Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

'Boeing weigerde pilotenverzoek voor snelle fix na eerste 737 Max-crash'

Volgens The New York Times en CBS hebben piloten van American Airlines al in november vorig jaar tegen Boeing gezegd dat er snel een oplossing moet komen voor de veiligheidsproblemen met een softwaresysteem bij de 737 Max. Boeing zou dat hebben geweigerd.

CBS News heeft een video-item gepubliceerd met daarin verschillende audiofragmenten waarin is te horen dat piloten van American Airlines hun frustratie jegens Boeing uiten over de veiligheid van de 737 Max-vliegtuigen. Zo is onder meer te horen hoe een piloot van American Airlines tegen een Boeing-medewerker zegt dat 'we simpelweg verdienen te weten wat er op onze vliegtuigen zit'. De piloten tonen zich onder meer verontwaardigd over het feit dat het bestaan van het zogeheten MCAS pas kenbaar werd gemaakt na de eerste Lion Air-crash in oktober vorig jaar. "Deze gasten wisten niet eens dat het verdomde systeem op het vliegtuig zat en niemand anders wist dat." Daarmee refereren de aanwezige piloten waarschijnlijk aan de Lion Air-piloten die in oktober vorig jaar twaalf minuten na opstijgen niet konden voorkomen dat hun 737 Max 8-toestel in de Javazee stortte.

Boeing-onderdirecteur Mike Sinnett, die volgens CBS aanwezig was bij de ontmoeting met de piloten en niet wist dat zijn uitspraken werden opgenomen, stelde dat de Lion Air-crash een heel uitzonderlijk scenario was. "Ik weet niet of het begrijpen van dit systeem iets had veranderd aan de afloop. We proberen de piloten niet te overladen met informatie die onnodig is, zodat ze bekend zijn met de informatie waarvan wij denken dat die echt belangrijk is." De aanwezige piloten waren naar verluidt niet tevreden met dat antwoord. "Wij zijn de laatste verdedigingslijn voor een crash en we hebben die kennis nodig." Volgens The New York Times zei Sinnett ook nog tijdens de ontmoeting dat niemand vooralsnog heeft geconcludeerd dat het MCAS de enige oorzaak van de crash was. Boeing zou vervolgens hebben aangegeven met een fix te komen, maar het bedrijf wilde dat niet overhaast doen. Deze oplossing was nog altijd niet doorgevoerd toen in maart dit jaar het tweede toestel in Ethiopië crashte. Bij beide crashes samen kwamen 346 mensen om het leven.

Het zogeheten MCAS is hoogstwaarschijnlijk de boosdoener en de oorzaak waardoor in oktober vorig jaar een 737 Max van het Indonesische Lion Air en in maart dit jaar een zelfde type toestel van Ethiopian Airlines zijn neergestort. Definitieve, officiële eindonderzoeksresultaten moeten nog volgen, maar veel is al duidelijk. Boeing heeft het systeem geïntegreerd om een overtreksituatie te voorkomen en heeft het zo ingesteld dat de input afkomstig was van slechts een van de twee aanwezige invalshoeksensoren. Vermoedelijk door incorrecte data van deze sensor dacht het softwaresysteem dat er sprake was van een te grote invalshoek, en dus een situatie waarbij de neus te ver naar boven zou zijn gericht en dat als gevolg daarvan een overtreksituatie dreigde. Het systeem reageerde door de neus meer dan eens flink naar beneden te duwen, onder een hoek van maar liefst 45 graden. Een waarschuwingslampje dat kon aangeven dat bij de invalshoeksensoren afwijkende waardes werden geconstateerd, was optioneel en zat op geen van beide toestellen. Boeing gaat dat alsnog standaardiseren en komt binnenkort met een software-update die het systeem zodanig moet aanpassen dat dergelijke crashes tot het verleden behoren. Voorlopig staan alle types van dit toestel nog aan de grond.

Door Joris Jansen

Nieuwsredacteur

15-05-2019 • 16:27

169 Linkedin Google+

Reacties (169)

Wijzig sortering
Het is nog veel en veeeel erger, ze hebben het doelbewust gedaan, ik werk in de offshore, en daar is het gezegde bij kritieke veiligheidssystemen ''een sensor is geen sensor'', en dit geldt ook zeker in de luchtvaart.

Maar waarom heeft Boeing dan geen dubbele sensor gebruikt?
Omdat als ze dat hadden gedaan, dan was het systeem als een kritiek veiligheidssysteem bestempeld, en had er een dure en veel lange type goedkeuring moeten plaatsvinden waar ze geen tijd voor hadden, en nu konden ze net doen alsof het een niet kritiek hulp systeem was.

Waarom deed Boeing dan zo iets doms?, omdat de zelfde motor onder de 737 moesten hebben als die onder de Airbus A320 met zijn hoger geplaatste vleugels was ge-monteert, om competitief te zijn, de nu A320neo, waar ze wel prima onder paste zonder verdere wijzigingen aan het vliegtuig.

Waarom was dat zo een groot probleem?, een voorbeeld, het Amerikaanse Delta airlines had bij Airbus een order geplaatst van 100 A320neo's met een optie van nog een 100 stuks, en Delta was niet de enige die in de A320neo een veel beter alternatief voor de 737-800 zag.

Boeings oplossing, een belofte aan onder andere Delta, van een nieuwe 737 met de zelfde 14% meer efficiënte motoren als de A320neo, dan zou Boeing de order van de optie krijgen, als ze voor een bepaalde deadline konden leveren, en zonder noodzaak van dure omscholing, een korte AirPad cursus en hup je kan zo achter de knuppel van de Max.

Wat gebeurde er in de praktijk, engineering kregen onrealistische opdracht om de Max in de helft van de normale ontwikkelingstijd te ontwikkelen, met de huidige doden als gevolg, engineering personeel die bezwaar maakte kregen te horen dat ze konden kiezen, tussen door gaan of ontslag.

Verschillende van hun hebben ontslag genomen, en geklaagd bij de FAA, waar ze tegen dovemansoren aan liepen.

Maar het probleem met de Max is niet het enige probleem bij Boeing, die twee assemblage fabrieken heeft, een in Washington, waar prima vliegtuigen vandaan komen, en een nieuwere in het arme South Carolina waar de de kwaliteitscontrole gewoon ronduit slecht is en vliegtuigen in elkaar worden gezet die niet eens in de buurt komen van hun eigen spec's, waar zelfs het gemiddelde lager geschoolde personeel aan de assemblage lijn dat daar werkt zeggen, dat sinds ze daar werken minder vliegen omdat ze hun eigen product niet vertrouwen.

[Reactie gewijzigd door player-x op 15 mei 2019 21:15]

Omdat de FAA niet de menskracht heeft om alles meer zelf te controleren, is de afspraak dat Boeing kleine dingen mag checken en auditen, wat de FAA dan enkel steekproefgewijs checkt. (klasse 3, en klasse 2) Het ontworpen MCAS systeem (max 1,5 graad correctie per instance) viel in klasse 2, en dus was het intern goed gekeurd obv het ontwerp. Echter bleek tijdens proefvluchten dat het minimaal 2,5 graad moest worden. Dat is aangepast, maar daardoor het werd het een klasse 1 item, en had het bij de FAA gemeld moeten worden ter validatie. Dát is niet gebeurd, en vermoedelijk omdat voor een klasse 1 wijziging, veel meer training in de simulator nodig is, ergo een van de unique selling points, de goedkope transitie qua piloot bijscholing van een oude 737 naar een -max, ging daardoor grotendeels in rook op. Er was dus een perverse commerciële prikkel om dit zo te doen, en de te ver afgeslankte FAA was niet bij machte om dit voor te zijn.

Dit is wel een heel goed, in depth, artikel hierover.
Je stelt dat de kern van het probleem is, dat het MCAS systeem de "angle of attack" van het vliegtuig verder aan kon passen dan Boeing zelf mocht certificeren. Maar het falen was nog wel een tandje erger dan dat hoor.

Het MCAS systeem ging uit van de input van 1 van de willekeurige 2 sensoren voor het uitlezen van de "angle of attack" van het vliegtuig ("angle of attack" = de hoek van stijging of daling ten opzichte van de lucht stroom). Voor zo'n veiligheid kritische sensor input, moet je gebruik maken van een majority vote met ten minste 3 sensoren.

1 sensor stuk = hele grote kans op vliegtuigcrash. Dat kan echt nooit de bedoeling zijn hoe je het ook went of keert. Dit is wat mij betreft een nog veel grotere faal dan het maximaal aantal graden dat ingegrepen kan worden.

Verder was er een optie om in elk geval de "angle of attack" van de 2 aanwezige sensoren met elkaar te vergelijken en een waarschuwing te laten zien als de 2 "angle of attack" sensoren verschillende waardes meten. Maar die veiligheid kritische indicator werd als duurdere optie verkocht. Daarbij kwam het dus voor dat piloten geen waarschuwing zagen van verschillen in sensor waardes. De piloot kon er dan onterecht vanuit gaan dat de sensoren het "met elkaar eens waren", terwijl de werkelijke situatie was dat de "error message" (AOA disagree) niet ingekocht was als optie!! Het ene vliegtuig liet de error wel zien als er een fout was en het andere vliegtuig (zonder de optie) doet net of alles helemaal toppie is bij een sensor fout.

Los van dat alles is MCAS gewoon een vuile software patch om het vliegtuig aan te laten voelen als een ouder type. Daardoor was opnieuw certificeren van dit vliegtuig "niet nodig". Als MCAS om welke reden dan ook uitstond (of bij falen van 1 sensor juist bewust uitgeschakeld diende te worden) dan was de "software patch" ineens weg en vliegt de piloot ineens met een heel ander type vliegtuig waar hij niet op getraind is. Die situatie opzich is al helemaal van de pot gerukt, maar tot overmaat van ramp werd het bestaan van MCAS geheim gehouden voor piloten. Dus het vliegtuig kon "veranderen" van 737 naar een volledig nieuw type vliegtuig dat de piloten niet kenden, waar ze nog nooit op gevlogen hadden en waarvan ze niet eens wisten dat die "verandering" überhaupt bestond!!

En als deze hele lijst ongelofelijk fuckups nog niet genoeg is om je mond open te doen vallen: even het scenario voor het herstellen van een MCAS fout vanuit de piloot gezien. Grof geschetst:
1. Vliegtuig stijgt op.
2. Autopiloot en autothrottle staan allebei uit dus de piloten vliegen zelf. Autotrim en MCAS staan aan. Dit zorgt er in een normale situatie voor dat het trim-wiel in het midden van de cockpit af en toe wat beweegt om te compenseren.
3. MCAS sensor werkt niet goed, hiervan krijgt de piloot geen waarschuwing (hij weet niet eens dat MCAS bestaat). Het trim wiel begint 1 richting op (neus omlaag) te corrigeren. Dit uit zich in het kortstondig bewegen van het trimwiel. Iets dat in een normale situatie ook gebeurt. Wordt dus niet gemakkelijk herkent door de piloten als "iets raars".
4. Trimwiel blijft 5 seconden in dezelfde stand staan (MCAS grijpt in met 5 secondes interval).
5. Trimwiel begint weer kortstondig omlaag te corrigeren en neemt weer 5 seconden pauze en zo verder.
6. Piloten merken dat ze nu wel heel hard aan het stuurwiel moeten trekken om de neus nog omhoog te houden en vragen zich af wat er in godsnaam aan de hand is.
7. MCAS gaat ondertussen lekker verder met de neus verder omlaag trimmen om de 5 seconden.
8. Piloten moeten nu (terwijl ze met volle kracht aan het stuurwiel trekken om de neus omhoog te houden) een memorylist afgaan. Uit m'n hoofd: trek aan stuur, zet autopiloot uit, zet autothrottle uit, zet autotrim uit. Die laatste is essentieel. Piloten zetten autotrim uit en daarme kan MCAS niet verder ingrijpen om de situatie nog erger te maken. Sidenote: de piloten van de gecrashte Lion Air zijn zo ver niet eens gekomen. De neus van het vliegtuig was al zo ver omlaag gericht dat ze volledig in paniek waren voor ze überhaupt aan deze memory list toekwamen.

9. Nu komt de crux die de fuckup helemaal compleet maakt. De neus van het vliegtuig is nu waarschijnlijk omlaag gericht door overmatig omlaag trimmen van MCAS. De piloten trekken met volle kracht het stuur aan om de neus zoveel mogelijk omhoog te houden, maar kunnen de trim niet overwinnen. Om de trim weer "horizontaal" te maken, moeten ze met de hand trimmen. Zowel de piloot als de copiloot moeten daarvoor een fysieke hendel aan het trimwiel uitklappen en met z'n tweeën, met heel veel spier kracht het trimwiel heeeeel veel rondjes terug draaien. Hoe verder de neus van het vliegtuig omlaag gericht is, hoe onmogelijker het wordt: het trimwiel gaat op een gegeven moment gewoon te zwaar voor spierkracht.

Dus de piloten zijn waarschijnlijk redelijk in paniek, hebben al hun spierkracht nodig om het stuur naar zich toe te trekken en moeten dan ook nog eens enorm veel kracht zetten om het trimwiel tegelijk terug te draaien.

*facepalm*

Ik vind het eerlijk gezegd een wonder dat er überhaupt piloten zijn geweest die zich eruit gered hebben, toen MCAS nog bewust geheim gehouden werd.

Tot overmaat van ramp wordt dit nu door Boeing "gefixt" met een software patch en wat extra piloten training. Ik stap in elk geval nooit in m'n leven in een 737 MAX. Zoveel is mij wel duidelijk.

[Reactie gewijzigd door GeoBeo op 16 mei 2019 07:26]

Het had wel iets uit kunnen maken. MCAS duwt de neus omlaag gebruik makende van de input van één sensor. Dat wil niet zeggen dat de tweede sensor op dat moment niet meet.

Een waarschuwingslamp dat de twee sensoren afwijkende data terug geven zou piloten eerder kunnen doen beseffen dat ze moeten beginnen met de procedure om MCAS uit te schakelen. Dat laatste schijnt bij de tweede crash wel geprobeerd te zijn, maar pas te laat waardoor er geen redden meer aan was.

Het grote probleem is echter dat bij systemen die kritisch zijn voor de veiligheid een sensor in drievoud uitgevoerd moet zijn. Bij afwijkende waarden kun je altijd nog (relatief veilig) kiezen voor het gebruiken van de waarde die door de meerderheid van de sensoren gemeten is. Bij twee sensoren kan dat niet; je weet niet welke kapot is.

Het toevoegen van een derde sensor zou echter een wijziging aan de 737 betekenen, en Boeing wilde wijzigingen ten opzichte van het vorige model 737 absoluut minimaal houden. Hercertificering/training van personeel moest absoluut voorkomen worden omdat ze als de dood waren hiermee jaren aan tijd te verliezen, en de strijd met de A320 hiermee ook te gaan verliezen. De 737 Max moest perse als "minor" update aan het 737 model op de markt komen.

Als je het mij vraagt is dit echt misdadig; je hebt een tweetal sensoren op een toestel zitten waar niets mis mee is. De invalshoeksensoren zijn nooit gekoppeld geweest aan kritieke systemen; bij het koppele van MCAS aan die sensoren is er echter in één klap wel een kritiek systeem gekoppeld aan die sensoren waardoor ze absoluut in drievoud uitgevoerd hadden moeten worden.

De gehele introductie van de 737 Max, het introduceren van MCAS om de slechte/foute aerodynamica te verbergen en het vervolgens verbergen van MCAS in de instructieboeken is allemaal gedaan om één reden; geld. Mensenlevens zijn totaal uit het oog verloren tijdens dit hele proces; en het ergste van alles... omdat luchtvaartmaatschappijen zo afhankelijk zijn van een vliegtuigbouwer zal Boeing er nauwelijks iets van merken. Te groot om om te vallen, marktwerking is totaal kapot in deze branche.


Om te kunnen reageren moet je ingelogd zijn


OnePlus 7 Pro (8GB intern) Microsoft Xbox One S All-Digital Edition LG OLED C9 Google Pixel 3a XL FIFA 19 Samsung Galaxy S10 Sony PlayStation 5 Politiek en recht

Tweakers vormt samen met Tweakers Elect, Hardware.Info, Autotrack, Nationale Vacaturebank, Intermediair en Independer de Persgroep Online Services B.V.
Alle rechten voorbehouden © 1998 - 2019 Hosting door True