'Boeings antiovertreksysteem in gecrashte 737 Max werd vier keer geheractiveerd'

Het systeem dat Boeing in het vorige maand neergestorte Boeing 737 Max-vliegtuig van Ethiopian Airlines heeft geïmplementeerd om een overtreksituatie te vermijden en dat waarschijnlijk de dodelijke crash heeft veroorzaakt, werd waarschijnlijk verschillende keren geheractiveerd.

Boeings software om overtrek te voorkomen is tot vier keer geheractiveerd nadat de twee piloten van Ethiopian Arlines die hadden uitgeschakeld nadat ze hadden vastgesteld dat het systeem handelde op basis van foutieve data van een invalshoeksensor. Dit meldt Reuters op basis van twee anonieme bronnen die bekend zijn met de materie. De WSJ meldt op basis van bronnen dat de piloten van Ethiopian Airlines de instructies van Boeing zouden hebben gevolgd, maar er desondanks niet in slaagden het toestel te redden.

Het systeem kreeg incorrecte data van een invalshoeksensor op basis waarvan het concludeerde dat het vliegtuig te veel overhelde. Daardoor werd de neus automatisch omlaag geduwd. Dat gebeurt door de stand of hoek van de stabilo's aan de staart van het toestel aan te passen. De piloten kunnen dit ten dele tegengaan, maar uiteindelijk is dit bij zowel de crash in Ethiopië als de crash in oktober vorig jaar met een Boeing 737 Max van het Indonesische Lion Air niet of onvoldoende gelukt.

Boeing heeft het systeem geïntegreerd om een overtreksituatie te voorkomen. Het zou geactiveerd worden op basis van data van een enkele invalshoeksensor, terwijl elk toestel er twee heeft, een aan de linkerzijde en een aan de rechterzijde. Er zijn ook berichten dat het MCAS-systeem wel data van beide sensoren als input gebruikte, maar dat de data van de sensoren in ieder geval niet met elkaar is vergeleken, zodat bij een incorrect werkende sensor en dus afwijkende waardes ook geen waarschuwing kon worden gegeven. Specifiek voor die situatie was wel een waarschuwingslampje beschikbaar dat oplicht als er afwijkende waardes worden geconstateerd, maar dit was een optionele update die niet standaard werd geïntegreerd. Geen van beide vliegmaatschappijen had deze optie afgenomen. Boeing gaat dat vanaf nu wel standaard implementeren.

Het gaat bij deze noodlottige, dodelijke crash van 10 maart en die van het Indonesische Lion Air van oktober vorig jaar om het zogeheten MCAS. Boeing heeft dit systeem geïnstalleerd in het relatief nieuwe type van het Boeing 737-passagiersvliegtuig, te weten de Max 8. Dit systeem is geplaatst om de neus automatisch naar beneden te duwen als de invalshoek of aanvalshoek tussen de vleugel en de hierlangs stromende lucht te groot wordt. Simpel gezegd helt het vliegtuig dan te veel achterover, waardoor de luchtstroom over de vleugels niet ideaal is, snelheid wordt verloren en er in het ergste geval onvoldoende lift is om het toestel in de lucht te houden. Hoogstwaarschijnlijk is dit systeem de oorzaak van de twee crashes, waarbij in totaal ongeveer 350 mensen om het leven kwamen.

Het MCAS-systeem zit alleen in Boeing 737-toestellen van het type Max. Er wordt van uitgegaan dat het is geïmplementeerd vanwege de grotere motoren van de Boeing 737 Max. Deze zijn groter dan de motoren van oudere 737-types en zitten ook op een enigszins afwijkende plek onder de vleugels. Dat verandert de aerodynamische eigenschappen, op basis waarvan het MCAS-systeem is geïmplementeerd om het toestel op koers te houden. Boeing heeft niet voor een geheel nieuw vliegtuigontwerp gekozen, maar alleen voor de afwijkende motorconfiguratie, waarschijnlijk om te kunnen concurreren met de zuinige Airbus 320neo. De grotere motoren van Boeing moeten ten opzichte van oudere Boeing 737's een brandstofbesparing opleveren.

De piloten waren volgens The New York Times onvoldoende getraind op het vliegen met dit nieuwe type toestel en wisten daardoor niet goed met de nieuwe software om te gaan. Dallas News berichtte eerder al dat verschillende Amerikaanse piloten hebben geklaagd over het systeem, dat geactiveerd wordt zonder input van de piloten. Ook zou de documentatie hierover onvoldoende zijn en enkel in het Engels beschikbaar zijn geweest.

Toezichthouder FAA liet onlangs weten dat er over enkele weken een software-update van Boeing komt die de werking van MCAS moet aanpassen zodat crashes als bij de toestellen van Ethiopian Airlines en Lion Air veel eenvoudiger zijn te voorkomen. De update moet onder meer het heractiveren van het systeem tegengaan. De FAA is ook onder vuur komen te liggen, omdat het te snel toestemming zou hebben gegeven voor het specifieke type van de Boeing 737, waarbij het toezicht te veel door Boeing zelf moest worden uitgevoerd.

Op dit moment is nog onduidelijk of de bemanning van het Ethiopische toestel ervoor heeft gekozen om het systeem na de initiële uitschakeling weer in te schakelen of dat het zonder hun tussenkomst weer actief werd. Boeing noch Ethiopian Airlines wilde commentaar geven op een verzoek van Reuters. Het officiële onderzoek loopt nog; Ethiopian Airlines komt waarschijnlijk op korte termijn met een eerste, officiële verklaring en de zwarte dozen zijn voor onderzoek naar Frankrijk gestuurd.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (173)

Het artikel is niet helemaal duidelijk, maar het is niet vreemd dat het systeem zich vier keer heeft geheractiveerd. Het doet namelijk precies zoals het ontworpen is. Het naar beneden trimmen kan tijdelijk (5 seconden) gestopt en ongedaan gemaakt worden door de trimswitches op het stuurkolom in de andere richting in te drukken. Dit is waarschijnlijk wat ze dus vier keer achter elkaar hebben geprobeerd. Om het nose down trimmen helemaal te stoppen moet je de STAB TRIM CUTOUT switches overhalen, wat ze helaas waarschijnlijk niet hebben gedaan. Al is dit niet helemaal te herleiden uit de nieuwsberichten.

Bron: https://skybrary.aero/bookshelf/books/4478.pdf

[Reactie gewijzigd door upclocker op 3 april 2019 18:29]

Het doet namelijk precies zoals het ontworpen is.

Dat hoeft nog niet te betekenen dat het systeem correct ontworpen is. De software implementatie van MCAS is op z'n minst opvallend te noemen, zoals onder andere beschreven staat op https://leehamnews.com/20...irlines-flight-302-crash/

wat ze helaas waarschijnlijk niet hebben gedaan

Ook dat is niet vreemd, want MCAS staat niet in de handleiding beschreven en er is geen correcte training gegeven, want Boeing claimt dat dit niet nodig was.

MCAS in toegevoegd aan de toestellen om het vlieggedrag gelijk te houden aan de bestaande 737 toestellen.
Belangrijkste reden was dat hiermee Boeing het toestel kon verkopen met het argument dat piloten geen dure training nodig hadden voor dit toestel, als ze al voor de 737 waren gecertificeerd.
Het is dus niet vreemd dat men niet bekend was met het MCAS systeem, dat was namelijk volgens Boeing helemaal niet nodig want het toestel was 'toch hetzelfde' als de bestaande 737s.

In mijn opinie is MCAS een slechte fix voor een slecht vliegend vliegtuig.

Je opmerking is zonder nadere toelichting te kort door de bocht, maar ze zette mij wel aan het denken. Om eerlijk te zijn denk ik niet dat je dit zomaar kan stellen met de informatie die we hebben. Toch zijn er wel redenen om vragen te stellen over de kwaliteit van het ontwerp van de MAX-8.

Misschien is ontwerp een verkeerde omschrijving, het betreft meer een aanpassing van een bestaand ontwerp (737-800?) op een nog groter aantal inzittenden. Die aanpassing slaat op een verlenging van de romp en de vervanging van de motoren. De 737 Max-7, -8, en -9 vervangen de 737NG (Next Generation) series 737-700, -800 en -900. De Next Generation series (-600, -700, -800 en -900) zijn op hun beurt weer een vervanging van de tegenwoordig zo genoemde Classic series (-300, -400 en -500). De eerste 737 series, de -200 en de -100 kunnen we inmiddels als uitgefaseerd beschouwen.

Ten opzichte van dat originele ontwerp, 737-100 met maximaal 124 zitplaatsen, betekend de MAX-8 met 189 zitplaatsen bijna een compleet ander vliegtuig. De MAX-9 en MAX-10 gaan hierin nog verder met 220 en 244 zitplaatsen. Naar ik begrijp waren de MAX series eigenlijk helemaal niet beoogd, maar hadden de Next Generation 737's moeten zijn vervangen door varianten van een nieuw vliegtuigontwerp, dat veel ontwerpelementen van de 787 Dreamliner zou hergebruiken. Met de huidige info beoogt Boeing de 737 te vervangen door een nieuw ontwerp rond 2030. Misschien is dit uitstel ingegeven door de noodzaak die Boeing ervoer om een antwoord te formuleren op de Airbus A320neo. Deze Airbus serie had veel succes bij Amerikaanse maatschappijen. Zo plaatste American Airlines in juni 2011 een groot order voor 130 toestellen. Bijna geen toeval meer te noemen lanceerde Boeing het MAX programma in Augustus 2011. Dit resulteerde in een eerste vlucht van een 737-MAX toestel in januari 2016. de MAX-8 is het eerste type dat uit deze serie is geleverd.

De MAX serie lijkt dus in eerste instantie helemaal niet de bedoeling te zijn geweest. In een traject van 4,5 jaar is van een initieel besluit naar een eerste vlucht bewogen. Als referentiekader: de -300 t/m -500 series zijn tussen 1984 en 2000 geproduceerd, de NG series (-600 t/m -900) zijn tussen 1993 en nu geproduceerd. Tussen de productie van de Classic series en de NG series bevond zich dus een decennium. De eerste leveringen van de MAX series startten pas in de loop van 2017, bijna 25 jaar later dan de start van de NG series. Mijn observatie is dat een doorontwikkeling van een 737 kaliber vliegtuig door de Dreamliner ontwikkeling in de wachtrij was gezet. Boeing is hiermee vanaf eind jaren '90 druk mee geweest. De Dreamliner had in plaats van een aluminium romp een romp opgetrokken uit composiet materiaal, waarbij de cilinderdelen uit een stuk bestonden. De Dreamliner heeft door verschillende oorzaken best vertraging opgelopen. Pas in 2011 kon het eerste toestel aan klanten worden geleverd. Het mag duidelijk zijn dat dit de ontwikkeling van de opvolger van de 737, en zelfs die van de MAX serie heeft opgehouden. Dit heeft druk gezet op het kunnen leveren van de MAX toestellen, wat ook druk heeft gezet op de kwaliteit van aanpassing van 737 naar de MAX series.

Edit: aantallen zitplaatsen in verschillende B737 types

[Reactie gewijzigd door teacup op 3 april 2019 23:17]

Je bent wel heel enthousiast met het aantal zitplaatsen. Zelfs Ryanair haat mensen niet genoeg om er 340 tot 392 in een 737 te proppen
Dit zijn de pax configuraties;

Max-7 153-172 max
Max-8 178-200 max
Max-9 193-220 max
Max-10 204-230 max

Letterlijk en figuurlijk inderdaad wat pijnlijk, zou wat bloederig worden denk ik. Bedankt voor je feedback. Mijn zitplaatsen zijn op de 737 Wiki gebaseerd, had wat moeite met interpretatie van de tabel, met wat cross-checken bij een andere bron was die deductie wel gevallen, mijn aandacht lag alleen wat meer bij het verhaal waarom die MAX ontwikkeling zo in de verdrukking was gekomen.

De vorige post heb ik even aangepast. Verder lijkt jouw opgaaf ook wel overeen te komen met die wiki. Voor de zorgvuldigheid heb ik toch even naar een tweede bron gezocht (B737.org). Die bron bevestigd het maximaal aantal zitplaatsen, en noemt het alleen maximal certified seating en noemt typical seating als tweede getal. De eerste lijkt netjes de Exit Limit in de Wiki te volgen, al loopt ze voor de MAX modellen weer uit de pas.

Deze bron komt met de volgende getallen:
737-100: max: 124, typ: 113
737-200: max: 136, typ: 119
737-600 (NG) max: 149, typ: 145
737-900ER (NG) max: 215, typ: 180
737-MAX-7 max: 149, typ: 145
737-MAX-8 max: 189, typ: 175
737-MAX-9 max: 220, typ: 192
737-MAX-10 max: 244, typ: 216

In die bron werden trouwens nog twee andere MAX types genoemd, de MAX-200 en de MAX-7X. Die aantallen zitplaatsen lijken trouwens te gehoorzamen aan configuraties die bepaalde klanten profielen beogen. Gaand van Original, Classic, Next Generation naar MAX worden de grenzen wel steeds verder naar meer zitplaatsen opgerekt, een grote overlap tussen de series is er ook. Ook is een hoger volgnummer niet altijd een groter aantal zitplaatsen, zo heeft een -400 Max. 188 zitplaatsen, en de -500 max. 140 zitplaatsen.

[Reactie gewijzigd door teacup op 3 april 2019 23:52]

Ik heb mijn getallen gewoon van https://www.boeing.com/co...737max-10-characteristics
Ik mag toch aannemen dat zij het wel weten. Dat zijn dus de officiële getallen. Die komen overigens exact overeen met de getallen die je kan vinden op https://en.wikipedia.org/wiki/Boeing_737_MAX. Daar is dus vast de Boeing website gebruikt als bron.

Het is absoluut een prima ontwerp. Zolang piloten getraind worden voor het betreffende systeem.

De software is beslist niet goed ontworpen. Naast tijdelijk de-activeren moet zo'n hulpmiddel ook volledig uitgeschakeld kunnen worden. De sensoren zitten aan de buitenkant van het toestel en zijn daarmee kwetsbaar. Het systeem is ook niet noodzakelijk om handmatig te kunnen vliegen. Dat zijn twee redenen waarom de MCAS totaal uitgeschakeld moet kunnen worden.
Het grootste probleem in is natuurlijk het ontbreken van documentatie en training. Als piloten weten dat ze MCAS elke 5 seconden uit moeten schakelen, dan zullen ze dat doen. Als MCAS echter problemen geeft, dan moet het permanent uitgeschakeld kunnen worden.

Het grootste probleem in is natuurlijk het ontbreken van documentatie en training. Als piloten weten dat ze MCAS elke 5 seconden uit moeten schakelen, dan zullen ze dat doen. Als MCAS echter problemen geeft, dan moet het permanent uitgeschakeld kunnen worden.

Dat is één zeer belangrijk probleem met het systeem.

Wat ik persoonlijk minstens net zo belangrijk vind is dat het systeem geen geintegreerde sensor cross-check functie schijnt te hebben. Een echt goed ontwerp controleert of de verschillende sensoren overeenkomstige data leveren. Indien dat niet het geval is dient het systeem zichzelf uit te schakelen en een zeer specifike melding aan de piloten te geven in de vorm van:

• Welke sensoren mismatched data genereren
• Welke automatische (sub)systemen als gevolg hiervan niet meer functioneren
• Eventueel Trouble-shooting hulp en/of indicatie van welke sensor het systeem denkt dat betrowbaar is

Op deze manier geef je de piloten alle informatie die ze nodig hebben om het vliegtuig veilig te kunnen besturen.

Dit soort problemen met sensor mismatch hebben al vaker crashes veroorzaakt in het verleden. In veel gevallen kwam de crash uiteindelijk omdat de piloten niet (of niet op tijd) door hadden dat er een sensor mismatch was.

Met de steeds verder gaande automatisering van vliegtuigen word dit probleem alleen maar groter. Ik denk daarom dat het verstandig is om voor alle systemen sensor cross-check en reporting daarvan verplicht te stellen. De hardware daarvoor is sowieso al aanwezig; enorm veel sensoren zijn dubbel, zo niet drievoudig uitgevoerd. Het is een kwestie van software maken die alles monitort en eventuele discrepanties rapporteert. Daarbij kun je ook nog functionaliteit inbouwen dat de piloten (na troubleshooting) aan het systeem kunnen aangeven welke sensor volgens hen betrouwbaar is en dat het systeem dan op basis van die sensor weer in werking treedt indien de piloten daarvoor kiezen.

Lang leve de MD11, een vliegtuig wat al sinds begin jaren 90 vliegt en dus inderdaad sensordata crosscheckt en mismatches direct in je gezicht aangeeft op de Primary Flight Displays.
Een vliegtuig wat een vergelijkbaar systeem heeft om de handling characteristics te verbeteren (LSAS) omdat het ook een doorontwikkeling was van de DC10 en door z'n veranderde afmetingen onacceptabele vliegkarakteristiek kreeg. Verschil met de 737MAX: Bij de MD11 zitten er autoflight override Switches ingebouwd, direct onder de knop van de autopilot. Bij problemen zoals deze, waar sensoren bogus data produceren, zet je alle vriendelijk bedoelde hulpmiddelen uit en heb je zelf de controle. Het enige wat Boeing had hoeven doen, was kijken naar het ontwerp van een bedrijf dat ze 22 jaar geleden hebben overgenomen. Erg zonde.

Wat jij hier verteld maakt het geheel in mijn ogen alleen nog maar schokkender. Ik was al verbaasd dat deze functie er schijnbaar niet in zat, maar met wat jij hier zegt is het gewoon te idioot voor woorden.

Absoluut schokkend. Des te meer omdat, zoals eerder aangegeven, er wel meer problemen op dit vlak zijn:

Incident: Lufthansa A321 near Bilbao on Nov 5th 2014, loss of 4000 feet of altitude
https://avherald.com/h?article=47d74074

De A320 heeft een tijdlang een aparte procedure gehad in het Quick Reference Handbook naar aanleiding van dit incident waarin stond welke computers (Flight Augmentation Computers, get the gist?) je uit moest zetten om ook weer onder de automatisch ingrijpende beveiligingssystemen uit te komen. In dit geval was het mazzel dat ze genoeg hoogte hadden en de piloten zo helder van geest waren om het vliegtuig in Direct Law te forceren. Welke sensoren waren verantwoordelijk voor de verkeerde ingreep? Juist, wederom de AoAs. Vliegtuigfabrikanten horen dit al lang te weten.

De onderzoeken zijn ook nog niet afgerond. Jouw punten zullen zeker nog deel van het onderzoek uitmaken. Bij het afronden van de onderzoeken zullen ongetwijfeld een aantal aanbevelingen komen. Tot die tijd is de kans groot de MAX geen nieuw certificaat van luchtwaardigheid krijgt.

MCAS kan ook volledig uit, maar er zijn alleen losse switches voor lijkt het.

Alleen lijkt dat niet in de documentatie te staan. Men heeft het in elk geval niet op tijd kunnen vinden.

Boeing heeft op zijn minst nog heel wat werk te verzetten om de 737 max weer luchtwaardig te krijgen. De documentatie is zeker gebrekkig, maar misschien moet de 737 max wel als een ander type vliegtuig gezien worden dan de 737 en moeten piloten hier apart voor worden opgeleid.

Dit is bullshit, na Lion Air voorval is hier genoeg ruchtbaarheid aan gegeven, ik en mijn collega's werden hierover veelvuldig aangesproken. Het is niet toevallig dat het weer een Aziatische maatschappij is, terwijl de meeste MAX toestellen niet daar vliegen!

Beide toestellen waren nog maar een paar maanden oud. Zeker de co-piloot van het toestel van Ethiopian Air heeft in de documentatie gezocht en dus niet op tijd de oplossing kunnen vinden. Ook naar aanleiding van het toestel van Lion Air is er vanuit de onderzoekscommissie veel kritiek geuit op het handboek. Vanuit dit oogpunt is mijn opmerking beslist geen bullshit. Of Boeing aanvullende informatie heeft verstrekt weet ik niet. Ik ben geen piloot en moet het met het nieuws als bron doen.

De maatschappijen die met een MAX kunnen vliegen zijn niet bepaald de mindere broeders van de luchtvaart. Het zijn nieuwe toestellen en alleen de kapitaal krachtige maatschappijen kunnen zich die toestellen veroorloven. Via lease maatschappijen is de MAX nog niet beschikbaar (voor zover ik weet). Als het toevallig Aziatische of Afrikaanse maatschappijen zijn ga ik ervan uit dat dit wel de maatschappijen zijn die hun zaakjes goed voor elkaar hebben.

Boeing heeft geprobeerd om een toestel te maken dat vliegt als een 737, zodat piloten geen nieuwe training hoeven te doen. Het toestel heeft echter wel andere vliegeigenschappen, wat men grotendeels softwarematig heeft opgelost. Misschien had men die softwarematige oplossing beter achterwege kunnen laten en de piloten een specifieke training voor de MAX kunnen geven.

Lion Air staat bekend als BIJZONDER slechte maatschappij. Niet dat ik het ontwerp van Boeing goed wil praten, maar ALS er een maatschappij is die slecht onderhoud doet, niet trained en hoopt dat alles maar goed gaat dan is het wel Lion Air. Bron: ik woon al enkele jaren in Indonesië en het is constant gezeik met ze.

Ik dacht dat Lion Air vooral een prijsvechter was. Op de staat waarin de toestellen verkeren is de laatste jaren niet heel veel aan te merken. Het neergestorte toestel was nog maar 2 maanden oud. Daar is nog geen (groot) onderhoud aan geweest.
Bij Lion Air is de service slecht, maar de toestellen zijn in orde. Ik dacht dat Lion Air redelijk te vergelijken is met Rianair. Ik kan het echter mis hebben ik vlieg niet met dat soort maatschappijen.

Ethiopian Air staat in elk geval bekend als één van de betere maatschappijen van Afrika.

Ik dacht dat Lion Air vooral een prijsvechter was. Op de staat waarin de toestellen verkeren is de laatste jaren niet heel veel aan te merken. Het neergestorte toestel was nog maar 2 maanden oud. Daar is nog geen (groot) onderhoud aan geweest.
Bij Lion Air is de service slecht, maar de toestellen zijn in orde. Ik dacht dat Lion Air redelijk te vergelijken is met Rianair. Ik kan het echter mis hebben ik vlieg niet met dat soort maatschappijen.

Ethiopian Air staat in elk geval bekend als één van de betere maatschappijen van Afrika.

Kijk anders even naar deze lijst incidents & accidents: https://en.wikipedia.org/...r#Incidents_and_accidents

Ik heb 't idee dat dat nog lang niet alles is met hoe vaak ze lokaal in het nieuws komen.
Hoe vaak ze vertraging hebben is in ieder geval een goede indicatie van hoe haastig alles moet gebeuren om nog een beetje 'n acceptabel schema te kunnen volhouden

[Reactie gewijzigd door Argantonis op 5 april 2019 10:11]

Na 2016 lijkt de lijst op te houden. De voorvallen van 2018 zijn grotendeels door externe factoren ontstaan. Daar kan je Lion Air eigenlijk geen verwijt maken. Vertraging is het gevolg van krappe planning en dat past wel bij een prijsvechter. Lion air lijkt mij inderdaad wel een maatschappij waar de inkomsten wel eens belangrijker zijn dan punctualiteit en veiligheid.

Ethiopian is toch niet aziatisch?

Cracking was eerder

[Reactie gewijzigd door theobril op 4 april 2019 01:32]

Zo kan hij wel weer.... Ethiopian is niet Aziatisch en na als tri voor ze getraind te hebben kan ik je rustig vertellen dat je botte opmerking totaal niet op feiten is gebaseerd. Met kennis en training is daar niks mis... En stick skills ook niet.

Problem is dat Boeing juist als selling point gebruikte dat er vrijwel geen her-training nodig zou zijn voor vliegers van oudere 737 modellen. Dat valt dus wel tegen.

Voor 99% van de features klopt dat ook. En dit onderdeel was toegevoegd als extra beveiligingsfeature waarbij men er kennelijk vanuit gegaan is dat er geen fouten in zouden kunnen optreden.
Maar dan hebben ze geen rekening gehouden met meneer Murphy.

(btw: wat mij vooral pijn doet in deze situatie is dat er zoveel mensen vroegtijdig zijn overleden door een feature die dat juist had moeten voorkomen)

MCAS is geen extra beveiligingsfeature maar een (slechte) fix voor slechte vliegeigenschappen.
Door hun keuze van motoren en locatie van de motoren heeft het de neiging om de neus omhoog te duwen en het toestel in een stall te trekken.

slechte vliegeigenschappen

Dit zou je wel relatief moeten zien, bepaalde ontwerp keuzes hebben bepaalde gevolgen. De combinatie van Boeings 'handmatige' besturing en de ontwerpkeuzes van de 737 MAX pakken in dit geval slecht uit. Naar mijn idee ook een reden dat Airbus al lang geleden is overgestapt naar fly-by-wire.
Gevechtsvliegtuigen zijn bijvoorbeeld onbestuurbaar onstabiel zonder computer, nou is dat misschien niet vergelijkbaar materiaal, maar even ter illustratie van extremen.

Inderdaad, het voorbeeld van de gevechtsvliegtuigen ging ik ook geven maar heb het toch uit mijn post gehaald.

Moderne (meestal stealth) gevlechtsvliegtuigen hebben een computer nodig om te vliegen omdat het eigenlijk -qua vliegeigenschappen- shit vliegtuigen zijn.
Klassieke gevechtsvliegtuigen hadden helemaal geen computers nodig om te vliegen...

Het gedeelte wat shit is slaat dan natuurlijk op de aerodynamica, aan de andere kant ben je wel stealth (moeten we maar aannemen voor nu) dus ben je in specifieke situaties beter af.

Ik kan me niet anders voorstellen als dat ze bij Boeing gezocht hebben naar de ideale plek voor de motoren, maar dat dit bijvoorbeeld teveel herrie voor de passagiers opleverde, teveel aanpassingen in het gehele ontwerp, kosten, etc.

Op de één of andere manier zijn ze daar uitgekomen en is er maar een MCAS bij gedaan. Ik denk dat ze bij Boeing misschien net iets te ver zijn gegaan in het updaten van een oud ontwerp.

Hier kun je goed zien hoeveel er aan het ontwerp is gesleuteld door de jaren heen:
http://www.b737.org.uk/737original.htm

UPDATE
En een mooi stukje over het ontstaan van de MAX:
https://leehamnews.com/2019/03/20/boeing-didnt-want-to-re-engine-the-737-but-had-design-standing-by/

[Reactie gewijzigd door Azbest op 4 april 2019 19:09]

Ik zeg ook niet dat het een goed ontwerp is, ik zeg alleen dat het systeem doet zoals het ontworpen is alleen dus met foutieve input data. Ik ben het volkomen met je eens dat Boeing flink wat steken heeft laten vallen bij de implementatie van MCAS en veel te licht heeft gedacht over de gevolgen van sensor fouten.

[Reactie gewijzigd door upclocker op 3 april 2019 17:13]

Wat ik helemaal vreemd vind dat er al veel langer crashes zijn met Boeing vliegtuigen waarbij maar 1 meetwaarde wodt gebruikt. Als voorbeeld de crash van Turkisch Airlines bij Schiphol, waarbij de retart mode werd geactiveerd op basis van 1 haperende radiohoogtemeter.

Het verbaasd me echt dat automatische besturingsfuncties niet gewoon verplicht 2 of meerdere inputs moeten gebruiken en vergelijken. Dit lijkt me relatief eenvoudig te implementeren, los van het extra software design en test werk.

[Reactie gewijzigd door fastedje op 3 april 2019 19:41]

Die crash was moeilijk te wijiten aan een single point of failure.
Die piloten zaten gewoon te slapen en de captain heeft uiteindelijke een correcte stall recovery van de FO naar de kl... geholpen.

Ik veronderstel dan dat je toegang hebt tot de flight data recorders, en gesnurk gehoord hebt op de tapes als je de piloten op deze manier beschuldigt ?

Neen, ik heb toegang tot internet waar de conclusies tot het ongeval werden gepubliceerd.

De piloten waren inderdaad te laat met de landingsprocedure begonnen, echter ik vind dat Boeing ook hier niet vrijuit gaat, aangezien die radiohoogtemeter een bekend probleem was, wat ook bij verschillende vliegtuigen al verschillende optrad. Maar ik vind ook nog steeds dat iedere automatische besturing minstens 2 inputs moet gebruiken in plaats van maar 1, dat is wachten op problemen.

Niet alleen waren de piloten te laat met de landingsprocedure begonnen (wat voor een groot deel lag aan Schiphol ATC die het normaal vinden om een vliegtuig boven het glidepatch te laten approachen blijkbaar) maar ze waren ook niet erg aan het opletten.
Op een bepaald moment was het vliegtuig onder een hoek van 11 of zo graden aan het vliegen. Beetje piloot begrijpt dan dat er iets mis is.

Hoezo hebben ze dat waarschijnlijk niet gedaan? Het is een aanname..

en Daar waren de piloten onvoldoende over geïnformeerd. Juist omdat er ook geen melding verscheen. De piloten hebben wel de handleiding erbij gepakt maar er is onvoldoende tijd om te bepalen wat er precies aan de hand is.

Mijn mening? Piloten zouden ten aller tijden een vliegtuig van dergelijke types voor 100% moeten kunnen vliegen zonder automatische systemen.

Het toestel moest en zou een 737 worden, omdat dat een toestel is waar verreweg de meeste piloten mee kunnen vliegen en er dus ook geen training nodig zou zijn om het toestel te gebruiken.

Echter om dat mogelijk te maken moet het toestel ook voldoen aan de vluchtkarakteristieken van dat type en dat kan dus simpelweg niet met de aerodynamische eigenschappen van de grotere motoren. De oplossing?: ff wat software die onderwater ingrijpt en klaar is Klara. Nieuw type 737 dat helemaal hetzelfde is als de oude. Geen opleidingen, geen uitleg, vooral geen extra lampje oid wat erop zou kunnen wijzen dat het eigenlijk toch niet zoals een oude 737 is.

Boeing houdt nog steeds vol dat er geen verdere training nodig is en er gewoon wat software verbeterd wordt. Echter nadat je deze software dus uitschakelt in een noodgeval vlieg je dus geen 737 meer. Mogelijk gevolg: Weer een vliegtuig waar dit systeem niet werkt; piloot schakelt MCAS uit, trekt hard aan de stuurknuppel en met een beetje pech valt het toestel weer uit te lucht, omdat het toestel veel steiler stijgt met de stuurknuppel in dezelfde stand als met een oude 737.

Alleen een software fix gaat het niet worden.

Boeing houdt nog steeds vol dat er geen verdere training nodig is en er gewoon wat software verbeterd wordt.

Na de eerste crash is er een airworthiness directive gekomen met informatie dat problemen met de MCAS behandeld moet worden als stabilizer trim runway, wat logisch is. Daar wordt al op getraind (https://youtu.be/3pPRuFHR1co minuut 3, dat is wat ze moeten doen auto trim uitschakelen).

De vraag is waarom hebben de piloten van de twee vluchten dat niet gedaan hebben. De vlucht voor de crash van Lion Air, de piloten hebben het zelfde probleem gehad en ze hebben het gehandeld volgens de runway stabilizer checklist en hebben de vliegtuig veilig op bestemming laten komen.

Ook is de vraag waarom baseert MCAS alleen op 1 van de AoA sensor

Zelfs op 2 sensoren kan je niet vertrouwen, want bij afwijkende data, welke van de twee is dan foutief? Enige écht veilige optie is 3 sensoren, de outlier weggooien en de andere twee middelen.

Als een vliegtuig sensoren nodig heeft om (stabiel) te kunnen vliegen, dan zullen die ook minimaal dubbel uitgevoerd moeten worden. Het liefst met een derde sensor die op een andere manier meet als referentie.

Over de hele Max serie heb ik mijn twijfels als het gaat om luchtvaardigheid.
Men heeft aan een bestaand model veel grotere motoren gehangen. Als die op de normale manier opgehangen worden, dan zouden ze de grond raken. Zomaar hoger hangen kon niet, daarom zijn ze ook nog eens een flink eind naar voren geplaatst, zodat het breedste deel voor de vleugelrand komt.
Dit veranderd de vliegeigenschappen van het toestel zodanig dat dit de neus gaat optrekken. Dat is met extra sensoren (waarvan er één niet eens aangesloten lijk te zijn) en een softwarematige correctie opgelost.

Of de oplossing van Boeing wel en juiste oplossing is mag je al betwijfelen, maar gezien het aantal vliegtuigen dat al rondvliegt blijkt het wel een mogelijke oplossing te zijn. Piloten zullen echter altijd moeten kunnen vliegen zonder alle niet strikt noodzakelijke systemen. Het systeem moet dus permanent uitgeschakeld kunnen worden en de piloten moeten gewoon opgeleid worden om zonder MDAC te kunnen vliegen.

Nu zal elk vliegtuig de neiging hebben om de neus wat omhoog te trekken, maar de 737 max lijkt dat volgens de berichtgeving wel extreem te doen. Daar zal echt eerst naar gekeken worden voordat de 737 max weer luchtwaardig verklaard kan worden.

In andere systemen gaat bij afwijkende data een alarm af en wordt de auto pilot uit geschakeld ook met een alarm.

Nu is het zo dat bij MCAS het anders ligt, het is geen automatisch piloot, maar een veiligheid systeem die afhankelijk is van de data van de AoA sensor.

Dus bij afwijkend data, zou MCAS sowieso niet moeten ingrijpen, dan is er wel een risico (minimaal afaik, maar wel een risico) dat de vliegtuig in stall komt. Daar weet ik veel te weinig van om een mening over te hebben, maar lijkt me dan logisch dat als een van de AoA niet werkt dat de piloten zo snel mogelijk moeten landen.

Dat is ook een punt van de preliminaire rapport van de Lion Air ongeluk, de dag er voor hadden de piloten probleem met MCAS door een foute AoA sensor, en ipv zo snel mogelijk landen en het probleem opnieuw laten checken, zijn ze door gevlogen tot hun eind bestemming.

Mijn amateuristisch mening is dat hier een protocol en procedures fout een grotere rol speelt dan een technische fout, naast het feit dat de MCAS goedgekeurd is om te werken met data van een enkel sensor

Hij is goedgekeurd om te werken op een enkele sensor omdat de impact van een fout van het systeem vrij laag ingeschaald was. Dat blijkt na twee dodelijke crashes nogal een misrekening te zijn.

En als ze alle drie niet werken? Ik zou voor vier sensoren gaan.

De kans dat er zelfs twee sensoren tegelijkertijd niet werken is al zo verwaarloosbaar klein dat dat een risico is waar geen rekening mee gehouden hoeft te worden.

Er is een aanzienlijke kans dat één sensor (soms) een foute waarde geeft. Met drie sensoren kun je dat prima oplossen, door gewoon de sensorwaarde te negeren die buiten een bepaalde marge van de verwachting ligt, dan zijn 2 van de 3 metingen dus nog gewoon goed en is de meting betrouwbaar.

Wat er dan kán gebeuren is dat 2 sensoren op dezelfde manier falen, dat wordt in zo'n geval als een legitieme meting gezien, maar de kans dat er 2 sensoren op dezelfde manier stuk gaan is echt miniscuul.

Een scenario wat nog wel waarschijnlijk is, is dat er 2 sensoren op verschillende manieren kapot gaan, en je dus 3 metingen hebt die ver uit elkaar liggen (2 defecte en 1 juiste). In dat geval is er gewoon iets grandioos mis, en schakel je de automatisering uit. Dan mogen de piloten uitzoeken welke sensor er binnen de verwachting ligt aan de hand van andere eigenschappen van het vliegtuig.

Nog intelligentere systemen kunnen ook dat extrapoleren van de verwachte meting ook zelf (dus bijvoorbeeld aan de stand van de neus en de snelheid een schatting maken van de angle-of-attack) en zullen al eerder een waarschuwing geven als een sensor niet helemaal doet wat er op dat moment verwacht wordt.

Dat is onzinnig, natuurlijk. Met die drie heb je een quorum, waardoor je kunt bepalen welke fout is. 4 of meer voegt daar niet wat aan toe.

Zo werkt dat bijvoorbeeld bij bepaalde (HP Lefthand bv) storage, om het maar even over IT-boeg te gooien.

De vraag is waarom hebben de piloten van de twee vluchten dat niet gedaan hebben.

Een airworthiness directive hoeft doorgaans niet onmiddellijk geïmplementeerd te worden. Luchtvaarsmaatschappijen krijgen doorgaans enkele maanden de tijd om de aanpassing door te voeren; het is dus goed mogelijk dat Lion Air zijn trainingen nog niet aangepast had.

Dat maakt dus nog vreemder dat de piloten van Lion Air die de dag voor de crash gevlogen hebben, het zelfde probleem hebben gehad, en de piloten hebben de probleem gewoon als stabilizer runway geïdentificeerd en hebben de auto trim uitgeschakeld.

Want, in theorie, ook weet je niks van MCAS, s je ziet dat de vliegtuig naar beneden blijft trimmen, dat betekent een probleem met de auto trim.

Het kan heel goed zijn dat de piloten bezig waren met die procedure voor runaway trim, maar de workload op dat moment dusdanig hoog was dat ze geen tijd hadden om dat op tijd uit te voeren.

Ze zaten immers in de fase van de vlucht net na opstijgen en intrekken van de flaps, dat is een fase waarin er heel veel tegelijk moet gebeuren, niet alleen besturen, maar ook beheren van systemen en communiceren met de luchtverkeersleiding.

Zoals altijd bijna iedere crash ligt het nooit aan 1 enkele factor. Volgens WSJ begonnen ze wel aan het de procedures maar hebben ze deze niet doorgezet.
https://www.nu.nl/buitenl...procedure-voor-crash.html

Ik denk dat dit plausibel is. Onvoldoende training, slechte software, menselijk falen en design fouten (hardware opties die geen opties hadden moeten zijn).

We gaan het zien in het onderzoeksrapport...

Bijzonder ongewenst. En daarbij : kunnen we alsjeblieft stoppen met praten over wit en zwart? Wij zijn niet tegengesteld, maar mensen van 1 ras met meer of minder melanine. Sommigen hebben een huid waar zoveel pigment ontbreekt dat die doorschijnend is, blank, als glas. Niet wit. En ja, gebrek, afwijking!

Net zo goed hebben mensen met meer melanine geen zwarte huid.

Wij mensen zijn er in alle kleuren bruin. Stop met tegenstellingen, zeker ook in het taalgebruik met wit en zwart. Gewoon bijzijden de waarheid en het voedt alleen de tegenstelling. En beoordeel mensen op inhoud, niet op wat je ziet.

Sorry mensen, voor OT.

'Het zou geactiveerd worden op basis van data van een enkele invalshoeksensor, terwijl elk toestel er drie heeft, twee aan een zijde en een aan de andere zijde.'

Dit is niet waar.
Standaard heeft elke 737 (de gehele serie) slechts twee Angle of Attack (AOA) sensoren. Eén aan de linkerkant en één aan de rechterkant. Een extra derde sensor is wel een optie dacht ik.
Airbus heeft op de A320 serie bijvoorbeeld wel standaard drie AOA sensoren. Dat is dan weer het voordeel van het vele automatiseren waar Airbus veel eerder en veelvuldiger mee is dan Boeing. Twee sensoren is gewoon te weinig. Bij een defect aan één sensor kun je dan geen onderlinge vergelijking meer uitvoeren.

Ook is dit iets wat met een unit test gewoon gevonden had kunnen worden, geef random/foutive/negatieve/null data terug en kijk hoe je foutafhandeling is.

Nee, met twee sensoren heb je gewoon het "split brain" probleem. Je weet niet welke foutief is dus de enige optie die je dan hebt is om het systeem een waarschuwing te laten geven en het systeem uit te schakelen of de optie te geven in te schakelen met data van één van de sensoren en de piloten die keus te geven.

Met drie sensoren moeten er twee falen, wat veel robuuster is. Als er één uitvalt heb je de data van 2 andere sensoren als vergelijkingsmateriaal. Zelfs al zouden er twee tegelijk uitvallen dan moeten ze wel identieke foute data genereren om het systeem te laten denken dat de enige juist werkende de foutieve is. Die kans lijkt mij zeer klein.

Het split-brain probleem van Boeing dat Nederland ook heeft mogen ervaren. De radio-hoogtemeter van de 737 van Turkish Airlines die crashte nabij Schiphol had hetzelfde manko.

Doordat slechts twee radio-hoogtemeters waren geinstalleerd, nam de autopiloot per default aan dat de laagst gemeten waarde de juiste was.

Doordat slechts twee radio-hoogtemeters waren geinstalleerd, nam de autopiloot per default aan dat de laagst gemeten waarde de juiste was.

Dat is dus geen "split-brain" probleem maar volledig verkeerd afhandelen van een fout, gevalletje pariteit. Eén meting is foutief en op die meting wordt gehandeld, dat is alles behalve fail-safe.

De juiste manier om zoiets af te handelen is om op dat moment de auto-pilot uit te schakelen en de piloot het over te laten nemen omdat de informatie van de radio-hoogtemeter niet betrouwbaar is.

Het probleem is alleen dat die systemen in een 737 niet gekoppeld zijn, er zijn 2 onafhankelijke auto-pilots, en welke er wordt gebruikt is een keuze van de piloten zelf, net zoals welke sensor er gebruikt wordt voor MCAS. Foutdetectie wordt niet door dat systeem gedaan, in de 737 zijn de piloten daar verantwoordelijk voor.

Als ze die foutdetectie zouden automatiseren, dan zou dat een hercertificering betekenen en moesten piloten een nieuwe type-rating krijgen. Dat zou te veel geld kosten en daarom heeft Boeing dat niet gedaan.

Interessant. Helemaal eens

Ik doelde op de automatische heractivatie van het systeem - dat had niet mogen gebeuren als reactie.

Maar je hebt helemaal gelijk dat ze 3 sensoren moeten hadden gebruiken.

Twee sensoren is gewoon te weinig.

Ja; helaas is MCAS dan ook terug te leiden tot een single point of failure. En zoals @MikeyV aangeeft hoort dat anno 2019 niet meer voor te komen in de luchtvaartsector, maar dat is bij de Boeing 737 MAX helaas wel het geval.

Hmm ja ik heb dat aangepast. Ik had in eerste instantie ook 'twee' genoemd, maar toen las ik weer op meerdere plekken dat het er drie zijn. Sowieso zitten ze aan weerszijden ja.

Een van de verkoopargumenten was dat piloten geen training nodig hebben in de simulator. Dat is voor een aantal maatschappijen een pluspunt omdat die geen simulator hebben. Zie bijgevoegde url voor de achtergrond. November 2018 was algemeen bekend dat de zwaardere motoren die ook nog eens op een andere plaats, niet gemoduleerd waren voor de MAX.

https://www.seattletimes....linked-to-lion-air-crash/

Heel triest, en raar dat dit niet eerder (voldoende) is getest door Boeing. Je kunt natuurlijk niet álle onvoorziene situaties testen, maar dit lijkt me vrij cruciaal. Zeker omdat het een nieuwe 'feature' betreft. Maar goed, ik ben geen vliegtuigontwerper of -expert

Uit ervaring weet ik dat in de luchtvaartindustrie systemen niet zomaar kunnen geïmplementeerd worden (ref certificering voor koffiezetapparaten en dergelijke ). Of er fouten zijn gemaakt bij de implementatie, testing en certificering is momenteel nog niet duidelijk. Al lijkt het vanzelfsprekend dat bij de juiste test dit probleem naar boven had moeten komen, misschien is dat ook gebeurd en is uit de risicoanalyse gekomen dat dit geen probleem was?
Tot nog toe is dit onderwerp van onderzoek, en is elke conclusie voorbarig. Het lijkt me overigens evident dat als Boeing van dit probleem geweten had, ze het risico op een crash absoluut hadden willen vermijden.

Uit een eerder artikel op Arstechnica was op te maken dat voor bepaalde gebieden van certicatie, de FAA vertrouwde op fabrikanten om deze te doen (officiele in dienst van de FAA maar uitgekozen door de fabrikanten). Als dit inderdaad zo is kan dat toch serieuze gevolgen hebben voor de kwaliteit van de certificatie.

Zelf heb ik het idee dat het MCAS systeem op twee gedachten hinkelde. Enerzijds, als belangrijkste feature, een systeem dat kleine correcties uitvoerde zodat de 737 Max hetzelfde gedraagt als de 737 NG. Indien er problemen ontstaan, dan moet de piloot de vliegtuig een beetje extra bijsturen. Anderzijds, als bijkomende feature, voert het systeem grote correcties als de vliegtuig in een stall zit. Ik kan me voorstellen dat de focus lag op de eerste feature lag, en dat de tweede feature genegeerd is bij alle risk-assessments.

Alles wat de zogenaamde Primary Flightcontrols aangaat in vliegtuigen hoort meervoudig uitgevoerd te zijn, dus ook de datasystemen en sensoren. Dit staat omschreven in de FAA-21 en IATA-regelgeving, en zelfs ook in de EASA-21. Dat betekent dat er door afgifte van een typecertificaat van één organisatie (de FAA in dit geval) er meteen meerdere soortgelijke authoriteiten door de mand zijn gevallen: “de FAA heeft het goedgekeurd dus dan zal het wel goed zijn.” Aannames zijn Human Factor die dus duidelijk killing zijn in de vliegwereld...

Regel nummer zoveel voor de zoveelste keer met bloedrood onderstreept...

Dat betekent dat er door afgifte van een typecertificaat van één organisatie (de FAA in dit geval) er meteen meerdere soortgelijke authoriteiten door de mand zijn gevallen: “de FAA heeft het goedgekeurd dus dan zal het wel goed zijn.” Aannames zijn Human Factor die dus duidelijk killing zijn in de vliegwereld...

Alleen is in dit geval het bestaande (oude) typecertificaat gebruikt voor een al gecertificeerd airframe: De Boeing 737. En daarvan zijn de primary flight controls niet veranderd, die zitten namelijk nog altijd met dubbel uitgevoerde kabels van voor naar achter door het vliegtuig heen.

Dat er nu in de loop van een halve eeuw een berg motoren op is geschroefd doet er niet aan af dat die primary flight controls nog altijd puur mechanisch zijn, mits de automatisering helemaal is uitgeschakeld.

Het is dus geen fly-by-wire zoals in een Airbus of in een 787 waarbij wel alle sensoren fail-safe moeten zijn want ze hebben direct invloed op de primary flight controls, ook wanneer er niet geautomatiseerd wordt gevlogen.

Ik zou als piloot alle motoren hebben uitgedaan, en alle knopjes ook.
En dan gaat er een heel klein vliegertje open op het hoogste punt (achtervleugel) en dan kun je een glijvlucht maken naar het dichtsbijzijnde vliegveld.

Ik zou als piloot alle motoren hebben uitgedaan, en alle knopjes ook.
En dan gaat er een heel klein vliegertje open op het hoogste punt (achtervleugel) en dan kun je een glijvlucht maken naar het dichtsbijzijnde vliegveld.

Niet in de 737, die heeft geen Ram Air Turbine. Die heeft ie ook niet nodig want de stuurvlakken zitten mechanisch aan de knuppels vast. Je hydraulische bekrachtiging doet het dan niet, maar dan gebruik je maar gewoon spierkracht, net als bij een auto waarvan de stuurbekrachtiging uit staat.

https://aviation.stackexc...ave-a-ram-air-turbine-rat

Maar goed, ik ben geen vliegtuigontwerper of -expert

Fijn dat je het er zelf bij zegt, hoeveel mensen hier zijn dat wel? Ze hebben een poging gedaan ~25 jaar geleden mij er eentje te maken, maar ik ben gestopt toen Fokker ermee ophield. Echter roept de media vaak maar een hoop en mensen die er al helemaal niets vanaf weten roepen dan "Schandalig!", terwijl dit niet zo heel bijzondere ongein is...

Het is net zoals in de rest van de zaken wereld, een bedrijf heeft een product nodig wat ze goed kunnen verkopen, sales figuren verkopen roze wolken, engineers proberen iets fatsoenlijk neer te zetten wat aan alle verkochte eisen voldoet (wat natuurlijk niet 100% lukt), vervolgens kopen de grote airlines de goedkoopste versies en piloten duiken er gewoon in na een vlotte wip en een snuif op het toilet... ;-)

Als het niet de bouwer is, is het wel een subcontractor, is het wel het onderhoud, of een piloot die toch niet helemaal 100% is. Natuurlijk moet zo een issue opgelost worden, maar ik zou het niet uniek willen noemen...

Dat moet enorm frustrerend voor die piloten geweest zijn, dat ze tot 4x toe het foutieve systeem uitzetten terwijl dat (misschien) zichzelf dan heractiveerde. Wat een dramatische laatste minuten hebben die doorstaan
En een blunder van Boeing, zo te lezen.

Ik geloof er niets van dat het zo is zoals het artikel het wil voorstellen.

Er zijn verschillende manieren om MCAS te deactiveren, en na de crash van Lion Air zijn we allemaal zeer duidelijk gebrieft geweest hierover. Ik kan er echt niet bij hoe dit nu nog mogelijk kon zijn, voor mij is dit gebrek aan training, en had het evengoed iets anders kunnen zijn.

Als je MCAS deactiveert met beide switches aan throttle quadrant, kan het niet vanzelf meer geactiveerd worden.

Je hebt blijkbaar (als piloot?) hands-on ervaring... kan je wat dieper ingaaan op de verschillende manieren om mcas uit te schakelen. Van wat beschikbaar is in de diverse media, waaronder getuigenissen van piloten op youtube, had ik opgemaakt dat de enige manier om mcas uit te schakelen, het uitschakelen van autotrim is met de switches waar je over spreekt.

Of doel je op de andere randvoorwaarden voor mcas ingrijpt? flaps extended, geen autopilot,.. dat soort zaken?

Gewoon alle motoren uitdoen in zo een noodsituatie en een glijvlucht maken. Kan met een Boeing.

Het uitschakelen van MCAS kan niet op zichzelf. De advisory is auto-trim volledig uit te schakelen, wat met een tumbleswitch gebeurt. Een tumbleswitch verandert niet vanzelf van positie.
Dat het systeem meermaals uit-en weer aangezet wordt, duidt volgens mij eerder op onzekerheden bij de piloten. Misschien hadden ze verwacht dat uitschakelen alleen voldoende moest zijn? Dat is het alleszins niet, aangezien de foute trim ongedaan gemaakt moet worden door manueel terug te trimmen (als een gek aan een hendel draaien...)

Nu is er de vraag kan de MCAS om de switch heen? Als het goed is niet. Indien de servo wordt uitgeschakeld kan de MCAS ook niets meer. Indien het echter een software trigger is. Disable autotrim. Maar de MCAS kan nog steeds de servo aansturen dan is er pas echt een groot probleem.

Het kan nog alle kanten op mbt wat er niet correct ging tijdens de vlucht. Maar dat alle max kisten nog aan de grond gehouden worden geeft wel aan dat het met een simpele software update niet is op te lossen.

Nieuwe informatie wijst niet op het herhaaldelijk uitschakelen, maar op herhaaldelijk foute interventies van het (ingeschakelde) mcas systeem. Dit is coherent met de daarvoor bekende informatie, waar al bekend was dat de piloten "tegen het systeem vochten" door herhaaldelijk nose-up te trimmen en aan de stuurkolom te trekken.

edit: en volgens de laatste informatie hebben ze de trim cutout gebruikt, het toestel niet manueel getrimd, maar later wel geprobeerd het systeem opnieuw in te schakelen om elektrisch te kunnen trimmen, waardoor mcas opnieuw de neus naar beneden duwde, dat terwijl ze al tegen veel te hoge snelheid naar beneden vlogen van slechts 1000ft

[Reactie gewijzigd door the_stickie op 5 april 2019 03:28]

neen, de switch schakelt de electronica uit die de motor aanstuurt die de schroef omhoog/omlaag draait waar de stabilo aanhangt. Het manuele trimwiel is mechanisch met die schroef verbonden, waardoor het oa ook zichtbaar meedraait als de electronica trimt.

[Reactie gewijzigd door the_stickie op 3 april 2019 23:48]

Dat was in het oude toestel. Bij het nieuwe is dit nu even de vraag.
Indien de bemanning zelf de schakelaar weer hebben omgezet dan is dat een menselijke fout.
Indien er door de fabrikant voor gekozen is om de MCAS buiten de schakelaar om te laten functioneren dan is er een ontwerpfout.
Welke van de 2 mogelijkheden is op dit moment nog niet bekent. Maar ik hoop een menselijke fout. Zo niet dan heeft zowel de FAA als Boeing zeer nalatig gehandeld.

Dat is de info die door piloten over mcas (dat niet in de "oude" 737 zit) en de bijhorende (nieuwe) procedures beschikbaar is gemaakt.
Mcas werkt niét als Autotrim uitgeschakeld is.

Veel commentaar (terecht) maar de rol van de FAA (en in mindere mate EASA) mag niet vergeten worden. Boeing kan heel veel doen maar de FAA moet het goedkeuren. Dat hebben ze hier gedaan met teveel invloed van Boeing. Ze hebben hun werk niet goed gedaan.

Inderdaad. Een externe controle-instantie is extern omdat het juist heel eenvoudig is eigen vergissingen te missen. Ik geloof nooit dat Boeing van deze problemen al wist, maar de haast bij de certificering is alleszins een probleem waar zowel Boeing als de FAA wellicht fouten hebben gemaakt.

Het bekende draaideur probleem. Heb je met de FDA ook.

Specifiek voor die situatie was wel een waarschuwingslampje beschikbaar dat oplicht als er afwijkende waardes worden geconstateerd, maar dit was een optionele update die niet standaard werd geïntegreerd.

Zo'n belangrijk lampje als optie aanbieden? Dat is toch belachelijk.


edit: @gjmi @jorisvergeerTBA en de rest. Bedankt voor de toevoegingen.
edit2: Na het lezen van alle reacties hieronder is mijn reactie misschien iets met de beste stuurlui staan aan wal.

[Reactie gewijzigd door Technomania op 3 april 2019 18:40]

De media maakt die feature groter dan dat die eigenlijk is. Commerciële piloten gebruiken de data van de invalshoek-sensoren over het algemeen niet omdat ze andere data hebben waar de invalshoek uit af te leiden is.

Neem dit niet van mij aan maar van een ervaren piloot die zijn eigen zeer informatieve youtubechannel heeft.
https://www.youtube.com/watch?v=CD0JabYjF3A

Het zal iets meer zijn dan een lampje, bijvoorbeeld de functionaliteit daar achter, anders is het de moeite niet om het als upgrade aan te bieden.

't is zelf geen lampje, maar een indicator op de "in flight display"

anders is het de moeite niet om het als upgrade aan te bieden.

Zeker weten?

Ik vraag me alleen af of dit zoveel zou uit hebben gemaakt. De piloten in kwestie hadden het door, en hebben het systeem meerdere malen uitgezet. De software overrulede het echter tot vier keer met de crash tot gevolg. Het is zeker vreemd dat zo'n lampje een optie is al lijkt het er niet op dat zo'n lampje de crash had kunnen voorkomen.

Je kunt ook stellen, "zo'n optie niet aanschaffen? dat is toch belachelijk"
De vraag is namelijk nog steeds of dat ene lampje nu wel zoveel nut zou hebben gehad. Betere optie is om een mogelijkheid te hebben om dit soort hulpsystemen daadwerkelijk uit te kunnen zetten zonder dat het zichzelf weer aan zet.
Overigens vanaf nu wordt dat lampje dus wel standaard meegeleverd, maar toch zijn er nog steeds andere 'veiligheidssystemen' die niet standaard worden meegeleverd.

Zo'n belangrijk lampje als optie aanbieden? Dat is toch belachelijk.

Elke wijziging in de cockpit is zeer ingrijpend. In dit geval zou het betekend hebben dat ze WEL training hadden moeten aanbieden, iets wat ze nu juist wilde vermijden. Dus een lampje is slechts het topje van een grote ijsberg.

Blijft heftig om te weten dat ze dit al op een eerdere vlucht hebben gehad (Lion Air) maar het destijds niet serieus genoeg hebben opgepakt. Hopen dat ze nu met een goede fix komen voor dit probleem.

Het onderzoek was nog lopende. Boeing heeft zodra MCAS in beeld kwam na de eerste crash advisories uitgebracht, oa over de werking van MCAS en hoe dit uit te schakelen (auto-trim volledig uitzetten, waardoor je letterlijk aan een hendel moet draaien om te trimmen). In dat opzicht blijkt nu ook dat bij de tweede crash piloten op de hoogte waren, en het systeem uitschakelden.
Volgens mij is het alsnog fout gegaan omwille van de tijd die nodig is om het probleem vast te stellen, trim uit te schakelen en vervolgens manueel terug te trimmen (wat een stuk trager is dan automatisch). Dat terwijl het probleem zich stelde vlak na take-off, op zeer geringe hoogte, en de beschikbare tijd dus zeer beperkt was.

Volgens het artikel activeerde het systeem zichzelf tot 4x toe.
Dat duidt erop dat het uitschakelen ervan geen eenvoudige procedure is.
Wellicht dat 1x of 2x het ongeluk had kunnen voorkomen, maar tot 4x toe?

Uitschakelen is eenvoudig: een tumbleswitch omzetten duurt niet lang. Maar dan moet je nog de volledig nose-down trim ongedaan maken, en daarvoor moet je als een gek aan een relatief zware hendel gaan draaien. De procedure schrijft zelfs voor dat beide piloten de trimhendel moeten uitklappen en samen moeten draaien.
Niet te onderschatten is dat je dan zuiver mechanisch met het systeem interageert, en de piloten dus op eigen fysieke kracht de aërodynamische krachten moeten tegenwerken.

En de piloten van de Lion Air crash zouden maar 40 seconden tijd gehad hebben om het toestel te redden.

Als er één vliegtuig neerstort kan dit een legio van oorzaken hebben. Als er twee van hetzelfde type neerstorten is de kans dat het een systematische fout is ineens vele malen groter. Het heeft enorme economische gevolgen om alle vliegtuigen van een type aan de grond te houden, dus dat doen ze alleen als er goede aanwijzingen zijn dat het aan de bouw van het toestel ligt.
Heftig is het zeker.

Twee van het zelfde type, maar vooral ook dat omstandigheden waarbij de ongelukken plaatsvonden veel overeenkomst hadden.

Je hebt een nieuw type toestel met een nieuw beveiligingssysteem waar de piloten geen opleiding van hebben gekregen (Boeing verkocht het toestel als zijnde vertrouwd voor bestaande 737NG piloten met minimale training vereist) en geen melding van MCAS in de noodprocedures. Als je dan ook geen indicatie hebt dat MCAS in de fout gaat en je weet niet waarom het toestel ineens naar beneden duikt dan kan je alleen maar proberen het toestel veilig aan de grond te zetten en het onderhoudsteam ernaar te laten kijken. Dat team voert een onderzoek uit, vind waarschijnlijk geen enkele oorzaak van de nose dives. Contacteerd mogelijks nog eens boeing die ook meekijken naar logs en status en clearen het vliegtuig voor een volgende, wel fatale vlucht.

Een probleem wordt vaak pas erkend als een echt probleem als het meermaals voorkomt. In dit geval was het dus eigenlijk te laat.

Ze hebben het wel serieus opgepakt, maar het kost veel tijd om de situatie te achterhalen waardoor het probleem werkelijk veroorzaakt is, naast dat het dan nog veel tijd kost om het probleem zelf te proberen op te lossen (wat betreft testen etc). In de vliegtuig sector wordt hier echt heel serieus mee omgegaan.

zooitje bij Boeing. ze spelen met mensenlevens. voor iedereen die meer wil weten over het huidige Boeing en hun manier van doen en laten, is de docu "Boeing 787 : broken dreams" een aanrader. je schrikt je rot. Genoeg reden voor mij om minstens de 787 te mijden als de pest.

Is dit nog steeds actueel?

Edit: krijg ik nou minnetjes omdat ik beknopt vraag naar meer input?

[Reactie gewijzigd door CollisionNL op 3 april 2019 16:07]

Lijkt me wel, gezien die kisten makkelijk een jaar of 30 meegaan (als ze niet neerstorten...). Het basisproductieproces zal niet veel veranderen.

[Reactie gewijzigd door Saven op 3 april 2019 15:59]

Maar in het artikel gaat het vooral over de medewerkers en QC. Het artikel dateert uit 2013/14. KLM vliegt dagelijks naar NY met een 797-9 en zover ik weet zijn er niet veel ongelukken met dit toestel. Boeing zal ik hier toch ondertussen al wat aan hebben gedaan anders zouden ze met bosjes uit de lucht vallen neem ik aan?

Zowel de 787 als de 737 Max zijn ontworpen als antwoord voor ontwerpen van Airbus. Doordat Airbus telkens een voorsprong had moest Boeing de ontwikkeling versnellen. Tel daarbij dat Boeing een deel van de keuring zelf mag doen en de FAA vele ex Boeiing medewerkers telt en ik denk dat het nog ruimte tijd relevant zal blijven.

De Boeing 737Max kan gezien worden als een tussenmodelletje maar de 787 is dit duidelijk niet. De 787 is onderdeel van het Yellowstone project van Boeing:
https://en.wikipedia.org/wiki/Boeing_Yellowstone_Project

De 777 is ook ontwikkeld als antwoord op ontwerpen van andere airlines en is nog nooit een persoon omgekomen in een 777 door fouten in het ontwerp. Daarmee is het een van de veiligste vliegtuigen ter wereld.

Dat Boeing een deel van de keuring zelf mag doen is normaal want zo werkt dit in Europa ook met de EASA en Airbus. Dat er bij de FAA veel ex Boeing mensen werken heeft er ook mee te maken dat er niet zoveel mensen zijn die weten hoe je vliegtuigen maakt.

Dit geld natuurlijk niet alleen maar bij Boeing , dat is in de auto industrie niet anders en eigenlijk alles wat de mens creëert is Trial en Error, alleen passen er geen 150 man in een auto maar die ene dode is net zo erg.

En ja ok er zijn bedrijven die het laat oppakken en sommige helemaal niet , of de error komt ergens 10 jaar later als er een situatie opdoet waar niemand zicht op had.

In de afgelopen 100+ jaar sinds dat de mens zich veroorloofd massa transport te creëren vallen er nu eenmaal slachtoffers dat is onvermijdelijk.

Het lijkt in dit geval heel evident om met het vingertje naar Boeing te wijzen. Dat zal wellicht ook later juridisch bekeken worden.
Maar zover ik weet is de hele luchtvaartindustrie heel sterk begaan met veiligheid, waardoor bijvoorbeeld elk incident volledig uitgespit wordt om de 'root cause' te achterhalen en herhaling te vermijden. Ook Boeing werkt daar heel actief aan mee.
Zoals meestal, is een incident een samenloop van omstandigheden (in dit geval kapotte sensor, flaps uit, manueel vliegen, nieuw systeem, ...) en zou je dus ook kunnen stellen dat het vette pech is dat een tweede incident zich voordeed voordat Boeing in staat was een volledige oplossing te voorzien.
Boeing wordt hiervoor vlot door het stof gehaald. Of er werkelijk cruciale fouten gemaakt zijn, zal nog moeten blijken.

[Reactie gewijzigd door the_stickie op 4 april 2019 00:00]

“Maar zover ik weet is de hele luchtvaartindustrie heel sterk begaan met veiligheid”

Voor zover ik weet bied Boeing veiligheidssystemen als optie aan. Dan ben je niet sterk begaan met veiligheid maar probeer je vliegtuigen zo goedkoop mogelijk aan te bieden. Sterk begaan met het binnenhalen van orders imo

de definitie veiligheidssystemen is door de pers verzonnen nav deze feiten. Beide systemen zijn duidelijk niet cruciaal voor de veiligheid: de angle of attack weergave is zinloos omdat die parameter enkel gebruikt is/wordt in militaire vliegtuigen (lees jets en tankvliegtuigen) met heel specifieke training. De tweede, de sensor disagree, is nog discutabel, maar het feit is dat die voor de meeste sensoren niet aanwezig is (maar dan maken de autopilots wel juiste beslissingen als er een disagree is...)

Mijn "zover ik weet" is gebaseerd op eigen ervaringen bij Sabena Technics (lang geleden...) en iets of wat kennis van certificatie trajecten voor de luchtvaart. De luchtvaart en de medische industrie zijn de enige waar ik dergelijke rigorositeit ben tegengekomen... en ik heb (als IT'er) ondertussen menig industrie verkend.
Je merkt sowieso dat autoriteiten bij het minste incident een volledige analyse willen en laten uitvoeren. Er kan geen band stukspringen, of men moet weten waarom, en daar een rapport over schrijven om het in de toekomst te voorkomen. Dàt is de kracht van de luchtvaartindustrie, niet dat er geen fouten gemaakt worden!

[Reactie gewijzigd door the_stickie op 4 april 2019 00:03]

De FAA is ook onder vuur komen te liggen, omdat het te snel toestemming zou hebben gegeven voor het specifieke type van de Boeing 737, waarbij het toezicht te veel door Boeing zelf moest worden uitgevoerd.

En dit is een reden om alles van Boeing te mijden IMO. Wij van wc eend gevalletje...

Wat me het meeste zorgen baart is hoe weinig mensen, die moeten/mogen beslissen over belangrijke zaken, verstand hebben van software.
Ze schijnen maar niet te (willen?) snappen dat software fouten kan bevatten en dat dat hele nare gevolgen kan hebben als je die software gebruikt voor iets waar mensenlevens mee gemoeid zijn.
Zelf rijdende auto's heb ik het, om die reden, ook niet zo op.

Ik kan me nog herinneren dat in een eerder artikel hier op dit forum, waarbij het om zelfrijdende auto's ging, ik diezelfde opmerking maakte en dat er toen iemand op dit forum reageerde met "en een vliegtuig vertrouwd u dus ook niet". Ik vermoed dat die reageerder, na deze rampen met de 737-max, nog wel eens terugdenkt aan zijn reactie.
Klopt dus, nieuwe software, met de nadruk op NIEUWE, in een vliegtuig vertrouw ik ook niet, want ik houd mijn stelling vol dat in elk stuk software een fout zit.
ook na die update die ze nu gaan uitbrengen zal vermoedelijk weer een fout zitten, en anders zal de verandering in dit stuk software iets veroorzaken bij de andere al bestaande software die wordt toegepast, want zo gaat dat met software, helaas.

En dit probleem zal alleen maar erger worden naarmate de ontwerpers meer software in allerlei voertuigen en andere apparaten gaan stoppen.

[Reactie gewijzigd door roberttttt op 3 april 2019 19:06]

Je plaatst teveel nadruk op de software zelf. De software in deze werkt waarschijnlijk naar spec. Het is een systeem fout.

Een voorbeeld: de mcas mag de vliegrichting met 3 graden aanpassen in een bepaald tijdsinterval. Dit werkt. Echter elke keer als de mcas automatisch herstart wordt ook het tijdsinterval gereset. Zelfs al test je de software 1000 keer en heb je een wiskundig bewezen implementatie dan nog komt dit nooit naar voren als een bug. De software doet namelijk exact wat de spec zegt.

Het is een combinatie van een defecte sensor, een piloot die in paniek raakt en een systeem dat om de 5 seconden aanspringt en de maximale correctie onmiddelijk weer uitvoert. En dat haal je niet uit software reviews. Een goed design waa nooit tot deze software gekomen

Belgar, u heeft helemaal gelijk.
Daar was ik nog niet aan toe gekomen om het geheel niet te lang te maken.
De essentie van mijn punt is dat het door mensen bedacht en gemaakt wordt.
Helaas zijn mensen, waar het gaat om (be)denken en maken niet feilloos.

een simpele "wat als" vraag had dit er toch uitgehaald?
wat als er een sensor faalt op 300 meter hoogte? Dat is toch niet zo'n ver gezochte vraag?

Daar hebben we de regressietest voor!

Beste ninteno69, na 30 jaar software ontwikkeling heb ik nog nooit meegemaakt dat er geen enkele fout meer zit in ontwikkelde software.
Ongeacht reviews, regressietesten en wat je ook maar kunt bedenken.
Soms zijn het fouten die alleen maar naar voren komen als de derde donderdag van het tweede kwartaal de 10e is en er om 12.30 onverwachts een sirene afgaat, om maar eens en heel merkwaardige samenloop van omstandigheden te noemen die niemand van te voren kan bedenken. En geloof me, ik ben in die 30 jaar heel wat merkwaardige dingen tegengekomen waardoor de software niet deed wat ie moest doen.

Nee, foutloze software is een fabeltje.
En alle grote softwareleveranciers, zoals MS en Oracle, weten dat en doen dan ook bewust aan "test-in-the field" (d.i. een commercial release dat uit-en-treuren is getest, maar toch eens op de markt moet komen).