sigmet ha scritto:Alien ha scritto:
Le tracce dei due AoA sono perfettamente uguali e congruenti, pur essendo numericamente diverse tra loro di almeno 20 gradi.
E dei due quale e' quello piu' attendibile?
La Domanda con la D maiuscola....
Allora, non conoscendo il design dettagliato, posso tentare di fare un po’ di ragionamento induttivo (alla Sherlock Holmes).
A guardare i fatti, risponderei “tutti e due”.
Il sistema genera segnali di stick shaker indipendenti sui due comandi dei due piloti. Questo è un fatto, poichè è evidente dalle due tracce del FDR. Se il sistema è disegnato per tenere conto separatamente dei due valori di AoA, significa che una eventuale discrepanza viene lasciata al giudizio di voting dei piloti.
L’idea di progetto sembrerebbe essere suffragata dal fatto che ci siano solo due segnali. Ora, se faccio l’ipotesi che il sistema sia disegnato in modo da essere fail op/fail safe, cioè in modo da funzionare ancora a seguito della prima failure, allora ho due alternative: metto una ridondanza tripla, cioè un sistema triplex, oppure un dual-duplex, che non è un duplex. Con tre segnali, e tre sensori, faccio un voting e al primo problema di due contro uno, escludo quello diverso, e vado avanti con due, fino a che spengo tutto se i due rimasti sono divergenti.
Se voglio però risparmiare sull’hardware, metto solo due probe invece di tre, ma raddoppio il sensore e faccio un voting interno nel software ADIRU tra i due segnali dello stesso sensore. Due routine diverse e parallele nell’ADIRU 1 possono rilevare che la probe 1 è guasta, e che il segnale AoA 1 è invalido, senza nemmeno guardare la probe 2 e il relativo AoA 2. Così, se perdo AoA 1, posso continuare con AoA 2 senza spegnere nulla e senza disattivare la protezione.
Qui ci potrebbe essere uno scenario del genere: i segnali AoA 1 e AoA 2 sono stati ritenuti, ognuno dal proprio ADIRU, come validi individualmente. E in effetti, come dicevo, sia AoA 1 che AoA 2 sono stati attivi e ritenuti validi, ognuno per conto suo, per tutto il tempo del volo (correggetemi se sbaglio). Separatamente, la protezione su AoA 1 parte (in quanto vede un valore elevato di AoA 1), mentre quella su AoA 2 no (in quanto non vede un valore elevato).
Sul motivo per cui esiste un bias costante tra AoA 1 e AoA 2, si può solo ribadire che sia stato un problema di maintenance, non previsto dal sistema, in quanto esegue controlli solo separatamente su AoA 1 e AoA 2. Oppure, di SW se in qualche modo si era già presentato prima, ma gli do un po' meno credibilità. Oppure, strano anche questo, però non impossibile, un offset elettrico su un solo canale.
Il resto è lasciato ai piloti (ed ecco l’uscita di Boeing sul Flight Manual), perchè loro possono vedere la discrepanza, sia leggendo i valori sul display, sia vedendo che un volantino si comporta in un modo e l’altro in un altro. Se il problema persiste, i piloti devono semplicemente staccare il Pitch Trim.
Sia l’assenza di guasti sugli AoA, che la discrepanza “congenita” fin dall’istante zero, si possono chiaramente vedere dalle tracce, e tutt’e due queste considerazioni spiegherebbero la mancata sconnessione della protezione, che continuava a intervenire sullo stabilizzatore.