Die zwei Ventile in Serie scheint es bei Boeing generell zu geben. Folgendes habe ich dazu gefunden (B737 Material):

"Spar Fuel Shut Off Valves" are DC Motor operated from the hot battery bus. The "Engine Fuel Shut Off valves" are fuel actuated, solenoid controlled valves powered from the battery bus.

Das "Engine Fuel Shut Off Valve" ist das Ventil direkt am Triebwerk. Das "Spar Fuel Shut Off Valve" ist das Ventil davor.

Für das fuel actuated Ventil am Triebwerk benötigt man zum schließen Treibstoffdruck und nur wenig Strom für das Magnetventil (solenoid). Für das Spar-Ventil benötigt man zum schließen nur Strom, dafür aber mehr um den Motor anzutreiben.

Die Philosophie ist vermutlich, dass man immer in der Lage sein will das Triebwerk bei einem Brand abzustellen. Bei dem fuel actuated Ventil könnte man sich vorstellen, dass es nur mit Treibstoffdruck geöffnet wird und per Federdruck geschlossen wird. Was aber keinen echten Sinn ergibt, da man das Ventil eigentlich nur schließen können muss, wenn Treibstoffdruck vorhanden ist, zumindest im Falle eines Brandes.

Edit: folgendes habe ich gerade auf Twitter gefunden:

https://x.com/Pulkit_Saraf/status/1936330919138275758?t=oe9oryKd85YAyQRPsiTJLA&s=19

Danke für den exzellentenLink!

Lies mal meine Antwort dazu...

Auf X steht ja viel wenn der Tag lang ist ... es ist absolut unglaublich, dass das so designed sein kann.

Engine design engineer so: "Ich hab ein super sicheres Triebwerk konstruiert. Selbst wenn der Strom ausfällt, läuft es einfach weiter, weil es ne völlig unabhängige Fadec mit einem komplett unabhängigen Generator hat. Und selbst wenn der auch noch ausfällt, läuft das Triebwerk immer noch weiter, weil dafür hat es seine ganz eigene Notfallbatterie. Man muss das Triebwerk schon direkt mit einer Rakete treffen, dass das ausgeht"
Fuels system design engineer: "Challenge accepted. Ich stell euch einfach sofort den Sprit ab, wenn das Bordnetz ein Problem hat. Dann kann Deine super duper Fadec mal zeigen, was sie so drauf hat."

Nicht mal Cirrus ist bisher auf die Idee gekommen, bei Ausfall des elektrischen Systems den Brandhahn sofort automatisch zu schliessen. Auch wenn das für die ein "tolles" Marketinginstrument für ihren Schirm wäre ;-)

Wenn das tatsächlich so wäre, dann müsste man SOFORT alle Boing Flugzeuge grounden und einem intensiven Design-Review unterziehen (faktisch würde man damit Boeing schliessen und die Flotte verschrotten). Denn wer weiss, was als nächstes rauskommt?
Wenn eine der Bord-Kaffeemaschinen überläuft werden vielleicht automatisch sofort die Quer- und Höhenruder blockert, weil ein Boeing-Ingenieur gedacht hat: "Oh, oh, oh, wenn das Flugzeug dann rollt oder nickt, dann könnte der übergelaufene Kaffee sich ja im Flieger verteilen und wer weiss, was das dann anrichtet. Dann lieber bis zur nächsten Inspektion die Steuerung komplett abschalten".

Wir sind halt in der Entwicklung so weit angekommen, dass man es mehr der Technik/dem SW-Design zutraut, Fehler zu handeln, als dem Humankapital. Die gegenseitigen Beeinflussungen der Designframes sind so komplex geworden, dass ich behaupte, dass nicht einmal die direkt involvierten Entwicklungsingenieure da noch durchblicken können. Mit zunehmender Flottenverjüngung drängen sich solche Fehler auch mehr in den Vordergrund. Ich fürchte auch, dass die Treiber durch einen Design-/Auslegungsfehler/falsch gesetzte Prioritäten abgestellt wurden...

Ich stimme zu, dass auf X viel Quatsch geschrieben wird. Dieser Post ist jedoch sehr detailliert und liest sich ganz anders als Posts von Möchtegern-Spezialisten, ich vermute daher, der Inhalt eher auf Tatsachen beruht.

Die beschriebene Boeing Philosophie "it's safer for the engine to shut down than to keep feeding fuel into a potential fire" erscheint mir aber auch ziemlich hirnverband zu sein, vor allem, wenn es bei einer kurzen Unterbrechung der Stromversorgung zum Abschalten beider Triebwerke führen kann.

Kennt denn wirklich keiner der vielen ATPL-Piloten im Forum das Fuel-System der B787?

Ja wir erinnern uns alle gerne daran, wie früher [TM] Flugzeuge von richtigen Männern [TM] geflogen wurden und in der Kabine vor lauter Rauch nichts zu sehen war, da gab es auch viel weniger Unfälle und Tote als heute.

Sorry Tias, aber das ist einfach nur Quark. Die fehlerhafte Programmierung von MCAS bei der 737 MAX hat bewirkt, dass eine Fehlfunktion des MCAS nicht eine angenommene Auswirkung niedriger Kategorie bewirkt hat, sondern in einem Failure der höchsten Kategorie "hazardous" gemündet hat. Es mussten erst 2 Jets abstürzen, mit all den Verlusten an Menschenleben... und es gab einige Recoveies, die (zum Glück) gerade noch geklappt haben, bevor bei Boeing nach entsprechenden Verlusten an den Börsen dem Problem die nötige Aufmerksamkeit entgegengebracht wurde... Da ist es schon angebracht, auch solche möglichen SW-Failures bei diesem tragischen Absturz der 787 zu beleuchten.

Man muss bei jedem Incident und besonders Accident alle Aspekte betrachten. Und natürlich muss man in modernen Flugzeugen auch viel mehr und tiefer in die Software schauen als früher, ist ja auch einfach mehr da. Habe ich überhaupt nichts gegen gesagt.

Und klar hat Software und komplexere Systeme auch schon in Unfällen eine Rolle gespielt, die es ohne diese Systeme vielleicht nicht gegeben hätte. Wenn aber für jeden neuen Unfall zehn der alten Sorte vermieden werden, dann ist es das wert. Menschen machen Fehler, von Menschen entwickelte Technik macht Fehler. Aber andere und vor allem zu anderen Zeiten und in anderen Situationen. Aber auch hier entwickelt sich die Technik doch weiter und die Wissenschaft trägt auch mit neuen Erkenntnissen zu Verbesserungen bei.

Und MCAS ist doch nicht ernsthaft ein primär technisches Problem. Nach allem was da bekannt geworden ist, stand hier Kostendruck im Vordergrund mit dem vielesschön geredet wurde. Welcher Ingenieur hätte bei der Aufgabe einen Clean Sheet Entwurf hinzulegen denn bitte nein gesagt?

Die MCAS-Unfälle waren unverzeihlich, der zweite !!) sowieso und noch unverzeihlicher war die Arroganz mit der Boeing das Problem zunächst (das haben sie aber bald aufgegeben) auf die Piloten schieben wollten ... unverzeihlich und zynisch.

Diese beiden Unfälle, und einige andere, ändern aber nichts an der gesicherten Tatsache, dass die Zivilluftfahrt noch nie so sicher war wie heute.

Und das ist es, worauf es im Endeffekt ankommt. Es wird noch viele Generationen (von Menschen und Flugzeugen) dauern bis wir bei "Null Unfällen" in der zivilen Luftfahrt ankommen ... oder nahe Null ...

Von Februar 2009 (Colgan Air) bis April 2018 (Southwest Airlines) kam KEIN PAssagier an Bord eines Verkehrsflugzeuges in den USA ums Leben. (Ich hoffe die Statistik stimmt). Ich glaube nicht mal Rolltreppen können da mithalten. Das ist eine unglaubliche Statistik wenn man sich vorstellt, dass dort in jeder Minute des Tages 5-6000 Maschinen in der Luft sind (eine alte Zahl, die ich jetzt nicht verifizieren kann).

Post editiert

Alex...das war firmenpolitik...erinnerst du dich noch an den airbusunfall...in den 90igern...statt zielhöhe 3500 ft hat der analoggewöhnte pilot 3500 ft/min sinken digital eingestellt...dann war der berg über den er wollte eben früher da und ist reingeflogen...airbus war 2 tage nicht zu erreichen...dann mußte bei allen flugzeugen gleichen typs die mimik dafür umgebaut werden...riiieeesen aufwand...

Das war 3500 Rate of Descent statt gewollt 3.5 Grad Flight Path Angle

ich wußts nicht mehr soooo genau....

kann mich noch dran erinnern, daß der PF den ärbus immer atari-flieger genannt hat...

Beim Umstieg auf den A320 fand auch ich die Bedienung bzw. Anzeige vertical speed Vs. flight path angle gewöhnungsbedürftig.

Was hattest du nochmal vorher geflogen?

MD81/82/83/87 - alles analog und ohne FMS, mit Bildschirmen in den MD87 die analoge Anzeigen darstellten.

Ein neandertalpilot mit analogen im display...one small step f austrian...und die md11...hattest da auch mal das vergnügen?

Hatten wir nie, das war Swissair. Ein paar Kollegen flogen aber ein paar Jahre leihweise dort MD11. Wir hatten A330/340.

Ja ..die tobleronis...kann mich noch an juli 91 erinnern...mit 5 passagieren in der md11 von muc alt nach zürich...dann weiter nach ord..

Edit: folgendes habe ich gerade auf Twitter gefunden:

https://x.com/Pulkit_Saraf/status/1936330919138275758?t=oe9oryKd85YAyQRPsiTJLA&s=19

Dieser Post ist mehrfach kopiert. Er wurde auch als erster Kommentar (vom Videoersteller @Garybpilot selbst) unter dem zuvor verlinkten Video gepostet. Als Quelle wurde @HeyFixThis genannt. Ein passender Kommentar von @HeyFixThis ist aber weder bei YT, noch bei X zu finden. Es lässt sich also nicht wirklich verifizieren, wieviel B787 Know-how hinter dem Post steckt.

Für mich (und leider auch die Opfer) spielt es keine so wichtige Rolle, ob zuerst Dual Engine Failure eingetreten ist oder eine Total Electrical Failure, die zu einer Dual Engine Failure geführt hat. Die Ursache dürfte ziemlich sicher in der Software-/Systemumgebung liegen und damit spielt die Ursachenforschung eine umso dringlichere Rolle. Menschliches Versagen oder bewußte menschliche Einflußnahme ist extrem unwahrscheinlich.

Menschliches Versagen oder bewußte menschliche Einflußnahme ist extrem unwahrscheinlich.

Der ganze Unfall ist extrem unwahrscheinlich. Ich sehe keinen Grund, warum eine menschliche Ursache zwingend unwahrscheinlicher sein sollte, als eine technische.

Ich habe jetzt keine wirkliche Statistik gemacht (und ChatGPT ist darin leider noch zu schlecht), aber "gefühlt" überwiegen bei Totalverlusten von Flugzeugen sogar menschliche oder eine Kombination aus technischen und menschlichen Ursachen sogar denen mit rein technischen Ursachen.

Was mich so ein kleines bisschen an der technischen Ursache zweifeln lässt: Der Unfall ist jetzt bald zwei Wochen her, und die Flugschreiber sind zeitnah geborgen worden. Und ich gehe davon aus, dass Tag und Nacht an deren Auswertung gearbeitet wird.

Sicher ist es noch viel zu früh auch nur für einen Zwischenbericht. Aber mit der Anzahl an Parametern, die da mutmaßlich zur Verfügung stehen und der heutigen Auswerte-Methodik sollte man doch inzwischen eine grobe Idee haben, was da passiert ist. Nur: Es gibt kein grounding der Flotte, keine Emergency AD, oder irgendwelche (öffentlich bekannten) Operator instructions - nada. Alle 787 fliegen munter weiter...

gerade hier vermute ich allerdings auch die große Herausforderung:

WAS war der Root-Cause einer möglicherweise erkennbaren Reihe von Aktionen, die sich aus dem FDR erkennen lassen?

In meiner unmaßgeblichen Kenntnis von Systemen (Flugzeuge bis etwas über 5,70 to MTOW) ohne FADEC etc. und mit etwas Software-Entwickler-Kenntnis, stellen sich die Fragen:

• ist es sinnvoll und richtig, dass allein durch Software der Shutdown eines Triebwerks überhaupt möglich sein kann? Egal ob durch dieFADEC, FCU oder Fuel shutoff valves...
• keine Software ist fehlerfrei. Wie müssen Systeme zusammenarbeiten, um ein unbeabsichtigtes Herunterfahren von Komponenten zu verhindern?
• Wie sicher funktioniert die Elektronik, über 10 Jahre alt, Wärme, Feuchtigkeit, "Bugs" im ursprünglichen Sinn des Wortes. Kann das - nach Maßgabe zum Zeitpunkt der Entwicklung des Musters B787 - berücksichtigt sein, sind die entsprechenden Software-Releases aktuell und OK?
• welche Maintenance-issues gab es? Wurden defekte Systeme getauscht, ggf. als INOP gelabelt und mittels Minimum-Equipment-List weiterbetrieben?
• Wurden Komponenten als "release to service" geschrieben, obwohl nicht "lufttüchtig", aber nicht mehr rechtzeitig verfügbar (AOG vermeiden?) oder unzureichend repariert?
• Ich will hier absolut kein Bashing gegen die Airline und deren Maintenance betreiben, aber Indien ist jetzt auch nicht als "Gold-Standard" für Flugzeugwartung bekannt... Meine - 10 Jahre zurückliegenden - Erfahrungen mir indischer Air-OPS lassen da leichte Zweifel aufkommen...
• das Ganze gepaart mit verborgenen Fehlern in der Systemlogik...

Nur ein paar Gedanken zu den bislang veröffentlichten Fakten und auch Spekulationen...

+1

Arbeiten wohl gerade an der Formulierung für die Presse?!

Unglaublich, danke für die Recherche. Ich kann es irgendwie nicht nachvollziehen, dass sich im Internet soviele Leute mit fremdenden Federn schmücken.

Persönlich bin ich auch der Meinung, dass die Ursache in der Software zu suchen ist. Schon die Tatsache, dass es eine AD gibt, die es fordert eine Komponente nach 248 Tagen neu zu starten (FAA AD-2020-06-14) damit Altitude und Attitude in den PFDs weiterhin korrekt angezeigt werden. Vermutlich läuft in der betroffenen Komponente ein Softwarezähler für zehn-Milisekunden-Zeitschritte. Wenn es sich bei dem Zähler um eine 32-Bit Integer Variable handelt (Wertbereich -2147483648 ... 2147483647), dann läuft der Zähler nach 248,5 Tagen über und die SW stürzt ab (2147483647 / (24*60*60*100) = 248,5). Eigentlich wird bei Software welche nach der Luftfahrt SW-Entwicklungs Norm DO-178 entwickelt und getestet wird, je ein Testfall für jeden möglichen Grenzfall von Variablen erzeugt (z.B. Überlauf) und getestet, was wohl bei der Software dieser Komponente nicht erfolgt ist. Es gibt noch weitere ADs, welche einen Neustart von Komponenten nach 51 bzw. 22 Tagen fordern. Die von den ADs behandelten Fehler führen zwar sicher nicht zu einem katastrophalen Ausfall kommt, aber man weiß nie, was in Kombination mit einem anderen Fehler herauskommt.