Editorial: Seit einem Jahr am Boden
Boeing 737 MAX
picture alliance/Ted S. Warren/AP/dpa
Seit (fast) einem Jahr ist die Boeing 737 MAX nun am Boden, weil
ein Software-Fehler bei der
Fluglagensteuerungssoftware MCAS zu
zwei tödlichen Abstürzen führte: Es
reicht, dass ein einzelner Sensor falsche Messwerte liefert, um
das Flugzeug auf einen fatalen Kurs nach unten zu schicken. Da
dieser Sensor vorne am Flugzeug sitzt und dort zum Beispiel durch
Vogelschlag leicht beschädigt werden kann, ist der Verzicht auf
Redundanz an dieser Stelle komplett unverzeihlich. Bei
der Suche nach den Ursachen, wie es ein derart grober Fehler überhaupt
ins finale Release schaffen konnte, wurde dann eine Menge Schlamperei
und ungesunder persönlicher Verstrickungen zwischen dem
Flugzeughersteller und der Aufsichtsbehörde offenbar.
Drängelten die Airlines anfangs sehr, dass Boeing die 737 MAX möglichst schnell wieder in die Luft bekommt, hat sich die Situation seit Februar durch die neue Viruserkrankung Covid abermals drastisch geändert: Die Lufthansa-Gruppe überlegt, zum Sommerflugplan die Hälfte aller Verbindungen zu streichen. Auch bei vielen anderen Airlines gibt es derzeit Überkapazitäten. Sie sind daher sogar froh, dass die 737 MAX derzeit auf Kosten Boeings am Boden steht, nicht auf ihre Kosten.
Jedoch wird die Zeit kommen, an dem Covid entweder besiegt worden ist oder so große Teile der Bevölkerung infiziert hat, dass der Rest nun dank "Herdenimmunität" geschützt ist, hoffentlich natürlich ersteres. Ab dann werden die Leute auch wieder mehr fliegen und spätestens dann wird auch die MAX benötigt.
Software- statt Hardware-Update
Boeing 737 MAX
picture alliance/Ted S. Warren/AP/dpa
Stark verwundert bin ich persönlich jedoch darüber, dass es Boeing nach
Medienberichten anstrebt, die 737 MAX rein über ein Software-Update
rezertifiziert zu bekommen. Der betroffene AOA-Sensor wird zwar in allen
Boeing-737-Modellen, so auch der 737 MAX, bereits doppelt eingebaut. Nur:
Auch dann, wenn die Flugsoftware die Daten von zwei Sensoren auswertet,
ist nicht sichergestellt, dass sie richtig reagiert. Denn wenn ein
Sensor falsche Daten liefert und der andere richtige, wie soll dann die
Software wissen, welchem Sensor sie vertrauen kann?
Nun könnte Boeing auf die Idee kommen, im Falle widersprüchlicher Sensorwerte das spezielle MCAS einfach abzuschalten. Schließlich war MCAS erst bei der MAX dazu gekommen und es dient nur dazu, in besonders ungünstigen Fluglagen rettend einzugreifen. Alle 737-Modelle davor flogen und fliegen auch ohne MCAS sicher. Nur: Die 737 MAX kann - anders als die Vorgängermodelle - aufgrund der von den großen Triebwerken veränderten Aerodynamik alleine durch Pilotenfehler in eine Fluglage gebracht werden, die ebenfalls in einem tödlichen Sinkflug endet. Mit MCAS droht also der Absturz, ohne MCAS auch.
Das Konkurrenzmodell Airbus A319/A320/A321 besitzt hingegen von Anfang an eine noch viel weitergehende Fluglagensteuerung als das MCAS von Boeing: Im Zweifelsfall übersteuert der Computer sogar Eingaben der Piloten, wenn diese zu gefährlichen Flugzuständen führen würden. Nur verbaut Airbus von Anfang an drei AOA-Sensoren, nicht nur zwei. Fällt einer der drei aus, kann die Software den defekten Sensor einfach isolieren, denn dessen Messwert weicht von dem der anderen beiden ab.
Zwar kam es auch bei Airbus-Flugzeugen schon dazu, dass beim Durchfliegen einer Gewitterzone mehrere Sensoren gleichzeitig vereisten und dadurch ausfielen, sodass sich die Fluglagensteuerung abschaltete. In einem dieser Fälle, auf Flug AF 447 von Rio de Janeiro nach Paris, schafften es dann die Piloten, das Flugzeug durch ununterbrochenes starkes Hochziehen genau in den überzogenen Flugzustand zu bringen, in dem der Boden bzw. die Meeresoberfläche ebenfalls unweigerlich immer näher kommt.
Der Einbau eines dritten Sensors erscheint unausweichlich
Aus dem kombinierten Wissen aus den beiden Boeing-737-MAX-Abstürzen und dem Crash von Flug AF 447 ergibt sich, dass es ziemlich unverantwortlich ist, darauf zu vertrauen, dass die Piloten nach einem Sensorausfall die richtigen Entscheidungen treffen. Die Gefahr ist einfach zu groß, dass die Piloten durch die Fehlermeldungen des Flugcomputers und die widersprüchlichen Anzeigen der Instrumente im Cockpit überfordert werden und dann in Panik erneut wieder genau die falschen Entscheidungen treffen.
Von daher führt m. E. kein Weg an dem Einbau eines dritten Sensors vorbei. Dieses Hardware-Upgrade wäre mit erheblichen zusätzlichen Verzögerungen und Kosten für Boeing verbunden, müsste doch der Rumpf an einer Stelle aufgeschnitten und der Sensor dort eingebaut werden. Anschließend müssten zumindest ein Teil der für die Zulassung nötigen Belastungs- und Flugtests wiederholt werden, um sicherzustellen, dass die MAX auch nach diesen Veränderungen weiterhin sicher fliegt.
Nur: Die europäische Flugaufsicht EASA hat bereits halböffentlich zu erkennen gegeben, dass sie das Hardware-Upgrade für nötig hält. Die chinesische Flugaufsicht, die nach dem zweiten Absturz einer 737 MAX als erste diesem Flugzeugtyp die Zulassung entzog, bevor dann EASA und die US-amerikanische FAA folgten, dürfte sogar noch kritischer sein. Das rigorose Vorgehen gegen Covid, wozu ganze Großstädte abgeriegelt und Neujahrsferien erheblich verlängert wurden, zeigt auch, dass die chinesische Führung der Bewahrung von Menschenleben inzwischen höhere Priorität einräumt als kurzfristigen wirtschaftlichen Interessen und Freiheits- oder Datenschutzrechten. Eine Nichtzulassung der 737 MAX in China würde aber faktisch einem Flugverbot in großen Teilen Asiens gleichkommen: Etliche weitere asiatische Länder würden sich voraussichtlich ebenfalls dem Flugverbot Chinas anschließen. Und damit wären dann nicht nur Starts und Landungen in diesen Ländern verboten, sondern auch deren Überflug.
Mal sehen, ob wir nächstes Jahr den Jahrestag des zweijährigen Groundings der Boeing 737 MAX ebenfalls noch erleben.