Piloter i ulykkesfly fulgte Boeings officielle instrukser
more_vert
close

Få de daglige nyheder fra Version2 og Ingeniøren. Læs mere om nyhedsbrevene her.

close
Ved at tilmelde dig accepterer du vores Brugerbetingelser, og at Teknologiens Mediehus og IDA-gruppen lejlighedsvis kan kontakte dig om arrangementer, analyser, nyheder, tilbud mm via telefon, SMS og email. I nyhedsbreve og mails fra Teknologiens Mediehus kan findes markedsføring fra samarbejdspartnere.

Piloter i ulykkesfly fulgte Boeings officielle instrukser

Illustration: Wikimedia Commons

Alle officielle instruktioner fra Boeing blev fulgt til punkt og prikke af piloterne inden Ethiopian Airlines' 737 Max-fly styrtede ned. Alligevel lykkedes det ikke at redde flyet fra at styrte, da det blev ved med at have såkaldt ”nose dive conditions”.

Det fortalte den etiopiske trafikminister Dagmawit Moges torsdag til et pressemøde i Etiopiens hovedstad Addis Ababa, hvor de foreløbige konklusioner fra havari-rapporten blev fremlagt. Det skriver flere internationale medier, blandt andre Washington Post. .

Læs også: Boeing: Nu får piloterne magten over vores software

»Piloterne udførte alle Boeings procedurer igen og igen, men var ikke i stand til at styre flyet,« siger transportministeren ifølge USA Today.

Styrtet skete kort efter flyet fra Ethiopian Airlines havde forladt lufthavnen i Addis Ababa med retning mod Kenya. Ulykken kostede samtlige 157 passagerer livet, og skete kun 5 måneder efter et andet Boeing 737 Max-fly styrtede i Indonesien i oktober 2018, og dræbte hver og en af de 189 passagerer.

Fik du læst?: Helte-pilot Stefan Rasmussen: » Piloterne får altid skylden først«

MCAS er den hovedmistænkte

Flere internationale eksperter mener, at det er flight-control systemet med navnet Maneuvering Characteristics Augmentation System – i daglig tale MCAS – der har været årsag til de to flystyrt.Kort fortalt er det et softwaresystem, der skubber flyets næse nedad for at undgå at flyet staller. Men hvis systemet er defekt er det afgørende, at piloterne kan slå det fra, så flyet ikke konstant vippes mod jorden.

Efter styrtet i Indonesien udsendte Boeing en vejledning, der skulle vejlede 737 Max-piloterne i, hvordan MCAS kan slås fra. Dog indikerer den foreløbige undersøgelse, at det var denne procedure, som piloterne fulgte uden held.

Læs også: Leder: Boeing-ulykkerne er en skandale – Derfor skal vi garantere uvildig kontrol

Det skriver Washington Post, der også beretter, at den etiopiske trafikminister ikke nævnte navnet på det omdiskuterede MCAS-softwaresystem, men antydede, at programmet blev aktiveret i løbet af flyvningen, og at piloterne ikke var i stand til at slå det fra. Heller ikke ved brug af Boeings officielle metoder.

Den foreløbige rapport konkluderer også, at flight-control systemet bør revideres af Boeing og derefter af de internationale flymyndigheder, før 737 Max igen kan gå på vingerne. Det skriver CNN.

Ethiopian Airlines har i kølvandet på pressemødet skrevet en udtalelse på sociale medier, hvor de værdsætter de foreløbige konklusioner og indsatsen fra efterforskerne.

PLUS: Analyse: Derfor presser nogle få linjers hemmeligholdt software Boeing

»De fulgte alle reglerne for nødsituationer som denne, og det er meget uheldigt at de ikke kunne afværge flyet fra det vedvarende nose-dive,« skriver selskabet på Twitter.

sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først

Proceduren slutter med at piloterne tager sikringerne til den elektriske motor der styrer trim. Herefter er det ligegyldigt hvad computeren forsøger, den kan ikke kontrollere en motor uden strøm.

  • 1
  • 6

Men mindre trimmet på det tidspunkt er kørt så langt ud at de ikke kan trimme det tilbage manuelt.

Men det er ikke hvad der hævdes:

Det skriver Washington Post, der også beretter, at den etiopiske trafikminister ikke nævnte navnet på det omdiskuterede MCAS-softwaresystem, men antydede, at programmet blev aktiveret i løbet af flyvningen, og at piloterne ikke var i stand til at slå det fra. Heller ikke ved brug af Boeings officielle metoder.

Der er langt mere sandsynligt at det var for sent at genoprette flyet, da de fik deaktiveret automatisk trim.

Simulatorforsøg har vist at der kun er omkring 40 sekunder før det er for sent.

  • 2
  • 0

Som jeg læser rapporten, viste den fejlramte AOA sensor en stigning på 74,5 grader!

Hvordan kan man designe et system, som godtager en sådan indlysende fejllæsning på en enkelt sensor uden at tjekke på den anden (velfungerende) sensor.???

Det er helt sort.

  • 21
  • 0

De aerodynamiske kræfter ved høj hastighed, og ude af trim kan være så høje at piloterne ikke kan trimme flyet manuelt.
https://www.pprune.org/tech-log/619326-boe...

1) Først konkludere Boeing at 'Run away trim' er noget som piloterne nemt kan håndtere.
Det betyder at software er lavet efter DO-178C istedet for DO-178A
A=Catastrophic - Failure may cause deaths, usually with loss of the airplane.
C=Major - Failure significantly reduces the safety margin or significantly increases crew workload. May result in passenger discomfort.

2) Hvis trim når at løbe til enden, skal piloterne trække med 70kg i yoke, for at flyve vandret. (Trim har næsten mere magt end højderor)

3) Hvis der trækkes med 70 kg i yoke, er kræfterne så høje på jack screw at den ikke kan trimmes. (Højderor har mere magt end trim)

Jeg har svært ved at se at de kan fixes med software..

  • 12
  • 0

Rapporten er heldigtvis meget tydelig og konkret, men det gør ikke situationen bedre for Boeing 737-MAX.
Hvis man kigger på "altitude" så er der op til 1500 fod forskel på udlæsningen. . . så meget forskel kan der ikke være på "Static pressure".. så det indikerer at der sker en 'korrigerende beregning' et eller andet sted...og den er helt ud i hampen.
AOA visningen er også helt galt. . sandsynligtvis kan "AOA-sensoren" slet ikke dreje så langt, så her burde systemet "slå fra". AOA følges pænt ad intil flyet går i luften. . så med mindre AOA føleren 'falder af' så kan værdien ikke passe.
Hvis piloterne hare "deaktiveret" MCAS, så er det underligt at der kommer "trim-command + ændring af pitch trim" @43:20.
Sammenholdes det med mulighed for "jack-stall" , så tror jeg at der er nogen som har et meget seriøst forklarings problem, når flyet kan dykke i jorden fra højde på mere end 6000 fod.
Hvis man kigger i de to havari rapporter, så har man i begget tilfælde fået en AOA-fejl + 'ensidig' "stick shaker" i venstre side, og deres eneste mulighed har nok været at 'bibeholde' flaps i +5 grader, så at MCAS systemet forblev deaktiveret (kan ses på den næst-sidste log på Lion-Air). Men det er jo ikke det som Boeing har skrevet flyets håndbog. At trimme systemet tilbage manuelt kræver vist at man drejer mindst 50 omgang på trim-håndtaget, så der er ikke noget man "bare lige gør".
Som jeg ser det, så må der laves noget om i flyets aerodynamik, og ikke at man prøver at lappe på en ændret aerodynamik med et utilstrækkeligt og fejlbehæftet SW-fix. Piloterne har i hvert fald gjort hvad de kunne.

  • 10
  • 0

Hvordan kan man designe et system, som godtager en sådan indlysende fejllæsning på en enkelt sensor uden at tjekke på den anden (velfungerende) sensor.???


Det er nu meget normalt og til dels fornuftigt det gør nemlig at fejlen kun viser sig på en side og piloterne derfor hurtigere kan identificere problemet. I dette tilfælde fik piloterne jo også set hurtigt identificeret at de have en trim runaway situation.
Der er scenarier hvor begge aoa sensorer er frosset fast i samme stilling

Niels.
Jeg troede alle kontrol flader var level A . Kan trim godt blive godkendt på level C??

  • 0
  • 0

http://www.goodrich.com/cap/systems/sisdoc...

Ved ikke, om det er lige præcis den viste sensor, der er benyttet, men den har i hvertfald opvarmning, så fastfrysning kan undgås. Med en MTBF>20.000 timer virker det usandsynligt, at det er selve sensoren i et næsten nyt fly, der har svigtet. Det er snarere et senere led i signalkæden til/i computeren, som har svigtet.

Men det, at der først styrter et fly ned uden at Boeing foretager sig noget - de har jo bedre forudsætninger end alle andre for at forstå, hvad problemet kan (må) være - dernæst, at et andet fly styrter på stort set samme måde, stadig uden at Boeing selv grounder sine fly, peger på, at der er noget ravruskende galt i det firma, - i kulturen, i organisationen, i ledelsen.

  • 8
  • 1

Det er anden dag i træk, hvor troværdige kilder fremhæver, at piloterne nok ikke helt fulgte Boeings anvisninger i det sidste crash.

Der er ingen der snakker om at det var piloternes skyld, eller anfægter at flyets software er kernen i historien, men det virker efterhånden lidt skævt hvis man slet ikke forholder sig til rapporterne om at piloterne nok ikke gjorde helt præcis hvad de skulle.

http://flash.avweb.com/eletter/4310-full.h...

  • 2
  • 0

Ved ikke, om det er lige præcis den viste sensor, der er benyttet, men den har i hvertfald opvarmning, så fastfrysning kan undgås. Med en MTBF>20.000 timer virker det usandsynligt, at det er selve sensoren i et næsten nyt fly, der har svigtet. Det er snarere et senere led i signalkæden til/i computeren, som har svigtet.

MTBF>20.000 timer er forøvrigt lavt for elektronik, det kunne tyde på at MTBF er drevet af mekaniske fejl f.eks. udslidning af lejer.
Gæt:
Sensor elektronik har en konstant failure rate på 1/200.000 timer
Der er produkseret knap 400 B737M, det er nok i gns. knap et år gamle, og flyver 25% af tiden, og der er to sensoer pr. fly. 4008.8000,25*2=1.760.000 AoA timer.
Hvis dette holder så har flåden oplevet 8 sensor elektronik fejl.
I et andet forum så en et princip diagram hvor signalerne fra sensoren var opgivet som SIN, COS, og COM.
Dette kunne tyde på at sensoren er dubleret internt med analog SIN, COS resolver, samt en absolut encoder med datakommunikations forbindelse på samme aksel.
Hvis det er tilfældet bør alle elektriske fejl i signal kæden kunne detekteres, og resultere i at sensor data ikke anvendes (fail silent ).

  • 1
  • 0

Det er anden dag i træk, hvor troværdige kilder fremhæver, at piloterne nok ikke helt fulgte Boeings anvisninger i det sidste crash.


Måske ikke, men hvad skal de gøre når Boeings anvisninger ikke virker.
At 05:40:35, the First-Officer called out“stab trim cut-out”two times. Captain agreed and First-Officer confirmed stab trim cut-out.

At 05:41:46, the Captain asked the First-Officerif the trim is functional. The First-Officer has replied that the trim was not working and asked if he could try it manually. The Captain told him to try.

At 05:41:54, the First-Officer replied that it is not working.
Dette tolker jeg som at de ikke kan foretage manual trim via. muskekraft

At 05:43:11, about 32seconds before the end of the recording, at approximately13,4002ft, two momentary manual electric trim inputs are recorded in the ANU direction. The stabilizer movedin the ANU direction from 2.1 units to 2.3 units

Dette tolker jeg som at trim cut-out switche er blevet genindkoblet, således at de kan bruge trim motor når muskel kraft ikke er nok
Uheldigvis får de ikke foretaget trim cut-out efter manual elektrisk trim, hvilket betyder at softwaren gør det endnu være...

  • 0
  • 0

Sammenholdes det med mulighed for "jack-stall" , så tror jeg at der er nogen som har et meget seriøst forklarings problem, når flyet kan dykke i jorden fra højde på mere end 6000 fod.
Hvis man kigger i de to havari rapporter, så har man i begget tilfælde fået en AOA-fejl + 'ensidig' "stick shaker" i venstre side, og deres eneste mulighed har nok været at 'bibeholde' flaps i +5 grader, så at MCAS systemet forblev deaktiveret (kan ses på den næst-sidste log på Lion-Air). Men det er jo ikke det som Boeing har skrevet flyets håndbog. At trimme systemet tilbage manuelt kræver vist at man drejer mindst 50 omgang på trim-håndtaget, så der er ikke noget man "bare lige gør".
Som jeg ser det, så må der laves noget om i flyets aerodynamik, og ikke at man prøver at lappe på en ændret aerodynamik med et utilstrækkeligt og fejlbehæftet SW-fix. Piloterne har i hvert fald gjort hvad de kunne.

Jeg må jo indrømme at jeg nu lyder som djævulens advokat her (eller Boeings!), men i mange systemforbedringer er der en 'pris' man betaler, som man først bliver opmærksom på, når der er sket en enkelt (måske enda to!) meget fatale ulykker, som man med en vis logik kan laste selve forbedringen, men hvor man, i kraft af selve formålet med forbedringen, ikke har registreret ét måske et stort antal tilfælde, hvor forbedringen rent faktisk har 'reddet' et antal piloter fra at komme i søgelyset som 'dårlige piloter', uden at de selv har haft en anelse om at det forbedrede system reddede dem, og flyet!

Jeg kunne bringe mange uheldige eksempler på systemer som ikke har fungeret sammen, fx den uheldige opsendelse af Ariadne-raketten, men også eksempler på mand/machine-problemer. For ca 20 år siden havde en af mine bedste venner, som på det tidspunkt var 70 år, købt et tidligt gps-system til sin bil. De var rigtig dyre den gang, men som han sagde: "Hun, er jo skidegod!" Min ven var absolut en meget god bilist. Han havde kørt rigtig meget bil i mere end 50 år, og uden at hans forsikringselskab havde været involveret på nogen måde. Og så skete det! Min vens gps-dame sagde : "Drej til vesntre!" Dét gjorde min 70-årige ven så, men uheldigvis havde gps-damen ikke oplyst ham om at han først skulle vente på grønt lys! Heldigvis blev hans forsikringsselskab heller ikke den gang involveret, men min ven kunne jo ikke undgå at høre en masse dytten fra den tværgående trafik!

Så vidt jeg har forstået på de begge alvorlige ulykker, så har man i begge fly aktivt prøvet på at tage kontrol over det system som fabrikanten havde ment som en sikkerhedsforanstaltning, men er der nogen der har analyseret de registrerede data, og som kan udelukke at flyenes automatik også i disse tilfælde, ville have reddet situationen, hvis systemet altså havde fået lov til at virke efter hensigten?

John Larsson

  • 0
  • 3

Min vens gps-dame sagde : "Drej til vesntre!" Dét gjorde min 70-årige ven så, men uheldigvis havde gps-damen ikke oplyst ham om at han først skulle vente på grønt lys!

Det er en af mine kæpheste. Damen siger ofte "Drej til venstre nu", og så må jeg undertrykke en uvilkårlig, indre trang til at dreje til venstre lige NU. Det er heldigvis indtil videre lykkedes mig at undertrykke denne trang hver eneste gang, men jeg kan sagtens forstå, at det er gået galt for andre.

Hvis damen i stedet sagde "Drej til venstre her", ville problemet ikke være det samme.

Så kan man filosofere en hel masse over, at det er folks egen skyld, for de er jo ansvarlige for kørslen osv. Men jeg tror på, at gode systemer tager højde for, at mennesker ikke er perfekte. Jeg er derfor egentlig ligeglad med, at den perfekte bilist aldrig kunne drømme om at dreje til venstre NU. Hvis bare 1 ud af 10000 bilister er så uperfekt, at han drejer til venstre NU, har vi et unødvendigt problem.

(Undskyld for at hijacke tråden.)

  • 0
  • 0

men essenen er jo at det er svært at forholde sig til en negativ statistik, når mørketallet for en mulig positiv statistik ikke er kendt!


Jeg synes, det er lidt svært at se på lige netop MCAS på den måde.

Du lægger op til en sammenligning af antallet af hændelser, hvor systemet har forhindret en pilotfejl, og antallet af hændelser, hvor systemet selv har forårsaget en fejl.

Problemet er, at den første kategori vel egentlig ikke eksisterer, når vi diskuterer MCAS.

Som jeg har forstået det, er MCAS ikke et system der skal beskytte mod pilotfejl. Det er et system, der skal beskytte mod, at piloterne gør det, de har lært, og som producenten ikke mener, at de skal omskoles væk fra.

  • 0
  • 0

Som jeg har forstået det, er MCAS ikke et system der skal beskytte mod pilotfejl. Det er et system, der skal beskytte mod, at piloterne gør det, de har lært, og som producenten ikke mener, at de skal omskoles væk fra.

Som jeg forstår det, så er der ikke noget nyt. De skal principielt styre flyet præcis ligesom de altid har gjort. Men det nye fly føles anderledes. Det har kraftigere reaktion, hvorfor man skal påvirke det lidt mindre etc. Og regler siger så, at piloterne skal i simulatoren, så de kan prøve følelsen af et near stall i det nye fly.

Men jeg er nu ikke sikker på at man kan sige, at MCAS er et unødigt system. Hvis ellers det havde fungeret efter hensigten, så ville systemet formodentlig også have været en fordel på de gamle flytyper. Har Airbus ikke mange tilsvarende systemer, der forsøger assistere piloterne i krisesituationer?

Det er ubestridt at Boeing installerede MCAS som et salgstrick (kunderne kan spare på uddannelse af piloterne). Men det kunne også have været for at øge sikkerheden. Det skulle i så fald naturligvis have været implementeret ordentligt, med redundans, begrænsninger og uddannelse af piloterne i systemet.

  • 1
  • 2

Dette tolker jeg som at de ikke kan foretage manual trim via. muskekraft


Det er nævnt andre steder at de ikke kunne dreje trimhjulene på grund af styrefladens stilling (opad og trim nedad) og høj fart. Jeg tænker på om motoren ville kunne dreje trimmet tilbage hvis den fik besked om det?
Fra ældre fly fandtes en instruktiom om at aflaste trimfladen ved at dykke flyet, dreje trimmet som død og djævel og derefter rette flyet op, og foretage operationen en gang til hvis det ikke var nok. (Rutchebane manøvre).

  • 0
  • 0