15.12.2014 | LoganAir | SB20 | G-LGNO | EGPB | Blitzschlag u. anschl. Kontrollverlust

[cosy]

Hier ein Summarischer Bericht über die Analyse des Vorfalls einer Saab2000 in heavy storm IMC Condition mit Blitzschlag. Die Untersuchungsergebnisse sind sehr interessant.

 

[Volume]

In der Tat.

Wobei das ganze natürlich nichts mit Sturm, IMC oder Blitzsschlag zu tun hat, sondern mit Piloten die nicht verstehen, wie ihre Systeme (insbesondere der Autopilot) konstruiert sind... Wieder mal ein klassisches Mensch-Maschine-Schnittstelle Problem.

 

Das nicht längst eine Warnung vorgeschrieben wurde, wenn Piloten gegen den Autopiloten kämpfen, ist für mich sehr unverständlich. Sobald die Systeme merken, dass Pilot und Autopilot das Flugzeug fliegen, müsste ein Warnhorn losgehen. Genauso wenn die zwei Piloten gegeneinander steuern.

 

Gruß

Ralf

[Danix]

habe jetzt den Bericht noch nicht gelesen, aber eine Eigenart der SB20 ist, dass sie sehr hohe Steuerdrücke aufweist, vor allem auf dem Querruder.

 

Dadurch gewöhnen sich Piloten an, dass sie immer gegen eine hohe Kraft ankämpfen müssen. Dass sie das dann im Stress mit dem Druck des Autopiloten verwechseln, ist sehr gut nachzuempfinden.

 

Sicher ist das auch ein Schnittstellenproblem, und sicher könnte man immer noch etwas besser machen. Aber Piloten sind halt auch Menschen, und jeder Mensch macht jeden Augenblick mehrere Fehler. Und vor allem wenn er unter Druck steht.

 

Dani

(etwa 6000h Flugerfahrung auf der SB20)

[Chipart]

 sondern mit Piloten die nicht verstehen, wie ihre Systeme (insbesondere der Autopilot) konstruiert sind... Wieder mal ein klassisches Mensch-Maschine-Schnittstelle Problem.

 

Das lese ich anders: In diesem Fall waren die Piloten nach einem Blitzeinschlag so panisch, dass sie gar nicht so weit gekommen sind, über Systeme nachzudenken, weil sie ihre Umgebung nur noch sehr eingeschränkt wahrgenommen haben. Sie haben nicht gemerkt, dass im PFD völlig korrekt angezeigt wurde, dass der AP noch aktiviert ist, sie haben nicht gemerkt, dass sie am Anfang sehr wohl gestiegen sind. Sie haben nicht gemerkt, dass (durch eine "blinkende Anzeige im PFD" signalisiert!) der AP die Trimmung gerade nach unten laufen läßt.

 

In dieser Situation geht es nicht um Systemkenntnis, sondern um ganz klassische menschliche Stressbewältigung.

 

Florian 

[Touni]

@Dani

 

 

 

In terms of human factors, the Investigation noted that for an aircraft with fly-by-wire controls such as the Saab 2000 which lack any physical feedback

 

Gibt ja gar kein Feedback - wenn der AP gegensteuert.

[Maxrpm]

. Aber Piloten sind halt auch Menschen, und jeder Mensch macht jeden Augenblick mehrere Fehler. Und vor allem wenn er unter Druck steht.

 

Dani

(etwa 6000h Flugerfahrung auf der SB20)

 

Ganz sicher - deshalb ist das meiner Überzeugung nach ein echte Design Problem bei der SB20. Ich wusste gar nicht , dass es Flugzeuge gibt bei denen der AP nicht aussteigt wenn der Pilot dagegenhält. Ist offensichtlich zugelassen worden. Bei so einem Design würde ich den Piloten in jedem Training einhämmern, dass sie AP disscontect gehen müssen sobald es irgend ein flight control problem auch nur zu geben scheint. So lange und so oft - bis Autopilot dissconect eine Art Panic mode wird.

 

Wolfgang

[Chipart]

Bei so einem Design würde ich den Piloten in jedem Training einhämmern, dass sie AP disscontect gehen müssen sobald es irgend ein flight control problem auch nur zu geben scheint. So lange und so oft - bis Autopilot dissconect eine Art Panic mode wird.

 

Wundert mich (als Laien) ehrlich gesagt, dass das nicht Standard ist. Das bekommt man ja schon in der PPL-Ausbildung (bzw. beim vertrautmachen mit einem Muster mit AP) "eingehämmert": Wenn man das Yoko selber in die Hand nimmt ist die erste Bewegung der Druck auf den AP-Disconnect Knopf - und das nicht nur bei möglichen Problemen, sondern immer.

 

Bei ELA-Flugzeugen hat das zwar nen anderen Grund (nämlich, dass dort die AP-Servos kaputt gehen können, wenn man zu stark dagegen reisst), aber im Effekt ist so ein Automatismus sehr sinnvoll.

 

Florian

[Maxrpm]

Wundert mich (als Laien) ehrlich gesagt, dass das nicht Standard ist. Das bekommt man ja schon in der PPL-Ausbildung (bzw. beim vertrautmachen mit einem Muster mit AP) "eingehämmert": Wenn man das Yoko selber in die Hand nimmt ist die erste Bewegung der Druck auf den AP-Disconnect Knopf - und das nicht nur bei möglichen Problemen, sondern immer.

 

 

 

Wozu? Bei fast allen Flugzeugen der Airlines schaltet der Pilot den Autopiolten aus wenn er oder sie beherzt zum Yoke greift. In den Precedures ist das "AP off" immer drin, aber es macht eine grossen Unterschied mit welcher Priorität etwas im Trainng hervorgehoben wird.  

 

Wolfgang

[qnh1013]

In den Precedures ist das "AP off" immer drin,

Hallo,

 

das hilft aber nicht, wenn der Pilot denkt das der AP aus ist.

 

Da braucht es nicht eine weitere Warnung, sondern der AP muss aus gehen sobald man irgendwas an den Controls macht.

 

Gruss Michael

[Volume]

der AP muss aus gehen sobald man irgendwas an den Controls macht.

Was allerdings auch bereits zu Unfällen geführt hat...

 

Von daher ist es sicherer, bei "kleinen Differenzen" zwischen Pilot und AP erstmal zu warnen, und erst bei "klaren Differenzen" den AP automatisch zu deaktivieren.

Das A und O ist aber immer, dass der Pilot wissen muss was seine Systeme machen, wann sie warnen, wann sie nicht warnen, wann sie abschalten, wann sie an bleiben, und wie man sie standardmäßig bedienen soll.

Es sollte nie der Normalzustand sein, dass zwei Parteien (egal ob Mensch oder System) gleichzeitig das Flugzeug fliegen.

 

Und man sollte sehr vorsichtig mit Standardverfahren sein. Ganz offensichtlich war der Pilot trainiert, bei Blitzschlag ein Problem mit den Generatoren und ein daraus resultierenden Ausfall des Autopiloten zu erwarten, und dann manuell zu fliegen. Nun war aber genau nicht dieser gut trainierte Fall eigetreten, und der Pilot davon überrascht, dass sein gelerntes Verfahren nicht funktioniert.

 

Dieser Unfalltypus ("es passiert etwas ungewöhnliches und der Pilot ist überfordert, unterinformiert und falsch konditioniert") kommt immer häufiger vor. Da es aber jedes mal etwas anderes ungewöhnliches ist, wollen viele diesen Zusammenhang nicht sehen.

 

Gruß

Ralf

[Chipart]

das hilft aber nicht, wenn der Pilot denkt das der AP aus ist.

Und ich dachte, Standard-Procedures seien gerade dafür gemacht, dass man eben nicht etwas (falsches) denken muss, sondern einfach den AP-Disconnect-Knopf drückt - ganz egal, ob man "denkt", der sei eh aus oder kaputt oder was auch immer.

 

Warum baut man in die Procedures massive Fehlerquellen ein ("Du musst den Knopf nicht drücken, wenn Du denkst, der AP ist eh aus"), wenn es nicht mal eine Sekunde kosten würde, den Knopf zu drücken, nur um dann ...

Da braucht es nicht eine weitere Warnung, sondern der AP muss aus gehen sobald man irgendwas an den Controls macht.

 

... noch fehleranfällige Technik einbauen zu müssen, um das wieder gerade zu biegen, was man gerade im Procedure verbaselt hat?

 

Florian

[qnh1013]

Warum baut man in die Procedures massive Fehlerquellen ein ("Du musst den Knopf nicht drücken, wenn Du denkst, der AP ist eh aus"), wenn es nicht mal eine Sekunde kosten würde, den Knopf zu drücken, nur um dann ...

... noch fehleranfällige Technik einbauen zu müssen, um das wieder gerade zu biegen, was man gerade im Procedure verbaselt hat?

Hallo,

 

es steht doch in den meisten Procedures drin "AP off". Es wird niemand denken, "Ich muss nicht drücken, ist ja schon aus". Wenn man soweit denkt, dann guckt man einfach aufs Display und weiß das dann genau. Der Kollege hat einfach falsch gedacht. Er hat nicht überprüft was seiner Meinung nach nicht zu prüfen war, denn von seiner Sicht war der AP längst aus.

 

Da muss man nix einbauen. In jedem Flugzeug das ich geflogen bin, geht der AP aus wenn die Controls bewegt werden. Da braucht es auch keine Warnung "Achtung der AP ist noch an". Wenn die Steuerung bewegt wird dann AP automatisch aus, das wird erwartet.

 

Gruss Michael

Bearbeitet 15. Februar 2017 von qnh1013

[Volume]

Es ist schon ein bisschen Gaga auf das Ereignis "AP Ausfall nach Blitzschlag" als erstes mit "AP Ausschalten" zu reagieren...

Deshalb würde ich schon gerne mal, die betreffenden Handbücher sehen. Würde mich nicht wundern, wenn da eben nicht "AP aus" steht.

 

Gruß

Ralf

[Chipart]

es steht doch in den meisten Procedures drin "AP off". Es wird niemand denken, "Ich muss nicht drücken, ist ja schon aus". Wenn man soweit denkt, dann guckt man einfach aufs Display und weiß das dann genau. Der Kollege hat einfach falsch gedacht. Er hat nicht überprüft was seiner Meinung nach nicht zu prüfen war, denn von seiner Sicht war der AP längst aus.

Worauf ich raus will: Der Pilot hat nicht einen Fehler gemacht ("Nicht überprüft, was seiner Meinung nach nicht zu überprüfen war") sondern auch einen zweiten, viel gravierenderen: Nicht ausgeführt, was er ohne überhaupt zu denken hätte ausführen sollen!

 

Wir sind hier nicht in einer Situation, in der er sich zwischen zwei Optionen hätte entscheiden müssen und halt die falsche gewählt hat. Er hat eine sehr einfacht Tätigkeit, die keinerlei negative Konsequenzen haben konnte, nicht ausgeführt -vielleicht, weil er dachte er ist schlauer als die Checkliste und der AP ist schon aus, vieleicht auch, weil er unter Druck gar nicht mehr in der Lage war, auch nur einfachste Tätigkeiten sinnvoll auszuführen.

 

Das ist übrigens nicht der einzige derartige Fehler dieses Kapitäns: Auch im weiteren Verlauf hat er - trotz abweichender Hinweise und in Frage stellen durch die FO - darauf beharrt, dass seine Vorstellung von der Wirklichkeit (Steuersystem kaputt) richtig sein muss und sich nicht die Mühe gemacht, das zu hinterfragen/überprüfen.

 

Florian

[Chipart]

Es ist schon ein bisschen Gaga auf das Ereignis "AP Ausfall nach Blitzschlag" als erstes mit "AP Ausschalten" zu reagieren...

Wie dieser Unfall zeigt ist das gar nicht Gaga: Checklisten sind ja gerade dafür da, möglichst große Sicherheit zu geben auch und gerade in Situationen, in denen man nicht 100% sicher sein kann (oder zumindest nicht 100% sicher sein sollte) was genau das Problem ist.

 

Daher steht auf jeder Checkliste zum Triebwerksausfall ja vor dem Feathern ja auch noch mal zu checken, ob das Triebwerk wirklich nicht läuft - könnte man genauso sagen "Wie gaga ist das denn: Ich weiss ja schon, dass es ausgefallen ist sonst würde ich die Checkliste nicht abarbeiten".

 

Offensichtlich hat die Crew aber gar keine Checkliste systematisch abgearbeitet - weder im Kopf noch auf Papier.

 

Florian

[Volume]

Offensichtlich hat die Crew aber gar keine Checkliste systematisch abgearbeitet - weder im Kopf noch auf Papier.

Das habe ich anders verstanden. Der Kaptain spricht doch explizit von dem bereits erlebten und im Simulator trainierten Szenario "doppelter kurzfristiger Generatorausfall nach Blitzschlag", was zum Ausfall des AP führt. Er hat nur offenbar nicht kapiert, in diesen Fall eben nicht dieses trainierte Szenario zu erleben.

 

Auch im weiteren Verlauf hat er - trotz abweichender Hinweise und in Frage stellen durch die FO - darauf beharrt, dass seine Vorstellung von der Wirklichkeit (Steuersystem kaputt) richtig sein muss und sich nicht die Mühe gemacht, das zu hinterfragen/überprüfen.

Da liegt der Hase im Pfeffer: routinemäßiges Abarbeiten eines (vermeintlich korrekten) Verfahrens, ohne sich die Zeit für eine Analyse zu nehmen, und ohne zu hinterfragen, ob das angewandte Verfahren hier tatsächlich korrekt ist. Und dann eben einen völlig falschen Ansatz stur weiterzuverfolgen. Kombiniert mit mehreren Misverständnissen bezüglich der Systemarchitektur (vermeintliche Fehlfunktion des alternate Trim Systems) die ihn in seiner Position bestärkt hat, das "da hinten am Leitwerk" irgendwas vom Blitz beschädigt wurde. Wenn gleich mehrere Systeme nicht tun was sie (vermeintlich...) sollen, ist es schwierig sich zu fragen, ob das Problem vielleicht zwischen den Kopfhörern liegt...

 

Gruß

Ralf

[Maxrpm]

Jungs wovon redet ihr hier? Habt ihr schon mal einen schweren Blitzschlag im Flug erlebt? Also CRM ist für eine Weile nicht mehr. Es knallt so laut, dass ihr den Kollegen für eine Weile nicht mehr hören könnt. Instrumenten Scan ist degraded to say the least. es wird dermaßen hell, dass die Augen ein Zeit lang froh sind basic Pitch Power lesen zu können.

 

Und ihr erschreckt - ziemlich. I ersten Moment hält sich alles mal am Yoke fest, PF und PM beide halten sich erst mal am Yoke fest wie an Mutters Hand.

 

Ein profunder Scan ist auch nicht angesagt denn die Instrumente zeigen im ersten Moment irgend was an. ihre Sensoren und die Elektrischen Verbindungen sind komplett überladen. Buchstäblich alle warning und caution light sind an. Nicht weil die System ausfallen sondern weil die Sensoren und Leitungen überladen sind.

 

Hirn fängt wieder an zu arbeiten. Blick zum Kollegen. Lebt noch! gut! Hat die Hand am Yoke. Schlecht! Das ist mein Flugzeug. Halt Moment - wer war noch Mal PF? Ah ja er! OK vielleicht nicht so hilfreich, dass ich den Yoke so gar nicht hergeben will. also Finger öffnen, Hände weg.

 

Checklisten abarbeiten? Welche denn - es sind ja alle warnings ON - und langsam gehen immer mehr vom denen aus. Challenge and response? Ich bin taub kann den Kollegen gar nicht verstehen selbst wenn ich wüsste um welche Checkliste es geht.

 

Very basic flying ist hier angesagt.

 

Ein Design, dass hier auch noch den Autopiloten um den Yoke mitstreiten lässt. Keine gutes vDesign.

 

Wolfgang

Bearbeitet 15. Februar 2017 von Maxrpm reserve

[Danix]

also ich habe im Moment auch keine Handbücher für die SB20 (mein Letztflug ist rund 15 Jahre her), aber es gibt durchaus Feedback bei AP on. Bei Querruderausschlag legt sich das Steuerhorn auf die eine Seite, und bei Trimmausschlägen gehen auch die Steuersäulen nach vorne und nach hinten.

 

Man muss die technischen Eigenschaften der SB20 historisch würdigen: Zuerst war sie ein konventionelles Flugzeug, jedoch kamen mit der Zeit weitere Fly-by-wire-Features hinzu. So gab es zu meiner Zeit 2 Versionen: Die einen mit einer voll mechanischen und die andren mit einer voll hydraulischen/FBW-gesteuerten Höhensteuerung. Ob es die alte Version noch gibt und ob dieses Modell womöglich noch eine alte war, kann ich nicht sagen (es wurden etwa 7 Stück davon produziert).

 

Meiner Erinnerung nach kann man auch den Autopiloten jederzeit ausschalten, wenn man eine gewisse Kraft überwindet.

 

Wenn wir hier von einem Blitzschlagszenario mit Double GEN failure reden, dann bitte erwähnen, dass diese Übung auf einer SF340 erfolgte, welche technisch rein gar nichts mit einer SB20 gemeinsam hat, ausser dass sie beide in Linköping produziert wurden und 2 Triebwerke und einen Flügel haben...

 

Ich kann von mir - leider - behaupten, dass ich genau dieses Blitzschlagszenario auf einer SB20 auch erlebt habe. Allerdings lief es völlig anders ab: Es gab einen sehr lauten Knall ... - und dann passierte gar nichts. Am Boden fanden wir 3 Löcher im Rumpf: Eines 50 cm von meinem Kopf entfernt oberhalb des rechten Cockpitfensters, dann einen Blitzaustritt einen Meter dahinter und einen erneuten Eintritt 2 m dahinter. Es musste also ein sehr massiver Blitz gewesen sein. Der Elektronik passierte rein gar nichts.

 

Erfahrene Piloten wissen, dass Blitzschläge jedes Mal anders herauskommen. Man kann so was nicht üben. Es macht einfach BUMM! und danach schaut man, was man noch hat. Ich hatte keinerlei sensorischen oder physiologischen Probleme nach der ersten Schrecksekunde.

 

Zum Thema AP off: Dazu braucht es keine Checklisten. Jeder Pilot lernt: Wenn etwas nicht gut läuft, übernimm die Kontrolle. Der erste Schritt dazu ist AP off. Natürlich ist nicht jedes System so genial konstruiert wie Airbus, wo eine rote Warnung erscheint, wenn der AP aus ist, und wo die Golden Rules genau das sagen ("Take action if something goes unexpected"). Aber eine eingespielte Crew kann das auf jedem Flugzeugcrew.

 

Ich denke, der Blitzschlag verursachte bei den beiden Piloten eine Art Orientierungsstörung (weshalb sonst wollte er noch mehr Steigen, wenn sie eh schon gestiegen sind). Mir fehlt der psychologische Aspekt in dieser Unfalluntersuchung.

 

Dani

Bearbeitet 15. Februar 2017 von Danix

[Chipart]

... Also CRM ist für eine Weile nicht mehr. Es knallt so laut, dass ihr den Kollegen für eine Weile nicht mehr hören könnt. Instrumenten Scan ist degraded to say the least. es wird dermaßen hell, dass die Augen ein Zeit lang froh sind basic Pitch Power lesen zu können. ...

Ein profunder Scan ist auch nicht angesagt denn die Instrumente zeigen im ersten Moment irgend was an. ihre Sensoren und die Elektrischen Verbindungen sind komplett überladen. Buchstäblich alle warning und caution light sind an. Nicht weil die System ausfallen sondern weil die Sensoren und Leitungen überladen sind...

Das ist ja eine tolle Geschichte zu einer Situation die man echt nicht erleben will. Aber all das ist im hier diskutierten Fall - zumindest laut Unfallbericht NICHT passiert!

 

Die Piloten haben NICHT gesagt, dass sie so geblendet waren, dass sie erst mal gar nix gesehen haben, sie haben NICHT ausgesagt, dass der Knall so laut war, dass sie nichts gehört haben und es gibt auch KEINE Anzeichen dafür, dass irgendwelche warning und caution lights geleuchtet haben, die nicht hätten leuchten sollen.

 

Florian

[Danix]

Die Piloten haben NICHT gesagt, dass sie so geblendet waren, dass sie erst mal gar nix gesehen haben, sie haben NICHT ausgesagt, dass der Knall so laut war, dass sie nichts gehört haben ...

 

das stimmt, aber aus den Reaktionen der Piloten ist zu entnehmen, dass ihre human performance derart abflachte, dass sie komplett falsche Annahmen und Aktionen starteten. Da es unmittelbar nach dem Knall und dem Blitz erfolgte, ist schwer davon auszugehen, dass dies der Grund war.

 

Eine gute Untersuchung würde sich deshalb genau um diesen Aspekt des Vorfalls kümmern. Und nicht mit der nüchternen Analyse, dass sie dies falsch gemacht haben und das nicht gesehen haben, ja im Nachhinein nicht mal mehr mussten, was gewisse Symbole auf den Bildschirmen bedeuten.

 

Dani

[Volume]

Mir fehlt der psychologische Aspekt in dieser Unfalluntersuchung.

Mir fehlt einiges mehr. Es ist aber ja auch nur ein Summarischer Bericht, keine volle Untersuchung.

- psychologische Aspekte/Human Factors

- Ergonomie

- Handbücher

- Training

fehlen. Wobei dies auch im ICAO Annex 13 (leider) nicht gefordert wird, die dort geforderten Detais stammen wohl auch eher aus den 50ern...

 

Die Reaktion erstmal zu ziehen ist völlig normal, solange wir Steuerelemente von hinten greifen und 4 Finger pro Hand zum ziehen, einen Daumen pro Hand zum drücken haben. Allein durch das fester zupacken zieht man tendentiell etwas. Das kann man bei nahezu jedem Unfall beobachten. Ausserdem empfindet praktisch jeder erhöhte g´s angenehmer als reduzierte. Vermutlich kann man da nichts gegen machen.

 

dann bitte erwähnen, dass diese Übung auf einer SF340 erfolgte, welche technisch rein gar nichts mit einer SB20 gemeinsam hat, ausser dass sie beide in Linköping produziert wurden und 2 Triebwerke und einen Flügel haben...

Wäre mal interessant, den Lehrplan der Umschulung zu sehen.

 

Gruß

Ralf

[DaMane]

Das ist ja eine tolle Geschichte zu einer Situation die man echt nicht erleben will. Aber all das ist im hier diskutierten Fall - zumindest laut Unfallbericht NICHT passiert!

................................

 

 

Florian

Das ist richtig. Aber zum Glück kam es ja nicht zu einem Unfall.

Wie passiert das eigentlich, daß man trotz Stormscope in eine elektrische Entladung kommt? Ich dachte, um erkennbare CB's macht man immer einen Bogen.

 

Gruß

Manfred

Bearbeitet 16. Februar 2017 von DaMane

[AdrianB]

Im September 2016 hat die UK-AAIB den final report veröffentlicht.

 

Gruss

Adrian

 

 

https://assets.publishing.service.gov.uk/media/57ce96af40f0b65264000010/AAR_2-2016_G-LGNO.pdf

[Chipart]

Das ist richtig. Aber zum Glück kam es ja nicht zu einem Unfall.

Was in der Tat grosses Glück war, weil zufällig ein ADC ausgefallen ist, was zum AP disconnect geführt hat. Hatte der ADC weiter funktioniert, dann hätte sich der AP erst 1000 ft tiefer disconnected und damit möglicherweise zu spät für eine erfolgreiche Recovery...

Wie passiert das eigentlich, daß man trotz Stormscope in eine elektrische Entladung kommt? Ich dachte, um erkennbare CB's macht man immer einen Bogen.

Stormscopes sehen nur Entladungen die geschehen und nicht die Potentialverteilung in der Athmosphäre. Es ist durchaus nicht ungewöhnlich, dass, wie in diesem Fall, das Flugzeug den Blitz erst auslöst, da die Potentialdifferenz nicht hoch genug ist, damit es zum spontanen Blitzschlag kommt.

 

Florian