Zitat:
"Rund 6000 Flieger vom Typ A320 seien betroffen. Die Software sei möglicherweise durch "intensive Sonneneinstrahlung" beschädigt. Dadurch könnten Daten betroffen sein, die für das Funktionieren der Flugsteuerung entscheidend sind."
Weiß jemand, was die genaue Ursache ist?
Ist das die höhere Teilchenstrahlung in der oberen Atmosphäre?
Warum will man dann
Zitat:
"In den meisten Fällen werde es "wenige Stunden" dauern, die fehlerhafte Software durch eine Vorgängerversion zu ersetzen"
eine alte Version einsetzten?
Hatte man einen Speicheralgorithmus geändert?
Wer so etwas schreibt hat wohl einen Sonnenstich. Die Elektronik ist tief im Flieger vergraben, da kommt keine Sonne hin.
Ich glaube eher man hat etwas verschlimmbessert und greift deshalb erst mal auf bewährtes (altes) zurück.
In einigen Jahren werden die Flieger wohl nur noch aus Software bestehen
und von KI gesteuert SCNR ;-)
Danke für den Link.
Solar flare - Ursache damit klar
Wie es aussieht war vermutlich korrumpierter Speicher das Problem.
Aber warum haben dann die Sicherheitsmaßnahmen versagt?
Also so was wie z.B. CRC oder Failsafe?
Kenne mich leider oder zum Glück überhaupt nicht mit Avioniksoftware aus.
On Nov 7th 2025 the NTSB reported: "During cruise, the aircraft experienced an uncontrolled descent for approximately 4-5 seconds before the autopilot corrected the trajectory. This likely occurred during an ELAC switch change." The occurrence caused 10 injuries on board, the NTSB opened an investigation.
1
An Airbus A320 aircraft recently experienced an uncommanded and limited pitch down event.
Selbst ein limited pitch down event kann leicht zu 0g oder sogar -g führen. Da aber ein großer Teil der hinten mitfliegenden Patienten glaubt, keine Gurt anlegen zu müssen, gibt's dann im Ergebnis Kopfschmerzen.
Ein meteorologisches Ereignis (vulgo "Luftloch") wirkt sich oftmals ähnlich aus.
Wie es aussieht war vermutlich korrumpierter Speicher das Problem.
Es heisst:
"a vulnerability with the ELAC B hardware fitted with software L104 in case of exposure to solar flares"
Aber warum haben dann die Sicherheitsmaßnahmen versagt?
Also so was wie z.B. CRC oder Failsafe?
Kenne mich leider oder zum Glück überhaupt nicht mit Avioniksoftware
Bei Avionic-Sicherheit geht es weniger um konkrete technische Massnahmen als un die Einhaltung eines start reglementierten Entwicklungs-/Dokumentations und Wartungsprozess.
Wie die geringe Störfestigkeit/hohe Anfääligkeit ("Vulnerability") letzlich behoben wird, ist nicht festgelegt.
Da kann man sich sicher einiges aus der Raumfahrt abschauen. Vielleicht hilft ja schon ein sicher befestigtes Erdungskabel an dem Schutzkäfig. Oder die klassische Redundanz.
Das eigentliche Ereignis war ein nicht vom Pilot ausgelöster Sinkflug, 10-15 Passagiere mussten nach der Notlandung behandelt werden.
"The incident triggering the recall occurred on October 30, when a JetBlue Airways flight from Cancun to Newark experienced an uncommanded descent that forced an emergency landing in Tampa, Florida. ... that a malfunction in the Thales ELAC 2 computer, which interprets pilot commands, likely contributed to the sudden drop. At least 10-15 passengers were hospitalized after the abrupt descent ."
das mit dem steilen Sinkflug habe ich aus irgendeiner damaligen Nachrichtenseite.
Natürlich liegt steil wie groß in den Augen des Betrachters.
Eine Turbulenz ist auch oft nicht vorhersehbar.
Aber darum fragte ich ja wegen Failsafe nach.
Damit sollen doch eigentlich Verletzungen vermieden werden.
Wegen der Flugroute über der Karibik kann mir erst ein Zusammenhang mit der Südpazifischen Magnetfeldanomalie in den Sinn, dort ist ja kosmische Strahlung stärker. Der Flug ging aber wohl reichlich nördlich davon weg.
Esoteriker könnten auch über die Nähe zum "Bermuda-Dreieck" spekulieren. ;-)
Bei Avionic-Sicherheit geht es weniger um konkrete technische Massnahmen
als un die Einhaltung eines start reglementierten
Entwicklungs-/Dokumentations und Wartungsprozess.
Danke sehr für die Erklärung!
Damit setze ich mich gerne freudig in den nächsten Flieger ;-).
Zum Glück muß ich kaum fliegen.
Bei manchen Ursachen von Flugunfällen rollen sich bei mir
die Fußnägel hoch.
Da sind wir ja bei uns in der Firma mit der Sicherheitstechnik
schon viel weiter.
Wie die geringe Störfestigkeit/hohe Anfääligkeit ("Vulnerability")
letzlich behoben wird, ist nicht festgelegt.
Da kann man sich sicher einiges aus der Raumfahrt abschauen. Vielleicht
hilft ja schon ein sicher befestigtes Erdungskabel an dem Schutzkäfig.
Oder die klassische Redundanz.
Naja, trotzdem rechnen Abteilungen in metrisch und andere in imperial.
Wurde auch sehr teuer...
das mit dem steilen Sinkflug habe ich aus irgendeiner damaligen
Nachrichtenseite.
Natürlich liegt steil wie groß in den Augen des Betrachters.
Steil ist in diesem Zusammenhang völlig egal (solange zB. die Geschwindigkeit innerhalb erlaubter Grenzen bleibt)
Einzig die Änderung der Flugbahn ruft Änderungen in den Beschleunigungskräften hervor. Bestes Beispiel ist der Parabelflug in landläufig /Kotzbomber/ genannten Flugzeugen wo ein 0g Szenario durch konstant angepassten, negativen Pitch aufrecht erhalten wird.
Da kann man sich sicher einiges aus der Raumfahrt abschauen. Vielleicht
hilft ja schon ein sicher befestigtes Erdungskabel an dem Schutzkäfig.
Oder die klassische Redundanz.
Naja, trotzdem rechnen Abteilungen in metrisch und andere in imperial.
Aber da Airbus seit Jahrzehnten Imperiale (UK) und M
etrische (FR,DE,..) Entwickler unter einen Dach bringt, haben sie dieses Problem wohl im Griff. Anders als die Marssondenbauer damals: https://de.wikipedia.org/wiki/Mars_Climate_Orbiter#Verlust
Aber wenn Trump auch die NASA auf das imperiale System gleichschaltet wird dergestalt nicht mehr passieren ;-)
Etwas seltsam:
Sonnenaktivität war eher schwach zu dem genannten Zeitpunkt:
"...Solar activity is expected to be very low with a chance for a C-class flares on days one and two (31 Oct, 01 Nov) and likely to be low with a slight chance for an M-class flare on day three (02 Nov)..."
In der Tat gab es schon einmal S-Level-Warnungen für die Luftfahrt, aber nicht an dem Tage des Vorfalls.
Bleiabschirmungen helfen nicht nur gegen Röntgenstrahlung. Daher wohl auch "Hardwareaustausch" bei einigen Fliegern nötig.
Dass das Problem lediglich per geänderter Software zu fixen wäre, halte ich auch für fraglich.
Angeblich sollen ROM-Speicherzellen "umgekippt sein". Und mit neuer Software werden keine ROM-Speicher verwendet?
Die Software sei
möglicherweise durch "intensive Sonneneinstrahlung" beschädigt
Das ist Journalistengewäsch. Die Rede ist bei Airbus von 'Solar Flares', also Sonneneruptionen, die, wie man weiss, auch Satelliten stören können. Das hat nichts mit der normalen Sonneneinstrahlung zu tun.
Mich wundert dabei, das die Airbus Jungs ihre Rechner anscheinend in Papier einwickeln. Ein richtiges Gehäuse und die übliche strahlungsfeste Hardware wäre vermutlich sinnvoller.
Mich wundert dabei, das die Airbus Jungs ihre Rechner anscheinend in
Papier einwickeln. Ein richtiges Gehäuse und die übliche strahlungsfeste
Hardware wäre vermutlich sinnvoller.
Vielleicht solltest Du mal eine erhellende Mail nach Finkenwerder schicken, evtl. haben die Jungs und Mädels da alukaschiertes Papier verwendet ...
BTW:
Starke Sonnenstürme wie im März 1989 machten sich auch unter anderem beim Radioempfang auf Kurzwelle bemerkbar.
Zuerst dachte ich, das Radio wäre kaputt.
Ganz typisch das raue Rauschen, erst der Teilchensturm bzw. die Rekombination und dann die so extrem starke Ionisation der Ionosphäre, dass das Sendersignal sogar ein paarmal um die ganze Erde herumläuft mit Echo. (Die letzten 10 Sekunden).
Sowas könnte auch weniger geschützte Chips aus dem Takt bringen.
War's aber am 30. Oktober 2025 nicht. (Da ist was anderes faul gewesen, was nicht gerne an die große Glocke gehängt werden will.)
Sowas könnte auch weniger geschützte Chips aus dem Takt bringen.
War's aber am 30. Oktober 2025 nicht. (Da ist was anderes faul gewesen,
was nicht gerne an die große Glocke gehängt werden will.)
Hast Du da irgendwelche konkreteren Informationen?
Ansonsten ist die Höhenstrahlung doch nen Statistik-Thema. Abhängig von der Höhe, Breitengrad, Sonnenaktivität, lokalen Anomalien etc. hast Du ne gewisse Menge Strahlung. Mit einer gewissen Wahrscheinlichkeit bringt die nun ein Bit im Rechner zum Kippen. Desto mehr Strahlung, desto Wahrscheinlicher.
Dann greifen Schutzmechanismen wie ECC im Rechner, die Bitfehler mit einer gewissen Wahrscheinlichkeit erkennen und korrigieren können. Und dann kommt die Software, die auch nochmal Plausibilitätsprüfungen, Redundantes Speichern kritischer Werte etc. vornimmt.
Mit einer gewissen, geringen Wahrscheinlichkeit geht all das schief und es passiert das, was diesem einen Flug da passiert ist. Da es eben Wahrscheinlichkeit ist, kann es auch an jedem Tag auftreten. Es muss dafür nicht hohe Sonnenaktivität herrschen, nur ist es mit geringer Sonnenaktivität halt unwahrscheinlicher.
Mit einer gewissen, geringen Wahrscheinlichkeit geht all das schief und
es passiert das, was diesem einen Flug da passiert ist.
Die Avionik gilt doch allgemein als extrem störsicher.
Und erst recht Kampfflugzeuge müssen gegen jede Art von elektronischer Kriegsführung sowie starkem Radar gewappnet sein.
Also kann man Dinge so konstruieren, dass sie der "kosmischen" Strahlung widerstehen.
Offensichtlich hat man bei der Zivilluftfahrt andere Rulez. Und jetzt sind sie damit ganz übel auf die Nase gefallen.
Also kann man Dinge so konstruieren, dass sie der "kosmischen" Strahlung
widerstehen.
Offensichtlich hat man bei der Zivilluftfahrt andere Rulez. Und jetzt
sind sie damit ganz übel auf die Nase gefallen.
Ach, 100% störsicher gibt es nicht, auch nicht bei Militärtechnik, nur bei Militärtechnik liegt der Schleier des Staatsgeheimnisses.
"Die jährliche Rate nicht korrigierbarer Fehler, die üblicherweise zum Absturz oder zum Herunterfahren des Servers führen, betrug 1,3 Prozent pro Server beziehungsweise 0,22 Prozent pro DIMM."
Offensichtlich hat man bei der Zivilluftfahrt andere Rulez.
Ist gerade keine Bundesligazeit?
Da schwenkt man dann wohl gerne von Trainer auf Luftfahrtexperte um.
Ist ja auch einfacher, da muss man schließlich von nichts eine Ahnung haben.
Das passt schon mal.
Schon ECC ist weitaus störanfälliger als der der gemeine Computernutzer
annimmt - da gibt das bit mindestens im Monatsrhythmus etc...
Und das auch in den Links gesagte widerlegt die in den Medien breitgetretene Behauptung, "kosmische Strahlung" sei die (Haupt-)Ursache.
Dass mit einem Schlag fast alle Flugzeuge des besagten Typs gegroundet wurden, zeigt andererseits, wie ernst die Sache dann genommen wird, wenn es dann zu Vorfällen der Unkontrollierbarkeit eines Flugverhaltens gekommen ist. Frage mich nur, wieso ist da nicht noch ausreichende Redundanz eingebaut, falls Avionik "spinnt". Zur Not eben "Drahtseile" und Hydraulik zur "manuellen" Steuerung der Ruder. Ist zwar unbequem, aber würde im Extremfalle Crashs verhindern helfen.
Sowas könnte auch weniger geschützte Chips aus dem Takt bringen.
War's aber am 30. Oktober 2025 nicht. (Da ist was anderes faul gewesen,
was nicht gerne an die große Glocke gehängt werden will.)
Kannst Du darüber mehr erzählen, oder wirst dann abgeholt oder schlimmer?
Offensichtlich hat man bei der Zivilluftfahrt andere Rulez.
Hat man. Beim Militär sind Verluste einkalkuliert. Wenn kritische Technik den Kampfwert erhöht, darf schon man einer ungeplant vom Himmel fallen, so lange die Bilanz passt.
Man kann schon froh sein, wenn sowas in den Medien nicht zum Sturzflug wird. So konnte man einstmals lesen "geriet in einen Sturzflug aus dem es gerade noch abgefangen werden konnte". Real wars eine kontrollierte Reaktion nach Druckverlust.
Dass mit einem Schlag fast alle Flugzeuge des besagten Typs gegroundet
wurden, zeigt andererseits, wie ernst die Sache dann genommen wird, wenn
es dann zu Vorfällen der Unkontrollierbarkeit eines Flugverhaltens
gekommen ist.
Ist halt nicht Boeing. Die hätten gesagt "bitte fliegen Sie weiter, es gibt nichts zu sehen".
Frage mich nur, wieso ist da nicht noch ausreichende
Redundanz eingebaut, falls Avionik "spinnt".
Irgendwann ist Schluss mit Redundanz. Jedes System was du zusätzlich einbaust ist auch wieder eine mögliche Fehlerquelle und kostet Platz und Gewicht.
Abgesehen davon gibt es Redundanz! Und in der könnte das Problem gelegen haben. Soweit ich das auseinander bröseln konnte:
Der Fehler soll bei, Zitat
This likely occurred during an ELAC switch change.
aufgetreten sein.
Airbus' haben zwei ELA Computer - aus Redundanzgründen ... Einen aktiv, einen als Backup. Bei einem Fehler des aktiven ELAC rekonfiguriert sich das System automatisch.
Das Zitat klingt daher danach, dass, nachdem ein ELAC (wegen Solar Flares?) versagt hat, das automatische Umschalten ("switch change") auf den zweiten schief gegangen ist oder zu lange dauerte und es dabei zu den unkontrollierten Ruderbewegungen kam.
Fallen beide ELACs aus (was NICHT der Fall gewesen sein sollte), gäbe es mit den SECs (Flight Control Secondary computers) eine weitere Redundanzebene. Von den SECs gibt es drei. Wenn das Flugzeug nicht mehr durch die ELACs über die Querruder und Höhenruder steuerbar ist, wird es über die sekundäre Flugsteuerung (Spoiler, Klappen, Vorflügel) mit Hilfe der SECs gesteuert.
Dann hatte der Autopilot bei dem betroffenen Flug auch noch ein Wörtchen mitzureden. Von denen gibt es zwei. Der hat, Zitat:
... uncontrolled descent for approximately 4-5 seconds before the
autopilot corrected the trajectory.
Also die Fluglage innerhalb von 4-5 Sekunden korrigiert. Womit? Keine Ahnung ob mit Hilfe der SECs oder des Backup ELAC. Aber der Autopilot ist dann noch mal eine Redundanzebene der "weiß" wie man das Flugzeug fliegt. Die Piloten wären von Hand wahrscheinlich langsamer gewesen.
Meine Kaffesatzleserei sagt daher, dass nicht der Ausfall eines ELAC durch Solar Flairs der Grund für den vorgeschriebenen Software-Downgrade ist, sondern das Versagen des Redundanzmechanismus und dadurch ausgelöster unkontrollierter Ruderbewegung. Die neue Software hat dabei Scheiße gebaut.
Das Versagen eines Redundanzmechanismus oder Störung dadurch wäre in der Tat ein ganz ganz böser Fehler der die temporäre Stilllegung der Airbus' rechtfertigen würde.
Zur Not eben "Drahtseile"
und Hydraulik zur "manuellen" Steuerung der Ruder. Ist zwar unbequem,
aber würde im Extremfalle Crashs verhindern helfen.
Es gab keinen Crash. Letztendlich hat der Autopilot in 4-5 Sekunden denen den Arsch gerettet. Nicht irgend welche imaginären Drahtseile.
Aber weißt du was das Schöne ist?
In ein paar Monaten wird es einen vorläufigen Bericht geben in dem die bis da hin gesammelten Fakten stehen werden. In etwa einem Jahr oder später wird es einen Abschlussbericht geben. Dann wissen wir mehr.
Alles was bis jetzt läuft sind vorläufige Maßnahmen.
"die das AOT-Dokument von Airbus einsehen konnte, berichtet, das Problem liege bei einem Computer namens Elac (Elevator and Aileron Computer). Dieser sendet Steuerbefehle an die Hohenruder, die die Nickbewegung beziehungsweise den Neigungswinkel des Flugzeugs kontrollieren."
"Ziel ist es, eine mögliche nicht vom Cockpitpersonal veranlasste Höhenruderbewegung auszuschließen, die im Extremfall die strukturelle Integrität des Flugzeugs beeinträchtigen könnte."
"Je nach Flugzeugtyp und -konfiguration fällt der Eingriff unterschiedlich aus, so Airbus auf Anfrage von aeroTELEGRAPH. Viele Jets können das Software-Update direkt dort erhalten, wo sie sich gerade befinden; andere müssen dafür an ihre Basis zurückkehren. Bei älteren Exemplaren ist möglicherweise zunächst eine Hardware-Änderung nötig, bevor das Update eingespielt werden kann."
Mich wundert, wie schnell, jedenfalls für die Luftfahrt mit ihren Freigaben etc., eine neue Software bereit ist. Das klingt, als ob man diese schon "in der Hinterhand" gehabt habe.
Um die Ausführung von "Nicht-Commandierten Ruderbewegungen" zu verhindern, müsste man eigentlich nur überprüfen, ob es die Kommandierung (Eingangs-event) tatsächlich gab. Also ein Handshake-Verfahren, resp. Quittierung.
Mich wundert, wie schnell, jedenfalls für die Luftfahrt mit ihren
Freigaben etc., eine neue Software bereit ist. Das klingt, als ob man
diese schon "in der Hinterhand" gehabt habe.
Keine neue Software, sondern ein Downgrade von Version L104 auf Version L103+.
MCAS ist etwas völlig anderes und dient auch völlig
anderen Zwecken.
Ausserdem war MCAS von Boeing und eine Konstruktion, die auf Betreiben einiger potentieller Käufer den Piloten eine Schulung ersparen sollte und diesen nicht mal bekannt gemacht wurde. Sie wurde auch der FAA Zulassungsbehörde verschwiegen. Sie verliess sich auf die Werte eines einzigen Sensors und war deshalb von vorneherein ein Risiko.
Davon kann bei Airbus keine Rede sein.
Man kann schon froh sein, wenn sowas in den Medien nicht zum Sturzflug
wird. So konnte man einstmals lesen "geriet in einen Sturzflug aus dem
es gerade noch abgefangen werden konnte".
"... die Maschine geriet ins Trudeln, stürzte wie ein Stein vom Himmel und verschwand von den Radarschirmen. Dann verlor der Pilot die Kontrolle." :)
Bei Ampeln habe ich die naive Vorstellung, daß es Logikgatter gibt, die eine gefährliche Fehlschaltung durch das Programm hardwaremäßig erkennen und dann eingreifen. Per Crowbar alles auf Rot oder so.
Ist bei Ruderbewegungen natürlich schwieriger, aber eine Maschine die topfeben auf Autopilot fliegt und wo keiner die Sticks anfaßt, sollte keine so starken Ruderausschläge benötigen, daß drinnen die Leute abheben. Oder andersherum, spätestens wenn 0 g erreicht sind, sollten die Bewegungen abgefangen werden, wenn sie gar nicht befohlen wurden. Läßt sich aber vermutlich nicht mit Absolutwerten darstellen, und dann ist die gedachte neue/zusätzliche Redundanzebene wieder genau davon abhängig (z.B. Pitot und AoA) worauf die aktive Ebene auch schon ihre Berechnungen stützt. Und damit halt auch nicht mehr redundant.
Und doch hat irgendein Programmierer die Vorgaben widerwillig (oder gedankenlos) umgesetzt. Oder ist das so abstrahiert dass keiner mehr weiß was er tut?
Bei Ampeln habe ich die naive Vorstellung, daß es Logikgatter gibt, die
eine gefährliche Fehlschaltung durch das Programm hardwaremäßig erkennen
und dann eingreifen. Per Crowbar alles auf Rot oder so.
Diese Vorstellung hatte ich früher auch. Mir ist es aber schon einmal passiert, dass die Ampel auf grün ging, losfuhr, den anderen auch losfahren sah und wir beide dann plötzlich auf die Bremse stiegen. Da waren tatsächlich beide Seiten gleichzeitig grün geworden. Danach ging die Ampel dazu über auf allen Seiten der Ampel gelb zu blinken. Die Überwachung hatte ungefähr 1...2 Sekunden benötigt, den Fehler zu erkennen.
@Alexander: Ich nehme an, du verfügst über die vollständigen Protokolle und Vorgaben innerhalb von Boeing und ggf Subunternehmern, um dich derart weit aus dem Fenster lehnen zu können.
Genau das ist die Aussage, die meinen Zweifel an der in den Massenmedien vorschnell als "Sonnensturmfolge" verbreiteten Ursache untermauert.
So deutlich wollte ich das nur nicht sagen.
Fakt ist: Es herrschte eindeutig niedrige Sonnenaktivität zum Zeitpunkt des Vorfalls.
Und retrograd jetzt die Flugbewegungen genau dieses Fliegers nachzuvollziehen, wann er einmal eine Flughöhe hatte und ein Gebiet durchflog für wie lange, um einer erhöhten Röntgen-, Alpha- und Gammastrahlung etc. ausgesetzt gewesen zu sein, die in der Lage gewesen wäre, die Avionik derart auch mit erst zu einem späteren Zeitpunkt nach der eigentlichen Einwirkung sich bemerkbar machenden Fehler zu stören, wäre wissenschaftlich redlicher.
Aber man hatte ja schnell einen Schuldigen gefunden: Die Sonne.
Abgesehen davon geben gerade aber nicht nur die amerikanischen Behörden Warnungen heraus. So dass Flüge gecancelt werden, wenn eine erhöhte Sonnenaktivität erwartet wird, dadurch ein erhöhtes Risiko besteht.
Eine solche Warnung ist nachweislich nicht protokolliert zu dem Zeitpunkt.
https://www.dwd.de/EN/specialusers/aviation/teaser/news/32_increased_solar_activity.html
Schlussfolgerung:
Die Öffentlichkeit bekam wieder einmal ihre medialen V*alium-Pillen verteilt.
Die Öffentlichkeit bekam wieder einmal ihre medialen V*alium-Pillen
verteilt.
Das liegt aber nicht an der EASA, der NTSB oder Airbus, sondern an der Ignoranz der Journalisten, die am liebsten 10 Minuten nach dem Ereignis Statements und Ursachenerklärung erwarten. Die haben keine Ahnung, das eine Untersuchung an einem komplexen System wie einem Airbus 320 dauern kann. Man kann sicher sein, das niemand sowas auf sich beruhen lässt, denn es muss einfach eine Erklärung gefunden werden. Das warten wir am besten erstmal ab.
Glücklicherweise gab es nur ein paar Verletzte - dafür sollten wir schon mal dankbar sein.
Einfach in der Tagesschau sagen, "Houston, wir haben ein Problem, die Software war schuld." Nicht die Ursache auf etwas anderes abzuwälzen versuchen. Etwas von (nicht nachgewiesener) Sonnenaktivität vorgaukeln.
"Toulouse, France, 28 November 2025 – Analysis of a recent event involving an A320 Family aircraft has revealed that intense solar radiation may corrupt data critical to the functioning of flight controls."
Die Sonne als möglicher Zusammmenhang wurde von Airbus ins Spiel
gebracht:
Dann haben die Presseabteilungen von Airbus eine "mögliche" Ursache in die Welt gesetzt, ohne einen eindeutigen Beleg dafür nachzuliefern.
Jurnalisten plappern dann einfach alles nach.
Dann haben die Presseabteilungen von Airbus eine "mögliche" Ursache in
die Welt gesetzt, ohne einen eindeutigen Beleg dafür nachzuliefern.
Jurnalisten plappern dann einfach alles nach.
Yep. Entweder die Presseabteilung verteilte zu wenig V*alium, oder diese Ursache hat mehr Hintergrund, als du ihr zugedenkst.
Und retrograd jetzt die Flugbewegungen genau dieses Fliegers
nachzuvollziehen, wann er einmal eine Flughöhe hatte und ein Gebiet
durchflog für wie lange, um einer erhöhten Röntgen-, Alpha- und
Gammastrahlung etc. ausgesetzt gewesen zu sein, die in der Lage gewesen
wäre, die Avionik derart auch mit erst zu einem späteren Zeitpunkt nach
der eigentlichen Einwirkung sich bemerkbar machenden Fehler zu stören,
wäre wissenschaftlich redlicher.
Eine etwas pointierte Beschreibung des Berufsbildes von Journalisten in Nachrichtenredaktionen :). Das ist mehr oder weniger deren Job, man könnte es aber weniger verächtlich ausdrücken.
Bei Ampeln habe ich die naive Vorstellung, daß es Logikgatter gibt, die
eine gefährliche Fehlschaltung durch das Programm hardwaremäßig erkennen
und dann eingreifen. Per Crowbar alles auf Rot oder so.
Diese Vorstellung hatte ich früher auch. Mir ist es aber schon einmal
passiert, dass die Ampel auf grün ging, losfuhr, den anderen auch
losfahren sah und wir beide dann plötzlich auf die Bremse stiegen. Da
waren tatsächlich beide Seiten gleichzeitig grün geworden. Danach ging
die Ampel dazu über auf allen Seiten der Ampel gelb zu blinken. Die
Überwachung hatte ungefähr 1...2 Sekunden benötigt, den Fehler zu
erkennen.
Quark. Die mir bekannten Ampelsteuerungeün messen die Spannung auf den Grün-Ausgängen und über eine Hardware-Dip-Schalter-Matrix wurden die Grün-Grün-Feindlichkeiten festgelegt. Wenn die zuschlagen fiel das Hauptschütz und die Versorgung wurde kurzgeschlossen. Alles ohne Software.
Das wurde bei der Abnahme auch geprüft.
Mein Wissen ist aber schon über 20 Jahre alt, vermutlich macht man das jetzt wohl über einen Extra-Controller...
Ich könnte von halbwegs mit naturwissenschaftlichem Allgemeinwissen vertrauten Nachrichtenredaktionen erwarten, dass gerade das Triggerwort "Sonnenaktivität" mit gebührender Vorsicht verwendet wird, bevor es leichtfertig für alle möglichen und unmöglichen Dinge in ursächlichen Zusammenhang gebracht wird.
Mit Sonnenaktivität assoziiert Otto Normalverbraucher, der in eben diesen Medien davon erfahren hat, nichts Gutes:
Stromausfälle, Ausfall von GPS und Satellitenkommunikation zum Beispiel. Aber potenzielle Flugzeugunfälle?
Da sollte man mit der Wortwahl in den Medien extrem sorgfältig umgehen.
dass dessen
Zeitpunkt sich nicht mit dem Auftreten eines Problems decken muss.
Und retrograd jetzt die Flugbewegungen genau dieses Fliegers
nachzuvollziehen, wann er einmal eine Flughöhe hatte und ein Gebiet
durchflog für wie lange, um einer erhöhten Röntgen-, Alpha- und
Gammastrahlung etc. ausgesetzt gewesen zu sein, die in der Lage gewesen
wäre, die Avionik derart auch mit erst zu einem späteren Zeitpunkt nach
der eigentlichen Einwirkung sich bemerkbar machenden Fehler zu stören,
Das Umweltbedingungen die Geschwindigkeit von Alterungsprozeßen erhöhen können sollte doch spätestens seit Entwicklung des Klimaschrankes bekannt sein.
Und es ist halt Statistik in der Badewannenkurve, könnte sein das der Halbleiterkristall beim Stress einen Defekt zeigt, könnte auch sein das es bis zur finalen "Reife" noch ein paar Tage dauert. Und manches Bit im Flash/ROM wird ja äusserst selten benutzt, da fällt ein Kipper nicht auf.
Mit Sonnenaktivität assoziiert Otto Normalverbraucher, der in eben
diesen Medien davon erfahren hat, nichts Gutes:
Da sollte man mit der Wortwahl in den Medien extrem sorgfältig umgehen.
Ach herrje, aber der Verfasser ist nun mal nicht verantwortlich für den IQ der Leser seiner Werke (Stichwort: "Perlen vor die Säue".) BTW: auch dieses Forum kennt keine Eignungsprüfung für Leser.
Das Umweltbedingungen die Geschwindigkeit von Alterungsprozeßen erhöhen
können sollte doch spätestens seit Entwicklung des Klimaschrankes
bekannt sein.
Deutet aber darauf hin, dass nicht unbedingt erhöhte Strahlenexposition ursächlich gewesen sein muss, sondern eventuell eine simple Schwankung der Lüftung oder Klimatisierung vor während nach dem Fluge.
Ich könnte von halbwegs mit naturwissenschaftlichem Allgemeinwissen
vertrauten Nachrichtenredaktionen erwarten
Sie sollte also ihr effektives Unwissen als Kriterium nutzen, um eine als seriös eingeschätzte Quelle zu zensieren?
Kleiner Tipp: Nachrichtenjournalist wird man, wenn das Schulzeugnis mehr Lob zum Sprachlichen oder Gesellschaftlichen, aber wenig Lob zu MINT Fächern enthält. :)
Deutet aber darauf hin, dass nicht unbedingt erhöhte Strahlenexposition
ursächlich gewesen sein muss, sondern eventuell eine simple Schwankung
der Lüftung oder Klimatisierung vor während nach dem Fluge.
Die lt. "aerotelegraph.com" vorgeschlagene Lösung (oder auch nur Mitigation) zielt auch nicht speziell auf Verhinderng Einfluß Kosmischer Strahlung/SEU ab, sondern ist ein Verfahren, das Fehler aus vielen Störwuellen angeht:
"Ziel ist es, eine mögliche nicht vom Cockpitpersonal veranlasste
Höhenruderbewegung auszuschließen"
Die lt. "aerotelegraph.com" vorgeschlagene Lösung (oder auch nur
Mitigation) zielt auch nicht speziell auf Verhinderng Einfluß Kosmischer
Strahlung/SEU ab.
Und unter anderem auch darauf bezugnehmend könnend wehre ich mich vehement gegen die vorschnelle Schlussfolgerung, es sei "Sonnenaktivität" ursächlich gewesen.
Bin schon gespannt, was der Abschlussbericht für Erhellendes bringt, oder anderenfalls, welche Sprachakrobatik einem da wieder aufgetischt wird, nur um die Bevölkerung nicht unnötig zu verunsichern.
Könnte ja jemand auf die Idee kommen, das Mantra: "Ja, Fliegen ist sicher" ernsthaft zu hinterfragen.
Glücklicherweise gab es nur ein paar Verletzte - dafür sollten wir schon
mal dankbar sein.
In jedem Auto schnallt man sich während der Fahrt an, weil immer die Möglichkeit ungeplanter Änderungen des Bewegungszustandes besteht. Vielleicht helfen solche Vorfälle, dass auch Flugpassagiere dies begreifen und sich entsprechend verhalten.
Vielleicht helfen solche Vorfälle, dass auch Flugpassagiere dies
begreifen und sich entsprechend verhalten.
Schätzt du die Öffentlichkeitswirkung des auslösenden Falles so hoch ein? Selber ins Luftloch gefallen, oder zumindest in Turbolenz den Tomatensaft auf die Hose bekommen zu haben, dürfte mehr bewirken.
In jedem Auto schnallt man sich während der Fahrt an, weil
Und unter anderem auch darauf bezugnehmend könnend wehre ich mich
vehement gegen die vorschnelle Schlussfolgerung, es sei
"Sonnenaktivität" ursächlich gewesen.
Ich würde Sonnenaktivität als einen Teil der Ursachenkette nicht ablehnen, u.a. weil
Der Schaden mag schon vor längere Zeit passiert sein
Das mag immer wieder mal passieren, ist damit erst mal nichts besonderes
Daher interessiert mich nicht die Sonnenaktivität, sondern
Warum fiel das erst jetzt auf (Fehlende eingebaute HW oder SW Checks oder schleichender Fehler?)
Warum lief das System beim "ELAC switch change" (als Reaktion auf das Erkennen eines Fehlers?) aus dem Ruder?
Bin schon gespannt, was der Abschlussbericht für Erhellendes bringt,
oder anderenfalls, welche Sprachakrobatik einem da wieder aufgetischt
wird, nur um die Bevölkerung nicht unnötig zu verunsichern.
Du hast dein Aluhütchen heute wieder besonders akkurat gefaltet, oder?
Könnte ja jemand auf die Idee kommen, das Mantra: "Ja, Fliegen ist
sicher" ernsthaft zu hinterfragen.
Die normale Aussage ist "Fliegen ist sicherer als ...".
Das Schöne ist, das Einsteigen in ein Flugzeug ist, bis auf wenige Ausnahmen, freiwillig. Du kannst einfach draußen bleiben, das ist deine Entscheidung. Problem gelöst.
Schon ECC ist weitaus störanfälliger als der der gemeine Computernutzer
Mir wurden mal 120 PCs mit ECC-RAM verkauft, bei denen enorm viele Speicherriegel systematische Einzelbitfehler hatten. Darauf angesprochen hieß es zunächst, das sei kein Mangel, die Fehler würden ja korrigiert ...
Ignoranz der Journalisten, die am liebsten 10 Minuten nach dem Ereignis
Statements und Ursachenerklärung erwarten.
Die primäre Aufgabe kommerziell arbeitender Journalisten liegt in der Befriedigung der Wünsche derer, von denen sie leben. Es ist diese Kundschaft, die 10 Minuten nach dem Ereignis Statements und Ursachenerklärung erwartet. Das ist auch hier im Forum mit Händen zu greifen.
Tun sie dies nicht, werden sie von ebd Kundschaft der Zensur verdächtigt.
In dem Falle hatte das nicht schnell genug funktioniert. Der Vorfall liegt ungefähr 10-12 Jahre zurück. Soweit ich weiß, ging die Ampel erst nachdem die Servicetechniker zu Werke waren, wieder in Betrieb.
Zur Fehlerkorrektur bei Höhenstrahlungseinflüssen gibt es Architekturen, die verwenden mehr als nur das ECC-Bit eines Speicherriegels. Es wird zum Beispiel zusätzlich der Mikrocode im Prozessor mit zusätzlichen Bits versehen.
Insgesamt sollen damit Bitfehler nicht nur erkannt, sondern bis zu einer bestimmten Anzahl auch korrigiert werden können. Zum Beispiel der zweifach erweiterter Kartentrick kann bis zu 3 Fehler korrigieren.
Insgesamt sollen damit Bitfehler nicht nur erkannt, sondern bis zu einer
bestimmten Anzahl auch korrigiert werden können.
1 Bit wäre Parity, und die gibts in DRAM schon seit Äonen nicht mehr. ECC wie in üblichen Servern ist bereits fehlerkorrigierend, weshalb DRAMs über mehr als 1 Bit zusätzlich verfügen.
Es gibt aber verschiedene Verfahren, die z.T. auch den Ausfall eines einzelnen DRAM-Chips auf dem Riegel abdecken (chipkill). Auch Spiegelung von Speichermodulen wird oft unterstützt.
Flash-Speicher verfügt ohnehin über erhebliche Fehlerkorrektur, wobei dabei andere Verfahren zu Einsatz kommen, und ggf Besonderheiten der inneren Organisation berücksichtigt werden müssen, da die ggf mehreren Bits einer Zelle nicht zum selben Datenblock gehören müssen.
Zur Fehlerkorrektur bei Höhenstrahlungseinflüssen gibt es Architekturen,
die verwenden mehr als nur das ECC-Bit eines Speicherriegels. Es wird
zum Beispiel zusätzlich der Mikrocode im Prozessor mit zusätzlichen Bits
versehen.
Insgesamt sollen damit Bitfehler nicht nur erkannt, sondern bis zu einer
bestimmten Anzahl auch korrigiert werden können.
Es ist diese
Kundschaft, die 10 Minuten nach dem Ereignis Statements und
Ursachenerklärung erwartet.[...]
Tun sie dies nicht, werden sie von ebd Kundschaft der Zensur
verdächtigt.
Ein geschickter Journalist hätte lediglich die lapidare Meldung verbreitet, dass ein wichtiges Softwareupdate ein Grounding von ca. 6000 Jets notwendig macht.
Punkt.
Damit ist die Info, die den eventuell Verspätungen und Cancellations in Kauf nehmen müssenden Fluggastkunden vorrangig interessiert, ausreichend weitergereicht.
Für den "Technikkram", der hinter einer Störung stecken mag, interessiert sich ein Fluggast erst in zweiter Linie. Dafür haben sich die durch "Software" bedingten Verzögerungen und Ausfälle in letzter Zeit zu sehr gehäuft.
Zum Beispiel:
Zitat:
"...22.07.2024 Ein fehlerhaftes Software-Update für Windows-Computer hat am Freitag weltweit in vielen Lebensbereichen zu Problemen geführt – vor allem auch im Flugverkehr..."
/Zitat
Oder: https://www.flightaware.com/live/cancelled/
Aber sofort "intensive Sonneneinstrahlung" oder "Sonnensturm" in die Debatte werfen.
Sowas klingt leicht wie ein hilfloser Versuch einer Exkulpierung.
Die mir bekannten Ampelsteuerungeün messen die Spannung auf den
Grün-Ausgängen und über eine Hardware-Dip-Schalter-Matrix wurden die
Grün-Grün-Feindlichkeiten festgelegt. Wenn die zuschlagen fiel das
Hauptschütz und die Versorgung wurde kurzgeschlossen.
Heißt aber, Gelb-Gelb geht noch, und da fahren die Leute ja schon alle los. Das täte dann schon zu den beobachteten Zeiten passen.
Mein Wissen ist aber schon über 20 Jahre alt, vermutlich macht man das
jetzt wohl über einen Extra-Controller...
Die installierte Steuerung aus dem Beispiel kann ja nochmal 20 Jahren älter gewesen sein, selbst unsere Kernkraftwerke liefen bis zum Schluß mit Kram aus den 70ern oder gar 60ern. Außer natürlich den LCD-Monitoren im Besucherzentrum und den Teilen der Leitwarte, wo die Führungen hingingen. :)
Ich habe mal an der Ampel grün bekommen, bin losgefahren und dann bretterte eine Straßenbahn quer vor mir rüber. Zum Glück war die Haltelinie 20 Meter weg von den Schienen, so daß ich noch vor dem Zug anhalten konnte. Irrtum meinerseits ausgeschlossen, gab nur ein Ampellicht und das Auto hinter mir war auch schon losgefahren. Der wäre dann dem Zug in die Seite gefahren, wenn der mich zur Seite geschoben hätte.
Ursache war wohl, daß der Straßenbahnfahrer bei Rot fuhr. Oberirdisch haben sie keine Überwachung.
Schätzt du die Öffentlichkeitswirkung des auslösenden Falles so hoch
ein?
Nein, die FAA oder wer auch immer den Fall untersucht, wird eine Empfehlung aussprechen und ggf. wird es zur Vorschrift. Im Kfz- Bereich war es nicht viel anders. Da gibt es eine Anschnallpflicht - fertig.
Wenn die Leute es selber nicht begreifen und sich trotz Empfehlung der Fluggesellschaften während des Fluges nicht anschnallen, kann da ganz schnell eine Vorschrift draus werden.
This likely occurred during an ELAC switch change.
aufgetreten sein.
Airbus' haben zwei ELA Computer - aus Redundanzgründen ... Einen aktiv,
einen als Backup. Bei einem Fehler des aktiven ELAC rekonfiguriert sich
das System automatisch.
Ist denn tatsächlich immer nur ein ELA Computer aktiv? Das wäre dann natürlich beim (seltenen) Umschalten ein möglicher single failure, wenn hier die Software nicht sauber oder zu langsam arbeitet. Beim Kostendruck in der Zivilfliegerei für mich denkbar.
Beim Eurofighter sind dagegen ständig 4 Flight Control Computer (FCC) mit auch getrennten 4 Lanes bis hin zu den Sensoren aktiv und per speziellem Netzwerk verbunden, so dass in jedem FCC ein identischer Datenstack zum Vergleich vorhanden ist. Weichen die Berechnungen in einem FCC davon gravierend ab, so klinkt sich nur dieser mit einer Fehlermeldung aus-ohne den Stack falsch zu beeinflussen. Damit ist die Steuerung auch gegen Multifehlern robust. Die ursprüngliche Entwicklung mit 3 FCC hat man eben aus diesem Grund auch auf 4 aufgemotzt.
Sonnenflares sollten keinen Einfluss haben, da die Software ständig einen ROM&RAM-Check fährt (CBIT) und ein gleichzeitiger Ausfall von 3 FCCs sehr sehr unwahrscheinlich wäre, von elektromagnetischen Impulsen/Kernwaffen-Detonationen in der Nähe mal abgesehen. Dann führen aber auch induzierte Ströme in den Kabelbäumen zu eklatanten Folgen.
Ist denn tatsächlich immer nur ein ELA Computer aktiv? Das wäre dann
natürlich beim (seltenen) Umschalten ein möglicher single failure, wenn
hier die Software nicht sauber oder zu langsam arbeitet. Beim
Kostendruck in der Zivilfliegerei für mich denkbar.
Untersuchungsbehörden wie das NTSB sind so gestaltet, dass sie möglichst ohne vorgefasste Meinung und Vorurteile an eine Sache heran gehen. Das hiesse hier beispielsweise, erst die Struktur der genutzte Technik zu analysieren, und die Gründe bestimmter Entscheidungen zu ermitteln. Das hiesse auch, nicht verfrüht ohne solche Kenntnis beim ersten Anschein ein Urteil zu fällen.
Zur Fehlerkorrektur bei Höhenstrahlungseinflüssen gibt es Architekturen,
die verwenden mehr als nur das ECC-Bit eines Speicherriegels. Es wird
zum Beispiel zusätzlich der Mikrocode im Prozessor mit zusätzlichen Bits
versehen.
Insgesamt sollen damit Bitfehler nicht nur erkannt, sondern bis zu einer
bestimmten Anzahl auch korrigiert werden können. Zum Beispiel der
zweifach erweiterter Kartentrick kann bis zu 3 Fehler korrigieren.
Ist denn tatsächlich immer nur ein ELA Computer aktiv? Das wäre dann
natürlich beim (seltenen) Umschalten ein möglicher single failure, wenn
hier die Software nicht sauber oder zu langsam arbeitet. Beim
Kostendruck in der Zivilfliegerei für mich denkbar.
Beim Eurofighter sind dagegen ständig 4 Flight Control Computer (FCC)
mit auch getrennten 4 Lanes bis hin zu den Sensoren aktiv und per
speziellem Netzwerk verbunden, so dass in jedem FCC ein identischer
Datenstack zum Vergleich vorhanden ist. Weichen die Berechnungen in
einem FCC davon gravierend ab, so klinkt sich nur dieser mit einer
Fehlermeldung aus-ohne den Stack falsch zu beeinflussen. Damit ist die
Steuerung auch gegen Multifehlern robust. Die ursprüngliche Entwicklung
mit 3 FCC hat man eben aus diesem Grund auch auf 4 aufgemotzt.
Der Eurofighter ist aerodynamisch ein Sonderfall (Lage des Druckpunktes im Unterschallbereich) weil aus Gründen der Wendigkeit instabil und deshalb muss die Steuerung ständig die Ruder bewegen um den Flieger auf Kurs in der Luft zu halten. Schubvektorsteuerung greift ebenfalls in das Flugverhalten ein.
Zivilflieger dagegen sollten auf stabile Fluglage optimiert sein und der Pilot sollte in der Lage sein, notfalls das Gerät auch ohne Autopilot zu fliegen.
FlyByWire muss trotzdem tun, klassische Hydrauliksteuerung sollte seit Jahrzehnten obsolet sein. Jedenfalls hat die A320 (ende Achtziger) Flight-by-wire.
Macht sie eher nicht, weil die Logik/Kombinatorik im Unterschied zur den Speicherelementen "fest" in Gatter (also ohne FF-Speicher) verdrahtet ist. Es könnte eher sein, das ein (Speicher-)FF-bit im Zielregister kippt und "0001" + "0001" wird zu "0000"
Die Berechnung der Paritäts-bits sollten auch fest verdrahtet sein (bei Parity einfach XOR-Gatter), damit muss sich die ALU nicht beschäftigen.
Manche Cores sind auch extra fehler-robust aufgebaut, bspw. ARM-R Cores.
Und beim Ausix gibt es spezielle Varianten die auch noch auf Si-Kristallen mit unterschiedlichen Schnittebenen geätzt sind.
"As a control surface runaway may affect the aircraft safety (elevators in particular), each computer is divided into two physically separated channels (Figure 12.5). The first one, the control channel, is permanently monitored by the second one, the monitor channel."
Brandneue Technik solltet ihr in der A320 aber nicht erwarten. ELAC=68010, SEC=80186.
Backup-Szenarien: Für die Höhenruderwirkung gibt es zusätzlich die Trimmung. Das Seitenruder besitzt zusätzlich eine mechanische Steuerung. Für das Querruder gibt es keinen eigenen Backup, das ergibt sich ausreichend als Nebeneffekt der Wirkung des Seitenruders (siehe vorigen Beitrag).
Gedacht ist das als Übergangslösung, bis die digitale Steuerung wieder funktioniert. Wie schon angeführt sind zivile Flieger grundsätzlich eigenstabil, weshalb das machbar ist. Kampfjets sind instabil und fallen bei Ausfall der Steuerung unweigerlich vom Himmel.
Obendrein wird bei 1000 der 6000 Flieger Ersatzhardware benötigt, Zur
Software passende Hardware oder so.
Im einfachsten Fall ist die Anzahl der Flashzyklen begrenzt. Zehn Mal hochflashen, und dann muss die Baugruppe zum Hersteller zur Überholung. Bei KFZ-Steuergeräten hatten wir das früher auch. So um 2000, als Flash noch einen richtig schlechten Ruf hatte.
Die "neue" SW ist ja eine alte. Es wird auf die Vorversion zurück gewechselt.
Brandneue Technik solltet ihr in der A320 aber nicht erwarten.
ELAC=68010, SEC=80186.
Wobei die Verwendung von IC-Baureihen die seit Jahrzehnten produziert werden Teil des Sicherheitskonzepts ist. Halt von etwas, das man seit 30 Jahren kennt und sich lange im Einsatz "bewährt" hat, geht man aus, das es auch weiter so tut. Jungspunde müssen erst noch ein paar weiter Jahre laufen bis man alle "Eigenheiten" gesehen hat.
Auch bei der Qualifikation eines Compilers soll man sich die Liste der Bug-Fix-Veröffentlichungen anschauen und bei dem C-Compiler den ich mir mal im Rahmen einer Quali anschaute war der letzte Fehler erst 12 a nach der Veröffentlichung gefunden. Wenn ich mich recht erinnere, war es ein falscher OP-Code den der Assembler generierte.
Komplexitätsvermeidung ist auch so ein Konzept, um die SW-Bug-Fehlerrate klein zu halten, da der Testaufwand mit der Komplexität sinkt. Cache bringt bspw. das Problem der Cache-Kohärenz auf den Plan und es wieder (mehr) Speicher, dem unter Strahlungseinfluß die Bits kippen können.
Macht sie eher nicht, weil die Logik/Kombinatorik im Unterschied zur den
Speicherelementen "fest" in Gatter (also ohne FF-Speicher) verdrahtet
ist. Es könnte eher sein, das ein (Speicher-)FF-bit im Zielregister
kippt und "0001" + "0001" wird zu "0000"
Die Teilchen fliegen um die Transen die die ALU bilden einfach drum herum?
Die Teilchen fliegen um die Transen die die ALU bilden einfach drum
herum?
Der Arbeitspunkt der Transen in einem Gatter liegt anders als der der Transen in einem FlipFlop (FF 1bit Speicher) und der Aufbau der Transen in einem Gatter unterscheidet sich signifikant von dem der Transen in einem FF.
Ein FF ist auf schnelle Umschaltung optimiert, ein Gatter auf stabiles Halten der Ausgänge.
Und bei einem Gatter sind die Eingänge permanent aktiv und treiben den Ausgang in das definierte Potential, während an einen (synchronen) FF nur zur Clock-Flanke die Eingänge durchgeschaltet sind während der meisten Zeit ist es lediglich das "Speicherelement" das sich über die Zeit von durchziehender Strahlung umladen lassen kann.
Wobei ein Quantenphysiker wahrscheinlich bei dem Wort "fliegen" wie bei dem Wort "Teilchen" die Stirn runzeln wird. Mit "Wirkungsquerschnitt" und der Ermittlung des selben für ALU(Gatter)- und für FF-Strukturen ist man da näher am Fachvokabular.
Ich bin nicht "jemand".
Der Verdacht der vorschnellen Ursachenfeststellung ist für mich das Thema. Und sowas dient dem Zwecke der Beruhigung der Bevölkerung.
Nebenbei auch dem Geschäftsinteresse der Airlines.
Hat ein Modell einmal einen Kratzer am Image erfahren, ist es für den Flugzeugbauer (und die Airline) extrem schwer, sich bei dem vorherrschenden Konkurrenzdruck in der Branche zu behaupten.
Ich vertrete die Meinung, dass die Pressepolitik im Hinblick auf die Aussenwirkung hätte etwas diplomatischer mit ihren Statements umgehen sollen. Die Mär von der "erhöhten Sonneneinstrahlung" kaufte denen keiner ohne Zweifel ab.
Einfach sagen, "die Spezialisten sind mit der Ursachenfindung
und -beseitigung befasst. Näheres in Kürze", hätte gereicht. Und dass Worten auch Taten (Softwareupdates) folgten, haben sie ja bewiesen.
Ich finde es jedoch vorschnell, die Erwähnung der Sonne als vorschnell
abzukanzeln.
Wenn sich das halbwegs durch Tatsachen untermauern ließe, wäre es ja in Ordnung.
Aber: Wie schon mehrfach gesagt: Keine erhöhte Sonnenaktivität zum Zeitpunkt des Vorfalls.
Gerade amerikanische Observatorien sind da führend und painstaking.
Stündlicher Ionosphärenrapport via Zeitzeichensender, welches Land hat das schon.
Keine Protokolle veröffentlicht, dass der besagte Flieger auch schon früher in Bereiche zu erwartender oder tatsächlich vorhanden gewesener erhöhter Radiation geflogen wäre.
Den Begriff "erhöhte Sonnenaktivität" in die Debatte zu werfen, zeugt von
"hilflos nach Erklärung suchen".
Wenn man nicht weiter weiß, ist es eben die kosmische Strahlung. Aber bloß von dem Verdacht ablenken, dass es etwas mit der Software zu zun haben könnte.
Wenn sich das halbwegs durch Tatsachen untermauern ließe, wäre es ja in
Ordnung.
Aus fehlender öffentlicher Information lässt sich nicht auf fehlende Information schliessen.
Keine erhöhte Sonnenaktivität zum Zeitpunkt des Vorfalls.
Du hattest selbst schon festgestellt, dass in bestimmten Schadenszenarien keine zeitliche Korrelation erforderlich ist.
Keine Protokolle veröffentlicht
Was willst du denn jetzt damit? Untersuchungen der zuständigen Behörden dauern mindestens Monate und werden zwar üblicherweise veröffentlicht, aber abschliessend. Bissel Geduld musst du schon aufbringen.
Aber
bloß von dem Verdacht ablenken, dass es etwas mit der Software zu zun
haben könnte.
Dass Software beteiligt ist, ist längst bekannt, weil sie neu aufgespielt wird. Aber ob sie ursächlich beteiligt ist, ist dadurch nicht gesagt. Wenn dir ein Kasten Sprudel auf den Fuss fällt, ist der Sprudel an deinen Schmerzen beteiligt, ihn trifft aber keine Schuld.
Weshalb reagierst du auf den Begriff "Software" derart heftig? Die A320 ist als Pionier digitaler Steuerung in der Zivilluftfahrt, also durch Software, seit 38 Jahren in der Luft, mit deutlich positivem Eindruck. Also sie frisch raus kam, fand ich das hoch interessant, hatte auch mal in ein Handbuch gespickt, aber das ist längst normal.
Bisher sieht das so aus, daß es zwar beim Umschalten der ELAC zum einer Fehlansteuerung der realen Steuerflächen kam. Der Vorfall von 2008 war doch ähnlich?
Und vielleicht war ja der Fehler, der zum Umschalten führte, durch Sonnenwinde verursacht. Aber dann gibts immer noch keine Rechtfertigung für den Folgefehler, nämlich daß der Flieger beim Umschalten der ELACs wie eine alte Stereoanlage mit oxidierten Kontakten kracht und scheppert.
Nach den letzten Informationen, die im Netz zu finden sind, lag es auch an einer neuen Version eines Compilers, der anscheindend eine benötigte Funktion wegoptimierte.
Wieder ein Text bei dem sich wegen der triefend-selbstgefälligen Ignoranz die Zehennägel hochklappen.
Beispielsweise zum Thema SEU:
"Ja. Das ist haarig. Wenn in der CPU Bits kippen, kann man sehr wenig dagegen tun, im Grunde genommen gar nichts"
Doch man kann eine ganze Menge dagegen tun, viele anerkannte Doktorarbeiten wurden in diesem Bereich geschrieben. Aber um die Qualität dieser Arbeiten zu erkennen, müsste man sich mit einer Kausalkette und Statistik beschäftigen und nicht süffisant herum tröten.
Das Danisch-Pamphlet "ver-hackstückt" ein paar neue Informationen, aber durch den zynischen Grundtenor verzerrt es den Wahrheitsgehalt bis zur Unkenntlichkeit und macht das Ganze nur schwer lesbar.
Besser man liest den Kommentar bei heise.de auf den sich der Danisch bezieht im Original:
Der fokkusiert sich auf die Plausibilitätsprüfung beim reduntanten Systemen und vermutet das in der Software die zugehörige Funktion wegoptimiert wurde:
aus dem Kommentar bei heise:
"Anscheinend hat bei Version 104 diese interne Plausibilitätsprüfung schlichtweg nicht ausgeliefert oder war deaktiviert. Es ist ein bißchen unklar zur Zeit wie das passieren konnte, es wird von einem Compiler-Change gesprochen, bei dem ein neuer Compiler den Check wegoptimiert hatte, oder irgendwo in der Build-Chain hat jemand etwas geändert, etc. Hierzu habe ich noch nichts genaues finden können, nur die offizielle Airbus Aussage das Version 103 diese korrekt hat, Version 104 diese jedoch nicht mehr."
Was mich an dieser Stelle wundert, das dieses "Verschwinden von Software-Komponenten" nicht beim obligatorischen Regressiontest aufgedeckt wurde.
Kenne mich leider oder zum Glück überhaupt nicht mit Avioniksoftware
aus.
Was hat Dieter Nuhr mal gesagt...?
Die Technik ist in solchen Sicherheitsbereichen mehrkanalig diversitär ausgelegt.
Üblich sind "zwei aus drei Entscheidungen" oder andere ungerade Paarungen.
Die jeweiligen Komponenten werden in unterschiedlichen Programmierumgebungen auf Hardware unterschiedlicher Hersteller und verschiedener Halbleitetertechnologien aufgebaut und entwickelt. Es gibt gegenseitige Überwachung der Module untereinander. Auch diese erfolgt mehrfach redundant über fehlertolerante Busverfahren. Die Sicherheitstechnik wird an verschiedenen Einbauorten im Fleiger platziert. Eine Beschädigung oder Beeinflussung von außen oder innen kann fast ausgeschlossen werden.
"Fly by wire" geht längst nicht mehr allein über Kupfer.
Eine Fehlermeldung des zwei aus drei Systems führt allerdings sofort in die Wartung!
Dieses Sicherheitsdenken ist bereits seit Jahrzehnten Stand der Technik auch bei Maschinensteuerungen mit Mikroprozessoren.
Die jeweiligen Komponenten werden in unterschiedlichen
Programmierumgebungen auf Hardware unterschiedlicher Hersteller und
verschiedener Halbleitetertechnologien aufgebaut und entwickelt.
Erkennbar nicht der Weg von Airbus beim A320. Siehe Doku oben. Und noch ein etwas ausführlicheres Paper, von Airbus:
This paper deals with the digital electrical flight control system of the Airbus airplanes. This system is built to very stringent dependability requirements both in terms of safety (the systems must not output erroneous signals) and availability. System safety and availability principles are presented with an emphasis on their evolution, on future challenges and on pilot aids.
Auch interessant: "For the translation of functional specification into software, the use of automatic programming tools is becoming widespread.
This tendency appeared on the A320 and since A340-600 both PRIM and SEC are programmed automatically for a significant part. Such a tool has as input the functional specification sheets, and a library of software packages, one package for each symbol utilized. The automatic programming tool links together the symbol packages."
Die Teilchen fliegen um die Transen die die ALU bilden einfach drum
herum?
Der Arbeitspunkt der Transen in einem Gatter liegt anders als der der
Transen in einem FlipFlop (FF 1bit Speicher) und der Aufbau der Transen
in einem Gatter unterscheidet sich signifikant von dem der Transen in
einem FF.
Und deswegen sind diese Transen sicher oder doch nur ein wenig sicherer?
Was soll das am Ende werden? Natürlich kann es nur um das Mass an Sicherheit gehen, nicht ums Absolute. Redundanz beeinflusst nur die Wahrscheinlichkeit eines Totalausfalls. Ebenso die (eigentlich) eiserne Regel der Branche, dass ein Ausfall allein nicht zur Katastrophe führen darf.
Mechanische Steuerungen können auch kaputt gehen, nur eben anders. Gibt Beispiele dafür. 4fach redundante Hydraulik kann komplett ausfallen, weil gemeinsame Ursache.
Das wird allmählich lächerlich. Wieviele Betriebsstunden im Van-Allen-Gürtel hatte das Apollo Programm, wieviele Betriebsstunden in der Stratosphäre hatten die A320er bisher insgesamt?
"Laut einem Zwischenbericht der BFU froren die von zwei der drei redundanten Anstellwinkelsensoren gelieferten Werte innerhalb von etwa einer Minute bei fast gleichen Werten ein. Weicht einer der drei Sensoren zu weit vom Mittelwert aller drei ab, wird er von den Flugcomputern nicht mehr berücksichtigt (2-aus-3-Auswahl). So wurde in diesem Fall vom Computer das nicht eingefrorene Sensorsignal verworfen und wegen der verwendeten falschen Werte der Anstellwinkel des Flugzeugs auf einen zu geringen Wert begrenzt."
"Laut einem Zwischenbericht der BFU froren die von zwei der drei
redundanten Anstellwinkelsensoren gelieferten Werte innerhalb von etwa
einer Minute bei fast gleichen Werten ein. Weicht einer der drei
Sensoren zu weit vom Mittelwert aller drei ab, wird er von den
Flugcomputern nicht mehr berücksichtigt (2-aus-3-Auswahl). So wurde in
diesem Fall vom Computer das nicht eingefrorene Sensorsignal verworfen
und wegen der verwendeten falschen Werte der Anstellwinkel des Flugzeugs
auf einen zu geringen Wert begrenzt."
Ja das war kein schöner Zwischenfall und ein Paradebeispiel für einen Single-Cause-Failure.
Einen solchen konnte man auch bei der beinahe Katstrophe im AKW Forsmark sehen.
"Laut einem Zwischenbericht der BFU froren die von zwei der drei
redundanten Anstellwinkelsensoren gelieferten Werte innerhalb von etwa
einer Minute bei fast gleichen Werten ein. Weicht einer der drei
Sensoren zu weit vom Mittelwert aller drei ab, wird er von den
Flugcomputern nicht mehr berücksichtigt (2-aus-3-Auswahl). So wurde in
diesem Fall vom Computer das nicht eingefrorene Sensorsignal verworfen
und wegen der verwendeten falschen Werte der Anstellwinkel des Flugzeugs
auf einen zu geringen Wert begrenzt."
Warum sollte sie das tun, abgesehen davon, dass die Störwahrscheinlichkeit wegen des kurzen Zeitfensters im Vergleich zu Speicherfehlern ausgesprochen klein ist.
Dass eine Entscheidung "zwei aus drei Entscheidungen" auszuwählen nicht
der Weisheit letzter Schluss sein kann, ist bekannt.
Das Problem war, dass konstruktionsbedingt zwei Sensoren den gleichen (falschen) Wert geliefert haben, d.h. Ursache waren korellierte Fehler in der Sensorik. Das ist, wie wenn du einen Sensor auf mehrere Eingangskanäle verdrahtest. Der Entscheidungsprozess steht dann etwas hilflos davor.
man kann Murphy halt nicht austricksen, was schief gehen kann geht
schief!
Ganz so sagt es Murphy nicht, in der ursprünglichen Formulierung behauptet er eher, dass, sobald Menschen involviert sind, wird sich ein "Idiot" finden, der alles falsch macht.
"If there’s more than one possible outcome of a job or task, and one of those outcomes will result in disaster or an undesirable consequence, then ->somebody<- will do it that way"
Es ist also weniger ein Naturgesetz als eine Beobachtung der Verhaltenspsychologie.
Nach Naturgesetz klingt eher wie es Forrest Gump später ausdrückte: "Shit happens" ;-)
Das ist, wie wenn du einen Sensor auf mehrere
Eingangskanäle verdrahtest. Der Entscheidungsprozess steht dann etwas
hilflos davor.
Dann muss man eben mehr Informationen aus weiteren Quellen anfordern und bis zur Entscheidung die Situation in einem "Fail safe" Zustand halten, überführen bzw. es versuchen.
Auch ein Lotse am Radarschirm kann einem über Funk Flughöhe und Geschwindigkeit nennen. Aber manchen reicht die Zeit und sonstiger "Spielraum" nicht.
BTW: Buchempfehlung: "Die Logik des Mißlingens. Strategisches Denken in komplexen Situationen. ", Dietrich Dörner, ISBN: 978-3499615788
Das ist, wie wenn du einen Sensor auf mehrere
Eingangskanäle verdrahtest.
Ich hab mal einen Server gesehen, dessen beide redundante Netzstromanschlüsse man auf eine Steckerleiste verdrahtet hat. Zugegeben ging einer davon durch eine USV, aber das zweite Kabel half nur noch bei Nagetierfraß oder wenn die USV explodiert ohne die Sicherung davor zu reißen. War aber eine APC, die ziehen bei einem Ausfall regelmäßig den halben Stadtteil ins Dunkle, so satte Kurzschlüsse produzieren die.
Die zunächst vom Flugzeug kommen. Höhe kann er wohl gar nicht selbst,
und Geschwindigkeit über Grund vom Radar hilft den Piloten nichts.
Ich meine schon das am Radarschirm (der klassischen Bauart) die Höheninformation vom Höhenfinder und damit von einem externen Sensor angezeigt wird. Aber du magst recht haben, heutzutage zeigt der Radarschirm die Info's die er über den Transponder bekommt und damit wieder vom Flugzeug generiert sind.
Geschwindigkeit über Ground ist schon wichtig um zu sehen wie schnell der Landestreifen auf einen zukommt und welche Sinkrate man wählen sollte, aber natürlich sagt er nichts über die Strömungsgeschwindigkeit über den Tragflächen und damit über die Auftriebskraft die den Piloten in der Luft hält.
Und etliche Flieger sind gecrasht weil der Pilot nach Höhe flog und nicht nach dem tatsächlichen Abstand zum Boden:
Nach Naturgesetz klingt eher wie es Forrest Gump später ausdrückte:
"Shit happens" ;-)
gefällt mir auch, wann immer ich versuchte alle möglichen Evantuellitäten auszuschliessen in der Prüfmittelprogrammierung überraschten mich die Menschen in der Fertigung immer die Lücke zu finden und sei es eine "komische" Tastenkombination zu finden um den Prüfrechner abstürzen zu lassen.
Da wären wir wieder bei "was schief gehen kann geht schief"
Nach Naturgesetz klingt eher wie es Forrest Gump später ausdrückte:
"Shit happens" ;-)
gefällt mir auch, wann immer ich versuchte alle möglichen
Evantuellitäten auszuschliessen in der Prüfmittelprogrammierung
überraschten mich die Menschen in der Fertigung immer die Lücke zu
finden und sei es eine "komische" Tastenkombination zu finden um den
Prüfrechner abstürzen zu lassen.
Da wären wir wieder bei "was schief gehen kann geht schief"
Auja, aber da hilft ne große Portion Gelassenheit - richtig "Idiotensicher" oder "bullet proof" ist ne Prüfanweisung in der ersten Version nie.
Maximal Automatisieren hilft, also bspw. statt beschreiben wie die Knöppe am scope zu stellen sind, ne Einstellungsdatei draufspielen, die dann als Preset aktiviert wird.
Aber meist fragt das Testfeld ohnehin nach einen Ingenieur der ne Schulung machen kann und immer gleich auf dem Sprung ist. Das Lernen funktioniert auch gut in beide Richtungen, ich brech mir immer die Fingernägel ab um die Karte aus dem Rack zu ziehen und die Tester habe da sich ein geniales "Ausrückwerkzeug" aus nen Stück Blech gebogen.
Wobei richtig Ernst wird das Ausdenken möglicher Fehler erst im Anwendungsfall, also ne Risikoanalyse/-bewertung.
Und dafür hat es in der Avionic etliche bewährte Techniken, wie die Einteilung nach DAL-Level und der sich daraus ergebene Testaufwand resp. -abdeckung.
