Бакланы. Почему нельзя было, например, один тумблер отдать под отключение автоматических систем управления от привода стабилизатора (привод, МКАС, еще что-то, если есть), а второй - под выключение самого привода? Уходит стаб - отключаем первый, остаются кнопки на штурвалах. Не помогает - отключаем второй.
В любом случае, два отключающих тумблера последовательно - очень странное решение. Не уверен в качестве тумблера - поставь модель понадежнее. Ведь ты Боинг, а не мухосранский завод электрической аппаратуры. Пожарные краны и пр. почему-то им в голову сдублировать не пришло.
Алгоритмически вся эта история с МКАС - как набор подпорок. Один датчик УА на входе, отсутствие ограничений перемещения стабилизатора, два тумблера последовательно вместо изменения схемы. Даже в документацию МКАС добавить забыли (помните, как после первой катастрофы выяснили, что в РЛЭ ничего толком про такое нет?). Спешка рождает хреновые решения.