Wo und durch wen sind denn die Fehlerkategorien definiert worden, die bei niedriger Einstufung eine Single-Sensor-Source für Eingriffen in die Flugsteuerung erlauben sollen?

Das machte Boeing im Rahmen des Zulassungsprogramms.


Das würde bedeuten, dass Boeing die Stärke des Eingriffs jetzt aber nicht zurücknehmen kann. Dies wurde allerdings doch als Teil des Software-Fixes angekündigt. Wie passt das zusammen?

Ich kenne die Details zu den Software-Fixes leider nicht. Auf jeden Fall wird das MCAS bei AoA disagree deaktiviert.

Das Systeme in die Flugsteuerung eingreifen ist alltäglich und Boeing ist da nicht besser oder schlechter als andere Hersteller. Gerade bei den Arbeitspferden 737 und A320 gibt es eine lange Historie von Fehlern, die man mit der Zeit korrigiert hat, weil man sich den Fehlerfall nicht vorstellen konnte. Das geht vom Rudder Hardover der 737 in den 90ern wegen eines defekten Ventils bis zu nicht aktivierten Spoilern beim A320 in Warschau.

Ganz vergleichbar sind die Fälle jedoch nicht. Das MCAS hat in Unkenntnis der Piloten über dessen Wirkungsweise das Flugzeug aus einer stabilen Flugsituation aktiv und gegen Piloteneingaben zum Absturz gebracht. Das war beim A320 in Warschau so nicht der Fall. Die Opferzahlen sind dementsprechend auch verschieden.


Es gibt bei beiden Herstellern genügend Beispiele, z.B.  Aviation Herald
oder  Aviation Herald 2

Dieser Beitrag wurde am 09.05.2019 15:39 Uhr bearbeitet.

Boeing hatte ursprünglich für das MCAS deutlich weniger Trimmweg vorgesehen - ich meine, es waren 0,3° pro Betätigung. Man hat darauf aufbauend eine Sicherheitsanalyse vorgenommen, bei der die "Gefährlichkeit" bei einem Ausfall als nicht so hoch eingestuft wurde. Bei dieser Fehlerkategorie ist es zulässig, nur einen AoA-Sensor zu nehmen - was Boeing dann auch gemacht hat.

Wo und durch wen sind denn die Fehlerkategorien definiert worden, die bei niedriger Einstufung eine Single-Sensor-Source für Eingriffen in die Flugsteuerung erlauben sollen?

Bei Leeham oder Seattletimes war zu lesen, dass die FAA das so geregelt hat, mit den 0,2°.

Während der Flugerprobung wurde aber festgestellt, dass der MCAS-Eingriff im Stall-Fall zu gering ist, um diesen zu verhindern. Man hatte daraufhin den Eingriff des MCAS deutlich auf die aktuellen 2,5° erhöht. Allerdings hat man keine erneute Sicherheitsbewertung vorgenommen - ob aus Schlamperei oder Druck von oben wird aktuell ermittelt. Der FAA hätte es auffallen müssen - warum das nicht geschehen ist, wird auch gerade ermittelt.

Das würde bedeuten, dass Boeing die Stärke des Eingriffs jetzt aber nicht zurücknehmen kann. Dies wurde allerdings doch als Teil des Software-Fixes angekündigt. Wie passt das zusammen?

Lt. obiger Quellen war es wohl so, dass das System mehrmals die 2,5° fahren konnte weil jeweils neu gestartet wurde auch wenn bereits 3 oder 4 ° getrimmt wurden und damit beim 2. oder 3. mal das Limit überschritten wurde bei dem dann nicht mehr mit dem HR übersteuert werden konnte.


Die Arroganz von Boeing das MCAS zu verschweigen und dann auch noch einen immer möglichen Fehler eines AoA Sensors nicht unter zur Hilfenahme des ohnehin vorhandenen 2. AoA Sensors zu überwachen um ggfs. dann entsprechenden Konsequenzen zu ziehen: Alarm geben und MAC deaktivieren, ist im Grunde genommen unverzeihlich.

@ Martin 2021,
@Nasenbair hat es erklärt. Ein AoA hat keine Redundanz, Fehler kann nicht erkannt werden. 2 AoA sollen bei Differenzen (> 1° zB.) Alarm geben und dann keine Computereingriffe mehr erlauben. Dann sind die Piloten gewarnt und müssen das tun was sie können sollten, von Hand fliegen. Das ist dann die Sicherheit.

Genau, das ist die Sicherheit. Im Text steht aber "doppelte Absicherung" und das hat @Nasenbair nicht erklärt. Klar wird es so socherer, aber doch keine doppelte Absicherung. Nur doppelte Datenmessung.

Mir geht es darum: Boeing baut MCAS ein wegen der erhöhten Neigung der Max zum Stall bei hohem AoA. Jetzt wird MCAS statt von einem AoA-Sensor von 2 gespeist und wenn einer ausfallen sollte dann schaltet sich MCAS ab. Dies ist soweit sinnvoll, aber was ist dann jetzt mit dem Schutz vor Strömungsabriss bei hohem Anstellwinkel? Wie kann die MAX jetzt eine Zulassung bekommen wenn MCAS für die Sicherheit (und Zulassung) nötig war/ist aber nun nicht in jedem Fall verfügbar ist? Finde die Problemlösung in dem Fall nicht schlüssig.

Wo und durch wen sind denn die Fehlerkategorien definiert worden, die bei niedriger Einstufung eine Single-Sensor-Source für Eingriffen in die Flugsteuerung erlauben sollen?

Das machte Boeing im Rahmen des Zulassungsprogramms.

Das wäre ganz schlecht wenn dies eine Boeing-eigene Spezifikation wäre, weil dann dies ein Stück Inkompetenz seitens Boeing nahelegen würde. Daran glaube ich aber nicht. Die Definition solcher Fehlerkategorien nebst Kriterien und Auswirkungen sollten einem internationalen Standard folgen und das wäre bei solchen Themen üblich. Denn nur dies würde es auch den Zertifizierungsbehörden erlauben, vergleichbare Standards an verschiedenen Flugzeugtypen anzulegen.

Also: liegt dem ein internationaler Standard zugrunde? Wenn nein, dann würde es zumindest erklären, warum Airbus die Daten 3er AOA-sensoren heranzieht und nicht nur einen Einzelnen...

Das Systeme in die Flugsteuerung eingreifen ist alltäglich und Boeing ist da nicht besser oder schlechter als andere Hersteller. Gerade bei den Arbeitspferden 737 und A320 gibt es eine lange Historie von Fehlern, die man mit der Zeit korrigiert hat, weil man sich den Fehlerfall nicht vorstellen konnte. Das geht vom Rudder Hardover der 737 in den 90ern wegen eines defekten Ventils bis zu nicht aktivierten Spoilern beim A320 in Warschau.

Ganz vergleichbar sind die Fälle jedoch nicht. Das MCAS hat in Unkenntnis der Piloten über dessen Wirkungsweise das Flugzeug aus einer stabilen Flugsituation aktiv und gegen Piloteneingaben zum Absturz gebracht. Das war beim A320 in Warschau so nicht der Fall. Die Opferzahlen sind dementsprechend auch verschieden.


Es gibt bei beiden Herstellern genügend Beispiele, z.B.  Aviation Herald
oder  Aviation Herald 2

Im beiden Fällen war es den Piloten aber möglich, das Verhalten zu übersteuern und die Piloten hatten jederzeit die Kontrolle, was bei den 737 Max Crashes aber 2x erfolglos blieb. Ursache war hier auch bei beiden Vorkommnissen kein grundlegender Designfehler, sondern ein fehlerhaft arbeitende Devices, die dann ausgetauscht wurden.

 https://www.youtube.com/watch?v=9GFL8ZZQOts

Danke für den Link!

Die Interviewten gehen nicht zimperlich mit Boeing um und sprechen die AoA Probleme an. Selbst Testpiloten wussten scheinbar nicht was zu testen ist.

Selbst der frühere NTSB Direktor spricht über eine lange Zeit bis die 737 wieder außerhalb der USA zum Einsatz kommt.
Dann baut man wohl im Moment auf Halde für Southwest u.a. wenn denn tatsächlich am Design nichts mehr geändert werden soll.

Ich hatte somit im vergangenen Jahr meinen letzten Flug in dieser Angströhre.

Mir geht es darum: Boeing baut MCAS ein wegen der erhöhten Neigung der Max zum Stall bei hohem AoA. Jetzt wird MCAS statt von einem AoA-Sensor von 2 gespeist und wenn einer ausfallen sollte dann schaltet sich MCAS ab. Dies ist soweit sinnvoll, aber was ist dann jetzt mit dem Schutz vor Strömungsabriss bei hohem Anstellwinkel? Wie kann die MAX jetzt eine Zulassung bekommen wenn MCAS für die Sicherheit (und Zulassung) nötig war/ist aber nun nicht in jedem Fall verfügbar ist? Finde die Problemlösung in dem Fall nicht schlüssig.

Mit MCAS ergibt sich das gleiche Flugverhalten wie bei der NG. Das sich verstärkende pitch up Moment bei schnellem pitch up Kommando bis an die Anstellwinkelgrenze kann genau so vom Piloten weg gedrückt werden - wenn die Piloten um diese Sensivität wissen und entsprechend geschult sind. Oder sie beachten mehr die Annäherung an alpha max.