10. März 2019: Ethiopian 737 MAX crash
- Starter*in HDH Aviation
- Datum Start
ANZEIGE
Das ist, denke ich, noch ein Design alter Schule.
Ist bei der 748 nicht vielen Neues eingeflossen? Insbesondere einige konstruktive Merkmale der 787?
Aus Boeing 747-8 Intercontinental
Also (im Wesentlichen) kein GFK im Flügel. Somit klassische selbstleitende Struktur und keine besonderen, separaten "Blitzableiter" erforderlich.
Oder anders gesagt: Hätte Boeing bei der 747-8 das Metall in den Flügeln weggelassen wäre es ganz sicher zu keinen Abstürzen gekommen. Aber auch zu keinem Abheben mehr
Also (im Wesentlichen) kein GFK im Flügel. Somit klassische selbstleitende Struktur und keine besonderen, separaten "Blitzableiter" erforderlich.
Oder anders gesagt: Hätte Boeing bei der 747-8 das Metall in den Flügeln weggelassen wäre es ganz sicher zu keinen Abstürzen gekommen. Aber auch zu keinem Abheben mehr
Das alles ist einfach, solange du weisst welcher der Sensoren "arbeitet" und welcher nicht. Wann immer du eine Entscheidung triffst, welcher Sensor "arbeitet" und welcher "extrem abweicht", kann diese Entscheidung falsch sein. Wir hatten schon den Fall, in dem zwei Sensoren auf einem "guten" Wert eingefroren waren, und der dritte den korrekten Stall angezeigt hat. Folge: 12 gerissene Rollen im Businessjet geflogen, weil der Computer einen (falschen) Mehrheitsentscheid getroffen hat.
Damit der Computer "intelligente" Entscheidungen treffen kann, muss man (mindestens) zwei unabhängige Messwerte, und nicht einen Messwert von mehreren Sensoren betrachten.
Andernfalls kann man eben nur eine "AoA disagree" Anzeige generieren, und dem Piloten die komplexe Entscheidung überlassen. Und man muss immer noch entscheiden, ob man in dem Zweifelsfall eines AoA disagree MCAS den nun aktivieren will (mit der Gefahr eines falschen Eingriffs) oder deaktivieren (mit der Gefahr eines verpassten Eingriffs). Beides geht nicht gleichzeitig.
Völlig korrekt, es braucht für einen Mehrheitsentscheid mindestens (!) drei Messwerte, wovon zwei stimmen sollten. Sonst sind wir selbst bei drei Sensoren bei den 0,03% meines Beispiels. "Passiert sehr selten" heißt nämlich nicht "kann garantiert nie passieren" .
Man kann sich darauf einigen, als "dritten" einen über die INS Daten virtualisierten Sensor zu nehmen und zusätzlich Plausibilitätstests anhand z.B. des Änderungsverhaltens der jeweiligen Sensoren vorzunehmen.
Aber das Gebastel, das Boeing jetzt wohl schon wieder vorhat, das geht gar nicht. Und darum gammeln die MAX halt weiterhin am Boden rum, die FAA hat ja gestern eine klare Ansage getätigt.
Und ja, ich höre "stampf stampf". Diesmal aber nicht vom Management, es klingt wie eine Armee von Examiners, die bewaffnet mit Prüfhämmerchen und Notitzblöcken durch das Werkstor von Renton marschiert, um jede einzelne Schraube dreimal umzudrehen, bevor überhaupt von dort noch irgendwas abheben darf, was frech behauptet, ein Flugzeug zu sein
In diesem Fall waren es 3 Sensoren, von denen aber 2 aus dem selben Grund ausgefallen sind. Und das ist nicht allzu selten, viele Komponenten sind heutzutage extrem zuverlässig, und fallen nur noch aus exotischen Gründen aus, die dann aber oft alle Sensoren betreffen. Von so dämlichen Aktionen wie vergessen nach der Neulackierung das Abdecktape zu entfernen oder das Flugzeug im Bereich aller Sensoren mit dem Kärcher zu reinigen bis zu einem Vogelschlag mit einem Schwarm oder einem Hagelschlag, der gleich mehrere Sensoren trifft.
Die ganzen schönen Theorien stimmen nur für völlig unabhängige Ausfälle, die aber sind selten.
Und ja, ein gemessenes AoA mit einem aus Pitch und FPA berechneten zu vergleichen und eine Trendanalyse (ein Sensor und die INS Daten zeigen steigenden AoA, ein Sensor zeigt abweichend einen fallenden) sind eine gute Idee, unabhängig zu verifizieren. Hilft aber alles nichts, wenn zwei von drei Sensoren ausfallen (z.B. in einem Hagelschauer).
Ein aerodynamisch grundsolides Design und darauf abgestimmt ausgebildete Piloten sind aber immer die bessere Wahl, als all die elektromechanischen Helferchen und Computer. Beides war bei der MAX aber aus Kostengründen unerwünscht. Was am Ende suuuuper funktioniert hat... (Einsparziel von Hunderttausenden um ein paar Milliarden verfehlt...)
In der Theorie sicherlich aber praktisch sinkt der Zugewinn an Sicherheit mit steigender Zahl sehr stark. Das Problem bei nur zwei Sensoren ist ja nicht, dass es sonderlich wahrscheinlich ist, dass beide zeitgleich ausfallen oder falsche Werte anzeigen, sondern, dass man beim Ausfall eines Sensors (was durchaus vorkommen kann) u.U. nicht mehr weiß, welcher nun die korrekten Werte ausgibt. Bei drei Sensoren kann das so nicht passieren und das Restrisiko, dass zwei Sensoren genau den gleichen, falschen Wert ausspucken betrachtet man als akzeptabel.
Nein, nicht generell.
Mehr Sensoren ist nur dann "besser", wenn sie auch intelligent miteinander vernüpft werden. Ansonsten ist einer mit extrem ausfallsicherem Design unter Umständen besser.
Wir diskutieren hier einen doppelten Spezialfall. Simpel sind ja/nein Sensoren wie Weight on Wheels oder Engine Fire. Da kann man durch mehr Sensoren einfach höhere Zuverlässigkeit bekommen, die Verknüpfungslogik ist einfach und zuverlässig darzustellen. Bei AoA geht es im Prinzip um Sensoren die einen Messwert liefern sollen, da braucht es etwas mehr Logik um aus mehreren (differierenden) Werten mehrer Sensoren einen zuverlässigen Wert zu stricken. Zuverlässig geht das erst ab 3 Sensoren, ist aber auch dann nicht bei 100%. Im absoluten Spezialfall hier geht es nun wieder darum, eine Grenzwertüberschreitung des Meswerts (also AoA > Stall onset) zu detektieren, im Prinzip will man also wieder nur eine ja/nein Aussage. Deshalb kann man durchaus schon mit nur 2 Sensoren etwas erreichen.
Es gilt aber eben wieder: Je zuverlässiger die Warnung, desto höher die Gefahr von Fehlalarm, bzw. desto cleverer muss die Logik sein, mit der die beiden Sensoren verknüpft werden.
Von den 4 Möglichen Zuständen (Ja/Ja, Ja/Nein, Nein/Ja und Nein/Nein) sind halt nur 50% eindeutig, bei den anderen 50% muss man willkürlich ("intelligent") entscheiden, ob man sie jetzt als Ja oder Nein wertet. Je mehr Sensoren, desto höher der Anteil an Zuständen die eine Entscheidungslogik brauchen. Und eine solche kann eben immer nur für einen der zwei Fälle die Situation verbessern. Wertest du die Ja/Nein und Nein/Ja jetzt beide als Nein, dann ist das Risiko von Fehlalarm geringer, aber die Zuverlässigkeit der Warnung eben auch. Und umgekehrt wenn man die beiden Zweifelsfälle als Ja wertet, wird die Zuverlässigkeit der Warnung höher, das Risiko von Fehlaralm aber auch. In jeweils deutlich anderer Größenordnung, man verbessert also definitiv, nur reduziert man das Risiko eben immer noch nicht gewaltig, sondern halbiert es bei zwei Sensoren üblicherweise nur. Ein Absturz statt zwei wäre jetzt schon besser, aber immer noch nicht akzeptabel.
Da wir hier das Ja/Nein aus einem expliziten Messwert generieren, kann man durchaus eine ausgefeiltere Logik, z.B. mit Abgleich gegenüber IRU / ADIRU Messwerten, konstruieren. Von daher kann die "intelligente" Verknüpfung mit anderen Daten deutlich mehr bringen, als ein dritter AoA Sensor, da die Szenarien für gemeinsame Fehlerquellen geringer werden.
Mehr Sensoren ist nur dann "besser", wenn sie auch intelligent miteinander vernüpft werden. Ansonsten ist einer mit extrem ausfallsicherem Design unter Umständen besser.
Wir diskutieren hier einen doppelten Spezialfall. Simpel sind ja/nein Sensoren wie Weight on Wheels oder Engine Fire. Da kann man durch mehr Sensoren einfach höhere Zuverlässigkeit bekommen, die Verknüpfungslogik ist einfach und zuverlässig darzustellen. Bei AoA geht es im Prinzip um Sensoren die einen Messwert liefern sollen, da braucht es etwas mehr Logik um aus mehreren (differierenden) Werten mehrer Sensoren einen zuverlässigen Wert zu stricken. Zuverlässig geht das erst ab 3 Sensoren, ist aber auch dann nicht bei 100%. Im absoluten Spezialfall hier geht es nun wieder darum, eine Grenzwertüberschreitung des Meswerts (also AoA > Stall onset) zu detektieren, im Prinzip will man also wieder nur eine ja/nein Aussage. Deshalb kann man durchaus schon mit nur 2 Sensoren etwas erreichen.
Es gilt aber eben wieder: Je zuverlässiger die Warnung, desto höher die Gefahr von Fehlalarm, bzw. desto cleverer muss die Logik sein, mit der die beiden Sensoren verknüpft werden.
Von den 4 Möglichen Zuständen (Ja/Ja, Ja/Nein, Nein/Ja und Nein/Nein) sind halt nur 50% eindeutig, bei den anderen 50% muss man willkürlich ("intelligent") entscheiden, ob man sie jetzt als Ja oder Nein wertet. Je mehr Sensoren, desto höher der Anteil an Zuständen die eine Entscheidungslogik brauchen. Und eine solche kann eben immer nur für einen der zwei Fälle die Situation verbessern. Wertest du die Ja/Nein und Nein/Ja jetzt beide als Nein, dann ist das Risiko von Fehlalarm geringer, aber die Zuverlässigkeit der Warnung eben auch. Und umgekehrt wenn man die beiden Zweifelsfälle als Ja wertet, wird die Zuverlässigkeit der Warnung höher, das Risiko von Fehlaralm aber auch. In jeweils deutlich anderer Größenordnung, man verbessert also definitiv, nur reduziert man das Risiko eben immer noch nicht gewaltig, sondern halbiert es bei zwei Sensoren üblicherweise nur. Ein Absturz statt zwei wäre jetzt schon besser, aber immer noch nicht akzeptabel.
Da wir hier das Ja/Nein aus einem expliziten Messwert generieren, kann man durchaus eine ausgefeiltere Logik, z.B. mit Abgleich gegenüber IRU / ADIRU Messwerten, konstruieren. Von daher kann die "intelligente" Verknüpfung mit anderen Daten deutlich mehr bringen, als ein dritter AoA Sensor, da die Szenarien für gemeinsame Fehlerquellen geringer werden.
Korrekt. Und es sollte sich um unabhängige Fehlerquellen handeln, denn bei abhängigen Ereignissen ist die ganze schöne Wahrscheinlichkeitsrechnung für die Katz.
Ja, vier Sensoren und reine Binärentscheidung bringt gegenüber drei nicht wirklich einen Vorteil, die nächste Zahl ist offensichtlich fünf gegen Doppelfehler und dann wird es langsam heftig. Das fordert ja auch keiner.
Es läuft bei rein binär am Ende auf die klassische Hamming-Distanz hinaus.
Vier Komponenten bringt dann was, wenn z.B. ein Defekt klar erkannt werden kann, wie häufig bei Rechnern, dann hat es z.B. ja/nein/nein/abgestürzt und mit den verbleibenden drei geht noch eine Mehrheitsentscheidung.
Bei Sensoren bringt das auch nur bei analogem Messwertvergleich etwas, also -9867/11/12/1538, da liegt nahe, welcher Gruppe man eher vertrauen sollte. Sind die Messwerte aber dichter beieinander und es geht um sehr viele Fehlereinflüsse, dann müsste man im Grunde im Rechner einen statistischen Hypothesentest rechnen, damit tun sich viele, auch Entwickler, aber schwer, die Mathematik dahinter ist nicht einfach und eher nicht Bestandteil des klassischen Ing.-Studiums.
Dann kann der Rechner umgekehrt aber auch die Aussage liefern: Aktuell sind keine guten Messwerte verfügbar, denen man vertrauen kann, lieber Pilot, mach etwas draus, ggf. eine Sicherheitslandung.
Nützt aber alles nix, wenn $DEPP die Außenhaut einschließlich Sensoren schön in neue Farbe tüncht
Da hilft dann eher der INS/IRU Vergleich und dann auch wieder die möglichst schnelle Warnung ins Cockpit, dass gar nichts passt, man bitte sofort landen möge, um $DEPP einer geeigneten Strafbehandlung (durch die Menge aller betroffenen Paxe
) zu unterziehen Absolut, da sind wir uns völlig einig.
Ich sehe das auch wirklich nicht als so schwer an, das sauber nachzurüsten, ein paar dafür entwickelte Boards in die Elektronik-Bay, zwei unterschiedliche Prozessortypen, 2+2, Aktoren auf Vordermann bringen und das an die unterschiedlichen Bordnetze anschließen, zwecks redundanter Versorgung. Die Software hat auf den alten FCC nichts verloren, also runter damit und auf das neue System.
Wie gesagt, wenn die Nasen bei Böng auch nur halbwegs fähig wären, täte das längst laufen. Aber dann hätten sie womöglich auch nicht so einen Schwachfug wie ihre alte MCAS-Einsensor-Brutaleingriff "Lösung" auf die Menschheit losgelassen.
Da hat sich halt ein unfähiges geldgeiles Management am Engineering ausgetobt, in der irrigen Meinung, so Geld zu sparen, und die Quittung haben sie jetzt bekommen, Sparziel "leicht verfehlt". Nur Billig und Druck funktioniert halt nicht, da sind ihnen die guten Leute weinend davongelaufen und nur wer es absolut nötig hat, ist geblieben. Und genau so stellen sie sich gerade an.
Da bleibt mir die Spucke weg..."FAA erwartete alle zwei bis drei Jahre einen Absturz
... Nach dem ersten Absturz bei Lion Air im Oktober 2018 rechnete die Luftfahrtaufsicht aus, dass der 737 MAX alle zwei bis drei Jahre ein Totalverlust droht - und ging das Risiko ein. ...
... Alle zwei bis drei Jahre, so rechneten es die Experten der Behörde hoch, drohe der 737 MAX ohne Änderungen an der Flugsteuerung ein Totalverlust - über die Programmlaufzeit der MAX seien weltweit rund 15 mit Flug JT610 vergleichbare Zwischenfälle zu erwarten. Das brisante Papier war bislang Verschlusssache. ..."
Quelle: https://www.aero.de/news-33465/FAA-erwartete-alle-zwei-bis-drei-Jahre-einen-Absturz.html
M
Mcflyham
Guest
Ja, mit FAA und Boeing haben sich echt zwei gefunden!!!
Hier auch noch mal aus Seattle:
https://www.seattletimes.com/busine...ash-estimated-high-risk-of-further-accidents/
Da war wohl der Gedanke, dass sie noch 2-3 Jahre Zeit (bis zum nächsten Absturz) haben, um das Problem zu lösen
Hier auch noch mal aus Seattle:
https://www.seattletimes.com/busine...ash-estimated-high-risk-of-further-accidents/
Da war wohl der Gedanke, dass sie noch 2-3 Jahre Zeit (bis zum nächsten Absturz) haben, um das Problem zu lösen
Da fällt einem nichts mehr ein. Das grenzt ja schon an versuchten Massenmord, Mordmotiv Geldgier.
"FAA erwartete alle zwei bis drei Jahre einen Absturz
... Nach dem ersten Absturz bei Lion Air im Oktober 2018 rechnete die Luftfahrtaufsicht aus, dass der 737 MAX alle zwei bis drei Jahre ein Totalverlust droht - und ging das Risiko ein. ...
Mir fällt dazu nichts mehr ein. Nach Recht und Gesetz ist jetzt für die Herrschaften alles weg, was auch nur annähernd mit der Bescheinigung einer Lufttüchtigkeit zu tun hat. Es dürfte sich um den größten Skandal in der Geschichte der Zivilluftfahrt handeln.
If it's a Boeing, you better wait for an Airbus, it's your live ...
Die ganze Luftfahrt besteht aus Risikoabschätzungen. Daran würde ich mich jetzt nicht hochziehen. Das weitere Prozedere mag durchaus fraglich sein.
Was soll dieser Sprung ins Englische? Come in and find out?
Was soll dieser Sprung ins Englische? Come in and find out?
Sorry, ein derart hohes Risiko wissentlich einzugehen und das zu verheimlichen, obwohl es gute technische Lösungen gibt, offenkundig nur des Profits wegen, ist völlig und absolut unentschuldbar
Das Thema hat es auch auf tagesschau.de geschafft: https://www.tagesschau.de/ausland/boeing-krise-aussage-ex-manager-101.html
Volle Zustimmung!
Man muss es direkt wiederholen, weil es so schier unglaublich klingt: man hat ein gelegentliches Absturzrisiko in Kauf genommen. Und da man ein NOTAM vorbereiten wollte und Boeing mitteilte, an einer SW-Überarbeitung zu arbeiten, hat man nichts getan.
@Luftikus: Risiko-Abwägung in der Luftfahrt hat immer das Ziel, Risiken zu reduzieren oder besser zu vermeiden! Das würde sonst jegliche Unfall-Forschung ad absurdum führen. Weil die kostet ja auch Geld.
Man muss es direkt wiederholen, weil es so schier unglaublich klingt: man hat ein gelegentliches Absturzrisiko in Kauf genommen. Und da man ein NOTAM vorbereiten wollte und Boeing mitteilte, an einer SW-Überarbeitung zu arbeiten, hat man nichts getan.
@Luftikus: Risiko-Abwägung in der Luftfahrt hat immer das Ziel, Risiken zu reduzieren oder besser zu vermeiden! Das würde sonst jegliche Unfall-Forschung ad absurdum führen. Weil die kostet ja auch Geld.
Das dürfte jetzt auch weltweit die Runde machen und damit hat sich Boeing den Ruf und die Marke völlig ruiniert.
Ich bezweifle stark, ob sich danach Flüge mit der 737MAX überhaupt noch werden verkaufen lassen, egal wie man das Teil nachrüstet. Das geht gerade durch tagesschau, Spiegel usw., die einhellige Meinung in den Foren ist allerstärkste Ablehnung. Selbst Flüge mit anderen Boeing Mustern stehen im Kundenfeuer.
Wenn der Kunde nicht mehr will, dann will er nicht mehr, das läuft dann auf der emotionalen Ebene. Und in dem Fall dürfte dann ein riesiger Schrotthaufen die Konsequenz sein.
90% der Menschen hatten in den letzten Jahrzehnten auch keinen Grund sich besonders dafür zu interessieren. Wir stehen halt vor einer besonderen Situation.