@Heiko

Das ist mir zu pessimistisch. Die Piloten von Fly by Wire-Flugzeugen neuerern Generation verlassen sich doch andauernd darauf, dass die Technik so gut wie fehlerfrei funktioniert. Nimm eine automatische Landung! Ich kenne keinen Fall, wo alle drei Autopiloten eines Airbus während einer automatischen Landung ausgefallen wären.

Ich würde wirklich gern mal mit den Konstrukteuren dieser Flugzeuge darüber sprechen, was die harten Kriterien sind. Auf welche Systeme können wir uns immer verlassen – und tun das auch. Warum bei anderen nicht?

ICH glaube (und ich liege vielleicht falsch!), dass das historische Gründe hat. Aber es gab auch eine Zeit in der man meinte dsa FBW-System des Airbus sei des Teufels. Tatsächlich hat es nicht mehr Menschen umgebracht als die Drahtseile in einer 737. Eher stimmt das Gegenteil.

Es wurden ca. 11,000 737 gebaut und 10, 000 A320, Natürlich fliegt die 737 etwa 20 Jahre länger. Dennoch: es gab mit der 737 240 tödliche Unfälle, mit dem A320 ... 40.

Unfälle pro einer Million Flugmeilen: B737: 0,23 - und A320: 0,09

Man kann also auf keinen Fall ableiten, dass der voll computerisierte Airbus in irgdeneiner Weise "gefährlicher" wäre als die mechanisch gesteuerte 737.

Jetzt müsste man noch heraus finden, wie viele Unfälle mit der Steuerung (FBW vs. Mechanik) zu tun hatten.

Quellen: Aviation Safety Network, ICAO data, Boeing/Airbus statistical summaries

Natürlich sind die ganzen elektronischen Helferlein ein ganz feine Sache, das bestreitet ja eigentlich auch keiner. Nur sollte man nicht durch (wieder einmal) blinden Aktionismus irgendeine am Ende doch nicht vorhandene Sicherheit vorgaukeln. Weder den Piloten, noch den Passagieren. 2-Mann-Cockpit, Sicherheitskontrollen, ZÜP, Medical, Psycho-Untersuchungen,... alles nett, aber wenn einer wirklich will, dann macht er auch!

Ich habe das Gefühl, je breiter irgendein menschliches Problem gewalzt wird, desto eher finden sich Nachahmer! Natürlich kann man solche krassen Fälle nicht einfach ignorieren oder totschweigen, aber so, wie es zur Zeit in allen Median hoch und runter läuft, ist es eher kontraproduktiv für ein freies, angenehmes Leben in menschl. Gesellschaft. Da ist es auch völlig egal, ob es um einen siuzidalen Flugzeugabsturz, den Messerstecher im Stadtpark oder den amoklaufenden Ehemann geht.

Man kann also auf keinen Fall ableiten, dass der voll computerisierte Airbus in irgdeneiner Weise "gefährlicher" wäre als die mechanisch gesteuerte 737.

Alexis, das tut doch überhaupt niemand...

Die Diskussion geht ja nicht darum, ob technische Verbesserungen das Fliegen sicherer gemacht haben (das ist offensichtlich), und auch nicht darum, ob diese Entwicklung fortschreiten wird (das ist sehr wahrscheinlich) oder soll. Sie geht darum, ob Aufwand und Nutzen einer Absicherung gegen alle möglichen suizidalen Handlungen im Verhältnis zur damit einhergehenden Komplexitätssteigerung und den evtl. damit verbunden Gefahren stehen.

Du klammerst Dich jetzt krampfhaft fest an dem Mantra "warum kann man Triebwerke in 100 ft agl abstellen? Das darf doch erst ab einer sicheren Höhe möglich sein!". Remember: Bei Egyptair 990 wurden die Engines durch den Copiloten in FL 330 abgestellt. Das Resultat ist bekannt...

Die Kollegen, die hier eine andere Meinung vertreten fassen das Problem aber etwas weiter als Du. Ich hatte Dich weiter oben gefragt, wer denn das letzte Wort haben soll. Deine Antwort war:

In den meisten Situationen natürlich der Pilot.

Und in welchen konkrekt nicht?

Das ist spätestens dann keine befriedigende Antwort mehr, wenn man das ganze mal auf einem etwas höheren Abstraktionslevel als "Fuel Levers dürfen einen shutdown-command nicht unter xxx ft umsetzen --> problem solved" durchdenkt.

Welches für die Diskussion relevante Sicherheitssystem in einem modernen Verkehrsflugzeug ist nicht durch die Crew deaktivier- oder übersteuerbar?

Ja, natürlich – aber das Nachdenken über eine Verbesserung kann man auch nicht als "blinden Aktionismus" abtun.

Du fliegst ja, wie ich, eine SR22: Findest Du, wie ich, dass die Positionierung des Circuit Breaker Panel ein Sicherheitsrisiko ist? Es wundert mich, dass Cirrus bei aller Modellpflege, diese Schwachstelle nicht beseitigt hat.

Eben hat mir auf COPA ein Linienpilot geschrieben:

Beim FADEC-System der EMBRAER-Jets sind die "Fuel Cutoff Switches" nur aktiv wenn die Schubhebel auf IDLE gezogen werden.

Finde ich gut. Auch wenn es einen Suizid kaum verhindern könnte.

EDITIERT!

Alexis,

in Deiner Argumentation weiter oben kann man den Eindruck gewinnen, dass man Sicherungssysteme in Flugzeuge einbauen müsste - egal wie komplex - nur um die Menschen in den Airlinern vor diesen verrückten Piloten zu schützen. Das ist, mit Verlaub, absoluter Bullshit!

Crews bei Airlines sind in der Regel trainiert und motiviert, bedienen und fliegen das ihnen anvertraute Flugzeug mit Passagieren und Fracht einwandfrei, absolvieren und absolvierten Millionen von Flügen ohne irgendwelche incidents oder accidents. Und natürlich passieren auch Fehler, fehlerhafte Handlungen, technische Störungen.

Und ja, es gab auch tatsächlich erweiterte Selbstmorde. Aber warum in aller Welt müssen nun Flugzeuge so gebaut werden, um gewisse (einige) Funktionen zu "behandeln", die dann der Logik einer Software, nicht eines analytisch und /oder intuitiv handelnden Menschen entsprechen?

Wie viele absichtliche Abschaltungen von Kraftstoff-Ventilen in Höhen zwischen 0 - 500 ft GND gab es eigentlich in der Luftfahrt in den letzten 50 Jahren? Wie viele Fehlfunktionen (Vorfälle, nicht Unfälle) in softwaregesteuerten Systemen im vergleichbaren Zeitraum?

Du verrennst Dich in eine Argumentation, vergleichst Systeme, die hier absolut nicht vergleichbar sind und bringst Beispiele, die nicht passen. Warum kann bei der Embraer nur in Idle der Cutofff betätigt werden? (ich weiß es zwar nicht, aber vielleicht gibt es da einfach eine technisch/mechanische Ursache, die gar nichts mit Deinem "Verhinderungsgedanken" zu tun hat?). Andererseits belächelst Du Fehlerbeispiele aus der Automation im Kfz-Bereich als "Anekdoten "?

In der C550/551 beispielsweise, kann man nur auf "cutoff" ziehen, wenn eine Sperre "hinter" Idle mit einem zusätzlichen Hebel seitlich am Thrust-Lever hochgezogen wird. Das ist rein mechanisch so gebaut. Andererseits kann man auch Klappen und Fahwerk bei jeder Geschwindigkeit fahren ... und verbiegen, oder den "Fire-Button" drücken, der dann sämtliche Leitungen zum Triebwerk "kappt" (und damit auch abstellt). Um solche Dinge zu wissen, do's und dont's zu lernen, machen Piloten übrigens ein Type Rating um solche Sachen zu lernen ;-).

Nochmal: niemand hier ist, glaube ich, ernsthaft dagegen Suizide mit Flugzeugen zu verhindern! Die Wahl der Methode ist schlicht das Problem! Viele (alle?) der zitierten Systeme in modernen Flugzeugen sind heute dazu da, die Crew zu unterstützen, zu entlasten aber nicht, sie zu entmündigen!

Von Dir genannte Beispiele (eigentlich nur eines: "verhindere fuelcutoff in < x ft GND") würden derart viele Folgewirkungen mit sich bringen, nur um ein seh sehr unwahrscheinliches, aber zugegebenermaßen mögliches, Szenario zu verhindern.

Sehr schönes Beispiel! Vor allem bei so kleinen Leuten wie mir, wenn der Sitz ganz vorne sein muss, ist es echt blöd angeordnet. Ohne Zweifel! Ich habe überhaupt keine Chance visuell an die Sicherung zu kommen. Da hilft nur der ausgedruckte und einlaminierte Plan und abzählen. Das ganz große Aber: Wo soll das Board alternativ hin? Der Rest vom Cockpit ist so schön 'aufgeräumt', da will ich eigentlich keinen Zentimeter abgeben.

Verbesserungen dürfen und müssen sein, aber es soll nicht verschlimmbessert werden. Hier darüber ernsthaft zu diskutieren, was und wie am/im Cockpit verändert werden soll, ist wenig zielführend. Jeder hat andere Ansichten, aber keiner wirklich was zu sagen. Dafür sind die Entwickler da und FAA / EASA für die Freigabe. In so einem Forum klappt das nicht, vis-a-vis kann ich mir solche Diskussionen vorstellen, hier fühlt sich jeder angegriffen usw.

@ Wolfgang

>>> in Deiner Argumentation weiter oben kann man den Eindruck gewinnen, dass man Sicherungssysteme in Flugzeuge einbauen müsste - egal wie komplex - nur um die Menschen in den Airlinern vor diesen verrückten Piloten zu schützen. Das ist, mit Verlaub, absoluter Bullshit!

Aus meiner Idee, das Abschalten der Triebwerke (zB durch die FC Switches) in irgendeiner Weise abzusichern gleich so eine Oper zu machen ist doch lächerlich, Du fühlst Dich ja auch nicht als Mensch "entmündigt" wenn Dein PC Dich fragt, ob Du Datei xy "wirklich löschen" möchtest.

Es wäre völlig banal, den zweiten Piloten so eine Aktion bestätigen zu lassen. So eine Funktion als "komplexes System" zu bezeichnen, das weitere Probleme mit sich bringen kann, finde ich absurd.

Sich die Frage zu stellen, ob es einem von zwei Piloten (eventuell ist es nicht der PIC) gestattet sein soll, ohne Rückfrage die Triebwerke in 100 ft AGL abzustellen – halte ich für eine vernünftige und offensichtliche Frage. Man kann, nach einer Diskussion darüber, zu anderen Schlüssen (als ich) kommen. Natürlich!

In der Zwischenzeit diskutieren Piloten bei IFALPA etc. genau dieses Thema.

Seid Ihr tatsächlich der Meinung, dass der Status Quo, der auf den Ideen irgendwelcher Boeing-Ingenieure basiert, um jeden Preis erhalten bleiben muss?

Wenn Du den Diskutanten, die hier eine etwas differenzierte Meinung zu dem Thema vertreten diese Denke unterstellst, dann wird's schwierig. Es sind halt genau diese Zuspitzungen auf Bildzeitungs-Niveau, die eine sinnvolle Debatte verhindern...

Auf meine abstrakten Fragen zur "final authority" & Co. weiter oben magst Du ja nicht antworten, sondern reduzierst das Problem immer wieder auf die nicht abgesicherten Fuel Levers. Also, dann nochmal um Dich an dem Punkt abzuholen, an dem Du stehst und um die Diskussion mal von diesem singulären case wegzulenken:

Jetzt gehen wir mal davon aus, dass man eine Methode findet und implementiert, die die Fuel Control Switches zuverlässig und ohne unerwünschte Nebenwirkungen gegen mutwillige Fehlbedienung absichert.

Bist Du der Meinung, dass damit ein Pilot-suicide mit einem Airliner wirksam verhindert oder auch nur signifikant erschwert wird? Falls nein: Welche anderen Absicherungsmechanismen wären da aus Deiner Sicht evtl. noch erforderlich? Welche Probleme könnten diese ggf. mit sich bringen?

"Es wäre völlig banal, den zweiten Piloten so eine Aktion bestätigen zu lassen."

Das wird ja schon lange so gehandhabt, aber nicht durch ein weiteres System sondern den zweiten Piloten der das Abschalten bestätigen muss - genau wie andere "guarded switches".

Wenn man das zusätzlich elektronisch sichern will muss es eine Möglichkeit diese Sicherung abzuschalten und somit beim Willen zur Sabotage dasselbe in grün.

Auch die Vorschrift, "Always four eyes in the cockpit" wurde wieder abgeschafft, und auch das ist begründbar.

@ Tobias

bleib doch einfach nur sachlich, das genügt mir schon. Wir wollen doch nicht bei PuF streiten ;-)

Nein, ich kann Dir jetzt keine komplette Abhandlung zu neuen Sicherheitskonzepten beim Cockpitdesign von Airlinern machen. Das liegt daran, dass ich davon zu wenig verstehe.

Ich hätte aber, zum Beispiel für das Abstellen der Triebwerke, etwa solche Ideen: Der zweite Pilot bestätigt das Abstellen, Etwa durch durch das Drücken einer "OK"-Taste auf seiner ASeite des Cockpits.

1. Einer der Piloten stellt die Fuel Cutoff-Switches auf CUTOFF
2. Systemmeldung zB per Audio: "Confirm switching off fuel for both engines"
3. Beide Piloten drücken "OK". (Der "andere" Pilot würde genügen, aber das System kann natürlich nicht wissen, wer die Schalter bedient hat,

Das etwa wäre eine einfache Maßnahme, um so ein System – auch gegen unabsichtliche Fehler! – abzusichern. Ist auch technisch völlig banal.

Damit würde man aber in einer kritischen Phase (Feuer im Triebwerk in geringer Höhe kurz nach dem Start) den Piloten zwingen, statt fly the airplane irgendwelche Knöpfe zu drücken.

Wie wir festgestellt haben, wird unter 400 ft AGL (oder bei vielen Airlines 1000 ft) sowieso nur geflogen. Und in 400/1000 ft könnte man auch eine Taste drücken.

Ich finde deine Idee ja auch nicht falsch. Letztendlich fehlt mir da die Kompetenz das näher zu bewerten weil ich keine Airliner fliege. Nur ist das System so komplex dass es offensichtlich bei jeder Änderung direkt 50 Folgefragen gibt.

Du unterschätzt hier etwas die Komplexität einer Fire warning in geringer Höhe. Zusätzlich zu Aviate, Navigate (end n abweichendes Engine fail procedure), Communicate (das Verfahren AtC erklären) und "confirm correct shutoff" auch noch irgendwelche zusätzlichen Meldungen bestätigen zu müssen ist etwas viel für den Pilot Flying.

...

1. Einer der Piloten stellt die Fuel Cutoff-Switches auf CUTOFF
2. Systemmeldung zB per Audio: "Confirm switching off fuel for both engines"
3. Beide Piloten drücken "OK". (Der "andere" Pilot würde genügen, aber das System kann natürlich nicht wissen, wer die Schalter bedient hat,

Das etwa wäre eine einfache Maßnahme, um so ein System – auch gegen unabsichtliche Fehler! – abzusichern. Ist auch technisch völlig banal.

Alexis,

im Prinzip wird das in Mult-Crew-Cockpits ja schon lange so gemacht, nennt sich MCC (Früher: CCC)... unterstützt durch regelmäßiges CRM.

Ein Crewmember gibt ein Kommando, das andere Crewmember führt aus. (zB. "positive Rate (of climb)" - "Gear Up" - PM (Pilot Monitoring) fährt das Gear) - selbiges bei abnormals - emergencies: einer erkennt und sagt an, der andere bestätigt (zB. "engine fire LEFT engine" - "confirm: engine fire LEFT engine" ...)

Das sind natürlich keine Tasten die gedrückt werden, sondern verbale Kommuniktaion, bevor irgendwas gedrückt, gezogen oder abgestellt wird.

Ist aber in der Grundidee nix anderes: sprechen oder Tastendrücken... - und der, der in mutwilliger Absicht etwas machen will, der handelt auch gegen das Kommando oder Response seines Crewmembers oder: greift eben Mal auf die andere Seite und drückt die "confirm"-Taste. Im Zweifel haut er dem andern Crewmember eines über die Rübe (mögliches Schlagwerkzeug: Feuerlöscher, Notaxt, iPad)... also: so ganz einfach sind Deine Lösungen nun doch nicht.

Und noch eines: die Abfragen auf Computersystemen "wollen Sie wirklich xyz...? - OK - Abbrechen" führen auch nicht in allen Fällen zum gewünschten Ergebnis: wem ist es nicht schon passiert, trotzdem die falsche Taste zu drücken?

Ich bin auch selbst nicht der Meinung, dass meine Idee "wasserdicht" ist und jede Eventualität ausschließt.

Deine Version von "Beide Piloten drücken "OK"" würde aber bedeuten dass wenn der andere Pilot bei einem Triebwerksbrand erweiterten Suizid begehen könnte in dem er einfach das drücken des OK Knopfes auf seiner Seite (wo der eine nicht einfach dran kommt) verweigert und damit den Flieger abfackeln lässt

Mir geht es v.a um das Abstellen BEIDER Triebwerk in Bodennähe.

Und nein, die Details der Logik habe ich nicht augearbeitet .... das mache ich dann nach offizieller Auftragserteilung durch Boeing ;-)

bleib doch einfach nur sachlich, das genügt mir schon

Es war nicht meine Absicht, unsachlich rüberzukommen. Manche Menschen behaupten, das könnte ich gar nicht :-)

Ich hätte aber, zum Beispiel für das Abstellen der Triebwerke, etwa solche Ideen [...]

Das habe ich verstanden. Aber eben auch, dass Du an einer darüber hinaus gehenden Diskussion von Automations- und "Absicherungs"-Philosophien nicht interessiert bist. Meine küchentischpsychologische Analyse sagt mir auch warum: Du möchtest ein Flugzeug, in dem die Crew das letzte Wort hat, außer wenn sich einer von beiden das Leben nehmen will. Und Du weißt selbst, dass die Widersprüche, die in diesem Postulat stecken, nicht auflösbar sind :-)

Natürlich verstehe ich das! Mir geht es nur um den Fall, dass EINER der beiden Piloten BEIDE Triebwerke abstellen will. Außer am TERMINAL kann es diese Notendigkeit aber realistischerweise nie geben.

(Es ist nicht so, dass mich deine Themen nicht interessieren. Ich verstehe nur nicht viel davon und kann, wie man ja sowieso sieht, nichts vernünftiges beitragen).

"Mir geht es nur um den Fall, dass EINER der beiden Piloten BEIDE Triebwerke abstellen will. Außer am TERMINAL kann es diese Notendigkeit aber realistischerweise nie geben."

Doch. Wenn einer der beiden Piloten, aus welchen Gründen auch immer, handlungsunfähig wird.

Wenn ein Pilot handlungsfähig ist, dann sollte man beide Triebwerke abstellen können?

Das ist sicher ein Missverständnis :-)

Ok, am Terminal ... aber das lässt sich lösen.

Im -sehr unwahrscheinlichen, aber nicht ausgeschlossen Fall- dass beide Triebwerke brennen und ein Pilot incapacitated ist dann träte genau dieser Fall ein.