10. März 2019: Ethiopian 737 MAX crash

[Airsicknessbag]

ANZEIGE

Das Piloten nur alle 6 Monate Simulator-Training haben entsprecht den üblichen Regularien.

Ich weiss. Ich haette nur gedacht, dass in so einem Fall eben ad hoc Massnahmen ergriffen werden. Quasi analog zu einer MEL: Mit manchen Defekten kann man bis zum naechsten Check weiterfliegen, andere muessen sofort behoben werden. Die hier vorliegende Problematik haette ich in die letztere Kategorie eingeordnet.

Das waere mein - ausdruecklich laienhaftes - Verstaendnis gewesen.

Und so hatte ich z.B. Southwests Statement verstanden. Vielleicht nicht ganz so dringend, wie ich es in einer perfekten Welt gewuenscht haette ("Kein Pilot macht auch nur einen weiteren Flug ohne Simulatorstunden mit MCAS-Training"), aber doch mehr als Ethiopians Einstellung ("Leute, Ihr habt ja mitbekommen, dass da was war, also, Ihr kuemmert Euch darum, gelle?").

 

[airhansa123]

Air Canada wird die 737 MAX frühestens wieder ab 1. Juli 2019 fliegen:

https://atwonline.com/safety/air-ca...m=email&elq2=bcfdf4227df344bd81f77d365d9eb6ba

 

[no_way_codeshares]

Für den geneigten Beobachter keine Überraschung - für viele andere technisch, emotional und/oder "blame game" mässig kaum vorstell/ertragbar - so jedenfalls mein Eindruck. Nur: Dieser Umstand ist weiterhin wenig hilfreich beim Verstehen was die beiden Crews daran gehindert hat, ein eigentlich fliegbares Flugzeug nicht in der Luft halten zu können.

"Blame-game" oder nicht.
Allein die fehlende Redundanz von dem MCAS-Dings ist schon ein No-Go!

 

[Kamel]

Viel Blame Game kann ich hier nicht sehen. Das System ist nicht redundant gebaut, das geht gar nicht. Am Handrad drehen ist selbst als Notlösung nicht zu gebrauchen, wenn man dabei ist, den Boden in ca. 25 Sekunden zu erreichen.
Warum einige Crews es geschafft haben und einige andere nicht, hängt sicher auch mit dem Können der Piloten zusammen, ganz sicher aber auch an den jeweiligen Umständen. Greift das System aus irgendwelchen Gründen weniger heftig ein, bestehen halt mehr Chancen auf Rettung des Flugzeugs. Hier bereits jetzt zu urteilen ist ohne konkrete Kenntnisse der jeweiligen Vorkommnisse zu früh.
Im übrigen: wenn Boeing tüchtig was auf die Finger bekommt, ist das letztlich auch eine Warnung an die gesamte Branche, es nicht ZU bunt zu treiben. Hoffe ich doch zumindest.

Und...besten Dank an die hochinteressanten Beiträge von Volume, welche vollständig zu verstehen mich noch einige Zeit kosten wird

 

[ntpeak]

An der Stelle einfach mal Stellvertretend für alle, die nur mitlesen und mangels Sachverstand nichtmal ansatzweise produktiv etwas beitragen können, vielen Dank für die doch sehr gesittete Diskussion und die vielen lesenswerten Beiträge.

Mir würden sich dabei leicht off-topic noch folgende Fragen stellen:

- Wie geht man denn jetzt z.B. als Linie, die neue Muster wie 777X bestellt hat mit so einem Vorfall und aufkommenden Zweifeln um ? Verlässt man sich da komplett auf die Aufsichtsbehörden und frägt Boeing bei Übergabe noch nebenbei ob auch wirklich alles sauber dokumentiert ist ?
- Ich habe auf den letzten Seiten gelernt, dass Boeing nicht neu entwickeln wollte, um Zeit zu sparen und die bestehende Zertifizierung der 737'er Reihe zu verwenden. In wie weit ist denn sowas möglich, also gibt es da irgendeine Grenze, was gleich sein muss, um noch als Muster einer bestehenden Reihe zu gelten ? Sollte ich das irgendwo übersehen haben, dann Asche auf mein Haupt ;-)

 

[Brainpool]

Btw.: Der Stellmotor hat wohl eine neue Architektur:
https://www.pprune.org/tech-log/615709-737max-stab-trim-architecture.html
"Eaton’s new Model 6355C Stabilizer Trim Motor features:
• Brushless three phase motor design
• Low loss power bridge with IGBT switches
• Processor based motor commutation and velocity control
• Dual current limit (torque) control circuits
• Power up built-in test
• Continuous fault monitoring
• Fault storage (non-volatile memory)
• RS-232 test/maintenance interface
• Investment cast housing
• Two stage spur gear train
• Modular, bottom up assembly — two electronic sub-assemblies, motor, housing with gear train"

Nach der Skizze auf PPrune sehe ich das der Motor direkt an der Verstellspindel sitzt. Das Trimrad im Cockpit wird demnach über Seile verbunden sein. Wenn jetzt ein neuer kraftvoller Motor verwendet wird, wie groß ist die Wahrscheinlichkeit das die Seile reißen? Bzw, dass das Handrad seine Kurbel verliert, weil die Betätigungskräfte einfach zu groß werden?
Wieviele Umdrehungen sind überhaupt von Nöten um die Trimmung wieder von Vollausschlag zur Mittellage zurückzudrehen?

 

[ollifast]

Nach der Skizze auf PPrune sehe ich das der Motor direkt an der Verstellspindel sitzt. Das Trimrad im Cockpit wird demnach über Seile verbunden sein. Wenn jetzt ein neuer kraftvoller Motor verwendet wird, wie groß ist die Wahrscheinlichkeit das die Seile reißen? Bzw, dass das Handrad seine Kurbel verliert, weil die Betätigungskräfte einfach zu groß werden?
Wieviele Umdrehungen sind überhaupt von Nöten um die Trimmung wieder von Vollausschlag zur Mittellage zurückzudrehen?

Lauter gute Fragen!
"Nächste Fragen bitte ..."

Bei der NG war da wohl eine (Rutsch- ?) Kupplung zwischen Motor und Spindel.

Ja, die 737MAX ist schon insgesamt eine "geile" Konstruktion, fassen wir mal zusammen:
- Die Aerodynamik ist so (giftig), dass in der Nähe des Stalls (Überziehen, Strömungsabriss) bei hohem AoA (Anstellwinkel), also Nase hoch, das Flugzeug den Eintritt in den Stall durch zusätzlichen Auftrieb an den Triebwerken begünstigt wird, was nicht zertifizierungsfähig ist. Weil die Regularien das Gegenteil fordern, nämlich das der Eintritt in den Bereich des Überziehens durch höhere Steuerkräfte erschwert wird. Es ist zudem unklar, ob dann bei dem Modell die Möglichkeit eines "Deep Stalls" besteht, den man bisher nur T-Leitwerken zugetraut hat, bei dem einen zweiten stabilen Flugzustand gibt, aus dem man nicht mehr rauskommt, der nur leider keine relevanten Auftriebskräfte mehr hat. Unabhängig davon gilt es ein Überziehen unbedingt zu vermeiden, da auch z.B. durch die Gegend fliegende Teile in der Kabine Verletzungen verursachen können.
- Um das zu kompensieren und die Zulassung zu erhalten, bastelt man eine Software"lösung" ohne jede Redundanz und ohne wirkliche Plausibilitätsprüfung der Messwerte rein, die von genau einem (!) AoA-Sensor glaubt, den Anstellwinkel zu beziehen und dann Befehle gibt, die Flugzeugnase zu senken, indem die Stabelizer (also die großen Flächen am Höhenleitwerk vorne) gesenkt werden. Und das, obwohl es zumindest am inaktiven Flugcomputer einen zweiten Sensor gäbe (eigentlich bräuchte man drei für eine Mehrheitsentscheidung plus Plausibilitätsscheck z.B. via Navigation/INS und z.B. vier Flugcomputer wie bei Airbus für sicherheitsrelevante Systeme der Flugsteuerung).
- Wenn der eine (!) Sensor Schrott liefert, wird alle paar Sekunden ein "Nase runter" Trimmbefehl vom Flugcomputer gegeben, egal was der Pilot wieder per Schalter am Steuerhorn nach oben trimmt, wobei der Umfang des Eingriffs höher ist als dokumentiert. Debei dreht ein Motor auf der Spindel, welche hinten im Heck schraubenähnlich über einen Hebel die Stabelizer-Flächen verstellt, diese ganz viele Umdrehungen weiter.
- Das kann der Pilot nur dadurch unterbinden, wenn er dem Motor komplett den Strom abstellt, was über einen TRIM PRI CUTOUT Schalter an der Mittelkonsole gehen sollte (wenn sie den nicht auch nur noch auf einen Computerport statt wie bei der NG auf ein Relais in der Stromzufuhr gelegt haben, Verschaltung bei der MAX ist unklar) oder im Notfall über die Sicherung des Motors.
- Danach kann der Pilot dann über einen Seilzug vom Cockpot aus mit ganz vielen Umdrehungen die Spindel mühsam wieder in kürzester Zeit zurückdrehen, wenn bis dahin das Luftfahrzeug nicht in den Boden gerammt wurde. Sollte hingegen der Motor blockieren, die Kupplung, so noch vorhanden, versagen, das Seil reißen oder die Anbindung an das Rad im Cockpit brechen, dann wird das Luftfahrzeug ebenfalls in den Boden gerammt.

Mir fehlen einfach komplett die Worte, wie man nur sowas konstruieren kann, wenn es um Hunderte von Menschenleben geht

 

[jsm1955]

"blame game"

Ach?

ein eigentlich fliegbares Flugzeug nicht in der Luft halten zu können.

Das war ja offensichtlich nicht der Fall. In beiden Fällen.
Was mich wundert: Im ersten Fall war die Funktion selbst und deren Abschaltung den Piloten nicht bekannt. Die ET-Piloten aber müssten eigentlich informiert gewesen sein.

Dennoch würde ich gerne noch mal ins Spiel bringen, dass es die Sicherheit betreffend wichtig wäre, Flugzeuge zu bauen, die fliegen können. Und nicht vorhandene Modelle so "optimieren" dass sie nur noch mit zusätzlichen Hilfssystemen fliegen können (und diesen Umstand dann noch zu verschleiern).

 

[Daniel24]

Neuer Artikel der NYT:
https://www.nytimes.com/2019/03/19/business/boeing-elaine-chao.html
Zitat: “The regulators also approved the software to be triggered after receiving data from only one so-called angle-of-attack sensor. The decision allowed for the system to have a single point of potential failure, a rarity in aviation safety.

Most important safety systems include redundancy. The coming software fix by Boeing will require data from both of the plane’s angle-of-attack sensors, among other changes, according to pilots and lawmakers.”

 

[ollifast]

Most important safety systems include redundancy. The coming software fix by Boeing will require data from both of the plane’s angle-of-attack sensors, among other changes, according to pilots and lawmakers.”

Nachdem jeder AoA Sensor nur an einem Flugcomputer hängt, was die Software kaum ändern dürfte, heißt das wohl übersetzt:

Nur dann, wenn beide Sensoren UND beide Flugcomputer sauber arbeiten, funktioniert das System einwandfrei.

Also FCC1 UND FCC2. Zweimal Single Point of Failure, diesmal in die andere Richtung.
Das System greift dann zwar weniger wahrscheinlich ein, wenn es das nicht soll, aber dafür auch dafür weniger wahrscheinlich, wenn es das muss.

Wir murksen weiter

 

[Sayer]

Wie stellt man denn dann bei Nutzung von zwei Sensoren fest welcher plausible Daten liefert?

 

[Brainpool]

Wie stellt man denn dann bei Nutzung von zwei Sensoren fest welcher plausible Daten liefert?

 

[NurZumLesen]

Also ich(!) würde für den Fall, dass ich einfach nicht mehr Sensoren bekomme und trotzdem eine Software schreiben muss(!), im Zweifel bei einem Unterschied > einem festgelegten Schwellwert, gar nicht eingreifen und nur eine Warnung ausgeben so wie: "Achtung Stallgefahr - oder möglicher AoA Sensor Fehler".

Das wäre wohl besser als bisher, da das System nicht mehr so oft fälschlicherweise aktiv wird.
Aber bei allem was ich als Laie hier bisher gelesen habe, dürfte so ein System eigentlich trotzdem nicht genehmigt werden.

 

[D(CR)ASH8]

Eben im Radio die Meldung, dass die ET Piloten bis zum Schluss im Handbuch nach einer Lösung gesucht haben...

 

[Luftikus]

Lion Air war das. Nicht alles vermischen.

 

[ollifast]

Also ich(!) würde für den Fall, dass ich einfach nicht mehr Sensoren bekomme und trotzdem eine Software schreiben muss(!), im Zweifel bei einem Unterschied > einem festgelegten Schwellwert, gar nicht eingreifen und nur eine Warnung ausgeben so wie: "Achtung Stallgefahr - oder möglicher AoA Sensor Fehler".

Das wäre wohl besser als bisher, da das System nicht mehr so oft fälschlicherweise aktiv wird.
Aber bei allem was ich als Laie hier bisher gelesen habe, dürfte so ein System eigentlich trotzdem nicht genehmigt werden.

Das ist sicher aus dem Gesichtspunkt des "müssens" heraus ein brauchbarer Ansatz, wobei der richtig gute Entwickler seinem (BWL-) Chef durchaus auch mal "das ist alles Murks, such dir bitte einen anderen, der für dich murkst" sagen kann, weil das erstens der Ingenieursethik entspricht und zweitens der ohnehin sofort wieder einen Job findet.

Man sollte sich vor Augen halten: Dies ist eine Stelle, an der das Leben von Hunderten von Menschen hängt, und selbst ein einfaches ABS im Auto hat zwei Rechnerkanäle, die von vier Radsensoren versorgt werden, wobei zudem die Sensoren aktiv geprüft werden. Auch in einem ESP wird der entscheidende Gierratensensor durch künstliche Impulse aktiv validiert. Zudem ist das ABS so konstruiert, dass nur wenn beide Rechner sich einig sind, eine Aktion ausgelöst wird, das macht eine nachgeschaltete Hardware und das mechanische Design. Das ist so ausgelegt, dass Ventile aktiv sperren und (!) eine Pumpe aktiv Bremsflüssigkeit zurückbefördert, um die Bremse zu lockern. Und zwar auf zwei hydraulischen Kreisen!

Davon hängen einige Menschenleben ab, aber nicht hunderte.

Und nun kommt Boeing und bastelt an einer Stelle, an der die Aerodynamik nicht unkritisch ist, an der in die eine (Überziehen) wie die andere (in den Boden rammen) Richtung Hunderte Menschenleben hängen, eine solche "Softwarelösung".

Die Spindel ist ja mechanisch ok und bewährt, damit sich nichts von alleine verstellt (hat so eine Spindel so an sich, inhärente Sicherheit), aber zumindest der Motor sollte zweifach redundant ausgelegt sein - die Seilzüge sind nicht mehr State of the Art, zumal wenn man auf den Eingriff per Rechner vor dem Stall angewiesen ist -, es sollte vier Rechnerkanäle geben und drei Sensoren. Und eine mehrfach redundante Stromversorgung (z.B. 2 x Bus und 2 x eigener Akku). Alles ohne Single Point of Failure.

Das ist man den Opfern schuldig.

Und alles andere, wie ein erneutes Hinmurksen durch eine irgendwie geartete Billigsoftware"lösung" ist völlig inakzeptabel. Und wenn das teuer ist und ein langes Redesign bedingt: Dann ist das halt so.

 

[David_DE]

Wie stellt man denn dann bei Nutzung von zwei Sensoren fest welcher plausible Daten liefert?

Eine Möglichkeit wäre, dass die Cockpitbesatzung sich entscheiden kann, welchen Sensor sie für richtig hält.

 

[Fare_IT]

Endlich mal was Neues

Absturz Boeing 737 Max in Indonesien: Bericht schildert verzweifelte Handlungen der Piloten - SPIEGEL ONLINE

Daraufhin habe der Kapitän den Ersten Offizier angewiesen, das Handbuch zu überprüfen. Dieses beinhalte Checklisten für ungewöhnliche Ereignisse.

In den nächsten neun Minuten senkte sich die Nase des Flugzeugs immer wieder ab. Der Bordcomputer habe die Piloten laut der Quelle vor einem Strömungsabriss gewarnt. Die Cockpitcrew versuchte mehrfach, die Nase wieder nach oben zu ziehen. Sie schienen nicht zu merken, dass sie Probleme mit der Trimmung haben, sagte eine der Quellen. Es sei weiter nur über Flughöhe und Fluggeschwindigkeit gesprochen worden.

Laut den drei Quellen blieben die Piloten in der Situation ruhig. Kurz bevor die Maschine abstürzte, übergab der Pilot an den Ersten Offizier. Er überprüfte nun das Handbuch, während der Erste Offizier das Steuer übernahm. Doch es gelang ihm nicht, das Flugzeug zu kontrollieren. Wenig später stürzte die Maschine ins Meer.

 

[holgor2000]

Blöde Frage, aber wieso kann ein Softwaresystem, wie das MCAS, einen Kurs in den Boden einschlagen? Müsste es nicht ein übergeordnetes, überwachendes System geben, welches das verhindert? Ein Kurs in den Boden, kann doch niemals richtig sein. Vom Landen mal abgesehen.

 

[DerSenator]

Blöde Frage, aber wieso kann ein Softwaresystem, wie das MCAS, einen Kurs in den Boden einschlagen? Müsste es nicht ein übergeordnetes, überwachendes System geben, welches das verhindert? Ein Kurs in den Boden, kann doch niemals richtig sein. Vom Landen mal abgesehen.

Weil die falsche Programmierung die Sensordaten falsch erkennt/übernimmt und daher denkt, das Flugzeug wäre im Steigflug, hart an der Grenze zum Strömungsabriss und daher (gesetz der Fall wäre richtig) entsprechend reagiert indem es die Nase senkt. Da das Flugzeug tatsächlich aber fast horizontal fliegt, steuert die Nase nun Richtung Boden. Ein Strafrechtler würde sagen, MCAS befindet sich in einem Tatbestandsirrtum.

 

[Brainpool]

Ein Kurs in den Boden, kann doch niemals richtig sein. Vom Landen mal abgesehen.

Auch zum Landen wäre mir ein Kurs auf den Boden erheblich lieber als in den Boden!

 

[ollifast]

Die Daten könnte man sogar im Prinzip über einen popeligen INS Sensor 3 Achsen Beschleunigung, 3 Achsen Drehmoment und 3 Achsen Magnetfeld validieren, wie er sich in jedem schnöden Handy befindet und z.B. von Bosch für wenige Euro ab Lager zu haben ist, auch wenn der noch dafür zertifiziert werden müsste.

Man muss zwar in der Luftfahrt immer mit der dreidimensionalen Beschleunigung beim Rechnen aufpassen, weil das nicht so ganz dem menschlichen Vorstellungsvermögen entspricht, aber es gibt ganz klar AoA Signale, die mit INS Signalen nicht übereinstimmen können, wenn ein Sensor spinnt. Weil Nase hoch und Nase runter ist bei den eher harmlosen Beschleunigungen von Passagierflugzeugen über die Gravitation (Erdanziehung) schon noch validierbar. Zudem gibt es noch den künstlichen Horizont (Fluglageanzeiger) mit Kreisel usw., den barometrischen Höhenmesser usw. Da kann man schon ein Modell erstellen, das sagt, ob der AoA Sensor taugt oder Schmarrn liefert. Nimm viel davon, das ist heute trotz Luftfahrt-Zertifizierungsaufwand günstig. Jedenfalls günstiger als die aktuelle Krise.

Das ganze eben mehrfach redundant ausgelegt und gut ist. Nein, die 737MAX ist kein Beispiel guter Ingenieurskunst, da haben auch die Amis schon bessere Sachen geliefert. Die Mühle erinnert mich irgendwie an US Autos mit 2cm Spaltmass

 

[tehdehzeh]

Was genau wären denn dann nach Eurer geschätzten Stimmung, die Konsequenzen?

Meiner Meinung nach macht das im Prinzip gar keinen Unterschied mehr.

Es ist ja bereits offenkundig, dass
1) Die 737 MAX in der Form wie sie bisher verkauft wurde gar nicht zertifizierungsfähig gewesen wäre.
2) Sie trotzdem zertifiziert wurde, weil die FAA einen großen Teil ihrer Aufgaben an Boeing übertragen hat.
3) Ein reines Software-Update dieses Problem nicht lösen kann
=> Mithin steht Boeing jetzt mit einem vollen Orderbuch eines Flugzeugs da, das zunächst mal neu zertifiziert werden muss, und dafür vermutlich auch noch signifikant modifiziert werden muss. Man legt in einem Verkehrsflugzeug ja nicht einfach ein zusätzliches Kabel vom linken AoA-Sensor zur rechten Steuerung und umgekehrt - da hängt ja ein riesen Rattenschwanz dran. Sonst hätte Boeing es ja vermutlich auch gleich so gemacht.

Selbst wenn hier also am Ende reine Pilotenfehler herauskämen (was ich für unwahrscheinlich halte, mindestens beim ersten), ändert das ja nichts an diesen (gewaltigen!) Problemen.

Die ersten Reaktionen gehen ja auch schon in diese Richtung, obwohl es noch keinerlei Abschlussbericht gibt:
1) Andere Zertifizierungsbehörden (EASA, die kanadische) scheinen nicht mehr gewillt FAA-Zertifizierung ohne eingehende eigene Prüfungen zu übernehmen.
2) Das US-Handelsministerium reitet bei der FAA ein und wird sicherlich einiges umkrempeln, sodass ich es für ausgeschlossen halte, dass Boeing in Zukunft noch die eigenen Flugzeuge quasi selbst zertifiziert. Es würde mich wundern, wenn das nicht zu Delays im 777X-Programm führte.

Mich würde allerdings interessieren, wie im Vergleich dazu bisher die EASA Zertifzierungen von Airbus-Modellen handhabt. Ich könnte mir vorstellen, dass man da auch nochmal etwas genauer hinguckt, falls es ähnliche sich verselbsständigende Prozesse gibt/gab..

 

[DerSenator]

´
Mich würde allerdings interessieren, wie im Vergleich dazu bisher die EASA Zertifzierungen von Airbus-Modellen handhabt. Ich könnte mir vorstellen, dass man da auch nochmal etwas genauer hinguckt, falls es ähnliche sich verselbsständigende Prozesse gibt/gab..

Ich würde mich nicht wundern, wenn die FAA bei Airbus trotzdem nochmal ein Auge drauf wirft

 

[cockpitvisit]

Weshalb konnte die Crew von JT 93 den selben Notfall beherrschen, an dem anschliessend die von JT 610 scheiterte?

Anscheinend gab's bei JT 93 einen dritten Piloten im Cockpit:

Pilot Who Hitched a Ride Saved Lion Air 737 Day Before Deadly Crash

As the Lion Air crew fought to control their diving Boeing Co. 737 Max 8, they got help from an unexpected source: an off-duty pilot who happened to be riding in the cockpit.

That extra pilot, who was seated in the cockpit jumpseat, correctly diagnosed the problem and told the crew how to disable a malfunctioning flight-control system and save the plane, according to two people familiar with Indonesia’s investigation.

The next day, under command of a different crew facing what investigators said was an identical malfunction, the jetliner crashed into the Java Sea killing all 189 aboard.