Sorte bokse viser ligheder mellem Boeing 737 Max-ulykker
more_vert
close

Få de daglige nyheder fra Version2 og Ingeniøren. Læs mere om nyhedsbrevene her.

close
Ved at tilmelde dig accepterer du vores Brugerbetingelser, og at Teknologiens Mediehus og IDA-gruppen lejlighedsvis kan kontakte dig om arrangementer, analyser, nyheder, tilbud mm via telefon, SMS og email. I nyhedsbreve og mails fra Teknologiens Mediehus kan findes markedsføring fra samarbejdspartnere.

Sorte bokse viser ligheder mellem Boeing 737 Max-ulykker

Illustration: Wikimedia Commons

Den sidste tvivl om, at der er tale om samme problematik med de to forskellige udgaver af Boeings 737 Max-fly, der begge er havareret, forsvandt ifølge de etiopiske myndigheder i denne weekend.

Da modtog landet data fra de sorte bokse på det fly, som styrtede til jorden seks minutter efter start i Addis Ababa 10. marts, hvorved alle 157 ombordværende blev dræbt. Dataene blev hentet ud af Flight Data Recorder (FDR) og Cockpit Voice Recorder (CVR) af den franske havarikommission.

Læs også: Her er forskellene på det groundede Boeing 737 Max og 737'erne, der stadig flyver

»Data blev hentet ud af boksene med succes. Både det amerikanske team og vores team har valideret det,« siger talsmand Muse Yiheyis fra det etiopiske transportministerium til nyhedsbureauet Reuters.

»Det er samme sag med det indonesiske fly. Der er indtil videre klare ligheder mellem de to styrt,« siger han.

Det indonesiske fly var Lion Air og styrtede ned 13 minutter efter starten i Jakarta 29. oktober sidste år. Den ulykke kostede 189 livet.

Alle pile peger på MCAS

Reuters skyndte sig i weekenden at ringe til både den amerikanske luftfartsmyndighed, FAA, og den amerikanske havarikommission, NTSB. Begge afviste, at de havde nået at validere data fra de sorte bokse.

De etiopiske myndigheder har ikke specificeret, hvori lighederne bestod, men det er nu allerede nogenlunde veletableret ud fra bl.a. radardata. Begge fly skiftede således højde med sekunders mellemrum.

Læs også: Ugens debat: Moderne flyvning kan blive en kamp mellem pilot og computer

Det har kastet mistanken på det softwaresystem, som Boeing introducerede med Max-udgaven af 737, verdens mest solgte passagerfly. Maneuvering Characteristics Augmentation System (MCAS), som Boeing kalder softwaren, sørger automatisk for at tvinge næsen ned, hvis flyets angrebsvinkel – vinklen mellem luftstrømmen og vingen – bliver for stor, så der er risiko for et stall.

Den sensor, som måler angrebsvinklen, var i stykker på det indonesiske fly. Den foreløbige havarirapport viser, at piloterne 31 gange forsøgte at rette flyets næse op, men hver gang blev den igen tvunget mod jorden, indtil flyet styrtede.

MCAS-softwaren justerer automatisk højderoret (horizontal stabilizer) på Boeing 737 Max. Det var netop positionen på den såkaldte jackscrew på det etiopiske fly, som justerer højderoret, der, efter hvad amerikanske medier har erfaret, fik FAA til som den sidste luftfartsmyndighed i verden at grounde 737 Max.

Læs også: Anonyme kilder: FAA vendte på en tallerken, da de opdagede, at ulykkesflyet trimmede næsen nedad

Myndigheder kendte ikke systemet

Den amerikanske avis Seattle Times skrev i weekenden, at FAA ikke var klar over, hvor meget MCAS-softwaren kan ændre højden. Ifølge avisen havde FAA's ingeniører i arbejdet med at godkende 737 Max udelukkende set en justering på 0,6 grader.

Efter den indonesiske ulykke fortalte Boeing for første gang selv flyselskaber og piloter om MCAS' eksistens og funktion. Da kom det frem, at den maksimale justering er hele 2,5 grader. Det betyder, at softwaren kan bevæge halepartiets horizontal stabilizer godt fire gange mere, end den godkendende myndighed var klar over.

Samtidig kunne Wall Street Journal berette, at det amerikanske transportministerium har indledt en undersøgelse af FAA's godkendelse af Boeing 737 Max. Den fokuserer netop på flyets automatiske sikkerhedssystem.

Boeing lovede allerede efter styrtet i oktober en opdatering af softwaren. Den skulle være frigivet inden årsskiftet, men er stadig ikke frigivet.

Illustration: Lasse Gorm Jensen
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først

De nyeste informationer fortæller en klassisk historie om problemerne med at følge de standarder/krav der er til den slags software. Manglende kontrol hos myndighederne som har ladet Boeing om selv at føre den nødvendige kontrol. Økonomisk pres og manglende og ufuldstændige analyser af det komplette systems funktioner.

Man kunne skrive en bog om dette emne!

  • 12
  • 3

..af statsadministrationen have kostet 157 mennesker livet?

Boeing lovede allerede efter styrtet i oktober en opdatering af softwaren. Den skulle være frigivet inden årsskiftet, men er stadig ikke frigivet.

I den periode har FAA måske været lukket helt ned eller kørt på lavt blus, så de ikke har nået at se på den nye software?

  • 10
  • 12

Et eksempel på, hvorfor vi skal være skeptiske over for 'kunstig intelligens'. Surt at blive dræbt af et dårligt skrevet program.

  • 16
  • 5

Det er naivt at tro, at komplicerede tekniske systemer kan gennemtestes af myndigheder eller andre eksterne organisationer/virksomheder.

Det kan være, at der er tale om designfejl, som hviler på manglende krav til fly.
Af andre tråde synes at fremgå, at MCAS benytter een sensor - og ikke "et kvalificeret flertal" af sensorer.
Hvis det er tilfældet, så er der naturligvis tale om mangelfulde krav fra offentlige myndigheder - hvilket er noget helt andet end at forsøge en gennemteste.

Dette ændrer dog ikke ved, at piloternes "override" mulighed synes begrænset - hvilket igen - måske - kan være både en designfejl og et manglende krav.

Men mon ikke der sker noget nu - efter tre lignende flystyrt (det tredie var et AF).

  • 13
  • 1

MCAS bruger ikke kunstig intelligens og der er i øvrigt ingen tegn på at programmet ikke fungerer præcis som designet og dokumenteret. Tværtimod var det ved test at de konkluderede at 0,6 grader ikke var nok, så det blev ændret til 2,5 grader.

Alt i denne sag kan føres tilbage til design og godkendelsesprocedurer.

  • 19
  • 1

Derfor skrev jeg 'kunstig intelligens' med anførselstegn. Det er i hvert fald en stor - menneskelig - fejl, når piloten ikke kan override systemet (og måske slet ikke kendte til den nye software).

  • 13
  • 2

Hvis MCAS og piloten "slås" om at kontrollere flyet, ved at MCAS ændrer AOA på hele haleplanet medens piloten med joystick'et kun kan ændre vinklen på selve rorplanet (højderoret) - Kan man da forestille sig en situation ved en given flyvehastighed hvor der opstår rorstall således at højderoret pludselig holder op med at virke?
Eller at rorplanet er effektivt nok til at bringe hele haleplanet ind i stall?

Så er det ihvertfald lodret i jorden...

Det undrer mig at det går godt i så relativt lang tid - Specielt set i lyset af at MCAS kan foretage den samlede justering på 10 sek...

Under alle omstændigheder burde en sådan konstruktion aldrig have forladt skrivebordet.

Jeg mindes nogle styrt med mindre turboprop-fly hvor det tog NASA en hel del test at finde ud af at fejlen skyldtes overisning af haleplanet og dermed stall af dette.
Man havde bare ikke forestillet sig hvor stort problemet var...

  • 2
  • 2

der må hvile et stort ansvar på Boing og de involverede godkendelses myndigheder,- dette svarer tilsyneladende til, at sende en ny bilmodel på vejen som drejer til højre, når man drejer til venstre etc... uhyggeligt!

  • 5
  • 1

Det kan godt tænkes, at nedlukningen har forsinket opdateringen, men hvis Boeing mente, at opdateringen var kritisk sikkerhedsmæssigt, skulle de selvfølgelig have anbefalet, at flyene blev taget ud af drift, indtil opdateringen var klar. Så det må primært være Boeings ansvar.

  • 16
  • 0

Da modtog landet data fra de sorte bokse på det fly, som styrtede i havet seks minutter efter start i Addis Ababa 10. marts, hvorved alle 157 ombordværende blev dræbt.

Det var Lion Air der styrtede i havet. Ethiopan Airlines Flight 302 styrtede ned på en mark.

  • 3
  • 0

Hvis MCAS og piloten "slås" om at kontrollere flyet, ved at MCAS ændrer AOA på hele haleplanet medens piloten med joystick'et kun kan ændre vinklen på selve rorplanet (højderoret) - Kan man da forestille sig en situation ved en given flyvehastighed hvor...

- muligvis?:

The yoke does move the elevators, whereas the trim moves the horizontal stabilizer. The stabilizer is much larger than the elevators, and therefore is more effective than the elevator at extreme angles. Even with full backpressure, the nose would continue to pitch down

https://aviation.stackexchange.com/questio...

  • 3
  • 0

Ifølge diverse videoer og artikler på nettet, er der to muligheder for at modvirke MCAS:
For det første kan man trimme imod MCAS på 'rattet'. MCAS slår dog til igen, 5 sekunder efter at man slipper 'trim' knappen.
En anden mulighed er at man kan disable autotrim fuldstændigt, og trimme flyet med 'håndhjulene'. Det blev så vidt jeg kan forstå gjort med Lion Air flyet, på den sidste flyvning inden ulykken.

  • 4
  • 0

Ja, det kan jeg se af kilden - Min tanke er om 2,5 grader trim er nok til at det ikke kan modvirkes med nær maksimalt højderor - Der mangler nogle fakta.

Hvis det er muligt at holde MCAS "skak" ved at bruge højderoret nær maksimalt udslag, så er min tanke at der kunne forekomme en situation (flyvehastighed, turbolens, motorydelse) hvor højderoret staller og MCAS dermed indirekte forårsager styrtet.

  • 1
  • 0

Hvis det er muligt at holde MCAS "skak" ved at bruge højderoret nær maksimalt udslag, så er min tanke at der kunne forekomme en situation (flyvehastighed, turbolens, motorydelse) hvor højderoret staller og MCAS dermed indirekte forårsager styrtet.

Ifølge Ethiopian Airlines var deres piloter gjort opmærksom på den sikkerheds bulletin, der blev udsendt efter Lion Air ulykken, og dermed også hvordan man kan modvirke MCAS.
Antager du at de har handlet forkert, og trukket i 'styrepinden', frem for at bruge trim knappen?

(Hvad hedder en 'yoke' på dansk?)

  • 2
  • 0

Antager du at de har handlet forkert, og trukket i 'styrepinden', frem for at bruge trim knappen?


Jeg holder muligheden åben... Eftersom styrtene ligner hinanden og man véd at piloterne i Lion Air styrtet ikke brugte manuelt trim...

  1. MCAS skal få flyene til at opføre sig ens (ny og ældre model).
  2. Bulletiner er ikke nødvendigvis = Tilstrækkelig simulatortræning.

Det kunne derfor forekomme at der blev reageret forkert på en uvant situation.
Det viser tilfældet jo ihvertfald med Lion Air - Eftersom det foregående crew fløj flyet i manuelt trim og ikke havarerede...

Dét der undrer mig, er at begge fly flyver et stykke tid med varierende højde, for derefter pludselig at styrte næsten lodret i jorden.

Et fly med fuldt stallet haleplan flyver nogenlunde så godt som et klaver...

  • 6
  • 0

Ifølge Ethiopian Airlines var deres piloter gjort opmærksom på den sikkerheds bulletin, der blev udsendt efter Lion Air ulykken, og dermed også hvordan man kan modvirke MCAS.
Antager du at de har handlet forkert, og trukket i 'styrepinden', frem for at bruge trim knappen?

Jeg tror at de ikke nåede at konkludere at problemet var MCAS. I situationen sider de i et fly der gør noget uventet. Der er en million ting der kan være galt. De har fulgt deres træning i fejlsøgning. Men MCAS fejl er ikke en del af træningen. Der er meget kort tid til at regne den ud.

Man må formode at hvis de havde fundet fejlen i tide, så ville de også vide præcis hvad de skal gøre.

  • 7
  • 0

AI er ikke sikkerheds relevant , biler har ( burde have?) flere sikkerhedsfunktioner ud over dens visuelle genkendelses program.

  • 0
  • 3

Nogle må kunne svare på følgende: Kan flyet overhovedet flyve med konstant højde når trimmet af haleplanet er maximalt?
Det næste spørgsmål er så, at hvis flyet reelt var ved at stalle og dette trim bringer flyet tilbage til normal flyvning, hvor lang tid tager det så at rulle trimmet tilbage.
Eller er de gået i jorden inden.

  • 0
  • 2

Jeg kan se du ikke har megen forstand på sikkerhedsrelevant software.
Det fremstilles i en specificeret proces hvor alt ydre materiel og alle mulige brugs situationer skal behandles. Jo der foretages også test.
Det et review gør er at sikkre at alle trin i processen er udført og korrekt i forhold til relevante planer.

  • 1
  • 0

Et eksempel på, hvorfor vi skal være skeptiske over for 'kunstig intelligens'.

Det er ikke (alene) AI, som er problemet - det er tåbelige mennesker, der fuldt og fast tror på eller mener at itSovs uden kontrol af helt uafhængige fagpersoner kan løse alle problemer, skabe vækst etc. etc.

Næsten alle programmer (tænk blot på Windows BSD :) har fejl, og de konstante og tåbelige reklamer om, at algoritmer/programmer har uendelige mængder af fortræffeligheder og ingen ulemper, det minder om i starten af "Atomalderen". Dengang skulle der sør'm da "atom" i morgenmad(Sic!) og alskens tåbelige dimser.

Reklamer om it og deres algoritmer/programmer/Apps er meget sjælden i overensstemmelse med virkeligheden og sandheden. Hvornår ledelser/styrelser i stater mfl. bliver voksne og mindre itAnalfabeter og derfor stiller kontante krav samt uddeler bøder, der kan føles, det ved jeg ikke.. men det haster.

  • 1
  • 1

Det er velkendt at det i store træk er umuligt at fremstille fejlfrit software. Men sikkerhedslrelevant software er underlagt meget specifikke krav. For eks til programmeringssproget hvor fx C++ ikke kan bruges uden restriktioner formodentligt fordi alle programmører tror de er ufejlbarlige. Processen der skal følges inkluderer alle indput og også hensynstagen til både programmeringsfejl og hardware fejl samt alle input fejl og ikke minds brugen af softwaren, det er således lidt misvisende at kalde det software idet det er underlagt mange flere restriktioner og også managements pligter hvis relevant.
Det er ofte den sidste part der er problemer med fx som for letbanen i århus og sandelig for boeing sagen.

Jer har opdaget hen ad vejen at begrebet sikkerhedsrelevant software ikke er ret kendt i Danmark. Det er en skam. Hvis man spørger mig så skulle alle programmer som behandler øjonomiske data underlægges samme krav. Det ville også hjælpe på de mange fejl vi oplever med statslig software. Ikke at fejl forsvinder men at der er færre og at ledelsen bliver aktivt inddraget!

  • 2
  • 0

Ikke at jeg skal gøre mig klog på det specifikke tal, men jeg kan godt forestille mig at hvis flyet er tilstrækkeligt 'haletungt' kan det flyve 'normalt' med en 'pitch down' trim på 2.5 grader.

Jeg vil dog mene at ingen flybesætning normalt ville forsøge at flyve med et fly der var så haletungt at det var nødige med sådan et trim, og jeg tror ingen gang at det ville være muligt for det at lætte.

  • 0
  • 0

MCAS kan trimme helt til stop, hvilket er 5 grader. Der trimmes 2,5 grader. 10 sekunder senere er der stadig fejl på sensoren, hvorfor den trimmer yderligere 2,5 grader. Og det bliver den ved med hvert 10. sekund.

Det er i sig selv en designfejl og burde aldrig have været godkendt. De får ikke lov til at flyve igen før at MCAS er tøjlet, så den ikke ved gentagne cykler kan gå hele vejen. Det har aldrig været meningen at den skulle det.

Det er dog ikke en softwarefejl som sådan. Programmet er korrekt ifølge det design og dokumentation der findes.

  • 7
  • 1

Jeg tror at de ikke nåede at konkludere at problemet var MCAS. I situationen sider de i et fly der gør noget uventet. Der er en million ting der kan være galt. De har fulgt deres træning i fejlsøgning. Men MCAS fejl er ikke en del af træningen. Der er meget kort tid til at regne den ud.

Man må formode at hvis de havde fundet fejlen i tide, så ville de også vide præcis hvad de skal gøre.

Enig. Som jeg forstår det er et af problemerne at MCAS justerer trim, men at det ikke er klart et det gør det. Trimhjulet snurrer afsted, men det er normalt idet såvel STS (Speed Trim System) såvel som andre automatiserede systemer gør det hele tiden.

Så hvis MCAS trimmer derudaf n x 2.5 grader inden piloterne overhovedet bliver opmærksom på at noget er galt er det, som jeg forstår det, sandsynligt at det ved lav højde simpelt hen ikke er muligt at trimme det langt nok tilbage - enten via trimknapperne eller ved fysisk at dreje på trimhjulet - til at få rettet op inden flyet rammer jorden.

Dertil kan så være, som andre har foreslået, at haleplanet nu er i stall hvilket kræver endnu mere højde at rette op. Eller, som jeg har set foreslået andetsteds (https://www.pprune.org/showpost.php?p=1042...), at den aerodynamiske påvirkning af haleplanet simpelt hen er så stor at det ikke er muligt at trimme retur uanset hvor meget der trykkes på knapperne, hvis ikke piloterne har nærværelse - og højde - til at "lette lidt af trykket" ved at reducere farten og extend flaps?

  • 0
  • 0

MCAS kan trimme helt til stop, hvilket er 5 grader. Der trimmes 2,5 grader. 10 sekunder senere er der stadig fejl på sensoren, hvorfor den trimmer yderligere 2,5 grader. Og det bliver den ved med hvert 10. sekund.

Udfra denne: https://theaircurrent.com/aviation-safety/...

  • kan MCAS kun trimme 2,5 grader...
  • MCAS trimmer 0,27 grader/s, op til lige under 10s totalt, hvilket giver de 2,5 grader.

Jeg antager at de 2,5 grader er ift. sat trim og dermed kan den jo principielt godt trimme til "stop", men altså ikke mere end 2,5 grader fra allerede værende trim...

  • 0
  • 0

Er der ikke en hældningssensor, eller flere, der burde overstyre, så et fly ikke kommer i ekstremer?
Hvordan klarer systemerne kraftig turbulens?

  • 0
  • 0

Jeg antager at de 2,5 grader er ift. sat trim og dermed kan den jo principielt godt trimme til "stop", men altså ikke mere end 2,5 grader fra allerede værende trim...

https://www.seattletimes.com/business/boei...

The discrepancy over this number is magnified by another element in the System Safety Analysis: The limit of the system’s authority to move the tail applies each time MCAS is triggered. And it can be triggered multiple times, as it was on the Lion Air flight.

One current FAA safety engineer said that every time the pilots on the Lion Air flight reset the switches on their control columns to pull the nose back up, MCAS would have kicked in again and “allowed new increments of 2.5 degrees.”

“So once they pushed a couple of times, they were at full stop,” meaning at the full extent of the tail swivel, he said.

Peter Lemme, a former Boeing flight controls engineer who is now an avionics and satellite-communications consultant, said that because MCAS reset each time it was used, “it effectively has unlimited authority.”

  • 6
  • 0