Aber ich bin bisher davon ausgegangen, dass der Pilot jeden Mist korrigieren kann, den der Flight Control Computer baut (auf dem auch MCAS läuft). Das scheint jetzt nach Erfahrungen mit MCAS nicht mehr so zu sein. Und da kommt bei mir schon die Frage, ob es dann weiterhin okay ist, dass der FCC überhaupt nicht redundant ausgelegt ist. Da laufen neben MCAS noch andere Programme, die z. B. die Trimmung beeinflussen.
Die Aufgabe des Piloten sollte noch nie sein, die Fehler der Flugzeugsysteme ausbügeln zu müssen. Das Sytemdesign sollte an sich den Piloten ent- nicht belasten.
Wir steuern aber auf diese Philosophie zu, im Normalfall fliegen die Systeme das Flugzeug, und für deren Versagen wird noch ein Pilot vorgehalten. Der natürlich für diesen Job überhaupt nicht ausgebildet ist.
Es ist schlicht unmöglich, einen Piloten für Fehler auszubilden, an die nicht mal die Entwickler der Systeme gedacht haben (sonst hätten sie sie per Design verhindert).
Piloten als Troubleshooter für Fehler an die keiner gedacht hat sind ein denkbares Konzept, entspricht aber aktuell überhaupt nicht der Ausbildung, die auf SOPs abziehlt.
Und per Definition gibt es für unvorhergesehene Fehler keine Standardprozeduren...
Wenn MCAS z. B. in einem Flug von 100 000 ausfällt, und jeder 1000. Flug ohne MCAS mit einem Absturz endet, hätten wir eine Absturz-Wahrscheinlichkeit mit MCAS als Ursache von 1 / (100 000 * 1000) = 0,01 Abstürze pro 1 Mio Flüge. Das ist an sich in Ordnung.
Noch nicht ganz, 10 hoch -9 ist akzeptabel, also 0,001 Abstürze pro Mio Flüge.
Und das ist der theoretische Wert, das Ziel in der Entwicklung/Zulassung. In der Praxis muss man da nochmal etwa Faktor 10 draufschlagen, wenn man die (natürlich mit starken Unsicherheiten belastete) Statistik anguckt.
Wie schon mal weiter oben gesagt, es ist extrem schwierig alle möglichen Fehlerfälle eines Systems bzw. der Kombination aus 100 Systemen, den Piloten, ATC, Wetter und den anderen Verkehrsteilnehmern zu entdecken.
Die ganzen Systemanalysen gehen von der Wahrscheinlichkeit aus, dass ein System seine (bekannte) Funktion nicht erfüllen kann, und so einen Abturz verursacht. Nicht davon, das es selbst eine unvorhergesehene Aktion durchführt, denn die kann man selbst mit extremer Erfahrung und systematischer Analyse nie alle vorhersehen. Noch schwieriger ist es, Wahrscheinlichkeiten für unvorhergesehene Fehler zu definieren.
Es gibt gute Gründe, warum wir vom Grunddesign des Flugzeugs bestimmte inherrente Eigenschaften fordern, wie z.B. statische und dynamishe Stabilität, und uns
nicht auf Systeme verlassen, das künstlich zu erzeugen.
Es ist möglich, viele Funktionen von Systemen durch das Gesamtdesign unnötig zu machen. Und was nicht eingebaut ist, kann auch nicht ausfallen.
KISS Prinzip.
