Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

'Boeing weigerde pilotenverzoek voor snelle fix na eerste 737 Max-crash'

Volgens The New York Times en CBS hebben piloten van American Airlines al in november vorig jaar tegen Boeing gezegd dat er snel een oplossing moet komen voor de veiligheidsproblemen met een softwaresysteem bij de 737 Max. Boeing zou dat hebben geweigerd.

CBS News heeft een video-item gepubliceerd met daarin verschillende audiofragmenten waarin is te horen dat piloten van American Airlines hun frustratie jegens Boeing uiten over de veiligheid van de 737 Max-vliegtuigen. Zo is onder meer te horen hoe een piloot van American Airlines tegen een Boeing-medewerker zegt dat 'we simpelweg verdienen te weten wat er op onze vliegtuigen zit'. De piloten tonen zich onder meer verontwaardigd over het feit dat het bestaan van het zogeheten MCAS pas kenbaar werd gemaakt na de eerste Lion Air-crash in oktober vorig jaar. "Deze gasten wisten niet eens dat het verdomde systeem op het vliegtuig zat en niemand anders wist dat." Daarmee refereren de aanwezige piloten waarschijnlijk aan de Lion Air-piloten die in oktober vorig jaar twaalf minuten na opstijgen niet konden voorkomen dat hun 737 Max 8-toestel in de Javazee stortte.

Boeing-onderdirecteur Mike Sinnett, die volgens CBS aanwezig was bij de ontmoeting met de piloten en niet wist dat zijn uitspraken werden opgenomen, stelde dat de Lion Air-crash een heel uitzonderlijk scenario was. "Ik weet niet of het begrijpen van dit systeem iets had veranderd aan de afloop. We proberen de piloten niet te overladen met informatie die onnodig is, zodat ze bekend zijn met de informatie waarvan wij denken dat die echt belangrijk is." De aanwezige piloten waren naar verluidt niet tevreden met dat antwoord. "Wij zijn de laatste verdedigingslijn voor een crash en we hebben die kennis nodig." Volgens The New York Times zei Sinnett ook nog tijdens de ontmoeting dat niemand vooralsnog heeft geconcludeerd dat het MCAS de enige oorzaak van de crash was. Boeing zou vervolgens hebben aangegeven met een fix te komen, maar het bedrijf wilde dat niet overhaast doen. Deze oplossing was nog altijd niet doorgevoerd toen in maart dit jaar het tweede toestel in Ethiopië crashte. Bij beide crashes samen kwamen 346 mensen om het leven.

Het zogeheten MCAS is hoogstwaarschijnlijk de boosdoener en de oorzaak waardoor in oktober vorig jaar een 737 Max van het Indonesische Lion Air en in maart dit jaar een zelfde type toestel van Ethiopian Airlines zijn neergestort. Definitieve, officiële eindonderzoeksresultaten moeten nog volgen, maar veel is al duidelijk. Boeing heeft het systeem geïntegreerd om een overtreksituatie te voorkomen en heeft het zo ingesteld dat de input afkomstig was van slechts een van de twee aanwezige invalshoeksensoren. Vermoedelijk door incorrecte data van deze sensor dacht het softwaresysteem dat er sprake was van een te grote invalshoek, en dus een situatie waarbij de neus te ver naar boven zou zijn gericht en dat als gevolg daarvan een overtreksituatie dreigde. Het systeem reageerde door de neus meer dan eens flink naar beneden te duwen, onder een hoek van maar liefst 45 graden. Een waarschuwingslampje dat kon aangeven dat bij de invalshoeksensoren afwijkende waardes werden geconstateerd, was optioneel en zat op geen van beide toestellen. Boeing gaat dat alsnog standaardiseren en komt binnenkort met een software-update die het systeem zodanig moet aanpassen dat dergelijke crashes tot het verleden behoren. Voorlopig staan alle types van dit toestel nog aan de grond.

Door Joris Jansen

Nieuwsredacteur

15-05-2019 • 16:27

169 Linkedin Google+

Reacties (169)

Wijzig sortering
"Ik weet niet of het begrijpen van dit systeem iets had veranderd aan de afloop. We proberen de piloten niet te overladen met informatie die onnodig is, zodat ze bekend zijn met de informatie waarvan wij denken die echt belangrijk is."
Onnodig? https://theaircurrent.com...ation-system-mcas-jt610/:
By moving the engine slightly forward and higher up and extending the nose landing gear by eight inches, Boeing eked another 14% improvement in fuel consumption out of the continually tweaked airliner.
Dus ze veranderen de manier waarop een vliegtuig bestuurd wordt. Hoewel het een minimaal verschil is in theorie zal zoiets immens duidelijk merkbaar zijn voor getrainde professionals. En dan laten ze die personen in het duister tasten over wat er aan de hand is omdat Boeing bepaald heeft dat dit niet relevant is voor je?
Het is zelfs in mijn ogen nog erger, Boeing heeft een "veiligheidssysteem" geinstalleerd waarvan je het bestaan niet weet, maar dat systeem kan wel je toestel zodanig beinvloeden (even 45 graden naar beneden sturen) zodat je kan crashen, zonder dat je weet hoe dat te counteren, want je weet niet dat dat systeem er is.

Wie dat bedacht heeft, mag van mij een andere baan zoeken, liefst waar je geen verantwoording hoeft te dragen voor mensenlevens. Afwasser bij een restaurant ofzo.
Het is nog veel en veeeel erger, ze hebben het doelbewust gedaan, ik werk in de offshore, en daar is het gezegde bij kritieke veiligheidssystemen ''een sensor is geen sensor'', en dit geldt ook zeker in de luchtvaart.

Maar waarom heeft Boeing dan geen dubbele sensor gebruikt?
Omdat als ze dat hadden gedaan, dan was het systeem als een kritiek veiligheidssysteem bestempeld, en had er een dure en veel lange type goedkeuring moeten plaatsvinden waar ze geen tijd voor hadden, en nu konden ze net doen alsof het een niet kritiek hulp systeem was.

Waarom deed Boeing dan zo iets doms?, omdat de zelfde motor onder de 737 moesten hebben als die onder de Airbus A320 met zijn hoger geplaatste vleugels was ge-monteert, om competitief te zijn, de nu A320neo, waar ze wel prima onder paste zonder verdere wijzigingen aan het vliegtuig.

Waarom was dat zo een groot probleem?, een voorbeeld, het Amerikaanse Delta airlines had bij Airbus een order geplaatst van 100 A320neo's met een optie van nog een 100 stuks, en Delta was niet de enige die in de A320neo een veel beter alternatief voor de 737-800 zag.

Boeings oplossing, een belofte aan onder andere Delta, van een nieuwe 737 met de zelfde 14% meer efficiënte motoren als de A320neo, dan zou Boeing de order van de optie krijgen, als ze voor een bepaalde deadline konden leveren, en zonder noodzaak van dure omscholing, een korte AirPad cursus en hup je kan zo achter de knuppel van de Max.

Wat gebeurde er in de praktijk, engineering kregen onrealistische opdracht om de Max in de helft van de normale ontwikkelingstijd te ontwikkelen, met de huidige doden als gevolg, engineering personeel die bezwaar maakte kregen te horen dat ze konden kiezen, tussen door gaan of ontslag.

Verschillende van hun hebben ontslag genomen, en geklaagd bij de FAA, waar ze tegen dovemansoren aan liepen.

Maar het probleem met de Max is niet het enige probleem bij Boeing, die twee assemblage fabrieken heeft, een in Washington, waar prima vliegtuigen vandaan komen, en een nieuwere in het arme South Carolina waar de de kwaliteitscontrole gewoon ronduit slecht is en vliegtuigen in elkaar worden gezet die niet eens in de buurt komen van hun eigen spec's, waar zelfs het gemiddelde lager geschoolde personeel aan de assemblage lijn dat daar werkt zeggen, dat sinds ze daar werken minder vliegen omdat ze hun eigen product niet vertrouwen.

[Reactie gewijzigd door player-x op 15 mei 2019 21:15]

Je post zit vol aannames en bijna correcte informatie. Veel van wat je stelt zijn geen feiten maar puzzelstukjes waarvan de plek nog niet bekend is.
American bestelde 100 A320N+100 opties, niet 1000+1000, dat mocht Airbus willen.
Een systeem dat kritisch is moet minstens twee sensoren hebben. Een systeem met twee sensoren is niet automatisch kritisch zoals jij stelt. Er was wel een deadline, maar ook de a320neo is in vergelijkbare tijd gemaakt en daar hoeven de piloten minder dan een iPad cursus op doen als ze al a320 vliegen. Ook dat zegt dus weinig.
Boeing heeft wel een veiligheids analyse gedaan van het mcas ontwerp. Ik vind het persoonlijk geen logisch design maar achteraf hebben we daar niets aan, we hebben er meer aan te kijken welke analyse en overweging is gemaakt en waarom dat ernaast zat (de onderzoeken zijn nog niet af, en we weten niet hoe en in hoeverre het gebeurde is afgeweken van de aannames in de analyse).
De verhalen over de fabriek in Carolina zijn al helemaal weinig meer dan geruchten. Dat maakt ze niet onwaar maar ook niet waar. Echte feiten ontbreken ook op dit vlak.
Ik vind zelf de Airbus een prettiger werk omgeving, maar Boeing bashen moet wel gestoeld worden op feiten...
niet 1000+1000, dat mocht Airbus willen.
Je hebt gelijk, maar veranderd in principe weinig aan het verhaal.
Een systeem met twee sensoren is niet automatisch kritisch zoals jij stelt.
Wat ik heb gezien in de CBS item, was dat wel in dit geval de reden om hem enkelvoudig uit te voeren.
maar ook de a320neo is in vergelijkbare tijd gemaakt
Correct, maar bij de A320neo paste de motoren gewoon onder de vleugels, een relatief eenvoudige ingreep, waar geen noemenswaardige veranderingen aan de het vlieg gedrag optreden.

Bij de 737 moest er een hele nieuwe motor mount gemaakt worden, en werd door de veranderende motor plaatsing wel noemenswaardige veranderingen aan de het vlieg gedrag optreden.

Daarnaast word/werd er regelmatig het zelfde vliegtuig met motoren van verschillende fabrikanten geleverd op verzoek van de klant, maar die paste er dan wel gewoon onder.
en daar hoeven de piloten minder dan een iPad cursus op doen als ze al a320 vliegen.
Als jij morgen je BMW 320 omruilt voor een zelfde BMW 325 hoef je toch ook niet veel te wennen aan de nieuwe auto, alles zit op de zelfde plaats, je hebt alleen wat meer vermogen onder je gaspedaal.

Bij de Max is de overstap ook het zelfde als tussen 320 en 325, alleen werd er niet bij verteld dat er stiekem een automatische lane assist is gemonteerd, waar bij je de kans hebt dat hij opeens je de vangrail in stuurt, en je niet wordt verteld waar de knop zit om het systeem uit te zetten zit.
De verhalen over de fabriek in Carolina zijn al helemaal weinig meer dan geruchten.
Daar zijn meerdere nieuws items over gemaakt door gerenommeerde journalisten, als ik het nog goed heb inclusief door 60 minutes, en met verschillende oud werknemers van Boeing aan het woord, als die hadden gelogen, hadden zeker ze meteen een rechtszaak aan hun broek gehad.
maar Boeing bashen moet wel gestoeld worden op feiten...
Ik ben zelf nog nooit in de fabriek van Boeing geweest dus heb geen eerste hand kennis, maar de uitgebreide nieuws item/docu's die ik heb gezien inclusief foto's en undercover video daarin vond ik zeer schokkend en overtuigend, ben dan wel geen vliegtuig onderhoudsspecialist, maar wel een piping en onderhoudssupervisor in de offshore met met 35j werk ervaring in onder andere kritieke systemen, inclusief werk aan compressie turbines.

[Reactie gewijzigd door player-x op 15 mei 2019 21:30]

Een veilig passagiers vliegtuig is een vliegtuig die van zichzelf stabiel is. Zoals de oudere 737. Dus met computer systemen uit blijft hij zelf rechtuit vliegen. Dit in tegenstelling tot een straaljager als F16 of nieuwer: alles uit en het ding valt uit de lucht, niet te besturen zonder computer.

Doordat de grotere en veel zuinigere motoren eronder moesten voor de 737 max was daar een aanpassing aan de vleugels voor nodig op het oude 737 ontwerp. Anders zaten door de grotere diameter de motoren te dicht bij de grond.

Deze vleugelaanpassing leverde een instabiel vliegtuig op met neiging tot overtrekken. Omdat te voorkomen werd MCAS geïnstalleerd. Valt dat systeem uit, of erger, geeft verkeerde waardes, dan krijg je bij uitvallen een zeer moeilijk te besturen vliegtuig en in het tweede geval mogelijk een crash als je niet weet dat je hem uit moet zetten.

Maar het probleem is dus fundamenteler, het vliegtuig is van nature instabiel en dus onveilig. Bron: pa, werkt in de vliegtuig industrie.
BMW is een goede analogie:
https://www.motor-talk.de...wie-er-soll-t5603541.html

Stuurt soms actief de bocht om (zonder dat de bestuurder dit wilt).
Boeing heeft wel een veiligheids analyse gedaan van het mcas ontwerp.
Volgens CNN is dat juist niet gedaan:

https://www.youtube.com/watch?v=VkO_NL3t4lI
Ieder modern lijnvliegtuig werkt met Fly By Wire waarbij een computer nadenkt hoe het gegeven commando (stuurtje draaien) omgezet moet worden om de correcte respons te krijgen. Er moeten wel honderden systemen zijn die deze commando's beinvloeden aan de hand van honderden parameters, bijvoorbeeld tegenwind, snelheid, gewicht van toestel e.d.

Dit MCAS systeem is niet veel anders: het houdt rekening met de hoek van het toestel tov de horizon. Het probleem van dit systeem is dat er A. een bug in zit en B. er amper feedback naar de piloot komt als het systeem een fout maakt. Foei van Boeing, maar niet onverwacht.

Wikipedia slaat de nagel op z'n kop als het zegt:
Improved fully fly-by-wire systems interpret the pilot's control inputs as a desired outcome and calculate the control surface positions required to achieve that outcome; this results in various combinations of rudder, elevator, aileron, flaps and engine controls in different situations using a closed (feedback) loop. The pilot may not be fully aware of all the control outputs acting to effect a result, only that the aircraft is reacting as expected.

[Reactie gewijzigd door TheGreatAtuin op 15 mei 2019 18:58]

Ieder modern lijnvliegtuig... behalve de 737. Maar ja, dat is dan ook een vliegtuig uit de jaren '60, dus misschien moeten we "modern" tussen aanhalingstekens zetten.

Maar dit is ook precies de kern van de kwestie. Een fly-by-wire-toestel zoals de A320 heeft strak gedefinieerde vluchtmodi, waarin bepaald is wat de computer mag doen en wat niet. Staat het toestel in "normal law"-mode, dan weet de piloot dat de computer hem kan corrigeren. Oordeelt de piloot dat de computer zich misdraagt, dan kan hij het toestel in "direct law"-mode zetten, waarin het de computer verboden is om aan enig stuurmiddel te draaien.

Omdat de 737 geen fly-by-wire toestel is, heeft het dit soort modi niet en nu er opeens wel een systeem is dat autonoom van de piloot aan stuurmiddelen gaat lopen prutsen, is niet duidelijk afgebakend wanneer het systeem wel en niet actief mag zijn.
Wat ik er van lees was het in het geval van de Ethopian Air-vlucht zo dat tegen de tijd dat de zaak gediagnosticeerd was en de trimmotor op non-actief gezet was, de snelheid van het vliegtuig ver boven wat toegestaan was, wat ervoor zorgde dat de bemanning niet meer in staat was om met spierkracht met de hand te trimmen. Dat was de reden dat de piloot besloot dat de trimmotor weer aan moest om de neus omhoog te krijgen. We weten dat MCAS toen onmiddellijk weer activeerde en het vliegtuig definitief de grond inboorde.

Wat hier een rol lijkt te spelen, is dat de problemen onmiddellijk na het opstijgen ontstaan, vanaf zowat het moment dat het vliegmobiel los van de grond komt. De piloten hadden zeer weinig tijd om te diagnosticeren wat er aan de hand was. Bij de voorlaatste vlucht van het Lion-Air-toestel traden de problemen ook op, maar midden tijdens de vlucht. Vanwege de grote hoogte waarop men vloog had men veel meer tijd om de oplossing te vinden en die vond men.
Omdat de FAA niet de menskracht heeft om alles meer zelf te controleren, is de afspraak dat Boeing kleine dingen mag checken en auditen, wat de FAA dan enkel steekproefgewijs checkt. (klasse 3, en klasse 2) Het ontworpen MCAS systeem (max 1,5 graad correctie per instance) viel in klasse 2, en dus was het intern goed gekeurd obv het ontwerp. Echter bleek tijdens proefvluchten dat het minimaal 2,5 graad moest worden. Dat is aangepast, maar daardoor het werd het een klasse 1 item, en had het bij de FAA gemeld moeten worden ter validatie. Dát is niet gebeurd, en vermoedelijk omdat voor een klasse 1 wijziging, veel meer training in de simulator nodig is, ergo een van de unique selling points, de goedkope transitie qua piloot bijscholing van een oude 737 naar een -max, ging daardoor grotendeels in rook op. Er was dus een perverse commerciële prikkel om dit zo te doen, en de te ver afgeslankte FAA was niet bij machte om dit voor te zijn.

Dit is wel een heel goed, in depth, artikel hierover.

[Reactie gewijzigd door uncle_sjohie op 15 mei 2019 16:59]

Omdat de FAA niet de menskracht heeft om alles meer zelf te controleren, is de afspraak dat Boeing kleine dingen mag checken en auditen, wat de FAA dan enkel steekproefgewijs checkt. (klasse 3, en klasse 2) Het ontworpen MCAS systeem (max 1,5 graad correctie per instance) viel in klasse 2, en dus was het intern goed gekeurd obv het ontwerp. Echter bleek tijdens proefvluchten dat het minimaal 2,5 graad moest worden. Dat is aangepast, maar daardoor het werd het een klasse 1 item, en had het bij de FAA gemeld moeten worden ter validatie. Dát is niet gebeurd, en vermoedelijk omdat voor een klasse 1 wijziging, veel meer training in de simulator nodig is, ergo een van de unique selling points, de goedkope transitie qua piloot bijscholing van een oude 737 naar een -max, ging daardoor grotendeels in rook op. Er was dus een perverse commerciële prikkel om dit zo te doen, en de te ver afgeslankte FAA was niet bij machte om dit voor te zijn.

Dit is wel een heel goed, in depth, artikel hierover.
Je stelt dat de kern van het probleem is, dat het MCAS systeem de "angle of attack" van het vliegtuig verder aan kon passen dan Boeing zelf mocht certificeren. Maar het falen was nog wel een tandje erger dan dat hoor.

Het MCAS systeem ging uit van de input van 1 van de willekeurige 2 sensoren voor het uitlezen van de "angle of attack" van het vliegtuig ("angle of attack" = de hoek van stijging of daling ten opzichte van de lucht stroom). Voor zo'n veiligheid kritische sensor input, moet je gebruik maken van een majority vote met ten minste 3 sensoren.

1 sensor stuk = hele grote kans op vliegtuigcrash. Dat kan echt nooit de bedoeling zijn hoe je het ook went of keert. Dit is wat mij betreft een nog veel grotere faal dan het maximaal aantal graden dat ingegrepen kan worden.

Verder was er een optie om in elk geval de "angle of attack" van de 2 aanwezige sensoren met elkaar te vergelijken en een waarschuwing te laten zien als de 2 "angle of attack" sensoren verschillende waardes meten. Maar die veiligheid kritische indicator werd als duurdere optie verkocht. Daarbij kwam het dus voor dat piloten geen waarschuwing zagen van verschillen in sensor waardes. De piloot kon er dan onterecht vanuit gaan dat de sensoren het "met elkaar eens waren", terwijl de werkelijke situatie was dat de "error message" (AOA disagree) niet ingekocht was als optie!! Het ene vliegtuig liet de error wel zien als er een fout was en het andere vliegtuig (zonder de optie) doet net of alles helemaal toppie is bij een sensor fout.

Los van dat alles is MCAS gewoon een vuile software patch om het vliegtuig aan te laten voelen als een ouder type. Daardoor was opnieuw certificeren van dit vliegtuig "niet nodig". Als MCAS om welke reden dan ook uitstond (of bij falen van 1 sensor juist bewust uitgeschakeld diende te worden) dan was de "software patch" ineens weg en vliegt de piloot ineens met een heel ander type vliegtuig waar hij niet op getraind is. Die situatie opzich is al helemaal van de pot gerukt, maar tot overmaat van ramp werd het bestaan van MCAS geheim gehouden voor piloten. Dus het vliegtuig kon "veranderen" van 737 naar een volledig nieuw type vliegtuig dat de piloten niet kenden, waar ze nog nooit op gevlogen hadden en waarvan ze niet eens wisten dat die "verandering" überhaupt bestond!!

En als deze hele lijst ongelofelijk fuckups nog niet genoeg is om je mond open te doen vallen: even het scenario voor het herstellen van een MCAS fout vanuit de piloot gezien. Grof geschetst:
1. Vliegtuig stijgt op.
2. Autopiloot en autothrottle staan allebei uit dus de piloten vliegen zelf. Autotrim en MCAS staan aan. Dit zorgt er in een normale situatie voor dat het trim-wiel in het midden van de cockpit af en toe wat beweegt om te compenseren.
3. MCAS sensor werkt niet goed, hiervan krijgt de piloot geen waarschuwing (hij weet niet eens dat MCAS bestaat). Het trim wiel begint 1 richting op (neus omlaag) te corrigeren. Dit uit zich in het kortstondig bewegen van het trimwiel. Iets dat in een normale situatie ook gebeurt. Wordt dus niet gemakkelijk herkent door de piloten als "iets raars".
4. Trimwiel blijft 5 seconden in dezelfde stand staan (MCAS grijpt in met 5 secondes interval).
5. Trimwiel begint weer kortstondig omlaag te corrigeren en neemt weer 5 seconden pauze en zo verder.
6. Piloten merken dat ze nu wel heel hard aan het stuurwiel moeten trekken om de neus nog omhoog te houden en vragen zich af wat er in godsnaam aan de hand is.
7. MCAS gaat ondertussen lekker verder met de neus verder omlaag trimmen om de 5 seconden.
8. Piloten moeten nu (terwijl ze met volle kracht aan het stuurwiel trekken om de neus omhoog te houden) een memorylist afgaan. Uit m'n hoofd: trek aan stuur, zet autopiloot uit, zet autothrottle uit, zet autotrim uit. Die laatste is essentieel. Piloten zetten autotrim uit en daarme kan MCAS niet verder ingrijpen om de situatie nog erger te maken. Sidenote: de piloten van de gecrashte Lion Air zijn zo ver niet eens gekomen. De neus van het vliegtuig was al zo ver omlaag gericht dat ze volledig in paniek waren voor ze überhaupt aan deze memory list toekwamen.

9. Nu komt de crux die de fuckup helemaal compleet maakt. De neus van het vliegtuig is nu waarschijnlijk omlaag gericht door overmatig omlaag trimmen van MCAS. De piloten trekken met volle kracht het stuur aan om de neus zoveel mogelijk omhoog te houden, maar kunnen de trim niet overwinnen. Om de trim weer "horizontaal" te maken, moeten ze met de hand trimmen. Zowel de piloot als de copiloot moeten daarvoor een fysieke hendel aan het trimwiel uitklappen en met z'n tweeën, met heel veel spier kracht het trimwiel heeeeel veel rondjes terug draaien. Hoe verder de neus van het vliegtuig omlaag gericht is, hoe onmogelijker het wordt: het trimwiel gaat op een gegeven moment gewoon te zwaar voor spierkracht.

Dus de piloten zijn waarschijnlijk redelijk in paniek, hebben al hun spierkracht nodig om het stuur naar zich toe te trekken en moeten dan ook nog eens enorm veel kracht zetten om het trimwiel tegelijk terug te draaien.

*facepalm*

Ik vind het eerlijk gezegd een wonder dat er überhaupt piloten zijn geweest die zich eruit gered hebben, toen MCAS nog bewust geheim gehouden werd.

Tot overmaat van ramp wordt dit nu door Boeing "gefixt" met een software patch en wat extra piloten training. Ik stap in elk geval nooit in m'n leven in een 737 MAX. Zoveel is mij wel duidelijk.

[Reactie gewijzigd door GeoBeo op 16 mei 2019 07:26]

Twee sensoren waren afdoende geweest en dat is ook wat nu gaat gebeuren. Wat ik lees is dat in simulatoren gestest is hoe 737-piloten reageerden in een 737 Max waarin geen MCAS actief is. Het bleek dat de piloten opmerkten dat het toestel anders reageerde, maar geen van de piloten raakte erdoor in de problemen. Kortom, de aanwezigheid van MCAS is niet cruciaal, een piloot kan het toestel besturen als MCAS uitgeschakeld is.

Wat ik er van lees bestaat de fix uit twee belangrijke componenten:
  • MCAS moet zichzelf deactiveren als de sensoren strijdige gegevens afleveren.
  • MCAS moet zichzelf tijdelijk deactiveren als piloot de trim zelf verzet, zodat geen gevechten tussen de piloot en MCAS kunnen ontstaan.
MCAS is niet cruciaal, maar wel nodig (want het blijft er immers inzitten)?! Dit soort redenatie is prima voor ontwerpbeslissingen op het gebied van koffiezetters. Maar voor een passagiersvliegtuig? Sorry, die gaat er bij mij niet in.

Waarom bestaat MCAS als het niet cruciaal is voor de veiligheid? Waarom bestaat MCAS als het de veiligheid zelfs negatief beïnvloed? Of om het anders te stellen: wat is precies het voordeel (veiligheid) van het hebben van een vliegtuig dat kan aanvoelen als 2 verschillende vliegtuigen, als je ook gewoon een vliegtuig kunt hebben dat altijd hetzelfde aanvoelt?!

MCAS is bedacht, omdat de grotere motoren anders onder de vleugels geplaatst zijn. Het vliegtuig voelt daardoor niet alleen anders aan, maar er is ook een veel groter risico op een stall. Dit omdat tijdens het optrekken de stuwkracht van de motoren de neus (te) ver omhoog duwen. Stall = crash. Nogmaals: het gaat er bij mij niet in dat dat systeem niet cruciaal is of dat de piloten niet serieus getraind moeten worden op een vliegtuig waarin MCAS uitstaat.

Dat alles nog even los van het feit dat het tegelijk falen van 2 sensoren (bijvoorbeeld door ijsvorming op beide sensoren of door puur toeval) niet 0 is. De kans dat de 2 sensoren op exact dezelfde foute waardes doorgeven en MCAS nog steeds gewoon ouderwets aan blijft staan is alsnog veel te groot. Ook als die kans 1 in de 1 miljoen vlieguren is. Want die 1 miljoen worden makkelijk gehaald als je de hele vloot telt gedurende de hele levensduur. Verder leuk dat de piloot een foutieve MCAS trim elektrisch weg kan trimmen, waarna MCAS na een tijdje gewoon weer door gaat met fout trimmen. Dat lijkt me alleen maar heel irritant en extra verwarrend en onduidelijk.

Sure met de fixes wordt de kans op een crash wat kleiner. Klein genoeg? Ik ben niet overtuigd.

En als dit niveau enorme faal in de nieuwe 737 MAX zat (zie mijn eerdere post), welke zitten er dan nog meer in? Dit is een vliegtuig ontworpen door een volledig moreel corrupt bedrijf. Ik heb er iig geen vertrouwen meer in.

[Reactie gewijzigd door GeoBeo op 16 mei 2019 05:14]

Het had wel iets uit kunnen maken. MCAS duwt de neus omlaag gebruik makende van de input van één sensor. Dat wil niet zeggen dat de tweede sensor op dat moment niet meet.

Een waarschuwingslamp dat de twee sensoren afwijkende data terug geven zou piloten eerder kunnen doen beseffen dat ze moeten beginnen met de procedure om MCAS uit te schakelen. Dat laatste schijnt bij de tweede crash wel geprobeerd te zijn, maar pas te laat waardoor er geen redden meer aan was.

Het grote probleem is echter dat bij systemen die kritisch zijn voor de veiligheid een sensor in drievoud uitgevoerd moet zijn. Bij afwijkende waarden kun je altijd nog (relatief veilig) kiezen voor het gebruiken van de waarde die door de meerderheid van de sensoren gemeten is. Bij twee sensoren kan dat niet; je weet niet welke kapot is.

Het toevoegen van een derde sensor zou echter een wijziging aan de 737 betekenen, en Boeing wilde wijzigingen ten opzichte van het vorige model 737 absoluut minimaal houden. Hercertificering/training van personeel moest absoluut voorkomen worden omdat ze als de dood waren hiermee jaren aan tijd te verliezen, en de strijd met de A320 hiermee ook te gaan verliezen. De 737 Max moest perse als "minor" update aan het 737 model op de markt komen.

Als je het mij vraagt is dit echt misdadig; je hebt een tweetal sensoren op een toestel zitten waar niets mis mee is. De invalshoeksensoren zijn nooit gekoppeld geweest aan kritieke systemen; bij het koppele van MCAS aan die sensoren is er echter in één klap wel een kritiek systeem gekoppeld aan die sensoren waardoor ze absoluut in drievoud uitgevoerd hadden moeten worden.

De gehele introductie van de 737 Max, het introduceren van MCAS om de slechte/foute aerodynamica te verbergen en het vervolgens verbergen van MCAS in de instructieboeken is allemaal gedaan om één reden; geld. Mensenlevens zijn totaal uit het oog verloren tijdens dit hele proces; en het ergste van alles... omdat luchtvaartmaatschappijen zo afhankelijk zijn van een vliegtuigbouwer zal Boeing er nauwelijks iets van merken. Te groot om om te vallen, marktwerking is totaal kapot in deze branche.
"Standaard in de luchtvaart is 3 sensoren voor 1 input zodat er 2 de juiste waarde geven als er een kapot is en je de kapotte dus kunt negeren. "

Er is geen standaard voor het aantal sensoren per instrument gedefinieerd in de vliegerarij, bijvoorbeeld de radio altimeters zijn dubbel uitgevoerd, de kunstmatige horizon zijn dubbel uitgevoerd, pitot buizen komen zelfs in 5 sets. Alleen in het avionics deel(feitelijke computer besturing) is een derde member als witness aanwezig om afwijking te detecteren t.o.v. van de andere members. Bij instrumenten met 2 sensoren moet beide waarden gewoon overéénkomen, is dit niet het geval en is één van de twee sensoren defect waardoor het te meten object teveel verschilt t.o.v. elkaar dan wordt automatisch dat mechanisme uitgeschakeld en een signalering gegeven, je hoeft hiervoor geen derde sensor te hebben, vergeet niet dat MCAS net als de Autopilot slechts ter ondersteuning van de piloot moet werken, als de poep de ventilator raakt is het de piloot die dan met de hand moet sturen om erger te voorkomen.
De crash van TK1951 had een andere oorzaak. Er zijn wel vaker vliegtuigen neergestort vanwege defecte sensoren, maar daarbij speelt altijd mee dat de piloten verkeerde beslissingen namen. Defecte sensoren, bijvoorbeeld doordat ze bevroren waren of verstopt zaten, speelden een rol bij AF447 (Rio - Parijs) en een vlucht van Dominicaanse republiek naar Frankfurt (een Boeing 757 van Birman Air volgens mij). In die gevallen had een oplettende (of kundige!) crew de crash kunnen voorkomen.

Bij de 737 Max werkt het MCAS anders. De piloten kunnen dat wel opheffen, maar dan moeten ze wel uberhaupt op de hoogte zijn van de aanwezigheid van het systeem en de werking. Maar bij de crash van Lion Air bleef het toestel z'n onverwachte en voor de piloten onbedoelde bewegingen herhalen.

[Reactie gewijzigd door Sunthon op 15 mei 2019 16:58]


Om te kunnen reageren moet je ingelogd zijn


OnePlus 7 Pro (8GB intern) Microsoft Xbox One S All-Digital Edition LG OLED C9 Google Pixel 3a XL FIFA 19 Samsung Galaxy S10 Sony PlayStation 5 Politiek en recht

Tweakers vormt samen met Tweakers Elect, Hardware.Info, Autotrack, Nationale Vacaturebank, Intermediair en Independer de Persgroep Online Services B.V.
Alle rechten voorbehouden © 1998 - 2019 Hosting door True