É comum que sistemas de controle automatizados usem sensores não redundantes?

Em geral, sim. Exceto em determinadas configurações, ou seja, autoland, as funções de autoflight geralmente são alimentadas com um conjunto de sensores.

Isso corresponde ao fato de que os instrumentos de vôo dos pilotos também são alimentados a partir de uma única fonte. Portanto, o comportamento e os instrumentos do piloto automático devem ter uma resposta coerente e previsível.

O principal motivo é o isolamento de falhas. Se a tripulação de vôo identificar uma falha nos instrumentos do capitão, a desativação das funções de instrumentação e voo automático do lado do capitão garantirá que os dados defeituosos não influenciem a instrumentação e os controles do copiloto.

Se o sistema tentar votar de forma "inteligente", você corre o risco de não conseguir isolar um sensor defeituoso, especialmente em situações com falhas no sensor 2 com falha no sensor 3. Outro problema clássico é como impedir que o sistema de votação se torne um ponto único de falha.

Os instrumentos são acompanhados por um comparador, que detecta diferenças significativas entre leituras redundantes e causa um aviso apropriado. A maioria dos sistemas trata o aviso como binário: a tripulação de vôo compara manualmente todas as leituras e, usando a lógica humana, decide quais são discrepantes.

A primeira resposta lida com aviônicos (visores, piloto automático, anunciações, aviso de paralisação), cuja falha na fonte única geralmente é de pouca importância. Se o seu aviso de estolagem falhar, não é grande coisa, já que se espera que o piloto faça uma verificação cruzada com as outras fontes (tela do co-piloto, ISI etc.) e, finalmente, corte o agitador de pau (empurrador de pau, por outro mão, é uma questão totalmente diferente). No entanto, para uma aeronave fly-by-wire, o outro lado da história da automação são os controles de vôo.

Como as leis de controle de vôo modificam as características de manuseio nos bastidores, é necessária muito mais redundância. Por lei, qualquer falha única nos controles de vôo, independentemente da probabilidade, não deve ser catastrófica. Então, dependendo da probabilidade de combinações de falhas, elas também precisam ser tratadas de acordo. Isso significa que fontes críticas nos computadores de controle de vôo devem ter redundância. Isso inclui dados inerciais, dados aéreos, AOA, posições de superfície etc. Os próprios computadores também devem ser redundantes e suficientemente diferentes para evitar falhas no modo comum que eliminarão todos eles de uma só vez.

Agora, como o MCAS faz parte dos controles de vôo, você acha que a redundância é necessária para combinar a probabilidade de falha com sua criticidade (inicialmente avaliada como perigosa, mas não catastrófica). Aí reside a controvérsia.

Em geral, não. Somente nos casos em que a falha do sistema tem muito pouco impacto na operação segura e contínua da aeronave.

Como mencionado em a esta pergunta, é necessário fazer uma análise sobre:

• Gravidade das consequências da falha do sistema.
• Tempo de exposição à condição de falha.
• A taxa de falhas do hardware.

As consequências de uma falha no piloto automático de cruzeiro são geralmente benignas (exceto algumas falhas graves), além de haver muita reserva em altitude e tempo para a tripulação avaliar o que está errado. Em um caso como esse, um único transdutor é tolerável.

Esta resposta fornece um exemplo da redundância no sistema de marca automática CATIII, que possui redundância tripla em todos os sistemas, incluindo os sensores. É um exemplo de sistema crítico, mas não o único. Como o @Jimmy menciona, os controles de vôo são, por definição, críticos para o vôo.