Jai récemment vu une documentation sur le Vol 888T de XL Airways Germany . Cela a fait surgir des questions dans mon esprit:

Deux capteurs AOA ont échoué (gelé) simultanément. De Wikipédia:

Deux capteurs dangle dattaque sur trois ont été gelés et rendus inopérants. La logique du système a été conçue pour rejeter les valeurs des capteurs qui sécartent considérablement des autres. Dans ce cas précis, ce principe a conduit au rejet du capteur dangle dattaque opérationnel unique, et à lacceptation des deux défectueux, qui ont fourni des valeurs similaires, mais sont bloqués depuis le vol de croisière.

LAirbus « éteint » les ordinateurs en raison de valeurs illogiques et affiche USE MAN PITCH TRIM. Mais comme indiqué ci-dessus, lAirbus a rejeté le troisième capteur et a accepté les deux capteurs fonctionnels.

  • Quest-ce qui a poussé les ordinateurs à se désactiver et à passer en mode manuel?

Est-ce la comparaison des capteurs AOA extérieurs avec les données gyroscopiques (Merci à lutilisateur « mins » pour avoir clarifié la différence entre AOA-Sensor et Artificial Horizon Data, mais peut-être que lAirbus utilise les Gyro-Data comme référence AOA moins classée, qui se répercute sur la détection dun capteur AOA défectueux)

  • Pourquoi Airbus-Computers ne passe-t-il pas automatiquement à quelque chose comme une loi alternative, au lieu de désactiver le FBW et dafficher un petit avertissement?

Il était vraiment difficile de formuler mes questions et je suis sûr que jai oublié quelque chose. Mais japprécierais que vous répondiez aux questions.

Commentaires

  • Nous devons lire le rapport BEA pour comprendre pourquoi. Il nest pas clair pour moi que les ordinateurs de vol nétaient pas disponibles. Léquipage effectuait en fait divers tests faisant partie dun scénario pour démontrer les protections en place, sur une base volontaire. Plus dinformations sont nécessaires.
  • Tout simplement, si deux des trois disent 10 degrés et un dit 5, les ordinateurs nont aucun moyen de savoir lequel est le bon. La logique dit que si 2 daccord et 1 nest pas ‘ t, les 2 daccord lemportent.
  • « UTILISER MAN PITCH TRIM » indiquerait direct loi (encore moins que le mode alternatif) et ils sauraient quil est inutile de tester Alpha-floor en mode direct, donc je ne pense ‘ que cela indique cela.
  • @NoahKrasser, non, les ordinateurs ne séteignent jamais. Ils sont passés au droit direct après que l’avion ait quitté l’enveloppe de vol . Et non, je ne ‘ ne sais pas ce que lanalyste a fumé quand ils ont décidé quil devrait passer en direct (où lassiette reste pleine) plutôt qualterne (où lassiette reviendrait sur le nez -down control input).
  • Bien sûr, ils nont ‘ cessé de fonctionner, mais ils sont passés à, comme USE MAN PITCH TRIM fait référence à la loi directe. Lordinateur de vol aurait dû rester en droit normal car il ny avait pas de panne logique. Ce que je veux savoir: Quest-ce qui a poussé lordinateur de vol à passer en loi directe? Cela se produit en cas de défaillance logique. Quel était cet échec logique?

Réponse

Tl; dr cétait en droit direct car les données aériennes étaient incohérentes et le train datterrissage était descendu.

Pour une réponse complète à la raison pour laquelle lavion a fait ce quil a fait, je vais répondre à quelques questions une à la fois.

Pourquoi les calculateurs de vol ont-ils rejeté le bon capteur et utilisé le des figées?

Les valeurs des capteurs sont transmises aux calculateurs de contrôle par lADIRU (unité de données air et référence inertielle). Il existe trois ADIRU, correspondant chacun à trois systèmes redondants de capteurs. Une partie de lADIRU est lADR (référence des données aériennes). LADR est chargé de déterminer la validité des valeurs provenant des capteurs de données aériennes (tube de Pitot, orifice statique et aubes AoA), en corrigeant ces valeurs de AoA local à AoA avion et fournir les valeurs aux calculateurs de contrôle. (L AoA locale à lemplacement du capteur nest pas nécessairement la même que la AoA globale de lavion en raison de leur positionnement sur le plan.) Chaque ADR utilise deux résolveurs pour chaque capteur et compare ces valeurs pour la cohérence. En plus de la valeur, il envoie également aux ordinateurs de contrôle une indication indiquant si les valeurs sont valides ou non.

LELAC (calculateur de profondeur / aileron), qui contrôle le mouvement des surfaces de vol, prend les valeurs de chaque ADIRU et les compare à la valeur médiane. Si un capteur sécarte de la valeur médiane au-delà dun certain seuil, il suppose une défaillance du capteur et rejette lentrée. Il utilise ensuite la valeur moyenne des deux autres.

Malheureusement pour léquipage du XL888t, cette méthode anticipe une panne de capteur unique.Lorsque deux capteurs échouent à la même valeur ou à une valeur similaire, le système rejettera le capteur en fonctionnement. Il ny a vraiment aucun moyen de surmonter cela, mais il est extrêmement improbable que deux capteurs tombent en panne à la même valeur.

Pourquoi les lois de contrôle se sont-elles dégradées?

Cest vraiment le nœud du problème. question. LELAC est ce qui détermine les lois de contrôle. Il utilise les informations de la configuration de l’aéronef (volets, lamelles, aérofreins, train d’atterrissage) et la sortie de l’ADIRU pour déterminer comment interpréter les commandes du pilote. Il utilise ces informations pour déterminer les vitesses de protection α (α-prot, α-floor et VLS) et quand enclencher les protections denveloppe automatiques.

Normalement, lorsque lavion ralentit, lAoA augmente à moins quune entrée en piqué ne soit donnée. Dans le cas du XL888t, les pilotes essayaient intentionnellement de mettre lavion dans un décrochage afin de démontrer les protections α. Lascenseur et le stabilisateur étaient en position haute et les moteurs ont été ralentis. LELAC permettra cette position jusquà ce quil atteigne les valeurs calculées pour la protection α. Dans ce cas, lAoA était ne change pas. Lorsque les paramètres utilisés par lELAC sortent si loin de leurs seuils, lELAC ne peut plus effectuer les calculs nécessaires, donc les protections α sont désactivées et la loi de contrôle est dégradée pour alterner.

Alors pourquoi est-ce que ça a mal tourné ct law?

Le test que léquipage effectuait à ce moment-là était un contrôle à basse vitesse en configuration datterrissage.  » La configuration datterrissage indique évidemment que le train datterrissage est descendu. Dans la loi alternative, la commande de roulis est en loi directe, mais la commande de tangage est toujours telle quelle est en loi normale, avec compensation automatique, etc., sauf sans protections α. Mais lorsque le train datterrissage est abaissé, la commande de pas passe à la loi directe et lautotrim est désengagé. Lavertissement «USE MAN PITCH TRIM» saffiche sur le PFD. Cest le fait que les pilotes naient pas remarqué cet avertissement qui a entraîné laccident.

Je ne peux pas dire pourquoi les lois de contrôle sont conçues de cette manière. Peut-être que quelquun dautre peut expliquer pourquoi Airbus a fait ce choix .

Remarque: Toutes ces informations proviennent du rapport final BAE .

Commentaires

  • Merci! Jai parfaitement répondu à ma question et jai pu apprendre beaucoup de nouvelles choses sur Airbus Systems.
  • «Il ny a vraiment aucun moyen de surmonter cela» —non , mais je mattendrais à ce quil dise au moins aux pilotes que cela sest produit. Pour la vitesse, cest le cas et il y a une procédure de vitesse non fiable à suivre lorsque cela se produit. Cependant, pour les aubes AoA, ce nest pas le cas.
  • @JanHudec Jimagine quAirbus pense comme le BEA. Daprès le rapport BEA:  » Langle dattaque, bien que significatif pour létude de la situation aérodynamique de lavion, nest pas un pilotage paramètre.  »

Réponse

Ce qui est exactement arrivé aux calculateurs de vol est résumé de manière adéquate sur Wikipedia :

Certains ordinateurs de lavion ont reçu des informations contradictoires et ont fonctionné en mode dégradé où certaines protections nétaient pas disponibles.

Plus précisément: deux capteurs dangle dattaque sur trois ont été gelés et rendus inopérants. La logique du système a été conçue pour rejeter les valeurs des capteurs qui sécartent considérablement des autres. Dans ce cas précis, ce principe a conduit au rejet du capteur dangle dattaque opérationnel unique, et à lacceptation des deux défectueux, qui fournissaient des valeurs similaires, mais qui sont bloqués depuis le vol de croisière. Cela a conduit à des calculs de vitesses limites erratiques, de plus lavertissement de décrochage en loi normale nétait pas possible.

Tout ce qui précède a entraîné une dégradation des fonctionnalités des systèmes automatisés, certaines fonctions de protection contre le décrochage nétaient pas disponibles. Cependant, lavertissement de décrochage était toujours disponible et a été déclenché lors de la dernière phase du vol.

Les résultats du rapport officiel ne « blâmez pas la façon dont les systèmes sont conçus. Toutes les constatations relatives aux  » facteurs ont contribué à laccident  » sont les actions / décisions prises par léquipage de conduite et l  » absence de cohérence dans la tâche de rinçage dans la procédure de nettoyage de lavion « .

Cependant, il y a une recommandation concernant les calculateurs de vol:

Que lEASA [pour] entreprendre une sécurité étude en vue d’améliorer les normes de certification des systèmes d’alerte des équipages lors des reconfigurations des commandes de vol ou la formation des équipages à l’identification de ces reconfigurations et à la détermination des conséquences opérationnelles immédiates.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *