Video

zum Video Wie sicher ist Fliegen?

Moderne Flugzeuge werden heute maßgeblich mit Hilfe von Bordcomputern geflogen und kontrolliert. Diese automatisierten Flugsysteme bringen große Vorteile. Was aber, wenn Pilotenkeine Chance mehr haben in die Systeme einzugreifen?

Risiko Automation – Wie sicher ist Fliegen?

Um Missverständnisse auszuräumen gleich vorweg: Natürlich ist das Flugzeug ein sehr sicheres Fortbewegungsmittel. Nirgendwo, so glaubte man bislang, sind die Sicherheitsstandards so hoch wie im Luftverkehr.

Doch zwei Abstürze eines neuen Flugzeugmodells der Marke Boeing innerhalb weniger Wochen haben Zweifel an diesen hohen Qualitätsstandards aufkommen lassen. Auch wenn die Untersuchungen der Fälle noch andauern, kann man sagen, dass bei Boeing tatsächlich große Fehlentscheidungen zu Lasten der Sicherheit getroffen wurden. Mindestens mitverantwortlich sind aber ebenfalls die Flugaufsichtsbehörden, die sich offenbar ihre Arbeit vom Hersteller haben aus der Hand nehmen lassen.

Automation nennt man die Technik, die das Fliegen so sicher gemacht hat

Moderne Flugzeuge werden heute maßgeblich mit Hilfe von Bordcomputern geflogen und kontrolliert. Allerdings müssen die Systeme nahezu perfekt konstruiert, die Software mit der die Rechner arbeiten, muss fehlerlos geschrieben sein. Messgeräte und Sensoren müssen mehrfach vorhanden sein, weil mechanische Flugzeugteile auch bei noch so guter Wartung immer kaputt gehen können. Und selbst wenn die Techniker und Konstrukteure alles richtig gemacht haben, können komplexe Systeme wie eine automatische Flugzeugsteuerung verrücktspielen. Besonders dann ist der Mensch gefragt.

Doch was ist, wenn Piloten gar keine Chance mehr haben einzugreifen? Wenn Konstrukteure die Kompetenz und die Verantwortung der Piloten so beschneiden, dass sie ein Eingreifen in die automatischen Systeme verhindern. Und das ist nicht nur ein Problem, dass es bei der Firma Boeing gibt. Das betrifft den Konkurrenten Airbus genauso, wie Beispiele aus der Vergangenheit zeigen.

346 Menschen sterben bei zwei Flugzeugabstürzen innerhalb weniger Wochen. Zwei fast werksneue Maschinen vom Modell Boeing 737 Max 8 stürzten ab. In beiden Fällen, so zeigen die Untersuchungsberichte, führten die Piloten in den Minuten vor dem Absturz einen verzweifelten Kampf gegen die Computersteuerung. Die leitete immer wieder den Sinkflug ein. Die Piloten steuerten dagegen, das gelang aber immer nur für wenige Sekunden. Dann aktivierte der Computer erneut den Sinkflug.

Risiken durch Automation sind schon lange bekannt

Uwe Harter ist Pilot und im Vorstand der Vereinigung Cockpit e.V. Auf der Homepage der Pilotenvereinigung findet sich in der Rubrik "Flight Safety" ein sehr interessanter Artikel zum Thema Automation. In gewisser Weise bildet er die Grundlage für diesen Beitrag und zeigt, dass das Problem keineswegs neu ist. Das Automation ein Risiko darstellen kann, ist seit langem bekannt. Auch die bei der Boeing 737 Max eingesetzten Software ist ein Teil der Automation, die einen Strömungsabriss verhindern soll. Denn bei einem Strömungsabriss wird das Flugzeug unkontrollierbar: "Die Automation soll den Piloten unterstützen und das tut sie auch normalerweise, wenn eben der Flieger die Nase immer weiter hoch nimmt, dann greift die Automation ein bevor der Strömungsabriss stattfindet und nimmt die Nase wieder runter und soll den Flieger retten."

So läuft es, wenn alle Systeme funktionieren. Im Fall der beiden abgestürzten Boeing 737 Max-Maschinen war der Flugwinkel aber nicht zu steil. Die automatische Steuerung hat schlicht aufgrund falscher Messwerte eingegriffen. Die Fehlerkette begann bei den Außensensoren. Eigentlich nutzen Flugzeuge zur Sicherheit immer Messwerte von mindestens zwei Sensoren, falls mal einer ausfällt. Bei der Boeing 737-Max wird davon aber konstruktionsbedingt nur einer benutzt und der war offenbar defekt. Genauer gesagt nutzte die Software nur den Messwert eines einzigen Sensors statt die Messwerte beider Sensoren abzugleichen, wie das eigentlich der Fall sein sollte. Somit verließ man sich bei Boeing nur auf einen einzigen Sensor. Man hätte also auch gleich nur einen Sensor installieren können. Zum Vergleich: Boeings Bordcomputer verlassen sich bei einer ähnlichen Sicherheits-Software auf die Messwerte von drei Sensoren, falls mal einer ausfällt, was durchaus vorkommen kann, wie wir noch sehen werden.

Doch wenn die Sicherheitssysteme versagen gibt es immer noch den Piloten ...

... denkt man. Allerdings, wenn der Pilot die Automatik nicht abschalten kann oder keine Kenntnis hat, wie man sie abschalten kann, ist die ganze Kompetenz und Fähigkeit des Piloten nutzlos: "Das Kernproblem liegt in der Schnittstelle zwischen Automation und Mensch. Der Mensch muss letztendlich, da er die Verantwortung dafür trägt, muss die Möglichkeit haben, die letzte Entscheidung zu fällen und die Automation im Zweifelsfall auch auszuschalten um den Flieger sicher zu landen", fordert Uwe Harter.

Vorteile der Automation

Dass Flugzeuge schon lange nicht mehr nur von Hand gesteuert werden, hat viele positive Effekte. Sensoren und Steuerkabel erlauben es den Computern zum Beispiel permanent die Steuerung der Ruder zu kontrollieren und einzugreifen. Diese Korrekturen verbessern die Flugeigenschaften und helfen Treibstoff zu sparen. Insgesamt hat Automatisierung das Fliegen sogar immer sicherer gemacht und auch bequemer für die Piloten weiß Uwe Harter: "Ja, der Flieger kann geradeausfliegen, die Höhe halten, die Geschwindigkeit halten, das macht der perfekt. Das macht der auch besser als wir das machen. Eine kreative Lösung zu finden und Entscheidungen zu fällen, das können wir Menschen besser."

Pilot Uwe Harter von VC Cockpit e.V. und Copilot Joel Baumgärtner vom Flugsimulator Frankfurt stellen zwei reale Ereignisse nach, bei denen das Versagen der Technik beinahe hunderte Menschenleben gekostet hätte.

Wenn die Automation versagt. Beispiel 1: Beinahe-Absturz bei Lufthansa Airbus

Es regnete am 5. November 2014. Ein Lufthansa Linienflug startet in Bilbao mit 109 Passagieren an Bord. Ziel des Airbus A321 ist München. Das Flugzeug fliegt im Autopilot. Wenige Minuten nach dem Start gibt es ein Problem mit den Außensensoren. Die Instrumente im Cockpit zeigen ungewöhnliche Werte an. Der erste Offizier schaltet den Autopilot ab und reduziert die Steiggeschwindigkeit, damit die Maschine besser beschleunigen kann. Doch die Automatik greift wieder ein und senkt die Nase des Flugzeugs immer weiter ab. Es geht in den Sinkflug. Dem Kapitän gelingt es erst einmal die Maschine abzufangen. 4000 Fuß, das entspricht etwa 1200 Meter, waren sie bis dahin Richtung Boden gerast. Per Bordsystem ist mittlerweile ein Lufthansa-Techniker zugeschaltet. Der soll die dramatische Situation klären. Er vermutet, dass Außensensoren eingefroren sind und der Computer falsche Entscheidungen trifft, weil er permanent mit Fehlinformationen versorgt wird. Erst nachdem sie mehrere Computer abschalten, ignoriert das System die fehlerhaften Daten der eingefrorenen Sensoren. Die Maschine landet eine dreiviertel Stunde später sicher in München.

Uwe Harter schätzt die Situation seiner Kollegen damals so ein: "Die Situation war durchaus gefährlich, denn wenn die Kollegen nicht so schnell eingegriffen hätten und den Sinkflug gestoppt hätten, kann man nicht sicher sagen, ob sie das deutlich später noch geschafft hätten."

Wenn Automation versagt Beispiel 2: Beinahe Absturz eines Qantas Airbus

Großes Glück hatten die Passagiere des zweiten Beispiels. Erst Jahre nach dem Unglück wurde bekannt, was bei diesem Flug der australischen Airline Qantas, auch als Flug QF72 bekannt, am 7. Oktober 2008 geschah. Nach drei Stunden reibungslosem Flug tauchen plötzlich alle möglichen Alarmmeldungen im Cockpit auf. Der Autopilot spielt verrückt. Der Kapitän versucht die Steuerung zu übernehmen. Keiner versteht was los ist. Pilot Uwe Harter kann sich gut vorstellen, wie sich die Qantas-Piloten dabei gefühlt haben müssen: "Also wenn man merkt, der Flieger macht nicht das, was man erwartet und man merkt, man hat keine Möglichkeit den Flieger wirklich zu kontrollieren, da rutscht einem das Herz in die Hose, der Puls geht auf 180, man weiß erst mal nicht, was ist jetzt los und man versucht sich wieder zu beruhigen und erst einmal die Situation zu evaluieren und herauszufinden, was Sache ist."

Zwei Minuten später schickt der Computer die Maschine in einen extremen Sturzflug. Nicht angeschnallte Passagiere werden an die Flugzeugdecke geschleudert. Glas zersplittert, Gepäckstücke fliegen umher. Innerhalb von Sekunden sackt die Maschine um etwa 200 Meter ab. Kurze Zeit später zwingt der Computer die Maschine erneut in den Sturzflug. Wie durch ein Wunder gelingt die Notlandung auf einem Militärflugplatz. Warum der Computer trotz intakter Sensoren völlig verrücktspielte ist bis heute ungeklärt. Etwa 100 der 315 Menschen an Bord wurden verletzt.

"Letztendlich müssen wir die Möglichkeit haben, zu entscheiden"

Diese und andere Beispiele zeigen, wie gefährlich es ist, Maschinen die alleinige Kontrolle zu überlassen. Dazu Pilot Uwe Harter: "Meine Quintessenz ist: Die Automation kann uns Piloten helfen, wenn sie eingreift. Aber sie muss es zeigen, dass sie eingreift. Wir müssen interpretieren können, was dort passiert, wir müssen im Loop gehalten werden (auf dem Laufenden gehalten werden) und letztendlich müssen wir die Möglichkeit haben, zu entscheiden und auch die Möglichkeit haben, die Automation auszuschalten, wenn es nötig ist. Weil, die Automation reagiert einfach so wie sie designt ist. Wir Menschen wollen überleben im Gegensatz zur Automation. Der ist das egal, uns nicht!"

Das Flugzeug gehört auch wegen der Automation zu den sichersten Verkehrsmitteln überhaupt. Aber: Den Maschinen in Extremsituationen komplett die Verantwortung zu überlassen, ist offensichtlich der falsche Weg!


Text: Wolfgang Zündel
Sendung: hr-fernsehen, "alles wissen", 09.05.2019, 20:15 Uhr