Werden bei Verkehrsflugzeugunfällen mehr Todesopfer durch Pilotenfehler verursacht als durch automatisierte Funktionen?

Diese Behauptung ist mir aufgefallen:

Insgesamt sind diese automatisierten Funktionen ein Gesamtnutzen für alle. Sie verhindern einige der klassischeren Luftfahrtkatastrophen, die Piloten in diese Flugzeuge bringen können.

Frage

Stimmt es, dass Pilotenfehler bei Verkehrsflugzeugunfällen zu mehr Todesopfern führen als solche, die durch automatisierte Funktionen wie MCAS verursacht werden ?

Die Gründe, warum es mir aufgefallen ist, sind zweierlei:

  1. In den letzten Jahren gab es sehr prominente Unfälle mit automatisierten Funktionen
  2. Ich kenne nicht viele Fälle von Pilotenfehlern, die Unfälle bei kommerziellen Fluggesellschaften verursachen (obwohl ich das nicht genau verfolge).

Was ich bisher weiß

Ich bestellte eine Liste der Flugzeugunfälle und Zwischenfälle mit mindestens 50 Todesopfern nach absteigendem Datum und untersuchte die Abstürze der letzten 6 Jahre . Es ist leicht, zwei durch automatisierte Funktionen verursachte Fehler zu erkennen: Ethiopian Airlines Flug 302 und Lion Air Flug 610 , aber mir fehlt das Wissen, um zu sagen, welche anderen durch automatisierte Funktionen oder durch Pilotenfehler verursacht wurden. Hinweis: Ich habe nur 6 Jahre gewählt, weil das auf den Bildschirm passt, eine größere Stichprobe (vielleicht 25 Jahre) wäre viel strenger.

Hallo Steve, willkommen bei ASE. Ihre Frage ist schwer zu beantworten, da ein Grund allein sehr selten zu einem Unfall führt. Zufälligerweise wird ein Modell, das häufig verwendet wird, um die Gründe zu untersuchen, die zu Unfällen führen, manchmal von seinem offiziellen Befürworter James T. Reason (siehe Abbildung ...) als "Reason Model" bezeichnet, ein aussagekräftigerer Name ist das "Swiss Cheese Model". Unfälle sind im Allgemeinen Fälle, in denen eine Gefahr durch eine Reihe von Verteidigungsschichten schlüpft, die aus dem einen oder anderen Grund nicht richtig funktionieren. Typische Slices in der Luftfahrt sind der Pilot, Redundanz der Systeme selbst, Backup-Systeme etc...
Dies mag aufgrund des Präventionsparadoxons etwas unbeantwortbar sein: Wenn die Automatisierung in der Lage wäre, alle Pilotenfehler abzumildern, würde dies bedeuten, dass alle verbleibenden Unfälle auf das Versagen der Automatisierung zurückzuführen sind.
Ein Problem bei dieser Frage ist, dass Unfälle (nicht nur in der Luftfahrt) typischerweise mehrere Ursachen haben. Nehmen Sie zum Beispiel das scheinbar eindeutige Automatisierungsproblem mit MCAS. Ja, das Design von MCAS und die fehlende Dokumentation waren fehlerhaft; aber es gab auch (1) schlechte Wartung (unterdurchschnittliche Ersatzteile); (2) Unzureichende Ausbildung des Piloten. (3) Verwirrung des Piloten und Versäumnis, rechtzeitig und richtig zu reagieren. Dies wird wahrscheinlich bei den meisten Fehlschlägen ohne Bomben und Raketen der Fall sein.
Wie könnte jemand das wissen, wenn er nicht die zuständigen Luftfahrtbehörden um Unfallaufzeichnungen bittet? Bitte seien Sie sicher, diese Jungs führen Aufzeichnungen, mit so vielen Details, die Jo Average nicht glauben würde …
Beachten Sie, dass die meisten „automatisierten Fehler“ tatsächlich menschliche Fehler sind, da Menschen die automatisierten Systeme entworfen und hergestellt haben. Anders als die Piloten befinden sich diese Menschen natürlich normalerweise nicht im Flugzeug, wenn sie abstürzen.
Wenn Sie an diesem Thema interessiert sind, würde ich empfehlen, sich die Zeit zu nehmen und sich den klassischen Vortrag über Automatisierungsabhängigkeit Children of the Magenta Line (mehr über Autopiloten als neuere Systeme wie MCAS) von Captain Warren Vanderburgh von American Airlines aus dem Jahr 1997 anzusehen weder wirklich für noch gegen Automatisierung, sondern eher eine wirklich sinnvolle Diskussion darüber, wie wichtig es ist, den richtigen Modus und die richtige Automatisierungsstufe für eine Situation auswählen und verwenden zu können und die Fähigkeit zu haben, bei Bedarf auf niedrigere Automatisierungsstufen herunterzufahren .

Antworten (4)

„Automatisierungsfehler“ werden in allen Statistiken häufig mit allen anderen „mechanischen Fehlern“ in einen Topf geworfen. Diese Statistiken sind ziemlich leicht zu finden , untermauern aber absolut die Behauptung, dass Pilotenfehler weitaus mehr Unfälle verursachen als mechanisches Versagen

Wenn wir uns die Daten aus den 2010er Jahren ansehen (die neuesten in diesem Link oben, aber über die Jahrzehnte ziemlich konstant geblieben sind)

Pilotenfehler Mechanisch Wetter Sabotage Andere
57% 21% 10% 8% 4%

In den 2010er Jahren machten Unfälle mit Pilotenfehlern, die zu Todesfällen führten, mehr als der Rest aus.


Das wirft die Frage auf, warum Menschen das Sagen haben, wenn alles nur Fehler macht! Was ein logischer Trugschluss ist, was Sie aus den Statistiken nicht ersehen können, ist, dass der Mensch im Vorfeld immer eine Entscheidung getroffen hat, die einen Unfall verhindert hat. Es ist immer noch sehr schwierig (wenn nicht unmöglich), einen Computer so zu programmieren, dass er Entscheidungen in einer sich schnell ändernden/dynamischen Umgebung trifft.

Diese Statistiken sind interessant, aber es ist schwierig, sich darauf zu verlassen, da die Datenbank nicht die Ursache für jeden Unfall zeigt. Außerdem gibt es bei einem Unfall oft mehrere Ursachen. Nehmen Sie zum Beispiel AF477. Ist das ein Gerätefehler (die Pitotrohre froren ein und begannen, falsche Informationen zu geben) oder ein Pilotenfehler (räumliche Desorientierung und falsche Reaktion)? Auch ich zähle nur Unfälle, keine Todesfälle.
Etwas, das dem letzten Absatz hinzugefügt werden muss, ist, dass viele Unfälle, bei denen menschliches Versagen die Ursache war, auch auf eine Fehlfunktion eines bestimmten automatisierten Systems zurückgeführt werden können, wodurch die Menschen gezwungen sind, manuelle Maßnahmen zu ergreifen, an die sie jedoch nicht mehr gewöhnt sind. Es ist ein Paradoxon: Mehr Automatisierung bedeutet, dass weniger menschliches Eingreifen erforderlich ist, daher sammeln weniger Piloten Erfahrung beim manuellen Fliegen des Flugzeugs, und wenn etwas schief geht , sind sie weniger bereit, die Aufgabe zu übernehmen. IIRC Fuerza Aérea Uruguaya 571 ist ein Beispiel für einen solchen Unfall.
@jcaron: AF447 war definitiv ein Pilotenfehler. Der Grund, warum die Piloten da sind, ist genau die Situationen zu bewältigen, in denen der Computer nicht sicher ist, was er tun soll, einschließlich der Fälle, in denen ein Instrument ausfällt. Sie hatten ein perfekt funktionierendes Flugzeug mit einem einzigen Multifunktionssensor; Der fliegende Pilot verstand nie, was geschah, und die beiden anderen überwältigten ihn nie vollständig, alle drei ignorierten die Mehrheit ihrer Instrumente.
Deshalb, @Opifex, sind fahrerlose Autos so beängstigend. Wenn (nicht wenn) die Automatisierung versagt, wird der sowieso schon arme (zumindest amerikanische) Fahrer so weit aus der Übung sein, dass er keine Ahnung hat, was er tun soll.

Ja, die Flugbesatzung ist der Schlüsselfaktor bei den meisten Abstürzen . Aus diesem Grund sind zwei große Innovationen maßgeblich für den massiven Rückgang der tödlichen Unfallraten seit den 90er Jahren verantwortlich (mindestens seit über 20 Jahren gab es in den USA keinen Absturz eines schweren, mit Passagieren beladenen - denken Sie darüber nach es ... 20 Jahre, und das war ein vom Piloten verursachter Seitenruderschaden ).

Die erste und größte ist die Crew Resource Management- Theorie, die in den 80er Jahren im Westen eingeführt wurde. CRM war so erfolgreich, dass sich seine Konzepte weit und breit außerhalb der Luftfahrt verbreitet haben, von der Polizei bis zur Chirurgie. Das andere sind Flight Management Systems und die zweidimensionale Kartennavigationsanzeige, die durch das "Glascockpit" (ebenfalls in den 80er Jahren) ermöglicht wurde. Es ist schwer zu übertreiben, wie sehr 2D-Moving-Maps die Arbeitsbelastung der Besatzung in Terminalbereichen und bei Anflügen reduziert haben, indem sie die Abhängigkeit von den internen mentalen Fähigkeiten des Piloten zur „Kartenerstellung“ zur Aufrechterhaltung des Situationsbewusstseins verringert haben.

Durch Systemausfälle verursachte tödliche Abstürze sind äußerst selten, da das Systemdesign auf Zertifizierungsebene eine mathematische Wahrscheinlichkeit von mehr als eins zu einer Milliarde eines Komponentenausfalls erfordert, der zu einem Flugzeugzellenverlust führt. MCAS kann als Black Swan-Ereignis verworfen werden, als Höhepunkt einer Reihe sehr einzigartiger Umstände und Entscheidungen auf Zertifizierungs- und Entwicklungsebene (ich meine, so einzigartig, dass der Projektleiter-Testpilot strafrechtlich angeklagt wurde, weil er Informationen vor der FAA versteckt hatte). MCAS kann als „Pilotenfehler“ betrachtet werden, der durch eine schlechte Konfiguration verursacht wird, die durch die Ritzen gerutscht ist, aber mit der einige Besatzungen hätten fertig werden können.

Eine doppelte und dreifache Systemredundanz ist erforderlich, um diese Ausfallwahrscheinlichkeit von weniger als eins zu einer Milliarde aufrechtzuerhalten. Es ist nicht perfekt, aber es ist der Hauptgrund, warum Flugzeuge nicht regelmäßig vom Himmel fallen, wenn Komponenten ausfallen (und bei komplexen Flugzeugen brechen ständig Dinge zusammen, wie Sie an der Versandverzögerungsrate einer Fluggesellschaft sehen können - diese regelmäßigen Verzögerungen, die die Gate sind in der Regel, weil das Flugzeug mit etwas kaputtem angekommen ist, das vor Ort repariert werden muss).

„Automatisierung“ an sich? Ja, man könnte wahrscheinlich sagen, dass die Automatisierung einige Katastrophen verhindert hat, aber im Großen und Ganzen nicht so sehr wie etwas wie CRM. FADEC macht den Motorbetrieb für die Besatzung ein wenig einfacher und bequemer, senkt aber vor allem die Kosten. Fly-By-Wire und andere Systemautomatisierungssteuerungen? Sie tragen dazu bei, die Arbeitsbelastung der Besatzung insgesamt zu reduzieren, und decken vielleicht von Zeit zu Zeit nachlässiges Fliegen ab, aber sie sind auch meistens Treiber der Kostensenkung (FBW eliminiert eine enorme Menge an Hardware). Bei der C-Serie/A220 befindet sich die Systemautomatisierung gerade auf dem Höhepunkt der aktuellen Entwicklung, und der Hauptvorteil (und Verkaufsargument) ist eine enorme Reduzierung der Wartungsstunden, mehr als die Sicherheit.

War es nicht der Sinn von FADEC, den Flugingenieur zu eliminieren, was sowohl die Betriebskosten als auch menschliche Fehler reduzierte?
there hasn't been a crash of a heavy in the US in over 20 years. Nun, da ist GTI 3591. Das war eine 767. Aber wieder einmal ein Pilotenfehler.
FADEC entstand lange nachdem FEs bereits durch die neue Generation von 2-Crew-Schwergewichten wie der 767 eliminiert wurden. Aber zu Ihrem Punkt, ja, vor FADEC hatten Sie eine elektronische Triebwerkssteuerung, im Grunde eine computergesteuerte Trimmung von Kraftstoffplänen und computergesteuerte Überwachung und Erfassung mit EICAS-Synoptiken, die den Vordersitzern direkt präsentiert wurden, und diese ermöglichten es, FEs zu eliminieren. Bei FADEC geht es hauptsächlich um Gewichtseinsparung - Eliminierung von Kabelverläufen wie bei FBW - und die Möglichkeit, Motoren viel näher an ihren Grenzen zu betreiben, mit viel strengerer Kontrolle über Temperaturen, Abwürgen / Pumpen, Verbesserung der Effizienz usw.
@TomMcW hatte davon noch nichts gehört. Danke. Es gab auch einen Absturz eines schweren Flugzeugs in der Arktis, das Mitte der 2000er Jahre von First Air geflogen wurde, wo es auf einen Hügel lief, weil der Kapitän davon besessen war, LOC wiederzuerlangen, und der FO zu schüchtern war, um das Geschehene zu stoppen, aber das war in Kanada. Gibt es in diesem Zeitraum noch andere schwere US-Abstürze?
Asiana 214 geschah in den USA, und das war vor weniger als 10 Jahren. Erster Verlust einer 777, mehrere Todesopfer.
Oh ja, das war derjenige, bei dem die Crew Augapfelanflüge nicht bewältigen konnte. Mein Gedächtnis saugt.
Eine Sache, auf die diese Antwort implizit hinweist, ist, dass es Formen der Automatisierung gibt, die größtenteils außerhalb der Kontrolle der Besatzung liegen und bei denen es wirklich mehr um das Design von Flugsteuerungssystemen wie FADEC, FBW-Modi und MCAS und anderen Formen der Automatisierung geht die eher in Form von steuerbaren Workload-Management-Tools für die Besatzung wie Autopiloten und FMS-Führung sind. Es ist ein bisschen wie der Unterschied in einem Auto zwischen Systemen wie Antiblockiersystem und Traktionskontrolle vs. Tempomat. Beides als „Automatisierung“ zusammenzufassen, ist möglicherweise verwirrend, da die Besatzung unterschiedlich mit ihnen interagiert.
Definitiv. Ein Großteil der Automatisierung von Systemen besteht einfach aus dem Austausch mechanischer Hardware durch elektronische Hardware, gefolgt vom Austausch elektronischer Hardware durch Software, obwohl die Arbeitsbelastung etwas reduziert wird, wie bei FADEC, Entlüftungs-/Druckbeaufschlagungssteuerung usw. Ich würde sagen, keine davon Diese Dinge hatten im Großen und Ganzen so etwas wie den Einfluss von CRM. Auf Moving Maps habe ich den CRJ-Kurs mit einer neuen Instrumentenbewertung auf Dampfinstrumenten absolviert, und obwohl sie sehr einfach zu fliegen sind, wäre ich ohne das Navigationsdisplay und das FMS hoffnungslos überfordert gewesen.

Ich möchte auf eine Schwierigkeit hinweisen, Ihnen eine Antwort zu geben:

Wir kennen die Unfälle, die durch Pilotenfehler und automatisierte Funktionen verursacht werden, genau. Wir können jedoch nicht sicher sein, wie viele Fälle bergab gegangen wären, wenn die automatisierten Funktionen nicht da gewesen wären, um die Piloten zu unterstützen. Manchmal haben die Piloten es vielleicht verstanden, aber die Fälle wurden nicht protokolliert, und in anderen Fällen haben die Funktionen möglicherweise im Hintergrund Unterstützung geleistet und heimlich "den Tag gerettet". (Ich werde versuchen, in Zukunft einige Beispiele zu bekommen).

Jetzt kann ich das kaum beantworten, da meine einzige Erfahrung das Anschauen von YouTube und ein paar Stunden Flugsimulator ist. Aber die Reife der Luftfahrtindustrie insgesamt erstaunt mich (nichts ist perfekt, aber ich habe nicht wirklich etwas Besseres gesehen). Jede automatisierte Funktion wurde entwickelt, um zu helfen, und oft bestand der Grund dafür darin, zu verhindern, dass sich die Bedingungen eines Unfalls wiederholen. Also im Allgemeinen würde ich sagen, dass die Funktionen helfen.

Um eine persönliche Meinung einzuwerfen: MCAS war eines der seltenen schwarzen Schafe, bei dem mehrere Einheiten schlecht arbeiteten. Aber es ist selten. Ich denke, es ist ein kleines Spiegelbild des Luftfahrtparadoxons: Es ist die sicherste Transportmethode, aber wenn am anderen Ende der Welt ein Unfall passiert, werden Sie davon erfahren und es wird Angst erzeugen, während die (Tausende?) Menschen sterben via zB Auto ist nichts Interessantes, also nicht in den Nachrichten.


Auch nach stevecder Beobachtung von in den Kommentaren gilt das Gegenteil: Wir können auch nicht sicher sein, in wie vielen Fällen die Piloten den Tag gerettet haben, indem sie die automatisierten Funktionen deaktiviert haben . Um meinen Pro-Feature-Punkt weiterhin zu unterstützen, werde ich argumentieren, dass Features, die ständig Probleme verursachen, von Piloten als solche gekennzeichnet und überprüft werden ... hoffentlich.

Schwarzes Schaf = schwarzer Schwan?

Beim Vergleich der Letalität von durch Automatisierung verursachten Unfällen mit von Piloten verursachten Unfällen schenken Sie einem sehr kleinen Aspekt einer sehr großen Geschichte große Aufmerksamkeit. Daher wird Sie die direkte Antwort auf Ihre Frage (ein einfaches „Ja“) nicht unbedingt klüger machen.

Darüber hinaus sind durch die Automatisierung verursachte Unfälle nicht immer auf eine Fehlfunktion der Automatisierung zurückzuführen. Sehr oft treten sie als Folge einer falschen Anwendung von Automatisierungsgeräten auf, die selbst keine Fehlfunktionen aufweisen, wie im Fall von MCAS. Auf die gleiche Weise ist ein Pilotenfehler oft der billige und einfache Ausweg, um die Ursache eines Unfalls erklären zu müssen. Erinnern Sie sich, wie sogar das berühmte „Wunder auf dem Hudson“ ursprünglich als Ergebnis eines Pilotenfehlers behauptet wurde?

Im Allgemeinen liegt der große Unterschied zwischen automatisierter Entscheidungsfindung und Pilotierung darin begründet, dass Piloten einzigartig sind. Es kann manchmal schwierig sein, alle automatisierten Geräte eines bestimmten Typs nach einer Fehlfunktion von nur einem von ihnen kategorisch zu aktualisieren, aber es ist immer noch möglich. Das Gleiche mit Piloten zu tun, ist praktisch unmöglich. Dies spricht stark für die Automatisierung, selbst in einer Welt mit allgemein hochqualifizierten, gut ausgebildeten, aktuellen und tüchtigen Piloten.

Die Behauptung ist wie gesagt eine Verallgemeinerung und als solche wahr. Es wird Ausnahmen geben, aber jedes Argument gegen die Automatisierung ist sowieso bald zum Scheitern verurteilt, da Luftfahrtlösungen immer mehr vollständig auf Automatisierung setzen. Immer mehr Entscheidungen während der Flucht werden automatisch getroffen, einfach weil kein Mensch jemals in der Lage sein kann, sie zu treffen. Das macht Raum für Flugmethoden, die bisher streng der Science-Fiction vorbehalten waren. Wenn irgendetwas Sie jemals wie Tinkerbell fliegen lassen wird, dann ist es die Automatisierung.

Übrigens wurde der tödlichste Absturz in der Geschichte der Luftfahrt, als ein KLM-Jumbo beim Start auf Teneriffa mit einem PANAM-Jumbo zusammenstieß, durch einen Pilotenfehler verursacht. Sie müssen ihm aus einiger Entfernung gefolgt sein, um diesen zu übersehen.

Das "Wunder auf dem Hudson" wurde nie als Pilotenfehler behauptet; Sie würden das nur denken, wenn Sie nur den Film darüber wüssten. Chesney Sullenberger zwang das Studio, alternative Namen für alle Ermittler im Film zu erfinden, weil er es so sehr hasste, dass sie auf diese Weise verleumdet wurden. Es gab sicherlich militärische Abstürze, die durch fehlerhafte Steuerungen verursacht wurden, die (fälschlicherweise) auf Pilotenfehler zurückgeführt wurden, insbesondere mit RAF-Chinooks in den 1990er Jahren, aber im zivilen Leben ist dies weit weniger wahrscheinlich.
... Und MCAS hat aufgrund eines einzigen fehlerhaften Sensors sicherlich eine Fehlfunktion. Darüber hinaus war das Design von Natur aus fehlerhaft, da nichts in Bezug auf die Flugsteuerung auf einen einzigen Sensor angewiesen sein sollte. Als Ingenieur, der an sicherheitsrelevanten Systemen für Autos gearbeitet hat, würden wir die Prozesse in MCAS nicht auf einem Auto-Armaturenbrett-Display tolerieren, geschweige denn auf einer Auto-Motorsteuerung; Daher ist die Vorstellung, dass etwas so grundlegend Inkompetentes in ein Flugzeug gelangen könnte, entsetzlich. Es führt kein Weg daran vorbei - MCAS war die einzige Ursache, und die "Ingenieure" sollten wegen Mordes im Gefängnis sitzen.
@Graham Es gibt andere Quellen als den Film, die sich auf eine ähnliche Herausforderung wie im Film beziehen, aber ehrlich gesagt weiß ich nicht mehr, was ich glauben soll. Ich glaube zwar, dass der Film einen allgemein falschen Eindruck von der NTSB vermittelt hat, welche Ziele sie verfolgen, aber das ist meine persönliche Meinung. Komischerweise funktioniert es hier immer noch als Illustration.
@Graham Der Sensor, der Daten an das MCAS lieferte, funktionierte nicht. Das Training ist gestört. Das Design hat versagt. Der Zertifizierungsprozess ist gestört. Aber das MCAS wie im Gerät selbst hat nie etwas getan, was es nicht tun sollte. Ich persönlich habe mich intensiv mit der 737 MCAS-Geschichte beschäftigt. Fragen Sie hier jemanden :). Im Laufe der Zeit habe ich verstanden, dass es viel mehr gibt, als man mit bloßem Auge erkennen kann. Einer Person oder einer Gruppe von Personen die Schuld zu geben, ist gefährlicher, als niemandem die Schuld zu geben. Wenn ich mit dem Finger in eine Richtung zeigen müsste, würde ich auf die Kultur zeigen.
Es stimmt, die Kultur war kaputt. Aber als Ingenieur ist jedes Gerät in einem sicherheitsbezogenen System, das die Folgen eines Sensorausfalls oder einer Redundanz nicht berücksichtigt, per Definition fehlerhaft, da ein Sensorausfall ein normaler Betrieb ist . Ich stimme Ihnen in Sachen Kultur vollkommen zu, denn ein sicherheitsbezogenes Unternehmen, das nicht so denkt, macht daraus ein tieferes Problem als nur einen fehlerhaften Artikel. Ich glaube aber nicht, dass das die Ingenieure von der Verantwortung entbindet, aber vielleicht bin ich das ja auch.
@Graham: Wenn Piloten richtig geschult wären, um auf eine MCAS-Fehlfunktion zu reagieren, wäre MCAS kein sicherheitskritisches System gewesen. Auf der anderen Seite hätte ein Versäumnis, Piloten darin zu schulen, zu erkennen, dass die 737 Max andere natürliche Flugeigenschaften als die 737 hat, unter bestimmten Umständen leicht zu einem Absturz führen können, wenn MCAS so gut funktionierte, wie es physikalisch möglich war, aber die Flugbedingungen außerhalb der lagen Bereich, in dem das MCAS das Flugzeug wie eine 737 steuern könnte.
Es gab Hunderte, wenn nicht Tausende von Menschen, die aus Dutzenden von Gründen wussten, dass MCAS on the Max eine tickende Zeitbombe war, lange bevor die Abstürze überhaupt passierten. Einige warnten, wurden aber zum Schweigen gebracht, oft auf Kosten ihres Lebensunterhalts und ihres Rufs. Niemand hat gehandelt, um die Abstürze zu verhindern, weil niemand diesen Job hatte. Es gibt keine einzige unabhängige Behörde in der Luftfahrt, die in der Lage und willens wäre, eine solche Katastrophe endgültig zu verhindern. Diese Tatsache ist ein Merkmal der Kultur. Es dauert eine Weile, bis die Gesellschaft als Ganzes diese Selbstgefälligkeit überwindet.