-
Lampo,
Riepilogando sul 737MAX:
Lampo 13 ha scritto: ↑12 dicembre 2019, 17:21
Nella mia ignoranza sia dei problemi da risolvere sia delle difficoltà incontrate nel farlo, mi stupisce una idea così complessa.
Non basterebbe avere 3 input di AOA con un comparatore che elimini quello diverso dagli altri due?
In caso di input tutti diversi si potrebbe far escludere completamente il sistema creato un avviso Master Caution che obblighi
i Piloti a volare per assetti e con delle limitazioni ben precise di velocità in funzione del peso e della configurazione.
... o ci sono problemi più complessi che non solo il MCAS?
airplane ha scritto: ↑12 dicembre 2019, 15:21
.
New Change Boeing
There are 4 main changes to the B737 MAX flight control system software that have been developed to prevent future accidents …
Angle of Attack (AoA) comparison – an addition to MCAS that will now compare readings from both angle of attack sensors on the aircraft. If there is a difference of more than 5.5 degrees the speed trim system will be disabled. Also included in this change is something known as a “midvalue select” which uses data from both sensors together to create a third input that will help to filter out any AOA signal oscillatory failures or spurious sensor failures. This modification will prevent MCAS from commanding nose down trim when a single AoA sensor reports a false AoA as it happened in the two accident flights.
Stab trim command limit – is an addition that will limit the maximum nose down trim that the automatic flight control system can command to prevent the pitch trim from reaching an uncontrollable situation.
MCAS resynchronization – this change will account for manual electric trim inputs made by the pilot while MCAS is activating. It will track whatever input the pilot makes and return the pitch trim to that setting when MCAS retrims back to normal.
Flight Control Compuer monitors software monitors have been added to the flight control computers that will cross check pitch trim commands against each other. If a difference is detected by these monitors the automatic trim functions are disabled. This protection helps prevent erroneous trim commands from a myriad of causes that could occur in the automatic flight control system......
-
LAMPO,
Ora vedi questo Post, marzo 2019, di Alien:
La mia considerazione numero 1, dalla quale però discendono tutte le altre, in un modo o in un altro, è che il progetto del software è sbagliato. Non il software, attenzione, ma il progetto del medesimo (se qualcuno non capisce cosa intendo, mi faccia per favore un fischio: questa è un'altra inesattezza dei media). La logica del programma è sbagliata. Sbagliata perchè un automatismo del Flight Control System NON deve mai intervenire in modo inappropriato.
Il principio violato nel progetto del MCAS è semplice: mentre un automatismo deve funzionare adeguatamente in caso di normalità, al primo sospetto di utilizzo di dati inaffidabili un automatismo deve assolutamente spegnersi. E una volta spento, deve avvisare il pilota che si è disinserito. E il sospetto sui dati inaffidabili, anzi, la decisione che i dati sono inaffidabili, deve essere presa dall'automatismo, non dal pilota. Altrimenti, un automatismo, per definizione, non è più tale.
I dati (nel caso in esame i Dati Aria) sono fondamentalmente di due tipi, e possono anche coincidere oppure no: i dati sul display per il pilota, e i dati utilizzati internamente dal software per la funzione automatica.
E' essenziale, per un ragionamento completo, considerare che su ogni aeroplano esistono informazioni, elaborate in parallelo, di due tipi: quelle visibili nel cockpit e quelle invisibili nel software di diversi computer.
Per una protezione automatica antistallo, generalmente serve l'AoA, l'angolo di attacco. Nel caso del 737max sospetto che ne utilizzi altri, per distinguere uno stallo statico da uno dinamico. Comunque, il parametro più importante è l'AoA.
Nel 737max il display di AoA al pilota è un optional: il Lion Air non ce l'aveva (l'Ethiopian non lo so), e quindi il ragionamento deve partire da questo punto. Il dato AoA non arriva al cockpit, ma viene utilizzato dal software MCAS per la protezione antistallo.
Il progetto del 737max quindi, partiva dal presupposto che l'informazione di AoA nel cockpit NON fosse necessaria.
Il MCAS riceve i due valori AoA1 e AoA2 dal sistema Dati Aria, e su quelli basa i suoi calcoli e i suoi interventi. Ora, come in tutti i sistemi a ridondanza duplex di input, cioè che in ingresso utilizzano due dati che nominalmente dovrebbero essere uguali, qualcuno deve decidere se i due dati sono affidabili: se io utilizzo due orologi, uno al polso destro e uno al polso sinistro (mio zio amava talmente gli orologi che faceva così), sono tranquillo perchè fintanto che le due ore indicate sono uguali, ho una elevata probabilità che siano corrette. Nel momento in cui i due dati di input divergono, io non conosco più l'ora, o l'AoA corretti, è vero, ma so di non poterla conoscere più.
Nel 737max, invece, il software continua a lavorare e l'automatismo interviene anche se i due AoA sono diversi tra loro. Non sa di non sapere. Il confronto tra i due quindi, non può farlo il pilota (perchè a display gli AoA non li vede), e non lo fa il software (per decisione di progetto).
L'errore concettuale si aggrava, poi, dicendo che deve essere il pilota ad intervenire staccando il pitch trim, cioè si dice che la funzione di "voting" (semplice confronto tra i due dati, orologi o AoA) deve eseguirla il pilota (nota: a seguito del Lion Air, la FAA aveva obbligato Boeing a scrivere questa procedura nel Flight Manual. Molti piloti, oltre a quelli caduti, non sapevano che fosse loro richiesto un intervento. Già, si fa fare al pilota il lavoro di confronto-voting dei dati: peccato però che i dati in oggetto non glieli si fa vedere! Ricordiamoci che nel cockpit AoA è optional, e Lion Air non ce li aveva.
Ecco l'errore di progetto fondamentale, che è ora ammesso (ci sono voluti altri 150 morti per accorgersene) dalla stessa Boeing: il software verrà "aggiornato" in dieci giorni. Beh, lasciatemi dire che il verbo da usare non è "verrà aggiornato", ma "verrà corretto".
La CANIC della FAA dice:
Design changes include:
-MCAS Activation Enhancements
- MCAS AOA Signal Enhancements
- MCAS Maximum Command Limit
Ora, alla luce di quanto ragionato sopra, io interpreto il primo punto MCAS Activation Enhancements come MCAS Activation Corrections, e le correzioni che si apprestano a fare non sono altro che -scommetto quello che volete- seplicemente, l'attivazione dell'automatismo basata non più sul valore singolo di AoA di input.
Sempre alla luce di quanto detto sopra, scommetto che il secondo punto, MCAS AOA Signal Enhancements altro non significa che l'introduzione di un voting che decida (in modo indipendente dal pilota) di non utilizzare i due AoA quando questi differiscono più di X gradi di alfa. E di utilizzare invece un valore mediato dei due al di sotto della soglia di sicurezza X.
Il terzo (punto) bullet non l'ho discusso qui, ma dovrebbe semplicemente essere relativo a una riduzione di "autorità" dell'automatismo sullo stabilizzatore. Una riduzione degli effetti sull'aeroplano. Un automatismo che insiste e fornisce dei comandi non voluti per più di venti volte, fino a mettere in seria difficoltà il pilota (che non immagina che il problema siano i due AoA), è troppo "prepotente", e va ridimensionato.
Scommetto che lo faranno intervenire meno volte, e magari con meno comandi per volta, riducendo ad ogni "colpetto" l'angolo di stabilizzatore comandato...[…]
LINK Area Tecnica:
viewtopic.php?f=5&t=48433&start=35#p994526
LAMPO,
Comunque, c'è ancora qualcosa che non mi convince,
ma non so cosa sia...
ciao
.