In generale, ai piloti non piace quando un computer interpreta o limita le loro azioni. Vogliono il controllo finale. Non sempre ottengono ciò che vogliono, ma questa è la loro preferenza.

Se ricordo bene, Boeing tende ad attenersi alla filosofia che "il pilota è l'arbitro finale". È più probabile che Airbus prevenga gli input del pilota e li modifichi.

Sebbene la maggior parte degli incidenti e degli incidenti finisca per essere un errore del pilota, c'è un grave difetto nella modifica degli input del pilota. Quel difetto è nel caso del guasto del sistema.

Per definizione, le modalità di guasto implicano che le cose vadano male. Quando le cose vanno male è effettivamente impossibile pianificare, nell'automazione, per tutte le contingenze. Le persone sono molto più brave a rispondere all'ignoto rispetto ai sistemi di automazione.

Prendiamo ad esempio la regola secondo cui "angoli di inclinazione> 45 gradi sono pericolosi e sono quindi vietati". Come fa l'aereo a sapere che l'angolo di inclinazione è> 45 gradi? Ovviamente è un sensore, ma cosa succede se il sensore non funziona? Un sensore guasto segnalerà di intraprendere un'azione quando non è necessaria o non sarà in grado di segnalare quando è richiesta un'azione. E se le superfici di controllo si sono guastate e l'aereo non è in grado di correggere l'angolo di inclinazione?

La solita risposta è sistemi ridondanti, parti e design ad alta affidabilità, ecc. molto. Tuttavia abbiamo ancora incidenti e incidenti.

Alla fine la domanda è: di chi ti fidi di più? Un pilota o una macchina? E la statistica e la scienza ti aiutano solo in parte qui. L'esperienza, i pregiudizi e i sentimenti di una persona avranno molto da dire su come risponde. E per "persona", comprendi che includo i clienti, il pubblico pagante.

La filosofia è che il pilota conosce meglio. Se hanno bisogno di fare una manovra, dovrebbe essere attendibile che lo facciano.

Sebbene ci siano limiti assoluti come la struttura, altri limiti sono meno precisi e dipendono dalle condizioni (e anche la struttura è costruita per resistere margini, fallimento e danno). Qualcosa che si qualifica come "sconvolto" non è certamente routine, ma non è nemmeno necessariamente fatale e può essere utilizzato per affrontare determinate situazioni.

Un motivo importante per manovre brusche sarebbe evitare un ostacolo. Nel caso del terreno, questa sarebbe generalmente una ripida salita, o forse una svolta ripida. Ma questo potrebbe anche essere un altro velivolo, nel qual caso il pilota potrebbe voler scendere rapidamente.

Concentriamoci solo sul rollio. Lo stesso comando che può essere utilizzato per far rotolare il velivolo da un angolo di rollio da 0 ° a 30 ° può essere utilizzato per farlo rotolare da 30 ° a 60 °. Chi decide a quale angolo di rollio è l'aereo e che d'ora in poi non sono più accettabili ulteriori comandi di rollio?

Un FCS controllato da computer, ovviamente, se decidiamo i piloti non ci si può fidare. Ma possiamo fidarci di più della FCS? Quale sarebbe la base per stabilire l'angolo di rollio corretto?

1. Gyros? Devono essere calibrati una volta ogni tanto, perché tutti i giroscopi vanno alla deriva. Alcuni di più, altri di meno, ma nessuna tecnologia può impedire loro di mostrare letture pericolosamente errate quando vengono lasciati in funzione abbastanza a lungo.

2. Accelerometri che mostrano il vettore di gravità? Non appena l'aereo effettua una virata coordinata, dovrebbe essere ovvio che punta solo lontano dal vettore di portanza. Niente da fare.

3. Altimetro radar sulla punta delle ali? Vola abbastanza in alto e diventano inutili. Questo potrebbe funzionare per il volo a bassa quota, ma non in tutte le fasi di volo.

4. Fotocamera e elaborazione delle immagini per trovare l'assetto verso l'orizzonte? Smette di lavorare di notte o nella nebbia.

Potrei estendere l'elenco, ma a questo punto dovrebbe diventare chiaro che non è così facile come sembra. Soprattutto il design FCS per gli UAV autonomi è piuttosto complicato e necessita di correlare gli input di diversi sensori per stabilire il volo livellato. Questo è stato appreso a proprie spese da Aurora Flight Sciences durante i test di volo del prototipo Perseus A. Affidandosi al solo giroscopio, il team non si è reso conto che il sensore si allontanava e controllava angoli di piega sempre più ripidi. Quando l'aereo si è disintegrato, il team non si è nemmeno reso conto immediatamente di cosa fosse successo perché il valore massimo del tasso di caduta sul collegamento dati di volo corrispondeva a soli 20 m / s - è rimasto bloccato a -1023 conteggi. Il prototipo dell'aereo è stato completamente distrutto nell'incidente.

Perseus A prima del suo 21 ° volo finale.

Immagino che questo sia l'ultimo forum su tutta Internet in cui è necessario spiegare che affidarsi a un software perfettamente funzionante è sciocco. In qualche modo, i piloti umani sono ancora più bravi a risolvere difficoltà impreviste, per gli stessi motivi per cui a volte sbagliano in modi inspiegabili.

La maggior parte dei nuovi design non accetta tali input. Ciò include:

• Modelli Airbus a partire dall'A320 (include A318 e A319 che sono varianti dell'A320).
• Modelli Boeing B777 e B787.
• Sukhoi SuperJet Su100.

Airbus ha limite di rollio di 65 °, non di 45 °, ma torna automaticamente al massimo a 33 ° senza una pressione costante sullo stick. Non riesco a trovare il limite di beccheggio esplicito, ma ha il limite alfa (angolo di attacco, dipende dal tipo, 17 ° per A320, inclinazioni verso il basso per non superarlo), velocità massima e limite di Mach (becche su se superato) e carico alare minimo e massimo (accelerazione verticale, da -1G a + 2,5G pulito, da 0G a + 2G con flap)

Il pilota deve essere considerato attendibile su qualsiasi altra cosa (e anche gli aerei Airbus accettano qualsiasi input nella legge diretta, la legge normale non sempre si applica). Qualsiasi situazione imprevista può verificarsi durante il volo. I computer non sono in grado di gestire ogni situazione anomala.

Un buon esempio di tale situazione è il caso di FedEx Flight 705. I piloti sono stati attaccati con una mazza da un dirottatore. Probabilmente sarebbero morti, se non fosse stato per le manovre estreme tentate. Hanno spinto il loro aereo DC-10 ben oltre i suoi limiti (angolo di inclinazione fino a 140 °, velocità eccessiva vicino a mach 1.0). Se il computer avesse impedito loro di farlo, l'aereo potrebbe essersi schiantato e sarebbero morti tutti.

In qualità di pilota di linea (e pilota collaudatore) mi piace tenere sotto controllo il mio aereo (come fanno tutti gli altri piloti di linea). C'è la scuola Boeing e la scuola Airbus. Gli aeroplani Boeing ti avvertiranno di non entrare in quelle buste. Airbus non ti permetterà di entrare in quel regime (protezione busta). In ogni caso puoi annullarlo modificando la legge o scollegando i computer di volo. In casi estremi in cui la situazione è disperata, non esiterò a scavalcare il computer e ad andare in situazioni estreme se ho bisogno di salvare vite umane. Tieni presente che tutto nell'aviazione è progettato con un fattore di sicurezza dal 30% al 60% in alcuni casi.

Quindi, per rispondere alla tua domanda: sei a FL370, sorseggiando un caffè, hai un incendio a bordo . Il velivolo limita la velocità verticale e la velocità durante la discesa (o l'angolo di inclinazione se si desidera tornare indietro). Saresti d'accordo con tali limiti? Io, no. Siamo pagati un sacco di soldi nella parte anteriore per prendere decisioni.

Secondo scenario (falso). FL340, crociera, il tuo TCAS non è riuscito ma non lo sai (come ho detto, è uno scenario falso). All'improvviso vedi l'altro ragazzo che si avvicina a te. Stesso FL. Ma il tuo computer dice "scusa non puoi tirare forte a causa della protezione G", colpisci l'altro ragazzo: sei legalmente morto perché non hai stressato la cellula.

Ultimo esempio: subito dopo essere partito per un Volo di 16 ore hai il fuoco nel carico. Gli impianti antincendio non hanno successo. Devi atterrare, ma non puoi perché sei in sovrappeso (di 100 tonnellate direi almeno). Cosa faresti?

Spero di aver attivato qualcosa sulla tua domanda. A proposito, sono sul 777.

Un paio di ragioni, ma essenzialmente si tratta di "Perché a volte può essere il minore di due mali"

1. Gli strumenti vanno male. I tubi di Pitot si rompono, i giroscopi diventano instabili, ecc ... A volte, il pilota lo sa davvero. Gli autopiloti si disinnestano quando non sono sicuri di cosa fare, lo stesso vale per gli autopiloti che limitano il controllo in una configurazione fly by wire ... cosa succede quando l'aereo pensa che sia in stallo ma non lo è? Cerca di impedire che il muso si alzi, o addirittura lo abbassi, finché l'aereo non tocca il suolo.

2. Uno "stallo virtualmente garantito" potrebbe un giorno essere un'opzione migliore di una "collisione effettivamente garantita": se le tue scelte sono tirare su con forza o volare su una montagna, corro le mie possibilità tentando di recuperare da uno stallo.

1 è improbabile (e considerando quanto spesso gli aerei volano in IFR, probabilmente influenzerebbero il pilota allo stesso modo dell'autopilota), 2 è probabilmente ancora più improbabile, ma è la situazione che richiederebbe migliaia di "Perché il pilota non può scavalcare l'autopilota? " domande.

Alla fine, le persone ancora diffidano dei computer. Possono farlo bene il 99,9999% delle volte, ma non riescono ancora a "pensare in piedi" come un essere umano.

Ora, ci sono elementi di questo già nella progettazione degli aerei. Ad esempio, tutti i moderni aerei di linea dispongono di avvisi acustici / visivi quando vengono presentate situazioni pericolose (tassi di caduta elevati, avvisi di stallo, ecc.). E Airbus va oltre, utilizzando controlli "fly by wire" che effettivamente impediscono la maggior parte delle situazioni di stallo "normali" in quella che viene chiamata "legge normale". Airbus, tuttavia, dà il controllo finale al pilota se il computer non è sicuro al 100% della situazione.

Un'altra cosa da considerare è che la conoscenza richiesta per controllare l'aereo sta aumentando con tali sistemi in atto.

Ci fu quasi un incidente aereo in Germania alcuni anni fa (guarda questo video che mostra l'atterraggio), quando un aereo stava atterrando con forti venti laterali. Il problema era che i controlli di volo reagivano in modo diverso quando l'aereo toccava terra o meno. Questo non era noto ai piloti. Hanno gestito la situazione, ma avrebbe potuto essere più facile per loro conoscendo quel comportamento. Questo comportamento non è stato nemmeno documentato nel manuale.

EDIT:
Dal rapporto di indagine (grazie a @DeltaLima): Sezione 3.1

I piloti non potevano essere a conoscenza delle specifiche caratteristiche di risposta del controllo del sistema di volo durante un atterraggio con vento laterale rafficato e, pertanto, non erano in grado di incorporarle nel loro processo decisionale.

E più avanti in questa sezione

• Quando il carrello di atterraggio principale sinistro ha toccato per la prima volta la pista, la condizione del sistema di controllo laterale ha quindi soddisfatto tutti i requisiti per la transizione da Da modalità di volo a modalità di terra, quindi, il sistema è passato dalla modalità di volo laterale alla modalità di terra laterale anche se l'aereo era di nuovo in aria.

• L'aereo è stato progettato in modo che l'effetto dei controlli laterali lungo l'asse longitudinale) si ridurrebbe di circa la metà della deflessione completa non appena un carrello di atterraggio principale toccasse terra.

• L'effetto ridotto dei comandi w come non documentato nella descrizione del sistema ed era sconosciuto ai piloti o al dipartimento di addestramento.

• Durante l'atterraggio, il comportamento del sistema del velivolo ha contribuito a un assetto di volo che era involontario e indesiderato dai piloti e il contatto con il suolo non è stato possibile prevenire più l'estremità alare.

One of the problems with commercial aircraft is the sheer number of hours of flight that any given aircraft type will see and the vast number of different conditions and failures that will inevitably arise during all that flying.

I had the job of writing the software that validated the control laws for the center of gravity management systems of several of these beasts. There's really no way to completely analyse all possible 'modes of flight'. The FCGMS system wasn't quite in the same category with the flight controls, but it WAS a 'safety of flight critical system'. There was a lot of validating involved, and this was just purely functional test, not all the vast array of unit level testing that went into the flight software. The thing is you have 20 boxes on these planes, all doing critical stuff, all built by different people, etc.

In the end someone has to be able to take hold of the stick and PULL UP! when its required and get a direct response. Its quite true that this capability might be as often detrimental, but you just cannot and never will be able to, completely analyse code and know what it will do when pieces are falling off the airplane.

Pensiamo a questo da una prospettiva diversa. A volte non è solo l'input del pilota a mettere l'aereo in un atteggiamento pericoloso. Ora, se l'aereo è forzato in una sponda pesante, arrampicati o tuffati attraverso forze esterne ma il pilota è limitato nella risposta che può dare all'aereo per adattarsi ...

Pensa anche alla nebbia alta e problemi di comunicazione. e due aerei sono a rischio di collisione. L'aereo dice al pilota "no, non puoi inclinare perché questo ci metterebbe a rischio".

In condizioni di volo normali, vorresti volare entro i parametri operativi. Ma quando le cose proverbiali colpiscono i fan, vuoi il pieno controllo per cercare di evitare una tragedia.

Alla tua domanda si può rispondere con un semplice argomento reductio ad absurdum. Se l'aereo sapeva quali input erano sicuri, allora perché avere un pilota?

In effetti i voli commerciali moderni volano già praticamente automaticamente e hanno meccanismi per evitare input potenzialmente pericolosi. Il problema è che il rilevamento dei guasti è difficile perché quando qualcosa non funziona, il sistema (per definizione di errore) non dispone di dati validi per prendere decisioni. È lo stesso motivo per cui i pazzi potrebbero non sapere di essere pazzi. Il pilota è lì per prendere decisioni nonostante l'ambiguità.

Ovviamente a volte anche il pilota prende la decisione sbagliata e l'aereo si schianta. Vedi Air France 447.

Ma più spesso prendono la decisione giusta e tutti vivono. Vedi il Gimli Glider.

Generalmente i limitatori sono ottimizzati e progettati per soddisfare una funzione specifica o una relazione di ruolo come lo stick completo dell'Airbus a poppa per raggiungere il massimo AoA durante l'evitamento del terreno. Tuttavia, non tutti i limitatori sono infallibili, nonostante quanto pubblicizzato dai produttori. I limiti possono essere superati a seconda di come vengono implementate le funzioni del limitatore e l'FCS, ad esempio utilizzando manovre dinamiche come spinte e tirate ripetute a frequenza ragionevole o manovre improvvise a velocità per le quali l'FCS non è stato progettato o in modalità degradate. Sebbene queste possibilità esistano, di solito non sono rilevanti perché è improbabile che si tratti di casi d'angolo.

Informazioni sull'incidente di AF. Le basi del volo: PITCH, POWER, PERFORMANCE. Significa che quando qualcosa non va, disconnetti tutta l'automazione e ottieni il controllo manuale della nave. La chiave oltre il PPP è che per quasi tutte le situazioni, applicando un passo, un'impostazione di potenza e una configurazione (flap, lamelle, marcia ...) ti manterrai a volare. Con l'automazione queste cose sono finite da tempo. Durante un volo, ogni ora annotavo la potenza, la direzione del vento, la temperatura (tra il carburante e altre cose legali). Coloro che hanno iniziato a volare senza autothrust e su propulsori turbo sanno com'è.

I piloti vogliono avere il controllo dell'aereo. Personalmente, se fossi un ATP, non farei mai volare un aereo FBW automatizzato come un Airbus proprio per questo motivo.

Non devi essere in una spirale di rotazione o morte e poi scopri che non puoi esci da esso perché "il computer non consentirà quell'input", e fidati di me se sei su un aereo che va in rotazione, sicuramente vuoi che il pilota abbia il pieno controllo dell'aereo.

Potresti pensare: se il computer controlla l'aereo non entrerà mai in rotazione. Non così. Alcuni temporali possono verificarsi molto rapidamente e inaspettatamente e sono così violenti che possono forzare l'aereo in una rotazione o in un altro atteggiamento a cui il computer non ha alcuna possibilità di reagire correttamente. I computer "buoni" si spengono a quel punto.

Gli aerei FBW più avanzati hanno una funzione chiamata "recupero automatico" che permette loro di riprendersi automaticamente da alcune condizioni di stallo, ma in condizioni estreme i cambiamenti di assetto succederà così velocemente che avrai bisogno di un essere umano per farlo.