Menneske mot computer
"F ... det er ikke mulig!"
Piloter som ikke forstår oppførselen til flyet har forårsaket flere større flyulykker. For å forstå de nylige havariene med to helt nye Boeing 737 MAX 8 kan man gå 10 år tilbake i tid.
Liten tue kan noen ganger velte et veldig stort lass, selv i den gjennomregulerte luftfarten. Spesielt hvis de automatiske styresystemene til et passasjerfly blir påvirket.
MCAS-systemet
Ulykken med 737 MAX 8-flyet til Lion Air i Indonesia 29. oktober i fjor, og sannsynligvis ulykken ved Addis Abeba nylig, skyldtes feilinformasjon fra en sensor som måler flyets angrepsvinkel i forhold til luftstrømmen.
MCAS-systemet, som automatisk sørger for å senke nesen dersom flyet er på vei til å steile, sendte flyene feilaktig inn i et stup som pilotene ikke klarte å motvirke selv om de dro i stikka – slik de var vant til.
Når computeren feiler
Selv om det er fullt mulig å komme ut av stup som er forårsaket av feil i sensorene, ved bruk av den elektriske trimknappen på styrestikka og deretter koble ut systemet, har Boeing fått kritikk for manglende informasjon om hvordan systemet fungerer.
Dagens «fly-by-wire» styresystemer er konstruert både for å gjøre det sikrere og enklere å fly. Det innebærer at systemet også korrigerer styreinput fra pilotene for å holde flyet innenfor «konvolutten», slik at det ikke steiler og kommer ut av kontroll.
Dersom flyets sensorer skulle svikte slik at flyet allikevel havner utenfor «konvolutten», er det avgjørende at flygerne skjønner hva som skjer. For computeren skjønner det ikke.
Sliten kaptein
De 216 passasjerene, deriblant to nordmenn, som bordet Air France flight 447 fra Rio til Paris om kvelden den siste dagen i mai 2009, visste ikke at det var siste gang de hadde sett solen gått ned. De skulle heller aldri få vite at mange av dem kom til sitte fastspent i setene sine i to år i mørket på 4000 meters dyp på bunnen av Sør-Atlanteren før de ble funnet.
I cockpit satt kaptein Marc Dubois (58) og styrmann Pierre-Cédric Bonin (32). For å kunne avløse besetningen på den 11 timer lange turen var også styrmann David Robert (37) med. Dubois var en veteran med 11 000 flytimer. Ulykkesrapporten nevnte det ikke, men Dubois hadde tatt med seg venninnen sin på den to dager korte turen til Rio. Natten i forveien hadde han bare sovet én time. Da flyet var kommet opp på marsjhøyden på 35 000 fot og nærmet seg lavtrykksbeltet ved Ekvator midtveis mellom det amerikanske og afrikanske kontinentet, lot han David Robert overta plassen mens han gikk for å legge seg i besetningens hvilekabin rett bak cockpit.
Fly-by-wire
Jagerflyindustrien var først ute med å introdusere «fly-by-wire»-konseptet. På F-16 er ikke pilotens stikke
fysisk forbundet med rorene, slik som på tradisjonelle fly. Overføringen av styresignaler skjer derfor ikke mekanisk, men digitalt via en computer som sørger for at uansett hvor hardt piloten drar i joysticken så vil den ikke la flyet steile eller blir utsatt for g-krefter som overskrider flyets toleransegrense.
Airbus var først ute med å benytte «fly-by-wire» i passasjerfly, mens Boeing alltid har hatt en mer konservativ holdning til utformingen av pilotenes systemer.
«Fly-by-wire» reduserer risikoen for pilotfeil, men har også høstet kritikk for å ikke la piloten få det siste ordet dersom computeren skaper problemer på grunn av feil sensordata.
Boeing 737 MAX er det første flyet fra Boeing der MCAS-systemet kan overstyre piloten.
Turbulens
Bonin, som var den minst erfarne, hadde med seg sin kone på turen mens de to sønnene ble hjemme. Han likte dårlig uværsskyene forut som strakte seg helt opp til flyhøyden deres. Aller helst ville han ha klatret noe tusen fot høyere, men under de rådende temperatur- og vektforholdene var Airbus A330 flyet allerede nær makshøyden sin.
Snart merket de den første lette turbulensen mens flyet ble innhyllet av skyer og iskrystaller. Det var kjent at pitotrørene, de tre hastighetssensorene som stikker ut fra siden av flynesen, hadde en tendens til å fryse til på A330. Air France hadde allerede begynt utskiftningen til en forbedret utgave, men den var ennå ikke gjennomført på ulykkesflyet.
Den trange passasjen inne i rørene ble raskt fylt av is helt til de ikke lenger var i stand til å måle luftstrømmen. Da hastighetsinformasjonen forsvant, koblet autopiloten seg ut brått.
Dersom Bonin hadde hatt en grunnleggende forståelse for hva som deretter skjedde, hadde han fortsatt å fly rett frem til rørene tinte etter et par minutter. Men han var utdannet etter broilerprinsippet der automatiserte flysystemer i stor grad kompenserte for praktisk flyerfaring.
Å holde et fly stabilt uten autopilot i den tynne luften på 35 000 fot krever trening. For en pilot som bare var vant til å fly manuelt de få minuttene i forbindelse med start og landing, ble utfordringen for stor.
Panikkslagen
Samtidig som computeren mistet korrekt hastighetsinformasjon, gikk den over i «alternate law»-modus. Det vil si at den automatiske beskyttelsen mot å steile eller overstresse flyet forsvant. Nå fløy Bonin i realiteten på gamlemåten som i flygingens barndom og alt avhang av at han håndterte styrestikken nennsomt.
Uvant som han var med å fly manuelt, gjorde han overdrevne utslag til hver side, omtrent som når en panikkslagen bilist prøver å holde seg på veien.
Men det verste var måten han begynte å dra stikka mot seg på. Flyet hadde ikke behov for å stige. Allikevel dro han hardt, nesten så langt joysticken ville gå, som om problemet ville forsvinne jo høyere han kom.
Resultatet var det motsatte. Mens flyet steg, sank hastigheten og angrepsvinkelen til vingene økte. Til slutt økte luftmotstanden mer enn motorene kunne kompensere for, helt til luftstrømmen ikke lenger kunne følge vingene og løftet forsvant. Etter seks sekunder gikk stall-alarmen for første gang.
Fortsatt kunne Bonin og Robert ha reddet situasjonen ved å skyve stikka varsomt fremover og plukket opp nødvendig hastighet. Robert gjettet riktig ved å foreslå at Bonin skulle senke nesen.
Slik styresystemet er konstruert hos Airbus, har pilotene hver sin joystick som ikke er sammenkoblet. Det betyr at man ikke fysisk kan kjenne hvilke input sidemannen gir på stikken.
Robert fikk dermed ikke med seg at Bonin fortsatt dro i stikka selv om nesen kom ned et par grader. Fortsatt var flyet i en ustabil situasjon med altfor høy angrepsvinkel. Mens Bonin dro, slapp Robert opp for ideer. Fullstendig desorientert prøvde han febrilsk å ringe kapteinen for å få hjelp.
Falt som en stein
Da kaptein Dubois kom inn i cockpit 1,38 minutter etter at vanskene startet, hadde flyet først gått i en bue oppover hjulpet av hastighetsenergien. Så steilet vingene slik at flyet falt nedover med utrolige 40 graders angrepsvinkel med nesen pekende til værs.
I det flyet passerte den opprinnelige høyden på 35 000 fot falt det nedover med 50 meter i sekundet mens fallhastigheten økte.
« Faen, vi er døde.
A 330
– Vi har mistet kontrollen fullstendig og vi skjønner ingenting! Vi har prøvd alt! ropte Robert fortvilet til sjefen.
Paradokset til besetningen var at de var vant til å føre verdens sikreste fly. A 330 hadde ikke hatt noen dødsulykker før dette tidspunkt. 99,9 prosent av tiden ville det automatiske systemet gjøre farlige situasjoner ufarlige.
Automatiseringen er kommet så langt at særlig på langdistanserutene ville en erfaren pilot som Dubois, som fløy rundt 400 timer i året, bare til sammen fly én time eller to manuelt.
En pilot som er vant til å stole på egne sanser og erfaring ville sannsynligvis gjenkjent situasjonen som en «dyp stall». Sannsynligvis hadde automatiseringen ført til en slitasje på de basale flygerferdighetene til besetningen.
Forvirring
Dubois hadde problemer med å fordøye situasjonen. Nå falt flyet med 75 meter i sekundet, med halen og høyre ving pekende nedover. Stallvarslingen hadde forlatt parametrene fullstendig og hadde sluttet å ule. Hver gang Bonin slumpet til å peke nesen nedover, kom den innenfor igjen og ulingen tiltok, noe som fikk ham til å dra stikka tilbake igjen.
Dubois sa ingenting på de første 23 sekundene.
Hva tror du? ropte Robert.
– Jeg vet ikke. Vi synker, var svaret.
Forvirringen ble større da Robert ropte «Hastigheten! Vi stiger! Synk! Synk! Synk!». Med det mente han trolig som rett var at hastigheten var lav fordi nesa var for høy.
– Jeg synker jo, svarte Bonin som misoppfattet.
– Nei, du klatrer!
– Ok, så jeg klatrer. Men vi
faller.
På dette tidspunktet var cockpitsamerbidet i ferd med å bryte sammen fullstendig.
– Faen, det er ikke mulig! kom det fra Dubois.
Robert hadde en siste mulighet: Å overta styringen med sin egen stikke.
«Advarsel. Dobbel input» svarte computeren da han prøvde å styre. Å trykke på knappen som kunne overstyrt stikka til Bonin falt ham ikke inn.
Nå passerte flyet tre tusen meter som var siste teoretiske mulighet for å rette opp flyet. Hastigheten fremover var på under 200 km/t, lavere enn den vertikale fallhastigheten, mens havflaten nærmet seg ubønnhørlig. Nå var det ikke lenger noen redning i å peke nesen ned.
– OK – la oss dra opp, sa Dubois resignert.
– Faen, vi er døde, kom det fra enten Robert eller Bonin.
Tre sekunder senere smalt AF 447 i havet med buken først. Alle de 228 om bord omkom umiddelbart. Blant de 50 likene som ble funnet flytende på overflaten var kaptein Dubois.
Sparte på å droppe trening
Skjebnen til AF447 skulle forbli et mysterium i to år før ferdskriverne og taleregistratoren ble funnet og hentet opp fra havbunnen. Den utrolige ulykkesårsaken gjorde om på pilottreningen til flyselskapene. I dag trenes det rutinemessig i simulator på å håndtere unormale posisjoner i lufta.
Oppfatningene er delt i to leire. Noen mener at treningen bør fokuseres på å unngå å havne i farlige situasjoner i utgangspunktet. Andre mener det viktigste er å trene på å berge seg ut av en eventuell kritisk situasjon, og gjøre det så ofte at håndgrepene sitter i ryggmargen.
MCAS-systemet er designet for å gjøre sistnevnte i stedet for piloten.
– Det er ingen heksekunst å håndtere et løpsk MCAS-system, men det er avgjørende at man på forhånd har trent på det, forteller instruktørpilot på 737 MAX i Norwegian, Ola-Kenneth Kobberrød.
I dag finnes egne 737 MAX simulatorer bare to steder i verden. Men det er mulig å oppgradere software i en standard 737-simulator for å simulere MCAS.
Ettersom MCAS ble designet som et sikkerhetssystem som bare skulle koble seg inn i svært sjeldne situasjoner, valgte Boeing å ikke nevne det i flygermanualene. For ulykkespilotene i Lion Air var systemet ukjent.
For å gå over til 737 MAX fra de forrige 737 NG modellene trengs kun et kort iPad-kurs og ingen egen simulatortrening. På den måten skulle flyselskapene spare millioner av kroner på pilottrening.
I motsetning til Airbus som benytter «fly-by-wire»-styresystemer, har Boeing alltid hatt som filosofi at pilotene skulle ha full kontroll over automatikken. 737 MAX var det første unntaket. Det har resultert i to alvorlige havarier på fem måneder.
Kilder: Vanity Fair, Seattle Times
Artikkelen ble opprinnelig publisert i Vi Menn nr 14 2019
Denne saken ble første gang publisert 01/04 2019, og sist oppdatert 01/04 2019.
