El 25 de mayo de 1972, el piloto de pruebas de la NASA Gary Krier subió a un F-8C Crusader modificado y despegó de la base aérea de Edwards. A diferencia de cualquier aeronave anterior, este caza enrutaba cada movimiento de palanca a través de una computadora de vuelo digital, que accionaba los alerones, los timones de profundidad y el timón de dirección. Fue el primer vuelo de un sistema de control de vuelo fly-by-wire digital sin respaldo mecánico[s], y transformaría la forma en que los seres humanos interactúan con las aeronaves.
Cómo los sistemas fly-by-wire reemplazaron el control mecánico
Durante décadas, los pilotos controlaban las aeronaves mediante una cadena física directa: tirar de la palanca movía mecánicamente el timón de profundidad a través de cables y poleas. El sistema era intuitivo, inmediato y dependía por completo del criterio y la habilidad del piloto.
Los sistemas de control de vuelo fly-by-wire cambiaron fundamentalmente esa relación. En una aeronave fly-by-wire, las entradas de control del piloto se convierten en señales electrónicas. Computadoras procesan estas señales y deciden cómo mover las superficies de control[s]. El piloto ya no comanda directamente la aeronave; el piloto solicita, y la computadora decide si responder y cómo.
La tecnología que hizo posible esto vino de una fuente inesperada: el programa Apollo. La computadora de guía que ayudó a los astronautas a navegar hacia la Luna demostró que los sistemas digitales podían confiarse con vidas humanas. Neil Armstrong, tras regresar de la superficie lunar, impulsó la transferencia de esta tecnología a la aviación[s].
El experimento de 13 años
El programa F-8 Digital Fly-By-Wire de la NASA se extendió durante 13 años y completó 211 vuelos[s]. La investigación demostró que los sistemas fly-by-wire digitales podían hacerse suficientemente fiables para uso práctico, y que ofrecían ventajas que los sistemas mecánicos no podían igualar: menor peso, menos mantenimiento y la posibilidad de volar configuraciones de aeronaves que de otro modo serían incontrolables.
Este trabajo de la NASA influyó directamente en el transbordador espacial, que utilizaba un sistema fly-by-wire digital con cuádruple redundancia. Durante las pruebas del transbordador Enterprise en 1977, surgió un problema de oscilación inducida por el piloto al aterrizar, causado por un retardo temporal en el sistema de control de vuelo[s]. El problema fue identificado y corregido gracias a las lecciones aprendidas del programa F-8.
Dos filosofías emergen
Cuando los sistemas de control de vuelo fly-by-wire pasaron de los aviones militares a los comerciales, surgieron dos filosofías de diseño en competencia.
Airbus, con el A320 en 1988, introdujo el primer avión comercial con protección completa de la envolvente de vuelo[s]. Este sistema impide que los pilotos excedan los límites estructurales y aerodinámicos de la aeronave, incluso si lo intentan. Tirar demasiado fuerte del sidestick, y la computadora se negará a cabecear la aeronave más allá del ángulo de entrada en pérdida. Inclinar demasiado, y la computadora limitará el alabeo. Estos «límites duros» no pueden anularse en vuelo normal[s].
Boeing tomó un camino diferente con el 777 en 1994. La filosofía de Boeing establece que «el piloto es la autoridad final para la operación de la aeronave»[s]. Sus sistemas fly-by-wire proporcionan avisos y resistencia, pero los pilotos pueden anularlos aplicando fuerza excesiva en los mandos[s].
Consecuencias reales
Ambas filosofías han sido puestas a prueba en situaciones de emergencia.
En enero de 2009, el capitán Chesley Sullenberger se enfrentó a un fallo doble de motor después de que pájaros golpearan el vuelo US Airways 1549 poco después del despegue en LaGuardia. Durante el descenso de emergencia y el amerizaje, la protección de la envolvente de vuelo del A320 le permitió tirar completamente del sidestick hacia atrás sin riesgo de entrada en pérdida, extrayendo el máximo rendimiento de la aeronave en crisis[s]. Las 155 personas a bordo sobrevivieron.
Menos de cinco meses después, el vuelo Air France 447 tuvo un desenlace más oscuro. Cuando las sondas Pitot se congelaron y proporcionaron datos de velocidad inconsistentes, las computadoras del A330 degradaron a la «ley alternativa», que desactivó la protección contra la entrada en pérdida. Los pilotos, desorientados por la cascada de fallos, realizaron entradas de control que pusieron la aeronave en una entrada en pérdida aerodinámica. Sin la protección normal contra la pérdida, la aeronave descendió sin control hasta el océano Atlántico, matando a los 228 ocupantes[s].
Los organismos reguladores de aviación tampoco lograron prevenir los fallos del MCAS en el Boeing 737 MAX, que causaron dos accidentes en 2018 y 2019 con 346 víctimas mortales, evidenciando las limitaciones de la supervisión sectorial.
El historial general de seguridad favorece la protección de la envolvente. Airbus informa que los accidentes por pérdida de control se han reducido en un 89 % en aeronaves equipadas con protección completa de la envolvente de vuelo[s].
El debate continúa
La cuestión de la autoridad del piloto sigue sin resolverse. Airbus argumenta que la protección de la envolvente «libera al piloto de la incertidumbre»[s] al permitir maniobras de evasión máximas sin temor a sobrecargar la célula. Boeing sostiene que los pilotos deben conservar el control definitivo para situaciones imprevistas.
Ambas posiciones tienen mérito. Lo que comenzó con el vuelo de prueba de Gary Krier en 1972 se ha convertido en el fundamento de la aviación moderna, con los sistemas de control de vuelo fly-by-wire siendo ahora estándar en prácticamente todas las aeronaves grandes. La tecnología ha permitido diseños de aeronaves que de otro modo serían imposibles de controlar, desde el transbordador espacial hasta el bombardero B-2[s]. Pero la pregunta fundamental planteada por ese primer vuelo sigue en pie: cuando un piloto y una computadora no están de acuerdo, ¿quién debe ganar?
El 25 de mayo de 1972, el piloto de investigación de la NASA Gary Krier realizó el primer vuelo de una aeronave con sistema de control de vuelo fly-by-wire digital operando sin capacidad de reversión mecánica. El banco de pruebas F-8C Crusader utilizó un sistema primario de guía, navegación y control Apollo adaptado para uso aeronáutico[s]. Este vuelo validó la premisa central del fly-by-wire digital: que el procesamiento de señales electrónicas y el control mediado por computadora pueden reemplazar los enlaces mecánicos directos en aplicaciones aeroespaciales de seguridad crítica.
Arquitectura de los sistemas fly-by-wire modernos
Los sistemas de control de vuelo fly-by-wire contemporáneos emplean múltiples computadoras de control de vuelo digital redundantes que procesan entradas del piloto desde transductores montados en la columna de control o el sidestick. Estas computadoras ejecutan leyes de control, algoritmos que traducen los comandos del piloto en comandos de deflexión de actuadores considerando las condiciones de vuelo actuales, la configuración de la aeronave y los límites de protección.
El programa F-8 demostró que los sistemas fly-by-wire podían proporcionar ventajas significativas: reducción del peso del sistema al eliminar componentes mecánicos, menores requisitos de mantenimiento y la capacidad de implementar leyes de control avanzadas imposibles con sistemas hidromecánicos[s].
Los sistemas de control de vuelo fly-by-wire permiten además la estabilidad estática relajada. Cuanto más inestable aerodinámicamente es una aeronave, más maniobrable puede ser. Una computadora que monitorea la actitud a alta frecuencia puede compensar la inestabilidad que superaría los tiempos de reacción humanos[s]. El F-16, uno de los primeros cazas de producción con fly-by-wire, aprovecha este principio para un rendimiento de combate superior.
Leyes de control y protección de la envolvente de vuelo
El Airbus A320, introducido en 1988, fue el primer avión comercial con protección completa de la envolvente de vuelo integrada en sus leyes de control[s]. Bernard Ziegler, vicepresidente sénior de ingeniería de Airbus, impulsó este desarrollo[s].
Los sistemas fly-by-wire de Airbus implementan múltiples modos de protección en su configuración de «Ley Normal»[s]:
- Protección de alto ángulo de ataque: Limita los comandos de cabeceo para prevenir la entrada en pérdida aerodinámica
- Protección de alta velocidad: Previene la sobrevelocidad que podría causar dificultades de control o daños estructurales
- Protección de actitud en cabeceo: Limita el ángulo de cabeceo para evitar subidas o descensos excesivamente pronunciados
- Protección de ángulo de alabeo: Limita el ángulo y la tasa de alabeo para evitar un balanceo excesivo o la inversión
- Protección de factor de carga: Mantiene la aceleración vertical dentro de los límites estructurales
- Protección alpha-floor: Aumenta automáticamente el empuje cuando se detectan estados de baja energía
Estas protecciones operan como «límites duros» en Ley Normal. El piloto no puede anularlas sin que el sistema degrade a Ley Alternativa o Directa, lo que normalmente requiere múltiples fallos del sistema[s].
Boeing versus Airbus: límites blandos versus límites duros
La implementación fly-by-wire de Boeing en el 777 refleja una filosofía diferente. La postura declarada de Boeing: «El piloto es la autoridad final para la operación de la aeronave»[s]. Los sistemas fly-by-wire del 777 proporcionan retroalimentación táctil y gradientes de fuerza de control incrementados conforme la aeronave se aproxima a los límites de la envolvente, pero los pilotos pueden anular estos «límites blandos» aplicando fuerza suficiente[s].
Esta elección de diseño preserva la continuidad con las características de manejo de las aeronaves Boeing anteriores, simplificando las transiciones de tripulación en toda la flota. También refleja la convicción de que emergencias imprevistas pueden requerir exceder los límites normales de la envolvente de vuelo.
El incidente del vuelo China Airlines 006 en 1985 ilustra el argumento a favor de la capacidad de anulación. El Boeing 747SP-09 entró en un descenso incontrolado tras un apagado de motor y una gestión inadecuada. La recuperación requirió un factor de carga estimado de 5,5G, más del doble del límite de diseño de la aeronave[s]. Un sistema fly-by-wire con límites duros habría impedido esta maniobra.
Modos de fallo del sistema
Los sistemas fly-by-wire introducen modos de fallo que no existen en los sistemas mecánicos. El accidente del vuelo Air France 447 demostró las consecuencias cuando las sondas Pitot heladas proporcionaron datos de velocidad inconsistentes. Las computadoras de control de vuelo, incapaces de conciliar las entradas contradictorias, degradaron de Ley Normal a Ley Alternativa, eliminando la protección contra la entrada en pérdida. La tripulación, confrontada con fallos en cascada e indicaciones de velocidad erróneas, aplicó entradas de morro arriba que indujeron una entrada en pérdida aerodinámica de la que no se recuperaron[s].
Los fallos del MCAS del Boeing 737 MAX en 2018 y 2019 revelaron un modo de fallo diferente. El Sistema de Aumento de las Características de Maniobra, diseñado para mejorar la estabilidad de cabeceo en ángulos de ataque elevados y no para ofrecer una verdadera protección de la envolvente, recibió datos erróneos de ángulo de ataque y comandó repetidamente trimado de morro abajo. Los organismos reguladores de aviación no habían detectado este fallo durante la certificación. La autoridad y persistencia del sistema superó la capacidad de los pilotos para contrarrestarlo, resultando en dos accidentes y 346 víctimas mortales[s].
Redundancia y fiabilidad
Lograr una fiabilidad aceptable en los sistemas fly-by-wire requiere una redundancia extensa. El programa NASA F-8 Fase II desarrolló un sistema digital triplex con capacidades de detección y aislamiento de fallos[s]. Los sistemas fly-by-wire comerciales modernos emplean típicamente múltiples computadoras, sensores y actuadores redundantes, con lógica de votación para detectar y aislar componentes fallidos.
El transbordador espacial utilizaba una arquitectura con cuádruple redundancia con cuatro computadoras IBM AP-101 operando en paralelo. El programa F-8 DFBW contribuyó directamente al desarrollo del control de vuelo del transbordador, identificando problemas de hardware y ayudando a resolver los problemas de oscilación inducida por el piloto descubiertos durante las pruebas del Enterprise[s].
54 años de evolución
Desde el vuelo de prueba de Krier en 1972 hasta los modernos sistemas de control de vuelo fly-by-wire, la tecnología ha madurado considerablemente. El F-16 demostró la viabilidad del fly-by-wire para cazas de producción; el F/A-18 Hornet en 1978 se convirtió en la primera aeronave de producción con fly-by-wire digital en lugar de analógico[s]. La tecnología ha permitido diseños de aeronaves que serían imposibles con mandos mecánicos, incluido el bombardero B-2 aerodinámicamente inestable y el transbordador espacial[s].
Airbus informa de una reducción del 89 % en accidentes de pérdida de control en vuelo para aeronaves con protección completa de la envolvente de vuelo[s]. Esta estadística apoya firmemente el enfoque de límites duros. Sin embargo, la tensión de diseño fundamental persiste: el sistema que previene los errores del piloto puede también impedir las gestas heroicas del piloto. Ambas posibilidades son reales. El debate sobre quién debe tener la autoridad final, el ser humano o la computadora, sigue siendo la pregunta abierta más trascendental de la aviación.
