, todas haciendo cosas críticas, todas construidas por diferentes personas, etc.

¡Al final alguien tiene que ser capaz de agarrar el palo y PULL UP! cuando sea necesario y obtener una respuesta directa. Es bastante cierto que esta capacidad puede ser perjudicial con la misma frecuencia, pero simplemente no puede y nunca podrá analizar completamente el código y saber qué hará cuando las piezas se caigan del avión.

Pensemos en esto desde un ángulo diferente. A veces, no es solo la entrada del piloto lo que pondría al avión en una actitud insegura. Ahora bien, si el avión se ve obligado a tomar un banco pesado, subir o sumergirse debido a fuerzas externas, pero el piloto está limitado en la respuesta que puede dar al avión para ajustarse...

Piense también en la niebla alta y los problemas de comunicación. y dos aviones están en riesgo de colisión. El avión le dice al piloto "no, no puedes realizar operaciones bancarias porque eso nos pondría en riesgo".

En condiciones normales de vuelo, le gustaría volar dentro de los parámetros operativos. Pero cuando las cosas proverbiales llegan al ventilador, desea el control total para intentar evitar una tragedia.

Su pregunta puede responderse con un simple argumento de reducción al absurdo. Si el avión sabía qué entradas eran seguras, ¿por qué tener algún piloto?

De hecho, los vuelos comerciales modernos ya vuelan prácticamente de forma automática y tienen mecanismos para evitar entradas potencialmente peligrosas. El problema es que la detección de fallas es difícil porque cuando algo falla, el sistema (por definición de falla) no tiene datos válidos para tomar decisiones. Es la misma razón por la que los locos pueden no saber que están locos. El piloto está ahí para tomar decisiones frente a la ambigüedad.

Por supuesto, a veces el piloto también toma una decisión equivocada y el avión se estrella. Véase Air France 447 .

Pero más a menudo toman la decisión correcta, y todos viven. Ver el planeador Gimli .

Por lo general, los limitadores están optimizados y diseñados para cumplir una función específica o una relación de roles, como la palanca completa trasera de Airbus para lograr el máximo AoA durante la evasión del terreno. Sin embargo, no todos los limitadores son infalibles, a pesar de lo que anuncian los fabricantes. Los límites se pueden exceder dependiendo de cómo se implementen las funciones del limitador y FCS, por ejemplo, usando maniobras dinámicas como empujar y tirar repetidos a una frecuencia razonable o maniobras repentinas a velocidades para las que el FCS no fue diseñado o en modos de aeronave degradados. Aunque estas posibilidades existen, por lo general no son relevantes porque es poco probable que se encuentren en casos extremos.

Sobre el accidente de AF. Lo básico del vuelo: CABECEO, POTENCIA, RENDIMIENTO. Lo que significa que cuando algo anda mal, desconectas toda la automatización y obtienes el control manual de la nave. La clave más allá del PPP es que, para casi cualquier situación dada, aplicando un tono, un ajuste de potencia y una configuración (flaps, slats, equipo...) te mantendrás volando. Con la automatización, esas cosas desaparecieron hace mucho tiempo. Durante un vuelo, cada hora estaba anotando el ajuste de potencia, la dirección del viento, la temperatura (entre el combustible y otras cosas legales). Aquellos que empezaron a volar sin autothrust y con turbopropulsores saben lo que es.

Los pilotos quieren tener control sobre la aeronave. Personalmente, si fuera un ATP, nunca volaría un avión FBW automatizado como un Airbus por esa misma razón.

No debes estar en una espiral de giro o muerte y luego descubrir que no puedes salir de ella porque "la computadora no permitirá esa entrada", y créeme si estás en un avión que entra en un giro. Definitivamente quiero que el piloto tenga control TOTAL sobre la aeronave.

Puede pensar: si la computadora está controlando el avión, nunca entrará en un giro. No tan. Algunas tormentas eléctricas pueden surgir muy rápida e inesperadamente y son tan violentas que pueden obligar a la aeronave a hacer un giro u otra actitud a la que la computadora no tiene ninguna posibilidad de reaccionar correctamente. Las computadoras "buenas" se apagan solas en ese momento.

Los aviones FBW más avanzados tienen una característica llamada "recuperación automática" que les permite recuperarse automáticamente de algunas condiciones de entrada en pérdida, pero en condiciones extremas, los cambios de actitud se producirán tan rápido que necesitará un ser humano para hacerlo.