Fehler im konzeptionellen Bereich mit einer solchen Tragweite werfen einen schlechten Blick auf die Entwicklungskompetenz bei Boeing - nicht unbedingt auf den Gesamtkonzern, aber auf die 737.

Natürlich passieren überall Fehler wo Menschen am Werk sind, aber das darf niemals als Feigenblatt oder zur Verharmlosung des Sachverhalts dienen. Bei der Entwicklung von sicherheitskritischen Systemen egal in welcher Industrie, wo es um Leben und Tod geht, bedarf es einer strikten Sicherheits- und Null-Fehler-Kultur. Und die gab es bei der 737 offensichtlich nicht - gedeckt durch die Konzernführung. Und das ist mehr als bedenklich.

Boeing wird das Problem zu 100% sicher fixen und die 737 MAX wieder in die Luft bringen. Damit ist aber der für eine kulturelle Änderung notwendige Mindset-Change, angefangen beim CEO, bei weitem noch nicht gemacht, der aber zur Vermeidung eines Wiederholungsfalles unabdingbar ist.
Als Beleg für Boeings falschen Mindset angefangen von ganz oben dient ganz klar der Fakt, dass Boeing unmittelbar nach dem LionAir Unfall die MCAS-Überarbeitung gestartet hatte (man war sich damals der Fehler offensichtlich schon bewusst), aber die 737 MAX damals noch nicht aus dem Verkehr gezogen hat. Eine Argumentation, die darauf beruht, bei einem Unfall sei das unüblich und unangemessen, sei entgegengestellt, das wenn man den technischen Fehler und deren Auswirkungen verstanden hat, dann m u s s man bereits nach einem Unfall das Flugzeug grounden, eben wenn man eine entsprechende ‚Safety first‘-Sicherheitskultur pflegt.

Mir ist bewusst, dass vielen mein Grundtenor mit zu viel ‚Bedenkenträgertum‘ einhergeht und ggf. sich zu Boeing-Negativ anhört. Aber denen sei gesagt: zum einen gehöre ich keinem der Fanclubs an und zudem es ist bewiesen, das eine fehlerhafte Technik nicht ausschließlich aber mit zu diesen 2 Unfällen beigetragen hat. Und das Versagen von Boeings Technik ist der Beleg, dass konzernintern irgendwas nicht stimmt. Und da Menschen dabei ihr Leben verloren haben, gibt es da nichts schönzureden, egal wie gut Boeings Flugzeuge in der Vergangenheit auch gewesen sein mögen.

Ich hoffe, dass neben Boeing auch Airbus sich diesen Fall zum Anlass nimmt, die eigene Sicherheitskultur nochmal auf den Prüfstand zu stellen. Denn wenn auch nicht vergleichbar, so war der AF447-Unfall auch nicht ganz astrein gewesen...

Dieser Beitrag wurde am 07.04.2019 14:56 Uhr bearbeitet.

@Weideblitz

Ich denke, wir sind da mit unseren Meinungen schon sehr eng beieinander.

M.M.n. fliegt die MAX in normalen Flugbereichen sicher, egal ob hier einige meinen das FW ist zu kurz und das TW zu weit vorne angehängt. Sicher, andere Aerodynamik, aber gefährlich? Ich denke nämlich nicht, dass Boeing hier schon ein gefährliches Flugzeug auf die Menschheit losgelassen hätte, Profit hin oder her.
Gefährlich ist es nun, teilweise sogar in einem eigentlich ungefährlichen Bereich, wegen dem, wie Sie richtig analysiert haben, konzeptionell unausgereiften MCAS.
Der ganze damit verbundene Rattenschwanz, den Sie Entwicklungskompetenz betiteln, stellt sich auch mir als äußerst fragwürdig dar.
Und natürlich hätte es intensivere Crew-Schulungen und Hinweise auf MCAS geben müssen. Nur hat man, aus welchen Gründen auch immer, da bei Indienststellung gar keine Notwendigkeit gesehen, weil MCAS falsch konzipiert und demzufolge auch in seinen Konsequenzen falsch eingeschätzt wurde. Man hat es schlicht aus dem Konzept heraus nicht für nötig gehalten, ohne vorsätzliche Verschweigen, m.M.n.

Da muss auch kein dritter AOA her. Das Ding fliegt seit Jahrzehnten mit 2 rum. MCAS muss nur grundlegend verändert und das Konzept korrigiert werden. Ein 3. könnte höchstens die reliability des Systems verbessern. Aber grundsätzlich muss und kann die MAX auch ohne MCAS geflogen werden, z.b. bei einem Systemfehler.

Aber grundsätzlich muss und kann die MAX auch ohne MCAS geflogen werden, z.b. bei einem Systemfehler.

Also im Moment bei nem MCAS-Systemfehler noch nicht. Aber in Zukunft dann schon ...

@weideblitz, @A320Fam

Also ich bin der Meinung, dass die Diskussion um MCAS und dessen Auslegung alleine gar nicht mal das grundsätzliche Problem im (damaligen) Sicherheitsdenken von Boeing darstellt.

Fakt ist, dass sich durch die geänderte TW-Aufhängung das Flugverhalten gegenüber NG deutlich geändert hat.

Hätte man das von vorherein so anerkannt und konsequent durchgehandelt, wäre die Konsequenz gewesen:
- neues Type Rating zum Fliegen der 737MAX (auch für NG) Piloten. Für letztere Betonung auf die Unterschiede im Flugverhalten, insbesondere auch bei Systemfehlern. Heißt schlussendlich Simulatortraining mit ein paar MCAS-Runaways und Übung damit umzugehen.
- Weil man die Unterschiede anerkannt hat, hätte man MCAS gar nicht erst so übertrieben auslegen müssen, dass sich ne MAX genauso wie ne NG fliegt. Der Korrektureinfluss von MCAS hätte also von vorneherein geringer und mit engeren Grenzen ausgelegt werden können.

Und da sind wir beim zugrundeliegenden Problem. Weil man kein neues Type Rating wollte, hat man MCAS so "brutal" programmiert, dass man keinen Unterschied zur NG mehr merkt, mit den bekannten Konsequenzen.

Dass dann bei der konkreten Umsetzung von MCAS noch einiges Schiefgegangen ist, will ich gar nicht bestreiten.

@weideblitz, @A320Fam

Also ich bin der Meinung, dass die Diskussion um MCAS und dessen Auslegung alleine gar nicht mal das grundsätzliche Problem im (damaligen) Sicherheitsdenken von Boeing darstellt.

Fakt ist, dass sich durch die geänderte TW-Aufhängung das Flugverhalten gegenüber NG deutlich geändert hat.

Hätte man das von vorherein so anerkannt und konsequent durchgehandelt, wäre die Konsequenz gewesen:
- neues Type Rating zum Fliegen der 737MAX (auch für NG) Piloten. Für letztere Betonung auf die Unterschiede im Flugverhalten, insbesondere auch bei Systemfehlern. Heißt schlussendlich Simulatortraining mit ein paar MCAS-Runaways und Übung damit umzugehen.
- Weil man die Unterschiede anerkannt hat, hätte man MCAS gar nicht erst so übertrieben auslegen müssen, dass sich ne MAX genauso wie ne NG fliegt. Der Korrektureinfluss von MCAS hätte also von vorneherein geringer und mit engeren Grenzen ausgelegt werden können.

Und da sind wir beim zugrundeliegenden Problem. Weil man kein neues Type Rating wollte, hat man MCAS so "brutal" programmiert, dass man keinen Unterschied zur NG mehr merkt, mit den bekannten Konsequenzen.


Was meinen Sie mit brutaler Programmierung? Die eigentliche gewollte Funktion ist m.M.n. nicht zu beanstanden.

Wie war das damals beim Übergang von der -200 zur Classic? Weiß das jemand? War da ein zusätzliches Typ-Rating erforderlich? Bzw wäre ein 100% gleiches Flugverhalten nötig?

Bessere & intensivere Schulungen ... da stimme ich in jedem Fall zu.

Die Ausgangslage war doch, dass der AoA-Sensor falsche Daten lieferte.
Das System erkannte dies und meldete unrelialable Speed!
Weshalb wird MCAS aktiv, obwohl es Fehlermeldungen bei der Ermittelung der Geschwindigkeit gibt? (Für die Ermittelung der Geschwindigkeit werden Daten auch vom AoA-Sensor benötigt.)
Jeder kennt den Spruch: garbage in, garbage out... (bei Programmen z. B.)
Im MCAS dürfte nicht die Korrektheit der AoA-Sensordaten überprüft werden. Das müsste "zentral" zusammen mit anderen Daten geschehen.
Offenbar kennt MCAS nicht die Position der Höhenruderflosse und damit nicht die Übersteuerbarkeit der Trimmung. Da gabe wohl Koordinationsschwächen - vgl. Gates in Seattle Times (erste Hinweis auf "Eigenwilligkeiten" bei der Zertifizierung).
Wie wurde MCAS getestet?

Wer bei Boeing hatte überhaupt Lust, bei dem ach so einfachen face lift mitzuwirken? An sich sollte doch ein ganz neuer Flieger entwickelt werden...Die 737NG ist auch schon recht alt.



Dieser Beitrag wurde am 07.04.2019 21:08 Uhr bearbeitet.

......

Und da sind wir beim zugrundeliegenden Problem. Weil man kein neues Type Rating wollte, hat man MCAS so "brutal" programmiert, dass man keinen Unterschied zur NG mehr merkt, mit den bekannten Konsequenzen.

Dass dann bei der konkreten Umsetzung von MCAS noch einiges Schiefgegangen ist, will ich gar nicht bestreiten.

Sehe ich ähnlich. Aber dann stellt sich die Gretchenfrage, warum man dann nicht ein neues Typerating akzeptiert, anstatt den Flieger noch dazu unter hohem Zeit- und Kostendruck mit MCAS so zu workarounden. Das ist genau, was ich meine: hier hat Business first before Safety bei Boeing regiert...

@A320Fam

Ich bin ja nah bei Ihnen. Grundsätzlich handelt es sich bei der 737 (MAX) um ein sicheres Flugzeug. Leider gibt es da jetzt ein großes Aber:
Boeing hat aus Kosten- und Zeitgründen diesen Weg gewählt und die steigende Komplexität und die damit verbundenen Risiken in Kauf genommen. Und zum Überfluss dann noch schlecht umgesetzt.

Anstatt dessen hätte Boeing besser mehr Geld in die Hand genommen und das Fahrwerk etwas verlängert (ja, ich weiss, Gewichtszunahme) und den deutlich höheren Aufwand toleriert oder anstatt dessen gleich den NMA vorgezogen. Und das hätte auch jeder TW-Hersteller bei der zu erwartenden hohen Stückzahl mitgemacht. Zugegeben, dann hätte Boeing jetzt weit weniger als >5000 Bestellungen auf der 737, aber dafür hätten Sie jetzt den 737 Nachfolger in der Luft und dort mindestens auch schon Bestellungen in 4-stelliger Anzahl in den Büchern...


Da muss auch kein dritter AOA her. Das Ding fliegt seit Jahrzehnten mit 2 rum. MCAS muss nur grundlegend verändert und das Konzept korrigiert werden. Ein 3. könnte höchstens die reliability des Systems verbessern. Aber grundsätzlich muss und kann die MAX auch ohne MCAS geflogen werden, z.b. bei einem Systemfehler.

Ich glaube, dass können weder Sie noch ich wirklich beurteilen, ohne Einsicht in die konkreten technischen Unterlagen inkl. Safety Concept und Sicherheitsanalysen zu haben und auch die entsprechende Fachkenntnis zu Beurteilung mitzubringen. Was vorher war spielt dabei keine Rolle.

Und der A320 hat doch 3 Sensoren (der dritte sitzt meine ich hinten), oder? (sie wissen das sicher am besten)- Airbus gibt das Geld für den 3. Sensor sicherlich nicht aus Freude an der Sache aus, sondern weil das Sicherheitskonzept das so verlangt. Frage mich dann, wie die 737 den gleichen Sicherheits-Level ohne 3. Sensor erreichen kann. Auch andere kritische Systeme sind 3-fach ausgelegt, z.B. die Hydraulikkreise. Aber egal, das ist es alles wirklich zu viel Glaskugel-Spekulation...;)

Die 737 ist definitiv am Ende (eigentlich schon seit der NG) und eine MAX2 wird es nicht mehr geben. Eine A320neo2 ist aber noch gut vorstellbar: Ultrafan dürften drunter passen, A350-like Avionic, etwas Kosmetik in der Kabine und fertig. Und die Baureihe hätte auch noch Potential bis zu einer A322(XLR)...


Dieser Beitrag wurde am 07.04.2019 22:22 Uhr bearbeitet.

@Weideblitz

Also ob die 737 bereits seit der NG am Ende war oder nicht oder jetzt die MAX oder an deren Stelle eine Neuentwicklung besser gewesen wäre ... um da mal mit Ihren Worten zu sprechen: "Ich glaube, dass können weder Sie noch ich wirklich beurteilen" ... ;-)

Und der A320 hat doch 3 Sensoren (der dritte sitzt meine ich hinten), oder? (sie wissen das sicher am besten)- Airbus gibt das Geld für den 3. Sensor sicherlich nicht aus Freude an der Sache aus, sondern weil das Sicherheitskonzept das so verlangt. Frage mich dann, wie die 737 den gleichen Sicherheits-Level ohne 3. Sensor erreichen kann. Auch andere kritische Systeme sind 3-fach ausgelegt, z.B. die Hydraulikkreise.

Der A320 ist einfach jünger und von seiner Grundkonzeption moderner und anders. Da stecken FBW und viel viel mehr Elektronik und Computer drin. Daher schon mal 3 unabhängige AirDataSysteme mit den zugehörigen Sensoren, inclusive. AoA (sitz übrigens mit vorne auf der linken Seite nahe dem des Captains).
Hydrauliksysteme gibt es hier deshalb 3, weil ohne Hydraulik eine A320 vom Himmel fällt, die ist dann schlicht nicht mehr steuerbar, die Hydraulik ist für die Flugsteuerung somit primär.
Bei der 737 läuft alles über direkte Verbindung vom Steuerhorn über Seile zur Steuerfläche. Die Hydraulik ist hier sekundär und greift über Aktuatoren unterstützend direkt in die Seile ein. Ohne Hydraulik muss der Pilot sich vielleicht mehr anstrengen, aber die mechanische Verbindung zur Steuerfläche ist immer gegeben.

Zuerst einmal möchte ich mich für die sehr detail- und faktenreiche Diskussion, die glücklerweise nicht zu sehr mit "Insiderfachbegriffen bzw. Abkürzungen" überfrachtet war (das sogar ein fachfremder Laie viel verstehen konnte), recht herzlich bedanken. Ich habe viel neues erfahren.

Allerdings möchte ich an @weideblitz die Frage richten, ob man Ihren Satz "Grundsätzlich handelt es sich bei der 737 (MAX) um ein sicheres Flugzeug." wirklich, in Anbetracht der Ereignisse, so schreiben kann.

Zu einem "sicheren Flugzeug" gehört doch sicher auch eine funktionierende, verlässlich und fehlerfrei arbeitende Elektronik. Und die ist, in der vorliegenden Variante, doch nicht gegeben.

@hinterfrager2

Zu einem "sicheren Flugzeug" gehört doch sicher auch eine funktionierende, verlässlich und fehlerfrei arbeitende Elektronik. Und die ist, in der vorliegenden Variante, doch nicht gegeben.

Natürlich gehört das dazu. Allerdings kristallisiert sich ja jetzt der fehlerhafte Teil heraus und soll behoben werden.
Sie können natürlich weiterhin fehlerhafte Elektronik unterstellen. Das können Sie dann aber jedem Flugzeug.
Im übrigen unterliegt die Elektronik ein Flugzeugleben lang auch Veränderungen und Updates, also Verbesserungen.

Nun muss es erstmal ermittelt werden, wie die AOA-Daten entstanden sind. Lag es wirklich am Sensor oder wurden die Daten im laufe der weiteren Verarbeitung bzw. Übertragung verfälscht?

MCAS selbst ist wohl suboptimal programmiert und lief meist ohne Probleme.
Wo sollte die Plausibilitätprüfung der Daten für MCAS stattfinden?

@hinterfrager2

Zu einem "sicheren Flugzeug" gehört doch sicher auch eine funktionierende, verlässlich und fehlerfrei arbeitende Elektronik. Und die ist, in der vorliegenden Variante, doch nicht gegeben.

Natürlich gehört das dazu. Allerdings kristallisiert sich ja jetzt der fehlerhafte Teil heraus und soll behoben werden.
Sie können natürlich weiterhin fehlerhafte Elektronik unterstellen. Das können Sie dann aber jedem Flugzeug.
Im übrigen unterliegt die Elektronik ein Flugzeugleben lang auch Veränderungen und Updates, also Verbesserungen.

Deshalb bezog ich mich ja ausdrücklich auf die bis JETZT vorliegende bzw. ausgelieferte Variante (Version) und nicht auf das was erst zukünftig (eventuell) daraus gemacht wird.

@hinterfrager2

Zu einem "sicheren Flugzeug" gehört doch sicher auch eine funktionierende, verlässlich und fehlerfrei arbeitende Elektronik. Und die ist, in der vorliegenden Variante, doch nicht gegeben.

Natürlich gehört das dazu. Allerdings kristallisiert sich ja jetzt der fehlerhafte Teil heraus und soll behoben werden.
Sie können natürlich weiterhin fehlerhafte Elektronik unterstellen. Das können Sie dann aber jedem Flugzeug.
Im übrigen unterliegt die Elektronik ein Flugzeugleben lang auch Veränderungen und Updates, also Verbesserungen.

Deshalb bezog ich mich ja ausdrücklich auf die bis JETZT vorliegende bzw. ausgelieferte Variante (Version) und nicht auf das was erst zukünftig (eventuell) daraus gemacht wird.

Sorry, dann komische Frage.
Die jetzt ausgelieferten MAX sind NICHT sicher. Deshalb wurden die ja auch gegrounded.