Hoe er een catastrofale fout in Boeings 737 MAX kon sluipen

De problemen met het veiligheidssysteem MCAS van de 737 MAX zijn met updates die Boeing woensdag presenteerde verleden tijd, zegt het bedrijf. Wat voor aanpassingen heeft het bedrijf precies gemaakt, en waarom waren die niet oorspronkelijk onderdeel van het populaire passagiersvliegtuig?

De vlucht van Ethiopian Airlines die eerder deze maand vlak na het opstijgen neerstortte, had een probleem met een veiligheidssysteem dat optrad naar aanleiding van foutieve data. Dat zou blijken uit een eerste onderzoeksrapport van de Ethiopische autoriteiten, meldde de Wall Street Journal afgelopen vrijdag. Het veiligheidssysteem in kwestie, MCAS, was ook de reden dat vijf maanden eerder een vliegtuig van Lion Air in Indonesië crashte. In totaal kwamen bij beide ongelukken 346 mensen om het leven. Vrijwel over de hele wereld, inclusief in de VS, EU en China, mogen de 737 MAX-vliegtuigen in afwachting naar de onderzoeken van beide crashes niet gebruikt worden. In totaal zijn er wereldwijd 376 MAX-vliegtuigen in gebruik.

Boeing presenteerde afgelopen woensdag de verbeteringen van het MCAS-systeem, die volgens de Seattle Times zeven weken geleden al (voor de crash van Ethiopian Airlines) beschikbaar waren. De updates zouden in een uur te downloaden moeten zijn op het softwaresysteem van een vliegtuig. Maar eerst moeten luchtvaartautoriteiten wereldwijd de updates certificeren, voordat luchtvaartmaatschappijen hun 737 MAX’s weer in gebruik mogen nemen.

Hoe komt het dat er honderden doden moesten vallen voordat Boeing met deze updates kwam? Hoe kon zo’n gebrekkig systeem uberhaupt op de markt komen? En is het nieuwe MCAS-systeem wel veilig genoeg?

Overtrek-beveiliging

Het MCAS-systeem werd ontwikkeld als veiligheidssysteem voor het uitzonderlijke geval dat een vliegtuig zou overtrekken, of in het engels: stall. Dat gebeurt als de neus te ver omhoog staat en de lift onder de vleugels wegvalt. Het vliegtuig valt dan in een spiraal omlaag. ‘Zo’n situatie is voor een piloot echt een heftige ervaring die je terugbrengt naar reflexen die je in je eerste algemene pilotenopleiding krijgt geleerd. Je hele wezen zegt je dat je in de shit zit’, zegt luchtvaartexpert en gelicenseerd piloot Bjorn Fehrm van analysebureau Leeman. ‘In de cockpit gaat een alarm af dat ‘stall’ ‘stall’ zegt. Elke piloot reageert dan door de neus van het toestel omlaag te duwen, de vliegknuppel vast te grijpen en gas te geven.’ Op die manier kan een vliegtuig uit een overtrek-situatie getrokken worden.

MCAS is ontworpen om in te grijpen voordat het zover komt. In de originele versie nam MCAS het signaal van een van de angle of attack-sensoren onder de neus van het vliegtuig. De angle of attack is de hoek tussen de neus van het vliegtuig en de aanstromende lucht. Als een vliegtuig op de grond staat, is de angle of attack nul. Als de angle of attack in de lucht te groot wordt, dreigt een stall.

MCAS reageert op een te grote angle of attack (AoA) door de horizontale stabilisator op de staart te draaien, waardoor de neus omlaag gedrukt wordt.

Foutieve input

Waar het fout ging in de vluchten van Lion Air en Ethiopian Air, was de input van de AoA-sensoren. Die gaf bij beide vluchten onterecht aan dat de angle of attack veel groter was dan-ie daadwerkelijk was. MCAS trad in werking, maar dat wisten de piloten niet. Boeing had piloten namelijk nauwelijks extra training gegeven voor het vliegen met de MAX-vliegtuigen, die volgens hen vrijwel hetzelfde vlogen als de vorige generatie 737-vliegtuigen, de Next Generation (NG). Maar op de NG-vliegtuigen bestond geen MCAS. Dat was een nieuw systeem, eigen aan de MAX.

In de presentatie van de updates aan de pers afgelopen woensdag haastte vice-president productontwikkeling van Boeing Mike Sinnett zich te zeggen dat de werking van MCAS manueel te herstellen is. ‘Via de trim switches op de stuurkolom of het trimwiel in het midden van de cockpit’, zei hij. Als MCAS ingeschakeld wordt, hoor je het trimwiel draaien, en dat is ook visueel waarneembaar, voegt hij toe. Maar daarover had Boeing de piloten die op de MAX vlogen dus geen extra training geboden, omdat MCAS alleen in heel uitzonderlijke gevallen actief zou worden, en het bedrijf verwachtte dat het de piloten op dat moment duidelijk zou zijn wat er speelde.

Maar dat de werking van MCAS zo evident zou zijn voor piloten, betwijfelt Fehrm. Het trimwiel draait bij het opstijgen en klimmen continu, vertelt hij. ‘De Boeing 737 heeft een systeem dat speedtrim heet, en dat bij het opstijgen, klimmen, en dalen en landen in werking is.’ Om dat beter te begrijpen is het goed te weten wat trimmen precies inhoudt. De trim is de mate van druk op de stuurkolom van de piloot. In de ideale situatie is er geen druk op de stuurkolom, en houdt het vliegtuig de gewenste pitch (de beweging van het vliegtuig op de as van neus tot staart, nvdr.)aan zonder dat de piloot continu moet bijsturen. De piloot gebruikt daarvoor een switch op de stuurkolom of het trimwiel, of het trimmen gebeurt automatisch met speedtrim.

Drie foute aannames

De foute input van de angle of attack-sensoren bij Lion Air en Ethiopian Air gebeurde vlak na het opstijgen, tijdens de klim. Als het trimwiel dus al continu draait. Dat MCAS actief is en het trimwiel om die reden draait, zal in die periode van de vlucht geen piloot opvallen, stelt Fehrm.

Het vliegtuig van Lion Air dat crashte, had op een eerdere vlucht al problemen gehad met het MCAS-systeem, maar dat liep toen goed af. ‘De enige reden daarvoor’, vertelt Fehrm, ‘is dat er een derde piloot meevloog in de cockpit. Hij was niet direct betrokken bij de besturing en kon dus meekijken. Hij stelde voor alle systemen voor trimmen eens uit te zetten (inclusief MCAS, dat geen van de piloten kende omdat er geen training voor geweest was), en dat bleek het probleem op te lossen.

‘Boeing maakte drie foute aannames bij het implementeren van MCAS’, concludeert Fehrm. ‘Dat het alleen op een betrouwbaar signaal van de sensor zou reageren, wat niet waar bleek. Dat MCAS in geen enkele situatie geactiveerd zou worden, en dat in het uitzonderlijke geval dat dat wel zou gebeuren, het duidelijk zou zijn voor de piloten wat er aan de hand was. Alle drie die aannames waren verkeerd.’

Twee sensoren

Boeing heeft het MCAS-systeem nu op verschillende manieren aangepast. Allereerst gebruikt MCAS voortaan input van twee angle of attack-sensoren, in plaats van een. Als de input van beide sensoren meer dan 5,5 graad verschilt, wordt MCAS voor de rest van de vlucht uitgeschakeld, vertelde vice-president Mike Sinnett afgelopen woensdag. Bovendien verschijnt er dan een melding ‘AoA disagree‘ in het vluchtscherm in de cockpit. Fehrm juicht de verandering toe, maar wijst erop dat Airbus altijd al van drie sensoren input nam.

Waarom dacht Boeing dat het oke zou zijn een systeem dat zo veel invloed op de vlucht kan hebben af te laten hangen van één sensor, in een industrie waar overtolligheid de norm is? Fehrm heeft zo zijn ideeën. ‘Dat moet een besluit van het management geweest zijn’, zegt hij. ‘Die zullen gezegd hebben: wat je ook doet, zorg dat piloten voor de MAX geen nieuwe training nodig hebben ten opzichte van de NG.’ Als Boeing van het begin af aan al input van twee sensoren in MCAS had verwerkt, had de melding van ‘AoA disagree‘ uitgelegd moeten worden, wat tot vragen over MCAS zelf had geleid. ‘En vergeet niet, Boeing ging ervanuit dat MCAS nooit geactiveerd zou worden’, zegt Fehrm. Om te voorkomen dat piloten daarover in de testfase vragen zouden stellen (waarna het in een trainingshandleiding zou moeten worden opgenomen), besloot het management van Boeing volgens Fehrm om slechts van een sensor input te nemen.

Tot de crash van Lion Air. Boeing kreeg al snel te horen dat MCAS een rol had gespeeld en moest van de Amerikaanse luchtvaartautoriteit FAA een oplossing zoeken. Een daarvan is dus twee sensoren gebruiken, maar de vraag is of dat afdoende is. Zowel op de Lion Air-vlucht die crashte, als de vlucht ervoor die goed afliep, als de Ethiopian Air-vlucht die crashte, gaven de sensoren foute input. Zijn de sensoren niet ook schuldig?

Fehrm betwijfelt het. ‘Die sensoren worden op werkelijk alle 737’s en een heleboel andere vliegtuigen gebruikt en zorgen nooit voor problemen’, zegt hij. ‘Maar het is een goede vraag waarom de input in korte tijd drie keer fout ging. Er is geen officiële informatie over naar buiten gebracht, maar ik en andere experts vermoeden dat het iets heeft te maken met hoe de sensordata in een MAX-vliegtuig verwerkt wordt.’ De data van een angle of attack-sensor wordt via de ADIRU (Air Data and Inertial Reference Unit) verwerkt en vervolgens naar andere systemen, waaronder MCAS, gestuurd. Fehrm vermoedt dat in de ADIRU van de MAX-vliegtuigen ook iets veranderd is ten opzichte van de NG’s, maar kan dat niet met zekerheid vaststellen. ‘Maar ik denk zeker dat daar ook nog iets te repareren valt.’

Agressief systeem

De volgende belangrijke aanpassing in het MCAS-systeem is dat het op elke input van de angle of attack-sensoren maar een keer de horizontale stabilisator kan draaien. In de oorspronkelijke versie zat daar geen limiet aan, waardoor in het geval van de Lion Air-crash de piloten elke keer als ze de positie van het vliegtuig herstelden, MCAS de neus weer omlaag drukte. In totaal 22 keer, voordat het vliegtuig noodlottig in de zee stortte. ‘Dat was een grove fout van Boeing, om zo’n agressief systeem te ontwikkelen’, zegt Fehrm.

De vraag is bovendien waarom. MCAS is geen kritisch veiligheidssysteem voor een commercieel passagiersvliegtuig. ‘Daarom kun je MCAS ook uitzetten’, zegt Fehrm, ‘en mag je gewoon verdergaan met je vlucht.’ De situatie waarin MCAS geactiveerd zou moeten worden, is als het vliegtuig aan het overtrekken is, een situatie die in de commerciële luchtvaart nagenoeg niet voorkomt. ‘Het is een systeem dat relevant is voor gevechtsvliegers, die extreme manoeuvres willen uithalen om een gevecht te winnen’, zegt Fehrm.

De noodzaak van MCAS

Waarom installeerde Boeing MCAS uberhaupt op de MAX? Daarvoor moet gekeken worden naar de ontstaansgeschiedenis van het vliegtuig. Boeing wilde in eerste instantie helemaal geen MAX gaan maken, schrijft het blog waar Fehrm voor werkt, Leeham News. De Next Generation 737’s deden het uitstekend. Maar Airbus was bezig het A320-model van grotere motoren te voorzien, wat zou zorgen voor snellere vliegtuigen en betere brandstofeffiency. Boeing maakte zich daar niet zo’n zorgen om. De NG’s deden het goed, en het bedrijf wilde zich richten op een geheel nieuw vliegtuig. Maar toen in 2011 Airbus een grote deal leek te gaan sluiten met luchtvaartmaatschappij American Airlines, werd Boeing opeens wakker. Het kwam tussenbeide, sloot een deal met American, en lanceerde officieel de ontwikkeling van de MAX: een nieuwe versie van de NG met grotere motoren. In 2017 werd de eerste MAX in gebruik genomen.

Die grotere motoren moesten verder naar voren op de vleugel gemonteerd worden. En dat zorgde ervoor dat het vliegtuig zich iets anders gedroeg dan de NG-vliegtuigen. ‘Het zorgde voor een verandering in de lift,’ schrijft de Seattle Times.

Boeing wilde de MAX snel kunnen leveren aan de luchtvaartmaatschappijen, het liefst zonder al te veel extra training voor piloten die van de NG naar de MAX zouden gaan. En dus moest de MAX net zo voelen als de NG, ondanks de grotere motoren. Daarom werd MCAS ingevoerd. ‘Als er een overtrek-situatie zou ontstaan, zou [in dat geval] de extra neerwaartse kick op de neus het vliegtuig in die situatie hetzelfde doen aanvoelen als een ouder 737-model’, aldus de Seattle Times.

Toen na de Lion Air-crash bleek dat MCAS niet werkte zoals ontworpen, kon Boeing niet gewoon besluiten het systeem helemaal te verwijderen. Want dan zou het vliegtuig niet certificeerbaar meer zijn, legt Fehrm uit. ‘Vergelijk het met een auto die een anti-slipsysteem heeft voor als je 180 kilometer per uur gaat op een ijzige weg. Als blijkt dat het systeem niet zo goed werkt als bedacht, en het agentschap dat heeft gezegd dat de auto de weg op mag zegt het te verbeteren, moet je dat doen. Ook al gaat niemand waarschijnlijk met 180 km/u op een ijzige weg een bocht nemen: als de auto daar technisch toe in staat is, moet het veiligheidssysteem dat je ervoor had ontworpen werken.’ Oftewel, voor de MAX: een commercieel vliegtuig komt in de praktijk nooit in een overtrek-situatie, maar in theorie kan het. Dus moet het veiligheidssysteem dat ervoor bestaat, MCAS, werken.

Vergrootglas

In de nieuwe versie kan MCAS de neus nooit meer omlaag duwen dan de piloten handmatig kunnen verstellen. Daarnaast komt er nu wel een training voor piloten over beschikbaar. Al met al durft Fehrm nu met een gerust hart in een 737 MAX te stappen, als passagier of als piloot.

Maar het is nog maar de vraag wanneer de vliegtuigen weer de lucht in mogen. De updates moeten door de luchtverkeerautoriteiten in alle landen opnieuw gecertificeerd worden. In de Verenigde Staten ligt de FAA, van oudsher de meest gezeghebbende luchtverkeerautoriteit, onder een vergrootglas. Verschillende ministeries en agentschappen zijn aan een onderzoek bezig naar de oorspronkelijke certificering van de MAX, waarbij de FAA nogal wat verantwoordelijkheden aan Boeing zelf had overgelaten. De FAA zal de nieuwe updates niet zomaar goedkeuren. Daarnaast zullen autoriteiten in andere landen niet automatisch de FAA volgen. Het is niet ontdenkbaar dat landen een politiek spel willen spelen met het opnieuw toelaten van de MAX-vliegtuigen, al spelen de belangen van luchtvaartmaatschappijen die een aanzienlijk deel van hun vloot niet kunnen gebruiken (waaronder TUI, dat om die reden deze week de winstverwachting aanpaste) natuurlijk ook mee.

Mike Sinnett gaf tijdens de persconferentie afgelopen woensdag aan een zware procedure tegemoet te gaan. ‘Ik denk niet dat er ooit een update onder een groter vergrootglas heeft gelegen’, zei hij.