/transport

Forvirret styrecomputer sendte passagerfly i et stejlt dyk

Piloterne i en australsk Airbus A330 måtte kæmpe mod en fejlramt styrecomputer, der førte til bratte, ukontrollerede manøvrer og instrumentkaos i cockpittet. Mere end 70 passagerer kom til skade.

Af Kent Krøyer, tirsdag 14. okt 2008 kl. 15:05

Helt uden varsel begyndte en Airbus A330-300 med 313 personer om bord at opføre sig vanvittigt i luften over det vestaustralske territorium tirsdag 7. oktober.

Mere end 70 passagerer kom til skade, da folk blev kastet rundt i kabinen, og maskinen på egen hånd foretog flere voldsomme dyk og stigninger, og piloterne måtte foretage en nødlanding hurtigt efter, skriver nyhedsbureauet ABC News.

Hændelsen anses nu i al væsentlighed at være opklaret. Den australske regerings trafiksikkerhedsstyrelse, Australian Transport Safety Bureau, har i dag offentliggjort en midlertidig rapport, som bygger på analyser af flyets sorte bokse.

Styrecomputeren ville bestemme
Flyet var på vej fra Singapore til Perth i godt 12 kilometers højde, og autopiloten var slået til, da der indtraf en fejl i en af flyets tre regneenheder for flyveparametre, de såkaldte ADIRU (Air Data Inertial Reference Units).

Fejlen fik autopiloten til at slå fra, så fra det øjeblik skulle piloterne hurtigt blive klar til at overtage kontrollen med flyet – og det gjorde de også. Men selv når autopiloten er slået fra, er det stadig den primære styrecomputer (Flight Control Primary Computer), der styrer rorene.

Piloternes styregrejer fortæller blot styrecomputeren, hvad der ønskes af den, og det er indrettet sådan for at hindre piloterne i at bringe maskinen i risikable situationer, såsom et ufrivilligt stall.

Med andre ord har konstruktørerne som udgangspunkt haft mere tillid til computeren end til piloterne. Men i dette tilfælde blev flyvecomputeren forvirret.

Den fejlende regneenhed fortsatte nemlig med at sende vilde, fejlagtige data til styrecomputeren om flyets stilling i luften. Og det medførte, at alarmer for stall og overspeed gik i gang på skift.
Det fik også flere af piloternes vigtigste flyveinstrumenter til at gå i sort.

Voldsom manøvre sendt flyet i dyk
For at øge dramatikken om bord, sendte den fejlende regneenhed nu en absurd fejlberegnet AOA (Angle of Attack) til styrecomputeren. AOA er vingernes indfaldsvinkel mod den forbipasserende vind. Regneenheden får sine rå AOA-data fra en AOA-sensor på ydersiden af flyet, og regneenheden skal omsætte disse data til en vinkel, som styrecomputeren kan bruge.

Styrecomputeren, der som nævnt har den egentlige kontrol over højderorene, kastede nu flyet ind i en voldsom genopretningsmanøvre, som i realiteten sendte maskinen ned i et 8,5 grader dyk. Voldsomheden i manøvren medførte, at passagerne blev kastet rundt i kabinen.

Flyet tabte godt 200 meters højde, før piloterne fik det på ret køl.

Det fremgår ikke af ATSB's pressemeddelelse, hvordan piloterne havde held til at neutralisere den fejlende regneenhed, men i hvert fald lykkedes det at lande flyet sikkert.

Rapporten er kun midlertidig, da efterforskningen ikke er overstået. Og endnu en foreløbig rapport ventes udgivet om knap en måned.

Men trafiksikkerhedsstyrelsen anser det på nuværende tidspunkt for sikkert, at den fejlende ADIRU-regneenhed er årsag til hændelsen.

Flyproducenten Airbus har forklaret, at en lignende hændelse aldrig tidligere er forekommet. Alligevel har Airbus udsendt en rettelse til piloternes checkliste, som skal tage højde for situationen, hvis den nogensinde skulle opstå igen.



14. okt 2008 kl 15:54

Georg Jensen

Betryggende

Det er som rejsende (og pilot) overordentlig betryggende at vide computerne styrer alt. Jeg troede faktisk at man kunne override sådan et system så piloterne udelukkende fløj manuelt og kunne...hvis de stoler på instrumenterne navigere efter dem. Alt er så komplekst idag at ingen eller meget få ved hvad der foregår.


14. okt 2008 kl 17:00

Leif Neland

200m og 8.5 grader

... er et egentlig ret meget? Det lyder da ikke så voldsomt.

Naturligvis er det sikkert ikke så sjovt at flyve i rutchebane.


14. okt 2008 kl 17:02

Daniel Nielsen

Re: Betryggende

Jeg mener nu at have læst, at ved strømsvigt vil kun de de vigtigste instrumenter få strøm fra en vindmølle (der automatisk kommer ud), så flyet kan flyves manuelt. Det var dog om en Boeing, men det burde da være det samme for alle andre fly, at man kan flyve den manuelt ved at kappe strømmen.


14. okt 2008 kl 17:07

Bjarke Mønnike

Der er intet der kan.....

Differences from the A340 aside from the number of engines are slight changes to the wing and internal systems, including fuel tankage. The A330 (like the A340) takes advantage of a number of technologies first pioneered on the A320, including the common advanced EFIS flightdeck with side stick controllers and flybywire computerised flight control system.


14. okt 2008 kl 17:07

Bjarke Mønnike

Der er intet der kan.....

......svigte....svigte....svigte.

Aibus 340 er fuldelektronisk



"Differences from the A340 aside from the number of engines are slight changes to the wing and internal systems, including fuel tankage. The A330 (like the A340) takes advantage of a number of technologies first pioneered on the A320, including the common advanced EFIS flightdeck with side stick controllers and flybywire computerised flight control system.

Og kan derfor ikke flyves "manuelt"


14. okt 2008 kl 17:26

Anders Kaas Petersen

Re: Der er intet der kan.....

Det minder jo lidt om A.C.Clark's
2001 - A space odyssey:

`I'm Sorry, Dave. I'm Afraid I Can't Do That'

Lad os håbe de finder fejlen.


14. okt 2008 kl 18:10

Ole Fink Hansen

reguleringsteknik og flyvemaskiner?

Det er stadig svært at tolke, ud fra denne lidt populære udlægning hvad der egentlig er sket. Som jeg forstår det, er der tale om en sensor, eller evt. hard/software ansvarlig for preprocessing af dens signal der har fejlet så dette pludselig er gået i mætning.

Det lyder i mine øre lidt mystisk at et signal der brat ændrer størrelse bliver ædt rådt af reguleringen uden nogen form for validering/filtrering. Jeg mener: Hvis der ikke ligefrem er fejltolerance implementeret, burde/er der så ikke som minimum være en observer/Kalman filer med input fra flere redundante målinger som i det mindste glatter signalet lidt ud?

Hvor avancerede/moderne er den slags styringer i det hele taget?


15. okt 2008 kl 09:33

Poul Jakobsen

Airbus kan flyves uden computor input

Alle Airbusfly kan flyves manuelt, altså helt uden computor.

Dette er et certificeringskrav fra myndighederne.

Øvelsen er ikke nem da flyets krængning faktisk styres af siderorsinput ved hjælp af stålkabler som styre det hydraulicske system.

Ligeledes kontrolleres flyets pitch.

Dette er selvklart en nødprocedure.


15. okt 2008 kl 10:58

Hans Henrik Hansen

Re: Airbus kan flyves uden computor input


Dette er selvklart en nødprocedure

- dit indlæg forekommer lidt uklart/vanskeligt forståeligt!:

flyets krængning faktisk styres af siderorsinput ved hjælp af stålkabler som styre det hydraulicske system.

- denne 'oplysning' forekommer noget kryptisk: Det må vel som udgangspunkt antages, at krængningen styres via KRÆNGrorene ('balanceklapperne')? Og ja, disse bliver givetvis hydraulisk aktiveret, men det i denne forbindelse afgørende er da, om hydraulikken styres manuelt eller via en computer!(?)

Ligeledes kontrolleres flyets pitch

- ja, forhåbentligt da! :) Men igen: Sker det manuelt eller computerstyret/-assisteret??


15. okt 2008 kl 11:26

Allan Scholimtschik

Redundancy

It seems that something is rotten. I refer to the ATSB press release which is linked in the article. It states that " the Air Data Inertial Reference Units (ADIRUs), of which there are three" , "when an Inertial Reference System fault occurred within the Number-1 Air Data Inertial Reference Unit (ADIRU 1)" , "The faulty Air Data Inertial Reference Unit continued to feed erroneous and spike values for various aircraft parameters to the aircrafts Flight Control Primary Computers which led to several consequences ". It appears to me, that when one out of three ADIRUs failes, and the fail is detected, then this failed unit should be cut off, while the remaining two failurefree unit should stay on to control the aircraft. Something in the failure detecting and redundancy logic seems to bewrong. Could our pilot readers explain?


15. okt 2008 kl 13:01

Hans Henrik Hansen

Re: Redundancy


...when one out of three ADIRUs failes, and the fail is detected, then this failed unit should be cut off, while the remaining two failurefree unit should stay on to control the aircraft

- ja! Men selvfølgelig kan også frakoblingen af den fejlbehæftede enhed svigte! Yderligere forklaring må overlades til personer med typekendskab.

Jeg er enig med Leif Neland i, at overskriften ('stejlt dyk' mv.) harmonerer dårligt med oplysningen om højdetab på 200 m! :) Der synes snarere at være tale om 'light/moderate pitch oscilliations'. Men også sådanne kan selvsagt være 'ubehagelige' - fx. dersom de forekommer nær jordoverfladen!


15. okt 2008 kl 13:34

Claus Pedersen

Re: Airbus kan flyves uden computor input

Alle Airbusfly kan flyves manuelt, altså helt uden computor.

Dette er et certificeringskrav fra myndighederne.

Det er rigtigt at en Airbus kan flyves manuelt, men alle inputs går gennem en computer der sikrer at flyet flyves indenfor dets 'flight envelope'.

Har du noget der kan underbygge din påstand eller er vi ude i noget svarende til dine tæpperør til kystsikring?


15. okt 2008 kl 14:01

Allan Astrup Jensen

Havde der været problemer før med flyet?

Jeg synes jeg har læst noget om at det pågældende fly tidligere havde haft en computer fejl, der var blevet udbedret eller forsvundet igen. I så fald svarer det til det sædvanlige at man tager chancen og flyver med småfejl eller slår advarselssystemer fra, når man ikke kan finde fejlen.
Under alle omstændigheder så har Quantas haft masser af problemer med flyfejl siden de overlod flyeftersynet til Malaysian Airlines folk.


15. okt 2008 kl 14:06

Allan Scholimtschik

Re: Re: Redundancy

Dear HHH
So now we are speeking about multiple failures (or dormant failures), since the cut off of an ADIRU is not done by the unit itself, but by some other means, probably by the flight control computers.
Things seem really bad, although the probability is extremely low (?). A dormant failure should have been detected by BIT.


15. okt 2008 kl 15:42

Bo Jacoby

statistik

Det er svært for ikke-specialister at vurdere sikkerheden udfra tekniske oplysninger om hvordan det fungerer, og det er for nemt at være bagklog. Alene statistiske oplysninger om fejlhyppigheder og ulykke er for så vidt til at forstå. Hvad er uheldsintensiteten pr passagerkilometer i de forskellige maskintyper?


15. okt 2008 kl 15:59

Claus Brøgger

Re: Airbus kan flyves uden computor input

Det er korrekt hvad PJ skriver.

Ved total elektrisk fejl styres flyet rent mekanisk ved hjælp af højdetrim wheel og siderors pedaler.

Krængning af flyet er en følgeeffekt af siderorsinput.

Der er mekanisk forbindelse mellem pedalerne og hyd. actuator på sideroret.

Der er mekanisk forbindelse mellem højderorstrim og hyd. actuator på højderoret.

Dette var myndighedskrav da flyet blev certificeret.

Så i en extrem nødsituation går rorinputs ikke gennem computerne.


15. okt 2008 kl 20:47

Claus Pedersen

Re: Re: Airbus kan flyves uden computor input

Nu hvor din kompagnon Poul Jakobsen ikke kunne underbygge sin påstand, kan du så ikke henvise til en kilde?

Ellers går der lidt let tæpperør i det hele.


15. okt 2008 kl 22:23

Claus Brøgger

Re: Re: Re: Airbus kan flyves uden computor input


jeg har 26 år som pilot i SAS, sidste 2,5 år på Airbus.
Omtalte øvelse prøves jævnligt i simulator.


16. okt 2008 kl 00:33

Tom Sorensen

EMC?

Jeg var for 8-9 aar siden paa et EMC seminar her i USA. Foredragsholderen havde arbejdet med EMC problemer paa Airbus flyene. Han naegtede at flyve med Airbus fly....
Maaske taendte een af passagererne sin iPhone? Den stoejer som bare helvede.


16. okt 2008 kl 12:36

Jens Madsen

Re: EMC?

Alle Airbusfly kan flyves manuelt, altså helt uden computor.

Kan de også styres uden strøm?

For nogle år siden, så jeg en udsendelse om et moderne fly, hvor en russisk pilot, lod sine børn flyve flyet. Han havde sat den på autopilot, og troede intet kunne ske. Det gik fint med datteren ved roret. Men da drengen kom til, så styrede den.
Han tog godt fat, og rykkede frem og tilbage, således autopiloten ikke fungerede. Tages hårdt fat i roret, kan man "overstyre" autopiloten, og automatikken.

Det resulterede i, at flyet stallede, og mange passagerer omkom. Flyets sorte boks, viste at pilotens dreng fløj flyet. Piloten overtog i sidste øjeblik, men kunne ikke få kontrol med flyet. Han satte den på manuel, og forsøgte at rede den.

Havde han ladet den stå på automatisk, og begge blot undladt at rørere rorstangen, så skulle flyet selv have redet situationen, og bragt den ud af at stalle - forklarede udsendelsen. Det var et meget moderne fly, der også kunne styre et fly, selvom de stallede. Der var tilsyneladende ikke tekniske fejl på flyet - og årsagen til styrtet, var kun, at piloten ikke forstod hvordan automatikken fungerede, og troede det var den som var galt med, hvorefter han koblede den fra. I stedet for at slippe rorstangen da den stallede.

Hvis piloten havde lært, hvordan flyet fungerede, havde han vist, at børnene med rorstangen kunne flyve flyet, trods autopiloten var sat på, hvis de trak hårdt i stangen. Og han havde vist, at flyet vil komme ud af at stalle, hvis elektronikken bare fik lov at styre selv. Uden træning, kan det gå panik i piloten, og de tager hårdt fat i stangen, eller sætter den over på manuel.


16. okt 2008 kl 12:42

Jens Madsen

Re: Re: EMC?

Jeg var for 8-9 aar siden paa et EMC seminar her i USA. Foredragsholderen havde arbejdet med EMC problemer paa Airbus flyene. Han naegtede at flyve med Airbus fly....
Maaske taendte een af passagererne sin iPhone? Den stoejer som bare helvede.

Det er meget normalt, at virksomheder har problemer vi aldrig hører om, og det kan nemt have været alvorlige problemer, som man af økonomiske årsager, alligevel har ladet slippe igennem, fordi tests viste at det sandsynligvis vil gå.

Netop derfor, sætter de fleste virksomheder krav til, at deres medarbejdere underskriver en tavshedserklæring, der forbyder at de omtaler problemer f.eks. med software og EMC.

På jobsøgningskursus, er vi blevet instrueret i, at man aldrig må omtale den type problemer, fra sin tidligere arbejdsplads, ved en jobsamtale, trods man spørges ind til det - i så fald, vil virksomheden ikke ansætte personen. For de tænker straks - hvad vil vedkommende så ikke sige bagefter, når han har været ansat her? Det kan nemt være en del af samtalen, at søge at få sådanne informationer ud, om den tidligere arbejdsgiver - og lykkedes det, vil vedkommende under ingen omstændigheder kunne antages. Man vil så forvente, at vedkommende hellerikke holder tæt, i et nyt job.


16. okt 2008 kl 13:13

Peter H

Re: Re: EMC?


Kan de også styres uden strøm?


Ja, der er som beskrevet ovenfor trukket kabler direkte til THS og rudder. Men der skal uden tvivl trykkes igennem når man kun har begrænset hydraulisk tryk.

RAT'en (ram air turbine) der kommer ud i nødsituationer trækker en hydraulik generator, og ikke en alm. elektrisk generator. Det er vigtigere at der er hydraulik tryk end strøm fra en generator, da batterierne kan køre de vigtigste computere i et pænt stykke tid. Batterierne ville der imod løbe tør på ingen tid hvis du skulle trække de elektriske hydraulik pumper, og hydraulik trykket hjælper med at styre rorfladerne. Ailerons (krængror) bliver udelukkende styret af hydraulik aktuatorer.

Historien med den lille dreng i flyet er næppe sket i en nyere airbus. Der kunne han højest have hevet i joysticket, som på ingen måde er mekanisk forbundet med rorfladerne.

At være bange for at flyve i fly med computere er dumt. Så vidt jeg husker er mindst to computere til "vigtige" funktioner, og hver computer har mindst to kanaler, som alle overvåger hinanden løbende. Hvis en computer eller kanal falder langt fra de andre sorteres denne automatisk fra, og chancen for at to eller tre kanaler fejler simultant er stort set ikke eksisterende.

Det bliver spændene at se præcis hvad der fejlede på pågældende A330


16. okt 2008 kl 13:53

Jens Madsen

Re: Re: Re: EMC?

Historien med den lille dreng i flyet er næppe sket i en nyere airbus. Der kunne han højest have hevet i joysticket, som på ingen måde er mekanisk forbundet med rorfladerne.

Behøver computeren at være aktiv, for at styre med joystikket?

Fandt historien på Internet. Det var Airbus A310-304.
http://www.airdisaster.com/pho...html


16. okt 2008 kl 14:16

Lars Jensen

Re: Re: EMC?

Alle Airbusfly kan flyves manuelt, altså helt uden computor.

Kan de også styres uden strøm?

For nogle år siden, så jeg en udsendelse om et moderne fly, hvor en russisk pilot, lod sine børn flyve flyet. Han havde sat den på autopilot, og troede intet kunne ske. Det gik fint med datteren ved roret. Men da drengen kom til, så styrede den.
Han tog godt fat, og rykkede frem og tilbage, således autopiloten ikke fungerede. Tages hårdt fat i roret, kan man "overstyre" autopiloten, og automatikken.

Det resulterede i, at flyet stallede, og mange passagerer omkom. Flyets sorte boks, viste at pilotens dreng fløj flyet. Piloten overtog i sidste øjeblik, men kunne ikke få kontrol med flyet. Han satte den på manuel, og forsøgte at rede den.

Havde han ladet den stå på automatisk, og begge blot undladt at rørere rorstangen, så skulle flyet selv have redet situationen, og bragt den ud af at stalle - forklarede udsendelsen. Det var et meget moderne fly, der også kunne styre et fly, selvom de stallede. Der var tilsyneladende ikke tekniske fejl på flyet - og årsagen til styrtet, var kun, at piloten ikke forstod hvordan automatikken fungerede, og troede det var den som var galt med, hvorefter han koblede den fra. I stedet for at slippe rorstangen da den stallede.

Hvis piloten havde lært, hvordan flyet fungerede, havde han vist, at børnene med rorstangen kunne flyve flyet, trods autopiloten var sat på, hvis de trak hårdt i stangen. Og han havde vist, at flyet vil komme ud af at stalle, hvis elektronikken bare fik lov at styre selv. Uden træning, kan det gå panik i piloten, og de tager hårdt fat i stangen, eller sætter den over på manuel.

Klap lige hesten..
Den hændelse du omtaler var for det første en A310 (fra Aeroflot).
For det andet var der intet galt med flyet.
Det som var galt var kaptajnens mangel på dømmekraft. Han lod børnene sidde ved roret. Det gør man bare ikke.
Det som skete var det som skal ske, nemlig at autopiloten kobler ud når du prøver at overmande den som knægten gjorde.
Flyet stallede og kom ud i en situation som ikke kunne oprettes. Når et fly kommer helt ud af kontrol kan du i princippet blive kastet til gulvet (eller loftet) ude af stand til at komme til 'rattet' før det er for sent.
Jeg ser ingen sammenligning mellem Qantas A330 hændelsen og den du refererer til.
Men jeg ser i høj grad frem til at lære mere om årsagen til det som man oplevede på Qantas flyet.

P.S.
Hvis nogen er bange for at flyve med computer styrede fly så skal de nok også tage sig i agt for B777 og den kommende B787.
Og hvad angår interferrens så bliver det snart tilladt at tale mobil under hele flyvningen.. Det kunne man godt liige tænke lidt over..


17. okt 2008 kl 07:22

Peter H

Re: Re: Re: Re: EMC?

Historien med den lille dreng i flyet er næppe sket i en nyere airbus. Der kunne han højest have hevet i joysticket, som på ingen måde er mekanisk forbundet med rorfladerne.

Behøver computeren at være aktiv, for at styre med joystikket?

Fandt historien på Internet. Det var Airbus A310-304.
http://www.airdisaster.com/pho...ote>
Ja, det gør den da! Hvad sker der hvis din computer derhjemme er slukket, og du taster på tasteturet eller et tilsluttet joystick?


Ny i debatten? Opret en brugerkonto

  • Seneste nyt
  • Mest læste
  • Topdebat
Populært på Facebook
 

Nyhedsbrev

Tilmeld dig vores nyhedsbrev.