Når nye generationer af et fly skal godkendes af myndighederne, kan man bruge bedstefar-reglen – dvs. at flyet ikke skal gennem en lang og dyr Type Certificering, men kan nøjes med at blive certificeret ud fra den gældende certificering, som er en langt simplere proces. Og for flyselskaberne har det den fordel, at piloter kan undgå dyr simulatortræning og flyve den nye generation efter lidt iPad omskoling.
For at få en bedstefar-certificering skal flyproducenten bevise, at flyet under alle forhold opfører sig som tidligere generationer. Og her kom Boeing i problemer med MAX, fordi flyet som følge af den aerodynamiske effekt af de større og fremskudte LEAP motorer ved høje indfaldsvinkler (Angle of Attack – AoA), som ikke ville forekomme under normal flyvning, ville løfte flyet næse yderligere og dermed øge risikoen for at stalle.
For at få den samme føling i styrepinden som i de tidligere generationers 737 indførtes softwareløsningen MCAS (Maneuvering Characteristics Augmentation System), som justerer haleplanet så næsen og dermed flyet tvinges nedad.
Det er ikke noget problem at indføre en sådan softwareløsning – dem findes der mange af i moderne fly, hvor man definerer et område (flight envelope), som begrænser, hvor kraftige bevægelser op og ned og til siden flyet kan tåle, og hvis piloten prøver at komme ud heraf, vil flycomputeren forhindre dette. En til MCAS svarende men anderledes designet software løsning var allerede indført i Boeings nye tankfly KC-46, der er baseret på 767 flyet.
Problemet med MCAS var, at det var så elendigt implementeret og undervejs blev ændret uden, at den godkendende myndighed FAA blev orienteret herom. Ja, Boeing prøvede nærmest at skjule MCAS eksistens for alle. Boeing-ingeniører – bl.a. senior manager Ed Pierson – var godt klar over, at der var problemer, men blev overrulet af ledelsen.
En ufravigelig regel i flydesign er, at der skal være redundans i systemer, som kan forårsage fatale uheld. Boeing brød bl.a. denne regel, og lod MCAS være afhængig af input fra en enkelt AoA sensor.
En AoA sensor er en lille vinge, der stiller sig parallelt med luftstrømmen
Desuden var der ingen begrænsning på, hvor meget og hvor længe MCAS kunne overtage styringen.
Da Lion Air Flight 610 – et to måneder gammelt 737 MAX 8 – den 29. oktober 2018 styrtede i havet 13 minutter efter det lettede, og Ethiopian Airlines Flight 302 – et fire måneder gammelt 737 MAX 8 – den 10. marts 2019 styrtede ned 8 minutter efter det var lettet, skyldtes det netop et fejlsignal fra denne sensor.
MCAS troede derfor at flyet havde næsen i vejret og tvang flyet nedad. Og MCAS blev ved med at tvinge flyet nedad, så snart piloterne havde fået rettet det op. På Lion Air flyet korrigerede piloterne for MCAS input 26 gange, men alligevel tvang MCAS til sidst flyet skæbnesvangert nedad.
Lion Air piloternes manuel trim øverst og MCAS nederst
Piloterne havde ingen anelse om, hvad der forårsagede dette, for MCAS ikke var omtalt i flyets manual, da Boeing anså det som en integreret del af flight control systemet, og de heller ikke regnede med, at MCAS nogen sinde ville komme i funktion.
AoA sensoren var skiftet nogle dage tidligere og formodentlig monteret ukorrekt. Der havde været problemer med flyet dagen inden den fatale flyvning, men her havde der tilfældigvis været en ekstra pilot med, som kom frem til, at det måtte være ”stabilizer runaway” og derfor fik slået automatisk trim og dermed MCAS fra. Hændelsen blev indberettede men nåede ikke frem til piloterne på Flight 610.
Ethiopian Airlines piloterne kendte til MCAS, men for at stoppe MCAS, skulle man slå det elektriske system til at trimme haleroret fra, og i den vinkel haleplanet stod var det på grund af luftpresset umuligt at dreje det lille hjul til manuelt trim.
Manual trim wheel
For at gør tingene værre blev piloterne distraheret af en overflod af lys, lyd og taktile (styrepind rystelser) advarselssignaler, fordi systemerne troede, at flyet var ved at stalle. Dette har medført nye krav til design af advarsler i cockpittet.
Efterfølgende har man efterprøvet situationen i flysimulator, og de færreste piloter kunne klare MCAS.
Ironien er, at det ikke er noget problem at flyve MAX flyene under alle forhold uden MCAS, som kun var indført for at tilfredsstille bedstefar-certificeringen.
Fejlimplementeringen af MCAS er nu sammen med andre fejl, der viste sig under recertificeringen, rettet så funktionen afhænger af input fra to sensorer (flyet havde allerede to AoA sensorer – en i hver side), MACS ikke vedbliver med at aktiveres, og der er en maksimal vinkel MCAS kan dreje haleplanet. Desuden kræves nu yderligere pilottræning for at flyve MAX.
FAA recertificerede 737 i december 2021 og de fleste landes flymyndigheder fulgte efter; bl.a. det europæiske luftfartssikkerhedsagentur (EASA) stillede dog ekstra krav. Kina ophævede først flyforbuddet et år efter FAA havde godkendt flyet igen – formodentlig mere af politiske end af tekniske årsager.
Tidligere 737 kaptajn, testpilot og flysikkerhedsekspert M Gerzanics udtaler til Seattle Times sept. 2020, at selv om cockpittet langt fra er ideelt, så virker det, flyet er sikkert og han er klar til at flyve med MAX.
Flygiganterns Kamp 