Warum akzeptieren Passagierflugzeuge Eingaben, die dazu führen, dass das Flugzeug gefährliche Manöver durchführt, für die es nicht ausgelegt ist?

Im Allgemeinen mögen es Piloten nicht, wenn ein Computer ihre Aktionen interpretiert oder einschränkt. Sie wollen die letzte Kontrolle. Sie bekommen das nicht immer durch, aber das ist ihre Präferenz.

Wenn ich mich richtig erinnere, neigt Boeing dazu, an der Philosophie festzuhalten, dass "der Pilot der letzte Schiedsrichter ist". Airbus wird eher Piloteneingaben vorwegnehmen und sie modifizieren.

Obwohl die meisten Abstürze und Zwischenfälle auf Pilotenfehler zurückzuführen sind, gibt es einen schwerwiegenden Fehler bei der Änderung von Piloteneingaben. Dieser Fehler tritt im Falle eines Systemausfalls auf.

Fehlermodi beinhalten per Definition Dinge, die schief gehen. Wenn etwas schief geht, ist es praktisch unmöglich, in der Automatisierung für alle Eventualitäten zu planen. Menschen können viel besser auf das Unbekannte reagieren als Automatisierungssysteme.

Nehmen Sie zum Beispiel die Regel, dass "Böschungswinkel > 45 Grad gefährlich und daher verboten sind". Woher weiß das Flugzeug, dass der Querneigungswinkel > 45 Grad ist? Nun, es ist natürlich ein Sensor, aber was ist, wenn der Sensor ausgefallen ist? Ein ausgefallener Sensor signalisiert entweder, Maßnahmen zu ergreifen, wenn keine erforderlich sind, oder signalisiert nicht, wenn Maßnahmen erforderlich sind. Was ist, wenn die Steuerflächen ausgefallen sind und das Flugzeug den Querneigungswinkel nicht korrigieren kann?

Die übliche Antwort darauf sind redundante Systeme, hochzuverlässige Teile und Design usw. All das ist natürlich großartig und hilft sicherlich sehr. Wir haben jedoch immer noch Zwischenfälle und Unfälle.

Am Ende stellt sich die Frage: Wem vertraust du mehr? Pilot oder Maschine? Und Statistiken und Wissenschaft helfen Ihnen hier nur teilweise. Die Erfahrung, Vorurteile und Gefühle einer Person können viel darüber aussagen, wie sie antwortet. Und unter „Person“ versteht man, dass ich die Kunden, die zahlende Öffentlichkeit, einschließe.

Die Philosophie ist, dass der Pilot es am besten weiß. Wenn sie ein Manöver machen müssen, sollte ihnen vertraut werden, dass sie dies tun.

Obwohl es absolute Grenzen wie die Struktur gibt, sind andere Grenzen weniger genau und hängen von den Bedingungen ab (und sogar die Struktur ist so gebaut, dass sie zusätzlichen Spielräumen, Ausfällen und Schäden standhält). Etwas, das als „Aufregung“ bezeichnet wird, ist sicherlich keine Routine, aber es ist auch nicht unbedingt tödlich und kann verwendet werden, um mit bestimmten Situationen umzugehen.

Ein wichtiger Grund für abrupte Manöver wäre das Ausweichen vor einem Hindernis. Im Fall von Gelände wäre dies im Allgemeinen ein steiler Anstieg oder möglicherweise eine steile Kurve. Dies könnte aber auch ein anderes Flugzeug sein, in diesem Fall möchte der Pilot vielleicht schnell absteigen.

Konzentrieren wir uns einfach auf die Rolle. Derselbe Befehl, der verwendet werden kann, um das Flugzeug von einem Rollwinkel von 0° auf 30° zu rollen, kann verwendet werden, um es von 30° auf 60° zu rollen. Wer entscheidet, in welchem ​​Rollwinkel sich das Flugzeug befindet und dass von nun an keine Rollkommandos mehr akzeptiert werden?

Ein computergesteuertes FCS , natürlich, wenn wir entscheiden, dass den Piloten nicht vertraut werden kann. Aber können wir dem FCS mehr vertrauen? Was wäre die Grundlage dafür, den richtigen Rollwinkel zu ermitteln?

1. Gyros? Sie müssen hin und wieder kalibriert werden, da alle Kreisel driften. Manche mehr, manche weniger, aber keine Technologie kann verhindern, dass sie gefährlich falsche Messwerte anzeigen, wenn sie lange genug laufen.

2. Beschleunigungsmesser, die den Gravitationsvektor anzeigen? Sobald das Flugzeug eine koordinierte Kurve fliegt , sollte offensichtlich sein, dass sie nur vom Auftriebsvektor weg zeigen. Kein Würfel.

3. Radarhöhenmesser an den Flügelspitzen? Fliege hoch genug und sie werden nutzlos. Das mag im Tiefflug funktionieren, aber nicht in allen Flugphasen.

4. Kamera und Bildverarbeitung, um die Einstellung zum Horizont zu finden? Funktioniert nachts oder bei Nebel nicht mehr.

Ich könnte die Liste noch verlängern, aber mittlerweile sollte klar werden, dass das nicht so einfach ist, wie es sich anhört. Insbesondere das FCS-Design für autonome UAVs ist ziemlich knifflig und muss die Eingaben verschiedener Sensoren korrelieren, um einen Horizontalflug zu ermöglichen. Dies wurde Aurora Flight Sciences beim Flugtest ihres Perseus-A-Prototyps auf die harte Tour beigebracht. Das Team verließ sich allein auf den Kreisel und bemerkte nicht, dass der Sensor wegdriftete und immer steilere Querneigungswinkel befahl. Als das Flugzeug zerfiel, bemerkte das Team nicht einmal sofort, was passiert war, denn der maximale Sinkratenwert auf dem Flugdaten-Downlink entsprach nur 20 m/s – es blieb einfach bei -1023 Zählern hängen. Der Flugzeugprototyp wurde bei dem Unfall vollständig zerstört .

Perseus A vor seinem letzten 21. Flug.

Ich denke, dies ist das letzte Forum im gesamten Internet, in dem erklärt werden muss, dass es dumm ist, sich auf perfekt funktionierende Software zu verlassen. Irgendwie sind menschliche Piloten immer noch besser darin, unvorhergesehene Schwierigkeiten zu lösen, aus denselben Gründen, aus denen sie manchmal auf unerklärliche Weise Fehler machen.

Die meisten neuen Designs akzeptieren solche Eingaben nicht . Dazu gehören:

• Airbus-Modelle ab A320 (einschließlich A318 und A319, die Varianten von A320 sind).
• Boeing-Modelle B777 und B787.
• Suchoi SuperJet Su100.

Airbus hat eine Rollbegrenzung von 65°, nicht 45°, aber es kehrt automatisch auf höchstens 33° zurück, ohne konstanten Druck auf den Steuerknüppel. Ich kann kein explizites Pitch-Limit finden, aber es hat ein Alpha-Limit (Anstellwinkel, abhängig vom Typ, 17 ° für A320, Neigung nach unten, um es nicht zu überschreiten), Höchstgeschwindigkeit und Mach-Limit (Neigung nach oben, wenn überschritten) und minimale und maximale Flächenbelastung (vertikale Beschleunigung, -1 G bis +2,5 G sauber, 0 G bis +2 G mit Landeklappen)

Dem Piloten muss über alles andere vertraut werden (und selbst Airbus-Flugzeuge akzeptieren jede Eingabe im direkten Recht, das normale Recht gilt nicht immer). Während des Fluges kann es zu unvorhergesehenen Situationen kommen. Computer können nicht mit jeder ungewöhnlichen Situation umgehen.

Ein gutes Beispiel für eine solche Situation ist der FedEx-Flug 705 . Die Piloten wurden von einem Entführer mit einem Vorschlaghammer angegriffen. Sie wären wahrscheinlich tot, wenn nicht die extremen Manöver versucht worden wären. Sie haben ihr DC-10-Flugzeug weit über seine Grenzen hinausgetrieben (Querneigungswinkel bis zu 140°, Übergeschwindigkeit nahe Mach 1,0). Hätte der Computer sie daran gehindert, wäre das Flugzeug vielleicht abgestürzt und sie wären alle tot.

Als Linienpilot (und Testpilot) behalte ich mein Flugzeug gerne unter Kontrolle (wie alle anderen Linienpiloten auch). Es gibt die Boeing-Schule und die Airbus-Schule. Boeing-Flugzeuge werden Sie warnen, nicht in diese Umschläge zu gelangen. Airbus erlaubt Ihnen nicht, in dieses Regime einzusteigen (Umschlagschutz). In jedem Fall können Sie dies außer Kraft setzen, indem Sie Gesetze ändern oder Flugcomputer trennen. In extremen Fällen, in denen die Situation verzweifelt ist, werde ich nicht zögern, den Computer außer Kraft zu setzen und in die extremen Umschläge zu gehen, wenn ich Leben retten muss. Denken Sie daran, dass in der Luftfahrt alles mit einem Sicherheitsfaktor von teilweise 30 % bis 60 % ausgelegt ist.

Um Ihre Frage zu beantworten: Sie sind auf FL370, trinken Kaffee, Sie haben ein Feuer an Bord. Das Flugzeug begrenzt Ihre vertikale Geschwindigkeit und Geschwindigkeit während des Sinkflugs (oder Querneigungswinkel, wenn Sie umkehren möchten). Wären Sie mit solchen Einschränkungen einverstanden? Ich selbst, nein. Wir werden vorne viel Geld bezahlt, um Entscheidungen zu treffen.

Zweites Szenario (gefälscht). FL340, Kreuzfahrt, Ihr TCAS ist ausgefallen, aber Sie wissen es nicht (wie ich schon sagte, es ist ein gefälschtes Szenario). Plötzlich siehst du den anderen Kerl auf dich zukommen. Gleich FL. Aber Ihr Computer sagt "Entschuldigung, Sie können wegen des G-Schutzes nicht stark ziehen", Sie schlagen den anderen Kerl: Sie sind legal tot, weil Sie die Flugzeugzelle nicht belastet haben.

Letztes Beispiel: Kurz nach dem Abflug zu einem 16-stündigen Flug haben Sie Feuer in der Fracht. Die Feuerlöschanlagen sind erfolglos. Sie müssen landen, aber Sie können nicht, weil Sie übergewichtig sind (mindestens 100 Tonnen würde ich sagen). Was würden Sie tun?

Ich hoffe, ich habe etwas zu Ihrer Frage ausgelöst. Übrigens bin ich auf 777.

Ein paar Gründe, aber im Wesentlichen läuft es darauf hinaus, „weil es manchmal das kleinere von zwei Übeln sein kann“

1. Instrumente gehen schief. Pitot-Rohre brechen, Gyroskope drehen schief usw. Manchmal weiß es der Pilot wirklich am besten. Autopiloten schalten ab, wenn sie sich nicht sicher sind, was sie tun sollen, dasselbe gilt für Autopiloten, die die Steuerung in einem Fly-by-Wire-Setup einschränken ... was passiert, wenn das Flugzeug denkt, dass es abwürgt, es aber nicht ist? Es versucht zu verhindern, dass die Nase angehoben wird, oder senkt die Nase tatsächlich ab, bis das Flugzeug den Boden berührt.

2. Ein "praktisch garantierter Strömungsabriss" könnte eines Tages eine bessere Option sein als eine "tatsächlich garantierte Kollision" - wenn Sie sich entscheiden, hart hochzuziehen oder in einen Berg zu fliegen, werde ich mein Risiko eingehen und versuchen, mich von einem Strömungsabriss zu erholen.

1 ist unwahrscheinlich (und wenn man bedenkt, wie oft Flugzeuge unter IFR fliegen, würde es den Piloten wahrscheinlich genauso beeinflussen wie den Autopiloten), 2 ist wahrscheinlich noch unwahrscheinlicher, aber ist die Situation, die Tausende von "Warum kann der Pilot nicht über- mit dem Autopiloten fahren?" Fragen.

Letztendlich misstrauen die Menschen Computern immer noch. Sie mögen es in 99,9999 % der Fälle richtig machen, aber sie können immer noch nicht wie ein Mensch "schnell denken".

Nun gibt es Elemente davon bereits im Flugzeugdesign. Zum Beispiel haben alle modernen Verkehrsflugzeuge akustische/visuelle Warnungen, wenn gefährliche Situationen auftreten (hohe Sinkraten, Überziehwarnungen usw.). Und Airbus geht noch weiter und verwendet „Fly-by-Wire“-Steuerungen, die tatsächlich die meisten „normalen“ Stall-Situationen im sogenannten „Normalgesetz“ verhindern. Airbus gibt dem Piloten jedoch die endgültige Kontrolle, wenn der Computer sich der Situation nicht zu 100 % sicher ist.

Eine andere zu berücksichtigende Sache ist, dass das Wissen, das zum Steuern des Flugzeugs erforderlich ist, mit der Verwendung solcher Systeme zunimmt.

Vor einigen Jahren wäre es in Deutschland beinahe zu einem Flugzeugabsturz gekommen (siehe dieses Video , das die Landung zeigt), als ein Flugzeug bei starkem Seitenwind landete. Das Problem war, dass die Flugsteuerung unterschiedlich reagierte, wenn das Flugzeug den Boden berührte oder nicht. Das war den Piloten nicht bekannt. Sie haben die Situation gemeistert, aber es hätte für sie einfacher sein können, dieses Verhalten zu kennen. Dieses Verhalten war nicht einmal im Handbuch dokumentiert.

BEARBEITEN:
Aus dem Untersuchungsbericht (Dank an @DeltaLima): Abschnitt 3.1

Das spezifische Ansprechverhalten der Flugsystemsteuerung bei einer Landung mit böigem Seitenwind konnte den Piloten nicht bewusst sein und konnte diese daher nicht in ihre Entscheidungsfindung einbeziehen.

Und später in diesem Abschnitt

• Als das linke Hauptfahrwerk zum ersten Mal die Landebahn berührte, erfüllte der Zustand des lateralen Steuerungssystems alle Anforderungen für den Übergang vom Flight Mode zum Ground Mode, sodass das System vom lateralen Flight Mode zum lateralen Ground Mode wechselte, obwohl das Flugzeug war noch einmal in die Luft.

• Das Flugzeug war so konstruiert, dass sich die Wirkung der Seitensteuerung (entlang der Längsachse) um etwa die Hälfte des Vollausschlags verringerte, sobald ein Hauptfahrwerk aufsetzte.

• Die reduzierte Wirkung von Kontrollen war in der Systembeschreibung nicht dokumentiert und den Piloten bzw. der Ausbildungsabteilung nicht bekannt.

• Während der Landung trug das Systemverhalten des Luftfahrzeugs zu einer von den Piloten ungewollten und ungewollten Fluglage bei und eine Bodenberührung mit der Flügelspitze konnte nicht mehr verhindert werden.

Eines der Probleme bei kommerziellen Flugzeugen ist die schiere Anzahl von Flugstunden, die ein bestimmter Flugzeugtyp durchlaufen wird, und die große Anzahl unterschiedlicher Bedingungen und Ausfälle, die während all dieses Fliegens unvermeidlich auftreten werden.

Ich hatte die Aufgabe, die Software zu schreiben, die die Kontrollgesetze für die Schwerpunktmanagementsysteme mehrerer dieser Bestien validierte. Es gibt wirklich keine Möglichkeit, alle möglichen "Flugmodi" vollständig zu analysieren. Das FCGMS-System war nicht ganz in der gleichen Kategorie wie die Flugsteuerung, aber es WAR ein „sicherheitskritisches System“. Es war viel Validierung erforderlich, und dies war nur ein reiner Funktionstest, nicht die ganze große Auswahl an Tests auf Einheitenebene, die in die Flugsoftware einflossen. Die Sache ist, dass Sie 20 Kisten in diesen Flugzeugen haben, die alle wichtige Dinge erledigen, alle von verschiedenen Leuten gebaut wurden usw.

Am Ende muss jemand in der Lage sein, den Stock zu fassen und PULL UP! wenn es erforderlich ist und eine direkte Antwort erhalten. Es stimmt, dass diese Fähigkeit oft nachteilig sein kann, aber Sie können und werden niemals in der Lage sein, Code vollständig zu analysieren und zu wissen, was er tun wird, wenn Teile aus dem Flugzeug fallen.

Betrachten wir dies aus einem anderen Blickwinkel. Manchmal ist es nicht nur die Eingabe des Piloten, die das Flugzeug in eine unsichere Lage bringen würde. Wenn nun das Flugzeug durch externe Kräfte in eine starke Querlage gezwungen wird, klettert oder taucht, aber der Pilot ist in seiner Reaktion auf das Flugzeug eingeschränkt, um sich anzupassen ....

Denken Sie auch an Hochnebel und Kommunikationsprobleme. und zwei Flugzeuge sind in Kollisionsgefahr. Das Flugzeug sagt zum Piloten: "Nein, Sie können keine Bank einzahlen, weil uns das gefährden würde."

Unter normalen Flugbedingungen möchten Sie innerhalb der Betriebsparameter fliegen. Aber wenn das sprichwörtliche Zeug den Ventilator trifft, wollen Sie die volle Kontrolle, um zu versuchen, eine Tragödie zu vermeiden.

Ihre Frage kann durch ein einfaches Argument der Reduktion ad absurdum beantwortet werden. Wenn das Flugzeug wusste, welche Eingaben sicher waren, warum sollte es dann überhaupt einen Piloten geben?

Tatsächlich fliegen moderne kommerzielle Flugzeuge bereits weitgehend automatisch, und sie verfügen über Mechanismen, um potenziell gefährliche Eingaben zu vermeiden. Das Problem ist, dass die Fehlererkennung schwierig ist, da das System (gemäß der Fehlerdefinition) keine gültigen Daten hat, um Entscheidungen zu treffen, wenn etwas fehlgeschlagen ist. Es ist der gleiche Grund, warum verrückte Menschen vielleicht nicht wissen, dass sie verrückt sind. Der Pilot ist dazu da, angesichts von Unklarheiten Entscheidungen zu treffen.

Natürlich trifft auch der Pilot manchmal die falsche Entscheidung und das Flugzeug stürzt ab. Siehe Air France 447 .

Aber häufiger treffen sie die richtige Entscheidung, und alle leben. Siehe den Gimli-Gleiter .

Im Allgemeinen sind Begrenzer optimiert und konstruiert, um eine bestimmte Funktion oder Rollenbeziehung zu erfüllen, wie z. B. den Airbus-Vollsteuerknüppel achtern, um die maximale AoA während der Geländevermeidung zu erreichen. Allerdings sind nicht alle Begrenzer narrensicher, trotz der Werbung der Hersteller. Grenzwerte können überschritten werden, je nachdem, wie die Begrenzerfunktionen und das FCS implementiert sind, z. B. durch dynamische Manöver wie wiederholtes Schieben und Ziehen mit angemessener Häufigkeit oder plötzliche Manöver mit Geschwindigkeiten, für die das FCS nicht ausgelegt ist, oder in degradierten Flugmodi. Obwohl diese Möglichkeiten bestehen, sind sie normalerweise nicht relevant, da es sich hierbei um selten vorkommende Eckfälle handelt.

Über den AF-Unfall. Die Grundlagen des Fliegens: PITCH, POWER, PERFORMANCE. Das heißt, wenn etwas nicht stimmt, trennen Sie die gesamte Automatisierung und erhalten die manuelle Kontrolle über das Schiff. Der Schlüssel jenseits des PPP ist, dass Sie für fast jede gegebene Situation durch Anwenden einer Steigung, einer Leistungseinstellung und einer Konfiguration (Klappen, Vorflügel, Fahrwerk ...) Sie fliegen lassen. Mit der Automatisierung sind diese Dinge längst vorbei. Während eines Fluges schrieb ich jede Stunde Leistungseinstellung, Windrichtung, Temperatur (neben Treibstoff und anderen rechtlichen Dingen) auf. Wer einmal ohne Autothrust und mit Turboprops geflogen ist, weiß wie es ist.

Piloten wollen die Kontrolle über das Flugzeug haben. Wenn ich ein ATP wäre, würde ich persönlich aus genau diesem Grund niemals ein automatisiertes FBW-Flugzeug wie einen Airbus fliegen.

Sie müssen sich nicht in einer Dreh- oder Todesspirale befinden und dann herausfinden, dass Sie nicht herauskommen, weil "der Computer diese Eingabe nicht zulässt", und vertrauen Sie mir, wenn Sie in einem Flugzeug sind, das Sie in eine Drehung versetzt Ich möchte auf jeden Fall, dass der Pilot die VOLLE Kontrolle über das Flugzeug hat.

Sie denken vielleicht: Wenn der Computer das Flugzeug steuert, wird es niemals ins Trudeln geraten. Nicht so. Einige Gewitter können sehr schnell und unerwartet auftreten und sind so heftig, dass sie das Flugzeug in eine Drehung oder eine andere Lage zwingen können, auf die der Computer keine Chance hat, richtig zu reagieren. "Gute" Computer schalten sich an diesem Punkt selbst aus.

Die fortschrittlichsten FBW-Flugzeuge verfügen über eine Funktion namens „Automatisierte Wiederherstellung“, die es ihnen ermöglicht, sich von einigen Stall-Bedingungen automatisch zu erholen, aber unter extremen Bedingungen werden die Änderungen in der Fluglage so schnell passieren, dass Sie einen Menschen brauchen, um dies zu tun.