Få de daglige nyheder fra Version2 og Ingeniøren. Læs mere om nyhedsbrevene her.

close
Ved at tilmelde dig accepterer du vores Brugerbetingelser, og at Teknologiens Mediehus og IDA-gruppen lejlighedsvis kan kontakte dig om arrangementer, analyser, nyheder, tilbud mm via telefon, SMS og email. I nyhedsbreve og mails fra Teknologiens Mediehus kan findes markedsføring fra samarbejdspartnere.
andre skriver

Var ikke standardudstyr: Sikkerhedsfunktioner manglede i nedstyrtede Boeing 737 Max

Illustration: Lasse Gorm Jensen

De to Boeing 737 Max, der styrtede ned i Indonesien og Etiopien, manglede de to sikkerhedsfunktioner 'angle of attack indicator' og 'angle of attack disagree light'. Indikatoren viser læsningerne fra de to sensorer, som læser vinklen på flyets næse i forhold til luftstrømmen, mens lyset bliver aktiveret, hvis der er uoverensstemmelse mellem de to sensorers læsninger. De to ulykkesramte fly manglede sikkerhedsfunktionerne, fordi de ikke er standardudstyr i Boeings fly, men tilkøb, som flyselskaber kan vælge til eller fra. Når Boeing opdaterer deres MCAS-software, vil de samtidig gøre 'angle of attack disagree light' til standard i alle nye 737 Max-fly.

Emner : Fly
OGSÅ VÆRD AT LÆSE
via Finans.dk 25. apr 2019 07:33 1
Stort underskud hos Tesla
via Landbrugsavisen 24. apr 2019 10:05 1
Danish Crown afpresset med sundhedsskadeligt stof
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først

Kender ikke teknikken, men kan frygte at dette er et eksempel på, at nødvendigt sikkerhedsudstyr bliver tilkøb, for at holde prisen nede. Vi forbrugere kræver jo konstant billigere billetter, men bliver ikke direkte præsenteret for konsekvensen herved. Og hvor meget er der dog at spare på disse to indkatorer.

  • 3
  • 4

Spm. fra en ikke flykyndig: Hvorfor kan man ikke benytte gyroen, som kontrol?
Da jeg læste tilbage i 70-erne, benyttede man som sikkerhed en majority voter d.v.s 3 målinger, og de 2 der var enige bestemte, samtidigt med at der blev givet en fejlmelding, hvis der var forskel.
Implementeret i TTL naturligvis ; )

  • 2
  • 2

Fordi flyets absolutte vinkel og bæreplanets angrebsvinkel ikke har noget med hinanden at gøre.

I princippet kunne man faktisk godt bruge en INU til at angive indfaldsvinklen, hvis man vel at mærke fløj i en luftmasse der ikke bevægede sig (ingen vind), og ellers INU'en var præcis nok. Mange moderne fly har faktisk Flight Path Marker/Flight Path Vector (FPM/FPV) vist på skærmen med den kunstige horisont eller på Head Up Displayet, og har man eksempelvis denne FPM/FPV til at indikere at man flyver med 5 graders nedstigning, mens flyets næsestilling er vandret (på horisonten), da kan man regne ud at indfaldsvinlen er 5 grader. Men dette virker kun i nul vind, da FPM/FPV angivelsen med data fra INU'en viser bevægelse i forhold til jordens overflade og ikke i forhold til den omgivende luftmasse.

  • 3
  • 1

I princippet kunne man faktisk godt bruge en INU til at angive indfaldsvinklen, hvis man vel at mærke fløj i en luftmasse der ikke bevægede sig (ingen vind), og ellers INU'en var præcis nok.

Men er det i det hele taget ikke lidt underordnet i diskussionen om B737Max'en.

For i begge tilfælde var vejrforholdene jo fine og piloterne havde jo sådan set en udmærket fornemmelse af hvad de selv gjorde da de prøvede at rette flyet op - men det hjælper jo så intet hvis softwaren overruler deres forsøg, og bevidst retter maskinen lige nedad.

Hvis ikke Boings killer-app havde overtaget kontrollen over maskinen ville der jo næppe have været sket noget - jeg mener faktisk at hele denne sag bør have meget alvorlige konsekvenser over for Boing, ud fra en strafferetlig betragtning .

Men det kan være at det måske er en vink med en vognstang til dem der ønsker at hælde magisk IT-sovs ud over det hele - software kan faktisk slå ihjel.

  • 4
  • 3

Nej. Man kan ikke bare bruge INU til at bestemme AoA.
Man kan heller ikke bare bruge Attitude indicator ( kunstig horisont ), ikke egang i level flight.
AoA afhænger bl. a. Af flyets vægt og flyets hastighed, samt luftens density ( flyvehøjde og temperatur)
I en stigning med bare 10 grader nose up, hvad er så AoA. I nedstigning, hvad så? I drej?
Og bare se når man flyver ligeud og level, - 0 grader pitch på horisonten, men hvor mange grader din AoA er skal man faktisk bruge en AoA visning for at kunne se direkte.
Venlig hilsen Bo

  • 7
  • 1

det er virkelig chokerende læsning - Boeing tjener gode penge på sikkerhedsudstyr, og Etiopean så har valgt det fra.

“They’re critical, and cost almost nothing for the airlines to install,” said Bjorn Fehrm, an analyst at the aviation consultancy Leeham. “Boeing charges for them because it can. But they’re vital for safety.”

Det viser sig altså, at flystyrtet har rod i en virksomhedskultur, hvor vigtige sikkerhedsforanstaltninger hører til i sit eget profitcenter.

Findes der andre steder, hvor Boeing springer over, hvor gærdet er lavest?

Jeg sætter mig ikke op i en Boing, før de har vist at de har taget et opgør med den måde, de tænker sikkerhed på.

Skulle der være nogen, der tør tage chancen, synes jeg de skulle undersøge, hvilke flyselskaber, som har købt de nødvendige sikkerhedsanordninger til deres Boeing fly.

  • 4
  • 3

“Fordi flyets absolutte vinkel og bæreplanets angrebsvinkel ikke har noget med hinanden at gøre.”

Korrekt
Kaffen i koppen er vandret, gulvet i kabinen er vandret, når flyet er i marchhøjde, men vingernes AoA er det der holder flyet oppe.

VH Bo

  • 6
  • 1

Nej. Man kan ikke bare bruge INU til at bestemme AoA.
Man kan heller ikke bare bruge Attitude indicator ( kunstig horisont ), ikke egang i level flight.
AoA afhænger bl. a. Af flyets vægt og flyets hastighed, samt luftens density ( flyvehøjde og temperatur)
I en stigning med bare 10 grader nose up, hvad er så AoA. I nedstigning, hvad så? I drej?
Og bare se når man flyver ligeud og level, - 0 grader pitch på horisonten, men hvor mange grader din AoA er skal man faktisk bruge en AoA visning for at kunne se direkte.
Venlig hilsen Bo

Det er nu ikke noget jeg bare selv har fundet på Bo.

http://www.boeing.com/commercial/aeromagaz...
https://www.icao.int/safety/loci/AUPRTATab...

Nedenstående billede viser en F-16 Head Up Display i landingsconfiguration. Krydset i toppen ved cirka 6,5 grader viser flyets pitch. Den lille flyvemaskine formede tingest ved cirka 3,5 grader Nose Down er Flight Path Markeren (FPM), som er en INU genereret vector der viser hvor flyet bevæger sig hen. Den lille klamme til under og til venstre for FPM er AOA indikatoren. Toppen af klammen svarer til 11 AOA mens bunden svarer til 15 AOA. FPM står cirka 1 grad over de 11 AOA hvilket betyder at flyet flyver med cirka 10 AOA. Foreskellen mellem de 6,5 grader Nose Up Pitch og de 3,5 grader Nose Down FPM svarer pudsigt nok til 10 AOA. Noget tilsvarende findes også på mange moderne passagerfly.

https://i.ytimg.com/vi/37uJyQjEUKI/hqdefau...

  • 3
  • 0

Jeg sætter mig ikke op i en Boing, før de har vist at de har taget et opgør med den måde, de tænker sikkerhed på.

Jens,

Airbus er ikke en pind bedre. Kan du huske Air France 447? Her ville en AOA visning muligvis kunne have hjulpet piloterne ud af suppedasen. Og selv om deres Airbus 330 fly havde AOA sensorer (som alle moderne passagerfly har), så var den information som kom fra disse sensorer ikke synlig for piloterne. Dette da denne indikation/visning var en option (ekstraudstyr om man vil) som Air France havde valgt ikke at tilkøbe.

I øvrigt mener jeg AF447 ulykken, samt mange andre ulykker, herunder disse 2 737 MAX ulykker, kunne være undgået hvis piloterne havde modtaget den rette træning.

  • 3
  • 1

Jens,
Airbus er ikke en pind bedre. Kan du huske Air France 447? Her ville en AOA visning muligvis kunne have hjulpet piloterne ud af suppedasen.


Endnu bedre AF skulle have sat kyds ud for BUSS (backup speed scale) da de købte flyet.
Triple ADR fault plus BUSS ( back up Speed Scale ) use and direct law landing:
https://www.youtube.com/watch?v=OESyeZatXQo
http://www.smartcockpit.com/docs/A320-Dual...
Bemærk der står "Use Manual Trim", i direct law stopper flight control med at bruge trimet.

  • 0
  • 0

I øvrigt mener jeg AF447 ulykken, samt mange andre ulykker, herunder disse 2 737 MAX ulykker, kunne være undgået hvis piloterne havde modtaget den rette træning.

Der er grænser for hvor mange memory items som piloterne kan lære uden ad..
Det nytter ikke noget at putte flere kontrol lamper ind i et 50 år gammelt cockpit, hvis halvdelen begynder at blinke når der er fejl på en sensor.
https://www.pprune.org/showpost.php?p=1042...

Considering your points A to E on the future of aviation safety: I fear the aviation industry is approaching a ‘perfect storm’ dilemma:
a) aircraft are becoming more complex, even Boeing consider that “average” pilots cannot cope with the workload of extra information about MCAS
b) air traffic is increasing and new aircraft designs are ‘down-sizing’ as smaller aircraft are more cost effective; this means many more new, inexperienced, pilots will be needed
c) it is not possible to train pilots such that they all become ‘super Sulleys’.

My conclusions are:-
a) systems must no longer use human intervention as part of their safety case; we are too unpredictable.
b) safety critical systems must get smarter; garbage in, garbage out is not an option, neither is giving up and disconnecting.

  • 2
  • 0

"Det nytter ikke noget at putte flere kontrol lamper ind i et 50 år gammelt cockpit, hvis halvdelen begynder at blinke når der er fejl på en sensor."

Hvorfor f.... kan det ikke lade sig gøre at lave en sensor, der bare fungerer?!

Ja, undskyld - jeg bliver bare noget så ...

Hvor svært kan det være at måle en vinkel på den lille vinge som indstiller sig efter fartvinden? (AoA sensoren)

Jeg fatter det ikke.

  • 0
  • 4

Hvor svært kan det være at måle en vinkel på den lille vinge som indstiller sig efter fartvinden? (AoA sensoren)

Jeg fatter det ikke.

Sikkert ikke svært, men det er sikkert hellere ikke svært at montere sensoren en smule skævt. Eller hvad det nu end viser at problemet var.

Vi ved endnu ikke hvad de sensorere fejlede. Men hvad end det var, så kommer der helt sikkert en anbefaling om at tjekke op på det, eller en rettelse på designet, så den type fejl bliver sværere fremover.

  • 0
  • 0

"Sikkert ikke svært, men det er sikkert hellere ikke svært at montere sensoren en smule skævt. "

Svaret jo så , at det selvfølgelig skal være umuligt at montere sensoren en smule skævt.

Jeg skal opføre mig ordentligt, men Boeing åbner selv op for disse tanker:

Det er vel ikke sådan, at man skal krydse af, om man bare vil have en billig AoA sensor, eller om man vil have en deluxe udgave (ekstra udstyr),der er betydelig mere pålidelig, og som derfor klart nok er meget dyrere?

  • 0
  • 2

Du kan aldrig lave sensorer der ikke kan fejle.

Alle sensorer der skal måle noget 'virkeligt' har mulighed for at fejle (nogen designs er selvfølgelig mere robuste and andre), men helt at udelukke fejl er ganske simpelt umuligt, selv noget så simpelt som et voltmeter kan fejle

Nu ved jeg intet om luftfart, men jeg vil mene at der i hvert fald vil være følgende mulige fejlkider for en AOA sensor:

Fejlmontage (og nej du kan aldrig helt forhindre mulighed for fejlmontage, du kan kun reducere risikoen)
kortslutning eller dårlig forbindelse i ledninger (dette kan også ske inden i sensor, man kan ikke lave elektronik der ikke kan fejle, selv en simpel transistor kan gå i stykker, også uden at have været 'mishandlet').
Fejl i mekaniske dele.
Tilisning som forhindrer at sensor kan bevæge sig (igen hvis der er bevægelige dele som jeg forventer der er for en AOA sensor)
Hvis der ikke er bevægelige dele, vil tilisning/fugt stadig kunne være en fejlkilde da det vil kunne påvirke luftflow rundt om sensor.

Alt i alt, den eneste måde at reducere risikoerne på er at have mere end en sensor og have et system der kan monitere om de viser 'det samme' samt en fronuftig procedure/beskrivelse for hvad system/bruger skal gøre hvis de ikke viser det samme, og det vil så heller ikke hjælpe hvis alle sensorerne har samme fejl (hvilket var grunden tila t rumfærgen havde 3 normale styrecomputere med paranoidt demokrati samt en ekstra en af et helt andet fabrikat mener jeg at kunne huske)

  • 2
  • 0

Nu ved jeg intet om luftfart, men jeg vil mene at der i hvert fald vil være følgende mulige fejlkider for en AOA sensor:
Fejlmontage (og nej du kan aldrig helt forhindre mulighed for fejlmontage, du kan kun reducere risikoen)

Jeg har set beskrevet at hulmønsteret skulle sikre imod fejlmontage.

kortslutning eller dårlig forbindelse i ledninger (dette kan også ske inden i sensor, man kan ikke lave elektronik der ikke kan fejle, selv en simpel transistor kan gå i stykker, også uden at have været 'mishandlet').

Det er faktisk nemt at beskytte imod.
Foretag digitaliseringen i sensoren, det er meget nemmere at fejlisolere et protokol signal, end et analog signal. (Jeg er ikke fan af SIN/COS encodere)
Montere to absolut encodere inde i huset på samme aksel, og brug en CPU med locksteping til at vote mellem de to encodere. Det gør sensoren fail-silent over for interne fejl
https://www.tr-electronic.com/products/sil...

Fejl i mekaniske dele.

Ovenstående fanger alle interne fejl undtagen blokering, der kunne måske indbyges en motor der udføre en periodisk selvtest ved at dreje sensoren og cheke om den drejer tilbage.

Tilisning som forhindrer at sensor kan bevæge sig (igen hvis der er bevægelige dele som jeg forventer der er for en AOA sensor)
Hvis der ikke er bevægelige dele, vil tilisning/fugt stadig kunne være en fejlkilde da det vil kunne påvirke luftflow rundt om sensor.

Korrekt, derudover kan buler i overfladen kan forstyrre målingen

Alt i alt, den eneste måde at reducere risikoerne på er at have mere end en sensor og have et system der kan monitere om de viser 'det samme' samt en fornuftig procedure/beskrivelse for hvad system/bruger skal gøre hvis de ikke viser det samme, og det vil så heller ikke hjælpe hvis alle sensorerne har samme fejl

Det bedste er defence-in-depth, hvor interne sensor fejl (dårlige forbindelser etc.) bliver sorteret fra før man begynder på afstemning mellem sensore, kalman filterere etc.

  • 0
  • 1

Men hvis der er selve AoA sensoren, som har svigtet, synes jeg det er meget mærkeligt. Der er jo dybest set bare tale en vejrhane med en vinkelmåler.

En vejrhane er noget der sidder på taget af en firlænget gård på Morten Korks tid.
Jeg vil kalde det en vindfane :-)
Der er ikke noget der hedder bare hvis man vil måle vind.
Idag ser vindsensoere på vindmøller typisk således ud:
https://fttechnologies.com/
Mvh. Niels der er opvokset på en firlænget gård, og laver kontrolsystemer til vindmøller.

  • 1
  • 1

jeg mener faktisk at hele denne sag bør have meget alvorlige konsekvenser over for Boing, ud fra en strafferetlig betragtning

Selskabet har mistet to fly og flåden er grounded. Det er et enormt prestigetab med meget store økonomiske konsekvenser i sig selv. De får sikkert en millionbøde over i hatten, men hvad er det du vil have? At en af de mest erfarne virksomheder skal straffes så hårdt de går konkurs? Hvis målet er højere sikkerhed for flypassagerne tror jeg det vil have den modsatte effekt.

Målet med straf er vi skal opnå et-eller-andet. Ikke straffen i sig selv.

  • 0
  • 0

Selskabet har mistet to fly og flåden er grounded. Det er et enormt prestigetab med meget store økonomiske konsekvenser i sig selv. De får sikkert en millionbøde over i hatten, men hvad er det du vil have? At en af de mest erfarne virksomheder skal straffes så hårdt de går konkurs? Hvis målet er højere sikkerhed for flypassagerne tror jeg det vil have den modsatte effekt.

Målet med straf er vi skal opnå et-eller-andet. Ikke straffen i sig selv

Ligesom med VW er der nogen på højt plan der må have været klar over at maskinerne blev solgt uden (åbenbart) nødvendige sikkerhedsfunktioner - det bør være ansvarspådragende over for pågældende, ud fra en strafferetslig betragtning.

Hensynet til indtjening har stået over hensynet til menneskeliv.

Og så lige en gang til, i forhold til alle betragtningerne om sensorer - det fatale var at softwaren overtog magten over maskinen, hvis ikke kunne piloterne nok sagtens have klaret det rent visuelt.

  • 2
  • 0