Почему KC-46 использует два датчика для MCAS, а 737 Max — нет?

Согласно статье, KC-46 использует двойной датчик FCC/AoA для вычисления обоих каналов FCC и сравнения командных сигналов. С двумя несовпадающими сигналами невозможно определить, какой из них правильный, и обычное средство - отключить оба, предупредить пилота и выполнить соответствующую процедуру экипажа. А это требует обучения.

B737MAX рекламировался как требующий лишь очень ограниченного обучения различиям по сравнению с NG, поэтому настройку для KC-46 нельзя было скопировать. Первоначальная конструкция MCAS в B737MAX также использовала два преобразователя для активации — преобразователи двух разных типов , оба из которых должны были превышать пороговое значение, как указано в этом ответе . MCAS оригинальной конструкции имела ограниченный авторитет стабилизатора только на 0,8 градуса. Из отчета о крушении Lion Air 610 , стр. 204:

MCAS предназначена для работы только во время полета в ручном режиме (автопилот не включен) с поднятыми закрылками и повышенным углом атаки. По мере развития 737-8 (MAX) функция MCAS была расширена до низких чисел Маха и увеличена до максимального предела команд MCAS, составляющего 2,5 перемещения стабилизатора.

В отчете говорится, что при анализе отказов компания Boeing классифицировала неуправляемый отказ MCAS как серьезный (который может возникать не чаще одного раза в 10 раз).$^5$летных часов), вместо опасного (1:10$^7$) или Катастрофический (1:10$^9$), что действительно позволяет использовать один вход датчика. Опять же из отчета, страница 206:

Если вероятность нежелательного состояния отказа не ниже максимально допустимой вероятности для этой категории опасности, следует рассмотреть вопрос о перепроектировании системы. Если состояние неуправляемого отказа MCAS оценивается как более серьезное, чем серьезное, решения полагаться на один датчик угла атаки следует избегать.

Почему все это было сделано для B737, в то время как KC-46 использует два датчика, это совокупность факторов. Лучше два датчика. Нехватка времени на поставку самолета, давление клиентов авиакомпаний на обучение по ограничению различий, наблюдение, что предыдущие версии B737 с накопленным налетом 250 миллионов часов не имели катастрофических отказов из-за отказа датчика AoA (опять же ссылка из отчета о крушении), все это привело к возможно оправданное убеждение, что одного датчика было достаточно. Если бы экипаж предпринял быстрые действия для сдерживания отказа, но отказ не мог быть вовремя обнаружен. Снова страница 206:

В ходе анализа одиночных и множественных отказов на основе наихудшего сценария системы воздушных данных «отказ одного AOA с последующим ошибочным AOA» компания Boeing пришла к выводу, что последствия будут опасными до тех пор, пока летный экипаж не распознает проблему и не примет соответствующие меры для ее устранения. Поскольку обучение или руководство по действиям в такой ситуации не проводилось, категория воздействия должна была оставаться опасной.

Поскольку FCC, контролирующий MCAS, зависит от одного источника AOA, следует оценить вклад MCAS в кумулятивные эффекты AOA.

Мы не можем знать, почему Боинг сделал то, что они сделали, если они не скажут нам, и учитывая юридические последствия того, что слишком много говорят, что больше шума, чем сигнала. Я могу размышлять с остальными об ответе с остальными из них.

MCAS 737MAX должен был дать пилоту определенное «чувство» на штурвале управления при выполнении определенных маневров. Ожидалось, что MCAS внесет незначительные исправления в дифферент, делают это редко, и ожидалось, что любой сбой будет выглядеть как неуправляемый дифферент или другой сбой, который пилоты уже были обучены устранять на 737NG. Это не считалось критической функцией полета, поэтому использовался только один датчик.

На KC-46 целью MCAS было смягчить смещение центра тяжести при подаче топлива на другие самолеты. MCAS должна была работать почти постоянно, она, как считалось, имела гораздо больший контроль над поведением самолета, и поэтому использовала два датчика AoA для дублирования входных данных.

Насколько я помню, решение использовать только один датчик AoA было принято не для того, чтобы уменьшить нагрузку на проектирование и испытания, а для того, чтобы уменьшить нагрузку на компьютеры в самолете, компьютеры, которые уже имели значительную рабочую нагрузку для своих возможностей. Один датчик AoA означал, что не нужно было использовать дополнительную вычислительную мощность для сравнения одного входа с другим.

Хотел бы я вспомнить, где я это читал, но кто-то, утверждавший, что знает, о чем он говорит, сказал, что было бы возможно не только сравнить один датчик AoA с другим, но и вычислить AoA от других датчиков, чтобы определить, какой датчик был предоставление достоверных данных в случае разногласий. По сути, это «виртуальный» датчик AoA, так что можно проголосовать 2 из 3 за то, что является правильным AoA. Кроме того, это предположительно было возможно без превышения вычислительной мощности бортовых компьютеров 737MAX. Предполагая, что это возможно, потребовалась бы дополнительная работа по созданию этого программного обеспечения и проверке его безопасности. Учитывая, что у Boeing был плотный график, а FAA не считало MCAS критически важным для безопасности, эта дополнительная работа не проводилась.

Хотя датчики AoA есть на всех самолетах 737MAX, не у всех эта информация доступна экипажу. Экипажу будет сообщено о несоответствии датчика AoA только в том случае, если авиакомпания приобретет опцию для индикаторов AoA в кабине экипажа. Очевидно, это не было популярным вариантом, немногие самолеты 737MAX имели индикаторы угла атаки. Опять же, на всех самолетах 737MAX есть два датчика AoA, но не на всех самолетах есть индикаторы AoA для экипажа, у MCAS была эта информация, но у экипажа может не быть.

Airbus, по-видимому, по-другому относится к индикации AoA. Они устанавливают на свои самолеты три датчика AoA, чтобы можно было обнаруживать и исправлять отказы отдельных датчиков. Опять же, есть утверждение, что Boeing мог бы скорректировать отказ одного датчика AoA, вычислив AoA на основе входных данных других датчиков, но они предпочли этого не делать. Возможно, они выбрали не столько по юридическим причинам, сколько по практическим и техническим причинам. Если они продемонстрируют способность вычислять AoA для обнаружения и исправления отказа одного входа датчика AoA, это может открыть новое расследование того, почему этого не было сделано раньше.

Boeing, возможно, придется упорно настаивать на том, что AoA «приятно знать», а не жизненно важно для управления самолетом, чтобы не привлекать больше юристов. Я не знаю, насколько важно знать AoA для пилота, поскольку я не пилот. Я ожидаю, что это будет обсуждаться в течение некоторого времени.