Boeing 737 MaxComplexiteit, een gevaarlijke postmoderne ziekte.

Onlangs gebeurden er twee ongelukken met toestellen van het type Boeing 737 MAX. Daarbij verloren 346 mensen het leven. Beide ongevallen gebeurden vlak na de start en in merkwaardig vergelijkbare omstandigheden.

Er zijn ook een aantal aanknopingspunten die aanleiding geven tot het vermoeden dat er met de software die het vliegtuig bestuurt – en die men vandaag niet zonder meer nog ‘automatische piloot’ kan noemen – iets aan de hand is. De wereld reageerde voorzichtig en hield het toestel aan de grond.

Het zou ons verwonderd hebben als president Trump zich niet geroepen voelde om ook over deze gebeurtenissen per twitter zijn mening te verkondigen. Dat deed hij dus. Het zou echter een regelrecht mirakel geweest zijn indien de Washington Post op die reactie geen smalende commentaar had gegeven. Dat deed deze krant dus ook. “When it comes to airplanes, Trump likes to play expert in chief!” (“Als het op vliegtuigen aankomt houdt Trump ervan voor topexpert te spelen”) blokletterden ze. Even de president jennen is blijkbaar het belangrijkste wat die journalisten te toen hebben.

Dus over heel de lijn “business as usual”, ook in een aspect dat u misschien minder verwacht: Trump had weer eens gelijk, en weer was er niemand die het merkte! Het loont misschien de moeite daar eens dieper op in te gaan.

Wat had Trump getwitterd?

Airplanes are becoming far too complex to fly. Pilots are no longer needed, but rather computer scientists from MIT. I see it all the time in many products. Always seeking to go one unnecessary step further, when often old and simpler is far better.”

Vliegtuigen worden veel te complex. Om te vliegen, zijn niet langer piloten nodig, maar computerwetenschappers van het MIT. Ik zie het de hele tijd bij veel producten. Altijd proberen een onnodige stap verder te gaan, terwijl oud en eenvoudig veel beter is.

Ik meen deze tendens ook waar te nemen. Het is de tijdsgeest: we zijn dol op complexiteit, we bewonderen en bejubelen ze. Millennials scheppen tegenover hun vrienden op met een waaier aan – meestal nutteloze – dingen die hun smartphone kan. Dat je er ook mee kunt telefoneren wordt nooit vermeld. Dat is ook vanzelfsprekend, tenzij… al die toeters en bellen de batterij leeg gezogern hebben. Dan heb je geen telefoon op het moment dat je hem nodig hebt!

Complexiteit is eigenlijk een nadeel en vormt op zich een gevaar. Dat wisten we vroeger. We namen complexiteit enkel – schoorvoetend – in overweging als daar substantiële voordelen tegenover stonden. En als we dat deden wisten we dat bijzondere voorzichtigheid en grondigheid geboden waren. Maar vandaag is complexiteit mode, en de beurswaarde van voorzichtigheid en grondigheid is danig gezonken. Bovendien hebben we het tovermiddel gevonden waarmee complexiteit beheersbaar wordt. De computer maakt het mogelijk, denken we… Daarbij vergeten we een kleinigheid: de computer is niet meer dan een werktuig dat ook onder sterk gestegen complexiteit te lijden heeft, vooral dan aan de softwarekant.

Maar ook voor ons, oudere mensen, die uit ervaring weten dat complexiteit iets is waarvoor we op onze hoede moeten zijn, is niet altijd precies duidelijk waarom dat zo is. Misschien is het dus wel interessant daar eens een beetje dieper op in te gaan. We moeten daarvoor een uitstapje in de waarschijnlijkheidstheorie maken. Wie daar vooraf al iets meer over wil weten kan het hier (Beginselen) vinden. Laat u niet intimideren: het valt echt mee!

We gaan hier het fenomeen complexiteit zeer vereenvoudigen en het enkel in de aantallen zoeken. Dat is niet fout maar wel jammerlijk onvolledig. Niet enkel het aantal elementen is belangrijk, maar ook de manier waarop ze met elkaar verknoopt zijn. Voor ons doel hier kunnen we die vereenvoudiging nog accepteren, maar iemand die een vliegtuig construeert kijkt best een heel stuk verder.

Wat hebben dan grote getallen dat ze zo gevaarlijk maakt? Ze zijn toch enkel maar… groot? Dat mag dan al waar zijn, maar… Tijdens de Korea oorlog merkte een Chinese generaal bij een conferentie op dat kwantiteiten, als ze maar voldoende groot worden, kwalitatieve eigenschappen krijgen. Dat is veel minder raar dan we zouden denken.

Met kleine getallen hebben we een natuurlijke, intuïtieve verbinding. Er is niets belachelijks of minderwaardigs aan als een primitieve volksstam “een, twee, drie…. veel” telt. Wellicht hebben die mensen gewoon niet meer differentiatie nodig. Heel grote of ook heel kleine getallen gebruik je enkel als je dingen wilt doen die nogal ver van het dagelijks leven af staan, zoals bijvoorbeeld de afstand van de aarde naar de zon bepalen, het aantal moleculen in een kubieke meter lucht tellen of de massa van een proton meten. Dat is echter allemaal informatie die voor een jager-verzamelaar niet de geringste waarde heeft.

Daardoor is de omgang met kleine getallen door de evolutie in onze intuïtie vast verbonden. Ons ‘buikgevoel’ zal ons hier zelden bedriegen. Bij grote getallen is dat helemaal anders. Daar kan enkel precieze logica helpen: narratieve elementen zijn totaal uit den boze! Daarom is het zo roekeloos problemen die zich in de wereld der grote getallen afspelen met buikgevoel of met een ‘discours’ te willen benaderen. Enkele voorbeelden van dergelijke problemen zijn: het klimaat, energiebevoorrading en vliegtuigconstructie. Wij gaan dat hier dus anders aanpakken.

Stel dat we een apparaat hebben dat bestaat uit een aantal (n) identieke delen, en dat het apparaat correct zal werken als alle onderdelen perfect werken. Die onderdelen hebben, op een gegeven moment, allemaal dezelfde waarschijnlijkheid (p) dat ze foutloos zullen functioneren. We drukken waarschijnlijkheden altijd uit als fractie van één: 50% is dus 0,5.

De waarschijnlijkheid (Pn) dat het geheel zal werken wordt dan gegeven door:

Pn = pn

U hoeft dit niet te geloven: we presenteren in (Beginselen) een licht verteerbare afleiding.

Het vergt heel wat ervaring om in een dergelijke uitdrukking iets te “zien”, maar een beetje met getallenvoorbeelden spelen werkt altijd verhelderend.

Stel dat we onderdelen hebben met een betrouwbaarheid van 99,9 % wat betekent dat ze in 0,1 % van de gevallen – dus één op duizend – niet werken. Intuïtief voelen we dat als “gering” aan. Het is zelfs in ons taalgebruik verankerd: denk aan de uitdrukking “één uit de duizend!”.

Maar wat als we een aantal (n) dergelijke componenten (met p = 0,999) gaan gebruiken om een toestel te bouwen?

n P

1 0,999

10 0,99

100 0,905

200 0,818

500 0,606

1000 0,368

Dus ook als we vrij betrouwbare onderdelen gebruiken, gaat bij een groot aantal daarvan de waarschijnlijkheid dat het apparaat werkt toch sterk dalen. Denk nu nog eens terug aan de bewering van die Chinese generaal: ‘als kwantiteiten maar groot genoeg worden…’ Dit geldt niet enkel voor een met discrete onderdelen gebouwde machine, maar voor constructies, ook mentale, van iedere aard: als het te ingewikkeld wordt gaat het fout!

Ergens herinnert mij dat aan die prachtige film “Amadeus” uit de jaren 80. Ook als we hier geen historische authenticiteit moeten verwachten valt me de volgende scène in.

Mozart is kandidaat-muziekleraar voor het keizerlijk prinsesje en komt zich in de Wiener Hofburg voorstellen. Hij speelt op het klavecimbel een – briljante – eigen compositie voor. De keizer, Jozef II, zit er met een verveeld gezicht bij. Hij heeft al vooraf besloten dat hij de muziek niet zal mogen maar zoekt nog naar woorden. Dan fluistert een hoveling hem het verlossende zinnetje in het oor: “Too many notes” (te veel noten).

In het geval van Mozart was dat niet waar. Hij was veel meer dan de ‘idiot savant’ die Poesjkin in zijn toneelstuk en daarna Miloš Forman in zijn film van hem maakten: hij was onvoorstelbaar geniaal. Hij kon met aanzienlijke complexiteit omgaan, en het waren dus wel veel noten maar niet te veel.

Ongelukkigerwijze zijn wij niet allemaal Mozarts. De wereld staat vol ruïnes en daartussen liggen hopen wrakken. Van de Berlijnse luchthaven via de F-35 en de ongelukkige A-400 tot en met de onzalige Belgische energiepolitiek: allemaal slachtoffers van “Too many notes”.

Hieronder heb ik in twee grafieken die omineuze uitdrukking in getallen afgebeeld. De tweede grafiek is een sterke uitvergroting van het bovenste deel.

VloekGrGet01

 

VloekGrGet02

 

Als u deze data even bekijkt zult u tot de conclusie komen dat, als het aantal onderdelen zeer groot wordt, daardoor onmogelijke eisen aan de betrouwbaarheid van de individuele componenten gesteld worden. Bedenk dat moderne microprocessoren miljoenen transistors bevatten en moderne software vaak miljoenen lijnen broncode bevatten!

Defect is niet defect

Wat betekent nu eigenlijk “defect”? Het kan betekenen dat onze ‘schepping’ gewoon uitvalt en volledig ophoudt te werken. Dat zijn de verschijnselen die we kennen van een automotor of een strijkijzer. Eigenlijk is dat de minst problematische vorm van defect, want we merken onmiddellijk dat er iets scheelt en er bestaat verweer tegen. We kunnen naast ieder kritisch apparaat een ‘back-up’ zetten die automatisch overneemt als het primaire apparaat faalt. Dat verbetert onze kansen aanzienlijk. Bekijken we dat even.

pD Waarschijnlijkheid dat een apparaat defect is.

P2 D Waarschijnlijkheid dat twee apparaten tegelijk defect zijn.

P2 D = pD pD = p2D

Stel nu dat we een apparaat hebben met een defectwaarschijnlijkheid van 0,001. Dat betekent praktisch dat het per jaar acht uur stilstaat! Lijkt niet acceptabel.

Indien we een identiek apparaat als back-up hebben is de waarschijnlijkheid dat ze allebei tegelijk stil staan 0,0012 = 0,000001. Dat betekent 30 seconden per jaar. Dat lijkt toch een werkelijk goede deal: de dubbele prijs en duizend keer betrouwbaarder. Daar kunnen we al over praten.

Heel veel kritische opgaven in de luchtvaart, de chemische en nucleaire industrie, de gezondheidszorg en de ICT-wereld worden op die manier courant beveiligd.

Maar er is nog een andere mogelijkheid en die is veel gevaarlijker: het apparaat werkt gewoon door maar produceert foute resultaten! Vooral het moderne werktuig ‘par excellence’; de computer is daar gevoelig voor. Hij is namelijk kwetsbaar op twee manieren: enerzijds door de miljoenen schakelaars op een microchip en anderzijds door de software die vandaag vaak miljoenen lijnen broncode telt. Iedere lijn broncode wordt verondersteld ‘iets’ te doen en kan bijgevolg als een deeltje gezien worden.

Als hier iets misgaat gaan we het niet noodzakelijk onmiddellijk merken. Ook een back-up werkt niet want die gaat onder precies dezelfde omstandigheden precies dezelfde fout maken!

Perceptie

Wij mensen gaan met risico op een zeer merkwaardige manier om. Veel mensen hebben een panische vliegangst. Inderdaad, als ik in een vliegtuig stap bestaat er een waarschijnlijkheid van één op 11 miljoen dat het zal neerstorten. De waarschijnlijkheid dat ik in de komende 24 uur aan hartstilstand zal overlijden is echter ongeveer even groot, en daar maken we – gelukkig maar – geen gedachte aan vuil! Ik wil hier enkel maar vaststellen dat ons buikgevoel ons echt geen bruikbaar idee van het werkelijke risico geeft.

Nu even terug naar de Boeing 737 MAX

Het onderzoek is nog niet afgesloten. Het kan nog een hele tijd duren voor het eindrapport verschijnt. Maar ik kan u nu al zeggen wat erin zal staan. U kunt graag een notitie in uw agenda maken om mij daarop af te rekenen op het ogenblik dat de controleorganen met hun conclusies naar buiten komen.

Ze zullen de volgende oorzaken aanwijzen:

  • Foutieve software.

  • Onvoldoende opleiding/informatie van de piloten.

  • Onvoldoende redundantie bij de sensoren.

Dat zal allemaal waar zijn, maar tegelijkertijd ook onwaar.

Om te tonen wat ik bedoel is wellicht de volgende metafoor nuttig. Ik lees in de krant dat de honderdenvier jarige Louisa Ergensiemand uit Bommerskonte overleden is aan longontsteking. Dat is ook tegelijkertijd waar en onwaar. Longontsteking is inderdaad dat wat de pathologie zal tonen, maar in werkelijkheid was Louisa gewoon op. Dertig jaar eerder had haar lichaam met diezelfde aandoening korte metten gemaakt maar nu was ze fataal. En overigens, als ze die longontsteking toch had overleefd dan was ze wellicht een week later aan nierfalen gestorven.

Met deze metafoor op de achtergrond kunnen we de B 737 MAX-situatie een beetje helderder zien. Ik denk dat we hier eerder in de richting van een culturele panne moeten kijken. Moment: cultuur als oorzaak voor een ongeval? Wel…

De Boeing 737 is een oud vliegtuig. Het werd ingevoerd in 1967. Dat is niet noodzakelijk een nadeel. De schat aan ervaring met het overgroot deel van de fuselage dat alle aanpassingen en moderniseringen onveranderd doorstond, heeft aanzienlijke waarde. Er werden doorlopend nieuwe derivaten ontwikkeld en verkocht, met de klemtoon op meer ruimte. Doordat een groot deel van het airframe onveranderd bleef, waren de procedures voor testen en toelating aanzienlijk eenvoudiger dan ze voor een volledig nieuw ontwerp geweest zouden zijn. Boeing floreerde. Ze zagen wel in dat het niet eeuwig kon blijven duren, en planden een volgmodel voor… 2030. In de 21ste eeuw begon de klemtoon meer en meer op energiezuinigheid en lawaaihinder te liggen. De brandstofkosten zijn inderdaad een bepalende factor, maar de “carbon footprint-gekte” deed daar nog een schepje bovenop.

Toen kwam in 2016 Airbus met de NEO-lijn op de proppen. Die toestellen hadden zogenaamde LEAP-motoren. Die zijn tegelijkertijd 20% zuiniger en stiller. Daar kon niemand aan voorbij: Boeing moest die motoren ook hebben. Maar…

Die LEAP-motoren bereiken hun resultaat doordat ze met grote “bypass” werken. Er worden grote hoeveelheden lucht rond de motor direct naar de uitlaat gestuurd. Om dat te bereiken moeten de eerste trappen van de compressor een veel hogere capaciteit leveren en dat kan alleen bij een aanzienlijk grotere diameter. Voor de Airbus NEO was dat geen probleem: die staat op “hoge poten”. De B 737 echter heeft een kort landingsgestel. Daardoor zouden NEO motoren niet de nodige bodemvrijheid, ruimte boven de grond, laten. Een nieuw landingsgestel ontwikkelen is een gecompliceerde, tijdrovende en dure affaire want dat gaan de controleorganen ook uitvoerig willen testen. Daarvoor ontbrak de tijd. Dus namen ze een ‘kort bochtje’. Ze plaatsten de motoren verder naar voor en hoger. En voilà: voldoende bodemvrijheid. Maar…

Als je dat doet zijn er een paar neveneffecten. De stroming rond de vleugel zal veranderen. Bovendien hebben we nu het aangrijpingspunt van de voorwaartse kracht verplaatst. Dat moet tot een aanzienlijk veranderd vluchtgedrag van het toestel voeren. Dit is het moment waarop doorwinterde ingenieur zegt: “niet met mij: het gaat hier om mensenlevens”. Maar het gaat ook over heel veel geld en dus wordt eerder naar de controller geluisterd dan naar de chief engineer. De controller geeft ook veel betere en vooral verstaanbare presentaties. Als de chief engineer zich niet als coöperatieve teamspeler kan opstellen, wordt hij vervangen: een ambitieus jochie dat het wat graag wil doen is daar altijd wel voor te vinden. Het jochie zal heel zeker denken dat de computer voor ieder probleem een oplossing biedt, ook voor vluchtgedrag.

Door het verschoven aangrijpingspunt heeft het toestel de neiging om de neus omhoog te trekken. Dat is problematisch, omdat bij een bepaalde hoek ‘stalling’ optreedt. Dat betekent dat de laminaire luchtstroom langs de vleugel ‘afscheurt’ en de opwaartse kracht die het vliegtuig in de lucht houdt plots ontbreekt. Het valt dan gelijk een baksteen uit de lucht. Ieder vliegtuig heeft zo’n grenshoek, afhankelijk van de aerodynamica. In dit geval is hij eerder klein, want diezelfde verplaatsing van de motoren heeft ook de luchtstroming langs de vleugel veranderd en een beetje ongunstiger gemaakt.

Voor een postmoderne amateur is dat allemaal een fluitje van een cent. We bouwen gewoon een balkon, niet aan de automatische piloot, maar aan de assistentiesystemen die in moderne vliegtuigen de piloot helpen het toestel te besturen. We plaatsen een sensor die de bewuste hoger vermelde hoek meet, en als die hoek te groot wordt merkt de computer dat. Die drukt dan zelfstandig en zonder toedoen van de piloot de neus van het vliegtuig naar beneden, weg uit de gevarenzone. Probleem opgelost: laat maar komen die LEAP-motoren!

Op dit moment zouden we dat moeten doen waarvoor de postmoderne mens nooit tijd heeft: even stoppen en zorgvuldig nadenken. Wat hebben we nu gedaan? We hebben aanzienlijke complexiteit in de vorm van zowel hard- als software toegevoegd. We hebben daarbij een immense ruimte aan bijkomende mogelijkheden geschapen die we nooit volledig kunnen testen. En dat alles enkel om een deficit te compenseren dat we zelf veroorzaakt hebben. Daarna is het dan bijna onbelangrijk als we ook nog even vergeten de piloten fatsoenlijk te informeren. Dat noem ik dan “een culturele panne”.

Ik ben heel benieuwd hoe ze ons dat allemaal gaan vertellen. Dat we een heel goede ‘uitleg’ zullen krijgen is alvast zeker.

Conclusie

Kijken we nu eens even terug naar wat Trump hierover te vertellen had. Ik ben er vrijwel zeker van dat hij zich nooit met de bovenstaande gedachten beziggehouden heeft. Trump is in mijn ogen zo ongeveer het tegendeel van eruditie.

Het is des te merkwaardiger dat hij desondanks blijkbaar intuïtief aanvoelt dat we aan het einde zijn.

Niet aan het einde van de techniek maar aan het einde van de postmoderne mindset.

 

Dwarsliggers