Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Area dedicata alla discussione sugli incidenti e degli inconvenienti aerei e le loro cause. Prima di intervenire in quest'area leggete con attenzione il regolamento specifico riportato nel thread iniziale

Moderatore: Staff md80.it

Rispondi
Avatar utente
Valerio Ricciardi
FL 500
FL 500
Messaggi: 5438
Iscritto il: 22 agosto 2008, 8:33

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Valerio Ricciardi » 3 dicembre 2018, 11:28

Alien ha scritto:
sardinian aviator ha scritto:Avherald ha posto alla FAA tra le altre anche la seguente domanda:
was the risk assessed that one of the AoA sensors could be damaged by a bird strike, hail strike or similiar and could show a substantially too high angle of attack? (...)
Questa domanda presuppone che, effettivamente, la protezione dello stallo si basa sui valori individuali di AoA, e non su un valore votato e consolidato tra i due.
Mi pare un presupposto difficile da assumere con serenità: perché se l'AoA difettoso è quello che dà valori compatibili con la volabilità, e la protezione si attiva a ragione, contribuisce a salvare una situazione; se l'AoA difettoso è quello che indica valori pericolosi, e la protezione si attiva diventa il problema di cui si propone come soluzione.
Ma davvero è possibile che si sia fatto riferimento ad una logica così debole? Ho difficoltà a crederlo. Dev'esserci per forza dell'altro che noi non sappiamo.

Perché in casi in cui non vi sia la possibilità di un voting su basi razionali e sensate - anche se comunque sempre sul piano probabilistico - è meno pericolosa IMHO la non-azione (lasciando al PF la responsabilità e l'onere di attuare i correttivi che ritenga necessari) che non una azione che ha il 50% di probabilità di essere realmente utile, il 50% di aggravare drammaticamente una situazione altrimenti normale.

Posso purtroppo fare un esempio per me doloroso: nel 1987, lontani da Roma, mia madre venne colpita da un gravissimo ictus cerebrale, purtroppo esiziale. Nell'Ospedale Civile di Ivrea dove eravamo di passaggio al tempo non vi era ancora la TAC, né la RNM che avrebbero permesso di arrivare ad una - essenziale - diagnosi differenziale fra un ictus emorragico e un ictus trombotico.
Una terapia d'urto trombolitica, che sarebbe stata forse salvifica, se si fosse trattato (non erano in grado di deciderlo) di un ictus emorragico lo avrebbe amplificato di un'ordine di grandezza, accelerando la fine; al contrario, piccole dosi di aggreganti piastrinici per contrastare un'emorragia cerebrale ...in caso di ictus trombotico avrebbero finito di far attappare tutto. Mia madre, dopo 21 giorni di coma, morì il 1/9/87, a 57 anni appena compiuti. Io comprendo a posteriori che i rianimatori ed i neurologi non potevano certamente decidere, in presenza di sintomi dall'esterno sovrapponibili, tirando una monetina. Ha avuto una grandissima sfortuna.

Ora, se di norma la ridondanza è semplice negli AoA, che ciascuno dei due possa essere collegato a uno stick shaker o altra tipologia di avvisatore di stallo ci sta tutto, ci vuole un warning di qualche tipo, poi sta ai piloti focalizzare l'attenzione su tutti i parametri a loro disposizione per decidere se l'indicazione giusta è l'una o l'altra.
Ma si può credere che la monetina la tiri un computer, dando a priori retta al valore indicato - fra solo due - che implicherebbe un'azione autonoma della macchina sulle superfici mobili?
Oltretutto in grado di applicare una deflessione tale allo stabilizzatore da non poter essere nemmeno neutralizzata dall'uso a fondo corsa degli equilibratori? Sarebbe un errore concettuale non da poco.

Se non vi sono altri parametri terzi (non necessariamente un altro sensore AoA) in grado di effettuare un voting, scegliere sempre e solo il peggiore e reagire di conseguenza significa esattamente tiare la monetina.
"The curve is flattening: we can start lifting restrictions now" = "The parachute has slowed our rate of descent: we can take it off now!"
Chesley Burnett "Sully" Sullenberger

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 3 dicembre 2018, 14:49

Valerio Ricciardi ha scritto:
Alien ha scritto:
sardinian aviator ha scritto:Avherald ha posto alla FAA tra le altre anche la seguente domanda:
was the risk assessed that one of the AoA sensors could be damaged by a bird strike, hail strike or similiar and could show a substantially too high angle of attack? (...)
Questa domanda presuppone che, effettivamente, la protezione dello stallo si basa sui valori individuali di AoA, e non su un valore votato e consolidato tra i due.
Mi pare un presupposto difficile da assumere con serenità: perché se l'AoA difettoso è quello che dà valori compatibili con la volabilità, e la protezione si attiva a ragione, contribuisce a salvare una situazione; se l'AoA difettoso è quello che indica valori pericolosi, e la protezione si attiva diventa il problema di cui si propone come soluzione.
Ma davvero è possibile che si sia fatto riferimento ad una logica così debole? Ho difficoltà a crederlo. Dev'esserci per forza dell'altro che noi non sappiamo.
Perché in casi in cui non vi sia la possibilità di un voting su basi razionali e sensate - anche se comunque sempre sul piano probabilistico - è meno pericolosa IMHO la non-azione (lasciando al PF la responsabilità e l'onere di attuare i correttivi che ritenga necessari) che non una azione che ha il 50% di probabilità di essere realmente utile, il 50% di aggravare drammaticamente una situazione altrimenti normale.
Pur essendo in linea di massima d’accordo con le tue perplessità, vorrei sottolineare che la situazione non è riducibile ad un 50-50 di pericolosità o necessità, l’una escludentesi con l’altra.
Nessuno dei due AoA era guasto. I guasti che vengono presi in considerazione sono quelli che inviano un segnale fisso, tipo zero (sconnessione elettrica, tipo filo staccato), oppure altro valore su cui il sensore si è inchiodato (bloccaggio, tipo birdstrike o hardover elettrico). Un sistema di monitoraggio ben fatto si accorge di una di queste due situazioni senza bisogno di fare un confronto con l’altro segnale. E, sotto l’ipotesi che nel B737 funzioni così, posso ben capire che qui non ci sia stata alcuna sconnessione. Nessuno dei due AoA, preso singolarmente, è stato riconosciuto come guasto, e in effetti non lo era.

La filosofia dei sistemi Dati Aria è piuttosto particolare, e credo derivi da fattori storici. Il voting attivo, cioè che prende la decisione di escludere uno dei canali, è lasciato ai piloti, non al computer. Nei computer del FCS non è così, perchè a seguito di un voting che rileva un guasto a un canale, quel canale viene escluso dal computer. In seguito, i canali buoni rimasti si riconfigurano e calcolano il nuovo valore. Nei Dati Aria, si continua a fornire il display ai piloti, e questi ultimi devono confrontare i dati tra loro e decidere di conseguenza il da farsi. Per quanto ne so, in generale i piloti stessi sono contenti di poter avere un certo potere decisionale, in quanto sono molto critici con il potere decisionale lasciato ai computer (secondo me più giustamente o meno giustamente, a seconda dei casi).
Tant’è vero che lo stick shaker interviene solo su un AoA alla volta, fornendo così un indizio su quale dei due canali stia viaggiando a valori elevati rispetto all’altro. Si potrebbe dire che lo stick shaker individuale sulla barra singola sia parte di un voting che viene lasciato ai piloti e non al computer.
Tant’è vero che il Pitch Trim agisce a periodi fissi, non in maniera continua e ininterrotta, in modo da lasciare ai piloti la decisione finale di escluderlo.

In sostanza, un voting non eseguito dal computer che produce un effetto che non è critico, non può essere considerato critico a sua volta. Se si lascia una decisione ai piloti, e questi hanno tutto il tempo di prenderla, prima che la situazione diventi critica veramente, allora la cosa diventa accettabile. Non sarebbe accettabile, e infatti il progetto è diverso, lasciare ai piloti una decisione su un runaway di una superficie primaria, rispetto a una secondaria. Nel FCS, qualunque runaway su alettone, timone o equilibratore, viene deciso e isolato dal computer, senza coinvolgere minimamente i piloti. La situazione diventerebbe rapidamente insostenibile con perdita di controllo del velivolo in poco tempo.

Ancora una cosa essenziale: un errore di maintenance non è mai considerato come guasto da rilevare in volo. Il progetto di un SW di voting e monitoring sarebbe troppo complicato. La continua aeronavigabilità si basa proprio su una corretta maintenance. In altre parole, a seguito di una maintenance incorretta, l’aereo perde automaticamente la sua aeronavigabilità, e non è richiesto a nessun sistema di volo di correggere la situazione.
Giorgio

airplane
05000 ft
05000 ft
Messaggi: 582
Iscritto il: 31 maggio 2011, 23:03

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da airplane » 3 dicembre 2018, 15:21

.

>Qualcuno sa se sul B737Max
il software ad ogni tratta di volo mette in atto lo scambio del AoA (per esempio nella prima tratta il AoA lato sinistro e nella seconda tratta il AoA lato destro ?

Avete informazioni che ci possa essere questo tipo di funzionamento?


By...

.

Avatar utente
Valerio Ricciardi
FL 500
FL 500
Messaggi: 5438
Iscritto il: 22 agosto 2008, 8:33

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Valerio Ricciardi » 3 dicembre 2018, 16:33

Alien ha scritto: I guasti che vengono presi in considerazione sono quelli che inviano un segnale fisso, tipo zero (sconnessione elettrica, tipo filo staccato), oppure altro valore su cui il sensore si è inchiodato (bloccaggio, tipo birdstrike o hardover elettrico). Un sistema di monitoraggio ben fatto si accorge di una di queste due situazioni senza bisogno di fare un confronto con l’altro segnale. E, sotto l’ipotesi che nel B737 funzioni così, posso ben capire che qui non ci sia stata alcuna sconnessione. Nessuno dei due AoA, preso singolarmente, è stato riconosciuto come guasto, e in effetti non lo era.

Guasto, nel senso di non funzionante, certamente no data l'evidenza che al di sopra di una certa IAS ambedue hanno iniziato ad inviare dati del tutto coerenti come andamento - al netto dello sfasamento di una ventina di gradi. Il problema che mi pongo è legato al fatto che il sistema "non può sapere" se è il sensore di AoA di sx che indica un AoA errato sistematicamente per eccesso di un certo valore angolare, o se al contrario è quello di destra che erra per difetto dello stesso valore (e nemmeno, in teoria... se fanno un po' per uno).
Alien ha scritto: lo stick shaker interviene solo su un AoA alla volta, fornendo così un indizio su quale dei due canali stia viaggiando a valori elevati rispetto all’altro. Si potrebbe dire che lo stick shaker individuale sulla barra singola sia parte di un voting che viene lasciato ai piloti e non al computer.
Tant’è vero che il Pitch Trim agisce a periodi fissi, non in maniera continua e ininterrotta, in modo da lasciare ai piloti la decisione finale di escluderlo. (...) In sostanza, un voting non eseguito dal computer che produce un effetto che non è critico, non può essere considerato critico a sua volta. Se si lascia una decisione ai piloti, e questi hanno tutto il tempo di prenderla, prima che la situazione diventi critica veramente, allora la cosa diventa accettabile.
L'intervento dello stick shaker separato e indipendente lo trovo molto intelligente; ma il seguito ha senso solo se i piloti sono BENE edotti di quel che il sistema FCS farà, della logica del MCAS e delle modalità per bypassarlo in caso di necessità reale. Se no gli stai allineando a priori un po' dei buchi delle fette di formaggio, riducendo quelle ancora utili per frapporsi fra una normale criticità operativa da gestire e una catastrofe.
Alien ha scritto: un errore di maintenance non è mai considerato come guasto da rilevare in volo. Il progetto di un SW di voting e monitoring sarebbe troppo complicato (...) a seguito di una maintenance incorretta, l’aereo perde automaticamente la sua aeronavigabilità, e non è richiesto a nessun sistema di volo di correggere la situazione.
E questo è comprensibile, ed infatti l'idea che mi si sta formando provvisoriamente è che vi sia stato un errore di taratura (o questa fase della procedura di montaggio direttamente non eseguito??...) dello zero pitch sul sensore all'atto della sostituzione, e che l'azione del sistema MCAS sia poi stata mal gestita per difetto specifico di addestramento.
"The curve is flattening: we can start lifting restrictions now" = "The parachute has slowed our rate of descent: we can take it off now!"
Chesley Burnett "Sully" Sullenberger

Avatar utente
Valerio Ricciardi
FL 500
FL 500
Messaggi: 5438
Iscritto il: 22 agosto 2008, 8:33

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Valerio Ricciardi » 3 dicembre 2018, 16:45

airplane ha scritto:
Valerio Ricciardi ha scritto: Mi interesserebbe capire se la dima serve per orientare correttamente l'aletta della probe rispetto alla fusoliera a terra, senza intervenire in alcun modo sul collegamento dell'aletta col suo asse di rotazione solidale a ciò che è dentro, e poi si agisce sul sistema informandolo che deve considerare come "zero" la posizione nella quale è stata momentaneamente bloccata l'aletta,
si usava la Dima, ma dall'ultima foto del nuovo AoA postato da Sigmet io vedo un riferimento (incisione) sul metallo, per l'allineamento meccanico. Il controllo potrebbe essere fatto con uno strumento di TEST collegato al connettore del AoA, oppure potrebbe essere fatto via software inglobando sia il riferimento fisso inciso sul AoA sia le due escursioni Up e Down.
Chiarissimo; però il diametro fisico dell'oggetto, e le dimensioni del marker visivo, in rapporto alla "finezza" dell'estremità dell'aletta che supera il fulcro verso il marker, mi paiono inadeguati a favorire una precisione migliore di + o - 2°, diciamo.
La diminuzione di precisione raffrontata a quella ottenibile con una dima dotata persino di nonio mi pare eccessiva.
Quando lo monti, a parte il fatto che forse lo strumento potrebbe essere verosimilmente dall'origine destinato al lato destro o al lato sinistro della fusoliera, uno zero geometrico di partenza glielo devi pur fornire.
"The curve is flattening: we can start lifting restrictions now" = "The parachute has slowed our rate of descent: we can take it off now!"
Chesley Burnett "Sully" Sullenberger

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 3 dicembre 2018, 21:56

Alien ha scritto:

... La continua aeronavigabilità si basa proprio su una corretta maintenance. In altre parole, a seguito di una maintenance incorretta, l’aereo perde automaticamente la sua aeronavigabilità, e non è richiesto a nessun sistema di volo di correggere la situazione.
Giusto ma mi lascia allibito il fatto che l'aeronavigabilità l'aereo l'avesse persa già sul volo precedente... :shock:
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 3 dicembre 2018, 21:57

Valerio Ricciardi ha scritto:
Chiarissimo; però il diametro fisico dell'oggetto, e le dimensioni del marker visivo, in rapporto alla "finezza" dell'estremità dell'aletta che supera il fulcro verso il marker, mi paiono inadeguati a favorire una precisione migliore di + o - 2°, diciamo.
.
Vale', qui il problema non sono i 2°... :roll:
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
Valerio Ricciardi
FL 500
FL 500
Messaggi: 5438
Iscritto il: 22 agosto 2008, 8:33

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Valerio Ricciardi » 4 dicembre 2018, 5:16

Certo che con 2° di scarto avrebbe volato lo stesso... ma se si capisce meglio la procedura di montaggio, visto che salta fuori che toh! proprio un sensore di AoA è stato sostituito, magari ci si avvicina a capire se (come si sospetta) è plausibile un intervento manutentivo stile Tuninter (come accuratezza)...
"The curve is flattening: we can start lifting restrictions now" = "The parachute has slowed our rate of descent: we can take it off now!"
Chesley Burnett "Sully" Sullenberger

Avatar utente
Valerio Ricciardi
FL 500
FL 500
Messaggi: 5438
Iscritto il: 22 agosto 2008, 8:33

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Valerio Ricciardi » 4 dicembre 2018, 5:29

Intanto...
(postato anche in "Bird strike e addestramento piloti" in generiche)

Volo Dusseldorf-Bari deviato a Colonia, disagree fra dati computer CPT e computer FO

http://www.lastampa.it/2018/12/03/itali ... agina.html
"The curve is flattening: we can start lifting restrictions now" = "The parachute has slowed our rate of descent: we can take it off now!"
Chesley Burnett "Sully" Sullenberger

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 4 dicembre 2018, 10:23

Valerio Ricciardi ha scritto: Chiarissimo; però il diametro fisico dell'oggetto, e le dimensioni del marker visivo, in rapporto alla "finezza" dell'estremità dell'aletta che supera il fulcro verso il marker, mi paiono inadeguati a favorire una precisione migliore di + o - 2°, diciamo.
La diminuzione di precisione raffrontata a quella ottenibile con una dima dotata persino di nonio mi pare eccessiva.
Quando lo monti, a parte il fatto che forse lo strumento potrebbe essere verosimilmente dall'origine destinato al lato destro o al lato sinistro della fusoliera, uno zero geometrico di partenza glielo devi pur fornire.
L’accuratezza della misura non dipende, in linea di principio, dal riferimento dello zero: è una caratteristica costante del segnale elettrico che il sensore ti fornisce. Quello che casomai dipende dallo zero è la linearità del segnale. Ma si tratta di piccole variazioni: se il tuo sensore possiede un’accuratezza di x gradi, questa sarà valida sia che tu gli imponga uno zero meccanico corretto oppure no.

I sensori sono interscambiabili, tant’è vero che i profili delle alette di misura sono simmetrici. Sta al computer sapere se il segnale gli arriva dal DX o dal SX. E questo lo sa dal connettore elettrico che utilizza.

Se le ipotesi sull'accaduto che stiamo discutendo si riveleranno corrette, temo proprio una tempesta di fuoco sulla Lion Air. Ciò non toglie che, sempre se le ipotesi qui discusse sono corrette, anche il design Boeing lascia un dubbio: Su altri aeroplani, che hanno due AoA, esiste una Caution al pilota per fargli sapere che, a seguito di discrepanza eccessiva dei due AoA, lo Stall Warning non è più attivo nè garantito. In effetti, anche se mi sembra di capire la filosofia Boeing, potrebbe essere meglio decidere di bloccare lo Stall Warning e avvisare ovviamente il pilota, piuttosto di decidere di fornirgli evidenza dell’asimmetria con lo stick shaker e lasciargli l’incombenza di staccare oppure no il pitch trim.
Giorgio

airplane
05000 ft
05000 ft
Messaggi: 582
Iscritto il: 31 maggio 2011, 23:03

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da airplane » 4 dicembre 2018, 16:52

.
Airbus AoA,
L’aveva già ricordato >Sigmet poco tempo addietro.

--------------------------------------------------------------------------------------------------------------------------------
EASA publishes Emergency AD following control issues on A321 with blocked angle of attack probes_
--------------------------------------------------------------------------------------------------------------------------------

The European Aviation Safety Agency (EASA) issued an Emergency Airworthiness Directive for several Airbus models, detailing emergency procedures in the case of undue activation of Alpha Protection.
An occurrence was reported where an Airbus A321 encountered a blockage of two Angle Of Attack (AOA) probes during climb, leading to activation of the Alpha Protection (Alpha Prot) while the Mach number increased.
The flight crew managed to regain full control and the flight landed uneventfully.

When Alpha Prot is activated due to blocked AOA probes, the flight control laws order a continuous nose down pitch rate that, in a worst case scenario, cannot be stopped with backward sidestick inputs, even in the full backward position.
If the Mach number increases during a nose down order, the AOA value of the Alpha Prot will continue to decrease. As a result, the flight control laws will continue to order a nose down pitch rate, even if the speed is above minimum selectable speed, known as VLS.
This condition, if not corrected, could result in loss of control of the aircraft.

This systems is installed on Airbus A318, A319, A320, A321, A330 and A340 aircraft.

To address this unsafe condition, Airbus have developed a specific Aircraft Flight Manual (AFM) procedures.
The Airworthiness Directive requires amendment of the applicable AFM.
This is considered to be an interim action and further AD action may follow.

Ps.
(Purtroppo non ho il link)

.

airplane
05000 ft
05000 ft
Messaggi: 582
Iscritto il: 31 maggio 2011, 23:03

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da airplane » 4 dicembre 2018, 17:57

Alien ha scritto:
(...) In effetti, anche se mi sembra di capire la filosofia Boeing, potrebbe essere meglio decidere di bloccare lo Stall Warning e avvisare ovviamente il pilota, piuttosto di decidere di fornirgli evidenza dell’asimmetria con lo stick shaker e lasciargli l’incombenza di staccare oppure no il pitch trim.
.
>Alien,
sul B737Max quando è installato il 3° AoA optional, in presenza di differenze fra i tre AoA
(oltre gli altri avvisi) e attivato un avviso “AOA DISAGREE”.

L'Airbus, come Tu sai, dal A380 in poi è tutta un’altra storia, ma con i precedenti modelli era diverso.

.

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 4 dicembre 2018, 18:00

airplane ha scritto: The European Aviation Safety Agency (EASA) issued an Emergency Airworthiness Directive for several Airbus models, detailing emergency procedures in the case of undue activation of Alpha Protection.
An occurrence was reported where an Airbus A321 encountered a blockage of two Angle Of Attack (AOA) probes during climb, leading to activation of the Alpha Protection (Alpha Prot) while the Mach number increased.
Sarebbe interessante sapere com’è che tutt’e due le probe si sono inchiodate contemporaneamente: birdstrike? Verosimile, ma allora si torna al discorso iniziale: possibile che si inchiodino tutte e due allo stesso valore? Si impattano con due uccelli uguali, allo stesso modo, prendono esattamente la stessa quantità di energia, e poi la smaltiscono esattamente allo stesso angolo, bloccandosi lì con esattamente lo stesso attrito?
Molto inverosimile. Mi aspetto che una si inchiodi a un valore e l’altra a un valore diverso, magari in tempi leggermente differenti. Un algoritmo di voting vedrebbe una discrepanza tra i due valori e staccherebbe la Stall Protection invece di farla partire!
Quindi, immagino che sia Boeing che Airbus abbiano lasciato perdere ogni voting tra i due AoA, lasciando l’incombenza ai piloti di disinserire una protezione che potrebbe disinserirsi tranquillamente da sola......
Anzi, l’incombenza è che i piloti disinseriscano il pitch trim, perdendo così una funzionalità che serve non solamente per la stall protection (mentre invece, con una stall protection che si disinserisce da sola, il pitch trim non è affatto perso!).
Mah, a questo punto sarei curioso di sentire un parere da pilota: possibile che preferiscano l’incombenza di un carico di lavoro aggiuntivo, con un certo margine non enorme di tempo su una seria criticità, rispetto ad un automatismo che al peggio gli fa perdere la protezione sullo stallo, e gli fornisce una normale incombenza di tenere d’occhio lo stallo manualmente, magari con l’aiuto della velocità? Gli AoA sono persi in ogni caso.
Giorgio

airplane
05000 ft
05000 ft
Messaggi: 582
Iscritto il: 31 maggio 2011, 23:03

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da airplane » 4 dicembre 2018, 19:47

Alien ha scritto:
airplane ha scritto: The European Aviation Safety Agency (EASA) issued an Emergency Airworthiness Directive for several Airbus models, detailing emergency procedures in the case of undue activation of Alpha Protection.
An occurrence was reported where an Airbus A321 encountered a blockage of two Angle Of Attack (AOA) probes during climb, leading to activation of the Alpha Protection (Alpha Prot) while the Mach number increased.
(...) Quindi, immagino che sia Boeing che Airbus abbiano lasciato perdere ogni voting tra i due AoA, lasciando l’incombenza ai piloti di disinserire una protezione che potrebbe disinserirsi tranquillamente da sola....(...)

.

>Alien

col Boeing 737 io so che mettendo su off gli specifici due cut-off switchs disattivo il sistema,

mi spieghi con un Airbus 320 cosa devo fare per disattivare il sistema?

.By...


.

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 4 dicembre 2018, 23:59

Alien ha scritto:
...Mah, a questo punto sarei curioso di sentire un parere da pilota: possibile che preferiscano l’incombenza di un carico di lavoro aggiuntivo, con un certo margine non enorme di tempo su una seria criticità, rispetto ad un automatismo che al peggio gli fa perdere la protezione sullo stallo, e gli fornisce una normale incombenza di tenere d’occhio lo stallo manualmente, magari con l’aiuto della velocità? Gli AoA sono persi in ogni caso.
Bisognerebbe vedere cosa prevede la certificazione . La filosofia a fronte di una avaria (o a un degrado progressivo del sistema) di e' quella di garantire per quanto possibile la volabilità dell'aereo o le informazioni di condotta ma quello che mi lascia perplesso nel caso del 737 NG e' che la perdita di un solo componente , se non corretta (tra l'altro con una mitigazione riferita ad un altra contingency ,ovvero alla Runaway stabilizer) possa determinare l'involabilità della macchina.Insomma , dalla perdita di una protezione qui saremmo passati direttamente ad un evento potenzialmente catastrofico ed irrecuperabile.
Ma ancora non ho ben capito la logica del sistema (e non sono il solo... :roll: )
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 5 dicembre 2018, 14:51

sigmet ha scritto: Bisognerebbe vedere cosa prevede la certificazione .
A riguardo dei guasti random, la certificazione chiede di dimostrare i livelli di probabilità massimi dei vari eventi previsti, a fronte del valutato rischio.
La ditta produce una FHA (Functional Hazard Assessment), dove definisce il livello di criticità di un evento. I livelli da definire, legati alla probabilità massima ammessa, sono 4: Minor, Major, Hazardous, Catastrophic.
Ogni evento viene quindi definito a livello velivolo, per poi essere “spezzato” nei vari sistemi.
Ogni evento può quindi essere provocato da uno o più guasti in cascata (la relativa analisi da produrre si chiama FTA, Fault Tree Analysis, ed è una serie di alberi di probabilità che con delle AND e delle OR producono l’evento considerato della FHA).
In dettaglio, ogni evento Minor deve avere al massimo probabilità 1E-3 per ora di volo, ogni Major 1E-5 per ora di volo, ogni Hazardous 1E-7 per ora di volo, ogni Catastrophic 1E-9 per ora di volo.
In aggiunta, la certificazione richiede che, indipendentemente dal livello di probabilità (cioè anche se fosse meno di 1E-9), nessuna prima failure deve produrre un evento catastrophic. Questo requisito era stato aggiunto a seguito del famoso incidente Alaska Airlines 261, al largo di LA, dove una singola rottura dell’attuatore stabilizzatore ha portato alla catastrofe. Oggigiorno, gli stabilizzatori (e non solo) devono avere due percorsi di carico, altrimenti non si certifica l’aeroplano.
sigmet ha scritto: La filosofia a fronte di una avaria (o a un degrado progressivo del sistema) di e' quella di garantire per quanto possibile la volabilità dell'aereo
Non proprio (vedi sopra): a fronte di una o più avarie, dipende dalla criticità dell’evento risultante, potremmo avere una situazione minor, major, hazardous o catastrophic.
Minor è il livello che dà pochi problemi aggiuntivi al pilota.
Major è il livello che dà parecchio carico di lavoro in più.
Hazardous è il livello che sta al limite massimo del carico di lavoro, e che mette in seria difficoltà il pilotaggio e il ritorno a casa.
Catastrophic è il livello che non lascia speranze al pilotaggio.
sigmet ha scritto: ma quello che mi lascia perplesso nel caso del 737 NG e' che la perdita di un solo componente , se non corretta (tra l'altro con una mitigazione riferita ad un altra contingency ,ovvero alla Runaway stabilizer) possa determinare l'involabilità della macchina.
Quello che avevo chiamato non aeronavigabilità era riferito allo stato del velivolo dopo una maintenance errata. Lo stato del velivolo già all’inizio del volo precedente, per via di una maintenance incorretta, era già non volabile, secondo me. Per definizione, tutte le operazioni di maintenance devono essere eseguite correttamente, pena (appunto) la perdita di aeronavigabilità.
Altrimenti, avremmo l'inaccettabile situazione che le operazioni di maintenance possono degradare le probabilità con cui l'aereo è stato certificato (a fronte di quello che dicevo prima).
L’evento “prima failure” su un AoA in volo, invece, inteso come avaria random, deve essere coperto da una ben definita criticità dell’evento (Minor, Major, Hazardous, Catastrophic) e conseguentemente da un adeguato livello di probabilità massima, ma non è questo il caso di questo incidente.
Casomai, il volo precedente a quello tragico aveva dimostrato che con un carico di lavoro non enorme i piloti sono in grado di far fronte all’evento. Direi quindi, per induzione, pur non avendo visto la FHA del 737max, che l’evento “discrepanza tra i due AoA” sia qualcosa tra Minor e Major, non certo Catastrophic.
sigmet ha scritto: Ma ancora non ho ben capito la logica del sistema (e non sono il solo... :roll: )
In effetti, non abbiamo dati sufficienti. Io, ragionando per induzione, dicevo che probabilmente il voting tra i due AoA viene deliberatamente lasciato ai piloti, e in ogni caso la protezione (di nuova concezione) resta attiva.
Nel design “vecchio”, in caso di avaria rilevata la protezione si disattiva automaticamente (e le Control Law passano in Alternate o Degraded).
Giorgio

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 5 dicembre 2018, 20:36

Alien ha scritto:
A riguardo dei guasti random, la certificazione chiede di dimostrare i livelli di probabilità massimi dei vari eventi previsti, a fronte del valutato rischio.
Qui parliamo però di certificazione del"sistema". Alien , da quando non sono più pilota a tempo pieno faccio l’analista e la RA la conosco abbastanza bene dal HFACS al FMEA all’ARMS, etc.. :D Questo doppio cappello mi permette di avere una visione un po piu’ "realistica" dei problemi.
Prima di tutto mi sono andato a leggere la FAR 25 (l’aereo e’ americano) e ti invito a fare altrettanto prestando attenzione ai punti 25,143- 25.601-25.161(trim) 25.173- 25.1302.
Detto questo iniziamo proprio dalla Risk Analysis partendo dalla root cause (Single AoA loss) e lo faccio ponendo degli interrogativi. Cominciamo dai più importanti:
1) Quale RA e’ stata fatta sulla perdita di un AoA in relazione al MCAS?
2) Quali interazioni ci sono tra AoA e Air data computer ?

Bene, ora passiamo al singolo sensore:
E’ stato fatto un risk assessment sulla possibilità di danneggiamento dell’AoA (bird strike , ghiaccio, grandine etc)?
Perche’ il sistema MCAS lavora su un singolo AoA se ce ne sono due??
La ridondanza viene prevista proprio per aumentare l’affidabilità del sistema (tenendo pero’ presente che questa non sarà mai superiore a quella dell’elemento meno affidabile).
Non proprio (vedi sopra): a fronte di una o più avarie, dipende dalla criticità dell’evento risultante, potremmo avere una situazione minor, major, hazardous o catastrophic.
E l’evento risultante in questo caso secondo te qual’e’?
Casomai, il volo precedente a quello tragico aveva dimostrato che con un carico di lavoro non enorme i piloti sono in grado di far fronte all’evento. Direi quindi, per induzione, pur non avendo visto la FHA del 737max, che l’evento “discrepanza tra i due AoA” sia qualcosa tra Minor e Major, non certo Catastrophic
Negativo. Sul volo precedente avevano evitato per un soffio l’incidente applicando una procedura non prevista (poiche’ semplicemente non esisteva). La Boeing altrimenti non si sarebbe affrettata ad emettere una EMERGENCY AD con relativa procedura.Tra l’altro il FCOM sulle varie procedure di IAS disagree, stick shacker unreliable activation, alt disagree non fa alcun rimando all’AoA. E in relazione all’AD quali sono le condizioni e le probabilità che l’avaria persista? "If the original elevated AOA condition persists, the MCAS function commands another incremental stabilizer nose down command according to current aircraft Mach number at actuation."

In ARMS che valore daresti all’evento?
L’avaria dell’AoA se fosse stata legata al solo sistema antistallo avrebbe una severity inferiore ma in questo caso si e’ dimostrata catastrofica.
E’ stato fatto un RA relativo alla nuova funzione?

Quello che avevo chiamato non aeronavigabilità era riferito allo stato del velivolo dopo una maintenance errata. Lo stato del velivolo già all’inizio del volo precedente, per via di una maintenance incorretta, era già non volabile, secondo me.
No, l’aeronavigabilità l’aveva persa per il fatto che su quattro dei sei voli precedenti aveva riportato problemi simili .
L’evento “prima failure” su un AoA in volo, invece, inteso come avaria random, deve essere coperto da una ben definita criticità dell’evento (Minor, Major, Hazardous, Catastrophic) e conseguentemente da un adeguato livello di probabilità massima, ma non è questo il caso di questo incidente.
Come sopra , la criticità in questo caso e’ Catastrophic poiche’ l’avaria ha portato di fatto all’ingovernabilità dell’aereo. Un po come se con due impianti idraulici resti senza comandi perdendone uno solo (a parte la manual reversion...)

In effetti, non abbiamo dati sufficienti. Io, ragionando per induzione, dicevo che probabilmente il voting tra i due AoA viene deliberatamente lasciato ai piloti, e in ogni caso la protezione (di nuova concezione) resta attiva.
Come fa il pilota a stabilire quale e’ quello sbagliato se non gliene viene data l’indicazione? Tu se hai solo due orologi sai quale e’ quello che va avanti 5 minuti? E perch'e' non era previsto un avviso AoA disagree?

E perche’ non e’ stato possibile dal sistema riconoscere il sensore in avaria avendo a disposizione altri dati (TAS, Vz.Attitude,etc)
E last but not least : la procedura di manutenzione suggerita della Boeing era corretta?
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 5 dicembre 2018, 21:05

Ahia! Quante domande impegnative... :roll:

Ho bisogno di un pochino di tempo per riordinare le idee, e tentare qualche risposta, ma vorrei sottolineare che non voglio difendere Boeing: temo anzi di non capire appieno la decisione (sempre che sia così veramente) a disegno di non fare un voting tra i due AoA.

Allo stesso modo, e mi sembra vagamente di ricordare che proprio tu sigmet, eri d'accordo con me, quando commentavamo l'incidente Air France 447 io ero dell'opinione che il Flight Crew era stato confuso sin dall'inizio, in quanto un effetto (il distacco dell'AP) era accaduto prima della causa (speed disagree).

E sto cominciando a pensare che quell'incidente, in qualche modo, si correla a questo, purtroppo.
Giorgio

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 5 dicembre 2018, 21:57

Alien ha scritto:
E sto cominciando a pensare che quell'incidente, in qualche modo, si correla a questo, purtroppo.
Voglio suggerirti di approfondire tre incidenti che secondo me sono legati a questo episodio:

https://aviation-safety.net/database/re ... 20081127-0

https://aviation-safety.net/database/re ... 20160319-0

https://aviation-safety.net/database/re ... 20100125-0

Ovviamente le mie domande erano rivolte alla Boeing che questa volta penso abbia dimenticato qualcosa... :roll:
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 6 dicembre 2018, 11:17

Parte 1 (prime risposte)
sigmet ha scritto: Qui parliamo però di certificazione del"sistema".
Secondo la terminologia dell'Airworthiness, così mi hanno sempre spiegato, a essere certificato è un aeroplano intero, mentre un sistema viene “qualificato” (contribuendo alla certificazione globale). Un sistema ha un fornitore, generalmente esterno al costruttore del velivolo, e questo fornitore deve qualificare il suo sistema a fronte di requisiti di sistema, cioè una specifica di sistema, scritta dal costruttore a fronte di una specifica velivolo, la quale specifica velivolo contiene tutti i necessari requisiti di Airworthiness più quelli di Performance.
Questo comunque possiamo lasciarlo da parte: in questa sede direi che ad essere sotto la lente è il sistema Air Data, limitato a come gestisce i dati di AoA, e il sistema FCS, limitandoci a considerare la Stall Protection.
Però, direi che esistono degli indizi piuttosto forti per una terza focalizzazione del problema anche nell'area Maintenance.
sigmet ha scritto: Prima di tutto mi sono andato a leggere la FAR 25 (l’aereo e’ americano) e ti invito a fare altrettanto prestando attenzione ai punti 25,143- 25.601-25.161(trim) 25.173- 25.1302.
Conosco questi requisiti dalla CS europea, che sono poco differenti da quelli FAR, ma penso che in questo discorso non tutti siano applicabili.
Il 25.143 è di responsabilità Handling Qualities, e non Air Data o FCS.
Il 25.161 è anche di responsabilità HQ e richiede di dimostrare che il velivolo mantiene il trimmaggio in certe condizioni ben specificate. E richiede di considerare le velocità superiori a 1.4*VS1. Ora, sempre per induzione, perchè non ho dati, immagino che lo Stall Protection sia disegnato per velocità inferiori a 1.4*VS1, cioè al di sotto dell’intervallo richiesto dalla certificazione. Ancora una volta, se lo Stall Protection è intervenuto a velocità superiori a quella limite del requisito, è perchè c’è stato un errore di maintenance che ha inficiato la certificazione. Volendo essere critici, e dobbiamo esserlo, bisognerebbe chiedere a Boeing se la protezione interviene a velocità superiori, e, se affermativo, perchè è permesso a design che contravvenga al requisito.
Il 25.173 è ancora HQ. Richiede di dimostrare la stabilità statica longitudinale, ma di nuovo, al di sopra di 1.4*VS1. Stesso discorso: la protezione Boeing è disegnata per intervenire anche al di sopra di 1.4*VS1? Sembrerebbe di sì, ma, come sappiamo, il ragionamento induttivo può in generale essere sbagliato. Ciò non toglie che si potrebbe, dalle tracce, correlare i valori di AoA con quelli di speed.
Il 25.601 è molto generico, e nei Certification Basis (almeno quelli a cui ho contribuito) viene coperto dai suoi sottoparagrafi dettagliati. Si applica certamente agli apparati ADS e FCS, e le dimostrazioni di rispondenza ai requisiti sono sempre stati accettati per tutti gli aeroplani certificati. Cioè, anche per il 737max, i requisiti coperti dal 26.601 sono sicuramente stati dimostrati. Ma qui, in questo caso, ancora una volta, non c’è stata alcuna failure/avaria.
Il 25.1302 è responsabilità degli avionici, e del Human-Machine Interface, perchè riguarda il Cockpit. Non mi pronuncio, ma mi sembra che non sia applicabile al nostro ragionamento, che riguarda ADS, FCS e Maintenance.
sigmet ha scritto: Detto questo iniziamo proprio dalla Risk Analysis partendo dalla root cause (Single AoA loss) e lo faccio ponendo degli interrogativi. Cominciamo dai più importanti:
1) Quale RA e’ stata fatta sulla perdita di un AoA in relazione al MCAS?
2) Quali interazioni ci sono tra AoA e Air data computer ?
Questo caso però non è relativo ad una single AoA loss, perchè non c'è stata alcuna AoA loss. Dalle tracce, vediamo come ambedue i sensori AoA fossero funzionanti.
Inizio dal punto 2), perchè lo ritengo abbastanza semplice: ogni ADIRU (o ADC) invia i due AoA al FCS. Nulla da FCS viene inviato al sistema Air Data. Almeno, questo è un design generale.
Sul punto 1), invece, c’è da grattarsi la testa perchè non conosco i dettagli.
Normalmente, sta al FCS, in ricezione, preoccuparsi dei due valori separati di AoA e della loro integrità.

Comunque, considerando la perdita di un AoA, bisognerebbe andare a vedere a quali Top Event a livello velivolo contribuisce, cioè in quale Fault Tree si inserisce dal basso verso l'alto. Ma qui, come detto, non abbiamo una perdita di AoA. E poichè, giustamente, parli della AoA loss in relazione al MCAS (che è una cosa a me ignota, in quanto nuovo design), io andrei a vedere il Top Event relativo ai falsi input al FCS. Voglio dire, qual è la criticità della situazione che vede un input sbagliato oppure, meglio, degli input divergenti trasmessi dall'Air Data al FCS?
Dei due scenari:
a) single AoA input failed
b) AoA inputs divergenti
io tralascerei, almeno al momento, a) e considererei b).
La RA da cercare, quindi, sarebbe quella relativa agli effetti sul velivolo provocati dal FCS che riceve due AoA divergenti, cioè con offset costante tra loro.
E qui arriva il mio ragionamento induttivo. Poichè la Stall Protection NON viene staccata dal FCS in caso di AoA divergenti (le tracce lo dimostrano), direi che gli effetti sul velivolo sono relativi a una Stall Protection che interviene se anche uno solo dei due AoA supera la soglia massima ammessa per lo stallo.
Ora, da quanto dice Boeing, si parla anche di AoA failed. Cioè, mettono insieme i due casi a) e b) di cui sopra. Quindi, sempre per induzione, immagino che per loro sia lo stesso se un AoA è elevato rispetto all'altro, oppure elevato rispetto al vero (per esempio a fondo scala). In ogni caso, si interviene con procedura pilota (ok, sembra che l'avessero dimenticata, e ciò è abbastanza grave), in quanto l'evento velivolo è "intervento stabilizzatore comandato dalla Stall Protection".
Sempre per induzione, poichè questo aeroplano è stato certificato, immagino che questo tipo di evento abbia criticità molto minore di quella di altri eventi come "azionamento non voluto di elevator o altro primario". Boeing parla di “Stabilizer Runaway”, quindi presumo che nella FHA abbiano inserito questo scenario nel generico stabilizer runaway, magari chiamandolo Pitch Trim Runaway. Sotto l’ipotesi che la criticità del runaway dello stabilizzatore dipenda dall’entità del movimento stesso (per es. catastrophic a fondo corsa, hazardous o anche solo major con entità minori di movimento), presumo che Boeing abbia certificato l’evento sulla base che i movimenti prodotti dalla protezione sono di entità limitata e quindi di criticità limitata. Senza un discorso di questo genere, direi che non avrebbero certificato l’aeroplano.
Certamente, nessun aeroplano certificato possiede una probabilità di stabilizer runaway a fondo corsa maggiore di 1E-9.
In sostanza, bisognerebbe vedere la FHA e la definizione dell’evento, cioè fare un approccio “top-down” più che “bottom-up” seguendo il RA che suggerisci tu più sotto.

Nuovamente, devo sottolineare che ragiono per induzione, quindi potrei sbagliarmi, ma, se così fosse, non significa comunque che tecnicamente io approvi. Fornisco una spiegazione ipotetica, non una approvazione o giustificazione.

Su altri velivoli FBW alla prima avaria Air Data si perdono le protezioni. Su altri più vecchiotti, come lo ATR per esempio, esiste lo Stick Pusher: in caso di stallo, la barra viene spinta in avanti, e l'effetto è lo stesso di uno stabilizzatore azionato dal FCS. Però, nel caso dell'ATR, se i due AoA sono divergenti, lo Stick Pusher non interviene e si ha un warning al pilota per avvisarlo che ha perso l'anti-stallo automatico.
sigmet ha scritto: Bene, ora passiamo al singolo sensore:
E’ stato fatto un risk assessment sulla possibilità di danneggiamento dell’AoA (bird strike , ghiaccio, grandine etc)?
Perche’ il sistema MCAS lavora su un singolo AoA se ce ne sono due??
La ridondanza viene prevista proprio per aumentare l’affidabilità del sistema (tenendo pero’ presente che questa non sarà mai superiore a quella dell’elemento meno affidabile).
Qui però, non si discute di affidabilità (reliability), ma di sicurezza (safety) e di manutenzione/manutenibilità (maintenance): tant'è vero che nel progetto abbiamo tre distinte discipline, siglate RMS (c'è anche la T, testability, ma anche questa non mi sembra sia in gioco).
La ridondanza serve ad aumentare la safety, non la reliability: la reliability scende se si aumenta la ridondanza.
Tipico è l'esempio dell'attraversamento dell'oceano: se passo da un bimotore a un trimotore o quadrimotore, aumento la safety, perchè abbasso la probabilità di perdere tutti i motori (ho la AND delle p), ma diminuisco la reliability perchè aumento la probabilità di un guasto ad un motore (ho la OR delle p).

Qui il focus è su safety e soprattutto maintenance, secondo me. Il design può essere criticabile, ma qualcuno ha dimostrato che era certificabile.
Sicuramente, la failure singola di AoA non deve essere catastrofica. Ma allora, quale criticità possiede l'evento "perdita della stall protection"? Sul Sukhoi Superjet, il passaggio da Normal Mode a Direct Mode (perdita di tutte le protezioni) è classificato Major. Neanche Hazardous, ma Major, perchè in linea di principio, ogni pilota sa che cosa significa non dover uscire dall'inviluppo di volo, e sa come non far stallare l'aeroplano. Quindi, secondo me, si dovrebbe accettare di perdere una protezione a seguito falsa avaria, piuttosto di accettare di avere un intervento della protezione a seguito falsa avaria.

Comunque, per ritornare alla domanda perchè la protezione lavora su un singolo AoA, io ho un sospetto che richiede altro spazio per essere spiegato, e lo rinvio a dopo.
sigmet ha scritto:
Non proprio (vedi sopra): a fronte di una o più avarie, dipende dalla criticità dell’evento risultante, potremmo avere una situazione minor, major, hazardous o catastrophic.
E l’evento risultante in questo caso secondo te qual’e’?
Come dicevo più sopra, non lo so, ma posso immaginare che la criticità dipenda dall’entità del movimento.
Catastrophic a fondo corsa, hazardous a corse intermedie, forse major con corse piccole, come quelle generate dalla protezione.
Giorgio

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 6 dicembre 2018, 15:19

Parte 2
sigmet ha scritto: Tra l’altro il FCOM sulle varie procedure di IAS disagree, stick shacker unreliable activation, alt disagree non fa alcun rimando all’AoA.
Mi sembra che sia un optional avere AOA DISAGREE: la direttiva dice

Required by AD 2018-23-51
Runaway Stabilizer
In the event of an uncommanded horizontal stabilizer trim movement, combined with any of the following potential effects or indications resulting from an erroneous Angle of Attack (AOA) input, the flight crew must comply with the Runaway Stabilizer procedure in the Operating Procedures chapter of this manual:
• Continuous or intermittent stick shaker on the affected side only.
• Minimum speed bar (red and black) on the affected side only.
• Increasing nose down control forces.
• IAS DISAGREE alert.
• ALT DISAGREE alert.
• AOA DISAGREE alert (if the option is installed).
• FEEL DIFF PRESS light.
• Autopilot may disengage.
• Inability to engage autopilot.
sigmet ha scritto: E in relazione all’AD quali sono le condizioni e le probabilità che l’avaria persista? "If the original elevated AOA condition persists, the MCAS function commands another incremental stabilizer nose down command according to current aircraft Mach number at actuation."
Non parla di avaria: parla delle condizioni di volo per le quali persiste un elevato AoA.
In pratica dice che, se a seguito del primo intervento di nose down, la condizione di AoA permane oltre la soglia di intervento, allora abbiamo un secondo intervento. Presumo che questo si applichi all’infinito, nel senso che, essendo l’intervento limitato, se le condizioni che lo hanno provocato persistono, lui ricomincia.
Interessante notare che il valore di AoA di soglia è funzione del Mach, non direttamente della velocità.
Ed è ancora più interessante notare che, poichè il valore di AoA di soglia è funzione del Mach, se per qualche motivo il sagnale AoA rimane elevato, mentre il Mach aumenta perchè c’è un nose down, allora anche il valore di soglia diminuisce, e la possibilità di un secondo nose down aumenta. Si tratta di una instabilità divergente, in fondo.
sigmet ha scritto: In ARMS che valore daresti all’evento?
Non saprei proprio, anche perchè non ho familiarità con questo rating.
Però mi piace poco questa elevata sensibilità della logica ai falsi allarmi. Si tratta di una cosiddetta “nuisance”, nel senso che il pilota ha un falso allarme. Un po’ come un’auto a guida automatica (queste non mi piacciono proprio) che ai 180 all’ora frena senza che ci siano ostacoli nè pericoli.
sigmet ha scritto: L’avaria dell’AoA se fosse stata legata al solo sistema antistallo avrebbe una severity inferiore ma in questo caso si e’ dimostrata catastrofica.
Uhmm... solitamente nel FCS il dato AoA serve solo per l’antistallo. La certificazione, al requisito CS25.207, impone che uno Stall Warning venga fornito al pilota. Questo requisito, piuttosto corposo e dettagliato, deve essere soddisfatto, ovviamente, ma richiede solo il warning di per sè. Cioè, richiede qualcosa di passivo. Non mi sembra richieda nulla di attivo sul nose down. Normalmente, gli stick pusher o i dispositivi di nose down, sono utilizzati sugli aeroplani con coda a T, dove si rischia lo stallo stabile. Sugli aeroplani con piani di coda “tradizionali”, bassi, dove lo stallo non è stabile, un warning dovrebbe essere sufficiente. E’ necessario, ma è anche sufficiente. Senza installare l’equivalente di uno stick pusher, o nose down, potrebbe anche essere sufficiente avere una limitazione nel FCS, nel senso di limitare l’AoA togliendo autorità allo stick, che può continuare ad essere tirato indietro, ma senza che ci sia più comando ai piani di coda. Un po’ come fa (o faceva?) Airbus.
Già, Airbus: a meno che.....
E qui entra il mio dubbio, del quale parlerò in seguito.
sigmet ha scritto: Come fa il pilota a stabilire quale e’ quello sbagliato se non gliene viene data l’indicazione? Tu se hai solo due orologi sai quale e’ quello che va avanti 5 minuti? E perch'e' non era previsto un avviso AoA disagree?
Se ho capito bene, da quanto riportato nella AD, l’alert AOA DISAGREE è un optional. Penso che si riferisca al fatto che un terzo AoA è un optional. Con tre AoA, abbiamo un sistema Fail-op/Fail Safe, che continua a funzionare anche dopo la prima failure. Però, in linea di principio, avere un sistema duplex, con due AoA, può permettere tranquillamente di avere un alert AOA DISAGREE (vedi ATR e altri). Può essere che, in Boeing, abbiano pensato che la disparità dello stick shaker fosse indicazione sufficiente di AoA DISAGREE.
sigmet ha scritto: E perche’ non e’ stato possibile dal sistema riconoscere il sensore in avaria avendo a disposizione altri dati (TAS, Vz.Attitude,etc)
Ma il sensore non era in avaria. Questo è uno dei punti fondamentali da non dimenticare.
La domanda precisa è: perchè, a progetto, nel FCS non c’è voting ed esclusione dei due AoA quando divergono tra di loro? Io ho dato la mia risposta, ma ovviamente, si tratta di una ipotesi: il voting è lasciato ai piloti, che invece di vedere due stick che vibrano, ne vedono una sola. E l’esclusione è anche lasciata ai piloti tagliando il pitch trim.
sigmet ha scritto: E last but not least : la procedura di manutenzione suggerita della Boeing era corretta?
Bisognerebbe leggerla, però, qui si tratta di procedure di rigging dello AoA Probe, e credo siano tutte simili.
Un errore di maintenance, come dicevo, preclude l’aeronavigabilità. Un paio di anni fa, ero su un volo appena decollato da Amsterdam. Appena arrivato in quota, l’aeroplano ha fatto una frenata micidiale, con inversione di rotta a 180gradi. E’ dovuto tornare ad Amsterdam, spiegava il pilota, perchè la sera prima avevano sostituito il carrello, e nella documentazione non c’era traccia della sostituzione di un bullone.
Appena atterrato (per fortuna il bullone c’era, e il carrello non è collassato), è arrivato il responsabile della maintenance: hanno verificato che l’errore era solo documentale, nella checkllist, il bullone era presente, anche se non documentato, e siamo ripartiti un’ora dopo.
Umanamente e psicologicamente, anche io non ero in condizioni ottimali. Il pilota, ovviamente, tranquillizzava tutti dicendo che il problema secondo lui era solo documentale, ma formalmente, secondo me, quell’aeroplano in quel volo non era aeronavigabile.
Giorgio

airplane
05000 ft
05000 ft
Messaggi: 582
Iscritto il: 31 maggio 2011, 23:03

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da airplane » 6 dicembre 2018, 18:35

Alien ha scritto:Parte 1 (prime risposte)
sigmet ha scritto: Detto questo iniziamo proprio dalla Risk Analysis partendo dalla root cause (Single AoA loss) e lo faccio ponendo degli interrogativi. Cominciamo dai più importanti:
1) Quale RA e’ stata fatta sulla perdita di un AoA in relazione al MCAS?
2) Quali interazioni ci sono tra AoA e Air data computer ?
Questo caso però non è relativo ad una single AoA loss, perchè non c'è stata alcuna AoA loss. Dalle tracce, vediamo come ambedue i sensori AoA fossero funzionanti.
Inizio dal punto 2), perchè lo ritengo abbastanza semplice: ogni ADIRU (o ADC) invia i due AoA al FCS. Nulla da FCS viene inviato al sistema Air Data. Almeno, questo è un design generale.
Sul punto 1), invece, c’è da grattarsi la testa perchè non conosco i dettagli.(...)
.
>Leggendo gli ultimi Post,
Mi è venuta in mente una domanda che da parecchio volevo fare:
Nel B737Max esiste una interazione del sistema MCAS con un sistema SMYD?

Ovviamente sempre col riferimento a un AoA di valore errato.

By...

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 6 dicembre 2018, 21:09

Alien ha scritto: Secondo la terminologia dell'Airworthiness, così mi hanno sempre spiegato, a essere certificato è un aeroplano intero, mentre un sistema viene “qualificato” (contribuendo alla certificazione globale).
Non confondere la continuos airworthiness con la certificazione.
The aircraft manufacturer must demonstrate compliance of its product with regulatory requirements: the structure, engines, control systems, electrical systems and flight performance are analysed against the Certification Basis.



Ovvero si certifica l’intero aeroplano in compliance con le norme relative ai sistemi e sottosistemi.
Per fartela semplice alcune di queste norme ti dicono che l’aereo in qualsiasi condizione dovrebbe rimanere trimmato x una determinata “trimmed speed”.Mettiamo caso che questa fosse di 250 Kts (ovvero la normale Vcl sotto i 10.000 ft)
Nel caso del Lion Air il trim si e’ portato (autonomamente) in una condizione di involabilità ovvero lo sforzo prodotto dal pilota non solo superava quello previsto per la trimmed speed (75) ma addirittura anche a 4 mani era insufficiente a contrastare la forza aerodinamica dello stabilizzatore, ergo le norme di certificazione a questo punto sarebbero state disattese. La nuova speed di equilibrio con lo stabilizzatore in quella posizione probabilmente superava i 500 kts!
E anche durante l’ultimo tuffo lo stabilizzatore (comandato dal MCAS) non ha dato segni di ravvedimento e se ne e’ fottuto della trim speed decidendo di fare il bagno a mare.

Il 25.143 è di responsabilità Handling Qualities, e non Air Data o FCS.
L'aereo infatti era in condotta manuale.
Il 25.161 è anche di responsabilità HQ e richiede di dimostrare che il velivolo mantiene il trimmaggio in certe condizioni ben specificate.
Come sopra.La 25.143 dice poi che: (a) The airplane must be safely controllable and maneuverable during—
(1) Takeoff;
(2) Climb;
(3) Level flight; (4) Descent; and (5) Landing.
Ergo l’aereo in quelle condizioni non era controllabile.
l 25.173 è ancora HQ. Richiede di dimostrare la stabilità statica longitudinale, ma di nuovo, al di sopra di 1.4*VS1. Stesso discorso: la protezione Boeing è disegnata per intervenire anche al di sopra di 1.4*VS1? Sembrerebbe di sì..
Sappiamo tutti che lo stallo può avvenire a tutte le velocità ma solo ad un determinato AoA motivo per cui l’antistallo e’ legato all’aletta e non alla speed. In questo caso, come già detto, il sensore non serviva il solo sistema antistallo ma anche il sistema MCAS , sistema che abbiamo visto funziona sulla logica di un solo input (e non in logica and).
.

Questo caso però non è relativo ad una single AoA loss, perchè non c'è stata alcuna AoA loss.
Se per loss intendi che e' l'aletta e' caduta dall'aereo non c'e' stata. Se invece pensi che un dato palesemente sbagliato non significhi una avaria stai sbagliando.Un sensore che indica 10° in piu’ rispetto al reale e’ uno strumento in avaria come lo e’ l’altimetro che indica piu/meno 30 ft o la C6L che indica piu’/meno di 10° e via dicendo, e da più di cento anni e' così. Su questo non ci piove. Se pero' un altimetro indica una quota errata in volo il pilota non puo’ saperlo a meno che non ne abbia almeno altri due di riferimento. Poi se l’altimetro si scassa proprio esce la bandierina e ti levi il problema. Sull’AoA c’era la bandierina? :roll:
Il sistema aveva a disposizione altri dati per verificare l'attendibilità dell'AoA. Non li ha utilizzati.



La RA da cercare, quindi, sarebbe quella relativa agli effetti sul velivolo provocati dal FCS che riceve due AoA divergenti, cioè con offset costante tra loro.
E qui arriva il mio ragionamento induttivo. Poichè la Stall Protection NON viene staccata dal FCS in caso di AoA divergenti (le tracce lo dimostrano), direi che gli effetti sul velivolo sono relativi a una Stall Protection che interviene se anche uno solo dei due AoA supera la soglia massima ammessa per lo stallo.
Qui non si tratta però della perdita di una protezione ma dell'effetto di un dato errato causato dal sensore che dovrebbe fornire il dato alla protezione
In ogni caso, si interviene con procedura pilota (ok, sembra che l'avessero dimenticata, e ciò è abbastanza grave), in quanto l'evento velivolo è "intervento stabilizzatore comandato dalla Stall Protection".
Di quale procedura parli? :roll:
Sempre per induzione, poichè questo aeroplano è stato certificato, immagino che questo tipo di evento abbia criticità molto minore di quella di altri eventi come "azionamento non voluto di elevator o altro primario". Boeing parla di “Stabilizer Runaway”, quindi presumo che nella FHA abbiano inserito questo scenario nel generico stabilizer runaway, magari chiamandolo Pitch Trim Runaway.
Sono due cose simili ma sensibilmente diverse...

Sotto l’ipotesi che la criticità del runaway dello stabilizzatore dipenda dall’entità del movimento stesso (per es. catastrophic a fondo corsa, hazardous o anche solo major con entità minori di movimento), presumo che Boeing abbia certificato l’evento sulla base che i movimenti prodotti dalla protezione sono di entità limitata e quindi di criticità limitata.
Lo stabilizzatore non ha mai raggiunto il fondo corsa ma e' bastato quel tot a far precipitare il 737.Ergo se l'autotrim supera l'handover la severity e' sull'ultima casella rossa a dx.



Qui però, non si discute di affidabilità (reliability), ma di sicurezza (safety) e di manutenzione/manutenibilità (maintenance): tant'è vero che nel progetto abbiamo tre distinte discipline, siglate RMS (c'è anche la T, testability, ma anche questa non mi sembra sia in gioco).
La ridondanza serve ad aumentare la safety, non la reliability: la reliability scende se si aumenta la ridondanza.
Ti faccio questo semplicissimo esempio relativo alla ridondanza in un sistema:
Immagine
Immagine
E’ aumentata l’affidabilità ( ovvero quella di diminuire le probabilità di failure del sistema?) E la Safety?
Sicuramente, la failure singola di AoA non deve essere catastrofica.
Vallo a spiegare alla Boeing :roll:
.. in linea di principio, ogni pilota sa che cosa significa non dover uscire dall'inviluppo di volo, e sa come non far stallare l'aeroplano.
Infatti quel poveretto non ha stallato nonostante fosse impegnato in una specie di Bareback Bronc Riding... a fare casino ci ha pensato l'MCAS!

E l’evento risultante in questo caso secondo te qual’e’?
ce l'hai sotto gli occhi...
Come dicevo più sopra, non lo so, ma posso immaginare che la criticità dipenda dall’entità del movimento.
Catastrophic a fondo corsa, hazardous a corse intermedie, forse major con corse piccole, come quelle generate dalla protezione.
Come ho detto sopra...
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
Valerio Ricciardi
FL 500
FL 500
Messaggi: 5438
Iscritto il: 22 agosto 2008, 8:33

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Valerio Ricciardi » 6 dicembre 2018, 21:55

[OT MODE ON/] sto vivendo i vostri scambi come una vera lectio magistralis, in cui non vi è una parte "sana e razionale" e una parte "antiscientifica e di stile sciachimista", come accade spesso oggi nei dibattiti, ma il confronto ad alto livello fra due persone che provengono da due filiere diverse ma sono ambedue finalizzate al "bene comune". Ve ne sono personalmente grato. [/OT MODE OFF]
"The curve is flattening: we can start lifting restrictions now" = "The parachute has slowed our rate of descent: we can take it off now!"
Chesley Burnett "Sully" Sullenberger

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 6 dicembre 2018, 22:13

Alien ha scritto:

Non parla di avaria..
Aho, l'ha scritto la boeing mica io..aan erroneous Angle of Attack (AOA) inpuI :roll:

[
/i]n pratica dice che, se a seguito del primo intervento di nose down, la condizione di AoA permane oltre la soglia di intervento, allora abbiamo un secondo intervento.

Quanto dura il primo? Quanto il secondo?etc...

Interessante notare che il valore di AoA di soglia è funzione del Mach, non direttamente della velocità.

E' legato immagino alle condizioni di volo transonico ad alta quota. Alle basse velocità e basse quote non c'e' errore di compressibilità.


Però mi piace poco questa elevata sensibilità della logica ai falsi allarmi. Si tratta di una cosiddetta “nuisance”, nel senso che il pilota ha un falso allarme. Un po’ come un’auto a guida automatica (queste non mi piacciono proprio) che ai 180 all’ora frena senza che ci siano ostacoli nè pericoli.

Si, e' un po così...

L’avaria dell’AoA se fosse stata legata al solo sistema antistallo avrebbe una severity inferiore ma in questo caso si e’ dimostrata catastrofica.

Infatti e' quello che cercavo di dirti.
Normalmente, gli stick pusher o i dispositivi di nose down, sono utilizzati sugli aeroplani con coda a T, dove si rischia lo stallo stabile. Sugli aeroplani con piani di coda “tradizionali”, bassi, dove lo stallo non è stabile, un warning dovrebbe essere sufficiente.

Esatto, ma gli ingegneri della Boeing dopo che l'aereo era stato fatto si sono accorti che con quei motori un po "storti" e quei momenti un po piu' lunghi rispetto al vecchio porcellino si sono un po cagati sotto e hanno tirato fuori un coniglio dal cilindro . Solo che il coniglio era un rospo... :roll:

Può essere che, in Boeing, abbiano pensato che la disparità dello stick shaker fosse indicazione sufficiente di AoA DISAGREE.

Prima di pensare dovrebbero chiedere a chi ci vola, e in questo alla Boeing una volta erano maestri...Non ci sono più gli ingegneri di una volta... :roll:

Ma il sensore non era in avaria. Questo è uno dei punti fondamentali da non dimenticare.

Ti confermo, lo era.
... il voting è lasciato ai piloti, che invece di vedere due stick che vibrano, ne vedono una sola. E l’esclusione è anche lasciata ai piloti tagliando il pitch trim


:shock: :shock: .
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 7 dicembre 2018, 14:45

sigmet ha scritto: E anche durante l’ultimo tuffo lo stabilizzatore (comandato dal MCAS) non ha dato segni di ravvedimento e se ne e’ fottuto della trim speed decidendo di fare il bagno a mare.
Mi piacerebbe vedere come è definito lo Hazard chiamato “uncommanded stabilizer movement”, e capire se è stato suddiviso in categorie di criticità inferiori, a seconda delle entità del movimento, oppure no.
Se hanno definito un solo hazard, indipendentemente dalle entità del movimento, presumo questo sia catastrophic, in quanto si tratta del Worst Case. Ma se è catastrophic, bisogna allora vedere se nel Fault Tree (e nel Safety Assessment) hanno inserito il ramo relativo al particolare evento “intervento erroneo del MCAS (ma che significa questa sigla?)”. E questo ramo, che è poi ciò che è accaduto qui, deve avere un suo valore di probabilità. Voglio dire, se questo ramo manca, oppure se c’è ma non tiene conto delle failure AoA, oppure se ci sono altri motivi per cui i conti non quadrano, allora abbiamo un documento, che è parte della certificazione (la Safety ha MoE = 3), incorretto.
Il mio sospetto qui è che, magari il documento a livello velivolo è corretto, ma non lo sono più i sotto-documenti spezzati e allocati ai due sistemi: Avionica e FCS. Parlo di allocazione di requisiti parziali, a due sistemi diversi, a fronte del requisito globale catastrophic.
sigmet ha scritto: La 25.143 dice poi che: (a) The airplane must be safely controllable and maneuverable during—
(1) Takeoff;
(2) Climb;
(3) Level flight; (4) Descent; and (5) Landing.
Ergo l’aereo in quelle condizioni non era controllabile.
Però è stato certificato. Hanno eseguito tutte le prove di volo richieste, e la FAA è rimasta soddisfatta.
Queste condizioni di volo, da dimostrare, sono sempre relative a condizioni nominali dell’aeroplano, e non a condizioni di avaria. Se vogliamo contestare la certificazione, secondo me dovremmo andare a vedere in dettaglio gli FHA dell’Air Data e del FCS, e i relativi documenti di Safety Assessment.
sigmet ha scritto: Se per loss intendi che e' l'aletta e' caduta dall'aereo non c'e' stata. Se invece pensi che un dato palesemente sbagliato non significhi una avaria stai sbagliando.
Nessun software, per quanto ben disegnato, può affermare con sicurezza di aver capito quale sia il dato “palesemente sbagliato”. Possiamo vedere adesso, col senno di poi, che uno dei due AoA è “palesemente sbagliato”, ma nel SW in volo non è così semplice (tra l’altro, io non so nemmeno adesso se per caso l’altro AoA, invece di essere sbagliato in eccesso, per caso non sia sbagliato in difetto). Tant’è vero che, nei sistemi duplex, in caso di discrepanza eccessiva, un computer può solamente dire che l’integrità del dato è azzerata, ma, in molti casi, non può essere sicuro di quale dato sia “palesemente sbagliato”. Lo può decidere solo se uno dei due è dichiarato “invalid” dalla label del bus in arrivo, e qui non è stato così.
I due valori di AoA erano tutti e due validi.
Nei diagrammi funzionali, con il termine “loss” si intende perdita della funzionalità. E la funzionalità in questione, dal punto di vista FCS, è la trasmissione di un dato AoA. Il punto di vista dell’ADIRU è che l’aletta ha la funzionalità di trasmettere il dato di AoA, il punto di vista FCS è che è l’ADIRU a trasmettere il dato di AoA (il FCS non sa nulla dell’aletta AoA). Poichè io posso andare nei dettagli solo dal punto di vista FCS, dico semplicemente che, indipendentemente dallo stato di salute dell’aletta (che non era in avaria, comunque, si vede dalle tracce), la funzionalità degli ADIRU non era perduta in quanto (lo vedo dalle tracce) trasmettevano due valori “valid” di AoA.
Il focus numero 1 è un altro: sta agli ADIRU accorgersi che esiste disparità tra i due segnali? Poichè, presumo, l’Alert AOA DISAGREE è compito degli ADIRU, e non c’è stato, sono autorizzato a pensare che, a progetto, non esista proprio. L’Alert AOA DISAGREE, a quanto pare, esiste solo se uno sceglie l’aeroplano con l’opzione relativa (con 3 AoA invece di due, se capisco bene).
Quindi, critica numero 1: il sistema Air Data, nella persona degli ADIRU, dovrebbe sempre segnalare al cockpit un AOA DISAGREE.
Il focus numero 2 è conseguenza: indipendentemente dalle decisioni di responsabilità ADS (verso il cockpit), il FCS dovrebbe, secondo un buon disegno, prevedere un voting continuo anche nel caso che nessuno dei due segnali in arrivo sia dichiarato INVALID dall’ADS. Però, vediamo con rammarico che non sembra affatto così: la routine di protezione, in caso di due AoA VALID, decide se intervenire oppure no sulla base del valore o dei valori di ognuno dei due, separatamente, e azionare lo stick separatamente.
Quindi, critica numero 2: il sistema FCS dovrebbe sempre fare un voting attivo dei due segnali in arrivo, e non attivare la Stall Protection nei casi dubbi (e ovviamente segnalare al pilota che la protezione è persa: STALL PROTECTION LOST, o qualcosa del genere).
sigmet ha scritto: Il sistema aveva a disposizione altri dati per verificare l'attendibilità dell'AoA. Non li ha utilizzati.
Se parli del sistema Air Data, penso proprio di sì.
Però, se è stato progettato in modo da non generare nemmeno un semplice AOA DISAGREE, significa che, a maggior ragione, non gliene fregava nulla di aggiungere dei check dettagliati sui singoli AoA.
sigmet ha scritto: Di quale procedura parli? :roll:
Della procedura Boeing che la FAA ha deliberato obbligatoria con la AD. L’avevano dimenticata nel Flight Manual.
sigmet ha scritto: Lo stabilizzatore non ha mai raggiunto il fondo corsa ma e' bastato quel tot a far precipitare il 737.Ergo se l'autotrim supera l'handover la severity e' sull'ultima casella rossa a dx.
Questo è proprio il motivo per cui, come dicevo sopra, bisognerebbe andare a vedere (io sarei molto curioso) la documentazione di Safety Boeing, cioè gli FHA di ADS e FCS, e relativi Safety Assessment.
Se, come credo, un runaway di stabilizzatore è catastrophic oltre un certo valore, il tutto deve essere opportunamente identificato e valutato nella documentazione di cui parlo.
sigmet ha scritto:
Sicuramente, la failure singola di AoA non deve essere catastrofica.
Vallo a spiegare alla Boeing :roll:
Anche questo è incluso nel mio commento qui sopra. Documentazione di Safety.
Lo so, sto ancora dando l’impressione di difendere Boeing, ma non è così: appena posso, spiego un pochino più in dettaglio come secondo me dovrebbe essere analizzato lo Hazard di cui parlo, e relativo Safety Assessment.

Un'altra cosa: l'aletta AoA, a quanto sembra, era fuori calettatura fin dall'inizio del power up, indicando un grave errore di Maintenance. Però, potrebbe anche darsi che si fosse scalettata a seguito di birdstrike, e quindi andata fuori rigging.
Giorgio

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 7 dicembre 2018, 17:01

Nella FHA (Functional Hazard Assessment) di Boeing, oltre allo hazard relativo allo stabilizzatore (Undemanded Stabilizer Movement), mi piacerebbe anche verificare quello relativo alle Control Laws del FCS. Le C/L FCS sono tutte quelle routine di SW che migliorano le Qualità di Volo (ad es. smorzamento del Dutch Roll, Roll Compensation, Stability Augmentation, etc) ma anche quelle routine che intervengono automaticamente per proteggere il velivolo da una uscita accidentale o voluta dall’inviluppo di volo (ad es. Stall Protection, appunto).
E’ normale (io l’ho fatto), che in una FHA si inserisca per analisi anche un evento che corrisponde a un erroneo output dalle C/L alle superfici FCS. Questo hazard è CATASTROPHIC nel worst case, perchè domanda all’attuatore un movimento che in realtà non è corretto, cioè è diverso da come dovrebbe essere. Come in questo caso, dove si ha un comando allo stabilizzatore quando non sussitono le condizioni effettive di stall recovery (AoA vero inferiore alla soglia di pericolo). Scendendo di livello quindi, lo hazard relativo (Erroneous Control Laws Output) dovrebbe avere un ramo concorrente che è relativo al caso in esame (lo chiamerei Erroneous Stabilizer Stall Recovery Command).

Poi ci dovrebbe essere tutto un sotto-albero (un Fault Tree) che concorre a questo Erroneous Stabilizer Stall Recovery Command, con tutti i rami che concorrono, e tutti i valori di probabilità. Uno dei rami è relativo agli input che arrivano dagli ADIRU, cioè dall’Air Data System. Il ramo critico che contribuisce, quindi, sarebbe relativo a una serie di eventi (in OR) ognuno dei quali dovrebbe essere Erroneous AoA Input.
Ora, se il SW FCS eseguisse un voting per eliminare i due segnali AoA quando differiscono troppo tra loro, invece di prendere per buono tutto quello che arriva, la probabilità relativa a questo ramo dell’albero sarebbe molto più bassa. In altre parole, il tutto contribuirebbe ad abbassare la probabilità totale dell’evento, il quale, pur continuando ad essere CATASTROPHIC, avrebbe probabilità accettabile.
Cioè, la probabilità totale sarebbe inferiore a 1E-9, poichè, anche se abbiamo una probabilità relativamente alta di un singolo AoA errato (non failed, errato!), il fatto che ci sia un voting mi mette una AND al posto di una OR, e il numeretto si abbassa drasticamente (la AND mi moltiplica le p, mentre la OR le somma). A quanto sembra, nel 737max abbiamo una OR tra i due AoA che mi porta la probabilità molto in alto (tant’è vero che è successo), mentre, se avessimo un voting, il risultato critico sarebbe [(AoA1 errato) AND (AoA2 errato) AND (AoA1=AoA2)], il che avrebbe probabilità -a occhio- sui 1E-12 o anche meno.

Il mio dubbio è che non sia così.

Potrebbe darsi che, poichè questi Fault Tree sono da dividere tra due sistemi (ADS e FCS), la divisione eseguita, dal livello velivolo in giù, sia incorretta (mi sembra improbabile: normalmente basta dividere e dare al FCS un requisito più stringente del pezzo dato all’AVS. Parlo per esperienza personale FCS: noi siamo più bravi e ci becchiamo requisiti più stringenti! D’altronde, il FCS è critico, l’AVS no).
Oppure, che le ipotesi relative ai valori numerici siano ottimistiche (molto più probabile, e temo qualcosa del genere: vedi caso tipico Challenger NASA, dove più che agli ingegneri, l’ottimismo incosciente era dovuto ai manager: consiglio di leggere il Report del compianto Feynman).
Oppure, che i relativi alberi non siano strutturalmente corretti da qualche parte (penso improbabile). Oppure, che non sia stato (mia illazione originaria, ancora valida, dovuta al marketing Boeing: spiegherò, ma è caso analogo al Challenger) allocato correttamente un livello CATASTROPHIC all’evento Erroneous Stabilizer Stall Recovery Command.
Oppure, ancora, che l’evento Undemanded Stabilizer Movement sia stato suddiviso erroneamente in sottocasi ottimistici, cioè non tutti CATASTROPHIC (e lasciando alle procedure Flight Crew l’incombenza).
Oppure, un misto strano di tutto.
E la FAA in sede di certificazione, non si è accorta di nulla (anche perchè è difficile, anzi impossibile, per un paio di persone verificare dettagli prodotti da dozzine di persone).
Chi lo sa? Una FHA, corredata da tutti i suoi alberi e sottoalberi, è complicata, e delle incongruenze o delle ipotesi ottimistiche potrebbero essere un po’ dappertutto.

Non vorrei però dimenticare che se siamo di fronte ad un errore di maintenance (che si aggiunge a quelli che dicevo prima, non li sostituisce) la cosa è almeno altrettanto grave.
Giorgio

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 7 dicembre 2018, 23:44

Alien ha scritto:
Mi piacerebbe vedere come è definito lo Hazard chiamato “uncommanded stabilizer movement”, e capire se è stato suddiviso in categorie di criticità inferiori, a seconda delle entità del movimento, oppure no.
Attenzione perche' in questo caso non e' l'entità del movimento ma il posizionamento dello stabilizzatore rispetto ad una speed X. Per assurdo poteva verificarsi il caso opposto con conseguente stallo o anche un semplice angolo critico , anche minore di quello raggiunto, rispetto allo sforzo di barra per quella condizione , ad esempio ad una V (X) superiore.
MCAS (ma che significa questa sigla?)
”.
Maneuvering Characteristichs Augmentation System

Queste condizioni di volo, da dimostrare, sono sempre relative a condizioni nominali dell’aeroplano, e non a condizioni di avaria
No , basta che pensi all'avaria motore. Il problema e' che un avaria del genere non e' stata contemplata, almeno nel suo sviluppo.

I due valori di AoA erano tutti e due validi.
Ti ripeto che non si puo' considerare "valido" un dato che differisce piu' di un tot dal reale. Ma anche se fosse non puoi delegare una funzione vitale come quella ad un unico strumento.
(che non era in avaria, comunque, si vede dalle tracce),
Le tracce veramente indicano chiaramente quale delle due fosse una falsa lettura. Poi possiamo discutere per ore sulla semantica della parola avaria. Per me , aeronauticamente parlando, la parola "fault" e' più che esaustiva. Col tuo ragionamento ogni strumento elettricamente collegato puo' dare un valore qualsiasi . Fortunatamente non e' sempre così.Il pilota per volare ha bisogno di un dato che rappresenti la realtà.


Però, se è stato progettato in modo da non generare nemmeno un semplice AOA DISAGREE, significa che, a maggior ragione, non gliene fregava nulla di aggiungere dei check dettagliati sui singoli AoA.
In realtà ci hanno pensato.Bastava pagare...

Della procedura Boeing che la FAA ha deliberato obbligatoria con la AD. L’avevano dimenticata nel Flight Manual.
Quindi quei poveretti hanno fatto il dovere loro..


Un'altra cosa: l'aletta AoA, a quanto sembra, era fuori calettatura fin dall'inizio del power up, indicando un grave errore di Maintenance. Però, potrebbe anche darsi che si fosse scalettata a seguito di birdstrike, e quindi andata fuori rigging.
Sembra che sia stato saltato uno dei diversi test necessari al CRS . Ma su questo non ho evidenze.
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 9 dicembre 2018, 18:31

Scusate se adesso sembrerò OT: in realtà, penso di non esserlo. Prego di avvisarmi.

La genesi di questo disastro mi ricorda da vicino i disastri del Challenger prima, e del Columbia in seguito.
In quei casi il grosso problema era che alla NASA il management aveva impostato l'organizzazione interna secondo un principio strettamente economico, e non tecnico. Alcune deroghe alla impostazione della safety erano state accettate, anzi, imposte, per favorire i ritorni economici e un'immagine positiva nei media.

Non scendo in dettagli per quanto riguarda la NASA, ma temo che qui ci sia qualcosa del genere.
Ci sono stati nel passato alcuni incidenti, e tra tutti penso sempre (anche perchè lo conosco meglio) al AF447, nei quali il pilotaggio era stato troppo "ottimistico". L'incidente era stato, non dico causato, ma aggravato in qualche modo, dal fatto che il pilota sembrava che si fidasse troppo della protezione antistallo del velivolo. In altre parole, c'era stato uno stallo vero, ma il pilotaggio si era fidato di un intervento protettivo del FCS che in realtà NON c'era stato.

Ho quindi l'impressione che alla Boeing abbiano fatto un certo discorso. Guardate che i nostri aeroplani sono migliori: non abbiamo più un sistema antistallo che non interviene e in qualche modo tradisce il pilota; il nostro sistema interviene comunque, e il pilota può quindi stare tranquillo che anche in caso di qualche avaria, l'aeroplano è protetto dallo stallo. Per male che vada, il pilota può sempre intervenire se lo stall recovery esagera.

L'ho volutamente espressa in termini non tecnici, ma di marketing: un aeroplano del quale ci si può fidare perchè si protegge da solo in qualunque circostanza, è più appetibile e si vende meglio, di un aeroplano che in certe circostanze non si protegge da solo, e tradisce il pilota.

Resta il fatto oggettivo che, se anche avessi torto nella mia sensazione, un compromesso accettabile tra il pericolo di un falso positivo e un falso negativo non lo abbiamo ancora raggiunto. Ritorna in auge la mia domanda: è meno peggio avere uno stallo vero che il pilota deve riconoscere perchè il sistema non è in grado di farlo, e affidarsi al pilota, oppure uno stallo falso che il sistema ha rilevato come vero, e affidarsi al pilota? Poichè la domanda presenta due alternative, in ognuna delle quali c'è una decisione finale del pilota, non posso far altro che ammettere di non saper rispondere, e affidare risposte, commenti e considerazioni, ai piloti. In nessuno dei due casi ci si può fidare ciecamente negli automatismi, ma per avere degli automatismi che siano veramente di aiuto e non pericolosi, diventa essenziale che l'ultima parola sul lavoro fatto dagli automatismi sia del pilota, nella sua piena consapevolezza dei limiti e degli errori degli automatismi stessi.
Giorgio

airplane
05000 ft
05000 ft
Messaggi: 582
Iscritto il: 31 maggio 2011, 23:03

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da airplane » 9 dicembre 2018, 21:39

Alien ha scritto:
(...) Ho quindi l'impressione che alla Boeing abbiano fatto un certo discorso. Guardate che i nostri aeroplani sono migliori: non abbiamo più un sistema antistallo che non interviene e in qualche modo tradisce il pilota; il nostro sistema interviene comunque, e il pilota può quindi stare tranquillo che anche in caso di qualche avaria, l'aeroplano è protetto dallo stallo. Per male che vada, il pilota può sempre intervenire se lo stall recovery esagera.

L'ho volutamente espressa in termini non tecnici, ma di marketing: un aeroplano del quale ci si può fidare perchè si protegge da solo in qualunque circostanza, è più appetibile e si vende meglio, di un aeroplano che in certe circostanze non si protegge da solo, e tradisce il pilota.

Resta il fatto oggettivo che, se anche avessi torto nella mia sensazione, un compromesso accettabile tra il pericolo di un falso positivo e un falso negativo non lo abbiamo ancora raggiunto. Ritorna in auge la mia domanda: è meno peggio avere uno stallo vero che il pilota deve riconoscere perchè il sistema non è in grado di farlo, e affidarsi al pilota, oppure uno stallo falso che il sistema ha rilevato come vero, e affidarsi al pilota?
Poichè la domanda presenta due alternative, in ognuna delle quali c'è una decisione finale del pilota, non posso far altro che ammettere di non saper rispondere, e affidare risposte, commenti e considerazioni, ai piloti.
In nessuno dei due casi ci si può fidare ciecamente negli automatismi, ma per avere degli automatismi che siano veramente di aiuto e non pericolosi, diventa essenziale che l'ultima parola sul lavoro fatto dagli automatismi sia del pilota, nella sua piena consapevolezza dei limiti e degli errori degli automatismi stessi.
>Alien, scusami, ma sono esterrefatto; tutti gli altri post, fra Te e Sigmet, non è stato difficile capirli, ma questo proprio non riesco a capirlo.

Proverò in seguito a rileggerlo con calma.


.

Avatar utente
Valerio Ricciardi
FL 500
FL 500
Messaggi: 5438
Iscritto il: 22 agosto 2008, 8:33

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Valerio Ricciardi » 9 dicembre 2018, 21:57

Alien ha scritto: I due valori di AoA erano tutti e due validi.
sigmet ha scritto: Ti ripeto che non si puo' considerare "valido" un dato che differisce piu' di un tot dal reale.
Un momento. Qui semplicemente non vi intendete.
I due valori di AoA se erano sfasati di una entità importante, ma seguivano un andamento appaiato e continuamente variabile senza apparenti intoppi, indicavano che "ambedue gli AoA funzionavano".
In questo senso, "erano tutti e due validi".
Se io prendo uno stupido termometro al mercurio da casa, di quelli con la base in legno serigrafata, e faccio scorrere di due dita l'ampolla che prosegue col tubicino di vetro, forzando appena l'attrito con gli anellini di alluminio che la serrano, il termometro se non si è rotto continuerà a funzionare perfettamente, solo che io avrò letture che sono assolutamente sbagliate da uno strumento che funziona. Affette da un errore sistematico di un tot, volendo anche grande.

Se a detto termometro "starato" affianco un altro termometro identico, che però è stato tarato (es. è stata immersa l'ampolla in una miscela in equilibrio di acqua e ghiaccio tritato, e poi è stato fatto scorrere su o giù il tubicino sinché il menisco del mercurio indica « 0 °C »), io osservando da distanza con una telecamera i due termometri, non avrò alcun modo di stabilire se il primo dice il falso e il secondo il vero, se ambedue sbagliano per eccesso o per difetto, se uno sbaglia per difetto ed uno per eccesso o se dice il vero il primo.
Potrò sospettare che uno dei due sia guasto se vedo nel tubicino delle bolle, se il menisco è distaccato, se sembra che vi sia una perdita etc.

Ma comunque non so quale valore dei due sia "reale", e nemmeno se ve ne sia uno indicato, di valore reale.
A meno che io mi fidi perché su un termometro vedo attaccato da un lato un bollo di taratura e la posizione del tubicino sia sigillata con un punto di ceralacca (per dire).
sigmet ha scritto:Ma anche se fosse non puoi delegare una funzione vitale come quella ad un unico strumento.
Per quanto detto sopra, assolutamente no!
"The curve is flattening: we can start lifting restrictions now" = "The parachute has slowed our rate of descent: we can take it off now!"
Chesley Burnett "Sully" Sullenberger

Avatar utente
Alien
02000 ft
02000 ft
Messaggi: 256
Iscritto il: 18 novembre 2004, 13:24
Località: Torino

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da Alien » 10 dicembre 2018, 14:45

sigmet ha scritto:
Alien ha scritto:
Mi piacerebbe vedere come è definito lo Hazard chiamato “uncommanded stabilizer movement”, e capire se è stato suddiviso in categorie di criticità inferiori, a seconda delle entità del movimento, oppure no.
Attenzione perche' in questo caso non e' l'entità del movimento ma il posizionamento dello stabilizzatore rispetto ad una speed X.
Certamente: lo hazard, come l’ho definito io (e come si definisce normalmente), è generico. Le differenti cause, poi, del movimento non voluto, vengono descritte nei vari rami che portano, in parallelo con un gate OR, al Top Event catastrofico. Significa che bisogna definire tutte le diverse cause che portano all’evento CATASTROPHIC, e una di queste è proprio quella che ha portato all’incidente.
Piuttosto, mi sembra che ora tu stia parlando di qualcosa di ancora differente:
sigmet ha scritto:
MCAS (ma che significa questa sigla?)

Maneuvering Characteristichs Augmentation System
Una cosa è l’autotrim, che posiziona lo stabilizzatore in modo da trimmare rispetto a una speed X, e una cosa totalmente differente è la Stall Protection, che ha avuto ruolo determinante nell’incidente e stiamo discutendo qui. Sono due funzioni completamente differenti. La prima è relativa al gruppo di funzioni che chiamavo miglioramento delle Handling Qualities, mentre la seconda è una protezione in caso di uscita dall’inviluppo di volo.
La prima viene calcolata in base alla speed e agli input pilota in crociera (normalmente, con un piccolo spostamento di barra, il pilota richiede una variazione di FL, e l’Autotrim muove lo stabilizzatore).
La seconda è un pitch down comandato a seguito di superamento (in eccesso) del valore pericoloso di AoA.
Non ho idea di come siano le denominazioni Boeing, ma mi sembra che la funzione MCAS, così come è definita in inglese, non abbia nulla a che vedere con la Stall Protection o Stall Recovery, che è intervenuta qui in modo inappropriato. Tant’è vero che io mi aspetterei che una Stall recovery, ben congegnata, debba per forza di cose strimmare l’aeroplano, che deve scendere e aumentare la velocità a seguito di stallo, salvo poi ritrimmarlo quando è nuovamente lontano dallo stallo.

Mi aspetterei anche che, a seguito di un problema di Air Data, che sia su AoA o sulle speed non importa, ambedue le funzioni vengano staccate.

Mi aspetterei anche che, se a seguito di superamento di soglia massima AoA, prima di comandare giù il naso, si verificasse la velocità. Se la velocità è alta rispetto allo AoA rilevato, bisgonerebbe fare un discorso di voting “misto”: abbiamo un AoA troppo elevato per questa speed, o abbiamo una speed troppo elevata per questo AoA? Dobbiamo credere allo AoA o alla speed?
Nuovamente, io in caso di discrepanza anche mista tra AoA e speed, spegnerei la protezione, non butterei giù il naso, e avviserei il pilota se c’è un AOA DISAGREE oppure un SPEED DISAGREE, insieme ad un STALL RECOVERY LOST.
Ma questi sono pensieri miei “a caldo”.
sigmet ha scritto:
Queste condizioni di volo, da dimostrare, sono sempre relative a condizioni nominali dell’aeroplano, e non a condizioni di avaria
No , basta che pensi all'avaria motore. Il problema e' che un avaria del genere non e' stata contemplata, almeno nel suo sviluppo.
Certo, io intendevo che in questo caso, non essendoci avaria motore, non c’era niente da dimostrare in sede certificativa (per quanto riguarda quei requisiti citati, i quali, quindi, non sono applicabili in questo caso).
airplane ha scritto: >Alien, scusami, ma sono esterrefatto; tutti gli altri post, fra Te e Sigmet, non è stato difficile capirli, ma questo proprio non riesco a capirlo.

Proverò in seguito a rileggerlo con calma.
Forse si tratta di un post un po’ paranoico.
Comunque, ho fatto due considerazioni in un post unico, e magari avrei dovuto separare le cose...
Una considerazione è relativa al fatto che nel 737max sembra esserci una protezione che si fida di un dato senza voting, e questo mi pare essere una azzardata decisione di marketing piuttosto che, come diceva Sigmet, una leggerezza degli ingegneri.
L’altra considerazione è condensabile in una domanda fondamentale: al di là degli errori fatali che hanno portato agli incidenti, sia nei casi di protezione che si stacca e il pilota non lo sa, sia nei casi di protezione che interviene e il pilota non lo sa, quale filosofia, magari intermedia a questi due casi, sarebbe da adottare dal punto di vista del pilotaggio e non del marketing?
Valerio Ricciardi ha scritto:
Alien ha scritto: I due valori di AoA erano tutti e due validi.
sigmet ha scritto: Ti ripeto che non si puo' considerare "valido" un dato che differisce piu' di un tot dal reale.
Un momento. Qui semplicemente non vi intendete.
Grazie.
Hai spiegato benissimo l’equivoco.
Giorgio

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 10 dicembre 2018, 18:11

Alien ha scritto:
Piuttosto, mi sembra che ora tu stia parlando di qualcosa di ancora differente
Parlo dell'incidente.Il sistema ha portato di fatto ad una LOC causata dalla posizione dello stabilizzatore.
La prima viene calcolata in base alla speed e agli input pilota in crociera (normalmente, con un piccolo spostamento di barra, il pilota richiede una variazione di FL, e l’Autotrim muove lo stabilizzatore).
In crociera non c'e' bisogno di trimmare a meno che non si varia la velocità. Il 737 non ha autotrim in manuale.
mi sembra che la funzione MCAS, così come è definita in inglese, non abbia nulla a che vedere con la Stall Protection o Stall Recovery,
Scrivi alla Boeing e digli di correggere:[the MCAS function commands nose down stabilizer to enhance pitch characteristics during steep turns with elevated load factors and during flaps up flight at airspeeds approaching stall
Certo, io intendevo che in questo caso, non essendoci avaria motore, non c’era niente da dimostrare in sede certificativa (per quanto riguarda quei requisiti citati, i quali, quindi, non sono applicabili in questo caso).
Forse allora e' il caso di metterla..
... e questo mi pare essere una azzardata decisione di marketing piuttosto che, come diceva Sigmet, una leggerezza degli ingegneri.
I manager del marketing vendono quello che gli ingegneri progettano e dicono essere sicuro..
Valerio Ricciardi ha scritto:
In questo senso, "erano tutti e due validi".
Valido:Efficace, adeguato a ottenere certi risultati (Sabatini Colletti). Nel caso in oggetto Il dato non era adeguato al risultato (il controllo dell'AOA) ergo non era valido.
In aeronautica poi uno strumento (o un componente) e' Serviceable (quando fa il dovere suo) o Unsearviceble (quando dice le balle).Punto.


Nessuno pero' finora si e' accorto di un particolare...
Immagine
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

airplane
05000 ft
05000 ft
Messaggi: 582
Iscritto il: 31 maggio 2011, 23:03

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da airplane » 10 dicembre 2018, 20:12

sigmet ha scritto:
Alien ha scritto:
mi sembra che la funzione MCAS, così come è definita in inglese, non abbia nulla a che vedere con la Stall Protection o Stall Recovery,
Scrivi alla Boeing e digli di correggere:[the MCAS function commands nose down stabilizer to enhance pitch characteristics during steep turns with elevated load factors and during flaps up flight at airspeeds approaching stall


Nessuno pero' finora si e' accorto di un particolare...
Immagine
.

>Sigmet
, ho anche un dubbio che il SMYD ci metta "il zampino",
(ma non ho dati certi).

>Strano, che dopo aver messo i flaps ed avuto un miglioramento poi li hanno retratti?
(da non dimenticare la presenza del tecnico a bordo)

Ps.
Stai parlando dell' inappropriato arrivo del Control wheel steering?


.

.

Avatar utente
sigmet
FL 500
FL 500
Messaggi: 6367
Iscritto il: 23 dicembre 2008, 12:08

Re: Lion Air B737MAX-8 Jakarta 29.10.18 (thread tecnico)

Messaggio da sigmet » 10 dicembre 2018, 22:34

airplane ha scritto:

>Strano, che dopo aver messo i flaps ed avuto un miglioramento poi li hanno retratti?
(da non dimenticare la presenza del tecnico a bordo)
I flaps (che hanno esteso sui 300 kts!) in volo livellato aumentano il momento picchiante ma si vede dal grafico che in realtà l'aereo per effetto ballooning schizza 3000 ft più in alto. A quel punto livellano (si fa per dire...) e riducono motore.
Non so quali effetti abbia il flap sul MCAS ma dal grafico lo stabilizzatore assume una posizione intorno ai 5°. Dalla retrazione in poi si nota come lo stabilizzatore cominci ad essere comandato in maniera intermittente dal sistema automatico in opposizione ai comandi del trim del pilota.

Stai parlando dell' inappropriato arrivo del Control wheel steering?
No parlo di questo che sembra essere esattamente il sintomo dell'uncoupling dei volantini dopo uno sforzo notevole (vedi la pendenza del tracciato) sugli stessi.

Immagine
.
Ci sedemmo dalla parte del torto visto che tutti gli altri posti erano occupati.

Rispondi