Nee, falende automatisering maakt een vliegtuig onveiliger.
Defective readings apparently confused the flight computers, leading them to believe that the passenger jet was climbing steeply instead of cruising along a stable, horizontal path.
Klinkt als slecht testwerk.
Using all of his strength, the pilot pulled back the control stick, desperately trying to get the plane back onto a safe horizontal flight path.
Falende mechanische controls trouwens ook. Waarom is er veel menskracht nodig voor het verstellen van een control stick?
#2
ReinoutS
Informaticahoogleraar Chris Verhoef schreef hier onlangs een column over in de Automatisering Gids.
#3
Danny Jouwe
@Kalief
Toenemende automatisering maakt de kans op falende automatisering groter. Immers: Programs have become so complex that they can hardly be tested for all eventualities anymore.
Zo krijg je inderdaad slecht testwerk.
Waar we mee te maken hebben is dat het aantal doden in de eerste helft van dit jaar 50 procent hoger lag dan het gemiddelde van de laatste 10 jaar.
Wat moet er dan na de crashes gebeuren als: …it is highly problematic for the manufacturer of an airplane or a computer component to be entrusted with the investigation after an accident, because no one else can figure out the software. “This limits the perspective when searching for the cause,” says Ladkin — probably because no one wants to accept the blame.
Dit doet me toch een beetje denken aan bankiers vragen om zelf de bankencrisis op te lossen, omdat zij de enigen zijn die er verstand van hebben, en dan verbaasd zijn dat hoge bankiers lekker blijven zitten en er weer allemaal hoge bonussen worden uitgedeeld met belastinggeld.
#4
DJ
Majority voting dient de robuustheid, wel een sterk argument van die prof. (Dat is: 4 sensoren is een slecht idee, beter 3 of 5.)
#5
su
@3: Bij automatisering van kritieke processen, zoals vluchtcomputers, wordt danook niet alles uitvoerig getest. Er wordt een scheiding gemaakt tussen wat zonder problemen kan falen en wat nooit mag falen.
Maar wat hier naar voren komt is een probleem met redundantie. De falende unit was een van de drie die aanwezig was. Als één zo’n unit foute data geeft, dan kan het als kapot worden aangemerkt en overgeschakeld worden op een ander. Maar zo te horen gaat er iets daarin mis. Je kunt dan discussieren of dit een software, mechanisch danwel designfout is.
Over de verhoogde dodental weet ik niet of het in deze discussie thuishoort. Een groot aantal van de passagiersvliegtuigen die op dit moment in service zijn gaan al een tijdje mee, en zijn zeker niet uitgevoerd met de complexe systemen waar we het nu over hebben. Ik vermoed dat dat veel meer met het uitstellen van onderhoud en vervanging te maken heeft in een markt die door moordend competitie is gegrepen.
#6
Danny Jouwe
@su
Het significant hogere dodental was de voornaamste reden om het artikel in Der Spiegel te schrijven. Was dit feit er niet dan was het bewuste artikel er nooit gekomen. Na enig graafwerk kwamen ze er op uit om het verhaal aan toenemende problemen met computers op te hangen.
Het grootste punt hierbij zijn de computersystemen van de Airbus A 330. Bijvoorbeeld bij het toestel van Air France boven de Atlantische Oceaan op 1 juni: … In that accident, the final signals that were transmitted by the doomed aircraft’s computers via satellite also provide evidence of digital problems on board. Twenty-four matter-of-fact maintenance messages to headquarters in Paris indicate that the speed sensors reported defective data, and that the flight computers switched themselves off because they were incapable of processing the contradictory data.
Maar ook met een Boeing zijn in het afgelopen half jaar ongelukken gebeurd, zoals dat van Turkish Airlines bij Schiphol: During the landing approach, a malfunctioning altitude indicator reported that the plane was already two meters below the runway. The computer that controls the automatic thrust control system, believing that the aircraft was already on the ground, reduced engine power. The pilots ignored the change, perhaps because they had placed too much trust in the computer.
In de burgerluchtvaart spitst de discussie zich nu toe op op al die computersystemen en hoe daar mee om te gaan. Het belangrijkste punt in het Spiegel-verhaal zijn niet de mechanische fouten maar de fouten die gerelateerd zijn aan de computersystemen. En wat jij ‘design’ noemt is niets anders dan het ontwerp van de computer-software.
#7
DJ
4 sensors, foute keus, niet specifiek voor software engineering. Ben niet erg overtuigd van de ‘significantie’ van hoger dodental, door het schattingsprobleem van zeldzame gebeurtenissen. verder wat su zegt.
#8
Danny Jouwe
@7
Vanuit de statistiek gezien heb je inderdaad het schattingsprobleem van zeldzame gebeurtenissen. Maar zo redeneert een weekblad niet. En in toenemende mate gaan mensen in het veld zich er kennelijk ook ongemakkelijk bij voelen.
Die 4 sensors zijn inderdaad niet specifiek, maar eigenlijk is dat maar één voorbeeld in het hele verhaal.
#9
su
@6: Met design bedoel ik zowel hardware/analoge systemen als software. In een embedded omgeving kun je die zaken niet als losstaand beschouwen.
#10
su
En in toenemende mate gaan mensen in het veld zich er kennelijk ook ongemakkelijk bij voelen.
Nouja, Ed Nisley heeft er decennialang erg smakelijk over geschreven in Dr. Dobb’s. Dat Der Spiegel er een artikel aan wijdt betekent niet dat de techneuten hebben zitten slapen ;oP
#11
Danny Jouwe
@su
Zeker, zeker. Maar nog belangrijker lijkt me dat piloten niet gaan zitten slapen nu hun zoveel actie uit handen wordt genomen door al die computers aan boord ;-)
#12
su
@11: Wat dat betreft is de Turkish Airlines een geval waar de bemanning te lichtzinnig omging met waarschuwingen. Als ze hadden gekozen om niet op de autopiloot te vertrouwen was er geen probleem geweest bij de landing.
#13
gronk
Die hogere dodenaantallen zijn ongerelateerd aan ’t feit dat vliegtuigen steeds groter worden?
#14
Danny Jouwe
@13
Het hogere dodental is verbonden aan het laatste half jaar. Volgens mij zijn er in deze periode niet opeens grotere vliegtuigen bijgekomen.
#15
gronk
Ja, maar d’r zijn ook niet opeens allerlei nieuwe fly-by-wire-trucjes bijgekomen. Tenzij Airbus is overgestapt op een nieuwe versie van de vliegsoftware.
#16
Danny Jouwe
@15
Het is niet helemaal duidelijk. Maar in het Spiegel-artikel staat dit omineuze zinnetje: Judging by the latest accident statistics, which Flight International published last week, a historic turning point has been reached.
Dit heeft de hele zaak getriggerd: een week later was het de coverstory van Der Spiegel.
Misschien zit ’t hem er wel in hoe je op het woordje historic reageert. Het kan slechts verwijzen naar een statistiek met jaartallen, maar het kan ook verwijzen naar zoiets als het vallen van De Muur.
Hoe dan ook, Flight International stelt: Unless there is a dramatic improvement in airline safety performance between now and the end of 2010, then 2001-10 will become the first decade since the Second World War when global airline accident rates did not show improvement.
#17
DJ
Dat betekend toch gewoon dat het risico uit bodemt, of mis ik iets ?…
#18
gronk
Zonder data blijft het een raar verhaal. Volgens mij wordt er steeds meer gevlogen, met steeds grotere toestellen. Allicht dat er dan meer crashes gebeuren, en dat daarbij meer doden vallen. Je moet op z’n minst kijken naar ‘aantal doden per 1 miljoen vlieguren/vliegkilometers oid’
#19
Danny Jouwe
@17
Zou kunnen. Maar dat was en is zeker niet de bedoeling. De verwachting is eigenlijk nog steeds dat vliegen gestadig veiliger gaat worden dankzij computertechnologie.
Niet voor niets was een slogan van Airbus eerst: The highest-paid passenger is sitting in the cockpit.
#20
su
@19: Maar dan is de vraag niet of computers het vliegen gevaarlijker maakt, maar of er een limiet is aan hoe veilig het vliegen gemaakt kan worden door computers.
#21
Danny Jouwe
@18
Het is niet waar dat er geen data zijn. Ik verwijs je bijv. naar Flight International of de International Civil Aviation Organization.
@21: Zeg, doe niet zo beledigd. D’r zal ongetwijfeld data zijn, maar in dit verhaal zie ik ’t niet langskomen.
#24
Danny Jouwe
@20
Inderdaad. Maar we moeten afwachten of het afgelopen halfjaar een uitzondering zal blijken te zijn geweest.
#25
Kalief
@SU #5
Verzorgt een vluchtcomputer uistluitend kritieke processen? Vliegen door slecht weer is ongemakkelijk maar niet onuitvoerbaar.
Als er door een onweer dreigt te worden gevlogen, wat doet de automatische piloot dan? Geeft het een melding aan de piloten die dan de route kunnen verleggen, of voert het die correctie zelf uit?
Als comfort niet kritisch is maar wel aan de autopilot wordt toevertrouwd, dan kunnen ook niet-kritische processen gemengde (tegenstrijdige) signalen afgeven.
#26
su
Geeft het een melding aan de piloten die dan de route kunnen verleggen, of voert het die correctie zelf uit?
Het eerste lijkt mij. Het verleggen van de koers lijkt mij trouwens kritischer dan op eerste oog. Stel dat de brandstof niet toereikend is voor de koersverandering.
Reacties (26)
Nee, falende automatisering maakt een vliegtuig onveiliger.
Defective readings apparently confused the flight computers, leading them to believe that the passenger jet was climbing steeply instead of cruising along a stable, horizontal path.
Klinkt als slecht testwerk.
Using all of his strength, the pilot pulled back the control stick, desperately trying to get the plane back onto a safe horizontal flight path.
Falende mechanische controls trouwens ook. Waarom is er veel menskracht nodig voor het verstellen van een control stick?
Informaticahoogleraar Chris Verhoef schreef hier onlangs een column over in de Automatisering Gids.
@Kalief
Toenemende automatisering maakt de kans op falende automatisering groter. Immers: Programs have become so complex that they can hardly be tested for all eventualities anymore.
Zo krijg je inderdaad slecht testwerk.
Waar we mee te maken hebben is dat het aantal doden in de eerste helft van dit jaar 50 procent hoger lag dan het gemiddelde van de laatste 10 jaar.
Wat moet er dan na de crashes gebeuren als: …it is highly problematic for the manufacturer of an airplane or a computer component to be entrusted with the investigation after an accident, because no one else can figure out the software. “This limits the perspective when searching for the cause,” says Ladkin — probably because no one wants to accept the blame.
Dit doet me toch een beetje denken aan bankiers vragen om zelf de bankencrisis op te lossen, omdat zij de enigen zijn die er verstand van hebben, en dan verbaasd zijn dat hoge bankiers lekker blijven zitten en er weer allemaal hoge bonussen worden uitgedeeld met belastinggeld.
Majority voting dient de robuustheid, wel een sterk argument van die prof. (Dat is: 4 sensoren is een slecht idee, beter 3 of 5.)
@3: Bij automatisering van kritieke processen, zoals vluchtcomputers, wordt danook niet alles uitvoerig getest. Er wordt een scheiding gemaakt tussen wat zonder problemen kan falen en wat nooit mag falen.
Maar wat hier naar voren komt is een probleem met redundantie. De falende unit was een van de drie die aanwezig was. Als één zo’n unit foute data geeft, dan kan het als kapot worden aangemerkt en overgeschakeld worden op een ander. Maar zo te horen gaat er iets daarin mis. Je kunt dan discussieren of dit een software, mechanisch danwel designfout is.
Over de verhoogde dodental weet ik niet of het in deze discussie thuishoort. Een groot aantal van de passagiersvliegtuigen die op dit moment in service zijn gaan al een tijdje mee, en zijn zeker niet uitgevoerd met de complexe systemen waar we het nu over hebben. Ik vermoed dat dat veel meer met het uitstellen van onderhoud en vervanging te maken heeft in een markt die door moordend competitie is gegrepen.
@su
Het significant hogere dodental was de voornaamste reden om het artikel in Der Spiegel te schrijven. Was dit feit er niet dan was het bewuste artikel er nooit gekomen. Na enig graafwerk kwamen ze er op uit om het verhaal aan toenemende problemen met computers op te hangen.
Het grootste punt hierbij zijn de computersystemen van de Airbus A 330. Bijvoorbeeld bij het toestel van Air France boven de Atlantische Oceaan op 1 juni: … In that accident, the final signals that were transmitted by the doomed aircraft’s computers via satellite also provide evidence of digital problems on board. Twenty-four matter-of-fact maintenance messages to headquarters in Paris indicate that the speed sensors reported defective data, and that the flight computers switched themselves off because they were incapable of processing the contradictory data.
Maar ook met een Boeing zijn in het afgelopen half jaar ongelukken gebeurd, zoals dat van Turkish Airlines bij Schiphol: During the landing approach, a malfunctioning altitude indicator reported that the plane was already two meters below the runway. The computer that controls the automatic thrust control system, believing that the aircraft was already on the ground, reduced engine power. The pilots ignored the change, perhaps because they had placed too much trust in the computer.
In de burgerluchtvaart spitst de discussie zich nu toe op op al die computersystemen en hoe daar mee om te gaan. Het belangrijkste punt in het Spiegel-verhaal zijn niet de mechanische fouten maar de fouten die gerelateerd zijn aan de computersystemen. En wat jij ‘design’ noemt is niets anders dan het ontwerp van de computer-software.
4 sensors, foute keus, niet specifiek voor software engineering. Ben niet erg overtuigd van de ‘significantie’ van hoger dodental, door het schattingsprobleem van zeldzame gebeurtenissen. verder wat su zegt.
@7
Vanuit de statistiek gezien heb je inderdaad het schattingsprobleem van zeldzame gebeurtenissen. Maar zo redeneert een weekblad niet. En in toenemende mate gaan mensen in het veld zich er kennelijk ook ongemakkelijk bij voelen.
Die 4 sensors zijn inderdaad niet specifiek, maar eigenlijk is dat maar één voorbeeld in het hele verhaal.
@6: Met design bedoel ik zowel hardware/analoge systemen als software. In een embedded omgeving kun je die zaken niet als losstaand beschouwen.
En in toenemende mate gaan mensen in het veld zich er kennelijk ook ongemakkelijk bij voelen.
Nouja, Ed Nisley heeft er decennialang erg smakelijk over geschreven in Dr. Dobb’s. Dat Der Spiegel er een artikel aan wijdt betekent niet dat de techneuten hebben zitten slapen ;oP
@su
Zeker, zeker. Maar nog belangrijker lijkt me dat piloten niet gaan zitten slapen nu hun zoveel actie uit handen wordt genomen door al die computers aan boord ;-)
@11: Wat dat betreft is de Turkish Airlines een geval waar de bemanning te lichtzinnig omging met waarschuwingen. Als ze hadden gekozen om niet op de autopiloot te vertrouwen was er geen probleem geweest bij de landing.
Die hogere dodenaantallen zijn ongerelateerd aan ’t feit dat vliegtuigen steeds groter worden?
@13
Het hogere dodental is verbonden aan het laatste half jaar. Volgens mij zijn er in deze periode niet opeens grotere vliegtuigen bijgekomen.
Ja, maar d’r zijn ook niet opeens allerlei nieuwe fly-by-wire-trucjes bijgekomen. Tenzij Airbus is overgestapt op een nieuwe versie van de vliegsoftware.
@15
Het is niet helemaal duidelijk. Maar in het Spiegel-artikel staat dit omineuze zinnetje: Judging by the latest accident statistics, which Flight International published last week, a historic turning point has been reached.
Dit heeft de hele zaak getriggerd: een week later was het de coverstory van Der Spiegel.
Misschien zit ’t hem er wel in hoe je op het woordje historic reageert. Het kan slechts verwijzen naar een statistiek met jaartallen, maar het kan ook verwijzen naar zoiets als het vallen van De Muur.
Hoe dan ook, Flight International stelt: Unless there is a dramatic improvement in airline safety performance between now and the end of 2010, then 2001-10 will become the first decade since the Second World War when global airline accident rates did not show improvement.
Dat betekend toch gewoon dat het risico uit bodemt, of mis ik iets ?…
Zonder data blijft het een raar verhaal. Volgens mij wordt er steeds meer gevlogen, met steeds grotere toestellen. Allicht dat er dan meer crashes gebeuren, en dat daarbij meer doden vallen. Je moet op z’n minst kijken naar ‘aantal doden per 1 miljoen vlieguren/vliegkilometers oid’
@17
Zou kunnen. Maar dat was en is zeker niet de bedoeling. De verwachting is eigenlijk nog steeds dat vliegen gestadig veiliger gaat worden dankzij computertechnologie.
Niet voor niets was een slogan van Airbus eerst: The highest-paid passenger is sitting in the cockpit.
@19: Maar dan is de vraag niet of computers het vliegen gevaarlijker maakt, maar of er een limiet is aan hoe veilig het vliegen gemaakt kan worden door computers.
@18
Het is niet waar dat er geen data zijn. Ik verwijs je bijv. naar Flight International of de International Civil Aviation Organization.
Pijn aan mijn ogen, http://www.icao.int/fsix/ … unieke site
@21: Zeg, doe niet zo beledigd. D’r zal ongetwijfeld data zijn, maar in dit verhaal zie ik ’t niet langskomen.
@20
Inderdaad. Maar we moeten afwachten of het afgelopen halfjaar een uitzondering zal blijken te zijn geweest.
@SU #5
Verzorgt een vluchtcomputer uistluitend kritieke processen? Vliegen door slecht weer is ongemakkelijk maar niet onuitvoerbaar.
Als er door een onweer dreigt te worden gevlogen, wat doet de automatische piloot dan? Geeft het een melding aan de piloten die dan de route kunnen verleggen, of voert het die correctie zelf uit?
Als comfort niet kritisch is maar wel aan de autopilot wordt toevertrouwd, dan kunnen ook niet-kritische processen gemengde (tegenstrijdige) signalen afgeven.
Geeft het een melding aan de piloten die dan de route kunnen verleggen, of voert het die correctie zelf uit?
Het eerste lijkt mij. Het verleggen van de koers lijkt mij trouwens kritischer dan op eerste oog. Stel dat de brandstof niet toereikend is voor de koersverandering.