Por que os computadores de bordo podem alterar os controles sem notificar os pilotos?

Existe um princípio geral de projeto, segundo o qual alguns, mas não todos, o comportamento do sistema de orientação de vôo ou do piloto automático devem estar visíveis para o piloto. Geralmente, o engate ou desengate automático de um sistema de controle é indicado, mas os submodais desses controles ou alterações manuais podem não ser indicados. Parece simples e lógico, mas, na realidade, é um problema complexo e complicado de fatores humanos. Exibir muita informação para os pilotos é tão ruim quanto exibir muito pouco, pois muita informação pode fazer com que eles ignorem os indicadores mais importantes, como um agitador de pau alertando sobre uma tenda iminente.

Sei que essa não é uma resposta muito satisfatória, mas é difícil para alguém que não seja um especialista em fatores humanos responder a uma pergunta muito geral como essa com regras rígidas e rápidas.

Por exemplo, muitos pilotos automáticos ignoram o aviso sonoro sobre o desengajamento se o desengate foi causado diretamente por uma ação piloto. O piloto nesta situação obtém apenas uma indicação visual de que o AP mudou de comportamento. Parece perfeito, mas no voo Aeroflot 593, um piloto deixou seu filho entrar no cockpit, que então aplicou pressão suficiente no jugo para desativar o controle automático do aileron. Não houve aviso sonoro, porque o desligamento foi considerado intencional pelo piloto automático. Isso era diferente dos aviões anteriores que o piloto voara, o que contribuiu para a confusão do piloto quando o avião começou a virar e depois entrar em um banco afiado.

A luz indicadora mencionada para o acidente do 737 Max Lion Air é para "desacordo ao AoA", não para o engate do MCAS, como você sugere. Embora esses tipos de indicadores de AoA sejam geralmente considerados boas idéias, ainda é uma área de debate o quanto eles ajudariam pilotos confusos, como no acidente da Lion Air ou o acidente da Air France 447.

Da mesma forma, a qualidade da indicação não foi a maior causa dos acidentes que você listou. Por exemplo, o voo 751 da Scandinavian Airlines provavelmente poderia ter retornado ao aeroporto com sucesso, mas uma parada de compressor devido ao gelo que atingiu os dois motores em baixas altitudes é uma situação ruim, independentemente do comportamento de empuxo automático. Sensores ruins e pilotos confusos podem derrubar um avião com indicadores perfeitamente projetados.

Editar: como essa resposta está chamando muita atenção, acho importante observar que realmente não abordo nenhuma consideração especial sobre a borda do envelope do voo, aparagem automática versus desativação automática ou alteração dos sub-modos ou prova de idiotas de sistemas de voo. Eu adoraria ver isso coberto com mais detalhes por pessoas com experiência.

Existem dois tipos de pilotos automáticos, um para o comportamento em torno do CoG e outro para o controle do CoG, conforme mencionado em esta resposta. Também chamado de Loop Interno e Loop Externo. Em resumo:

1. O F-16 é aerodinamicamente instável e possui um sistema de controle rápido que aplica deflexões da superfície de controle para fornecer estabilidade artificial. Isso é feito para tornar a aeronave extremamente manobrável. O piloto é deliberadamente mantido inconsciente de todos esses desvios rápidos de controle; para eles, parece que a aeronave está estável. Os pilotos automáticos do Inner Loop não fornecem feedback aos pilotos, por design.

2. Os pilotos automáticos que podem ser configurados para voar para um determinado ponto de ajuste são os sistemas de controle Outer Loop. Por design, eles do forneça feedback ao piloto sobre o que eles estão fazendo, para que ele possa sentir e ver que tipo de entrada é fornecida e pode substituí-la se considerar que está incorreta. O A320 não tem como mover o manípulo, portanto, essa sugestão de feedback não está disponível e a atenção é exigida pelos alertas.

Este artigo explica a filosofia de design do sistema MCAS: era um recurso de estabilização automática em um estado de voo fora do envelope normal - as circunstâncias em que o controle do circuito interno é normalmente aplicado.

Então, para responder à sua pergunta: sim, alguns computadores de vôo alteram a deflexão da superfície de controle sem notificar os pilotos.

No caso do MCAS e do controle do estabilizador, há uma "notificação" de que os estabilizadores estão sendo ajustados automaticamente na forma das duas rodas em ambos os lados dos controles de pressão. Eles giram, têm marcas e são muito barulhentos, de modo que os pilotos não poderiam ignorar sua atuação. O problema era que os pilotos desconheciam (aparentemente) a possibilidade de desligar as entradas do estabilizador automático do MCAS e continuavam tentando substituir manualmente os ajustes do MCAS / estabilizador. Os interruptores para desligar as entradas do estabilizador estão bem na frente dos controles de pressão no lado do copiloto.