31.12.2013 | N380CR | Cessna 525A | Leeds | Zeitweise ausser Kontrolle

[Volume]

Boah ey :o

Dieser Zwischenfall ist irgendwie überall unbemerkt durchgeschlüpft...

(Januar 2015 Bulletin, ab Seite 6)

Vielleicht aus gutem Grund (Ich liebe die Engländer :wub: )

The pilot, passenger and the dogs were uninjured.

 

Das Flugzeug hatte zwischenzeitlich 5 volle Rollen geflogen (!!!) nachdem der Autopilot aufgrund eines eingefrorenen Anstellwinkelsensors heftigste Manöver geflogen hat. Das Flugzeug wurde erheblich durch Überschreitung der zulässigen g´s beschädigt. Ein Wunder, dass es nicht auseinandergebrochen ist.

Kleine Ursache war eine verschlissene (offensichtlich nicht vollständig zentriert montierte) Dichtung, die zu Wassereintritt und einfrieren des Sensors geführt hat. Als er dann losgebrochen ist und einen Anstellwinkelsprung an den Autopiloten gemeldet hat, hat der Kunstflug probiert...

Der Pilot hatte nach dem Verlust der Kontrolle größte Schwirigkeiten zu verstehen, was ihm sein PFD da an Horizont anzeigen wollte, erst mit externer Horizontreferenz nach Verlassen einer Wolkenschicht konnte er das Flugzeug stabilisieren und abfangen.

 

Der Pilot war sicher "not amused".

 

Eine weitere Lektion zum Thema automatisiertes Fliegen...

 

Gruß

Ralf

[PeterH]

"...The pilot was unable to interpret the PFD attitude indicator, which he described as presenting information that he could not recall having seen before..."

 

3600° Bank? 900° Pitch up? Pay-TV from North-Corea?? 

 

Oder: "Sorry for any inconvenience,  George indicates a minor problem. Keep off the controls, stay calm and wait for our trained service staff".

 

Engländer... :wub:   Love them or hate them, you'll never understand them... ;)

 

"...The pilot, passenger and the dogs were uninjured...."

 

Gruß

Peter

Bearbeitet 16. März 2015 von PeterH

[sirdir]

Eine weitere Lektion zum Thema automatisiertes Fliegen...

Ist aber auch klar, so lange das Niveau der Automatisierung so lächerlich ist. Die Systeme sind alle unabhängig. Wenn EIN Sensor dazu führt, dass der Flieger rollen fliegt, obwohl wohl ca. 50 andere Sensoren korrekte Werte liefern, hat das mit 'automatisiertem Fliegen' sehr wenig zu tun.

[fm70]

nachdem der Autopilot aufgrund eines eingefrorenen Anstellwinkelsensors heftigste Manöver geflogen hat. 

 

Ich weiss nicht, was Du für einen Bericht gelesen hast. Im Bericht, den ich gelesen habe, steht nichts dergleichen. 

[DaMane]

Boah ey :o

Dieser Zwischenfall ist irgendwie überall unbemerkt durchgeschlüpft...

(Januar 2015 Bulletin, ab Seite 6)

Vielleicht aus gutem Grund (Ich liebe die Engländer :wub: )

..........

 Als er dann losgebrochen ist und einen Anstellwinkelsprung an den Autopiloten gemeldet hat, hat der Kunstflug probiert...

........

Das soll noch mal einer sagen, Autopiloten wären nur zum langweiligen Geradeausfliegen gut :)

 

Der Pilot war sicher "not amused".

 

.......

Wenn er Engländer war, wird er sich nach der Landung eine Tasse Tee eingeschänkt, und eine gute Zigarre angezündet haben. Möglicher Kommentar: "Today we experienced some little abnormals, but nothing serious. Now we gonna have teatime!"

 

Very British B)

 

Manfred

 

 

 

 

[sirdir]

Ich weiss nicht, was Du für einen Bericht gelesen hast. Im Bericht, den ich gelesen habe, steht nichts dergleichen.

Naja ich habe den Bericht nicht ganz gelesen, die relevantesten Passagen aber hoffentlich schon. Wie's aussieht ist er eigentlich 2 mal gestallt, oder?

[Chipart]

Ist aber auch klar, so lange das Niveau der Automatisierung so lächerlich ist. Die Systeme sind alle unabhängig. Wenn EIN Sensor dazu führt, dass der Flieger rollen fliegt, obwohl wohl ca. 50 andere Sensoren korrekte Werte liefern, hat das mit 'automatisiertem Fliegen' sehr wenig zu tun.

Lass ihn doch - so lange er auch jeden Unfall/Zwischenfall durch Pilotenfehler als "eine weitere Lektion zum Thema nicht-automatisiertem Fliegen" sieht, muss er in Summe ein riesen Fan autonomer Flugzeuge sein!

 

;-)

Florian

[Volume]

 

Wie's aussieht ist er eigentlich 2 mal gestallt, oder?          

Wobei der erste Stall vom Autopiloten "gerissen" wurde, als sich die Anstellwinkelinformation sprunghaft verändert hat, und der zweite vom Piloten nach Kontrollverlust beim Recoveryversuch verursacht wurde. Von daher steht es bei den gerissenen Rollen 5:1 für den Autopiloten ;)  

So verstehe ich es jedenfalls.

Ich glaube man muss noch sehr viel tiefer in den Systemen graben (und dem Bericht mehrfach lessen) um voll zu verstehen, was sich der Autopilot wohl "gedacht" hat, und warum. Er muss ja "gemerkt" haben, das Anstellwinkel, Fahrt, g´s und Masse nicht zusammenpassen. Hat er in dem Fall einfach den simpelsten Fehler angenommen: Fehleingabe der Masse durch den Piloten ? (der Computer macht keine Fehler...)

 

 

Wenn EIN Sensor dazu führt, dass der Flieger rollen fliegt, obwohl wohl ca. 50 andere Sensoren korrekte Werte liefern, hat das mit 'automatisiertem Fliegen' sehr wenig zu tun.          

Das Problem ist halt, mit welcher Logik bestimmt der Computer den fehlerhaften Sensor (in deinem Fall den einen fehlerhaften von 51 vorhandenen).

Ein System mit nur 1xAoA würde man wohl auch in einem autonomen Flugzeug nicht verbauen... Da fragt man sich, wie sowas überhaupt für single pilot IFR zugelassen werden kann...

Ich wage mal zu behaupten, wenn das Flugzeug eine AoA Anzeige gehabt hätte, und der Pilot es gewohnt gewesen wäre sie nutzen, wäre ihm der Fehler sofort aufgefallen. Und wenn der Computer vernünftig programmiert gewesen ware, hätte er es auch "merken" müssen. Aber das ist eben der große Unterschied, ein Computer macht nur exakt das, was ihm der Programmierer dereinst eingebaut hat. Ein Mensch merkt auch das etwas nicht stimmt, wenn er nicht explizit diesen Fehler sucht, sondern einfach nur beobachtet.

 

 

3600° Bank?

Ja, für einen Computer kann sowas logisch sein. Nach 5 Rollen rechts muss man erst wieder 5 Rollen links fliegen, bis er glaubt wieder geradeaus zu fliegen. Als jemand der viel mit Aerodynamik/Flugmechanik programmiert kann ich dieses Problem nur allzugut nachvollziehen... Computer können einfach keine "geschlossenen Koordinaten" bzw. können nur Zahlenstrahl, nicht Zahlenkreis. So zu programmieren, das die Winkeldifferenz wischen 1° und 359° eben -2° und nicht 358° sind bedeutet an hunderten Stellen diesen Spezialfall des Nulldurchgangs abfangen zu müssen... Und wehe man vergisst es irgendwo... Dem Computer kommen dCa/dAlpha von über 10 dann nicht mal spanisch vor, und der Trimmalgoritmus simuliert Kunstflug...

 

Unser Zeiterfassungssystem verlang von mir auch, das Gebäude zweimal zu verlassen, wenn ich zuvor (versehentlich) zweimal eingeloggt habe. Sonst akzeptiert es mich am nächsten morgen nicht. Ich darf aber auch nicht gehen, bevor ich nicht an dem Tag gekommen bin... Das Leben ist zu kompliziert um es in starre Algoritmen zu giessen. Jedenfalls manchmal. Manchmal ist auch der Mensch zu kompliziert für ein einfaches Problem.

 

Aber ein Kompliment an die Cessna Strukturingenieure, 6 Rollen und 4.45g mit schweren Strukturschäden aber ohne zu versagen, das hat schon was.

 

Gruß

Ralf

[fm70]

Wobei der erste Stall vom Autopiloten "gerissen" wurde, als sich die Anstellwinkelinformation sprunghaft verändert hat, und der zweite vom Piloten nach Kontrollverlust beim Recoveryversuch verursacht wurde. Von daher steht es bei den gerissenen Rollen 5:1 für den Autopiloten ;)

So verstehe ich es jedenfalls.

 

Der Autopilot hat überhaupt nichts gerissen. Er befand sich im Modus "vertikale Geschwindikgeit" und machte brav, was von ihm erwartet wurde, bis das Flugzeug im Stall war. Der Pilot merkte es nicht, weil er die Geschwindigkeit nicht überwachte sondern sich mit anderem beschäftigte. Die eingefrorenen Sonde bewirkte lediglich, dass die Stallwarnung nicht funktionierte; der Anstellwinkel interessierte den Autopiloten überhaupt nicht. Also leider komplett an Deinem Lieblingsthema vorbei. So verstehe ich es jedenfalls.

 

Ich glaube man muss noch sehr viel tiefer in den Systemen graben (und dem Bericht mehrfach lessen) um voll zu verstehen, was sich der Autopilot wohl "gedacht" hat, und warum.

 

Vielleicht solltest Du den Bericht tatsächlich noch einmal lesen, insbesondere auch den Schrieb des Flugschreibers nochmals anschauen. Dann siehst Du nämlich, dass sich der Autopilot bereits vor der ersten Gerissenen ausgeschaltet hatte.

 

 

4.45g mit schweren Strukturschäden aber ohne zu versagen, das hat schon was.

 

Das zeigt lediglich, dass Cessna die Bauvorschriften einhält. Reisst mich jetzt nicht wirklich vom Sockel.

Bearbeitet 17. März 2015 von fm70

[Volume]

 

Das zeigt lediglich, dass Cessna die Bauvorschriften einhält. Reisst mich jetzt nicht wirklich vom Sockel.          

Ganz so einfach (wie sich viele Piloten das ebenfalls denken) ist es nicht.

Ein Flugzeug muss nicht in der Lage sein, mehr als die zulässigen g´s tatsächlich zu fliegen. Die Sicherheit (von 1.5) soll lediglich sicherstellen, dass innerhalb der zulässigen Betriebsgrenzen immer eine ausreichende Wahrscheinlichkeit vorhanden ist, das die Struktur nicht versagt. In der Sicherheit sind allerlei Aspekte enthalten, die nichts mit der tatsächlichen Reserve im Flug zu tun haben. So ist z.B. die natürliche Streuung der Materialfestigkeit, die Bautoleranzen (z.B. Dicke der Bleche), die Herstellungsqualität, Ungenauigkeiten in der Aerodynamischen Berechnung, Ungenauigkeiten bei den Belastungsversuchen etc. mit abgedeckt. Es ist OK, dass sich ein Flugzeug beim Überschreiten der Betriebsgrenzen bleibend verformt (was hier ja ganz offensichtlich geschehen ist), es braucht aber nicht betrachtet zu werden, wie sich diese Verformung auf die Luftkräfte auswirkt, sprich die verformte Struktur braucht nicht die aerodynamischen Lasten auszuhalten, die eine verformte Struktur produziert.

Ausserdem braucht nur die Primärstruktur zu halten, ab limit load darf z.B. die Steuerung verklemmen, darf der Tank aufbrechen, dürfen Hydraulikleitungen abreissen etc.

Sicherheit ist nicht voll ausreizbare Reserve! Sicherheit stellt nur sicher, dass der zulässige Bereich ohne Risiko voll ausgeschöpft werden kann.

 

Insofern ist es schon etwas besonderes, wenn ein Flugzeug trotz erheblicher Schäden noch Manöver fliegen kann, für die es nicht zugelassen ist.

 

Gruß

Ralf

[sirdir]

Das Problem ist halt, mit welcher Logik bestimmt der Computer den fehlerhaften Sensor (in deinem Fall den einen fehlerhaften von 51 vorhandenen).

Das ist eben das Problem. Heute finden da so gut wie keine Crosschecks statt. Jedes System ist mit wenigen Sensoren verbunden und kümmert sich nicht um den Rest. Die 'grosse Übersicht' fehlt. Ausserdem gehört da ein 'virtueller Angsthase' rein, d.h. wenn eine Aktion des Computers zu Sensorwerten führt (egal welche) die dem Wohlbefinden der Insassen abträglich sind, dann muss man nochmal über die Bücher.

 

Aber eben, das war hier ja gar nicht das Problem - ausser eben, dass der Flieger den Piloten zu wenig beschützt hat.

Wenn man aber eine Stallwarning nur vom AOA abhängig macht, wenn man noch nen funktionierenden ASI hat...

Ausserdem, bei nem AOA gehört da IMHO noch mer 'crosscheck' rein. Hab mir das schon kürzlich überlegt, als ein AOA-Sensor an nem Vorfall beteiligt war.

Es ist ja schon mal gut, wenn der AOA als invalid markiert wird, wenn sich andere Parameter ändern, der aber stehen bleibt. Nur hat das in diesem Fall offenbar nicht so gut geklappt. Für ein autonomes Flugzeug könnte man z.B. etwas einbauen, was in regelmässigen Abständen kleinste Bewegungen des AOA Sensors provoziert (sei es elektrisch, hydraulisch, pneumatisch, whatever) und wenn das nicht funktioniert, dann weisste Bescheid...

[FalconJockey]

Ja, ich sehe das nicht als ein Problem der Automation, sondern wieder mal ein "Owner Pilot", der keine Flugzeuge mit Respekt betreiben kann. Wie zum Teufel kann man denn bitte nicht aufpassen und eine Citation auf FL430 stallen!?!? Vielleicht weil man nicht ins QRH geschaut hat, um zu prüfen, ob man leicht genug für diese Höhe ist? Oder weil man "passt schon!" gesagt hat? Ausserdem hat man als Pilot Flying, besonders wenn man ALLEINE ohne ein zweites Paar Augen fliegt, in den letzten 1000ft vor dem Erreichen der gesetzten Höhe nichts, aber auch gar nichts zu tun, als den Level-Off zu überwachen. Da muss einem doch auffallen, dass die Geschwindigkeit nicht okay ist.

 

Genau wegen solchen Vorfällen sind Owner Pilots sehr gut damit beraten, sich einen echten, professionellen Piloten mitzunehmen, der einem hilft, wenn man ein komplexes Flugzeug nach IFR betreibt. Die Leute haben keinen Respekt vor den Dingen, die durch kleine Fehler schnell richtig in die Hose gehen können. Wir haben bei uns einige Kunden, die selbst Pilot sind. Die wissen warum sie fliegen lassen und das nicht selbst tun - sie können es eigentlich, haben aber nicht ausreichend Routine, um es sicher zu können. Das ist einfach so, das bleibt so und nur die Dummen fliegen alleine: "Geht ja immer gut".

 

Synopsis

 

As the aircraft approached its cruising altitude of FL430, the pilot was not monitoring the

indicated airspeed and the aircraft stalled, departing from controlled flight in a series of five

360° rolls to the right. The pilot briefly regained control before the aircraft stalled again and

in the following recovery, the aircraft’s wings were damaged in overload. The pilot made a

successful landing and examination of the aircraft’s recorded data revealed that the angle

of attack (AOA) sensing system had ‘stuck’ in flight and the aircraft’s stall warning system

did not operate prior to the stall onset. Two Safety Recommendations are made, relating to

the continued airworthiness of the AOA sensing system.

 

 

History of the flight

 

The aircraft was kept in a heated hangar at Leeds Bradford Airport. On the day of the

accident the owner planned to fly, with one passenger, from Leeds Bradford Airport to

Palma de Majorca, Spain. He occupied the left cockpit seat and the passenger sat towards

the middle of the cabin on the right side, wearing a three-point harness. Three small dogs

were in the cabin, unrestrained, on and around the passenger’s lap. Before flight the owner

had conducted a pre-flight inspection, noting no defects. The pitot and static heat were

selected on before departure and the takeoff and initial climb were without incident. The

aircraft followed a southerly track, climbing continuously towards the planned cruising level

of FL430.

 

 

The pilot later reported one brief icing encounter, which he described as a “flash” of frost

across an unheated area of the windscreen. The engine anti-ice had been selected on

earlier in the climb and the pilot then selected the wing and tail de-ice on as a precaution,

although no ice was seen on the wing at any time. The engine, wing and tail ice protection

systems were selected off later in the climb.

 

The climb was conducted with the autopilot engaged in vertical speed (VS) mode with

a selected rate of climb of 2,000 ft/min and the thrust levers, for the FADEC-controlled

engines, in the Maximum Continuous Thrust (MCT) detent. As the aircraft climbed, the

selected rate was reduced in 500 ft/min decrements and, passing FL 410, the aircraft was

climbing at 1,000 ft/min. At this point (1057:38 hrs) recorded aircraft data shows that the

indicated airspeed reduced below 150 kt. The indicated airspeed continued to decrease,

reducing below 140 kt, 46 seconds later. The pilot noted that the indicated airspeed was

lower than he had expected, with the green ‘donut’ marker on the speed tape (indicating

Vref)1 being slightly faster than his actual airspeed. He therefore reduced the rate of climb

to 500 ft/min. The recorded data suggests that this occurred around 1059:17 hrs, when

the indicated airspeed was 128 kt. Based on his experience, the pilot considered that

the selection of a vertical speed of 500 ft/min should have managed the aircraft’s energy

sufficiently to achieve FL430 without incident. However, recorded data shows that over the

next 50 seconds, the speed gradually reduced by a further 10 kt.

 

At some point between FL420 and FL430 the pilot noted the upper wind, displayed on the

primary flight display (PFD), and decided to check the forecast winds chart that he had

saved on his tablet-style portable electronic device (PED). He therefore looked down to the

PED, located on the unoccupied right cockpit seat for what he believed to be a second or

two. The pilot later recalled being “head down” looking at the PED when, without warning,

he heard a ‘click’ and the aircraft pitched severely nose-down and rolled to the right. He

thought that the stick shaker may have activated once as the aircraft pitched down; data

shows that this occurred at 1100:08 hrs.

 

The pilot then recalled a violent and very confusing rolling departure from controlled flight.

The aircraft almost immediately entered high cirrus cloud, obscuring the horizon. The

pilot was unable to interpret the PFD attitude indicator, which he described as presenting

information that he could not recall having seen before. He did not recall exactly how long

this persisted but he did recall checking both the left and right PFD displays, which were

similar in appearance.

 

The pilot made several attempts to recover the aircraft, although he could not later recall

what control inputs he made. He recalled selecting idle thrust and achieving almost level

flight at one point but, he had not increased thrust and the aircraft slowed rapidly and again

departed from controlled flight. During the period that the aircraft was out of control it

descended into clearer air between cloud layers, with a visible external horizon allowing the

pilot to regain control.

 

The pilot re-established communications with ATC who instructed him to maintain FL280.

He believed that he had re-engaged the autopilot, but when he released the yoke the

aircraft immediately adopted a nose-up attitude and climbed approximately 2,000 ft before

he regained control. He then noted that the pitch trim was in the fully nose-up position and

the autopilot had not engaged.

 

Having set an appropriate trim position and now in a stable flight regime, the pilot confirmed

that his passenger was uninjured. He noted damage to the upper surface of the left wing

and his passenger reported similar damage to the right wing.

 

Given the damage to the aircraft, the pilot did not want to exceed 1,000 ft/min during descent

and therefore he estimated that it would take 25 to 30 minutes to land. This placed Leeds

Bradford Airport within the available options and, as he had only recently left that airport,

was certain of the weather and was familiar with the airport, he considered this the best

option with the lowest risk. He informed ATC of his decision and the remainder of the flight

was without further incident. The pilot stated that the aircraft handling appeared unchanged

by the damage it had sustained.

 

The pilot, passenger and the dogs were uninjured.

 

 

 

[...]

 

 

 

At 1053:43 hrs while climbing through FL356, the indicated airspeed stabilised at 180 kt as

the vertical speed reduced from approximately 1,750 ft/min to 1,400 ft/min. This airspeed

was maintained for a minute after which it began to reduce. At 1056:41 hrs, the vertical

speed reduced further to 1,000 ft/min as the aircraft climbed through FL395 at an indicated

airspeed of 158 kt.

At 1059:17 hrs, at FL420 and 128 kt, a further reduction in the vertical speed to

500 ft/min was recorded but this did not stop the decay in airspeed.

Wie doof kann man eigentlich sein und so langsam werden? Wenn man da oben merkt, dass das Flugzeug unter Einhaltung einer vernünftigen Geschwindigkeit nicht mehr steigt, dann hat man die maximale Höhe bereits überschritten und sollte seinen geplanten Steigflug abbrechen und eine niedrigere Reiseflughöhe, zumindest vorrübergehend, verlangen. Solche Volltrottel machen mich echt wütend. Dass diese Kisten nur ein AOA-Vane haben, ist dann auch keine Hilfe. Mit weniger als funktionierenden AOA-Vanes geht man nicht fliegen oder kauft ein anderes Flugzeug und wer das Geld nicht hat, der sollte keines kaufen.

[F-LSZH]

 Der Autopilot hat überhaupt nichts gerissen. Er befand sich im Modus "vertikale Geschwindikgeit" und machte brav, was von ihm erwartet wurde, bis das Flugzeug im Stall war. Der Pilot merkte es nicht, weil er die Geschwindigkeit nicht überwachte sondern sich mit anderem beschäftigte. Die eingefrorenen Sonde bewirkte lediglich, dass die Stallwarnung nicht funktionierte; der Anstellwinkel interessierte den Autopiloten überhaupt nicht. Also leider komplett an Deinem Lieblingsthema vorbei. So verstehe ich es jedenfalls.

So hatte ich es auch verstanden, dass der Pilot die abnehmende Steigrate in grossen Höhen nicht berücksichtigt hatte und die Geschwindigkeit nicht überwacht hat. Ist bei mir aber schon ein paar Monate her, dass ich den Bericht gelesen hatte. Ich hatte den Fall jedenfalls unter "Amateurfehler" verbucht.

 

Friedrich

[Volume]

 

Der Autopilot hat überhaupt nichts gerissen.

...

He then noted that the pitch trim was in the fully nose-up position

Wer hat da denn bitte die Trimmung verstellt, um irgendwie trotz zu geringer Fahrt den Flieger am steigen zu halten? Der Pilot hat selbst gesagt, er hat nur die Steigrate am Autopiloten geändert, er wollte dass der Flieger weniger steigt und schneller wird, dann hat er bestimmt nicht manuell voll schwanzlastig getrimmt.

Praktisch das selbe Problem wie bei AirFrance, der Pilot hat was vom Computer gewünscht, der Computer hat stur bis Anschlag getrimmt um das Gewünschte liefern zu können, obwohl das physikalisch nicht mehr ging. Der Computer hat AoA nicht überwacht, obwohl es das A und O der Fliegerei ist. Es hätte dem Computer auffallen müssen, das hier Parameter aus dem "Komfortfenster" laufen, und sich ein Problem anbahnt.

 

Aus gutem Grund (KISS Prinzip) versucht man möglichst einfache Algorithmen zu benutzen. Im Idealfall einfach eine direkte Verknüpfung eines Parameters mit einer Steuereingabe, also z.B. Fahrt mit Autothrust. Komplizierte Lösungssuche führt zu zu vielen unvorhersehbaren (und in der Testphase nicht nicht simulierbaren) Szenarien. Das Problem entsteht, wenn der signifikanteste Parameter zur Bestimmung der Situation nicht der ist, der zeigt dass etwas aus dem Ruder läuft. Es hätte dem Computer auffallen müssen, dass die Werte für Statischen Druck, Aussentemperatur, Flugzeugmasse, C/G, AoA, Gesamtdruck, Powersetting, Climb Rate und Trimmstellung nicht zusammenpassen. Sowas kann verschiedenste Gründe haben, von einem Spritleck (man ist leichter als man denkt) über Vereisung (es braucht mehr Anstellwinkel als Normal um das Ca zu erreichen) bis zu Klappenstellung (jammed). Es kann aber auch zeigen, dass irgendein Eingabewert nicht stimmt (Masse, C/G), oder irgendein Sensor spinnt. In jedem Fall sollte das eine Warnmeldung generieren. Es stimmt was nicht, Cheffe bitte mach mal einen vollen Scan aller Parameter, ich kann dir so das bestellte nicht liefern.

Als einzige Reaktion das Flugzeug voll schwanzlastig zu trimmen, sieht nicht sehr angemessen aus...

 

So jedenfalls verstehe ich den Bericht, auch in Kenntniss der "Steuergesetze" typischer Autopiloten.

 

Gruß

Ralf

[qnh1013]

Der Computer hat AoA nicht überwacht, obwohl es das A und O der Fliegerei ist. Es hätte dem Computer auffallen müssen, das hier Parameter aus dem "Komfortfenster" laufen, und sich ein Problem anbahnt.

Hallo,

 

wenn der Computer den AOA überwacht und der Paramter ausläuft, dann macht der Flieger auch nicht was er soll. Passiert beim Airbus ab und an. Es kann nicht immer alles vom Computer erwartet werden. Irgendwas muss der Pilot auch tun, das lässt sich dieser Tage eben einfach noch nicht ändern.

 

Gruss Michael

[Chipart]

Sorry ralf, ich verstehe echt nicht, was Du willst.

 

Auf der einen Seite gibst Du Dich als strikter Gegener der Automatisierung, auf der anderen Seite forderst Du, dass selbst bei einem relativ simplen Flugzeug wie einer CJ2 "der Computer" sämtliche Daten aller Sensoren miteinander verknüpft und den Piloten davon abhält, Fehler zu machen. was denn jetzt? Soll mir mein Flugzeug jetzt vorschreiben, was ich machen darf (bis zu dem Punkt dass es mich zum Fliegen auch nicht mehr braucht), oder nicht?

 

Im konkreten Fall hat der AP exakt das gemacht, was der Pilot ihm gesagt hat: Die gewählte Einstellung im AP bedeutet "egal, was passiert, ziehe so lange am Höhenruder bis wir die von mir gewünschte Steigrate haben."

 

Florian

[fm70]

Als einzige Reaktion das Flugzeug voll schwanzlastig zu trimmen, sieht nicht sehr angemessen aus...

 

... ist aber genau das, was de Pilot vom Automaten verlangt hat. Vielleicht wird ja unter anderem auch wegen solchen Dingen ein Typerating verlangt.

[FalconJockey]

Bei einem richtigen Flugzeug steigt der Autopilot aus, bevor er so langsam fliegt...

[fm70]

Bei einem richtigen Flugzeug steigt der Autopilot aus, bevor er so langsam fliegt...

 

Was auch immer ein «richtiges» Flugzeug ist. Eines, das von «richtigen» Piloten geflogen wird?

 

Man könnte hier noch erwähnen, dass für die Extra-400 ein Typerating verlangt wird, weil vor etwa 15 Jahren eine solche wegen genau der gleichen Ursache (Überziehen durch den Autopiloten im VS-Modus) abgestürzt ist. Zitat aus jenem Unfallbericht:

 

 

... Lufttüchtigkeitsanforderungen FAR 23 ... In dieser Luftfahrzeuggruppe sind Bordsysteme ... nur einfach vorhanden. Die Überwachung und Einhaltung des sicheren Flugbereichs obliegt hier ausschliesslich dem Piloten.

 

 

[Chipart]

Bei einem richtigen Flugzeug steigt der Autopilot aus, bevor er so langsam fliegt...

Aber ob das die beste Lösung ist?

 

Es soll ja schon Fälle gegeben haben, in denen der AP sich völlig regelkonform deaktiviert hat, der Pilot aber so überrascht von der Tatsache war, dass er jetzt das Flugzeug selber fliegen muss, dass er es in den Dreck gestallt hat.

 

So, lange bis wir unsere Flugzeuge mit Systemen für autonomen Flug ausgerüstet haben, bleibt einfach eine Grundwahrheit richtig: Ist der Pilot nicht jederzeit "on Top of Things", dann ist es reines Glück, wenn der Flieger nicht abstürzt. Da kann der AP weder was dafür, noch dagegen.

 

Florian

[INNflight]

 

 

Based on his experience, the pilot considered that

the selection of a vertical speed of 500 ft/min should have managed the aircraft’s energy

sufficiently to achieve FL430 without incident. 

 

Never assume, it usually makes an ass out of u and me. 

Kenne die Modi des CJ2 nicht, aber genau um diesen Fall zu verhindern gibt's ja den "(flight) level change" Mode. Kann ein CJ das? 

 

Sieht danach aus, als hätte der Kollege einfach Glück gehabt. Das ist halt leider auch einer der Unterschiede zwischen Operations mit strengen SOPs und privaten Fliegern.

In einer vernünftigen Operation wird 1000 Fuss vor Cruising Altitude nicht nach windcharts auf nem PED gesucht, da wird der Level Off überwacht und aktiv confirmed, sonst gar nichts.

 

Anywayyyy - his lucky day. Vielleicht ist er ja jetzt Kunde bei Andreas...  :)

Bearbeitet 18. März 2015 von INNflight

[Volume]

 

Ist der Pilot nicht jederzeit "on Top of Things", dann ist es reines Glück, wenn der Flieger nicht abstürzt.

Absolut !

 

Da kann der AP weder was dafür, noch dagegen.

 

Naja, er kann es dem Piloten einfach machen jederzeit "on Top of Things" zu sein, oder ein Eigenleben haben das schwer durchschaubar ist.

Wenn ich vom Autopiloten etwas verlange, dass er nicht kann, dann soll er mir das bitte sagen. Wenn ich z.B. Climb Rate eindrehe, dann können die Ziffern von Grün über Gelb auf Rot wechseln, und mir anzeigen was derzeit empfehlenswert, möglich, und unmöglich ist.

Und darin ist unbestritten der Computer besser als der Mensch, schnell und exakt zu berechnen was mit den derzeit vorhandenen Parametern möglich ist.

 

 

Auf der einen Seite gibst Du Dich als strikter Gegener der Automatisierung, auf der anderen Seite forderst Du, dass selbst bei einem relativ simplen Flugzeug wie einer CJ2 "der Computer" sämtliche Daten aller Sensoren miteinander verknüpft und den Piloten davon abhält, Fehler zu machen. was denn jetzt?

Es ist schon klar, was wir brauchen:

Systeme die alle relevanten Informationen möglichst übersichtlich darstellen, die den Piloten bestmöglich beschützen und informieren, die ihm aber die letzte Entscheidung überlassen, ihn nicht bevormunden. Wie CRM, nur eben mit einem Elektrischen Crewmitglied. Jeder soll tun was er am besten kann, und die anderen jeweils genau darin unterstützen. Und niemand soll etwas von sich aus machen, ohne zunächst Konsens darüber im Cockpit zu erreichen. 

 

Vom TCAS erwarten wir ja auch, dass es uns erstmal die anderen Flugzeuge zeigt, wenn es kritischer wird uns etwas empfieht, und wenn es richtig eng wird uns etwas anweist. Ich könnte auch mit einem Zwangsausweichen durch den AP leben, wenn der Pilot bis dahin nicht reagiert hat.

 

Das selbe erwarte ich von einem Autopiloten oder Flugsteuerungscomputer, wenn ich etwas versuche was nicht funktionieren wird, dann soll mich mein Flugzeug zunächst informieren, dann warnen, und im Zweifelsfalle wenn ich es nicht bewusst unterbinde ("großer Roter Knopf") auch daran hindern. Und ohne Frage kann ein Computer oft besser bestimmen, was funktionieren wird, und was nicht. Und er muss merken können, wenn er nicht in der Lage ist mich zu beraten/unterstützen/beschützen, und darauf aufmerksam machen.

Er soll aber bitte nicht "hinter meinem Rücken" etwas machen, dass ich nie im Leben gemacht hätte. Kein Pilot wird jemals im Reiseflug die Trimmung an den schwanzlastigen Anschlag fahren. Wenn der Autopilot sowas macht, dann soll er das bitte eindeutig anzeigen (Farbe der Trimanzeige, Geräusch) und mir die Gelegenheit geben, meine Kommandos an ihn zu überdenken und ggfs. zu revidieren.

Ich kenne jetzt die genaue Systemarchitektur des CJ2 nicht, aber ich gehe mal davon aus, auch der Autopilot bekommt einen AoA Sensor Input, und entscheidet danach, wann er aussteigt. Ich kann mir kaum vorstellen, das er ein Flugzeug ohne "Sicherung" bis in den Stall fliegt. Dazu muss zunächst irgendeine Sensorik ausfallen.

 

 

Die gewählte Einstellung im AP bedeutet "egal, was passiert, ziehe so lange am Höhenruder bis wir die von mir gewünschte Steigrate haben."

 

Wenn das die Einstellung bedeutet, dann ist der Autopilot Schrott. Denn es würde ignorieren, das mehr ziehen eben nicht immer mehr steigen bedeutet. Dieses Regelgesetz stimmt nur vor der Leistungskurve. Wenn ein Autopilot (ausschließlich) dieses Regelsetz anwendet, dann muss er bei erreichen von vY aussteigen. Wenn er das Regelgesetz bis in den Stall anwendet, dann ist er falsch konstruiert. 

(Das hat hier ja auch eine Rolle gespielt, bei hinreichender Geschwindigkeit "vor der Leistungskurve" wäre die vom Piloten halbierte Steigrate ja möglich gewesen, nur da er bereits dank des Autopiloten und seiner mangelhaften Überwachung "hinter der Leistungskurve" war, war auch diese Steigrate nicht mehr möglich, er hätte ausleveln und zunächst beschleunigen müssen)

 

 

Wie auch immer, wenn man das Flugzeug das man fliegt nicht ändern kann, dann muss man es eben so bedienen wie es eben bedient werden muss, um es sicher zu betreiben. Die ultimative Verantwortung liegt bei den Handbuchautoren und Einweiseisern, und am Ende dann beim Piloten und den Fluglehrern die ihm dereinst ein "good Airmanship" und die Theorie beigebracht haben.

Ein 100% idiotensicheres Flugzeug wird es genausowenig jemals geben, wie ein 100% sicheres autonomes Flugzeug.

 

 

Gruß

Ralf

[DaMane]

................

Das ist halt leider auch einer der Unterschiede zwischen Operations mit strengen SOPs und privaten Fliegern.

In einer vernünftigen Operation wird 1000 Fuss vor Cruising Altitude nicht nach windcharts auf nem PED gesucht, da wird der Level Off überwacht und aktiv confirmed, sonst gar nichts.

..............

 

.....und ich hätte gedacht, daß ein Pilot dazu überhaupt keine SOPs brauchen dürfte ;)

Ja, ich weiß, ich bin wahrscheinlich wieder mal im 'falschen Film' B)

 

Gruß

Manfred

[sirdir]

.....und ich hätte gedacht, daß ein Pilot dazu überhaupt keine SOPs brauchen dürfte ;)

Ja, ich weiß, ich bin wahrscheinlich wieder mal im 'falschen Film' B)

Ja, manchmal staunt man als kleiner PPLer, der eh nie nen Autopiloten zur Verfügung hatte (die Dinger waren entweder nicht vorhanden oder kaputt) schon, wie manche so fliegen...

[qnh1013]

Das selbe erwarte ich von einem Autopiloten oder Flugsteuerungscomputer, wenn ich etwas versuche was nicht funktionieren wird, dann soll mich mein Flugzeug zunächst informieren, dann warnen, und im Zweifelsfalle wenn ich es nicht bewusst unterbinde ("großer Roter Knopf") auch daran hindern. Und ohne Frage kann ein Computer oft besser bestimmen, was funktionieren wird, und was nicht.

Hallo,

 

woher soll der Computer wissen, das die Steigrate nicht möglich ist? Dazu braucht er mindestens das Gewicht (kann auch falsch eingegeben sein). Oder er geht von MaxWeight aus, dann ist man aber immer eingeschränkt wenn man nicht voll beladen ist. Oder der AP muss das Gewicht feststellen, dazu braucht man den AoA. Nun ist dieser ja kaputt. Also was tun? V/S nicht mehr erlauben?  Vielleicht möchte man ja Speed in Hoehe umsetzen, das aber nur kurz. Alles nicht so einfach. Das ganze sprengt natürlich auch den Rahmen eines Autopiloten.

 

Man kann auch einen Airbus mit V/S in den Stall ziehen. Oder zumindest in die Protection. Wer mit V/S fliegt, der muss eben aufpassen.

 

Und „grosser roter Knopf“ ist auch keine gute Idee. Weil nämlich sehr viele Menschen da sofort drauf drücken sobald sie was nicht verstehen und damit auch jeden Schutz der vielleicht vorhanden ist, abschalten.

 

Gruss Michael