Den amerikanske luftfartsmyndighed FAA's beslutning om at godkende flymodellen Boeing 737 MAX bliver nu kulegravet.
Det sker, efter modellen har været involveret i to fatale flystyr på et halvt år.
Årsagen er et grundigt stykke gravejournalistik i The Seattle Times, hvor navngivne og unavngivne kilder fortæller, hvordan godkendelsen af flyets såkaldte MCAS-system blev hastet igennem.
Det fremgår også, at FAA lod Boeing selv stå for en stor del af certificeringsarbejdet af sikkerhedssystemet. Systemet menes at have været kraftigt medvirkende til ulykkerne.
Den sjuskede godkendelse forplantede sig direkte til Europa, hvor den europæiske flyvemyndighed Easa stolede på amerikanerne, da den sagde god for, at flyet kunne flyve fra blandt andet danske lufthavne.
Forløbet har nu fået den amerikanske transportminister, Elaine Chao, til at igangsætte "en revision, som skal samle en objektiv og detaljeret beskrivelse af det forløb, som endte med certificeringen af Boeing 737 MAX".
I mellemtiden har sagen fået piloterne i Norwegian, som har 18 eksemplarer af flytypen, der nu har flyveforbud, til at miste tillid til Boeing og de amerikanske luftfartsmyndigheder. Det skriver Ingeniøren.
- Det står også klart, at myndighederne har gjort et dårligt stykke arbejde i forbindelse med certificeringen af flyet, siger formanden for Norsk Pilotforbund, Ståle S. Ildsøe, til fagbladet.
Sikkerhedssystem blev nedstyrtningsårsag
Mistanken om, at det såkaldte MCAS-sikkerhedssystem var blandt årsagerne til de to styrt, opstod allerede, da et indonesisk fly fra lavprisselskabet Lion Air styrtede i havet med 189 ombordværende i oktober sidste år, kun 12 minutter efter at det var lettet.
Kort efter kom det frem, at piloterne på grund af problemer havde anmodet om at flyve tilbage, men styrtede ned, før de var i stand til det.
En foreløbig undersøgelse af information fra de sorte bokse viste, at flyet havde været på en uhyggelig rutchebanetur, stort set fra det kom i luften.
25 gange var næsen på flyet dykket, og 31 gange havde piloterne forsøgt at rette flyet op igen, før de endeligt mistede kontrollen.
Det var det såkaldte MCAS-system, som havde presset næsen ned. Det er sat i verden for at undgå en 'stall', hvor flyet stiger i så stejl en vinkel, at det mister sine aerodynamiske egenskaber.
Men i kombination med en defekt sensor på ydersiden af flyet, som målte flyets vinkel 20 grader galt og dermed fik MCAS-systemet til at tro, at det steg kraftigt, selv når det fløj vandret, blev det i stedet medvirkende til en flykatastrofe.
Nyt styrt medførte flyveforbud
Allerede kort efter styrtet var der kritik af Boeing for ikke at have fortalt piloter om MCAS-systemet, eller hvad der skulle til for at slå det fra.
Flyproducenten lovede at opdatere softwaren i systemet og udsendte en meddelelse til flyselskaberne, om hvordan piloterne skulle forholde sig, hvis samme fejl optrådte igen.
Men 10. marts gik det alligevel galt endnu en gang. Et Boeing 737 MAX 8 fly fra Ethiopian Airlines, som regnes for kontinentets måske bedste og mest sikre flyselskab, styrtede med 157 ombordværende.
Denne gang nåede det kun at være i luften i syv minutter - senere er det kommet frem, at piloterne nåede at sende nødmeldinger, før flyet styrtede ned små 50 kilometer fra Addis Ababa.
Usandsynligheden i, at to spritnye fly skulle falde ned med kun et halvt års mellemrum, fik hurtigt flere flyselskaber og lande til at beordre flyveforbud for typen.
Da de etiopiske myndigheder kort efter kunne fortælle, at meget tydede på samme hændelsesforløb som i Indonesien, fulgte resten af verden og til allersidst USA og Boeing med.
Efterfølgende har også den franske havarikommission BEA, som undersøger de sorte bokse for Etiopien, bekræftet, at det har fundet "klare ligheder mellem Ethiopian Airlines Flight 302 og Lion Air Flight 610, som vil blive undersøgt nærmere".
Omskoling varede ned til en time
Havariundersøgelser kan tage flere år, og det står derfor endnu ikke endeligt klart, om MCAS-systemet også spillede en dødbringende hovedrolle i styrtet 10. marts.
Det står også hen i det uvisse, hvorfor de etiopiske piloter, som må forventes at have lært af Lion Air-katastrofen, i givet fald ikke slog systemet fra.
Seattle Times' journalistiske undersøgelse viser til gengæld, at betingelserne for at noget kunne gå helt galt, var til stede.
Boeing havde meget travlt med at godkende flyet, fordi det skulle konkurrere med en Airbus-model, som allerede var i luften.
Derfor pressede selskabet på for godkendelse. Den amerikanske luftfartsmyndighed FAA var lydhør og udliciterede dele af det digre godkendelsesarbejde til ingeniører fra Boeing selv.
Det gjaldt blandt andet sikkerhedsanalysen af MCAS-systemet, som skulle kompensere for, at flyets balance havde ændret sig fra tidligere modeller på grund af større motorer, som var placeret længere fremme på vingerne.
Ved at installere det automatiserede system ville Boeing overflødiggøre en større omskoling af piloter, som havde fløjet tidligere 737-modeller.
I stedet for at træne i simulator og flyve de første ture med instruktør, fik piloterne i blandt andet USA og Europa ned til en times computerkursus.
Det var et godt salgsargument over for flyselskaberne, som dermed kunne indlemme det nye fly i flåden billigt og nemt.
Fik intet at vide om MCAS-systemet
Omskolingen af piloterne indebar ikke viden om MCAS-systemet, eller hvad der skulle til for at genoprette kontrollen, hvis systemet slog til ved en fejl.
I stedet forlod selskabet sig på, at piloterne ville genkende tegn på, at flyets haleplan bevægede sig uafhængigt af deres styring, og tage simulator-indlærte skridt til at slå bevægelsen fra.
MCAS-systemet vinkler i stallsituationer haleplanet for at pege flyets næse ned, så flyet igen kan få luft under vingerne. Det sker, hvis den får data om en unormal hældning fra den såkaldte AOA-sensor.
Men Boeings folk tog også andre beslutninger, som kan have været skæbnesvangre.
De godkendte, at MCAS-systemet kunne vinkle haleplanet mere end fire gange så meget, som de oprindeligt havde informeret FAA om.
De lod også MCAS-systemet slå sig selv til igen efter 10 sekunder, hver gang piloterne forsøgte at rette flyet op, hvis systemet stadig troede, at der var overhængende risiko for et stall.
Ikke mindst kategoriserede de en potentiel fejl på systemet som "farlig", et niveau under den alvorligste betegnelse "katastrofal".
Risikobetegnelse var for lav
Den lavere risikobetegnelse medførte, at MCAS-systemet kun behøvede at modtage information om flyets hældning fra én sensor, selv om der er installeret to - én på hver side af flyet.
Havde Boeing-eksperterne i stedet kategoriseret en mulig fejl som "katastrofal", havde de skullet sikre, at MCAS-systemet havde mere viden, før det kunne tage kontrollen fra piloterne.
Den viden kunne for eksempel indhentes ved at sammenligne input fra begge sensorer eller ved at sammenligne deres målinger med deres registrering af hældningen, da flyet endnu kørte plant på jorden.
I Lion Air-styrtet kunne det måske have medført, at flyet var kommet sikkert frem.
Her viste de sorte bokse, at de to sensorer målte hældningen forskelligt med omkring 20 grader, også da flyet stadig var på jorden.
En grafik, over hvordan flyet steg og faldt, viser samtidig piloternes kamp mod MCAS-systemet.
En lignende graf over Ethiopian Airlines-flyets korte tur antyder samme forløb.
Et stykke af Lion Air-flyvraget viste desuden, at haleplanet var vinklet i en yderstilling, da flyet ramte havet med 800 kilometer i timen.
Flyveforbud kan vare længe
Det står fortsat uklart, hvornår Boeing 737-flyene kan komme i luften igen. Men forløbet kan gå hen og blive langt.
Eksempelvis har Canada besluttet selv at gennemgå certificeringen af flytypen, deriblandt den software-opdatering, som Boeing forventes at levere til MCAS-systemet.
Den europæiske luftfartsmyndighed Easa har endnu ikke svaret på en henvendelse fra DR, om hvor meget der blev fulgt op på FAA's amerikanske certificering af Boeing 737 Max, før myndigheden godkendte flyet i EU.
Men en bilateral aftale betyder ifølge luftfartshjemmesiden Check-in, at "en certificering udstedt af den ene myndighed normalt bliver valideret af den anden med begrænset yderligere arbejde".
Skal flyet igen flyve over Europa, vil FAA's vurdering dog ikke nødvendigvis blive taget for gode varer, lyder det nu fra Easa, som vil grave sig dybt ned i MCAS-systemet og hvordan flyet opfører sig i forskellige situationer.
- Easa vil ikke tillade, at 737 MAX flyver igen, indtil alle spørgsmål er blevet besvaret, uanset hvad FAA gør, sagde Easa's direktør Patrick Ky mandag til Europa Parlamentet, ifølge Check-in.dk.
Mere end 350 Boeing 737 MAX-fly står på jorden rundt omkring i verdens lufthavne, og det kan de blive ved med en rum tid endnu.
Da langdistanceflyet Boeing 787 Dreamliner flere gange brød i brand i 2013, var det "grounded" i fire fulde måneder før en løsning blev fundet.