Ein Bekannter von mir wollte nur Boing fliegen - weil da im Gegensatz zum Airbus - der Pilot die höchste Autorität ist.

Dies hat Boing offensichtlich geändert und nach meinem Verständnis die Piloten nicht hinreichend informiert.

zudem gibt es noch das „Fail Safe“ Prinzip, das beim MCAS offensichtlich nicht vorgesehen war...

Die "Aufsicht" kann aber nur auf Fakten reagieren von denen sie Kenntnis hat. Wenn Boeing still und leise die Funktion des MCAS erweitert liegt das nicht mehr in der Verantwortung der FAA.

(Antwort an den Letzten)

Ich erhoffe mir ernsthaft, dass hier mehrere Programmverantwortliche auf Seiten Boeings wegen hunderfacher fahrlässiger Tötung mehrjährig hinter Gittern wandern. Rauf bis zum Entwicklungsvorstand.

Dann wird in Zukunft sich beim Zielkonflikt Vertriebserfolg vs. Sicherheit das Pendel noch stärker gen Sicherheit ausschlagen. Denn das wird sich jeder im technischen geschäftlichen Umfeld auf die Fahnen schreiben können.

Für uns im Cockpit gilt Life, Licence, Company. Das sollte in der Industrie nicht anders sein.

Stimme Dir voll zu - es ging in meiner Antwort auch nicht um mögliche Manipulationen am MCAS, sondern um die Frage wie verwerflich oder nicht es von Boeing ist, dass die AoA-Anzeige ein "Aufpreisfeature" ist...

Das ist halt wirklich Unfug. Auch beim Airbus bekommt der Kutscher full authority. Ja, völlig unterschiedliche Cockpitphilosophien, aber „normal“ fliegen kann man selbstverständlich beide Flugzeuge. Ich kann gut verstehen, dass man lieber Boeing fliegt, aber Airbus zu verteufeln weil der Flieger angeblich wilde Dinge veranstaltet bzw. dem Pilot die Kontrolle verwehrt, ist schlicht doof.

Die Piloten haben dann wohl doch was nicht so ganz richtig gemacht. https://www.spiegel.de/wissenschaft/technik/ethiopian-airlines-boeing-737-piloten-folgten-checkliste-zunaechst-a-1260954.html

Ich kann mir das nur so erklären, dass das Betätigen der cut-off-switches nicht den erhofften Erfolg gezeitigt hat... es wäre jedenfalls fatal, wenn sie die Lage in den Griff bekommen hätten, DANN die elektr. Trimmung wieder aktiviert hätten und in Folge MCAS wieder die Steuerinputs gegeben hätte, gefolgt von zu wenig Zeit, um darauf nocheinmal mit dem cut-off der Trimmung zu reagieren...

Dass auch bei Airbus die Kontrolle letztendlich bei der Crew liegt stimmt schon, aber (offenbar ist da Boeing nicht mehr anders) man muss wissen wie man sich die Kontrolle über bestimmte Sicherheitssysteme verschafft wenn diese versagen und gegen die Crew arbeiten.

Stichwort wiederum: Ordentliches Training.

Nichts anderes hab ich geschrieben...

Mir geht es um den kleinen Unterschied, dass man wissen muss wie man bestimmte Fehlverhalten abstellen kann. Bei meinem Typerating in Toulouse haben mir Piloten von Egypt Air ganz stolz erklärt "Every little girl can Fly this". Nicht lange später gab es einen Crash in Kairo. Marketing ist das Eine, eine sichere Operation auch bei Abnormals das Andere.

Mein Boeing Rating habe ich in Berlin gemacht, mein Airbus Rating in Beijing bei Airbus, das eine war ein Rating bei einem Dienstleister, das andere beim Hersteller. Die Qualität der beiden Ratings bzw Ausbildungen würde ich als ähnlich beschreiben. Allerdings wurde uns auch bei Airbus (wie ebenfalls bei Boeing) durch den sehr guten TRI wirklich anhand vorgefallener Unfälle so ziemlich jeder bekannte „Sonderfall“ eingetrichtert. Was wir allerdings bei asiatischen „Kollegen“ im SIM beobachten mussten, war stellenweise haarsträubend. Ich möchte damit keinesfalls sagen, dass alle westlichen Kollegen besser sind geschweige denn die asiatischen schlecht, nur bevor mir hier sonstwas vorgeworfen wird!

So, genug offtopic gelabert...

... und wieder "hackt jemand auf Boeing rum":

https://www.welt.de/wirtschaft/article191322923/Boeing-Absturz-Notfallplan-fuer-Piloten-wohl-unbrauchbar-brisantes-Video-geloescht.html

P.S. Hinweis zu Interessenskonflikten: Der Autor hat soeben (14:53 Uhr) PUTs auf Boeing erworben.

https://avherald.com/h?article=4c534c4a&opt=3072 :

On Apr 4th 2019 The Aviation Herald received a video to demonstrate, how long it takes to trim from full nose down (trim position 0 units) to a normal trim setting (around about 5 units) via manual trim: the captain needed about 30 seconds to get the trim back into normal range and reported being tired afterwards, the first officer tried and failed needing one minute for one unit and then being exhausted.

Vorläufiger Untersuchungsbericht ist veröffentlicht: https://www.ecaa.gov.et/documents/20435/0/Preliminary+Report+B737-800MAX+%2C(ET-AVJ).pdf

(http, ohne s)

Und Kommentare von „Welt „:

https://www.welt.de/wirtschaft/article191364047/737-Max-Boeing-droht-eine-gigantische-Klagewelle.html

report, Seite 9/33, mittig:

At 05:38:44, shortly after liftoff,the left and right recorded AOA valuesdeviated. Left AOA decreased to 11.1°then increased to 35.7° while value of right AOA indicated 14.94°. Then after, the left AOA value reached 74.5° in ¾ seconds while the right AOA reached a maximum value of 15.3°.

RH AOA ca. 15°, LH AOA ca. 75° ... in der Summe: 90° ... gruselig, wenn das mehr als ein Zufall ist.

60° Differenz ist da das gruselige. Die Addiation hat keinen Aussagewert. Es sei denn die Tragflächen wären Elevons (was ich bei Flugzeugen noch nicht gesehen habe, nur Lenkwaffen wie der AIM-7, macht wohl auch bei Kampfflugzeugen strukturell keinen Sinn :-). Aber das wäre eine krasse Rollrate, wobei ich auch bei den Raketen davon ausgehen würde, dass sie nicht gegenläufig ausschlagen),

ja klar, die Differenz im output ist am Ende fatal. Aber mein Gedanke ging eher in Richtung: Wie wird die mechanische Auslenkung in Signal gewandelt. Wenn man die Auslenkung theoretisch auf 90° deckelt und den input invertiert (falsch angeschlossen, auf falsche "Phase" gerundet software-seitig) ... dann könnte man so einen Effekt bekommen. Ist alles Spekulation, aber daß es gerade 90° sind beschäftigt mich !

Ich finde das Gruselige und Böse, dass der Verdacht bezüglich MCAS ja schon nach Lion-Air da war. Wenngleich "die Welt" erst seit Ethopian über MCAS diskutiert: Maxen Spruch von "das sind nicht alles Vollidioten in der Entwicklung" glaube ich so weit, dass diejenigen, die wussten, wie MCAS funktioniert - mit dem dürftigem Single-Sensor-Input, der es steuert - durchaus die Problematik nach Lion-Air hätten verstehen müssen. Und sie hätten die Toten von Ethopian verhindern können, wenn sie einfach das bisschen Software rausgebracht hätten, was 10-100 Zeilen mehr Code beinhaltet hätte. Eben "MCAS beta 2.0" gemäß der Boeing-Webseite.

Etwas Verantwortungsbewusstsein, etwas Ehrlichkeit gegenüber der FAA im Sinne von "Wir halten dieses Update für wirklich dringend" statt den Nebelkerzen bezüglich AoA auf der Boeing-Webseite, und Ethopian hätte nicht sein müssen.

Mir ist es scheißegal, ob da Leute bei Boeing in psychologischer Behandlung sind. Sie können sich von mir aus gerne einen Strick nehmen - das hilft zwar niemandem, ist aber eine traditionell aufrichtige Form der Verantwortungsübernahme, die bisher fehlt.

Hier stehen zwei Forderungen im Konflikt.

Einerseits ist der Hersteller primär verantwortlich, sichere Systeme zu entwickeln. Behörden legen Kriterien fest, wie das zu geschehen hat, und prüfen nach.

Andererseit schreit alles danach, dass die Behörde alles penibel prüfen soll, und erst nach solcher Prüfung das System freigegeben wird, was alles langwierig und teuer macht.

Also macht man hier der FAA gleichzeitig den Vorwurf, ein System von Boeing zu einfach durchgewunken zu haben, und eine schnelle Lösung zu verhindern...

Wie man's macht, isses falsch...

Nein, falsch. Im Moment stehen die Kisten am Boden, wo sie hingehören. Und die FAA bemüht sich, jetzt ihren Job richtig zu machen. Dafür sollte sie sich die nötige Zeit lassen, statt "beta 2.0" durchzuwinken. Vorher war die Situation die, dass die aktive Analyse von Boeing: "Wir haben da wohl etwas geschlampert programmiert - jetzt mit 2 statt 1 Sensoren und nur einmal eingreifen" Menschenleben gerettet hätte.

Ich möchte meinen Punkt nochmal an einem Beispiel deutlich machen, dass die Mehrzahl kennt: AutoRouter.

In AutoRouter kann man einen GAR direkt filen, wenn es nach UK geht. Großartig. Daneben filed man einen Flightplan. Autorouter hat nun eine Funktion, über die ich gestolpert bin: Der macht tatsächlich dumme Dinge wie die Anzahl der Personen im GAR mit der Anzahl der Personen im FPL zu vergleichen. Das hat niemand Achim ins Pflichtenheft geschrieben, keine EASA, keine FAA - und es geht auch nicht um Menschenleben. Aber Achim hat sich um diesen Fall gekümmert. Einfach einen billigen Plausibilitätscheck eingebaut, der sagt: "Hey, da ist was inkonsistent!". Obwohl es nur um kleine formale Fehler geht.

So programmiert man richtig, sogar "beyond expectations".

Wie man falsch programmiert, sieht man bei Boeing.

Der Vergleich hinkt, weil Autorouter kein lebensnotwendiges Echtzeit-Regelungssystem ist! MCAS ist das.

Ja, wenn MCAS auf Grund falscher Daten falsch regelt, dann sterben leider Menschen. Das Problem ist aber (auf Grund eines fundamentalen Hardware-Designfehlers): Wenn MCAS nicht funktioniert, dann sterben auch Menschen.

Während es in Deinerm Autorouter-Beispiel einen einfachen Safe-State und damit eine einfache Regel bei Dateninkonsistenten gibt („WENN Daten inkonsistent DANN nix machen bis der User die Inkonsistenz aufhebt“) besteht die bei MCAS offensichtlich nicht. Gäbe es sie, dann wäre es ja extrem einfach gewesen, nach Lion-Air erst mal das MCAS in allen Fliegern stillzulegen.

In so fern wäre ich echt vorsichtig dabei, die Schuld den Boeing-Programmieren zu geben: Natürlich könnten sie einfach im Programm feststellen, dass Eingangswerte nicht zusammen passen - aber es kann sich kein Programmierer sondern nur ein Aerodynamiker überlegen, was das System eigentlich machen soll, wenn es solche Inkonsistenten Werte gibt. In der Luft anhalten und warten, bis der Pilot angeklickt hat, welche AoA-Sonde wohl richtig anzeigt geht ja leider nicht...

Ich würde sogar sagen, dass MCAS wal wieder ein gutes und leider sehr tragisches Beispiel dafür ist, dass es eine sehr dumme Idee ist, Hardware-Designfehler mit Software beheben zu wollen.

Deine Kritik, dass "Nicht-Handeln" anders als bei Auto-Router ebenfalls eine gefährliche Situation ist, ist richtig.

Sie berücksichtigt aber nicht, dass den Programmierern oder Systemarchitekten alle Daten vorlagen, um die richtige Entscheidung zu treffen. Es gibt diverse Flugzeuge, die nicht mal die "digitale AoA-Anzeige" in Form der Tröte haben. Hier fliegen Piloten anhand diverser anderer Parameter, die einen Rückschluss auf den AoA zulassen, durchaus überwiegend erfolgreich Starts und Landungen: Habe ich bei Gewicht X Speed Y, ist der AoA vermutlich noch im unkritischen Bereich. Lutz hat dargelegt, dass man vermutlich für jedes IAS, GS und RoC eine Flugsituation finden kann, in der der AoA kritisch ist, auch wenn die anderen Daten "sauber" sind. Stimmt vermutlich. Verknüpft man das aber mit der Historie, also dem Zustand ein paar Sekunden vorher, kann man durchaus die Plausibilität beurteilen: Bleiben IAS, ROC, GS, Schub und Pitch weitgehend konstant, ist eine radikale Änderung des AoA um 40 Grad grob unplausibel. Boeing hat aus zig Meßwerten, die einen Aufschluss zur Fluglage zulassen, genau einen herausgegriffen und sich auf ihn bedingungslos verlassen, ohne ihn mit diversen anderen, darunter einem redundanten Parameter (dem 2. AoA-Sensor) auch nur ansatzweise abzugleichen.

Anders argumentiert:

• Wir wissen alle, dass wir bei der Tröte drücken sollten
• Ausnahme 1: "Das gilt nicht beim Flare" hat Boeing ja noch mitbekommen
• Niemand von uns würde aber - weil seine Tröte einen Defekt hat und im Steigflug plötzlich dauertrötet - sein Flugzeug erst in den Levelflug, dann in den Sinkflug bringen, und dann mit 80 Grad in den Boden rammen.

Deswegen nehme ich mir raus, bei der "neuen" MCAS-Version auch von "beta 2.0" zu sprechen.