¿Qué sucedió exactamente con las computadoras de vuelo en el vuelo 888T de XL Airways Alemania?

Tl; dr estaba en la ley directa porque los datos aéreos eran inconsistentes y el tren de aterrizaje estaba bajado.

Para obtener una respuesta completa de por qué el avión hizo lo que hizo, responderé algunas preguntas una a la vez.

¿Por qué las computadoras de vuelo rechazaron el sensor bueno y usaron los congelados?

Los valores de los sensores son enviados a las computadoras de control por la ADIRU (unidad de referencia inercial y datos del aire). Hay tres ADIRU, cada uno correspondiente a tres sistemas redundantes de sensores. Parte del ADIRU es el ADR (referencia de datos aéreos). El ADR es responsable de determinar la validez de los valores provenientes de los sensores de datos aéreos (tubo de Pitot, puerto estático y paletas AoA), corrigiendo esos valores del AoA local al AoA del avión y alimentando los valores a las computadoras de control. ( El AoA local en la ubicación del sensor no es necesariamente el mismo que el AoA general del avióndebido a su posicionamiento en el avión.) Cada ADR utiliza dos resolutores para cada sensor y compara estos valores por consistencia. Junto con el valor, también envía a las computadoras de control una indicación de si los valores son válidos o no.

El ELAC (computadora de elevador/alerón), que controla el movimiento de las superficies de vuelo, toma los valores de cada ADIRU y los compara con el valor medio. Si un sensor se desvía del valor medio más allá de un cierto umbral, asume una falla del sensor y rechaza la entrada. Luego usa el valor promedio de los otros dos.

Desafortunadamente para la tripulación del XL888t, este método anticipa la falla de un solo sensor. Cuando dos sensores fallan con el mismo valor o uno similar, el sistema rechazará el sensor que funciona. Realmente no hay forma de superar esto, pero es muy poco probable que dos sensores fallen al mismo valor.

¿Por qué se degradaron las leyes de control?

Este es realmente el quid de la cuestión. El ELAC es el que determina las leyes de control. Utiliza información de la configuración de la aeronave (flaps, slats, frenos de aire, tren de aterrizaje) y la salida de ADIRU para determinar cómo interpretar las entradas de control del piloto. Utiliza esta información para determinar las velocidades de protección α (α-prot, α-floor y VLS) y cuándo activar las protecciones envolventes automáticas.

Normalmente, cuando la aeronave reduce la velocidad, el AoA aumenta a menos que se dé una entrada de morro hacia abajo. En el caso del XL888t, los pilotos intentaban intencionalmente poner el avión en pérdida para demostrar las protecciones α. El elevador y el estabilizador estaban completamente arriba y los motores se ralentizaron. El ELAC permitirá esta posición hasta que alcance los valores calculados para la protección α. En este caso, el AoA no estaba cambiando. Cuando los parámetros que utiliza el ELAC se salen tanto de sus umbrales, el ELAC ya no puede realizar los cálculos necesarios, por lo que las protecciones α se desactivan y la ley de control se degrada para alternar.

Entonces, ¿por qué entró en la ley directa?

La prueba que la tripulación estaba realizando en ese momento era una verificación de baja velocidad en la configuración de aterrizaje. La configuración de aterrizaje obviamente indica que el tren de aterrizaje está bajado. , con compensación automática, etc., excepto sin protecciones α. Pero cuando el tren de aterrizaje está abajo, el control de cabeceo cambia a ley directa y se desactiva la compensación automática. La advertencia "USE MAN PITCH TRIM" se muestra en el PFD. no darse cuenta de esta advertencia que resultó en el accidente.

En cuanto a por qué las leyes de control están diseñadas de esta manera, no puedo decirlo. Tal vez alguien más pueda explicar por qué Airbus tomó esa decisión.

Nota: Toda esta información fue tomada del informe final de BAE .

Lo que sucedió exactamente con las computadoras de vuelo se resume adecuadamente en Wikipedia :

Algunas de las computadoras de la aeronave recibieron información contradictoria y operaron en modo degradado donde algunas protecciones no estaban disponibles.

Más precisamente: dos de los tres sensores de ángulo de ataque se congelaron y quedaron inoperativos. La lógica del sistema ha sido diseñada para rechazar los valores del sensor que se desvían significativamente de los demás. En este caso concreto, este principio condujo al rechazo del único sensor de ángulo de ataque operativo, y a la aceptación de los dos defectuosos, que proporcionaban valores similares, pero que estaban estancados desde el vuelo de crucero. Esto, a su vez, condujo a cálculos de velocidades límite erráticos, además, la advertencia de entrada en pérdida en la ley normal no era posible.

Todo lo anterior dio como resultado una funcionalidad degradada de los sistemas automatizados, algunas funciones de protección contra bloqueo no estaban disponibles. Sin embargo, la advertencia de entrada en pérdida todavía estaba disponible y se activó durante la última fase del vuelo.

Los hallazgos del informe oficial no culpan a cómo están diseñados los sistemas. Todos los hallazgos bajo "factores que contribuyeron al accidente" son acciones/decisiones tomadas por la tripulación de vuelo y la "ausencia de consistencia en la tarea de enjuague en el procedimiento de limpieza del avión".

Sin embargo, hay una recomendación con respecto a las computadoras de vuelo:

Que EASA [realice] un estudio de seguridad con miras a mejorar los estándares de certificación de los sistemas de alerta para las tripulaciones durante las reconfiguraciones de los sistemas de control de vuelo o la capacitación de las tripulaciones para identificar estas reconfiguraciones y determinar las consecuencias operativas inmediatas.