Ich verstehe nicht ganz, was man durch die Redundanz mit zwei Sensoren erreichen will. Wenn es akzeptabel ist, dass eine 737 bei einer MCAS-Fehlfunktion abstürzt, dann muss das System extrem zuverlässig ausgelegt werden, nur ein zweiter Sensor dürfte hier nicht ausreichen.
Wenn ein Absturz nach einer MCAS-Fehlfunktion aber nicht akzeptabel ist, dann kommt man nicht drum herum das Pilotentraining für diesen Fall zu verändern, und dann ist es eigentlich egal, mit wie vielen Sensoren man arbeitet.
Aha.
So, und nun denke bitte weiter:
a) MCAS hat einen Fehler und greift so ein, dass die Nase in den Acker zeigt.
Bisherige Lösung: Strom aus.
b) Dann manuelle Trimmung: Der ETH Crash hat klar gezeigt, dass das Konzept nicht funktioniert, genau das haben sie probiert.
c) Also wieder elektrische Trimmung: MCAS spukt rein, es sei denn, man stellt schnell genug wieder den Strom ab.
Dabei ist c) auch nach den Regularien als Lösung indiskutabel, die sagen klipp und klar, dass auch "gewöhnliche" Piloten das können müssen. Außerdem kann der Motor (einer!, Redundanz!) ausfallen oder dessen Rutschkupplung rutscht durch, wenn die Kräfte am Stabilizer zu groß werden, wenn das Ding vorher in die Situation gebracht wurde.
Mindestlösung: Plausibilitätscheck, das wäre eben der zweite Sensor und vielleicht ist ja auch mal jemand so schlau, das d alpha/dt vom Sensorsignal zu prüfen. Sicherer Zustand: MCAS wird rechtzeitig deaktiviert.
Man könnte natürlich wenigstens einen Schalter MCAS-aus, Rest bleibt nachrüsten. Zu bedienen per Pilotentraining. Aber: Dann müssten die auch die Kiste ohne MCAS fliegen können. Type Rating.
Und das führt zu Deiner schöne Frage: MCAS Fehlfunktion, Absturz jetzt vielleicht umgekehrt durch einen Stall, den ja gerade MCAS verhindern soll, was jetzt aber wegen AoA Sensorausfall abgeschaltet wurde ?
Trimmung im Worst Case nur elektrisch, ein (!) Motor ?
Ganz ehrlich: Das ganze riecht übel nach "too big to ground".
Wenn man ehrlich wäre, würde man sagen: Liebe Leute, ihr habt die Airworthiness Zulassung mit unlauteren Methoden erwirkt, das Hardware-Design ist so nicht zulassungsfähig, baut die Hardware um oder verschrottet sie. Wie ? Euer Problem. Safety First.
Aber: Ja aber. Ja aber Boeing ist doch wichtige im-Land-Hersteller, die Waffenschmiede usw. Ja aber wir haben das doch so verkauft, dass eine Schulung per ipad reicht. Und jetzt wird es interessant.