Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

'Boeing weigerde pilotenverzoek voor snelle fix na eerste 737 Max-crash'

Volgens The New York Times en CBS hebben piloten van American Airlines al in november vorig jaar tegen Boeing gezegd dat er snel een oplossing moet komen voor de veiligheidsproblemen met een softwaresysteem bij de 737 Max. Boeing zou dat hebben geweigerd.

CBS News heeft een video-item gepubliceerd met daarin verschillende audiofragmenten waarin is te horen dat piloten van American Airlines hun frustratie jegens Boeing uiten over de veiligheid van de 737 Max-vliegtuigen. Zo is onder meer te horen hoe een piloot van American Airlines tegen een Boeing-medewerker zegt dat 'we simpelweg verdienen te weten wat er op onze vliegtuigen zit'. De piloten tonen zich onder meer verontwaardigd over het feit dat het bestaan van het zogeheten MCAS pas kenbaar werd gemaakt na de eerste Lion Air-crash in oktober vorig jaar. "Deze gasten wisten niet eens dat het verdomde systeem op het vliegtuig zat en niemand anders wist dat." Daarmee refereren de aanwezige piloten waarschijnlijk aan de Lion Air-piloten die in oktober vorig jaar twaalf minuten na opstijgen niet konden voorkomen dat hun 737 Max 8-toestel in de Javazee stortte.

Boeing-onderdirecteur Mike Sinnett, die volgens CBS aanwezig was bij de ontmoeting met de piloten en niet wist dat zijn uitspraken werden opgenomen, stelde dat de Lion Air-crash een heel uitzonderlijk scenario was. "Ik weet niet of het begrijpen van dit systeem iets had veranderd aan de afloop. We proberen de piloten niet te overladen met informatie die onnodig is, zodat ze bekend zijn met de informatie waarvan wij denken dat die echt belangrijk is." De aanwezige piloten waren naar verluidt niet tevreden met dat antwoord. "Wij zijn de laatste verdedigingslijn voor een crash en we hebben die kennis nodig." Volgens The New York Times zei Sinnett ook nog tijdens de ontmoeting dat niemand vooralsnog heeft geconcludeerd dat het MCAS de enige oorzaak van de crash was. Boeing zou vervolgens hebben aangegeven met een fix te komen, maar het bedrijf wilde dat niet overhaast doen. Deze oplossing was nog altijd niet doorgevoerd toen in maart dit jaar het tweede toestel in Ethiopië crashte. Bij beide crashes samen kwamen 346 mensen om het leven.

Het zogeheten MCAS is hoogstwaarschijnlijk de boosdoener en de oorzaak waardoor in oktober vorig jaar een 737 Max van het Indonesische Lion Air en in maart dit jaar een zelfde type toestel van Ethiopian Airlines zijn neergestort. Definitieve, officiële eindonderzoeksresultaten moeten nog volgen, maar veel is al duidelijk. Boeing heeft het systeem geïntegreerd om een overtreksituatie te voorkomen en heeft het zo ingesteld dat de input afkomstig was van slechts een van de twee aanwezige invalshoeksensoren. Vermoedelijk door incorrecte data van deze sensor dacht het softwaresysteem dat er sprake was van een te grote invalshoek, en dus een situatie waarbij de neus te ver naar boven zou zijn gericht en dat als gevolg daarvan een overtreksituatie dreigde. Het systeem reageerde door de neus meer dan eens flink naar beneden te duwen, onder een hoek van maar liefst 45 graden. Een waarschuwingslampje dat kon aangeven dat bij de invalshoeksensoren afwijkende waardes werden geconstateerd, was optioneel en zat op geen van beide toestellen. Boeing gaat dat alsnog standaardiseren en komt binnenkort met een software-update die het systeem zodanig moet aanpassen dat dergelijke crashes tot het verleden behoren. Voorlopig staan alle types van dit toestel nog aan de grond.

Door Joris Jansen

Nieuwsredacteur

15-05-2019 • 16:27

169 Linkedin Google+

Reacties (169)

Wijzig sortering
"Ik weet niet of het begrijpen van dit systeem iets had veranderd aan de afloop. We proberen de piloten niet te overladen met informatie die onnodig is, zodat ze bekend zijn met de informatie waarvan wij denken die echt belangrijk is."
Onnodig? https://theaircurrent.com...ation-system-mcas-jt610/:
By moving the engine slightly forward and higher up and extending the nose landing gear by eight inches, Boeing eked another 14% improvement in fuel consumption out of the continually tweaked airliner.
Dus ze veranderen de manier waarop een vliegtuig bestuurd wordt. Hoewel het een minimaal verschil is in theorie zal zoiets immens duidelijk merkbaar zijn voor getrainde professionals. En dan laten ze die personen in het duister tasten over wat er aan de hand is omdat Boeing bepaald heeft dat dit niet relevant is voor je?
Het is zelfs in mijn ogen nog erger, Boeing heeft een "veiligheidssysteem" geinstalleerd waarvan je het bestaan niet weet, maar dat systeem kan wel je toestel zodanig beinvloeden (even 45 graden naar beneden sturen) zodat je kan crashen, zonder dat je weet hoe dat te counteren, want je weet niet dat dat systeem er is.

Wie dat bedacht heeft, mag van mij een andere baan zoeken, liefst waar je geen verantwoording hoeft te dragen voor mensenlevens. Afwasser bij een restaurant ofzo.
Het is nog veel en veeeel erger, ze hebben het doelbewust gedaan, ik werk in de offshore, en daar is het gezegde bij kritieke veiligheidssystemen ''een sensor is geen sensor'', en dit geldt ook zeker in de luchtvaart.

Maar waarom heeft Boeing dan geen dubbele sensor gebruikt?
Omdat als ze dat hadden gedaan, dan was het systeem als een kritiek veiligheidssysteem bestempeld, en had er een dure en veel lange type goedkeuring moeten plaatsvinden waar ze geen tijd voor hadden, en nu konden ze net doen alsof het een niet kritiek hulp systeem was.

Waarom deed Boeing dan zo iets doms?, omdat de zelfde motor onder de 737 moesten hebben als die onder de Airbus A320 met zijn hoger geplaatste vleugels was ge-monteert, om competitief te zijn, de nu A320neo, waar ze wel prima onder paste zonder verdere wijzigingen aan het vliegtuig.

Waarom was dat zo een groot probleem?, een voorbeeld, het Amerikaanse Delta airlines had bij Airbus een order geplaatst van 100 A320neo's met een optie van nog een 100 stuks, en Delta was niet de enige die in de A320neo een veel beter alternatief voor de 737-800 zag.

Boeings oplossing, een belofte aan onder andere Delta, van een nieuwe 737 met de zelfde 14% meer efficiënte motoren als de A320neo, dan zou Boeing de order van de optie krijgen, als ze voor een bepaalde deadline konden leveren, en zonder noodzaak van dure omscholing, een korte AirPad cursus en hup je kan zo achter de knuppel van de Max.

Wat gebeurde er in de praktijk, engineering kregen onrealistische opdracht om de Max in de helft van de normale ontwikkelingstijd te ontwikkelen, met de huidige doden als gevolg, engineering personeel die bezwaar maakte kregen te horen dat ze konden kiezen, tussen door gaan of ontslag.

Verschillende van hun hebben ontslag genomen, en geklaagd bij de FAA, waar ze tegen dovemansoren aan liepen.

Maar het probleem met de Max is niet het enige probleem bij Boeing, die twee assemblage fabrieken heeft, een in Washington, waar prima vliegtuigen vandaan komen, en een nieuwere in het arme South Carolina waar de de kwaliteitscontrole gewoon ronduit slecht is en vliegtuigen in elkaar worden gezet die niet eens in de buurt komen van hun eigen spec's, waar zelfs het gemiddelde lager geschoolde personeel aan de assemblage lijn dat daar werkt zeggen, dat sinds ze daar werken minder vliegen omdat ze hun eigen product niet vertrouwen.

[Reactie gewijzigd door player-x op 15 mei 2019 21:15]

Je post zit vol aannames en bijna correcte informatie. Veel van wat je stelt zijn geen feiten maar puzzelstukjes waarvan de plek nog niet bekend is.
American bestelde 100 A320N+100 opties, niet 1000+1000, dat mocht Airbus willen.
Een systeem dat kritisch is moet minstens twee sensoren hebben. Een systeem met twee sensoren is niet automatisch kritisch zoals jij stelt. Er was wel een deadline, maar ook de a320neo is in vergelijkbare tijd gemaakt en daar hoeven de piloten minder dan een iPad cursus op doen als ze al a320 vliegen. Ook dat zegt dus weinig.
Boeing heeft wel een veiligheids analyse gedaan van het mcas ontwerp. Ik vind het persoonlijk geen logisch design maar achteraf hebben we daar niets aan, we hebben er meer aan te kijken welke analyse en overweging is gemaakt en waarom dat ernaast zat (de onderzoeken zijn nog niet af, en we weten niet hoe en in hoeverre het gebeurde is afgeweken van de aannames in de analyse).
De verhalen over de fabriek in Carolina zijn al helemaal weinig meer dan geruchten. Dat maakt ze niet onwaar maar ook niet waar. Echte feiten ontbreken ook op dit vlak.
Ik vind zelf de Airbus een prettiger werk omgeving, maar Boeing bashen moet wel gestoeld worden op feiten...
niet 1000+1000, dat mocht Airbus willen.
Je hebt gelijk, maar veranderd in principe weinig aan het verhaal.
Een systeem met twee sensoren is niet automatisch kritisch zoals jij stelt.
Wat ik heb gezien in de CBS item, was dat wel in dit geval de reden om hem enkelvoudig uit te voeren.
maar ook de a320neo is in vergelijkbare tijd gemaakt
Correct, maar bij de A320neo paste de motoren gewoon onder de vleugels, een relatief eenvoudige ingreep, waar geen noemenswaardige veranderingen aan de het vlieg gedrag optreden.

Bij de 737 moest er een hele nieuwe motor mount gemaakt worden, en werd door de veranderende motor plaatsing wel noemenswaardige veranderingen aan de het vlieg gedrag optreden.

Daarnaast word/werd er regelmatig het zelfde vliegtuig met motoren van verschillende fabrikanten geleverd op verzoek van de klant, maar die paste er dan wel gewoon onder.
en daar hoeven de piloten minder dan een iPad cursus op doen als ze al a320 vliegen.
Als jij morgen je BMW 320 omruilt voor een zelfde BMW 325 hoef je toch ook niet veel te wennen aan de nieuwe auto, alles zit op de zelfde plaats, je hebt alleen wat meer vermogen onder je gaspedaal.

Bij de Max is de overstap ook het zelfde als tussen 320 en 325, alleen werd er niet bij verteld dat er stiekem een automatische lane assist is gemonteerd, waar bij je de kans hebt dat hij opeens je de vangrail in stuurt, en je niet wordt verteld waar de knop zit om het systeem uit te zetten zit.
De verhalen over de fabriek in Carolina zijn al helemaal weinig meer dan geruchten.
Daar zijn meerdere nieuws items over gemaakt door gerenommeerde journalisten, als ik het nog goed heb inclusief door 60 minutes, en met verschillende oud werknemers van Boeing aan het woord, als die hadden gelogen, hadden zeker ze meteen een rechtszaak aan hun broek gehad.
maar Boeing bashen moet wel gestoeld worden op feiten...
Ik ben zelf nog nooit in de fabriek van Boeing geweest dus heb geen eerste hand kennis, maar de uitgebreide nieuws item/docu's die ik heb gezien inclusief foto's en undercover video daarin vond ik zeer schokkend en overtuigend, ben dan wel geen vliegtuig onderhoudsspecialist, maar wel een piping en onderhoudssupervisor in de offshore met met 35j werk ervaring in onder andere kritieke systemen, inclusief werk aan compressie turbines.

[Reactie gewijzigd door player-x op 15 mei 2019 21:30]

Een veilig passagiers vliegtuig is een vliegtuig die van zichzelf stabiel is. Zoals de oudere 737. Dus met computer systemen uit blijft hij zelf rechtuit vliegen. Dit in tegenstelling tot een straaljager als F16 of nieuwer: alles uit en het ding valt uit de lucht, niet te besturen zonder computer.

Doordat de grotere en veel zuinigere motoren eronder moesten voor de 737 max was daar een aanpassing aan de vleugels voor nodig op het oude 737 ontwerp. Anders zaten door de grotere diameter de motoren te dicht bij de grond.

Deze vleugelaanpassing leverde een instabiel vliegtuig op met neiging tot overtrekken. Omdat te voorkomen werd MCAS geïnstalleerd. Valt dat systeem uit, of erger, geeft verkeerde waardes, dan krijg je bij uitvallen een zeer moeilijk te besturen vliegtuig en in het tweede geval mogelijk een crash als je niet weet dat je hem uit moet zetten.

Maar het probleem is dus fundamenteler, het vliegtuig is van nature instabiel en dus onveilig. Bron: pa, werkt in de vliegtuig industrie.
Juist. En het zou mij dus niet verbazen als de schade voor Boeing nog een heel stuk groter gaat worden, doordat geconcludeerd gaat worden dat juist hierom de typegoedkeuring definitief wordt ingetrokken. Dan kan Boeing wel een paar rechtzaken tegemoed zien over het leveren van een ondeugdelijk vliegtuig. Ik hoop het niet voor ze, maar alleen al uit het feit dat de fix die er "snel" zou zijn vooralsnog nog altijd niet gesignaleerd is laat m.i. zien dat er een serieus probleem is daar in Seattle.

Edit: Well, that did not age well... Boeing zegt dat de update klaar is (maar dat het nog wel een poos kan duren voordat alles weer goedgekeurd is.)

[Reactie gewijzigd door ATS op 17 mei 2019 06:05]

BMW is een goede analogie:
https://www.motor-talk.de...wie-er-soll-t5603541.html

Stuurt soms actief de bocht om (zonder dat de bestuurder dit wilt).
Boeing heeft wel een veiligheids analyse gedaan van het mcas ontwerp.
Volgens CNN is dat juist niet gedaan:

https://www.youtube.com/watch?v=VkO_NL3t4lI
En zo zijn er veel bronnen, gebaseerd op te weinig en/of verkeerd geïnterpreteerde en samengevatte informatie. De aanname dat Boeing geen enkele analyse zou hebben gedaan is echter wel heel onwaarschijnlijk.
Neem https://www.engadget.com/...-faa-certification-flaws/

Dat is wat minder eenzijdig dan "geen analyse". Hier gaat het ook in op de classificatie, door de classificatie werd 1 sensor gebruikt, niet andersom zoals eerder genoemd. Etc. Een vliegtuig krijg je ook niet gecertificeerd als je geen analyses inlevert. Dat die analyse niet correct was, weten we nu wel zeker, dat geeft Boeing

Wat is waar? Ik weet het niet. Maar een mediabron pakken (of meerdere) en dan stellen dat het zo-en-zo is, gaat veel te kort door de bocht, dat was mijn punt. Het is net zo onevenwichtig als alleen Boeing op hun blauwe ogen geloven (ook niet doen). }>

Mijn reactie is dan ook bedoeld om de 'feiten' in perspectief te plaatsen: de werkelijkheid is niet zo simpel, en het is zeker nog niet bekend hoe en wat precies. Dat wordt door sommigen wel zo gepresenteerd, vaak gebaseerd op eenzijdige bronnen.
Dat ben ik met je eens, maar je hebt de media in deze wel nodig om in een beerput te gaan graven waar het systeem faalt. De gegevens die CNN bijvoorbeeld heeft opgedoken over gevallen van AoA-sensoren die in het verleden faalden, zijn een nuttige bijdrage aan de discussie. Dat het eenzijdig is mee eens, en we lezen dan ook meer dan alleen berichten van CNN.

Overigens staat in het artikel wat jij linkt geen strijdige informatie met dat uit het stukje van CNN.
Dan zijn we het daar eens :)
Want het is zeer waardevol en zonder de media bleef er te veel verborgen. Ze hebben alleen niet de/alle/alleen juiste feiten en interpretaties, maar presenteren dat wel vaak zo, en zo morgelijk wordt het nog meer zo overgenomen.
Ik wou overigens dat ik wel wel alle feiten had, dat zou makkelijk zijn O-) . Misschien ook niet trouwens :?
Hoe kun jij nog op een vliegtuig stappen met een gerust hart? :X
Alles is relatief, ik stap toch ook elke keer weer in mijn auto, en daar rijd ik door verkeer heen met allerlei idioten om me heen die te beroerd zijn om op tijd op te staan, en dan als hufters door het verkeer heen scheuren, en ik toch elke keer met een redelijke kans weer veilig op mijn bestemming aan kom.

En vergeleken met autorijden is vliegen nog steeds veiliger, zelfs in een 737 Max.
Ieder modern lijnvliegtuig werkt met Fly By Wire waarbij een computer nadenkt hoe het gegeven commando (stuurtje draaien) omgezet moet worden om de correcte respons te krijgen. Er moeten wel honderden systemen zijn die deze commando's beinvloeden aan de hand van honderden parameters, bijvoorbeeld tegenwind, snelheid, gewicht van toestel e.d.

Dit MCAS systeem is niet veel anders: het houdt rekening met de hoek van het toestel tov de horizon. Het probleem van dit systeem is dat er A. een bug in zit en B. er amper feedback naar de piloot komt als het systeem een fout maakt. Foei van Boeing, maar niet onverwacht.

Wikipedia slaat de nagel op z'n kop als het zegt:
Improved fully fly-by-wire systems interpret the pilot's control inputs as a desired outcome and calculate the control surface positions required to achieve that outcome; this results in various combinations of rudder, elevator, aileron, flaps and engine controls in different situations using a closed (feedback) loop. The pilot may not be fully aware of all the control outputs acting to effect a result, only that the aircraft is reacting as expected.

[Reactie gewijzigd door TheGreatAtuin op 15 mei 2019 18:58]

Ieder modern lijnvliegtuig... behalve de 737. Maar ja, dat is dan ook een vliegtuig uit de jaren '60, dus misschien moeten we "modern" tussen aanhalingstekens zetten.

Maar dit is ook precies de kern van de kwestie. Een fly-by-wire-toestel zoals de A320 heeft strak gedefinieerde vluchtmodi, waarin bepaald is wat de computer mag doen en wat niet. Staat het toestel in "normal law"-mode, dan weet de piloot dat de computer hem kan corrigeren. Oordeelt de piloot dat de computer zich misdraagt, dan kan hij het toestel in "direct law"-mode zetten, waarin het de computer verboden is om aan enig stuurmiddel te draaien.

Omdat de 737 geen fly-by-wire toestel is, heeft het dit soort modi niet en nu er opeens wel een systeem is dat autonoom van de piloot aan stuurmiddelen gaat lopen prutsen, is niet duidelijk afgebakend wanneer het systeem wel en niet actief mag zijn.
Een ontwerp uit de jaren 60 dat tried-and-tested is, en is geupdate tot relatief moderne standaarden. An sich lijkt me dat dit wel moet werken. After all, Porsche heeft de mechanische stuurbekrachtiging er ook pas een paar jaar geleden uit gegooid.
De 737 heeft nog de ouderwetsche draadjes en hydrauliek, als ik je reactie zo lees ben ik inderdaad best wel verbaasd dat de "feedback" die je als piloot krijgt zo minimaal is.
Behalve dat de 737 niet FBW is (behalve spoilers) en jouw voorbeeld dus weinig met dit voorval te maken heeft. Je kan dus prima zonder fbw vliegen en ook veel fbw vliegtuigen hebben gedegradeerde modes waarin ze overgaan op directe aansturing (wel fbw, maar simpelweg directe stick-control relatie).

[Reactie gewijzigd door Phoenix_X op 15 mei 2019 20:31]

Hey, ik ben gewoon een leek. Lijkt mij logisch dat een toestel geïntroduceerd in 2016 zo veel mogelijk comfortabele systemen aan boord heeft voor zijn piloten (lees: fly by wire-achtige hulpjes), en als het echt zo is dat Boeing hier bepaalde vrijheid in heeft zonder zich te verantwoorden, dan zullen ze dat heus wel hebben gedaan.
Dat is al een heel ander standpunt dan "ieder modern vliegtuig heeft fbw". ;)
De MAX is helaas geen nieuw vliegtuig, slechts een upgrade van een oud model...
zonder dat je weet hoe dat te counteren, want je weet niet dat dat systeem er is.
Nee dat is niet helemaal waar. Hoewel het natuurlijk op het misdadige af is om een system in een toestel te hebben waar de piloten niets van afweten, hadden beide vliegtuigen gered kunnen worden bij het volledig doorvoeren van bepaalde flows. Het is niet geheel duidelijk waarom dat niet gedaan is (en waarom een crew zelfs de snelheid niet verminderd heeft).

De reden dat de toestellen crashde is uiteindelijk een 'trim runaway' waarin de pitch trim niet meer correct reageerde. Dit is GEEN zeer uitzonderlijk event en is vele malen vaker voorgekomen. Een klein probleem met een schakelaar die de trim motor aanzet en niet meer uitzet kan get veroorzaken. De juiste manier om het op te lossen is de circuit breaker te gebruiken om de trim motor uit te zetten en de trim van een andere wijze weer naar een normale positie te brengen. In principe had dat ook met deze storing gedaan kunnen worden en dat is ook zo gedaan in de zomer van vorig jaar. Daar dacht de crew dat ze een trim runaway hadden en deden de juiste dingen.

Dat maakt dit ongeluk geen fout van de crew. Bij heel veel ongelukken zijn er achteraf manieren te vinden waarmee het probleem opgelost had kunnen worden. De fout ligt zonder twijfel geheel bij Boeing en de FAA.
Wat ik er van lees was het in het geval van de Ethopian Air-vlucht zo dat tegen de tijd dat de zaak gediagnosticeerd was en de trimmotor op non-actief gezet was, de snelheid van het vliegtuig ver boven wat toegestaan was, wat ervoor zorgde dat de bemanning niet meer in staat was om met spierkracht met de hand te trimmen. Dat was de reden dat de piloot besloot dat de trimmotor weer aan moest om de neus omhoog te krijgen. We weten dat MCAS toen onmiddellijk weer activeerde en het vliegtuig definitief de grond inboorde.

Wat hier een rol lijkt te spelen, is dat de problemen onmiddellijk na het opstijgen ontstaan, vanaf zowat het moment dat het vliegmobiel los van de grond komt. De piloten hadden zeer weinig tijd om te diagnosticeren wat er aan de hand was. Bij de voorlaatste vlucht van het Lion-Air-toestel traden de problemen ook op, maar midden tijdens de vlucht. Vanwege de grote hoogte waarop men vloog had men veel meer tijd om de oplossing te vinden en die vond men.
Gelukkig zoeken veiligheids onderzoekers niet naar de mysterieuze "de fout" maar pakken ze het breder aan. Nadeel is dat ze iets langer doen over hun conclusies en dat ze iets meer informatie nodig hebben ;)
Rechtzaken lopen al en dat zal allemaal naar voren komen.
Je hoort ook al dat men intern alles snel snel moest en veiligheid niet op eerst plaatst kwam.
Triest maar misschien wake-up call voor overheden dat ze echt keihard toezicht moeten houden. Helaas is boeing ook een export product en de USA verkoopt liever boeing dan airbus dus tja economisch belang gaat dan schijnbaar soms boven veiligheid.
Dat er civiele rechtszaken komen, dat is evident. Maar... de basisbeginselen van veiligheid zijn hier op dusdanige wijze geschonden, dat hier zonder meer sprake is van dood door schuld. En dat als dat het geval is, dan betekent gerechtigheid dat de verantwoordelijken moeten boeten voor hun daden. Feitelijk, als je dit flikt, dan moet je naar de gevangenis.

Nu geeft het hoop dat er twee strafrechtelijke onderzoeken naar Boeing zijn gestart. Desondanks heb ik mijn twijfels of men zo ver zal gaan de verantwoordelijken hiervoor te laten boeten. Dat is een groot punt van zorg op het gebied van de rechtsgang.
Nu geeft het hoop dat er twee strafrechtelijke onderzoeken naar Boeing zijn gestart. Desondanks heb ik mijn twijfels of men zo ver zal gaan de verantwoordelijken hiervoor te laten boeten. Dat is een groot punt van zorg op het gebied van de rechtsgang.
Tja die vraag herleiden tot individuele personen en bewijzen dat ze het bewust gedaan hebben is niet eenvoudig. De overheid heeft natuurlijk ook gefaald in haar controle. Binnen boeing is dan weer de vraag wie je daar echt individueel op kan aanspreken.

Maar goed met diesel schandaal heeft men ook topmannen aangepakt, verschil is wel vw niet Amerikaans bedrijf, boeing export product dus de politieke vraag is gaat men individuen aanpakken.
Ook buiten boordcomputers om kunnen OS's met mensenlevens spelen door bijv. foutjes, zoals nummer 4, 7 en 9 op deze lijst: https://www.makeuseof.com...ming-mistakes-in-history/
Genoeg nutsbedrijven en ziekenhuis operaties die afhankelijk zijn van een OS.
Omdat de FAA niet de menskracht heeft om alles meer zelf te controleren, is de afspraak dat Boeing kleine dingen mag checken en auditen, wat de FAA dan enkel steekproefgewijs checkt. (klasse 3, en klasse 2) Het ontworpen MCAS systeem (max 1,5 graad correctie per instance) viel in klasse 2, en dus was het intern goed gekeurd obv het ontwerp. Echter bleek tijdens proefvluchten dat het minimaal 2,5 graad moest worden. Dat is aangepast, maar daardoor het werd het een klasse 1 item, en had het bij de FAA gemeld moeten worden ter validatie. Dát is niet gebeurd, en vermoedelijk omdat voor een klasse 1 wijziging, veel meer training in de simulator nodig is, ergo een van de unique selling points, de goedkope transitie qua piloot bijscholing van een oude 737 naar een -max, ging daardoor grotendeels in rook op. Er was dus een perverse commerciële prikkel om dit zo te doen, en de te ver afgeslankte FAA was niet bij machte om dit voor te zijn.

Dit is wel een heel goed, in depth, artikel hierover.

[Reactie gewijzigd door uncle_sjohie op 15 mei 2019 16:59]

Omdat de FAA niet de menskracht heeft om alles meer zelf te controleren, is de afspraak dat Boeing kleine dingen mag checken en auditen, wat de FAA dan enkel steekproefgewijs checkt. (klasse 3, en klasse 2) Het ontworpen MCAS systeem (max 1,5 graad correctie per instance) viel in klasse 2, en dus was het intern goed gekeurd obv het ontwerp. Echter bleek tijdens proefvluchten dat het minimaal 2,5 graad moest worden. Dat is aangepast, maar daardoor het werd het een klasse 1 item, en had het bij de FAA gemeld moeten worden ter validatie. Dát is niet gebeurd, en vermoedelijk omdat voor een klasse 1 wijziging, veel meer training in de simulator nodig is, ergo een van de unique selling points, de goedkope transitie qua piloot bijscholing van een oude 737 naar een -max, ging daardoor grotendeels in rook op. Er was dus een perverse commerciële prikkel om dit zo te doen, en de te ver afgeslankte FAA was niet bij machte om dit voor te zijn.

Dit is wel een heel goed, in depth, artikel hierover.
Je stelt dat de kern van het probleem is, dat het MCAS systeem de "angle of attack" van het vliegtuig verder aan kon passen dan Boeing zelf mocht certificeren. Maar het falen was nog wel een tandje erger dan dat hoor.

Het MCAS systeem ging uit van de input van 1 van de willekeurige 2 sensoren voor het uitlezen van de "angle of attack" van het vliegtuig ("angle of attack" = de hoek van stijging of daling ten opzichte van de lucht stroom). Voor zo'n veiligheid kritische sensor input, moet je gebruik maken van een majority vote met ten minste 3 sensoren.

1 sensor stuk = hele grote kans op vliegtuigcrash. Dat kan echt nooit de bedoeling zijn hoe je het ook went of keert. Dit is wat mij betreft een nog veel grotere faal dan het maximaal aantal graden dat ingegrepen kan worden.

Verder was er een optie om in elk geval de "angle of attack" van de 2 aanwezige sensoren met elkaar te vergelijken en een waarschuwing te laten zien als de 2 "angle of attack" sensoren verschillende waardes meten. Maar die veiligheid kritische indicator werd als duurdere optie verkocht. Daarbij kwam het dus voor dat piloten geen waarschuwing zagen van verschillen in sensor waardes. De piloot kon er dan onterecht vanuit gaan dat de sensoren het "met elkaar eens waren", terwijl de werkelijke situatie was dat de "error message" (AOA disagree) niet ingekocht was als optie!! Het ene vliegtuig liet de error wel zien als er een fout was en het andere vliegtuig (zonder de optie) doet net of alles helemaal toppie is bij een sensor fout.

Los van dat alles is MCAS gewoon een vuile software patch om het vliegtuig aan te laten voelen als een ouder type. Daardoor was opnieuw certificeren van dit vliegtuig "niet nodig". Als MCAS om welke reden dan ook uitstond (of bij falen van 1 sensor juist bewust uitgeschakeld diende te worden) dan was de "software patch" ineens weg en vliegt de piloot ineens met een heel ander type vliegtuig waar hij niet op getraind is. Die situatie opzich is al helemaal van de pot gerukt, maar tot overmaat van ramp werd het bestaan van MCAS geheim gehouden voor piloten. Dus het vliegtuig kon "veranderen" van 737 naar een volledig nieuw type vliegtuig dat de piloten niet kenden, waar ze nog nooit op gevlogen hadden en waarvan ze niet eens wisten dat die "verandering" überhaupt bestond!!

En als deze hele lijst ongelofelijk fuckups nog niet genoeg is om je mond open te doen vallen: even het scenario voor het herstellen van een MCAS fout vanuit de piloot gezien. Grof geschetst:
1. Vliegtuig stijgt op.
2. Autopiloot en autothrottle staan allebei uit dus de piloten vliegen zelf. Autotrim en MCAS staan aan. Dit zorgt er in een normale situatie voor dat het trim-wiel in het midden van de cockpit af en toe wat beweegt om te compenseren.
3. MCAS sensor werkt niet goed, hiervan krijgt de piloot geen waarschuwing (hij weet niet eens dat MCAS bestaat). Het trim wiel begint 1 richting op (neus omlaag) te corrigeren. Dit uit zich in het kortstondig bewegen van het trimwiel. Iets dat in een normale situatie ook gebeurt. Wordt dus niet gemakkelijk herkent door de piloten als "iets raars".
4. Trimwiel blijft 5 seconden in dezelfde stand staan (MCAS grijpt in met 5 secondes interval).
5. Trimwiel begint weer kortstondig omlaag te corrigeren en neemt weer 5 seconden pauze en zo verder.
6. Piloten merken dat ze nu wel heel hard aan het stuurwiel moeten trekken om de neus nog omhoog te houden en vragen zich af wat er in godsnaam aan de hand is.
7. MCAS gaat ondertussen lekker verder met de neus verder omlaag trimmen om de 5 seconden.
8. Piloten moeten nu (terwijl ze met volle kracht aan het stuurwiel trekken om de neus omhoog te houden) een memorylist afgaan. Uit m'n hoofd: trek aan stuur, zet autopiloot uit, zet autothrottle uit, zet autotrim uit. Die laatste is essentieel. Piloten zetten autotrim uit en daarme kan MCAS niet verder ingrijpen om de situatie nog erger te maken. Sidenote: de piloten van de gecrashte Lion Air zijn zo ver niet eens gekomen. De neus van het vliegtuig was al zo ver omlaag gericht dat ze volledig in paniek waren voor ze überhaupt aan deze memory list toekwamen.

9. Nu komt de crux die de fuckup helemaal compleet maakt. De neus van het vliegtuig is nu waarschijnlijk omlaag gericht door overmatig omlaag trimmen van MCAS. De piloten trekken met volle kracht het stuur aan om de neus zoveel mogelijk omhoog te houden, maar kunnen de trim niet overwinnen. Om de trim weer "horizontaal" te maken, moeten ze met de hand trimmen. Zowel de piloot als de copiloot moeten daarvoor een fysieke hendel aan het trimwiel uitklappen en met z'n tweeën, met heel veel spier kracht het trimwiel heeeeel veel rondjes terug draaien. Hoe verder de neus van het vliegtuig omlaag gericht is, hoe onmogelijker het wordt: het trimwiel gaat op een gegeven moment gewoon te zwaar voor spierkracht.

Dus de piloten zijn waarschijnlijk redelijk in paniek, hebben al hun spierkracht nodig om het stuur naar zich toe te trekken en moeten dan ook nog eens enorm veel kracht zetten om het trimwiel tegelijk terug te draaien.

*facepalm*

Ik vind het eerlijk gezegd een wonder dat er überhaupt piloten zijn geweest die zich eruit gered hebben, toen MCAS nog bewust geheim gehouden werd.

Tot overmaat van ramp wordt dit nu door Boeing "gefixt" met een software patch en wat extra piloten training. Ik stap in elk geval nooit in m'n leven in een 737 MAX. Zoveel is mij wel duidelijk.

[Reactie gewijzigd door GeoBeo op 16 mei 2019 07:26]

Twee sensoren waren afdoende geweest en dat is ook wat nu gaat gebeuren. Wat ik lees is dat in simulatoren gestest is hoe 737-piloten reageerden in een 737 Max waarin geen MCAS actief is. Het bleek dat de piloten opmerkten dat het toestel anders reageerde, maar geen van de piloten raakte erdoor in de problemen. Kortom, de aanwezigheid van MCAS is niet cruciaal, een piloot kan het toestel besturen als MCAS uitgeschakeld is.

Wat ik er van lees bestaat de fix uit twee belangrijke componenten:
  • MCAS moet zichzelf deactiveren als de sensoren strijdige gegevens afleveren.
  • MCAS moet zichzelf tijdelijk deactiveren als piloot de trim zelf verzet, zodat geen gevechten tussen de piloot en MCAS kunnen ontstaan.
MCAS is niet cruciaal, maar wel nodig (want het blijft er immers inzitten)?! Dit soort redenatie is prima voor ontwerpbeslissingen op het gebied van koffiezetters. Maar voor een passagiersvliegtuig? Sorry, die gaat er bij mij niet in.

Waarom bestaat MCAS als het niet cruciaal is voor de veiligheid? Waarom bestaat MCAS als het de veiligheid zelfs negatief beïnvloed? Of om het anders te stellen: wat is precies het voordeel (veiligheid) van het hebben van een vliegtuig dat kan aanvoelen als 2 verschillende vliegtuigen, als je ook gewoon een vliegtuig kunt hebben dat altijd hetzelfde aanvoelt?!

MCAS is bedacht, omdat de grotere motoren anders onder de vleugels geplaatst zijn. Het vliegtuig voelt daardoor niet alleen anders aan, maar er is ook een veel groter risico op een stall. Dit omdat tijdens het optrekken de stuwkracht van de motoren de neus (te) ver omhoog duwen. Stall = crash. Nogmaals: het gaat er bij mij niet in dat dat systeem niet cruciaal is of dat de piloten niet serieus getraind moeten worden op een vliegtuig waarin MCAS uitstaat.

Dat alles nog even los van het feit dat het tegelijk falen van 2 sensoren (bijvoorbeeld door ijsvorming op beide sensoren of door puur toeval) niet 0 is. De kans dat de 2 sensoren op exact dezelfde foute waardes doorgeven en MCAS nog steeds gewoon ouderwets aan blijft staan is alsnog veel te groot. Ook als die kans 1 in de 1 miljoen vlieguren is. Want die 1 miljoen worden makkelijk gehaald als je de hele vloot telt gedurende de hele levensduur. Verder leuk dat de piloot een foutieve MCAS trim elektrisch weg kan trimmen, waarna MCAS na een tijdje gewoon weer door gaat met fout trimmen. Dat lijkt me alleen maar heel irritant en extra verwarrend en onduidelijk.

Sure met de fixes wordt de kans op een crash wat kleiner. Klein genoeg? Ik ben niet overtuigd.

En als dit niveau enorme faal in de nieuwe 737 MAX zat (zie mijn eerdere post), welke zitten er dan nog meer in? Dit is een vliegtuig ontworpen door een volledig moreel corrupt bedrijf. Ik heb er iig geen vertrouwen meer in.

[Reactie gewijzigd door GeoBeo op 16 mei 2019 05:14]

Je stelt wat mij betreft de juiste vragen. Maar je leest het goed: Geen van de testpiloten raakte zonder MCAS in serieuze problemen. De reden is heel simpel: piloten hebben zintuigen en als het vliegtuig richting overtrek gaat zijn ze geneigd zelf in te grijpen. Waarschijnlijk was documentatie en wellicht een beetje training ook adequaat geweest om piloten met de gewijzigde aerodynamica om te laten gaan.
Dat kan prima zo zijn, maar ik ben nogmaals totaal niet overtuigd. Een paar testvluchten door piloten die net een verse instructie over MCAS hebben gehad (volledig voorbereid op het "anders aanvoelen" dus) is niet hetzelfde als een paar miljoen vlieguren door "normale" piloten die in een routine jaren lang op een mix van ouderwetse 737 en 737 MAX kisten vliegen. Het is een hele hele grove indicatie dat MCAS faal niet meer per definitie in 100% van de gevallen "iedereen aan boord gaat dood" betekend. Is dat goed genoeg? Mwoa, voor mij niet.

Voor zover ik weet mogen piloten slechts 1 type vliegtuig tegelijk vliegen. In dit geval de 737. Het is niet mogelijk om je piloten "rijbewijs" voor 2 verschillende types tegelijk te gebruiken: dus je kunt nooit in je carrière de ene dag op een 737 vliegen en een dag later op een 787. Als je als piloot op een ander vliegtuig wilt vliegen, moet je semi-permanent een nieuw "rijbewijs" halen voor dat type vliegtuig en mag je niet meer op het vorige type vliegtuig vliegen.

Maar de 737 MAX met en zonder MCAS (2 verchillende types die anders aanvoelen) zijn dan ineens een uitzondering? Hoezo?

Prima dat de (goed voorbereide, goed uitgeruste, beste van de beste) testpiloten niet gecrashed zijn met MCAS uit. Het blijft een extra risico. Een volledig onnodig extra risico vanuit de veiligheid van piloten en passagiers gezien.

Ik val daar nog steeds stijl van achterover.

[Reactie gewijzigd door GeoBeo op 16 mei 2019 07:41]

Ah, mijn eigen logica zegt ook dat het dus niet mogelijk was dit systeem snel te wijzingen. Want doordat het een "klasse 1" systeem geworden was, was een simpele fix ( "doe dit maar 2 keer, schakel dan uit") niet meer mogelijk, want een aanpassing in dit systeem was immers een klasse 1 wijziging -> wijzinging heeft certificatie nodig door FAA -> langzaam/zorgvuldig/duur.
"omdat Boeing bepaald heeft dat dit niet relevant is voor je?"
Dat komt omdat die techniek ontworpen wordt door mensen die niet zelf vliegen.
Saillant detail is overigens dat Boeing ook zelf besloten heeft om de data maar van één sensor te lezen, omdat indien het redundant was ontworpen het hele vliegtuig weer door de FAA moest worden gecertificeerd wat weer lange tijd met zich mee zou brengen, met de komst van de Airbus Neo was er al een flink aandeel afgesnoept van Boeing waardoor haast was geboden, het komt altijd weer neer op geld verdienen, deze mensen zijn gestorven door pure hebzucht...
- "Een waarschuwingslampje dat kon aangeven dat bij de invalshoeksensoren afwijkende waardes werden geconstateerd was optioneel en zat op geen van beide toestellen."
- "Boeing heeft het systeem geïntegreerd om een overtreksituatie te voorkomen en heeft het zo ingesteld dat de input afkomstig was slechts een van de twee aanwezige invalshoeksensoren."

Ook al waren de toestellen uitgerust met dat sensor disagree lampje, het had dus niet uitgemaakt.
Het had wel iets uit kunnen maken. MCAS duwt de neus omlaag gebruik makende van de input van één sensor. Dat wil niet zeggen dat de tweede sensor op dat moment niet meet.

Een waarschuwingslamp dat de twee sensoren afwijkende data terug geven zou piloten eerder kunnen doen beseffen dat ze moeten beginnen met de procedure om MCAS uit te schakelen. Dat laatste schijnt bij de tweede crash wel geprobeerd te zijn, maar pas te laat waardoor er geen redden meer aan was.

Het grote probleem is echter dat bij systemen die kritisch zijn voor de veiligheid een sensor in drievoud uitgevoerd moet zijn. Bij afwijkende waarden kun je altijd nog (relatief veilig) kiezen voor het gebruiken van de waarde die door de meerderheid van de sensoren gemeten is. Bij twee sensoren kan dat niet; je weet niet welke kapot is.

Het toevoegen van een derde sensor zou echter een wijziging aan de 737 betekenen, en Boeing wilde wijzigingen ten opzichte van het vorige model 737 absoluut minimaal houden. Hercertificering/training van personeel moest absoluut voorkomen worden omdat ze als de dood waren hiermee jaren aan tijd te verliezen, en de strijd met de A320 hiermee ook te gaan verliezen. De 737 Max moest perse als "minor" update aan het 737 model op de markt komen.

Als je het mij vraagt is dit echt misdadig; je hebt een tweetal sensoren op een toestel zitten waar niets mis mee is. De invalshoeksensoren zijn nooit gekoppeld geweest aan kritieke systemen; bij het koppele van MCAS aan die sensoren is er echter in één klap wel een kritiek systeem gekoppeld aan die sensoren waardoor ze absoluut in drievoud uitgevoerd hadden moeten worden.

De gehele introductie van de 737 Max, het introduceren van MCAS om de slechte/foute aerodynamica te verbergen en het vervolgens verbergen van MCAS in de instructieboeken is allemaal gedaan om één reden; geld. Mensenlevens zijn totaal uit het oog verloren tijdens dit hele proces; en het ergste van alles... omdat luchtvaartmaatschappijen zo afhankelijk zijn van een vliegtuigbouwer zal Boeing er nauwelijks iets van merken. Te groot om om te vallen, marktwerking is totaal kapot in deze branche.
De gehele introductie van de 737 Max, het introduceren van MCAS om de slechte/foute aerodynamica te verbergen en het vervolgens verbergen van MCAS in de instructieboeken is allemaal gedaan om één reden; geld.
Het komt ook door de luchtvaartmaatschappijen. Die willen geen nieuwe type rating voor hun piloten betalen a 20.000 euro per stuk. Dus zeggen ze tegen Boeing maak maar een 737 waar onze piloten mee kunnen vliegen zonder dat we een nieuwe type rating moeten kopen voor alle piloten. Maar hij moet wel zuiniger zijn.
Wat is een "rating voor piloten"?
Ik denk dat hij bedoelt dat piloten een opleiding per type toestel dienen te krijgen. In dit geval was dit voor een lichte wijziging aan de 737 wsl niet nodig.
Om een 737 te mogen vliegen moet je niet alleen cpl of atpl vliegbrevet hebben. Je moet ook een aparte opleiding (rating) voor de 737 hebben.
De luchtvaart autoriteiten staan het toe om een nieuwere versie van een type uit te brengen war de oude type rating voor geldig blijft. Boeing mag dan maximaal 20% ofzo van de cockpit veranderen en nog wat andere voorwaarden volgens mij.
Het had wel iets uit kunnen maken. MCAS duwt de neus omlaag gebruik makende van de input van één sensor. Dat wil niet zeggen dat de tweede sensor op dat moment niet meet.

Een waarschuwingslamp dat de twee sensoren afwijkende data terug geven zou piloten eerder kunnen doen beseffen dat ze moeten beginnen met de procedure om MCAS uit te schakelen. Dat laatste schijnt bij de tweede crash wel geprobeerd te zijn, maar pas te laat waardoor er geen redden meer aan was.

Het grote probleem is echter dat bij systemen die kritisch zijn voor de veiligheid een sensor in drievoud uitgevoerd moet zijn. Bij afwijkende waarden kun je altijd nog (relatief veilig) kiezen voor het gebruiken van de waarde die door de meerderheid van de sensoren gemeten is. Bij twee sensoren kan dat niet; je weet niet welke kapot is.

Het toevoegen van een derde sensor zou echter een wijziging aan de 737 betekenen, en Boeing wilde wijzigingen ten opzichte van het vorige model 737 absoluut minimaal houden. Hercertificering/training van personeel moest absoluut voorkomen worden omdat ze als de dood waren hiermee jaren aan tijd te verliezen, en de strijd met de A320 hiermee ook te gaan verliezen. De 737 Max moest perse als "minor" update aan het 737 model op de markt komen.

Als je het mij vraagt is dit echt misdadig; je hebt een tweetal sensoren op een toestel zitten waar niets mis mee is. De invalshoeksensoren zijn nooit gekoppeld geweest aan kritieke systemen; bij het koppele van MCAS aan die sensoren is er echter in één klap wel een kritiek systeem gekoppeld aan die sensoren waardoor ze absoluut in drievoud uitgevoerd hadden moeten worden.

De gehele introductie van de 737 Max, het introduceren van MCAS om de slechte/foute aerodynamica te verbergen en het vervolgens verbergen van MCAS in de instructieboeken is allemaal gedaan om één reden; geld. Mensenlevens zijn totaal uit het oog verloren tijdens dit hele proces; en het ergste van alles... omdat luchtvaartmaatschappijen zo afhankelijk zijn van een vliegtuigbouwer zal Boeing er nauwelijks iets van merken. Te groot om om te vallen, marktwerking is totaal kapot in deze branche.
Het gaat veel verder dan sensor redundantie en het vermijden van opnieuw certificeren, zie hier mijn uitleg: GeoBeo in 'nieuws: 'Boeing weigerde pilotenverzoek voor snelle fix na eerste ...

Aanvulling op jou stuk begint in 4e blokje tekst in mijn post.

[Reactie gewijzigd door GeoBeo op 15 mei 2019 18:33]

Je vraagt je af waarom ze überhaupt 2 sensoren monteerden als ze er toch maar 1 gebruikten.
Standaard in de luchtvaart is 3 sensoren voor 1 input zodat er 2 de juiste waarde geven als er een kapot is en je de kapotte dus kunt negeren.

2 is sowieso te weinig (welke is kapot bij afwijkende waarden?).
"Standaard in de luchtvaart is 3 sensoren voor 1 input zodat er 2 de juiste waarde geven als er een kapot is en je de kapotte dus kunt negeren. "

Er is geen standaard voor het aantal sensoren per instrument gedefinieerd in de vliegerarij, bijvoorbeeld de radio altimeters zijn dubbel uitgevoerd, de kunstmatige horizon zijn dubbel uitgevoerd, pitot buizen komen zelfs in 5 sets. Alleen in het avionics deel(feitelijke computer besturing) is een derde member als witness aanwezig om afwijking te detecteren t.o.v. van de andere members. Bij instrumenten met 2 sensoren moet beide waarden gewoon overéénkomen, is dit niet het geval en is één van de twee sensoren defect waardoor het te meten object teveel verschilt t.o.v. elkaar dan wordt automatisch dat mechanisme uitgeschakeld en een signalering gegeven, je hoeft hiervoor geen derde sensor te hebben, vergeet niet dat MCAS net als de Autopilot slechts ter ondersteuning van de piloot moet werken, als de poep de ventilator raakt is het de piloot die dan met de hand moet sturen om erger te voorkomen.
Bij 2 sensoren weet je dat er een fout is. Wat in dit geval genoeg geweest was om MCAS niet in te schakelen. Dat probleem heb je ook bij 3 sensoren: Als er 3 verschillende waarden binnen komen weet je dat er 2 stuk zijn, Wat immers mogelijk is als de oorzaak gelijk ( icing, verkeerd identiek onderhoud, afplakken sensoren voor schoonmaak) ... mijn 2 voorlampen gaan som ook tegelijk stuk.

overinges is de reden van de 1 sensor bekend:
The former Boeing flight controls engineer who worked on the MAX’s certification on behalf of the FAA said that whether a system on a jet can rely on one sensor input, or must have two, is driven by the failure classification in the system safety analysis.
Omdat het systeem bedacht was als 1x 0.6 graden was 1 sensor genoeg (simpel is beter)

[Reactie gewijzigd door leuk_he op 15 mei 2019 17:37]

0,6 graden veroorzaakt een 45 graden duik?
Ze kònden de piloten niet laten weten van het systeem, want dan zou naar buiten zijn gekomen hoe de wegens ruimtegebrek naar voren geplaatste grotere motoren de vliegkarakteristieken veranderden waardoor hertraining in een simulator nodig zou zijn geweest.
Bij dit upgrade project, afgedwongen door het op de markt verschijnen van de nieuwe Airbus, hadden kosten prioriteit over veiligheid. En omdat de FAA de Amerikaanse industrie wilde beschermen (ik betwijfel die narrative overigens, ik vermoed meer dat het draaideurcorruptie is) kreeg Boeing de vrije hand.
Redundancy, vliegtuigen hebben bijvoorbeeld meerdere hydraulische systemen mocht eentje het begeven.
normaal als backup als de ene uitvalt normaal de andere het overneemt.
Maar hier was het dus niet het geval.
De AoA wordt ook weergegeven in de cockpit en beide piloten zien de input van de andere sensor omdat de AoA belangrijk is bij het besturen van een vliegtuig (en niet zozeer of je horizontaal hangt ten opzichte van de horizon). Maar om in een noodsituatie waarbij je niet weet wat er gebeurd op te merken dat beide indicatoren afwijken zal ook niet eenvoudig zijn als je niet beseft dat het van belang kan zijn.
Jawel want MCAS is uit te zetten. Als het lampje brand kan je de systemen die dit regelen (gedeeltelijk) afsluiten
Daarvoor moet je dan wel weten dat MCAS op het toestel gemonteerd is en dat wisten de piloten waarschijnlijk niet. En de marketing machine van Boeing vond dat het niet nodig was om de 737 piloten bij te laten scholen (belangrijk verkoop argument).
Ook al waren de toestellen uitgerust met dat sensor disagree lampje, het had dus niet uitgemaakt.
Dan waren de piloten in ieder geval gewaarschuwd dat die sensor stuk was. Wellicht hadden ze dan beter op de situatie kunnen reageren. Nu kwamen ze er pas achter dat er iets mis was toen hun vliegtuig begon te duiken.
Bij die Turkish Airlines crash nabij Schiphol was het toch ook een defecte sensor die zorgde voor het foute ingrijpen door een systeem. Dan vraag ik mij af, is het wel verstandig dat dergelijke systemen worden gevoed met informatie van maar 1 sensor?
De crash van TK1951 had een andere oorzaak. Er zijn wel vaker vliegtuigen neergestort vanwege defecte sensoren, maar daarbij speelt altijd mee dat de piloten verkeerde beslissingen namen. Defecte sensoren, bijvoorbeeld doordat ze bevroren waren of verstopt zaten, speelden een rol bij AF447 (Rio - Parijs) en een vlucht van Dominicaanse republiek naar Frankfurt (een Boeing 757 van Birman Air volgens mij). In die gevallen had een oplettende (of kundige!) crew de crash kunnen voorkomen.

Bij de 737 Max werkt het MCAS anders. De piloten kunnen dat wel opheffen, maar dan moeten ze wel uberhaupt op de hoogte zijn van de aanwezigheid van het systeem en de werking. Maar bij de crash van Lion Air bleef het toestel z'n onverwachte en voor de piloten onbedoelde bewegingen herhalen.

[Reactie gewijzigd door Sunthon op 15 mei 2019 16:58]

De overeenkonst van TK1951 is dusdanig dat de computer zich op één sensor baseerde. Ondanks dat de sensoren strijdige informatie afgaven, stelde de computer geen enkele vraag en bleef blind het vliegtuig besturen. Ik vind de overeenkomst treffend.

Bij AF447 lag het wat anders. Eigenlijk precies andersom. Vanwege de storm bevroren de pitotbuizen. De computer signaleerde correct dat hij in die situatie niet betrouwbaar kon besturen en schakelde het vliegtuig in de "alternate law"-mode. De piloten waren flink in de war met de situatie waar ze in zaten en de co-piloot trok op een bepaald moment zijn joystick permanent omlaag om hoogte te doen winnen. In "normal law" mode kun je dat zonder gevolgen doen, omdat het vliegtuig zich niet vrijwillig in overtrek zal laten komen. Omdat "alternate law" actief was, was deze bescherming evenwel niet actief. Het toestel raakte in overtrek, verloor snelheid en viel uit te lucht. De gezagvoerder met meer ervaring had nog wel door dat het vliegtuig in overtrek kwam en maande de co-piloot de neus te laten zakken. De co-piloot begreep de gedachtengang van de gezagvoerder niet, reageerde niet afdoende en het was te laat.
Voor dit soort vluchtkritische sensoren heb je er eigenlijk 3 nodig. Want als je twee sensoren hebt en eentje geeft een foute waarde aan dan weet je alsnog niet welke de waarheid vertelt en niet, vandaar de derde.

Blijkbaar vond Boeing deze sensor niet belangrijk genoeg om zo redundant te maken.
In een vliegtuig zijn er vrijwel geen drievoudig uitgevoerde sensoren (in ken er zelfs geen een). Als twee sensoren afwijkende informatie geven moet dat aan de piloten getoond worden die dan de juiste kiezen. Dat is meestal niet moeilijk. Voor AoA is het normaliter overduidelijk. De AoA sensor is er een die nog wel eens problemen geeft en is niet noodzakelijk voor veilig vliegen omdat er andere instrumenten zijn die dezelfde informatie geven (gyro stabilized). Het valt niet onder de meest kritische sensoren en er zijn veel mensen die zeggen dat Boeing dit niet als bron voor hun flight stabilisatie had mogen gebruiken. Natuurlijk zeker niet een sensor van de twee. In de nieuwe software worden beide sensoren gebruikt en word AoA informatie ook uit andere bronnen gevonden.

In dit geval waren er twee AoA sensoren (zoals in elke jet) maar werd er slechts een gebruikt. Het waarschuwingslampje dat inconsistentie aangeeft was volgens Boeing deel van de minimale uitrusting maar bleek later toch een customer optie te zijn. Dat is wellicht wel het meest verbijsterende van dit verhaal.

Maar kan je je voorstellen hoe verbijsterd de piloten uit de audio opnamen waren toen er een tweede crash kwam met dezelfde oorzaak terwijl Boeing hen verteld had dat dit een freak ongeluk was dat in geen miljoenen mijl meer voor zou komen? Het verbaasd me dus niet veel dat ze dit hebben laten lekken.

Boeing heeft werkelijk alles wat ze fout hadden kunnen doen fout gedaan. Zowel technisch als in PR en marketing. Neem bijvoorbeeld de pogingen van begin deze maand waarbij ze het publiek via piloten wilde laten weten dat hun vliegtuigen veilig waren. Dit probeerde ze hoewel ze wisten dat verreweg de meeste piloten pisnijdig zijn op Boeing. Blunder op blunder. De rol van de FAA zal later nog wel eens goed bekeken worden want die blunderde vrolijk mee.

Wist je dat sommige klanten van Boeing toestellen die in bepaalde Boeing fabriek (in het zuiden van de VS) gemaakt worden weigeren? Geen grap.
Echt verbijsterende verhalen inderdaad. Blunders van het type 24 Challengers en voer voor een miljardenrechtzaak.
Ook heel benieuwd hoe de blijkbaar door-en-door corrupte FAA zich hier uit gaat lullen. Want dat ze dat gaan doen is natuurlijk wel zeker.
Ik vind dit als passagier een zeer verontrustende toestand en ga in de tussentijd bij het boeken van vluchten er op letten alleen maar Airbus te vliegen, want hier is natuurlijk nog veel meer mis.

Edit: rechtszaak

[Reactie gewijzigd door ajolla op 15 mei 2019 18:12]

Eh, bijna. Je gaat ervan uit dat er geen oorzakelijk verband is voor het falen van de sensoren.

Maar als er een oorzakelijk verband is dan is de aanname dat de meerderheid klopt niet goed.
-Sensoren kunnen afgeplakt zijn (verven toestel)
-Sensoren kunnen tegelijk bevriezen.
-Sensoren kunnen tegelijk falen (bliksem inslag, elektrsich systeem toestel geeft een spannings dip of overspanning).

Dus je redenering, 3 sensoren, en dan stemmen is niet goed.

In dit geval:
2 sensoren, systeem uitschakelen als ze afwijken was voldoende.
1 sensor systeem uitschakelen als sensor op grond niet juiste waarde gaf goed.
Dat laatste lijkt me erg moeilijk bij een AoA sensor waar geen lucht langs stroomt. Die kan op de grond iedere stand hebben aangenomen, al is het maar omdat 'ie door iemand aangeraakt wordt.
Mee eens, maar ze zouden zelfs met twee sensoren een heel eind kunnen komen. Dit MCAS systeem is vzviw alleen bedoeld om in te grijpen in zéééér uitzonderlijke situaties. Je zou kunnen denken dat het computer-ingrijpen alleen toegestaan word als beide sensoren binnen een toepasselijke marge hetzelfde antwoord geven. Dat laat de kans bestaan dat als één van de sensoren stuk is dat dan het MCAS systeem niet werkt. Maar ja. Het moment van MCAS-ingrijpen was om te beginnen toch al een uitzonderlijke situatie. Allicht beter dan 100% procent van de tijd blootgesteld worden aan een single point of failure.

Maar ja idd. 3-redundant is altijd beter.
Split-brain noemen ze dat bij een database cluster, zorg altijd voor een oneven aantal nodes.
Kern van het probleem was dat piloten niet van het bestaan van het systeem wisten en schijnbaar dus ook niet getraind waren om het systeem uit te zetten en handmatig te vliegen. d.w.z als het systeem "überhaupt uit te zetten is.

Maar afgezien daarvan sensor moet idd 3 voudig. Op totale prijs zal dat een fractie zijn maar helaas wel van extreem grote invloed voor de besturing.
Ik meen dat dat 2 van de 3 sensoren waren die een foute meting gaven waardoor het leek dat het vliegtuig minder dicht bij de grond was dan ze daadwerkelijk waren. Door de landingshoek was de grond ook niet (makkelijk) te zien.
Ook daar waren meerdere sensoren. Maar het systeem gebruikte alleen de data van 1. En die was kapot.

Normaal hebben piloten tijd om dit te corrigeren. Maar door eerdere fouten tijdens het aanvliegen was deze marge er niet meer.
Dat ook maar die crash was ook gedeeltelijk een menselijke fout
Boeing weigerde pilotenverzoek voor snelle fix na eerste 737 Max-crash
Boeing zou vervolgens hebben aangegeven met een fix te komen, maar het bedrijf wilde dat niet overhaast doen.
Ik vind dat de titel wel een beetje clickbait/stemmingsmakerij is. Weigeren en iets niet overhaast willen doen zijn toch twee compleet verschillende dingen.

En snel een fix naar buiten rushen is natuurlijk ook geen goed idee, die moet ook eerst goed getest worden. Wat dan wel weer een probleem is dat men de toestellen niet aan de grond hield. Ja kost geld, maar die 2e crash had dan goed voorkomen kunnen worden.

[Reactie gewijzigd door LOTG op 15 mei 2019 17:08]

Dat was mijn gedachte ook. Bij Windows is een snelle update wellicht een goed idee, maar daar kan je de update monitoren en stopzetten of zelfs terugdraaien. Als een "snelle fix" in de luchtvaart een ernstige bug introduceert dan vallen er (nog meer) doden.
Ze bedoelen hier met “fix” geen softwarematige oplossing, maar een fix in de breedste zin van het woord: een oplossing.
Vrijwel alle piloten waren verontwaardigd over Boeings opstelling over het MCAS systeem. Niet omdat het systeem er is, maar omdat er niet in onze “manuals” staat hoe het werkt en hoe het uitgezet kan worden. Deze piloten willen gewoon weten wat Boeing in hun vliegtuig hebben gestopt dmv documentatie, en een checklist voor wat er moet gebeuren als het systeem faalt! Welke handelingen moeten er gebeuren om het vliegtuig weer onder controle te brengen (eventueel welke circuit breakers ze moeten trekken). Dat zou ook al een “fix” geweest zijn.
Zoals ik dit lees en hoor vertrouwen ze (terecht) dat systeem niet en wilden ze meer informatie, die Boeing dus weigerde te leveren... |:(

Edit: De reden waarom dit wel relevante en interessante informatie is, is omdat de piloten van AA dus al voor de 2e crash de boel niet vertrouwden en Boeing om uitleg hebben gevraagd. Dat ze dit toen niet kregen is zeker verwijtbaar.

[Reactie gewijzigd door Captain Jorg op 15 mei 2019 19:04]

Van November tot in Maart nog niet met een update zijn gekomen kun je onmogelijk 'rushen' noemen.
Mee eens. Reken maar dat er intern heftige debatten zijn gehouden over de voors/tegens van alle Max toestellen aan de grond te houden. Aan de ene kant is er imagoverlies, aan de andere kant "acceptabel risico". Lijkt mij dat Boeing de problemen gewoon onderschat heeft en de verkeerde keuze heeft gemaakt.

Zie ook het gaspedaal-debacle van Toyota: ik snap nog steeds niet dat mensen daar verontwaardigd over hebben kunnen doen. Miljoenen auto's op de weg met enorme gebreken vanuit de fabriek, waarvan een miniem percentage Toyota's, en zodra ze een fout ontdekken een enorme recall. Wat mij betreft hebben ze juist gehandeld.
Ik snap je antwoord. Maar het gaat hier om luchtvaart. Met een enorme focus op veiligheid. Ja dit zou voor jouw antwoord een argument moeten zijn maar is een reden om na een crash en aangeven van zorgen van piloten juist reden dat hier 247 aan gewerkt had moeten worden. En al was dit niet vanuit veiligheid dan vanwege geld en imago schade. de schade, behalve 346 levens loopt in de miljarden.

Maar dit is achteraf. Dat een veiligheidslampje waardoor de piloten konden zien dat er een fout optrad was optioneel. Lees ik dit echt goed. Dit is voor mij het meest idiote van dit hele verhaal.
Dit kan je dus krijgen als je teveel aan 'robots' en sensoren overlaat en stopt met denken. Ik ken niet alle achtergronden maar vermoed nog wel een flinke nasleep voor Boeing.
Trouwens benieuwd welke probleem deze MCAS nou echt zou moeten oplossen. Dudidelijk dat piloten 'stallen' willen voorkomen maar volgens mij zijn daar toch al verschillende waarschuwingssystemen en indicatoren voor? Waarom dan toch nog een autocorrect? Voor als de hele cockpit bedwelmd is? En dat wat? Het vliegtuig terugtilten en de grond inboren zoals al twee keer is gebeurd? I am confusion 😇
Er zijn andere zuinige motoren geplaatst die anders dan bij airbus niet onder de vleugel (was geen ruimte voor) maar naar voren boven zijn geplaatst tov de oude motoren. Een nadeel hiervan was dat door deze verschuiving het vliegtuig geneigd was de neus naar boven te duwen. de MCAS was er weer voor om dat de corrigeren en de neus naar beneden te sturen.

[Reactie gewijzigd door twiekert op 15 mei 2019 20:20]

Het vliegtuig zegt dat ie aan het stallen is. De piloot geeft gas, zoals hij in een 737 gewend is. Door de ophanging van de motoren maakt dat het echter erger, want dit is een MAX, en de motorkracht duwt de neus verder omhoog, het vliegtuig gaat juist langzamer, en het dondert naar beneden.

Daarom is dat MCAS bedacht. Het was alleen niet de bedoeling dat het zo zou werken.
Klinkt toch allemaal als grove nalatigheid van Boeing.
Sowieso is het belachelijk dat je voor triviale veiligheidsinstrumenten bij Boeing extra moet betalen. Je mag verwachten dat juist in deze industrie veiligheid bovenaan het lijstje staat.
Je hebt helemaal gelijk, ik vind dat in de luchtvaartindustrie een veiligheidsmaatregel niet optioneel MAG zijn, in ieder geval niet voor commerciële passagiersvliegtuigen.

Als de maatregel dusdanig belangrijk is, of crashes kan voorkomen, moet het standaard worden geïmplementeerd.

Echter, het is toch echt de luchtvaartmaatschappij die heeft gezegd ; Nee, optioneel dus extra geld, laten we het maar niet doen, is niet zó belangrijk. Dus zij hebben ook met geld (en daarmee met levens) gespeeld. Toestellen waarschijnlijk zo goedkoop en basic mogelijk krijgen, dan ben je sneller uit de kosten met de huidige lage prijzen voor tickets.
Wat een verhaal! Durf eigenlijk niet meer in een Boeing te stappen! Ga over anderhalve week weer vliegen en die vlucht zou eigenlijk met zo’n max 8 zijn.😬
Daarom zei ik ook “zou eigenlijk”!😉
Zelf met een 2e sensor en een software update vertrouwt niemand dit toestel toch meer. Breng ze allemaal maar naar een vliegtuigkerkhof en vervang ze met een gelijkwaardig nieuw toestel met een andere naam. Dit komt niet meer goed met de 737 max ben ik bang...
Natuurlijk zal niemand achter de tralies verdwijnen voor deze grove nalatigheid.
Ongelofelijk! De piloten zeggen terecht dat zij de laatste verdedigingslijn voor een crash en die kennis nodig hebben. Het idee dat een leverancier beslist voor de gebruiker welke informatie hij krijgt is bizar natuurlijk. Aan de andere kant is het bij softwareleverancies schering en inslag zoals bijvoorbeeld bij de nieuwere versies van Windows.


Om te kunnen reageren moet je ingelogd zijn


OnePlus 7 Pro (8GB intern) Microsoft Xbox One S All-Digital Edition LG OLED C9 Google Pixel 3a XL FIFA 19 Samsung Galaxy S10 Sony PlayStation 5 Politiek en recht

Tweakers vormt samen met Tweakers Elect, Hardware.Info, Autotrack, Nationale Vacaturebank, Intermediair en Independer de Persgroep Online Services B.V.
Alle rechten voorbehouden © 1998 - 2019 Hosting door True