Schwere Störung durch vereiste Sensoren / A321 Zwischenbericht der BFU

[Intrepid]

Im Ernst: Wenn nach einer Steuereingabe (hier: dem automatischen Einleiten des Sinkflugs) die AOA-Flügelchen überhaupt keine Änderung des Anstellwinkels anzeigen sondern beide ihren Messwert behalten, könnten die Computer dann daraus nicht schließen, dass dieser Wert nicht plausibel sein kann?

Es heißt doch, die Software sei angepasst worden.

 

[GorBO]

Also mir stellen sich bei dem Geschilderten die Nackenhaare auf und ich persönlich musste umgehend auch an QZ8501 denken. Insbesondere die Aussage, dass auch bei voll gezogenem Stick (frei übersetzt) kein Ausleiten des Sinkfluges möglich ist, macht mir zu schaffen.
Nur mal hypothetisch und ohne das ich Systemkenntnisse hätte, könnte man sich bei einer Crew die nicht vernünftig Kommuniziert vorstellen, das der Pilot Flying den Stick bis zum Anschlag zieht, weil er immer noch hofft aus dem Sinken rauszukommen, während der Andere die Computer und damit auch die Protection ausschaltet.
Was als nächstes passiert ist ein sehr rasantes Hochziehen der Nase, weil der PF ja immer noch den Stick voll zurückgezogen hat und ehe man sich versieht ist man in einem üblen Stall und es fehlen auch noch verlässliche AOA-Werte, die einem helfen würden diesen zu recovern.
Im vorliegenden Fall lief es zum Glück nicht so, weil die Piloten wahrscheinlich wussten was der jeweils andere tut.
Aber ich erkenne hier schon Fehler in der Systemarchitektur.

 

[Toryu]

Nur mal hypothetisch und ohne das ich Systemkenntnisse hätte, könnte man sich bei einer Crew die nicht vernünftig Kommuniziert vorstellen, das der Pilot Flying den Stick bis zum Anschlag zieht, weil er immer noch hofft aus dem Sinken rauszukommen, während der Andere die Computer und damit auch die Protection ausschaltet.

Wenn bei einer Crew jemand ohne Absprache anfängt, die Triebwerke auszuschalten, würdest du das dann auch dem Flugzeug anlasten?

So eine leichte Tendenz hin zu furchtinduziertem Unbehangen kann man ja bei den Meisten hier erkennen.

 

[GorBO]

Wenn bei einer Crew jemand ohne Absprache anfängt, die Triebwerke auszuschalten, würdest du das dann auch dem Flugzeug anlasten?.

Nein, und so krass habe ich es auch nicht gemeint.
Aber man muss ausreichend sensibilisiert sein, das das Flugzeug nach dem Ausschalten plötzlich wieder auf Steuereingaben reagiert. Dazu gehört das Wissen, warum es das bisher nicht getan hat. Wenn man dieses Wissen hat und in der Situation auch anwendet, hat man eh schon aufgehört am Stick zu ziehen.

 

[cool]

Ich habe schon vor Jahren beschlossen mich von den Atari Fliegern fern zu halten.

Da bleibt heutzutage ja nicht mehr viel übrig.

 

[Intrepid]

Aber man muss ausreichend sensibilisiert sein, das das Flugzeug nach dem Ausschalten plötzlich wieder auf Steuereingaben reagiert.

Ich gehe mal davon aus, dass solche Handlungen während der Typenausbildung und in den wiederkehrenden Simulatorchecks nicht nur theoretisch durchgesprochen sondern auch bis zum Erbrechen praktisch geübt werden.

 

[Toryu]

Aber man muss ausreichend sensibilisiert sein, das das Flugzeug nach dem Ausschalten plötzlich wieder auf Steuereingaben reagiert. Dazu gehört das Wissen, warum es das bisher nicht getan hat. Wenn man dieses Wissen hat und in der Situation auch anwendet, hat man eh schon aufgehört am Stick zu ziehen.

Wie ich schonmal schrieb: Es gibt nicht allzu viele Sensoren, die ausfallen können.
Anhand jedes Ausfallszenarios ergibt sich eine Reaktion des Flugzeugs und/ oder der Instrumente.

Wer das nicht sowieso im Kopf durchspielt, ist als Pilot sein Geld nicht wert.

 

[Wind Shear]

Durch die dahinter stehende Logik, kann es dann aber schon komplexer werden. Z.B. das Verstummen der Stallwarning wie bei AF447 aufgrund einer zu niedrigen gemessenen Geschwindigkeit.

 

[Toryu]

Das hat aber wiederum nichts mit der Flugsteuerung zu tun, sondern mit der Anzeigelogik.
Die AoA-Vanes fallen normalerweise in eine Bodenstellung, wenn sie nicht ausreichend umströmt werden, damit Kondenswasser durch das Drain-Hole abfließen kann. Würde ich nicht unterhalb von 60KIAS die Stallwarnung abschalten, hätte ich am Boden ständig ein Klingeln im Kopf.

"Aber man könnte ja einen WoW-Logik einbauen". Ja, könnte man. Aber auch die kann mir ausfallen. Und sie bringt nur zusätzliche Komplexität. Einfacher wäre es, in großer Höhe nicht zu stark aus dem Trimzustand heraus zu fliegen.

 

[Intrepid]

"Aber man könnte ja einen WoW-Logik einbauen". Ja, könnte man. Aber auch die kann mir ausfallen. Und sie bringt nur zusätzliche Komplexität. Einfacher wäre es, in großer Höhe nicht zu stark aus dem Trimzustand heraus zu fliegen.

Um zum Beispiel Reisebus zurückzukommen: man könnte ihn so sicher machen, dass er einen Sturz in eine hundert Meter tiefe Schlucht übersteht, wenn der Fahrer die kurvenreiche Straße verlassen hat. Das fordert ja auch kein vernünftiger Mensch.

Ich glaube, dass die Ideen, die wir hier haben, um die Airbus-Steuerung sicherer zu machen, von den Programmierern bereits vor zehn Jahren verworfen wurden - aus gutem Grund.

 

[Rhönlerche]

Letzten Endes muss man nur die Sonden/Vanes besser beheizen oder mechanisch verbessern, was ja wohl gehen müsste. An die Software braucht man nicht zu gehen.

 

[WaS]

Die AoA-Vanes fallen normalerweise in eine Bodenstellung, wenn sie nicht ausreichend umströmt werden, [...]. Würde ich nicht unterhalb von 60KIAS die Stallwarnung abschalten, hätte ich am Boden ständig ein Klingeln im Kopf.

Wenn das Fahrwerk nicht belastet ist, sich das Flugzeug also in der Luft befindet, dann kann die Geschwindigkeit nicht unter 60 KIAS liegen, und das Abschalten der (vom AOA-Sensor getriebenen) Stall-Warnung ist unsinnig, im Zweifelsfall sogar gefährlich.

Nein, ich will nicht behaupten, dass das die Ursache für den Absturz von AF 447 war, aber es war ein unschönes Steinchen im Mosaik.

Ich glaube, dass die Ideen, die wir hier haben, um die Airbus-Steuerung sicherer zu machen, von den Programmierern bereits vor zehn Jahren verworfen wurden - aus gutem Grund.

Warum? Es wird ja auch die Ausbildung der Piloten immer wieder an neue Erfahrungen angepasst. Menschen können sogar selber etwas lernen, aus ihrer eigenen Erfahrung; in einen Computer hingegen müssen wir die Erfahrungen per Softwareänderung einbauen.

 

[Toryu]

Wenn das Fahrwerk nicht belastet ist, sich das Flugzeug also in der Luft befindet, dann kann die Geschwindigkeit nicht unter 60 KIAS liegen, und das Abschalten der (vom AOA-Sensor getriebenen) Stall-Warnung ist unsinnig, im Zweifelsfall sogar gefährlich.

Ich schrieb bereits, dass eine weitere Komplexitätssteigerung nicht zielführend ist. Ein solcher WoW-Sensor kann mir ebenso leicht kaputt gehen. Am Ende beeinträchtige ich mir dann wieder meine Dispatch Reliability, weil ich ohne Proxy-Sensor am Fahrwerk vielleicht nicht fliegen darf (weil dort Subsystem X, Y und Z mit dranhängen).

Warum immer komplexere Sicherheitslogiken implementieren, die ihrerseits wieder komplexe Fehlerkaskaden aufweisen (durch die die Crew ja dann auch wieder durchblicken muss!), wenn man das Problem einfach beheben kann, indem man ein bisschen konservativer mit den Steuereingaben umgeht?

Warum? Es wird ja auch die Ausbildung der Piloten immer wieder an neue Erfahrungen angepasst. Menschen können sogar selber etwas lernen, aus ihrer eigenen Erfahrung; in einen Computer hingegen müssen wir die Erfahrungen per Softwareänderung einbauen.

Es gibt laufende Änderungen. Nur darf man nicht vergessen, dass ein solcher Eingriff (Änderung der Logik zum Erkennen eines Anstellwinkelsensorfehlers/ Ausgabe der Stall-Warnung) einen Rezertifizierungsaufwand mit sich bringt. Wenn man jetzt bedenkt, dass die Airlines seinerzeit weder auf den optionalen Anstellwinkelanzeiger, noch auf das BUSS-System sonderlich abgefahren sind...

 

[Nummi]

Hier probieren wieder ein paar Leute ein ernsthaftes Designproblem schoen zu reden.
Das Flugzeug befand sich in einem unkontrollierten Zustand weil die Bordcomputer diesen Fall nicht kannten und die Crew praktisch von aktiven Gegenmassnahmen ausgeschlossen hatten. Erst das Abschalten der Bordcomputer erlaubte es der Crew wieder die Kontrolle ueber die Maschine zu uebernehmen. Diese Situation war nicht vorgesehen und konnte ja daher wohl schlecht vorher geuebt worden sein.
Da ist es sehr troestlich dass nach dem Vorfall ein Software Update gemacht wurde.

 

[Toryu]

Es wird kein "Designproblem" schöngeredet, sondern ein ernster, aber kontrollierbarer Vorfall wird überproportional aufgeblasen.
Streng genommen ist das nichts großartig anderes, als ein Autopilot, der einem weich ausgefallenem Gyro hinterherfliegt.
Die Crew bringt das Flugzeug auch erst durch Ausschalten des A/P (vergleichbar mit der Degradierung hin zu einem niedrigeren Flugkontrollmudus) und weiterführendes Troubleshooting hinsichtlich des korrekten Attitude-Gyros unter Kontrolle.

Die Flugkontrollrechner kennen übrigens gar keinen Fall, sondern lesen nur Messdaten ein. Anhand der Zahl von Diskrepanzen, werden nicht-valide (oder scheinbar nicht-valide) Daten ausgesondert und etwaige Fehlerquellen ausgesondert. Bei Pech sondern zwei falsche Daten die korrekten Messwerte aus. Das ist aber bei allen heutigen Flugzeugen so.

"Die Kontrolle wiedererlangen" ist kein Akt der Verzweifelung gewesen, sondern geschah aus nüchterner Betrachtung heraus.
Ebenso wie der Vorfall beim Design unter Garantie bekannt war, und durch die Maßnahme der Degradierung der Flugkontrollmodi (Normal=>Alternate=>Direct) abgedeckt ist. Ob die Crews darüber bescheid wissen, ist eine andere Frage.

In den Zulassungsbehörden und den Designzimmern sitzen nicht nur Deppen.

 

[Nummi]

Streng genommen ist das nichts großartig anderes, als ein Autopilot, der einem weich ausgefallenem Gyro hinterherfliegt.
Die Crew bringt das Flugzeug auch erst durch Ausschalten des A/P (vergleichbar mit der Degradierung hin zu einem niedrigeren Flugkontrollmudus) und weiterführendes Troubleshooting hinsichtlich des korrekten Attitude-Gyros unter Kontrolle.

Genau das ist der springende Punkt. Wenn ich bemerke das mein AP nicht richtig funktioniert schalte ich Ihn aus und fliege von Hand weiter. Das passiert hin und wieder und wird auch im Sim Training staengig geuebt.
Es ist aber etwas voellig Anderes wenn dass Flugzeug mir diesen Eingriff nicht gestattet und die unterstuezenden Systeme erst erschlagen werden muessen um die Kontrolle wiederzuerlangen.

 

[rechlin-lärz]

Genau das ist der springende Punkt. Wenn ich bemerke das mein AP nicht richtig funktioniert schalte ich Ihn aus und fliege von Hand weiter. Das passiert hin und wieder und wird auch im Sim Training staengig geuebt.
Es ist aber etwas voellig Anderes wenn dass Flugzeug mir diesen Eingriff nicht gestattet und die unterstuezenden Systeme erst erschlagen werden muessen um die Kontrolle wiederzuerlangen.

Dann nenne es doch einen "zweigeteilten Autopiloten": beim "Direct law" ist der "Autopilot" eben ganz aus.

 

[Nummi]

Dann nenne es doch einen "zweigeteilten Autopiloten": beim "Direct law" ist der "Autopilot" eben ganz aus.

Dadurch war aber eben dieses Problem nicht zu beheben

 

[Intrepid]

Dadurch war aber eben dieses Problem nicht zu beheben

Verstehe ich jetzt nicht, das Problem war doch dann gelöst? Das Flugzeug reagierte wieder auf die Steuereingaben der Piloten.

 

[GorBO]

Klärt mich doch bitte mal auf!
Wenn der AP eine Fehlfunktion hat bzw. nicht das abfliegt was er soll, kann ich doch in einer ersten Maßnahme von Hand den AP überdrücken. Ich kenne mich zwar nicht mit Complex Aircraft aus, aber bei den Mustern die ich kenne, ist es genau so.
Dieser First Step war im vorliegenden Fall nicht erfolgreich. Und so wie ich das verstehe, ist es auch nicht mit einem AP Disconnect getan, sondern ich muss dem fliegenden Computer an die Eingeweide. In einer kritischen Situation und ein ungewollter und nicht zu beendender Sinkflug stellt genau das dar, erfordert das schon erhebliche Sicherheit im Umgang mit den Systemen ODER eine eindeutige Procedure in den Emergency Checklists.
Gibt es diese Procedure?