El incidente (accidente) de Air Astana

Ojo, artículo muy técnico

Foto de Robert Knoops bajo Creative Commons

El 11 de noviembre de 2018, un Embraer 190-100LR (P4-KCJ) de Air Astana, que efectuaba un vuelo de Alverca a Almaty, Kazajstán con escala técnica en Minsk, Bielorrusia, se vio envuelto en un grave incidente que pudo haber acabado en desastre. El KZR1388 era lo que se conoce como un vuelo de posicionamiento sin pasajeros, ya que el avión había sido llevado hasta una MRO en Alverca do Ribatejo en Portugal, para efectuar una revisión de mantenimiento C2 programada y varias modificaciones.

Una vez revisado y modificado, el avión debía regresar a su base para empezar a operar en vuelos comerciales con pasajeros. Casi inmediatamente después del despegue, el aparato se volvió incontrolable. Los pilotos apenas podían volar el avión y declararon una emergencia en vuelo. La situación se volvió tan desesperada que pensaron incluso en intentar un amaraje, pero ATC trabajó con ellos para poder traerlos hasta Beja sanos y salvos. Después de casi dos horas de vuelo y tres intentos de aterrizaje, el avión finalmente se posó en tierra llevándose por delante varias luces de la pista.

Uno de los tres ingenieros de la compañía que volaba como pasajero sufrió heridas leves a causa de las violentas maniobras en las que el avión llegó a volar invertido. La aeronave se vio expuesta a grandes fuerzas superando con mucho los límites de carga admisibles durante las maniobras para recuperar el control. La aeronave había sufrido fuerzas y deformaciones tan grandes que se dio por perdida y sin posibilidad de reparación. Por ese motivo, las autoridades de aviación civil calificaron lo sucedido no como un serio incidente sino como un accidente de aviación.

La aeronave

La familia 170-190, también conocida como E-JETS o Embraer Regional Jets (ERJ’s), son una moderna generación de aviones de entre 70 y 122 pasajeros producidos en la factoría EMBRAER, Empresa Brasileira de Aeronáutica S.A. sita en São José dos Campos, São Paulo. El primer prototipo del EMBRAER 170 hizo su aparición en público el 29 de octubre de 2001, su vuelo inaugural el 19 de febrero del 2002 y las primeras entregas en 2004. La producción se comparte con empresas de otros países que aportan su experiencia en diversas áreas de la construcción aeronáutica. Entre las más importantes se encuentra la española Aernnova (La antigua GAMESA Aeronáutica) que es la responsable del diseño, los prototipos, la certificación y fabricación de las siguientes estructuras: empenajes (estabilizador vertical y horizontal), timones y elevadores Fuselaje trasero (incluyendo mamparo de presión).

El Embraer 190 es el avión reactor de primera generación de la casa brasileña. Es totalmente metálico. Se trata de un bimotor, monoplano de ala baja, con fuselaje estrecho de sección en doble burbuja (“double bubble”) y configuración de asientos de 2+2. La sección de cola es convencional y el tren de aterrizaje es de tipo triciclo retráctil, el avión ofrece un confort y una amplitud sin precedentes en aviones de su categoría. Esta equipado con dos turbofan de alto flujo de derivación producidos por General Electric. Estos motores pertenecen a la conocida serie CF34 y están montados de forma convencional en pilones bajo los planos.

Las características de vuelo son sobresalientes y los costes de operación han resultado ser muy bajos. El diseño está optimizado para cubrir distancias medias de hasta 2400 millas náuticas en la serie 190, con velocidades de hasta 0.82 Mach.

La aviónica es uno de los puntos fuertes del avión. Se trata de una configuración de concepción muy avanzada basada en el sistema Primus EPIC de la casa Honeywell. Toda la cabina de vuelo es digital y computerizada, utilizando el concepto “By Wire” no solo para los mandos de vuelo (excepto los alerones), sino también para la dirección de la rueda de morro, tren de aterrizaje, frenado, etc. Simplificando mucho podemos decir que detrás de cada interruptor o palanca la señal generada es enviada a un ordenador para su procesamiento.

La aerodinámica del modelo ha sido cuidada al máximo, se han empleado cálculos basados en modelos 2D y 3D empleando sofisticadas herramientas de software y túneles aerodinámico de última generación en Toulouse/Mauzac (Francia) y en Ámsterdam (Holanda). El diseño del ala se ha optimizado para el vuelo transónico. Se han empleado dispositivos hipersustentadores como flaps de tipo Fowler de doble ranura (Double Slotted Fowler flap) y Slats para potenciar las características de despegue y aterrizaje. Este es el primer modelo de Embrear que utiliza esta compleja combinación de elementos aerodinámicos unida al empleo de sistemas de mandos de vuelo digitales del tipo Fly-By-Wire.

El perfil alar es del tipo supercrítico (‘standard rooftop’ type) con aletas de punta de plano. Este perfil fue diseñado teniendo en mente la capacidad de crucero y las rígidas normativas de certificación. El resultado final ha excediendo incluso las propias expectativas de la compañía.

Los cuatro aviones que forman esta familia son conocidos comercialmente como los modelos 170-175 y los 190-195 aunque técnicamente son en realidad ERJ 170-100, ERJ 170-200, ERJ 190-100 y ERJ-190-200. Todos ellos comparten casi los mismos sistemas a bordo con pequeñas variantes, siendo los llamados 190-195 (190-100 y 190-200) los modelos más largos con motores y alas diferentes a los modelos 170-175 (170-100 y 170-200). Los modelos 190-195 son los mayores aviones producidos por la empresa hasta la fecha. Para el proceso de certificación se emplearon las verdaderas denominaciones, a continuación, se presenta una tabla con las distintas variantes, tal como aparecen en los documentos de la EASA:

Deabajo se muestran las características del E190 (LR)

Una de las curiosidades de este avión es que fue concebido en su integridad como FBW, pero ante los retrasos constantes en la certificación y a la urgencia de tener que entregar los primeros aviones al cliente de lanzamiento a tiempo, se optó por acelerar el proceso y entregar el avión con alerones convencionales mandados por cables. El resto de las superficies de control, como spoilers, timón de dirección y profundidad ya estaban certificadas como FBW, por lo que se considera que en el eje de alabeo este avión es un híbrido. Los spoilers multifución que ayudan al alabeo son FBW, pero los alerones son puramente mecánicos.

Las modificaciones a las que se sometió la aeronave

Una de las modificaciones iniciadas el 9 de octubre fue la relativa a los cables de los alerones. Siguiendo el boletín de servicio (SB) SB 190-57-0038R2 de Embraer, se realizó una modificación estructural que eliminaba las poleas de los cables de control de los alerones para reemplazarlas con una guía de cable sin fricción. Ver ilustración 1. Para ello, el cable del alerón tuvo que ser desconectado y reconectado después de reemplazar las guías del cable. Además, se realizó otra modificación para reemplazar cables de acero inoxidable por cables de acero al carbono (SB 190-27-0037R1).

Ilustración 1: En el SB de Embraer las poleas situadas en el larguero posterior del ala son sustituidas por un soporte sin rozamiento. En virtud de otro SB se cambian los cables de control de acero inoxidable por otros de acero al carbono.

El problema que desencadenó el accidente

Precisamente por tener un sistema de alabeo híbrido, los alerones se mueven mecánicamente en respuesta a la posición de la palanca. Cuanto más input de la palanca de control más deflexión. En la ilustración 2 se puede ver el sistema mecánico del Embraer 190 LR de primera generación. También se aprecia el cambio de los soportes realizado en el SB.

Ilustración 2

Los operarios de mantenimiento de la MRO Portuguesa tuvieron serias dificultades para seguir el procedimiento del SB. Las instrucciones de Embraer no estaban lo suficientemente claras y el personal de mantenimiento tuvo que improvisar en algunos pasos del proceso. Todo ello dio como resultado que los cables se cruzaran incorrectamente en una parte de su recorrido entre los alerones y los sectores mecánicos actuados por las columnas de control.

Una vez terminado el trabajo, el avión fue comprobado en tierra, pero daba un fallo relacionado con los controles de vuelo. FLT CTRL NO DISPATCH (One of the components associated with the flight  ontrol system has failed to a No-Go condition). Se hicieron diversas pruebas y se llamó a Embraer que ayudó a corregir el mensaje del EICAS cambiando incluso elementos (Flight Control Modules o FCM) de las MAU (debajo se explica lo que son estas cosas) . Ver ilustración 3 para situar los ordenadores de los controles de vuelo.

Ilustración 3

Las Modular avionic Unit son cajas que albergan tarjetas electrónicas. El sistema de control de vuelo FBW actúa a través de estas cajas y procesadores. Existe un modo "normal" de vuelo donde los ordenadores aplican correcciones para que el piloto mantenga el avión dentro de la envolvente de vuelo y las maniobras sean más eficientes. En caso de fallo, el sistema puede revertir automática o manualmente a modo de vuelo "directo", donde los inputs desde la cabina del piloto no son procesados y pasan directamente a los controles de vuelo. Ver ilustración 4, donde se muestra un panel en la cabina de los pilotos que permite desenganchar el modo normal y poner el avión en modo directo.  

Ilustración 4

En la ilustración 5 se muestra la zona donde el cable se cambia inadvertidamente.

Ilustración 5

Los operarios logran que el EICAS deje de mostrar el mensaje FLT CTRL NO DISPATCH, pero no comprueban que los alerones se mueven al revés de coómo deberían. Simplemente miran la página sinóptica y ven que los alerones se mueven al igual que los spoilers. Nadie pone en duda que el movimiento mostrado en la pantalla es incorrecto.

Ilustración 6: Cuando el piloto mueve la columna de control para alabear a la izquierda, el alerón derecho baja, el alerón izquierdo sube y los MFS (Multi Function Spoilers) FBW que asisten al alabeo suben en el ala izquierda para ayudar a que esta caiga. Lo que muestra la pantalla es incongruente, pero nadie nota nada raro.

Cuando el avión se entrega a los pilotos de Air Astana, estos hacen la inspección prevuelo y al poner en marcha el aparato, este parece comportarse normalmente. Tampoco ellos se dan cuenta de que los alerones están invertidos cuando miran las pantallas. En la ilustración que sigue se pueden ver las oportunidades perdidas donde alguien podría haber detectado el fallo.

Ilustración 7

Pocos segundos después del despegue (el cabeceo no estaba afectado) notan algo extraño. No pueden controlar el avión correctamente. Lógico. Los alerones hacen lo opuesto a lo que espera el piloto y para colmo los spoilers actúan como deben quitando sustentación en el ala correcta. En esas condiciones el vuelo se hace casi incontrolable y los pilotos se alarman declarando emergencia. ATC trata de asistir mientras los pilotos logran estabilizar la aeronave. De forma muy inteligente, los pilotos se dan cuenta de que el alabeo está mal y pulsan el panel de controles de vuelo para desenganchar el modo normal y revertir a modo de vuelo directo. Esto hace que los spoilers multifunción dejen de operar. Ahora el avión solo responde a los inputs de la columna de control. En esas condiciones el vuelo se hace un poco más controlable, aunque los alerones siguen invertidos. Lo que deben hacer los pilotos es lo contrario de lo que se espera, pero con el tiempo parecen acabar controlando la situación.

ATC aconseja que el vuelo se dirija al sur donde hay mejor tiempo y en condiciones VFR todo es más sencillo. La carga de trabajo es enorme en la cabina, pero los pilotos logran dirigirse al aeropuerto militar de Beja escoltados por dos F-16 Fighting Falcon de la Fuerza Aérea portuguesa que acudieron en su ayuda. El avión logra aterrizar después de dos intentos infructuosos.

En You Tube se puede escucher la situación desesperada de los pilotos con todo el audio.

Sobre los controles de vuelo del Embraer 190 de primera generación

Para aquellos lectores que deseen una explicación sencilla sin tener que leer todo el artículo pueden ver el vídeo a continuación que realicé para nuestros amigos de RACV donde doy una explicación muy simplificada sobre todo esto que cuento debajo:

Las superficies de control de vuelo en estos aviones son actuadas por medio de energía hidráulica. La tecnología FBW Fly-by-wire o pilotaje por medio de mandos electrónicos, reemplaza los controles de vuelo manuales convencionales de un avión por un sistema de señales transmitidas a través de una interfaz electrónica.

En el Embraer 190 de primera generación se combinan los controles convencionales con los controles FBW en el caso de los alerones. Estos son movidos por mandos de vuelo convencionales a base de cables, por medio de poleas y sectores, mientras que el resto es tecnología FBW. Las ayudas al alabeo combinan las señales de las columnas de control que mueven los alerones con inputs electrónicos que se mandan a los MFS o Multi Function Spoilers. En la ilustración que se puede ver debajo se aprecia la estructura general de los controles de vuelo así como la energía que se necesita para poder moverlos.

Como se puede apreciar, existen controles de vuelo primarios y controles de vuelo secundarios. En este modelo se ha decidido optar por una segregación de fuentes para la actuación de los controles. Para mover los controles de vuelo primarios se usa la energía hidráulica. También se ha decidido usar este tipo de energía en el movimiento de los spoilers que son mandos de vuelo secundarios. 

Para el resto de los controles de vuelo secundarios se usa la energía eléctrica. Recuérdese que los alerones en este modelo son convencionales (conexión mecánica) y no FBW. Se accionan por medio de cables, pero son actuados (movidos) por energía hidráulica. El resto es todo FBW. En la imagen que sigue se puede ver la diferencia entre controles de vuelo primarios y secundarios en la familia E-Jet.

Los controles de vuelo primarios son:

• Alerones (convencionales)
• Spoilers Multifunción (en configuración de alabeo) -FBW
• Elevadores o timón de profundidad -FBW
• Timón de dirección -FBW

Los controles de vuelo secundarios son:

• Estabilizador horizontal -FBW
• Spoilers Multifunción (en configuración de aerofreno/spoilers en tierra) -FBW
• Slats/Flaps -FBW
• Spoilers de tierra -FBW

Los movimientos de los mandos de vuelo del piloto son convertidos en señales electrónicas que se transmiten por cables (de ahí el término by-wire). Las computadoras de control de vuelo interpretan y determinan como se debe mover el actuador de cada una de las superficies de control para proporcionar la respuesta adecuada. El sistema fly-by-wire también permite el envío automático de señales por parte de las computadoras de la aeronave para realizar ciertas funciones sin que intervenga el piloto, como ayudar automáticamente a estabilizar la aeronave.

La transducción o transformación

El primer paso para que un sistema FBW funcione correctamente es la interpretación de las ordenes que provienen de la cabina del piloto. Cuando el piloto mueve los controles de vuelo en realidad está generando una señal que debe de ser entendida por los ordenadores. ¿Cómo una señal mecánica puede ser entendida por un ordenador?

El modo en que EMBRAER ha resuelto el diseño FBW es extremadamente sencillo y eficiente. La filosofía es fácil de entender sin entrar en detalles técnicos muy complejos. El piloto mueve los mandos en la cabina. Se detectan los movimientos de los mandos de vuelo por medio de sensores y estos generan una señal analógica continua proporcional. 

La señal así generada se manda a un amplificador para poder ser utilizadas por las unidades y actuadores hidráulicos. Como puede verse en la ilustración, la primera fase importante en un sistema FBW es la de convertir la maniobra ejecutada por el piloto en una señal eléctrica proporcional a la misma. 

Para ello usamos unos dispositivos sensores que se basan en el principio de operación de los transformadores de corriente eléctrica convencionales, los mismos que llevamos en nuestros viajes al extranjero para usar nuestros aparatos con otros voltajes. Como sabemos, los transformadores tienen dos núcleos de alambre arrollados de forma que si aplicamos una corriente alterna en uno de ellos llamado primario produciremos, en virtud de la inducción electromagnética, otra corriente en el arrollamiento secundario. Esta corriente puede ser superior o inferior dependiendo del número de vueltas de cable que tengan los arrollamientos.

También sabemos por experiencia que los transformadores generan calor en el proceso (no hay más que tocarlos) y del mismo modo sabemos que podemos incrementar la eficacia de estos si insertamos un material metálico del tipo hierro dulce o “soft iron” en inglés. Básicamente este elemento es un material que resulta fácil de magnetizar (se convierte en un imán cuando se aplica magnetismo. Por contraposición, el "hard iron" es el material que no pierde el magnetismo, como la magnetita), pero el "soft iron" también pierde su carácter magnético rápidamente cuando se retira la fuente de magnetismo. El mejor ejemplo de este material ferromagnético podrían ser los clip de oficina, con los que muchos hemos jugado imantándolos y formando una cadena haciendo que unos toquen a otros. 

El material metálico que se suele emplear es del tipo PERMALLOY, que es la marca comercial de esta clase de aleaciones ferromagnéticas. Existen en el mercado muchas variantes de este tipo de hierro dulce. Dependiendo de la proporción de hierro (Fe) y otros materiales como Cadmio (Cd) o Niquel (Ni) encontraremos PERMALLOT 75 o PERMALLOY 90 etc.

Como puede apreciarse en diagrama el movimiento de los mandos de control, lo que en realidad hace es mover una pequeña unidad metálica de tipo PERMALLOY dentro/fuera del transformador. El piloto no mueve en realidad las superficies de control, solo mueve un trozo de metal.

Este movimiento produce un cambio en la eficacia del transformador, la cual puede ser captada como un pequeñísimo cambio de voltaje. La mayor ventaja de este sistema es que este cambio de voltaje es una señal analógica exactamente proporcional al movimiento de los controles del piloto. Otra gran ventaja de este sistema es que la señal lleva más información que los sistemas digitales. Pero esta señal todavía no puede ser usada para el control de las superficies, pues es una señal muy débil. Estamos hablando de voltajes muy pequeños, del orden de 10^-3 o (mili voltios) incluso 10^-6 (micro voltios), que son similares a los que obtendríamos en la salida de auriculares de nuestro reproductor MP3, por poner un ejemplo.

Estos dispositivos sensores son conocidos como CCPS (Cockpit Control Position Sensors) en la terminología de Embraer, pero en realidad son transductores o LVDT (Linear Variable Displacement Transducers o Transfromers). 

Ahora, para poder usar este tipo de señales tan débiles tendríamos que amplificarlas al igual que hacemos con las señales de nuestras cadenas de música para poder escucharlas por los altavoces. En el mercado existen muchos amplificadores de marcas tan conocidas como Denon, Technics, Marantz, etc., En el Embraer el amplificador que usamos se llama P-ACE (Primary Actuator Control Electronics) y básicamente se encarga de amplificar la señal analógica para poder ser usada por los equipos de actuación hidráulica (PCU). Esto no es ni más ni menos que el modo DIRECTO (sin protección adicional) de control de vuelo.

Lo que se ha mostrado en la ilustración es lo que se conoce como modo directo de vuelo. Es decir, la señal una vez procesada desde la cabina de vuelo va a los actuadores. Hasta aquí lo único que hemos hecho es cambiar cables y ensamblajes mecánicos por cables eléctricos y ordenadores. Aunque esto aporta ciertas ventajas, como la reducción de peso, el sistema todavía puede ser mejorado.  Las protecciones de la envolvente de vuelo con este sistema no están disponibles en su totalidad. Para mejorar el sistema se conectan los P-ACE con los ordenadores MAU, que alojan las tarjetas electrónicas FCM (Módulos de Control de Vuelo o Flight Control Modules). Estas tarjetas son ordenadores especializados en gestionar parámetros relacionados con el control de vuelo. Para ello deben de contar con otros datos que provengan de diferentes sistemas relacionados (IRS, ADS, temperatura, configuración, etc). estos datos (transportados hasta las MAU por medio del bus ASCB-D) son mezclados con la señal del piloto para obtener una respuesta lo mejor posible de acuerdo con la maniobra requerida y la situación de la aeronave.

La conexión entre MAU y P-ACE se realiza a través del bus de datos digital denominado CAN (Contro Area Network). Lo que se obtiene es una señal que posibilita al piloto volar de la mejor forma posible dentro de una situación determinada. Esto es, se trata de mejorar al piloto, no de limitarlo como en otros sistemas más restrictivos. Hay que entender, que en los sistemas de mejora de la señal, como este, si un piloto actúa de forma violenta, no hay software en el mundo capaz de compensar la maniobra abrupta. Por ejemplo, si un piloto inicia la rotación con algo más de 3° por segundo, el sistema nos dará los 3° por segundo que son la forma óptima de efectuar una rotación. El avión de esta manera previene el golpe de la cola contra el suelo (TSA o Tail Strike Avoidance). Pero si el piloto se empeña en rotar de forma violenta y con una gran velocidad, el sistema no será capaz de evitar el golpe. El sistema supone un pilotaje "normal" dentro de ciertos límites.

Las protecciones de la envolvente de vuelo con este sistema son:

• TSA (Protección de golpe con la cola)
• Si el piloto inicia la rotación muy pronto, muy tarde, muy rápido o muy lento, el sistema trata de proteger la maniobra intentando evitar que la cola toque el suelo. Si la rotación es muy violenta (un piloto nunca haría eso), quizás el ordenador no pueda evitar un toque. Se trata de mejorar la señal, no de limitarla.
• Limitación del AoA para no entrar en pérdida
• En el modo normal de vuelo este avión no entra en pérdida. Aunque el piloto insista en mantener la palanca atrás del todo el avión mantendrá una actitud de morro arriba sin entrar en la región de pérdida. Si la energía no es suficiente entonces comenzará a descender con la máxima actitud posible.
• GAIN (Cantidad de deflexión de las superficies limitada para no dañar el fuselaje con la velocidad)
• Cuanto más rápido se vuela menos movimiento de las superficies de control se necesita. El sistema se encarga de que el avión nunca sufra daños estructurales debidos a maniobras violentas.
• ETC (Elevator Thrust Compensation)
• Cuando se aplica potencia en un reactor con motores bajo las alas, el morro tiende a subir. En este sistema el ordenador recalcula la posición del elevador y el estabilizador de cola para evitar esta tendencia adversa.
• Compensación automática de la configuración (trim, flaps, tren de aterrizaje, spoilers)
• Al desplegar cualquier superficie el ordenador de abordo recalcula la posición del elevador para evitar que cambie la actitud del avión. Por ejemplo, al desplegar los FLAPS en una aproximación ya no existe el famoso "ballooning" que nos hacía ascender al aumentar la sustentación.
• Compensación del vuelo manual con altos números de Mach (> 0.75)
• Al volar cerca del Mach 1 se producen cambios importantes en la actitud de un avión subsónico. Existe la tendencia a picar y eventualmente entrar en lo que se conoce como "Mach Tuck" o "Tuck under". Con este sistema se establece un vuelo sin piloto automático, pero sin el peligro de entrar en regiones que no podrían recuperarse.

Estas protecciones nos protegen de entrar en situaciones peligrosas. Los aviones cuentan además con otras características o "extras" que no entran en la categoría de protección, pero facilitan mucho la tarea del piloto. Uno de estos sistemas sería el "yaw damper" o amortiguador de guiñada y otro por ejemplo sería la compensación de cabeceo. Ambos tratados en los siguientes posts:

https://greatbustardsflight.blogspot.ch/2017/10/compensacion-y-amortiguacion-de-guinada.html

https://greatbustardsflight.blogspot.ch/2017/09/la-compensacion-automatica-de-cabeceo.html

La redundancia del sistema

Los P-ACE (Primary Actuator Control Electronics) son pequeños ordenadores con 2 canales cada uno. Existen tres de estos ordenadores en el E-Jet y se encargan de amplificar y modular la señal de control de vuelo. 3 P-ACE's con dos canales cada uno hacen 6 canales en total. En caso de fallo de un canal, el sistema puede pasar a utilizar otro canal distinto. Existen 4 canales dedicados al elevador, el resto son para el timón de dirección.

Para asegurar que un fallo múltiple no afecta al sistema, se utilizan 2 unidades MAU y 4 FCM. Todos estos elementos necesitan energía eléctrica, por lo que el sistema está conectado con la RAT por medio del DC ESS 3 (sistema de emergencia). Incluso si la RAT no se pudiera utilizar, el sistema podría ser capaz de suministrar energía suficiente utilizando las baterías, hasta 10 minutos. Debajo se puede ver el sistema completo. 

Aunque la energía eléctrica esté asegurada, este avión no se podría volar sin el sistema hidráulico que mueve las PCU o Power Control Units (servo-actuadores). Para ello se cuenta con un sistema triple, siendo el número 3 el sistema de emergencia.