I en telefonkonferanse med Wall-Street-firma i april 2017 hyllet Boeings adm. dir. Dennis Muilenburg FAAs – Det føderale direktoratet for luftfart [Federal Aviation Administration] – «strømlinjeformede» sertifiseringsprosess for tilrettelegging for at flyprodusenten kunne fremskynde sin nye 737-Max-modell til operasjonell drift.

«Det bidrar til at vi jobber oss mer effektivt gjennom sertifisering av noen av våre nye flymodeller som Max, når det går gjennom flyvetesting og går i operasjonell drift,» fortalte Muilenburg finansanalytikerne. «Så vi ser allerede noen fordeler der, av noe av det arbeidet som blir gjort med FAA.»

Fire måneder senere ble det første 737 Max 8 passasjerjetflyet tatt i bruk. Siden da har det blitt den gigantiske flyprodusentens bestselgende fly, står for 30 prosent av overskuddet, som vokste 24 prosent i 2018 til $ 10,5 milliarder [NOK 90 milliarder].

Det er denne flytypen som krasjet i Indonesia i oktober 2018 og den 10. mars i år i Etiopia, som drepte alle passasjerer og mannskap om bord, totalt 346 personer. I begge tilfeller har etterforskerne identifisert et automatisert system designet for å motvirke flyets tendens til å stanse, kalt MCAS –Managing Characteristics Augmentation System – som en sentral faktor i de fatale krasjene.

Muilenbergs lovprising av uthulingen av seriøst regjeringstilsyn peker på systemisk underordning av sikkerhetshensyn til profitt og markedsandeler og omformingen av reguleringsorganer til gummistempler for de store selskapene.

CNN rapporterte Muilenburgs bemerkninger sist torsdag, samme dag som det etiopiske transportdepartementet publiserte resultatene av sin preliminære undersøkelse om krasjet av Ethiopian Airlines Flight 302 bare seks minutter etter takeoff fra flyplassen i Addis Ababa. Som i Lion-Air-katastrofen bare fem måneder tidligere, som krasjet bare 13 minutter etter takeoff, pekte flyet gjentatte ganger nesepartiet nedover og pilotene var ikke i stand til å gjenvinne kontrollen.

Den etiopiske rapporten, basert på informasjon fra den gjenfunnede ferdskriveren og cockpit-stemmeopptakeren, såvel som kommunikasjonene mellom pilotene og flygeledere, motsa forsøk fra Boeing og noen mediekommentatorer for å implisere at pilotfeil, ikke designfeil eller feilfungerende utstyr og programvare, var ansvarlig for katastrofen. Det konkluderte med at bare ett minutt inn i flyningen begynte en av to av flyets angrepsvinkelsensorer (AOA) [‘Angle of Attack’] å sende falske avlesninger, utløse MCAS-antistansmekanismen og tvinge ned flyets neseparti.

Særlig fordømmende for Boeing og FAA var rapportens funn at pilotene fulgte nødprosedyrene fra Boeing for å motvirke en slik utvikling og stabilisere flyet manuelt, men ikke kunne gjenvinne kontrollen over flyet. Dette knuste påstandene fra både Boeing og FAA etter den etiopiske styrten, om at de tiltakstrinnene gitt piloter for å overvinne en slik nødsituasjon og manuelt fly flyet var enkle og lette å utføre, og deres forslag om at pilotene av Flight 302 ikke hadde lyktes å følge de foreskrevne nødprosedyrene.

Den foreløpige rapporten utstedt av transportdepartementets byrå for ulykkesgranskning forklarte at pilotene slo av MCAS, men at flyet fortsatte gjentatte ganger å peke nesepartiet ned til tross for deres tiltak for manuelt å heve det. Rapporten konkluderte videre med at den manuelle kontrollen i cockpiten utformet for å løfte eller senke nesepartiet, kalt manuell trim, ikke fungerte.

De Første initielle funnene, delvis:

• Etter at autopiloten ble frakoblet, registrerte den digitale flyvningsdata ferdskriveren (DFDR) [‘digital flight data recorder’] en automatisk flynese ned trimkommando fire ganger uten pilotenes innputt.
• Mannskapet ... bekreftet at den manuelle trimoperasjonen ikke virket

Det var på dette tidspunktet, ca. fire minutter inn i flyvningen, og først da at pilotene gjenaktiverte MCAS, antagelig i et desperat, siste desperat forsøk på å redde flyet. Det som skjedde var at MCAS presset nesepartiet ned med en 40 graders vinkel, som førte til at flyet styrtet mot bakken med en innslagshastighet på 920 kilometer i timen.

Rapportens Sikkerhetsanbefalinger palsserer utvetydig ansvaret for katastrofen på Boeing og amerikanske regulerende myndigheter og impliserer at det er nødvendig med en mer seriøs og grundig granskning enn programvareoppdateringen som Boeing jobber med, før det er noen gjenopptakelse av operasjon for 737-Max- flyet.

• Siden repeterende, ubestemte fly nese ned forholdene blir lagt merke til i denne foreløpige undersøkelsen, anbefales det at flyflykontrollsystemet relatert til flykontrollstyring vurderes av produsenten.
• Luftfartsmyndighetene skal verifisere at gjennomgangen av flyets flystyringssystem relatert til flystyringsevnen er tilstrekkelig adressert av produsenten før utgivelsen av flyet til operasjoner.

Denne evalueringen ble understreket av den etiopiske transportministeren Dagmawit Moges på en pressekonferanse på torsdag. Hun sa: «Mannskapet utførte alle prosedyrene levert av produsenten gjentatte ganger, men kunne ikke kontrollere flyet.»

Dennis Tajer, talsmann for American Airlines pilotenes fagforening og 737-pilot, ble sitert fredag i New York Times, der han sa:

«Kapteinen var ikke i stand til å redde flyet med de prosedyrene han var trent på og fortalt av Boeing.» Der han snakket om MCAS-systemet, fortsatte han: «Det var for aggressivt. De etterlot piloten uten evne til å få kontroll over flyet dersom systemet gikk til ytterste grense.»

Muilenburg, i en redegjørelse på torsdag etter utgivelsen av den etiopiske rapporten, anerkjente for første gang at defekte sensordata og MCAS spilte en rolle i krasjet av Flight 302. Selskapet og FAA planlegger imidlertid bare å legge til en programvareoppdatering til MCAS, som vil forhindre at systemet utløses av bare en, i stedet for av begge sensorer, og moderere aggressiviteten av nedtrykkingen av nesepartiet.

Så godt som ingenting blir imidlertid sagt om den svært uvanlige utformingen som tillot MCAS å kunne utløses av bare én sensor i utgangspunktet. Standarddesign for sikkerhetskritiske systemer for et passasjerfly har alltid inkludert en eller annen form for redundans, slik feilfungering av en enkelt sensor ikke fører til katastrofe. Hvorfor 737 Max ble designet uten en slik redundans for den kritiske MCAS-funksjonen, og hvorfor ingen endring ble gjort etter det indonesiske krasjet i oktober i fjor, har ikke blitt forklart.

Til og med mens Muilenburg og Boeing nok en gang bekreftet den «grunnleggende sikkerheten» til 737 Max, bekjentgjorde selskapet på torsdag at det hadde oppdaget et annet problem som krever en ekstra programvareoppdatering, og videre forsinker gjennomføringen av endringer i MCAS-systemet. Mens en talsperson for foretaket kalte det nye problemet «relativt lite», refererete Washington Post to offisielle representanter «med kunnskap om etterforskningen» som i fortelle at det nye problemet var knyttet til programvare som påvirket flyvningskontrollmaskinvaren, og ble klassifisert som «kritisk for flyvningssikkerhet».

Forfatteren anbefaler også:

Hvorfor blir ingen Boeing-direktører rettsforfulgt for 737-Max-8-styrtene?

[5. april 2019]