10. März 2019: Ethiopian 737 MAX crash

[ollifast]

ANZEIGE

Und JA, je nachdem wie die Systemarchitektur ausschaut und was der wirkliche Grund für diese Fehler war, kann es völlig ausreichend sein, dies durch ein Software-Update in Verbindung mit einer Erweiterung der Checklist/Memory Item/Schulung/whatever zu beheben. Solange man entsprechend der Kritikalität in einen Bereich kommt, der hinreichend unwahrscheinlich ist.

Alles in Ordnung, wenn es um eine technische Lösung nach dem Stand der Technik geht, bei dem durch unglückliche Umstände sich trotz aller Analysen ein nicht bedachter Fall eingeschlichen hat. JA, dann macht man ein Software-Update, sorgfältig validiert, und schult die Piloten.

Aber nach allem, was jetzt über MCAS bekannt wurde, entspricht das System (gar) nicht dem Stand der Technik, es wurden wesentliche Grundregeln wie die Schaffung von Redundanz vernachlässigt usw. Und da ist es meine bescheidene Meinung, dass man einen solchen Krempel (sorry) nicht mehr mal eben mit einem Software-Update wieder inbetriebsetzen sollte. Zumal dann die Gefahr besteht, dass es wieder an einer anderen Stelle knallt. Redundanz z.B. läßt sich eben nur durch Redundanz ersetzen. Safety First. Und das hat nichts mit einem Skandal zu tun. Aber es wäre ein Skandal, wenn nach Wiederinbetriebsetzung die nächsten 737MAX in den Boden gerammt werden.

 

[singmeister]

Doch, die 737 nutzt Großvaterrechte. Sie darf nicht zu stark verändert werden.

Durch die neuen Triebwerke und das dadurch benötigte MCAS kann man durchaus mal fragen, ob der Zug mit den Grossvaterrechten nicht doch schon abgefahren ist?

(das ist als Laie leicht gesagt und sicherlich gibt es Kriterien, was geht und was nicht, aber hier ist eben die Frage, ob man da nicht etwas zu grosszügig gewesen ist seitens der FAA)

 

[Mcflyham]

Wie umnachtet müssen eigentlich die Verantwortlichen von Boeing sein um zu glauben das die MAX innerhalb kürzester Zeit wieder in der Luft ist?

Das ist wohl eher Verzweiflung, weil sie wissen, welcher Aufwand bzw. Verzögerung ensteht, wenn sie nicht mit dem Update durchkommen.

 

[Langstrecke]

Bitte auch den geänderten Teil meines Posts beachten und nicht nur meine Kritik am vermeintlichen Exptertentum hervorheben. Gedanken darf sich jeder gerne machen, nur sollte man sich bewusst sein, dass man eben nicht in seinem Fachgebiet unterwegs ist und daher mit Schlüssen, die man zieht, etwas vorsichtig sein.

Gerne! Tipp für dich: Erst schreiben, dann Text ändern und zum Schluss, also erst nach Fertigstellung veröffentlichen

 

[ollifast]

In der Luftfahrt eben doch. Und Legacy in der Luftfahrt =! Legacy in anderen Branchen. Ich habe auch das schon mehrfach geschrieben: Vergleiche zu anderen Branchen sind sinnlos und nicht zielführend, da wir einfach völlig andere Voraussetzungen und Rahmenbedinungen haben.

Dann sollte man das eben diskutieren. Und das ist dann in der Tat keine technische Frage mehr, sondern eine politische und juristische, die durchaus nicht rein auf Luftfahrt-Expertenkreise beschränkt werden darf:

Wann sollen Großvaterrechte enden, wo hat die zusätzliche Sicherheit nach dem Stand der Technik zu dominieren ?
Wie sieht es mit dem Grundrecht auf Leben und köperliche Unversehrtheit der Passagiere und der Crew aus ?

Es ist schon klar: Man kann nicht sofort alle Flugzeuge umrüsten, wenn etwas Neues rauskommt. Aber es muss umgekehrt auch Grenzen geben, an denen klar gesagt wird, dass jetzt der Stand der Technik einzufließen hat, und es muss Grenzen geben, an denen ein altes Design durch technische Änderungen noch unter Legacy zertifiziert werden kann. Natürlich will man Änderungen an alten Designs zulassen, aber es sollte folgende Regel gelten:

Eine Änderung muss entweder die Sicherheit verbessern (das will man) oder, wenn die Wirtschaftlichkeit oder auch Umweltfreundlichkeit verbessert wird (was ja auch akzeptable Ziele sind), zumindest die Sicherheit keinesfalls verschlechtern.

Denn da hat das Recht auf Leben und körperliche Unversehrheit unbedingten Vorrang.

 

[Volume]

Gab's nicht was ähnliches bei der MD-11? ("pitch stability augmentation system" - auch per Computer im Hintergrund gesteuert)

Ähnlich ja, greift aber direkt in die (nicht so kraftvolle und vom Piloten sofort voll übersteuerbare) Höhenrudersteuerung ein, nicht in die (sehr kraftvolle und vom Piloten nicht spontan übersteuerbare) Höhenflossentrimmung.

"Blame-game" oder nicht.
Allein die fehlende Redundanz von dem MCAS-Dings ist schon ein No-Go!

Redundanz stellt ja nur sicher, dass das System auch dann noch korrekt arbeitet wenn nötig, obwohl etwas ausgefallen ist.
Redundanz schützt dich nicht davor, dass das System nicht dann plötzlich arbeitet, wenn es das nicht soll.
Mit jedem hinzugefügten Element (zum Zweck von mehr Redundanz) fügst du auch immer neue Fehlerquellen und Fehlerszenarien hinzu.

Beim "Blame Game" oder bei "Just Culture" und diesen Aspekten geht es um unbeabsichtigte menschliche Fehler (z.B. man übersieht einen bestimmten Fehlerfall), die nie ganz verhindert werden können, und daher intelligent gemanagt werden müssen. Hier geht es darum, dass bewusst getäuscht wurde, der FAA bewusst falsche Daten präsentiert wurden. Da ist ganz klar "law and order" angesagt, nicht "Kuschelpädagogik". Oder um es mit einem großen Bayern zu sagen: "Wer betrügt, fliegt"

Wie stellt man denn dann bei Nutzung von zwei Sensoren fest welcher plausible Daten liefert?

Neben würfeln bleibt noch die Möglichkeit, die Sensordaten mit anderen Werten abzugleichen. Die 737 tut dies z.B. bei den Anstellwinkelsensoren, indem sie AoA aus den Luft- und Lagedaten zurückrechnet. Längsneigung und Flugbahnwinkel sind der ADIRU ja bekannt, damit kann sie den Anstellwinkel als Differenz berechnen.
Oft kann man Messwertplausibilität aus anderen Daten immerhin abschätzen.

Blöde Frage, aber wieso kann ein Softwaresystem, wie das MCAS, einen Kurs in den Boden einschlagen? Müsste es nicht ein übergeordnetes, überwachendes System geben, welches das verhindert? Ein Kurs in den Boden, kann doch niemals richtig sein. Vom Landen mal abgesehen.

Die Frage ist alles andere als blöd. Das ist halt die Krux mit der Komplexität von Systemen. Je mehr du sie verknüpfst desto mehr Fehlerfälle die nicht mehr reproduziert werden können bzw. die man bei der Analyse übersieht.
Wenn gleichzeitig das EGPWS "pull up" oder "don´t sink" ruft und das MCAS kopflastig trimmt, nutzt man offensichtlich nicht alle vorhandenen Informationen...
Wenn bei aktiver Stallwarnung ("überzogener Flugzustand") das Höhenruder auf anschlag gezogen trimmt, ist das genausowenig clever.

Ich wäre nicht überrascht, wenn Boeing versuchen wird, die MAX mit etwas Software Kosmetik schnell wieder in die Luft zu bekommen. America First

Es war für mich wenig überraschend, das z.B. VW damit durchgekommen ist, mit einem Softwareupdate einfach nicht mehr auf dem Prüfstand zu mogeln, auf der Straße aber weiterhin das 30 fache des zulässigen NOx auszustoßen...
"America first" gibt es in jedem Land, Trump ist nur so doof daraus eine Parole zu machen und damit Angriffsfläche zu bieten.

Auf jedem Fall erschreckend wie eine gute und enorm erfahrene Flugzeugschmiede wie Boeing solche offensichtlichen Handwerksfehler gemacht hat.

Analog VW...

Ich befürchte, es waren nicht mal Handwerksfehler. Erfahrung ist kein für immer garantierter wert, gerade in eine "hire and fire" Welt und in einer Zeit, in der Manager die Entscheidungen gegen ihre eigenen Ingenieurabteilungen treffen muss Erfahrung gepflegt, geschätzt und genutzt werden !

Auch wenn es einiges an Entsetzen über die kruden Designentscheidungen und Abläufe auslöst (meiner Meinung nach vollkommen zurecht nach aktuellem Kenntnisstand) finde ich die Diskussion hier für ein Vielfliegerforum auf recht hohem Niveau. Es werden viele Quellen als Belege beigebracht und einiges recherchiert.

Danke für die Blumen.
Im Prinzip sollte man erwarten, das sich bei den Vielfliegern neben eingen ungerechtfertigt stinkreichen auch eine Menge Leute befinden, die dank ihrer Intelligenz und und ihres Wissens so viel in der ganzen Welt gefragt sind...

 

[Luftikus]

Regeln ändern sich ständig. Ein Teil wird konstruiert nach den Regeln, die zu dem Zeitpunkt gelten. Wenn man Teile weiterbenutzt, kann man die nicht immer wieder umbauen.

 

[ek046]

Viel Blabla von oben herab

1. Max ohne MCAS nicht Zulassungsfähig
2. MCAS basiert auf dem Wert eines einzigen Sensors ohne Redundanz
3. Selbst wenn man den Zweiten dazu nimmt, ist das keine valide Redundanz, denn welcher ist der Richtige, wenn einer andere Werte liefert? Zudem laufen die beide getrennt über je einen Computer, wie verbindet man das?
4. Arbeitet das MCAS überhaupt korrekt und innerhalb von gültigen Spezifikationen, auch mit korrekten Sensorwerten, oder ist hier grundlegend schon was falsch gecodet?
5. Wenn Rezertifizierung von Software so aufwendig ist, wird man sicherlich mal nicht so einfach eine Routine mit Haufenweise Code reinzimmern können, die sich Vergleichswerte aus anderen Systemen errechnet, wie es z.B. bei Airbus der Fall ist (wenn das überhaupt geht, bei einer weitestgehend mechanischen Kiste mit aufgesetzter Elektronik).

Aber das ist ja schon hinreichend von den ganzen "Nichts-Könnern", wie Du sie hier beschreibst, beschrieben worden.

Antwort darauf? Ich nehme an keine die eine Lösung ergibt, ohne irgend einen der 4 Punkte zu verletzen.

Aber nur zu, lasst uns noch ein paar Max in den Boden fräsen.

 

[ollifast]

Regeln ändern sich ständig. Ein Teil wird konstruiert nach den Regeln, die zu dem Zeitpunkt gelten. Wenn man Teile weiterbenutzt, kann man die nicht immer wieder umbauen.

Völlig korrekt, ich bin auch kein Freund davon, alles schnell neu zu machen.

Aber: Wenn man derart kritische Stellen designmäßig anfaßt, sollte man es doch nach dem Stand der Technik machen. Und irgendwann ist auch mal gut mit alt, oder würde es jemand akzeptieren, wenn die Flughäfen z.B. noch die Passagiersicherheitskontrollen nach dem Stand von 1930 durchführen, nur weil der Flughafen so alt ist ?

Ich hab mal geschaut: Der A320 hatte seinen Erstflug 1987. Also vor mehr als 30 (!) Jahren. Ich akzeptiere ja, dass sich Luftfahrtvorschriften nicht so schnell wie Abgasvorschriften ändern, aber sollte man nicht nach 30 Jahren zumindest die grundlegenden Anforderungen wie 3+1 Redundanz für die elektronische Flugsteuerung als verbindlich übernehmen ?

 

[Luftikus]

Der Vorteil beim Alten kann umgekehrt auch sein, dass man weiß, es funktioniert.

 

[Langstrecke]

Es ist zulassungstechnisch völlig unproblematisch ein System zuzulassen, das Fehler enthält. Einfach weil man anerkennt, dass Fehler passieren können und auch dürfen, sofern sie entsprechend ihrer Kritikalität hinreichend unwahrscheinlich sind.

Zynismus ein: Beim Fahrkartenautomaten gebe ich dir recht. Zynismus aus

 

[Volume]

Der Vorteil beim Alten kann umgekehrt auch sein, dass man weiß, es funktioniert.

...oder dass man weiss, wie und warum es nicht funktioniert.
Ein Flugzeug mit Schwächen ist OK, wenn sie jeder kennt und jeder dafür ausgebildet wird.

Regeln ändern sich ständig. Ein Teil wird konstruiert nach den Regeln, die zu dem Zeitpunkt gelten. Wenn man Teile weiterbenutzt, kann man die nicht immer wieder umbauen.

In der Luftfahrt ist es etwas komplexer. Neue Versionen von alten Mustern können durchaus nach alten Regeln zugelassen werden. Die 737 also nach Regeln aus den 60ern...​

 

[Luftikus]

Nichts anderes hatte ich geschrieben.

 

[ollifast]

In der Luftfahrt ist es etwas komplexer. Neue Versionen von alten Mustern können durchaus nach alten Regeln zugelassen werden. Die 737 also nach Regeln aus den 60ern...
​

Nur die Frage ist: Will man das, so wie es aktuell gebraucht oder auch missbraucht wird, noch akzeptieren, denn es ist keine Selbstverständlichkeit.

Man kann das durchaus über politische Entscheidungen ändern oder wesentlich engere Grenzen setzen.

Es ist sicher vernünftig, bewährte Technik einzusetzen, wenn sich die Sicherheitsanforderungen nicht wesentlich geändert haben. Aber die alte Zulassung als "Recht" zu missbrauchen, um etwas durchaus Neues, das eben gerade nicht bewährt ist, schnell und billig unter Vernachlässigung des Stands der Technik durchzupushen, das kann es nicht sein

 

[rower2000]

1. Max ohne MCAS nicht Zulassungsfähig
2. MCAS basiert auf dem Wert eines einzigen Sensors ohne Redundanz
3. Selbst wenn man den Zweiten dazu nimmt, ist das keine valide Redundanz, denn welcher ist der Richtige, wenn einer andere Werte liefert? Zudem laufen die beide getrennt über je einen Computer, wie verbindet man das?
4. Arbeitet das MCAS überhaupt korrekt und innerhalb von gültigen Spezifikationen, auch mit korrekten Sensorwerten, oder ist hier grundlegend schon was falsch gecodet?
5. Wenn Rezertifizierung von Software so aufwendig ist, wird man sicherlich mal nicht so einfach eine Routine mit Haufenweise Code reinzimmern können, die sich Vergleichswerte aus anderen Systemen errechnet, wie es z.B. bei Airbus der Fall ist (wenn das überhaupt geht, bei einer weitestgehend mechanischen Kiste mit aufgesetzter Elektronik).

6. Die vorgeschlagene Lösung bei gestörtem MCAS ist, selbiges auszuschalten. Womit wir wieder bei Punkt 1 sind. Es widerstrebt mir als Entwicklungsingenieur, wenn auch nicht im Aviatikbereich, dass bei einem dermaßen sicherheitsrelevanten System keine Rückfallebene vorhanden ist.

 

[bender3002]

Was ich noch nicht so ganz verstanden habe: Eine Schuberhöhung bedingt doch immer ein Nose-Up, nicht nur bei der 737MAX. Das heißt doch, dass die Piloten unabhängig vom Fluggerät den Stick nach vorne drücken, um die Fluglage stabil zu halten. Bei der MAX ist da vielleicht ein bisschen mehr nötig, aber prinzipiell ist doch das Vorgehen das Gleiche. Warum ist also MCAS überhaupt notwendig oder ist meine obige Annahme falsch?

 

[drusnt]

Viel Blabla von oben herab

Vielleicht mag der Eindruck entstehen, dass es von oben herab ist, aber wenigstens weiß ich, wann ich Aussagen als Meinung und Annahmen als ebensolche kenntlich machen sollte und bin in der Lage, zu reflektieren, welche meiner Aussagen ich als Fakt annehmen kann und wo mein Wissen an Grenzen stößt und damit spekulativ wird. Und ich durfte bereits den ein oder anderen PSAC, SQAP und SSAR schreiben und den Zulassungsprozess von Software in der Luftfahrt begleiten. Trotzdem würde ich deswegen nicht ohne genauere Sytemkenntnisse oder einen offiziellen Zwischenbericht meine Beurteilung der Sachlage bzgl. MCAS als Fakt darstellen und daraus auch noch Konsequenzen ableiten und hier lautstark fordern, sondern als Annahme formulieren. Dann hat man auch eine Basis, auf der man vernünftig diskutieren kann, ohne sofort auf der emotionalen Ebene zu landen.

 

[ollifast]

Trotzdem würde ich deswegen nicht ohne genauere Sytemkenntnisse oder einen offiziellen Zwischenbericht meine Beurteilung der Sachlage bzgl. MCAS als Fakt darstellen und daraus auch noch Konsequenzen ableiten und hier lautstark fordern, sondern als Annahme formulieren. Dann hat man auch eine Basis, auf der man vernünftig diskutieren kann, ohne sofort auf der emotionalen Ebene zu landen.

Von dem Lion Air Absturz gibt es einen Bericht und da kannst Du mit p<.05 davon ausgehen, dass MCAS diesen Unfall durch eine unzureichende Auslegung wesentlich mit verursacht hat. Mit dem Vorwurf muss Boeing leben. Für den möglichen Miteinfluß der Piloten traue ich mich nicht, ein p anzugeben.

Bei dem hier diskutierten Flug gibt es jedenfalls eine gewisse nicht vernachlässigbare Wahrscheinlichkeit für ähnliches.

Und spätestens dann, wenn unter offenkundiger Ausnutzung von regulatorischen Spitzfindigkeiten hier die Zertifizierung einer Konstruktion erreicht wurde, die man nach gesundem Menschenverstand und mit ruhigem Gewissen so nicht hätte auf den Markt bringen sollen, ist eine öffentliche Diskussion angesagt.

Dass hier nicht jeder jeden Zusatzterm schwieriger aerodynamischer Formeln versteht (wobei es z.B. für Navier Stokes, also die Strömungsgleichungen, teilweise noch gar nicht klar ist, welche Lösungen überhaupt möglich sind, da warten noch Millenium Preise) ist vollkommen klar. Trotzdem finde ich, dass die Diskussion hier für ein Forum auf einem sehr guten Niveau stattfindet und erstaunlich viele Leute verstehen, wie das System grundsätzlich funktioniert und welche Probleme und Lösungsansätze es geben kann.

Das Boeing diese Diskussion vielleicht nicht gefällt und die gesamte Zertifizierung in Frage gestellt wird:
Damit müssen sie leben.

Und am Ende entscheiden sowieso die vermeintlich "dummen" Kunden: Wenn Boeing es nicht schafft, durch maximale Transparenz und besonders gute Maßnahmen und Erklärungen dieser hier wieder Vertrauen aufzubauen, werden die Passagiere mit den Füßen abstimmen und dann ist die 737MAX Baureihe ganz schnell am Ende.

 

[airhansa123]

Was ich noch nicht so ganz verstanden habe: Eine Schuberhöhung bedingt doch immer ein Nose-Up, nicht nur bei der 737MAX. Das heißt doch, dass die Piloten unabhängig vom Fluggerät den Stick nach vorne drücken, um die Fluglage stabil zu halten. Bei der MAX ist da vielleicht ein bisschen mehr nötig, aber prinzipiell ist doch das Vorgehen das Gleiche. Warum ist also MCAS überhaupt notwendig oder ist meine obige Annahme falsch?

Wenn ich das recht verstanden haben hat die bei der MAX verwendete CFM LEAP 1B Triebwerke mehr Schub (bis 29.320 lbf) als die bei der 737-800 NG verwendeten CFM 56-7 Triebwerke (je nach Version 24.200 bis 27.300 lbf). Es besteht also ein Leistungsüberschuss in Verbindung mit einer kritischen Aerodynamik.

 

[libertad]

ET: Piloten haben alle vorgeschriebenen Trainings erhalten, der MAX-Simulator kann das MCAS-Problem nicht simulieren. https://twitter.com/flyethiopian/status/1108700486016946178

 

[drusnt]

@olli: Das ist genau das was ich meine. Du orientierst dich an der Faktenlage, führst diese aus, ziehst daraus deine Schlüsse und kennzeichnest dies als deine Annahmen. So kann man wunderbar diskutieren. Danke für den Beitrag. Würde sich jeder Gedanken darüber machen, was Fakt und was Annahme ist, würde das die Diskussionen hier auf ein wirklich gutes Niveau heben, (welches bei vielen in ihren Beiträgen ja schon zum Ausdruck kommt). Ich wollte nur darauf hinweisen, dass es für die Qualität der Diskussion wirklich hilfreich ist, zu reflektieren, wo die eigenen Wissensgrenzen in diesem sehr speziellen Bereich liegen und nicht direkt zu Schlüssen kommt und diese als Fakt darstellt, nur weil man vermeintliche Vergleiche mit anderen Branchen versucht zu ziehen. Das funktioniert in der Luftfahrt nun mal nicht und ist daher für die Diskussion auch eher ermüdend und wenig hilfreich.

 

[Airsicknessbag]

ET: Piloten haben alle vorgeschriebenen Trainings erhalten, der MAX-Simulator kann das MCAS-Problem nicht simulieren. https://twitter.com/flyethiopian/status/1108700486016946178

Immer nur die Salamitaktik, nur das zuzugeben, was bereits bekannt ist. Das "Stonewalling" von ET in dieser Angelegenheit hinterlaesst einen extrem schlechten Eindruck bei mir.

 

[longhaulgiant]

Immer nur die Salamitaktik, nur das zuzugeben, was bereits bekannt ist. Das "Stonewalling" von ET in dieser Angelegenheit hinterlaesst einen extrem schlechten Eindruck bei mir.

Und die Salamitaktik von Boeing nicht? Die finde ich persönlich wesentlich schlimmer...

 

[Autumla]

Immer nur die Salamitaktik, nur das zuzugeben, was bereits bekannt ist. Das "Stonewalling" von ET in dieser Angelegenheit hinterlaesst einen extrem schlechten Eindruck bei mir.

Im Prinzip verstehe ich dich ja, dass man die Rolle von Lion Air und ET in der Analyse nicht außer acht lassen darf. Und ich finde auch, dass einige hier vorschnell urteilen.

Aber wenn ET jetzt zu aggressiv auf Boeing "losgehen" würde, dann könnte das auch als "so laut wie sie schreien haben sie sicher was zu verstecken" interpretiert werden.

 

[ollifast]

Freut mich, dass es mit der Diskussion hier doch ganz gut klappt. Da kenne ich andere Foren.

Mal was ganz anderes:

- Gesetzt, die MCAS Software wird verändert, im einfachsten Fall 3-4 Eingriffe, dann ist Finito. Und/oder man nimmt beide Sensoren, schickt das irgendwie zum anderen Flugcomputer, prüft die Plausibilität oder hat ganz komfortabel ein kleines Modell: Dann dürfte der RUNAWAY, also das Weglaufen des Stabelizer Stellmotors, höchstwahrscheinlich kein Problem mehr machen, der Pilot korrigiert ein paar Mal, es wackelt etwas, aber zumindest wird die Nase mit sehr viel geringerer Wahrscheinlichkeit im Boden stecken.

- Aber wie sieht das mit dem Fall z.B. einer Notwasserung aus, oder wenn der pöse Hügel im Weg ist ? Dann will man ja an die Stall-Grenze, aber nicht über diese hinweg. Weil es dann scheppert. Aber man will auch nicht von der Stallgrenze weg, weil es dann in dieser Flugsituation - die natürlich nicht der Normalfall ist - ebenfalls zu Verlusten kommen kann. Nun haben wir hier gelernt, dass die Aerodynamik der 737MAX in dem Bereich nicht unproblematisch ist, eben weil sie eher das Überschreiten der Stall-Grenze erleichtert, weswegen es MCAS oder irgendsowas braucht.

Jetzt ist MCAS drin, es geht ans Wasser, die Piloten haben alle Hände voll zu tun und MCAS trimmt von der Stallgrenze weg, kann aber nicht mehr an diese ranführen.

Und nu ?