Schwere Störung durch vereiste Sensoren / A321 Zwischenbericht der BFU

[Intrepid]

Gibt es diese Procedure?

Sie wurde nachgereicht.

 

[WaS]

Ich schrieb bereits, dass eine weitere Komplexitätssteigerung nicht zielführend ist. ...

Ich bin davon ausgegangen, dass eine sichere Unterscheidung "am Boden" vs. "in der Luft" sowieso implementiert ist.

 

[Toryu]

Dadurch war aber eben dieses Problem nicht zu beheben

Wo steht das?

Ich bin davon ausgegangen, dass eine sichere Unterscheidung "am Boden" vs. "in der Luft" sowieso implementiert ist.

Das ist sie, aber nicht in diesem Systemzusammenhang. WoW-Erkennung gibt es beispielsweise bei der Schubumkehr und den Ground-Spoilers. Bei den Flight-Controls unterscheidet sie zw. "Ground Law" und Normal Law in der Luft.

____

Und so wie ich das verstehe, ist es auch nicht mit einem AP Disconnect getan, sondern ich muss dem fliegenden Computer an die Eingeweide. In einer kritischen Situation und ein ungewollter und nicht zu beendender Sinkflug stellt genau das dar, erfordert das schon erhebliche Sicherheit im Umgang mit den Systemen ODER eine eindeutige Procedure in den Emergency Checklists.

Wieso "nicht zu beendender Sinkflug"? Nach 4000ft war der Spuk vorbei. Das ist etwa die Zeit, in der das Problem bemerkt, analysiert und geringsmöglichem Nachteil für den Flug behoben wird.
Die "Sicherheit im Umgang mit dem System" nennt sich gemeinhin "Type Rating".

Selbst bei uneindeutiger Prozedur weiß die Crew, welche ELAC, SEC oder FAC Ausfälle zu welcher Flugkontrolldegradation führen. Ergo kann man die richtigen Knöpfe drücken, um die fälschlicherweis ansprechende Protektion abzuschalten - die befinden sich über den Köpfen der Piloten und sind einfache "An/ Aus" Pushbuttons.

In diesem Fall reicht die Degradation zum Alternate Law aus:
http://www.airbusdriver.net/airbus_fltlaws.htm

 

[WaS]

Das ist sie, aber nicht in diesem Systemzusammenhang. [...] Bei den Flight-Controls unterscheidet sie zw. "Ground Law" und Normal Law in der Luft.

Also wird die WoW-Erkennung bereits für eine durchaus sicherheitsrelevante Funktion in der Flugsteuerung benutzt. Was spräche dann dagegen, sie zusätzlich wie vorgschlagen auszuwerten? Welche Probleme würde man sich dadurch einhandeln?

 

[Toryu]

Du musst das System rezertifizieren, wenn der Rechner selbstständig bestimmen soll, welche Daten valide sind, und welche nicht.
Das ist ein ziemlicher Kostenaufwand, den vermutlich keine Airline tragen will - gemessen am Enthusiasmus die der AoA-Indicator und das BUSS-System ausgelöst haben (keinen).

Da die Modifikation nicht vorgeschrieben ist, wird sich niemand diesen Schuh anziehen wollen.
Die Möglichkeit besteht eher, das in einem neuen Flugzeug zu implementieren, das sowieso von Grund auf zertifiziert werden muss.

 

[beistrich]

Hier probieren wieder ein paar Leute ein ernsthaftes Designproblem schoen zu reden.
Das Flugzeug befand sich in einem unkontrollierten Zustand weil die Bordcomputer diesen Fall nicht kannten und die Crew praktisch von aktiven Gegenmassnahmen ausgeschlossen hatten. ...

Das Ausschalten von zwei ADR ist keine aktive Gegenmaßnahme?

Am Ende hat das Design des A320 funktioniert:
Unerwartetes Problem(vereiste Sensoren) -> erste Sicherheitsbarriere überwunden(2 falsche ADR überstimmen den richtigen) -> fälschlicherweise Aktivierung der der Alpha Protection -> Piloten schalten 2 ADRs aus, Flieger geht auf Alternate und wird per Hand geflogen -> Problem umgangen und Flug wird fortgesetzt. Das Käsescheiben-Modell in Aktion.

Die Vereisung der AoA-Sensoren, und das es wenn es blöd kommt die ADRs überlistet werden, ist ein Problem. Bestreitet auch keiner.
Aber deswegen gleich die gesamten Airbus-Flieger zu verteufeln ist sehr übertrieben. Einzelne wichtige Bauteile können durch Designfehler, Pech oder unterschätzten Gefahren zu gefährliche Flugzustände führen. Ist bei anderen Flugzeugen nicht anderes. Rein aus dem Gedächtnis fällt mir die 737 mit vereisten Höhenleitwerk ein. http://www.flightglobal.com/news/articles/norwegian-near-stall-to-spur-737-modification-393527/

Deswegen hat aber hier auch keiner alle 737 verteufelt.

737 ist auch deswegen ein gutes Beispiel, weil es der einzige zivile Flieger von Boeing ist, der heute noch in Massen an zivile Kunden ausgeliefert wird und kein FBW hat. Alle Neuentwicklung nach dem A320 (ganze zwei: 777 und 787) haben eine Flugsteuerung die denen von Airbus grundsätzlich ähnelt. Unterschiede gibt es in der Philosophie (zb: wie ist die Redundanz der Computer ausgeführt, die hier verteufelte Alpha-Protection und die ominöse bewegte Throttle) aber bei beiden müssen sich die Piloten mit den Computersystemen und Flight Control Laws auskennen. Und bei beiden Herstellern können die Piloten, sofern sie es für nötig halten, direkt fliegen. Heißt bei beiden übrigens Direct Law.


Kurz: Überlasse das dramatisieren den Medien. Die werden dafür bezahlt, du nicht.

---

btw: Der Held der ganzen Geschichte ist die Pilotenausbildung der Lufthansa. Ich bezweifle ob alle A320-Piloten das Problem schnell erkannt und behoben hätten.

 

[Schorsch]

Bei 4000 ft/min vergeht genau eine Minute, bis man von FL 310 auf FL 270 gesunken ist. Vielleicht eineinhalb Minuten, weil ja nicht sofort die 4000 ft/min anliegen. Danach war der Spuk wieder vorbei. Sie hätten weitere fünf bis sechs Minuten gebraucht, um aufzuschlagen - wenn sich die Sinkrate nicht noch erhöht hätte. Ich kann mir gut vorstellen, dass sich diese eineinhalb Minuten verdammt doof angefühlt haben. Es hat bestimmt jeder der beiden Piloten während dieser Zeit AF447 und QZ 8501 vor Augen gehabt, weil sie vor dem Ausschalten der Computer keine Kontrolle mehr über ihr Flugzeug hatten. Eine verdammt blöde Situation für einen Piloten.

Ich hoffe, dass bei einer Qualitätsairline wie Lufthansa inzwischen jeder Airbus-Pilot die wildesten Fehler-Szenarien im Simulator mal durchgespielt hat. Seit AF447 sind lustige Kombinationen von Sensor-Fehlern eigentlich Pflichtprogramm. Ich denke die beiden Herren da vorne waren dabei immer Herr über die Situation.

 

[Schorsch]

Da kommt wieder der alte Spruch zum Tragen "Airbus Crews bekommen kein Gehalt sondern Schweigegeld..."
Ich habe schon vor Jahren beschlossen mich von den Atari Fliegern fern zu halten.
Wenn sich ein Flugzeug nur noch durch das Abschalten aller Computer wieder unter Kontrolle bringen laesst, ist grundsaetzlich etwas faul. Was waere passiert wenn das Ganze in geringerer Hoehe stattgefunden haette?

Dann hast Du aber den falschen Schluss gezogen.
Diese ganze Story ist wieder so ein Flugangst-Treiber, und das ist vollkommen unnötig:
- der Airbus hat Protections, die sind aber an sich übersichtlich (Stall, Overspeed, Overpitch, Overbank, Vertical Acc)
- alle Piloten wissen, wie man diese im Zweifelsfalle umgeht (auch bei Air Asia!)
- Piloten werden durch Simulatoren auf solche Situationen vorbereitet, vergangene Abstürze/Vorfälle werden in das Training einbezogen

Diese ganzen Horror-Stories und blöde Kommentare wie "Schweigegeld" kommen von im Stolz verletzten alten Säcken, die den Nervenkitzel zur Selbstbestätigung brauchen. Die absolute Mehrheit fliegt lieber mit als ohne Protections.

 

[cool]

Es scheint, als waeren wir wieder bei Boeing vs Airbus und so gern ich Airbus mag und die Philosophie dahinter befuerworte, so muss man durchaus Kritik zulassen, die da waere, dass sich das Flugzeug aufgrund falscher Sensordaten selbststaendig in einen Zustand brachte, der in einem zeitlich nicht zu weit entfernten Punkt zum Absturz gefuehrt haette, noch dazu, dass sich das Flugzeug mit Steuerinputs nicht dazu bewegen lies, wieder einen normalen (wenn auch temporaer) Zustand einzunehmen.

Das ist durchaus eine Situation die ich als kritisch einstufen wuerde und wer argumentiert, dass dies bei einer B777 zb. nicht so der Fall waere, der hat in dem Fall auch tatsaechlich recht.

Auch wenn meine Meinung wenig zaehlt, aber die "das Flugzeug hat immer recht" Philosophie von Airbus hat bisher wohl mehr Probleme verursacht, als die "Commander hat das letzte Wort" Philosophie von Boeing, die B777 ist das beste Beispiel dafuer.

 

[Intrepid]

Es scheint, als waeren wir wieder bei Boeing vs Airbus ... die "das Flugzeug hat immer recht" Philosophie von Airbus hat bisher wohl mehr Probleme verursacht, als die "Commander hat das letzte Wort" Philosophie von Boeing, die B777 ist das beste Beispiel dafuer.

Eine schon fast philosophische Frage und durch die Betrachtung eines einzelnen Falles nicht lösbar. Denn Airbus nimmt schon ewig einzelne größere Unfälle in Kauf, um insgesamt sicherer zu fliegen. Und ob das auch funktioniert sollte dann in einem eigenen Thread ohne einen individuellen Vorfall im Hintergrund ausdiskutiert werden.

 

[Schorsch]

Auch wenn meine Meinung wenig zaehlt, aber die "das Flugzeug hat immer recht" Philosophie von Airbus hat bisher wohl mehr Probleme verursacht, als die "Commander hat das letzte Wort" Philosophie von Boeing, die B777 ist das beste Beispiel dafuer.

Wenn man die Unfälle auf Anzahl der geflogenen Cycles (etwa eine Größenordnung weniger) bezieht, und die Tatsache einbezieht, dass Langstreckenflieger von überdurchschnittlich erfahrenen Piloten geflogen werden, halte ich die Aussage statistisch für bedenklich.

Weiterhin wären die AoA-Sensoren auch irgendwann wieder aufgetaut. Ich glaube das Flugzeug hätte seine Reise nach unten irgendwann von selbst beendet.

 

[jackrabbit]

Hallo.

Weiterhin wären die AoA-Sensoren auch irgendwann wieder aufgetaut. Ich glaube das Flugzeug hätte seine Reise nach unten irgendwann von selbst beendet.

aber wer will die Antwort auf die Frage "Was geht schneller - das Auftauen der Sensoren oder die Reise nach unten?"
schon dem Flugzeug überlassen?

Grüsse

 

[Sens]

Dann hast Du aber den falschen Schluss gezogen.
Diese ganze Story ist wieder so ein Flugangst-Treiber, und das ist vollkommen unnötig:
- der Airbus hat Protections, die sind aber an sich übersichtlich (Stall, Overspeed, Overpitch, Overbank, Vertical Acc)
- alle Piloten wissen, wie man diese im Zweifelsfalle umgeht (auch bei Air Asia!)
- Piloten werden durch Simulatoren auf solche Situationen vorbereitet, vergangene Abstürze/Vorfälle werden in das Training einbezogen

Diese ganzen Horror-Stories und blöde Kommentare wie "Schweigegeld" kommen von im Stolz verletzten alten Säcken, die den Nervenkitzel zur Selbstbestätigung brauchen. Die absolute Mehrheit fliegt lieber mit als ohne Protections.

Entscheidend ist doch was das BFU dazu berichten wird und dort wurde der Zwischenfall als "severe" eingestuft. Kurz danach hat die Lufthansa den Austausch der Sensoren vorgenommen, Airbus eine Änderung in der Software und Warnhinweise an alle Nutzer. Vom November 2014 dauert es dann sicherlich einige Monate bis alle Betroffenen tatsächlich nachgeschult sind.
Glück im Unglück war, dass der Vorfall bei guten Sicht und Witterungsbedingungen stattfand und die gesamte Besatzung bis zum Erreichen der Reiseflughöhe nach dem Start nicht durch andere Routinen abgelenkt war. Der Kapitän war ein "alter Hase" auf dem Muster und hatte die Autorität von den üblichen Prozeduren ab zu weichen.

Bei den Flügen der Air France und der Air Asia sah die Situation ganz anders aus. Dort bekamen die Besatzungen ein technisches Versagen nicht kurzfristig in den Griff.

Der letzte Satz zeigt eine Eindimensionalität der Wahrnehmung. Wie jemand fliegt entscheidet sich in erster Linie mit dem Muster, das auf der gewünschten Verbindung zum Einsatz kommt. Die verbalen Übertreibungen in der Presse schaden der Flugsicherheit nicht, ganz im Gegenteil, denn es zwingt die Betroffenen etwas zu tun. Da denke ich nicht zuerst an eine bessere Pressearbeit sondern an Investitionen in die Sicherheit.
Es hat schon eine tragische Ironie, das Boeing beheizbare Sensoren verbaut.

 

[LFeldTom]

Nachdem hier die Presse immer wieder (oft zurecht) verrissen wird, auch mal ein wenig interne Kritik. Warum wird das hier eigentlich nach dem Spiegel-Artikel diskutiert und nicht nach dem Pendant der Welt - hier zu finden. Man beachte den sachlichen Ton, die recht gute Beschreibung der Ursache und vor allem das Datum.

War wohl keinem von uns spektakulär genug ...

 

[Toryu]

Das ist durchaus eine Situation die ich als kritisch einstufen wuerde und wer argumentiert, dass dies bei einer B777 zb. nicht so der Fall waere, der hat in dem Fall auch tatsaechlich recht.

Die T7 ist hier aber meines Wissens nach den beschriebenen "Alten Säcken"(TM) bei United nach dem Mund designed worden. Die Kollegen damals waren auch eher von der Airbuswitze-Fraktion.

Bei der 787 ist das mit der Stall-Protection soweit mir bekannt schon ziemlich Airbus-like.

Auch wenn meine Meinung wenig zaehlt, aber die "das Flugzeug hat immer recht" Philosophie von Airbus hat bisher wohl mehr Probleme verursacht, als die "Commander hat das letzte Wort" Philosophie von Boeing, die B777 ist das beste Beispiel dafuer.

Da wäre ich bei der Statistik vorsichtig. Dafür müsste man erstmal die Fälle zusammenzählen, bei denen die Protections tatsächlich jemanden umgebracht haben, gegenüber jenen, wo sie jemanden gerettet haben.
Mir fallen spontan zwei Boeing-Abstürze ein, die mit einem Airbus nicht so passiert wären (AA757 in Cali und THY738 in AMS).

Es ist ja nicht so, dass das Flugzeug in Suppenkasper-Manier dem Piloten die Kontrolle entzieht, sondern das ein falscher Sensordatensatz zu einer unerwünschten Reaktion führt. Das ist prinzipiell nichts anderes, als in Pilot, der einem kaputten Attitude-Gyro in den Tod folgt.
In beiden Fällen liegt die Rektifizierung im Erkennen des Problems und in der Anwendung einer geeigneten Gegenmaßnahme.

aber wer will die Antwort auf die Frage "Was geht schneller - das Auftauen der Sensoren oder die Reise nach unten?"

Die Frage stellt sich nicht. Das Abschalten eines ADU reicht ja schon, um ein "outvoting" der beiden bösen Units zu beenden.
Ich erinnere an meinen Kommentar "bei Airbus und den Zulassungsbehörden arbeiten nicht nur Idioten".

Entscheidend ist doch was das BFU dazu berichten wird und dort wurde der Zwischenfall als "severe" eingestuft. Kurz danach hat die Lufthansa den Austausch der Sensoren vorgenommen, Airbus eine Änderung in der Software und Warnhinweise an alle Nutzer. Vom November 2014 dauert es dann sicherlich einige Monate bis alle Betroffenen tatsächlich nachgeschult sind.

Die BFU hat da keinen Spielraum, sondern entscheidet über die Schwere des Vorfalls anhand einer vorgegeben Definitionsmatrix.
Wenn du wüsstest, wie viele ADs (LTAs für die Sprachwächter) täglich in meinem Postfach landen...

BTW: Wenn LH die Sensoren tauscht, bedeutet das (wie bei jeder Airline), dass Flugzeuge mit jenen Sensoren noch ein paar Monate weiterfliegen. Bis die Flotte einmal durch ist, dauert das noch ein paar Monde.

Glück im Unglück war, dass der Vorfall bei guten Sicht und Witterungsbedingungen stattfand und die gesamte Besatzung bis zum Erreichen der Reiseflughöhe nach dem Start nicht durch andere Routinen abgelenkt war. Der Kapitän war ein "alter Hase" auf dem Muster und hatte die Autorität von den üblichen Prozeduren ab zu weichen.

Das Wetter mag ein positiver Faktor gewesen sein, aber den Fehler könnte man auf dem PFD auch nachts und in der Suppe erkennen. Bei Eintreten der Cruisephase ist die Ablenkung eher gering.
Von welchen "üblichen Prozeduren" redest du?

 

[Ghostbear]

Hier mal ein Bericht zu einem Vorfall (A330 Voyager RAF) der erst auch im Verdacht stand, ein "uncommanded descent" gewesen zu sein.
http://www.flightglobal.com/news/articles/a330-flight-control-laws-saved-voyager-inquiry-finds-410491/

Hier allerdings werden die Airbus Protections dafür verantwortlich gemacht, dass dem Flugzeug eben nicht mehr passiert ist!

 

[Acela]

Nebenbei gemerkt gab es auch in Non Fly by Wire Flugzeugen Fälle, wo das Flugzeug aktiv gegen den Piloten gearbeitet hat. Der Interflug A310 in Moskau war so ein Fall...

Gutes Crew Training kann viel Schaden abwenden...

 

[Intrepid]

Durch "trim away" sind schon Flugzeuge in der Luft zerbrochen. Ich kenne Piloten, die haben sich die Sicherung der elektrischen Trimmung extra farbig markiert, damit sie sie im Falle eines Falles sofort identifizieren können.

 

[Toryu]

Die non-FBW Airbii sind in dieser Beziehung* (Tarom In Paris, Interflug in Moskau, + ein oder zwei echte Crashs) tatsächlich ein wenig dämlich (weil kontra-intuitiv) gewesen.

Das hat aber mit den FBW Airbii nix zu tun. Dort trimmt** man sowieso nicht nach Geschwindigkeit, sondern über Tiefpass nach Lastvielfachem.

Durch "trim away" sind schon Flugzeuge in der Luft zerbrochen. Ich kenne Piloten, die haben sich die Sicherung der elektrischen Trimmung extra farbig markiert, damit sie sie im Falle eines Falles sofort identifizieren können.

Trim Runaways sind aber was anderes. Beim non-FBW Airbus ging beim Drücken auf die TOGA-Taste der Stabilizer auf Pitch Up. Ein Runaway ist dagegen schon etwas ernster (zumal ungewollt).


____
*TO/GA-Button drücken und dann versuchen, mit dem Flugzeug zu kämpfen.
** "Man" trimmt sowieso nur im Abnormal Alternate Law und Direct Law selber. Siehe: http://www.airbusdriver.net/airbus_fltlaws.htm

 

[Aeronaut]

..... Airbii.......

Was soll das sein ?