Waarom de Boeings neergingen

Luchtvaarttechnologie De nieuwe Boeing werd geen heel nieuw toestel, maar een vernieuwde ‘oude’ 737. Met een nieuw stabilisatiesysteem dat faalde én te veel invloed kreeg.

Illustratie Studio NRC

Het lijkt zeker dat de ongelukken met Boeing 737 MAX 8-toestellen in Indonesië en Ethiopië veroorzaakt werden door een falend stabilisatiesysteem. Dat erkende Boeing-bestuursvoorzitter Dennis Muilenburg vorige week (4 april) in een verklaring. „Maar een fataal vliegtuigongeluk heeft bijna nooit maar één technische oorzaak”, zegt Joris Melkert, luchtvaartingenieur van de TU Delft. „Het is altijd een combinatie van technisch falen en vliegers die daar misschien verkeerd op reageren waardoor nog iets gebeurt waar verkeerd op gereageerd kan worden, tot het uiteindelijk catastrofaal misgaat.”

Donderdag 4 april verscheen een voorlopig rapport van het ministerie van Transport over de crash in Ethiopië (10 maart 2019). Het duurt waarschijnlijk nog ongeveer een jaar voor er een definitief rapport is. Het laatste rapport over het Lion Air-ongeluk in Indonesië (29 oktober 2018) komt waarschijnlijk in augustus uit. De voorlopige rapporten geven al een beeld over de ontwerpkeuzes en problemen in de lucht die leidden tot de fatale ongelukken.

Het ontwerp

De 737 MAX 8 is de vierde generatie uit de 737-familie. Sinds de eerste 737, ruim 50 jaar geleden, is het toestel meermaals geüpdatet met modernere onderdelen zoals betere motoren en computers. Maar de basis komt uit de jaren zestig. Updaten heeft voordelen ten opzichte van een compleet nieuw toestel ontwikkelen. Bij een nieuw model keurt de Amerikaanse luchtvaartautoriteit FAA de aanpassingen. Als de besturing genoeg overeenkomt met andere modellen, dan hoeven piloten die al in een ander 737-model gevlogen hebben geen of minder uitgebreide (dure) simulator-training te doorlopen voor ze in het nieuwe 737-model mogen vliegen. Een zelfcursus op een iPad, met een afsluitende test waarin verschillen met andere modellen besproken worden, is dan voldoende.

Boeing is niet de enige op die deze manier toestellen updatet. Airbus gebruikt ongeveer dezelfde strategie in de toestellen uit de A320-familie. „Boeing was van plan om een compleet nieuw type te bouwen”, zegt Melkert. „Maar toen kwam Airbus acht jaar geleden met de A320neo, die erg goed verkocht. Om niet te erg achter te lopen, besloot Boeing nogmaals de 737 te vernieuwen. Dat werd de 737 MAX. Met zuinigere, maar grotere motoren.”

Het was een flinke technische uitdaging om het toestel zo te ontwerpen dat die nieuwe motoren onder de vleugels pasten zonder dat het model te veel veranderde. Dit kregen ze voor elkaar door de motoren op net een andere plek te bevestigen. Maar daardoor veranderden de gewichtsverdeling en de aerodynamiche eigenschappen van het toestel, wat ervoor zorgt dat de besturing van 737 MAX zich soms anders gedraagt en anders voelt dan die van voorgaande 737-toestellen. Om daarvoor te corrigeren werd het automatische stabilisatiesysteem MCAS ingebouwd. En dat heeft dus gefaald. „Op zich is MCAS een charmante oplossing”, zegt Melkert. „Dat het zo’n eigen leven kon gaan leiden met catastrofale gevolgen, had kennelijk niemand gedacht.” „Er zijn fouten gemaakt bij het ontwerpproces én bij het toezicht en de certificatie door de FAA”, zegt Alexander in ’t Veld, universitair docent en testpiloot bij de TU Delft. „Was een van die twee beter geweest, dan was deze aanpassing niet zo in een vliegtuig gekomen.”

MCAS stabiliteitssysteem

Het Maneuvering Characteristics Augmentation System (MCAS) is nieuw en wordt alleen in de Boeing 737 MAX en niet in andere passagiersvliegtuigen gebruikt. „MCAS werkt als een soort variabele stuurbekrachtiging”, zegt In ’t Veld. Net als in auto’s, waar sturen zwaarder wordt als je ver instuurt, wordt de besturing zwaarder zodat de piloten merken dat ze iets geks doen. Dit gebeurt bijvoorbeeld wanneer ze in overtrek dreigen te komen. Daarbij is de hoek van de toestel met de luchtstroom te groot waardoor de lucht niet meer om de vleugel heenstroomt en deze liftkracht verliest. Daardoor kan het toestel gaan zakken of vallen.

Doordat in de Boeing 737 MAX de motoren op een andere plek zitten, blijkt de neus van het toestel onder specifieke, uitzonderlijke omstandigheden omhoog getild te worden. Daardoor wordt de besturing, juist op momenten dat er kans is op overtrek, lichter in plaats van zwaarder. MCAS zorgt dat die stuurkracht weer zwaarder wordt door de neus iets naar beneden te duwen en zo het vliegtuig rechter te trekken. Daardoor voelt de besturing weer als bij andere 737-toestellen, zodat de piloot herkent wat er gebeurt. In ’t Veld: „Het is een certificatie-eis dat die feedback bij alle vliegtuigen hetzelfde moet zijn. Door de nieuwe motoren moest Boeing dat oplossen met MCAS.”

Vliegtuigen die in de afgelopen twintig jaar ontwikkeld zijn, hebben meerdere van dit soort systemen die stabiliteit of besturing verbeteren. Het is een afweging hoeveel piloten hierover moeten weten. „Ze moeten het toestel veilig en goed kunnen besturen, ook als er iets misgaat. Maar ze hoeven het vliegtuig niet te kunnen nabouwen”, zegt In ’t Veld. Alleen in uitzonderlijke situaties grijpt MCAS in. En als het goed is, gebeurt dat op zo’n manier dat de piloot er niets van merkt. Daarom heeft Boeing besloten dat piloten niet precies hoeven te weten hoe het werkt. Misschien ook omdat extra simulatortrainingen – en dus extra kosten voor vliegmaatschappijen – dan onnodig zijn. Maar het systeem heeft meer invloed dan gedacht en greep in op een moment dat het niet nodig was.

Bij het Lion Air-ongeluk wisten de piloten waarschijnlijk niet dat het MCAS bestond. Het stond niet duidelijk in de handleiding vermeld. In het voorlopige rapport van die crash staat dat het systeem niet is uitgeschakeld. De piloten hebben alleen heel vaak geprobeerd om de onterechte correctie van MCAS tegen te gaan door de neus weer omhoog te trekken. „Ze vochten tegen die computer, maar hebben dat gevecht uiteindelijk verloren”, zegt Melkert.

De Ethiopian Airlines-piloten wisten door het eerdere ongeluk wel van het MCAS-systeem, en dat het kon falen. Boeing bracht toen een (verplichte) update van de handleiding van het vliegtuig uit met extra aandacht voor het uitschakelen van het MCAS. De Ethiopische piloten hebben het systeem uitgezet volgens de door Boeing geleverde instructies, maar kregen het toestel daarna niet meer onder controle.

Trimmen

Het MCAS en andere systemen stabiliseren een vliegtuig door het horizontale staartvlak te verstellen, vertelt Melkert. Daardoor wordt de neus van het toestel een beetje omhoog of naar beneden geduwd, zodat het vliegtuig stabiel blijft vliegen. Dit heet ‘trimmen’. Het zorgt ervoor dat de piloot niet de hele tijd aan de stuurknuppel hoeft te trekken en duwen om het toestel in de gewenste positie te houden. Trimmen gebeurt meestal via een elektronisch systeem waar het MCAS ook op ingrijpt. Om MCAS uit te schakelen, moet het elektronische trimsysteem worden uitgeschakeld. Piloten kunnen dan handmatig trimmen door het staartvlak te verstellen met een trimwiel, dat naast hun knie zit. Aan dit wiel zit een handel. Door daar aan te draaien, verstellen ze het staartvlak.

Handmatig trimmen is een noodsysteem. Het is bijna nooit nodig. Er is behoorlijk wat spierkracht voor nodig, zeker bij hoge snelheid. „Zo’n staartvlak heeft een oppervlak van meer dan dertig vierkante meter”, zegt Melkert. Dat is op zichzelf al zwaar, maar naarmate je harder vliegt wordt de kracht van de lucht op dat vlak steeds groter, waardoor het nog moeilijker wordt om het in beweging te krijgen. „In een uitzonderlijke situatie met een erg hoge snelheid kan het dus gebeuren dat de piloten letterlijk niet sterk genoeg zijn om de neus omhoog (of omlaag) te duwen”, zegt Melkert. In ’t Veld: „Handmatig trimmen trainen piloten één of twee keer per jaar in een simulator, zodat ze weten hoe het werkt in een noodsituatie.”

In het voorlopige rapport staat dat de piloten van Ethiopian Airlines vlak voor de crash het elektronische trimsysteem en daarmee MCAS weer hebben aangezet. Waarom is niet duidelijk, vertelt Melkert. Uit het rapport blijkt dat er niet handmatig getrimd is, zegt In ’t Veld. „Maar het is niet duidelijk of ze het niet geprobeerd hebben, omdat ze bijvoorbeeld hun handen niet vrij hadden, of dat ze het wel geprobeerd hebben, maar dat het onmogelijk zwaar was. Als dat zo is, hebben ze het elektrische systeem misschien toch weer aangezet als laatste poging.” Het volledige rapport zal moeten uitwijzen wat er precies gebeurd is.

Wat de reden ook was, door het systeem weer in te schakelen werd ook MCAS weer actief en werd de neus nog verder omlaag getrimd. Dat is ze waarschijnlijk fataal geworden.

Hoge snelheid

Na de crash in Ethiopië zijn de motoren tien meter diep in de grond teruggevonden. Ze zijn dus met enorme snelheid op het oppervlak afgeraasd. In het voorlopige rapport staat ook beschreven dat het toestel een snelheid van 850 tot ruim 900 km/u haalde. „Ze vlogen ongelofelijk hard”, zegt Melkert. „Waarom dat zo was, is voor mij nog een van de grote vragen.” Uit het voorlopige rapport blijkt dat de piloten na de start niet meer aan de gashandels gezeten hebben. Starten gaat met veel vermogen om genoeg snelheid te krijgen om op te stijgen. Extra versnelling ontstond toen de neus naar beneden werd gedrukt. „Als je naar beneden gaat versnel je vanzelf. Net als wanneer je een heuvel afrijdt”, zegt In ’t Veld. Maar het is vreemd dat de piloten geen gas terugnamen. „Je krijgt bijna de indruk dat ze in de stress van het vechten tegen MCAS zijn vergeten het gas terug te zetten”, zegt In ’t Veld. „Maar het is niet duidelijk of dat echt aan de hand was.” Dat de motoren op vol vermogen stonden heeft de al gevaarlijke situatie zeker niet geholpen.

De sensoren

Bij beide 737 MAX 8-toestellen die verongelukten greep MCAS op een verkeerd moment in door een kapotte sensor. MCAS slaat aan naar aanleiding van metingen van één sensor. Die kijkt naar de invalshoek (angle of attack, AOA): de hoek tussen de relatieve richting van de lucht en de vliegtuigvleugel. Op de 737 MAX toestellen zitten twee AOA-sensoren, aan elke kant van de neus een. MCAS maakt gebruik van één van die twee sensoren. Het systeem kijkt naar de sensor aan de kant van de boordcomputer die actief is. In een vliegtuig zitten twee boordcomputers, aan elke kant een. Tijdens de vlucht is er één actief en staat de andere stand-by. Welke dat is, hangt ervan af of de piloot (die links zit) of de co-piloot (die rechts zit) op dat moment vliegt. Wie vliegt en dus welke sensor wordt gebruikt, wisselt na elke vlucht. „Voor sommige cruciale systemen wordt wel naar de waarden van de sensoren aan beide kanten gekeken”, zegt In ’t Veld. „Voor dit systeem werd dat niet nodig geacht.”

Er is bijna nooit maar één oorzaak

Joris Melkert TU Delft

In het oorspronkelijke MCAS-ontwerp zou het systeem slechts kleine ingrepen kunnen doen. „Als de sensor dan niet werkt, heb je maar een kleine fout, die je gemakkelijk kan herstellen. Daarom was er maar één sensor nodig”, vertelt In ’t Veld. Dit ontwerp, met één sensor, werd goedgekeurd. Maar tijdens testvluchten bleek dat het systeem beter werkt als het langer en zwaarder mocht ingrijpen (door meer te trimmen). Het uiteindelijke systeem heeft daardoor een flinke impact op het vliegtuig. „Daarom had het beter beveiligd moeten worden tegen fouten. Dat is niet gebeurd en het systeem is goedgekeurd.” Dat was een fout.

In het voorlopige rapport van de Ethiopian Airlines-vlucht staan de waarden van de twee sensoren. De sensor waarnaar MCAS keek verschilde bijna 60 graden van de andere sensor. De linker sensor gaf een hoek van ruim 70 graden aan. Zo’n grote hoek is onmogelijk voor een vliegtuig. Toch reageerde MCAS daarop.

In de nieuwe software-update van Boeing zijn verschillende verbeteringen doorgevoerd. Een daarvan is dat er nu wel naar beide sensoren gekeken wordt. Het systeem grijpt niet in als de waarden van de sensoren 5,5 graad of meer van elkaar verschillen. Dat betekent namelijk dat één van de twee waarschijnlijk kapot is. De vraag is of deze verbeteringen voldoende zijn om het vertrouwen in de Boeing 737 MAX-toestellen te herstellen.

Joris Melkert en Alexander in ’t Veld zijn niet betrokken bij Boeing of het onderzoek naar de ongelukken met de Boeing 737 MAX 8-toestellen.