Ethiopian Airlines på väg till Nairobi har störtat (2019-03-10)

Sammanfattning – Vad hände med ET302? (v1.0)
Jag gör ett försök att sammanfatta. Jag gör det efter bästa förmåga (to the best of my knowledge) och är tacksam för granskning och förslag till förbättringar.

Varför kraschade ET302?
Även om vi inte har hela svaret på den frågan, har vi en hel del indicier som pekar i en viss riktning.
Boeing 737 MAX är ett nytt plan som började levereras 2017. Hittills har drygt 300 plan levererats. Lion Air JT610 kraschade kort efter start 2018-10-29. ET302 kraschade kort efter start, under liknande omständigheter, 2019-03-10. Med början efter Lion Air-kraschen och i än högre grad nu, har vi fått en hel del information om 737 MAX och dess funktion, MCAS, som troligen spelat en central roll när planen kraschade.
Dagen efter olyckan med ET302 hade stora delar av Världen belagt Boeing 737 MAX med flygförbud. Några dagar senare belades planet med flygförbud även i Kanada och USA.

Borde 737 MAX ha tagits fram?
Några argument för och emot.

För:
– Den räddade Boeing från att förlora en storaffär med AA till Airbus.
– Utvecklingen gick snabbt genom att det var "uppgraderingar" av ett gammalt plan.
– Kostnaden var en bråkdel av kostnaden för att ta fram ett helt nytt plan.
– En 737 NG-pilot skulle kunna flyga 737 MAX efter ett par timmars självstudier.
– Att få ett uppgraderat plan typgodkänt är enklare än att få ett helt nytt plan godkänt.

Mot:
– Arbete pågick redan på Boeing med att ta fram ett helt nytt plan, eftersom 737 var "föråldrat".
– Med en modern motor blev 737 MAX i vissa lägen instabilt.
– 737 har flugit sedan mitten av 1960-talet och är nog, som konstruktion, dags att pensionera.
– Liknande problem som dom som troligen orsakat olyckorna med JT610 och ET302, har rapporteras av fler piloter, i bl.a. USA och Kina.

För att ge 737 MAX prestanda som krävdes och så att det skulle kunna konkurrera med Airbus 320 neo, som var på väg att bli en storsäljare, försågs planet med moderna, stora motorer. För att dessa skulle få plats placerades dom längre fram och högre upp. Den stora diametern och placeringen bidrar till att motorn i vissa manövrar kan dra planets nos uppåt.

Instabiliteten hos 737 MAX
Flygplan ska vara stabila i bemärkelsen att när man t.ex. drar i spaken och höjer höjdrodret för att stiga så känner man att det tar emot. Släpper man efter så går spaken och höjdrodret tillbaka och stigningen minskar.
Instabiliteten hos 737 MAX består i att vid en viss anfallsvinkel (AoA, vinkel mellan luftflöde och vingens korda) så blir lyftkraften i motorernas kåpor så stor att planet vill fortsätta stigningen, motkraften i roder och spak upphör och kan t.o.m. dra åt fel håll, och det är risk för att den fortsatta nose-up-rörelsen orsakar en överstegring (stall).
En sådan egenskap är farlig, om situationen uppkommer. Ett flygplan kan inte bli typgodkänt med en sådan egenskap.
Programfunktionen MCAS lades därför till. MCAS känner AoA och när värdet närmar sig den gräns då nose-up-rörelsen kan fortsätta mot en överstegring. För att förhindra att 737 MAX kan nå till den kritiska gränsen trimmar MCAS då stabilisatorn för nos ner. Trimningen skulle ske upp till 2,5° under 9,26 sekunder. Därefter följer en 5 sekunder paus och om MCAS indikerar att villkoret för att trim ska ske, hög AoA, kvarstår, så fortsätter trimningen igen, upp till 9,26 sekunder.
Om MCAS trimmar fel, t.ex. som en följd av felaktig signal från AoA-givare, så kan stabilisatorn trimmas till ändläget. Då kan inte piloten hålla emot den dykning som uppkommer med höjdroder, dvs. genom att dra i spaken.
Om besättningen i cockpit identifierar en felaktig trim så kan dom tillfälligt hejda den med manuell eltrim med knappar på styrspaken. När dom släpper knappen på styrspaken kan felaktig trim fortsätta. Elektrisk trim kan också stängas av helt med en strömbrytare. Om så sker måste all trim sedan göras manuellt, med hjulen eller vev på hjulen. Det är tungt och tar lite tid. Då upphör också speed trim, som normalt används, att fungera.

Tveksamheter när det gäller typgodkännandet av Boeing 737 MAX
Proceduren är att Boeing utvecklar, testar och dokumenterar. FAA följer och granskar hela processen och godkänner till slut att ett plan får flyga.
För 737 MAX var proceduren avsevärt förenklad eftersom 737 redan fanns och var typgodkänd. Då var det i huvudsak förändringarna i förhållande till tidigare modell som skulle godkännas.
FAA har tydligt, i samband med 737 MAX, sagt att dom inte har resurser att göra allt som dom vill göra och därför delegerar en hel del av testförfarandet till Boeing.
Jag misstänker också att en kunskapsobalans kan ha betydelse. Boeing vet mycket mer om t.ex. programfunktioner som MCAS än vad FAA vet. Ändå är det FAA som ska godkänna funktionen.
Det har också framförts att det föreligger en intressekonslikt (conflict of interest) för FAA. Dom ska garantera säkerheten, men dom ska också främja flygindustrin i USA.
Allt detta utreds nu av både kongressen och NTSB. Vi får se vad det leder till.

Likheter mellan Lion Air JT610 och Ethiopian Air ET302
– Båda kraschade kort efter start, ca 11 respektive 6 minuter.
– Jackscrew, en stor skruv som vrids vid stabilisatortrim, återfanns i "unusual position" efter båda olyckorna. Troligen i ändläge "nose down".
– Båda planen följde en märklig höjdkurva som tyder på problem att manövrera i höjdled.
– Båda besättningarna rapporterade problem med att kontrollera planen och begärde att få gå tillbaka till flygplatsen dom startade från.
– Båda planen har gått brant ner i havet respektive marken.

Båda olyckorna ser ut att vara följden av en "runaway trim" som MCAS kan ha orsakat.

En preliminär rapport om JT610 kom i november och vi har en hel del information från recordrar och vittnesmål.
När det gäller JT610 så vet vi att planet flygningen innan, JT43, hade problem av liknande slag. Då fanns en tredje pilot i cockpit, som identifierade vad som pågick och förslog att eltrim skulle stängas av. Det rapporterades som problem med speed trim eftersom varken pilot eller tekniker kände till funktionen hos MCAS. Planet testades, kanske med den fungerande AoA-sensorn, rapporterades OK och flögs dagen efter med den felaktiga AoA-sensorn. Vi vet också att besättningen på JT610 under den korta färden gjorde över 20 försök att motverka automatisk trim.
När det gäller ET302 vet vi ännu så länge mindre eftersom det inte finns någon preliminär rapport tillgänglig och nästan inget om innehållet i flightrecordrarna har släppts.

Förbättringar av 737 MAX
Nu håller Boeing på att testa och förbereda uppgraderingar av MCAS som ska testas av FAA och sedan, om dom godkänns, levereras till kunder. Om allt går bra kan flygförbuden vara hävda om någon månad. Om FAA godkänner 737 MAX i USA så måste ju också EASA i Europa och motsvarande organ i andra delar av världen godkänna uppgraderingen innan flygförbudet kan hävas överallt.

Så här beskrivs förbättringarna i korthet (2019-03-27).

737 MAX Key Changes
– Input from both AoA sensors
– If sensors disagree by more than 5.5°, MCAS is disabled
– Indicator to alert pilots about sensor disagreement
– Crew maintains manual control

Den sista punkten innebär att MCAS inte ska få trimma stabilisatorn så långt att det blir omöjligt för piloten att häva dykningen genom att dra i spaken.

Utbildning
Initialt utlovade Boeing att 2,5 timmar på dator eller med läsplatta skulle räcka för att en 737 NG-pilot skulle kunna flyga 737 MAX. Nu rekommenderar Boeing ett 21-dagars utbildningsprogram, med instruktör och simulator.

Training
«To earn a Boeing 737 type rating, pilots must complete 21 or more days of instructor-led academics and simulator training. Differences training between the NG and MAX includes computer-based training (CBT) and manual review.

Boeing has created updated CBT to accompany the software update. Once approved, it will be accessible to all 737 MAX pilots. This course is designed to provide 737 type-rated pilots with an enhanced understanding of the 737 MAX Speed Trim System, including the MCAS function, associated existing crew procedures and related software changes.

Pilots will also be required to review:

Flight Crew Operations Manual Bulletin
Updated Speed Trim Fail Non-Normal Checklist
Revised Quick Reference Handbook»

En nyhet för mig där är att dom nämner "737 MAX Speed Trim" på ett sätt som om den är annorlunda i 737 MAX i förhållande till t.ex. 737 NG.

När kan det ursprungliga problemet, instabiliteten, ställa till problem?
Den diskussionen har helt kommit i skymundan av diskussionen om MCAS runaway trim.
Jag söker svaret på tre frågor:
– Exakt hur ska 737 MAX manövreras för att instabiliteten ska uppstå?
– Hur troligt är det att instabiliteten uppkommer och ställer till problem?
– Kommer den uppgraderade MCAS att lösa problemet med instabilitet lika bra som MCAS gjorde innan uppgraderingen?

(fortsättning i nästa inlägg)

–

(Fortsättning från föregående inlägg)

Kartläggning av flygningarna
För att det ska vara lättare att se och jämföra de onormala höjdrörelserna har jag gjort grafer som visar planens väg och dom onormala höjdrörelserna efter start för JT43, JT610 och ET302.

JT43 flygväg
https://ibb.co/61hzSyc

JT43 hastighet, höjd och RoC för inledningen av flygningen
https://ibb.co/CHnxTJL

JT610 flygväg
https://ibb.co/F6NH0SX

JT610 hastighet, höjd och RoC
https://ibb.co/JtfVsRW

ET302 flygväg
https://ibb.co/KbRrxcp

ET302 hastighet, höjd och RoC
https://ibb.co/dj93nbQ

Mer information om hur detta är gjort finns här,
(FB) Flygplan i Indonesien har kraschat 178 saknade: Lion Air Flight JT 610 (18-10-29)
och här:
(FB) Ethiopian Airlines på väg till Nairobi har störtat 10/3-19

–

Rörande om att femton pajjar så är det till att flyga själv, skills är aldrig fel.

Men annars, jag hoppas du var med på mitt inlägg för vad som krävs av ett system om man ska kunna lita på det.

Den sista punkten kan bli svår att garantera då farten kan göra att endast trimmen fungarar, dvs rodren orkar inte röra sig men det gör trimmen tyvärr.

Bankning
Du var tidigare inne på vad en sväng kunde ha för betydelse.
Det fick mig att bl.a. undra över den här formuleringen.

MCAS activates automatically when:
– Angle of attack is high
– Autopilot is off
– Flaps are up
– Steeply turning

Det är ju uppenbarligen inte så att alla dessa fyra villkor måste vara uppfyllda. Om vi då har "Steeply turning", vilka övriga villkor måste vara uppfyllda då? Kan t.ex. MCAS aktiveras vid brant sväng även om inte flaps är uppe?

Både JT43 och JT610 svängde ca 180° kort efter start. Kan det ha aktiverat MCAS även om inte flaps var uppe.

Om "fixarna" till MCAS som nu är på G
Om jag skulle beskriva två av fixarna på enkel svenska så skulle jag skriva så här.

Det finns två AoA-sensorer. Om skillnaden mellan de värden som fås från dessa är för stor så ska inte MCAS aktiveras.

MCAS ska inte kunna trimma planet så att det går i backen, även om piloten har spaken i magen.

Det är alltid lätt att vara efterklok, men hur i h-e ska man förklara att Boeing inte gjorde detta från början?

–

Pengar och tid tror jag är förklaringen men jag hoppas du läste mitt inlägg vad som gäller i ett säkerhetskritiskt system, dvs att aktivera båda AoA sensorerna betyder att MCAS kommer att stängas av betydligt oftare än om man bara har en och gör någon typ av filtrering i syfte att veta om värdena är rätt, en sådan görs garanterat redan idag.

Dom ökade från 0,6 -> 2.5 grader per justering, det var nog inte en chansning, troligen rapporterade piloterna som testade ut det att man inte hinner stoppa en stall i vissa situationer om man bara justerar 0,6 grader.

Men det är glömt nu, nu gäller det att släcka en betydligt större brand.

Det gäller att dom gör rätt nu, går en till i backen då är det kanske adjöss med Boeings civila sida i USA, då får dom hålla sig till Brasilien och Embraer.

Med den olycksstatistik som dom har nu så kommer 97 plan att krascha under de kommande 10 åren.

Jag gissar att du menar den här punkten?

– MCAS can never command more stabilizer input than can be counteracted by the flight crew pulling back on the column. The pilots will continue to always have the ability to override MCAS and manually control the aeroplane.

Tänker du på ET302 som hade hög fart och därför inte kunde dra upp höjdrodret mer än lite?

Skulle då ändå dom andra åtgärderna som är på G ha räddat ET302?

Om inte, vad är det i så fall som krävs, utöver föreslagna åtgärder?

–

Ja precis det jag tänkte på.

Men vad som krävs för att flygplanet skall flyga bra vet jag inte, jag vet bara vad som krävs för att sensorer och styrsystemet ej skall fallera, det som egentligen behövs idag med sådana här flygplan är FBW, då blir allt integrerat nu är det ett läpptäcke jämför med ett annat känt bolag från Seattle Microsoft

Jag har också tänkt lite på det där med statistik. Jag uppskattar lite.
Två krascher på drygt fyra månader och ca 300 plan.
Med en leveranstakt om 60 plan per månad blir det 720 levererade plan om året.
Om ett år finns det 1000 plan. Med samma statistik, ca 6 krascher/4 månader, ca 18/år.
Om fyra år finns det drygt 3000 plan. Med samma statistik, ca 18 krascher/4 månader, ca 54/år.
En i veckan...

Med den statistiken är det märkligt att "groundningen" efter ET302 tog flera dagar...

–

Bakgrunden till det är nog att Boeing är USA sista flygplanstillverkare, att stoppa dess produkter satt såklart långt inne för USA som försöker kontrollera hela världen.

Bilindustrin deras är en katastrof och har sett samma utveckling som flyget.

Det går utför, så självklart är detta ett gigantiskt bakslag för den amerikanska självkänslan, säkerligen är folk där skitless på korruptionen inom bolag och politik som ligger bakom allt detta.

Har man en för stor hemmamarknad som man lever av klarar man inte konkurrensen på sikt.

Tack, fina grafer och samtidigt skrämmande när man ser saker i ett diagram.

Kommer att bli intressant när det kommer en film om dessa två krascher.

Ja självklart så kan man inte åstadkomma vare sig säkra, billiga eller bränslesnåla plan om man försöker lösa säkerhetsfrågan med separata "nödsystem" som baserar sig på en enda parameter i taget.

Det blir ett steg bakåt. En pilot har en massa information från olika mätare, balansorgan, känsla i roder och allt möjligt. Han kan omdedelbart sortera bort ett gravt felaktigt sensorvärde.

Varför man inte skulle låta automatiken få samma kombination av en hel mängd parametrar att arbeta med är obegripligt. Det är inte rocket science att programmera en dator så att den kan förstå vilken av många värden som är tokigt och sortera bort det. Visst kräver det ett omfattande arbete och noggrann eliminering av buggar osv men för varje förbättring så har man gjort jobbet en gång för alla och överför det till alla flygplan direkt. Det är effektivare än att träna varje pilot från början.

Man behöver prinicipiellt inte ens ha "fbw" om man är så angelägen om att det skall sitta en pilot och dra mekaniska spak- och vajer system precis som för hundra år sedan.

Man kan fortsätta att vid behov vägleda/styra piloten rent fysiskt via kontrollerna när han ger inputs som inte är inom envelopen. Det viktiga är då att detta övervakningssystem faktiskt blir lite "smartare" och integrerara och sorterar information så att de inte panikreagerar på ett enda felaktigt värde när allt annat talar i annan riktning.
Airbus måste naturligtvis gå samma väg. De kan inte plötsligt slå av all automatik bara för att ett sensorvärde är fel.

Blir planen tillräckligt svårflugna p g a kostnadskrav, bränslesnålhet osv blir det iofs lite fånigt att låtsas att piloten kan flyga planet själv. Till slut har man ett styrsystem som reglerar möjliga inputs så mycket att kontrollerna bara kan röras i mycket begränsade mönster i varje stund.

Det blir som en ookordinerad unge som aldrig kan lära sig cykla själv och mamman får springa bakom och vara beredd att hindra att ungen ramlar i all evighet. Ge ungen en Hoverboard istället och låt datorn ta hand om balansen. Det blir roligare för både mamma och ungen.