El Sistema de aumento de características de maniobra ( MCAS ) es una función de estabilización de vuelo desarrollada por Boeing que se hizo famosa por su papel en dos accidentes fatales del 737 MAX en 2018 y 2019, en los que murieron los 346 pasajeros y tripulantes de ambos vuelos.
Debido a que el motor CFM International LEAP utilizado en el 737 MAX era más grande y estaba montado más adelante del ala y más alto del suelo que en generaciones anteriores del 737, Boeing descubrió que el avión tenía tendencia a empujar el morro hacia arriba cuando operaba en un porción específica de la envolvente de vuelo (flaps arriba, ángulo de ataque alto, vuelo manual). MCAS estaba destinado a imitar el comportamiento de vuelo del anterior Boeing 737 Next Generation . La compañía indicó que este cambio eliminó la necesidad de que los pilotos tuvieran entrenamiento en simulador en el nuevo avión. [ cita necesaria ]
Después del fatal accidente del vuelo 610 de Lion Air en 2018, Boeing y la Administración Federal de Aviación (FAA) remitieron a los pilotos a una lista de verificación revisada de ajuste fuera de control que deben realizar en caso de mal funcionamiento. Luego, Boeing recibió muchas solicitudes de más información y reveló la existencia del MCAS en otro mensaje y que podría intervenir sin la participación del piloto. [1] [2] Según Boeing, el MCAS se implementó para compensar un ángulo de ataque excesivo ajustando el estabilizador horizontal antes de que la aeronave potencialmente se detuviera . Boeing negó que el MCAS fuera un sistema anti- pérdida y enfatizó que su objetivo era mejorar el manejo de la aeronave mientras operaba en una porción específica de la envolvente de vuelo. Tras el accidente del vuelo 302 de Etiopía Airlines en 2019, las autoridades etíopes declararon que el procedimiento no permitió a la tripulación evitar el accidente; sin embargo, una investigación más exhaustiva reveló que los pilotos no siguieron el procedimiento correctamente. [3] La Administración de Aviación Civil de China ordenó entonces la inmovilización de todos los aviones 737 MAX en China, lo que provocó más inmovilizaciones en todo el mundo .
Boeing admitió que el MCAS jugó un papel en ambos accidentes, cuando actuó sobre datos falsos de un sensor de ángulo único de ataque (AoA). En 2020, la FAA, Transport Canada y la Agencia de Seguridad Aérea de la Unión Europea (EASA) evaluaron los resultados de las pruebas de vuelo con el MCAS desactivado y sugirieron que el MAX podría no haber necesitado el MCAS para cumplir con los estándares de certificación. [4] Más tarde ese año, una Directiva de Aeronavegabilidad de la FAA [5] aprobó cambios de diseño para cada avión MAX, lo que evitaría la activación del MCAS a menos que ambos sensores AoA registren lecturas similares, eliminaría la capacidad del MCAS de activarse repetidamente y permitiría a los pilotos anular el sistema si necesario. La FAA comenzó a exigir que todos los pilotos de MAX realicen capacitación relacionada con MCAS en simuladores de vuelo para 2021.
En la década de 1960, se instaló en el Boeing 707 un sistema básico de control de cabeceo conocido como stick shaker para evitar la pérdida . [6]
Posteriormente, en el avión cisterna militar de reabastecimiento de combustible Boeing KC-46 Pegasus se implementó un sistema similar para evitar la pérdida, en este caso específicamente llamado Sistema de Aumento de Características de Maniobra (MCAS) . [7] El KC-46, que se basa en el Boeing 767 , requiere MCAS porque el peso y el equilibrio cambian cuando el camión cisterna redistribuye y descarga combustible. [7] En ese avión, el MCAS se anula y desactiva cuando un piloto hace un movimiento con la palanca. [7]
Se desarrolló otra implementación del MCAS para el Boeing 737 MAX, porque sus motores más grandes y reposicionados cambiaron las características de vuelo del avión en comparación con las generaciones 737 anteriores. [8] [9] Cuando un sensor de ángulo único de ataque (AoA) indicaba que el ángulo era demasiado alto, el MCAS ajustaba el estabilizador horizontal en la dirección de morro hacia abajo. [10] Boeing hizo esto para cumplir el objetivo de la compañía de minimizar los requisitos de capacitación para los pilotos ya calificados en el 737NG, lo que Boeing consideró que haría que la nueva variante fuera más atractiva para los clientes de aviones que preferirían no soportar los costos de la capacitación diferenciada. [11] Sin embargo, según entrevistas con directores de agencias que describen las evaluaciones realizadas después de que ocurrieran los accidentes inducidos por el MCAS, tanto la FAA como la EASA sintieron que la aeronave habría tenido una estabilidad aceptable sin el MCAS. [11]
En el vuelo 610 de Lion Air y en el vuelo 302 de Ethiopian Airlines , los investigadores determinaron que el MCAS se activó por entradas de AoA falsamente altas, como si el avión se hubiera inclinado excesivamente. En ambos vuelos, poco después del despegue, el MCAS activó repetidamente el motor de compensación del estabilizador horizontal para empujar hacia abajo el morro del avión. [12] [13] [14] [15] Los datos satelitales de los vuelos mostraron que los aviones luchaban por ganar altitud. [16] Los pilotos informaron dificultades para controlar el avión y pidieron regresar al aeropuerto. [17] [18] Se ha descubierto que la implementación del MCAS interrumpe las operaciones del piloto automático . [19]
El 11 de marzo de 2019, después de que China dejara en tierra el avión, [20] Boeing publicó algunos detalles de los nuevos requisitos del sistema para el software MCAS y para las pantallas de la cabina, que comenzó a implementar a raíz del accidente anterior cinco meses antes: [ 12]
El 27 de marzo, Daniel Elwell , administrador interino de la FAA, testificó ante el Comité Senatorial de Comercio, Ciencia y Transporte, diciendo que el 21 de enero, "Boeing presentó una propuesta de mejora del software MCAS a la FAA para su certificación... La FAA ha probado esta mejora en el sistema de control de vuelo del 737 MAX tanto en el simulador como en la aeronave. La prueba, que fue realizada por ingenieros de pruebas de vuelo y pilotos de pruebas de vuelo de la FAA, incluyó situaciones de pérdida aerodinámica y procedimientos de recuperación. [21] Después de una serie de retrasos, el software MCAS actualizado se entregó a la FAA en mayo de 2019. [22] [23] El 16 de mayo, Boeing anunció que la actualización de software completa estaba esperando la aprobación de la FAA. [24] [25] El software de vuelo se sometió a 360 horas de pruebas en 207 vuelos. [26] Boeing también actualizó los procedimientos existentes para la tripulación. [12]
El 4 de abril de 2019, Boeing reconoció públicamente que el MCAS jugó un papel en ambos accidentes. [27]
La FAA y Boeing cuestionaron los informes de los medios que describen al MCAS como un sistema anti-pérdida , lo que Boeing afirmó claramente que no lo es, sino que es un sistema diseñado para proporcionar cualidades de manejo para el piloto que satisfagan sus preferencias. [28] [29] [30] [31] El avión tuvo que funcionar bien en una prueba de pérdida a baja velocidad. [32] La Revisión Técnica de las Autoridades Conjuntas (JATR) "considera que las funciones STS /MCAS y de cambio de sensación del elevador (EFS) podrían considerarse como sistemas de identificación de pérdida o sistemas de protección de pérdida, dependiendo de las características naturales (no aumentadas) de pérdida de la aeronave. ".
El JATR dijo: "El MCAS usó el estabilizador para cambiar la sensación de fuerza de la columna, no para compensar la aeronave. Este es un caso de uso de la superficie de control de una manera nueva que las regulaciones nunca tuvieron en cuenta y deberían haber requerido un documento temático para un análisis más detallado. por la FAA Si el personal técnico de la FAA hubiera estado plenamente consciente de los detalles de la función MCAS, el equipo JATR cree que la agencia probablemente habría requerido un documento informativo para usar el estabilizador de una manera que no se había usado anteriormente; [podría haber] identificado el potencial del estabilizador para dominar el ascensor". [33]
El Sistema de aumento de características de maniobra (MCAS) es una ley de control de vuelo [34] integrada en la computadora de control de vuelo del Boeing 737 MAX , diseñada para ayudar a la aeronave a emular las características de manejo del anterior Boeing 737 Next Generation . Según una revisión del equipo de las Autoridades de Aviación Civil (JATR) internacional encargada por la FAA, el MCAS puede ser un sistema de identificación o protección de pérdida, dependiendo de las características de pérdida natural (no aumentada) de la aeronave. [33] [35] [36] Boeing consideró que el MCAS era parte del sistema de control de vuelo y optó por no describirlo en el manual de vuelo ni en los materiales de capacitación, basándose en la filosofía de diseño fundamental de mantener elementos comunes con el 737NG . Minimizar las diferencias funcionales entre las variantes de aviones Boeing 737 MAX y Next Generation permitió que ambas variantes compartieran la misma habilitación de tipo . Por lo tanto, las aerolíneas pueden ahorrar dinero empleando y capacitando a un grupo de pilotos para volar ambas variantes del Boeing 737 indistintamente. [37]
Cuando se activa, el MCAS activa directamente el estabilizador horizontal , que es distinto de un dispositivo anti-pérdida, como un empujador de palanca , que mueve físicamente la columna de control del piloto hacia adelante y activa los elevadores del avión cuando el avión se acerca a una pérdida.
El ex director ejecutivo de Boeing, Dennis Muilenburg, dijo que "[MCAS] ha sido informado o descrito como un sistema anti-pérdida, lo cual no lo es. Es un sistema que está diseñado para proporcionar cualidades de manejo al piloto que satisfacen sus preferencias". [31]
Los motores CFM LEAP-1B de mayor tamaño del 737 MAX están instalados más adelante y más arriba que en los modelos anteriores. El efecto aerodinámico de sus góndolas contribuye a la tendencia del avión a inclinarse en ángulos de ataque elevados (AOA). El MCAS está destinado a compensar en tales casos, modelando el comportamiento de cabeceo de modelos anteriores y cumpliendo con un cierto requisito de certificación, [32] con el fin de mejorar las características de manejo y minimizar así la necesidad de un reentrenamiento significativo del piloto. [38] [39] [31]
El código de software para la función MCAS y la computadora para ejecutar el software son construidos según las especificaciones de Boeing por Collins Aerospace, anteriormente Rockwell Collins . [40]
Como medida correctiva automatizada, al MCAS se le otorgó plena autoridad para bajar el morro del avión y no podía ser anulado por la resistencia del piloto contra la rueda de control como en versiones anteriores del 737. [41] Tras el accidente de Lion Air, Boeing emitió un Boletín del Manual de Operaciones (OMB) [42] el 6 de noviembre de 2018, para describir las numerosas indicaciones y efectos resultantes de datos AOA erróneos y proporcionó instrucciones para apagar el sistema de compensación motorizado durante el resto del vuelo y, en su lugar, compensar manualmente. Hasta que Boeing complementó los manuales [43] y la formación, los pilotos desconocían la existencia del MCAS debido a su omisión en el manual de tripulación y su nula cobertura en la formación. [41] Boeing nombró y reveló públicamente por primera vez la existencia de MCAS en el 737 MAX en un mensaje a los operadores de aerolíneas y otros intereses de la aviación el 10 de noviembre de 2018, doce días después del accidente de Lion Air. [44]
Como ocurre con cualquier otro equipo a bordo de una aeronave, la FAA aprueba un "nivel de garantía de diseño" funcional correspondiente a las consecuencias de una falla, utilizando los estándares internacionales SAE ARP4754 y ARP4761 . MCAS fue designado como un sistema de "fallas peligrosas". Esta clasificación corresponde a fallos que provocan "una gran reducción de los márgenes de seguridad" o "lesiones graves o mortales a un número relativamente pequeño de ocupantes", pero nada "catastrófico". [45]
El MCAS fue diseñado con la suposición, aprobada por la FAA, de que los pilotos reaccionarían ante una activación inesperada en tres segundos. [46]
Los parámetros de diseño del MCAS originalmente preveían que se tomarían acciones correctivas automatizadas en casos de AoA y fuerzas g elevadas más allá de las condiciones normales de vuelo. Los pilotos de pruebas rutinariamente llevan los aviones a tales extremos, ya que la FAA exige que los aviones funcionen como se espera. Antes del MCAS, el piloto de pruebas Ray Craig determinó que el avión no volaba suavemente, en parte debido a los motores más grandes. Craig hubiera preferido una solución aerodinámica , pero Boeing decidió implementar una ley de control en el software.
Según un informe del Wall Street Journal , los ingenieros que habían trabajado en el camión cisterna KC-46A Pegasus , que incluye una función MCAS, sugirieron el MCAS al equipo de diseño. [47]
Con el MCAS implementado, el nuevo piloto de pruebas Ed Wilson dijo que "el MAX no se estaba manejando bien cuando se acercaba a la pérdida a bajas velocidades" y recomendó que el MCAS se aplicara en una gama más amplia de condiciones de vuelo. Esto requería que el MCAS funcionara bajo fuerzas g normales y, a velocidades de pérdida, desviara el trimado vertical más rápidamente y en mayor medida, pero ahora lee un solo sensor AoA, creando un único punto de falla que permitía que se activaran datos falsos. MCAS para inclinar el morro hacia abajo y forzar al avión a caer en picado. [48] [38] "Sin darse cuenta, la puerta se abrió a un mal comportamiento grave del sistema durante los momentos ocupados y estresantes inmediatamente después del despegue", dijo Jenkins de The Wall Street Journal . [49]
La FAA no realizó un análisis de seguridad sobre los cambios. Ya había aprobado la versión anterior del MCAS y las reglas de la agencia no requerían que hiciera una segunda revisión porque los cambios no afectaron la forma en que operaba el avión en situaciones extremas. [50]
La Revisión Técnica de las Autoridades Conjuntas encontró que la tecnología no tenía precedentes: "Si el personal técnico de la FAA hubiera sido plenamente consciente de los detalles de la función MCAS, el equipo JATR cree que la agencia probablemente habría requerido un documento temático para usar el estabilizador de una manera que El MCAS no se había utilizado previamente para cambiar la sensación de fuerza de la columna, no para compensar la aeronave. Este es un caso de uso de la superficie de control de una manera nueva que las regulaciones nunca tuvieron en cuenta y deberían haber requerido un documento de edición para más adelante. análisis realizado por la FAA Si se hubiera requerido un documento temático, el equipo JATR cree que probablemente habría identificado el potencial del estabilizador para dominar el ascensor. [33]
En noviembre de 2019, Jim Marko, gerente de integración de aeronaves y evaluación de seguridad de la Subdivisión Nacional de Certificación de Aeronaves del regulador de aviación de Transporte de Canadá, cuestionó la preparación del MCAS. Debido a que seguían surgiendo nuevos problemas, sugirió a sus pares de la FAA, ANAC y EASA que consideraran los beneficios de seguridad de eliminar el MCAS del MAX. [51]
El MCAS fue objeto de escrutinio tras los accidentes mortales del vuelo 610 de Lion Air y del vuelo 302 de Ethiopian Airlines poco después del despegue. La flota mundial de Boeing 737 MAX quedó en tierra por todas las aerolíneas y operadores, y se plantearon una serie de problemas funcionales. [52] [53] [54]
El MCAS desvía el estabilizador horizontal cuatro veces más de lo indicado en el documento de análisis de seguridad inicial. [52] Debido a la cantidad de compensación que el sistema aplica al estabilizador horizontal, las fuerzas aerodinámicas resisten el esfuerzo del control piloto para levantar el morro. Mientras persistan las lecturas defectuosas de AOA, un piloto humano "puede agotarse rápidamente al intentar tirar de la columna hacia atrás". [55] Además, los interruptores para la asistencia de ajuste del estabilizador horizontal ahora tienen el propósito compartido de apagar sistemas automatizados como MCAS, así como los botones de ajuste en el yugo , mientras que en los modelos 737 anteriores cada uno podía apagarse de forma independiente. En las sesiones de simulador, los pilotos quedaron atónitos por el esfuerzo sustancial necesario para sacar manualmente la rueda de compensación de su posición de morro hacia abajo cuando la asistencia de compensación estaba desactivada. [56] [57] [58]
El director ejecutivo de Boeing, Dennis Muilenburg, ha declarado que no hubo "ninguna sorpresa, ni laguna, ni incógnita aquí, ni algo que de alguna manera se haya escapado del proceso de certificación". [59] El 29 de abril de 2019, afirmó que el diseño de la aeronave no tenía fallas y reiteró que fue diseñado según los estándares de Boeing. [60] En una entrevista del 29 de mayo con CBS, Boeing admitió que había cometido un error en la implementación del software y lamentó las malas comunicaciones. [61]
El 26 de septiembre, la Junta Nacional de Seguridad en el Transporte criticó las pruebas inadecuadas del 737 MAX por parte de Boeing y señaló que Boeing hizo suposiciones erróneas sobre la respuesta de los pilotos a las alertas en el 737 MAX, provocadas por la activación del MCAS debido a una señal defectuosa desde un ángulo. Sensor de ataque. [62] [63]
La Revisión Técnica de Autoridades Conjuntas (JATR), un equipo encargado por la FAA para la investigación del 737 MAX, concluyó que la FAA no revisó adecuadamente el MCAS. Boeing no proporcionó información técnica adecuada y actualizada sobre el sistema MCAS a la FAA durante el proceso de certificación del Boeing 737 Max y no llevó a cabo una verificación exhaustiva mediante pruebas de estrés del sistema MCAS. [36] [64]
El 18 de octubre, Boeing entregó una discusión de 2016 entre dos empleados que reveló problemas anteriores con el sistema MCAS. [sesenta y cinco]
Las propias directrices de diseño internas de Boeing relacionadas con el desarrollo del 737 MAX establecían que el sistema "no debería tener ninguna interacción objetable con el pilotaje del avión" y "no interferir con la recuperación en picado". [66] El funcionamiento del MCAS los violó. [67]
El 26 de septiembre de 2019, la Junta Nacional de Seguridad en el Transporte (NTSB) publicó los resultados de su revisión de posibles fallos en el diseño y aprobación del 737 MAX. [68] [69] [70] El informe de la NTSB concluye que los supuestos "que Boeing utilizó en su evaluación de riesgos funcionales de la función MCAS no controlada para el 737 MAX no consideraron ni tuvieron en cuenta adecuadamente el impacto que múltiples alertas e indicaciones en la cabina de vuelo podrían tener sobre las respuestas de los pilotos al peligro". [69] : 8 Cuando Boeing indujo una entrada de ajuste del estabilizador que simuló el movimiento del estabilizador de manera consistente con la función MCAS,
Los modos de falla específicos que podrían conducir a una activación no intencionada del MCAS (como una entrada alta y errónea de AOA al MCAS) no se simularon como parte de estas pruebas de validación de la evaluación de riesgos funcionales. Como resultado, efectos adicionales en la cabina de vuelo (tales como alertas IAS DISAGREE y ALT DISAGREE y activación de vibración de palanca) resultantes de la misma falla subyacente (por ejemplo, AOA erróneo) no fueron simulados y no estaban en el informe de evaluación de seguridad del ajuste del estabilizador revisado por la NTSB." [69] : 5 [71]
La NTSB cuestionó la práctica de larga data de la industria y la FAA de asumir respuestas casi instantáneas de pilotos de prueba altamente capacitados en lugar de pilotos de todos los niveles de experiencia para verificar los factores humanos en la seguridad de las aeronaves. [72] La NTSB expresó su preocupación de que el proceso utilizado para evaluar el diseño original necesita mejoras porque ese proceso todavía se utiliza para certificar diseños de sistemas y aeronaves actuales y futuros. La FAA podría, por ejemplo, tomar muestras aleatorias de grupos de la comunidad de pilotos mundial para obtener una evaluación más representativa de las situaciones de la cabina. [73]
Las actualizaciones propuestas por Boeing se centran principalmente en el software MCAS. [34] En particular, no ha habido declaraciones públicas sobre revertir la funcionalidad de los interruptores de corte del ajuste del estabilizador a la configuración anterior al MAX. Un ingeniero de software veterano y un piloto experimentado sugirieron que los cambios de software pueden no ser suficientes para contrarrestar la ubicación del motor del 737 MAX. [74] El Seattle Times señaló que si bien la nueva solución de software propuesta por Boeing "probablemente evitará que esta situación se repita, si la investigación preliminar confirma que los pilotos etíopes cortaron el sistema automático de control de vuelo, esto sigue siendo un resultado de pesadilla para Boeing". y la FAA sugeriría que el procedimiento de emergencia establecido por Boeing y aprobado por la FAA después del accidente de Lion Air es totalmente inadecuado y falló a la tripulación de vuelo etíope". [75]
Boeing y la FAA decidieron que la pantalla AoA y una luz de desacuerdo AoA, que señala si los sensores dan lecturas diferentes, no eran características críticas para una operación segura. [76] Boeing cobró más por la adición del indicador AoA a la pantalla principal. [77] [78] En noviembre de 2017, los ingenieros de Boeing descubrieron que la luz estándar de desacuerdo AoA no puede funcionar de forma independiente sin el software indicador AoA opcional, un problema que afecta al 80% de la flota global que no había pedido la opción. [79] [80] La solución de software estaba programada para coincidir con el lanzamiento del 737 MAX 10 alargado en 2020, pero se aceleró con el accidente de Lion Air . Además, el problema no fue revelado a la FAA hasta 13 meses después del hecho. Aunque no está claro si el indicador podría haber cambiado el resultado de los vuelos desafortunados, American Airlines dijo que el indicador de desacuerdo proporcionó seguridad en las operaciones continuas del avión. "Resultó que eso no era cierto". [81]
En febrero de 2016, la EASA certificó el MAX con la expectativa de que los procedimientos y la capacitación del piloto explicaran claramente situaciones inusuales en las que se requeriría la rueda de ajuste manual, rara vez utilizada , para compensar el avión, es decir, ajustar el ángulo del morro; sin embargo, el manual de vuelo original no mencionaba esas situaciones. [82] El documento de certificación EASA hacía referencia a simulaciones en las que los interruptores eléctricos de pulgar eran ineficaces para ajustar adecuadamente el MAX en determinadas condiciones. El documento de la EASA decía que después de las pruebas de vuelo, debido a que los interruptores de pulgar no siempre podían controlar el ajuste por sí solos, a la FAA le preocupaba si el sistema del 737 MAX cumplía con las regulaciones. [83] El manual de vuelo de American Airlines contiene un aviso similar sobre los interruptores de pulgar, pero no especifica las condiciones en las que puede ser necesaria la rueda manual. [83]
El director ejecutivo de Boeing, Muilenburg, cuando se le preguntó sobre la no divulgación del MCAS, citó el procedimiento de "ajuste del estabilizador fuera de control" como parte del manual de capacitación. Añadió que el boletín de Boeing señalaba ese procedimiento de vuelo existente. Boeing considera la lista de verificación de "ajuste del estabilizador fuera de control" como un elemento de memoria para los pilotos. Mike Sinnett, vicepresidente y director general del nuevo avión de mercado medio (NMA) de Boeing desde julio de 2019, describió repetidamente el procedimiento como un "elemento de memoria". [84] Sin embargo, algunas aerolíneas lo ven como un elemento para la tarjeta de referencia rápida. [85] La FAA emitió una recomendación sobre elementos de memoria en una circular de asesoramiento, procedimientos operativos estándar y deberes de monitoreo de pilotos para los miembros de la tripulación de la cubierta de vuelo : "Los elementos de memoria deben evitarse siempre que sea posible. Si el procedimiento debe incluir elementos de memoria, deben identificarse claramente ", Enfatizó en la capacitación, menos de tres elementos, y no debe contener pasos de decisión condicionales." [86]
En noviembre de 2018, Boeing dijo a las aerolíneas que el MCAS no se podía superar tirando hacia atrás de la columna de control para detener un ajuste descontrolado como en los 737 de la generación anterior. [87] Sin embargo, la confusión continuó: el comité de seguridad de una importante aerolínea estadounidense engañó a sus pilotos al decirles que el MCAS podría superarse "aplicando la entrada de la columna de control opuesta para activar los interruptores de corte de la columna". [88] El ex piloto y experto en aviación y seguridad de CBS, Chesley Sullenberger, testificó: "La lógica era que si el MCAS se activaba, tenía que ser porque era necesario, y tirar hacia atrás de la rueda de control no debería detenerlo". [89] En octubre, Sullenberger escribió: "Estas emergencias no se presentaron como un clásico problema de estabilizador fuera de control, sino inicialmente como situaciones ambiguas y poco confiables de velocidad y altitud, enmascarando el MCAS". [90]
En una denuncia legal contra Boeing, la Asociación de Pilotos de Southwest Airlines afirma: [91]
Una falla del MCAS no es como un estabilizador fuera de control. Un estabilizador fuera de control tiene un movimiento continuo y no controlado de la cola, mientras que el MCAS no es continuo y los pilotos (teóricamente) pueden contrarrestar el movimiento de morro hacia abajo, después de lo cual el MCAS movería la cola del avión hacia abajo nuevamente. Además, a diferencia del estabilizador fuera de control, el MCAS desactiva la respuesta de la columna de control a la que los pilotos del 737 se han acostumbrado y en la que confiaban en generaciones anteriores de aviones 737.
.jpg/1280px-Boeing_737-524,_Transaero_Airlines_AN2037840_(stab_trim).jpg){kind=spacer}
En mayo de 2019, The Seattle Times informó que los dos interruptores de corte del estabilizador , ubicados en la consola central, funcionan de manera diferente en el MAX que en el 737 NG anterior. En aviones anteriores, un interruptor de corte desactiva los botones del pulgar en el yugo de control que los pilotos usan para mover el estabilizador horizontal; el otro interruptor de corte desactiva el control automático del estabilizador horizontal mediante piloto automático o STS /MCAS. En el MAX, ambos interruptores están conectados en serie y realizan la misma función: cortan toda la energía eléctrica al estabilizador, tanto desde los botones del yugo como desde un sistema automático.
Por lo tanto, en aviones anteriores es posible desactivar el control automático del estabilizador y aún así emplear asistencia eléctrica accionando los interruptores del yugo . En el MAX, con toda la potencia en el estabilizador cortado, los pilotos no tienen más remedio que utilizar la rueda de ajuste mecánico en la consola central. [92]
Cuando los pilotos tiran de los controles del 737 para levantar el morro del avión, las fuerzas aerodinámicas en el elevador crean una fuerza opuesta, paralizando efectivamente el mecanismo de tornillo nivelador que mueve el estabilizador. [93] A los pilotos les resulta muy difícil girar manualmente la rueda de ajuste . [93] El problema se encontró en versiones anteriores del 737, y en 1982 se documentó una técnica de emergencia de "montaña rusa" para manejar las condiciones de vuelo para el 737-200, pero no apareció en la documentación de entrenamiento para versiones posteriores (incluido el MAX). [93]
Este problema se encontró originalmente a principios de la década de 1980 con el modelo 737-200. Cuando el elevador operaba para subir o bajar la nariz, generaba una fuerte fuerza en el tornillo nivelador que se oponía a cualquier fuerza correctiva de los sistemas de control. Al intentar corregir una desviación no deseada utilizando la rueda de ajuste manual , ejercer suficiente fuerza manual para superar la fuerza ejercida por el elevador se volvió cada vez más difícil a medida que la velocidad y la desviación aumentaban y el tornillo nivelador se atascaba efectivamente en su lugar. [94]
Para el 737-200, se desarrolló una solución alternativa llamada técnica de "montaña rusa". Contrariamente a la intuición, para corregir una desviación excesiva que provoca una inmersión, el piloto primero empuja el morro hacia abajo más, antes de retroceder para levantar suavemente el morro nuevamente. [95] Durante este período de relajación, la deflexión del elevador se reduce o incluso se invierte, su fuerza sobre el tornillo nivelador hace lo mismo y el ajuste manual se alivia. La solución alternativa se incluyó en los procedimientos de emergencia del piloto y en el programa de capacitación. [94]
Si bien el 737 MAX tiene un mecanismo de tornillo nivelador similar, la técnica de la "montaña rusa" se ha eliminado de la información del piloto. Durante los eventos que llevaron a los dos accidentes del MAX, la rigidez de la rueda de compensación manual impidió repetidamente el ajuste manual de la compensación para corregir el cabeceo del morro hacia abajo inducido por el MCAS. El problema se ha puesto en conocimiento de la investigación penal del Departamento de Justicia sobre los accidentes del 737 MAX. [94]
En las pruebas de simulador del escenario de vuelo del vuelo 302 de Ethiopian Airlines , era "imposible" mover la rueda de compensación cuando uno de los pilotos se detenía instintivamente después de una entrada automática de compensación con el morro hacia abajo. Se necesitan 15 vueltas para ajustar manualmente la aeronave un grado, y hasta 40 vueltas para devolver la compensación a neutral desde la entrada de compensación con el morro hacia abajo causada por el MCAS. Tenga en cuenta que en el vuelo de Etiopía, el acelerador automático no se desactivó y la aeronave entró en condiciones de exceso de velocidad a baja altitud, lo que resultó en fuerzas aerodinámicas extrañas en las superficies de control. [96]
El estabilizador horizontal está equipado con un elevador convencional para control de vuelo. Sin embargo, todo se mueve alrededor de un solo pivote y se puede recortar para ajustar su ángulo. La moldura se acciona mediante un mecanismo de tornillo nivelador .
Los ingenieros Sylvain Alarie y Gilles Primeau, expertos en estabilizadores horizontales consultados por Radio-Canada , observaron anomalías en los datos registrados durante los accidentes de Lion Air y Ethiopian Airlines: un desplazamiento progresivo del estabilizador horizontal de 0,2°, antes del accidente. [97] En referencia al vuelo de Ethiopian Airlines, Alarie señaló que sin recibir una orden del MCAS o de los pilotos, el tornillo nivelador se resbaló y luego se resbaló nuevamente cuando el avión aceleró y se zambulló. [97] Primeau señaló que esta deflexión era un orden de magnitud mayor de lo que normalmente se permitiría, y concluyó que estas deflexiones no estaban permitidas por la regulación 395A de la FAA. [97] A estos expertos les preocupa que las cargas sobre el tornillo nivelador hayan aumentado potencialmente desde la creación del 737, cuyas versiones modernas son considerablemente más grandes que el diseño original. [97]
Estos expertos han expresado su preocupación sobre el posible sobrecalentamiento de los motores en abril de 2019. [98]
Durante las inmovilizaciones, vuelos especiales para reposicionar las aeronaves MAX en lugares de almacenamiento, según 14 CFR § 21.197, volaron a menor altitud y con flaps extendidos para evitar la activación del MCAS, en lugar de utilizar el procedimiento de recuperación después del hecho. Estos vuelos requerían una determinada cualificación de piloto, así como el permiso de los reguladores correspondientes, y sin ningún otro tripulante de cabina ni pasajeros. [99] [100]
Según la descripción técnica de Boeing: "el ángulo de ataque (AoA) es un parámetro aerodinámico clave para comprender los límites del rendimiento del avión. Accidentes e incidentes recientes han dado lugar a nuevos programas de entrenamiento de tripulaciones de vuelo, que a su vez han despertado el interés en el AoA. En la aviación comercial, el conocimiento del AOA es de vital importancia cuando el avión se acerca a la pérdida". [101] Chesley Sullenberger dijo que los indicadores AoA podrían haber ayudado en estos dos accidentes. "Es irónico que la mayoría de los aviones modernos miden (ángulo de ataque) y que la información se utiliza a menudo en muchos sistemas de aeronaves, pero no se muestra a los pilotos. En cambio, los pilotos deben inferir (ángulo de ataque) a partir de otros parámetros, deduciéndolo indirectamente. ". [102]
Aunque hay dos sensores en el MAX, solo uno de ellos se usa a la vez para activar la activación del MCAS en el 737 MAX. Cualquier falla en este sensor, tal vez debido a daño físico, [89] crea una falla de un solo punto : el sistema de control de vuelo carece de base alguna para rechazar su entrada como información defectuosa.
Boeing no siempre reconoció los informes sobre un único punto de falla. Dirigiéndose a los pilotos de American Airlines, el vicepresidente de Boeing, Mike Sinnett, contradijo los informes de que el MCAS tuvo una falla en un solo punto, porque los propios pilotos son el respaldo. El periodista Useem dijo en The Atlantic que estaba "mostrando tanto una mala comprensión del término como una ruptura brusca con la práctica de larga data de Boeing de tener múltiples respaldos para cada sistema de vuelo". [103]
Se informaron problemas con el sensor AoA en más de 200 informes de incidentes presentados a la FAA; sin embargo, Boeing no realizó pruebas en vuelo en un escenario en el que no funcionara correctamente. [104]
Los propios sensores están bajo escrutinio. Los sensores del avión Lion Air fueron suministrados por Rosemount Aerospace de United Technologies. [105]
En septiembre de 2019, la EASA dijo que prefiere sensores AoA de triple redundancia en lugar de la doble redundancia en la actualización propuesta de Boeing al MAX. [106] La instalación de un tercer sensor podría ser costosa y llevar mucho tiempo. El cambio, si es obligatorio, podría extenderse a miles de modelos 737 más antiguos en servicio en todo el mundo. [106]
Un ex profesor de la Universidad Aeronáutica Embry-Riddle , Andrew Kornecki, experto en sistemas de redundancia, dijo que operar con uno o dos sensores "estaría bien si todos los pilotos estuvieran suficientemente capacitados sobre cómo evaluar y manejar el avión en caso de evento". de un problema". Pero preferiría construir el avión con tres sensores, como hace Airbus. [107]
En noviembre de 2017, después de varios meses de entregas de MAX, Boeing descubrió que el mensaje AoA Disagree , que indica una posible discrepancia del sensor en la pantalla de vuelo principal , [108] se desactivó involuntariamente. [12]
Clint Balog, profesor de la Universidad Aeronáutica Embry-Riddle, dijo después del accidente de Lion Air: "En retrospectiva, claramente habría sido prudente incluir la advertencia como equipo estándar e informar y capacitar completamente a los operadores sobre el MCAS". [109] Según Bjorn Fehrm, analista aeronáutico y económico de Leeham News and Analysis, "Uno de los principales contribuyentes a la pérdida final del JT610 es la falta de visualización AoA DISAGREE en las pantallas de los pilotos". [110]
El software dependía de la presencia del software de indicador visual, una opción paga que no fue seleccionada por la mayoría de las aerolíneas. [111] Por ejemplo, Air Canada, American Airlines y Westjet habían comprado la alerta de desacuerdo, mientras que Air Canada y American Airlines también compraron, además, el indicador de valor AoA, y Lion Air no tenía ninguno de los dos. [112] [113] Boeing había determinado que el defecto no era crítico para la seguridad o el funcionamiento de la aeronave, y una junta interna de revisión de seguridad (SRB) corroboró la evaluación previa de Boeing y su plan inicial para actualizar la aeronave en 2020. Boeing no reveló el desertó a la FAA hasta noviembre de 2018, a raíz del accidente de Lion Air. [114] [115] [116] [117] En consecuencia, Southwest había informado a los pilotos que toda su flota de aviones MAX 8 recibirá las actualizaciones opcionales. [118] [119] En marzo de 2019, después del segundo accidente del vuelo 302 de Ethiopian Airlines, un representante de Boeing dijo a la revista Inc .: "Se ha informado a los clientes que la alerta AoA Disagree se convertirá en una característica estándar en el 737 MAX. Puede ser modernizado en aviones entregados anteriormente." [120]
El 5 de mayo de 2019, The Wall Street Journal informó que Boeing sabía de problemas existentes con el sistema de control de vuelo un año antes del accidente de Lion Air. [121] Boeing defendió que "Ni el indicador de ángulo de ataque ni la alerta AoA Disagree son necesarios para la operación segura del avión". Boeing reconoció que el software defectuoso no se implementó según sus especificaciones como una "función estándar e independiente". Boeing declaró: "... los aviones de producción MAX tendrán una alerta AoA Disagree activada y operable y un indicador de ángulo de ataque opcional. Todos los clientes con aviones MAX entregados previamente tendrán la capacidad de activar la alerta AoA Disagree". [115] El director ejecutivo de Boeing, Muilenburg, dijo que la comunicación de la compañía sobre la alerta "no fue consistente. Y eso es inaceptable". [122] [115]
Boeing publicó un artículo en la revista Aero sobre los sistemas AoA, "Uso operativo del ángulo de ataque en aviones comerciales modernos":
El indicador AoA se puede utilizar para ayudar con indicaciones de velocidad aérea poco confiables como resultado de pitot bloqueado o puertos estáticos y puede proporcionar conocimiento adicional de la situación y la configuración a la tripulación de vuelo. [101]
Boeing anunció un cambio de política en las Preguntas frecuentes ( FAQ ) sobre el trabajo correctivo de MAX: "Con la actualización de software, a los clientes no se les cobra por la función AoA Disagree o por la selección de la opción del indicador AoA". [123]
En 1996, la NTSB emitió la Recomendación de seguridad A-96-094.
A LA ADMINISTRACIÓN FEDERAL DE AVIACIÓN (FAA): Exigir que todas las aeronaves de categoría de transporte presenten a los pilotos información sobre el ángulo de ataque en un formato visual, y que todas las compañías aéreas capaciten a sus pilotos para utilizar la información para obtener el máximo rendimiento posible de ascenso del avión.
La NTSB también declaró sobre otro accidente en 1997, que "una exhibición del ángulo de ataque en la cabina de vuelo habría mantenido a la tripulación consciente de la condición de pérdida y habría proporcionado una indicación directa de las actitudes de cabeceo necesarias para la recuperación durante el intento de pérdida". secuencia de recuperación." La NTSB también creía que el accidente podría haberse evitado si se hubiera presentado una indicación directa de AoA a la tripulación de vuelo (NTSB, 1997)". [124] : 29
A principios de abril de 2019, Boeing informó de un problema con el software que afectaba a los flaps y otro hardware de control de vuelo, no relacionado con el MCAS; clasificado como crítico para la seguridad del vuelo, la FAA ha ordenado a Boeing que solucione el problema en consecuencia. [125] En octubre de 2019, la EASA sugirió realizar más pruebas en las revisiones propuestas para las computadoras de control de vuelo debido a sus preocupaciones sobre partes de las correcciones propuestas para el MCAS. [126] Los cambios necesarios para mejorar la redundancia entre las dos computadoras de control de vuelo han resultado más complejos y requieren más tiempo que las correcciones para el problema original del MCAS, retrasando cualquier reintroducción al servicio más allá de la fecha originalmente prevista. [127]
En enero de 2020, se descubrieron nuevos problemas de software que afectaron el seguimiento del proceso de inicio de la computadora de vuelo y la verificación de la preparación para el vuelo. [128] En abril de 2020, Boeing identificó nuevos riesgos en los que el sistema de compensación podría ordenar involuntariamente bajar el morro durante el vuelo o desconectar prematuramente el piloto automático. [129]
Los sistemas MAX están integrados en la plataforma de vuelo de prueba "e-cab", un simulador construido para desarrollar el MAX. [130] [131] En junio de 2019, "en un simulador especial de Boeing diseñado para revisiones de ingeniería", [132] los pilotos de la FAA realizaron un escenario de prueba de estrés : una condición anormal identificada a través de FMEA después de que se implementó la actualización del MCAS [133] – para evaluar el efecto de un fallo en un microprocesador: como se esperaba en el escenario, el estabilizador horizontal apuntaba hacia abajo. Aunque el piloto de pruebas finalmente recuperó el control, el sistema tardó en responder a los pasos adecuados de la lista de verificación del estabilizador fuera de control. Boeing inicialmente clasificó esto como un peligro "importante", y la FAA lo elevó a una calificación de "catastrófico" mucho más grave. Boeing afirmó que el problema se puede solucionar mediante software. [134] El cambio de software no estará listo para su evaluación hasta al menos septiembre de 2019. [135] El director de EASA, Patrick Ky, dijo que la modernización de hardware adicional es una opción a considerar. [19]
El escenario de prueba simuló un evento que alternaba cinco bits en la computadora de control de vuelo. Los bits representan indicadores de estado, como si el MCAS está activo o si el motor de compensación de la cola está energizado. Los ingenieros pudieron simular perturbaciones de eventos únicos e inducir artificialmente la activación del MCAS manipulando estas señales. Tal falla ocurre cuando los bits de memoria cambian de 0 a 1 o viceversa, lo cual puede ser causado por rayos cósmicos que golpean el microprocesador. [136]
El escenario del fallo se conocía antes de que el MAX entrara en servicio en 2017: había sido evaluado en un análisis de seguridad cuando el avión fue certificado. Boeing había llegado a la conclusión de que los pilotos podrían realizar un procedimiento para apagar el motor que acciona el estabilizador para superar el movimiento de morro hacia abajo. [137] El escenario también afecta a los aviones 737NG , aunque presenta menos riesgo que en el MAX; en el NG, mover el yugo contrarresta cualquier entrada no controlada del estabilizador , pero esta función se omite en el MAX para evitar negar el propósito del MCAS. [138] Boeing también dijo que estaba de acuerdo con requisitos adicionales que la FAA le exigía cumplir y añadió que estaba trabajando para resolver el riesgo de seguridad. No ofrecerá el MAX para la certificación hasta que se hayan satisfecho todos los requisitos. [134]
Los primeros informes de noticias fueron inexactos al atribuir el problema a un microprocesador 80286 [139] abrumado con datos, aunque en abril de 2020 persiste la preocupación de que el software MCAS esté sobrecargando las computadoras del 737 MAX. [140]
A partir de 2019 [update], las dos computadoras de control de vuelo del Boeing 737 nunca verificaron las operaciones de cada una; es decir, cada uno era un único canal no redundante. Esta falta de solidez existió desde la implementación inicial y persistió durante décadas. [136] El sistema de control de vuelo actualizado utilizará ambas computadoras de control de vuelo y comparará sus resultados. Este cambio a un sistema redundante de dos canales a prueba de fallas , en el que cada computadora usa un conjunto independiente de sensores, es un cambio radical con respecto a la arquitectura utilizada en los 737 desde la introducción del modelo anterior 737-300 en la década de 1980. Hasta el MAX en su versión previa a la puesta en tierra, el sistema alterna entre computadoras después de cada vuelo. [136] La arquitectura de las dos computadoras permitía cambiar durante el vuelo si la computadora operativa fallaba, aumentando así la disponibilidad. En la arquitectura revisada, Boeing requirió que las dos computadoras se monitorearan entre sí para que cada una pudiera examinar a la otra. [127]
En enero de 2020, durante las pruebas de vuelo, Boeing descubrió un problema con una luz indicadora; El defecto se atribuyó al "rediseño de las dos computadoras de vuelo que controlan el 737 MAX para hacerlas más resistentes a fallas". El indicador, que señala un problema con el sistema de compensación , puede permanecer encendido más tiempo del previsto por diseño. [141] [142]
En noviembre de 2020, una Directiva de Aeronavegabilidad exigía acciones correctivas a las leyes de control de vuelo del avión (incorporadas en el software Speed Trim System):
- Las nuevas leyes de control de vuelo ahora requieren entradas de ambos sensores AOA para activar el MCAS. También comparan las entradas de los dos sensores y, si esas entradas difieren significativamente (más de 5,5 grados durante un período de tiempo específico), desactivarán el sistema de ajuste de velocidad (STS), que incluye MCAS, durante el resto del vuelo y proporcionar una indicación correspondiente de dicha desactivación en el puesto de pilotaje.
- Las nuevas leyes de control de vuelo ahora permiten solo una activación del MCAS por evento de AAO alto detectado y limitan la magnitud de cualquier comando del MCAS para mover el estabilizador horizontal de manera que la posición resultante del estabilizador preserve la capacidad de la tripulación de vuelo para controlar el cabeceo del avión. utilizando sólo la columna de control. Esto significa que el piloto tendrá suficiente autoridad de control sin la necesidad de realizar ajustes de ajuste del estabilizador eléctricos o manuales .
- Las nuevas leyes de control de vuelo también incluyen el monitoreo de la integridad de la computadora de control de vuelo (FCC) del desempeño de cada FCC y el monitoreo entre FCC, que detecta y detiene los comandos erróneos de ajuste del estabilizador generados por la FCC (incluido el MCAS) [143]
El 21 de enero de 2019, Boeing presentó una propuesta de mejora del software MCAS a la FAA para su certificación. Hasta la fecha, la FAA ha probado esta mejora en el sistema de control de vuelo del 737 MAX tanto en el simulador como en la aeronave. Las pruebas, que fueron realizadas por ingenieros de pruebas de vuelo y pilotos de pruebas de vuelo de la FAA, incluyeron situaciones de pérdida aerodinámica y procedimientos de recuperación. La revisión continua por parte de la FAA de la instalación y capacitación de este software es una prioridad de la agencia, al igual que la implementación de cualquier software, capacitación u otras medidas para los operadores del 737 MAX.
{{cite press release}}: Comprobar |url=valor ( ayuda )
Este artículo incorpora material de dominio público de sitios web o documentos de la Junta Nacional de Seguridad en el Transporte .Sur les courbes, Sylvain Alarie y Gilles Primeau observaron un brillo progresivo de 0,2 grados del estabilizador horizontal. Ça peut sembler peu,
«
mais c'est un ordre de grandeur supérieur à ce qui est normalement permis quand on conçoit des systèmes comme ceux-ci
»
, dijo Gilles Primeau.
«
Ces mouvements sont facilement observables, et, selon nous, selon le règlement 395A, ne devraient pas avoir lieu.
»
Este artículo incorpora texto de esta fuente, que se encuentra en el dominio público .{{cite web}}: CS1 maint: multiple names: authors list (link) CS1 maint: numeric names: authors list (link) Este artículo incorpora material de dominio público de las directivas de aeronavegabilidad; Los aviones de la compañía Boeing. Administración Federal de Aviación . Consultado el 12 de diciembre de 2020 .El MCAS se diseñó utilizando datos de solo uno de los sensores porque sabíamos que la FAA no habría certificado un sistema de dos sensores sin capacitación nivel D [simulador].