# Boeing MCAS



## Scd442 (6 August 2020)

Eine meiner beruflichen Aufgaben ist das Erstellen von Software nach 61508 bis SIL 3. Aus diesem Grund habe ich, wie vermutlich viele Kollegen die beruflich mit der funktionalen Sicherheit und besonders Software zu tun haben, die Ereignisse um das MCAS System aus der Boeing 737 Max das letzte Jahr über in den Medien verfolgt. Daher dieser kleine off-topic Exkurs hier.

Diese Woche ist von der amerikanischen Luftfahrt-Aufsichtsbehörde die Zusammenfassung des vorläufigen Berichts für die Änderungen zur Wiederzulassung des Flugzeugs veröffentlicht worden. 

Ehrlich gesagt bin ich fast vom Stuhl gefallen als ich das gelesen habe.


Hier ist der Bericht der FAA, und auf Seite 72 die entscheidende Stelle:

https://www.faa.gov/news/media/attachments/737-MAX-RTS-Preliminary-Summary-v-1.pdf

_"13.1Safety Issue #1: __Use of Single Angle of Attack (AOA) Sensor 

__In the original design, erroneous data from a single AOA sensor activated MCAS and subsequently caused airplane nose-down trim of the horizontal stabilizer. In the new design Boeing eliminated MCAS reliance on a single AOA sensor signal by using both AOA sensor inputs and through flight control law changes that include safeguards against failed or erroneous AOA indications. The updated FCC software with revised flight control laws would use inputs from both AOA sensors to activate MCAS. __This is in contrast to the original MCAS design, which relied on data from only one sensor at a time, and allowed repeated MCAS activation as a result of input from a single AOA sensor. The updated FCC software compares the inputs from the two sensors to detect a failed AOA sensor. If the difference between the AOA sensor inputs were above a calculated threshold, the FCC would disable the STS, including its MCAS function, for the remainder of that flight, and provide a corresponding indication of such deactivation on the flight deck."

_Also auf Deutsch frei übersetzt: 

_"Sicherheitsproblem#1 __Ansprechen bei Grenzwertüberschreitung eines Anstellwinkelsensors

__Beim ursprünglichen Design wurde durch fehlerhafte Daten eines [der beiden] Anstellwinkelsensoren das MCAS aktiviert, welches eine Trimmung des Flugzeugs mit der Nase nach unten auslöst. Beim neuen Design wurde das Auslösen des MCAS Systems bereits durch eines der  beiden Sensorsignale durch eine Modifikation der Flugsteuerung eliminiert, die Sicherheitsmaßnahmen gegen Wegfallen der Daten oder fehlerhafte Daten eines der Anstellwinkelsensoren beinhaltet. 

__Die überarbeitete Flugsteuerungs-Software mit neuer Regelung der Flugsteuerung aktiviert das MCAS System nur durch übereinstimmende Signale beider Sensoren. __Dadurch unterscheidet sie sich vom ursprünglichen MCAS System, welches bereits bei Ansprechen eines Sensors aktiviert wurde, und somit wiederholt zur Aktivierung des MCAS durch das Ansprechen eines der beiden Sensoren führen konnte.

__Die überarbeitete Flugsteuerungssoftware vergleicht die Signale der beiden Anstellwinkelsensoren, um den Defekt/Ausfall eines Sensors zu erkennen. Wenn die Abweichung zwischen den beiden Sensorwerten eine voreingestellte Schwelle überschreitet, dann wird das MCAS System für den Rest des Fluges deaktiviert, und die Piloten werden darüber durch eine Fehlermeldung informiert." _


Die Gefährdung welche durch die Sicherheitsfunktion MCAS auf ein akzeptables Maß reduziert werden soll ist ein Absturz durch Strömungsabriss, zu dem es kommen kann weil durch die zu großen und daher vor dem Flügel montierten neuen Triebwerke (bzw. deren Aufhängung) bei großen Anstellwinkeln zunehmend mehr Auftrieb entsteht. Dieser selbstverstärkende Effekt, der in bestimmten Situationen im Langsamflug auftreten kann, wird durch das System erkannt und durch automatisches Absenken der Nase wird ein Strömungsabriss und somit ein Absturz verhindert.

Es ist doch eigentlich selbstverständlich das eine Sicherheitsfunktion mit zweikanaliger Sensorik bereits bei Öffnen eines Kanals anspricht, siehe Kontakte im Not-Halt Schlagtaster als einfachstes Beispiel. Das was Boeing als Änderung vorhat entspricht einer logischen "oder"-Verknüpfung der Sensorik, statt der vorherigen "und"-Verknüpfung des alten Systems.

Die Normen für den Luftfahrtbereich basieren wie diejenigen des Eisenbahnbereichs und der Kerntechnik auch auf der IEC 61508. Und wenn ich mir Risiko-Graphen nach 61508 anschaue dann komme ich für die MCAS Funktion auf eine Zuverlässigkeit die mindestens SIL 3 entspricht (Bei Absturz wegen Strömungsabriss C4 "Tod sehr vieler Personen", und dann bleibt sowieso nur noch SIL 3, SIL 4, oder "ein E/E/PES SRS ist nicht ausreichend", je nach Wahrscheinlichkeit. Ob das jetzt SIL 4 oder DAL A heißt macht dabei nicht viel Unterschied, der logische Hintergrund ist ja derselbe).

Und weil durch die dilettantische Entwicklung diese Sicherheitsfunktion MCAS wiederum selber ein neues Gefährdungsszenario auslösen kann (System spricht durch Fehlauslösen an und lenkt Flugzeug in den Boden), besteht die Lösung jetzt darin die ursprüngliche Sicherheitsfunktion zu "kastrieren" indem man die Sensorik von ursprünglich zwei Öffnern mit einer "und"-Verknüpfung (also wie bei SIL 3  in Verbindung mit entsprechendem DC nötig) umwandelt zu einer "oder"-Verknüpfung. Meiner Meinung nach kann das unmöglich den Stand der Technik bei einer solchen Sicherheitsanforderungsstufe erfüllen.

Wenn die Diagnose, welche aus einem Kreuzvergleich der Sensorik besteht, erkennt das die Eingangssignale ungleich sind dann wird die Sicherheitsfunktion deaktiviert, statt entsprechend dem Stand der Technik den sicheren Zustand herzustellen.

Das die Sensoren öfters mal Defekt sind hat Boeing ja im Betrieb des Systems bereits bewiesen.

Was soll der Pilot denn machen wenn die Meldung kommt "Die Sicherheitsfunktion wird wegen Diskrepanz der Eingangssignale für den Rest des Fluges abgeschaltet"? Rechts ran fahren, und warten bis der ADAC kommt? Oder beten das für den Rest des Fluges keine Situation auftritt in der die Sicherheitsfunktion nötig werden würde?

Bin ich der einzige dem das alles komplett irre vorkommt? Das was die da ursprünglich fabriziert haben war ja schon unfassbar, aber diese "Lösung" schlägt irgendwie echt dem Fass den Boden aus...


----------



## HaDi (6 August 2020)

Hallo,

d.h. in Zukunft fallen diese Vögel wegen Strömungsabriss runter weil das MCAS wegen Sensorfehler deaktiviert wurde?
vielleicht sollte man Boeing eine Überarbeitung der Konstruktion nahelegen, oder wie ich gerne sage:
Ein guter Elektriker bevorzugt einfache mechanische Lösungen.

Grüße von HaDi


----------



## hirngabel (6 August 2020)

Es gab dazu auch einen Vortrag auch dem Chaos Communication Congress
https://youtu.be/PlaMQBEg-9M?t=1555 

Ich habe mich da auch schon gewundert, wir bauen die Sicherheitstechnik, bei Maschinen bei denen man sich einen Finger brechen kann, redundant und bei einem Flugzeug mit 220 Passagieren vertraut Boeing auf einen Sensor. Vielleicht sollte man da auch mal die anderen Flugzeuge nochmal überprüfen...

Dabei sagt auch die EU Verordnung: 
"1.3.3 Systeme und Ausrüstungen von Luftfahrzeugen müssen sowohl einzeln als auch in Beziehung zueinander sokonstruiert sein, dass ein einzelner Ausfall, bei dem nicht nachgewiesen wurde, dass er äußerst unwahrscheinlich
ist, nicht zu einem verhängnisvollen Totalausfall führen kann, und die Wahrscheinlichkeit eines Ausfalls muss
umgekehrt proportional zur Schwere seiner Auswirkungen auf das Luftfahrzeug und seine Insassen sein."

Es ist von außen natürlich immer schwer zu beurteilen und mit geschulten Piloten wäre vermutlich auch nichts passiert aber ich würde da gerne 3 Sensoren verbaut sehen. 

Die EASA hatte das auch mal ins Gespräch gebracht  https://www.flugrevue.de/zivil/nach...a-gehen-die-737-max-updates-nicht-weit-genug/


----------



## Heinileini (6 August 2020)

Scd442 schrieb:


> Es ist doch eigentlich selbstverständlich das eine Sicherheitsfunktion mit zweikanaliger Sensorik bereits bei Öffnen eines Kanals anspricht, siehe Kontakte im Not-Halt Schlagtaster als einfachstes Beispiel. Das was Boeing als Änderung vorhat entspricht einer logischen "oder"-Verknüpfung der Sensorik, statt der vorherigen "und"-Verknüpfung des alten Systems.


Hmmm, durch Betätigung eines Not-Halt-Schlagtasters soll aber doch die Maschine/Anlage in einen sicheren Zustand (Stillstand) überführt werden. Antriebe werden noch kontrolliert herunter gefahren und die entsprechende Konstruktion der Mechanik, Hydraulik u.s.w. sorgt dafür, dass nicht einzelne Teile der Maschine/Anlage durch den Eingriff Amok laufen.
Wie ist das nun zu vergleichen damit, dass eine "KorrekturAutomatik" einen gefährlichen Zustand erkennen und ihn abwenden soll, wenn sie sich lediglich auf die Meldungen zweier Sensoren stützt (stützen kann?). Woher soll sie wissen, ob beide Sensoren spinnen oder einer der Sensoren spinnt? Es ist doch nicht nur naheliegend sondern auch alternativlos, eine Störung eines der beiden Sensoren zu unterstellen, wenn beide sehr widersprüchliche Informationen liefern. Es ist dann auch nicht sinnvoll, auf Nummer sicher gehen zu wollen, indem man vorsichtshalber demjenigen Sensor Glauben schenkt, der eine KorrekturMassnahme erforderlich erscheinen lässt. Denn die KorrekturMassnahme lautet in diesem Fall eben nicht rechts ranfahren und auf ADAC warten, wie Du selbst schon sagst.
Was wäre denn der sichere Zustand, in den die (Korrektur der) KorrekturMassnahme überführen soll? Dem Piloten die Kontrolle entreissen, weil er sowieso überfordert ist oder doch lieber darauf hoffen, dass die Piloten-eigene Sensorik vielleicht doch besser funktioniert, als zwei Sensoren, die sich offensichtlich nicht einigen können? 

PS:


hirngabel schrieb:


> ... und mit geschulten Piloten wäre vermutlich auch nichts passiert ...


War es nicht so, dass die Piloten nichts ausrichten konnten, weil ein Sensor entschieden hat "Das darfst Du jetzt nicht!"?


----------



## rostiger Nagel (6 August 2020)

Warum bauen die nicht einfach ein kleineres Triebwerk dran?
Das ist doch die Ursache!


----------



## Blockmove (7 August 2020)

rostiger Nagel schrieb:


> Warum bauen die nicht einfach ein kleineres Triebwerk dran?
> Das ist doch die Ursache!



Soweit ich weiß, war der Hintergrund, dass durch die gewählte Konstruktion der Flieger "kompatibel" bleibt.
Dadurch weniger Aufwand bei der Zulassung und vorallem reicht eine Kurzschulung für die Besatzungen.
Ist natürlich ein erheblicher Vorteil für die Fluggesellschaften.


----------



## rostiger Nagel (7 August 2020)

Blockmove schrieb:


> Soweit ich weiß, war der Hintergrund, dass durch die gewählte Konstruktion der Flieger "kompatibel" bleibt.
> Dadurch weniger Aufwand bei der Zulassung und vorallem reicht eine Kurzschulung für die Besatzungen.
> Ist natürlich ein erheblicher Vorteil für die Fluggesellschaften.



Blöd nur für die Passagiere und Besatzung, wenn Sie abstürzen ;(
Ein Absturz kann auch der Fluggesellschaft in den Ruin treiben,
wenn Sie Flugzeuge betreiben, von den Sie wissen, das Sie nicht
Funkionieren.


----------



## DeltaMikeAir (7 August 2020)

Also wenn ich mir die paar Zeilen mal durchlese, dann überlege ich mir langsam schon, ob ich da noch einsteige ( wegen Technik und Verhalten des Konzern ):


> [h=4]Maneuvering Characteristics Augmentation System (MCAS)[/h]Die größeren und weiter nach vorne versetzten Triebwerksgehäuse der MAX-Versionen erzeugen bei hohen Anstellwinkeln  (um 14°) selbst so viel Auftrieb, dass den Piloten die Kontrolle über  die Fluglage erschwert und durch eine weitere Erhöhung des  Anstellwinkels ein Strömungsabriss wahrscheinlicher wird.[SUP][68][/SUP] Deshalb führte Boeing das Trimmsystem _Maneuvering Characteristics Augmentation System_  (MCAS) ein, welches kritische Situationen durch Reduzierung des  Anstellwinkels verhindern soll. Dieses System war bereits zuvor in der KC-46A, einer Militärversion der Boeing 767,  verwendet worden. Für die 737 MAX wurde das System vereinfacht, so dass  es u. a. nur einen Geber (statt zwei bei der KC-46A) für den  Anstellwinkel (_Angle of Attack_, kurz _AoA_) benutzt.[SUP][69][/SUP][SUP][70][/SUP]  Als die Änderung der FAA zur Genehmigung vorgestellt wurde, betrug der  einzelne Eingriff des MCAS 0,6°, bei dem später tatsächlich gelieferten  Design waren es 2,5° (bei 5° Vollausschlag) mit sich endlos  wiederholenden Eingriffen alle 10 Sekunden. Um die Umschulung von  NG-Piloten auf die MAX-Modelle zu erleichtern, soll Boeing das MCAS und  seine Funktionsweise verschwiegen haben. Nach Angaben von Piloten wurde  es nicht in Handbüchern erwähnt und somit auch nicht seine  Deaktivierungsmöglichkeiten.


----------



## Mrtain (7 August 2020)

Heinileini schrieb:


> War es nicht so, dass die Piloten nichts ausrichten konnten, weil ein Sensor entschieden hat "Das darfst Du jetzt nicht!"?



ich glaube, es war auch nicht bekannt, wie man es ausschalten kann


----------



## oliver.tonn (8 August 2020)

Ja, die Unwissenheit hat schon so manche Katastrophe ausgelöst. Vor Jahren ist ein Aeroflot Airbus abgestürzt weil die Piloten wie verrückt versucht haben den Flieger zu stabilisieren, was sie nicht wussten war, dass sie einfach nichts hätten machen müssen, sprich die Hände in den Schoß legen, dann hätte sich die Maschine alleine stabilisiert und alle hätten überlebt.

Von irgendwas mit Internetzugang gesendet.


----------



## Cassandra (8 August 2020)

oliver.tonn schrieb:


> Ja, die Unwissenheit hat schon so manche Katastrophe ausgelöst. Vor Jahren ist ein Aeroflot Airbus abgestürzt weil die Piloten wie verrückt versucht haben den Flieger zu stabilisieren, was sie nicht wussten war, dass sie einfach nichts hätten machen müssen, sprich die Hände in den Schoß legen, dann hätte sich die Maschine alleine stabilisiert und alle hätten überlebt.
> 
> Von irgendwas mit Internetzugang gesendet.



 Bei Unfällen mit MCAS handelt es sich aber nicht Pauschal um Pilotenfehler, auch nicht nur um Software-Fehler, sondern maßgeblich um Konstruktions-Fehler.
  Software und Piloten sollen hier das korrigieren, was konstruktiv am Fluggerät vermasselt wurde.

  Da hilft dann auch kein 3. oder 4. Sensor, sondern nur das beheben der Ursache!
  Das ist bestimmt sehr teuer. 
  Der Versuch, das Problem auszusitzen, wird hier aber nicht funktionieren… :twisted:


----------



## oliver.tonn (8 August 2020)

Cassandra schrieb:


> Bei Unfällen mit MCAS handelt es sich aber nicht Pauschal um Pilotenfehler, auch nicht nur um Software-Fehler, sondern maßgeblich um Konstruktions-Fehler.
> Software und Piloten sollen hier das korrigieren, was konstruktiv am Fluggerät vermasselt wurde.


Das wollte ich damit auch nicht zum Ausdruck bringen, zumal im Fall von MCAS vermutlich kein Pilot wusste was die Ursache war.

Von irgendwas mit Internetzugang gesendet.


----------



## acid (10 August 2020)

Ursache war hier primär, dass die Piloten über die Funktionsweise des Systems im unklaren gelassen wurden und es keine Möglichkeit der manuellen Korrektur gab. 

Konstruktive Probleme duch massenhaft Elektronik zu lösen ist heute Standard (sieh dir nur mal moderne Kampfflugzeuge an, die könnten ohne Fly-by-wire und Kistenweise Rechner nicht mal irgendwie fliegen).


----------



## michi_cc (10 August 2020)

Wobei das bei Kampfflugzeugen generell bewusste Entscheidungen sind, da die geforderte Performance nur mit aerodynamisch instabilen Systemen erreicht werden kann. Dafür akzeptiert man dann auch ein im Vergleich zur zivilen Luftfahrt deutlich höheres Unfallrisiko.


----------



## Mrtain (10 August 2020)

Aber muss so ein System nicht vorher auf Herz und Nieren geprüft werden? Spätestens da hätte das doch auffallen müssen?


----------



## Scd442 (3 September 2020)

Heinileini schrieb:


> Hmmm, durch Betätigung eines Not-Halt-Schlagtasters soll aber doch die Maschine/Anlage in einen sicheren Zustand (Stillstand) überführt werden. Antriebe werden noch kontrolliert herunter gefahren und die entsprechende Konstruktion der Mechanik, Hydraulik u.s.w. sorgt dafür, dass nicht einzelne Teile der Maschine/Anlage durch den Eingriff Amok laufen.
> Wie ist das nun zu vergleichen damit, dass eine "KorrekturAutomatik" einen gefährlichen Zustand erkennen und ihn abwenden soll, wenn sie sich lediglich auf die Meldungen zweier Sensoren stützt (stützen kann?). Woher soll sie wissen, ob beide Sensoren spinnen oder einer der Sensoren spinnt? Es ist doch nicht nur naheliegend sondern auch alternativlos, eine Störung eines der beiden Sensoren zu unterstellen, wenn beide sehr widersprüchliche Informationen liefern. Es ist dann auch nicht sinnvoll, auf Nummer sicher gehen zu wollen, indem man vorsichtshalber demjenigen Sensor Glauben schenkt, der eine KorrekturMassnahme erforderlich erscheinen lässt. Denn die KorrekturMassnahme lautet in diesem Fall eben nicht rechts ranfahren und auf ADAC warten, wie Du selbst schon sagst.
> Was wäre denn der sichere Zustand, in den die (Korrektur der) KorrekturMassnahme überführen soll? Dem Piloten die Kontrolle entreissen, weil er sowieso überfordert ist oder doch lieber darauf hoffen, dass die Piloten-eigene Sensorik vielleicht doch besser funktioniert, als zwei Sensoren, die sich offensichtlich nicht einigen können?



Gehen wir mal analytisch vor, im Sinn der funktionalen Sicherheit:

1. Boeing hat festgestellt, das es eine Gefährdung gibt die damit zusammenhängt dass es durch den Auftrieb der von der Verkleidung der Triebwerksgondeln verursacht wird zu einem Strömungsabriss kommen kann.

2. Über die genaue Einstufung kann man diskutieren, aber ich habe im Hinterkopf das es sich bei Bahnkatastrophen, Flugzeugabstürzen und Super-GAU um Ereignisse handelt bei denen man normativ mit dem "Tod sehr vieler Personen" rechnen muss - also S4: http://www.maschinen-sicherheit.net/07-seiten/0351-risikograph-SIL.php

Wie gesagt ich will die keine Diskussion über die Einstufung starten weil das nicht viel bringt, aber man landet ja angesichts des möglichen Schadens unweigerlich im SIL3 oder SIL4-Bereich.

3. Boeing hat sich entschieden, diese Gefährdung durch ein E/E/PES auf ein akzeptables Risiko zu reduzieren. Dabei handelt es sich um das MCAS System

Als Folge muss das System grob zusammengefasst folgende Eigenschaften mindestens aufweisen: PFH(d) <10^-7, entsprechende B10-Werte der Komponenten, zweikanalige Architektur mit Überwachung der Wirksamkeit der Aktoren, DC der Sensorik 99%. Software nach den Methoden entwickelt die in IEC 61508-3 aufgeführt werden (V-Modell usw). Das entspricht jetzt alles maximal SIL3.

Selbstverständlich muss bei einer zweikanaligen Sensorik die Sicherheitsfunktion ausgelöst werden wenn einer der beiden Kanäle anspricht. Was wäre denn sonst wenn einer der beiden Sensoren auf horizontaler Lage hängen bleibt kurz bevor es zum unkontrollierten Steigflug kommt der den Strömungsabriss auslöst? Das System würde nicht ansprechen und das Flugzeug abstürzen.

Neben der Tatsache dass das System was die Sensorik angeht eher einen DC von Null hat, und es meiner Vermutung nach auch keine der 61508-3 oder ähnlicher Normen entsprechende Dokumentation zur Software gibt, scheinen die verwdendeten Sensoren selber auch keine besonders hohen B10 Werte zu haben. Sie sind ja mindestens zwei Mal ausgefallen in der kurzen Einsatzzeit bzw. haben fehlerhaft angesprochen, bis es zum Startverbot kam.

Zusätzlich gibt es aber noch folgendes Problem: es wurde versäumt eine FMEA zu machen, durch die sich rausgestellt hätte dass das System durch Fehlansprechen ebenfalls zu einem Absturz führen kann, also durch das System selber ein völlig neues Gefährdungsszenario entsteht.

Auf deine Frage "Was wäre denn der sichere Zustand, in den die (Korrektur der) KorrekturMassnahme überführen soll" kann man daher nur antworten, das es bei diesem System keinen sicheren Zustand gibt, sondern nur zwei unsichere, je nach Situation. 

Entweder es werden nur die Daten eines Sensors verwendet zum auslösen, und das System führt zum Absturz wenn ein Sensor defekt ist (was ja zwei mal passiert ist).

Oder es muss ein übereinstimmendes Signal beider Sensoren vorliegen damit das System anspricht, dann kommt es zum Absturz durch Strömungsabriss wenn einer der beiden Sensoren in horizontaler Lage hängen bleibt.

Das System erfüllt also bei weitem nicht den Stand der Technik, sondern es ist eine brandgefährliche Fehlkonstruktion. Den Angehörigen der Verstorbenen wünsche ich dass das ein fähiger Staatsanwalt mit Hilfe eines Gutachters nachweist, und die Verantwortlichen wegen grober Fahrlässigkeit in den Knast einfahren. 


Der Vorschlag, das System bei ungleichem Signal der Sensoren abzuschalten ist wahnsinn, soll es doch eine Gefährdung reduzieren die mindestens mit SIL3 eingestuft wird.  Also es wird hier hoffentlich niemand ernsthaft in Erwägung ziehen eine SIL3 Sicherheitsfunktion einfach zu deaktivieren, wenn die Signale der beiden Sensoren ungleich sind, oder? Was passiert denn nach Deaktivieren des MCAS wenn die Situation eintritt in der es zum Strömungsabriss kommen kann?

Ich komme nicht aus der Luftfahrt sondern aus einem anderen Bereich, aber die einzige halbwegs dem Stand der Technik entsprechende Lösung die ich sehen würde ist zwei parallele, zweikanalige Systeme mit jeweils drei Sensoren zu verwenden. Ich weiß das es solche Anordnungen in der Luftfahrt gibt, weil die natürlich oft nicht nur "fail safe", sondern "fail operational" sein müssen, also auch weiter funktionieren wenn es zu einem Ausfall kommt.

Das System würde dann aktiviert werden wenn zwei der drei Sensoren einen zu steilen Anstellwinkel melden, und wenn es bei einem der beiden Systeme zu einer Diskrepanz unter den 3 Sensoren kommt dann wird nur noch die Info vom zweiten System verwendet, und eine Fehlermeldung ausgegeben dass das System defekt ist und nach der Landung vor einem Weiterflug instand gesetzt werden muss.


Wobei hier der DC wahrscheinlich immer noch nicht 99% ist, und es mangels diversitärer Redundanz bei der Sensorik kaum Widerstandsfähigkeit gegen Fehler gemeinsamer Ursache geben dürfte. Also wirklich sauber wäre es wohl immer noch nicht. 

Abgesehen davon hätte der uralte Rechner der in dem Teil verwendet wird vielleicht nicht mal genug Eingänge dafür frei.

Dieses Flugzeug ist einfach eine Fehlkonstruktion, egal wie lang ich drüber nachdenke ich komm zu keiner vernünftigen Lösung...


----------



## Heinileini (6 September 2020)

Scd442 schrieb:


> Dieses Flugzeug ist einfach eine Fehlkonstruktion, egal wie lang ich drüber nachdenke ich komm zu keiner vernünftigen Lösung...


Da sind wir doch absolut derselben Meinung. Ich fand lediglich den Vergleich mit dem Not-Halt irreführend bzw. am Thema vorbei.
Während meiner aktiven Zeit konnte ich immer wieder miterleben, dass der Rotstift gerne bei der mechanischen Konstruktion angesetzt wurde, egal, welche Kosten ein SoftwareWorkAround mit sich gebracht hätte und egal, ob ein solches WorkAround überhaupt etwas Sinnvolles hätte ausrichten können. Kein neues Thema also, aber leider ein in immer neuen Variationen immer wiederkehrendes.


----------



## StP (7 September 2020)

Blockmove schrieb:


> Soweit ich weiß, war der Hintergrund, dass durch die gewählte Konstruktion der Flieger "kompatibel" bleibt.


Einen zugelassenen und tausendfach bewährten Flugzeugtypen am Markt zu haben ist ein riesiger Wettbewerbsvorteil. Die Voraussetzungen für die Zulassung sind heute um vieles höher als damals, als die Erstzulassung erfolgte. Als alteingesessener Hersteller kann man potentiellen Neueinsteigern in den Markt das ganze Regulativ an den Kopf werfen (an dessen Erstellung man wohl selbst mitgewirkt hat), während man selbst die eigenen Flugzeugtypen nur geringfügig modifizieren muß, um neue Technologien zu nutzen oder anderen Anforderungen gerecht zu werden.


----------



## Techpriester (8 September 2020)

> (sieh dir nur mal moderne Kampfflugzeuge an, die könnten ohne Fly-by-wire und Kistenweise Rechner nicht mal irgendwie fliegen).


Nach Ausstieg mit Schleudersitz: Wurdet ihr abgeschossen? Pilot: Nein, wir hatten einen Bluescreen...

War es mit dem MCAS System nicht so, dass es ausgerastet ist, weil der Sensor beschlagen / vereist war? In dem Fall wäre das wahrscheinlich auch mit 6+ Sensoren passiert, da diese einfach nicht den Anforderungen entsprechend verbaut wurden.
Ich persönlich sehe es zwar kritisch, so ein System im Fehlerfall abzuschalten, es ist aber so, dass die Luftfahrt schon viele viele Jahre ausgekommen ist, ohne so ein System. (Zugegeben, andere Flieger gingen auch selten als Fehlkonstruktionen in den aktiven Betrieb...) Aber im Endeffekt ist es immer besser, die Kontrolle in erfahrende Menschenhände abzugeben als auf purem "Ich habe aber eine EINS auf dem Ausgang!" die Maschine gen Boden zu trimmen...


----------



## DeltaMikeAir (8 September 2020)

> Aber im Endeffekt ist es immer besser, die Kontrolle in erfahrende Menschenhände abzugeben als auf purem



Naja, dass Computer unterstützen und ggf. eingreifen finde ich nicht so schlecht. Z.b. um einen Strömungsabriss zu vermeiden,
Landeklappen bei zu hoher Geschwindigkeit nicht ausfahren usw. usw. 



> In dem Fall wäre das wahrscheinlich auch mit 6+ Sensoren passiert


Solche Sensoren sind i.d.R. beheizt. Fällt bei einem Sensor die Heizung aus, sind noch 5+ andere da.
Wenn aber nur ein Sensor vorhanden ist und dort die Heizung ausfällt => Problem.
Für was hat man im Flugzeug redundante Systeme für mehrere 100K € und dann nur einen Sensor
an dem extrem viel hängt


----------



## Scd442 (9 September 2020)

Heinileini schrieb:


> Da sind wir doch absolut derselben Meinung. Ich fand lediglich den Vergleich mit dem Not-Halt irreführend bzw. am Thema vorbei.



Nein der Vergleich hat schon seine Berechtigung: bei einer Sicherheitsfunktion mit zweikanaliger Sensorik muss diese ansprechen wenn bereits ein Kanal auslöst.

Das ist der Grund warum das MCAS System bereits aktiv werden muss wenn nur einer der beiden Sensoren einen zu steilen Anstellwinkel meldet.

Zur Erinnerung: der Sinn der Funktion ist es, einen Absturz durch Strömungsabriss zu verhindern weil durch die Verkleidung der Triebwerksgondeln mit steigendem Anstellwinkel zusätzlicher Auftrieb entsteht. 

Der zweite Sensor ist dafür da das die Funktion trotzdem auslöst, auch wenn der erste in horizontaler Lage hängen geblieben ist. 

Genau so verhält es sich mit den Kontakten im Schlagtaster: wenn einer nicht mehr öffnet dann wird durch den zweiten immer noch der Not-Halt ausgelöst.

Das MCAS erst auslösen zu lassen wenn beide Sensoren den gleichen Wert zeigen wäre in Bezug auf die angedachte Funktion so als wenn man einen Not-Halt in der Steuerung nur auslösen lassen würde wenn beide Kontakte des Schlagtasters öffnen, und nicht nur einer - auch ohne jetzt auf die Architekturen nach 61508 oder 13849 einzugehen dürfte jedem klar sein dass das natürlich nicht sein darf, da man so durch den zweiten Kanal die Funktion nicht sicherer durch Redundanz machen würde, sondern unsicherer, da aus einer logischen "und"-Veknüpfung auf welche die Eingänge wirken eine "oder"-Verknüpfung werden würde.

Das MCAS System hat ja zwei Sensoren, es entstand nur viel Verwirrung in der Berichterstattung durch die Tatsache das es bereits bei ansprechen eines Sensors auslöst. Was es aber muss, in Bezug auf seine angedachte Funktion.

Die Tatsache, dass durch das MCAS System selber eine völlig neue Gefährdung entsteht, und das es daher niemals so verbaut hätte werden dürfen ist eine andere Geschichte, die mit mindestens kompletter Fahrlässigkeit bei der Entwicklung zusammenhängt.

Das eine Sicherheitsfunktion mit zweikanaliger Sensorik ansprechen muss wenn bereits ein Kanal auslöst ist aber sowohl normativ als auch logisch völlig klar.

Würd mich übrigens freuen wenn weitere Kollegen aus dem Bereich funktionale Sicherheit ihre Einschätzung abgeben würden, was z.B. den Diagnosedeckungsgrad der Sensorik angeht, Fehler gemeinsamer Ursache, oder ob ihnen überhaupt eine Architektur einfällt die das Problem lösen kann 

Denn nur weil man etwas gern durch eine automatische Sicherheitsfunktion lösen will heißt das ja noch lange nicht das es rein technisch überhaupt möglich ist eine Sicherheitsfunktion zu entwickeln die diese Aufgabe auch erfüllen kann. Manchmal widersprechen halt die Regeln der Logik und Physik.


----------



## Scd442 (9 September 2020)

Stell dir vor die zwei Öffner sind die Kontate eines Not-Halt Schlagtasters, und wenn der Ausgang Q abfällt wird die Aktorik spannungslos.

Das macht natürlich nur mit der "und"-Verknüpfung sinn, alles andere wäre kompletter Blödsinn und gefährlich, und niemand würde auf die Idee kommen es mit der "oder" Verknüpfung zu machen.



Jetzt stell dir vor die zwei Öffner sind die Sensoren, die öffnen sobald der Anstellwinkel den erlaubten Bereich überschreitet. Wenn Q abfällt dann werden zwei Ausgänge geöffnet an denen zwei Relais mit Rückführkreis hängen, über deren Öffnerkontakte die zwei Trimm-Motoren mit Spannung versorgt werden (Diagnose der Wirksamkeit der Motoren jetzt mal vereinfachend außen vorgelassen).


Wenn man jetzt hier die "oder" Verknüpfung verwendet wie in dem Bericht der FAA als Lösung vorgeschlagen, dann stürzt das Flugzeug ab wenn einer der Sensoren in horizontaler Lage hängen geblieben ist (z.B. festgefroren weil Heizung ausgefallen), und es zu diesem zu steilen Anstellwinkel kommt den das System verhindern soll.

So als ob der Not-Halt nicht auslöst weil nur ein Kontakt öffnet wenn die Kontakte statt auf eine "und"-Verknüpfung auf eine "oder"-Verknüpfung wirken.


Wenn wie in dem Bericht der FAA vorgeschlagen die Funktion deaktiviert wird dann stürzt das Flugzeug natürlich sowieso ab wenn es zu diesem zu steilen Anstellwinkel kommt. Wie gesagt, völlig irre aus Sicht eines Entwicklers im Bereich funktionale Sicherheit...


----------



## rostiger Nagel (9 September 2020)

Ich find den Vergleich mit den Not-Halt als nicht zielführende Lössung oder Vergleich.
Vielleicht braucht man einen Zusätzlichen Kanal der Divers aufgebaut ist und das für
jeden Sensor. Dieser zusätzliche Kanal muss ein Signal geben, das der Sensor in Ordnung 
ist. Meinetwegen wird in bestimmten Zeit-Intervallen eine Blende vor einen der Sensoren
geschaltet, das zur eine Veränderung des Messwertes führt.


----------



## Heinileini (9 September 2020)

Scd442 schrieb:


> Nein der Vergleich hat schon seine Berechtigung: bei einer Sicherheitsfunktion mit zweikanaliger Sensorik muss diese ansprechen wenn bereits ein Kanal auslöst.


Ich bleibe dabei: der Vergleich hinkt. Die Gemeinsamkeit beschränkt sich auf die Zweikanaligkeit der Sensorik. Im Falle des Nothalt handelt es sich um eine SicherheitsFunktion.
Im Falle des "AssistenzSystems" nicht, jedenfalls nicht um eine SicherheitsFunktion, die auch nur annähernd diesen Namen zu Recht tragen könnte, da ihr Eingreifen in einen "besseren" Zustand führen kann (und soll) ... oder in einen "schlimmeren", wenn die pessimistischere der beiden Meldungen eine FalschMeldung ist.
Das System ist Murks und, dass die Wahl auf eine zweikanalige Sensorik gefallen ist, auch - es wurde am falschen Ende gespart. Aber, aus der nicht angemessenen Zweikanaligkeit auf irgendeine Vergleichbarkeit mit einer SicherheitsFunktion zu schliessen, finde ich bedenklich. Kanäle zählen und abnicken, sobald die Zahl stimmt und beide Kanäle mit UND verknüpft sind, das genügt einfach nicht. Und schon gar nicht, wenn der sichere Zustand ("rechts ranfahren und ADAC rufen") durch den Eingriff nicht herbeigeführt werden kann.


----------



## Scd442 (9 September 2020)

rostiger Nagel schrieb:


> Ich find den Vergleich mit den Not-Halt als nicht zielführende Lössung oder Vergleich.
> Vielleicht braucht man einen Zusätzlichen Kanal der Divers aufgebaut ist und das für
> jeden Sensor. Dieser zusätzliche Kanal muss ein Signal geben, das der Sensor in Ordnung
> ist. Meinetwegen wird in bestimmten Zeit-Intervallen eine Blende vor einen der Sensoren
> geschaltet, das zur eine Veränderung des Messwertes führt.



Zielführend oder nicht, aber eine "oder"-Verknüpfung von zwei Sensoren führt doch eigentlich immer zu einer Hardware-Fehlertoleranz von Null? Somit wäre SIL3 ja gar nicht erreichbar.

Ich hab jetzt den Passus aus der Norm nicht im Kopf, aber ich bin mir eigentlich fast sicher das eine "oder"-Verknüpfung für einen zweikanaligen Eingang nicht zulässig ist (außer wenn laut Norm generell bei HFT=0 "ein definierter sicherer Zustand der Maschine nach einer Fehlererkennung durch eine entsprechende Fehlerreaktion eingeleitet werden kann", was ja hier per se unmöglich ist)

Ein DC von über 90% ist für SIL3 ja in jedem Fall nötig, also auch wenn beide Signale durch "und" verknüpft werden. Somit braucht es eine Art von Testeinrichtung auch wenn das System bereits bei Auslösen eines von zwei Sensoren reagiert, d.h. ein System wie von dir beschrieben oder ähnliches ist eh obligatorisch.

Ganz grundlegend finde ich den Ansatz zu sagen "weil es komplizierter als ein Not-Halt bei einer Drehbank ist muss man die Vorgaben nach dem Stand der Technik nicht so eng sehen" problematisch bzw. nicht richtig.

Wenn es eine Sicherheitsfunktion ist die SIL 3 oder sogar höher erfüllen muss, warum sollten dann laschere Regeln gelten? Der potentielle Schaden ist doch bei einem Passagierflugzeug viel größer als bei einer Drehbank, es müsste ja eigentlich genau andersrum sein (also noch strenger).

Und das die 61508 auch die Basis für die Normen der Luftfahrt darstellt darin besteht doch Einigkeit, oder?




Heinileini schrieb:


> Ich bleibe dabei: der Vergleich hinkt. Die Gemeinsamkeit beschränkt sich auf die Zweikanaligkeit der Sensorik. Im Falle des Nothalt handelt es sich um eine SicherheitsFunktion.
> Im Falle des "AssistenzSystems" nicht, jedenfalls nicht um eine SicherheitsFunktion, die auch nur annähernd diesen Namen zu Recht tragen könnte, da ihr Eingreifen in einen "besseren" Zustand führen kann (und soll) ... oder in einen "schlimmeren", wenn die pessimistischere der beiden Meldungen eine FalschMeldung ist.



Das was du über Assistenzsyteme und Sicherheitsfunktionen schreibst ist natürlich korrekt, aber wie kommst du drauf dass das MCAS nur ein Assistenzsystem ist, und keine Sicherheitsfunktion?

Es soll doch einen Mangel der mechanischen Konstruktion des Flugzeugs ausgleichen, der eine vom Piloten nicht mehr zu kontrollierende Situation auslösen kann. Sonst gäbe es doch gar keinen Grund ein automatisches System einzubauen das den Piloten "überstimmen" kann?

Das es zu einem Strömungsabriss kommen kann ist ja auch von Boeing unbestritten, als mögliche Folge ein Absturz des Flugzeugs ebenso. Ich sehe nicht wie das System keine Sicherheitsfunktion sein kann (die mindestens SIL3 erfordert).


Übrigens danke allen Beteiligten für die interessante Diskussion


----------



## rostiger Nagel (9 September 2020)

OK ich verstehe, dann halten wir uns an der Norm und stürzen weiter ab.


----------



## stevenn (10 September 2020)

sorry ich konnte jetzt nicht den ganzen Verlauf lesen, aber meine Meinung dazu, wie sinnvoll mit den Sensoren umgegangen werden soll.
Wenn beide Sensoren einen zu steilen Anstellwinkel melden dann dementsprechend reagieren. Wenn nur ein Sensor einen zu steilen Anstellwinkel meldet, dann eine Warnung an den Piloten und er soll entscheiden, welcher richtig ist. Wird man ja irgendwie anders auch feststellen/mitbekommen. Höhenmeter, Geschwindigkeit usw.


----------



## Scd442 (10 September 2020)

rostiger Nagel schrieb:


> OK ich verstehe, dann halten wir uns an der Norm und stürzen weiter ab.



Das musst du mir jetzt genauer erklären. Die Flugzeuge sind doch nicht abgestürzt weil das MCAS dem Stand der Technik entspricht was die funktionale Sicherheit angeht. Sondern weil es wie ausgeführt eben nicht dem Stand der Technik entspricht - sowohl was die Ausführung der angedachten Funktion angeht (Schutz vor Absturz wegen Strömungsabriss, da ich auch bei der Sensorik des ursprünglichen Systems von einem DC von 0 ausgehe), als auch weil die Entwickler die Gefahren durch ein Fehlansprechen völlig ignoriert haben, die durch eine einfache FMEA jedem bewusst geworden wären. Was dann ja auch zu den Abstürzen geführt hat.

Beides (sowohl DC von >90%, als auch Entwicklung nach dem V-Modell und FMEA sowie Software-FMEA) sieht die 61508 als erforderlich bei einer solchen Sicherheitsfunktion vor.


Und das was jetzt von der FAA als "Lösung" vorgeschlagen wurde verleiht dem MCAS eine Hardware-Fehlertoleranz von 0, und ist somit nicht zulässig für diese Funktion. 

Oder HFT=0  ganz ohne Verständis der funktionalen Sicherheit ausgedrückt: wenn das System im Flug deaktiviert wird oder nicht mehr anspricht wenn einer der Sensoren ausfällt, dann gibt es keinen Schutz mehr gegen einen  Strömungsabriss durch den selbstverstärkenden Effekt auf den Auftrieb wegen der Verkleidung der Triebwerksgondeln bei steilen Anstellwinkeln.  

Natürlich wird dadurch ein Absturz wegen Fehlansprechen des Systems weniger wahrscheinlich. Dafür wird ein Absturz wegen Ausfall des Systems, und nicht-erkennen des drohenden Strömungsabriss wahrscheinlich. Denn nur weil sich das System abschaltet oder nicht mehr funktioniert behebt sich doch nicht gleichzeitig das Problem mit dem Auftrieb durch die Verkleidung der Triebwerksgondeln.

Wenn das System dagegen alle Anforderungen an ein SIL3 System aus der 61508 erfüllen würde, dann würde es statistisch nur alle 1100 bis 11000 Jahre Dauerbetrieb ein mal ausfallen (oder halt 10^-7 bis 10^-8 mal pro Stunde Dauerbetrieb). 

Gibts da irgendwelche Unklarheiten?


----------



## rostiger Nagel (10 September 2020)

Das es keinen Schutz mehr gibt stimmt ja auch nicht, es gibt ja noch die Piloten,
allerdings wurden deren Möglichkeiten zum Eingreifen genommen, durch nicht
vorhandener Betriebsanleitung des System.


----------



## Scd442 (10 September 2020)

stevenn schrieb:


> sorry ich konnte jetzt nicht den ganzen Verlauf lesen, aber meine Meinung dazu, wie sinnvoll mit den Sensoren umgegangen werden soll.
> Wenn beide Sensoren einen zu steilen Anstellwinkel melden dann dementsprechend reagieren. Wenn nur ein Sensor einen zu steilen Anstellwinkel meldet, dann eine Warnung an den Piloten und er soll entscheiden, welcher richtig ist. Wird man ja irgendwie anders auch feststellen/mitbekommen. Höhenmeter, Geschwindigkeit usw.



Ich bin bis jetzt nur Motorsegler geflogen, und noch nie ein Passagierflugzeug (vom MS Flugsimulator vielleicht mal abgesehen, aber ich denke das zählt eher nicht )

Aber so wie ich es verstanden habe, bzw. in Piloten-Foren gelesen habe, nimmt der Auftrieb gerade in kritischen Situationen wo die Geschwindigkeit niedrig ist und der Anstellwinkel hoch (Start, Landung) durch dieses Problem mit den Triebwerken plötzlich exponentiell zu. Der Steuerknüppel wird ganz "leicht", und die Nase hebt sich schlagartig an.

Das soll, zumindest nach Aussage dieser Leute, in allen Regelwerken sämtlicher Luftfahrt-Aufsichtsbehörden aus gutem Grund strengstens verboten sein.

Die Bedenken sind wohl das es zu einem Strömungsabriss kommt in einer sowieso schon gefährlichen Situation, wenn der Pilot beim Landeanflug wegen starkem Seitenwind plötzliche Korrekturen durchführen, aus irgend welchen Gründen ausweichen oder durchstarten muss. 

Dann wäre wohl damit zu rechnen das es keine Rettung mehr gibt wenn es zum plötzlichen Strömungsabriss kommt, weil der Pilot nicht mehr reagieren kann.

Sonst würde sich ja auch gar keine Einstufung wie SIL3 ergeben, und auch wenn ich diesen Teil mangels Fachwissen nicht wirklich beurteilen kann, aber: wäre die Gefahr nicht real, dann wäre das System komplett überflüssig. Das bei Boeing ziemlich unfähige Leute sitzen haben die ja bewiesen, aber eigentlich niemand kann so dumm sein eine solche Funktion einzubauen wenn sie nicht notwendig ist.

Ich denke die Tatsache das Boeing selbst die Notwendigkeit eines solchen Systems annimt zeigt schon das die Gefahr real ist, und nicht einfach durch eine Warnlampe oder sowas behoben werden kann.

Wenn dem nicht so ist, dann hast du natürlich recht. Aber dann wäre das komplette MCAS ja völlig überflüssig.


----------



## Scd442 (10 September 2020)

rostiger Nagel schrieb:


> Das es keinen Schutz mehr gibt stimmt ja auch nicht, es gibt ja noch die Piloten,
> allerdings wurden deren Möglichkeiten zum Eingreifen genommen, durch nicht
> vorhandener Betriebsanleitung des System.



Wie grad geschrieben, ich denke nicht das die Leute bei Boeing so dumm sind ein automatisches Überwachungssystem einzubauen, wenn man davon ausgehen kann das die Gefahr auch durch die Piloten in jeder Situation kontrolliert werden kann.

Falls dem doch so ist, dann wären die Fehler die bei der Entwicklung gemacht wurden natürlich noch viel unfassbarer als bis jetzt angenommen.

Das kann ich nicht wirklich beurteilen, sondern nur vermuten.

Ich tendiere aber dazu das man sich bei Boeing sicher war dass eine reele Gefahr besteht das die Piloten eine solche Situation nicht mehr kontrollieren können. Sonst wäre das System überflüssig, und die ganze Diskussion über die funktionale Sicherheit würde sich erübrigen.

Das ist aber wie gesagt nur meine Einschätzung, wissen tu ich es natürlich auch nicht


----------



## stevenn (10 September 2020)

Scd442 schrieb:


> Wie grad geschrieben, ich denke nicht das die Leute bei Boeing so dumm sind ein automatisches Überwachungssystem einzubauen, wenn man davon ausgehen kann das die Gefahr auch durch die Piloten in jeder Situation kontrolliert werden kann.


naja, eine Hilfe kann ja nicht schaden. 
zu meiner Meinung.
 Im Normalfall (wenn beide funktionieren) wird richtig reagiert, vielleicht auch schneller als der Mensch.
Wenn die beiden etwas unterschiedliches anzeigen, dann kommt eine Warnung und der Pilot muss ran. ( ich bin kein Pilot und weiß nicht ob das möglich/realistisch ist)
so wird der schlechte Anstellwinkel erkannt, im Normalfall wird automatisch reagiert und im Fehlerfall muss der Pilot reagieren


----------



## rostiger Nagel (10 September 2020)

Scd442 schrieb:


> Wie grad geschrieben, ich denke nicht das die Leute bei Boeing so dumm sind ein automatisches Überwachungssystem einzubauen, wenn man davon ausgehen kann das die Gefahr auch durch die Piloten in jeder Situation kontrolliert werden kann.



Nicht dumm, das meinst du aber jetzt ironisch .
Die Leute waren so dumm, das die Geldgier, den Verstand abgeschaltet hat.
Im übrigen können Piloten schon eingreifen, aber das ist bei diesen Typ nicht
so leicht, aber immerhin möglich.

https://www.tagesschau.de/wirtschaft/boeing-235.html


----------



## JesperMP (10 September 2020)

rostiger Nagel schrieb:


> Im übrigen können Piloten schon eingreifen, aber das ist bei diesen Typ nicht
> so leicht, aber immerhin möglich


Bei der B737 leider nicht immer möglich.
B737 verwendet nicht Fly-by-wire. Um den Horisontal Stabilizer manuell trimmen muss man ein Rad drehen. Diesen Rad ist physikalisch mit den Stabilizer verbunden. Der Pilot muss die Kräfte der auf der Stabilizer die durch die Windströmmung entsteht überwinden. Wenn das Flugzeug in ein unkontrollierte AOA Vinkel gelangen ist kann es passieren dass er die Kräfte nicht überwinden kann. Dann ist es aus.
Hier ein Video von das Phänomen:
https://www.youtube.com/watch?v=aoNOVlxJmow


----------



## Heinileini (10 September 2020)

Scd442 schrieb:


> Wie grad geschrieben, ich denke nicht das die Leute bei Boeing so dumm sind ein automatisches Überwachungssystem einzubauen, wenn man davon ausgehen kann das die Gefahr auch durch die Piloten in jeder Situation kontrolliert werden kann.


Es wird bei Boeing nicht anders sein, als in anderen Firmen auch. Es gibt Leute, die gute Ideen haben und ihre Arbeit gewissenhaft machen möchten. Und es gibt Leute, die den Rotstift als Steuerknüppel in der Hand haben. Letztere fordern natürlich auch, dass etwas gemacht werden muss, z.B. weil es der Markt fordert oder, weil es ein verkaufsförderndes Argument liefert, sich gegenüber Mitbewerbern zu profilieren ... aber kosten darf es selbstverständlich nix.
Wir müssen doch wohl hier nicht diskutieren, dass Boeing sich hier gleich mehrere Klopper erlaubt hat. Der erste wurde versucht, durch einen zweiten auszubügeln. Und der erste und der zweite wurden versucht, durch einen dritten zu kaschieren, damit niemand hellhörig und auf diesen MissStand auch noch hingewiesen wird.
Ich sträube mich dagegen, dieses Paket als SicherheitsFunktion zu bezeichnen und habe es deshalb als AssistenzSystem umschrieben, ohne dadurch AssistenzSysteme diskreditieren zu wollen.
Du vergleichst aber Äpfel mit Birnen, weil Du beim MCAS ein Indiz für Zweikanaligkeit siehst und für Dich mit diesem Stichwort feststeht, aha, die einzig zulässige Art, diese beiden Kanäle verknüpfen zu dürfen, ist durch Normen geregelt und bei Boeing hat man sich daran nicht gehalten.

Apropos UND vs. ODER:
"Deine" UND-Verknüpfung ist "in Wirklichkeit" eine ODER-Verknüpfung, wenn man von "positiver Logik" ausgeht: der sichere Zustand soll herbeigeführt werden, sobald Kanal1 ODER Kanal2 diesen anfordert. Ja ja, ich weiss, DrahtbruchErkennung, DeMorgan u.s.w. ...


----------



## Scd442 (10 September 2020)

stevenn schrieb:


> naja, eine Hilfe kann ja nicht schaden.
> zu meiner Meinung.
> Im Normalfall (wenn beide funktionieren) wird richtig reagiert, vielleicht auch schneller als der Mensch.
> Wenn die beiden etwas unterschiedliches anzeigen, dann kommt eine Warnung und der Pilot muss ran. ( ich bin kein Pilot und weiß nicht ob das möglich/realistisch ist)
> so wird der schlechte Anstellwinkel erkannt, im Normalfall wird automatisch reagiert und im Fehlerfall muss der Pilot reagieren




Das würde voraussetzen dass der Pilot in jeder Situation so reagieren kann das keine Gefahr besteht, und das System somit ein reines Assistenzsystem ist.

Wenn das der Fall ist dann wäre das was Boeing eingebaut hat wohl eine der dümmsten Fehlkonstruktionen der Menschheitsgeschichte, weil es für ein "überstimmen" des Piloten nicht die geringste Notwendigkeit geben würde. Die Verantwortung würde in jeder Situation beim Piloten liegen, und die Einstufung für das System an sich wäre SIL 0.






rostiger Nagel schrieb:


> Nicht dumm, das meinst du aber jetzt ironisch .
> Die Leute waren so dumm, das die Geldgier, den Verstand abgeschaltet hat.
> Im übrigen können Piloten schon eingreifen, aber das ist bei diesen Typ nicht
> so leicht, aber immerhin möglich.
> ...




Dass das Flugzeug eine Fehlkonstruktion war und mit maximaler Fahrlässigkeit gehandelt wurde steht wohl fest.


Dennoch bleiben bei mir Zweifel ob der weltweit zweitgrößte Hersteller von Luft- und Raumfahrttechnik wirklich so blöd ist das Teil durch ein völlig überflüssiges Assistenzsystem zu einer solchen Todesfalle zu machen, und die größte Krise der Firmengeschichte auszulösen.


Ich hoffe das bei der EASA fähige Leute sitzen die den Stand der Technik bei der funktionalen Sicherheit kennen, und in der Lage sind analytisch an die Sache ranzugehen.

Denn irgendwie hab ich den Eindruck das da etliches total verhunzt und vermischt wurde.

Die erste Frage wäre: kann der Pilot in jeder Situation das Flugzeug so kontrollieren, das keine Gefahr besteht auch wenn das System nicht arbeitet?

Wenn die Antwort darauf "nein" heißt, dann handelt es sich um eine Sicherheitsfunktion, es muss eine Einstufung durch eine Risikoanalyse gemacht werden die bei größer/gleich SIL 3 liegen dürfte, und sämtliche Anforderungen was Architektur, B10 Werte, Diagnosedeckungsgrad, Hardware-Fehlertoleranz, Resistenz gegen Fehler gemeinsamer Ursache usw angeht müssen eingehalten werden, da sonst die Anforderungen des europäischen Produkthaftungsrechts nicht erfüllt werden.

Und ehrlich gesagt seh ich da schwarz wie das technisch umsetzbar ist. Das Problem ist meiner Meinung nach durch ein E/E/PES nur sehr schwer zu lösen, aus den dargelegten Gründen, und noch einigen zusätzlichen Details die ich jetzt schon absehen kann.

Wenn es nur ein "nice to have" Assistenzsystem ist dann kann man es theoretisch auch durch eine Warnlampe ersetzen, und wie es genau funktioniert ist total unkritisch. Natürlich nur so lange es den Piloten nicht überstimmen kann, auch nicht durch eine Fehlfunktion z.B. des Systems, mit dem der Pilot das MCAS dann deaktivieren könnte. 

Dafür wäre auch bei einem Assistenzsystem aber wieder ein Sicherheitsnachweis nötig, da sogar jeder Außenstehende anhand der bekannt gewordenen Details erkennen kann dass durch ein Fehlansprechen des Systems ein Gefährdungsszenario besteht, und somit das Abschalten des Systems sicher (nach dem Stand der Technik) ausgeführt werden muss. 


Wenn es aber stimmt dass das Verhalten mit dem zunehmenden Auftrieb bei steigendem Anstellwinkel von sämtlichen Zulassungsbehörden auf der Welt aus sicherheitsgründen nicht zugelassen wird, dann erfüllt das System an sich aber schon eine Sicherheitsfunktion, und alle Regeln der Technik aus der funktionalen Sicherheit sind anzuwenden um dem Produkthaftungsrecht genüge zu tun.

Mein Eindruck basierend auf meiner beruflichen Erfahrung ist dass das ganze komplett unsauber wirkt. Auch gerade das was jetzt als "Lösung" präsentiert wird.

Assistenzsystem und Sicherheitsfunktion werden vermischt, und das System führt weder seine Funktion sicher nach dem Stand der Technik aus, noch ist nachgewiesen das nicht durch Fehlfunktionen des Systems wieder neue Gefährdungen entstehen.

Ich denke jeder der wie ich in diesem Bereich tätig ist und mit den CENELEC Normen arbeitet kann meiner Argumentation folgen.

Die Zeitungsberichte der vergangenen Wochen deuten ja bereits an das die "Lösung" auf Widerspruch stößt:

https://www.aerotelegraph.com/boeing-muss-737-max-nach-neustart-weiter-umbauen


Ich weiß das es verwirrend sein kann die Regeln der funktionalen Sicherheit auf ein so komplexes System zu übertragen. Aber die sind ja nicht zum Spaß da, sondern sie sind das gesammelte Ingenieurswissen der letzten 150 Jahre um Personenschäden durch Fehlkonstruktionen zu vermeiden.

Das eine Schutztürüberwachung an einer Drehbank sicher sein muss nach dem Stand der Technik, aber für ein System das ein Flugzeug zum Absturz bringen kann viel laschere Regeln gelten sollen ist nicht bloß logisch totaler Blödsinn, sondern widerspricht auch dem Produkthaftungsrecht.

Die Regeln gelten für jedes Produkt. "Aber es ist viel schwerer es genau so sicher zu machen weil das Produkt komplexer ist" ist keine zulässige Ausrede. 

Wenn es nicht sicher gemacht werden kann nach dem Stand der Technik dann ist es eine Fehlkonstruktion die nach unseren Gesetzen nicht in Verkehr gebracht werden darf, alles andere wäre sehr grob fahrlässig und würde zur persönlichen Haftung der Verantwortlichen führen.


----------



## stevenn (10 September 2020)

Scd442 schrieb:


> Das würde voraussetzen dass der Pilot in jeder Situation so reagieren kann das keine Gefahr besteht, und das System somit ein reines Assistenzsystem ist.
> 
> Wenn das der Fall ist dann wäre das was Boeing eingebaut hat wohl eine der dümmsten Fehlkonstruktionen der Menschheitsgeschichte, weil es für ein "überstimmen" des Piloten nicht die geringste Notwendigkeit geben würde. Die Verantwortung würde in jeder Situation beim Piloten liegen, und die Einstufung für das System an sich wäre SIL 0.


ich würde es als Assistenzsystem ansehen ja. im NOrmalfall reagiert dieses und wenn ein Sensor ausfällt, muss der Pilot denken.
Die Verantwortung wäre somit nicht in jeder Situation beim Piloten (nur wenn die Sensoren unterschiedliches melden). Da das System aber richtig reagieren muss, wenn die Sensoren beide das Gleiche anzeigen, und keine CCF anfallen dürfen, wäre es meiner Meinung nach schon ein hoher Performance Level. Dementsprechend auch ein höherer SIL als SIL0. Man muss meiner Meinung nach nur den Sensorausfall sicher mitbekommen und dann muss der Pilot handeln.


----------



## Scd442 (10 September 2020)

Heinileini schrieb:


> Es wird bei Boeing nicht anders sein, als in anderen Firmen auch. Es gibt Leute, die gute Ideen haben und ihre Arbeit gewissenhaft machen möchten. Und es gibt Leute, die den Rotstift als Steuerknüppel in der Hand haben. Letztere fordern natürlich auch, dass etwas gemacht werden muss, z.B. weil es der Markt fordert oder, weil es ein verkaufsförderndes Argument liefert, sich gegenüber Mitbewerbern zu profilieren ... aber kosten darf es selbstverständlich nix.
> Wir müssen doch wohl hier nicht diskutieren, dass Boeing sich hier gleich mehrere Klopper erlaubt hat. Der erste wurde versucht, durch einen zweiten auszubügeln. Und der erste und der zweite wurden versucht, durch einen dritten zu kaschieren, damit niemand hellhörig und auf diesen MissStand auch noch hingewiesen wird.
> Ich sträube mich dagegen, dieses Paket als SicherheitsFunktion zu bezeichnen und habe es deshalb als AssistenzSystem umschrieben, ohne dadurch AssistenzSysteme diskreditieren zu wollen.
> Du vergleichst aber Äpfel mit Birnen, weil Du beim MCAS ein Indiz für Zweikanaligkeit siehst und für Dich mit diesem Stichwort feststeht, aha, die einzig zulässige Art, diese beiden Kanäle verknüpfen zu dürfen, ist durch Normen geregelt und bei Boeing hat man sich daran nicht gehalten.
> ...




Die sinnvolle Verknüpfung der zwei Eingägen durch ein logisches "und" Funktionselement ist nicht durch irgendwelche nebulösen Normen vorgegeben, sondern durch die Tatsache dass das System sonst nicht mehr anspricht wenn ein Sensor defekt ist. Erscheint dir das irgendwie unlogisch?

Zu deiner Info, ein Assistenzsystem ist per Definition ein System bei dem die gesamte Sicherheitsverantwortung beim Bediener liegt. Das Systems selber kann also mit SIL 0 ausgeführt werden.

Unter dem Begriff der Sicherheitsfunktion versteht man eine sicherheitsgerichtete Steuerungsfunktion einer Maschine, die ein von der Maschine ausgehendes Risiko auf ein akzeptables Maß reduziert. 

Dieses Risiko wird vorher in einer Risikoanalyse bestimmt und bezüglich der schwere der Auswirkungen und Häufigkeit eingestuft, z.B. der Absturz eines Flugzeugs weil durch die ungünstige Form der Triebwerksbefestigung bei steilen Anstellwinkeln plötzlich der Auftrieb stark zunimmt, so dass der Pilot nicht mehr reagieren kann. Abhängig von dieser Einstufung ergeben sich dann logische Einschränkungen bei der Freiheit der Ausführung der Funktion, die damit zusammenhängen dass die Funktion ausfallsicher sein muss. Damit haben sich schon Leute vor uns seit der Zeit der ersten Dampfkessel-Explosionen beschäftigt, und deren gesammeltes Wissen wie man die Funktion am besten ausführt ist niedergeschrieben in den Normen der funktionalen Sicherheit, um uns die Arbeit zu erleichtern.

Sorry falls das erklärungsbedürftig war. Im Unterforum "Maschinensicherheit - Normen und Richtlinien" bin ich ein bisschen davon ausgegangen dass das Grundwissen ist - genau wie das Ruhestromprinzip


----------



## stevenn (10 September 2020)

@Scd442:
also wer die Maschinenrichtlinie und die dementsprechenden Normen bei Flugzeugen anwendet, sollte sich nicht soweit aus dem Fenster lehnen.

Die Verantwortung bei einem Flugzeug liegt immer beim Piloten. Dies kann unterstützt werden durch Systeme (nenn es Assistenzsystem oder nicht, egal wo der Begriff herkommt, er kann auf jeden Fall nicht in Verbindung mit der EN ISO 13849 erwähnt werden. habe ich dort noch nie gelesen. Man sollte hier nicht verschiedene Normen etc. vermischen). Für mich ist dies ein System, was dem Piloten helfen soll.


----------



## JesperMP (10 September 2020)

stevenn schrieb:


> Für mich ist dies ein System, was dem Piloten helfen soll.


Und wenn es einen Gefahr-Situation selber auslöst, bis auf dass die Piloten nicht mehr den Flugzeug unter Kontrolle bringen kann ?
Siehe mein Beitrag #34.


----------



## Scd442 (10 September 2020)

stevenn schrieb:


> ich würde es als Assistenzsystem ansehen ja. im NOrmalfall reagiert dieses und wenn ein Sensor ausfällt, muss der Pilot denken.
> Die Verantwortung wäre somit nicht in jeder Situation beim Piloten (nur wenn die Sensoren unterschiedliches melden). Da das System aber richtig reagieren muss, wenn die Sensoren beide das Gleiche anzeigen, und keine CCF anfallen dürfen, wäre es meiner Meinung nach schon ein hoher Performance Level. Dementsprechend auch ein höherer SIL als SIL0. Man muss meiner Meinung nach nur den Sensorausfall sicher mitbekommen und dann muss der Pilot handeln.



Bei allen Gutachtern mit denen ich bis jetzt zu tun hatte war ein "Assistenzsystem" immer ein Synonym für ein System ohne jegliche Sicherheitsverantwortung, da diese komplett beim Bediener liegt.

Diese Definition ist sicher nicht in Stein gemeißelt, und oft ist es ja auch nicht so wichtig wie man etwas nennt, sondern viel mehr was es macht.

So wie du es schreibst würde es ja dann wieder eine Sicherheitsfunktion übernehmen, und den Stand der Technik erfüllen.

Der Knackpunkt wäre aber wieder ob der Pilot grundsätzlich überhaupt so schnell reagieren kann, das er den Strömungsabriss erkennen und abwenden kann - falls ja, dann wäre das System ja eigentlich immer überflüssig.


Diese von dir beschriebene Übergabe der Verantwortung an sich ist auch ein schwieriges Thema, worüber es viele Diskussionen gibt wegen automatisierten Fahrfunktionen bei PKW. Bis jetzt gibts das noch nicht, und die existierenden Fahrerassistenzsysteme wie der "Autopilot" von Tesla erfordern laut Kleingedrucktem das der Fahrer jederzeit die volle Aufmerksamkeit über das Geschehen behält, um bei einem Fehler des Systems eingreifen zu können.

Mittlerweile besteht ja eigentlich Einigkeit darüber, dass allein das ein Sicherheitsrisiko ist, da der Mensch nicht dauerhaft 100% aufmerksam bleiben kann wenn er das Gefühl hat die Kontrolle abgegeben zu haben. Allein das lässt mir eine Übergabe der Verantwortung ein bisschen als semi-optimal erscheinen.


----------



## oliver.tonn (10 September 2020)

Scd442 schrieb:


> Der Knackpunkt wäre aber wieder ob der Pilot grundsätzlich überhaupt so schnell reagieren kann, das er den Strömungsabriss erkennen und abwenden kann - falls ja, dann wäre das System ja eigentlich immer überflüssig.


Wäre es vermutlich, wenn hier nicht Menschen mit am Werk wären die auch mal Fehler machen oder etwas übersehen.
Airbus und Boing begrenzen z.B. auch den Anstellwinkel, heißt ich kann wie verrückt am Stick ziehen oder drücken, aber der Flieger wird trotzdem nicht steiler steigen oder sinken als wie maximal zulässig. Auch das könnte ein Pilot mit einem Blick auf den künstlichen Horizont erkennen und trotzdem gibt es dieses System.


----------



## Scd442 (10 September 2020)

stevenn schrieb:


> @Scd442:
> also wer die Maschinenrichtlinie und die dementsprechenden Normen bei Flugzeugen anwendet, sollte sich nicht soweit aus dem Fenster lehnen.
> 
> Die Verantwortung bei einem Flugzeug liegt immer beim Piloten. Dies kann unterstützt werden durch Systeme (nenn es Assistenzsystem oder nicht, egal wo der Begriff herkommt, er kann auf jeden Fall nicht in Verbindung mit der EN ISO 13849 erwähnt werden. habe ich dort noch nie gelesen. Man sollte hier nicht verschiedene Normen etc. vermischen). Für mich ist dies ein System, was dem Piloten helfen soll.



Sorry nix für ungut, aber da sind für mich jetzt ein paar zu viele "gefühlte" Fakten und "alternative" Wahrheiten drin um das noch ernst zu nehmen 

"Sie bezieht sich nicht auf bestimmte Anwendungen. Systeme, die auf Anforderung eine Sicherheitsfunktion ausführen, sind zum Beispiel das Antiblockiersystem bei einem Kraftfahrzeug und Systeme, die auf ständige Ausführung der Sicherheitsfunktion angewiesen sind, zum Beispiel die Steuerungseinheit einer Trägerrakete."

https://de.wikipedia.org/wiki/IEC_61508

"Sie kann bei allen sicherheitsrelevanten Systemen, die solche Komponenten enthalten und deren Ausfall ein maßgebliches Risiko für Mensch oder Umwelt bedeutet, herangezogen werden."

https://www.blog.scope-engineering.de/single-post/IEC61508

Na, auf welche Norm hab ich mich gleich nochmal die ganze Zeit bezogen?

Falls du dich wirklich für die Unterschiede im Detail interessierst:

"Der DO-178B umfasst, anders als der IEC 61508, nur den SoftwareLebenszyklus. Es sind zwar Schnittstellen zum System-Lebenszyklus definiert, dieser wird aber nicht speziell betrachtet." 

http://amser.hs-weingarten.de/dokumente/Students_work/Proj_Thesis_Hondorf.pdf

Nochmal zu deiner Info, die IEC 61508 ist "die" sektorübergreifende Basisnorm für die funktionale Sicherheit weltweit. Die Prinzipien darin sind allgemeingültig. Ich merk schon das "Norm" für dich eher was ist worin irgendwelche Bürokraten dem armen Bürger vorschreiben welchen Krümmungswinkel eine Banane haben muss.

In der 61508, den abgeleiteten C-Normen und den sehr ähnlichen Sektornormen wie diejenigen für die Luftfahrt werden Grundsätze beschrieben die sich aus der Logik ergeben. Ob man das Ruhestromprinzip oder HFT>0 nutzt ist keine Einstellungs- oder Meinungssache, die Physik gibt uns das halt so vor wenn es ausfallsicher sein soll.

Beruflich nutze ich auch die 50128 oder 50657, trotzdem kenne und verstehe ich die 61508-3. Steht ja sowieso sinngemäß das gleiche drin. Ich kenne die DO-178B nicht auswändig, lass mir aber gern von dir die unterschiede zur 61508-3 im Detail erklären


----------



## Scd442 (10 September 2020)

oliver.tonn schrieb:


> Wäre es vermutlich, wenn hier nicht Menschen mit am Werk wären die auch mal Fehler machen oder etwas übersehen.
> Airbus und Boing begrenzen z.B. auch den Anstellwinkel, heißt ich kann wie verrückt am Stick ziehen oder drücken, aber der Flieger wird trotzdem nicht steiler steigen oder sinken als wie maximal zulässig. Auch das könnte ein Pilot mit einem Blick auf den künstlichen Horizont erkennen und trotzdem gibt es dieses System.



Was du schreibst ist korrekt, aber keines der erwähnten Flugzeuge hat die Triebwerke so weit vor den Tragflächen wie die Boeing 737 Max.

Wie gesagt, ich hab darüber viel gelesen von Leuten die behaupten sich auszukennen. Ob es stimmt weiß ich nicht, aber die Tatsache das Boeing selbst die Notwendigkeit für ein System sieht welches den Piloten überstimmt lässt schon irgendwie den Schluss zu dass der plötzlich stark zunehmende Auftrieb zu einer Situation führt auf die der Mensch nicht mehr schnell genug reagieren kann. Angeblich widerspricht die Charaktersitik welche das Flugzeug in diesen Situationen hat den Vorgaben der Luftfahrtbehörden für eine Zulassung.

Wenn das wirklich so wäre dann wäre das MCAS System grundlegend anders als die bestehenden Systeme, da es Situationen geben kann die der Pilot nicht mehr selber kontrollieren kann, und das System hätte die Sicherheitsverantwortung.

Da ich keine Einblicke in die Unterlagen der FAA habe und dieses Flugzeug nie selber geflogen bin kann ich dazu aber genau so wenig definitves sagen wie jeder andere.


----------



## stevenn (11 September 2020)

Scd442 schrieb:


> Sorry nix für ungut, aber da sind für mich jetzt ein paar zu viele "gefühlte" Fakten und "alternative" Wahrheiten drin um das noch ernst zu nehmen
> 
> "Sie bezieht sich nicht auf bestimmte Anwendungen. Systeme, die auf Anforderung eine Sicherheitsfunktion ausführen, sind zum Beispiel das Antiblockiersystem bei einem Kraftfahrzeug und Systeme, die auf ständige Ausführung der Sicherheitsfunktion angewiesen sind, zum Beispiel die Steuerungseinheit einer Trägerrakete."
> 
> ...


nicht gleich eingeschnappt sein. ist ja gut.
Nochmal zu deiner Info, warum ist das eine Sicherheitsfunktion, bei der die 61508 angewendet werden kann und kein Assistenzsystem? In meinem Beispiel wäre es ein Assistenzsystem und würde auch zum Erfolg führen. 
Und über ein Forum zu urteilen, wie ich Normen handhabe finde ich auch interessant. Ich habe auch nie behauptet die DO-178B auswendig zu kennen, ich denke ihr Ziel ist aber auch das das Flugzeug nicht abstürzt. Aber lassen wir das persönliche. Akzeptiere meine Meinung / Idee / Vorschlag oder lass es sein, ist mir egal


----------

