Was genau ist mit den Flugcomputern auf XL Airways Deutschland Flug 888T passiert?

Tl;dr war es im direkten Recht, weil die Luftdaten inkonsistent waren und das Fahrwerk ausgefahren war.

Für eine vollständige Antwort darauf, warum das Flugzeug getan hat, was es getan hat, werde ich ein paar Fragen nacheinander beantworten.

Warum haben die Flugcomputer den guten Sensor verworfen und die eingefrorenen verwendet?

Die Werte der Sensoren werden den Steuerrechnern von der ADIRU (air data and inertial reference unit) zugeführt. Es gibt drei ADIRUs, die jeweils drei redundanten Sensorsystemen entsprechen. Teil der ADIRU ist die ADR (Air Data Reference). Der ADR ist dafür verantwortlich, die Gültigkeit der Werte zu bestimmen, die von den Luftdatensensoren (Staurohr, statische Öffnung und AoA-Flügel) kommen, diese Werte von lokaler AoA zu Flugzeug-AoA zu korrigieren und die Werte an die Steuercomputer weiterzuleiten. ( Die lokale AoA am Sensorort ist nicht unbedingt die gleiche wie die gesamte Flugzeug-AoAaufgrund ihrer Positionierung in der Ebene.) Jeder ADR verwendet zwei Resolver für jeden Sensor und vergleicht diese Werte auf Konsistenz. Zusammen mit dem Wert sendet es auch eine Anzeige, ob die Werte gültig sind oder nicht, an die Steuercomputer.

Der ELAC (Höhenruder/Querruder-Computer), der die Bewegung der Flugflächen steuert, nimmt die Werte von jeder ADIRU und vergleicht sie mit dem Mittelwert. Wenn ein Sensor über eine bestimmte Schwelle hinaus vom Mittelwert abweicht, geht er von einem Sensorausfall aus und weist die Eingabe zurück. Es verwendet dann den Durchschnittswert der anderen beiden.

Unglücklicherweise für die Besatzung von XL888t erwartet diese Methode einen einzelnen Sensorausfall. Wenn zwei Sensoren bei gleichem oder ähnlichem Wert ausfallen, weist das System den funktionierenden Sensor zurück. Es gibt wirklich keine Möglichkeit, dies zu überwinden, aber es ist äußerst unwahrscheinlich, dass zwei Sensoren bei demselben Wert ausfallen.

Warum haben sich die Kontrollgesetze verschlechtert?

Das ist eigentlich der Kern der Frage. Das ELAC bestimmt die Kontrollgesetze. Es verwendet Informationen aus der Flugzeugkonfiguration (Klappen, Vorflügel, Luftbremsen, Fahrwerk) und die Ausgabe der ADIRU, um zu bestimmen, wie die Steuereingaben des Piloten zu interpretieren sind. Es verwendet diese Informationen, um die α-Schutzgeschwindigkeiten (α-Schutz, α-Boden und VLS) zu bestimmen und wann der automatische Hüllschutz aktiviert werden soll.

Normalerweise erhöht sich die AoA, wenn das Flugzeug langsamer wird, es sei denn, es wird eine Eingabe mit der Nase nach unten gegeben. Im Fall von XL888t versuchten die Piloten absichtlich, das Flugzeug in einen Strömungsabriss zu versetzen, um den α-Schutz zu demonstrieren. Das Höhenruder und der Stabilisator befanden sich in vollständig angehobener Position und die Triebwerke wurden verlangsamt. Der ELAC lässt diese Position zu, bis er die berechneten Werte für den α-Schutz erreicht. In diesem Fall änderte sich die AoA nicht. Wenn die vom ELAC verwendeten Parameter ihre Schwellenwerte so weit überschreiten, kann das ELAC die erforderlichen Berechnungen nicht mehr durchführen, so dass die α-Schutzmaßnahmen deaktiviert werden und das Steuergesetz zum Wechsel herabgesetzt wird.

Warum ging es also in das direkte Recht?

Der Test, den die Besatzung zu dieser Zeit durchführte, war eine Überprüfung bei niedriger Geschwindigkeit in der Landekonfiguration , mit automatischer Trimmung usw., außer ohne α-Schutzvorrichtungen. Aber wenn das Fahrwerk ausgefahren ist, schaltet die Pitch-Steuerung auf direktes Recht und die automatische Trimmung wird deaktiviert. Die Warnung „USE MAN PITCH TRIM" wird auf dem PFD angezeigt. Es ist die des Piloten Nichtbeachten dieser Warnung, die zum Absturz führte.

Warum die Kontrollgesetze so gestaltet sind, kann ich nicht sagen. Vielleicht kann jemand anderes erklären, warum Airbus diese Wahl getroffen hat.

Hinweis: Alle diese Informationen wurden dem BAE-Abschlussbericht entnommen .

Was genau mit den Flugcomputern passiert ist, ist auf Wikipedia treffend zusammengefasst :

Einige Computer des Flugzeugs erhielten widersprüchliche Informationen und arbeiteten im eingeschränkten Modus, in dem einige Schutzmaßnahmen nicht verfügbar waren.

Genauer gesagt: Zwei von drei Anstellwinkelsensoren sind eingefroren und außer Funktion gesetzt worden. Die Systemlogik wurde so ausgelegt, dass Sensorwerte, die erheblich von den anderen abweichen, zurückgewiesen werden. Dieses Prinzip führte im konkreten Fall zur Ablehnung des einzigen funktionierenden Anstellwinkelsensors und zur Annahme der beiden fehlerhaften, die ähnliche Werte lieferten, aber seit dem Reiseflug hängen geblieben sind. Dies wiederum führte zu fehlerhaften Grenzgeschwindigkeitsberechnungen, zudem war eine Überziehwarnung im Normalrecht nicht möglich.

All dies führte zu einer verschlechterten Funktionalität automatisierter Systeme, einige Stall-Schutzfunktionen waren nicht verfügbar. Die Überziehwarnung war jedoch weiterhin verfügbar und wurde in der letzten Phase des Fluges ausgelöst.

Die Ergebnisse des offiziellen Berichts geben der Auslegung der Systeme keine Schuld. Alle Feststellungen unter „Faktoren, die zum Unfall beigetragen haben“ sind Handlungen/Entscheidungen der Flugbesatzung und die „fehlende Konsequenz bei der Spülaufgabe im Flugzeugreinigungsverfahren“.

Eine Empfehlung gibt es jedoch bezüglich der Flugcomputer:

Dass die EASA eine Sicherheitsstudie im Hinblick auf die Verbesserung der Zertifizierungsstandards von Warnsystemen für Besatzungen während Umkonfigurationen von Flugsteuerungssystemen oder die Ausbildung von Besatzungen bei der Identifizierung dieser Umkonfigurationen und der Bestimmung der unmittelbaren betrieblichen Folgen durchführt.