"Aber das widerspricht nicht der Idee, ein Abschalten der Triebwerke in 100 ft AGL unmöglich zu machen. Deshalb ist der Pilot noch lange nicht entmündigt. Er ist ja auch nicht entmündigt nur weil der Airbus eine Envelope Protection hat."

Der Airbuspilot ist deshalb nicht entmündigt weil er weiß, wie er die im Notfall ABSCHALTEN kann und das widerspräche Deinem Vorschlag.

Es gibt leider Kombinationen von Fehlern wo der Flieger Dich umbringen will.

Der Airbuspilot ist deshalb nicht entmündigt weil er weiß, wie er die im Notfall ABSCHALTEN kann und das widerspräche Deinem Vorschlag.

Es gibt leider Kombinationen von Fehlern wo der Flieger Dich umbringen will.

Und das ist auch gut so. Moderne Verkehrsflugzeuge sind aus Software-Sicht sehr komplexe Systeme. Auf die Idee, da ex post ein singuläres Ereignis unabhängig von der Eintrittswahrscheinlichkeit und ohne Berücksichtigung von Interdependenzen mit anderen Funktionen, systemweiten Paradigmen sowie Fehlerszenarien irgendwie "unmöglich" zu machen, würde in der Software-Entwicklung wahrscheinlich nur ein 12-Jähriger in der dritten Stunde im Informatik-Unterricht kommen.

Wenn man nur 5 Sekunden nachdenkt fallen einem viele Szenarien ein, wo es sehr ungünstig sein könnte, wenn das Flugzeug das Abschalten der Triebwerke verweigert, weil es von einem falschen Betriebszustand ausgeht. Einige wurden ja oben auch schon genannt.

"Sehr komplexe Systeme" wegen der Luftverkehrsregeln, wegen der gewünschten Effizienz und anderen guten Gründen. Aber das Fliegen selbst soll so einfach wie möglich gemacht werden, schon um die dritte Person im Cockpit einzusparen. Und ein vollständig funktionierendes Flugzeug soll auch Fehler aller Art, inklusive Terroranschlag oder Freitodwunsche im Cockpit, nach Möglichkeit verunmöglichen. Dass das schon im Ansatz überhaupt nicht gehen soll oder sogar kontraproduktiv sein soll, sehe ich nicht ein. Ein Flugzeug, wo es reicht, dass eine Person im falschen Moment zwei Knopfchen drückt und danach mehr als 200 Menschen todgeweiht sind, hat m.E. Verbesserungsbedarf, um nicht zu sagen Konstruktionsfehler.

Die Treibstoffzufuhr unmittelbar nach dem Abheben zu schliessen kann Sinn machen, wenn beispielsweise plötzlich ein Triebwerksbrand im Startverlauf zum ungünstigsten Zeitpunkt auftritt. Diese Funktion bei dem Start technisch zu verhindern, ist auch nicht gut. Vielleicht könnte man mit einer UND Verknüpfung das Schliessen der Treibstoffzufuhr verhindern, beispielsweiseals UND müssen weitere technische Faktoren hinzukommen, um die Treibstoffzufuhr zu schliessen. Da fällt mir nur Triebwerksbrand ein. Triebwerksbrand kann mit Temperatursensoren erkannt werden.

>>>> in Flugzeug, wo es reicht, dass eine Person im falschen Moment zwei Knopfchen drückt und danach mehr als 200 Menschen todgeweiht sind, hat m.E. Verbesserungsbedarf, um nicht zu sagen Konstruktionsfehler.

Genau das ist mein Punkt. Und natürlich lässt sich das per Software eindeutig und zuverlässig verhindern. Da gibt es sehr viel kritischere Systeme, in Flugzeugen, Kraftwerken, wo man völlige Automatisierung ja auch zulässt. Musst Du mal bei einer automatischen Landung bei 0 Sicht im im Cockpit mitfliegen (ich hatte mal das Vergnügen). Klar, das sind drei voneinander unabhängige Computer etc etc ... aber so eine Redunanz lässt sich auch für FUEL RUN vs. FUEL CUTOFF schaffen.

Auch bei Systemen wie FADEC hat der Pilot so gibt wie keine Eingriffsmöglichkeit. FADEC mischt Treibstoff, stellt Triebwerksparameter ein, steuert Startsequenzen, begrenzt Leistung bei Überhitzung, Eingriffsmöglichkeit:en gibt es kaum: Es ist keine manuelle Triebwerkssteuerung möglich – der Pilot kann nur über den Schubhebel „wünschen“, der Rest liegt beim Computer.

Ich habe auch NICHT geschrieben, dass es in bestimmten Szenarien nicht die Möglichkeit eines Eingriffs geben könnte.

Möglicherweise habe ich es überlesen:

Aber warum gehen anscheinend bim Umlegen dieser F/C-Schalter die Triebwerke so sang- und klanglos und sofort aus?

Warum poppt da nicht auf einem der Bildschirme eine Meldung auf: "Engine shutdown in 10s. To abort flip F/C switch to RUN-position". und nach 10s geht eben das Treibwerk aus.

Für den Normalfall (=Fkug beendet) sicher absolut machbar. und im Falles eines Notfalles dürften 10s längeren Triebwerskbrand auch nicht entscheidend sein.

Es belibt natürlich ein Rätsel, warum Pilot#2 sagte "ich war's nicht". Wenn er wirklich alle umbringen wollte, dann wäre dieser kommentar völlig überflüssig.

>>> Die Treibstoffzufuhr unmittelbar nach dem Abheben zu schliessen kann Sinn machen, wenn beispielsweise plötzlich ein Triebwerksbrand im Startverlauf zum ungünstigsten Zeitpunkt auftritt.

Auch bei einem Triebwerksbrand wird NIE nach V1 oder in 100 ft AGL ein Triebwerk abgestellt. Das wird nur in sicherer Höhe und nach Checkliste gemacht.

>>>>

Warum poppt da nicht auf einem der Bildschirme eine Meldung auf: "Engine shutdown in 10s. To abort flip F/C switch to RUN-position". und nach 10s geht eben das Treibwerk aus.

Für den Normalfall (=Fkug beendet) sicher absolut machbar. und im Falles eines Notfalles dürften 10s längeren Triebwerskbrand auch nicht entscheidend sein.

Ganz genau! Wenn ich auf dem Mac EIN FOTO LÖSCHEN möchte fragt er mich, ob ich das "ernst" meine. Aber ein 787-Pilot kann in 100 ft AGL die Triebwerke abstellen? Ohne Bestätigung? Ohne Rückversicherung?

Wie gesagt, im Falle eines Triebwreksbrandes macht man in dieser Flugphase erst mal gar nichts – außer Fliegen.

Ich halte das für fahrlässig.