Incidente AlaskaAirlines gennaio 2000

[Tupolev144]

MD-83. 88 morti dopo una picchiata (con l'apparecchio a pancia in su) di 6000 metri (dio santo). stabilizzatore bloccato.

nella sezione incidenti del 2000 come mai questo incredibile e tragico incidente non è segnato? non c'è neanche uno speciale?

vorrei saperne di più anche io sulle cause di questa tragedia, siccome non mi capacito della possibilità del blocco dello stabilizzatore. vogliamo indagare?

grazie. sito bellissimo

[Kitano]

Non so se sei un veggente, in ogni caso tra poco tempo ci sarà una sorpresa proprio riguardo l'Alaska 261...

Purtroppo mancano gli incidenti da gennaio a marzo del 2000, poiché il database di md80.net è stato rovinato e non si sono più rintracciati...

[Slowly]

Porca padella Zeno.......guarda te......puntualissimo!!!

benvenuto Tupolev 144, una medaglia solo per il tuo nick. Azzeccatissimo!
Grande!

Abbiamo appunto appena terminato un articolo stupendo su quell'incidente.

Vedrai, ti piacerà.

[Alien]

Non mi sembra che si sia trattato di un bloccaggio.
Questo é quanto riporta il NTSB sull'incidente:

Executive Summary: On January 31, 2000, about 1621 Pacific standard time, Alaska Airlines, Inc., flight 261, a McDonnell Douglas MD-83, N963AS, crashed into the Pacific Ocean about 2.7 miles north of Anacapa Island, California. The 2 pilots, 3 cabin crewmembers, and 83 passengers on board were killed, and the airplane was destroyed by impact forces. Flight 261 was operating as a scheduled international passenger flight under the provisions of 14 Code of Federal Regulations Part 121 from Lic Gustavo Diaz Ordaz International Airport, Puerto Vallarta, Mexico, to Seattle-Tacoma International Airport, Seattle, Washington, with an intermediate stop planned at San Francisco International Airport, San Francisco, California. Visual meteorological conditions prevailed for the flight, which operated on an instrument flight rules flight plan.

The National Transportation Safety Board determines that the probable cause of this accident was a loss of airplane pitch control resulting from the in-flight failure of the horizontal stabilizer trim system jackscrew assembly’s acme nut threads. The thread failure was caused by excessive wear resulting from Alaska Airlines’ insufficient lubrication of the jackscrew assembly.

Contributing to the accident were Alaska Airlines’ extended lubrication interval and the Federal Aviation Administration’s (FAA) approval of that extension, which increased the likelihood that a missed or inadequate lubrication would result in excessive wear of the acme nut threads, and Alaska Airlines’ extended end play check interval and the FAA’s approval of that extension, which allowed the excessive wear of the acme nut threads to progress to failure without the opportunity for detection. Also contributing to the accident was the absence on the McDonnell Douglas MD-80 of a fail-safe mechanism to prevent the catastrophic effects of total acme nut thread loss.

The safety issues discussed in this report include lubrication and inspection of the jackscrew assembly, extension of lubrication and end play check intervals, jackscrew assembly overhaul procedures, the design and certification of the MD-80 horizontal stabilizer trim control system, Alaska Airlines’ maintenance program, and FAA oversight of Alaska Airlines. Safety recommendations are addressed to the FAA.

Sembra quindi che si sia trattato di un guasto meccanico in un punto singolo (non ridondante) del sistema trim dello stabilizzatore. Sembra anche che non sia stato un bloccaggio (parlerebbero di "jamming"), ma, al contrario, un distacco del comando. Non mi é chiarissimo che cosa intendano con "thread loss", "perdita del filetto".

Sono quasi sicuro che il trim abbia un sistema vite-madrevite per dare irreversibilitá al comando dello stabilizzatore stesso. Qualcuno ha dei disegni/schizzi al riguardo? Parlano anche della mancanza di un sistema fail-safe, e questo mi stupisce in quanto normalmente la funzione fail-safe di azionatori vite-madrevite esiste, ma risiede nel bloccaggio e non nel distacco del comando. Con un bloccaggio dello stabilizzatore, la situazione non é affatto grave in quanto l'equilibratore possiede sicuramente autoritá sufficiente per il controllo. Lo stabilizzatore fluttuante, invece, pare sia critico, visto quello che é successo.

[Slowly]

Ripeto:

a breve Zeno pubblicherà l'articolo che fa chiarezza sull'accaduto fatto da me, lui e HeitorVillaLobos.

Attendete qualche giorno addocchiando le novità in HomePage.

la causa? Non vi do nessuna anticipazione!!!

A parte gli scherzi, pazientate un altro poco.

[Kitano]

Ecco ragazzi, sfogatevi pure...

http://www.md80.it/staticpages/index.php/alaska261

[Alien]

Zeno,

per ragioni a me sconosciute non riesco a scaricare il file PDF.
Esiste un'altra possibilitá per leggerlo?

PS: comunque, ho trovato e scaricato il Report del NTSB. Se il vostro articolo é tratto da quello, allora non é necessario leggerlo. Se invece ci avete scritto anche altro, sarei curioso.

[Kitano]

Dovresti essere più preciso, in che senso non riesci a scaricare il pdf??

[Slowly]

Che errori vi da?

Che versione di Acrobat avete?

[Slowly]

Ragazzi l'articolo è farina del nostro sacco.

I documenti già esistenti sono solo integrativi al lavoro originale svolto dalle nostra manine.



Zeno, Slowly, Emanuelepilota e HeitorVillaLobos si sono sbattuti un bel pò per farlo, non abbiamo solo preso link e messi lì a fare scena.

vale la pena scaricarlo e leggerlo, fidati!

[Alien]

Sembra che si apra Acrobat, ma poi invece si apre una piccola finestra intitolata "Program Error" con un messaggio che dice
"Acrobat.exe has generated errors and will be closed by Windows. You will need to restart the program."
Il pushbutton é "cancel".

Premo cancel, ma poi arriva una seconda finestra intitolata "Acrobat Plug-in" con un messaggio che dice
"Could not launch Adobe Acrobat".
Qui il pushbutton é "OK".

Infatti, Acrobat non viene aperto.

La versione che ho qui é Adobe Acrobat 5.0.

Comunque, visto che ci avete messo del lavoro vostro, resto senz'altro curioso di leggerlo, e questo inconveniente mi disturba non poco.

[Slowly]

Alien, anch'io non riuscivo ad aprirlo con la 5.

Puoi provare ad aggiornare Acrobat alla 6?

[Alien]

Alien, anch'io non riuscivo ad aprirlo con la 5.

Puoi provare ad aggiornare Acrobat alla 6?

Negativo.

Sto usando un PC connesso al server della ditta presso cui mi hanno inviato per lavoro (sshhh, non ditelo in giro!), e l'installazione disponibile é la versione 5.0.
E non posso installare per conto mio: si arrabbiano! É una questione di licenze.
A casa, purtroppo, il PC connesso a Internet non ce l'ho piú (lunga storia).

[Slowly]

Zeno non è che qualcosa è andato storto con la compatibilità di Acrobat che accetta solo la 6?

Apsettiamo cosa dicono gli altri. magari i nostri due sono casi isolati.

[Kitano]

Potete provare ora? Ho ricreato il file pdf...

[unbugger]

Alien, anch'io non riuscivo ad aprirlo con la 5.

Anch'io non riuscivo ad aprirlo direttamente con la 5. Se non dovesse ancora funzionare consiglio di cliccare sul link con il tasto destro, fare "Salvo oggetto con nome..." e poi aprirlo da dove l'hai salvato. A me così funziona

[Slowly]

E' vero!

Bravo, grazie!

[Alien]

Perfetto, ragazzi. Grazie. Funzionano tutt'e due le procedure.

Me lo leggo, e poi, se mi permettete, mi scateno...

Confesso: non ero a conoscenza di questo incidente, e posso dire che mi riguarda veramente da vicino in quanto relativo proprio all'engineering dei Comandi di Volo (la mia area di competenza)!

A presto,

[Tupolev144]

Eppure dopo la lettura del'articolo (fatto splendidamente) e addirittura di uno speciale su National Geographic Channel su SKY, non riesco a darmi pace!!!!!

io non ho capito una cosa: se lo stabilizzatore si era bloccato x la vite troppo asciutta, perchè improvvisamente dopo 2 ore di volo (in cui evidentemente lo stabilizzatore era bloccato in posizione dritta) c'è stata una picchiata di 1000 metri (poi stabilizzata temporaneamente prima della fatale ultima caduta) come se si fosse spostato in su (quindi naso giù)?

la vite si è spezzata o si è tolta dalla guida? si è rotto tutto xchè le forze in gioco erano troppo forti o per che diavolo di motivo?i (i piloti x contrastare lo stabilizzatore avranno usato i trims, caricando troppo l'aerodinamica forse?)

dal vostro scritto una persona può confondere trims con lo stabilizzatore vero e proprio.

ah scusate l'ignoranza, ma noto che sui Jumbo ad esempio gli stabilizzatori sono FISSI e si muovono solo i piccoli trims... perchè sugli md80 invece tutte e due le parti sono mobili?

[Slowly]

Ovviamente non si può paragonare il sistema degli stabilizzatori di un MD80 a quello di un Jumbo..........semplicemente perchè il jumbo non ha i motori in coda e quindo il suo stabilizzatore è NON vincolato a quello verticale.
Il jackscrew per intenderci non esiste sui Boeing cassici. Poichè non è tutto l'asse orizzontale a muoversi in seguito ad una "richiesta trim" ma solo parti di esso.

Per qunto riguarda l'accaduto invece ti rispondo che la vite jackscrew si è bloccata in posizione "tutto su", oppure si è tolta dalla sua sede, impossibile stabilirlo. Sta di fatto che la parte anteriore dello stab oriz. era tutto in assetto di trim a picchiare.

Certamente parliamo di un cedimento meccanico quindi è lecito apsettarsi che questo avvenga durante il volo di crociera, poichè sulla vite gravava l'immane pressione dell'aria che investiva lo stab. oriz. a più di 800 all'ora.

Spero di essere stato abbastanza chiaro, altrimenti fammi u nfischio!!

Ciao ciao. grazie per aver apprezzato il nostro articolo.

[Tupolev144]

Certamente parliamo di un cedimento meccanico quindi è lecito apsettarsi che questo avvenga durante il volo di crociera, poichè sulla vite gravava l'immane pressione dell'aria che investiva lo stab. oriz. a più di 800 all'ora.
____________________________________

quindi dici che la vite bloccata ha fatto si che la pressione dell'aria gravasse molto sullo stabilizer impossibilitato a muoversi. ok ma possibile che in un solo quarto d'ora di pressione si sia spaccato tutto cosi? mah secondo me qualche crepa qua e là c'era gia prima, magari sulla guida della vite o nello slot del motorino elettrico...

caxxo non mi dò pace

[Slowly]

(attneto ai termini!! )

Si, penso prorpio di si...anche perchè diversamente ne sarebbero caduti a centinaia di MD.

[Alien]

L'aeromobile é caduto a causa di perdita totale del controllo in beccheggio da parte dei piloti.

Tale perdita di controllo é stata causata non da un bloccaggio (jamming) dello stabilizzatore, ma da un distacco strutturale del comando trim dello stabilizzatore stesso. A seguito di questa rottura, lo stabilizzatore ha superato di molto l'escursione normale a picchiare (tutto "su") e parti di esso si sono staccate, dati i carichi aerodinamici dovuti alla posizione anomala (era perfino fuori scala del Crash Recorder, e non ci sono dati esatti di posizione).

L'incidente puó essere suddiviso in due distinte fasi: una prima fase dovuta al jamming, e una seconda, catastrofica, dovuta alla rottura.

Durante la prima fase c'é stata una picchiata con richiamata e recupero del trimmaggio del velivolo, con elevati sforzi di barra ovviamente dovuti allo strimmaggio dello stabilizzatore. Tale strimmaggio del velivolo era dovuto al jamming dell'azionatore a vite senza fine (screwjack) del comando trim stabilizzatore. A seguito di questo bloccaggio, peró, i piloti riuscivano a mantenere un certo controllo con l'equilibratore, e il volo era ancora relativamente sicuro. Tant'é vero che hanno pianificato l'atterraggio di emergenza a LAX.

A livello di progetto, un jamming dello stabilizzatore é previsto, tant'é vero che esiste una procedura di emergenza. E tale jamming non é critico, in quanto il controllo del velivolo puó essere effettuato con l'equilibratore, comandato dalla barra.

Nella seconda fase, purtroppo, il controllo é stato perso in un tempo brevissimo e i piloti non sono piú riusciti a raddrizzare il velivolo. Questo é accaduto perché c'é stata una rottura con distacco istantaneo del comando trim.

La rottura pare dovuta al fatto che i filetti della vite erano usurati oltre il limite tollerabile. Il NTSB peró parla anche di cricca a fatica: voglio leggere meglio, perché c'é differenza tra usura e fatica. Comunque, le forze aerodinamiche non sono mai tali da riuscire a rompere un comando da sole, anche se questo é bloccato da un jamming. Ci mancherebbe altro.

In un secondo tempo poi vorrei fare considerazioni di progetto, in quanto mi sembra che le conclusioni del NTSB puntino l'indice su quell'area, in aggiunta alla manutenzione di terra.

[Slowly]

Certamente.

Ci mancherebbe che la sla pressione spacca la vite.

Il discorso cambia però se questa è mal mantenuta o crepata.

La perssione aerodinamica non è stata la causa ma l'elemento ultimo.
Quello che ha permesso alla situazione di diventare tragica e non recuperabile.

Bhè, la fatica è l'indice di lavoro sottoposto in un dato moento ad un componente quindi è auspicabile che tale comopnente sia costruito per tollerare fatiche ben superiori.

Tuttavia bloccaggio+usura per scarsa manutenzione riducono l'indice massimo di fatica tolleravile allora potrei anche azzardare che a parità di fatica la vite si è bellamente spezzata........

Secondo me non ne usciamo più...........

Io non lo so se si è staccata, bloccata e spezzata o solo spezzata.........so solo che qualunque cosa sia successa è incredibile e spero irripetibile.
in qualunque caso cioè è un guasto molto, motlo particoalre......

[Alien]

io non ho capito una cosa: se lo stabilizzatore si era bloccato x la vite troppo asciutta, perchè improvvisamente dopo 2 ore di volo (in cui evidentemente lo stabilizzatore era bloccato in posizione dritta) c'è stata una picchiata di 1000 metri (poi stabilizzata temporaneamente prima della fatale ultima caduta) come se si fosse spostato in su (quindi naso giù)?

Non é affatto detto che la posizione reale dello stabilizzatore fosse 0°.
Comunque, dopo il jamming, che ha provocato strimmaggio, ció che ha causato la prima perdita di controllo (con picchiata da quota 31500ft) é stato il motorino del trim che é riuscito a sbloccare il jamming stesso.
Il motorino trim ha sbloccato il jamming, ma il filetto della madrevite era giá rovinato, e quindi la superficie si é mossa ed é finita a fondo corsa facendo gravare il carico sul tubo di torsione.
Il tubo di torsione peró ha retto, e quindi, il comando non era ancora completamente perso, cioé, non c'era ancora il distacco completo. L'aereo era ancora controllabile. Questo distacco completo é avvenuto dopo circa 10 minuti, e ha provocato la seconda picchiata con perdita totale di controllo, dato che la superficie non era piú trattenuta da nessun vincolo.

[Alien]

Secondo me non ne usciamo più...........

Aspetta ad arrenderti: credo di stare cominciando a capire la dinamica probabile degli eventi...

[Slowly]

OK.

Sei stato chiarissimo.

[Alien]

Esistono due criteri fondamentali di progetto aeronautico per la sicurezza: il criterio "fail-safe" e quello "safe-life". Il criterio fail-safe impone che la sicurezza non venga a mancare neanche a seguito di un guasto o rottura. Il criterio safe-life impone che la sicurezza sia garantita da ispezioni programmate, in modo che il periodo delle ispezioni sia minore dell'intervallo medio di tempo tra due guasti o rotture successive.

Il criterio fail-safe si impone in sede di progetto. Quello safe-life in sede di procedure di manutenzione, che comunque vengono definite anch'esse in sede di progetto. Questi due criteri si applicano anche al sistema dei comandi di volo, essendo questo un sistema safety critical, cioè critico per la sicurezza.

Nella fattispecie, la Boeing aveva dichiarato che il design era fail-safe perché l'integritá meccanica era assicurata da due elementi distinti: la vite senza fine e la barra di torsione all'interno della vite stessa. Il design precedente a quello del DC9, e cioé il DC8, possedeva due martinetti a vite anziché uno, e questa ridondanza doppia assicurava il soddisfacimento completo del concetto fail-safe.
Nel caso del DC9/MD80, il martinetto é uno solo, ma con due elementi distinti, la vite e la barra interna, ognuno teoricamente dimensionato per sopportare il carico massimo da solo, cioé in presenza di rottura completa dell'altro.

L'accoppiamento vite-madrevite era stato disegnato con due materiali molto diversi. Il materiale della madrevite era piú "tenero" di quello della vite, ed era soggetto ad usura. L'usura genera gioco nell'accoppiamento.

Inizialmente, la certificazione del DC9 non aveva specificato procedure per il monitoraggio del gioco. A seguito peró di ispezioni della Douglas, ci si era resi conto che esisteva dell'usura comparabile a quella che aveva il DC8.
La Douglas in seguito specificó che il massimo gioco ammissibile per non avere problemi di flutter o strutturali allo stabilizzatore era di 0.0040in. La Douglas specificó anche le procedure di manutenzione per misurare il gioco e di ingrassaggio per prevenire un'usura eccessiva.

Questi fatti sono perfettamente compatibili con il criterio safe-life. Fin qui non ci sono manchevolezze apparenti.

Il guaio é che la Alaska Airlines ha allungato i periodi di ispezione sia per la misura del gioco, sia per l'ingrassaggio. E, fatto peggiorativo, questi nuovi periodi di ispezione sono stati approvati dalla FAA, l'Autoritá Federale di Aeronavigabilitá.

E qui c'é una grave manchevolezza da ambedue le parti.

Lo sfortunato volo 261 parte quindi con un martinetto stabilizzatore non ingrassato (rilievo post-incidente conferma) e quasi sicuramente con un gioco presente giá maggiore di 0.0040in.

Durante la salita, i movimenti del trim provocano il collasso degli ultimi filetti integri della madrevite, ed a 23400 ft lo screwjack dello stabilizzatore si inchioda completamente. La vite é bloccata dai pezzi di filetto della madrevite. L'autopilota, per compensare la mancanza di risposta dello stabilizzatore, muove gli equilibratori, e l'aereo resta controllabile.

Tecnicamente, a questo punto, é giá avvenuto il guasto di "jamming" della superficie. Questo guasto non ha effetti critici perché l'equilibratore puó compensare lo strimmaggio dovuto al jamming dello stabilizzatore.

I piloti sconnettono l'autopilota perché hanno avuto il warning che il trim longitudinale era in avaria, e l'aereo quindi era strimmato (l'aereo era ancora trimmato per una velocitá di 331 kts, ma viaggiava a 296 kts).
I piloti si accorgono comunque che l'aereo é strimmato perché devono applicare uno sforzo di barra non nullo per mantenerlo a regime di volo.

Decidono quindi di provare ad azionare il trim manualmente. Dispongono di due canali trim, uno principale e uno alternativo. Nessuno dei due canali riesce a muovere lo stabilizzatore, che resta inchiodato. Contattano il personale tecnico a terra e comunicano che lo stabilizzatore sembra in jamming. Infatti, l'indicatore di AC (Alternating Current) indica che c'é consumo di corrente con l'azionamento trim manuale, ma la superficie non si muove.

Né il pilota né i tecnici a terra riescono a capire la causa del jamming. La posizione bloccata é di 0.4° a picchiare.

A seguito dei ripetuti tentativi, il motorino trim riesce a sbloccare il jamming, ma, non essendoci piú i filetti integri della madrevite, la superficie muove libera e va a sbattere con la madrevite sul fondo corsa meccanico del martinetto stesso. La posizione stabilizzatore é ora di 3.1° a picchiare, perfino fuori della scala di registrazione del Flight Recorder. Questa posizione anomala di stabilizzatore provoca la prima perdita (parziale) di controllo con picchiata.

Il carico é ora mantenuto dalla barra di torsione interna. Il concetto fail-safe é entrato in gioco in quanto, a seguito distacco totale della vite-madrevite, c'é ancora un elemento strutturale che mantiene la suprficie vincolata: la barra di torsione.

La decisione del pilota di insistere nell'azionamento del trim ha quindi provocato lo sblocco del jamming, peggiorando la criticitá della situazione. Una decisione piú appropriata sarebbe stata quella di non azionare piú niente e atterrare subito. La checklist esistente, nel caso di "stab jamming", non prevedeva tentativi di azionamento manuale del trim, ma, d'altro canto, non li proibiva nemmeno. La decisione del pilota, quindi, ha peggiorato le cose, ma non si puó definire sbagliata. Al massimo, inappropriata. Da notare che, a seguito dell'incidente, la Boeing ha modificato la checklist inserendo la proibizione di tentare azioni correttive non contemplate nella checklist stessa.

Comunque, in qualche modo, i piloti riescono a livellare nuovamente l'aereo e decidono di atterrare a LAX. L'aereo é appena controllabile grazie alla barra di torsione che sta mantenendo fermo lo stabilizzatore.
I calcoli dimostrano che la barra é dimensionata sul carico massimo. Purtroppo, peró, le condizioni di carico sono diventate piuttosto anomale e la barra inizia a creparsi a fatica. Il carico non é uniforme come era stato ipotizzato. In dieci minuti, anche la barra si rompe. Lo stabilizzatore arriva a 3.6° a picchiare, e il martinetto trim, ormai libero, urta contro la carenatura della deriva, che si rompe. Lo stabilizzatore presumibilmente va oltre i 14° e l'aereo é totalmente incontrollabile.

La causa dell'incidente é quindi la eccessivamente bassa frequenza delle procedure di manutenzione, sia per l'ingrassaggio, sia per la misura del gioco massimo. E questa frequenza é troppo diversa dalla frequenza piú elevata consigliata dal costruttore.

Fattore peggiorativo é che il dispositivo fail-safe (la barra di torsione) risultava parzialmente inadeguato, visto che non ci si puó affidare al 100% alle procedure di manutenzione, ma si deve presupporre che nel caso peggiore queste non siano state effettuate correttamente. I comandi di volo sono safety critical per definizione.

Fattore secondario é stato che la checklist non prevedeva la proibizione di azionare il trim nel caso di jamming stabilizzatore.