De crash van de 737 Max 8 in Ethiopië: hoe een “perfecte storm” geschapen werd

Was de crash van vlucht ET302, 10 maart bij Addis Ababa, een zeldzaam geval van pech? Nee, stellen piloten, vliegtuigbouwers, ambtenaren en andere ingewijden de laatste dagen in Amerikaanse kranten en vakbladen. Het was niet een enkelvoudige, eenvoudige technische oorzaak die de Ethiopische Boeing en vijf maanden eerder een identiek Indonesisch toestel noodlottig werd. Er is een “perfecte storm” geschapen, een mix van ongunstige ontwikkelingen die op een gegeven moment zijn samengevallen. Het onheil zat “ingebakken” in de 737 Max 8, stellen zij, onder meer in een uitputtend onderzoek van de Seattle Times.

Oorzaak 1: Oude hond, nieuwe trucjes

In 2006 zei Boeing aan een geheel nieuw vliegtuig te werken als opvolger van 787 Dreamliner. Zoiets vergt jaren. In 2010 introduceerde concurrent Airbus een zuinige en efficiënte variant op zijn bestaande A320-vliegtuig. In mum van tijd haalde het bedrijf honderden orders binnen. “Wij gaan ook een nieuw vliegtuig maken”, hield Boeing vol.

Dat standpunt sneuvelde snel. Boeings ingenieurs kregen de opdracht snel een antwoord te bedenken. Daarvoor grepen ze terug op veertig jaar oude 737. Zo werd in 2011 de ‘Max’ geboren: een oude hond die nieuwe trucjes ging leren. Maar niet te veel. Piloten die op eerdere generaties van de 737 vlogen, moesten zonder nieuwe opleiding ook een Max kunnen besturen, want dat zou Boeings klanten bakken met geld schelen. De piloten die wel scholing kregen, zeggen dat die niet meer voorstelde “dan een uurtje oefenen op een iPad”.

Oorzaak 2:  Software ‘corrigeert’ zwak ontwerp

Om minder brandstof te verbruiken en toch grotere afstanden af te kunnen leggen is de 737 Max uitgerust met grote motoren. Die zijn iets verder naar voren op de vleugels aangebracht. Die plaatsing brengt evenwel het risico met zich mee dat het toestel tijdens de vlucht te ver achterover helt en daarbij zoveel draagvermogen verliest dat het uit de lucht valt. Om die “hoogst uitzonderlijke” situatie te voorkomen bouwde Boeing een veiligheidsmechanisme in, dat automatisch de neus van het toestel naar beneden drukt als dat dreigt te ‘stallen’. Van dat Maneuvering Characteristics Augmentation System (MCAS) hoorden veel piloten pas na de crash met 737 Max 8 van Lion Air. De bemanning van dat ramptoestel heeft niet geweten dat het bizarre gedrag van hun toestel door het MCAS werd veroorzaakt.

Oorzaak 3: Eén sensor? Meer dan genoeg

Kritieke systemen in vliegtuigen zijn vaak dubbel en soms zelfs in drievoud uitgerust: valt de een uit, dan neemt een reservesysteem het over. Het MCAS grijpt in op basis van de luchtsnelheid, gemeten met twee sensoren aan de zijkanten van de neus. Maar het veiligheidsmechanisme in de 737 Max 8 ‘luistert’ naar slechts een enkele sensor. Bij de Lion Air-crash bleek dat de sensoren van elkaar afwijkende luchtsnelheden maten, met een fors verschil – al terwijl het toestel nog op de grond stond.

Oorzaak 4: Een ontbrekend alarm

De piloten van Lion Air hadden ook nog eens de pech dat er in hun toestel geen waarschuwingslichtje was aangebracht, dat waarschuwt als de metingen van de sensoren onderling te veel afwijken. Zo’n lampje behoort niet tot de standaarduitrusting. Klanten moeten er extra voor betalen.

Oorzaak 5: Verder uit balans

Het MCAS werd door Boeing begrensd om ongelukken te voorkomen. Bij testvluchten bleek evenwel dat de gekozen correctie niet altijd voldoende bleek om stallen bij een hoge snelheid te voorkomen. Dus rekte de fabrikant de limiet op – tot het viervoudige van de originele, maximale correctie. Boeing vond het niet nodig om de luchtvaartinspectie daarvan op de hoogte te stellen. Die Federal Aviation Authority (FAA) kwam er pas achter toen het de instructies bestudeerde die Boeing na de Indonesische ramp naar zijn klanten stuurde.

Oorzaak 6: Uitstel op uitstel

Na de crash met de Indonesische 737 beloofde Boeing in januari een software-update uit te brengen die het MCAS-mechanisme veiliger moest maken. De inspectie en de vliegtuigbouwer konden het echter niet eens worden over hoe ver die ingreep moest gaan. Boeing wilde al te kostbare aanpassingen voorkomen, en de FAA ging daar ver in mee. Een begrotingsruzie tussen president Donald Trump en het Amerikaanse congres gooide verder roet in het eten. Vanwege een gebrek aan geld gingen grote delen van het overheidsapparaat op slot. Die toestand duurde 35 dagen, en al die tijd lag het beraad over de update stil.

Oorzaak 7: Slager keurt zijn eigen vlees

Uit reconstructies blijkt dat de FAA veel veiligheidsinspecties- en tests overlaat aan de fabrikanten, met het argument dat het budget ontbreekt om het werk zelf uit te voeren. Zelfs de controle van rapporten die Boeing naar de luchtvaartinspectie stuurde, werd in sommige gevallen aan de fabrikant overgelaten. Van de nieuwe regering had Boeing niets te duchten: president Trump is goed bevriend met de top van Boeing. Bovendien wil hij het Amerikaanse bedrijfsleven beschermen tegen buitenlandse belagers. Trump is er ook nog niet in geslaagd om een nieuwe FAA-directeur te benoemen. Een kandidaat had de president wel: zijn voormalige privépiloot.