El Sistema de Aumento de Características de Maniobra ( MCAS ) es una característica de estabilización de vuelo desarrollada por Boeing que se hizo famosa por su papel en dos accidentes fatales del 737 MAX en 2018 y 2019, en los que murieron los 346 pasajeros y tripulantes de ambos vuelos.
Debido a que el motor LEAP de CFM International utilizado en el 737 MAX era más grande y estaba montado más adelante del ala y a mayor altura que en las generaciones anteriores del 737, Boeing descubrió que el avión tenía una tendencia a empujar el morro hacia arriba cuando operaba en una parte específica de la envolvente de vuelo (flaps arriba, ángulo de ataque alto, vuelo manual). El MCAS tenía como objetivo imitar el comportamiento de vuelo del anterior Boeing 737 Next Generation . La compañía indicó que este cambio eliminó la necesidad de que los pilotos tuvieran entrenamiento en simulador en el nuevo avión. [ cita requerida ]
Después del accidente fatal del vuelo 610 de Lion Air en 2018, Boeing y la Administración Federal de Aviación (FAA) remitieron a los pilotos a una lista de verificación revisada de ajuste de la pista que se debe realizar en caso de un mal funcionamiento. Boeing recibió entonces muchas solicitudes de más información y reveló la existencia del MCAS en otro mensaje, y que podría intervenir sin la intervención del piloto. [1] [2] Según Boeing, el MCAS se implementó para compensar un ángulo de ataque excesivo ajustando el estabilizador horizontal antes de que la aeronave potencialmente se detenga . Boeing negó que el MCAS fuera un sistema antibloqueo y enfatizó que estaba destinado a mejorar el manejo de la aeronave mientras operaba en una parte específica de la envolvente de vuelo. Tras el accidente del vuelo 302 de Ethiopian Airlines en 2019, las autoridades etíopes declararon que el procedimiento no permitió a la tripulación prevenir el accidente, sin embargo, una investigación más profunda reveló que los pilotos no siguieron el procedimiento correctamente. [3] La Administración de Aviación Civil de China ordenó entonces la puesta a tierra de todos los aviones 737 MAX en China, lo que dio lugar a más puestas a tierra en todo el mundo .
Boeing admitió que el MCAS jugó un papel en ambos accidentes, cuando actuó sobre datos falsos de un único sensor de ángulo de ataque (AoA). En 2020, la FAA, Transport Canada y la Agencia de Seguridad Aérea de la Unión Europea (EASA) evaluaron los resultados de las pruebas de vuelo con el MCAS desactivado y sugirieron que el MAX podría no haber necesitado el MCAS para cumplir con los estándares de certificación. [4] Más tarde ese año, una Directiva de Aeronavegabilidad de la FAA [5] aprobó cambios de diseño para cada avión MAX, que evitarían la activación del MCAS a menos que ambos sensores AoA registren lecturas similares, eliminarían la capacidad del MCAS de activarse repetidamente y permitirían a los pilotos anular el sistema si fuera necesario. La FAA comenzó a exigir que todos los pilotos del MAX se sometieran a una capacitación relacionada con el MCAS en simuladores de vuelo para 2021.
En la década de 1960, se instaló en el Boeing 707 un sistema básico de control de cabeceo conocido como stick shaker para evitar el estancamiento . [6]
Más tarde, un sistema similar para evitar el estancamiento, en este caso específicamente llamado Sistema de Aumento de Características de Maniobra (MCAS), se implementó en el avión cisterna militar de reabastecimiento aéreo Boeing KC-46 Pegasus . [7] El KC-46, que se basa en el Boeing 767 , requiere MCAS porque el peso y el equilibrio cambian cuando el avión cisterna redistribuye y descarga combustible. [7] En esa aeronave, el MCAS se anula y se desactiva cuando un piloto realiza una entrada de palanca. [7]
Otra implementación del MCAS fue desarrollada para el Boeing 737 MAX, debido a que sus motores más grandes y reposicionados cambiaron las características de vuelo de la aeronave en comparación con las generaciones 737 anteriores. [8] [9] Cuando un solo sensor de ángulo de ataque (AoA) indicaba que el ángulo era demasiado alto, el MCAS recortaba el estabilizador horizontal en la dirección de morro hacia abajo. [10] Boeing hizo esto para cumplir con el objetivo de la compañía de minimizar los requisitos de capacitación para los pilotos ya calificados en el 737NG, lo que Boeing sintió que haría que la nueva variante fuera más atractiva para los clientes de aeronaves que preferirían no asumir los costos de la capacitación de diferencias. [11] Sin embargo, según entrevistas con directores de agencias que describen evaluaciones realizadas después de que ocurrieron los accidentes inducidos por el MCAS, tanto la FAA como la EASA sintieron que la aeronave habría tenido una estabilidad aceptable sin el MCAS. [11]
En el vuelo 610 de Lion Air y el vuelo 302 de Ethiopian Airlines , los investigadores determinaron que el MCAS se activó por entradas de AoA falsamente altas, como si el avión se hubiera inclinado excesivamente hacia arriba. En ambos vuelos, poco después del despegue, el MCAS activó repetidamente el motor de compensación del estabilizador horizontal para empujar hacia abajo el morro del avión. [12] [13] [14] [15] Los datos satelitales de los vuelos mostraron que los aviones lucharon por ganar altitud. [16] Los pilotos informaron dificultades para controlar el avión y pidieron regresar al aeropuerto. [17] [18] Se ha descubierto que la implementación del MCAS interrumpe las operaciones del piloto automático . [19]
El 11 de marzo de 2019, después de que China hubiera dejado en tierra el avión, [20] Boeing publicó algunos detalles de los nuevos requisitos del sistema para el software MCAS y para las pantallas de la cabina, que comenzó a implementar a raíz del accidente anterior cinco meses antes: [12]
El 27 de marzo, Daniel Elwell , administrador interino de la FAA, testificó ante el Comité Senatorial de Comercio, Ciencia y Transporte, diciendo que el 21 de enero, "Boeing presentó una propuesta de mejora del software MCAS a la FAA para su certificación. ... la FAA ha probado esta mejora al sistema de control de vuelo 737 MAX tanto en el simulador como en la aeronave. Las pruebas, que fueron realizadas por ingenieros de pruebas de vuelo y pilotos de pruebas de vuelo de la FAA, incluyeron situaciones de pérdida aerodinámica y procedimientos de recuperación". [21] Después de una serie de retrasos, el software MCAS actualizado fue entregado a la FAA en mayo de 2019. [22] [23] El 16 de mayo, Boeing anunció que la actualización de software completa estaba esperando la aprobación de la FAA. [24] [25] El software de vuelo se sometió a 360 horas de pruebas en 207 vuelos. [26] Boeing también actualizó los procedimientos de tripulación existentes. [12]
El 4 de abril de 2019, Boeing reconoció públicamente que el MCAS jugó un papel en ambos accidentes. [27]
Tanto la FAA como Boeing cuestionaron los informes de los medios que describen al MCAS como un sistema anti-bloqueo , lo que Boeing afirmó que claramente no es y, en cambio, un sistema que está diseñado para proporcionar cualidades de manejo para el piloto que cumplan con las preferencias del piloto. [28] [29] [30] [31] La aeronave tuvo que desempeñarse bien en una prueba de pérdida a baja velocidad. [32] La Revisión Técnica de Autoridades Conjuntas (JATR) "considera que las funciones STS /MCAS y de cambio de sensación del elevador (EFS) podrían considerarse como sistemas de identificación de pérdida o sistemas de protección contra pérdida, dependiendo de las características naturales (no aumentadas) de la aeronave".
El JATR afirmó que "el MCAS utilizó el estabilizador para cambiar la sensación de fuerza de la columna, no para equilibrar la aeronave. Este es un caso de uso de la superficie de control de una manera nueva que las regulaciones nunca tuvieron en cuenta y que debería haber requerido un documento de problemas para un análisis más profundo por parte de la FAA. Si el personal técnico de la FAA hubiera estado completamente al tanto de los detalles de la función del MCAS, el equipo del JATR cree que la agencia probablemente hubiera requerido un documento de problemas para usar el estabilizador de una manera que no se había usado anteriormente; esto [podría haber] identificado el potencial del estabilizador para dominar el elevador". [33]
El sistema de aumento de las características de maniobra (MCAS) es una ley de control de vuelo [34] integrada en la computadora de control de vuelo del Boeing 737 MAX , diseñada para ayudar a la aeronave a emular las características de manejo del anterior Boeing 737 Next Generation . Según una revisión del equipo de Autoridades de Aviación Civil (JATR) internacional encargada por la FAA, el MCAS puede ser un sistema de identificación o protección de pérdida, dependiendo de las características de pérdida naturales (no aumentadas) de la aeronave. [33] [35] [36] Boeing consideró al MCAS parte del sistema de control de vuelo y eligió no describirlo en el manual de vuelo o en los materiales de capacitación, basándose en la filosofía de diseño fundamental de mantener la similitud con el 737NG . Minimizar las diferencias funcionales entre las variantes de aeronaves Boeing 737 MAX y Next Generation permitió que ambas variantes compartieran la misma calificación de tipo . Por lo tanto, las aerolíneas pueden ahorrar dinero al emplear y capacitar a un grupo de pilotos para volar ambas variantes del Boeing 737 de manera intercambiable. [37]
Cuando se activa, el MCAS activa directamente el estabilizador horizontal , que es distinto de un dispositivo antibloqueo, como un empujador de palanca , que mueve físicamente la columna de control del piloto hacia adelante y activa los elevadores del avión cuando el avión se aproxima a un bloqueo.
El ex director ejecutivo de Boeing, Dennis Muilenburg, dijo que "[MCAS] ha sido descrito como un sistema antibloqueo, lo cual no es así. Es un sistema diseñado para proporcionar cualidades de manejo para el piloto que se ajusten a sus preferencias". [31]
Los motores CFM LEAP-1B más grandes del 737 MAX están instalados más adelante y más arriba que en los modelos anteriores. El efecto aerodinámico de sus góndolas contribuye a la tendencia del avión a cabecear hacia arriba en ángulos de ataque (AOA) elevados. El MCAS está destinado a compensar en tales casos, modelando el comportamiento de cabeceo de los modelos anteriores y cumpliendo un cierto requisito de certificación, [32] con el fin de mejorar las características de manejo y, por lo tanto, minimizar la necesidad de un importante reentrenamiento del piloto. [38] [39] [31]
El código de software para la función MCAS y la computadora para ejecutar el software están construidos según las especificaciones de Boeing por Collins Aerospace, anteriormente Rockwell Collins . [40]
Como medida correctiva automatizada, se le dio al MCAS plena autoridad para bajar el morro del avión, y no podía ser anulado por la resistencia del piloto contra el volante de control como en las versiones anteriores del 737. [41] Después del accidente de Lion Air, Boeing emitió un Boletín del Manual de Operaciones (OMB) [42] el 6 de noviembre de 2018, para describir las muchas indicaciones y efectos resultantes de los datos erróneos del AOA y proporcionó instrucciones para apagar el sistema de compensación motorizada para el resto del vuelo y compensar manualmente en su lugar. Hasta que Boeing complementó los manuales [43] y la capacitación, los pilotos desconocían la existencia del MCAS debido a su omisión en el manual de la tripulación y a la falta de cobertura en la capacitación. [41] Boeing nombró y reveló públicamente por primera vez la existencia del MCAS en el 737 MAX en un mensaje a los operadores de aerolíneas y otros intereses de la aviación el 10 de noviembre de 2018, doce días después del accidente de Lion Air. [44]
Al igual que con cualquier otro equipo a bordo de una aeronave, la FAA aprueba un "nivel de garantía de desarrollo" funcional correspondiente a las consecuencias de una falla, utilizando las normas SAE International ARP4754 y ARP4761 . El MCAS fue designado como un sistema de "falla peligrosa". Esta clasificación corresponde a fallas que causan "una gran reducción en los márgenes de seguridad" o "lesiones graves o fatales a un número relativamente pequeño de los ocupantes", pero nada "catastrófico". [45]
El MCAS fue diseñado con el supuesto, aprobado por la FAA, de que los pilotos reaccionarían a una activación inesperada en un plazo de tres segundos. [46]
Los parámetros de diseño del MCAS previeron originalmente acciones correctivas automatizadas que se tomarían en casos de ángulo de ataque y fuerzas g elevados más allá de las condiciones normales de vuelo. Los pilotos de pruebas llevan rutinariamente a los aviones a tales extremos, ya que la FAA exige que los aviones se comporten como se espera. Antes del MCAS, el piloto de pruebas Ray Craig determinó que el avión no volaba con suavidad, en parte debido a los motores más grandes. Craig hubiera preferido una solución aerodinámica , pero Boeing decidió implementar una ley de control en el software.
Según un informe de noticias del Wall Street Journal , los ingenieros que habían trabajado en el avión cisterna KC-46A Pegasus , que incluye una función MCAS, sugirieron MCAS al equipo de diseño. [47]
Con el MCAS implementado, el nuevo piloto de pruebas Ed Wilson dijo que "el MAX no se manejaba bien cuando se acercaba a pérdidas a bajas velocidades" y recomendó que el MCAS se aplicara en una gama más amplia de condiciones de vuelo. Esto requería que el MCAS funcionara bajo fuerzas g normales y, a velocidades de pérdida, desviara el ajuste vertical más rápidamente y en mayor medida, pero ahora lee un solo sensor de AoA, creando un único punto de falla que permitía que datos falsos activaran el MCAS para inclinar el morro hacia abajo y obligar al avión a caer en picado. [48] [38] "Inadvertidamente, ahora se abrió la puerta a un mal comportamiento grave del sistema durante los momentos ajetreados y estresantes inmediatamente después del despegue", dijo Jenkins de The Wall Street Journal . [49]
La FAA no realizó un análisis de seguridad sobre los cambios. Ya había aprobado la versión anterior del MCAS y las normas de la agencia no exigían que se hiciera una segunda revisión porque los cambios no afectaban al funcionamiento del avión en situaciones extremas. [50]
La revisión técnica conjunta de las autoridades determinó que la tecnología no tenía precedentes: "Si el personal técnico de la FAA hubiera estado completamente al tanto de los detalles de la función del MCAS, el equipo del JATR cree que la agencia probablemente hubiera requerido un documento de problemas para usar el estabilizador de una manera que no se había usado anteriormente. El MCAS usó el estabilizador para cambiar la sensación de fuerza de la columna, no para equilibrar la aeronave. Este es un caso de uso de la superficie de control de una manera nueva que las regulaciones nunca tuvieron en cuenta y debería haber requerido un documento de problemas para un análisis más profundo por parte de la FAA. Si se hubiera requerido un documento de problemas, el equipo del JATR cree que probablemente habría identificado el potencial del estabilizador para dominar el elevador". [33]
En noviembre de 2019, Jim Marko, gerente de integración de aeronaves y evaluación de seguridad en la División Nacional de Certificación de Aeronaves del regulador de aviación de Transport Canada, cuestionó la idoneidad del MCAS. Como seguían surgiendo nuevos problemas, sugirió a sus pares de la FAA, la ANAC y la EASA que consideraran los beneficios de seguridad de eliminar el MCAS del MAX. [51]
El MCAS fue objeto de escrutinio tras los accidentes fatales del vuelo 610 de Lion Air y el vuelo 302 de Ethiopian Airlines poco después del despegue. Todas las aerolíneas y operadores dejaron en tierra la flota mundial de Boeing 737 MAX y se plantearon una serie de problemas funcionales. [52] [53] [54]
El MCAS desvía el estabilizador horizontal cuatro veces más de lo que se indicó en el documento de análisis de seguridad inicial. [52] Debido a la cantidad de compensación que el sistema aplica al estabilizador horizontal, las fuerzas aerodinámicas resisten el esfuerzo del control del piloto para levantar el morro. Mientras persistan las lecturas de AOA erróneas, un piloto humano "puede cansarse rápidamente tratando de tirar de la columna hacia atrás". [55] Además, los interruptores para la asistencia de compensación del estabilizador horizontal ahora sirven para un propósito compartido de apagar sistemas automatizados como el MCAS, así como los botones de compensación en el yugo , mientras que en los modelos 737 anteriores cada uno podía apagarse de forma independiente. En las sesiones de simulador, los pilotos se quedaron atónitos por el esfuerzo sustancial necesario para sacar manualmente la rueda de compensación de su posición de morro hacia abajo cuando se desactivaba la asistencia de compensación. [56] [57] [58]
El director ejecutivo de Boeing, Dennis Muilenburg, ha declarado que "no hubo ninguna sorpresa, ni laguna, ni nada desconocido aquí o algo que de alguna manera se haya escapado a un proceso de certificación". [59] El 29 de abril de 2019, declaró que el diseño del avión no tenía fallas y reiteró que fue diseñado según los estándares de Boeing. [60] En una entrevista del 29 de mayo con CBS, Boeing admitió que había estropeado la implementación del software y lamentó las malas comunicaciones. [61]
El 26 de septiembre, la Junta Nacional de Seguridad del Transporte criticó las pruebas inadecuadas del 737 MAX por parte de Boeing, y señaló que Boeing hizo suposiciones erróneas sobre la respuesta de los pilotos a las alertas en el 737 MAX, provocadas por la activación del MCAS debido a una señal defectuosa de un sensor de ángulo de ataque. [62] [63]
La Revisión Técnica de Autoridades Conjuntas (JATR), un equipo encargado por la FAA para la investigación del 737 MAX, concluyó que la FAA no revisó adecuadamente el MCAS. Boeing no proporcionó información técnica adecuada y actualizada sobre el sistema MCAS a la FAA durante el proceso de certificación del Boeing 737 Max y no había llevado a cabo una verificación exhaustiva mediante pruebas de resistencia del sistema MCAS. [36] [64]
El 18 de octubre, Boeing entregó una discusión de 2016 entre dos empleados que reveló problemas previos con el sistema MCAS. [65]
Las propias directrices de diseño internas de Boeing relacionadas con el desarrollo del 737 MAX establecían que el sistema "no debería tener ninguna interacción objetable con el pilotaje del avión" y "no interferir con la recuperación del picado". [66] El funcionamiento del MCAS violaba esas normas. [67]
El 26 de septiembre de 2019, la Junta Nacional de Seguridad del Transporte (NTSB) publicó los resultados de su revisión de posibles fallas en el diseño y aprobación del 737 MAX. [68] [69] [70] El informe de la NTSB concluye que las suposiciones "que Boeing utilizó en su evaluación de riesgo funcional de la función MCAS no comandada para el 737 MAX no consideraron ni dieron cuenta adecuadamente del impacto que múltiples alertas e indicaciones de la cabina de vuelo podrían tener en las respuestas de los pilotos al peligro". [69] : 8 Cuando Boeing indujo una entrada de compensación del estabilizador que simuló el movimiento del estabilizador de manera consistente con la función MCAS,
"Los modos de falla específicos que podrían llevar a una activación no intencionada del MCAS (como una entrada errónea de AOA alta en el MCAS) no se simularon como parte de estas pruebas de validación de evaluación de riesgos funcionales. Como resultado, los efectos adicionales en la cabina de vuelo (como las alertas IAS DISAGREE y ALT DISAGREE y la activación del agitador de la palanca de mando) resultantes de la misma falla subyacente (por ejemplo, AOA errónea) no se simularon y no estaban en el informe de evaluación de seguridad del ajuste del estabilizador revisado por la NTSB". [69] : 5 [71]
La NTSB cuestionó la práctica que se ha mantenido durante mucho tiempo en la industria y en la FAA de suponer que las respuestas son casi instantáneas de pilotos de prueba altamente capacitados, en lugar de pilotos de todos los niveles de experiencia, para verificar los factores humanos en la seguridad de las aeronaves. [72] La NTSB expresó su preocupación por la necesidad de mejorar el proceso utilizado para evaluar el diseño original, ya que ese proceso todavía se utiliza para certificar los diseños actuales y futuros de aeronaves y sistemas. La FAA podría, por ejemplo, tomar muestras aleatorias de grupos de pilotos de todo el mundo para obtener una evaluación más representativa de las situaciones en la cabina de mando. [73]
Las actualizaciones propuestas por Boeing se centran principalmente en el software MCAS. [34] En particular, no ha habido declaraciones públicas sobre la reversión de la funcionalidad de los interruptores de corte del estabilizador a la configuración anterior al MAX. Un ingeniero de software veterano y piloto experimentado sugirió que los cambios de software pueden no ser suficientes para contrarrestar la ubicación del motor del 737 MAX. [74] El Seattle Times señaló que, si bien la nueva solución de software propuesta por Boeing "probablemente evitará que esta situación se repita, si la investigación preliminar confirma que los pilotos etíopes desconectaron el sistema de control de vuelo automático, este sigue siendo un resultado de pesadilla para Boeing y la FAA. Sugeriría que el procedimiento de emergencia establecido por Boeing y transmitido por la FAA después del accidente de Lion Air es completamente inadecuado y falló a la tripulación de vuelo etíope". [75]
Boeing y la FAA decidieron que la pantalla AoA y una luz de desacuerdo AoA, que señala si los sensores dan lecturas diferentes, no eran características críticas para una operación segura. [76] Boeing cobró extra por la adición del indicador AoA a la pantalla principal. [77] [78] En noviembre de 2017, los ingenieros de Boeing descubrieron que la luz de desacuerdo AoA estándar no puede funcionar de forma independiente sin el software indicador AoA opcional, un problema que afecta al 80% de la flota global que no había ordenado la opción. [79] [80] La solución de software estaba programada para coincidir con el lanzamiento del 737 MAX 10 alargado en 2020, solo para ser acelerada por el accidente de Lion Air . Además, el problema no había sido revelado a la FAA hasta 13 meses después del hecho. Aunque no está claro si el indicador podría haber cambiado el resultado de los vuelos desafortunados, American Airlines dijo que el indicador de desacuerdo proporcionó la seguridad de las operaciones continuas del avión. "Al final resultó que eso no era cierto". [81]
En febrero de 2016, la EASA certificó el MAX con la expectativa de que los procedimientos y la capacitación del piloto explicaran claramente las situaciones inusuales en las que se requeriría la rueda de ajuste manual, que rara vez se usa, para ajustar el avión, es decir, el ángulo del morro; sin embargo, el manual de vuelo original no mencionaba esas situaciones. [82] El documento de certificación de la EASA se refería a simulaciones en las que los interruptores de pulgar eléctricos eran ineficaces para ajustar correctamente el MAX en ciertas condiciones. El documento de la EASA decía que después de las pruebas de vuelo, debido a que los interruptores de pulgar no siempre podían controlar el ajuste por sí solos, la FAA estaba preocupada por si el sistema 737 MAX cumplía con las regulaciones. [83] El manual de vuelo de American Airlines contiene un aviso similar con respecto a los interruptores de pulgar, pero no especifica las condiciones en las que puede ser necesaria la rueda manual. [83]
Cuando se le preguntó al director ejecutivo de Boeing, Muilenburg, sobre la falta de divulgación del MCAS, citó el procedimiento de "ajuste del estabilizador fuera de control" como parte del manual de capacitación. Añadió que el boletín de Boeing señalaba ese procedimiento de vuelo existente. Boeing considera la lista de verificación de "ajuste del estabilizador fuera de control" como un elemento de memoria para los pilotos. Mike Sinnett, vicepresidente y director general de Boeing New Mid-Market Airplane (NMA) desde julio de 2019, describió repetidamente el procedimiento como un "elemento de memoria". [84] Sin embargo, algunas aerolíneas lo ven como un elemento para la tarjeta de referencia rápida. [85] La FAA emitió una recomendación sobre los elementos de memoria en una Circular de asesoramiento, procedimientos operativos estándar y deberes de supervisión del piloto para los miembros de la tripulación de la cabina de vuelo : "Los elementos de memoria deben evitarse siempre que sea posible. Si el procedimiento debe incluir elementos de memoria, deben estar claramente identificados, enfatizados en la capacitación, menos de tres elementos y no deben contener pasos de decisión condicional". [86]
En noviembre de 2018, Boeing informó a las aerolíneas que el MCAS no podía superarse tirando hacia atrás de la columna de control para detener un ajuste fuera de control como en los 737 de la generación anterior. [87] Sin embargo, la confusión continuó: el comité de seguridad de una importante aerolínea estadounidense engañó a sus pilotos al decirles que el MCAS podía superarse "aplicando la entrada opuesta de la columna de control para activar los interruptores de corte de la columna". [88] El ex piloto y experto en aviación y seguridad de CBS Chesley Sullenberger testificó: "La lógica era que si el MCAS se activaba, tenía que ser porque era necesario, y tirar hacia atrás de la rueda de control no debería detenerlo". [89] En octubre, Sullenberger escribió: "Estas emergencias no se presentaron como un problema clásico de estabilizador fuera de control, sino inicialmente como situaciones ambiguas de velocidad y altitud poco confiables, que enmascaraban el MCAS". [90]
En una denuncia legal contra Boeing, la Asociación de Pilotos de Southwest Airlines afirma: [91]
Una falla del MCAS no es como un estabilizador fuera de control. Un estabilizador fuera de control tiene un movimiento continuo no controlado de la cola, mientras que el MCAS no es continuo y los pilotos (teóricamente) pueden contrarrestar el movimiento de morro hacia abajo, después de lo cual el MCAS movería la cola del avión hacia abajo nuevamente. Además, a diferencia del estabilizador fuera de control, el MCAS desactiva la respuesta de la columna de control a la que los pilotos del 737 se han acostumbrado y en la que confiaban en generaciones anteriores de aviones 737.
.jpg/1280px-Boeing_737-524,_Transaero_Airlines_AN2037840_(stab_trim).jpg){kind=spacer}
En mayo de 2019, The Seattle Times informó que los dos interruptores de corte del estabilizador , ubicados en la consola central, funcionan de manera diferente en el MAX que en el 737 NG anterior. En los aviones anteriores, un interruptor de corte desactiva los botones del pulgar en el yugo de control que los pilotos usan para mover el estabilizador horizontal; el otro interruptor de corte desactiva el control automático del estabilizador horizontal por piloto automático o STS /MCAS. En el MAX, ambos interruptores están cableados en serie y realizan la misma función: cortan toda la energía eléctrica al estabilizador, tanto de los botones del yugo como de un sistema automático.
Por lo tanto, en los aviones anteriores es posible desactivar el control automático del estabilizador y emplear la asistencia eléctrica mediante el accionamiento de los interruptores del yugo . En el MAX, con toda la energía del estabilizador cortada, los pilotos no tienen otra opción que utilizar la rueda de ajuste mecánica en la consola central. [92]
A medida que los pilotos tiran de los controles del 737 para levantar el morro del avión, las fuerzas aerodinámicas sobre el elevador crean una fuerza opuesta, paralizando efectivamente el mecanismo de tornillo de elevación que mueve el estabilizador. [93] Se vuelve muy difícil para los pilotos girar manualmente la rueda de ajuste . [93] El problema se encontró en versiones anteriores del 737, y una técnica de emergencia de "montaña rusa" para manejar la condición de vuelo se documentó en 1982 para el 737-200, pero no apareció en la documentación de entrenamiento para versiones posteriores (incluido el MAX). [93]
Este problema se detectó originalmente a principios de los años 1980 con el modelo 737-200. Cuando el elevador operaba para subir o bajar la nariz, generaba una gran fuerza sobre el tornillo de ajuste que se oponía a cualquier fuerza correctiva de los sistemas de control. Al intentar corregir una desviación no deseada utilizando la rueda de ajuste manual , ejercer suficiente fuerza manual para superar la fuerza ejercida por el elevador se hacía cada vez más difícil a medida que la velocidad y la desviación aumentaban y el tornillo de ajuste se atascaba en su lugar. [94]
Para el 737-200 se desarrolló una solución alternativa llamada la técnica de la "montaña rusa". En contra de la intuición, para corregir una desviación excesiva que provoca una caída, el piloto primero empuja el morro hacia abajo más, antes de retroceder lentamente para levantarlo suavemente de nuevo. [95] Durante este período de retroceso, la desviación del elevador se reduce o incluso se invierte, su fuerza sobre el tornillo de elevación hace lo mismo y el ajuste manual se alivia. La solución alternativa se incluyó en los procedimientos de emergencia del piloto y en el programa de entrenamiento. [94]
Si bien el 737 MAX tiene un mecanismo de tornillo de elevación similar, la técnica de la "montaña rusa" se ha eliminado de la información para pilotos. Durante los eventos que llevaron a los dos accidentes del MAX, la rigidez de la rueda de ajuste manual impidió repetidamente el ajuste manual del ajuste para corregir el cabeceo hacia abajo inducido por el MCAS. El problema se ha llevado a la atención de la investigación penal del Departamento de Justicia sobre los accidentes del 737 MAX. [94]
En las pruebas de simulación del vuelo 302 de Ethiopian Airlines , la rueda de ajuste resultó "imposible" de mover cuando uno de los pilotos la levantaba instintivamente tras una orden automática de ajuste de morro abajo. Se necesitan 15 vueltas para ajustar manualmente el avión un grado, y hasta 40 vueltas para volver a poner el ajuste en punto muerto tras la orden de ajuste de morro abajo causada por el MCAS. Cabe señalar que en el vuelo de Ethiopian Airlines, el acelerador automático no estaba desactivado y el avión entró en condiciones de exceso de velocidad a baja altitud, lo que dio lugar a fuerzas aerodinámicas extrañas en las superficies de control. [96]
El estabilizador horizontal está equipado con un elevador convencional para el control del vuelo. Sin embargo, es completamente móvil sobre un único pivote y se puede ajustar su ángulo. El ajuste se acciona mediante un mecanismo de tornillo sin fin .
Los ingenieros Sylvain Alarie y Gilles Primeau, expertos en estabilizadores horizontales consultados por Radio-Canada , observaron anomalías en los datos registrados durante los accidentes de Lion Air y Ethiopian Airlines: un desplazamiento progresivo del estabilizador horizontal de 0,2°, antes del accidente. [97] En referencia al vuelo de Ethiopian Airlines, Alarie señaló que sin recibir una orden del MCAS o de los pilotos, el gato de tornillo se deslizó, y luego se deslizó de nuevo mientras el avión aceleraba y descendía. [97] Primeau señaló que esta desviación era un orden de magnitud mayor que lo que normalmente se permitiría, y concluyeron que estas desviaciones estaban prohibidas por la regulación 395A de la FAA. [97] A estos expertos les preocupa que las cargas sobre el gato de tornillo hayan aumentado potencialmente desde la creación del 737, cuyas versiones modernas son considerablemente más grandes que el diseño original. [97]
Estos expertos han expresado su preocupación por el posible sobrecalentamiento de los motores en abril de 2019. [98]
Durante las paradas en tierra, los vuelos especiales para reposicionar los aviones MAX en lugares de almacenamiento, según el 14 CFR § 21.197, volaron a menor altitud y con los flaps extendidos para evitar la activación del MCAS, en lugar de utilizar el procedimiento de recuperación después del hecho. Dichos vuelos requerían una cierta calificación del piloto, así como el permiso de los reguladores correspondientes, y sin otra tripulación de cabina ni pasajeros. [99]
Según la descripción técnica de Boeing: "el ángulo de ataque (AoA) es un parámetro aerodinámico clave para comprender los límites del rendimiento de un avión. Los accidentes e incidentes recientes han dado lugar a nuevos programas de formación de tripulaciones de vuelo, que a su vez han aumentado el interés por el AoA en la aviación comercial. El conocimiento del AoA es de vital importancia a medida que el avión se acerca a la pérdida de sustentación". [100] Chesley Sullenberger dijo que los indicadores del AoA podrían haber ayudado en estos dos accidentes. "Es irónico que la mayoría de los aviones modernos midan (el ángulo de ataque) y que esa información se utilice a menudo en muchos sistemas de los aviones, pero no se muestra a los pilotos. En cambio, los pilotos deben inferir (el ángulo de ataque) a partir de otros parámetros, deduciéndolo indirectamente". [101]
Aunque el MAX tiene dos sensores, solo se utiliza uno de ellos a la vez para activar el MCAS en el 737 MAX. Cualquier falla en este sensor, quizás debido a un daño físico, [89] crea un fallo puntual : el sistema de control de vuelo no tiene ninguna base para rechazar su entrada como información errónea.
Boeing no siempre reconoció los informes de un único punto de fallo. Dirigiéndose a los pilotos de American Airlines, el vicepresidente de Boeing, Mike Sinnett, contradijo los informes de que el MCAS tenía un único punto de fallo, porque los propios pilotos son los sistemas de respaldo. El periodista Useem dijo en The Atlantic que esto "mostraba tanto una falta de comprensión del término como una ruptura radical con la práctica de larga data de Boeing de tener múltiples sistemas de respaldo para cada sistema de vuelo". [102]
Se habían reportado problemas con el sensor AoA en más de 200 informes de incidentes presentados a la FAA; sin embargo, Boeing no realizó pruebas de vuelo en un escenario en el que funcionara mal. [103]
Los propios sensores están bajo escrutinio. Los sensores del avión Lion Air fueron suministrados por Rosemount Aerospace de United Technologies. [104]
En septiembre de 2019, la EASA dijo que prefiere sensores AoA con triple redundancia en lugar de la redundancia doble en la actualización propuesta por Boeing para el MAX. [105] La instalación de un tercer sensor podría ser costosa y llevar mucho tiempo. El cambio, si se ordena, podría extenderse a miles de modelos 737 más antiguos en servicio en todo el mundo. [105]
Andrew Kornecki, ex profesor de la Universidad Aeronáutica Embry-Riddle y experto en sistemas redundantes, dijo que operar con uno o dos sensores "estaría bien si todos los pilotos estuvieran lo suficientemente capacitados para evaluar y manejar el avión en caso de un problema", pero preferiría construir el avión con tres sensores, como lo hace Airbus. [106]
En noviembre de 2017, después de varios meses de entregas del MAX, Boeing descubrió que el mensaje AoA Disagree , que es indicativo de una posible falta de coincidencia del sensor en la pantalla de vuelo principal , [107] se había desactivado involuntariamente. [12]
Clint Balog, profesor de la Universidad Aeronáutica Embry-Riddle, dijo después del accidente de Lion Air: "En retrospectiva, claramente hubiera sido prudente incluir la advertencia como equipo estándar e informar y entrenar completamente a los operadores sobre el MCAS". [108] Según Bjorn Fehrm, analista aeronáutico y económico de Leeham News and Analysis, "Un contribuyente importante a la pérdida final del JT610 es la falta de la indicación AoA DISAGREE en las pantallas de los pilotos". [109]
El software dependía de la presencia del software indicador visual, una opción paga que no fue seleccionada por la mayoría de las aerolíneas. [110] Por ejemplo, Air Canada, American Airlines y Westjet habían comprado la alerta de desacuerdo, mientras que Air Canada y American Airlines también compraron, además, el indicador de valor AoA, y Lion Air no tenía ninguno. [111] [112] Boeing había determinado que el defecto no era crítico para la seguridad o la operación de la aeronave, y una junta de revisión de seguridad interna (SRB) corroboró la evaluación previa de Boeing y su plan inicial para actualizar la aeronave en 2020. Boeing no reveló el defecto a la FAA hasta noviembre de 2018, a raíz del accidente de Lion Air. [113] [114] [115] [116] En consecuencia, Southwest había informado a los pilotos que toda su flota de aviones MAX 8 recibirá las actualizaciones opcionales. [117] [118] En marzo de 2019, después del segundo accidente del vuelo 302 de Ethiopian Airlines, un representante de Boeing le dijo a la revista Inc .: "Se ha informado a los clientes que la alerta de desacuerdo con el AoA se convertirá en una característica estándar en el 737 MAX. Se puede instalar en aviones entregados anteriormente". [119]
El 5 de mayo de 2019, The Wall Street Journal informó que Boeing sabía de los problemas existentes con el sistema de control de vuelo un año antes del accidente de Lion Air. [120] Boeing defendió que "ni el indicador de ángulo de ataque ni la alerta de desacuerdo de AoA son necesarios para la operación segura del avión". Boeing reconoció que el software defectuoso no se implementó según sus especificaciones como una "característica estándar e independiente". Boeing declaró: "... los aviones de producción MAX tendrán una alerta de desacuerdo de AoA activada y operable y un indicador de ángulo de ataque opcional. Todos los clientes con aviones MAX entregados previamente tendrán la capacidad de activar la alerta de desacuerdo de AoA". [114] El director ejecutivo de Boeing, Muilenburg, dijo que la comunicación de la compañía sobre la alerta "no fue consistente. Y eso es inaceptable". [121] [114]
Boeing publicó un artículo en la revista Aero sobre los sistemas AoA, "Uso operativo del ángulo de ataque en aviones comerciales modernos":
El indicador AoA se puede utilizar para ayudar con indicaciones de velocidad aerodinámica poco confiables como resultado de puertos de Pitot o estáticos bloqueados y puede proporcionar conocimiento adicional de la situación y la configuración a la tripulación de vuelo. [100]
Boeing anunció un cambio de política en las Preguntas frecuentes ( FAQ ) sobre el trabajo correctivo del MAX: "Con la actualización del software, a los clientes no se les cobra por la función de desacuerdo de AoA ni por su selección de la opción del indicador de AoA". [122]
En 1996, la NTSB emitió la Recomendación de seguridad A-96-094.
A LA ADMINISTRACIÓN FEDERAL DE AVIACIÓN (FAA): Exigir que todas las aeronaves de categoría de transporte presenten a los pilotos información sobre el ángulo de ataque en formato visual, y que todos los transportistas aéreos capaciten a sus pilotos para utilizar dicha información para obtener el máximo rendimiento posible de ascenso del avión.
La NTSB también declaró sobre otro accidente ocurrido en 1997 que "una indicación del ángulo de ataque en la cabina de vuelo habría mantenido a la tripulación de vuelo al tanto de la condición de pérdida y habría proporcionado una indicación directa de las actitudes de cabeceo requeridas para la recuperación durante toda la secuencia de recuperación de pérdida intentada". La NTSB también creía que el accidente podría haberse evitado si se hubiera presentado una indicación directa del ángulo de ataque a la tripulación de vuelo (NTSB, 1997)." [123] : 29
A principios de abril de 2019, Boeing informó de un problema con el software que afectaba a los flaps y a otros equipos de control de vuelo, no relacionado con el MCAS; clasificado como crítico para la seguridad del vuelo, la FAA ordenó a Boeing que solucionara el problema en consecuencia. [124] En octubre de 2019, la EASA sugirió realizar más pruebas sobre las revisiones propuestas a los ordenadores de control de vuelo debido a sus preocupaciones sobre partes de las correcciones propuestas al MCAS. [125] Los cambios necesarios para mejorar la redundancia entre los dos ordenadores de control de vuelo han demostrado ser más complejos y requieren más tiempo que las correcciones para el problema original del MCAS, lo que retrasa cualquier reintroducción al servicio más allá de la fecha prevista originalmente. [126]
En enero de 2020, se descubrieron nuevos problemas de software que afectaban el monitoreo del proceso de inicio de la computadora de vuelo y la verificación de la preparación para el vuelo. [127] En abril de 2020, Boeing identificó nuevos riesgos en los que el sistema de compensación podría ordenar involuntariamente bajar la nariz durante el vuelo o desconectar prematuramente el piloto automático. [128]
Los sistemas MAX están integrados en la cabina de vuelo de prueba "e-cab", un simulador construido para el desarrollo del MAX. [129] [130] En junio de 2019, "en un simulador especial de Boeing que está diseñado para revisiones de ingeniería", [131] los pilotos de la FAA realizaron un escenario de prueba de estrés -una condición anormal identificada a través de FMEA después de que se implementó la actualización del MCAS [132] - para evaluar el efecto de una falla en un microprocesador: como se esperaba del escenario, el estabilizador horizontal apuntó la nariz hacia abajo. Aunque el piloto de prueba finalmente recuperó el control, el sistema tardó en responder a los pasos adecuados de la lista de verificación del estabilizador fuera de control. Boeing inicialmente clasificó esto como un peligro "importante", y la FAA lo actualizó a una calificación "catastrófica" mucho más severa. Boeing declaró que el problema se puede solucionar en el software. [133] El cambio de software no estará listo para su evaluación hasta al menos septiembre de 2019. [134] El director de la EASA, Patrick Ky, dijo que la modernización de hardware adicional es una opción a considerar. [19]
El escenario de prueba simuló un evento que alternaba cinco bits en la computadora de control de vuelo. Los bits representan indicadores de estado, como si el MCAS está activo o si el motor de ajuste de cola está activado. Los ingenieros pudieron simular alteraciones de un solo evento e inducir artificialmente la activación del MCAS manipulando estas señales. Este tipo de falla ocurre cuando los bits de memoria cambian de 0 a 1 o viceversa, lo cual es algo que puede ser causado por rayos cósmicos que golpean el microprocesador. [135]
El escenario de falla era conocido antes de que el MAX entrara en servicio en 2017: había sido evaluado en un análisis de seguridad cuando el avión fue certificado. Boeing había concluido que los pilotos podrían realizar un procedimiento para apagar el motor que impulsa el estabilizador para superar el movimiento de morro hacia abajo. [136] El escenario también afecta a los aviones 737NG , aunque presenta menos riesgo que en el MAX; en el NG, mover el yugo contrarresta cualquier entrada no comandada del estabilizador , pero esta función se omite en el MAX para evitar anular el propósito del MCAS. [137] Boeing también dijo que estaba de acuerdo con los requisitos adicionales que la FAA le exigió que cumpliera, y agregó que estaba trabajando para resolver el riesgo de seguridad. No ofrecerá el MAX para la certificación hasta que se hayan cumplido todos los requisitos. [133]
Los primeros informes de noticias fueron inexactos al atribuir el problema a un microprocesador 80286 [138] sobrecargado con datos, aunque a abril de 2020 sigue existiendo la preocupación de que el software MCAS esté sobrecargando las computadoras del 737 MAX. [139]
A partir de 2019 [update], las dos computadoras de control de vuelo del Boeing 737 nunca verificaron las operaciones de la otra; es decir, cada una era un solo canal no redundante. Esta falta de robustez existió desde la implementación temprana y persistió durante décadas. [135] El sistema de control de vuelo actualizado utilizará ambas computadoras de control de vuelo y comparará sus salidas. Este cambio a un sistema redundante de dos canales a prueba de fallas , con cada computadora usando un conjunto independiente de sensores, es un cambio radical con respecto a la arquitectura utilizada en los 737 desde la introducción en el modelo anterior 737-300 en la década de 1980. Hasta el MAX en su versión anterior a la puesta a tierra, el sistema alterna entre computadoras después de cada vuelo. [135] La arquitectura de las dos computadoras permitía cambiar en vuelo si la computadora operativa fallaba, lo que aumentaba la disponibilidad. En la arquitectura revisada, Boeing requirió que las dos computadoras se monitorearan entre sí para que cada una pudiera examinar a la otra. [126]
En enero de 2020, durante las pruebas de vuelo, Boeing descubrió un problema con una luz indicadora; el defecto se atribuyó al "rediseño de las dos computadoras de vuelo que controlan el 737 MAX para hacerlas más resistentes a las fallas". El indicador, que señala un problema con el sistema de compensación , puede permanecer encendido más tiempo del previsto por el diseño. [140] [141]
En noviembre de 2020, una Directiva de Aeronavegabilidad requirió acciones correctivas a las leyes de control de vuelo del avión (incorporadas en el software del Sistema de Ajuste de Velocidad):
- Las nuevas leyes de control de vuelo ahora requieren la entrada de ambos sensores AOA para activar el MCAS. También comparan las entradas de los dos sensores y, si esas entradas difieren significativamente (más de 5,5 grados durante un período de tiempo específico), desactivarán el sistema de compensación de velocidad (STS), que incluye el MCAS, durante el resto del vuelo y proporcionarán una indicación correspondiente de esa desactivación en la cabina de vuelo.
- Las nuevas leyes de control de vuelo ahora permiten solo una activación del MCAS por cada evento detectado de AOA alto y limitan la magnitud de cualquier comando del MCAS para mover el estabilizador horizontal de modo que la posición resultante del estabilizador preserve la capacidad de la tripulación de vuelo para controlar el cabeceo del avión utilizando solo la columna de control. Esto significa que el piloto tendrá suficiente autoridad de control sin la necesidad de realizar entradas eléctricas o manuales para ajustar el estabilizador .
- Las nuevas leyes de control de vuelo también incluyen el monitoreo de la integridad de la Computadora de Control de Vuelo (FCC) del desempeño de cada FCC y el monitoreo entre FCC, que detecta y detiene los comandos de ajuste del estabilizador generados erróneamente por la FCC (incluido el MCAS) [142].
El 21 de enero de 2019, Boeing presentó una propuesta de mejora del software MCAS a la FAA para su certificación. Hasta la fecha, la FAA ha probado esta mejora en el sistema de control de vuelo del 737 MAX tanto en el simulador como en la aeronave. Las pruebas, que fueron realizadas por ingenieros de pruebas de vuelo y pilotos de pruebas de vuelo de la FAA, incluyeron situaciones de pérdida aerodinámica y procedimientos de recuperación. La revisión en curso por parte de la FAA de la instalación y capacitación de este software es una prioridad de la agencia, al igual que la implementación de cualquier software, capacitación u otras medidas para los operadores del 737 MAX.
{{cite press release}}: Verificar |url=valor ( ayuda )
Este artículo incorpora material de dominio público de sitios web o documentos de la Junta Nacional de Seguridad del Transporte .Sur les courbes, Sylvain Alarie et Gilles Primeau observent un glissement Progressif de 0,2 grados del estabilizador horizontal. Ça peut sembler peu,
«
mais c'est un ordre de grandeur supérieur à ce qui est normalement permis quand on conçoit des systèmes comme ceux-ci
»
, dijo Gilles Primeau.
«
Ces mouvements sont facilement observables, et, selon nous, selon le règlement 395A, ne devraient pas avoir lieu.
»
Este artículo incorpora texto de esta fuente, que se encuentra en el dominio público .{{cite web}}: CS1 maint: multiple names: authors list (link) CS1 maint: numeric names: authors list (link) Este artículo incorpora material de dominio público de Directivas de aeronavegabilidad; The Boeing Company Airplanes. Administración Federal de Aviación . Consultado el 12 de diciembre de 2020 .El MCAS se diseñó utilizando datos de solo uno de los sensores porque sabíamos que la FAA no habría certificado un sistema de dos sensores sin capacitación de nivel D [simulador]