Warum verwendet die KC-46 zwei Sensoren für MCAS, wenn die 737 Max dies nicht tut?

Laut dem Artikel verwendet der KC-46 den dualen FCC/AoA-Sensor zur Berechnung beider FCC-Kanäle und zum Vergleich der Befehlssignale. Bei zwei widersprüchlichen Signalen gibt es keine Möglichkeit festzustellen, welches das richtige ist, und die übliche Abhilfe besteht darin, beide zu deaktivieren, den Piloten zu warnen und das entsprechende Besatzungsverfahren einzuleiten. Und das erfordert Training.

Der B737MAX wurde beworben, da er im Vergleich zum NG nur sehr begrenzte Unterschiede beim Training erforderte, sodass das Setup für den KC-46 nicht kopiert werden konnte. Das ursprüngliche Design von MCAS im B737MAX verwendete auch zwei Wandler zur Aktivierung - zwei verschiedene Arten von Wandlern, die beide über einem Schwellenwert liegen mussten, wie in dieser Antwort erwähnt . Das ursprüngliche Design des MCAS hatte nur eine begrenzte Autorität des 0,8-Grad-Stabilisators. Aus dem Absturzbericht von Lion Air 610 , Seite 204:

MCAS ist so konzipiert, dass es nur während des manuellen Fluges (Autopilot nicht aktiviert) mit hochgeklappten Klappen des Flugzeugs und einem erhöhten AOA funktioniert. Mit fortschreitender Entwicklung der 737-8 (MAX) wurde die MCAS-Funktion auf niedrige Machzahlen erweitert und auf die maximale MCAS-Befehlsgrenze von 2,5 der Stabilisatorbewegung erhöht.

Der Bericht besagt, dass Boeing in der Fehleranalyse den nicht befohlenen MCAS-Fehlerzustand als schwerwiegend eingestuft hat (der nicht mehr als einmal in 10 auftreten darf$^5$Flugstunden), statt Hazardous (1:10$^7$) oder Katastrophal (1:10$^9$), was tatsächlich einen einzelnen Wandlereingang ermöglicht. Nochmals aus dem Bericht, Seite 206:

Wenn die Wahrscheinlichkeit eines unerwünschten Fehlerzustands nicht unter der maximal zulässigen Wahrscheinlichkeit für diese Gefahrenkategorie liegt, sollte eine Neugestaltung des Systems in Betracht gezogen werden. Wenn der nicht befohlene MCAS-Ausfallzustand als schwerwiegender als schwerwiegend eingestuft worden wäre, hätte die Entscheidung, sich auf einen einzelnen AOA-Sensor zu verlassen, vermieden werden sollen.

Warum all dies für die B737 getan wurde, während die KC-46 zwei Sensoren verwendet, ist ein Konglomerat von Faktoren. Zwei Sensoren sind am besten. Zeitdruck für die Auslieferung des Flugzeugs, Druck der Airline-Kunden für Schulungen zur Begrenzung von Unterschieden, die Beobachtung, dass frühere Versionen von B737 mit kumulierten Flugstunden von 250 Millionen keine katastrophalen Ausfälle aufgrund eines Ausfalls des AoA-Sensors hatten (Referenz erneut aus dem Absturzbericht), alles führte dazu der vielleicht berechtigte Glaube, dass der eine Sensor ausreicht. Wenn von der Besatzung schnelle Maßnahmen ergriffen wurden, um den Fehler einzudämmen – der Fehler jedoch nicht rechtzeitig erkannt werden konnte. Nochmals Seite 206:

Während der Einzel- und Mehrfachfehleranalyse aus dem Worst-Case-Szenario des Flugdatensystems „Ausfall eines AOA gefolgt von fehlerhaftem AOA“ kam Boeing zu dem Schluss, dass die Auswirkung gefährlich sein würde, bis die Flugbesatzung das Problem erkannte und geeignete Maßnahmen ergriff, um es zu mindern. Da die Schulung oder Anleitung für Maßnahmen, die in einer solchen Situation ergriffen werden, nicht bereitgestellt wurden, hätte die Wirkungskategorie gefährlich bleiben müssen.

Da die FCC, die das MCAS kontrolliert, von einer einzigen AOA-Quelle abhängig ist, hätte der MCAS-Beitrag zu den kumulativen AOA-Effekten bewertet werden müssen.

Wir können nicht wissen, warum Boeing das getan hat, was sie getan haben, es sei denn, sie sagen es uns und angesichts der rechtlichen Implikationen, wenn man zu viel sagt, gibt es mehr Lärm als Signal. Ich kann mit den anderen über eine Antwort mit den anderen spekulieren.

Das 737MAX MCAS sollte dem Piloten bei bestimmten Manövern ein gewisses „Gefühl“ am Steuerhorn vermitteln. Von MCAS wurde erwartet, dass es geringfügige Korrekturen an der Trimmung vornimmt, dies selten, und es wurde erwartet, dass jeder Fehler wie eine außer Kontrolle geratene Trimmung oder ein anderer Fehler aussieht, für den die Piloten bereits in der 737NG geschult wurden. Dies wurde nicht als flugkritische Funktion angesehen und verwendete daher nur einen Sensor.

Bei der KC-46 bestand der Zweck von MCAS darin, die Verschiebung des Schwerpunkts zu mildern, wenn Treibstoff an andere Flugzeuge geliefert wurde. MCAS würde nahezu ständig in Betrieb sein, es hatte eine weitaus größere Kontrolle über die Leistung des Flugzeugs und verwendete daher zwei AoA-Sensoren für die Redundanz der Eingabe.

Soweit ich mich erinnere, diente die Entscheidung, nur einen AoA-Sensor zu verwenden, nicht dazu, die Arbeitsbelastung für die Entwicklung und das Testen zu verringern, sondern die Arbeitsbelastung der Computer im Flugzeug zu verringern, Computer, die für ihre Leistungsfähigkeit bereits eine beträchtliche Arbeitsbelastung hatten. Ein AoA-Sensor bedeutete, dass keine zusätzliche Rechenleistung benötigt werden musste, um einen Eingang mit dem anderen zu vergleichen.

Ich wünschte, ich könnte mich erinnern, wo ich das gelesen habe, aber jemand, der behauptete zu wissen, wovon er sprach, sagte, dass es möglich gewesen wäre, nicht nur einen AoA-Sensor mit dem anderen zu vergleichen, sondern auch den AoA von anderen Sensoren zu berechnen, um zu bestimmen, welcher Sensor es war gute Daten geben, wenn es Meinungsverschiedenheiten gab. Dies ist in der Tat ein "virtueller" AoA-Sensor, so dass es eine Abstimmung von 2 von 3 geben kann, was der richtige AoA ist. Außerdem soll dies möglich gewesen sein, ohne die Rechenleistung der 737MAX-Bordcomputer zu überschreiten. Angenommen, dies wäre möglich gewesen, hätte dies zusätzliche Arbeit bedeutet, um diese Software zu erstellen und zu validieren, dass sie sicher ist. Angesichts der Tatsache, dass Boeing einen engen Zeitplan hatte und MCAS von der FAA als nicht sicherheitskritisch eingestuft wurde, wurde diese zusätzliche Arbeit nicht durchgeführt.

Obwohl sich die AoA-Sensoren in allen 737MAX-Flugzeugen befinden, stehen diese Informationen der Besatzung nicht bei allen zur Verfügung. Die Besatzung würde nur dann über eine Fehlanpassung des AoA-Sensors informiert, wenn die Fluggesellschaft die Option für AoA-Anzeigen auf dem Flugdeck erworben hätte. Dies war anscheinend keine beliebte Option, nur wenige 737MAX-Flugzeuge hatten AoA-Anzeigen. Auch hier gibt es zwei AoA-Sensoren an allen 737MAX-Flugzeugen, aber nicht alle Flugzeuge hatten AoA-Anzeigen für die Besatzung, MCAS hatte diese Informationen, aber die Besatzung möglicherweise nicht.

Airbus sieht die AoA-Angabe offenbar anders. Sie bauen drei AoA-Sensoren in ihr Flugzeug ein, damit einzelne Sensorausfälle erkannt und korrigiert werden können. Auch hier wird behauptet, dass Boeing einen einzelnen AoA-Sensorfehler korrigieren könnte, indem es AoA aus anderen Sensoreingängen berechnet, aber sie haben sich dagegen entschieden. Es ist möglich, dass sie sich sowohl aus rechtlichen Gründen als auch aus praktischen und technischen Gründen dagegen entschieden haben. Wenn sie die Fähigkeit demonstrierten, AoA zu berechnen, um einen einzelnen AoA-Sensoreingangsfehler zu erkennen und zu korrigieren, könnte dies eine weitere Untersuchung dazu eröffnen, warum dies nicht zuvor getan wurde.

Boeing muss sich möglicherweise zurückhalten, wenn es behauptet, AoA sei eher „nett zu wissen“ als entscheidend für die Kontrolle des Flugzeugs, um nicht noch mehr Anwälte anzuziehen. Ich weiß nicht, wie wichtig es für einen Piloten ist, AoA zu kennen, da ich kein Pilot bin. Ich gehe davon aus, dass dies noch einige Zeit diskutiert wird.