Wenn man bei solchen automatischen Systemen schon selbst nicht in der Lage ist sie vernünftig zu entwickeln, dann empfiehlt sich der Blick zur Konkurrenz. Mir ist kein anderer Hersteller bekannt der elementare Automatiksysteme der Flugsteuerung mit nur einem Sensor ohne Redundanz versorgt. Es immer wieder von Boeing zu wiederholen macht es auch nicht besser.

Ist es ein derartiger Aufwand, ein System so zu programmieren, dass er zwei Sensoren gegeneinander vergleicht? Ansonsten kann ich mir nicht erklären, warum man nicht beide Sensoren nutzt, wenn man schon zwei zur Verfügung hat.

Es ist immer eine Frage der Zeit die Programmierer hat.
Ich erinnere mich dadran das die MAX die Testflüge zeitweise aussetzen musste.

Ich könnte mir vorstellen das damals die Probleme mit den Triebwerksgondeln festgestellt wurden und nun Quick & Dirty eine Lösung programiert wurde.

Dieser Beitrag wurde am 07.05.2019 17:13 Uhr bearbeitet.

Dass man nach so vielen Pannen dann eine solche Software überhaupt fliegen lässt, bedarf wirklich keiner weiteren Kommentare! – und das sind nicht die einzigen Fragen zu dem Thema Flugsteuerung der B737!

Die Frage 14 von AVHERALD ist schon sehr berechtigt und eine schlüssige Antwort darauf sollte es von Boeing schon schnellstens geben, was die da bei den anderen Abstützen gemacht haben und welche Funktion die Flugsteuerung da gespielt hat. Die Gründe für die Reaktion der MAK für die Rücknahme der Lufttüchtigkeitszeugnisses der B737 waren sicher begründet und berechtigt!!!. – Keine Antwort von Boeing ist auch eine Antwort –


14 - Russia's MAK revoked the certificate of airworthiness for the entire 737 family (from 737-100 to 737-900) three years ago claiming they found an issue in the pitch/altitude control system of the aircraft (suggesting that at least the Tatarstan crash in Kazan as well as the Flydubai crash in Rostov may have been the result of that weakness) but did not receive a satisfactory response by the FAA and Boeing, also see News: Russia suspends airworthiness certification for Boeing 737s, but does not prohibit operation of 737s. What was the issue they found?

 http://avherald.com/h?article=4c534c4a/0052&opt=0



AvHerald: "Russia suspends airworthiness certification for Boeing 737s, but does not prohibit operation of 737s"


Russia's Interstate Aviation Committee (MAK), equipped with this power by Russia's Ministry of Transport (Rostransnadzor) and Russia's Civil Aviation Authority (Rosaviatsia), have decided to suspend the airworthiness certification of the Boeing 737 family stating that deficiencies in the aircraft's elevator system need to be addressed before safe continuation of operation can be ensured.

The MAK argues that on Oct 9th 2015, after receiving according requests by Rosaviatsia, the MAK sent out inquiries to the FAA, the reply from the FAA received by Oct 27th 2015 however was not able to remove doubts on the safe operation of the elevator system of the Boeing 737 family.

Link:  http://avherald.com/h?article=48ee3567



Ob das der Hintergrund der Aussage war, dass Boeing seit 2017 von Problemen gewusst haben will?
Alle diese 737-Flieger sind ungespitzt in den Boden eingeschlagen!


AvHerald: "UTAir B735 at Moscow on Oct 13th 2017, loss of control recovered"


On Nov 1st 2017 The Aviation Herald received information suggesting the occurrence has been rated a serious incident and is being investigated by the Civil Aviation Authority (Rosaviatsia). The (originally Russian) statement reads in part: "In the course of flight data analysis it was recorded that the aircraft has been hit in a complex spatial situation accompanied by a significant loss of speed and altitude. The achieved pitch and roll angles are not characteristic for normal operation." The information further says, that the Interstate Aviation Committee (MAK) sees parallels to the crashes in Perm, see Crash: Aeroflot-Nord B735 at Perm on Sep 14th 2008, impacted ground while on approach to Perm, Kazan, see Crash: Tatarstan B735 at Kazan on Nov 17th 2013, crashed on go-around, and Rostov, see Crash: Flydubai B738 at Rostov on Don on Mar 19th 2016, lost height on go around after stabilizer moved nose down following holding for 2 hours.

Link:  http://avherald.com/h?article=4b01e302


Dieser Beitrag wurde am 07.05.2019 17:21 Uhr bearbeitet.

AoA-Sensoren sind prinzipbedingt nicht 100% zuverlässige Datengeber; dass die im Flug immer mal wieder versagen ist nichts neues (passierte bei Airbus auch schon diverse Male). Ein mechanischer Sensor, dessen Funktion von seiner Freigängigkeit abhängig ist, und auch noch heftigen Umwelteinflüssen ausgesetzt ist (extreme Temperaturschwankungen, Staub, Insekten, Niederschlag, ... vom hohen Anströmdruck im Flug mal ganz zu schweigen) kann jederzeit durch externe Beeinträchtigung den Geist aufgeben. Dazu kommt noch, dass die Sensoren so angebracht sind, dass Piloten sie beim Walkaround nicht auf Freigängigkeit prüfen können - nur gucken, nicht anfassen (zumindest ohne Steighilfe). So etwas darf einfach nicht zum Single Point of Failure gemacht werden.

@Deamotron

Gebe ihnen hier absolut recht und das betrifft nicht nur AoA-Sensoren sondern den grundsätzlichen Umgang mit Themen, die Sicherheitsrelevant werden können.

Bei dem Spielchen von Boeing handelt es sich ausschließlich um Rettungsversuche von Managern, Politikern, Beamten und Juristen, die allen Sand in die Augen blasen wollen, um das Maximum am grünen Tisch für Boeing und ihre Köpfe noch heraus zu holen.
Jeder, der mit Sensorik und sicherheitsrelvanten Anwendungen zu tun hat weiss genau, wie man mit Ausfällen und den Risiken umzugehen hat und wie dann die Sicherheitseinrichtungen und Programmierungen auszusehen haben! (Auch warum die Industrieroboter noch immer in Käfige kommen!)
Das, was Boeing und die FAA hier abgeliefert haben und wie sie sich aufführen, ist ein absolutes NOGO!

Aber das versteht man vielleicht erst, wenn man mal mit den richtigen Programmierern zusammenarbeiten konnte, die im Luftfahrt, Atomkraftwerks, Verkehrsbereich, etc. zu finden sind.
Diese erfahrenen Programmier denken vollkommen anders, als das, was man heute auf dem übrigen Markt und an der Uni finden kann!
Da hat sich wohl Boeing irgendwas billig eingekauft und nie richtig geprüft!


AoA-Sensoren sind prinzipbedingt nicht 100% zuverlässige Datengeber; dass die im Flug immer mal wieder versagen ist nichts neues (passierte bei Airbus auch schon diverse Male). Ein mechanischer Sensor, dessen Funktion von seiner Freigängigkeit abhängig ist, und auch noch heftigen Umwelteinflüssen ausgesetzt ist (extreme Temperaturschwankungen, Staub, Insekten, Niederschlag, ... vom hohen Anströmdruck im Flug mal ganz zu schweigen) kann jederzeit durch externe Beeinträchtigung den Geist aufgeben. Dazu kommt noch, dass die Sensoren so angebracht sind, dass Piloten sie beim Walkaround nicht auf Freigängigkeit prüfen können - nur gucken, nicht anfassen (zumindest ohne Steighilfe). So etwas darf einfach nicht zum Single Point of Failure gemacht werden.

Dieser Beitrag wurde am 08.05.2019 14:49 Uhr bearbeitet.

"doppelte Schutzfunktion durch das Auslesen der Daten des zweiten Sensors." Das wäre doch nur eine Schutzfunktion, eine doppelte Schutzfunktion wäre ein dritter Sensor. Das gleiche beim Höhenmesser, der Computer weiß zwar, dass die Sensoren unterschiedliche Daten liefern, aber nicht welcher Sensor die Richtigen liefert.

"doppelte Schutzfunktion durch das Auslesen der Daten des zweiten Sensors." Das wäre doch nur eine Schutzfunktion, eine doppelte Schutzfunktion wäre ein dritter Sensor. Das gleiche beim Höhenmesser, der Computer weiß zwar, dass die Sensoren unterschiedliche Daten liefern, aber nicht welcher Sensor die Richtigen liefert.

Nein nicht erst dann, denn wenn es Abweichungen gibt, muß das angezeigt werden optisch/akustisch und ein dahintersteckender Automatismus darf nicht eingreifen. Also müssen dann die Piloten wieder selbst fliegen und nicht der AP/AT. Auch bei 3 Sensoren kann es zu Fehlern kommen, siehe LH Bilbao.

Dieser Beitrag wurde am 08.05.2019 18:25 Uhr bearbeitet.

Es kann auch zu Fehlern bei n Sensoren kommen (n>0)!
Das kann aber kein Grund dafür sein, dass man einen Sensor einfach für MCAS nicht nutzt.
Dazu müsste sich Boeing erklärt haben. Wenn nicht, hat die FAA oder Boeing als Aufsichtsorganisation versagt. Offenbar ist eine Fehler des AoA-Sensors nicht vorgesehen.
Diesen Fehler kann man ober per Software ausbügeln.

Kritischer sind aber die Höhenflossentrimmmechanismen. Die manuelle Trimmung ist im Vergleich zur maschinelle Trimmung viel zu schwach und langsam. Wenn das Flugzeug vertrimmt ist und die Trimmung nur manuell korrigierbar ist, dann ist der Flieger in Gefahr,

Beide Probleme sind bekannt.....

"doppelte Schutzfunktion durch das Auslesen der Daten des zweiten Sensors." Das wäre doch nur eine Schutzfunktion, eine doppelte Schutzfunktion wäre ein dritter Sensor. Das gleiche beim Höhenmesser, der Computer weiß zwar, dass die Sensoren unterschiedliche Daten liefern, aber nicht welcher Sensor die Richtigen liefert.

Nein nicht erst dann, denn wenn es Abweichungen gibt, muß das angezeigt werden optisch/akustisch und ein dahintersteckender Automatismus darf nicht eingreifen. Also müssen dann die Piloten wieder selbst fliegen und nicht der AP/AT. Auch bei 3 Sensoren kann es zu Fehlern kommen, siehe LH Bilbao.
Wenn Sie mir jetzt noch erklären können was am Auslesen des 2. Sensors doppelt abgesichert ist?! Durchs das Auslesen des 2.Sensors entsteht doch erst eine Schutzfunktion, damit man überhaupt realisieren kann, dass ein Sensor von beiden falsche Daten liefert. Was ist doppelt geschützt?

Es ergibt sicherlich Sinn, wenn man die Daten der 2 AoA-Sensoren vergleicht und bei Abweichungen eine Warnung auslöst und MCAS deaktiviert. Die Frage die ich mir dabei dann stelle ist, wenn der Flieger MCAS braucht um in allen Fluglagen stabil zu bleiben, dann kann dieses Softwareupdate alleine nicht ausreichend sein. Man behebt ein Problem und schafft dadurch ein Neues durch potentiellen Stall. Dieses spezielle Phänomen hängt mit dem Design der 737 MAX zusammen.

Meinungen?

Boeing hatte ursprünglich für das MCAS deutlich weniger Trimmweg vorgesehen - ich meine, es waren 0,3° pro Betätigung. Man hat darauf aufbauend eine Sicherheitsanalyse vorgenommen, bei der die "Gefährlichkeit" bei einem Ausfall als nicht so hoch eingestuft wurde. Bei dieser Fehlerkategorie ist es zulässig, nur einen AoA-Sensor zu nehmen - was Boeing dann auch gemacht hat.
Während der Flugerprobung wurde aber festgestellt, dass der MCAS-Eingriff im Stall-Fall zu gering ist, um diesen zu verhindern. Man hatte daraufhin den Eingriff des MCAS deutlich auf die aktuellen 2,5° erhöht. Allerdings hat man keine erneute Sicherheitsbewertung vorgenommen - ob aus Schlamperei oder Druck von oben wird aktuell ermittelt. Der FAA hätte es auffallen müssen - warum das nicht geschehen ist, wird auch gerade ermittelt.
Das Systeme in die Flugsteuerung eingreifen ist alltäglich und Boeing ist da nicht besser oder schlechter als andere Hersteller. Gerade bei den Arbeitspferden 737 und A320 gibt es eine lange Historie von Fehlern, die man mit der Zeit korrigiert hat, weil man sich den Fehlerfall nicht vorstellen konnte. Das geht vom Rudder Hardover der 737 in den 90ern wegen eines defekten Ventils bis zu nicht aktivierten Spoilern beim A320 in Warschau.
Leider kann man nicht alle Fälle vorhersehen.
Was bei Boeing zusätzlich nicht gut gelaufen ist, ist das Vertuschen und Schönreden des Problems. Vielleicht hätte eine offensivere Herangehensweise zumindest den letzten Unfall verhindert.

Es ergibt sicherlich Sinn, wenn man die Daten der 2 AoA-Sensoren vergleicht und bei Abweichungen eine Warnung auslöst und MCAS deaktiviert. Die Frage die ich mir dabei dann stelle ist, wenn der Flieger MCAS braucht um in allen Fluglagen stabil zu bleiben, dann kann dieses Softwareupdate alleine nicht ausreichend sein. Man behebt ein Problem und schafft dadurch ein Neues durch potentiellen Stall. Dieses spezielle Phänomen hängt mit dem Design der 737 MAX zusammen.

Meinungen?

>
So gut wie alle Hochdecker haben einen Stick-Pusher, der verhindert, dass das Höhenleitwerk beim Stall in den Windschatten des Flügels gerät und das Flugzeug so nicht mehr zu recovern ist. So ein System gibt es also schon sehr lange in anderen Flugzeugen.

Boeing hatte ursprünglich für das MCAS deutlich weniger Trimmweg vorgesehen - ich meine, es waren 0,3° pro Betätigung. Man hat darauf aufbauend eine Sicherheitsanalyse vorgenommen, bei der die "Gefährlichkeit" bei einem Ausfall als nicht so hoch eingestuft wurde. Bei dieser Fehlerkategorie ist es zulässig, nur einen AoA-Sensor zu nehmen - was Boeing dann auch gemacht hat.

Wo und durch wen sind denn die Fehlerkategorien definiert worden, die bei niedriger Einstufung eine Single-Sensor-Source für Eingriffen in die Flugsteuerung erlauben sollen?

Während der Flugerprobung wurde aber festgestellt, dass der MCAS-Eingriff im Stall-Fall zu gering ist, um diesen zu verhindern. Man hatte daraufhin den Eingriff des MCAS deutlich auf die aktuellen 2,5° erhöht. Allerdings hat man keine erneute Sicherheitsbewertung vorgenommen - ob aus Schlamperei oder Druck von oben wird aktuell ermittelt. Der FAA hätte es auffallen müssen - warum das nicht geschehen ist, wird auch gerade ermittelt.

Das würde bedeuten, dass Boeing die Stärke des Eingriffs jetzt aber nicht zurücknehmen kann. Dies wurde allerdings doch als Teil des Software-Fixes angekündigt. Wie passt das zusammen?

Das Systeme in die Flugsteuerung eingreifen ist alltäglich und Boeing ist da nicht besser oder schlechter als andere Hersteller. Gerade bei den Arbeitspferden 737 und A320 gibt es eine lange Historie von Fehlern, die man mit der Zeit korrigiert hat, weil man sich den Fehlerfall nicht vorstellen konnte. Das geht vom Rudder Hardover der 737 in den 90ern wegen eines defekten Ventils bis zu nicht aktivierten Spoilern beim A320 in Warschau.

Ganz vergleichbar sind die Fälle jedoch nicht. Das MCAS hat in Unkenntnis der Piloten über dessen Wirkungsweise das Flugzeug aus einer stabilen Flugsituation aktiv und gegen Piloteneingaben zum Absturz gebracht. Das war beim A320 in Warschau so nicht der Fall. Die Opferzahlen sind dementsprechend auch verschieden.

Boeing hatte ursprünglich für das MCAS deutlich weniger Trimmweg vorgesehen - ich meine, es waren 0,3° pro Betätigung. Man hat darauf aufbauend eine Sicherheitsanalyse vorgenommen, bei der die "Gefährlichkeit" bei einem Ausfall als nicht so hoch eingestuft wurde. Bei dieser Fehlerkategorie ist es zulässig, nur einen AoA-Sensor zu nehmen - was Boeing dann auch gemacht hat.

Wo und durch wen sind denn die Fehlerkategorien definiert worden, die bei niedriger Einstufung eine Single-Sensor-Source für Eingriffen in die Flugsteuerung erlauben sollen?

Bei Leeham oder Seattletimes war zu lesen, dass die FAA das so geregelt hat, mit den 0,2°.

Während der Flugerprobung wurde aber festgestellt, dass der MCAS-Eingriff im Stall-Fall zu gering ist, um diesen zu verhindern. Man hatte daraufhin den Eingriff des MCAS deutlich auf die aktuellen 2,5° erhöht. Allerdings hat man keine erneute Sicherheitsbewertung vorgenommen - ob aus Schlamperei oder Druck von oben wird aktuell ermittelt. Der FAA hätte es auffallen müssen - warum das nicht geschehen ist, wird auch gerade ermittelt.

Das würde bedeuten, dass Boeing die Stärke des Eingriffs jetzt aber nicht zurücknehmen kann. Dies wurde allerdings doch als Teil des Software-Fixes angekündigt. Wie passt das zusammen?

Lt. obiger Quellen war es wohl so, dass das System mehrmals die 2,5° fahren konnte weil jeweils neu gestartet wurde auch wenn bereits 3 oder 4 ° getrimmt wurden und damit beim 2. oder 3. mal das Limit überschritten wurde bei dem dann nicht mehr mit dem HR übersteuert werden konnte.


Die Arroganz von Boeing das MCAS zu verschweigen und dann auch noch einen immer möglichen Fehler eines AoA Sensors nicht unter zur Hilfenahme des ohnehin vorhandenen 2. AoA Sensors zu überwachen um ggfs. dann entsprechenden Konsequenzen zu ziehen: Alarm geben und MAC deaktivieren, ist im Grunde genommen unverzeihlich.

@ Martin 2021,
@Nasenbair hat es erklärt. Ein AoA hat keine Redundanz, Fehler kann nicht erkannt werden. 2 AoA sollen bei Differenzen (> 1° zB.) Alarm geben und dann keine Computereingriffe mehr erlauben. Dann sind die Piloten gewarnt und müssen das tun was sie können sollten, von Hand fliegen. Das ist dann die Sicherheit.

Dieser Beitrag wurde am 09.05.2019 15:34 Uhr bearbeitet.