Tag Archives: QZ8501

320-Overhead-With-Crew

QZ8501: Sekring dan keluar dari kursi pilot – dari ombak kecil ke Tsunami

Ketika Komite Nasional Keselamatan penerbangan memberikan keterangan 18 butir mereka serta keterangan² mereka di sesi-tanya jawab mengenai kejadian QZ8501 pada tanggal 29 Januari 2015, banyak sekali informasi yang terungkap. Namun tidak lama kemudian, Bloomberg lalu Reuters memuat berita bahwa kapten pesawat tersebut sempat tidak berada di kursinya pada saat kejadian.

Dari ombak kecil…

320-FBW-3
Flight Augmentation Computer mengendalikan rudder A320 secara eletronik. (sumber: Airbus)

Kabar tersebut menyebutkan sumber² yang tidak bisa disebut namanya tetapi “dekat dengan investigasi,” menyatakan bahwa awak pesawat sempat mematikan Flight Augmentation Computer (FAC) pesawat. Di awalnya media menulis “awak pesawat mematikan sistim komputer yang penting sebelum jatuh.” Ya, memang FAC itu cukup penting, tetapi mematikannya tidak akan menjatuhkan pesawat. Beberapa media juga sempat mencoba menjelaskan bahwa dengan matinya FAC dan pesawat keluar dari Normal Law dan terbang menggunakan Alternate Law mengakibatkan pesawatnya susah dikendalikan sehingga pesawat jatuh. Faktanya, terbang menggunakan Alternate Law itu tidaklah jauh lebih sulit dibandingkan Normal Law, bedanya penerbang haruslah lebih hati² karena perlindungan flight envelope yang mencegah anda dari stall, overspeed, atau jungkir balik, sudah tidak berfungsi lagi.

… Menjadi Tsunami

Pada hari Jumat, Bloomberg melaporkan “seseorang yang tidak asing dengan investigasi” mengatakan bahwa setelah mencoba me-reset kedua FAC, kapten pesawat mencabut sekring/pemutus sikuit untuk  sistim FAC. Reuters sepertinya yang melanjutkan kisah ini dari “mematikan FAC” menjadi “mencabut sekring/pemutus sirkuit.” Berita yang sebelumnya hanyalah ombak kecil, telah menjadi tsunami.

  • Sekring/pemutus sirkuit FAC tidak gampang dicapai dari kursi pilot atau membutuhkan salah satu pilot untuk keluar dari kursi.
  • Tidak ada prosedur Airbus yang meminta awak pesawat untuk mencabut sekring/pemutus sirkuit untuk mematikan atau me-reset sistim Flight Augmentation Computer di pesawat A320.

Bagi yang tidak mengerti, tentu adanya 2 media global bereputasi tinggi ini memuat berita “kapten keluar dari kursinya” mengakibatkan media² berita lainnya membawa kabar ini ke semua penjuru dunia. Tsunaminya sudah tidak bisa dikendalikan lagi.

Sedikit penelusuran yang saya lakukan

Sisi jiwa skeptis saya berfikir bahwa ada sesuatu yang ganjil dari berita² ini. Pilot tidak akan sembarangan mengarang prosedur baru dalam menangani masalah sistim pesawat. Jika kedua media global tersebut bisa menggunakan ‘sumber yang tidak bisa dinamakan’, lalu kenapa saya tidak bisa melakukan hal yang sama? Toh, sumber mereka kan adalah ‘orang yang dekat’ dengan investigasi, sedangkan sumber saya memang orang yang melakukan investigasi. Akhirnya saya tanya langsung.

Jawaban yang diberikan oleh sumber saya adalah kemungkinan bahwa Bloomberg dan Reuters disesatkan baik secara sengaja atau tidak, atau terjebak dalam masalah penerjemahan bahasa. Tim investigasi sama sekali belum menyimpulkan atau menemukan bukti bahwa kapten sempat meninggalkan kursinya pada saat kejadian. Hal ini saya asumsi berdasarkan apa yang mereka dengan dari pembicaraan yang terekam di Cockpit Voice Recorder (CVR). Sumber saya juga menegaskan bahwa kedua awak berkoordinasi siapa yang menerbangkan pesawat dan siapa yang melakukan penelusuran masalah dimana FAC memang disebut (namun apakah hanya 1 atau kedua FAC yang bermasalah, tidak disebut). Beliau juga menegaskan bahwa awak pesawat tidak mengarang prosedur seenaknya selama kecelakaan.

Sebelumnya, KNKT sempat mengatakan bahwa stall warning pesawat sempat berbunyi, yang mengartikan bahwa pesawat sudah tidak terbang dalam Normal Law (dimana pesawat dilindungi dari stall, overspeeding, atau jungkir balik) tetapi di Alternate Law. Gabungan dari ini dan berita sebelumnya mengenai kedua FAC sempat dimatikan, membawa saya untuk melihat lagi prosedur penanganan kerusakan pada kedua FAC pesawat:

AUTO_FLT_FAC_BOTH

Sudah jelas bahwa sekring/pemutus sirkuit tidak terlibat, dan saya rasa sudah cukup pembahasan mengenainya. Lalu untuk mematikan FAC menggunakan tombol yang mana? Apakah pilot harus keluar dari kursinya? Mari kita lihat posisi kedua tombol tekan / sakelar FAC di panel atas kokpit A320:

320-Overhead-With-Crew-A

Saya rasa cukup jelas bahwa tombol tekan FAC yang berada diatas masing² pilot gampang sekali dicapai, dan untuk kapten bisa mencapai tombol tekan FAC2 atau ko-pilot bisa mencapai tombol tekan FAC1, masing² tidak butuh keluar dari kursi cukup dengan sedikit menggapai dari kursi. Jelas hal ini sangat berbeda dengan harus “keluar dari kursinya.”

Kesimpulan mengenai tsunami kabar ini 

Bagaimana berita ini bisa cepat berubah dari mematikan FAC menjadi menarik/mencabut sekring/pemutus sirkuit, dan dari menggapai menjadi keluar dari kursi?

Jawaban singkat saya: kabar ini terjebak dalam penerjemahan bahasa!

Kebingungan sederhana yang dialami seorang penulis yang tidak mengerti/sadar bahwa me-reset FAC dan mematikan FAC menggunakan tombol-tekan yang sama, dapat menyebabkan keyakinan bahwa mematikan FAC artinya menarik sekring/pemutus sirkuit FAC.

Butuhnya bersandar keluar untuk menggapai tombol tekan, mengingat adanya hambatan penggunaan bahasa yang berbeda (bahasa awam vs bahasa teknis, dan bahasa Inggris dengan bahasa Indonesia atau lainnya) dapat mengakibatkan kesulitan pengartian pergerakan atau aktivitas kapten di/dari kursinya. Kalau kita gabungkan kedua hal tersebut, maka gampang sekali penulis bisa menyalah artikan “berarti dia pasti meninggalkan kursinya untuk menggapai sekring/pemutus sirkuit.”

Kebanyakan jurnalis mainstream bukanlah jurnalis penerbangan, dan sering kali kantor berita mereka mengandalkan pakar penerbangan mereka untuk mengubah bahasa teknis ke bahasa awam. Ini tentunya menambah tantangan penerjemahan dalam upaya menyampaikan konteks yang tepat.

Di hari minggu pagi, Tempo, memuat berita bahwa KNKT membantah kapten keluar dari kursi. Ketua tim investigasi menyatakan, “ngarang! nggak ada itu,” mengenai dugaan/tuduhan bahwa pilot sempat keluar dari kursi. Sayangnya judul beritanya adalah KNKT membantah kapten sempat keluar dari kokpit. Untungnya, saya kenal penulis berita tersebut dan menanyakan, apakah yang dibantah itu “keluar dari kursi” atau “keluar dari kokpit.” Jawabannya: DUA-DUANYA!

Sekarang, mari kita tunggu apakah Bloomberg dan/atau Reuters akan memuat berita baru mengenai KNKT membantah kapten sempat meninggalkan kursinya.

UPDATE:

Menjelang akhir hari senin 2 Februari, Reuters memuat berita bahwa tim Investigasi tidak menemukan bukti bahwa captain keluar dari kursi saat kejadian.

320-Overhead-With-Crew

QZ8501: Circuit breakers and pilot seats – Turning snowballs into avalanches

When the National Transportation Safety Committee revealed the factual information on the QZ8501 accident, their 18 point press release and the questions and answers made on 29 January, revealed nothing that was previously unexpected. However, not long after that, Bloomberg and later Reuters, began running a story that the Captain was not in his seat at some point in the accident.

The Snowball

320-FBW-3
The Flight Augmentation Computer provides electronic control for the A320 rudder. (source: Airbus)

The revelation comes from unnamed sources “close to the investigation”, stating that the crew were switching off the aircraft’s Flight Augmentation Computers (FAC). Initially, most of the media wrote that “crew switched off critical computers before crash.” Well, the FAC is critical but switching them off, shouldn’t cause the airplane to crash. Some media did attempt to make the aircraft’s reconfiguration to Alternate Law for the flight control system as making the airplane hard to control, leading to the crash. Flying in Alternate Law is no big deal, although you must be aware that the aircraft no longer protects you from stalling, overspeeding, or rolling over inverted.

The media spin, has turned this item into a snowball.

The Avalanche

On Friday, Bloomberg reported that “one person/people familiar with the investigation” said that the after trying to reset the device the captain pulled the circuit breaker on the device (FACs). Reuters seemed to have made the jump from “switching the device off” to “pulling the circuit breakers.” This was the start of the avalanche.

  • The circuit breaker for the FAC, cannot be reached easily from the seat, so someone had to leave or stretch out quite far from his seat.
  • There is no Airbus procedure that asks for the crew to pull the circuit breakers to switch off, or reset the Flight Augmentation Computers on the A320.

Having a 2 reputable global media on this, obviously led to a global newsfeed frenzy pumping news of “captain left his seat” to all corners of the world.

My own little investigation

The skeptical me thought something does not seem right. Pilots do not make up procedures in troubleshooting. If global media can use unnamed sources, then why can’t I call my unnamed source. The difference being that my source isn’t someone familiar with the investigation, he is in the investigation team. So I asked.

The answer from my source, was that Bloomberg and Reuters may have been misled or got lost in the translations. The investigating team have not made such a conclusion or have not found evidence of the captain leaving his seat, presumably based on the conversations heard in the CVR. My source said that both crew were troubleshooting (with one flying and one troubleshooting), that FAC fault (unclear single or dual) was mentioned, and that the crew did not make up troubleshooting procedures as they went along.

As previously it was reported that the stall warnings did go off, it can be assumed that the aircraft was not flying in Normal Law (where the airplane is protected from stalls, overspeeding, or rolling over) but in Alternate Law instead. Combine this with previous news that the FACs were both switched off, let’s have a quick look at the DUAL FAC Fault procedure:

AUTO_FLT_FAC_BOTH

Enough talk of the circuit breakers. Let’s see if turning off the FACs require pilots to leave their seat. Here is the A320 cockpit and where the FAC switches are on the overhead panel:

320-Overhead-With-Crew-A

As you can see, it is reachable from the pilot seats. However, the captain may need to stretch or loosen his seat harness to reach the FAC2 switch, and the same for the first officer to reach the FAC1 switch. This, is very different from “leaving his seat.”

My Conclusions on the Avalanche

How did the story went from switching off the FAC to pulling the circuit breaker, and from stretching to reach a switch to become the captain leaving his seat?

My simple answer: it got lost in the translation!

Simple confusion from a writer not realizing that that resetting the FACs and switching it off involve the same push-button switch could lead to the belief that switching it off means pulling the circuit breaker.

The need to stretch to reach a switch, given language barriers (eg: if source and the media speak in different languages), can result in difficulties of the context of the captain’s movement in his seat. Combined with the confusion over switch vs circuit breaker, put the two together, and there you have it, “he must have left his seat to reach the circuit breaker.”

Mainstream journalists are mostly not aviation journalists, and often even their news bureau rely on aviation experts to convert the technical language into layman’s terms. This adds another translation barrier for the context to be conveyed correctly.

On sunday morning, one of the local media, Tempo, put out a piece stating that the NTSC denies the stories that the captain left his seat (link in Indonesian only). The Investigator In Charge was quoted, saying “Fiction! There was no such thing!” Unfortunately the article is titled “NTSC denies that Captain left the cockpit”, but luckily I know the author so I asked him if he meant “left the cockpit” or “left his seat”. The answer is: BOTH!

Let’s see if Bloomberg and Reuters will update their stories quoting the NTSC’s refuting that the captain left his seat.

UPDATE:
Late on Monday 2 February, Reuters has put out a story that the investigators say no evidence that the captain left his seat.

AUTO_FLT_FAC_BOTH

QZ8501: FBW Bag 3 – Prosedur Pilot untuk Sistim Rudder

Saya harap ini merupakan bagian terakhir dari seri artikel mengenai FBW QZ8501 mencangkup FBW, pemeliharaan Flight Control System dan prosedur pilot.

Bagian² sebelumnya:

  1. QZ8501: FBW Bag. 1 – Komputer² A320
  2. QZ8501: FBW Bag 2 – FAC dan Maintenance

Saya merasa terganggu dengan kabar di sebuah media global bahwa ada bocoran informasi dari sumber yang dekan dengan investigasi namun tidak mau diidentifikasi, bahwa pada saat kejadian pilot mungkin mematikan Flight Augmentation Computer (FAC), dan media tersebut juga mengutip bahwa “Airbus – pabrik pembuat pesawat – tidak menyarankan pilot² memutuskan aliran tenaga ke sebuah sistim karena akan mempengaruhi kinerja komponen² lain” dan mengutip salah satu pakar keselamatan yang mengatakan, “terutama di pesawat Airbus, anda jangan melakukan itu”, karena cara artikel tersebut ditulis sangat beresiko untuk disalah artikan dan dapat mengakibatkan penggiringan opini pembaca untuk memvonis secara tidak adil bahwa pilot salah. Namun saya juga bisa mengerti bahwa pakar keselamatan tersebut mungkin tidak diberi konteks pertanyaan yang tepat sehingga jawabannya bisa menjadi tidak tepat.

Saya menulis artikel ini karena bilamana pesawat sedang mengalami masalah dengan FAC, prosedur Airbus malah menginstruksikan awak pesawat untuk me-reset FAC. Jadi, mari kita mulai dengan melihat beberapa dari fault yang mungkin terjadi di pesawat tersebut di hari nahas tersebut.

AUTO FLT RUD TRV LIM 1 (2)

Ini masalah yang dilaporkan oleh salah satu media lokal terjadi di pesawat pada 12-19 Desember. Pada saat ini terjadi, layar monitor Electronic Centralized Aircraft Monitor (ECAM) pesawat seharusnya memperlihatkan yang berikut:

AUTO_FLT_RTL12

Tidak ada aksi yang harus dilakukan, dan sesuai manual pesawat mengenai Fligth Control Law Reconfiguration, pesawat akan tetap berada di hukum kendali Normal Law dan Autopilot akan tetap berfungsi jika salah satu dari rudder travel limiter rusak atau tidak berfungsi.

AUTO FLT RUD TRV LIM SYS

Bila kedua-dua Rudder Travel Limiter rusak, atau FAC mendeteksi adanya fault dalam sistim rudder travel limiter secara menyeluruh, maka sistim pesawat akan memberikan peringatan fault dan awak pesawat akan melihat yang berikut ini di layar monitor ECAM:

AUTO_FLT_RTL_SYS

Fault ini akan menghentikan semua fungsi rudder travel limiter (maka awak pesawat diingatkan untuk berhati-hati menggunakan rudder untuk kecepatan diatas 160 knots), dan prosedur yang harus dilakukan meminta crew untuk satu per satu me-reset kedua FAC yang ada dipesawat.

FAC 1 (2) FAULT

Bagaimana bila  malah FAC anda yang rusak? Anda tentunya tidak mau terbang tergantung dengan sebuah FAC yang rusak bukan? Ini prosedurnya bilamana situasi tersebut terjadi:

AUTO_FLT_FAC12

Tentunya, penerbangan akan lebih aman bila tidak tergantung pada sebuah komputer yang rusak. Matikan saja bila tidak bisa di-reset.

AUTO FLT FAC 1 + 2 FAULT: Ketika semua FAC anda rusak!

Pertama, anda akan mendengar dan melihat Autopilot pesawat berhenti berfungsi, dan hukum kendali pesawat akan pindah dari Normal Law ke Alternate Law sesuai diagram berikut:

320-FBW-4
Kegagalan pada kedua FAC menghasilkan Autopilot tidak bisa berfungsi dan rekonfigurasi ke Alternate Law. (Sumber: Airbus)

Lalu, lakukan prosedur berikut:

AUTO_FLT_FAC_BOTH

Prosedur menginstruksikan agar masing² FAC di reset dengan dimatikan lalu dinyalakan kembali. Bilamana reset tersebut gagal untuk menghilangkan fault / kerusakan, maka matikan kedua FAC tersebutBila kedua FAC dimatikan, hukum kendali pesawat akan menjadi Alternate Law with no protection, dan autopilot tetap akan tidak bisa difungsikan sebelum masalah ditindak lanjuti setelah mendarat.

Bagaimana bilamana mereka dihadapi dengan yaw damper failure?

Hukum kendali pesawat akan pindah ke Alternate Law sesuai dengan diagram rekonfigurasi hukum kendali, dan kedua FAC masing² harus di-reset. Detil prosedurnya tidak saya muat disini karena sangat mirip dengan prosedur dual FAC fault yang tertera diatas.

Jadi, apa yang kita ketahui mengenai kejadian ini?

  • KNKT dan/atau anggota² KNKT telah mengatakan bahwa stall warning pesawat terdengar menyala. Artinya, pesawat sudah tidak berada di bawah hukum kendali Normal Law.
  • Apa yang menyebabkan pesawat pindah ke ALTERNATE LAW, kemungkinannya antara lain:
    1. Kegagalan pada Yaw Damper system, ini akan mengakibatkan pesawat rekonfigurasi ke Alternate Law.
    2. FAC 1 AND 2 FAULT. Ini akan mengakibatkan pesawat rekonfigurasi ke Alternate Law, dan membutuhkan masing² FAC untuk di-reset secara berurutan, dan bila reset gagal menyelesaikan masalah, maka FAC harus dimatikan hingga pesawat mendarat.
    3. Kedua FAC di-reset secara bersamaan secara tidak sengaja oleh para pilot, ini akan mengakibatkan pesawat rekonfigurasi ke Alternate Law.
  • Salah satu sumber di tim investigasi pernah menyatakan ke media bahwa kedua FAC sempat mati, namun detil informasi ini masih terlalu ambigu pada saat ini. Tidak ada informasi mengenai kapan di kejadian nahas ini kedua FAC dimatikan.

Kita seharusnya sangat berhati-hati ketika menafsir informasi bocoran dan informasi yang tidak lengkap, tidak buru² mengambil kesimpulan, dan kita jangan masuk ke perangkap penggiringan persepsi dan opini yang bisa secara tidak sadar terjadi ketika hal² seperti ini diungkapkan sedikit demi sedikit.

Saya pribadi percaya bahwa kebenaran akan diungkapkan oleh Komite Nasional Keselamatan Transportasi, pada waktunya.

320-MEL

QZ8501: FBW Bag 2 – FAC dan Maintenance

Artikel / Bagian sebelumnya:

QZ8501: FBW Bag. 1 – Komputer² A320

Pada tanggal 22 Januari, saya diminta oleh salah satu media massa nasional untuk menjelaskan beberapa hal terkait informasi pesawat yang terlibat kecelakaan QZ8501, yaitu PK-AXC. Mereka ingin mengetahui apakah informasi yang mereka dapatkan mengakibatkan pesawat tersebut tidak layak terbang pada tanggal 28 Desember 2014.

T-Questions
Email yang saya terima mengenai PK-AXC dari 12 Desember hingga 26 Desember

Informasi ini sempat membuat saya kaget, bukan karena informasi maintenance yang dimuat didalam email tersebut, tetapi mengenai bagaimana mereka bisa mendapatkan informasi ini karena pihak maskapai dan investigasi kecelakaan selayaknya menyimpan rahasia data ini selama masa investigasi).

Anyway, yang saya artikan dari email tersebut:

  • 12-19 Desember defects write up: Auto Rudder Travel Limiter 1 and 2, ELAC fault.
  • Pengecekan lebih lanjut akhirnya menyimpulkan bahwa Rudder Travel Limiter 2 dinyatakan sebagai MEL Category C (10 hari untuk menyelesaikan masalahnya). Tanggal dimana hal ini dinyatakan tidak ada.
  • 21-25 Desember: Terdapat fault pada Auto Rudder Travel Limiter Sys(tem).
  • 26 Desember: FAC2 diganti (dengan FAC dari pesawat PK-AXV).

Saya bukanlah engineer pemeliharaan pesawat, namun saya tetap berusaha untuk menjawab pertanyaan² di email tersebut sebaik mungkin.

  • Jika fault tersebut terjadi sewaktu pesawat masih di darat, maka pesawat tersebut (sebaiknya) tidak terbang sebelum alat yang dilaporkan rusak di cek atau di non-aktifkan sesuai MEL (Minimum Equipment List) yang di approve untuk pesawat tersebut.
  • Jika komputer² yang dilaporkan bermasalah (FAC, dan juga ELAC) di-reset, dan fault tersebut hilang, maka pesawat bisa terbang dan fault tersebut akan ditelusuri dan ditangani setelah pesawat selesai terbang.
  • Write-up yang dilakukan harus di tindak lanjut oleh pihak maintenance untuk diagnostik dan perbaikan.
  • Rudder Travel Limiter 2 yang rusak bukanlah masalah selama dilakukan write-up sebagai MEL Category C, yang harus diselesaikan dalam waktu 10 hari setelah write-up.
  • MEL atau Minimum Equipment List pesawat menyatakan bahwa anda boleh terbang dengan salah satu dari 2 motor Rudder Travel Limiter yang rusak selama berada dalam MEL Category C.

Sayapun mencari informasi² tersebut di MEL untuk sistim² yang tercantum dalam email tersebut.

320-MEL

Dari penelusuran ini saya menyimpulkan bahwa apa yang dilakukan oleh pihak maskapai sudah benar dan tidak ada masalah. Akhirnya saya mendapatkan informasi bahwa MEL Category C untuk RTL2 dilakukan pada tanggal 19 Desember. Artinya, pesawat tersebut memang dibolehkan terbang dengan RTL2 yang rusak dan dinyatakan sebagai MEL Category C hingga akhir tanggal 29 Desember.

Saya juga menanyakan seseorang di Air Asia yang mengetahui masalah² ini dan dia menyatakan bahwa aksi maintenance yang dilakukan sudah dilakukan pada tanggal 26 Desember (dan tidak hanya mengganti FACnya saja), dan dilakukan sesuai Airbus AMM (Aircraft Maintenance Manual) dan TSM (Technical Service Manual), serta faults yang dilaporkan sudah tidak timbul lagi baik di darat maupun diudara.

Pada tanggal 29 Januari, Komite Nasional Keselamatan Transportasi menyatakan pada press conference bahwa pesawat PK-AXC memang layak untuk terbang. Maka dengan itu saya bisa mempercayai penuh informasi yang saya dapatkan melalui rekan saya, bahwa aksi maintenance yang dilakukan sudah benar dan sesuai. Namun pada akhir hari tersebut, media mulai memuat berita bahwa awak pesawat “mematikan FAC” atau me-reset FAC di saat kejadian.

Apakah masalah rudder dan FAC tersebut memang kembali di hari nahas tersebut? Jika iya, apa yang bisa dilakukan kedua pilot pada menit² terakhir untuk bisa menyelamatkan pesawat?

Artikel / Bagian Berikutnya:

QZ8501: FBW Bag 3 – Prosedur Pilot untuk Sistim Rudder

320-FBW-2

QZ8501: FBW Bag 1 – Komputer² A320

Setiap kali ada kecelakaan pesawat Airbus, sepertinya publik bahkan para pakar penerbangan kebingunan mengenai sistim komputer pesawat dan fungsi² komponen² komputer pesawat. Kasus QZ8501 bukanlah sebuah pengecualian.

320-FBW-1

Pengertian mendasar sistim Fly-By-Wire  (sumber: Airbus)

Pesawat A320 memiliki sistim pengendalian fly-by-wire (FBW), dimana input² yang dilakukan pilot maupun autopilot diproses terlebih dahulu melalui sistim computer untuk diterjemahkan menjadi output manuver yang aman, menghindari kondisi² berbahaya seperti terbalik, terlalu cepat, stall, dan lain². Arsitekturnya sistim computer A320 memang lebih antik dibanding pesawat A330/340/350/380 yang menggunakan 4 Primary Computers dan 3 Secondary Computers.

Sistim Komputer A320 :

320-FBW-2
Sistim Fly-By-Wire Airbus A320 (sumber: Airbus)

Sistim FBW A320 terdiri dari:

  • 2 ELACs (ELevator and Aileron Computers), untuk pengendalian elevator, horizontal stabilizer (sayap yang dibelakang), dan aileron pada kondisi² normal.
  • 3 SECs (Spoilers and Elevator Computers), untuk pengendalian spoiler, dan pengendalian cadangan untuk elevator dan horizontal stabilizer.
  • 2 FACs (Flight Augmentation Computers), untuk pengendalian rudder pesawat secara elektronik.

Hukum Kendali A320: Normal Law

Ketika semua komputer berjalan normal dan input²nya juga berfungsi baik, A320 diterbangkan dalam hukum kendali Normal Law, dimana sudut tanjak (pitch) dikendalikan melalui load factor (berapa G yang anda inginkan dari pesawat dimana netral = 1G), kemiringan pesawat (roll) dikendalikan oleh roll rate (berapa derajat per detik), dan  koordinasi yaw (arah hidung pesawat)  diberikan secara otomatis (untuk mencegah belok yang tidak seimbang semisal skidding dan slipping) serta peredamannya.

Di Normal Law, pesawat terlindungi dari input² yang salah atau berbahaya untuk pesawat seperti menanjak terlalu tajam yang beresiko stall atau berguling hingga jungkir balik. Hal in diberi istilah envelope protection.

Hukum Kendali Alternate Law A320 FBW: Ketika masalah mulai timbul

Jika timbul beberapa kesalahan atau kerusakan yang cukup atau kritis di sistim FBW, maka sistim tidak bisa memberikan envelope protection dan kondisi ini diberi nama Alternate LawKalau problemnya lebih banyak lagi maka hukum kendali akan turun 1 tahap lagi yaitu ke Direct Law, dan yang terakhir adalah Mechanical Law. Saya tidak akan membahas kedua hukum kendali terakhir karena masih tidak relevan dengan musibah QZ8501 hingga saat artikel ini ditulis.

Kesalahan² dan kerusakan² yang bisa menurunkan FBW dari Normal Law ke hukum kendali lainnya tertera sebagai berikut:

320-FBW-4
Diagram rekonfigurasi hukum kendali A320 (sumber: Airbus)

Sesuai diagram diatas, bila terjadi kesalahan/kerusakan input atau ada kerusakan pada komponen FBW yang mencegah FBW beroperasi secara aman dalam Normal Law, maka FBW akan rekonfigurasi sendiri. Artinya, sistim FBW seperti mengatakan kepada pilot, “Saya tidak bisa melindungi anda lagi, jadi mohon jaga diri anda sendiri.” Tentunya, ketika FBW melakukan ini, awak pesawat akan diberi tahu melalui bunyi pemberitahuan dan kerusakan serta efek dari kerusakan tersebut ditayangkan di layar monitor paling bawah di panel depan kokpit, agar pilot dapan melakukan aksi atau tindakan yang dibutuhkan.

Flight Augmentation Computer: Apa fungsinya?

320-FBW-3
A320 FBW Rudder Control (source: Airbus)

Bagian dari sistim FBW yang banyak menarik perhatian dikejadian ini adalah FAC. Disini kita bisa lihat apa saja yang dikendalikan oleh FAC.

  • Rudder Limit: FAC mengendalikan 2 motor Rudder Limit yang membatasi pergerakan rudder (sirip tegak kemudi) di kecepatan tinggi untuk mencegah pergerakan besar rudder yang bisa merusak pesawat.
  • Yaw Damping & Turn Coordination: 2 servo Yaw damper dikendalikan oleh FAC untuk meredam getaran dan osilasi ekor.
  • Rudder Trim: 2 Rudder Trim Motors dikendalikan oleh FAC untuk membantu meluruskan pesawat (bilamana pesawat sudah tua pesawat butuh bantuan untuk bisa terbang lurus, atau bila kedua mesin kondisinya jauh berbeda sehingga menghasilkan daya dorong yang berbeda pada kecepatan putar mesin yang sama).
320-FBW-3a
Skema pengendalian Rudder A320  (source: Airbus)

Disini kita bisa lihat fungsi² kendali rudder dan FAC secara lebih detil.

Bagian / Artikel Berikut:

AUTO_FLT_FAC_BOTH

QZ8501: FBW Part 3 – Pilot Procedures on Rudder Problems

Hopefully this is the last part of the QZ8501 FBW series of articles covering the FBW, Flight Controls maintenance, and Pilot procedures.

Previous Parts are:

  1. QZ8501: FBW Part 1 – Understanding A320 Computers
  2. QZ8501: FBW Part 2 – FAC and Maintenance

I am disturbed by the leak from unnamed sources within the investigation that the pilots may have switched off the Flight Augmentation Computers (FAC), and that the media has quoted that “Airbus – the plane’s manufacturer – discourages pilots from shutting off power systems as it can affect other components” and quoting a safety expert saying, “particularly with an Airbus you don’t do that” as the way it is written, is open to gross misinterpretation and could result in incorrectly laying blame on the crew as a result. However, I don’t blame the safety expert as he may not have been asked the right question in the right context and therefore the answer may not be the right one.

On the contrary, if the FACs have a problem, Airbus procedures do allow for the crew to reset the FACs. So, let us start by looking at what faults may have occurred on the aircraft on that fateful flight.

AUTO FLT RUD TRV LIM 1 (2)

This is what was reported by one local media occurring between 12 and 19 December. The aircraft’s Electronic Centralized Aircraft Monitor (ECAM) would show the following:

AUTO_FLT_RTL12

There is no action to be done, and in accordance to the manual on Flight Control Law Reconfiguration, the aircraft would remain in Normal Law and the Autopilot can remain functioning with the loss of one rudder travel limiter.

AUTO FLT RUD TRV LIM SYS

If both Rudder Travel Limiter are faulty, or the FAC detects a fault within the Rudder Travel Limiter system as a whole, then the system would generate this fault warning, and the crew would see this on their ECAM:

AUTO_FLT_RTL_SYS

This fault will render the rudder travel limiter inoperative (hence need to use rudder with care above 160 knots), and the procedure does ask for the FACs to be reset one by one, contrary to what one “expert” has said (but am sure he agrees that in this context, it has to be done).

FAC 1 (2) FAULT

What happens when your FAC gets faulty? Surely you don’t want to fly relying on a faulty FAC, right? This is the procedure for such a situation:

AUTO_FLT_FAC12

Again, it is safer to fly without relying on a faulty computer.

AUTO FLT FAC 1 + 2 FAULT: When both your FACs are screwed!

First, you’ll hear the autopilot disengaging, the aircraft then reconfigure to Alternate Law as per the Flight Control Reconfiguration flow:

320-FBW-4
Double FAC failure will lead to Autopilot lost and reconfiguration to Alternate Law. (source: Airbus)

 Then, do the following procedure:

AUTO_FLT_FAC_BOTH

No surprises here, it asks for the FACs to be individually and sequentially reset by switching off then on. If the reset does not solve the problem, then switch both off. When you switch both FACs off, your flight control laws reconfigure to Alternate Law with no protection, and that your autopilots continue to be inoperative until you fix the whole problem on the ground.

What if they had a yaw damper failure?

The aircraft would also enter Alternate Law as per the reconfiguration flow, and you are required to reset the FACs one by one. I am not putting up the procedure because it is similar to the dual FAC fault procedure above.

So, what do we know about what happened?

  • The NTSC and/or its members have stated that the aircraft stall warning had activated. This means the aircraft was no longer working in Normal Law.
  • What caused the aircraft to enter ALTERNATE LAW, may be any of the following:
    1. Yaw Damper system failure. This is a system dependent on the FAC that reported had a fault. The failure would reconfigure the aircraft into Alternate Law.
    2. FAC 1 AND 2 FAULT. This would reconfigure the aircraft into Alternate Law, and require the FACs to be reset sequentially, and if the reset failed, the FACs are to be switched off for the rest of the flight.
    3. Inadvertent reset of both FACs at the same time by the crew. This would reconfigure the aircraft to Alternate Law.
  • A source from the investigation has stated to the media that both FACs at one stage were switched off, although the details of this are too ambiguous at the moment. There is no information as to when during the mishap where both FACs were switched off.

We must in the meantime, take great care in interpreting leaks and incomplete information and not jump to conclusions, nor should we fall into perception shaping that can inadvertently occur when these things are revealed bit by bit.

I personally believe that the truth will eventually be revealed adequately in a timely manner by the Indonesian National Transportation Safety Commission.

320-MEL

QZ8501: FBW part 2 – FAC and Maintenance

Previous Related Article:

QZ8501: FBW Part 1 – Understanding A320 Computers

On 22 January, I received a query from a local media who said they have gotten information on PK-AXC was involved in this accident, and they wanted to know if this could mean the aircraft may have been non-airworthy.

T-Questions
Sketchy details of PK-AXC maintenance 12 December to 26 December

This information was disturbing, not because the aircraft’s maintenance history, but on how they got this information in the first place (the company and the investigators should have kept this confidential unless there is a major public safety risk posed).

Anyways, they said that:

  • 12-19 December defects write up: Auto Rudder Travel Limiter 1 and 2, ELAC fault.
  • Further checks declared Rudder Travel Limiter 2 as MEL’ed under Category C (10 days to rectify). Date when it was declared as MEL’ed under Category C was not known.
  • 21-25 December: Auto Rudder Travel Limiter Sys(tem).
  • 26 December: FAC2 was swapped (with one from PK-AXV).

I am no engineer, but I did my best to answer the questions as objectively as possible.

  • If the fault was detected while the aircraft was still on the ground then the aircraft can/should not fly (unless it was MEL’ed) already.
  • If you reset certain computers (FAC (as stated) (and ELAC when an ELAC fault occured), and the fault disappears, then the aircraft can fly and the snags be followed up later.
  • Write-ups made are to be followed up by maintenance for further diagnostics and troubleshooting.
  • In the case of Rudder Travel Limiter 2, if it is not a problem that you can “reset and it disappears”, then you can write it up under MEL Category C, which has to be rectified within 10 days after the day it is written up.
  • The MEL (Minimum Equipment List) of the aircraft state that you can fly with a faulty Rudder Travel Limiter motor deactivated if the other one is functioning properly, and do so under MEL Category C as you only need 1 to dispatch the aircraft.

I looked up the MEL for the various items mentioned.

320-MEL

I didn’t see anything wrong with what was done. The MEL Category C for the RTL2 was later said that it was written on 19 December, which makes the RTL2 MEL’ed under Category C until 29 December, so the aircraft would have been OK to fly anyways.

I later checked a colleague within Air Asia who knew about these snags, and stated to me that the necessary maintenance action was taken on 26 December (involving, I am told, more than just changing the FAC), and that the aircraft was deemed serviceable again in accordance to the Airbus AMM and TSM, and that the snags disappeared.

On 29 January, the Indonesian National Transportation Safety Committee declared in their press conference that the aircraft was airworthy before its flight. I can therefore take my friend’s word that the maintenance actions were done correctly. However, later in the day, the media started quoting that during the accident, the crew did “switch off the FACs” or reset the FAC.

Has the rudder and FAC snag re-occured? If it did, what could have the crew done in those final minutes to save the aircraft?

Next Related Article:

QZ8501: FBW Part 3 – Pilot Procedures on Rudder Problems

320-FBW-2

QZ8501: FBW Part 1 – Understanding A320 Computers

Whenever there is an Airbus accident, there always seems to be confusion in public and even expert comments on what computers are supposed to be doing what. QZ8501 proves to be no exception.

320-FBW-1
Fly-By-Wire basics (source: Airbus)

The A320 has fly-by-wire (FBW) flight control system, meaning that inputs made by the pilot or autopilot are processed through a series of computers and gets translated into a safe output, keeping the aircraft safe from dangers such as rolling over, overspeed, or stall, etc. It’s architecture is however, a bit more ancient than that of the A330/340/350/380, which use 4 Primary Computers and 3 Secondary Computers.

The A320 Architecture:

320-FBW-2
Airbus A320 Fly-By-Wire basic architecture (source: Airbus)

The A320 FBW consists of:

  • 2 ELACs (ELevator and Aileron Computers), for normal elevator, horizontal stabilizer (the rear wing), and aileron control.
  • 3 SECs (Spoilers and Elevator Computers), for spoilers control (the speedbrakes), and standby elevator and and horizontal stabilizer control.
  • 2 FACs (Flight Augmentation Computers), for electrical rudder control.

A320 FBW basic functions: Normal Law

When all the inputs are correct and all the above computers are running normally, the A320 is flown in what is called Normal Law, which pitch is controlled by Load Factor (how many Gs you want the airplane to do, neutral = 1G), roll is controlled by Roll Rate, and Yaw control provides turn coordination (to prevent you from skidding or slipping in a turn), and yaw-damping is provided automatically.

Under Normal Law, the airplane provides protection from erroneous or dangerous inputs that can put the aircraft in harms way, such as pulling up too much causing you to stall, or rolling upside down.

A320 FBW Alternate Law: When you have errors

When there are enough or critical errors in the FBW, the FBW cannot provide protections and will degrade from Normal Law, into Alternate Law. Have more problems, and you will degrade into Direct Law, and the last resort is Mechanical Law. I will not discuss the latter two as it is outside the scope of this accident at the time of writing this article.

The following errors or faults can reconfigure the FBW from Normal Law to the other control laws:

320-FBW-4
A320 Flight Control Law Reconfiguration diagram (source: Airbus)

The above diagram shows that if you have sensor input errors or FBW component faults that prevents the FBW from operating safely within Normal Law, the FBW will reconfigure itself. This is basically the FBW saying to the pilot, “I cannot protect you with my current situation, so please protect yourself.” It will give an audible alarm for the pilots to hear, and display the fault and effects of the fault on the bottom center screen in the front panel, so the pilot would see what’s wrong and act upon it when appropriate.

The Flight Augmentation Computer: What does it do?

320-FBW-3
A320 FBW Rudder Control (source: Airbus)

One part of the FBW that is raising a lot of interest with this accident is the FAC. Here we see that the FAC controls various rudder control functions.

  • Rudder Limit: The FAC controls 2 rudder limit motors preventing excessive rudder movements at high speed that can damage the airplane.
  • Yaw Damping & Turn Coordination: 2 Yaw damper servo actuators are controlled by the FAC to provide a smooth ride on the yaw axis.
  • Rudder Trim: 2 Rudder Trim Motors are controlled by the FAC to provide rudder trimming (old planes gets bent or stop going straight without assistance, or different aged engines can give different power at equal settings)
320-FBW-3a
A320 Detailed Rudder Control Schematics (source: Airbus)

Here we se the rudder control functions in more detail and see that the function of the FAC isn’t as simple as it first looks.

Next Related Articles:

IG-Trajectory

QZ8501: Trajectory saat kejadian

IG-Baro-8501
Proyeksi trajectory QZ8501 berdasarkan data ADS-B. (courtesy of: Victor Iannello)

Selama satu minggu pertama kecelakaan ini, diantara spekulasi² fantastis dan jadwal yang berat, saya juga menerima bocoran² mengenai trajectory terakhir pesawat QZ8501 berdasarkan data rekaman ulang ADS-B.

Bekerja sama dengan beberapa pihak luar yang juga sedang merekonstruksi kejadian, kami berkomitmen untuk tidak membocorkan isi data² yang kami terima kecuali dalam bentuk yang sudah kami proses. Hal ini kami lakukan karena kami menghormati proses investigasi yang sedang dilakukan oleh Komite Nasional Keselamatan Transportasi Indonesia. Proyeksi yang kami buatpun baru kami release setelah pemerintah Indonesia menerbitkan proyeksi trajectory QZ8501 yang lebih sedikit detail-nya.

dataradarkemenhub

Proyeksi data ADS-B pesawat QZ8501 yang diterbitkan pemerintah sewaktu rapat dengan Komisi V DPR-RI.

Apa yang bisa kita dapatkan dari data ADS-B ini?

  1. Pesawat sedang terbang “normal” pada ketinggian FL320.
  2. Pada waktu 23:16:52 UTC, pesawat mulai belok sedikit ke kiri, dengan kehilangan sedikit ketinggian, terlihat dari kecepatan vertikal yang direkam.
  3. Setelah kemudian belok kiri lebih lanjut pada 23:17:29, pesawat mencapai kecepatan vertikal positif maksimumnya yaitu 12.675 kaki per menit, ketika melewati ketinggian FL350, dengan groundspeed hanya 311.57 knots.
  4. Pada 23:17:43, pesawat kembali belok ke kiri dan melewati titik tertingginya. Pesawat terekam sedang melewati ketinggian FL373, dan mulai turun dengan kecepatan vertikal -894 kaki per menit, dan groundspeed yang hanya 169.19 knots.
  5. Pada 23:18:03, pesawat berbelok tajam kekiri ketika melewati ketinggian FL327, dengan kecepatan vertikal sebesar -20.000 kaki per menit, dan groundspeed yang hanya 119.09 knots.
  6. Setelah terbang ke arah tenggara selama sekitar 1/2 menit, pesawat mulai belok kiri lagi pada 23:18:45, melewati rekaman ketinggian terakhirnya yang valid pada FL235, dengan kecepatan vertikal -15.681 kaki per menit dan groundspeed yang hanya 78 knots.
  7. Pesawat melanjukan belokan tajam ke kiri dan terakhir di deteksi pada pukul 23:19:46 dengan groundspeed hanya 68knots.

Dari trajectory ini, apa yang kita bisa simpulkan?

  1. Flight Control Law pesawat bisa dipastikan telah rekonfigurasi dari Normal Law. Hal ini merupakan sarat jika pesawat keluar dari batas² normal manuver sesuai Normal Law (dimana pesawat tidak mungkin akan stall).
  2. Kecepatan vertikal pesawat yang dicapainya sewaktu naik, sangatlah memungkinkan karena terjadinya juga kehilangan kecepatan laju horizontal pesawat. Ini menyimpulkan bahwa teori² updraft tidak valid.
  3. Pesawat seharusnya jatuh tidak jauh dari titik terakhir yang direkam oleh ADS-B dikarenakan kecepatan laju horizontal yang sangat rendah serta kecepatan vertikal negatif yang sangat tinggi. Kemungkinan pesawat bisa recover dan kembali terbang normal sangatlah kecil.
  4. Impact dengan laut adalah dengan kecepatan vertikal yang tinggi dan kecepatan laju horizontal yang rendah, dengan sudut hidung pesawat yang relatif horizontal hingga positif naik, seperti kasus Air France 447, namun sudut kemiringan pesawat tidak bisa diperkirakan dari analisa trajectory ini.

Apa yang masih belum kita ketahui dengan trajectory ini?

  1. Apa yang mengakibatkan Flight Control System pesawat berubah dari Normal Law.
  2. Siapa yang menerbangkan pesawat pada saat itu? Pilot atau ko-pilot
  3. Bagaimana trajectory pesawat dibawah FL235.

Kita semua boleh sedikit lega karena pada tanggal 29 Januari 2015, Komite Nasional Keselamatan Transportasi telah me-rilis beberapa informasi faktual mengenai kejadian ini yang bisa memberikan beberapa jawaban lagi.

IMG-20141228-WA0001

QZ8501: Apa yang saya dapatkan di hari pertama

Makan pagi saya pada tanggal 28 Desember di Batam digangu oleh kabar dari teman bahwa sebuah pesawat A320 milik Indonesia Air Asia hilang selagi menerbangkan rute Surabaya-Singapura, dan baru hilang sekitar 1 jam. Sambil mencari tahu kabar lebih lanjut, saya juga langsung men-tweet kabar kecurigaan kehilangan pesawat tersebut dan memulai hashtag #QZ8501.

Dalam waktu 5 jam dari hilangnya pesawat, saya menerima sebuah gambar mengenai beberapa saat terakhir pesawat tersebut.

IMG-20141228-WA0001
Pesawat AWQ8501 terlihat pada ketinggian 36.300 kaki dan pesawat UAE409 berada sekitar 30 mil laut didepannya.

Gambar tersebut sepertinya diambil dari radar ATC di Pontianak selagi dilakukan replay. Pesawat terlihat sedang menuju arah barat dengan ketinggian 36.300 kaki dengan groundspeed hanya 353 knots, atau (bila kita konversi) hanyalah 190 knots indicated airspeed, yang merupakan kecepatan yang terlalu pelan. Ada sebuah pesawat Emirates di depannya sekitar 30 mil laut didepannya pada 36.000 kaki dengan groundspeed yang lebih wajar.

Ketika saya melihat gambar ini, saya khawatir bahwa pesawat ini sudah total loss, jatuh di laut dengan impact yang mirip dengan AF447, meskipun penyebabnya bisa saja jauh berbeda.

Tidak lama kemudian, saya menerima satu gambar lagi, yaitu dari rekaman ADS-B, memperlihatkan saat terakhir pesawat tersebut di deteksi oleh alat penerima ADS-B.

received_10152711125993889

Disini terlihat bahwa pesawat sudah turun ke ketinggian (GPS) 24.025 kaki dengan groundspeed yang hanya 64.82 knots, yang berarti pesawat sudah stall dan sedang jatuh dari langit. Kecepatan vertikalnya yang -11.518,75 kaki per menit tidak begitu mengherankan karena kecepatan groundspeed yang sangat rendah.

Sayapun sadar, bahwa beberapa minggu kedepan akan menjadi masa-masa yang berat untuk saya, dan malam itupun saya kembali ke Jakarta, melewati ekor dari cuaca yang dilewati oleh QZ8501 dan EK409.

Sejak jam 10 pagi tanggl 28 Desember 2014, telepon saya tidak berhenti berdering dengan permintaan-permintaan komentar atau kehadiran untuk beraneka macam media dari media cetak hingga stasiun TV. Sayangnya, itu mengakibatkan saya tidak cukup waktu untuk memulai menuliskan temuan-temuan dan analisa-analisa saya mengenai kecelakaan ini. Akhirnya saya hanya bisa menepis spekulasi-spekulasi dan teori-teori, serta reaksi-reaksi pemerintah yang tidak wajar melalui media.

Selama satu bulan terakhir, banyak sekali spekulasi mengenai apa yang terjadi kepada QZ8501 (yang dioperasikan oleh PK-AXC, sebuah A320-200). Teori-teori dari updraft hingga pemangkasan biaya pemeliharaan pesawat, ke tidak membawa data cuaca, dll. Kebanyakan dari teori-teori ini hanyalah spekulasi bodoh. Saya hanya bisa mengisi gap antara spekulasi dan realita ini melalui media massa, namun cepat atau lambat, sayapun harus kembali menggunakan blog saya untuk melanjutkan misi tersebut. Artikel ini, hanyalah awal dari apa yang saya harus tulis mengenai kecelakaan ini di blog saya.