Verdacht auf fehlerhafte Software in modernen Radioaltimetern

[cosy]

Wer hier im Forum nach dem Stichwort "Tailstrike" sucht, der findet viele , viele solche Ereignisse.

 

Nun ist im Zusammenhang mit der Untersuchung eines Tailstrikes der Hawaii Airlines in San Francisco am 13.8.2018 mit einem fast neuen A321 neo zum Vorschein gekommen, dass

das Radioaltimeter keine Höhenmeldungen generiert (Call-Outs) und somit nicht operativ ist, wenn das Flugzeug im Standard- Glidepfad über Meer fliegt.

 

Dies weil eine Filterfunktion in der SW die Plausibilität der Echomessung dauernd überprüft und glaubt, die Signale seien fehlerhaft, wenn sie von der glatten Meeresoberfläche im Sinkflug (mit Anstellwinkel) refelktiert werden müssen

[ Anmerkung: vermutlich ist die Signalstärke extrem schwach, weil eine glatte Meeresoberfläche wie ein perfekter Spiegel ist für ein Radarsignal (im Mikrowellenbereich)*]

Als Ersatzsignal wird dann für die Call-Outs normalerweise der statische Druck verwendet, der ja nie genau stimmt.

Wenn die Crew sich klar bewusst ist und zum Schluss sicht hat könnte sie da ja (genügend früh) eingreifen.

 

Da scheinen mir eine ganze Reihe Tailstrikes und gar krasse Unfälle mit Approach / Final über Wasser zu existieren.

 

Was meint ihr dazu?

 

*Ganz anders im Cruise, wo die Reflexion  wieder die Antenne im Flugzeug trifft, weil sie so eingestellt /verbaut wird.

 

Cosy

Bearbeitet 17. Juni 2021 von cosy

[mountain_Andy]

Schwierig zu beantworten. Solange der Anflug aber innerhalb der Stabilised approach criteria ausgeführt wird, so ist das Risiko eines Tailstrikes sehr gering. Nach meinem Verständnis stellt die Aktivierung der Tailstrike Protection das Verlassen der normal flight envelope dar. Und dies sollte nicht so oft passieren…

[DaMane]

Verstehe nur nicht, was fehlerhafte Radio-Altimeter Daten mit Tailstrike-Protection zu tun haben? Ein solche Risiko entsteht doch nur durch zu große Pitch-Attitude für ein bestimmtes Muster, aber davon weiß der Radarhöhenmesser nichts. Gibt es da einen zusätzlichen Radarsensor an der Position eines imaginären "Schleifsporns" am Heck, oder verwendet die Protection nicht ein vordefiniertes Pitch-Attitude-Limit der Fluglagesensoren?

 

Gruß

Manfred

[mountain_Andy]

vor 37 Minuten schrieb DaMane:

Verstehe nur nicht, was fehlerhafte Radio-Altimeter Daten mit Tailstrike-Protection zu tun haben? Ein solche Risiko entsteht doch nur durch zu große Pitch-Attitude für ein bestimmtes Muster, aber davon weiß der Radarhöhenmesser nichts. Gibt es da einen zusätzlichen Radarsensor an der Position eines imaginären "Schleifsporns" am Heck, oder verwendet die Protection nicht ein vordefiniertes Pitch-Attitude-Limit der Fluglagesensoren?

 

Gruß

Manfred

Die Tailstrike Protection ist ja nicht immer aktiv, sondern nur während der T/O-Phase, der Lande-Phase und Go-around. In allen anderen Flugphasen sind auch grössere Pitch Attitudes erlaubt. Für die Feststellung der jeweiligen Phase werden viele Parameter, darunter Radio Altitude, abgefragt.

Bearbeitet 17. Juni 2021 von mountain_Andy
Rechtschreibung

[mountain_Andy]

vor 9 Stunden schrieb mountain_Andy:

Schwierig zu beantworten. Solange der Anflug aber innerhalb der Stabilised approach criteria ausgeführt wird, so ist das Risiko eines Tailstrikes sehr gering. Nach meinem Verständnis stellt die Aktivierung der Tailstrike Protection das Verlassen der normal flight envelope dar. Und dies sollte nicht so oft passieren…

Nachtrag: Wenn es mit den Radar Altimeters unter bestimmten Umständen entsprechende Probleme geben sollte, so müsste die Rate an misslungenen Autoland approaches höher sein. Denn für einen erfolgreichen Autoland braucht es zwei gültige Radar Altimeters. Autoland Approaches werden regelmässig zur Überprüfung des Systems und zum Training der Piloten geflogen. Dort müsste das Problem auch auffallen, noch lange bevor ein Tailstrike passiert.

[Tigerstift1]

Hallo zusammen,

 

Die beschriebene Problematik ist ein Software Fehler und hat nichts im generellen mit Radio Altimetern zu tun und ist ziemlich isoliert auf einem RA Hersteller und einer SW Version (Bei der A320/330/340 Fam gibt es zwei verschiedene Hersteller für das RA System).

 

Diese Probelmatik tritt unterhalb von 5500ft AGL auf und wenn das Reflektionssignal bis 425ft AGL immer noch zu schwach ist "schaltet" sich der RA aus. Zusätzlich bleibt der Flight Warning computer in einer gwissen Flugphase stecken was dazu führt das der Flieger meint er wäre immer noch 5500ft.

Effekt: die APP Capa ist auf CAT 1 limited und Autoland ist nicht möglich. Land, Flare und roll out AP und FD guidance mode sind inop. Predictive windshear functions und einige Call outs sind inop. AP pitch oscillations können passieren und Flight Control Law bleibt im Flare Mode stecken, somit ist Autotrim und alle protections noch aktiv was bei falscher Handhabung dann zu eine Tailstrike führen kann. 

Airbus hat dies unter Kontrolle mit einen weissen OEB reminder, sowas wird dann immer im pre-Flight Briefing diskutiert.

 

 

[DaMane]

vor 16 Minuten schrieb Tigerstift1:

Hallo zusammen,

 

.................

............somit ist Autotrim und alle protections noch aktiv was bei falscher Handhabung dann zu eine Tailstrike führen kann. 

Airbus hat dies unter Kontrolle mit einen weissen OEB reminder, sowas wird dann immer im pre-Flight Briefing diskutiert.

...................

 

 

Schöne neue Welt der Protections...... Piloten müssen davor gewarnt werden....

 

Gruß

Manfred

[cosy]

40 minutes ago, Tigerstift1 said:

Diese Probelmatik tritt unterhalb von 5500ft AGL auf und wenn das Reflektionssignal bis 425ft AGL immer noch zu schwach ist "schaltet" sich der RA aus.

Danke vielmal für die hochkompetente Antwort.

 

Du solltest den Term "stift" (schweizerdeutsch für "Lehrling") aus deinem Username entfernen, denn deine Beiträge sind sowas von professionell!!!!

 

Cosy

[ReneD]

Was mir bei Deinem (cosy) Bericht fehlt: Wie hoch war denn der Pitch als der Tailstrike passierte? Protection hin, protection her: Wenn die Pitch Anzeige nicht fehlerhaft war, kann es meiner Ansicht nach eigentlich nur ein Pilotenfehler gewesen sein. Wenn ein Flieger "stable" (und das wird ja gecheckt und ausgerufen at ALT 1000 ft) ist, bedeutet dies bzgl. Pitch, dass dieser sich zwischen -2,5 und + 10 Grad liegen muss (A320). Soweit meine Kenntnisse, lass mich aber gerne korrigieren.

 

Ob es sich um einen CAT II oder III Anflug / Autoland handelte, geht aus dem post nicht hervor.

[cosy]

Ich versuchte, den (schweren) Zwischenfall zu finden. aber ich fand es nicht. Das Datum hatte ich ja genannt- vielleicht findet jemand Details dazu...)

Gruss

cosy

 

[Tigerstift1]

Es wird wohl dieser Zwischenfall gewesen sein:

http://avherald.com/h?article=4bdab334

 

Um noch ein bisschen auf die Problematik einzugehen:

• Es gibt keine ECAM Caution für einen RA fault, im Normalfall passiert dies aber, da aber der Flight Warning Computer in Flight phase 6 (Cruise) stecken bleibt wird dies unterdrückt.
• Diese Situation nennt sich "No Computed Data" (Der Computer erkennt das er korrupte Daten empfängt --> Fail Safe) und das Verhalten des Flight Warning Computer ist dementsprechend normal.
• Der GPWS Fail ist auch eine direkte Konsequenz daraus, da er dem RA nicht vertraut.
• Trotzdem hätten die Piloten hier handeln müssen, da folgende Konsequenzen auftreten:
• keine RA Anzeige im PFD, aber keine Flag
• Keine ECAM Landing MEMO, hier hätte es schon bei den Jungs in Sitzreihe Null schalten müssen bzw. hätte eine gewisse Awarness vorhanden gewesen sein
• Kein RA call outs
• TCAS geht in TA only <1000ft AGL
• Wie schon gesagt, der AP kann pitch oscillations produzieren
• Flight Control flare control law reversal <100ft, somit bleibt der Flieger im Normal Law im sogenannten load-factor-demand sub mode somit bleiben auto trim und protections im normal law. Soweit ich das von meinen Flight Ops Kollegen weiss lässt sich der A321 somit ziemlich schlecht landen und der Flieger schlägt dann gerne wie ein Stein ein wie im Vorfall beschrieben.
• Der RETARD call out fehlt auch

 

Für mich stellt sich nun die Frage: Warum werden noch ECAM actions bei 1500ft AGL gemacht? Dachte eigentlich spätestens wenn man stabilized ist wird wird nurnoch ein Go oder No-Go entschieden und im Zweifel ein Ga-Arround eingeleitet? Bitte um Aufklärung

[Frank Holly Lake]

Bei der Amerikanischen Konkurenz B737-800  war das im Unfall vom Amsterdam der auschlaggebende Faktor.

Der nicht funktionierend  Radarhöhenmesser nahm immer wieder das Gas raus und führte das Flugzeug in den flare retard Modus, was die Piloten nicht sahen.

 

Ich hatte vor einigen jahrzehnten auf einem A300 mit einem Datenlogger, wir nannten es damals "Label ausgelesen".

Da kamen die call outs auch nicht. In der Simulation und beim Test schon.

Im Anflug aber nicht.  Am Radarhöhenmesser lag es damals nicht.

Von Hamburg erst nach Berlin. Um aus dem Simulator in Schönefeld Teile auszubauen und in den Flieger einzubauen.

Ging damals noch, weil in den alten Simulatoren die ganze Avionik vom Flugzeug noch im Simulator verbaut war.

 

Am Ende flog das Flugzeug von Berlin  nach Frankfurt zu den Experten vor Ort. Dort waren problemlos alle Ersatzteile vorhanden. Einzelne Computer wurden getauscht. Einer der Computer war am Ende NIO.

AOG für 52 Stunden, dann ging der A300 wieder in die Line zurück. 

Grüße Frank

 

 

 

 

Bearbeitet 18. Juni 2021 von Frank Holly Lake

[Frank Holly Lake]

vor 9 Minuten schrieb Tigerstift1:

 Soweit ich das von meinen Flight Ops Kollegen weiss lässt sich der A321 somit ziemlich schlecht landen und der Flieger schlägt dann gerne wie ein Stein ein wie im Vorfall beschrieben.

Beim A340 - 600 ist das noch schlechter laut den Piloten der LH. Da hat  Airbus noch viel für die Zulassung  dran arbeiten müssen, um einen Tail Strike zu verhindern. (zusätzliche Protections)

Grüßen Frank

[Gast]

vor 7 Minuten schrieb Frank Holly Lake:

Bei der Amerikanischen Konkurenz B737-800  war das im Unfall vom Amsterdam der auschlaggebende Faktor.

Der nicht funktionierend  Radarhöhenmesser nahm immer wieder das Gas raus und führte das Flugzeug in den flare retard Modus, was die Piloten nicht sahen.

 

Kompletter BS. Lies den Abschlussbericht.

 

Bernd

[mountain_Andy]

vor 18 Minuten schrieb Tigerstift1:

Es wird wohl dieser Zwischenfall gewesen sein:

http://avherald.com/h?article=4bdab334

 

Um noch ein bisschen auf die Problematik einzugehen:

• Es gibt keine ECAM Caution für einen RA fault, im Normalfall passiert dies aber, da aber der Flight Warning Computer in Flight phase 6 (Cruise) stecken bleibt wird dies unterdrückt.
• Diese Situation nennt sich "No Computed Data" (Der Computer erkennt das er korrupte Daten empfängt --> Fail Safe) und das Verhalten des Flight Warning Computer ist dementsprechend normal.
• Der GPWS Fail ist auch eine direkte Konsequenz daraus, da er dem RA nicht vertraut.
• Trotzdem hätten die Piloten hier handeln müssen, da folgende Konsequenzen auftreten:
• keine RA Anzeige im PFD, aber keine Flag
• Keine ECAM Landing MEMO, hier hätte es schon bei den Jungs in Sitzreihe Null schalten müssen bzw. hätte eine gewisse Awarness vorhanden gewesen sein
• Kein RA call outs
• TCAS geht in TA only <1000ft AGL
• Wie schon gesagt, der AP kann pitch oscillations produzieren
• Flight Control flare control law reversal <100ft, somit bleibt der Flieger im Normal Law im sogenannten load-factor-demand sub mode somit bleiben auto trim und protections im normal law. Soweit ich das von meinen Flight Ops Kollegen weiss lässt sich der A321 somit ziemlich schlecht landen und der Flieger schlägt dann gerne wie ein Stein ein wie im Vorfall beschrieben.
• Der RETARD call out fehlt auch

 

Für mich stellt sich nun die Frage: Warum werden noch ECAM actions bei 1500ft AGL gemacht? Dachte eigentlich spätestens wenn man stabilized ist wird wird nurnoch ein Go oder No-Go entschieden und im Zweifel ein Ga-Arround eingeleitet? Bitte um Aufklärung

Was auffällt: im vorliegenden Fall sind beide Piloten zwar sehr erfahren, jedoch nicht on type. Je nachdem was sie vorher geflogen sind (evtl. kein FBW) waren sie sich der Konsequenzen nicht bewusst.

Bei 1500ft ein Procedure abarbeiten, welches nur daraus besteht, einen Schalter auf OFF zu stellen, finde ich OK, respektive vertretbar. Bei 1000ft ist aber Schluss.

Wenn jedoch die RA call-outs fehlen und man sich überrascht fühlt, kann man jederzeit einen Go-around einleiten. Nur kommt evtl. noch der Startle Effekt dazu (was läuft ab, was passiert gerade und warum). Dann ist der Flieger schon am Boden. 
Ein sehr intressanter Fall aus der Perspektive der Human Performance.

Bearbeitet 18. Juni 2021 von mountain_Andy
Rechtschreibung

[Frank Holly Lake]

Bernd habe ich.

Da der Radiohöhenmesser immer Minus anzeigte, reagierten die Systeme so. Die Schubautomatik nahm das Gas raus, mehrfach. Der Pilot gab wieder Gas, die Automatik nahm Gas wieder raus, ohne das die Piloten es merkten.

Das Flugzeug war durch die Daten vom Radiohöhenmeser in den flare retard Modus gegangen, was die Piloten

auch auf der Anzeige nicht gesehen haben. 

Grüße Frank

Bearbeitet 18. Juni 2021 von Frank Holly Lake

[Tigerstift1]

vor 4 Minuten schrieb Frank Holly Lake:

Da der Radiohöhenmesser immer Minus anzeigte....

Minus Anzeige bei den RAs ist auch recht bekannt. Oftmals sind es die "berühmten" -6ft. Grund hier ist eine Kopplung von der Sende- und der Empfangsantenne und somit wird der Abstand von den Antennen gemessen und nicht der Abstand vom Boden. 

 

Technisch sind folgende Faktoren die treibende Kraft:

• Water Ingress in die Antennen bzw. in den COAX Stecker.
• Verdreckte RA Antennen
• Ein einfacher Workarround schaft hier Abhilfe: Antennen regelmässig reinigen und einen streifen mit Silikonfett um die Antennen schmieren damit das Wasser was den Rumpf runterrinnt auf dem Streifen abperlt.

Aber bei Starkregen kann es trotzdem passieren, dafür gibt es keine Abhilfe.

[DaMane]

vor 2 Stunden schrieb Frank Holly Lake:

Bernd habe ich.

.............

Die Schubautomatik nahm das Gas raus, mehrfach. Der Pilot gab wieder Gas, die Automatik nahm Gas wieder raus, ohne das die Piloten es merkten.

................

Grüße Frank

War ja nicht dabei, möchte aber behaupten, daß es sowas nur im SIM geben kann. Im realen Flugzeug merkt man jede Schubänderung. Wenn nicht akustisch, dann zumindest Beschleunigung  und Verzögerung.

 

Gruß

Manfred

[ReneD]

vor 3 Stunden schrieb Frank Holly Lake:

 

Da der Radiohöhenmesser immer Minus anzeigte, reagierten die Systeme so. Die Schubautomatik nahm das Gas raus, mehrfach. Der Pilot gab wieder Gas, die Automatik nahm Gas wieder raus, ohne das die Piloten es merkten.

Das Flugzeug war durch die Daten vom Radiohöhenmeser in den flare retard Modus gegangen, was die Piloten

auch auf der Anzeige nicht gesehen haben. 

Grüße Frank

Ist das tatsächlich so, dass der RA mit dem ATHR gekoppelt ist?  

Und ist es nicht so, dass man sich beim Airbus entweder im ATHR oder im Manual Mode befindet? Wen dies stimmt: Wie kann es dann sein, dass die Automatik das Gas erneut raus nimmt, nachdem der Pilot Gas gegeben hat und somit automatisch im manual mode ist? Da bin ich mal auf Antworten gespannt.

Grüess, René

Bearbeitet 18. Juni 2021 von ReneD

[Gast]

vor 4 Stunden schrieb Frank Holly Lake:

Bernd habe ich.

Da der Radiohöhenmesser immer Minus anzeigte, reagierten die Systeme so. Die Schubautomatik nahm das Gas raus, mehrfach. Der Pilot gab wieder Gas, die Automatik nahm Gas wieder raus, ohne das die Piloten es merkten.

Das Flugzeug war durch die Daten vom Radiohöhenmeser in den flare retard Modus gegangen, was die Piloten

auch auf der Anzeige nicht gesehen haben. 

Die Crew hätte sich nur auf die elementaren Items (Speed, Höhe, Entfernung) konzentrieren müssen und ihnen wäre aufgefallen das sie daneben liegen. Fehlfunktionen bei Radioaltimeter waren seinerzeit nicht nur bei Turkish Airlines bekannt, die Fehler waren aber schlecht zu reproduzieren und es hat verschieden Lösungsversuche gegeben, jedoch ohne das eine bessere Verlässlichkeit erreicht wurde. Hingegen war das Problem bei Turkish Airlines bekannt und es wurde auch kommuniziert und andere Crews haben dieses Problem  - ein Radioaltimeter funktioniert nicht - erkannt und entsprechend gehandelt. Selbst beim verunglückten Flieger waren Fehler mit dem Radioaltimeter aufgetreten, aber nicht speziell dokumentiert worden. Das sie es einfach akzeptierten ein Single-Channel-Approach zu machen, weil sich der zweite AP nicht aktivieren liess, ist  wahrscheinlich das zweiter grosse Loch in der Käsescheibe. (Wolkenuntergrenze lag bei 700ft...). Das erste wenn man so will: der CMD hat schon wenige Minuten zu vor schon bei ca. 8000ft  "Radioaltimeter" ausgerufen. Was hat er sich dabei gedacht? Berge in Holland?

Laut dem Dekker-Text, der sich eingehend mit der Cockpitsituation beschäftigte, war die Crew durch die Anwesenheit eines Check-Piloten unter zusätzlichem Stress und der Kommandant wahrscheinlich abgelenkt weil er dem F/O - Kandidat des Line-Checks - behilflich sein wollte. Der CMD hat auch im late final mit TK-Ground kommuniziert und sehr spät die Ansage an die Crew "prepar for landing" gemacht. Als pilot monitoring praktisch ausgefallen, ebenso der Line-checker...

Ein weiteres Problem war die Verkehrslage. TK1951 musste einen ILS-Approach from above machen. Das ist die Gemengelage. Der Radioaltimeter allein war es nicht. Für mich nicht einmal die Hauptursache. Mit solchen Fehlfunktionen muss eine Crew umgehen können.

 

Bernd