Doppelkammerfederbeine wie sie heute auf allen A320 Standard sind, waren damals optional und bei LH nicht eingebaut.

Stimmt leider nicht. Das Doppelkammerfederbein hat die A320 von Anfang an.
Ist ja sowieso etwas "Off-Topic". Trotzdem, der Unfall in Warschau war vor etwa 25 Jahren. Damals war Doppelkammerfederbein aufpreispflichtiges Zubehör. Die ersten LH Flugzeuge hatten es nicht eingebaut. Die bereits ausgelieferten Flieger wurden später nach und nach modifiziert. Irgendwann hatten es alle dann bereits ab Werk.

Mich beschleicht das Gefühl, das Boeing von der CPU Überlastung wusste und deswegen nur einen Sensor berücksichtigt hat um Überlastung zu vermeiden. Das wird schon bei den ersten Test aufgefallen sein. Mit Prüfung auf Plausabilität von zwei Sensoren reichte eine einfache CPU nicht mehr die auch noch in Echtzeit Steuerbefehle bearbeitet und selbst Eingriffe vornimmt. Da sind wir schnell an der Hardwaregrenze.

Aus meiner Sicht ist damit Bewiesen, das Boeing genau wusste was es machte und warum nicht.

Damit ist die 737Max komplett durch.

Wow, ist Ihnen klar, was das hieße, wenn es tatsächlich so wäre? Boeing hätte vorsätzlichen Mord begangen. Könnten Sie sich das auch vorstellen? Ich nicht wirklich, denn trotz allem unterstelle ich den Entwicklern bei Boeing doch noch einen Sinn zur Sicherheit.

Aber wieso nimmt man nicht zwei oder drei CPUs (also pro Sensor eine) und läßt sie parallel rechnen? Klar teurer, längere Entwicklung, etc., aber eben sicher. Also technisch wäre für mich das Problem der Verarbeitung großer Datenmengen durchaus machbar. Immerhin knackt man auf diese Weise auch eine Verschlüsselung von Daten.

Mich beschleicht das Gefühl, das Boeing von der CPU Überlastung wusste und deswegen nur einen Sensor berücksichtigt hat um Überlastung zu vermeiden. Das wird schon bei den ersten Test aufgefallen sein. Mit Prüfung auf Plausabilität von zwei Sensoren reichte eine einfache CPU nicht mehr die auch noch in Echtzeit Steuerbefehle bearbeitet und selbst Eingriffe vornimmt. Da sind wir schnell an der Hardwaregrenze.

Aus meiner Sicht ist damit Bewiesen, das Boeing genau wusste was es machte und warum nicht.

Damit ist die 737Max komplett durch.

Wow, ist Ihnen klar, was das hieße, wenn es tatsächlich so wäre? Boeing hätte vorsätzlichen Mord begangen. Könnten Sie sich das auch vorstellen? Ich nicht wirklich, denn trotz allem unterstelle ich den Entwicklern bei Boeing doch noch einen Sinn zur Sicherheit.

Aber wieso nimmt man nicht zwei oder drei CPUs (also pro Sensor eine) und läßt sie parallel rechnen? Klar teurer, längere Entwicklung, etc., aber eben sicher. Also technisch wäre für mich das Problem der Verarbeitung großer Datenmengen durchaus machbar. Immerhin knackt man auf diese Weise auch eine Verschlüsselung von Daten.


Aber nur das macht als ganzes auch Sinn. Die Frage stand doch von Beginn an im Raum warum nur ein Sensor Ausgelesen wurde. Eine Gegenprüfung der Daten erfordert Zeit, Rechenzeit. Das Problem, die MAX hat nicht die Zeit. Siehe News. Es droht wegen der Lags ein Zustand der selbst für Testpiloten kritisch ist innerhalb von Sekunden und zur Luftlage führt die nicht kompensiert werden kann.
Also MCAS gemacht aber damit es keine Lags gibt nur ein Sensor. Boeing weiß um die Redunanz aller Systeme. Aber, es hat trotzdem nur ein Sensor genutzt. Warum? Sie müssen gewusst haben das die CPU das nicht schafft. Es wurde abgewogen zwischen einer CPU die oft Lags hat bei Prüfung der Sensordaten oder eine CPU die es schafft wo aber der Sensor falsche Daten liefert oder es zur falschen Übermittlung dessen kommt wo aber Piloten laut Boeing nach bekannten Listen den Zustand normal abfangen können.
Problem gelöst. Boeing nahm statt mehr CPU Power, wohl noch mehr Platz und Kühlung erforderlich, vermutlich nochmals Anpassung der Software und der Hardware an eine komplett neue CPU mit der ganzen Verzögerung dann die günstigere Lösung. Nur hat Boeing nicht wissen können das ihre Notfall Protokolle versagen werden da beim MCAS nich mehr falsch läuft und statt 0,6° die 2,5° genommen wurde und keiner mehr genau wusste was nun MCAS wie genau macht.

Nur das ergibt Sinn und nur darum hat Boeing auf seine Check Listen in diesen Luftnotlagen so beharlich und strikt hingewisen wie sie es gemacht haben. Sie wussten und wissen es warum da nur ein Sensor dran hing.

Sie haben diese Möglichkeiten als sehr gering eingeschätzt und auf die Checklisten vertraut wenn es doch passiert. Darum wusste Boeing ganz schnell auch was da passierte. Auch das Verhalten macht nun komplett einen Sinn. Die wissen schon um das was sie da bauen.

Es wurde abgewogen zwischen einer CPU die oft Lags hat bei Prüfung der Sensordaten oder eine CPU die es schafft

Das halte ich jetzt für sehr unwahrscheinlich.
Selbst im Embedded Bereich werden heute CPUs verbaut, die den Abgleich von Sensordaten quasi nebenbei erledigen würden.
Lags in einem Echtzeitsystem sind idR auf Programmierfehler zurückzuführen.
MCAS war sogar ursprünglich als Multi-Sensor System geplant. Zusätzlich zum AoA Sensor hätte noch ein Beschleunigungssensor ausgelesen werden sollen, so dass MCAS nur in ganz begrenzten Fällen überhaupt aktiviert worden wäre.
Erst ein später Design-Change hat den 2. Sensor gestrichen und MCAS von einem Exception-System in eine Dauer-System umgewandelt.
Zu diesem Zeitpunkt fehlte vermutlich aber bereits die Verkabelung zum 2. AoA Sensor oder Anschlüsse am Gerät um wieder Redundanz herstellen zu können.

Bzw. das billig genug zu tun ....



Dieser Beitrag wurde am 29.06.2019 09:17 Uhr bearbeitet.

Zu diesem Zeitpunkt fehlte vermutlich aber bereits die Verkabelung zum 2. AoA Sensor oder Anschlüsse am Gerät um wieder Redundanz herstellen zu können.


So wie ich es bisher verstand, ist MCAS in den beiden Flightcomputers implementiert. Jeder FC greift nur auf seinen eigenen AOA-Sensor zu. Es ist aber immer nur einer aktiv, wechsel nach jedem Aircraft Einschaltvorgang.
Somit bestünde eine Verbindung von MCAS zu beiden AOA-Sensoren. Allerdings findet kein Datenvergleich statt.
Man möge mich gerne berichtigen.

Die Frage nach dem Grund warum man nur einen Sensor benutzt hat, die stell ich mir seit es bekannt geworden ist.
War eine der ersten Dinge die man an der Uni gelernt hat - Redundanz und Sicherheit.

Ich finde keine logische Erklärung, nur die daten eines sensors zu nehmen.
Vorsätzlich hat das keiner gemacht, und jeder halbwegs moderne CPU ist in der Lage in sekundenbruchteilen einen Datenvergleich durchzuführen.

Es kann nur an einem vollkommen aus dem Ruder gelaufenen Entwicklungsprozess gelegen haben.
Anders kann ich mir das nicht erklären

Ich finde keine logische Erklärung, nur die daten eines sensors zu nehmen.
Geht mir genauso ...
Und zusätzlich verstehe ich nicht, wie das MCAS System nach dem Design Change weiter als "nicht kritisch" eingestuft werden konnte, so dass die single-Sensor Lösung in Produktion ging.

Dieser Beitrag wurde am 29.06.2019 10:47 Uhr bearbeitet.

Die Diskussion auf pprune spricht von einem verbauten Prozessor aus dem Pentium 286, daher wohl die Lags mit allen Folgen. Ist das möglich?

Die Diskussion auf pprune spricht von einem verbauten Prozessor aus dem Pentium 286, daher wohl die Lags mit allen Folgen. Ist das möglich?

Das ist sogar höchstwahrscheinlich. Nur dürfen sie nicht die von Ihnen gekannte Leistung eine 286er Prozessors als Maßstab nehmen. Windows verbraucht einen Großteil der Rechenleistung der Prozessoren.

Ein 286er Prozessor mr einer guten Software ist mehr als ausreichend um solche Berechnungen zu machen.

Die A320 Familie setzt z.B.: auf 386er Prozessoren (ab der Enhanced) Die A330 auf 486er Architekturen usw.
Die A380 hat z.B.: Prozessoren aus der Generation vergleichbar dem Pentium 2 und diese werden in der Spitze nur zu etwa 20% ausgelastet.

Oder vielleicht noch eindrucksvoller, die Apollo Missionen wurden mit Fluglagecomputern gemacht die in etwa ein 50stel der Rechenleistung hatten, die heute in einem herkömmlichen wissenschaftlichen Taschenrechner zu finden ist.

Die Frage nach dem Grund warum man nur einen Sensor benutzt hat, die stell ich mir seit es bekannt geworden ist.
War eine der ersten Dinge die man an der Uni gelernt hat - Redundanz und Sicherheit.

Ich finde keine logische Erklärung, nur die daten eines sensors zu nehmen.
Vorsätzlich hat das keiner gemacht, und jeder halbwegs moderne CPU ist in der Lage in sekundenbruchteilen einen Datenvergleich durchzuführen.

Es kann nur an einem vollkommen aus dem Ruder gelaufenen Entwicklungsprozess gelegen haben.
Anders kann ich mir das nicht erklären

Was mache ich mit zwei unterschiedlichen AoA-Sensordatensätzen? MCAS muss reagieren! Wenn ich keinen dritten Datensatz bekomme (Ich will an sich aber nur einen fehlerfreien Datensatz haben). reicht auch einer, der vom linke AoA-Sensor. Was sagt der Auftraggeber? Mach mal, wir werden schon sehen...
Da hat wohl keiner die Verantwortung übernommen - man war nur verantwortlich gemacht worden.


Boeing sollte sich fragen, wie sichergestellt wird, dass ähnliche Fehlentscheidungen sich nicht bei 777x wiederholten bzw. wiederholt haben. Dank GE hat man etwas Zeit bekommen!

Dieser Beitrag wurde am 29.06.2019 12:18 Uhr bearbeitet.

@menschmeier
Danke für die Aufklärung

Was mache ich mit zwei unterschiedlichen AoA-Sensordatensätzen? MCAS muss reagieren! Wenn ich keinen dritten Datensatz bekomme (Ich will an sich aber nur einen fehlerfreien Datensatz haben). reicht auch einer, der vom linke AoA-Sensor.

Leider vollkommen falsche Schlußfolgerung. Wie eigentlich überall in der Luftfahrttechnik macht man immer das gleiche, wenn man keine aussreichende Sicherheit für fehlerfrei Daten hat, man schaltet das System ab oder in einen Fail-Safe Modus (z.B.: eingeschränkter ungefährlicher Regelbereich) und übergibt dem Piloten die Kontrolle.

Das zum Beispiel hat die A330 bei AF447 auch gemacht, als sie keine validen Geschwindigkeitsdaten hatte, sie hat den Autopiloten abgeschaltet und mit entsprechenden Meldungen die voll Kontrolle an die Piloten übergeben. (Leider haben diese falsch reagiert)

Somit wäre ein zweiter Sensor schon eine deutliche Verbesserung, denn sollte einer fehlerhaft sein, würde man die Abweichung erkennnen und könnte MCAS abschalten. Natürlich muss im Pilotentraining dann ein eventuell eingeschränkter Flugbereich unterwiesen werden um die Maschine nicht in die Bereiche zu fliegen, wo man MCAS braucht. MCAS ist ja nicht im gesamten Flugbereich von Nöten sondern nur an den Grenzen.

Ich habe das so verstanden, MCAS läuft immer mit, sollte ja keiner wissen. Aber, wird der AP abgschaltet, wird auch MCAS abgeschaltet. Und dann kommt die neue Aerodynamik ins Spiel, mit entspr. Folgen.

@menschmeier,

sollen dann nach dem Klappeneinfahren die Piloten diskutieren, welcher AoA-Sensor korrekt arbeitet? Ich unterstelle dabei, dass die AoA-Daten vernünftig präsentiert werden?

Was war die Vorgabe Seitens der Boeing-MA? Darum geht es mir. Falls MCAS nur im Hintergrund werkeln soll, reicht ein AoA-Sensordatum. Es muss nur immer korrekt sein.
Das war aber wohl nicht das Problem der MCAS-Leute.

Natürlich:
Der AoA fällt doch nicht vom Himmel. Daraus ergeben sich doch diverse Möglichkeiten. Allerdings kompliziert diese Vorgehensweise die Programmierung und den Testaufwand.
Oder man verzichtet auf MCAS und gibt den Piloten entsprechnde Warnhinweise. Dazu bedarf es entsprechender Schulung - wohl nur im 737MAX-Sim und nicht auf dem NG-Sim mit ipad auf dem Schoss...

Beim AF447 mussten die Piloten zu nächst gar nichts entscheiden/tun. Das Flugzeug hätte in etwa den Kurs gehalten und hätte langsam die Höhe verändert.
Beim Ausfall von MCAS nach dem Start muss sofort überprüft werden, ob der pitch nicht gesenkt werden kann und der Schub ausreichend ist.


Dieser Beitrag wurde am 29.06.2019 14:10 Uhr bearbeitet.

Auch da muss ich Ihnen wiedersprechen.

die Piloten brauchen den AoA überhaupt nicht zum Fliegen. In keinem Airbus und auch in kaum einer Boeing wird er überhaupt angezeigt. Somit gibt es da nix zu diskutieren.
Der AoA wird benötigt um die aus der IAS eine CAS (Calibrated Airspeed) zu berechnen, welceh dann dem Piloten anhezeigt wird und um die Stall Warnung zu generieren. Der Flugbereich ist aber nicht so klein, dass man diese unbedingt bräuchte um sicher zu fliegen, dazu reicht auch die reine IAS (also nicht Anströmwinkelkorrigiert) Es ist vollkommen egal, ob die dann 5kt mehr oder weniger ist.

Wenn ich jetzt mal einen rein erfundenen Flugbereich von 200kt bis 350kt annehme, dann muss ich als Pilot dann bei MCAS Abschaltung irgendwo in der Goldenen Mitte bleiben, die Klappen zur Landung etwas bedachteter setzen (nicht in etwa bei Max/Min Extension Speeds) usw. Dafür braucht es aber keinen AoA.

Wenn das System in Hintergrund arbeiten soll, dann muss es sich erst recht abschalten, wenn es fehlerhafte Daten vermuten muss, dann reicht unter gar keinen Umständen ein AoA. Denn AoA sind einfach nicht immer korrekt. Das ist technisch unmöglich.