Что именно произошло с бортовыми компьютерами на рейсе 888T XL Airways Germany?

Сначала это было по прямому закону, потому что данные о воздухе были противоречивыми, а шасси было выпущено.

Для полного ответа на то, почему самолет сделал то, что он сделал, я отвечу на несколько вопросов по одному.

Почему бортовые компьютеры отказались от исправных датчиков и использовали замороженные?

Значения датчиков передаются на управляющие компьютеры с помощью ADIRU (блок аэроданных и инерциальных данных). Имеется три ADIRU, каждая из которых соответствует трем дублирующим системам датчиков. Частью ADIRU является ADR (справочник авиационных данных). ADR отвечает за определение достоверности значений, поступающих от датчиков данных о воздухе (трубка Пито, статический порт и лопасти AoA), корректировку этих значений от местного AoA до AoA самолета и передачу значений на управляющие компьютеры. ( локальный угол атаки в месте расположения датчика не обязательно совпадает с общим углом атаки самолета)из-за их расположения на плоскости.) Каждый ADR использует два резольвера для каждого датчика и сравнивает эти значения на согласованность. Наряду со значением он также отправляет управляющим компьютерам указание, являются ли значения действительными или нет.

ELAC (компьютер руля высоты/элерона), который управляет движением поверхностей полета, берет значения от каждого ADIRU и сравнивает их со средним значением. Если датчик отклоняется от среднего значения выше определенного порога, он предполагает отказ датчика и отклоняет ввод. Затем он использует среднее значение двух других.

К сожалению для экипажа XL888t, этот метод предполагает отказ одного датчика. Когда два датчика выходят из строя при одинаковом или близком значении, система отклоняет работающий датчик. На самом деле нет способа преодолеть это, но отказ двух датчиков при одном и том же значении крайне маловероятен.

Почему деградировали законы управления?

Это действительно суть вопроса. ELAC определяет законы управления. Он использует информацию о конфигурации самолета (закрылки, предкрылки, воздушные тормоза, шасси) и выходные данные ADIRU, чтобы определить, как интерпретировать управляющие входы пилота. Эта информация используется для определения скоростей защиты α (α-защита, α-пол и VLS) и времени включения автоматической защиты огибающей.

Обычно, когда самолет замедляется, AoA увеличивается, если только не дается ввод носом вниз. В случае с XL888t пилоты намеренно пытались свалить самолет, чтобы продемонстрировать защиту α. Руль высоты и стабилизатор были полностью подняты, а двигатели были замедлены. ELAC будет разрешать это положение до тех пор, пока не будут достигнуты расчетные значения для защиты α. В этом случае AoA не менялся. Когда параметры, используемые ELAC, настолько выходят за свои пороговые значения, что ELAC больше не может выполнять необходимые вычисления, поэтому защита α отключается, а закон управления деградирует до альтернативного.

Так почему же это стало прямым законом?

Испытание, которое выполнял экипаж в то время, заключалось в проверке малой скорости в посадочной конфигурации». Посадочная конфигурация явно указывает на то, что шасси выпущено. , с автоматическим триммером и т. д., кроме без защиты α. Но когда шасси выпущено, управление по тангажу переключается на прямой закон, а автотриммер отключается. На PFD отображается предупреждение «USE MAN PITCH TRIM». Это дело пилотов. неспособность заметить это предупреждение, что привело к сбою.

Почему именно так устроены законы управления, я сказать не могу. Может быть, кто-то еще может объяснить, почему Airbus сделал такой выбор.

Примечание. Вся эта информация была взята из итогового отчета BAE .

Что именно произошло с бортовыми компьютерами, адекватно описано в Википедии :

Некоторые компьютеры самолета получали противоречивую информацию и работали в ухудшенном режиме, когда некоторые средства защиты были недоступны.

Точнее: два из трех датчиков угла атаки были заморожены и выведены из строя. Системная логика была разработана таким образом, чтобы отклонять значения датчиков, которые значительно отличаются от других. В данном конкретном случае этот принцип привел к отказу от одного рабочего датчика угла атаки и к принятию двух неисправных, которые давали близкие значения, но застряли с крейсерского полета. Это, в свою очередь, привело к ошибочным расчетам предельных скоростей, более того, предупреждение о сваливании в обычном режиме было невозможно.

Все вышеперечисленное привело к ухудшению функциональности автоматизированных систем, отсутствовали некоторые функции защиты от сваливания. Однако предупреждение о сваливании по-прежнему было доступно и срабатывало на последнем этапе полета.

Выводы официального отчета не возлагают никакой вины на то, как спроектированы системы. Все выводы в разделе «факторы, способствовавшие авиационному происшествию» — это действия/решения, принятые летным экипажем, и «отсутствие последовательности в задаче промывки в процедуре очистки самолета».

Однако есть одна рекомендация по бортовым компьютерам:

Это EASA [провести] исследование безопасности с целью улучшения стандартов сертификации систем предупреждения для экипажей во время реконфигураций систем управления полетом или обучения экипажей выявлению этих реконфигураций и определению непосредственных эксплуатационных последствий.