naja, eine Hilfe kann ja nicht schaden.
zu meiner Meinung.
Im Normalfall (wenn beide funktionieren) wird richtig reagiert, vielleicht auch schneller als der Mensch.
Wenn die beiden etwas unterschiedliches anzeigen, dann kommt eine Warnung und der Pilot muss ran. ( ich bin kein Pilot und weiß nicht ob das möglich/realistisch ist)
so wird der schlechte Anstellwinkel erkannt, im Normalfall wird automatisch reagiert und im Fehlerfall muss der Pilot reagieren
Das würde voraussetzen dass der Pilot in jeder Situation so reagieren kann das keine Gefahr besteht, und das System somit ein reines Assistenzsystem ist.
Wenn das der Fall ist dann wäre das was Boeing eingebaut hat wohl eine der dümmsten Fehlkonstruktionen der Menschheitsgeschichte, weil es für ein "überstimmen" des Piloten nicht die geringste Notwendigkeit geben würde. Die Verantwortung würde in jeder Situation beim Piloten liegen, und die Einstufung für das System an sich wäre SIL 0.
Nicht dumm, das meinst du aber jetzt ironisch .
Die Leute waren so dumm, das die Geldgier, den Verstand abgeschaltet hat.
Im übrigen können Piloten schon eingreifen, aber das ist bei diesen Typ nicht
so leicht, aber immerhin möglich.
https://www.tagesschau.de/wirtschaft/boeing-235.html
Dass das Flugzeug eine Fehlkonstruktion war und mit maximaler Fahrlässigkeit gehandelt wurde steht wohl fest.
Dennoch bleiben bei mir Zweifel ob der weltweit zweitgrößte Hersteller von Luft- und Raumfahrttechnik wirklich so blöd ist das Teil durch ein völlig überflüssiges Assistenzsystem zu einer solchen Todesfalle zu machen, und die größte Krise der Firmengeschichte auszulösen.
Ich hoffe das bei der EASA fähige Leute sitzen die den Stand der Technik bei der funktionalen Sicherheit kennen, und in der Lage sind analytisch an die Sache ranzugehen.
Denn irgendwie hab ich den Eindruck das da etliches total verhunzt und vermischt wurde.
Die erste Frage wäre: kann der Pilot in jeder Situation das Flugzeug so kontrollieren, das keine Gefahr besteht auch wenn das System nicht arbeitet?
Wenn die Antwort darauf "nein" heißt, dann handelt es sich um eine Sicherheitsfunktion, es muss eine Einstufung durch eine
Risikoanalyse gemacht werden die bei größer/gleich SIL 3 liegen dürfte, und sämtliche Anforderungen was Architektur, B10 Werte, Diagnosedeckungsgrad, Hardware-Fehlertoleranz, Resistenz gegen Fehler gemeinsamer Ursache usw angeht müssen eingehalten werden, da sonst die Anforderungen des europäischen Produkthaftungsrechts nicht erfüllt werden.
Und ehrlich gesagt seh ich da schwarz wie das technisch umsetzbar ist. Das Problem ist meiner Meinung nach durch ein E/E/PES nur sehr schwer zu lösen, aus den dargelegten Gründen, und noch einigen zusätzlichen Details die ich jetzt schon absehen kann.
Wenn es nur ein "nice to have" Assistenzsystem ist dann kann man es theoretisch auch durch eine Warnlampe ersetzen, und wie es genau funktioniert ist total unkritisch. Natürlich nur so lange es den Piloten nicht überstimmen kann, auch nicht durch eine Fehlfunktion z.B. des Systems, mit dem der Pilot das MCAS dann deaktivieren könnte.
Dafür wäre auch bei einem Assistenzsystem aber wieder ein Sicherheitsnachweis nötig, da sogar jeder Außenstehende anhand der bekannt gewordenen Details erkennen kann dass durch ein Fehlansprechen des Systems ein Gefährdungsszenario besteht, und somit das Abschalten des Systems sicher (nach dem Stand der Technik) ausgeführt werden muss.
Wenn es aber stimmt dass das Verhalten mit dem zunehmenden Auftrieb bei steigendem Anstellwinkel von sämtlichen Zulassungsbehörden auf der Welt aus sicherheitsgründen nicht zugelassen wird, dann erfüllt das System an sich aber schon eine Sicherheitsfunktion, und alle Regeln der Technik aus der funktionalen Sicherheit sind anzuwenden um dem Produkthaftungsrecht genüge zu tun.
Mein Eindruck basierend auf meiner beruflichen Erfahrung ist dass das ganze komplett unsauber wirkt. Auch gerade das was jetzt als "Lösung" präsentiert wird.
Assistenzsystem und Sicherheitsfunktion werden vermischt, und das System führt weder seine Funktion sicher nach dem Stand der Technik aus, noch ist nachgewiesen das nicht durch Fehlfunktionen des Systems wieder neue Gefährdungen entstehen.
Ich denke jeder der wie ich in diesem Bereich tätig ist und mit den CENELEC Normen arbeitet kann meiner Argumentation folgen.
Die Zeitungsberichte der vergangenen Wochen deuten ja bereits an das die "Lösung" auf Widerspruch stößt:
https://www.aerotelegraph.com/boeing-muss-737-max-nach-neustart-weiter-umbauen
Ich weiß das es verwirrend sein kann die Regeln der funktionalen Sicherheit auf ein so komplexes System zu übertragen. Aber die sind ja nicht zum Spaß da, sondern sie sind das gesammelte Ingenieurswissen der letzten 150 Jahre um Personenschäden durch Fehlkonstruktionen zu vermeiden.
Das eine Schutztürüberwachung an einer Drehbank sicher sein muss nach dem Stand der Technik, aber für ein System das ein Flugzeug zum Absturz bringen kann viel laschere Regeln gelten sollen ist nicht bloß logisch totaler Blödsinn, sondern widerspricht auch dem Produkthaftungsrecht.
Die Regeln gelten für jedes Produkt. "Aber es ist viel schwerer es genau so sicher zu machen weil das Produkt komplexer ist" ist keine zulässige Ausrede.
Wenn es nicht sicher gemacht werden kann nach dem Stand der Technik dann ist es eine Fehlkonstruktion die nach unseren Gesetzen nicht in Verkehr gebracht werden darf, alles andere wäre sehr grob fahrlässig und würde zur persönlichen Haftung der Verantwortlichen führen.
)
