Da ich in der Forschung ab und zu mit Sensortechnik zu tun habe (als Hilfsmittel, nicht als Forschungsgegenstand), eine ganz generelle Anmerkung zum Thema Sensoren:

Mal vom Sonderfall eines "stuck sensor", also eines festsitzenden, aber grundsätzlich noch funktionierenden Sensors, abgesehen, liefern die meisten Sensoren bei einem mechanischen Defekt einen Extremwert zurück, d.h. entweder ganz hoch oder ganz niedrig. Sowas lässt sich i.d.R. relativ schnell feststellen, aber eben nur, wenn man plausible Abgleichsdaten hat. Plausible Abgleichsdaten können auch Bediener sein. Ich merke es am Prüfstand z.B. durchaus, wenn der Temperatursensor direkt beim Einschalten eine Öltemperatur von 250 °C anzeigt und kann entsprechend handeln. Trotzdem springt natürlich sofort die Ölkühlung auf Vollgas, auch wenn das Öl gerade einmal Zimmertemperatur hat (und 60 °C haben sollte).

Ein Beispiel für einen auf einen Extremwert schaltenden Sensor aus der Luftfahrt ist - abgesehen vom vorliegenden Fall - der Flug Turkish 1951, ebenfalls eine Boeing 737, die 1,5km vor dem Flughafen Amsterdam im Acker landete. Grund: Defekter Radarhöhenmesser, die Anzeige lautete dauerhaft "-8 ft".

... und ich bin halt eher vom Software-Bereich :-)

Und deswegen schon mein branchenselbstkritisches Grübeln auf Seite 7:

"Die genannten Sekundärphänomene, also Geschwindigkeitsabnahme und positive RoC wären aber Sicherheitsmerkmale, um zu bestimmen, ob es sich beim vermeintlich gemessenen, zu hohen AoA um eine Fluglage auf den HighSpeed-Stall zu handelt, oder ein Meßfehler wahrscheinlich ist."

Selbst mit nur einem AoA-Sensor: Wenn der schlagartig einen Extremwert annimmt, dann wäre das auch ein Indiz: Z.B. über die Ableitung der Änderungsgeschwindigkeit: Deutlich schneller als die Nickrate des Flugzeuges sollte sich eine AoA nicht in den Extrembereich ändern können, insbesondere bei höherer IAS, sonst ist er unplausibel.

Ich kann mir gut vorstellen, dass das MCAS-System noch ein Lehrstück für Software und was man besser nicht macht werden könnte.

Hmm, RoC als Indikator halte ich für sehr gefährlich. Flugzeuge können ja bei nahezu jeder climb rate gestalled werden.

Flugzeuge können ja bei nahezu jeder climb rate gestalled werden.

... auch eine 737 o.ä.?

Plausible Abgleichsdaten können auch Bediener sein. Ich merke es am Prüfstand z.B. durchaus, wenn der Temperatursensor direkt beim Einschalten eine Öltemperatur von 250 °C anzeigt und kann entsprechend handeln.

Gutes Beispiel für die Unterschiede zwischen menschlicher und maschineller Regelung. Gerade das geschilderte Beispiel hat ja nichts damit zu tun, dass der Mensch irgendwie besser Temperaturen messen könnte, als die Maschine, schlauer wäre oder gar so etwas wie Intuition hätte (eh immer gefährlich), sondern schlicht damit, dass Du Kontextwissen beutzt, dass die Maschine nicht hat.
Die 250° beim Einschalten machen nämlich nur deswegen keinen Sinn, wenn Du *weisst* dass nicht gerade jemand unmittelbar vor Dir den Motor hat laufen lassen oder wenn Du eine so hohe Temperatur spüren würdest, weil Du direkt daneben stehst (also zusätzliche Sensoren nutzt). Ohne dieses - oder ähnliches - Kontextwissen ist es ja keinesfalls unplausibel, dass nach dem Einschalten die Öltempoeratur gleich (oder besser: noch) 250 Grad ist.

Warum nicht?

Ich kann ja nicht mal definitiv beschreiben, wie genau was durch das MCAS verhindert wird. Aber:

Stell Dir einen n-dimensionalen Raum vor (jaja, ist ab 3 schwer), in dem die Achsen durch vermeintlichen AoA, IAS, RoC, Attitude, Schub und vielleicht noch GS definitiert werden, und dann weiter durch gemitteltete Messwerte 3 Sekunden vorher für all' diese Werte, und meinetwegen auch noch Ableitung dieser Werte. Wären dann 18 Dimensionen.

Dann denke ich, dass der Bereich, in dem man sagen kann: "Hier liegt der MCAS-Usecase berechtigt und plausibel vor" versus dem Bereich: "Grober Unfug, was hier an Daten anliegt - alert pilot" recht klar abgrenzbar ist.

Stall hängt nur vom AoA ab, nicht von Speed, Attitude, ROC, Bank, etc.

Stall hängt nur vom AoA ab, nicht von Speed, Attitude, ROC, Bank, etc.

... irgendwie sah ich vor meinem geistigen Auge Lutz in der Extra und sie bei 160kts stallen.

Deshalb fragte ich Ihn, ob er auch so eine 737 etc. stallen würde. Aber ihr habt natürlich recht. Wenn ich genug Speed rausnehme, also u.U. entsprechend Leistung reduziere, dann bekomme ich sogar bei negativem RoC einen Anstellwinkel hin, der die Fläche stallen lässt.

> Stall hängt nur vom AoA ab, nicht von Speed, Attitude, ROC, Bank, etc.

Und trotzdem schätze ich Dich, Max, so ein, dass Du - mitten im schönen normalen Steigflug mit nettem Pitch und ansonsten rundum "schönen" Instrumenten, aber einem plötzlich "high AoA"-brülllenden Messgerät nicht die Nase runterdrücken würdest, bis sie sich in den Boden bohrt.

Warum? Obwohl doch der AoA sagt: "Wir stallen gleich!", also dringend Deine Handlung geboten ist. Weil Du die Plausibilität der AoA-Anzeige hinterfragen würdest, wenn Dir der Rest absolut normal auch im Hinblick auf die Situation 2 Sekunden vorher erscheint. Das kann auch Software, hat sie aber offenbar nicht gemacht.

Die Software konnte es eben bisher nicht, da sie keinen Vergleichswert hatte und nur eine AOA-Sonde den Wert lieferte.

Dass es offenbar so war, dass man das System bei höheren Speeds nicht mehr übersteuern konnte macht es nicht besser ...

Angeblich testet Boeing seit gestern eine neue Variante der SW und hat dazu auch Piloten verschiedener Airlines eingeladen, die das im Simulator ausprobieren dürfen.

Die Hauptfrage ist: Hat Boeing die FAA übergangen als die Firma der Automatik 2,6° Ausschlag zubilligte nachdem in der Zulassung durch die FAA nur 0,6° angegeben wurden? Angeblich wurde der Wert ohne Wissen der FAA geändert als man feststellte, dass 0,6° nicht reichen ...

Stall hängt nur vom AoA ab, nicht von Speed, Attitude, ROC, Bank, etc.

When will they ever learn?

When wil they - ever- learn!

Ich verstehe eine Sache zum verrecken nicht... Die Triebwerke können den Flügel erst ab einem bestimmten Winkel so abschatten, dass er stolt...richtig?!

Wieso wird dann nicht einfach genau dieses Problem, der anstellwinkel via max anstallwinkel begrenzt ?

Genau darum geht es ja.. Airbus macht es via normal law, Boeing über andere Systeme (die sich als fehlerhaft erwiesen).

Wolfgang, um es so hart zu sagen: Damit könntest Du die Software geschrieben haben und die Menschen mit Teilschuld in den Tod gerissen haben. Die Softwarearchitekten haben mutmaßlich halt auch nur die Auswertung des AoAs ins Pflichtenheft geschrieben.

Ich diskutiere hier aber seit Seite 7 über die Plausibilität eines AoA-Meßwertes, und die ist sehr wohl aus anderen Meßwerten plus der Historie dieser Werte ableitbar.

Ich glaube da noch nicht so recht dran, Georg. Aus meiner Sicht lassen sich nicht nur unendlich viele Manöver denken, in denen dann unvorstellbare Zusammenhänge doch eintreten könnten und das gleiche gilt für die Fehlfunktionen und Kombination von Fehlfunktionen. Drei AoA-Sensoren sind mE der bessere Weg. Die dann abgleichen. Aber auch da wird es dann Situationen geben, in denen MCAS losrennt, obwohl das besser unterblieben wäre. Ob es zu einer solchen Situation je kommt, ist dann eine andere Frage. Letztlich bleibt für mich wichtig, dass man sämtliche Steuerinputs des Computers a) einfach abschalten kann und b) klar ersichtlich ist, in welchem Modus ich mich befinde.

Andererseits wissen auch viele nicht, wie sie bei einer DA40 mit Autopilot die elektrische Trimmung mit einem Knopf killen können.

Die Annahme, dass bei Boeing und Co. nur Idioten in der Entwicklung arbeiten ist vielleicht doch auch etwas..vermessen.

Airbus hat schon noch ein paar zusätzliche "laws" (vgl. Bedingungen) zum AoA in ihre Schutzmechanismen eingebaut wie zB IAS, aber ROC gehört definitiv nicht dazu. Wie sich bei AF447 zeigte wurden bei deren Stall sogar diese Schutzmechansmen quasi überlastet.

Amerikanische Piloten brüsten sich ja öffentlich damit, daß ihnen diese Unfälle nicht passiert wären. Wie siehst Du das: muß nach dem Start bei immer merkwürdigerem Verhalten des Fliegers der zweite oder dritte Gedanke trim runaway sein?

"Die Annahme, dass bei Boeing und Co. nur Idioten in der Entwicklung arbeiten ist vielleicht doch auch etwas..vermessen."

Nix ekligeres als "Armchair pilots" und "monday morning quarterbacks", klar. Man muß die Menge an Code berücksichtigen, die da eingebaut ist. Sicher zigtausendfach mehr als der Schnipsel MCAS-Logik. Eine von zigtausend enthält dann eben Fehler ... offensichtlich hier.

Aber isoliert betrachtet ist MCAS schon merkwürdig: hochgefährliche, nicht redundante Software, keine Plausibilitätsprüfungen, keine Begrenzungen der Wirksamkeit, tückisch intermittierende Aktion, keine Reaktion auf Piloteneingaben außer "jetzt erst recht", keine Anzeige der Aktivierung, nicht gezielt deaktivierbar, nicht erwähntes Weglassen alter Deaktivierungsmechanismen (wenn der Pilot voll zieht), keine Erwähnung in irgendeinem Handbuch, keine den Piloten zugängliche Funktionsbeschreibung, falsche Beschreibung in den Zulassungsunterlagen, ... all das mit der Begründung, man habe den Piloten nicht "mit zuviel Informationen verwirren wollen".

Das alles ergibt eher Sinn, wenn man einen aerodynamisch nicht zulassungsfähigen Flieger durch poor man's fly-by-wire zulassen will, unter extremen Zeitdruck, mit an den Hersteller outgesourcter Zertifizierung durch vom Hersteller ausgewähltes Personal und das alles so, daß möglichst keiner merkt, was gemacht wurde. Letzteres halte ich für das größte juristische Problem für Boeing.

"Mir wär das nicht passiert" sagt sich immer leicht - nach Kenntnis vieler Details die die Crew meist nicht hatte, ausgeschlafen daheim, ohne Risiko. Ich habe schon viele Fehler gesehen (und natürlich auch selbst produziert), bei denen man auch selbst gesagt hätte "passiert mir nicht". Der Umgang mit den Fehlern ist das Salz in der Suppe auf dem Weg zum besseren Piloten.

So etwa: "an einem schlechten Tag kann einem das passieren"?

Vor Jahrzehnten bin ich mal notgelandet, weil in 500-600ftft AGL zwischen Autobahn li, Industriegebiet re, Hochspannungsleitung geradeaus und Dorf dahinter der Motor ausfiel. Was macht man (war gerade 40 Std nach Aufstocken von PPL-B auf PPL-A)? Wie gedrillt: 1. Vollgas, 2. Full rich, 3. El. Kraftstoffpumpe, 4. Benzinhahn. 1,2,3 hab ich auch gemacht, 4. ... ... nicht. Weil ich eben außer während der kurzen Zeit der PPL-A-Umschulung vorher und nachher nur Monotank-FLieger flog, wo es auf die Finger gab, wenn man den immer offenen Benzinhahn anfasste. Seither weiß ich, daß ich (auch gravierende) Fehler machen kann.

Vor nicht mal 6 Monaten war sich dieses Forum noch mit überwältigender Mehrheit einig, dass es ganz einfach ist, aus Geschwindigkeiten und Beschleunigungen ganz ohne Sensor den AoA auszurechnen - und man wurde alleine schon für die Aussage gesteinigt, dass das nicht geht.

So ändern sich die Zeiten ...

Das war in einem völlig anderen Kontext. Die Konfiguration im Moment ist ein single point of failure und nur von einem (!) aus überhaupt nur zwei AoA Sensoren abhängig.

Unbestritten ist doch, denke ich, dass für ein System, welches mit derart hoher Vehemenz gegen die Eingaben des Piloten arbeiten kann, die Auslesung lediglich eines von nur zwei vorhandenen AoA Sensoren nicht ausreicht, sondern die Auswertung von zwei aus drei AoA Sensoren angeraten wäre. Boeing müsste also einen weiteren AoA Sensor einbauen, oder kurzfristig das System so gestalten, dass die Steuerdrücke weitaus geringer sind und sich das System mit einem Schalter komplett deaktivieren lässt. Was dann wiederum die Frage aufwirft, ob es dann noch seinen Zweck erfüllt.

Es ließ sich schon bisher mit den beiden switches „stab trim“ abschalten wenn ich das richtig verstanden habe.

Du bist ja nun voll aus diesem Segment der Fliegerei...

... Was mir einfach nicht in den Kopf geht ist, ab einem bestimmten Winkel Schirmen die TW die Fläche ab. OK, aber wie verhält sich die Nummer nun, wenn ich mit deutlich höherer Geschwindigkeit an die Sache ran gehe ... Der AOA sagt alles gut aber trotzdem ist der anstellwinkel zu groß.. Was passiert jetzt?

Es ging gar nicht um ein Abschirmen - sondern darum, dass die beiden großen, und unten abgeflachten, Triebwerke ab einem bestimmten AOA plötzlich starken zusätzlichen Auftrieb generieren und man so dem Stall gefährlich nahe kommt. DANN greift das MCAS ein und trimmt Nose Down.