REFÉNS DA AUTOMAÇÃO - FLY-BY-WIRE

Dezembro de 2014. Um Airbus A-320, código de chamada AirAsia 8501, cruzava estabilizado no FL320 em um voo noturno, quando o painel de alarmes alertou sobre uma falha do sistema limitador do leme direcional. Este dispositivo atua restringindo a deflexão total do leme em altas velocidades, a fim de evitar um excesso de carga estrutural na deriva.  Os procedimentos operacionais determinam que, nesta situação, os tripulantes devem efetuar um reset dos dois computadores de voo (FAC – Flight Augmented Computer) através de botões localizados no painel superior da cabine de pilotagem. Por três vezes, os pilotos realizaram esta ação e a falha sumiu. Mas a mensagem voltou a ocorrer uma quarta vez e, agora, os pilotos escolheram um procedimento que tinham visto ser feito pela equipe de manutenção no solo: reset dos disjuntores (CB’s – Circuit Breakers) dos Computadores de Voo.

O reset dos CB’s (não previsto pelo procedimento operacional) desativou os FAC de um modo diferente do reset pelo botão do sistema. Resultou no desengajamento do piloto automático (AP), do controle automático de empuxo (AT) e na reversão do sistema eletrônico de comandos de voo (FBW - fly-by-wire) do modo Normal da lei de controle para o modo Alternado. Por alguns segundos, os dois tripulantes concentraram sua atenção para a série de mudanças ocorridas durante o reset dos CB’s e deixaram de lado o controle da aeronave. Sem o piloto automático, o aparelho começou a se inclinar suavemente para a esquerda e um dos pilotos, quando percebeu, atuou decisivamente no manche lateral (sidestick), aumentando a atitude em arfagem até cerca de 45 graus cabrados. O A-320 subiu com elevada razão positiva, atingindo 38.000 ft de altitude, enquanto a velocidade reduzia até um mínimo de 55 KIAS. Agora, em condição de estol, a aeronave começou a perder altura rapidamente, com uma razão de descida de mais de 12.000 ft/min, enquanto o piloto mantinha o manche lateral puxado para tentar deter, sem sucesso, a queda vertiginosa. O aparelho com 162 ocupantes precipitou-se no mar sem deixar sobreviventes. O relatório de investigação aponta, entre outras causas, a “incapacidade da tripulação de controlar o avião em modo Alternado das leis de controle de voo, resultando em extrapolação do envelope normal de voo e uma condição de estol”.

Figura 1 - Air Asia 8501 chega a 45 graus cabrado e depois desce estolado desde 38.000ft até colidir com o mar, sem deixar sobreviventes

O acidente da AirAsia tem características operacionais muito semelhantes com outro caso ocorrido cerca de cinco anos antes, em 2009, com um A-330, voo Air France 447, onde uma falha do sistema de indicação de velocidade provocou respostas dos tripulantes nos comandos de voo que levaram ao estol e à perda de controle, vindo também a precipitar-se no oceano, resultando na morte de 228 pessoas. O que chama a atenção é que as conclusões do acidente com o AF447 já haviam sido divulgadas, mas não foram suficiente para impedir uma repetição das respostas inadequadas dos pilotos do AirAsia.

Figura 2 -  Air Asia 8501 e Air France 447: dois acidentes que evidenciaram a dificuldade de controle em modo degradado das leis de controle de voo

POR QUE AUTOMATIZAR

Sempre que acontece um acidente com aviões automatizados, surge a pergunta: por que tanta automação nos aviões modernos? Já que este fator aparece nos acidentes, não seria melhor remover a automação? Na verdade, não. A resposta tem duas fortes justificativas: segurança operacional e redução de custos. A automação está presente em vários sistemas de uma aeronave, como autobrake, autopilot, autothrottle, autolanding, etc, mas aqui vamos nos concentrar apenas em CONTROLES DE VOO.

No aspecto da segurança, um avião equipado com sistema de controle de voo Fly-by-Wire (FBW) pode incorporar proteções no envelope de voo que evitam, por exemplo, que o avião estole, que ultrapasse velocidade máxima ou o fator de carga limite. São características desejáveis para a segurança operacional.

No quesito custo, é conhecido o fato que, quanto mais recuado o centro de gravidade de uma aeronave, menor a força exercida para baixo pelo conjunto estabilizador horizontal/profundor e, consequentemente menor o arrasto e melhor o consumo.  Todas as companhias aéreas estão muito interessadas em aviões com consumo mais baixo. Acontece que o deslocamento do centro de gravidade para trás reduz a estabilidade em arfagem, eventualmente dificultando a pilotagem. Entretanto, atualmente é possivel projetar um avião com a desejada estabilidade diminuída (mais econômico) e que seja pilotável com facilidade, pois a perda de estabilidade pode ser compensada pelas leis de controle de um sistema FBW.

COMO FUNCIONA O CONTROLE DE VOO FLY-BY-WIRE

Em um avião convencional, o piloto atua nos controles e isto provoca diretamente uma deflexão nas superfícies de comando. Até aí, nenhuma novidade. 

Figura 3 - Arquitetura simplificada de controles de voo mecânicos (convencionais) e comandos eletrônicos (fly-by-wire)

Nos aviões com comandos de voo eletrônicos FBW, o piloto não atua nas superfícies de comando. Na verdade, a deflexão do manche envia uma ordem eletrônica para um computador de voo. Em arfagem, por exemplo, dependendo do fabricante, a instrução do movimento do manche pode ser modificar o fator de carga (g). Com o avião reto e nivelado, o fator de carga é de 1,0g. Quando o piloto deflete o manche a cabrar, isso envia uma instrução para aumentar o fator de carga de 1,0g para, digamos, 2,0g enquanto o comando estiver defletido. O sistema vai aplicar este fator de carga e a atitude da aeronave modificará, levantando o nariz. Quando o piloto solta o manche de volta para neutro, cessa a instrução de 2,0 g e a aeronave se estabiliza em uma nova atitude, digamos com 30 graus cabrados (figura 4). Depois que esta instrução é enviada e que o manche voltou para neutro, o próprio sistema vai sentir eventuais variações em torno daquela instrução inicial e vai se autocompensar. O profundor vai mudar sua deflexão para manter aquela atitude de 30 graus cabrados sem que o piloto precise tocar no manche.  Se a velocidade diminuir e o nariz pesar, o fator de carga tende a diminuir, e então o sistema aumentará a deflexão do profundor para manter 1,0g. Em alguns casos, o estabilizador horizontal também modifica sua posição automaticamente sem que o piloto interfira ou mesmo saiba. Durante todo o tempo, o sistema está se compensando para cumprir a última instrução recebida. Esta característica é muito desejável em aviões com estabilidade reduzida - aquela advinda do recuo do centro de gravidade e que resulta em menor arrasto e menor consumo. 

Figura 4 – Exemplo de leis de controle de voo FBW em arfagem – fonte: Airbus FTCM

Para comandar curvas em um avião com controles de voo eletrônicos, a deflexão lateral do manche não atua diretamente nos ailerons, mas envia instruções de “razão de rolamento” para o computador: “incline a aeronave na razão de 3 graus por segundo”. O avião começará a inclinar-se e continuará rolando lateralmente enquanto o manche estiver defletido. Quando o piloto soltar o manche de volta em neutro, a instrução de razão de rolamento vai para zero e a aeronave permanecerá com a inclinação que se encontra, indefinidamente, até receber um novo comando. Não é necessário, como nos aviões convencionais, compensar a queda de nariz quando se entra em curva, pois, como não houve uma instrução para baixar o nariz, o próprio sistema vai sentir a tendência e atuar no profundor para manter a altitude, sem interferência do piloto.  Outro exemplo: no caso de uma falha de motor em um multimotor, onde existirá uma assimetria de tração e uma tendência de guinada, o próprio sistema atuará no leme direcional para compensar a derrapagem, sem que o piloto precise nem mesmo atuar nos pedais.

A pilotagem de um avião com controles eletrônicos é muito mais fácil e segura do que de um aparelho convencional. Como é um sistema regido por software, o fabricante pode incorporar proteções para manter a aeronave dentro de certos limites que serão escolhidos no projeto. Por exemplo, o avião nunca deve chegar ao ângulo de ataque de estol. Por mais que o piloto mantenha o manche puxado para trás, o sistema detecta a proximidade do estol – por sensores de ângulo de ataque - e começa a diminuir a deflexão do profundor para que o ângulo de ataque de estol nunca seja atingido. É uma proteção muito bem vinda para a segurança operacional.

Outra vantagem do FBW é igualar comportamento de aviões diferentes. Como a resposta do avião é regulada por um software de controle de voo, é possível fazer com que aviões diferentes tenham o mesmo tipo de resposta, o que é extremamente desejável pelas companhias aéreas para diminuir o custo de treinamento das tripulações.

QUAL O PROBLEMA ATUAL DO FLY-BY-WIRE?

Não resta dúvida que os sistemas eletrônicos de controle de voo trazem um substancial incremento na segurança operacional, diminuindo o número de acidentes por erros humanos. Mas a automação também trás outros dois efeitos. Um deles é a degradação das habilidades de pilotagem em voo manual e, o segundo, a maior dificuldade de controlar o avião quando o FBW sai do modo NORMAL para um modo degradado.

No primeiro caso, o piloto não tem mais a oportunidade de perceber as respostas naturais da aeronave, como o nariz pesado ao entrar em curva ou a guinada quando um dos motores falha. O sistema compensa tudo. Pilota-se uma lei de controle, um software. Então as habilidades aprendidas na instrução básica são perdidas.

O segundo caso é a transição das leis de controle para um modo degradado. Para funcionamento integral e com proteções de envelope operacional, as leis de controle de voo necessitam de informação de vários sistemas do avião. Quando tudo está funcionando, o FBW está no chamado modo NORMAL das leis de controle, com todas as características de estabilidade e todas as proteções de envelope ativas, como proteção de estol, de fator de carga ou de excesso de velocidade. Quando algum sistema do avião deixa de funcionar, algumas das proteções são removidas por falta de informação e as leis de controle de voo revertem para modos degradados, com diferentes nomes conforme o fabricante. O nível mais baixo de degradação é o chamado modo DIRETO, onde quase ou nenhuma proteção está presente e o avião deve ser pilotado de forma convencional. No caso de ser um aparelho onde a reduzida estabilidade estava sendo compensada pelo FBW, agora no modo DIRETO pode haver uma dificuldade maior de controle.

Vejamos a manobra de puxar o nariz para escapar de colisão com o terreno (CFIT). Em um avião convencional, o piloto deve dosar continuamente a atuação no comando de profundor para evitar o estol. No avião protegido, o piloto pode trazer o manche no batente, pois o sistema vai controlar o ângulo de ataque máximo sem deixar o avião estolar ou exceder o fator de carga limite, obtendo um desempenho ótimo na maioria das vezes. 

Figura 5 - No avião protegido, o piloto pode atuar no limite dos comandos, pois o FBW vai proteger o envelope operacional e produzir o melhor desempenho. No avião com controles convencionais, o piloto deve dosar a aplicação dos comandos de voo.

Apesar de o FBW ser mais fácil de pilotar e mais seguro, aqui surge um problema para o tripulante que passa ano após ano treinando defletir o manche no batente enquanto o sistema se protege: como ele irá reagir quando as proteções de envelope não estiverem mais ativas? Será que as respostas que vimos nos acidentes com o Air Asia 8501 e o Air France 447 nos dão alguma pista? Nos dois casos, os aviões perderam o modo NORMAL do FBW e, consequentemente, a proteção contra estol. E os pilotos de ambos reagiram como se as proteções estivessem presentes, provocando o estol, a perda de controle e o acidente fatal.

Pilotos de aviões com sistemas FBW têm sido treinados a reagir considerando as proteções no envelope de voo. Mas quando a situação se degrada e, por algum motivo, aquelas proteções deixam de funcionar, o tripulante passa a ter em mãos um avião com comportamento completamente diferente do que ele está acostumado. Ele não pode mais atuar nos comandos de voo da forma como foi treinado. E, o pior, as proteções muitas vezes se desativam por uma condição anormal de voo.  Ou seja, o avião automatizado conduz o voo em condições normais até o momento em que se depara com uma situação com a qual o sistema não pode lidar, e aí ele devolve para o piloto um avião com características de controle bastante distintas e, eventualmente, em condições de voo extremas: ou seja, receita para o desastre.

Em maio de 2019, um Sukhoi SuperJet 100, decolando de Moscou, foi atingido por um raio ao cruzar cerca de 8.000ft e sofreu danos no sistema elétrico. O FBW reverteu do modo NORMAL para o modo DIRETO. Os pilotos decidiram regressar para pouso no mesmo aeródromo. A aproximação ocorreu sem grandes problemas até o cruzamento da cabeceira da pista. Ao executar o arredondamento para pouso, com velocidade em torno de Vref + 16 kt, o relatório apontou que “o piloto trouxe as manetes de tração para IDLE e o sidestick para trás, mas com movimentos de amplitude exagerada, indo do batente a cabrar ao batente a picar,  mantendo o sidestick por um tempo relativamente longo nestas posições extremas”.

Neste evento, o primeiro contato com a pista ocorreu novecentos metros após cruzar a cabeceira, em atitude quase nivelada mas com o piloto comandando o sidestick no batente a cabrar. Menos de meio segundo após o toque, o sidestick foi levado para o batente a picar, mas a aeronave já estava subindo ao ar novamente. Agora, com o sidestick ainda totalmente a frente, a aeronave volta para o solo e bate com o trem de pouso de nariz primeiro. Mas o piloto já havia comandado outra vez para o limite a cabrar pouco antes do toque do trem dianteiro, causando um forte movimento para cima. Após a primeira quicada, e com o avião no ar, o piloto trouxe as manetes de tração para posição de “Maximum Reverse”, mas as conchas dos reversores não abriram porque não havia sinal positivo de que as rodas estavam no solo (WOW). Quando o avião tocou pela segunda vez, as conchas começaram a abrir e o ciclo foi completado após a segunda quicada para cima. Mas não houve aumento de tração dos reversores, pois não havia sinal de WOW. Nesta segunda quicada para o alto, o avião atingiu 18ft de altura e as manetes foram avançadas para modo TAKEOFF enquanto o sidestick era comandado para o batente a cabrar novamente. A ação foi interpretada pelos investigadores como uma tentativa de arremetida mas, como as conchas dos reversores estavam abertas, os motores simplesmente não aceleraram. Ao retornar para a pista com força uma terceira vez, o avião sofreu danos estruturais no trem de pouso e asa, que resultaram em vazamento de combustível e fogo na parte traseira da fuselagem enquanto a aeronave deslizava pela pista. Ao final, 41 pessoas sofreram lesões fatais por fogo e fumaça.

Figura 6 - Acidente com Sukhoi Superjet 100 com controle de voo em modo DIRETO: dúvidas sobre as habilidades do piloto para controlar o avião no pouso

Embora a investigação ainda esteja em curso, os dados do relatório preliminar de investigação apontam que “os movimentos do piloto no sidestick no controle de arfagem foram significativamente muito amplos e oscilatórios, o que causou mudanças significativas nos parâmetros de movimento longitudinal”.  Tudo indica que seria um pouso normal sem consequências, não fossem as ações exageradas do piloto nos controles de voo. Então perguntamos novamente: o piloto tinha sido treinado e estava qualificado para operar esta aeronave em modo DIRETO do FBW?

TREINAMENTO DAS TRIPULAÇÕES

Com alguns acidentes aéreos evidenciando a dificuldade de controle da aeronave quando o sistema eletrônico de controles de voo sai do modo NORMAL, naturalmente a atenção se direciona para o treinamento das tripulações. Nos últimos anos, empresas aéreas estão incorporando nos treinamentos em simulador a recuperação de estol e de atitudes anormais, mas ainda com os comandos de voo em modo NORMAL, ou seja, com as proteções de envelope ainda ativas. Contudo, em modo DIRETO as respostas podem ser bem diferentes. Que habilidade para voar manualmente e em modo degradado terá um piloto após anos voando aviões com proteção do envelope?

De maneira geral, quando se identifica comportamentos diferentes em uma aeronave por falha de sistema, isto é incorporado no treinamento. Por exemplo, um avião multimotor com falha de um dos motores tem características diferentes pela assimetria de tração e, por isso, a operação com um motor inoperante passa a fazer parte do treinamento.

Um avião com sistemas eletrônicos de controles de voo também pode ter comportamentos diferentes em modo NORMAL e em modo DIRETO. É notório que as habilidades dos pilotos em voo manual tem se degradado devido à excessiva dependência da automação, mesmo com todas as proteções ativas. O tempo gasto atualmente em pilotagem é muito baixo pois, quando um avião está operando com todos os sistemas, a tarefa dos pilotos é apenas de monitoramento. Quando algo errado acontece, é necessário um tempo para se transicionar da atividade de monitoramento para a de execução. Se a condição exigir respostas rápidas, estas respostas serão instintivas e podem ser erradas, como já vimos. Quando a anormalidade envolver a perda das proteções das leis de controle, a situação pode se complicar enormemente, pois a reação instintiva do piloto nos comandos será aquela que ele exercitou com o avião em modo NORMAL de controles de voo.

Os sistemas de controle de voo eletrônicos tem redundância tripla, às vezes quádrupla, para evitar uma falha completa do sistema. Entretanto, a probabilidade de falha, mesmo que baixa, ainda existe e o piloto continua sendo a última barreira para evitar – ou, às vezes, precipitar – o acidente.  Ao constatarmos uma incidência de falhas de sistema FBW que estão sendo mal administradas – e os acidentes estão apontando isso – então é hora de direcionarmos a questão aos fabricantes, operadores e, principalmente, às autoridades aeronáuticas: não está na hora de incorporarmos nos treinamentos dos tripulantes a operação de voo manual em modo DIRETO?

Referências:

https://www.mak-iac.org/upload/iblock/c01/report_ra-89098_pr_en.pdf