I kjølvannet av 10.-mars-styrten av en Boeing 737-Max-8-passasjerjet operert av Ethiopian Airlines, som drepte 157 personer, viste dataene fra flyets gjenfunne ferdsskriver at MCAS-programvaren (Maneuvering Characteristics Augmentation System) i hovedsak var ansvarlig for pilotens tap av kontroll over flyet. Dette systemet var også involvert i katastrofen i oktober 2018, som involverte samme flytype, som styrtet like etter avgang fra Jakarta og drepte 189 menn, kvinner og barn.

Omstendighetene for de to styrtene er nesten identiske: avlesninger fra en feilfunksjonerende angrepsvinkelsensor (AoA) [‘angle-of-attack’] på Boeing-flyene fôret korrumperte data til MCAS-systemet, som indikerte at flyet var i ferd med å stanse. Som konsekvens presset MCAS-systemet flyets neseparti ned, og fortsatte å gjøre det selv etter at flybesetningen på Ethiopian Airlines Flight 302 fulgte sikkerhetsprosedyrene Boeing hadde fastlagt for nettopp en slik nødsituasjon.

Disse funnene peker i retning av en grunnleggende feil i designet av selve flyet, og tyder sterkt på at den nå-parkerte 737-Max-flåten aldri burde vært sertifisert i utgangspunktet. At flytypen ble satt i operasjon, tydeligvis på et fremskyndet grunnlag, taler til den tette relasjonen mellom Boeing og de amerikanske tilsynsmyndighetene for luftfart (FAA). Ingen Boeing-direktører eller FAA-representanter har til dags dato blitt kriminelt anklaget for handlinger som førte til at hundrevis av mennesker døde.

Som del av vår dekning av de to flystyrtene og begivenhetene som førte til dem, intervjuet World Socialist Web Site nylig Rytis Beresnevičius, en heltidsreporter for det velkjente luftfartsnettstedet AviationCV. Han har fulgt de to siste Boeing 737-Max-8-krasjene tett, både beslutningene på teknisk og regulatorisk nivå og fra ledelsens side, som førte til disse katastrofene.

* * *

Bryan Dyne: Hvorfor var MCAS nødvendig? Hvorfor designe et flysystem hvor én enkeltfeil på ett punkt er katastrofalt, og uten redundans? [‘Single point of failure’]

Rytis Beresnevičius: Alle flyene er utstyrt med antistansfunksjoner [‘anti-stall’], men de informerer pilotene om faren for en stans – det er hovedformålet med stikkeskakeren. Det anvendes fortsatt i dag, å vibrere kontrollhjulet dersom et fly er i ferd med å gå inn i en stans. Det er også stikketrykkere, men de brukes mest på fly som har en T-formet hale, for eksempel en Bombardier Dash-8 Q400. De fleste moderne jetmotorfly erstattet stikketrykkerne med databaserte sikkerhetssystemer.

De automatiserte inngangssignalene fra flysystemene er imidlertid ganske nye. De første automatiske sikkerhetstiltakene, omsluttende systemer, såkalt ‘konvolutt-beskyttelse’ [‘envelope protection’], ble installert av Airbus for A320. Men disse er ganske begrensede tiltak, da deres hovedformål er å forhindre en pilot fra å overgå et flys kapasitet, som betyr at det forhindrer enhver overdreven bevegelse av kontrollhjulet som kunne sette flyet i fare for å krasje. Men et automatisert sikkerhetssystem som ikke virker ordentlig og forårsaker to ulykker, som MCAS gjorde, er svært sjeldent og unikt for Boeings system.

MCAS-systemet er noe annet enn Airbus-funksjonen. Fundamentalt sett tvang 737-Max-flydesignet Boeing til å komme opp med systemet. Boeing-737-flykroppen er over 50 år gammel, og når du gjentatte ganger oppdaterer den med nye motorer eller aerodynamiske egenskaper (for eksempel ‘winglets’), må du gjøre noen designendringer. Boeing har definitivt gjennomført for mange endringer på samme 737-flykroppen.

De nye motorene, som er mye større og på Max-varianten plassert mye lengre fremover, fikk 737-typens neseparti til å ville for mye opp. Hvis nesepartiet går opp, er du i fare for å stanse. Så for å forhindre at det skulle skje, installerte Boeing MCAS-systemet.

Men problemet er at MCAS gjorde endringer for angrepsvinkelen ved å lese data fra bare én AoA-sensor, i stedet for å sammenligne data fra to sensorer, selv om Boeing 737 Max har to sensorer, én på hver side av flyet. Så hvis MCAS leser data fra en feilfunksjonerende AoA-sensor, vil systemet justere flyets høydeorientering, selv om det ikke er noen risiko for stansing [‘stalling’]. Hvorfor Boeing lagde det sånn? Ren uaktsomhet og grådighet. Det er ganske enkelt ikke noe annet svar.

Boeing skal oppdatere programvaren slik at den leser data fra begge sensorene og sammenligner dataene før endringer for flyets høydeorientering gjøres.

BD: Min forståelse er at fly har multiple sikkerhetsfunksjoner. Har noen av dem ett enkelt feilpunkt [‘single point of failure’] (som MCAS)? Hvor mange baseres på data fra én enkelt kilde, kontra data fra flere kilder?

RB: Selv om fly kan ha enkeltpunkter for feil på systemene, er det alltid et elektronisk backup-system for å beskytte flyet for katastrofe. Fly som er utstyrt med ‘fly-by-wire’-kontroller har forskjellige flyvningskontrollmoduser. For eksempel på Airbus A320 (og alle Airbus-modeller) er det en normallov og i tilfelle en nødssituasjon, en alternativ lov.

Under normalloven beskytter flyets datamaskiner flyet mot å gjøre noen unormale bevegelser. Men så snart en feil oppstår, slår systemene over til den alternative loven og hever noen av beskyttelsene for å tillate pilotene å gjøre de nødvendige justeringene for ikke å krasje.

Boeing har også en normalmodus og en sekundærmodus, som fungerer på omtrent samme måte som Airbus’ kontroller. Hvis alt er i orden, opereres flyvningen i normalmodus. Hvis det oppstår en systemfeil, kan piloter gjøre justeringer slik at flyet vender tilbake til normale flyvebetingelser eller kan landes trygt.

Boeing installerte imidlertid bare disse systemene på deres nyeste flydesign, nemlig 777, 787 og 747-8-varianten (ikke på 737 Max). Dette går igjen tilbake til det faktum at Boeing og luftfartselskapene begge ønsket å spare penger. Boeing gjorde ikke noen radikale endringer på 737 Max’ flyvningssystemer, bare svært små endringer som ikke ville påvirke måten flyet kontrolleres i forhold til NG-varianten. Derfor, som resultat, trengte ikke piloter en ordentlig flytype-kvalifisering, som ville ha kostet luftfartselskapene mye penger.

For å svare på ditt spørsmål om hvorvidt de baserer seg på enkeltfeilkilder eller flere – vanligvis baseres de på flere sensorer. Det er alltid minst to sensorer som fôrer informasjon inn til cockpiten. Dersom den ene feiler, har piloter muligheten til å basere seg på kapteinens avlesninger, eller på førsteoffiserens instrumentpanel. Jeg forstår virkelig ikke hva som var bakgrunnen for beslutningen om å programmere MCAS slik at systemet bare skulle stole på én enkelt AoA-sensor.

BD: Hvorfor var ikke piloter opplært til å respondere på et problem med MCAS? Hvor lang opplæringstid har piloter vanligvis før de tillates å fly en ny flytype?

RB: Interessant nok, Boeing mente at piloter ikke behøvde å vite om MCAS fordi omstendighetene hvor MCAS ville aktiveres ble vurdert å være svært sjeldne. Boeing mente at ingen noen gang ville utløse det, enn si krasje på grunn av systemet.

Når piloter oppnår sin kommersielle pilotlisens eller luftfarttransportpilotlisens (Airline Transport Pilot License – ATPL – anvendes i USA), må de også få en typekvalifisering for å kunne fly en viss type passasjerfly. Å få en typekvalisifiering tar alt fra åtte måneder til ett år, eller opp til ett-og-et-halvt år. Alt avhenger av flytypen og programmet.

BD: Er det vanlig at flyvningskontrollfunksjoner mangler i flyvningskontrollmanualer? Tidligere, hvis funksjonene ikke var dekket i manualene, hva var konsekvensene for piloter, passasjerer, flyselskaper, foretak og regulerende organer?

RB: Nei, situasjonen med Boeing 737 Max er en unik en.

Men på én måte minner den meg om flyet de Havilland Comet, siden den første versjonen av det flyet kontinuerlig ble oppdatert for å holde det flyvende, ifølge flytypens piloter. Til slutt begynte fatale krasj å skje på grunn av en designfeil i skroget. Det begynte å sprekke etter et visst antall lufttrykksykluser. Og da det begynte å knekke, eksploderte det midt i lufta.

Følgelig ble Comet-flyet satt på bakken i fire år. Det kom seg aldri igjen kommersielt. Selvfølgelig, forskjellen mellom de to er at de-Havilland-ingeniørene ikke visste om flyskrogets sprekker til å begynne med, mens Boeing visste om oppadbevegelsene som følge av motorenes montering. Det var derfor de installerte MCAS.

BD: Hva var deres enorme rush for å få flyene ut i markedet?

RB: Airbus tvang Boeings hånd, helt klart. Airbus hadde vanskeligheter med å komme inn på det amerikanske markedet, da den innenlandske flyprodusenten Boeing selvfølgelig var foretrukket av luftfartselskapene. Men American Airlines gjorde det utenkelige og bestilte Airbus-fly, nemlig A320ceo og A320neo.

Først ville Boeing designe en helt ny passasjerjet og pensjonere 737-flykroppen. Men, da nyheten kom om at American Airlines, som eksklusivt opererte Boeing-maskiner, nå ville handle Airbus’ maskiner, da måtte Boeing reagere raskere. Den nye passasjerjeten ville ha tatt for lang tid. Boeing ville ikke miste markedsandeler til sin største konkurrent Airbus. Derfor kom de ut med Boeing 737 Max, en versjon av 737 med nye motorer. Essensielt sett, Boeing var redd for at de ville tape penger.

BD: Ble hjørner kuttet i produksjonen, opplæringen, godkjenningen eller markedsføringen av dette flyet?

RB: Hjørner ble definitivt kuttet i godkjennings- og opplæringsprosessene. Boeing presset FAA til å la dem selv håndtere mer av sertifiseringsprosessen. FAAs overordnede ledelse presset også sine egne sikkerhetsingeniører til å la Boeing gjøre mer og mer av sertifiseringen.

Opplæringen var også sjokkerende. Den omfattet bare en time-lang teoretisk forelesning om de små endringene. Men dét var også hovedsalgsargumentet for 737 Max. Boeing visste at de måtte underby Airbus på den ene eller den ande måten, for å forhindre at A320 tok over en stor del av kort- og mellomdistanse-transportmarkedet. Og ved å annonsere at flyvningskontrollene var nesten de samme som på NG-typen, den forrige 737-varianten, kunne Boeing fortelle flyselskapene at piloter bare trengte et teoretisk foredrag for å kunne fly Max. Så sammen med reduksjonen av drivstoff- og vedlikeholdskostnadene ville opplæringen også koste mye mindre, og luftfartselskapene kunne spare mye penger ved å operere Max, spesielt hvis de allerede flyr Boeing 737 NG-varianten.

Boeing kuttet også et lite hjørne i produksjonen, spesielt det faktum at MCAS leser data fra bare én AoA-sensor.

BD: Da Lion-Air-styrten fant sted ble den presentert som et alvorlig problem for Boeing. Hvorfor ble ingenting seriøst gjort i kjølvannet av den?

RB: Mens det ble presentert som et seriøst problem kom Boeing øyeblikkelig med et løsning – meld en bulleteng til Boeing-737-Max-operatører som forklarer hvordan du de-aktiverer MCAS dersom systemet noen gang skulle interferere med flyvningen. Boeing kom også ut og sa at de skulle presentere en langsiktig løsning, som skulle være en ny programvareoppdatering, som nå er satt til å komme i slutten av april. Så langt alle involverte brydde seg, mente de «plasterlapp»-løsningen med en bulleteng skulle holde inntil programvareoppdateringen kom.

Forøvrig, ‘kickeren’ med Lion-Air-styrten er at mange mente at MCAS ikke var den viktigste faktoren for styrten. Tidlige rapporter indikerte at Lion Airs vedlikehold også var del av problemet, siden den samme Boeing 737-Max-8-maskina under en tidligere flyvning hadde opplevd problemer med flyvningskontrollen. Da var nemlig kapteinens instrumentavlesninger upålitelige: farten i lufta og høydeavlesningen var i uoverensstemmelse med avlesningene fra førsteoffiserens instrumenter.

Problemene ble anført i vedlikeholdsloggen og ingeniører løste problemet. Men så snart flyet tok av for den fatale flyvningen fra Jakarta, oppstod det to problemer: AoA-sensorene viste en forskjell på 20 grader, og flyets instrumenter viste igjen forskjellig fart i lufta og høydeavlesninger.

Men som de indonesiske etterforskerne senere avslørte i deres foreløpige ulykkesrapport, presset MCAS konstant ned flyets neseparti og flybesetningen søkte i flyvningskontrollmanualen for instruksjoner om hvordan de kunne de-aktiverer MCAS. Som vi imidlertid vet, eksisterte ikke den informasjonen på det tidspunktet. Denne rapporten ble gjort tilgjengelig den 21. mars 2019, 11 dager etter Ethiopian-Airlines-krasjen, og deretter ble alle Boeing 737-Max-fly satt på bakken.

Så, grunnleggende sett innså ingen at MCAS var et så stort problem, da Lion Airs tvilsomme vedlikehold også ble klandret.

BD: Hvor sterkt står saker om kriminelle forsømmelser mot Boeing og de regulerende myndighetene (FAA) som tillot denne flytypen å settes i drift?

RB: Saken er sterk mot begge to, men Boeing vil definitivt få de fleste anklagene og erstatningskravene.

For det første, Boeing må kompensere ofrenes familier. Forsikringskravene vil være store. I tillegg ber Norwegian Air allerede om kompensasjon fordi deres 737-Max-maskiner ikke kan opereres. Jeg tror flere luftfartselskaper vil gjøre det samme. Og mange luftfartselskaper (inkludert Lion Air og Ethiopian Airlines) diskuterer allerede åpent at de skal kansellere sine 737-Max-bestillinger, hvilket vil resultere i reduserte profitter for Boeing.

Hva angår FAA, direktoratet har ikke nok midler og menneskelige ressurser til å gjøre jobben sin. I hvertfall er det dét de selv sier. Men det faktum at de knelte for Boeings press kunne tyde på at korrupsjon kunne bli en anklage også.