737 MAX Grounding Thread

[Tschentelmän]

vor 38 Minuten schrieb ilam:

Die FAA scheint das kapiert zu habe. Bei Boeing unter Muilenburg war das aber offensichtlich anders, wenn man mal überlegt, wie oft da ein baldiger Restart angekündigt wurde und versucht wurde, öffentlichen Druck aufzubauen. Oder war das alles nur Show für die Aktionäre?
Die neue Führung trommelt nicht mehr ganz so laut - ich hoffe mal, die haben es verstanden.

 

Muilenburg schwankte vermutlich zwischen einer Bei-Laune-Haltung der Aktionäre und einer Art von Größenwahn aus der jahrelang gelebten Praxis, dass Boeing die Marschrichtung bestimmt und nicht die Behörden... Aber egal - weg ist er, viel Geld hat er auch - das ist aber eine andere Diskussion...

 

Ansonsten - ja klar - Boeing muss dringend aus den Fehlern lernen - anderenfalls gezwungen durch die Behörden, teils auch durch Airlines, die selbst ebenfalls extrem betroffen wären, sollte die MAX nicht sicher genug sein... Nicht zuletzt kann sich Boeing gerade zu Corona-Zeiten keine weitere Storno-Welle aufgrund der Sicherheit leisten...

[NCC1701]

vor 34 Minuten schrieb ilam:

Defacto könnte man bei deinen Ansprüchen in der Luftfahrt nicht mal einen Taschenrechner für die Treibstoffberechnung benutzen.

Mal sollte erst einmal beweisen, dass 1+1 = ist...

 

...NCC1701

[jubo14]

@wurzinra nun muss ich Dir darauf antworten.

 

Das MCAS soll das Verhalten des Flugzeugs automatisch korrigieren, so dass es sich fliegt wie ein 737 NG.

Ohne MCAS hast Du ein Flugzeug, dass zum Überziehen im Steigflug neigt, so dass die Piloten dafür ein eigene Musterzulassung benötigen, um es fehlerfrei bedienen zu können.

Ich gebe Dir in so fern recht, dass es sicherlich nicht der Gipfel der Flugzeugkonstruktionen darstellt. Aber das sind (bzw. waren) so einige andere Flugzeugtypen auch nicht.

Einige Typen der A330/340 haben erhebliche Startprobleme wenn es heiß ist oder der Flughafen etwas höher liegt. Die MD11 ist extrem schwer zu landen. Nur zwei Beispiele, dass auch Flugzeuge, die nicht optimal konstruiert sind ein Zulassung bekommen können und dann auch jahrelang von Airlines betrieben werden können. Die Piloten müssen halt auf die "Eigenarten" ihres Flieger geschult sein.

[gudi]

vor 3 Stunden schrieb ilam:

Fehlerfreiheit von Software, die eine gewisse Komplexität überschreitet, kann man nie nachweisen, da der Aufwand mit jeder zusätzlichen Programmzeile exponentiell steigt. Und selbst wenn, würde das nicht genügen. Du benötigst bei Deinen Ansprüchen auch die Fehlerfreiheit der weiteren beteiligten Komponenten - vom Compiler (sofern nicht direkt in Maschinensprache programmiert wird), vom Prozessor, vom Speicher (RAM+ROM), von allen beteiligten Sensoren (Garbage in -> Garbage out) oder eine Wundersoftware, die jeden noch so seltenen Fehler erkennt und abfängt.

 

Natürlich braucht man all das. Die Hardware für kritische Systeme unterliegt ebenso strengen Anforderungen. Da kann man nicht eben einen handelsüblichen Pentium-Prozessor

mit dem bekannten FDIV-Bug nehmen und darauf Windows laufen lassen. Prozedurale Programmierung mit einzelnen Codezeilen (den sogenannten Spaghetticode) können sie ebenfalls vergessen. Damit wird heute keine Kaffeemaschine mehr programmiert. Sie brauchen eine mathematisch exakte Spezifikation für jeden einzelnen Programmzustand und alle möglichen Transitionen, so dass sie berechnen können dass das Programm auch garantiert nichts anderes macht. Deshalb sage ich ja, systemischer-kritische Software muss schon bei der Konzeption so angelegt werden. Das geht nicht im Nachhinein.

[NCC1701]

vor 39 Minuten schrieb gudi:

 

Natürlich braucht man all das. Die Hardware für kritische Systeme unterliegt ebenso strengen Anforderungen. Da kann man nicht eben einen handelsüblichen Pentium-Prozessor

mit dem bekannten FDIV-Bug nehmen und darauf Windows laufen lassen. Prozedurale Programmierung mit einzelnen Codezeilen (den sogenannten Spaghetticode) können sie ebenfalls vergessen. Damit wird heute keine Kaffeemaschine mehr programmiert. Sie brauchen eine mathematisch exakte Spezifikation für jeden einzelnen Programmzustand und alle möglichen Transitionen, so dass sie berechnen können dass das Programm auch garantiert nichts anderes macht. Deshalb sage ich ja, systemischer-kritische Software muss schon bei der Konzeption so angelegt werden. Das geht nicht im Nachhinein.

Herrlich, du nennst genau das Argument, warum man deswegen kritische Systeme nach dem Muster, dass das Ergebniss zwei aus drei validieren zu können konzipiert bzw. ein disagree melden kann.

 

...NCC1701

 

P.S. : Geh mal in die Pharmaindustrie. Es interesiert hier niemanden (z.B. FDA), ob die SW eine prozedurale Struktur hat oder nicht. Und hier reden wir bei der Produktion von Wirkstoffen auch von sehr kritischen Prozessen.

[Guenni]

vor 4 Stunden schrieb wurzinra:

...dass das MCAS keine Erleichtering für Piloten ist, sondern ein Flugverhalten der MAX korrigiert, das zu gefährlichen Flugsituationen führen kann. Ein Passagierflugzeug, das auf Grund seiner Konstruktion im normalen Steigflug zu überziehen droht, möchte ich nicht als geglücktes Update betrachten.

Das stimmt doch so nicht, oder ich hab alle bisherigen technisch orientierten Veröffentlichungen zu diesem Thema missverstanden?

Mein Verständnis ist, dass die 737Max bezüglich ihres speziellen Flugverhaltens aufgrund anderer Triebwerksposition jederzeit mit einem neuen Typerating zertifizierbar gewesen wäre. Die Zulassungsvorschriften geben aber innerhalb eines Typeratings "das Delta" der Kräfte am Steuerhorn genau vor, das bei Mustern, die innerhalb eines Typeratings zusammengefasst werden, maximal erlaubt ist. Und da bei der 737Max unter verschiedenen Flugzuständen beim plötzlichen Schubgeben deutlich mehr gedrückt werden muss als bei den 737 Vorgängern, war eine Softwarelösung unumgänglich, wenn man die Verkaufszusagen einhalten wollte.

 

Das ändert natürlich nichts daran, dass die Implementation über quasi nur einen Kanal, dessen Fehlfunktion durch den Computer noch nicht mal sicher erkannt werden konnte, grob fahrlässig war.

[gudi]

vor 33 Minuten schrieb NCC1701:

P.S. : Geh mal in die Pharmaindustrie. Es interesiert hier niemanden (z.B. FDA), ob die SW eine prozedurale Struktur hat oder nicht. Und hier reden wir bei der Produktion von Wirkstoffen auch von sehr kritischen Prozessen.

 

Daran ist gar nichts kritisch. Wenn sich der Computer bei der Arzneimittel-Produktion aufhängt, startet man ihn neu und schüttet die alte Mischung weg. Das ist keine tonnenschwere Metallröhre, die rasend schnell mit hunderten Menschen an Bord zu Boden stürzt. Kritisch bei neuen Medikamenten sind mögliche Nebenwirkungen wie bei Contergan. Deshalb ist die Zulassung sehr aufwendig, kostet Milliarden und dauert Jahre. Die Produktionsüberwachung ist vergleichsweise simpel und findet bei Flugzeugen ja auch noch statt. Erstmal muss die Konzeption hinter MCAS überhaupt geprüft werden und das hat man sich bisher gespart, weil es Jahre gedauert und Milliarden gekostet hätte. Das der Sensor falsche Daten liefert, ist ja nur der Auslöser, der die Fehlkonstruktion offenbart hat.

Nebenbei ist die FDA genauso unfähig wie die FAA. Denen ist auch erst hinterher aufgefallen, dass sie eine Opioid-Krise haben. Stark vereinfacht kann man sagen, Finger weg von Dingen, die in den USA zugelassen wurden. Die haben auch Blei im Trinkwasser und nukleare Launchcodes auf Floppydisk.

[Gast]

8 minutes ago, gudi said:

Daran ist gar nichts kritisch. Wenn sich der Computer bei der Arzneimittel-Produktion aufhängt, startet man ihn neu und schüttet die alte Mischung weg.

 

Sofern man es mitbekommt, bspw. falsche Mischungsverhältnisse o.ä.. Ansonsten ist das durchaus kritisch.

[Tschentelmän]

vor einer Stunde schrieb gudi:

Erstmal muss die Konzeption hinter MCAS überhaupt geprüft werden und das hat man sich bisher gespart, weil es Jahre gedauert und Milliarden gekostet hätte.

 

Einerseits - woher willst du wissen, welche genauen Details zu MCAS in den letzten anderthalb Jahren geprüft wurden?

 

Außerdem - wie bereits mehrfach angesprochen - die Zulassungsbehörde muss nicht zwingend jede Programmierzeile bei MCAS kennen und bewerten... Boeing muss natürlich genau beschreiben, in welcher Situation, bedingt durch welche physikalische Komponente und nach welcher Logik das Programm funktioniert - das wird Boeing wohl getan haben (wenn dafür auch reichlich viel FAA-Druck nötig war) Und die Testflüge müssen dann eben unzählige Fall-Situationen abdecken... und wenn alles glatt läuft - warum soll man dann keine Freigabe erteilen?

 

Theoretisch (& praktisch) kann nach einigen tausend Flugstunden auch das Triebwerk aufgrund einer bestimmten Schwäche explodieren, obwohl alle Simulationen und Tests in der Zertifizierung super gelaufen sind... Welcher Ingenieur kann bei Gott und seiner Großmutter felsenfest beschwören, dass seine zertifizierte Konstruktion nie nie nie innerhalb der freigegeben Laufzeit einen Fehler haben wird?

[NCC1701]

vor 2 Stunden schrieb effxbe:

Sofern man es mitbekommt, bspw. falsche Mischungsverhältnisse o.ä.. Ansonsten ist das durchaus kritisch.

Genau da ist der Punkt! Bei unerklärlichen Nebenwirkingen wird dort auch erst im Anschluss geprüft, wenn es evtl. zuspät ist und der Wirkstoff schon in evtl. x-fach "eingeworfen" wurde.

 

vor 2 Stunden schrieb gudi:

Kritisch bei neuen Medikamenten sind mögliche Nebenwirkungen wie bei Contergan. Deshalb ist die Zulassung sehr aufwendig, kostet Milliarden und dauert Jahre. ...

Nebenbei ist die FDA genauso unfähig wie die FAA. Denen ist auch erst hinterher aufgefallen, dass sie eine Opioid-Krise haben. Stark vereinfacht kann man sagen, Finger weg von Dingen, die in den USA zugelassen wurden.

Wieder herrlich. Du erwähnst Contergan als Beispiel und schwadronierst anschliessend über die Unfähigkeit der FDA.

You made my day!

 

vor 2 Stunden schrieb gudi:

Erstmal muss die Konzeption hinter MCAS überhaupt geprüft werden und das hat man sich bisher gespart, weil es Jahre gedauert und Milliarden gekostet hätte. Das der Sensor falsche Daten liefert, ist ja nur der Auslöser, der die Fehlkonstruktion offenbart hat.

Genau und das hat auch nichts mit auf Fehler zu analysierenden Codezeilen in der Software zu tun, sondern erst einmal mit dem Konzept - eben fehlendes disagree bei 2 Auswertungen oder "2 of 3".

 

...NCC1701

[sukram]

U.S. FAA lays plan for Boeing 737 MAX's return; hurdles remain

 

Zitat

The FAA said in a separate 96-page report on Monday it “has preliminarily determined that Boeing’s proposed changes to the 737 MAX design, flightcrew procedures and maintenance procedures effectively mitigate the airplane-related safety issues.” 

 

"mildern" reicht zumindest der FAA anscheinend.

[NCC1701]

Also wenn ich das hier  FAA nennt erstmals Forderungen für 737 Max in deutsch lese, bedeutet es wohl, dass man ein "Disagree" einwandfrei melden muss.

Zitat

Fortan soll Boeing sicherstellen, dass das MCAS seine Daten aus mehreren Sensoren bezieht, statt wie zuvor aus einem. Abweichende Werte der Sensoren sollen den Piloten mit zusätzlichen Anzeigen im Cockpit  verständlich dargestellt werden.

 

Wollen mal sehen, was das nun

- zum einen für den Zeitplan zur Wiederzulassung und

- was das an Aufwände bezüglich der Verkabelung an den fertig gestellten Fliegern

bedeutet.

 

...NCC1701

[ilam]

Interessant wäre es auch zu erfahren, wass es gekostet hat (finanziell und zeitmäßig), über ein Jahr lang nur auf Softwareupdates zu setzen und unbeirrt weiter unmodifizierte Maschinen zu produzieren. Man kann für Boeing hoffen, dass die ganze Zeit ein "Team B" an dem Thema dran war und dass man nicht jetzt von Null anfängt...

 

[Windyfan]

vor 18 Stunden schrieb NCC1701:

Wollen mal sehen, was das nun

- zum einen für den Zeitplan zur Wiederzulassung und

- was das an Aufwände bezüglich der Verkabelung an den fertig gestellten Fliegern

bedeutet.

 

...NCC1701

Ich vermute mal, dass die Verkabelung das kleinere Übel ist. Große Probleme sehe ich bei der Software. Ist die Software für alle erdenklichen, möglichen und unmöglichen Konstellationen geprüft? Wahrscheinlich nicht. Und da liegt der Hase im Pfeffer

[NCC1701]

vor einer Stunde schrieb Windyfan:

Ich vermute mal, dass die Verkabelung das kleinere Übel ist. Große Probleme sehe ich bei der Software. Ist die Software für alle erdenklichen, möglichen und unmöglichen Konstellationen geprüft? Wahrscheinlich nicht. Und da liegt der Hase im Pfeffer

Also bei der SW sehe ich nur das Problem, ob man die notwendigen Daten der Sensoren in den betreffenden Recheneinheiten bereits zur Verfügung stehen bzw. diese einfach gekoppelt bekommt. Wenn nein, wird das herausfordernd. Wenn ja, muss die SW sauber angepasst und getestet werden. Dann muss nach der Abnahme die SW 400x eingespielt werden.

 

Bei der Verkabelung sehe ich das nicht ganz so einfach. Die betreffenden Adern dürften schön in den Kabelbäumen verlaufen. Um an diese ran zu kommen, muss die Verkleidung abgenommen werden (sind die Flieger eigentlich noch ohne Innenausbau?). Danach muss du an die betreffenden Kabelbäume ran. Oder es werden die ganzen betreffenden Kabelbäume getauscht.

Dass muss du dann 400x machen. Dafür wird viel Men-Power benötigt und das ist sicher nicht in 1-2 Tagen pro Flieger erledigt.

 

...NCC1701

[jubo14]

Das sehe ich genau so.

 

Denn die Software musst Du einmal neu machen und testen. Wenn sie dann endlich das tut, was sie soll, könnte sie in alle Flieger als Update eingespeilt werden.

Da die Basis aber die Daten von mehreren Sensoren sein sollen, die in der bisherigen Verkabelung noch überhaupt nicht vorgesehen waren, muss zunächst die Hardware nachgerüstet werden.

Wenn alle Beteiligten dabei nicht noch mehr an Glaubwürdigkeit verlieren werden, wird man das "richtig" machen müssen. Das bedeutet in letzter Konsequenz, in betroffenen Teil der Verkabelung muss der alte Kabelbaum raus und ein neuer, für zukünftige Flieger neu konzipierter Kabelbaum muss eingebaut werden.

Einfach nur die neuen Verbindungen zusätzlich zu verkabeln, kann man zuhause beim Gartenhäuschen machen, hier wohl ehr nicht.

[ilam]

 

vor 1 Minute schrieb jubo14:

Das bedeutet in letzter Konsequenz, in betroffenen Teil der Verkabelung muss der alte Kabelbaum raus und ein neuer, für zukünftige Flieger neu konzipierter Kabelbaum muss eingebaut werden.

Einfach nur die neuen Verbindungen zusätzlich zu verkabeln, kann man zuhause beim Gartenhäuschen machen, hier wohl ehr nicht.

 

Beim A380-Verkabelungsproblem gab es zwei Lösungen. Für die bereits fertigen bzw. in Produktion befindlichen Maschinen gab es eine mit möglichst wenig Aufwand nachrüstbare Geschichte, den komplett neuen Kabelbaum gab es erst später.

 

Und da ging es um vielleicht ein dutzend Flieger, nicht um hunderte...

 

Ich rechne - sofern notwendig - mit einer ähnlichen Lösung bei der 737MAX.

 

 

 

 

[jubo14]

Nunja, der A380 hat man aber auch nicht die Zulassung entzogen.

Ich kann mich irren, aber bei den A380 Verkabelungsproblemen ging es doch "nur" um die Verkabelung der Kabine, nicht um die für die Flugsteuerung erforderliche.

[Windyfan]

Ich dachte bei Software und Verkabelung einen Schritt zuvor. Die Software, die alle Anforderungen erfüllt muss man zuerst mal haben. Da halte ich den Entwurf eines Zusatzkabelbaums für die neuen Sensoren, oder die Neuentwicklung dr betroffenen Kabelbäume mit ein paar Leitungen und Steckverbindungen für ungleich einfacher.

[Nosig]

Bei der A380 ging es um die gesamte Verkabelung. Das sind komplett konfigurierte Kabelbäume mit allen Kabeln für alles.

 

Bei der MAX dürfte man einfach die kritischen Kabel neu und zusätzlich parallel mit Abstand verlegen und die alten Kabelbäume drin lassen. Das ist weniger Aufwand als alles nochmal rauszunehmen.

[jubo14]

vor 52 Minuten schrieb Nosig:

Bei der MAX dürfte man einfach die kritischen Kabel neu und zusätzlich parallel mit Abstand verlegen und die alten Kabelbäume drin lassen. Das ist weniger Aufwand als alles nochmal rauszunehmen.

Wenn sie noch rein passen, sicherlich möglich.

Wenn diese Kabel dann auch nach allen Sicherheitsstandards verlegt werden können sogar die wahrscheinlichste Lösung.

 

Aber die Zulassungsstellen dürften nicht umbedingt danach gehen, was für Boeing weniger Aufwand ist, sondern ich hoffe doch, danach, was für die Zuverlässigkeit der Verbindungen die beste Lösung ist.

[bueno vista]

Am 2.8.2020 um 19:43 schrieb wartungsfee:

Im Grunde sollte den Beteiligten hier klar sein, das MCAS perfekt funktioniert hat, es hat genau das gemacht was es gemäß seiner Konstruktion und Design machen sollte. 

 

Das Ammoniumnitrat in Beirut hat auch genau das gemacht was es machen sollte...

 

MCAS hat auf ganzer Linie versagt und eben nicht gemacht was es sollte, weil es völlig inakzeptabel implementiert wurde, des Profits wegen. 

[wurzinra]

Am 12.8.2020 um 11:34 schrieb Nosig:

Bei der A380 ging es um die gesamte Verkabelung. Das sind komplett konfigurierte Kabelbäume mit allen Kabeln für alles.

 

Bei der MAX dürfte man einfach die kritischen Kabel neu und zusätzlich parallel mit Abstand verlegen und die alten Kabelbäume drin lassen. Das ist weniger Aufwand als alles nochmal rauszunehmen.

Beim A380 waren die Kabelbäume nicht falsch sondern zu kurz. 

In Spanien wurde ein anderes Release von Catia verwendet als in Frankreich. 

[Tschentelmän]

Hier eine Art von Zwischenbilanz zur Anzahl verbleibender MAX-Bestellungen...

 

Stand Ende Juli 2020 bleiben demzufolge 4129 feste Bestellungen übrig, wovon ca. 630 als unsicher gelten... Macht "netto-fest-sicher" ca. 3500 Stück... Von Januar bis Juli 2020 sind 416 Maschinen storniert worden bzw 448 wurden als "unsicher" eingestuft...

 

Airbus hat aktuell dagegen für die A320 Neo-Familie 6065 Bestellungen offen - die Anzahl wackeliger Bestellungen wird jedoch nicht ausgewiesen...

 

https://www.aerotelegraph.com/so-viele-737-max-orders-hat-boeing-mittlerweile-verloren

[Nosig]

Zitat

Beim A380 waren die Kabelbäume nicht falsch sondern zu kurz. 

Was ist der Unterschied? Sie passten nicht, weil man Biegungen großer Kabelbäume, Kurvenradien etc. nicht richtig berücksichtigen konnte und die Programmversionen an mehreren Standorten nicht passten, so dass man in Silos separat arbeitete.