Lässt sich die Flugerfahrung von Piloten aus Fleisch und Blut durch Computer-Systeme ersetzen? Steigt damit die Sicherheit im Luftverkehr? Oder ist das Gegenteil der Fall?
Der 22. Februar 1987 markiert unbestreitbar einen Meilenstein in der Geschichte der Zivilluftfahrt: An diesem Tag hob der A320 von Airbus Industries zu seinem Erstflug ab. Gesteuert über das revolutionäre „Fly-by-wire“ Steuerungssystem. Zwar verfügte schon die Concorde über eine solche Steuerung, aus Sicherheitsgründen aber zusätzlich auch mit einem herkömmlichen, direkt mit den Steuerflächen verbundenen Backup-System.
Revolutionär am „Fly-by-wire“-System des A320 war die Tatsache, dass dabei die Priorität der Steuersignale dem Flugsteuerungscomputer und nicht den Inputs der Piloten zukommt. Mit anderen Worten: Sämtliche Inputs werden zuerst im Flugsteuerungscomputer überprüft und erst danach in die errechneten Steuerbefehle umgesetzt. Die Computer haben also die Kompetenz, Steuerbefehle abzulehnen, die sie gemäss ihrer Programmierung als unsinnig oder gar gefährlich beurteilen. Auch die Schubsteuerung der Treibwerke ist in dieses System eingebunden und erfolgt damit weitgehend automatisch (automatic thrust).
Diese Merkmale geben bis heute Anlass zu kontroversen Diskussionen zwischen Luftfahrtexperten, Computeringenieuren und Piloten. Kritiker sehen ein Gefahrenpotential und verweisen auf verschiedene Flugunfälle, die zumindest teilweise mit dem System zusammenhängen. Auch die Tatsache, dass gleichzeitige Steuereingaben beider Piloten (z.B. in Stresssituationen, unter Zeitdruck) sich addieren oder neutralisieren können, sorgt für Unsicherheit. Die Sidesticks sind zudem nicht synchron verbunden, womit Inputs am einen Stick am anderen weder sichtbar noch fühlbar sind.
Einen ersten Höhepunkt erreichten die Bedenken mit dem Demo-Flug eines A320 am 26. Juni 1988 in Habsheim. Die Maschine, in der vor allem Aviatik-Journalisten sassen, wollte einen effektvollen, tiefen Überflug mit minimaler Fluggeschwindigkeit zeigen. Die Triebwerke (bzw. die Steuerungscomputer) reagierten jedoch nicht auf die manuelle Schubverstärkung, als der Pilot aus dem Tiefstflug heraus wieder steigen wollte. Populär ausgedrückt, hatten die Computer errechnet, dass die Maschine bei diesen Geschwindigkeits- und Höhenparametern nur noch landen, aber nicht mehr sicher durchstarten könne. Die Maschine landete dramatisch im angrenzenden Wald und ging sofort in Flammen auf. Drei Todesopfer waren zu beklagen.
Inzwischen haben die vielen verschiedenen Airbus-Varianten Millionen von Flugstunden absolviert. Die Software wurde laufend optimiert und das Training der Piloten angepasst. Dennoch hat die Diskussion nie aufgehört. Sie hat sich in jüngerer Zeit vielleicht verschoben, hin zur Problematik der falschen Sicherheit für die Piloten. Tatsache ist, dass die Zeit, in der ein Pilot die Maschine tatsächlich von Hand fliegt, sich heute meist auf wenige Minuten bei Start und Landung beschränkt. Dazwischen lenkt der Autopilot das Flugzeug, entsprechend den Zieldaten , welche die Piloten vorwählen und jenen, mit denen der Computer für die aktuelle Flugstrecke programmiert ist.
Sicherheitsexperten weisen darauf hin, dass damit die wichtige manuelle Flugpraxis der Piloten fehle, was potentiell gefährlich sei. In Notfällen könne die Besatzung mit der Steuerung des Flugzeugs und den vielen Fehlermeldungen des Systems schnell überfordert sein.
Viel neue Nahrung erhielten solche Bedenken 2009 durch den tragischen Absturz eines A330 auf dem Air France-Flug AF447 von Rio nach Paris. Die Aussagen des FlugunfalI-Schlussberichts verlagern den Schwerpunkt auf die Frage, ob den Piloten die Fähigkeit und Routine fehlte, die Maschine nach dem Ausfall des Autopiloten von Hand zu fliegen. Der Airbus war zu diesem Zeitpunkt noch mit viel Gewicht (Treibstoff) unterwegs und flog gleichzeitig (zwecks Treibstoffersparnis für den Flug am oberen Ende der Reichweite) sehr hoch. Der A330 bewegte sich damit im Bereich des so genannten „coffin corner“. Eine makabere Bezeichnung („coffin“ heisst Sarg).
(Grafik Wikipedia)
Je schwerer ein Flugzeug ist und je höher es fliegt, desto näher beieinander liegen Minimal- und Maximalgeschwindigkeit.
In der folgenden Abbildung eines Flight Directors im Bereich des „coffin corner“ ist links das Band der Geschwindigkeitsanzeige zu sehen. Man erkennt deutlich, wie klein der „sichere fliegbare Bereich“ dann noch ist.
(Bild Wikipedia)
Zur Ursache des Ausfalls des Autopiloten: Das Drama eskalierte, als auf der Reiseflughöhe alle drei Geschwindigkeits-Messsonden der A330 trotz Heizvorrichtungen einfroren und keine brauchbaren Geschwindigkeits-Daten mehr an den Flugcomputer lieferten. Dieser „wusste“ somit nicht mehr, wie schnell die Maschine flog und schaltete sich (mit entsprechendem Warnton) aus. Der „pilot flying“ musste somit ab sofort von Hand weiterfliegen. In starken Gewitterturbulenzen beim Durchfliegen der innertropischen Konvergenzzone und in stockdunkler Nacht keine einfache Aufgabe.
Ungenügende oder falsche Steuer-Inputs liessen in der Folge die Geschwindigkeit sinken, die „stall warning“ ertönte. Die sofortige manuelle Schuberhöhung führte zu einem zusätzlichen Aufbäumen der Maschine. Es folgte der Strömungsabriss am Tragflügel (stall) mit Kontrollverlust.
Der A330 sank dann gemäss Unfallschlussbericht über drei Minuten lang im „deep stall“, mit hochgezogener Nase und geringer Vorwärtsgeschwindigkeit, jedoch etwa 120 km/h vertikaler Sinkgeschwindigkeit der Meeresoberfläche entgegen, ohne dass einer der Piloten den überzogenen Flugzustand als solchen erkennen und mit entschlossenenen (manuellen) Inputs beenden konnte. Dazu mag die Tatsache, dass sich die akustische „stall warning“ (ein unüberhörbares Gehupe im Cockpit) nach dem Unterschreiten von 100 Knoten Geschwindigkeit wieder abschaltet, hat wohl dazu beigetragen. (Dies wurde inzwischen von Airbus Industries in der Software entsprechend angepasst.)
Viele Airlines haben aufgrund dieses Unfallberichtes den Ausbildungsbedarf erkannt und sind das Problem angegangen. Einige unter ihnen mit handfesten „back-to-the-basics“ Methoden, wie dem Stall-Training in kleinen einmotorigen Flugzeugen. Die Piloten üben damit im kleinen Massstab und „hands-on“, wie der überzogene Flugzustand („stall“) erkannt, mit richtigen Reaktionen beendet und mit möglichst wenig Höhenverlust ein normaler Flugzustand retabliert werden kann.
Interessieren dich diese Zusammenhänge? Dann hänge ich hier noch einen Hintergrund-Text auf der Basis eines Artikels in „Spiegel online“ an, den ich mit Ergebnissen des Unfall-Schlussberichts der BEA etwas ergänzt habe.
Eine Studie der amerikanischen Luftfahrtbehörde FAA („Federal Aviation Administration“) in der 46 Flugunfälle, 734 freiwillige Berichte von Piloten und anderen Beteiligten sowie die Daten von mehr als 9’000 Flügen ausgewertet wurden, hält fest: In mehr als 60 Prozent der Unfälle und über 30 Prozent der ernsthaften Zwischenfälle hatten die Piloten Schwierigkeiten, das Flugzeug manuell zu steuern oder sie begingen Fehler bei der Bedienung der automatischen Flugkontrolle.
„Wir verlernen das Fliegen“, sagte Rory Kay, Flugkapitän und Co-Vorsitzender des FAA-Komitees für die Pilotenausbildung. Er spricht von einer „Automatisierungssucht“ und einer „neuen Art von Unfällen mit modernen Flugzeugen“. Die Piloten hätten immer weniger Gelegenheit, ihr fliegerisches Können zu trainieren, weil sie schlicht zu wenig von Hand flögen, warnt das FAA-Gremium.
Alarmmeldungen verwirren die Piloten
Neben der Studie haben auch Gespräche mit Sicherheitsexperten und Industrievertretern bestätigt, dass die Computersysteme inzwischen derart dominant in moderne Flugzeuge integriert sind, dass schon eine einzelne Fehlfunktion eine verhängnisvolle Kaskade weiterer Probleme auslösen könnte. Im Extremfall könne die Besatzung von den zahlreichen Alarmmeldungen derart überfordert sein, dass es gefährlich werde.
Ein typischer Pilotenfehler etwa sei es, nicht zu erkennen, dass der Autopilot oder die automatische Schubkontrolle („automatic thrust“) den Dienst eingestellt hätten. Es komme auch öfter vor, dass die Piloten die tatsächliche Geschwindigkeit des Flugzeugs aus den Augen verlören. Das Ergebnis kann ein Strömungsabriss an den Tragflächen sein, der zum Absturz führen kann, wenn die Besatzung nicht schnell und entschlossen genug die richtigen Gegenmassnahmen ergreift. Ganz besonders in geringer Flughöhe, wie bei Start und Landung.
Solche Zusammenhänge waren auch beim Absturz von Air-France Flug 447 massgeblich beteiligt, bei dem alle 228 Menschen an Bord ums Leben kamen. Die drei Pitot-Sonden, welche die Fluggeschwindigkeit messen, hatten wegen Vereisung unterschiedliche Daten an den Bordcomputer geliefert, was diesen veranlasste, den Autopiloten auszuschalten, weil er nicht mehr wusste, wie schnell die Maschine flog. Kurz danach ertönte im Cockpit eine Strömungsabriss-Warnung. Anstatt nun die Nase des Flugzeugs (mittels nach vorne gedrücktem Sidestick und manueller Trimmung) zu senken und so die Geschwindigkeit wieder zu erhöhen, zogen die Piloten die Maschine noch mehr hoch – und gaben gleichzeitig Vollschub. Da die Triebwerke der A330 unter der Querachse des Flugzeugs liegen, entstand ein Drehmoment, das eine weitere Anstellwinkel-Vergrösserung bewirkte, was zum „stall“ führte. Dieser Zustand wurde nicht erkannt, der Absturz in den Südatlantik erfolgte in einem über 3 ½ Minuten dauernden „deep stall“, wie die Unfalluntersuchung ergab. Die französischen Behörden empfahlen in der Folge eindringlich, die Piloten im Verhalten bei Strömungsabrissen in grosser Höhe zu schulen.
„Das ist ein globales Problem“
Als weiteres Beispiel nennt die Nachrichtenagentur AP einen Absturz im US-Bundesstaat New York, der sich am 14. Februar 2009 ereignete. Der Pilot eines Regionalflugzeugs hatte die falschen Daten in die Computer seiner Maschine eingegeben, worauf der Autopilot zu langsam flog. Als es zum Strömungsabriss-Alarm kam, beging der Kapitän denselben Fehler wie die Piloten von Air France 447. Die Maschine stürzte ab, 49 Menschen starben.
Zwei Wochen später legte eine Boeing 737 der Turkish Airlines bei Amsterdam kurz vor der Piste eine Bruchlandung hin, bei der neun Menschen ums Leben kamen und 120 verletzt wurden. Die anschliessende Untersuchung ergab, dass die Höhenmessgeräte des Jets falsche Daten an die Bordcomputer weitergeleitet hatten. Im Untersuchungsbericht war von der „Automatisierungs-Überraschung“ der Piloten die Rede, die offenbar die Geschwindigkeit ihres Flugzeugs gutgläubig aus den Augen verloren hatten. Auch der Beinahe-Unfall eines Airbus 320, der im März 2008 bei einer Sturm-Landung in Hamburg spektakulär mit einer Tragfläche über die Landebahn schrammte, wurde später auf ein unerwartetes Verhalten der Flugcomputer zurückgeführt.
Es ist ein offenes Geheimnis, dass man als Pilot im normalen Betrieb nur noch wenig dazukommt, das Flugzeug unmittelbar in der Hand zu haben. Ein Ausfall im Automatik-System kann deshalb zur Herausforderung werden. Führende Fluggesellschaften passen ihre Simulator-Lektionen inzwischen an kritische Situationen an, die sich tatsächlich ereignet haben. So werden ihre Piloten mit möglichen Vorfällen vertraut, lernen diese schnell zu erkennen, und üben, was dann zu tun ist.
(Quelle: Basis Spiegel online, erweitert und überarbeitet)
Apropos: Spiegel online hat sich über einen längeren Zeitraum mit Hintergründen und Erkenntnissen zum Absturz von Air France 447 befasst. Die betreffenden Artikel sind via Google leicht aufzufinden.