Verwechslung mit Boeing 737 MAX: Analyse möglicher Unfallursachen

" Kontrollierter Flug ins Gelände " ist ein Luftfahrtbegriff für einen Absturz in einem normal funktionierenden Flugzeug, weil Piloten durch etwas abgelenkt oder desorientiert werden. Ein wahrer Albtraum. Nach meinen Schätzungen ist eine Kollision mit dem Boden in einem automatisierten Flug noch schlimmer, wenn das Flugzeugsteuerungssystem trotz der verzweifelten Versuche der Besatzung, die Situation zu retten, in den Boden eintaucht. Dies ist die angebliche Ursache für zwei kürzliche Abstürze der neuen Boeing 737 MAX 8. Ich habe versucht herauszufinden, wie diese Vorfälle hätten passieren können.

Hinweis: Die Untersuchung von MAX 8-Katastrophen befindet sich in einem frühen Stadium. Daher basiert ein Großteil des Artikels auf Daten aus indirekten Quellen, dh auf Lecks und Gerüchten, sowie auf den Überlegungen der Personen, die wissen oder nicht wissen, wovon sie sprechen. Berücksichtigen Sie dies, wenn Sie weiterlesen möchten.

Abstürze

Am frühen Morgen des 29. Oktober 2018 startete der 610-Flug von Lion Air mit 189 Personen an Bord von Jakarta, Indonesien. Es war der neue 737 MAX 8, der nur vier Monate dauerte und das neueste Modell der Boeing-Flugzeuglinie war, das bereits in den 1960er Jahren entwickelt wurde. Der Start und Aufstieg auf eine Höhe von ungefähr 480 Metern war normal. Danach entfernten die Piloten die Klappen (Flügelelemente, die den Auftrieb bei niedrigen Geschwindigkeiten erhöhen). Zu diesem Zeitpunkt fiel das Flugzeug plötzlich auf 270 Meter ab. In Funkgesprächen mit Fluglotsen meldeten Piloten ein „Problem mit dem Kontrollsystem“ und fragten nach Daten zu ihrer Höhe und Geschwindigkeit, die auf den Bildschirmen der Radargeräte der Fluglotsen angezeigt wurden. Die Ausrüstung im Cockpit ergab flüchtige Messwerte. Die Piloten zogen die Klappen heraus und kletterten auf 1.500 Meter, aber nach dem Zurückziehen der Klappen sank die Nase des Flugzeugs und es begann wieder an Höhe zu verlieren. Während der nächsten sechs bis sieben Minuten kämpften die Piloten mit ihrem eigenen Flugzeug, sie versuchten, das Niveau der Nase aufrechtzuerhalten, aber das Flugsteuerungssystem senkte es ständig. Am Ende gewann das Auto. Das Flugzeug stürzte mit hoher Geschwindigkeit ins Wasser und alle an Bord starben.

Der zweite Absturz ereignete sich am 8. März, als der Flug 302 von Ethiopian Airlines sechs Minuten nach dem Start von Addis Abeba abstürzte und 157 Menschen starben. Das Flugzeug war ein weiterer MAX 8, der nur zwei Monate betrieben wurde. Piloten berichteten über Probleme mit der Kontrolle, und Satellitenbeobachtungsdaten zeigten starke Höhenschwankungen. Aufgrund seiner Ähnlichkeit mit dem Lion Air-Unfall wurde ein Alarm ausgelöst: Wenn dieselbe Störung oder derselbe Konstruktionsfehler die Ursache für beide Vorfälle war, konnte es zu anderen Unfällen kommen. In wenigen Tagen wurde die 737 MAX-Flotte auf der ganzen Welt vom Fliegen ausgeschlossen. Die aus dem Unfall auf Flug 302 gewonnenen Daten verstärkten den Verdacht, dass die beiden Fälle eng miteinander verbunden waren.

Das traurige Schicksal von Flug 610 Lion Air lässt sich auf die aus der Black Box extrahierten Daten zurückführen. (Die Karte wurde im November als Teil des vorläufigen Berichts des Nationalen Ausschusses für Verkehrssicherheit in Indonesien veröffentlicht.)


Eine allgemeine Vorstellung vom Verlauf liefert die Höhenverfolgungskurve am unteren Rand des Diagramms. Der anfängliche Aufstieg wird durch einen scharfen Abstieg unterbrochen; Auf den weiteren Aufstieg folgt eine lange, unregelmäßige Achterbahnfahrt. Am Ende gibt es einen Tauchgang, etwas mehr als 10 Sekunden, in denen das Flugzeug 5.000 Fuß (1.500 Meter) absinkt. (Warum gibt es in der Grafik zwei Höhenkurven, die durch mehrere hundert Fuß voneinander getrennt sind? Ich werde am Ende meines langen Artikels auf diese Frage zurückkommen.)


All diese Höhen und Tiefen wurden durch die Bewegungen des Horizontalstabilisators verursacht - einer kleinen flügelartigen Oberfläche im hinteren Teil des Rumpfes. Der Stabilisator steuert den Nickwinkel des Flugzeugs, d.h. wohin die Nase gerichtet ist. Beim 737 macht er das auf zwei Arten. Der Elevator-Trimmermechanismus kippt den gesamten Stabilisator, während die Bewegung des Steuerrads (des Lenkrads auf Sie zu und von Ihnen weg) den Elevator bewegt - ein bewegliches Lenkrad an der Rückseite des Stabilisators. In beiden Fällen führt das Bewegen der Rückseite der Oberfläche nach oben dazu, dass sich die Nase des Flugzeugs hebt und umgekehrt. Hier interessieren uns hauptsächlich Änderungen am Trimmer, nicht die Aufzugsbewegung.

Die Befehle für das Aufzugstrimmersystem und ihre Auswirkungen auf das Flugzeug werden durch drei Kurven aus den Flugdaten dargestellt, die ich hier der Einfachheit halber wiederholen werde:


Die mit "Trimmhandbuch" (blau) gekennzeichnete Linie spiegelt die Aktionen der Piloten wider, "Trimmautomatik" (orange) zeigt Befehle von den elektronischen Systemen des Flugzeugs an und "Pitch-Trimmposition" (blau) zeigt die Neigung des Stabilisators; Eine höhere Position in der Grafik zeigt einen Befehl zum Anheben der Nase an. Hier zeigt sich der Kampf zwischen Mensch und Maschine. In der zweiten Flughälfte sendete das automatische Auswuchtsystem wiederholt Befehle zum Absenken der Nase in Intervallen von etwa 10 Sekunden. Zwischen diesen automatisierten Teams hoben die Piloten mit den Tasten des Einstellrads die Nase mit einem Trimmer an. In Reaktion auf diese widersprüchlichen Befehle schwankte die Position des horizontalen Stabilisators mit einer Zeitspanne von 15 bis 20 Sekunden. Die Sägezahnbewegung dauerte ungefähr 20 Zyklen, aber gegen Ende hatten die unerbittlichen, automatisierten Befehle zum Absenken der Nase Vorrang vor den Befehlen zum Anheben der Nase der kürzeren Piloten. Am Ende ging der Stabilisator auf seine maximale Tauchabweichung zurück und blieb darin, bis das Flugzeug ins Wasser stürzte.

Anstellwinkel

Was ist für das Fehlverhalten des automatischen Pitch-Balancing-Systems verantwortlich zu machen? Die Vorwürfe richten sich gegen MCAS - das neue System der Modellreihe 737 MAX. MCAS steht für Manövering Characteristics Augmentation System, ein überraschend mehrsilbiger Name, der uns keine Vorstellung davon gibt, was dieses System tut. Nach meinem Verständnis ist MCAS kein Hardwaregerät. In den Abteilen der elektronischen Ausrüstung des Flugzeugs finden Sie nicht den Fall mit der Bezeichnung MCAS. MCAS ist vollständig softwarebasiert. Dies ist ein Programm, das auf einem Computer ausgeführt wird.

MCAS hat nur eine Funktion. Es wurde entwickelt, um ein aerodynamisches Abwürgen zu verhindern - eine Situation, in der die Nase eines Flugzeugs relativ zum Umgebungsluftstrom so hoch angehoben wird, dass die Flügel es nicht in der Luft halten können. Das Abwürgen ist ein bisschen wie eine Situation, in der ein Radfahrer auf einen Hügel steigt, der immer steiler wird: Früher oder später geht einer Person die Kraft aus, das Fahrrad wird instabil und rollt dann wieder herunter. Piloten sind darauf trainiert, aus dem Stall zu kommen, aber sie üben eine solche Fähigkeit nicht in Flugzeugen, die mit Passagieren gefüllt sind. In der kommerziellen Luftfahrt liegt der Schwerpunkt darauf , Stände sozusagen zu vermeiden , um sie zu verhindern. Verkehrsflugzeuge verfügen über Mechanismen zur Erkennung drohender Stände und informieren den Piloten darüber mit Licht- und Tonanzeigen sowie mit einem Vibrationsalarm für Stabschüttler. Auf Flug 610 vibrierte das Ruder des Kapitäns fast von Anfang bis Ende.

Einige Flugzeuge mit drohender Stallung sind nicht auf einfache Warnungen beschränkt. Wenn der Bug des Schiffes weiter ansteigt, greift das automatisierte System ein und senkt ihn ab, wobei es bei Bedarf die manuelle Steuerung durch den Piloten abfängt. MCAS ist genau dafür ausgelegt. Es ist bewaffnet und kampfbereit, unterliegt zwei Kriterien: Die Klappen werden entfernt (und sie werden nur während des Starts und der Landung ausgefahren) und das Flugzeug wird manuell gesteuert (kein Autopilot). Unter diesen Bedingungen wird das System ausgelöst, wenn ein aerodynamischer Wert, der als Anstellwinkel (AoA) bezeichnet wird, auf einen Bereich gefährlicher Werte ansteigt.

Der Anstellwinkel ist ein ziemlich dunkles Konzept, daher werde ich ein Diagramm zeichnen:


Adaptiert aus der Überprüfung der Forschung zur Wirksamkeit des Angriffswinkelindikators Lisa R. Le Vie.

Die in der Abbildung gezeigten Winkel sind die Windungen des Flugzeugkörpers relativ zur Nickachse - eine Linie parallel zu den Tragflächen, senkrecht zum Rumpf und durch den Schwerpunkt des Flugzeugs verlaufend. Wenn Sie mit dem Ausgang in einer Reihe sitzen, besteht die Möglichkeit, dass die Nickachse unter Ihrem Sitz verläuft. Durch Drehen entlang der Nickachse wird die Nase angehoben und abgesenkt. Der Nickwinkel (Nicklage) ist definiert als der Winkel des Rumpfes relativ zur horizontalen Ebene. Der Flugbahnwinkel (Flugbahnwinkel) wird zwischen der horizontalen Ebene und dem Geschwindigkeitsvektor des Flugzeugs gemessen, dh er zeigt, wie sanft es ansteigt oder abfällt. Der Anstellwinkel ist die Differenz zwischen dem Nickwinkel und dem Neigungswinkel der Flugbahn. Dies ist der Winkel, in dem sich das Flugzeug durch die ihn umgebende Luft bewegt (vorausgesetzt, die Luft selbst ist stationär, d. H. Es gibt keinen Wind).

AoA beeinflusst sowohl den Auftrieb (Aufwärts- und Rückwärtsgravitation) als auch den Luftwiderstand (Verlustkraft im Gegensatz zu Vorwärts- und Motorschub). Wenn die AoA über Null steigt, nimmt der Auftrieb zu, da die Luft mit dem Boden der Tragflächen und dem Rumpf kollidiert. Aber aus dem gleichen Grund nimmt der Widerstand zu. Mit einer weiteren Vergrößerung des Anstellwinkels wird der Luftstrom durch die Flügel turbulent; Nach diesem Moment nimmt die Hubkraft ab, aber der Widerstand nimmt weiter zu. Und hier beginnt der Stand. Der für das Abwürgen kritische Winkel hängt von Geschwindigkeit, Gewicht und anderen Faktoren ab, beträgt jedoch normalerweise nicht mehr als 15 Grad.

Bei Flügen von Lion Air und Äthiopien bestand kein Stallrisiko. Wenn also das MCAS aktiviert wurde, sollte dies versehentlich geschehen sein. Gemäß der in vielen Pressemitteilungen erwähnten Arbeitshypothese erhielt das System fehlerhafte Daten vom ausgefallenen AoA-Sensor und handelte gemäß seinen Messwerten.

Konzeptionell ist ein Sensor zur Messung des Anstellwinkels einfach. Tatsächlich ist es nur eine Wetterfahne, die in den Luftstrom hineinragt. Auf dem Foto unten ist der Anstellwinkelsensor eine kleine schwarze Kante direkt vor dem 737 MAX. Vorne befestigt, dreht sich die Schaufel, richtet sich nach dem lokalen Luftstrom aus und erzeugt ein elektrisches Signal, das den Winkel der Schaufel relativ zur Rumpfachse beschreibt. Der 737 MAX verfügt über zwei Anstellwinkelsensoren, einen auf jeder Seite der Nase. (Die Geräte über dem AoA-Sensor sind Staurohre zur Messung der Luftgeschwindigkeit. Ein anderes Gerät unter dem Wort MAX ist höchstwahrscheinlich ein Temperatursensor.)


Der Anstellwinkel wurde auf den Instrumenten der Lion Air 737-Piloten nicht angezeigt, aber der Flugschreiber zeichnete die von zwei AoA-Sensoren empfangenen Signale auf:


Und hier passiert etwas schrecklich Falsches. Der linke Sensor zeigt an, dass der Anstellwinkel etwa 20 Grad steiler ist als beim rechten Sensor. Dies ist eine große Diskrepanz. Diese beiden getrennten Indikatoren konnten in keiner realistischen Weise den tatsächlichen Zustand der Bewegung des Flugzeugs in der Luft widerspiegeln: Die linke Seite der Nase zeigte, dass es zum Himmel gerichtet war, und die rechte Seite, dass es ungefähr horizontal war. Einige der Messungen müssen fehlerhaft sein, und höhere werden vermutet. Wenn der wahre Anstellwinkel 20 Grad erreichen würde, wäre das Flugzeug bereits in einem tiefen Stallzustand. Leider liest das MCAS von Flug 610 nur Daten vom linken AoA-Sensor. Sie interpretierte diese bedeutungslosen Messungen als sicheren Indikator für die Position des Flugzeugs und versuchte unermüdlich, sie zu korrigieren, bis der Flug mit Wasser kollidierte.

Cockpit-Automatisierung

Die Tragödien in Jakarta und Addis Abeba wurden zu einer Warngeschichte über die Gefahren einer übermäßigen Automatisierung, bei der Computer die Macht der Piloten an sich reißen. Die Washington Post erklärte :

Der zweite tödliche Flugzeugabsturz mit Boeing 737 MAX 8 kann das Ergebnis eines Kampfes zwischen Mensch und Maschine sein. Dieser Fehler weist darauf hin, dass die Aufsichtsbehörden Systeme sorgfältig prüfen sollten, die den Menschen die Kontrolle entziehen, wenn es um Sicherheit geht.

Der belgische Journalist Tom Dyuzaer, der häufig Artikel über Luftfahrt und Computer schreibt, gibt folgende Meinung ab :

Es ist nicht zu leugnen, dass die Boeing des JT610 ernsthafte Computerprobleme hatte. Und in der High-Tech-Computerwelt der Flugzeughersteller, in der die Rolle des Piloten häufig auf das Drücken von Tasten und die passive Überwachung beschränkt ist, können solche Vorfälle in Zukunft häufiger auftreten.

Insbesondere Wut, die Piloten drücken die Knöpfe. Der Pilot und Softwareentwickler Gregory Travis fasste seine Gefühle mit einem kurzen Kommentar zusammen:

"Hebe deine Nase, HAL."
"Entschuldigung, Dave, ich fürchte, ich kann das nicht tun."

Sogar Donald Trump hat zu diesem Thema getwittert:

Flugzeuge werden zu komplex zum Fliegen. Jetzt brauchen sie keine Piloten mehr, sondern Informatiker vom MIT. Ich beobachte ein solches Bild bei vielen Produkten. Es besteht immer der Wunsch, einen weiteren optionalen Schritt nach vorne zu machen, obwohl häufig ältere und einfachere Lösungen viel besser sind. Entscheidungen müssen in Sekundenbruchteilen getroffen werden, und Komplexität ist eine Bedrohung. All dies erfordert einen hohen Preis, aber es gibt sehr wenig. Ich weiß nichts über dich, aber ich möchte nicht, dass Albert Einstein mein Pilot ist. Ich brauche exzellente Profis, die schnell und einfach die Kontrolle über ein Flugzeug übernehmen können!

Die Beschwerden übermäßige Automatisierung 737 haben erhebliche Ironie; In vielerlei Hinsicht ist dieses Flugzeug tatsächlich überraschend altmodisch. Die Basis des Designs wurde vor mehr als 50 Jahren geschaffen, und selbst in den neuesten MAX-Modellen ist ein Großteil der Technologie der 1960er Jahre erhalten. Die Hauptsteuerungen sind hydraulisch. Ein unter hohem Druck stehendes Rohrnetz gelangt direkt von den Steuerrädern im Cockpit zu den Querrudern, dem Höhenruder und dem Lenkrad. Wenn die Hydrauliksysteme ausfallen, bleibt ein vollständig mechanisches Backup-System aus Kabeln und Blöcken zur Steuerung verschiedener Steuerebenen übrig. Der Hauptantrieb des Stabilisator-Trimmers ist der Elektromotor, der jedoch mechanisch durch ein manuelles Schwungrad ersetzt wird und die zum Heck verlaufenden Kabel zieht.

Ein anderes Flugzeug ist viel stärker von Computern und Elektronik abhängig. Der Hauptkonkurrent von 737, der Airbus A320, ist ein Fahrzeug, in dem das Prinzip der elektronischen Steuerung umfassend umgesetzt wird. Der Pilot steuert den Computer und der Computer steuert das Flugzeug. Der Pilot wählt, wohin er sich bewegen möchte - nach oben, unten, rechts oder links -, aber der Computer entscheidet, wie dies erreicht wird, welche Steuerebenen abgelehnt werden sollen und wie viel. Moderne Boeing-Modelle - 777 und 787 - verwenden ebenfalls eine digitale Steuerung. Tatsächlich haben die neuesten Modelle beider Unternehmen einen weiteren Schritt vom „Kabelmanagement“ zum „Netzwerkmanagement“ getan. Der Hauptteil der Datenübertragung von Sensoren zu Computern und dann zu Steuerebenen besteht aus digitalen Paketen, die über eine der Ethernet-Netzwerkversionen gesendet werden. Ein Flugzeug ist die Peripherie eines Computers.

Wenn Sie also die Gefahren und Beleidigungen von Piloten beklagen möchten, die durch die Flugzeugautomatisierung verursacht werden, ist 737 nicht das naheliegendste Ziel. Eine Luddite-Kampagne zur Zerstörung aller Avionik und zur Wiedererlangung der Macht der Piloten wird eine gefährlich fehlerhafte Reaktion auf die aktuelle Situation sein. Es besteht kein Zweifel, dass der 737 MAX ein kritisches Problem hat. Dies ist eine Frage von Leben und Tod für diejenigen, die auf ihnen fliegen werden, und möglicherweise für Boeing. Das Problem begann jedoch nicht mit MCAS. Es begann mit früheren Entscheidungen, die MCAS notwendig machten. Darüber hinaus kann das Problem möglicherweise nicht durch die von Boeing vorgeschlagene Methode gelöst werden - ein Software-Update, das die Fähigkeiten von MCAS einschränkt und den Piloten mehr Autorität lässt.

Drücken Sie das Maximum aus 737 heraus

Die ersten Passagiere 737 begannen 1968 zu transportieren. Er war (und ist) das kleinste Düsenflugzeug der Boeing-Familie und auch das beliebteste. Es wurden mehr als 10.000 Exemplare verkauft, und Boeing hat weitere 4.600 Exemplare bestellt. Natürlich wurden im Laufe der Jahre Änderungen am Flugzeug vorgenommen, insbesondere an Triebwerken und Geräten. Das aktualisierte Modell der 1980er Jahre wurde als 737 Classic bekannt, und das Modell von 1997 heißt 737 NG (nächste Generation). (Jetzt, nach der Veröffentlichung von MAX, hat sich das NG-Modell in die vorherige Generation verwandelt.) Trotz all dieser Modifikationen hat sich an der Grundstruktur der Flugzeugzelle nicht viel geändert.

Vor zehn Jahren schien 737 endlich das Ende seines Lebens erreicht zu haben. Boeing hat angekündigt, ein völlig neues Design zu entwickeln, um es zu ersetzen, dessen Gehäuse nicht aus Aluminium, sondern aus leichten Verbundwerkstoffen bestehen wird. Natürlich hat der Wettbewerb Anpassungen vorgenommen. Airbus hatte den Vorteil des A320neo, eines aktualisierten Modells, das bei Einführung im selben Marktsegment über effizientere Triebwerke verfügt. Der modifizierte Airbus sollte um 2015 herauskommen, während die Entwicklung des Boeing-Projekts von Grund auf zehn Jahre dauern würde. Es bestand die Gefahr einer Kundenabwanderung. Insbesondere der langjährige engagierte Partner von American Airlines, American Airlines, hat einen Großauftrag für den A320neo ausgehandelt.

Im Jahr 2011 gab Boeing den Plan zur Schaffung eines völlig neuen Designs auf und beschloss, dasselbe wie Airbus zu tun: neue Triebwerke am alten Segelflugzeug anzubringen. , . FAA ( ) , - , Airbus.

737-800 ( MAX) 800 (3 . ). 2 000 2,50 . 10 , 7,3 . — 1 .

, 737 14 , . . , Boeing , « », . , 737 NG, MAX .


737 1960- , , ( ) . . , , . 737 ; , . MAX ( ) — , 69 (175 ). NG, MAX .

New York Times , , , . , .

Airbus , Boeing . , The New York Times , 737 Max … , .

Times : « , , , ».

- MAX Boeing . . Lion Air, Aviation Week and Space Technology (Nov. 26–Dec. 9, 2018, pp. 56–57):

, , 737 , .

, , . , . MAX , .

Aviation Week , 2017 , MAX 8.

. 58 000 , , , , . Boeing , , . , .

« », « » , , MCAS. , speed-trim . MCAS, « » , . , mach-trim , , , 0,6 . MAX; 1997 NG. MCAS , speed-trim mach-trim, , . , , , .

. , — , — . , , , , . . , , . , , . ( !) , , .


— , . , , , (). , , . , . , , .

737 MAX ? , Boeing 737 MCAS — -, 737 - . Er schreibt:

MCAS — . , MAX , NG; , LEAP-1B AoA. LEAP , NG CFM56-7, . AoA ; , (.. ), , . / FAR §25.173 «Static longitudinal stability» . (FAR — (Federal Air Regulations). 25 ). MCAS, ( AoA) , .

, , Boeing . Aviation Week , , , ( 20 ) , :

MAX CFM Leap 1 AOA , NG CFM56-7. MCAS - , MAX NG.

Unter der Annahme, dass Bradys Standpunkt richtig ist, stellt sich eine interessante Frage: Wann hat Boeing die Instabilität bemerkt? Waren sich Designer dieser Gefahr von Anfang an bewusst? Wurde es während Computersimulationen oder bei Tests in aerodynamischen Tests an maßstabsgetreuen Modellen manifestiert? Die Geschichte von Dominic Gates in der Seattle Times gibt uns einen Hinweis darauf, dass Boeing die Schwere des Problems vor den Flugtests der ersten Instanz des Flugzeugs, die 2015 begannen, möglicherweise nicht erkannt hat.

Laut Gates ergab das an das Boeing-Management übergebene FAA-Sicherheitsanalyseprotokoll, dass das MCAS den horizontalen Stabilisator um nicht mehr als 0,6 Grad bewegen kann. In einem auf dem Markt befindlichen Flugzeug kann MCAS es um bis zu 2,5 Grad auslenken und kann wiederholt handeln, bis es eine mechanische Bewegungsgrenze von etwa 5 Grad erreicht. Gates schreibt :

Diese Grenze wurde weiter erhöht, da Flugtests zeigten, dass zur Vermeidung eines Abwürgens bei hohen Geschwindigkeiten mehr Heckbewegungen erforderlich sind, wenn das Flugzeug dem Risiko eines Auftriebsverlusts und einer spiralförmigen Abnahme ausgesetzt ist.

Das Verhalten des Flugzeugs im Falle eines Abwürgens unter einem hohen Anstellwinkel ist schwer analytisch zu modellieren. Wenn Testpiloten Verfahren zum Verlassen des Abwürgens in einem neuen Flugzeug durchführen, wird die Steuerungssoftware häufig so abgestimmt, dass die Eigenschaften eines Jet-Flugfahrzeugs verbessert werden.

Es scheint, dass die Instabilität von MAX bei hoher AoA eine Eigenschaft der aerodynamischen Form des gesamten Flugzeugs ist, und ein direkter Weg, dies zu unterdrücken, wäre die Änderung dieser Form. Um beispielsweise die statische Stabilität wiederherzustellen, können Sie die Oberfläche des Schwanzes vergrößern. Solche Modifikationen der Flugzeugzelle würden jedoch die Freigabe des Flugzeugs verlangsamen, insbesondere unter Berücksichtigung der Tatsache, dass ihr Bedarf nach den Flügen der ersten Prototypen entdeckt wurde. Darüber hinaus könnten Konstruktionsänderungen die Möglichkeit gefährden, ein neues Modell mit Flugrechten alten Typs zu fliegen. Es muss gewesen sein, dass das Ändern der Software anstelle des Modifizierens der Aluminiumstruktur eine attraktive Alternative schien. Vielleicht werden wir eines Tages herausfinden, wie diese Entscheidung getroffen wurde.

Übrigens sollte laut Gates das FAA-Dokument mit einer Sicherheitsanalyse, die einen Grenzwert von 0,6 Grad festlegt, überarbeitet werden, um den tatsächlichen Bereich möglicher MCAS-Befehle widerzuspiegeln.

Instabilität

Instabilität ist nicht unbedingt eine schwarze Markierung für ein Flugzeug. Seit dem Wright Flyer von 1903 gab es in der Geschichte mindestens einige erfolgreiche instabile Designs. Die Gebrüder Wright platzierten absichtlich einen horizontalen Stabilisator vor dem Flügel und nicht dahinter, weil ihre früheren Experimente mit Drachen und Segelflugzeugen gezeigt haben: Was wir Stabilität nennen, kann auch als Langsamkeit bezeichnet werden. Flyer-Front-Control-Ebenen (als Front-Horizontal-Controls bezeichnet) verstärkten leichte Aufwärts- und Abwärtsbewegungen der Nase. Die Aufrechterhaltung einer stabilen Neigung erforderte eine hohe Konzentration des Piloten, ermöglichte es dem Flugzeug jedoch gleichzeitig, schneller zu reagieren, wenn der Pilot die Neigung erhöhen oder verringern wollte . (Die Vor- und Nachteile dieses Entwurfs werden in einem Artikel von Fred E. S. Kulik und Henry R. Jacks aus dem Jahr 1984 erörtert.)


Orville regiert, Wilbur läuft in der Nähe, Kitty Hawk, 17. Dezember 1903. In diesem Bild sehen wir das Flugzeug von der Seite des Hecks. Die vordere horizontale Steuerung - zwei einstellbare horizontale Flächen vorne - scheint eine Nasenhebung auszulösen. (Foto von WikiMedia .

Ein weiteres ernsthaft instabiles Flugzeug war die Grumman X-29, eine Forschungsplattform, die in den 1980er Jahren entwickelt wurde. Die Flügel des X-29 befanden sich dahinter; Darüber hinaus sind die Haupt-Pitch-Control-Flugzeuge wie beim Wright Flyer vor den Flügeln montiert.


Das Ziel dieses bizarren Projekts war es, extreme Schraubenzieherkonstruktionen zu untersuchen, die statische Stabilität für schnelleres Manövrieren opfern. Kein einziger Pilot könnte ein so ruckeliges Fahrzeug ohne Unterstützung bewältigen. Es war ein digitales elektronisches Steuersystem erforderlich, das den Zustand abtastete und die Steuerebene mit einer Frequenz von bis zu 80 Mal pro Sekunde regulierte. Der Controller war erfolgreich, vielleicht sogar zu viel. Er ließ das Flugzeug sicher fliegen, zähmte aber die Instabilität und verließ das Flugzeug mit eher eingeschränkten Kontrolleigenschaften.

Ich persönlich hatte eine Verbindung zum X-29-Projekt. In den 1980er Jahren arbeitete ich kurze Zeit als Redakteur mit Mitgliedern einer Gruppe bei Honeywell, die das X-29-Steuerungssystem entwarfen und bauten. Ich half bei der Vorbereitung von Veröffentlichungen gemäß den Verwaltungsregeln und trug auch zu deren Implementierung in Hardware und Software bei. Diese Erfahrung gab mir genug Informationen, um zu verstehen, dass das MCAS etwas Seltsames hat: Es ist zu langsam, um die aerodynamische Instabilität eines Düsenflugzeugs zu unterdrücken. Während der X-29 eine Reaktionszeit von 25 Millisekunden hatte, brauchte der MCAS 10 Sekunden, um den 737-Stabilisator um 2,5 Grad zu bewegen. In diesem Tempo konnte das System die Kräfte, die die Nase in der Schleife der positiven Rückkopplung anheben, wahrscheinlich nicht bewältigen.

Dafür gibt es eine einfache Erklärung. MCAS sollte kein instabiles Flugzeug fliegen. Sie sollte ihn daran hindern, in ein Regime einzutreten, in dem er instabil wird. Die gleiche Strategie wird von anderen Mechanismen angewendet, um ein Abwürgen zu verhindern - sie greifen ein, noch bevor der Anstellwinkel einen kritischen Punkt erreicht. Wenn Brady jedoch mit der Instabilität des 737 MAX Recht hat, wird diese Aufgabe für MCAS dringlicher. Instabilität bedeutet plötzlichen und gefährlichen Abstieg. MCAS ist ein Straßenzaun, der Sie zurück auf die Straße bringt, wenn Sie bereit sind, eine Klippe mit dem Auto abzureißen.

Damit kommen wir zum Thema des angekündigten Boeing MCAS-Fixplans. Berichten zufolge wird sich das modifizierte System nicht so stetig selbst aktivieren und automatisch herunterfahren, wenn es einen großen Unterschied zwischen den Messwerten der beiden AoA-Sensoren feststellt. Diese Änderungen sollten das Wiederauftreten der jüngsten Unfälle verhindern. Aber bieten sie einen angemessenen Schutz gegen den Fehler, den MCAS eigentlich hätte beheben sollen? Wenn Sie das MCAS entweder manuell oder automatisch ausschalten, hindert nichts den rücksichtslosen oder irreführenden Piloten daran, sich zu dem Teil des Flugmodusbereichs zu bewegen, in dem der MAX instabil wird.

Ohne zusätzliche Informationen von Boeing kann man nicht sagen, wie schwerwiegend Instabilität sein kann, wenn sie tatsächlich existiert. Bradys Artikel auf der technischen Website der Boeing 737 behauptet, dass das Problem teilweise von Piloten verursacht wird. Im Normalzustand ist es für einen langen Nasenlift erforderlich, das Steuerrad immer mehr zu ziehen. Im Bereich der Instabilität fällt der Zugwiderstand jedoch plötzlich ab, so dass der Pilot das Ruder möglicherweise versehentlich in eine extremere Position ziehen kann.

Ist die Exposition des Menschen ein notwendiger Bestandteil der Instabilität oder nur ein verstärkender Faktor? Mit anderen Worten, wenn Sie den Piloten aus der Rückkopplungsschleife entfernen, verursacht eine positive Rückkopplung immer noch einen unkontrollierbaren Nasenlift? Ich habe noch keine Antwort gefunden.

Noch eine Frage: Wenn die Wurzel des Problems eine trügerische Änderung der Kraft ist, die den Lenkradbewegungen widersteht, die die Nase anheben, warum dann nicht direkt dieses Problem lösen?

Der Aufzugsmanschettenmechanismus überträgt „falsche“ Kräfte auf das Steuerrad des Piloten. Bild aus der Darstellung der B737 NG Flugsteuerung durch Theorie . Die Präsentation wurde für die 737 NG-Serie erstellt, nicht für MAX. Vielleicht hat sich die Architektur geändert.

Bei 737 (und den meisten anderen großen Flugzeugen) ist die vom Piloten durch das Steuerrad „empfundene“ Kraft keine einfache Reflexion der aerodynamischen Kräfte, die auf den Aufzug und andere Steuerebenen wirken. Die Rückkopplungskräfte werden hauptsächlich synthetisiert und von der Aufzugsgefühls- und Zentriereinheit erzeugt - einem Gerät, das den Zustand des Flugzeugs überwacht und den entsprechenden Hydraulikdruck erzeugt, indem es das Ruder in die eine oder andere Richtung drückt. Diesen Systemen könnte die zusätzliche Aufgabe übertragen werden, die Zugkraft am Ruder aufrechtzuerhalten oder zu erhöhen, wenn sich der Anstellwinkel den Werten der Instabilität nähert. Eine künstlich erhöhte Beständigkeit ist bereits Teil des Stall-Verhinderungssystems. Warum nicht auf MCAS erweitern? (Vielleicht gibt es eine vernünftige Antwort darauf, aber ich kenne ihn nicht.)

Wo ist sein Netzschalter?

Selbst nachdem das MCAS beim Lion Air 610 versehentlich eingeschaltet wurde, hätten Abstürze und Verluste vermieden werden können, wenn die Piloten dieses Ding einfach ausgeschaltet hätten. Aber warum nicht? Anscheinend haben sie noch nie von MCAS gehört, wussten nicht, dass es in dem von ihnen kontrollierten Flugzeug installiert war, und erhielten keine Anweisungen zum Deaktivieren. Im Cockpit befinden sich keine Schalter oder Tasten mit der Bezeichnung „MCAS ON / OFF“ Das System wird im Flughandbuch nicht erwähnt ( mit Ausnahme der Liste der Abkürzungen ), und es wurden keine Übergangstrainingsprogramme für Piloten durchgeführt, die von 737 NG auf MAX umsteigen. Die Schulung bestand aus ein oder zwei Stunden (Informationen variieren) der Arbeit mit der Anwendung für das iPad.

Boeing erklärt diese Auslassungen in der Geschichte des Wall Street Journal :

Ein hochrangiger Boeing-Beamter sagte, das Unternehmen habe beschlossen, keine Details an die Besatzungen weiterzugeben, da befürchtet wurde, gewöhnliche Piloten mit zu vielen Informationen und deutlich mehr technischen Daten zu überladen, als sie hätten erfahren können.

Diese Aussage „scheinheilig“ zu nennen bedeutet, nichts zu sagen. Es ist einfach absurd. Boeing hielt nicht nur die „Details“ zurück, sondern erwähnte im Grunde nicht die Existenz von MCAS. Und das Argument über "zu viel Volumen" ist einfach dumm. Ich habe kein MAX-Flughandbuch, aber die NG-Ausgabe enthält mehr als 1300 Seiten sowie weitere 800 Seiten Kurzanleitung. Ein paar Absätze über MCAS würden einen Piloten, der die Bedienungsanleitung bereits beherrscht, nicht überlasten. Darüber hinaus beschreibt das Handbuch ausführlich die Speed-Trim- und Mach-Trim-Systeme, die höchstwahrscheinlich zur gleichen Kategorie wie MCAS gehören: Sie arbeiten autonom und bieten dem Piloten keine direkte Schnittstelle zur Überwachung und Regelung.

Infolge des Vorfalls mit Lion Air gab Boeing an, dass das Verfahren zum Herunterfahren von MCAS im Handbuch beschrieben wurde, obwohl MCAS selbst dort nicht erwähnt wird. Dieses Verfahren ist in der Karte angegeben, um das Problem des „Außer Kontrolle geratenen Stabilisator-Trimmers“ zu beseitigen. Es ist nicht sehr kompliziert: Sie müssen das Ruder festhalten, den Autopiloten und die Traktionskontrolle ausschalten, wenn sie eingeschaltet sind. Wenn das Problem weiterhin besteht, drehen Sie die beiden mit „STAB TRIM“ gekennzeichneten Schalter auf „CUTOUT“. Im Falle einer Fehlfunktion war das MCAS wirklich nur der letzte Schritt.

Diese Steuerkarte ist eine "Speicheraktion"; Piloten müssen in der Lage sein, diese Schritte auszuführen, ohne das Handbuch zu lesen. Die Lion Air Crew hätte sie sicherlich kennen müssen. Aber konnte er verstehen, dass diese Karte in einem Flugzeug angewendet werden muss, dessen Verhalten nicht dem entspricht, was sie beim Training und Fliegen auf der vorherigen 737 gesehen haben? Laut Handbuch war die Bedingung, unter der eine Karte verwendet werden musste, um das Problem des Stabilisatortrimmers zu beseitigen, eine „konstante spontane Bewegung des Stabilisatortrimmers“. MCAS-Befehle waren nicht konstant, sondern wurden wiederholt. Um das Problem zu diagnostizieren, war es daher erforderlich, einen Denksprung zu machen.


Zum Zeitpunkt des Absturzes in Äthiopien wussten 737 Piloten auf der ganzen Welt über MCAS und sein Abschaltverfahren Bescheid. Ein vorläufiger Bericht, der Anfang dieses Monats von Ethiopian Airlines veröffentlicht wurde, zeigte, dass die Piloten von Flug 302 nach einigen Minuten Kampf gegen das Steuerrad das Verfahren von der Steuerkarte ausnutzten und die STAB TRIM-Schalter auf CUTOUT stellten. Danach reagierte der Stabilisator nicht mehr auf MCAS-Befehle zum Absenken der Nase, aber die Piloten konnten die Kontrolle über das Flugzeug nicht wiedererlangen.

Es ist noch nicht ganz klar, warum sie versagt haben und was in den letzten Minuten im Cockpit passiert ist. Einer der möglichen Faktoren ist, dass der Cutout-Schalter nicht nur die automatische Bewegung des Pitch-Trimmers deaktiviert, sondern auch die manuellen, die über die Tasten am Einstellrad gesteuert werden. Der Schalter schaltet den Elektromotor, der den Stabilisator bewegt, vollständig aus. In einer solchen Situation besteht die einzige Möglichkeit, den Trimmer zu bewegen, darin, die Handräder neben den Knien der Piloten zu drehen. Während der Krise des Fluges 302 konnte dieser Mechanismus zu langsam sein, um den Winkel rechtzeitig einzustellen, oder die Piloten waren zu sehr darauf konzentriert, das Ruder mit maximaler Kraft zurückzuziehen, als dass sie nicht versuchten, die Handräder zu benutzen. Es ist auch möglich, dass sie die Schalter wieder auf NORMAL gestellt haben, um die Stromversorgung des Stabilisatormotors wiederherzustellen. Eine solche Möglichkeit wird im Bericht nicht erwähnt, aber die Karte des Flugschreibers weist darauf hin (siehe unten) .

Komponente, die einen Systemausfall verursacht

Man kann darüber streiten, ob MCAS eine gute Idee ist, wenn es richtig funktioniert, aber wenn es sich fälschlicherweise einschaltet und das Flugzeug ins Meer lenkt, wagt es niemand, es zu verteidigen. Anscheinend wurde das unkontrollierte Verhalten bei den Katastrophen von Lion Air und Äthiopien durch eine Fehlfunktion eines einzelnen Sensors verursacht. Dies sollte in der Luftfahrt nicht passieren. Es ist unmöglich zu erklären, warum einer der Flugzeughersteller absichtlich ein Flugzeug bauen würde, bei dem ein Ausfall eines einzelnen Teils zu einem tödlichen Unfall führen würde.

Der Schutz vor einzelnen Ausfällen wird durch Redundanz gewährleistet, und dieses Prinzip ist im 737-Design so vollständig verankert, dass die Maschine fast als zwei Flugzeuge in einem Gebäude betrachtet werden kann.

In Flugzeugen, die Automatisierung in einem größeren Volumen verwenden, werden alle Elemente (Sensoren, Computer, Antriebe) normalerweise dreimal dupliziert.

Im Cockpit ist Platz für zwei Piloten, die zwei verschiedene Instrumentensätze betrachten und separate Steuerungssätze verwenden. Das linke und das rechte Dashboard empfangen Signale von verschiedenen Sensorsätzen, deren Signale von verschiedenen Computern verarbeitet werden. Jede Seite des Cockpits verfügt über ein eigenes Trägheitssteuerungssystem, einen eigenen Navigationscomputer und einen eigenen Autopiloten. Das Flugzeug verfügt über zwei Netzteile und zwei Hydrauliksysteme sowie mechanische Backup-Systeme für den Fall eines doppelten Hydraulikausfalls. Zwei Steuerräder im Normalzustand bewegen sich gemeinsam - sie sind unter dem Boden verbunden -, aber wenn ein Rad stecken bleibt, kann diese Verbindung unterbrochen werden, sodass der zweite Pilot das Flugzeug weiter steuern kann.

Es gibt eine Ausnahme von dieser Liste doppelter Systeme: Es scheint, dass ein Gerät, das als Flugsteuerungscomputer (FCC) bezeichnet wird, einer Sonderbehandlung unterzogen wurde. Es gibt zwei FCCs an Bord, aber laut der technischen Website der Boeing 737 ist auf jedem Flug nur eine von ihnen im Einsatz. Alle anderen duplizierten Komponenten arbeiten parallel, empfangen unabhängige eingehende Befehle, führen unabhängige Berechnungen durch und übertragen unabhängige Befehlsaktionen. Bei jedem Flug führt jedoch nur eine FCC die gesamte Arbeit aus, und die zweite befindet sich im Leerlaufmodus. Das Schema zur Auswahl eines aktiven Computers sieht seltsam willkürlich aus. Jeden Tag, wenn Sie die Stromversorgung des Flugzeugs einschalten, erhält die FCC auf der linken Seite im ersten Flug die Kontrolle, dann übernimmt das Gerät auf der rechten Seite im zweiten Flug des Tages die Kontrolle, und so wechseln sich die beiden Seiten abwechselnd ab, bis die Stromversorgung ausgeschaltet wird. Nach dem erneuten Anschließen der Stromversorgung beginnt die alternative Verwendung erneut mit der linken FCC.

Ich bin über viele Aspekte eines solchen Systems überrascht. Ich verstehe nicht, warum sich die Beziehung zu duplizierten FCC-Geräten von anderen Komponenten unterscheidet. Wenn eine FCC ausfällt, übernimmt die zweite automatisch die Kontrolle über die zweite? Können Piloten im Flug zwischen ihnen wechseln? Wenn ja, ist dies ein wirksamer Weg, um mit MCAS-Fehlern umzugehen? Ich habe versucht, die Antworten in den Handbüchern zu finden, aber ich kann meinen Interpretationen meiner Lektüre nicht vertrauen.

Außerdem hatte ich große Schwierigkeiten, Informationen über die FCC selbst zu finden. Ich weiß nicht, wer es produziert, wie es aussieht und wie es programmiert ist.


Auf der Closet Wonderfuls- Website wird ein Artikel mit dem Namen „737 Flight Control Computer“ für 43,82 USD versandkostenfrei verkauft. Auf der Airframer- Website finden Sie Listen mit vielen Zulieferern von Teilen und Materialien für den 737, es gibt jedoch keine Informationen zum Flugsteuerungscomputer. Das Gerät verfügt über ein Honeywell-Typenschild. Ich war versucht, das Gerät von der Closet Wonderfuls-Website zu kaufen, bin mir aber ziemlich sicher, dass auf den neuesten MAX-Modellen kein solches Gerät installiert ist. Ich habe erfahren, dass die frühere FCC FCE (Flight Control Electronics, „Flight Control Electronics“) genannt wurde, und daraus kann man ersehen, dass das Gerät analog war und mithilfe von Kondensatoren und Widerständen eine Integration und Differenzierung durchführte. , FCC , , . Intel , , Linux Windows. .

MAX . -, MCAS; , MCAS. -, FCC , AoA MCAS. FCC.

FCC , , Indonesia. ( , ). .

(Manado → Denpasar) , , .


FCC? , MCAS, , FCC. , , , .

, MCAS AoA. ? : , 5,5 , MCAS . 4 5 ?

: AoA.

MCAS , ? ( ) , . «», .

MCAS 50- , AoA . MCAS 100- . ?

, , AoA.

, AoA . , : , 500 –40 .


, ( ). , , 610 . . , , , . , , ; , , 20 .

- , ? : 20 . , . : , 20 . - Professional Pilots Rumour Network , , . , , , .

. , , . ? , .

, FAA , AoA. , , , 737 MAX ( Rosemount 0861 ). , 20 .

- , , , , - . , , . AoA (Air Data and Inertial Reference Unit, ADIRU), , . ADIRU , , , , . , , . ( ADIRU .) , — , .

. , AoA, Lion Air 27 , . , « », . , , , (Stall Management and Yaw Damper, SMYD) , , ADIRU. SMYD . Lion Air, Ethiopian , . , ADIRU.

- Lion Air, . 302 Ethiopian , AoA , . :


AoA , — , — . , , , , . — 75 . , , . .

, , 302. STAB TRIM, , . , , Cutout .

, - .

1. Lion Air Ethiopian AoA, , ( , Lion Air 27 ). , , XTRA Aerospace . , , Boeing, , XTRA.

400 MAX, 800 AoA. 3/800 ? , ?

2. (pitch trim) Lion Air 610. , , .


( ) . , , , . , . , « » , , , . , , MCAS . - . , AoA . FCC , .

3. AoA — Lion Air. :


( ) . , , , , 10 . , , . 610; . ( , .)

, — . ? , ? , AoA ? , . , . , AoA. , .

Vor sechs Monaten schrieb ich über eine weitere Katastrophe, die durch ein außer Kontrolle geratenes Kontrollsystem verursacht wurde. In diesem Fall war das Problem das Erdgasverteilungsnetz in Massachusetts, ein nicht ordnungsgemäß konfiguriertes Druckregelsystem, das in mehr als 100 Gebäuden Brände und Explosionen sowie den Tod einer Person und schwere Verletzungen in zwanzig Gebäuden verursachte. Dann beklagte ich mich darüber, dass das besondere Pathos technologischer Tragödien darin besteht, dass die Maschinen, die wir selbst bauen und herstellen, die treibenden Kräfte unserer Zerstörung sind.

In einer Welt, in der eine fehlerhafte automatische Steuerung zu Hause explodiert und Flugzeuge herunterfallen, ist es schwierig, für die Notwendigkeit einer stärkeren Automatisierung zu argumentieren, die dem Steuerungssystem neue Komplexitätsebenen hinzufügt und Maschinen eine größere Autonomie bietet. Die Gesellschaft neigt sich in die entgegengesetzte Richtung. Wie Präsident Trump vertrauen die meisten von uns Piloten mehr als Wissenschaftlern. Wir wollen kein MCAS an Bord. Wir wollen sehen, wie Chesley Sullenberger, der Held des Fluges 1549 von USAir Airlines, seinen ausgefallenen A320 zur Landung im Hudson River schickt und 155 Passagiere rettet. Kein Automatisierungsgrad im Cockpit lässt einen solchen Trick nicht zu.

Ein kalter, analytischer Blick auf die Statistik deutet jedoch auf eine andere Reaktion hin. Menschliche Beteiligung rettet nicht immer die Situation. Im Gegensatz dazu ist der Pilotenfehler für die meisten tödlichen Unfälle verantwortlich. In einer Studie wurden Pilotfehler als Hauptursache für 40 Prozent der Katastrophen gemeldet, und ein Geräteausfall betrug nur 23 Prozent. Niemand befürwortet (bisher) ein unbemanntes Cockpit , aber im gegenwärtigen Stadium der Entwicklung der Luftfahrttechnologie ist dies eine viel engere Perspektive als ein computerfreies Cockpit.

Das MCAS Modell 737 MAX ist ein besonders umständlicher Kompromiss zwischen voll manueller und vollautomatischer Steuerung. Die Programme tragen einen großen Teil der Verantwortung für die Flugsicherheit und haben sogar die Möglichkeit, die Entscheidung des Piloten zu blockieren. Im Falle einer Systemstörung liegt die Verantwortung für das Auffinden der Ursachen und deren Behebung jedoch vollständig beim Piloten - und die Situation muss schnell behoben werden, da sonst MCAS das Flugzeug zu Boden schickt.

Zwei zerstörte Flugzeuge und 346 Todesfälle sind überzeugende Beweise dafür, dass ein solches Design eine schlechte Idee ist. Aber was können wir dagegen tun? Boeing plant , sich von der automatischen Steuerung zu entfernen und den Piloten mehr Verantwortung und Macht zurückzugeben:

• Das Flugsteuerungssystem vergleicht nun eingehende Signale von beiden AOA-Sensoren. Wenn die Sensoren bei geschlossenen Klappen um 5,5 oder mehr Grad voneinander abweichen, wird das MCAS nicht aktiviert. Eine Anzeige im Cockpit warnt die Piloten davor.
• Wenn das MCAS unter abnormalen Bedingungen aktiviert wird, liefert es nur ein eingehendes Signal für jedes übertragene Ereignis mit erhöhtem AOA. Es sind keine Fehlerbedingungen bekannt oder vermutet, unter denen das MCAS mehrere eingehende Befehle überträgt.
• MCAS wird niemals in der Lage sein, Stabilisatorbefehle mehr zu übertragen als diejenigen, die der Besatzung vom Ruder aus standhalten können. Piloten haben weiterhin immer die Möglichkeit, das MCAS und die manuelle Steuerung des Flugzeugs zu deaktivieren.

Dennis Muilenberg, CEO von Boeing, sagte in einer Erklärung, dass das Software-Update "sicherstellt, dass die Unfälle von Flug 610 Lion Air und Flug 302 von Ethiopian Airlines nicht wiederholt werden können." Ich hoffe, das ist wahr, aber was ist mit den Vorfällen, die MCAS verhindern sollte? Ich hoffe auch, dass wir nicht über den Stall und den Unfall des 737 MAX lesen können, da die Piloten das MCAS als fehlerhaft betrachteten und weiterhin an den Steuerrädern zogen.

Wenn Boeing den umgekehrten Ansatz wählen würde - MCAS nicht einzuschränken, um es mit neuen Algorithmen zu verbessern, die mit dem Steuerungssystem funktionieren -, würde ein solcher Plan mit Empörung und Lächerlichkeit wahrgenommen. Es scheint wirklich eine schreckliche Idee zu sein. MCAS wurde installiert, um zu verhindern, dass Piloten einen explosionsgefährdeten Bereich betreten. Ein neues Überwachungssystem würde das MCAS überwachen und bei verdächtigem Verhalten eingreifen. Aber brauchen wir nicht noch einen, der sich um den kümmert, der zuschaut, und so weiter bis ins Unendliche? Darüber hinaus erhalten wir mit jeder neuen Komplexitätsebene neue Nebenwirkungen, unbeabsichtigte Folgen und die Möglichkeit von Ausfällen. Das System wird schwieriger zu testen und seine Richtigkeit kann nicht mehr nachgewiesen werden.

Dies sind schwerwiegende Einwände, aber das betrachtete Problem ist auch schwerwiegend.

Angenommen, der 737 MAX hätte kein MCAS, aber im Cockpit gab es einen Indikator für den Anstellwinkel. Bei einem Flug mit Lion Air hätte der Kapitän das Gefühl gehabt, dass die Vibrationswarnvorrichtung des Ruders ihn vor einem bevorstehenden Stall warnte und einen gefährlich hohen Anstellwinkel auf der Instrumententafel sah. Seine Fähigkeiten würden ihm sagen, dass er das tun soll, was MCAS getan hat: die Nase senken, damit seine Flügel wieder funktionieren. Würde er es weiter absenken, bis das Flugzeug mit Wasser kollidierte? Natürlich nicht. Er würde aus dem Fenster schauen, die Instrumentenwerte auf der anderen Seite der Kabine erneut überprüfen und nach einigen schrecklichen Momenten feststellen, dass es sich um einen Fehlalarm handelte. (Im Dunkeln oder bei schlechten Sichtverhältnissen kann das Ergebnis schlechter sein, wenn der Pilot den Horizont nicht sieht.)

Ich sehe zwei Lektionen in diesem hypothetischen Beispiel. Erstens sind fehlerhafte Sensordaten gefährlich, unabhängig davon, wer das Flugzeug steuert: ein Computer oder Chesley Sullenberger. Ein intelligent gestaltetes Instrumentierungs- und Steuerungssystem würde Schritte unternehmen, um solche Fehler zu erkennen (und im Idealfall zu korrigieren). Derzeit ist der einzige Schutz vor solchen Fehlern die Systemredundanz, und in der unveränderten Version von MCAS wurde sogar dieser Schutz gefährdet. Das reicht nicht. Ein wichtiger Punkt, der lebenden Piloten einen Vorteil verschafft, ist, dass sie vernünftig und manchmal skeptisch gegenüber den Messwerten der Instrumente sind. Eine solche Diskretion ist für automatisierte Systeme durchaus möglich. Sie können viele Informationsquellen verwenden. Beispielsweise ist eine Nichtübereinstimmung zwischen AoA-Sensoren, Staurohren, statischen Druckempfängern und Lufttemperatursonden nicht nur ein Fehlersignal, sondern auch eine Gelegenheit zu verstehen, welcher der Sensoren sich als fehlerhaft herausstellte. Das Trägheitsreferenzsystem ermöglicht eine unabhängige Steuerung der Position des Flugzeugs. Sie können sogar GPS-Signale verwenden. Es ist allgemein anerkannt, dass die Hauptschwierigkeit darin besteht, all diese Daten zu kennen und daraus die richtigen Schlussfolgerungen zu ziehen.

Zweitens verfügt die Steuerung mit Rückmeldung über eine andere Informationsquelle: ein indirektes Modell des gesteuerten Systems. Wenn Sie den Winkel des Horizontalstabilisators ändern, müssen Sie damit rechnen, dass sich der Zustand des Flugzeugs auf bekannte Weise ändert - Anstellwinkel, Nickwinkel, Luftgeschwindigkeit, Höhe und Änderungsrate all dieser Parameter. Wenn das Ergebnis der Steueraktion nicht mit dem Modell übereinstimmt, stimmt etwas nicht. Die dauerhafte Übertragung identischer Befehle, wenn sie nicht die erwarteten Ergebnisse liefern, ist ein unangemessenes Verhalten. In Autopiloten gibt es in solchen Situationen Verhaltensregeln; Ähnliche Gesundheitsprüfungen können auch in Kontrollregeln auf niedriger Ebene implementiert werden, die während des manuellen Flugs durchgeführt werden.

Ich sage nicht, dass ich eine Lösung für das MCAS-Problem habe. Und ich würde nicht in einem Flugzeug fliegen wollen, das ich selbst entworfen habe. (Ja, und das möchten Sie nicht.) Es gibt jedoch ein allgemeines Prinzip, das meines Erachtens von ganzem Herzen eingehalten werden muss: Wenn autonome Systeme auf der Grundlage von Sensordaten Entscheidungen zwischen Leben und Tod treffen, muss die Richtigkeit dieser Daten überprüft werden.

Update vom 11. April 2019

Boeing besteht weiterhin darauf, dass MCAS „keine Stallschutzfunktion oder Stallverhinderungsfunktion ist. Dies ist eine Funktion der Flugeigenschaften. Meinungen, dass dies etwas anderes ist, sind Missverständnisse. “ Diese Erklärung wurde von Boeings Vizepräsident für Produktentwicklung und Flugzeugentwicklung, Mike Sinnett, abgegeben. Die Erklärung erschien in einem Artikel von Guy Norris in der Aviation Week , der am 9. April veröffentlicht wurde.

Ich verstehe nicht ganz, was "Handhabungsqualitäten" in diesem Zusammenhang bedeuten. Dieser Ausdruck scheint mir etwas zu sein, das mehr Einfluss auf Komfort, Ästhetik oder Bequemlichkeit als auf Sicherheit haben kann. Ein Flugzeug mit anderen Flugeigenschaften kann vom Piloten anders empfunden werden, kann aber dennoch ohne das Risiko schwerer Unfälle gesteuert werden. Spielt Sinnett auf diese Aussage an? Wenn ja, das heißt, wenn MCAS für die Flugsicherheit nicht kritisch ist, bin ich überrascht, dass Boeing es nicht nur vorübergehend ausschalten möchte, um die Flugzeuge wieder in den Himmel zurückzubringen, während das Unternehmen an einer endgültigen Lösung arbeitet.

Norris 'Artikel zitiert auch Sinnetts Worte: "Wir versuchen, eine Situation zu vermeiden, in der der Pilot das Ruder zu sich zieht, plötzlich wird es einfacher, und auch er hebt die Nase." Diese Situation, in der die Nase höher ist als der Pilot wollte, erinnert mich an den Zustand vor dem Stall.

Die Geschichte , die von Jack Nikas, David Gells und James Glantz in der New York Times geschrieben wurde , hat eine andere Perspektive: Sie legt nahe, dass „fliegende Qualitäten“ die Motivation für die Entwicklung der ersten Version von MCAS waren, aber das Risiko eines Abwürgens führte teilweise zu einer weiteren Verstärkung.

Ursprünglich war das System so konzipiert, dass es nur unter seltenen Umständen funktioniert, nämlich bei Hochgeschwindigkeitsmanövern, um Piloten, die es gewohnt waren, mit der vorherigen 737 zu fliegen, eine reibungslosere und vorhersehbarere Kontrolle zu bieten. Dies wurde uns unter der Bedingung der Anonymität aufgrund laufender Untersuchungen von zwei ehemaligen Boeing-Mitarbeitern gemeldet.

In solchen Situationen wurden MCAS-Aktionen durch die Bewegung des Stabilisators - der Teil des Flugzeugs, der die vertikale Richtung des Flugzeugs ändert - in etwa 10 Sekunden um etwa 0,6 Grad begrenzt.

Dies war ungefähr in der Entwurfsphase, als die FAA das ursprüngliche MCAS-Design in Betracht zog. Die Flugzeuge haben ihre ersten Testflüge noch nicht bestanden.

Nachdem die Testflüge Anfang 2016 begonnen hatten, stellten Boeing-Piloten fest, dass der MAX kurz vor dem Abwürgen mit unterschiedlichen Geschwindigkeiten weniger vorhersehbar war als gewünscht. Laut einem ehemaligen Mitarbeiter, der über die Verhandlungen Bescheid wusste, schlugen sie daher vor, MCAS für solche Situationen einzusetzen.

Und schließlich enthält ein weiterer Artikel der Guy Norris Aviation Week eine überzeugende Version dessen, was mit dem Anstellwinkelsensor Flug 302 von Ethiopian Airlines passiert ist. Laut Norris-Quellen wurde die AoA-Wetterfahne Sekunden nach dem Start abgeschossen, möglicherweise aufgrund eines Schlags um den Vogel. Diese Hypothese entspricht den aus dem Flugschreiber extrahierten Diagrammen, einschließlich seltsam aussehender Vibrationen am Ende des Fluges. Ich frage mich, ob es Hoffnung gibt, eine verlorene Wetterfahne zu finden, die nicht weit vom Ende der Landebahn fallen sollte.