Inconveniente 319 Easyjet - 15/09/2006

[sigmet]

An Easyjet Airbus A319-100, registration G-EZAC performing flight U2-6074 from Alicante,SP (Spain) to Bristol,EN (UK) with 138 passengers and 6 crew, had been dispatched under Minimum Equipment List (MEL) requirement with the #1 electrical generator inoperative after a fault that had occured on the flight from Bristol to Alicante. The APU was supplying electrical energy to the left electrical network. The airplane was enroute at FL320 near Nantes (France) about 85 minutes into the flight, when the crew heard a loud clonk and a number of systems became inoperative, amongst them the captain's Primary Flight Display (PFD), Navigation Display (ND), upper ECAM display, Multipurpose Control and Display Unit (MCDU), autopilot, autothrust, most of the caption and illumination lights on the overhead panel, captain side Radio Management Panel (RMP), Audio Control Panels (ACP) and ATC transponder panels. The fly by wire had changed to alternate law. The captain, pilot flying at the time, handed controls over to the first officer, who had to fly the airplane manually without flight director. The captain attempted to contact air traffic control using both his VHF radios and various frequencies, however to no avail. The first officer also attemted to contact air traffic control using his RMP2 panel, again to no avail. The captain tried again now using ACP3, but was still unable to establish contact with ATC. The crew flew the remainder of the flight to Bristol without radio contacts according to loss of communication procedures. The transponder panel had been unlit and the digits disappeared. One of the ECAM actions was to select transponder 2, after which the digits reappeared the panel however remained unlit, so that there was no confirmation whether the transponder was working again. The captain selected emergency squawk because the airplane was seriously degraded and down on one generator. About 10 minutes had elapsed since begin of the incident, during those 10 minutes no transponder signal had been received on the ground. The electrical page on the ECAM showed the left generator with zero output, the AC Essential, DC Essential busses and other busses were unpowered. The shut down of the APU and restart had no effect on the electrical systems. The switches to rearrange the electrical system did not have any effects and did not remain in position leaving the crew unable to verify whether the selection had been taken. The RAM Air Turbine (RAT) was shown with a green triangle indicating it was operating although it had not deployed. The crew discussed options to continue being concerned, they might be intercepted by military aircraft but without radio contact and with degraded systems being unable to follow them. If they deviated from their planned flight path, this might be considered a hostile action. The crew assessed, that despite the degraded systems runway 09 length in Bristol was sufficient to land. The crew realised, they would not be able to get weather of any diversion airport due to the losscomm, they however had already received the weather report for their destination Bristol, so that the captain decided to continue to Bristol as best course of action. The captain was able to program the approach into the Flight Management System, the airplane was descended according to usual arrival profiles including observing all constraints. Normal ILS indications were displayed on the first officer's PFD. Several attempts were made to contact ATC via mobile phones to no avail. The crew deployed flaps early over concerns of the hydraulics systems, but the flaps deployed normally. When the gear was lowered, no indications occured and no sounds of extension could be heard. The emergency gear extension was used to deploy the gear by gravity. Full flaps were used for the landing, which went safe. The airplane slowed quickly and was taxied to the apron. When the crew attempted to shut the engines down, they continued to run until the fire handles were pulled.

The British Air Accident Investigation Board (AAIB) released their final report into the serious incident concluding, that the causual factors were:

1. An intermittent fault in the No 1 Generator Control Unit, which caused the loss of the left electrical network

2. An aircraft electrical system design which required manual reconfiguration of the electrical feed to the AC Essential busbar in the event of de‑energisation of the No 1 AC busbar, leading to the loss or degradation of multiple aircraft systems, until the electrical system is reconfigured

3. The inability of the flight crew to reconfigure the electrical system, for reasons which could not be established

4. Master Minimum Equipment List provisions which allowed dispatch with a main generator inoperative without consideration of any previous history of electrical system faults on the aircraft

5. Inadequate measures for identifying Generator Control Units repeatedly rejected from service due to repetition of the same intermittent fault

14 safety recommendations were made by the AAIB as result of the investigation.

The airplane had been in contact with Brest ATCC (France), when the controller noticed the secondary radar signal was lost about 10 minutes prior to a scheduled shift change. He tried to contact the Easyjet Airbus several times on radio without success. Attempts were made to contact the aircraft via another Easyjet on the company frequency and on the emergency frequency, without success. The ATC personnel feared a catastropic event. A westbound aircraft, flight AA-63, checked in shortly afterwards at FL320. The controller realised that there was a potential conflict with the Easyjet and commanded the American Airlines to descend to FL310 asking, whether they could see the Easyjet on their TCAS, which was replied to in the negative. The shift change took place, the oncoming controller reissued the clearance to immediately descend to FL310 to the American. The American now started their descent, the crew reported a few moments later, that they had seen an "Easyjet 737" pass overhead without being visible on their TCAS. ATC were relieved, that the airplane had been located but concerned about the close proximity to another aircraft. A few moments later the transponder signal of the Easyjet reappeared, one minute later the transponder code changed to emergency.

The AAIB reported, that while the AC ESS FEED push button selector switch failed to reconfigure the electrical system in flight disabling the crew to restore power to the left electrical network, the system operated normally on the ground during subsequent testing. The crew could not verify the current selections of a number of systems, as the captions of the switches had disappeared and the switch positions did not change (significantly) with selection.

An intermittent fault was found in an electronic component of the #1 Generator Control Unit (GCU 1), which probably caused the #1 generator trip on the outbound flight to Alicante. Recurrence of the GCU 1 fault probably caused the de-energisation of the AC BUS 1 and the following severe electrical system disruption.

The GCU1 had been repeatedly been rejected from service, possibly because of the same intermittent fault, and returned to service without the fault being found. No system was in place at the GCU manufacturer's repair organisation to identify units repeatedly rejected from service and not found faulty or identify units suffering repetitive faults.

Both audio cards of all three Audio Management Units (AMU) rely on supplies from the DC essential bus. The unit ceases to function when both audio cards are unpowered. Loss of the DC essential bus as result of the loss of the AC BUS 1 and AC essential bus renders all three VHF radios inoperative. Airbus have stated, that in the light of this finding they are evaluating if the power supply to the AMUs needs to be modified.

[Zapotec]

Quando ?

[albert]

Quando ?

il 15.09.06

ciao!

[JT8D]

L'evento a cui si riferisce l'interessantissimo post di sigmet è questo:

http://aviation-safety.net/database/rec ... 20060915-0

Paolo

[SaturnV]

Ciao, mi chiedo perche', o comunque io avrei pensato di far cosi', non abbiano cercato di atterrare as soon as practicable, visto che avevano una lost comm in ifr e una situazione di distress (io in quel caso sarei stato anche preoccupato dal "siamo sicuri che l'aereo voli ancora per molto o che non accada nient'altro ?").
L'unico motivo per cui sarei andato a Bristol sarebbe stato una condizione di IMC ma qui non ne parlano.
O forse erano gia' molto vicini a Bristol e si poteva tentare.

[sigmet]

Ciao, mi chiedo perche', o comunque io avrei pensato di far cosi', non abbiano cercato di atterrare as soon as practicable, visto che avevano una lost comm in ifr e una situazione di distress (io in quel caso sarei stato anche preoccupato dal "siamo sicuri che l'aereo voli ancora per molto o che non accada nient'altro ?").
L'unico motivo per cui sarei andato a Bristol sarebbe stato una condizione di IMC ma qui non ne parlano.
O forse erano gia' molto vicini a Bristol e si poteva tentare.

Da un punto di vista tecnico e' da rilevare come una avaria contemplata dalle MEL possa comportare problemi di alimentazione su impianti che comunque dovrebbero essere sempre alimentati con sorgenti di Back up.(ess bus,emerg bus).La filosofia americana e' quella di non permettere che impianti di vitale importanza (comandi di volo,motori,freni,impianto idraulico)possano trovarsi in qualunque condizione "unsafe" senza che venga in qualche modo assicurata la loro funzionalita' secondo il principio "do nothing"(mi viene in mente la procedura di recupero del sistema frenante del 320 in caso di avaria )
Mi preoccupa anche il terzo e il quinto punto dell'inchiesta.
Proprio durante l'analisi dell'incidente del 330 AF vennero evidenziati problemi di recupero dati in funzione del X link degli ADIRU e in una non istintiva gestione delle risorse disponibili.
Parte delle raccomandazioni emesse erano gia' state evidenziate in un bollettino EASA di qualche anno fa.

[SaturnV]

Si, io non avevo prestato attenzione al punto di vista tecnico, ma conevngo che in casi come questi la filosofia della semplicita' gestionale vinca. Incasi di situazioni di emergenza, ok le checklist, ma bisgna tener conto dell'aspetto emotivo dell'equipaggio. Le reazioni sotto forte stress non sono sempre controllabili quindi bisognerebbe alleggerire quantomeno il carico dei piloti e avere grande ridondanza nei sitemi. Procedure che magari risultano complesse gia' in fase di collaudo della macchina o addestramento piloti in un simulatore ben piantato a terra, dove sfido chiunque a far dimenticare al proprio inconscio che pericolo di morte non sussiste, possono creare "scompiglio" in una fase delicata e stressante del volo e non venire applicate correttamente.
Da profano mi vien da dire: che gli AB siano piu' critici in caso di qualche avaria sostanziale ? Che ci sarebbe sempre bisogno del tecnico dei computer (quello con occhiali alla bill gates) sempre a bordo ?

[Valerio Ricciardi]

Mi preoccupa anche il terzo e il quinto punto dell'inchiesta.
Proprio durante l'analisi dell'incidente del 330 AF vennero evidenziati problemi di recupero dati in funzione del X link degli ADIRU e in una non istintiva gestione delle risorse disponibili.
Parte delle raccomandazioni emesse erano gia' state evidenziate in un bollettino EASA di qualche anno fa.

Ma anche questo, riletto a freddo, non è male:
«The investigation identified the following causal factors in this incident: (...)
(...)
2. An aircraft electrical system design which required manual reconfiguration of the electrical feed to the AC Essential busbar in the event of de-energisation of the No 1 AC busbar, leading to the loss or degradation of multiple aircraft systems, until the electrical system is reconfigured; (...) »

Non è pretendere un po' troppo da esseri umani che sanno ben pilotare e che non sono principalmente specialisti informatici? Il tutto sotto stress e con l'aereo dietro lo schienale del sedile pieno di gente da riportare sano a terra?

[Valerio Ricciardi]

Proprio durante l'analisi dell'incidente del 330 AF vennero evidenziati problemi di recupero dati in funzione del X link degli ADIRU e in una non istintiva gestione delle risorse disponibili.

Ecco, appunto.
Non voglio nemmeno pensare a come si siano trovati di notte e in condizioni meteo forse non estreme ma comunque non rilassanti i piloti dell'A330 Air France...

[Valerio Ricciardi]

Si, io non avevo prestato attenzione al punto di vista tecnico, ma convengo che in casi come questi la filosofia della semplicita' gestionale vinca. In casi di situazioni di emergenza, ok le checklist, ma bisogna tener conto dell'aspetto emotivo dell'equipaggio. Le reazioni sotto forte stress non sono sempre controllabili quindi bisognerebbe alleggerire quantomeno il carico dei piloti e avere grande ridondanza nei sistemi. Procedure che magari risultano complesse gia' in fase di collaudo della macchina o addestramento piloti in un simulatore ben piantato a terra, dove sfido chiunque a far dimenticare al proprio inconscio che pericolo di morte non sussiste, possono creare "scompiglio" in una fase delicata e stressante del volo e non venire applicate correttamente.

Perfetto.
Non avrei saputo dirlo meglio in due facciate di post logorroico (dei miei).
SaturnV, considerati virtualmente baciato in fronte.
(Ma non montarti la testa, sono un uomo sposato e fedele).

[vihai]

Perfetto.
Non avrei saputo dirlo meglio in due facciate di post logorroico (dei miei).

Ma allora li vuoi questi automatismi o no?

[Valerio Ricciardi]

Ma allora li vuoi questi automatismi o no?

Se funzionano, se mi fanno capire qualcosa di ciò che sta succedendo quando vanno in avaria, se mi lasciano alla peggio peggio peggio ad arrangiarmi da solo affidandomi al "fondo dei pantaloni" e alla mia manualità come se avessi in mano un DC-3 (ma non un "flipper con la spina staccata dal muro"), certo che si.

(Quindi molto - sospetto - possa dipendere dalla qualità dell'interfaccia, piuttosto che dalla qualità del sistema. Forse è lì, piuttosto che sulla logica di funzionamento delle cose, che c'è più da lavorare. ASCOLTARE I PILOTI e i loro probabilmente già frequenti mugugni non sarebbe una cattiva idea. E' la progettazione della macchina che deve sapersi adeguare alle capacità e alle attitudini dell' "uomo volante", non il contrario).

Non sono un luddista. Però penso che il mestiere del pilota di aeroplano debba poter differire, pur con gli opportuni aggiornamenti, da quello del sistemista o del programmatore. Tutto qui, alla fine.
Si torna al discorso, filosoficamente parlando, che se si guasta il brake-assist e l'ABS e il ripartitore elettronico di frenata (e pure il servofreno, tié) voglio avere dietro al pedale una stramaledetta pompa idraulica "che al limite spingo di più sui freni e ci penso io a cercare di tenere la macchina dritta con lo sterzo",

...piuttosto che vedere una serie di spie che si accendono in sequenza apparentemente quasi stocastica sul cruscotto mentre vedo a sbattere con le ruote libere e giulive perché mi ha mollato un integrato NC555 da 70 centesimi che si occupa di dare il clock di riferimento che serve al comparatore dei dati per sincronizzare la ruota dentata con sensore di rotazione che...
ma via.

[Maximilian91]

"Semplicemente" inquietante....

[vihai]

Ma allora li vuoi questi automatismi o no?

Se funzionano

Eh... ma questa è una tautologia.

Fino a poco fa comunque sollevavi delle questioni sugli automatismi *in quanto tali*.
Siamo tutti d'accordo che se tutto funziona gli automatismi sono belli, non serve neanche il pilota... se tutto funziona....

[Valerio Ricciardi]

Eh... ma questa è una tautologia.
Fino a poco fa comunque sollevavi delle questioni sugli automatismi *in quanto tali*.
Siamo tutti d'accordo che se tutto funziona gli automatismi sono belli, non serve neanche il pilota... se tutto funziona....

Eh, no, quale tautologia?
Gli automatismi, per quel che mi è dato capire (non dimenticare che tecnicamente in questo settore ne so molto meno della media di voi) sono semplicemente inevitabili e ineludibili, perché le masse in gioco in velivoli riforniti e pieni di passeggeri, le inerzie relative, le quote di volo (ho imparato su md80.it che ad alta quota ed aria rarefatta l'intervallo che intercorre fra la velocità di stallo e il limite di overspeed tende a restringersi, ad esempio...) ecc ecc renderebbero ormai piuttosto ingestibile un aereo di ultima generazione, a meno di non rischiare continuamente di uscire dall'inviluppo di volo.
Ma negli altri settori di cui mi sono interessato, la tendenza progressiva ad introdurre automatismi sempre e comunque ha di massima, superata una certa soglia, peggiorato le cose sul piano operativo: nel senso che ha peggiorato la qualità operazionale dell'elemento umano.
Il caso della fotografia è semplicemente eclatante, ma naturalmente parliamo in questo caso di un settore in cui è molto più agevole scegliere a cuor leggero cosa fare sotto un controllo cosciente e manuale e cosa lasciare ad un automatismo.
In aeronautica, penso che delle due il controllo automatico delle operazioni di volo potrà solo aumentare, perché per poter far volare la gente a costi accettabili non si possono né si potranno certo fare aerei con l'aerodinamica (e la stabilità intrinseca) di un Piper Super Cub. Lo vuoi veloce, silenzioso, efficiente come capacità di carico ma con un biglietto accessibile? Te lo tieni con un inviluppo di volo ristretto, che ti costringe a duemila tipi diversi di supervisione elettronica del tuo operato.

Ma almeno, una interfaccia verso il pilota - anche e soprattutto in condizioni fuori norma, in cui lui deve tenere tutti i cocci a posto grazie alla sua manualità ed esperienza - meno astrusa e più istintiva penso si possa auspicarla.

Nel settore dell'automobile, molta componentistica relativa alla plancia è diventata assai più standard da una vettura all'altra quando si son cominciati a registrare i feedback negativi degli utenti, che si distraevano nell'utilizzare comandi troppo complessi. Quand'ero ragazzino, esistevano poche vetture che avevano il comando delle frecce a destra del piantone invece che a sinistra; noleggiane una, e vedi un po' all'approssimarsi di una rotatoria quanta della tua attenzione viene distratta dal tentativo di trovare dove diavolo siano le frecce.. metti di norma le frecce a sinistra, e intanto "una è fatta". E si va avanti.

Io semplicemente auspico una elettronica più "a misura d'uomo", dei maggiori margini di intervento manuale quando serve, e una sistematica ricerca di progressivi criteri sempre più razionali, semplici e generali di oggettivazione della sicurezza.

Hai presente il mitico "Gimli Glider"? Domanda ai tecnici: in quelle condizioni, a parità di failure, se invece di un B767 (molto tradizionale, in definitiva) quel magnifico, coraggioso ed anche fantasioso pilota avesse avuto fra le mani un A330, avrebbe potuto tentar di fare quello che ha fatto? A voi la risposta.

[sigmet]

Hai presente il mitico "Gimli Glider"? Domanda ai tecnici: in quelle condizioni, a parità di failure, se invece di un B767 (molto tradizionale, in definitiva) quel magnifico, coraggioso ed anche fantasioso pilota avesse avuto fra le mani un A330, avrebbe potuto tentar di fare quello che ha fatto? A voi la risposta.

Se e' per questo c'e' chi alle Azzorre con un 330 ha fatto di meglio!
Sui "magnifici" piloti in questione io magari stenderei un velo...
(vedi che strani i giornalisti...pronti a massacrare 2000 onesti professionisti chiamandoli " autisti privilegiati" e ad esaltare invece due persone forse un po distratte... )

[Valerio Ricciardi]

Sui "magnifici" piloti in questione io magari stenderei un velo...
(vedi che strani i giornalisti...pronti a massacrare 2000 onesti professionisti chiamandoli " autisti privilegiati" e ad esaltare invece due persone forse un po distratte... )

Mettiamola così: certo che sulla dinamica che ha portato a finire il carburante qualcosa di suo ci han messo anche i piloti (però era il primo 767 che richiedeva di fare i calcoli in litri e kg invece che galloni e libbre... i momenti di transizione sono molto pericolosi), però poi la pezza a colori che ci ha saputo mettere è stata magistrale.